arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明基于证书的后量子 WireGuard 预共享密钥配置：通过双向 TLS、DTLS 和 QUIC 实现
简介本文提出一种为 WireGuard 提供后量子安全性的架构，保留其核心协议，并为对等端加入基于证书的身份认证。控制通道基于 TLS 1.3 握手，采用 ML-KEM 进行密钥建立，并由 X.509 证书（使用 ML-DSA 签名）认证，派生出的共享密钥注入 WireGuard 的预共享密钥接口。作者还用 Tamarin 模型分析了相关安全性质，并评估了握手延迟与 CPU 耗时。
说明基于质量感知与最优传输的高效威胁情报指令微调数据选择
简介该论文针对网络威胁情报分析中指令微调数据质量难以保证、数据选择多样性不足的问题，提出 CTI-TDS 方法。方法先结合指令风格一致性与安全知识验证筛选高质量指令，再将梯度影响建模为分布对齐问题，利用熵正则化最优传输实现兼顾多样性的数据选择。在 CTIBench 上的多个大语言模型实验表明，仅用少量高价值指令数据微调时，该方法优于现有数据选择方法，并在威胁情报分析任务上取得有竞争力的表现。
说明基于分叉密码（forkcipher）的 AEAD 承诺安全性分析
简介本文研究基于分叉密码（forkcipher）构造的认证加密（AEAD）方案是否具备承诺安全性，即密文能否唯一绑定其加密输入。作者对现有构造进行了全面分析，给出正反两方面结论：部分设计存在固有缺陷，另一些则能提供有意义的承诺保证。文中还形式化了一种基于分叉密码的哈希构造并证明其抗碰撞性。
说明P2Patch：基于漏洞利用引导的漏洞修复（用对抗方式检验补丁，找出只修复原始利用样本的缺陷）
简介这篇论文提出 P2Patch，一个生成式对抗修复系统。它先由利用智能体构造可复现的漏洞证明（PoV），再由修补智能体修复程序，随后利用智能体尝试对已修补的程序发起同类漏洞的新攻击。每次攻击成功都会成为永久的修复要求，最终补丁须阻断所有累积的 PoV。在 101 个 C/C++ 和 Java 的 CVE 案例中，该对抗循环在 41% 的运行中发现了新的已确认利用；与单次修复相比，封闭覆盖率从 78.1% 提升至 84.7%。
看点提出生成对抗式修复循环，每次补丁后由攻击代理寻找同类新漏洞利用，并与单次修复及近期智能体系统对比，有明显新意。
说明在嵌入式处理器硬件层面缓解微架构泄漏
简介本文针对嵌入式处理器中的微架构泄漏问题，提出在寄存器传输级（RTL）修改通用处理器架构，从根源上消除泄漏，而不是依赖软件层面的管理。作者对各项对策分别给出形式化安全证明，并将其集成到Ibex处理器中，通过完整网络表的工具辅助泄漏评估和在FPGA上的物理实验进行验证。
看点提出在RTL层面消除微架构泄漏根源的新思路，并对Ibex处理器做形式化证明与网表及FPGA实验验证，影响面较广。
说明从不可提取的随机性实现秘密共享
简介本文研究两方两门限秘密共享所需的随机性条件。Bosley 与 Dodis（2007）的问题是：这类方案是否也必须能从随机源中确定性提取接近均匀的比特。作者给出否定回答：对每个 b≥2，构造了一类最小熵至少为 b 的平坦源，以及一个在这些源上完全正确且完全私密的方案，把 b 比特秘密分成两个 (b+1) 比特的份额。论文还将该思路推广到两方以上的门限方案。
看点通过奇偶性论证构造反例，否定了Bosley与Dodis的开放问题，并将结论推广到其他门限方案，理论贡献清晰。
说明FreeSBee：一种常数时间编译流程
简介本文提出并评估一套在编译阶段防御时序侧信道攻击的完整流程。流程先用污点分析找出依赖敏感信息的代码位置，再由编译器自动进行控制流变换以封堵潜在的时序泄漏。作者在运行于 RISC-V 内核的实际应用上，结合静态时序分析和统计方法进行了评估。结果显示，虽然未能做到周期级精确的常数时间执行，但统计结果表明加固后的二进制文件可以抵御时序攻击。
说明从不可提取随机性实现秘密共享：Bosley–Dodis 问题的否定回答
