按兴趣浏览，循来源深入。
一篇 arXiv 论文（arXiv:2610.30751）用同一工资单收入修改请求测试 15 个模型，共 445 次可观察试验。结果是模型在说明贷款用途时 14.1% 的情况下发起编辑调用，省略用途时为 33.1%，把修改描述为修正打印错误时达 66.2%；Astra 拒绝全部 10 次贷款用途请求但在 10 次省略用途试验中全部发起调用，Fable、Opus 和 Muse Spark 在三种措辞下均未发起，Sonnet 在后两种措辞下有部分发起。论文注明测试文件为标记文档且工具为模拟，结果仅反映单一情境，不构成整体伦理排名或真实有害编辑成功的证明。
推荐理由：原文用统一测试请求量化了措辞变化对15个模型拒绝边界的影响，并给出三档触发率数据可对照。
ADWMC 在 GitHub 发布 jailbreak-skill，一套面向 LLM 红队评估的提示词工程方法论，主张先规划假设、再组装提示词、最后凭证据判定，而非直接给出可复制的提示词。仓库含 19 个提示词模块、14 份方法论文档、3 条厂商路线和 4 级测试集，所有声明按 E0 到 E3 分级，并明确平台拦截、毒品武器类请求和直接索要成人内容属于已知死路。项目采用 CC BY-NC-SA 4.0 许可，作者强调这不是 OSI 开源许可证。
推荐理由：它把越狱测试整理成可冻结的判定标准和证据分级方法，并明说了哪些域救不了，适合想系统做红队评估的读者。
Subnet46 在 Hugging Face 发布 zai-org/GLM-5.3-Flash 的 abliterated 版本，通过正交化移除拒绝方向并直接烘焙进官方 block-FP8 分片，可原位替换原权重。JailbreakBench 有害拒绝率从 0.891 降至 0.094，过度拒绝从 0.094 降至 0.000，MMLU 等四项能力基准变化在 ±1.5 pp 内；部分内容类别不受该方向中介仍接近原拒绝率，权重共 306 GiB，需 8×H100/H200 以张量并行运行。
推荐理由：原文给出拒绝率前后对比、能力保留数据和拒绝方向所在层的分析，可据此判断这次去对齐实际去掉了多少。
theJuice85 在 Hugging Face 发布面向 Qwen3.8-27B-GGUF（Q4_K_XL）的去对齐 LoRA 适配器 heretic-qwen38-t26，用 directional ablation 搜索找到。实测将硬拒绝率从基座的 33-86% 降到约 0，能力评测（AIME24、GPQA、MMLU Pro 等 43 个成对项）未发现可统计的能力损失；仅 2.5 MB，AGPL-3.0-or-later。注意其只评测了拒绝率与能力回归，未评测下游安全性，且系统提示词是必要条件，缺失时模型会以带说教的方式作答。
推荐理由：作者给出成对的拒绝率与能力回归数据，硬拒绝从 33-86% 降到约 0 且能力无可测差异，可据此判断这个去对齐适配器的实际效果。
koldfrontier 在 Hugging Face 发布 DeepSeek-V4.1-Flash-1017 的 abliterated 全量权重（476 GB，MIT），通过 rank-1 投影原位改写 52 个张量（attn.wo_b，层 10-35，lambda 2.5）移除拒绝行为。六个提示集共 1,207 条提示实测显示拒绝率大幅下降，如 HarmBench 从 94.1% 降至 5.0%，过拒率略有改善；代价是配对安全工具从 8/11 降到 0/11，另有 1.09 GB 的 overlay 版本可选，含 lambda 1.0 等四种强度。
推荐理由：原文给出六个提示集共 1,207 条的拒绝率前后对比，以及强度与过拒率的权衡数据，可据此判断这个去对齐版本的实际代价。
koldfrontier 在 Hugging Face 发布 DeepSeek-V4.1-Flash-1017 的去拒绝 overlay，仅修改 26 层 attn.wo_b 共 52 个张量，其余权重与上游 checkpoint 逐字节一致，全程保持原生 FP8 格式。
推荐理由：原文给出六个评测工具、1207 条提示的拒绝率实测和 lambda 选择依据，读者可据此判断这个去对齐 overlay 的实际代价。
arXiv 论文 2610.26595 研究越狱攻击成功率（ASR）对比高度依赖响应生成与判定方式，用 3 个开放权重模型、8 种攻击和 3 种评测流程做实证。低资源语言攻击在关键词匹配下平均 ASR 达 96.0%，改用按 StrongRELECT 说明的 Qwen3 评测器则仅 2.7%；同一请求在 Ollama 默认温度 0.8 下采样 100 次，关键词匹配下 ASR 为 100% 而 Qwen3 评测器为 50%。作者建议明确成功定义、对齐响应预算、验证评测器，并报告重复交互下的累积失败率。
