arXiv のセキュリティ・暗号分野（cs.CR）と IACR 暗号学プレプリント。
説明算術回路向けの再ランダム化可能なガーブリング
要約本論文は、回路の機能を変えずにガーブル回路を再ランダム化できる方式を扱います。少なくとも一つの再ランダム化ステップが正直であれば、プライバシーが保たれます。既存の方式はブール回路に限られ、通信量も大きいとされています。本研究は算術回路向けの再ランダム化可能なガーブリング方式を初めて提案し、通信量は各乗算ゲートあたり 17 個の群要素で、加算ゲートは無料です。DCR 仮定などの標準的な部分群識別不可能性仮定の下で実装できます。
説明フロー生成ツールは重要か？公開データセットをまたぐMQTTトラフィックの教師なし特徴分析（flow-generation toolの影響の検討）
要約本論文は、IoTで広く使われるMQTTプロトコルのトラフィックを、フロー単位で分析しています。4つの公開データセットから、Zeek-flowmeter、Argus、NTLFlowLyzerの3種類のフロー生成ツールを用いて38万件以上のフローを作成し、K-means、DBSCAN、HDBSCANでクラスタリングしました。評価には Silhouette スコアと Adjusted Rand Index を使っています。ツールの選択によってフローの構成やクラスタリング結果が変わることが示されましたが、すべての条件で一貫して優れたツールは見つかりませんでした。
説明マルチホップ通信における関心地点のプライバシーと現在地のプライバシーのトレードオフ
要約本論文は、ノードが互いにメッセージを中継する標準的なマルチホップ無線ネットワークを対象としています。メッセージの内容は暗号化されていても、二つの無線機が通信したという事実から発信元と宛先の物理的位置が漏れうることを扱います。利用者の現在地のプライバシーと関心地点のプライバシーの間のトレードオフを検討し、問い合わせを隠すためにダミーの宛先をどう選ぶべきかを論じています。
説明法医証拠を通じたプロンプトインジェクション：LLM支援デジタル捜査に対する反フォレンジック攻撃の分類と概念実証
要約大規模言語モデルがデジタルフォレンジックの補助や自律エージェントとして使われ始めているが、分析対象の証拠は定義上攻撃者が操作できる。本論文は反フォレンジックモデルを拡張し、対抗的な証拠を通じた攻撃の分類法を提示するとともに、ツール・人間の調査官・モデルが同じ証拠を異なって認識する「知覚ギャップ」を指摘する。LLM支援の分析パイプラインに対する三つの攻撃を実証し、緩和策も提案している。
説明ポリシーエンジンを超えて：バインディング完全な実行許可機構
要約ポリシーエンジンはポリシーが要求を許可するかどうかを判定しますが、許可の判定があっても、統治ソースの完全な関与、文脈の正確な結び付け、実行を許可する十分な根拠が確立されるわけではありません。本論文は、独立して決定される統治ソースの義務、ポリシーと文脈の正確な結び付け、型付きの許可結果を定める「バインディング完全実行許可契約（BCEAC）」を提案し、統治の解決、ポリシー評価、独立した許可検証、下流の実行仲介を分離するアーキテクチャを示します。OPA と Cedar の記録のオフライン審査など、限定的な証拠を提示しています。
説明種数ゼロのモジュラー曲線上での巡回同種歩行に関する代数的手法
要約本論文は、種数ゼロのモジュラー曲線 X_0(N)（楕円曲線の巡回 N 次同種を媒介変数化し、単一の体の元で表せる曲線）上で使用できる代数写像と関係式を整理・補完しています。作者は j 不変量から X_0(N) への持ち上げを行う有理写像の導出方法を提案し、拡張 Elkies 法により非バックトラッキングのモジュラー多項式を定義・解析・計算しています。さらに根号表示も提示し、同種証明のための R1CS 符号化をより簡潔にする応用例を示しています。
説明Eras MPC：動的委員会による細粒度の前処理と中断からの回復
要約本論文は、多者間安全計算（MPC）の拡張性を高める Eras MPC モデルを提案しています。少数の不正直多数派の計算委員会が、正直多数派の前処理委員会およびチェックポイント委員会の支援を受けて、計算を段階（Era）ごとに実行します。前処理では認証付き Beaver 三つ組を生成し、各エポックは SPDZ のオンラインフェーズで実行され、中間状態は検証のうえ保存されます。
説明VMSpec：デコンパイラを用いた仮想マシン難読化への対策手法
