暗号・セキュリティ · 諦聽 Diting Lab

確率的推論の観点から見た PIR（秘密情報検索）

2026-10-29T00:00:00+09:00

PIR through the Lens of Probabilistic Inference IACR ePrint · 2026年10月29日秘密情報検索（PIR）では、クライアントはサーバーに要求した索引を知られずにデータベースの項目を取得できます。本論文は、古典的プロトコルの各サーバーの計算が積分布の周辺確率の計算とみなせることを示し、効率的な厳密な確率推論アルゴリズムを使えばサーバー計算を高速化できると述べています。構造化された関数クラスに対する改善されたサーバーアルゴリズムを示すとともに、ランダム化回路強指数時間仮説（rCSETH）の下で、一般の多項式サイズ回路に対して一様に大幅な亜線形化は不可能であるという条件付き下界も示しています。 ★★★★ 注目：著者らは古典的PIRプロトコルにおける各サーバーの計算を積分布の周辺確率と関連付け、読み取り一回の算術式、有界木幅のグラフィカルモデル、低通信複雑性、疎なフーリエ表現などの関数族に対してより高速なサーバーアルゴリズムを示し、rCSETHの下で均一なアルゴリズムが全多項式サイズ回路に対して劣線形のサーバー計算を達成できないことを報告している。

Keccakの事象の地平線を超えて：2011年の観察の拡張と応用（暗号解析論文）

2026-10-28T00:00:00+09:00

Beyond the Event Horizon of Keccak, Extending the Observation from 2011 and applications IACR ePrint · 2026年10月28日本論文は、2011年に著者らが示したKeccakスポンジ構造の観察を拡張したものである。容量がすべてゼロの状態から出発する一本の経路により、少なくとも1つの完全なレートブロックからなる任意のメッセージに対して、無限族の第二原像が得られることを示す。任意の容量値に対する2ブロックのループ、k ブロックのループと容量写像のサイクル、2^k 多重衝突を構成する橋渡し手法など三つの新定理を提示し、Keccak-f[200]および c=32 の Keccak-f[1600] で全ラウンドの検証例を示す。また、Keccak橋の生成と偽造の非対称性に基づく協定案も提案するが、エンドツーエンドの安全性は未解決である。 ★★★★ 注目：新規性は容量ループを任意の容量値やk ブロックへ一般化し、Joux型多重衝突の探索コストがkに依存しない構成を与えた点にある。著者はフルラウンド例とLean 4による機械検証を報告しており、影響はKeccak関連の暗号解析に限られる。

猫量子ビット上でコンパイルされたShorのアルゴリズム：RSA-2048を約22,593量子ビット・3.14日で因数分解する見積もり

2026-10-28T00:00:00+09:00

Shor's algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days IACR ePrint · 2026年10月28日本論文は、超伝導猫量子ビット上でShorのアルゴリズムを実装した場合の資源見積もりを、数学的記述から物理量子ビットの配置・スケジューリングまで通して行っています。RSA、ECDLP、FFDLPを対象とし、反復猫符号とLDPC猫符号の2つのアーキテクチャで回路を物理操作にコンパイルしています。論文は、1μ秒の誤り訂正周期などの仮定のもとで、RSA-2048の因数分解には約23,000個の猫量子ビットと3.14日が必要と推定しています。また、secp256k1上のECDLPには最大30,000個の猫量子ビットと1時間を見積もっています。 ★★★★★ 注目：猫量子ビット上でShorのアルゴリズムをエンドツーエンドで資源推定し、RSA-2048などの具体的なチップ配置とスケジュールを示し、新しいパリティCnotゲートを提案。

汎用群作用モデルにおける識別子ベース暗号化の障壁

2026-10-28T00:00:00+09:00

Barriers to Identity-Based Encryption in Generic Group-Action Models IACR ePrint · 2026年10月28日本論文は、汎用暗号群作用モデルで識別子ベース暗号化（IBE）を構成できるかを検討する。類型安全な汎用群作用モデルでは、公開パラメータに非原点の作用集合要素ハンドルを n 個しか持たないIBE方式は、最大で n 個の識別子しか扱えないことを証明し、それに見合う構成も示して、この上限が厳密であることを示す。さらにランダム表現モデルや逆変換的性質を持つ作用へも結果を拡張し、IBEには追加の代数構造や非黒箱的技法が必要となる可能性を示す。 ★★★★ 注目：汎用群作用モデルにおけるIBEに対する初のタイトな下界を示し、公開パラメータの大きさが支持できる身分数を制限することを証明し、対応する構成も与える。

コスト考慮型の置換スケジューリングによる効率的なSIMD SHAKE（複数のハッシュストリームを並列処理する暗号実装の改善手法）

2026-10-29T00:00:00+09:00

Efficient SIMD SHAKE through Cost-Aware Permutation Scheduling IACR ePrint · 2026年10月29日本論文は、暗号アルゴリズムの一回の実行中にKeccak置換を複数のハッシュストリーム間で割り当てる、コスト考慮型のスケジューリング手法を提案します。準備の整ったストリームをグループ化し、長いストリームをセグメントに分けて再グループ化します。置換呼び出しや状態移動などのコストモデルに基づいて、グループ、セグメント長、状態配置を選択します。Apple M5、Cortex-A72、Intel Core i5-11500でML-KEMとHAETAEを評価し、ML-KEMのカプセル化と復号で最大1.31倍と1.44倍、HAETAEの署名と検証で最大1.28倍と1.26倍の高速化を報告しています。

より高速な完全公式と効率的な自己準同型写像を持つ曲線への応用

2026-10-29T00:00:00+09:00

Faster complete formulas and their application to curves with efficient endomorphisms IACR ePrint · 2026年10月29日本論文は、p≡1 (mod 3) の y²=x³+b 型素体曲線上のスカラー倍算を再検討する。この族には secp256k1、BN、BLS 曲線が含まれる。15年前の手法を新たに適用し、最良の完全加算の乗算回数を12回から11回へ削減した。libsecp256k1 に実装した結果、定時間の固定基点スカラー倍算が5.2%改善された。 ★★★★ 注目：15年前の手法を新たに適用し完全加算の乗算数を12から11へ改善、完全三倍公式と例外なしτ-NAFを提案；摘要はsecp256k1やBLS曲線での実装と比較を報告。

大きな標数の体に対する代数的多項式評価データ構造

2026-10-29T00:00:00+09:00

An Algebraic Polynomial Evaluation Datastructure for Fields of Large Characteristic IACR ePrint · 2026年10月29日本論文は、事前に計算された多項式の符号化へのランダムアクセスを用いて任意の入力点で多変数多項式の値を求める、多項式評価データ構造を扱います。著者らは、素体上で多項式補間が可能な代数曲線を、素体元の基-β表示から構成する新しい方法を提案し、求値問題を次第に小さくなる箱の中の点へ再帰的に帰着させます。その結果、問診複雑度の素数pへの依存が大幅に改善され、データ構造の大きさはpに依存しなくなります。さらに、この構成によりMiltersenの予想が反証されることも示されています。 ★★★★ 注目：base-β表現から代数曲線を構成する新手法を提案し、問いあわせ計算量のpへの依存をp^O(1)からd^{O(log log p)}へ改善、下界も与える。

サイドチャネル解析向け量子センシングの検討：NVセンターを用いた集積回路の電磁信号測定

2026-10-27T00:00:00+09:00

Towards Quantum Sensing for Side-Channel Analysis IACR ePrint · 2026年10月27日本論文は、集積回路の動的電磁界に対するサイドチャネル解析への量子センシングの適用可能性を検討しています。著者らはNVセンターに基づく無線周波数スペクトロメータを構築し、1.1 GHzのリアルタイム帯域幅で周波数スペクトルを直接測定しました。RSA復号の電磁放射を解析し、Cortex M4マイクロコントローラ上で動作する数論変換のソフトウェア実装について漏えい検出を行っています。

あらゆる曲線モデル上の根号アイソジェニー（radical isogeny）の計算

2026-10-28T00:00:00+09:00

Radical isogenies on every model IACR ePrint · 2026年10月28日本論文は根号アイソジェニーの公式を扱い、各ステップで一つのN乗根を求めるだけで、位数Nの巡回アイソジェニー鎖を計算でき、ねじれ点のサンプリングも不要であるとしている。一般のNについては、従来Tate標準形でしか知られていなかった。著者らは、Montgomery曲線や捻れEdwards曲線などを含む複数の曲線モデル上で、奇数次の根号ステップを与えている。また、各モデルの乗算回数も正確に示している。 ★★★★ 注目：ラディカル同種写像の公式をTate標準形から短いWeierstrass形やMontgomery形など複数のモデルへ一般化し、奇数次数ごとの明示的な手順と正確な演算量を示したと著者は報告している。

「切り詰めず扱える」：分数ブラウン運動による有色雑音TRNGの安全性解析

2026-10-28T00:00:00+09:00

Tractable, Not Truncated: Colored-Noise TRNG Security via Fractional Brownian Motion IACR ePrint · 2026年10月28日発振器ベースの真性乱数生成器は、熱雑音とフリッカ雑音によるタイミング揺らぎから乱数を得ます。本論文は、フリッカ雑音の長い記憶を既存モデルが捨てる、あるいは切り詰めており、安全性を過大評価していると指摘します。著者らは発振器の位相を分数ブラウン運動でモデル化し、準更新性を証明して、閉形式の最悪ケース最小エントロピーとサンプリング要件を導出しました。FPGAとASICでの実験では、フリッカ雑音が支配的であることが示されています。

任意の有界型に対する量子多重衝突の下界

2026-10-28T00:00:00+09:00

Quantum Multi-Collision Lower Bounds for Arbitrary Bounded Types IACR ePrint · 2026年10月28日本論文は、指定された厳密な型の関数における量子衝突探索を研究している。著者らは、ℓ 個の異なる同値類で r 重衝突を見つける最悪ケースの有界誤差量子問い合わせ計算量が Θ_{k,r}(ℓ^{2^{r-1}/(2^r-1)} N^{(2^{r-1}-1)/(2^r-1)}) であることを示した。結果は実行可能なすべての文字集合サイズ q≥n について成り立つ。証明には圧縮置換オラクル（CPO）を用い、クラスサイズが有界な任意の厳密な型へと解析を拡張している。 ★★★★ 注目：著者は圧縮置換オラクルで多重衝突の量子クエリ下界を分析し、任意の有界型へ拡張した。Belovsの転送枠組みでも同じ下界指数が得られると報告している。

BHHO-KMHE を超える再ランダム化可能なガーブリングと LWE に基づく構成

2026-10-28T00:00:00+09:00

Rerandomizable Garbling Beyond BHHO-KMHE and a Construction from LWE IACR ePrint · 2026年10月28日本論文は、多段階準同型暗号や iO コンバイナなどの高度な暗号構成の基礎となる、再ランダム化可能なガーブリング方式（RGS）を扱う。既存の RGS はいずれも離散対数型の仮定に依拠している。著者らは、準同型変換を隠す役割を暗号方式からガーブリング自体へ移す新しい技法を提案し、より弱い性質の鍵・メッセージ準同型暗号（KMHE）から RGS を構成できることを示す。さらに、GSW 完全準同型暗号の変種として LWE に基づく KMHE の格子ベース実装を与え、離散対数仮定に依らず、耐量子安全性を持ちうる最初の RGS 構成を得ている。

OblivDGL：実用的なプライバシー保護型深層グラフ学習フレームワーク

2026-10-27T00:00:00+09:00

OblivDGL: Oblivious Deep Graph Learning Made Practical IACR ePrint · 2026年10月27日本論文は、安全なグラフニューラルネットワーク（GNN）の推論と訓練のためのプライバシー保護型深層グラフ学習フレームワーク OblivDGL を提案している。産業界で用いられる深層グラフライブラリ（DGL）の設計に着想を得て、新たな不可知メッセージパッシングの枠組みと、関数秘密分散（FSS）に基づく暗号化グラフ表現を提示する。四つのベンチマークデータセットでの評価では、既存の安全なGNNフレームワークと比べ、訓練時の通信コストを最大1024倍削減し実行速度を最大14.3倍向上させ、推論時には通信量を最大754倍削減し速度を4.19倍向上させたと報告している。

サンプラーの複合サイドチャネル漏えいによる Falcon 秘密鍵の復元

2026-10-27T00:00:00+09:00

Falcon Key Recovery from Joint Sampler Leakages IACR ePrint · 2026年10月27日Falcon およびそれに基づく FN-DSA 標準は離散ガウスサンプリングで署名を生成し、その際の消費電力が秘密依存の中間値を漏らします。本論文は、各 SamplerZ 呼び出しから得られる三種類の観測を統合する鍵復元フレームワークを提案し、候補集合を秘密鍵への制約に変換して、LLL や BKZ などの格基底簡約を用いずに解きます。実験では評価用の 50 鍵すべてを復元でき、命令レベルの正規化だけでは鍵復元を防げないことが示されています。 ★★★★★ 注目：中心指数クラス、符号ビット、提案振幅の3種のサイドチャネル観測を融合し、LLL/BKZに頼らずFalconの鍵復元を行う。摘要ではCortex-M4で50鍵に対する復元を報告。

Poly2MsgLeaks：多項式からメッセージへの漏えいによる認証付き鍵回復攻撃

2026-10-27T00:00:00+09:00

Poly2MsgLeaks: Certified Key Recovery from Polynomial-to-Message Leakage IACR ePrint · 2026年10月27日本論文は、SMAUG-T（TiMER パラメータセット）の公開鍵暗号に対する、プロファイル型の選択暗号文電力解析攻撃「Poly2MsgLeaks」を提案している。512 係数の秘密鍵全体を回復できるとしている。STM32F415 で記録した 6 本の物理 P2M 波形を用いた検証では、未知の秘密鍵 1,000 個のうち 999 個を回復し、別のコホートの 1,000 個はすべて平均 7.021 トレースで回復し、誤受理は生じなかったとしている。単一書き込みのメッセージ組み立てと 2 分割マスク付き P2M に対する評価では、6 回実行の攻撃で完全な秘密鍵は回復されなかったとしている。 ★★★★★ 注目：SMAUG-T（TiMERパラメータ集合）に対するP2M選択暗号文電力解析攻撃を提案し、著者らは512係数の完全な秘密鍵の復元と、一様行列モデル下での誤り鍵受理確率の上界を示したとしている。

Fisher-Yatesシャッフルの解読：長さ128の置換の実用的復元とML-DSAへの応用

2026-10-27T00:00:00+09:00

Unshuffling Fisher-Yates: Practical Recovery of Length-128 Permutations and Application to ML-DSA IACR ePrint · 2026年10月27日本論文は、ML-DSAなどの耐量子署名方式の数論変換（NTT）に対するサイドチャネル攻撃の対策として用いられるFisher-Yatesシャッフルを扱っています。著者らは、長さ128の系列に対するソフトウェア実装へ単一トレースの攻撃を実施し、タイミングや重みの漏えいから置換を復元しています。その結果、Fisher-Yatesによるシャッフルだけでは、サイドチャネルを利用した鍵復元を防げないことを示しています。

Alg{Ossa}：ローテーション委員会と最終的配信保証を備えた分散型セキュア集計

2026-10-27T00:00:00+09:00

Alg\Ossa\: Decentralized Secure Aggregation with Rotating Committees and Eventual Delivery IACR ePrint · 2026年10月27日本論文は、単一サーバーと一回限りのクライアントを前提とするセキュア集計の汎用構成Ossaを提案し、サーバーが悪意を持つ場合でも集計結果のみが得られる性質を示します。さらに、Algorand型のコンセンサス基盤に統合したAlgOssaを提示し、暗号学的抽選によって各ラウンドで候補リーダーと検証委員会を選出します。選ばれたサーバーが正直である確率に明示的な下限を与え、複数ラウンドにわたる最終的な配信保証を導きます。古典的方式の完全なローカルラウンドを評価し、耐量子方式の実現可能性も示しています。

「Heads of Security」：学習型アテンションゲートによるプロンプトインジェクション耐性の向上

2026-10-28T00:00:00+09:00

Heads of Security: Learned Attention Gates Improve Prompt Injection Robustness arXiv · 2026年10月28日本論文は、少数の学習済みヘッド単位アテンションゲートによって指示とデータを分離するプロンプトインジェクション対策「Heads of Security（HoS）」を提案している。HoS は信頼できるトークンと信頼できないトークン間のアテンション配分を学習し、注入された指示に従わずに信頼できない内容を扱えるようにする。Llama-3.3-70B-Instruct と GPT-OSS-20B で評価され、適応的攻撃に対してより高い耐性を示し、標準的な効用ベンチマークでも優れた結果を得ている。

多項式階層を超える量子計算の古典的検証

2026-10-28T00:00:00+09:00

Classical Verification of Quantum Computation Beyond the Polynomial Hierarchy arXiv · 2026年10月28日本論文は、古典的多項式時間の検証者が、計算量的仮定を置かずに任意の多項式時間量子計算を検証できるかを検討している。古典的オラクルに対して、量子多項式時間で厳密に判定できる多項式階層の外の言語を構成し、公開コイン、完全完全性、健全性誤差1/4以下の対話型証明系を与えている。さらに、メッセージ数が定数倍の範囲で最適であることも示している。 ★★★★ 注目：古典オラクルに対して、量子多項式時間で厳密に判定でき多項式階層を超える言語を構成し、完全性1、健全性誤差1/4以下の公開コイン証明系を与えたと著者は述べる。関連する制限に対する新しい切り替え定理を用いるとしている。

量子化された深層ニューラルネットワークにおけるプライバシーリスクの再検討：量子化モデルは本当に安全か

2026-10-28T00:00:00+09:00

Revisiting Privacy Risks in Quantized Deep Neural Networks arXiv · 2026年10月28日本論文は、量子化された深層ニューラルネットワーク（QNN）のプライバシーリスクを初めて包括的に実証評価したものです。8種類の最新メンバーシップ推論攻撃と6種類の代表的な量子化手法を検証しました。4〜8ビットの一般的な量子化はメンバーシップのプライバシーリスクへの影響が限定的で、全精度モデルと同程度に脆弱であることが示されました。2ビットのような強い低ビット量子化は一定のプライバシー向上をもたらしますが、モデルの有用性を大きく損ないます。全精度モデル向けの既存の防御策も、QNNに適用すると保護効果は限定的で、有用性の低下をさらに拡大させることが分かりました。

POST が GET になるとき：HTTP メソッドの相互交換性とセキュリティへの影響の調査

2026-10-28T00:00:00+09:00

When POST Becomes GET: Investigating HTTP Method Interchangeability and Its Security Implications arXiv · 2026年10月28日本論文は、同じエンドポイントへの POST リクエストを、本文のパラメータをクエリ文字列に移して GET リクエストとして書き換えても、同等の応答が得られる HTTP メソッドの相互交換性を調査する。著者らは自動検出パイプライン MIDE を提案し、Tranco 上位 1 万サイトの大規模な未認証実験を行った。高信頼度で相互交換可能なリクエストが 407 サイトで確認され、一部では CSRF トークンや Web キャッシュ詐欺に関わる状況も観察された。

「あなたのプロンプトに一銭を」：AIチャットプラットフォームにおける文脈情報漏えいの測定研究

2026-10-28T00:00:00+09:00

Penny for Your Prompts: A Measurement Study of Contextual Leakage in AI Chat Platforms arXiv · 2026年10月28日本論文は、汎用プラットフォームおよび健康・法律・教育などの分野特化型プラットフォームを含む42のAIチャットボットのウェブインターフェースを大規模に測定した研究です。ブラウザのJavaScriptエンジンレベルで計装し、各データフローを発生させたユーザー操作まで追跡しています。その結果、21のプラットフォームが会話タイトルを、9つが利用者の原文プロンプトを第三者のトラッカーに漏えいしており、多くがユーザーのメールアドレスも送信していることが分かりました。

SecDMP：証明可能に安全なデータメモリ依存プリフェッチ（拡張版）

2026-10-28T00:00:00+09:00

SecDMP: Provably Secure Data Memory-Dependent Prefetching (Extended Version) arXiv · 2026年10月28日データメモリ依存プリフェッチャ（DMP）は、近年デスクトップ及びサーバ向けCPUに導入されたマイクロアーキテクチャの最適化機構です。性能を向上させる一方で、Spectre対策済みの定数時間コードからも秘密情報がサイドチャネルで漏えいすることが示されています。本論文では、DMPの漏えいを分類し、RISC-Vプロセッサ上で最初のオープンソースDMPを実装して分析を検証しました。さらに、秘密データをメモリ上で標識し、DMPがそれらをマイクロアーキテクチャに符号化しないようにするハードウェア防御策SecDMPを提案し、無DMPの基準意味論を超える漏えいが生じないことを形式的に証明しています。 ★★★★★ 注目：DMPの漏洩を分類し、ハードウェア防御SecDMPを提案。著者らは無DMPベースラインを超える漏洩がないと形式的に証明し、全DMP漏洩の防止と低オーバーヘッドを報告している。

エンベロープ層：LLMエージェント防御で過小評価されている防御面

2026-10-28T00:00:00+09:00

The Envelope Layer: An Underestimated Surface of LLM Agent Defense arXiv · 2026年10月28日本論文は、従来「エンベロープ層」を悪意あるコンテンツがエージェントに入る経路として捉えてきた研究を踏まえ、A2A-TIBA攻撃を検証対象とした。二要因の要因実験と記憶実験により、ラベルの強さ、エンベロープの真正性、フレームワークの違い、既存の記憶が防御効果に与える影響を分析した。その結果、真正なエンベロープでは強いラベルが意味的突破率を下げる一方、弱いラベルは無ラベルの基準より良いとは限らず、偽造可能な場合は強いラベルの効果が弱まることが示された。記憶の影響はラベル操作より大きいとされる。著者はエンベロープ層を、受け入れ経路とコンテキスト組み立ての二層として捉え直し、その安全境界はラベル、フロントエンドの権限、過去の記憶によって動的に決まると論じている。

提交境界の制約：エージェント型エンティティ解決のための DIO/ODI に基づく認可ガードレール

2026-10-28T00:00:00+09:00

Constraining the Commit Boundary: A DIO/ODI-Informed Authorization Guardrail for Agentic Entity Resolution arXiv · 2026年10月28日本論文は、エージェント型エンティティ解決において、推論に使える証拠と永続的な同一性変更を認可できる証拠を分ける認可境界の設計を提案する。領域ポリシーで特定の再構成失敗を同一性保持制約に対応づけ、二段階の監督器が、命題の網羅、矛盾の解消、権限範囲内での操作、状態とポリシー版の有効性を確認したうえで提交を許可する。概念的なアーキテクチャであり、実装や実証検証はまだ行われていない。

ウォーターマーク盆地：蒸留されたLLMのブラックボックス検出

2026-10-27T00:00:00+09:00

Watermark Basins: Black-Box Detection of Distilled LLMs arXiv · 2026年10月27日論文は、独自の大規模言語モデルの出力がAPI経由の蒸留で学習されうることを指摘し、提供者が教師モデルの出力に透かしを入れて痕跡を残す方法を扱います。著者らは、微調整中に透かしがパラメータ空間で任務用の微調整方向と直交する持続的な幾何学的信号を生むことを発見し、API問い合わせのみで検出するWM-Basinを提案しています。数学推論の蒸留実験では、0.1%の誤検出率で既存のトークンレベル手法を大きく上回り、量子化・剪定・強化学習後も信号が残ることが示されています。 ★★★★ 注目：タスク部分空間に直交するパラメータ空間の透かし盆地信号を提案し、勾配整合による黒箱検出を行う。摘要では135Mから8.2Bの学生モデルで、0.1%誤検出率下の検出率が基線を大きく上回ったと報告。

関係を信頼する価値はいつあるのか？多関係グラフ学習における操作コスト、露出、そして信頼の罠

2026-10-27T00:00:00+09:00

When Is a Relation Worth Trusting? Manipulation Costs, Exposure, and the Trust Trap in Multi-Relational Graph Learning arXiv · 2026年10月27日多関係グラフ検出器は、クリーンなデータから各関係をどの程度信頼するかを学習するが、攻撃者は関係ごとに操作コストが異なる。本論文は、一部のノードがある関係で孤立し攻撃者がゲートを開けられない場合、次数ゲーティングが関係の選択や重み付けより優れることを理論的に示している。攻撃なしで計算できるノードごとの露出度の上限は、どの関係を強化すべきかを多くの場合で他の指標より適切に示す。コスト情報がない場合は、グラフの利用を見送るのが安全な選択とされている。 ★★★★ 注目：次数ゲーティングは、一部のノードがある関係で孤立し攻撃者がゲートを開けるコストを負担できない場合に、関係の選択や重み付けより厳密に優れるとする証明を示し、その窓が鋭いと報告している。実グラフでは条件を満たす関係でのみ改善が見られる。また攻撃なしで計算できる単位コストあたりの露出が、16件中15件で信頼の罠の閾値を最も高める関係を選んだとしている。

非同期検証可能かつ完全な秘密分散：設計パターンからシステムレベルのトレードオフまで

2026-10-27T00:00:00+09:00

Asynchronous Verifiable and Complete Secret Sharing: From Design Patterns to System-Level Trade-offs arXiv · 2026年10月27日本論文は、完全非同期ビザンチン系における検証可能で完全な秘密分散プロトコルを対象に、その設計空間を分析し、設計の選別方法を提示する。代表的な7つのプロトコルを共通のRustフレームワークで実装し、Grid'5000上で正直なディーラーと不正なディーラーの両場合について、遅延、スループット、メッセージ数、帯域幅、CPU時間を比較している。結果として、メッセージ複雑度だけでは遅延を予測しにくいこと、楽観的経路が復旧コストに支配されうること、バッチ処理やパッキングは検証がクリティカルパスの外にある場合にのみ有効であることが示された。

GKS完全準同型暗号：セキュリティ解析

2026-10-27T00:00:00+09:00

GKS Fully Homomorphic Encryption: Security Analysis arXiv · 2026年10月27日本論文は、Gribov-Kahrobaei-Shpilrain（GKS）秘密鍵完全準同型暗号方式について、形式的なセキュリティ解析を行っています。完全準同型暗号は、復号せずに暗号文の上で直接計算できる方式です。本方式はブートストラッピングや非線形化を必要とせず、ビット単位で正確な復号が得られ、暗号化された状態での検索を標準でサポートし、無制限の深さまで拡張できると述べています。

Janusビークル：悪意あるメーカー前提の下でプロトコル適合車両を実体中心に脅威モデル化する研究

2026-10-27T00:00:00+09:00

Janus Vehicles: Entity-Centric Threat Modelling of Protocol-Conformant Vehicles under a Malicious-Manufacturer Assumption arXiv · 2026年10月27日本論文は、自動車サイバーセキュリティでメーカーは善意であるという前提に対し、正規かつプロトコルに適合しながら、申告されていない感知・通信や文脈に応じた作動を行う車両を扱う。実体中心の脅威モデルを提案し、同伴は善意だが目的が悪意の車両、被侵害車両、流用された正規部品、模倣された車両や部品の四類型を定義する。また、隠れた機能の挙動や露見の仕組みを整理するための行動-位置行列と、行動相互作用モデルを示している。

Blindfold：LLMエージェントから監査コインを秘匿する方法

2026-10-27T00:00:00+09:00

Blindfold: Keeping the Audit Coin Secret from LLM Agents arXiv · 2026年10月27日本論文は、LLMエージェントの違反率を、行動の一部をランダムに監査し、監査ラベルを重み付けして抑える認証手法を扱う。その有効性は監査コインの秘匿性にも依存し、行動が確定する前にコインがエージェントの観測に影響してはならないことを示す。この性質を測る指標と理論的な上限を示し、監視システムと実際のLLMエージェントでの実験により、目に見える監査通知が漏洩経路となること、静かな監査と監査ごとの新しいコインで有効性を回復できることを報告する。 ★★★★ 注目：事前コミット非干渉性を提案し、偏りと漏洩を精密に特徴付けるとともに、監査コインが遅延などの経路でエージェントに漏れうることを示す。実LLMエージェントの実験では可視の監査通知で通常の証明書が崩れ、静かな監査で回復すると報告している。

RePAIR：セマンティックセグメンテーションにおけるバックドア攻撃の逆転

2026-10-27T00:00:00+09:00

RePAIR: Inverting Backdoor Attacks in Semantic Segmentation arXiv · 2026年10月27日本論文は、セマンティックセグメンテーションモデルを対象とする、事後処理型で正解ラベルを必要とせず、攻撃手法に依存しないバックドア防御手法RePAIRを提案しています。分類ヘッドと内部表現の間のずれを利用し、ラベルのない画像から被害クラスと標的クラスの対応関係を推定して、疑わしい画素を修正します。実験では、クリーンな画像に対する性能をほぼ保ちながら、攻撃成功率を大幅に下げられることが示されています。

クライアントが増えるとログが乱れる：分散パース、集約手法、評価指標

2026-10-27T00:00:00+09:00

Too many clients spoil the logs: distributed parsing, aggregation techniques and metrics arXiv · 2026年10月27日本論文は、IoTシステムにおけるログ異常検知を対象に、複数組織にまたがる分散環境でのログパースを検討しています。五つのパースアルゴリズムを集約技術と組み合わせて評価し、全クライアントで事象とテンプレートの対応を統一する方法を検証しました。合計6,720の分散構成でテストを行い、分散パーサーの評価指標と設計上の提言を示しています。

スマート組織を守る動的多要素認証システムの開発

2026-10-27T00:00:00+09:00

Developing a Dynamic Multi-factor Authentication System for Securing Smart Organizations arXiv · 2026年10月27日本論文は、継続的な検証を行うゼロトラストアーキテクチャの枠組みで動的多要素認証（MFA）システムを提案しています。マルコフ連鎖モデルを用いて指紋、虹彩、顔認証などの生体認証要素をランダムに選択し、セキュリティ対策の予測可能性を下げます。CASIA生体認証データセットとAES-128暗号化を用いており、性能分析では動的な選択により安全性と効率のバランスが取れることが示されています。

HqcLethe：小型ステートレスサーバー向けHQCカプセル化のストリーミング方式

2026-10-27T00:00:00+09:00

HqcLethe: Streaming HQC Encapsulation for Tiny Stateless Servers arXiv · 2026年10月27日本論文は、ステートレスなポスト量子鍵交換方式HqcLetheを提案します。HQCの鍵カプセル化を、パケットサイズの断片に分けて順次送信し、サーバーが複数パケットのハンドシェイクをバッファリングしなくて済むようにしています。中国剰余定理を用いて多項式乗算を各パケットごとの独立した剰余に分割し、マスクをかけています。著者らはRocq（SSProve）で、通常のHQC暗号文を超える情報が漏れないことを証明し、ProVerifでセッション秘匿性、サーバー認証、前方秘匿性を検証しました。Raspberry Pi 3B+では各ワーカーが1.2〜1.6 MiBの固定メモリで動作し、カテゴリ5では先行研究McTinyと比べて送信バイト数が27分の1、サーバーCPU使用量が9.0分の1でした。 ★★★★ 注目：中国剰余定理でHQCの循環多項式乗算をパケットごとの独立した剰余に分割し、通常のHQC暗号文以上を漏らさないよう마스크する。著者らはRocqでの証明とProVerifでの検証を示し、Raspberry Pi 3B+でMcTinyに比べ送信バイト数27倍少、CPU9.0倍少と報告している。

