Zero Knowledge Proofs in Quantum Networks
说明量子网络中的零知识证明
简介该论文提出一个基于量子态在操作约束下不可区分性的零知识验证框架。作者利用本地操作的根本限制，证明验证者无法获取基础态的信息，却仍能验证其正确性。论文还为多方量子网络构造了显式协议，实现信息论安全，使任何协作方子集都无法获得超出陈述有效性之外的知识。
★★★★★ 值得关注
Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection
说明同样的字节，不同的权限：聊天模板提示注入中的保留词元表示
简介本文研究针对大语言模型智能体的提示注入攻击：伪造的聊天模板标记（如 <|im_start|>）若以保留控制词元形式送入模型，攻击成功率明显更高。作者将这些标记改为普通子词编码并保持文本不变，在 InjecAgent 基准上使多数开源模型的攻击成功率下降 39 至 66 个百分点；标准的分词器选项并不能覆盖所有工具协议词元，因此这一差距在工具输出通道上依然存在。
看点揭示保留控制符与子词编码的权威差异并量化其对提示注入的影响，视角新颖；在多模型、InjecAgent与AgentDojo上给出充分对比与消融，结论对防御有实际影响。
Sustained Participation as a Security Resource: The Bounded Participation Channel
说明持续参与作为安全资源：有界参与通道（BPC）
简介本文提出一种名为“有界参与通道”（BPC）的形式化原语，用于按时间窗口反复验证每个身份的参与。该机制在严格期限内发出与身份绑定的新鲜挑战，并证明维持 s 个身份经历 T 个窗口至少需要 sT/τ_h 个参与通道窗口的成本下界。实验中，三款AI模型在感知类任务上准确率达97%至100%，但在测试条件下吞吐量仍受限。
Continuous Assurance of Agentic Security Auditors for Software Delivery Decision Gates
说明面向软件交付决策关卡的智能体安全审计器持续保证
简介本文针对在持续集成流水线中充当安全控制的大语言模型代码仓库审计器，提出“策略—证据—执行分离”模式，并由TAIP保证引擎实现，以持续控制态势保证（CCPA）方式运行。该方法将策略与执行分离，并把已采纳的证据绑定到版本化的态势树上。作者在固定的Python空指针解引用基准上，用未修改的RepoAudit进行了评估，包含80次执行记录，涉及两种OpenAI模型配置。在单主机测量中，1000个独立保证上下文的策略触发全量重算最大耗时为1.62秒，低于预先设定的5秒预算。
Implementing Data Diodes Using Commodity Hardware and Open Source Software
说明使用普通硬件和开源软件实现数据二极管
简介数据二极管是只允许单向传输数据的网络设备，用于抵御复杂网络攻击，常见于核电站和政府机构。本文表明其硬件可由普通光纤网络设备组装，并针对软件层面的丢包问题进行研究：测得多数丢包由接收程序处理过慢造成，且常成簇出现；在不使用超级用户权限的情况下，作者找到了减少丢包的方法。文章还测试了netcat、UDPcast和lidi三个开源程序，并为UDPcast和lidi找到了可靠配置，最终将成果整合进跨平台程序pydiode。
★★★★★ 值得关注
Generic Bounds for Multi-Instance Problems: The Strange Case of Inverse Diffie-Hellman
说明通用群中多实例问题的界：逆 Diffie-Hellman 的特殊情形
简介本文研究素数阶群上多实例问题（给定 n 个独立实例、解出至少 k 个即成功）的通用群困难性，涵盖多实例 CDH、SDH、IDH 与 LKDH。结果显示多实例 CDH 和 SDH 在通用群中与解 k 个独立离散对数相当困难；而多实例 IDH（及 LKDH）在某些参数范围内可能明显比多实例 CDH 更容易。所有问题均提供 1/2(log(p)+log(k)) 比特安全性。作者扩展了 Yun 的超平面查询模型，并借助代数几何（Gröbner 基与 Krull 维数）推导下界。
看点通过通用群下界分析多实例问题，证明多实例IDH可显著易于CDH，并扩展Yun的超平面查询模型，新意突出；证明严格完整。
Poster: Towards ProofWeave: A Privacy-Minimised, Integrity-Anchored Evidence Plane for Continuous Agentic Assurance
说明海报：迈向ProofWeave——面向持续智能体保障的隐私最小化、完整性锚定证据平面
简介论文提出ProofWeave，一种面向智能体AI系统的记录时证据链概念。在每个策略相关动作边界，它生成隐私最小化且具完整性锚定的证据交易，绑定智能体意图、控制响应和策略快照，并写入只追加账本。在一个将机密发送至未授权外部接收端的场景中，与仅依赖日志的基线相比，该方法在候选绑定数、验证操作数和证据存储量上均显著降低。
TANGO: Watermarking Masked Diffusion Language Models in Token Pairs
说明TANGO：在词元对中为掩码扩散语言模型加水印
简介论文提出TANGO，一种用于掩码扩散语言模型的文本水印方法。它让每个新生成的词元与附近已解掩码的词元配对，通过密钥划分词汇颜色类别，并使新词元偏向由密钥和邻近词元颜色决定的类别。检测只需文本和密钥，不依赖解掩码顺序；在两个模型上，它能检测出几乎所有未编辑和大部分编辑过的水印文本，且针对固定绿名单的频率攻击失效。
OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates
说明OT-PCA：基于离线模板、针对HQC的新型明文检查预言机侧信道密钥恢复攻击
简介本文提出OT-PCA方法，针对基于汉明准循环码的后量子加密方案HQC，利用明文检查预言机进行侧信道攻击。该方法借助公开可访问的HQC解码器构建离线模板，并通过遗传式算法优化。模拟结果显示，与现有方法相比，所需预言机调用次数显著减少（hqc-128降低2.4倍），在预言机准确率降至95%时仍具较强抗干扰能力，并在ARM Cortex-M4微控制器上通过功耗分析完成了实际验证。
Trajectory-Level Security Debt in LLM Coding Agents
说明LLM 编程智能体轨迹层面的安全债务研究
简介本文关注大语言模型编程智能体在提交方案前经历的大量中间代码状态，指出仅评估最终产物无法衡量安全发现的演变。作者提出安全债务线积分（SDLI），在智能体达到新的最佳测试通过率时累积静态分析风险，并用四种静态应用安全测试工具，对 SWE-bench、ProgramBench 和 MirrorCode 的多组运行结果进行了分析。文中强调，这些结果是扫描器发现而非已验证的漏洞率。
★★★★☆ 值得关注
Batch Decryption from New Standard Assumptions
说明基于新标准假设的批量解密
