arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明灯光、镜头、攻击：利用脉冲光干扰时序HDR融合
简介该论文提出FLASH方法，用外部脉冲光在曝光序列中制造不一致，干扰相机时序HDR融合过程。实验覆盖八款实体相机，结果显示会导致过暗、过曝和可见度丧失，并影响一个自动驾驶系统的目标识别。论文还提出一种曝光剔除防御，可降低输出亮度偏差。
看点利用时序HDR融合的跨曝光不一致假设发起外部脉冲光攻击，新颖；在八个真实摄像头平台上有对照实验，并在OpenPilot中验证，影响面较广。
说明大语言模型在哪里决定违反规则？提示注入合规行为的机制定位
简介本文研究提示注入攻击成功时，大语言模型在网络内部的哪一层做出了服从对抗指令的决定。作者对五个参数量从40亿到320亿的模型进行逐层因果激活修补实验，发现攻击信息在第一层即可线性解码，但对行为的因果影响要到网络后三分之一的晚期瓶颈层才明显。修补该层可在77%至92%的情况下逆转服从行为。
看点通过逐层因果激活修补定位提示注入顺从的晚期瓶颈层，并在五个模型上验证，视角新颖，证据扎实，对防御设计有较大影响。
说明《她在海岸边欺骗海船》：全球海运交通中大规模GPS欺骗的测量研究
简介本文首次对海运GPS欺骗进行大规模测量，利用全球船舶自动识别系统（AIS）数据，识别出多艘船只同时发生的物理上不合理的位置偏移区域。研究分析了约36.7万艘船只在2024年11月底至2025年2月初的数据，识别出31个持续性异常热点，其中至少22个有较强的GPS欺骗证据，且空间和时间分布与地区冲突及经济制裁相吻合。研究还指出，红海的欺骗活动在集装箱船MSC Antonia搁浅事件前数月已存在，这一点此前未被记录。
看点首次大规模测量海事GPS欺骗，提出运动感知的区域信号检测框架，并在超过36万艘船只数据上发现31个热点，证据较充分，对海事安全影响广。
说明THEMIS：面向加密 Transformer 推理的协同设计系统
简介该论文提出 THEMIS，一个用于全同态加密（FHE）下 Transformer 推理的协同设计系统，通过约束各阶段消耗的深度并固定其在模数链上的位置来降低整体开销。文中报告，其矩阵乘法与注意力计算相较 MOAI 和 Euston 等已有方案有明显加速，softmax 也比 THOR 更快且精度更高。在 CPU 上处理 BERT-base 每个输入的摊销耗时为 400.06 秒，GLUE 任务精度与明文推理相近。
说明Levis：无需扩展、基于标准模型的多密钥全同态加密
简介该论文提出多密钥全同态加密方案Levis，无需可信或交互式设置。其核心的共因子兼容技术使不同方独立生成的本地密钥下的密文可直接同态计算，无需先扩展为联合密钥密文。论文还给出压缩变体Levis-small，降低了通信开销；概念验证实现显示，相比MPS方案在2、4、8方场景下评估速度有显著提升。
说明VirusCascade：劫持基于大语言模型的推荐代理中的协同反思机制
简介该论文研究基于大语言模型的代理式推荐系统中的协同反思机制，发现对抗性证据注入单个代理后，可能被合理化为合法偏好并写入记忆，再经交互传播到其他代理。作者提出黑盒定向推广攻击VirusCascade，同时塑造语义与结构攻击面，在四个真实数据集上取得平均E@20为0.384的结果，比最强基线高0.185。
看点提出协作反思劫持这一新攻击范式，并通过四个真实数据集和多种架构实验验证，平均E@20达0.384，较最强基线提升0.185。
说明NOMOS：CKKS 下的安全非交互式 kNN 检索
简介该论文提出 NOMOS，一种在全同态加密（CKKS）下针对候选集的加密 kNN 协议，重点优化加密排序与 top-k 提取这一瓶颈。它在已有矩阵排序方法基础上引入增益放大的符号近似，并结合 k-means 预处理，将符号近似调用次数降为近线性。原文报告其相比基线延迟最多降低约 828 倍，并在 SIFT 数据集上取得 100% 的 top-1 与 top-8 检索准确率（于所评估的候选集上）。
说明Janus：面向智能体大模型的先证后效流程与可离线验证的溯源记录
简介该论文提出Janus系统，在智能体大模型执行操作之前，先将提议、校验结论及人工或校验器的回复写入签名并哈希链接的日志中，使记录位于效果执行路径上。审计者可仅凭日志和一把公钥离线重新推导每个裁决。论文在崩溃注入、大规模日志离线验证及贷款工作流真实模型实验中进行了评估，并报告了一个在自审计中发现的事后替换问题及其修复。
看点提出在效果执行前把提案、裁决和人工批准写入签名哈希链日志的新范式，并离线重演裁决；以崩溃注入、1亿事件日志验证和真实模型贷款实验支撑，且发现并报告了批准替换漏洞。
说明SLUB 收获季：从 io_uring 漏洞到基于 Sheaf 的新型利用技术
简介本研究探讨 Linux 内核中 io_uring 子系统与 Linux 6.18 中 SLUB 分配器新增的 sheaf/barn 缓存机制两方面的安全问题。作者发现两个此前未知的 io_uring 漏洞，并将其中一个发展为在加固内核配置下可用的本地提权利用链。研究指出 sheaf/barn 机制改变了跨缓存攻击等既有利用技术的前提，并削弱了 SLUB 的 freelist 保护。作者据此提出三种基于 sheaf 的新型利用技术，其中 RCU-sheaf 跨缓存技术不再依赖伙伴系统即可在缓存之间迁移对象。
看点提出基于sheaf/barn机制的三种新型利用技术，并完成io_uring漏洞到本地提权的完整利用链，证据充分，对内核安全影响较大。
说明通过虚构结构注入隐藏基于大模型的多智能体拓扑结构
简介该论文针对基于大语言模型的多智能体系统，指出其通信拓扑可能通过可观察的推理轨迹被黑盒推断，从而造成知识产权泄露和系统漏洞暴露。作者提出MIRAGE框架，在保留真实拓扑用于任务执行的同时，让外部可见的语义证据指向一个精心构造的虚构拓扑。实验表明，该方法显著降低了拓扑推断攻击的效果，同时基本保持了受保护系统的任务效用。
