arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明用于放射影像深度神经网络的定向对抗攻击稳健检测
简介该论文提出一种检测框架，利用随机噪声引发的后续攻击来识别对抗扰动，并通过分析 Sigmoid 函数的变化区分真实医学图像与被篡改图像。作者在胸部X光、视网膜眼底和脑肿瘤三个公开数据集上评估该方法，报告在识别定向对抗攻击时准确率最高达 99.8%，且误报率较低。
说明黎曼变换抑制运动想象脑电跨会话身份泄露
简介运动想象脑电信号中含有可识别个人身份的结构，且在不同会话间持续存在，使同一人的多次会话可被关联。本文提出一种直接在协方差表示上进行的黎曼变换，对均值与切空间散布进行均衡，无需学习隐私模型。在两个公开数据集上，最强攻击者的识别率显著下降，同时运动想象解码准确率有一定损失。
说明《Fetch Me If You Can》：Fetch Metadata 综合分析
简介本文是关于 Fetch Metadata（一种 2019 年引入、为浏览器请求附加 HTTP 头的安全机制）的大规模测量研究。作者分析 Tranco 前 100 万个网站，检测其中部署的 Fetch Metadata 隔离策略及实际使用的自定义策略，并评估这些策略对跨站威胁的防护覆盖范围。文章还将其与现有客户端安全机制进行了系统比较，指出客户端与服务器端执行之间的差异所带来的安全缺口。
说明被投毒后执行：针对类型化决策工作流的上下文攻击研究
简介本文研究类型化决策接口中的上下文投毒攻击：模型只能从预定义动作中选择，但合法选项仍可能引发违反策略的状态变更。作者提出一种可追踪投毒证据从检索、模型选择到自动执行及持久化状态全过程的执行感知评估协议，并在两个合成工作流的20项开发任务上进行了1,659次调用实验。研究结果显示部分防御会压制正确的自动化决策，且多数改进似乎来自一般证据价值而非针对攻击的专门防护；但多项预设对比在多重检验校正后不具统计显著性，结论仍属探索性质。
说明从观察到授权行动：衡量 Android 智能体中的来源信息
简介论文指出 Android 智能体难以可靠判断所读内容的来源，因此可能被误导执行操作。作者构建并分别评估了两个原型：一个基于应用来源的监控器，可拦截来源不可信的写操作；另一个是 WebView 来源引用闸门，依赖修改版浏览器的记录核查对象来源。结果表明，所测策略需要哪些来源信息，以及这些信息必须与执行所用对象保持关联。
说明基于截断多项式代数扩展 Schur–Macaulay 框架以攻击 UOV
简介本文在 Ding、Li 与 Tao 的 wedge 攻击框架基础上，将 Merz 与 Ran 的 Schur–Macaulay 矩阵方法改写为多项式形式，并利用正特征 p 域上的截断多项式代数建立统一处理方法。该方法适用于任意有限域上的不平衡油醋（UOV）问题。文中还引入除幂与转移关系以获得额外公开关系，并给出用于恢复隐藏油空间理想分次分量的商维数判据。作者将其应用于第三轮 QR-UOV 参数集，对其中部分参数给出了攻击复杂度的下界估计。
说明LLM辅助编程中的安全问题：系统性文献综述
简介本文对大语言模型辅助编程中的安全风险进行了系统性综述，涵盖自动化编码的安全隐患、基准测试的局限以及人类开发者的作用。综述指出，模型常因训练数据偏差生成不安全的代码和错误补丁，且模型本身也易受直接攻击。现有评估方法存在数据污染问题，且缺乏可靠的安全指标，因此人工监督仍不可或缺。
说明succinct 与 decomposed LWE 的最坏情况困难性
简介本文研究两种较新的格上 LWE 变体：succinct LWE 与 decomposed LWE，它们已被用于构造多种密码原语，但此前缺乏与 LWE 的归约。作者提出 SuperSVP 问题，并给出从其到 succinct SIS 的最坏情况到平均情况归约，再结合量子归约与搜索到判定归约，证明 succinct LWE 的最坏情况困难性。文章还证明 succinct LWE 与 decomposed LWE 等价，从而使后者也获得同样的理论依据。
