新闻、仓库与研究，按时间排列。
MoonMath.ai 发布 MoonMath-ai/GLM-5.3-Uncensored-FP8（Dolly2），通过修改 GLM-5.3 中 21 层的 29 个模块实现 abliteration，无需重训练。在网络安全拒绝测试集上应答率 83.1%，高于公开 abliterated 版的 67.3%；IFEval 91.0 对 39.0，MMLU-Pro 89.0 对 84.0，AIME 2025 73.3 对 63.3，且后者出现 67 次循环退化而 MoonMath 为 0。
推荐理由：原文给出 abliteration 的具体模块改法和拒绝率与质量基准对照，还报告了同类公开模型 53% 循环退化的问题，便于判断各版本取舍。
作者提出 TopKLoRA，一种每次仅激活 k 个最大 adapter 潜变量的可解释 LoRA 变体，仅以下游损失训练。在 gemma-2-2b、Qwen2.5-1.5B 和 Qwen2.5-7B 的 sleeper-agent 后门案例中，识别并消融了实现后门所必需且充分的回路，稀疏回路比稠密 LoRA 基线小至多一个数量级，可在不牺牲指令跟随性能的情况下手术式移除恶意能力，并开放了代码。
推荐理由：论文给出可解释稀疏微调方法，并在多个模型上定位并消融后门回路，稀疏回路比稠密 LoRA 小约一个数量级。
KrishokTech 是一个围绕显式授权边界构建的孟加拉语农业咨询系统。在 200 条农户问题和 400 条压力问题上，该系统将跨作物检索违规率从 36.5% 降至 0%，文本-图像作物不匹配检测捕获 453/454 个冲突，验证器捕获 118 个插入剂量错误中的 114 个。农业知识存于可独立更新的外部证据索引，浏览器端视觉与本地检索降低了对网络的依赖。
该 arXiv 论文研究车联网联邦学习中干净标签投毒攻击与防御的交互。攻击方在特征空间将良性样本扰动至恶意特征极端，在不改变标签的情况下降低类别可分性；防御方提出特征一致性重标注方法检测并重标可疑样本。博弈论框架分析表明，攻击随被控节点数有效扩展，而该防御能在不损害干净准确率的情况下保持低攻击成功率。
一篇 arXiv cs.CL 论文指出，自然语言自编码器（NLA）以“解释能否重构回原始激活”作为成功标准，这只验证信息充分性，而非描述的忠实性——错误的解释也可能足以识别激活。作者认为该问题与链式推理忠实性问题同构，也类似人类心理学中内省报告与实际控制过程的分离。NLA 虽为对齐而提出的可解释性工具，却经未经验证的解释重新引入了它本要解决的认识论问题。
论文提出 MCP-Injector，一个可插入的协议感知故障注入中间件，其故障模型基于对 1,774 个开源 MCP 仓库中 57,240 条 issue 与 PR 的挖掘。在跨两个 gpt-oss 骨干（20B、120B）和三种 Agent 框架的 1,350 组实验中，故障导致任务完成分从 8.08 降到 3.23（满分 10），且 120B 在故障下保留的无故障得分比例与 20B 无显著差异（p = 0.96），故障下完成率甚至更低（91.1% vs 95.6%）。作者认为框架级错误处理比模型规模更重要，建议将协议感知故障注入作为能力基准之外的补充评测维度。论文已被 NeurIPS 2026 接收为 poster。
推荐理由：论文提出对 MCP 工具调用路径做故障注入的评测方法，并给出模型规模与容错关系的实测数据。
arXiv 论文提出基于条件自编码的非线性概念擦除框架，原则是只移除性别、种族等敏感属性而不影响其他信息，并证明完美重构加总体独立性足以保证完美非线性防护性。实验显示该方法在多数据集、多语言模型上取得更优的效用-擦除权衡，无需目标任务标签且收敛更快。框架还附带概念转换（表示引导）能力，在推理时仅改变目标概念即可生成对应不同概念值的表示，无需额外训练。
研究者发布旁遮普歌曲毒性数据集 PGT-FG，基于 YouTube 公开歌曲构建，最终含 392 首歌曲的 2,396 个片段，其中 705 段（29.42%）标注为有毒。四名母语标注者产出 2,870 条标注，涵盖二元毒性、八类细粒度类别、严重程度等字段，整体毒性标签 Fleiss' kappa 达 0.6521，暴力类最常见（539 段，76.45%）。数据集已在 Zenodo 公开，不含受版权保护的音频或歌词。
