arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明安全原型并不等于安全方向：响应安全嵌入中的参照依赖与提示混杂
简介本文检验了用已知安全回应的平均嵌入余弦相似度来评估回应安全性的方法。在两个人工标注语料和一个陪审团标注的辅助语料上，使用四种冻结编码器与按提示分组的划分进行审计。结果显示，仅用安全原型的判别力有限甚至反向，而显式的安全减不安全参照方向表现明显更好；提示与标签的构成也会使无控制的评估结果虚高。
说明信道噪声与设备漂移下对量子密钥分发的学习型攻击
简介该论文研究窃听者如何利用量子密钥分发（QKD）中信道噪声随时间漂移的特点进行自适应攻击。作者将攻击建模为受约束的马尔可夫决策过程，并用强化学习联合搜索量子线路结构与旋转角度。在多种噪声模型和协议下，学习得到的攻击都优于最佳固定线路，并接近动态规划的上界。
说明SAGE：基于少量已核实样本，通过相似度清理训练数据中的投毒样本
简介机器学习越来越依赖公开、不可信的数据来源，数据投毒攻击通过向训练数据注入恶意样本，使模型误判指定目标。本文提出SAGE方法，只需少量经专家核实为干净或投毒的样本，先用另一数据集训练通用特征提取器，再基于相似度加权的非参数预测标记可疑训练样本。在七种干净标签攻击的标准基准上，即使只有少量已核实投毒样本也有明显优势，且各类别干净样本的分布比数量更重要。
说明QUFIG：基于图神经网络的量子故障注入漏洞门级预测
简介该论文针对量子云平台中运行时故障注入攻击的风险，提出名为QUFIG的框架，用图神经网络基于电路有向无环图预测每个量子门遭受各类故障时对电路保真度的影响，并据此排序门-故障组合。在QASMbench与HamLib MaxCut上的实验显示，该方法比随机和基于深度的启发式方法更少检查次数即可找出高影响漏洞，可减少2.9%至19.8%需检查的门。
说明《无辜的信使：通过合法 LLM 网页抓取进行的隐蔽数据外泄》：利用大模型的网页抓取工具悄悄泄露数据的攻击研究
简介论文提出 LLMLeak，一种新攻击方式：本地恶意软件无法直接联网，便利用大语言模型自带的网页抓取工具建立隐蔽通道，把秘密编码进 URL 中，由攻击者控制的 DNS 或网页服务器接收。作者在 11 个开放参数模型上评估，攻击成功率为 79.7%，并在真实聊天机器人上做了案例研究。
看点提出利用LLM网页抓取工具建立隐蔽数据外泄通道的新攻击向量，在11个模型上测得79.7%成功率并对真实聊天机器人做了案例研究。
说明去中心化智能体经济基础设施的系统化综述：多阶段任务中的安全与经济保障如何断裂
简介本文系统梳理了去中心化智能体经济中一项任务从托管、验证到结算的全流程安全与经济需求，共归纳17类属性、覆盖六个阶段，并考察了12个系统与标准、5类可复用机制和4种经典基线。作者提出“保障闭合”标准，用以判断某阶段建立的保障能否在后续依赖它的决策中继续有效。通过840组匹配执行及11,648个有限案例的穷举检验，研究发现验证与结算之间存在反复出现的失效，例如合格工作仍未被接受，或有效证据被忽略。
说明部分重配置的致命弱点：7系列 ICAP 的光学侧信道泄漏
简介本文针对 AMD 7 系列 FPGA，实现了一种 AMD 提出的非对称密钥比特流加密方案的概念验证，并分析其安全影响与硬件开销。作者提出一种光学侧信道攻击，利用光子发射显微术与电光探测，定位并非接触式地提取 ICAP 接口上的明文配置数据。作者在 XC7A200T 器件上找到 ICAP 总线并证明其数据可被电光探测提取，认为即使采用部分重配置的先进加密方案也易受光学攻击。
看点提出利用光学侧信道从ICAP总线提取明文配置数据的新攻击，并在XC7A200T上定位总线、验证可提取数据，影响广泛的FPGA比特流保护。
说明iX3DH：基于同源（isogeny）的后量子抗篡改 X3DH 密钥交换协议
简介该论文针对 Signal 所用 X3DH 握手在设备被恶意篡改（subversion）时的安全问题，提出后量子协议 iX3DH，基于可交换的群作用 Diffie-Hellman 构造。协议中的公开群作用值可由反向防火墙重新随机化，从而去除潜在的隐蔽信息。作者在量子随机预言机模型（QROM）下证明了其认证密钥交换安全性，并给出反向防火墙具备抗泄露性及保持可解释篡改下安全性的证明。为防止签名中的隐蔽信道，作者还构造了 IBIS，即首个后量子唯一签名方案的候选者。
看点将Dodis等人的反向防火墙X3DH方案迁移到后量子同源群作用，并构造首个候选后量子唯一签名IBIS，新颖性较强；证明完整但缺乏实验验证。
说明结合同态加密与差分隐私的联邦学习：模型检查与可用性研究
