arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明联邦贝叶斯监测机械取栓不良事件：手术数字孪生的人群风险层
简介该论文提出把人群规模的不良事件监测作为手术数字孪生的独立信念层，并评估一种在形式化隐私保证下学习该层的联邦贝叶斯方法。作者以FDA MAUDE数据库中全部取栓导管报告（8617条，其中6491条被归入五类并分给8个厂商站点）进行测试。在相同隐私预算下，该方法的留出集泊松得分优于带差分隐私的FedAvg，且非隐私联邦模型也优于集中汇总，但因缺乏手术例数，结果只是相对发生率排序而非绝对风险。
说明通过重抽样实现一次性差分隐私置信区域
简介本文提出一种简单框架，只在最终的重抽样分位数上加噪，即可一次性构造差分隐私置信区域，无需对每次重抽样得到的估计量分别加噪。在有放回（m-out-of-n）抽样下，隐私代价仅随重抽样次数B呈对数增长；在无放回（子抽样）下与B无关。作者给出了非渐近的高斯差分隐私（GDP）保证和效用保证，并涵盖分位数与退化U统计量等估计量。
说明LipSync伪造检测与溯源：利用唇部动作与头部姿态的不一致性
简介本文提出LipDA框架，同时用于LipSync伪造视频的检测与来源归属。它利用真实视频中唇部动作与头部姿态之间的自然耦合关系，对比真伪视频的特征差异来识别伪造。该方法还能捕捉各生成模型特有的时序与音视频同步模式以追溯来源。在两个LipSync数据集及作者提出的大规模数据集LipSync-A上，检测AUC超过97%，模型归属准确率为97.5%。
看点利用唇动与头部姿态的生物耦合不一致进行伪造检测与溯源，思路有新意；在多个数据集上报告超过97%的AUC与准确率，对比充分。
说明不变形状描述子的诱骗半径与泄露半径
简介论文研究基于旋转不变描述子的识别器在形状上的信息损失。作者用轨道距离衡量描述子的等价纤维半径：半径大则可能出现能通过匹配的诱骗形状，半径小则存储值可能泄露原形状。文中给出了在球谐阶数不超过L的星形曲面上的维度计算，并用精确与区间算术验证了两个案例，其中包括小行星贝努（101955）的雷达形状模型。
说明扫描器与大模型级联中的逐案例验证：突破告警聚合瓶颈以扩展误报削减率与真阳性率的权衡空间
简介论文针对动态应用安全测试（DAST）扫描器误报多、人工分拣成本高的问题，研究用大语言模型（LLM）对扫描器告警做二次验证的两阶段级联方案。作者指出，按告警整体判断会把真假案例绑在一起，删除误报时会连带丢失真阳性，形成误报削减率与真阳性率之间的瓶颈。论文提出按单个案例、逐一重放HTTP请求并独立判定的验证策略，并在DVWA与WebGoat上评估，案例级基线的误报削减率比告警级最优点高4.7个百分点，证据验证提示进一步将真阳性率从55.2%提高到62.1%。
说明从失败中学习：基于失败驱动的提示词优化用于大语言模型漏洞分析
简介本文提出失败驱动提示词优化方法（FDPR），通过分析大语言模型在漏洞分析中反复出现的错误（如误报、漏报、推理缺乏依据和CWE分类错误）来改进提示词。研究以DVJA应用为基础识别错误模式，并在Juliet测试集和跨模型验证中评估结果。论文认为该方法能提升分析可靠性，并总结出可复用的提示词设计原则。
说明ChaCha 及相关 ARX 流密码的差分神经密码分析
简介本文首次对 Salsa、ChaCha 与 Forró 这一 Latin Dances 密码家族进行差分神经密码分析。作者比较了六种神经网络架构在简化为 3 轮的 ChaCha 上的表现，并在单对与多对密文组合两种设定下训练。论文还给出了 Salsa 4.5 轮和 Forró 1.25 轮的区分器，并对 3 轮 ChaCha 区分器做了可解释性分析。
说明MARCO：面向蛋白质生成模型的放射性水印
简介蛋白质生成模型可从序列数据设计复杂的三维蛋白质结构，但也带来模型被非法提取和生物安全滥用的风险。本文提出MARCO框架，在扩散模型逆向去噪过程中通过辅助编码器-解码器嵌入水印，并利用Cα原子距离和扭转角相关损失函数保持生物物理保真度，同时结合对抗训练与随机攻击模拟提升鲁棒性。作者称，该水印能转移到使用带水印数据训练的盗版模型输出中，实验显示其保真度和鲁棒性较好，且水印可迁移性得到验证。
说明带提示信息的格问题同构（Lattice Isomorphism Problem）研究
简介本文研究格问题同构（LIP）在部分掌握秘密信息（如通过侧信道攻击获得或设计所得）时的安全性。作者提出一种将LIP嵌入另一格上最短向量问题（SVP）的新密码分析方法，以便整合提示信息，并给出把线性泄漏转换为目标格上提示的技术。以LeakyLWEEstimator工具实现后，论文估计Hawk签名方案在密钥恢复场景下的安全性，指出Hawk-1024约损失11比特安全性，并将框架应用于Hawk的侧信道分析结果。
说明Zeppelin：面向Helium微控制器的客户端BFV加解密库
简介该论文提出Zeppelin，一个运行于微控制器上的同态加密库，支持BFV方案的加密与解密，并利用ARM Helium向量指令集加速数论变换。设备端完成加解密，服务器端可通过适配器与Microsoft SEAL兼容地进行同态计算。在STM32N6（ARM Cortex-M55）上，论文报告4096个打包数值的加密与解码耗时4.76毫秒，解密与解码耗时5.38毫秒，内存占用低于500 KB。
说明上下文链：面向间歇连接设备的轻量连续性认证协议
简介该论文提出 Contextual Chain，一种面向间歇连接设备的轻量级连续性认证协议，设备通过共享的演化物理或操作上下文进行认证。诚实设备只维护一条实际历史，用紧凑的累加器和固定哈希就绪通道更新状态，断连时只暂停或有限回滚。论文在随机预言机模型下给出因果计数定理，下界说明达到目标成功概率所需的可及保留状态，且诚实方的就绪内存不随可能历史数量增长。
