arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明量子机器学习保护军用量子密钥分发免受伪装攻击
简介论文研究军用量子密钥分发中的硬件实现攻击：攻击者可在硬件中植入后门，把被攻击的数据块隐藏在正常噪声中，使经典监测器难以发现。作者证明此类检测可归结为离散对数问题，并用基于Shor算法的量子核进行检测，在模拟器Ghillie上测试，量子核在伪装攻击上的检测率达到1.000，而经典监测器约为0.458至0.516。
说明同样的零：为何相同的攻击成功率在 LLM 智能体安全中可能对应不同的保证
简介本文提出用“验证自主等级”（VAL，L0–L5）为 22 种 LLM 智能体安全防御划分保证来源，并区分防御效果的结果与其可依赖的保证。作者在等量预算下比较了基于 VAL 的防御组合与常见的经验组合，共 50 个场景、12 种攻击变体，并在 AgentDojo 与 JADE 等测试平台上进行测试。结论是：攻击成功率为零未必代表可靠保证，零只是结果，而非保证。
说明可证明审计：无需公开产物即可为专有工作负载提供属性证明
简介本文提出一种架构，把可证明构建与可证明审计两类可信执行环境（TEE）工作负载组合起来。审计结果与源代码摘要绑定，使验证者能确认运行中的程序由满足审计属性的源代码构建，同时不披露源代码或构建产物。作者在 Intel SGX 与 Gramine 上以 Bandit 安全分析器审计 Python 代码，完成了概念验证实现。
说明重新激活对齐：基于意图感知输入输出匹配防御大模型越狱攻击
简介论文提出SENTINEL，一种即插即用、在生成时进行的越狱防御方法，把防御问题转化为意图提取问题。它利用指令微调大模型输入与输出语义一致的特性，匹配语义对齐的输入输出片段，用拒绝方向投影评估有害性，必要时中止生成。在HarmBench上的实验显示，越狱成功率降至接近5%，同时过度拒绝率较低。
说明CHAMP：基于矩阵乘积的凯莱哈希
简介Cayley 哈希函数把消息的比特表示为半群元素并相乘，从而获得有用的同态性质。本文提出 CHAMP，一种基于有限域上 2×2 矩阵乘积的 Cayley 哈希函数，并讨论其安全性、实现和性能。
说明《Guess My Weight》：对浮点神经网络权重的剖析式侧信道恢复
简介该论文研究在嵌入式设备上运行神经网络推理时，如何通过功耗侧信道泄漏恢复 IEEE-754 单精度浮点权重。作者提出一种剖析式模板攻击，针对已知输入与第一层权重的浮点乘法，并用分层由粗到细的搜索逐步确定完整的 32 位表示。在 ChipWhisperer-Lite（Arm Cortex-M4）上的实验显示，该攻击在171条迹线时的精确恢复成功率为99%，263条起达到100%。
说明大语言模型与增强民主：用 LLM 数字孪生代表公民与政党偏好的可行性与风险研究
简介本论文研究基于大语言模型（LLM）的数字孪生（DT）作为“增强民主”中介的机会与挑战。作者用巴西在线实验数据检验个性化数字孪生能否预测公民对未见过政策提案的偏好；用瑞士议会数据为政党构建层面的数字孪生并进行智能体协商，考察聚合后的政党代表是否比官方党派表态涵盖更广的党内观点；还研究了提示注入攻击对 LLM 协商的影响，并结合 2023 年英国协商实验数据评估防御方案。
说明JASPER：面向边缘鲁棒性的分割计算可靠性与安全性联合评估专题
简介本文提出一个统一框架，用于联合评估分割计算（将深度神经网络推理拆分到边缘设备与云服务器之间）的可靠性与安全性。可靠性通过神经元级故障注入并以平均相对精度下降（MRAD）衡量，安全性通过特征图感知的对抗攻击模拟并以攻击成功率（ASR）衡量。作者在基于ResNet-50的十种分割计算配置上进行了实验，结果显示不同压缩策略之间差异明显，MRAD 在 44.3% 至 61.2% 之间，对抗攻击的 ASR 最高可达 98.8%。
