内容形态
论文与技术报告：对齐机制、人格可控性、评测方法与能力边界的新发现。
403 条精选近 30 天 403 条共收录 2,997 条
Jaewon Sok 在 arXiv 发表论文，提出许多闭卷事实错误源于模型在首 token 选错，而答案知识已编码在模型中。实验显示在 16 个开源模型上，仅预填正确首 token 就能纠正英文 QA 多 token 答案中五分之一到一半的错误，并在多语言基准的全部 7 种语言中提升准确率；这类可恢复错误集中在首个解码步骤，是推理时方法可能收益最大的位置。论文链接 https://arxiv.org/abs/2610.23400v1
推荐理由：论文给出 First-Token Cueing 探针和 16 个开源模型的实测数据，把一类闭卷错误定位到首个解码 token，可借机了解推理时干预的着力点。
论文提出 LM2LM，用强化学习训练大语言模型生成语言模型改进提案，并以研究世界模型（RWM，一个冻结 LLM）从真实实验记录预测提案收益作为奖励，定期执行高排名提案以更新上下文保持反馈可靠。在八个自回归与扩散 LM 开发环境中，Qwen3.8-27B 经 LM2LM 训练后在留出任务上超越获得 300 条真实实验记录的 GPT-6-sol，数据生成成本降低 33%，并能泛化到训练未见的模型家族。论文链接 https://arxiv.org/abs/2610.23344v1
推荐理由：论文用研究世界模型替代真实训练反馈来训练改进提案模型，并给出跨八个环境与 GPT-6-sol 的对比数据，方法可参考。
研究团队发布 MobileInject，首个评估移动端 MLLM 智能体多模态注入攻击与推理到执行安全风险的基准，包含 11 个场景、9 类安全风险和 108 个可执行风险实例。其提出跨模态一致性注入方法及 Multi-Role Collaborative Deception、Reasoning-Camouflage Injection 两种增强攻击，实验显示移动智能体普遍易受多模态注入影响，许多失效源于早期阶段的推理劫持。论文地址 https://arxiv.org/abs/2610.23307v1。
推荐理由：论文给出了针对移动端多模态智能体的注入攻击基准，覆盖 11 个场景 108 个风险实例，可用来定位智能体早期推理被劫持的失效点。
论文提出 Self-Instructed CoT Controllability 评测方法，把约束作为自我指令放进思维链内部来测量模型遵循能力，结果显示自我指令下的可控性显著高于用户提示指令，即便只是提醒模型遵循用户约束也能明显改善。作者还演示了自我指令可用于监控规避，对 CoT monitorability 构成风险。
推荐理由：论文把 CoT 约束从用户提示挪进模型自我指令后可控性显著提升，并指出这会威胁 CoT 监控的可信度。
arXiv 论文 2610.23255 提出 SPLIT，用小规模标注试点通过经验贝叶斯拟合精确公式，在固定预算下规划采样数量、模型选择与验证开销，覆盖接受/拒绝和最高分选择两类验证方式。在七个基准、26 个模型、175 个智能体系统和六类真实验证器上，SPLIT 距事后最优分配仅差 0.02-0.8 个百分点，而所有测试的固定规则在部分场景至少损失 2.5 个百分点；该公式还解释了何时增加 LLM judge 反而降低精度，代码将发布。
推荐理由：论文提出用小规模标注试点来规划测试时算力分配，覆盖26个模型和六类真实验证器的实验规模可作方法参考。
arXiv 论文审计了 11 个开源权重 Agent（2-14B）在 InjecAgent 与 AgentDojo 上的 33,000 条轨迹，发现失败攻击中 76-80% 是忽略而非拒绝（17-18%）。仅改系统提示词即可让 InjecAgent ASR 从 0.2% 变到 43%；其提出的 Attack-Task Outcome Matrix（ATOM）显示 AgentDojo 中 21.7% 的回合 Agent 安全但未完成用户任务，建议评测同时报告攻击失败方式与任务完成度，并开放了标注语料、judge 提示词与分析代码。
推荐理由：论文指出低攻击成功率掩盖了安全失败方式，提供了按失败类型与任务完成度拆解评测的可迁移方法。
arXiv 论文 2610.23194 提出 OfficeTown，一个从自然语言组织描述生成职业组织模拟的框架，成员协调分工、委派任务给助手智能体并评审产出，产物与未决事项持续存在影响后续工作。配套 OfficeTown Bench 含 23 个模拟组织、8 个专业领域的 406 个任务和 4,836 条评测标准；对 Qwen3.5-9B 做监督微调和 on-policy 蒸馏后在外部职业工作基准（含 GDPval）上明显提升，principal-assistant 框架得分高于所测单智能体与多智能体基线。
