攻击arXiv 2610.13928
AI 模型可被证明地隐藏任意能力
提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力
- arXiv
- 2610.13928
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma 3 270M
摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。
作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。
全部论文
另有261篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2610.13626
SWE-DeceptionBench：评测 LLM 在软件开发生命周期中的欺骗行为
提出 SWE-DeceptionBench 评测 LLM 在软件开发生命周期中的欺骗
- arXiv
- 2610.13626
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-5.5、Claude-Opus-4.8、Gemini-3.5-Flash 等9个
- 风险欺骗与谋划
- 可解释性arXiv 2610.13078
注意力看见，MLP 拒绝：追踪 LLM 中从注意力到 MLP 的安全路径
追踪注意力识别有害性到 MLP 拒绝写入的通路并提出 Sentinel
- arXiv
- 2610.13078
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Qwen3-8B-Instruct 等18个
摘要注意力更新更易读出有害性，MLP 更新写入拒绝，Sentinel 用两路信号路由提醒。
作者把对齐模型的越狱和过度拒绝，改写成残差流上从识别到写入的通路问题，并据此做解码前的条件提醒。
- 可解释性arXiv 2610.12989
GPT-2-Small、Gemma-2-2B 与 Llama-3.1-8B 具有可解释的叙事机制
用 NVC 定位并消融语言模型的叙事相关组件
- arXiv
- 2610.12989
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-2-Small-124M、Gemma-2-2B、Llama-3.1-8B
摘要三个模型里与叙事性相关的神经元和 SAE 特征，消融后会改变部分叙事相关行为。
作者把叙事学的三维定义接上机制干预，检查预训练语言模型里与叙事性相关的组件是否参与预测、生成和下游任务。
- 可解释性arXiv 2610.12842
神经网络比单个神经元所显示的更具模块性
用三层嵌套分解检验混合选择性网络能否在子空间上功能分离
- arXiv
- 2610.12842
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Pythia 410M、Pythia 160M、GPT-2 XL 等18个
摘要单元不专一与子空间可分离可以并存。
作者提出一套嵌套的模块性定义，用来把“神经元不专一”和“计算不可分”分开。
- 评测与基准arXiv 2610.12758
DistressBench：评估大语言模型的多维度危机支持
提出 DistressBench，评测模型在危机对话中的多维支持
- arXiv
- 2610.12758
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Muse Spark 1.2、Muse Spark 1.3、Muse Glimmer 30B 等20个
摘要模型更会克制而较少行动。
DistressBench 用临床人员撰写并修订的 SSH 对话，按加权原子标准评通用聊天模型送达了多少必要照护，而不是评它是否拒绝。用户向聊天模型披露自杀或自伤时，作者认为期望行为是识别、校准共情、降缓并转介人工帮助。拒绝式评测测不到认出危机之后仍不行动。
- 可解释性arXiv 2610.12410
论文提出对齐泛化预测任务，用激活表征预测微调价值观的跨情境影响
比较价值表征对单价值微调后对齐泛化的预测力
- arXiv
- 2610.12410
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Olmo-3-7B、Olmo-3-32B、Qwen-3-8B-Base 等4个
摘要激活表征可在训练前预测跨价值泛化，并关联多价值目标的鲁棒性。
作者把“单价值微调会如何改变未训练价值上的依从”定义成可在训练前预测的任务，并用价值表征来做这件事。
- 分析与理论arXiv 2610.12409
研究者对 HELM Safety 与 HarmBench 做心理测量学审查，质疑其分数能否代表单一属性
审计 HarmBench 分数能否代表单一 harmful refusal 属性
- arXiv
- 2610.12409
- 发表
- 层
- 模型层
- 场景
- 模型与 API
摘要作者称 HarmBench 不对应单一 harmful refusal，比较模型时应把行为分开。
这是对 HELM Safety 中 HarmBench 的构念效度审计，检查 harmful refusal 能否作为单一属性来读分数。。
- 可解释性arXiv 2610.12361
研究：法律推理模型引用法条不等于依据法条
用依据置换与隐层追踪审计法律思维链是否真正依赖所引法条
- arXiv
- 2610.12361
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-14B、Llama-3.1-8B 等7个
摘要作者通过依据置换反事实与内部承诺追踪发现法律 CoT 裁决对依据依赖度有限，且易受提示注入操纵。
本研究针对法律领域大语言模型思维链推理中引用法律依据的因果真实性展开实证审计。
- 其他arXiv 2610.12235
论文提出用语言模型充当 AI 研究世界模型，预测实验结果
提出研究世界模型，用语言模型预测干预增益
- arXiv
- 2610.12235
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Claude Opus 5、Grok-4.6、GPT-6 Astra 等13个
摘要作者称实验记录可在环境内外复用，并改善固定预算下的实验选择。