说明COPEX：评测大语言模型在模型上下文协议（MCP）各层面对对抗性上下文时的稳健性
简介该论文提出 COPEX 基准，将模型作为 MCP 客户端单独隔离，固定周边智能体组件，只改变负责选择工具的模型。基准涵盖 25 类攻击、125 个场景，分布于模型/智能体、客户端、服务端/工具和传输四个入口。在 9 个模型、3375 次试验中，平均攻击成功率为 64.4%；对输入与上下文进行组合扫描的防御，在八类攻击子集上相对未防御设置使平均攻击成功率降低 49.6%。
看点针对MCP中模型作为工具选择者的对抗性上下文问题，隔离变量构建受控基准，覆盖125个场景与3375次试验，证据较充分，影响面限于MCP安全子领域。
说明面向目的地隐私量子路由的反作弊检测原语
简介量子网络中的中间节点在分发纠缠时，可能获知用户正在与哪一方相连。本文提出一个最简的两次调用路由原语：用户 Alice 与若干客户端之一建立纠缠链路，同时检测提供方 Bob 是否篡改了相干编码的请求。该方案借鉴量子私有查询的隐藏顺序机制，并通过私有匹配量子比特恢复测试态。论文明确指出，该方案能以非零概率检测显式的目的地读取攻击，但尚未给出定量的信息扰动权衡或可组合的安全性证明。
说明ATLAS：一种紧凑的模块LWR签名方案
简介本文提出基于格的数字签名方案ATLAS，安全性基于模块带舍入学习（MLWR）问题的困难性。其公钥通过确定性舍入生成，省去了误差项的采样，从而降低密钥生成开销与私钥存储。方案支持128、256和512位三个安全等级，并采用二的幂次模数以简化运算，同时提供SHAKE与SM3两种可互换的对称后端。
说明GrayShield：面向Transformer模型供应链安全的比特级清洗方法
简介论文指出，BERT、ViT等Transformer模型32位浮点权重的最低有效位可被用作隐蔽信道，藏匿恶意载荷，威胁AI模型供应链。作者提出GrayShield，一种轻量、训练后、无需数据的清洗方法，用格雷码引导的低跳变序列完全覆写尾数最低有效位通道。在四种模型和两类真实恶意载荷上，其准确率影响低于1%，并在五种攻击变体下将恢复率降低约49.96个百分点。
说明通过"头脑中的多方计算"理解 Sigma 协议
简介本文从 MPC-in-the-head（头脑中的多方计算）视角重新解读经典 Sigma 协议，不构造新方案，而是建立两个领域之间的形式化对应。作者把承诺-挑战-响应结构映射为虚拟参与方的内部视图、秘密共享、承诺及 MPC 一致性检查。文中涵盖 Schnorr、Okamoto、Chaum-Pedersen、Guillou-Quisquater、GMR 等代数方案，以及 Stern、GMW（图 3-着色）和图同构等组合方案。
说明机器遗忘中的删除请求建模：用户如何影响AI模型行为
简介该论文研究在AI模型中行使“被遗忘权”时，用户可能如何影响模型行为。作者定义了用户在请求删除数据时的两种行为：适应性和集体性，并从随机优化的角度比较了表现这些行为与不表现的用户群体的理论差异。作者还展示了如何利用数据估值技术设计删除请求者，使其在现实场景中显著改变模型行为；在计算机视觉任务的实验中，作者比较了不同用户行为模式的差异效果。
说明CyTReX：面向分布式能源网络的可解释人工智能网络威胁推理框架
简介本文提出CyTReX框架，用于分布式能源资源（DER）网络安全。它将边缘异常检测系统发出的网络告警转化为排序后的威胁假设，供安全运营中心研判使用。框架通过结构化证据包约束大语言模型的推理，证据包整合检测输出、SHAP特征归因、代理决策规则及CTI情报等信息。实验显示，完整流程提供的证据依据推理上下文最为丰富。
说明ORAM 正确性、安全性与失败界的机器验证证明
简介本文使用 EasyCrypt 证明辅助工具，对 Simple ORAM 和 Path ORAM 的正确性与安全性给出完全机器验证的证明。据作者所知，这是首次对 ORAM 构造的正确性界（即失败概率）给出机器验证证明。作者还提供了一个通用库，用于处理 ORAM 构造的递归组合，以降低客户端的存储需求，并将其应用于 Path ORAM。
