arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明量子機械学習による軍用量子鍵配送の偽装攻撃からの保護
要約本論文は、軍用量子鍵配送の実装攻撃を扱う。攻撃者は乱数生成器に仕込んだ後門で、攻撃したブロックを正常なノイズに紛れ込ませ、離散対数の述語で選別する。検出は離散対数問題に帰着し、論文はShorのアルゴリズムを用いた量子カーネルで検出できることを示す。シミュレータGhillieでの試験では、量子カーネルは偽装攻撃を1.000で検出し、古典的監視は0.458から0.516にとどまった。
説明同じゼロ：LLMエージェントのセキュリティで同一の攻撃成功率が異なる保証を意味しうる理由
要約本論文は「検証自律レベル」（VAL、L0〜L5）を用いて、22種のLLMエージェント向けセキュリティ防御がどのような保証を与え、その保証がどこから来るのかを整理することを提案している。同一予算下で、VALに基づく防御構成と一般的な直感的構成を、50シナリオ・12種の攻撃変種、AgentDojoやJADEなどのテストベッドで比較した。攻撃成功率のゼロは結果であって保証ではない、というのが結論である。
説明監査可能性の証明：成果物を公開せずにプロプライエタリなワークロードの性質を証明する手法
要約本論文は、信頼された実行環境（TEE）上で動く二種類のワークロード、すなわち検証可能なビルドと検証可能な監査を組み合わせるアーキテクチャを提案しています。監査結果をソースコードのダイジェストに結び付けることで、検証者は実行中の成果物が監査済みの性質を満たすソースコードから構築されたことを、ソースコードとビルド成果物のいずれも開示させずに確認できます。Intel SGX と Gramine 上で Python コードに Bandit を適用する概念実証実装によって、実用性が示されています。
説明アラインメントの再活性化：意図を考慮した入出力マッチングによるLLMのジェイルブレイク防御
要約本論文は、生成時に動作する着脱可能な防御手法SENTINELを提案し、ジェイルブレイク対策を意図抽出の問題として捉え直しています。指示チューニングされたLLMの入出力の意味的一貫性を利用し、意味的に対応する入出力領域を照合して意図を示す部分列を抽出し、拒否方向への射影で有害性を評価して必要なら生成を停止します。HarmBenchでの実験では、過剰拒否を低く抑えつつ、ジェイルブレイクの成功率をほぼ5%まで下げたと報告されています。
説明CHAMP：行列積に基づくCayleyハッシュ（Cayleyハッシュ関数とは、メッセージのビットを半群の元として扱い、それらの積を取るハッシュ関数）
要約Cayleyハッシュ関数は、メッセージのビットを半群の元として表し、対応する元どうしを掛け合わせることでハッシュ値を求めます。これにより有用な準同型性が得られます。本論文は、有限体上の2×2行列の積に基づくCayleyハッシュ関数CHAMPを提案し、その安全性、実装、性能について論じています。
説明『Guess My Weight』：浮動小数点ニューラルネットワーク重みへのプロファイル型サイドチャネル復元
要約組込み機器上で推論中のニューラルネットワーク重みが、電力のサイドチャネル漏えいによって復元され得るかを検討した論文です。IEEE-754単精度表現を、既知入力と第1層重みの浮動小数点乗算を対象とするプロファイル型テンプレート攻撃で、ビット単位で復元する手法を提案しています。ChipWhisperer-Lite（Arm Cortex-M4）での実験では、171トレースで成功率99%、263トレース以降で100%と報告されています。
説明大規模言語モデルと拡張民主主義：LLMデジタルツインによる市民・政党の選好代表とその脆弱性の研究
要約本論文は、大規模言語モデル（LLM）に基づくデジタルツイン（DT）を「拡張民主主義」の仲介役として用いる機会と課題を検討しています。ブラジルのオンライン実験データで、個人向けDTが市民の未知の政策案への選好を予測できるかを調べ、スイス議会のデータから政党単位のDTとエージェント間の討議を構築して、党内の多様な見解をどこまで捉えられるかを検証しています。さらに、プロンプトインジェクション攻撃に対する頑健性を、2023年の英国の協議実験データを用いて分析し、防御パイプラインも評価しています。
説明JASPER：エッジ堅牢性のための分割計算の信頼性と安全性の共同評価に関する特別セッション