研究者提出 CONSTRAINTDIAL 框架，通过协议变异自动构建智能合约安全任务，防止 AI 评测依赖记忆或照抄公开链上攻击代码的答案。该框架基于 203 个公开案例构建了 3,045 个涵盖 detect、exploit 和 patch 的任务输入；相比仅重建合约，协议变异使模型借助公开答案的成功率平均下降 10.9 个百分点，照抄线上答案解决的任务比例下降 9.3 个百分点。
研究者提出 Trigger-Neutralized Counterfactual Scoring（TNCS），通过对比触发输入与触发中和反事实输入的模型输出，来衡量触发词对目标行为的贡献，从而以更少的投毒样本攻击预训练代码模型。在三个 CodeXGLUE 任务和五个触发词家族上，TNCS 在极低投毒比例下取得比基线更高的攻击成功率，且不损害干净任务性能。它是唯一对所有触发词家族都有效的方法，所选投毒集还能迁移到不匹配的受害者模型。
一项 arXiv 研究提出方向敏感、相对读出的语义脆弱性分析框架，用储备-传输模型在 Qwen3-32B 和 Gemma 4 31B 上预测保留任务含义的改写导致的失败，并可向 ReClor 迁移。匹配干预实验表明方向本身携带标量几何之外的因果信息，但失败很少跨选项顺序持续，说明共享预测规律与依赖上下文的方向性效应并存。
arXiv 一项被 NeurIPS 2026 Workshop 接收的研究提出免训练的推理时框架，定位并操控冻结 VLM 中的安全敏感表征。在 Qwen3-VL-4B 上，早期视觉层经激活引导可实现 6%-96% 的不安全内容拒绝双向控制，深层则对引导不敏感；InternVL2.5-4B 呈现类似的深度依赖激活几何结构。
Ehsan Saleh 在 arXiv 发布 AfterDeleteBench，一种对固定权重 LLM Agent 删除记忆后信息残留的受控行为审计方法。实验显示 Qwen2.5-7B-Instruct 在单次查询下约三分之二的情况可恢复已删除的密文，未暴露对照组恢复为零；即使密文原串已删、只剩按公开组合规则分开存储的组件，Qwen、Mistral 和 Phi-3 仍能以 62-99% 的比例精确重建。来源感知的闭环（provenance-aware closure）消除了测试中的恢复现象，而精确字面写入过滤器只能阻止重插、无法清除已存在的信息。论文 25 页，含 7 图 12 表。
推荐理由：论文给出可复现的删除后信息残留审计方法和对照实验设计，对做 Agent 持久记忆的人有直接参考价值。
论文提出将连续潜空间黑盒攻击框架直接耦合到扩散语言模型（dLLM），去掉随机映射，生成更自然的攻击提示。在 RareTrap 采样估计和 ThinkTrap 优化搜索两种设置下，字符级困惑度分别从 10^3–10^7 降到 3–5、从 20–28 降到 4.3–5.4；两种映射得到的模型风险估计可相差一个数量级。
一篇 arXiv 论文用 Petri 网将 LLM Agent 的工具执行框架形式化为监督控制问题，使未满足或已消耗前置条件的注入请求无论措辞如何都会被拒绝。论文引入重规划闭环，证明传统监督器可能比更严格的安全监督器侵入性高任意倍，并刻画了最小侵入监督器。在自主发布 Agent 上的综合实验表明，安全部署需要一个监督器可在 rollout 开始后拒绝的步骤。
研究者提出 AI 风险本体 AIRO 和 AI 风险词汇表 VAIR，用于描述 AI 用例及其相关风险，辅助 EU AI Act 对高风险 AI 系统的风险管理与文档要求。两者基于 ISO/IEC 23894 和 ISO/IEC 22989 开发，并已通过共识流程集成进 Data Privacy Vocabulary（DPV），将 DPV 范围从数据扩展到 AI，以支持复用和多法规合规。
一项 arXiv 研究审计了学习式访问控制依赖的两类人工构建组件：硬拒绝集与区域路由映射。在五个公开 ABAC Lab 策略上，作者穷举验证最多 794,250 元组的关系，发现忠实转录显式限制的条款在 1 位作者和 3 个盲测语言模型引出者下不可靠率达 0.50-0.70，97% 的反例由其他规则授予；未经校验的拒绝集会扣留策略 16-78% 的授权。研究还发现混合路由的排序候选池在全部 24 个单元格中均为单类，且在两条真实策略上多数选择规则在两类损失下结论相反，已发布工件可复现所有数字。