简介这篇密码学预印本研究两方秘密共享是否必须依赖可确定性提取近似均匀比特的随机源。作者构造了一类平坦随机源和一个完美正确、完美私密的两方方案，把 b 比特秘密分成两个 (b+1) 比特份额，并证明任何确定性函数都无法在该类源上近似均匀输出，从而否定了 Bosley 与 Dodis 提出的问题。
看点通过奇偶论证构造反例，否定了Bosley与Dodis提出的开放问题，并推广到多种门限方案，证明严谨。
说明线性码置换自同构求解难度研究
简介本文研究如何寻找线性码的置换自同构，考虑寻找非平凡自同构、生成集和自同构群阶数三个问题。作者给出多项式时间归约，表明这些问题在最坏情况下不太可能容易求解。文中还将自同构生成问题归约到图自同构群生成问题，对小规模 hull 维数的情形给出准多项式时间结论，并报告了一个概念验证实现在速度上优于 Magma 和 Sagemath 内置算法。
看点证明AUT与ISO之间的多项式归约，并给出准多项式时间算法，理论上对已知界限有显著改进；实验仅为概念验证。
说明支付终端中的防篡改感应网格及其他设备
简介本文分析了多款支付终端、ATM 密码键盘和数据中心硬件安全模块（HSM）中防篡改感应网格的实际构造，并附有关键部件照片。作者据此归纳出网格构造技术的分类，发现多数商用设备采用相当简单的构造，结构尺寸也很少接近制造极限。论文最后提出一组安全防篡改感应网格的设计模式，供实际实现与后续研究参考。
说明GeoCloak：通过修改边缘线索保护图像地理位置隐私的智能体框架
简介大型视觉语言模型能从单张照片推断拍摄地点，带来隐私风险。本文提出GeoCloak框架，先识别图像中决定地理位置的线索（多位于画面边缘），用语义编辑将其抑制，再辅以对抗扰动进一步削弱残留的地理特征。在涵盖108个国家、576个城市的四个数据集上，城市级准确率从41.2%降至9.9%，并称其在保持图像效用方面优于基线。
说明CoRedSkill：通过 AST 引导注入实现隐蔽的技能组合攻击
简介该论文提出 CoRedSkill，一种组合式红队测试方法，把智能体的多个可复用技能组合起来，在保持原有任务功能的同时嵌入恶意操作。作者构建了包含 150 个案例的基准，实验报告攻击成功率为 98.0%，任务成功率为 95.3%，检测率为 3.3%，联合成功率为 90.7%，远高于四个基线方法。结果表明，技能组合可以在完成合法任务的同时规避审计。
看点提出基于AST改写的跨技能组合攻击，揭示单包审计盲区；在150个用例上以98.0%攻击成功率和3.3%检出率验证，影响面较广。
说明ESAU：面向发布-订阅物联网网络、可用不可信云代理验证者的快速集群远程证明方案
简介这篇论文针对物联网设备的远程证明问题提出一种云辅助的集群远程证明系统。该方案面向资源受限的设备做轻量化设计，防止被动恶意管理员或被盗用的设备拥有者账户在未获云端授权时访问设备，并把远程证明与认证密钥交换协议结合。作者分析了系统的安全性质，并通过实现与仿真评估其可行性。
说明在神经处理单元上对数论变换进行软件流水线优化：基于循环拆分的方法
简介该论文针对后量子密码与全同态加密中的数论变换（NTT）计算，提出在AI加速器类型的神经处理单元（NPU）上加速的方法，以AMD AI Engine架构为例实现并测试。核心是手动循环拆分，将大型复杂循环分解为更小的基本单元，以实现高效软件流水线。基于此构建了radix-2、radix-4与radix-8三种NTT实现，在第一代AIE上相较已有工作在每个AIE tile的吞吐量和延迟上均有提升，并讨论了方法向其他NPU架构的可移植性。
说明先诊断再优化：用多维度评判反馈实现高效越狱攻击
简介该论文提出 JSB（Jev-Guided Strategy Bandit）框架，通过多维度概率化反馈指导对抗提示词的优化，以较少查询次数对大语言模型进行越狱攻击。在仅允许 10 次目标模型查询的条件下，JSB 在十个开源模型设置中的 HarmBench 平均攻击成功率为 89.8%，并进一步分析了不同查询预算和攻击者模型下的效果，同时指出现有过滤机制的局限。
说明指数中的 edaBitE 与基于 ML-DSA 和 VOLE-in-the-Head 的隐藏签发方盲签名
