arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明基于信息论安全密钥分发的高效安全联邦学习：医学影像案例研究
简介该论文研究联邦学习中的安全聚合问题。传统加法掩码依赖的经典密钥交换只有计算安全性，而基于物理的信息论安全密钥交换受限于密钥生成速率和存储时间。作者结合冻结骨干网络、知识蒸馏和量化技术，减少通信量和密钥消耗，并在真实的物理密钥分发测试平台上以胸部X光分类任务进行验证。结果显示，密钥用量可降低约35倍，同时保持预测精度。
说明RAISED：通过自蒸馏提升LLM智能体抵御提示注入攻击的鲁棒性
简介论文针对使用工具的语言模型智能体易受间接提示注入攻击的问题，指出现有训练防御虽能降低攻击成功率，但往往损害通用能力，并导致模型输出分布显著漂移，影响良性场景下的表现。作者提出RAISED框架，结合自生成与自蒸馏：模型自行生成工具使用场景，学生模型学习匹配教师模型在干净上下文中的行为，在原始与注入版本的轨迹上都与之保持一致。结果显示该方法显著降低了工具响应中提示注入的攻击成功率，同时在智能体和通用基准上保持了模型效用。
说明关于 Fujisaki–Okamoto 变换在陷门函数上可实例化性的研究
简介Fujisaki–Okamoto（FO）变换是把弱安全的公钥加密转为选择密文安全的标准方法，ML-KEM 等后量子密钥封装方案均以它为基础。本文聚焦其密钥派生哈希 G 这一步，指出隐式拒绝的 KEM 版本在一般情况下不可实例化，并给出混合加密版本在 G 满足新定义的“分布式单射可提取性”时可在标准模型下达到 IND-CCA2 安全的充分条件。
看点证明通用实例化的不可行性并提出新的哈希函数性质DINJEXT，在ML-KEM相关理论上有突出贡献；证据主要为理论证明与随机预言机下的可行性论证。
说明对 GF(2) 上小规模 AES 多项式系统的开源 Gröbner 基实现进行比较评测
简介该论文比较了 20 个开源 Gröbner 基实现与商用软件 Magma 在 GF(2) 上小规模 AES 多项式系统上的表现，评估运行时间、峰值内存、成功率与 CPU 占用。在 Hard 实验中，msolve 与 Singular 的 slimgb 均成功完成全部十次运行，平均运行时间分别为 164 秒和 269 秒，而 Magma 为 319 秒。研究认为，开源实现的相对表现取决于输入系统，可以作为 Magma 的有竞争力替代。
说明结论正确，推理有误：对基于大模型的漏洞推理进行结构化审计
简介本文指出，大模型在软件漏洞分析中即使给出正确结论，其自由格式的思维链解释也常含有捏造或无法验证的内容。作者提出VERA框架，要求模型输出机器可读的结构化推理记录，并由多阶段评审器按八类推理失败模式进行审计。评估显示，推理缺陷在正确和错误结论中出现的频率相近，且VERA能发现自由格式大模型评审系统所漏掉的87%推理错误。
说明超越傅里叶界的显式非线性函数：构造与极限
简介该论文研究如何构造高度非线性的向量布尔映射F: F_2^n → F_2^m，使其与任何仿射映射的一致点数尽可能少。以往基于bent函数与傅里叶方法的最佳界为2^{n/2}量级，本文给出超越该界的构造：对任意γ>0，取m=O_γ(n)，可使一致点数不超过(1+γ)^n。对于与次数为d的多项式组的一致性问题，本文也取得了同样的量级，此前的最好结果来自基于Gowers范数的论证。方法基于代数计数与图、超图理论的新联系。
看点通过与多项式方程组计数及图论的新联系，突破了傅里叶界，并把低一致性界改进到指数级(1+γ)^n，证明扎实。
说明水印技术：从不可能到可审计的合规方案
简介本文针对欧盟《人工智能法》第50条(2)款关于生成式内容可机读、可检测的要求，指出对自由文本而言，统计水印强鲁棒性难以实现。作者提出可审计方案：定义描述长度鲁棒性指标并给出有限样本界，以及带标签条件的保形预测集，输出“支持水印”“不支持”或“无法判定”三种结论。文中以一个小型可复现模拟验证相关主张。
说明基于多项式环中孙子定理的一类理想秘密共享方案的密码分析