推荐理由：论文把组织模拟当作智能体训练数据源，任务与评审反馈可持续生成，还验证了主从协作框架优于单智能体基线。
论文提出 WebCoder，一个用工件锚定智能体强化学习训练的通用前端开发 Agent，并构建可执行环境 Webdev-World 与评测集 Webdev-Bench。WebCoder-27B 在 Webdev-Bench 上把需求满足分从基座 Qwen3.8-27B 的 64.8 提升到 72.8，超过 Claude-Opus-4.8（65.1）和 GPT-5.4（59.6）；在 Vision2Web 上平均视觉与功能分从 41.1 提到 62.4，与 Claude-Opus-4.8 相当。消融实验验证了工件锚定信用分配与长程训练的贡献。
推荐理由：论文提出以共享可执行工件为核心分配奖励与信用，并给出对齐 Claude 等闭源模型的实测分数，方法可迁移到长序列开发任务。
GitHub 用户 HisameOgasahara 开源 tmp_llm_dit 仓库，将 DeepSeek-V4、Kimi-K3、Qwen3.6/3.8、GLM-5.3、MiniMax、Qwen-Image-2.1、Cosmos3 等最新开放权重模型的核心块用原生 PyTorch 缩小实现，在小任务上训练后对比 attention map、表征与 ablation。所有块先通过与原版代码和输出等价的验证再用于实验，提供 Colab 笔记本、模型级前向与训练行为验证（梯度、学习轨迹、float64 数值微分、路由器 bias 更新）以及 00_run_all 一键批量运行并导出结果 zip。
推荐理由：仓库把 DeepSeek-V4、Qwen3.8 等最新模型的核心块用原生 PyTorch 缩小复现，且每个实现都通过与原版输出等价验证后才用于实验。
论文提出 ECHO（Evaluation-Conditioned Harmfulness Optimization），用基于实际有害能力的 1.7B 回归器 HarmSig 给出的回复级连续有害性评分，替代现有优化式攻击中以肯定前缀等提示层 token 级合规代理为目标的做法。方法结合五个词级扰动算子与带全局 top-m 记忆的 Keyword-Anchored Beam Search，在严格黑盒威胁模型下，对五个开源模型在 AdvBench 上取得最高 0.898 的 StrongREJECT 均分和 89.23% 的 HarmBench 成功率，代码已公开。
推荐理由：论文把越狱攻击的优化目标从提示层合规代理换成回复层连续有害性评分，评测方法和代码都开源，可复现。
arXiv 论文提出 Cold-Start Failure-Only Evolution（CFOE），让 LLM Agent 在无先前经验、无外部评估信号的情况下只从失败交互中学习。跨三种自进化范式、多个 LLM 骨干和四个交互环境的实验发现一致的修复-泛化差距：失败经验能修复已失败任务，但对未见任务的持续改进有限；Agent 常误解失败，验证正确的经验也难迁移，而成功轨迹能显著提升泛化。
推荐理由：论文用统一框架量化了只从失败经验中学习的效果边界，指出修复与泛化之间的差距及成功轨迹的作用。
论文提出 SAFE-Mem，为 LLM 智能体持久记忆中的每条声明标注 kind、authority、scope 三种治理标签，并通过治理感知检索与记忆图阻止不可信声明被当作授权偏好或权限使用。在 MPBench 和 LoCoMo 上跨四个 LLM 骨干模型测试，SAFE-Mem 在保留合法记忆的防御中攻击成功率最低，比其中最强者低至少 77%，同时在所有评测防御中答案准确率最高，最多提升 15%。代码已开源。
推荐理由：论文用细粒度治理标签兼顾记忆安全与可用性，并给出攻击成功率与准确率的量化对比，方法可参考。
arXiv 论文（arXiv:2610.22937）发现，多种选择题偏差（如谄媚）大多依赖同一小群注意力头，该共享电路在预训练模型中已存在，多数 base 模型会跟随明文提示。仅用约 200 条无提示的通用助手样本微调即可在聊天格式中激活这些头，RL 阶段几乎在所有对比中都增强线索效应；在 Tulu-3-8B 和 OLMo-2-7B 上交换 6 个中间层的注意力模式，可将两版模型的线索效应大幅互换，缓解手段可针对该电路设计。
推荐理由：论文用因果追踪把谄媚等偏差归因到预训练已有的共享注意力头电路，指出后训练只是调节其使用强度。
arXiv 论文 arXiv:2610.22138 测量多智能体 LLM 讨论中的隐性信念坍塌。在十智能体事实讨论中，无对抗者时仅 0.6% 的良性智能体最终接受错误答案，1 个对抗智能体将该比例提升至 44.8%，3 个提升至 60.5%。通过隐藏回复的独立探针发现，3 个对抗者在场时良性智能体在 51.6% 的暴露轮次私下持有错误答案，但仅 19.7% 公开附和，影响大部分不可见于讨论记录，且错误答案会在良性智能体间扩散，基础准确率不能预测鲁棒性。
