🔒 LLM 安全¶

🎞️ ECCV2026 · 20 篇论文解读

📌 同领域跨会议浏览： 📷 CVPR2026 (12) · 🔬 ICLR2026 (184) · 💬 ACL2026 (115) · 🤖 AAAI2026 (41) · 🧠 NeurIPS2025 (81) · 📹 ICCV2025 (10)

🔥 高频主题： 多模态 ×9 · 对抗鲁棒 ×8 · LLM ×2

BBQ-V: Benchmarking Visual Stereotype Bias in Large Multimodal Models: BBQ-V 用真实多人图像和信息不足的开放式问题评测多模态模型是否作出缺乏依据的群体归因；其 4,497 张图像组成 14,144 个图像—问题对，图像输入消融表明“看得更多”不等于判断更审慎。
DualTAP: A Dual-Task Adversarial Protector for Mobile MLLM Agents: DualTAP 在手机截图上传前施加面向任务的对抗扰动，用对比注意力定位隐私敏感区域、用双任务目标保留正常操作能力，在 PrivScreen 上将 GPT-5 的泄露率从 97.14% 降至 23.33%，同时将任务准确率维持在 91.00%。
Towards Benign Memory Forgetting for Selective Multimodal Large Language Model Unlearning: 提出"良性记忆遗忘"新范式与 S-MLLMUn Bench 评测基准，并设计 SMFA（Sculpted Memory Forgetting Adapter）框架，通过保留锚点引导的参数掩码精确抹除 MLLM 中的隐私敏感知识，同时不损伤模型的基础视觉理解能力。
Attention Misses Visual Risk: Risk-Adaptive Steering for Multimodal Safety Alignment: MoRAS 用简短图像描述改善多模态风险识别，再依据风险分数对原始请求的早期响应激活施加拒绝引导，在 LLaVA-1.5-7B 上将 MM-Safety 的攻击成功率从 40.1% 降至 2.6%，同时保持表中通用任务总分。
SlowBA: An efficiency backdoor attack towards VLM-based GUI agents: SlowBA 首次提出针对 VLM-based GUI agent 的效率后门攻击：通过两阶段奖励级后门注入（RBI），在 SFT 中教会 agent 生成超长回复、再在 RL 中用触发感知的奖励函数区分带触发器/干净输入，使 agent 在遇到弹窗类触发器时产生极高延迟响应，而任务准确率基本不变。
Rethinking Visual Privacy: A Compositional Privacy Risk Framework for Severity Assessment with VLMs: 本文把视觉隐私从「图像是否私密」的二分类改成组合式分级风险估计：提出按独立可识别性与组合危害潜力分层的四级 CPRT 分类体系、一个满足字典序占优的连续严重度评分函数，以及一个 6.7K 图像 / 22 属性的标注数据集；在 8 个开放与前沿 VLM 上的评测显示，前沿模型在给定 taxonomy 时能较好对齐组合式严重度（Gemini 3 Flash ρ=0.872），却系统性地低估由聚合产生的中间风险，而一个 8B LoRA 微调模型能把这一能力蒸馏到可端侧部署的规模。
Safe Responses Matter: Output-Aware Safety Guardrail Mitigate Over-Refusal in MLLMs: OutGuard 不再因输入敏感就直接拦截，而是用实际回答的安全标签训练隐藏状态分类器，通过多实例对比学习和跨层投票识别真正有害的输出，在同分布测试中把两种 MLLM 的 ARSP 降至 0.0749 和 0.0634，但仍存在漏检、分布外退化与较高的困难良性查询误拒率。
GEO-Detective: Unveiling Location Privacy Risks in Images with LLM Agents: 本文提出模拟人类推理与工具调用行为的图像地理位置推断智能体 GEO-Detective，通过自适应难度评估、经验增强提示词、特征分割以及视觉反向搜索，系统揭示了多模态大模型智能体在图像地理位置隐私推断上的严重泄露风险。
Learning to Compose: Revisiting Proxy Task Design for Zero-Shot Composed Image Retrieval: FoCo（Focus-then-Complete）将零样本组合图像检索（ZS-CIR）中的视觉-文本组合建模为可学习的"先聚焦后补全"两阶段过程，通过文本锚定的视觉聚合和上下文条件化的语义补全两个代理任务联合训练，配合跨实例对比损失防止捷径学习，在四个 ZS-CIR 基准上全面超越已有方法，且推理时不依赖 LLM。
Neural Gate: Mitigating Privacy Risks in LVLMs via Neuron-Level Gradient Gating: 本文提出 Neural Gate，一种神经元级梯度门控的 LVLM 隐私风险缓解方法。核心思路是先通过可学习向量在隐私主体特征上测量各神经元对隐私目标的贡献一致性，将神经元分为强激活、弱激活、非激活三类，再在模型编辑时仅对强激活隐私神经元的梯度做参数更新，其余神经元梯度被截断。在 MiniGPT 和 LLaVA 上，Neural Gate 在敏感查询拒绝率超过 94% 的同时几乎不损失通用任务性能，且在分布外隐私类别上展现出强泛化能力。
