Agent安全微调、多模态推理审计与代码生成检索增强

今天从 arXiv 精选了 8 篇值得关注的 AI/ML 论文，涵盖检索安全（针对神经排序模型的投毒攻击）、智能体效率与错误诊断、视频时序推理基准、多模态无人机控制、预测多重性与审计、代码生成检索增强以及 LLM 安全对齐的脆弱性等方向。

1. VerTox：针对神经排序模型的可验证奖励制语料投毒攻击

作者: Zhiqi Huang, Vivek Datla, Zhichao Xu, Puxuan Yu, Vivek Srikumar 等 | 分类: cs.CL, cs.IR 链接: arxiv.org/abs/2609.01325v1

神经排序模型已成为现代信息检索系统的核心组件，也是 RAG 等 AI 系统的重要构建模块。然而，当面对能够大规模生成流畅且具有欺骗性内容的 LLM 时，其鲁棒性仍未得到充分认识。本研究探讨了神经排序模型对语料投毒攻击的脆弱性——在这种攻击中，攻击者向语料库中注入少量恶意构造的文档，以扭曲排序行为。我们提出了 VerTox，这是首个将语料投毒问题形式化为可验证奖励引导强化学习（RLVR）问题的框架。通过专门的奖励塑形将排序扭曲与事实性破坏显式耦合，我们微调了小型 LLM 使其成为对抗性生成器。实验表明，我们的方法实现了接近完美的攻击成功率，生成的对抗性文档在多种主流神经排序架构以及专有商业嵌入模型上，其排名常常高于目标文档。生成的对抗性文档流畅且困惑度低，难以被检测。此外，通过显式鼓励事实性破坏，我们的对抗性文档显著降低了下游 RAG 应用的性能。

点评: 该研究揭示了检索系统在 LLM 时代的新攻击面，将投毒攻击形式化为 RLVR 问题的方法颇具新意，对 RAG 安全有重要警示意义。

2. TRIAGE：面向高效执行的三级路由与智能体引导

作者: Ruocan Wei | 分类: cs.LG 链接: arxiv.org/abs/2609.01428v1

基于 ReAct 范式的 LLM 智能体在工具使用和任务执行方面表现出色，但其存在根本性的效率问题：每次查询都会触发完整的推理循环，相似查询会重复相同步骤而无法利用历史经验。我们提出 TRIAGE，一个通过复用历史执行轨迹来减少 token 消耗的三级路由框架。其核心创新是 TaaS（轨迹即技能），将历史执行轨迹抽象为可复用技能，实现了”经验即服务”。TRIAGE 将查询分为三个级别：直接复用、技能替换（通过确定性参数替换0 token执行）以及完整的 ReAct 流程（自动存储以供未来复用）。在 1007 条安全监控查询的大规模实验中，TRIAGE 实现了 62.3% 的 token 节省，其中 56.0% 的查询处于技能替换级别，5.5% 处于直接复用级别，均实现零成本执行。在 ToolBench 上的跨领域验证（15个领域，345个查询）实现了 76.3% 的 token 缩减，证实了语义路由的泛化性。在线学习实验展示了从冷启动到成熟的过程：技能替换命中率在前 100 个查询内从 0% 升至 57%，平均 token 成本从 198 降至 74.7。我们还提出了一种自动技能提取机制，将高频轨迹模式提炼为确定性技能，形成”越用越高效”的正反馈循环。

点评: TRIAGE 通过”轨迹即技能”的思路直击 ReAct 范式 token 开销大的痛点，三级路由设计与详实的数据使其成为提升 LLM 智能体执行效率的实用方案。

3. EDGE：基于错误依赖图的多智能体 LLM 系统多错误归因

作者: Jun Hou, Priya Pitre, Yi Fang, Xuan Wang | 分类: cs.AI 链接: arxiv.org/abs/2609.01360v1

LLM 智能体的失败往往包含多个相互关联的错误，而非单一失误。现有归因方法通常识别出责任智能体、步骤或根因，但未显式建模错误之间的依赖关系。我们介绍 EDGE，一个错误依赖图引导的多错误归因框架。EDGE 从观察到的错误事件构建错误依赖图，并通过反事实推演验证可靠的因果子集。该推断图引导一个两阶段 LLM-as-judge 检测器进行错误归因，而经过干预验证的子图为解释和修复分析提供了更可靠的基础。在 TRAIL 和 MAST 上的实验表明，EDGE 在大多数评估模型和设置中提升了类别级多错误归因性能。与 Who&When 风格提示的对比实验显示，该图在不同提示策略下均能提供帮助。这些结果表明，依赖结构是智能体失败的一种有用的诊断先验，其价值超越了孤立的根因预测。