要約本論文は、深層ニューラルネットワークの推論をエッジ機器とクラウドサーバーに分割する分割計算について、信頼性と安全性を一体的に評価する統一フレームワークを提案します。信頼性はニューロン単位の故障注入による平均相対精度低下（MRAD）で、安全性は特徴マップを考慮した敵対的攻撃の模擬による攻撃成功率（ASR）で評価されます。ResNet-50を用いた10種類の分割計算構成での実験では、MRADは44.3%から61.2%、ASRは最大98.8%でした。
説明COPEX：MCP各層における敵対的コンテキストに対するLLMの頑健性を評価するベンチマーク
要約本論文は、周辺のエージェント構成を固定し、ツール選択を担うモデルのみを変えることで、モデルをMCPクライアントとして単独に切り出して評価するベンチマーク COPEX を提案している。25種類の攻撃を125のシナリオとして、モデル/エージェント、クライアント、サーバー/ツール、トランスポートの4つの入口で扱う。9モデル・3,375回の試行で、平均攻撃成功率は64.4%であった。入力とコンテキストの併用スキャンは、8種類の攻撃からなる防御サブセットで、無防備な設定と比べ平均攻撃成功率を49.6%低下させた。
注目点MCPにおけるモデルのツール選択への敵対的文脈攻撃を、他要素を固定した制御実験で検証。125シナリオ・3375試行で、MCP安全性サブ分野に有用。
説明宛先を秘匿する量子ルーティングのための不正検出型プリミティブ
要約量子ネットワークでは中間ノードがエンタングルメントを配布するが、そのノードは利用者同士がどの相手と接続されるかを知りうる。本論文は、Alice が複数のクライアントの一つとエンタングルリンクを確立しつつ、提供者 Bob が相干符号化された要求を改ざんしていないかを検査する最小の二回呼び出しルーティング原語を提案する。量子私的クエリの隠れた順序の仕組みを応用し、選ばれたクライアントが保持する私的マッチング量子ビットで検査用の状態を復元する。明示的な宛先読取り攻撃を非零の確率で検出できることを示すが、定量的な情報と擾乱のトレードオフや合成可能な安全性はまだ示されていない。
説明ATLAS：コンパクトなModule-LWR署名方式
要約本論文は、Module Learning with Rounding（MLWR）問題の困難性に基づく格子ベースのデジタル署名方式ATLASを提案しています。公開鍵は決定的な丸め処理で生成され、誤差項のサンプリングが不要になるため、鍵生成コストと秘密鍵の保存量が削減されます。方式は128、256、512ビットの3つのセキュリティレベルを対象とし、2のべき乗の法を採用して演算を簡略化しています。また、SHAKEとSM3（KDF-SM3）を交換可能な対称鍵バックエンドとして利用できます。
説明GrayShield：Transformerモデルのサプライチェーン安全性のためのビットレベル無害化手法
要約論文は、BERTやViTなどのTransformerモデルの32ビット浮動小数点重みの最下位ビットが、悪意あるペイロードを隠す隠れチャネルとして悪用され得ることを指摘し、AIモデルのサプライチェーンへの脅威として論じています。著者はGrayShieldを提案します。これは軽量で学習後に適用でき、データを必要としない無害化手法で、仮数部の最下位ビット・チャネルをグレイコードに基づく低遷移系列で完全に上書きします。4つのモデル設定と2種類の実マルウェアペイロードで評価され、精度への影響は1%未満、5種類の攻撃者設定下で回復率を約49.96ポイント低減したと報告されています。
説明MPC-in-the-Head によるSigmaプロトコルの理解
要約本論文は、MPC-in-the-head（頭の中のMPC）の観点から古典的なSigmaプロトコルを再解釈するもので、新しい方式の構築ではなく、両分野を結ぶ形式的な対応関係の提示を目的としています。コミットメント・チャレンジ・応答の構造を、仮想参加者の内部ビュー、秘密分散、コミットメント、MPCの整合性検査として写像します。対象はSchnorr、Okamoto、Chaum-Pedersen、GQ、GMRなどの代数的方式と、Stern、GMW（グラフ3彩色）、グラフ同型などの組合せ的方式です。
説明機械的忘却における削除要求のモデル化：利用者がAIモデルの挙動に与える影響
