arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明Reverse-Bleichenbacher：Bleichenbacher 攻击重新变得可行
简介该论文提出 Reverse-Bleichenbacher，一种改进的 Bleichenbacher 填充预言攻击，它先恢复明文的低位字节并在拿到目标密钥后立即终止，从而减少所需查询次数。作者在 2048 位 RSA PKCS#1 v1.5 预言机上测得中位查询数由 11.428 降至 1801，并在单服务器条件下有 68.3% 的运行能在 30 秒内完成。论文还识别出 Tranco Top 1 Million 中的 640 个易受攻击域名，并演示了可能导致远程代码执行的软件更新注入。
看点提出从最低有效字节开始恢复的新型Bleichenbacher搜索，大幅减少查询次数，并在真实域名和软件分发通道上验证了端到端攻击影响。
说明在边缘 CPU 的可信执行环境中保护 AI 模型：WebAssembly 的潜力与实际挑战
简介论文研究如何在 Arm TrustZone 的 OP-TEE 可信执行环境中保护边缘设备上的 AI 模型知识产权。作者让未经修改、编译为 WebAssembly 的 AI 模型在 OP-TEE 中的 WAMR 运行，并提供加密分发工具，将密钥存放于设备熔丝中。评估显示，相比手动移植到 OP-TEE，该方案额外增加 22% 的开销，推理延迟增加 6%。
说明HPQ-AKE：面向带宽受限物联网与边缘网络的可证明安全的无签名混合认证密钥交换协议
简介该论文针对后量子迁移中物联网和边缘网络的认证开销问题，提出 HPQ-AKE 协议，用双 KEM 取代握手中的签名，结合 ML-KEM-768 与 RSA-OAEP 实现密钥交换与隐式双向认证，并在扩展的 Bellare-Rogaway 模型下给出安全性分析。作者报告，在 x86 测试平台上，模型化握手传输量相比混合 TLS 1.3 完整握手降低 56.4%，在模拟卫星链路下中位延迟低 31.4%。论文同时指出，ARM 网关和无硬件加速的微控制器上的性能尚未验证。
说明SDN 赋能电动汽车充电网络中的移动目标防御
简介该论文针对采用软件定义网络（SDN）的电动汽车充电基础设施，提出名为 CS-SHIELD 的移动目标防御机制。它通过跨层身份验证检测恶意流表规则，并为所有活动充电桩重新分配虚拟 IP 地址。在搭载真实充电协议的仿真测试平台上，该机制在攻击下仍保持场站可用性，响应迅速，且正常情况下的额外延迟可忽略。
说明企业安全大脑的组织上下文：为智能体补充人员掌握的业务知识
简介本文指出，安全智能体判断资产时还需要组织层面的知识，例如归属人、业务职能、适用政策和已接受风险，而这些多数记录在政策、审计报告、架构图和工单中，不在机器状态里。作者提出组织上下文层、相应的分类法与数据模型，并在包含 AWS、Okta、Google Workspace 和 GitHub 的生产环境中评估抽取与推理效果。
说明从公开帖文到 AI 搜索引用：衡量 AI 搜索的脆弱性
简介该论文研究 AI 搜索平台如何选择并引用网页来源。作者分析了 10 个平台共 17,211 条引用，发现引用高度集中于特定来源域名，且许多相关发布平台门槛较低。实验显示，在偏好平台上的普通发布内容可在七天内被 8 个平台引用，一项商业服务也能在一小时内促成引用。
看点提出AI搜索引用中的低门槛发布路径并用跨平台引用映射与标记实验验证，10个平台、17211条引用，证据充分，影响安全研究与GEO实践。
说明面向检索增强生成系统的安全元模型
简介本文提出一个安全元模型，用于梳理检索增强生成（RAG）系统中各环节、攻击、弱点、风险与机密性、完整性、可用性（CIA）影响之间的因果关系。作者基于2023至2026年间43篇文献的结构化分析构建目录，并提供可按部署配置筛选风险的功能及交互式可视化工具。研究发现攻击研究多于防御研究，威胁集中在数据摄入阶段，输出完整性存在覆盖缺口。
说明无单位根的指数域快速多项式运算