简介本文提出一种隐私保护的联邦学习框架，训练阶段采用同态加密，模型检查与发布阶段采用差分隐私。作者用基于马尔可夫链蒙特卡洛的贝叶斯方法估计隐私水平。在FEMNIST数据集上，该方法的测试损失为1.09，纯差分隐私方法为2.37；隐私参数ε的后验均值分别为4.32和7.26。
说明基于签名与证明的、与情境无关的设备绑定匿名凭证
简介本文提出一种模块化构造，用于实现与情境无关的设备绑定匿名凭证：每次出示凭证都需要安全元件（SE）参与，且不向SE泄露具体情境。构造由位置绑定向量承诺、签名方案、回合最优盲签名和非交互零知识论证组成，并证明了正确性、不可伪造性、不可链接性和SE不可知性。作者用CAPSS框架、Griffin/Jive默克尔承诺实例化该构造，并基于Longfellow的Ligero证明后端给出16个属性、4项披露下的性能数据。这是首个完全由可能抗量子组件构建的具体实现与评估。
说明将物理层欺骗机制集成到 EAP-TEAP Wi-Fi 认证协议中
简介论文指出，基于凭据的 EAP 认证无法区分合法持有者与使用被盗凭据的攻击者。作者提出一种批量式物理层欺骗（PLD）再验证步骤，把其集成到企业级 Wi-Fi 的 TEAP/RADIUS/802.11 认证链中，并在开源 hostap 2.12 中完成端到端实现。实验共 1593 次尝试，原型拒绝了所实现的朴素凭据攻击者全部 30 次尝试，并评估了一、二、三个主动轮次下的安全性与可靠性权衡。
说明利用技能链劫持大语言模型智能体
简介论文指出，大语言模型智能体会按顺序调用多项技能，前一项技能的输出会影响后续决策，而这些技能可能来自开源仓库，因此攻击者的虚假信息可能随之传递。作者提出APEX方法，构造并优化针对特定用户任务和攻击者指定动作的对抗性技能链。在SkillsBench上测试四类目标动作和六个模型，共690次尝试中有512次成功诱导指定动作（74.2%）。作者还评估了一种提示防御，它在降低攻击成功率的同时也明显降低了良性任务的通过率。
看点提出跨技能链式劫持LLM智能体的攻击思路，并对比单技能合并的成功率差异；实验覆盖六个模型，证据较充分但规模有限。
说明《虚假地板》：分布偏移下的大模型安全路由评估会失效
简介该论文指出，主流安全路由基准用测试数据挑选比较基线，在分布偏移下会高估路由收益。作者在 HELM Safety 和 AgentDojo 等数据集上测量了这种偏差，并发现在留出类别的划分下偏差明显增大。论文建议在分布偏移下评估安全路由，并以不使用测试标签选出的基线为对比。
说明OverAct：衡量并缓解 LLM 工具调用代理中的主动过度授权
简介该论文研究带工具调用能力的大语言模型代理在处理请求时，会主动获取超出用户明确需求的信息，即“主动过度授权”，尤其涉及私人数据。作者提出了覆盖八个隐私敏感领域的 OverAct 基准，并提出 SelfAudit 方法，在执行前过滤缺乏依据的调用，使隐私相关的超范围访问减少43%。
说明可否认秘密分享：迈向实用的伪造方案
简介该论文研究可否认秘密分享（DSS），即在攻击者可贿赂或胁迫所有持份者交出份额时，持份者可用伪造函数生成看似真实但不泄露秘密的假份额。论文分析伪造过程中的两个关键性质：伪造者对秘密的隐私保护，以及伪造时需交换的消息数量。作者证明了信息论构造需要非零次消息交换，并给出在阈值访问结构等情形下匹配该下界的通用构造；计算安全设定下则给出两种无需额外交互的构造。
说明Rijndael-256-256 下 GCM 的 nonce 误用抗性研究
简介论文指出 GCM 在 nonce 被误用时安全性脆弱，而 NIST 考虑标准化的 Rijndael-256-256 仍无法消除误用带来的后果。作者提出 GCM-256 方案，将原本丢弃的一半块密码输出用作 GHASH 的密钥，并证明该方案在误用 nonce 时仍能对新 nonce 保证安全。
说明相位键控傅里叶曲线调制的密钥重用漏洞：关系泄露与编码链路上的密钥更新成本
简介该论文指出，仅凭密钥空间大小和无密钥接收机的误码率来判断此类调制安全性并不可靠，密钥重用时谐波耦合会泄露信息。作者针对相位键控傅里叶曲线星座，利用谐波指数之间的整数关系构造攻击，在一个码字一个密钥的设定下，在多数工作点上使窃听者的误块率达到预设的0.1妥协标准。文中还比较了人工噪声等对策及不同密钥更新策略的成本。
说明在 MiniQCrypt 框架下具鲁棒性与抗泄漏性的设备无关不经意传输
简介本文基于后量子单向函数，构造了设备无关的不经意传输与比特承诺协议：诚实方只用可信的经典计算操作不可信的量子设备，安全性以模拟方式对量子多项式时间敌手成立。协议在两种条件下分别可容忍一定比例的设备故障或量子比特泄漏。由于不经意传输是安全计算的完备原语，作者由此得到对任意可高效计算的经典功能的设备无关协议（允许中止）。