要約本論文は、AIモデルにおける「消去権」を行使する際に、利用者がモデルの挙動にどのように影響しうるかを検討しています。著者らは、データ削除を要求する際に利用者がとりうる行動として「適応性」と「集団性」の二種類を定義し、確率的最適化の観点から、これらの行動を示す利用者群と示さない利用者群の理論的な差を示しています。さらに、データ価値評価の手法を用いて、現実的な状況でモデルの挙動を大きく変えうる削除要求者を設計する方法を示し、コンピュータビジョンのタスクによる実験で、適応性と集団性それぞれの影響を分離して検証しています。
説明CyTReX：DERネットワーク向けの説明可能なAIに基づくサイバー脅威推論フレームワーク
要約本論文は、分散型エネルギー資源（DER）ネットワークのセキュリティを対象とするCyTReXフレームワークを提案します。エッジ側の異常検知システムが出すネットワーク警告を、セキュリティ運用センター（SOC）での調査に用いるための順位付けされた脅威仮説に変換します。大規模言語モデルの推論は、検知結果、SHAPによる特徴量の寄与、代理決定ルール、CTI情報を組み合わせた構造化された証拠パケットによって制約されます。評価では、完全なパイプラインが最も豊富な証拠に基づく推論文脈を提供することが示されています。
説明ORAMの正当性・安全性・失敗確率の機械検証による証明
要約本論文は、証明支援系EasyCryptを用いて、Simple ORAMおよびPath ORAMの正当性と安全性を完全に機械検証された形で証明しています。著者によれば、ORAM構成の正当性上限（失敗確率）を扱った機械検証済み証明はこれが初めてです。また、クライアントの記憶容量負担を減らすためのORAM構成の再帰的合成を扱う汎用ライブラリを提供し、Path ORAMに適用しています。
注目点ORAMの正しさの失敗確率を含む境界について初めて機械検証済みの証明を与え、既存証明を改良した点に実質的な新規性がある。
説明自己反省ファインチューニング：失敗経験から提示インジェクション攻撃への耐性を高めるエージェント安全化の試み
要約本論文は、敵対的条件下で自らの失敗経験から学習させる学習フレームワーク、自己反省ファインチューニング（SRFT）を提案しています。注入攻撃で汚染された軌道を用い、専門家モデルが安全でない行動と最適な行動を対比する構造化された反省推論を生成します。Llama-3.1-8B-InstructとQwen3-8Bに基づくSR-Agentで静的および適応型の攻撃ベンチマークを評価した結果、タスク性能を保ちつつ攻撃成功率が大きく下がったと報告されています。
説明マルチモデル・ハーネス編成による自律型 Active Directory 攻撃：GOAD 上の NeuroSploit ベンチマーク研究
要約本論文は、オープンソースの Rust 製自律型ペネトレーションテストフレームワーク NeuroSploit v4.2.0 を、脆弱性を意図的に配置した多フォレスト型 Active Directory 検証環境 GOAD で評価したものです。フレームワークは 22 の AD 専用エージェントと 7 つの攻撃チェーン手順により、列挙から信頼関係の悪用までの攻撃過程を網羅し、大規模言語モデルを直接呼び出す方式と比較しています。フレームワークの技術カバー率は 96〜100%、直接呼び出しは 21〜54% と報告されています。
説明モデル駆動の再構成に耐える音声合成透かしの学習
要約本論文は、現代の自己回帰型TTSシステム向けに、多ビット識別子を合成音声に埋め込む生成型透かしフレームワーク「Thrive」を提案しています。著者らは、単一の透かし搬送方式は再構成モデルによって頑健性が一定しないことを示し、中間表現への透かし注入を行う「Rise」と、ビットごとの信頼性選択で波形・スペクトルの専門家を組み合わせる「Care」を設計しました。実験では、再構成攻撃下で平均87.6%の復元精度を達成し、最大10,000の候補識別子から出所を特定できることが報告されています。
説明フーリエ境界を超える明示的な非線形関数
要約本論文は、ベクトル値写像 F: F_2^n → F_2^m を、任意のアフィン写像との一致点数が少なくなるように構成する問題を扱う。古典的なフーリエ解析の方法による上界は 2^{n/2} より小さくならない。著者らはこの界を超える構成を示し、次数 d の多項式組に対する低い一致性の問題にも結果を拡張している。
注目点フーリエ境界を超え、非線形性の上界を2^{n/2}から(1+γ)^nへ改善し、多項式の場合にも拡張している。代数的手法と組合せ構造の関連が根拠である。
説明量子攻撃における周期関数の自動探索：識別器と鍵復元攻撃
