每日 AI 论文简报｜2026 年 10 月 1 日
重点关注
本期从 18 篇候选中选出 6 篇重点阅读。重点论文已核阅 arXiv 摘要页和公开 PDF；数字和结论均为作者报告，未做独立复现。阅读 AI benchmark 时，应区分基准分数与真实能力，并检查基线公平性、数据污染、可复现性和算力成本。
1. EnterpriseBench：企业级战略推理不能用静态问答代替
- 论文：EnterpriseBench: Benchmarking LLM Agents on Enterprise-Level Strategic Reasoning and Decision-Making（arXiv:2609.37658）
- 作者：Min Yang、Yichen Pan、Jinghua Piao、Dandan Song、Yongshun Gong、Yong Li
- 来源与链接：arXiv · cs.AI · 摘要页 · PDF · 代码
- 证据状态：已核阅公开 PDF；所有结果是论文报告，未做独立复现。
核心问题。 企业决策不只是从一个知识库里找答案，而是在多轮交互、约束冲突和动态反馈中选择行动。EnterpriseBench 追问：在咨询、竞争性经营和企业数字孪生这类任务里，LLM agent 是否真的具有可迁移的战略推理能力？
方法与基线。 论文把静态问答重新组织为四类能力，并提供 Consulting、Beer Game、Enterprise Digital Twin 三个交互任务；测试 9 个 agent 和 4 个基础模型。结果同时看最终决策、适应性和提示扰动下的稳定性，并比较 AOA、ACE 等 agent 方案，而不是只报一次问答准确率。
作者报告的主要结果。 在作者的设置中，AOA 得分 0.729，ACE 得分 0.725；提示扰动下的最大分数偏差为 0.12。基准难度与人类判断的 Pearson 相关系数达到 0.96。论文还报告，传统 QA 上的优势不能稳定迁移到交互式战略任务，说明“会答题”与“会在企业环境中连续决策”不是同一个能力。
创新、局限与失败条件。 贡献是把交互轨迹、反馈适应和跨任务能力放进一个企业决策 benchmark，而不是把长上下文当成战略能力的代理指标。局限包括：任务和环境仍由 benchmark 设计者定义，不能替代真实组织中的权限、数据质量和利益冲突；9 个 agent、4 个 backbone 的覆盖有限；即使代码公开，环境状态和评测规则也需要逐项复核，不能把分数直接当作生产成功率。模型可能通过熟悉任务模板获益，仍需做训练数据污染检查。
适合谁读、怎么读。 适合企业 agent、决策支持、交互式评测和工具调用研究者。建议先读任务定义与评分协议，再读主结果和提示鲁棒性分析，最后看失败轨迹、消融和局限性章节。
2. SQUARE-Bench：图像质量评审本身也需要被评测
- 论文：Evaluating the Evaluators: Diagnosing Large Multimodal Models for AI-Generated Image Assessment（arXiv:2609.37576）
- 作者：Yu Zhao、Jiarui Wang、Huiyu Duan、Ye Zhao、Jutao Tang、Juntong Wang、Guangtao Zhai、Xiongkuo Min
- 来源与链接：arXiv · cs.CV · 摘要页 · PDF
- 证据状态：已核阅公开 PDF；结果是作者在 SQUARE-Bench 上的报告，未做独立复现。
核心问题。 大型多模态模型常被拿来评价文生图和图像编辑结果，但“评价者”本身可能看不出语义错误、细节退化、真实性问题或责任风险。论文问的是：如何系统诊断 LMM 作为图像评审者时到底错在哪里？
方法与基线。 SQUARE-Bench 把评审拆成语义、质量、真实性、责任四个方面和 38 个子维度，包含约 1 万张由 22 个文生图模型生成的图像、3000 多张真实图像和约 1.8 万条问答标注。作者比较 23 个 LMM，并加入混合生成器、真实图像和迭代编辑设置，用来区分“模型识别能力”与“只熟悉某个生成器风格”。
作者报告的主要结果。 论文报告 Gemini-3-Pro 的总体表现比最佳人工评审高约 8 个百分点，但多数模型整体水平仍接近 60%；在 Mixed-Generator 设置下总体分数降至 26.72%。迭代编辑并不总是变好：部分语义维度改善时，图像质量维度反而下降。这说明单一总体分数会掩盖评审器在不同错误类型上的不对称。
创新、局限与失败条件。 价值在于将“生成模型评测”和“评测模型评测”拆开，并用跨生成器混合来测试泛化。局限是人工标签、问题构造和四类维度仍由作者的规范决定；闭源 LMM 的版本、提示和推理配置影响可复现性；约 1 万张合成图也不能覆盖真实生产中所有编辑链和文化语境。若训练数据包含相同生成器或公开 benchmark，数据污染会高估能力，论文分数不能直接解释为可靠的内容审核能力。
