arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明你的智能体在为谁服务？主动式智能体中的提供方间接提示注入
简介该论文研究主动式个人智能体在推荐、个性化建议和后续协助决策中可能被外部提供方利用的攻击方式。作者提出目标控制、私有绑定和前瞻性支持三种机制，在三个环境和六种模拟用户模型中测试，完整攻击使目标授权率在所有组合中均有提升，最高宏观增幅达77.4个百分点。研究指出，为用户服务的能力可能被引导至用户与智能体关系之外的目标。
看点提出提供方间接提示注入这一新攻击面，并通过三类机制揭示信任边界问题；在三种环境与六种用户模型下做了验证，实验规模中等。
说明策略闸门能知道什么、不能知道什么：跨平台命令裁决的实测边界
简介本文研究一种不解析 shell 语法、只根据已确定的类型化动作（动词、操作数、解析后的区域、程序对象身份）做出允许、询问或拒绝裁决的策略闸门，并在 Linux 环境下复现先前的 Windows 基准。冻结的 61 个测试用例全部通过且无误放行；50 个变异体中杀死 46 个（92.0%）。在执行器咨询该闸门后，25 次逃逸降为零，且未阻止任何良性请求。作者同时报告了凭证验证因扫描全部账本而产生的累积成本及其改进思路。
说明哪个图像属性承载了越狱？对图像转文本越狱攻击的受控拆解
简介本文在一个含313条提示的StrongREJECT子集上，考察四类已发表的图像转文本越狱攻击中图像侧的各种因素，使用五个多模态模型并补充InternVL3.5-8B的附录评估。结果显示，单纯的有害文本查询几乎无法成功攻击，而攻击图像显著提高成功率；每块图像区域的熵和JPEG大小无法可靠区分攻击图像与尺寸相同的良性干扰图。在Qwen3-VL-8B上，移除与查询相关性的操作使攻击成功率下降约0.12，但结论仍依赖于自动评分裁判。
说明可置换伪随机置换的力量：迈向具有完整密钥与消息定义域的陷门置换
简介本文扩展了Shmueli和Zhandry的可置换伪随机置换方法，在公共参考串模型中构造了具有完整消息域和每实例密钥域的可穿刺陷门置换。该构造支持主陷门推导与两级穿刺，在随机预言机模型中可用于确定性基于身份的加密、基于身份的签名，并可直接构造PPAD难题实例。
看点在Shmueli-Zhandry框架上扩展出满定义域、可穿刺且具两级穿刺安全性的陷门置换族，并给出三项应用，新意突出；但构造依赖较强假设且多为理论证明。
说明在边界处拦截：对长链路智能体进行分阶段提示注入审计
简介本文研究长链路智能体在执行前如何识别并拦截间接提示注入攻击。作者构建了自动化攻击生成流程，并对Claude Code和Codex进行测试，发现多个工作流场景中存在多步注入风险。论文提出边界动作审计任务，并设计了无需训练的审计方法PAA，用于在后果性操作发生前判断放行或拦截。
看点提出阶段式提示注入及边界动作审计并设计免训练的路径对齐归因方法，在479对样本的基准上显著优于对比方法，证据充分，对长时程智能体安全影响较大。
说明音频越狱攻击在哪里？基于 Qwen2-Audio 对 AdvWave-P 的频率与层深受控审计
简介本文对 Qwen2-Audio 上的加性音频越狱攻击 AdvWave-P 的频率和解码层深度结论进行审计，方法是在短时傅里叶变换域屏蔽扰动的频率分量并观察攻击成功率。在 520 条 AdvBench 提示上，主要评判将 76.7% 的对抗输入判为越狱。频率排名结果依赖于频带划分方式，细粒度 16 频带下屏蔽 7520-7960 Hz 仍使攻击成功率降至 0.10，但该结果缺少匹配对照而未定论。作者认为结果支持对频率结论进行划分感知的审计，但并不构成因果定位。
说明VulValidate：用可执行证据审计函数级漏洞标签