看点首次为ORAM正确性失败概率等界提供机器可验证证明，并改进了原论文证明，对已有构造有实质形式化贡献。
说明自我反思微调：从失败经验中提升智能体抵御提示注入攻击的能力
简介该论文提出自我反思微调（SRFT）框架，让大语言模型智能体在对抗条件下学习自身失败的经验，而非只模仿专家行为。框架在被注入攻击的轨迹上，由专家模型生成对比不安全与最优动作的结构化反思推理，以训练智能体识别恶意指令并保持与用户原始意图一致。基于 Llama-3.1-8B-Instruct 和 Qwen3-8B 实现的 SR-Agent 在静态与自适应攻击基准上测试，结果显示攻击成功率明显下降，同时保持任务表现。
说明基于多模型编排框架的自主 Active Directory 渗透测试：NeuroSploit 在 GOAD 上的基准研究
简介本文评估了开源的 Rust 自主渗透测试框架 NeuroSploit v4.2.0 在 GOAD（故意设置漏洞的多林 Active Directory 实验环境）上的表现。框架通过 22 个 AD 专用代理和 7 条攻击链剧本，覆盖从枚举到跨林信任滥用等完整攻击流程，并与直接调用大语言模型的方式进行对比。文中报告，框架的技术覆盖率为 96% 至 100%，直接调用的覆盖率为 21% 至 54%。
说明学习在语音合成中嵌入抗模型重建的水印
简介本文针对现代自回归语音合成系统，提出名为 Thrive 的多比特生成式语音水印框架，用于在语音发布后验证来源并归属到请求用户。作者发现，单一水印载体无法在各类重建模型下持续可靠，因此设计了 Rise 与 Care 两个模块，分别负责将水印同步注入中间表示并逐比特选择可靠的波形或频谱专家。实验显示，该方法在重建攻击下平均恢复准确率达 87.6%，并支持在多达 10,000 个身份的候选集中进行来源归属。
说明超越傅里叶界限的显式非线性函数
简介本文研究如何构造高度非线性的向量映射 F：F_2^n 到 F_2^m，使其与任何仿射映射的一致点数都尽可能少。已知经典方法的最佳界限不小于 2^{n/2}。作者给出了突破该界限的构造，并把结果推广到对次数为 d 的多项式组的低一致性问题。
看点突破了傅里叶界限，将非线性上界从2^{n/2}改进到(1+γ)^n，并推广到多项式情形，依据为代数方法与组合结构联系。
说明量子攻击中周期函数的自动搜索：区分器与密钥恢复攻击
简介该论文研究基于Simon算法的量子攻击中周期函数的自动搜索，分为区分器和密钥恢复两类。作者改进了已有的符号搜索模型，加入固定输入差分、差分传播和概率约束，并据此扩展了TWINE和LBlock的周期区分器至12轮，给出LBlock-S的12轮区分器以及ALLPC的全轮区分器。对于密钥恢复，论文将符号状态跟踪扩展到与密钥相关的取值，并把MISTY L-FK的攻击从5轮扩展到6轮。
说明超越 Mosca 启发式：在后量子迁移中，“已支持”不等于“已受保护”
简介本文提出一种按数据路径而非按资产评估后量子迁移的方法，并给出以证据为依据的判定。作者用“密钥谱系”代数描述密钥的破解时间，并通过两种强 Kleene 评估得出四级有序标签。作者在 3 种 TLS 库构建的 5 类服务器上的 22 种配置中验证了外部探测的推断规则，结果显示同一名义配置在不同实现中状态不同，因此仅靠声明的配置无法替代运行时证据。
说明语言模型指纹需要重新思考水印教师模型
简介该论文研究通过水印蒸馏为大模型植入统计水印信号，以便模型所有者在黑盒API后识别自己的模型。作者发现已有方案的效用评估低估了开放式生成中的文本质量下降，并提出“近似并列限制”方法，将水印偏置限制在接近基础模型首选词的候选词上，从而在检测性与文本质量之间取得更好的平衡。
说明用于统计建模的全同态加密
