AI 安全的学术社区地图：会议、期刊与「安全感」在哪里发表

一个「寄生长出自立」的学术生态

AI 安全研究十年前没有自己的学术归属——对齐论文投 NeurIPS 的主会被当成「非主流」，攻防论文投安全四大会（IEEE S&P、USENIX Security、CCS、NDSS）被质疑「不够传统安全」。2024-2026 年，这个生态完成了「寄生生长出自立」：主流 ML 会议开设了安全与对齐的 track，专门的 AI 安全会议成立，跨学科期刊接纳了 AI 风险研究——学术的地图就是领域的合法性证明。

这篇画这张地图：会议的层级、期刊的位置、以及「在哪发表什么」的投稿策略。

主流 ML 会议的安全 Track

NeurIPS（机器学习顶会）：Safe ML Track / Datasets & Benchmarks（安全与对齐论文的主要阵地——「NeurIPS 的安全议题演化」（从「边缘 workshop」到「主会 track」——对齐、可扩展监督、机械可解释性（库内已有专文）的论文主要发表地——「NeurIPS 的接受度变迁」是领域合法性的风向标。ICML/ICLR：安全与对齐的论文分布（ICLR 的 OpenReview 透明评审（公开评审对安全研究的友好度——「OpenReview 的双刃」（透明评审让安全研究的敏感性暴露（「安全研究的公开性张力」（攻击性研究（越狱）的公开发表是双刃的——「负责任披露」在学术发表的形态（攻击论文的「延迟细节公开」惯例——与漏洞披露的协作机制同构）。ACL/EMNLP（NLP 会议）——LLM 安全的 NLP 主场（越狱、注入、内容安全的 NLP 会议论文——「NLP 会议 vs ML 会议」的投稿分流（攻击技术偏 NLP 会议、对齐与治理偏 ML 会议。

专门的安全会议与 workshop

专门会议的崛起：SaTML（IEEE Conference on Secure and Trustworthy Machine Learning）——「安全 ML 的专门会议」（IEEE 体系——对抗 ML、隐私 ML 的传统主场+LLM 安全的新内容——「SaTML 的定位」：安全社区与 ML 社区的交叉点。SoLaR（Workshop on Socially Responsible Language Modelling Research）——「NLP 会议的负责 workshop」（语言模型的社会责任。OLYMPIAD / SafeGenAi 类 workshop（生成式 AI 安全的 workshop——「workshop 的孵化功能」（专门的会议多从 workshop 成长——「从 workshop 到 conference」的路径（领域的成长轨迹。FAccT（ACM Conference on Fairness, Accountability, and Transparency）——「公平与问责的跨学科主场」（算法公平、AI 问责的学术社区——「FAccT 的跨学科性」（计算机+法律+社会科学——「AI 治理研究的发表地」（治理类研究（技术治理的组织与政策）的学术出口。传统安全四大的 AI 专题（IEEE S&P 的 LLM 攻防论文——「传统安全的接纳」（安全社区对 LLM 攻击的接收（提示注入在 S&P 的发表——「安全社区的语言」（传统安全的威胁模型语言——AI 攻击研究进入传统安全会议需要「翻译」成安全社区的语言。

graph TD
    A[AI 安全学术版图] --> B[主流 ML 会议 track<br/>NeurIPS/ICML/ICLR 安全对齐]
    A --> C[专门会议<br/>SaTML · FAccT · 安全四大 AI 专题]
    A --> D[workshop 层<br/>SoLaR · SafeGenAi · 孵化器]
    A --> E[跨学科出口<br/>治理: FAccT · 政策期刊]
    F[投稿策略: 研究类型 × 会议匹配]

跨学科出口与「治理类研究」的发表地

治理与政策研究的学术出口：政策与法律期刊（AI 治理的论文发表在政策期刊（Science、Nature Machine Intelligence 的政策板块——「NMI 的位置」（Nature 子刊的 AI 政策与伦理——「高影响力期刊」的门槛与回报（Science/NMI 的发表对政策的影响直接（「学术→政策」的传导（论文成为监管参考（RSP 篇的框架被学术评析）。跨学科的风险研究（风险感知、技术治理的社会学——「STS 与 AI 治理」（科学技术研究（STS）的视角——「技术社群之外的对话」（AI 治理研究需要社会科学的对话者——纯技术视角的治理研究是不完整的。

投稿策略：研究类型 × 会议匹配

类型一：攻击技术研究（越狱、注入的新方法）——「攻击研究的发表地」（NLP 会议/安全会议——「攻击论文的伦理审查」（攻击细节的披露政策（会议的伦理审查——「负责任披露」的学术惯例（论文中不包含可复现的完整攻击细节——细节的协调披露（与厂商的协调——「学术披露与漏洞披露」的差异（学术发表的时间线 vs 漏洞修复的时间线——学术界还没有成熟的「embargo」机制（这是正在演进的空白。类型二：对齐与评估研究（对齐方法、评测基准——「ML 会议的对齐 track」（NeurIPS/ICLR——「评测基准论文的特殊性」（基准论文的引用价值高（基准被使用=影响力——「基准的资产化」（评测基准的论文是长期的引用资产。类型三：治理与政策研究（治理框架、政策的分析——「FAccT 与政策期刊」——治理研究的双出口（学术会议+政策期刊——「技术研究者写政策论文」的能力建设（技术出身写治理论文的常见短板：政策的机制细节——「与技术专家合作」（治理论文的联合发表（技术+政策+法律的作者组合）。类型四：独立研究者的发表（不在机构的研究者——「独立研究者的发表通道」（OpenReview 的开放投稿（部分会议不要求机构 affiliations——arXiv 的先发（「arXiv 的先发权」（preprint 的惯例——独立研究者的社区贡献（开源工具+技术博客——「社区声望 → 学术合作」的路径（独立研究者与实验室的合作（数据标注篇的独立红队——社区声望转化为合作机会。

