2026年10月25日14:00-17:30，示范班第163期方班学术研讨厅以线上线下结合形式成功举办，线下在长安大学开展。方滨兴老师、李建新老师、周万雷老师、李舟军老师全程参与了课堂教学，并对示范班同学们的报告逐一进行了指导点评。同时参与的还有方班研讨厅四个班级的副点评老师，以及来自广州大学、南京邮电大学、北京信息科技大学、东南大学、华中科技大学、湖南大学、复旦大学、广东工业大学、四川大学、武汉大学、中山大学、北京大学、北京理工大学、澳门城市大学、暨南大学、香港大学、香港科技大学、香港科技大学（广州）、重庆大学、华南理工大学、吉林大学、南京理工大学、清华大学、中南大学、南京航空航天大学、厦门大学、同济大学、香港理工大学、大连理工大学、澳门科技大学、东北大学、北京交通大学、澳门大学、哈尔滨工程大学、香港城市大学等三十余所高校院所的参与学生和老师，共计400余人。

本次研讨厅分四个教学班同时进行。第三组汇报的同学是陈奕行、王佳瑶、闻泓燊、陆岩；第四组汇报的同学是程大庆、陈洁莹、欧俊言、李骏逸；第五组汇报的同学是蒋松岳、孔煜凯、黄健、熊志硕；第六组汇报的同学是郑金尧、胡雅兰、周奕彤、陈子春。

教学3班

第一位报告人：陈奕行-北京信息科技大学

报告题目：HyperGraphRAG：基于超图知识结构表示的检索增强生成

点评老师的意见与建议：

1、整体架构图要当成目录用在前面，讲完每一部分再退回总图确认进度，别让听众在细节里迷路；每一页底部用带底色的框写一句话结论，让人不看图表也能抓住要点；第8页补一张流程图把从RAG局限到论文核心问题的推导串起来，第13页把英文原图放大加中文框逐步拆解；语言全部改写成自己的口语，去掉AI味。

2、把超图无损转化这篇论文的数学推导真正读懂。不能再停留在“论文证明了无损”这一步，要能说清楚无损的到底是什么、代价又是什么，把信息论的推导过程变成自己能口述的东西，这是当前最明显的知识短板。

3、给超边节点补上置信度，并把抽取流程标准化。把大模型抽取实体时的概率和不确定性直接写进超边节点，用置信度标签兜底识别误差；同时固定提示词模板与随机种子，保证相同数据经相同流程产出一致的超图，再进一步研究不确定信息对推理的干扰。

第二位报告人：王佳瑶-武汉大学

报告题目：NeuroStrike: 针对对齐LLM的神经元级攻击

点评老师的意见与建议：

1、安全神经元方法跨模型泛化能力有限，需核实表格实验数据。

2、正视离线优化方法在攻击效果与隐蔽性之间的取舍。

3、单点神经元分析存在局限，可拓展溯源分析的研究视角。

4、可研究代理模型攻击路径，探索平滑分布控制的防御方案。

第三位报告人：闻泓燊-北京信息科技大学

报告题目：PoisonedRAG：面向检索增强生成的知识污染攻击

点评老师的意见与建议：

1、主点评教师李建新老师指出，应进一步审视论文假设在真实应用中的合理性，重点分析外部攻击者能否向目标知识库注入内容，以及能否诱导第三方大模型生成预设答案。他建议在无法控制目标知识库、无法充分掌握系统反馈的约束下，思考文本扰动、提高检索相关性等有限手段的实际作用，提炼更贴近真实场景的研究问题。

2、李建新老师进一步建议，将研究视角拓展到大语言模型和智能体的上下文管理机制，关注记忆如何组织、推理时如何使用证据、证据之间如何关联，以及结构化知识如何支持生成过程，围绕这些机制探索更具普遍性的安全问题。

3、副点评老师建议优化汇报的整体结构，用中文框架图串联“问题形式化与威胁建模、检索与生成条件、恶意文本构造、知识库注入与攻击触发、效果评估与防御对抗”五个部分。讲完各模块后回到框架图，交代当前内容在整体流程中的位置，帮助听众持续把握报告主线。

第四位报告人：陆岩-同济大学

报告题目：AttnTrace：提示注入与知识污染的上下文归因

点评老师的意见与建议：

1、PPT整体逻辑清晰，页面底部用一句话概括结论，有助于突出重点。在总结的时候，标注出论文提出的局限和个人思考，让听众了解哪些是论文局限、哪些是个人思考，建议继续保持。

2、建议把第4页移到第6页后面。第3页介绍安全风险后，先用第5、6页说明提示注入与知识污染两类攻击，再引出上下文溯源的需求，形成从安全风险，到具体攻击，再到溯源需求的流畅逻辑。

