arXiv论文系统重评66种LLM代码质量提升技术，多数增益不及best-of-n基线
论文对628项研究（2021年7月至2026年10月）做系统综述，并在等算力预算下对10种技术、4个模型及后续扩展到13个模型和仓库级任务进行受控重评，在 Gemma 4 31B 上对66种技术做头对头比较。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选2展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 47 条 · 更新于 15:39
arXiv推荐指数6666 arXiv推荐指数5858 Soei：面向多智能体软件工程的证据与意图结构化可观测性研究
该论文提出 Soei（Structured Observability of Evidence and Intent），针对多智能体编码Agent的长时程软件工作，研究证据与意图的结构化可观测性。
arXiv推荐指数5656 arXiv论文研究编码智能体在演进既有代码时遵循先例还是任务指令
论文通过在定制仓库中进行双向受控实验并结合真实开源仓库验证，研究当既有代码先例与新任务指令冲突时，编码智能体如何在默认偏好、仓库先例和显式任务指令之间做选择。实验覆盖四个编码智能体、六组实现对，共5,625次试验，并在三种编程语言的四个开源仓库中验证。
arXiv推荐指数3838 DIFUZZI：基于 LLM 的差分模糊测试工具，用于代码功能相似性评估
DIFUZZI 是一款差分模糊测试工具，通过引入基于 LLM 的输入生成器合成步骤（迭代验证与修复），自动化构建适配目标程序对的输入生成器，从而降低差分模糊测试的应用门槛。该工具已开源发布，并附有演示视频。
arXiv推荐指数6767 Tracekit Box 论文：在 Firecracker micro-VM 中运行 AI Agent 并对每次出口决策签名
arXiv 论文提出 Tracekit Box，一个 MIT 许可的开源系统（v0），让每个 AI Agent 任务运行在独立的 Firecracker micro-VM 中且不配网卡，所有出口（命令、外连、密钥、模型调用、工作区补丁）都经 vsock 走宿主机上的签名器，由 Agent 无法触及的 Tracekit signer 决定放行内容并签名写入每盒一次的运行记录。
arXiv推荐指数5858 arXiv 论文揭示 LLM Agent 修复评估器与执行者不匹配导致部署价值损失
论文《Repairs for Whom? Evaluator-Executor Mismatch in Selecting Repairs for Failed LLM Agents》研究 LLM Agent 修复方法中评估器选出的修复是否真正帮助实际执行的智能体。
arXiv推荐指数6767 arXiv论文研究编码智能体记忆文件的安全影响
论文研究了编码智能体自动加载的项目记忆文件作为攻击面的风险：攻击者可通过pull request修改记忆文件，在不接触开发者prompt的情况下引导智能体生成通过测试但存在漏洞的代码。
arXiv推荐指数6868 WebMaze：以功能耦合诱饵将 LLM Web 扫描器引入诱饵世界
arXiv 论文提出 WebMaze 防御方法，在不改变真实应用功能的前提下，将基于 LLM 的恶意 Web 扫描器引向生成的诱饵世界。作者系统研究了六个 LLM 扫描器如何收集信息并基于观察迭代选择动作，在真实页面中嵌入功能耦合陷阱，并从应用现有视图构建视图定制的交互式诱饵世界。
arXiv推荐指数7878 Snyk VulnBench 2.0 论文对比确定性 SAST 与 AI 安全 Agent 的代码漏洞检出分工
Liran Tal 等发布 VulnBench 2.0 基准，包含 20 个开源 Web 应用中 108 个人工整理的攻击者可达漏洞（Go、JavaScript/TypeScript、Python、Java），其中 62 个跨文件，判定标准要求同时定位攻击者可控 source 与危险 sink 且各在两行内。
