IEEE S&P 2027 论文：少步数文生图模型加速与安全存在固有张力，提出 DICE 擦除方法
论文研究少步数蒸馏文生图模型的安全性，发现加速与安全存在固有张力：少步数模型往往比教师模型更不安全，减少推理步数会持续推高不安全生成率，且加速使不安全概念更难被擦除。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选1展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 115 条 · 更新于 15:39
arXiv推荐指数5858 安全paper推荐指数5555 PrivacyEvalClaw：用于审计 LLM 越狱回复隐私泄露的工具增强审议式代理
arXiv:2610.36711 提出 PrivacyEvalClaw，一个免训练的审议式代理，用于评估 LLM 越狱回复是否泄露个人信息，尤其针对间接、部分、上下文相关或混淆的披露场景。
安全paper推荐指数6262 Heads of Security：用可学习注意力门提升提示词注入鲁棒性
arXiv:2610.37657 论文提出 Heads of Security（HoS），一种通过可学习的逐头注意力门实现指令与数据分离的提示词注入防御，在 Llama-3.3-70B-Instruct 和 GPT-OSS-20B 上评测。
ShortSpan推荐指数7878 NTBench 论文揭示近目标提示词注入使 Meta-SecAlign-70B 攻击成功率从 3.2% 升至 36.7%
论文《On Task, Off Track: Benchmarking LLM and Agent Robustness to Near-Target Prompt Injection》提出近目标提示词注入（near-target prompt injection）与评测集 NTBench：注入指令不再要求模型放弃用户任务，而是让模型完成任务但把其中一处做错或做有害。
安全paper推荐指数7676 Log-To-Leak：针对MCP工具调用Agent的提示词注入攻击研究
arXiv:2610.36108 论文提出 Log-To-Leak，一种针对基于 MCP 的工具调用 LLM Agent 的提示词注入攻击：通过恶意自然语言工具元数据，诱导 Agent 在完成正常任务后额外发起一次攻击者控制的日志调用，泄露用户查询、MCP 服务器名、服务器响应乃至 Agent 最终回复。
安全paper推荐指数6060 SpecGuard：基于形式化规约的运行时监控检测多轮 LLM 越狱
arXiv:2610.36258 提出 SpecGuard，一个免训练、规约驱动的多轮 LLM 越狱运行时监控框架。它用固定的原子命题契约把自然语言观察映射为带证据的事实，用 Linear Temporal Logic（LTL）规约描述被禁止的交互模式，并编译为符号有限自动机增量消费对话轨迹；通过的运行会产出可回放的 witness，标明触发的规约、支撑事实与相关对话轮次。
安全paper推荐指数7171 SEEK：面向科学Agent技能泄露的自进化黑盒红队方法
论文提出 SEEK（Skill Extraction with Evolving Knowledge），一个仅依赖用户可见响应的黑盒自进化红队Agent，用于从科学Agent平台提取可复用技能。
安全paper推荐指数6666 SentryBench：面向公共安全部署的工具调用 LLM Agent 对抗鲁棒性成本敏感基准
arXiv 论文提出 SentryBench，一个面向公共安全场景中工具调用 LLM Agent 的成本敏感基准与成本模型，场景基于真实报警通话记录、灾害消息和真实注入/越狱 payload。
arXiv推荐指数4242 STROKE：基于简单稀疏结构遮挡的黑盒对抗攻击
STROKE 提出一种查询高效的 score-based 黑盒对抗攻击方法，用简单定向矩形遮挡构造扰动，并通过轻量级贪心"添加-精炼"流程优化。在多种图像分类器上，STROKE 在 1–2% 名义面积设置下以低查询数实现高攻击成功率，部分配置下优于现有基于 patch 的攻击，且墙钟攻击时间显著降低。消融研究验证了关键设计选择与不同结构基元的有效性。