ReShift: Aha-Moment-Driven Reasoning-Level Backdoor Attacks on Vision-Language Models: ReShift提出一种面向视觉语言模型的推理层后门攻击方法，利用强化学习激发的"啊哈时刻"（aha moment）认知行为，在推理轨迹中诱导可控转向，在保持推理逻辑连贯性的同时将预测结果重定向到预设目标答案，比传统输出层后门攻击更难被检测。
TrustCLIP: Learning Private Visual Features via Adversarial Reconstruction: 针对基于扩散模型的特征反演攻击能够从冻结 CLIP 嵌入中高度还原敏感原始图像的严重泄露风险，TrustCLIP 提出在编码器后插入一个恒等初始化的轻量残差投影层，通过联合优化下游任务效用损失与生成攻击者的重构误差，选择性消除实例级细节信息，在仅损失极微弱任务性能的前提下显著削弱图像重构保真度。
Bridging Theory and Practice in Source-Free Domain Adaptation via Adversarial Proxy Perturbation: 针对无源领域自适应（SFDA）中传统理论依赖难以处理的联合误差项且现有方法强依赖启发式伪标签与分类器架构限制的问题，本文提出基于有限可实现性假设的目标误差泛化上界，并设计对抗代理摄动（APP）与多源视觉语言模型互蒸馏机制，在无需源域数据和分类器权重归一化约束下实现稳定收敛与 SOTA 性能。
CogniCred: A Dataset and Benchmark for Cognitive Credential Forgery Detection: 针对生成式 AI 时代凭据伪造在像素级“天衣无缝”但存在高阶语义与逻辑冲突的新挑战，本文构建了首个涵盖 16,000+ 样本的大规模认知凭据伪造数据集 CogniCred 与评测基准 CogniCredBench，评测揭示当前前沿 MLLM 普遍存在严重的“文字重度依赖而无视视觉结构异常”的认知缺陷。
COVERT: Privacy-Preserving Covariant Obfuscation for VLMaaS via Exact Reparameterization and Tailored Tuning: 针对视觉语言模型云端推理（VLMaaS）中的用户视觉提示隐私泄露风险，提出首个专为多模态架构定制的协变混淆框架 COVERT，通过卷积分块的零空间扰动、加性偏置的增维重参数化与浅层 ViT 注意力的定制微调，在保持端到端精度损失低于 3%、吞吐开销低于 6% 的同时彻底抵御特征与隐状态反演攻击。
Do Multimodal LLMs Understand Intraoral Dental Data? Dataset, Platform, and Baselines: 针对通用多模态大模型在口腔正畸领域缺乏三维几何感知与临床忠实度的问题，本文构建了包含 1,000 名患者真实上下颌对齐三维口内扫描、5,000 张标准化口内照和 2,403 份专家报告的多中心基准数据集，开源了端到端隐私采集与标注平台 YGGDRASIL，并提出了融合 PointTransformer 与 Qwen3-VL 的点云几何感知基线 IOS-Qwen。
Open Your Eyes: Benchmarking the Detection of Fabricated Realities and Weaponized Ethics in VLMs: 本文构建了包含 2,600 个逼真视觉样本的 M-IPI 基准，通过严格受控的视觉（VL）与纯文本（LM）成对评测，揭示了视觉渲染会抑制模型批判性评估的“视觉权威效应”，并首次系统证明对抗者可利用虚构的合规与公平伦理指令武器化模型的对齐先验，实现超过 80% 的智能体越权攻击成功率。
PACO: Stabilizing Vision Embeddings along Local Paths for Robust Vision-Language Models: 针对视觉语言模型中视觉编码器易受对抗扰动导致语义漂移的问题，PACO 提出先锚定对抗端点再沿局部扰动路径渐进线性插值正则化的两阶段无监督对抗微调框架，在零标注和极低计算开销下显著提升多尺度攻击鲁棒性并大幅减轻干净样本性能退化。
Prefill-Time Interventions against Adversarial Attacks on Large Vision-Language Models: 提出首个在 Prefill 阶段探测 LVLM 内部表征状态的轻量级对抗检测防御框架 PTI，通过在视觉编码器提取空间异常和在语言模型骨干追踪显著 token 演化轨迹不一致性，在未生成任何输出 token 前实现毫秒级拦截，平均 AUC 达 0.98 且推理开销比现有方案降低 10 倍以上。
VLMSysTrojan: Stealthy System-Aware Backdoor Attacks Against Vision-Language Models: 针对视觉语言模型在云端验证与端侧部署时底层计算内核的不一致性，本文提出首个利用浮点运算非结合重排误差的系统级后门攻击 VLMSysTrojan，使模型在云端检验中完全保持良性休眠，而在目标端侧内核部署时达到约 99% 的后门触发成功率。