arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明突破 n² 瓶颈：通信量低于二次方的信息论安全多方计算
简介该论文研究多方安全计算（MPC）中的通信开销问题。在诚实多数设定下，现有信息论协议即使电路很小也需要与 n² 相关的通信量。作者提出一种在较宽电路类别上通信量为次二次方（o(n²)）的信息论 MPC 协议，安全性针对自适应恶意敌手，并证明对更强敌手能力，即使常数大小电路也无法实现次二次方通信。
看点首次为一类电路给出信息论安全、通信量亚二次的MPC协议，突破了已知的n²下界，并给出了不可能性分离结果，证明依据充分。
说明LLM驱动的智能无人机集群中感知与推理接口的纵深防御
简介论文研究大语言模型辅助无人机集群调度时，攻击者篡改传感器报告即可改变调度的风险。作者实现并评估了五层防御，分别检查报告来源、物理合理性、与集群几何及服务历史的一致性、调度是否使某传感器长期得不到服务，并在失效时切换到忽略可疑输入的确定性调度器。实验中，预测的检测边界与仿真测得的结果一致，但拒绝报告并回退会使累计成本分别增加79%和74%。
说明基于对数单位格搜索与查找表移位的低噪声多值自举
简介本文研究全同态加密（FHEW/TFHE）中可编程自举的开销问题。多值自举通过让多个函数共享同一次盲旋转来降低成本，但常用的公共因子在许多查找表组合上会造成不必要的噪声放大。作者提出对数单位格搜索选择公共因子，并结合查找表移位生成等价的测试多项式表示，二者均在线下完成；在TFHE中、失败概率为2的负128次方时，256位同态整数乘法相对逐输出单独自举的基线，延迟加速1.47倍，吞吐量提升1.59倍。
说明逆向时钟：从时钟分配网络中还原布局感知的设计意图
简介本文提出一种布局感知方法，结合从扫描电镜图像提取的版图信息与恢复的门级网表，还原并分析已制造集成电路中的时钟分配网络。作者在一款450纳米商用芯片上验证了该方法，恢复出全局H树结构及局部分支，识别出独立时钟树和全局时钟门控，并量化了延迟、偏斜和布线长度，同时确认未采用专门的串扰抑制措施。作者还开源了时钟树恢复算法。
看点首次从制成芯片中恢复时钟分配网络以推断设计意图，方法有新意；仅在单一450nm商用芯片上验证，证据规模有限。
说明LiBRA：基于双向潜空间优化、可感知检测的图像水印去除攻击
简介该论文针对AI生成图像的数字水印，提出一种名为LiBRA的去除方法。它在公开自编码器的潜空间中进行有界修改，把解码置信度引向随机猜测，从而让水印无法被检测，同时尽量保持图像质量。作者还用精确双侧二项检验来验证去除是否成功。
说明EvoRiskBench：面向工作区智能体运行时安全风险的可演进基准测试
简介该论文提出了EvoRiskBench，一个用于评估工作区智能体运行时安全风险的可演进基准。它基于EP-Path-EF框架构建风险案例，并在隔离环境中自动执行与验证，提供包含450个对抗任务、覆盖六个场景的数据集。对九种模型与运行框架组合的评测显示，各配置普遍存在明显漏洞，攻击成功率最高达68.44%。
说明开源大模型滥用检测中触发标签机制的脆弱性
简介论文研究开源权重大语言模型中的“触发标签”机制，即模型在目标条件下（如生成钓鱼内容）产生可检测信号的方法。作者区分了基于token的和基于权重的两类触发标签，并提出统一攻击框架Untag，以钓鱼内容为案例进行评估。结果显示，这些机制在受控环境中可能提供一定证据，但在攻击者能修改输出或开源权重时几乎完全失效，因此不应被视为可靠的滥用检测器。
说明保护计算机使用代理免受分支引导攻击
