提出 PatchBench-Local 协议，评测激活补丁修复越狱的局部附带损伤
摘要论文提出 PatchBench 与局部评估协议，揭示了激活补丁在全局能力无损下仍存局部良性退化。
提出 AdvSim2Real，协同训练网页智能体抵御页面注入
提出 ENDOPROMPT，以受害者侧伪参考学习降低良性任务效用的前缀
ENDOPROMPT 是一种用受害模型自身续写监督前缀生成的 white-box 效用攻击方法。它针对良性任务失败，不要求产生有害内容或明确拒答。
测量记忆投毒防御在良性对话上的效用与 token 开销
在没有攻击的对话上，给记忆投毒防御计价，而不是再测一轮攻击是否被挡住。
评测安全 Agent 在对抗性任务污染下的解题成功与开销
AgentLSD 是一个对照框架，用来测量安全智能体在任务本身不变时，对对抗性任务污染的反应。
提出 PIDS-Bench，评测提示注入检测器在过度防御与分布偏移下的表现
PIDS-Bench 是一个冻结的检测器级基准，用来在固定阈值下同时看提示注入检测和良性误报。
提出 RolePlay 框架，用人设条件放大 LLM 单次推理开销
提出针对 Agent 护栏的推理扩展拒绝服务攻击
提出层级遗传算法 HGA，扰动题目逻辑结构诱发推理模型过度思考
摘要HGA 在黑盒推理模型上用逻辑扰动拉长输出，作者称可从小代理迁移，查询成本是其局限。
提出 DAERT，以仿真失败为奖励生成多样对抗指令，暴露 VLA 的语言脆弱性
提出 SABER，用强化学习攻击器在预算内改写指令使 VLA 任务失败
提出 Aegis 红队框架，多轮攻击高风险语音 Agent
Aegis 用多轮红队评测已接入业务系统的 ALLM 语音智能体。作者称这是该设定下的 the first systematic red-teaming framework。