arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明面向OT入侵检测的联邦学习隐私风险研究：引入ML平面的隐私审计框架
简介本文关注工业控制（OT）环境中采用联邦学习训练入侵检测系统时，模型更新仍可能泄露工业过程敏感信息的问题。作者提出“ML平面”这一架构抽象，将联邦学习流程纳入OT系统，使学习相关的信息流可见。在此基础上，论文概述了一个隐私审计框架，以联邦成员推断攻击（FedMIA）作为初步评估手段，并正在智能电网测试平台中实施。
说明超越用户端防御：开放权重扩散模型中的图像保护
简介该论文探讨模型提供方如何在开放权重的扩散模型中支持图像保护，并提出四项要求：保护效果、干净图像保真度、兼容性和防篡改能力。作者引入长时程攻击模拟，以增强对保护被移除的抵抗力。使用单一保护工具的实验显示，抗重新对齐能力有所提升，但会牺牲干净图像的保真度，作者由此建议进一步研究实用的模型端保护方法。
说明无监督数据漂移监测：面向已部署深度伪造语音检测器的方法
简介深度伪造语音检测器通常在固定基准上以二分类方式评估，但实际部署时攻击方式、编解码器、说话人和录音条件不断变化，且运行中无法获得标签。本文提出一种无监督漂移监测器，基于已部署检测器的内部嵌入，用正则化马氏距离将输入与真实语音和伪造语音的参考进行比较，从而划分出可信、模糊和新颖三类区域，并将不熟悉的输入转交人工复核。论文在三个数据集上评估了四种现代检测器，结果显示该监测器能发现数据集不匹配的情况，并显著减少接受伪造语音这一安全关键错误，但代价是自动覆盖率下降。
说明StableJudge：面向“LLM 作为评审”的轻量对抗防御框架
简介大语言模型常被用来给论文等内容打分，但被评内容中嵌入的提示注入可能劫持分数，扭曲排名。本文提出 StableJudge，在评分前用一个约 0.13B 参数的 Sentry 模型定位并净化注入片段，并通过对抗演化攻击进行训练，同时从评审模型的输出分布推导确定性的细粒度分数。实验显示，在保留的科学摘要和分布外攻击上，它能在攻击下更好地恢复分数，同时基本保持通用性能。
说明扩展双射影 APN 函数
简介APN 函数能在特征二下对差分密码分析提供最优抵抗力，构造与已知函数不等价的新无穷族是密码函数研究的重要问题。本文引入扩展双射影函数，在双射影多项式上加入截断迹项，并建立了一类新的二次 APN 函数无穷族。作者还基于二进制矩阵的秩设计了高效的 APN 检验方法，并在维数不超过 28 的范围内进行穷举搜索。
看点提出扩展双投影函数并建立新的二次APN无限族，通过穷举搜索至28维并用微分谱区分等价类，证据较充分。
说明通过浮点偏置加法泄露对数几率（logit）信息
简介语言模型接口可能暴露词元相关的偏置值，却隐藏对数几率和概率。作者发现，浮点偏置加法存在数值侧信道，仅凭词元标识就能泄露一个共同的加性分量。在特定的二进制32位算术假设和已知可达分数区间下，该方法最多用52次词元查询即可精确恢复一对对数几率及其未知的并列优先级。实验涵盖11个公开模型检查点及vLLM、SGLang、llama.cpp三个系统；论文还提出在加偏置前减去最大值的缓解方法，在受控实验中消除了可观测的区分。
看点发现浮点偏置加法的数值侧信道，仅凭token身份即可恢复共同偏移量，新颖且影响API安全；实验覆盖多系统与多模型，证据充分。
说明PrivacyGuard：面向云端图形界面智能体的源关联脱敏与本地可解析的个人信息引用
简介云端图形界面智能体会把指令和截图发送给远程规划器，从而暴露个人身份信息。该论文提出PrivacyGuard，通过源关联脱敏（SAN）重建碎片化或重叠的证据并改写完整来源范围，再以结构化引用生命周期（REF）把变化后的形式关联到会话实体，并支持本地可解析的引用，不把原始值返回上传路径。在五轮会话的测试中，其审计的源数值泄露相对降低33.55%至82.60%，跨形式连续性指标由0.04提升至0.81。
说明基于数字孪生参考与信念引导Q学习的毫米波干扰源识别与波束功率控制研究
