论文解读

Parth A. Gandhi · Avital Aviv · Prasanna N. Wudali · 2+

Agent 技能（skill）打包自然语言指令、脚本和参考文件，供基于 LLM 的智能体在任务中加载。技能可在用户授权下访问文件系统、shell 和网络，其弱点可能导致不安全执行。现有扫描器主要针对恶意技能，而非公共仓库中非故意的漏洞，且孤立分析技能，忽视多技能交互。为此开发了六模块扫描器：内容提取、本地分析、复合分析、验证、报告与缓解。本地分析检测良性技能中的非故意漏洞。在 SkillTrustBench 的 556 例排行榜子集上，召回率 95.90%，误报率 4.22%；在 1,000 个 MalSkillBench 技能的平衡样本上，F1 为 0.947，优于 Cisco 的 Skill Scanner、NVIDIA 的 SkillSpector、AgentSkillsScanner 和 SkillSieve。在 75 个最高星 GitHub 仓库的 1,587 个技能中，三名分析师确认了 59 项发现中的 53 项（精确率 89.8%），涉及 23 个仓库。为每个漏洞开发了概念验证（PoC）攻击，向维护者披露了 10 个中高危案例，并在其余案例上测试了缓解措施。复合分析通过共享资源、调用和指令介导的交互对技能间依赖建模。在 SCR-Bench 上，F1 为 0.991（精确率 98.7%，召回率 99.6%），而 CompoSkill 发布的三种 SkillsGuard 配置为 0.816-0.858。在 GitHub 上识别出两项复合发现，经 PoC 攻击验证。缓解模块推荐技能替换、补丁和配置更改。对于 55 项 GitHub 发现中的 47 项，缓解措施在所有试验中阻止了 PoC 攻击，同时保留了测试的合法功能。

Kashyap R Manjusha · Murali Emani

现代 agent 框架允许用户提供包含系统提示、工具描述和技能定义的 Markdown 文件（如 SKILL.md），这些内容会在初始化时被纳入 agent 的上下文。本研究考察这种配置机制是否也能充当注入通道：嵌入 Markdown 技能文件中的越狱能否通过 agent 传播并诱发被禁止的行为？为此构建了一个基于 LangChain 的问答 agent，其系统提示由用户提供的 Markdown 文件组装而成。将结合人格操纵与基于 GPTFUZZER 的攻击的越狱嵌入其中，并使用覆盖九类危害的 270 个禁止问题，在七个当代开放权重模型上评估其有效性。在良性系统提示下，模型表现出近乎完全的拒绝行为，平均攻击成功率（ASR）仅为 0.5%。相比之下，注入的技能文件将平均 ASR 提升至 45%，个别模型达到 68.9%。进一步评估了两种载荷混淆策略：基于不可见零宽字符的隐蔽载荷，以及基于字素到音素转换的语音载荷。两者均未优于明文注入；值得注意的是，语音变体将平均 ASR 降至 30%。这些发现表明 Markdown 技能文件是 AI agent 一个未被充分探索的攻击面，并提示对基于配置的越狱的脆弱性更多取决于底层模型，而非具体的载荷混淆技术。