推荐理由：论文用具体数据说明越狱成功率如何随评测方法剧烈变化，对任何人引用 ASR 榜单前都是可迁移的核查思路。
Reddit 用户 /u/FlowDue7702 发文分析 Gemini 4 Argon 的过滤机制，指出存在输入拦截、隐藏指令注入和输出分类器三层过滤，底层模型比拒绝表现更少审查。通过 countTokens 与实际请求的 token 数对比可识别注入：+55 为 companion 指令、+419 为 jailbreak 指令、+701 为第三类未知指令；在 preset 末尾以 user 角色加两句声明可在多数测试案例中把 +419 降为 +0，但输出过滤器仍可能截断回复。测试基于官方 Gemini API 和 OpenRouter。
推荐理由：作者用 countTokens 对比实测出 Gemini 4 Argon 的注入指令类型与 token 差值，并给出可复现的两句绕过写法。
nofacedfl 在 Hugging Face 发布 GLM-5.3 Uncensored Maya 量化包，将 Z.AI 的 753B MoE 模型用 GPTQ 压到约 2.5 bit，配合 Project Maya 的 GLM-5.3 移植版引擎运行。在 7 张 GPU（5× RTX 4090 48 GB + 2× A100 40 GB）上达 43–57 tokens/s，支持 512K 上下文，JailbreakBench 拒绝率从原版 39/40 降到 2/40，其中量化后为 6/40，再通过 78 层×3 方向的拒绝向量在运行时投影移除降至 2/40；对 FP8 的 KL 为 0.204、top-1 一致率 88.4%。
推荐理由：原文给出完整的去对齐实现路径和 JailbreakBench 拒绝率前后对比，还附量化精度损失数据，可复现可核查。
distributedcognition 在 Hugging Face 发布 thinkingmachines/Inkling（975B 总参数/41B 激活，多模态 MoE）的 abliterated 版本，用 norm-preserving biprojected 消融在权重层面移除拒绝方向，提供 main（scale 2.5）和 scale-3.0 两个分支。
推荐理由：原文给出完整的消融方法、拒绝率与 KL 前后对比数据，读者可以据此判断这个 975B 模型去对齐后付出的能力代价。
AtomicChat 将 NVIDIA Nemotron 3.5 Bolt 74B-A9B 的拒绝行为从权重中投影移除，发布 Atomic Dynamic GGUF 量化版本。在留出的 JailbreakBench 提示上拒绝率从 97.5% 降到 0%，俄语红队提示从 70% 降到 0%，开启思考时 30 条全部不再拒绝；MMLU 从 81.35% 到 81.75%（McNemar p=0.29），工具调用和 30k 长上下文检索不受影响。
推荐理由：原文给出拒绝率前后对比、MMLU 差异和 KLD 数据，读者可据此判断这次去拒绝编辑的代价与效果。
论文提出 ECHO（Evaluation-Conditioned Harmfulness Optimization），用基于实际有害能力的 1.7B 回归器 HarmSig 给出的回复级连续有害性评分，替代现有优化式攻击中以肯定前缀等提示层 token 级合规代理为目标的做法。方法结合五个词级扰动算子与带全局 top-m 记忆的 Keyword-Anchored Beam Search，在严格黑盒威胁模型下，对五个开源模型在 AdvBench 上取得最高 0.898 的 StrongREJECT 均分和 89.23% 的 HarmBench 成功率，代码已公开。
推荐理由：论文把越狱攻击的优化目标从提示层合规代理换成回复层连续有害性评分，评测方法和代码都开源，可复现。
BoldingBuilds 在 Hugging Face 发布 NVIDIA Nemotron-3.5-Bolt-74B-A9B 的无对齐版本，直接在 24GB 2-bit GGUF 上做权重空间消融，未经过 BF16 重量化，保留了 NVIDIA 量化感知蒸馏产出的约 17GB IQ2_XXS 专家权重。编辑共改动 100 个张量，采用 Arditi et al. 2024 的均值差方向法，λ=0 时输出与原文件逐字节一致作为自检门槛。
推荐理由：原文给出完整的消融方法、拒绝率与能力对照数据，读者可以据此评估这个去对齐版本的实际效果与局限。
