arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明SEEK：面向安全代码生成的智能体知识图谱检索
简介大型语言模型生成的代码功能正确，但可能存在可被利用的安全缺陷，尤其在开发者未明确安全要求时。本文提出SEEK框架，以CWE分类体系为骨架构建安全知识图谱，并注入真实CVE漏洞修复实例，通过规划、图谱限定和选择等智能体流程辅助安全代码生成。在CodeGuard+和CyberSecEval上，SEEK取得了优于既有方法的SecurePass@1和ICD通过率。
说明凭证系统中的抗审查性及其在欧盟数字身份钱包中的应用
简介隐私保护凭证系统通常只关注出示阶段的数据保护，忽视了发放阶段的隐私威胁。本文提出一个抗审查安全模型，并基于盲签名构建了一种每方仅需一条消息的高效方案，支持出示阶段的选择性披露。作者还实现了CRACS，可部署于欧盟数字身份钱包框架，且无需改动验证方。
看点提出发行阶段抗审查的新安全模型与轮次最优构造，并面向EUDI钱包落地，但实验细节有限，证据强度中等。
说明StateSync-GKR：可复用稀疏 GKR 证明引擎的设计与评测
简介本文介绍 StateSync-GKR，一个用 Rust 实现、可复用的 sumcheck/GKR 证明核心，并带有稀疏 Merkle 前端，用于证明已认证的状态转换。作者比较了 1.2.0 与 1.1 版本在相同环境下的表现：稀疏层归约显著降低内存占用，1.2 版在证明字节和验证结果不变的前提下提高了证明吞吐量，并将 99 百分位的验证完成延迟从 440 毫秒降至 34 毫秒。论文还报告了高请求率下的长时间稳定运行测试。
说明MetaCascade：仅通过元数据投毒对智能体技能进行端到端攻击
简介本文研究智能体系统中第三方技能的安全风险：智能体依据技能元数据进行检索与选择，而现有研究多只关注技能执行后的危害。作者提出 MetaCascade，一种仅通过元数据投毒的端到端攻击框架，通过多视角语义扩展生成恶意技能候选，并借助任务与黑盒竞争反馈迭代优化恶意元数据。在 Hermes 与 OpenClaw 两个智能体、四个数据集上，该方法的平均攻击成功率以及四种防御设置下的平均攻击成功率均明显超过最强基线。
说明KedgeFlow：面向企业 AI 智能体的可编程控制平面
简介论文提出 KedgeFlow，一套与编程语言无关的契约，用于约束企业 AI 智能体的状态变更操作：可信控制器签发针对具体操作的授权，网关独立执行，确保同一授权只能被成功使用一次。在单资源测试中，并发认领尝试与边界测试均表现符合设计，但作者也指出，宽松的策略仍可能授权不良操作，且分布式预留、真实目标的恰好一次执行等尚未验证。
说明用签名轨迹与运行时验证保护共享智能体工作流免受失效攻击
简介本文针对基于大语言模型的智能体所共享的工作流仓库，指出若仓库被篡改，错误工作流会误导下游智能体。作者提出以签名轨迹和运行时验证为核心的保护框架：要求用于生成工作流的轨迹进行密码学签名，并在运行时只获取并验证与实际执行路径相关的签名轨迹。实验显示，在无保护时工作流失效攻击成功率最高达90.12%，所提方法的平均F1为85.26%，检测率为79.97%。
说明信任机制何时有效？联邦入侵检测中针对后门攻击防御的无泄漏评估
简介本文重新评估联邦入侵检测（FL-IDS）中基于可信根数据集的防御方法，针对投毒与后门攻击。作者采用去除评估偏差的协议，在三个数据集上进行多次实验。结果显示，防御仅对小幅触发器有效；若攻击者的触发器已知，后门攻击成功率明显降低，而差分隐私训练对后门防御帮助有限。作者公开了该评估协议。
说明《Last Secure Code Benchmark》：你用氛围编程写的代码安全吗？
简介这篇论文提出 Last Secure Code Benchmark，用于评估 AI 编程代理生成代码的安全性。基准包含 150 个真实漏洞衍生的 450 个任务，涵盖七种语言和三类编程场景，任务只要求功能实现而不提及安全，并用隐藏的功能与安全测试评分。结果显示六个前沿代理的功能通过率为 73.6% 至 91.3%，但同时满足功能与安全的比例仅为 16.4% 至 25.1%。