Timofey Sanko · Yuan Tian

以 SKILL.md 文件为核心的可复用指令包——智能体技能（agent skills）——可按需扩展 AI 智能体，而一个被广泛复制的技能中的一行文字会触达每个加载它的智能体。部分此类语句属于放松监督的指令：要求智能体未经批准即继续执行、用 --no-verify 绕过检查，或持续工作而不汇报。这类指令可能移除每个加载该技能的智能体的检查点，但此前尚无工作对其进行考察。本文首次对放松监督指令开展大规模研究，分析来自 GitSkills 的 153 万个英文技能。将技能切分为单元（句子、条目、表格单元格与代码行），制定按极性、机制与作用范围标注监督指令的编码手册，人工标注 2,097 个单元，并训练检测器以扩展分析。结果显示，约每 17 个技能中就有 1 个（约 8.8 万个技能）包含放松指令。这些指令最常通过权限标志放松监督，且多数（70.1%）无条件适用，而非仅在 CI 等特定情境下适用。与监督语言数量相同的技能相比，运行 shell 代码、安装软件包或使用 sudo 的技能包含放松指令的几率高 1.7–1.8 倍，该关联在所有稳健性检验中均成立，且它们并未以更多收紧指令作为补偿。放松指令通过少数上游技能传播，而非通过采用者的编辑传播：携带放松指令的技能家族中 2.4% 贡献了全部携带放松指令技能副本的一半，1.1% 的不同放松单元贡献了全部放松出现次数的一半。开源技能扫描器最多捕获 46% 的放松指令，精确率低于 0.4；而以其背后的 LLM 配合本文编码手册提示，可捕获 61%，精确率达 0.71。

Zihao Zhu · Yuhan Liu · Siwei Lyu · 1+

现代图像生成器能产出复杂视觉制品，包括图表、界面和记录，结合文字、图形与版式传递详细信息。它们可能拒绝显性有害图像的请求，却仍生成指导危险行动或支持欺骗的制品。这种风险源于图像能促成什么，而非仅描绘什么，称为功能性视觉危害（FVH）。现有安全基准主要关注色情和血腥暴力等显性有害内容，对图像生成器针对 FVH 的安全对齐评估不足。为填补这一空白，提出 FVH-Bench，包含 669 条提示，覆盖五种有害视觉功能和十个风险领域。评估的 11 个图像生成器很少拒绝这些请求，且频繁生成实现目标有害功能的制品。目标危害实现度和有害制品可用性得分较高，进一步表明这些输出可支持预期的有害目的。进一步分析发现，现有安全检测器对 FVH 的覆盖也有限，表明其识别有害视觉功能的能力存在缺口。这些发现表明，评估图像生成器安全对齐不仅需考虑图像描绘什么，还需考虑其可能促成什么。

Hongyan Chang · Hady Elsahar · Tom Sander · 4+

专有语言模型易受基于 API 的蒸馏攻击。现有无白盒检测器依赖 token 级统计，但在低温度采样下信号常不可检测。研究发现“水印盆地”，即微调时水印教师轨迹在参数空间嵌入的、与任务子空间正交的几何信号。基于此提出 WM-Basin 检测器，通过 API 查询可疑模型，利用固定探针模型将文本映射为梯度，投影去除任务方向后，检测残差梯度是否与水印盆地对齐。在 135M 至 8.2B 参数的数学推理蒸馏模型上评估，0.1% 假阳性率下，WM-Basin 在 n-gram=1 时检测率为 79%，n-gram=3 时为 45%，显著优于基线（29% 和 1.3%）。该信号在量化、剪枝及强化学习后训练中依然保留。

Arther Tian · Alex Ding · Simon Wu · 1+

顺序交易智能体生成的决策、订单、执行回执、账户状态及报告往往不一致，即使最终组合价值计算正确。FIDES-Live 将 FIDES 从生成策略一致性扩展至顺序智能体轨迹审计。该协议分离结构化决策有效性、可选数值承诺遵循、执行与账本对账及基于回执的报告，并明确覆盖范围与不可评分结果。研究回溯审计了 7,299 个加密货币账户轮次及 310 轮股票试点中的 10 条推理路径，使用真实市场观察与本地模拟执行。加密货币决策有效率为 97.35%，可评分响应中结构化报告准确率为 90.81%，但路径级性能差异显著。整体承诺遵循率为 94.36%，非空订单提案中降至 62.63%，有效空提案为 97.56%。所有保留现金与持仓变动均与成交记录对账一致。短窗口标记收益仅提供描述性背景，未验证一致性是否预测超额收益。这些观察建议分开报告一致性、证据覆盖、活动及财务结果，但未确立长期交易技能、解释语义忠实性或审计反馈的因果效益。

