arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明攀登高峰：用课程强化学习对前沿模型进行提示注入红队测试
简介本文针对大语言模型的提示注入安全风险，提出一种基于课程学习的红队攻击方法，以解决攻击模型在面对前沿模型时因全部失败而无法学习的冷启动问题。方法让攻击模型依次对抗逐步增强的目标模型，并让每个阶段都能部分成功。论文报告在AgentDyn上对GPT-5.6-Luna和GPT-5.6-Terra的攻击成功率（ASR@10）分别为93.8%和45.0%，而RL-Hammer和PISmith等对比方法均为0%。
说明窥视的代价：ML-KEM 电磁迹线上的随时有效泄漏检测
简介侧信道评估人员常在采集过程中查看泄漏检验结果，并据此决定是否继续或停止。本文研究基于投注检验的随时有效泄漏检测方法，在明确的条件对称零假设下，使误报概率在任何时间都受控。在一个公开的 ML-KEM 电磁数据集上，与固定样本量的随机化检验相比，该方法在合成数据和退化录制数据上检测到泄漏所需的迹线数量更多（约为 1.68 至 2.38 倍）。在未退化的录制数据上，监控过程平均在 62 至 316 条迹线内即提前停止。
说明SaplingGuard：面向青少年与大模型交互的多维画像感知多智能体安全护栏
简介本文提出SaplingGuard，一种即插即用、可感知用户画像与对话上下文的安全护栏，无需修改下游模型参数。它由三个智能体分别负责用户画像构建、情境化风险评估和保留意图的提示优化，用于识别青少年使用大模型时隐含的发展性风险。在包含276组三轮对话、涵盖七类发展性风险的SaplingBench上，实验显示画像感知检索将主要命中率从50.8%提升至63.7±1.1%，端到端干预使平均有害回复率由17.10%降至5.27%，平均安全得分由0.7017升至1.0043。
说明信息黑洞：探索三维点云重建中的后门机制（一种针对点云自编码器的后门攻击研究）
简介点云自编码器是三维世界表示的基础组件，但针对它的后门攻击研究较少。论文指出生成式模型的潜在分布会让良性与恶意数据相互干扰，导致重建结果偏向源数据。作者提出信息黑洞原理，并基于高斯分布约束设计自适应高斯匹配（AGM）方法，抑制中毒样本中的源几何信息传播，从而提高攻击可控性。实验在ModelNet和ShapeNetPart上进行。
说明数字从何而来：基于溯源的入侵检测评估审计
简介论文审计了九个已发布的基于溯源的入侵检测实现，并用其自带代码运行四个检测器。研究发现三类评估偏差：ThreaTrace 在计入邻域得分时精确率为 0.938，但其 994 条告警中只有 7 条带有其自身的攻击标签；去除测试集标签的检查点选择会使攻击检测精确率降低 0.16 至 0.33；一个缓冲区复用缺陷使线性编码器获得了非预期的度数相关输入。
说明随机预言机模型下签名长度的下界
简介该论文研究基于哈希的签名方案为何签名较长。作者在纯随机预言机模型中，对带非自适应验证者并满足"加盐可靠性"的签名方案给出长度下界：一次性签名的公钥与签名总长须为Ω(λ²/log λ)，多次签名则仅签名长度本身即需满足该下界。
说明遗忘一个人意味着什么？视觉语言模型中的个体层面遗忘研究
简介本文提出 IDUnlearn-Bench，这是首个面向视觉语言模型（VLM）个体层面多模态遗忘的基准。它将每个人视为相互关联的多模态证据，并评估属性访问、身份访问、身份绑定和身份重建四类任务。实验表明，以属性为中心的遗忘即使成功，往往仍保留大量身份层面的知识，且风险变化并不单调：降低一种风险可能加剧另一种风险。
说明FEILIAN 类组件中整体输出线性结构的完整分类
简介该论文针对包含 FEILIAN SubColumn 的四字 ARX 结构，确定了所有使整体输出异或导数为常数的输入差分。对任意字宽与异或线性内部映射，线性结构空间包含一个通用的二维 MSB 族，维数至多为五且可以取到。论文给出了必要且充分的分类器，并针对 64 位 FEILIAN 组件说明完整空间恰为该通用族。论文只涉及组件结构与各边界的常数性，并未对迭代置换的全部端点结构分类，也未对该哈希函数给出攻击。