3、建议在解释提示注入和知识污染之前，先说明本文关注这两类攻击，再展开介绍它们各自的含义与特点，形成先总后分的结构。

4、PPT中“上下文归因”和“上下文溯源”交替出现，容易让人混淆。建议把原文中context traceback统一翻译成“上下文溯源”，并保持前后一致。

5、建议按照总——分——总的方式介绍方法，先放总体架构图，再逐个讲解方法模块，最后回顾整体流程，帮助听众跟上思路。

方老师点评：

1、汇报整体已经把方法讲清楚了，讲解方法之后，又通过流程图重新梳理两个关键设计及其作用，帮助听众整合前面的内容，建议保留这个总结环节。

2、需要思考注意力权重的高低与文本片段对恶意输出的实际贡献之间，有没有稳定对应关系。攻击者了解溯源方法后，可能构造难以被注意力溯源识别的攻击，这是一个潜在风险。

3、Token包含标点符号，Top-K可能选中较多标点，建议过滤部分标点，检验溯源效果是否受到影响。

4、有些攻击需要多个片段一起出现才生效，子采样可能拆散这些片段，分析结果就难以完整反映它们的共同作用。建议让联合采样也占一部分比例，并结合完整上下文进行分析。

5、论文表1(a)中STC和TracLLM两种方法的精确率都是0.94，召回率都是0.77。建议核查实验过程与数据来源。以后同学们做实验如果出现这种情况，建议通过反复测试，以及必要的情况说明来增强结果的可信度。

教学4班

第一位报告人：程大庆-重庆大学

报告题目：Les Dissonances：工具池赋能的大语言模型智能体中的跨工具信息窃取与污染

点评老师的意见与建议：

1、这篇文章涉及的概念和一些定义建议在开头给出或者阐释清楚，首次涉及英文缩写应当写出全称。

2、PPT制作与演讲应以总分总的逻辑进行，开始应先介绍整个框架，给予观众总体概览。

3、由于涉及大模型和智能体等前沿技术，细节较多。背景和前置概念尽量精简带过，但也要说清楚，不能为了讲方法忽视了观众的感受。

第二位报告人：陈洁莹-广东工业大学

报告题目：公平性与准确性的对齐：基于对抗鲁棒性的视角

点评老师的意见与建议：

1、研究背景过渡不够自然。PPT第7页先提到了两个关键指标DP和EOd，但是对这两个指标的详细的解释在下一页，应该把第7页和第8页调换下位置，观众会更能体会到原先第7页中的表格意义。

2、研究背景的概念介绍需要补充。PPT介绍了什么是对抗训练，但是论文中多次出现了对抗攻击，应该要补充“对抗攻击”的概念，能更好地帮助观众理解训练和攻击。

3、PPT贡献页可以去掉。贡献页的上一页已经有梳理论文的整个工作脉络，而且PPT还有一个总结页，也体现了论文的贡献，因此贡献页可以去掉。

4、缺少形式化说明，需要再加上一些重点强调。在做准确性的攻击和公平性的攻击介绍的时候可以加一些形式化的说明，以及怎么把对抗样本和公平约束结合的这个点需要加强说明，着重强调。

第三位报告人：欧俊言-澳门城市大学

报告题目：一种用于增强越狱攻击与防御的因果视角

点评老师的意见与建议：

1、建议进一步补充和完善PPT内容，丰富汇报材料，使展示更加完整、充分。

方老师点评：

1、汇报内容较为完整，但分析仍主要停留在论文已经给出的原因与结论层面。

2、应进一步追本溯源，厘清作者为什么提出这一问题、为什么选择因果视角，以及该研究路径的根本理论依据。

3、今后的汇报应加强对论文根本逻辑的梳理，不仅要讲清“论文发现了什么”，还要讲清“为什么这样研究、结论为何成立”。

第四位报告人：李骏逸-哈尔滨工程大学

报告题目：针对大语言模型分词器的成员推断攻击

点评老师的意见与建议：

1、主题要强化—— 建议汇报开头先交代 "成员推断攻击" 这一大主题及其研究困难，再引出分词器这一新的攻击向量，使逻辑链条更加完整清晰。

2、建议优化结构与补充相关研究。 建议补齐过渡衔接、梳理汇报主线，并适当补充相关研究与方法对比，以增强汇报的整体性与深度。

3、建议优化章节衔接。吴老师指出汇报在研究设计部分的过渡略显突兀，建议在进入具体内容前先铺垫 "成员推断攻击" 的背景，使前后章节自然衔接、听众理解连贯。

教学5班

第一位报告人：蒋松岳-暨南大学

报告题目：针对大视觉语言模型中自监督学习视觉编码器的隐蔽后门攻击

点评老师的意见与建议：

1、应该结合背景介绍相关工作，把这部分更好地串联起来。

2、面对论文上面说的一些技术上的优势要去了解清楚它们的一些底层原理，不要人云亦云，论文说什么就信什么。

3、这是一篇设计攻击方法的论文，但是方班的主题在于安全，所以最后的结论要包括一些根据论文启发而来的防御思路。

第二位报告人：孔煜凯-南京邮电大学

报告题目：StruQ：基于结构化查询的提示注入防御方法

点评老师的意见与建议：

1、PPT 做得很漂亮，值得表扬；但前面用“邮件忽略前令”的例子只覆盖了最简单的一两类提示注入，没把论文里后面几类更复杂攻击（重建指令区、高级适配、多轮边界篡改等）带出来，导致文章最核心的创新没被例子自然引出。