说明基于 Wagner 式高斯采样的 LWE 亚指数时间算法（n+o(n) 个样本）
简介本文提出一种随机化亚指数时间算法，用于求解判定型学习带误差（LWE）问题，覆盖两种互补的参数范围。算法起点是 Ducas、Engelberts 与 Loyer（CRYPTO 2025）的 Wagner 式高斯采样器，并结合随机 P 元格、统计近似的平移离散高斯采样器与 Aharonov–Regev 傅里叶区分器进行分析。作者称，在任意秘密分布下，算法以 1-o(1) 的概率使用 m=n+Θ(n/ln ln n) 个原始样本即可成功，期望时间与空间为 2^{Θ(n/ln ln n)}。论文的分析针对独立均匀公开向量的非结构化 LWE，不直接适用于基于模块 LWE 的 ML-KEM。
看点在Wagner式采样器基础上结合P元格与martingale分析，给出LWE的次指数算法并改进参数范围，但证明依赖较复杂的组合假设，实证支撑有限。
说明量子随机预言机模型下 QMA 的简洁论证
简介本文在量子随机预言机模型（QROM）中构造了首个 QMA 的简洁论证，不依赖额外的密码学假设或未证明的猜想。其核心是一种保持效率的变换，把量子交互式预言证明（QIOP）编译为同一语言的量子论证，采用量子承诺-打开范式。论文还形式化并构造了在 QROM 中支持局部打开的可提取量子态向量承诺。
看点首次在量子随机预言机模型下构造QMA的简洁论证，仅依赖无结构的困难性假设，并给出可保持效率的QIOP到量子论证的编译，理论贡献显著。
说明面向LLM辅助安全协议建模的置信度引导协议中间表示
简介本文提出一个人在回路中的框架，用于把安全协议的自然语言描述转换为可由Tamarin验证的形式化模型。作者认为主要瓶颈在于中间协议表示的语义准确性而非语法有效性，因此设计了一种可供人工审核的协议中间表示（IR），并提供交互界面，依据模型置信度突出不确定字段，引导用户在生成模型前检查关键语义决策。
说明去中心化大模型微调中的后门缓解
简介该论文研究在无中心协调者的情况下，多个机构协作微调同一大语言模型时可能出现的传播式后门攻击：单个恶意节点可使从未接触中毒样本的邻居节点也对秘密触发词产生拒绝等攻击者指定行为。作者提出 Chorus 机制，让每个节点在聚合前检测并拒绝邻居提交的后门适配器，无需共享验证数据。实验显示，在两个指令微调数据集与模型架构上，Chorus 将邻居节点的平均攻击成功率从 48%–63% 降至最多 2.2%，且通信开销很小。
说明在生日阈值下，碰撞检测在实例层面近似最优
简介本文研究：利用哈希函数的结构知识，能否加快在黑盒条件下检测其碰撞。作者证明存在一个近似实例最优的算法：对于结构感知算法只需约 q 次查询即可找到碰撞的函数，该算法最多用 O(q log n) 次查询即可找到碰撞。这一对数开销与 Ben-Eliezer、Grossman 和 Naor 的下界相匹配。
看点证明了碰撞检测在生日界以下存在近似实例最优算法，把开放问题部分解决，并给出紧的对数因子，理论贡献突出。
说明AutoMark：让自动研究代理发现更优的大模型水印方案
简介本文提出 AutoMark 框架，用于自动发现无失真的大语言模型水印方案。作者先设定水印可靠性的严格标准并提出统计检验，再从可检测性、文本质量和鲁棒性三方面对水印方案排名。借助三个前沿模型，框架发现了 50 多种水印方案，其中若干在各项指标上优于已有工作，并包含一些全新思路。
说明Argos：面向分布式边缘安全编排的多租户 SaaS 架构
简介本文提出 Argos，一种多租户 SaaS 命令与控制（C2）架构，用于对分布式边缘设备进行透明、自动化的长期编排。该框架提供基于角色的访问控制、租户隔离、持久化任务管理和基于 cron 的工作流自动化。论文在三台地理分布的边缘设备上执行了 810 个映射到 MITRE ATT&CK 技术的自动化任务，全局失败率为 3.33%（95% Wilson 置信区间为 [2.30%, 4.81%]），ARM 与 x86 之间无统计学显著差异。论文还公开了评估方法、脱敏数据集和统计脚本。
说明本地能源市场对网络攻击的鲁棒性：虚假数据注入案例研究
简介本文研究以社区为基础的本地能源市场在虚假数据注入（FDI）攻击下的脆弱性。作者提出双层优化框架，在配电网中寻找针对多个互联社区电力市场的最坏情况母线级攻击，上层最大化电压偏差带来的物理影响并兼顾可检测性，下层重新出清市场。在IEEE 33节点系统、三个社区的案例中，即使是有界的系统级攻击也会改变本地交易并降低电压安全裕度；脆弱性主要取决于虚假数据的时空布置。
说明Shamir秘密共享在量子泄漏下的抗性研究
简介本文研究未修改的素数域Shamir秘密共享方案在量子泄漏模型下的安全性，即每个份额持有方通过局部信道泄漏一个量子比特。结果显示，在无预共享纠缠且门限比率超过约0.73339时，区分优势呈指数衰减；若部分设备与敌手共享纠缠，只要门限比率足够高，安全性仍可保持。作者同时指出，若允许泄漏设备之间存在任意纠缠，即使经典单比特泄漏也会使方案不安全。
看点首次研究量子泄漏模型下Shamir秘密共享的抗泄漏性，给出指数级安全性界限与纠缠攻击的正反两面结果，证据为严格理论证明。
说明超越语义收窄：基于汉明邻域的稳健高效大模型水印
简介该论文提出 HammingMark，一种用于大语言模型生成文本的语义水印方法。它以前一句的语义哈希为动态中心，只接受哈希值落在汉明邻域内的候选句，从而减少对自然语义续写的限制。在 C4 和 BookSum 数据集上的实验显示，该方法兼具较强鲁棒性、较高可检测性和接近无水印的生成质量，每个被接受的句子平均只需采样 2.2 个候选。
说明当网络安全评分系统产生分歧：一项实证比较