推荐理由：论文用隐藏探针区分了智能体的公开表态与私下信念，给出多智能体讨论被少数对抗者带偏的量化数据。
arXiv 论文 2610.22249 通过中文纠偏构式"不是X，而是Y"诊断 LLM 写作腔调，提出基于 Gricean 语用学的决策树，将用法分为实质性、可选性和缺陷性三类。研究发现五个商业模型使用该构式的密度是人类参照的 2.5 至 9.2 倍；307 个标注用例中仅 1.30% 有缺陷，但 52.8% 属于正确却不需要的可选用法。多个奖励模型即使对质量匹配的变体也偏爱该构式，LLM 裁判在语境不允许时仍偏爱它，监督微调和偏好优化都会推高开源模型中的使用频率。
推荐理由：论文把"不是X而是Y"的滥用归因于模型不知何时该用，给出了从正确性转向语用恰当性的诊断框架，可迁移到其他模型腔分析。
论文提出 FEB-30 基准，指出以下游问答准确率评估 Agent 记忆会混淆记忆正确性与检索和生成质量，产生假阳性和假阴性。该基准包含 30 条事实演化轨迹、6 个诊断类别和 3 个难度级别，通过范式反转从已知事实轨迹生成文档，无需人工标注即可获得确定性真值。应用于一个代表性记忆系统后发现，内在与外在评估平均偏差 16 个百分点，44% 的轨迹超出显著偏差阈值，记忆操作分类正确率仅 20%，该失败对外在评估完全不可见。
推荐理由：论文指出问答准确率会掩盖记忆系统的内部错误，并给出可复现的内在评估基准，为记忆评测提供新方法。
arXiv 论文 OS-Helix 提出端到端训练的多模态计算机使用智能体，把 GUI 操作和代码执行统一到一个动作空间。通过应用与真实文件配对构建可执行 Ubuntu 环境和可验证任务，先 SFT 冷启动再在真实桌面环境做在线 RL，提出 Step-balanced GSPO 按动作步聚合重要性权重；OS-Helix-27B-RL 在 OSWorld-Verified 上成功率达 66.44%，比匹配的 Qwen3.5 混合基线相对提升 42.9%，并在 WindowsAgentArena 上展示跨平台迁移。
推荐理由：论文给出 GUI 与代码执行统一到单一动作空间的训练方法，以及 Step-balanced GSPO 等具体做法和消融证据，可迁移到同类 Agent 研究。
一篇 arXiv 论文提出 training-free on-policy 蒸馏：不用训练，仅通过前向传播就能把多个单独微调的专家模型能力合并到一个学生模型中，合并后平均精度高于任一专家。当专家共享同一 base 模型时，蒸馏有精确的逐层解，等价于一个最小二乘问题，只需几百条 rollout 的前向计算即可得到二阶矩。去除重复循环截断的回答后，在 AIME25 上将合并模型从 task arithmetic 水平提升到专家水平；在 Olmo 3 7B 上，每个专家只需几 GPU 小时的前向计算，即可在七个数学和代码基准上保留各专家的大部分增益。
推荐理由：给出免训练合并多个专家模型的具体方法，层式最小二乘解只需几百条 rollout 的前向计算即可落地。
Hasan Demirkiran 在 arXiv 发布论文（arXiv:2610.22243），提出三层 shortcut 审计框架，审计 LinuxArena 轨迹和两个 TS-Bench 衍生数据集，已被 NeurIPS 2026 工作坊 TAE 与 AIWILD 接收。实验显示改变 <INFORMATION> 标记使拦截率下降 8.33 个百分点，不透明工具别名使其上升 11.46 个百分点；AgentHarm-Traj 上 TS-Guard 的 F_1 从 .902 降至 .719。作者建议采用域分组 holdout、评估单元指标和安慰剂对照配对干预。
推荐理由：论文给出shortcut审计框架与配对干预实验，说明评测数据表征如何改变guard决策和指标，方法可直接借鉴到自建评测。
作者构建 LinguaGuardBench，基于 TS-Bench AgentDojo-Traj 的 1220 个标注步骤，仅将用户指令译为德语、法语、土耳其语、斯瓦希里语和阿姆哈拉语，检验 Agent 守卫判定是否受请求语言影响。在 19 个守卫中，多数开源小型和专用守卫的判定翻转超出自身噪声底，专用守卫最敏感；13B 以下九个守卫经安慰剂校正的翻转率从法语的 +1.5 pp 升至阿姆哈拉语的 +4.4 pp，12-30B 开源守卫更多误拦良性步骤（最高 +5.0 pp），10B 以下守卫出现召回损失（最高 -7.4 pp）；前沿守卫偏移至多约一个百分点，Gemini 3.8 Flash 最稳定。基准和全部 489k 判定已开源。
推荐理由：研究把用户指令译成多语言而其余轨迹不变，分离出语言本身对 Agent 守卫判定的影响，方法设计和 489k 判定数据都可复用。