简介基于学习的漏洞检测依赖高质量标签，但由漏洞修复提交构建的数据集可能仅因函数被安全补丁修改就被标为有漏洞。VulValidate 利用 LLM 智能体协调动态分析工具，依据运行时反馈构造触发漏洞的实验，以判断函数级归因。作者审计了 BigVul、PrimeVul 和 DiverseVul 中原标为有漏洞的 35,849 个样本，确认 20,510 个，修正 6,819 个标签，另有 7,981 个未能定论，539 个无法测量。
看点用LLM代理结合动态分析自动审计三大漏洞数据集标签，对数万实例给出可执行证据，并通过盲审和重训练验证修正效果，较有新意且证据充分。
说明私有分量逐个学习：一种在可实现设定下的差分隐私学习框架
简介该论文研究可实现设定下的差分隐私学习，假设由k个分量指定。作者用LabelBoost过程恢复样本的精确可实现性，并通过两个交替的存储库循环利用数据，使开销降至约√k/ε量级。将其应用于有限坐标网格上的d维半空间学习，样本复杂度有所改进，并可用于布尔组合的适当私有学习。
说明冷却地雷：LLM网关的跨租户干扰攻击
简介该论文研究LLM网关中共享冷却记录带来的安全问题：一个租户的请求失败可能影响其他租户对可用模型部署的访问。作者在LiteLLM中发现两种攻击方式，并提出按来源检查与租户范围冷却的修复方案。实验显示，修复后受害租户的回退次数从54/60降至0/60。
说明剖析开源漏洞在智能体系统中的安全影响
简介智能体在调用工具和与外部系统交互时越来越依赖开源组件，这些依赖中的安全漏洞可能通过工具输出、智能体状态和暴露给模型的信息向外扩散。本文研究已知开源漏洞在智能体工作流中被触发时的表现，并结合漏洞语义、漏洞版本与修复版本的差分执行以及跨多层的运行时溯源，判断漏洞是否产生可观测的安全影响，并确定其影响所能到达的最远层次。评估显示该方法能够较准确地区分已实现的漏洞影响及其边界，并在某真实智能体框架的文档化工作流中发现了多个源自开源依赖已知漏洞的安全影响。
说明TARE：先给从未被投毒的同构模型称重，再读后门防御的代价
简介后门防御排行榜常把干净准确率的下降当作移除代价，但这一下降混入了防御对任何模型的影响，以及受害模型自身的起点。作者提出TARE，用同一配方、调度和随机种子下从未被投毒的孪生模型来扣除这部分影响，剩下的即为“tare”（扣除量）。文中还提供了配套补丁、签名的tare数据表和无需孪生模型的估计器TARE-Z。
看点提出以无毒孪生模型校正后门防御清洁精度代价的新评估思路，并用调度器对照实验揭示基准缺陷，证据较充分，对子领域影响明显。
说明面向轻量化空中5G基站：基于普通ARM平台的可复现OAI测试平台
简介本文研究由无人机搭载的5G基站，把核心网和中央单元放在地面，机载只保留回传端点、分布式单元和射频。作者用树莓派5与Jetson Orin Nano作为分布式单元进行实测，Jetson在以太网下行吞吐上保留了x86分离式分布式单元的88.4%。论文还公开了通过F1接口传递PWS灾害预警消息的OAI补丁，便于复现。
说明旋转一次，多次读取：关于多值自举输出噪声的研究
简介该论文研究FHEW/TFHE方案中的可编程自举，比较单值模式（每个函数一次旋转）与多值模式（所有函数共享一次与函数无关的旋转）的输出噪声。作者给出统一的噪声分析框架，并讨论两种因子分解设计（典范余因子与枢轴）的噪声代价。相关结论在一个公开的完整实现上进行了测量。
说明用振幅放大增强单向到隐藏定理
简介单向到隐藏（O2H）定理及其变体用于量子随机预言机模型下的安全性证明，尤其是密钥封装机制（KEM）。本文提出一种基于振幅放大的通用技术，可去除多种 O2H 变体（包括 SC-O2H 与 MRE-O2H）界限中依赖查询深度 d 的因子，并给出可替换原定理的条件，适用于 Fujisaki-Okamoto 框架下 U 变换的 IND-CCA 安全性证明。