适合谁读、怎么读。 适合多模态评测、图像生成产品和内容审核研究者。建议先读 38 个子维度与数据构造，再读跨生成器主表和迭代编辑消融，最后看人工一致性、污染风险和局限章节。
3. ThinkingGuard：从“看起来危险”转向归因隐含风险触发器
- 论文：ThinkingGuard: Decoding Implicit Hazards via Step-by-Step Risk Attribution in Multimodal Large Language Models（arXiv:2609.36562）
- 作者：Ruochen Zhang、Yao Huang、Yitong Sun、Jiahe Xie、Jin Yan、Jifan Ma、Yuanfang Guo、Xingxing Wei
- 来源与链接：arXiv · cs.CV · 摘要页 · PDF · 代码 · DOI
- 证据状态：已核阅公开 PDF；安全指标和训练成本均为作者报告，未做独立复现。
核心问题。 多模态安全风险往往不是单个词或单个物体触发的，而是由图像、文字和逐步推理共同构成。ThinkingGuard 试图让模型识别“哪一步、哪个视觉或文本触发器”把一个看似普通的输入变成隐含危险，而不只给出安全/不安全标签。
方法与基线。 TriggerBench 含 5600 个图文对，覆盖 9 个安全维度；其中 2800 个不安全样本通过反事实替换生成匹配的安全样本，训练/测试为 3864/1736。作者以 Qwen3-VL-8B-Instruct 为骨干，使用深度 5、分支 2、30 次迭代的 SA-MCTS 搜索隐含风险归因，再用 LoRA-DPO 训练。比较 GPT-5.1、Claude-Sonnet-4.6、OpenAI Moderation、LlamaGuard3-Vision、ShieldVLM、GuardReasoner-VL、HiddenDetect、JailDam 等基线，并在 MSSBench、VLSBench、SafeBench、MMSafetyBench、JailbreakV 上测试泛化。
作者报告的主要结果。 在 TriggerBench 上，ThinkingGuard 的平均 F1/Recall 为 0.764/0.866；对比 GPT-5.1 的 0.642/0.619、Claude 的 0.676/0.587 和 ShieldVLM 的 0.634/0.744。其他五个基准的准确率分别为 MSSBench 0.718、VLSBench 0.927、SafeBench 0.933、MMSafetyBench 0.924、JailbreakV 0.914。消融中去掉分析步骤后召回率从 0.749 降至 0.505；未经训练的 Qwen 为 0.588，只有 SFT 时准确率 0.683，加入 step-DPO 后完整模型为 0.784。作者报告搜索阶段约 352 秒/样本、单张 A100，训练 LoRA-DPO 使用 4 张 A100-80GB 约 90 分钟；推理端约 3.5 秒、352 tokens，与 ShieldVLM 的 3.7 秒、381 tokens 接近。
创新、局限与失败条件。 贡献是把安全识别从表面分类改成逐步归因，并用反事实成对数据测试触发器是否真的重要。主要局限是搜索成本高，数据的反事实替换未必覆盖真实攻击者；安全维度和标签仍依赖作者的标注规则；基线中有闭源模型，硬件、提示和版本差异会影响公平性。离线 F1/召回率不等于真实应用中的拒答质量，过度拒答和攻击者适应也需要单独测量。
适合谁读、怎么读。 适合多模态安全、可解释拒答和推理时防御研究者。建议先读 TriggerBench 构造与风险归因定义，再读 SA-MCTS/step-DPO 训练和主表，最后看消融、推理成本及跨基准失败案例。
4. BRIDGE：把检索收益归因到“哪一次检索”
- 论文：BRIDGE: Bilevel Retrieval-Credit-Aware Agentic Reinforcement Learning（arXiv:2609.36505）
- 作者：Quan Xiao、Mingda Liu、Gaowen Liu、Katsuki Fujisawa、Tianyi Chen
- 来源与链接：arXiv · cs.AI · 摘要页 · PDF · 项目页
- 证据状态：已核阅公开 PDF；结果是作者报告，未做独立复现。
核心问题。 Agentic RAG 的答案质量既取决于最终语言模型，也取决于多轮检索动作；把最终奖励平均分给所有检索步骤，会让检索器学不到哪些查询真正有用。BRIDGE 问的是：能否用检索信用分配同时训练查询侧检索器和回答策略？
方法与基线。 BRIDGE 是双层检索策略：内层用 RAG likelihood 更新 LoRA 检索器，外层用检索回合级 credit 训练 LLM policy，并以 GRPO 优化 agent。实验覆盖 7 个开放域问答数据集和 5 个医学问答数据集，使用 Qwen2.5-3B/7B 与 E5 检索器，比较 VT-Search、M-Avg 等方法。开放域训练使用 2018 年 Wikipedia，医学任务作为域外评估。
