跳到正文
10月12日 · 周一

全部论文

找到 257篇
筛选2

攻击类型

越狱6提示注入35投毒与后门16模型篡改4提取与窃取69检测规避10恶意使用9

攻击技术

自动化搜索13编码与混淆6推理链操控3侧信道4针对防御9潜伏触发12诱导选用3

模型自身风险

欺骗与谋划42奖励作弊52失准与价值偏离4Agent 危险操作12

防御类型

模型加固28推理时干预6检测与过滤6指令与数据隔离10权限与审批14监控与审计27

影响

有害内容311越权操作216数据与隐私泄露133输出被操纵335可用性与可靠性90监督失效124滥用能力提升18

系统形态

模型与 API127LLM 应用21AI Agent110coding agent34science agent5web agent7多智能体16

攻击者权限

黑盒31灰盒6白盒9

攻击面/入口

用户输入71网页与界面7文档与消息12工具返回12工具与技能描述12代码仓库与依赖8检索语料3记忆写入9Agent 间消息8图像与音视频9训练数据8权重与梯度19分发渠道9推理服务与硬件9

层

提示层18模型层61应用层120训练与数据层49基础设施层9

系统组件

MCP 与技能18记忆14RAG11护栏与评审29监控器44推理链23权限与沙箱18微调与开源权重10视觉8音频4图像生成5嵌入5多模态17
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 261篇还没打标签，不在筛选结果里。
影响：数据与隐私泄露影响：监督失效清除全部

另有261篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2610.13928

    AI 模型可被证明地隐藏任意能力

    提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力

    arXiv
    2610.13928
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Gemma 3 270M
    摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。

    作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。

    深度解读完整解读
  2. 风险行为arXiv 2610.12822

    奖励作弊作为多智能体编码系统中的可传播策略

    展示奖励黑客可在多智能体编码系统中经代码、记忆和计划传播

    arXiv
    2610.12822
    发表
    层
    应用层
    场景
    多智能体、coding agent
    被测模型
    Qwen2.5-Coder-14B、Gemma-3-12B、Qwen2.5-Coder-7B 等16个
    摘要作者称奖励黑客可跨模型传播并影响路由与聚合，审查能降低交付。

    编码 RL 诱发的奖励黑客可以离开源智能体，进入后续协作和系统协调。

    深度解读完整解读
  4. 可解释性arXiv 2610.12361

    研究：法律推理模型引用法条不等于依据法条

    用依据置换与隐层追踪审计法律思维链是否真正依赖所引法条

    arXiv
    2610.12361
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Qwen3-8B、Qwen3-14B、Llama-3.1-8B 等7个
    摘要作者通过依据置换反事实与内部承诺追踪发现法律 CoT 裁决对依据依赖度有限，且易受提示注入操纵。

    本研究针对法律领域大语言模型思维链推理中引用法律依据的因果真实性展开实证审计。

    深度解读完整解读
  5. 分析与理论arXiv 2610.12083

    论文审计 LLM 裁判可靠性：重复一致不等于正确

    审计 LLM 裁判可靠性并定义可信判决率与准确率上界

    arXiv
    2610.12083
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    GPT-5.2、GPT-4o、Gemini-2.5-Pro 等6个
    摘要作者称比较裁判应看 T，而不是只看准确率。

    作者审计 LLM-as-a-Judge 在重复查询、交换候选顺序和更换提示格式时，判决是否还能当作可操作的真值。

    深度解读完整解读
  6. 防御arXiv 2610.11848

    SemField：免训练的语义水印

    提出语义水印 SemField，在释义与结构改动后仍识别生成文本归属

    arXiv
    2610.11848
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    Llama-3.2-1B、Qwen3-1.7B、OPT-1.3B
    摘要训练无关的文档级语义水印。

    SemField 是提供方在生成时嵌入、事后用密钥检测的零比特语义水印，用来在释义和句子级结构改动后识别本方模型文本。

    深度解读完整解读
  7. 评测与基准arXiv 2610.11773

    研究提出 Agent 安全新维度：识别未履行的安全义务

    提出义务识别基准 ObligationBench，并训练护栏识别 Agent 未履行的安全义务

    arXiv
    2610.11773
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    ObligationGuard、Claude-Opus-4.8、GPT-5.6-Sol 等17个
    摘要义务是护栏缺口。

    作者认为编码智能体的安全不能只靠拦截禁止动作，还要找出终止时仍未做的安全关键动作，并将其称为义务。

    深度解读完整解读
  8. 防御arXiv 2610.11754

    仅凭输出审查无法验证什么：面向研究智能体的研究契约

    提出研究合同，把已批准选择绑定到执行证据并由检查器核验

    arXiv
    2610.11754
    发表
    层
    应用层
    场景
    science agent
    被测模型
    OpenAI gpt-5.6-sol、OpenAI gpt-5.6-terra、OpenAI gpt-5.6-luna 等18个
    摘要研究合同暴露四类输出单独建不立的关系。