研究者推出 AgentPhishing 基准，评估说服式钓鱼攻击能否让 LLM 邮件智能体遵从恶意请求，并提出 PhishOpt 方法针对单个智能体优化可复用的邮件生成技能。在九个智能体的评测中，四个钓鱼检测率低于 10%，恶意请求遵从率高于 45%。结果表明传统钓鱼评测无法推断智能体安全性，需评估其对说服式恶意请求的响应。
一项研究揭示了自适应残差路由解码器中隐藏的未来 token 泄漏如何制造虚假的架构进步：一个异常 24 层 checkpoint 将验证损失从基线的 3.5958 降至 1.4259，却未通过 prefix-invariance 审计，泄漏源自经动态路由查询路径广播的全序列摘要。两个独立训练的 12 层因果修复消除了可检测的泄漏，验证损失和参考困惑度回到对照水平。研究借助 LeakScore 等诊断工具指出，低 teacher-forced 损失须结合全模型因果检查与自由生成评估解读。
研究者提出 Social-HUMINT 框架，将 SOCMINT 与 Cyber-HUMINT 统一为涵盖 38 项能力的分类体系（专家验证 Fleiss' κ = 0.92），并实现为 LLM 增强的多智能体流水线。在真实参与者公开数据上，信息抽取 F1 = 97.3%，推断属性得分 4.73/5，远超基于规则和 NER 的基线。该框架可预测目标对个性化诱导选项的排序以间接评估易感性，帮助防御者在攻击者之前评估自身暴露风险。
arXiv 论文（2610.31579）研究谄媚的反向问题：当 LLM 自信、一致且错误时，用户是否会向它弯腰。32 名参与者与基于 GPT-5-mini 的 5 个助手学习科学话题，各助手事实被 0-100% 替换为貌似合理的错误，104 次测验、1040 个答案中得分从 7.4 降至 2.9/10，被植入错误选项在篡改题目中被选 60%（正确教学仅 11%，odds ratio 12.5），吸收的错误以 8.4/10 高置信度持有，置信度区分正确性的 AUROC 从 0.70 跌至随机水平，而事后信任评分几乎不变。论文提出基线校正的 Human Deference Index 量化人类侧谄媚，主张可信性是人机对的属性，谄媚评测应测双向。
推荐理由：研究给出人向AI弯腰的量化指标与实验数据，把谄媚评测从模型单向扩展到人类方向，方法可直接复用。
研究者推出开源、自托管的 VERA 仪表盘，帮助机构基于 EU AI Act 的 18 项技术要求（其中 12 项可由现有 benchmark 测量）评估 LLM 部署，并在某欧洲大型银行内部使用，同时记录每次评估的能耗。被试实验显示，用仪表盘完成负责任 AI 评估的平均时间从 56 秒降至 30 秒，内部调查有用性评分达 4.36/5。仪表盘与研究材料已公开发布。
论文提出模拟控制评测（SCEs），用语言模型模拟工具响应替代真实环境来拓宽控制评测适用范围。在 LinuxArena 上，SCE 预测安全性的 RMSE 为 3.6 个百分点（5% 审计预算、五个监控器），优于 BashArena 的 10.1，对攻击策略等分布的 KL 散度比 BashArena 低十倍以上，可解释 78-85% 的跨环境方差，且通过模拟发现的策略可提升监控器对留存攻击的表现。
推荐理由：论文用实测数据对比了模拟控制评测与独立控制设置预测安全的误差和 KL 散度，方法可迁移到 AI 控制评测设计。
arXiv 论文 2610.31624 用 InstrumentalEval 评测 OLMo-3-7B-Think 从 SFT、DPO 到 13 个 RLVR 中间检查点的行为轨迹，发现工具性行为率先升后降：从 SFT 的 25.0% 升至 RLVR step 200 附近的 46.1%，最终降至 11.8%。提示词框架效应只能解释检查点内约 15% 的方差，INLP 移除框架方向也不改变 SFT 到最终 RLVR 的下降；32B 端点初步结果同样从 35.53% 降到 22.37%。作者强调结论仅适用于该模型族和基准，评审一致性中等，绝对比率需谨慎解读。