简介本文介绍如何借助 R 语言中的两个软件包（openfhe.R 与 homomorpheR），在加密数据上完成统计分析，使多方无需共享原始数据即可联合建模。论文以分布式分层 Cox 回归和基于一致性 ADMM 的联邦 Cox-lasso 作为验证案例，其中跨站点更新是唯一需要加密的步骤。研究假设各方为诚实但好奇的参与者，并采用门限密钥生成机制。
说明从临时物理接触到持续监控：为何 Matter 在智能家居中的安全性值得关注
简介该论文指出，Matter 作为开放的智能家居互联标准，依赖密码机制进行设备认证与数据保密，但其开放性也暴露了协议细节、凭证结构和实现特征。作者表明，攻击者只需临时物理接触设备，即可利用设计与实现缺陷提取凭证，并冒充设备与控制器，即使离开后仍能持续监控和控制。研究在模拟智能家居中以概念验证展示了其可行性，并提出四项针对性缓解策略。
说明SPIN：用于相关生成与多项式承诺的快速编码
简介这篇密码学预印本提出 SPIN（单置换交织）二进制编码，用于伪随机相关生成器和多项式承诺方案。论文给出码率为 1/2、正常编码与转置编码均为 O(N) 位运算的结构化 SPIN 码族，并称其以高概率达到最小距离超过 0.11N。作者报告，在相关生成和 Brakedown 式多项式承诺的实验中，SPIN 比原有的 BAA 码及 Ligerito 方案更快，但证明更大、验证更慢。
看点提出SPIN码结构并给出线性时间编码与距离保证，结合Lean形式化验证与有限长度认证，证据充分，对PCG与多项式承诺有实际影响。
说明分割学习中梯度如何增加文本泄露：按词元与按文档统计
简介该论文研究分割语言模型训练中，服务器端可从客户端传来的激活值及返回的梯度重建文本。在GPT-2上，仅凭激活值可恢复94.20%的词元，加入梯度后达97.38%；按32词元文档完全重建的比例则从13.71%升至37.77%。作者建议同时按词元和按文档报告泄露情况，并将分割模型传输的内容视为与原文同等敏感。
看点证明梯度显著增加分割语言模型的文本泄露，并按词元与文档双重计量，实验覆盖GPT-2与Qwen3，结论对隐私防御评估有实际参考价值。
说明大域上的快速线性码：仅用加法的编码器与小系数编码器
简介本文在大素数域上构造快速线性码，编码器只使用加法，或使用小整数系数。编码流程为局部预编码，随后交替进行随机置换与带短反馈窗口的线性递推扫描。在维度2^20、码率1/2、p=2^128-159的条件下，给出了相对距离与失败概率的界，并以单核测得编码时间。
看点提出仅用加法的大域线性码编码器，并给出严格距离界与对比，新颖性较突出；证明与实验充分，适用面限于特定编码场景。
说明基于扩展图的编码在 Gilbert–Varshamov 界附近的最小距离
简介本文证明 Expand–Accumulate（EA）编码随码长增加，其最小距离趋近 Gilbert–Varshamov（GV）界，二元域及任意固定有限域均成立。文中给出了固定码率下的编码复杂度与采样失败概率的权衡，并用有限长度的数值认证结果说明在若干参数下的具体距离与失败概率。论文不提供译码器，也不包含完整的协议安全性证明。
看点证明扩展累加码趋近GV界并给出有限长度证书，改进了指数级界与常数，新颖且证据严谨，但对协议影响有限。
说明用于定长哈希的输入注入式 AES 轮函数族
简介本文提出一族输入注入式哈希构造：每轮 AES 都注入输入，以减少安全计算中对公开置换的依赖。基础版本 H128 为 128 位到 128 位的映射，采用十轮 AESENC 风格轮函数，无密钥扩展；作者给出三轮积分区分器的证明及五轮中间相遇攻击的估计，其余结果为缩减轮数的证据。扩展方案包括可调哈希 H128tw 与宽版本 H256，并分析了相关攻击机制及理想置换下仿射包装的失效情况。
说明合成基因表达数据隐私审计：一种用于无盒成员推断的统一加权距离框架