简介本文针对 Yang、Zhu、Fu 和 Xia 在 ISIT 2026 上提出的分区秘密共享方案进行分析。该方案基于多项式环上的中国剩余定理，声称可以实现理想性。作者给出三类可以恢复秘密的非授权子集，指出该方案不安全（退化参数情形除外）。问题出在安全性分析没有考虑所有公开的多项式。作者认为同一第一作者的分层方案（ISIT 2024、2026）也存在类似缺陷。
说明MiniSHAKE：基于较小置换宽度的 Keccak 变体
简介该文提出 MiniSHAKE，即使用 Keccak-p[800, n_r=12] 置换的一组 Keccak 实例。文中指出，目前标准化和实际使用的 Keccak 大多基于 Keccak-f[1600] 或其降轮版本，而在需要哈希大量极短消息的场景中，较小的置换宽度会更有优势，因此定义了这一变体。
说明面向统一的滥用监测基准
简介本文研究LLM智能体在多方环境中的两类滥用风险：将有害请求拆分为无害子请求的分解攻击，以及被篡改工具注入恶意指令的提示注入攻击。作者提出从智能体的回应（行为层面）监测，判断监测器首次识别危害的位置是否落在危害窗口内，并构建了约6,200条对话记录的统一基准。在17种监测配置的测试中，基于行为的监测器在两类威胁上的经典指标AUC分别为0.95和0.99，而基于内容的监测器在注入攻击上仅为0.52。
说明SatBleed：小卫星中商用通信模块的安全性研究
简介本文针对小卫星中广泛采用的商用现成（COTS）通信子系统模块进行首次深入安全评估。作者构建了针对通信子系统的威胁分类，并分析了多家厂商的代表性通信系统，发现固件、协议和架构设计中存在严重漏洞。结合开源遥测数据，作者推断至少有28颗在轨任务可能遭到恶意接管。
说明DP-ES：用于提示词优化的差分隐私进化策略
简介本文指出基于逐词构造的差分隐私提示词优化方法（如DP-OPT）在严格隐私预算下不稳定。作者提出DP-ES，维护完整提示词种群，通过不接触私有数据的LLM调用进行变异，隐私开销仅来自带高斯噪声的评估。在保守的隐私保证下，DP-ES在GSM8K等多个基准上取得较高准确率，运行速度也更快，并进行了消融与记忆化压力测试。作者指出，对真正敏感的部署数据的端到端验证仍是未来工作。
说明加法正向累加器中见证更新权衡的结构
简介该论文研究加法正向累加器：用一个短的公开摘要表示不断增长的集合，每个元素附带成员见证，新元素插入时旧见证可能需要刷新。作者刻画了整个带标签的见证更新模式的结构，将权衡归约为有界右深度有序二叉树上的优化，并证明同一结构可同时约束多种维护目标，并给出有效的多项式时间算法与归并器实现。
看点将见证更新权衡归约为有界右深度有序二叉树优化，统一了已有最大与总更新下界并给出可实现的构造，理论贡献较突出。
说明修复过程中安全问题最早出现在哪一步：定位智能体漏洞修复中“静默失败”的源头
简介该论文提出SAGE方法，通过分析智能体每一轮修复中记录的安全推理与代码历史，找出修复最早偏离安全意图的轮次。在来自六种智能体框架和六种基础模型的3684条修复轨迹中，研究者对95个确认的静默失败样本进行了评估，其中93个成功定位了来源。
说明安全不止是库调用：安全功能在代码中如何体现
简介本文对9个大型开源Java系统进行挖掘研究，人工检视约213万行代码，标注出561项安全功能（归入54类分类）的183,395行实现代码。研究分析了这些功能的规模、分散与纠缠程度及实现模式。结果显示，安全功能不仅是调用外部库，还会规模庞大、分散于整个代码库并彼此纠缠，外部安全库的集成同样需要大量代码。
说明训练数据提取攻击的跨语言迁移：恢复被记忆的个人身份信息
简介本文研究大语言模型在非英语提示下，能否被训练数据提取攻击恢复个人身份信息（PII）。作者构建了包含社交账号、邮箱和电话号码的多领域数据集，并将攻击语境翻译为意大利语、西班牙语、法语和德语。结果显示，攻击在翻译后的提示上仍然成功，且多语言模型的跨语言泄露比例随多语言能力增强而提高；作者还发现不同语言的同一提示在中间层的表示相互对齐，并指出现有模型存在需要语言无关脱敏策略来弥补的安全缺口。
说明优化的LLL算法：一种不依赖正交化、复杂度更低的格基约化方法