简介本文针对离散对数难解的群中、在群元素指数上进行的多项式运算，提出无需单位根即可保持傅里叶变换拟线性复杂度的算法。作者构建了群系数多项式的代数形式体系，并借鉴Schönhage-Strassen算法设计方法，其速度约为NTT的一半，但不要求群阶具备任何算术性质。文中还说明该方法可用于批量KZG承诺证明及电子投票中的Bayer-Groth可验证混合网络。
说明面向多厂商FPGA云部署的带身份认证聚合加密方案（SAEID）
简介本文提出SAEID框架，用于异构多厂商云环境中FPGA比特流的安全部署，将聚合授权、无证书的基于身份设备认证以及比特流验证整合在基于配对的密码体系中，并用AES-256-GCM保护比特流。SAEID在AgEID基础上扩展，支持多家FPGA厂商与IP提供者、能力感知授权和动态设备成员管理。实验显示设备身份认证约4.35毫秒完成，在ZC702平台上的完整软件解密路径耗时191.126毫秒。
说明指数选择机制中的局部敏感度：失效模式与有效校准
简介本文研究在差分隐私的私有选择任务中，何时可以用依赖数据集的敏感度替代全局敏感度。作者提出三类有效方法：私有的局部敏感度高概率上界、用于搜索温度参数的 Propose-Test-Release 变体，以及基于平滑敏感度的若干设计。文中为每种机制给出了在相应条件下的高概率遗憾界。
说明SemField：一种简单、线性、连续且稳健的语义水印
简介该论文提出SemField，一种免训练的语义水印方法，用于标识大语言模型生成的文本。它用共享密钥确定一个高斯方向，在句子嵌入空间中嵌入连续线性信号，并逐句选择使文档累积向量与该方向对齐的候选句。论文还提出极性锁定变体SemField-PL，在四种改写攻击下，两种变体在1%误报率下的平均真阳性率为88.2%至90.4%，且困惑度与自然度与人类文本相当。
说明可随时有效的大模型权重外泄检测方法
简介该论文针对被入侵的大模型推理服务器可能把模型权重编码进看似正常的token选择中进行外泄的问题，提出一种提示级e-process检测方法。它利用可信良性流量校准整段回复的不一致事件，并在多次回复间顺序累积证据，在假设校准可迁移的前提下，控制无限监测时长内的误报概率。作者在四个模型上评估了该方法，并分析了信道容量与可检测性之间的权衡。
说明僵尸网络传播的主机攻击图
简介本文提出了主机攻击图（Host Attack Graph）模型，并设计了两种僵尸网络传播策略。作者在不同网络拓扑、目标选择和攻击策略下，研究这些策略随时间变化的传播效果。模拟结果表明，除策略和僵尸网络规模外，网络拓扑和目标选择对传播也很重要，不应轻易忽略。
说明LTBD：用于提示注入防御的可学习信任边界分隔符
简介大语言模型容易受到提示注入攻击，即外部数据中嵌入的恶意指令可能覆盖用户意图。本文提出LTBD方法，在输入中加入少量可学习的分隔符，区分可信的用户指令与不可信的外部数据，且不改变模型参数。原文报告其在AlpacaFarm上攻击成功率为0.00%，在TaskTracker上为0.11%至0.19%，并在自适应攻击下仍保持有效。
说明这些 token 花在哪里？理解并降低 LLM 智能体在漏洞发现中的成本
简介论文分析了 200 条 CyberGym 运行轨迹，发现 LLM 智能体在漏洞发现中会消耗大量 token 却常常无法产出可用的概念验证（PoC）。研究指出，代码定位与理解、漏洞推理与触发设计占用了 60.4% 的 token，是失败运行的两大主要瓶颈。作者据此提出 AVRI 接口，围绕持久化的双向证据追踪（BET）组织信息，在 20 个评估任务上使 Codex 和 OpenCode 的总成本分别降低 18.0% 和 23.7%，同时保持成功率。
说明基于普通LWE的近乎亚线性RAM全同态加密
简介本文提出一种基于普通LWE假设的RAM程序全同态加密方案，服务器对加密数据执行每一步RAM程序的开销为o(N/log N)，略低于标准FHE的线性开销。作者为此先去除了已有普通LWE双高效私有信息检索方案所依赖的公共参考字符串，使其可扩展为RAM-FHE。