看点构建覆盖7种语言、24个CWE的450项任务基准，并在三种氛围编程场景下测试六个前沿智能体，对安全代码生成评估有实质推进。
说明用隐式计算复杂性刻画密码学中使用的概率多项式时间
简介本文提出一种名为λBLL的随机计算λ演算，并说明它能够准确刻画密码学定义与证明中使用的一阶和二阶多项式时间计算。作者以隐式计算复杂性的方式给出结果，表明该演算足以表达密码学中的实验与敌手，且在演算内部形式化的归约保证保持复杂度。文中指出，多项式时间可靠性对完整演算成立，而多项式时间完备性在仅含一个极小有限基本函数集时即可得到。
看点将已有随机λ演算λBLL用于刻画密码学中的一阶与二阶多项式时间计算，给出可用于归约保复杂度的形式化结果，证明较严格，对子领域有一定推动。
说明《不，你的工具还不够：是时候让智能体加入漏洞挖掘了》：介绍用 AI 智能体自动发现软件漏洞的论文
简介该论文介绍作者使用 AI 智能体进行漏洞挖掘的经验，对象包括 Windows 驱动、Linux 内核、XNU、固件和网页应用。作者采用迭代式智能体工作流，发现该方法可以泛化到这些不同目标上。论文还讨论了智能体协助完成的、以往较难完成的任务，并提出推进自主漏洞挖掘的未来研究方向。
说明面向模型合并条件触发的大语言模型后门去对齐研究
简介本文研究大语言模型合并过程中的一种新型安全威胁，称为单侧合并条件后门（OMCB）：单独检测时模型表现正常，只有在与其他模型合并后才会激活并导致安全对齐失效。作者提出了名为SMOKE的元学习攻击框架，通过双层优化植入此类后门，并称其在多种模型架构与合并方法中有效，且能抵御现有后门检测。
说明已声明却无法追溯：衡量广告供应链透明度中的卖家身份缺口
简介该论文研究广告透明度中的一个问题：发布商在 ads.txt 或 app-ads.txt 中授权的账户，若未出现在对应的 sellers.json 注册表中，公开验证路径即告中断，作者称之为“卖家身份缺口”。研究基于约2.334亿条标准化广告透明度记录，给出该缺口在参照人群与高版权删除请求人群之间的比较，并通过共同权重标准化分析其中与系统内部和人群构成相关的部分。作者同时提出“广告透明度情报”这一以声明为核心的调查框架，但强调相关性不等于归因。
说明机密纠错码：一种兼顾保密与可靠解码的密码学原语，并用于AI生成图像水印
简介本文提出机密纠错码（CEC），在从受扰动码字中可靠解码的同时保护消息保密性，并给出保密性、鲁棒性和可靠性三项安全性质。作者基于随机性-安全性分离结构构造了Conc-CEC，并将其应用于AI生成图像水印方案CECMark。实验表明，CECMark在评估的56种扰动下鲁棒性更高，且误报率低于10的负5次方。
看点提出新的密码学原语CEC并用RSS框架构造，在56种扰动和水印基准上对比多种方法，证据较充实，对AI图像水印子领域影响较大。
说明通过顺序采样进行自回归词元生成的局限性
简介该论文研究自回归词元生成，将其抽象为顺序采样器：仅依据已生成的符号及少量状态来采样下一个符号的电路。论文证明带有 k 位状态的顺序采样器可由无状态采样器以约 O(2^k) 的规模开销模拟，并指出高效插入式采样比任意固定顺序的高效顺序采样更强。此外，小状态的顺序采样器难以建立某些隐蔽密码通道，这为防范恶意大模型智能体之间的潜在隐性协调提供了思路。
看点提出顺序采样器的状态与无状态电路模拟的指数级开销结论，并与伪熵对偶相结合刻画高效可采样性，理论新颖；证明完整性较强，应用影响偏窄。
说明决策不确定性导向水印（DUOW）：通过在多智能体路由中嵌入归属信号来防范策略克隆
简介该论文针对多智能体系统中路由策略可能被通过执行日志非法克隆的问题，提出了DUOW框架。该方法不修改模型参数或生成内容，而是在外部决策层对功能等价的路由选择进行有选择的调整，以嵌入归属信号。论文称在四个多智能体路由基准上，DUOW保持了较高的任务效用，在最高90%日志被擦除的情况下仍能可靠验证归属，且计算开销很小。
说明具有统计可靠性的阈值批量论证：无需混淆的加权阈值加密