简介本文提出一种基于数字孪生参考的信念引导Q学习（BGQL）方法，用于28 GHz站点特定网络模型中的干扰源识别与波束功率联合控制。该方法利用正常与受攻击配置之间的接收端残差构建可疑度向量，并将其纳入学习状态、奖励与探索规则。在与SARSA、Greedy和Random的30组配对蒙特卡洛仿真中，BGQL在链路速率与能效指标上表现更优，单干扰源定位召回率为100%，双干扰源为78%-81%，但单次运行耗时明显更长。
说明Modulus Operandi：面向MPC与阈值FHE的轮数最优模数转换
简介本文研究安全多方计算中的模数转换，即在不泄露秘密值的前提下，把模q的秘密分享转换为模t的分享，这对基于格的阈值解密很有用。作者在预处理模型中提出三种新协议：一种单轮完成的任意模数转换，一种预处理成本较低但对输入界限要求更强的变体，以及一种不依赖输入界限但需两轮的协议。论文还给出了首个在算术黑盒模型中的单轮比较协议，并证明非交互式模数转换不可行。
看点提出单轮任意模数转换协议，并证明非交互转换的不可能性，理论与协议设计均有实质新意；对阈值FHE解密有直接应用价值。
说明所有双射4比特S盒的最优阈值实现及新的无穷族
简介本文研究阈值实现（TI）这一侧信道防护方法，针对常用于轻量级密码的4比特双射S盒，给出共享数最优、直接单级、均匀的一阶阈值实现。作者提出了新的构造族，其中包括首批具有密码学意义的幂置换无穷族。文中还指出每个代数次数为t的4比特置换都能用t+1个份额、无需新随机数实现，从而否定了若干先前的猜想和结论。
看点首次给出幂函数的无限族最优阈值实现，并证明所有4位置换可用t+1个份额实现，推翻已有猜想；证据为构造与完整证明。
说明CT0：网络安全专用 Transformer 模型
简介论文提出 CT0 网络安全专用 Transformer 架构及其首个约 40 亿参数的小型版本 CT0-Micro，基于开源基础模型，并在 Cybersecurity AI 数据集上通过两阶段同策略蒸馏进行专门化。模型用一套权重提供快速判断与工具调用智能体两种模式，在智能体任务和快速安全判断上表现较好，论文同时报告了其不足之处。
说明仅用置信传播算法攻破一阶掩码 Kyber
简介本文对 ARM Cortex-M4 上一阶掩码 Kyber768 实现进行侧信道攻击，使用约 2200 条解封装功耗迹线恢复长期密钥，仅使用通过密文有效性检查的真实密文。作者结合两个掩码份额的二阶泄漏，用神经网络估计各份额的汉明重量分布，并通过置信传播求解器恢复全部 1536 个秘密与误差系数，未使用格约化。在 2000 条迹线下，该方法将估计的 BKZ 块大小从 624 降至 505，格攻击仍不实际。
看点用信念传播结合近似消息传递修正，在一阶掩码Kyber上仅用约2200条功耗迹恢复全部密钥系数，攻击方法新颖且证据充分，对后量子实现安全影响较大。
说明CircuitBreak：剪除神经元中的稀疏安全回路
简介论文提出 CircuitBreak，一种神经元剪枝攻击，通过贪心搜索找出一组稀疏的前馈神经元，联合消融后可使大语言模型的拒答行为失效。该方法无需成对的对照提示，并在每次移除神经元后重新评分。在十个指令微调模型上，搜索在移除 29 至 150 个神经元后收敛，攻击成功率从个位数或低双位数提升至约 88%（由 Llama Guard 3 8B 在 StrongREJECT 上评估）。
看点提出把安全机制建模为稀疏神经元回路并贪心联合剪枝，相比单神经元打分有新意；在十个模型上以极少神经元即可大幅提升攻击成功率，证据较充分，对安全研究影响较大。
说明基于调查数据的差分隐私偏好对齐研究
简介本文研究在世界价值观调查（World Values Survey）问卷衍生数据上进行隐私保护的语言模型偏好对齐。这类数据涉及政治、宗教、性别观念等敏感信息，监督信号为有序评分而非成对排序。作者先展示了已对齐模型的隐私脆弱性，再将任务表述为评分预测并引入标签级差分隐私，比较了随机响应、指数机制和DP-SGD三种机制。实验显示，简单的标签级机制优于梯度级方法，合适的预处理聚合函数也有重要作用。