点评: 将错误归因从”找根因”升级到”理依赖”，EDGE 构建的错误依赖图与反事实验证的组合方法，为理解和调试复杂多智能体系统提供了更系统化的新视角。

4. TempCloze：Video-LLM 能否识别缺失的中间片段？

作者: Wenqi Pei, Henry Hengyuan Zhao, Yilai Liu, Jiahao Meng, Han Chen 等 | 分类: cs.CV, cs.AI 链接: arxiv.org/abs/2609.01515v1

针对 Video-LLM 的时间推理基准常常通过语言为中介，为选项措辞、答案相关性或语言先验等捷径留下空间。为减少此类捷径，我们引入 TempCloze，一个用于评估 Video-LLM 视觉时间推理的视频完形填空基准。给定视频的开头和结尾片段，模型必须从四个候选项中识别出真实缺失的中间片段。TempCloze 包含来自七个来源的 1521 个精心筛选的视频，主要是长镜头和第一人称视频。我们沿三个维度构造同源干扰项：语义测试应该发生什么事件，对齐探测事件应何时发生，进展测试事件应如何展开，同时共享场景和物体以减少外观线索。我们对 10 个专有和 21 个开源 Video-LLM 的评估揭示了对齐是最主要的瓶颈：模型通常能识别合理的语义内容和局部事件进展，但在时间对齐上存在困难。我们进一步在 TempCloze-Mixed 和 TempCloze-Hard 上使用四个代表性模型进行了错误模式和敏感度分析，以探究错误产生的根源以及候选顺序、上下文方向、可见跨度、帧密度和测试时扩展对模型选择的影响。

点评: 通过设计”缺失中间片段”的完形填空任务并构建语义、对齐、进展三个维度，TempCloze 精准地剥离了语言捷径，揭示了视频模型时间推理的真正短板。

5. 评估多模态 LLM 作为无人机控制的通用视觉-语言-行动智能体

作者: Jaewoo Park, Minyoung Lee, Sukmin Seo, Moonbin Yim, Hyunwook Yoon 等 | 分类: cs.RO, cs.AI 链接: arxiv.org/abs/2609.01404v1

多模态大语言模型是图像和视频的强大感知器。我们探究这种能力在多大程度上能延伸到行动层面：直接将 MLLM 放入无人机控制回路，其整个动作空间仅在提示中声明。最近的系统正接近这一设定，但越来越限制模型的决策。我们将其重新拓宽。我们介绍 DroneCATS-Agent，一种将 MLLM 作为可替换组件的架构，以及 DroneCATS，一个将模型作为自变量的基准。除了简单飞向某个像素，该智能体还委托模型进行偏航和搜索、在不确定时进行思考并自行声明到达，全程无需微调或函数调用架构。对前沿和开放模型的评估覆盖四项核心能力，结果显示即便是最简单的具身设置也远未解决。关键的是，为找出最先失效的环节，我们的测试对象下探到 2B 参数模型。结果揭示了一个鲜明的悖论：失败不在于飞行本身。小型开放模型通常比前沿模型更可靠地导航至成功半径内，却因过早声明到达或根本不声明而失败。多无人机指挥放大了这一差距，小型模型会盲目地将单一坐标复制到不同视角中。作为视觉-语言-行动智能体，模型的空间感知尚可，但其行动协议并不可靠。区分可部署边缘模型与前沿模型的关键不是导航能力，而是维持既定协议并发出正确终止动作的纪律性。亟待解决的问题是如何在机载计算成本下弥合这一差距，DroneCATS 正是为衡量这一距离而构建。

点评: 该研究清晰地揭示了”感知易、协议难”的结论：无人机控制失败的关键并非导航，而是模型坚持协议并正确终止动作的能力，为边缘端具身智能研究指出了真正瓶颈。

6. 通过集成边际与局部预测变异性衡量一致性：在预测多重性存在时审计决策系统

作者: Sinjini Banerjee, Tim Marrinan, Anand D. Sarwate | 分类: stat.ML, cs.AI, cs.LG 链接: arxiv.org/abs/2609.01397v1