简介本文研究批量解密：授权方发布一个短密钥，使公众能够解密选定的一批密文。受加密内存池（encrypted mempools）启发，作者给出两种授权语义与假设不同的构造。第一种是基于 Fiat 的 Batch RSA 的无纪元 RSA 群方案，解密提示仅为一个群元素，在随机预言机模型下于强 RSA 假设下证明自适应安全。第二种是基于纪元模型的通用构造，依赖计算性 Diffie-Hellman 假设实例化。
看点在RSA群中给出无需预设批量上界的紧凑批解密构造，并在强RSA假设下证明自适应安全，并给出基于标准假设的通用构造，新意明显。
★★★★☆ 值得关注
Right Facts, Wrong Rule: Scope-Transfer Poisoning of Retrieval-Augmented Generation
说明事实正确，规则误用：检索增强生成中的适用范围迁移投毒
简介该论文研究检索增强生成（RAG）系统中的规则适用范围误用问题：规则在其文档所述范围内有效，却被套用到范围之外的问题上，使正确事实支撑错误答案。作者提出基于LLM智能体的攻击框架LENS用于构造可审计的此类失效实例，并通过适用性审查将目标错误率从70.8%降至16.4%。
看点提出规则适用范围误用这一新失效模式并构建攻击框架，实验覆盖多个基准和生成器，并通过适用性审计验证因果，影响面较广。
Adaptively UC-Secure Oblivious Transfer from Group Actions
说明基于群作用的自适应UC安全不经意传输
简介本文提出首个基于群作用（以CSIDH等有效群作用为假设）的自适应UC安全不经意传输协议，发送方持两条消息，接收方只能获知其中一条且不泄露选择。作者沿用BC15框架，关键在于构造兼具SPHF友好性与IND-CCA安全性的加密方案，并给出可验证的变色龙哈希与基于随机预言模型的公开可验证加密，从而得到后量子安全的OT协议。
When Valid Tool Calls Change Meaning: Formation-Consistent Dispatch for LLM Agents
说明当合法的工具调用改变含义：面向 LLM 智能体的形成一致性调度
简介论文指出，智能体依据模型可见的接口生成工具调用，而宿主之后才选择实际实现，标准调度忽略了描述与处理程序之间的关系，导致同样的合法调用在上线、重连或延迟审批时可能产生不同安全影响，作者称之为模式纪元漂移。文中提出形成一致性调度（FCD），将实现分析与执行权限相连接，并在封闭目标审批策略下验证调用效果是否符合其安全约定；在 32 个官方发布版本的测试中，29 个无需针对版本修改，3 个被升级处理。
Efficient TCitH-Based Alternatives to SLH-DSA: Cross-Layer ASIC Design of Mirath
说明基于TCitH的SLH-DSA替代方案：Mirath的跨层ASIC设计
简介为应对量子计算机带来的安全风险，NIST已标准化ML-DSA、FN-DSA和SLH-DSA等后量子签名方案，并在评估非格类候选方案作为SLH-DSA替代。本文以TCitH为基础的签名方案Mirath为对象，采用算法与硬件结合的跨层方法，在RISC-V系统中给出其ASIC实现。与同一22nm FD-SOI工艺下的SLH-DSA ASIC相比，该设计签名延迟降低17.8倍，总单元面积减少58%。
★★★★☆ 值得关注
Decryption Failures in NGCC Lattice KEMs: Correlated Blocks, Omitted Compression Noise, and Failure Boosting under a Query Cap
说明NGCC格基KEM的解密失败：相关块、遗漏的压缩噪声与查询上限下的失败增强
简介本文重新计算中国NGCC后量子竞赛中若干格基KEM的解密失败概率，并估计在2^64或2^80次解封装查询上限下寻找弱密文的离线搜索代价。研究指出三类机制：解码块中的相关性、Cheetah中遗漏的压缩噪声项，以及Rudraksh2和Scabbard二维编码中的有界噪声。作者报告多个参数集的失败概率低于其声称的名义水平，但不恢复任何密钥。
看点发现多种解码失效机制并重新估计失效率，揭示若干参数集实际安全裕度不足，有较强新意；证据依赖模型假设与外推，且结论涉及公开竞赛方案。
★★★★☆ 值得关注
Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli
说明分圆陪集：素数幂模数下的隐子群与量子筛法算法
简介该论文针对后量子密码基础假设LWE，提出分圆陪集问题（CCP），作为二面体陪集问题的分圆推广，并保留精确的隐子群结构。作者利用分圆环中的π进理想链，构造了逐步约简相位态的量子筛法，对固定素数p和模数q=p^t，可在2^{O_p(log n log q)}时间与样本复杂度下求解CCP，并将结果推广到均匀EDCP与高斯情形。作者强调，该结果本身并不能给出标准LWE的拟多项式时间算法。
看点提出循环群陪集问题及基于π-adic理想链的量子筛法，把已知的2的幂情形推广到素数幂模，并给出拟多项式时间算法，但不直接适用于标准LWE。
Still There, No Longer Seen: Exposing Compression-Induced Risk in Large Vision-Language Models
说明《仍在，却不再被看见》：揭示大型视觉语言模型中压缩引发的风险
简介该论文研究视觉语言模型为降低推理成本而对视觉token进行压缩后所产生的风险。作者定义了“压缩特定失效”，即完整推理下正确、压缩后失败的对抗输入。基于此提出CIRA攻击方法，在仅能访问视觉编码器的白盒条件下扰动图像，使压缩后的模型更容易出错。实验显示该攻击在多组设置中有效，且防御方法能部分抑制它。
Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli
说明分圆陪集：素数幂模数下的隐藏子群与量子筛法算法
简介本文针对后量子密码中的LWE问题，提出了分圆陪集问题（CCP），它是对二面体陪集问题（DCP）的分圆推广，并保留了精确的隐藏子群结构。作者利用π-adic理想链构造量子筛法，对于固定素数p和模数q=p^t，可在2^{O_p(log n log q)}的时间和样本复杂度内求解CCP，且空间为多项式级。作者同时指出，该结果本身并不能直接得到标准LWE的拟多项式时间算法。
★★★★☆ 值得关注
ML-DSA masking sweetened with SUCRE: Shuffle-and-Unmask Countermeasure for REjection sampling
说明ML-DSA掩码方案SUCRE：面向拒绝采样的洗牌与解掩码防护
简介本文提出SUCRE，一种用于保护ML-DSA（NIST标准化的后量子签名方案）拒绝采样步骤、防范物理侧信道攻击的对策。它通过掩码组件在解掩码的同时随机置换向量系数，保持无穷范数不变，从而无需复杂的掩码转换。作者给出形式化安全证明，并基于新的模块带舍入学习（MLWR）变体假设进行了具体安全分析；实现上比Coron等人（TCHES 2024）的方法快四到六倍，但内存占用增加。
看点提出新的随机置换解掩码门以保护ML-DSA拒绝采样，并给出新的MLWR变体安全性分析，较已有工作有实质创新。
Before Acting, Change the State: Prospective State Intervention for Web Agents under Deceptive Interfaces
