arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明「I Want to Ride My BIKE」：使い捨て鍵KEM向けにビットフリッピング復号器をカスタマイズ
要約本論文は、符号ベースの耐量子鍵カプセル化方式BIKEについて、鍵を一度だけ使う（使い捨て鍵の）場面で公開鍵と暗号文のサイズを減らす方法を検討しています。BF-max復号器を初めて最適化実装し、他の復号法と組み合わせて、復号失敗率・実行時間・鍵と暗号文のサイズの間で異なるトレードオフを示しています。実験では、使い捨て鍵用に設計されたLeanBIKEと比べ、公開鍵と暗号文がそれぞれ7.8%小さくなり、実行時間と復号失敗率はほぼ同等とされています。
説明数十億から数百万パラメータの言語モデルへ：組み込み型ポストエクスプロイト段階の運用能力
要約本論文は、パラメータ数2000万〜15億の7種類のオープンソース小型言語モデルについて、ディレクトリ列挙とバックドア生成という2つのポストエクスプロイト用コード生成タスクでの性能を体系的に評価し、PythonとLuaを比較しています。結果として、攻撃的なコード生成能力はモデル規模に比例して向上せず、タスクの定式化がプロンプト工夫より大きな影響を与えることが示されました。著者らは、現状では広範な悪用には計算負荷が大きすぎるものの、コンパクトモデルの急速な進歩によりその障壁が下がる可能性があり、AI支援型マルウェアの予測と今後の対策に役立つと述べています。
説明確率的サイドチャネル対策の安全なコンパイル：安全性を証明しながら保てるコンパイラ枠組みとマスキングライブラリ
要約本論文は、確率的サイドチャネル安全性の概念を、証明付きで安全にコンパイルするための、言語と漏洩モデルに依存しない枠組みを提案します。中核は決定的な漏洩保存関係の形式化で、これにより d-NI、d-SNI、暗号的定数時間などの確率的安全性の保存が導かれ、確率的な証明義務は不要になります。著者らはRocq証明支援系を用い、Jasmin コンパイラのコア・パイプラインと複数の最適化パスのモデルが、グリッチを含む値プロービングモデルで安全性を保つことを証明しています。さらに、オープンソースのマスキングライブラリ libmasking も構築しています。
注目点確定的リーク保存関係により確率的証明義務を回避し、Rocqで Jasmin コンパイラの最適化の安全性保存を証明しており、新規性と根拠が明確。
説明監視妥当性の障害：フレームワーク境界の変化におけるLLM安全性の証拠経路
要約論文は、LLMアプリケーションがツール呼び出しやトレース等を検査する実行時モニターに依存する点を指摘し、フレームワークは動作していても、安全方針に関わる証拠が判断地点に届かない場合があると述べています。「カナリア契約」という手法により、公開されたフレームワーク修正で18件の証拠経路の障害を確認し、そのうち14件が実行境界に到達していました。フレームワークの進化に合わせて、スキーマ、ストリーム、ツール、アダプタに対する回帰テストが必要だと結論づけています。
説明疎な秘密、密な問題：ハードウェアで HQC を効率よくマスキングする
要約本論文は、NIST が標準化を進める符号ベースの耐量子鍵カプセル化方式 HQC を対象に、疎ベクトルと密ベクトルの乗算に対する新しいマスキング手法を提案し、一次の安全性を証明しています。鍵生成、カプセル化、デカプセル化をサポートする、知る限り初の完全マスキング済み HQC ハードウェア実装も示されています。さらに、Rotate-and-Add 構造は剖析型の水平サイドチャネル攻撃に脆弱であるため、隠蔽型の対策を組み込んだことが報告されています。
注目点疎-密ベクトル乗算の新しいマスキング手法を提案し、HQCの完全マスク付きハードウェア実装を初めて示す。一次安全性の証明とサイドチャネル脆弱性の発見を含む。
説明MobileInject：クロスモーダル一貫性注入下における、MLLMベースのモバイルエージェントの「推論から行動へ」の安全性評価
要約本論文は、モバイルエージェントのマルチモーダル注入攻撃および推論から行動への安全リスクを評価するための初のベンチマーク MobileInject を提案します。11のシナリオ、9つのセキュリティリスク分類、108の実行可能なリスク事例を含む対話型評価フレームワークを備えています。系統的な実験により、モバイルエージェントは広くマルチモーダル注入に脆弱であり、多くの失敗は初期段階の推論ハイジャックに起因することが示されました。
説明MobileJailBench：モバイルエージェント向けのRed Queen型ジェイルブレイク・ベンチマーク