Tushar Nayan · Pratik Poudel · Qian Lou · 3+

大语言模型（LLMs）依赖专有系统提示执行任务指令与安全策略，但易受黑盒对手通过多轮交互提取机密指令的查询泄露攻击。现有防御常独立评估查询，忽略跨交互的恶意行为。AdvGuard 提出一种模型无关框架，利用有界语义交互图建模查询间关系，经统计过滤后转化为线图供图卷积网络（GCN）分类，以捕捉区分协同提取与良性流程的多跳模式。该框架包含轻量级提示级检测器，支持黑盒部署。在混合查询评估中，AdvGuard 召回率较最强基线提升最高 36%，误报率不超过 3.4%。多轮工作负载中 F1 分数达 97.23%-99.1%，召回率 100%。留一攻击族测试平均召回率 99.98%，平均 F1 99.99%，无误报。集成于 PLeak 和 LeakAgent 攻击循环后，精确匹配泄露限制在 0.00-0.01，子串匹配泄露限制在 0.01-0.09，显著降低提示重建风险。

Ritika Poddar · Aidan Fennelly · Deirdre Murphy · 3+

大型语言模型(LLM)正应用于逆向工程(RE)工作流，但RE要求模型推理底层程序行为，且资源受限的沙箱环境限制了前沿模型的部署。本研究通过逆基本块执行(inverse basic-block execution)评估针对性训练能否将RE技能迁移至开源模型：给定x86-64基本块及目标输出寄存器状态，模型预测产生该状态的输入寄存器值。使用组相对策略优化(GRPO)对Qwen3-1.7B和Nemotron-3-Nano进行微调，可知寄存器预测准确率分别从73.2%提升至85.3%，从63.3%提升至95.2%。尽管前沿模型得分最高(达99.2%)，但微调后的Nemotron-3-Nano在参数规模远小的情况下，性能差距缩小至4个百分点。研究发布了两个微调模型及训练数据集。

Yuepeng Hu · Chongyu Fan · Sirat Samyoun · 1+

LLM 智能体通过模型上下文协议 (MCP) 访问外部工具，其元数据构成提示注入攻击面。研究提出 Log-To-Leak 攻击，这是一种附加式事后日志攻击，旨在最终合法调用后诱导攻击者控制的额外调用。载荷针对用户查询、MCP 服务器名、服务器响应及智能体响应，通过触发器、工具绑定、理由和压力实现。评估涵盖 5 个 MCP 服务器和 4 个 LLM 智能体，使用 5 项指标。在 18 个有效工具执行模型-服务器对中，攻击成功率 (ASR) 达 62.64%-100%，条件日志准确率 (LA) 为 76.55%-95.64%；16 对的目标任务完成率绝对变化不超过 6.63 个百分点。三种防御在 GitHub MCP 与 GPT-4o 上残留 ASR 高于 55%，而指令检测器标记了 85.53% 的良性描述。结果表明任务完成与未授权事后披露可共存，需主机控制授权。

Lidia Losavio · Dario Fenoglio · Martin Gjoreski · 1+

基于图的反洗钱(AML)方法通常假设可访问包含所有账户和支付的合并交易图，但这在现实中并不存在。联邦学习提供了必要的隐私保障，但如何有效检测跨越不同图的洗钱模式仍不明确。利用端点银行已记录的交易在本地近似远程账户状态，从而在不进行额外账户特定交换的情况下实现多层图神经网络(GNN)计算。基于此基线，通过披露阶梯测试剩余上下文是否值得共享，该阶梯为每个远程账户增加两个交易计数或交易对手自身的GNN状态。在AMLworld HI-Small数据集上，针对六种GNN骨干和最多32个数据孤岛，可观察基线带来最大增益，且随着可见切片碎片化减少而保持优势；计数提供稳健修正，而精确远程状态仅在特定机制下有帮助。在受控的隐私-效用研究中，保护共享状态所需的噪声在获得有意义的隐私之前就已消除其检测价值，而计数在强隐私保护下仍保持有用。这些发现支持银行的实用规则：使用已记录的数据，并正式保护必须传输的少量数据。