arXiv推荐指数5858 SPOOK：用稀疏像素优化探测视觉编码器的流形外失效
arXiv 论文 SPOOK 提出在空白画布上用像素级爬山法做稀疏像素编辑，在黑盒设置下探测视觉编码器的表征几何。
arXiv推荐指数4141 KrishokTech：带显式授权控制的孟加拉语农业咨询系统
KrishokTech 是一套孟加拉语农业咨询系统，在生成前后设置显式授权边界：检索前对高风险请求做规则准入检查并要求指明作物，生成后由验证器剔除缺乏 BARI/BRRI 证据支撑的剂量表述。
arXiv推荐指数3838 车联网联邦学习的 clean-label 投毒攻防博弈：特征空间攻击与特征一致性重标注防御
arXiv 论文提出车联网联邦学习（FL）中 Basic Safety Message（BSM）异常检测的特征空间 clean-label 投毒攻击，并配套特征一致性重标注防御。攻击将良性样本向恶意特征极值扰动、保持标签不变以降低类别可分性；防御检测并重标注可疑样本。博弈论框架分析攻防均衡，结果显示攻击随被控节点数扩展，而防御在不降低干净准确率的前提下压低攻击成功率、将均衡推向规避攻击区域。
安全paper推荐指数6060 基于 Petri 网监督控制的 LLM Agent 工具执行认证框架论文
arXiv:2610.31376 论文（作者 Chao Gu、Quanyan Zhu）将 LLM Agent 与工具之间的执行护栏形式化为 Petri 网监督控制问题，用 token 表示能力、审批与预算，使前置条件缺失或已消耗的注入请求被机械拒绝。
安全paper推荐指数6666 RMT-Jailbreak：将自回归越狱迁移到扩散语言模型的框架
arXiv:2610.31331 提出 RMT-Jailbreak 框架，将针对自回归（AR）模型的越狱攻击迁移到扩散语言模型（dLLMs）。核心发现是给定查询的有害回答本身可作为越狱模板：只需遮蔽其部分 token，即可诱导 dLLM 通过双向上下文重建补全有害内容。
安全paper推荐指数6868 arXiv论文评估激活探针检测潜在危害是否优于模型自身拒绝行为
arXiv:2610.30727 论文在15个指令微调LLM和38个激活读取器上，测试基于激活的latent harm探针（如Latent Guard）在表面改写、说服性框架和越狱包装等分布偏移下，能否检测到超出模型自身拒绝行为之外的危害信号。
arXiv推荐指数5555 MoST：基于搜索的视觉语言模型模态敏感性测试框架
论文提出 MoST，一个针对视觉语言模型（VLM）的黑盒测试框架，通过比较仅图像、仅文本和联合扰动来刻画模态敏感性，使用多目标搜索选择并组合扰动、调整其严重度，在限制图像与提示词改动幅度的同时寻求预测性能下降。
arXiv推荐指数5555 MIG-COW：基于梯度分解的可迁移 Deepfake 检测器对抗攻击
论文提出对抗攻击框架 MIG-COW，通过动量积分梯度与共识正交分解结合，捕捉异构 CNN 与 ViT 检测器的共性与模型特有漏洞。在 AADD-2025 Challenge 基准上，MIG-COW 白盒攻击成功率达 99.96% 且 SSIM 感知相似度高，显著优于现有基线；但对官方黑盒目标的 ASR 仅为 7.16%，尽管总分最佳，仍凸显迁移性难题。
ShortSpan推荐指数7474 研究评测边缘视觉语言模型对抗样本鲁棒性：失败常表现为错误框而非漏检
论文《A Unified Evaluation Framework of Physical Adversarial Robustness in the Edge VLM Era》评测紧凑视觉语言grounding模型与传统目标检测器在物理对抗样本下的表现，引入条件攻击成功率cASR指标，仅在模型仍能于灰色遮挡下定位人的图像上计分。
arXiv推荐指数7373 arXiv 论文：扭曲的工具输出格式器误导 Agent 与其验证方