2、逻辑上应该是：先讲清“指令和外部资料混在一起会注入”→ 再讲“简单分隔符/规则分隔也不行”→ 才自然引出“安全前端 + 结构化指令微调”。你现在是顺着论文结构讲，前面例子起不到承上启下作用。

3、相关技术部分可以和背景融合讲，时间也稍微超了，融合后会更顺、时间更好控。

方老师点评：

1、信息量不小、讲得不错，但结尾要有“自己的话”的 summary：别用论文术语（安全前端/结构化指令微调），要说“传统系统 payload 是指令是指令、数据是数据；大模型把 payload 伪装成指令，本文就是把指令和数据强分开，数据永远当数据，模型就不会被骗”。

2、规则法（固定分隔符、Unicode 近似字符）易被绕，所以还要“训练”——让模型自己认哪块是指令、哪块是载荷；这篇文章底层逻辑就是“把形式语言时代指令/数据分离的老办法，用回大模型”。

3、没变自己知识前很容易忘，但后来你一用自己语言讲（“把控制与数据分离的原则用在大模型上”）印象就会很深刻；还可以往深想：不同分词器、中文空格变 token、多轮对话历史诱导，都是该方法没解决的真问题。

第三位报告人：黄健－澳门大学

报告题目：D³：通过学习差异扩展深度伪造检测

点评老师的意见与建议：

1、报告讲得清楚，但无法应对提问环节的问题，缺少自己的判断和思考。

2、建议关注打乱这一路的真实作用：它可能只是抑制语义过拟合的正则，而非共有的深层伪影，可用单通道原图与单通道打乱图对照验证。

3、建议补做实验，考查 patch 取 1 时语义尽失、效果却未降的原因。

第四位报告人：熊志硕-广东工业大学

报告题目：ASDIA: 联邦学习中的对抗样本隐私保护方案

点评老师的意见与建议：

1、补充不同数据异质性条件下的定量实验，分析隐私保护效果与模型效用的变化。

2、关注方法对已知隐私标签的依赖，探索无监督学习等改进思路。

3、结合梯度压缩降低开销，先考虑跨机构应用，再扩展至物联网跨设备场景。

教学6班

第一位报告人：郑金尧-重庆大学

报告题目：揭示视觉语言模型的脆弱性：通过纹理尺度约束扰动和跨模态优化实现多模态对抗协同

点评老师的意见与建议：

1、背景页和方案页逻辑重复，如攻击场景与方法设计讲同一件事，建议合并。

2、方法讲述要先列挑战/假设再给方法形成闭环，别直接抛设计。

3、现有工作只对比单模态，应补相关多模态攻击文献对比。

4、防御对比太弱，只测压缩/随机化这类通用手段，应补充更好的防御对比。

方老师点评：

1、不盲从，不能不敢批判顶会文章，要能够质疑文章的不合理之处。

2、要学会读取文章的细节，善于发现文章的缺陷和不足。

3、思路没错但具体细节也要多关注，维度不同怎么对齐等需要讲清。

第二位报告人：胡雅兰-华南理工大学

报告题目：BadVLA:面向视觉-语言-动作模型的目标解耦后门攻击

点评老师的意见与建议：

1、深入分析攻击的可行性与潜在威胁。 建议进一步探讨VLA模型后门攻击的实际可行性，明确攻击成立的条件及潜在安全风险，增强对攻击机制的理解。

2、加强对攻击原理与关键机制的分析。 建议进一步关注VLA模型中间表征的作用及其可解释性，明确相关机制的验证依据，深入分析后门触发与模型行为偏移之间的关系。

3、客观认识现有方法的局限性。 论文主要研究非定向后门攻击，尚未充分探讨定向攻击的可行性及攻击效果。建议进一步分析方法的适用范围与局限性。

4、完善实验验证与效果评估。 建议进一步探讨后门攻击在重复执行任务及不同实际场景下的有效性，结合更加充分的实验验证，提高研究结论的可靠性与说服力。

5、加强防御技术的研究与讨论。 在分析后门攻击方法及其安全威胁的同时，还应关注相应的检测、防御与缓解机制，从攻防结合的角度思考VLA模型的安全性与鲁棒性。

第三位报告人：周奕彤-澳门城市大学

报告题目：ConfGuard: 一种简单高效的大语言模型后门检测方法

点评老师的意见与建议：

1、需要重点分析该方法的适用边界，梳理出序列锁存在与不存在的具体场景。

2、应该在评估中模拟自适应攻击者，通过测试不同投毒率来绘制检测信号的衰减曲线。

3、现有的阈值设定过于生硬，需要结合不同任务与场景进行灵活调整。

第四位报告人：陈子春-东北大学

报告题目：MUZZLE: Adaptive Agentic Red-Teaming of Web Agents Against Indirect Prompt Injection Attacks

点评老师的意见与建议：

1、需要考虑在真实的网络环境中MUZZLE方法是否适用。

2、PPT的制作不能直接套用模板

3、考虑到MUZZLE方法的成本问题，在相同的成本下再与其他方法进行一些比较。