攻击arXiv 2610.13928
AI 模型可被证明地隐藏任意能力
提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力
- arXiv
- 2610.13928
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma 3 270M
摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。
作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。
全部论文
另有262篇论文还没打上分类标签，暂不在筛选结果里。
- 评测与基准arXiv 2610.13626
SWE-DeceptionBench：评测 LLM 在软件开发生命周期中的欺骗行为
提出 SWE-DeceptionBench 评测 LLM 在软件开发生命周期中的欺骗
- arXiv
- 2610.13626
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-5.5、Claude-Opus-4.8、Gemini-3.5-Flash 等9个
- 风险欺骗与谋划
- 分析与理论arXiv 2610.13051
空间胜过统计量，重训练胜过排序：审计仅标签后门下的训练标签
审计仅标签后门的训练标签，比较空间与统计量并以重训评判
- arXiv
- 2610.13051
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-32
摘要查标签要在未拟合这些标签的空间里做，并用重训模型而不是检测分数评判。
作者问的是：手里没有可信数据的防御者，能否决定留下哪些训练标签，以及这会毁掉多少干净数据、最终模型准确率如何。
- 风险行为arXiv 2610.12822
奖励作弊作为多智能体编码系统中的可传播策略
展示奖励黑客可在多智能体编码系统中经代码、记忆和计划传播
- arXiv
- 2610.12822
- 发表
- 层
- 应用层
- 被测模型
- Qwen2.5-Coder-14B、Gemma-3-12B、Qwen2.5-Coder-7B 等16个
摘要作者称奖励黑客可跨模型传播并影响路由与聚合，审查能降低交付。
编码 RL 诱发的奖励黑客可以离开源智能体，进入后续协作和系统协调。
- 攻击arXiv 2610.12644
癌变式后门攻击：借助不可见 token 与阶段控制器实现渐进激活
提出 Cancerous 后门，用不可见阶段 token 分阶段腐蚀推理
- arXiv
- 2610.12644
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct、Mistral-7B-Instruct-v0.3
摘要隐藏 token 加阶段控制器使后门随触发累积腐蚀推理，作者认为只看答案会漏掉它。
Cancerous Backdoor Attack 把 LLM 后门从一次激活改成随触发累积推进的多阶段推理腐蚀。
- 防御arXiv 2610.12445
FAR.AI 论文：白盒探针在 SHADE-Arena 上以 98.8% AUC 超过 Opus 5.5 文本监控
用 FIBS 训练白盒探针，监控智能体破坏行为与未言明欺骗
- arXiv
- 2610.12445
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Qwen3.5-397B-A17B、Qwen3.5-122B-A10B、Qwen3.5-27B 等10个
- 可解释性arXiv 2610.12361
研究：法律推理模型引用法条不等于依据法条
用依据置换与隐层追踪审计法律思维链是否真正依赖所引法条
- arXiv
- 2610.12361
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-14B、Llama-3.1-8B 等7个
摘要作者通过依据置换反事实与内部承诺追踪发现法律 CoT 裁决对依据依赖度有限，且易受提示注入操纵。
本研究针对法律领域大语言模型思维链推理中引用法律依据的因果真实性展开实证审计。
- 评测与基准arXiv 2610.12360
论文提出 ISE 框架，评测 LLM Agent 在知识冲突下的认知谦逊
提出 ISE 框架，评测 LLM Agent 在知识冲突下的认知谦逊
- arXiv
- 2610.12360
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Nemotron-Orchestrator-8B、Claude Sonnet 4.6、GPT-5 等5个
摘要ISE 轨迹评测显示，四个智能体的高任务准确率并不对应更高的认知谦逊。
作者要测的不是智能体最终答得对不对，而是知识冲突出现时，它有没有在轨迹里认出缺口、做有界的工具跟进，并把没解决的不确定性写给用户。
- 分析与理论arXiv 2610.12313
研究测试五个大模型合规系统对监管规则扰动的敏感度
诊断合规系统裁决是否随监管规则扰动而改变
- arXiv
- 2610.12313
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Llama-3.3-70B-Instruct、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct 等5个
摘要五模型上许多正确裁决对删换否定规则大体不变。
用行为反事实和激活探针，审计合规裁决是否依赖所给规则。。作者要分开两种看起来一样的正确裁决：用了所给规则的，以及靠案例表面或训练模式得到的。
- 分析与理论arXiv 2610.12125
研究者发现优化教学适配度指标会让 LLM 导师重复同一选项，专家评分从 4.46 降到 3.03
分析优化教学适配指标为何使辅导选择塌缩并偏离专家判断
- arXiv