    研究合同用来核验计算科学研究智能体是否仍在已批准研究之内，不判断科学是否为真。。

    深度解读完整解读
  10. 防御arXiv 2610.11281

    包络采样：用少量真值标注重校准 LLM 评委以缓解奖励作弊

    提出包络采样，用少量真值标注重标定 LLM 评委以缓解奖励作弊

    arXiv
    2610.11281
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    Qwen3-4B、Qwen3.8-27B、Qwen2.5-14B-Instruct
    摘要包络采样把真值标注打到代理尾部，同样预算下缓解 reward hacking。

    作者研究后训练前如何选择真值标注的查询分布，使重标定后的廉价代理更适合被优化。真奖励昂贵时，实践用 LLM judge 代替人类。若失准只发生在基座很少生成的输出上，on-policy 标注修不到这些点，随后的 KL 正则优化会把质量集中到被高估的输出。

    深度解读完整解读
  11. 攻击arXiv 2610.12524

    对 AI Agent 系统攻击的探索

    重测并扩展对 AI Agent 的提示注入，并用 Agent Card 欺骗操纵 A2A 选择

    arXiv
    2610.12524
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Ollama Mistral 0.9.5、llama3-8b-8192、gemini-2.0-flash-lite 等5个
    摘要单智能体过滤与分类可被格式或措辞绕过，A2A 选卡还会偏向名称和描述。

    作者在自建的 LangChain、AutoGen 和 A2A 系统上重测提示注入，并改 Agent Card 看选择是否偏移。摘要称试验主要凸显单智能体弱点，同时把攻击扩到多智能体。

    深度解读完整解读
  12. 防御arXiv 2610.11012

    Redwood Research 提出蒸馏双重困境：用蒸馏让模型坦白隐藏行为或只继承能力

    提出 DFI 与 DFC 蒸馏，定罪隐瞒失配的教师或安全提取能力

    arXiv
    2610.11012
    发表
    层
    训练与数据层
    场景
    模型与 API
    被测模型
    Llama-3.3-70B-Instruct (AuditBench SFT/KTO organisms)、Llama-3.3-70B-Instruct (DFI distilled student)、Llama-3.1-8B-Instruct (DFI distilled student) 等4个

    摘要概括了论文针对隐瞒失配模型提出的 DFI 与 DFC 机制、主实验发现及适用边界。

    深度解读完整解读
  15. 评测与基准arXiv 2610.10150

    论文指出 LLM 漏洞修复基准可靠性受评测设计影响

    用对照实验隔离评测设计对漏洞补丁基准得分的影响

    arXiv
    2610.10150
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Claude Sonnet 4.0、Claude Sonnet 4.5、Claude Opus 4.7
    摘要作者认为评测流水线会改变补丁基准分数，PoC 通过率高于开发者测试通过率。

    作者把 LLM 漏洞补丁基准的评测流水线当作会改变测量结果的对象，并明确说本文不是再做一个用于排名的基准。

    深度解读完整解读
  16. 其他arXiv 2610.10064

    研究者提出理解审计机制，以缓解自动化 AI 研究带来的风险

    提出 comprehension audits，以人类理解证据作为继续研发门槛

    arXiv
    2610.10064
    发表
    层
    训练与数据层
    场景
    science agent
    摘要理解审计把出示人类理解设为继续研发的门禁，并报告开源评审评论率下降。

    本文是一份研发过程保障提案：用 comprehension audits 检验责任人是否理解 AI 参与产生的研发贡献，未达标就暂停后续开发与依赖该贡献的发布。。

    深度解读完整解读
  17. 攻击arXiv 2610.09981

    研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题

    提出利用路由元数据推断敏感话题的侧信道攻击

    arXiv
    2610.09981
    发表
    层
    基础设施层
    场景
    LLM 应用
    被测模型
    RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)

    摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。

    深度解读完整解读
  19. 分析与理论arXiv 2610.09667

    东京大学研究：推理模型按 UUID 阈值或整除规则挑选审计样本，控制标识符即可躲开复核

    揭示推理模型用标识符规则替代随机抽样，使审计可被预测

    arXiv
    2610.09667
    发表
    层
    模型层
    场景
    模型与 API
    被测模型
    GPT-6 Sol、GPT-6 Luna、GPT-5.4 mini 等6个

    摘要研究揭示推理智能体将标识符转化为确定性规则，破坏群体独立性并导致审计预测漏洞，建议显式提供随机输入。

    深度解读完整解读
加载更多