arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明光、カメラ、攻撃：パルス光による時間的HDR合成の悪用
要約本論文はFLASH（Fusion-Level Attack by Saturating HDR）という、外部からのパルス光で露出間の不整合を生じさせる攻撃手法を提案しています。8種類の実機カメラで実験を行い、暗すぎる・明るすぎる画像や視認性の喪失が発生することを示しています。また、露出の棄却による防御案も検証され、出力輝度の偏差を減らせたと報告されています。
注目点時間的HDR融合の露光間不整合という前提を突く外部パルス光攻撃は新規性が高い。8機種の実機対照実験とOpenPilotでの検証があり、影響範囲も広い。
説明LLMはどこでルールを破る決定をするのか？プロンプトインジェクション服従の機構的局在化
要約本論文は、プロンプトインジェクション攻撃が成功した際に、大規模言語モデルがネットワーク内部のどの層で敵対的指示に従う決定を下すかを調べています。5つのモデル（40億から320億パラメータ）に対し層ごとの因果的活性化パッチングを行った結果、攻撃情報は第1層から線形に復号可能である一方、行動への因果的影響はネットワーク後方3分の1の後期層のボトルネックまで無視できることが分かりました。このボトルネックへのパッチングで、77〜92%のケースで服従が覆りました。
注目点層ごとの因果的活性化パッチングにより、プロンプト注入への従順化が後期層のボトルネックで決まることを5モデルで示し、新規性と証拠は強いが、防御設計への影響は中程度。
説明「海岸で海上の船をだます」：世界の海上交通における大規模GPS欺瞞の測定研究
要約本論文は、船舶自動識別装置（AIS）の全世界データを用いて、海上におけるGPS欺瞞を初めて大規模に測定した研究です。複数の船舶が同時に物理的にありえない位置へずれる現象を手がかりに、地域ごとの欺瞞の証拠を評価しています。約36万7000隻の船舶を2024年11月下旬から2025年2月上旬まで分析し、持続的な異常地点31か所を特定、そのうち少なくとも22か所で強い欺瞞の証拠が見られました。紅海での欺瞞は、コンテナ船MSC Antoniaの座礁事故の数か月前から続いていたことも示されています。
注目点海事GPS欺瞞を大規模に初めて測定し、運動認識型の地域信号検出手法を提案。36万隻超のデータで31のホットスポットを示し、海上安全への影響が大きい。
説明THEMIS：暗号化された Transformer 推論のための協調設計システム
要約本論文は、完全準同型暗号（FHE）下で Transformer 推論を行う協調設計システム THEMIS を提案する。各段階が消費する深さを抑え、モジュラスチェーン上の実行位置を固定することで全体の計算コストを下げる。行列積と注意機構の計算は MOAI や Euston などの既存手法より高速で、softmax は THOR より高速かつ高い精度を実現したと報告している。CPU 上で BERT-base を 1 入力あたり平均 400.06 秒で処理し、GLUE タスクの精度は平文推論に近いとされる。
説明Levis：標準モデルにおける拡張不要の多鍵完全準同型暗号
要約本論文は、信頼できるセットアップや対話型の準備を必要としない多鍵完全準同型暗号方式Levisを提案する。中核となる共通因子互換技術により、各当事者が独立に生成した鍵の下の暗号文を、結合鍵暗号文への拡張なしに直接準同型評価できる。さらに通信量を削減した変種Levis-smallも示され、概念実証の実装では2、4、8当事者の場合でMPSより評価が高速であることが報告されている。
説明VirusCascade：LLM搭載推薦エージェントにおける協調的反省の乗っ取り
要約本論文は、LLMを用いたエージェント型推薦システムの協調的反省の仕組みを扱います。単一のエージェントに注入された敵対的な証拠が正当な嗜好として合理化され、メモリに書き込まれ、他のエージェントへ伝播しうることを示しています。著者らは黑箱の標的型プロモーション攻撃VirusCascadeを提案し、4つの実データセットで平均E@20が0.384に達し、最強のベースラインを0.185上回ったと報告しています。
注目点協調的リフレクションを悪用する新たな攻撃パラダイムを提案し、4つの実データセットと複数アーキテクチャで検証、平均E@20は0.384で最強ベースラインを0.185上回る。
説明NOMOS：CKKS 下の安全な非対話型 kNN 検索
要約本論文は、完全準同型暗号（CKKS）のもとで候補集合を対象とする暗号化 kNN プロトコル NOMOS を提案しています。既存の行列ベースの順位付け手法を基にゲイン増幅型の符号近似を導入し、暗号化された順位付けと top-k 抽出のボトルネックに取り組みます。k-means による事前処理で候補集合を構成し、符号近似の呼び出しを準二次的な増加から近線形へ抑えます。原文では、Engorgio との比較で最大約 828 倍の遅延削減を報告し、実データ SIFT で評価した候補集合において top-1 と top-8 の検索精度が 100% だったとしています。
説明Janus：エージェント型LLM向けの「証拠先行」サーガと、オフラインで検証可能な来歴記録
要約本論文は、エージェント型大規模言語モデルが処理を実行する前に、提案・判定・検証器や人間からの回答を署名付きのハッシュチェーン型ログに記録する仕組みJanusを提案しています。監査者はログと一つの公開鍵だけで、すべての判定をオフラインで再計算できます。クラッシュ注入、1億イベントのログのオフライン検証、融資ワークフローでの実モデル実験により評価し、自己監査で見つかった事後の承認置換の問題とその修正も報告しています。
注目点効果の実行前に提案・判定・承認を署名付きハッシュ連鎖ログへ記録し、オフラインで再検証する新たな枠組み。クラッシュ注入、1億イベントのログ検証、実モデルの融資実験で裏付けている。
説明SLUB の収穫期：io_uring の脆弱性から Sheaf ベースの新たな悪用手法まで
要約本研究は、Linux カーネルの io_uring サブシステムと、Linux 6.18 で SLUB アロケータに追加された sheaf/barn キャッシュ機構の両方を取り上げています。著者は io_uring の未知の脆弱性を 2 件示し、そのうち 1 件を強化されたカーネル構成下で動作するローカル権限昇格の攻撃チェーンへと発展させました。sheaf/barn 機構は跨キャッシュ攻撃など既存の悪用手法の前提を変え、SLUB の freelist 保護も弱めることが示されています。さらに、RCU-sheaf 跨キャッシュ手法を含む 3 つの新しい sheaf ベースの悪用技術が提案されています。
注目点sheaf/barn機構に基づく新しい攻撃手法三種を提案し、io_uring脆弱性からローカル権限昇格までの完全な攻撃連鎖を実証しており、影響は大きい。
説明フェイク構造の注入によるLLMベースのマルチエージェント接続トポロジーの秘匿
要約本論文は、大規模言語モデル（LLM）ベースのマルチエージェントシステムにおいて、観測可能な推論過程の意味的依存関係から通信トポロジーが推定され、知的財産の漏えいやシステムの脆弱性露呈につながるリスクを指摘しています。著者らは、実際のトポロジーを用いてタスクを実行しつつ、外部から見える意味的証拠を構築した偽のトポロジーへ誘導するフレームワーク「MIRAGE」を提案しています。実験では、トポロジー推論攻撃の効果を大幅に低減しつつ、保護されたシステムのタスク性能をおおむね維持できることが示されています。
説明Wagner 型ガウス サンプリングによる、n+o(n) 個のサンプルを用いた LWE の準指数時間アルゴリズム