论文研究工具输出格式器（formatter）的措辞缺失如何误导 Agent 及其验证方：作者在 Pilsudski Institute 使用的生产 RAG 研究系统中发现，工具计算正确但输出省略了搜索限制、结果上限或标识符命名空间。
arXiv推荐指数7575 面向 MCP 的解码时来源绑定防御论文：阻断跨模态提示注入攻击
论文提出针对 MCP 的解码时来源绑定（decode-time provenance binding）机制，通过 HMAC 认证信任标签、MCP 维护的来源账本与上下文污点追踪，抵御经由工具解码进入多智能体工作流的间接提示词注入。
arXiv推荐指数5252 Selective Auditing：通过选择性审计提升AI辅助决策可靠性
arXiv 论文提出在线监控AI系统决策的选择性审计方法，将任务形式化为在线约束优化问题，在保证未审计AI错误比例低于用户设定阈值的前提下最小化专家审计频率。作者推导出一族具有可证明误差控制保证且无需假设的算法，其中一种方法在对抗与i.i.d.数据流上均渐近达到最优审计率。在大语言模型有害请求筛查、文本标注与数据标注实验中，该方法实现了有效的误差控制，并相比基线显著减少了人工审计需求。
arXiv推荐指数5656 扩散语言模型用于困惑度感知的黑盒攻击研究
论文提出将连续潜空间攻击框架直接耦合到连续扩散语言模型（dLLM）上，去除原先依赖随机映射的解码方式，保留标准高斯潜变量形式与下游采样或优化流程。
安全paper推荐指数6868 arXiv 论文分析 BARBICAN 分层提示词注入网关的组件归因失效
arXiv:2610.33198 论文分析 BARBICAN，一个面向 LLM 工具调用中介的 fail-closed 分层提示词注入网关，发现其仲裁阶段因 tokenizer 配置错误长期接收乱码文本。
安全paper推荐指数7272 arXiv论文提出LLM数字取证中的提示词注入反取证攻击分类与PoC
Frank Breitinger等人在arXiv:2610.29747发表论文，指出LLM辅助数字取证引入了新的反取证攻击面：被分析证据本身由攻击者控制，可作为间接提示词注入载体操纵模型推理与下游动作。
arXiv推荐指数7575 arXiv论文提出针对LLM辅助数字取证的反取证提示词注入分类与概念验证
论文指出数字取证场景反转了间接提示词注入的常规设定：被分析的证据本身由攻击者控制，且检验人员必须仔细阅读，使推理层成为继数据和工具之后的新反取证目标。作者扩展了反取证模型以涵盖对推理过程的操纵，提出由目标、技术、载荷位置和隐藏方式构成的攻击分类，并指出确定性工具、人类检验人员与模型对同一证据存在感知差异，这正是注入能绕过检验人员触达模型的原因。
arXiv推荐指数7272 指令微调数据选择器的 utility-hijacking 攻击与 CONCERT 防御研究
论文提出 utility-hijacking 攻击，通过改造有害记录使其兼容效用导向的指令数据选择器并保留恶意载荷，令 top-k 选择反而集中而非过滤毒物。
arXiv推荐指数2222 通用 LLM 时代被忽视的上下文隐私：为何统一的提示词隐私框架不可取
论文指出，用户跨多个场景使用单一通用 LLM，促使提示词隐私研究走向统一框架，但这忽视了隐私本质上是上下文相关的，可能带来虚假安全感。作者认为未来统一框架仍需面对提示词隐私多项理想属性间的根本张力，建议转向按应用部署 LLM、按上下文评估隐私框架并提升隐私素养。
arXiv推荐指数4141 VX-One：面向实时边界分诊的类型化校准决策头，实测未知攻击诚实性、级联灰区与漂移下的校准
VX-One 是一个 100K-10M 参数的小型多头网络，输出校准门控、含显式 unknown 选项的闭集选择与序数分数三类类型化决策原语，CPU 上 p50 约 0.7-1.7 ms。
arXiv推荐指数2626 CALLIOPE：不依赖嵌入向量、支持差分隐私的 AI 使用主题发现框架
CALLIOPE 是一个自上而下发现大规模非结构化数据（如 LLM 对话）主题层级、并支持差分隐私（DP）的框架，整个流程直接调用 LLM 能力，不依赖向量嵌入聚类。实验显示其在 DP 设置下效用优于现有基于嵌入的方法，高隐私区间尤为明显。团队用传统聚类指标及新提出的效用指标评估了输出质量。