简介本文针对NP语句的非交互式批量论证（BARG）及其阈值推广，构造了首个具有统计可靠性的阈值BARG，适用于一类表达能力较强的陷门阈值语言，基础来自循环安全的全同态加密或见证加密结合学习带误差假设。其公共参考串的大小仅随语句数量k以多对数规模增长。作者进一步利用该构造与伪随机置换采样新技术，得到具有统计不可伪造性的加权阈值签名，并结合见证加密实现支持λ位权重、解密完全非交互的加权阈值加密方案；在随机预言机模型下还可支持任意权重并实现无声设置。
看点提出首个具统计可靠性的门限BARG，CRS仅多项式对数增长，并由此构造无需混淆的加权门限加密，属重要理论进展。
说明TenseUp：基于张量码的双高效查找论证及其在动态SNARK中的应用
简介本文提出一种基于张量码的查找论证方案，可对大型表格的一批查找访问进行简洁证明，证明时间与访问次数成正比，并且对量子攻击者安全。作者进一步优化得到具体高效的TenseUp方案，实验显示其性能与现有非后量子安全方案相当甚至更好。文章还给出一种从静态SNARK构建动态SNARK的通用编译器，结合基于哈希的SNARK可得到首个透明且后量子安全的动态SNARK。
看点用张量码构造透明、后量子安全且可更新的双高效查找论证，渐近优于现有方案，并给出首个透明后量子动态SNARK的编译器。实验证据较为具体，但规模与对比范围未知。
说明名称不等于对象：面向被攻陷 AI 编程代理的对象绑定隔离方法
简介论文指出，许多针对编程代理的攻击源于检查时批准的是一个名称，而后续操作实际作用于另一个对象，例如符号链接指向的文件。作者提出 ZTAC 框架，让代理只能通过经纪进程访问文件、程序和网络，并在使用时核验对象是否与授权一致。在 74 个攻击测试中，ZTAC 仅有 2 个漏洞，46 项正常操作中完成 43 项，单次经纪请求中位延迟为 4.0 毫秒。
看点提出以对象绑定而非名称授权的沙箱代理框架，针对符号链接等名称-对象错配问题；以74个攻击及10个真实事件回放评估，显著优于白名单与命令沙箱。
说明什么算同一个任务？工具调用智能体鲁棒性评估的可执行契约
简介该论文针对工具调用智能体的鲁棒性测试，指出现有评估用于判断修改后的测试用例是否仍有效的规则过于宽松。作者提出可执行任务契约，规定定义任务的事实、允许的修改以及任务完成的标准，并在运行前检查每个修改后的测试用例。对14,336次已保存的智能体运行结果的比较显示，基于嵌入相似度的规则会接受大量改变了任务的编辑，并拒绝相当比例有效的恶意注入内容。
看点提出可执行任务契约以检验鲁棒性测试的有效性，并在14336次运行上比较规则，显示嵌入阈值误判明显，新意与证据较充分，影响面限于智能体评测领域。
说明SecReason：在LLM生成代码过程中检测漏洞并自我修复
简介大型语言模型生成的代码可能含有安全漏洞。SecReason在推理模型的思维链输出代码的阶段进行逐句扫描与数据流追踪，一旦触发安全规则就中断生成、插入警告并继续解码，使模型在同一推理过程中修复草稿。论文报告在CWEval和SecCodeBench上，安全且功能正确的运行比例从低于15%提升至72.8%至98.1%。
说明由三族简单根循环码构造的 DS 与 AMDS 符号对码
简介论文利用生成多项式，在奇特征有限域上构造了三族简单根循环码，用于分析重叠对读取信道下的纠错能力。对于长度 2q+2（q 为不小于 7 的奇素数幂），最小符号对距离为 10；对于长度 4q-4 与 2(q-1)，距离分别为 9 或 10，以及 11 或 12。所得码均为 MDS 或 AMDS 符号对码。
说明MemForm：LLM智能体记忆形成投毒的基准测试
简介论文提出“记忆形成投毒”概念，指攻击者操纵智能体产生并写入长期记忆的接口。作者构建了MemForm基准，覆盖内容、证据、范围、选择和路径五类接口，并在六个LLM和两种响应格式上评估。结果显示，即使经历成功的真实经验，记忆形成后的行为仍可能因上下文、保留或整合顺序的变化而出现不良结果。
看点提出以记忆形成接口为视角的投毒基准，并发现整理顺序可改变行为；六个模型、多种防御的实验较充分，影响面限于LLM智能体记忆安全领域。
说明ByteMark：一种跨语言模型通用的字节级水印检测方案