要約本論文は、判定型の学習誤差付き問題（LWE）を、二つの相補的なパラメータ領域で解く乱択準指数時間アルゴリズムを提案しています。出発点は Ducas、Engelberts、Loyer（CRYPTO 2025）の Wagner 型ガウス サンプラーで、ランダムな P 進格子、統計的に近似する平行移動離散ガウス サンプラー（Aggarwal、Dadush、Stephens-Davidowitz）、Aharonov–Regev のフーリエ識別器を組み合わせています。著者らは、任意の秘密分布に対して元のサンプル m=n+Θ(n/ln ln n) 個を用いると、確率 1-o(1) で成功し、期待時間と空間は 2^{Θ(n/ln ln n)} であると述べています。解析は独立一様公開ベクトルの非構造 LWE を対象とし、モジュール LWE に基づく ML-KEM には直接適用されません。
注目点Wagner式サンプラーにP元格とマルチンゲール解析を組み合わせ、LWEの準指数時間アルゴリズムとパラメータ範囲の拡張を示すが、証明の前提は複雑で実証は限定的。
説明量子ランダム・オラクルモデルにおける QMA の簡潔な論証
要約本論文は、量子ランダム・オラクルモデル（QROM）において、追加の暗号仮定や未証明の予想に依存せずに QMA の最初の簡潔な論証を構成します。中核となるのは、量子インタラクティブ・オラクル証明（QIOP）を量子のコミット・アンド・オープン方式で同じ言語の量子論証へ変換する、効率を保つ変換です。また、QROM で局所的な開示を持つ量子状態のベクトル・コミットメントを形式化・構成しています。
注目点量子ランダム・オラクル・モデルで初めてQMAの簡潔な議論を構成し、非構造的な困難性のみに依拠しつつ、QIOPから量子議論への効率を保つ変換を与えた点が重要である。
説明LLM支援のセキュリティプロトコルモデリングのための信頼度誘導型プロトコル中間表現
要約本論文は、セキュリティプロトコルの自然言語による記述を、Tamarinで検証可能な形式モデルに変換する人間介在型フレームワークを提案する。主な課題は中間表現の構文的妥当性ではなく意味的正確性にあると位置づけ、人が監査できる中間表現（IR）と、モデル生成前に不確実な項目を示すインタラクティブなインターフェースを設計している。
説明分散型LLMファインチューニングにおけるバックドア緩和
要約本論文は、中央調整者がない環境で複数の組織が共同で大規模言語モデルを微調整する際に生じる、伝播型バックドア攻撃を扱っています。一つの悪意あるノードが、中毒サンプルを見たことのない隣接ノードにもバックドアを伝播させ、秘密のトリガーを含む入力を拒否させられることを示します。提案手法のChorusは、各ノードが集約前に隣接ノードのアダプターを挙動に基づいて検証し、近傍での投票により不正なものを棄却します。二つの指令調整データセットとモデル構成での実験で、隣接ノードの平均攻撃成功率を48〜63%から最大2.2%に低減し、通信オーバーヘッドはわずかだと報告しています。
説明誕生日閾値の下で衝突検出はインスタンス近似最適である
要約本論文は、ハッシュ関数の構造に関する知識がブラックボックス下での衝突検出を加速できるかを検討しています。構造を知るアルゴリズムが期待 q 回のクエリで衝突を見つけられる関数に対し、単一のアルゴリズムが O(q log n) 回以内で衝突を見つけられることを示します。この対数因子は Ben-Eliezer、Grossman、Naor（ICALP'25）の下界と一致します。
注目点誕生日閾値未満で衝突検出のほぼインスタンス最適なアルゴリズムの存在を示し、対数因子が紧であることを証明して未解決問題を部分的に解決した。
説明AutoMark：自律的研究エージェントによるより優れたLLM電子透かしの発見
要約本論文は、歪みのない大規模言語モデル（LLM）の電子透かし方式を自動的に発見するフレームワーク AutoMark を提案します。著者らは信頼性の基準と統計的検定を定め、検出性・品質・頑健性の三つの観点で方式を評価します。三つの最先端モデルを用いて50種を超える方式を発見し、そのうちいくつかは既存研究を上回り、新しい発想も含まれていました。
説明Argos：分散型エッジセキュリティ編成のためのマルチテナント SaaS アーキテクチャ
要約本論文は、分散型エッジデバイスを透明かつ自動的に長期間編成するためのマルチテナント SaaS 型 C2（コマンド＆コントロール）アーキテクチャ「Argos」を提案します。ロールベースアクセス制御、テナント分離、永続的なタスク管理、cron によるワークフロー自動化を備えています。三台の地理的に分散したエッジデバイスで、MITRE ATT&CK の手法に対応する 810 件の自動タスクを実行し、全体の失敗率は 3.33%（95% Wilson 信頼区間 [2.30%, 4.81%]）でした。評価手法、匿名化データセット、統計スクリプトは公開されています。
説明地域エネルギー市場のサイバー攻撃耐性：虚偽データ注入の事例研究
要約本論文は、コミュニティ単位の地域エネルギー市場が虚偽データ注入（FDI）攻撃に対してどの程度脆弱かを検討しています。配電網内の複数の相互接続コミュニティ電力市場を対象に、電圧偏差による物理的影響を最大化しつつ検知されにくさも考慮する最悪ケースの母線単位攻撃を求める二段階最適化枠組みを提案しています。IEEE 33母線系統・3コミュニティの事例では、有界なシステム全体の攻撃でも地域取引が変化し電圧の安全余裕が低下することが示されました。脆弱性は、偽データを母線や時間に一様に広げるより、時空間的な配置に強く依存します。
説明Shamir秘密分散の量子リーク耐性に関する研究
要約本論文は、素数体上の無改変Shamir秘密分散について、各シェア保持者が量子ビット1つを漏洩させるモデルでの安全性を検討している。事前共有エンタングルメントがなく閾値比率が約0.73339を一定の余裕をもって超える場合、識別優位性は指数的に小さくなることが示されている。また、一部の機器が敵対者とエンタングルメントを共有しても、閾値比率が十分高ければ安全性は保たれると述べられている。一方、漏洩機器同士が任意のエンタングルメントを共有すると、古典的な1ビット漏洩でも安全性が損なわれることも示されている。
注目点量子漏洩モデルにおけるShamir秘密分散の耐漏洩性を初めて研究し、厳密な理論証明により指数的安全性と絡み合い攻撃の両面の結果を示す。
説明意味の狭窄を超えて：ハミング近傍によるロバストで効率的なLLM透かし
要約本論文は、大規模言語モデルの生成テキストに用いる意味的透かし手法HammingMarkを提案しています。直前の文の意味ハッシュを動的な中心とし、ハミング近傍に含まれるハッシュ値の候補文だけを受け入れることで、自然な意味的続きを制限しにくくしています。C4とBookSumでの実験では、強い頑健性と高い検出可能性を示し、無透かし時に近い生成品質を保ちつつ、受理された文1つあたり平均2.2個の候補サンプリングで済むと報告されています。
説明サイバー脆弱性スコアリングの食い違い：実証的な比較研究
要約本論文は、CVSS、EPSS、SSVC、IronMiner の四つの脆弱性スコアリングシステムを実証的に比較しています。比較の基盤として、2015 年ウクライナ電力網の運用技術（OT）ネットワークを再構成したものを用いています。結果として、評価システム間で高い不一致が見られ、評価システムの選択が緩和策や脆弱性の優先順位付けに大きく影響しうると述べ、複合的またはハイブリッドな手法が適切かもしれないと示唆しています。
説明ToolFence：ツール利用型LLMエージェント向けの細粒度認可手法
