PCFI 論文閱讀分析：真正該防的，往往不是哪段外部文字看起來像攻擊，而是它有沒有開始越權改寫 prompt 控制流
這篇論文真正值得看的，不是又多一個 prompt injection detector，而是它把 prompt security 重新表述成控制面完整性問題：低優先序內容一旦開始越權改寫 system / developer 層級的指令，問題就不再是壞字串，而是 control-flow 已經被劫持。
2026 年 4 月 21 日
Paper Survey
2026
From Admission to Invariants 論文閱讀分析：真正危險的不是 agent 當場違規，而是它一路沒響警報卻早就不是你批准的那個樣子
這篇 paper 真正補的是 agent governance 常被誤判的一層：runtime enforcement 最多只能告訴你「目前沒踩到局部違規」，卻不等於 agent 仍維持在 admission time 批准的行為空間裡；作者用 Non-Identifiability Theorem 說明 compliance 與 invariance 之間存在結構性落差，並提出 IML 去量測 enforcement 看不到的行為偏航。
2026 年 4 月 21 日
Anumati 論文閱讀分析：當 Agent 開始替你接受別人的條款，真正該驗的就不只是有沒有權限呼叫
Anumati 真正要補的，不是再多一層身份驗證，而是 agent 在呼叫別的 agent 或工具前後，能不能留下可版本化、可審計、逐行動可追責的 consent 與 adherence 證據。
2026 年 4 月 21 日
Harmful Intent 偵測論文閱讀分析：真正難抓的，不是最刺眼的危險詞，而是那些合起來才開始危險的訊號
這篇論文真正補到的，不只是 harmful intent probe 的分數，而是很多即時安全監測一直在用錯的感測邏輯：真正危險的意圖，常常不是靠某一個高分 token 暴露，而是靠一整段彼此呼應的證據慢慢收斂出來。
2026 年 4 月 21 日
ExAI5G 論文閱讀分析：很多 IDS 真正缺的，不是再多 0.1% accuracy，而是把告警理由翻成人看得懂的規則與交接線索
ExAI5G 真正值得看的，不是又一個超高分 IDS，而是它試著把黑盒偵測結果往營運可接手的形式壓縮：用 attribution 找依據、用 surrogate tree 萃取規則、再把判斷轉成分析師能接手的 explanation。
2026 年 4 月 21 日
Symbolic Guardrails 論文閱讀分析：很多高風險 agent 真正缺的，不是更會想，而是先把不該做的事硬鎖住
這篇論文真正補到的，不是再發明一個更聰明的 guard model，而是把高風險 agent 裡那些本來就能形式化的政策，從 prompt 與常識判斷裡抽出來，改成可驗證、可審計、可在執行時硬鎖住的 symbolic guardrails。
2026 年 4 月 21 日
GuardPhish 論文閱讀分析：很多 open-source LLM 真正危險的，不是看不出 phishing，而是看得出來還是照樣幫你寫
這篇論文真正打掉的，不只是 open-source LLM 會不會被拿去寫 phishing，而是很多團隊把「模型能辨識 phishing intent」誤當成「模型會拒絕生成 phishing 內容」；GuardPhish 證明這兩者中間其實隔著一條很大的 enforcement gap。
2026 年 4 月 21 日
Code LLM 洩密論文閱讀分析：你以為 API Key 看起來越亂越安全，模型卻可能因為 tokenizer 先把它切成好背的形狀
這篇論文最有殺傷力的地方，是指出 code LLM 的 secret leakage 不只是資料集或 prompt 問題，連 BPE tokenizer 都可能把某些看似高熵、像亂碼的憑證切成更容易被模型記住的低 token entropy 形狀，進一步放大 memorization 風險。
2026 年 4 月 21 日
Hosted LLM 稽核論文閱讀分析：真正該怕的，不只是模型答錯，而是供應商可能根本沒用你付錢的那顆
這篇論文真正補上的，不是模型能力排行，而是 hosted LLM 供應鏈的誠信驗證：當服務商可能把一般流量偷偷導去便宜替代模型時，怎麼用 commitment 與 SAE feature trace 去驗證它剛剛交付的到底是不是承諾的那顆。
2026 年 4 月 21 日
Conjunctive Prompt Attacks 論文閱讀分析：真正難防的不是哪段內容特別毒，而是兩段各自都像正常話的東西在對的路由上剛好拼起來
這篇論文最值得警惕的地方，不是又多了一種 prompt injection，而是把多代理風險從單點惡意內容拉成跨代理組合條件：user query 裡看似無害的 trigger key，配上被污染 remote agent 的 hidden template，單獨都不夠可疑，但只要 routing 把它們送到同一個地方，整條 agent pipeline 就可能突然變成攻擊面。
2026 年 4 月 21 日