说明先改变状态再行动：面向欺骗性界面的网页智能体前瞻状态干预
简介基于大语言模型的网页智能体可自主完成用户任务，但欺骗性界面可能使其得出违背用户利益的结果。论文指出一种新的失效模式：即使动作符合任务要求，因当前网页状态仍可能产生未经授权的后果。为此提出Veer，在动作将产生未授权后果时，先构建通往安全状态的前瞻干预轨迹并执行验证，再修改实际环境。在TrickyArena和WebDecept上，Veer在三种评测设定中安全任务完成率最高，并将WebDecept上的暗模式成功率降至0.3%。
JevVibe: Efficient Classification-Guided Secure Code Generation
说明JevVibe：基于分类引导的高效安全代码生成
简介该论文针对大语言模型生成的代码可能存在安全漏洞的问题，提出Jev分类模型，从预设候选项中直接选择CWE（通用弱点枚举）标签并给出概率，无需自回归生成。在1916个CyberSecEval样本的50类分类任务中，Jev在所有开源基线上表现更好，与GPT-5.6-Sol相比各有优势。研究还基于Jev构建了修复代理JevVibe，使安全通过率从63.5%提升至70.7%，高于LLM引导修复的66.1%。
DGF-Bench: A Benchmark for Simulating and Auditing Deception Against Multi-Agent Governance Boards
说明DGF-Bench：用于模拟并审计针对多智能体治理委员会欺骗行为的基准测试
简介这是一篇arXiv论文，提出DGF-Bench基准，让大语言模型智能体组成的委员会审查合成项目材料，并模拟攻击者在组织不担保的证据中植入欺骗性内容。测试中，多数模型在大多数关卡中结论准确，但“任务对齐”的攻击（模仿组织自身流程）仍能使部分模型的正确判定数大幅下降。文中还给出DGF评分，并附有可一条命令运行的开源工具包dgf-bench。
JEV as a Judge for Agent Trace Security: An Empirical Comparison with Generative LLM Judges
说明JEV 作为智能体轨迹安全的裁判：与生成式大模型裁判的实证比较
简介该论文研究工具调用型智能体的轨迹安全评估，比较了一种类型化决策模型 JEV 与四种生成式大模型裁判。在四个基准数据集、共 5,219 条轨迹上，JEV 的平均正类 F1 为 77.8，高于表现最好的生成式配置 GLM-5.2 的 74.1。JEV 中位调用延迟为 0.99 秒，每次有效判定的估计成本约为 0.000195 美元，作者据此认为它可作为一种经济的筛查信号，但在精确率和召回率上存在权衡。
TEE Anchor: Cross-TEE Organizational Endorsement for Mitigating TEE Physical Attacks
说明TEE Anchor：跨 TEE 组织背书，缓解 TEE 物理攻击
简介2025 年出现了针对 TEE 的实际物理接入攻击（如 TEE.fail 与 Battering RAM），对现有 TEE 构成严重威胁。论文提出 TEE Anchor，基于 X.509 证书，由组织对每颗 CPU 的唯一 Chip ID 签发证书以建立自身 PKI，验证者通过比对证明文据中的 Chip ID 来证明机器归属，无需 (v)TPM 等额外信任根，并称其在部署成本上优于既有方案，且原型实现的各项操作可在几毫秒内完成。
Physics-Attested Federated Learning: Securing Collaborative Anomaly Detection in Critical Water Infrastructure
说明物理认证联邦学习：保障关键水基础设施中协同异常检测的安全
简介该论文针对联邦学习中的数据投毒问题，提出用自动挖掘的物理过程不变量（如守恒定律、执行器耦合）作为联邦更新的可验证准入条件。作者在SWaT、WADI两个物理水处理测试床及BATADAL配电基准上，测试了七种聚合规则应对数据伪造、重放投毒和自适应攻击的效果。论文还利用零知识证明让客户端在不泄露运行遥测数据的前提下证明其数据符合不变量。
CoSec: Benchmarking Agent Security in Communities
说明CoSec：社区环境中智能体安全性的基准测试
简介本文提出CoSec，一个可执行的基准测试，用于评估在社区内外运行的大语言模型智能体的隐私保护与授权执行情况。该基准包含208个场景，涵盖固定与动态变化的社区边界、智能体所有者或其他参与者的受保护信息，以及通过对话、环境内容、持久记忆和组合工作流发起的攻击。结果显示，智能体常能完成良性任务，却会违反隐私与授权边界，说明任务效用并不等同于隐私或授权合规。
★★★★☆ 值得关注
Geometric Forgeries: Structural Cryptanalysis of MAYO
说明几何伪造：对 MAYO 的结构性密码分析
简介MAYO 是一种基于 UOV 的后量子签名方案，利用 whipping 变换使公钥更紧凑。本文提出首个利用其多元二次映射几何结构的结构性伪造攻击，并结合伪油攻击与降至二元域的方法，同时提出针对齐次多元二次映射的多目标归约。作者称，该组合攻击使 MAYO 第二轮 I 级和 III 级参数的估计安全位数分别降低约 18 和 16 位，其中 I 级参数低于要求的安全级别 15 位；对第三轮参数，攻击也分别降低约 6、4、2 位，使 MAYO2 低于要求 3 位。
看点首次利用whipping变换引发的几何结构进行伪造攻击，并结合多目标归约，新意明显；证据以估算比特安全性为主，缺少实际攻击实现。
★★★★☆ 值得关注
Optimizing and Securing the Modern Watermarking Channel for Images
说明优化并保障现代图像水印信道的安全性
简介为满足要求可追溯生成内容的新规定，现代水印多采用事后多比特水印方案，其编码器与解码器为深度神经网络。本文提出一个基于编码器-解码器输出统计分析的通用理论模型，指出这些网络隐含的水印信道可视为并行AWGN信道，并采用BPSK调制，从而限制了容量且缺乏密钥、存在安全缺陷。在此基础上，论文提出SNW系统，在容量上显著优于现有基线，并提供较强的安全保证。
看点提出统计模型揭示深度水印通道实为BPSK平行AWGN信道并给出安全性形式化，同时设计出容量接近香农极限的新系统，新意较突出；但证据主要依赖摘要所述的理论与对比，实验细节不足。
Binding Humans to Keys: A Secure Decentralized Proof of Personhood Protocol
说明将人与密钥绑定：一种安全的去中心化人格证明协议
简介本文提出一种名为 S-GYID 的去中心化人格证明协议，用于在没有可信中心机构的情况下，将数字身份与唯一的真实个人进行密码学绑定。协议通过基于加密的数字指纹派生代替原始生物特征传输，以抵御身份盗用攻击和幽灵密钥攻击，并采用三层分代授权结构与基于 VRF 的会话选择来限制长期共谋。作者在标准密码学假设下证明了相关抗攻击性质，并给出会话捕获的超几何分析以确定参数设计规则。