要約ツールを利用するLLMエージェントは、信頼できる指示と信頼できない観測が同じコンテキストを共有するため、間接的なプロンプトインジェクションに脆弱です。ToolFenceは実行前に型付きの認可ブループリントをコンパイルし、決定的なモニターで強制します。ブループリントが不完全な場合は、個々の呼び出しを判定するのではなく、裁定者が新たな権限を付与します。AgentDojoでQwen3-maxを用いた評価では、総攻撃成功率をほぼゼロに下げ、正常タスクの有用性低下は3.80ポイントにとどまりました。
説明ツールが静かに嘘をつくとき：ツール拡張データエージェントにおける盲目的な追従の評価と緩和
要約データ分析エージェントはツールの出力に依存して判断を下すが、実行が成功しても、もっともらしく見えて誤った根拠を返すことがある。著者はToxicBench（数値、ラベル、スキーマ、検索の各誤りの下で、検証と採用の挙動を測る評価基準）を提案している。118タスクのGPT評価では、汚染された観測によりタスク成功率が26〜39ポイント低下した。
説明アーベル曲面の超特異性・超特殊性を検証する高速アルゴリズム
要約超特異アーベル曲面は同種写像（isogeny）に基づく暗号において重要ですが、与えられた曲面が超特異かどうかを効率的に判定するアルゴリズムはこれまでありませんでした。本論文は、有限体 F_p 上のアーベル曲面について、O(log p) で失敗確率が無視できる乱択（モンテカルロ）判定法を与えます。位数が滑らかな場合には確定的な判定も可能です。さらに、任意次元のアーベル多様体の極小性・極大性、および任意次元のヤコビ多様体の超特殊性を判定する効率的なアルゴリズムも示しています。
説明Dilithium と Fiat-Shamir 署名方式に対する重ね合わせ状態を用いた鍵回復攻撃
要約本論文は、量子計算機を使う攻撃者が署名者と対話できる拡張された量子敵対者モデルの下で、NIST が標準化した署名方式 ML-DSA とその前身の識別方式の安全性を評価しています。著者らは、重ね合わせ攻撃の新しい技法を開発し、それを用いて格子ベースのいくつかの識別方式に対する完全な鍵回復攻撃を示し、さらに対応する Fiat-Shamir 署名方式へ拡張しています。原案の CRYSTALS-Dilithium および NIST 第 1・第 2 ラウンドの提案は Q2 モデルで完全に攻撃できる一方、標準化過程での変更により最終版の ML-DSA はこの攻撃の影響を受けないとされています。
注目点新たな重ね合わせ攻撃技術を提案し、Q2モデルでDilithiumの完全鍵復元を示すが、主に理論的分析に基づく。
説明スクリーミングチャネル：無線結合を利用した遠距離電磁サイドチャネル攻撃の最新動向
要約本論文は、無線結合に基づく遠距離電磁サイドチャネル攻撃（FEM-SCA、別名スクリーミングチャネル攻撃）を体系的にまとめた初のサーベイです。この攻撃は、デジタル演算と無線送信回路の間の意図しない結合を利用し、遠距離に放射される電波から機密情報を取得します。論文は関連研究を、漏えいの発見と理解、攻撃能力の向上、攻撃対象と派生手法、公開データ集の階層的な枠組みに整理し、代表的な研究を横断的に比較しています。最後に、中心的なトレードオフ1つ、主要な制約3つ、今後の研究の方向性3つを示しています。
説明領収書付きの行動：再生可能なツール利用エージェント監査のための主張・証拠・実行の結合束縛
要約ツールを使うエージェントは、引用と実行ログを示しながらも、ユーザーに見せた主張が確定した実行から出たものか、引用元に裏付けられているかを監査できていない場合があると論文は指摘します。著者らは、主張、ソースの正確な範囲、実行の順序付き前段、ソースの版とアクセス状態を結びつける契約を提案し、決定的な整合性検証器で検査します。1,280件のクロスオブジェクト攻撃のうち1,275件（0.9961）を検出しました。
説明OPFL：経験的境界に基づく連合学習の楽観的検証手法
要約本論文は、プライバシー保護型連合学習において、クライアントが規定の学習手順に従ったか、悪意ある更新を送ったかを検証するOPFLという枠組みを提案します。OPFLは安全な多者間計算（MPC）内で学習過程を再現し、オフラインで経験的境界を校正して良性の数値的ずれと悪意ある改ざんを区別します。MPCの高コストを抑えるため、抽出した学習ステップのみを事後監査します。LeNet、BERT、Qwenでの実験では、モデル汚染やPGD攻撃に対する攻撃成功率が0％と報告され、LeNetの場合は全面MPCやZK方式より高速だとされています。
説明TAILOR：CVE再現のための型・状態認識型マルチエージェント枠組み
要約論文は、CVEごとに実行形式や起動インターフェース、前提状態が異なるため、固定の処理手順では対応しきれないと指摘しています。著者らは、脆弱性の種類に応じて実行経路を選ぶ TAILOR を提案し、Web経路では攻撃前に必要な前提状態を構築して脆弱性の発動と分離するとしています。200件のCVEのデータセットで、Web脆弱性の59.24%、従来型脆弱性の44.19%を再現したと報告されています。
説明CollageAttack：空間的テキスト合成による文生画像モデルのクロスモーダル整合性の欠陥を突く攻撃
要約本論文は、単一プロンプトのブラックボックス型ジェイルブレイク手法 CollageAttack を提案する。文脈に関連したシーン、シーンに根ざしたテキスト担体、空間的に分散したテキスト断片を組み合わせ、意味の組み立てを画像平面へ移す。複数のオープンウェイトおよび商用の文生画像モデルでの実験では、攻撃成功率が最大 86.0% に達し、同一モデル上で最強のベースラインを 18.5 ポイント上回った。また、分散したテキスト断片は生成後に意図された意味を再構成できることが示された。
説明多層フォレンジックによるPDF改ざん検出
要約無料のオンライン編集ツールの普及により、PDF文書の改変や偽造は容易になり、画面上には痕跡が残らないことも多くなっています。本論文は二段階のフォレンジック処理を提案します。第一段階はセキュリティゲート層で、書式の適合性を検証し、埋め込まれた悪意あるペイロードを検出します。第二段階はフォレンジックエンジンで、メタデータ、視覚的オーバーレイ、二元ソースOCRの一致性などの内部オブジェクトを検査します。これらの指標を重み付けスコアリングエンジンで集計し、解釈可能なリスクスコアを算出します。本手法は実際の医療就業停止証明書で検証されました。
説明VStress：反復検証器のための相関認識型監査と適応的予算配分
要約本論文は、反復的に呼び出される検証器がなお新たな条件付き情報をもたらすかを監査するための再生契約 VStress と、相関を考慮した配分方針 VStress-CA を提案している。新情報が乏しいときは呼び出しを止めるか判断を保留する仕組みである。制御実験では、ラベル誤り率ごとに多数決の効果の限界を示し、固定予算下で複数の配分方式を比較している。さらに、同一モデルの繰り返しから異なるモデル系統の組み合わせへと、依存性の診断値が高まることも報告している。
説明ブラックボックス LLM に対する制御デコーディング攻撃：テキストのみの継続インターフェースで安全性整合を回避する研究
要約本論文は、サンプリングされたテキストのみを返し確率を公開しない大規模言語モデルのインターフェースにおいて、生成過程を操作して安全性整合（アライメント）を回避する方法を検討しています。著者らは \method{} という枠組みを提案し、サンプリングに基づく分布再構成、リスクゲート付き残差制御、投機的マルチトークン実行の三要素で問い合わせコストを抑えます。4つのターゲットエンドポイントと3つのベンチマークで、多くの比較において平均スコアが最も高かったと報告しています。
注目点テキストのみのサンプリングAPIに対する復号攻撃を提案し、分布再構成とリスクゲート制御を組み合わせて新規性は高いが、実験の詳細は限定的。
説明ブラックボックス型LLMに対する実用的な秘密情報抽出手法