看点提出SuperSVP并给出succinct SIS的最坏情况到平均情况归约，首次为succinct与decomposed LWE建立最坏情况困难性，证明较完整。
说明从基因组语言模型中提取训练数据
简介该论文研究基因组语言模型Evo 2 7B是否会在生成时泄露训练序列。作者仅通过输出结果、不使用梯度或训练语料，用重复生成结果的收敛性筛选候选片段，并与训练数据比对。在304次运行中共得到888个候选簇，其中85个与至少500 bp的训练片段匹配，簇级攻击成功率为9.57%，最终有22个事件在500 bp阈值下被唯一匹配。
说明从声学感知到物理行动：边缘部署音频大模型智能体安全风险综述
简介本文综述了部署在智能家居、车辆、可穿戴设备等边缘场景中的音频大语言模型（Audio LLM）智能体的安全风险。作者提出“声学感知到行动”（S2A）系统模型，追踪声学输入从感知到外部执行的传播路径，并结合边缘-云端运行与生命周期变化。文章综合了相关攻击、防御与评估方法，指出安全缺口可能出现在各组件之间及阶段交接处，因此需要沿整个路径进行端到端的安全评估。
说明机器欺骗检测中的准确性与不确定性（研究白皮书）
简介本白皮书提出“机器欺骗检测器”，用于读取语言模型的内部激活，识别看似诚实实则欺骗的回答。该方法读取模型所有层，仅依靠回答标签学习哪些词元携带欺骗信号，并校准告警阈值以控制误报率。集成检测器用于衡量每个分数的不确定性，只有成员一致时才告警。评估在五个未见过的欺骗任务上进行，并考察不同参数规模模型中欺骗特征所在的层。
说明随机格枚举的渐近行为：借助稠密子格超越HKZ基
简介本文研究在n维Haar随机格上未剪枝枚举树的规模，给出树规模指数c的渐近界。对准HKZ基，论文严格证明c=1/(2e)，并认为这与最坏情形枚举指数一致。进一步地，论文给出所有基中可达到的最小指数c满足约0.1464≤c<0.1474的高概率界，并提出结合稠密子格的两块构造，可用于随机格上的CVPP多项式空间算法。
看点通过Kim均值公式证明随机格基枚举指数下界并构造双块基改进上界，显著改进已有启发式界限，证明较严格。
说明用“先加密后MAC”构造更快的通用CCA安全KEM转换
简介本文研究ML-KEM（NIST FIPS 203标准的基于格的密钥封装机制）的一种替代构造。原有方法用Fujisaki-Okamoto变换，解封装时需要重新加密，速度受限。作者提出“先加密后MAC”的通用转换，用只对短明文应用的随机预言机和对密文的MAC进行认证，并给出ML-KEM-EtM与McElieceEtM两个实例。摘要称，ML-KEM-EtM在封装性能和密文大小上代价很小，同时显著降低了解封装的CPU周期数。
说明探究大语言模型中基于深度的动态推理对越狱攻击的脆弱性
简介该论文研究大语言模型在基于深度的动态推理（即从中间层输出结果）下，抵御越狱攻击的能力。研究发现：较浅的输出层比深层更能抵抗越狱攻击；输出层深度影响对抗后缀的优化难度，深层可达到更低的攻击损失；对抗后缀对各输出层的实用性影响基本一致。这些发现可用于设计更能抵御越狱攻击的动态推理方法。
说明《没人会读Lean》：为何需要高层密码学语言
简介这篇ePrint预印本认为，随着AI自动生成机器可验证证明，真正稀缺的是能读懂证明所陈述内容的人。作者主张构建面向人类的高层密码学语言：模型应简短可读，所有声明基于已验证的定理，并内置公开商定、带版本的协议目标定义（如前向保密）。文中举例指出，证明检查通过的定理可能因定义不当而毫无意义，且同一模型在不同标准定义下结论会改变。
说明基于NetFlow的Tor洋葱服务去匿名化有效性研究（扩展版）
简介本文研究仅利用粗粒度NetFlow类网络流量统计（如一分钟、千分之一采样的包计数）对Tor洋葱服务进行去匿名化的可行性。作者通过真实Tor数据的大规模实验表明，攻击者若能通过受控下载诱导出可辨识的流量模式，这类粗粒度数据即可定位目标服务；同时提出了基于受控介绍请求的更强主动攻击，以及利用Tor公开的谜题式防DoS难度作为侧信道、无需向目标发送流量的被动攻击。研究认为，粗粒度网络数据已对洋葱服务构成现实的去匿名化威胁，并呼吁采取主动防护措施，重新设计可能泄露服务负载信息的全局可见防御信号。