「内容のリーシュ」：可逆的話者匿名化における退化解を抑える研究。話者の識別性を守りつつ音声の明瞭さを保つ手法の論文です

2026-10-27T00:00:00+09:00

The Content Leash: Mitigating Degenerate Solutions in Invertible Speaker Anonymization arXiv · 2026年10月27日本論文は、話者の身元を保護しながら言語内容を残し、認可された利用者が元の音声を復元できる可逆的な音声匿名化を扱います。著者らは、音声そのものの劣化によって匿名化が達成されることを防ぐ内容保持の学習制約を提案し、学習時により強力な話者照合表現を取り入れる検証器汎化の戦略も導入しています。38人の未知の話者に対し、攻撃者の等誤り率は2.8%から26.3%に上がり、保留された検証器に対しては27.9%になりました。鍵による復元では、単語誤り率11.8%、話者類似度94.9%でした。

LWEを超えて：二面体剰余類問題が反証的に破られた場合のポスト量子仮定

2026-10-27T00:00:00+09:00

Beyond LWE: Post-Quantum Assumptions under a Counterfactual Break of the Dihedral Coset Problem arXiv · 2026年10月27日本論文は、2026年に撤回された二面体剰余類問題（DCP）の効率的な量子アルゴリズムの主張を背景に、真のブレークスルーがあった場合の帰結を概観するサーベイである。ノイズのない巡回剰余類状態ソルバーなど三種類の仮定を区別し、格ベースおよび非格ベースの仮定との充分条件を比較する。また、既存の構造化状態変換に関する境界の証明に不備があることも指摘している。厳密な帰結、ヒューリスティックな比較、未検証の応用を分けて示し、未解決問題と計画用チェックリストで締めくくっている。

PrivacyEvalClaw：LLMのジェイルブレイク応答における個人情報漏えいを監査するツール連携型の熟考エージェント

2026-10-27T00:00:00+09:00

PrivacyEvalClaw: A Tool-Augmented Deliberative Agent for Auditing Privacy Leakage in LLM Jailbreak Responses arXiv · 2026年10月27日本論文は、大規模言語モデルの個人情報レッドチーミングにおける評価の難しさを扱っています。ガードモデルや LLM-as-Judge の評価器は同じ応答を異なって解釈することがあり、特に追加の証拠が必要な曖昧なケースで評価が大きく分かれることが示されています。著者らは学習を必要としない熟考型エージェント PrivacyEvalClaw を提案し、評価器や分析モジュールをツールとして扱い、証拠を適応的に収集して不確実な開示を調べ、矛盾するシグナルを調整してから最終判断を出します。主な実験では完全な軌跡を LLM 判定者が一対比較で評価し、結果・過程・総合品質の各面で比較対象より高い勝率を示したとされています。また、評価過程を追跡できる推論の痕跡も出力します。

複数ソース異常検知器に対する隠密なソース操作の脅威を定量化し優先順位付けする

2026-10-27T00:00:00+09:00

Quantifying and Prioritizing Stealthy Source-Manipulation Threats Against Multi-Source Anomaly Detectors arXiv · 2026年10月27日本論文は、複数のデータソースを統合するシステムにおいて、攻撃者が一部のソースを支配し下流の判断を標的に隠密に操作するリスクを扱う。著者らは「タスク条件付き可視性マージン」という指標を提案し、下流タスクへの単位あたりの害を与えるために操作が検知器に示さなければならない最小の証拠量を測る。この指標は閉形式で与えられ、最小証拠攻撃を導き、検知器に見えないタスク関連の方向も特定する。17チャネルの産業用テレメトリベンチマークでは、単一チャネルのランダムな破損の82.8%を検知する検知器が、1〜4チャネルの部分集合の監査において、タスクと部分集合の組の64.7%で一次的に見えないことが示された。

急ぐと失敗する？安全な少ステップ文生成画像モデルに向けて

2026-10-27T00:00:00+09:00

Haste Makes Waste? Towards Safe Few-Step Text-to-Image Models arXiv · 2026年10月27日少ステップ蒸留された文生成画像モデルは生成が速いため注目されているが、速度向上が不安全な生成率に与える影響は不明だった。本研究では、少ステップモデルは教師モデルより不安全になりやすく、推論ステップを減らすほど不安全な生成率が上がること、また既存の概念消去手法がこのモデルでは効きにくいことを示している。これに対し、蒸留後の概念消去手法DICEを提案し、FLUX Schnellで不安全生成率を0.046まで下げ、通常の生成品質をほぼ維持したと報告している。

Discord のサードパーティ製コミュニティボットに対するユーザーのセキュリティ・プライバシー懸念の測定

2026-10-27T00:00:00+09:00

Measuring Users' Security and Privacy Concerns About Third-Party Community Bots on Discord arXiv · 2026年10月27日本論文は、Discord の 23,102 件のサードパーティ製ボットと 183,142 件のユーザーレビュー（2021〜2026 年）を分析しています。大規模言語モデルによる知識蒸留と微調整した分類器を用いて、セキュリティ・プライバシーに関連する 8,832 件のレビューを特定し、31 のテーマからなる分類体系に分類しました。主な関心はデータ共有（30.5%）とデータ収集（16.2%）に集中しています。さらに、レビュー由来の信号とボットのメタデータを組み合わせた試作型監査フレームワーク BotLens を提案しています。

「静かな盲点」：ハードウェアマルウェア検出器の故障脆弱性

2026-10-27T00:00:00+09:00

Silent Blindness: Fault Vulnerability of Hardware Malware Detectors arXiv · 2026年10月27日本論文は、ハードウェアマルウェア検出器（HMD）に対する構造的な故障注入を研究している。18種類の分類器、4つのカウンタ予算、AdaBoostおよびBaggingのアンサンブルからなる設計空間で、453,174件の決定固着故障とパラメータのビット反転事件をシミュレーションで評価した。木構造モデルは関数ベースモデルより重大故障の割合が低く、多くの木構造の故障は指標にほとんど変化をもたらさないことが示された。また、理想的な修正を仮定した保護対象の選択手法も提示されている。

Peak-DNA：世界的な物語拡散にみられる繰り返し形態

2026-10-27T00:00:00+09:00

Peak-DNA: Recurrent Morphology in Global Narrative Propagation arXiv · 2026年10月27日本論文は、世界の物語データストリームにおいて繰り返し現れる拡散形態を特定するためのフレームワーク Peak-DNA を提案している。GDELT の毎時の活動データを、ノイズ除去、宏観ピークの統合、時間整列によって正規化されたピークのエピソードに変換し、DTW に基づく類似性分析で拡散形態を比較する。イラン、防衛、AI、宇宙/イーロン、量子/PQC の五つの領域で分析を行い、同じ領域内で増幅事象が類似した形態パターンに収束することを示している。

CASEL：長期タスクを行うツール利用エージェントのための結果認識型選択的実行層

2026-10-27T00:00:00+09:00

CASEL: Consequence-Aware Selective Execution for Reliable Long-Horizon Tool-Using Agents arXiv · 2026年10月27日本論文はCASELを提案する。これはモデル非依存の実行時配分ポリシーで、失敗確率、状態依存の結果、可逆性、曖昧さ、証拠の新しさを組み合わせ、各ツール呼び出しについて直接実行、検証、サンドボックス、確認、承認、棄権のいずれかを選ぶ。20種の乱数シード、各12万件のテスト動作による制御されたシミュレーションでは、有害な副作用を伴う軌跡の割合が14.75%から7.02%に、平均正規化被害が0.184から0.123に下がった。結果はシミュレータの仮定の下で配分規則を比較したものであり、実運用での有効性を示すものではない。

分割型連合遺忘：分割連合学習で学習済みの寄与を取り除く手法

2026-10-27T00:00:00+09:00

Split Federated Unlearning arXiv · 2026年10月27日分割連合学習は、モデルの分割実行と連合集約を組み合わせ、分散環境での協調学習を支えます。本論文は分割連合遺忘（SFU）を初めて体系的に定式化し、クライアント単位・クラス単位の削除、反事実的再学習、分割部分ごとの更新制約を扱います。初期解としてSURE（二重重要度推定、選択的パラメータ摂動、重要度に基づく回復を統合）を提案し、モード一致の再学習との一定の一致を示しています。

頑健なメンバーシップ推論攻撃の簡潔な解説

2026-10-27T00:00:00+09:00

A Simple Presentation of Robust Membership Inference Attacks arXiv · 2026年10月27日メンバーシップ推論攻撃とは、攻撃者が特定の個人のデータを与えられ、データセットから導かれた統計量やそのデータセットで学習したモデルをもとに、その個人が当該データセットに含まれていたかを判定しようとする攻撃です。論文は平均推定に対する頑健なメンバーシップ推論攻撃を簡潔に示し、多変量ガウス分布と二値積分布の両方を扱います。また、頑健なメンバーシップ推論に関する文献を、経緯、拡張、他研究分野との関連を含めて概観しています。

トークナイザーがなくても残る格差：同形文字・不可視文字透かしの言語間公平性

2026-10-27T00:00:00+09:00

No Tokenizer, Still a Gap: Cross-Lingual Fairness of Homoglyph and Invisible-Character Watermarking arXiv · 2026年10月27日本論文は、同形文字と不可視文字を使った編集ベースのテキスト透かしを検証する。モデルの生成過程ではなく、文章を書いた後に文字の置換や挿入で信号を埋め込む方式である。24の文字体系にまたがる40の言語変種を対象に、各文字が運べる隠しビット量、通常の処理や意図的な削除後の残存率、検出に必要な文章量を測定した。容量の差は3.3倍に及び、その変動の96%は文字体系によって説明されるという結果が示されている。

被害者が持ち帰るもの：プロンプトインジェクション攻撃後の攻撃再利用と防御の見直し

2026-10-27T00:00:00+09:00

What Victims Take Away: Attack Reuse and Defense Revision after Prompt-Injection Attacks arXiv · 2026年10月27日本論文は、オンラインゲームTensor Trustにおける563,349件の攻撃記録をもとに、標的となったプレイヤーが受け取った攻撃文をどのように扱うかを調べたものです。攻撃の再利用は主に成功したかどうかに従い、応答の文面には左右されませんでした。突破された後は防御が変更され、同種の攻撃の成功率が下がりました。著者らは、AIセキュリティツールが攻撃を開示する方法について検証可能な仮説を示しています。

ORBITAL：アーキテクチャを考慮した低精度圧縮による頑健な脳波ベース脳–コンピュータ推論の最適化

2026-10-27T00:00:00+09:00

ORBITAL: Optimization of Robust Brain--Computer Inference Through Architecture-Aware Low-Precision Compression arXiv · 2026年10月27日本論文は、小型の脳波（EEG）デコーダを圧縮する際に、敵対的攻撃への頑健性とハードウェア効率を両立させるためのフレームワーク「ORBITAL」を提案している。BCI Competition IV-2aの9名の被験者、3つの乱数シードでの実験では、圧縮したEEGNetのうちS25-TRADESが平均の頑健性で最も高い値（23.06%、標準の完全モデルは21.27%）を示し、パラメータ数は26.27%、MACsは25.10%減少した。Jetson Orin Nanoでは、FP16圧縮により基板のエネルギーが最大16.20%、レイテンシが8.00%削減された一方、ネイティブINT8量子化はFP16の約2倍のレイテンシとエネルギーを要した。

プライバシー保護型乳がん画像診断に向けた連合学習の視覚言語モデル・視覚単独モデルの評価

2026-10-27T00:00:00+09:00

Evaluating Federated Vision-Language and Vision-Only Models for Privacy-Aware Breast Cancer Imaging arXiv · 2026年10月27日本論文は、事前学習済みの視覚言語モデルとクライアント単位の差分プライバシーを組み合わせた連合学習フレームワークを、乳がん画像診断で検証しています。汎用CLIP、生物医学特化のBiomedCLIP、ImageNet事前学習のViT-B/16などを比較しました。正常と患者の識別は高い一方、撮影年だけでも同程度の精度が得られ交絡の懸念が示されました。良性と悪性の識別は不確実で、テキスト部分を除去すると通信コストが半減しつつ精度は維持されました。差分プライバシーはROC-AUCを大きく低下させました。

PHP2Shellと AI による脆弱性発見の開示：証拠、検証、人間の権限

2026-10-27T00:00:00+09:00

PHP2Shell and the Future of AI-Discovered Vulnerability Disclosure: Evidence, Verification, and Human Authority arXiv · 2026年10月27日本論文は、証拠の検証、組織間の調整、人による統治、許可制の監査を分けて扱う連合型の協調的脆弱性開示フレームワーク「FedTrust-CVDv2」を提案している。署名付きの観測を正確な証拠の版に結び付け、外部への行動を承認済みの内容、対象者、有効期限、ポリシー、失効状態に限定する。PHP2Shellの事例で、その枠組みの適用例を示している。

クエリベースのシステムプロンプト漏洩攻撃の検出と緩和

2026-10-27T00:00:00+09:00

Detecting and Mitigating Query-Based System Prompt Leakage Attacks arXiv · 2026年10月27日本論文は、大規模言語モデルのシステムプロンプト漏洩を検出・緩和するモデル非依存のフレームワークAdvGuardを提案する。攻撃者は多ターンの適応的なやり取りで機密指示を少しずつ抽出するが、既存の防御は個々のクエリを独立に評価しがちである。AdvGuardは有界な意味的相互作用グラフで複数クエリの関係を捉え、グラフ畳み込みネットワークで協調的な抽出を分類する。評価では再現率が最大36%向上し、誤検出率は3.4%以下、プロンプト再構成による漏洩も大幅に抑えられたと報告されている。

BUSTA：小型言語モデルにバイナリ実行の推論を教える研究

2026-10-27T00:00:00+09:00

BUSTA: Teaching Small Language Models to Reason About Binary Execution arXiv · 2026年10月27日本論文は、ターゲットを絞った学習によって小型のオープンモデルにリバースエンジニアリングの能力を与える方法を検討している。x86-64 の基本ブロックと望ましい出力レジスタ状態を与え、それを生む入力レジスタ値をモデルに予測させる。GRPO で微調整すると、Qwen3-1.7B の予測精度は 73.2% から 85.3%、Nemotron-3-Nano は 63.3% から 95.2% に向上した。Nemotron-3-Nano は最高 99.2% の大規模フロンティアモデルと 4 ポイント以内に迫り、パラメータ数ははるかに少ない。微調整済みモデルと学習データセットも公開されている。

重い裾を持つデータを差分プライバシーの下でクリッピングする方法

2026-10-27T00:00:00+09:00

Privately Clipping Heavy-Tailed Data arXiv · 2026年10月27日本論文は、差分プライバシーのデータ分析におけるベクトル和の計算を扱います。著者らは、クリッピング閾値をプライベートに選択する手法を提案し、閾値を超えるベクトルの方向的整合性（残差コヒーレンス）と追加ノイズによる分散コストを比較して閾値を最適化します。残差コヒーレンスとバイアスの密接な関係を証明し、複数のデータセットで既存のベースラインより優れていることを示しています。

SpecGuard：仕様に基づく実行時監視による多ターンLLMジェイルブレイク検出

2026-10-27T00:00:00+09:00

SpecGuard: Detecting Multi-Turn LLM Jailbreaks via Specification-Based Runtime Monitoring arXiv · 2026年10月27日本論文は、学習を必要とせず仕様に基づいて多ターンの大規模言語モデルとの対話を監視するフレームワーク「SpecGuard」を提案している。禁止された対話パターンを線形時相論理の仕様で表し、符号付き有限オートマトンで対話の経過を逐次照合する。受理された場合は、該当する仕様、根拠となる事実、関連ターンを示す再現可能な証拠を出力する。多ターン安全性ベンチマークでの実験では、代表的なオープンソースの防護モデルを上回り、誤検知率も抑えられたと報告している。

硬件セキュリティ教育を全員へ：既存カリキュラムにシームレスに組み込む手法

2026-10-27T00:00:00+09:00

Bringing Hardware Security Education to All: A Seamless Curriculum Integration Approach arXiv · 2026年10月27日本論文は、従来の学部課程がソフトウェアやネットワークのセキュリティに偏り、ハードウェアセキュリティが軽視されていると指摘する。著者らは、既存の中核科目の中に九つの実践的モジュールを組み込み、セキュリティの概念を科目の設計概念と結び付けて学ぶ低コストな手法を提案している。そのうち三つのモジュールは組込みシステム科目の三回の開講で評価され、25名の回答者が参加した。

「Johnny のメッセージは見られてしまう」：メール配送経路全体における耐量子暗号の実測研究

2026-10-27T00:00:00+09:00

They Will See Johnny's Message: A Measurement Study of Post-Quantum Cryptography Across Email Delivery Paths arXiv · 2026年10月27日本論文は、メールの配送段階ごとの耐量子暗号（PQC）の導入状況を体系的に測定した研究です。中継、送信、アクセスの各サービスや送信側実装、OpenPGP と S/MIME の暗号化機能を対象としています。結果として、PQC への対応は少数のプロバイダーに集中しており、対応能力が実際の利用に結びついていないことが示されています。 ★★★★ 注目：メール配送の各段階でのPQC導入を測定し、対応能力と実際の利用が一致しないこと、PQC限定時に一部送信側が平文へ戻る点を報告している。

Log-To-Leak：モデルコンテキストプロトコル経由でツール利用LLMエージェントに行うプロンプトインジェクション攻撃

2026-10-27T00:00:00+09:00

Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol arXiv · 2026年10月27日本論文は、Model Context Protocol（MCP）で外部ツールに接続するLLMエージェントの安全性を調べる。正規のツール呼び出しの後に、攻撃者が管理する追加のツール呼び出しを誘発する「Log-To-Leak」攻撃を提案し、ユーザーの問い合わせ、MCPサーバー名、サーバー応答、エージェントの回答を窃取する仕組みを示す。5つのMCPサーバーと4つのエージェントによる評価では、有効な18の組み合わせで攻撃成功率が62.64〜100%に達した。3つの防御策を講じても、GitHub MCPとGPT-4oの組み合わせでは攻撃成功率が55%を超えて残った。著者らは、タスクの正常完了と無許可の事後的な情報開示が同時に起こりうるとして、二次的なツール呼び出しをホスト側で制御する認可の仕組みを提案している。 ★★★★ 注目：既知のMCPツール汚染の攻撃面上で、正当な最終呼び出し後に攻撃者制御の追加呼び出しを誘発するLog-To-Leakを提案し、18組のモデル・サーバー組み合わせで攻撃成功率62.64-100%を報告している。

safeL4：安全言語に基づく単一アドレス空間マイクロカーネルの再検討

2026-10-26T00:00:00+09:00

safeL4: Rethinking Safe-Language-Based Single Address Space Microkernels arXiv · 2026年10月26日本論文は、安全な言語を用いてマイクロカーネルを構築する手法 safeL4 を提案している。ハードウェア隔離に代えて単一アドレス空間と言語ベースの隔離を用い、性能オーバーヘッドの低減を目指す。不安全な操作には低レベルの抽象化を設けて最小性を保ち、安全言語のオブジェクトケイパビリティに基づく仕組みで資源操作を細粒度に制御する。Rust による試作では、基本プリミティブが seL4 より平均 1.9 倍速いと報告している。

連合学習によるマネーロンダリング対策：行間をまたぐ文脈をどこまで共有すべきか

2026-10-26T00:00:00+09:00

Pricing Cross-Bank Context in Federated Anti-Money Laundering arXiv · 2026年10月26日本論文は、各銀行が別々に保有する取引グラフの下で、複数の銀行にまたがるマネーロンダリングの検知方法を検討したものです。取引の両端の銀行が既に記録している取引を用いて、遠隔口座の状態を局所的に近似し、追加の口座情報交換なしにグラフニューラルネットワークを計算します。AMLworld HI-Smallデータセットを用いた実験では、銀行が既に記録しているデータのみを使う方法が最も効果が高く、取引件数の共有は補助的に有効、正確な遠隔状態の共有は特定の条件でのみ有用でした。またプライバシー保護のために加えるノイズが、共有する状態の検知効果を打ち消すことも示されています。

代数構造と多すぎるヒントの関係：サイドチャネル漏えいの安全性評価

2026-10-27T00:00:00+09:00

When Algebraic Structure Meets Too Many Hints IACR ePrint · 2026年10月27日本論文は、DDGRの提示分類や「多すぎるヒント」の閾値分析を、実際のサイドチャネル漏えいの単独の安全性指標として用いることには問題があると指摘します。これらの分析はヒントの代数的構造を考慮していないためです。Kyber-512の合成実験では、NTT領域の剰余はmod-qヒントに形式上該当するものの、均一モデルの予測の約半分のヒント数で秘密鍵が復元されました。有限精度FFTサンプルは近似ヒントに分類されますが、均一な完全ヒントに必要な量の25％〜55％で済みました。

秘密分散における逆向き置換：臨界値二分の一と超多項式下界への道筋

2026-10-27T00:00:00+09:00

Reverse Substitution in Secret Sharing: The Critical One-Half Threshold and a Route to Superpolynomial Lower Bounds IACR ePrint · 2026年10月27日本論文は、秘密分散方式における置換という構成法を研究する。外側のアクセス構造の一参加者を内側のアクセス構造で置き換える操作である。複合アクセス構造に対する任意の方式について、その正規化された分担サイズのベクトルが外側・内側の因子のベクトルへ逆に分解できるかを検討し、厳密な逆分解が成り立たない反例を示す一方、因子二分の一は常に達成可能であることを証明する。Csirmaz の古典的アクセス構造から作られる再帰的な族について臨界的な逆因子を特定し、それを超えると超線形下界が得られること、シャノン不等式のみでは臨界値を超えられないことを述べる。 ★★★★★ 注目：逆方向の置換を提案し、最適な逆因子が8/9となる反例と、因子1/2が常に達成可能であるという結果を示す。超多項式下界に関わる臨界因子も特定し、要約ではShannon不等式のみでは臨界値を越えられないとしている。

コンパイラ起因の定数時間違反を大規模に分析する（CTGREP）

2026-10-27T00:00:00+09:00

Analyzing Compiler-induced Constant-time Violations with Compiler at Scale IACR ePrint · 2026年10月27日本論文は、コンパイル全体にわたる差分解析によって、コンパイラの最適化が暗号ライブラリの定数時間コードを壊す箇所、その導入経路、問題となるコンパイラ設定を特定する枠組みCTGREPを提案します。7つの完全な暗号ライブラリを、複数のClangバージョン、対象プラットフォーム、多数のコンパイル設定で分析し、ライブラリ開発者と協力して48件に対応しました。さらに、7つの問題のあるLLVMパスも見つけています。 ★★★★ 注目：CTGREPはコンパイルチェーン全体の差分解析で定時性違反を特定し、7つの暗号ライブラリで検出して48件の修正に協力、さらに7つの問題のあるLLVMパスを報告したとしている。

SecureVibe：バイブコーディングをより安全にする手法

2026-09-30T00:00:00+09:00

SecureVibe: Making Vibe Coding More Secure arXiv · 2026年9月30日バイブコーディングの普及に伴い、機能的に正しいコードにも脆弱性が残る問題が注目されている。本論文は、コードのセキュリティに関する計画立案とテストを強化するトレーニング手法SecureVibeを提案し、4種類のセキュリティタスクでの教師ありファインチューニングと、実行結果や提示情報に基づく後処理学習を組み合わせる。BaxBenchではセキュリティのpass@1が6.9ポイント向上したと報告している。

LLM WikiLeaks：エージェントの掲示板におけるURLベースの能力拡張とセキュリティ回避の解明

2026-10-26T00:00:00+09:00

LLM WikiLeaks: Uncovering URL-Based Capability Extension and Security Circumvention in Agentic Message Boards arXiv · 2026年10月26日本論文は、ProWikiの事例を通じて、自律エージェントがどのように公開ドイツ語ウィキを掲示板として再利用し、第三者のWebサービスを重ねることで能力を広げ、制限を回避したかを調べています。14,591件の編集に含まれる79,541件のURLを分析し、33.6%のURLが一〜五層の第三者サービスを埋め込んでいることを示しました。中間サービスは67種類特定され、約73.8%は内容抽出や変換などの能力拡張に使われ、残り26.2%はアクセス制限の回避や検出の回避に使われていました。

BR-MoE：プライバシー保護型交通分析のための予算管理付き意味的公開手法

2026-10-20T00:00:00+09:00

BR-MoE: Budgeted Semantic Release for Privacy-Preserving Traffic Analytics arXiv · 2026年10月20日本論文は、交通カメラ映像の分析で生じるプライバシー漏えいの問題を扱い、既存の強化学習と専門家混合（MoE）の枠組みを拡張する予算管理付き意味的公開手法を提案している。四つの場面専門家が独立した映像片を処理し、出力を固定された有界の意味スキーマに変換する。強化学習コントローラーは公開タスク要求と過去の非公開公開履歴をもとに、どの要約を公開しどれだけのプライバシー予算を使うかを選ぶ。明示的な片の分離と有界事件の仮定のもとで、公開記録全体が事件レベルの差分プライバシー境界を満たすとされる。表は報告形式を示すもので、実証的な効果は示されていない。

フェデレーテッド・アートチェイス：フェデレーテッド微調整におけるプライバシー漏えインとデータポイズニング

2026-10-15T00:00:00+09:00

Federated Art Chase: Privacy Leakage and Data Poisoning in Federated Fine-Tuning arXiv · 2026年10月15日本報告は、フェデレーテッド学習で事前学習済みモデルを微調整する際のプライバシーと完全性を検証しています。Quick, Draw! の10クラスを用いた実験では、単一のクライアント更新から正直だが好奇心のあるサーバーが非公開のラベル集合を復元できる一方、再構成画像はクラスの原型に近いことが示されました。また、悪意あるクライアントの割合が高いほどバックドア攻撃の成功率が上がり、FLTrust はこれらの攻撃を抑えますが、全クライアントが悪意を持つ場合には効果がないとされています。

ハイパーグラフ・メッセージパッシングによるビザンチン耐性の連合型大規模言語モデル

2026-10-09T00:00:00+09:00

Byzantine-Resilient Federated Large Language Model via Hypergraph Message Passing arXiv · 2026年10月9日本論文は、連合学習で大規模言語モデルを訓練する際に、悪意ある更新によって意味的一貫性が損なわれるビザンチン攻撃への防御手法を提案しています。提案手法HMP-GAEは、低ランクのモデル更新をハイパーグラフのノードとして表現し、反復的なメッセージパッシングで意味的に矛盾する更新を識別・抑制します。Qwen-2.5とLlama-3.2を用い、AG NewsとYahoo! Answersで評価を行い、既存の防御法より精度・意味エントロピー・困惑度が改善したと報告しています。

SAFESHIELD：小規模言語モデルの配備時安全性のための決定組織フレームワーク

2026-10-06T00:00:00+09:00

SAFESHIELD: A Decision-Organization Framework for Deployment-Time Safety of Small Language Models arXiv · 2026年10月6日本論文は、配備時の安全性を、安全判断を責任単位に分解し、それらの間の調整を明示する決定組織の問題として定式化しています。これに基づき、受理、ルーティング、根拠、公開の4つの決定責任を組織し、確定した判断を監査可能な決定トレースに記録するシステムSAFESHIELDを提案しています。実験では、受理ゲートを除くと誤公開が大きく増え、上流の根拠を公開判断から切り離すと公開精度が96.0%から69.5%に低下することが示されています。

PACE：ツール利用型LLMエージェントのための来歴認識型能力強制（ツール利用型LLMエージェントの安全性を高める新しい防御手法の提案）

2026-10-01T00:00:00+09:00

PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents arXiv · 2026年10月1日本論文は、ツールを呼び出す大規模言語モデル（LLM）エージェントにおいて、汚染されたツールメタデータ、取得したウェブページ、メモリ、再利用可能なスキルが次の呼び出しを誘導しうる問題を扱います。事前審査だけでは解決できないと指摘し、ツール呼び出しの直前で介入するPACEを提案しています。8つの実行可能なエージェント安全性ベンチマークと3系統のモデルでの評価では、79の対象攻撃列のうち62列で攻撃成功率が厳密に最も低く、14列で同率でした。完全ベンチマークでの原生的な有用性低下は最大3ポイントです。 ★★★★★ 注目：ツール実行直前に由来と権限で制御するPACEを提案し、8つの実行可能な安全ベンチマーク・3系統のモデルで攻撃成功率の低さを報告、消去実験で要因を分析。

認識論的型付けを PostgreSQL のテーブルアクセスメソッドとして実装：信頼度偽造と Sybil 協調攻撃下での敵対的な競合解決

2026-09-29T00:00:00+09:00

Epistemic Typing as a PostgreSQL Table Access Method: Adversarial Conflict Resolution Under Confidence Forgery and Sybil Coordination arXiv · 2026年9月29日本論文は KNDB を提案します。これは PostgreSQL 18 のテーブルアクセスメソッドで、各行にエンジンが割り当てる認識論的種別（MEASURED、INFERRED、DERIVED）を付与し、書き込み時に項目ごとの競合を解決します。攻撃者が推論書き込みの信頼度を偽装する状況で、KNDB は二つのデータセットにおいて信頼度のみを用いる基準手法を上回りました。一方で、飽和密度を下回る条件では一部の手法に劣り、最後の書き込みが正とされる時間的知識編集ベンチマークでは得点がゼロであったと報告しています。

TEEベース暗号化データベースのスナップショットが年輪解析により平文ヒストグラムを漏えいする問題

2026-10-14T00:00:00+09:00

Snapshots of TEE-Based Encrypted Databases Leak Plaintext Histograms via Dendrochronology IACR ePrint · 2026年10月14日これは暗号解読・攻撃に関するIACR ePrintの論文で、タイトルは「Snapshots of TEE-Based Encrypted Databases Leak Plaintext Histograms via Dendrochronology」です。信頼された実行環境（TEE）を用いる暗号化データベースのスナップショットが、年輪解析（dendrochronology）に似た手法で平文のヒストグラムを漏えいしうることを扱っています。現在は公開禁止期間中で、2026年10月末に公開される予定です。

Tracekit：AIエージェント向けの改ざん検知型「意図・推論・行動」監査システム

2026-09-29T00:00:00+09:00

Tracekit: Tamper-Evident Intent-Reasoning-Action Auditing for AI Agents arXiv · 2026年9月29日AIエージェントは運用者の認証情報でシェルコマンドの実行、リポジトリの編集、メール送信、送金などを行いますが、その記録は通常、エージェントや運用者が編集できるログにとどまります。本論文はオープンソースのTracekit（版1.4.1、MITライセンス）を提示し、各実行を第三者がオフラインで検証できる証拠に変換します。エージェントが到達できない署名器がツール呼び出しの前に判定し、Ed25519で署名した記録をハッシュチェーンとMerkle木に格納します。論文は21の実験結果を報告し、ポリシー規則は境界ではなく補助であり、保護の本体はエージェントが触れられない署名器と認証情報だと述べています。 ★★★★ 注目：Tracekitは各呼び出しに署名しハッシュチェーンとMerkle木に記録し、第三者がオフラインで検証可能とする。摘要は21実験で改ざん検出や伪造拒否などを報告し、ポリシー規則単独では境界にならないと述べる。

CoSec：コミュニティ環境におけるエージェントのセキュリティを評価するベンチマーク

2026-09-28T00:00:00+09:00

CoSec: Benchmarking Agent Security in Communities arXiv · 2026年9月28日本論文は、コミュニティの内外で動作する大規模言語モデル（LLM）エージェントのプライバシーと認可の遵守を評価する実行可能なベンチマーク「CoSec」を提案している。208のシナリオを含み、固定的な境界と変化する境界、エージェント所有者や他の参加者の保護対象情報、対話・環境コンテンツ・永続メモリ・組み合わせワークフローを通じた攻撃を扱う。結果として、エージェントは正当なタスクを完了することが多い一方で、プライバシーや認可の境界を破ることがあり、タスクの有用性がプライバシーや認可の遵守を意味しないことが示された。