简介该论文指出，能直接操作图形界面的计算机使用代理（CUA）在双LLM架构下，仍可能被不含显式指令的网页内容诱导走向危险的预先批准分支。作者提出STEER-Bench基准（101项任务，覆盖9个领域），测得标准CUA与普通双LLM CUA的攻击成功率分别为94.4%和89.5%。作者进而提出COBRA架构，对各分支可执行的参数与目标施加事先约束，在该基准上将攻击成功率降至0%，同时保留97%的正常任务效用。
看点提出分支操纵攻击并构建新基准，COBRA架构针对Dual-LLM在图形界面中的漏洞有新意；实验规模为101个任务，对比充分但不够大。
说明SecJev：为系统一决策模型引入安全专业知识
简介该论文提出SecJev，据作者所知是首个面向安全领域的Jev式决策模型系列，参数规模从0.8B到9B。模型基于Kev的单次前向候选打分器，从文本、遥测和观测历史中学习布尔、选择及有序决策，并构建了覆盖14项任务和8个来源的SecJev-Corpus数据集。论文称安全专门化训练提升了整个模型系列的表现，其中SecJev-0.8B在任务宏观准确率上比通用Kev-9B高出20.51个百分点。
说明基于离散对数假设的三轮盲签名
简介本文研究在无配对群中构造盲签名的问题，给出首个在随机预言机模型下、仅基于离散对数（DL）困难性假设即可证明满足"一次多余不可伪造"的三轮盲签名方案。该方案还支持部分盲性，并且盲性为统计意义上的。相比依赖更强的判定性Diffie–Hellman（DDH）假设的既有工作，本文方案仅依赖离散对数假设。
看点首个仅基于离散对数假设、三轮、可证明一次性不可伪造的盲签名，改进了依赖DDH的已有结果，证明性强但应用面偏理论。
说明超越预定义汇聚点：面向LLM智能体的安全感知依赖分析
简介本文提出AgentSecGraph，一种静态分析框架，为每个安全敏感操作构建安全感知的智能体依赖图（Security-ADG），纳入智能体相关性、来源与依赖证据、信任边界和防护证据等信息。作者还发布了AgentSecBench语料库，包含67个真实LLM智能体代码仓库。在held-out的9个案例中，Security-ADG保留了91.1%的参考上下文和全部5个已观察到的防护，而仅看汇聚点的方法为20.0%，简化ADG为40.0%。
说明基于分布式离散对数的多方同态秘密共享
简介本文提出一种通用框架，利用“参与方虚拟化”方法，由两方半私有同态秘密共享构造多方同态秘密共享。框架可支持多项式计算的组合，并进一步升级为完全私有方案，用于多项式阶和多项式有界Waring秩的函数。由此得到的多方分布式点函数密钥大小与λ和log|D|呈多项式关系，并可基于DCR和类群等标准假设实例化。
说明基于数字孪生辅助的工控系统遥测数据映射到 ATT&CK for ICS 并进行证据驱动的依赖推理
简介本文提出一个数字孪生辅助框架，从工业控制系统遥测中提取同步状态变化，将其转为保留证据的描述，再通过检索增强的大语言模型推理映射到 ATT&CK for ICS，并构建类型化依赖图。实验在 SWaT 场景、BATADAL 和 WADI 数据集上进行，结果显示数字孪生增强使误报数减少，但未达到统计显著性，且在外部数据集上未能迁移，结论表明其潜力与局限并存。
说明同行评审应当约束评价权力
简介这篇论文主张，同行评审改革的重点应从提升评审人水平或汇总判断，转向在评价不确定性长期存在的前提下约束评价权力。作者提出“权力受限的同行评审”，要求具有重大影响的判断在被视为决策依据前，先经过结构化审查，并提出了批评与权力分离、独立二次评审、可质疑与可撤销以及对缺乏依据的影响承担责任等机制。
说明并非频率即敏感：识别稀疏混合专家大模型中的安全敏感专家
