arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明安全なプロトタイプは安全方向ではない：応答安全性埋め込みにおける参照依存性とプロンプト交絡
要約既知の安全な応答の平均埋め込みとのコサイン類似度で応答の安全性を評価できるかを検証した論文です。2つの人手ラベル付きコーパスと陪審員ラベル付きの補助データで、4種の凍結エンコーダとプロンプト単位の分割を用いて監査しています。安全プロトタイプ単独の判別力は限定的で逆転することもあり、安全と非安全の明示的な参照方向の方が良い結果を示しました。プロンプトとラベルの構成は、統制されない評価結果を膨らませることも示されています。
説明チャネル雑音とデバイスドリフト下での量子鍵配送に対する学習型攻撃
要約本論文は、量子鍵配送（QKD）において雑音が時間とともにドリフトする性質を利用して、盗聴者が適応的に攻撃できるかを検討します。攻撃を制約付きマルコフ決定過程として定式化し、強化学習によって量子回路の構造と回転角を同時に探索します。複数の雑音モデルとプロトコルで、学習された攻撃は最良の固定回路を上回り、動的計画法による上界に近い値を示します。
説明SAGE：少数の検証済みサンプルに基づき、類似度で汚染された学習データを除去する手法
要約機械学習は公開された信頼できないデータに依存するようになり、悪意あるサンプルを注入して特定の対象を誤分類させるデータポイズニング攻撃が脅威となっています。本論文は、専門家が干净または汚染と検証した少数のサンプルのみを用いるSAGE（Similarity-based Approach for Ground-truth-driven Exclusion）を提案します。別データセットで汎用特徴抽出器を学習し、検証済みセットに基づく類似度加重の非パラメトリック予測で汚染サンプルを検出します。7種類のクリーンラベル攻撃に対する標準ベンチマークで、少数の検証済み汚染サンプルでも大きな利点があること、また検証済み干净サンプルのクラス間分布が数より重要であることを示しています。
説明QUFIG：グラフニューラルネットワークによる量子故障注入の脆弱性をゲート単位で予測する手法
要約本論文は、クラウド型量子計算基盤における実行時の故障注入攻撃に対応するため、QUFIGというフレームワークを提案する。回路のDAGに基づくグラフニューラルネットワーク（GNN）で、各ゲートと故障の組み合わせが回路の忠実度に与える影響を予測し、その脆弱性スコアで順位付けする。QASMbenchとHamLib MaxCutでの実験では、ランダムや深さに基づく手法より少ない検査数で高影響の脆弱な組み合わせを見つけられ、検査が必要なゲート数を2.9〜19.8%削減できたと報告している。
説明『無害な運び屋』：正規の LLM ウェブ取得機能を悪用した秘密裏の情報持ち出し攻撃の研究
要約本論文は LLMLeak という新たな攻撃手法を示す。ローカルで動く悪意あるソフトウェアはインターネットに直接接続できないが、LLM の Web 取得ツールを悪用して隠れた通信経路を作る。秘密情報を URL に埋め込み、攻撃者が管理する DNS または Web サーバーで受け取る仕組みである。11 のオープンパラメータモデルで評価した結果、攻撃成功率は 79.7% であり、実際のチャットボットでも事例研究を行った。
注目点LLMのWeb取得ツールを悪用して秘密情報を外部へ送る新たな攻撃経路を提示し、11モデルで79.7%の成功率と実チャットボットでの事例研究を示す。
説明分散型エージェント経済インフラに関する体系的レビュー：多段階タスクで安全性と経済的保証がどこで崩れるか
要約本論文は、分散型エージェント経済における一つのタスクについて、エスクローから検証、決済までの全段階に必要なセキュリティおよび経済要件を整理し、17の特性群・6段階にまとめています。12のシステムと標準、5種の再利用可能な仕組み、4つの古典的基準を検討し、ある段階で確立された保証が後続の判断まで有効に残るかを判定する「保証の閉合」基準を提案しています。840件の対応実行と11,648件の網羅的検査により、検証と決済の間で、適合した作業が受理されない、または有効な証拠が無視されるといった失敗が繰り返し生じることを示しています。
説明部分再構成の弱点：7シリーズ ICAP への光学サイドチャネル漏えい
要約本論文は AMD 7 シリーズ FPGA を対象に、AMD が提案した非対称鍵によるビットストリーム暗号化方式の概念実証実装を行い、その安全性への影響とハードウェアの負荷を分析しています。フォトン・エミッション顕微法と電気光学プロービングを用い、ICAP インターフェース上の平文の構成データを非接触で抽出する光学サイドチャネル攻撃を提案しています。XC7A200T デバイスで ICAP バスを特定し、電気光学プロービングでデータを抽出できることを示しています。
注目点ICAPバスから光学的サイドチャネルで平文のコンフィグデータを抽出する新攻撃を提案し、XC7A200Tで実証。FPGAビットストリーム保護に広く影響する。
説明iX3DH：アイソジェニーに基づく耐改ざん型ポスト量子X3DH鍵交換プロトコル
要約本論文は、マルウェアやサプライチェーン攻撃により端末が改ざんされた場合でもSignalのX3DH握手を守ることを目的としています。提案するiX3DHは、可換な群作用Diffie-Hellmanにもとづくポスト量子プロトコルで、リバースファイアウォールが公開値を再ランダム化して隠れた情報を除去できます。著者らはQROM上で認証鍵交換の安全性を、リバースファイアウォールの情報流出耐性などを証明しています。また、署名に隠れた通信路が生じるのを防ぐため、初の候補となるポスト量子ユニーク署名方式IBISも構成しています。
注目点DodisらのリバースファイアウォールX3DHを耐量子の同種写像ベースに移し、初の候補となる耐量子一意署名IBISを構成しており新規性は高い。証明は示されるが実験的検証は乏しい。
説明準同型暗号と差分プライバシーを組み合わせた連合学習：モデルの検査と可用性に関する研究