简介本文对四种漏洞评分系统（CVSS、EPSS、SSVC 与 IronMiner）进行实证比较，并以 2015 年乌克兰电网工控网络的重建拓扑作为比较基础。结果显示，这些评分系统之间存在较高程度的分歧。作者认为，评分系统的选择可能显著影响缓解策略与漏洞优先级排序，并提出复合或混合评分方法可能更为合适。
说明ToolFence：面向调用工具的大语言模型智能体的细粒度授权方案
简介工具调用型大语言模型智能体容易受到间接提示注入攻击，恶意内容可能借助共享上下文干扰防御。ToolFence在执行前编译类型化的授权蓝图，由确定性监控器强制执行，蓝图不完整时由裁判模型授予新能力，而非逐一审核每次调用。在AgentDojo基准上，使用Qwen3-max模型时，ToolFence将总体攻击成功率降至接近零，干净任务效用仅下降3.80个百分点。
说明当工具悄悄说谎：评估并缓解工具增强数据代理中的盲目顺从问题
简介论文指出，数据分析代理依赖工具输出做决策，但工具执行成功时仍可能返回看似合理却错误的结果。作者提出ToxicBench基准，在数值、标签、模式和检索错误下衡量代理的核查与采纳行为。在118项任务的GPT评估中，投毒观测使任务成功率下降26至39个百分点。
说明阿贝尔曲面的超奇异性与超特殊性验证：判断一个阿贝尔曲面是否为超奇异或超特殊的高效算法
简介超奇异阿贝尔曲面是基于同源（isogeny）的密码学中的重要对象，但此前没有高效算法来验证给定曲面是否超奇异。本文给出一种蒙特卡洛算法，在域 F_p 上以 O(log p) 的复杂度验证阿贝尔曲面是否超奇异，失败概率可忽略；若阶为光滑数，则可得到确定性结论。作者还给出了验证任意维阿贝尔簇是否极小或极大、以及任意维雅可比簇是否超特殊的高效算法。
说明针对 Dilithium 与 Fiat-Shamir 签名方案的叠加态密钥恢复攻击
简介本文在扩展的量子对手模型（允许对手以量子资源与证明者或签名者交互）下，评估 NIST 标准化签名方案 ML-DSA 及其前身识别方案的安全性。作者提出了叠加态攻击的新技术，并据此对多种基于格的识别方案实施了完整的密钥恢复攻击，随后将其扩展到对应的 Fiat-Shamir 签名方案。结果显示，原始 CRYSTALS-Dilithium 及 NIST 第 1、2 轮提案在 Q2 模型下可被完整攻破，而最终标准版 ML-DSA 因标准化过程中的修改而不受此类攻击影响。
看点提出新的叠加攻击技术并首次对Dilithium给出Q2模型下的完整密钥恢复，但证据主要是理论分析，新颖性与影响面较高。
说明屏幕通道（Screaming Channel）：基于无线电耦合的远场电磁侧信道攻击进展综述
简介本文是首篇系统综述基于无线电耦合的远场电磁侧信道攻击（FEM-SCA，又称屏幕通道攻击）的研究。这类攻击利用数字计算与射频发射链路之间的非预期耦合，可在远距离通过辐射无线电信号获取敏感信息。文章将相关研究组织为泄漏发现与理解、攻击能力增强、攻击目标与变体、公开数据集等层次框架，并对代表性工作进行跨论文比较，最后总结出一个核心权衡、三项主要局限和三条未来研究方向。
说明带凭证的行动：为可重放的工具智能体审计联合绑定声明、证据与执行
简介论文指出，工具型智能体的引用和执行日志可能彼此分离，用户看到的声明未必来自已提交的执行。作者提出以声明为锚点的执行契约，将声明、精确的来源片段、产生该声明的有序执行前缀以及来源版本和访问状态绑定在一起，并用确定性完整性校验器检查。在1,280次跨对象攻击测试中，联合契约检测到1,275次替换（0.9961）。
说明OPFL：基于经验边界的联邦学习乐观验证方法
简介该论文提出OPFL，一种用于隐私保护联邦学习的乐观验证框架，用于检查客户端是否按规定流程训练或提交了恶意更新。OPFL在安全多方计算（MPC）中重放训练过程，并离线校准经验边界，以区分良性数值偏差与恶意篡改；为降低MPC开销，仅对抽样训练步骤进行事后审计。实验基于LeNet、BERT和Qwen，报告在模型投毒和PGD攻击下攻击成功率为0%，并称在LeNet任务上速度显著快于全量MPC方案和基于零知识证明的方法。
说明TAILOR：面向 CVE 复现的类型与状态感知多智能体框架
简介论文指出，不同 CVE 的运行形式、触发接口和前置状态差异很大，固定流程难以适应。作者提出 TAILOR 框架，先按漏洞类型匹配执行路径，在 Web 路径中再构建前置状态并分离触发环节。在 200 个 CVE 数据集上，Web 漏洞复现率为 59.24%，传统漏洞为 44.19%。
说明CollageAttack：利用文生图模型跨模态对齐缺陷的空间文本拼贴攻击
简介该论文提出 CollageAttack，一种自动化的单提示黑盒越狱方法，把有害语义的组装转移到图像层面，通过拼贴相关场景、场景内文本载体和空间分布的文字片段实现。在多个开源与商用文生图模型上的实验显示，其攻击成功率最高达 86.0%，并能在生成后由分散文字重建原意。研究揭示了跨模态安全缺口：有害含义可能由单独不够明显的元素组合而产生。
说明多层取证式 PDF 篡改检测
简介随着免费在线编辑工具普及，PDF 文档很容易被篡改或伪造，而且屏幕上往往看不出痕迹。论文提出两阶段取证流程：先由安全门控层检查格式合规性并标记嵌入的恶意载荷，再由取证引擎检查内部对象，包括元数据、视觉覆盖层和双源 OCR 一致性等。随后，加权评分引擎将这些取证指标汇总为可解释的风险分数。该方法在真实的医疗停工证明上进行了验证。
说明VStress：面向重复验证器的相关性感知审计与自适应预算分配
简介该论文提出 VStress 可审计的重放协议，以及 VStress-CA 相关性感知分配策略，用于判断重复调用验证器是否仍能带来新的条件信息，并在信息不足时停止或弃权。作者在受控实验中测量了不同腐败比例下多数投票的效果边界，并比较了固定预算下的多种分配方式。论文还显示，相关性诊断从同模型重复调用到跨模型族调用逐步增加。
说明针对黑盒大语言模型的受控解码攻击：仅凭文本续写接口绕过安全对齐的研究
