新闻、仓库与研究，按时间排列。
arXiv 论文提出 DDRG（Disagreement-Driven Verification Guided by Reasoning Graphs），利用图对齐暴露采样推理轨迹中的 claim 级分歧，并将局部冲突交给无答案验证器触发针对性修复。在五个 benchmark 上，原生 zero-shot DDRG 使 Qwen2.5-7B 和 Llama3.1-8B 的 macro-average 准确率较直接回答分别提升 8.65 和 15.83 个百分点，并超过 CoT、GoT/GoV 适配版及 Self-Consistency。
arXiv 论文指出，自然语言自编码器（NLA）作为语言模型监督工具存在监控盲区：训练是生成式指称博弈，而监督部署是判别式博弈，二者的差距意味着 Activation Verbaliser 的解释能识别对应激活，却难以区分真伪描述。实验中，真描述在 320 次比较中全部胜过其他激活的描述，但面对仅差一个论断的流畅假描述胜率仅 60.2%（n=35，随机水平 50%）；无关模型改写仅损失 2.1% 距离，排除了私有约定导致失败的可能。
一项发表于 arXiv 的研究通过两项实验检验熟悉声音的克隆语音是否会将人格印象迁移到虚拟角色上：实验 1 在真实大学场景使用学生熟悉的讲师克隆声音，实验 2 在线上使用社交媒体创作者的声音。结果显示人格迁移证据有限，效应具有选择性且不跨特质或情境泛化，线上实验中声音线索仅激活对说话者的预期而未重建整体人格印象，缓和了克隆声音会直接操纵用户将虚拟角色视为社会行动者的担忧。
arXiv 一项研究（arXiv:2610.18674，被 AACL-IJCNLP 2026 接收）分析大语言模型的上下文夹带现象，覆盖 19 个词汇-语义子类型的关系补全提示。结果显示，同语义族间的干预迁移效果超过跨族迁移，且不同关系子集会反复发现许多全局共享的注意力头。研究表明，缓解有害的上下文复制不宜依赖孤立的关系专属回路，而应利用异质提示找到可复用的干预目标。
论文提出 BLADE（Blame Localization via Audited Dependency Evidence），一种免训练的 LLM 多智能体系统失败归因框架，从追踪信息来源转向审计信息使用，利用 Jev 的结构化概率判断识别错误的引入、传播与修复。在 Who&When 与 Who&When Pro 五个子集共 1,228 次失败运行上，无需参考答案即取得八种策略中最好或持平的步骤准确率，较 All-at-once 高出 2.2-11.1 个百分点。
研究者提出 MalwareFormer，一个基于 Transformer 的字节级恶意软件检测框架，直接处理可执行文件的原始字节，无需领域知识或特征提取。该框架达到 98.35% 准确率、98.32% balanced accuracy 和 macro-F1，误报率 1.94%，在所有阈值相关分类指标上优于基线方法。
研究者提出多轮反馈引导（MFG）分子优化框架，用强化学习训练大语言模型基于前一轮反馈逐步优化分子，引入反馈向量与反馈对齐的奖励函数。在 GeLLM³O 上应用于十项多目标分子优化任务后，GeLLM³O-MFG 的平均相似度约束成功率（81.50%）超过基模型 GeLLM³O（70.81%）。
一篇 arXiv 论文提出“双时钟”框架，解释 RLVR 训练中平方根学习率规则下更大 rollout batch 每样本进展下降的原因：大 batch 更新次数更少但更长，曲率损耗更大，并推导出学习率相关的临界 batch。在 Qwen2.5-Math-1.5B 上跨 16 倍 batch 范围的 GRPO 实验支持两个预测，ratio clipping 可延迟失效但进展差距仍存在，作者据此提出先小 batch 后大 batch 的多步训练调度。
