arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明放射線画像向けディープニューラルネットワークにおける方向性敵対的攻撃の頑健な検出
要約本論文は、ランダムノイズを用いた後続の攻撃を利用して敵対的摂動を特定する検出フレームワークを提案しています。シグモイド関数の変動を分析し、真正の医用画像と改ざんされた画像を区別します。胸部X線、眼底、脳腫瘍の3つの公開データセットで評価し、方向性のある敵対的攻撃の識別で最大99.8%の精度を報告しています。
説明リーマン変換による運動イメージEEGのセッション間身元漏えい抑制
要約運動イメージ脳波には個人を識別できる構造が含まれ、セッションをまたいで持続するため、同一人物の別々のセッションが結び付けられてしまう。本研究は学習型のプライバシーモデルを使わず、共分散表現上で直接作用するリーマン変換を提案し、平均と接空間の散らばりを均一化する。2つの公開データセットで、最も強い攻撃者の識別率は大きく下がったが、運動イメージ復号精度には一定の低下が生じた。
説明「Fetch Me If You Can」：Fetch Metadata の包括的分析
要約本論文は、2019 年に導入されたブラウザリクエスト用の HTTP ヘッダー群 Fetch Metadata について行われた大規模な実態調査です。Tranco リストの上位 100 万サイトを分析し、導入されている隔離ポリシーや独自のポリシーを特定したうえで、クロスサイト攻撃に対する防御範囲を評価しています。さらに既存のクライアント側セキュリティ機構と体系的に比較し、クライアント側とサーバー側の実施方式の違いから生じるセキュリティ上の隙間を指摘しています。
説明「毒入りのまま行動へ」：型付き意思決定ワークフローへのコンテキスト攻撃の研究
要約本論文は、型付き意思決定インターフェースに対するコンテキスト汚染攻撃を扱います。モデルは定義済みの行動からしか選べませんが、スキーマ上有効な選択でも方針に違反する状態変更を引き起こしうることを示します。著者らは、汚染された証拠を検索、モデルの選択、自動実行、永続化された状態まで追跡する実行認識型の評価プロトコルを提案し、2つの合成ワークフローの20件の開発タスクで1,659回の呼び出しを行いました。防御策が正当な自動化まで抑制する点や、効果の多くは攻撃特有の保護よりも一般的な証拠の価値によると考えられる点が報告されています。ただし、事前に定めた比較の一部はHolm補正後に統計的に有意ではなく、結果は探索的なものです。
説明観察から認可された行動へ：Android エージェントにおけるソース情報の測定
要約本論文は、Android エージェントが読み取った内容の出所（ソース）を確実に判別できないため、利用者の権限で誤った操作を行うおそれがあることを指摘します。著者らは二つのプロトタイプを個別に構築・評価しました。一つは信頼できないアプリ由来の署名付きソース記録を含む副作用のある呼び出しを保留するアプリ・ソース監視機構、もう一つは修正版ブラウザの記録を用いてオブジェクトの出所を確認する WebView ソース参照ゲートです。結果から、試験したポリシーに必要なソース情報と、その情報を実行に使われるオブジェクトと結びつけておく必要性が示されています。
説明切断多項式代数による UOV 攻撃向け Schur–Macaulay 枠組みの拡張
要約本論文は Ding、Li、Tao の wedge 攻撃枠組みを基礎とし、Merz と Ran の Schur–Macaulay 行列法を多項式の形で書き直し、正の標数 p の体上の切断多項式代数を用いて統一的に扱います。この手法は任意の有限体上の不平衡油酢（UOV）問題に適用できます。除冪と移送関係により理想包含の枠組み内で追加の公開関係を得て、隠れた油空間の理想の分次成分を回復するための商次元の判定基準を示します。著者らはこれを第3ラウンドの QR-UOV パラメータ集合に適用し、一部について攻撃計算量の下界の見積もりを得ています。