说明HE-OFT：同态加密下保护隐私的单轮联邦微调方法
简介多个机构希望在不汇集各自私有数据的前提下共同微调同一模型。论文提出HE-OFT协议，各客户端在冻结的公共骨干模型上训练低秩适配器和分类头，仅上传一次加密的分类头增量，服务器在多方CKKS同态加密下合并且从不解密，训练后的模型也不交给任何参与方，查询时仅返回预测标签。在四个文本分类任务和一个视觉任务上，准确率为61%至79%，高于单个客户端独立训练的20%至48%，约为公开模型准确率的85%至96%。
说明更新更大，但更安全吗？LLM生成代码中功能与安全差距的纵向研究
简介该论文对七个模型系列的32个大语言模型进行了纵向研究，考察生成代码中“通过功能测试却未通过安全测试”的差距。结果显示，较新的模型绝对安全性有所提高，但没有任何模型系列能完全消除该差距。论文还发现紧凑模型通常比旗舰模型产生更不安全的代码，并指出部分CWE弱点持续存在。
说明论基于潜空间水印的内在有限鲁棒性
简介本文指出，现有针对扩散模型的潜空间水印方法高估了其对旋转、缩放、平移等几何变换等图像失真的鲁棒性。作者首次从理论上解释了这些方法缺乏扰动不变性的原因，推导出描述像素空间扰动与潜空间效应关系的最大扰动界，并给出涵盖实际检测机制各组成部分的解析表达。实验验证了上述理论结论，表明在当前设计范式下该类方法本质上鲁棒性有限。
说明FBAN：一种兼容全同态加密、用于保护隐私的行为认证瓶颈注意力网络
简介本文提出FBAN，一种与TFHE兼容的瓶颈注意力网络，并构建了端到端加密的持续身份认证框架，用于在服务器端对用户触屏等行为特征进行认证而不暴露原始数据。模型采用浮点预训练加量化感知训练的两阶段流程，仅用整数运算并编译为TFHE电路进行同态推理。作者在两个公开触屏数据集上进行了实验，并对诚实但好奇的服务器进行了密码学安全分析，报告认证效果良好且TFHE参数达到128位以上安全级别。
说明用于密码学的分级幺半群作用
简介论文提出一种基于分级幺半群作用构造后量子协议的新框架。该框架的相关问题没有已知的次指数量子攻击，同时结构足够支持类似 Diffie-Hellman 密钥交换的协议。作者称，该框架可以用定向主极化阿贝尔簇（PPAV）上的模作用来实例化，它推广了定向椭圆曲线上的类群作用。
说明证明五项关于 ChiChi 逆变换线性结构的猜想并给出一个反例
简介本文针对 ChiChi 及其推广族（SWAP 与 4-cycle）逆变换的线性高度和分量线性零化度，证明了此前提出的五项猜想中的前四项，对所有允许的分支长度均成立；第五项猜想被证明是错误的，给出了反例。作者还讨论了这些结论对 ChiLow 设计的影响，并修正了 Andreoli 等人数据中的一个数值。
说明重新思考视觉来源溯源：直接视觉生成与LLM驱动代码渲染中的检测与水印
简介该论文比较了两类AI生成视觉内容（图像/视频生成模型直接生成，以及LLM编写代码后渲染）的检测与水印方法。作者提出以生产环节为中心的框架，并区分被动推断、消息恢复与认证溯源三种验证规范。论文提出十个有范围限制的研究问题，属于概念性研究议程，未包含实验，也未提出新定理。
说明《Surviving the Router》：优化技能注入以同时通过检索与执行
简介该论文研究AI智能体依赖的第三方“技能”路由场景下的提示注入攻击。作者指出，已有评估假设恶意技能已被选中执行，可能高估攻击成功率；在多技能环境中，注入技能需先竞争检索，使现有注入的攻击成功率降低87%至97%。论文提出CORSA攻击方法，分阶段优化检索与端到端攻击效果，实验显示其提升效果并能跨路由架构和大模型迁移。
说明当工具撒谎：数学智能体在被篡改的工具反馈下的可靠性
简介该论文研究数学智能体在工具调用结果被悄悄替换为看似合理但错误的数值时，能否发现并纠正错误。实验覆盖31个问题，比较无验证、强制同上下文反思、可选新上下文验证和可选结构化验证四种设计。无验证时准确率从100%降至72.4%，强制反思可恢复到100%，可选验证只有在模型主动调用时才有效。
说明基于成对观测点捕获数据的 IPv6 扩展头存在模式可解释规则挖掘
简介本文研究能否用可解释的方法从 IPv6 扩展头（如分片头）的数据包捕获中挖掘出可读规则。作者提出两个可复用工具：一个负对照协议，用于判断挖掘出的“时序”网络规则是真实的跨包动态还是仅为单包内的共现；以及一个按发送方条件化、分扩展头类型统计保留率的测量方法。在 JAMES 成对观测数据集上，主导性的分片头规则被证明是包内共现而非时序模式，结论是所评估数据中网络时序结构并不承载该主导信号。
说明AsyncLS：面向钱包的异步账本服务的 iUC 框架
简介本文在 IITM 通用可组合性（iUC）框架中定义了异步账本服务 AsyncLS，通过钱包提供注册、读取已提交应用状态、经授权提交请求以及查询不可变最终结果等功能。作者构造了协议 Π_AsyncLS，用 Wallet、Relay、Adapter 和 Replay 四个组件实现该理想服务，并证明了在相应执行与信任假设下的实现正确性。文中还以 ORDI 交互式支付和交易排序之上的参数化执行层为例说明其用途。
说明MIKE：一种快速紧凑的后量子非交互式密钥交换
简介该论文提出 MIKE（模同源密钥交换），一种后量子 NIKE（非交互式密钥交换）方案，其安全性基于超奇异椭圆曲线上秩为 2 的 Hermitian 模作用的 CDH 问题。论文称，在 NIST 1 级安全强度下，MIKE 的公钥仅 80 字节；使用其恒定时间 C 实现，在 3.3GHz 的 AMD CPU 上密钥生成约 0.65 毫秒，共享密钥计算（含密钥验证）约 4.9 毫秒。