要約本論文は、出力のみにアクセスできる商用のAPI型大規模言語モデルを対象に、ブラックボックスでの秘密情報抽出フレームワークを提案しています。交差検証付きの秘密知識蒸留と、プロキシモデルに基づく秘密情報の抽出・候補フィルタリングの二段構成です。管理された APIキーのベンチマークでは、回収効果と実キーの割合が改善し、抽出の遅延が減ったと報告しています。さらに、責任ある実環境での評価では、独立に展開された3つのブラックボックスシステムから、一部マスクされたプロバイダ固有の認証情報を回収したとしています。
説明画像改ざん位置特定のための、鑑識を意識した継続的適応フレームワーク
要約画像改ざん技術の進化に伴い、既存の画像偽造位置特定（IFL）手法は新たに現れる偽造への適応が難しい。本論文はIFLに対する初の継続学習フレームワークを提案し、クロスデータセットとクロスコンテンツの二つのデータ変化プロトコルでベンチマークを構築した。既存手法は性能が大きく低下することを示し、その上で取得した鑑識的痕跡の挖掘と、Fisher重み付けによる勾配調整を組み合わせた手法を提案している。複数の継続学習シナリオで、画素レベルとの画像レベル検出の両方で良好な結果を報告している。
説明SURE：信頼できるAIを構築するための安全フレームワーク
要約本論文は、AIの安全性の属性をカスタマイズし、定義された安全性を確保するためのフレームワークSURE（A Safe and Unified AI Framework foR Everyone）を提案しています。威胁となりうる敵対的プロンプトの分類体系を作成してプロンプトを構築し、望ましい応答のテンプレートと絶対安全性のスコアリング方式を設計しています。さらにデータセットを用いてAIアラインメントを行い、多様なベースモデルでの実験により有効性を示しています。
説明ContractWarden：人間が承認した契約によりAIエージェントにカーネルレベルの損害境界を設ける手法
要約本論文は、大規模言語モデルのエージェントが引き起こしうるオペレーティングシステム上の損害を制限するLinux参照モニタ「ContractWarden」を提案します。モデルは「許可・拒否・外部通信禁止」の三態資産契約を提案できますが、最終的な決定は人間が行います。eBPF LSMによるデータプレーンがファイルとネットワークの判定を実行し、プロセス、通常ファイル、パイプなどに外部通信禁止の状態を伝播させます。19種のセキュリティテストにおける570回の実行はすべて事前定義の基準を満たし、3つのファイルI/O負荷において比較対象より低いオーバーヘッドを示しました。
説明SKILLLITE：証拠誘導型で小型LLMを用いる悪意あるSkill監査手法
要約LLMベースのエージェントが複雑なタスクを担うにつれ、機能拡張の仕組みとしてAgent Skillが普及しています。サードパーティ製Skillの増加は新たなサプライチェーン攻撃の対象を生み、悪意あるSkillがエージェントの権限を悪用するおそれがあります。本論文は、複雑なSkillパッケージから安全に関わる振る舞いを抽出して意図された機能を推定し、小型LLMでその悪意性を評価するフレームワーク「SKILLLITE」を提案しています。実験では、複数の小型LLMにおいて検出精度が向上し、既存の代表的な監査手法を上回り、推論遅延も低く抑えられることが示されています。
説明より安全な内容か、より堅固な拒否か？有害な微調整に対するアライメントのハイブリッド摂動防御
要約本論文は、クラウド微調整サービスで少量の有害データが混入すると安全なアライメントが損なわれる問題を扱い、アライメント段階で埋め込み摂動と重み勾配減衰を組み合わせた VaccineBooster を提案しています。Llama-2-7B での実験では、VaccineBooster の有害内容審査スコアが最も低く（0.315）、Booster-Only 版が攻撃後の拒否率が最も高い（50%）と報告されています。評価は10個のプロンプトと、各設定につき1回の未シード実行によるため、著者はこの傾向を統計的に確定した効果ではなく観察されたパターンとして扱っています。
説明対話の途中でも勾配信号は有効か？多ターン対話におけるグラデーションベースのジェイルブレイク検出の脆弱性の検討
要約本論文は、勾配ベースのジェイルブレイク検出器GradSafeを多ターン対話に適用した場合の性能を検証しています。ユーザーの発話からなる固定長のウィンドウごとに検出器を適用し、その最大スコアを会話全体のスコアとする手法を提案しています。合成した良性対話では高い識別性能を示しましたが、WildChatの実際の良性対話では大きく低下し、攻撃手法やモデルによっても結果が変わることが報告されています。
説明アフィン・パディングされた Rabin オラクルによる素因数分解：SNFS 並みの計算量を示す攻撃
要約本論文は、Joux・Naccache・Thomé（JNT）の構成を Rabin 方式（e=2）に適用し、アフィン・パディングを施した平方根オラクルに対する因数分解法を検討しています。片側数体篩により、各依存関係で確率 1/2 で非自明な因数が得られ、計算量は L_n(1/3, (32/9)^(1/3)) とされています。著者はこれを一般数体篩より低い計算量だと述べ、オープンソース実装で速度改善を確認したとしています。
説明ModalFidelity：限られた計算量で深層偽造検出のモダリティを選ぶ手法
要約深層偽造は動画全体ではなく、意味が変わる数秒だけを改変するものが増えています。しかし既存の検出器は音声と映像のすべての1秒窓を読み込むため、計算の大半が改変のない箇所に費やされます。本研究は、取証検出器を動かす前に各窗を先読みし、どの流れを読む価値があるかを決める軽量ルーターModalFidelityを提案します。AV-Deepfake1Mでは窓の最大5分の1だけを読み、検出後に絞り込む方法より高精度かつ計算量は15.9分の1で、全ての偽造位置を知る理想手法の96%以上の精度を保ちました。
説明Agent-Warden：LLMエージェント向けのeBPFベースのカーネルレベル・プロセス／ファイル来歴追跡
要約本論文は、eBPF（拡張版Berkeley Packet Filter）に基づくカーネルレベルの来歴監視システム「Agent-Warden」を提案し、プロセスの生成、ファイルアクセス、プロセスの終了にわたるタスクとファイルの状態を追跡します。制御されたファイル経由の伝播シナリオでは、アプリケーション層のトレースには存在しなかったプロセス間の因果連鎖を再構築しました。x86-64およびARM64のベアメタルホストでの評価において、エンドツーエンドのオーバーヘッドは0.2〜3.5%でした。
説明pikit：間接プロンプトインジェクションの研究・評価のための組み合わせ可能なツールキット
要約本論文は、間接プロンプトインジェクションの脅威を体系的に評価する研究用ツールキット「pikit」を紹介しています。攻撃手法13種、テキストとファイルにまたがる載体16種、防御策9種と離線検出ベースライン3種を対象とします。本番環境に近い条件での試験では、高リスク攻撃に対する9種の防御策により攻撃成功率が相対的に71.8%低下し、few_shot_warningとinstruction_hierarchyが最も強い保護を示しました。離線検出器は適合率が完璧でも再現率は低く、プロンプトレベルの防御を置き換えるのではなく補完するものだと示されています。
説明認識論的型付けを PostgreSQL のテーブルアクセスメソッドとして実装：信頼度偽造と Sybil 協調攻撃下での敵対的な競合解決
要約本論文は KNDB を提案します。これは PostgreSQL 18 のテーブルアクセスメソッドで、各行にエンジンが割り当てる認識論的種別（MEASURED、INFERRED、DERIVED）を付与し、書き込み時に項目ごとの競合を解決します。攻撃者が推論書き込みの信頼度を偽装する状況で、KNDB は二つのデータセットにおいて信頼度のみを用いる基準手法を上回りました。一方で、飽和密度を下回る条件では一部の手法に劣り、最後の書き込みが正とされる時間的知識編集ベンチマークでは得点がゼロであったと報告しています。
