该论文由安全研究员 James Mickens 撰写，讨论了大型语言模型（LLM）安全中一个被忽视的根本性问题——“语言不可读性”（linguistic illegibility）。论文指出，LLM 被训练输出自然语言，但其内部计算本质上是在高维激活空间上的数学运算，语言生成只是该过程两端的有损翻译。多项证据表明，外部化的语言输出或通过机制方法提取的语言特征，可能完全无法反映模型真实的内部决策过程。因此，语言不可读性是不可避免的。这一观点对现有安全机制提出了严峻挑战：许多防御方法依赖模型的语言自我报告，例如思维链（chain-of-thought）监控、宪法自我批评（constitutional self-critique）以及针对语言定义特征向量的激活探测（activation probing）。但这些方法在语言不可读性存在时永远无法完全可靠，因为攻击者可能操纵模型产生误导性的语言解释，同时内部计算仍执行恶意行为。为解决此问题，作者提出了一种更稳健的沙箱化路径：使用污点跟踪（taint tracking）来观察模型输出对系统状态的影响。污点跟踪策略可以在事前定义哪些系统状态不应被模型生成的数据影响，从而不依赖模型的语言自述，提供更底层的安全保障。此外，论文还讨论了其他补充机制，如强健的虚拟化（robust virtualization）、第三方审计沙箱配置，以及如何组合这些机制形成防护底线。文章以近期前沿模型的沙箱逃逸事件为例，说明纯语言监控失效的现实威胁。总之，该研究强调安全防御必须从“理解模型意图”转向“隔离模型影响”，为未来 LLM 安全架构设计提供了新范式。适合安全研究人员和 LLM 平台防御工程师阅读，以调整模型监控与隔离策略的优先级。

本文提出了一种名为TaintRadar的静态污点分析框架，旨在解决现有代码属性图（CPG）在漏洞检测中的三大关键缺陷：粗粒度的净化建模（将验证视为二进制屏障）、数据库盲点（无法跨持久层追踪污点）以及浅层面向对象分析（遗漏字段级和跨过程数据流）。TaintRadar通过三个语义分析层对CPG进行系统增强：一是漏洞类型化的净化分析，利用传递函数和上下文敏感的参数绑定计算节点级安全保障；二是持久感知的传播机制，整合数据库模式约束和查询安全分析，以追踪跨多个脚本的共享数据库状态攻击路径；三是对象感知的到达定义，结合调用上下文和有界变量别名上下文，精确建模跨方法边界的对象字段变更。在SARD基准测试中，TaintRadar大幅降低了误报率，同时保持了80%的整体准确率。在19个真实PHP应用程序上的部署结果显示，它重新发现了大多数已知CVE，并发现了29个已确认的零日漏洞（包括26个SQL注入和3个存储型XSS），这些漏洞均已获得CVE标识。实验证明，语义感知的图增强显著提升了静态污点分析的精度、覆盖率和实际可用性。