要約悪意のあるコードは、プログラムをカスタム仮想マシンのバイトコードに変換し、対応するインタプリタと共に配布する仮想マシン（VM）難読化で解析を妨害することが多いです。本論文は、VMプロセッサの仕様を自動構築するVMSpecを提案し、既存のデコンパイラがVM難読化されたコードを解析できるようにします。Tigress と Code Virtualizer で難読化した147プログラムと、実際のマルウェア由来の6つのドメイン生成アルゴリズムで評価し、ほぼすべてのサンプルからVM難読化を除去し、Ghidraで元のコードをデコンパイルした結果に匹敵する出力を得たと報告しています。
説明RingTrace：キャッシュサイドチャネルを対象としたモデルフリーの時空間検出とコア特定
要約本論文は、コア局所とアンコアの計測情報を組み合わせて、Flush+Reload など共有最終レベルキャッシュを悪用するサイドチャネル攻撃を監視するシステムレベルの枠組み RingTrace を提案します。結合時空間帰属（JSTA）により、モデルの学習なしで解釈可能な結合活動行列を構成し、不審なコアを特定します。秘密情報が漏えいする前の被害者非依存のフラッシュ活動を検出し、メモリ負荷が高い状況での誤検知を抑え、アプリケーションへの実行時オーバーヘッドはわずかとされています。
説明MPIDetector：大規模言語モデルの推論による多モーダル・プロンプトインジェクション検出手法
要約マルチモーダル大規模言語モデルの実用化が進む中、プロンプトインジェクションが重大な安全上の脅威となっており、攻撃者は悪意ある指示をテキストや画像に隠すことができます。本論文は、少数例のインコンテキスト学習によりモデルの推論能力を活用するMPIDetectorを提案し、ファインチューニングは行いません。テキストと視覚のベンチマークで複数の主要モデルが高い精度と再現率を示し、難読化されたWeb代理向け注入では検出率が最大99.80%に達したと報告しています。
説明単項式予測と不可能差分のための剰余乗算モデリング：MSX暗号への適用
要約本論文は、軽量ブロック暗号MSXに含まれる32ビット語上の剰余乗算（2^n を法とする乗算）について、単項式予測（3SDP-woU）と不可能差分探索の二種類のビットレベルモデルを提案する。これらのモデルを用いてMSXを初めて独立に解析し、MSX-128に対して7ラウンドの決定的積分識別器（データ量2^96）を示し、8ラウンドおよび9ラウンドの鍵回復攻撃へ拡張した。鍵回復は約2^228回の演算で256ビットのマスター鍵を復元するとされる。
注目点二つの厳密なビットレベル乗算モデルを提案し、MSXへの初の自動解析として7ラウンドの積分識別子と鍵回復を示しており、根拠は十分である。
説明検証可能な耐量子TLSハンドシェイク：暗号検証ステップの実装エラーを検出する方法
要約本プレプリントは、耐量子TLSハンドシェイクにおける実装エラーの問題を扱います。アルゴリズム層ではML-DSA、Falcon、ML-KEM、HQC、DAWNなどに対する確認コードの構成法を提案し、プロトコル層ではその確認コードを連鎖的な鍵導出に組み込んだPQCD-TLSを設計しています。検証の誤りは鍵の不一致を引き起こしハンドシェイクを失敗させます。48の構成での評価では、ハンドシェイクの遅延増加は1%未満とされています。
説明非プロファイル型サイドチャネル攻撃によるSLH-DSA（SHAKE版）の解析
要約本論文は、SHAKEを疑似乱数関数として用いるSLH-DSA署名方式の差分サイドチャネル脆弱性を分析します。署名の副トレースを平均化し、部分から全体へのCPAを段階的に行い、効率的な全探索で完全な秘密シードを復元する手法を提案しています。模擬環境と32ビットマイコンでの実験の結果、平均280〜559個の署名で攻撃が成立することが示されています。
注目点SHAKEをPRFとする場合の差分サイドチャネル脆弱性を初めて体系的に分析し、実機で完全な秘密種を復元している。
説明CertMoE：ルーティング認識型スムージングによるMoE大規模言語モデルの頑健性認証
要約本論文は、混合専門家（MoE）大規模言語モデル向けに初めてルーティングを考慮した頑健性認証フレームワーク、CertMoEを提案している。既存の認証手法は計算グラフが固定されていると仮定するが、MoEでは入力依存のルーティングにより実行経路が動的に変わり、既存の証明書が頻繁に破られる。CertMoEは緩和されたルーティング包含基準を導入し、誘導されたサブネットワークの予測一貫性を認証することで、包含と頑健性に関する同時確率的保証を与える。実験では、CertMoEが経験的違反率を0まで低減することが示されている。
説明AI脆弱性検出ハーネスが静かに見落とす理由：構造的な偽陰性と隠れた脆弱性