StallGrid: Measuring Internet-exposed Engagement in Protocol-Native OT Tarpits
说明StallGrid：在工控协议内拖延扫描器的诱捕系统及其互联网暴露下的交互测量
简介本文提出 StallGrid，这是据作者所知首个面向工业控制系统（OT/ICS）的应用层拖延（tarpit）系统，通过 Modbus 异常码和 IEC-104 连接状态拖住扫描器。五个变体运行 24 天，记录了 6,709 个会话和超过 2,000 小时的累计连接交互。作者认为，这类协议原生拖延可作为无法及时打补丁的工控环境中的低成本补充防御。
An improved near-capacity lower bound for Reed-Solomon lists on multiplicative subgroups
说明乘法子群上 Reed-Solomon 列表的改进近容量下界
简介论文给出一种基础构造，在乘法子群上得到大规模的 Reed-Solomon 列表。对固定有理码率，列表大小的指数首项比 Arnon、Boneh 与 Fenzi 给出的对踵下界翻倍。作者还证明 S-two 白皮书通用列表规模猜想中的指数常数 c2 至少为 2。
An Operator-Norm Approach to Security with Quantum Advice
说明量子建议下安全性的算子范数方法：一篇量子密码学理论论文
简介本文针对量子随机预言机与随机置换模型，提出一种用于非均匀安全性的算子范数方法，统一处理搜索成功概率与区分优势的归约。框架可为Yao盒（有无加盐）给出紧致界，改进伪随机生成器的界，并证明判定博弈的最优通用加盐定理。作者还通过区分离线与在线查询贡献的博弈性质，得到特定加盐构造的更强界，包括在对数因子内紧致的加盐置换求逆和随机函数求逆。
★★★★★ 值得关注
An Operator-Norm Approach to Security with Quantum Advice
说明量子建议下安全性的算子范数方法
简介本文提出一种用于量子随机预言机与随机置换模型中非一致安全性的算子范数方法。该方法为搜索成功概率和区分优势提供统一的归约，并对Yao盒、伪随机生成器及加盐构造给出更紧的界。
看点提出统一的算子范数方法处理非均匀安全，给出Yao盒子与加盐的紧界，改进了决策游戏的旧界，证明严格。
AuxMark: Defending Against Unauthorized Agent Distillation via Auxiliary Behavioral Watermarking
说明AuxMark：通过辅助行为水印防御未经授权的智能体蒸馏
简介论文提出AuxMark，一种用于追踪未经授权智能体蒸馏的行为水印框架。它在教师智能体的轨迹中动态插入无害的非必要辅助动作，并将相关上下文保存为私有证据卡，通过成对的真实与虚假探针和卡片级符号检验，以黑盒方式审计可疑学生模型。实验涉及三个智能体基准、两个教师智能体和四种学生架构，文中报告检测到全部24个蒸馏模型，在48个干净模型上零误报，并在数据泛洪、改写、截断和自适应清洗攻击下保持有效。
★★★★★ 值得关注
MMSkillRisk: Can Agents Stay Safe When Multimodal Skills Become Traps?
说明MMSkillRisk：当多模态技能成为陷阱，智能体还能保持安全吗？
简介该论文提出 MMSkillRisk，这是一个专门用于评估多模态技能中图像攻击端到端安全性的基准。研究设计了一种攻击方式，把恶意指令伪装成教学图片中的标注、界面标签等原生组成部分。在九种模型与运行环境配置下的测试显示，该攻击的总体成功率为 43.1%，高于文本攻击基线 16.4 个百分点，并且攻击成功与合法任务完成可能同时出现。
看点首次系统评估图像携带的多模态技能攻击的运行时安全风险，设计NCVA并在九种配置中以隔离沙箱实测，ASR超过文本基线16.4个百分点。
★★★★☆ 值得关注
SEAD: A State-Based Perspective on Attack and Defense in Tool-Using Agents
说明SEAD：从状态视角看工具调用智能体的攻击与防御
简介该论文把语言模型智能体的攻击与防御统一为部分可观测的状态控制问题。提出的攻击方法DART把有害目标拆解为局部看似合理的步骤，并利用工具执行反馈引导轨迹搜索；防御方法SAGE在放行或拦截每一步动作前，可通过只读查询调查相关状态。实验显示，DART的语义攻击成功率比基线高18.8至35.9个百分点，SAGE在录制轨迹上保留了95.79%的良性轨迹，并拦截了92.73%的有害路径，在在线评估中把DART的可执行攻击成功率从48.0%降至4.0%。
看点将攻防统一为部分可观测状态控制，提出DART分解攻击与SAGE只读查询防御；在多模型和在线评估中有较完整的实验支撑，影响面对工具使用智能体安全较显著。
How to Tame a Multi-Headed Hydra? Adaptive Multi-Category Safety Steering for Large Language Models
说明如何驯服多头九头蛇？面向大语言模型的自适应多类别安全引导
简介本文提出CAM-Steer框架，用于在大语言模型推理时调整内部激活，以提升安全性。它先将当前隐藏状态与安全和不安全的原型比较，估计各危害类别的风险，再据此合成单一引导方向并决定干预强度，并在保持隐藏状态范数的前提下旋转隐藏状态。作者在三种模型骨干和七个危害类别上进行实验，结果显示该方法在平均防御成功率上优于对比基线，包括多类别同时出现的情况，推理开销可以忽略。
★★★★☆ 值得关注
CoDeL: Co-Evolutionary Defense against Indirect Prompt Injection in LLM-based Agents
说明CoDeL：针对基于大模型智能体的间接提示注入攻击的协同演化防御
简介本文提出CoDeL，一种训练式防御方法，用于防范大语言模型智能体遭受的间接提示注入攻击。防御模型与攻击探测器协同演化：防御方通过LoRA和GDPO在安全、任务进展与格式合规的解耦奖励下更新，探测器则不断寻找仍能突破防御的注入样本。实验基于三个基准、九个基线和两个基础模型，报告攻击成功率降低88.5%。
看点提出防御与攻击者协同进化的训练框架，攻击者按攻击延迟挖掘漏洞，形成动态课程；在三个基准、九个基线上验证，ASR降低88.5%。
★★★★☆ 值得关注
Cheap to Hypothesize, Costly to Verify: The Defense Surface of Agentic Vulnerability Discovery
说明假设容易，验证昂贵：智能体漏洞发现中的防御面
简介论文指出，自主大模型智能体在有限预算下生成漏洞假设的成本远低于验证其可达性、执行与概念验证的成本，因此验证工作本身成为一种可被利用的防御面。作者提出RedHerring方法，植入经认证安全的诱饵代码，把验证资源引向假漏洞。在33个OSS-Fuzz项目、70个评测实例和五个模型上，真实漏洞发现数量减少38.7%至60.4%。
看点提出验证不对称性并设计可证明安全的诱饵防御，新颖；但仅在33个开源项目、70个实例上评估，证据规模中等。