简介该论文研究在不重新训练的情况下，抑制稀疏混合专家（MoE）语言模型中的少量路由专家，是否会削弱其安全拒绝行为。作者比较了按激活频率和按路由器梯度敏感度选择专家两种方法，在五种MoE架构上进行测试。结果显示，在所测试的预算条件下，梯度选择在多数情形下比激活频率选择更能降低拒绝率。
说明AgentTrap：针对自主渗透测试智能体的有状态反馈欺骗系统
简介本文提出AgentTrap，首个专门针对自主渗透测试智能体的闭环蜜罐系统。它通过哨兵端点避免误伤正常用户，并基于受保护应用构建有状态的欺骗，同时依据智能体行为逐步升级诱导，以收集智能体侧的行为证据。在八个渗透测试智能体的评估中，真实目标的总体攻击成功率从95.8%降至79.2%，并有18.8%的运行中诱使攻击者暴露了API密钥。
说明约束自主运维代理：面向 Kubernetes 上 AI 代理的纵深防御框架与参考架构
简介本文指出大语言模型代理正进入基础设施运维并能改变 Kubernetes 集群状态，因此其安全应按基础设施问题处理，假设代理可能被提示注入而完全失控。作者提出威胁模型与十类威胁分类、九项设计原则，以及映射到 Kubernetes 原生机制的七层纵深防御框架，并给出 EKS、AKS、GKE 的参考架构与定性评估。作者未报告实测攻击成功率或性能开销，而是列出了残余风险与待验证的测量方法。
说明RMCW：基于 Reed–Muller 码、可抵抗删除攻击的语言模型水印
简介该论文提出 RMCW，一种基于 Reed–Muller 码的大语言模型文本水印方法，用于识别某模型生成的文本。针对删除攻击会打乱词元位置的问题，RMCW 在局部子序列中检测代数结构，并用 Berlekamp–Welch 检验进行判断。在 C4 和 ELI5 数据集上，使用 OPT-1.3B 与 Llama-3.1-8B-Instruct 的实验显示，RMCW 在干净文本上检测效果良好，并在多种删除和改写攻击下表现优于或不逊于基线方法。
看点将Reed-Muller码与局部Reed-Solomon一致性检测结合用于抗删除水印，思路新颖；实验仅在两个数据集和两个模型上对比，证据中等。
说明基于代码的后量子密码中加性快速傅里叶变换汇编实现的功能验证
简介本文首次对两种基于代码的后量子密码方案（Classic McEliece 与 HQC）中高度优化的加性快速傅里叶变换（FFT）进行形式化验证。作者借助开源工具 CryptoLine 并将加性FFT表述为中国剩余定理分解，把验证问题拆分为可由 Singular 等计算代数系统处理的局部检查。原文称本次形式化验证的日历时间不到三个月。
说明从需求到攻击树：面向设计阶段安全审查的有依据大模型智能体
简介本文提出一个多智能体大模型框架，依据产品需求文档和架构图，在编码前进行设计阶段的安全分析。框架会生成误用场景和攻击树、检查治理与合规缺口并给出缓解建议，最后提出候选的修订架构供专家评审。评估显示，以架构为依据、由误用驱动的推理比单次提示及消融基线的审查质量更好。
说明差分隐私Muon的内部动量方法
简介论文针对差分隐私训练中逐样本梁度裁剪会扭曲Muon优化器奇异向量几何结构的问题，提出在裁剪前用当前模型与近期模型历史的平均梯度进行修正。作者证明该修正能约束裁剪引起的失真，且在有限步Newton-Schulz正交化后依然有效。在GPT-2私有微调实验中，该方法在各随机种子下都优于DP-Muon，并使无噪声诊断中的极分解误差降低2%至4%。
说明基于同源的后量子时间锁谜题
简介本文提出首个（有待证明的）基于同源（isogeny）的后量子时间锁谜题，生成时间约为 √T，且无需预先设置。安全性在量子随机预言机模型下证明，依赖一个关于同源推前计算顺序性的新猜想。作者还给出了概念验证实现，在 Apple M3 上一小时延迟的谜题生成约 2.9 分钟（串行）。
