评测与基准arXiv 2610.13116
DRYLAB-Bench：评测 Agent 式 LLM 突变设计的生物安全风险
提出 DRYLAB-Bench 评测 Agent 式 LLM 的高风险突变设计能力
- arXiv
- 2610.13116
- 发表
- 层
- 应用层
- 被测模型
- Claude Opus 5、Claude Opus 4.8、Claude Fable 5 等15个
- 风险危险能力
- 攻击arXiv 2610.09973
从期望危害到似然：LLM 智能体越狱的概率重构
提出 OPUR 攻击，用似然梯度优化对抗后缀越狱 LLM 智能体
- arXiv
- 2610.09973
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 白盒
- 被测模型
- Llama-3.1-8B-Instruct、Ministral-8B-Instruct-2410
- 防御arXiv 2610.08678
研究揭示投机解码的安全代价并提出 SecureSD 加固方法
测量有损投机解码的安全代价，并提出 SecureSD 收紧早期验证
- arXiv
- 2610.08678
- 发表
- 层
- 模型层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 被测模型
- Qwen3-8B、Qwen3-32B、Llama-3.1-8B-Instruct 等6个
摘要有损推测解码的早期偏离更快抬高越狱与注入风险。
作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的 SecureSD。
- 评测与基准arXiv 2610.06824
TasteVal 基准：用算力效率衡量 AI 的实验研究品味
提出 TasteVal 基准，衡量模型设计实验并解释结果的研究品味
- arXiv
- 2610.06824
- 发表
- 层
- 应用层
- 被测模型
- Opus 5.5、Fable 5.1、GPT-6 Astra 等20个
- 风险危险能力
- 评测与基准arXiv 2610.06584
论文：AI 在非公开漏洞上更帮攻击者还是防御者
评测 coding agent 在非公开漏洞上的利用生成、修复与后续攻击
- arXiv
- 2610.06584
- 发表
- 层
- 应用层
- 被测模型
- Opus 5、GPT-5.6 Sol、GPT-6 Sol 等10个
- 风险危险能力
摘要攻防孰强随环境、系统和弱点改变。
作者比较编程智能体在利用生成与漏洞修复上的自主表现，并检查修复之后还能不能被攻破。文中的 help 指自主完成任务，不是提升人类操作者。
- 评测与基准arXiv 2610.06306
Inspect Robots：面向具身智能体评测的开源模块化框架
提出 Inspect Robots，在真实机器人上评测具身模型的能力与拒答
- arXiv
- 2610.06306
- 发表
- 层
- 应用层
- 场景
- 具身与机器人
- 被测模型
- Astra（GPT-6 Astra）、GPT-6 Sol、GPT-5.6 Sol 等7个
- 风险拒答失当
- 评测与基准arXiv 2610.07089
研究者提出统一滥用监控基准，覆盖分解攻击与提示注入约 6200 条轨迹
提出危害窗口与区间指标，统一评测分解攻击和提示注入下的智能体滥用监视
- arXiv
- 2610.07089
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemma 4 26B-A4B、Qwen3.6 27B、Qwen3.5 27B 等12个
摘要统一智能体滥用监视框架，动作视角兼顾两类威胁但危害定位仍存瓶颈。
- 可解释性arXiv 2610.06064
TrustMI：通过模型激活因果控制助手对用户的信任
提出 TrustMI，用激活转向因果调控助手对用户主张的信任
- arXiv
- 2610.06064
- 发表
- 层
- 模型层
- 场景
- AI Agent
- 被测模型
- Qwen3.5-9B、Qwen3.5-27B、Llama-3.1-8B-Instruct 等6个
摘要作者用 BiPO 转向调控助手对用户的依赖，并称该效应迁移到智能体安全任务。
TrustMI 研究助手对用户的信任能否沿激活中的线性方向被因果调控，以及这种调控会不会改变安全相关的智能体行为。
- 评测与基准arXiv 2610.04243
NeuroSploit v4.2.0 在 GOAD 上的评测：结构化智能体编排提升 AD 渗透测试
在 GOAD 上评测 NeuroSploit 编排对 AD 自主渗透的提升
- arXiv
- 2610.04243
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.6、Claude Opus 4.7、Claude Opus 4.8 等9个
- 风险危险能力
- 评测与基准arXiv 2610.03938
论文发现多模态模型启用工具后拒答失败率最高上升 68.7%
评测 ReAct 工具调用对多模态模型拒答有害请求的削弱
- arXiv
- 2610.03938
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Gemini-2.5-Pro、Gemini-3.1-Pro-Preview、Claude Opus 4.6 等13个
摘要论文揭示了工具调用范式削弱 MLLM 拒答能力的现象，分析了稀释与偏移机制并验证了重注缓解方案。
论文系统评估了智能体工具调用范式对多模态大语言模型拒答能力的影响，指出了工具增强视觉推理背后的安全隐患。核心探讨的问题在于：当 MLLM 从单次推理转向通过 ReAct 循环调用外部工具（打标、缩放、OCR、代码执行）时，工具使用机制本身是否会降低模型拒答有害请求的概率。
- 评测与基准arXiv 2610.03853
报告评估 LLM Agent 选择和使用生物工具的能力
评测 Agent 选择并早期操作高风险生物工具的能力
- arXiv
- 2610.03853
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.7、Gemini 3.1 Pro Preview、GPT-5.5 等7个