看点首次从普通LWE构造亚线性RAM-FHE，并去除了DEPIR的CRS依赖，有实质新意；证明为主，影响限于理论密码学领域。
说明系统化综述：大语言模型能否可靠地恢复源代码？分类体系与实证评估
简介本文是关于大语言模型辅助二进制到源代码恢复的首篇系统化综述（SoK）。作者提出了以设计为中心的分类体系，并从六个评估维度、七项关键指标对现有方法进行系统评估。实验基于来自四种标准架构和五种嵌入式架构的45,000个测试样本，并比较了同语言与跨语言恢复能力。
说明验证隐藏路径：面向量子密钥分发网络的可扩展拓扑保证
简介量子密钥分发（QKD）网络依赖可信中继节点，因此所选通信路径的安全属性对端到端保证很重要，但运营方可能不愿公开内部拓扑。本文提出一种拓扑认证机制，使服务方能以零知识方式证明两端点之间存在符合策略的路由，而不在单次出示中披露路由。其方法是用多消息签名分别认证节点和边，并给出形式化安全模型与通用构造的有条件安全证明。基于BBS的构造在参数为50时出示大小估计低于300 KiB，且在相关参数下生成与验证耗时低于400毫秒。
说明EIFL：在不可信服务器下高效保护联邦学习全局模型的隐私与完整性
简介联邦学习中，服务器会把聚合后的全局模型返回给客户端，但不可信服务器可能篡改模型。现有的完整性验证方法依赖客户端之间预先约定并对服务器保密的辅助信息，一旦泄露便可能被绕过，而兼顾输出隐私的方案计算和通信开销很大。本文提出 EIFL 方法，采用两阶段聚合结合对称加密保护输出隐私，并基于向量内积的验证方法和随机向量生成方法来保证完整性，评估结果显示其在计算和通信开销上优于现有方案。
说明固定秩特殊属格晶格的平均情形困难性
简介本文研究格同构问题（LIP）的区分变体 ΔLIP 所支撑的一类基于格的方案。作者在 GRH 假设下，给出固定秩 Hermitian 格特殊属格内的最坏情形到平均情形归约，涉及 SVP、CVP、BDD、DSP、DGS 等格问题。基于该归约，文中给出一种基于 LIP 的 KEM 的直接且紧致的安全性证明。
看点在特殊亏格内给出最坏情形到平均情形归约，借助Kneser邻居随机游走与Hecke算子谱界，并改进了LIP类方案的安全证明，理论贡献突出。
说明面向协同自动驾驶的零知识后量子消息认证框架（ZKS-PQC）
简介论文提出ZKS-PQC框架，用紧凑的零知识证明替代完整的后量子公钥与签名，以降低车联网（V2X）消息认证的通信开销。该框架保持与现有基于证书的信任体系兼容，并支持与传统ECDSA的向后兼容与渐进迁移。在Linux平台与商用车载单元上的实验显示，所评估的算法消息体积均减少超过95%，发送与接收端的额外处理开销在许多算法下处于毫秒量级。
说明MARC：面向自回归音频生成、抵御编解码攻击的多比特水印方法
简介本文提出MARC，一种用于自回归音频生成的多比特生成式水印方法。它将词元本身的表示与经过重新分词和多种编解码器得到的混淆模式结合，构建编解码感知的词元簇空间，并以载荷驱动的簇调度嵌入多比特水印。实验显示，在未经修改的水印音频上平均比特提取准确率为97.3%，在多种编解码攻击下仍可提取水印，并对覆写攻击具有鲁棒性。
说明操作系统安全研究综述：介绍虚拟化、操作系统验证与访问控制等技术的现状与挑战。
简介本文是一篇关于操作系统安全研究的综述。作者结合参考监视器（reference monitor）的设计要求，对虚拟化、操作系统验证和访问控制三类技术的研究成果进行了梳理。文章还分别说明了每项技术的发展前景与面临的挑战。
说明GROB：用于调查疑似自主智能体活动的多智能体公开痕迹分析架构
简介本文提出GROB，一种在无法获取特权遥测数据时，通过公开互联网痕迹调查疑似自主智能体活动的多智能体架构。系统以受控、只读方式收集公开痕迹，并保留选定观察结果供日后解析。在2026年9月的冻结语料中，多条已收集痕迹随着更多公开证据出现而变得更有信息量，其中最强的结果涉及9月9日捕获、带有Census标签的标识符，后来的公开修订记录将其对应到6月16日至17日的具体Census请求。作者同时指出，公开痕迹本身不足以确立组织归属，执行身份的连续性仍是自主语言模型智能体的活跃研究问题。