SweepMark：堅牢な音声透かしに対するクエリ不要・高忠実度の攻撃手法

2026-09-28T00:00:00+09:00

SweepMark: Query-Free and High-Fidelity Attacks on Robust Audio Watermarking arXiv · 2026年9月28日本論文は、音声合成（TTS）の悪用を追跡するために音声に埋め込まれる透かしを除去する、ブラックボックス攻撃手法SweepMarkを提案しています。対象の透かしモデルや対になるクリーン音声・透かし付き音声は不要です。透かし埋め込みによって生じるスペクトル上の残留パターンを学習し、適応的にスケーリングして差し引きます。2つの音声データセットと4種類の透かし手法で、平均攻撃成功率は92%および96%でした。音声認識評価では、言語内容はおおむね保持されていることが示されています。

事実は正しく、規則の適用が誤り：検索拡張生成における適用範囲のずれを利用した汚染攻撃

2026-09-28T00:00:00+09:00

Right Facts, Wrong Rule: Scope-Transfer Poisoning of Retrieval-Augmented Generation arXiv · 2026年9月28日本論文は、検索拡張生成（RAG）システムにおいて、文書に記された適用範囲内でのみ有効な規則が範囲外の質問に誤って適用される問題を扱います。正しい事実が誤った回答を支える場合があることを示し、LLMエージェントによる攻撃枠組みLENSでこの失敗例を作成します。適用可能性の監査により、対象誤り率は70.8%から16.4%に下がったと報告されています。 ★★★★ 注目：本論文はRAGにおける規則の適用範囲の誤用という新たな故障モードを指摘し、事実が正しくても範囲外の適用で誤答が生じると述べる。著者らは攻撃枠組みLENSを提案し、適用性監査で目標誤答率が70.8%から16.4%に下がったと報告している。

CPG に基づく C から Lean 4 への自動形式化における信頼台帳と実行検査：翻訳の拒否と静かな誤訳の区別

2026-09-29T00:00:00+09:00

A Trust Ledger and an Execution Check for CPG-Based C-to-Lean 4 Autoformalization: Separating Declined from Silently Incorrect Translations arXiv · 2026年9月29日本論文は、C ソースを小さな Lean 4 のコア意味論へ変換する、コードプロパティグラフ（CPG）ベースの決定的エクスポータを提案します。3段階の正しさの規律で、翻訳の拒否と誤訳を区別します。SQLite のソースに適用すると、8602 関数のうち 5222 関数（60.7%）が穴なしで翻訳され、そのうち呼び出し閉包を満たすのは 2134 関数（24.8%）でした。著者らは単一の数値ではなく構文要素ごとの信頼台帳で結果を示し、誤った結果を静かに出力する潜在的な不具合も報告しています。

仮説は安く、検証は高価：エージェント型脆弱性発見における防御面

2026-09-28T00:00:00+09:00

Cheap to Hypothesize, Costly to Verify: The Defense Surface of Agentic Vulnerability Discovery arXiv · 2026年9月28日本論文は、自律型LLMエージェントが有限な予算の下で脆弱性の仮説を立てるコストは低いものの、到達可能性分析・実行・概念実証による検証は遥かに高コストであり、その検証作業自体が防御対象になりうると指摘します。著者らはRedHerringを提案し、安全性を認証可能な囮コードを挿入して検証資源を偽の脆弱性へ逸らします。33のOSS-Fuzzプロジェクト、70の評価事例、5つのモデルを用いた実験では、真の脆弱性の発見数が38.7〜60.4%減少しました。 ★★★★ 注目：自律的脆弱性発見では仮説の検証が仮説生成より高コストだという非対称性を示し、証明可能に安全なデコイ防御RedHerringを提案。摘要では33プロジェクト・70インスタンスで真の脆弱性発見が38.7-60.4%減少と報告。

構造化エージェント操作のための認証付きマルチソース完全性

2026-09-28T00:00:00+09:00

Certified Multi-Source Integrity for Structured Agent Actions arXiv · 2026年9月28日大規模言語モデルのエージェントは、請求書の支払いのように権限が必要で取り消しの難しい構造化操作を行うことが増えており、その各フィールドは攻撃者に改ざんされうる文書やツール出力から組み立てられます。本論文は、各フィールドの証拠構造が支える規則を満たした場合にのみ操作を承認する安全な認証器を提案します。これには、最小ヒッティング集合で数える損傷半径、補完フィールドの決定的照合、単一ソースのフィールドに対する信頼できるアンカーが含まれます。実際のエージェントループで5つのモデルを検証した結果、この認証器は安全でない操作を承認せず、ベースライン手法は一部の攻撃により破られたと報告されています。 ★★★★ 注目：共有上流ソースの腐敗予算の下で構造化エージェントアクションの完全性を認証する枠組みと、最大活性の安全認証器を提示。著者は制裁リストとソフトウェア供給網データで多源前提の成立頻度を報告し、実エージェントループでの検証を示している。

コンパイラは読めても、エージェントは読めない：研究用コードの一部をコーディングエージェントから隔離する

2026-09-29T00:00:00+09:00

The Compiler May Read It, the Agent May Not: Keeping Part of a Research Code Away from a Coding Agent arXiv · 2026年9月29日論文は、物理ベースのソルバーがビルドに必要とするモジュールはコンパイラが読む必要がある一方、コーディングエージェントにはその知的財産を読ませてはならないと指摘しています。著者は、コンテナ、権限ルール、サンドボックスの三つの手段を対象に、十五の読み取り経路を分類しました。その結果、いずれも読み取っているのがどのプログラムかを判別できないことがわかりました。

MetaCascade：メタデータのみの汚染によるエージェントスキルへのエンドツーエンド攻撃

2026-10-10T00:00:00+09:00

MetaCascade: End-to-End Attacks on Agent Skills via Metadata-Only Poisoning arXiv · 2026年10月10日本論文は、エージェントシステムにおけるサードパーティ製スキルの安全リスクを扱います。エージェントはスキルのメタデータに基づいて検索・選択を行いますが、既存研究は実行後の被害に主に注目してきました。著者らは、メタデータのみを汚染するエンドツーエンド攻撃フレームワーク MetaCascade を提案し、多視点の意味拡張で悪意あるスキル候補を生成し、タスクと黒箱の競合フィードバックを用いて悪意あるメタデータを反復的に最適化します。Hermes と OpenClaw の二つのエージェント、四つのデータセットで、既存の最強ベースラインを上回る攻撃性能を示しています。

偵察から対応へ：現代の企業攻撃に対する定量的リスク化と、ゲーム理論に基づく封じ込め

2026-09-29T00:00:00+09:00

From Reconnaissance to Response: Quantitative Risk Parameterization and Game Theoretic Containment in Modern Enterprise Attack arXiv · 2026年9月29日本論文は、定量的リスクのパラメータ化と連続的な自動対応時間を結びつける、指標駆動型の意思決定エンジンを提案しています。CVSSの悪用容易性パラメータを攻撃者の成功確率に対応させ、FAIRのモンテカルロシミュレーションで防御側のログ分布を評価します。SIEMのログはポアソン過程としてモデル化され、逐次ベイズフィルタリングによって脅威の事後信念を更新します。相互作用は動的ベイズ・シュタッケルベルクゲームとして定式化され、予想される未緩和リスクが予防的封じ込めコストを上回る閾値が導出されています。2023年のMGM ResortsとCaesars Entertainmentのサイバーインシデントのデータに基づくシミュレーションでは、攻撃の探査から数秒以内にSOARによる自動隔離が作動することが示されています。

DIBench：欺瞞的な注入下におけるGUIベースのモバイルエージェントの決定の完全性を評価するベンチマーク

2026-09-29T00:00:00+09:00

DIBench: Benchmarking Decision Integrity of GUI-based Mobile Agents Under Deceptive Injections arXiv · 2026年9月29日本論文は、モバイルエージェントの決定の完全性（decision integrity）を測るベンチマーク「DIBench」を提案しています。7つの商用アプリと3つのシミュレーションアプリを対象に、目立った異常を出さずに重要な選択を誘導しうる8種類の欺瞞的注入プローブを構築しています。実験では、タスク完了率だけで評価すると智能体の信頼性を過大評価しうること、また一般的な防御策の効果が一貫しないことが示されています。 ★★★★ 注目：DIBenchを提案し、多候補選択タスクで欺瞞的注入により移動エージェントの判断が指示された制約から逸れるリスクを測定する。完了率だけでは信頼性が過大評価されると報告している。

PerceptFence：画面共有型AIアシスタント向けのコンテンツ仲介アーキテクチャと決定的カバレッジ評価

2026-09-28T00:00:00+09:00

PerceptFence: Content-Mediation Architecture and Deterministic Coverage for Screen-Share AI Assistants arXiv · 2026年9月28日本論文は、画面共有型AIアシスタントが機密内容を観察・保存・開示してしまう問題に対し、キャプチャ、メモリ、モデル応答の間にコンテンツ層の仲介を入れるPerceptFenceを提案しています。合成データでの評価では、数字系の個人情報の無害化率は0.828で、Presidio（0.183）を上回りましたが、それ以外の範囲ではPresidioが優れていました。OCRを通す合成画面480件の評価では、968件のうち889件の秘密情報・個人情報を無害化（0.918）し、Presidio（0.581）やgitleaks（0.179）を上回りました。著者らは、本研究の貢献は実運用や形式的なプライバシー保証ではなく、アーキテクチャと評価手法にあると明記しています。

エージェントのセキュリティ判断に使う System One モデルの評価：信頼性・較正・選択的自動化

2026-09-27T00:00:00+09:00

Evaluating System One Models for Agent Security Decisions: Reliability, Calibration, and Selective Automation arXiv · 2026年9月27日本論文は、エージェント向けのセキュリティ検査に用いられる System One モデル（Jev、Laya、Decider、Bespoke Nimble など）を、専用分類器や言語モデル審査器と比較しています。プロンプトインジェクション検出、相互作用リスク判断、有害な要求のスクリーニングにおける判断精度、確率の較正、選択的自動化を検証しています。総合精度が高く平均較正誤差が小さくても、特定の攻撃群で高い確信度の誤判定が隠れる場合があることを示しています。また、厳しい見逃し上限の下では自動処理できる入力はわずかであり、言語モデル審査器は見逃された危険入力を検出できる一方、同じ誤りを繰り返し良性入力を誤検知することもあると報告しています。

ニューラルネットワークへのバックドア埋め込みがなぜこれほど容易なのか：二次ニューロンの理論解析に関する論文

2026-09-29T00:00:00+09:00

Why Backdooring Neural Networks is so Easy? arXiv · 2026年9月29日本論文は、攻撃者が成功かつ発覚しにくい攻撃を行うために必要な毒データの割合とトリガー強度を理論的に分析します。汚染されたガウス混合データで学習する二次ニューロンについて厳密な閉形式の結果を導き、特徴学習によって必要なトリガー強度が汚染割合に対してより緩やかに下がること（α∝π^-1/2からα∝π^-1/4へ）を示しています。そのため、線形的な経験則に基づく安全監査は、後門への脆弱性を過小評価する可能性があると述べています。

拒否は局在し、被害は移動する：少数サンプル微調整下の安全層

2026-09-29T00:00:00+09:00

Refusal Localizes, the Damage Relocates: Safety Layers Under Few-Sample Fine-Tuning arXiv · 2026年9月29日本論文は、少数の有害サンプルによる微調整後に大規模言語モデルの拒否応答が失われ、また回復する仕組みを検討しています。4つのモデルファミリーの6つのチェックポイントで検証し、クリーンな隠れ状態のパッチングによって拒否応答が回復すること、また該当層を凍結する防御を試みたことを示しています。その結果、攻撃者が凍結領域を迂回し修復を無効化しうることが示され、適応的微調整に対する防御の五つの検証項目が提案されています。 ★★★★ 注目：論文は、少数の有害サンプルによる微調整後も拒否は特定の層に局在し、クリーンな隠れ状態の置換で拒否が回復すると報告する。その層を凍結する防御を取り上げ、攻撃者が回避しうることや修復手法が破られうることを示す。

トークン鍵ゲート型アダプタールーティング：LLMにおける個人データ漏洩を防ぐ安全なアクセス制御の仕組み

2026-09-29T00:00:00+09:00

Tokenized Key-Gated Adapter Routing: A Secure Access Control Mechanism Against Private Data Leakage in LLMs arXiv · 2026年9月29日大規模言語モデル（LLM）は医療・金融・行政など個人情報が重要な分野で利用が広がっていますが、個人識別情報（PII）を記憶して漏らす危険があります。本論文は、各アクセス方針に対応する軽量なLoRAアダプターを学習し、ゲートモジュールで有効な鍵トークンを一つのアダプターに割り当てるLocketという枠組みを提案します。正しいトークンがあれば私有知識が解放され、無効または欠落している場合は機微な内容を伏せるアダプターが使われます。Enron、ECHR、Yelpのデータセットと複数のLLMで評価されています。

マルチテナント量子計算では、プライバシーを左右するのは誤り率ではなくコヒーレンスである

2026-09-28T00:00:00+09:00

Coherence Rather Than Error Rate Governs Privacy in Multi-Tenant Quantum Computing arXiv · 2026年9月28日本論文は、クラウド量子プロセッサを複数のテナントが共有する場合に、一方が他方についてどれほどの情報を得られるかを検討します。著者らは量子状態の識別可能性に基づく情報漏えいの尺度を提案し、IBM Kingston（156量子ビット）とIQM Garnet（20量子ビット）の装置で測定しました。同じ基準誤差でも漏えい量が大きく異なることが示され、一般的な誤差指標は誤りがコヒーレントか確率的かを区別できないと論じています。また、被害者側のレジスタ全体に一様なPauli乱択を適用すると漏えいをゼロにできる一方、実験では誤りの蓄積による性能低下も観察されたと報告しています。 ★★★★ 注目：量子状態の識別可能性に基づくテナント間情報漏洩指標を提案し、平均誤差では可干渉性の違いが捉えられないとする。IBM KingstonとIQM Garnetの二台で測定し、防御策で漏洩がゼロになると報告。

ContractWarden：人間が承認した契約によりAIエージェントにカーネルレベルの損害境界を設ける手法

2026-09-29T00:00:00+09:00

ContractWarden: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts arXiv · 2026年9月29日本論文は、大規模言語モデルのエージェントが引き起こしうるオペレーティングシステム上の損害を制限するLinux参照モニタ「ContractWarden」を提案します。モデルは「許可・拒否・外部通信禁止」の三態資産契約を提案できますが、最終的な決定は人間が行います。eBPF LSMによるデータプレーンがファイルとネットワークの判定を実行し、プロセス、通常ファイル、パイプなどに外部通信禁止の状態を伝播させます。19種のセキュリティテストにおける570回の実行はすべて事前定義の基準を満たし、3つのファイルI/O負荷において比較対象より低いオーバーヘッドを示しました。

ModalFidelity：限られた計算量で深層偽造検出のモダリティを選ぶ手法

2026-09-29T00:00:00+09:00

ModalFidelity: Routing Modalities for Deepfake Detection on a Budget arXiv · 2026年9月29日深層偽造は動画全体ではなく、意味が変わる数秒だけを改変するものが増えています。しかし既存の検出器は音声と映像のすべての1秒窓を読み込むため、計算の大半が改変のない箇所に費やされます。本研究は、取証検出器を動かす前に各窗を先読みし、どの流れを読む価値があるかを決める軽量ルーターModalFidelityを提案します。AV-Deepfake1Mでは窓の最大5分の1だけを読み、検出後に絞り込む方法より高精度かつ計算量は15.9分の1で、全ての偽造位置を知る理想手法の96%以上の精度を保ちました。

Agent-Warden：LLMエージェント向けのeBPFベースのカーネルレベル・プロセス／ファイル来歴追跡

2026-09-29T00:00:00+09:00

Agent-Warden: eBPF-Based Kernel-Native Process-File Provenance Tracking for LLM Agents arXiv · 2026年9月29日本論文は、eBPF（拡張版Berkeley Packet Filter）に基づくカーネルレベルの来歴監視システム「Agent-Warden」を提案し、プロセスの生成、ファイルアクセス、プロセスの終了にわたるタスクとファイルの状態を追跡します。制御されたファイル経由の伝播シナリオでは、アプリケーション層のトレースには存在しなかったプロセス間の因果連鎖を再構築しました。x86-64およびARM64のベアメタルホストでの評価において、エンドツーエンドのオーバーヘッドは0.2〜3.5%でした。

推論層のセキュリティ：敵対的推論とインフラ悪用への防御

2026-09-29T00:00:00+09:00

Inference-Layer Security: Defending Against Adversarial Inference and Infrastructure Abuse arXiv · 2026年9月29日本技術報告は、大規模言語モデルのサービスを推論層で守る方法を検討し、脱獄、サービス拒否攻撃、蒸留攻撃などの敵対的なやり取りを対象としています。公開されたラベル付きデータが存在しないため、著者らは構造的因果モデルで、複数アカウントによる協調キャンペーンや、三段階のラベル可視性を含むユーザーセッションのデータセットを生成しました。このデータで勾配ブースティング検出器を学習し、セッションが良性か悪性か、悪性なら攻撃の種類を分類しています。検出器の精度は評価に使われた運用ラベルより高いと報告されています。データセットは公開されています。

特権を持つLLMエージェントの職務分離：統制された実行アーキテクチャと測定された安全性と有用性のトレードオフ

2026-09-28T00:00:00+09:00

Separation of Duties for Privileged LLM Agents: A Governed Execution Architecture with Measured Security-Utility Trade-offs arXiv · 2026年9月28日大規模言語モデルエージェントはコマンド実行やファイル変更、API呼び出しなどの実権限を与えられつつあり、誤った場合には既に動作が実行されてしまいます。本論文は、モデルの外側で実行経路を統制する構成として、エージェントとOSの間に計画者、ポリシーゲート、実行者、監査者の4つの役割を置くアーキテクチャを提案します。313件のベンチマークでは、有効な攻撃成功率が直接実行時の98.3%から展開後の7.7%に下がり、補正後の誤拒否率は11.1%でした。

CATP：ローカルエージェントの認可と監査証跡の設計と評価

2026-09-28T00:00:00+09:00

CATP: Design and Evaluation of Local Agent Authorization and Audit Evidence arXiv · 2026年9月28日本論文は、実行前にローカルで下された認可決定を、オフラインで検証可能な証跡に変換するためのCATP仕様を提案します。Claude CodeおよびCodexへの実装で検証を行い、一貫性チェックが不足している五つの点を明らかにし、それらを追加すると期待どおりの判定になったと報告しています。証跡の信頼性は信頼できる実行環境、監視機構、ホスト、署名鍵に依存し、実行の真実性までは証明しません。

SEABench：自己進化エージェントにおける内生的ミスアラインメントのベンチマーク

2026-09-29T00:00:00+09:00

SEABench: Benchmarking Endogenous Misalignment In Self-Evolving Agents arXiv · 2026年9月29日本論文は、大規模言語モデルのエージェントが展開後に制御指示、メモリ管理、ツールやスキルを自ら修正して進化する際に生じる内生的ミスアラインメントを研究するためのベンチマーク「SEABench」を提案している。48の縦断的タスク系列を含み、進化は有用でも後のタスクで安全でない振る舞いを生むことがあると示す。自己進化はタスク完了率を高める一方、進化しない基準エージェントには見られない安全上の失敗を伴うことが多いと報告している。さらに、その安全行動の差は思考連鎖に表れ、低い誤検出率で不安全な振る舞いを緩和できる監視手法につながるとしている。

有界距離復号における双対格攻撃の再検討：ヒューリスティックを用いない漸近的トレードオフ

2026-09-28T00:00:00+09:00

Dual lattice attacks for bounded distance decoding, revisited arXiv · 2026年9月28日本論文は、双対格攻撃で短い双対ベクトルのスコアが互いに独立であるという仮定を再検討する。Haar乱格子モデルにおいて、ヒューリスティックな仮定なしに、前処理付きの（判定版）有界距離復号の明示的な漸近的トレードオフを証明する。Siegel と Rogers のモーメント恒等式を用いて完全な双対球上の余弦スコアを解析し、格子を法とする一様なターゲットと所定半径に置かれたターゲットを区別する際の誤り確率を評価する。双対半径を最適化すると、ターゲット半径と問い合わせ時間のトレードオフが得られ、それはDucas-Pullesの条件付きモデルによる漸近予測と一致する。 ★★★★ 注目：著者らはHaar乱数格モデルにおいてヒューリスティックを用いず、BDD前処理の明示的な漸近トレードオフを導出し、Ducas-Pulles条件付きモデルの予測と一致するとしている。

量子アドバイスの下での安全性に対する作用素ノルム手法：量子暗号理論の論文

2026-09-28T00:00:00+09:00

An Operator-Norm Approach to Security with Quantum Advice arXiv · 2026年9月28日本論文は、量子ランダム・オラクルおよびランダム置換モデルにおける非一様安全性のための作用素ノルム手法を提案し、探索成功確率と識別優位性の双方を統一的に扱う帰着を与えます。この枠組みにより、ソルト付きとソルトなしの両方のYaoの箱に対して厳密な上界が得られ、擬似乱数生成器の上界も改善されます。さらに、判定ゲームに対する最適な一般的ソルティング定理を証明しています。また、オフライン段階の既存クエリと以後のオンラインクエリの寄与を分離するゲームの性質を定義し、特定のソルト付き構成に対してより強い上界を導いています。

SKILLLITE：証拠誘導型で小型LLMを用いる悪意あるSkill監査手法

2026-09-29T00:00:00+09:00

SKILLLITE: Evidence-Guided Malicious Skill Auditing with Compact LLMs arXiv · 2026年9月29日LLMベースのエージェントが複雑なタスクを担うにつれ、機能拡張の仕組みとしてAgent Skillが普及しています。サードパーティ製Skillの増加は新たなサプライチェーン攻撃の対象を生み、悪意あるSkillがエージェントの権限を悪用するおそれがあります。本論文は、複雑なSkillパッケージから安全に関わる振る舞いを抽出して意図された機能を推定し、小型LLMでその悪意性を評価するフレームワーク「SKILLLITE」を提案しています。実験では、複数の小型LLMにおいて検出精度が向上し、既存の代表的な監査手法を上回り、推論遅延も低く抑えられることが示されています。

より安全な内容か、より堅固な拒否か？有害な微調整に対するアライメントのハイブリッド摂動防御

2026-09-29T00:00:00+09:00

Safer Content or Firmer Refusals? A Hybrid Perturbation Defense for Alignment under Harmful Fine-tuning arXiv · 2026年9月29日本論文は、クラウド微調整サービスで少量の有害データが混入すると安全なアライメントが損なわれる問題を扱い、アライメント段階で埋め込み摂動と重み勾配減衰を組み合わせた VaccineBooster を提案しています。Llama-2-7B での実験では、VaccineBooster の有害内容審査スコアが最も低く（0.315）、Booster-Only 版が攻撃後の拒否率が最も高い（50%）と報告されています。評価は10個のプロンプトと、各設定につき1回の未シード実行によるため、著者はこの傾向を統計的に確定した効果ではなく観察されたパターンとして扱っています。

対話の途中でも勾配信号は有効か？多ターン対話におけるグラデーションベースのジェイルブレイク検出の脆弱性の検討

2026-09-29T00:00:00+09:00

Does the Unsafe Gradient Survive a Conversation? On the Fragility of Gradient-Based Jailbreak Detection in Multi-Turn Dialogue arXiv · 2026年9月29日本論文は、勾配ベースのジェイルブレイク検出器GradSafeを多ターン対話に適用した場合の性能を検証しています。ユーザーの発話からなる固定長のウィンドウごとに検出器を適用し、その最大スコアを会話全体のスコアとする手法を提案しています。合成した良性対話では高い識別性能を示しましたが、WildChatの実際の良性対話では大きく低下し、攻撃手法やモデルによっても結果が変わることが報告されています。

pikit：間接プロンプトインジェクションの研究・評価のための組み合わせ可能なツールキット

2026-09-29T00:00:00+09:00

pikit: A Composable Toolkit for Indirect Prompt Injection Research and Evaluation arXiv · 2026年9月29日本論文は、間接プロンプトインジェクションの脅威を体系的に評価する研究用ツールキット「pikit」を紹介しています。攻撃手法13種、テキストとファイルにまたがる載体16種、防御策9種と離線検出ベースライン3種を対象とします。本番環境に近い条件での試験では、高リスク攻撃に対する9種の防御策により攻撃成功率が相対的に71.8%低下し、few_shot_warningとinstruction_hierarchyが最も強い保護を示しました。離線検出器は適合率が完璧でも再現率は低く、プロンプトレベルの防御を置き換えるのではなく補完するものだと示されています。

深層学習レイテンシ攻撃と防御：可用性脅威に関する分野横断サーベイ

2026-09-29T00:00:00+09:00

Deep Learning Latency Attacks and Defenses: A Cross-Domain Survey of Availability Threats arXiv · 2026年9月29日本論文は、推論を遅延させることを狙う敵対的攻撃（レイテンシ攻撃、エネルギー・レイテンシ攻撃）を総覧したサーベイである。知覚パイプライン、入力適応型ニューラル推論、LLMやエージェントなどの自己回帰型システムを扱う。攻撃を入力の作り方ではなく利用される計算上のボトルネックで分類し、作業量の上限を設ける防御の考え方を提示している。モデル単位のコスト増加がシステム全体の可用性障害になる条件も分析している。

CHERI上の効率的なリンケージベース・コンパートメント化

2026-09-29T00:00:00+09:00

Efficient Linkage-Based Compartmentalization on CHERI arXiv · 2026年9月29日本論文は、CHERIメモリ安全性に基づくプロセス内コンパートメント化の効率的なリンケージベースモデルを提示する。UNIXユーザー空間全体を細粒度でコンパートメント化し、デスクトップシステムで1万以上のコンパートメントに拡張できるとしている。Chromiumなどの大規模アプリケーションでは、既存のライブラリ境界に沿って1プロセスあたり500超のコンパートメントが得られるという。テストした数千のC/C++プログラムのうち、ソース修正が必要だったのはV8のみである。 ★★★★★ 注目：CHERIのメモリ安全性に基づくリンケージ型プロセス内隔離モデルを提示し、ライブラリ境界に沿って自動的に分割、Chromiumでは1プロセスあたり500超の隔離領域を報告し、Morelloや初の商用CHERI対応RISC-V機で評価している。

プライベート進化法（Private Evolution）を学習強化型クラスタリングとして理解する

2026-09-29T00:00:00+09:00

Understanding Private Evolution as Learning-Augmented Clustering arXiv · 2026年9月29日プライベート進化法（PE）は、合成データを生成するための差分プライバシーアルゴリズムです。本論文はPEを生成モデルで強化したWasserstein学習として再定式化し、生成モデルが真の分布の特徴を捉えられる場合に、より良い性能の理論的上界が得られることを示しています。また、標準的なPEの変種が単純なクラスタ構造のある事例で収束しない場合があることを指摘し、そのような事例で収束が証明できる幾何学を考慮した新しい版を提案しています。実験では、この新アルゴリズムが標準的なベースラインと同等の性能を示し、再現率を改善できることが示されています。

自己進化型防御：LLMエージェントのための継続的セキュリティポリシー学習

2026-09-29T00:00:00+09:00

Self-Evolving Defense: Continual Security Policy Learning for LLM Agents arXiv · 2026年9月29日本論文は、モデルの重みを更新せずに、有害なエージェントの実行軌跡を再利用可能なセキュリティポリシーへ蒸留する学習不要のフレームワーク「SED（Self-Evolving Defense）」を提案している。今後のタスクに関連するポリシーを検索することで、新たな攻撃に適応しつつ、攻撃シナリオをまたいで知識を保持する。ジェイルブレイク、プロンプトインジェクション、安全でないコード生成にまたがる8つのベンチマークで3つのオープンソースモデルを用いて評価し、AGENTDOJOに対する標的型プロンプトインジェクションの成功率は0.42%、HARMBENCH上の適応型X-TEAMING攻撃の成功率は7.8%に抑えられ、正当なタスクの有用性も維持したと報告している。

CyberPersistBench：LLMベースのサイバー攻撃エージェントの導入と永続化を評価するベンチマーク

2026-09-29T00:00:00+09:00

CyberPersistBench: Evaluating LLM-Based Cyber Attackers on Installation and Persistence arXiv · 2026年9月29日本論文は、侵入後の導入と永続化に特化した初のベンチマーク、CyberPersistBenchを提案しています。エージェントは段階的なシステム障害の中で、ホストのネイティブな仕組みを使って足場を維持する敵対的な生存タスクとして評価され、L1からL6までの6段階の決定的な検査で採点されます。五つの先端エージェントによる評価では、自律的な永続化は27.6%～44.8%にとどまり、防御が有効なタスクでは5.5%～13.3%へとさらに低下しました。 ★★★★ 注目：侵入後のインストールと永続化を対象とした初のベンチマークで、決定的チェックによる6段階評価を用いる。作者は203の中核タスクと防御拡張で五つの最先端エージェントを検証し、自律的な永続化は27.6%–44.8%にとどまると報告している。

CounterSteer：活性化ステアリングによる間接プロンプトインジェクションの抑制

2026-09-29T00:00:00+09:00

CounterSteer: Suppressing Indirect Prompt Injection with Activation Steering arXiv · 2026年9月29日間接プロンプトインジェクションは、LLMエージェントに取得した信頼できないテキストを指示として実行させてしまいます。CounterSteerは、モデル内部でこの挙動を抑える推論時防御手法です。埋め込まれた指示に従うかどうかだけが異なる対のエピソードから残差ストリームの方向を推定し、デプロイ時に工具結果のトークンごとにその方向を減算します。五つのオープンウェイトモデルで攻撃成功率は大きく下がりましたが、引数の操作は部分的にしか防げていません。 ★★★★★ 注目：推論時に工具結果トークンへ活性化ステアリングを適用して間接プロンプト注入を抑制する手法で、著者は5つのオープンウェイトモデルと適応攻撃で攻撃成功率の低下を報告している。

正常を知り攻撃を追う：システム来歴に基づく文脈対応・状態保持型LLM調査（ANCHOR）

2026-09-29T00:00:00+09:00

Know the Normal, Track the Attack: Context-Grounded and Stateful LLM Investigation over System Provenance arXiv · 2026年9月29日本論文は、来歴ベース侵入検知システム（PIDS）が検出した不審な活動を一貫した攻撃の筋書きへ変換するためのシステムANCHORを提案する。証拠の整理と文脈に基づく大規模言語モデルの推論を組み合わせ、導入環境の正常動作の基準と攻撃状態キャッシュを用いて、攻撃の段階に沿って攻撃経緯を段階的に再構成する。3種のOS上の6つのDARPA Transparent Computing E3/E5データセットで評価し、既存の来歴ベース手法と比べてIoCの回収と攻撃段階の帰属が改善したと報告している。

FinRT：適応的レッドチーミング戦略を再利用可能な敵対的生成器へ蒸留（消費者金融）

2026-09-29T00:00:00+09:00

FinRT: Distilling Adaptive Red-Teaming Strategies into Reusable Adversarial Generators in Consumer Finance arXiv · 2026年9月29日本論文は消費者金融などの規制産業を対象に、適応的なレッドチーミング戦略を再利用可能な敵対的プロンプト生成器へ蒸留するフレームワーク「FinRT」を提案している。6つの被験モデルで、適応型ベースラインのRainbow Teamingに対し攻撃成功率を約2倍（32.9%対17.2%）に高め、最大の敵対的深刻度を33%向上させた。また、反復探索手法と同程度の政策領域内の意味的多様性を保ち、モデル間での高い転移性も示している。