arXiv推荐指数5757 AgentPolicyForge 提出用可执行环境构建策略基准与自适应护栏
AgentPolicyForge 框架用可执行环境构造策略基准并迭代训练策略护栏，并据此构建了覆盖十个策略族的 PolicyGym 数据集，含 698 个训练场景与 254 个独立留出场景供人工评审测试。
arXiv推荐指数6666 研究：AI 审批监控器的相关性失效与按来源计数规则
Luca Zanolini 在 arXiv 发表论文，研究多个 AI 审批监控器在共享基座模型或被投毒输入时可能同时失效的问题，并借用分布式计算的失效易发系统（fail-prone systems）来刻画这类监控器集合。
arXiv推荐指数6060 DiagSafe：用提示词级评分细则对 LLM 安全做诊断式评测
作者提出 DiagSafe 诊断式评测框架，用提示词级评分细则替代二元安全标签，从安全与有用性两个维度给出显式判据。该框架构建了基于 84 类安全分类体系的中英双语基准，包含 DiagBase 与 DiagAttack 两个子集，实验显示其与人工标注一致率达 95.34%，高于基线的 69%-87%，评判者间一致性 Cohen's κ = 0.864。
arXiv推荐指数7272 arXiv论文量化编码Agent过度遵循过期指令文件的行为并验证一句话修复
论文构建40个Python项目，在指令文件与现有代码约定冲突时让Claude Code和Codex CLI各运行320次。结果显示无干预时90.1%的选择遵循过期指令文件，Claude Code在80次运行中79次指出冲突仍照做，Codex CLI在80次中20次改写现有代码、其中17次导致项目测试失败。
安全paper推荐指数6969 Omni-UBench：首个全模态 LLM 护栏评测基准发布
Omni-UBench 是首个面向全模态大语言模型（OLLM）护栏的综合评测框架，从安全、实用性和可靠性三个维度评估护栏模型，收录来自 35+ 异构来源的 183k+ 样本，覆盖文本、图像、音频、视频及其跨模态组合，并按统一风险分类体系标注。
安全paper推荐指数7171 arXiv 论文提出 MCP 智能体工作流的解码时来源绑定防御
arXiv:2610.31974 论文研究针对 MCP 智能体工作流的间接提示词注入，提出解码时来源绑定机制，将 HMAC 认证的信任标签、MCP 维护的来源账本与上下文污点追踪结合，对被解码内容标记为不可信并阻断受其影响的关键工具调用。
安全paper推荐指数5555 nokast-secureRAG：用约 0.5B 小模型在 RAG 流水线中检测上下文感知提示词注入
Abhishek Rai 提出 nokast-secureRAG，一个约 0.5B 参数的小语言模型，作为检索与生成之间的语义防火墙，联合评估用户查询与检索上下文，将二者判为安全、可疑或恶意。
安全paper推荐指数5555 KNOX：面向生成式模型的硬件辅助监管沙箱
Vasisht Duddu、Adam Caulfield、Xi He 在 arXiv:2610.27543 提出 KNOX，一个在 TEE 内运行生成式与 Agent 工作负载的监管沙箱，在保护模型权重的同时按经证明的策略清单约束可用法规、工具调用与系统调用。
arXiv推荐指数5252 论文提出无人值守 Agent 自我改进的两个可测量前提：验证器强度与可恢复性
论文提出平台可测量的两个量：验证器强度 σ 衡量可用验证器（常为 LLM judge）与可信参考验证器的一致程度，可恢复性衡量坏改动被撤销的成本。作者据此制定规则，允许 prompt、工具与技能编辑无人值守运行，权重更新仍需人工签核。
arXiv推荐指数3232 大语言模型跨语言代码翻译中的幻觉：现象与缓解
一项系统性实证研究在三个基准数据集、六组语言对和七个 LLM 上考察跨语言代码翻译幻觉，构建了语义一致性冲突、事实知识冲突、项目上下文偏离三类分类法，并人工标注 13,919 个幻觉案例。研究进一步提出 HaluCodeTran 缓解框架，结合基于 BM25 的翻译示例检索与分类法感知的反思式精炼。