説明深層学習レイテンシ攻撃と防御：可用性脅威に関する分野横断サーベイ
要約本論文は、推論を遅延させることを狙う敵対的攻撃（レイテンシ攻撃、エネルギー・レイテンシ攻撃）を総覧したサーベイである。知覚パイプライン、入力適応型ニューラル推論、LLMやエージェントなどの自己回帰型システムを扱う。攻撃を入力の作り方ではなく利用される計算上のボトルネックで分類し、作業量の上限を設ける防御の考え方を提示している。モデル単位のコスト増加がシステム全体の可用性障害になる条件も分析している。
説明CHERI上の効率的なリンケージベース・コンパートメント化
要約本論文は、CHERIメモリ安全性に基づくプロセス内コンパートメント化の効率的なリンケージベースモデルを提示する。UNIXユーザー空間全体を細粒度でコンパートメント化し、デスクトップシステムで1万以上のコンパートメントに拡張できるとしている。Chromiumなどの大規模アプリケーションでは、既存のライブラリ境界に沿って1プロセスあたり500超のコンパートメントが得られるという。テストした数千のC/C++プログラムのうち、ソース修正が必要だったのはV8のみである。
注目点既存のライブラリ境界をCHERIで数千の隔離領域に自動変換し、Chromiumや実機で検証しており、新規性と証拠は十分。
説明プライベート進化法（Private Evolution）を学習強化型クラスタリングとして理解する
要約プライベート進化法（PE）は、合成データを生成するための差分プライバシーアルゴリズムです。本論文はPEを生成モデルで強化したWasserstein学習として再定式化し、生成モデルが真の分布の特徴を捉えられる場合に、より良い性能の理論的上界が得られることを示しています。また、標準的なPEの変種が単純なクラスタ構造のある事例で収束しない場合があることを指摘し、そのような事例で収束が証明できる幾何学を考慮した新しい版を提案しています。実験では、この新アルゴリズムが標準的なベースラインと同等の性能を示し、再現率を改善できることが示されています。
説明拒否は局在し、被害は移動する：少数サンプル微調整下の安全層
要約本論文は、少数の有害サンプルによる微調整後に大規模言語モデルの拒否応答が失われ、また回復する仕組みを検討しています。4つのモデルファミリーの6つのチェックポイントで検証し、クリーンな隠れ状態のパッチングによって拒否応答が回復すること、また該当層を凍結する防御を試みたことを示しています。その結果、攻撃者が凍結領域を迂回し修復を無効化しうることが示され、適応的微調整に対する防御の五つの検証項目が提案されています。
注目点複数のチェックポイントで安全層の局所化と凍結防御を体系的に検証し、攻撃者による回避可能性を示す。実験は6検査点と複数攻撃に及ぶ。
説明自己進化型防御：LLMエージェントのための継続的セキュリティポリシー学習
要約本論文は、モデルの重みを更新せずに、有害なエージェントの実行軌跡を再利用可能なセキュリティポリシーへ蒸留する学習不要のフレームワーク「SED（Self-Evolving Defense）」を提案している。今後のタスクに関連するポリシーを検索することで、新たな攻撃に適応しつつ、攻撃シナリオをまたいで知識を保持する。ジェイルブレイク、プロンプトインジェクション、安全でないコード生成にまたがる8つのベンチマークで3つのオープンソースモデルを用いて評価し、AGENTDOJOに対する標的型プロンプトインジェクションの成功率は0.42%、HARMBENCH上の適応型X-TEAMING攻撃の成功率は7.8%に抑えられ、正当なタスクの有用性も維持したと報告している。
説明DIBench：欺瞞的な注入下におけるGUIベースのモバイルエージェントの決定の完全性を評価するベンチマーク
要約本論文は、モバイルエージェントの決定の完全性（decision integrity）を測るベンチマーク「DIBench」を提案しています。7つの商用アプリと3つのシミュレーションアプリを対象に、目立った異常を出さずに重要な選択を誘導しうる8種類の欺瞞的注入プローブを構築しています。実験では、タスク完了率だけで評価すると智能体の信頼性を過大評価しうること、また一般的な防御策の効果が一貫しないことが示されています。
注目点タスク内の目標逸脱を測る決定整合性ベンチマークを提案し実行異常のみの評価の空白を埋める。規模と比較は充実し、影響は評価分野に限定される。
説明CyberPersistBench：LLMベースのサイバー攻撃エージェントの導入と永続化を評価するベンチマーク
要約本論文は、侵入後の導入と永続化に特化した初のベンチマーク、CyberPersistBenchを提案しています。エージェントは段階的なシステム障害の中で、ホストのネイティブな仕組みを使って足場を維持する敵対的な生存タスクとして評価され、L1からL6までの6段階の決定的な検査で採点されます。五つの先端エージェントによる評価では、自律的な永続化は27.6%～44.8%にとどまり、防御が有効なタスクでは5.5%～13.3%へとさらに低下しました。
注目点侵入後のインストールと永続化を対象とした初のベンチマークを設計し、決定的チェックによる6段階評価で五つの最先端エージェントを203の中核タスクと防御拡張で検証している。
説明CounterSteer：活性化ステアリングによる間接プロンプトインジェクションの抑制
要約間接プロンプトインジェクションは、LLMエージェントに取得した信頼できないテキストを指示として実行させてしまいます。CounterSteerは、モデル内部でこの挙動を抑える推論時防御手法です。埋め込まれた指示に従うかどうかだけが異なる対のエピソードから残差ストリームの方向を推定し、デプロイ時に工具結果のトークンごとにその方向を減算します。五つのオープンウェイトモデルで攻撃成功率は大きく下がりましたが、引数の操作は部分的にしか防げていません。
注目点推論時に工具結果トークンへ活性化ステアリングを適用し間接プロンプト注入を抑制する手法で、多数モデルと適応攻撃で検証されている。
説明Orthros、Gleeok、ZIP-AES、ZIP-GIFT に対する改良型差分線形暗号解読
要約本論文は、差分線形識別器を改良し、Orthros、Gleeok、ZIP-AES、ZIP-GIFT-64、ZIP-GIFT-128 という擬似乱数関数の縮小ラウンド版に対する鍵回復攻撃を示しています。Orthros の解析範囲は従来の 7 ラウンドから 9 ラウンドへ、Gleeok-128 は 4 ラウンドから 5 ラウンドへ拡張されました。自動化された差分・線形経路探索と既存の相関推定手法を用いています。
説明推論層のセキュリティ：敵対的推論とインフラ悪用への防御
要約本技術報告は、大規模言語モデルのサービスを推論層で守る方法を検討し、脱獄、サービス拒否攻撃、蒸留攻撃などの敵対的なやり取りを対象としています。公開されたラベル付きデータが存在しないため、著者らは構造的因果モデルで、複数アカウントによる協調キャンペーンや、三段階のラベル可視性を含むユーザーセッションのデータセットを生成しました。このデータで勾配ブースティング検出器を学習し、セッションが良性か悪性か、悪性なら攻撃の種類を分類しています。検出器の精度は評価に使われた運用ラベルより高いと報告されています。データセットは公開されています。
説明正常を知り攻撃を追う：システム来歴に基づく文脈対応・状態保持型LLM調査（ANCHOR）