看点用振幅放大消除O2H定理中依赖查询深度的因子，对SC-O2H与MRE-O2H给出改进并应用于KEM的IND-CCA证明，具有实质性新意与证明支撑。
说明Jev 的隐藏风险：关于安全、隐私与双重用途的实证研究
简介该论文研究了 Jev 在应用中作为决策层部署时的安全与隐私问题，使用官方 API 和可控训练数据的本地模型 NanoJev 进行实验。研究考察了提示注入、训练数据投毒后门、通过受限输出推断敏感信息等攻击，并评估其在检测任务和误用场景中的双重用途。结果显示 Jev 仍易受上述威胁影响，其决策能力既可用于有益也可用于恶意目的。
说明长时程工具调用型AI智能体中自生成子目标的运行时授权
简介本文研究长时程工具调用智能体在执行中自行产生子目标、重新规划和委派任务时的授权问题，指出逐工具的权限检查无法保证不断变化的目标图仍在主体批准的任务范围内。作者提出在有限结构化领域中，对每次目标图修改进行版本绑定的见证校验，并在原子提交边界重新检查每个受保护操作。实验在96个案例中显示，完整机制在48个偏离案例中未提交任何禁止状态，并完成了48个对应良性案例。
看点提出目标图变更的运行时授权机制并给出多项形式化证明，结合模型探索与跨案例实验验证，对智能体权限控制有实质推进。
说明面向加密语言模型解码的静态自举放置方法
简介该论文提出AR-HE系统，在同态加密下让服务器完成整个文本生成循环，包括加密状态下的词元选择与嵌入检索，客户端只需发送一次提示。系统采用无需搜索的统一规则放置自举操作，并通过跳过无效计算、合并共享操作数的自举以及加密缓存来降低开销。论文报告在单块NVIDIA H100上，GPT-2 small生成一个词元耗时544秒，优化前为4715秒。
说明WLPA：在最弱链路暴露下分配稀缺量子安全链路姿态的网络管理框架
简介论文针对量子密钥分发等量子安全方案硬件稀缺、成本高的问题，提出WLPA框架，用于在硬件、延迟和合规约束下分配有限的量子安全链路。其核心思路是以分布式任务中最弱的活跃链路决定安全性，而非孤立地优化每条链路。作者在多种网络拓扑与实验中验证了该方法，并给出了何时现有启发式方法会失效的判别条件。
说明格子密钥生成的开销从何而来：基于 Cortex-M4 的受控成本归因研究
简介本文研究格子密码算法在微控制器上密钥生成的开销来源，而非仅统计总周期数。作者在 STM32L476RG（Cortex-M4）上，以配对测量方式分析公开数据结构、候选值接受检查时机，以及变换后密钥状态是否保留，并在 Bos 结构化 LWR、ML-KEM 与 HAETAE-5 上验证。结论认为，公开结构决定每个候选值的后续计算，而接受检查与变换状态的生命周期决定候选值执行次数及可复用表示的重建频率。
说明有限理性：人类与AI在网络防御中的认知层级比较
简介本文研究在攻击图上的序贯网络防御博弈中，人类与自动化防御者（强化学习/DQN）的表现差异。研究比较了四种防御设置，共招募80名Mechanical Turk参与者并进行匹配的自动化模拟。结果显示，人类防御者会依据成败调整选择，而自动化防御者没有这种不对称；仅看整体平均分数会遗漏这些行为差异。
说明隐形墨水，可见谎言：生产级水印如何导致大模型幻觉
简介本文研究文本水印对事实可靠性的影响，发现在检索增强生成场景下，水印会在上下文含有证据时仍诱发或放大事实错误，六种代表性方法均出现此现象。作者归因于当前步词元扰动与前缀引起的注意力漂移两种机制，并提出两种可嵌入现有方法的干预措施，在匹配的检测率下将事实错误减少约90%。
看点首次系统揭示水印导致幻觉并给出两种机制与插件式修正，证据来自六种水印方法的受控RAG实验，影响面广。
说明与自同构兼容的 NTT 及其在同态加密中的应用