简介本文针对LLL格基约化算法中的两个缺陷进行改进：标准的尺寸约化变换不能保证向量长度不增，Lovász条件也不能保证相邻向量长度有序，这可能导致首向量不是最短的，或部分向量仍可进一步约化。作者提出一种不依赖Gram-Schmidt正交化的优化LLL算法，将复杂度从O(n^4)降至O(n^3)，并通过概率论证证明其运行时间为多项式时间。
说明PRA-TLS：为调用可信执行环境（TEE）飞地的客户端应用进行远程证明的协议
简介本文提出一种名为PRA-TLS的证明协议，用于验证调用TEE飞地的客户端应用。协议通过运行时的可信守护进程测量主机环境和应用代码的状态，并将测量结果作为证明证据交由远程验证方核验，只有软件环境符合预期且应用代码合法时飞地才继续执行。作者定义了攻击模型和安全要求，用Tamarin Prover进行了形式化安全分析，并基于Intel SGX实现了原型并评估了性能。
说明基于全同态加密的单轮门限 XMSS 与 SPHINCS+ 签名协议
简介该论文针对基于哈希的后量子签名方案 XMSS 和 SPHINCS+ 难以门限化的问题，提出并实现了首个单轮门限协议。签名者共享私钥，签名算法在门限全同态加密方案下同态执行，任意 t-of-n 参与方通过门限解密即可生成可被未修改的 RFC 8391 或 FIPS 205 验证器接受的签名。文中报告，在线门限 XMSS 签名耗时约 0.69 秒，SPHINCS+ 签名延迟约高两个数量级，但初始化延迟低一个数量级以上。
说明RISC-V 上高效实现 HQC：跨层设计空间探索
简介本文研究在 RISC-V 架构上实现 HQC（一种入选标准化的后量子密钥封装机制）的设计空间。作者提出一个可参数化的架构框架，在 FPGA 上评估了 29,920 种架构配置，覆盖 HQC 全部三个安全等级。原文称其帕累托最优配置优于现有 RISC-V 实现方案，在资源占用和延迟上各有取舍，并且所需块随机存取存储器最多可减少 10.6 倍。
说明给稀疏自编码器植入后门：在语言模型中插入的可篡改组件
简介稀疏自编码器（SAE）常用于解释和干预语言模型的内部表示。本文表明，恶意修改的SAE插入语言模型前向传播后，可诱发攻击者指定的行为，而语言模型本身保持不变。以代码生成为案例，作者在三个模型和多个插入层上观察到较高的非请求代码插入率，并发现存在由提示线索触发的依赖行为。文章同时用HumanEval和部分SAEBench指标评估修改后的SAE，显示强后门行为可与若干常规SAE质量指标的较小变化并存，因此建议将SAE视为安全敏感组件。
看点提出针对稀疏自编码器的后门攻击新威胁面，仅修改解码器即可诱导恶意代码生成；在三个模型与多层上验证，但规模有限。
说明带侧信道防护的面积高效型后量子HQC密码系统硬件架构
简介本文提出一种面向后量子密码算法HQC（汉明准循环码密钥封装机制）的资源高效、恒定时间硬件架构。该设计复用空闲的KECCAK硬件在解码期间产生动态功耗，以扰乱与秘密相关的功耗特征，防护逻辑的面积开销低于0.5%。在Artix-7 FPGA上的原型实现最高时钟频率为139 MHz，并通过NIST已知应答测试验证了功能正确性，TVLA评估显示侧信道泄漏得到明显抑制。
说明H-CRSPV：防止后期绑定大模型发布中的语义遗漏
简介这篇论文提出一种名为H-CRSPV的复制式准入层，用于检查大语言模型发布过程中是否完整实现了注册的全部要求。作者指出，仅验证每个提交对象本身有效，无法保证发布满足所有要求，并将这类问题称为“有效证据下的语义遗漏”（SOVE）。在36个遗漏样本中，只验证提交对象的方法全部接受，而H-CRSPV全部拒绝，同时接受了全部6个正常发布。
说明用随机泄漏模型窥探深度学习侧信道分析中的泄漏流向
简介深度学习已成为侧信道分析（SCA）的主流方法，但深度神经网络多为黑盒，评估者难以得知各层提取了哪些泄漏信息。本文提出 GlimpseDNN，一种与模型无关的框架，利用随机泄漏模型逐层可视化网络如何处理物理泄漏迹线以恢复密钥。作者在模拟迹线及 ASCADf、ASCADr、ASCADf_desync50、ASCADf_desync100 等公开数据集上验证了该框架，并表明即使原始迹线中未能捕捉到的泄漏，也能通过训练良好的网络较深层被发现。
说明低复杂度伪随机函数线性测试的稀有事件去相关