作者报告的主要结果。 在开放域问答中，Qwen2.5-3B 的 BRIDGE 平均分为 41.5，对 VT-Search 的 34.4；Qwen2.5-7B 为 48.2，对 45.9。作者还报告多跳任务的 EM 相对基线提升分别为 9.6 和 3.4 个百分点，记忆占用下降 49.7%，检索器更新时间下降 55.8%。医学任务的宏平均推理分为 72.27，对 VT-Search 的 69.97；答案准确率 70.72，对 69.13；微平均推理分为 66.29，对 64.07。
创新、局限与失败条件。 亮点是把检索动作作为可归因的决策，而不是把 RAG 当成一次静态 top-k。局限包括：训练知识固定在 2018 年 Wikipedia，不能证明对实时网页、企业私有库或临床决策有效；医学“域外”结果仍是 benchmark，不是临床安全性；RL 训练、检索器更新和评测 harness 的成本与稳定性需要独立复核。若奖励模型或答案判定有偏，credit assignment 可能只学到 benchmark 的捷径。
适合谁读、怎么读。 适合 agentic RAG、检索器训练和 RL for LLM 研究者。建议先看双层目标与检索信用定义，再读开放域/医学主表、跨域设置和效率消融，最后看奖励噪声与失败案例。
5. Trojan Hippo Bench：持久记忆攻击会把一次性漏洞变成长生命周期风险
- 论文：Trojan Hippo Bench: A Dynamic Benchmark for Persistent Memory Attacks and Defenses in LLM Agents（arXiv:2605.01970）
- 作者：Debeshee Das、Julien Piet、Darya Kaviani、Luca Beurer-Kellner、Florian Tramèr、David Wagner
- 来源与链接：arXiv · cs.CR · 摘要页 · PDF · 代码 · DOI
- 证据状态：已核阅公开 PDF；攻击成功率和防御效用均为作者报告，未做独立复现。
核心问题。 带记忆的邮件 agent 可能把恶意内容写进跨会话记忆，在很久之后才被触发。传统一次性 prompt-injection 测试看不到这种时间维度。Trojan Hippo Bench 问的是：攻击能否跨越许多正常会话持续存在，以及防御如何在安全和助手功能之间取舍？
方法与基线。 作者用动态 OpenEvolve red-teaming，针对邮件助手测试 explicit memory、Mem0、RAG 和 sliding-window context 四种记忆后端；攻击包括写入、触发、跨会话持久化和转移。防御比较 user-prompt-only、no-untrusted-write、limit-memory-length 以及具有信息流保证的 provable IFC，并观察 AM/HM 等助手任务效用。
作者报告的主要结果。 无防御时，触发会话数 N=100 后的攻击成功率最高可达 85%–100%，且能跨越 100 多个良性会话。按作者给出的模型/后端示例，Gemini 3.1 Pro 的 explicit、Mem0、RAG、context 成功率分别为 85%、85%、85%、100%；GPT-5-mini 对应为 15%、85%、80%、60%。provable IFC 按构造达到 0% ASR；其他防御通常约 0%–5%，但严格信息流策略会显著损害邮件读取和发送等功能，RAG 限长在 Gemini 的 AM/HM 仍有约 89%/88% 的效用且残余 ASR 约 30%。作者还报告 GPT-5 的迁移攻击在 RAG 后端可达 70%，context 后端为 35%。
创新、局限与失败条件。 价值在于把记忆层当作攻击面，动态测量“写入—等待—触发”，并报告防御的功能代价。局限是邮件环境、触发任务和模型/后端组合仍是实验设计；0% ASR 只对给定策略和攻击预算成立，不能证明现实系统安全；严格 IFC 的低攻击率可能来自阻止了本来就需要的非用户内容写入。生产部署还需测量权限边界、用户可见性、日志审计和攻击者自适应。
适合谁读、怎么读。 适合 agent 安全、RAG/记忆系统和安全评测工程师。建议先看动态攻击协议与四种记忆后端，再读逐后端主表、迁移攻击和防御效用，最后看信息流策略的形式化保证与失败条件。
6. Thinking Before Thinking：用元推理分配 agent 的推理预算
- 论文：Thinking Before Thinking: Scaling Agentic Inference Through Meta-Reasoning（arXiv:2609.38147）