Breaking Windows Malware Detection: A Comprehensive Evaluation of Problem-Space Adversarial Robustness
说明Windows恶意软件检测的问题空间对抗鲁棒性综合评估
简介本文对九种先进的规避攻击方法在八个Windows恶意软件检测器（七个开源模型和一个商业检测器）上进行了大规模统一评估，所有攻击均保持样本可执行。研究从攻击效果、互补性、可迁移性和对抗加固等角度衡量检测器的鲁棒性。结果显示，检测器的脆弱性与模型表示方式和攻击类型密切相关，没有任何一类检测器对所有攻击都具有稳健性。
ReproBench: Benchmarking LLM Agents on Reproducing Vulnerability From Scratch
说明ReproBench：评测大模型智能体从零复现漏洞的能力
简介该论文提出 ReproBench 基准，用于测试大模型智能体仅凭一个 CVE 编号、从零开始完整复现漏洞的能力，并把流程拆分为六个阶段分别评估。基准基于 30 个真实物联网固件漏洞构建。结果显示，45.3% 的测试运行采用了漏洞模拟这一变通方法，仅 5.3% 的 CVE-模型组合成功复现了真实漏洞。
Similarity Is Not Validity: Defending LLM Semantic Caches Against Poisoning
说明相似不等于有效：防御 LLM 语义缓存被投毒
简介语义缓存通过复用语义相近查询的历史回答来降低大模型服务成本，但检索只依据查询嵌入的相似度，攻击者可用高相似度的查询缓存恶意回答，从而投毒。论文提出一种防御方法，从缓存键的原始文本中恢复区分有效与无效命中所需的信息，利用对抗查询中“改写加残留内容”的结构进行检测。在三类投毒攻击中，该方法在误报率 5% 时可拦截 82.0% 至 98.2% 的投毒条目，且服务开销可忽略。
★★★★★ 值得关注
Quantum Security of XOR of Permutations via Fourier Analysis
说明基于傅里叶分析的置换异或（XoP）量子安全性研究
简介该论文研究由多个独立随机置换异或而成的函数（XoP）在量子攻击下的安全性，这是超越生日界的经典构造。作者证明，对于任意 q 次量子查询，XoP 与随机函数的可区分优势有明确上界，且在 q 远小于 2^n 的整个查询范围内保持安全。论文采用傅里叶分析形式的多项式方法完成证明，并给出若干启发式攻击以说明界可能是紧的。
看点首次证明XOR置换构造在量子查询下达到超生日界安全，并以傅里叶多项式方法统一处理低次分量，理论突破显著。
★★★★☆ 值得关注
Coherence Rather Than Error Rate Governs Privacy in Multi-Tenant Quantum Computing
说明多租户量子计算中，决定隐私的是相干性而非错误率
简介论文研究云量子处理器上多个租户共享设备时，一方能从另一方处获知多少信息。作者提出基于量子态可区分性的信息泄露度量，并在IBM Kingston（156比特）和IQM Garnet（20比特）设备上测量。结果显示，基准错误率相同的边界，泄露量可能显著不同，因为常规错误指标无法反映误差是相干还是随机的。论文还测试了在受害者寄存器上施加均匀Pauli随机化的防御，可将泄露降为零，但实验显示误差累积会带来明显的性能下降。
看点提出基于量子态可区分性的跨租户信息泄露度量，揭示平均误差无法反映隐私风险；在两台商用量子设备上测量，证据规模有限。
TPOKÉ: Threshold Public-Key Encryption from POKÉ via Isogeny Sharing
说明TPOKÉ：基于同源共享、由 POKÉ 构造的门限公钥加密方案
简介本文提出 TPOKÉ 系列门限公钥加密方案，基于 Basso 与 Maino 提出的高效同源公钥加密方案 POKÉ。作者给出两种构造：S-TPOKÉ 为主要方案，支持 (t,n) 门限；Ch-TPOKÉ 将各方的秘密同源以链式排列。相比朴素的并行构造，两者减少了加密时需计算的同源数量，并在 n 较大时使密文大小约减半。
Before Agents Act: Assurance-Aware Semantic Scheduling for Evidence Acquisition in Distributed Systems
说明在智能体行动前：面向分布式系统证据获取的保证感知语义调度
简介论文提出AAS方法，在配额、多样性、时效、截止期限和资源约束下联合选择证据见证并安排获取顺序，以避免工具调用型智能体在准入前因证据过期而做出错误的基础设施变更。在三组生成的基础设施工作负载的受控仿真中，AAS得到的有效候选方案为1075/1200，高于约束感知前向调度的647/1200，过期候选从440降至12。作者同时指出，该结果仅来自仿真，且有界评测预言与其共享时序搜索组件，向实际部署系统的迁移尚未验证。
Separation of Duties for Privileged LLM Agents: A Governed Execution Architecture with Measured Security-Utility Trade-offs
说明特权大语言模型智能体的职责分离：带可测量安全与效用权衡的受控执行架构
简介大语言模型智能体获得执行命令、修改文件、调用接口等真实权限，出错时动作已经生效。本文提出在模型之外对执行路径加以管控的架构，在智能体与操作系统之间设置规划者、策略闸门、执行者和审计者四个角色，并以结构化意图和一次性绑定的审批凭证为核心设计。在313个案例的基准上，有效攻击成功率从直接执行时的98.3%降至部署后的7.7%，误拒率校正后为11.1%。
Error Propagation-Aware Scale Design for Efficient Homomorphic Encryption-Based LLM Inference
说明面向高效同态加密大模型推理的误差传播感知缩放设计
简介该论文针对基于 CKKS 方案的隐私保护大语言模型推理，提出一种考虑误差传播的缩放（scale）设计方法。作者分析各同态运算引入的数值误差如何在 Transformer 后续计算中传播，据此为每个操作分配合适的缩放与模数级别，避免过度保守。与 THOR 相比，该方法在标准 Transformer 上使模数消耗降低 30.0%，自举操作次数减少 83.6%；与 PowerFormer 相比，在对 HE 友好的 Transformer 上模数消耗降低 33.6%，自举次数减少 80%。
★★★★☆ 值得关注
Quantum Security of XOR of Permutations via Fourier Analysis
说明基于傅里叶分析的置换异或构造的量子安全性
简介论文研究由 r 个独立随机置换异或而成的函数（XoP）在量子攻击者面前的安全性，证明其在 q ≤ 2^n/57774 的查询范围内与随机函数不可区分，远超量子生日界。作者用傅里叶分析的多项式方法给出界，并给出启发式攻击说明界可能紧。
看点首次给出置换异或构造在量子查询下超越生日界的安全性证明，并结合傅里叶分析与压缩预言机，证明较严谨。
CATP: Design and Evaluation of Local Agent Authorization and Audit Evidence
说明CATP：本地智能体授权与审计证据的设计与评估