要約本論文は、学習段階で準同型暗号、モデルの検査と公開の段階で差分プライバシーを用いる、プライバシー保護型の連合学習フレームワークを提案しています。プライバシーの推定には、マルコフ連鎖モンテカルロ法に基づくベイズ推定を用いています。FEMNISTデータセットでの実験では、テスト損失は提案手法が1.09、差分プライバシーのみの手法が2.37でした。プライバシーパラメータεの事後平均は、それぞれ4.32と7.26です。
説明署名と証明に基づく、文脈非依存のデバイス束縛型匿名クレデンシャル
要約本論文は、文脈非依存のデバイス束縛型匿名クレデンシャルのモジュラー構成を提案します。提示のたびに安全素子（SE）の関与が必要で、提示の文脈はSEに明かされません。構成は位置束縛型ベクトルコミットメント、署名方式、ラウンド最適化ブラインド署名、非対話型ゼロ知識論証から成り、正しさ、不可偽造性、非連結性、SEの無知性を証明しています。CAPSSフレームワークとGriffin/Jiveのマークルコミットメントで実装し、Longfellowの Ligero 証明バックエンドで16属性・4開示の性能を示しています。完全に耐量子性が見込まれる部品のみで組み立てられた、初の具体的な構成と評価です。
説明物理層欺瞞（PLD）をEAP-TEAP Wi-Fi認証プロトコルに統合する研究
要約論文は、認証情報ベースのEAP認証では、正当な保持者と盗まれた認証情報を使う攻撃者を区別できないと指摘しています。著者らは、企業向けWi-FiのTEAP/RADIUS/IEEE 802.11認証の流れにバッチ型のPLD再検証ステップを組み込み、オープンソースのhostap 2.12上でサーバー、アクセスポイント、端末まで一貫して実装しました。1593回の試行で、実装した単純な認証情報保持型攻撃者の30回すべてを拒否し、1～3個の能動ラウンドにおける安全性と信頼性のトレードオフを評価しています。
説明スキル連鎖によるLLMエージェントの乗っ取り
要約論文は、LLMエージェントが複数のスキルを順番に呼び出し、前段のスキルの出力が後段の判断に影響することを指摘しています。スキルがオープンソースのリポジトリから来る場合、攻撃者の虚偽の主張も後続の判断に持ち込まれるおそれがあります。著者らはAPEXを提案し、ユーザーのタスクと攻撃者が指定した動作に合わせた敵対的なスキル連鎖を構築・改良します。SkillsBenchで4種類の標的動作と6つのモデルを評価したところ、690回の試行のうち512回（74.2%）で指定動作が誘発されました。また、プロンプトによる防御策も評価されており、攻撃成功率を下げる一方で、正当なタスクの検証通過率も大きく下がることが示されています。
注目点スキル連鎖によりLLMエージェントを乗っ取る攻撃手法を提案し、単一スキル統合との成功率差で効果を示す。6モデルでの実験は有用だが規模は限定的。
説明『False Floors』：分布シフト下では LLM 安全ルーティングの評価が崩れることを示す論文
要約本論文は、主要なルーティングベンチマークが比較対象のベースラインを評価データで選んでいるため、分布シフト下ではルーティングの効果が過大に見積もられると指摘します。HELM Safety や AgentDojo で偏りの大きさを測定し、カテゴリを留保する分割ではその偏りが大きくなることを示しています。テストラベルを使わずに選んだベースラインで評価すべきだと提案しています。
説明OverAct：LLMツール呼び出しエージェントにおける能動的過剰認可の測定と緩和
要約本論文は、ツール呼び出し機能を持つLLMエージェントが、ユーザーの要求が明示的に必要とする範囲を超えて情報を取得してしまう「能動的過剰認可（proactive over-authorization）」を研究しています。八つのプライバシーに敏感な領域にまたがるベンチマーク「OverAct」を提案し、七つのモデルがすべて認可範囲を有意に超えることを示しています。また、推論時にゼロショットで呼び出しを監査・フィルタする手法「SelfAudit」を提案し、プライバシー関連の超過アクセスを43%削減したと報告しています。
説明否認可能な秘密分散：実用的な偽造に向けて
要約本論文は否認可能秘密分散（DSS）を扱います。攻撃者が全シェアホルダーを買収または強制してシェアを提出させる状況で、シェアホルダーは偽造関数を使って本物らしいが秘密を明かさない偽シェアを作成できます。論文は偽造過程で交換すべきメッセージ数と、偽造者の秘密に関するプライバシーを分析します。情報理論的構成では非ゼロのメッセージ交換が必要であることを示し、しきい値構造などで下限に一致する一般的構成を与えます。計算量的設定では、追加の対話なしで済む二つの構成を提示しています。
説明Rijndael-256-256 を用いた GCM の nonce 誤用耐性に関する研究
要約本論文は、nonce が誤用された場合に GCM の安全性が脆弱になる問題を取り上げています。米国 NIST が検討している Rijndael-256-256 でも、誤用による鍵回復などの深刻な影響は解消されないと指摘します。著者らは GCM-256 を提案し、通常は破棄される暗号出力の半分を GHASH の鍵として用いることで、誤用された nonce の下でも新しい nonce に対する安全性が保たれることを示しています。
説明位相鍵フーリエ曲線変調の鍵再利用脆弱性：関係リーク、符号化リンクにおける鍵更新コスト
要約本論文は、鍵空間の大きさや鍵を知らない受信機の誤り率だけでは、この種の変調の安全性は判断できないと指摘します。位相鍵フーリエ曲線コンステレーションの高調波指数間の整数関係を利用し、鍵を列挙せずに鍵を回復する攻撃を示しています。符号語ごとに一つの鍵を用いる設定では、多くの動作点で盗聴者のブロック誤り率が事前に定めた0.1の妥協基準に達しました。人工雑音などの対策と、鍵更新のコストについても検討しています。
説明MiniQCrypt における頑健かつ漏洩耐性のあるデバイス非依存 oblivious transfer
要約本論文は、ポスト量子の一方向関数を仮定して、デバイス非依存（DI）の oblivious transfer とビットコミットメントを構成する。正直な当事者は信頼できる古典計算のみを用いて、信頼できない量子デバイスを操作する。安全性はシミュレーションベースで、量子多項式時間の敵対者に対して成立する。2 つの条件下で、それぞれ一定割合のデバイス故障、または対数多項式個の量子ビット漏洩を許容する。oblivious transfer は安全計算の完全な原語であるため、著者らは任意の効率的に計算可能な古典的機能に対するデバイス非依存プロトコル（中断を許す）も得ている。