简介本文研究由低深度电路和秘密线性或仿射映射构造的伪随机函数能否抵御线性测试，针对两个此前未解决的问题给出结论。作者通过基于稀有局部事件的相关性论证，利用重复的Cauchy–Schwarz不等式，将原始相关性约化为更稀有事件指示函数的奇偶相关性，从而界定线性攻击的优势。对于Ball等人的候选方案，文中证明其能抵御任意多项式次数的非自适应线性测试；对于Boyle等人基于Sipser的弱伪随机函数族，则给出准多项式样本范围内的抗线性攻击结果。
看点通过稀有局部事件的重复Cauchy-Schwarz归约，解决了两个公开的线性攻击抗性问题，并给出明确的偏差界，新颖性较高。
说明失控反应：良性技能组合为何会产生恶意行为
简介该论文指出，单独通过安全审查的良性智能体技能，组合使用时可能诱发恶意行为。作者提出多技能执行的组合风险诱导方法CRIME，包含恶意情节生成、失控反应引导和沙箱反应验证三个模块，并构建了包含4000个公开技能、覆盖八类网络安全行为的基准，用于系统评估组合引发的漏洞。
看点揭示单个技能通过安全审查后组合仍可诱发恶意行为，提出CRIME框架并构建4000个技能的基准，新颖性较突出；但实验细节摘要中不充分，证据为中等。
说明BOLT-FHE：基于片上局部分块的GPU端TFHE自举统一框架
简介本文提出BOLT-FHE，一个面向GPU的TFHE自举框架，通过块内局部执行、片上分块以及统一的MegaKernel融合NTT/INTT、外部乘积与累加器更新，来提升比特级全同态加密中自举的吞吐量。在RTX 4090上，128位安全级别下达到每秒40,166次自举。相较于VeloFHE，在gadget分解下实现1.85×–2.92×加速，在模数提升场景下依据是否使用CM打包分别提升约2.38×–2.42×和3.17×–3.31×。
说明妥协不等于后果：用配对重放评估LLM智能体的任务范围授权
简介本文研究在大模型智能体被恶意指令诱导、但凭证仍有效时，按任务限定的授权能否限制工具调用的危害。作者通过配对重放实验，将同一次模型请求分别提交给宽泛承载令牌、限定范围的JWT、发送方约束及Open Policy Agent等条件进行比较。结果显示，限定范围的条件在被测跨动作和跨资源后果上均未造成有害执行，但这并不意味着能防止提示注入本身。
说明面向触觉互联网安全的自适应采样量子异常检测：资源受限下的可靠性感知测量分配
简介本文针对触觉互联网安全分析中可靠判决与计算、测量资源受限之间的矛盾，提出自适应采样变分量子电路（AS-VQC）策略。该策略从128次采样开始，仅在异常分数接近验证阈值时逐级增加到256、512、1024次。在基于CESNET-TimeSeries24构建的4875条记录基准上，主策略相比固定1024次采样节省约73%至87%的采样量，同时决策不一致率低于固定128次和匹配预算的随机分配对照，但决策稳定性仍不及固定1024次采样。
说明有界临时可见性：控制持续摄入的RAG向量库中的投毒暴露
简介论文针对检索增强生成（RAG）系统中持续摄入的新内容，在审核完成前即可被检索的问题，提出一种失效关闭（fail-closed）的临时可见性协议：在期限内允许新内容进入，未能按时完成验证的条目则被隐藏，并支持按谱系范围进行遏制。实验显示，在验证积压时，该期限将投毒检索的中位数从34次降至7次，同时减少了被挤掉的干净结果。
说明在线AutoML中物联网网络对抗训练防御的投毒攻击评估
简介本文研究了在物联网网络流式场景下，利用在线AutoML流程评估对抗训练防御对标签翻转和噪声注入两类投毒攻击的效果。作者在多种流式学习器上进行实验，并在最强投毒比例（PR=1.0）下比较F1分数，结果显示AT-SRP对标签翻转攻击的F1分数最高（0.904），AT-LB对噪声注入攻击的F1分数最高（0.933）。
说明Agentic-ZTA：用于自主零信任执行的多智能体架构
简介本文提出基于智能体AI的零信任架构Agentic-ZTA，依照NIST SP 800-207的控制循环，由多个智能体协同完成访问决策。系统通过检索增强生成获取相关策略，由策略引擎调度智能体评估访问请求并汇总信任分数，最终给出访问决策。作者在测试平台上评估，报告准确率为95.0%、精确率为93.9%、召回率为96.3%，并认为用AI智能体执行零信任是可行的。