要約本論文は、Simonアルゴリズムに基づく量子攻撃で用いる周期関数を自動探索する手法を、識別器と鍵復元の二つの場合について研究したものです。既存の記号探索モデルに、固定入力差分、差分伝播、確率の制約を加えて改良しています。その結果、TWINEとLBlockの周期識別器を12ラウンドに拡張し、LBlock-Sの12ラウンド識別器とALLPCの全ラウンド識別器を示しています。鍵復元では、MISTY L-FKへの攻撃を5ラウンドから6ラウンドへ拡張しています。
説明Mosca の経験則を超えて：後量子移行では「対応している」は「保護されている」ではない
要約本論文は、後量子（PQ）移行を資産単位ではなくデータ経路単位で評価する方法を提案し、判定を証拠に結びつけます。鍵の系譜を破られる時刻に関する代数として扱い、二種類の強 Kleene 評価から四つの順序付きラベルを導きます。3 つの TLS ライブラリで構築された 5 種類のサーバ上の 22 構成で推論規則を検証し、同じ名目上の構成でも実装により状態が異なることを示しています。
説明言語モデルのフィンガープリンティングには透かし教師の再考が必要
要約本論文は、透かし蒸留によってモデルの重みに統計的な透かし信号を埋め込み、ブラックボックスAPIの背後にあるモデルを所有者が識別できるようにする手法を扱っています。既存手法の評価では開かれた生成におけるテキスト品質の低下が過小評価されており、透かしを強くしすぎる傾向があると指摘します。そのうえで、基盤モデルの最上位予測に近い候補にのみ透かしの偏りを与える「近似同点制限」を提案し、検出性と品質の均衡を改善しています。
説明統計モデリングのための完全準同型暗号
要約本論文は、R言語の2つのパッケージ（openfhe.R と homomorpheR）を用いて、暗号化されたデータ上で統計解析を行う方法を示します。これにより、各者が元データを共有せずに共同で分析できます。検証として、分散層別 Cox 回帰と、一貫性 ADMM による連合 Cox-lasso を取り上げ、後者では拠点間の更新のみを暗号化しています。想定は正直だが好奇心のある参加者で、閾値鍵生成を用いています。
説明一時的な物理アクセスから持続的な監視へ：スマートホームにおける Matter の安全性が重要な理由
要約本論文は、Matter（相互運用可能なスマートホーム標準）が暗号による機器認証とデータ秘匿に依存する一方、オープン性によりプロトコルの詳細や資格情報の構造、実装の特徴が攻撃者に知られうることを指摘しています。物理的に機器を保護していない場合、攻撃者は一時的な物理アクセスで設計・実装上の欠陥を突いて資格情報を取り出し、機器や制御器になりすますことができ、離れた後も監視と制御を続けられることを示しています。模擬スマートホームでの概念実証により実現可能性を検証し、四つの緩和策を提案しています。
説明SPIN：相関生成と多項式コミットメントのための高速符号
要約本暗号学プレプリントは、擬似乱数相関生成器と多項式コミットメント方式に用いる二元符号 SPIN（単一置換インターリーブ符号）を提案しています。符号率 1/2 で、通常の符号化と転置符号化がいずれも O(N) のビット演算で済む構造化 SPIN 符号族を示し、確率 1−o(1) で最小距離が 0.11N を超えると述べています。実験では、既存の BAA 符号や Ligerito 方式より高速ですが、証明は大きく、検証は遅くなると報告されています。
注目点SPIN符号の構造と線形時間符号化、距離保証を提示し、Lean形式検証と有限長の認証で裏付けている。PCGと多項式コミットメントに実用的な影響がある。
説明分割学習の言語モデルで勾配がテキスト漏えいにどれだけ加わるか、トークン単位と文書単位で測定
要約この論文は、分割学習で言語モデルを学習する際、サーバーがクライアントから受け取る活性化値と返される勾配から元のテキストを復元できることを示します。GPT-2では、活性化値のみで94.20%のトークンを復元でき、勾配を加えると97.38%に上がります。32トークンの文書を完全に復元できた割合は13.71%から37.77%に増えました。著者らは、トークン単位と文書単位の両方で漏えいを報告し、分割モデルが送るデータを原文と同程度に機密として扱うよう勧めています。
注目点分割言語モデルにおいて勾配が文書単位・トークン単位の両方で漏洩を増やすことを示し、GPT-2やQwen3での実験が防御評価に役立つ。
