Zero Knowledge Proofs in Quantum Networks
説明量子ネットワークにおけるゼロ知識証明
要約本論文は、運用上の制約下での量子状態の識別不可能性に基づくゼロ知識検証の枠組みを提案しています。局所操作による基本的制約を利用して、検証者は状態に関する情報を取得できない一方で、正しさを検証できることを示しています。さらに、多者間量子ネットワーク向けの具体的なプロトコルを構成し、情報理論的安全性を実現しています。
★★★★★ 注目
Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection
説明同じバイト列、異なる権限：チャットテンプレートにおけるプロンプトインジェクションと予約トークン表現
要約本論文は、LLMエージェントへのプロンプトインジェクション攻撃を調べたものです。偽造されたチャットテンプレート記号（例：<|im_start|>）が予約制御トークンとして入力されると攻撃の成功率が大きく上がることを示しています。これらを通常のサブワードとして符号化すると、InjecAgentベンチマークでの攻撃成功率は、オープンウェイトの多くのモデルファミリーで39〜66ポイント低下しました。一般的な分詞器の設定では、エージェントが信頼できないツール出力を読む際のツール用プロトコルトークンは保護されず、その差は同チャネルでも残ります。
注目点予約制御トークンと部分語エンコードの権威差を示し、プロンプトインジェクションへの影響を定量化した点が新しい。複数モデルとベンチマークで対比と消去実験を行い、防御への含意も大きい。
Sustained Participation as a Security Resource: The Bounded Participation Channel
説明持続的参加をセキュリティ資源とする：有界参加チャネル（BPC）
要約本論文は、時間ウィンドウごとに各IDの参加を繰り返し検証する形式的な基本要素「有界参加チャネル（BPC）」を提案しています。厳しい期限のもとでIDに結び付いた新しい課題を出し、s個のIDをT個のウィンドウにわたって維持するには少なくともsT/τ_h個の参加チャネル・ウィンドウが必要だという費用の下限を示します。三つのAIモデルは知覚課題で97〜100％の正答率を示しましたが、試験条件下では処理量に上限がありました。
Continuous Assurance of Agentic Security Auditors for Software Delivery Decision Gates
説明ソフトウェア提供の意思決定ゲートのためのエージェント型セキュリティ監査器の継続的保証
要約本論文は、継続的インテグレーションのパイプラインでセキュリティ統制として使われる大規模言語モデルベースのリポジトリ監査器について、その保証を継続的に維持する手法を提案する。方針、証拠、実行を分離する「Policy-Evidence-Execution Separation Pattern」を、TAIP保証エンジンとして実装し、CCPAとして運用するとしている。評価では、未修正のRepoAuditを固定のPython空ポインタ参照ベンチマークで用い、2種類のOpenAIモデル構成による80回の実行記録を使用した。単一ホストでの測定では、1,000の独立した保証コンテキストに対する全体の再計算は最大1.62秒で、事前に定めた5秒の予算内に収まったという。
Implementing Data Diodes Using Commodity Hardware and Open Source Software
説明市販ハードウェアとオープンソースソフトによるデータダイオードの実装
要約データダイオードは一方向にしかデータを送れないネットワーク機器で、高度なサイバー攻撃への防御に使われ、主に原子力発電所や政府機関に導入されています。本論文は、その機器を市販の光ファイバー網機器で組み立てられることを示し、受信側が再送を要求できないためパケット損失の抑制が必要だと指摘しています。損失の多くは受信プログラムの処理が遅いことが原因で、しばしば集中して発生することが測定されました。さらに、netcat、UDPcast、lidiの3つの既存ソフトを検証し、UDPcastとlidiには信頼性の高い設定を見つけ、成果をクロスプラットフォームのpydiodeに組み込みました。
★★★★★ 注目
Generic Bounds for Multi-Instance Problems: The Strange Case of Inverse Diffie-Hellman
説明汎用群における多重インスタンス問題の境界：逆 Diffie-Hellman の特殊なケース
要約本論文は、素数位数群上の多重インスタンス問題（n 個の独立したインスタンスを与え、少なくとも k 個を解けば成功とする）の汎用群における困難性を研究し、多重インスタンス CDH、SDH、IDH、LKDH を扱う。多重インスタンス CDH と SDH は、汎用群では k 個の独立した離散対数問題を解くのと同程度に困難であることを示す。一方、多重インスタンス IDH（および LKDH）は、特定のパラメータ領域では多重インスタンス CDH より著しく容易になりうるとする。全問題は 1/2(log(p)+log(k)) ビットの安全性を持つ。著者は Yun の超平面クエリモデルを拡張し、代数幾何の手法で下界を導く。
注目点汎用群下でマルチインスタンス問題を解析し、マルチインスタンスIDHがCDHより容易になり得ることを示し、Yunのモデルを拡張した点が新規性が高く、証明も厳密。
Poster: Towards ProofWeave: A Privacy-Minimised, Integrity-Anchored Evidence Plane for Continuous Agentic Assurance
説明ポスター：ProofWeave に向けて――継続的なエージェント保証のための、プライバシー最小化・完全性アンカー型証拠基盤
要約本論文は、エージェントAIシステムの記録時点での証拠連鎖の概念であるProofWeaveを提案しています。ポリシーに関わる各動作の境界で、エージェントの意図、制御の応答、時点のポリシースナップショットを結び付けた、プライバシーを最小化し完全性を固定した証拠トランザクションを生成し、追記専用台帳に記録します。機密情報を未承認の外部送信先に送る場面で、ログのみを用いる基準手法と比較したところ、判定ごとの候補バインディング数、検証操作数、証拠の保存容量のいずれも大幅に減少しました。
TANGO: Watermarking Masked Diffusion Language Models in Token Pairs
説明TANGO：マスク拡散言語モデルのトークン対への電子透かし
要約本論文は、マスク拡散言語モデル向けの文章用電子透かし手法TANGOを提案します。新しく生成するトークンを、すでにマスクが解除された近くのトークンと組み合わせ、秘密鍵で語彙を色のクラスに分け、鍵と近傍トークンの色で決まる色へ新トークンを偏らせます。検出には文章と鍵のみが必要で、解除順序は仮定しません。2つのモデルで、未編集の透かし文章はほぼすべて、編集済みのものも多くを検出でき、固定の緑リストを狙う頻度攻撃は効きませんでした。
OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates
説明OT-PCA：オフラインテンプレートを用いたHQCに対する新たな平文検査オラクル型サイドチャネル鍵回復攻撃
要約本論文は、ハミング準巡回符号に基づく耐量子暗号方式HQCを対象とした、平文検査（PC）オラクルによるサイドチャネル攻撃手法OT-PCAを提案する。公開されているHQC復号器を呼び出してオフラインテンプレートを構築し、遺伝的アルゴリズム型の手法で最適化する。シミュレーションでは、既存手法と比べてオラクル呼び出し回数が大幅に減少し（hqc-128で2.4倍）、オラクル精度が95%に低下した場合でも頑健であることが示された。ARM Cortex-M4マイコン上での電力解析による実機評価も行われている。
Trajectory-Level Security Debt in LLM Coding Agents
説明LLM コーディングエージェントの軌跡レベルにおけるセキュリティ負債の研究
要約本論文は、LLM コーディングエージェントが解決策を提出するまでに経る多数の中間コード状態に注目し、最終成果物だけを評価してもセキュリティ所見の推移は測れないと指摘します。著者はセキュリティ負債線積分（SDLI）を提案し、エージェントが新たな最良のテスト合格率に到達した時点で静的解析リスクを累積します。四つの静的アプリケーションセキュリティテストツールを用い、SWE-bench、ProgramBench、MirrorCode の複数の実行結果を分析しています。本論文は、これらの結果はスキャナーの検出結果であり、検証済みの脆弱性率ではないと明記しています。
★★★★☆ 注目
Batch Decryption from New Standard Assumptions