简介该论文研究在只返回采样文本、不提供概率的大语言模型接口上，如何通过操纵生成过程绕过安全对齐。作者提出名为 \method{} 的框架，包含基于采样的分布重建、风险门控的残差控制和投机式多词元执行三部分，以降低查询成本。论文报告在四个目标端点和三个基准测试中，该方法在多数对比中取得了最高的平均分。
看点提出仅依赖文本采样接口的解码攻击框架，结合分布重建与风险门控控制，新意明显；实验覆盖四个端点和三个基准，但细节有限。
说明针对黑盒大语言模型的实用化密钥提取方法
简介该论文针对仅能通过输出访问的商用 API 型大语言模型，提出了黑盒密钥提取框架。框架包括交叉验证的密钥知识蒸馏和基于代理模型的密钥提取与候选过滤两部分，用于恢复模型可能记忆的凭证。论文报告称，在受控的 API 密钥基准上，该方法提高了恢复效果和真实密钥比例，并降低了提取延迟；在负责任的真实环境评估中，还从三个独立部署的黑盒系统中恢复了部分打码的服务商凭证。
说明面向图像伪造定位的取证感知持续适应框架
简介图像篡改技术不断演进，现有图像伪造定位方法难以适应新出现的伪造类型。本文首次为图像伪造定位提出持续学习框架，并在跨数据集和跨内容两种数据演化场景下建立基准，发现现有方法性能明显下降。作者提出包含取证痕迹挖掘与基于Fisher加权的梯度调整等模块的框架，在像素级定位和图像级检测上取得了较好的结果。
说明SURE：构建可信赖AI的安全框架
简介本文提出SURE框架，用于定制AI安全的具体属性并确保所定义的安全性。框架内建立了可能威胁AI安全的对抗性提示分类体系，据此构造提示，并定义理想回应的模板，设计了绝对安全评分方案。最后利用数据集进行AI对齐，以逐步确保安全，并通过多种基础模型的实验验证其有效性。
说明ContractWarden：通过人工授权合约为AI智能体划定内核级损害边界
简介论文提出ContractWarden，一个Linux参考监控器，用于约束大语言模型智能体可能造成的操作系统层面损害。模型可提议“允许、拒绝或禁止外联”三态资产合约，但最终由人工决定；内核层基于eBPF LSM执行文件与网络决策，并在进程、文件、管道等对象间传播禁止外联状态。在19项安全测试的570次运行中均满足预定义标准，且在三个文件I/O负载下的开销低于对比基线。
说明SKILLLITE：基于证据引导、借助紧凑型大语言模型审计恶意 Skill 的方法
简介随着基于大语言模型的智能体承担越来越复杂的任务，Agent Skill 成为扩展其能力的常用机制。第三方 Skill 的普及带来了新的供应链攻击面，恶意 Skill 可能滥用智能体权限、危害执行环境。本文提出 SKILLLITE 框架，先从复杂 Skill 包中提取安全相关行为并推断其预期功能，再由紧凑型大语言模型据此判断 Skill 的恶意性。实验表明，该方法在多种紧凑模型上提升了检测效果，优于现有代表性基线，并保持较低的推理延迟。
说明更安全的内容，还是更坚定的拒绝？一种针对有害微调的混合扰动防御方法
简介该论文针对云端微调服务中，混入少量有害数据会削弱模型安全对齐的问题，提出 VaccineBooster，在每个训练步骤中同时结合嵌入扰动与权重梯度衰减两种对齐防御。在 Llama-2-7B 上的实验显示，VaccineBooster 的有害内容审核分数最低（0.315），而 Booster-Only 变体的拒绝率最高（50%），作者据此指出两种机制各有侧重。由于评估仅使用十个提示且每个配置只运行一次，作者将这一权衡视为观察到的模式，而非统计上确证的效应。
说明梯度信号能否撑过多轮对话？基于梯度的越狱检测在多轮场景中的脆弱性研究
简介本文研究基于梯度的越狱检测器GradSafe在多轮对话中的表现。作者扩展该方法为上下文窗口扫描器，对用户轮次的固定大小窗口逐一打分，并取最大值作为整段对话的分数。实验显示，在合成良性对话上ROC-AUC可达0.98，但在WildChat真实良性对话上降至0.76，且检测效果受攻击方式和目标模型影响较大。
说明在仿射填充 Rabin 预言机下分解 RSA 模数：一种 SNFS 量级的新攻击
简介该论文基于 JNT 构造，研究在带仿射填充的 Rabin（e=2）平方根预言机下分解模数 n 的方法。作者用单侧数域筛法得到平方同余式，每次依赖以 1/2 概率得到非平凡因子，复杂度为 L_n(1/3, (32/9)^(1/3))，低于一般数域筛法。文中还称开源实现已验证该方法的实际速度提升。
说明ModalFidelity：在有限算力下为深度伪造检测选择分析模态
简介深度伪造越来越多地只篡改视频中含义转折的几秒钟，检测器却仍逐窗读取全部音频和图像。本文提出轻量级路由器ModalFidelity，在运行取证检测器之前预览各窗口，决定读取哪一路流，并严格不超过算力预算。在AV-Deepfake1M上，只读取至多五分之一的窗口，其准确率高于检测后再筛选的方法，算力消耗降低15.9倍，并保留了知道所有伪造位置的理想方案96%以上的准确率。
说明Agent-Warden：基于 eBPF 的内核级进程与文件溯源追踪，用于大语言模型智能体
简介该论文提出 Agent-Warden，一个基于 eBPF 的内核级溯源监控系统，用于追踪大语言模型智能体在进程创建、文件访问和进程终止过程中的状态与因果关系。在受控的文件中介传播场景中，它重建了应用层日志中缺失的跨进程因果链。在 x86-64 和 ARM64 裸机主机的测试中，端到端开销为 0.2%至 3.5%。
说明pikit：用于间接提示注入研究与评估的可组合工具包
简介论文介绍了pikit，一个用于系统评估间接提示注入威胁的研究工具包，涵盖13种攻击方法、16种载体通道和9种防御策略及3种离线检测基线。在生产类环境中测试时，9种防御策略对高风险攻击的攻击成功率相对降低了71.8%，其中few_shot_warning和instruction_hierarchy保护效果最强。离线检测基线精确率完美但召回率低，说明启发式检测器应作为提示层防御的补充。