看点构造了设备无关的不经意传输与比特承诺，在两种泄漏模型下给出仿真安全，并推导了Magic Square并行重复界，理论贡献突出。
说明意图约束执行的证据覆盖：范围、义务与截止推理
简介本文提出一个分析模型，用于回溯性地检查已声明的执行证据义务是否被覆盖。验证者即使能认证所有可用记录，也未必能断定执行记录完整，因此需要说明哪些记录应当到位。论文区分义务清单的闭合与验证者视图的闭合，并定义 COMPLETE_WITHIN_SCOPE、INCOMPLETE、UNKNOWN 三种报告结果。结果仅针对截止时点应到位的义务；完整性以既定的义务配置和评估前提为条件。
说明能否用系统级密钥从人脸嵌入生成不可逆的 PolyProtect 保护模板？
简介本文研究在 PolyProtect 生物特征模板保护方法中，改用所有用户共用的系统级密钥（同一组 C、E 参数）而非每人一套的个人密钥，能否仍生成不可逆的保护模板。这样可以在保护模板域内进行人脸身份去重。作者通过实验表明，至少有三种系统化选取系统级密钥的方式可产生不可逆模板，因此认为该方式在不降低模板保护能力的前提下是可行的。
说明高质量数据并不等于安全：数据筛选之后的大模型投毒研究
简介该论文研究了经过安全对齐的大语言模型在微调时的风险。作者发现，基于质量的数据筛选能去除大量明显有害的样本，但部分被保留的高质量样本仍可能削弱模型的安全对齐。论文据此提出Bi-QSTO方法，在质量约束下优化投毒样本，使其在筛选后仍保留安全削弱效果。实验显示，即使在90%过滤率下，该方法的样本保留率仍超过90%，攻击效果可在不同模型间迁移。
说明《沉睡的秘密》：微调如何重新唤醒语言模型中的隐私风险
简介该论文指出，对大语言模型进行微调，可能恢复模型此前学到、但已无法通过直接提问获取的私人信息。作者提出无需数据的攻击方法ReGap：利用任务结构生成候选，按答案词元似然筛选，再以低秩适配更新模型。在六个GPT-2、OPT和Qwen3模型上，目标关联恢复率比微调后的目标模型提高6至21个百分点。
说明PACE：面向工具调用型大模型智能体的溯源感知能力强制执行
简介该论文针对会调用工具的大模型智能体，指出被污染的工具元数据、检索网页、记忆和可复用技能可能诱导后续调用，而仅在准入前审查工件无法解决问题。作者提出PACE，在每次工具调用执行前进行中介，结合路径限制与基于授权的能力与效果验证。在八个可执行智能体安全基准和三类目标模型上，评估配置在79个可比攻击列中有62个取得严格最低攻击成功率，其余14个并列；完整基准的原生效用最多下降三个百分点。
看点在工具调用前按来源和权限做执行时强制约束，提出新的边界机制；在八个基准、三类模型上系统对比并做完整消融，证据较充分。
说明无需跳数提示的可重聚合多重签名：构造与下界
简介本文研究多重签名（将同一消息上的多个签名压缩为一个聚合签名）在多跳聚合中的问题。作者证明，允许重叠聚合的幂等多重签名，其签名大小与签名者数量呈线性关系；为规避该下界，提出了使用增量可验证计算构造的唯一多重签名，签名大小保持常数。将其用于认证的 Dolev-Strong 拜占庭广播后，可在诚实发送者情况下实现两轮终止，并将通信量从 O(n^3) 降至 O(n^2)。
看点提出幂等多签名并证明线性下界，同时构造常数大小的唯一多签名，理论贡献显著；证明完整性较强但缺少实验验证。
说明按需证明：面向生成式AI的可选择披露水印
简介本文提出一种面向生成式AI的密码学水印方案，可在不影响输出质量的前提下为模型输出嵌入隐藏标记。默认情况下，只有模型所有者能够检测水印；所有者可为任一单独输出发放一个短令牌，供第三方验证该输出带有水印，而其他未披露的输出即使对令牌持有者也无法被检测。作者还形式化了两项新安全性质并给出基于已有工作的构造及安全证明，适用于包括大语言模型在内的自回归生成模型。
说明Jambon：低通信开销、异步且可通用组合的门限全同态加密
简介本文提出 Jambon，一种门限全同态加密方案，让多方共同持有解密权限。它对部分解密结果做确定性舍入，以进一步缩小解密响应所用的模数，并分别分析密钥生成与解密阶段的误差。作者在 BFV 上证明了精确恢复，并将方法扩展到 CKKS；在静态恶意腐化和随机预言机模型下，声称具有可通用组合的安全性。按其设定的参数，Jambon 的数值解密响应比更新后的 KLL+26 原生构造至少小 60%，比较不计证明与设置流量。
说明移动设备中的GNSS欺骗：影响与对策综述
简介这篇综述讨论智能手机依赖的卫星导航（GNSS）接收机容易受到干扰和欺骗攻击，其中欺骗通过伪造卫星信号让设备算出错误位置。作者指出现有综述较少考虑手机硬件受限、难以深入接收链路的问题，因此专门梳理适用于手机架构的检测与应对技术，并建立分类框架、回顾历史漏洞研究，比较各类方法在移动平台上的优缺点。