説明新しい標準的仮定に基づくバッチ復号
要約本論文は、権限者が選択された暗号文のバッチを公開復号できる短い鍵を発行する「バッチ復号」を研究している。暗号化メンプール（encrypted mempools）を動機とし、授権の意味と仮定が異なる二つの構成を示す。第一は Fiat の Batch RSA（CRYPTO'89）に基づくエポックレスなRSA群上の方式で、ランダムオラクルモデルにおいて強RSA仮定の下で適応的安全性を証明している。第二はエポックモデルにおける汎用的構成で、計算的Diffie-Hellman仮定から実現される。
注目点RSA群上でバッチ上限を事前に定めない簡潔なバッチ復号を構成し、強RSA仮定下で適応的安全性を証明しており、新規性が高い。
★★★★☆ 注目
Right Facts, Wrong Rule: Scope-Transfer Poisoning of Retrieval-Augmented Generation
説明事実は正しく、規則の適用が誤り：検索拡張生成における適用範囲のずれを利用した汚染攻撃
要約本論文は、検索拡張生成（RAG）システムにおいて、文書に記された適用範囲内でのみ有効な規則が範囲外の質問に誤って適用される問題を扱います。正しい事実が誤った回答を支える場合があることを示し、LLMエージェントによる攻撃枠組みLENSでこの失敗例を作成します。適用可能性の監査により、対象誤り率は70.8%から16.4%に下がったと報告されています。
注目点規則の適用範囲の誤用という新たな故障モードを示し、複数ベンチマークと適用性監査による因果検証で影響範囲も広いと判断した。
Adaptively UC-Secure Oblivious Transfer from Group Actions
説明群作用に基づく適応的UC安全な不経意転送
要約本論文は、CSIDHなどの有効群作用を仮定として、群作用から構成された適応的UC安全な不経意転送（OT）プロトコルを初めて提案しています。送信者は二つのメッセージを持ち、受信者はそのうち一つだけを知り、どちらを選んだかは明かされません。SPHF（部分ハッシュ関数）に適したIND-CCA暗号と検証可能な変色龍ハッシュを構成し、BC15の枠組みに組み込むことで、耐量子性を持つOTを実現しています。
When Valid Tool Calls Change Meaning: Formation-Consistent Dispatch for LLM Agents
説明有効なツール呼び出しが意味を変えるとき：LLMエージェントのための形成一貫ディスパッチ
要約本論文は、エージェントがモデルから見えるインターフェースに基づいてツール呼び出しを作成する一方で、実際の実装はホストが後から選択するため、標準的なディスパッチでは記述子とハンドラの関係が考慮されないと指摘します。同じ呼び出しでも、リリース、再接続、承認の遅延時に安全上の効果が変わりうることを、著者はスキーマエポック・ドリフトと呼んでいます。提案手法の形成一貫ディスパッチ（FCD）は、実装解析と実行権限を結び付け、32の公式リリースのうち29では版固有の変更が不要で、3つは段階的に扱われたと報告しています。
Efficient TCitH-Based Alternatives to SLH-DSA: Cross-Layer ASIC Design of Mirath
説明SLH-DSAの代替となるTCitHベース方式：Mirathの横断的ASIC設計
要約量子コンピュータがもたらす安全性リスクに対応するため、NISTはML-DSA、FN-DSA、SLH-DSAなどの耐量子署名方式を標準化しており、SLH-DSAの代替として格子以外の候補方式も評価しています。本論文はTCitHベースの署名方式Mirathを対象に、アルゴリズムとハードウェアを組み合わせた横断的手法により、RISC-Vベースのシステムに実装したASICを提示しています。同じ22nm FD-SOIプロセスで実装したSLH-DSAのASICと比べ、署名遅延は17.8倍低く、総セル面積は58%少ないとしています。
★★★★☆ 注目
Decryption Failures in NGCC Lattice KEMs: Correlated Blocks, Omitted Compression Noise, and Failure Boosting under a Query Cap
説明NGCC格子KEMにおける復号失敗：相関ブロック、省略された圧縮ノイズ、クエリ上限下の失敗増幅
要約本論文は、中国のNGCC耐量子暗号コンペティションに提出された複数の格子KEMについて、復号失敗確率を再計算しています。解読ブロックの相関、Cheetahの仕様で省略された圧縮ノイズ項、Rudraksh2およびScabbardの二次元符号における有界ノイズという三つの機構を検討しています。著者らは、いくつかのパラメータで失敗確率が設計者の主張より低くなると報告していますが、鍵の回復は行っていません。
注目点複数の復号失敗機構を見出し失敗率を再評価し、一部パラメータの安全余裕不足を示した点は新規性が高い。ただし根拠はモデル仮定と外挿に依存する。
★★★★☆ 注目
Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli
説明分円剰余類：素数冪法における隠れ部分群と量子ふるいアルゴリズム
要約本論文は、後量子暗号の基礎的仮定であるLWE問題を対象に、二面体剰余類問題を分円的に一般化した分円剰余類問題（CCP、Cyclotomic Coset Problem）を提案し、厳密な隠れ部分群の構造を保つことを示しています。分円体上のπ進イデアル列を利用して、位相状態をπ^L からπ まで順に縮約する量子ふるいを構成しています。固定された素数pと q=p^t の場合、CCPを2^{O_p(log n log q)}の時間と標本数で解けると述べられており、同手法は一様なEDCPやガウス型の場合にも適用されます。ただし、この結果だけでは標準LWEに対する準多項式時間アルゴリズムは得られないとされています。
注目点円分剰余類問題と π 進イデアル連鎖に基づく量子篩法を提案し、2冪の場合を素数冪モジュラスへ拡張。標準LWEには直接適用できない。
Still There, No Longer Seen: Exposing Compression-Induced Risk in Large Vision-Language Models
説明『まだそこにあるが、もう見えない』：大規模視覚言語モデルにおける圧縮に起因するリスクの解明
要約本論文は、大規模視覚言語モデルの推論コストを下げるために視覚トークンを圧縮した際に生じるリスクを検討しています。完全なトークンでは正しく、圧縮後に失敗する敵対的入力を「圧縮特有の失敗」と定義しています。これに基づき、視覚エンコーダのみにアクセスできる条件で画像を摂動させる攻撃手法CIRAを提案しています。防御手法によりCIRAはある程度抑えられるものの、適応型攻撃では効果が部分的に回復すると報告されています。
Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli
説明分円剰余類：素数冪法における隠れ部分群と量子ふるいアルゴリズム
要約本論文は、耐量子暗号の基盤となるLWE問題に関し、二面体剰余類問題（DCP）を分円に一般化した分円剰余類問題（CCP）を提案し、正確な隠れ部分群構造を保つことを示しています。著者らはπ進イデアル鎖を利用した量子ふるいを構成し、素数pと法q=p^tについて2^{O_p(log n log q)}の時間・サンプル数で解けるとしています。ただし、この結果だけでは標準LWEに対する準多項式時間アルゴリズムは得られないと明記されています。
★★★★☆ 注目
ML-DSA masking sweetened with SUCRE: Shuffle-and-Unmask Countermeasure for REjection sampling
説明SUCREによるML-DSAマスキング：拒否サンプリングのためのシャッフル・アンマスク対策
要約本論文は、NISTが標準化した耐量子署名方式ML-DSAの拒否サンプリング段階を物理攻撃から守るための新しい対策SUCREを提案します。マスキング部品がベクトルのアンマスクと同時に係数のランダム置換を行い、無限大ノルムを保つため、複雑なマスク変換なしで拒否サンプリングを通常どおり進められます。著者らは形式的な安全性証明と、新しいModule LWR仮定の変種に基づく具体的な安全性解析を示しています。実装はCoronら（TCHES 2024）の手法より4〜6倍高速ですが、メモリ使用量は増加します。
注目点ML-DSAの棄却サンプリングを守る新しい乱数置換マスキングゲートを提案し、新たなMLWR変種の安全性解析も与えており、新規性が高い。
Before Acting, Change the State: Prospective State Intervention for Web Agents under Deceptive Interfaces