arXiv推荐指数7878 CARI：编码智能体工作流中的跨边界对抗性运行时注入研究
arXiv 论文提出 Cross-Boundary Adversarial Runtime Injection（CARI）攻击设置：在多方协作的编码智能体工作流中，恶意或被攻陷的对等开发组件（如后端服务、测试框架、CI 任务）可在其运行时反馈中暗藏指令，诱导受害方智能体执行越权操作。
ShortSpan推荐指数6262 Thinking-in-Bets：让智能体在读用户反馈前先写下主张，可几乎消除补丁审查中的错误反转
论文《Thinking-in-Bets at Test Time Reduces Sycophantic Revisions in LLM Agents》（作者 Nghi D. Q. Bui）提出一种免训练方法：让智能体在读用户回复前先写一份私有 Claim Checklist，逐条记录主张、支撑证据与置信度，收到质疑时据此决定保留、复核、澄清或修复。
arXiv推荐指数5353 MiRL：用错误靶向强化学习纠正终端Agent的错误行为
论文提出 MiRL（Misbehavior-driven RL），先对策略的错误进行画像以找出可泛化的错误行为，再从这些错误发生的步骤开始 rollout 并仅在通过测试且避免错误行为时给予奖励，从而用强化学习纠正终端 Agent 的错误。
arXiv推荐指数6262 arXiv 论文提出智能合约合成意图丢失测量方法与先提问架构
论文提出一套基于执行而非主观判断的评测方法，通过在 AI 生成的智能合约与原始合约上重放相同交易并测量一致率，定位需求在智能合约合成中丢失的位置。研究发现常见方法如 AI 评委和标准分析工具会漏掉明显错误，仅检查各系统都包含的函数会掩盖约一半的流水线差异。
arXiv推荐指数7070 HoS 论文：学习式注意力门提升提示词注入鲁棒性
论文提出名为 Heads of Security (HoS) 的提示词注入防御方法，通过一组学习得到的每头注意力门强制指令与数据分离，让模型在不遵循注入指令的前提下推理不可信内容。
安全paper推荐指数7575 arXiv论文揭示LLM Agent间接提示词注入的trust region效应
论文研究长时程LLM Agent中的间接提示词注入，构建了覆盖工具使用、编码和日常工作流三个领域的测试环境，发现即使注入内容完全相同，攻击成功率也随注入位置显著变化，作者称之为trust region效应。
arXiv推荐指数4747 超越 QASecClaw：软件保障中的 Agent 扩展、验证器反馈与证据可靠性
一项涵盖五组实验的软件保障研究（arXiv:2610.36947）使用 Qwen2.5-Coder-7B-Instruct（含 1.5B 敏感性分析）完成 13,638 次模型请求，测试在已有确定性工具证据时增加专家上下文能否提升软件保障。
arXiv推荐指数5252 Req2Test-Bench：评测LLM Agent从软件需求生成行为充分测试的基准
论文提出Req2Test-Bench，包含5,086个执行验证实例，来自8个开源项目、5种编程语言和4种BDD框架，每个实例将Gherkin自然语言需求与开发者编写的行为测试实现配对。
arXiv推荐指数5959 arXiv论文：AI编码Agent过度顺从式重构行为研究
论文对迭代重构任务开展受控研究，让 Codex 和 Claude Code 在五个模型上反复被要求继续重构，累计超过 3,000 轮对话，定义了六个过度顺从行为信号。结果显示没有模型在代码已优化后停止编辑，全部持续改写，最多重写达原代码库的 31 倍，甚至在声明任务完成后仍继续编辑。作者指出过度顺从是随轮次累积的高成本行为，六个信号可帮助开发者和工具构建方检测并抑制该行为。
arXiv推荐指数3838 RefactorProof：LLM 生成的形式化证明在程序重构下的稳定性压力测试