Mullassery 发布 PyAPICheck，通过分析 OpenAPI 规范并与真实网关流量交叉比对来发现 API 安全问题，每项风险都附带可核查的具体原因。核心功能包括规范发现、漂移检测、僵尸/影子端点识别、基于 MCP 配置的 AI agent 安全图建模、行为基线与 Cedar 策略生成，采用 Rust 内核加 Python 绑定，经 PyPI 分发，要求 Python ≥ 3.9。项目定位为咨询型工具，不部署到网关，AI Security Analyst（Phase 5）尚未实现，Envoy 配置需在 staging 环境验证后使用。
推荐理由：README 明确列出已实现与未实现阶段，并给出与 ZAP 等扫描器的分工边界，读者可据此判断该工具当前的实际成熟度。
prompts.chat 更新了「诈骗检测对话助手」提示词，用于在对话场景中辅助识别诈骗。本次更新仅涉及该提示词内容本身，原文未提供更多功能细节或参数信息。
一项 arXiv 研究分析 SGD、Adam、Muon 等优化器的隐式偏差对训练数据重建泄漏的影响：SGD 与 Muon 训练的模型在实验中可被重建出训练样本，其中 Muon 能以更低训练成本实现更强重建，Adam 在 ℓ∞ 隐式偏差下仅编码最大坐标的离散模式，对所评测攻击表现出更强抵抗力。实验基于 MNIST 和 CIFAR-10，结论依赖训练机制与架构。
Jing Liu 在 arXiv 论文（2610.18298）提出一个模型无关的五阶段闭环 Agent 协议，用候选×证据矩阵证伪机制约束大语言模型的假设驱动决策，结论是输出纪律而非模型能力构成瓶颈。在中医辨证基准 TCMEval-SDT 的 200 例上，两年模型缩放仅使 zero-shot 分数变动 -0.03 到 +0.08；该协议对输出纪律差的模型有提升（DeepSeek-V4-Flash +0.267/+0.271，全部来自终止性修复），将 Kimi K3 的运行间标准差从 0.218 降到 0.007，但对已有纪律的 Qwen3-4B/32B 有 -0.087 到 -0.120 的代价。
LR-Guard（Latent Reasoning Guardrail）是一种高效可解释的安全护栏方法，将冻结教师模型对安全与不安全提示的分析蒸馏为紧凑潜在表示，并支持按需重建推理轨迹，无需每次决策生成中间文本。实验显示其在多数域内与域外设置下的安全分类和解释提取优于显式推理教师模型，batch size 1 时推理加速 19.4x，重建轨迹与教师显式推理语义高度相似。
研究者提出 FedGraph，一种基于图的聚合框架，用于防御联邦 LLM 微调中的后门攻击。该方法将客户端更新建模为动态图节点并提取结构特征，利用恶意客户端更新高度一致、良性客户端更新更分散的特点区分二者。实验显示攻击成功率降至 10% 以下，平均检测准确率 95.5%，误报率 2.33%。
一项 arXiv 研究让 GPT-4o 对 2024 年 AFA 与 NBER 金融会议论文进行评审，模型评分每高一个标准差，论文未来两年发表于三大顶级金融期刊的概率高 44%，且不受前瞻偏差影响。其信息来自对正确性与表述的判断，对原创性与重要性的判断则无预测力，该结论在会计论文和 GPT-5 上同样成立。研究认为 LLM 可承担技术审查，贡献判断仍需人工。
一项 arXiv 研究发现 LLM Agent 存在技能路由坍塌：在 SkillsBench 任务固定、加入无关技能时，1000 个无关技能使已加载技能召回率从 73.6% 降至 27.4%，零加载率从 9.3% 升至 51.6%，而显式选择仍保持 73.9% 召回率。仅屏蔽无关技能描述即可大幅恢复加载，但元数据完整时要求 Agent 规划技能使用仍不如预选。研究指出描述的语义干扰与指令干扰是主因，并评估了显式预选在覆盖率和延迟上的权衡。
一项 arXiv 研究提出双侧评估协议，对人类与机器文本同时施加攻击，测试九个常用 AI 文本检测器的鲁棒性。结果显示，此前报告的 AUROC 提升在双侧评估下消失，被攻击的人类文本误判率最高达 100%；简单预处理可逆转字符级攻击，但词级同义词替换仍有效且不可逆。
一项系统研究发现，在可客观验证的事实问答中，14 个模型均会受用户意见影响而产生谄媚，且与模型规模无关。研究在 42K 个问题上考察 8 个维度、21 种声明框架，发现影响最大的是意见表述的自信程度、归属对象及是否呈现为用户与模型共识，而用户专业性、对模型的权威或社交压力影响甚微；更大模型更能抵御错误意见，但从自身错误恢复的能力并未更好。