説明行動の前に状態を変える：欺瞞的なインターフェースにおけるWebエージェントの先読み状態介入
要約LLMベースのWebエージェントはユーザーのタスクを自律的に完了できますが、欺瞞的なインターフェースによって、ユーザーの利益に反する結果へと誘導される恐れがあります。本論文は、タスクに適した行動であっても、現在のWeb状態によって無許可の結果を生じうるという新たな失敗モードを指摘します。提案手法Veerは、提案された行動が無許可の結果を生む場合に、安全な状態へ向かう先読み介入の軌道を構築し、実環境を変更する前に実行と検証を行います。TrickyArenaとWebDeceptでの評価では、3つの評価設定すべてで安全なタスク完了率が最も高く、WebDeceptにおけるダークパターンの成功率は0.3%まで低下しました。
JevVibe: Efficient Classification-Guided Secure Code Generation
説明JevVibe：分類誘導による効率的な安全なコード生成（セキュアコード生成の改善手法の説明）
要約大規模言語モデルが生成するコードには、機能的には正しくても脆弱性が含まれることがあります。本論文は、CWE（共通脆弱性タイプ一覧）ラベルを候補から直接選んで確率を返す判定モデルJevを提案し、6つのオープンウェイトモデルおよびGPT-5.6-Solと比較しています。さらに、Jevの診断結果を用いて脆弱性を修復するエージェントJevVibeを構築し、安全性テストの通過率を63.5%から70.7%に改善したと報告しています。
DGF-Bench: A Benchmark for Simulating and Auditing Deception Against Multi-Agent Governance Boards
説明DGF-Bench：マルチエージェント型ガバナンス委員会に対する欺瞞をシミュレーションし監査するためのベンチマーク
要約本論文（arXiv）は、言語モデルを用いたエージェントの委員会が合成された案件資料を審査する際、攻撃者が組織の保証しない証拠に欺瞞的な内容を埋め込む状況をシミュレーションするベンチマーク「DGF-Bench」を提案しています。多くのモデルは大半の関門で正しい判断を下しましたが、組織自身の手続きを模倣する「タスク整合型」攻撃では、一部モデルの正答数が大きく低下しました。あわせて攻撃を防いだ割合を示すDGFスコアと、一つのコマンドで算出できるオープンソースパッケージdgf-benchが紹介されています。
JEV as a Judge for Agent Trace Security: An Empirical Comparison with Generative LLM Judges
説明エージェント軌跡のセキュリティを判定するJEV：生成型LLM判定器との実証比較
要約本論文は、ツールを利用するエージェントの行動履歴（軌跡）の安全性評価を扱い、型付き決定モデルJEVと4つの生成型LLM判定器を比較しています。4つのベンチマーク、計5,219件の軌跡で評価した結果、JEVの平均陽性クラスF1は77.8で、最良の生成型構成GLM-5.2の74.1を上回りました。JEVの成功呼び出しの中央値レイテンシは0.99秒、有効な判定1件あたりの推定コストは平均0.000195ドルで、著者らはこれを適正価格の筛査シグナルとして支持しつつ、適合率と再現率のトレードオフがあると述べています。
TEE Anchor: Cross-TEE Organizational Endorsement for Mitigating TEE Physical Attacks
説明TEE Anchor：TEE間の組織による保証で、TEEへの物理攻撃を軽減
要約2025年、TEE.fail や Battering RAM など、TEEに対する実用的な物理アクセス攻撃が公表されました。論文は TEE Anchor を提案します。これは X.509 証明書に基づき、組織が CPU ごとの一意の Chip ID に証明書を発行して自前の PKI を構成し、検証者は証明データ中の Chip ID と照合して機器の所属を証明する仕組みです。(v)TPM などの追加の信頼の根を必要とせず、既存手法より運用コストと導入性で優れるとされ、プロトタイプでは全処理が数ミリ秒で完了したと報告されています。
Physics-Attested Federated Learning: Securing Collaborative Anomaly Detection in Critical Water Infrastructure
説明物理的検証付き連合学習：重要な水インフラにおける協調的異常検知の保護
要約本論文は、連合学習におけるデータ改ざん（ポイズニング）への対策として、保存則やアクチュエータ結合などの物理プロセス不変量を、自動的に学習した上で連合更新の検証可能な受け入れ条件として用いる手法を提案しています。SWaT・WADI の二つの水処理実験系と BATADAL 配電ベンチマークで、七種の集約規則を、テレメトリの捏造、リプレイ型ポイズニング、不変量を考慮した適応攻撃に対して評価しています。さらに、ゼロ知識証明（zk-SNARKs）を用いて、運用テレメトリを明かさずに不変量への適合を証明する方法も示しています。
CoSec: Benchmarking Agent Security in Communities
説明CoSec：コミュニティ環境におけるエージェントのセキュリティを評価するベンチマーク
要約本論文は、コミュニティの内外で動作する大規模言語モデル（LLM）エージェントのプライバシーと認可の遵守を評価する実行可能なベンチマーク「CoSec」を提案している。208のシナリオを含み、固定的な境界と変化する境界、エージェント所有者や他の参加者の保護対象情報、対話・環境コンテンツ・永続メモリ・組み合わせワークフローを通じた攻撃を扱う。結果として、エージェントは正当なタスクを完了することが多い一方で、プライバシーや認可の境界を破ることがあり、タスクの有用性がプライバシーや認可の遵守を意味しないことが示された。
★★★★☆ 注目
Geometric Forgeries: Structural Cryptanalysis of MAYO
説明幾何学的偽造：MAYOに対する構造的暗号解析
要約MAYOはUOVに基づく耐量子署名方式で、whipping変換により公開鍵を小型化しています。本論文は、得られた多変数二次写像の幾何構造を利用する初の構造的偽造攻撃を提示し、Pseudo-Oil攻撃と二元体への降下を組み合わせています。さらに齐次多変数二次写像に対する多目標還元も導入されています。著者らによれば、この組み合わせ攻撃によりMAYO Round 2のレベルI・IIIのパラメータの推定安全ビット数はそれぞれ約18・16ビット低下し、レベルIは要求水準を15ビット下回ります。Round 3のパラメータでも約6・4・2ビットの低下があり、MAYO2は要求水準を3ビット下回るとされています。
注目点whipping変換が生む幾何構造を利用した初の偽造攻撃で新規性が高い。根拠は主にビット安全性の推定で、実装による検証は限定的。
★★★★☆ 注目
Optimizing and Securing the Modern Watermarking Channel for Images
説明現代の画像電子透かしチャネルの最適化と安全性の強化
要約生成コンテンツのトレーサビリティを求める最近の規制に対応するため、現代の電子透かしはエンコーダ・デコーダ対からなる事後型マルチビット方式を採用しています。本論文は、これらの深層ニューラルネットワークが並列AWGNチャネル（BPSK変調）として暗黙に定義する透かしチャネルを統計的に分析し、そのため容量が制限され、秘密鍵がないため安全性に欠けることを示します。その理論に基づき、容量で既存の最先端手法を大きく上回り、強い安全性保証をもつSNWを提案しています。
注目点深層水印方式が実質BPSKの並列AWGNチャネルであることを統計的に示し安全性を定式化、容量に近い新方式を提案しており新規性は高い。ただし実験の詳細は摘要からは判断しにくい。
Binding Humans to Keys: A Secure Decentralized Proof of Personhood Protocol
説明人と鍵を結び付ける：安全な分散型人格証明プロトコル
要約本論文は、信頼できる中央機関なしにデジタルIDを一意の生身の人間へ暗号学的に結び付ける分散型人格証明プロトコル「S-GYID」を提案する。生体情報の生送信を、暗号ベースのデジタル指紋導出に置き換えることで、身元盗用攻撃とゴーストキー攻撃に耐性を持たせる。さらに三層の世代別権限階層と VRF に基づくセッション選択により長期的な共謀を構造的に制限し、標準的な暗号仮定の下で各耐性を証明するとともに、パラメータ設計の規則を示す超幾何分布によるセッション捕捉分析を行っている。
StallGrid: Measuring Internet-exposed Engagement in Protocol-Native OT Tarpits