作者把语言模型用作研究世界模型，在执行前预测干预增益的中位数，用来在有限预算下比较候选实验。要处理的缺口是研究智能体提案快于执行。同一类改动在不同参考模型、配方和预算下效果可以不同，因此需要能离开原环境继续使用的实验知识。
- 分析与理论arXiv 2610.12083
论文审计 LLM 裁判可靠性：重复一致不等于正确
审计 LLM 裁判可靠性并定义可信判决率与准确率上界
- arXiv
- 2610.12083
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-5.2、GPT-4o、Gemini-2.5-Pro 等6个
- 组件护栏与评审
摘要作者称比较裁判应看 T，而不是只看准确率。
作者审计 LLM-as-a-Judge 在重复查询、交换候选顺序和更换提示格式时，判决是否还能当作可操作的真值。
- 防御arXiv 2610.11848
SemField：免训练的语义水印
提出语义水印 SemField，在释义与结构改动后仍识别生成文本归属
- arXiv
- 2610.11848
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.2-1B、Qwen3-1.7B、OPT-1.3B
摘要训练无关的文档级语义水印。
SemField 是提供方在生成时嵌入、事后用密钥检测的零比特语义水印，用来在释义和句子级结构改动后识别本方模型文本。
- 可解释性arXiv 2610.11775
RouterInterp：解释 MoE 路由中的叠加特化现象
提出 RouterInterp，用 SAE 解释 MoE 路由的叠加特化
- arXiv
- 2610.11775
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- gpt-oss-20b、OLMoE-1B-7B
- 分析与理论arXiv 2610.11765
研究提出三项指标衡量 LLM 不思考行为，发现被要求停止思考时仍持续显式推理
度量关闭思考指令下终答前是否仍有可见显式推理
- arXiv
- 2610.11765
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B、Qwen3-32B、Qwen3-235B-A22B 等6个
- 组件推理链
摘要作者用三级指标测 no-thinking，并称模型有随答案空间加重的思考惯性。
作者把 no-thinking 定义为可测量的回答行为，而不是从思考开关、特殊标记或输出长度推断。
- 评测与基准arXiv 2610.11586
MH-INDIC：面向印度城市与半城市语境孕产妇健康 LLM 交互的文化对齐评估框架
提出 MH-INDIC，评测印度语境母婴健康 LLM 交互的文化对齐
- arXiv
- 2610.11586
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Claude Sonnet 4.6、GPT-5、Gemini 3 Pro 等10个
摘要作者称模型可接近人群均值，但画像变异低于人类，人类分数条件可改善对话。
MH-INDIC 是面向城市与半城市北印度母婴互动的多维文化对齐评测。 它关心的不是医学事实是否正确，而是回复是否沿家庭权威、性别期待和情绪披露来推理。做法是把 Hofstede 六维改写到互动层，再加入 MAFC、BTB、SVO、MHS。
- 评测与基准arXiv 2610.11305
BeliefScope：区分证据与用户压力对模型信念影响的受控框架
用 BeliefScope 分离固定命题上证据与压力对模型信念的影响
- arXiv
- 2610.11305
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Llama3.1-8B、Gemma3-12B 等4个
- 风险失准与价值偏离
摘要BeliefScope 把证据修正与压力偏移拆成绑定评测条件的行为画像。
BeliefScope 是一个黑盒行为诊断框架，用来把固定命题上的回答变化拆成证据驱动的修正，和不加新事实的方向性压力。信念修正评测能看到信息基础变化后的更新，谄媚评测能看到用户影响下的顺从或漂移。作者认为，当两种输入都偏向同一结论时，表面偏移本身不能区分来源。
- 可解释性arXiv 2610.12520
CircuitTree：将电路组合为音节转写器
提出 CircuitTree，把音素电路合并为音节转写器
- arXiv
- 2610.12520
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- HuBERT-base
- 可解释性arXiv 2610.10865
用路由稀疏自编码器解耦语音编码器中的语言学与副语言学信息
提出路由 TopK SAE，把语音编码器稀疏码拆成语言与副语言通路
- arXiv
- 2610.10865
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- SPEAR XLarge、WavLM Large
- 组件音频
摘要路由 SAE 在冻结 SPEAR 与 WavLM 上分开语言和副语言因子，探针与交换支持通路分工。
TopK SAE 的稀疏码被分成语言通路与副语言通路，用来分开冻结语音编码器里同时存在的音素信息和说话人、情感、韵律。只重构不能得到作者选定的这一分解。语言通路由音素识别监督，副语言通路由说话人识别、情感分类和韵律预测监督，作用在对方通路上的梯度反转对抗用来压低交叉因子。
- 分析与理论arXiv 2610.10405
研究发现大语言模型被要求不诚实作答时推理 token 数上升
检验推理 token 数能否区分被提示的诚实与不诚实作答
- arXiv
- 2610.10405
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-4-e4b、Qwen-3.5-9b、GPT-OSS-120B
摘要被提示不诚实时推理 token 组水平更高。
三个推理模型在被提示的回答政策下出现组水平推理 token 差异。作者把它当作不读思维链内容的 black-box 候选信号，而不是自发欺骗检测器。
- 防御arXiv 2610.10655
Nullify：面向 LLM 遗忘的零空间激活引导免训练方法
提出零空间激活引导 Nullify，免训练擦除指定记忆并保持效用
- arXiv
- 2610.10655
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-2-7B-chat-hf、Qwen3-8B