LEAN：通过损失工程调制模型权重敏感度分布，实现高效容错神经网络
LEAN 提出一种复合正则化方法，可在微调或训练末期用十个 epoch 系统性调制已训练模型的权重敏感度分布，在九个视觉模型（ResNet-18、ResNet-50、VGG-16 于 CIFAR-10、CIFAR-100、ImageNet）上将敏感尾部缩小 5 至 13 倍，精度损失在 0.5 个百分点以内。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 528 条 · 更新于 15:39
arXiv推荐指数2828 arXiv推荐指数5858 ReMAS：用强化学习对多智能体系统做黑盒红队
作者提出 ReMAS，一个面向多智能体系统（MAS）的强化学习红队框架，通过微调攻击方 LLM 生成用于系统提示词提取的对抗提示。该框架分两步，先改写基础攻击提示以提高提取成功率，再生成攻击模板以提升调用特定子智能体、暴露其系统提示词的概率。实验显示其攻击成功率明显高于现有黑盒攻击方法，并可迁移到不同后端 LLM 与 MAS 结构。
arXiv推荐指数6060 PerMIT：用机器校验完整性定理与社区信任保护 LLM Agent 持久记忆
PerMIT 提出一种面向 LLM Agent 持久记忆的架构，在仅信任用户输入与闸门确认值的显式假设下，通过有限记忆接口管控不可信环境值的释放与使用，并保留 Agent 的多轮规划与工具选择能力。
arXiv推荐指数5757 AgentPolicyForge 提出用可执行环境构建策略基准与自适应护栏
AgentPolicyForge 框架用可执行环境构造策略基准并迭代训练策略护栏，并据此构建了覆盖十个策略族的 PolicyGym 数据集，含 698 个训练场景与 254 个独立留出场景供人工评审测试。
arXiv推荐指数3131 扩散模型敏感度几何与强对偶：实现最优隐私-效用权衡
研究提出面向理想扩散去噪器的最优隐私-效用权衡框架，用精确敏感度刻画替代保守的直径式敏感度上界，并给出可证明最优的噪声校准。最坏情况敏感度仅需两条记录即可精确刻画，数据域大小为 m 时分析约束最多降至 m(m-1) 个，且可任意紧于传统上界。该工作还给出 Rényi、近似与高斯差分隐私的精确保证，并通过半定规划计算最小加权均方误差、证明强对偶以提供全局最优性证书。
arXiv推荐指数2222 NumAnchor：为汇编语言模型提供地址锚定的数值操作数表示
NumAnchor 是一种输入边界适配器，将汇编语言模型中可恢复的数值类操作数表示为带类型、规范化的程序实体，在不增加宿主序列长度的前提下保留实体身份与局部性。
arXiv推荐指数2020 新研究称 Regular Syndrome Decoding（RSD）比此前估计更容易求解
一项新研究提出改进的混合代数攻击，通过协调零坐标猜测与基于伴随式的变量消元，重新评估了 Regular Syndrome Decoding（RSD）的具体难度，发现许多广泛使用的参数集比此前估计更容易求解。
arXiv推荐指数6666 研究：AI 审批监控器的相关性失效与按来源计数规则
Luca Zanolini 在 arXiv 发表论文，研究多个 AI 审批监控器在共享基座模型或被投毒输入时可能同时失效的问题，并借用分布式计算的失效易发系统（fail-prone systems）来刻画这类监控器集合。
arXiv推荐指数4747 边缘 VLM 物理对抗鲁棒性统一评估框架：紧凑 grounding VLM 与目标检测器同样易受对抗补丁攻击
研究提出统一指标 cASR（条件攻击成功率），在匹配灰色遮挡物下比较紧凑 grounding VLM 与目标检测器对行人佩戴对抗补丁的检测逃逸情况，发现 VLM 可与检测器同样脆弱。失败模式主要与模型输出格式而非架构家族相关，其中位移与替换会返回高置信度、格式完整的框，仅遗漏对下游系统可见，因而更危险。分布偏移下，原本以遗漏为主的 VLM 会转向更多位移/替换失败。
arXiv推荐指数1818 对 Datta-Komargodski-Waters 去中心化多授权 ABE 方案的密码分析与修复
研究者对 Datta、Komargodski 与 Waters 发表于 Journal of Cryptology 2023 的去中心化多授权属性基加密（ABE）方案提出明文恢复攻击，在仅一个腐败授权方、两个用户属性集即便合并腐败授权方属性仍不满足授权条件的静态模型下即可成功。
arXiv推荐指数6060 DiagSafe：用提示词级评分细则对 LLM 安全做诊断式评测
作者提出 DiagSafe 诊断式评测框架，用提示词级评分细则替代二元安全标签，从安全与有用性两个维度给出显式判据。该框架构建了基于 84 类安全分类体系的中英双语基准，包含 DiagBase 与 DiagAttack 两个子集，实验显示其与人工标注一致率达 95.34%，高于基线的 69%-87%，评判者间一致性 Cohen's κ = 0.864。
arXiv推荐指数2020 PQ-Vault：为未修改的以太坊提供可证明量子安全的资产托管