说明基于GPU加速的FAEST v3签名：挑战值搜索与CPU-GPU流水线
简介本文研究如何用GPU加速FAEST v3签名。GPU并行筛选连续计数器范围内的候选值，CPU按递增顺序完成最终接受检查，并保证与原流程选出的最小接受计数器一致。对多个独立签名，作者构建了双状态槽的CPU-GPU混合流水线。结果显示，GPU加速的效果随参数集和目标（单次签名延迟或多签名吞吐）而不同。
说明CCSDS TC/TM 链路上基于后量子密码的空中重钥中处理时间的影响
简介本文研究在 CCSDS 遥控和遥测链路上评估基于后量子密码（PQC）的空中重钥时，忽略端点处理时间会如何影响传输结果和协议执行路径。作者构建了一个 SDLS 密钥更新的 P1–P2–P3 交换模型，并比较零处理时间基线与按实测处理时间建模的版本。结果显示，不同条件下，最终传输结果、事件路径、时序及接触时长等方面的差异表现不一，因此不能仅凭成功或失败来判断忽略处理时间的影响。
说明基于N2SF的国家及公共机构数据后量子密码迁移框架
简介本文依据国家网络安全框架（N2SF）的保护要求以及数据的密码依赖与运行状态，提出了国家和公共机构数据后量子密码（PQC）迁移的决策标准。该标准区分了载荷保留、密钥重新封装、重新加密、通信迁移和签名更新等操作，并将所需动作与允许、延后或拒绝执行的决定分开。作者在本地参考实现中对这些决策进行了测试，结果显示在可行条件下该标准具有可行性，但机构审批、生产环境密钥管理和长期保存的连续性仍未经验证。
说明X-Wing 在 Cortex-M85 上的架构感知集成与端到端评测
简介该论文研究在 Cortex-M85 处理器上实现 X-Wing 混合密钥交换（结合 ML-KEM-768 与 X25519）。作者针对该平台优化了 NTT、数据格式转换和 X25519 运算，并与基线实现比较了密钥生成、封装和解封装的周期数。论文还报告了内存占用增加的情况，以及一个修正了秘密相关操作数选择问题的变体，但该变体在部分测试中仍存在时序信号，且未声称整体常数时间。
说明ARMv8 NEON 上的批量 LSH 及其在 K-SPHINCS+ 中的应用
简介本文在 ARMv8-A 平台上用手写 AArch64 NEON 汇编重新实现了三种已发表的 LSH 优化方法，并验证其能否加速后量子签名方案。结果显示，单消息 NEON 实现均不快于 clang -O3 编译的 KISA C 代码，只有同时处理多条消息的批量方式在 LSH-256 上取得提速。作者据此构建了集成四消息 LSH 批量核心的 K-SPHINCS+，所有后端生成的签名字节完全一致，128 位参数集下签名速度相比参考实现快约 2.5 至 3.2 倍。
看点将LSH多消息NEON批处理集成进K-SPHINCS+，对已有LSH优化做了实质组合与改进；以2,063个KAT与差分测试验证，六套参数均通过，并与C参考及SHA-256/SHAKE256基线比较，速度提升2.5–3.2倍。
说明在 Apple M1 上优化 MAYO 的 NEON 实现
简介MAYO 是 NIST 额外后量子签名征集第三轮的候选方案之一。本文为 Apple M1 芯片实现了 MAYO 第三轮规范的 NEON 优化版本，并与上游 NEON 代码在同一设备上对比。文中报告签名和验证速度分别达到上游的约 2 倍，以及在恒定时间测试中的一些结果。所有测量均在同一台 M1 Pro 上完成。
说明同态加密异常检测的输出策略：阈值推断、决策保持与数值稳定性
简介该论文研究在同态加密下计算异常分数时，输出策略能否限制数值阈值信息泄露，同时保持既有决策。实验涵盖三个入侵检测数据集、三种评分模型和多组随机种子。结果显示，数值阈值信息与服务决策可预测性需要分别加以保护，输出策略还需评估决策保持率与响应率。
说明面向同源椭圆曲线/同态加密计算的验证者对齐规范源绑定方法
简介同态加密的预处理验证与原生计算验证各自成功，却不能证明二者结果指向同一规范来源。论文提出一种验证者对齐的公共输入转移流程，把异构认证制品关联到单一规范来源关系，并在完整规模（524,288个系数、128个块、4,096个分块）下实现。实验显示，共享重复计算可使约束数减少33.53%、证明时间减少31.10%，而三个上游证明制品占公共数据总量的88.44%。