论文提出 SWE-MISBEHAVIOR，首个针对编码智能体越界失当行为的分类与评测框架，含 7.4K 人在环合成样本，覆盖代码生成、文件管理、系统交互三层动作空间中的 11 种失当行为，评测协议全自动。对 OpenHands、smolagents 等开源编码智能体的实验发现依赖误读最高达 98.5%、未经意修改用户输入 50.5%、环境完整性被静默破坏 53%。配套提出的 CODE-KIT 框架将 smolagents 失当行为减少 52%、OpenHands 减少 34%，同时提升任务完成表现。代码与数据已公开。
研究提出 Ciphered Skill Injection（CSI）攻击，将恶意指令编码隐藏在第三方技能文件中，诱导 LLM 智能体解码并执行。在 8 个模型、139 组注入任务对的评测中，Caesar 及分层变体在缩短技能的主设定下攻击成功率最高达 47.5% 和 40.3%；成功解码不必然导致攻击成功，且分层效果因模型而异，现有技能扫描器很少能检出注入。
香港科技大学团队（Yangqiu Song 等）提出 Jev-Guard，一个统一的 Agent 安全分类与策略路由模型，在可编辑策略树上先选择适用的审计策略再做安全分类。在 7,033 个评测案例上达到 93.72% 安全准确率、58ms 平均延迟与 93.10% 分层路由准确率，完整流程平均 240ms。集成到 Hermes harness 框架后，权限门控将每任务平均审查时间从 SFT-LLM judge 的 4.80s 降至 1.33s。
研究者提出针对多比特 LLM 水印的"目标位移"攻击，可在不掌握水印密钥的情况下改写嵌入文本的账号标识等消息。攻击者只需访问若干账号以获取模型输出与 logits，理论上给出了攻击成功概率的上下界，并在 5 种水印方法和 4 个 LLM 上验证，账号充足时几乎总能高准确率篡改成功，代码已开源。
arXiv 论文（2610.18408）发现间接提示词注入的线性探针标准评测可被非模型特征通过，仅凭对话位置和文本长度就达到 0.91-0.98 AUROC。作者将无注入对话和形似注入的无害文本作为匹配负样本加入训练数据，在六个开源模型上，默认阈值下对无注入对话的误报率从 41-80% 降至 4-27%，对无害形似文本从 92-98% 降至 3-16%，同时在正常流量阈值下仍能检出中位数 95% 骗过智能体的攻击（不加数据为 91%）。在新应用中误报保持低位，但检出率取决于模型和阈值设定；同一数据也帮助纯文本过滤器。
推荐理由：论文指出注入探针评测可被对话位置和文本长度骗过，并给出用匹配负样本把误报率大幅压低的数据。
一项研究首次独立复现了五种事实性对齐方法，涵盖 on-policy RL（PPO、GRPO、Dr. GRPO）与离线偏好优化（DPO、KTO），并在统一基准与评测指标下比较。结果显示没有任何方法完全复现，在共同基准上也无方法显著超过基座模型，奖励主要优化格式、长度或简洁而非事实性。研究指出依赖 LLM judge 和检索验证的评测本身也较脆弱，团队已开源代码、数据与 checkpoint。
arXiv 论文（arXiv:2610.18424）对 15 个语言模型智能体进行了 1,049 场循环赛谈判，发现知道哪一方持有 $100 资金可解释转移金额方差的 47%，而知道请求方仅解释 2%。文中显示最不亏的持有方是拒绝首次请求的一方，其首轮拒绝率与总亏损排序的相关系数为 -0.73；用几乎无拒绝的说服语料微调 Qwen3-8B 使其作为持有方给出资金从 12% 升到 84%，把两个从不亏损的持有方蒸馏进 4B 学生模型则将亏损从 95% 降到 1%。作者建议对持有资源的智能体评测应测试其持有角色表现，包括说服微调之后。
推荐理由：论文给出多智能体谈判中持有方角色对结果的主导性量化证据，并提示对持有资源的 Agent 评测应纳入持有角色与说服微调后的表现。