- 作者：Paras Dahal、Anton Bakhtin、Taco Cohen、Zhengxing Chen、Carole-Jean Wu、Rob Fergus、Scott Yih、Gabriel Synnaeve、Ruslan Salakhutdinov、Sanjeev Arora、Jason Weston、Anirudh Goyal
- 来源与链接：arXiv · cs.AI · 摘要页 · PDF
- 证据状态：已核阅公开 PDF；结果是作者在指定模型、任务和预算下的报告，未做独立复现。
核心问题。 复杂 agent 任务的瓶颈不总是单步推理能力，而是何时重想、何时换方案、何时调用工具和并行 worker。论文问：一个显式的元推理控制器，能否在固定调用预算内提升不同基础模型和任务的结果？
方法与基线。 控制器由 Assess、Propose、Evaluate、Dispatch 四阶段组成，维护紧凑状态、artifact memory 和 worker；它先评估当前证据，再提出/筛选下一步策略，而不是让基础模型直接线性思考。实验覆盖 IMO ProofBench-Advanced 30 题、ARC-AGI-2 120 题、LongCoT-mini 507 题和 ProgramBench 200 题，比较 Gemini 3.1 Pro、GPT-5.5、Opus 4.8 的直接控制、Codex/Claude Code 等 agent baseline，主预算为 100 次调用（ProgramBench 1200 次）。
作者报告的主要结果。 在 12 个匹配比较中，作者报告平均提升约 3.6–4.2 个百分点。ProgramBench 上 GPT-5.5 的元推理结果为 71.5%，高于 Codex 的 58.0% 和 direct control 的 63.7%；Opus 4.8 为 67.2%，Claude Code 为 65.5%。论文同时显示，增加重考虑并不总是有益：在棋类子集上，重新评估会扰动原本正确的答案；小预算时控制器开销可能抵消收益。
创新、局限与失败条件。 贡献是把“想不想继续思考”作为可观测、可分析的控制问题，并报告覆盖率和选择诊断，而非只比较最终准确率。局限是任务规模有限，基础模型、工具和预算强烈影响结论；紧凑状态可能丢失细节，worker 调度会带来额外调用成本；benchmark 提升不等于现实软件、研究或组织流程的端到端收益。需独立检查每个 baseline 的工具能力和调用预算是否真正公平。
适合谁读、怎么读。 适合 agent 架构、推理时扩展和测试时计算研究者。建议先读控制器状态与调度协议，再看不同预算和任务的主结果，最后读选择/覆盖诊断、棋类失败案例和成本分析。
AI 论文
1. EnterpriseBench: Benchmarking LLM Agents on Enterprise-Level Strategic Reasoning and Decision-Making（arXiv:2609.37658）
- 作者：Min Yang、Yichen Pan、Jinghua Piao、Dandan Song、Yongshun Gong、Yong Li；来源：arXiv；分类：cs.AI。
- 链接：摘要页 · PDF · 代码
- 简介：重点关注第 1 节已详细展开。论文报告的 AOA/ACE 分数为 0.729/0.725，且传统 QA 能力不能稳定迁移到交互式企业战略任务；评阅时应重点检查环境构造、任务污染和真实组织约束的缺失。
2. Evaluating the Evaluators: Diagnosing Large Multimodal Models for AI-Generated Image Assessment（arXiv:2609.37576）
- 作者：Yu Zhao、Jiarui Wang、Huiyu Duan、Ye Zhao、Jutao Tang、Juntong Wang、Guangtao Zhai、Xiongkuo Min；来源：arXiv；分类：cs.CV。
- 链接：摘要页 · PDF
- 简介：重点关注第 2 节已详细展开。SQUARE-Bench 将图像评审分为 38 个子维度；作者报告多数 LMM 约 60%，Mixed-Generator 设置总体仅 26.72%，提示模型泛化和标签有效性比单一总体分数更值得核查。
3. CredWise: A Controlled Agentic Decision-Intelligence Framework for Explainable and Auditable Credit-Risk Assessment（arXiv:2609.37223）