说明KIFA：针对 GIFT 系列密码的基于核的积分故障分析
简介本文提出 KIFA，一个积分故障攻击框架，用 Hwang 等人的基于核的挖掘器代替 MILP 来挖掘平衡性质。针对 DEFAULT 密码，论文给出故障穿透深度 9（随机半字节故障）和 10（随机字节故障）的攻击，均超过此前最佳的 8。对 GIFT-128 首次给出深度 7 和 8 的积分故障攻击，此前最佳为 5。对 GIFT-64 与 BAKSHEESH 也分别有所扩展。
说明决策模型作为评判者时的对抗性提示：请求呈现方式的作用
简介该论文研究用于评判答案的决策模型在面对同一候选答案的一处微小改动时的表现。作者在200个DROP与GSM8K样本簇上测试，发现仅添加一个冒号即可显著提高错误接受率，且结果随评分指令和请求呈现方式（插入式或其他形式）的不同而明显变化。论文还指出该脆弱性与候选答案的数值误差大小有关，但未测量内部成因。
说明MORDOR：通过弹性刷新调度减轻读扰动预防操作的开销
简介论文针对DRAM的RowHammer等读扰动问题，指出预防性刷新会优先于正常内存请求，带来显著延迟、性能下降和能耗增加。作者提出MORDOR，一种集成在内存控制器中的预防性刷新调度策略，在保证数据完整性的前提下延后刷新操作。将其接入六种现有读扰动缓解技术后，评估显示系统性能和能效均有明显提升，且面积开销较低。
看点提出在内存控制器中延迟预防性刷新以避开关键路径的新调度策略，并集成到六种已有缓解技术中进行评估，证据较充分，对RowHammer防护的实际性能和能耗影响广泛。
说明Mercury：阈值对数级计算与通信开销的模糊私有集合交集协议
简介该论文提出一种名为 Mercury 的模糊私有集合交集（FPSI）协议，在公开距离阈值 δ 下识别近似交集元素。协议结合同态加密与安全两方计算，采用“先掩码后比较”技术高效找出邻近点对，计算与通信复杂度相对阈值 δ 为对数级。实验显示，在局域网中相对 Dang 等人（CCS'25）的协议，其发送方隐私变体在平衡二维输入下运行时间加速 9.0 至 63.9 倍，通信量减少 8.7 至 26.1 倍。
说明ProxyEraseAgent：真实场景下的盲水印去除方法
简介该论文针对图像不可见水印的盲去除问题，即在无法访问隐藏解码器、只有单张带水印图像的条件下如何去除水印。作者提出ProxyEraseAgent框架，利用公开水印方案中的候选解码器作为代理边界估计器，按校准响应强度排序，并以其响应指导对几何变形、JPEG压缩、图像重建和梯度扰动等操作的渐进搜索。实验涵盖11种水印系统，攻击成功率为94.8%。
说明面向策略感知隐私数据合成的软投票方法
简介该论文研究在Blowfish隐私（只保护策略图中指定的属性值替换）下，基于近邻投票的私有数据合成方法（如Private Evolution及其表格版Tab-PE）的噪声问题。作者指出硬投票在策略内的替换跨越边界时敏感度会达到最坏情况，策略图因此无法降低噪声；为此提出BF-Soft，即温度平滑的软投票，并给出只依赖策略可达范围与温度的敏感度闭式界。实验显示，在较窄的数值策略下，它在较强隐私预算下降低误差，较弱预算下优势反转。
说明针对NIST第三轮格密码候选方案参数族的可证明次指数算法
简介本文给出了针对NIST第三轮格密码候选方案相关参数族的经典次指数算法，用于恢复秘密分量。对于若干方案相关的参数族，算法在期望时间和空间为2^((1/2+o(1))n/ln ln n)内恢复短秘密分量；对于NTRU类商关系，还提出了仿射切片搜索方法。作者称这些结果覆盖了与全部七个NIST第三轮格候选方案相关的问题族，但同时指出，它们并未降低现行规定参数集的具体安全性。
看点提出针对NIST第三轮格候选参数族的可证明亚指数算法，新颖性突出，但证据主要是理论界，缺少实验验证。
说明BRACE：面向 LSR 能量稠密联想记忆的差分隐私方法