说明基于分类体系对齐大语言模型的开源软件威胁自动检测
简介本文提出一种用于开源软件供应链威胁自动检测与多类分类的大语言模型框架，涵盖五类攻击，并基于999起已验证的真实事件构建数据集。使用GPT-4进行分类体系对齐提示，框架在五个类别上达到97%的准确率和97%的宏F1值。与多种基线方法的比较显示，分类体系对齐提示比模型规模、领域预训练或微调更关键。
说明面向主机入侵检测的资源感知行为重构与分层语义学习框架（ReSHID）
简介该论文针对主机入侵检测中系统调用序列按原始执行顺序建模、不同进程交错导致难以提取模式的问题，提出ReSHID框架。它利用系统调用语义不变量重构语义连续的序列，并通过文件描述符生命周期追踪关联同一资源的描述符，再用GATv2建模多主体之间的协同模式。实验显示，该方法在F1、ROC-AUC和PR-AUC上优于所有对比方法，并减少了约75.2%和44.1%的n-gram特征。
说明ReCast：面向固定接口多模态推理的契约保持型隐私保护框架
简介该论文提出ReCast，一个可插拔的智能体框架，在把图表和语音等私密输入交给远程多模态模型前，先在本地替换其中的具体内容，同时保留任务相关的关系和所需的输入形式。在4000条ChartQA和NMSQA保留样本上，ReCast达到75.10%的准确率，保留了未保护远程推理准确率的92.43%，同时基于模型的审计发现，7.95%的求解器请求仍存在源内容泄露。
说明二元LWE问题的次指数算法（样本数为次线性）
简介本文研究多项式模数下的二元LWE问题，在样本数为线性的情形下给出一种随机化算法。该算法能区分由矩阵和内积加噪声构成的数据对与均匀随机数据对，其期望运行时间和空间均为exp(O(n/log log n))。作者通过新的辅助超格实例化（基于Gaussian-Wagner框架）并结合Aharonov-Regev傅里叶区分器实现该结果，使样本数降至次线性。
看点改进了二元LWE在线性样本下的子指数算法，将样本数降至亚线性，并给出新的超格实例化与严格的分析论证。
说明从数学证书到可执行证书：机器遗忘的发布认证
简介本文针对机器遗忘（删除指定训练数据的影响）中数学保证与实际部署之间的差距，提出可执行发布认证框架ExecCert，在发布时对候选输出进行认证。对于冻结表示加可变岭回归头的情形，作者提出增量式的再训练参照发布验证方法RRV，在多次删除请求间维护认证证据。实验显示该方法能消除仅凭存储方程验证造成的错误发布，并且在发布检查足够频繁时比其他验证方式更省成本。
说明快模型，慢证据：面向LLM智能体框架的System-1决策模型成对与自审评估
简介本文比较了两种System-1决策模型（一个开源权重模型Laya，一个托管模型Jev）在11个智能体决策点上的表现，数据来自18个公开来源，共7283个基础案例和6640个鲁棒性变体。结果显示Jev在9个决策点上显著更准确；Laya在选项顺序颠倒时会改变30%的答案，且候选项增多时明显下降。作者还审计了自身流程，指出多处分析错误与设计混淆会扭曲部署收益结论。
看点对两个System-1模型做成对、可复现的多决策点评测，并审计自身分析错误，证据扎实；但方法本身属常规评测，新意有限。
说明通过开放世界安全构建可信赖的家用机器人
简介这篇立场论文指出，基础模型让家用机器人能处理更多物品并执行复杂指令，但家中环境杂乱多变，机器人常遇到不熟悉的物体和任务。作者主张家用机器人应在未见过的情况下（包括无法完成任务时）仍能遵守既定安全要求，并提出规范、学习、落地、强制执行和评估安全保护的研究议程。
说明Jev-IDS：用于网络入侵检测的System One模型
简介该论文提出JEV-IDS，一个基于Jev System One Model（SOM）的开源通用网络入侵检测系统，用于在标注数据稀缺的情况下检测零日攻击。系统逐条分析网络流记录，判断攻击概率并给出有限选项的流量类别。在300条流量的NSL-KDD试验集上，k=1时其F1值为0.859，新型攻击召回率为0.838，速度和成本均优于GPT-5.6 Luna。
说明自我改进中的安全性必须保持：为何失败会持续，以及智能体如何恢复
简介该论文研究递归自我改进（RSI）的智能体在多代迭代中如何保持安全。作者在有状态的授权任务测试平台上，用固定的大语言模型编辑器优化可执行组件，并独立记录其效果。结果显示，新的授权依赖使先前测试过的优化失效后，历史评分仍会保留不安全程序；刷新评分可恢复正确性，但在独立组合的测试上仍有残留失败。完整验证与已验证的回滚可使核心轨迹研究中的程序完全正确，同时保留超过43%的部署节省。