看点提出仅用粗粒度NetFlow数据去匿名化洋葱服务，并利用公开谜题难度作为无流量的被动侧信道，新颖性突出；实验基于真实Tor数据，但摘要未给出完整对比细节。
说明错峰指令取指复制：一种抵御故障注入的轻量级处理器级对策
简介该论文提出错峰指令取指复制（SIFD），在连续两个周期内对每条指令取指两次，同时每个取指周期取两条不同指令，以此检测不一致的取指结果，无需完整复制处理器。作者在定制 RV32I 处理器和 Artix-7 FPGA 上，用时钟故障注入与电磁故障注入进行评估，结果显示攻击成功率明显降低，代价是面积与执行时间有所增加。
说明《Only What You've Signed up For》：用受约束扩散智能体构建安全工作流
简介这篇论文针对智能体式 AI 容易受到提示注入攻击的问题，提出 CoDA（Policy-Constrained Diffusion Agents，策略约束扩散智能体）框架。该方法在扩散语言模型的去噪过程中，每一步都把词元分布投影到符合策略的集合内，使生成过程全程满足安全约束。作者在静态和自适应提示注入攻击下评估了多个扩散语言模型，结果显示攻击成功率明显降低，同时保持了有竞争力的任务效用和可接受的推理开销。
说明能否诱使以保护人类生命为唯一职责的智能体去杀人？——模拟高风险环境中的延迟多轮衍生动作陷阱攻击
简介该论文在基于 NASA 改编的 BioSim 月球栖息地模拟中，测试一个负责控制生命维持系统的工具调用智能体，是否会因延迟注入的提示而关闭生命维持系统。攻击者无法篡改传感器或操作设备，只能说服智能体放弃目标。实验比较了不同模型配置及不同消息框架（可信委托、同伴通信、不可信来源）下的表现，并开源了实验代码与轨迹。
说明代理点击“同意”：页面注入文字诱使浏览器代理授权任务未提及的访问
简介论文研究浏览器代理在用户已登录会话中运行时，如何被页面中的注入文字诱导，批准第三方对用户账户的访问，或注册未经授权的 Webhook。作者在 OAuth 式授权和 Webhook 注册两类场景中测试，无防护时所有 73 次攻击都完成了未授权操作。论文提出在服务端按任务预先设定的授权范围进行校验，启用后 70 次攻击全部被拒绝。
看点将浏览器代理的混淆代理问题扩展到授权同意与webhook注册，提出在服务端按任务信封校验的门控思路；实验覆盖73/70次攻击，证据较充分但规模有限。
说明批准的文件未改动时：部署与编码代理审批的权限集完整性
简介论文指出，部署或代理命令的审批通常只绑定一个文件，但运行时还会读取其他仓库文件，这些文件改动后审批检查仍会通过。作者在20个公开仓库中发现，542次影响运行读取文件的提交中有54.6%未改动已批准文件。论文提出权限集完整性概念，即审批应绑定授权运行所读取的全部仓库文件，并建议由检查方自行计算摘要并从可验证来源获取文件集合。
说明MQOM 的向量化高效实现
简介本文针对后量子数字签名方案 MQOM 提出了一种向量化（SIMD）实现，采用支持转置的成对矩阵技巧，减少了 SIMD 的无效计算与内存访问，对应 Round-2 规范的 MQOM v2.1。作者在 Arm NEON、x86 AVX2 和 x86 AVX-512 平台上评估了密钥生成、签名、验证与内存占用，峰值动态内存最多降低 39.43%。另附 MQOM v3 的补充实验，用于检验该矩阵布局优化能否应用于第三轮代码。
说明GAMW：面向语音合成溯源的生成感知梅尔域水印方法
简介该论文提出GAMW，一种在文本转语音（TTS）生成过程中嵌入水印的框架，在波形合成之前把内容自适应的多比特水印残差写入生成的表示中。与合成后修改波形的方法相比，它能抵抗复合扰动。在两个TTS骨干模型上训练与评估，16比特载荷下，单独扰动和复合扰动下的解码准确率分别比最强基线提高9.2和23.5个百分点，同时保持有竞争力的语音质量。