- 作者：Aakash Kumar Tiwari；来源：arXiv；分类：cs.CL。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：研究问题是把信用风险评分、证据检索和可审计决策放进受控 agent 框架。作者以 LendingClub 1,345,310 笔贷款和 18 个特征训练 XGBoost，按时间切分 2007–2016/2017/2018，报告 ROC-AUC 0.7109、PR-AUC 0.2993、F1 0.3714，校准后 Brier 由 0.2157 降至 0.1273；28 个检索查询 Hit@1 为 0.929，45 次 agent 路由正确 43 次，六个 SQL 案例全对。值得关注的是把模型解释与审计链放在一起，但这些是作者在单一贷款数据和原型流程中的结果，尚不足以证明因果公平、跨机构稳定性或真实授信安全；这是 AI/金融交叉论文，不是授信建议。
4. ARK: A Dual-Axis Multimodal Retrieval Benchmark along Reasoning and Knowledge（arXiv:2602.09839）
- 作者：Yijie Lin、Guofeng Ding、Haochen Zhou、Haobin Li、Mouxing Yang、Xi Peng；来源：arXiv；分类：cs.CV。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：ARK 研究多模态检索究竟缺知识还是缺推理，构造覆盖 5 个领域、17 个子类型、6 种推理技能和 16 种视觉类型的双轴 benchmark，并比较 25 个 retriever。作者报告知识轴与推理轴存在差距，细粒度视觉/空间能力是瓶颈，重排、查询改写和 agentic 方法能改善但仍有明显余量；价值在于拆解“检索失败”的来源，限制是摘要未给出完整模型表、污染控制和跨域复现细节。
5. OmniVCBench: Benchmarking Evidence-Grounded Multimodal Reasoning Towards AI Virtual Cells（arXiv:2609.37773）
- 作者：Manyu Li、Xunkai Li、Yongfu Xiong、Yi Liu、Rong-Hua Li、Guoren Wang；来源：arXiv；分类：cs.AI。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：OmniVCBench 面向 AI virtual cell 的证据约束多模态推理，整理 6077 个来自科学文献、可追溯图源的 QA，覆盖 Predict、Explain、Discover，并引入 AIVC-Judge 和 MDHNM 难负例。作者报告多项选择准确率与 judge 评分相关，并公开匿名代码/数据；值得关注的是把图证据、科学发现和溯源绑在一起，但摘要未提供跨模型数字、数据污染控制或匿名发布后的可复现状态。
6. Can Language Models Learn to Forecast Stock Prices（arXiv:2609.36914）
- 作者：Jiacheng Guo、Suozhi Huang、Shuzhen Li、Yunlong Gao、Zerui Cheng、Jason Ge、Shushu Liang、Zihao Li、Hao Lu、Ming Yin、Shilong Liu、Jiashuo Liu、Xu Kuang、Mengdi Wang；来源：arXiv；分类：cs.CL。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：论文后训练 Qwen3-4B，通过 SFT 工具调用和 PPO 终端奖励预测股价方向与幅度；作者报告 AURA-4B 综合分数由 20.94 升至 43.31，条件幅度一致率由 33.3% 升至 66.2%，方向一致率由 62.9% 升至 65.4%。这更像结果选择型 benchmark 上的预测实验，不能当作样本外、扣成本或真实可交易收益；需核查时间切分、标签构造、数据泄漏和基线。
7. Rethinking Multimodal Fake News Detection in the Generative AI Era（arXiv:2609.36850）
- 作者：Wenbin Shen、Guoxuan Qin、Guangxu Yao、Baodong Wang、Yuanbo Rui、Zhichao Lian；来源：arXiv；分类：cs.CL。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：论文在 Weibo26 与 GAHR 上重审生成式 AI 时代的多模态假新闻检测，并提出 generativity-aware hierarchical reasoning。作者报告检测竞争力提升；关注价值在于把生成内容特征纳入层级推理，但摘要没有给出完整数字、跨平台迁移、生成器污染或人工标签噪声分析，结论暂不能外推到实时内容审核。
8. ThinkingGuard: Decoding Implicit Hazards via Step-by-Step Risk Attribution in Multimodal Large Language Models（arXiv:2609.36562）
