分析与理论arXiv 2610.13051
空间胜过统计量，重训练胜过排序：审计仅标签后门下的训练标签
审计仅标签后门的训练标签，比较空间与统计量并以重训评判
- arXiv
- 2610.13051
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-32
摘要查标签要在未拟合这些标签的空间里做，并用重训模型而不是检测分数评判。
作者问的是：手里没有可信数据的防御者，能否决定留下哪些训练标签，以及这会毁掉多少干净数据、最终模型准确率如何。
- 分析与理论arXiv 2610.07009
研究受控拆解图像到文本越狱中图像属性的作用
固定有害指令，单轴归因图像到文本越狱的图像属性
- arXiv
- 2610.07009
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-4o、Claude Sonnet 4.5、Qwen3-VL-8B-Instruct 等6个
摘要固定文本的图像越狱拆解，只在 Qwen 上给出一条有界相关性归因。
- 分析与理论arXiv 2610.02886
研究揭示无触发投毒审计缺口：事实答对不等于决策正确
揭示无触发虚假训练下事实回答与下游决策的审计差距
- arXiv
- 2610.02886
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-0.5B、Qwen2.5-1.5B、Qwen2.5-3B 等9个
- 攻击投毒与后门
摘要作者发现无触发词虚假训练下事实回答与下游决策存在脱节，直接审计与事实纠错均无法保证决策正确。
论文是一项针对语言模型在无触发词虚假信息训练下行为表现的实证分析研究。
- 分析与理论arXiv 2610.00417
研究：合成数据溯源识别在改写后准确率大幅下降
检验合成数据来源识别是否等于再训练适配筛选
- arXiv
- 2610.00417
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-3B-Instruct、DistilRoBERTa、word TF-IDF logistic regression 等5个
摘要来源识别在原文上准确，改写后精确归因下降。
作者在金融风险文本上把来源识别和训练样本是否有用拆成两次测量，并写明这不是电信部署实验。
- 分析与理论arXiv 2609.36477
研究发现护栏模型在基座模型不确定处过度自信
诊断护栏相对基座在对抗提示上的置信失校
- arXiv
- 2609.36477
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-Guard 7B、Llama-Guard-2 8B、Llama-Guard-3 8B 等10个
摘要对抗包装使 guard 高置信漏检，而对应 base 在同一输入上常更不确定。
诊断性分析：五个提示词分类 guard 的置信度，在清洁输入上可以较校准，在越狱包装后则变成高置信度的错误判定。
- 分析与理论arXiv 2609.36117
arXiv 论文分析神经网络为何容易被植入后门
分析投毒诱发的特征学习如何改变后门预算缩放
- arXiv
- 2609.36117
- 发表
- 场景
- 模型与 API
- 被测模型
- quadratic neuron、network
- 攻击投毒与后门
摘要作者给出特征学习改变后门预算指数的可解机制，并以高斯采样实验检验。
这是一项后门预算的理论分析，核心对象是最小二乘训练的二次神经元。作者关注：只依据冻结表示估算投毒成本，是否会误判具有特征学习能力的模型。
- 分析与理论arXiv 2609.33909
近重复家族干扰精确记录成员推断
分析近重复族如何让精确记录成员推断误判为入训
- arXiv
- 2609.33909
- 发表
- 场景
- 模型与 API
- 被测模型
- Pythia-2.8B、GPT-2、Qwen3.5-2B 等5个
- 攻击提取与窃取
摘要近重复使干净参照 MI 把族级暴露当成精确记录。
作者研究成员推断能否作为精确记录的数据来源证据。版权和来源审计需要的是该记录本身是否入训，而网页语料中的转载、镜像和轻改会让非同一近重复产生成员样分数。四世界审计用 E 表示精确记录是否入训、用 F 表示其近重复族是否在场，从而分开 H00 到 H10 的标准 MI、H00 到 H01 的族偏移，以及 H01 到 H11 的 exact-given-family。
- 分析与理论arXiv 2609.33898
研究揭示训练效率与模型脆弱性的权衡：高效训练更易受对抗与隐私攻击
比较高效与高成本训练的对抗和隐私脆弱性并分析损失几何
- arXiv
- 2609.33898
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-18、Swin Transformer、Qwen2.5-Math-7B-Instruct 等7个
- 攻击提取与窃取
摘要效用匹配下，三种高效训练都伴随更高的隐私与对抗脆弱性及更尖的损失几何。
作者在视觉分类和数学推理语言模型上，检查用更少数据或更简对齐换取训练效率时，安全性质是否一起变化。比较在任务效用接近的前提下进行。视觉侧用 KNN-Shapley 的高重要性小子集对照低重要性大子集，并用预训练微调对照从头训练。
- 分析与理论arXiv 2609.32288
预训练数据投毒的可解理论：依赖极限顺序的缩放指数