简介本文针对由 ELSA Health 2026 挑战赛发布、基于 TCGA 批量 RNA-seq 数据生成的合成基因表达数据，进行隐私红队测试。作者把五种无盒成员推断攻击统一到一个加权距离框架下，各变体只在基因权重方式上不同。针对条件变分自编码器，谱残差化方法将泛癌 TCGA 上的 AUC 从 0.8251 提升到 0.8951，1% FPR 下的 TPR 从 0.3842 提升到 0.5970；而生物通路先验在不同目标之间没有迁移效果。
说明《The TellTail of Embeddings》：通过查询识别黑盒检索系统所用的嵌入模型
简介该论文提出 TellTail 方法，用于在只能通过查询访问的黑盒检索系统中，识别背后所用的检索器（嵌入模型）。作者在 53 个检索器上评估，在完整排序、无序前三结果以及仅有生成答案三种访问条件下，分别实现完全识别、94.3% 与 92.5% 的识别率，并在 OpenWebUI 这一 RAG 系统上验证有效。研究表明，检索类系统会泄露其嵌入模型的身份，可能暴露知识产权，并为后续针对性攻击提供侦察信息。
看点提出仅通过查询识别黑盒检索器身份的新攻击思路，利用模型特定查询的低迁移性实现指纹识别，并在53个检索器上评估，证据较充分。
说明SERA-IDS：基于结构化经验检索增强、使用小型语言模型的入侵检测方法
简介论文提出SERA-IDS框架，让小型语言模型从分类错误的网络流量中学习结构化规则，并在测试时检索与查询流量条件匹配的规则辅助判断。在NF-BoT-IoT与NF-ToN-IoT数据集上，三种本地可部署的小模型宏F1显著提升，且无需微调或付费推理。
说明当掩码保护原像计算仍不足够：针对 Falcon 掩码实现的功耗分析攻击
简介本文提出一种针对以掩码保护原像计算的 Falcon 实现的新型功耗分析攻击。作者分析公开哈希多项式实部与虚部的比值，指出份额重组阶段的泄漏可被利用来恢复私钥。文中提出选择消息与非选择消息两种攻击变体，并在 ELMO 泄漏模拟器（ARM Cortex-M0）上以 4000 条曲线取得 98.3% 的成功率；同时提出基于拒绝采样的对策。
说明SCRM：一个可落地的空间网络风险管理框架
简介本文提出首个空间网络风险管理框架（SCRM），用于系统分析和缓解针对卫星通信等空间基础设施的网络风险。该框架对空间基础设施、空间任务和网络攻击进行建模，并提供任务风险分析与加固算法。作者在测试平台上基于真实的卫星通信攻击进行案例研究，结果显示级联效应需要重点处理，框架能有效加固任务，NIST安全控制措施也能有效缓解风险。
说明Localize-and-Detect：审计指令微调模型中的任务级投毒
简介指令微调通过在多个任务的指令-回复数据上训练语言模型来提升其遵循指令的能力。论文指出，任务级投毒攻击可以让模型在特定目标任务上输出攻击者指定的偏见内容，且无需显式触发词。作者提出两阶段黑盒审计方法Localize-and-Detect，只需基础模型与微调模型的输出：先定位下一词分布差异最大的目标任务，再搜索在微调模型回复中反复出现而基础模型中没有的偏见内容。实验涵盖两个模型系列的216个投毒模型，结果显示该方法能有效定位任务并检测偏见内容，在干净模型上误报较少。
说明在现代推理引擎上的自适应协同服务大模型水印（SWIFT）：把大模型水印与推理基础设施一起设计，兼顾文本质量、可检测性和服务效率。
简介该论文指出，现有大模型水印方法多只关注算法，常引入额外模型或外部工具，增加延迟与内存开销。作者提出SWIFT框架，在共享的大模型后端内同时完成生成与水印构建，并通过异步协同服务与自适应调度降低延迟、利用vLLM优化提升效率。实验显示其效用得分为4.87，检测准确率为99.65%（低延迟基线SynthID为76.65%），在水印移除攻击下检测率最高达97.7%，延迟比效用最高的基线SafeSeal低5.9倍。
说明多项式空间中的幺正复杂性