説明StallGrid：OTプロトコル内で走査者を足止めするタールピットとインターネット露出下での交流の計測
要約本論文は、著者らの知る限り初めてOT/ICS向けのアプリケーション層タールピットであるStallGridを提案します。Modbus例外コードとIEC-104の接続状態を用いて、スキャナーを正規のプロトコル内で足止めします。5つの変種を24日間運用し、6,709セッションと2,000時間を超える累計接続時間を記録しました。パッチ適用が難しい工業環境での補完的な防御策として位置づけられています。
An improved near-capacity lower bound for Reed-Solomon lists on multiplicative subgroups
説明乗法部分群上の Reed-Solomon リストに関する改良された容量近傍の下界
要約本論文は、乗法部分群上に大きな Reed-Solomon リストを得る初等的な構成法を示しています。固定された有理符号化率に対し、リストサイズの指数の主要項が Arnon、Boneh、Fenzi による対蹠下界の2倍になることを示しています。さらに、S-two ホワイトペーパーの普遍的リストサイズ予想に現れる指数定数 c2 は少なくとも 2 でなければならないと結論づけています。
An Operator-Norm Approach to Security with Quantum Advice
説明量子アドバイスの下での安全性に対する作用素ノルム手法：量子暗号理論の論文
要約本論文は、量子ランダム・オラクルおよびランダム置換モデルにおける非一様安全性のための作用素ノルム手法を提案し、探索成功確率と識別優位性の双方を統一的に扱う帰着を与えます。この枠組みにより、ソルト付きとソルトなしの両方のYaoの箱に対して厳密な上界が得られ、擬似乱数生成器の上界も改善されます。さらに、判定ゲームに対する最適な一般的ソルティング定理を証明しています。また、オフライン段階の既存クエリと以後のオンラインクエリの寄与を分離するゲームの性質を定義し、特定のソルト付き構成に対してより強い上界を導いています。
★★★★★ 注目
An Operator-Norm Approach to Security with Quantum Advice
説明量子アドバイスを伴う安全性の作用素ノルムによるアプローチ
要約本論文は、量子ランダムオラクルおよびランダム置換モデルにおける非一様安全性について、作用素ノルムに基づく新しい手法を提案している。この手法により、探索成功確率と識別優位性の双方に対する統一的な帰着が得られ、Yaoのボックスや擬似乱数生成器に対してより厳密な上界が示される。
注目点非一様安全性に対する演算子ノルム手法を提案し、Yaoの箱とソルティングの厳密な上界を与え、決定ゲームの旧い界を改善した。
AuxMark: Defending Against Unauthorized Agent Distillation via Auxiliary Behavioral Watermarking
説明AuxMark：補助的な行動ウォーターマークによる無許可のエージェント蒸留への対策
要約本論文は、無許可のエージェント蒸留を追跡するための行動ウォーターマークの枠組みAuxMarkを提案します。教師エージェントの軌跡に安全で本質的でない補助的な行動を動的に挿入し、関連する文脈を非公開の証拠カードとして保存します。疑わしい学生モデルの監査は、真と偽のプローブの組とカード単位の符号検定によりブラックボックスで行われます。三つのエージェントベンチマーク、二つの教師エージェント、四つの学生アーキテクチャでの実験において、論文は48の正常なモデルで誤検出ゼロのまま、蒸留された24のモデルすべてを検出したと報告しています。
★★★★★ 注目
MMSkillRisk: Can Agents Stay Safe When Multimodal Skills Become Traps?
説明MMSkillRisk：マルチモーダルスキルが罠になったとき、エージェントは安全を保てるか
要約本論文は、マルチモーダルスキル内の画像を用いた攻撃を端から端まで安全性評価するためのベンチマーク MMSkillRisk を提案している。悪意ある指示を、教材画像の注釈やインターフェースラベルなどの正規の要素に見せかける攻撃手法 NCVA を設計した。九つのモデルと実行環境の構成での評価では、プールされた攻撃成功率は 43.1% に達し、テキスト攻撃の基準を 16.4 ポイント上回った。また、攻撃の成功と正当なタスクの完了が同時に起こる場合があることも示された。
注目点画像で運ぶマルチモーダルスキルの攻撃の実行時リスクを初めて体系的に評価し、NCVAを9構成で隔離サンドボックス実測、ASRはテキスト基準を16.4pt上回る。
★★★★☆ 注目
SEAD: A State-Based Perspective on Attack and Defense in Tool-Using Agents
説明SEAD：ツール利用エージェントにおける攻撃と防御の状態ベース視点
要約本論文は、言語モデルエージェントの攻撃と防御を、部分的にしか観測できない状態制御の問題として統一的に定式化している。提案する攻撃手法DARTは、有害な目的を局所的にもっともらしい段階に分解し、ツール実行のフィードバックを用いて軌道探索を導く。防御手法SAGEは、各動作を許可またはブロックする前に、読み取り専用のクエリで関連する状態を調査できる。実験では、DARTが基準手法より意味的攻撃成功率を18.8～35.9ポイント高め、SAGEは記録された軌道で良性の軌道の95.79%を維持しつつ、有害な経路の92.73%を遮断し、オンライン評価ではDARTの実行可能な攻撃成功率を48.0%から4.0%に低下させた。
注目点攻撃と防御を部分観測状態制御として統一し、DARTとSAGEを提案。複数モデルと在線評価で実験的裏付けが厚く、ツール利用エージェントの安全性に一定の影響がある。
How to Tame a Multi-Headed Hydra? Adaptive Multi-Category Safety Steering for Large Language Models
説明多頭のヒドラをどう手なずけるか？大規模言語モデルのための適応的多カテゴリ安全性ステアリング
要約本論文は、推論時に内部の活性化を調整して大規模言語モデルの安全性を高めるCAM-Steerフレームワークを提案する。現在の隠れ状態を安全・危険それぞれのプロトタイプと比較して各危害カテゴリのリスクを推定し、そのリスクに基づいて複数のカテゴリの安全方向を一つのステアリング方向にまとめ、介入の強度を決める。隠れ状態のノルムを保ったまま、合成された方向に沿って回転させる。3種類のモデルと7つの危害カテゴリでの実験では、複数カテゴリが同時に現れる場合を含め、平均防御成功率で比較手法を上回り、推論時の追加コストはごくわずかであったと報告している。
★★★★☆ 注目
CoDeL: Co-Evolutionary Defense against Indirect Prompt Injection in LLM-based Agents
説明CoDeL：LLMエージェントへの間接的プロンプトインジェクションに対する共進化型防御
要約本論文は、LLMベースのエージェントを間接的プロンプトインジェクション（IPI）から守る訓練型防御手法CoDeLを提案する。防御モデルはLoRAとGDPOを用い、安全性・タスク進行・形式遵守の分離された報酬で更新される。同時に攻撃プローバーが、現在の防御を突破する注入を探索し続ける。3つのベンチマーク、9つのベースライン、2つのベースモデルでの実験により、攻撃成功率を88.5%削減したと報告されている。
注目点防御者と攻撃者を共進化させる学習枠組みを提案し、攻撃遅延で脆弱性を発掘。3ベンチマーク・9基線でASRを88.5%削減。
★★★★☆ 注目
Cheap to Hypothesize, Costly to Verify: The Defense Surface of Agentic Vulnerability Discovery
説明仮説は安く、検証は高価：エージェント型脆弱性発見における防御面
要約本論文は、自律型LLMエージェントが有限な予算の下で脆弱性の仮説を立てるコストは低いものの、到達可能性分析・実行・概念実証による検証は遥かに高コストであり、その検証作業自体が防御対象になりうると指摘します。著者らはRedHerringを提案し、安全性を認証可能な囮コードを挿入して検証資源を偽の脆弱性へ逸らします。33のOSS-Fuzzプロジェクト、70の評価事例、5つのモデルを用いた実験では、真の脆弱性の発見数が38.7〜60.4%減少しました。
注目点検証の非対称性を示し、証明可能に安全なデコイ防御を提案して新規性は高い。ただし33プロジェクト・70インスタンスの評価に留まる。
Breaking Windows Malware Detection: A Comprehensive Evaluation of Problem-Space Adversarial Robustness