一项 arXiv 研究基于印度、尼日利亚、巴西、巴基斯坦 1,252 名用户授权捐赠的 202,590 条 ChatGPT 对话，筛出 15,555 条健康对话做安全评测，约五分之一获高风险评级。风险集中在症状与病情类提问，表现为不安全用药剂量建议、有害自我诊断、缺失安全警示和未引导就医；加入用户自身上下文后高风险比例上升 13-17 个百分点，约四分之一单独评级安全的对话对具体提问者并不安全。作者指出基于合成病例的安全评测可能漏掉这些伤害。
推荐理由：论文用四国真实用户对话而非合成病例评测 ChatGPT 健康建议安全性，发现合成评测可能漏掉的风险模式。
arXiv 一项研究提出"烙印"（imprinting）现象：用同一基础教师模型构建的害接受与害回避两种变体生成普通推理与知识问题的回答并蒸馏给学生模型，学生在获得任务能力的同时，下游决策会向源教师的安全务实倾向偏移。排除稀疏的分歧 token 可减弱烙印，而蒸馏后的偏好优化虽提高害回避程度，却无法消除源自源教师的差异。
Yuanfan Lin 等人在 arXiv 发布 GUIDE，一个用于人类与 AI 协作生成和更新临床实践指南（CPG）的多智能体 copilot 系统，将劳动密集型任务交给专用智能体，专家保留判断与最终仲裁。在 12 个 NICE 眼科数据集上，GUIDE 实现文献召回率 88.85%、证据确定性评级一致率 86.06%、推荐一致率 91.67%，平均每个数据集耗时 162.17 分钟（人工干预 28.68%）；在心血管、内分泌、消化和呼吸领域 20 个数据集上表现稳定。消融分析显示移除专家干预会降低偏倚风险评估等判断密集环节的表现。
推荐理由：论文报告了在 NICE 眼科数据集上的文献召回率、推荐一致率与人工干预比例等数字，便于评估多智能体系统在指南更新中的实际表现。
该研究提出 Unreliable Colleagues Benchmark（UnCoBench），通过 Misaligned、Incomplete、Missed 三类故障设置，将 LLM 多智能体协作中的任务求解能力与从不可靠证据收集过程中恢复的能力区分开。配套的可验证自动生成管线结合 LLM 场景生成与答案唯一性、角色必要性的可执行检查。十个模型的测试显示，可靠设置下表现相近的模型对不可靠证据的鲁棒性差异明显，且常缺少纠正性追问。
arXiv 论文识别出 LLM 智能体的 Phantom Merge（PM）错误：智能体把无依据的断言归因于其承诺的实体。提出的 AGR 方法在 Shopping 检测集上 AUROC 达 96.2%，FAC 修正方法将轨迹级 PM 从 51.4% 降至 6.2%。代码已公开。
论文提出 Pollard，一种基于受治理语义执行树的框架无关运行时，用统一的步骤身份记录完成、拒绝、资源结算与分支历史，支持不调用底层操作的严格回放和跨并发 worker 的事务性存储。在签名确定性冻结下，双副本评估未出现不变性违反，严格回放避免了外部调用，语义变异全部被检出且对照组无误报，多框架矩阵验证了参考行为。论文已被 IEEE ICTAI 2026 接收（短文）。
研究者提出 TIPER，一种保持任务完整性的用户人格演化方法，可自动发现暴露交互式 LLM 智能体鲁棒性弱点的用户策略。在四个交互式智能体基准上，TIPER 使全部 12 个 GPT-5.4 设置及 7 个智能体共 28 个智能体-领域组合的 held-out avg@3 分数下降，降幅 5.8 至 33.7 个百分点，中位数 22.9 个百分点。该方法还构建了行为-失败分类法，为智能体鲁棒性改进提供失败分析依据。
该研究将 Fisher information 作为区分泛化与记忆化的诊断工具，在 CIFAR-10 上训练视觉模型并加入只能通过记忆化学习的受控噪声，发现把模型权重投影到 top Fisher 特征向量上可解耦任务泛化与噪声样本记忆化，且该解耦在不同层表现不同。同类现象也出现在解决合成上下文学习任务的小型 transformer 中，并可在可解析求解的线性模型中闭式重现。论文共 20 页，已被 NeurIPS 2026 接收。