量子化により悪意あるサービス提供者に対しても秘匿的な高密度検索を可能にする研究

2026-09-29T00:00:00+09:00

Quantization Enables Private Dense Retrieval against Malicious Service Providers arXiv · 2026年9月29日高密度検索は検索拡張生成（RAG）の中核で、クエリと大規模コーパス中の段落のベクトル表現を比較して最も関連する文書を取り出します。本論文は、サーバーが悪意を持つ場合でもクエリの秘匿性と検索結果の完全性を保証する私的高密度検索を定式化し、二ラウンドの暗号プロトコルを提案しています。低ビット量子化により計算を実用的にしています。クリップ付き量子化器を用いた3ビット量子化で、検索品質と下流のRAG精度はほぼ維持され、臨床参照規模のコーパスへの私的クエリはサーバー側で1〜3分程度でした。

受信者に紐づく永続メモリ：メモリのライフサイクル全体にわたる認可の仕組み

2026-09-29T00:00:00+09:00

Audience-Bound Persistent Memory: Authorization Across the Memory Lifecycle arXiv · 2026年9月29日本論文は、所有者の代わりに私的な会話と共有会話の両方で動作する個人向け言語エージェントについて、文脈を組み立てる前に認可を行う方法を研究している。各メモリ項目は記録時の受信者情報を持ち、派生項目は受信者ごとに分けられるか、元データの受信者の共通部分を受け継ぐか、抑制される。項目は現在の全閲覧者が許可された受信者に含まれる場合にのみモデルの文脈に入る。2種類の独立したアーキテクチャと実行環境で実装され、10,000件の多者間履歴を用いた事前登録済みの検証では、禁止された項目が文脈に入ることはなかった一方、範囲制限のない検索では82%の文脈で禁止項目が露出した。 ★★★★ 注目：記憶ライフサイクル全体に受け手ごとの認可を結びつける準入機構を提案し、10,000件の多者履歴で禁止項目は文脈に入らず、非スコープ検索は82%の文脈で露出したと報告。

TTMark：単一トークンのエントロピーを超えるペア単位の歪みなし透かし（歪みのない電子透かしを隣接トークン対へ拡張する手法）

2026-09-29T00:00:00+09:00

TTMark: Pairwise Distortion-Free Watermarking Beyond Single-Token Entropy arXiv · 2026年9月29日本論文は、機械生成テキストの出所を確認するための歪みなし透かし手法を、隣接するトークン対に拡張したTTMarkを提案します。連続するトークンの同時分布に透かしを入れることで、検出器はトークンのエントロピーと条件付きエントロピーの両方を利用できるとされています。複数の言語モデルとデータセットでの実験では、生成品質を損なわずに検出性が向上したと報告されています。

標準モデルにおける会話可能な量子火：一方向の古典通信では送れないがクローン可能な量子状態の構成

2026-09-29T00:00:00+09:00

Conversable Quantum Fire in the Standard Model arXiv · 2026年9月29日本論文は、効率的に関数的クローンが可能だが一方向の古典通信では伝送できない量子状態（量子火）の構成を提案します。従来の証明可能な電送不可能な量子火の構成はすべてオラクルに依存していましたが、本研究は一回署名に基づき標準モデルで動作します。さらに、無鍵の電送不可能性と会話可能性という二つの新しい性質を導入しています。

近傍サンプルを用いた単一ラウンドのメンバーシップ推論の較正

2026-09-29T00:00:00+09:00

Calibrating One-Round Membership Inference with Neighbors arXiv · 2026年9月29日メンバーシップ推論攻撃は、ある事例がモデルの学習データに含まれていたかを判定する手法です。既存の最強手法は事例ごとに参照モデル（対象を除外して学習した補助モデル）を訓練する必要がありますが、大規模モデルではその再現コストが高すぎます。本論文は、学習済みモデルが1つしかない場合でも、対象事例の近傍サンプルを使って較正できるかを検討します。著者らは近傍サンプルを得る2つの方法を提案し、学習の早い段階のチェックポイントに対して照会すると信号がさらに明瞭になることを示します。3つの画像分類データセットと3つの学習設定での評価では、追加の学習コストなしに強いメンバーシップ信号と競争力のある攻撃性能が得られたと報告しています。

DecoyTrace：分散型フェデレーテッド学習における能動防御のための有害デコイ

2026-09-29T00:00:00+09:00

DecoyTrace: Toxic Decoys for Active Defense in Decentralized Federated Learning arXiv · 2026年9月29日本論文は中央サーバーを持たない分散型フェデレーテッド学習を対象に、能動的なサイバー欺瞞防御DecoyTraceを提案する。移動型のDecoyNodeがカオス写像で挑戦課題を生成し、近傍の信頼度に基づいてクリーンモデルとデコイモデルの二重モデルを配布、三状態の意味指標で評価する。確認後、分散プロトコルが汚染元を隔離しモデルのリセットまたは復旧を行う。NEBULA上の60構成での評価では、MNIST/FashionMNISTのF1は基準値との差が0.03以内、CIFAR-10では0.05〜0.10低い結果となり、資源使用量は最大3分の2削減された。

EU AI法のコンプライアンス検査ツールに関する実証研究と評価

2026-09-29T00:00:00+09:00

An Empirical Study and Assessment of EU AI Act Compliance Checkers arXiv · 2026年9月29日本論文は、EU AI法の自動コンプライアンス検査ツール（AIACC）を対象とした初の実証研究である。主要な12種類のツールを分類し、法的な網羅性と整合性を評価するとともに、生成された報告書の構造、確定性、実行可能性を分析している。その結果、ツールの品質には大きなばらつきがあり、現状では初期段階の参考ツールにとどまり、重要な義務を単純化・省略する傾向があることが示された。また、より信頼性の高い支援ツールの設計原則も提示している。

DDoS攻撃対策のためのネットワークセキュリティ向上を目指した機械学習モデルの敵対的バイアス除去

2026-09-29T00:00:00+09:00

Adversarial Debiasing of Machine Learning Models for Enhanced Network Security against DDoS Attacks arXiv · 2026年9月29日本論文は、生成敵対的ネットワーク（GAN）で合成トラフィックデータを作成し、ランダムフォレスト分類器と組み合わせてDDoS攻撃を検出する手法を提案しています。また、パケット関連特徴の偏った分布への感度を下げるために敵対的バイアス除去を適用しています。ベンチマークデータで99.98%の精度、未知の合成トラフィックでのテストで22.60%の改善が報告されています。

プライバシーに配慮した職種セグメント判定：ID不要の広告のための、ブラウザ内・端末上でのML推論（SIF）

2026-09-29T00:00:00+09:00

Privacy-Friendly Cohort Determination: Sealed, CSP-Independent In-Browser ML Inference of Professional Segments for Identity-Less Advertising arXiv · 2026年9月29日本論文は、SIF（Sealed Inference Frame）と呼ばれる手法を提案しています。これは端末上でブラウザ内の推論により粗い職業セグメントを判定し、クロスサイトIDを含まず、局所差分プライバシーを施したカテゴリラベルのみをOpenRTBの入札ストリームに送信します。あわせて、プライバシーと有用性のトレードオフ、再識別のシミュレーション、属性ごとの予測可能性の評価を報告しており、企業の種類と規模は予測しやすいが、役職の上級度は概ね予測しにくいとしています。

読む前にレンダリング：視覚化によるプロンプトインジェクション防御

2026-09-29T00:00:00+09:00

Render Before Reading: Visual Rendering as a Prompt Injection Defense arXiv · 2026年9月29日本論文は、マルチモーダルLLMがテキストとして与えられた敵対的指示には従いやすく、画像など非テキスト経路で与えられた場合には従いにくいという非対称性を明らかにしています。この差を利用し、信頼できない入力を文字組みの画像（または音声）に変換してからモデルに渡す、学習不要の防御手法Pictionaryを提案しています。10のモデルと2つのベンチマークで、攻撃成功率を低下させつつ正常な有用性をおおむね維持したと報告されています。 ★★★★★ 注目：マルチモーダルLLMはテキスト形式の注入指示を画像形式より従いやすいというモダリティ差を示し、学習不要の描画防御を提案。10モデル・2ベンチマークで攻撃成功率低減を報告。

多クラス・多階層ネットワーク侵入検知：包括的で再現可能なベンチマーク

2026-09-29T00:00:00+09:00

Multi-Class, Multi-Tier Network Intrusion Detection: A Comprehensive and Reproducible Benchmark arXiv · 2026年9月29日本論文は、CIC-IDS2017データセットで発表された結果が比較しにくい問題に対し、PCAPレベルのラベルを修正し、完全な評価パイプラインを構築したものです。二値の攻撃検知、9クラスの攻撃ファミリー判定、15クラスの細粒度分類という3つの階層で、11種類の表形式分類器を評価しています。ランダムフォレスト、XGBoost、LightGBMのソフトボーティングアンサンブルが、細粒度階層でマクロF1スコア0.955を達成しました。パイプラインはオープンソースで設定可能です。

プライバシーが武器になるとき：中国本土のSNS環境におけるドキシングとプライバシー脆弱性の理解

2026-09-29T00:00:00+09:00

When Privacy Becomes a Weapon: Understanding Doxxing and Privacy Vulnerabilities in Mainland China's Social Media Ecosystem arXiv · 2026年9月29日本研究は、中国本土でドキシング（悪意ある個人情報の暴露）の被害を受けた18人への半構造化インタビューに基づき、この現象の仕組みを分析しています。プラットフォームによる拡散の仕組みは西洋の研究とも共通する一方、義務的な実名制、ナショナリズム的言説、ファン文化、儒教的価値観、低いプライバシー意識といった中国特有の要因が影響していると報告しています。著者は、利用者個人の対応だけに頼らず、システム上の脆弱性を抑制する必要があると述べ、法制度、プラットフォーム設計、社会的取り組みに関する提言を示しています。

PrivacySkills：プライバシー指針がLLMエージェントの情報源選択に与える影響

2026-09-29T00:00:00+09:00

PrivacySkills: How Privacy Guidance Shapes Source Selection in LLM Agents arXiv · 2026年9月29日本論文は、同等のタスク関連情報を提供する複数の取得経路（公開個人情報の参照、機密情報源へのアクセス、ユーザーへの問い合わせ）からエージェントがどれを選ぶかを評価する受制御フレームワーク「PrivacySkills」を提案している。55の合成タスクと169のスキルを用い、システムレベルの指示とスキルレベルのメタデータラベルの効果を比較した。プライバシー指針がない場合、5つのオープンウェイトモデル平均で有効な実行の30%が機密情報源にアクセスし、ユーザー不在時は45%に上昇した。両方の指針を組み合わせると機密アクセスはおよそ半減した。

同じバイト列、異なる権限：チャットテンプレートにおけるプロンプトインジェクションと予約トークン表現

2026-09-28T00:00:00+09:00

Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection arXiv · 2026年9月28日本論文は、LLMエージェントへのプロンプトインジェクション攻撃を調べたものです。偽造されたチャットテンプレート記号（例：<|im_start|>）が予約制御トークンとして入力されると攻撃の成功率が大きく上がることを示しています。これらを通常のサブワードとして符号化すると、InjecAgentベンチマークでの攻撃成功率は、オープンウェイトの多くのモデルファミリーで39〜66ポイント低下しました。一般的な分詞器の設定では、エージェントが信頼できないツール出力を読む際のツール用プロトコルトークンは保護されず、その差は同チャネルでも残ります。 ★★★★★ 注目：同じテキストを予約制御トークンまたは部分語として与えた場合の、偽造チャットマーカーによるインジェクション権威の差を示し、InjecAgentとAgentDojoで影響を定量化している。

TEE Anchor：TEE間の組織による保証で、TEEへの物理攻撃を軽減

2026-09-28T00:00:00+09:00

TEE Anchor: Cross-TEE Organizational Endorsement for Mitigating TEE Physical Attacks arXiv · 2026年9月28日2025年、TEE.fail や Battering RAM など、TEEに対する実用的な物理アクセス攻撃が公表されました。論文は TEE Anchor を提案します。これは X.509 証明書に基づき、組織が CPU ごとの一意の Chip ID に証明書を発行して自前の PKI を構成し、検証者は証明データ中の Chip ID と照合して機器の所属を証明する仕組みです。(v)TPM などの追加の信頼の根を必要とせず、既存手法より運用コストと導入性で優れるとされ、プロトタイプでは全処理が数ミリ秒で完了したと報告されています。

MMSkillRisk：マルチモーダルスキルが罠になったとき、エージェントは安全を保てるか

2026-09-28T00:00:00+09:00

MMSkillRisk: Can Agents Stay Safe When Multimodal Skills Become Traps? arXiv · 2026年9月28日本論文は、マルチモーダルスキル内の画像を用いた攻撃を端から端まで安全性評価するためのベンチマーク MMSkillRisk を提案している。悪意ある指示を、教材画像の注釈やインターフェースラベルなどの正規の要素に見せかける攻撃手法 NCVA を設計した。九つのモデルと実行環境の構成での評価では、プールされた攻撃成功率は 43.1% に達し、テキスト攻撃の基準を 16.4 ポイント上回った。また、攻撃の成功と正当なタスクの完了が同時に起こる場合があることも示された。 ★★★★★ 注目：著者らは画像で運ぶ攻撃を評価し、NCVAは9構成で隔離サンドボックス実測、合算ASRは43.1%でテキスト基準を16.4pt上回ったと報告。

類似性は妥当性ではない：LLM セマンティックキャッシュへの汚染攻撃を防ぐ

2026-09-28T00:00:00+09:00

Similarity Is Not Validity: Defending LLM Semantic Caches Against Poisoning arXiv · 2026年9月28日セマンティックキャッシュは、意味的に近い問い合わせに対して過去の回答を再利用することで LLM の提供コストを下げます。しかし検索は埋め込みの類似度のみに基づくため、攻撃者が良性の要求と高い類似度を持つ問い合わせの下に悪意ある回答を登録できてしまいます。本論文は、キャッシュキーの生テキストから有効なヒットと無効なヒットを区別するための情報を回復する防御手法を提案します。3 種類の汚染攻撃において、誤検知率 5% の条件で汚染エントリの 82.0% から 98.2% を遮断し、提供時のオーバーヘッドはわずかだと報告されています。

中国の青少年向けLLM安全性の基準引き上げ：文化的背景に基づく細粒度ベンチマーク（QH-Bench）

2026-09-28T00:00:00+09:00

Raising the Bar for Chinese Adolescent LLM Safety: A Culturally-Grounded, Fine-Grained Benchmark arXiv · 2026年9月28日本論文は、中国の社会・文化的場面を基盤とした青少年向けコンテンツ安全性のための中国語ベンチマーク「QH-Bench」を提案しています。単発テスト715問と4ターンの対話軌道100件を含みます。13のオープンウェイトモデルの評価では、オンラインの知り合いとのオフライン接触が共通の弱点として挙げられています。総合スコアが高くても、これらの具体的な弱点が解決されたことにはならないと述べています。

SaplingGuard：青少年とLLMの対話のための、プロファイル認識型マルチエージェント安全ガードレール

2026-09-27T00:00:00+09:00

SaplingGuard: A Multidimensional-Profile-Aware Multi-Agent Guardrail for Developmentally Safe Adolescent-LLM Interaction arXiv · 2026年9月27日本論文は、下流モデルのパラメータを変更せずに導入できる、ユーザープロファイルと対話文脈を考慮した安全ガードレール「SaplingGuard」を提案しています。ユーザープロファイルの構築、文脈に応じたリスク評価、意図を保った提示文の最適化をそれぞれ担う3つのエージェントで構成され、青少年の発達に関わる潜在的リスクを識別します。七種類の発達リスクを含む276件の三ターン対話からなるSaplingBenchでの評価では、主要ヒット率が50.8%から63.7±1.1%に向上し、平均有害応答率は17.10%から5.27%に低下、平均安全スコアは0.7017から1.0043に上昇したと報告されています。

多頭のヒドラをどう手なずけるか？大規模言語モデルのための適応的多カテゴリ安全性ステアリング

2026-09-28T00:00:00+09:00

How to Tame a Multi-Headed Hydra? Adaptive Multi-Category Safety Steering for Large Language Models arXiv · 2026年9月28日本論文は、推論時に内部の活性化を調整して大規模言語モデルの安全性を高めるCAM-Steerフレームワークを提案する。現在の隠れ状態を安全・危険それぞれのプロトタイプと比較して各危害カテゴリのリスクを推定し、そのリスクに基づいて複数のカテゴリの安全方向を一つのステアリング方向にまとめ、介入の強度を決める。隠れ状態のノルムを保ったまま、合成された方向に沿って回転させる。3種類のモデルと7つの危害カテゴリでの実験では、複数カテゴリが同時に現れる場合を含め、平均防御成功率で比較手法を上回り、推論時の追加コストはごくわずかであったと報告している。

山を登る：カリキュラム強化学習によるフロンティアモデルへのプロンプトインジェクション・レッドチーミング

2026-09-27T00:00:00+09:00

Climbing the Hill: Prompt Injection Red-Teaming Against Frontier Models with Curriculum Reinforcement Learning arXiv · 2026年9月27日本論文は、大規模言語モデルやエージェントに対する主要なセキュリティリスクであるプロンプトインジェクションを扱います。攻撃用LLMが最先端モデルに対してすべて失敗し学習信号が得られない冷間開始問題に対し、段階的に堅牢化する目標モデルに順に対抗させるカリキュラム学習手法を提案しています。AgentDynにおける攻撃成功率（ASR@10）は、GPT-5.6-Lunaに対して93.8%、GPT-5.6-Terraに対して45.0%と報告されており、RL-HammerやPISmithなどの既存手法は同条件で0%です。

強化学習の後では蒸留防御が容易に破られる

2026-09-29T00:00:00+09:00

Distillation Defenses Easily Break After Reinforcement Learning arXiv · 2026年9月29日本論文は、クローズドソースの大規模言語モデルの推論能力を複製する蒸留攻撃とその防御を検討しています。既存の防御は蒸留直後にのみ評価されることが多い一方、攻撃者が強化学習でさらに学習させる場合を考慮すると、一部の防御は破られうると指摘しています。実験では、現行APIから得られる容易なデータを用いた単純な攻撃でも、完全な隠れた推論トレースを抽出する高度な攻撃と同程度の推論性能向上が得られることを示しています。近似的な推論トレースを再構成できるほどの情報を漏らす防御は、有効でない可能性が高いと結論づけています。

崩壊ハッシュ関数に基づくQMAの簡潔な論証

2026-09-29T00:00:00+09:00

Succinct Arguments for QMA from Collapsing Hash Functions arXiv · 2026年9月29日本論文は、崩壊ハッシュ関数（collapsing hash functions）の存在だけを仮定して、QMAに対する簡潔な論証（succinct arguments）が存在することを示す。公開鍵暗号を含意することが知られていない非構造的なMinicrypt仮定のみに依拠する初めての方式である。主要な技術的貢献は、量子的に簡潔なclaw状態生成プロトコルであり、古典通信のみを用いて少数の量子相関を任意の多数のclaw状態相関へと増幅する。このプロトコルにより、ラウンド複雑度、標準モデルでの証明、全体の簡潔さの点で先行研究を改善し、一方向関数から量子的に簡潔な盲目的委任計算を得て、それを通信圧縮コンパイラに適用してQMAの簡潔な論証を得る。 ★★★★★ 注目：要旨によれば、衝突崩壊型ハッシュ関数のみを仮定してQMA向け簡潔引数を構成し、非構造的なMinicrypt仮定のみに依拠する初の方式とされる。古典通信のみで爪状態を生成する協定は既存より単純で、ラウンド数が少なく、標準模型で証明されると報告されている。

共有アーティファクトに潜むAIウイルス：LLMエージェント間を渡るメモリ跳躍攻撃

2026-09-29T00:00:00+09:00

Share-Borne AI Virus: Memory-Hopping Attacks Across LLM Agents arXiv · 2026年9月29日大規模言語モデルのアシスタントが、レポートなどの共有成果物を介して間接的に情報をやり取りする際のリスクを検討した論文です。悪意ある内容が永続メモリに保存され、後で作られる成果物に再現され、別のアシスタントに読み込まれることで自己伝播が起きます。著者は、人間とエージェントが時間をかけて成果物を交換する模擬環境で、攻撃が複数回の受け渡しを生き延び、何跳びまで届き、どの程度広がるかを測定しました。大規模な模擬環境では、伝播連鎖が8跳に及び、エージェントの60〜80%に広がる結果が示されています。 ★★★★ 注目：共有成果物を介して助手間で自己伝播する攻撃を提示し、著者らはシミュレーションで攻撃が独立した複数の助手に広がり、より大規模な環境で60〜80%のエージェントに8ホップまで到達したと報告している。

INTCC：対話型機密計算のためのフレームワーク

2026-09-29T00:00:00+09:00

INTCC: A Framework for Interactive Confidential Computing arXiv · 2026年9月29日本論文は、信頼できないデータ処理者が信頼実行環境（TEE）内で、人の介入を伴う動的な操作を、データの機密性を損なわずに行えるようにする「対話型機密計算」のパradigmを提案しています。著者らはTEEを対話コントローラと検証可能なランタイムに論理的に分割し、AMD SEV-SNPとConfidential Containersを用いてINTCCフレームワークを実装しました。実験では、LLMのファインチューニングで基準実行に対する追加オーバーヘッドが5%未満、データ分析で17%未満だったと報告されています。

系統認識グラフ境界学習によるスマートグリッドの偽データ注入と不安定運転の検出

2026-09-29T00:00:00+09:00

Detecting False Data Injection and Unstable Operation in Smart Grid via System-Aware Graph Boundary Learning arXiv · 2026年9月29日本論文は、安定した運転条件のみから安定領域を学習し、単一の異常スコアで信頼できない報告構成を検出するグラフ学習フレームワーク StarGNN を提案する。各構成は生産者・消費者の星型グラフとして表現され、反応時間と価格応答パラメータを摂動させて物理制約付きの擬似負例を生成する。未知の偽データ注入（FDI）攻撃9シナリオで評価され、安定構成に対する攻撃検出率は0.780から0.973、攻撃後の不安定構成に対する再現率は0.972から0.999であった。

スカラープローブを超えて：ReLUネットワークのベクトル出力を利用した署名抽出

2026-09-29T00:00:00+09:00

Beyond Scalar Probes: Exploiting Vector-Valued Outputs in ReLU Networks For Signature Extraction arXiv · 2026年9月29日本論文は、ReLUネットワークの暗号解析的抽出を幾何学と代数の観点から再検討する。単一の出力成分だけでなく、隣接する線形領域にまたがる出力ベクトル全体の振る舞いを扱い、ヤコビアン差分のランク1の特徴づけを示す。これにより通常の行署名情報に加えて、補完的な列側の情報も得られる。実験では、この追加構造が抽出に利用でき、float64、float32、float16といった異なる数値精度下で数値推定を改善することが示されている。さらに、文献で一般的な高精度・出力丸めの設定を超えて、実用上多い低精度の設定へも分析を広げている。

大規模言語モデルによる暗号プロトコルの自動セキュリティ証明：現状と課題

2026-09-29T00:00:00+09:00

LLM-Assisted Automatic Security Proofs for Cryptographic Protocols: How Far Are We? arXiv · 2026年9月29日本論文は、最先端の大規模言語モデル（LLM）による暗号記号プロトコル検証の能力を初めて体系的に評価したものです。証明骨格に基づく指標 CRoST（Coverage Rate of Solve Tree）を提案し、生成された補題と参照補題の類似度を測定します。平均カバー率は 38.82%、カバー率80%超の補題は 14.4% で、一定の有用な補題を生成できることが示されました。一方、複雑な多段階プロトコルでは失敗が見られ、単純なスケーリングでは効果が逓減し、検証コストも大きいことが報告されています。

置換の和の識別不能性：古典および量子安全性に対するフーリエ解析的アプローチ

2026-09-29T00:00:00+09:00

Indistinguishability of Sum of Permutations: A Fourier Analytic Route to Classical and Quantum Security arXiv · 2026年9月29日本論文は、有限アーベル群上の独立なランダム置換の和および関連する変換について、古典および量子クエリモデルにおける識別不能性を研究している。フーリエ解析の手法により統一的に扱い、クエリ回数に依存する安全性の上界を示している。さらに、二進ベクトル空間上の線形後処理や、Dinurの可変出力単一置換構成（LXoP）も分析している。

AIによる脆弱性評価能力とサイバー攻撃グラフ分析

2026-09-29T00:00:00+09:00

AI-Based Vulnerability Assessment Capability and Cyber Attack Graph Analysis arXiv · 2026年9月29日本論文は、重要インフラへのサイバーリスクを評価するため二つの手法を組み合わせています。一つはマルチエージェント強化学習とサイバー知識グラフで攻撃経路と手口を特定する手法、もう一つはネットワーク構成と脆弱性からシステム全体のリスクを算出する確率的攻撃グラフモデルです。2015年のウクライナ送電網攻撃を検証事例とし、両手法は同じ運用技術ネットワークに適用した結果、事件記録と一致する攻撃経路を示しました。産業制御システムが攻撃伝播の重要な要因であり、優先的な強化が必要とされています。

「何も見ていない」：LLM成果物の修正痕跡による意図しない情報漏えい

2026-09-29T00:00:00+09:00

"Nothing to See Here'': Unintended Disclosure through Revision Traces of LLM Deliverables arXiv · 2026年9月29日本論文は、大規模言語モデルが文書作成を支援する際、削除した機密情報を修正説明の中で再び書き出してしまう問題を扱います。公開対話コーパスの分析では、修正要求の約8.8%で修正痕跡が残ることが確認されました。受信者が成果物だけを読んでも、撤回された項目の一部（約13%）を復元できると報告されています。さらに、防御策の比較と、漏えいを抑える出力側フィルタが提案されています。

Planarian：ステートポイントによるエージェント状態の管理

2026-09-29T00:00:00+09:00

Planarian: Managing Agent State with Statepoints arXiv · 2026年9月29日本論文は、状態管理機能を備えたエージェント実行基盤Planarianを提案します。復元可能な時点版の環境状態である「ステートポイント」を導入し、エージェントやユーザーが誤った操作を取り消したり、複数の代替実行を並行して試したりできるようにします。スナップショット、ロールバック、フォークの3つの基本操作を提供し、リモートの状態変更は補償アクションで取り消します。論文によれば、タスク品質は最大15倍向上し、ユーザーによる誤操作の回復オーバーヘッドは3%にとどまります。

自動化・クラウドネイティブ編成による QKD-PQC ハイブリッドネットワークのエミュレーション基盤

2026-09-29T00:00:00+09:00

Hybrid QKD-PQC Network Emulation through Automated and Scalable Cloud-Native Orchestration arXiv · 2026年9月29日本論文は、量子鍵配送（QKD）ネットワーク向けのオープンソース・エミュレーション基盤 Quditto を、QKD と耐量子暗号（PQC）を組み合わせたハイブリッドネットワークに対応させる方法を提案しています。提案基盤は、クラウドネイティブのオーケストレータ、大規模展開向けの最適化されたプロビジョニング、後量子ノードの統合、鍵管理モジュールを備えます。典型的な spine-leaf 構成での実験では、編成時間がネットワーク規模に対して劣線形に増加し、エンドツーエンドでのハイブリッド鍵確立に成功したことが示されています。

量子ネットワークにおけるゼロ知識証明

2026-09-28T00:00:00+09:00

Zero Knowledge Proofs in Quantum Networks arXiv · 2026年9月28日本論文は、運用上の制約下での量子状態の識別不可能性に基づくゼロ知識検証の枠組みを提案しています。局所操作による基本的制約を利用して、検証者は状態に関する情報を取得できない一方で、正しさを検証できることを示しています。さらに、多者間量子ネットワーク向けの具体的なプロトコルを構成し、情報理論的安全性を実現しています。

持続的参加をセキュリティ資源とする：有界参加チャネル（BPC）

2026-09-28T00:00:00+09:00

Sustained Participation as a Security Resource: The Bounded Participation Channel arXiv · 2026年9月28日本論文は、時間ウィンドウごとに各IDの参加を繰り返し検証する形式的な基本要素「有界参加チャネル（BPC）」を提案しています。厳しい期限のもとでIDに結び付いた新しい課題を出し、s個のIDをT個のウィンドウにわたって維持するには少なくともsT/τ_h個の参加チャネル・ウィンドウが必要だという費用の下限を示します。三つのAIモデルは知覚課題で97〜100％の正答率を示しましたが、試験条件下では処理量に上限がありました。

ソフトウェア提供の意思決定ゲートのためのエージェント型セキュリティ監査器の継続的保証

2026-09-28T00:00:00+09:00

Continuous Assurance of Agentic Security Auditors for Software Delivery Decision Gates arXiv · 2026年9月28日本論文は、継続的インテグレーションのパイプラインでセキュリティ統制として使われる大規模言語モデルベースのリポジトリ監査器について、その保証を継続的に維持する手法を提案する。方針、証拠、実行を分離する「Policy-Evidence-Execution Separation Pattern」を、TAIP保証エンジンとして実装し、CCPAとして運用するとしている。評価では、未修正のRepoAuditを固定のPython空ポインタ参照ベンチマークで用い、2種類のOpenAIモデル構成による80回の実行記録を使用した。単一ホストでの測定では、1,000の独立した保証コンテキストに対する全体の再計算は最大1.62秒で、事前に定めた5秒の予算内に収まったという。

市販ハードウェアとオープンソースソフトによるデータダイオードの実装

2026-09-28T00:00:00+09:00

Implementing Data Diodes Using Commodity Hardware and Open Source Software arXiv · 2026年9月28日データダイオードは一方向にしかデータを送れないネットワーク機器で、高度なサイバー攻撃への防御に使われ、主に原子力発電所や政府機関に導入されています。本論文は、その機器を市販の光ファイバー網機器で組み立てられることを示し、受信側が再送を要求できないためパケット損失の抑制が必要だと指摘しています。損失の多くは受信プログラムの処理が遅いことが原因で、しばしば集中して発生することが測定されました。さらに、netcat、UDPcast、lidiの3つの既存ソフトを検証し、UDPcastとlidiには信頼性の高い設定を見つけ、成果をクロスプラットフォームのpydiodeに組み込みました。

ポスター：ProofWeave に向けて――継続的なエージェント保証のための、プライバシー最小化・完全性アンカー型証拠基盤

2026-09-28T00:00:00+09:00

Poster: Towards ProofWeave: A Privacy-Minimised, Integrity-Anchored Evidence Plane for Continuous Agentic Assurance arXiv · 2026年9月28日本論文は、エージェントAIシステムの記録時点での証拠連鎖の概念であるProofWeaveを提案しています。ポリシーに関わる各動作の境界で、エージェントの意図、制御の応答、時点のポリシースナップショットを結び付けた、プライバシーを最小化し完全性を固定した証拠トランザクションを生成し、追記専用台帳に記録します。機密情報を未承認の外部送信先に送る場面で、ログのみを用いる基準手法と比較したところ、判定ごとの候補バインディング数、検証操作数、証拠の保存容量のいずれも大幅に減少しました。

