本期覆盖 arXiv 于美东 9 月 1 日提交、北京时间 9 月 2 日早公告的 2609.01xxx 批次（上期 #011 覆盖 2608.30xxx-2608.31xxx，两期无缝衔接）。从该批次中选五篇方向互补的工作，主线可以概括为**「VLM 从『能做』到『能信、能省、能控、能防』的工程化收紧」**：TempCloze 回答「视频模型的时间推理到底行不行」（评测 × 视频），IntroConformal 回答「LVLM 的事实性能不能给统计保证」（可靠性 × 理论），S²Prune 回答「视觉 token 剪枝怎么不丢空间覆盖」（效率 × 架构），MeRoPE 回答「相机可控视频生成在真实度量轨迹上为什么失效」（生成 × 几何），One Prompt Is Enough 回答「隐形水印在基础模型重建面前还剩多少用」（安全 × 反溯源）。五篇分别对应「测、信、省、控、防」五个动词——本期值得先记住这个框架。

1. TempCloze：给视频 LLM 出「完形填空」——开头结尾都给你，31 个模型栽在「缺失的中段」

论文：TempCloze: Can Video-LLMs Identify the Missing Middle?（2026-09-01，cs.CV/cs.AI）

资源：HF Papers

问题。 现有视频时间推理基准大多「被语言中介」：选项措辞、答案相关性、语言先验都能泄漏信息，模型可能根本没在看视频。怎么构造一个语言捷径无处下脚的视频时间推理评测？

方法亮点。 提出 TempCloze，视频「完形填空」基准：只给视频的开头片段与结尾片段，让模型从四个候选中选出真正缺失的中段——模型必须重建「中间发生了什么」才能答对。数据为来自 7 个源、经严格筛选的 1,521 个视频（主要是长镜头与自我中心视频）；干扰项按三个维度同源构造：Semantic（应该发生什么事件）、Alignment（应该何时发生）、Progression（应该怎样展开），并让干扰项与正确项共享场景与物体，压掉外观线索——剩下能用的只有时间结构本身。

证据。 评测 10 家闭源 + 21 家开源 Video-LLM，核心发现：Alignment（时间对齐）是主要瓶颈——模型往往能识别合理的语义内容与局部事件进程，却在「这件事该发生在哪个时间点」上失手（作者摘要原文口径）。作者进一步在 TempCloze-Mixed 与 TempCloze-Hard 上用四个代表模型做错误模式与行为敏感性分析，考察候选顺序、上下文方向、可见跨度、帧密度与 test-time scaling 对选择的影响。作者为 Wenqi Pei、Henry Hengyuan Zhao、Yilai Liu、Jiahao Meng、Han Chen、Ziyu Wang、Hongyang Du。

边界。 1,521 个视频以长镜头/自我中心为主，覆盖度不等于全视频分布；「语言捷径被消除」的程度需要对照实验验证（摘要未给捷径消除的量化消融）；候选四选一的任务形式对「生成式时间推理」的测量是间接的；各模型的具体得分表未在摘要给出。

我的判断。 这是「评测设计反推能力真相」的好样本：把答案藏在时间结构里、让语言帮不上忙，才逼出 Video-LLM 在时间对齐上的真实短板。对做视频理解的人来说，这条结果有个直接含义：别被「语义上说得通」的模型输出骗了——它可能根本没对齐时间轴。长镜头、连续动作、事件时序这类任务（监控、体育、手术视频）正是 Alignment 短板的暴露面；TempCloze 的 cloze 形式也天然适合做成自动化的持续评测。

2. IntroConformal：不给外部验证器，用模型自己的「自省信号」给 LVLM 事实性上共形保证

论文：IntroConformal: Conformal Factuality Guarantees for Large Vision-Language Models via Introspective Signals（2026-09-01，cs.CV/cs.CL）

资源：HF Papers

问题。 LVLM 输出的事实性保证通常依赖两类外部信号：外部验证器（引入额外依赖）或生成时的置信度（对「自信但错误」的输出经常失效）。能不能只靠模型自身拿到有统计保证的事实性控制？

方法亮点。 提出 IntroConformal，一个 training-free 的 Conformal Risk Control（CRC）框架，提供有限样本、分布无关的事实性保证——这是把共形预测的统计语言第一次系统性地搬到 LVLM 事实性控制上。核心是两类从模型内部导出的 conformity score：① layer-wise semantic stability（逐层语义稳定性），由隐藏状态表征计算；② verification probability（验证概率），更强的分数，刻画「模型对自己给出的论断进行自我裁决（self-administered judgment）」的结果——本质是让模型在生成之外再自问一遍「我说的这个 claim 是不是真的」。

证据。 在多个 LVLM 架构上，IntroConformal 满足共形风险保证，同时显著降低弃权（abstention）率，并在 claim 级判别上达到与基于外部验证器的基线相当或更优的表现（作者摘要原文口径）。作者为 Md. Atabuzzaman、Christian Alexander、Chris Thomas。

