arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明あなたのエージェントは誰に仕えているのか？能動型エージェントにおけるプロバイダ側の間接的プロンプトインジェクション
要約本論文は、個人向け能動型エージェントが推奨や個別化された助言、後続の支援を決める際に、外部のプロバイダがそれを悪用しうる攻撃手法を研究しています。目標制御、私的バインディング、前向き支援の3つの仕組みを示し、3つの環境と6つのシミュレーション用ユーザーモデルで検証しました。完全な攻撃は、試したすべての組み合わせで目標への認可率を高め、マクロ平均で最大77.4ポイントの増加を示しました。ユーザーのために設計された機能が、ユーザーとエージェントの関係の外にある目的へ向けられうることを指摘しています。
注目点提供者側の間接プロンプトインジェクションという新たな攻撃面を提示し、3環境・6ユーザーモデルで検証しているが、規模は中程度。
説明ポリシーゲートが知りうること・知りえないこと：クロスプラットフォームのコマンド裁定における実測上の限界
要約本論文は、シェル構文を解析せず、型付けされ実現された動作（動詞、オペランド、解決済みゾーン、プログラム対象の識別子）のみから許可・確認・拒否を判定するポリシーゲートを研究し、先行研究のWindowsベンチマークをLinux上で再現しています。凍結された61件のテストケースは全件合格し、誤許可はありませんでした。50件のミューテーションのうち46件（92.0%）を検出しました。実行器が参照した場合、25件の迂回はゼロになり、良性のペイロードは一つも遮断されませんでした。また、資格情報検証は台帳全体を走査するため累積的なコストが生じることも報告されています。
説明どの画像特性がジェイルブレイクを担っているのか？画像からテキストへのジェイルブレイクに対する統制的分析
要約本論文は、313件のプロンプトからなるStrongREJECTのサブセットを用い、公表された4種類の画像からテキストへのジェイルブレイク攻撃における画像側の要因を検討し、5つのマルチモーダルモデルとInternVL3.5-8Bの付録評価を用いている。有害なテキストだけの質問はほとんど攻撃に成功せず、攻撃画像は成功率を大きく高めた。タイルごとのエントロピーやJPEGサイズは、同サイズの良性な妨害画像と攻撃用タイルを確実には区別できなかった。Qwen3-VL-8Bでは、クエリとの関連性を取り除く操作によって攻撃成功率が約0.12低下したが、結論は自動採点の審査者に依存する。
説明置換可能な擬似乱数置換の力：完全な鍵・メッセージ定義域を持つトラップドア置換に向けて
要約本論文は、Shmueli と Zhandry の置換可能な擬似乱数置換（PRP）の手法を拡張し、共通参照文字列（CRS）モデルにおいて、完全なメッセージ域と各インスタンスの鍵域を持つ穿孔可能なトラップドア置換を構成します。この構成は、マスタートラップドアからの導出と二段階の穿孔をサポートします。ランダムオラクルモデルでは、決定的な身元ベース暗号や身元ベース署名に応用でき、直接的なPPAD困難インスタンスの構成にも用いられます。
注目点Shmueli-Zhandryの枠組みを拡張し、全定義域かつ二段階パンクチャ安全な陷門置換族を構成して三つの応用を与えており新規性は高いが、強い仮定に依存する理論的結果である。
説明境界での遮断：段階的プロンプトインジェクションに対する長期タスクエージェントの監査
要約本論文は、長期タスクを実行するエージェントが、実行前に間接的なプロンプトインジェクション攻撃を検出し遮断する方法を研究しています。著者らは自動攻撃生成パイプラインを構築し、Claude CodeとCodexで検証しました。さらに、学習を必要としない監査手法PAAを提案し、重要な操作の実行前に通過か遮断かを判定します。
注目点段階的プロンプトインジェクションと境界アクション監査を提案し、479組のベンチマークで既存手法を大きく上回る。新規性と影響は大きい。
説明音声ジェイルブレイクはどこにあるのか：Qwen2-Audio 上の AdvWave-P に対する周波数・層深度の統制監査
