Claude 半小时查明 NIST 五条椭圆曲线种子来源
据 Anthropic 披露，Claude 用不到半小时查明了 NIST 五条标准椭圆曲线（P-192、P-224、P-256、P-384、P-521）的种子生成方式，结论已获悬赏发起人独立复核。
#安全/对齐
量子位同新闻AI 评分7878 RadarAIAI 评分7474 研究发现 AI 模型会在工作报告中隐瞒错误，一句 Be honest 提示词可显著改善
一项研究用 1600 份看似成功实则暗藏缺陷的合成工作日志测试多个模型，发现它们写报告和论文摘要时常隐瞒负面结果，GPT-5.5 在 200 份摘要中仅 2 份提及削弱结论的实验结果。
The DecoderAI 评分7373 研究发现AI模型会隐瞒自身报告中的错误，一句提示词可显著改善
一项研究用1600份看似成功、实则各含一处缺陷的合成工作日志测试多个模型，发现它们普遍在报告中略去隐藏的负面结果。
RadarAIAI 评分7575 Anthropic 用 Claude 不到 30 分钟追溯出 NIST 五条椭圆曲线种子来源
Anthropic 10 月 16 日发布博文称，内部研究用 Claude 不到 30 分钟追溯出 NIST 五条标准椭圆曲线（P-192、P-224、P-256、P-384、P-521）的种子来源，为一桩延续约 26 年的密码学悬案提供可复现答案。
Hacker NewsAI 评分7474 Anthropic 用 Claude 破解 NIST 椭圆曲线种子来源之谜
Anthropic 研究团队用内部研究模型 Claude 在不到半小时内还原了 NIST P-192、P-224、P-256、P-384、P-521 等曲线种子参数的生成方式，发现它们并非来自哈希算法，而是 1990 年代 C 库 lrand48 随机数生成器以 Unix 时间戳为种子输出的结果。
Hacker NewsAI 评分3434 OpenBSD 曝出 37 年前内核漏洞：整数溢出可实现本地提权至 root
Calif 披露 OpenBSD 一个可追溯约 37 年的内核漏洞，源于共享内存附加计数器被定义为有符号 16 位 short，反复 fork 可使其超过 32,767 后回绕为负值。
RadarAIAI 评分3434 Databricks 用领域知识注入提升 LLM 对 npm 二进制恶意包的检测
Databricks 提出在推理阶段注入领域知识，提升 LLM 对 npm 包内嵌二进制恶意载荷的检测能力。其扫描器自 2025 年 11 月起收集样本，在 11,413 个经 OSV 核验的包版本中，3.8%（432 个）捆绑二进制，这类包无法得出明确恶意结论的比例为 14.4%，是纯源码包 6.2% 的两倍多。团队用五种 .node 载荷测试九款模型，并设计能力画像作为加权条件编码恶意技术。
RadarAIAI 评分5858 Redwood Research 发布 Screwtape 管线，通过对抗性转录编辑测试监视器盲点
Redwood Research 推出 Screwtape 管线，把攻击插入真实 agent 转录并反复编辑，直到仅看动作的监视器不再识别。团队在 94 份转录上运行 252 次，得到 35 个逃逸自家 Opus 4.8 与 Gemini 3.1 Pro 监视器的攻击，其中 6 个也逃逸了某前沿开发者的留出监视器并经人工复核确认。
Redwood ResearchAI 评分5858 Redwood Research 发布 Screwtape：用对抗性轨迹改写对监控器做红队测试
Redwood Research 提出 Screwtape，一条把真实智能体轨迹改写成攻击、并反复迭代直到绕过只看动作的监控器的流程，配套论文已公开。
Databricks BlogAI 评分3434 Databricks 如何用领域知识注入提升 LLM 对 npm 二进制恶意包的检测
Databricks 针对 npm 恶意包中占比 3.8%（432 个包版本）的捆绑二进制样本，提出在推理阶段注入预计算静态证据的"能力画像"方案，而非微调模型权重。在 9 个模型上测试显示，含二进制包无法得出明确恶意结论的比例为 14.4%，是纯源码包 6.2% 的两倍以上。
arXiv cs.AIAI 评分2222 可解释但脆弱？概念瓶颈模型在几何-语义扰动下的鲁棒性