要約LLMベースの脆弱性検出ハーネスは、モデルの周囲の仕組みによって実在し到達可能な脆弱性を見逃すことがあり、報告にはその兆候が通常示されないと論じています。著者らは自ら保守する2つのハーネスと他の10個のオープンソースハーネスを調べ、見落としが生じる13の箇所を分類しました。また、これらの規則を悪用して攻撃者が脆弱性を意図的に隠せる点や、正確な報告を行う設計原則と試験方法も示しています。
説明MASAR：通信ネットワーク向け多段階攻撃面分析・推論フレームワーク
要約本論文は、STRIDEのようなアーキテクチャ視点の脅威モデリングと、MITRE FiGHTのような運用知識ベースを結び付けるMASARフレームワークを提案しています。戦略的脅威マッピング、有向非巡回グラフによる攻撃経路分解、TTPの統合の三層で構成されます。5G対応IMSアーキテクチャを対象に、2種類のシグナリング攻撃を分析し、MiniZincの制約モデルで安全でないプロトコル状態の到達可能性を検討しています。
説明丸めガウス分布は離散ガウス分布と近似できる：格子暗号のサンプリング手法の補正
要約格子ベース暗号方式では、ガウス型の整数を生成するサンプリングが必要になることが多い。丸めガウス（rounded Gaussian）サンプラーは実装が容易だが、安全性解析が複雑になりがちである。本論文は、丸めガウスのパラメータを σ = s − 1/(24s) と補正すると、パラメータ s の離散ガウス分布に近い分布が得られ、両者のRényi情報量は 1 + O(1/s^8) で振る舞うことを示している。そのため中程度から大きなパラメータでは、補正した丸めガウスサンプラーを使い、理想的な離散ガウス分布で安全性を解析でき、損失はわずかである。
説明ブロック暗号の設計レベルのバックドア：分類・検出・鍵回復（SoK）
要約本論文は、公開されている4種類の設計レベルのバックドアを整理し、統一的な分類枠組みを示す。S-boxの表から分割型トラップドアを復元するアルゴリズムを提案し、偽陽性を報告しないこと、明示的な上限以下では見逃さないことを証明している。KG-DES、BEA-1、LowMC-Mへの攻撃も示され、バックドアが通常の解読法を弱めるかどうかは暗号の他の部分に依存し、その所在によって検出可能性が決まることが述べられている。
注目点4種の設計レベルバックドアを統一的に整理し、誤検出なし・上限内で見逃しなしを証明した検出アルゴリズムを示し、3つの暗号を実際に攻撃している。
説明多項式前処理に基づくポスト量子・サブリニア検索引数
要約本論文は、通常の汎用 SNARK に依存せず、多項式前処理と Reed-Muller 符号の近接性テストを対話型オラクル証明（IOP）の枠組みに適応させた方法により、ポスト量子安全性を持つと考えられる初のサブリニア検索引数を提案しています。サイズ N の多項式に対し、多変数および単変数の多項式コミットメント方式は前処理に N^{1+ε}polylog(N)、オンライン証明に polylog(N) の時間を要します。静的テーブルでは k 回の検索に対し k·polylog(N) のオンライン証明時間、更新可能なテーブルでは k 個の読み書きのバッチに対し償却で O(k(N^ε+polylog(N))) の証明時間となり、証明サイズと検証はいずれも polylog(N) です。
説明テーブル不要・定数作業量のBCH復号を代数的インデックス除去で実現（暗号分野プレプリント）
要約格子ベースの鍵カプセル化方式で使われるBCH誤り訂正符号の復号法を扱う論文です。受信語に依存する選択を公開アドレスへの固定回路に置き換える「代数的インデックス除去」を提案し、表を使わずに定数作業量で動作させます。長さ511の部分符号を実装し、比較対象の固定アドレスWSR実装より5.2〜7.2 KiBの表領域を削減し、著者の測定環境では復号コアが35.7〜82.4倍高速だと報告しています。
説明防御は一つの事象ではない：測定対象別に見たRAG防御研究のサーベイ
要約本論文は、検索拡張生成（RAG）の防御研究118件を、主張する目的や手法ではなく実際に測定している評価対象（エンドポイント）ごとに整理したサーベイである。内容漏えい、プライバシー、アクセス制御、コーパス利用の検出、パイプラインの完全性など七つのカテゴリに分類している。さらに、管理されたテスト環境で、逐語的コピーを防いでも非公開事実の復元は防げないことを示し、分類体系やデータセット、評価プロトコル、テスト環境を公開している。
説明二値ラベルを超えて：プロンプト単位のルーブリックによるLLM安全性の診断的評価