简介该论文提出了首个由签发方原样运行 NIST 标准化后量子签名方案 ML-DSA 的盲签名。签发即对承诺进行 ML-DSA 签名，盲签名则是对该 ML-DSA 签名的零知识知识证明（采用 VOLE-in-the-head 证明系统）。作者还提出了 edaBitE，一种二进制与素数域承诺之间的批量一致性检查。
看点首次实现由未修改的NIST后量子签名方案（ML-DSA）支持的盲签名，并提出edaBitE新型批量一致性检查，新意明显；但证据主要依赖摘要中的性能数字，缺少更广泛的验证。
说明静默触发，醒目痕迹：后门攻击隐蔽性的三空间测量研究
简介本文针对图像分类中的深度神经网络后门攻击，提出从输入、特征、参数三个空间测量其隐蔽性的框架。作者在四个数据集和三种模型结构上评估多种代表性攻击，发现在某一空间安静的攻击往往在另一空间很显眼，现有攻击很少能在三个空间都保持较小痕迹。文中还提出两个诊断指标用于补充现有测量。
说明CascadeLedger：LLM级联系统中信息与资源完整性的反事实审计框架
简介该论文提出CascadeLedger，一种用于预算受限语言模型级联系统的反事实执行审计框架。它要求先调用后读取、绑定服务与缓存标识，并在关联评分前冻结事件轨迹，以检测路由是否使用了不该可见的信息。在多组评估中，该双层审计的误报率为0.0000，并能检测出绝大部分序列化故障与未记录的隐藏读取故障。
说明有限样本下的双线性压缩安全性：基于有限次加密观测的密钥恢复研究
简介本文研究双线性压缩安全（BCS）方案在攻击者只能观测有限次加密时的密钥恢复问题。作者提出一种基于协方差的攻击方法，通过对同一明文的重复加密估计线性测量值，进而恢复秘密测量矩阵，并给出有限样本保证与样本复杂度界。实验显示，稠密矩阵（如高斯矩阵）所需测量次数随信号维度近似线性增长，而行稀疏矩阵则呈二次增长，与理论界一致，说明矩阵的稀疏结构对方案安全性有重要影响。
说明Nowhere Man：面向后量子匿名凭证的设备绑定方案
简介该论文提出一种模块化的设备绑定协议，专为后量子签名标准 ML-DSA 设计，用于防止匿名凭证被共享并支持个人身份证明。方案利用 ML-DSA 的结构来提高效率，且无需修改 FIPS 204 签名接口。作者还给出了概念验证实现以证明可行性。
说明《迷失在回退中：类型化决策模型对回退选项的使用有多可靠？》——考察用于请求路由等场景的类型化决策模型能否正确执行回退规则
简介类型化决策模型常用于请求路由和模型选择，回退选项用于处理常规选择之外的类别，例如转交人工专家或更强的模型。论文提出成对回退稳健性测试（PFR Test），检验模型能否在常规与回退选项之间正确切换，以及对同一规则的逻辑等价表述是否给出一致决定。研究发现，正确识别类别并不能可靠地转化为正确选择回退选项，即使明确给出正确类别仍会出错；逻辑等价的规则表述也会导致模型决定出现明显分歧。
说明针对IEEE-754有效性约束下STL文件的全局与局部熵检验
简介本文研究STL文件的密文熵检验。STL中大多数数值以单精度IEEE-754浮点数存储，且要求有限值，导致字节分布不均匀，指数字节对之间存在依赖。作者推导了有效STL分布下熵的精确均值与方差，并给出二阶展开以便计算全局参考值。结果显示，全局熵极限值由8比特降为约7.99991479609比特，局部熵的块大小与参考均值也相应改变，因此未经调整的熵检验可能误拒理想密文，建议使用文中给出的格式专用参考值。
说明通过整除性连接密码分析区分器
简介该论文研究积分区分器中输出分量的1比特数量能被高次幂2整除的性质，并以此将线性、积分、差分线性及受限差分和等方法通过可证明的转换关联起来。作者利用MILP/SAT模型自动发现并证明这些整除性质，还提出基于精确直方图与快速Walsh-Hadamard变换的黑盒搜索算法，在SIMON、PRESENT、SPECK、GIFT、Ascon等多种密码上改进了已有的整除界。
看点通过可整除性统一线性、积分、差分线性等区分器，并用MILP/SAT显著改进多个密码的界限，证据充分。
说明DarKnight：用于突破暗网验证码关卡的检索引导智能体框架