简介论文提出CATP规范，用于把本地运行前的授权决策转化为可离线验证的审计证据。在Claude Code和Codex上的实验发现五项缺失的一致性检查，补充后判定结果符合预期，同时指出不同参数可能归一化为相同动作的问题。证据的可信度仍以可信运行时、监控器、主机和签名密钥为前提，不证明执行真实性。
RADNPO: Reference-free Adaptive Negative Preference Optimization for LLM Unlearning
说明RADNPO：面向大语言模型遗忘的无参考自适应负偏好优化方法
简介大语言模型在预训练中可能记住敏感、隐私或受版权保护的内容，因此需要机器遗忘技术。本文提出RADNPO方法，在抑制遗忘目标概率的同时，显式引导下一词概率分布的重新分配。该方法将每个遗忘目标与当前分布偏好的其他词进行对比，并根据目标置信度和分布集中度自适应调节遗忘强度。在TOFU和MUSE数据集上的实验显示，RADNPO在遗忘效果与模型效用之间取得了优于现有基线的平衡。
★★★★☆ 值得关注
Certified Multi-Source Integrity for Structured Agent Actions
说明面向结构化智能体操作的可认证多源完整性
简介大语言模型智能体越来越多地执行带有权限、且往往不可逆的结构化操作（如支付发票），而这些操作的字段可能来自会被攻击者篡改的文档和工具输出。本文提出一种安全认证器，仅在每个字段的证据结构支持时才批准操作，包括基于最小击中集的损坏半径、确定性对账和可信锚点。作者在真实智能体循环中测试五个模型，结果显示认证器不批准不安全操作，而基线方法在某些攻击下失效。
看点提出在共享上游来源腐败预算下认证结构化动作完整性的框架，并给出最大活跃安全认证器，新颖性较高；实验覆盖制裁名单与供应链数据及真实代理循环，证据较充分。
Raising the Bar for Chinese Adolescent LLM Safety: A Culturally-Grounded, Fine-Grained Benchmark
说明提升中文青少年大模型安全基准：基于文化背景的细粒度评测（QH-Bench）
简介论文提出 QH-Bench，一个面向青少年内容安全、以中国社会文化场景为基础的中文基准，包含 715 道单轮测试题和 100 条四轮对话轨迹。对 13 个开源模型的评测显示，线下接触类场景是共同弱点，多数模型在相关题目上得到负分。作者指出，领先的综合分数并不能说明这些具体弱点已经解决。
★★★★☆ 值得关注
Improved Cryptanalysis of Local PRGs
说明本地伪随机生成器的改进密码分析
简介本文针对以 XorMaj 谓词构造的本地伪随机生成器（PRG），提出两种种子恢复攻击。对局部性较大的情形，作者将 GAS 框架扩展为猜测-过滤-求解（GFS），在短输出时明显优于 GAS；另提出过滤-猜测-传播（FGP）攻击，相比 GADec 显著加速信念传播。两者亦被推广到 XorMod 谓词，并应用于两个协议，分别对证人不可区分性和 OT 接收者隐私构成攻击。
看点在Group-and-Solve与GADec基础上提出GFS和FGP两种改进攻击，实验对比显著优于已有方法，对局部伪随机生成器的安全评估有较大影响。
Long-Term Operational Planning Using Scenario-Based System Load Forecasting
说明基于情景负荷预测的长期运行停电规划研究
简介北弗吉尼亚超大规模数据中心快速增长，推高当地用电需求，电力公司需要加强输电网络，相关施工需提前数月规划停电。传统方法多依据月度或季节性峰值负荷进行逐日评估，较为保守，常导致短时停电被推迟或否决。本文以日、周、月多粒度负荷预测（SARIMA、Prophet、梯度提升、随机森林）结合自下而上的时间一致性调整，与传统峰值方法进行比较。结果显示，粒度更细的预测可减少不必要的保守性，在不改变现有可靠性标准的前提下，更好地容纳停电请求，尤其是短时停电。
★★★★☆ 值得关注
Dual lattice attacks for bounded distance decoding, revisited
说明双重格攻击在有界距离解码中的重新分析：一种无需启发式假设的渐近权衡
简介本文研究双重格攻击中对短对偶向量得分独立性的假设。作者在Haar随机格模型下，不依赖启发式假设，证明了带预处理的有界距离解码（判定版本）的显式渐近权衡。利用Siegel与Rogers的矩恒等式分析完整对偶球上的余弦得分，并界定区分目标与均匀目标的错误概率。优化对偶半径后，得到的目标半径与查询时间之间的权衡与Ducas-Pulles条件模型的渐近预测一致。
看点在Haar随机格模型中无启发式假设地证明了BDD预处理的渐近权衡，并与条件模型预测一致，填补了已有分析的空白。
Faultless: A Program Equivalence Technique for Validating and Evaluating Neural Decompilers
说明Faultless：用于验证和评估神经反编译器的程序等价性技术
简介本文提出 Faultless，一种程序等价性技术，用于对神经反编译器做翻译验证和模型评估。它将神经反编译器的输出与具有更强正确性保证的确定性反编译器结果，或与参考答案进行比较。论文指出，神经反编译存在上下文有限和语义不一致等问题，现有等价性方法难以应对，因此 Faultless 采用基于静态符号执行的方法，并设计了专门的执行模型和内存模型。
LoRo-Mark:Provably Lossless and Robust Agent Watermarking
说明LoRo-Mark：可证明无损且鲁棒的智能体水印方法
简介论文针对LLM智能体被第三方打包复用的问题，提出LoRo-Mark水印机制，在不影响正常功能的前提下嵌入所有权证据。该方法把水印放在仅由所有者授权请求激活的密码学认证取证分支中，并将信息冗余分布于取证行为序列，以在部分行为替换或序列截断后仍可恢复。实验显示，在多个LLM智能体上正常任务无性能下降，且在序列修改后仍能可靠验证所有权。
PerceptFence: Content-Mediation Architecture and Deterministic Coverage for Screen-Share AI Assistants
说明PerceptFence：屏幕共享AI助手的内容中介架构与确定性覆盖评估
简介该论文针对屏幕共享AI助手可能观察、保存并泄露敏感内容的问题，提出PerceptFence，在采集、记忆与模型回复之间增加内容层中介。研究在合成数据上评估：对9600条对抗字符串，其数字类个人信息的消除率为0.828，高于Presidio的0.183，但其他类别中Presidio领先；在480个合成屏幕的OCR流程中，消除了968个中889个密钥与个人信息值（0.918），高于Presidio（0.581）与gitleaks（0.179）。论文强调其贡献是架构与评估方法，并不声称实际部署或形式化隐私保证。
SweepMark: Query-Free and High-Fidelity Attacks on Robust Audio Watermarking
说明SweepMark：面向鲁棒音频水印的免查询高保真攻击