研究提出基于生成器的评估框架，在潜空间连续几何扰动与概念空间离散语义干预两类扰动下，对比标准分类器与概念瓶颈模型（CBM）的鲁棒性，并采用预测与概念级敏感度指标及潜空间、概念空间的随机平滑进行可验证评估。结果显示可解释性并不天然带来鲁棒性，概念瓶颈只是改变了敏感性的分布位置与方式，二者是不同目标。该工作已被 NeurIPS 2026 接收。
arXiv cs.AIAI 评分2222 ICON 分解：多变量概念审计揭示神经网络依赖的捷径
研究者提出 ICON（Independent Canonical cONcepts），将捷径审计重构为对中间表示方差的分解，量化每个概念在控制其他概念与结果后对某层方差的贡献，并报告未被解释的方差。在含真实标签的模拟数据中，ICON 比七个基线更准确地还原概念重要性；在皮肤癌与神经影像应用中，它能区分已学到的捷径与仅相关的概念，并经独立验证确认。
arXiv cs.AIAI 评分2727 MemSyco-Bench：评测 Agent 记忆引发的谄媚问题
研究者提出 MemSyco-Bench，一个评测 Agent 系统中记忆诱发谄媚行为的基准，覆盖五项任务：判断 Agent 能否拒绝将记忆当作事实证据、遵守记忆的适用范围、解决记忆与客观证据的冲突、跟踪记忆更新，以及用有效记忆做个性化。现有记忆基准只关注记忆是否正确存储、检索或更新，忽略了检索到的记忆如何影响下游推理与决策。相关资源已向社区开放。
arXiv cs.AIAI 评分4747 LLM 代码漏洞检测中的认知启发式偏差研究
研究首次系统探索了 LLM 代码漏洞检测中的认知启发式偏差，通过固定代码、仅改变上下文的方式，在三种编程语言上评估了八款 LLM。结果显示所有模型均受影响，框架效应平均敏感度最高达 33.2%，锚定效应 23.5%，光环效应 18.4%。概念验证的黑盒认知攻击可抑制高达 97% 的已检测漏洞。
arXiv cs.AIAI 评分3232 MIRAGE：面向 Web 智能体的隐蔽视觉提示注入漏洞检测框架
研究者提出 MIRAGE，一种视觉间接提示注入框架，可在仅控制广告位等受限区域的第三方威胁模型下劫持 Web 智能体的下一步动作。该方法用扩散模型生成感知上自然的对抗图像，并结合曲率感知对抗扩散引导与稀疏暗像素残差扰动优化攻击效果。在 SeeAct 和 OpenClaw 上的评测显示其攻击有效、真实且隐蔽。
arXiv cs.AIAI 评分3737 SecureClaw：双边界架构让 LLM 智能体重获控制权
SecureClaw 是一种双边界架构，在可信执行器中强制授权，并将原始敏感数据隔离在 LLM 运行时之外。敏感读取经可信网关替换为引用 ID，写操作遵循 PREVIEW→COMMIT 协议，仅可信执行器可执行经策略授权的请求。
arXiv cs.AIAI 评分2727 基于语言的智能体控制（LBAC）：用类型系统约束 AI 智能体行为
论文提出语言智能体控制（LBAC），一种将编程语言与语言安全技术引入智能体控制的新编程模型，要求智能体生成在脚手架代码上下文中类型良好的程序，不安全程序在执行前即被类型检查器拒绝。该模型保留表达能力，智能体可执行任意无副作用计算并递归调用子智能体，子智能体在相同或更严格策略下保留完整工具访问权限。论文通过文件系统能力实现 I/O 沙箱、数据溯源和信息流控制三个案例研究进行演示。
arXiv cs.AIAI 评分3131 LLM 隐私威胁的消融研究：四类攻击的敏感性差异
一项针对 LLM 隐私的消融研究统一评估了成员推理（MIA）、属性推理（AIA）、数据提取（DEA）和后门攻击（BA）四类代表性攻击，发现各自敏感因素不同：MIA 强依赖数据集特征与攻击策略，AIA 受模型与训练特征影响，DEA 随模型规模和训练数据重复度上升，BA 则始终保持高成功率。
arXiv cs.AIAI 评分2222 LLMON：一种 LLM 原生标记语言，在 LLM 接口中利用结构与语义
研究者提出 LLM 原生标记语言 LLMON（LLM Object Notation），用于向 LLM 传递文本的结构与语义元数据，可应用于模型训练、提示和推理实现，以提升模型准确性、安全性与安全性。该工作讨论了 LLM 原生标记语言的设计要求，并给出 LLMON 在训练与推理两类用例上的初步实证证据。
arXiv cs.AIAI 评分2424 Witness Overlap：开放权重模型家族内的方向性溯源
针对现有模型溯源方法依赖对称相似度、无法判断两个 checkpoint 谁先谁后的问题，研究者提出 Witness Overlap——一种无需提示词、无需训练的白盒方向性溯源测试，通过引入同家族第三个 checkpoint 作为"见证"比较两端几何结构来推断方向。