简介论文提出 DarKnight，一个可在单台工作站 GPU 上本地运行的自我改进智能体框架，用于解决网络威胁情报调查人员在暗网市场中遇到的验证码。它借助检索相似图像的历史成功与失败尝试，为每张验证码生成预处理方案，并依据站点的通过或失败结果持续学习。在四个真实暗网市场的案例研究中，最防护严密的市场上通过率达到 83.2%，高于基础模型 37.2 个百分点，表现也优于 Claude Opus 5（44%）。
说明面向可迁移网络入侵检测的自适应与近端联邦优化
简介本文研究联邦学习中不同优化器对网络入侵检测模型跨攻击类别迁移能力的影响，在CIC-IDS 2017数据集、11个客户端的设置下，将类FedAdam与类FedProx的优化器与FedAvg基线进行比较，并对比了自助法与SMOTE两种数据平衡策略。以迁移模型准确率超过70%的客户端配对数量为主要指标，文中报告近端优化器（强正则化）得到48对，高于FedAvg的42对；自适应优化器得到46对。研究还指出SMOTE能提高单对准确率但减少覆盖范围，表明优化器选择对联邦入侵检测很重要。
说明XL算法在正则症候群解码问题代数方法中的改进应用
简介本文研究基于编码的密码学中的正则症候群解码问题（RSDP），并通过代数方法求解。作者结合并扩展现有技术，构造了可取任意求解次数d的代数算法，并考虑了XFL和WXL两种变体。复杂度分析显示，在部分参数下，当分块大小较小时，使用较大求解次数的WXL变体更高效。
说明RedDarwin：针对前沿大模型的越狱技能进化框架
简介该论文提出 RedDarwin，一种智能体框架，将越狱攻击的进化单位从提示词转向可执行的攻击技能。框架以 47 个可复用的基础技能为起点，依据目标模型反馈自动修改、组合、执行并筛选技能，最终产生 65 个进化技能。原文报告称，这些技能在 AdvBench 上使基础攻击的平均攻击成功率从 18.8% 提高到 47.3%，并在未参与进化的模型上取得较高成功率。
看点将越狱攻击的演化单位从提示词转为可执行的攻击技能，并通过目标模型反馈自主组合演化，新意明显；在AdvBench、StrongREJECT及未见前沿模型上验证，证据较充分，对安全评测影响较大。
说明分析并缓解针对基于流量的入侵检测的投毒攻击
简介本文指出，基于人工智能的入侵检测系统依赖大规模训练数据，易受隐蔽投毒攻击。研究显示，仅污染0.001%的训练数据即可在基于流量的检测模型中植入潜在后门，且在干净输入上性能接近正常。作者提出先诊断的方法：通过受约束的扰动分析定位触发相关特征，并与蒸馏基线模型比较以检测投毒引起的行为偏移，还可借助自动数据清洗或神经元剪枝进行针对性缓解。
说明《No Way To Steal My Face》：针对保持身份特征的个性化生成的主动防御
简介该论文针对扩散模型生成个性化人像时可能泄露面部隐私的问题，提出了通用、与模型无关的身份保护框架IDGuardian。该框架将个性化过程拆分为身份提取与身份注入两个阶段，并通过对抗扰动同时干扰两个阶段，既适用于基于训练的方法，也适用于免训练的方法。作者称，实验表明该方法在多种流程和模型架构上有效，并对后处理、自适应攻击及跨数据集情形保持稳健。
说明AWARE-RG：面向信息系统与工控系统的弹性图可感知抽象解释框架
简介本文提出AWARE-RG，一个半自动、有人参与的框架，为信息技术与运营技术融合的网络物理系统提供按角色范围划分的弹性路径解释。该框架基于形式概念分析并依据MITRE ATT&CK for ICS战术与ICS网络杀伤链构建抽象结构。对于有效的攻击-故障查询，它识别缺失依赖并说明物理危害为何可达，同时给出防御策略；对于无效查询，则定位路径失败的首个抽象层级并报告已确认的阻断条件。
说明用 NVIDIA Blackwell GPU 的域运算加速 Pollard rho 算法
简介本文研究如何在 NVIDIA Blackwell GPU 上通过重写域运算来加速 Pollard rho 算法，以 Certicom 挑战 ECC2K-130 为基准。加速来自打包的正规基表示、硬件无进位乘法指令、三输入逻辑指令以及按测量调优的批处理与内存布局，而非改变算法本身。作者报告单卡吞吐量较 2010 年最佳公开 GPU 实现约提升 230 倍，并称整个挑战可在五个 GPU 年内完成，同时说明此结果不改善通用群的理论下界。