简介本文针对基于 log-sum-ReLU（LSR）能量的稠密联想记忆（DAM）检索过程，提出一种差分隐私机制 BRACE，通过自适应修正边界敏感的扰动来控制其在检索轨迹上的累积影响。作者证明该方法在维度无关的终点和全轨迹检索误差率上达到极小极大最优，并建立了中心极限定理用于隐私检索的不确定性量化。数值实验显示其检索精度与基线差分隐私方法进行了比较。
说明从单向函数中分离可验证延迟函数
简介本文研究可验证延迟函数（VDF）是否能推出单向函数（OWF）。VDF 需要大量顺序计算时间，但其输出唯一且可被高效公开验证。作者证明，VDF 无法通过完全黑盒、可相对化的归约推出 OWF。结合已有结果（VDF 无法在随机预言机模型中构造），这表明两者之间在任一方向上都不存在黑盒推出关系。证明采用了一种结合随机预言机与受 Kolmogorov 复杂度启发的复杂性预言机的新分离技术。
看点证明了VDF不能通过黑盒归约推出单向函数，并结合随机预言机与柯尔莫哥洛夫复杂度式预言机设计新的分离技术。
说明技能星座：追踪 GitHub 上智能体技能的供应链
简介论文指出，AI 编程智能体的技能文件（SKILL.md）通过在仓库之间复制传播，形成一条没有注册中心和版本记录的软件供应链。作者基于 GitSkills 中所有 SKILL.md 的 git 历史，构建了带日期的复制网络，涵盖 2,193,119 次技能采用。研究发现，少数仓库是几乎所有复制的来源，而 GitHub 星标无法识别这些来源；源头修复也很少能传到副本中。按模型排名审查前 100 个仓库，可阻止 14.9% 的高风险技能后续采用，而审查星标最多的 100 个仓库仅为 0.5%。
看点首次构建带日期的代理技能复制网络，覆盖约219万次采用；基于历史的审计排序相比星标提升显著，证据较扎实。
说明TP-CRIV 中概率 AI 模型的统计可分性刻画
简介本文研究第三方挑战-响应身份验证（TP-CRIV）中概率性 AI 模型的统计可分性问题。由于同一查询的多次执行可能产生不同输出，作者分析了匹配与不匹配的证明者在挑战层面的行为如何与验证层面的可分性相关。文中以大语言模型和开放式挑战为例进行了实验，结果显示两类证明者可以区分，理论与经验 AUC 基本一致，并给出了达到目标 AUC 所需的最小验证预算估计。
说明虚假主张、可信图像：商用图像生成模型的红队测试基准
简介该论文指出，图像生成模型可以轻易生成看似真实的虚假视觉信息，而现有安全对齐主要关注图像内容本身而非其所表达的主张。作者提出了 EpiReal-Bench 基准，包含 1 万条虚假主张提示词和对应生成图像，并提出 EpiReal-Attack 攻击框架。实验显示，四款商用模型中超过 70% 的虚假主张提示词能生成忠实呈现虚假信息的图像，攻击后该比例达到 95%。
说明AI智能体系统攻击的探索：研究提示注入如何在单体与多智能体系统中泄露信息并跨智能体传播
简介这篇论文研究提示注入攻击如何利用用户直接输入和智能体之间的通信，来泄露敏感信息并引发跨智能体感染。测试主要揭示了单智能体系统中的关键漏洞，同时也将攻击扩展到多智能体框架，考察弱点如何在智能体之间传播。作者强调，随着AI智能体更多地嵌入实际工作流程，需要更强健的防御措施。
说明在x86物联网网关上加速HQC以支持后量子TLS 1.3
简介本文针对物联网网关上的后量子TLS，对基于编码的HQC算法进行x86处理器优化（利用AVX2、AVX-512和GFNI指令集），并将实现集成到TLS 1.3中。在Intel Core i5-1135G7上，相比既有结果，AVX-512实现的密钥生成、封装和解封装分别降低24.9–29.5%、10.4–11.1%和20.6–26.1%。在受限链路（1 Mbit/s、RTT 50 ms）下，HQC-5握手耗时243 ms，ML-KEM-1024为87 ms，作者认为剩余开销主要由公钥和密文大小决定。
说明语言建模即单调压缩：证明大语言模型与单调压缩算法等价