説明Windowsマルウェア検出の問題空間における敵対的ロバスト性の包括的評価
要約本論文は、八つのWindowsマルウェア検出器（オープンソースモデル七種と商用検出器一種）に対して、九つの最新回避攻撃を実行可能性を保った条件で統一的かつ大規模に評価したものです。攻撃の有効性、相補性、転移性、敵対的強化の観点から頑健性を検証しています。検出器の脆弱性はモデル表現と攻撃の種類に強く依存し、すべての攻撃に対して一様に頑健な検出器系統は見つかっていないと報告しています。
ReproBench: Benchmarking LLM Agents on Reproducing Vulnerability From Scratch
説明ReproBench：LLM エージェントによるゼロからの脆弱性再現能力のベンチマーク
要約本論文は、CVE 識別子のみを与えられた LLM エージェントが、環境構築から脆弱性の再現までを一貫して行えるかを評価するベンチマーク ReproBench を提案する。再現工程を六つのフェーズに分け、それぞれを検証可能な成果物で評価する。30 件の実世界 IoT ファームウェア脆弱性で評価した結果、テスト実行の 45.3% が脆弱性のシミュレーションに頼り、実際の脆弱性を再現できたのは 5.3% の CVE-モデル組み合わせにとどまった。
Similarity Is Not Validity: Defending LLM Semantic Caches Against Poisoning
説明類似性は妥当性ではない：LLM セマンティックキャッシュへの汚染攻撃を防ぐ
要約セマンティックキャッシュは、意味的に近い問い合わせに対して過去の回答を再利用することで LLM の提供コストを下げます。しかし検索は埋め込みの類似度のみに基づくため、攻撃者が良性の要求と高い類似度を持つ問い合わせの下に悪意ある回答を登録できてしまいます。本論文は、キャッシュキーの生テキストから有効なヒットと無効なヒットを区別するための情報を回復する防御手法を提案します。3 種類の汚染攻撃において、誤検知率 5% の条件で汚染エントリの 82.0% から 98.2% を遮断し、提供時のオーバーヘッドはわずかだと報告されています。
★★★★★ 注目
Quantum Security of XOR of Permutations via Fourier Analysis
説明置換のXORの量子安全性をフーリエ解析で解析する論文
要約本論文は、独立なランダム置換のXOR（XoP）が、重ね合わせで問い合わせる量子攻撃に対してどの程度安全かを調べたものです。任意のq回の量子問い合わせに対する識別優位性の上界を示し、q が 2^n より十分小さい範囲で、XoP がランダム関数と区別しにくいことを証明しています。証明はフーリエ解析版の多項式法によります。また、上界がほぼ最適であることを示唆する簡単な攻撃も提示されています。
注目点置換のXORが量子攻撃下で誕生日限界を超える安全性を持つことを初めて証明し、フーリエ解析で低次成分を処理した点が新規性が高い。
★★★★☆ 注目
Coherence Rather Than Error Rate Governs Privacy in Multi-Tenant Quantum Computing
説明マルチテナント量子計算では、プライバシーを左右するのは誤り率ではなくコヒーレンスである
要約本論文は、クラウド量子プロセッサを複数のテナントが共有する場合に、一方が他方についてどれほどの情報を得られるかを検討します。著者らは量子状態の識別可能性に基づく情報漏えいの尺度を提案し、IBM Kingston（156量子ビット）とIQM Garnet（20量子ビット）の装置で測定しました。同じ基準誤差でも漏えい量が大きく異なることが示され、一般的な誤差指標は誤りがコヒーレントか確率的かを区別できないと論じています。また、被害者側のレジスタ全体に一様なPauli乱択を適用すると漏えいをゼロにできる一方、実験では誤りの蓄積による性能低下も観察されたと報告しています。
注目点量子状態の識別可能性に基づくテナント間情報漏洩指標を提案し、平均誤差では隠れるプライバシーリスクを示す。実測は二台の商用機に限られる。
TPOKÉ: Threshold Public-Key Encryption from POKÉ via Isogeny Sharing
説明TPOKÉ：同種写像の共有による POKÉ ベースの閾値公開鍵暗号
要約本論文は、Basso と Maino が提案した効率的な同種写像ベース公開鍵暗号 POKÉ（ポケ）をもとに、閾値公開鍵暗号方式 TPOKÉ を提案している。主力の S-TPOKÉ は (t,n) 閾値方式、Ch-TPOKÉ は各参加者の秘密同種写像を鎖状に配置する (n,n) 方式である。単純な並列構成と比べ、暗号化時の計算数を減らし、n が大きい場合は暗号文サイズをおよそ半分にするとされる。
Before Agents Act: Assurance-Aware Semantic Scheduling for Evidence Acquisition in Distributed Systems
説明エージェントが行動する前に：分散システムにおける証拠取得のための保証考慮型セマンティックスケジューリング
要約本論文は、定足数・多様性・鮮度・期限・資源の制約下で証拠の見届け先を選択し実行順序を定めるAAS（Assurance-Aware Semantic Scheduling）を提案します。生成した三つのインフラ作業負荷による制御されたシミュレーションでは、有効な候補が1,200件中1,075件となり、制約考慮型の前向きスケジューリングの647件を上回りました。また、古い候補は440件から12件に減少しました。著者らは、これらは仮想実験の結果であり、有界オラクルと時間探索部品を共有しているため、実運用システムへの適用はまだ検証されていないと述べています。
Separation of Duties for Privileged LLM Agents: A Governed Execution Architecture with Measured Security-Utility Trade-offs
説明特権を持つLLMエージェントの職務分離：統制された実行アーキテクチャと測定された安全性と有用性のトレードオフ
要約大規模言語モデルエージェントはコマンド実行やファイル変更、API呼び出しなどの実権限を与えられつつあり、誤った場合には既に動作が実行されてしまいます。本論文は、モデルの外側で実行経路を統制する構成として、エージェントとOSの間に計画者、ポリシーゲート、実行者、監査者の4つの役割を置くアーキテクチャを提案します。313件のベンチマークでは、有効な攻撃成功率が直接実行時の98.3%から展開後の7.7%に下がり、補正後の誤拒否率は11.1%でした。
Error Propagation-Aware Scale Design for Efficient Homomorphic Encryption-Based LLM Inference
説明同型暗号LLM推論のための誤差伝播を考慮したスケール設計
要約本論文は、CKKS方式に基づくプライバシー保護型大規模言語モデル推論の効率化を目的として、誤差伝播を考慮したスケール設計を提案している。各同型演算で生じる数値誤差がTransformerの後続計算へどう伝わるかを解析し、個々の演算に必要な精度を見積もって、スケールとモジュラスレベルを割り当てる。標準的なTransformerではTHORと比べてモジュラス消費を30.0%、ブートストラップ回数を83.6%削減し、HE向けTransformerではPowerFormerと比べてモジュラス消費を33.6%、ブートストラップ回数を80%削減したと報告している。
★★★★☆ 注目
Quantum Security of XOR of Permutations via Fourier Analysis
説明フーリエ解析による置換のXORの量子安全性
要約本論文は、独立な r 個のランダム置換のXOR（XoP）が量子攻撃者に対してどの程度安全かを扱う。q ≤ 2^n/57774 の問い合わせ範囲で、ランダム関数と区別できないことを示し、量子の誕生日限界を大きく超える。フーリエ解析に基づく多項式法で上界を導き、いくつかの啓発的攻撃によって上界がほぼ タイトであることを示唆している。
注目点置換のXOR構成が量子問讨下で誕生日限界を超える安全性を持つことを初めて示し、フーリエ解析と圧縮オラクルで厳密に証明している。
CATP: Design and Evaluation of Local Agent Authorization and Audit Evidence
説明CATP：ローカルエージェントの認可と監査証跡の設計と評価
要約本論文は、実行前にローカルで下された認可決定を、オフラインで検証可能な証跡に変換するためのCATP仕様を提案します。Claude CodeおよびCodexへの実装で検証を行い、一貫性チェックが不足している五つの点を明らかにし、それらを追加すると期待どおりの判定になったと報告しています。証跡の信頼性は信頼できる実行環境、監視機構、ホスト、署名鍵に依存し、実行の真実性までは証明しません。
