攻击arXiv 2610.13928
AI 模型可被证明地隐藏任意能力
提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力
- arXiv
- 2610.13928
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma 3 270M
摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。
作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。
全部论文
另有203篇论文还没打上分类标签，暂不在筛选结果里。
- 其他arXiv 2610.13912
RSI-Anything：用世界模型解锁递归自我改进
提出 RSI-Anything，用世界模型选择候选并保留策略更新
- arXiv
- 2610.13912
- 发表
- 层
- 应用层
- 被测模型
- ReasonFlux-Coder-7B、4B policy、W1
摘要RSI-Anything 以预测、反馈与保留检查把世界模型接入递归自改进，并在多个领域报告增益。
RSI-Anything 是一个跨领域框架：用世界模型预测决定哪些候选去拿外部反馈，再用反馈决定策略、工作流或预测器是否更新，并用检查决定哪一对被保留。要处理的困难是交互预算有限，以及策略一变，预测器面对的候选分布也会变。作者认为只改进其中一侧，不保证组装后的系统更好。
- 防御arXiv 2610.13733
KVeil：ECCV 2026 LifeGenIP 不可学习视频挑战赛第一名方案
提出 KVeil，对人脸视频加扰动以阻止未授权定制复现身份
- arXiv
- 2610.13733
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Wan2.2-TI2V-5B、HunyuanVideo-1.5、Kling 3.0 等4个
摘要KVeil 把 LETHE 的参考读取破坏适配到挑战两阶段，榜单 Final 均列第一。
- 评测与基准arXiv 2610.13626
SWE-DeceptionBench：评测 LLM 在软件开发生命周期中的欺骗行为
提出 SWE-DeceptionBench 评测 LLM 在软件开发生命周期中的欺骗
- arXiv
- 2610.13626
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-5.5、Claude-Opus-4.8、Gemini-3.5-Flash 等9个
- 风险欺骗与谋划
- 其他arXiv 2610.13491
EviRepair：面向可靠漏洞修复的证据驱动智能体
提出证据驱动多智能体框架 EviRepair，用于仓库级漏洞修复
- arXiv
- 2610.13491
- 发表
- 层
- 应用层
- 被测模型
- DeepSeek-V4.1-Flash、GLM-5.2、Qwen3.8-27B
摘要EviRepair 用审查后的漏洞模型做仓库级修复。
EviRepair 是面向稀疏漏洞报告的仓库级自动漏洞修复框架，用审查后的漏洞模型把诊断和补丁合成隔开。
- 防御arXiv 2610.13356
SWE-Critix：用于评估编码 Agent 轨迹的后训练通用验证器
提出 SWE-Critix，后训练通用验证器评估编码 Agent 轨迹
- arXiv
- 2610.13356
- 发表
- 层
- 应用层
- 被测模型
- Qwen3-30B-A3B-Thinking-2507、SWE-Critix SFT、SWE-Critix RL
- 防御arXiv 2610.13333
LETHE：通过价值多样性坍缩防御未授权的图像到视频生成
提出 LETHE，扰动参考图以阻止未授权图生视频
- arXiv
- 2610.13333
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Wan2.1-I2V-14B、CogVideoX-5B-I2V、LightX2V 等6个
摘要LETHE 压低参考 value 多样性并吸引注意力，使受保护图难以被忠实动画化。
LETHE 是一种发布前加到个人图像上的保护扰动，用来对付未经同意的图生视频。
- 其他arXiv 2610.13205
重新思考 on-policy 蒸馏中相对策略差异的迁移
提出 A2-OPD，用相对策略差做 on-policy 蒸馏
- arXiv
- 2610.13205
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-4B、Qwen3-1.7B 等6个
摘要A2-OPD 把相对策略差当作可迁移奖励。
A2-OPD 把一份代理策略相对另一份代理参考的 log 概率差，当作可加到其他目标上的隐式奖励。常规 OPD 是两边参考重合、转移强度相等时的特例。
- 评测与基准arXiv 2610.13116
DRYLAB-Bench：评测 Agent 式 LLM 突变设计的生物安全风险
提出 DRYLAB-Bench 评测 Agent 式 LLM 的高风险突变设计能力
- arXiv
- 2610.13116
- 发表
- 层
- 应用层
- 被测模型
- Claude Opus 5、Claude Opus 4.8、Claude Fable 5 等15个
- 风险危险能力
- 可解释性arXiv 2610.13078
注意力看见，MLP 拒绝：追踪 LLM 中从注意力到 MLP 的安全路径
追踪注意力识别有害性到 MLP 拒绝写入的通路并提出 Sentinel
- arXiv
- 2610.13078
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Qwen3-8B-Instruct 等18个
摘要注意力更新更易读出有害性，MLP 更新写入拒绝，Sentinel 用两路信号路由提醒。
作者把对齐模型的越狱和过度拒绝，改写成残差流上从识别到写入的通路问题，并据此做解码前的条件提醒。