要約本論文は、モバイルエージェントを対象とした、進化し続けるジェイルブレイク評価ベンチマーク MobileJailBench を提案している。3つの攻撃パラダイムと14の危険カテゴリにまたがる520タスクを含み、20以上の一般的なアプリを扱う高忠実度のモバイルサンドボックス上で構築されている。実験では、現在のモバイルエージェントは暗黙的なジェイルブレイクに特に脆弱で、安全アラインメントは表面的にとどまり、会話での拒否から動的なモバイル操作へ一般化しないことが示された。また、この動的進化の仕組みにより、Qwen3.5-122B で攻撃成功率100%に達したと報告されている。
説明四元数の漏えいからイデアルを再構成するSQIsignへの電力解析
要約本論文は、NIST耐量子署名標準化の第3ラウンド候補の一つである同種写像ベースの署名方式SQIsignのサイドチャネル耐性を扱います。著者らは第3ラウンド版の署名手順に存在する5つのサイドチャネル脆弱性を特定し、漏えいした中間値から秘密鍵を復元する多項式時間の代数アルゴリズムを示しています。さらに、各脆弱性について、代数値の一部のビットしか漏えいしない場合でも完全な秘密鍵を再構成できるアルゴリズムを提示し、SQIsignのソースコードに対する電力解析攻撃で必要な漏えい情報を抽出したとしています。
注目点Round-3 SQIsignの署名処理で五つの副チャネル脆弱性を特定し、多項式時間の代数的鍵復元法を示し、実ソースへの電力解析で検証している。
説明「拒否」ではなく「無視」：小規模ツール利用エージェントで低い注入成功率が隠すもの
要約本論文は、ツールを使うエージェントが間接的プロンプトインジェクション（IPI）に直面した際の安全性を検証した。2〜14Bパラメータの11種のオープンウェイトエージェントについて、InjecAgentとAgentDojo上の33,000件の軌跡を分析し、失敗した攻撃の大半は拒否ではなく無視されていること（76〜80%、拒否は17〜18%）を示した。システムプロンプトだけを変えると、InjecAgentの攻撃成功率が0.2%から43%に変化した。著者らは、攻撃成功率と併せて攻撃の失敗の仕方とユーザーのタスク完了の有無を報告すべきだと提案している。
注目点IPIベンチマークのASR指標に疑問を投げかけ、33,000件の軌道を分析して失敗攻撃の多くが拒否ではなく無視であることを示し、評価手法に示唆を与える。
説明AgentLoupe：AIエージェントの可観測性のためのカーネル常駐型意味的因果ラベル（AIエージェントの動作を元のLLM対話まで追跡する仕組み）
要約本論文は、アプリケーションを改変せずに利用できるeBPFベースの可観測性ツールAgentLoupeを提案します。各LLM対話にカーネル常駐の意味ラベルを付与し、プロセス、スレッド、ファイル、ソケットなどのリソースを通じて伝播させます。平均の観測オーバーヘッドは8%未満と報告され、事例研究では、元の発生源と異なる系譜のプロセスにまたがる持続的攻撃を元のLLM対話まで遡れることが示されています。
説明safeRNSgcd：RNSとSafeGCDでFalconの鍵生成を高速化する論文
要約本論文は、FalconのNTRUソルバーの最深部で必要となるベズー係数を、剰余数系（RNS）で表された2つの大きな整数結果から計算する手法safeRNSgcdを提案します。大きな状態をRNSのまま保持し、中心化された明示的CRTによりSafeGCDのバッチ処理に必要な下位ビットを単一ワードの固定小数点演算で復元します。ntrugenに統合したC実装は、Raspberry Pi 5と2種のx86-64プロセッサ上で、元のntrugenや未使用の係数を省いた変種と比べ、逆元計算と秘密鍵基底生成のコストを削減します。
説明GANからGPT-5まで：分類法に基づくディープフェイク顔画像の人間による検出性能の研究
要約本研究は、ディープフェイク顔画像に現れる人間が認識可能な視覚的アーティファクトを整理した分類法（DFAT）を提案し、それに基づいて汎用版と特定モデル向けの訓練教材を作成しました。524名を対象としたオンライン実験で、3種のGANモデル、1種の拡散モデル、GPT-5が生成した画像の検出精度を比較しました。検出精度はモデルに強く依存し、新しいモデルの画像ほど見破りにくいとは限りませんでした。訓練後は多くの条件で有意に向上し、特定モデル向けの訓練の方が概ね効果が大きくなりました。5か月後の追跡調査（342名）では、精度の有意な低下は見られませんでした。
説明双対アイソジェニーによる二次元表現評価の高速化と同種写像暗号への応用
要約本論文は、双対アイソジェニーの性質を利用して二次元アイソジェニー表現を評価する新しいアルゴリズムを提案し、高コストな離散対数計算を不要にしている。この手法をPOKÉやSQIsign2Dなどのアイソジェニー系プロトコルに適用する。速度最適化版の実装では、NIST-Iセキュリティレベルで従来のPOKÉと比べCPUクロックサイクルが最大3.47倍高速になったと報告されている。