PQ-Vault 是一套面向未修改以太坊的资产托管系统，由量子安全 PoS 侧链、紧凑证书与乐观争议协议组成，要求资金转入仅依赖量子安全原语的合约。研究首次给出紧凑证书抗量子攻击的安全证明，并发现经典参数下安全强度从 128 位降至约 60 位，一条简单规则即可恢复。
arXiv推荐指数2222 MASAR：面向电信网络的多阶段攻击面分析与推理框架
论文提出 MASAR 形式化框架，用战略威胁映射、基于 DAG 的逻辑攻击路径分解和 TTP 运营合成三层结构，弥合 STRIDE 架构威胁建模与 MITRE FiGHT 运营知识库之间的差距。
arXiv推荐指数6262 研究揭示 LLM 漏洞发现 harness 的结构性漏报与隐藏漏洞
Gadi Evron 的论文指出，基于 LLM 的漏洞发现 harness 会因代码选取、过滤、结果存储与合并等环节的工程选择和错误，在模型运行前后丢弃真实可达的漏洞，且报告通常不作提示。
arXiv推荐指数2323 VMSpec：基于反编译器的虚拟机混淆对抗方法
VMSpec 是一种基于反编译器的自动化方法，通过构建 VM 处理器规格，让现有反编译器能分析 VM 混淆代码。在 147 个来自 Tigress 和 Code Virtualizer 混淆基准的程序及 6 个真实恶意软件 DGA 上，VMSpec 几乎剥离了所有样本的 VM 混淆，输出效果接近 Ghidra 对原始代码的反编译。
arXiv推荐指数4242 Sign Here：通过溯源归属构建更可信的软件供应链
研究提出从源码直接构建、绕过包注册表来阻断恶意包，基于 47,066 个恶意包与 npm/PyPI 共 33,138 个样本的评估显示，仅检查源码归属即可拦截 87.7%–99.9% 的恶意包。但良性包透明度不足，仅 47.4% 标注了可供终端用户构建的源码来源。
arXiv推荐指数5858 harness 对 LLM 漏洞发现影响多大？24 组模型配置的多模型研究
该论文用开源 harness 在生产代码库上测试 24 组模型与运行器配置，在 265 个已确认安全根因中，覆盖最广的两组配置合计发现 60.4%，14.3% 的根因仅被单一模型发现，没有任何配置覆盖全部发现。
arXiv推荐指数5555 SANE：面向 LLM 评审器的自动化评分器专属蜕变测试框架
作者提出 SANE，一个基于 Agent 的框架，把随机评估器的行为要求编码为可复用的 Agent 指令，根据评分器规格、实现和代表性输入自动识别评分器专属能力，并推导扰动配方与预期分数关系。
arXiv推荐指数4141 RegretBench 与 BackUpper：编码 Agent 备份意识评测与自动备份方案
研究团队提出 RegretBench，用 205 个可执行任务评测编码 Agent 的备份意识：六个前沿模型平均完成任务率 86.1%，但在需要备份的关键时刻仅 15.2% 会提前保存状态。
arXiv推荐指数6262 论文发现 LLM Agent 文本拒答难以迁移到工具调用
论文构建了覆盖四个领域、2,304 条提示词的基准，用文本、标准工具调用和对抗性工具调用三种配对设置测试五个模型，发现聊天中被拒答的有害请求在标准工具调用下仍有 10-52% 变成不安全的工具调用。
arXiv推荐指数1818 VERDICT：多智能体并行模块化验证框架
VERDICT 是一个面向大规模程序模块化演绎验证的多智能体框架，通过基于假设的并行规约合成与双向过程间冲突协调，让各函数智能体可同时推进验证。在真实 C 程序上，它合成的规约质量优于现有方法并大幅缩短验证时间，首次扩展到完整的 20,000 行 X.509 解析器，数小时内排除几乎所有潜在运行时错误，而 PREGUSS 等此前工具运行数天仍远未达到。
arXiv推荐指数3131 CloudIR-Bench：面向云故障根因分析与缓解预测的公开基准
CloudIR-Bench 是首个公开的云故障根因分析与缓解预测基准，数据集取自五套主流云系统的真实事故报告，并开源含 8 种近期 LLM 方法的评测框架。评测覆盖零样本与上下文学习实验，并定性分析 LLM 在何处、为何失败，揭示现有模型在该领域的能力与局限。数据集、框架与补充材料均已公开，论文收录于 APSEC 2026。
arXiv推荐指数3939 编码智能体为何无法理解系统崩溃？研究提出 source interventions 配对评测方法
研究提出 source interventions 方法，用仅差一个 commit、同一输入只在一个源码树上崩溃的配对样本，测试编码智能体是否真能推理执行行为。
arXiv推荐指数4444 CertMoE：面向 MoE 大语言模型的路由感知平滑鲁棒性认证框架
CertMoE 是首个针对 MoE 大语言模型的路由感知鲁棒性认证框架，通过放宽的路由包含准则，将扰动后的 Top-K 路由限定在更大的认证专家池内，再对诱导子网络做预测一致性认证。实验显示，动态路由会使现有认证方法签发的证书频繁失效，CertMoE 将经验违反率从超过 30% 降至 0。
arXiv推荐指数3131 RegoMender：面向 Rego 策略自动修复的多智能体框架