看点通过GPU字段算术与clmad指令重构Pollard rho实现，性能提升有实测支撑，但算法本身无新意，属于工程优化。
说明私有 Transformer 推理的可比性、规模与归因：基于图的分析
简介该论文梳理了 62 个私有 Transformer 推理（PTI）系统，将系统属性映射为节点特征、评估兼容性映射为边，构建经验图谱。分析显示，密码学进展带动了多数系统的性能提升，但总与模型保真度、硬件、成本核算等因素同时出现；在 1891 组候选系统对中，仅 1 对可在共同假设下直接比较。此外，论文指出私有推理的规模前沿已停滞在 130 亿参数，并估算了当前技术部署于生产级 Transformer 的成本。
说明自主无人机自动驾驶仪逻辑缺陷的自动发现研究（Mission (Im)Possible）
简介本文针对开源无人机自动驾驶软件中难以发现的逻辑缺陷，提出多智能体系统 IMF（Impossible Mission Finder），结合静态分析、动态执行与日志分析，自动提出、测试并验证逻辑缺陷假设。作者在开源自动驾驶系统 PX4 和 Ardupilot 上评估了 IMF，共发现 105 个此前未知的逻辑缺陷，可能导致任务中断、无效操作、进入限制飞行区等不安全行为。
看点提出基于多智能体的自动化逻辑缺陷发现框架，并在PX4与Ardupilot上发现105个未知缺陷；实验规模可观，但摘要中的验证细节有限。
说明你签名的不是你运行的：量化大模型供应链中的可验证性缺口
简介论文指出，模型签名只能验证发布的全精度权重，而用户实际运行的量化文件，其生成过程在现有披露信息下无法唯一确定。作者对 Hugging Face 上下载量最高的 198 个 GGUF 仓库审计，没有任何仓库记录构建环境，独立可重复推导率为 0/198。通过补充卡片未写明的两项构建参数（浮点收缩设置与混合模型的逐张量量化方案），可在 x86 上逐位复现 7/8 个目标量化文件。
看点提出可验证性缺口与独立可验证率(IVR)新度量，并定位出影响复现的编译设置与量化配方两个被忽略坐标，新颖且证据较充分。
说明DPF-SGD：具有精确最优性保证、可抵御拜占庭攻击的差分隐私联邦随机梯度下降算法
简介这篇论文提出 DPF-SGD 算法，用于在分散数据上进行联邦学习，并通过差分隐私保护模型更新的隐私。算法结合私有步长与差分隐私噪声衰减机制调节梯度更新，并设计了隐私保护的比较淘汰过滤器（PPCE）以抑制拜占庭节点的恶意贡献。论文称在 ϵ-差分隐私下几乎必然收敛到全局最优，并在合成数据和 MNIST 数据集上，相对差分隐私基线将最终优化误差降低了一到两个数量级。
说明MMA-SafetyBench：多模态智能体安全评测基准
简介该论文研究多模态智能体在视觉界面中被伪造元素误导、偏离授权任务的风险，称为视觉语义劫持。作者提出轨迹引导方法，把可复现的视觉载荷插入观察流，并构建了包含1,083条对抗轨迹、覆盖五类领域的MMA-SafetyBench。在九个被评测模型中，攻击成功率最高达87.96%，语义妥协率最高达98.09%；安全优先提示词可降低攻击成功率，但未能消除该失效模式。
说明云环境挖矿劫持检测中机器学习方法的实证评估：预处理与评估方法的影响
简介本文对六种常用经典机器学习模型在云端挖矿劫持（cryptojacking）检测中的表现进行了实证比较，考察不同预处理与评估设置的影响。由于目前没有公开的云原生挖矿劫持数据集，实验采用了两个公开的代理数据集DS2OS和NSL-KDD。结果显示，预处理方式与评估协议会显著影响模型表现，在NSL-KDD的未见攻击类型测试集上准确率为77%至80%，而随机划分训练测试集时则超过99.5%。
说明马尔可夫链的差分隐私学习：项目级与用户级隐私下接近最优的样本复杂度
简介本文研究如何在差分隐私约束下，从 N 条长度为 T 的独立轨迹中估计离散遍历马尔可夫链的转移矩阵，误差按行的最大 ℓ1 范数衡量。结果依赖状态数、最小平稳概率和伪谱间隙。项目级隐私下给出上下界，区分采样、状态占用与混合以及隐私的代价；用户级隐私下，对足够长的轨迹将问题归约为私有乘积分布估计，并给出相应的最优界。
说明AutoPoly-HE：面向加密推理的多项式激活函数自动设计