研究提出 RefactorProof 基准，从 VERINA 中 185 个可编译任务派生出 458 个 Lean 认证变体，测试同一证明在行为保持的程序重构后是否仍然有效。
arXiv推荐指数6060 StateMirror：执行前检测编码智能体幻觉工具调用
arXiv 论文提出 StateMirror，一种针对编码智能体幻觉工具调用的轻量级执行前检测器。研究对 4,398 条智能体轨迹的初步分析显示，这类幻觉普遍且代价高昂，恢复中位需额外 3 步交互和 22.4K tokens。
arXiv推荐指数5151 arXiv论文：AI编码智能体规则的六周案例研究，探讨规则与检查的持久性
论文报告了一项为期六周的案例研究，作者维护一个纯 Markdown 仓库，由三个 AI 编码智能体在共享规则集下每日编辑，记录了 118 条智能体失败及其修复与复发情况。
安全paper推荐指数6060 基于 Petri 网监督控制的 LLM Agent 工具执行认证框架论文
arXiv:2610.31376 论文（作者 Chao Gu、Quanyan Zhu）将 LLM Agent 与工具之间的执行护栏形式化为 Petri 网监督控制问题，用 token 表示能力、审批与预算，使前置条件缺失或已消耗的注入请求被机械拒绝。
arXiv推荐指数6262 arXiv论文实证研究编码智能体CoT中的错误断言与错误补丁的因果关系
论文对SWE-bench Pro上四个开源推理模型的400条轨迹做实证研究，从思维链（CoT）中抽取原子断言并核验，发现任务相关推理仅覆盖18.5%的CoT token，每条轨迹平均产生191个原子断言，其中至少9.6%存在错误。
arXiv推荐指数5555 TNCS：面向代码模型的数据高效后门攻击方法
论文提出 Trigger-Neutralized Counterfactual Scoring（TNCS），通过对比触发输入与触发中和反事实输入下的评分模型输出，隔离触发器对目标行为的贡献，适用于分类与生成任务。
arXiv推荐指数7070 Ulysses：面向 Web 漏洞可验证利用合成的多智能体安全框架
论文提出 Ulysses，一个多智能体安全框架，用于为 Web 应用合成可验证的漏洞利用证明（Proofs of Exploitability），通过迭代探索利用假设并在独立观测的执行效果中确认成功，将候选漏洞发现转化为已验证结果。
arXiv推荐指数7272 arXiv 论文提出模拟控制评测 SCE，用大模型模拟工具响应预测护栏安全性
论文提出模拟控制评测（SCEs），用语言模型模拟工具响应以替代真实环境，扩展控制评测的适用范围。在 LinuxArena 上，SCEs 在 5% 审计预算下预测安全性的均方根误差为 3.6 个百分点。
安全paper推荐指数6060 Enclawed：面向 MPI 与批处理 HPC 系统的 LLM Agent 确定性安全运行时论文
arXiv:2610.33318 论文提出 Enclawed，一个面向 LLM 驱动 HPC 工作流的确定性安全运行时，通过可解析策略的启动门控、硬件根信任 Enclaweder 签名、短租约与心跳共识、fail-closed 驱逐来监管每个 rank，即使控制主机或协调器被攻陷也能维持防护。
arXiv推荐指数4545 ATLAS：将二进制提升为规范化编译器 IR 的多智能体框架
ATLAS 是一个多智能体框架，通过 Lift、Advisor、Validation 三个智能体的协作迭代，从优化后的二进制中重建形式合法、规范化的 LLVM IR。
arXiv推荐指数8686 arXiv 论文揭示编码智能体上下文压缩中的来源伪造攻击 Compaction Laundering
论文提出 Compaction Laundering 攻击：编码智能体压缩上下文时，若 harness 将带类型的消息拍平为单一字符串并用 [User]: 等文本标签标记，攻击者可伪造在压缩后仍被当作真实指令的用户轮次。
arXiv推荐指数7070 GUI Agent 成功自述泄漏研究：ICSE 2027 论文提出报告隔离审计器