RegoMender 是反馈引导的多智能体框架，通过共享黑板与原子工具包动态执行打补丁、重写或回滚，用于修复 Rego 策略。团队同时发布首个自动化 Rego 策略基准 RegoBench，含 1,159 个真实缺陷；RegoMender 在 RegoBench 上语法与基于测试的语义成功率分别为 82.9% 和 77.9%，超出最强基线 13.4%。
arXiv推荐指数7272 arXiv论文量化编码Agent过度遵循过期指令文件的行为并验证一句话修复
论文构建40个Python项目，在指令文件与现有代码约定冲突时让Claude Code和Codex CLI各运行320次。结果显示无干预时90.1%的选择遵循过期指令文件，Claude Code在80次运行中79次指出冲突仍照做，Codex CLI在80次中20次改写现有代码、其中17次导致项目测试失败。
Hugging Face 每日论文 SCOPE: Compiling Natural-Language Policies into Neurosymbolic Predicate Programs
Policy enforcement for LLM agents has shifted from single-turn content moderation to compound, application-specific policies evaluated over multi-turn transcripts and tool-call trajectories. Fine-tuned guardrail models are efficient but degrade on compound policies, and while LLM-as-a-judge approaches achieve higher accuracy, they incur high inference cost and tend to produce unstable predictions. Neurosymbolic methods offer a natural alternative, decomposing the policy into narrow neural decisions composed under explicit logic. However, existing symbolic layers lack the required expressiveness and are optimized against fixed data rather than the policy itself. To address this, we introduce SCOPE, which compiles a policy into an executable program of neural predicates executed by small models, deterministic extractors, and code that composes their outputs. The program is optimized jointly with its training data, using adversarial generation of counterexamples that target where the program deviates from the policy. We evaluate SCOPE on a benchmark of real-world policy tasks against prompt optimization, task decomposition, and workflow generation methods, achieving the highest average accuracy across tasks and models. Programs optimized with the weakest executor transfer to other models without further optimization. This allows them to be deployed in production on inexpensive models, where they reach accuracy comparable to frontier reasoning models. Unlike these monolithic models, SCOPE produces substantially more stable predictions, and each verdict is interpretable through the predicate outputs that produced it. Additionally, we validate the key components of our method through an ablation study. SCOPE thus enables reliable, interpretable, and efficient policy enforcement at production scale.