简介该论文提出ByteMark，一种在已发布文本的UTF-8字节上定义信号的统一水印方案，使用不同分词器的模型都能在同一公开规范和密钥下嵌入水印。单一检测器仅凭文本和密钥即可验证。实验显示，当基线检测器的分词器或嵌入模型被替换时其检测率大幅下降，而ByteMark保持检测率；参与模型续写或改写文本后，水印仍可被检测到。
说明在较弱信任假设下的见证简洁、UC安全zkSNARK
简介本文提出首个在较弱信任假设下构造UC安全zkSNARK（零知识简洁非交互论证）的框架，基于新原语“密钥可更新多项式承诺”（KU-pCom），只需一次诚实的公开可验证密钥更新，而非完全可信的初始化。作者给出两种实例化方案并实现了端到端基准测试，结果表明UC安全、简洁性与实际效率可以同时实现。
说明DICE：通过对 System One 模型的接口攻击改变判定结果
简介本文研究基于 Jev 的流程中，三个适配器输出（状态提取、问题生成、输出解释）被有界替换后，最终决策如何被改变。实验显示，即使 Jev 及其真实 API 响应不受攻击者控制，各适配器仍可能影响结果。部分校验机制能阻止所测试的干预，但也会误拒一些有效的正常决策。
说明基于对称密钥原语、时间与空间开销接近最优的简洁论证
简介本文构造了面向时间-T、空间-S 随机存取机所判定的 NP 关系的公开币、简洁、零知识交互式论证。在抗碰撞哈希函数存在的假设下，这些论证给出了证明者时间、空间与证明大小之间的一组权衡。作者基于流式 PIOP+PCS 框架，构造了两种受 Brakedown 与 BaseFold 启发的基于编码的流式多线性多项式承诺方案，并通过 Fiat-Shamir 变换得到基于对称密钥原语的高效零知识 SNARK。
看点通过流式PIOP+PCS框架构造时间与空间近似最优的透明零知识论证，并提出两类基于编码的流式多线性多项式承诺方案，在证明规模与时间空间权衡上有实质推进。
说明与分词方式无关的水印：面向大语言模型文本的字节局部方法
简介本文提出一种名为TI-WM的水印方法，在生成时嵌入水印，但在规范化后的UTF-8字节上进行密钥与打分，检测时不调用分词器。在指定的攻击设定下，其攻击后AUC高于Unigram对比方法，但作者指出两者在质量与干净文本可检测性上并非同等条件比较，且并不构成通用鲁棒性保证。
说明自然代码变换让智能体在漏洞分析中“迷惑”
简介本文研究AI智能体在漏洞分析中的表现，发现对功能相同、存在同一漏洞的真实代码提交，智能体结果差异很大。作者从真实开发中挖掘出功能保持的自然代码变换，并用它们评估对智能体漏洞分析的影响。结果显示，单一形式的变换就能有效干扰前沿智能体，降低其漏洞发现的成功率；论文还考察了变换组合与自适应攻击者的情况。
说明Lattice Bingo：基于纠删码承诺的异步可验证秘密共享（后量子）
简介该论文提出 Lattice Bingo，一种基于格的打包异步可验证秘密共享协议，在拜占庭故障与任意消息延迟下，一次分发多个秘密。它在保持二次通信量与线性打包的同时，将 Bingo 中依赖的非后量子假设替换为基于 PowerBASIS 假设的二维线性码承诺方案，并实现一次性自适应安全。
说明ARMOR：一种保持数据库格式、用于资源受限系统的密码加固改造方案，旨在提高攻击者成本
简介该论文针对物联网网关、边缘服务器等资源受限系统在凭据数据库泄露后面临的离线密码猜测风险，提出 ARMOR 方案。它在验证端对密码做保持格式的变换，依靠隔离的链注册表中保存的每账户秘密操作链，使哈希前的不同取值保持可区分。实验显示，对于较强的链感知攻击，攻击者的计数哈希检验量约为普通方案的 89.35 倍，所有目标密码仍在攻击池内并被恢复；作者强调这不代表最低攻击成本。
说明面向拜占庭鲁棒大模型训练的水印方法
简介联邦学习中常用的鲁棒聚合器可能被恶意服务器用来消除大模型水印，导致现有水印方法检测失败。论文提出CamoMark，一种与聚合器无关的水印方案，使带水印的更新与正常更新分布相近，同时保留可检测的水印信号。在Qwen模型与Alpaca数据集上，仅用3.3%的带水印数据即可得到p值为1.82×10⁻²的检测结果，并在继续微调、剪枝和蒸馏等后训练移除攻击下保持稳健。