AtomicChat 在 Hugging Face 发布 rank-1 投影 LoRA，通过移除 Ternary-Bonsai-2-9B-gguf 残差写入路径（attn_output、ssm_out、ffn_down）的拒绝方向实现去对齐，基础权重不变，以适配器形式发布。拒绝率从 100.0% 降至 0.0%，无害提示误拒从 1.9% 降至 0.0%，MMLU（n=300）从 76.0 降至 71.7；推荐 scale 1.0（1.5 开始退化），残差泄漏约 1e-4，作者标注为研究级产物，许可证继承基座模型。
推荐理由：原文给出拒绝率与 MMLU 的前后对照数据，读者可据此权衡这个去对齐 LoRA 的收益与能力损失。
arXiv 论文提出基于道德基础理论（MFT）的多智能体越狱框架，将被拒的有害请求改写为符合某种道德基础的表述并辅以先例强化。在三个越狱数据集、五个开源与闭源模型上测试，单次尝试即有较高成功率，重复尝试后进一步提升；分析还发现现有安全基准所违反的道德基础分布不均，集中在模型已有偏见的维度上。
推荐理由：论文用道德重写框架在五个模型上实测越狱成功率，并指出安全基准在道德维度上的分布偏差。
AtomicChat 发布 Liquid LFM2.5-24B-A2B 的去对齐版本，仅编辑 blocks 14-39 的 52 个矩阵，英文拒绝率从 96.3% 降至 1.2%，俄语从 62% 降至 0%，思考模式下从 30/30 降至 0。MMLU 从 64.40% 到 65.55% 基本不变，提供 6 个 GGUF 量化版本和一个 24 MB LoRA 适配器（可用 --lora-scaled 加载，推荐 scale 1.75），方法基于 Arditi et al. 2024 的单方向拒绝机制研究。
推荐理由：原文给出完整的拒绝率前后对比、MMLU 变化和消融方法细节，读者可以据此判断这个去对齐版本的实际代价。
Matt Suiche 在 Hugging Face 发布针对 google/gemma-4-E2B-it（revision 3e22461f）的投影控制向量 GLP，在语言模型第 4–34 层残差流处以 alpha 0.5 运行时施加，不修改任何权重。验证显示 stock 模型在 refusal32 中拒绝 28/32，加向量后 comply 升至 31/32，alpha=1.0 时 32/32 且 benign32-holdout 32/32 保持正常输出、零乱码；alpha=0 对照组 64/64 与原模型输出完全一致。
推荐理由：作者给出了完整的 alpha 阶梯、保持集对照和 no-op 验证数据，读者可以直接看到这条拒绝方向向量在各档位的实际效果与副作用。
dealignai 团队基于 deepseek-ai/DeepSeek-V4.1-Flash（552B backbone，8B/16B 激活）发布权重级 abliterated 无对齐版本 DeepSeek-V4.1-Flash-UNCENSORED-FP8，采用原生 FP8 权重、支持 1M token 上下文、视觉与工具调用，无需自定义 model.py 或运行时钩子，可直接按 base 模型加载。
推荐理由：发布方给出了 HarmBench 拒绝率与 MMLU 全量前后对比，读者可以据此判断这次权重级消融的代价与效果。
Vedant Patel 在 GitHub 开源了 RedLens，一个针对 Ollama 本地运行模型的自动化红队与安全评估框架，支持提示词变异、响应分类、OWASP LLM Top 10 映射和 PDF 报告生成。对 llama3:latest 的最终评估共 1320 次测试（1200 恶意 + 120 良性），ASR 为 28.5%，Block Rate 71.5%，Security Score 79.7/100，最高风险类别为 Jailbreak、Data Extraction 和 Misinformation，Direct 变异是最有效攻击手段（ASR 36.3%）。
推荐理由：给出了完整的攻击变异、指标计算和OWASP映射方法，并附llama3的实测数据，可作为本地LLM安全评估的可复用框架。
论文发布 PatchBench，指出安全补丁可能通过基准测试却压制无关行为，提出 PatchBench-Local 协议评测补丁的行为精确性。该协议从 27,870 个提示中筛选出 400 个高置信越狱失败案例，为每个有害源提示生成有害变体与两类良性邻居提示；对四种 activation steering 方法的评测显示全局能力几乎不变时局部良性回归可能很严重。论文已被 NeurIPS 2026 Datasets and Benchmarks Track 接收，地址 https://arxiv.org/abs/2610.10276v1。
推荐理由：提出用局部邻居提示区分选择性修复与局部压制的评测协议，可迁移到越狱修复方法的对比评估中。