说明面向NSL-KDD不平衡入侵检测的系统优化CNN-Transformer与Focal Loss方法
简介本文针对NSL-KDD数据集中极少见的R2L和U2R攻击检测困难问题，提出一个基于CNN-Transformer的可解释入侵检测框架，并用XGBoost做特征选择、用Focal Loss提升少数类学习。消融实验显示，调优后的Focal Loss单独使用即可取得较好效果，加入SMOTE过采样反而降低精确率；最终模型测试准确率为98.73%，R2L和U2R的F1分数分别为84.63%和69.66%。作者还用SHAP分析解释了预测结果以及U2R精确率偏低的原因。
说明ASCENT：面向安全与效用协同提升的一阶最优微调与再校准方法
简介该论文提出ASCENT框架，用于大语言模型下游微调，在提升任务效用的同时兼顾安全性。方法将安全性建模为模型参数的函数，通过一阶近似选取对安全影响最大的低秩更新进行周期性校准，并推导出既贴近原任务更新又减少安全负面影响的更新方式。实验表明，在多个模型系列和下游任务上，ASCENT可将效用提升最多20.3%，攻击成功率降低最多35.5%。
说明Truffle：面向解析应用的恶意安全三方洗牌协议
简介本文提出一种名为 Truffle 的三方安全洗牌协议，能抵御一个主动攻击者。洗牌对列表应用一个置换，且置换与数据始终保持秘密共享。Truffle 的摊销轮数与现有半诚实协议相当，通信开销仅为次线性增长。作者还实现了该协议并通过基准测试表明其性能足以处理真实应用数据。
看点提出首个在摘要中摊销轮数匹配半诚实协议的恶意安全三方洗牌协议，并给出新的分布式验证者零知识证明；实现并基准测试支持其可行性，影响集中于安全多方计算子领域。
说明量化运营商侧 5G/O-RAN 数据画像的隐私状况
简介该论文研究运营商侧 5G/O-RAN 网络画像在匿名化后仍存在多少重识别风险。作者用 k-匿名、l-多样性、t-接近度构建综合隐私指数，并在内部 PCAP 数据与公开的 Idaho Labs 5GAD 数据上比较八种变换配置。结果显示，单纯假名化不改变重识别风险，泛化准标识符带来实质改善，但高抑制方案会牺牲少数类召回率；作者认为该指数更适合作为面向监管的摘要，而非安全上界。
说明Rust 加速的来源：滑动窗口威胁评分器中的语言与算法影响
简介本文以 SentinelSphere 平台的交通灯计算器为原型，比较了三种 Python 实现和两种 Rust 实现的滑动窗口威胁评分器，五者得分完全一致。研究发现，单纯的语言改写带来约 4 至 29 倍的加速，而将窗口的逐事件重扫描改为增量更新，在突发场景下贡献超过 11,000 倍。因此，安全工具的性能声明应分别报告语言与算法各自的贡献。
说明《PoP! Goes the VOLE》：面向 KEM 证书的更短持有证明
简介本文研究如何为基于密钥封装机制（KEM）的证书签发持有证明（PoP），以支持后量子密码迁移。作者为 NIST 选定的基于编码的 HQC 提出并实现了一种非交互式持有证明，采用 VOLE-in-the-Head 范式，并将其与 Kyber、FrodoKEM 的方案在 ACME 协议中进行对比。结果显示，HQC 方案在符合标准与兼容性的同时，证明体积更小，在模拟不稳定网络下的性能也具有竞争力。
说明《不要让一个谎言在百条真话中存活》：面向协同感知的选择性贝叶斯信任估计器
简介该论文针对车联网协同感知中恶意协作方可能隐藏单个关键物体或凭空注入物体的问题，提出SABER选择性双层贝叶斯信任估计器。方法先用累积和筛选出持续遗漏或无依据上报的智能体-物体对，再与其他智能体证据比对并分别维护贝叶斯状态，最低分数用于约束智能体信任，防止无关正确报告稀释针对性攻击证据。论文在OPV2V上报告，相比MATE、ROBOSAC和LUCIA等现有防御，SABER提升了攻击检测效果并降低了良性误报率。
说明为欧盟《网络韧性法》准备AI增强型SIEM：一项从业者案例研究
简介本文记录了一款AI增强型安全监控产品SEUXDR在开源CYBERFORT平台上进行《欧盟网络韧性法》（CRA）合规准备的试点研究。作者提出一套可复现的六步流程，涵盖范围界定与分类、资产登记、证据生成、映射至CRA条款、差距与行动分析以及审计材料包，并给出两条端到端的可追溯链路。该研究为从业者将CRA法律条文转化为事件响应、漏洞报告和合规评估等方面的实际准备工作提供了可参考的起点。
说明面向医疗植入设备的即插即用抗量子蓝牙配对方案（基于NFC带外通道）
简介本文针对植入式医疗设备缺乏用户界面、难以使用常规防中间人蓝牙配对方式的问题，提出一种基于近场通信（NFC）带外通道的轻量级配对协议。该协议完全在NFC通道上执行后量子密钥封装机制，使共享密钥不经NFC传输，并减少配对时的远距离射频暴露，且无需修改蓝牙协议栈。原型测试显示，在所设定的使用模型下，相较易受中间人攻击的Just Works方法，Kyber-1024与FireSABER的预计电池寿命降幅均低于0.57%。
说明放大效应：多框架GRC自评中AI推荐关联与自动传播的人为风险
简介本文分析多框架治理、风险与合规（GRC）平台中，AI推荐的问题关联和答案自动传播可能把单个答案中的人为偏差放大，使其被当作多项合规义务的证据。作者提出六维评分框架，对13款工具做结构化设计评估，并给出可供拥有生产数据的团队使用的测量方案。文中强调这是设计评估而非用户行为的实证测量。
说明基于文件生命周期的勒索软件实时备份触发时机设计与评估