边界。 摘要未给具体风险水平、弃权率降幅与判别指标的数值；「自省信号」的可靠性依赖模型本身——对系统性、一致性的幻觉（模型自信地错且不自知），自省信号可能同样失效；实验架构清单与数据集范围需看正文。

我的判断。 「把外部验证器换成内省信号」的价值在于可部署性：不需要额外模型、不需要改写生成流程，一次前向的隐藏状态就能支撑一个带统计声明的拒答策略——这对推理成本敏感的生产环境很实用。值得盯的是它的失效边界：共形保证是分布无关的，但「自省信号与事实性相关」这个前提不是；如果某个模型家族的自省信号与事实性相关性弱，保证会变松。做 RAG/多模态护栏的团队，可以把「verification probability」当作比 logprob 更强的拒答特征来试。

3. S²Prune：空间结构化视觉 token 剪枝——先保证「每块图像都有人看」，再把预算留给细节

论文：S²Prune: Spatially Structured Visual Token Pruning for Multimodal Large Language Models（2026-09-01，cs.CV）

资源：HF Papers

问题。 视觉 token 剪枝是 MLLM 推理降本的主流手段，但现有按「重要性/冗余度」选 token 的方法有个被忽视的毛病：这些判据在不同输入上会产生稳定的空间偏好——模型总是优先保某些区域（比如图像中心），而且并不总能赢过朴素的均匀网格采样。这说明「广泛的空间覆盖」本身就有价值，被重要性排序牺牲掉了。

方法亮点。 提出 S²Prune，training-free 剪枝：① 先保覆盖——把图像分成区域，每区至少保留 1 个 token；② 再按结构分配——剩余预算按 Laplacian 方差（局部结构丰富度）分配，细节多的区域拿更多 token；③ 区内选代表——用 Early Representation Change（ERC）（从第一个 decoder block 计算）在每个区域内选出代表性 token。三步都不需要训练。

证据。 在多种设置与两个 MLLM 架构上评测：在 Qwen2.5-VL-7B-Instruct 上，S²Prune 在受评的 training-free 剪枝方法中取得最高平均准确率；只用原始 576 个视觉 token 中的 32 个，仍保留全模型性能的 79.3%（作者摘要原文口径）。代码开源（github.com/yuanyuanjia71-spec/S2Prune）。作者为 Yuanyuan Jia、Shunpu Tang、Qianqian Yang。

边界。 具体剪枝率-准确率曲线与对比基线列表需看正文；「ERC 从第一个 decoder block 计算」对架构的依赖（是否适用于非标准 MLLM）未展开；79.3% 对应的任务集构成未在摘要说明；training-free 的定位意味着它不做任何重训补偿。

我的判断。 这篇的价值在问题意识：它把「重要性排序」类剪枝的隐性空间偏置摆上台面，并用「区域覆盖保底 + 结构自适应分配」这种简单的先验修正它。32/576 token 还保 79.3% 的结果，对端侧与高分辨率长上下文场景很实用——高分辨率图动辄上千 token，能无损砍掉 90%+ 的视觉 token 意味着 KV cache 与 prefill 成本的双降。与上期 ColSNAP（把存储压缩做成层级化）放在一起看：「空间/层级结构」正在成为各种 token 压缩方案的共同杠杆。

4. MeRoPE：度量旋转位置编码——相机可控视频生成在真实轨迹上失效，是因为位置编码没「保范数」

论文：MeRoPE: Metric Rotary Position Embedding for Camera-Controlled Video Generation（2026-09-01，cs.CV/cs.RO）

资源：HF Papers

问题。 相机可控视频生成需要用几何感知的位置编码，把 token 与相机外参、逐 token 观察射线绑定。但现有方案在真实世界的度量相机轨迹上有一个随尺度失效的毛病：齐次射影类编码会让注意力 logits 与特征范数随物理平移基线无限增长——相机移动越大，数值越不稳定，生成的控制就越不可靠。demo 里转个几度没问题，一上真实的大基线轨迹就崩。

方法亮点。 提出 MeRoPE（Metric Rotary Position Embedding），一种保范数的相对相机编码：① 用正交旋转块编码校准观察射线之间的相对朝向；② 把原始度量位移映射为多频旋转相位；③ 沿极线弧加入视差锚定的对应先验（disparity-anchored correspondence prior）。设计上严格保证特征范数不变、无论物理平移尺度多大都有界 pre-softmax 注意力 logits，并且对全局刚体坐标变换保持精确不变性——即「相机整体换个坐标系，生成结果不变」。

证据。 在 nuScenes（大基线轨迹）与 PanShot（多样相机光学）两个覆盖互补场景的数据集上，MeRoPE 相比此前编码取得更强的相机控制，在旋转与平移两个维度上都与条件位姿取得最佳一致性（作者摘要原文口径）。作者含 Zhijian Qiao、Xinjiang Wang、Jiajie Chen、Haoming Huang、Meng Li、Chih-Chung Chou、Jing Wang、Shaojie Shen（香港科技大学空中机器人团队背景）。代码将开源。