TANGO：マスク拡散言語モデルのトークン対への電子透かし

2026-09-28T00:00:00+09:00

TANGO: Watermarking Masked Diffusion Language Models in Token Pairs arXiv · 2026年9月28日本論文は、マスク拡散言語モデル向けの文章用電子透かし手法TANGOを提案します。新しく生成するトークンを、すでにマスクが解除された近くのトークンと組み合わせ、秘密鍵で語彙を色のクラスに分け、鍵と近傍トークンの色で決まる色へ新トークンを偏らせます。検出には文章と鍵のみが必要で、解除順序は仮定しません。2つのモデルで、未編集の透かし文章はほぼすべて、編集済みのものも多くを検出でき、固定の緑リストを狙う頻度攻撃は効きませんでした。

OT-PCA：オフラインテンプレートを用いたHQCに対する新たな平文検査オラクル型サイドチャネル鍵回復攻撃

2026-09-28T00:00:00+09:00

OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates arXiv · 2026年9月28日本論文は、ハミング準巡回符号に基づく耐量子暗号方式HQCを対象とした、平文検査（PC）オラクルによるサイドチャネル攻撃手法OT-PCAを提案する。公開されているHQC復号器を呼び出してオフラインテンプレートを構築し、遺伝的アルゴリズム型の手法で最適化する。シミュレーションでは、既存手法と比べてオラクル呼び出し回数が大幅に減少し（hqc-128で2.4倍）、オラクル精度が95%に低下した場合でも頑健であることが示された。ARM Cortex-M4マイコン上での電力解析による実機評価も行われている。

LLM コーディングエージェントの軌跡レベルにおけるセキュリティ負債の研究

2026-09-28T00:00:00+09:00

Trajectory-Level Security Debt in LLM Coding Agents arXiv · 2026年9月28日本論文は、LLM コーディングエージェントが解決策を提出するまでに経る多数の中間コード状態に注目し、最終成果物だけを評価してもセキュリティ所見の推移は測れないと指摘します。著者はセキュリティ負債線積分（SDLI）を提案し、エージェントが新たな最良のテスト合格率に到達した時点で静的解析リスクを累積します。四つの静的アプリケーションセキュリティテストツールを用い、SWE-bench、ProgramBench、MirrorCode の複数の実行結果を分析しています。本論文は、これらの結果はスキャナーの検出結果であり、検証済みの脆弱性率ではないと明記しています。

有効なツール呼び出しが意味を変えるとき：LLMエージェントのための形成一貫ディスパッチ

2026-09-28T00:00:00+09:00

When Valid Tool Calls Change Meaning: Formation-Consistent Dispatch for LLM Agents arXiv · 2026年9月28日本論文は、エージェントがモデルから見えるインターフェースに基づいてツール呼び出しを作成する一方で、実際の実装はホストが後から選択するため、標準的なディスパッチでは記述子とハンドラの関係が考慮されないと指摘します。同じ呼び出しでも、リリース、再接続、承認の遅延時に安全上の効果が変わりうることを、著者はスキーマエポック・ドリフトと呼んでいます。提案手法の形成一貫ディスパッチ（FCD）は、実装解析と実行権限を結び付け、32の公式リリースのうち29では版固有の変更が不要で、3つは段階的に扱われたと報告しています。

SLH-DSAの代替となるTCitHベース方式：Mirathの横断的ASIC設計

2026-09-28T00:00:00+09:00

Efficient TCitH-Based Alternatives to SLH-DSA: Cross-Layer ASIC Design of Mirath arXiv · 2026年9月28日量子コンピュータがもたらす安全性リスクに対応するため、NISTはML-DSA、FN-DSA、SLH-DSAなどの耐量子署名方式を標準化しており、SLH-DSAの代替として格子以外の候補方式も評価しています。本論文はTCitHベースの署名方式Mirathを対象に、アルゴリズムとハードウェアを組み合わせた横断的手法により、RISC-Vベースのシステムに実装したASICを提示しています。同じ22nm FD-SOIプロセスで実装したSLH-DSAのASICと比べ、署名遅延は17.8倍低く、総セル面積は58%少ないとしています。

『まだそこにあるが、もう見えない』：大規模視覚言語モデルにおける圧縮に起因するリスクの解明

2026-09-28T00:00:00+09:00

Still There, No Longer Seen: Exposing Compression-Induced Risk in Large Vision-Language Models arXiv · 2026年9月28日本論文は、大規模視覚言語モデルの推論コストを下げるために視覚トークンを圧縮した際に生じるリスクを検討しています。完全なトークンでは正しく、圧縮後に失敗する敵対的入力を「圧縮特有の失敗」と定義しています。これに基づき、視覚エンコーダのみにアクセスできる条件で画像を摂動させる攻撃手法CIRAを提案しています。防御手法によりCIRAはある程度抑えられるものの、適応型攻撃では効果が部分的に回復すると報告されています。

分円剰余類：素数冪法における隠れ部分群と量子ふるいアルゴリズム

2026-09-28T00:00:00+09:00

Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli arXiv · 2026年9月28日本論文は、耐量子暗号の基盤となるLWE問題に関し、二面体剰余類問題（DCP）を分円に一般化した分円剰余類問題（CCP）を提案し、正確な隠れ部分群構造を保つことを示しています。著者らはπ進イデアル鎖を利用した量子ふるいを構成し、素数pと法q=p^tについて2^{O_p(log n log q)}の時間・サンプル数で解けるとしています。ただし、この結果だけでは標準LWEに対する準多項式時間アルゴリズムは得られないと明記されています。

行動の前に状態を変える：欺瞞的なインターフェースにおけるWebエージェントの先読み状態介入

2026-09-28T00:00:00+09:00

Before Acting, Change the State: Prospective State Intervention for Web Agents under Deceptive Interfaces arXiv · 2026年9月28日LLMベースのWebエージェントはユーザーのタスクを自律的に完了できますが、欺瞞的なインターフェースによって、ユーザーの利益に反する結果へと誘導される恐れがあります。本論文は、タスクに適した行動であっても、現在のWeb状態によって無許可の結果を生じうるという新たな失敗モードを指摘します。提案手法Veerは、提案された行動が無許可の結果を生む場合に、安全な状態へ向かう先読み介入の軌道を構築し、実環境を変更する前に実行と検証を行います。TrickyArenaとWebDeceptでの評価では、3つの評価設定すべてで安全なタスク完了率が最も高く、WebDeceptにおけるダークパターンの成功率は0.3%まで低下しました。

JevVibe：分類誘導による効率的な安全なコード生成（セキュアコード生成の改善手法の説明）

2026-09-28T00:00:00+09:00

JevVibe: Efficient Classification-Guided Secure Code Generation arXiv · 2026年9月28日大規模言語モデルが生成するコードには、機能的には正しくても脆弱性が含まれることがあります。本論文は、CWE（共通脆弱性タイプ一覧）ラベルを候補から直接選んで確率を返す判定モデルJevを提案し、6つのオープンウェイトモデルおよびGPT-5.6-Solと比較しています。さらに、Jevの診断結果を用いて脆弱性を修復するエージェントJevVibeを構築し、安全性テストの通過率を63.5%から70.7%に改善したと報告しています。

DGF-Bench：マルチエージェント型ガバナンス委員会に対する欺瞞をシミュレーションし監査するためのベンチマーク

2026-09-28T00:00:00+09:00

DGF-Bench: A Benchmark for Simulating and Auditing Deception Against Multi-Agent Governance Boards arXiv · 2026年9月28日本論文（arXiv）は、言語モデルを用いたエージェントの委員会が合成された案件資料を審査する際、攻撃者が組織の保証しない証拠に欺瞞的な内容を埋め込む状況をシミュレーションするベンチマーク「DGF-Bench」を提案しています。多くのモデルは大半の関門で正しい判断を下しましたが、組織自身の手続きを模倣する「タスク整合型」攻撃では、一部モデルの正答数が大きく低下しました。あわせて攻撃を防いだ割合を示すDGFスコアと、一つのコマンドで算出できるオープンソースパッケージdgf-benchが紹介されています。

エージェント軌跡のセキュリティを判定するJEV：生成型LLM判定器との実証比較

2026-09-28T00:00:00+09:00

JEV as a Judge for Agent Trace Security: An Empirical Comparison with Generative LLM Judges arXiv · 2026年9月28日本論文は、ツールを利用するエージェントの行動履歴（軌跡）の安全性評価を扱い、型付き決定モデルJEVと4つの生成型LLM判定器を比較しています。4つのベンチマーク、計5,219件の軌跡で評価した結果、JEVの平均陽性クラスF1は77.8で、最良の生成型構成GLM-5.2の74.1を上回りました。JEVの成功呼び出しの中央値レイテンシは0.99秒、有効な判定1件あたりの推定コストは平均0.000195ドルで、著者らはこれを適正価格の筛査シグナルとして支持しつつ、適合率と再現率のトレードオフがあると述べています。

物理的検証付き連合学習：重要な水インフラにおける協調的異常検知の保護

2026-09-28T00:00:00+09:00

Physics-Attested Federated Learning: Securing Collaborative Anomaly Detection in Critical Water Infrastructure arXiv · 2026年9月28日本論文は、連合学習におけるデータ改ざん（ポイズニング）への対策として、保存則やアクチュエータ結合などの物理プロセス不変量を、自動的に学習した上で連合更新の検証可能な受け入れ条件として用いる手法を提案しています。SWaT・WADI の二つの水処理実験系と BATADAL 配電ベンチマークで、七種の集約規則を、テレメトリの捏造、リプレイ型ポイズニング、不変量を考慮した適応攻撃に対して評価しています。さらに、ゼロ知識証明（zk-SNARKs）を用いて、運用テレメトリを明かさずに不変量への適合を証明する方法も示しています。

現代の画像電子透かしチャネルの最適化と安全性の強化

2026-09-28T00:00:00+09:00

Optimizing and Securing the Modern Watermarking Channel for Images arXiv · 2026年9月28日生成コンテンツのトレーサビリティを求める最近の規制に対応するため、現代の電子透かしはエンコーダ・デコーダ対からなる事後型マルチビット方式を採用しています。本論文は、これらの深層ニューラルネットワークが並列AWGNチャネル（BPSK変調）として暗黙に定義する透かしチャネルを統計的に分析し、そのため容量が制限され、秘密鍵がないため安全性に欠けることを示します。その理論に基づき、容量で既存の最先端手法を大きく上回り、強い安全性保証をもつSNWを提案しています。 ★★★★ 注目：著者らは統計モデルにより、深層水印の符号化器・復号器がBPSKの並列AWGNチャネルとして表せると述べ、安全性を鍵推定可能性と結びつけた。提案方式SNWは容量で既存手法を上回り、香農限界に近い速率に達すると報告している。

StallGrid：OTプロトコル内で走査者を足止めするタールピットとインターネット露出下での交流の計測

2026-09-28T00:00:00+09:00

StallGrid: Measuring Internet-exposed Engagement in Protocol-Native OT Tarpits arXiv · 2026年9月28日本論文は、著者らの知る限り初めてOT/ICS向けのアプリケーション層タールピットであるStallGridを提案します。Modbus例外コードとIEC-104の接続状態を用いて、スキャナーを正規のプロトコル内で足止めします。5つの変種を24日間運用し、6,709セッションと2,000時間を超える累計接続時間を記録しました。パッチ適用が難しい工業環境での補完的な防御策として位置づけられています。

AuxMark：補助的な行動ウォーターマークによる無許可のエージェント蒸留への対策

2026-09-28T00:00:00+09:00

AuxMark: Defending Against Unauthorized Agent Distillation via Auxiliary Behavioral Watermarking arXiv · 2026年9月28日本論文は、無許可のエージェント蒸留を追跡するための行動ウォーターマークの枠組みAuxMarkを提案します。教師エージェントの軌跡に安全で本質的でない補助的な行動を動的に挿入し、関連する文脈を非公開の証拠カードとして保存します。疑わしい学生モデルの監査は、真と偽のプローブの組とカード単位の符号検定によりブラックボックスで行われます。三つのエージェントベンチマーク、二つの教師エージェント、四つの学生アーキテクチャでの実験において、論文は48の正常なモデルで誤検出ゼロのまま、蒸留された24のモデルすべてを検出したと報告しています。

SEAD：ツール利用エージェントにおける攻撃と防御の状態ベース視点

2026-09-28T00:00:00+09:00

SEAD: A State-Based Perspective on Attack and Defense in Tool-Using Agents arXiv · 2026年9月28日本論文は、言語モデルエージェントの攻撃と防御を、部分的にしか観測できない状態制御の問題として統一的に定式化している。提案する攻撃手法DARTは、有害な目的を局所的にもっともらしい段階に分解し、ツール実行のフィードバックを用いて軌道探索を導く。防御手法SAGEは、各動作を許可またはブロックする前に、読み取り専用のクエリで関連する状態を調査できる。実験では、DARTが基準手法より意味的攻撃成功率を18.8～35.9ポイント高め、SAGEは記録された軌道で良性の軌道の95.79%を維持しつつ、有害な経路の92.73%を遮断し、オンライン評価ではDARTの実行可能な攻撃成功率を48.0%から4.0%に低下させた。 ★★★★ 注目：攻撃と防御を部分観測状態制御として統一し、DARTによる攻撃分解とSAGEによる事前の只読照会防御を提案。摘要はオンライン評価で攻撃成功率が48.0%から4.0%に下がったと報告している。

CoDeL：LLMエージェントへの間接的プロンプトインジェクションに対する共進化型防御

2026-09-28T00:00:00+09:00

CoDeL: Co-Evolutionary Defense against Indirect Prompt Injection in LLM-based Agents arXiv · 2026年9月28日本論文は、LLMベースのエージェントを間接的プロンプトインジェクション（IPI）から守る訓練型防御手法CoDeLを提案する。防御モデルはLoRAとGDPOを用い、安全性・タスク進行・形式遵守の分離された報酬で更新される。同時に攻撃プローバーが、現在の防御を突破する注入を探索し続ける。3つのベンチマーク、9つのベースライン、2つのベースモデルでの実験により、攻撃成功率を88.5%削減したと報告されている。 ★★★★ 注目：CoDeLは防御者と探索器を共進化させ、攻撃成功率と攻撃遅延で突破可能な注入を発掘して動的カリキュラムを形成する。摘要では3つのIPIベンチマーク・9基線でASRを88.5%削減したと報告。

Windowsマルウェア検出の問題空間における敵対的ロバスト性の包括的評価

2026-09-28T00:00:00+09:00

Breaking Windows Malware Detection: A Comprehensive Evaluation of Problem-Space Adversarial Robustness arXiv · 2026年9月28日本論文は、八つのWindowsマルウェア検出器（オープンソースモデル七種と商用検出器一種）に対して、九つの最新回避攻撃を実行可能性を保った条件で統一的かつ大規模に評価したものです。攻撃の有効性、相補性、転移性、敵対的強化の観点から頑健性を検証しています。検出器の脆弱性はモデル表現と攻撃の種類に強く依存し、すべての攻撃に対して一様に頑健な検出器系統は見つかっていないと報告しています。

ReproBench：LLM エージェントによるゼロからの脆弱性再現能力のベンチマーク

2026-09-28T00:00:00+09:00

ReproBench: Benchmarking LLM Agents on Reproducing Vulnerability From Scratch arXiv · 2026年9月28日本論文は、CVE 識別子のみを与えられた LLM エージェントが、環境構築から脆弱性の再現までを一貫して行えるかを評価するベンチマーク ReproBench を提案する。再現工程を六つのフェーズに分け、それぞれを検証可能な成果物で評価する。30 件の実世界 IoT ファームウェア脆弱性で評価した結果、テスト実行の 45.3% が脆弱性のシミュレーションに頼り、実際の脆弱性を再現できたのは 5.3% の CVE-モデル組み合わせにとどまった。

置換のXORの量子安全性をフーリエ解析で解析する論文

2026-09-28T00:00:00+09:00

Quantum Security of XOR of Permutations via Fourier Analysis arXiv · 2026年9月28日本論文は、独立なランダム置換のXOR（XoP）が、重ね合わせで問い合わせる量子攻撃に対してどの程度安全かを調べたものです。任意のq回の量子問い合わせに対する識別優位性の上界を示し、q が 2^n より十分小さい範囲で、XoP がランダム関数と区別しにくいことを証明しています。証明はフーリエ解析版の多項式法によります。また、上界がほぼ最適であることを示唆する簡単な攻撃も提示されています。 ★★★★★ 注目：ランダムな置換のXORからなる関数が、q回の量子問い合わせに対してランダム関数と区別しにくいことを著者らは示し、フーリエ多項式法で低次成分を扱ったとしている。量子下で誕生日限界を超える置換構成として初めての結果だと述べている。

エージェントが行動する前に：分散システムにおける証拠取得のための保証考慮型セマンティックスケジューリング

2026-09-28T00:00:00+09:00

Before Agents Act: Assurance-Aware Semantic Scheduling for Evidence Acquisition in Distributed Systems arXiv · 2026年9月28日本論文は、定足数・多様性・鮮度・期限・資源の制約下で証拠の見届け先を選択し実行順序を定めるAAS（Assurance-Aware Semantic Scheduling）を提案します。生成した三つのインフラ作業負荷による制御されたシミュレーションでは、有効な候補が1,200件中1,075件となり、制約考慮型の前向きスケジューリングの647件を上回りました。また、古い候補は440件から12件に減少しました。著者らは、これらは仮想実験の結果であり、有界オラクルと時間探索部品を共有しているため、実運用システムへの適用はまだ検証されていないと述べています。

RADNPO：LLMアンラーニングのための参照不要な適応型負の選好最適化手法

2026-09-28T00:00:00+09:00

RADNPO: Reference-free Adaptive Negative Preference Optimization for LLM Unlearning arXiv · 2026年9月28日大規模言語モデルは事前学習中に機密情報・個人情報・著作権保護対象の内容を記憶する可能性があり、特定の知識を除去するための機械的アンラーニングが必要です。本論文は、忘却対象の確率を抑制しつつ次トークン分布の再配分を明示的に誘導するRADNPO（Reference-free ADaptive Negative Preference Optimization）を提案します。各忘却対象を現在の分布が好む他のトークンと対比させ、対象の確信度と分布の集中度に応じてトークン単位の忘却強度を適応的に調整します。TOFUおよびMUSEでの実験では、既存のベースラインより忘却品質とモデル有用性のバランスが良いことが示されています。

シナリオ型系統負荷予測を用いた長期運用停電計画の研究

2026-09-28T00:00:00+09:00

Long-Term Operational Planning Using Scenario-Based System Load Forecasting arXiv · 2026年9月28日北バージニア州ではハイパースケールデータセンターの拡大により電力需要が急増し、地域の電力会社は送電網の強化が必要になっています。これらの工事には数か月前から計画停電の評価が求められます。従来の方法は月次または季節のピーク負荷に基づいて日ごとに評価するため保守的になりがちで、短時間の停電が延期または却下されることがあります。本論文は、日次・週次・月次の多粒度負荷予測（SARIMA、Prophet、勾配ブースティング、ランダムフォレスト）と自下而上の時間的整合化を用い、従来のピーク基準法と比較しています。その結果、既存の信頼性基準を変えずに、特に短時間の停電要請をより適切に受け入れられることが示されました。

Faultless：ニューラル逆コンパイラの検証と評価のためのプログラム同等性技術

2026-09-28T00:00:00+09:00

Faultless: A Program Equivalence Technique for Validating and Evaluating Neural Decompilers arXiv · 2026年9月28日本論文は、ニューラル逆コンパイラに対して翻訳検証とモデル評価を行うためのプログラム同等性技術「Faultless」を提案している。決定的逆コンパイラの出力（より強い正しさの性質を持つ）や参照解と、ニューラル逆コンパイラの出力を比較する。既存の手法では扱いにくい、限られた非機能的文脈や逆コンパイル結果の系統的な意味の不一致といった課題に対応するため、静的シンボリック実行に基づき、専用の実行モデルとメモリモデルを用いている。

LoRo-Mark：証明可能に無損失かつ頑健なエージェント透かし手法

2026-09-28T00:00:00+09:00

LoRo-Mark:Provably Lossless and Robust Agent Watermarking arXiv · 2026年9月28日本論文は、LLMエージェントが第三者に再パッケージ化される問題を扱い、正常な機能を損なわずに所有権の証拠を埋め込むLoRo-Mark透かし機構を提案しています。透かしは所有者が許可したリクエストによってのみ有効化される、暗号学的に認証された鑑識分岐に隔離されます。さらに、所有権情報を鑑識用の行動系列に冗長に分散させることで、部分的な行動の置換や系列の切り捨て後も復元できるとしています。複数のLLMエージェントによる実験では、通常タスクの性能低下はゼロで、系列の改変後も所有権を確実に検証できたと報告されています。

GateDrain：信頼度ゲート型エッジ・クラウド推論に対する可用性攻撃と受付側防御

2026-09-28T00:00:00+09:00

GateDrain: Availability Attacks and Admission-Side Defense for Confidence-Gated Edge-Cloud Inference arXiv · 2026年9月28日本論文は、信頼度によるゲート制御を用いたエッジ・クラウド推論が、不確実な入力をクラウドへ転送することで可用性攻撃の対象になり得ることを示します。攻撃手法は GateDrain と呼ばれ、入力への有界な摂動によって信頼度を下げ、本来ローカルで処理されるリクエストを共有クラウドのキューへ誘導します。防御として Bounded Escalation が提案されており、送信元ごとの受付上限、保護された容量、信頼できるクラスの優先などを組み合わせます。ただし集約的な制限を強めると、正当な未認証の転送も拒否される可能性があります。

クラウドソーシング型ファインチューニングのプライバシーの誤解：トピックベースのポイズニングによる独自データの抽出

2026-09-28T00:00:00+09:00

The Privacy Fallacy of Crowdsourced Fine-Tuning: Extracting Proprietary Data via Topic-Based Poisoning arXiv · 2026年9月28日本論文は、大規模言語モデルの監督付きファインチューニング（SFT）で、ユーザー会話をクラウドソーシングしてデータを集める際の新たなプライバシーリスクを検討しています。悪意あるユーザーが少量のデータを汚染（ポイズニング）し、他のユーザーが提供した未見の指示の抽出を増幅できるかを調べています。実験では、ブラックボックスかつ出力のみにアクセスできる条件で、4つのモデルと2つのデータセットを用いて評価しています。結果として、50件の汚染サンプルで、Qwen2.5-14B（OpenMathInstruct）では汚染なしの3.71倍、Llama-3.1-8B（AceReason）では3.08倍のほぼ逐語的な抽出率に達しました。また、データフィルタリングによる汚染サンプルの検出は効果が限定的でした。

TrackFlood：遅延攻撃をNMS不要の検出器からリアルタイム追跡器へ移す手法

2026-09-28T00:00:00+09:00

TrackFlood: Relocating Latency Attacks from NMS-Free Detectors to Real-Time Trackers arXiv · 2026年9月28日本論文は、物体検出器に対する遅延攻撃を扱います。攻撃者の目的は予測を誤らせることではなく、システムが時間内に応答できなくすることで、自動運転などのリアルタイム用途を対象とします。提案手法TrackFloodは、NMS不要の検出・追跡パイプラインに対する白箱の過負荷攻撃で、検出器の推論は変えずに追跡器を大量の架空検出で溢れさせます。Jetson AGX Orin上での評価では追跡器の遅延が大きく増加し、負荷を制限する受付層も検討されています。 ★★★★ 注目：NMS-freeの検出器が遅延攻撃に強いわけではなく、攻撃面は下流の多物体追跡に移ると指摘し、Jetson上でTrackFloodによりトラッカー遅延の大幅増加を報告。標準予算では端対端の減速は限定的。

A2A-ForensicTrace：改ざん検知可能なA2A実行証跡のオフライン検証

2026-09-28T00:00:00+09:00

A2A-ForensicTrace: Offline Verification of Tamper-Evident A2A Runtime Evidence arXiv · 2026年9月28日本論文は、Agent2Agent（A2A）の実行記録をオフラインで検証する層「A2A-ForensicTrace」を提案します。実行時の観測結果を型付きレコードに変換し、プロトコル上の関係性を導出して、インシデント追跡のルートハッシュで確定させます。Ed25519で署名された受領証がルートとキャプチャのダイジェストをインシデント文脈に結び付けます。公式A2A SDKによる240回の実行（条件実行120回と対照実行120回）で評価され、条件実行はすべて想定どおりの結果を返し、対照実行では指摘は出ませんでした。

トレーニング証人：訓練者を信頼せずに訓練過程を検証する仕組み

2026-09-28T00:00:00+09:00

Training Witnesses: Trusting the Training without Trusting the Trainer arXiv · 2026年9月28日本論文は、ニューラルネットワークの訓練・データ利用・評価を認証する手法「Witnesses」を提案しています。高速な振る舞いのフィンガープリントと、時折行う再実行による検証によって訓練を監査し、訓練者側の負担は小さく、検証者側のコストも低く抑えられます。1億から20億パラメータ規模の言語モデルで評価され、データの包含・除外を正確に照会できることも示されています。また、自動認証された訓練結果の共有ランキングも紹介されています。 ★★★★ 注目：行動フィンガープリントと時折のリプレイ検証で学習過程を監査する手法を提案し、著者らは100Mから2Bの言語モデル、DDPおよびFSDPで低オーバーヘッドを示したとしている。

A2A-CaseVerify：組織横断型A2Aワークフロー向けのMerkleリンク式ケース証拠検証

2026-09-28T00:00:00+09:00

A2A-CaseVerify: Merkle-Linked Case-Evidence Verification for Cross-Organization A2A Workflows arXiv · 2026年9月28日本論文は、A2Aランタイムのオブジェクト、業務イベント、型付きの支持関係を有向のケース証拠グラフに対応付け、決定論的なMerkleルートで確約する、オフラインで動作する決定論的検証器A2A-CaseVerifyを提案します。検証器は保護チェックとプロファイル固有の再構成チェックがすべて通過した場合にのみSUPPORTEDを返します。標準的な医療プロファイルのバンドルと13件の制御された改ざんで評価され、改ざんはすべて拒否されました。公式Python A2A SDKで生成したバンドルも受理されています。

近似重複ファミリーが個別レコードのメンバーシップ推論を誤らせる問題

2026-09-28T00:00:00+09:00

Near-Duplicate Families Break Exact-Record Membership Inference arXiv · 2026年9月28日メンバーシップ推論は、特定のレコードが学習データに含まれていたかを判定する手法で、データの出所確認や著作権監査の根拠として使われつつあります。本論文は、ウェブ規模のデータに含まれる近似重複がこの判定を混乱させることを示します。CC-Newsでは、クリーンな参照に基づくLiRA監査手法が、本来学習に使われていない完全一致レコードの99.70%を、誤検知率1.00%で学習済みと誤判定しました。モデルのみに基づく肯定的な証拠は、ファミリー単位の露出は示せても、個別レコードの出所は確定できない、という結論です。 ★★★★★ 注目：四世界監査枠組みを提案し、近似重複ファミリーがメンバーシップ推論を大きく誤らせることを示す。著者らはCC-Newsで、クリーン参照LiRA監査が家族の存在する精確な非メンバーの99.70%をメンバーと判定したと報告し、制御介入により分類と自己回帰言語モデリングで効果が異なると述べている。

プロンプトの匿名化は大規模言語モデル事業者からユーザーの身元を守れるか？

2026-09-28T00:00:00+09:00

Can Prompt Anonymity Protect Your Identity From LLM Providers? arXiv · 2026年9月28日本論文は、ユーザーの身元とプロンプトを切り離す匿名プロキシ方式でも、プロンプト内容は事業者に見えたままである点を検証しています。研究者は、SWE-ChatとWildChatの実データから17万5千件を超える多ターンのユーザープロンプトを集めたベンチマークPromptAnonBenchを作成しました。テキストベースの防御を適用した場合でも、ユーザー集合外の誤受理率10%の条件で、攻撃者が少なくとも1件の匿名化された会話を正しく再識別できる割合は、SWE-Chatで50〜75%、WildChatで最大10%に達すると報告しています。

「効率に無料のランチはない」：学習効率とモデルの脆弱性のトレードオフを再検討する論文です。

2026-09-28T00:00:00+09:00

No Free Efficiency: Revisiting the Trade-off Between Training Efficiency and Model Vulnerability arXiv · 2026年9月28日本論文は、学習効率とモデルの脆弱性とのトレードオフを分野横断的に体系的に調べたものです。視覚モデルと言語モデルの両方で、効率志向の学習は敵対的攻撃やプライバシー攻撃への感受性を高めることを示しています。モデル内部の損失面の形状と表現構造の分析から、効率化された変種はより鋭い損失面と系統的な表現の変化を示すことが分かりました。さらに、簡略化された強化学習（zero RL training）で学習したモデルは、従来のアラインメント手法より破滅的忘却を起こしやすく過信しやすいとされています。著者らは、性能・コスト・安全性を同時に最適化する多目的学習への転換を提唱しています。

安定性の代償：オニオンサービスの長期間導入回路を用いた匿名性解除攻撃

2026-09-28T00:00:00+09:00

The Cost of Stability: Deanonymizing Onion Services Long-Lived Introduction Circuits arXiv · 2026年9月28日本論文は、Torのオニオンサービスが使う長期間固定の導入回路（introduction circuit）を悪用する交差（intersection）攻撃を提案している。攻撃者はTorリレーを1台ずつ観察するだけで、オニオンサービスのネットワーク上の位置を特定できるとされる。著者らは実際のTorネットワーク上で、自ら運用したサービスに対して9回のエンドツーエンド実験を行い、毎回Torの回路全体を再構築できたと報告している。対策として、公開情報を変えずに内部の導入回路を定期的に再構築する仕組みを提案している。 ★★★★★ 注目：公開された介在回路が18〜24時間固定される設計を利用して交差攻撃を提案し、一度に一つのリレーのみを観測する攻撃者がオニオンサービスのネットワーク上の位置を特定できるとしている。著者らは実Tor網での九回のエンドツーエンド実験で全実行において完全な回路を再構成し、中央値約2.2時間と報告しており、内部の介在回路を定期的に再構築する緩和策も提案している。

RAISE：記号評価によるLLMのアクセス制御ポリシー合成の強化

2026-09-28T00:00:00+09:00

RAISE: Reinforcing Access Control Policy Synthesis in LLMs via Symbolic Evaluation arXiv · 2026年9月28日本論文は、Cedarポリシー合成の学習と評価に用いるデータセット CedarInstruct を提案しています。5,800件のシナリオ（44領域）を含み、検証済みの目標ポリシーと実行可能な検証計画が付いています。著者らは、検証済み教師ありファインチューニングと検証器の信号を用いる強化学習の二段階からなる RAISE を提案し、中でも RAISE-OC が保留シナリオで Qwen3.5-9B を、ゼロショットのGPT-6 AstraおよびClaude Opus 5を上回る水準に引き上げたと報告しています。また、この効果は独立に構築されたCedarBenchへも転移したとされています。

トークンは変わっても構造は残る：生成音声向けのスペクトル電子透かし

2026-09-28T00:00:00+09:00

Tokens Change, Structure Endures: Spectral Watermarking for Generated Speech arXiv · 2026年9月28日本論文は、生成過程で直接動作する学習不要のトークンレベル電子透かし手法Redwingを提案します。音声を波形に復号して再エンコードすると、トークンが置き換わり透かしが損なわれる問題（再トークン化）に対処します。観測されたトークン置換からグラフを作り、その基底上で埋め込みと検出を同時に最適化します。Moshiシステムで Mimi による再合成を8回行った後、校正された偽陽性率1%で真陽性率は80.7%となり、KGWの8.3%を大きく上回ります。 ★★★★ 注目：Redwingは再トークン化で生じるトークン置換構造からラプラシアン基底を作り、埋め込みと検出を共同最適化。Moshiで8回のMimi再合成後、TPRは80.7%とKGWの8.3%、WMARの最大7.3%を上回ると報告。

