arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明利用量子第三方的抗共谋半量子秘密共享方案
简介该论文提出一种新的半量子秘密共享协议，参与者只具备经典能力，由具备量子能力的第三方协助分发秘密。作者指出，现有方案可能被量子第三方与恶意经典参与者合谋攻击，于是设计了可抵御共谋的方案。文中称其在多类内外部攻击下具有安全性，并与现有方案比较，在量子比特效率、经典发送者及抵御DCNA攻击方面有所改进。
说明拜占庭格协议：以 O(log f / log log f) 轮完成的简单协议
简介格协议（lattice agreement）是共识问题的放宽版本：正确进程的决定值不必相同，但需彼此可比较。本文提出 Join-IT，一个同步拜占庭格协议，容忍 f < n/3 个拜占庭进程，并在 O(log f / log log f) 轮内做出决定。该协议不使用任何密码学，其保证对计算能力无界的攻击者同样成立，并通过顺序组合 gradecast 与近似一致性两个经典原语实现。
看点通过组合已有原语打破O(log f)轮界限，理论改进显著；证明与复杂度分析支撑结论，对子领域有较大影响。
说明在通用群模型下可抽取的见证加密：一篇简短说明
简介本文指出Hair与Sahai最近提出的NP见证加密构造（满足语义安全）在通用群模型中是无条件可抽取的。因此无需假设SNARG的次指数级可靠性即可得到可抽取见证加密，这与Jin的工作形成对比。作者的结论也补充了Chen与Vaikuntanathan的并行工作，后者在知识型假设下证明了其公共掷币可抽取性。
说明基于大模型的漏洞修补基准测试可靠性研究
简介本文指出，当前用于评估大语言模型自动修补漏洞能力的基准测试可能严重扭曲结果，问题涉及智能体设置、框架执行和数据集设计三方面。作者整理了84个开源C/C++、Go和Rust项目中的112个历史漏洞，并为每个漏洞配备PoC测试、回归测试和开发者测试。实验显示模型在理想条件下PoC通过率较高，但开发者测试通过率仍较低且随新模型提升有限，因此作者提出了更严谨、可靠且可复现的评估指南。
说明PST多项式承诺方案可提取性说明
简介本文讨论PST多变量多项式承诺方案的可提取性。已有工作在可证伪假设下证明了其黑盒可提取性，但依赖较新的专门化假设。本文证明这些假设与原始ARSDH假设等价，并指出标准PST在GARSDH假设下可提取性证明中的一个缺陷。
说明BetweenCut：树结构中具有双对数误差的隐私重节点分类
简介该论文研究在树中找出计数超过给定阈值的“重节点”，这是分析结构化数据的基础步骤。在保证记录级差分隐私的前提下，作者提出 BetweenCut 算法，其加性误差为 O(log log h)（h 为树高），优于此前对深树给出的界。该误差对所有节点同时成立，且与输入数据库大小无关。
说明PrivTab：面向表格数据的可证明隐私分类基础模型
简介论文提出 PrivTab，一个用于差分隐私分类的表格基础模型，把隐私机制嵌入模型结构中。模型在模拟数据集上预训练，通过上下文学习把敏感数据行转换为紧凑且可证明隐私的摘要。原文称，在中等至强隐私条件下它优于私有线性与神经网络基线，成员推断泄露可忽略，并将数据集拟合时间缩短约 10,000 倍。
看点将差分隐私机制嵌入表格基础模型，用上下文学习实现单次前向传播的私有分类，新颖性较突出；实验覆盖与私有线性及神经网络基线对比，但摘要未给出数据集规模与基准细节。
说明哈希优于树：SGX 中实用的不经意字典
简介不经意随机访问存储（ORAM）能隐藏外包数据的内容和访问模式，但只提供数组式接口，构建高效的不经意字典较为困难。本文指出现有方案在 SGX 等可信执行环境中并非最优，并基于 Path ORAM 实现并分析了多种不经意概率哈希表方案。在 SGX 部署中，这些方案的查找和插入操作分别比不经意树快至多 20 倍和 12 倍。
说明先隐藏，后追溯：发证方隐藏型凭证中的事后归因机制
简介属性凭证可让用户证明所持属性而不泄露多余信息，但验证时会暴露发证方身份。该论文提出一种发证方检查机制：检查机构可释放密钥，使验证方能在本地识别某一被攻陷发证方在特定时段内的出示记录，同时不影响其他发证方或其他时段。论文给出了形式化定义、通用构造以及基于双线性配对的具体实例，并分析认为其计算与通信开销对现实参数是可行的。
说明定义目的受限的秘密：一种区分能力与用途的密码学框架