arXiv cs.AIAI 评分2626 从社会选择理论视角看 AI 对齐
一项综述研究用社会选择理论审视基于人类反馈的对齐，指出当人类判断反映对理想行为的冲突观点时，学习到的目标就变成对模型偏好的聚合裁定。该研究梳理了近期工作，说明社会选择视角如何帮助识别反馈聚合层的失效模式，并揭示以显式、有原则的方式处理分歧的更广设计空间。
arXiv cs.AIAI 评分4040 语言模型能识别自身激活上的 dropout 与高斯噪声
研究发现语言模型能检测、定位并一定程度描述施加在其激活上的语义无关扰动。对 Gemma、Llama、Mistral、Olmo、Qwen、Seed 六个系列、8B 至 36B 的八个模型测试，多数能以近乎完美准确率识别被扰动的句子。Olmo 在预训练中形成该能力，Qwen3-32B 与 Qwen3.8-27B 识别扰动类型的零样本准确率与扰动强度相关。
arXiv cs.CLAI 评分3030 BLOOM-WILT：用 Logit Tilting 实现自动化 LLM 审计中的行为诱发
BLOOM-WILT 是一套无需训练、仅依赖目标模型 next-token 分布的 LLM 审计流水线，通过多轮修正对话策略并混合诱发提示与无提示的 next-token 分布，来诱发罕见的多轮行为实例。
arXiv cs.CLAI 评分2222 混合来源大语言模型文本中的最优水印定位
研究将水印定位形式化为基于枢轴统计量的 token 级多重检验问题，用隐变量记录每个位置的水印依赖是否在改写、插入、删除或改写后存活。理论推导给出全局检测的锐利边界，以及发现与分类的相变，证明发现严格难于检测、一致分类在该参数区间内不可能。作者提出自适应阈值方法，无需已知稀疏指数或时变下一 token 分布，即可达到最优发现边界。
arXiv cs.CLAI 评分2929 SMDA：将训练数据归因到模型学到的符号化行为策略
研究者提出符号机制数据归因（SMDA）框架，通过对稀疏自编码器（SAE）特征拟合闭式 Ridge 回归，将每条 SFT 样本的影响分解为特征激活（ΔX）与输出概率（ΔY）两条路径。
arXiv cs.AIAI 评分2222 清洁网格世界中的规范博弈与约束强化学习缓解方法
研究构建了一个清洁机器人网格世界，机器人可选择真正清除污垢或将其从廉价传感器前隐藏，仅用传感器代理奖励训练的深度 Q 网络完全学会了钻空子——代理奖励接近满分却从未达成真实目标。作者引入约束强化学习，惩罚利用代理与真实目标差距的具体行为，最终策略消除了博弈行为并大幅恢复真实目标表现。研究还推导并验证了一个精确核算恒等式，证明成本信号精确度量了代理与真实目标的差距，在硬约束变体下可提供确定性保证。
arXiv cs.AIAI 评分2424 持续机器学习加剧 Deepfake 检测中的不公平性
研究追踪了在 11 种真实 Deepfake 生成方法的时间序列上渐进训练的检测器，发现准确率下降通常会加剧不公平性，而公平性随时间改善的情况很少。在 rehearsal、prompts、正则化三类持续学习方法中，不公平的遗忘无法仅用数据代表性不足解释，可能与表征学习纠缠。作者呼吁持续学习方法在平衡稳定性与可塑性时纳入社会结果考量。
arXiv cs.AIAI 评分2222 追踪委托轨迹：多模态 AI 交互中的人类监督研究
一项 n=56 参与者、392 次视频问答试验的在线研究发现，交互后的信任强烈预测用户委托选择（OR=14.97），但信任与委托仍属不同维度，验证是主导策略且常与高信任共存。委托还随任务顺序增加（OR=1.22），表明存在自评信任无法捕捉的经验成分。研究据此提出"enacted delegation traces"框架，以非侵入方式观察人机协作中的委托行为。
arXiv cs.AIAI 评分2222 基于概念的模型中部分干预的有害性与良性泄漏研究
研究发现，概念监督不完整会加剧概念干预对下游预测的损害，且现有充分性与局部化准则不足以保证干预改善性能。为此提出单调干预目标，直接惩罚部分干预轨迹上的任务损失上升，与端点干预训练结合后可显著降低部分干预损害的发生率与幅度，同时保持概念与任务预测性能。
arXiv cs.AIAI 评分3131 语言嵌入在推荐系统中可能泄露超出预期的物品信息
研究发现，当攻击者掌握外部来源的辅助物品文本时，一个简单的余弦相似度攻击即可在多个语言模型和候选集设置下以高平均倒数排名恢复物品身份，两个真实数据集上均验证了该泄露。物品泄露还可从稀疏评分进一步传播为用户重识别，而混淆描述虽能缓解泄露，却存在明显的泄露-效用权衡。