注目点デバイス非依存の不経由転送とビットコミットメントを構成し、二つの漏洩モデルで安全性を示し、Magic Square並列反復の境界を導出しており理論的貢献が大きい。
説明意図に束縛された実行の証拠カバレッジ：範囲・義務・締切の推論
要約本論文は、宣言された実行証拠の義務がどの程度満たされているかを事後的に検査する分析モデルを提示します。検証者はすべての記録を認証できても、実行の記録が完全だと判断する根拠を持たない場合があるため、どの記録が到着すべきだったかを説明する必要があります。義務一覧の閉鎖と検証者ビューの閉鎖を区別し、COMPLETE_WITHIN_SCOPE、INCOMPLETE、UNKNOWN の三つの報告結果を定義します。結果は締切時点で到着すべき義務に関するもので、完全性は宣言された義務プロファイルと評価の前提に依存します。
説明システム固有鍵を用いて顔埋め込みから不可逆な PolyProtect テンプレートを生成できるか？
要約本論文は、PolyProtect 生体テンプレート保護手法において、被験者ごとに異なる鍵ではなく全被験者で共通のシステム固有鍵（同一の C・E パラメータ）を用いても、不可逆な保護テンプレートを生成できるかを検討する。これにより保護テンプレート領域での顔の重複排除が可能になるとされる。著者らは、システム固有鍵を系統的に選ぶ方法が少なくとも三通りあり、不可逆なテンプレートが得られることを実験で示している。
説明高品質データ＝安全ではない：データ選別後の大規模言語モデルへのデータポイズニング研究
要約本論文は、安全性調整済みの大規模言語モデルが、少数の有害または一見無害な微調整データによって安全性を損なわれる問題を検討しています。品質に基づくデータ選別で明らかに有害なサンプルの多くは除去されるものの、残った高品質サンプルが層ごとの勾配レベルの有害的な学習パターンにより安全性を低下させる可能性を示しました。提案手法Bi-QSTOは、品質制約の下で投毒サンプルを最適化して選別を通過させ、90%の除去率でも保持率は90%超、攻撃効果はモデル間で転移します。
説明『眠る秘密』：微調整が言語モデルのプライバシーリスクを呼び覚ますしくみ
要約本論文は、大規模言語モデルを微調整すると、直接の質問では取り出せなくなった私的情報が復元される可能性があることを示しています。著者らは、正解データを必要としないデータフリー攻撃ReGapを提案しました。タスク構造を使って候補を生成し、答えトークンの尤度で絞り込み、低ランク適応でモデルを更新します。六つのGPT-2、OPT、Qwen3モデルで、目標関連の復元率は微調整後のモデルより6〜21ポイント向上しました。
説明PACE：ツール利用型LLMエージェントのための来歴認識型能力強制（ツール利用型LLMエージェントの安全性を高める新しい防御手法の提案）
要約本論文は、ツールを呼び出す大規模言語モデル（LLM）エージェントにおいて、汚染されたツールメタデータ、取得したウェブページ、メモリ、再利用可能なスキルが次の呼び出しを誘導しうる問題を扱います。事前審査だけでは解決できないと指摘し、ツール呼び出しの直前で介入するPACEを提案しています。8つの実行可能なエージェント安全性ベンチマークと3系統のモデルでの評価では、79の対象攻撃列のうち62列で攻撃成功率が厳密に最も低く、14列で同率でした。完全ベンチマークでの原生的な有用性低下は最大3ポイントです。
注目点ツール呼び出しの直前で由来と権限に基づき強制制御する新しい境界機構を提案し、8つのベンチマークと3系統のモデルで比較・消去実験を行っている。
説明再集約可能なマルチホップ多重署名：構成法と下界
要約多重署名は同一メッセージへの複数の署名を一つの集約署名にまとめる方式で、本論文は多段階の集約で重複する部分集約を扱う場合を研究している。著者らは、重複する集約を制限なく扱える冪等多重署名では、署名サイズが署名者数に比例することを証明した。この下界を回避するため、増分検証可能計算を用いて構成する、署名サイズが定数の逐次型の一意多重署名を提案している。これを認証付き Dolev-Strong 拜占庭ブロードキャストに適用すると、送信者が正直な場合に二ラウンドで終了し、通信量を O(n^3) から O(n^2) に削減できると述べている。
注目点冪等マルチ署名を導入し署名サイズの線形下界を証明、定数サイズの一意マルチ署名も構成する。理論的寄与は大きいが実験的検証は乏しい。
説明必要な出力だけを開示できる生成AI向け選択的開示型電子透かし
要約本論文は、出力品質を損なわずに生成AIの出力に隠れた印を埋め込む暗号学的電子透かし方式を提案します。既定では検出はモデル所有者のみ可能で、所有者は任意の個別出力に対して短いトークンを発行できます。第三者はそのトークンで当該出力に透かしがあることを検証でき、他の未開示の出力はトークン保持者にも検出できません。著者は二つの新たな安全性概念を定式化し、既存研究に基づく構成とその安全性証明を示しています。大規模言語モデルを含む自己回帰型生成モデルに広く適用可能です。
説明Jambon：低通信量で非同期かつ普遍的合成可能なしきい値FHE
要約本論文は、復号権限を複数の当事者間で分担するしきい値完全準同型暗号(FHE)方式Jambonを提案します。部分復号結果に決定的丸めを適用して、復号応答に用いる法をさらに小さくし、鍵生成と復号の誤差を別々に評価しています。BFVでは厳密な復元を証明し、CKKSにも追加条件のもとで拡張しています。静的な悪意ある腐敗とランダムオラクルモデルの下で普遍的合成安全性を主張し、設定された条件では数値的復号応答が更新版KLL+26の原構成より少なくとも60%小さいとしています（証明と設定の通信量は除外）。
説明モバイル機器におけるGNSSスプーフィング：影響と対策のサーベイ