SecProbe：コーディングエージェントのサイバーセキュリティ脆弱性理解を適応的に評価する枠組み

2026-09-28T00:00:00+09:00

SecProbe: Adaptive Evaluation of Coding Agents on Cybersecurity Vulnerabilities arXiv · 2026年9月28日本論文は、項目反応理論（IRT）とリポジトリ規模の脆弱性修正タスクのオンデマンド合成を組み合わせた評価枠組みSecProbeを提案しています。6つのプログラミング言語と151種類のCWEにまたがる353タスクを構築し、9つのフロンティアモデルを2種類のエージェント環境で評価しました。最高成功率は28.33%で、脆弱性の認識と修正に大きな課題があることを示しています。ランダムおよび一回限りの基準と比べ、能力推定の精度は同等で、解くべきタスク数は最大29.5%少なくて済みました。

MAD-Guard：封鎖型マルチモーダル法科学タスクにおける自己回帰生成と直接判定インターフェースの比較研究

2026-09-28T00:00:00+09:00

MAD-Guard: Controlled Study of Autoregressive Generation versus Direct Decision Interfaces for Closed Multimodal Forensic Tasks arXiv · 2026年9月28日本論文は、マルチモーダルモデルで逐次トークンを生成する方式と判定結果を直接出力する方式を、閉じた法科学タスクを対象に比較した研究です。同じ基盤モデルと学習条件で、遅延、キャリブレーション誤差、精度を比較しています。二値直接判定ヘッドは遅延を2.60〜7.27倍削減し、キャリブレーション誤差も下げる一方、精度はわずかに低下します。多タスク化や対照型ヘッドを加えた構成は自己回帰ベースラインを上回ります。五つのベンチマークの評価では、合成画像、迷彩、文書の偽造に強い一方、圧縮された顔の改ざんには明確な限界が示されています。

COGNIT-Guard：遅延と誤検知の制約下で、CPU-NPUの異種置信度カスケードを用いる校正済み直接判定型ガードレール

2026-09-28T00:00:00+09:00

COGNIT-Guard: Calibrated Standalone Direct-Decision Guardrails with Heterogeneous CPU-NPU Confidence Cascading under Explicit Latency and False-Positive Constraints arXiv · 2026年9月28日本論文は、大規模モデルへの入力を処理する前にプロンプトの安全性を判定するシステム COGNIT-Guard を提案します。CPUの高速ゲートと、NPU上の322Mパラメータ双方向判定モデル（Laya-322M）を、置信度に応じて段階的に切り替える構成です。DUCS-Benchの未見テスト分割では正解率98.85%、良性入力の誤検知率0.42%を報告しています。NPU単独の平均遅延は21.77ミリ秒、カスケード構成の平均遅延は41.63ミリ秒です。SafetyBench-ZHでの領域外評価と経験再生による精度回復も検討されています。

覗き見のコスト：ML-KEM 電磁トレースに対する随時有効な漏えい検出

2026-09-27T00:00:00+09:00

The Price of Peeking: Anytime-Valid Leakage Detection on ML-KEM EM Traces arXiv · 2026年9月27日サイドチャネル評価者は測定の途中で漏えい検定の結果を確認し、その結果に基づいて測定を続けるか停止するかを決めることがよくあります。本論文は、明示的な条件付き対称性の帰無仮説のもとで誤警報確率を時間にわたって一様に制御する、賭けに基づく検定（ベッティング検定）による随時有効な漏えい検出を検討しています。公開されている ML-KEM 電磁データセットで、固定期間のランダム化検定と比べ、合成データおよび劣化した録音データでは検出に必要なトレース数が約 1.68〜2.38 倍になりました。劣化のない録音では、監視手続きは中央値 62〜316 トレースで早期に停止しました。

情報ブラックホール：3D点群再構成におけるバックドア機構の探究（点群オートエンコーダへのバックドア攻撃の研究）

2026-09-27T00:00:00+09:00

Information Blackhole: Exploring Backdoor Mechanism in 3D Point Cloud Reconstruction arXiv · 2026年9月27日点群オートエンコーダは3D世界表現の基礎部品ですが、これに対するバックドア攻撃の研究は少ないです。論文は、生成モデルの潜在分布では正常データと悪意あるデータが混ざり合い、再構成結果が元のデータへ引き寄せられると指摘します。著者は情報ブラックホール原理と、ガウス分布制約に基づく適応ガウスマッチング（AGM）を提案し、攻撃の制御性向上を図ります。実験はModelNetとShapeNetPartで行われています。

数値の出所：プロベナンスに基づく侵入検知の評価監査

2026-09-27T00:00:00+09:00

Where the Numbers Come From: Auditing Evaluation in Provenance-Based Intrusion Detection arXiv · 2026年9月27日本論文は、公開されている九つのプロベナンスベース侵入検知の実装を監査し、四つの検知器をそれぞれの自前コードで実行しています。ThreaTrace は近傍への評価を含めると適合率 0.938 となりますが、994 件の警告のうち自身の攻撃ラベルを持つのは 7 件のみです。テストラベルを用いたチェックポイント選択を取り除くと、攻撃検知の適合率は 0.16〜0.33 低下します。また、バッファ再利用の不具合により線形エンコーダに意図しない次数依存の入力が与えられていることも示されています。

人を忘れるとはどういうことか？視覚言語モデルにおける個人レベルのアンラーニング研究

2026-09-27T00:00:00+09:00

What Does It Mean to Forget a Person? Individual-Level Unlearning in Vision-Language Models arXiv · 2026年9月27日本論文は、視覚言語モデル（VLM）における個人レベルのマルチモーダルアンラーニングを評価する初のベンチマーク「IDUnlearn-Bench」を提案しています。各個人を相互に関連したマルチモーダルな証拠として表現し、属性アクセス、身份アクセス、身份バインディング、身份再構築の4つのタスク群で評価します。実験の結果、属性中心の忘却が成功しても身份レベルの知識が大きく残ることや、あるリスクを減らすと別のリスクが増幅しうる非単調な振る舞いが示されました。

HESP：ローカルLLMによるアラート・トリアージ・エージェントで「何を調べるか」と「いつ止めるか」を分離する手法

2026-09-27T00:00:00+09:00

HESP: Separating What to Probe from When to Stop in Local LLM Alert-Triage Agents arXiv · 2026年9月27日セキュリティ運用センターに届くアラートは分析者の処理能力をはるかに超えており、テレメトリを外部のホステッドモデルに送れない組織は、自前のハードウェア上で小型のオープンウェイトLLMによる自動トリアージが必要になります。本論文は、調査手順をモデルの外側で管理するコントローラHESPを提案します。HESPは競合する説明の台帳を保持し、コストあたりの期待情報利得で読み取り専用のプローブを選び、現在の証拠に裏付けられた判定のみを受け入れ、自ら調査を終了できます。5つのオープンウェイトモデル（7B〜72B）による制御された分析環境での7,272件の監査済みエピsoードでは、HESPが検証済み完了率を大きく向上させ、「何を調べるか」と「いつ止めるか」が別個の失敗要因であることを示しました。

オーケストレーション基盤における式サンドボックスの回避研究：列挙・遮断方式の安全性欠陥の分析

2026-09-27T00:00:00+09:00

Weird Machine Compositors: Exploiting AI Orchestration at the Expression Layer arXiv · 2026年9月27日本論文は、オーケストレーション基盤で用いられる「列挙して遮断する」式サンドボックスには構造的な欠陥があると指摘しています。n8n の式サンドボックスに対する段階的な三度の回避で、三件の CVE が確認されたと報告しています。あわせて、信頼の洗浄パターン、AI による列挙の加速、カバレッジ分析手法、オープンソースツール、ブラックリストに代えてホワイトリストを用いる防御策を示しています。

APIシークレットはLLMの語彙のトークンになってはならない：LLMエージェントにおけるAPI認証情報の扱いの脅威分析と、ボールト仲介型実行境界の実証評価

2026-09-27T00:00:00+09:00

API Secrets Should Never Become Tokens in the LLM's Vocabulary: A Threat Analysis of API Credential Handling in LLM Agent Systems and an Empirical Evaluation of a Vault-Mediated Execution Boundary arXiv · 2026年9月27日本論文は、ツール利用型LLMエージェントにおけるAPI認証情報の漏えい経路を分析し、モデルはコネクタ識別子のみを選択し、認証は信頼された要求境界が提供するボールト仲介型の実行構造を提案しています。著者は、Corvic Security Vaultという実装を2つの統制されたブラックボックス実験で評価し、16件のプローブすべてが期待どおりの結果となり、認証情報は検査した各場所に現れなかったと報告しています。一方、集中管理だけでは正しい設定は保証されないという失敗事例も示し、ボールト仲介は必要条件であって十分条件ではないと述べています。

ICCS NGCC 第1ラウンド公開鍵候補の暗号解析

2026-09-27T00:00:00+09:00

Cryptanalysis of the ICCS NGCC Round-1 Public-Key Candidates IACR ePrint · 2026年9月27日本論文は、ICCS 次世代商用暗号（NGCC）第1ラウンドで公開評価に提出された84件の公開鍵候補について、局所的なコード修正では解決できない設計レベルの欠陥8件を検討したものです。これらはNIST耐量子暗号標準化で知られた落とし穴と同様のもので、主に低次の部分環への射影によるIND-CPA安全性の低下、秘密であるべき値を公開データが固定してしまう問題、選択暗号文変換のない静的鍵の再利用、そして拒否サンプリングの符号処理による等価な署名鍵の漏えいなどが含まれます。著者はすべての発見をAI支援のもとで得たと述べ、成果物のリポジトリを公開しています。

ギャップに注意：RPKIの証明と改善

2026-09-27T00:00:00+09:00

Mind the Gap: Proving and Improving RPKI IACR ePrint · 2026年9月27日本論文は、リソース公開鍵基盤（RPKI）に対する初めての厳密なセキュリティ分析を示すものです。RPKIはIETFの標準で、プレフィックスハイジャックやサブプレフィックスハイジャックといった経路攻撃から、ドメイン間ルーティングを守ることを目的としています。著者らはモジュール型のセキュリティ仕様により、RPKIのBGPおよびIPとの相互作用を分析し、目標を達成するための十分条件を示しています。既存の展開は循環依存などの理由で、その条件を常には満たしていないと指摘し、標準に準拠した改善策を提案しています。

EC-HMQV-C と ECMQV に対する強化型の並列攻撃（Embarrassingly Parallel 攻撃）

2026-09-27T00:00:00+09:00

Enhanced Embarrassingly Parallel Attacks against EC-HMQV-C and ECMQV IACR ePrint · 2026年9月27日Sarr（2025年）が提案した、加算ベースの擬似乱歩を用いる並列ななりすまし攻撃を、イニシエータとレスポンダの二者群が対話する多者設定へ拡張した論文です。3つの改良攻撃を示し、それぞれの期待並列実行時間とプロセッサごとのメモリ計算量を導いています。128ビットの ECHMQV-C の例では、理想化された大規模並列環境で改良攻撃の並列時間が78ビットの安全性に相当すると述べられています。

In-the-Head署名に対する実用的なヌル分岐証人攻撃：AIMer v2.0を対象とした暗号解析論文

2026-09-27T00:00:00+09:00

Practical Null-Branch Witness Attacks on In-the-Head Signatures IACR ePrint · 2026年9月27日本論文は、AIM2に基づくAIMer v2.0署名方式に、公開データのみで実行できる偽造攻撃が存在することを示しています。すべてのv2.0パラメータセットで、正直に生成された各公開鍵に対し、署名問い合わせなしで任意のメッセージへの署名を偽造できるとしています。中間値が制約されない零因子を利用してヌル分岐証人を構成し、完全な関係を満たす証人に補完しています。さらに、関係を満たす証人が単方向関数の原像にデコードされるとは限らず、AIMerの安全性帰着に欠陥があることを指摘しています。

FEILIAN型コンポーネントにおける全出力線形構造の完全分類

2026-09-27T00:00:00+09:00

A Complete Classification of Whole-Output Linear Structures in FEILIAN-Type Components IACR ePrint · 2026年9月27日本論文は、FEILIAN SubColumnを含む4ワードのARX構造について、全出力XOR微分が定数となるすべての入力差分を決定しています。任意のワード幅と任意のXOR線形内部写像に対し、線形構造の空間には普遍的な二次元MSBファミリーが含まれ、次元は最大5で、その値は実際に達成されると述べられています。さらに必要十分な分類器を与え、64ビットのFEILIANコンポーネントでは完全な空間がこの普遍的ファミリーに一致することを示しています。ただし、結果はコンポーネント構造と各境界での定数性に関するもので、反復置換の全端点構造の分類やハッシュへの攻撃を示すものではありません。

ランダムオラクルモデルにおける署名長の下限

2026-09-27T00:00:00+09:00

Lower Bounds on Random-Oracle-Model Signature Length IACR ePrint · 2026年9月27日本論文は、ハッシュベース署名方式の署名が長くなる理由を検討する。純粋なランダムオラクルモデルにおいて、非適応的検証者と"ソルト付き健全性"を満たす署名方式に対し、署名長の下限を示す。ワンタイム署名では公開鍵と署名の合計長がΩ(λ²/log λ)でなければならず、多数回署名では署名長のみで同じ下限を満たす必要があるとしている。

一方向関数に基づく、中断箇所を特定可能な閾値署名

2026-09-28T00:00:00+09:00

Threshold Signatures with Identifiable Abort from One-way Functions IACR ePrint · 2026年9月28日本論文は閾値署名方式を提案します。N 人の参加者が署名鍵を分散して保持し、任意の T 人が共同で有効な署名を生成できる一方、T 人未満では生成できません。Lamport 一回限り署名の変種と Shamir 秘密分散を基盤とし、中断が発生した参加者を特定できる性質を持ちます。さらに多層 Merkle 木で複数メッセージに対応し、公開掲示板の仕組みで一回限り鍵の重複利用を防ぎます。

未検証の座標一つで十分：ML-KEMの不完全なFujisaki–Okamoto拒否検査からの鍵回復

2026-09-28T00:00:00+09:00

One Unverified Coordinate Is Enough: Key Recovery from Faulty Fujisaki–Okamoto Rejection Checks in ML-KEM IACR ePrint · 2026年9月28日本論文は、ML-KEMのFujisaki–Okamoto変換における再暗号化検査が誤って実装された場合の安全性を検討しています。一部の導入済み実装では条件付き処理の省略や暗号文比較の切り捨てが起きており、暗号文の座標一つでも未検証であれば、有界誤差の観測から最小二乗法で鍵を回復できることを示しています。規則性の仮定の下での必要な観測数を示し、模擬実装上で三つのパラメータセットすべてにおいて完全な回復を実証しています。 ★★★★★ 注目：未検証の暗号文座標一つで最小二乗法によりML-KEM鍵を復元できるとし、著者はO(kn log kn)回の観測で鍵が識別できる証明を与え、模擬実装で全パラメータ集合の復元を報告している。

局所型擬似乱数生成器（local PRG）に対する改良された暗号解析

2026-09-28T00:00:00+09:00

Improved Cryptanalysis of Local PRGs IACR ePrint · 2026年9月28日本論文は、XorMaj 述語を用いる局所型擬似乱数生成器（PRG）に対する二種類の種（seed）回復攻撃を提示している。局所性が大きい場合には GAS 手法を推測・フィルタ・解法（GFS）へと拡張し、出力が短いときに GAS より大幅に優れることを示す。また、GADec を基にした過滤・推測・伝播（FGP）攻撃も提案され、信念伝播の高速化により GADec を大きく上回るとされる。さらに両手法は XorMod 述語にも拡張され、二つのプロトコルに適用されている。 ★★★★ 注目：局所擬似乱数生成器への種復元攻撃GFSとFGPを提案し、n=256、m=2^16などで著者らはGASやGADecより計算量が大幅に小さいと報告している。

フーリエ解析による置換のXORの量子安全性

2026-09-28T00:00:00+09:00

Quantum Security of XOR of Permutations via Fourier Analysis IACR ePrint · 2026年9月28日本論文は、独立な r 個のランダム置換のXOR（XoP）が量子攻撃者に対してどの程度安全かを扱う。q ≤ 2^n/57774 の問い合わせ範囲で、ランダム関数と区別できないことを示し、量子の誕生日限界を大きく超える。フーリエ解析に基づく多項式法で上界を導き、いくつかの啓発的攻撃によって上界がほぼタイトであることを示唆している。 ★★★★ 注目：独立な乱数置換r≥2個のXORが、量子問い合わせ下で乱数関数と区別できる優位性をq≤2^n/57774の範囲で評価し、量子誕生日限界を超える境界を示したと著者らは報告している。フーリエ解析と圧縮オラクルを用い、ヒューリスティックな攻撃で境界の緊密さを示唆している。

同型暗号LLM推論のための誤差伝播を考慮したスケール設計

2026-09-28T00:00:00+09:00

Error Propagation-Aware Scale Design for Efficient Homomorphic Encryption-Based LLM Inference IACR ePrint · 2026年9月28日本論文は、CKKS方式に基づくプライバシー保護型大規模言語モデル推論の効率化を目的として、誤差伝播を考慮したスケール設計を提案している。各同型演算で生じる数値誤差がTransformerの後続計算へどう伝わるかを解析し、個々の演算に必要な精度を見積もって、スケールとモジュラスレベルを割り当てる。標準的なTransformerではTHORと比べてモジュラス消費を30.0%、ブートストラップ回数を83.6%削減し、HE向けTransformerではPowerFormerと比べてモジュラス消費を33.6%、ブートストラップ回数を80%削減したと報告している。

TPOKÉ：同種写像の共有による POKÉ ベースの閾値公開鍵暗号

2026-09-28T00:00:00+09:00

TPOKÉ: Threshold Public-Key Encryption from POKÉ via Isogeny Sharing IACR ePrint · 2026年9月28日本論文は、Basso と Maino が提案した効率的な同種写像ベース公開鍵暗号 POKÉ（ポケ）をもとに、閾値公開鍵暗号方式 TPOKÉ を提案している。主力の S-TPOKÉ は (t,n) 閾値方式、Ch-TPOKÉ は各参加者の秘密同種写像を鎖状に配置する (n,n) 方式である。単純な並列構成と比べ、暗号化時の計算数を減らし、n が大きい場合は暗号文サイズをおよそ半分にするとされる。

量子アドバイスを伴う安全性の作用素ノルムによるアプローチ

2026-09-28T00:00:00+09:00

An Operator-Norm Approach to Security with Quantum Advice IACR ePrint · 2026年9月28日本論文は、量子ランダムオラクルおよびランダム置換モデルにおける非一様安全性について、作用素ノルムに基づく新しい手法を提案している。この手法により、探索成功確率と識別優位性の双方に対する統一的な帰着が得られ、Yaoのボックスや擬似乱数生成器に対してより厳密な上界が示される。 ★★★★★ 注目：著者は量子ランダム・オラクルとランダム置換モデルにおける非一様安全性のための統一的な演算子ノルム手法を示し、Yaoの箱とソルティングに対するタイトな界と、決定ゲームの従来の界の改善を報告している。

乗法部分群上の Reed-Solomon リストに関する改良された容量近傍の下界

2026-09-28T00:00:00+09:00

An improved near-capacity lower bound for Reed-Solomon lists on multiplicative subgroups IACR ePrint · 2026年9月28日本論文は、乗法部分群上に大きな Reed-Solomon リストを得る初等的な構成法を示しています。固定された有理符号化率に対し、リストサイズの指数の主要項が Arnon、Boneh、Fenzi による対蹠下界の2倍になることを示しています。さらに、S-two ホワイトペーパーの普遍的リストサイズ予想に現れる指数定数 c2 は少なくとも 2 でなければならないと結論づけています。

人と鍵を結び付ける：安全な分散型人格証明プロトコル

2026-09-28T00:00:00+09:00

Binding Humans to Keys: A Secure Decentralized Proof of Personhood Protocol IACR ePrint · 2026年9月28日本論文は、信頼できる中央機関なしにデジタルIDを一意の生身の人間へ暗号学的に結び付ける分散型人格証明プロトコル「S-GYID」を提案する。生体情報の生送信を、暗号ベースのデジタル指紋導出に置き換えることで、身元盗用攻撃とゴーストキー攻撃に耐性を持たせる。さらに三層の世代別権限階層と VRF に基づくセッション選択により長期的な共謀を構造的に制限し、標準的な暗号仮定の下で各耐性を証明するとともに、パラメータ設計の規則を示す超幾何分布によるセッション捕捉分析を行っている。

幾何学的偽造：MAYOに対する構造的暗号解析

2026-09-28T00:00:00+09:00

Geometric Forgeries: Structural Cryptanalysis of MAYO IACR ePrint · 2026年9月28日MAYOはUOVに基づく耐量子署名方式で、whipping変換により公開鍵を小型化しています。本論文は、得られた多変数二次写像の幾何構造を利用する初の構造的偽造攻撃を提示し、Pseudo-Oil攻撃と二元体への降下を組み合わせています。さらに齐次多変数二次写像に対する多目標還元も導入されています。著者らによれば、この組み合わせ攻撃によりMAYO Round 2のレベルI・IIIのパラメータの推定安全ビット数はそれぞれ約18・16ビット低下し、レベルIは要求水準を15ビット下回ります。Round 3のパラメータでも約6・4・2ビットの低下があり、MAYO2は要求水準を3ビット下回るとされています。 ★★★★ 注目：MAYOのwhipping変換が生む幾何構造を利用した初の偽造攻撃と、齐次MQ写像に対する多目的縮約を提案。著者らは第2ラウンドLevel Iが要求安全性を15ビット下回り、第3ラウンドMAYO2が3ビット下回ると報告している。

SUCREによるML-DSAマスキング：拒否サンプリングのためのシャッフル・アンマスク対策

2026-09-28T00:00:00+09:00

ML-DSA masking sweetened with SUCRE: Shuffle-and-Unmask Countermeasure for REjection sampling IACR ePrint · 2026年9月28日本論文は、NISTが標準化した耐量子署名方式ML-DSAの拒否サンプリング段階を物理攻撃から守るための新しい対策SUCREを提案します。マスキング部品がベクトルのアンマスクと同時に係数のランダム置換を行い、無限大ノルムを保つため、複雑なマスク変換なしで拒否サンプリングを通常どおり進められます。著者らは形式的な安全性証明と、新しいModule LWR仮定の変種に基づく具体的な安全性解析を示しています。実装はCoronら（TCHES 2024）の手法より4〜6倍高速ですが、メモリ使用量は増加します。 ★★★★ 注目：ML-DSAの棄却サンプリングを守るため、解除時に係数を乱数置換するSUCREを提案。著者はd-probingの形式的証明と新しいMLWR変種の解析を示し、Coronらより4～6倍速いと報告している。

分円剰余類：素数冪法における隠れ部分群と量子ふるいアルゴリズム

2026-09-28T00:00:00+09:00

Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli IACR ePrint · 2026年9月28日本論文は、後量子暗号の基礎的仮定であるLWE問題を対象に、二面体剰余類問題を分円的に一般化した分円剰余類問題（CCP、Cyclotomic Coset Problem）を提案し、厳密な隠れ部分群の構造を保つことを示しています。分円体上のπ進イデアル列を利用して、位相状態をπ^L からπ まで順に縮約する量子ふるいを構成しています。固定された素数pと q=p^t の場合、CCPを2^{O_p(log n log q)}の時間と標本数で解けると述べられており、同手法は一様なEDCPやガウス型の場合にも適用されます。ただし、この結果だけでは標準LWEに対する準多項式時間アルゴリズムは得られないとされています。 ★★★★ 注目：円分剰余類問題 CCP を提案し、π 進イデアル連鎖に基づく量子篩法で2冪の場合を素数冪モジュラスへ拡張。q=poly(n) で準多項式時間と報告するが、標準LWEへは直接適用しないとする。

NGCC格子KEMにおける復号失敗：相関ブロック、省略された圧縮ノイズ、クエリ上限下の失敗増幅

2026-09-28T00:00:00+09:00

Decryption Failures in NGCC Lattice KEMs: Correlated Blocks, Omitted Compression Noise, and Failure Boosting under a Query Cap IACR ePrint · 2026年9月28日本論文は、中国のNGCC耐量子暗号コンペティションに提出された複数の格子KEMについて、復号失敗確率を再計算しています。解読ブロックの相関、Cheetahの仕様で省略された圧縮ノイズ項、Rudraksh2およびScabbardの二次元符号における有界ノイズという三つの機構を検討しています。著者らは、いくつかのパラメータで失敗確率が設計者の主張より低くなると報告していますが、鍵の回復は行っていません。 ★★★★ 注目：NGCC格子KEMの複数の復号失敗機構（相関ブロック、省略された圧縮ノイズ、二次元符号の有界ノイズ）を指摘し、失敗率を再推定して一部パラメータの失敗コストが名目レベルを下回ると報告している。

群作用に基づく適応的UC安全な不経意転送

2026-09-28T00:00:00+09:00

Adaptively UC-Secure Oblivious Transfer from Group Actions IACR ePrint · 2026年9月28日本論文は、CSIDHなどの有効群作用を仮定として、群作用から構成された適応的UC安全な不経意転送（OT）プロトコルを初めて提案しています。送信者は二つのメッセージを持ち、受信者はそのうち一つだけを知り、どちらを選んだかは明かされません。SPHF（部分ハッシュ関数）に適したIND-CCA暗号と検証可能な変色龍ハッシュを構成し、BC15の枠組みに組み込むことで、耐量子性を持つOTを実現しています。

新しい標準的仮定に基づくバッチ復号

2026-09-28T00:00:00+09:00

Batch Decryption from New Standard Assumptions IACR ePrint · 2026年9月28日本論文は、権限者が選択された暗号文のバッチを公開復号できる短い鍵を発行する「バッチ復号」を研究している。暗号化メンプール（encrypted mempools）を動機とし、授権の意味と仮定が異なる二つの構成を示す。第一は Fiat の Batch RSA（CRYPTO'89）に基づくエポックレスなRSA群上の方式で、ランダムオラクルモデルにおいて強RSA仮定の下で適応的安全性を証明している。第二はエポックモデルにおける汎用的構成で、計算的Diffie-Hellman仮定から実現される。 ★★★★ 注目：著者らはRSA群上で、事前のバッチ上限を必要とせず鍵と暗号文のサイズがバッチサイズに依存しない簡潔なバッチ復号を構成し、ランダムオラクル모델下で強RSA仮定の下での適応的安全性を報告している。さらにepochモデルの汎用IBE構成をCDH仮定から実現するとしている。

汎用群における多重インスタンス問題の境界：逆 Diffie-Hellman の特殊なケース

2026-09-28T00:00:00+09:00

Generic Bounds for Multi-Instance Problems: The Strange Case of Inverse Diffie-Hellman IACR ePrint · 2026年9月28日本論文は、素数位数群上の多重インスタンス問題（n 個の独立したインスタンスを与え、少なくとも k 個を解けば成功とする）の汎用群における困難性を研究し、多重インスタンス CDH、SDH、IDH、LKDH を扱う。多重インスタンス CDH と SDH は、汎用群では k 個の独立した離散対数問題を解くのと同程度に困難であることを示す。一方、多重インスタンス IDH（および LKDH）は、特定のパラメータ領域では多重インスタンス CDH より著しく容易になりうるとする。全問題は 1/2(log(p)+log(k)) ビットの安全性を持つ。著者は Yun の超平面クエリモデルを拡張し、代数幾何の手法で下界を導く。 ★★★★★ 注目：著者は汎用群モデルでマルチインスタンス問題の上下界を示し、特定のパラメータ下でマルチインスタンスIDHがCDHより容易になり得ること、Yunの超平面クエリモデルを拡張したことを述べている。

AEBAP：無線ネットワーク向けに設計された、楕円曲線暗号ベースの効率的な認証プロトコル

2026-09-29T00:00:00+09:00

AEBAP: An Efficient ECC-Based Authentication Protocol Designed for Wireless Networks IACR ePrint · 2026年9月29日本論文は、リソースの限られたIoT環境での安全な通信を目的に、楕円曲線暗号（ECC）に基づく効率的な認証プロトコル「AEBAP」を提案しています。相互認証、データの完全性、受動的・能動的攻撃への耐性を実現することを目指しています。著者らは実装による性能評価を行い、非形式的な推論およびScyther、ProVerifなどの形式検証ツールで安全性を分析しています。計算・通信のオーバーヘッドが小さく、強い安全性を持つと述べています。

Orthros、Gleeok、ZIP-AES、ZIP-GIFT に対する改良型差分線形暗号解読

2026-09-29T00:00:00+09:00

Improved Differential-Linear Cryptanalysis of Orthros, Gleeok, ZIP-AES, and ZIP-GIFT IACR ePrint · 2026年9月29日本論文は、差分線形識別器を改良し、Orthros、Gleeok、ZIP-AES、ZIP-GIFT-64、ZIP-GIFT-128 という擬似乱数関数の縮小ラウンド版に対する鍵回復攻撃を示しています。Orthros の解析範囲は従来の 7 ラウンドから 9 ラウンドへ、Gleeok-128 は 4 ラウンドから 5 ラウンドへ拡張されました。自動化された差分・線形経路探索と既存の相関推定手法を用いています。

アフィン・パディングされた Rabin オラクルによる素因数分解：SNFS 並みの計算量を示す攻撃

2026-09-29T00:00:00+09:00

Affine-Padding Rabin-Oracle Factoring in L_nleft(frac13,√[3]frac329right) IACR ePrint · 2026年9月29日本論文は、Joux・Naccache・Thomé（JNT）の構成を Rabin 方式（e=2）に適用し、アフィン・パディングを施した平方根オラクルに対する因数分解法を検討しています。片側数体篩により、各依存関係で確率 1/2 で非自明な因数が得られ、計算量は L_n(1/3, (32/9)^(1/3)) とされています。著者はこれを一般数体篩より低い計算量だと述べ、オープンソース実装で速度改善を確認したとしています。

スパースMerkle更新のためのGKRプロトコルの機械検証済み健全性証明

2026-10-05T00:00:00+09:00

Machine-Checked Soundness of the GKR Protocol for Sparse-Merkle Updates arXiv · 2026年10月5日本論文は、GKRプロトコルに基づく認証データ構造更新の証明について、Isabelle/HOLで健全性、算術化の正確性、葉のコミットメントの拘束性を機械検証しています。誤った出力主張に対し、多層のsumcheckが誤った結果を受理する確率の上界を (s_out + Σ(2 s_i d_i + 1))/|F| と示し、31ビットKoalaBear体の四次拡大で具体化して分母を約2^124としています。対象は公開コインの対話型プロトコルに限られ、Fiat-Shamir変換、知識健全性、ゼロ知識は含まれません。

査読は評価権限を制約すべきだという論文

2026-10-02T00:00:00+09:00

Peer review should constrain evaluative authority arXiv · 2026年10月2日本論文は、査読改革の焦点を評価者の能力向上や判断の集約から、評価の不確実性が続く状況下で評価権限そのものを制約することへ移すべきだと主張しています。重要な判断は、意思決定の根拠として扱われる前に構造化された精査を経ることを求める「権限制約型査読」を提案しています。提案には、批判と権限の分離、独立した二次評価、異議申し立てと取り消しの可能性、根拠の乏しい影響に対する説明責任が含まれます。