説明LLM支援コーディングにおけるセキュリティ：体系的文献レビュー
要約本論文は、大規模言語モデルを用いたコーディング支援におけるセキュリティリスクを体系的にレビューし、自動コーディングの脆弱性、ベンチマークの限界、人間の開発者の役割を扱っています。レビューでは、学習データの偏りにより、モデルが安全でないコードや不適切なパッチを生成しやすいこと、またモデル自体が直接的な攻撃を受けやすいことが示されています。既存の評価手法にはデータ汚染の問題があり、信頼性の高いセキュリティ指標も不足しているため、人間による監督が依然として不可欠だとしています。
説明succinct および decomposed LWE の最悪ケース困難性
要約本論文は、近年提案された格子上の LWE の変種である succinct LWE と decomposed LWE を扱います。これらは多くの暗号プリミティブの基礎となっていますが、LWE への帰着が知られていませんでした。著者らは SuperSVP 問題から succinct SIS への最悪ケースから平均ケースへの帰着を示し、量子帰着や探索から判定への帰着と組み合わせて succinct LWE の最悪ケース困難性を証明しています。さらに succinct LWE と decomposed LWE が等価であることを示し、後者にも同じ理論的基盤を与えています。
注目点SuperSVPを導入しsuccinct SISへの最悪ケースから平均ケースへの帰着を示し、succinct・decomposed LWEの最悪ケース困難性を理論的に確立している。
説明ゲノム言語モデルからの学習データ抽出に関する論文
要約本論文は、ゲノム言語モデルEvo 2 7Bが生成過程を通じて学習配列を漏えいさせるかを検証しています。著者らは勾配や学習コーパスを使わず、出力結果のみから反復生成の収束性を手がかりに候補配列を選び、学習データと照合しました。304回の実行で888の候補クラスターが得られ、そのうち85件が500 bp以上の学習断片と一致し、クラスター単位の攻撃成功率は9.57%でした。500 bp閾値では22件が一意に一致しました。
説明音響センシングから物理的行動へ：エッジ配備された音声LLMエージェントのセキュリティリスクに関する包括的サーベイ
要約本論文は、スマートホーム、車両、ウェアラブル機器などエッジ環境に組み込まれた音声大規模言語モデル（Audio LLM）エージェントのセキュリティリスクを整理したサーベイです。音響入力が知覚から外部実行へと伝播する経路を追う「音響センシングから行動へ（S2A）」システムモデルを提案し、エッジとクラウド間の実行や生命周期の変化も考慮しています。攻撃、防御、評価手法を横断的にまとめ、各段階の間の接続部に保護の欠落が生じうることを指摘しています。
説明機械的欺瞞検出における精度と不確実性（研究ホワイトペーパー）
要約本ホワイトペーパーは、言語モデルの内部活性化を読み取り、誠実に見えて実は欺瞞的な応答を検出する「機械欺瞞検出器」を提案します。すべての層を読み取り、応答ラベルのみから欺瞞の手がかりとなるトークンを学習し、誤検出率が所定値以下に保たれるよう警報閾値を校正します。複数の検出器によるアンサンブルで各スコアの不確実性を測り、メンバーの見解が一致した場合のみ警報を出します。評価は未見の五つの欺瞞タスクで行われ、欺瞞特徴を担う層とモデル規模による変化も示すよう設計されています。
説明ランダム格子の列挙の漸近挙動：稠密部分格子によるHKZ基を超えて
要約本論文は、n次元Haarランダム格子上の（枝刈りなしの）列挙木のサイズを研究し、木サイズの指数cの漸近的な挙動を明らかにしています。準HKZ基については c=1/(2e) を厳密に示し、最悪ケースの列挙指数と一致することを述べています。さらに、すべての基の中で達成可能な最小の指数cが、高確率で約0.1464≤c<0.1474を満たすことを示し、稠密部分格子を用いた二ブロック構成によりランダム格子上のCVPPを解く多項式空間アルゴリズムを与えています。