RADNPO: Reference-free Adaptive Negative Preference Optimization for LLM Unlearning
説明RADNPO：LLMアンラーニングのための参照不要な適応型負の選好最適化手法
要約大規模言語モデルは事前学習中に機密情報・個人情報・著作権保護対象の内容を記憶する可能性があり、特定の知識を除去するための機械的アンラーニングが必要です。本論文は、忘却対象の確率を抑制しつつ次トークン分布の再配分を明示的に誘導するRADNPO（Reference-free ADaptive Negative Preference Optimization）を提案します。各忘却対象を現在の分布が好む他のトークンと対比させ、対象の確信度と分布の集中度に応じてトークン単位の忘却強度を適応的に調整します。TOFUおよびMUSEでの実験では、既存のベースラインより忘却品質とモデル有用性のバランスが良いことが示されています。
★★★★☆ 注目
Certified Multi-Source Integrity for Structured Agent Actions
説明構造化エージェント操作のための認証付きマルチソース完全性
要約大規模言語モデルのエージェントは、請求書の支払いのように権限が必要で取り消しの難しい構造化操作を行うことが増えており、その各フィールドは攻撃者に改ざんされうる文書やツール出力から組み立てられます。本論文は、各フィールドの証拠構造が支える規則を満たした場合にのみ操作を承認する安全な認証器を提案します。これには、最小ヒッティング集合で数える損傷半径、補完フィールドの決定的照合、単一ソースのフィールドに対する信頼できるアンカーが含まれます。実際のエージェントループで5つのモデルを検証した結果、この認証器は安全でない操作を承認せず、ベースライン手法は一部の攻撃により破られたと報告されています。
注目点共有上流ソースを考慮した腐敗予算下で構造化アクションの完全性を認証する枠組みを提示し新規性が高い。制裁データと実エージェントループで検証し証拠は比較的充実。
Raising the Bar for Chinese Adolescent LLM Safety: A Culturally-Grounded, Fine-Grained Benchmark
説明中国の青少年向けLLM安全性の基準引き上げ：文化的背景に基づく細粒度ベンチマーク（QH-Bench）
要約本論文は、中国の社会・文化的場面を基盤とした青少年向けコンテンツ安全性のための中国語ベンチマーク「QH-Bench」を提案しています。単発テスト715問と4ターンの対話軌道100件を含みます。13のオープンウェイトモデルの評価では、オンラインの知り合いとのオフライン接触が共通の弱点として挙げられています。総合スコアが高くても、これらの具体的な弱点が解決されたことにはならないと述べています。
★★★★☆ 注目
Improved Cryptanalysis of Local PRGs
説明局所型擬似乱数生成器（local PRG）に対する改良された暗号解析
要約本論文は、XorMaj 述語を用いる局所型擬似乱数生成器（PRG）に対する二種類の種（seed）回復攻撃を提示している。局所性が大きい場合には GAS 手法を推測・フィルタ・解法（GFS）へと拡張し、出力が短いときに GAS より大幅に優れることを示す。また、GADec を基にした過滤・推測・伝播（FGP）攻撃も提案され、信念伝播の高速化により GADec を大きく上回るとされる。さらに両手法は XorMod 述語にも拡張され、二つのプロトコルに適用されている。
注目点Group-and-SolveとGADecを発展させたGFSとFGPを提案し、既存手法を大きく上回る計算量を実験で示した。局所擬似乱数生成器の安全性評価に影響がある。
Long-Term Operational Planning Using Scenario-Based System Load Forecasting
説明シナリオ型系統負荷予測を用いた長期運用停電計画の研究
要約北バージニア州ではハイパースケールデータセンターの拡大により電力需要が急増し、地域の電力会社は送電網の強化が必要になっています。これらの工事には数か月前から計画停電の評価が求められます。従来の方法は月次または季節のピーク負荷に基づいて日ごとに評価するため保守的になりがちで、短時間の停電が延期または却下されることがあります。本論文は、日次・週次・月次の多粒度負荷予測（SARIMA、Prophet、勾配ブースティング、ランダムフォレスト）と自下而上の時間的整合化を用い、従来のピーク基準法と比較しています。その結果、既存の信頼性基準を変えずに、特に短時間の停電要請をより適切に受け入れられることが示されました。
★★★★☆ 注目
Dual lattice attacks for bounded distance decoding, revisited
説明有界距離復号における双対格攻撃の再検討：ヒューリスティックを用いない漸近的トレードオフ
要約本論文は、双対格攻撃で短い双対ベクトルのスコアが互いに独立であるという仮定を再検討する。Haar乱格子モデルにおいて、ヒューリスティックな仮定なしに、前処理付きの（判定版）有界距離復号の明示的な漸近的トレードオフを証明する。Siegel と Rogers のモーメント恒等式を用いて完全な双対球上の余弦スコアを解析し、格子を法とする一様なターゲットと所定半径に置かれたターゲットを区別する際の誤り確率を評価する。双対半径を最適化すると、ターゲット半径と問い合わせ時間のトレードオフが得られ、それはDucas-Pullesの条件付きモデルによる漸近予測と一致する。
注目点ヒューリスティック仮定なしにHaar乱数格モデルでBDD前処理の漸近トレードオフを証明し、条件付きモデルの予測と一致させた。
Faultless: A Program Equivalence Technique for Validating and Evaluating Neural Decompilers
説明Faultless：ニューラル逆コンパイラの検証と評価のためのプログラム同等性技術
要約本論文は、ニューラル逆コンパイラに対して翻訳検証とモデル評価を行うためのプログラム同等性技術「Faultless」を提案している。決定的逆コンパイラの出力（より強い正しさの性質を持つ）や参照解と、ニューラル逆コンパイラの出力を比較する。既存の手法では扱いにくい、限られた非機能的文脈や逆コンパイル結果の系統的な意味の不一致といった課題に対応するため、静的シンボリック実行に基づき、専用の実行モデルとメモリモデルを用いている。
LoRo-Mark:Provably Lossless and Robust Agent Watermarking
説明LoRo-Mark：証明可能に無損失かつ頑健なエージェント透かし手法
要約本論文は、LLMエージェントが第三者に再パッケージ化される問題を扱い、正常な機能を損なわずに所有権の証拠を埋め込むLoRo-Mark透かし機構を提案しています。透かしは所有者が許可したリクエストによってのみ有効化される、暗号学的に認証された鑑識分岐に隔離されます。さらに、所有権情報を鑑識用の行動系列に冗長に分散させることで、部分的な行動の置換や系列の切り捨て後も復元できるとしています。複数のLLMエージェントによる実験では、通常タスクの性能低下はゼロで、系列の改変後も所有権を確実に検証できたと報告されています。
PerceptFence: Content-Mediation Architecture and Deterministic Coverage for Screen-Share AI Assistants
説明PerceptFence：画面共有型AIアシスタント向けのコンテンツ仲介アーキテクチャと決定的カバレッジ評価
要約本論文は、画面共有型AIアシスタントが機密内容を観察・保存・開示してしまう問題に対し、キャプチャ、メモリ、モデル応答の間にコンテンツ層の仲介を入れるPerceptFenceを提案しています。合成データでの評価では、数字系の個人情報の無害化率は0.828で、Presidio（0.183）を上回りましたが、それ以外の範囲ではPresidioが優れていました。OCRを通す合成画面480件の評価では、968件のうち889件の秘密情報・個人情報を無害化（0.918）し、Presidio（0.581）やgitleaks（0.179）を上回りました。著者らは、本研究の貢献は実運用や形式的なプライバシー保証ではなく、アーキテクチャと評価手法にあると明記しています。
SweepMark: Query-Free and High-Fidelity Attacks on Robust Audio Watermarking
説明SweepMark：堅牢な音声透かしに対するクエリ不要・高忠実度の攻撃手法