説明トロイの木馬：コーディングエージェントに対する自動化されたリポジトリ汚染
要約本論文は、コードリポジトリに対して自動的に汚染を行う枠組みTrojanForgeを提案します。抽象構文木でリポジトリ構造を解析し、目立ちにくい箇所を選んでペイロードを仕込み、対象エージェントとの敵対的な試行で偽装手法を反復改良します。384の汚染リポジトリからなるベンチマークTrojanBenchも構築されています。実験では、投毒成功率が60%を超え、バックドア注入は90%を超えると報告されています。
注目点AST分析と敵対的伪装の反復改良を組み合わせた初の自動リポジトリ汚染フレームワークで、384リポジトリのベンチマークで多数モデルを評価している。
説明私的同時量子メッセージにおける具体的関数：量子的優位性と構造的制約
要約本論文は、私的同時量子メッセージ（PSQM）モデルにおける代表的な全関数の通信複雑度を研究している。三者等価判定については、エンタングルメントを利用するプロトコルを構成し、漸近的通信量は約1.633n量子ビットであるのに対し、事前のエンタングルメントなしで完全正確なプロトコルには少なくとも3n量子ビットが必要であることを示している。三ビット多数決では、共有GHZ状態と各参加者1量子ビットで完全正確性と完全プライバシーが実現でき、古典の最適値6ビットより少ない。三ビットANDは、量子ビットのままでは両方を同時に満たすプロトコルが存在しないが、局所次元を3に上げると（qutrit）実現でき、総通信量は3log₂3となる。k比特ANDについても一般的な構成が示されている。
説明マルチエージェントシステムにおける暗号学的に安全なエージェント間通信：ゼロトラストアーキテクチャの提案
要約本論文は、マルチエージェントシステム（MAS）におけるエージェント間通信の脅威と暗号学的課題を概観しています。なりすまし、メッセージの傍受、悪意あるプロンプトの注入などが対象です。著者らは、ID、伝送路の安全性、メッセージの完全性、監視を統合したゼロトラストアーキテクチャを提示しています。さらに、ハンドシェイクの負荷を減らすKEMTLS（事前配布された公開鍵を用いるTLS方式）や、入力を公開せずにタスク制約を検証するゼロ知識証明も評価されています。
説明承認が実行になるとき：ツールを使うエージェントに対する認可基盤型ワークフロー攻撃
要約本論文は、ローカルの承認フローを利用して権限チェックを回避する攻撃手法を検討しています。攻撃者はエージェントを誘導し、拒否された文書要求の後に通常の承認トークンを取得させ、そのトークンを文書サービスに提示させます。受制御のベンチマークと再現実験で、この手法が成功する例が示されており、トークンの所持だけで十分な認可とみなされる認可文脈のギャップが指摘されています。文脈に結び付いたトークンやサービス側のポリシー結合などの防御策も論じられています。
説明AVX-512 による SQIsign 3.0 検証の高速化
要約SQIsign は同種写像に基づくコンパクトな署名方式です。本論文では、セキュリティレベル I、III、V における SQIsign 3.0 の完全な検証処理について、低遅延な AVX-512 実装を提示しています。Superglue 遷移を含むベクトル化された曲線側の検証を実装し、次数 2^ℓ および theta モデル (2,2) 同種写像チェーンに対する動的計画法の戦略を導入しています。Intel Core i7-11800H 上で、SQIsign 3.0 の Broadwell 参照検証器（最適化された 64 ビットアセンブリ実装）と比べ、3 つのレベルの完全な検証器はそれぞれ 2.14 倍、2.08 倍、2.34 倍の高速化を達成しました。
説明Aspire：動的暗号化データベースに対する実用的なバッチクエリと完全なリーケージ抑止
要約本論文は、暗号化データベースに対し意味的リーケージを悪用するリーケージ悪用攻撃への対策として、ゼロリーケージの暗号化データベースを提案します。理想的ゼロリーケージと、メタデータの漏えいを許す制限付きゼロリーケージを区別し、後者で攻撃を防げることを示しています。そのうえで、確率的バッチコードと最小完全ハッシュを用いた暗号化データベースAspireを提案し、非意味的メタデータのみを明かして効率的なバッチ検索と動的更新を実現します。実験では、2^22組の鍵・値データベースで、償却クエリ遅延が1.38ミリ秒未満、通信量が約2.95KBであることが示されています。
説明VulnSAGE：大規模言語モデルの推論とプログラム構造を結びつけ、SAST報告を判定する手法
