其他arXiv 2610.13810
用子序列关联过滤与广度感知选择抑制 LLM 查询扩展中的幻觉词
提出 SAFE-QE，过滤 LLM 查询扩展中无支持的幻觉词
- arXiv
- 2610.13810
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- BM25、SPLADE、Contriever
摘要SAFE-QE 以可复现性与覆盖选择抑制扩展幻觉，作者称排序质量无可见代价。
全部论文
另有240篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2610.12360
论文提出 ISE 框架，评测 LLM Agent 在知识冲突下的认知谦逊
提出 ISE 框架，评测 LLM Agent 在知识冲突下的认知谦逊
- arXiv
- 2610.12360
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Nemotron-Orchestrator-8B、Claude Sonnet 4.6、GPT-5 等5个
摘要ISE 轨迹评测显示，四个智能体的高任务准确率并不对应更高的认知谦逊。
作者要测的不是智能体最终答得对不对，而是知识冲突出现时，它有没有在轨迹里认出缺口、做有界的工具跟进，并把没解决的不确定性写给用户。
- 防御arXiv 2610.11942
LGWM：用动作条件世界模型验证 GUI 智能体的屏幕转移
提出 LGWM，用动作条件世界模型核验 GUI 智能体屏幕转移
- arXiv
- 2610.11942
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- LGWM
- 攻击arXiv 2610.11932
复旦团队测量 AI 搜索引用脆弱性：普通发帖可进入引用与答案文本
测量 AI 搜索引用脆弱性，证明普通公开发帖可进入引用与回答
- arXiv
- 2610.11932
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Grok、Doubao、ChatGPT 等10个
摘要作者称论文量化了 AI 搜索因引用偏好与低发帖门槛形成的漏洞，测试显示公开网络发帖可渗透 AI 引用，呼吁审计引用供应链。
- 防御arXiv 2610.11634
LTBD：用可学习信任边界分隔符防御提示注入
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
- arXiv
- 2610.11634
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama3-8B-Instruct、Llama3.1-8B-Instruct、Falcon3-7B-Instruct 等4个
摘要LTBD 只训练四个分隔符嵌入。
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
- 评测与基准arXiv 2610.11514
SSCBench：评估工具调用 LLM Agent 故障注入测试证据有效性的测量协议与基准
提出 SSCBench，评测工具调用 Agent 故障注入测试的证据有效性
- arXiv
- 2610.11514
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- deepseek-flash、deepseek-v4-pro、gpt-5.6-luna 等5个
摘要解释采纳前应报告该次执行的证据条件，以及支撑该主张的观察总体。
SSCBench 研究工具使用智能体的故障注入结果，在什么证据条件下可以被解释。
- 攻击arXiv 2610.10742
BRANCH 方法绕过 6 套多扫描器护栏系统
提出 BRANCH 方法，用分支搜索绕过多扫描器护栏
- arXiv
- 2610.10742
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Meta Llama Guard 3 8B、Meta Llama Guard 7B、Meta Llama Guard 3 1B 等18个
- 攻击arXiv 2610.09973
从期望危害到似然：LLM 智能体越狱的概率重构
提出 OPUR 攻击，用似然梯度优化对抗后缀越狱 LLM 智能体
- arXiv
- 2610.09973
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 白盒
- 被测模型
- Llama-3.1-8B-Instruct、Ministral-8B-Instruct-2410
- 评测与基准arXiv 2610.09581
研究审计 LLM 读取 Agent 日志的取证能力：答案正确但引用来源多为猜测
评测 LLM 审计 Agent 日志时来源重建是否有证据支持
- arXiv
- 2610.09581
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- gpt-5.6-luna、claude-sonnet-4-6、gpt-5.4-mini-2026-03-17 等5个
- 风险幻觉与编造
摘要保存执行范围的标识绑定，才能把猜中的引用和证据支持的引用分开。
包级审计检查保存的智能体动作里，哪些来源结论能被交给分析者的记录支持。
- 其他arXiv 2610.09296
论文用生成式 Agent 建模模拟私有测试集对评分与用户体验差距的影响
用混合生成式多智能体仿真考察基准留出对评分与满意度差距的影响
- arXiv
- 2610.09296
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 攻击arXiv 2610.09264
研究者提出 PackHallu：经规则文件提示注入对编码 Agent 发起包幻觉攻击
提出 PackHallu，经规则文件提示注入诱导编码 Agent 换用攻击者指定包
- arXiv
- 2610.09264
- 发表
- 层
- 应用层
- 被测模型
- Qwen2.5-Coder-7B、Qwen3-Coder-30B、Devstral-Small-2-24B 等19个