说明MOMAT：面向量化大模型低功耗越狱防御的多知识图集混合框架
简介论文指出，量化后的大语言模型在边缘设备上部署时安全对齐会被削弱，易受越狱攻击。作者提出 MOMAT 框架，把有害与良性样本按语义聚类为多个“图集”，结合检索增强生成与轻量级混合专家检测器，并用存内计算（CiM）加速相似度检索。论文报告相比 DRAM 基线的能耗大幅降低，同时防御效果与现有方法相当。
说明基于奇偶扩展博弈的设备无关会议密钥
简介该论文研究设备无关会议密钥协商，即一组参与方借助不可信量子设备建立共享密钥，安全性由非局域性保证。作者提出奇偶扩展博弈（Parity-G games），可把任意两人博弈扩展到任意多人，并把双人博弈的分析结论用于多人协议安全性证明。作者据此构造出首个基于伪心灵感应博弈的该类协议，并证明其可抵御相干攻击。
看点提出可将任意双人非局域博弈扩展到N方的框架，并首次构造基于伪心灵感应博弈的DI-CKA协议，证明抗相干攻击，理论贡献较突出。
说明Helol 隧道：利用 TLS 扩展性与隐私特性的隐蔽信道
简介本文提出 Helol 隧道，一种通过重新排列 TLS Client Hello 报文中的加密信息元素来嵌入数据的隐蔽信道方法。作者利用 TLS 为保持扩展性而鼓励中间设备保留参数配置，以及应用为对抗指纹识别而变化配置的趋势，演示其可规避带交互式代理和综合威胁防护的下一代防火墙。作者还借助真实流量捕获和公开的 TLS 指纹数据，数值表明该方法优于现有利用 TLS 的隐蔽信道。
说明ABSENTIA：检测 Web 应用中的失效访问控制漏洞
简介本文提出 ABSENTIA，一个让通用大语言模型智能体系统化地检测 Web 应用后端访问控制漏洞的安全框架。它先构建从路由到代码的映射图，再逐条路由推断应被满足的授权性质，对未被强制执行的情况报告给维护者审查。作者还发布了 BAC-Bench 基准，包含 30 个 2025 年及以后发布的访问控制漏洞公告。
看点提出以路由为单位、基于不变式证伪的LLM审计框架，并构建含修复提交配对的新基准；实验对比了CodeQL、Semgrep及无结构代理，证据较充分。
说明DeBERTa-ConPara：面向对抗攻击与实际部署的AI生成文本检测
简介本文提出DeBERTa-ConPara，一种结合对抗感知Unicode预处理与上下文Transformer编码器的AI生成文本检测器，在HC3 Plus、M4、MAGE和RAID上训练。研究发现预处理的作用取决于应用位置：对训练语料归一化会造成去重并删除对抗样本，而在推理时归一化则有效。最佳配置为原始训练加归一化推理，在RAID官方隐藏测试集上AUROC达99.61%；同花字符和零宽空格攻击的检测率由11.05%、1.12%提升至96.98%。作者还报告了两项负面结果。
说明Kettle：基于 HAWK 签名方案的短后量子门限签名
简介HAWK 是一种基于格的哈希-签名方案，曾入围 NIST 后量子签名附加征集的第三轮。本文指出 HAWK 的设计对多方计算（MPC）十分友好，且不受引起关注的 AI 密码分析结果影响。作者由此提出 Kettle，一种 UC 安全的门限签名协议，可输出符合规范的 HAWK 签名，并能扩展到任意数量的参与方。与基于 ML-DSA、Falcon 等非门限格签名构建的其他门限协议相比，Kettle 的在线轮数和在线通信开销显著更低。
说明Knuth–Yao 掩码（高斯）采样：一种抗侧信道的格密码采样方法
简介该论文提出首个针对 Knuth–Yao 采样器的掩码实现，用于抵御格密码中离散高斯采样的侧信道攻击。利用其树结构，将采样器以位切片布尔电路形式实现，所需掩码 AND 门数量为 L−2（L 为概率展开的总汉明重量）。在 ARM Cortex-M4 上，该方法在掩码阶数 1 至 5 下均优于现有掩码 CDT 方法，一阶时最高快 2.3 倍。
说明基于定向命中集生成器的非交互式黑盒见证不可区分承诺与证明方案
简介本文研究定向命中集生成器（HSG）在去随机化中的应用，将其用于安全实例化Fiat–Shamir变换，从而在普通模型中得到针对一致PPT攻击者的非交互协议。作者结合MPC-in-the-head技术，构造了一种非交互见证不可区分的承诺与证明方案，其基础是一个具有可高效识别值域的单射单向函数以及一个足够强的定向HSG。
说明AuraForge：为训练编程智能体扩展安全监督