要約本論文は、加算型の音声ジェイルブレイク攻撃 AdvWave-P について、Qwen2-Audio 上での周波数および復号器の層深度に関する主張を監査しています。短時間フーリエ変換（STFT）領域で摂動の周波数成分をマスクし、攻撃成功率を測定しました。AdvBench の 520 件のプロンプトで、主要な判定は敵対的入力の 76.7% をジェイルブレイクと判定しています。周波数の順位は帯域の分割方法に依存し、細かい 16 帯域では 7520-7960 Hz をマスクしても攻撃成功率は 0.10 に下がりましたが、対応する対照がないため未解決です。著者らは、因果的な位置特定ではなく、分割を考慮した周波数主張の監査を支持する結果だと述べています。
説明VulValidate：実行可能な証拠による関数レベルの脆弱性ラベルの監査
要約学習ベースの脆弱性検出には高品質なラベルが必要ですが、脆弱性修正コミットから作られたデータセットでは、セキュリティパッチで変更されただけの関数が脆弱とラベル付けされることがあります。VulValidate は LLM エージェントを用いて動的解析ツールを調整し、実行時のフィードバックから脆弱性を誘発する実験を構築します。BigVul、PrimeVul、DiverseVul で脆弱とされた 35,849 件を監査し、20,510 件を確認、6,819 件のラベルを修正、7,981 件は判断保留、539 件は測定できませんでした。
注目点LLMエージェントと動的解析で三つの脆弱性データセットのラベルを自動監査し、盲検レビューと再学習で修正効果を検証しており、新規性と根拠は十分である。
説明私的成分逐次学習：実現可能設定における差分プライバシー学習の枠組み
要約本論文は、k個の成分で仮説が指定される実現可能設定における差分プライバシー学習を研究している。LabelBoost手続きで標本の厳密な実現可能性を回復し、2つの交互のリザーバーでデータを再利用することで、オーバーヘッドを約√k/εのオーダーに抑える。有限座標格子上のd次元半空間学習に適用して標本複雑度を改善し、布尔合成の適切な私的学習にも用いられる。
説明クールダウンの地雷：LLMゲートウェイにおけるテナント間干渉攻撃
要約本論文は、LLMゲートウェイで共有される冷却記録が、あるテナントの失敗によって他のテナントの利用可能なモデル配備へのアクセスを制限しうる問題を扱います。著者はLiteLLMにおける2つの攻撃手法を特定し、発信元チェックとテナント単位の冷却による対策を提案しています。実験では、修正後に被害テナントのフォールバック回数が54/60から0/60に減少したと報告されています。
説明エージェントシステムにおけるOSS脆弱性のセキュリティ影響の分析
要約ソフトウェアエージェントは、ツールの実行や外部システムとの連携において、オープンソースのコンポーネントへの依存を強めています。その依存先のセキュリティ欠陥は、ツールの出力、エージェントの状態、モデルに渡される情報を通じて影響を広げる可能性があります。本論文は、既知のOSS脆弱性がエージェントのワークフローで実際に発動したときの振る舞いを調べ、脆弱なソフトウェアと修正済みソフトウェアの差分実行、および複数層にわたる実行時の由来情報を用いて、脆弱性が観測可能なセキュリティ影響を生じるか、またその影響が到達する最も遠い層を特定します。評価では、実現された脆弱性影響とその範囲を高い精度で区別できることが示され、実在のエージェントフレームワークの文書化されたワークフローにも適用して、OSS依存関係の既知脆弱性に由来する複数のセキュリティ影響を明らかにしました。
説明TARE：バックドア防御のコストを読む前に、未汚染の双子モデルを計測する
要約バックドア防御のランキングでは、クリーン精度の低下が除去コストとして扱われがちですが、その低下には防御が任意のモデルに与える影響と、被害モデル自身の出発点が混ざっています。本論文は、同じ設定・スケジュール・乱数シードで汚染されていない双子モデルを用いてこの影響を差し引くTAREを提案し、差し引いた残りを「tare」と定義します。あわせてパッチ、署名付きtare表、双子モデルを必要としない推定量TARE-Zも公開されています。