简介该论文提出把密码秘密的“用途”作为秘密本身的属性来定义。作者区分了三种约束机制：约束（越界操作不可行）、中介（可信组件拒绝越界操作）和问责（越界可行但归因于持有者），并给出相应的安全博弈。文中以一个支付令牌为例，展示三种机制如何同时作用于同一秘密，并给出其安全性归约的条件。
说明隐私的代价：基于图的多秘密共享所需随机性复杂度
简介本文研究在由图连接的参与方之间共享可能相关的秘密比特时所需的随机性。发送方把份额放在图的边上，使每个参与方能由其相邻份额恢复自己的秘密，且除自身秘密所揭示的信息外不了解其他秘密。此前已完全确定三个二元秘密所需的最小随机性，本文将其推广到四个秘密以及任意数量秘密的一般图上。
说明通过LLM路由元数据泄露敏感话题：测量与缓解
简介大语言模型路由器会根据请求内容选择便宜或昂贵的模型，即使内容日志关闭，路由选择本身仍可能被记录。论文在约170万条真实请求上测量了这一隐私泄露渠道，并调查了十一个系统的日志情况，同时测试了后处理防御方法。结果显示，不同类别和路由器的偏移方向并不一致，按类别进行长度匹配的均等化处理可消除真实流量中的差距。
说明CYBERFORT：面向中小企业落实《网络弹性法案》的合规链平台
简介本文介绍CYBERFORT，一个开源的以《网络弹性法案》（CRA）为核心的合规平台，由欧盟数字欧洲计划资助开发，帮助主要承担该法案义务的中小企业完成范围自评、问题核对和合规检查。平台的核心是合规链，把每项产品风险经由控制措施和政策连接到相应的CRA义务，并进一步连接到证据、技术文档和欧盟符合性声明。文中还报告了一个针对SIEM/XDR产品的端到端案例研究结果，平台已在第一批43家机构中部署，有效性研究仍在进行中。
说明基于 NeMo-Guardrails 代理的 SIEM/XDR 受限动作 AI 处置方案
简介论文针对安全运营中心用大语言模型自动处置告警可能被对抗性告警诱导执行危险操作的风险，提出双层受限动作架构：SIEM/XDR 控制平面将处置限定在封闭的意图词表内，并由 NeMo-Guardrails 代理对模型输入输出加以防护。在公开的对抗语料上，该代理将注入检出率从 25.0% 提升至 94.5%，误报率为 0.1%。作者称该架构适合关键基础设施场景，但尚未在工控系统中实际部署验证。
说明AI安全中的防御充分性：基于斯塔克尔伯格模型的研究
简介本文研究AI系统通过自动化测试、人工红队和事件响应发现漏洞并加以修复，从而增强防御的过程。作者证明在若干条件下，有限攻击面最终可被完全防御，并给出完成时间界限，还将分析扩展到不断增长的攻击面及多种发现机制。文章还构建了防御方领导的斯塔克尔伯格博弈，分析防御方在主动发现与被动修复上的最低成本投入及均衡情形。
说明隐私的代价：基于图的多秘密共享所需随机性复杂度
简介本文研究在由图相连的参与方之间共享可能相关的秘密比特时所需的随机性。分发者把份额放在图的边上，每个参与方只能从自身关联的份额恢复自己的秘密，且除了自身秘密所揭示的内容外，不能获知其他秘密。文章在已知三个二元秘密的最小随机性结果基础上，扩展到四个秘密以及任意数量秘密的一般图情形。
说明边缘物联网安全的混合分层运行时验证：结合MonPoly与RTLola
简介该论文针对边缘物联网设备集群的安全监控问题，提出三层分层运行时验证框架：边缘层实时分类事件，网关层汇总短时间窗口内的设备行为，云端层使用MonPoly与RTLola两个互补引擎分别检测跨设备协同攻击及设备静默型攻击。在15个节点的Docker测试平台上，框架在受控实验中对多种攻击场景进行了评估，其中RTLola能发现事件触发引擎遗漏的静默绕过行为。
说明循环深度下的安全性：循环语言模型中跨递归深度的安全对齐
简介本文研究循环语言模型（LoopLM）在不同递归深度下的安全性。作者发现越深的推理深度下，越狱攻击成功率可能上升，同一问题在不同深度的安全表现也不一致，针对某一深度构造的攻击还能迁移到其他深度。作者提出SafeBridge方法，通过分深度控制、选择性状态桥接和跨深度联合安全监督，降低了攻击成功率，并保持了通用能力和相近的过度拒答水平。
说明边缘物联网的分层安全监控：一种形式化方法
简介本文提出一个轻量级分层安全监控框架，基于形式化运行时验证方法，用于边缘物联网部署。边缘设备运行 TeSSLa 流规范，按聚合窗口输出四值判定；网关运行参数化一阶 MonPoly 监控器，检测单个节点无法发现的协同攻击。文中在容器主机测试平台上评估了四类攻击，并讨论了增加监控层级时成本与覆盖范围之间的权衡。