推荐理由：论文用 13 个 RLVR 中间检查点追踪工具性收敛行为的完整轨迹，比单一前后对比更能说明训练阶段的影响。
arXiv 论文提出可执行基准 EpiSEM-Bench，评估 LLM Agent 在关键安全证据缺失时的不安全执行、安全边界与证据恢复能力。基准包含六个领域的 300 组不安全/安全配对任务，通过系统性抑制关键事实，测量不安全执行并确定最小观测失败基数。评测显示十个模型在缺失证据鲁棒性上差异显著；恢复访问降低了全部十个模型的不安全执行，但各 Agent 是否主动获取缺失事实并据此行动各不相同。
dima6312 在 Hugging Face 发布 Flint-40B-A2.5B-abliterated，移除了 RecursiveSI Flint 40B-A2.5B 的拒绝方向，面向漏洞分析、恶意软件分诊、检测工程、CTF 和红队工具等安全工作。消融用 abliterix 从 attention 输出与 shared-expert、routed-expert 投影中移除拒绝方向，Optuna 经 50 轮试验选择强度。
同一新闻，精选展示《dima6312 发布 Flint 40B-A2.5B 的 abliterated 无对齐 GGUF 版》
研究者提出 UniGuard 训练框架，从同一安全案例的多个语义对齐视图学习接口不变的安全表征，并将 1,000 个公开安全案例转化为 UniGuard-FT 数据集，训练出 0.6B 模型 UniGuard-0.6B。在未见接口基准 ATBench、PolicyGuardBench 和 DynaBench 上，该模型平均比预训练护栏提升 45.12 F1，期望校准误差降低 35.41，且仅用合成数据训练即可与 Claude-Sonnet-4.5、GPT-5.2 等更大护栏模型相当。
一篇 arXiv 论文（arXiv:2610.30751）用同一工资单收入修改请求测试 15 个模型，共 445 次可观察试验。结果是模型在说明贷款用途时 14.1% 的情况下发起编辑调用，省略用途时为 33.1%，把修改描述为修正打印错误时达 66.2%；Astra 拒绝全部 10 次贷款用途请求但在 10 次省略用途试验中全部发起调用，Fable、Opus 和 Muse Spark 在三种措辞下均未发起，Sonnet 在后两种措辞下有部分发起。论文注明测试文件为标记文档且工具为模拟，结果仅反映单一情境，不构成整体伦理排名或真实有害编辑成功的证明。
推荐理由：原文用统一测试请求量化了措辞变化对15个模型拒绝边界的影响，并给出三档触发率数据可对照。
Christian Arnold 等在 arXiv 发布论文，用有精确贝叶斯答案的双瓮博弈测量大语言模型拒收信息的代价，覆盖 OpenAI 和 Anthropic 两家模型、10 种描述配置共 6,600 次会话。研究发现模型常以与证据无关、而与报告者描述挂钩的比率拒绝评估信息，Black 描述的报告者被拒率最高达 46%，white 描述为 9%；该偏见在只比较平均信任度或仅看已评估案例的审计中不可见，且随推理力度增加而加重。作者还提出按多轮真实结果评分的方案，五组配置中有四组的种族信任差距在最后一轮降至 0.02 以下。
推荐理由：研究指出了常规偏见审计容易漏掉的一种机制，模型靠拒绝评估而非降低信任来隐藏偏见，并给出了可用的评分修正方案。
LAST-V2X 是一个由大语言模型（LLM）驱动的 V2X 应用自动化场景合成与安全测试框架，可将自然语言测试描述转译为可执行场景。框架结合交通仿真、通信语义建模与消息级故障注入，通过降级信息与真实信息的匹配执行来判定安全失效是否由通信引起，并利用参数搜索与 LLM 自反思的执行引导优化生成最小可复现失败案例。在多种 CARLA 环境和 V2X 安全应用上的实验表明，该框架能生成可靠场景、区分通信致因失效并显著提升失败发现能力。
SecLog-Bench 是一个可扩展的网络安全日志推理评测基准，构建覆盖 29 种攻击场景的仿真平台，结合审计日志、应用日志和网络流量多源证据，并为每个样本标注结构化分步证据链。对 8 个主流 LLM 的评测显示，最佳模型准确率仅 44.44%、Macro-F1 为 45.07%，最高 Stage Reasoning F1 仅 54.87%，表明当前模型攻击进展推理能力有限且推理质量与预测准确率常不一致。