要約このサーベイ論文は、スマートフォンが利用する衛星測位（GNSS）受信機が、妨害（ジャミング）や偽装信号によるスプーフィング攻撃を受けやすいことを扱います。スプーフィングは偽の衛星信号で誤った位置を算出させる攻撃です。既存の調査はスマートフォン特有の制約を十分に扱っていないため、本論文は携帯端末の構造に適した検知・対策技術を分類し、過去の脆弱性研究を整理して、各手法の長所と短所を比較しています。
説明分類体系に整合させた大規模言語モデルによるOSS脅威の自動検出
要約本論文は、オープンソースソフトウェアのサプライチェーン脅威を自動検出し多クラス分類する大規模言語モデルの枠組みを提案しています。五つの攻撃カテゴリを対象に、2018年から2026年までの999件の検証済み実事例からデータセットを構築しました。GPT-4による分類体系に整合させたプロンプトで、全カテゴリで正解率97%、マクロF1 97%を達成したと報告しています。
説明ホスト侵入検知のための資源認識型振る舞い再構成・階層的意味学習フレームワーク（ReSHID）
要約本論文は、システムコール列が異なるプロセスで交錯し、元の実行順のままでは有用なパターンを抽出しにくいという問題に取り組んでいます。提案手法ReSHIDは、システムコールの意味的不変量を用いて連続性のある列を再構成し、ファイル記述子のライフサイクル追跡で同一資源を指す記述子を関連付けます。さらにGATv2により複数主体にまたがる攻撃の協調パターンを学習し、F1、ROC-AUC、PR-AUCで比較手法を上回ったと報告されています。
説明ReCast：固定インターフェースのマルチモーダル推論向けの契約保持型保護フレームワーク
要約本論文は、チャートや音声などの機密入力を遠隔のマルチモーダルモデルに送る前に、タスクに関連する関係と必要な入力形式を保ちながら、具体的な内容を局所的に置き換えるプラグイン型フレームワークReCastを提案している。4,000件の保持データ（ChartQAおよびNMSQA）において、ReCastは75.10%の精度を達成し、保護なしの遠隔推論精度の92.43%を維持した。一方、モデルベースの監査では、求解器へ送信されたリクエストの7.95%で元の内容の漏えいが確認された。
説明二値LWE問題に対する準指数時間アルゴリズム（サンプル数は劣線形）
要約本論文は、多項式法の下での二値LWE問題を、サンプル数が線形の場合について研究しています。行列と内積に誤差を加えた組と、一様ランダムな組を区別するランダム化アルゴリズムを提示し、その期待実行時間と空間はexp(O(n/log log n))です。著者らは、Gaussian-Wagner枠組み（Ducas、Engelberts、Loyer）の補助超格子の新しい実装と、Aharonov-Regevのフーリエ区別器を組み合わせることで、サンプル数を劣線形に抑えることを示しています。
注目点線形サンプル領域のバイナリLWEに対する準指数アルゴリズムを改良し、サンプル数を劣線形まで減らす新しい超格子の構成と解析を示した。
説明数学的証明書から実行可能な証明書へ：機械的忘却のリリース認証
要約本論文は、データ削除要求などに応じて学習データの影響を取り除く機械的忘却（machine unlearning）において、数学的保証と実際の配備との間の隔たりを埋めるため、リリース時に候補アーティファクトを認証する層ExecCert（Executable Release Certification）を提案しています。凍結された表現と可変のリッジ回帰ヘッドを持つ場合には、削除要求をまたいで認証証拠を維持する増分版の再学習参照リリース検証（RRV）を開発しています。実験では、保存された方程式による検証に起因する誤ったリリースをRRVが排除し、リリース確認が十分頻繁な場合には増分認証が他の検証方法より低コストであると報告されています。
説明高速モデル、遅い証拠：LLMエージェントのハーネス向けSystem-1意思決定モデルの対比較と自己監査評価
要約本論文は、LLMエージェントが行う11の意思決定地点について、オープンウェイトモデルLayaと提供型モデルJevの2つのSystem-1意思決定モデルを比較したものです。公開ソース18件から作成した7,283件の基本ケースと6,640件の頑健性バリアントを用い、Jevは11地点中9地点で有意に高い精度を示しました。またLayaは選択肢の順序を反転すると答えの30%が変わり、候補が増えると大きく劣化しました。著者は自らの分析パイプラインも監査し、導入効果に関する主要な主張を歪めた誤りと設計上の交絡を報告しています。
注目点2つのSystem-1モデルを11の決定点で対比評価し、自身の分析誤りも監査している。証拠は堅実だが、手法自体は通常の評価研究の域を出ない。
説明開かれた世界での安全性による信頼できる家庭用ロボットの構築
要約本ポジション論文は、基盤モデルによりロボットが多様な物体や複雑な指示を扱えるようになった一方、家庭環境では未知の物体や作業に遭遇しやすいと指摘します。著者は、未見の状況（作業を完了できない場合を含む）でも家庭用ロボットが定められた安全要件を維持すべきだとする「開かれた世界での安全性」を提唱し、安全要件の明確化、学習、実装、確実な回復による実施、そして保護の汎化の評価に関する研究課題を提案しています。
説明Jev-IDS：ネットワーク侵入検知のためのSystem Oneモデル
要約本論文は、Jev System One Model（SOM）に基づくオープンな汎用ネットワーク侵入検知システムJEV-IDSを提案し、ラベルが少ない状況でゼロデイ攻撃を検出することを目指します。システムは1件ずつフロー記録を分析し、攻撃確率と有限の選択肢からなるトラフィック分類を出力します。300フローのNSL-KDD試験分割では、k=1の場合にF1値0.859、新規攻撃の再現率0.838を達成し、GPT-5.6 Lunaより高速かつ低コストでした。
説明自己改善を経ても安全性は維持されねばならない：失敗が残る理由とエージェントの回復方法
要約本論文は、再帰的自己改善（RSI）を行うエージェントが世代を重ねても安全を保てるかを検討している。状態を持つ認可タスクの試験環境で、固定の大規模言語モデル編集器が実行可能なエージェント部品を最適化し、その効果を独立したトレースで記録する。新たな認可依存関係により既存の最適化が無効になった後も、履歴スコアが不安全なプログラムを残し続けることが示された。スコアを更新すると正しさは回復するが、独立に構成したテストでは一部の失敗が残る。完全な検証と検証済みロールバックにより、中核的な軌道研究ではプログラムが完全に正しくなり、展開時の節約も43%以上保たれた。