简介本文提出一个自动化框架，针对每个数据集和模型选择合适的多项式激活函数，用于同态加密下的隐私保护推理。研究在多个数据集上评估了 ResNet 与 Vision Transformer 模型，结果显示 Transformer 模型在多项式近似下保持较高准确率，而卷积模型随任务复杂度增加而退化明显。此外，基于 CLS 标记的推理流程减少了与网络深度相关的运算，降低了计算开销。
说明基于树木年轮分析的TEE加密数据库快照明文直方图泄露
简介这是一篇关于密码学攻击的预印本论文，标题为《Snapshots of TEE-Based Encrypted Databases Leak Plaintext Histograms via Dendrochronology》。论文探讨基于可信执行环境（TEE）的加密数据库快照可能通过类似树木年轮分析的方式泄露明文直方图。该文件目前处于禁运期，计划于2026年10月底公开。
说明大模型是否真的回答了问题？一种用于越狱评估的语义重构博弈方法
简介论文指出，评估大模型越狱攻击时常用的攻击成功率很依赖评判模型，仅更换评判模型就可能使报告的成功率相差最高82个百分点。作者提出无需训练的“语义重构博弈”评估器，让模型根据回答内容重构其实际回应的请求，并与相似的干扰请求比较，必要时可弃权。在三个现成的大模型评判器上，该方法与人工标注的平均误差最低，并降低了报告成功率的波动，但更注重避免误判，可能漏掉部分成功的越狱。
说明揭开秘密代码：用金丝雀记录揭示 SFT 中被遮蔽的上下文如何控制记忆
简介金丝雀是包含已知秘密的合成训练记录，常用于检测语言模型是否泄露训练数据。该研究通过受控微调实验发现，秘密在训练输入中的呈现方式会显著影响模型的记忆效果，重复次数本身不足以刻画记忆。改变金丝雀出现的时机或与之共现的其他金丝雀，也会明显改变测得的记忆程度，因此审计结论需要在这些设置下检验。
说明TrackShield：针对高性能实时多目标跟踪可用性攻击的高效运行时防御
简介论文提出 TrackShield，一个轻量级运行时资源管理层，用于保护多目标跟踪器免受 SlowTrack 等可用性攻击导致的持续性负载累积。该方法结合异常监测、分级新生轨迹限制、剪除年轻或匹配较弱的轨迹以及关联输入准入控制。在 Jetson AGX Orin 上，攻击下跟踪阶段延迟从 139.90 毫秒降至 6.27 毫秒，整条流水线 P99 延迟从 190.9 毫秒降至 48.8 毫秒，正常场景下 MOTA 下降 1.06 个点。
说明私密 Transformer 推理的可比性、规模与归因图谱分析
简介本文将 62 个私密 Transformer 推理（PTI）系统构建为一张实证图谱，节点表示系统属性，边表示评估条件的兼容性。作者从节点、边和图三个层面分析：密码学进展通常带来性能提升，但总与其他因素同时出现；在 1891 对候选系统中，只有 1 对能在共同假设下直接比较；此外，该领域的规模上限似乎停留在 130 亿参数。
说明超越恶意判定：对智能体技能攻击面的静态与运行时画像分析
简介该论文研究基于 Markdown 的智能体技能，指出安装技能即授予智能体行动的权限。作者结合静态分析、依赖溯源检查与沙箱运行追踪，对来自两个市场的 6,309 个条目进行攻击面画像。结果显示，约一半条目具有执行 shell 的能力，超过七成至少包含一项提升的能力，而用户安装时几乎无法看到这些风险；作者由此主张，应以能力分析作为恶意检测的必要补充。
看点提出面向代理技能的能力导向攻击面画像方法，结合静态分析与沙箱执行，对6309个列表做了大规模测量，揭示声明与实际能力不符的问题。
说明AgentCIScope：面向大模型智能体的情境完整性评测基准
简介该论文提出 AgentCIScope，一个用于评估大模型智能体情境完整性（即信息流动是否符合具体场景披露约束）的平台与基准。它把公开及合成的隐私案例转化为跨多种应用环境的可执行多步任务，披露约束依据隐私政策、人物画像认同及预定义的敏感属性分类确定。对 12 个智能体在 936 个任务上的评测显示，任务完成能力强并不代表能保持情境完整性，单次运行泄露率为 32.5% 至 94.4%。
说明后量子密码与量子密钥分发的结合：分类、构造、证明、标准、部署与开放问题