要約既存のLLM安全性ベンチマークは安全・危険の二値ラベルが中心で、説明性に乏しく、自動評価者間の一貫性も低いという問題があります。本論文はプロンプト単位のルーブリックを用いる診断的評価フレームワーク「DiagSafe」を提案し、安全性と有用性を別々に評価します。中英二言語のベンチマークも構築され、DiagBaseは単一・複数ターンの直接的な有害質問とテンプレート型ジェイルブレイクを、DiagAttackは有害な意図を複雑な指示タスクに埋め込んだものを扱います。人手アノテーションとの一致率は95.34%、評価者間の一致度（Cohen's κ）は0.864と報告されています。
説明「BDHに基づく分散型多権限NC¹属性ベース暗号」の暗号解析と修正
要約Datta、Komargodski、Waversらが提案したDBDHベースの構成およびCBDH版に対し、悪意のある権限機関1つと利用者2名を用いて平文復元攻撃を示しています。欠陥はLSSS行列正規化補題の不適切な拡張に起因し、暗号文のマスクを独立な零の完全線形共有に置き換えることで修正しています。修正版はランダムオラクルモデルで静的安全性が証明され、内積関数暗号の構成についても同様の攻撃と修正が示されています。
説明TPM 2.0 ベースのフルディスク暗号化に対する能動的・受動的攻撃
要約本論文は、TPM 2.0 ベースのフルディスク暗号化（FDE）システムに対する改ざん攻撃を再検討し、現行の Windows および Linux 実装のセキュリティを分析しています。ミニ PC とノートPC を事例に、SPI で接続された個別 TPM（dTPM）への受動的・能動的攻撃を示し、バス通信が依然として脆弱であることを明らかにしています。さらに、能動的攻撃はファームウェア TPM（fTPM）にも及び、仮想化 QEMU 環境での UEFI ファームウェアを狙った試作攻撃により、Windows の BitLocker および現行の全 Linux 実装を突破できることを示しています。
説明エッジVLMにおける物理的敵対的ロバスト性の統一評価フレームワーク
要約本論文は、エッジ環境に展開される視覚言語モデル（VLM）が物理的な敵対的パッチ攻撃に対してどの程度頑健かを検証し、従来の物体検出器と比較します。条件付き攻撃成功率（cASR）という統一指標を提案し、失敗を見逃し（ボックスなし）、置換（パッチ上のボックス）、変位（どちらでもないボックス）の3種類に分類しています。結果として、VLMの脆弱性は検出器と同程度になりうること、また分布シフト下では見逃しから変位・置換型の失敗へ移行する傾向があることが示されています。
説明AI承認モニターの相関的な故障に関する研究
要約本論文は、AIエージェントが支払いやメッセージ送信、コード変更などを行う前に複数のモニターが承認する仕組みで、モニター同士が同時に故障する危険性を検討しています。付款審査の場面で小型のオープンウェイトモデルや一部のクローズドモデルを測定し、票数ではなく情報源を数えるルールの方が正しい支払いの誤遮断が少ないと報告しています。また、命令に従わない規則エンジンを加えることで、測定した攻撃のもとで安全かつ有用なルールの条件が回復したとしています。
説明正則シンドローム復号問題は従来の推定より容易である
要約本論文は、古典的なシンドローム復号の構造化された変種である正則シンドローム復号（RSD）問題の具体的な困難度を再検討しています。RSD はゼロ知識証明プロトコルや擬似乱数相関生成器などの暗号構成に利用されています。著者らは、ゼロ座標の推測と綜合征に基づく変数消去を各ブロックで調整する改良型ハイブリッド代数攻撃を提案し、Ferret、Wolverine、committed VOLE などの応用で、少なくとも一組のパラメータが 128 ビットの目標を下回ると見積もっています。
注目点ブロックごとのゼロ座標推測と消去を調整する混合代数攻撃を提案し、複数のRSDパラメータの安全性推定を大きく下げる。
説明HAETAE 軽量化版：低性能マイコンでスタックと処理時間を削減
要約耐量子署名方式 HAETAE を低性能マイコン上で動かすため、メモリと速度を改善した実装を提案する論文である。多項式を16ビットで保持し、寿命の重ならない領域でバッファを共有するとともに、署名バッファの未使用部分にガウス分布サンプリングの結果を記録して再計算を減らす。ATmega2560 では全体で 8,070 バイトの SRAM により鍵生成・署名・検証を実行できたと報告している。著者らによれば、Low-Stack HAETAE と比べてスタック使用量は最大 34% 減り、鍵生成と署名は 1.18～2.51 倍高速である。
説明ビットへの回帰：GPUおよびTensor Coreによる高速化のためのMAYOデータ表現の再検討