要約本論文は、来歴ベース侵入検知システム（PIDS）が検出した不審な活動を一貫した攻撃の筋書きへ変換するためのシステムANCHORを提案する。証拠の整理と文脈に基づく大規模言語モデルの推論を組み合わせ、導入環境の正常動作の基準と攻撃状態キャッシュを用いて、攻撃の段階に沿って攻撃経緯を段階的に再構成する。3種のOS上の6つのDARPA Transparent Computing E3/E5データセットで評価し、既存の来歴ベース手法と比べてIoCの回収と攻撃段階の帰属が改善したと報告している。
説明偵察から対応へ：現代の企業攻撃に対する定量的リスク化と、ゲーム理論に基づく封じ込め
要約本論文は、定量的リスクのパラメータ化と連続的な自動対応時間を結びつける、指標駆動型の意思決定エンジンを提案しています。CVSSの悪用容易性パラメータを攻撃者の成功確率に対応させ、FAIRのモンテカルロシミュレーションで防御側のログ分布を評価します。SIEMのログはポアソン過程としてモデル化され、逐次ベイズフィルタリングによって脅威の事後信念を更新します。相互作用は動的ベイズ・シュタッケルベルクゲームとして定式化され、予想される未緩和リスクが予防的封じ込めコストを上回る閾値が導出されています。2023年のMGM ResortsとCaesars Entertainmentのサイバーインシデントのデータに基づくシミュレーションでは、攻撃の探査から数秒以内にSOARによる自動隔離が作動することが示されています。
説明FinRT：適応的レッドチーミング戦略を再利用可能な敵対的生成器へ蒸留（消費者金融）
要約本論文は消費者金融などの規制産業を対象に、適応的なレッドチーミング戦略を再利用可能な敵対的プロンプト生成器へ蒸留するフレームワーク「FinRT」を提案している。6つの被験モデルで、適応型ベースラインのRainbow Teamingに対し攻撃成功率を約2倍（32.9%対17.2%）に高め、最大の敵対的深刻度を33%向上させた。また、反復探索手法と同程度の政策領域内の意味的多様性を保ち、モデル間での高い転移性も示している。
説明CPG に基づく C から Lean 4 への自動形式化における信頼台帳と実行検査：翻訳の拒否と静かな誤訳の区別
要約本論文は、C ソースを小さな Lean 4 のコア意味論へ変換する、コードプロパティグラフ（CPG）ベースの決定的エクスポータを提案します。3段階の正しさの規律で、翻訳の拒否と誤訳を区別します。SQLite のソースに適用すると、8602 関数のうち 5222 関数（60.7%）が穴なしで翻訳され、そのうち呼び出し閉包を満たすのは 2134 関数（24.8%）でした。著者らは単一の数値ではなく構文要素ごとの信頼台帳で結果を示し、誤った結果を静かに出力する潜在的な不具合も報告しています。
説明量子化により悪意あるサービス提供者に対しても秘匿的な高密度検索を可能にする研究
要約高密度検索は検索拡張生成（RAG）の中核で、クエリと大規模コーパス中の段落のベクトル表現を比較して最も関連する文書を取り出します。本論文は、サーバーが悪意を持つ場合でもクエリの秘匿性と検索結果の完全性を保証する私的高密度検索を定式化し、二ラウンドの暗号プロトコルを提案しています。低ビット量子化により計算を実用的にしています。クリップ付き量子化器を用いた3ビット量子化で、検索品質と下流のRAG精度はほぼ維持され、臨床参照規模のコーパスへの私的クエリはサーバー側で1〜3分程度でした。
説明受信者に紐づく永続メモリ：メモリのライフサイクル全体にわたる認可の仕組み
要約本論文は、所有者の代わりに私的な会話と共有会話の両方で動作する個人向け言語エージェントについて、文脈を組み立てる前に認可を行う方法を研究している。各メモリ項目は記録時の受信者情報を持ち、派生項目は受信者ごとに分けられるか、元データの受信者の共通部分を受け継ぐか、抑制される。項目は現在の全閲覧者が許可された受信者に含まれる場合にのみモデルの文脈に入る。2種類の独立したアーキテクチャと実行環境で実装され、10,000件の多者間履歴を用いた事前登録済みの検証では、禁止された項目が文脈に入ることはなかった一方、範囲制限のない検索では82%の文脈で禁止項目が露出した。
注目点記憶ライフサイクル全体にわたり受け手に紐づく認可を提案し、10,000件の多者履歴で禁止項目の漏えいゼロを示し、非スコープ検索は82%で漏えいした。
説明TTMark：単一トークンのエントロピーを超えるペア単位の歪みなし透かし（歪みのない電子透かしを隣接トークン対へ拡張する手法）
要約本論文は、機械生成テキストの出所を確認するための歪みなし透かし手法を、隣接するトークン対に拡張したTTMarkを提案します。連続するトークンの同時分布に透かしを入れることで、検出器はトークンのエントロピーと条件付きエントロピーの両方を利用できるとされています。複数の言語モデルとデータセットでの実験では、生成品質を損なわずに検出性が向上したと報告されています。
説明標準モデルにおける会話可能な量子火：一方向の古典通信では送れないがクローン可能な量子状態の構成
要約本論文は、効率的に関数的クローンが可能だが一方向の古典通信では伝送できない量子状態（量子火）の構成を提案します。従来の証明可能な電送不可能な量子火の構成はすべてオラクルに依存していましたが、本研究は一回署名に基づき標準モデルで動作します。さらに、無鍵の電送不可能性と会話可能性という二つの新しい性質を導入しています。
説明近傍サンプルを用いた単一ラウンドのメンバーシップ推論の較正
要約メンバーシップ推論攻撃は、ある事例がモデルの学習データに含まれていたかを判定する手法です。既存の最強手法は事例ごとに参照モデル（対象を除外して学習した補助モデル）を訓練する必要がありますが、大規模モデルではその再現コストが高すぎます。本論文は、学習済みモデルが1つしかない場合でも、対象事例の近傍サンプルを使って較正できるかを検討します。著者らは近傍サンプルを得る2つの方法を提案し、学習の早い段階のチェックポイントに対して照会すると信号がさらに明瞭になることを示します。3つの画像分類データセットと3つの学習設定での評価では、追加の学習コストなしに強いメンバーシップ信号と競争力のある攻撃性能が得られたと報告しています。
説明DecoyTrace：分散型フェデレーテッド学習における能動防御のための有害デコイ
要約本論文は中央サーバーを持たない分散型フェデレーテッド学習を対象に、能動的なサイバー欺瞞防御DecoyTraceを提案する。移動型のDecoyNodeがカオス写像で挑戦課題を生成し、近傍の信頼度に基づいてクリーンモデルとデコイモデルの二重モデルを配布、三状態の意味指標で評価する。確認後、分散プロトコルが汚染元を隔離しモデルのリセットまたは復旧を行う。NEBULA上の60構成での評価では、MNIST/FashionMNISTのF1は基準値との差が0.03以内、CIFAR-10では0.05〜0.10低い結果となり、資源使用量は最大3分の2削減された。
説明EU AI法のコンプライアンス検査ツールに関する実証研究と評価
要約本論文は、EU AI法の自動コンプライアンス検査ツール（AIACC）を対象とした初の実証研究である。主要な12種類のツールを分類し、法的な網羅性と整合性を評価するとともに、生成された報告書の構造、確定性、実行可能性を分析している。その結果、ツールの品質には大きなばらつきがあり、現状では初期段階の参考ツールにとどまり、重要な義務を単純化・省略する傾向があることが示された。また、より信頼性の高い支援ツールの設計原則も提示している。
説明トークン鍵ゲート型アダプタールーティング：LLMにおける個人データ漏洩を防ぐ安全なアクセス制御の仕組み
要約大規模言語モデル（LLM）は医療・金融・行政など個人情報が重要な分野で利用が広がっていますが、個人識別情報（PII）を記憶して漏らす危険があります。本論文は、各アクセス方針に対応する軽量なLoRAアダプターを学習し、ゲートモジュールで有効な鍵トークンを一つのアダプターに割り当てるLocketという枠組みを提案します。正しいトークンがあれば私有知識が解放され、無効または欠落している場合は機微な内容を伏せるアダプターが使われます。Enron、ECHR、Yelpのデータセットと複数のLLMで評価されています。