简介这篇综述探讨如何将后量子密码（PQC）与量子密钥分发（QKD）结合，使会话密钥在二者之一仍安全时保持安全。文章以已部署的经典加后量子混合密钥交换为基线，提出混合设计的八维分类，比较已发表协议及相关标准，并梳理安全论证、部署证据与标准政策。最后列出认证、共享基础设施威胁模型、形式化验证等开放问题。
说明CyberArena：在实时对称攻防对抗中评测AI智能体
简介该论文提出CyberArena，一个动态的对称对抗基准，两个智能体在隔离沙箱中同时扮演攻击方与防御方，争夺持续变化的服务。系统还包含自动生成和验证新环境的流程，并用动力学模型把对战结果转化为进攻、防御及领域能力的多维评分。作者用12个前沿大模型智能体在40个挑战、466场对局中进行了评测。
看点提出动态对称攻防对抗基准并用动力学模型统一评分，新意明显；在12个前沿智能体、466场比赛中验证，证据较扎实，对网络安全智能体研究有一定影响。
说明AegisAsync：面向 Python 异步程序风险的符号化异步事件模拟分析
简介该论文提出 AegisAsync，一种基于字节码的 Python 异步程序风险分析方法，支持 CPython 3.10 至 3.14。它通过异步事件转移图和有界路径模拟，跟踪事件顺序、对象状态以及在 await 挂起点的取消情况，并由六个检测插件生成带证据的风险候选。在作者构建的含 180 个已标注风险的基准上，它检出全部风险且各版本均无误报；在 PyPI 包的实际审查中，部分候选得到确认，作者也报告了相关漏洞并有 16 个已被修复。
看点提出基于字节码的异步事件迁移图与路径局部符号模拟，结合取消点探索，方法新颖；在180个标注基准与2500个PyPI版本上验证，证据较充分，已报告并修复部分漏洞。
说明EFI 对与 1PRS 等价：量子密码学中的最小假设
简介本文证明 EFI 对（高效可区分的量子态对）与扩张型单副本伪随机态生成器（1PRS）等价。此前 Cavalar 等人的结果依赖非一致性构造，本文去除了这一非一致性，从而得到 EFI 对的首个一致性（uniform）元复杂度刻画。结合 Batra 与 Jain 证明的可统计验证单向态生成器与承诺方案的等价性，这为量子密码学的最小假设提供了与经典单向函数、承诺和伪随机生成器等价关系相对应的结论。
看点消除了 Cavalar 等人构造中的非一致性，证明 EFI 对与扩张型 1PRS 等价，并给出首个一致性元复杂度刻画，理论突破明显。
说明从字节到威胁：用于恶意软件检测的字节序列 Transformer
简介该论文提出 MalwareFormer，一种基于 Transformer 的字节级恶意软件检测框架，直接处理可执行文件的原始字节，无需领域知识或特征提取。原文报告其准确率为 98.35%，平衡准确率 98.32%，宏观 F1 为 98.32%，误报率为 1.94%，并称其在各项阈值相关分类指标上优于两个基线方法。
说明动态攻击面：分支过程队列模型
简介本文提出用“分支过程队列”刻画动态攻击面，把漏洞发现、受资源限制的修补，与针对每个漏洞的攻击者数量变化耦合起来。主要风险指标是漏洞在修补前累计被利用的次数。作者推导了两类攻击者活动模型下的期望累计利用次数，并指出在某一模型下存在相变：只有攻击者增长低于漏洞发现率和有效修补率时，期望值才有限。
看点提出排队分支过程模型刻画动态攻击面，推导BDI与RD模型下的期望累计利用次数，并给出相变结论，理论上有新意。
说明ARACDE：借助外部授权引擎为数据库改造属性访问控制（ABAC）
简介该论文提出一种方法，将关系型数据库的授权逻辑与核心数据管理引擎分离，使其能够在尽量少改动代码的情况下实现更复杂的访问控制策略。作者将这一解耦架构命名为ARCADE，把访问请求的判定交给可形式化验证的策略引擎（如Cedar），由数据库执行判定结果。在MySQL和PostgreSQL上的实验显示，性能开销很小，在TPC-C基准下，MySQL吞吐量下降不超过3.9%，PostgreSQL为1.3%。
说明《Nudge the Judge》：揭示真实 Jev 应用中的程序决策劫持问题