说明面向工具调用型大模型智能体的形式化运行时验证：基于 AgentDojo 与 STAC 的离线同基准研究
简介本文用度量一阶时序逻辑（MFOTL）对 AgentDojo、STAC 和 R-Judge 中已记录的智能体轨迹进行离线回放检测，不运行智能体。结果显示，五条通用义务能标记约71.8%的STAC攻击链和70.1%的成功AgentDojo攻击，但也会误触29.3%的良性运行，误报主要源于数据集缺少审批与时间戳记录。作者还指出，溯源感知策略效果更好，但溯源信息本身可被篡改，并提出将溯源绑定到其生成查询的方法，以及一个包含十二个字段的可执行轨迹模式。
说明面向联邦学习、可抗掉线且可验证的后量子安全聚合方案
简介本文提出 PQ-DVSA，一种用于联邦学习的可验证安全聚合方案，可抵抗量子计算攻击，并能在客户端掉线后恢复有效客户端的聚合掩码。该方案同时保护客户端本地模型更新和聚合权重，客户端可在有限共谋假设下验证服务器的聚合结果。实验显示其学习性能与精确加权聚合相当，客户端加密提交的运行时间相比最接近的已有方案 SWAS 最多减少 96%。
说明利用截断蒙哥马利技术加速PMNS多精度乘法
简介本文研究多项式模数系统（PMNS）在大素数域运算中的优化。作者先提出一种比现有Toeplitz方案更省内存、乘法复杂度更低的PMNS教科书式软件实现；随后借鉴截断蒙哥马利约减思想改进内部约减。在使用AVX512指令集、模数达8192位的情况下，模乘速度相比常规方法提升最多15%。
说明可证明地识别作弊者的轮次最优多方安全计算
简介该论文研究带可证明可识别选择性中止（PISA）的安全多方计算，即诚实方要么得到输出，要么获得能说服外部审计者的作弊证据，且诚实方之间无需达成一致。作者确定了多数阈值下的轮次复杂度：t≥n/3时两轮不可能实现；任意t<n/2可用三轮协议，因而在n/3≤t<n/2时最优；t<n/4时给出两轮协议，并引入了带遗漏的“二选一或无”秘密共享这一新原语。
看点证明两轮在t≥n/3时不可能，并给出三轮及两轮协议，全面解决多数阈值下的轮复杂度，改进已知六轮构造。
说明带作弊者识别的公平高效辅助方 MPC 协议
简介本文提出两种辅助方式的安全多方计算协议 Alhena（同步网络）和 Wasat（异步网络），在存在恶意方时仍能保证可识别的公平性：要么所有参与方获得输出，要么在中止时无人获得输出，且诚实方能识别至少一名共同作弊者。实验显示，在线阶段相比已有协议分别快 4–12.5 倍和 2.5–5 倍，Wasat 的预处理阶段约快 3 倍，且在线性能不受主动作弊影响。
说明信任少数假设：协议所需的最弱假设
简介该论文研究安全协议在满足安全目标时最少需要依赖哪些信任假设（如密钥、数值、信道）。作者给出了这些最弱假设的刻画，并提出一个借助验证器迭代求解的方法。在18个目标和10个协议及其变体上，该方法得到的结果与对所有信任组合逐一评估的结果一致。
说明用于真实恶意软件信标数据无监督异常检测的帕累托最优量子核选择
简介该论文提出一种完全无监督的多目标方法，同时优化无标签代理指标归一化伪差异（NPD）与相对经典参考核的几何差异（GD），并从帕累托前沿中选取模型。研究在真实网络流量的恶意软件信标检测任务上，使用单类支持向量机和多种量子核进行验证，包括在IQM 20量子比特Garnet处理器上的实验。结果显示，NPD选出的保真度核AUC为0.840，优于调优后的经典基线（0.765），但几何差异较小，不足以证明其优势来自量子。帕累托选出的投影量子核AUC为0.782，几何差异较大，但提升有限。
说明针对视觉-语言-动作模型的黑盒对抗贴片攻击：利用祖先视觉语言模型
简介本文研究视觉-语言-动作模型（VLA）的对抗鲁棒性。作者发现多数VLA由公开的预训练视觉语言模型（VLM）改造而来，可能继承其视觉感知与指令定位能力及相应漏洞。论文提出三种对抗贴片攻击，并在仿真和静态真实图像上验证：仅利用祖先VLM优化的贴片能显著降低部分VLA的任务成功率，但效果并非均匀，在依赖精确指令定位的任务上最强。
说明理解并缓解视觉语言模型中Token剪枝带来的安全漏洞
简介本文首次系统评估了视觉语言模型中Token剪枝机制的安全影响。研究发现，多数剪枝策略随剪枝比例升高会显著降低安全性，而基于查询的压缩方法在极高剪枝率下反而提升了安全性。作者提出安全感知剪枝（SAP）方法，在推理阶段即插即用，通过识别恶意锚点、恢复被剪除的良性Token并重新分配注意力来缓解该问题，在多个基准上最高降低62%的攻击成功率且不影响效率与效用。