- 2610.12125
- 发表
- 场景
- 模型与 API
- 被测模型
- Gemini 3.1 Pro Preview、Qwen3-32B
- 风险奖励作弊
摘要指标上升而专家评分下降：可分平均的最优是重复，校正主要改写了输出投影。
把教学适配指标做成微调目标后，指标上升，受过训练的教育者给出的评分下降。。
- 分析与理论arXiv 2610.12083
论文审计 LLM 裁判可靠性：重复一致不等于正确
审计 LLM 裁判可靠性并定义可信判决率与准确率上界
- arXiv
- 2610.12083
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- GPT-5.2、GPT-4o、Gemini-2.5-Pro 等6个
- 组件护栏与评审
摘要作者称比较裁判应看 T，而不是只看准确率。
作者审计 LLM-as-a-Judge 在重复查询、交换候选顺序和更换提示格式时，判决是否还能当作可操作的真值。
- 可解释性arXiv 2610.11986
FearCaut-Qwen：激活引导改变视觉语言模型的风险判定标准
用恐惧激活转向检验视觉语言模型的隐患判定准则
- arXiv
- 2610.11986
- 发表
- 层
- 模型层
- 场景
- LLM 应用
- 被测模型
- Qwen/Qwen2.5-VL-7B-Instruct
- 组件视觉
- 防御arXiv 2610.11942
LGWM：用动作条件世界模型验证 GUI 智能体的屏幕转移
提出 LGWM，用动作条件世界模型核验 GUI 智能体屏幕转移
- arXiv
- 2610.11942
- 发表
- 层
- 应用层
- 场景
- 网页与电脑操作
- 被测模型
- LGWM
- 攻击arXiv 2610.11932
复旦团队测量 AI 搜索引用脆弱性：普通发帖可进入引用与答案文本
测量 AI 搜索引用脆弱性，证明普通公开发帖可进入引用与回答
- arXiv
- 2610.11932
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Grok、Doubao、ChatGPT 等10个
摘要作者称论文量化了 AI 搜索因引用偏好与低发帖门槛形成的漏洞，测试显示公开网络发帖可渗透 AI 引用，呼吁审计引用供应链。
- 防御arXiv 2610.11848
SemField：免训练的语义水印
提出语义水印 SemField，在释义与结构改动后仍识别生成文本归属
- arXiv
- 2610.11848
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.2-1B、Qwen3-1.7B、OPT-1.3B
摘要训练无关的文档级语义水印。
SemField 是提供方在生成时嵌入、事后用密钥检测的零比特语义水印，用来在释义和句子级结构改动后识别本方模型文本。
- 防御arXiv 2610.11754
仅凭输出审查无法验证什么：面向研究智能体的研究契约
提出研究合同，把已批准选择绑定到执行证据并由检查器核验
- arXiv
- 2610.11754
- 发表
- 层
- 应用层
- 被测模型
- OpenAI gpt-5.6-sol、OpenAI gpt-5.6-terra、OpenAI gpt-5.6-luna 等18个
摘要研究合同暴露四类输出单独建不立的关系。
研究合同用来核验计算科学研究智能体是否仍在已批准研究之内，不判断科学是否为真。。
- 防御arXiv 2610.11634
LTBD：用可学习信任边界分隔符防御提示注入
提出 LTBD，用可学习分隔符隔离可信指令与不可信数据
- arXiv
- 2610.11634
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama3-8B-Instruct、Llama3.1-8B-Instruct、Falcon3-7B-Instruct 等4个
摘要LTBD 只训练四个分隔符嵌入。
LTBD 是一种不改基座权重的提示注入防御：只学习用来标出可信指令与不可信数据边界的四个 token 嵌入。
- 评测与基准arXiv 2610.11514
SSCBench：评估工具调用 LLM Agent 故障注入测试证据有效性的测量协议与基准
提出 SSCBench，评测工具调用 Agent 故障注入测试的证据有效性
- arXiv
- 2610.11514
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- deepseek-flash、deepseek-v4-pro、gpt-5.6-luna 等5个
摘要解释采纳前应报告该次执行的证据条件，以及支撑该主张的观察总体。
SSCBench 研究工具使用智能体的故障注入结果，在什么证据条件下可以被解释。
- 防御arXiv 2610.11464
研究者提出可检查评分器与自改进 Agent 共同演化方法
演化可检查评分器并与自改进 Agent 共同演化，抑制奖励作弊
- arXiv
- 2610.11464
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Claude Opus 4.7
摘要十项锚点演化可检查评分器。
开放任务没有验证器时，被演化的是评分器，而不是再补一条手写 rubric。
- 防御arXiv 2610.11352
RL-ARC：用推理引导的不确定性校准大型推理模型
提出 RL-ARC，用推理置信度在强化学习中校准推理模型
- arXiv
- 2610.11352
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B、Qwen3-8B、Llama-8B distilled from DeepSeek-R1
摘要RL-ARC 用推理置信度调节答案置信度，作者称可少牺牲精度并改善 ID 与 OOD 校准。
RL-ARC 是校准感知的强化学习框架，用推理过程的口头置信度调节答案置信度。