简介该论文提出AuraForge，用于合成并验证可执行的安全测试，以训练更安全的编程智能体。作者基于此构建了AuraGym，包含来自344个真实仓库的679个跨Python、JavaScript和TypeScript的功能实现任务，覆盖177类CWE。论文报告称，在有人工编写安全测试的子集上，该方法生成的测试用例约为其3倍，误报率降低83.23%，并在训练Qwen3.5-4B时，合成安全测试带来的提升大于人工编写的安全测试。
说明防御手段能否应对各类LLM提取攻击？一项黑盒模型提取的全生命周期基准测试
简介论文提出统一基准，涵盖六种模型提取攻击、十种防御手段以及两种自适应攻击。自适应攻击会在训练替代模型前改写或回译受保护的回复。基准在各次比较中统一控制模型配置、查询数据、预算和评估条件，并衡量替代模型的能力、与受害模型的一致性、输出质量及对查询预算的敏感度。
说明结合随机化与早停的拜占庭协议，并应用于高轮次效率的多方计算
简介本文研究同步网络中的拜占庭协议（BA），结合期望常数轮与早停两类协议的优点。作者提出一种编译器，可将多类期望常数轮协议提升为最坏情况下 O(f) 轮（f 为实际被攻陷方数）的协议，首次给出完美安全、t<n/3 下兼具两种性能的方案。论文还将其扩展到并行广播（交互一致性）及基于广播的多方计算。
看点提出将期望常数轮拜占庭协议编译为O(f)最坏轮数的通用方法，并扩展到并行广播与MPC，有明确的理论证明支撑。
说明SafeDepth：兼顾安全的按词元自适应计算框架
简介研究发现，按词元跳过Transformer层的自适应模型会比其原始模型产生更多有害回复，且安全影响取决于跳过哪些层以及发生在提示处理还是答案生成阶段。作者提出轻量的插件式框架SafeDepth，通过路由器和适配器选择性执行层，并与冻结的骨干模型联合训练，在减少计算的同时降低有害回复。在Llama-3-8B-Instruct上的实验显示，相比FlexiDepth，其在五个有害请求基准上的不安全回复率均下降，XSTest误拒率从12.0%降至4.0%。
说明Sapien：面向自主AI智能体的有状态策略引擎
简介该论文提出Sapien，一种用于约束AI智能体工具调用的策略引擎，能够根据智能体已执行的操作和已获得的信息动态判断后续动作是否合法。Sapien使用带有状态谓词、延迟策略生成和限定范围语义检查的扩展正则表达式来描述允许的工具调用序列。论文称，其任务效用与不受约束的智能体相差仅几个百分点，即使智能体被完全劫持，也能在AgentDojo上阻断93%至95%的攻击，在Toolathlon上阻断62%至85%的攻击。
说明针对CSIDH的克莱普托图攻击（一种被篡改设备泄露密钥信息的方法）
简介本文提出一种针对CSIDH同源密码方案的攻击场景：被篡改的设备可以通过Alice在后续CSIDH会话中公开的曲线，向外泄露其与Bob共享的曲线。作者将经典Diffie-Hellman上的Young-Yung克莱普托图攻击改造到CSIDH，借助Goldreich-Levin定理和拒绝采样实现。文中证明，即使公开曲线的秘密类由隐藏曲线的硬核比特控制，它在计算上仍与诚实生成的公开曲线不可区分，且证明只依赖CSIDH本身的计算假设。
说明执行不确定性下的身份绑定治理：面向LLM智能体持久停机的问责证明块
简介本文针对LLM智能体在可观测性或漂移检测持续失效、系统无法自行决定恢复或拒绝权限时的治理困境，提出“问责证明块”（APB）机制，由系统生成证据块、人工提供决策块，并以ed25519签名绑定到注册责任人。作者给出四条定理，并用3,812次停机事件、1,800次攻击及六个开源模型的实验进行验证；结果显示漂移阈值T*需按部署单独测量。
说明按需定制：为图像水印设计规格化组合方案
简介论文提出 TAILOR 框架，可根据用户请求组合多种图像水印，在抗攻击能力、误报率、图像质量和延迟之间取得平衡。该方法先离线测量各水印片段的性能曲线，再用 SMT 模型求解失真最小的组合配置，最后在用户图像上校准。在 7,321 个请求、5 类场景和 20 种攻击设置下，场景平均请求满足率为 96.21%，平均 PSNR 为 41.02 dB。
看点将多种水印片段通过SMT求解器按需求组合并在线校准，组合思路有新意；7,321个请求、20种攻击设置的大规模实验支撑结论，对图像溯源有一定实用价值。
说明跨越网络鸿沟：强化学习网络攻击智能体的仿真到仿真及仿真到真实迁移
简介网络攻击智能体通常只在单一模拟器中训练和评估，其策略能否迁移到其他环境尚不清楚。本文提出一个将状态对齐与动作转换分离的框架，使在一个环境中训练的策略无需重新训练即可在另一环境中运行。作者在CyberBattleSim、NetSecGame、CyberWheel和NASim四个平台上评估迁移效果，其中包括NASim的仿真部署。实验显示零样本迁移可行，在高度对齐的环境中完整保留源策略性能，并在模拟虚拟机环境中与原生策略的Jensen-Shannon散度为0.085。