説明MOMAT：量子化LLMの低消費電力ジェイルブレイク防御のための複数アトラス混合フレームワーク
要約量子化された大規模言語モデルはエッジ機器で使われることが増えていますが、量子化によって安全対策が弱まり、ジェイルブレイク攻撃に脆弱になると指摘しています。本論文は、有害・無害なサンプルを意味のまとまりごとに分けた「アトラス」を用い、検索拡張生成と軽量な混合専門家検出器を組み合わせるMOMATを提案します。計算メモリ内（CiM）による類似度検索で、DRAMベースの基準と比べて大幅な省エネルギーを報告し、防御性能は既存手法と同等だとしています。
説明パリティ拡張ゲームに基づく装置非依存の会議鍵
要約本論文は、信頼できない量子デバイスを用いて複数の参加者が共有秘密鍵を確立する装置非依存会議鍵合意（DI-CKA）を扱う。著者らは、任意の二人ゲームを任意の人数へ拡張するパリティ拡張ゲーム（Parity-G games）を提案し、安全性解析を二人ゲームに帰着させる。この枠組みを用いてマジックスクエアゲームから、疑似テレパシーに基づく初のDI-CKAプロトコルを構築し、コヒーレント攻撃に対する安全性を証明している。
注目点任意の二人非局所ゲームをN者へ拡張する枠組みを示し、擬似テレパシーゲールに基づく初のDI-CKAプロトコルを構成して耐コヒーレント攻撃性を証明しており、理論的貢献が際立つ。
説明Helol トンネル：TLS の拡張性とプライバシー機能を悪用した隠れチャネル
要約本論文は、TLS Client Hello パケット内の暗号関連情報要素を戦略的に並べ替えることでデータを埋め込む隠れチャネル手法「Helol トンネル」を提案しています。TLS の拡張性を維持するため中間機器にパラメータ設定の保持が推奨されている点と、アプリケーションが TLS フィンガープリンティング対策として設定を変えている点を利用しています。対話型プロキシや包括的な脅威防御を備える次世代ファイアウォールを回避できることを示し、実トラフィックと公開 TLS フィンガープリントデータにより、既存の TLS 利用型隠れチャネルより有効であることを数値的に示しています。
説明ABSENTIA：Webアプリケーションにおけるアクセス制御の不備の検出
要約本論文は、汎用LLMエージェントを、Webアプリケーションのバックエンドを系統的に検査する脆弱性検出器へと変えるセキュリティ基盤ABSENTIAを提案する。エージェントはまずルートと対応コードを結ぶグラフを構築し、各ルートについて満たされるべき認可の性質を推定し、強制されていない場合にメンテナーの確認用に報告する。あわせて、2025年以降に公開された30件のアクセス制御の不備の勧告からなるベンチマークBAC-Benchも公開されている。
注目点ルート単位の不変条件反証に基づくLLM監査フレームワークを提案し、修正コミット対応の新ベンチマークを構築。CodeQLやSemgrep等との比較実験で、証拠は比較的充実している。
説明DeBERTa-ConPara：敵対的攻撃と実運用を考慮したAI生成テキスト検出
要約本論文は、攻撃を意識したUnicode前処理と文脈型Transformerエンコーダを組み合わせたAI生成テキスト検出器DeBERTa-ConParaを提案し、HC3 Plus、M4、MAGE、RAIDで学習させています。前処理の効果は適用位置によって逆になり、学習データの正規化は重複除去により敵対的サンプルを消去する一方、推論時の正規化は有効な防御となることが示されました。学習は未正規化、推論は正規化という構成が最良で、RAID公式隠しテスト集合でAUROCは99.61%に達しています。また、2つの否定的結果も報告されています。
説明Kettle：HAWK署名方式に基づく短い耐量子しきい値署名
要約HAWK は NIST の耐量子署名追加公募の第3ラウンドに残った格子ベースのハッシュ&署名方式です。本論文は、HAWK の設計がマルチパーティ計算（MPC）と相性が良く、話題になった AI による解読結果の影響を受けない点に着目しています。これをもとに、仕様に準拠した HAWK 署名を出力し任意の人数の参加者に拡張できる UC 安全なしきい値署名プロトコル Kettle を提案しています。ML-DSA や Falcon など既存の非しきい値格子署名から作ったしきい値プロトコルと比べ、オンラインのラウンド数と通信量が少ないとされています。
説明Knuth–Yao マスク付き（ガウス）サンプリング：格子暗号向けのサイドチャネル耐性サンプリング手法
要約本論文は、格子暗号における離散ガウスサンプリングをサイドチャネル攻撃から守るため、Knuth–Yao サンプラーに対する初のマスク付き実装を提示しています。その木構造を利用し、ビットスライス型ブール回路として評価することで、必要なマスク付き AND ゲートは L−2 個となります（L は目標分布の確率展開の総ハミング重み）。ARM Cortex-M4 上では、マスク次数 1 から 5 のすべてで最先端のマスク付き CDT 手法を上回り、次数 1 では最大 2.3 倍高速です。
説明ターゲット型ヒッティングセット生成器に基づく、非対話型ブラックボックス見証不可識別なコミットアンドプルーフ方式
要約本論文は、近年の擬似乱数性と脱乱数化の研究で注目されるターゲット型ヒッティングセット生成器（HSG）を用い、Fiat–Shamir変換を安全に実現する手法を検討しています。標準モデルで一様PPT攻撃者に対する非対話型プロトコルが得られることを示します。さらにMPC-in-the-head技法と組み合わせ、効率的に認識可能な値域をもつ単射型一方向関数と十分強力なターゲット型HSGを基礎とする、非対話型見証不可識別なコミットアンドプルーフ方式を構成しています。
説明AuraForge：コーディングエージェント訓練のためのセキュリティ監督の拡張