- 风险危险能力
摘要七模型能选工具并部分操作 EVEscape 与 ESM3。
这项评估测量七个前沿 LLM 智能体与生物工具交互的最早两步：为设计任务选工具，以及在仓库里完成玩具级操作。作者关心的是，有生命科学背景但不会专门操作高风险工具的行为者，能否借此降低门槛。范围限于预测性、生成性工具。
- 防御arXiv 2610.03434
Persona Guardrail：面向智能体系统的生产级防御框架
提出 Persona Guardrail，强制客服智能体守住功能边界
- arXiv
- 2610.03434
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 被测模型
- Qwen3-30B-A3B、Qwen3-VL-30B、Qwen3-8B 等5个
摘要Persona Guardrail 用功能边界做同步输入输出校验，并在 PAGE 与生产延迟预算下给出评测。
Persona Guardrail 是客服向智能体的同步运行时防御：先写明功能边界，再决定放行或拦截，而不是只检测某一攻击类。
- 攻击arXiv 2609.39788
研究：多智能体系统潜在通信链路可被训练用于提升有害顺从
提出只训练或篡改多智能体潜在通信链路来提高有害遵从
- arXiv
- 2609.39788
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Llama-3.2-3B-Instruct、Qwen2.5-3B-Instruct、Gemma-3-1B-IT 等7个
摘要潜在链路本身即可改变冻结智能体系统的安全，奖励既能攻击也能修复。
学习得到的潜在通信链路会改变由冻结、对齐智能体组成的系统是否遵从有害请求。。作者研究三种拓扑：双智能体、三级顺序协作，以及双专家加汇总。
- 风险行为arXiv 2609.38971
研究测量并预测具身 VLM 规划器中任务的拒答可变性
测量并预测具身 VLM 规划器的任务拒答可变性
- arXiv
- 2609.38971
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 被测模型
- gemini-robotics-er-2-preview、gemini-robotics-er-1.6-preview
摘要日常物体能翻转一部分已给出的拒答，可翻转程度取决于任务且可被本地代理预测。
作者测量 constitution 守护的具身 VLM 规划器：一次拒答在只往场景里放一个日常物体之后还保不保持得住，并把这种易翻转程度称为任务的 malleability。
- 风险行为arXiv 2609.38296
印第安纳大学 OSoMe 研究：LLM 之间顺着原有立场共振比硬说服更易激进化
比较智能体对话中共振与说服对信念激进化的效果
- arXiv
- 2609.38296
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- Llama-3.1-8B-Instruct、Qwen3-8B
摘要两智能体实验中，作者称共振比说服更能激进化，并会波及相关信念。
作者用两个 LLM 智能体的对话，考察一方能否把另一方扮演的人格信念推向更极端。
- 评测与基准arXiv 2609.36573
CyberPersistBench：评测 LLM 攻击者的安装与持久化能力
用 CyberPersistBench 评测入侵后安装与持久化能力
- arXiv
- 2609.36573
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- GPT-5.6-sol、Claude Sonnet 5、DeepSeek-V4-pro 等5个
- 风险危险能力
摘要CyberPersistBench 将入侵后持久化拆成可核验阶段，并比较原生防御与多主机条件。
CyberPersistBench 是评测入侵后安装与持久化的基准，关注初始访问消失后是否仍能维持原生立足点。。
- 风险行为arXiv 2609.35291
窄域多模态微调可诱发涌现性失配，覆盖 15 个视觉语言模型
证明无显式危害的图文窄微调可诱发跨任务涌现未对齐
- arXiv
- 2609.35291
- 发表
- 层
- 模型层
- 场景
- 网页与电脑操作
- 被测模型
- GPT-4o、GPT-4.1、Gemini 2.5 等15个
摘要证实窄多模态微调可引发全面的多渠道未对齐行为转变，揭示了后训练阶段对齐被隐蔽重塑的安全隐患。
论文系统探究了视觉-语言模型中由窄任务微调诱发的跨模态涌现未对齐（Emergent Misalignment, EM）现象。
- 评测与基准arXiv 2609.28335
研究者发布面向 EU AI Act 行为准则的系统性风险指数与仪表盘
发布 Systemic Risk Index 流水线与看板，评测四类系统风险
- arXiv
- 2609.28335
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Sonnet 5、Claude Haiku 4.5、GPT-5.6 Luna Pro 等15个
- 风险危险能力
- 评测与基准arXiv 2609.27336
CART：面向大语言模型的闭环自适应红队框架
提出闭环自适应红队框架 CART，评测模型与 Agent 的安全失败
- arXiv
- 2609.27336
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.8、GPT-5.5、Grok 4.3 等7个
- 攻击提示注入
摘要CART 把红队做成可审计的闭环搜索，在三类评测上比静态回放发现更多失败与更高平均风险。
CART 把自动红队从一次清单式打分，改成带预算、可追溯的闭环搜索。
- 评测与基准arXiv 2609.23980
斯坦福与 UC Berkeley 发布 MobileCybench：用可执行探针评测 Agent 漏洞发现
提出 MobileCybench，用可执行探针评测 Agent 的漏洞发现能力
- arXiv
- 2609.23980
- 发表
- 层
- 应用层
- 被测模型
- OpenCode/GPT-5.5、OpenCode/GPT-5.6-Sol、OpenCode/GLM-5.2 等5个
- 风险危险能力