简介论文指出，勒索软件在攻击开始到被检测之间会持续加密文件，实时备份可在文件被修改前保存其内容。现有系统主要在文件打开时触发备份，本研究则从文件生命周期出发，比较打开、读取、写入、重命名四种备份触发时机。作者在XFS上实现原型，用五个勒索软件样本进行评估，结果显示触发时机会同时影响损害缓解效果与生成的备份数量。
说明基于哈希链与分块强制剪枝的更短少次签名
简介SLH-DSA是基于SPHINCS+的标准化无状态哈希签名方案，但其签名体积较大。本文提出BPORS-C+BFP方案，把子叶中的秘密值替换为短哈希链，并为每个坐标块分配独立的认证预算。在保持超树和一次性签名参数不变的情况下替换FORS，六种标准设置下完整签名体积减少8.3%至18.1%，优于BPORS+FP的3.7%至13.4%。
说明PairSwitch：面向 Gentry–Lee 矩阵全同态加密的高效 Galois 配对密钥切换
简介Gentry 与 Lee 提出的矩阵型全同态加密中，BigSwitch 步骤占用大量密钥。本文提出配对合并 BigSwitch 及公钥重基方法，只需发布较少的密钥，并在 Park 等人的参数上测得比 TFB 快约 1.9 倍、比原始 BigSwitch 快约 1.3 倍，且噪声更低。
说明在商用 Cortex-M 微控制器上实现高效且抗实现攻击的 RBLWE 加密
简介本文在 ARM Cortex-M33 微控制器上实现了基于环二进制学习误差（RBLWE）的后量子加密，通过打包多个 8 位系数并使用 SIMD 式指令进行加速，相比标量基线获得约 3 到 4 倍的速度提升。作者还逐层加入了恒定时间执行、抗故障、Fujisaki-Okamoto 式 CCA2 变换和一阶掩码解密等防护，并分别报告各层开销，同时通过时序测试、故障注入和 TVLA 检验来验证这些防护的效果。
说明面向多参数比特翻转扰动验证神经网络的研究
简介硬件故障可能翻转量化神经网络权重中的比特，从而影响预测结果。本文提出mBFV验证框架，无需枚举组合即可证明网络对多个参数同时发生比特翻转的鲁棒性，并通过分支定界进一步收紧界限。在625个实例上，mBFV验证了293个，明显优于先前的单参数验证器（38个）和精确混合整数线性规划基线（0个）；它还可验证参数量达115万、最多四个参数同时翻转的网络。
说明SCSM：一种可迁移网站指纹识别的流量原生基础模型
简介网站指纹识别通过加密流量的元数据推断用户访问的网站，但模型在网站集合、采集时间、网络路径、浏览器或防御手段变化后性能常会下降。本文提出SCSM，通过对未标注流量进行分段、组合、缩放和掩码构造预训练视图，再用对比学习预训练状态空间编码器，并在少量标注样本上微调。论文报告，在GTT23的六个时间漂移任务上，其平均前三准确率比最强基线高16.4%；在四个跨域数据集上，平均宏F1高13.8%。
看点提出面向流量的自监督预训练与状态空间编码器，在时间漂移与跨域任务上相对强基线有明显提升，证据较充分。
说明CredLeakBench：评估大模型智能体的凭证泄露与恢复能力
简介本文提出 CredLeak-Bench，用于测试大语言模型智能体在面对钓鱼和身份验证时，能否既安全又有效地完成工作。测试在沙盒环境中进行，泄露以实际提交的信息为准。结果显示，所有受测模型都存在泄露问题，且部分防御措施在降低泄露的同时也损害了正常任务的表现。
说明响应边际分布不足以刻画功能性后门恢复的查询复杂度
简介该论文研究功能性后门恢复：在仅返回预测标签的反馈下，找到攻击成功率不低于给定阈值的任意触发器所需的最少查询次数。作者构造了两组受害模型，它们的攻击成功率和每次查询的返回标签分布完全相同，但最优自适应查询复杂度分别为Θ(log H)与Θ(H)，其中H为可能受害模型的数量。论文还表明，若反馈简化为二元（是否返回目标标签），这一差异消失，并在CIFAR-10 ResNet-18分类器上验证了预测的最优查询预算。
说明K-LMS：用韩国密码原语实现的 Leighton–Micali 签名
简介本文为基于哈希的后量子签名方案 LMS 设计了一个实验变体 K-LMS，仅将哈希函数替换为韩国密码原语（LSH-256 及基于 CHAM、LEA、ARIA 分组密码的 Tandem-DM 构造），并在同一主机上与 SHA-256 基线及已发表的 K-XMSS 实现进行了性能评估。结果显示，替换哈希不改变密钥和签名大小，且在公平软件基线下 LSH-256 K-LMS 签名与 SHA-256 LMS 相当，同时作者指出基准测试中的测量陷阱会显著影响比较结论。
说明无状态恢复何时能突破拜占庭法定人数安全性？单步BFT的紧致标准形式
简介本文研究拜占庭容错共识中，副本恢复时丢失协议状态但保留身份与签名密钥，可能遗忘先前投票的情形。作者分析由至少q个副本的匹配签名投票形成的证书，并证明两个冲突证书的重叠规模及其松弛量可分解为四个非负计数。在n=3f+1、q=2f+1且仅有一次正确副本恢复的设定下，任何冲突对都要求恰好有f个拜占庭副本；文中还给出一种达到该形式的最小协议，并说明签名发布前写入持久投票记录可阻止冲突。
说明面向多指令集的 F2[x] 乘法调度选择（动态规划指导）
简介本文将 F2[x] 上的递归多项式乘法建模为调度选择问题，利用动态规划结合各指令集的原语开销剖面来选择分解方案。作者在 x86-64、ARM64、RISC-V64 和 RP2040 上进行了评估，相比 gf2x 取得约 1.04–1.18 倍的几何平均加速，并在 HQC 与 BIKE 集成中给出端到端加速结果。
说明模型自己埋下触发器：多轮大语言模型中的答案侧后门攻击
