防御arXiv 2610.12602
语言模型中的自我保存
提出 Task Bank 自回放，缓解持续指令微调的留出遗忘
- arXiv
- 2610.12602
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-0.6B、Qwen3-1.7B、Qwen3-4B 等4个
- 防御模型加固
摘要作者称自回放可在清单外减遗忘，4B 上新任务信息有助于选目标，小模型则无。
作者研究语言模型学习新任务时，如何用自身知识做更广的自我保持：给定清单不完整，遗忘又会超出清单，模型能否生成回放并帮忙选择目标。
- 攻击arXiv 2610.09819
FAB 攻击：给 HuBERT/WavLM 植入后门，背景警笛声即可让下游语音任务失灵
提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门
- arXiv
- 2610.09819
- 发表
- 场景
- 模型与 API
- 被测模型
- HuBERT-base、WavLM-base
摘要论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。
- 分析与理论arXiv 2610.09004
研究：去除有害信息不足以证明开源权重模型的抗篡改能力
论证发布时互信息不能认证开源权重抗微调恢复
- arXiv
- 2610.09004
- 发表
- 场景
- 模型与 API
- 被测模型
- EleutherAI/deep-ignorance-e2e-strong-filter、EleutherAI/deep-ignorance-unfiltered、Google BERT-Tiny 等6个
摘要作者称零信息仍可一步恢复，表观抗微调可来自参数化。
作者研究开源权重模型的篡改抵抗：发布时的互信息是否足以保证微调恢复很慢。
- 分析与理论arXiv 2610.08577
学习方式如何影响遗忘：记忆与泛化谱系下的机器遗忘研究
分析记忆与泛化如何决定机器遗忘的 retain 损伤
- arXiv
- 2610.08577
- 发表
- 场景
- 模型与 API
- 被测模型
- one-layer ReLU transformer、one-layer transformer (BMA, width doubled)、Hubble-8B-100B perturbed 等6个
摘要作者称共享规则占比越高，遗忘带来的 retain damage 越大。
作者考察学习方式如何左右 unlearning 的 retain damage：训练越依赖跨样本共享的解法，在匹配的遗忘程度上，retain 上的损失越大。
- 其他arXiv 2610.05831
长时程轨迹监督如何影响终端智能体训练的可靠性与成本
提出选择性长时程精炼，筛选轨迹以提升终端智能体训练可靠性
- arXiv
- 2610.05831
- 发表
- 被测模型
- Qwen/Qwen3-8B
摘要中间长度的监督更均衡。
这项工作研究终端智能体模仿学习里，教师轨迹应保留多少 token。
- 分析与理论arXiv 2610.05076
自生成反馈会破坏测试时训练：长时程适应的因果分解
因果分解自生成反馈如何破坏测试时训练的长时程适应
- arXiv
- 2610.05076
- 发表
- 场景
- 模型与 API
- 被测模型
- 125M TTT-E2E、760M TTT-E2E、3B TTT-E2E 等5个
摘要自写闭环损害真实文本预测。
持久测试时更新若来自模型自己生成的文本，会同时改变模型和后续训练文本。作者在 PG-19 长流上分解这条闭环，并用独立文本决定是否提交更新。
- 防御arXiv 2610.04616
PerturBot 用扰动训练打破视觉-语言-动作模型的模态捷径
提出 Perturbot 扰动训练，打破 VLA 的模态捷径
- arXiv
- 2610.04616
- 发表
- 场景
- 具身与机器人
- 被测模型
- π0.5
摘要Perturbot 改训练数据以削弱三类模态捷径，GroundFscore 用来看成功是否来自任务证据。
Perturbot 是一套不改推理的 VLA 训练期数据干预，用来削弱模态捷径，并用离线分数区分“任务变好”和“靠捷径变好”。
- 防御arXiv 2610.04299
R-Quest：用问题有效性与新颖性反馈维持推理模型自我进化
提出 R-Quest，用有效性与新颖性反馈维持推理模型自我进化
- arXiv
- 2610.04299
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B-Base、OctoThinker-3B-Hybrid-Base
摘要R-Quest 用有效性与新颖性反馈维持自进化。
R-Quest 处理的是推理模型自进化中的题目质量：questioner 与 solver 用 GRPO 交替从自生成题目学习时，多轮之后平均成绩会下降。
- 防御arXiv 2610.02126
Local Support Learning：无需旧数据缓解 LLM 灾难性遗忘
提出 Local Support Learning，把微调适配器限制在当前数据支撑以缓解遗忘
- arXiv
- 2610.02126
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B-Instruct、Qwen2.5-3B-Instruct、Qwen2.5-1.5B-Instruct
- 防御模型加固
摘要LSL 用 GMM 门把适配器限制在当前数据支撑内，以减轻多阶段遗忘。
LSL 是不访问旧数据、在后训练中保持先前能力的框架。
- 分析与理论arXiv 2609.40295
一个 AI token 值多少？研究者为野生 AI 生成网页文本提出新缩放定律
提出预训练缩放律，估计野生 AI 网页文本相当于多少人类 token
- arXiv
- 2609.40295
- 发表
- 场景
- 模型与 API
- 被测模型
- nanochat 19.9M、35.8M、86.2M 等7个
摘要wild AI 文本对数据不足的模型先降损失，对高人类预算几乎立刻升损失。