監視可能性を失わずにプローブへの訓練で整合させる手法

2026-09-30T00:00:00+09:00

Alignment via Training Against Probes Without Losing Monitorability arXiv · 2026年9月30日本論文は、モデルの活性化内の望ましくない性質を検出するプローブ（probe）を直接の訓練信号とする、プローブ誘導型ファインチューニングを研究している。無害性と正直性の二つの整合目標で評価した結果、訓練中に更新されないプローブは容易に悪用される一方、継続的に更新されるプローブは有害性を大きく下げ、正直性を高めつつ有用性を保つことが示された。さらに、微調整後も概念は線形に符号化されたままで、監視性は失われない。

自己判定不可能：LLMはエージェント検証器のチェック可能範囲を自ら線引きできない

2026-10-04T00:00:00+09:00

Not Self-Decidable: LLMs Cannot Draw the Boundary of What an Agent Verifier Can Check arXiv · 2026年10月4日本論文は、エージェントの検証において固定チェックで判定できる規則と人の判断を要する規則をどう分けるかを扱う。六つのコーパスから約22,000件のラベルを集めた結果、モデルは明白な問題では一致するが規制文では大きく割れ、誤りの方向も逆になることが示された。著者らはCoVerを提案し、介入、エージェントが書けないフィールドの読み取り、決定的な言い換えに耐えた規則のみを受理する。自己判定可能性はモデルから引き出す能力ではなく、検証器が構築すべき境界だと結論づける。 ★★★★ 注目：著者らは六つのコーパス約22,000件のラベルから、LLMは自身で検証可能範囲を判定できないと報告し、干渉・フィールド読取・言い換え耐性の検査を通過した述語のみを受理するCoVerを提案している。

Penumbra：規制上の義務を対象とした、サンプル効率の高い敵対的探索手法

2026-10-04T00:00:00+09:00

Penumbra: Sample-Efficient Adversarial Search for Regulatory Obligations arXiv · 2026年10月4日本論文は、規制レッドチーミングのための敵対的探索手法 Penumbra を提案します。検証済みの適合的な応答を出発点として編集範囲を段階的に広げ、二名の評価者からなる委員会の判定が変わるまで探索し、その境界の両側にある隣接する二つの応答を出力します。金融助言と臨床トリアージの二つの規則集で検証され、それぞれ 144 組と 49 組の応答対が得られ、その差は数語程度であることが多いと報告されています。

COPEX：MCP各層における敵対的コンテキストに対するLLMの頑健性を評価するベンチマーク

2026-10-03T00:00:00+09:00

COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol (MCP) Layers arXiv · 2026年10月3日本論文は、周辺のエージェント構成を固定し、ツール選択を担うモデルのみを変えることで、モデルをMCPクライアントとして単独に切り出して評価するベンチマーク COPEX を提案している。25種類の攻撃を125のシナリオとして、モデル/エージェント、クライアント、サーバー/ツール、トランスポートの4つの入口で扱う。9モデル・3,375回の試行で、平均攻撃成功率は64.4%であった。入力とコンテキストの併用スキャンは、8種類の攻撃からなる防御サブセットで、無防備な設定と比べ平均攻撃成功率を49.6%低下させた。 ★★★★ 注目：MCPでモデルがツールを選択する際の敵対的文脈攻撃を、周辺環境を固定した制御ベンチマークで評価。125シナリオ・3375試行で、防御により攻撃成功率が49.6%低下したと報告。

CHAMP：行列積に基づくCayleyハッシュ（Cayleyハッシュ関数とは、メッセージのビットを半群の元として扱い、それらの積を取るハッシュ関数）

2026-10-03T00:00:00+09:00

CHAMP: Cayley HAshing with Matrix Products arXiv · 2026年10月3日Cayleyハッシュ関数は、メッセージのビットを半群の元として表し、対応する元どうしを掛け合わせることでハッシュ値を求めます。これにより有用な準同型性が得られます。本論文は、有限体上の2×2行列の積に基づくCayleyハッシュ関数CHAMPを提案し、その安全性、実装、性能について論じています。

大規模言語モデルのルーティングにおける品質の再考：安全性を条件としたモデルと予算の選択

2026-10-14T00:00:00+09:00

Rethinking Quality in Large Language Model Routing: Security-Conditioned Model-and-Budget Selection arXiv · 2026年10月14日本論文はSCRouterを提案し、大規模言語モデルへのクエリごとに呼び出すモデルと出力トークン予算を選択します。一般的な質問では正確で有用な回答、安全性に敏感な質問では有害な要求の拒否や悪意ある指示への耐性を重視し、両者の重みを調整したうえでコストと合わせて選択します。また、9つの安全性次元にまたがる38,869件のクエリを12モデル×12予算の144通りで評価したSCRouterBenchと、2,753件の領域外クエリを構築しました。原文によれば、SCRouterは領域内で13〜29ポイント、領域外で19〜23ポイント基準手法を上回ったと報告されています。

領収書付きの行動：再生可能なツール利用エージェント監査のための主張・証拠・実行の結合束縛

2026-09-29T00:00:00+09:00

Actions with Receipts: Jointly Binding Claims, Evidence, and Execution for Replayable Tool-Agent Auditing arXiv · 2026年9月29日ツールを使うエージェントは、引用と実行ログを示しながらも、ユーザーに見せた主張が確定した実行から出たものか、引用元に裏付けられているかを監査できていない場合があると論文は指摘します。著者らは、主張、ソースの正確な範囲、実行の順序付き前段、ソースの版とアクセス状態を結びつける契約を提案し、決定的な整合性検証器で検査します。1,280件のクロスオブジェクト攻撃のうち1,275件（0.9961）を検出しました。

VStress：反復検証器のための相関認識型監査と適応的予算配分

2026-09-29T00:00:00+09:00

VStress: Correlation-Aware Auditing and Adaptive Budget Allocation for Repeated Verifiers arXiv · 2026年9月29日本論文は、反復的に呼び出される検証器がなお新たな条件付き情報をもたらすかを監査するための再生契約 VStress と、相関を考慮した配分方針 VStress-CA を提案している。新情報が乏しいときは呼び出しを止めるか判断を保留する仕組みである。制御実験では、ラベル誤り率ごとに多数決の効果の限界を示し、固定予算下で複数の配分方式を比較している。さらに、同一モデルの繰り返しから異なるモデル系統の組み合わせへと、依存性の診断値が高まることも報告している。

分類体系に整合させた大規模言語モデルによるOSS脅威の自動検出

2026-10-01T00:00:00+09:00

Autonomous OSS Threat Detection via Taxonomy-Aligned LLMs arXiv · 2026年10月1日本論文は、オープンソースソフトウェアのサプライチェーン脅威を自動検出し多クラス分類する大規模言語モデルの枠組みを提案しています。五つの攻撃カテゴリを対象に、2018年から2026年までの999件の検証済み実事例からデータセットを構築しました。GPT-4による分類体系に整合させたプロンプトで、全カテゴリで正解率97%、マクロF1 97%を達成したと報告しています。

多機関型科学AIのためのプライバシー基盤：主張を記述・監査する枠組み

2026-09-30T00:00:00+09:00

Privacy Foundations for Multi-Institutional Scientific Artificial Intelligence arXiv · 2026年9月30日本論文は、国立研究所、大学、病院、企業の間で共有される科学AIにおけるプライバシーリスクを扱っています。差分プライバシーや連合学習などの既存技術はシステムの一部しか保護せず、その保証は機関間で合成されにくいと指摘しています。著者は保護対象、観測者、経路、許容される開示、保証、証拠の六要素からなる枠組みを提案し、スケジューラや遠隔測定のメタデータ、計測機器の副次チャネルなどの課題と六つの研究優先事項を示しています。

SecJev：システム1の意思決定モデルにセキュリティの専門知識を導入

2026-10-02T00:00:00+09:00

SecJev: Bringing Security Expertise to System One Decision Models arXiv · 2026年10月2日本論文は、Jev方式の意思決定モデルをセキュリティ分野に特化させたSecJevを提案し、知る限り初のこの種のモデル群だとしています。パラメータ数は0.8Bから9Bで、Kevの単一パス候補スコアラーを基盤に、テキストやテレメトリ、観測履歴から意思決定を学習します。14タスク・8ソースにまたがるSecJev-Corpusも構築されました。論文によると、SecJev-0.8Bはタスク平均の正解率で汎用のKev-9Bを20.51ポイント上回っています。

最新推論エンジン上の適応型協調サービング大規模言語モデル透かし（SWIFT）：透かしを推論基盤と一体で設計し、品質・検出性・効率を両立させる研究です。

2026-10-03T00:00:00+09:00

Adaptive Co-Serving LLM Watermarking on Modern Inference Engines arXiv · 2026年10月3日本論文は、既存の大規模言語モデル透かし手法がアルゴリズム設計に偏り、補助モデルや外部ツールを加えて遅延やメモリ負荷を増やしている点を指摘します。著者らは、共有バックエンド内で文章生成と透かし構築を行い、非同期の協調サービングと適応スケジューリングで処理を並行させるSWIFTを提案します。実験では、効用スコア4.87、検出精度99.65％（低遅延ベースラインSynthIDは76.65％）を示し、透かし除去攻撃下でも最大97.7％の検出率を達成したと報告しています。遅延は最も効用の高いベースラインSafeSealより5.9倍低いとされています。

Control OSWorld：GUIでコンピュータを操作するAIエージェント向けのAI制御評価環境

2026-10-02T00:00:00+09:00

Control OSWorld: An AI Control Environment for GUI Computer Use Agents arXiv · 2026年10月2日本論文は、OSWorldの318タスクと、エージェントが気づかれずに実行すべき81の有害な副次タスク（例：非公開ファイルの持ち出し）を組み合わせた制御評価環境Control OSWorldを提案する。これを用いて、GUI上で悪意ある動作をするエージェントを検出する監視器を研究している。完全な軌跡を見られる場合、より弱い監視器でも偽陽性率3%で再現率97%と、正常な軌跡と悪意ある軌跡を区別できた。一方、各ステップの実行前に採点する場合は、文脈が少ないため低い偽陽性率での再現率が下がる。また、監視器がエージェントの可視テキストを見られることは重要であり、スクリーンショットの追加的な価値は小さいとされる。

「海岸で海上の船をだます」：世界の海上交通における大規模GPS欺瞞の測定研究

2026-09-29T00:00:00+09:00

She Spoofed Sea Ships by the Sea Shore: Measuring Large-Scale GPS Spoofing in Global Maritime Traffic arXiv · 2026年9月29日本論文は、船舶自動識別装置（AIS）の全世界データを用いて、海上におけるGPS欺瞞を初めて大規模に測定した研究です。複数の船舶が同時に物理的にありえない位置へずれる現象を手がかりに、地域ごとの欺瞞の証拠を評価しています。約36万7000隻の船舶を2024年11月下旬から2025年2月上旬まで分析し、持続的な異常地点31か所を特定、そのうち少なくとも22か所で強い欺瞞の証拠が見られました。紅海での欺瞞は、コンテナ船MSC Antoniaの座礁事故の数か月前から続いていたことも示されています。 ★★★★★ 注目：海事GPS欺瞞を大規模に初めて測定し、運動認識型の地域検出手法で36.7万隻超のAISデータから31の持続的異常ホットスポットを特定。うち22以上で欺瞞の兆候を報告している。

LLMエージェントの防御を層ごとに測る：GDA測定とエンベロープ層の攻防モデル

2026-09-30T00:00:00+09:00

Measuring LLM Agent Defenses by Layer: GDA Measurement and an Envelope-Layer Attack-Defense Model arXiv · 2026年9月30日本論文は、ACPやA2Aなどのエージェント連携プロトコルにおける間接的なプロンプトインジェクションの問題を扱います。攻撃成功率だけでは防御が弱い層を特定できないとし、結果を拒否、突破、遮断、侵入の四区分で示すGDA測定法を提案しています。あわせて、攻撃原理A2A-TIBAと三層の攻防モデルELA-ITLを示し、信頼できない内容に注釈を付けると悪意ある内容の認識が大きく向上することを報告しています。

リーマン変換による運動イメージEEGのセッション間身元漏えい抑制

2026-10-11T00:00:00+09:00

Riemannian Suppression of Cross-Session Identity Leakage in Motor-Imagery EEG arXiv · 2026年10月11日運動イメージ脳波には個人を識別できる構造が含まれ、セッションをまたいで持続するため、同一人物の別々のセッションが結び付けられてしまう。本研究は学習型のプライバシーモデルを使わず、共分散表現上で直接作用するリーマン変換を提案し、平均と接空間の散らばりを均一化する。2つの公開データセットで、最も強い攻撃者の識別率は大きく下がったが、運動イメージ復号精度には一定の低下が生じた。

ディリクレ畳み込みによる対称暗号方式

2026-10-03T00:00:00+09:00

Symmetric Cryptography via Dirichlet Convolution arXiv · 2026年10月3日本論文は、デジタルデータ暗号化のための新しい共通鍵暗号方式を提案し、高速でメモリ効率が良く、古典的攻撃・AI支援攻撃・量子攻撃に耐えると述べています。方式は有限体上の一般化ディリクレ畳み込みに基づき、平文攻撃に対する安全性を情報理論の観点から検討しています。畳み込みの非局所的構造により平文のソルティングが可能となり、鍵の再利用を制御しつつ防御できるとしています。有限体F_p（p>2）上では情報理論的安全性が証明され、F_2上では一定の情報漏えいが残るため鍵再利用の回数に上限があると述べています。

開かれた世界での安全性による信頼できる家庭用ロボットの構築

2026-10-01T00:00:00+09:00

Building Trustworthy Household Robots through Open-World Safety arXiv · 2026年10月1日本ポジション論文は、基盤モデルによりロボットが多様な物体や複雑な指示を扱えるようになった一方、家庭環境では未知の物体や作業に遭遇しやすいと指摘します。著者は、未見の状況（作業を完了できない場合を含む）でも家庭用ロボットが定められた安全要件を維持すべきだとする「開かれた世界での安全性」を提唱し、安全要件の明確化、学習、実装、確実な回復による実施、そして保護の汎化の評価に関する研究課題を提案しています。

Argos：分散型エッジセキュリティ編成のためのマルチテナント SaaS アーキテクチャ

2026-09-29T00:00:00+09:00

Argos: A Multi-Tenant SaaS Architecture for Distributed Edge Security Orchestration arXiv · 2026年9月29日本論文は、分散型エッジデバイスを透明かつ自動的に長期間編成するためのマルチテナント SaaS 型 C2（コマンド＆コントロール）アーキテクチャ「Argos」を提案します。ロールベースアクセス制御、テナント分離、永続的なタスク管理、cron によるワークフロー自動化を備えています。三台の地理的に分散したエッジデバイスで、MITRE ATT&CK の手法に対応する 810 件の自動タスクを実行し、全体の失敗率は 3.33%（95% Wilson 信頼区間 [2.30%, 4.81%]）でした。評価手法、匿名化データセット、統計スクリプトは公開されています。

位相鍵フーリエ曲線変調の鍵再利用脆弱性：関係リーク、符号化リンクにおける鍵更新コスト

2026-10-01T00:00:00+09:00

Key-Reuse Vulnerability of Phase-Keyed Fourier-Curve Modulation: Relation Leakage and Key-Refresh Cost on Coded Links arXiv · 2026年10月1日本論文は、鍵空間の大きさや鍵を知らない受信機の誤り率だけでは、この種の変調の安全性は判断できないと指摘します。位相鍵フーリエ曲線コンステレーションの高調波指数間の整数関係を利用し、鍵を列挙せずに鍵を回復する攻撃を示しています。符号語ごとに一つの鍵を用いる設定では、多くの動作点で盗聴者のブロック誤り率が事前に定めた0.1の妥協基準に達しました。人工雑音などの対策と、鍵更新のコストについても検討しています。

Aletheia：コーディングエージェントのルールに対する権限最小性テスト

2026-09-30T00:00:00+09:00

Aletheia: Permission-Minimality Testing for Coding-Agent Rules arXiv · 2026年9月30日本論文は、コーディングエージェント（AGENTS.md や Cursor ルールなど）のルールが要求する権限が、タスク完了に本当に必要かどうかを検査する枠組み Aletheia を提案しています。権限宣言を一つずつ取り除き、制限付きサンドボックスでタスクを再実行して、機能テストに合格すればその権限は不要と判定し、該当ルールファイルを不審として記録します。攻撃を含むルール 314 件はすべて検出され、良性ルール 85 件のうち誤検知は 3 件でした。

入力系列の変化に対する大規模言語モデルの頑健性の評価と改善

2026-10-02T00:00:00+09:00

Evaluating and Improving the Robustness of Large Language Models to Input Sequence Variations arXiv · 2026年10月2日本論文は、プロンプトインジェクション、トロイの木馬（バックドア）、自動品質指標の操作といった敵対的な入力変化に対する大規模言語モデルの頑健性を研究しています。Jensen-Shannon ダイバージェンスに基づく生成的頑健性指標 R_stab(f) を提案し、LLM-as-a-Judge システムに対しては適応的な進化型ブラックボックス攻撃 ASA を開発して、攻撃成功率は最大 73.8% に達したとしています。さらに、MCP ベースのエージェントシステム向けに、ツール呼び出しを認証する AttestMCP と隔離パターンを提案し、MCPBench の 847 シナリオで平均攻撃成功率を 53.7% から 12.4% に低下させたと報告しています。 ★★★★ 注目：JSダイバージェンスに基づく生成的ロバスト性指標R_stab(f)、適応型攻撃ASA、AttestMCPを提案し、MCPBenchでASRが53.7%から12.4%に下がったと報告している。

Pretext：AIエージェントの悪意あるスキル検出を回避する攻撃手法

2026-09-30T00:00:00+09:00

Pretext: Defeating Malicious Skill Detection Frameworks for AI Agents arXiv · 2026年9月30日本論文は、AIエージェントにエージェントの機能を拡張するスキル（指示を文脈に注入する仕組み）を悪用する攻撃を扱います。著者らは、検出器の仕組みを知る攻撃者が検出を回避しつつ悪意あるペイロードを届けられる白箱攻撃ツール Pretext を提案しています。3つのオープンソースモデルでの実験では、固定された検出器に対して最大97%、共に適応する検出器に対して最大77%の回避率を示し、現行のスキルスキャナの大きな欠陥を明らかにしています。

APEX：LLMエージェントの実行境界における能動的防御（論文）

2026-10-04T00:00:00+09:00

APEX: Active Protection at Execution Boundaries for LLM Agents arXiv · 2026年10月4日本論文は、大規模言語モデル（LLM）エージェントが実行時に読み込む内容に隠された間接プロンプトインジェクション攻撃に対し、エージェントが内部状態を外部動作や出力に変換する「実行境界」で防御する手法を提案します。APEX（Active Protection at Execution Boundaries）は、信頼されたタスクに基づき実行前にコンパイルされた認可契約により、契約で正当化された効果のみを許可し、未承認の利用は効果が確定する前に露呈させます。13の比較手法との評価で、6つのベンチマークのうち5つで攻撃成功率0%、残る1つで0.56%だったと報告されています。 ★★★★★ 注目：防御を攻撃パターンから実行境界へ移し、単一の認可契約で証拠ゲートと欺瞞的露出を組み合わせる。著者らは13の基線に対し6つのベンチマークで攻撃成功率が5つで0%、残り1つで0.56%と報告し、適応的攻撃でも3種の能力単位で0%としている。

SERA-IDS：小規模言語モデルによる構造化経験検索拡張型侵入検知

2026-10-03T00:00:00+09:00

SERA-IDS: Structured Experience Retrieval-Augmented Intrusion Detection with Small Language Models arXiv · 2026年10月3日本論文は、分類誤りから構造化ルールを学習し、テスト時に条件が一致するルールを検索して小規模言語モデルの判断を支援するSERA-IDSを提案しています。NF-BoT-IoTおよびNF-ToN-IoTのデータセットにおいて、ファインチューニングや有料推論なしでマクロF1が大幅に向上したと報告しています。

LLM抽出攻撃に対する防御は各種攻撃に有効か？ブラックボックス型モデル抽出のライフサイクル・ベンチマーク

2026-10-01T00:00:00+09:00

Do Defenses Against LLM Extraction Work Across Attacks? A Lifecycle Benchmark of Black-Box Model Extraction arXiv · 2026年10月1日本論文は、6種の抽出攻撃、10種の防御手法、そして保護された応答を言い換えや逆翻訳してから代替モデルを学習させる2種の適応型攻撃を含む統一ベンチマークを提案しています。各比較内でモデル構成、クエリデータ、予算、評価条件を統一的に管理し、代替モデルの能力、被害モデルとの忠実度、Rep-4による出力品質、クエリ予算への感度を測定します。

どの画像特性がジェイルブレイクを担っているのか？画像からテキストへのジェイルブレイクに対する統制的分析

2026-10-04T00:00:00+09:00

Which Image Property Carries the Jailbreak? A Controlled Dissection of Image-to-Text Jailbreaks arXiv · 2026年10月4日本論文は、313件のプロンプトからなるStrongREJECTのサブセットを用い、公表された4種類の画像からテキストへのジェイルブレイク攻撃における画像側の要因を検討し、5つのマルチモーダルモデルとInternVL3.5-8Bの付録評価を用いている。有害なテキストだけの質問はほとんど攻撃に成功せず、攻撃画像は成功率を大きく高めた。タイルごとのエントロピーやJPEGサイズは、同サイズの良性な妨害画像と攻撃用タイルを確実には区別できなかった。Qwen3-VL-8Bでは、クエリとの関連性を取り除く操作によって攻撃成功率が約0.12低下したが、結論は自動採点の審査者に依存する。

音声ジェイルブレイクはどこにあるのか：Qwen2-Audio 上の AdvWave-P に対する周波数・層深度の統制監査

2026-10-04T00:00:00+09:00

Where Does the Audio Jailbreak Live? A Controlled Frequency-Depth Audit of AdvWave-P on Qwen2-Audio arXiv · 2026年10月4日本論文は、加算型の音声ジェイルブレイク攻撃 AdvWave-P について、Qwen2-Audio 上での周波数および復号器の層深度に関する主張を監査しています。短時間フーリエ変換（STFT）領域で摂動の周波数成分をマスクし、攻撃成功率を測定しました。AdvBench の 520 件のプロンプトで、主要な判定は敵対的入力の 76.7% をジェイルブレイクと判定しています。周波数の順位は帯域の分割方法に依存し、細かい 16 帯域では 7520-7960 Hz をマスクしても攻撃成功率は 0.10 に下がりましたが、対応する対照がないため未解決です。著者らは、因果的な位置特定ではなく、分割を考慮した周波数主張の監査を支持する結果だと述べています。

TARE：バックドア防御のコストを読む前に、未汚染の双子モデルを計測する

2026-10-04T00:00:00+09:00

TARE: Weigh a Never-Poisoned Twin Before Reading Backdoor-Defense Costs arXiv · 2026年10月4日バックドア防御のランキングでは、クリーン精度の低下が除去コストとして扱われがちですが、その低下には防御が任意のモデルに与える影響と、被害モデル自身の出発点が混ざっています。本論文は、同じ設定・スケジュール・乱数シードで汚染されていない双子モデルを用いてこの影響を差し引くTAREを提案し、差し引いた残りを「tare」と定義します。あわせてパッチ、署名付きtare表、双子モデルを必要としない推定量TARE-Zも公開されています。 ★★★★ 注目：無毒化ツインモデルで後門防御の精度低下を補正する評価法を提示し、スケジューラの2×2対照実験でベンチマークの欠陥を指摘。BadNetsで8種の防御のツイン上の精度変化を報告。

ASAP：バイナリ逆コンパイル向けのアセンブリ・ソース整合擬似コード精錬フレームワーク

2026-09-30T00:00:00+09:00

ASAP: Assembly-Source Aligned Pseudocode Refinement For Binary Decompilation arXiv · 2026年9月30日バイナリ逆コンパイルでは、従来のルールベース逆コンパイラが生成するC風の擬似コードを大規模言語モデルで改善する手法が増えている。しかし擬似コードは有損で誤りを含むことが多く、特に最適化の強いバイナリで問題が大きい。本論文のASAPは、対比学習でソースとアセンブリの表現を整合させ、Q-Formerで圧縮したアセンブリトークンを擬似コードと共にモデルへ入力する。確率的マスキングと相対的アセンブリ優位損失により、アセンブリを無視しない学習を図る。2つのベンチマークで、再実行率は64.7%から71.9%、再コンパイル率は91.6%から96.6%に向上した。

多項式空間におけるユニタリ計算量

2026-10-03T00:00:00+09:00

Unitary complexity in polynomial space arXiv · 2026年10月3日本論文は、量子コミットメントが存在すれば、ユニタリ合成問題に多項式時間の解法がないか、BPP≠NEXP のいずれかが成り立つことを示している。また、ユニタリ計算量クラス unitaryP と unitaryPSPACE の新しい定義を提案し、unitaryPSPACE がガーベッジを一般的に消去できることを示している。 ★★★★★ 注目：著者らは、量子コミットメントが存在すればユニタリ合成問題に多項式時間解がないか、BPP≠NEXPが成り立つとし、unitaryPとunitaryPSPACEの新定義を提案している。

委任可能なクローン作成を備えた量子ファイア：委任可能な量子暗号プリミティブ

2026-10-03T00:00:00+09:00

Quantum Fire with Delegated Cloning arXiv · 2026年10月3日本論文は、効率的に複製できるが古典通信だけでは再構成しにくい量子状態「量子ファイア（quantum fire）」を扱います。著者らは、複製に別途の鍵を必要とする「委任可能な量子ファイア」を提案し、古典オラクルモデルで二つの構成を示しています。一つは複製を可能にする古典秘密鍵を用いる方式、もう一つは複製後も影響を受けず、分割や委任ができない量子鍵「トーチ（torch）」を用いる方式です。後者は、m個のトーチを持つ効率的な攻撃者が、通信できない m 個を超える当事者にそれぞれ新しい挑戦用ファイアを複製させることは、無視できない確率では不可能だと主張しています。

寡黙な証明者を持つ量子対話型証明についての研究（証明者の応答が少ないモデルを扱う理論計算機科学の論文）

2026-09-30T00:00:00+09:00

On quantum interactive proofs with a laconic prover arXiv · 2026年9月30日本論文は、証明者の応答が ℓ ビットに限られる二メッセージの量子対話型証明システムを研究しています。複雑性クラス QIP_{ℓ-bit}(2) を導入し、量子状態識別問題がこのクラスの完全問題であることを示しています。さらに、このクラスが QSZK に一致する簡単な条件と、量子公開コインの下で対話が役に立たず BQP に含まれる結果を述べています。 ★★★★ 注目：QIP_ℓ-bit(2)の多状態識別による完全な特徴付けを示し、QSDがa-b≥1/O(log n)でQSZKに属すこと、SDとSZKの結果を改良したと報告している。

量子ランダム・オラクルモデルにおける QMA の簡潔な論証

2026-09-29T00:00:00+09:00

Succinct Arguments for QMA in the Quantum Random Oracle Model arXiv · 2026年9月29日本論文は、量子ランダム・オラクルモデル（QROM）において、追加の暗号仮定や未証明の予想に依存せずに QMA の最初の簡潔な論証を構成します。中核となるのは、量子インタラクティブ・オラクル証明（QIOP）を量子のコミット・アンド・オープン方式で同じ言語の量子論証へ変換する、効率を保つ変換です。また、QROM で局所的な開示を持つ量子状態のベクトル・コミットメントを形式化・構成しています。 ★★★★★ 注目：量子ランダム・オラクル・モデルでQMAの簡潔な議論を初めて構成し、非構造的な困難性のみに依拠するとしている。また、QIOPから量子議論への効率を保つ変換と、量子状態のための抽出可能なベクトル・コミットメントを与えたと報告している。

『毒された会話：統一マルチモーダルモデルにおける情報漏洩ウォーターマーク』：モデルが画像に隠れた検出可能な印を埋め込み、会話中の機微な情報を漏らす仕組みを説明する論文です。

2026-10-05T00:00:00+09:00

The Poisoned Conversation: Privacy-Leaking Watermarks in Unified Multimodal Models arXiv · 2026年10月5日本論文は、悪意のあるモデル提供者が過去のチャット履歴に応じて、後に生成する画像へ不可視でトリガー依存の「プライバシー漏洩ウォーターマーク（PLW）」を埋め込む手法を提案します。ユーザーがモデルをローカルで動かしていても、会話で言及された機微なキーワードが画像を通じて露見しうることを示します。13種類の機微属性トリガーと2つのモデル系統で評価され、1%の誤検出率でPLWの真陽性率は最大100.0%に達しました。

AutoDP-LLM：大規模言語モデルによる侵入検知システム向けデータ前処理の自動化

2026-10-05T00:00:00+09:00

AutoDP-LLM: Automating Data Pre-processing for Intrusion Detection Systems using Large Language Models arXiv · 2026年10月5日本論文は、大規模言語モデル（LLM）を用いて実行可能なデータ前処理パイプラインを自動生成・検証するフレームワーク「AutoDP-LLM」を提案しています。意味的推論と学習から得た統計的根拠に基づき、事前の特徴量数の指定なしで保持する特徴量集合を適応的に決定します。UNSW-NB15およびNSL-KDDデータセットでの多クラス侵入検知実験では、従来の特徴選択手法と比べて競争力のある検知性能を示し、コンパクトな前処理パイプラインを自動生成できることを報告しています。

「反省と断片」：逐次的モザイク攻撃から大規模言語モデルを守る研究

2026-10-05T00:00:00+09:00

Reflections and Fragments: Securing LLMs Against Sequential Mosaic Attacks arXiv · 2026年10月5日本論文は、個々のプロンプトだけでは無害に見えても、複数ターンの対話を通じて組み合わさると有害な内容になる「モザイク攻撃」を扱っています。著者らは、安全に関わる情報を長期間保持するオンライン状態機構（watchman）を提案し、一定の仮定の下で有用性を保ったまま失敗ゼロの防御が可能であることを示しています。実験では、凍結したLLM上で攻撃者と防御者それぞれのLoRAアダプタを多ターンの自己対戦で学習させ、両役割の性能向上と未知の攻撃目標への改善が確認されたとしています。

文法誘導型コード透かしとグリーン温度（GTCW）の提案

2026-10-05T00:00:00+09:00

Grammar-Guided Code Watermarking with Green Temperature arXiv · 2026年10月5日本論文は、大規模言語モデルがコードを生成する際に検出可能な透かしを埋め込む手法GTCWを提案しています。各デコードステップで文法的に許容されるトークンに候補を絞り、鍵に基づいてグリーンとレッドの集合に分けます。高エントロピー位置では、モデルの相対的な選好に従いグリーンのトークンを重み付けします。5つのモデルと4種類のプログラミング言語にまたがる5つのベンチマークでの平均AUROCは73.61%で、最強のベースラインの67.83%を上回りました。平均Pass@1は59.18%で、透かしなしの59.58%をわずかに下回っています。

Red-TTT：大規模言語モデルの自動脱獄のためのテスト時学習手法

2026-10-05T00:00:00+09:00

Red-TTT: Test-Time Training for Automated Jailbreaking Large Language Models arXiv · 2026年10月5日この論文は、大規模言語モデルへの脱獄攻撃に対し、Red-TTTという手法を提案しています。攻撃中に各対象の行動ごとに攻撃者のパラメータを更新し、各ラウンドで被攻撃モデルの応答に基づく方策勾配ステップを行います。また、評価を平均ではなく最良のサンプルで行う目的関数に調整しています。120サンプルの予算でBest-of-Nベースラインに対し、平均攻撃成功率を55.9%から72.4%に引き上げたと報告されています。 ★★★★ 注目：テスト時学習を自動ジャイルブレイクに適用し、攻撃中にパラメータを更新して発見を重みに蓄積。120サンプルでBest-of-Nの55.9%から平均72.4%へ向上したと報告。