説明大きな体上の高速線形符号：加算のみ、小係数のエンコーダ
要約本論文は、加算のみのエンコーダ、および小さな整数係数を用いるエンコーダによって、大きな体上の高速線形符号を構成する。局所的なプリコードの後に、ランダム置換と、短いフィードバック窓を持つ線形漸化式のスキャンを繰り返す。次元2^20、符号化率1/2、p=2^128-159の条件で相対距離と失敗確率の境界を示し、単一コアでの符号化時間を報告する。
注目点大きな体上で加算のみの線形符号化器を提案し、厳密な距離下界と比較を示す。新規性は高く、証明と実験も充実しているが適用範囲は限定的。
説明Gilbert–Varshamov 限界付近で最小距離を持つ拡大グラフ型符号の解説
要約本論文は、Expand–Accumulate（EA）符号の最小距離が符号長の増大とともに Gilbert–Varshamov（GV）限界に近づくことを証明しています。二元体および任意の固定有限体で成り立ちます。固定符号化率での符号化計算量と、悪い符号を生成する確率の関係も示されています。具体的なパラメータでの有限長の結果は区間演算で検証されており、復号器や完全なプロトコル安全性の証明は含まれていません。
注目点拡張累積符号がGV限界に近づくことを証明し、有限長の証明書を与える。定数や指数の改善は新しく証拠も厳密だが、プロトコルへの影響は限定的。
説明固定長ハッシュ向けの入力注入型AESラウンド関数族
要約本論文は、安全計算で頻繁に用いられる固定長ハッシュのために、各AESラウンドで入力を注入する構成を提案します。基本構成H128は128ビットから128ビットへの写像で、鍵拡張を用いない10ラウンドのAESENC形式の関数です。著者らは3ラウンド積分識別器の証明と5ラウンドの中間一致攻撃の見積もりを示し、その他の結果は縮約ラウンドでの証拠です。拡張として、可変ハッシュH128twと広幅版H256を扱い、関連する攻撃の仕組みを分析しています。
説明合成遺伝子発現データのプライバシー監査：ノーボックス型メンバーシップ推定のための統一加重距離フレームワーク
要約本論文は、ELSA Health 2026 Challenge が公開した、TCGA のバルク RNA-seq データに基づく合成遺伝子発現データに対するレッドチーム評価を行ったものです。著者らは五つのノーボックス攻撃を、遺伝子の重み付け方法だけが異なる単一の加重距離フレームワークに統合しました。条件付き変分オートエンコーダに対しては、スペクトル残差化によって汎がん TCGA での AUC が 0.8251 から 0.8951 に、1% FPR での TPR が 0.3842 から 0.5970 に向上しました。一方、生物学的経路の事前情報は標的間で転移しませんでした。
説明「The TellTail of Embeddings」：クエリだけで黒箱型検索システムの埋め込みモデルを特定する手法
要約本論文は、クエリのみでアクセスできるブラックボックス型検索システムの背後にある検索器（埋め込みモデル）を特定する手法TellTailを提案しています。53種類の検索器を用い、完全な順位付き結果、順序なしの上位3件、言語モデルの生成回答のみという三つの条件で評価し、それぞれ完全な特定、94.3%、92.5%の成功率を示しました。RAGシステムOpenWebUIでも有効であることを確認しています。検索型システムは埋め込みモデルの身元を漏らし、知的財産の露出や後続の攻撃への偵察につながる可能性があると論じています。
注目点クエリのみで黒箱検索器の正体を特定する新たな攻撃を提案し、低転移性を指紋識別に活用、53個の検索器で評価しており証拠は比較的充実している。
説明SERA-IDS：小規模言語モデルによる構造化経験検索拡張型侵入検知
要約本論文は、分類誤りから構造化ルールを学習し、テスト時に条件が一致するルールを検索して小規模言語モデルの判断を支援するSERA-IDSを提案しています。NF-BoT-IoTおよびNF-ToN-IoTのデータセットにおいて、ファインチューニングや有料推論なしでマクロF1が大幅に向上したと報告しています。
説明原像計算のマスキングだけでは不十分な場合：Falcon のマスク実装に対する電力解析攻撃
要約本論文は、原像計算をマスキングで保護した Falcon 実装を狙う新しい電力解析攻撃を提案しています。公開ハッシュ多項式の実部と虚部の比を分析し、シェアの再結合段階での情報漏えいを利用して秘密鍵を復元できることを示しています。選択メッセージ攻撃と非選択メッセージ攻撃の二つの変種を提示し、ARM Cortex-M0 向け ELMO リーケージシミュレータで 4,000 トレースにより 98.3% の成功率を得たと報告しています。さらに、棄却サンプリングに基づく対策も提案しています。