简介该论文证明：若量子承诺存在，则要么幺正合成问题没有多项式时间解，要么 BPP 不等于 NEXP。它还提出了 unitaryP 与 unitaryPSPACE 两个幺正复杂性类的新定义，并证明 unitaryPSPACE 可以一般性地消除垃圾量子比特。
看点证明量子承诺存在则统一综合问题或BPP≠NEXP之一成立，并提出新的酉复杂度类定义，理论突破明显，证明严格。
说明PoCoFL：符合策略的联邦学习框架
简介联邦学习让各客户端在本地保存训练数据的同时协作训练模型，但不能保证客户端提交的贡献符合策略，也不能保证聚合方正确处理已接纳的贡献。本文提出PoCoFL框架，将联邦学习类型、策略语义与密码学实现三者分开，客户端用承诺和非交互式零知识证明证明贡献合规，聚合方则证明已记录的贡献集合按所选聚合策略处理。作者以普通、持续、个性化和阈值加密四种联邦学习实例进行了验证，并实现了概念验证原型，称该框架可与网络拓扑无关。
说明《小心 EviLLM》：通过大语言模型注入安全漏洞的攻击研究
简介本文研究一种更现实的威胁：第三方攻击者入侵 AI 代码生成流程，故意让生成的代码引入漏洞，并将此攻击称为 EviLLM。作者实现了两种攻击方式，只需通过被攻陷的账户或浏览器访问底层大语言模型，即可注入 13 类 CWE 漏洞。在一项用户研究中，多数参与者未察觉这些被注入的漏洞。
看点提出第三方攻击者劫持LLM代码生成流程、故意注入漏洞的新威胁模型，并通过用户研究验证，影响面广。
说明带委托克隆的量子火焰：一种可委托克隆的量子密码原语
简介这篇论文研究量子火焰（quantum fire），即可以高效克隆但难以通过经典通信重建的量子态。作者提出可委托量子火焰，使克隆需要独立密钥，并在经典预言机模型下给出两种构造：一种使用经典密钥，另一种使用可克隆但不可分割或委托的量子克隆密钥“火炬”（torch）。论文声称后者在多项式时间攻击者下，持有m个火炬时，无法以不可忽略的概率让超过m个不能通信的参与方各自克隆新的挑战火焰。
说明常数速率的可认证删除
简介本文提出一个统一框架，可将多类密码原语升级为支持常数速率可认证删除的版本。以往构造每个加密比特需要线性数量的量子比特，而本文在标准模型下首次给出常数速率构造，并保持永久安全性。该框架适用于基于BB84编码的全有或全无型原语，以及基于子空间陪集态的多类原语；在SIS困难性假设下，还可加入公开可验证性。
看点首次在标准模型下实现常数速率的可认证删除并保持永久安全，并把框架推广到多类原语，理论改进显著。
说明威胁保持的表示敏感性：智能体安全基准中的表述影响
简介本文指出，大语言模型智能体的安全基准常用攻击成功率比较模型与防御，但攻击成功率可能因智能体所见的工具名称等表述方式而变化。作者提出威胁保持表示敏感性（TPRS）指标，在任务、有害动作、安全策略等保持不变的前提下，衡量改变表述后攻击成功率的变化。在三个基准上的实验显示，不同表述可使攻击成功率产生数个百分点的差异，因此作者建议应基于多种威胁保持表述的结果来支持稳健性结论。
说明面向传感器级攻击防护的安全 dToF 激光雷达片上系统：双域指纹与事件驱动模拟前端
简介研究指出多数商用直接飞行时间（dToF）激光雷达可被高频激光脉冲注入干扰，使行人从点云中消失。论文提出双域指纹（DDF）方法，以随机化的脉冲时间间隔和幅度比在二维空间中鉴别回波，并设计事件驱动模拟前端（ED-AFE）与时间调制激光驱动器。基于 65 纳米 CMOS 原型的 16 通道片上系统实现最远 120 米测距，每通道模拟前端功耗为 3.1 毫瓦；在实测数据的概念验证中，受攻击时点云防护率为 73%，未使用 DDF 时为 0%。
说明ECLIPSE：基于 PRISM 素数次数变体的强不可伪造同源签名（实现论文）
简介本文实现了 PRISM 作者提出的素数次数签名方案 ECLIPSE，并以 SQIsign 第三轮的素数参数为基础。它提供验证器、规范化的线格式与解码器、可随机化的密钥，以及两个相互兼容的独立实现。论文还展示了 MIKE 密钥对可同时用于 ECLIPSE。与 SQIsign 相比，签名长度为 206 字节，签名更快、验证较慢；形式化的强不可伪造性证明留待未来工作。