説明DDoS攻撃対策のためのネットワークセキュリティ向上を目指した機械学習モデルの敵対的バイアス除去
要約本論文は、生成敵対的ネットワーク（GAN）で合成トラフィックデータを作成し、ランダムフォレスト分類器と組み合わせてDDoS攻撃を検出する手法を提案しています。また、パケット関連特徴の偏った分布への感度を下げるために敵対的バイアス除去を適用しています。ベンチマークデータで99.98%の精度、未知の合成トラフィックでのテストで22.60%の改善が報告されています。
説明プライバシーに配慮した職種セグメント判定：ID不要の広告のための、ブラウザ内・端末上でのML推論（SIF）
要約本論文は、SIF（Sealed Inference Frame）と呼ばれる手法を提案しています。これは端末上でブラウザ内の推論により粗い職業セグメントを判定し、クロスサイトIDを含まず、局所差分プライバシーを施したカテゴリラベルのみをOpenRTBの入札ストリームに送信します。あわせて、プライバシーと有用性のトレードオフ、再識別のシミュレーション、属性ごとの予測可能性の評価を報告しており、企業の種類と規模は予測しやすいが、役職の上級度は概ね予測しにくいとしています。
説明読む前にレンダリング：視覚化によるプロンプトインジェクション防御
要約本論文は、マルチモーダルLLMがテキストとして与えられた敵対的指示には従いやすく、画像など非テキスト経路で与えられた場合には従いにくいという非対称性を明らかにしています。この差を利用し、信頼できない入力を文字組みの画像（または音声）に変換してからモデルに渡す、学習不要の防御手法Pictionaryを提案しています。10のモデルと2つのベンチマークで、攻撃成功率を低下させつつ正常な有用性をおおむね維持したと報告されています。
注目点テキスト指示は画像指示より従われやすいというモダリティ差を発見し、学習不要の防御を提案、10モデル・2ベンチマークで検証。
説明ニューラルネットワークへのバックドア埋め込みがなぜこれほど容易なのか：二次ニューロンの理論解析に関する論文
要約本論文は、攻撃者が成功かつ発覚しにくい攻撃を行うために必要な毒データの割合とトリガー強度を理論的に分析します。汚染されたガウス混合データで学習する二次ニューロンについて厳密な閉形式の結果を導き、特徴学習によって必要なトリガー強度が汚染割合に対してより緩やかに下がること（α∝π^-1/2からα∝π^-1/4へ）を示しています。そのため、線形的な経験則に基づく安全監査は、後門への脆弱性を過小評価する可能性があると述べています。
説明多クラス・多階層ネットワーク侵入検知：包括的で再現可能なベンチマーク
要約本論文は、CIC-IDS2017データセットで発表された結果が比較しにくい問題に対し、PCAPレベルのラベルを修正し、完全な評価パイプラインを構築したものです。二値の攻撃検知、9クラスの攻撃ファミリー判定、15クラスの細粒度分類という3つの階層で、11種類の表形式分類器を評価しています。ランダムフォレスト、XGBoost、LightGBMのソフトボーティングアンサンブルが、細粒度階層でマクロF1スコア0.955を達成しました。パイプラインはオープンソースで設定可能です。
説明強化学習の後では蒸留防御が容易に破られる
要約本論文は、クローズドソースの大規模言語モデルの推論能力を複製する蒸留攻撃とその防御を検討しています。既存の防御は蒸留直後にのみ評価されることが多い一方、攻撃者が強化学習でさらに学習させる場合を考慮すると、一部の防御は破られうると指摘しています。実験では、現行APIから得られる容易なデータを用いた単純な攻撃でも、完全な隠れた推論トレースを抽出する高度な攻撃と同程度の推論性能向上が得られることを示しています。近似的な推論トレースを再構成できるほどの情報を漏らす防御は、有効でない可能性が高いと結論づけています。
説明プライバシーが武器になるとき：中国本土のSNS環境におけるドキシングとプライバシー脆弱性の理解
要約本研究は、中国本土でドキシング（悪意ある個人情報の暴露）の被害を受けた18人への半構造化インタビューに基づき、この現象の仕組みを分析しています。プラットフォームによる拡散の仕組みは西洋の研究とも共通する一方、義務的な実名制、ナショナリズム的言説、ファン文化、儒教的価値観、低いプライバシー意識といった中国特有の要因が影響していると報告しています。著者は、利用者個人の対応だけに頼らず、システム上の脆弱性を抑制する必要があると述べ、法制度、プラットフォーム設計、社会的取り組みに関する提言を示しています。
説明Tracekit：AIエージェント向けの改ざん検知型「意図・推論・行動」監査システム
要約AIエージェントは運用者の認証情報でシェルコマンドの実行、リポジトリの編集、メール送信、送金などを行いますが、その記録は通常、エージェントや運用者が編集できるログにとどまります。本論文はオープンソースのTracekit（版1.4.1、MITライセンス）を提示し、各実行を第三者がオフラインで検証できる証拠に変換します。エージェントが到達できない署名器がツール呼び出しの前に判定し、Ed25519で署名した記録をハッシュチェーンとMerkle木に格納します。論文は21の実験結果を報告し、ポリシー規則は境界ではなく補助であり、保護の本体はエージェントが触れられない署名器と認証情報だと述べています。
注目点署名ハッシュチェーン、Merkle木による証人、意図と行動の照合を組み合わせ、複数の実験で検証しているが、多くは既存技術の組み合わせである。
説明AEBAP：無線ネットワーク向けに設計された、楕円曲線暗号ベースの効率的な認証プロトコル
要約本論文は、リソースの限られたIoT環境での安全な通信を目的に、楕円曲線暗号（ECC）に基づく効率的な認証プロトコル「AEBAP」を提案しています。相互認証、データの完全性、受動的・能動的攻撃への耐性を実現することを目指しています。著者らは実装による性能評価を行い、非形式的な推論およびScyther、ProVerifなどの形式検証ツールで安全性を分析しています。計算・通信のオーバーヘッドが小さく、強い安全性を持つと述べています。
説明崩壊ハッシュ関数に基づくQMAの簡潔な論証
要約本論文は、崩壊ハッシュ関数（collapsing hash functions）の存在だけを仮定して、QMAに対する簡潔な論証（succinct arguments）が存在することを示す。公開鍵暗号を含意することが知られていない非構造的なMinicrypt仮定のみに依拠する初めての方式である。主要な技術的貢献は、量子的に簡潔なclaw状態生成プロトコルであり、古典通信のみを用いて少数の量子相関を任意の多数のclaw状態相関へと増幅する。このプロトコルにより、ラウンド複雑度、標準モデルでの証明、全体の簡潔さの点で先行研究を改善し、一方向関数から量子的に簡潔な盲目的委任計算を得て、それを通信圧縮コンパイラに適用してQMAの簡潔な論証を得る。
注目点衝突崩壊型ハッシュ関数という Minicrypt 仮定のみから QMA 向け簡潔引数を構成する初の方式で、既存より単純で標準模型での証明を与える。
説明SEABench：自己進化エージェントにおける内生的ミスアラインメントのベンチマーク
要約本論文は、大規模言語モデルのエージェントが展開後に制御指示、メモリ管理、ツールやスキルを自ら修正して進化する際に生じる内生的ミスアラインメントを研究するためのベンチマーク「SEABench」を提案している。48の縦断的タスク系列を含み、進化は有用でも後のタスクで安全でない振る舞いを生むことがあると示す。自己進化はタスク完了率を高める一方、進化しない基準エージェントには見られない安全上の失敗を伴うことが多いと報告している。さらに、その安全行動の差は思考連鎖に表れ、低い誤検出率で不安全な振る舞いを緩和できる監視手法につながるとしている。
