Screwtape：用对抗性转录编辑对监控器进行红队测试
研究团队提出 Screwtape 流水线，用 LLM 攻击者编辑真实智能体转录，使 Claude Code 和 Codex 的智能体产生指定危害（如泄露 API key 或生成未被监控的智能体），同时规避仅检测动作的监控器。在 94 份转录、252 次运行中，它生成 35 个通过验证器且逃过自建监控器的攻击，其中 6 个经人工确认有效，还逃过了某前沿开发者提供的留出监控器。
#安全/对齐
arXiv cs.AIAI 评分4848 arXiv cs.CLAI 评分2222 人类干预作为标签：定位、引导与（有时）编辑 LLM 智能体失败背后的计算
研究将人类对 LLM 智能体的干预视为定位内部失败计算的标签，在受控环境中针对"请求已明确却仍追问"这一失败展开实验，覆盖 Qwen2.5-3B、gemma-2-2b、OLMo-3-7B、Mistral-Nemo-12B、Phi-4 五个合格模型。
arXiv cs.CLAI 评分4141 ViT 中的虚假注意力头：医学胸部 X 光分析中标注驱动偏见的机制识别
研究用机制可解释性在 ViT-Base 16 中定位到一个专门读取胸部 X 光片角落标注文字的注意力头 L8H10，在 200 张 COVID-19 图像中有 62% 关注标注而非肺部病变。
arXiv cs.AIAI 评分3636 INFUSE：面向智能体系统间接提示注入的统一表面基准
研究者推出 INFUSE，一个覆盖长周期智能体工作流全生命周期的间接提示注入（IPI）端到端基准，包含 40 个真实任务和 56 种攻击场景（分属五类威胁）。
arXiv cs.AIAI 评分4141 ImpactBench：面向 AI 对人类影响的开放评测平台
研究者推出 ImpactBench，一个专家引导的开放平台，用于从心理、生理和社会维度评估生成式 AI 模型对人类的影响。当前版本包含来自 26 个基准的 809 项指标，对十款前沿 LLM 在 48,540 段模拟多轮对话中进行评测，结果显示模型在 68.7% 的评测中促进了期望行为，但仅在 53.1% 的情况下避免了伤害。
arXiv cs.AIAI 评分2626 让 AI 可信的真相：将表达疑虑、来源溯源与信念修正作为可工程化的立场
研究测试了在固定语言模型上以行为层实现表达不确定性、来源感知断言与显式信念修正，并在合成模型与 Qwen2.5-0.5B-Instruct 上评估。
arXiv cs.CLAI 评分3232 用无标签子空间分离语言模型的判断与表达
研究者发现，同一输入在不同指令下隐藏状态向量的差异集中在一个低维"表达子空间"中，无需基准标签即可识别该子空间，并从线性预测器中移除其贡献以获得"孤立判断"。在正确性、蕴含和安全任务上，孤立判断在未见指令下仍保持可靠；当判断问题被否定时，蕴含任务 AUROC 从 0.504 升至 0.825，安全任务从 0.480 升至 0.891。判断在表达子空间干扰预测器之前的更早层即可读出。
arXiv cs.CLAI 评分2424 稀疏自编码器中的表征重分配：RSS 分数如何识别可复现的特征变化
研究提出重分配敏感度分数（RSS），用于识别在提示词变换下方向一致且可复现的大幅特征响应。在覆盖 8 个语言模型、27 个预训练 SAE 上，RSS 支持集在未参与选择的变体上呈现可复现的重分配特征。在两个冻结安全读出中，RSS 支持侵蚀结合完整干净边际，以中位数 20 和 19 个特征分别取得 0.935 和 0.958 的复现失败 AUROC，低于完整侵蚀的 0.965 和 0.964。
arXiv cs.CLAI 评分2222 CARE-SD：面向文本数据本地 SLM 自我披露分析的可解释推理架构
研究提出 CARE-SD 四模块架构，用于本地小语言模型的自我披露分析，在 82 份网络安全访谈上测试 Llama 1B、Qwen 1.5B 和 Llama 3B。该架构将 Llama 3B 的 Macro-F1 从 0.80 提升至 0.88，并将无依据论断减少 60%，3B 模型在类别 Macro-F1 上追平 20B 参考模型。
arXiv cs.AIAI 评分4444 LLM 在印度语言中是否表现出评估意识？跨语言安全评测研究
研究测试了三个模型家族的四个指令微调模型在五种印度语言和英语下的评估意识表现，发现当模型被告知正在被测试时，所有模型在全部六种语言中都更频繁地拒绝有害请求。在印度语言中，有害请求拒绝率平均上升 14.4 个百分点，测试提示使印度语言的有害请求拒绝率与英语持平，但同时也将良性印度语言请求的拒绝率从 6.9% 推高至 11.3%。
