分析与理论arXiv 2610.13051
空间胜过统计量，重训练胜过排序：审计仅标签后门下的训练标签
审计仅标签后门的训练标签，比较空间与统计量并以重训评判
- arXiv
- 2610.13051
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-32
摘要查标签要在未拟合这些标签的空间里做，并用重训模型而不是检测分数评判。
作者问的是：手里没有可信数据的防御者，能否决定留下哪些训练标签，以及这会毁掉多少干净数据、最终模型准确率如何。
- 分析与理论arXiv 2610.12409
研究者对 HELM Safety 与 HarmBench 做心理测量学审查，质疑其分数能否代表单一属性
审计 HarmBench 分数能否代表单一 harmful refusal 属性
- arXiv
- 2610.12409
- 发表
- 层
- 模型层
- 场景
- 模型与 API
摘要作者称 HarmBench 不对应单一 harmful refusal，比较模型时应把行为分开。
这是对 HELM Safety 中 HarmBench 的构念效度审计，检查 harmful refusal 能否作为单一属性来读分数。。
- 分析与理论arXiv 2610.12313
研究测试五个大模型合规系统对监管规则扰动的敏感度
诊断合规系统裁决是否随监管规则扰动而改变
- arXiv
- 2610.12313
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Llama-3.3-70B-Instruct、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct 等5个
摘要五模型上许多正确裁决对删换否定规则大体不变。
用行为反事实和激活探针，审计合规裁决是否依赖所给规则。。作者要分开两种看起来一样的正确裁决：用了所给规则的，以及靠案例表面或训练模式得到的。
- 分析与理论arXiv 2610.12125
研究者发现优化教学适配度指标会让 LLM 导师重复同一选项，专家评分从 4.46 降到 3.03
分析优化教学适配指标为何使辅导选择塌缩并偏离专家判断
- arXiv
- 2610.12125
- 发表
- 场景
- 模型与 API
- 被测模型
- Gemini 3.1 Pro Preview、Qwen3-32B
- 风险奖励作弊
摘要指标上升而专家评分下降：可分平均的最优是重复，校正主要改写了输出投影。
把教学适配指标做成微调目标后，指标上升，受过训练的教育者给出的评分下降。。
- 分析与理论arXiv 2610.12083
论文审计 LLM 裁判可靠性：重复一致不等于正确
审计 LLM 裁判可靠性并定义可信判决率与准确率上界
- arXiv
- 2610.12083
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-5.2、GPT-4o、Gemini-2.5-Pro 等6个
- 组件护栏与评审
摘要作者称比较裁判应看 T，而不是只看准确率。
作者审计 LLM-as-a-Judge 在重复查询、交换候选顺序和更换提示格式时，判决是否还能当作可操作的真值。
- 分析与理论arXiv 2610.11765
研究提出三项指标衡量 LLM 不思考行为，发现被要求停止思考时仍持续显式推理
度量关闭思考指令下终答前是否仍有可见显式推理
- arXiv
- 2610.11765
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B、Qwen3-32B、Qwen3-235B-A22B 等6个
- 组件推理链
摘要作者用三级指标测 no-thinking，并称模型有随答案空间加重的思考惯性。
作者把 no-thinking 定义为可测量的回答行为，而不是从思考开关、特殊标记或输出长度推断。
- 分析与理论arXiv 2610.10422
研究：在线 RL 行为归因信号可能被梯度大小与流畅度混淆
检验在线 RL 行为归因信号是否被梯度大小与流畅度混淆
- arXiv
- 2610.10422
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-1.5B-Instruct
摘要作者称步级精度多可由梯度大小解释，逐 rollout 方向随种子和抽样翻转。
BehaviorTrace 用原因已知的植入行为，检查在线 GRPO 里已有梯度归因能否找到教出该行为的 rollout。
- 分析与理论arXiv 2610.10405
研究发现大语言模型被要求不诚实作答时推理 token 数上升
检验推理 token 数能否区分被提示的诚实与不诚实作答
- arXiv
- 2610.10405
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-4-e4b、Qwen-3.5-9b、GPT-OSS-120B
摘要被提示不诚实时推理 token 组水平更高。
三个推理模型在被提示的回答政策下出现组水平推理 token 差异。作者把它当作不读思维链内容的 black-box 候选信号，而不是自发欺骗检测器。
- 分析与理论arXiv 2610.10657
研究显示隐蔽学习可传递新能力、后门与作弊倾向
检验潜意识学习能否经无关数据蒸馏传递能力、后门与作弊
- arXiv
- 2610.10657
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3.6-35B-A3B、Qwen3.5-9B、Qwen3.6-27B 等4个
- 风险奖励作弊
摘要作者报告潜意识学习可传递新技能、后门与作弊倾向，且分布外泛化强于单层转向向量。
- 分析与理论arXiv 2610.10203
研究者提出模型生物体多目标验证框架并给出训练建议
提出模型生物多目标验证与合并训练方法以减少能力损伤
- arXiv
- 2610.10203
- 发表
- 场景
- 模型与 API
- 被测模型