説明SCRM：実用的な宇宙サイバーリスク管理フレームワーク
要約本論文は、衛星通信（SATCOM）などの宇宙インフラに対するサイバーリスクを体系的に分析・低減する、初のSpace Cyber Risk Management（SCRM）フレームワークを提案しています。宇宙インフラ、宇宙ミッション、サイバー攻撃をモデル化し、ミッションのリスク分析と強化のアルゴリズムを提供します。テストベッド上の実際の攻撃事例を用いた検証では、連鎖的影響への対応の重要性、ミッション強化の有効性、NIST（米国標準技術研究所）のセキュリティ管理策によるリスク低減の有効性が示されました。
説明Localize-and-Detect：指示チューニングモデルにおけるタスクレベル汚染の監査
要約指示ファインチューニングは、要約や質問応答など複数タスクの指示-応答ペアで事前学習済み言語モデルを学習させ、指示に従えるようにする手法です。本論文は、タスクレベル汚染攻撃が明示的なトリガーなしに、攻撃者が指定した偏った内容を特定のタスクで出力させうることを指摘します。著者らは、ベースモデルと微調整モデルの出力のみを用いる二段階のブラックボックス監査手法Localize-and-Detectを提案します。まず次トークン分布の差が最も大きい候補タスクを特定し、次にその中から微調整モデルにのみ繰り返し現れる偏った内容を探索します。2系統のモデルにわたる216個の汚染モデルでの評価では、有効に検出でき、クリーンなモデルでの誤検出は少ないことが示されました。
説明最新推論エンジン上の適応型協調サービング大規模言語モデル透かし（SWIFT）：透かしを推論基盤と一体で設計し、品質・検出性・効率を両立させる研究です。
要約本論文は、既存の大規模言語モデル透かし手法がアルゴリズム設計に偏り、補助モデルや外部ツールを加えて遅延やメモリ負荷を増やしている点を指摘します。著者らは、共有バックエンド内で文章生成と透かし構築を行い、非同期の協調サービングと適応スケジューリングで処理を並行させるSWIFTを提案します。実験では、効用スコア4.87、検出精度99.65％（低遅延ベースラインSynthIDは76.65％）を示し、透かし除去攻撃下でも最大97.7％の検出率を達成したと報告しています。遅延は最も効用の高いベースラインSafeSealより5.9倍低いとされています。
説明多項式空間におけるユニタリ計算量
要約本論文は、量子コミットメントが存在すれば、ユニタリ合成問題に多項式時間の解法がないか、BPP≠NEXP のいずれかが成り立つことを示している。また、ユニタリ計算量クラス unitaryP と unitaryPSPACE の新しい定義を提案し、unitaryPSPACE がガーベッジを一般的に消去できることを示している。
注目点量子コミットメントが存在すればユニタリ合成問題の多項式時間解かBPP≠NEXPのどちらかが成り立つことを示し、新しい定義も提案する厳密な理論結果。
説明PoCoFL：ポリシー準拠の連合学習フレームワーク
要約連合学習（Federated Learning）は、学習データを各クライアントに残したまま協調的にモデルを訓練できる仕組みです。しかし、クライアントが提出する貢献がポリシーに適合していること、また集約者が受理した貢献を正しく処理することは保証されません。本論文は、連合学習の種類、ポリシーの意味論、暗号的実現を分離したPoCoFLを提案します。クライアントはコミットメントと非対話型ゼロ知識証明で貢献の適合性を示し、集約者は受理された貢献の集合が選択された集約ポリシーに従って処理されたことを証明します。通常、継続、個人化、閾値暗号化の4つの連合学習への適用を示し、概念実証の実装も行っています。
説明「EviLLM に注意」：大規模言語モデル経由で脆弱性を注入する攻撃の研究
要約本論文は、第三者の攻撃者がAIコード生成パイプラインを侵害し、意図的に脆弱性を混入させるという、より現実的な脅威モデルを検討し、これをEviLLM攻撃と呼んでいます。著者らは、侵害されたアカウントまたはブラウザ経由で基盤の大規模言語モデルにアクセスするだけで、13種類のCWEクラスの脆弱性を注入できる2つの攻撃方式を実装しました。ユーザー調査では、多くの参加者が注入された脆弱性に気づきませんでした。