学术社区的进阶：研究的「可复现性危机」与「安全研究的出版伦理」

学术社区的进阶：AI 安全研究的可复现性危机与出版伦理。「可复现性危机」的 AI 版：AI 研究的可复现性问题（「不可复现的普遍性」（ML 论文的可复现率低（算力的门槛、私有数据——AI 安全研究的复现更难（「安全研究的复现困境」（攻击研究的复现依赖「目标模型」（模型更新后攻击失效——「攻击的时间性」（攻击的效度随模型版本衰减——「复现实验」的成本（复现要算力+特定版本模型——「可复现性」的评级（论文的复现等级标注（「复现徽章」的实践（学术社区的可复现性徽章——「徽章」的激励（可复现的论文获得更高声望——「复现的社区建设」（复现的社区贡献（复现他人研究作为社区服务——「复现即贡献」的文化。「安全研究的出版伦理」：「攻击研究的双刃」：发表攻击的推进与风险（「发表的价值」（攻击的公开让防御者警觉（「公开的防御价值」——防御的进步依赖攻击的公开（安全领域的公开传统（「公开传统」的历史（漏洞披露的公开传统 vs AI 攻击的新语境——「AI 攻击的放大效应」（LLM 的攻击可被大规模复制（传统漏洞利用需要技术门槛、LLM 攻击的门槛低（「低门槛攻击」的扩散风险——一段越狱提示词可以被任何人复制使用——「攻击的复制成本」趋近于零——这是 AI 攻击与传统漏洞的本质区别。「出版伦理的框架」：攻击研究的发表准则（「分级披露」的实践（论文写「现象与防御」、细节延迟或受限（「受限细节」的机制（细节的获取要签协议（「受控披露」的机制——学术的受控披露（「学术披露委员会」的可能形态——「披露政策」的会议差异（不同会议的披露政策——「政策的统一」的必要（投稿者面对不一致的政策困惑——「披露政策的协调」是学术社区的待办。「研究者的责任」：攻击研究者的责任清单（「研究者的自我审查」（攻击研究的发布前自问（可复制的门槛、危害的可能性、防御的成熟度——「三问」的实践（能复现吗？能造成伤害吗？防御跟上了吗？——「三问」不过的暂缓发表。学术社区的进阶总结：「可复现性危机」的 AI 版（攻击的时间性+算力门槛）+「出版伦理」（攻击的放大效应、分级披露、研究者三问）——学术社区正在为 AI 安全研究建立「负责任的出版基础设施」——这个基础设施的成熟度，决定了「攻击知识」在社会中的传播速度与形态——慢一点传播，也许救很多损失；快一点传播，也许促很多防御——这个权衡没有标准答案，只有社区的持续讨论——学术社区的成熟，就体现在它对这种权衡的自觉**。

高频问答：学术社区的边界

收尾前回答三个高频问题。「攻击研究的「可复现包」该公开吗？」——「可复现包」的分级披露：攻击的可复现代码包（发布与否的决策——「决策的四个因素」：攻击的门槛（复现的难度（门槛低的攻击公开=扩散快——危害的范围（影响的广度与严重度——防御的成熟度（防御是否已经跟上有防御的攻击=可公开、无防御的攻击=延迟——「四因素的打分」（公开决策的量化参考——「分级披露」的实践形态：论文公开现象与原理、代码私有或受限许可（「受限许可」（代码的获取要签协议（研究用途声明——「协议获取」的成本与摩擦——「摩擦的设计」是刻意的。「独立研究者的署名困境」：独立研究者的成果归属（「署名的公平」（独立研究者与机构合作的署名——「贡献的证明」（独立研究者的贡献记录（时间戳的先发证据——「先发证据」的实践（arXiv 的时间戳、开源的时间线——「先发证据」的保护价值（独立研究者的成果保护——「保护的自律与互认」（社区的署名诚信——「署名诚信」是独立研究生态的基石。学术社区的问答收束：学术社区的终极课题——「在开放科学与安全责任之间找平衡」——开放让防御者受益也让攻击者受益——「平衡的机制」正在形成（分级披露、伦理审查、受控获取）——「机制」会持续演化——但「研究者的自觉」永远是第一道闸——「自觉」的前提是研究者理解自己的工作会被怎么用——**「理解使用」是攻击研究者的伦理必修课。

小结

AI 安全的学术地图：主流 ML 会议的安全 track（NeurIPS/ICML/ICLR——对齐与可扩展监督的主阵地）、专门会议（SaTML 的安全 ML、FAccT 的公平问责、传统安全四大的 LLM 攻防专题）、workshop 层（SoLaR 等孵化器）、跨学科出口（政策期刊与治理研究）。投稿策略的匹配逻辑：攻击技术 → NLP/安全会议（注意伦理审查与负责任披露）、对齐评估 → ML 会议（基准是引用资产）、治理政策 → FAccT/政策期刊（联合发表的作者组合）、独立研究者 → arXiv 先发+社区声望转化。这张地图的深层意义：学术版图的扩张就是领域合法性的扩张——从「寄生在 ML 会议的边缘」到「有自己的 track 与会议」——AI 安全研究在学术建制上的独立，意味着它不再是「ML 的分支」而是「与 ML 平行的学科」——发表地图会继续演化，但它已经不再是空白。

在 AI 安全的学术地图上，每一次投稿的落点选择，都是研究者在为这个年轻领域的边界投票。