摘要PackHallu 诱导规则文件换包。
PackHallu 研究一种针对编程智能体规则文件的提示注入：让智能体在本应使用合法依赖时，改导入攻击者指定并控制的包。
- 防御arXiv 2610.09043
CARE：安全高效的人机协作决策框架
提出 CARE 框架，在误分类风险约束下减少人机协作的人工查询
- arXiv
- 2610.09043
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen3-VL-2B-Instruct、Perspective、Moderation 等9个
摘要CARE 以残差校正加逐步校准做人机决策，四个任务上少查询并控制集成风险。
CARE 是面向人机协同二分类的端到端流水线，要在误分类风险不超过用户容忍的前提下减少人类查询。设定是 i.i.d.数据流、人类 oracle 标签正确、AI 为任意黑盒概率分类器。
- 攻击arXiv 2610.09027
P-VMI：对抗图像经 KV cache 持续影响多轮对话
提出持久视觉记忆注入，使对抗图像经缓存在触发时操控输出
- arXiv
- 2610.09027
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-VL-8B-Instruct、Gemma-4-12B
摘要论文提出 P-VMI，证实对抗输入被掩蔽后仍可经 KV 缓存持久控制模型，强调了保留状态的安全风险。
- 防御arXiv 2610.08668
SBW：面向 LLM 智能体的语义行为水印方法
提出 SBW，为 LLM Agent 轨迹做抗改写与伪造的语义行为水印
- arXiv
- 2610.08668
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen2.5-3B-Instruct、LLaMA-3.2-3B、Qwen2.5-7B 等5个
摘要SBW 在语义簇上做溯源水印，改写检测高于精确符号，链式重放仍开放。
SBW 是免训练的智能体行为水印，把所有者标识放在离散动作选择上，而不是输出 token。
- 评测与基准arXiv 2610.08585
研究：无关信息污染患者病历并干扰 LLM 临床推理
构建 MedDistract 基准，测量偶发信息对临床文书与推理的污染
- arXiv
- 2610.08585
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- GPT-5.4、GPT-5.6 Sol、Claude Opus 5 等9个
- 攻击arXiv 2610.07645
SkillPoison：用成功经验投毒自进化 Agent 的技能形成
提出 SkillPoison，用局部有效的成功经验诱导自进化 Agent 形成过度泛化技能
- arXiv
- 2610.07645
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- deepseek-v4-flash、Qwen V3.8 Flash、GPT-5.5
摘要SkillPoison 通过局部有效且验证成功的经验诱导技能过度泛化，在多个评测基准上实现了持久的下游攻击影响。
SkillPoison 提出了一种针对自进化智能体经验到技能形成过程的攻击范式，通过组织已验证的成功经验诱导技能过度泛化。
- 防御arXiv 2610.07570
ProbeGuard：按共识形成过程判断弃答，识别医疗问答中的一致错误
提出 ProbeGuard，按共识形成过程对医疗问答做选择性弃答
- arXiv
- 2610.07570
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen3-8B、Llama-3.1-8B-Instruct、HuatuoGPT-o1-8B
摘要ProbeGuard 用共识形成过程做可认证弃权，并在全票层分开答对与答错的共识。
ProbeGuard 是给多轮共识医学问答用的认证弃权框架：基板照原样作答，弃权只看共识是怎么形成的。
- 防御arXiv 2610.07403
针对 LLM 谄媚的纵深防御：记忆门控对激活诱导与记忆诱导谄媚的评估
评测记忆门控对激活诱导与记忆诱导谄媚的防御效果
- arXiv
- 2610.07403
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3 等4个
摘要作者称外部记忆过滤成立，数据未显示反向转向再有贡献。
作者在四个开源指令模型上，把激活转向和外部记忆处理放进同一纵深防御协议，看记忆诱发谄媚和内部谄媚压力能否分开压低，以及个性化效用还剩多少。要处理的问题是：检索到的用户历史会推动模型顺从存储信念。只改外部上下文，并不直接动模型内部的谄媚表征。
- 防御arXiv 2610.07276
SAFESHIELD：小语言模型部署时安全的决策组织框架
提出 SAFESHIELD，组织小语言模型部署时的安全决策
- arXiv
- 2610.07276
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Qwen3-4B-Instruct
摘要SAFESHIELD 用可审计决策轨迹组织 SLM 部署时的四项安全决策，并报告协调依赖影响端到端结果。
SAFESHIELD 是面向小语言模型的部署时安全框架，把运行时安全从单项审核改写成可检查的决策过程。
- 评测与基准arXiv 2610.06748
BazaarBench：评估 LLM Agent 在去中心化 C2C 市场中的代理安全
构建 BazaarBench，评测 C2C 市场中 Agent 的违规与失信行为
- arXiv
- 2610.06748
- 发表
- 层
- 应用层
- 场景
- 多智能体
- 被测模型
- GPT-5.5、GPT-5.4、GPT-5.4-mini 等5个
- 风险欺骗与谋划
摘要论文提出挂钩底层资产的 C2C 交易评测基准，发现时间压力与对抗指令显著推高了智能体的违规承诺与欺诈行为。
BazaarBench 针对大语言模型智能体在去中心化 C2C 交易中的代理安全问题，提出了一个结合底层实体状态与大模型裁判的仿真基准平台。