攻击arXiv 2610.13928
AI 模型可被证明地隐藏任意能力
提出数字锁编译，把可执行网络加密进宿主权重以隐藏任意能力
- arXiv
- 2610.13928
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma 3 270M
摘要作者用数字锁隐藏可执行能力，并称化学与奇偶任务上的引出未恢复该能力。
作者构造一类把可执行网络加密进权重的后门，用来讨论白盒引出审计在供应链攻击下的界限。。
- 攻击arXiv 2610.06083
研究者提出面向深度强化学习的轨迹级可迁移黑盒对抗攻击
提出轨迹级可迁移对抗攻击，降低深度强化学习策略的期望回报
- arXiv
- 2610.06083
- 发表
- 层
- 模型层
- 场景
- 具身与机器人
- 被测模型
- DQN、Double DQN (DDQN)
- 技术梯度与表征优化
摘要轨迹级后退视界攻击在 CartPole 上比逐步 FGSM 类和 Sign 噪声更压低回报。
这项工作研究 DRL 上的迁移式黑盒观测攻击：受害参数不可访问时，在白盒代理上造扰动再迁移。
- 攻击arXiv 2610.06049
研究者提出仅修改 SAE 解码器的后门攻击，可在不改动语言模型的情况下植入行为
提出只改 SAE 解码器的后门，在冻结语言模型上植入代码插入
- arXiv
- 2610.06049
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma 3 4B Instruct、Qwen3 1.7B、Llama 3.1 8B Instruct
摘要只改解码器的 SAE 可带上代码插入后门，且若干常规质量指标变化不大。
只改 SAE 解码器、冻结编码器与语言模型，即可把代码插入行为放进推理时的辅助组件。作者把这视为 SAE 供应链问题：checkpoint 一旦替换某一层激活，就参与后续计算，而不只是解释工具。
- 攻击arXiv 2610.05894
研究者提出闭环偏见注入攻击
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
- arXiv
- 2610.05894
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
- 攻击arXiv 2610.03166
LiBRA：通过双向隐空间优化实现检测感知的图像水印去除
提出 LiBRA，在潜空间双向优化以规避图像水印双侧检测
- arXiv
- 2610.03166
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Stable Signature、YU1、HiDDeN 等4个
摘要LiBRA 用双向潜空间优化规避双侧水印检测，并提高相对反转基线的保真。
- 攻击arXiv 2610.01062
Kernelized Activation Steering：将激活引导推广到再生核希尔伯特空间的新框架
提出核化激活引导 KAS，在推理时自适应转向激活以诱导越狱
- arXiv
- 2610.01062
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-7B-Instruct、Gemma-2-9B-IT、Llama-3.1-8B-Instruct 等4个
摘要KAS 用核梯度做局部自适应转向，并在线性核下恢复 DiM。
Kernelized Activation Steering（KAS） 把推理时的激活转向写成核空间中的优化，使更新随当前激活相对源、目标参考集的位置而变化。
- 风险行为arXiv 2609.08186
论文揭示大推理模型的对齐崩溃并提出 Reasoning Trap 越狱范式
揭示推理加深引发的对齐坍塌，用 Reasoning Trap 放大越狱
- arXiv
- 2609.08186
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、Qwen3-14B、Llama2-7B 等8个
摘要更深推理提升题目准确率，同时提高扰动下的相对损失。
作者研究扩展推理是否以对齐稳健性为代价，提出 ALR、RT 与 RRA。。
- 攻击arXiv 2608.03642
规避与投毒攻击对恶意软件数据漂移检测器的实证分析
用通用扰动对恶意软件分类器及漂移检测器做规避与后门投毒
- arXiv
- 2608.03642
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- MLP 100-100、CADE (CAE 512-384-256-128)、CADE (CAE 512-128-32-8) 等6个
- 攻击arXiv 2605.08513
Apple 研究者发现抑制单个神经元即可绕过 LLM 安全对齐
提出单神经元激活干预，抑制拒答神经元或放大概念神经元以绕过安全对齐
- arXiv
- 2605.08513
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Qwen3-1.7B、Qwen3-4B、Qwen3-8B 等11个
摘要作者称大模型安全由拒答门控与概念底座构成，干预单个神经元足以双向击穿对齐，且拒答神经元在预训练阶段已然存在。
- 攻击arXiv 2603.10080
Amnesia：针对大语言模型特定语义层的对抗性激活引导
提出 Amnesia 激活引导攻击，推理时绕过模型安全拒答
- arXiv
- 2603.10080
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama-2-7B-Chat、Llama-3-8B-Instruct、Qwen-7B-Chat
- 攻击arXiv 2602.17837
TFL：针对大语言模型的定向比特翻转攻击
提出 TFL 定向比特翻转，使选定提示输出虚假答案且无关查询保持正确
- arXiv
- 2602.17837
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、DeepSeek-R1-Distill-Qwen-14B、LLaMA-3.1-8B-INSTRUCT
- 技术梯度与表征优化
摘要TFL 在三个 LLM 上搜索权重比特，使指定提示出现目标关键词，并约束无关任务下降。
TFL 是对 LLM 主存权重的目标比特翻转框架：攻击者要让选定提示输出指定虚假答案关键词，同时限制无关查询上的降质。
- 攻击arXiv 2602.07107
ShallowJail：引导针对大语言模型的越狱攻击
提出 ShallowJail，在推理时用转向向量改写隐藏状态实现越狱
- arXiv
- 2602.07107
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-4B-Instruct-2507、Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct
- 攻击arXiv 2602.05444
用于 LLM 鲁棒越狱攻击的因果前门调整
提出 CFA2，用 SAE 定位防御方向并正交化输出权重实现越狱
- arXiv
- 2602.05444
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama 3.1 8B Instruct、Llama2 7B Chat、Mistral 7B Instruct 等4个
- 攻击arXiv 2601.15801
在大语言模型中通过全局优化归因与利用安全向量
提出 GOSV，全局优化定位安全注意力头并在推理时重贴激活越狱
- arXiv
- 2601.15801
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Llama-2-7b-chat、Llama-3.1-8B-Instruct、Qwen2.5-7B-Instruct 等4个
- 攻击arXiv 2508.10029
研究者提出 Latent Fusion Jailbreak
提出 Latent Fusion Jailbreak，插值有害与无害隐藏状态实施白盒越狱
- arXiv
- 2508.10029
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Vicuna-7B-v1.5、LLaMA-2-7B-Chat、Guanaco-7B 等5个
已经到底了