说明汽车硬件攻击：面向架构师的 TARA 指南
简介本文指出 ISO/SAE 21434 标准中的威胁分析与风险评估（TARA）对实现层面的硬件攻击处理不一致，部分方法会把需要物理接触的攻击路径一律评为极低可行性。作者提出硬件感知的 TARA 扩展，涵盖侧信道分析、故障注入攻击以及调试和测试接口滥用，并以参考网关架构进行应用。在所考察的十项已发表汽车组件攻击研究中，有七项攻击涉及调试、编程、启动、诊断或更新机制，只有四项涉及对加密运算的攻击。
说明当AI发现隐藏信息时，它会汇报吗？
简介本文研究AI助手在处理任务时遇到写给其他AI的消息，是否会告知用户。研究在四种固定模型部署上进行了1280次普通笔记和128次增强笔记的模拟会话，比较明文与ROT13编码的无害和有害消息，并设置无消息对照。结果显示，要求汇报会使识别另一AI为接收者的通知率明显上升，但存在部分遗漏，且解读、通知与授权任务完成是三种不同结果。
说明随机分配 DP-SGD 的闭式噪声校准：抵御成员推断攻击的上界
简介本文研究采用随机分配的 DP-SGD（差分隐私随机梯度下降）训练方法，每个训练轮次中每条记录在随机步骤使用一次。作者给出一个单行闭式公式，用于界定任何成员推断攻击（MIA）在训练模型上的准确率上限，并据此直接计算噪声倍数 σ，耗时约一微秒。实验显示，该公式在适用范围内所需噪声约为现有最优闭式界的一半，且训练所得模型的测试准确率与已发表的隐私会计方法相当，MIA 结果也低于该上界。
看点给出随机分配DP-SGD下成员推断攻击准确率的闭式上界，并推导精确表达式，较已有闭式界显著减噪，证据包括数值评估和训练实验。
说明全局量子比特预算下量子CHAM密钥搜索的中间值保留选择
简介该论文研究量子CHAM-128/128密码的密钥搜索，针对80轮和修订后的112轮两种设置。作者提出在固定逻辑量子比特总预算下，联合选择保留的轮加数、并行搜索工作单元数量及执行方案，以最小化最大逻辑深度。与仅允许完全不保留或完全保留的基线相比，在654种条件下平均深度降低11.12%和8.39%，并讨论了结论适用的前提。
说明仅凭公钥对 Origami 签名方案实施的通用伪造攻击
简介Origami 是提交至 NGCC 第一轮公钥征集的多变量签名方案。本文指出其双线性构造实质上是中心映射暴露的 Rainbow 型方案，公钥即可推导出等价私钥，从而以约一次验证的代价伪造签名。作者称该攻击对未修改的参考实现及四组参数和官方测试向量均有效，并认为原安全证明中的求逆假设在特定模型下不成立。
看点发现提交方案实为可恢复中心映射的Rainbow型结构，并给出普遍伪造攻击，对已有安全证明形成直接反例，实验覆盖四组参数与官方测试向量。
说明MRCert：基于类型专属掩码的对抗补丁样本部署后补丁鲁棒性认证
简介该论文针对深度学习模型部署后可能遭遇的对抗补丁输入，提出了一种基于掩码的可认证恢复防御方法MRCert。它为良性样本与对抗补丁样本分别推断类型专属的必要性质，并通过新的标签恢复与认证函数配对设计验证返回标签的良性。在ImageNet、补丁大小16像素的设置下，MRCert的对抗认证准确率为35.1%，而当前最优方法PatchCURE则完全失效。
看点提出首个基于掩码的认证恢复防御，通过类型特定设计同时保证准确率与标签良性验证；在ImageNet上以35.1%认证准确率显著超越SOTA。
说明路由信息可能泄露训练数据成员身份：MoE 路由遥测的隐私风险
简介该论文研究混合专家（MoE）语言模型在推理时产生的路由信息是否会泄露某条样本是否用于微调模型。作者提出结合输出信号与路由特征的成员推断攻击，在三种 MoE 架构和三个数据领域的九组设置中，相比强输出信号基线，路由遥测使 1% FPR 下的 TPR 提高 2.7 至 9.4 个百分点。研究发现即使路由参数冻结，泄露仍然存在，扰动遥测只能在保真度下降时减少这种泄露。
说明答案正确，结论却缺乏依据：LLM智能体日志取证重建中的证据绑定问题
简介本文研究如何对大语言模型智能体的行为进行取证重建，强调不仅要恢复正确的数值，还要说明哪条保存的记录支持该结论。作者使用AgentDojo Banking中64个可机械核查的案例，比较两种读取器在引用标识与记录绑定不同条件下的表现。结果显示，缺少显式绑定时，模型虽然找到了正确答案，却常做出无依据的引用—来源断言，因此仅凭事实一致性不足以评估取证重建。