Hanxiu Zhang · Qiang Xu · Yue Zheng

保护大语言模型（LLM）的知识产权（IP）免受模型窃取是当代 AI 研究的关键挑战。尽管指纹识别对建立模型衍生的取证证据至关重要，但现有方法易受虚假声明攻击、权重操纵或高误报率的影响，削弱了其效用。SELF 提出了一种新颖的基于内在权重的指纹方案，专为通过对抗性模型谱系验证实现鲁棒的 IP 取证而设计。SELF 消除了对输入的依赖，天然抵抗虚假声明，通过对 LLM 注意力权重进行奇异值分解和特征值分解，提取独特、可扩展且变换不变的指纹，实现鲁棒的溯源检测。实验结果表明，SELF 在保持高 IP 侵权检测准确率的同时，在降低误报率方面显著优于最先进基线，并对量化、剪枝和微调等下游修改表现出强鲁棒性。代码已发布于 GitHub。

Atharv Singh Patlan · Peiyao Sheng · S. Ashwin Hebbar · 2+

语言智能体正从单用户助手演变为工作区、论坛及群聊中的共享协作者。共享智能体观察多用户交错消息、维持持久上下文并执行工具操作，由此产生单用户智能体不具备的边界问题：智能体不仅需判断指令安全性，还需确定其可管辖的用户或任务范围。研究识别出跨用户投毒（CUP），即攻击者向共享上下文注入消息，当智能体服务良性用户时该消息被应用，导致超出指令预期范围的未授权操作或响应。在两个已部署的多用户智能体 Continua 和 ElizaOS 上验证了 CUP，并引入 MURMUR 框架以评估并发多用户交互下的共享上下文智能体。在 Slack、Workspace 和 Airline 领域中，CUP 实现了高攻击成功率，在后续交互中持续存在，且比匹配的提示注入攻击更有效。评估边界范围防御发现，仅上下文摘要不足，而任务聚类和来源提示显著降低了非自适应传播。结果表明，稳健的多用户智能体需要显式的用户/任务范围界定，而非通用输入过滤或上下文压缩。

Xiaoqun Liu · Weiming Qi · Qiben Yan

大语言模型（LLMs）仍易受越狱攻击（jailbreak attacks）影响，导致有害输出。现有防御常需访问模型内部或额外训练，限制了其在黑盒 API 部署中的适用性。DYNASHIELD 是一种移动目标防御框架，通过推理时定制解码超参数和系统提示提升鲁棒性。该框架包含两步：(1) 识别降低攻击成功率的解码配置；(2) 从加权配置池中概率采样，引入受控的行为变异性。在 7 个开源 LLM 上，针对 4 种最先进越狱攻击（使用 AdvBench 提示）进行评估。结果显示，与 7 种基线防御相比，攻击成功率显著降低，同时保持响应质量且推理开销极小。DYNASHIELD 仅通过暴露的运行时控制操作，无需重训练或模型内部访问。结果表明，安全感知的动态解码是黑盒 LLM 部署中一种有前景且轻量级的防御机制。

K\"ur\c{s}at \c{C}akal · Suat \"Ozdemir

分布式网络物理系统(CPS)与边缘 AI 网络日益依赖公钥认证和密钥建立机制，而这类机制易受具有密码学相关能力的量子计算机(QC)攻击。Shor's algorithm 威胁广泛部署的非对称原语，Grover's algorithm 则削弱对称和哈希机制的有效安全裕度。后量子密码学(PQC)虽提供迁移路径，但更大的公钥、密文和签名会增加计算、内存、通信、存储及数据包分片开销，可能制约动态多智能体系统。提出旋转保密性这一架构目标，通过加密纪元之间的认证转换限制密钥的时域暴露。给出私钥认证与旋转保密性机制(PARS)，协调 Physical AI 智能体间的策略触发密钥建立、轮换和协调；并开发可选的 PARS-ESL 许可账本，记录密钥纪元、群组成员、撤销、算法套件策略、挑战验证和恢复检查点等认证状态，不存储高流量运营交易，使资源受限智能体可作为轻量客户端参与，低延迟流量则留在账本共识路径之外并由当前对称纪元密钥保护。结果表明，在既定信任、攻陷、连接和资源假设下，账本辅助的后量子密钥纪元管理适用于部分 Edge AI 与 CPS 安全控制工作负载。