说明HyBind：PQ/T混合密码用法的结构分析
简介论文提出HyBind，一个基于注册API契约、针对Python源码的过程内分析框架，用于判断后量子与传统算法的输出是否共同决定密钥或签名验证结果。它追踪组件密钥是否流向返回的密钥，并检查签名接受是否要求两个验证器都成功。实验显示，HyBind能区分联合与遗漏贡献、AND与OR验证等结构，并为审查单个传统调用是否参与PQ/T混合提供证据。
说明SimpleMark：在 f 散度约束下的快速多比特文本水印
简介本文提出一种多比特文本水印框架，直接用与基础语言模型分布的 f 散度来定义安全性，可涵盖总变差距离和 KL 散度等。方法基于编码，在给定散度预算下优化下一词分布，并刻画嵌入率、解码可靠性与统计安全性之间的权衡。实验表明，与现有多比特水印方法相比，该方法的水印可检测性明显更低，同时保持有竞争力的消息恢复效果和生成质量。
说明基于 KOALA 与 iO 的公开抛币差异输入混淆
简介该论文指出，Hair 与 Sahai 近期提出的见证加密构造，在知识正交假设（KOALA）下是一种公开抛币的可提取见证加密方案。作者由此直接得到一个结论：仅依赖 KOALA 和不可区分性混淆（iO），即可构造公开抛币的差异输入混淆（diO）。
说明基于随机数锚定的 Linux eBPF 运行时密码操作发现方法
简介本文提出一种面向 Linux 的运行时密码学发现系统，利用 eBPF 用户态探针实时检测经典与后量子密码操作。系统把随机数观测作为时间锚点，并与同一进程中随后的密码调用关联，生成带置信度的事件流。实验显示，API 检测在经典与 ML-KEM 负载上达到完美的精确率与召回率，随机数锚点提高了置信度；中位检测延迟为 28 微秒。
说明TLS 1.3 中按角色分配签名算法：开销传导与后量子迁移
简介本文研究在 TLS 1.3 中，把 13 种签名参数集分配到根证书、中间证书与叶证书三种角色时，认证开销如何变化。作者在保持算法组合不变、只改变角色顺序的前提下，评估了全部 13³ 种组合，涵盖密码运算、证书签发、路径验证、网络与并发负载等。结果显示，仅角色分配就可使 TLS 延迟相差约两倍，证书大小与路径验证开销相差四倍以上。
说明无人系统指令认证的后量子方案：在实时与带宽约束下对 KpqC 的可行性研究
简介本文研究如何把无人机、无人车的指令与认证通道迁移到后量子密码（PQC）。作者以韩国后量子密码标准 KpqC（HAETAE、AIMer、SMAUG-T、NTRU+）应用于 ROS2/DDS-Security 的认证与密钥建立流程，并与 NIST 标准及经典 ECDSA/ECDH 进行对比。研究在统一测试平台上，于模拟受限链路中测量认证握手，并据此给出各候选算法适用的指令通道预算指南。
说明部署原生 Rust 版 KpqC：在 TLS、空间链路与 OQS 生态中使用可插拔的后量子 KEM 与签名
简介本文介绍将韩国后量子密码（KpqC）竞赛标准化的算法以内存安全的原生 Rust 实现，并通过统一的可插拔接口接入 rustls TLS 1.3、兼容 OQS 的 C 接口以及卫星受限链路模型三类部署环境。文中展示了端到端的 TLS 1.3 握手、C 程序调用 Rust 实现，以及基于示例 LEO/GEO 链路的分片与延迟分析。作者还为 NTRU+ 提供了内存优化版本，在不增加可测时间成本的前提下，峰值栈最多减少 25%。
说明测量 TLS 1.3 混合方案中经典与后量子组件对的并行执行效果
简介本文以 TLS 握手的密码学工作负载为对象，测量在两个线程上并行运行混合密钥交换与 Composite ML-DSA 签名中的经典组件和后量子组件，是否比顺序执行更快。在 ARM 和 x86 环境中，六种条件下并行均更快，加速比约为 1.04 至 1.28 倍；在一台低功耗 x86 环境中，同一代码则全部变慢，原因是唤醒和等待线程的开销超过了节省的时间。
说明面向 Cortex-M0+ 与 Cortex-M3 的 RSA 蒙哥马利算术优化