要約静的アプリケーションセキュリティテスト（SAST）ツールは、安全性がプロジェクト固有の文脈に依存する操作を指摘します。本論文は、大規模言語モデル（LLM）の推論とプログラム構造を双方向に結びつけるVulnSAGEを提案します。報告の依存関係を抽出するスライサーと、モデルの解釈を検査可能な意味的事実として記録する中間表現CLAIMを用い、プログラム解析で前提を検証します。187件の標注済み報告では、97件の誤警報のうち89件を棄却し、90件の実欠陥のうち85件を保持しました。
注目点LLMの推論とプログラム構造を双方向に結ぶSAST報告の判定手法を提案し、187件の標注報告と実プロジェクトで検証、有効性が際立つ。
説明ECHO：最適化型ジェイルブレイク攻撃において応答の有害性で遵守代理指標を置き換える手法
要約本論文は、最適化ベースのジェイルブレイク攻撃手法ECHOを提案します。既存手法は、プロンプト上で計算される肯定的接頭辞の尤度などの遵守代理指標を最大化しますが、慎重な回避と実行可能な有害回答を区別できません。ECHOは、実際の有害能力に基づく1.7BのHarmSig回帰モデルによる応答レベルの連続的な有害性スコアを目的関数とし、単語レベルの摂動演算子とキーワードアンカー型ビームサーチを組み合わせます。五つのオープンウェイトモデルとAdvBenchでの評価で、StrongREJECT平均スコア最大0.898、HarmBench成功率89.23%を報告しています。
説明サプライズ・マスキング：モデル尤度を用いたプライベートデータのフィルタリング
要約本論文は、公開の参照モデルを用いたパープレキシティ（困惑度）フィルタリングの一種であるサプライズ・マスキング（Surprise Masking, SM）を提案します。学習させたくない部分を特定して抑制し、各サンプルの残りは保持します。合成コードベンチマークと微調整実験では、既存のマスキング手法や PII フィルタリングより優れたプライバシーと有用性のバランスを示し、私的な値の抽出や文体上の癖の再現を大幅に減らしつつ、コーディングタスクの性能を維持したと報告しています。
説明差分プライバシー最適化におけるハイパーパラメータ転移の検討
要約本論文は、差分プライバシー（DP）下の学習では、高次元ノイズと低ランク勾配のスペクトル特性が異なるため、最大更新パラメータ化（μP）が機能しないことを示している。著者らはこれを拡張したDP-μPを提案し、信号対雑音比の条件に基づく層ごとの学習率スケーリング則を導出した。DP-μPはMLP、ViT、GPT-2でモデル幅をまたぐ学習率のゼロショット転移を可能にし、個別調整した基準と同等以上の性能を、計算コストを大幅に抑えて実現するとしている。
説明SAFE-Mem：細粒度な権限管理とガバナンス対応検索を備えた安全なエージェント記憶
要約本論文は、LLMエージェントの長期記憶が、外部から得た信頼できない主張を認可された嗜好や権限として扱ってしまう安全上のリスクに取り組み、SAFE-Memという枠組みを提案しています。各主張に種類、権限、適用範囲の3つのガバナンスラベルを付与し、正当な情報を残しつつ不正な利用を防ぎます。MPBenchとLoCoMoで4種類のLLMを用いた実験では、正当な記憶を保持する防御手法の中で攻撃成功率が最も低く、回答精度も評価した全手法中で最高でした。
説明コアネットワーク要素が到達可能になるとき：Diameter プロトコルのフィールド単位の悪用可能性分析
要約本論文は、大規模言語モデルを用いてセルラーコアネットワークの Diameter プロトコルにおけるフィールド単位の悪用可能性を信頼性高く分析するシステム LENS を提案しています。S6a および Cx インターフェースでは、想定された脅威モデルの下でフィールドパスの 25% 以上が悪用可能であると報告されています。また、未知の脆弱性を 95 件発見し、さらに他の 16 プロトコルへの適用では 118 件が見つかったとしています。
注目点LLMに解析規律とプロトコル証拠を組み合わせるDiameter脆弱性分析システムで、95件の未知の脆弱性を発見し、影響は広い。
説明証明可能なコンプライアンス：実行時のコンプライアンス証拠と取引固有の意思決定のためのプロトコル
要約本論文は、ChainIT Authority Protocol のコンプライアンス層である ChainIT Provable Compliance を提案します。事実ごとに出所、鮮度、信頼度、利用目的などを付した証拠と、バージョン管理されたポリシーを組み合わせ、理由コード付きの判定結果から、一回の利用に対する署名付き・期限付きの合規判断を生成します。この判断は単独では支払いを承認せず、取引ダイジェストや最終的な許可などと併せて用いられます。
説明RAMP：量子安全鍵配送サービスの普及に向けて（量子鍵配送を誰でも使えるサービスとして提供する仕組みの提案）