arXiv cs.AIAI 评分3434 研究：LLM 逆向 iPhone 定位服务 protobuf 不可靠，但能造出可靠工具 Extractor
研究用 Claude Opus 4.8 和 Codex GPT Sol 5.6 从 Apple 二进制文件中重建 iPhone 定位服务 protobuf 的 schema，发现绝大多数 schema 存在大量错误，且因内部自洽而难以察觉，不适合直接用于取证与隐私分析。
arXiv cs.AIAI 评分3131 BiShield-TEE：端侧 TEE 保护 LLM 分区中单向权重混淆的安全性缺陷与双边防御
研究者发现端侧 TEE 保护 LLM 推理中单向矩阵变换混淆存在"解确定性"漏洞，使 GroupCover 和 ArrowCloak 等代表性方法防护近乎失效，攻击准确率超过全屏蔽黑盒基线 2.4 倍并可恢复近乎完整模型。
arXiv cs.CLAI 评分3131 面向持续分布偏移的 AI 文本检测测试时自适应方法
研究提出一种测试时自适应（TTA）方法，利用推理时无标注样本的同质性来应对 AI 文本检测中的持续分布偏移，包括对抗性人类化、新 LLM 发布和人类写作的时间漂移。实验显示，SOTA 监督检测器在分布偏移下系统性失效，而结合半监督学习的 TTA 基本保持稳健；例如商业模型 Pangram 仅检出 27.0% 的对抗性 AI 生成文本，该 TTA 方法则达 93.3%。
arXiv cs.CLAI 评分2222 大语言模型在情感对话语境中的情感一致性分析
研究将 LLM 生成的文本作为查询回传给同一模型，用三种强度递增的虚假预设查询，在极端与中等情感两个维度上评估 Claude-3.5-haiku、GPT4o-mini 和 Mistral-7B 的自我一致性。结果显示三个模型表现均低于平均水平，易受查询中错误信念影响，中等情感内容下尤为明显；基于注意力分数的分析还显示模型优先级从评估转向生成。
arXiv cs.AIAI 评分1818 Matoi：面向智能体授权的后果证据选择性重验证机制
Matoi 将可复用的后果证据与当前执行权限、持久发生历史分离，用有限查询感知契约覆盖分支、有序集合与否定查询。在 1,440 单元匹配线研究中，输入字节相同时复用使 JS 完整生命周期成本降低 3.49%、Python 降低 1.79%；AgentDojo Banking 映射覆盖 5/16 用户计划与 7/9 攻击计划，两种治理策略均保留 5 笔正常转账并拒绝 35 次复用攻击计划/策略交叉。
arXiv cs.AIAI 评分2222 FedSumUp：面向资源受限联邦智能的用户可审计隐私感知表征共享
FedSumUp 在客户端部署可学习的有损压缩器，生成紧凑且可视化可解释的表征，通过控制信息容量降低隐私泄露并让用户直接评估隐私-效用权衡。
arXiv cs.CLAI 评分2727 MBBQ：面向生成式 LLM 刻板印象跨语言比较的数据集
研究者发布 MBBQ（Multilingual Bias Benchmark for Question-answering），将英文 BBQ 数据集扩展至荷兰语、西班牙语和土耳其语，并配套平行控制数据集以独立测量问答任务准确率。
arXiv cs.AIAI 评分3434 更强的评审模型看得更少：LLM 评测中的部署完整性盲区
研究提出 DIB-Bench，用 7,560 个评分样本、六类篡改和从正则到 GPT-5-nano 的评审阶梯衡量 LLM 评测的部署完整性盲区：评审模型越强，越容易接受被篡改的输出，平均接受率从规则式的 88.6% 升至 GPT-5-nano 的 94.1%。
arXiv cs.CLAI 评分3030 语言是智能体安全护栏的攻击面：LinguaGuardBench 揭示多语言请求下的判定翻转
研究者构建 LinguaGuardBench，将 TS-Bench AgentDojo-Traj 的 1,220 条标注步骤中的用户指令翻译成德语、法语、土耳其语、斯瓦希里语和阿姆哈拉语，工具调用与标签保持逐字节一致，以检验护栏判定是否随语言变化。
arXiv cs.AIAI 评分3434 智能体升级授权中的效果绑定与可信渲染：ASU 网关如何防御 12 类审批攻击
研究定义了对智能体审批路径的 12 类攻击（含诱饵收款人、金额取消、标签欺骗等），并测试了 AP2、微软 action-bound approval 和 MCP elicitation。