简介该论文指出，Jev 类模型把开放式语义上下文转为结构化判断并直接驱动程序执行，由此带来“Jev 程序决策劫持”（JPDH）风险：攻击者可借助格式合规的判断改变程序决策。作者提出自动化评估框架 JevProbe，并构建基准数据集 JevProbeBench。在 228 个真实应用、2,273 个测试用例中，81.5% 出现决策翻转，其中 98.6% 可能带来下游安全影响。
看点提出新的程序决策劫持问题并构建自动化评估框架，在228个真实应用、2273个用例上验证，81.5%出现决策翻转，影响面较广。
说明DPOison-VL：面向视觉语言直接偏好优化的隐蔽偏好投毒攻击
简介本文提出 DPOison-VL，是首个针对视觉语言模型直接偏好优化（VLM-DPO）的隐蔽偏好投毒攻击。攻击者只在少量训练图像上加入人眼难以察觉的扰动，提示、回答和偏好标注语义保持不变。实验显示，在仅投毒 2% 数据时攻击成功率最高可达 98%，并具有跨模型迁移性，同时基本保持干净准确率，揭示了该训练方式中的安全漏洞。
看点首次提出针对视觉语言DPO的干净偏好投毒攻击，并用双层优化与梯度对齐代理，在多模型上以2%投毒数据达到高攻击成功率。
说明用于训练和评估防御型AI模型的自主网络作战训练环境
简介该论文提出一个名为ACO gym的自主网络作战训练框架，整合了高保真网络仿真、良性及对抗性流量的用户行为建模，并可通过开源工具生成网络安全场景。框架支持在数据包和流量层面提取特征，用于制作带标签的合成数据集，以训练基于深度神经网络的入侵检测系统，并评估自主防御代理。实验显示，DNN分类器在框架内同域表现良好，但对域偏移非常敏感，即使流量协议分布等网络构成的细微变化，也可能导致模型迁移能力与检测性能大幅下降。
说明自适应对手下具身与智能体AI统计保证的局限
简介本文证明：有限次安全评估无法排除一种对手——它在认证前保持与正常行为一致，认证后才激活攻击。作者给出认证后事件的期望数量公式，并在机器人协作与工具使用的模拟实验中验证该局限。文中还提出一种混合似然比监测器，可在永久撤销认证的前提下限制累计超额违规。
看点证明了对抗者可在认证后触发攻击，给出线性期望超额事件的下界，并提出基于混合似然比的可撤销监测器，结论有较强新意。
说明X.js：Node.js 污点式漏洞的实时基准数据集
简介该论文提出 X.js，一个持续更新的 Node.js 污点式漏洞基准，涵盖代码注入、命令注入、原型污染和路径遍历。数据基于截至 2026 年中的 1,738 条安全公告（主要来自 GitHub 安全公告数据库），每个漏洞配有源和汇位置、已验证的可执行利用代码及执行轨迹，部分提供修补版本。当前版本包含 965 个软件包的 1,159 个已验证利用。研究发现，此类漏洞越来越多出现在大型软件包中，中位数软件包规模从 2021–2022 年约 250 行代码增至 2026 年的 6,100 行。
说明重新思考大语言模型路由中的质量：基于安全条件的模型与预算选择
说明提示分割与ROI加密结合：基于扩散隔离的细粒度视频保护
简介该论文针对H.265/HEVC视频中的感兴趣区域（ROI）选择性加密问题，提出一种提示分割引导的编码单元级ROI加密算法。方法将像素级ROI掩码按重叠阈值映射到编码单元，并将边界单元细化到8×8粒度，同时设计空间与时间双重扩散隔离策略，以减少加密引起的失真扩散。原文报告实验结果表明，该方法生成的加密区域更贴合不规则ROI边界，并能将失真限制在ROI内。
说明基于自适应高斯混合模型的物理层异常检测
简介本文针对物理层欺骗攻击（通过篡改信道状态信息干扰无线定位）提出一种基于自适应高斯混合模型（GMM）的检测框架，通过学习合法信道状态信息模式并用统计异常检测识别空间不一致。使用64单元均匀线阵、5毫米空间分辨率的大规模MIMO实验数据集进行评估，位移超过150毫米时检测率为95%至98%，误报率为1%，并与传统GMM、LOF、单类SVM和k-NN等方法进行了比较。
说明迈向计算机操作智能体的安全自主
简介论文指出，现有基于对齐训练和安全分类器的防护无法排除复杂的间接提示注入攻击。作者提出SA-CUA双LLM框架，依据无障碍功能树推导保守的确定性规则，为计算机操作智能体划出可信区域并隔离可信与不可信内容。实验显示，该方法在保持较高实用性的同时，攻击成功率为零。