说明重新审视 Fast Tendermint：一个一致性违例及两种修复方案
简介本文指出 Fast Tendermint 已发表的轮次切换规则会违反一致性（Agreement）：对于每个 f≥1，一个拜占庭进程即可造成违例；对于 f≥2，两个拜占庭进程即可在不双签的情况下造成违例。问题出在进程跳过某一轮时，未记录该轮可能已决定的值。随协议提供的 Quint 规范不允许这种跳轮，因而不受影响，问题在于已发表的伪代码。文中提出两种修复：Walk 要求进程在该轮预提交法定人数后才能离开，并在离开前预提交；Justify 将接受提案所需的证据放入提案本身。两者在异步条件下满足一致性与有效性，在部分同步的 gossip 模型下满足终止性。
说明并非所有挑战都同等有效：评估实时换脸下的交互式活体检测
简介远程身份核验通常假设摄像头画面来自真人，但公开的实时换脸工具可在视频流到达核验方之前替换人脸。作者在108次实时会话中测试了随机手势挑战，涉及6名受试者、24个被冒充身份以及DeepFaceLive和FaceFusion两款工具。结果显示，姿态类与组合手势的点估计最高，表情类无明显提升，而针对FaceFusion的手部遮挡挑战低于静态基线。作者认为挑战集应针对当前攻击配置进行测试，响应时间也可作为部署相关的补充信号。
说明Purpose IR：为隐私保护的智能体工作流状态编译用户目的
简介该论文针对大模型智能体工作流中可复用状态的隐私边界问题，指出观测信息作为任务证据被需要，并不代表其完整语义被授权持久保存。作者提出 Purpose IR，一种有界的类型化中间表示，将自然语言形式的用户目的编译为可执行的语义边界，并在 1,200 个跨 LangGraph、CrewAI、MobileRun 的案例及 493 条 PrivacyLens 轨迹上进行了评估，报告隐私与任务成功率的提升。
说明基于局部差分隐私的风险感知路网轨迹合成
简介本文提出TrajRACE，一种在局部差分隐私下为路网轨迹生成合成数据的框架，无需将原始轨迹上传至不可信服务器。该方法对起点、路段数和路段转移进行加噪上报，并依据局部路网与轨迹上下文为不同转移分配风险感知的保护强度。在三个路网轨迹数据集上的实验表明，该方法在分布、查询和模式等指标上提高了合成数据的效用，并对高风险局部转移提供了更强的保护。
说明基于可信执行环境与默克尔树的资源受限智能电表远程证明方法
简介本文提出一种面向智能电表的远程证明方法，利用默克尔树结构组织通信数据，以验证数据完整性与真实性并检测未授权篡改。构建默克尔根及关键数据哈希的操作在基于OP-TEE的可信执行环境中完成。作者称，与相关工作相比，该方法在资源效率、安全鲁棒性和在资源受限设备上的可实施性方面更具优势。
说明Doctor Trigger：面向发布记录的人脸核验框架
简介本文提出Doctor Trigger框架，用于核对网络上流传的人脸图像是否与发布者登记的版本一致。发布前，发布者在每张人脸中嵌入一个带密钥的弱傅里叶相位信号，并保存其频谱参考；核验时比较图像与参考，并通过密钥投影检测该信号是否保留。实验基于FF++、DFDC和Celeb-DF数据集，结果显示频谱一致性可区分换脸和生成式篡改与已登记版本，帧检测能区分已发布版本与未发布原图。
说明ATTCK-R：面向受保护大模型的知识感知长程越狱攻击
简介本文研究大语言模型在提示词安全防护下的越狱攻击评估问题。作者发现，加入提示词安全防护后，一个较强的多轮基线方法的平均攻击成功率由0.896降至0.608，说明未受保护条件下的评估会高估实际脆弱性。文章提出ATTCK-R红队框架，把越狱视为长程轨迹优化问题，并利用可复用策略和回溯机制提升攻击效果与效率。在9个配置单一提示词防护层的大模型上，该框架表现优于近期的多轮越狱方法。
说明为复杂电子系统推导安全规范的方法论
简介本文提出一种基于风险的方法，用于为复杂电子系统确定安全需求：先列出系统任务，再推导资产、分析威胁、提出安全要求，最后匹配对应的防护措施。文章以数据中心和汽车芯粒（chiplet）为例，演示了供应、修整、调试、启动和远程证明等任务的安全规范推导过程。