说明推理模型在因果可识别性判断上准确但不可靠
简介论文研究推理模型能否判断因果效应能否由观测数据恢复。作者构建了CERTID框架，用可靠且完备的因果识别算法ID判定可识别性，并用已知精确干预分布的结构因果模型验证返回的公式。在1,200个经认证的实例上评测三款前沿推理模型，结果显示准确率并不能很好反映可靠性：对不可识别查询的错误断言率在不同模型间相差约17倍。
看点构建可证明不可识别查询的基准并用完备算法ID认证，揭示准确率与可靠性脱节，对子领域有实质贡献。
说明PrivDev：将静态分析的数据类型映射到 DPV 隐私词汇表
简介静态分析扫描器能在源代码中识别个人数据类型，但缺少把这些结果对接到标准化隐私词汇表的机制。该论文将 Bearer CLI 的 122 个数据类型映射到 DPV-PD 类别，并关联可能相关的 GDPR 条款，其中 43 个精确标签匹配采用确定性映射，其余 79 个采用基于检索的大语言模型解析。结果为一个含 118 个 ODRL 策略资源的 RDF 知识图谱，并经过多道验证与人工评估，评估一致性指标在 0.68 至 0.88 之间。
说明认证式机制编辑：技能移除与保留的行为保证
简介本文提出一种对神经网络机制编辑（如消融、权重编辑、激活引导）进行形式化认证的方法，证明禁用某一电路能在输入区域内的每个输入上移除一项技能，同时保留另一项技能。实验从小型ReLU网络到标准softmax加LayerNorm的Transformer均有验证，并通过可靠的界传播处理约9倍于精确求解器可处理的输入扰动维度。作者还证明，任何有限的确定性黑盒测试都无法认证移除效果。
说明基于狄利克雷卷积的对称加密方案
简介本文提出一种用于数字数据加密的新型对称密钥密码，宣称实现快速、省内存，并能抵御经典、AI辅助及量子攻击。该方案基于有限域上的广义狄利克雷卷积，并从信息论角度分析其对明文攻击的安全性。文章指出其非局部结构可实现明文加盐，在允许受控密钥重用的同时提供防护；在有限域F_p（p>2）上可证明达到信息论安全，而在F_2上仍存在一定信息泄露，因此密钥重用次数有限。
说明CorrectGuard：面向黑盒安全护栏的“不可见”正确性估计
简介该论文提出CorrectGuard框架，在无法查看用户输入（人类或模型均不可见）的隐私保护场景下，仅用带标签的可见数据训练独立评估模型，预测黑盒安全护栏判断是否正确。基于13个安全数据集的实验显示，上下文学习和微调方法能显著提高错误识别能力，正确性评分还可用于决策排序与弃权，无需访问护栏内部。
说明通过你训练过的测试：为LLM智能体重新评估提示注入检测器
简介本文研究用于检测LLM智能体工具输出中提示注入的小型检测器，在公开基准上的分数能否预测其在智能体内部的表现。作者在AgentDojo和tau-bench上重放真实工具调用，评估了十五种检测器及两个任务感知的LLM判别器。结果显示，不同基准间的检测排名迁移很差，而误报率则在两个智能体基准间可以迁移。
看点指出公开基准上的检测排名无法迁移到真实智能体工具输出，并用差分回放构造标注，实验覆盖十五个检测器，证据较充分。
说明Persona Guardrail：面向智能体系统的生产级防御框架
简介本文提出 Persona Guardrail，一个生产级运行时防御框架，通过基于语义允许列表与阻止列表的同步输入输出校验，为面向客户的智能体 AI 系统强制执行明确的功能边界。作者还提出了 PAGE 基准，用于评估功能专属护栏在正常、对抗和超出领域的交互中的表现。与通用的基于大模型的护栏相比，该框架总体准确率从 85.7% 提升至 95.9%，超出领域检测率从 57.3% 提升至 93.5%，误放行率从 25.0% 降至 4.7%，且已在生产环境部署。