边界。 「更强控制/最佳一致性」的具体指标与基线列表需看正文；nuScenes/PanShot 之外的场景（室内、动态相机）未验证；与下游生成质量（而非仅相机位姿一致性）的关联未在摘要展开；视差先验对无纹理区域的依赖未讨论。

我的判断。 这篇值得与 AI 日报里的 World Labs Atlas（相机可控的 1 分钟 1440p 世界模型） 对照着读：相机可控生成正在从「demo 级可控」走向「度量级一致」，而 MeRoPE 指出这条路上一个具体的工程陷阱——位置编码的范数爆炸。对做自动驾驶仿真、影视预演、NeRF/3D 资产生成的团队，这篇的「保范数 + 刚体不变性」设计可以直接迁移；「极线视差先验」这类几何归纳偏置，也提示相机控制任务里显式几何知识仍然比纯数据驱动更稳。

5. One Prompt Is Enough：一句话提示词洗掉隐形水印——基础图像模型的「重建路径」是评测里缺失的攻击面

论文：One Prompt Is Enough: Watermark Laundering Through Foundation Image Models（2026-09-01，cs.CV/cs.AI/cs.CR）

资源：HF Papers

问题。 隐形水印的鲁棒性评测通常只针对预定义的扰动——压缩、模糊、噪声、裁剪、去噪。但公共基础图像模型暴露了一种不同的威胁：攻击者把带水印的图像连同一句重建提示词提交给图像编辑模型，拿回一张视觉保真、但水印已无法可靠解码的输出。现有评测根本没把这个「重建路径」算进去。

方法亮点。 把上述失败模式形式化为 watermark laundering（水印清洗），并提出联合 payload-保真度指标（位错误率 BER + 视觉与语义保持度）来同时衡量「水印毁了多少」与「图还像不像」。评测矩阵：6 款 OpenAI 与 Google 图像编辑模型 × 3 种代表性水印方案 × 1,800 张重建输出。

证据。 识别出两种互补的清洗机制：OpenAI 系模型在受评方案上产生最强的 payload 破坏；而 Nano Banana 2（Google） 显示 DwtDct 水印在高保真重建下依然可被洗掉。提示词消融显示：不需要任何「去水印」导向的指令——效果主要由重建通路本身诱导，而非显式攻击措辞；与压缩/模糊等传统攻击的对比进一步说明提示词条件重建是一个独立的攻击接口。结论：基础模型重建应被补进隐形水印评测的必备鲁棒性条件（作者摘要原文口径）。作者为 Jidong Yang、Qi Li、Wei Zong、Yang-Wai Chow、Willy Susilo、Huaike Yu、Chunpeng Wang、Suo Gao。

边界。 具体模型/水印方案名单与 BER 数值需看正文；1,800 张重建输出的提示词分布（简单重建 vs 风格改写）未在摘要展开；「清洗成功」对下游取证（大规模相似性检索、溯源服务）的实际影响未量化；攻击成本（调用公共 API）与防御方对策未讨论。

我的判断。 这篇和 AI 日报里 Anthropic 上线 C2PA 内容凭证检测工具是同一天的两面：溯源侧在加锁，反溯源侧在配钥匙。要特别注意区分两条技术路线——C2PA 是附在文件里的元数据凭证（截图/转格式即可剥离），这篇攻击的是信号级的隐形水印（更难剥离但可被「理解图像的模型」洗掉）。它的核心提醒是：当图像编辑模型学会「理解并重建」图像时，任何依赖「扰动不变性」的水印假设都要重新审计——因为重建不是扰动，它是在语义层把图重新画一遍。做内容溯源、版权保护或 AI 生成检测的团队，建议把「一句话重建」直接加进自己的鲁棒性测试矩阵。

今日阅读线索

五篇连起来看，本期最值得记的一条线索是：VLM 的工程化正在五个方向同时收紧——测、信、省、控、防。TempCloze 告诉你「评测要防语言捷径，时间对齐才是视频模型真短板」（测）；IntroConformal 告诉你「事实性控制可以不要外部验证器，模型自省信号 + 共形框架就能给统计保证」（信）；S²Prune 告诉你「剪枝要防空间偏置，覆盖保底比重要性排序更稳，32/576 token 还能保 79.3%」（省）；MeRoPE 告诉你「相机可控生成要防尺度失效，保范数的几何编码 + 刚体不变性才接得住真实轨迹」（控）；One Prompt Is Enough 告诉你「水印评测要防重建路径，一句提示词就能洗掉隐形水印」（防）。与上期（单次前向、索引时配置、校准外包、难度分级、免任务头）对照，方向感更加明确：论文侧的重心已经从「造更大的模型」稳定地转向「把已有模型测准、弄可信、跑更省、控得住、防得了」——而这五个词，恰好也是今天 AI 日报里三家前沿实验室产品动作（安全分档、内容溯源、事故审计）在研究侧的镜像。