说明针对共享FPGA上机器学习加速器的机器学习辅助功耗侧信道攻击
简介论文研究多用户共享的FPGA上，攻击者利用TDC传感器测量同一芯片上受害者的机器学习加速器功耗，以重建输入图像。作者结合机器学习上采样和重新着色，首次由片上TDC攻击还原出ImageNet规模的全彩图像。论文还测试了一种像素替换防御，结果显示该方法对受害者模型精度的损害大于攻击者，且容易被针对变换数据重新训练的攻击者绕过。
说明HDKEM：面向可否认混合密钥交换的认证分配方案
简介本文研究可否认认证密钥交换（DAKE）协议，即双方建立共享密钥且不留下可转移的参与证据。作者分析了每次会话使用一个环签名进行认证的协议，并提出HDKEM：一种三槽混合方案，结合ML-KEM-768、X25519以及可选的成对信息论密钥源。论文在所述组件模型下给出了密钥不可区分性、前向保密和强本地可否认性等结论，并以FalconRS和Gandalf两种签名方案进行了性能评估。
说明机密纠错码：兼顾可靠解码与消息保密的密码学原语
简介论文提出机密纠错码（CEC），一种能在密码字受扰动时仍可可靠解码、同时保护消息机密性的密码学原语，并给出机密性、鲁棒性和可靠性三项安全性质。作者基于随机性与安全性分离结构构造了实例Conc-CEC，并以此开发了面向AI生成图像的水印方案CECMark。作者称其在56种扰动下鲁棒性更高，误报率低于10^-5。
看点提出新的密码学原语CEC并给出RSS框架与可证明安全性，实验在56种扰动下超越多个水印方法，影响面集中于AI图像水印领域。
说明当智能体相互交流，机密也会随之扩散：多智能体大模型系统中由拓扑驱动的泄露与面向接收方的脱敏
简介本文研究多智能体大模型系统中的隐私泄露问题：信息即使只披露给一个有权限的智能体，也可能经由日常协作传给无权限的智能体，且无需系统被攻破或出现恶意行为。作者在485个场景中测试了三种拓扑结构，并提出RECONS脱敏方法，依据接收方与执行上下文而非仅依据敏感度进行处理。结果显示，未脱敏时残留披露率为96.7%，RECONS将其降至29.25%，同时保留了94.1%的授权披露。
看点提出拓扑驱动的隐私泄露问题并设计基于接收方与执行上下文的净化器，通过485个场景和多模型、多框架实验验证，对多智能体系统隐私防护有实质推进。
说明自动驾驶中相机与雷达融合感知的对抗鲁棒性研究
简介该论文针对自动驾驶中相机与雷达融合感知在对抗攻击下的鲁棒性做了系统测量。作者在 nuScenes 数据集上搭建统一评测流程，模拟八种相机图像扰动和三种雷达点云扰动，评估五种融合算法在 3D 目标检测和深度估计两项任务上的表现。结果显示，相机扰动明显降低两项任务的性能，雷达扰动影响较小且与任务相关。作者认为融合系统并不天然具备鲁棒性，并据此提出若干设计方向。
说明DelegateGuard：面向委托式大语言模型智能体工作流的目的绑定能力控制
简介大语言模型智能体在委托子任务时会持有敏感数据的权限，被注入的子代理可能泄露数据或越权操作。本文提出 DelegateGuard，一个参考监视器，将用户授权转化为可衰减的能力，并在模型之外对所有数据移动操作进行仲裁，撤销授权会沿委托图级联生效。实验显示其能阻止未授权的泄露和越权，每次决策开销为微秒级。
说明AutoSec-RAN：基于规范的大模型微调，用于O-RAN自动化安全分析
简介本文提出AutoSec-RAN框架，以Mistral-7B-Instruct为基础，通过两阶段LoRA微调，结合69份O-RAN、3GPP等标准文档构建的语料，并辅以检索增强生成（RAG）。模型在无原始数据包证据的情况下回答调查员式问题，并在5G/O-RAN测试平台的前传DDoS重放场景中进行了评估。结果显示，该框架在缓解措施和威胁模型推理方面表现较好，但在攻击方向类别上存在可测量的差距。
说明撤销在收到时并未完成：分布式智能体工具网关的可执行结果契约