要約本論文は、量子鍵配送（QKD）の鍵材料の生成と鍵の利用を分離するサービス指向のフレームワーク「RAMP」を提案している。サービス提供者はQKD装置を運用して生の鍵材料を供給し、利用者はそれを取得してローカルでマスキングと後処理を行い、最終鍵を作成する。実験で取得したQKDデータと標準化された耐量子暗号を用いて実装され、一般的な端末でM4 Pro CPU上の平均鍵蒸留スループットは2.1Kb/sであった。
説明識別・分類・対応：外部データを扱うLLMの指示単位の制御可能なコンプライアンス手法
要約外部データ（文書やツールの返り値など）を扱うLLMでは、正当な指示と敵対的なプロンプトインジェクションが一つの内容に混在することがあります。既存の防御は外部指示を全て信頼するか全て抑制するため、過剰拒否と過剰追従のどちらかになりがちです。本論文は各指示を識別・分類・対応する課題としてEDICという分解型の報酬フレームワークを提案し、2つのバックボーンと5つのベンチマークで安全性と有用性の両立を報告しています。
説明推論の KV キャッシュ再利用を介した隠密なポイズニング攻撃
要約本論文は、大規模言語モデルが推論トレースの KV（キー・バリュー）キャッシュを再利用する際の脆弱性を検討しています。著者らは、チャットインターフェースとのやり取りだけで汚染された推論トレースを仕込む手法 R²ECAP を提案しています。前段のトレースのキャッシュが破棄された後も、保持されたトレースのキャッシュに敵対的影響が残ります。3 つのオープンウェイトモデルと 3 つのデータセットでの評価では、攻撃成功率は最大 79% に達し、9 つの設定中 8 つで白箱攻撃 HijackKV を上回りました。また、保持された応答の検出率は 1% にとどまりました。
説明Õ(n²) 通信量でのビザンチン放送
要約本論文は、t<n 個の故障に耐える決定的な n 者ビザンチン放送プロトコルを提案しています。通信計算量は O(n²log⁴(n)λ)、ラウンド数は O(t) です（λ はセキュリティパラメータ）。1983年のDolev–Strongプロトコルを改善する結果です。
注目点1983年のDolev-Strong プロトコルの通信量を準二次に改善し、理論的意義が大きい。証明が中心で根拠は十分。
説明SwiftAuth：複数の発行元の資格情報を集約し非対話型認可を行う、条件付きプライバシー保護型UAV認証方式
要約本論文は、追跡可能かつ集約可能なタグ付き証人署名（TA-TWS）を提案し、それに基づく匿名認証フレームワークSwiftAuthを設計している。非同期の資格情報配布により、利用者がオフラインでも発行者が認可要素を生成でき、複数の資格情報を定数サイズにまとめて通信と検証の負荷を抑える。違反時には規制機関が悪意ある利用者を追跡できる仕組みを持ち、著者らは偽造不可能性と証人隠蔽性を形式的に証明したと述べ、MIRACL Coreライブラリを用いた実験を行っている。
説明GRAD：LLMエージェント向けのグラフ構造型抗体防御手法
要約本論文は、LLMエージェントの操作に分散して埋め込まれるメモリ汚染攻撃や分解型攻撃を対象とし、GRADを提案している。実行グラフ上で操作間の証拠を集約してグラフ単位のリスクスコアを算出し、凍結エンコーダのスナップショット上に検出専門家を追加する継続的抗体適応（CAA）によって、タスクの到来に応じて検出能力を獲得・再利用する。Decomp、MCP、MRTでのAUROCはそれぞれ97.19%、77.59%、86.60%と報告されている。
説明透かし適合性：ロジットベース透かしとの言語モデルの互換性の測定と改善
要約本論文は、ロジットベースの言語モデル透かしに対し、モデルと透かしが要求するトークン集合との互換性を表す「透かし適合性（watermarkability）」を提案しています。目標確率質量に到達するために必要な基盤モデル分布からのKLダイバージェンスの最小期待値を「適合性コスト」として定量化します。二段階の手法として、低ランクアダプタによる目標集合確率の向上と、閉形式コントローラによる最小の一様バイアス付与を行います。OPT-125MとQwen3-8Bでの評価では、適応前のコストが固定バイアス基準の対数PPL増加と相関し、適応器とコントローラにより平均PPLが低減されたと報告しています。
説明Veil-then-Reveal：ゼロトラストのユーザーとLLM間のやり取りで、可逆的な擬似匿名化によりPII（個人を特定できる情報）のプライバシーを守る手法
要約本論文はVeil-then-Reveal（VtR）というフレームワークを提案します。ユーザー端末側で、プロンプト内の個人情報を同じ種類の現実的な代替値に置き換えてから遠隔のLLMに送信し、平文はユーザー側に残します。電話番号やクレジットカード番号などの構造化情報には形式保持暗号を、氏名・地名・組織名などの意味的情報には鍵付きハッシュ辞書と安全な保管庫を用います。応答内の代替値はユーザー側で元の値に戻されます。11,322件の注釈付き個人情報を含む3つのデータセットで、検出再現率97.9%、検出値の保護率95.2%、往復処理における99.9%の復元が報告されています。