说明对扰动目标函数做梯度下降的差分隐私分析
简介本文研究在正则化经验风险上加入一个随机线性项后，对确定性梯度下降的第 N 次迭代结果进行发布时的差分隐私保证，而非发布精确扰动最小值。作者证明在满足条件时，映射 z 到 w_N 是 C^1 微分同胚，并给出雅可比矩阵最小奇异值的下界，从而可对有限迭代结果做变量替换分析。对广义线性模型，隐私边界在迭代条件满足后不含显式的环境维度因子。
看点证明梯度下降有限迭代在扰动目标下是微分同胚并给出雅可比最小奇异值下界，去除了环境维度因子，理论改进显著，证据为完整理论分析。
说明重新审视分区：基于 LWE 的电路输出自适应 ABE
简介论文提出一种介于选择性安全与完全自适应安全之间的新安全概念，称为输出自适应安全：攻击者先选定策略函数的结构，挑战阶段再自适应选择目标输出值。作者基于标准的 LWE 假设，为一般电路构造了首个输出自适应 ABE 方案，并将经典分区技术应用于电路求值的输出空间。文中还指出，该安全性在生物识别匹配、加权阈值和通配符搜索等应用中已足够。
说明归一化如何决定结论方向：量子注意力鲁棒性消融实验的审计
简介论文在四比特量子注意力检测器上，用生成的电网轨迹数据审查鲁棒性消融实验。结果显示，学习得到的输入缩放模块在固定物理攻击预算下看似有益，但若在编码器处匹配扰动上界，排序会反转，因此不能据此确认该模块带来了鲁棒性收益。
说明量子傅里叶采样在延迟型物理不可克隆函数审计中的局限：三关审计协议
简介本文探讨量子傅里叶采样能否用于审计延迟型物理不可克隆函数（PUF）的谱可学习性，并提出三关审计协议。研究发现，在可达到的挑战长度下，低度并不等于小支撑；在量子核诊断中观察到的几何差异增长可由经典Gram矩阵病态单独引起。在所评估的条件下未发现端到端优势，理想采样仅在阈值任务上调用的相干次数较少。
说明Control OSWorld：面向图形界面计算机使用智能体的AI控制评测环境
简介该论文提出Control OSWorld，一个用于评测AI控制的环境，将OSWorld中的318个任务与81个有害的隐蔽副任务（如窃取私人文件）配对，考察图形界面智能体能否在不被发现的情况下完成有害操作。作者用它研究能够识别恶意智能体操作的监控器：在看到完整轨迹时，较弱的监控器能以3%误报率达到97%的召回率；但若需在每一步执行前逐步打分，低误报率下的召回率会下降。此外，监控器能否读取智能体的可见文本至关重要，而截图带来的额外价值有限。
说明Pincer：借助数字孪生为智能体进行资源授权
简介该论文提出Pincer，一种在资源层运作的防御机制，与工具调用层的现有防御协同工作。其核心是一个隔离上下文的数字孪生，用于学习并执行用户特定的动态最小权限策略，并代替用户处理智能体的权限请求。论文还提出了一个以用户为中心的多日交互数据集，评估显示Pincer在安全性和实用性上均优于包括LLM评判器变体及Conseca改进版在内的多个基线方法。
说明AES 的 Gram 矩与成对混合性分析
简介本文研究在独立轮密钥下，AES 两个不同明文的密文对分布与随机置换的接近程度。作者保留扩散层带来的局部依赖，用 Gram 矩估计并联合估计两步相继转移。文中证明对任意整数 k≥0，第 8+2k 轮的成对总变差距离小于 2^(-92.19-41k)，因此 10、14、16 轮可分别达到 2^(-128)、2^(-192)、2^(-256) 的统计精度。
看点通过保留扩散层间依赖并联合估计相邻两轮转移，给出AES成对混合的新界限，证明严格且覆盖多轮情形，对分组密码理论有实质推进。