简介论文指出，分布式智能体工作流会在工具网关缓存委托权限，而撤销仅凭签发方提交、传输确认或接收方持久化都不能证明所有网关已执行变更、受保护的操作已停止。作者定义了 C0 至 C5 的有界结果契约，并在 Keycloak 26.7 等环境中进行实验，发现即使传输成功，仍有 49.78% 的调用被放行且全部效果被提交。因此传输成功只能说明进展，不能作为撤销完成的判定。
说明CreepScope：衡量工具调用型智能体在用后仍保留的授权暴露
简介本文指出，对单次工具调用做授权检查无法反映先前权限在使用后还能保留多久，并将这种生命周期问题称为“权限蠕变”。作者提出 CreepScope 评估协议，逐步采样可达权限，并用若干指标衡量超范围暴露与残留权限。在 12 个受控工作流的确定性回放中，持久授权策略存在明显的超范围暴露，而受 oracle 控制的 Step Lease 方案在构造上为零。
说明论文说明：抵御选择密文与陷门攻击的公钥认证关键词搜索加密
简介本文针对可搜索加密领域的密码学方案，提出一种通用转换方法，将PAEKS方案升级为能抵御选择密文攻击与陷门攻击的CCTA安全方案。该转换是CHK变换的一种变体，利用陷门中的发送方识别信息，使关键词可作为标签使用。作者据此首次给出基于双线性配对和格的完全CCTA安全PAEKS方案，并指出该转换还能借助密文与陷门中的验证密钥，无需密码学运算即可完成发送方与接收方的匹配，从而提高搜索效率。
说明基于硬件辅助与自适应机器学习的多阶段勒索软件检测论文
简介本文提出一种结合软件静态扫描与硬件微处理器活动监测的勒索软件检测框架。作者用对抗训练增强静态分析对混淆的抵抗力，并以神经架构搜索自动调整模型以提高泛化能力。实验显示，与现有方法相比，该方法检测准确率提高，延迟降低，并能提供追踪级别的可解释性。
说明面向智能体环境的可扩展弱到强验证器加固
简介该论文提出一种全自动方法，用于加固智能体环境中的程序化验证器，防止智能体通过作弊获得奖励。方法先建立智能体无法直接修改的隔离验证器沙箱，再用“攻击者-修复者”循环寻找并修补漏洞。在Terminal Bench、KernelBench和SETA上，攻击成功率明显下降，且迭代次数越多防御越强。
说明基于文本感知U-Net的文档缩略图取证文字恢复
简介论文针对低分辨率Word文档缩略图难以用OCR识别的问题，提出一种文本感知的图像恢复框架，采用U-Net并结合像素保真与可机读文字约束的混合优化策略。模型选择时使用基于OCR的归一化Levenshtein距离（NLD）指标，以优先保证字符结构的准确性。实验结果显示，该方法显著降低了NLD，使严重退化的缩略图中的可机读文字得以较可靠地恢复。
说明对搭载 Mayhem 固件的 HackRF One 进行取证分析
简介这篇论文研究了 HackRF One 配合 PortaPack 界面板并运行开源 Mayhem 固件（v2.0.1）时，microSD 卡上哪些取证相关数据存在、以什么格式保存、何时写入以及如何解读。作者以自己设备使用四个月后的 SD 卡镜像为例，仅依据镜像本身进行推断。原文提到，示例镜像中恢复了一段已删除的 IQ 采集文件的末尾部分和一段被裁剪掉的片段，并将六次采集归属到使用同一 32 位标识符的滚动码 OOK 发射器。
说明RetryBench：区分GPT工具调用中的重试许可与恢复结果
简介该论文提出“虚假重试许可”（FRP）概念，指智能体在超时的工具调用中，在可见契约未支持的情况下仍然重试。作者在多组受控实验中发现，成功的受保护恢复并不意味着能可靠拒绝不受支持的重试，并建议将许可与恢复结果一并报告。结论仅限于四项任务、固定的GPT端点和一项恢复决策，不涉及内部机制或单次交互的安全性。
说明模型看不见的内容：大语言模型中隐蔽且可证明的文本不可见性
简介本文研究如何让语言模型对带触发标记的文本"视而不见"，使其在摘要、引用、问答中被忽略，也不被下游过滤标记。作者将其视为双重用途的信息流原语、供应链后门和白盒审计问题，并在多种模型上验证了相关的无干扰性质。文中还显示，此类后门可通过训练植入权重并难以被探测，但作者未证明探测可见性与路由可见性之间的权衡是根本性的。
看点提出可证明的文本不可见性与隐蔽后门，以跨十个模型、七类架构的非干扰性验证和白盒探针分析支撑结论。