说明将认知类型作为 PostgreSQL 表访问方法：在置信度伪造与 Sybil 协同攻击下的对抗性冲突解决
简介本文提出 KNDB，一种 PostgreSQL 18 表访问方法，为每行数据由引擎分配认知类型（实测、推断或推导），并在写入时逐槽解决冲突。实验显示，在攻击者伪造推断写入置信度的场景下，KNDB 在两个数据集上明显优于仅依赖置信度的基线。论文也指出，KNDB 在低于饱和密度时对部分方法并无优势，且在以最后写入者为准的时间知识编辑基准上得分为零。
说明深度学习延迟攻击与防御：面向可用性威胁的跨领域综述
简介本文综述了一类以拖慢推理为目标的对抗攻击（延迟攻击或能耗-延迟攻击），涵盖感知管线、输入自适应神经网络以及大语言模型和智能体等自回归系统。作者按攻击所利用的计算瓶颈进行分类，并提出以“工作量预算”为核心的防御思路。文章还分析了模型层面的成本增加何时会演变为系统级可用性故障，并讨论了威胁模型、防御方法与开放挑战。
说明基于链接的CHERI高效进程内隔离模型
简介本文提出一种基于链接的进程内隔离模型，依托CHERI内存安全机制，可对整个UNIX用户空间进行细粒度隔离，在桌面系统上可扩展到一万个以上的隔离单元。该模型可沿现有库边界一键隔离，Chromium等大型应用每进程可达500余个隔离单元。除V8引擎外，测试的数千个C/C++程序均无需修改源码。
看点将库边界自动转为数千个CHERI隔离区，并在Chromium等大型程序和真实硬件上验证，新意与证据兼具。
说明将隐私进化（Private Evolution）理解为学习增强的聚类
简介隐私进化（PE）是一种用于生成合成数据的差分隐私算法。论文把它重新表述为借助生成模型增强的Wasserstein学习，并从理论上证明，当生成模型能捕捉真实分布的部分特征时，可以得到更好的性能界限。作者还指出标准PE变体在简单的聚类实例上可能不收敛，并提出一种具有几何感知能力、在此类实例上可证明收敛的新版本，实验显示其与标准基线相当，并能提高召回率。
说明拒答会定位，损害会转移：少量样本微调下的安全层研究
简介该论文研究在少量有害样本微调后，大语言模型的拒答能力如何被削弱及恢复。作者在四个模型系列的六个检查点上测试，发现补丁式修复可恢复拒答，并尝试冻结相关层来防御攻击。结果显示攻击者可绕过这一区域，并可以击败跨检查点有效的修复，因此论文提出五项针对自适应微调防御的检验。
看点在多个模型检查点上系统检验安全层定位与冻结防御，并揭示攻击者可绕过；实验覆盖六个检查点与多种攻击，影响较大。
说明自我演化防御：面向大模型智能体的持续安全策略学习
简介论文提出一种无需训练的框架SED（Self-Evolving Defense），把有害的智能体执行轨迹提炼为可复用的安全策略，不更新模型参数。处理新任务时检索相关策略，以应对新的攻击并保留跨场景的知识。在三个开源模型和八个涵盖越狱、提示注入与不安全代码生成的基准上测试，结果显示其对AGENTDOJO提示注入攻击的成功率降至0.42%，对HARMBENCH上自适应攻击的成功率为7.8%，同时保持良性任务效用。
说明DIBench：评测基于图形界面的手机智能体在欺骗性注入下的决策完整性
简介本文提出 DIBench，一个用于衡量手机智能体决策完整性的基准。它覆盖 7 款商业应用和 3 款模拟应用，构造了 8 种欺骗性注入探测，可在不产生明显异常的情况下误导关键选择。实验显示，仅看任务完成率会高估智能体的可信度，而常见防御手段带来的效果并不一致。
看点提出衡量移动智能体任务内目标偏离的决策完整性基准，填补仅看执行异常的评估空白；规模大、对比多，但属评测基准性质。
说明CyberPersistBench：评估基于大模型的网络攻击代理的安装与持久化能力
简介该论文提出 CyberPersistBench，这是首个专门评估入侵后安装与持久化能力的基准。它将持久化设为对抗性生存任务，让代理在分阶段的系统中断中利用主机原生机制维持立足点，并以 L1 至 L6 六级确定性检查评分。基准包含 203 个核心任务及多主机和主动防御扩展。五个前沿代理的实验显示，自主持久化成功率为 27.6%–44.8%，在启用防御的任务上降至 5.5%–13.3%。
看点首次针对入侵后安装与持久化设计基准，并以确定性检查分六级评分；对五个前沿智能体做了实证评估，覆盖203个核心任务和防御扩展。
说明CounterSteer：用激活引导抑制间接提示注入
简介间接提示注入会让大模型智能体把检索到的不可信文本当作指令执行。CounterSteer 是一种推理阶段防御方法，在模型内部抑制这一行为：通过成对对比样本拟合一个残差流方向，并在部署时对工具结果的每个词元做减法。在五个开源模型上，留出集攻击成功率明显下降，但参数操纵类攻击仍只被部分抵御。
看点提出在推理时对工具结果token做激活转向以抑制间接提示注入，并在多模型与自适应攻击下验证，新颖且证据充分。
说明对 Orthros、Gleeok、ZIP-AES 与 ZIP-GIFT 的改进差分-线性密码分析
简介本文改进了差分-线性区分器，并对 Orthros、Gleeok、ZIP-AES、ZIP-GIFT-64 和 ZIP-GIFT-128 等伪随机函数的简化轮数版本给出密钥恢复攻击。作者将 Orthros 的分析覆盖从 7 轮扩展到 9 轮，Gleeok-128 从 4 轮扩展到 5 轮，并给出 ZIP-AES、ZIP-GIFT 等的区分器与攻击结果。攻击借助自动化差分与线性路径搜索，并结合已有的轮级相关性估计方法。
说明推理层安全：防范对抗性推理与基础设施滥用
简介本技术报告研究大语言模型服务在推理层面的安全防护，涵盖越狱、拒绝服务和蒸馏攻击等对抗性交互。因缺乏公开的带标签对抗使用数据集，作者提出结构因果模型生成带标签的用户会话数据，其中包含多账号协同攻击、平台反馈及三级标签可观测性。作者在该数据集上训练梯度提升检测器，区分良性与恶意会话并判别攻击类型，同时指出检测器的表现可能超过用于评估它的运营标签。数据集已公开发布。