要約本論文は、安全なコーディングエージェントを訓練するため、実行可能なセキュリティテストを合成・検証する手法AuraForgeを提案しています。これに基づき、344の実リポジトリ由来の679のタスク（Python、JavaScript、TypeScript、177のCWEカテゴリ）からなるAuraGymを構築しています。人手で書かれたセキュリティテストがある部分集合では、テスト数が平均約3倍、誤検出率は83.23%低減したと報告されています。
説明LLM抽出攻撃に対する防御は各種攻撃に有効か？ブラックボックス型モデル抽出のライフサイクル・ベンチマーク
要約本論文は、6種の抽出攻撃、10種の防御手法、そして保護された応答を言い換えや逆翻訳してから代替モデルを学習させる2種の適応型攻撃を含む統一ベンチマークを提案しています。各比較内でモデル構成、クエリデータ、予算、評価条件を統一的に管理し、代替モデルの能力、被害モデルとの忠実度、Rep-4による出力品質、クエリ予算への感度を測定します。
説明ランダム化と早期停止を組み合わせた拝占庭合意プロトコルと、ラウンド効率の良いMPCへの応用
要約本論文は同期ネットワークにおける拝占庭合意（BA）を扱い、期待定数ラウンドと早期停止という二つのクラスの利点を組み合わせます。著者は、多くの期待定数ラウンドBAプロトコルを、最悪ケースで O(f) ラウンド（f は実際に攻撃された当事者数）のものへ変換するコンパイラを提案します。さらに並列ブロードキャスト（相互一致性）と、ブロードキャストを用いる多者間計算への応用も示しています。
注目点期待定数ラウンドのビザンチン合意をO(f)最悪ラウンドへ変換する汎用コンパイラを提案し、並列ブロードキャストとMPCに拡張している。
説明SafeDepth：安全性を考慮したトークン単位の適応的計算フレームワーク
要約トークンごとにTransformerの層を飛ばす適応型モデルは、参照元のモデルより有害な応答率が高くなることが示されています。安全性への影響は、どの層を飛ばすか、またプロンプト処理と回答生成のどちらで飛ばすかによって変わります。著者らは、ルーターとアダプターで層の実行を選択する軽量なプラグイン型フレームワークSafeDepthを提案し、凍結したバックボーンと併せて学習させることで、計算量と有害応答を減らします。Llama-3-8B-Instructでの実験では、5つの有害要求ベンチマークすべてでFlexiDepthより不安全応答率が下がり、XSTestの誤拒否率は12.0%から4.0%に低下しました。
説明Sapien：自律型AIエージェント向けのステートフル・ポリシーエンジン
要約本論文は、AIエージェントのツール呼び出しを制限するポリシーエンジンSapienを提案しています。エージェントがこれまでに行った操作や得た情報に応じて、後続の操作が許可されるかを判断します。ポリシーは、状態述語、遅延ポリシー生成、スコープ付き意味チェックを備えた拡張正規表現で記述されます。論文によると、タスク効用は制約のないエージェントと数パーセント以内の差にとどまり、エージェントが完全に乗っ取られた場合でもAgentDojoでは攻撃の93〜95%、Toolathlonでは62〜85%を排除できるとしています。
説明CSIDHに対するクレプトグラフィック攻撃（改ざんされた機器が鍵情報を漏らす手法）
要約本論文は、同種写像暗号CSIDHに対する攻撃シナリオを提示します。改ざんされたAliceの機器は、後続のCSIDHセッションでAliceが公開する曲線を通じて、AliceとBobが共有する曲線を外部に漏らすことができます。著者らは、古典的なDiffie-Hellman上のYoung-Yungクレプトグラフィック攻撃を、Goldreich-Levinの定理と棄却サンプリングを用いてCSIDHへ適用しています。公開曲線は、隠された並列化曲線のハードコアビットに従って秘密のクラスが選ばれても、正規に生成された公開曲線と計算上区別できないことを証明しており、その証明はCSIDH自体の計算量的仮定のみに依拠しています。
説明実行の不確実性下におけるアイデンティティ束縛型ガバナンス：LLMエージェントの持続的停止に対する説明責任証明ブロック
要約本論文は、LLMエージェントの観測性やドリフト検知の故障が持続し、再開・拒否・再調整の権限者を自律的に決められない状況を扱います。システムが生成する証拠ブロックと人間が与える決定ブロックを、登録された責任者にed25519署名で結び付ける「説明責任証明ブロック（APB）」を提案し、4つの定理を示しています。実験では3,812件の停止事例、1,800件の攻撃、6つのオープンLLMを用い、ドリフト閾値T*はモデルごとに測定すべきだと結論づけています。
説明仕様に合わせて設計する画像透かし：規格指定に基づく組み合わせ手法
要約本論文は、ユーザーの要求に応じて複数の画像透かしを組み合わせる TAILOR フレームワークを提案しています。耐攻撃性、誤検出率、画質、遅延のバランスを取ることが目的です。まず埋め込み強度に対する性能曲線をオフラインで測定し、次に SMT モデルで歪みが最小となる組み合わせを求め、最後にユーザーの画像で校正します。7,321 件の要求、5 つのシナリオ、20 種類の攻撃条件での実験では、シナリオ平均の要求充足率は 96.21%、平均 PSNR は 41.02 dB でした。
注目点複数の透かし断片をSMTソルバで要求に応じて組み合わせ、オンラインで較正する点に新規性がある。7,321件の要求と20種の攻撃による大規模実験で裏付けられ、画像の出所追跡に実用性がある。
説明サイバーの壁を越えて：強化学習エージェントのシミュレーション間およびシミュレーションから実環境への転移
要約サイバー攻撃エージェントは通常、単一のシミュレータ内で訓練・評価されるため、学習した方策が開発環境の外でも通用するかは不明です。本論文は、状態の対応付けと行動の変換を分離する枠組みを提案し、ある環境で訓練された方策を再学習なしで別の環境で動作させられるようにします。CyberBattleSim、NetSecGame、CyberWheel、NASimの4つのプラットフォームで転移を評価し、NASimのエミュレーション展開も含みます。実験では、近い環境ではゼロショット転移で元の性能を保てること、また模擬仮想マシン環境では元の方策との Jensen-Shannon ダイバージェンスが0.085であり行動が強く類似していることが示されています。（Jensen-Shannon：ジェンセン・シャノン）