注目点無毒化ツインモデルで後門防御の精度低下を補正する新しい評価視点を提示し、スケジューラの対照実験で既存ベンチマークの欠陥を示す。証拠は比較的充実し、分野への影響は大きい。
説明軽量な空中5G基地局に向けて：一般的なARMプラットフォームで再現可能なOAIテストベッド
要約本論文は、無人機に搭載する5G基地局を扱い、コアネットワークと中央ユニットを地上に置き、機上にはバックホール端点、分散ユニット、無線部のみを搭載する構成を検討しています。Raspberry Pi 5とJetson Orin Nanoを分散ユニットとして実測し、Jetsonは有線イーサネットの下り実効スループットでx86分割構成の88.4%を維持したと報告しています。さらに、F1インターフェース経由で災害警報（PWS）を配信するOAIパッチを公開しています。
説明一度回転し、何度も読み取る：多値ブートストラッピングの出力ノイズについて
要約本論文はFHEW/TFHE方式におけるプログラマブルブートストラップを扱い、関数ごとに1回回転する単一値モード（SVM）と、全関数で共有される関数非依存の1回の回転を用いる多値モード（MVM）の出力ノイズを比較する。両モードを統一的に扱う解析枠組みを示し、2つの因数分解設計（標準的な余因子とピボット）のノイズコストを検討する。結果は公開された完全な実装上で測定されている。
説明振幅増幅による単方向-隠蔽定理（O2H）の強化
要約単方向-隠蔽（O2H）定理とその変種は、量子ランダムオラクルモデルでの安全性証明、特に鍵カプセル化機構（KEM）の証明で広く使われています。本論文は、多くの O2H 変種に適用できる振幅増幅ベースの汎用手法を提案し、SC-O2H および MRE-O2H の界に含まれる問い合わせ深さ d に依存する因子を取り除きます。Fujisaki-Okamoto 枠組みの U 変換に由来する IND-CCA 安全性証明にも適用できる条件を示しています。
注目点振幅増幅により O2H 定理の問い合わせ深度依存項を除去し、SC-O2H と MRE-O2H を改良、KEM の IND-CCA 証明へ適用して理論的裏付けを示す。
説明Jev の潜在リスク：セキュリティ、プライバシー、デュアルユースに関する実証研究
要約本論文は、Jev をアプリケーションの意思決定層として展開する際のセキュリティとプライバシーの問題を、公式 API と訓練データを管理できるローカルモデル NanoJev を用いて検証しています。プロンプトインジェクション、訓練データ汚染によるバックドア、制約された出力からの機密情報推定などの攻撃を取り上げ、検出タスクや悪用シナリオにおけるデュアルユースも評価しています。結果として、Jev は示された脅威に依然として脆弱であり、その決定能力は有益にも悪意ある目的にも利用されうることが示されています。
説明長期タスクでツールを使うAIエージェントにおける自己生成サブゴールの実行時認可
要約長期にわたりツールを使うAIエージェントが、サブゴールの作成、再計画、作業の委任を行う際の認可問題を扱った論文です。ツールごとの権限チェックだけでは、変化するゴールグラフが主体の承認したタスクの範囲内にあることを保証できないと指摘しています。著者らは、各ゴールグラフ変更に対する版付きの証拠の検証と、原子的コミット境界での保護された操作の再検査を提案し、96件の実験で禁止状態のコミットがなかったと報告しています。
注目点目標グラフ変更の実行時認可機構を提案し、複数の形式的証明と状態探索・案例実験で検証しており、エージェント権限制御に実質的な進展がある。
説明暗号化された言語モデル復号のための静的ブートストラップ配置手法
要約本論文は、準同型暗号下でテキスト生成ループ全体をサーバー側で実行するAR-HEシステムを提案しています。暗号化された状態で単語を選択して埋め込みを取得し、クライアントは一度プロンプトを送るだけで出力まで待機します。探索を用いない単一の規則でブートストラップを配置し、最適化により単一のNVIDIA H100上でGPT-2 smallの1トークン生成は4715秒から544秒に短縮されたと報告しています。