要約本論文は、NISTの追加署名標準化で第3ラウンドの候補となっている多変数二次署名方式MAYOについて、GPU上でビットスライス表現を用いる新しい実装を提示しています。既存のGPU実装cuMAYOと比べ、RTX 4090上で三つの操作すべてにおいてスループットが高く、単発レイテンシが低いと報告されています。同一鍵のバッチ処理では、Tensor Coreを使う経路も加えられています。
説明IVXVのリバースエンジニアリング：エストニアのインターネット投票システムの仕様と安全性分析
要約エストニアのIVXVは世界で最も長く、最大規模で運用されているインターネット投票システムの一つですが、実装されたプロトコルの公開仕様やセキュリティ上の主張が不足しており、独立した監査が困難でした。本論文は公開ソースコード、公式文書、設定例から、設定・投票・集計・監査の各段階の詳細な仕様を逆向きに再構築し、実行可能なTLA+モデルを作成しました。さらにBeleniosおよびスイス郵便の投票システムとの比較を行い、これまで知られていなかった脆弱性を発見して、その緩和策を提案しています。
注目点エストニアのネット投票システムを逆向きに仕様化しTLA+でモデル化、未知の脆弱性を発見し実装で検証しており影響は大きいが手法の新規性は限定的。
説明RDK-CKKS：CKKS計算の厳密な誤差解析フレームワーク
要約本論文は、ランダム化鍵（RDK）に基づき、CKKS準同型暗号計算の誤差を厳密に確率解析するためのフレームワークを提案する。RDKは鍵切り替えと再スケーリングの段階で注入される零の暗号文であり、誤差を厳密に扱えるようにする。著者らは、CKKSの計算に関する初の完全な厳密誤差解析であるとし、二値CKKSブートストラッピングの完全な解析と、「ブートストラップ後クリーニング」手法の厳密なパラメータセットを示している。RDKには追加の通信オーバーヘッドがあり、1回の評価でブートストラッピング鍵の27%、繰り返し評価ごとに追加で8%とされている。
注目点乱数化鍵を用いてCKKSの準同型誤差を厳密な確率解析で扱う枠組みを示し、自己ブートストラップのパラメータ設定に適用している。
説明格に基づくブロードキャストとトレース：共謀耐性を持ち公開追跡が可能
要約本論文は、ブロードキャスト暗号に、任意の利用者の共謀によって作られた海賊デコーダに対しても指定集合内の裏切り者を追跡できる機能を加えた方式を提案します。暗号文サイズは√N·poly(λ, log N)、マスター公開鍵と秘密鍵のサイズはpoly(λ, log N)です。分解LWE仮定に基づき、単純でインスタンスに依存しない格仮定のみで公開追跡を実現した初の構成です。
説明トークンを超えて：アセンブリ言語モデルのためのアドレス基盤数値オペランド表現 NumAnchor
要約このarXiv論文（cs.CR）は、アセンブリ言語モデルのトークン単位のインターフェースが数値的なオペランドを見えにくくすることを指摘しています。2つのコーパスでは、そうしたオペランドがオペランド出現数の45.7%と40.9%を占めます。著者らはNumAnchorを提案し、復元可能な数値的オペランドを型付きで正規化されたプログラム実体として入力層で表現し、コード、データ、スタックの文脈を簡潔な構造的補助記述子で符号化します。複数のモデル系列において、1万候補の関数検索でRecall@1が最大35.0%、MRRが最大31.7%相対向上し、実行を考慮した型復元もF1で最大5.2ポイント改善しました。
説明拡散モデルのプライバシーと有用性の最適トレードオフ：感度の幾何と強双対性
要約本論文は拡散モデルの差分プライバシーを扱い、従来の緩い感度上界と等方的ガウスノイズが不必要な推定誤差を生むと指摘します。任意サイズのデータセットにおける最悪ケースの感度は2件のレコードだけで厳密に特徴づけられることを示し、それに基づくより良いノイズ校正を提案します。さらに、Rényi、近似、ガウス差分プライバシーの厳密な保証を与え、半正定値計画法で最小重み付き二乗誤差を求め、強双対性によって大域的最適性の証明を示します。
説明AgentPolicyForge：実行可能環境からポリシーベンチマークと適応型ガードへ
要約本論文は、実行可能な環境を用いてポリシーベンチマークを構築し、ポリシーガードを反復的に学習させるフレームワーク AgentPolicyForge を提案する。これに基づき、十種類のポリシーファミリーにまたがる PolicyGym データセットを作成し、訓練データ生成用に 698 シナリオ、人手で確認した独立のテスト用に 254 シナリオを用意している。学習したガードは、ポリシーを提示するプロンプトだけの方法と比べて、攻撃成功率を相対的に 40〜44% 低減し、正常な要求の誤拒否も少ないと報告している。
説明PerMIT：機械検証された完全性定理とスケーラブルなコミュニティ信頼によるLLMエージェントの永続メモリ保護
