基于部分 C2PA 来源信息增强图像取证
一项被 IEEE WIFS 2026 接收的研究提出两步策略，利用图像上仅记录最后操作的部分 C2PA Content Credentials（CCs）作为可信知识，通过结构分析重建最后签名者施加的操作，并据此适配取证检测器以缓解分布偏移。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选1展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 231 条 · 更新于 15:39
arXiv推荐指数4545 arXiv推荐指数7878 CARI：编码智能体工作流中的跨边界对抗性运行时注入研究
arXiv 论文提出 Cross-Boundary Adversarial Runtime Injection（CARI）攻击设置：在多方协作的编码智能体工作流中，恶意或被攻陷的对等开发组件（如后端服务、测试框架、CI 任务）可在其运行时反馈中暗藏指令，诱导受害方智能体执行越权操作。
ShortSpan推荐指数7373 WM-Basin：通过权重水印黑盒检测被蒸馏的大语言模型
论文《Watermark Basins: Black-Box Detection of Distilled LLMs》提出 WM-Basin，一种仅通过 API 查询即可检测学生模型是否由带水印教师模型蒸馏而来的黑盒检测器。
ShortSpan推荐指数6262 Thinking-in-Bets：让智能体在读用户反馈前先写下主张，可几乎消除补丁审查中的错误反转
论文《Thinking-in-Bets at Test Time Reduces Sycophantic Revisions in LLM Agents》（作者 Nghi D. Q. Bui）提出一种免训练方法：让智能体在读用户回复前先写一份私有 Claim Checklist，逐条记录主张、支撑证据与置信度，收到质疑时据此决定保留、复核、澄清或修复。
arXiv推荐指数4747 Component Translation and Judge-Labelled Refusal：多语言安全评估中的组件翻译与裁判标注拒绝率
一项多语言安全评估研究提出"组件翻译"配对反转方法，将请求的完整组件或操作组件独立翻译为同一目标语言，在 300 个采样有害行为中保留 190 个，生成英/中/西三语九种配置。
arXiv推荐指数5656 arXiv 论文评测决策模型用于 RAG 知识冲突分型的效果
论文研究用 typed decision models 替代 LLM 对 RAG 检索源冲突做分型分类，基于 CONFLICTS 基准和原论文 prompt，对一家推理网关上 7 家提供商的 11 个决策模型与 Gemini 系列在相同输入上评测。
arXiv推荐指数4545 DocXEval：多模态文档理解可解释性系统评测框架
DocXEval 提出首个面向多模态（文本、版面、图像）文档理解的可解释性（XAI）评测框架，系统评测 13 种 XAI 方法、3 类任务、8 个数据集、4 个模型与 17 项评测指标，发现仅少数方法在全部指标上表现稳定，其中 Occlusion 整体最忠实、最可解释。元评测显示多项忠实度与复杂度指标存在中到强一致性，同时识别出部分不可靠指标。代码已公开发布以支持可复现性。
arXiv推荐指数6060 API-TAIL：通过温度对齐似然尾部检测LLM API中的模型替换
arXiv论文提出API-TAIL，一种检测商业大语言模型API部分模型替换的典型性审计方法。该方法先对齐单一有效温度以吸收批次级分布偏移，再标记超出阈值的尾部响应，从而在合法解码配置构成的复合零假设下检测低比例替换。在真实商业API上的评测显示，API-TAIL能控制误报并以较小查询预算检测低速率替换，优于基于rank和MMD的现有审计方法。
arXiv推荐指数5353 MiRL：用错误靶向强化学习纠正终端Agent的错误行为