説明WLPA：最弱リンク露出下で希少な量子安全リンク姿勢を割り当てるネットワーク管理フレームワーク
要約量子鍵配送（QKD）などの量子安全な方式はハードウェアが希少で高価なため、ネットワーク内のごく一部のリンクにしか適用できません。本論文は、こうした制約の下で量子安全な姿勢を割り当てるためのWLPA（Weakest-Link Posture Assignment）フレームワークとアルゴリズムを提案します。分散ジョブの安全性は最も弱い活性リンクで決まるという前提に立ち、既存の個別リンク向けヒューリスティックがいつ最適に一致し、いつ失敗するかを明らかにしています。
説明格子鍵生成のコストはどこから生じるか：Cortex-M4 上での制御された要因分析
要約本論文は、マイクロコントローラ上で格子鍵生成にかかる時間の内訳を調べ、総サイクル数だけでなく、どの実装上の判断がコストを生むのかを分析しています。STM32L476RG（Cortex-M4）上で、公開データの構造、候補値の受理判定のタイミング、変換後の秘密状態を保持するか再構成するかを対応測定で比較し、Bos 系の構造化 LWR、ML-KEM、HAETAE-5 で検証しています。公開構造が各候補の後続計算を定め、受理判定と変換状態の寿命が候補の実行回数と再構築の頻度を決めるとしています。
説明限定合理性：人間対AIによるサイバー防御における認知階層の比較
要約本論文は、攻撃グラフ上の逐次的なサイバー防御ゲームにおいて、人間の防御者と強化学習（DQN）による自動防御者の振る舞いの違いを検討している。四つの防御設定を比較し、Mechanical Turkの参加者80名と対応する自動シミュレーションを用いた。人間は成功・失敗に応じて行動を変える一方、自動防御者にはその非対称性が見られなかった。平均スコアだけでは、こうした行動上の差が見えなくなると結論づけている。
説明見えないインク、見える嘘：本番向け電子透かしがLLMの幻覚を招く仕組み
要約本論文は、テキスト電子透かしが事実の信頼性に与える影響を検討しています。検索拡張生成の設定で、証拠が文脈に含まれていても透かしが事実誤りを引き起こしたり増幅したりすることを確認し、六つの代表的手法すべてで同様の現象を報告しています。原因として現在ステップのトークン摂動と接頭辞による注意の漂流を挙げ、既存手法に組み込める二つの介入策を提案しています。
注目点透かしが幻覚を引き起こすことを初めて体系的に示し、2つの機構と修正手法を提案。6手法での受控RAG実験に基づき影響は広い。
説明自己同型写像と互換性のある NTT と準同型暗号への応用
要約本論文は、負巡回数論変換（negacyclic NTT）とその逆変換を、自己同型写像と互換性のある順序で結果を出力する原地バタフライアルゴリズムとして提案している。構造は Cooley-Tukey や Gentleman-Sande と同じで、事前計算されるツイドル係数のみが異なる。この出力順序により、CKKS や BGV/BFV の暗号文に対するガロア自己同型写像を、単純な巡回シフトや隣接要素の交換で適用できるため、ハードウェア高速化器における専用の自己同型演算ユニットが不要になる。
説明判別式36のHumbert形式と分裂検出への示唆
要約種数2の曲線において、次数nの楕円部分被覆を持つ軌跡について、次数公式を用いて判別式36に対応するHumbert保型形式の構造を決定し、関連するSiegel生成元を計算した論文である。同種写像ベースの暗号における最適(n,n)分裂の判定や、攻撃コストの評価への影響が論じられている。
注目点判別式36のHumbert形式について次数公式と完全因数分解を与え、分裂検出の理論に実質的な前進をもたらすが、適用範囲は限定的である。
説明悪意あるプレイヤーに耐える、信頼できるハードウェア高速化の関数秘密分散（VIGOR-DFA）
要約本論文は、two-party のプライベート推論とプライベート情報検索の基盤となる関数秘密分散（FSS）を、信頼できる GPU 統合型アクセラレータで高速化する VIGOR-DFA を提案している。認証の再計算、開示前の凍結と検証、役割に束縛された一度限りの資源台帳と解放ガードによって、悪意あるホストや GPU による改ざんや再生攻撃を防ぐ。保護モジュールモデルで中断付きの静的悪意モデル安全性を証明し、Shark 系プロトコルに基づく比較モデルでのレイテンシとエネルギーの改善、および悪意安全性のコストを報告している。