简介该论文提出SweepMark，一种无需访问目标水印模型、也无需成对干净与带水印样本的黑盒去水印攻击方法，用于去除语音合成（TTS）中用于溯源的音频水印。方法通过学习水印嵌入留下的频谱残留模式并自适应放大后相减，在两个语音数据集和四种水印方法上平均攻击成功率分别为92%和96%，感知质量评分总体高于所评估的自适应攻击，语音识别评估显示语言内容基本保留。
★★★★★ 值得关注
One Unverified Coordinate Is Enough: Key Recovery from Faulty Fujisaki–Okamoto Rejection Checks in ML-KEM
说明一个未经验证的坐标就够用：ML-KEM中有缺陷的Fujisaki–Okamoto拒绝检查导致密钥恢复
简介本文研究ML-KEM中Fujisaki–Okamoto变换的重加密检查存在错误实现时的安全问题。作者指出，部分已部署实现会跳过条件判断或截断密文比较，并证明只要有一个密文坐标未被验证，攻击者即可通过最小二乘法从有界误差观测中恢复密钥。文中给出在规则性假设下的样本复杂度，并在模拟实现上于三个参数集上完成完整恢复。
看点发现仅一个未验证密文坐标即可通过最小二乘恢复ML-KEM密钥，并给出可证明的样本复杂度，攻击影响大；实验基于模拟实现。
GateDrain: Availability Attacks and Admission-Side Defense for Confidence-Gated Edge-Cloud Inference
说明GateDrain：置信度门控边云推理的可用性攻击与准入侧防御
简介该论文指出，基于置信度门控的边云推理会把不确定输入转发到云端，从而带来可用性攻击面。作者提出 GateDrain 攻击：通过有界输入扰动降低置信度，使本可在本地回答的请求涌入共享云队列，而应用请求速率不变。论文还提出 Bounded Escalation 防御，结合按来源的准入预算、受保护容量与可信类别优先级，但更严格的聚合限制可能拒绝合法的未认证卸载请求。
The Privacy Fallacy of Crowdsourced Fine-Tuning: Extracting Proprietary Data via Topic-Based Poisoning
说明众包微调的隐私谬误：通过基于主题的投毒提取专有数据
简介该论文研究在众包收集监督微调数据时，恶意用户可能通过投毒少量样本来放大对其他用户指令的提取风险。作者仅利用对已部署模型的黑盒、仅输出访问，在四个模型和两个数据集上进行实验。结果显示，仅用50条投毒样本，近乎逐字的提取率可分别提高到未投毒时的3.71倍（Qwen2.5-14B，OpenMathInstruct）和3.08倍（Llama-3.1-8B，AceReason），且数据过滤方法对投毒样本的检测效果有限。
★★★★☆ 值得关注
TrackFlood: Relocating Latency Attacks from NMS-Free Detectors to Real-Time Trackers
说明TrackFlood：将延迟攻击从免NMS检测器转移到实时跟踪器
简介本文研究针对目标检测器的延迟攻击，目标是让系统无法及时响应，而非篡改预测结果，尤其关注自动驾驶等实时应用。作者提出TrackFlood白盒过载攻击，在免NMS的检测-跟踪流水线中，用扰动向跟踪器注入大量分散的虚假检测，而检测器推理本身保持不变。实验在Jetson AGX Orin上进行，结果显示跟踪器延迟明显增加，并提出一种有界准入层来缓解端到端延迟。
看点将延迟攻击从NMS-free检测器转移到下游跟踪器是新颖视角，实验在Jetson上评估端到端时延，但标准预算下端到端减速较温和。
Threshold Signatures with Identifiable Abort from One-way Functions
说明基于单向函数、可识别中止的门限签名方案
简介本文提出一种门限签名方案：N 名参与者共同持有签名密钥，任意 T 人可合作生成有效签名，少于 T 人则无法做到。方案以 Lamport 一次性签名的变体和 Shamir 秘密共享为基础，并支持可识别中止；通过多层 Merkle 树扩展到多消息签名，并利用公告板机制协调一次性密钥的使用。
A2A-ForensicTrace: Offline Verification of Tamper-Evident A2A Runtime Evidence
说明A2A-ForensicTrace：可篡改证据的离线验证方法
简介该论文提出 A2A-ForensicTrace，一个用于 Agent2Agent（A2A）运行时证据的离线验证层。它把运行时观察结果转为带类型的记录，推导协议相关的关系，并通过事件追踪根哈希加以固定，同时用 Ed25519 签名收据绑定事件上下文。实验使用官方 A2A SDK 进行 240 次执行，包括 120 次条件运行和 120 次匹配对照，所有条件运行都返回了预期的有界结论，对照组均未产生异常指示。
★★★★☆ 值得关注
Training Witnesses: Trusting the Training without Trusting the Trainer
说明训练见证：无需信任训练方即可验证训练过程
简介本文提出“见证”（Witnesses）方法，用于认证神经网络训练过程中的训练、数据使用和评估。方法依靠快速的行为指纹加上偶尔的重放挑战来审计训练，对训练方开销很小，验证方成本低，并能精确查询数据的纳入与排除情况。作者在1亿至20亿参数规模的语言模型训练上测试了该方法，并提出一个自动认证训练结果的排行榜，以促进共享基线和可复现性。
看点提出以行为指纹与偶尔重放挑战审计训练过程的新方法，并在100M至2B规模语言模型上验证，开销小。
A2A-CaseVerify: Merkle-Linked Case-Evidence Verification for Cross-Organization A2A Workflows
说明A2A-CaseVerify：面向跨机构A2A工作流的基于Merkle链接的案件证据验证
简介本文提出A2A-CaseVerify，一种确定性的离线验证器，将A2A运行时对象、业务事件及支持关系映射为有向案件证据图，并通过确定性Merkle根进行承诺。只有在保护性检查和特定场景的重建检查均通过时，验证器才返回SUPPORTED。作者在一个标准医疗场景包及13种受控篡改上进行了评估，所有篡改均被拒绝；使用官方Python A2A SDK生成的包也通过了验证。
★★★★★ 值得关注
Near-Duplicate Families Break Exact-Record Membership Inference
说明近似重复文件族会干扰精确记录的成员推断
简介成员推断用于判断某条具体记录是否参与了模型训练，常被用作数据来源和版权审计的证据。本文指出，网络规模数据中普遍存在的近似重复内容会造成混淆：在CC-News上，基于干净参照的LiRA审计方法在1.00%误报率下，将99.70%的近似文件族存在但本身未参与训练的记录误判为成员。结果表明，仅凭模型的成员推断证据只能证明文件族层面的暴露，不能确定精确记录的来源。
看点提出四世界审计框架，揭示近似重复家族导致成员推断误判，并通过受控干预区分分类与语言建模的差异，证据充分。
Can Prompt Anonymity Protect Your Identity From LLM Providers?