- gemma-2-2b-it、olmo-2-1b、llama-3.1-8b-it
摘要提出多目标验证框架与模型合并训练法，证明模型真实度直接影响可解释性评测。
本论文提出了一种针对 AI 安全评测用模型生物（Model Organisms）的多目标训练与验证体系。
- 分析与理论arXiv 2610.09892
AI 安全 Stackelberg 模型中的防御充分性研究
用 Stackelberg 博弈分析发现与修复投入的防御充分性
- arXiv
- 2610.09892
- 发表
- 层
- 应用层
- 场景
- 模型与 API
摘要覆盖定理给出充分条件。
作者用攻击集合上的发现—修补过程，加上防守方领先的 Stackelberg 博弈，讨论反馈式防御何时够用，以及为威慑自适应攻击者该买多少能力。
- 分析与理论arXiv 2610.09667
东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核
揭示推理模型用标识符规则替代随机抽样，使审计可被预测
- arXiv
- 2610.09667
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等6个
- 组件推理链
摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。
- 分析与理论arXiv 2610.09004
研究：去除有害信息不足以证明开源权重模型的抗篡改能力
论证发布时互信息不能认证开源权重抗微调恢复
- arXiv
- 2610.09004
- 发表
- 场景
- 模型与 API
- 被测模型
- EleutherAI/deep-ignorance-e2e-strong-filter、EleutherAI/deep-ignorance-unfiltered、Google BERT-Tiny 等6个
摘要作者称零信息仍可一步恢复，表观抗微调可来自参数化。
作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
- 分析与理论arXiv 2610.08577
学习方式如何影响遗忘：记忆与泛化谱系下的机器遗忘研究
分析记忆与泛化如何决定机器遗忘的 retain 损伤
- arXiv
- 2610.08577
- 发表
- 场景
- 模型与 API
- 被测模型
- one-layer ReLU transformer、one-layer transformer (BMA, width doubled)、Hubble-8B-100B perturbed 等6个
摘要作者称共享规则占比越高，遗忘带来的 retain damage 越大。
作者考察学习方式如何左右 unlearning 的 retain damage：训练越依赖跨样本共享的解法，在匹配的遗忘程度上，retain 上的损失越大。
- 分析与理论arXiv 2610.08178
研究给出潜空间图像水印的鲁棒性上限理论分析
分析潜空间图像水印对像素扰动的内在鲁棒性上限
- arXiv
- 2610.08178
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Stable Diffusion v2-1
摘要作者称当前潜空间水印在低 FPR 下受扩张映射与分布偏移的限制。
- 分析与理论arXiv 2610.08144
新论文称 Lean 验证不能为 OpenAI 的 Navier-Stokes 自然语言证明背书
论证 Lean 编译通过不能保证自然语言数学证明语义忠实
- arXiv
- 2610.08144
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- ChatGPT-6 (Astra Ultra)
摘要论文论证了形式化编译不保证原证明正确，确立了消歧不可计算性理论，并揭示了 OpenAI 爆破证明中的具体脱节。
- 分析与理论arXiv 2610.07798
研究：财务信息披露越少，Llama-3.1-8B-Instruct 的理财建议越受身份影响
测量财务事实变少时身份对股权配置建议的替代
- arXiv
- 2610.07798
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-1.5B-Instruct
- 风险偏见与歧视
摘要身份摆幅随披露减少上升。
同一财务只改人设，测量披露变薄时股权建议里的身份替代。
- 分析与理论arXiv 2610.06851
研究发现基础模型仅靠固定开头 token 即可达到 RL 级推理表现
证明短开头词可唤醒基模型推理，且效应来自训练数据
- arXiv
- 2610.06851
- 发表
- 场景
- 模型与 API
- 被测模型
- Olmo-3-7B、Olmo-3-32B、Qwen3-4B 等10个
- 组件推理链
- 分析与理论arXiv 2610.07009
研究受控拆解图像到文本越狱中图像属性的作用
固定有害指令，单轴归因图像到文本越狱的图像属性
- arXiv
- 2610.07009
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-4o、Claude Sonnet 4.5、Qwen3-VL-8B-Instruct 等6个
摘要固定文本的图像越狱拆解，只在 Qwen 上给出一条有界相关性归因。
- 分析与理论arXiv 2610.07005
研究审计 Qwen2-Audio 音频越狱 AdvWave-P 的频率与解码层归因
遮挡审计 AdvWave-P 音频越狱的频带必要性与解码层关联
- arXiv
- 2610.07005
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen2-Audio-7B-Instruct、LLaMA-Omni
摘要AdvWave-P 的八频带排序与能量相关。
这是对加性音频越狱 AdvWave-P 的频率与解码器深度审计，受害模型主要是 Qwen2-Audio-7B-Instruct，不提出新攻击。