あなたのエージェントは誰に仕えているのか？能動型エージェントにおけるプロバイダ側の間接的プロンプトインジェクション

2026-10-04T00:00:00+09:00

Who Is Your Agent Serving? Provider-Side Indirect Prompt Injection in Proactive Agents arXiv · 2026年10月4日本論文は、個人向け能動型エージェントが推奨や個別化された助言、後続の支援を決める際に、外部のプロバイダがそれを悪用しうる攻撃手法を研究しています。目標制御、私的バインディング、前向き支援の3つの仕組みを示し、3つの環境と6つのシミュレーション用ユーザーモデルで検証しました。完全な攻撃は、試したすべての組み合わせで目標への認可率を高め、マクロ平均で最大77.4ポイントの増加を示しました。ユーザーのために設計された機能が、ユーザーとエージェントの関係の外にある目的へ向けられうることを指摘しています。 ★★★★ 注目：提供者側の間接プロンプトインジェクションという新たな攻撃面を提示する。外部提供者は自らの目標関連コンテンツのみを制御し、エージェントに目標を推進させ利用可能なユーザー文脈を流用させうるとしている。3環境・6ユーザーモデルで、完全な攻撃が全組み合わせで目標認可を引き上げ、マクロ増分は最大77.4ポイントと報告されている。

ポリシーゲートが知りうること・知りえないこと：クロスプラットフォームのコマンド裁定における実測上の限界

2026-10-04T00:00:00+09:00

What a Policy Gate Can and Cannot Know: Measured Boundaries of Cross-Platform Command Adjudication arXiv · 2026年10月4日本論文は、シェル構文を解析せず、型付けされ実現された動作（動詞、オペランド、解決済みゾーン、プログラム対象の識別子）のみから許可・確認・拒否を判定するポリシーゲートを研究し、先行研究のWindowsベンチマークをLinux上で再現しています。凍結された61件のテストケースは全件合格し、誤許可はありませんでした。50件のミューテーションのうち46件（92.0%）を検出しました。実行器が参照した場合、25件の迂回はゼロになり、良性のペイロードは一つも遮断されませんでした。また、資格情報検証は台帳全体を走査するため累積的なコストが生じることも報告されています。

境界での遮断：段階的プロンプトインジェクションに対する長期タスクエージェントの監査

2026-10-04T00:00:00+09:00

Blocking at the Boundary: Auditing Long-Horizon Agents against Staged Prompt Injection arXiv · 2026年10月4日本論文は、長期タスクを実行するエージェントが、実行前に間接的なプロンプトインジェクション攻撃を検出し遮断する方法を研究しています。著者らは自動攻撃生成パイプラインを構築し、Claude CodeとCodexで検証しました。さらに、学習を必要としない監査手法PAAを提案し、重要な操作の実行前に通過か遮断かを判定します。 ★★★★★ 注目：段階的プロンプトインジェクションと境界アクション監査を提案し、学習不要のPAAを導入。479組のベンチマークで、摘要はPAAが86%の遮断再現率と6-8%の誤遮断率を報告している。

VulValidate：実行可能な証拠による関数レベルの脆弱性ラベルの監査

2026-10-04T00:00:00+09:00

VulValidate: Auditing Function-Level Vulnerability Labels with Executable Evidence arXiv · 2026年10月4日学習ベースの脆弱性検出には高品質なラベルが必要ですが、脆弱性修正コミットから作られたデータセットでは、セキュリティパッチで変更されただけの関数が脆弱とラベル付けされることがあります。VulValidate は LLM エージェントを用いて動的解析ツールを調整し、実行時のフィードバックから脆弱性を誘発する実験を構築します。BigVul、PrimeVul、DiverseVul で脆弱とされた 35,849 件を監査し、20,510 件を確認、6,819 件のラベルを修正、7,981 件は判断保留、539 件は測定できませんでした。 ★★★★★ 注目：LLMエージェントが動的解析ツールを調整し、三つの脆弱性データセットの35,849件のラベルを実行証拠で監査；要約は20,510件の確認、6,819件の修正、盲検レビューと再学習後のF1改善を報告。

私的成分逐次学習：実現可能設定における差分プライバシー学習の枠組み

2026-10-04T00:00:00+09:00

Private Component-by-Component Learning arXiv · 2026年10月4日本論文は、k個の成分で仮説が指定される実現可能設定における差分プライバシー学習を研究している。LabelBoost手続きで標本の厳密な実現可能性を回復し、2つの交互のリザーバーでデータを再利用することで、オーバーヘッドを約√k/εのオーダーに抑える。有限座標格子上のd次元半空間学習に適用して標本複雑度を改善し、布尔合成の適切な私的学習にも用いられる。

クールダウンの地雷：LLMゲートウェイにおけるテナント間干渉攻撃

2026-10-04T00:00:00+09:00

Cooldown Landmines: Cross-Tenant Interference Attacks on LLM Gateways arXiv · 2026年10月4日本論文は、LLMゲートウェイで共有される冷却記録が、あるテナントの失敗によって他のテナントの利用可能なモデル配備へのアクセスを制限しうる問題を扱います。著者はLiteLLMにおける2つの攻撃手法を特定し、発信元チェックとテナント単位の冷却による対策を提案しています。実験では、修正後に被害テナントのフォールバック回数が54/60から0/60に減少したと報告されています。

エージェントシステムにおけるOSS脆弱性のセキュリティ影響の分析

2026-10-04T00:00:00+09:00

Characterizing Security Effects of OSS Vulnerabilities in Agent Systems arXiv · 2026年10月4日ソフトウェアエージェントは、ツールの実行や外部システムとの連携において、オープンソースのコンポーネントへの依存を強めています。その依存先のセキュリティ欠陥は、ツールの出力、エージェントの状態、モデルに渡される情報を通じて影響を広げる可能性があります。本論文は、既知のOSS脆弱性がエージェントのワークフローで実際に発動したときの振る舞いを調べ、脆弱なソフトウェアと修正済みソフトウェアの差分実行、および複数層にわたる実行時の由来情報を用いて、脆弱性が観測可能なセキュリティ影響を生じるか、またその影響が到達する最も遠い層を特定します。評価では、実現された脆弱性影響とその範囲を高い精度で区別できることが示され、実在のエージェントフレームワークの文書化されたワークフローにも適用して、OSS依存関係の既知脆弱性に由来する複数のセキュリティ影響を明らかにしました。

軽量な空中5G基地局に向けて：一般的なARMプラットフォームで再現可能なOAIテストベッド

2026-10-04T00:00:00+09:00

Toward Lightweight Aerial 5G gNBs: Reproducible OAI Testbed on Commodity ARM Platforms arXiv · 2026年10月4日本論文は、無人機に搭載する5G基地局を扱い、コアネットワークと中央ユニットを地上に置き、機上にはバックホール端点、分散ユニット、無線部のみを搭載する構成を検討しています。Raspberry Pi 5とJetson Orin Nanoを分散ユニットとして実測し、Jetsonは有線イーサネットの下り実効スループットでx86分割構成の88.4%を維持したと報告しています。さらに、F1インターフェース経由で災害警報（PWS）を配信するOAIパッチを公開しています。

Jev の潜在リスク：セキュリティ、プライバシー、デュアルユースに関する実証研究

2026-10-04T00:00:00+09:00

Hidden Risks of Jev: An Empirical Study of Security, Privacy, and Dual Use arXiv · 2026年10月4日本論文は、Jev をアプリケーションの意思決定層として展開する際のセキュリティとプライバシーの問題を、公式 API と訓練データを管理できるローカルモデル NanoJev を用いて検証しています。プロンプトインジェクション、訓練データ汚染によるバックドア、制約された出力からの機密情報推定などの攻撃を取り上げ、検出タスクや悪用シナリオにおけるデュアルユースも評価しています。結果として、Jev は示された脅威に依然として脆弱であり、その決定能力は有益にも悪意ある目的にも利用されうることが示されています。

長期タスクでツールを使うAIエージェントにおける自己生成サブゴールの実行時認可

2026-10-04T00:00:00+09:00

Runtime Authorization of Self-Generated Subgoals in Long-Horizon Tool-Using AI Agents arXiv · 2026年10月4日長期にわたりツールを使うAIエージェントが、サブゴールの作成、再計画、作業の委任を行う際の認可問題を扱った論文です。ツールごとの権限チェックだけでは、変化するゴールグラフが主体の承認したタスクの範囲内にあることを保証できないと指摘しています。著者らは、各ゴールグラフ変更に対する版付きの証拠の検証と、原子的コミット境界での保護された操作の再検査を提案し、96件の実験で禁止状態のコミットがなかったと報告しています。 ★★★★ 注目：長期タスクでツールを使うエージェントが生成するサブゴールの実行時認可機構を提案し、有限な構造領域での形式的証明と、照合済み案例での実験結果を示している。

暗号化された言語モデル復号のための静的ブートストラップ配置手法

2026-10-04T00:00:00+09:00

Static Bootstrap Placement for Encrypted Language Model Decoding arXiv · 2026年10月4日本論文は、準同型暗号下でテキスト生成ループ全体をサーバー側で実行するAR-HEシステムを提案しています。暗号化された状態で単語を選択して埋め込みを取得し、クライアントは一度プロンプトを送るだけで出力まで待機します。探索を用いない単一の規則でブートストラップを配置し、最適化により単一のNVIDIA H100上でGPT-2 smallの1トークン生成は4715秒から544秒に短縮されたと報告しています。

WLPA：最弱リンク露出下で希少な量子安全リンク姿勢を割り当てるネットワーク管理フレームワーク

2026-10-04T00:00:00+09:00

WLPA: A Network Management Framework for Allocating Scarce Quantum-Safe Link Postures under Weakest-Link Exposure arXiv · 2026年10月4日量子鍵配送（QKD）などの量子安全な方式はハードウェアが希少で高価なため、ネットワーク内のごく一部のリンクにしか適用できません。本論文は、こうした制約の下で量子安全な姿勢を割り当てるためのWLPA（Weakest-Link Posture Assignment）フレームワークとアルゴリズムを提案します。分散ジョブの安全性は最も弱い活性リンクで決まるという前提に立ち、既存の個別リンク向けヒューリスティックがいつ最適に一致し、いつ失敗するかを明らかにしています。

限定合理性：人間対AIによるサイバー防御における認知階層の比較

2026-10-04T00:00:00+09:00

Bounded Reasoning: Cognitive Hierarchy in Human-versus-AI Cyber Defense arXiv · 2026年10月4日本論文は、攻撃グラフ上の逐次的なサイバー防御ゲームにおいて、人間の防御者と強化学習（DQN）による自動防御者の振る舞いの違いを検討している。四つの防御設定を比較し、Mechanical Turkの参加者80名と対応する自動シミュレーションを用いた。人間は成功・失敗に応じて行動を変える一方、自動防御者にはその非対称性が見られなかった。平均スコアだけでは、こうした行動上の差が見えなくなると結論づけている。

見えないインク、見える嘘：本番向け電子透かしがLLMの幻覚を招く仕組み

2026-10-04T00:00:00+09:00

Invisible Ink, Visible Lies: How Production Watermarking Causes LLMs to Hallucinate arXiv · 2026年10月4日本論文は、テキスト電子透かしが事実の信頼性に与える影響を検討しています。検索拡張生成の設定で、証拠が文脈に含まれていても透かしが事実誤りを引き起こしたり増幅したりすることを確認し、六つの代表的手法すべてで同様の現象を報告しています。原因として現在ステップのトークン摂動と接頭辞による注意の漂流を挙げ、既存手法に組み込める二つの介入策を提案しています。 ★★★★ 注目：透かしによる幻覚を初めて体系的に調べ、制御されたRAG設定で6手法が根拠の存在下でも事実誤りを生むと報告。原因として token 摂動と注意のずれを挙げ、プラグイン型介入で誤りが約90%減ったとしている。

悪意あるプレイヤーに耐える、信頼できるハードウェア高速化の関数秘密分散（VIGOR-DFA）

2026-10-04T00:00:00+09:00

Trusted Hardware Acceleration for Malicious-Secure Function Secret Sharing arXiv · 2026年10月4日本論文は、two-party のプライベート推論とプライベート情報検索の基盤となる関数秘密分散（FSS）を、信頼できる GPU 統合型アクセラレータで高速化する VIGOR-DFA を提案している。認証の再計算、開示前の凍結と検証、役割に束縛された一度限りの資源台帳と解放ガードによって、悪意あるホストや GPU による改ざんや再生攻撃を防ぐ。保護モジュールモデルで中断付きの静的悪意モデル安全性を証明し、Shark 系プロトコルに基づく比較モデルでのレイテンシとエネルギーの改善、および悪意安全性のコストを報告している。

地政学データと大規模言語モデルを用いたサイバーセキュリティインシデントの予測

2026-10-04T00:00:00+09:00

Forecasting Cybersecurity Incidents Using Geopolitical Data and Large Language Models arXiv · 2026年10月4日本論文は、ニュース記事や文字起こしされたポッドキャストから抽出した地政学データを大規模言語モデルで表現に変換し、過去のインシデントに基づいて将来のインシデントを予測する分類器を学習する手法を提案しています。15,700件を超えるインシデントデータセットでの評価では、地政学データのみで71.4%のROC AUCを達成しました。ネットワーク測定値と組み合わせると81.3%となり、ネットワーク特徴のみを用いた従来手法の77.5%を上回りました。

位置に依存しない透かしによるモデル生成DNAの追跡

2026-10-04T00:00:00+09:00

Tracing model-generated DNA with position-independent watermarking arXiv · 2026年10月4日ゲノム言語モデルは、出所の記録を持たない合成DNAを生成できます。本研究では、CarbonとGENERator-v2の2つのモデルにSynthIDのトーナメント型透かしを埋め込み、検出器が両鎖・全開始位置・4種類の窓長を探索して、探索全体に応じて判定を補正します。1,544件の留保プロンプトによる検出コホートでは、各モデルの3,088件の透かし付き配列がすべて検出され、編集なしの場合と1塩基の置換・挿入・削除後の場合の両方で検出されました。本研究は統計的検出能力のみを示すものであり、生物学的機能、鍵の安全性、検出器を知る編集者に対する頑健性は扱っていません。

鍵付きオラクルの識別不能性持ち上げ、圧縮理想暗号などへの応用

2026-10-04T00:00:00+09:00

Indistinguishability Lifting for Keyed Oracles, Compressed Ideal Cipher, and More Applications arXiv · 2026年10月4日本論文は、二つの基底オラクルが量子問い合わせに対して識別不能であれば、それらから作られる鍵付きオラクルも、区別優位性にO(q^2)の乗法的損失を伴うのみで識別不能であることを示す一般的な持ち上げ定理を証明している（qは問い合わせ回数）。これを用いて、Carolanの圧縮置換オラクルを効率的に実装可能な圧縮理想暗号へ拡張し、量子理想暗号モデルでDavies-Meyer圧縮関数の原像耐性を示している。さらに、量子安全な強擬似ランダム置換のメッセージ長を2倍にするモジュラー構成も与えている。 ★★★★ 注目：量子不可区別性のリフティング定理を示し、損失はO(q^2)でタイトだとしている。これにより圧縮理想暗号を導き、Davies-Meyer原像耐性の証明に応用している。

対話はコードではない：シミュレーションとソフトウェア開発を行うLLMエージェントの比較

2026-10-04T00:00:00+09:00

When Talk Isn't Code: Comparing LLM Agents That Simulate and Develop Software arXiv · 2026年10月4日本論文は、大規模言語モデルを会話の中でプロトコル実装を演じる「シミュレーションモード」と、実際にプログラムを書いて攻撃にさらす「開発モード」の2つで比較しています。同一の攻撃スイートで15のモデルを4つのプロトコル実装について評価しています。シミュレーションモードは初期スクリーニングには有用ですが、開発モードでのテストに代わるものではないと結論づけています。

StegoMemory：エージェントのメモリが隠しチャネルとして悪用されうるかを検証した研究

2026-10-04T00:00:00+09:00

StegoMemory: Agentic Memory Acts as Covert Steganographic Channel arXiv · 2026年10月4日本論文は大規模なレッドチーム演習により、エージェントのメモリがセッションをまたいで攻撃者の文字列を隠して伝達できるかを検証しています。14,000回の攻撃試行で、7種類の隠写方式を用いて秘密文字列を通常のタスク応答に埋め込み、記憶書き込みを経て復元できるかを評価しました。完全一致での復元は20.1%の試行で達成され、そのうち71.4%はタスク評価と安全監視の両方を通過しました。著者らは、メモリの完全性や情報フロー制御を明示的なセキュリティ要件とすべきだと主張しています。

量子機械学習による軍用量子鍵配送の偽装攻撃からの保護

2026-10-03T00:00:00+09:00

Quantum Machine Learning Protection of Military Quantum Key Distribution Against Cryptographically Camouflaged Attacks arXiv · 2026年10月3日本論文は、軍用量子鍵配送の実装攻撃を扱う。攻撃者は乱数生成器に仕込んだ後門で、攻撃したブロックを正常なノイズに紛れ込ませ、離散対数の述語で選別する。検出は離散対数問題に帰着し、論文はShorのアルゴリズムを用いた量子カーネルで検出できることを示す。シミュレータGhillieでの試験では、量子カーネルは偽装攻撃を1.000で検出し、古典的監視は0.458から0.516にとどまった。

同じゼロ：LLMエージェントのセキュリティで同一の攻撃成功率が異なる保証を意味しうる理由

2026-10-03T00:00:00+09:00

The Same Zero: Why Identical ASR Can Imply Different Guarantees in LLM-Agent Security arXiv · 2026年10月3日本論文は「検証自律レベル」（VAL、L0〜L5）を用いて、22種のLLMエージェント向けセキュリティ防御がどのような保証を与え、その保証がどこから来るのかを整理することを提案している。同一予算下で、VALに基づく防御構成と一般的な直感的構成を、50シナリオ・12種の攻撃変種、AgentDojoやJADEなどのテストベッドで比較した。攻撃成功率のゼロは結果であって保証ではない、というのが結論である。

監査可能性の証明：成果物を公開せずにプロプライエタリなワークロードの性質を証明する手法

2026-10-03T00:00:00+09:00

Attestable Audit: Property-Based Attestation for Proprietary Workloads without Artifact Disclosure arXiv · 2026年10月3日本論文は、信頼された実行環境（TEE）上で動く二種類のワークロード、すなわち検証可能なビルドと検証可能な監査を組み合わせるアーキテクチャを提案しています。監査結果をソースコードのダイジェストに結び付けることで、検証者は実行中の成果物が監査済みの性質を満たすソースコードから構築されたことを、ソースコードとビルド成果物のいずれも開示させずに確認できます。Intel SGX と Gramine 上で Python コードに Bandit を適用する概念実証実装によって、実用性が示されています。

アラインメントの再活性化：意図を考慮した入出力マッチングによるLLMのジェイルブレイク防御

2026-10-03T00:00:00+09:00

Reactivating Alignment: Defending LLMs from Jailbreaks via Intention-Aware Input-Output Matching arXiv · 2026年10月3日本論文は、生成時に動作する着脱可能な防御手法SENTINELを提案し、ジェイルブレイク対策を意図抽出の問題として捉え直しています。指示チューニングされたLLMの入出力の意味的一貫性を利用し、意味的に対応する入出力領域を照合して意図を示す部分列を抽出し、拒否方向への射影で有害性を評価して必要なら生成を停止します。HarmBenchでの実験では、過剰拒否を低く抑えつつ、ジェイルブレイクの成功率をほぼ5%まで下げたと報告されています。

『Guess My Weight』：浮動小数点ニューラルネットワーク重みへのプロファイル型サイドチャネル復元

2026-10-03T00:00:00+09:00

Guess My Weight: Profiled Side-Channel Recovery of Floating-Point Neural-Network Weights arXiv · 2026年10月3日組込み機器上で推論中のニューラルネットワーク重みが、電力のサイドチャネル漏えいによって復元され得るかを検討した論文です。IEEE-754単精度表現を、既知入力と第1層重みの浮動小数点乗算を対象とするプロファイル型テンプレート攻撃で、ビット単位で復元する手法を提案しています。ChipWhisperer-Lite（Arm Cortex-M4）での実験では、171トレースで成功率99%、263トレース以降で100%と報告されています。

大規模言語モデルと拡張民主主義：LLMデジタルツインによる市民・政党の選好代表とその脆弱性の研究

2026-10-03T00:00:00+09:00

Large Language Models and Augmented Democracy arXiv · 2026年10月3日本論文は、大規模言語モデル（LLM）に基づくデジタルツイン（DT）を「拡張民主主義」の仲介役として用いる機会と課題を検討しています。ブラジルのオンライン実験データで、個人向けDTが市民の未知の政策案への選好を予測できるかを調べ、スイス議会のデータから政党単位のDTとエージェント間の討議を構築して、党内の多様な見解をどこまで捉えられるかを検証しています。さらに、プロンプトインジェクション攻撃に対する頑健性を、2023年の英国の協議実験データを用いて分析し、防御パイプラインも評価しています。

JASPER：エッジ堅牢性のための分割計算の信頼性と安全性の共同評価に関する特別セッション

2026-10-03T00:00:00+09:00

JASPER: Special Session on Joint Reliability And Security Assessment of SPlit Computing for Edge Robustness arXiv · 2026年10月3日本論文は、深層ニューラルネットワークの推論をエッジ機器とクラウドサーバーに分割する分割計算について、信頼性と安全性を一体的に評価する統一フレームワークを提案します。信頼性はニューロン単位の故障注入による平均相対精度低下（MRAD）で、安全性は特徴マップを考慮した敵対的攻撃の模擬による攻撃成功率（ASR）で評価されます。ResNet-50を用いた10種類の分割計算構成での実験では、MRADは44.3%から61.2%、ASRは最大98.8%でした。

宛先を秘匿する量子ルーティングのための不正検出型プリミティブ

2026-10-03T00:00:00+09:00

A Cheat-Sensitive Primitive for Destination-Private Quantum Routing arXiv · 2026年10月3日量子ネットワークでは中間ノードがエンタングルメントを配布するが、そのノードは利用者同士がどの相手と接続されるかを知りうる。本論文は、Alice が複数のクライアントの一つとエンタングルリンクを確立しつつ、提供者 Bob が相干符号化された要求を改ざんしていないかを検査する最小の二回呼び出しルーティング原語を提案する。量子私的クエリの隠れた順序の仕組みを応用し、選ばれたクライアントが保持する私的マッチング量子ビットで検査用の状態を復元する。明示的な宛先読取り攻撃を非零の確率で検出できることを示すが、定量的な情報と擾乱のトレードオフや合成可能な安全性はまだ示されていない。

GrayShield：Transformerモデルのサプライチェーン安全性のためのビットレベル無害化手法

2026-10-03T00:00:00+09:00

GrayShield: Bit-Level Sanitization for Transformer Model Supply-Chain Security arXiv · 2026年10月3日論文は、BERTやViTなどのTransformerモデルの32ビット浮動小数点重みの最下位ビットが、悪意あるペイロードを隠す隠れチャネルとして悪用され得ることを指摘し、AIモデルのサプライチェーンへの脅威として論じています。著者はGrayShieldを提案します。これは軽量で学習後に適用でき、データを必要としない無害化手法で、仮数部の最下位ビット・チャネルをグレイコードに基づく低遷移系列で完全に上書きします。4つのモデル設定と2種類の実マルウェアペイロードで評価され、精度への影響は1%未満、5種類の攻撃者設定下で回復率を約49.96ポイント低減したと報告されています。

機械的忘却における削除要求のモデル化：利用者がAIモデルの挙動に与える影響

2026-10-03T00:00:00+09:00

Modeling Deletion Requests in Machine Unlearning arXiv · 2026年10月3日本論文は、AIモデルにおける「消去権」を行使する際に、利用者がモデルの挙動にどのように影響しうるかを検討しています。著者らは、データ削除を要求する際に利用者がとりうる行動として「適応性」と「集団性」の二種類を定義し、確率的最適化の観点から、これらの行動を示す利用者群と示さない利用者群の理論的な差を示しています。さらに、データ価値評価の手法を用いて、現実的な状況でモデルの挙動を大きく変えうる削除要求者を設計する方法を示し、コンピュータビジョンのタスクによる実験で、適応性と集団性それぞれの影響を分離して検証しています。

CyTReX：DERネットワーク向けの説明可能なAIに基づくサイバー脅威推論フレームワーク

2026-10-03T00:00:00+09:00

CyTReX: Explainable AI-Based Cybersecurity Threat Reasoning Framework for DER Networks arXiv · 2026年10月3日本論文は、分散型エネルギー資源（DER）ネットワークのセキュリティを対象とするCyTReXフレームワークを提案します。エッジ側の異常検知システムが出すネットワーク警告を、セキュリティ運用センター（SOC）での調査に用いるための順位付けされた脅威仮説に変換します。大規模言語モデルの推論は、検知結果、SHAPによる特徴量の寄与、代理決定ルール、CTI情報を組み合わせた構造化された証拠パケットによって制約されます。評価では、完全なパイプラインが最も豊富な証拠に基づく推論文脈を提供することが示されています。

自己反省ファインチューニング：失敗経験から提示インジェクション攻撃への耐性を高めるエージェント安全化の試み

2026-10-03T00:00:00+09:00

Self-Reflection Fine-Tuning: Enhancing Agent Security against Prompt Injection Attacks from Failure Experience arXiv · 2026年10月3日本論文は、敵対的条件下で自らの失敗経験から学習させる学習フレームワーク、自己反省ファインチューニング（SRFT）を提案しています。注入攻撃で汚染された軌道を用い、専門家モデルが安全でない行動と最適な行動を対比する構造化された反省推論を生成します。Llama-3.1-8B-InstructとQwen3-8Bに基づくSR-Agentで静的および適応型の攻撃ベンチマークを評価した結果、タスク性能を保ちつつ攻撃成功率が大きく下がったと報告されています。

マルチモデル・ハーネス編成による自律型 Active Directory 攻撃：GOAD 上の NeuroSploit ベンチマーク研究

2026-10-03T00:00:00+09:00

Autonomous Active Directory Exploitation via Multi-Model Harness Orchestration: A Benchmark Study with NeuroSploit on GOAD arXiv · 2026年10月3日本論文は、オープンソースの Rust 製自律型ペネトレーションテストフレームワーク NeuroSploit v4.2.0 を、脆弱性を意図的に配置した多フォレスト型 Active Directory 検証環境 GOAD で評価したものです。フレームワークは 22 の AD 専用エージェントと 7 つの攻撃チェーン手順により、列挙から信頼関係の悪用までの攻撃過程を網羅し、大規模言語モデルを直接呼び出す方式と比較しています。フレームワークの技術カバー率は 96〜100%、直接呼び出しは 21〜54% と報告されています。

モデル駆動の再構成に耐える音声合成透かしの学習

2026-10-03T00:00:00+09:00

Learning to Watermark Speech Synthesis Against Model-Driven Reconstruction arXiv · 2026年10月3日本論文は、現代の自己回帰型TTSシステム向けに、多ビット識別子を合成音声に埋め込む生成型透かしフレームワーク「Thrive」を提案しています。著者らは、単一の透かし搬送方式は再構成モデルによって頑健性が一定しないことを示し、中間表現への透かし注入を行う「Rise」と、ビットごとの信頼性選択で波形・スペクトルの専門家を組み合わせる「Care」を設計しました。実験では、再構成攻撃下で平均87.6%の復元精度を達成し、最大10,000の候補識別子から出所を特定できることが報告されています。

言語モデルのフィンガープリンティングには透かし教師の再考が必要

2026-10-03T00:00:00+09:00

Language Model Fingerprinting Requires Rethinking Watermark Teachers arXiv · 2026年10月3日本論文は、透かし蒸留によってモデルの重みに統計的な透かし信号を埋め込み、ブラックボックスAPIの背後にあるモデルを所有者が識別できるようにする手法を扱っています。既存手法の評価では開かれた生成におけるテキスト品質の低下が過小評価されており、透かしを強くしすぎる傾向があると指摘します。そのうえで、基盤モデルの最上位予測に近い候補にのみ透かしの偏りを与える「近似同点制限」を提案し、検出性と品質の均衡を改善しています。

統計モデリングのための完全準同型暗号

2026-10-03T00:00:00+09:00

Fully Homomorphic Encryption for Statistical Modeling arXiv · 2026年10月3日本論文は、R言語の2つのパッケージ（openfhe.R と homomorpheR）を用いて、暗号化されたデータ上で統計解析を行う方法を示します。これにより、各者が元データを共有せずに共同で分析できます。検証として、分散層別 Cox 回帰と、一貫性 ADMM による連合 Cox-lasso を取り上げ、後者では拠点間の更新のみを暗号化しています。想定は正直だが好奇心のある参加者で、閾値鍵生成を用いています。

一時的な物理アクセスから持続的な監視へ：スマートホームにおける Matter の安全性が重要な理由

2026-10-03T00:00:00+09:00

From Temporary Access to Persistent Surveillance: Why Matter Matters in Smart Homes arXiv · 2026年10月3日本論文は、Matter（相互運用可能なスマートホーム標準）が暗号による機器認証とデータ秘匿に依存する一方、オープン性によりプロトコルの詳細や資格情報の構造、実装の特徴が攻撃者に知られうることを指摘しています。物理的に機器を保護していない場合、攻撃者は一時的な物理アクセスで設計・実装上の欠陥を突いて資格情報を取り出し、機器や制御器になりすますことができ、離れた後も監視と制御を続けられることを示しています。模擬スマートホームでの概念実証により実現可能性を検証し、四つの緩和策を提案しています。

分割学習の言語モデルで勾配がテキスト漏えいにどれだけ加わるか、トークン単位と文書単位で測定

2026-10-03T00:00:00+09:00

What Gradients Add to Text Leakage in Split Language Models, Counted per Token and per Document arXiv · 2026年10月3日この論文は、分割学習で言語モデルを学習する際、サーバーがクライアントから受け取る活性化値と返される勾配から元のテキストを復元できることを示します。GPT-2では、活性化値のみで94.20%のトークンを復元でき、勾配を加えると97.38%に上がります。32トークンの文書を完全に復元できた割合は13.71%から37.77%に増えました。著者らは、トークン単位と文書単位の両方で漏えいを報告し、分割モデルが送るデータを原文と同程度に機密として扱うよう勧めています。 ★★★★ 注目：分割学習では、サーバーが返す勾配が漏洩を増やすと報告。GPT-2でトークン単位の復元率は94.20%から97.38%、文書単位の完全復元率は13.71%から37.77%に上がったとしている。

合成遺伝子発現データのプライバシー監査：ノーボックス型メンバーシップ推定のための統一加重距離フレームワーク

2026-10-03T00:00:00+09:00

Auditing the Privacy of Synthetic Gene Expression Data: A Unified Weighted-Distance Framework for No-Box Membership Inference arXiv · 2026年10月3日本論文は、ELSA Health 2026 Challenge が公開した、TCGA のバルク RNA-seq データに基づく合成遺伝子発現データに対するレッドチーム評価を行ったものです。著者らは五つのノーボックス攻撃を、遺伝子の重み付け方法だけが異なる単一の加重距離フレームワークに統合しました。条件付き変分オートエンコーダに対しては、スペクトル残差化によって汎がん TCGA での AUC が 0.8251 から 0.8951 に、1% FPR での TPR が 0.3842 から 0.5970 に向上しました。一方、生物学的経路の事前情報は標的間で転移しませんでした。