说明《失步、失视：针对工业物联网入侵检测的幻象状态攻击》：利用时间同步漏洞绕过检测的研究
简介该论文提出“幻象状态攻击”（PSA），针对工业物联网中基于机器学习的入侵检测系统。攻击者在不修改数据包、不查询分类器的情况下，仅通过在有限范围内调整攻击流量的时间，使观测数据跨过滑动窗口边界，从而让检测系统重建出与真实状态不符的状态。研究在两个数据集上对三种分类模型进行了评估，结果显示该攻击对包数足够的流量效果明显，并且所需的攻击成本低于基于查询的基线方法。
说明CITADEL：基于CWE与数据流图、借助大语言模型自动植入硬件木马的框架
简介该论文提出CITADEL框架，结合大语言模型与数据流图（DFG），依据CWE弱点语义自动生成硬件木马，辅助定位插入位置并修改RTL代码。论文称生成的木马语法正确率为100%，在大规模随机仿真中未被检出，并可在预期激活条件下触发，可用于构建更真实的硬件木马测试基准。
说明关于简单量子过程伪随机性的研究
简介本文研究Gowers猜想的量子版本：反复组合局部随机可逆操作能否得到与随机无法区分的全局变换。作者构造了一类可高效采样的单、双比特门分布，经多步后得到近似酉t设计，但仍能被高效量子算法区分，从而反驳了排列情形下Hoory等人猜想的酉类比。文章还指出酉设计并不足以模拟黑洞物理中的信息扰乱，并提出了关于随机量子电路中伪随机性如何产生的新猜想。
看点构造了局部随机门序列在有限步后成为近似酉设计却可被高效区分的反例，推翻了类比猜想，证明较完整。
说明SideKernel：面向 macOS 上 AI 编程代理的易用微虚拟机沙箱
简介该论文指出，AI 编程代理需要在开发者机器上的自主权，但本身属于不可信组件，因此存在安全问题。作者的在线用户调查显示，不到 40% 的用户会在沙箱中运行这些代理，并找出了阻碍采用的主要易用性障碍。基于此，作者开发了开源、本地运行、基于微虚拟机的 macOS 沙箱 SideKernel，并与市场上满足筛选标准的沙箱进行了 23 项能力测试的对比。结果显示，在可比较的方案中，Docker Sandboxes 与 SideKernel 在易用性相关能力上得分最高。
说明CAROUSEL：基于同态草图、由GPU加速的隐私向量检索
简介该论文针对在不可信服务器上进行向量检索时查询嵌入会泄露用户意图的问题，提出 Carousel 方案。服务器在加密状态下对整个语料库的每个向量打分，再将结果压缩为对数数量的密文，由客户端完成排序。论文报告在十亿规模的 BIGANN SIFT1B 上使用多块 GPU 时 recall@100 为 0.9715，在一亿规模的 SIFT 向量上单块 GPU 的 recall@100 为 0.9845，查询延迟为 3.735 秒。
说明评估并提升大语言模型对输入序列变化的鲁棒性
简介本文研究大语言模型在面对提示注入、后门攻击和自动评分被操纵等对抗性输入变化时的稳健性。作者提出基于 Jensen-Shannon 散度的生成式鲁棒性指标 R_stab(f)，并针对 LLM 作为评判者的系统开发了自适应黑盒攻击 ASA，攻击成功率最高达 73.8%。此外，作者提出用于工具调用认证的 AttestMCP 及隔离模式，在 MCPBench 的 847 个场景中将平均攻击成功率从 53.7% 降至 12.4%。
看点提出生成式鲁棒性指标与ASA自适应攻击、AttestMCP等方法，并在多个基准上给出具体数值对比，证据较充分，影响面中等偏上。
说明用 Whiteout 缓解大语言模型中的私人数据泄露