简介该论文从理论上研究大语言模型与数据压缩之间的联系。作者证明，把大语言模型（建模为下一个词元预测器）与单调（保序）压缩算法之间可以互相构造，误差相差不超过加性常数2。论文还指出，只有在存在密码学意义上的（无限频繁）单向函数时，单调性条件才是必需的，并由此得到关于下一比特伪熵与单调不可压缩性等价的密码学结论。
看点建立LLM与单调压缩算法的理论等价关系，并给出与伪熵相关的密码学结果，理论上较新颖；证明完整但无实验，对子领域有较大启发。
说明语言建模即单调压缩：证明大语言模型与单调压缩算法等价的理论研究
简介本文从理论上研究大语言模型的下一词预测能力与数据压缩之间的联系。作者证明，将大语言模型（形式化为下一词预测器）与单调（保序）压缩算法之间可以相互构造，且误差仅相差一个加性常数2。论文还指出，只有在存在密码学单向函数（无限次意义上）的前提下，单调性条件才是等价成立所必需的。
看点证明了LLM与单调压缩算法的等价性，并给出与密码学单向函数相关的充要条件，属于理论上的新联系，但对直接应用的影响有限。
说明NOMOS：将书面政策编译为经静态验证的LLM智能体工具调用门控
简介该论文提出NOMOS，一个四阶段编译器，可把自然语言政策转换为确定性的工具调用门控，用于约束使用工具的LLM智能体。在τ²-bench上，门控将违规率显著降低，并在银行场景下对所测攻击达到零攻击成功率，其余场景攻击成功率至多3.6%。决策无需LLM调用，可在微秒级完成，编译可在本地开源模型上运行。
说明概率证明的时间-空间权衡：证明本身是否存在时间与空间之间的取舍
简介许多近期的概率证明构造证明速度快，但空间开销远高于被证明的计算。本文为概率可检验证明（PCP）及其多轮扩展交互式预言机证明（IOP）建立了时间-空间权衡结果，适用于具有顺序输入访问的机器计算。作者还给出一个避免该权衡的R1CS交互式预言机证明，但它需要随机访问R1CS见证。证明依赖抗碰撞哈希函数的假设。
看点首次为概率可检验证明及交互式预言证明建立时空权衡，并借助抗碰撞哈希将小空间机器的信息流与证明系统性质关联，理论上有新意且论证较严谨。
说明ML-DSA签名的提示权重与密钥相关：对FIPS 204三种参数集的实证研究
简介该论文研究ML-DSA（FIPS 204）签名中公开的提示向量的汉明权重，发现其与签名密钥有关，主要受密钥生成时未纳入公钥的低位部分t0的范数影响。作者在参考C实现上对三种参数集进行了实验，结果显示密钥差异能被统计检验检出，但效应较弱，不会危及签名密钥本身，却可能被用作统计指纹。
说明基于随机游走、可抵御 n-1 个腐败方的博弈论公平抛硬币协议
简介本文研究多方抛硬币协议在最多 n-1 个参与方被攻陷时的公平性，采用合作策略证明（CSP）公平性定义，即攻击者无法通过偏离协议提高被攻陷方的期望联合效用。作者提出基于公共随机游走的构造，结合承诺-揭示和中止时调整转移分布的机制，并给出可实现与不可实现的效用矩阵条件；对三方情形给出了完整刻画。
看点提出基于公开随机游走的构造，证明任意满秩效用矩阵下可抵抗n-1个腐败方，并给出三方情形的完整刻画，理论界限显著推进。
说明减速带：针对推测解码的拒绝攻击
简介推测解码通过让草稿模型先提出候选词元、由目标模型一次性验证，以加快大语言模型推理。本文提出推测拒绝攻击（SRA），在攻击者可控的内容后附加对抗性后缀，使草稿模型与目标模型更频繁地不一致，从而减少每轮被接受的词元数，增加推理成本并降低速度，有时甚至比自回归解码更慢。
说明嵌入式机器学习的功耗侧信道成员推断攻击：即使不输出预测结果，也能从设备功耗推断训练数据归属
简介该论文提出PSCMIA，一种针对嵌入式机器学习模型的功耗侧信道成员推断攻击，可直接从功耗轨迹判断某样本是否用于训练，无需预测概率甚至预测标签。作者在MNIST、FMNIST、CIFAR10、CINIC10数据集，全连接与卷积网络，以及STM32F3、XMEGA两个嵌入式平台上评估，全连接模型上ROC-AUC最高达0.907。在16个模型-数据集-硬件配置中，有11个配置下PSCMIA优于仅使用标签的攻击方法。
说明内积函数加密中合谋泄露的几何结构