注目点第三者攻撃者がLLMコード生成過程を乗っ取り意図的に脆弱性を注入する新たな脅威モデルを示し、ユーザー調査で検証しており影響は広い。
説明委任可能なクローン作成を備えた量子ファイア：委任可能な量子暗号プリミティブ
要約本論文は、効率的に複製できるが古典通信だけでは再構成しにくい量子状態「量子ファイア（quantum fire）」を扱います。著者らは、複製に別途の鍵を必要とする「委任可能な量子ファイア」を提案し、古典オラクルモデルで二つの構成を示しています。一つは複製を可能にする古典秘密鍵を用いる方式、もう一つは複製後も影響を受けず、分割や委任ができない量子鍵「トーチ（torch）」を用いる方式です。後者は、m個のトーチを持つ効率的な攻撃者が、通信できない m 個を超える当事者にそれぞれ新しい挑戦用ファイアを複製させることは、無視できない確率では不可能だと主張しています。
説明定数レートの認証付き削除（一定の効率で暗号データを検証可能に消去する方式）
要約本論文は、多様な暗号プリミティブを一定レート（定数レート）の認証付き削除に対応させる統一的な枠組みを提示しています。従来の構成では、削除可能な平文ビットごとに線形数の量子ビットが必要でしたが、本研究は標準モデルにおいて永続的安全性を保ちながら、定数レートを実現する初の構成を示しています。BB84型の符号化に基づく全か無かのプリミティブや、部分空間剰余状態に基づくプリミティブに適用でき、SIS問題の困難性の下では公開検証可能性も組み込めるとしています。
注目点標準モデルで定数レートの認証削除を初めて実現し、永続的安全性を保ったまま多様な原始へ一般化しており、理論的改善が大きい。
説明脅威を保った表現による感度：エージェント安全性ベンチマークの表記の影響
要約本論文は、LLMエージェントの安全性ベンチマークが攻撃成功率（ASR）でモデルや防御を比較する際、エージェントが見る表現（ツール名など）によって数値が変わることを指摘しています。著者らは、タスクや有害な行動、安全方針などを固定し表現だけを変えたときのASR変化を測る指標TPRSを提案しています。3つのベンチマークでの実験では、表現の違いによりASRが数ポイントから十数ポイント変化することが示され、複数の表現にわたる結果で頑健性を主張すべきだとしています。
説明双領域フィンガープリンティングとイベント駆動AFE回路によるセンサーレベル攻撃耐性を備えた安全なdToF LiDAR SoC
要約多くの市販の直接飛行時間（dToF）LiDARは、受信器に高周波レーザーパルスを注入されることで、点群から歩行者を消去されうることが研究で示されています。本論文は、パルス間隔と振幅比をランダム化したレーザーパルス対を用い、その二次元空間で受信エコーを認証する双領域フィンガープリンティング（DDF）と、ピーク周辺のみでADCを動作させるイベント駆動AFE（ED-AFE）、時間変調レーザードライバを提案しています。65nm CMOS試作の16チャネルSoCは最大120mの測距を示し、チャネルあたりのAFE消費電力は3.1mWです。実測データへの概念実証では、なりすまし攻撃下で点群の73%が保護され、DDFなしでは0%でした。
説明ECLIPSE：PRISMの素数次数版に基づく強い偽造不可能性を持つ同種写像署名（実装論文）
要約本論文は、PRISMの著者が提案した素数次数の署名方式ECLIPSEを実装したものです。SQIsignの第3ラウンドの素数パラメータを用い、検証器、正規化されたワイヤ形式と厳格なデコーダ、ランダム化可能な鍵、相互に署名を検証できる2つの独立実装を含みます。さらに、MIKEの鍵ペアをECLIPSEの鍵ペアとしても使えることを示しています。署名は206バイトで、SQIsignとの差は15バイト以内です。形式的な強偽造不可能性（SUF-CMA）の証明は今後の課題とされています。
説明推論モデルは同定問題で正確だが健全ではない
要約本論文は、推論モデルが観測データから因果効果を復元できるかどうかを判定できるかを調べています。著者らはCERTIDという枠組みを構築し、健全かつ完全な因果同定アルゴリズムIDで同定可能性を判定し、干渉分布が正確に既知の構造的因果モデルで返された公式を検証します。1,200の認証済み事例で三つの最先端推論モデルを評価した結果、正確さは健全性の指標として不十分で、同定不能な問いに対する誤った主張の割合はモデル間で約17倍の差がありました。