- 分析与理论arXiv 2610.13051
空间胜过统计量，重训练胜过排序：审计仅标签后门下的训练标签
审计仅标签后门的训练标签，比较空间与统计量并以重训评判
- arXiv
- 2610.13051
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-32
摘要查标签要在未拟合这些标签的空间里做，并用重训模型而不是检测分数评判。
作者问的是：手里没有可信数据的防御者，能否决定留下哪些训练标签，以及这会毁掉多少干净数据、最终模型准确率如何。
- 可解释性arXiv 2610.12989
GPT-2-Small、Gemma-2-2B 与 Llama-3.1-8B 具有可解释的叙事机制
用 NVC 定位并消融语言模型的叙事相关组件
- arXiv
- 2610.12989
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-2-Small-124M、Gemma-2-2B、Llama-3.1-8B
摘要三个模型里与叙事性相关的神经元和 SAE 特征，消融后会改变部分叙事相关行为。
作者把叙事学的三维定义接上机制干预，检查预训练语言模型里与叙事性相关的组件是否参与预测、生成和下游任务。
- 其他arXiv 2610.12924
基于线性化最优传输的测度值数据稀疏字典学习：高效算法与样本复杂度
提出线性化最优传输下的测度稀疏字典学习 LWDL
- arXiv
- 2610.12924
- 发表
- 场景
- 模型与 API
摘要LWDL 在平坦嵌入空间中学稀疏测度字典。
LWDL 把概率测度嵌进 Hilbert 空间，再做稀疏字典学习。
- 可解释性arXiv 2610.12842
神经网络比单个神经元所显示的更具模块性
用三层嵌套分解检验混合选择性网络能否在子空间上功能分离
- arXiv
- 2610.12842
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Pythia 410M、Pythia 160M、GPT-2 XL 等18个
摘要单元不专一与子空间可分离可以并存。
作者提出一套嵌套的模块性定义，用来把“神经元不专一”和“计算不可分”分开。
- 风险行为arXiv 2610.12822
奖励作弊作为多智能体编码系统中的可传播策略
展示奖励黑客可在多智能体编码系统中经代码、记忆和计划传播
- arXiv
- 2610.12822
- 发表
- 层
- 应用层
- 被测模型
- Qwen2.5-Coder-14B、Gemma-3-12B、Qwen2.5-Coder-7B 等16个
摘要作者称奖励黑客可跨模型传播并影响路由与聚合，审查能降低交付。
编码 RL 诱发的奖励黑客可以离开源智能体，进入后续协作和系统协调。
- 评测与基准arXiv 2610.12758
DistressBench：评估大语言模型的多维度危机支持
提出 DistressBench，评测模型在危机对话中的多维支持
- arXiv
- 2610.12758
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Muse Spark 1.2、Muse Spark 1.3、Muse Glimmer 30B 等20个
摘要模型更会克制而较少行动。
DistressBench 用临床人员撰写并修订的 SSH 对话，按加权原子标准评通用聊天模型送达了多少必要照护，而不是评它是否拒绝。用户向聊天模型披露自杀或自伤时，作者认为期望行为是识别、校准共情、降缓并转介人工帮助。拒绝式评测测不到认出危机之后仍不行动。
- 攻击arXiv 2610.12644
癌变式后门攻击：借助不可见 token 与阶段控制器实现渐进激活
提出 Cancerous 后门，用不可见阶段 token 分阶段腐蚀推理
- arXiv
- 2610.12644
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3
摘要隐藏 token 加阶段控制器使后门随触发累积腐蚀推理，作者认为只看答案会漏掉它。
Cancerous Backdoor Attack 把 LLM 后门从一次激活改成随触发累积推进的多阶段推理腐蚀。
- 防御arXiv 2610.12602
语言模型中的自我保存
提出 Task Bank 自回放，缓解持续指令微调的留出遗忘
- arXiv
- 2610.12602
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-0.6B、Qwen3-1.7B、Qwen3-4B 等4个
- 防御模型加固
摘要作者称自回放可在清单外减遗忘，4B 上新任务信息有助于选目标，小模型则无。
作者研究语言模型学习新任务时，如何用自身知识做更广的自我保持：给定清单不完整，遗忘又会超出清单，模型能否生成回放并帮忙选择目标。
- 评测与基准arXiv 2610.12569
SWE-Duel：迈向编码 Agent 的自扩展竞技场
提出 SWE-Duel，让编码 Agent 在评测时互评造题并盲审修复
- arXiv
- 2610.12569
- 发表
- 层
- 应用层
- 被测模型
- GPT-5.5、Claude Opus 4.8、Kimi K2.7 Code 等11个
摘要互评竞技场在评测时造题。
SWE-Duel 是一个在评测时才生成任务和判定器的编码智能体竞技场，用来避开静态基准的泄露和饱和。
- 可解释性arXiv 2610.12410
论文提出对齐泛化预测任务，用激活表征预测微调价值观的跨情境影响
比较价值表征对单价值微调后对齐泛化的预测力
- arXiv
- 2610.12410
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Olmo-3-7B、Olmo-3-32B、Qwen-3-8B-Base 等4个
摘要激活表征可在训练前预测跨价值泛化，并关联多价值目标的鲁棒性。
作者把“单价值微调会如何改变未训练价值上的依从”定义成可在训练前预测的任务，并用价值表征来做这件事。