注目点Kimの平均値公式を用いてランダム格の列挙指数の下界を示し、二ブロック基で上界を改善しており、既存の経験的界限を大きく前進させている。
説明「暗号化してからMAC」による、より高速な汎用CCA安全KEM変換
要約本論文は、NIST標準FIPS 203の格子ベース鍵カプセル化機構ML-KEM（Module-Lattice-based Key-Encapsulation Mechanism）の代替構成を検討したものです。従来のFujisaki-Okamoto変換は復号時に再暗号化が必要で処理が遅くなります。著者らは、短い平文にのみランダムオラクルを適用し、暗号文はMACで認証する汎用変換「暗号化してからMAC（encrypt-then-MAC）」を提案し、ML-KEM-EtMとMcElieceEtMという2つの実装例を示しています。要約によれば、ML-KEM-EtMは封緘時のCPUサイクル数と暗号文サイズの増加がわずかである一方、復号時のCPUサイクル数を大きく削減します。
説明大規模言語モデルにおける深さベースの動的推論とジェイルブレイク脆弱性の検証
要約本論文は、中間層から出力を生成する深さベースの動的推論が、大規模言語モデルのジェイルブレイク攻撃への耐性にどう影響するかを調べたものです。浅い出力層は深い層より攻撃に強く、出力層の深さは敵対的サフィックスの最適化のしやすさに影響し、深い層ほど攻撃損失が低くなることが示されています。また、敵対的サフィックスは出力層の深さに関係なく実用性に同様の影響を与えるとしています。これらの知見は、より頑健な動的推論手法の設計に役立つとされています。
説明『Leanは誰も読まない』：高水準の暗号言語が必要な理由
要約このIACR ePrintの論文は、AIが機械検証可能な証明を大量に生成するようになった今、本当に希少なのは証明の内容を読める人間だと主張します。著者は、所有者が短く読めるモデルを書け、主張はすべて検証済みの定理に基づき、前方秘匿性などの目標の定義を公開で合意・版管理された形で言語に組み込む、高水準の暗号言語を提案しています。文中では、一枚の Verifpal モデルで標準的な定義を変えると五つの判定のうち二つが変わる例が示されています。
説明NetFlowに基づくTorオニオンサービスの匿名性解除の有効性（拡張版）
要約本論文は、1分単位・1000分の1サンプリングのパケット数といった粗いNetFlow型のトラフィック統計のみを用いて、Torオニオンサービスの匿名性を解除できるかを調べたものです。実際のTorデータによる大規模実験により、攻撃者が制御されたダウンロードで識別可能なトラフィックパターンを誘発できれば、粗いデータでも標的サービスを特定できることを示しています。さらに、制御された紹介リクエストを使う能動的攻撃と、標的へ一切トラフィックを送らず、公開されるパズル式DoS対策の難易度を側面情報として用いる受動的攻撃を提案しています。著者らは、粗いネットワークデータが現在のオニオンサービスにとって現実的な脅威であり、サービス負荷情報を漏らしうる全体公開の防御シグナルの再設計が必要だと結論づけています。
注目点粗粒度のNetFlowデータのみでOnionサービスを匿名解除し、公開パズル難易度を無トラフィックの受動的サイドチャネルとして用いる点が新規性が高い。実験は実Torデータだが詳細な比較は要約からは不明。
説明ずらし命令フェッチ複製：故障注入に対する軽量なプロセッサレベル対策
要約本論文は、連続する2サイクルで各命令を2回フェッチし、各フェッチサイクルでは異なる2命令をフェッチする、ずらし命令フェッチ複製（SIFD）を提案しています。プロセッサ全体を複製せずに、矛盾したフェッチ結果を検出する仕組みです。カスタムRV32Iプロセッサ上で、クロック故障注入と電磁故障注入により評価されています。
説明『Only What You've Signed up For』：制約付き拡散エージェントによる安全なワークフロー構築