説明段階的精度を持つ安全集約：連合学習で層ごとに公開できる集約手法
要約本論文は連合学習のための新しい段階的精度安全集約方式（PSA）を提案する。クライアントは一度だけ更新を送信すればよく、その後はクライアントの再参加なしに、同じ集約結果のより高精度な版を段階的に認可できる。手法では、クリッピングとディザリングを施した更新を互換性のあるネストした格子の桁で表現し、分離して公開可能な各層は安全集約と追加の集約マスクで保護する。このマスクは、非共謀の公開管理者がその層を認可するまでサーバーには利用できない。
説明零空間射影によるLoRA微調整LLMのバックドア除去手法
要約本論文は、LoRAなどのパラメータ効率的ファインチューニングで得られた大規模言語モデルを対象に、トリガーの事前知識やクリーンな参照データ、疑わしいパラメータの事後再学習を必要としないバックドア除去手法を提案しています。後門方向を抽出して直交零空間を構成し、LoRAの更新をそこへ射影します。実験では攻撃成功率がほぼ100%から10%未満に低下し、基盤モデルの汎用性能と適応器が学習した下流タスク能力が維持されたと報告されています。
説明「汚染された暗号」：直和型LIP問題を半分の次元で解く
要約本論文は、Ducas と van Woerden による格同型問題（LIP）フレームワークを、2つのスケール済み整数 Barnes-Wall 格の直和に適用した場合を分析しています。フレームワークの各プリミティブは同じ鍵ペアを共有するため、公開鍵から秘密行列を復元すればすべてが破られることを示します。ハッシュ署名方式を例に、公開鍵のみから計算できる変換により、問題を半分の次元における2つの同型問題に分解する手法を示しています。d=1024、g=43 の場合、鍵回復の推定コストは 220 から 124 古典ビットへ低下します。
説明LLMにおけるエキスパート隔離・停止によるバックドア封じ込め
要約本論文は、バックドアを仕込まれた大規模言語モデルに対し、「隔離エキスパート停止」（QES）と呼ばれる手法を提案する。学習中にバックドアの形成を許容しつつ、展開時に無効化できる隔離された専用コンポーネントへそれを誘導する。原文によれば、多くの設定で攻撃成功率が100%から0～10%に下がり、下流タスクの性能はおおむね維持されるか軽微な影響にとどまるという。
説明大規模言語モデルによる階層型サイバー防御：計画から実行まで
要約本論文は、再学習なしで凍結したゼロショットの大規模言語モデル（LLM）が階層型サイバー防御の制御に使えるかを検討している。Cyberwheel環境で強化学習とLLMの組み合わせを比較し、モデルは30億から700億パラメータまでの6種類を用いた。計画役だけをLLMに置き換えた場合の効果は限られるが、実行役まで広げると、十分な能力を持つモデルは異なるネットワーク規模でも高い防御性能を維持した。
説明万能な構造は存在しない：階層型レッドチーム・エージェントの環境横断評価
要約本論文は、AIによるサイバー防御を試験する二種類の階層型攻撃エージェントを比較しています。一つは強化学習（RL）の計画器と実行器、もう一つは大規模言語モデル（LLM）の計画器と実行器です。CybORG CAGE-4および二つの規模のCyberwheelネットワークで、統一された妨害指標により18の構成を評価しました。RL方式はCAGE-4と100ホストのネットワークで優れ、事前学習済みのサイバーセキュリティLLMエージェントは1010ホストのネットワークで勝ちました。著者らは、単一環境での結論は一般化しないとしています。
説明Harbormaster：証拠ゲートと再生安全性を備えたAWS上の海上異常検知システム
要約本論文は、AWS上に構築された海上異常検知システムHarbormaster（AIS位置情報の誤りや欠落に対応するもの）を紹介します。各報告に対して学習モデルより先に物理チェックを実行し、各変更のログ シーケンス番号（LSN）によるガードでDynamoDB読み取りストアへの書き込みを保護します。モデルは保留検証、シャドウ比較、カナリア配信と燃焼率チェックを経て展開されます。変更ログの任意の接頭辞または接尾辞を再生しても、各投影キーは最大適用LSNの値に収束することを証明しています。
説明ブラインド不可偽造性は「プラスワン」不可偽造性を含意する
要約本論文は、量子設定においてブラインド不可偽造性が量子プラスワン不可偽造性を含意することを証明し、文献における未解決の問題に答えています。プラスワン不可偽造性はブラインド不可偽造性を含意しないことが知られているため、量子設定ではブラインド不可偽造性がプラスワン不可偽造性より厳密に強いことが示されます。証明では、量子クエリアルゴリズムの問い合わせ履歴をブラックボックス的にコヒーレントに再スケールする新しい平滑化技法が用いられています。
注目点新しいコヒーレント平滑化技術により盲目的非偽造性が加一非偽造性を含意することを厳密に証明し、未解決問題を解決した。量子暗号分野への影響は中程度である。
説明最も単純な量子安全なブロック暗号についての論文
要約公開置換を用いる鍵交替型 Even-Mansour 暗号の、量子問い合わせに対する安全性を研究した論文です。一段の構成は Simon のアルゴリズムに基づく量子攻撃で破られ、二段以上の場合は従来、非適応的な敵対者に対してのみ安全性が知られていました。本論文は、理想置換モデルにおいて二段の Even-Mansour 暗号が、多項式回数の適応的な量子問い合わせを行う敵対者に対して情報理論的に安全であることを示しています。さらに、公開置換を一回だけ呼び出す暗号はほぼすべて量子に対して不安全であり、この構成は最小であると述べています。
注目点理想置換モデルで二ラウンドEven-Mansour暗号が量子適応攻撃に対し情報理論的に安全だと証明し、単一呼び出し構成の最小性も示す。
説明ZoneClaw：OpenClaw 型コンピュータ操作エージェントにおける記憶ゾーン化による持続的メモリ攻撃の緩和