注目点証明可能な非識別クエリのベンチマークを完全なアルゴリズムIDで認証し、正答率と健全性の乖離を示した点が子分野に有益である。
説明PrivDev：静的解析のデータ型をDPVへ対応付ける研究
要約静的解析スキャナはソースコード内の個人データ型を特定できるが、その結果を標準化されたプライバシー語彙に結び付ける仕組みがない。本論文はBearer CLIの122のデータ型をDPV-PDのカテゴリに対応付け、関連しうるGDPR条項とも結び付ける。43件は完全一致による決定的な対応付けを行い、残りの79件は検索に基づく大規模言語モデルで解決している。結果として118のODRLポリシー資源を含むRDFナレッジグラフが作成され、複数の検証と人手評価を経て、評価の一致度は0.68から0.88の範囲だった。（Bearer CLI：Bearer社の静的解析ツール、DPV-PD：Data Privacy Vocabulary Personal Data）
説明認証付き機構的編集：スキルの削除と保持に関する振る舞いの保証
要約本論文は、ニューラルネットワークの機構的編集（アブレーション、重み編集、活性化ステアリングなど）を形式的に認証する手法を提案します。ある回路を無効化すると、入力領域内のすべての入力について一つのスキルが除去され、別のスキルは保持されることを証明します。ToyのReLUネットワークから標準的なsoftmaxとLayerNormを備えたTransformerまで検証し、精密ソルバーの約9倍の入力摂動次元を健全な境界伝播で扱えることを示しています。さらに、有限の決定的ブラックボックステストでは除去を認証できないことも証明しています。
説明ディリクレ畳み込みによる対称暗号方式
要約本論文は、デジタルデータ暗号化のための新しい共通鍵暗号方式を提案し、高速でメモリ効率が良く、古典的攻撃・AI支援攻撃・量子攻撃に耐えると述べています。方式は有限体上の一般化ディリクレ畳み込みに基づき、平文攻撃に対する安全性を情報理論の観点から検討しています。畳み込みの非局所的構造により平文のソルティングが可能となり、鍵の再利用を制御しつつ防御できるとしています。有限体F_p（p>2）上では情報理論的安全性が証明され、F_2上では一定の情報漏えいが残るため鍵再利用の回数に上限があると述べています。
説明CorrectGuard：ブラックボックス型セキュリティガードレールの「見ない状態」での正答性推定
要約本論文は、人間もモデルもユーザー入力を確認できないプライバシー保護環境において、ラベル付きの可視データのみを用いて黒箱ガードレールの判定が正しいかどうかを予測する独立評価フレームワークCorrectGuardを提案しています。13の安全・セキュリティデータセットでの評価では、文脈内学習や微調整に基づく手法が誤り検出を改善しました。正答性スコアは判定の順位付けや保留にも利用でき、ガードレールの内部へのアクセスは不要です。
説明訓練したテストに合格するとき：LLMエージェント向けプロンプトインジェクション検出器の再評価
要約本論文は、LLMエージェントが工具出力をスクリーニングする小型のプロンプトインジェクション検出器について、公開ベンチマークでのスコアがエージェント内での挙動を予測するかを検証しています。AgentDojoとtau-benchの正解の工具呼び出しを再生して評価を行い、15の検出器と2つのLLM判定器を比較しました。ベンチマーク間で検出順位はほとんど引き継がれず、一方で工具出力での誤検知率は2つのエージェント・ベンチマーク間で引き継がれることが示されています。
注目点公開ベンチマークの検出器ランキングがエージェントのツール出力に移転しないことを示し、差分リプレイによる標注と15検出器の比較で裏付けている。
説明Persona Guardrail：エージェントシステム向けの本番品質の防御フレームワーク
要約本論文は、運用環境で使える実行時防御フレームワーク Persona Guardrail を提案します。意味ベースの許可リストと拒否リストに基づき、入出力を同期的に検証して、顧客向けエージェント AI の機能の境界を明示的に守ります。また、通常・敵対的・領域外の対話を対象に機能別ガードレールを評価するベンチマーク PAGE を導入しています。汎用の LLM ベースのガードレールと比べ、総合精度は 85.7% から 95.9% に、領域外検出率は 57.3% から 93.5% に向上し、誤許可率は 25.0% から 4.7% に下がったと報告されています。現在は本番環境に展開されています。