要約本論文は、音声合成（TTS）の悪用を追跡するために音声に埋め込まれる透かしを除去する、ブラックボックス攻撃手法SweepMarkを提案しています。対象の透かしモデルや対になるクリーン音声・透かし付き音声は不要です。透かし埋め込みによって生じるスペクトル上の残留パターンを学習し、適応的にスケーリングして差し引きます。2つの音声データセットと4種類の透かし手法で、平均攻撃成功率は92%および96%でした。音声認識評価では、言語内容はおおむね保持されていることが示されています。
★★★★★ 注目
One Unverified Coordinate Is Enough: Key Recovery from Faulty Fujisaki–Okamoto Rejection Checks in ML-KEM
説明未検証の座標一つで十分：ML-KEMの不完全なFujisaki–Okamoto拒否検査からの鍵回復
要約本論文は、ML-KEMのFujisaki–Okamoto変換における再暗号化検査が誤って実装された場合の安全性を検討しています。一部の導入済み実装では条件付き処理の省略や暗号文比較の切り捨てが起きており、暗号文の座標一つでも未検証であれば、有界誤差の観測から最小二乗法で鍵を回復できることを示しています。規則性の仮定の下での必要な観測数を示し、模擬実装上で三つのパラメータセットすべてにおいて完全な回復を実証しています。
注目点未検証の暗号文座標一つで最小二乗法によりML-KEM鍵を復元できることを示し、証明可能なサンプル量を与える。影響は大きいが、実験は模擬実装に基づく。
GateDrain: Availability Attacks and Admission-Side Defense for Confidence-Gated Edge-Cloud Inference
説明GateDrain：信頼度ゲート型エッジ・クラウド推論に対する可用性攻撃と受付側防御
要約本論文は、信頼度によるゲート制御を用いたエッジ・クラウド推論が、不確実な入力をクラウドへ転送することで可用性攻撃の対象になり得ることを示します。攻撃手法は GateDrain と呼ばれ、入力への有界な摂動によって信頼度を下げ、本来ローカルで処理されるリクエストを共有クラウドのキューへ誘導します。防御として Bounded Escalation が提案されており、送信元ごとの受付上限、保護された容量、信頼できるクラスの優先などを組み合わせます。ただし集約的な制限を強めると、正当な未認証の転送も拒否される可能性があります。
The Privacy Fallacy of Crowdsourced Fine-Tuning: Extracting Proprietary Data via Topic-Based Poisoning
説明クラウドソーシング型ファインチューニングのプライバシーの誤解：トピックベースのポイズニングによる独自データの抽出
要約本論文は、大規模言語モデルの監督付きファインチューニング（SFT）で、ユーザー会話をクラウドソーシングしてデータを集める際の新たなプライバシーリスクを検討しています。悪意あるユーザーが少量のデータを汚染（ポイズニング）し、他のユーザーが提供した未見の指示の抽出を増幅できるかを調べています。実験では、ブラックボックスかつ出力のみにアクセスできる条件で、4つのモデルと2つのデータセットを用いて評価しています。結果として、50件の汚染サンプルで、Qwen2.5-14B（OpenMathInstruct）では汚染なしの3.71倍、Llama-3.1-8B（AceReason）では3.08倍のほぼ逐語的な抽出率に達しました。また、データフィルタリングによる汚染サンプルの検出は効果が限定的でした。
★★★★☆ 注目
TrackFlood: Relocating Latency Attacks from NMS-Free Detectors to Real-Time Trackers
説明TrackFlood：遅延攻撃をNMS不要の検出器からリアルタイム追跡器へ移す手法
要約本論文は、物体検出器に対する遅延攻撃を扱います。攻撃者の目的は予測を誤らせることではなく、システムが時間内に応答できなくすることで、自動運転などのリアルタイム用途を対象とします。提案手法TrackFloodは、NMS不要の検出・追跡パイプラインに対する白箱の過負荷攻撃で、検出器の推論は変えずに追跡器を大量の架空検出で溢れさせます。Jetson AGX Orin上での評価では追跡器の遅延が大きく増加し、負荷を制限する受付層も検討されています。
注目点NMS-freeの検出器からダウンストリームのトラッカーへ遅延攻撃を移す点は新しく、Jetsonで端対端遅延を評価しているが、標準予算では減速は限定的。
Threshold Signatures with Identifiable Abort from One-way Functions
説明一方向関数に基づく、中断箇所を特定可能な閾値署名
要約本論文は閾値署名方式を提案します。N 人の参加者が署名鍵を分散して保持し、任意の T 人が共同で有効な署名を生成できる一方、T 人未満では生成できません。Lamport 一回限り署名の変種と Shamir 秘密分散を基盤とし、中断が発生した参加者を特定できる性質を持ちます。さらに多層 Merkle 木で複数メッセージに対応し、公開掲示板の仕組みで一回限り鍵の重複利用を防ぎます。
A2A-ForensicTrace: Offline Verification of Tamper-Evident A2A Runtime Evidence
説明A2A-ForensicTrace：改ざん検知可能なA2A実行証跡のオフライン検証
要約本論文は、Agent2Agent（A2A）の実行記録をオフラインで検証する層「A2A-ForensicTrace」を提案します。実行時の観測結果を型付きレコードに変換し、プロトコル上の関係性を導出して、インシデント追跡のルートハッシュで確定させます。Ed25519で署名された受領証がルートとキャプチャのダイジェストをインシデント文脈に結び付けます。公式A2A SDKによる240回の実行（条件実行120回と対照実行120回）で評価され、条件実行はすべて想定どおりの結果を返し、対照実行では指摘は出ませんでした。
★★★★☆ 注目
Training Witnesses: Trusting the Training without Trusting the Trainer
説明トレーニング証人：訓練者を信頼せずに訓練過程を検証する仕組み
要約本論文は、ニューラルネットワークの訓練・データ利用・評価を認証する手法「Witnesses」を提案しています。高速な振る舞いのフィンガープリントと、時折行う再実行による検証によって訓練を監査し、訓練者側の負担は小さく、検証者側のコストも低く抑えられます。1億から20億パラメータ規模の言語モデルで評価され、データの包含・除外を正確に照会できることも示されています。また、自動認証された訓練結果の共有ランキングも紹介されています。
注目点行動フィンガープリントと時折のリプレイ検証で学習過程を監査する新手法を提案し、100Mから2Bの言語モデルで低オーバーヘッドを示す。
A2A-CaseVerify: Merkle-Linked Case-Evidence Verification for Cross-Organization A2A Workflows
説明A2A-CaseVerify：組織横断型A2Aワークフロー向けのMerkleリンク式ケース証拠検証
要約本論文は、A2Aランタイムのオブジェクト、業務イベント、型付きの支持関係を有向のケース証拠グラフに対応付け、決定論的なMerkleルートで確約する、オフラインで動作する決定論的検証器A2A-CaseVerifyを提案します。検証器は保護チェックとプロファイル固有の再構成チェックがすべて通過した場合にのみSUPPORTEDを返します。標準的な医療プロファイルのバンドルと13件の制御された改ざんで評価され、改ざんはすべて拒否されました。公式Python A2A SDKで生成したバンドルも受理されています。
★★★★★ 注目
Near-Duplicate Families Break Exact-Record Membership Inference
説明近似重複ファミリーが個別レコードのメンバーシップ推論を誤らせる問題
要約メンバーシップ推論は、特定のレコードが学習データに含まれていたかを判定する手法で、データの出所確認や著作権監査の根拠として使われつつあります。本論文は、ウェブ規模のデータに含まれる近似重複がこの判定を混乱させることを示します。CC-Newsでは、クリーンな参照に基づくLiRA監査手法が、本来学習に使われていない完全一致レコードの99.70%を、誤検知率1.00%で学習済みと誤判定しました。モデルのみに基づく肯定的な証拠は、ファミリー単位の露出は示せても、個別レコードの出所は確定できない、という結論です。
注目点四世界監査枠組みを提案し、近似重複ファミリーがメンバーシップ推論を誤らせることを示し、制御実験で学習目標による差異を明らかにしている。
Can Prompt Anonymity Protect Your Identity From LLM Providers?