说明提示词匿名化能否保护用户身份不被大模型服务商识别？
简介该论文研究了只隔离用户身份、却保留提示词内容可见的匿名代理方案，是否仍会让大语言模型服务商通过提示词作者重识别用户。作者构建了包含超过17.5万条多轮用户提示词的基准PromptAnonBench（数据来自SWE-Chat和WildChat）。实验显示，即使应用了基于文本的防御，攻击者仍能在部分用户上以10%的误接受率成功重识别，其中SWE-Chat用户比例为50%至75%，WildChat用户最高约为10%。
No Free Efficiency: Revisiting the Trade-off Between Training Efficiency and Model Vulnerability
说明《没有免费的效率：重新审视训练效率与模型脆弱性之间的权衡》：研究高效训练是否会削弱模型的安全性与鲁棒性。
简介该论文系统研究了训练效率与模型脆弱性之间的权衡，在视觉和语言模型上发现，面向效率的训练方法会增加模型对对抗攻击和隐私攻击的敏感性。作者通过分析模型内部几何与表示结构发现，高效变体的损失曲面更尖锐且表示结构发生系统性变化。此外，采用简化强化学习流程（zero RL training）训练的模型，比传统对齐流程更容易发生灾难性遗忘且更过度自信。论文认为训练效率并非免费，并呼吁转向同时优化性能、成本与安全性的多目标训练范式。
★★★★★ 值得关注
The Cost of Stability: Deanonymizing Onion Services Long-Lived Introduction Circuits
说明稳定性的代价：对洋葱服务长期入口电路的去匿名化攻击
简介本文针对 Tor 洋葱服务的长期入口电路设计提出一种交集攻击。攻击者只需观察单个 Tor 中继，便可利用这些电路 18 至 24 小时不变的特性，逐步还原出洋葱服务的网络位置。作者在真实 Tor 网络上对自营的洋葱服务进行了九次端到端实验，每次都完整还原了 Tor 电路。文中还提出一种定期重建内部入口电路的缓解机制，以限制证据积累，同时不改变公开公布的信息。
看点利用洋葱服务介绍电路长期固定的设计发起交集攻击，并在真实Tor网络中验证，新颖性较强，影响面广。
RAISE: Reinforcing Access Control Policy Synthesis in LLMs via Symbolic Evaluation
说明RAISE：借助符号评估在大语言模型中强化访问控制策略合成
简介论文提出 CedarInstruct 数据集，包含 5,800 个场景，覆盖 44 个领域，并附有经验证的目标策略和可执行验证方案，用于训练和评估 Cedar 策略合成。作者提出 RAISE 方法，分两阶段训练：先做经验证的监督微调，再用验证器信号进行强化学习。其中 RAISE-OC 效果最好，使 Qwen3.5-9B 在保留场景上的语义成功率分别超过零样本 GPT-6 Astra 和 Claude Opus 5 13.33 和 16.26 个百分点，且训练效果可迁移到独立构建的 CedarBench。
★★★★☆ 值得关注
Tokens Change, Structure Endures: Spectral Watermarking for Generated Speech
说明标记会变，结构长存：面向生成语音的谱域水印
简介该论文提出 Redwing，一种生成过程中的免训练语音水印方法，旨在解决语音在解码再编码（retokenization）后标记被改变从而削弱水印的问题。方法利用再标记中观察到的标记替换关系构建图，并在其拉普拉斯基上联合优化嵌入与检测函数。实验显示，在 Moshi 系统经八次 Mimi 重合成后，Redwing 在校准的 1% 假阳性率下真阳性率为 80.7%，明显高于 KGW 的 8.3%。
看点将重分词的token替换结构转化为图谱拉普拉斯基底并联合优化嵌入与检测，8轮重合成后TPR显著高于基线，证据较充分。
SecProbe: Adaptive Evaluation of Coding Agents on Cybersecurity Vulnerabilities
说明SecProbe：对编码智能体网络安全漏洞能力的自适应评估框架
简介该论文提出SecProbe框架，结合项目反应理论（IRT）与按需合成的仓库级漏洞修复任务，用于评估编码智能体的漏洞识别与修复能力。作者构建了353个任务，涵盖六种编程语言和151种CWE类型，并测试了九个前沿模型，最高成功率为28.33%。与随机和一次性基线相比，SecProbe估计能力相当，同时所需求解的任务数最多减少29.5%。
MAD-Guard: Controlled Study of Autoregressive Generation versus Direct Decision Interfaces for Closed Multimodal Forensic Tasks
说明MAD-Guard：自回归生成与直接判定接口在封闭式多模态取证任务中的对照研究
简介本文比较了多模态模型中自回归逐词生成与直接输出判定两种决策接口，以封闭式取证任务为对象，在相同骨干模型和训练预算下对比延迟、校准误差与准确率。结果显示，二分类直接判定头可将延迟降低2.60至7.27倍，校准误差明显下降，但准确率略有损失；带多任务与不确定性门控或对比式判定头的方案则能超过自回归基线。跨五个数据集的测试中，该框架在合成图像、伪装与文档伪造上表现较好，但在压缩人脸篡改数据上表现有明显局限。
COGNIT-Guard: Calibrated Standalone Direct-Decision Guardrails with Heterogeneous CPU-NPU Confidence Cascading under Explicit Latency and False-Positive Constraints
说明COGNIT-Guard：面向实时安全防护的校准型直接决策护栏，采用异构CPU-NPU置信度级联
简介该论文提出COGNIT-Guard，一种在提示词进入目标大模型之前进行实时安全筛查的系统，由CPU快速把关器与NPU上的322M双向直接决策模型（Laya-322M）按置信度升级组成。在DUCS-Bench未见测试集上准确率为98.85%，良性误报率为0.42%，纯NPU推理平均延迟21.77毫秒，级联系统平均延迟41.63毫秒。文中还在SafetyBench-ZH上评估了域外表现与经验回放的恢复效果。