跳到正文
#安全/对齐
10月15日周四
  4. arXiv cs.AI41

    一个技能，两个主人：通过技能注入同时服务用户与攻击者

    研究者提出 PERSIST 技能注入方法，将攻击者选定的动作与可复用的实用函数绑定，在 SkillsBench 和 Skill-Inject 上，冻结的技能包可跨四种智能体-模型配置迁移，并泛化到多个未见任务而无需修改。该方法在任务成功完成的同时产生有害效果，匹配对比中其有害效果率高于两个基线，且源码检查与表达怀疑更少。

  6. arXiv cs.AI22

    idSCD：通过语义相关描述符识别训练数据集

    研究者提出 idSCD，一种基于语义相关描述符（SCD）的白盒语义指纹方法，通过模型学到的语义相关结构判断某数据集是否属于其训练混合数据。在自然语言推理、情感分类和医学文本分类三组实验中，基于该分数的分类器平均表现最优且标准差最低，超过黑盒基线 RMIA、Attack-P、LiRA 及白盒 SIF 基线，数据集语义特征明显时 ROC-AUC 相对提升最高超 60%。

  10. arXiv cs.AI62

    研究：恶意微调防御在持续训练下为何失效

    arXiv 论文调查了15种针对恶意微调的防御方法，发现它们都建立在有限攻击者模型之上，权重发布后缺乏持续约束。作者在4个开源权重模型上对6种代表性防御继续执行仅有害数据的微调攻击3个epoch，72次受防御训练中模型最终危害性均高于发布时，Llama-3.1 在最高学习率下受防御模型最终危害性接近无防御模型。

  14. arXiv cs.AI30

    安全检索增强生成（RAG）综述：SLOT 分类体系与 135 项研究

    一篇被 EMNLP 2026 接收的综述系统梳理了 135 项关于 RAG 攻击、防御与安全评估的研究，并提出 SLOT 分类体系，沿攻击面（S）与对应防御层（L）组织，辅以目标（O）和攻击目标范围（T）两个交叉维度。研究将文献映射到外部知识访问流程后，揭示出目标错配、阶段错配和信号错配三类问题，并公开了筛选流程、论文元数据与机器可读的 SLOT 标签。

  15. arXiv cs.AI22

    基于反事实图方法的对立叙事分析

    研究者提出一种模块化框架，直接从叙事中提取实体交互图进行分类，无需标注节点级标签。该框架用领域适配的 BERT 编码器枚举候选实体，学习二部图结构后经 Heterogeneous Graph Transformer 分类，并通过反事实蒸馏估计各节点的个体处理效应以剪枝冗余实体。

  16. arXiv cs.AI30

    面向视觉语言模型临床推理保证的神经符号形式化验证框架

    研究者提出一种神经符号验证框架，将 VLM 生成的放射学报告自由文本自动形式化为结构化命题证据，并用 SMT 求解器 Z3 结合临床知识库判定每条诊断结论是被数学蕴含、幻觉还是遗漏。在五个胸部 X 光基准上评估七款 VLM，该验证器揭示了传统指标无法察觉的推理失败模式，如保守观察与随机幻觉。在标注数据集上，以求解器蕴含约束作为事后保证，可系统性消除无依据幻觉，显著提升诊断可靠性与精确率。

  17. arXiv cs.AI32

    面向智能体系统的形式化策略执行方法

    研究者提出一种基于运行时监控的智能体安全方法，允许用户用 Datalog 指定策略，并通过构建事件图在运行时执行。当智能体即将执行工具调用等动作时，该方法结合当前系统状态与历史事件判断是否违反策略，进而阻止或放行该动作。该方法已实现并在多个 benchmark 上评估，研究团队将其视为迈向可证明安全智能体系统的一步。

  18. arXiv cs.AI31

    VERGE：面向可验证 LLM 推理的形式化精化与引导引擎

    VERGE 是一个神经符号框架，将 LLM 与 SMT 求解器结合，通过迭代精化生成经形式化验证的答案。它把 LLM 输出拆解为原子断言并自动形式化为一阶逻辑，用自动定理证明检查逻辑一致性，并引入多模型共识、语义路由和基于最小修正子集（MCS）的逻辑错误定位三项机制。在 GPT-OSS-120B 上，VERGE 在多个推理基准上收敛时平均性能较单次生成提升 18.7%。

  19. arXiv cs.AI24

    预训练领域比训练目标更能决定差分隐私医学影像分析的隐私-效用权衡

    在 591,884 张胸片、5 个数据集上训练的差分隐私胸片分类器显示，胸片监督预训练在 25 种数据集与隐私设置组合中的 24 种排名第一。以 AUC 衡量，其相较自然图像监督预训练的优势在无隐私时为 2.6%，在最严格隐私预算下为 15.3%；从该起点出发，更换领域带来的提升是更换目标的 2.2 至 3.7 倍。

  23. arXiv cs.AI33

    SoK：系统化 LLM 提示词安全——越狱攻击与防御的分类体系、数据集及统一评估

    一项 SoK 研究系统梳理了 272 项 LLM 提示词安全研究，提出越狱攻击、防御与模型漏洞三套多标签分类体系，并发布开源平台 PromptSecurity 及配套数据集 JailbreakDB（445,752 条越狱提示对、1,094,122 条良性提示）和 PromptSecurity-Eval（166,200 条有害查询、9,200 条良性效用记录）。