要約本論文は、LLMエージェント向けのメモリ構造PerMITを提案します。ユーザーが入力した値とゲートで確認された値のみを信頼するという前提のもと、完全性の保証を証明し、その証明をLean 4で機械的に検証しています。Trojan Hippoでは攻撃成功は観測されませんでした。また、複数ユーザーの承認が蓄積されるコミュニティ信頼の仕組みを示し、τ²-benchでは最大90エージェントによる共有知識ベースの構築を報告しています。
注目点機械検証された完全性定理とコミュニティ信頼の共スケール性を提案し、新規性は高い。Trojan HippoとJτ²-benchで検証され証拠は堅実だが、影響はエージェント記憶安全の分野に限られる。
説明強化学習によるマルチエージェントシステムのブラックボックス・レッドチーミング
要約本論文は、マルチエージェントシステム（MAS）向けに設計された、強化学習ベースの初のレッドチーミング枠組みReMASを提案する。攻撃側のLLMを微調整し、システムプロンプト抽出のための敵対的プロンプトを生成する。既存のブラックボックス攻撃と比べて攻撃成功率が大幅に向上し、異なるバックエンドLLMやMAS構造間でも転移可能であることが示された。これによりMASの脆弱性と、適応型攻撃に対する防御強化の重要性が示されている。
説明有限鎖環上の GL_n における隠れた放物部分群を求める量子多項式時間アルゴリズム
要約本論文は、有効に与えられた任意の有限鎖環 R 上の GL_n(R) で隠れた放物部分群を見つける、有界誤差の量子多項式時間アルゴリズムを示す。まず基底探針により極大イデアル剰余の完全旗を復元し、桁ごとに持ち上げて再構成する。剰余体の位数 q=2 の場合は、同じ安定化群を持つ異なる旗が存在するため、合同フィルトレーションを通じて共役な放物部分群を持ち上げ、最後に線形系で正規化群の方向を除いて決定する。出力は確率 1-ε 以上で生成元となり、計算時間は poly(n, log|R|, log(1/ε)) である。
注目点任意の有限鎖環上のGL_nに隐れ放物部分群の量子多項式時間アルゴリズムを与え、証明も比較的完全で、分野への寄与は大きい。
説明LLM安全ガードを騙して別のテキストを判定させる攻撃
要約本論文は、LLMの安全ガード（guard）に対する攻撃手法を研究している。有害な依頼の後ろに偽造した指示構造と無害な「おとり」を付け加えると、ガードが付加された方を判定し、元の有害な依頼が通過してしまう。著者らは複数のガードで評価し、有害な部分を基準に採点するよう学習させる防御策で攻撃成功率を大幅に下げたが、正常データに対する非劣性は結論が出ていないと述べている。
注目点ターゲット再束縛という新たな攻撃を提示し、安全ガードの採点方式の欠陥を、事前登録テストと複数ガードのベンチマークで実証している。
説明LEAN：損失関数の工夫でモデル重み感度分布を調整し、ビット反転に強いニューラルネットワークを実現
要約学習済みネットワークの重みは精度への感度が一様ではなく、最も敏感な 1% の重みがビット反転による損害の約 5 分の 1 を占めると指摘しています。著者らはLEANを提案し、範囲項と裾項からなる複合正則化で感度分布を調整しました。9 つの視覚モデルで敏感な裾を 5 から 13 倍縮小し、精度の差は 0.5 ポイント以内に収まったとしています。
注目点学習済み重みの感度分布を正則化で再構成する新しい発想で、9種のビジョンモデルと既存防御との比較により裏付けられている。影響はビットフリップ耐性と量子化の分野に限られる。
説明AIセキュリティリテラシー：エコシステムに基づく能力フレームワークとK-12学習プラットフォーム
要約本論文は、学校エコシステム全体にわたる6つの次元からなる「AIセキュリティリテラシー（AISL）」フレームワークを提案しています。技術的な次元は公開のAI安全性ベンチマークと再現可能な多シード敵対的評価に、態度的な次元は米国の教師と成人の全国代表調査データに基づいています。教師の34.5%しか学校のAI方針を報告しておらず、教師は自身のAI利用は業務を楽にするが生徒の利用は複雑にすると捉えているとされています。あわせて、実在のAIモデルを用いたブラウザ型K-12プラットフォーム「NeuralFortify」が、その例示的な実装として紹介されています。
説明長期記憶と大規模言語モデルの組み合わせが招く高いリスク：プロンプトインジェクションから持続的な侵害へ
要約本論文は、永続メモリを持つ対話型AIサービスに生じる「メモリインジェクション」という脆弱性を検証しています。悪意ある指示が会話セッションをまたいで持続し、新しいセッションでも偽情報の拡散や有害コンテンツの生成が可能になることを、ChatGPT、Claude、Geminiで示しました。あわせて脅威モデルに基づく防御策を提案し、その約半数が対象サービスで未実装であると分析しています。