说明超越 FAIR：可持续研究软件的适应度函数框架
简介本文指出，仅用 FAIR 原则（可发现、可访问、可互操作、可重用）评估研究软件的可持续性并不全面。作者在此前提出的适应度函数框架基础上，新增环境类函数（关注资源效率与执行开销）和安全类函数（关注依赖健康、漏洞暴露与安全配置），用于持续评估软件。该框架将研究软件的可持续性视为包含 FAIR、环境责任与长期安全在内的多维属性。
说明用于车内网络异常检测的时序Transformer CAN编码器与联邦轻量头
简介本文针对车载CAN总线中细微的时序与内容异常，提出一种兼顾隐私的检测框架。框架使用轻量Transformer编码器学习信号随时间的变化，并通过联邦学习让多辆车或多个ECU共同改进模型，而无需交换原始CAN数据。作者称在开源数据集上的实验显示该方法在保持效率与隐私的同时具有稳健的检测效果。
说明PyCache陷阱：智能体技能扫描器中的检查与执行差距
简介论文指出，智能体技能扫描器只检查文档和可见源码，而Python可能执行随包附带的字节码缓存，行为不同。作者提出PyCache陷阱攻击，用替换的缓存配合良性源码绕过检查，在100个技能、七种扫描器上攻击成功率为94%至100%。作者还提出执行感知验证方法（EAV），检测了全部100个替换样本，在200个良性技能上以10.0%误报率达到92.8%召回率。
看点揭示了技能扫描器检查源码与执行字节码缓存之间的差距，提出执行感知验证方法；在100个技能和七个扫描器上验证，攻击成功率94-100%，并给出92.8%召回率的检测结果。
说明MARS：基于规则评分的大语言模型恶意软件分析框架
简介本文提出MARS框架，用大语言模型对PE和ELF恶意软件进行分诊，比较了直接分类与基于外部策略评分的声明路径。在1195个样本、六个模型上的评估显示，直接分类在准确率和恶意告警召回率上总体更优，且声明保留便于不重新调用模型即可修订策略。
说明宪法引导的水印：按规则为不同请求配置语言模型文本水印
简介该论文针对欧盟《人工智能法案》要求对生成文本加注机器可读标记的规定，提出“宪法引导水印”方法：服务提供方用自然语言写下水印规则，由推理代理离线依据检测、质量和抗改写能力的实测结果调整每条规则的水印配置，部署时按规则为每个请求分配配置。在KGW水印上的评估显示，该方法在易被滥用的请求上比固定配置和随机搜索检测出更多改写后的文本，并对所有编辑类请求不加水印。
说明将有界共谋安全提升为完全安全的配对加密方案
简介该论文提出一种通用方法，把基于配对（pairing）的加密方案从有界共谋安全升级为完全安全。作者将其应用于批量基于身份加密和多授权方属性加密两类场景，并在通用双线性群模型下给出相应构造。
看点提出通用方法将有界共谋安全的配对加密升级为完全安全，并首次实现无标签限制的配对批量IBE及黑盒使用群的多授权ABE，理论证明充分。
说明Secure-CUA：控制计算机使用智能体中不可信内容的影响
简介该论文研究能通过图形界面执行点击、键入等操作的计算机使用智能体（CUA），指出界面中的不可信内容可能嵌入指令或误导性视觉提示，改变智能体动作或使其命令指向错误目标。作者提出Secure-CUA系统，在访问不可信内容前为每个动作生成显式的“动作事务”，固定查询及其响应用途，遮蔽不可信区域并由隔离的查询模型作答。在400个WebArena任务上的评估显示，其平均成功率为53.55%，与Vanilla-CUA的55.12%接近，明显高于CaMeL-CUA的13.17%。
说明利用球面码加速可证明正确的格筛法
简介本文研究格中的 μ-SVP 问题，即在格中找到一个近似最短非零向量（μ 为大于 1 的常数近似因子）。作者提出一种新的筛法算法，结合了快速启发式筛法中的最近邻子程序与可证明正确的筛法中的扰动论证，并证明了其正确性。该算法的运行时间取决于球面码的最大规模，在关于其规模的合理假设下，对于较大的常数 μ，时间约为 2^{0.3066n}。
看点结合启发式筛法的快速最近邻子程序与可证明正确的扰动论证，将可证明算法的运行时间大幅降低，但依赖球面码大小的假设。
说明从调查失误到可靠的SOC智能体：理解并改进基于大模型的告警分诊