论文提出 MiRL（Misbehavior-driven RL），先对策略的错误进行画像以找出可泛化的错误行为，再从这些错误发生的步骤开始 rollout 并仅在通过测试且避免错误行为时给予奖励，从而用强化学习纠正终端 Agent 的错误。
arXiv推荐指数6262 arXiv 论文：GRPO 中面向 reward hacking 的预算化强验证器审计策略
论文研究在 GRPO 训练中如何用有限的强验证器预算审计弱通过的 rollout，提出按通过数最少的组优先审计（LB）的策略。
arXiv推荐指数6262 ADLER：面向流式 LLM API 的私有文档问答解码协议，用泄露账本约束答案披露
论文提出 ADLER，一种面向流式 LLM API 的解码协议，用于本地小模型与云端 LLM 协同回答私有文档问题时的隐私保护。研究发现，投机解码中私有草稿虽未在答案中出现，却会作为被拒绝的草稿发送给云端，从而泄露私有内容。
arXiv推荐指数6767 Jailbreak Connectivity 提出连续对抗路径优化以实现多模态大模型可迁移越狱
论文提出名为 Jailbreak Connectivity（JC）的多模态大语言模型视觉越狱框架，基于有效对抗样本可通过图像空间低损失区域相连的观察，优化连续对抗路径：路径采样生成多样化越狱图像，轻量代理分类器引导跨模型迁移，分布级目标实现跨有害查询的通用攻击。
arXiv推荐指数7575 arXiv 论文提出六模块扫描器检测 Agent Skills 本地与组合漏洞
论文提出一个六模块扫描器（内容提取、本地分析、组合分析、验证、报告、缓解），用于检测 Agent Skills 中的非预期漏洞及多技能组合风险。
arXiv推荐指数5656 ICALL-BENCH：评测 LLM 在二进制程序中的跨过程推理能力
ICALL-BENCH 是一个评测 LLM 与智能体在编译二进制程序中理解并推理跨过程语义能力的基准，以间接调用目标恢复作为可量化探针。它覆盖 50 个真实 C/C++ 程序，平均 74,746 行代码、941 个函数，设置模型纯推理、静态工具增强智能体、联网开放世界智能体三种分析模式，评测 5 个近期 LLM 及其对应智能体。
arXiv推荐指数6262 arXiv 论文提出智能合约合成意图丢失测量方法与先提问架构
论文提出一套基于执行而非主观判断的评测方法，通过在 AI 生成的智能合约与原始合约上重放相同交易并测量一致率，定位需求在智能合约合成中丢失的位置。研究发现常见方法如 AI 评委和标准分析工具会漏掉明显错误，仅检查各系统都包含的函数会掩盖约一半的流水线差异。
arXiv推荐指数4646 VulnLens：基于结构化安全解释的 C/C++ 漏洞检测框架
VulnLens 提出一种解释增强的二元 C/C++ 漏洞检测框架，将程序行为分析与最终判定分离：标签盲的 LLM Explainer 从数据流、内存访问、对象生命周期等七个固定视角生成结构化解释，监督式 Detector 通过序列交叉注意力融合源码与解释。
arXiv推荐指数5656 CrossProfile 基准揭示 LLM 群体决策记忆压缩的失效模式
论文提出 CrossProfile 诊断基准，包含 60 个模板与自动校验答案键（共 480 个任务），用于评估 LLM 群体讨论压缩为记忆后对最终决策的影响。
arXiv推荐指数4444 临床类别不平衡下选择性预测的不确定性量化结构性漏洞与修正（arXiv:2610.37561）
一项 arXiv 研究指出，在临床类别严重不平衡下，标准不确定性量化度量衡量的是数据集稀疏性而非临床模糊性，会把少数类患者系统性排除，形成"安全错觉"。研究在 56 种合成条件与多发性硬化、帕金森病、阿尔茨海默病三个神经退行性队列上验证，CCR 结合阈值感知度量可恢复类内严格单调性、维持有界的均衡风险。作者建议临床选择性预测管线采用阈值对齐的不确定性度量与分层评估。
arXiv推荐指数5959 arXiv 论文：交叉任务耦合如何驱动无监督 RLVR 中的策略坍缩