- 作者：Ruochen Zhang、Yao Huang、Yitong Sun、Jiahe Xie、Jin Yan、Jifan Ma、Yuanfang Guo、Xingxing Wei；来源：arXiv；分类：cs.CV。
- 链接：摘要页 · PDF · 代码 · DOI
- 简介：重点关注第 3 节已详细展开。作者报告 TriggerBench F1/Recall 0.764/0.866，但搜索成本约 352 秒/样本，且反事实安全数据和离线安全分数不能替代真实攻击者、过度拒答与部署权限测试。
9. BRIDGE: Bilevel Retrieval-Credit-Aware Agentic Reinforcement Learning（arXiv:2609.36505）
- 作者：Quan Xiao、Mingda Liu、Gaowen Liu、Katsuki Fujisawa、Tianyi Chen；来源：arXiv；分类：cs.AI。
- 链接：摘要页 · PDF · 项目页
- 简介：重点关注第 4 节已详细展开。BRIDGE 以双层检索策略和回合级信用分配改进 agentic RAG，作者报告多跳 EM 和效率提升；训练知识截止 2018 年、医学任务仍属 benchmark，不能把结果外推为实时检索或临床可用性。
10. From Retrieval to Reasoning: Agentic Mechanism Prediction from Cell Painting Profiles（arXiv:2609.36406）
- 作者：Jiayuan Chen、Botao Yu、Tianyu Liu、Thai-Hoang Pham、Meng Wu、Ping Zhang；来源：arXiv；分类：cs.AI。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：PhenoAIR 从 Cell Painting profiles 出发，把检索、证据推理和多 agent 机制预测连接起来；作者报告在 controlled、realistic、open-world 设置中优于 representation matching 与 LLM baseline。价值在于将表型检索推进到机制解释，限制是摘要未给出数据规模、具体提升、盲测设计、代码状态和生物学验证，因此不能视为已确认的机制发现。
11. KSAFE-MM: A Multimodal Safety Benchmark via Localized Contextualization for Korean Cultural Risks（arXiv:2605.28013）
- 作者：Yongwoo Kim、Sojung An、Yunjin Park、Jungwon Yoon、Dujin Lee、HyunBeom Cho、Jaewon Lee、Wonhyuk Lee、Youngchol Kim、JeongYeop Kim、Donghyun Kim；来源：arXiv；分类：cs.CL。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：KSAFE-MM 针对韩国文化语境构建局部上下文安全 benchmark，评估 12 个 MLLM。作者报告 ProgramExecution jailbreak 的攻击成功率最高达 74.2%，而标准设置为 13.4%，同时出现安全与过度拒答权衡；值得关注的是文化语境会改变安全边界，限制是摘要未说明完整标注协议、跨文化迁移、污染和模型版本。
12. Trojan Hippo Bench: A Dynamic Benchmark for Persistent Memory Attacks and Defenses in LLM Agents（arXiv:2605.01970）
- 作者：Debeshee Das、Julien Piet、Darya Kaviani、Luca Beurer-Kellner、Florian Tramèr、David Wagner；来源：arXiv；分类：cs.CR。
- 链接：摘要页 · PDF · 代码 · DOI
- 简介：重点关注第 5 节已详细展开。作者报告无防御时持久攻击成功率可达 85%–100%，provable IFC 可将给定实验中的 ASR 降为 0%，但严格策略会牺牲助手功能；关键问题是攻击预算、记忆写入权限和效用损失能否在真实系统中复现。
13. Thinking Before Thinking: Scaling Agentic Inference Through Meta-Reasoning（arXiv:2609.38147）