简介安全运营中心需要处理大量告警，其中多数是良性的，但漏掉的攻击可能未被调查。本文研究了五种使用工具的大模型智能体推理策略，并构建了交互式基准ALERT-BENCH，用实时SIEM回放企业遥测数据。作者进一步提出多智能体框架AIDA，要求先给出明确决策并接受独立质疑，再由裁决模块依据证据判定；在同一批告警上，AIDA的F1为0.958，漏报率从40.4%降至3.1%。
说明《Ask the Expert：面向自主网络防御的LLM引导强化学习》：用大模型指导训练，部署时不依赖大模型
简介该论文提出一种训练阶段的指导框架，用于自主网络防御。框架先概括困难的网络防御状态，间歇性地向大语言模型（LLM）请求主机级防御建议，并将建议转化为分层奖励塑形，用于PPO训练。训练结束后LLM被弃用，部署时仅是纯强化学习策略。在TTCP CAGE CC1和CC2两类场景及两种攻击者类型上，该方法的样本效率优于PPO和所评估的基于势函数的奖励塑形（PBRS）基线。
说明通过规则文件提示注入对编程智能体发起的依赖包幻觉攻击
简介论文指出，编程智能体常依赖社区共享的规则文件（如 AGENTS.md、.cursorrules），但这一流程的安全风险研究不足。作者提出“依赖包幻觉攻击”，即在良性规则文件中注入恶意提示，诱使智能体用攻击者控制的包替换合法依赖。作者还提出进化优化框架 PackHallu，利用轨迹级反馈和大语言模型引导的变异迭代改写注入提示。实验显示该方法攻击成功率高，并能在不同模型和智能体组合间迁移。
说明对抗图像劫持网页智能体：从视觉定位到浏览器执行
简介该论文针对基于视觉语言模型的网页智能体，提出端到端的红队测试框架 WebMirage。它通过在不同网页渲染下添加局部视觉扰动，使智能体选中攻击者控制的内容并执行相应浏览器操作。在 2,250 个任务上的评估显示，平均攻击成功率为 91.9%，高于最强基线的 17.4%，并且对三种智能体级防御仍然有效。
看点将视觉对抗攻击扩展到从视觉定位到浏览器执行的端到端链路，并用角色槽与数据流分析建模；在2250个任务上平均成功率91.9%，对比最强基线17.4%，证据充分。
说明分布式集体侦察的黑盒检测：单个看似良性的智能体群体
简介该论文提出“分布式集体侦察”（DCR）威胁：自主智能体把侦察任务分散到大量身份上，每个请求单独看似合法、速率低，但整体可获取广泛的系统信息。作者提出可复现的黑盒基准SwarmReconGuard，防御方仅观察服务边界的遥测数据。实验比较了多种检测器，高斯似然比方法对已知攻击检测率为100%，但对未见策略仅为3%，并指出策略泛化存在明显缺口。
说明可认证的篡改预算：自适应操纵下有效随时的排行榜结论
简介公开的AI模型排行榜会被持续查看，攻击者也能看到每次公布的排名，因此投票操纵、选择性披露私有变体等手段都可能改变排名。本文提出“可认证篡改预算”，在每个两两比较结论后公布一个容忍值，使结论在任意时刻以至少1−α的概率正确，或被篡改的记录数超过该预算。论文在1.8百万条Chatbot Arena投票的回放中，显示标准置信区间会被数百条操纵投票误导，而本文方法仍保持有效。
看点提出可任意时刻有效的腐败预算证书，针对自适应攻击给出严格保证，并证明了接近最优的增长速率，较已有方法有实质推进。
说明量子随机预言机模型中的量子时间锁谜题
简介时间锁谜题允许发送者把消息隐藏在一个谜题中，即使允许并行计算，解开它也需要远超生成时间的顺序计算。经典随机预言机模型中已知这类谜题不可能存在。本文提出量子时间锁谜题，谜题本身是量子态，并在量子随机预言机模型中给出构造：生成需一轮预言机查询，求解至多 T 轮，并对深度为 o(T) 的多项式宽度量子攻击者保持安全，从而解决了 Mahmoody、Moran 与 Vadhan（2011）提出的一个开放问题。
说明开源大模型对非常规输入的四态安全评估
简介本文提出对抗表面形式鲁棒性数据集（ASRD），含2100条提示，涵盖七类表情符号、拼写变形、编码等输入形式。研究评估了五个开源权重大模型共10500条回复，并用四态评分标准将结果分为有害顺从、安全回应、理解失败和不确定。结果显示，表情符号与不可见Unicode变体几乎不造成理解失败，而编码外壳等形式的理解失败率显著升高。
说明后量子迁移的延迟成本：将经典风险与“现在截获、以后解密”风险置于同一排序列表
简介本文提出用“每年延迟成本”（货币单位/年）统一比较经典风险与后量子迁移风险，以便组织决定资产迁移顺序。量子项衡量推迟迁移导致“现在截获、以后解密”不可逆损失的速率，并用竞争风险因子避免重复计算。作者在四个公开系统上以假设参数做了示例，并通过模拟与数值积分验证实现，结果为说明性质，未与实际结果对照。