Pushkal Kumar · Arvin Sahaym

查询时过滤器会在检索文档进入生成器前逐一筛查，是当前已发表检索增强生成投毒防御的主流方案，并在领域基准上报告近乎完美的检测率。实验表明，这种表现主要由毒样本集的构造方式预测，而非过滤器实际读取的内容：仅移除一个构造线索，就会先摧毁部署决策，再破坏排序。两个无需标签的统计量可刻画该线索：目标问题在毒样本中的逐字包含率，以及长度重叠。PoisonedRAG 发布的代码会在每个插入段落前添加目标问题。调查的 21 次已发表防御评估中，8 次可验证地使用了这种毒样本，5 次以长度线索替代；另有 12 次未报告实际部署工作点的误报率。仅从攻击作者自己的段落中删除此前缀后，目标仍有 0.93 的检索概率，但重新实现的 RAGuard 其 AUROC 从 0.953 降至 0.758，漏报率从 0.191 升至 0.763。在 4 个语料库、4 类攻击和 10 种逐文档防御共享候选集的情况下，该轮廓可预测检测何时饱和。将医学毒样本填充至干净样本长度，并使用不含内容的词序打乱填充词，会使 TrustRAG 的集合级阶段漏报率从 0.000 升至 0.827，自建学习评分器从 0.000 升至 0.986；在匹配 5% 误报率时为 0.321，而其 AUROC 仍保持 0.953。排序仍然存在，决策却已失效。了解防御的攻击者可击败自建评分器，因此不宣称任何防御有效。检测结果只有同时报告毒样本集构造轮廓及实际部署阈值下的误报率，才构成证据；相关轮廓计算脚本将予发布。

Mengying Zhang · Derui Wang · Ibrahim Khalil · 3+

随着监管合规、版权争议和隐私保护推动数据删除需求，大语言模型(LLM)近似遗忘(approximate unlearning)成为昂贵全量重训练的实用替代方案。实践中常保留遗忘前后模型快照用于审计和回滚，形成此前被忽视的侧信道。TRACE 可在无需任何数据特定先验的情况下，利用遗忘前后快照重建已遗忘训练数据。该框架从嵌入层参数差异中识别紧凑候选词元集合以缩小搜索空间，再基于两模型困惑度差异通过对比评分组装序列，并采用“先探索、后补全”的两阶段策略恢复多个不同样本。在 TOFU、MUSE、WMDP 等数据集、多个 LLM 及六种代表性遗忘方法上的实验表明，TRACE 能实现高保真重建，暴露当前近似遗忘部署中的重大隐私风险，也说明有必要防御参数差异泄露并妥善管理模型快照访问权限。

Ilaria Campestrini · Stefano Zanero · Engin Kirda

WebAssembly（Wasm）通过可移植、沙箱化的执行模型，使网页应用获得接近原生的性能。然而，其运行时保护机制有限，例如缺少栈保护值（stack canaries）和地址空间布局随机化（ASLR），使 Wasm 应用易受传统攻击。WADE（WebAssembly Anomaly Detection Engine）用于检测浏览器中运行的 Wasm 应用异常行为。系统监控良性条件下采集的函数级执行轨迹，并训练长短期记忆网络（LSTM），学习各应用的正常执行模式；运行时将偏离已学模式的轨迹标记为潜在攻击。WADE 构建应用特定的行为模型，无需为每种漏洞维护特征签名，因而既能检测已知攻击，也能检测此前未见攻击。在涵盖十类漏洞的 67 个 WebAssembly 应用数据集上，WADE 实现了零漏报和 0.42% 的误报率。