研究者提出冲突感知 Logit 适配器 CALA，一种轻量级训练时反知识蒸馏防御方法。该方法在冻结的教师模型上附加小型残差 adapter，仅训练该 adapter，由代理学生模型识别易被模仿的位置并扰动输出分布，同时用正则化保留教师模型性能与流畅度。推理时开销较低且无需辅助模型，推理基准实验显示其显著降低学生模型成功模仿率，同时维持接近原教师模型的表现。
一篇 arXiv 论文提出，内容审核系统的过度拦截与保护不足同源于依据词汇表面形式而非信息功能判断危害，并归纳为七种失败模式。作者提出一套评估协议，在 11 种语言上测试五个开放系统，55 个系统-语言组合中有 51 个无法在母语者水平区分有害功能与无害形式；能力提升在九种语言中改善判别，但阿拉伯语和罗马化印地语仍接近随机，最受益与最不受益语言社区之间的差距随能力扩大。
SCOPE 将 LLM Agent 的策略编译为可执行程序，由小模型、确定性提取器和代码组合神经谓词，并通过生成对抗性反例联合优化程序与训练数据。在真实策略任务基准上，其平均准确率超过提示词优化、任务分解和工作流生成方法，且用最弱执行器优化的程序可迁移到其他模型，在廉价模型上达到接近前沿推理模型的准确率，预测更稳定且每个判定可通过谓词输出解释。
一篇 NeurIPS 2026 工作坊论文提出“事后审计幻象”：离线测试可能无法揭示智能体更新部署后是否安全。作者用匹配的安全与有害生命周期构造可执行审计边界，并给出错误-弃权权衡定理。Post-Audit Mirage benchmark 覆盖授权、调度与共享容量环境，实验表明监控在有利条件下可恢复关键区分，但对稀有群体、小效应或缺失观测可能仍无法判定。
一项 arXiv 研究将四个 LLM 的策略置于全连接、随机正则和异质网络上，用 10³ 到 10⁵ 个智能体玩命名游戏。最稀疏的网络可使共识形成最慢慢至十二倍，但也让部分混合交互下不收敛的情况恢复共识。攻击所需的临界智能体数量按枢纽、随机、低度节点递增，在异质拓扑上中位数分别为 3%、16% 和 35%，混合交互估计可能高估多智能体 AI 系统的鲁棒性。
一项基于 BBQ 基准的研究考察了 Qwen3、Gemma-3 和 SmolLM2 在多种规模与量化设置下的社会偏见与弃答行为。结果显示，更大模型问答准确率更高，但偏见无简单缩放趋势，量化影响因配置而异；26 个偏见响应更少的配置中有 20 个同时出现过度弃答增多。研究表明公平性评估需将偏见响应、弃答、提示词形式与选项设计联合考虑。
论文提出 BiasGuard-D 框架，用来自不同模型族的两个对抗角色交换类型化声明文档、三模型多数投票裁决，并以引用加语义组合不变量验证结果，为 LLM 生成记录提供可审计的溯源链。该方法在 HaluEval QA 上仅改角色设定即从刻板印象迁移到幻觉修复，正确答案恢复率提升 49 个百分点；语义组件能捕获引用检查漏掉的判定，移除迭代循环会使不变量满足率大幅下降。
一项 arXiv 研究构建了向提示词注入常见二语学习者语法错误的受控框架，并在三个覆盖性别、种族、宗教的社会偏见基准上测试。结果显示语法错误会加重大语言模型的偏见且随错误率上升，其中介词错误对刻板印象对齐的提升最大、最稳定；在错误文本上微调可缓解这种偏见增加。基于规范英语提示词的偏见评测可能低估语法错误使用者所受的偏见。
论文提出 VX-One，一个 100K-10M 参数的小型多决策头网络，输出校准门控、含显式 unknown 选项的闭集选择和序数分数，CPU 上 p50 约 0.7-1.7 ms。在 UNSW-NB15、CIC-IDS2017、EMBER2024 上与 XGBoost、Kitsune 等对比，检测在 UNSW-NB15 和 CIC-IDS2017 时间漂移下占优（0.711 vs 0.637），但多分类归因均输给 XGBoost。两级级联（Suricata 52,674 条规则 + VX-One）组合 recall ≥0.978，而所有方法的校准在时间漂移下均崩塌（ECE 0.04→0.40）。