说明视觉记忆攻击可穿透KV缓存持续生效
简介该论文研究对抗性图像在被从上下文中移除后，能否继续影响语言模型。作者提出持久视觉记忆注入（P-VMI）方法，优化图像使其在被注意力屏蔽后仍能维持攻击行为，在Qwen3-VL-8B-Instruct上最高达到约90%的目标成功率。实验表明，影响来源于KV缓存，且攻击在压缩摘要保留缓存的情况下仍可存续。
说明TwinGuard-Lite：面向生成式患者数字孪生的基于规则的状态准入网关
简介论文提出 TwinGuard-Lite，一个基于规则的网关，只有通过来源核验、矛盾检测和患者命名空间检查的更新才能写入患者数字孪生的持久状态。作者在基于 eICU 公开数据库构建的半合成数据上测试三类攻击，结果显示完整网关的精确率为 99.1%、召回率为 90.5%。论文强调这是机制层面的概念验证，并非临床安全措施。
说明Sigma-Hunter：面向威胁狩猎与检测工程的领域专用语言模型
简介该论文提出Sigma-Hunter，一个针对Sigma检测规则生成与威胁狩猎优化的大语言模型。研究基于3,635条经验证的开源Sigma规则构建指令微调数据，并用LoRA微调7B的Mistral与Phi-4模型。结果显示，微调后的Sigma-Hunter-Mistral综合得分优于最强的通用基线模型，且论文指出语法正确并不等同于检测逻辑质量。
说明移除信息并不能证明开放权重模型具有抗篡改能力
简介该论文探讨：从开放权重模型中移除有害信息，是否就能抵御微调攻击。作者指出，仅凭发布时的互信息无法普遍证明模型能抵抗缓慢恢复，因为功能保持的参数重写会改变梯度下降的几何结构。论文给出一个显式构造，其两项信息量均为零，却只需一步梯度即可恢复，并通过受控实验说明恢复速度依赖训练顺序与参数化方式。
看点证明互信息无法单独认证开放权重模型抗微调攻击，并给出零信息却一步恢复的构造，理论新颖；实验仅为受控演示。
说明设备端语言模型的安全性有多脆弱？定位关键参数以进行稀疏故障分析
简介该论文研究小型语言模型（LLaMA-2-7B-Chat）的安全相关行为是否集中在少量参数中。作者使用两种定位方法，发现 MLP down_proj 层是突出的安全敏感组件。仅修改 down_proj 中 0.19% 的权重，就使基本攻击成功率达到 53%、GCG 攻击成功率达到 56%，而 tinyBenchmarks 准确率仅从 52.2% 降至 51.6%。作者认为这为资源受限、设备端和智能体场景中的定向故障分析与选择性完整性保护提供了依据。
说明ASPIRE：面向智能体的安全与提示注入红队测试引擎
简介论文提出 ASPIRE，一个用于发现大语言模型智能体潜在安全漏洞的自动化红队测试引擎。它通过不断演化的智能体安全行为图，结合探索与利用两类专家，发现、验证并推广以后果为中心的测试用例，并利用轨迹证据诊断失败尝试、在多次运行间迁移有效策略。实验显示，ASPIRE 在后果类型、注入方式、环境和行为路径等方面显著扩大了覆盖范围，同时保持较高的攻击成功率。
说明面向基于大语言模型自主智能体的仿真式验证与确认的多维运行时验证
简介论文提出一种多维运行时验证框架，把自然语言形式的政策条款拆分为空间、时间和语义三个维度分别检查，再融合判定结果。在三个任务场景的仿真实验中，组合式检查将攻击成功率降至零，且未观察到误报，单个维度或两两组合则仍有相当比例的攻击成功。
说明面向时间关键型自主行动的任务感知证明封装：硬件在环车联网（V2I）研究
简介本文提出一种运行时保证契约，把完整性证明、证据新鲜度与决策时限结合起来，用于判定自主系统的特权物理动作是否获准。研究在硬件在环车路协同平台上评估该方法：驾驶模拟器提供物理状态与授权时限，车载微控制器与基于TPM的路侧单元提供证明证据。文中指出，证明间隔与新鲜度上限不能仅由安全需求单独确定。
说明BARE-AI：通过内置性能监视器提升AI硬件对比特翻转攻击的抵抗力
简介该论文针对深度神经网络在推理时易受比特翻转攻击（BFA）的问题，提出名为BARE-AI的运行时框架，用于检测、定位并缓解此类攻击。框架在加速器中加入轻量级硬件监视器，采集各层激活统计量，并由经离线训练的紧凑检测器分析；同时提出激活偏移指数用于定位故障，并通过基于z分数的修复恢复异常权重。论文报告其在视觉模型上检测准确率最高达98%，在语言模型上为74%至95%，并在28nm工艺下的开销较低。