説明地政学データと大規模言語モデルを用いたサイバーセキュリティインシデントの予測
要約本論文は、ニュース記事や文字起こしされたポッドキャストから抽出した地政学データを大規模言語モデルで表現に変換し、過去のインシデントに基づいて将来のインシデントを予測する分類器を学習する手法を提案しています。15,700件を超えるインシデントデータセットでの評価では、地政学データのみで71.4%のROC AUCを達成しました。ネットワーク測定値と組み合わせると81.3%となり、ネットワーク特徴のみを用いた従来手法の77.5%を上回りました。
説明位置に依存しない透かしによるモデル生成DNAの追跡
要約ゲノム言語モデルは、出所の記録を持たない合成DNAを生成できます。本研究では、CarbonとGENERator-v2の2つのモデルにSynthIDのトーナメント型透かしを埋め込み、検出器が両鎖・全開始位置・4種類の窓長を探索して、探索全体に応じて判定を補正します。1,544件の留保プロンプトによる検出コホートでは、各モデルの3,088件の透かし付き配列がすべて検出され、編集なしの場合と1塩基の置換・挿入・削除後の場合の両方で検出されました。本研究は統計的検出能力のみを示すものであり、生物学的機能、鍵の安全性、検出器を知る編集者に対する頑健性は扱っていません。
説明『両方必要：Fiat–Shamir のためのプルーフ・オブ・ワーク』：Fiat–Shamir 変換で二種類の作業証明を一つにまとめられるかを論じた論文
要約本論文はランダム・オラクル・モデルにおける Fiat–Shamir 変換でのプルーフ・オブ・ワーク（PoW）の二つの役割、すなわち挑戦値の打ち消し（非償却型 PoW が必要）と対角化攻撃の防止（強い PoW が必要）を検討します。検証者が証明者よりずっと安価な場合、一つの PoW で両方を満たすことは不可能であると証明しています。そのため、強い PoW と非償却型 PoW を組み合わせる XFS-with-grinding 変換を提案し、対応する非対話型論証を示しています。
注目点単一のPoWが強く非償却的であり得ないことを証明し、二種類のPoWを組み合わせたXFS-with-grindingを提案しており、理論的限界に実質的な前進がある。
説明自己判定不可能：LLMはエージェント検証器のチェック可能範囲を自ら線引きできない
要約本論文は、エージェントの検証において固定チェックで判定できる規則と人の判断を要する規則をどう分けるかを扱う。六つのコーパスから約22,000件のラベルを集めた結果、モデルは明白な問題では一致するが規制文では大きく割れ、誤りの方向も逆になることが示された。著者らはCoVerを提案し、介入、エージェントが書けないフィールドの読み取り、決定的な言い換えに耐えた規則のみを受理する。自己判定可能性はモデルから引き出す能力ではなく、検証器が構築すべき境界だと結論づける。
注目点LLMが自身の検証可能範囲を判定できないことを実データで示し、CoVerという門番機構を提案している点は新しいが、検証は限られた規模に留まる。
説明Construction A 格に対する hull 攻撃について
要約本論文は、ある符号 C の Construction A 格と等長な入力格の間の格同型問題を解くアルゴリズムを提案している。本アルゴリズムは、Ducas と Gibbons（PKC 2023）の手法を直接拡張したものである。著者らは、その実行時間が 2^{O(n)} であり、C をランダムに選んだ場合の成功確率が 1+o(1) であることを証明している。元の手法が自明な hull の場合に限られていたのに対し、本手法は任意の次元の hull に対応できる。
説明Penumbra：規制上の義務を対象とした、サンプル効率の高い敵対的探索手法