简介该论文提出一种新型后门攻击：攻击者不在用户输入中插入触发词，而是利用无害的第一轮提示，诱导模型自行生成一个看似无害的特定词语。该词进入对话历史后成为触发器，使后续有害提问绕过安全拒答。论文称，在四个大语言模型上攻击成功率接近100%，投毒率仅5%，并能规避主流的输入端防御。
看点提出输入无关的回答侧多轮后门，触发词由模型自生成，突破了输入侧防御假设；实验覆盖四个LLM并给出表示层分析，但规模与对比细节有限。
说明提取-放大-测量：单侧与紧致的O2H定理及其在量子随机预言机模型中CCA安全性的应用
简介本文针对量子随机预言机模型中重编程分析的O2H定理作了改进，提出单侧与双侧两种EAM-O2H定理。单侧版本与已有最紧上界同为O(√q·ε)，但只需访问原始或重编程后的随机预言机之一；双侧版本去除了对查询次数q的依赖，达到O(ε)的紧致上界。作者将其用于重新分析Fujisaki–Okamoto系列变体的CCA安全性，并给出归约损失的改进结果。
看点提出单边与紧致双边两种EAM-O2H定理，去除q依赖损失并改进FO变体的QROM安全归约，属于理论密码学的实质改进。
说明PerSpectron：用感知机检测微架构攻击的不变特征
简介该论文提出一种硬件检测器 PerSpectron，利用感知机学习，依据相关的微架构统计信息识别并分类微架构攻击（如 Spectre、Meltdown、Flush+Reload 等），目标是在数据泄露前发现攻击。检测器运行在处理器关键路径之外，性能开销很小。
说明自适应模型反演攻击揭示隐私与鲁棒性的权衡关系
简介该论文指出，标准评估会低估高分辨率模型反演攻击（MIA）造成的训练数据隐私泄露。作者对攻击做简单的自适应调整后，在FaceScrub数据集上，包括先进防御、MixUp、对抗训练和未防御模型在内的多种方法，训练图像泄露率提高了1.16至6.59倍。论文还发现，重建泄露与对抗鲁棒性在多种防御和训练方式中密切相关，并提出一个未解决的问题：能否在不牺牲对抗鲁棒性的前提下，降低训练数据重建风险。
说明规则止于何处，判断始于何处：衡量多智能体系统安全中的判断边界
简介本文研究基于大语言模型的多智能体系统在对抗内容下的安全防御。作者提出 DEFER1 框架，先用 28 项确定性检查拦截能够识别的攻击，其余交由四名评审员判断。在四个领域的独立测试中，攻击成功率从约 30.0% 降至约 3.0%，被拦截的攻击中 78% 由确定性检查处理。
说明SkillPoison：通过成功经验逐步投毒智能体技能
简介自我改进的大语言模型智能体会把成功经验提炼为可长期复用的技能。本文提出 SkillPoison，利用经过验证、单独看都正确的成功经验，逐步影响技能提取器的泛化方式，使有用行为在被误用时产生有害结果。在三个基准上的实验显示攻击成功率为 95.71%，且注入的经验均通过了任务正确性与词法检查。
看点提出从正确成功经验中渐进投毒技能的新思路，不注入恶意内容；在三个基准上实验，攻击成功率95.71%，对自改进智能体有实际威胁。
说明HarnessSecurity-Bench：编程代理安全机制真的能起到保护作用吗？
简介该研究首次系统性地分析了开源与闭源编程代理框架的安全机制，归纳出十类机制并评估了400个框架-机制组合，发现约一半已确认的机制需要用户主动开启，闭源框架的证据存在明显缺口。研究还构建了包含23项任务、覆盖五类攻击面的基准HarnessSecurity-Bench，对六个主流框架的九种机制进行2500次试验，发现开启自动批准会使攻击成功率从29.2%升至95.6%。研究建议框架提供方让安全设置可验证，并同时评估攻击效果、任务效用与执行成本。
看点首次系统评估编码代理工具的安全机制，构建含23项任务的基准，2500次试验评估九种机制，证据充分，对实践影响较大。
说明可见光谱中的光学隐蔽信道：利用普通智能灯具传输数据
简介该论文研究普通智能LED灯泡能否通过人眼难以察觉的细微颜色或亮度变化传输数据。作者使用未改造的飞利浦WiZ A19灯泡和摄像头作为接收端进行测试。实验中，颜色方式成功传送了短消息“hi”（色差E为0.5），亮度方式在最小非零差值下仍可解码，平均比特准确率为96.2%。
说明面向边缘、雾与云架构的基于机器学习物联网入侵检测的部署可行性框架
简介本文针对物联网入侵检测，提出一种考虑部署条件的定量分析方法，比较机器学习方法在边缘、雾/网关和云端三类架构中的适用性。作者引入部署可行性评分（DFS）模型，依据计算需求、内存占用和延迟敏感度，将各类机器学习技术映射到相应架构层级。分析认为，轻量级统计与线性模型更适合边缘部署，集成与聚类方法适合雾/网关环境，深度与优化类模型则更适合云端。
说明CISB-Bench：编译器引入安全缺陷的可审计源码-IR 数据集
简介本文提出 CISB-Bench，一个从 GCC 和 LLVM 中挖掘的可审计数据集，包含 429 个精确 C 程序样本，每个样本附带约简测试、标准化 LLVM IR 分析包（-O0 至 -O3）、公开溯源信息及最终二元标签。两名评审独立标注，一致率为 86.0%，分歧样本经裁定，最终含 280 个编译器引入安全缺陷（CISB）与 149 个困难非 CISB 案例。该数据集可为编译器安全挖掘与检测研究提供可复用的评测目标。
说明CheckerBench：长周期智能体能否编写静态分析检查器？
简介该论文提出 CheckerBench，一个包含 300 个可执行任务的基准，任务源自 297 个 CVE，涵盖 167 个代码仓库、85 个 CWE 和五类语言生态。每个任务提供存在漏洞与已修复两个版本、固定的分析环境以及检查器框架。论文还提出 CheckerLab 评估框架，用于衡量检查器的诊断对比、补丁定位、误报和工具使用。在 21 种模型与工具组合上，平均 Pass@1 为 32.30%，最佳结果为 45.33%，说明当前编程智能体仍难以稳定地开发可复用的检查器。