简介该论文研究内积函数加密（IPFE）中多方合谋时的信息泄露。作者用各机构授权密钥向量张成的子空间建模，证明合谋方能确定明文在相应正交补空间模意义下的全部信息。论文给出了在授权空间维数与两两交空间维数受限条件下，合谋方可学到的最少维数的精确刻画，并给出能同时达到该下界的构造。
看点将合谋泄露刻画为子空间和的正交补，并给出关于维数的精确权衡及与Reed–Solomon秘密共享的联系，理论上有新意；影响面主要限于密码学理论子领域。
说明《当缺陷层层传导》：理解 JavaScript 引擎中的漏洞与利用链
简介本文是对 JavaScript 引擎漏洞的首个全面实证研究。作者构建了一个包含 2017 至 2024 年间四款主流引擎共 241 个漏洞的数据集，并分析其表现形式与根本原因。研究还考察了这些漏洞的可利用性，提取了将逻辑错误转化为内存安全问题的漏洞触发链，并讨论了相应缓解策略及对开发者和研究人员的启示。
说明无需零知识知识证明、基于全同态加密的实用高效多方计算
简介这篇论文研究如何用全同态加密实现多方安全计算，该计算在静态恶意腐败模型下是安全的。作者在 Smart 的一个协议完整版思路基础上，完全去掉了该协议中对零知识知识证明的需求，使最终的安全性证明更简洁、更模块化。新协议使用带有加密伪随机函数功能的全同态加密方案，并且作者还形式化了这类加密伪随机函数的安全性，证明了 Deo 等人的构造在该模型下是安全的。
说明CPU-Auth：利用动态电压频率调节侧信道进行设备指纹认证的论文
简介该论文提出 CPU-Auth，一种基于计算设备 CPU 物理特性差异的认证机制。通过在浏览器中远程测量动态电压频率调节（DVFS）调控器的行为，可建立硬件层面的设备指纹。作者在超过 50,000 条数据轨迹上，使用基于距离的方法和深度学习方法评估了其性能。
说明基于检测引导的扩散模型自适应净化，用于稳健的音频深伪检测
简介音频深伪检测器容易受到对抗扰动影响，这些扰动会压制检测所依赖的声学线索。本文提出检测引导自适应净化方法（DGAP），利用扩散模型根据每个输入调整净化强度：轻度净化会使对抗样本的检测分数变化远大于正常样本，据此标记可疑输入并施加更强净化。实验显示该方法在多种攻击和检测器上防御效果最佳，且对正常输入影响很小。
说明重新审视基于格的盲签名方案
简介本文指出 Crypto'20 提出的一种基于格的盲签名方案存在攻击。作者发现其盲性安全证明中的一个漏洞，并在诚实密钥、诚实但好奇的签名者设定下，利用树叶之间的相关性对该方案的盲性提出攻击。文中还讨论了如何修复该方案。
说明BRANCH：绕过多扫描器的AI防护机制
简介该论文提出BRANCH方法，用于绕过由多个扫描器组成的大语言模型防护系统。它通过分支树搜索动态施加对抗扰动，并依据所有扫描器的整体改进来选择扰动，从而将绕过评估与攻击信号优化分离。论文报告在6个防护系统的120个场景中攻击成功率达100%，并称生成的绕过样本可迁移到29个未见过的防护机制（包括8个商业黑盒防护）。
看点提出面向多扫描器护栏的分支树搜索绕过方法，在6个系统、120个场景中达到100%攻击成功率，并能迁移到29个未见护栏。
说明DITTO：面向安全审计的上下文感知 Pickle 预训练模型扫描器
简介论文指出，预训练模型常以不安全的 Pickle 格式分发，在对 Hugging Face 超过 10,000 个热门仓库的分析中，9.3% 依赖 Pickle，存在反序列化攻击风险。作者提出 DITTO，这是首个基于栈、具备上下文感知能力的 Pickle 模型扫描器，并构建了包含 959 个良性与 92 个恶意真实模型的 PickleBench 基准。文中报告 DITTO 扫描覆盖率达 100%、漏报率 0%、误报率 0.7%，F1 分数为 0.966，优于现有扫描器。
看点针对Pickle模型的栈式上下文感知扫描器，改进已有扫描工具的覆盖与误报问题；在959良性、92恶意模型基准上评估，证据较充分，对模型供应链安全有实际影响。
说明在执行点应用安全设计：受管安全需求如何影响 AI 生成代码的安全性