Rashomon 效应是机器学习中的一种现象：同等准确的模型会对相同输入产生不同预测。现有工作主要关注单个模型内的多重性，但在更复杂的决策系统中，Rashomon 效应的影响尚未得到充分理解。在本研究中，我们从审计错误集成预测的角度审视多重性，即将实例转交人工复核的决定基于一个结合集成边际和每个组成模型局部预测变异性的度量标准。在稳定性和平滑性的温和假设下，我们证明当集成规模与样本数量增加时，有限集成的评分会收敛到 Rashomon 集中期望模型对应的评分。为验证所提标准的有效性，我们在自然语言理解任务的 Transformer 模型和表格数据分类的 LLM 参数高效微调上评估了该框架。实验表明，与审计单个模型相比，对 Rashomon 集的集成显著降低了错误预测失控的风险，且转交数量的增加适中。此外，全 Rashomon 集的审计行为可通过规模适中的有限集成来近似，某些数据集的风险趋近于零。我们进一步证明，所提度量与既有预测多重性指标的一致性优于现有的度量标准。

点评: 将预测多重性的研究从单模型扩展至决策系统审计，该文提出的基于一致性的分流标准在保障模型可靠性与控制人工复核成本之间取得了良好平衡。

7. ACToR：面向代码库级代码生成的自适应关键 Token 感知检索

作者: Kefeng Duan, Dewu Zheng, Yanlin Wang, Terry Yue Zhuo, Mingwei Liu 等 | 分类: cs.SE, cs.AI, cs.CL 链接: arxiv.org/abs/2609.01601v1

代码库级别的代码生成任务要求生成的代码满足任务需求，同时与目标仓库上下文保持一致。由于现实世界的仓库通常超出 LLM 的输入长度限制，现有方法普遍采用检索增强生成来提供仓库特定上下文。尽管改进了仓库上下文的检索，现有方法通常提供任务级支持，而未显式识别在生成期间需要精细仓库上下文的关键 token。在 LLM 的自回归生成过程中，错误常集中在少量决定性位置：一旦此类 token 生成错误，后续代码可能走向错误的语义路径并最终导致功能失效。我们将这些位置称为”关键 token”。本文提出 ACToR，一种自适应的关键 token 感知检索框架，用于代码库级代码生成。ACToR 在生成过程中识别关键 token，并按需触发定向检索，在这些决定性位置提供仓库上下文。此外，我们为密集检索器设计了位置感知加权方法，优先考虑对生成更有信息量的上下文。在 RepoExec 和 CoderEval 两个代表性基准上的评估表明，ACToR 持续优于现有最佳方法，在 RepoExec 上取得 8.4% 的相对提升，在 CoderEval 上取得 15.4% 的提升。除性能提升外，我们系统量化了关键 token 的影响，揭示了其在主要生成失败中的核心作用，并凸显了定向检索策略的必要性。

点评: 首次将”关键 token”概念引入代码生成检索，ACToR 在生成的关键时刻触发精准检索，有效解决了仓库级代码生成中上下文粒度不足的性能瓶颈。

8. 当安全路由失效：良性微调下对齐脆弱性的理解

作者: Yitong Guo, Xiaoyi Chen, Siyuan Zhang, Xiaofeng Wang, Haixu Tang | 分类: cs.CR, cs.AI 链接: arxiv.org/abs/2609.01455v1

良性微调会严重削弱 LLM 的安全对齐，我们研究为何拒绝行为如此脆弱。既有工作常将此归因于梯度冲突，我们提出一个根本不同的 Fisher 几何解释：安全 Fisher 信息矩阵是低秩的，对齐使安全几何变得更平坦，同时保留了一条输出路由通路。经过 100 个良性微调样本后，该通路在输出侧的 MLP 模块中被选择性重新锐化，解释了这种不对称的脆弱性：安全能力可崩溃至较高的攻击成功率，而通用能力仅轻微下降。路由视角也解释了为何少量安全样本即可恢复拒绝行为，这表明内部安全相关表示得以保留。最后，我们证明 LoRA 和 ASAM 通过抑制输出侧锐化来缓解早期崩溃，但其保护在更大的微调规模下会减弱。总体而言，安全失效最好被理解为一种低秩输出路由机制的紊乱。

点评: 跳出传统的梯度冲突解释，该文提出 Fisher 几何视角，将安全对齐崩溃归因于输出路由通路的低秩性质，为理解 LLM 对齐脆弱性及设计更鲁棒的微调策略提供了全新理论框架。

本内容由 AI 辅助生成，论文信息来源于 arXiv。