说明通过模型无关的潜在安全信号保护大语言模型（LADE 方法）
简介该论文针对大语言模型的越狱攻击，提出 LADE 防御方法。它利用首个输出 token 概率分布中的"暗知识"，对比有害与良性查询，提取出在不同模型间一致的潜在安全信号。方法包含信号提取、跨分词器映射和基于 kNN 的查询分类三个部分。论文称，该方法在多种模型和基准上能降低攻击成功率，并保持较好的安全性与实用性平衡。
说明CKKS 中低延迟并行数字分解与符号求值
简介该论文针对 CKKS 同态加密中符号、比较和 ReLU 等非线性函数难以用多项式精确逼近的问题，提出用基数 B 的数字表示输入。作者用一次自举并行得到全部数字，并通过进位前瞻（carry look-ahead）修正进位，使相距约 2^-p 的输入只需 Θ(p) 个模数比特即可区分。基准测试显示，对十个基数 64 数字的分解加速 2.04 倍，对 1024 组实数输入对的符号求值加速 7.83 倍。
看点用单次自举并行提取全部数字并以O(log u)深度修正进位，显著降低CKKS符号计算的模数与延迟；基准测试显示相对已有方法有明显加速。
说明并非孩子表达的内容：审计面向儿童的 AI 中手语到文本的安全接口
简介该论文指出，儿童使用的手语翻译会把手语转为文字，再交给未成年人账号过滤和诱骗检测等安全系统判断，而目前没有公开的系统对这两者做过联合评估，主流手语翻译模型也未在18岁以下手语使用者上训练或正式评估。论文提出一套由聋人参与的上线前审计框架，包括错误分类、情景模板、四种对比条件和四项结果指标，并以澳大利亚手语（Auslan）作为首个案例研究。
说明有害监督微调在大模型检查点更新中留下连续痕迹
简介该论文探讨能否不依赖模型运行，仅通过检查点权重更新来审计经后训练的大语言模型。研究发现，有害顺从型监督微调会在检查点更新空间中形成与训练目标相关的连续排序，并据此提出名为TRACE的仅基于权重的审计方法，输出连续的有害目标评分。作者报告该痕迹在多种分布偏移与微调设置下保持稳定，并与独立测得的攻击成功率正相关。
看点提出仅基于权重更新的有害目标审计信号，通过四个7-8B骨干和多组对照实验验证，Spearman相关达0.986-0.992，新颖性较突出。
说明理解并增强大模型智能体后训练中的后门持久性
简介本文研究一种供应链威胁：攻击者提供带有后门的模型，使其在特定输入模式出现时产生恶意输出。研究聚焦软件工程智能体，考察后门能否在开发者的监督微调和后续任务级强化学习后存活。结果显示，良性微调会显著降低攻击成功率，但后续强化学习常保留残留行为，有时还会提高攻击成功率。作者提出PersistBD方法以增强后门持久性；在Qwen2.5-Coder-7B上，攻击成功率在微调后由20%提升至74%，在微调加强化学习后提升至76%，同时保持相近的良性任务表现。
说明车载网络双重入侵检测：用于车内CAN总线实时防护的软硬件协同方案
简介本文提出一种双入侵检测框架，分别用监督学习的量化LSTM模型检测已知攻击（DoS、模糊测试、欺骗等），用无监督的8位量化卷积自编码器检测未见过的异常。两者可在同一FPGA（ZCU104）上运行，QLSTM-IDS单条消息推理延迟0.25毫秒、能耗0.8毫焦，QCAE-IDS每块0.42毫秒、1.1毫焦。
说明功耗能否约束隐蔽计算？模拟式验证对AI治理的局限
简介这篇论文研究用芯片外的功耗测量来核查AI计算量是否符合协议是否可行。作者推导出功耗曲线无法排除的最大隐藏计算量的闭式解，并在NVIDIA A100 GPU上测量。结果显示，单靠功耗测量约束力较弱，而在验证者可复现已申报工作的额外限制下，约束力会明显增强。
看点提出功耗可隐藏计算量的闭式界限，并量化模拟测量在AI治理验证中的能力，视角新颖；实验基于A100但规模有限。
说明针对边缘部署入侵检测系统的对抗强化学习端口扫描规避研究
简介本文研究自适应攻击者如何规避部署在树莓派3B+上的基于机器学习的入侵检测系统。研究者用TON_IoT数据训练了XGBoost、多层感知机和一维卷积网络，并用深度Q网络作为攻击者，在黑盒、灰盒和白盒三种特征可见性条件下学习规避组合。结果显示，即使检测系统能识别常规端口扫描，规避率仍达61.9%至98.3%，且特征可见性的提升效果因模型而异。
说明NetAgent：实用的多任务智能体网络流量分析框架
简介本文提出 NetAgent，是首个面向多任务网络流量分析的智能体框架，可在无需针对任务训练的情况下完成任务理解、分解编排与长程分析。它采用知识增强的工作流规划、150 多个经验证的工具、统一代码执行空间、三层记忆以及沙箱与运行时修复等设计。在 9 个主要基准上，NetAgent 对未见流量分布的 F1 为 90.04%，在真实背景流量偏移下仅下降 4.85 个点，明显优于各类基线。
说明基于小指数哈希的简单极端有损函数
简介本文提出一种称为极端有损陷门哈希（ELTDH）的新原语，它强于已知各类极端有损函数（ELF）变体。该构造一次完成，无需从仅对固定规模攻击者安全的方案逐步引导，比现有 ELF 更简单、更高效。其假设为小指数离散对数的指数级安全性，以及判定型合数剩余类问题（DCR）的多项式安全性。
说明评估行为上下文对云环境中可解释IAM策略风险评分的价值
简介本文研究在策略本身和有效授权信息之外，行为与环境上下文能否为IAM策略风险排序提供可衡量的增量价值。作者基于AWS构建的534条真实观测基准进行实验，比较仅含策略、策略加环境、以及包含CloudTrail行为数据的三种可解释加性模型。结果显示，包含完整上下文的模型明显降低了分析优先级的预测误差，并在同一策略的匹配案例中区分了良性与可疑行为。