说明基于上下文与状态的大语言模型系统溯源攻击调查（ANCHOR）
简介本文提出ANCHOR系统，用于把基于溯源的入侵检测系统输出的可疑活动整理成连贯的攻击叙述。系统结合证据整理与基于上下文的大语言模型推理，并借助部署环境的正常行为基线与攻击状态缓存，按攻击链阶段逐步重建攻击过程。作者在六个DARPA Transparent Computing E3/E5数据集上评估，报告其在IoC恢复和攻击阶段归因方面优于现有基线。
说明从侦察到响应：现代企业攻击中的量化风险参数化与博弈论遏制
简介本文提出一个基于指标驱动的决策引擎，把量化风险参数化与持续自动化响应时间结合起来。它把CVSS可利用性参数映射为攻击成功概率，并用FAIR蒙特卡洛模拟评估防御方日志分布，同时用泊松过程建模SIEM日志并通过贝叶斯滤波更新威胁信念。研究者将交互建模为动态贝叶斯Stackelberg博弈，推导出预期未缓解风险超过主动遏制成本时的闭式阈值。基于2023年MGM Resorts和Caesars Entertainment网络事件数据的仿真显示，该引擎能够抑制背景噪声，并在攻击探测后数秒内触发SOAR自动隔离。
说明FinRT：将自适应红队策略蒸馏为可复用的对抗生成器（消费金融场景）
简介论文针对消费金融等受监管行业，提出FinRT框架，把自适应红队测试策略蒸馏为可复用的对抗提示生成器，以降低每次攻击的生成成本。在六个受测模型上，FinRT的攻击成功率约为自适应基线Rainbow Teaming的两倍（32.9%对17.2%），最大对抗严重程度提高33%，并在策略领域内保持与迭代搜索方法相当的语义多样性。该方法还表现出较高的跨模型迁移性。
说明用于 C 到 Lean 4 自动形式化的信任账本与执行检查：区分拒绝翻译与静默错误翻译
简介该论文提出一个基于代码属性图（CPG）的确定性导出器，把 C 代码翻译为小型 Lean 4 核心语义，并采用三级正确性规则区分翻译拒绝与错误翻译。在 SQLite 源码上，5222 个函数（60.7%）无空洞翻译，其中仅 2134 个（24.8%）满足调用闭合。作者用逐项信任账本报告结果，并指出一个静默输出错误结果的隐蔽缺陷。
说明量化技术实现面向恶意服务提供方的隐私稠密检索
简介稠密检索是检索增强生成（RAG）的关键组件，通过比较查询与语料段落的向量表示来找出最相关文档。本文将隐私稠密检索定义为：在服务器可能恶意的情况下，同时保护查询隐私并保证检索结果的完整性。作者提出一种两轮密码学协议，并借助低比特量化使计算变得可行。实验显示，采用截断量化器的三比特量化基本保持了检索质量和下游RAG准确率；对临床参考规模的语料进行一次私密查询，服务器耗时约一到三分钟。
说明受众绑定的持久记忆：贯穿记忆全生命周期的授权机制
简介本文研究个人语言智能体在私人与共享对话中为其所有者行事时，如何在组装上下文之前进行授权。每条记忆都记录了记录时的受众，派生条目按受众划分、取来源受众的交集或被抑制，并且只有在当前所有查看者都属于其授权受众时才会进入模型上下文。作者在两种独立架构及一个原生智能体记忆运行时中实现了该机制，并在10000个多方历史的预先冻结验证中，未出现禁止条目进入上下文的情况，而无范围检索在82%的上下文中暴露了禁止条目。
看点提出按受众绑定记忆全生命周期的授权准入机制，并在两种架构与10000条多方历史上验证，未出现禁止条目泄露，而无范围检索在82%语境中泄露。
说明TTMark：超越单个词元熵的成对无失真水印
简介本文提出TTMark，一种成对水印框架，把无失真水印从单个词元扩展到相邻词元对。通过对连续词元的联合分布加水印，检测器可同时利用词元熵与条件熵，并保持联合分布上的无失真性。实验显示，该方法在多种模型和数据集上提升了检测能力，且不降低生成质量。
说明标准模型中的可对话量子火焰：一种可被克隆、却不能仅靠单向经典通信传输的量子态构造
简介本文提出一种量子火焰（可高效克隆、但不能通过单向经典通信传送的量子态）的构造，基于一次性签名，且工作在标准模型中，而此前已证明不可电传的量子火焰构造都依赖预言机。作者引入两个新性质：无密钥不可电传性，以及可对话性（火焰虽不能靠单向经典通信传送，却可通过双向经典交互传送）。文中还给出两种变体，分别支持多项式数量和指数数量的火焰。
说明利用邻近样本校准单轮成员推断
简介成员推断攻击用于判断某个样本是否出现在模型的训练集中。现有最强方法需要为每个样本训练参考模型，但大模型的训练成本过高，难以复现。本文探讨在只有一个已训练模型的情况下，能否借助目标样本的邻近样本完成校准，而无需训练额外模型。作者提出两种获取邻近样本的方式，并表明在早期训练检查点上查询这些样本可进一步增强信号。在三个图像分类数据集和三种训练设置上的实验显示，该方法能得到较强的成员信号，攻击效果具有竞争力，且不增加训练成本。
说明DecoyTrace：去中心化联邦学习中用于主动防御的毒性诱饵
简介该论文针对无中心服务器的去中心化联邦学习，提出名为DecoyTrace的主动欺骗防御方法。它部署移动诱饵节点，用混沌映射生成挑战并基于邻居信任分发干净与诱饵双模型，通过三态语义指标评估，确认后隔离污染源并恢复模型。在NEBULA平台60种配置下，MNIST和FashionMNIST的F1分数与基线相差在0.03以内，CIFAR-10则低0.05至0.10，同时资源占用最多减少三分之二。
说明欧盟《人工智能法》合规检查工具的实证研究与评估
简介本文对欧盟《人工智能法》的自动化合规检查工具进行了首次实证研究。作者梳理了12款主流工具，评估其法律覆盖与一致性，并分析其生成的合规报告。结果显示，工具质量差异明显，多只能作为早期参考，容易简化或遗漏关键义务，且缺乏明确可操作的指导，依赖它们可能造成虚假的合规感。论文同时提出了设计更可靠合规支持工具的原则。