Zifan Peng · Peng Huang · Jingyi Zheng · 4+

AI agent 可通过检查代码和运行测试来辅助智能合约安全，但现有评测可能奖励记忆或复制答案，包括从公开区块链交易中恢复的攻击代码，重构合约与验证任务还需高昂人工成本。CONSTRAINTDIAL 是基于协议变异的智能合约安全任务终身构建框架，可自动完成本地合约重构，并利用攻击执行结果选择对必需调用或输入的修改。执行检查指导修订，使原攻击失败，同时保留可利用性、安全目标与正常功能；新事件和审计发现也采用同一流程。该框架从 203 个公开案例构建了 3,045 个任务输入，覆盖检测、利用和修复。相比仅重构，协议变异使用公开答案时的成功率在三类任务上平均下降 10.9 个百分点，靠复制在线答案解决的任务比例下降 9.3 个百分点。

Yu-Yu Lee · Ming-Feng Tsai · Tomohiro Morikawa · 1+

预训练代码模型面临后门投毒风险：攻击者构造特定训练样本，使模型在触发器出现时产生错误行为。为降低样本数量、成本与暴露风险，并减少防御系统可发现的痕迹，攻击者需精心选择投毒样本。现有数据高效选择方法面向图像分类，无法为自回归生成提供评分机制，也未在代码任务中研究。触发器中和反事实评分（Trigger-Neutralized Counterfactual Scoring，TNCS）通过比较触发输入与触发器中和后的反事实输入，分离触发器对目标行为的贡献，同时适用于分类和生成。在三个 CodeXGLUE 任务、五类触发器及极低投毒比例下，TNCS 的攻击成功率高于基线，且不损害干净任务性能；投毒比例越低，优势越大。该方法是对所有触发器类别均有效的方法，所选投毒样本还可迁移至不匹配的受害模型。

Gejian Zhao · Hanzhou Wu · Xinpeng Zhang

自主 LLM 智能体的来源验证是一项关键安全挑战。现有语义归因易受系统提示混淆，主动水印又与受 schema 约束的工具生成机制冲突。AgentTrace 通过可观察执行轨迹识别黑盒智能体背后的基础模型。该方法注入结构歧义探针，在严格工具接口处触发对分词敏感的序列化失败。初始失败可粗粒度区分不同模型家族，而后续修复操作的时间序列则揭示细粒度、模型特有的恢复行为。以轻量级马尔可夫链对这些多步轨迹建模后，即使面对对抗性身份伪装，归因准确率仍达到 96.0%。顺序修复建模还能区分使用相同 tokenizer 的同族变体，例如 Llama-3 8B/70B，效果显著优于无序行为统计，并对提示混淆与温度缩放保持稳健。

Eric Yocam · Varghese Vaidyan · Paris Kalathas · 3+

使用模型上下文协议(Model Context Protocol，MCP)的智能体 AI 系统，易受不可信工具输出中的间接提示注入攻击。跨模态信任洗白可借最低有效位(least-significant-bit，LSB)、离散余弦变换(discrete cosine transform，DCT)或元数据隐写，将指令隐藏在邮件签名图像中，绕过文本扫描器，并在工具解码后进入多智能体工作流。解码时来源绑定机制结合 HMAC 认证信任标签、MCP 维护的来源账本及上下文污染跟踪，将解码内容标记为不可信，并阻止受其影响的关键工具调用，即使受损智能体替换为有效可信标签也无效。基于真实 MCP 测试平台、3 种隐写载体和 24 个自适应载荷的评估显示，未防御流程攻击成功率达 100%，关键词与正则防御均允许 62.5% 的攻击成功；该机制阻断全部攻击，成功率为 0%，并涵盖跨中介智能体边界的对抗性标签替换。四组件消融实验验证了解码标记、密码学认证、来源链跟踪和接收点执行的作用。经审计的可信提升机制将合法任务完成率从 67% 提升至 100%，且不削弱防护。该方法可在完全由 MCP 中介的执行环境中提供与载体无关的遏制能力。代码与数据已公开。