简介本文提出一种原地蝶形算法，可计算负循环数论变换（negacyclic NTT）及其逆变换，并以与自同构兼容的顺序输出结果。该算法结构与 Cooley-Tukey 和 Gentleman-Sande 相同，仅预计算的旋转因子不同。借助此顺序，可对 CKKS、BGV/BFV 等同态加密密文以简单循环移位或相邻元素交换实现伽罗瓦自同构，从而无需硬件加速器中专用的自同构功能单元。
说明判别式为36的Humbert形式及其对分裂检测的启示
简介本文针对亏格为二的曲线中具有最大次数n椭圆子覆盖的轨迹，利用一个次数公式，确定了判别式36对应的Humbert模形式的系数结构，并计算了相关的Siegel生成元。作者进而讨论了其在基于同源的密码学中的意义，包括最优(n,n)分裂判定和攻击成本的界限。
看点给出H_36判别式的精确次数公式与模形式基，并计算出Siegel生成元与χ10的完整分解，对分裂检测理论有实质推进，但应用范围偏窄。
说明可信硬件加速的抗恶意方函数秘密共享（VIGOR-DFA）
简介该论文提出 VIGOR-DFA，一种面向函数秘密共享（FSS）的可信硬件加速方案，用于两方隐私推理和隐私信息检索。方案通过新的认证收尾、先冻结再挑战的开启检查，以及带释放守卫的一次性资源账本，防御恶意主机和 GPU 的篡改与重放。作者在受保护模块模型下证明了带中止的独立静态恶意安全性，并与基于 Shark 协议族的恶意 FSS 做了模型对比，报告了延迟与能耗的改善以及恶意安全带来的额外开销。
说明利用地缘政治数据和大语言模型预测网络安全事件
简介本文提出利用从新闻文章和播客转录文本中挖掘的地缘政治数据，借助大语言模型生成特征表示，并训练分类器基于历史事件预测未来网络安全事件。在超过15,700条事件记录的数据集上，仅用地缘政治数据即达到71.4%的ROC AUC；与网络测量特征结合后，表现（81.3%）优于仅用网络特征的现有方法（77.5%）。
说明用位置无关水印追踪模型生成的DNA
简介基因组语言模型可以生成不留来源痕迹的合成DNA。本文在Carbon和GENERator-v2两个模型中嵌入SynthID锦标赛水印，检测器在两条链、所有起始位置和四种窗口长度中搜索并校正多重检验。在1,544个留出提示的检测样本中，两个模型的3,088条带水印序列均被检出，包括未编辑及单碱基替换、插入或删除后的序列。论文仅证明统计检测能力，并不涉及生物学功能、密钥安全性或对了解检测器的编辑者的鲁棒性。
说明《两者皆需：Fiat–Shamir 的工作量证明》：论随机预言机模型下 Fiat–Shamir 变换中两类工作量证明能否合一
简介该论文研究随机预言机模型下 Fiat–Shamir 变换中工作量证明（PoW）的两种作用：挑战打磨（需要不可摊销的 PoW）和防止对角化攻击（需要强 PoW）。作者证明，当验证者远比证明者便宜时，单一 PoW 不可能同时满足这两种要求。为此，作者提出结合强 PoW 与不可摊销 PoW 的 XFS-with-grinding 变换，并给出相应的非交互式论证。
看点证明单一PoW无法同时强且非摊销，并通过组合两种PoW给出新的XFS-with-grinding构造，理论界限有实质推进。
说明并非自我可判定：大模型无法划定智能体验证器能检查的边界
简介该论文研究智能体的验证问题：有些规则可以用固定检查判定，有些则需要人工判断。作者在六个语料库上收集了约22000个标注，发现大模型在明确问题上一致，但在监管文本上分歧很大且误差方向相反，因此不能把模型判断当作可靠依据。作者提出CoVer方法，只有通过干预、字段读取和确定性改写等检验的规则才被接受，并指出自我可判定性是验证器必须构建的边界，而非可以从模型中激发的能力。
看点提出以经验数据论证大模型无法自判可判定边界，并设计CoVer门控机制，新意明显；但证据基于六个语料约22000个标注，规模与对比仍需更多验证。
说明关于 Construction A 格的 hull 攻击