说明权重预言机：用语言模型读取神经网络权重
简介该论文提出“权重预言机”，即微调后的语言模型，直接读取目标神经网络的原始权重来诊断其性质，无需行为测试或已知输入。第一阶段验证可行性：解释器模型能从权重模拟小型Transformer的前向计算，在未见过的目标上留出集准确率达99%。第二阶段将其用于安全审计，仅用良性异常样本训练，并在训练中未出现的后门上零样本评估，在注意力路由后门上AUROC为0.93，在多样化威胁分布上为0.81。论文指出，扩展到实际模型规模仍是主要的未解决挑战。
说明ATLAS-AL：基于主动学习的自适应信任域，用于发现潜在对抗性输入集合
简介该论文提出ATLAS框架，用于在黑盒学习系统上发现成组的对抗性输入。它把攻击生成视为主动学习中的水平集估计问题，并结合局部与全局采样来定位含有对抗样本的输入区域。在相同有限查询预算下，论文报告其在玩具实验及MNIST、CIFAR、ImageNet模型上比NES、SignHunter、BayesOpt等方法得到更具代表性的攻击集合，并可用于持续的鲁棒性审计。
说明从沙箱到执行：面向关键基础设施的带置信度威胁情报
简介本文提出CG-CTI流水线，将恶意软件沙箱（CAPEv2）的实时输出转换为STIX 2.1格式，并与其他关键基础设施传感器数据在知识图谱中关联。每个情报对象都附带由来源、交叉印证和观测持续性得出的置信状态，只有经过印证的情报才可用于自动执行。另有一个基于证据的语言模型模块对结果进行叙述，无依据的陈述会被移除。该系统在CYBERGUARD项目中实现并在标注恶意软件语料上评估。
说明Polar：利用大语言模型综合真实网络证据以进行威胁排序与缓解
简介本文提出 POLAR，一个基于大语言模型的框架，用于把分散在厂商公告、漏洞数据库和威胁情报中的证据整合为面向威胁的评估，服务于优先级排序和缓解决策。系统会先区分重叠事件并将每个威胁与来源证据关联，再结合时间排序的利用信号估计近期被利用的可能性，并把威胁数据关联到权威修复知识。作者在公开来源收集的真实漏洞证据上进行评估，结果显示其在威胁排序和缓解检索上优于多个基线。
说明面向关键边缘物联网基础设施安全监控的弹性运行时验证架构
简介本文提出RV-Fabric，一个为运行时验证管道设计的弹性数据投递层，通过MQTT与持久化流代理保障事件在崩溃、时钟偏移、网络静默和消费者过载等故障下仍可靠传递。每个验证结论都会附带证据完整性状态（sound、degraded、incomplete或unavailable）。在受控故障注入实验中，共享日志基线漏掉了七个事件中的六个，而RV-Fabric保留了全部七个；数据集复现基于水务SCADA和IoT/IIoT数据集。
说明SAFESHIELD：面向小型语言模型部署期安全的决策组织框架
简介本文提出将部署期安全问题表述为决策组织问题，即按责任拆分安全决策并协调各决策之间的关系。作者据此设计了SAFESHIELD系统，包含准入、路由、证据和发布四类决策职责，并将已作出的决策记录在可审计的决策轨迹中。实验表明，移除准入把关会显著增加错误发布，将上游证据排除在发布决策之外会使发布准确率从96.0%降至69.5%，说明安全效果不仅取决于单个防护措施，也取决于其决策如何组织和协调。
说明血缘感知的记忆治理：面向企业AI智能体的列级隐私访问控制框架
简介本文针对多个部门共享记忆库的企业AI智能体，指出两类风险：敏感数据可能通过合法计算的结果泄露，以及不同部门可能用冲突的逻辑计算同名关键指标。作者提出“分析记忆单元”（AMU），为每个缓存结果附带完整的推导（血缘）图，仅当请求者有权访问结果涉及的所有列时才允许检索。作者称，在血缘记录完整的前提下，该机制可构造性地阻止越权结果的检索；实验显示跨部门泄露被消除，同时保留约81.5%至82.6%的记忆复用率。
说明基于智能体执行轨迹的对抗性行为高效审计
简介本文提出一种两阶段审计框架，用于检测大语言模型智能体的有害行为。第一阶段用规则筛选需要检查的动作，第二阶段由LLM审计智能体在执行前结合先前轨迹检查被选中的动作，并利用训练数据联合优化门控规则与审计指令。在OpenAgentSafety基准上，平均每次运行的LLM审计次数由8.15降至2.33，检测率为72.8%，而对每个动作都审计时为81.5%。
说明Pauli误差组成决定会议密钥协商中的多方优势
简介本文研究基于GHZ态的会议密钥协商与逐对BB84协议在多方场景下的相对优势。作者在N=3、4、5的情形下，对退相干、振幅阻尼和去极化三种噪声进行精确仿真，发现优势的转折点取决于信道的Pauli误差组成，而非信道本身的类型。文中还给出了任意逐方Pauli噪声下的闭式速率公式。
说明提示级差分隐私下的奖励驱动学习
简介该论文研究在可验证奖励强化学习（RLVR）中保护训练提示的隐私，要求模型权重对任一训练问题的存在具有差分隐私保证。作者以单个提示的回答组为隐私单元，对梯度聚合、裁剪并加入高斯噪声，据称这是RLVR训练的首个差分隐私保证。实验基于Qwen2.5-1.5B-Instruct，在MATH和GSM8K上，相同隐私预算下优于两种私有监督微调方法，并保留了非私有GRPO约85%至90%的增益。
说明基于小指数哈希的简单极度有损函数
简介极度有损函数（ELF）是一种标准的模型原语，能刻画随机预言机的许多有用性质。此前所有构造都依赖于指数级困难的DDH（或k-Lin）假设，并通过固定规模敌手安全的ELF序列逐步自举。本文提出并构造了极度有损陷门哈希（ELTDH），一次性实现该更强概念，无需自举，因而比现有ELF更简单高效。