证明预训练投毒的清洁超额风险指数随极限顺序变化
- arXiv
- 2609.32288
- 发表
- 场景
- 模型与 API
- 被测模型
- OLMo-style models
- 攻击投毒与后门
摘要投毒清洁超额风险的幂指数取决于先固定宽高比还是先取充足数据极限。
可解的预训练数据投毒理论：清洁超额风险的缩放指数随极限顺序改变。。
- 分析与理论arXiv 2609.32116
研究提出 Best-of-N 越狱的物理势垒模型，挑战攻击成功率幂律规律
用物理陷阱模型描述 Best-of-N 越狱的攻击面规律
- arXiv
- 2609.32116
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B (base)、Llama-3.1-8B-Instruct、Qwen2.5-3B-Instruct 等5个
- 攻击越狱
摘要四参数势垒模型拟合 BoN 的两预算面，并把指数交叉归因于数据集有限。
Biroli 用一个玻璃陷阱式的微观模型，把 Best-of-N 越狱写成熵瓶颈加能量鞍点，并用四个数描述 (N, M) 攻击面及温度依赖。。
- 分析与理论arXiv 2609.29757
OllamaDrama：用蜜罐测量暴露 LLM 基础设施遭受的攻击
部署蜜罐测量针对暴露 LLM 基础设施的攻击
- arXiv
- 2609.29757
- 发表
- 场景
- 模型与 API
- 分析与理论arXiv 2606.20508
研究：安全对齐 LLM 如何从混合合规示范中学习
检验混合合规演示教模型的是通用服从还是有害性
- arXiv
- 2606.20508
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Llama-3.1-8B-Instruct、OLMo-3.1-32B-Instruct、GPT-OSS-20B 等6个
- 攻击越狱
摘要良性与有害合规演示不可互换，效应取决于模型、顺序和偏好优化。
这项工作问的是：安全对齐模型从混合的良性与有害合规演示中提取的，是通用服从规则，还是请求是否有害。作者控制 Nb、Nh、ϕ 和顺序，检验总量、有害计数与联合计数三个假设，而不是提出新的攻击算法。
- 分析与理论arXiv 2606.04168
论文提出随机插入攻击，利用自回归一致性绕过 LLM 安全对齐
解释自回归一致性如何导致浅层安全对齐，并提出随机插入攻击
- arXiv
- 2606.04168
- 发表
- 层
- 提示层
- 场景
- 模型与 API
摘要作者用自回归一致性串起浅层对齐、插入攻击和最坏延续对齐。
作者把浅层安全对齐和一类续写攻击都归到自回归一致性上。
- 分析与理论arXiv 2605.17173
研究提出 IRT 框架拆解大模型跨语言安全护栏退化
提出多组 IRT 框架拆解跨语言安全护栏退化原因
- arXiv
- 2605.17173
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- gpt-4.1-mini、gpt-4o-mini、gpt-4.1-nano 等15个
- 攻击越狱
摘要多组 IRT 把多语安全失败拆成能力、语言难度和题目特异差距，并在闭源配置上估计这些因子。
Zhang、Patel、Truong 与 Koyejo 用多组项目反应理论，解释安全护栏为何随语言变化，而不是只报告一个 JSR。
- 分析与理论arXiv 2604.02574
理解安全去对齐对大语言模型的影响
比较越狱微调与权重正交化去对齐对有害协助和有用性的影响
- arXiv
- 2604.02574
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B-Instruct-2507、Llama-3.1-8B-Instruct、Qwen2.5-14B 等6个
- 分析与理论arXiv 2603.11331
大语言模型的越狱缩放定律：多项式到指数增长的交越
提出 SpinLLM 解释短注入与长注入的越狱缩放交越
- arXiv
- 2603.11331
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- Llama-3.2-3B-Instruct、Llama-3-8B-Instruct、Llama-3-70B-Instruct 等10个
- 攻击越狱
摘要弱注入对应幂律、强注入对应指数。
- 分析与理论arXiv 2601.17480
微调语言模型对敏感信息的非预期记忆
量化微调对仅输入侧 PII 的非预期记忆并比较隐私缓解
- arXiv
- 2601.17480
- 发表
- 场景
- 模型与 API
- 被测模型
- Llama 3.2 1B、Llama 3.2 3B、Llama 3.1 8B 等7个
摘要微调可记住仅输入侧 PII。
- 分析与理论arXiv 2601.02002
探索检测大语言模型中推荐系统数据记忆的方法
比较提示抽取与激活探测对推荐系统数据记忆的检出
- arXiv
- 2601.02002
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- LLaMA-1B、LLaMA-3B
- 攻击提取与窃取
摘要作者称自动优化提示最有希望抽出影片，但数值字段和高分都不能确认泄漏。
作者比较越狱、激活探测和自动提示，看公开 LLaMA 能否抽出或检出 MovieLens-1M 中的记忆。
已经到底了