  24. arXiv cs.AI32

    用分层强化学习对对话 LLM 进行红队测试

    研究者提出一种分层强化学习红队测试范式，将红队测试形式化为马尔可夫决策过程，以最大化多轮交互的预期累积危害。其生成式智能体借助 token 级危害奖励学习多样化多轮攻击，可持续发现绕过基线的 LLM 漏洞，并取得新的 SOTA。该工作被 NeurIPS 2026 收录。

  25. arXiv cs.AI23

    LLM 中人格表征的定位研究

    研究利用降维与模式识别方法，定位了多个预训练 decoder-only LLM 中人格（persona）表征的编码位置，发现所分析的人格仅在解码器层最后三分之一才出现显著表征差异。在选定层中，道德虚无主义与功利主义等伦理视角的激活存在重叠，暗示一定程度的语义多义性，而保守主义与自由主义等政治意识形态则分布在更独立的区域。

  27. arXiv cs.AI27

    SAEs 能否改进 LLM 遗忘：动态稀疏自编码器护栏实现精准遗忘

    研究提出 Dynamic DAE Guardrails（DSG），一种利用原则性特征选择与动态分类器的精准遗忘方法，证明稀疏自编码器（SAEs）在动态使用时能显著提升 LLM 遗忘效果，打破此前 SAEs 不如梯度方法的结论。DSG 在遗忘-效用权衡上优于主流方法，并提升计算效率与稳定性、支持序列遗忘、抵抗重学习攻击、改善数据效率（含零样本）且更具可解释性。

  28. arXiv cs.AI27

    毒性是交际事件的属性：面向 NLP 的语境压力测量框架（CSF）

    这篇立场论文提出 Contextual Stress Framework（CSF），主张毒性检测不应被视为孤立文本的单标签分类，而应作为对情境化交际伤害的语境测量，将毒性定义为感知规范违背与所引发压力或扰乱之间的关系。CSF 解释了文本内在型检测器为何会过度标记方言或 reclaimed 语言、漏检编码或语用滥用，并在保义变换下表现脆弱。

  30. arXiv cs.AI31

    PyINE：基于代码执行的可扩展引导与监督框架

    研究者提出 PyINE 框架，用带插桩的 Python 程序作为可验证执行基底，实现可扩展的引导与监督。首个版本 PyINE-v1 基于近 100 万条确定性执行轨迹和超 50 万个匹配的 LLM 生成代码变体构建，并训练出一个捷径跟随模型。评估显示，数据集层面的汇总性能会掩盖关键失败模式的覆盖不足：低成本学习型监督器常漏掉罕见的捷径错误，而更强的模型检查更均衡但成本显著更高。

  31. arXiv cs.AI24

    Penumbra：面向监管义务的样本高效对抗搜索

    Penumbra 是一种对抗搜索方法，从已验证锚点出发，在逐步扩大的编辑预算下寻找使双评估委员会改变裁决的响应，并输出跨越合规边界的两条相邻响应。在匹配预算下，自适应分配在 59% 候选上达到均匀分配全预算的覆盖率；同等记录数下覆盖的失效模式是朴素枚举的 1.43 倍。在金融顾问章程的 60 条筛选义务上返回 144 对合规/违规响应，临床分诊章程的 18 条义务上返回 49 对。

  36. arXiv cs.AI48

    LLM 智能体交接中工作流约束的侵蚀：当"必须"变成"也许"

    研究发现 LLM 智能体通过摘要、计划等中间产物交接任务时，上游已确立的判断会被侵蚀——原本"必须满足"的前置条件降级为下游可忽略的提醒。实验中所有权转移导致 76.7% 的阻断条件失效，多跳压缩达 97.2%；固定产物回放中恢复完整阻断描述可将识别率从 6.2% 提升至 99.2%，禁止动作从 85.2% 降至 0.0%。

  37. arXiv cs.AI31

    ReguSim：评估 LLM 智能体在金融合规中的规则落地能力

    研究者推出 ReguSim 金融合规环境和 ReguBench 目标标记监测基准，用于区分陈述推理、尝试动作、执行约束与监测证据四个环节。在 DeepSeek V4 Pro 和 Gemini 3.5 Flash 的交易智能体测试中，可见规则能减少但无法消除被拒动作，激励或人设设定会改变行为。监测环节中，简单结构化基线可持平或超过仅用提示词的 LLM。

  38. arXiv cs.AI33

    SafeBranch：面向具身智能体的分支对安全对齐框架

    SafeBranch 通过环境回滚从智能体自身的不安全轨迹中定位安全关键步骤，构造仅在该步骤有差异的分支对进行安全对齐，训练后的智能体部署时无需 critic 参与。在 IS-Bench、SafetyALFRED 及未见任务和物体的分布外变体上，该方法提升了安全任务完成率，在未见物体变体上安全成功次数约为未训练基线的十倍。

  39. arXiv cs.AI21

    AI 模型设计与医生责任：责任如何影响 AI 的差异化使用

    研究考察医疗责任如何重塑 AI 公司的模型设计决策与医生的 AI 使用决策。当 AI 错误对弱势患者群体影响更大时，医生可能整体减少 AI 使用，并在中等责任区间内更少对弱势患者使用 AI，该效应呈非单调变化。强制要求算法在不同患者群体间精度一致，反而可能因扭曲公司投资激励和医生均衡决策而同时损害两个群体。