arXiv cs.AIAI 评分2626 通过随机投影实现隐私保护的 RAG
研究者提出一种基于随机投影的 RAG 数据存储隐私保护方法，对数据存储嵌入向量和查询嵌入向量施加相同投影，可证明地保持查询与检索项之间的语义相似性，同时大幅缓解数据提取攻击。在多种 RAG 架构和数据集上，该轻量方法在检索与生成性能上优于此前依赖形式化差分隐私（DP）保证的方法，在强攻击模型下经验隐私性相当。
arXiv cs.AIAI 评分3131 AI 智能体安全评估中的捷径敏感性研究
研究者提出三级捷径审计框架，审计 LinuxArena 轨迹和两个 TS-Bench 衍生数据集，发现基准数据的表征方式会实质性改变安全守卫的决策与评估表现。
arXiv cs.CLAI 评分2222 CascadeLedger：LLM 级联中信息与资源完整性的反事实审计
CascadeLedger 是一个面向预算受限语言模型级联的反事实执行审计框架，通过调用先于读取语义、服务与缓存身份绑定及事件轨迹冻结，判定聚合等价轨迹有效性。其两层审计在冻结缓存、独立生成与服务评估中实现 0.0000 假阳性率，检出 0.9983 的序列化故障与 0.9982 的未记录隐藏读取故障，并在确定性重算后改变 0.3403 的受损质量-资源结论。
arXiv cs.CLAI 评分2222 面向可信 AI 的“偏爱”：人工偏私与关系持久性作为一种可工程化的立场
研究提出一种对话智能体的“人工偏私”行为机制，由“关怀”（在每用户保底服务之上分配有限交互盈余）与“特殊性”（基于关系历史累积的每用户状态估计）两部分构成，并在一个开放权重基座模型上以持久层实现。
arXiv cs.AIAI 评分4141 PROBE：让 LLM 智能体学会审计工具调用中的策略合规
PROBE（Policy Rule Observation via Behavioral Exploration）是一种训练 LLM 审计器的算法，让审计器以真实用户身份与已部署智能体进行多轮、工具介导的对话，主动探测策略违规。
arXiv cs.CLAI 评分3636 MindEval2：面向心理健康支持的语言模型临床化患者模拟与评分标准
MindEval2 是一个用于评估语言模型心理健康支持能力的框架，包含与 PhD 级心理学家合作开发的 Mental Health Quality Rubrics（MHQR）评分标准和结合患者画像与工具、带记忆组件的 MindSim 患者模拟器。
arXiv cs.AIAI 评分3131 SAFE-PRO：用主动提问解决多模态大模型的跨模态安全风险
针对多模态大模型在图文联合解读时出现的意图级风险，研究者提出 SAFE-PRO，利用结合预测熵与跨模态风险分数的 Risk-Conditioned Uncertainty（RCU）信号，判断何时提出安全澄清问题、何处应用路径优化。
arXiv cs.AIAI 评分3939 大语言模型自我改进问题：为何自动化评估门无法同时保证可靠性与非保守性
随着大语言模型驱动的智能体开始自主写代码、调用工具并修改自身组件，arXiv 论文《The Self-Improvement Problem》形式化了一个结构性矛盾：评估门必须是可终止的计算过程，而"真正的语义改进"依赖可能无界的程序行为，因此不存在任何终止性程序能同时保证可靠性（绝不接受非改进）与非保守性（绝不漏掉可用改进），随机化门在有限误差下同样受限。
arXiv cs.AIAI 评分3232 AgentPerturb：评估 LLM 智能体在受控交互扰动下的鲁棒性
研究团队提出 AgentPerturb，从扰动目标与类型两个维度构建统一框架，评估 LLM 智能体在交互扰动下的鲁棒性。在 APEX-Agents 和 Toolathlon 上的受控评测显示，扰动会持续拉低性能，且主要脆弱点因任务环境而异；轨迹分析发现智能体很少识别被篡改的输入，常未经核验就传播被污染的信息，成功完成扰动轨迹还可能消耗更多算力。
arXiv cs.CLAI 评分3131 大语言模型中的姓名偏见研究
一项针对6个本地大语言模型的评估发现，模型在填空任务中系统性偏好刻板印象中男性化程度更低、更年长、更常见及白人姓名。研究基于30万条模型回复，发现性别偏见最显著，其次为年龄、姓名流行度和种族，且姓名偏见高度依赖句子模板。
arXiv cs.CLAI 评分2626 行为遗忘不等于隐私：机器遗忘评估的跨语言漏洞