论文研究无标签、可验证奖励强化学习（RLVR）中模型以自身多数投票作为奖励时出现的策略坍缩现象：自评奖励趋近 1 但准确率下降，模型最终对所有问题给出相同答案，且坍缩仅在训练问题数量较多时出现。
arXiv推荐指数4747 重审量化深度神经网络的隐私风险：4-8 bit 量化模型仍易受成员推断攻击
一项针对量化深度神经网络（QNN）隐私风险的实证研究显示，4-8 bit 的实用量化级别对成员推断攻击（MIA）防护作用有限，量化模型与全精度模型同样脆弱；2-bit 激进量化虽能带来一定隐私收益，但以显著的效用下降为代价。
arXiv推荐指数5656 arXiv 论文提出耦合福利继续预训练语料，提升五个开源模型的生态对齐表现
论文构建了一个基于真实数据的耦合福利继续预训练语料，内容涵盖人类、生物圈与 AI 的相互依赖、不可逆情形下的选择价值以及伤害后的恢复，只需一次 QLoRA CPT 即可即插即用。
arXiv推荐指数7272 SimpleLoRIF 用梯度归因定位致害微调数据并构建 SafeTulu
论文提出 SimpleLoRIF，一种可扩展的梯度嵌入方法，用于识别与不安全行为梯度对齐的微调样本；通过简化低秩归因并将反向传播限制在最后四个 transformer 块，可处理百万级样本。
安全paper推荐指数6262 arXiv论文提出Curriculum of Models方法用于自动化越狱发现
论文提出Curriculum of Models（CoM），一种基于强化学习的自动化越狱发现方法，通过让攻击者模型依次针对逐步更安全的目标模型版本进行训练，以解决直接训练时因拒绝导致的稀疏奖励问题。
安全paper推荐指数6666 FlipJev：针对typed decision模型的快速黑盒红队方法发现通用对抗后缀
arXiv:2610.38895 论文提出 FlipJev，针对 Jev 这一代表性 typed decision 模型的快速黑盒查询式攻击，无需调用攻击者大语言模型。
安全paper推荐指数6161 Jailbreak Connectivity：面向多模态大模型的多样化、可迁移与通用视觉越狱框架
arXiv:2610.38091 提出 Jailbreak Connectivity（JC）视觉越狱框架，将成功的对抗图像视为图像空间中通过低损失区域相连的区域而非孤立点，通过优化连续对抗路径采样出多样、可迁移乃至通用的越狱图像。
安全paper推荐指数6767 Value Probes 论文：用目标模型激活的线性探针改进束搜索红队审计
arXiv:2610.38526（Jonathan F. Jao、Andrew Kyle Lampinen）将自动化 LLM 红队审计建模为以对话历史为状态、judge 分数为奖励的 MDP，提出用束搜索替代纯 auditor 探索对话分支，并训练 "Value Probes"——目标模型激活上的线性探针预测折扣未来审计奖励作为启发式。
安全paper推荐指数5959 arXiv 论文提出用连续风险景观替代二元越狱评测指标
arXiv:2610.38595 论文提出用连续、上下文条件化的风险景观替代二元攻击成功率（ASR）来评估 LLM 越狱，通过固定候选首 token 开头并反复采样其续写来估计首 token 分支上的风险分布。该视角区分了当前解码器暴露度与安全改道能力两个互补属性，揭示了看似安全输出下隐藏的高风险分支，并发现针对已知自适应防御最强的攻击在防御生效后不一定仍是最强的。
arXiv推荐指数4141 SecDMP：可证明安全的数据内存依赖预取防御（NDSS 2027 扩展版）
SecDMP 提出一种可证明安全的硬件防御，要求在内存中标记机密数据，确保数据内存依赖预取器（DMP）永不将这些机密编码进微架构，且不牺牲公开数据的性能。论文形式化证明 SecDMP 不引入超出无 DMP 基线语义的泄漏，与推测执行防御结合可为 constant-time 代码恢复完整的微架构安全。