注目点セッションをまたぐメモリ注入の一般的な脅威モデルを提案し、主要3サービスで複数の攻撃目標を検証しており、影響範囲は広い。
説明DISCO*：分散型でスケーラブルな不可視結合（oblivious join）とプリミティブ
要約本論文は、ハードウェア信頼実行環境（TEE）と不可視計算（oblivious computation）を組み合わせた、スケーラブルで分散型、かつ完全に不可視なデータベースシステム DISCO を提案します。サーバー間の通信オーバーヘッドを大幅に削減する最適化と分散フレームワークを特徴とします。N = 2²⁵ 要素の非外部キー結合で、Jodes に対して 88 倍、SODA に対して 180 倍の高速化を報告し、テラバイト規模の計算結果を初めて示しています。
説明ハーネスはどれほど重要か、誰にとってか——LLMによる脆弱性発見における文脈のマルチモデル研究
要約本論文は、LLMを用いた脆弱性発見においてエージェントのハーネス（実行基盤）が果たす役割を調べ、その効果がモデルによって異なるかを検討しています。非公開の脆弱性を含む本番コードベースで24のモデルとランナーの組み合わせを評価し、265件の確認済みセキュリティ根本原因のうち、最大の二実行組み合わせで60.4%を網羅したと報告しています。プロンプトとCodeQLによる呼び出しグラフの効果は、モデルの規模によって異なると述べられています。
説明CALLIOPE：埋め込みを使わず、AI利用を差分プライバシーで分析する枠組み
要約本論文は、LLMとの対話など大規模な非構造化データからトピック階層を発見する、トップダウン型の枠組みCALLIOPEを提案する。差分プライバシー（DP）に対応している。従来の、ベクトル埋め込みのクラスタリングに依存する手法と異なり、パイプライン全体で大規模言語モデルの能力を直接活用する。実験では、特にプライバシー要件が高い場合に、DP設定下で既存の埋め込みベース手法より高い有用性を示したと報告されている。
説明「Sign Here」：ソースを明示してソフトウェアサプライチェーンの信頼性を高める研究
要約本論文は npm と PyPI のパッケージレジストリにおける悪意あるパッケージを扱い、悪意あるパッケージは発見を避けるためソースの出所を示さない傾向があるという仮説を検証しています。著者らは約 47,066 件の悪意あるパッケージのデータセットを構築し、レジストリ内のパッケージを分析しました。結果として、ソースの有無を確認するだけで、ソース精査の度合いに応じて 99.9% 以上の場合 マルウェアを防げることがわかりました。一方、正規パッケージでユーザーがビルドできるソースを示していたのは 47.4% にとどまりました。
注目点ソースを紐付けるかどうかを悪性パッケージ防止策とする新しい視点を、大規模データで実証し、サプライチェーン対策に影響を与える。
説明局所リークから大域リークへの스펙트럼理論：加法的秘密分散における構造パラメータ
要約本論文は、有限アーベル群上の加法的秘密分散において、局所リークが大域リークをどのように決定するかを研究している。局所相互情報量だけでは捉えられない、スペクトル整合性という構造パラメータの存在を示し、局所相互情報量が同じでも大域リークが指数的に異なりうることを明らかにする。さらに、自己同型重み付き分散では有限個のシェアで完全なリーク打ち消しが可能であることを示す。
注目点局所リークの大きさ以外にスペクトル整合という構造パラメータを導入し、局所相互情報量だけでは全体リークを特徴づけられないことを理論的に示している。
説明証明付き契約：AIエージェントが破れない約束
要約本論文は「証明付き契約」（PC2）という枠組みを提案し、AIエージェントが操作を実行する前に、モデルが許す全てのケースで合意された制約を守ることを示す機械検証可能な証明を提出することを求めます。実行システム「Airlock」が証明を検証し、操作へのアクセスを制御します。著者らは、敵対的なエージェントの場合でも実行中のあらゆる時点で制約が成立することを証明し、それが現実世界の安全性を意味する条件を示しています。
説明プライバシー保護ベクトル検索におけるメンバーシップ推論攻撃の研究
要約本論文は、保護されたベクトルデータベースから漏れる距離の幾何情報に対するメンバーシップ推論攻撃を検討しています。著者らは既存のScale-and-Perturb（SAP）方式を破り、新たにRotate-and-Perturb（RAP）方式を提案して、一様な球面データでは既知の平文がなくても完全なメンバーシップ・プライバシーを証明しています。さらに、理想的な距離比較可能暗号、暗号化HNSWインデックス、およびシャッフルと秘密射影による緩和策も評価しています。