説明DAGモデルにおけるガード付き共有によるより短いハッシュベース署名
要約本論文は、新技術「ガード付き共有」を用いてツリー型からDAG型の署名構造へ移行した、ステートレスハッシュベース署名方式BGS-CCを提案します。バケット間引き、ハッシュチェーン、棄却サンプリングを組み合わせ、既存の少回数署名BPORS-C+BFPを改良しています。著者らによれば、128ビット安全性で使用上限Q=2^24の場合、完全な署名は2,228バイトとなり、標準化されたML-DSA-44の2,420バイトより短い初のSPHINCS系ステートレス署名だとしています。
説明LLM-Attack Suite：分割型・分散型LLMのプライバシー評価のための統一レッドチーム枠組み
要約本論文は、分割型LLMにおいてサーバーへ送られる中間表現から入力テキストが復元されるリスクを評価するための枠組みLLM-Attack Suiteを提案している。攻撃者の観測条件、モデル重み、データセット、評価指標を記録し、再現や比較、拡張を可能にする。制御されたGPT-2実験では、訓練中に返される勾配を攻撃者が利用すると、トークン復元率が94.20%から97.38%に、文書全体の復元率が13.71%から37.77%に上昇した。
説明ACE：AIが統制する侵入検知・コンプライアンス対応マッピングエンジン
要約本論文は、侵入検知、規制統制項目へのマッピング、自動対策の展開を連携させるAI統合フレームワーク「ACE（Automated Compliance Engine）」を提案しています。2台の仮想マシンによる実験環境で、8種の模擬攻撃シナリオと3種の正常トラフィック試験により評価されました。全8件の攻撃アラートを検出し、正常トラフィックでの誤検知は0%、アラートの37.5%から展開可能なルールを生成、NIST統制マッピングの平均信頼度は0.87でした。著者らは、環境が限定的であるため、企業規模のデータや複数センサーでの追加検証が必要だと述べています。
説明論文：Web意味論でエージェントのブラウジングを守る（Intact システム）
要約AIエージェントはWebページをスクリーンショットやテキストとして読むため、第三者が注入した内容に説得されてユーザーの権限を誤用しかねないと論じています。本論文は、未改造のブラウザ上で動作する Intact を提案し、来歴とWeb意味論を記録する独自表現 GenTree を構築します。要素ごとにLLMへ渡し、第三者のコンテンツには実行前にユーザーの同意を求めます。注入攻撃を含む1,091ページの実験では、Intact のプランナーで攻撃が通ったのは12.8%で、従来型の73.1%に対し大幅に低い結果でした。隔離によって機能が損なわれたタスクは3.7%でした。
注目点ウェブ意味論（出所と要素種別）に基づきエージェントの動作を制限するGenTreeと隔離機構を提案し、1,091件の注入攻撃ページで攻撃通過率を12.8%に下げており、新規性は高い。
説明合成データの経験的プライバシー状況の検討：言語モデルの能力とプライバシー漏えいのトレードオフを比較
要約本論文は、合成医療記録を用い、データレベルと学習レベルの介入手法を、漏えい検出用のカナリアを使って比較しています。直接ファインチューニングは能力指標で最も優れる一方、プライバシー漏えいも最大で、DP-SGDは漏えいを減らすものの能力を大きく損ないます。唯一性を意識した指示で私的な詳細を置き換える、プライバシーを考慮した書き換えは、合成データの中でより良いバランスを示しています。
説明StratFL：戦略的フェデレーテッド学習による隠密型モデル汚染攻撃への対策
要約本論文は、フェデレーテッドラーニングにおける持続的標的型脅威の一種である隠密型モデル汚染（CMP）を扱う。攻撃者は汚染されたモデル更新を断続的かつ隠密に注入する。サーバと攻撃者の相互作用を、互いの行動を観測できない不完全情報の繰り返しゲームとして定式化し、対立的探索アルゴリズムStratFLと、サーバ側・攻撃者側の信念更新アルゴリズムを提案している。MNISTとCIFAR-10を用いた実験では、さまざまなセキュリティ設定で信念更新の経験的収束が示され、StratFLは既存手法より精度が10%高いとされている。
説明統一ラベルによる広範かつ効率的な個人情報検出
要約本論文は、1億4,100万パラメータのエンコーダ型個人情報（PII）検出モデルを提案します。77の公開データセットから得た112万件の例を、12の構造化PIIカテゴリの統一定義で再ラベルして学習させています。AI4PrivacyとNemotron-PIIのベンチマークで低誤検出率の設定で評価したところ、多くの比較で大規模なベースラインより高い再現率を示し、スループットは2〜10倍、ピークGPUメモリは94〜97%少なくなりました。