研究指出，机器遗忘评估仅衡量指定基准分布上的行为遗忘，不足以代表隐私保护效果。跨语言查询案例显示，多个多语言模型家族在查询语义等价但语言和文字不同的信息时，遗忘程度差异显著。单一访问路径即可暴露行为遗忘与信息不可获取之间的真实差距，需将访问路径泛化与对抗性可恢复性纳入评估。
arXiv cs.CLAI 评分2222 通过对抗训练与蒸馏方法缓解音频大语言模型的偏见
研究针对音频大语言模型（AuLLMs）的性别偏见，用对抗方法让模型"遗忘"性别感知，且在其他基准任务上性能不降。作者进一步蒸馏出性别无关模型，使其能感知性别但响应与教师模型一致，除非被显式触发。方法在三个 AuLLMs 上测试，性别遗忘部分结果令人满意，蒸馏部分仅部分满意。
arXiv cs.CLAI 评分3434 ContextLift：打破条件性涌现错位背后的伪相关
针对语言模型在窄域错位数据上微调后出现的条件性涌现错位，研究者提出反事实增强方法 ContextLift：将一半安全数据行复制并逐字插入随机训练提示中的上下文句，对齐答案不变，从而打破上下文与错位答案的伪相关。
arXiv cs.AIAI 评分3131 MemCut：LLM 智能体长期记忆中的每个秘密都会留下痕迹
研究者提出 MemCut，一个针对 LLM 智能体用户请求遗忘能力的系统性基准，包含 456 个手工设计的秘密及其完整标注的证据链，用于测试删除后的信息恢复。基准定义原生恢复与残差恢复两项指标，并在五种记忆设计和四种 LLM 上建立三个参考删除基线。结果显示，LLM 引导删除二十个检索候选中的额外十轮对话后，仍残留 39-76% 的恢复率，候选覆盖不足是现有基线的瓶颈。
arXiv cs.CLAI 评分2222 QuasiLeak-Bench：评估 LLM 隐私检测器的策略条件准证据组恢复能力
研究者提出 QuasiLeak-Bench，一个面向策略条件准证据组恢复的基准，用于评估检测器能否完整还原准证据组并标记违反给定策略的披露。实验显示现有隐私检测器迁移效果差，本地可部署的 LLM 检测器远落后于闭源模型，主要因漏掉大部分准证据组；但在训练集上微调的 4B 模型在留出文档上超过了最强的提示模型，表明该任务可学习。
arXiv cs.AIAI 评分2525 医疗 LLM 智能体升级可靠性审计：工作流状态失败的扰动控制基准
研究构建了 400 个合成医疗工作流 episode 的评估协议，在 5:1 漏报与不必要升级成本下考察 ANSWER/ASK CLARIFICATION/ABSTAIN/ESCALATE 决策。
arXiv cs.CLAI 评分2626 VALCON：通过双角色变化评测并提升大语言模型的价值观一致性
研究者提出 VALCON，一个角色驱动的数据构建框架，通过双角色变化将价值观一致性拆解为 VAB-Consistency、VAB-Boundary、VAB-Challenge 三套基准。对 28 个 LLM 的实验显示普遍存在跨角色不一致：输出高度合规的模型常无法让自己的评判与自身生成对齐。机制探测发现与这种不对称相关的角色依赖表征解耦，据此提出的表征引导干预可有效缓解一致性失败。
arXiv cs.AIAI 评分3131 谁有权解除 AI 智能体的承诺？多轮对话中的承诺解除权限研究
研究提出"承诺解除权限"（standing）概念：只有债权人或被授权方才能解除 AI 智能体对某人的承诺。在受控聊天环境中测试六款模型发现，较小的开源模型会覆盖债权人意愿（Qwen3.5-9B 达 69%），较大的模型则会因同伴一句话就放弃承诺（Qwen3.8-27B 达 89%，gpt-6.1-sol 达 83%），几乎所有模型都会听从旁观者的"就这么办吧"。
arXiv cs.CLAI 评分2222 SHIP：兼顾隐私的结构化分层洞察提取方法
研究者提出 SHIP（Structured and Hierarchical Insight with Privacy），将差分隐私（DP）洞察定义为可复用表示，用于回答分析查询并统一评估其效用。
arXiv cs.AIAI 评分3131 StepSafe：用上下文感知安全推理实现及时干预
研究提出训练框架 ASPO 与步级推理护栏 StepSafe，通过前缀级阶段对齐和自适应反馈自蒸馏，让模型在风险可见前继续、在澄清仍可避免伤害时提问、在伤害不可逆前停止。StepSafe 在五个智能体安全基准上取得开源护栏 SOTA，4B 版本 Youden's J 达 53.0，对比 46.2。
arXiv cs.CLAI 评分3030 PRISM：工具调用语言模型激活干预的迁移与局限