注目点RAP方式を提案し、一様球面データで完全な会員秘匿性を証明、既知平文数の下界も示し、SAPを破る。実験も多く、影響は限定的。
説明デジタルツインによるサイバー社会的影響の向上
要約本論文は、デジタルツインとサイバー社会セキュリティモデルを組み合わせ、重要インフラに対するサイバー脅威を模擬・分析・定量化する枠組みを提案する。Mininet と MiniCPS で仮想化した産業制御システム環境を用い、CVSS を拡張して社会的影響の次元を加えた Cyber-Social Vulnerability Scoring System（CSVSS）により、再現可能な単一の重大度スコアを算出する。大規模言語モデルが一次分析を行い、分析者が説明可能 AI のフィードバックを受けて検証し、重要案件の決定権を保持する設計である。
説明「攻撃者が去った後」：LLMエージェントへのキャリーオーバー攻撃のベンチマーク
要約LLMエージェントは長期メモリファイルや定期タスクによってセッションをまたいで状態を保持するため、一度埋め込まれた間接的プロンプトインジェクションが攻撃者の離脱後も再発動しうると論文は指摘します。著者らは12の個人アシスタント型シナリオと101の攻撃タスクからなるCarryoverBenchを提案し、即時、自律、潜在の3種類のトリガー経路を評価します。5つの最先端モデルでは、埋め込まれたペイロードが5ラウンドにわたって目立った減衰なく再発動し、プロンプト層の対策に加えて実行環境層の制御が必要だとしています。
注目点セッションを越えて残存する攻撃という新たな脅威モデルとベンチマークを提示し、植え付けと発火を段階的に評価する点は新しいが、実験規模は限られる。
説明SPECTER：USB 電力変調による隔離システムからの隠密データ流出
要約本論文は、侵害後のホストが USB の電源管理を操作して、エアギャップやネットワーク分離されたシステムから情報を低速で持ち出す隠れたチャネル「SPECTER」を提案しています。Windows 10 と Ubuntu 22.04 の一般的なハードウェアで実験され、スマートフォンの充電状態、周辺機器の動作、近距離無線（RF）の三つの受信経路で確認されました。著者らは、USB の電源管理やデバイス状態のイベントをセキュリティ上重要な監視情報として扱うべきだと主張しています。
説明MAS-Guard：単体エージェントからマルチエージェントLLMシステムまで統一的に保護する枠組み
要約本論文は、計測可能なエージェントと不透明なエージェントを含む単体およびマルチエージェントAIアプリケーションを保護する統一枠組みMAS-Guardを提案している。ローカル層ではタスク特化の専門家がエージェントの事象を評価し、システム層では経路・能力・メッセージ形式の構造チェックと役割・内容の意味評価を組み合わせる。六つのベンチマークで、防護なしのエージェントと比べ全体の攻撃成功率を71.5〜86.3%低減しつつ、良性タスクでの有用性基準を満たしたと報告している。
説明逐次的仕事の証明（PoSW）の最適構成
要約逐次的仕事の証明（PoSW）は、証明者が T 回の逐次計算を実行したことを検証者に納得させる仕組みです。本論文は、グラフラベリングに基づく効率的なPoSWには Ω((λlogT)/δ) 個のラベル送信が必要であることを示します。これにより、Cohen と Pietrzak（2018）の構成は通信量と検証者側の計算量で漸近的に最適だと分かります。さらに、最大入次数2の新構成を提案し、正直な証明者のハッシュ入力総量を Θ(TlogT) から Θ(T) へ削減しています。
注目点グラフラベリング方式PoSWの通信量の下界を証明し、既存構成が漸近的に最適であることを示した上で、最大入次数2で証明者のハッシュ計算量を削減する新構成を与えている。
説明小型言語モデルによる RAG パイプラインの文脈認識型プロンプトインジェクション検出（nokast-secureRAG）
要約本論文は、検索と生成の間に置く意味的ファイアウォールとして、約 0.5B パラメータの小型言語モデル nokast-secureRAG を提案します。ユーザーの問い合わせと検索された文脈を併せて評価し、安全・疑わしい・悪意ありに分類します。同じ分布内のテストセットでは再現率 0.994、誤検知率 0.026 を達成しました。一方、外部の PoisonedRAG ベンチマークでは再現率がほぼゼロまで低下し、流暢な事実汚染攻撃は検出器の脅威モデルの外にあることが示されています。