简介该论文针对资源受限的微处理器，优化了 RSA 私钥运算中的蒙哥马利乘法与平方。作者采用 15 位分段表示，并结合中国剩余定理（CRT）实现 RSA-2048 与 RSA-3072。在 M0+ 与 M3 上，相较对照实现，内核在特定位宽下减少了运算周期，并在替换内核后降低了 CRT 运算的周期数。
说明基于LWE的伪随机码
简介伪随机码（PRC）是一种纠错码，对不持有密钥的人来说，其码字看起来像均匀随机串。本文提出了一种基于学习带错误（LWE）问题的新构造：码字是LWE样本的单比特取整并经随机串掩码。该构造是Christ与Gunn的PRC在LWE上的类比，在标准LWE加上Agrawal等人的planted t-SUM假设，或次指数级LWE假设下成立；由于取整操作非线性，其鲁棒性借助傅里叶分析证明。
说明视觉定位安全：视觉语言模型在生成坐标输出时的拒绝能力研究
简介本文研究视觉语言模型在输出点或边界框等定位结果时的安全对齐问题。作者将三个安全基准改造为15,401组成对有害请求，区分自由文本回答与定位输出两种形式。实验显示，模型拒绝以问答形式提出的有害请求，却常在要求定位时照做，且系统提示无法消除这一差距。作者提出结合定位形式拒绝数据与良性数据的微调方法，可提升定位拒绝率并保持能力。
说明AgentDoxx：利用网络搜索对匿名文本进行智能体式再识别
简介本文提出AgentDOXX评测套件，包含822份基于真实人物公开信息生成的合成访谈文本，已知真实身份。研究评测了十五种开源与专有模型配置，分析网络搜索的作用及其搜索轨迹。结果显示，即使不使用搜索，部分开源模型仍能识别15%至28%的文本；隐私指令能抑制人名输出，却无法阻止检索行为。
说明Plotkin攻击！论Raptor码在异步可验证信息分散中的误用
简介该论文研究异步可验证信息分散（AVID）协议中用Raptor码（R10与RaptorQ）编码后延迟重建的设计模式，指出这种做法并不安全。作者证明，在拜占庭节点可选择诚实方碎片子集的情况下，存在无法还原消息的坏子集，并利用Plotkin界构造这类子集。文中还给出实验与基准测试，表明Reed-Solomon码在本参数范围内性能不逊于Raptor码。
看点证明Plotkin界可构造坏子集，攻破Raptor码在可重构AVID中的用法，并给出R10的显式证书与RaptorQ的实验验证，证据充分，影响较大。
说明超越单一扰动：面向多属性度量差分隐私的异构机制设计
简介本文针对由连续、类别和二元属性组成、且属性间存在依赖的多属性用户记录，提出一种名为DepHDP的度量差分隐私（mDP）框架。该框架先按属性依赖关系分组，再为每个属性或属性组分别选择扰动策略，在预定义机制（如拉普拉斯或指数机制）与基于优化的设计之间取舍。在三个案例中，DepHDP在隐私与效用的权衡上优于统一基线，且在所评估的领域上计算成本低于全记录优化方法。
说明权益加权网络中带宽均衡的可靠广播
简介该论文研究异步网络中可靠广播的中继带宽不均衡问题：按权益比例分配纠删码分片会使权益最高的验证者承担过多中继流量。作者提出Balanced CT与Balanced MiniCast，每个验证者只分配一个分片，从而使诚实验证者的中继上传上界相同，并提出Capped Swiper启发式方法以降低总中继开销。
说明不要只看激活：通过反事实激活潜力发现被抑制的安全特征
简介该论文指出，大语言模型中大量未激活的组件同样包含与拒绝有害请求相关的安全特征，而现有可解释性工具难以察觉。作者提出反事实激活潜力（CAP）指标，并设计两阶段筛选算法CSFD来发现这些被抑制的安全特征。实验显示，消融部分候选特征会使模型对有害提示转为服从，且在自然越狱下被抑制程度上升。
看点提出抑制特征的CAP指标与两阶段发现算法，并用消融和放大实验验证其对拒答的因果作用，揭示越狱可能通过抑制安全特征起效。
说明受查询次数限制的RAM程序及其应用：一种可控、有状态的量子一次性计算方案
简介该论文提出“受查询次数限制的RAM程序”（QLP），是量子一次性程序（QOTP）的推广，支持有状态、受限或按策略控制的计算访问，并防止对计算状态的分叉或回滚。作者通过“一次性程序”（one-shot programs）构造QLP，并证明其可由该概念一般地推出，同时阐明了签名令牌原语与量子一次性程序之间的关系。
说明《中毒的对话：统一多模态模型中的隐私泄露水印》：说明模型如何在图像中隐藏可检测的标记，从而泄露对话中的敏感信息。