说明针对头内签名（In-the-Head Signatures）的实用零分支见证攻击：一篇针对 AIMer v2.0 的密码分析论文
简介该论文指出，基于 AIM2 的 AIMer v2.0 签名方案存在一种仅依赖公开数据的伪造攻击：对每个诚实生成的公钥，攻击者都能不经签名查询而为任意消息伪造签名。作者利用中间值未被约束的零因子构造“零分支见证”，并将其补全为满足完整关系的见证，从而指出安全归约中的漏洞：满足关系的见证不一定解码为单向函数的原像。
说明HESP：在本地大模型告警分诊智能体中，将“探查什么”与“何时停止”分开处理
简介安全运营中心的告警量远超分析人员的处理能力，无法把数据送到外部托管模型的机构需要在本地硬件上用小型开源大模型自动分诊。论文提出HESP控制器，把调查流程交给模型之外的控制器管理：维护相互竞争的解释账本，按单位成本的期望信息增益选择只读探查，只接受有当前证据支撑的结论，并能自行结束调查。在五个开源模型（7B至72B）的受控分诊环境中，共7272个审计片段显示，HESP显著提高了验证完成率，并表明“探查什么”和“何时停止”是两类可分离的失败。
说明针对 EC-HMQV-C 与 ECMQV 的增强型尴尬并行攻击
简介本文在 Sarr 2025 年提出的基于加法伪随机游走的并行攻击基础上，考虑两组参与方交互的多方场景，提出三种改进攻击，分别针对 ECHMQV-C 与 ECMQV 协议。作者给出了各攻击的期望并行运行时间与各处理器的内存复杂度。以 128 位 ECHMQV-C 为例，在理想化大规模并行架构下，改进攻击的并行时间约对应 78 位安全强度。
说明编排平台中表达式沙箱的绕过研究：基于枚举与拦截机制的安全缺陷分析
简介本文指出编排平台中“枚举并拦截”式的表达式沙箱存在根本缺陷，并以 n8n 的表达式沙箱为例，通过三轮逐步升级的绕过验证了这一观点，共涉及三个 CVE 漏洞。作者还提出了信任洗白模式、AI 辅助枚举加速漏洞发现等概念，并给出覆盖率分析方法、开源工具及以白名单替代黑名单的防御建议。
说明评估用于智能体安全决策的 System One 模型：可靠性、校准与选择性自动化
简介论文研究了面向智能体安全检查的 System One 模型（如 Jev、Laya、Decider、Bespoke Nimble），并与专用分类器及语言模型裁判进行比较，考察提示注入检测、交互风险判断和有害请求筛查中的决策准确性、概率校准与选择性自动化。结论包括：总体准确率高、平均校准误差低，仍可能掩盖特定攻击组中高置信度的误判；严格漏判上限下可自动处理的输入很少；语言模型裁判能发现部分被遗漏的不安全输入，但也会重复相同错误并误报良性输入。
说明弥合差距：证明并改进 RPKI
简介本文对资源公钥基础设施（RPKI）做了首次严格的安全性分析。RPKI 是 IETF 标准，用于防范前缀劫持与子前缀劫持等跨域路由攻击。作者通过模块化的安全规范，分析 RPKI 与 BGP、IP 的交互，给出其达成安全目标的充分条件。论文指出，现有部署并不总能满足这些条件（例如存在循环依赖），并提出了符合标准的改进方案。
说明ICCS NGCC 第一轮公钥候选方案的密码分析
简介本文针对 ICCS 下一代商用密码（NGCC）第一轮公开征集的 84 个公钥候选方案进行设计层面的评估，指出 8 个无法通过局部代码修复解决的设计缺陷。这些缺陷与 NIST 后量子密码标准化中已知的问题类似，包括子环投影导致 IND-CPA 安全性降低、公开数据泄露本应保密的值、静态密钥复用缺少选择密文变换，以及拒绝采样中的符号处理泄露等价签名密钥。作者表示所有发现均在 AI 辅助下得出，并提供了相关代码仓库链接。
说明API密钥不应成为大模型词表中的词元：大模型智能体中API凭证处理的威胁分析与保险库中介执行边界的实证评估
简介本文分析了工具调用型大模型智能体中API凭证的泄露路径，并提出一种由保险库中介的执行架构：模型只选择连接器标识符，身份验证由可信请求边界提供。作者在两项受控黑盒实验中测试了名为Corvic Security Vault的生产实现，16项测试均达到预期结果，凭证未出现在所测试的各类位置中。文中同时指出一个失败案例，说明集中保管并不能保证配置正确，且保险库中介只是必要条件而非充分条件。