説明SOLARBURSTはシリコンに届くか？VLSI設計フローを狙うソフトウェアサプライチェーン攻撃の体系的分析
要約本論文は、ソフトウェアサプライチェーン（SWSC）の観点からVLSI設計フローの脆弱な領域を体系的に分析します。VLSIソフトウェアスイートの構成、セキュリティ機能、設計フロー内のツール間相互作用を実証的に調べ、攻撃分類モデルを構築して717の新たな攻撃可能性を特定し、そのうち60件を高実現性の攻撃としています。また脅威モデルを示し、既存の防御策を評価するとともに、オープンソースVLSIツールで構成された参照設計フローでケーススタディを行っています。
注目点ソフトウェアサプライチェーンの観点からVLSI設計フローの攻撃面を体系的に分析し、攻撃分類モデルで多数の新規攻撃を特定。実証分析と事例研究が根拠だが検証規模は限定的。
説明モデル即トロイの木馬：LLMエージェントの重みに埋め込まれた自己起動型の隠密DNS情報流出
要約本論文は、オープンウェイトのLLMが外部の悪意あるコードに頼らず、重みそのものにマルウェア的な振る舞いを組み込まれうることを示します。著者らはモデルを微調整し、シェルツールが利用可能と判断した場合に、実行環境の秘密情報をDNSクエリとして攻撃者管理のネームサーバーへ送信させ、その後も通常どおり応答させます。DNSのみを許可する出口ファイアウォール下でも攻撃が完了すると報告されていますが、要約は原文の記述に基づきます。
注目点LLMの重みに情報漏えい動作を埋め込む新たな脅威モデルを示し、DNSトンネルで沙箱を回避する。多様な設定で検証され、影響は広い。
説明「認証情報を見せて」：MCPサーバーにおけるファイルシステム権限ロンダリングの大規模検出
要約本論文は、MCP（Model Context Protocol）サーバーに見られる脆弱性の一種を扱います。攻撃者が引数を操作し、ツールが宣言された範囲外でホストの機密ファイルにアクセスさせる問題です。著者らは検出ツールMCP-FSDを用いて21,097件のサーバーを分析し、非ファイルシステム機能に分類されたもののうち787件（16.4%）がファイルシステム機能を持つことを確認しました。テストした検証条件下で150件の脆弱な実装を確認し、13件のセキュリティアドバイザリが公開されました。
注目点ファイルシステム能力ロンダリングという新たな脆弱性類型を提示し、21097件のMCPサーバで大規模検証、150件の悪用可能事例とCVEを確認した。
説明ランダム射影による秘匿性を保った検索拡張生成
要約検索拡張生成（RAG）は外部の知識データベースを参照して大規模言語モデルを強化しますが、検索用データから機微な情報が漏えいするおそれがあります。本論文は、データベースとクエリの埋め込みに同じランダム射影を適用して秘匿性を保つ簡易な手法を提案しています。著者らは、この手法が意味的類似性を保ちつつ、データ抽出攻撃を大幅に抑えられると述べています。複数のRAG構成とデータセットでの実験では、形式的な差分プライバシーを用いる従来手法より検索・生成性能が高く、強い攻撃モデル下でも同程度の経験的プライバシーを示したとしています。
説明局所ノード差分プライバシーの下での部分グラフ計数
要約本論文は、分散型ソーシャルネットワーク分析で強いプライバシー保証を与える局所ノード差分プライバシー（LNDP）モデルの下で、部分グラフの個数を近似計算する問題を扱う。著者らは、任意の定数 k ノードの公開テンプレートグラフ H について、機密の無向 n ノードグラフ中の H の出現数を加法誤差 O(n^{k-1/2}/ε^{k-1}) で数える非対話型 (ε,0)-LNDP アルゴリズムを設計した。さらに、最大次数が 1 を超える任意の k ノードテンプレートに対し、非対話型 (ε,δ)-LNDP アルゴリズムの誤差は Ω(n^{k-1/2}) 以上でなければならないという下界を示し、poly(1/ε) 因子を除けば定数サイズの部分グラフ計数で最適であることを示した。
注目点LNDPで近似可能な統計量を次数分布から任意の定数サイズ部分グラフ計数へ拡張し、ほぼ最適な誤差の上下界を厳密に示した。
説明GhostFaceMPC：マルチパーティ計算によるプライバシー保護型顔認識
要約本論文は、安全なマルチパーティ計算の下で深層畳み込みニューラルネットワークによる特徴抽出と照合を行う、初のエンドツーエンドのプライバシー保護型顔認識システム GhostFaceMPC を提案しています。特徴抽出、保存、照合の各段階で、生の画像や生体特徴量を露出させないとしています。また、GhostFaceNet モデルのマルチパーティ計算向け量子化と回路最適化により、実用的な処理を目指しています。コードは公開されています。