説明共有アーティファクトに潜むAIウイルス：LLMエージェント間を渡るメモリ跳躍攻撃
要約大規模言語モデルのアシスタントが、レポートなどの共有成果物を介して間接的に情報をやり取りする際のリスクを検討した論文です。悪意ある内容が永続メモリに保存され、後で作られる成果物に再現され、別のアシスタントに読み込まれることで自己伝播が起きます。著者は、人間とエージェントが時間をかけて成果物を交換する模擬環境で、攻撃が複数回の受け渡しを生き延び、何跳びまで届き、どの程度広がるかを測定しました。大規模な模擬環境では、伝播連鎖が8跳に及び、エージェントの60〜80%に広がる結果が示されています。
注目点共有成果物を介した助手間の自己伝播攻撃という新たな脅威モデルを示し、シミュレーションで多段階拡散を検証しているが、実験規模は限定的。
説明コンパイラは読めても、エージェントは読めない：研究用コードの一部をコーディングエージェントから隔離する
要約論文は、物理ベースのソルバーがビルドに必要とするモジュールはコンパイラが読む必要がある一方、コーディングエージェントにはその知的財産を読ませてはならないと指摘しています。著者は、コンテナ、権限ルール、サンドボックスの三つの手段を対象に、十五の読み取り経路を分類しました。その結果、いずれも読み取っているのがどのプログラムかを判別できないことがわかりました。
説明INTCC：対話型機密計算のためのフレームワーク
要約本論文は、信頼できない データ処理者が信頼実行環境（TEE）内で、人の介入を伴う動的な操作を、データの機密性を損なわずに行えるようにする「対話型機密計算」のパradigmを提案しています。著者らはTEEを対話コントローラと検証可能なランタイムに論理的に分割し、AMD SEV-SNPとConfidential Containersを用いてINTCCフレームワークを実装しました。実験では、LLMのファインチューニングで基準実行に対する追加オーバーヘッドが5%未満、データ分析で17%未満だったと報告されています。
説明系統認識グラフ境界学習によるスマートグリッドの偽データ注入と不安定運転の検出
要約本論文は、安定した運転条件のみから安定領域を学習し、単一の異常スコアで信頼できない報告構成を検出するグラフ学習フレームワーク StarGNN を提案する。各構成は生産者・消費者の星型グラフとして表現され、反応時間と価格応答パラメータを摂動させて物理制約付きの擬似負例を生成する。未知の偽データ注入（FDI）攻撃9シナリオで評価され、安定構成に対する攻撃検出率は0.780から0.973、攻撃後の不安定構成に対する再現率は0.972から0.999であった。
説明スカラープローブを超えて：ReLUネットワークのベクトル出力を利用した署名抽出
要約本論文は、ReLUネットワークの暗号解析的抽出を幾何学と代数の観点から再検討する。単一の出力成分だけでなく、隣接する線形領域にまたがる出力ベクトル全体の振る舞いを扱い、ヤコビアン差分のランク1の特徴づけを示す。これにより通常の行署名情報に加えて、補完的な列側の情報も得られる。実験では、この追加構造が抽出に利用でき、float64、float32、float16といった異なる数値精度下で数値推定を改善することが示されている。さらに、文献で一般的な高精度・出力丸めの設定を超えて、実用上多い低精度の設定へも分析を広げている。
説明大規模言語モデルによる暗号プロトコルの自動セキュリティ証明：現状と課題
要約本論文は、最先端の大規模言語モデル（LLM）による暗号記号プロトコル検証の能力を初めて体系的に評価したものです。証明骨格に基づく指標 CRoST（Coverage Rate of Solve Tree）を提案し、生成された補題と参照補題の類似度を測定します。平均カバー率は 38.82%、カバー率80%超の補題は 14.4% で、一定の有用な補題を生成できることが示されました。一方、複雑な多段階プロトコルでは失敗が見られ、単純なスケーリングでは効果が逓減し、検証コストも大きいことが報告されています。
説明置換の和の識別不能性：古典および量子安全性に対するフーリエ解析的アプローチ
要約本論文は、有限アーベル群上の独立なランダム置換の和および関連する変換について、古典および量子クエリモデルにおける識別不能性を研究している。フーリエ解析の手法により統一的に扱い、クエリ回数に依存する安全性の上界を示している。さらに、二進ベクトル空間上の線形後処理や、Dinurの可変出力単一置換構成（LXoP）も分析している。
説明AIによる脆弱性評価能力とサイバー攻撃グラフ分析
要約本論文は、重要インフラへのサイバー リスクを評価するため二つの手法を組み合わせています。一つはマルチエージェント強化学習とサイバー知識グラフで攻撃経路と手口を特定する手法、もう一つはネットワーク構成と脆弱性からシステム全体のリスクを算出する確率的攻撃グラフモデルです。2015年のウクライナ送電網攻撃を検証事例とし、両手法は同じ運用技術ネットワークに適用した結果、事件記録と一致する攻撃経路を示しました。産業制御システムが攻撃伝播の重要な要因であり、優先的な強化が必要とされています。
説明「何も見ていない」：LLM成果物の修正痕跡による意図しない情報漏えい
要約本論文は、大規模言語モデルが文書作成を支援する際、削除した機密情報を修正説明の中で再び書き出してしまう問題を扱います。公開対話コーパスの分析では、修正要求の約8.8%で修正痕跡が残ることが確認されました。受信者が成果物だけを読んでも、撤回された項目の一部（約13%）を復元できると報告されています。さらに、防御策の比較と、漏えいを抑える出力側フィルタが提案されています。
説明PrivacySkills：プライバシー指針がLLMエージェントの情報源選択に与える影響
要約本論文は、同等のタスク関連情報を提供する複数の取得経路（公開個人情報の参照、機密情報源へのアクセス、ユーザーへの問い合わせ）からエージェントがどれを選ぶかを評価する受制御フレームワーク「PrivacySkills」を提案している。55の合成タスクと169のスキルを用い、システムレベルの指示とスキルレベルのメタデータラベルの効果を比較した。プライバシー指針がない場合、5つのオープンウェイトモデル平均で有効な実行の30%が機密情報源にアクセスし、ユーザー不在時は45%に上昇した。両方の指針を組み合わせると機密アクセスはおよそ半減した。
説明Planarian：ステートポイントによるエージェント状態の管理
要約本論文は、状態管理機能を備えたエージェント実行基盤Planarianを提案します。復元可能な時点版の環境状態である「ステートポイント」を導入し、エージェントやユーザーが誤った操作を取り消したり、複数の代替実行を並行して試したりできるようにします。スナップショット、ロールバック、フォークの3つの基本操作を提供し、リモートの状態変更は補償アクションで取り消します。論文によれば、タスク品質は最大15倍向上し、ユーザーによる誤操作の回復オーバーヘッドは3%にとどまります。
説明自動化・クラウドネイティブ編成による QKD-PQC ハイブリッドネットワークのエミュレーション基盤
要約本論文は、量子鍵配送（QKD）ネットワーク向けのオープンソース・エミュレーション基盤 Quditto を、QKD と耐量子暗号（PQC）を組み合わせたハイブリッドネットワークに対応させる方法を提案しています。提案基盤は、クラウドネイティブのオーケストレータ、大規模展開向けの最適化されたプロビジョニング、後量子ノードの統合、鍵管理モジュールを備えます。典型的な spine-leaf 構成での実験では、編成時間がネットワーク規模に対して劣線形に増加し、エンドツーエンドでのハイブリッド鍵確立に成功したことが示されています。