说明生成式人工智能在开放无线接入网（Open RAN）系统测试与自动化中的作用：GNG-OTA框架
简介开放无线接入网（O-RAN）采用解耦、可互操作的架构，但其测试环境复杂、规范不断演进，互操作性难以保证。本文提出基于生成式人工智能和图神经网络的O-RAN测试与自动化框架GNG-OTA，综合运用生成式人工智能、自然语言处理和图神经网络，实现O-RAN互操作性与性能的自动化测试。
说明穿透现实之墙：基于无线供电侧信道的远距离及穿墙AR/VR隐私窃听
简介本文研究AR/VR设备网络连接上的功耗侧信道攻击面，通过非侵入方式在5.0至8.0米距离、隔墙捕获Wi-Fi传输介质中的无线功率信号。作者提出MetaSpy攻击方法，可识别设备类型，并推断用户的浏览网站、运行应用、VR游戏内特定活动、虚拟化身重识别及与头部动作对应的虚拟击键。在四款商用VR头显上的实验显示其具有竞争力的准确率，并提出了保护AR/VR无线传输数据机密性的对策。
看点首次利用穿墙无线功率侧信道在较远距离窃取AR/VR用户隐私，并提出虚拟键击推断等新型攻击，但实验规模和对比范围有限。
说明Privacy Conductor：在基于大模型的文档检索中以架构方式强制执行情境完整性
简介本文提出 Privacy Conductor 架构，用确定性的访问网关执行由权威方制定的策略，使模型只能接触请求者本就有权查看的文档，而不是由模型自行判断访问权限。在一个包含2520组请求者与文档组合的合成临床语料上，网关能完全复现策略，因此剩余风险主要来自其所读取的文档标签。研究比较了大模型与人工生成的标签，发现在所有七种配置中，大模型生成的标签都会削弱策略效果。
看点提出在模型外部由确定性网关执行隐私策略的新架构，并用临床语料与HIPAA案例验证LLM标签的不可靠性，证据较充分，影响面较广。
说明从静态到动态SNARK的黑盒编译器
简介本文提出一种编译器，利用静态SNARK和向量承诺方案作为黑盒，构造可处理Plonkish约束的动态SNARK，使证明者在见证值仅有小幅更新时，可基于旧证明高效生成新证明。采用基于哈希的SNARK和Merkle树实例化后，该方案在QROM下具备后量子安全性且使用透明设置。作者报告其基于Ligerito的实现在2^23门电路上，相较静态HyperPlonk基线，对10,000次单门更新和1,000次128门更新，累计证明者加速分别达147倍和11.7倍。
说明基于推断与评估开发者假设的大模型代码审计
简介该论文提出 Creed 方法，通过推断开发者的安全假设并评估其合理性，找出假设被违背之处，从而发现漏洞。与依赖语法模式的传统静态分析工具相比，它能识别如通过响应时间差异造成的时序侧信道等语义层面的安全缺陷，并说明漏洞根因、表现及可利用条件。
说明SkillMarker：面向智能体技能所有权验证的 KGW 水印方法
简介智能体技能以明文形式分发，容易被未经授权地复制或泄露，而实用的所有权验证和泄露溯源机制尚不完善。本文提出基于 KGW 水印的 SkillMarker 方法，结合受质量约束的改写与面向信号的候选搜索，在保持指令准确性的同时增强水印信号，并发布了包含水印嵌入、质量审计与检测的开源工具包。实验表明，该方法对下游任务性能的平均影响可忽略，窗口检测可识别至少 1,536 个连续 token 的复制段落，与背景技能合并后检测率仍为 72.2%–77.8%。
说明是否复用缓存？跨模型KV缓存复用中的安全不兼容及缓解方法
简介该论文研究跨模型KV缓存共享时的安全问题：接收模型复用发送模型生成的前缀KV状态，可能偏离其原生安全行为。研究发现偏差方向和幅度取决于模型对与复用配置，值（value）复用造成的偏差明显大于键（key）复用。作者提出VReparo方法，离线学习逐层、逐KV头的仿射映射，在解码前对齐复用的值张量；在两组模型对上，平均HarmBench攻击成功率由57.28%降至39.21%，平均StrongREJECT得分由0.4215降至0.2163，同时保留85.62%的首词延迟（TTFT）降幅。