说明TranScope：软件隐藏的 LLM 训练数据信息，硬件在规模上暴露，加速器则放大这一信号
简介本文首次从周期级角度研究大语言模型和视觉 Transformer 与现代微架构组件（包括集成加速器）的交互，发现即使没有输入相关分支或动态优化，模型的训练数据也会影响其执行痕迹。作者指出分词步骤改变了页表访问模式和 TLB 状态，并据此提出 TranScope 工具，用于检测成员推断信息，其 AUC 高于此前报告的最佳结果。
说明Littlestone 类的差分隐私在线学习与预测：学习与预测的误判界限分离
简介该论文研究差分隐私在线学习与在线预测的误判上界与下界（假设为遗忘型可实现对抗者）。论文证明，在线学习需要发布假设，而在线预测只需做出预测，两者的样本复杂度在 Littlestone 维度有限的类中随时间跨度增长而分离。文中给出了私有在线学习的新下界，以及与时间 T 无关的私有预测上界。
看点提出私有在线学习的新下界并给出私有预测上界，证明两者样本复杂度存在随时间增长的分离，理论贡献显著。
说明通过随机嵌入扰动越狱开源权重大模型
简介该论文发现六种不同规模的常见开源权重大模型在JailbreakBench基准上存在安全漏洞，容易产生有害回复。作者提出的PEV方法只需在提示词的嵌入向量中加入独立高斯噪声并反复采样，无需梯度计算或修改模型内部权重。实验显示，获得首次成功攻击的平均计算成本比以往方法低一个数量级，且对所有测试模型和全部提示都能生成不安全回复。
说明黑洞辐射解码：Haar随机预言机模型下的查询下界
简介该论文在Haar随机预言机模型中证明了从黑洞辐射中恢复单个量子比特所需查询次数的最优下界：当剩余黑洞所含量子比特不超过系统的十六分之一时，要获得相对平凡解码的任何常数优势，所需查询数与剩余黑洞的希尔伯特空间维数成正比。作者还利用路径记录预言机，给出了高效可制备、统计上远离但计算上不可区分的（EFI）态对以及量子承诺的应用。
看点证明了在Haar随机预言机模型下黑洞辐射解码的最优查询下界，并改进到匹配已有解码器，结论较新且证明严格；对量子密码和复杂性理论有一定影响。
说明量子采样的紧致查询下界及其在认证随机性中的应用
简介该论文研究随机电路采样实验中线性交叉熵基准（XEB）得分高意味着什么，针对不可信的量子设备分析认证随机性。作者在量子查询模型中证明，诚实采样器的理想得分可作为高效设备的Tsirelson界。结果显示，要使得分超出理想值一个常数需要Ω(N^{1/3})次查询，且该界是紧的；对输出的平滑最小熵也给出了接近最优的下界。
看点证明了XEB高分对设备的约束：超过理想分需Ω(N^{1/3})查询且紧，并给出近最优的认证随机性熵界，证明严格、结论有新意。
说明差分隐私下对多个公开数据集进行混合，可提升隐私学习效果
简介论文提出首个在差分隐私下，为特定敏感下游任务私下学习多个公开数据集最佳混合比例的流程，核心做法是私下拟合一个低维线性模型。在NIH胸部X光数据集上，相比基线，宏平均AUC在不同隐私预算下最多提升0.037；在ENRON邮件数据集的语言建模任务中，相比基线混合方案，测试困惑度相对降低16%。
说明AI对网络攻防哪方更有利？基于未公开漏洞的实证研究
简介该研究评估了开源与闭源AI模型在五个未公开软件环境中生成漏洞利用、修复漏洞及后续攻击的能力，其中包括作者私下披露但仍未修补的漏洞。评分由研究人员开发并复核的确定性评分器完成，而非LLM裁判。研究发现，不同系统和漏洞类型之间差异明显；在两个环境中修复得分高于攻击得分，在另外三个环境中则低于攻击得分。此外，通过初始安全测试并不足够，在初始攻击被阻断后，另一次攻击在524个非独立防御测试区间中有92个成功。
说明用 FFT 乘法处理不算很大的整数：在大型现代乱序 ARM CPU 上寻找并推进交叉点
简介这篇论文研究在大型现代 ARM 处理器上，FFT 类乘法何时开始比传统方法快。作者在 Cortex-A76 和 Neoverse-N1 上的第一版实现显示交叉点约在 10k 位左右；第二版消除了额外的约减步骤，把交叉点推到 5.6k 位以下。作者还把这些乘法器集成进 OpenSSL 的 RSA，使公钥运算获得端到端加速。
说明GCTAuto-encoder：面向物联网网络安全漏洞检测的跨模态框架
简介本文提出一种名为 GCTAuto-encoder 的跨模态深度学习框架，用于在边缘端检测物联网网络中的入侵与安全缺陷，并结合云端物联网框架使用。作者将其与基线模型对比，在涵盖多种攻击场景的物联网入侵数据集上取得 0.908 的准确率，学习损失降至 0.00156，文中称其优于现有方法。
说明评估大语言模型对 Web 攻击载荷的语义理解能力
简介该论文指出，现有研究多把攻击载荷分析当作单层分类任务，缺少对语义理解深度的系统评估。作者构建了包含 240 条载荷的四层语义评估基准 PayloadSemBench，并在独立的 180 条记录数据集上做了外部复评。结果显示，类型识别与意图理解整体较强，严重性评估是主要弱项；混淆对不同模型与层级的影响不一，语义理解与检测决策也只是部分相关。
说明Terracotta：通过灵活的 DRAM 接口和内存控制器，降低新 DRAM 技术的部署门槛
简介该论文提出 Terracotta 框架，包含可由厂商自定义的命令扩展和可编程内存控制器，目的是减少每采用一种新 DRAM 技术都要修改接口和控制器的工作。在基于 DDR5 的系统上评估了四种技术，Terracotta 保留了定制实现超过 96% 的性能收益，同时只带来较低的能耗、面积和功耗开销。
看点提出可编程内存控制器与自定义命令扩展的统一框架，在四类DRAM技术上验证，保留超过96%的定制实现性能，但核心思路属于对已有技术的抽象整合。