要約本論文は、タスクが複雑化するエージェント型AIがプロンプトインジェクション攻撃に脆弱である問題を扱い、拡散言語モデルのデノイジング過程内で方針（ポリシー）を直接強制するCoDA（Policy-Constrained Diffusion Agents）を提案しています。各デノイジング段階でトークン分布を方針に適合する集合へ射影し、生成全体を通じて制約を満たし続けます。静的および適応的な攻撃の下で複数の拡散言語モデルを評価し、攻撃成功率の大幅な低下と、競争力のあるタスク性能、実用的な推論コストを報告しています。
説明人命を守る唯一の任務を持つエージェントは殺害へと乗っ取られ得るか？——高リスク模擬環境における遅延型多ターン派生動作トラップ攻撃
要約本論文は、NASA を基にした BioSim 月面居住区シミュレーションで、生命維持システムを制御するツール利用型エージェントが、遅延型プロンプトインジェクションによって停止へ誘導されるかを検証しています。攻撃者はセンサーの改ざんや機器の操作はできず、エージェントに目標を放棄させることだけが可能とされています。モデル構成やメッセージの枠組み（信頼できる任務、同僚からの通信、信頼できない発信元）による結果の違いを比較し、実験コードとトレースを公開しています。
説明エージェントが「承認」をクリック：注入されたページ文によりブラウザエージェントがタスクで指定されていないアクセスを認可する問題
要約ユーザーがログインしたセッションで動作するブラウザエージェントが、ページ内に埋め込まれた文言によって、第三者のアカウントへのアクセス許可や Webhook の登録を承認してしまう問題を調べた論文です。OAuth 型の認可と Webhook 登録の 2 つの場面で測定し、防御がない場合は 73 回の攻撃すべてで未承認の操作が完了しました。タスク開始時に定めた権限範囲をサービス側で照合する方式を提案し、有効にすると 70 回の攻撃がすべて拒否されたと報告しています。
注目点ブラウザエージェントの混乱した代理問題を認可同意とwebhook登録へ拡張し、サーバー側でタスクの範囲を照合するゲートを提案。73件と70件の攻撃実験で有効性を示す。
説明承認されたファイルが変わらない場合：デプロイとコーディングエージェント承認における権限セットの完全性
要約論文は、デプロイやエージェントのコマンドの承認が通常は1つのファイルにしか紐づけられていない一方、実行時には他のリポジトリファイルも読み込まれ、それらが承認後に変更されても承認チェックを通過してしまう問題を指摘しています。20の公開リポジトリの履歴では、実行が読むファイルを変更する542件のコミットのうち54.6%が承認済みファイルを変更していませんでした。提案は「権限セットの完全性」で、承認は認可された実行が読むすべてのファイルに紐づくべきだとし、集合の取得は検証可能な情報源から行うよう述べています。
説明MQOM の ベクトル化による効率的な実装
要約本論文は、耐量子暗号署名方式 MQOM のベクトル化（SIMD）実装を提案し、転置に対応したペア行列の手法により、無駄な SIMD 演算とメモリアクセスを削減しています。対象は Round-2 仕様に対応する MQOM v2.1 で、Arm NEON、x86 AVX2、x86 AVX-512 上で鍵生成、署名、検証、メモリ使用量を評価しています。ピーク時の動的メモリは最大 39.43% 削減されました。補足として MQOM v3 での実験も含まれ、行列レイアウトの最適化が第3ラウンドのコードにも適用できるかを検証しています。
説明GAMW：TTS追跡のための生成認識型メルドメイン電子透かし手法
要約本論文はGAMWを提案します。これは音声合成（TTS）の生成過程に電子透かしを組み込む枠組みで、波形合成の前に内容適応型の多ビット透かし残差を生成表現へ埋め込みます。合成後に波形を修正する従来手法と異なり、複合的な摂動に対する耐性を高めています。2種類のTTSモデルで学習・評価した結果、16ビットのペイロードで、個別摂動および複合摂動のもとでの復号精度は最強のベースラインをそれぞれ9.2ポイント、23.5ポイント上回り、音声品質も競争力を保ちました。