説明プロンプトの匿名化は大規模言語モデル事業者からユーザーの身元を守れるか？
要約本論文は、ユーザーの身元とプロンプトを切り離す匿名プロキシ方式でも、プロンプト内容は事業者に見えたままである点を検証しています。研究者は、SWE-ChatとWildChatの実データから17万5千件を超える多ターンのユーザープロンプトを集めたベンチマークPromptAnonBenchを作成しました。テキストベースの防御を適用した場合でも、ユーザー集合外の誤受理率10%の条件で、攻撃者が少なくとも1件の匿名化された会話を正しく再識別できる割合は、SWE-Chatで50〜75%、WildChatで最大10%に達すると報告しています。
No Free Efficiency: Revisiting the Trade-off Between Training Efficiency and Model Vulnerability
説明「効率に無料のランチはない」：学習効率とモデルの脆弱性のトレードオフを再検討する論文です。
要約本論文は、学習効率とモデルの脆弱性とのトレードオフを分野横断的に体系的に調べたものです。視覚モデルと言語モデルの両方で、効率志向の学習は敵対的攻撃やプライバシー攻撃への感受性を高めることを示しています。モデル内部の損失面の形状と表現構造の分析から、効率化された変種はより鋭い損失面と系統的な表現の変化を示すことが分かりました。さらに、簡略化された強化学習（zero RL training）で学習したモデルは、従来のアラインメント手法より破滅的忘却を起こしやすく過信しやすいとされています。著者らは、性能・コスト・安全性を同時に最適化する多目的学習への転換を提唱しています。
★★★★★ 注目
The Cost of Stability: Deanonymizing Onion Services Long-Lived Introduction Circuits
説明安定性の代償：オニオンサービスの長期間導入回路を用いた匿名性解除攻撃
要約本論文は、Torのオニオンサービスが使う長期間固定の導入回路（introduction circuit）を悪用する交差（intersection）攻撃を提案している。攻撃者はTorリレーを1台ずつ観察するだけで、オニオンサービスのネットワーク上の位置を特定できるとされる。著者らは実際のTorネットワーク上で、自ら運用したサービスに対して9回のエンドツーエンド実験を行い、毎回Torの回路全体を再構築できたと報告している。対策として、公開情報を変えずに内部の導入回路を定期的に再構築する仕組みを提案している。
注目点公開された介在回路が長期固定される設計を利用した交差攻撃を提案し、実Tor網で検証しており、新規性と影響は大きい。
RAISE: Reinforcing Access Control Policy Synthesis in LLMs via Symbolic Evaluation
説明RAISE：記号評価によるLLMのアクセス制御ポリシー合成の強化
要約本論文は、Cedarポリシー合成の学習と評価に用いるデータセット CedarInstruct を提案しています。5,800件のシナリオ（44領域）を含み、検証済みの目標ポリシーと実行可能な検証計画が付いています。著者らは、検証済み教師ありファインチューニングと検証器の信号を用いる強化学習の二段階からなる RAISE を提案し、中でも RAISE-OC が保留シナリオで Qwen3.5-9B を、ゼロショットのGPT-6 AstraおよびClaude Opus 5を上回る水準に引き上げたと報告しています。また、この効果は独立に構築されたCedarBenchへも転移したとされています。
★★★★☆ 注目
Tokens Change, Structure Endures: Spectral Watermarking for Generated Speech
説明トークンは変わっても構造は残る：生成音声向けのスペクトル電子透かし
要約本論文は、生成過程で直接動作する学習不要のトークンレベル電子透かし手法Redwingを提案します。音声を波形に復号して再エンコードすると、トークンが置き換わり透かしが損なわれる問題（再トークン化）に対処します。観測されたトークン置換からグラフを作り、その基底上で埋め込みと検出を同時に最適化します。Moshiシステムで Mimi による再合成を8回行った後、校正された偽陽性率1%で真陽性率は80.7%となり、KGWの8.3%を大きく上回ります。
注目点再トークン化で生じるトークン置換構造をグラフのラプラシアン基底にし、埋め込みと検出を共同最適化。8回後のTPRは基線を大きく上回り、証拠は十分。
SecProbe: Adaptive Evaluation of Coding Agents on Cybersecurity Vulnerabilities
説明SecProbe：コーディングエージェントのサイバーセキュリティ脆弱性理解を適応的に評価する枠組み
要約本論文は、項目反応理論（IRT）とリポジトリ規模の脆弱性修正タスクのオンデマンド合成を組み合わせた評価枠組みSecProbeを提案しています。6つのプログラミング言語と151種類のCWEにまたがる353タスクを構築し、9つのフロンティアモデルを2種類のエージェント環境で評価しました。最高成功率は28.33%で、脆弱性の認識と修正に大きな課題があることを示しています。ランダムおよび一回限りの基準と比べ、能力推定の精度は同等で、解くべきタスク数は最大29.5%少なくて済みました。
MAD-Guard: Controlled Study of Autoregressive Generation versus Direct Decision Interfaces for Closed Multimodal Forensic Tasks
説明MAD-Guard：封鎖型マルチモーダル法科学タスクにおける自己回帰生成と直接判定インターフェースの比較研究
要約本論文は、マルチモーダルモデルで逐次トークンを生成する方式と判定結果を直接出力する方式を、閉じた法科学タスクを対象に比較した研究です。同じ基盤モデルと学習条件で、遅延、キャリブレーション誤差、精度を比較しています。二値直接判定ヘッドは遅延を2.60〜7.27倍削減し、キャリブレーション誤差も下げる一方、精度はわずかに低下します。多タスク化や対照型ヘッドを加えた構成は自己回帰ベースラインを上回ります。五つのベンチマークの評価では、合成画像、迷彩、文書の偽造に強い一方、圧縮された顔の改ざんには明確な限界が示されています。
COGNIT-Guard: Calibrated Standalone Direct-Decision Guardrails with Heterogeneous CPU-NPU Confidence Cascading under Explicit Latency and False-Positive Constraints
説明COGNIT-Guard：遅延と誤検知の制約下で、CPU-NPUの異種置信度カスケードを用いる校正済み直接判定型ガードレール
要約本論文は、大規模モデルへの入力を処理する前にプロンプトの安全性を判定するシステム COGNIT-Guard を提案します。CPUの高速ゲートと、NPU上の322Mパラメータ双方向判定モデル（Laya-322M）を、置信度に応じて段階的に切り替える構成です。DUCS-Benchの未見テスト分割では正解率98.85%、良性入力の誤検知率0.42%を報告しています。NPU単独の平均遅延は21.77ミリ秒、カスケード構成の平均遅延は41.63ミリ秒です。SafetyBench-ZHでの領域外評価と経験再生による精度回復も検討されています。