说明基于令牌密钥门控的适配器路由：防止大语言模型泄露私有数据的安全访问控制机制
简介大语言模型在医疗、金融等隐私敏感领域应用日增，但容易记忆并泄露个人身份信息。本文提出Locket框架，训练多个轻量LoRA适配器，各自对应一种访问策略（完全公开、PII掩码脱敏或特定差分隐私级别），并用门控模块将有效密钥令牌映射到对应适配器。持有正确令牌时可解锁私有知识；令牌缺失或无效时则启用脱敏适配器。实验基于Enron、ECHR、Yelp数据集及多个主流模型完成。
说明用于增强网络安全的机器学习模型对抗去偏方法：针对DDoS攻击的检测
简介该论文提出一种检测DDoS攻击的方法，结合生成对抗网络（GAN）生成合成流量数据，并用随机森林分类器训练。研究还应用对抗去偏来降低模型对数据包相关特征偏斜分布的敏感性。文中报告在基准数据上准确率为99.98%，在未见过的合成流量上测试提升22.60%。
说明隐私友好的受众分群：浏览器内、设备端推断职业分群用于无标识广告
简介该论文提出SIF（密封推断框架），在用户设备上于浏览器内推断粗粒度的职业分群，只向OpenRTB竞价流输出经本地差分隐私处理的分类标签，不含跨站标识符。论文还给出了隐私与效用的权衡分析、再识别模拟以及对各属性可预测性的评估，结论认为公司类型和规模较易预测，而资历大多难以预测。
说明先渲染再阅读：用视觉渲染防御提示注入攻击
简介论文发现多模态大模型更容易听从以文本形式出现的恶意指令，而以图像等非文本形式传递时则较少被遵从。作者据此提出一种无需训练的防御方法Pictionary：在输入模型前，把所有不可信内容渲染成排版图像或音频。在十个模型和两个基准测试中，该方法降低了攻击成功率，同时基本保持了正常任务的效用。
看点发现多模态LLM对文本指令比图像指令更易服从的模态差距，并据此提出免训练防御，在十个模型和两个基准上验证。
说明为什么在神经网络中植入后门如此容易：一篇基于二次神经元的理论分析论文
简介该论文从理论上分析攻击者需要多少投毒样本和触发强度才能成功植入后门。作者在含毒高斯混合数据上推导了二次神经元的闭式结果，发现特征学习会让攻击所需的触发强度随投毒比例以更慢的速率下降（由α∝π^-1/2变为α∝π^-1/4）。因此，仅基于线性启发式的安全审计可能低估神经网络的后门脆弱性。
说明多类别、多层级网络入侵检测：一个全面且可复现的基准测试
简介本文针对 CIC-IDS2017 数据集上已发表结果难以比较的问题，修正了 PCAP 级别的标签并建立完整评估流程。作者在二分类攻击检测、九类攻击家族归因和十五类细粒度分类三个层级上评估了十一种表格分类器。其中，随机森林、XGBoost 和 LightGBM 的软投票集成在细粒度层级取得 0.955 的宏平均 F1 分数，该流程为开源可配置的。
说明强化学习之后，蒸馏防御很容易失效
简介该论文研究针对闭源大模型推理能力的蒸馏攻击及其防御。作者指出，现有防御通常只在蒸馏后立即评估，忽略了攻击者可能继续用强化学习训练模型的情况。实验表明，简单攻击即可利用现有API的数据窃取推理能力，效果与提取完整隐藏推理轨迹的复杂攻击相当。论文认为，只要防御泄露了足以重建近似推理轨迹的信息，就可能无效。
说明当隐私成为武器：理解中国大陆社交媒体生态中的人肉搜索与隐私漏洞
简介该研究通过对18名中国大陆人肉搜索受害者的半结构化访谈，梳理了此类恶意公开个人信息行为在中国语境下的运作方式。研究发现，平台放大机制与西方情况相似，但强制实名制、民族主义话语、粉丝文化、儒家价值观及较低的隐私素养等因素使其呈现中国特色。作者认为，有效保护需要约束系统性漏洞，并提出法律、平台设计与社会层面的建议。
说明Tracekit：面向AI智能体的防篡改意图-推理-行动审计系统
简介AI智能体会用操作者的凭证执行命令、修改代码、发送邮件和转账，但通常只有可被修改的日志记录其行为。本文提出开源工具Tracekit（1.4.1版，MIT许可），将每次智能体运行转化为第三方可离线验证的证据：签名器在工具调用前依据独立策略做出决定，并以Ed25519签名记录，组成哈希链与Merkle树。论文报告21项实验结果，并称策略规则只是辅助而非安全边界，真正的保护来自智能体无法触及的签名器与凭证。
看点将签名哈希链、Merkle树见证与意图-动作对账结合用于智能体审计，并在多项实验中验证，但多数组件属于已有技术的组合。
说明AEBAP：一种面向无线网络、基于椭圆曲线加密的高效认证协议
简介本文提出 AEBAP，一种基于椭圆曲线密码（ECC）的高效认证协议，面向资源受限的物联网无线通信场景。该协议旨在实现双向认证和数据完整性，并抵御被动与主动攻击。作者通过实验实现评估其性能，并使用非形式化推理及 Scyther、ProVerif 等形式化验证工具进行安全性分析。文中称其在计算和通信开销较小的同时提供较强的安全保证。
说明基于抗碰撞哈希函数的QMA简洁论证
简介本文证明，仅假设存在坍缩哈希函数（collapsing hash functions），即可为QMA构造简洁论证（succinct arguments）。这是首个只依赖非结构化的Minicrypt假设的方案。作者提出了一个量子简洁的claw态生成协议，使用经典通信即可把少量量子关联扩展为任意多的claw态关联。该方法在轮复杂度、标准模型证明和整体简洁性上均优于先前工作，并由此得到基于单向函数的量子简洁盲委托计算协议，再通过通信压缩编译器得到QMA的简洁论证。
看点首个仅基于抗碰撞型Minicrypt假设构造QMA简洁论证的方案，并给出比已有工作更简单、轮复杂度更优的爪态生成协议，证明在标准模型中完成。
说明SEABench：自我进化智能体内生失准的基准测试