简介大语言模型训练数据庞杂，常会记忆并复述出生日期、电话、住址等个人敏感信息。本文提出 Whiteout，在个人提出请求后，用经过精心设计的混淆样本覆盖模型中的真实个人敏感信息，以防止其被复述。作者在多种规模与厂商的现代大模型上评估，结果显示其能有效阻止目标信息泄露，对模型效用与安全性影响可忽略，并能抵御黑盒与白盒攻击。
说明统一隐私核算：信息等价与信息损失
简介本文在统一的信息论框架下比较差分隐私的四类曲线型隐私定义。作者证明，在温和条件下，(ε,δ)-DP的两个方向隐私曲线、假设检验权衡函数与扩展隐私损失分布信息等价，精确的Rényi差分隐私曲线也属于同一等价类；而取最大值或将RDP压缩为单一zCDP参数会损失信息。实验显示，保留完整RDP曲线可在相同隐私水平下降低噪声方差，并在DP-SGD的Fashion-MNIST任务中提升测试准确率。
看点统一框架下证明四类隐私曲线的信息等价性，并量化RDP与zCDP之间的信息损失，理论贡献突出；实验覆盖DP-SGD与人口普查类工作负载。
说明跳数衰减影响：GraphRAG 中结构性辅助索引的新漏洞（论文）
简介该论文针对基于大语言模型的 GraphRAG 检索流程，指出离线索引阶段生成的辅助结构（语义摘要、层级边、预计算分数）决定查询时的检索优先级，而以往攻击只针对节点、边等实例层面。作者提出 3S 框架并设计跳数衰减影响（HDI）攻击，在索引后篡改这些结构；在两个基准和两种架构上攻击成功率达 88%–94%，仅修改约 0.016% 的辅助结构，且能规避困惑度和改写防御。
看点提出辅助模式级实体这一新攻击面及HDI攻击，并在两个基准、两种架构上验证，影响较广。
说明突破量子位置验证中的有界纠缠障碍
简介论文研究量子位置验证（QPV），即验证者通过交互协议检验证明者所声称的位置。作者在连续时间理想模型中给出一个基于BB84的协议，可抵抗拥有任意有限量子存储和纠缠的LOCC攻击者。该协议中诚实方的资源可远小于攻击者的资源界限，且资源差距随时钟精度提高而增大。
看点在连续时间模型中突破有界纠缠障碍，提出BB84型协议并给出信息论安全性证明，资源差距可任意多项式放大，较为突出。
说明MIRROR：面向大语言模型多智能体通信的多路径法定人数完整性机制
简介大语言模型多智能体系统中，智能体之间的消息可能被中间人在传输途中篡改。本文提出 MIRROR，将同一消息沿多条逻辑路径发送，只有严格多数路径报告相同摘要时才接受该消息。论文给出在路径被攻陷比例低于 0.5 时的完整性保证，并在多个基准和部署场景中报告攻击成功率降至 0%，且 token 成本与基线相同。
说明KaliBench：面向Kali Linux网络安全工具调用的细粒度基准与无运行时可验证奖励
简介该论文提出KaliBench，一个将自然语言翻译为Kali Linux命令行指令的细粒度基准与数据集，包含8,504组查询-命令对，覆盖1,642个工具、23个能力维度和5个安全阶段。论文称，在无显式工具提示的非受限设置下，没有任何开源模型的精确命令准确率超过42%。此外，基于该基准的监督微调与可验证奖励强化学习，使一个8B模型的表现接近685B的MoE模型。
说明意图隐藏型越狱：组合式攻击的信息论框架
简介本文研究大语言模型的一类越狱攻击：把有害请求与良性任务组合成一个看似无害的查询，从而隐藏恶意意图。作者用信息论方法，把每个任务的被判定为有害的概率作为先验与后验，通过选择辅助任务使两者匹配，从而在包含目标任务的情况下保持估计的意图不变。实验在多种开源模型上评估了攻击效果与目标行为保留情况，结果显示组合查询在评估的搜索预算下可诱发超出直接请求基线的目标行为，但随着任务组规模增大，多数模型的目标行为保留程度有所下降。
说明双方差分隐私中的量子优势：用量子通信在信息论意义下实现 O(1) 误差的两方汉明距离估计