说明渐进精度安全聚合：联邦学习中可分层释放的聚合方法
简介本文提出一种新的渐进精度安全聚合方案（PSA），用于联邦学习。客户端只需上传一次，之后服务器可在无需客户端再次参与的情况下，经授权逐步获得同一聚合结果的更高精度版本。方法将裁剪并加入抖动的更新表示为兼容的嵌套格数字，各层分别由安全聚合保护，并借助额外的聚合掩码，在非共谋的释放控制方授权前对服务器保持不可用。
说明基于零空间投影的 LoRA 微调大模型后门净化方法
简介本文针对采用 LoRA 等参数高效微调方法得到的大语言模型，提出一种无需触发器先验知识、无需干净参考样本、也无需对可疑参数进行事后重训练的后门净化方法。方法通过提取后门方向并构造正交零空间，将 LoRA 更新投影其上以去除后门。实验显示，攻击成功率从接近 100% 降至 10% 以下，同时保留了基础模型的通用能力和适配器学到的下游能力。
说明“中毒的密码学”：在一半维度内求解直和型 LIP 问题
简介本文分析了 Ducas 与 van Woerden 提出的格同构问题（LIP）框架在两个缩放整数 Barnes-Wall 格直和上的实例化情形。作者指出，该框架下各原语共享同一公钥对，因此从公钥恢复秘密矩阵即可攻破它们。文中以哈希-签名方案为例，展示了一种可由公钥计算的变换，将问题拆分为一半维度下的两个同构问题。在 d=1024、g=43 的设定下，估计的密钥恢复成本由 2^20 降至 2^4，即由 220 降至 124 经典比特。
说明通过专家隔离与关停实现大语言模型后门遏制
简介本文针对被植入后门的大语言模型，提出一种名为“隔离专家关停”（QES）的方法。该方法允许后门在训练中形成，但将其引导到一个可在部署时关闭的专门隔离模块中。实验显示，在多数设置下攻击成功率可从100%降至0%至10%，而下游效用通常保持或仅受轻微影响。
说明基于大语言模型的分层网络防御：从规划到执行
简介本文研究冻结的零样本大语言模型能否在分层网络防御中无需重新训练即可实现控制。作者在Cyberwheel环境中比较了强化学习与大语言模型的不同组合，模型规模从30亿到700亿参数不等。结果显示，仅用大语言模型做规划提升有限，而将其扩展到执行层后，足够强的模型在不同网络规模下都能保持良好的防御表现。
说明没有一种架构通吃所有场景：分层红队智能体的跨环境评估
简介论文比较了两种分层红队攻击智能体：强化学习规划器加强化学习执行器，以及大语言模型规划器加大语言模型执行器，用于测试AI网络防御。研究在CybORG CAGE-4及两种规模的Cyberwheel网络中，对18种配置进行了统一的破坏指标评估。结果显示，优劣随环境而反转：强化学习方案在CAGE-4和100台主机网络中表现更好，而预训练网络安全大模型智能体在1010台主机网络中胜出，作者认为单一环境的结论未必可以推广。
说明Harbormaster：基于证据门控与可安全重放的AWS海事异常检测系统
简介本文介绍在AWS上构建的海事异常检测系统Harbormaster，用于处理船舶AIS位置报告中可能存在的错误或缺失数据。系统对每条报告先做物理规则校验，再运行学习模型；通过基于日志序列号（LSN）的保护机制确保读库写入的幂等性，并以验证集门控、影子比较和金丝雀发布加燃烧率检查来管理模型上线。论文证明了重放变更日志任意前缀或后缀后，各投影键的值仍与其最高已应用LSN一致，并说明了该结论未覆盖的情形。
说明盲不可伪造性蕴含“加一”不可伪造性
简介该论文证明量子环境下的盲不可伪造性可以推出量子“加一”不可伪造性，解决了文献中的一个公开问题。由于已知“加一”不可伪造性无法推出盲不可伪造性，这一结果说明在量子场景中，盲不可伪造性严格强于“加一”不可伪造性。证明采用了一种新的平滑技术，以黑盒方式相干地重新缩放量子查询算法的查询历史。
看点通过新的相干平滑技术证明盲不可伪造性蕴含加一不可伪造性，解决文献中的公开问题，证明完整严格，对量子密码子领域影响较大。
说明论最简单的抗量子分组密码
简介本文研究基于公开置换的密钥交替 Even-Mansour 分组密码在量子查询下的安全性。单轮构造会被基于 Simon 算法的量子攻击破解，此前两轮及以上只对非自适应敌手可证明安全。作者证明两轮 Even-Mansour 密码在理想置换模型下，对可进行多项式次自适应量子查询的敌手具有信息论安全性。作者还指出，这一构造是最小的：几乎所有只调用一次公开置换的密码都不具备量子安全性。
看点证明两轮Even-Mansour密码在量子查询下于理想置换模型中信息论安全，并证明单次调用构造均不安全，填补了自适应量子安全的空白。
说明ZoneClaw：通过建立记忆分区缓解计算机使用智能体中的持久记忆攻击