要約OpenClaw 型のコンピュータ操作エージェントは、外部情報を含むファイルを持続的メモリとして自動で再読み込みするため、攻撃者が記憶させた主張が後の無関係なタスクにも影響する恐れがあると論じています。提案手法 ZoneClaw は、フラットなメモリを権限レベルを持つ階層的な信頼ゾーンに置き換え、外部の主張は明示的な権限境界を越えてはじめて行動を導く力を得ます。480 回の攻撃試験で攻撃成功は 372 回から 6 回に減り、458 回で有用性を維持したと報告されています。
注目点持続性と権限を信頼ゾーンで分離する新機構を提案し、複数シナリオで攻撃成功率を372/480から6/480へ低減させ、根拠は比較的充分である。
説明F_3^n 部分和問題に対する指数的量子高速化の可能性、あるいは二値誤差 LWE の厳密な古典アルゴリズム
要約本論文は有限体 F_3^n 上のベクトル部分和問題を扱う。m 個のランダムなベクトルから、和がゼロになる空でない部分集合を見つける問題であり、m が小さいほど難しくなる。著者らは Chen、Liu、Zhandry の枠組みを用いて量子アルゴリズムを構成し、入力ベクトル数を大幅に減らした。任意の固定した ε>0 について m=ε·n² のとき多項式時間で解けることを示し、指数時間から多項式時間までの採取数と時間のトレードオフも確立した。中核は二値誤差 LWE 問題に対する決定的古典アルゴリズムであり、より大きな体上のベクトル部分和に対する Kothari、O'Donnell、Wu の古典アルゴリズムも大きく改善している。
注目点量子部分和アルゴリズムをm=εn²まで改善し、二値誤差LWEのサンプル-時間トレードオフを厳密に証明しており、理論的貢献が際立つ。
説明量子暗号の構成には干渉的（コヒーレント）アクセスが必要であることの論証
要約本論文は、量子安全な一方向関数（OWF）が存在する一方で、対数を超える出力長の擬似乱数状態（PRS）が存在しないような量子オラクルを構成しています。古典的にしかアクセスできない任意の古典オラクルでも同様の不可能性が成り立つことを示し、PRSの構成にはコヒーレントアクセスが必要だと結論づけています。また、対数長の擬似乱数関数型状態（PRFS）はこれらのオラクルの下で存在するとしています。
注目点量子オラクル分離を構成し、古典アクセス可能なオラクルでは超対数長のPRSが存在しないことを示し、コヒーレントアクセスの必要性を明らかにする。
説明量子回路難読化による検証可能な量子優位性と計算
要約本論文は、量子不可識別難読化（qiO）を用いて、古典的に検証可能な量子優位性のプロトコルと、任意のBQP計算を古典的に検証するプロトコルを構成しています。一方のプロトコルは秘密検証型で、qiOの存在のみを仮定します。もう一方は後量子一方向性関数を追加で仮定し、公開検証可能です。また、Canetti らの局所混合の枠組みを応用してqiOを構成する方法も提案されています。
注目点量子不可区別性難読化を用い、量子優位性とBQP古典検証に厳密な暗号学的基盤を与え新規性は高いが、根拠は主に理論構成で実験検証は乏しい。
説明量子秘密分散と誤り訂正：複製不可能定理による制約
要約本論文は量子秘密分散（QSS）を検討し、同一の量子状態のコピーを複数与えるものの一つだけを復元すればよい変種を提案して、単一コピーの複製不可能性による障壁を回避する方法を示しています。しきい値の場合について、実現可能な条件と不可能な条件を与え、任意のアクセス構造に適用できる「クリークパス障壁」を提案しています。k=2 では上界と下界が一致し、k≥3 の隔たりは今後の課題とされています。さらに、消失通信路に対する量子誤り訂正にも類似の制約が成り立つと述べています。
説明問い合わせ回数制限付きRAMプログラムとその応用
要約本論文は、量子ワンタイムプログラムを一般化した「問い合わせ回数制限付きRAMプログラム」（QLP）を提案している。状態を持ち、ポリシーに基づく制御されたアクセスを可能にしつつ、攻撃者による計算状態の分岐や巻き戻しを防ぐ。ワンショット署名と単一有効問い合わせの枠組みを統合した「ワンショットプログラム」から、QLPが構成できることを示している。
説明二面体剰余類アルゴリズムにおけるフーリエラベルの情報損失障壁
要約本論文は、二面体剰余類問題（DCP）を解く量子アルゴリズムの広いクラスに対する不可能性定理を示しています。Regev が提案したフーリエサンプリングと部分和測定のテンプレートを対象とし、部分和の下位 n-1 ビットを測定した後、各フーリエラベルから ω(log n) ビットを超えて破棄すると、DCP を解けないことを証明しています。さらに、Simon による 2026 年の最近のアルゴリズムは、フーリエラベルの最上位 3 分の 1 だけで実装できるため、この定理の制約を受け、DCP を解けないと述べています。
注目点二面体剰余類問題のフーリエ標本化テンプレートに属する算法群に対する不可能性を証明し、最近の算法の失敗を示す。理論的な貢献が大きい。
説明植え込み構造を持つ多項式に基づく検証可能な量子優位性
要約この論文は、埋め込まれた独立空間を持つ三次多項式で記述されるIQP回路を用いた、検証可能な量子優位性の方式を提案しています。検証者はシミュレーション秘密を使うことで、古典的な敵対者がクロスエントロピー検定を通過するよりも速く検定を評価できます。著者は二つの予想のもとで、検証時間と古典的敵対者に必要な時間の間に多項式的な差が生じ、両者とも指数時間であると論じています。さらに、この方式は古典的に認証可能な乱数の生成に応用できる可能性があり、論理量子ビット100個、論理誤り率約10^-6で実装可能と見積もられています。
説明CodeMimicry：大規模言語モデルの安全性汎化の遅れを利用した、構造化コード補完によるジェイルブレイク攻撃
要約本論文は、大規模言語モデルの安全性アライメントが主に自然言語で訓練されるため、コード領域へ十分に転移しないことを示しています。この「コード補完の死角」を突く完全自動のブラックボックス型ジェイルブレイク手法CodeMimicryを提案し、構造化されたオブジェクト指向のコードプロンプトで有害な出力を誘発します。8種の商用LLMでの実験では攻撃成功率96.25%、平均1.51回の問い合わせで、潜在空間の分析によって安全機構を回避する仕組みも説明されています。