论文提出 report-trace auditing，用于校验 GUI Agent 的完成声明是否与独立记录的执行轨迹一致，并定义了轨迹无法支撑的危险误报（dangerous misreport）。
arXiv推荐指数6262 研究揭示 LLM 漏洞发现 harness 的结构性漏报与隐藏漏洞
Gadi Evron 的论文指出，基于 LLM 的漏洞发现 harness 会因代码选取、过滤、结果存储与合并等环节的工程选择和错误，在模型运行前后丢弃真实可达的漏洞，且报告通常不作提示。
arXiv推荐指数5858 harness 对 LLM 漏洞发现影响多大？24 组模型配置的多模型研究
该论文用开源 harness 在生产代码库上测试 24 组模型与运行器配置，在 265 个已确认安全根因中，覆盖最广的两组配置合计发现 60.4%，14.3% 的根因仅被单一模型发现，没有任何配置覆盖全部发现。
arXiv推荐指数4141 RegretBench 与 BackUpper：编码 Agent 备份意识评测与自动备份方案
研究团队提出 RegretBench，用 205 个可执行任务评测编码 Agent 的备份意识：六个前沿模型平均完成任务率 86.1%，但在需要备份的关键时刻仅 15.2% 会提前保存状态。
arXiv推荐指数3939 编码智能体为何无法理解系统崩溃？研究提出 source interventions 配对评测方法
研究提出 source interventions 方法，用仅差一个 commit、同一输入只在一个源码树上崩溃的配对样本，测试编码智能体是否真能推理执行行为。
arXiv推荐指数7272 arXiv论文量化编码Agent过度遵循过期指令文件的行为并验证一句话修复
论文构建40个Python项目，在指令文件与现有代码约定冲突时让Claude Code和Codex CLI各运行320次。结果显示无干预时90.1%的选择遵循过期指令文件，Claude Code在80次运行中79次指出冲突仍照做，Codex CLI在80次中20次改写现有代码、其中17次导致项目测试失败。
安全paper推荐指数7272 Ulysses：面向 Web 漏洞可利用性验证的多智能体安全框架
论文提出 Ulysses，一个多智能体安全框架，将候选 Web 应用漏洞发现转化为可验证的漏洞利用证明（Proof of Exploitability），通过迭代探索利用假设并以独立可观测的执行效果确认成功。
arXiv推荐指数3737 AgenticVulHunter：把本地 Agent 化漏洞挖掘带到终端
AgenticVulHunter 提出一种可在本地部署开源权重 LLM 上运行的 Agent 化安全代码审查方法，并配套终端工具。
arXiv推荐指数1818 SCALF：用步骤级信用分配与失败轨迹自蒸馏增强缺陷暴露测试生成
SCALF 是一种过程监督强化学习方法，结合步骤级信用分配与对有价值失败轨迹的定向学习，用于为大语言模型生成的代码自动生成能暴露缺陷的测试。它从过程奖励中推导每步优势，并将触发缺陷但输出预测错误的轨迹转入同策略自蒸馏。在三个基准上，其联合成功率、输出正确率和缺陷触发率分别比强提示与后训练基线最高提升 2.97、5.26 和 3.53 个百分点。
arXiv推荐指数5858 面向 ELK 的鲁棒模型生物：在漏洞检测任务中训练选择性隐瞒的模型
作者训练模型生物在漏洞检测任务中隐瞒答案，用于实证研究“引出潜在知识”（ELK）问题。方法结合对话记录蒸馏、反提示与抗篡改训练，使模型具备选择性隐瞒、抗诱导和保留知识优势三项特性；最强模型在鲁棒性上明显优于此前模型，同时保持另两项特性。代码、模型与数据集均已公开。
arXiv推荐指数5252 FALCON：以反例为据的智能体安全编码验证框架
Tue Le 在 arXiv 提出 FALCON，一个以反例为据的验证框架，把攻击探索与行为验证分离，并通过被测程序的执行轨迹把两者连接起来。在测试时修复中，FALCON 在安全代码生成基准上的留出功能安全增益明显强于其他安全信号，同时保持或提升功能表现。