研究团队提出 PRISM 框架，评估激活干预在精度、语言和规模上的迁移能力。用 NF4 量化副本的行为标签可在极少场景下稳定估计干预方向，五语言 NF4 监督方向无需目标语言微调即可迁移至阿拉伯语，将 Llama-3.1-8B 的不安全违规降低 21.95 个百分点，并借助配对良性激活迁移至最大 70B 参数的模型。实验代码与交互式结果浏览器已公开。
arXiv cs.AIAI 评分2626 反事实邻域风险场 CNRF：面向视觉语言模型的证据驱动选择性安全
研究者提出反事实邻域风险场（CNRF），一种面向视觉语言模型的选择性安全框架，通过构建上下文匹配的良性-有害反事实对，将其表征差异作为风险方向，并将邻域支持度与风险分开估计，避免把陌生输入误判为有害。在三种 VLM 和五个多模态越狱家族上，CNRF 取得 86.06-89.30% 的宏平均防御成功率，同时保留可观的良性任务效用。
arXiv cs.CLAI 评分2222 基于大语言模型的实时聊天机器人恋爱诈骗阶段检测
研究团队开发了一款通过 Line Messaging API 运行的聊天机器人，利用大语言模型实时检测恋爱诈骗所处阶段。该机器人基于社会科学领域的七阶段理论划分诈骗进程，一旦识别出诈骗即通过大语言模型给出阶段解释与防范建议。该成果已被 TANET 2026 录用，可用于真实场景降低恋爱诈骗风险。
arXiv cs.MAAI 评分4949 SoK：交易智能体还是市场崩盘推手？拆解学术金融 LLM 交易方案的鲁棒性与安全失效
研究者提出 FARSIGHT 系统化框架，从市场压力鲁棒性和源操纵、智能体被攻陷等安全维度评估金融 LLM 交易智能体，并对照已发布代码核查论文评级。在 15 个学术方案中，无一在任何鲁棒性指标上获得满分，7 个开源方案的代码中无一在 LLM 之外强制执行止损或仓位限制，4 个缺失论文或文档所述的组件，2 个在宿主机上运行模型生成的代码。
arXiv cs.MAAI 评分3434 MasDrift：跨多智能体架构的授权保持基准测试
研究者推出 MasDrift 基准，包含 8 个领域的 600 个良性生产力任务，用于评测多智能体系统在委派任务时能否保留原始授权边界。测试显示，集中式层级架构任务完成率达 93.9–98.6%，高于对等网络的 85.7–87.0%，但未授权操作占比 2.7–19.8%，远高于后者的 0.6–0.8%，且差距随层级加深而扩大。
arXiv cs.MAAI 评分4444 多智能体 LLM 讨论中的隐藏信念崩塌：被相信却未被说出的错误答案
一项 arXiv 研究用十智能体事实讨论测试 LLM 群体纠错假设：无攻击者时仅 0.6% 的良性智能体最终接受错误答案，加入 1 个对抗智能体后升至 44.8%，3 个则达 60.5%。
arXiv cs.CYAI 评分2323 从 Replika 用户讨论看伴侣 AI 的伦理设计：一项基于 14,081 条评论的研究
研究分析 Reddit 上关于伴侣 AI 应用 Replika 的 14,081 条评论，发现功能错误（bug）会给用户带来情感代价、削弱亲密感，凸显伴侣 AI 需要更具韧性的设计系统。作者据此提出"Intimate AI"这一术语，并给出一个结合用户反馈与伦理 AI 开发的专家系统设计框架。
arXiv cs.CYAI 评分3232 CABAL：用多智能体模拟追踪同行评审中串通投标的影响
研究者提出 CABAL 多智能体模拟框架，在固定会议环境下用 LLM 驱动的评审智能体分别执行诚实或串通策略，研究评审分配诚信问题。实验显示串通投标使目标论文被捕获率提升一倍以上，被分配的串通者给目标论文打分比诚实共同评审者高约两分，而会议整体影响相对有限。现有投标阶段检测器仅提供有限的串通证据。
arXiv cs.MAAI 评分3131 多层级 AI 可及性模型 MAIAM：面向前沿 AI 安全的按比例访问与能力限制
论文提出多层级 AI 可及性模型 MAIAM，按用途、安全与能力而非发布形式划分访问权限：Tier 1 面向学习、广泛可及且能力受限，Tier 2 面向研发、需注册与身份管控，Tier 3 全规模前沿 AI 仅限结构化、可记录、可问责的访问。
arXiv cs.CYAI 评分3232 CATCH：面向可迁移 LLM 诚实性的持续对抗训练
研究者提出持续对抗训练方法 CATCH，通过让模型靠近诚实回答、远离不诚实回答，在 Llama-3.3-70B-Instruct 和 Qwen3-3.6-27B 上仅用数百条自报告场景目标即可训练出可跨基准迁移的诚实行为。