要約本論文は、規制レッドチーミングのための敵対的探索手法 Penumbra を提案します。検証済みの適合的な応答を出発点として編集範囲を段階的に広げ、二名の評価者からなる委員会の判定が変わるまで探索し、その境界の両側にある隣接する二つの応答を出力します。金融助言と臨床トリアージの二つの規則集で検証され、それぞれ 144 組と 49 組の応答対が得られ、その差は数語程度であることが多いと報告されています。
説明鍵付きオラクルの識別不能性のリフティング、圧縮理想暗号などへの応用
要約本論文は、二つの基本オラクルが量子問い合わせに対して識別不能であれば、それらから構成される鍵付きオラクルも識別不能となることを示す一般的なリフティング定理を証明しています。区別優位性の損失は敵対者の問い合わせ回数 q に対して O(q^2) 倍です。著者らはこの結果を用いて Carolan の圧縮置換オラクルを効率的に実装可能な圧縮理想暗号へ拡張し、量子理想暗号モデルにおける Davies-Meyer 圧縮関数の原像耐性を証明しています。さらに、量子安全な強疑似ランダム置換のメッセージ長を倍にするモジュール式の構成も示しています。
注目点一般的な量子識別不可能性リフティング定理を示し、損失はO(q^2)で最適と証明。これを用いた圧縮理想暗号の構成も厳密な証明で裏付けている。
説明APEX：LLMエージェントの実行境界における能動的防御（論文）
要約本論文は、大規模言語モデル（LLM）エージェントが実行時に読み込む内容に隠された間接プロンプトインジェクション攻撃に対し、エージェントが内部状態を外部動作や出力に変換する「実行境界」で防御する手法を提案します。APEX（Active Protection at Execution Boundaries）は、信頼されたタスクに基づき実行前にコンパイルされた認可契約により、契約で正当化された効果のみを許可し、未承認の利用は効果が確定する前に露呈させます。13の比較手法との評価で、6つのベンチマークのうち5つで攻撃成功率0%、残る1つで0.56%だったと報告されています。
注目点防御を攻撃パターンから実行境界へ移し、単一の認可契約で証拠ゲートと欺瞞的露出を組み合わせる。13の基線に対し攻撃成功率はほぼ0%、適応的攻撃にも有効性を保つ。
説明鍵付きオラクルの識別不能性持ち上げ、圧縮理想暗号などへの応用
要約本論文は、二つの基底オラクルが量子問い合わせに対して識別不能であれば、それらから作られる鍵付きオラクルも、区別優位性にO(q^2)の乗法的損失を伴うのみで識別不能であることを示す一般的な持ち上げ定理を証明している（qは問い合わせ回数）。これを用いて、Carolanの圧縮置換オラクルを効率的に実装可能な圧縮理想暗号へ拡張し、量子理想暗号モデルでDavies-Meyer圧縮関数の原像耐性を示している。さらに、量子安全な強擬似ランダム置換の メッセージ長を2倍にするモジュラー構成も与えている。
注目点量子不可区別性のリフティング定理（O(q^2)損失で最適）を示し、圧縮理想暗号とDavies-Meyer原像耐性の証明に応用して理論的貢献が明確。
説明対話はコードではない：シミュレーションとソフトウェア開発を行うLLMエージェントの比較
要約本論文は、大規模言語モデルを会話の中でプロトコル実装を演じる「シミュレーションモード」と、実際にプログラムを書いて攻撃にさらす「開発モード」の2つで比較しています。同一の攻撃スイートで15のモデルを4つのプロトコル実装について評価しています。シミュレーションモードは初期スクリーニングには有用ですが、開発モードでのテストに代わるものではないと結論づけています。
説明StegoMemory：エージェントのメモリが隠しチャネルとして悪用されうるかを検証した研究
要約本論文は大規模なレッドチーム演習により、エージェントのメモリがセッションをまたいで攻撃者の文字列を隠して伝達できるかを検証しています。14,000回の攻撃試行で、7種類の隠写方式を用いて秘密文字列を通常のタスク応答に埋め込み、記憶書き込みを経て復元できるかを評価しました。完全一致での復元は20.1%の試行で達成され、そのうち71.4%はタスク評価と安全監視の両方を通過しました。著者らは、メモリの完全性や情報フロー制御を明示的なセキュリティ要件とすべきだと主張しています。