简介论文指出，OpenClaw 类计算机使用智能体会把外部内容记入持久记忆并在之后自动读取，攻击者可借此让智能体记下有利于自己的说法，并影响之后的良性任务。作者提出 ZoneClaw，用带有不同权限级别的分层信任区替代扁平记忆，外部说法只有跨越明确的权限边界才能指导行动。实验中，在 480 次攻击试验里攻击成功次数由 372 降至 6，并在 458 次试验中保留了可用性。
看点提出以信任区域分离持久化与权限的新机制，并在多场景、多骨干模型上将攻击成功率从372/480降至6/480，证据较充分。
说明F_3^n 子集和问题的指数量子加速？或：二元误差 LWE 的严格经典算法
简介本文研究有限域 F_3^n 上的向量子集和问题：给定 m 个随机向量，寻找一个非空子集使其和为零，m 越小越难。作者沿用 Chen、Liu 与 Zhandry 的框架设计量子算法，所需输入向量数大幅减少，在 m=ε·n² 时（ε 为任意固定正数）可在多项式时间内求解，并建立了介于指数与多项式运行时间之间的采样-时间权衡。核心是一个针对二元误差 LWE 问题的确定性经典算法，它也较大改进了 Kothari、O'Donnell 与 Wu 对更大域上向量子集和的经典算法。
看点改进量子子集和算法至m=εn²，并严格证明二元误差LWE的样本-时间权衡，理论贡献突出，证明严谨性较强。
说明量子密码构造中需要相干访问
简介论文构造了一些量子预言机，在这些预言机下，量子安全的单向函数存在，但输出长度超过对数级的伪随机态（PRS）不存在。它进一步证明，只能经典访问的经典预言机同样能导致这一结论，并表明构造PRS需要相干访问。此外，对数长度的伪随机函数类态（PRFS）在这些预言机下存在。
看点构造量子预言机分离，证明经典可访问预言机下不存在超对数长度PRS，揭示相干访问的必要性，结论有新意且证明较严谨。
说明基于量子电路混淆的可验证量子优势与计算
简介本文利用量子不可区分混淆（qiO）构造了可经典验证的量子优势协议，以及对任意BQP计算进行经典验证的协议。其中一个协议为私有可验证，仅假设qiO存在；另一个额外假设后量子单向函数，并且是公开可验证的。作者还提出了基于局部混合框架构造qiO的思路。
看点用量子不可区分混淆为量子优势与BQP经典验证给出严格密码学基础，新意突出；证据主要为理论构造，缺乏实验验证。
说明量子秘密共享与纠错：受不可克隆定理的限制
简介本文研究量子秘密共享（QSS），提出允许输入多份相同量子态副本、但只需恢复一份的变体，以绕过单份不可克隆限制。作者给出阈值情形下的可行与不可行条件，并提出适用于任意访问结构的团路径障碍。对于 k=2 的情形，上下界精确吻合；k≥3 的差距留待未来研究。文章还指出，这些结果对擦除信道的量子纠错有类似的限制。
说明受查询次数限制的 RAM 程序及其应用
简介本文提出“受查询次数限制的 RAM 程序”（QLP），是量子一次性程序的推广，支持有状态、可受策略约束的计算，同时防止攻击者分叉或回滚计算状态。作者引入“一次性程序”，将一次性签名与单次有效查询范式结合，并证明其可以推出 QLP。
说明二面体陪集算法的傅里叶标签信息丢失障碍
简介本文证明了一类针对二面体陪集问题（DCP）的量子算法的不可行性定理。作者考察了 Regev 提出的傅里叶采样与子集和测量模板，若算法在测量子集和后丢弃每个傅里叶标签中超过 ω(log n) 位，则无法成功解决 DCP。作者还指出 Simon 2026 年的近期算法只需使用傅里叶标签的最高三分之一即可实现，因此同样受该定理限制，无法解决 DCP。
看点证明了一类基于Fourier采样模板的二面体陪集算法无法成功，并指出一种最新算法失效，结论有较强理论价值；摘要提供Lean 4形式化证明。
说明基于含植入结构多项式的可验证量子优势
简介该论文提出一种可验证的量子优势方案，利用带有植入独立空间的三次多项式描述的IQP电路，验证者借助模拟秘密可比经典对手更快地完成交叉熵检验。作者基于两个猜想论证，在这些猜想下验证时间与经典对手通过协议所需时间之间存在多项式差距，二者均为指数级。文中还指出该方案可能用于生成经典可认证的随机性，并估计其可用100个逻辑量子比特、逻辑错误率约为10^-6的条件实现。
说明CodeMimicry：利用大语言模型安全泛化滞后，通过结构化代码补全实施越狱攻击
简介该论文发现大语言模型的安全对齐主要基于自然语言训练，难以迁移到代码领域，存在“代码补全盲区”。作者提出全自动黑盒越狱框架CodeMimicry，通过生成结构化的面向对象代码提示诱导有害输出。在8个商用大模型上，其攻击成功率为96.25%，平均仅需1.51次查询，并通过潜在空间分析解释了其绕过安全机制的原理。