简介本文研究在代码生成时向生成器提供受管安全需求（通过 MCP 服务器从 SbD-ToE 知识库获取）是否能改善 AI 生成代码的安全性。在 DualGauge（59 个 Python 任务）和 BaxBench（28 个后端场景）两个基准上，安全测试全部通过的任务比例及无成功攻击的功能正确方案比例均有提高，但预设的安全与功能联合指标没有显著改善。作者认为，现有基准只能检测特定弱点，因此建议改为衡量代码是否符合适用的安全需求。
说明面向无人机网络、抵御后门攻击的联邦GPS欺骗检测：基于接收端行为探测的方法
简介该论文研究无人机联邦学习中用于检测GPS欺骗的模型。作者发现，部分参与方可通过虚报自身验证准确率来获得更高聚合权重，从而发动后门攻击。论文提出接收端行为探测方法，协调方用构造的反事实欺骗样本评估每个模型，依据模型实际表现而非自报结果加权，在独立同分布场景下可消除攻击效果，且只需诚实参与方占多数。
说明Nullify：一种无需训练的零空间激活引导大模型遗忘方法
简介该论文提出 Nullify，一种无需训练、不改动权重的大模型遗忘方法，用于消除模型中与隐私相关的特定知识。它在推理时使用引导向量，将隐私相关的激活从其记忆答案上引开，同时通过零空间约束尽量不影响保留查询的激活，以维持模型效用。作者称其在 TOFU 和 MUSE 上的遗忘质量与已有基线相当或更好，并能近乎无损地保留模型效用。
说明SLDR：通过选择性层恢复与动态路由防御恶意微调
简介论文针对“微调即服务”中恶意微调会削弱大语言模型拒答能力的问题，提出一种微调后的防御方法SLDR。该方法只在安全敏感度最高和最低的层上训练LoRA恢复适配器，并通过基于表示的动态路由，仅对恶意查询启用该适配器。在四种模型架构、五个下游任务和四个有害基准上的实验显示，SLDR能显著减少有害输出，同时保持下游任务效用。
看点在恶意微调防御中提出基于有符号层敏感度的选择性层恢复与动态路由，并在多模型多任务上验证，有实质改进。
说明PatchBench：衡量激活修补中的附带损害
简介本文提出PatchBench基准，收录8个开源指令微调模型上观察到的400条高置信度越狱失败案例，用于检验LLM安全修补。作者进一步提出PatchBench-Local协议，测试修补是否行为精确：既看有害变体是否被纠正，也看良性相邻提示是否被保留。实验显示，四种激活引导方法在全局能力指标上几乎不变，但局部良性回归严重，说明常规总体指标会遗漏重要的附带损害。
说明PairAudit：在分布偏移下用图标记引导人工复核
简介入侵检测器对训练时未见过的攻击可能给出自信但错误的判断，人工复核能纠正这些错误，但可检查的数量有限。PairAudit 利用图标记捕捉相连节点之间的预测模式，借此发现被忽视的错误，并在固定预算下改进复核顺序；人工反馈则用来判断是否应调整复核优先级。实验显示，该方法平均比基于不确定性的复核纠正更多错误，包括未见攻击上的错误，且计入全部复核成本，无需重新训练检测器。
说明偶数维度中通过切换构造得到的 APN 函数新无限族
简介该论文基于 2009 年 Budaghyan-Carlet-Leander 族以来首次用切换构造得到的新无限 APN 函数族，并研究在 Budaghyan-Helleseth-Kaleyski 族上加入扰动项得到的 APN 函数族。作者给出四种构造，并证明其中一个切换后的族在基础族定义的每个维度都是 APN，且与已知构造 CCZ 不等价。另有两个可相互切换的族，作者给出其为 APN 的猜想及判定条件。
看点首次通过切换构造从已知族得到新的无限APN族，并证明其在每个适用维度均为APN，并与已知构造CCZ不等价。
说明系统化综述：通用准则产品评估中的失败模式——分类体系与可评估性设计指南
简介本文系统梳理了 ISO/IEC 15408 通用准则（CC）产品评估中反复出现的失败模式，并按生命周期划分为安全目标范围界定、保护轮廓一致性、保证证据、密码学要求、功能测试、脆弱性分析、操作指南和认证后配置漂移等类别。作者分析了这些失败的根本原因，并提出一个供产品团队在评估开始前使用的可评估性设计框架。文章还指出了云、持续交付和人工智能系统中尚未解决的问题。