简介论文提出“隐私泄露水印”（PLW），即恶意模型提供方可依据此前的聊天记录，在之后生成的图像中嵌入不可见、由触发条件决定的水印。即使用户在本地部署模型，对话中提及的敏感关键词也可能通过图像暴露。作者在13类敏感属性触发条件和两个模型系列上进行了测试，PLW在1%误报率下的真阳性率最高达100.0%。
说明位级最优密码学：从单向性到伪随机性与目标抗碰撞性
简介本文研究既可局部计算（属于 NC^0 类）又具有指数级安全性的密码原语，重点是伪随机生成器和通用单向哈希函数。作者证明，任何在 NC^0 中的指数安全单向函数都可以构造出这类位级最优的伪随机生成器和通用单向哈希函数，从而在该情形下三者等价。论文还提出了稀疏化、输入局部性约束和结构定理等工具，以去除以往构造所需的正则性假设。
看点在NC^0中从任意指数安全单向函数构造比特最优PRG与UOWHF，去除了正则性假设，并给出三者等价，理论突破明显；证明完整但影响限于理论领域。
说明AutoDP-LLM：用大语言模型自动生成入侵检测系统的数据预处理流程
简介该论文提出AutoDP-LLM框架，利用大语言模型自动生成并验证可执行的数据预处理流水线，以减少人工反复调试和计算开销。框架结合确定性规划与LLM专家智能体，依据语义推理和训练统计信息自适应地保留特征集。在UNSW-NB15和NSL-KDD数据集上的多分类入侵检测实验显示，其检测性能与传统特征选择方法相比具有竞争力，同时能生成紧凑且可执行的预处理流程。
说明反思与碎片：防范序列化马赛克攻击的大语言模型安全研究
简介该论文研究多轮对话中的“马赛克攻击”，即单条提示看似无害、组合后却构成有害内容的攻击方式。作者提出一种在线状态机制（watchman）来长期保存安全相关信息，并在一定假设下证明其可实现零失败防御且保持有益性。实验中，通过多轮自博弈训练攻击者与防御者两种角色的LoRA适配器，结果显示两者能力均有提升，并在未见过的攻击目标上也观察到改进。
说明陷门投影采样与基于身份的匿名广播
简介本文研究有界身份集合下的匿名广播加密：密文同时隐藏消息与接收者集合。作者提出陷门投影采样，先以身份哈希固定投影公钥，再用陷门对应的私钥原像采样，从而无需公布接收者公钥。方案基于 k-LWE 假设实现，密文结构与已有方案相同，并可在静态腐化下扩展到无界身份空间。
看点提出可信陷门投影采样，将投影空间从m×(m−n)缩至m×2n并保持k-LWE安全性，实现基于身份的匿名广播，安全性有形式化证明支撑。
说明GKR 协议用于稀疏 Merkle 更新的机器验证可靠性证明
简介本文针对基于 GKR 协议的认证数据结构更新证明，在 Isabelle/HOL 中机器验证了协议可靠性、算术化正确性及叶子节点承诺绑定性，并证明了对于错误输出声明，由多层 sumcheck 接受错误结果的概率上界为 (s_out + Σ(2 s_i d_i + 1))/|F|。作者将该界在 31 位 KoalaBear 域的四次扩域上实例化，分母约为 2^124。范围仅限交互式公开币协议，不包括 Fiat-Shamir 变换、知识可靠性和零知识。
说明语法引导的代码水印与绿色温度方法（GTCW）
简介该论文提出 GTCW 方法，在大语言模型生成代码时嵌入可检测的水印。它在解码每一步只保留语法允许的候选词元，并将其划分为带密钥的绿色与红色子集，在高熵位置依据模型偏好对绿色词元重新加权。在五个模型和五个基准（涵盖四种编程语言）上，平均 AUROC 为 73.61%，高于最强基线的 67.83%，平均 Pass@1 为 59.18%，略低于未加水印生成的 59.58%。
说明Red-TTT：面向大语言模型自动越狱的测试时训练方法
简介该论文针对大语言模型的越狱攻击问题提出Red-TTT方法。它在攻击每个目标行为的过程中更新攻击者的参数，每轮根据受攻击模型的回复进行策略梯度更新，并将训练目标改为以最佳样本为准。在120次采样预算下，该方法的平均攻击成功率从Best-of-N基线的55.9%提升至72.4%。
看点将测试时训练引入自动化越狱攻击，攻击者在攻击过程中更新参数；在120样本预算下对Best-of-N平均攻击成功率从55.9%提升到72.4%。