说明NIST第三轮格密码候选方案的可证明次指数算法
简介本文针对NIST第三轮格密码候选方案相关的一系列参数族，给出可证明的经典次指数级秘密恢复算法，涵盖Kyber/ML-KEM、FrodoKEM、SABER、NTRU LPRime和Dilithium/ML-DSA等。作者基于高斯采样框架和低误差判定LWE算法构造方法，并针对NTRU类商关系设计仿射子空间搜索。论文指出，这些复杂度结果并不意味着当前规定参数集的具体安全性有所降低。
看点提出对多个NIST格密码候选的亚指数级可证明算法，新颖性较高；但摘要未给出实验验证，证据主要依赖理论界，且声明对当前参数无实际安全降低。
说明面向大语言模型的安全推测解码
简介推测解码先用小型草稿模型生成候选词元，再由目标大模型验证接受或拒绝，以加速推理。本文首次系统研究其安全影响，发现效率提升伴随的安全代价远高于效用损失，越狱与提示注入攻击的成功率上升更快。作者据此提出SecureSD方法，对草稿模型前期生成的词元采用更严格的验证标准，在保持效率与效用的同时提升安全性。
看点首次系统研究推测解码的安全影响，并提出理论指导的SecureSD方法，大规模测量与广泛实验支撑结论，影响面较广。
说明语义行为水印：面向LLM智能体、可抵抗改写与伪造的溯源方法
简介本文提出语义行为水印（SBW），在智能体的高层动作选择中嵌入所有者标识，而不修改输出文本。它将水印绑定到语义动作簇而非精确动作符号，并用带密钥的抗碰撞分箱防止伪造。在五个智能体模型和两个基准上的实验显示，改写后的检测率显著高于既有方法；文中也指出，攻击者复制受害者步骤的链式重放仍是未解决的边界。
看点将水印从精确动作符号提升到语义动作簇并引入可证明不可预测的密钥分箱，针对伪造问题有新意；在五个模型与两个基准上做了对比，但重放攻击仍未解决。
说明SkrrtPIR：基于单密钥 RLWE 解包的双无状态批量隐私信息检索
简介本文研究双无状态批量隐私信息检索（Batch PIR），即服务器不保存每个客户端的状态，客户端也不维护依赖数据库的提示。作者提出一种通信高效的方案，相比直接为每批查询重新发送评估密钥的基线方法，通信开销显著降低。其核心是一种单密钥 RLWE 解包流程，用沿循环 Galois 子群的线性遍历取代传统的树形方法，只需一个 Galois 密钥。
说明第三方云安全发现结果的环境语境化评估
简介论文指出，第三方云安全扫描给出的风险等级是固定的，不考虑具体环境。作者提出语境化方法，由深度研究代理结合资源状态、图谱邻域和其他产品信号，重新评估每个发现的严重性并给出证据链。在八个真实生产环境中对9967条高危发现的实地研究显示，约四分之三的发现被重新定级，多数被下调，且关键证据约一半位于被标记资源之外。
说明TwinViT-DeepJSCC：对抗鲁棒的语义图像通信
简介该论文提出 TwinViT-DeepJSCC，一种在固定信道使用预算下工作的语义图像收发框架，用于抵御语义编码前或无线信道中引入的对抗扰动。发送端用两个基于视觉 Transformer 的分支学习互补的潜在表示，并通过敏感度感知掩码进行保护；接收端结合置信度感知融合、盲式损坏程度估计与 DDIM 净化。在 CIFAR-100 上的实验显示，在 PGD 攻击下 PSNR 最高提升约 9.5 dB，Top-1 准确率比无防御基线最多提升约 38 个百分点。
说明RAG-PIBench：面向可信RAG系统提示注入检测的防泄漏基准
简介检索增强生成（RAG）系统可能受到嵌入在检索内容中的提示注入攻击。本文提出RAG-PIBench基准，包含4,876个上下文样例，划分为冻结的训练、验证和受保护测试集。作者比较了关键词、语义参考、TF-IDF和基于Transformer的检测方法，其中DistilBERT在受保护测试集上表现最佳（F1为0.896，PR-AUC为0.968），TF-IDF SVM和逻辑回归也具竞争力。
说明双核 Xtensa 芯片上具备安全意识的后量子密码基准测试框架
简介本文针对智能电网边缘部署后量子密码的实时性问题，提出在 ESP32-S3（双核 Xtensa LX7，运行 FreeRTOS）上的硬件在环基准测试框架。框架将密码运算固定在一个核心上，并分析堆内存分配与外部 PSRAM 访问带来的开销模型，以帮助工程师在满足 IEC 61850 实时要求的前提下规划迁移路径。