arXiv推荐指数6262 arXiv 论文实测五个编码智能体 1,886 个版本的指令栈演化
论文对 Claude Code、Codex、Gemini CLI、Qwen Code 和 OpenCode 共 1,886 个版本首次模型请求中的指令栈进行纵向跨智能体研究，分析其构成与演化，并对四个开源智能体的变更追溯到有据可查的动机。
arXiv推荐指数6464 WM-Basin：基于水印盆地对齐的蒸馏模型黑盒检测方法
论文提出 Watermark Basin Alignment（WM-Basin），一种针对 API 蒸馏的黑盒水印检测方法。其核心发现是：带水印的教师模型输出在微调时会在参数空间嵌入与任务微调子空间正交的密钥相关几何信号，即水印盆地。
arXiv推荐指数3333 REGLAT 在 ArGuard 2026 共享任务中的阿拉伯语有害内容检测系统：集成 NER 的集成模型
REGLAT 系统在 ArGuard 2026 共享任务中用 GLiNER 抽取有害实体并拼接原文，再交由微调后的 MARBERT 分类器完成阿拉伯语有害内容七分类，开发集上 macro-F1 达 0.886、准确率 0.897。盲测集子任务 1 准确率 0.793、Macro-F 0.735，子任务 2 准确率 0.770、Macro-F 0.754。分析显示相近危害类别之间仍难以区分。
arXiv推荐指数5555 HausaSafeLM：面向豪萨语的大语言模型安全对齐研究
论文针对豪萨语（Hausa）这一低资源语言研究大语言模型安全对齐，提出首批豪萨语安全偏好数据集 HausaSafeLM，包含从 PKU-SafeRLHF 衍生的 10,000 条 prompt，其中 3,000 条人工修正（gold）、7,000 条机器翻译（silver），覆盖六类危害宏类别。
arXiv推荐指数4747 多关系图学习中的信任陷阱：操纵成本、暴露度与关系选择
arXiv 预印本（2610.37239）证明，当部分节点在某关系上孤立且攻击者无法负担开启该关系的代价时，度门控严格优于任何关系选择或重加权方案；基于单位成本暴露度的加固策略在 16 例中有 15 例能选出最能提升陷阱阈值的关系。在六张图的 90 个设置中，58 个设置下干净数据训练的图检测器表现低于无图基线；在缺乏成本信息时，安全选择是弃用该关系。
arXiv推荐指数6060 Decision Models 作为幻觉检测裁判的评测研究
论文构建了覆盖五种幻觉类型的二元基准（9,852 条样本，来自六个数据集），将五个决策模型与生成式裁判 gpt-6-sol 对比。结果显示表现强依赖类型：最佳决策模型在上下文不一致任务上平衡准确率追平 gpt-6-sol，事实错误上差距在 3 个百分点内，但在逻辑与指令不一致上落后 4-8 个百分点。
arXiv推荐指数4747 超越 QASecClaw：软件保障中的 Agent 扩展、验证器反馈与证据可靠性
一项涵盖五组实验的软件保障研究（arXiv:2610.36947）使用 Qwen2.5-Coder-7B-Instruct（含 1.5B 敏感性分析）完成 13,638 次模型请求，测试在已有确定性工具证据时增加专家上下文能否提升软件保障。
arXiv推荐指数5555 PrivacyEvalClaw：用于审计 LLM 越狱回复隐私泄露的工具增强审议式代理
论文提出 PrivacyEvalClaw，一个免训练的审议式代理，用于评估 LLM 越狱回复中的隐私泄露。它将评测器和分析模块视为工具，自适应收集证据、调查不确定披露并调和冲突信号后再给出判断。
arXiv推荐指数5555 arXiv 论文提出任务条件可见度裕度，量化多源异常检测器的隐蔽源操纵风险
论文提出威胁量化指标任务条件可见度裕度（task-conditioned visibility margin），定义为操纵每单位下游任务危害必须暴露的最少检测器证据，该裕度有闭式解，每张证书约 85 μs，可给出最小证据攻击并识别检测器看不见的任务相关方向。