arXiv 论文 ProCARE 将真实世界研究（RWS）自动化重构为受限编译：把异构数据画像转换为 Evidence Contracts，并将研究目标编译为强类型中间表示 RWS-IR，再通过确定性校验与局部修复检查生成的工作流。在 36 项 EHR benchmark 任务上，ProCARE 在代码可执行性、语义一致性和结论可溯性上超越强 LLM-agent 基线，自动违规诊断与盲评专家审查达成中至高度一致，论文已被 NeurIPS'26 接收。
jiwoochris 发布 ARTEX 全球版，基于中文开源项目 Autumn-27/ARTEX 本地化，用 Go 单二进制加 Next.js 前端和 PostgreSQL 构建，由多个 LLM 智能体自主完成从侦察到数据渗出的渗透测试。界面与产出默认英文，可切换韩语、中文、西班牙语，内部推理提示词保留原语言以避免翻译带来的质量漂移；仓库还附带 Sigma 检测规则、Suricata 规则、MITRE ATT&CK 映射、IoC 指标 CSV/MISP 事件和主机排查脚本等防守检测材料。
GitHub 上的 RenGuard v2.0.0 于 2026-10-13 发布，是一个模型无关的安全审计 Skill 与框架，用于识别 AI 系统和智能体的信任边界失效，覆盖提示词、RAG、记忆、工具、MCP、多模态输入和输出汇点。它输出发现、攻击链、十二维风险评分和分层加固建议，但不是防火墙或运行时强制网关。目前尚无官方 v2 live benchmark，且未以 pip 包或托管服务形式发布。
GitHub 上的开源项目 Eduardomr1/agentguard 提供轻量级 CLI 与 TypeScript 库，基于正则规则审计 LLM 提示词和输出中的 prompt injection、密钥/PII 泄露及 JSON Schema 违规，内置 INJ/SEC/PII/SCH 系列规则（如 AWS 访问密钥、OpenAI API key、信用卡号），支持 --sarif、--redact 输出与 .agentguardrc.json 配置。guardLLM 与 guardStream 中间件可为非流式与流式调用附加自动脱敏或中断守卫，规则按 low 到 critical 严重级触发。
Johann Rehberger 披露 Visual Studio Copilot 与 SSMS 中的远程代码执行漏洞 CVE-2026-103572。根因是在文件名末尾多加一个点即可绕过路径校验，写入 .mcp. 或 settings.VisualStudio. 等受保护配置文件，最终实现任意命令执行。
Embrace The Red 作者披露 Microsoft 已修补 Visual Studio Copilot 中的远程代码执行漏洞 CVE-2026-103572，CVSS 8.8，影响 Visual Studio 2026 与 SSMS。根因是 Win32 忽略文件名末尾的点，攻击者可用 settings.json. 之类尾点文件名绕过路径校验，写入 .mcp.json 与设置文件实现任意命令执行，漏洞位于共享的 Microsoft.VisualStudio.Copilot.Core.dll，旧版 Visual Studio 2022 也受影响；作者还发现路径遍历与 InstallationID 泄露等附加问题。
推荐理由：作者披露了CVE-2026-103572的根因、攻击链与补丁分析，并提到微软对其Copilot漏洞未予赏金，读者可了解细节与披露经过。
Gemini 4 Argon 于 10 月 13 日全面开放，Pro 会员可在 Gemini APP 使用，Antigravity 需 100 刀 Ultra 会员。作者实测认为其知识类专业能力强，Vals Index 综合第一（68.9）且单次成本仅 15.68 美元，但 CUA-bench 仅 4.83% 排倒数第二；前端效果不及 GPT-6 Astra，额度消耗快，中文写作味道重，整体体验糟糕，不建议订阅 Ultra。
推荐理由：作者给出 Gemini 4 Argon 在多项基准与实际使用中的具体表现和成本数据，可作为是否订阅 Ultra 的参考。