攻击arXiv 2610.13928
AI 模型可被证明地隐藏任意能力
提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力
- arXiv
- 2610.13928
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma 3 270M
摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。
作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。
- 攻击arXiv 2610.03124
研究提出 Untag 攻击框架，使开源大模型触发标签滥用检测机制失效
提出 UNTAG，绕过开源权重模型的 trigger-tag 滥用检测
- arXiv
- 2610.03124
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama2 (7B)、Llama3 (8B)、Qwen2.5 (7B)
摘要作者用 UNTAG 评估 trigger-tag，认为其不能充当开放权重滥用检测的主要边界。
UNTAG 是针对开放权重 LLM 上条件滥用检测 trigger-tag 的统一攻击评估：信号可以在解码期注入，也可以写进权重，但攻击者若能改输出或改已发布权重，检测可以失效。
- 攻击arXiv 2609.24994
BAM 反馈编码实现推理时隐蔽的智能体通信
提出 BAM 反馈编码，在 LLM 生成文本中实现隐蔽通信
- arXiv
- 2609.24994
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 被测模型
- Llama-3.1-8B、Qwen-3.5-9B-Base、Mistral-7B-v0.3 等6个
- 技术编码与混淆
- 攻击arXiv 2609.15989
研究者提出 plan injection 攻击，可绕过思维链监控
提出 plan injection 攻击，植入良性伪装计划以绕过思维链监视器
- arXiv
- 2609.15989
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- Qwen2.5-Coder-7B-Instruct、Qwen3-8B、DeepSeek-R1-0528 等6个
摘要论文指出模型会将外部上下文中的伪装计划改写为自身推理，使思维链监视器失效甚至反向合理化恶意行为。
- 攻击arXiv 2608.29458
Reference-Grafting 在提取沙袋行为隐藏能力上追平微调
提出参考嫁接，在推理阶段用激活干预诱导沙袋隐藏能力
- arXiv
- 2608.29458
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Qwen2.5-1.5B、Qwen2.5-3B、Qwen2.5-14B 等15个
- 攻击模型篡改
摘要提出参考嫁接在推理阶段以低成本匹配微调诱导效果，揭示隐瞒表征重叠与阈值门控机制。
- 攻击arXiv 2607.21839
论文指出密码学模型认证的假设缺口：审计通过但部署失效
提出数据伪造攻击，使密码学模型认证在审计集通过但部署失效
- arXiv
- 2607.21839
- 发表
- 场景
- 模型与 API
- 被测模型
- SciKit-Learn decision tree、XGBoost、226M-parameter neural network 等4个
摘要固定审计集上的 ZKP 认证可被数据伪造绕过。
这篇工作同时给出对 CMC 的数据伪造攻击，以及先承诺、后抽样的认证模板。。
- 攻击arXiv 2606.16100
研究者提出 GhostPrint 攻击，可让弱模型伪装成高价 LLM 绕过指纹识别
提出 GhostPrint，用低秩微调让弱模型骗过指纹审计
- arXiv
- 2606.16100
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-1.1-2B、Qwen2-1.5B、Phi-3-mini
- 攻击检测规避
摘要GhostPrint 以 PEFT 让弱模型骗过部分指纹。
GhostPrint 讨论恶意推理提供方能否只用低秩更新，让更弱的模型在用户的 black-box 指纹审计里看起来像宣传中的强模型。
- 攻击arXiv 2605.12673
UC Berkeley 提出 BenchJack，自动审计 10 个 Agent 基准并发现 219 处奖励作弊缺陷
提出 BENCHJACK，审计 Agent 基准中的奖励作弊缺陷
- arXiv
- 2605.12673
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 组件权限与沙箱
摘要论文系统揭示了智能体基准的奖励作弊隐患，提出自动化红队审计与迭代修补系统 BENCHJACK。
论文系统研究了主流 AI 智能体基准评测中的奖励作弊问题，提出了首个针对基准缺陷的自动化红队审计与生成对抗式迭代修补系统 BENCHJACK。
- 攻击arXiv 2604.10893
研究者提出 Adaptive Stealing 自适应窃取水印攻击方法
提出 Adaptive Stealing，自适应窃取印章以擦除或伪造水印
- arXiv
- 2604.10893
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- OPT-2.7b、Llama3-8b
- 攻击检测规避
摘要AS 用逐步选印章做水印伪造与擦除，作者称其攻击效果高于固定策略的 WS。
AS 是一种窃取生成式 LLM 水印的算法，用来在密钥和检测接口不可用时伪造或擦除水印。
- 攻击arXiv 2601.14310
CORVUS：用 LoRA 伪装内部信号绕过单次幻觉检测器
提出 CORVUS，用 LoRA 伪装内部遥测以绕过幻觉检测器
- arXiv
- 2601.14310
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama-2-7B-Chat、Vicuna-7B (v1.5)、Llama-3-8B-Instruct 等4个
摘要作者称内部遥测在自适应模型侧对抗下易被操纵，CORVUS 通过轻量适配器微调降低了多种幻觉检测器的效果。
- 攻击arXiv 2509.09112
研究：字符级扰动可破坏 LLM 水印，并提出基于遗传算法的去除攻击
提出字符级扰动与遗传算法去除 LLM 水印
- arXiv
- 2509.09112
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- OPT-1.3B、LLaMA-3-8B
摘要字符级扰动靠更大攻击范围移除水印。
这篇工作评估推理时 LLM 水印在黑盒、有限查询下的移除难度，并比较字符级、token 级和句子级编辑。
已经到底了