简介本文提出一种求解格同构问题的算法，适用于与某码 C 的 Construction A 格等距的输入格。该算法是 Ducas 与 Gibbons（PKC 2023）方法的直接扩展。作者证明其运行时间为 2^{O(n)}，且在随机选取 C 时成功概率为 1+o(1)。与原方法只能处理平凡 hull 的情形不同，本方法可处理任意维数的 hull。
说明Penumbra：面向监管义务的高效对抗搜索方法
简介该论文提出 Penumbra，一种用于监管红队测试的对抗搜索方法：从一个已验证的合规回答出发，逐步扩大编辑范围，直到两个评估者组成的委员会改变判断，并输出位于判定边界两侧的相邻回答对。论文在金融咨询和临床分诊两套规则中测试，共得到 144 对和 49 对回答，其差异往往只有几个词。
说明针对密钥预言机的不可区分性提升、压缩理想密码及其他应用
简介本文证明了一条通用的不可区分性提升定理：若两个基础预言机在量子查询下不可区分，则由它们构成的密钥预言机也不可区分，区分优势最多损失 O(q^2) 倍（q 为敌手查询次数）。作者据此把 Carolan 的压缩置换预言机扩展为可高效实现的压缩理想密码，并用它证明了量子理想密码模型下 Davies-Meyer 压缩函数的原像抗性。此外，文中还给出了将任何量子安全强伪随机置换的消息长度加倍的模块化构造。
看点提出通用的量子不可区分性提升定理，损失仅为O(q^2)且被证明最优；并据此构造可高效实现的压缩理想密码，证据为完整证明。
说明APEX：在LLM智能体执行边界处的主动防护（论文）
简介论文针对大语言模型智能体在运行时读取内容中被隐藏的间接提示注入攻击，提出在执行边界（智能体把内部状态转化为外部动作或输出的环节）进行防护。APEX依据任务执行前编译的授权合约，一方面只在合约证明合理时放行效果，另一方面让未获授权的数据使用在生效前暴露。论文称其在13个基线方法对比中，六个基准中五个攻击成功率为0%，另一个为0.56%，并在自适应攻击下表现稳定。
看点将防御从攻击模式转向执行边界，以单一授权契约统一约束，并用证据门控与欺骗暴露两种机制；对13个基线取得接近0%攻击成功率，并在自适应攻击下保持有效。
说明密钥预言机的不可区分性提升、压缩理想密码及其他应用
简介本文证明一个通用的不可区分性提升定理：若两个基础预言机在量子查询下不可区分，则由它们构成的密钥预言机也不可区分，区分优势仅有 O(q^2) 的乘性损失（q 为查询次数）。作者由此将 Carolan 的压缩置换预言机扩展为可高效实现的压缩理想密码，并在量子理想密码模型下证明了 Davies-Meyer 压缩函数的原像抗性。此外，论文还给出一种可将量子安全的强伪随机置换消息长度加倍的模块化构造。
看点提出通用的量子不可区分性提升定理（O(q^2)损失且紧），并由此得到压缩理想密码及Davies-Meyer原像抗性证明，理论贡献明确。
说明当对话不是代码：比较模拟与开发软件的LLM智能体
简介该论文比较了大语言模型在两种模式下的表现：一种是在对话中扮演协议实现（模拟模式），另一种是编写实际程序并接受攻击测试（开发模式）。作者用同一套攻击套件评估15个模型在四种协议实现上的安全表现。结果显示，模拟模式可作为初步筛查，但不能替代对生成代码的实际测试。
说明StegoMemory：智能体记忆可被用作隐蔽的隐写通道
简介该论文通过大规模红队测试，检验智能体记忆能否被攻击者用于跨会话隐蔽传递信息。研究在14,000次攻击试验中，用七种隐写方案把秘密字符串嵌入良性任务的回复，并评估其能否通过记忆写入后被恢复且不触发安全监督。结果显示约20.1%的试验实现了完全精确的恢复，其中71.4%同时通过了任务评分和安全审查，表明记忆可作为持久的跨会话隐蔽通道，并建议把记忆完整性和信息流控制列为安全要求。