作者测量未标注的 wild AI 网页文本对预训练的影响，并提出一个能让 AI token 价值变号的缩放律。
- 防御arXiv 2609.39866
研究者提出梯度封堵实现 LLM 发布前的预防性遗忘
提出 GSU 在发布前封堵敏感门梯度，抵抗下游微调获取禁止能力
- arXiv
- 2609.39866
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama-3.2-1B、Llama-3.2-3B、Llama-3.1-8B 等7个
摘要GSU 在发布前封堵 SiLU 门的获取梯度，并在 TOFU 与 WMDP 上降低下游微调得分。
Gradient-Sealed Unlearning（GSU）是一种发布前的 preemptive unlearning：不删除模型里已经有的能力，而是让指定禁止域能力更难被发布后的微调获取。
- 防御arXiv 2609.39820
FailBank：用运行时反馈自进化提升 VLA 模型任务成功率
提出 FAIL BANK，用运行时 CBF 反馈自进化更新 VLA 策略
- arXiv
- 2609.39820
- 发表
- 场景
- 具身与机器人
- 被测模型
- π0.5、π0
- 防御模型加固
- 风险Agent 危险操作
- 防御arXiv 2609.39306
ReSAIL：缓解迭代式智能体自蒸馏中的能力崩塌
提出 ReSAIL，用选择蒸馏与特权保留缓解智能体自蒸馏崩塌
- arXiv
- 2609.39306
- 发表
- 场景
- AI Agent
- 被测模型
- Qwen3-4B、Qwen3-8B、Qwen3-VL-4B-Instruct
- 防御模型加固
- 防御arXiv 2609.34857
CREDO：用可微读出替代文本采样校准推理模型置信度
提出 CREDO，用保留 token 对的可微读出校准推理模型置信度
- arXiv
- 2609.34857
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-1.7B、Qwen3-4B
- 防御模型加固
摘要CREDO 用可微两 token 读出替代口头置信，在数学和代码上同时拉高准确率与校准。
CREDO 把 RLVR 里的置信从“采样一个数字”改成“读一对保留 token 的相对概率”，并用可微回归和差异加权同时拉准确率与校准。。
- 分析与理论arXiv 2609.32288
预训练数据投毒的可解理论：依赖极限顺序的缩放指数
证明预训练投毒的清洁超额风险指数随极限顺序变化
- arXiv
- 2609.32288
- 发表
- 场景
- 模型与 API
- 被测模型
- OLMo-style models
- 攻击投毒与后门
摘要投毒清洁超额风险的幂指数取决于先固定宽高比还是先取充足数据极限。
可解的预训练数据投毒理论：清洁超额风险的缩放指数随极限顺序改变。。
- 攻击arXiv 2609.27124
Fed-ADR：用恶意编排服务器协同客户端梯度操纵攻击联邦学习
提出 Fed-ADR，用编排服务器协同操纵梯度攻破联邦学习并检测恢复
- arXiv
- 2609.27124
- 发表
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- CNN（MNIST：2 Conv + 3 FC）、CNN（Fashion-MNIST：6 Conv + 1 FC）、ResNet18（CIFAR-10）
摘要Fed-ADR 用 gray-box 编排攻击绕过多种聚合防御，再用 Hessian 一致性检测和窗口内恢复把准确率拉回。
Fed-ADR 是一套面向联邦学习的攻击、检测与恢复框架：编排服务器改写合谋客户端的梯度，使参数服务器的现有防御把投毒更新当成良性，同时在发现后用历史梯度把全局模型原地修回来。
- 评测与基准arXiv 2609.25579
研究重新审视后门修复评测：区分总体干净效用与良性性能保持
用 Dmax 与尾部损失评测后门修复的类别性能保持
- arXiv
- 2609.25579
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet18、PreActResNet18、VGG19-BN
- 攻击arXiv 2609.22711
UBA-ORL：针对离线强化学习的遗忘激活后门攻击
提出 UBA-ORL，以 BD/CM 样本在遗忘后激活离线 RL 后门
- arXiv
- 2609.22711
- 发表
- 场景
- 具身与机器人
- 被测模型
- TD3+BC、BCQ、IQL
摘要UBA-ORL 用竞争的 BD/CM 样本，使离线 RL 后门在删除伪装轨迹后激活。
UBA-ORL 研究离线强化学习中由合规轨迹删除激活的后门：合法贡献者同时上传共享触发的后门轨迹和伪装轨迹，训练后触发响应被压低，删除伪装批次后再升高。受害系统是使用静态数据集和轨迹级遗忘接口的离线 RL 服务。对手不能看到训练算法、参数、梯度或具体遗忘算法，但能提交可区分批次，并在部署时向观测注入预定触发。
- 防御arXiv 2609.21561
自蒸馏中的排斥与吸引教师：将正确性与行为分离
提出对比自蒸馏，分离正确性与行为偏移
- arXiv
- 2609.21561
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B、Qwen3-4B-Instruct-2507
- 防御模型加固
摘要隔离自蒸馏后，对比正确与错误解教师可抵消行为偏移并稳定提升推理。
把自蒸馏从 GRPO 里拆开后，用靠近正确解教师、远离错误解教师的对比信号，把正确性和行为分开。。
- 防御arXiv 2609.04714
无需拒答的拒答：减少语言模型误拒的安全微调响应结构分析
提出 Rationale-Only 安全微调，去掉拒答声明以降低误拒
- arXiv
- 2609.04714
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B、Mistral-7B-v0.3、Gemma-2-9B 等8个
摘要去掉套话拒答声明、只训理由，可降低假拒答，有害查询上的服从率仍低。
这是一项针对安全微调数据的结构分析：假拒答被作者追溯到回答里的套话式拒答声明，而不是只靠推理时补救。