説明言語はエージェントガードのセキュリティ上の弱点になりうるか：同じステップでもユーザー指示を翻訳すると判定が変わる
要約本論文は、エージェントのステップ単位のガードモデルの判定がユーザー要求の言語によって変わるかを検証しています。TS-Bench AgentDojo-Traj の1,220の注釈付きステップからLinguaGuardBenchを構築し、ユーザー指示のみをドイツ語、フランス語、トルコ語、スワヒリ語、アムハラ語に翻訳しました。多くの小規模・オープンなガードや専用ガードは翻訳によって判定が変わり、言語が稀なほど影響が大きくなりました。フロンティアモデルの変化はごくわずかでした。
注目点ステップ単位の安全ガードがユーザー要求の言語に依存することを、指示文のみを翻訳する厳密な対照実験で19種のガードに対して示しており、新規性と根拠は十分である。
説明エージェント安全性評価におけるショートカット感度の研究
要約本論文は、AIエージェントの安全性ガードの評価データに含まれる、安全性そのものを測らずにラベルを予測可能にしてしまう「ショートカット」的な手がかりを検討しています。LinuxArenaと2つのTS-Bench由来データセットを監査し、特定のマーカーの書き換えや別名ツールの導入によって、ガードの誤検知判定や測定精度が変化することを示しています。著者らは、領域単位のホールドアウト、評価単位の指標、プラセボ対照の配対介入の採用を勧めています。
説明「誰もが少しは偏っている」：ブラックボックス環境での新しい機械学習バックドア攻撃
要約本論文は、モデルに依存しない完全ブラックボックスの手法「Backdoor-as-a-Service」を提案します。バックドアを埋め込むのではなく、モデルが既に持つ振る舞いを利用して潜在的な二次タスクとして活性化させます。遺伝的探索によって、学習データ・アーキテクチャ・重みを変更せずに、攻撃者が定めたタスクに沿った出力差を生む入力変換を見つけます。MNIST数字分類器と実運用レベルのNSFW分類器で検証され、いずれも目標のバックドアを有効化できたとしています。また、既存の対策についても論じ、導入済みシステムの実際のリスクを評価しています。
注目点学習時の汚染や重み変更を必要としない黒箱のバックドア活性化手法を提案。MNISTと一つのNSFW分類器で検証しており、規模は限定的。
説明透かしを消し、動きは保つ：時間的に一貫した動画透かし除去
要約本論文は、姿勢の一貫性を保った再構成によって動画透かしを除去し、その頑健性を評価する枠組み PoseRegen を提案している。まず時間的に共有される視点変換で透かしの空間パターンを崩し、姿勢条件付きの動画モデルで変換後の系列を一括再構成する。11 種類の動画透かし方式での実験では、平均ビット精度が 0.505 まで下がり、動作関連の VBench 指標では最強のベースラインを 9.34% 上回った。
説明MAppPrint：トラフィック挙動相関グラフによる頑健でリアルタイムなモバイルアプリ指紋識別
要約本論文は、暗号化されたネットワークトラフィックから利用中のアプリを推定するアプリ指紋（AF）攻撃を対象に、MAppPrintという枠組みを提案しています。単位のトラフィック挙動とその相関を捉えるトラフィック挙動相関グラフ（TBCG）を用いてアプリを表現し、圧縮アルゴリズムでリアルタイム識別を可能にします。また、複数アプリの同時利用による混合トラフィックを教師なし分解で扱います。実験では、既存手法に比べAF精度が4.9～13.9%、適時性が3～6倍向上したと報告されています。
説明ステートレス信頼ハードウェアを用いたノイズ耐性量子ワンタイムプログラム（改訂版）
要約本論文は、一度だけ出力を得られる量子状態としての量子ワンタイムプログラムを研究している。著者らはBB84状態に基づく方式を設計し、単一量子ビットの破損エラーと検出可能な消失エラーに耐えることを示した。特定のノイズ条件での必要量子ビット数と偽造確率の数値例も示している。さらに、同じ信頼ハードウェアの再利用や、複数の信頼ハードウェアのうち少なくとも一つが侵害されていなければ安全性が保たれる設定への拡張を扱っている。
説明SMTを活用した低レベルMPCのセキュリティ型と正当性検証
要約本論文は、データのプライバシーを守る分散計算技術である安全な多者間計算（MPC）を対象としています。Prelude/Overtureフレームワークで書かれたプロトコルについて、正当性、機密性、完全性を自動的に検査するための新しいホーア論理と型理論を提案しています。解析の定義と自動化はいずれもSMT検証を用いて行われます。著者らは、この手法が合成的かつ拡張可能で、任意の素体や秘密分散方式に一般化できると述べています。