- 作者：Paras Dahal、Anton Bakhtin、Taco Cohen、Zhengxing Chen、Carole-Jean Wu、Rob Fergus、Scott Yih、Gabriel Synnaeve、Ruslan Salakhutdinov、Sanjeev Arora、Jason Weston、Anirudh Goyal；来源：arXiv；分类：cs.AI。
- 链接：摘要页 · PDF
- 简介：重点关注第 6 节已详细展开。元推理控制器在作者的 12 个匹配比较中平均提升约 3.6–4.2 个百分点，但额外调用、紧凑状态的信息损失和小预算下的负收益决定了它更像一种预算调度架构，而非普适能力定律。
14. UserProxyBench: Evaluating LLM User Simulators for Agent Benchmarks and Training（arXiv:2609.38043）
- 作者：Ashish Jain、Armaan Sandhu；来源：arXiv；分类：cs.AI。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：UserProxyBench 评估 LLM 用户模拟器是否像真实用户一样与 agent 交互，提出 UFS 和成本—保真度 frontier。固定 GPT-5.5 agent 时，更换 user proxy 可造成 15.2 个百分点的 reward 差异，24.4% 的成功 episode 仍有违规，模拟器还会提前泄露信息并少调用 1.06 次工具。价值在于指出 benchmark 结果可能由“用户”决定，限制是摘要没有说明真实用户样本、任务覆盖和评分者独立性。
15. A Benchmark & Dataset for Detecting AI-Manipulated Visual Evidence in the Court System（arXiv:2609.37783）
- 作者：Kelly McConvey、Sajad Ebrahimi、Nima Jamali、Jalehsadat Mahdavimoghaddam、Matina Mahdizadeh Sani、Maksym Taranukhin、Wentao Zhang、Jacquelyn Burkell、Yuntian Deng、Karen Eltis、Maura R. Grossman、Vered Shwartz、Ebrahim Bagheri；来源：arXiv；分类：cs.CV。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：CIFAR Synthetic Evidence Corpus 含 1505 个摄影证据样本（720 authentic、785 manipulated/fabricated），覆盖监控、行车记录和消费场景，并提供元数据。作者指出现有 detector 存在问题并发布代码/数据；关注价值是把视觉取证放进法院情境，限制是摘要未给出检测数字、证据链标准、跨设备泛化和真实法庭采用条件。
16. Retrieve, Reproduce, Reveal: Dissecting Retrieval-Augmented Software Vulnerability Detection（arXiv:2609.37669）
- 作者：Sabrina Kaniewski、Tim Krämer、Julius Bächle、Markus Enzweiler、Michael Menth、Tobias Heer；来源：arXiv；分类：cs.SE。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：论文复现并拆解 6 个开源 RAG 漏洞检测系统，在受控 open-weight 设置下研究检索、复现和揭示环节。作者报告已发表性能难以迁移，oracle knowledge retrieval 接近最优但 pairwise accuracy 仍只有 0.51，说明瓶颈不只是找文档；限制是摘要没有给出全部漏洞集、版本、提示和污染控制细节。
17. SRJudge: Empowering Large Language Models with Selective Reasoning for Fine-Grained Knowledge Concept Tagging（arXiv:2609.36982）
- 作者：Zhiwei Yang、Jiahua Yang、Huiru Lin、Xing Chen、Quanlong Guan；来源：arXiv；分类：cs.CL。
- 链接：摘要页 · PDF
- 证据状态：仅依据摘要。
- 简介：SRJudge 以 Selector、Reasoner、Judge 三阶段，把小模型 shortlist、轻量模型推理和更大 judge 组合起来，对细粒度知识概念做标签。摘要提到 S_Bio/S_Phy 等设置并宣称提升，但未给出主结果数字、成本、标注一致性和与统一参数预算的公平比较；因此应先把它看作选择性推理架构假设。