简介本文提出SEABench基准，用于研究自我进化的大语言模型智能体在部署后修改自身控制指令、记忆管理和工具技能时产生的内生失准问题。基准包含48个纵向任务序列。实验显示，自我进化能提高任务完成率，但常伴随非进化基线智能体没有出现的安全失败；不同进化方面和危害类型下的安全行为也各不相同。此外，安全行为的差异体现在思维链推理中，可据此构建一种误报率较低的监测策略来缓解不安全行为。
说明共享文件中的AI病毒：跨LLM智能体的记忆跳跃攻击
简介论文研究大语言模型助手通过共享文件（如报告）形成间接通信渠道时的风险。恶意内容可被存入助手的持久记忆，在后续生成的文件中被复现，并被另一个助手读取，从而实现自我传播。作者在模拟的人机交互环境中测试攻击能否跨多次交接存活、传播多少跳，以及覆盖范围。结果显示攻击可跨多个独立助手传播并持续较长交互序列，在较大模拟环境中传播链可延伸至8跳，覆盖60%至80%的智能体。
看点提出经由共享产物在助手间自传播攻击的新威胁模型，并在模拟环境中验证多跳扩散，但实验规模与基准细节有限。
说明编译器可以读，智能体不能读：让编程智能体无法访问部分科研代码
简介论文指出，基于物理的求解器需要编译器读取某些模块才能构建，但编程智能体不应读取这些核心知识产权代码。作者对十五条读取路径进行了分类，并检验了容器、权限规则和沙箱三种防护手段，发现它们都无法区分究竟是哪个程序在读取文件。
说明INTCC：面向交互式机密计算的框架
简介该论文提出“交互式机密计算”范式，允许不受信任的数据处理方在可信执行环境（TEE）内进行动态、带人工交互的操作，同时保护数据机密性。作者将TEE划分为交互控制器与可验证运行时，并基于AMD SEV-SNP与Confidential Containers实现INTCC框架。实验显示，在LLM微调中额外开销低于5%，数据分析中低于17%。
说明基于系统感知图边界学习检测智能电网中的虚假数据注入与不稳定运行
简介本文提出StarGNN图学习框架，仅用清洁的稳定运行配置学习稳定区域，并用单一异常分数标记不可信的上报配置，以同时识别真实不稳定与虚假数据注入（FDI）攻击。方法将每个配置表示为生产者-消费者星形图，通过扰动反应时间和价格响应参数生成物理约束的伪负样本，并以仅在留出稳定数据上校准的单一阈值进行判断。在九种未见过的FDI场景中，该方法对稳定配置的攻击检测率为0.780至0.973，对攻击后不稳定配置的召回率为0.972至0.999。
说明超越标量探测：利用ReLU网络的向量输出进行签名提取
简介本文从几何和代数角度重新审视对ReLU网络的密码分析式提取。作者不再只看单个输出分量，而是研究相邻线性区域间完整的向量输出行为，并刻画雅可比差分的秩一结构，从中既恢复常见的行签名信息，也得到补充的列侧信息。实验表明，这些额外结构可用于提取，并在float64、float32和float16等不同数值精度下改善数值估计，将分析扩展到低精度场景。
说明大语言模型辅助密码协议自动安全证明：我们还有多远？
简介本文首次系统评估了前沿大语言模型在密码符号协议验证中的能力，并提出基于证明骨架的指标 CRoST（求解树覆盖率），用于衡量生成引理与参考引理的相似度。结果显示，模型平均覆盖率为 38.82%，14.4% 的引理覆盖率超过 80%，说明模型已能生成一定有用的引理。但其在复杂多阶段协议上仍存在明显失败模式，简单扩大规模收益递减，且验证开销较大。
说明置换之和的不可区分性：经典与量子安全性的傅里叶分析路径
简介本文研究有限阿贝尔群上独立随机置换之和及相关变换在经典与量子查询模型下的不可区分性，采用傅里叶分析方法统一处理。文中给出了经典与量子模型下随查询次数变化的安全性上界，并讨论了二进制向量空间上的线性后处理与Dinur的可变输出单置换构造。
说明基于人工智能的漏洞评估能力与网络攻击图分析
简介本文结合两种方法评估关键基础设施的网络风险：一是基于多智能体强化学习和网络知识图谱识别攻击路径与战术技术，二是结合网络拓扑与漏洞计算系统风险的概率攻击图模型。以2015年乌克兰电网攻击为验证场景，两种方法独立应用于同一工控网络后，得出与事件记录一致的攻击路径。研究认为工业控制系统是攻击传播的关键节点，应优先加固。
说明《别看了，没什么》：LLM 交付物修订痕迹造成的意外泄露
简介该论文研究大语言模型在协助起草内容时，删除敏感信息后仍在说明中重复该信息而导致泄露的问题。作者在公开对话语料中发现约 8.8% 的修改请求留下修订痕迹，并构建 RevLeakBench 基准进行受控评测。结果显示，约一半交付物会在撤回后说明修改，读者仅凭交付物可恢复约 13% 的被撤回内容；论文还比较了提示防御与交付边界，并提出可显著降低泄露的输出端过滤方法。
说明PrivacySkills：隐私指引如何影响LLM智能体的信息来源选择
简介本文提出PrivacySkills受控框架，用于评估LLM智能体在多种可获取同等任务信息的途径（公开个人信息、机密来源或直接询问用户）之间如何选择。研究含55个合成任务和169项技能，比较了系统级指令与技能级隐私标签的效果。结果显示，无隐私指引时智能体平均有30%的情况访问机密来源；用户不可用时该比例升至45%，紧迫性措辞无明显影响；结合两种隐私指引可使机密访问率约减半。
说明Planarian：利用状态点管理智能体状态
简介该论文提出Planarian，一种带状态管理功能的智能体运行时，引入可恢复的“状态点”概念，使智能体和用户能在本地与远程环境间撤销错误操作并并行探索替代方案。系统提供快照、回滚和分叉三种原语，其中远程状态变化通过补偿操作撤销。论文称该方法可将任务质量提升最多15倍，用户恢复错误操作的开销仅为3%。
说明基于自动化云原生编排的混合 QKD-PQC 网络仿真平台
简介本文提出将开源仿真平台 Quditto（原为量子密钥分发 QKD 网络设计）扩展为混合 QKD 与后量子密码（PQC）网络的仿真平台。该平台包含云原生编排器、面向大规模部署的优化流程、后量子节点集成以及安全密钥管理模块。实验在典型的 spine-leaf 网络上验证了编排时间随网络规模呈次线性增长，并成功完成了端到端的混合密钥建立。