说明RoboFake：深度伪造检测器能否识别人形仿脸机器人？
简介人形仿脸机器人可以让嘴唇随语音同步运动并做出细腻表情。若给机器人换上真人面孔并用生成语音驱动，它就会成为一种新的呈现攻击：镜头前的仿真人脸会说话、有反应，但画面中没有任何编辑痕迹。作者测试了三个公开的人脸呈现攻击检测模型和六个公开的深度伪造检测器，结果显示它们主要依靠机器人脸不像真人来识别，而非真正识别出攻击本身。
看点提出以人形表情机器人为攻击载体的新型呈现攻击，并用多种检测器系统评估，证据覆盖物理与合成样本，但规模有限。
说明针对边缘大语言模型的物理侧信道攻击：提取输出词元与用户提示
简介本文研究在边缘设备上本地运行大语言模型（LLaMA-3.2-1B-Instruct，运行于Raspberry Pi 5）时的隐私风险。作者提出基于电磁侧信道的攻击，通过推理过程中采集的电磁轨迹，可泄露生成的词元和用户提示。文中给出三种攻击方式，包括对50个医疗与隐私相关关键词的识别，以及对完整词表的重建与隐藏状态反演，结论是仅靠本地执行不能保证生成内容和用户输入的机密性。
看点首次展示利用电磁侧信道从边缘LLM恢复输出词元和用户提示，新颖性高；证据基于单一模型与设备，规模有限。
说明把嵌入不对称性作为攻击信号：检测并防御纵向联邦学习中的主动标签推断
简介论文研究纵向联邦学习中的主动标签推断攻击：持有特征的一方通过修改优化器使嵌入呈现类别结构，从而恢复私有标签。作者发现服务器可以通过接收到的嵌入检测这一攻击信号，并据此只对攻击方施加防御。在 CIFAR-10、CIFAR-100 和 CINIC-10 上的实验显示，标签推断准确率降至诚实训练的泄露水平以下，任务准确率仅下降不到两个百分点。
说明AI模型可被证明地隐藏任意能力
简介该论文指出，依赖“隐藏能力可被诱发”的能力评估在对抗条件下并不可靠。作者用加密神经网络嵌入宿主模型权重，仅在收到秘密触发器时解密执行，并基于密码学假设给出难以诱发与解读的证明。实验以小型化学反应预测任务作为CBRN相关能力的代理，结果显示该隐藏能力可抵抗微调、权重加噪、梯度触发器搜索和潜在对抗训练。
看点将隐藏后门从固定字符串扩展到任意可执行计算，并给出密码学保证；证据为PyTorch概念验证及对多种激发方法的抗性测试，规模较小。
说明《Flying, Not Floating：嵌入式处理器上精确的定点 Falcon 签名》：在微控制器上用定点运算实现 FN-DSA（Falcon）签名
简介该论文面向 FN-DSA（Falcon）数字签名方案，提出首个用于微控制器的定点签名实现，采用 32.64 定点运算和 Cortex-M4 恒定时间汇编。作者通过保持倒数、逆平方根等中间量的宽精度并只在使用处取整，恢复了定点实现的精度。文中报告签名比双精度模拟约少 45% 的周期，并给出了每密钥可承受查询次数的测量结果。
说明面向电网网络物理风险的决策导向学习
简介本文提出一种优化与学习相结合的网络物理风险感知框架，用于电网入侵检测。该框架把机器学习的预测误差转换为电网运行中的网络物理风险成本，并通过迭代交互来降低运行成本。在工业控制系统网络攻击数据集和 Sherlock 数据集上的实验显示，该方法相比传统方法改善了电网运行成本。
说明交替海绵结构与 Duet 挤压输出的区分器
简介本文是一篇密码学预印本，分析了 Duet 哈希函数的工作模式。Duet 直接受交替海绵结构（ASP）启发，二者都基于两个置换。作者提出针对 ASP 的区分器，并针对 Duet 给出区分器和状态恢复攻击，指出其多块输出可与随机输出区分，但不影响碰撞和原像抗性。
说明记忆耦合遗忘：在缺少原始数据时实现身份级遗忘
简介本文提出记忆耦合遗忘（MCU）框架，在宿主模型外接一个现代Hopfield网络作为可控的身份原型记忆。遗忘请求到来时，MCU先从外部记忆中移除对应原型，再仅利用目标身份的有限支持信息和保留数据对模型进行再适应。实验表明，该方法在模型效用、成员可区分性和请求时计算效率之间取得较好的经验性平衡，但并非完全信息删除的形式化保证。