简介论文提出两方汉明距离的量子协议，要求双方输出相同的估计值。经典的信息论协议在纯差分隐私下误差为 Ω(√n)。作者在 Klauck 的诚实、不抢先、保留消息模型中，给出通信量为 O(n) 的量子协议，其期望误差至多为 2/sinh ε + γ。对近似差分隐私，误差还可更小，且仍保持 O(1) 与 Ω(√n/log n) 的分离。
看点在经典不可能的信息论隐私下给出O(1)误差的量子协议，并以严格证明支撑分离结果，对隐私理论有实质推进。
说明量子密码对预处理攻击的下界证明
简介本文在随机预言机模型下，证明了量子密码抵抗预处理攻击的近似最优下界。作者证明，具有 S 个量子比特非均匀建议的 T 次查询攻击者，从 n 量子比特二进制相位态中恢复随机密钥的成功概率至多为 O((T²+√(ST))/N)，其中 N=2^n。该结果还改进了后量子伪随机生成器的分析，并把 Lombardi-Ma-Wright 的单次查询下界推广到更一般的攻击者。
看点提出量子密码中预处理攻击的近最优下界，改进已知界并给出新的量子优势，证明严谨，影响限于理论密码学子领域。
说明简单量子过程的伪随机性研究
简介本文研究简单量子过程能否表现出高度复杂性，即重复组合局部随机酉门后，全局变换是否与随机难以区分。作者证明统计矩匹配（酉设计）通常不能保证伪随机性：即使是最简单的量子过程，经过一定步数后形成的近似酉设计仍可被高效量子算法区分。文章还提出了关于随机量子线路中伪随机性如何出现的新猜想。
看点证明简单局部随机量子过程可产生统计设计却可被高效区分，反驳了Gowers/HMMR猜想的酉类比，并给出结构化反例；证明与分析较为严谨。
说明同态优势算子：在全同态加密约束下稳定强化学习
简介本文提出同态优势算子（HAO），用于防止全同态加密（FHE）环境下深度强化学习中多项式近似的发散问题。该方法将优势估计中的零均值中心化投影应用于时序差分目标，以消除导致贝尔曼漂移的统一状态价值基线。实验显示，HAO 将网络预激活值限制在安全多项式近似范围内，且在所有测试随机种子下边界突破率为 0%。
说明AI监督能否做到零知识？研究显示，一般情况下不能，但附带签名的预言机可以实现
简介本文研究如何在不泄露机密数据的前提下，验证依赖外部预言机（如人工判断、实验或网络信息）的AI输出是否正确。作者证明，在随机预言机模型下，并非所有此类计算都存在零知识证明，辩论模型同样受限。若预言机对每个回答附加密码学签名，仅假设抗碰撞哈希函数，则任意此类计算都可以零知识方式高效验证。
看点证明在随机预言机模型下通用的零知识验证不可能，并给出基于签名预言机的正面构造，理论界限有实质推进。
说明矩阵三元组的伪随机相关生成器
简介本文提出两种用于生成矩阵三元组（A、B 及其乘积 A·B 的分share）的伪随机相关生成器（PCG）。矩阵三元组常见于隐私保护机器学习、门限密码等涉及矩阵运算的安全计算协议。相比以往种子随矩阵维度线性增长且扩展较慢的方案，新构造的种子规模更小、效率更高。
说明AI监督能否做到零知识？一项关于在保密数据上验证AI输出的理论研究
简介论文研究如何在不泄露保密数据的前提下，验证AI输出是否正确。作者证明，对于依赖外部预言机（如人类判断、物理实验或网络信息）的一般计算，在随机预言机模型下不存在零知识证明，辩论式监督也同样不可行。论文还指出，若预言机对每个回答附带密码学签名，则在仅假设抗碰撞哈希函数的条件下，所有此类计算都能以高效的证明者和验证者实现零知识验证。
看点证明了在随机预言机模型下通用预言机计算无法零知识验证，并给出基于签名预言机的正面构造，理论界限有实质推进。
说明超越密码核心算法的系统级优化：以 Arm Cortex-M7 上的 ML-KEM 为例