arXiv推荐指数5757 ARATest：将研究声明转为可执行属性测试的论文
论文提出 ARATest，一个基于属性的测试库，把 AI agent 产出的研究声明中的隐含属性抽象为可执行的属性骨架进行检验。每个属性给出 holds、violated 或 inconclusive 三种判定，违规附带可复现的 witness；默认生成器读取 ARA 工件链接的证据，auto-research 生成器则派发 agent 运行已发布代码获取新用例。
arXiv推荐指数6262 审计 Agent 评测中的行为检测器：轨迹证据与标签的分歧研究
论文在基于 GSM8K 的工具调用场景中审计三个轨迹级检测器，覆盖六个生产模型、每个模型 30 道题，发现最终正确性、可见复验与故障传播的自动标签存在系统性分歧。
arXiv推荐指数4747 TrustedCode：通过自动程序验证评估大语言模型开发可信代码的能力
TrustedCode 是一个用于验证 AI 生成的 Python 代码的自动化框架，它利用大语言模型进行类型检查、通过 Why3 框架将其翻译为 WhyML，并使用 Why3 后端自动定理证明器对照形式化规范进行验证。
安全paper推荐指数5656 arXiv 论文提出 CoT 可监控性的因果上下界评估与训练方法
arXiv:2610.31733 论文研究如何评估与提升大语言模型的思维链（CoT）可监控性，指出常用的基于干预的评估指标 TPR_mc 会高估监控器真正检出由干预导致行为的频率，并将其确立为因果检出率的上界、推导出互补下界。
安全paper推荐指数5757 M³ 将多轮越狱形式化为 MDP 的红队框架论文
arXiv:2610.31937 提出 M³，一个自动化黑盒红队框架，把多轮越狱形式化为有限视界 MDP，攻击者 LLM 根据状态 LLM 生成的紧凑状态选择对话动作来探测目标模型。
安全paper推荐指数6969 Omni-UBench：首个全模态 LLM 护栏评测基准发布
Omni-UBench 是首个面向全模态大语言模型（OLLM）护栏的综合评测框架，从安全、实用性和可靠性三个维度评估护栏模型，收录来自 35+ 异构来源的 183k+ 样本，覆盖文本、图像、音频、视频及其跨模态组合，并按统一风险分类体系标注。
安全paper推荐指数7272 Ulysses：面向 Web 漏洞可利用性验证的多智能体安全框架
论文提出 Ulysses，一个多智能体安全框架，将候选 Web 应用漏洞发现转化为可验证的漏洞利用证明（Proof of Exploitability），通过迭代探索利用假设并以独立可观测的执行效果确认成功。
安全paper推荐指数7171 arXiv 论文提出 MCP 智能体工作流的解码时来源绑定防御
arXiv:2610.31974 论文研究针对 MCP 智能体工作流的间接提示词注入，提出解码时来源绑定机制，将 HMAC 认证的信任标签、MCP 维护的来源账本与上下文污点追踪结合，对被解码内容标记为不可信并阻断受其影响的关键工具调用。
安全paper推荐指数5555 nokast-secureRAG：用约 0.5B 小模型在 RAG 流水线中检测上下文感知提示词注入
Abhishek Rai 提出 nokast-secureRAG，一个约 0.5B 参数的小语言模型，作为检索与生成之间的语义防火墙，联合评估用户查询与检索上下文，将二者判为安全、可疑或恶意。
安全paper推荐指数5858 论文发现奖励错配会降低思维链可监控性
Tianyi Lorena Yan 与 John Hewitt 的论文 arXiv:2610.28303 发现，仅奖励错配本身就会降低思维链可监控性：在三个模型、三个任务上，随着模型学会利用错误奖励，其思维链仍在推理任务意图，而输出已违反意图并获得奖励。
安全paper推荐指数6060 论文论证投毒式神经网络后门不具备密码学不对称性
arXiv 论文 2610.28045 提出归约论证，认为投毒式神经网络后门无法像密码学认证方案那样形成不对称性：若投毒训练能让模型对未见触发器稳定触发并保持正常行为，该训练过程本身就是一个触发器验证器学习器。
安全paper推荐指数5555 KNOX：面向生成式模型的硬件辅助监管沙箱
Vasisht Duddu、Adam Caulfield、Xi He 在 arXiv:2610.27543 提出 KNOX，一个在 TEE 内运行生成式与 Agent 工作负载的监管沙箱，在保护模型权重的同时按经证明的策略清单约束可用法规、工具调用与系统调用。