Tiffany Bao · Shangtao Li · Yifan Sun · 4+

随着人形机器人从研究实验室走向家庭、医院和仓库等以人为中心的环境，在人员与物体附近安全运行成为基本要求。安全过滤器通过数学保证控制动作不会引发碰撞，因而成为应对该问题的重要技术。相关保证仅在安全参数配置正确时成立，而参数配置依赖具体任务与环境，目前尚无通用方法可在多样部署中确定这些参数。因此，人形机器人附带的安全过滤器可能在部署后的特定场景中失效。攻击者只需通过普通用户交互即可利用这些失效，无需额外权限或能力。研究提出目标插入攻击，并开发自动化工具 SIREN，用于为给定任务与环境识别可导致插入目标脆弱性的攻击方案。实验表明，SIREN 在 SPARK 数据集的全部脆弱场景中均识别出攻击，发现的攻击数量是基线方法的 3 倍；还可针对真实人形机器人生成攻击，使机器人在执行任务时发生碰撞。结果显示，当前安全过滤器会引入可利用漏洞并导致安全违规，揭示现有安全机制本身可能成为人形机器人的安全风险来源。

Junhao Wang · Yidou Chen · Li Lu · 4+

全模态大语言模型(OLLMs)推动了人与人工智能之间日益无缝的交互，但对异构模态的统一处理也扩大了攻击面，使对手能够利用更丰富的输入组合绕过安全对齐。为此，全模态护栏被用于检测并过滤任意模态中的不安全查询。由于缺乏综合评测基准，其能力与局限仍未得到充分认识。Omni-UBench是首个全模态安全评估综合框架，从安全性、效用性和可靠性三个关键维度评测护栏模型。该基准汇集来自35种以上异构来源的超过183k个样本，涵盖文本、图像、音频、视频及其跨模态组合，并依据统一风险分类体系标注安全标签。基于Omni-UBench对15个代表性OLLMs及全模态护栏的评测发现：现代OLLMs即使未经护栏专项调优，也表现出较强的内容审核潜力；现有护栏仍难以识别隐藏有害意图的跨模态查询或复杂越狱攻击；其还存在明显的安全幻觉和对文本模式过度敏感的问题，反映出对跨模态安全语义的理解不足。这些发现为未来开发更可信的全模态护栏提供了参考。

Utkarsh Kanwat

安全护栏会在 LLM 应用执行内容前进行检查，而多数应用将内容粘贴进纯文本提示词。模仿提示词的内容可追加第二个任务，使护栏转而评判该任务；这种现象称为目标重绑定(target rebinding)。其解释是护栏会评估输入中最后一个完整任务，攻击则用无害诱饵充当该任务，使有害请求原样通过。在预注册测试中，追加伪造查询与诱饵后，Shieldstral-1.0-3B 标记的 75 个留出 AdvBench 请求均被绕过。护栏并未被说服：要求忽略上方文本的指令未能清除任何请求，后续运行中加入有害诱饵还会阻断攻击。在 GuardRebind benchmark 上，针对每种护栏选择的攻击族可清除其至少 93% 的标记项。目标重绑定最能解释 Shieldstral 与 gpt-oss-safeguard 上的现象；ShieldGemma 和 Llama Guard 3 分别部分依赖通用规避与尾随文本，Qwen3Guard 主要受整项任务伪造影响。训练护栏按内容中最有害的部分评分后，在留出攻击族、诱饵和伪造查询上，攻击成功率从 75% 降至 0.8–1.6%。所有攻击都在请求后追加伪造结构；留出诱饵评估是在首轮测试后加入的。干净 AUROC 最多下降 0.01，但非劣效性检验结论不确定。得分引导搜索仍在 50 项中的 47 项优于训练后的护栏，通常会将伪造结构放在请求之前。搜索获胜项中约一半还找到了不含伪造结构、可绕过护栏的良性文本。