简介本文以 Arm Cortex-M7 嵌入式处理器上的 ML-KEM（模块格密钥封装机制）为案例，研究除指令级优化外，内存层次利用、紧耦合内存放置、外设集成、时钟配置及公开数据复用等系统层面的性能提升空间。在不修改密码算法和标准线格式的前提下，部分配置最多减少 2.5% 的周期数；选定的公开数据复用方案使封装和解封装周期分别最多减少 74.6% 和 58.8%。
说明分析 ITU-T 多密码算法 X.509 扩展在后量子迁移中的问题
简介本文分析了 ITU-T X.509 2019 版中用于后量子密码迁移的 Catalyst 扩展，该扩展允许一张证书同时携带传统与替代公钥及签名。作者指出，量子攻击者若获得单个传统 CA 私钥，可用仅含传统签名的证书替换链中证书，且依赖方可能仍接受。文章还发现构造中的 EUF-CMA 形式化违规、规范未定义之处及与 RFC 5280 不一致的问题。
说明阿贝尔曲面的超奇异性与超特殊性验证
简介本文研究如何判断有限域上的阿贝尔曲面是否超奇异，这在基于同源的密码学中很重要。作者给出一个时间复杂度为 O(log p) 的蒙特卡洛算法，失败概率可忽略；若阶数光滑，则还可得到确定性结论。此外，文中还给出了判断任意维阿贝尔簇是否极小或极大、以及判断任意维雅可比簇是否超特殊的高效算法。
说明OpenDP 离散拉普拉斯采样器中周期性伪影的检测与修复
简介本文发现 OpenDP 离散拉普拉斯采样器输出分布中存在周期性失真。作者将问题追溯到 bernoulli_exp1 函数所用有理算术库中的实现错误，并提出基于精确有理算术的替代实现。使用 10^6 个样本的统计检验表明，修正后的采样器在测试精度下与理论分布无法区分。
说明用于恶意软件多分类的结构化状态空间序列模型
简介本文面向物联网设备快速增长带来的安全风险，提出一种基于结构化状态空间序列模型（S4）的恶意软件检测与分类方法。该模型将恶意软件样本序列离散化，并捕捉长距离依赖关系，以刻画恶意软件执行流程中的前后关联。论文的两项贡献是首次将S4模型用于恶意软件分析，并将其性能与其他深度学习架构进行了比较。
说明在嵌入空间中游走：多模态检索增强生成的数据存储提取攻击
简介本文针对返回图像的多模态检索增强生成（MRAG）系统提出一种黑盒数据提取攻击方法 MRAG 攻击，攻击者将影子图像与系统已返回的图像混合作为查询，并通过相关性加权重采样引导后续查询探索仍能检索出新结果的嵌入空间区域。实验在医疗助手、文档助手和通用工具三类场景及多种 CLIP 系列检索器上进行，单次 2500 次查询可还原最多 611 张放射影像、566 份文档扫描件和 416 张通用图像。作者认为，多模态数据需要专门设计的防护措施。
看点提出针对图像返回型多模态RAG的自适应黑盒数据提取攻击，并将恶意指令嵌入输入图像；在三类场景、多种检索器上实验，单次运行提取数百张图像，较基线提升至5.6倍。
说明可被陷门（trapdoor）开启的随机 Clifford 算子及其应用
简介论文提出一种“陷门 Clifford 算子”分布：其样本在计算上与均匀随机 Clifford 算子不可区分，但掌握陷门后可以更快地实现。作者在一种带噪声奇偶学习（LPN）的变体假设下，构造了可在近线性时间内采样和实现的此类算子，并把构造扩展到有限域上的陷门矩阵。论文还讨论了这些构造在矩阵乘法与 Clifford 电路综合等最坏情况到平均情况归约中的应用。
看点提出可计算不可区分的陷门Clifford算子分布并实现近线性时间采样与作用，解决了Vaikuntanathan和Zamir的开放问题，并给出批处理Clifford电路的困难性归约。
