arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明面向生成式AI视频的取证鉴伪：基于电网频率（ENF）的智能体框架
简介本文提出一种视频取证框架，利用电网频率（ENF，音频中的电网嗡声或视频中的闪烁）这一生成过程无法控制的信号来鉴别视频真伪。框架包含统一的双通道检测器、基于合成注入的训练方法、用于校验录制时间的参考匹配模块，以及融合录制真实性与内容篡改证据的智能体调度器。实验显示，在保留的真实录制数据上，检测器对真实音频和视频的接受率分别为93%和100%，时间验证的AUC达到1.0，级联方案在准确率不降的情况下减少了54%的耗时。
说明SecAgg++：一种抗量子的隐私保护联邦学习协议
简介安全聚合是隐私保护联邦学习的基础组件，但现有多数基于掩码的安全聚合协议不具备后量子安全性。本文提出 SecAgg++，一种面向单服务器场景、基于掩码的后量子安全聚合协议。该协议集成了后量子密码原语，同时保持了 SecAgg 和 SecAgg+ 等经典方案的通信与计算效率，并通过高效的恢复流程支持客户端掉线处理。
说明《已编码却暴露：语言嵌入在推荐系统中可能泄露超出预期的信息》：说明该论文研究语言嵌入在推荐系统中的隐私风险，表明其可被用来识别项目甚至用户身份。
简介这篇论文研究推荐系统中用于表示项目内容的语言嵌入是否会泄露隐私。作者表明，当攻击者掌握外部来源的辅助文本时，一种简单的余弦相似度攻击就能较高概率地识别项目身份，并可进一步推断用户身份。作者还测试了模糊化描述的缓解方法，发现隐私泄露与推荐效用之间存在明显的权衡。
说明BiShield-TEE：关于单侧权重混淆在设备端可信执行环境分割大模型中的（不）安全性
简介论文指出，在设备端大模型中，常见的可信执行环境（TEE）单侧矩阵混淆方法存在“解确定性”漏洞，攻击者可借此推断真实密钥并破解保护。作者提出双侧框架BiShield-TEE，对输入和输出维度联合混淆，使真实密钥淹没在多个同样有效的候选解中。实验显示其攻击准确率被限制在全屏蔽黑盒基线水平，且在真实硬件上推理效率优于既有方法。
说明联邦艺术追逐：联邦微调中的隐私泄露与数据投毒
简介本报告研究在联邦学习中对预训练模型进行联邦微调时的隐私与完整性问题。基于 Quick, Draw! 十类数据的实验显示，单次客户端更新可让诚实但好奇的服务器恢复私有标签集，但重建图像更接近类别原型；后门攻击在恶意客户端比例较高时成功率明显上升；FLTrust 能有效降低后门与标签翻转攻击的成功率，但在所有客户端都恶意时失效。
说明为无法证明的风险定价：加密协议中的不确定性、转闸挤兑与可验证性折价
简介本文研究隐私保护协议在修复漏洞时，若无法确定过去是否已被利用，可能产生的价值下降（称为可验证性折价）。作者提出 VDISC 框架，分别记录报告损失、暴露价值、公开证据、收益率与资金池流动，并结合 Orchard 分阶段披露、链上流向重建、早期 Zcash 案例及 40 个安全事件样本进行分析。结果显示市场反应方向与理论预期一致，但仅为方向性观察，并非因果结论。
说明超奇异椭圆曲线与其Frobenius共轭之间最短同源映射的光滑性
简介本文研究超奇异椭圆曲线E与其Frobenius共轭E^(p)之间最短同源映射的次数δ_E。作者对δ_E的光滑概率给出了界，从而证实Wesolowski针对超奇异自同态环问题、复杂度为p^(1/3+o(1))的攻击是无条件成立的。文中还给出了E与E^(p)之间存在次数为n的连接同源映射概率的一致渐近公式，其主项由Dirichlet L值表示。
说明毒化邻域：面向大规模 HNSW 检索增强生成系统的拓扑感知主题级攻击研究
简介本文研究基于 HNSW 近似最近邻索引的大规模检索增强生成（RAG）系统遭受投毒攻击的问题。作者提出一种拓扑感知的主题级攻击，将投毒文档组织为 Hub-Satellite 结构，并结合实体声明提升方法以影响生成结果。在 200 万篇维基百科文档上，该攻击保持了超过 72% 的检索成功率，攻击成功率达到 31.29%，并表明现有投毒防御方法难以抵御此类攻击。
看点提出面向HNSW索引的拓扑感知主题级投毒攻击，结合Hub-Satellite结构与实体声明促进；在2M文档Wikipedia上验证，并分析图结构影响。
说明对 Eevee AEAD 系列认证加密模式的结构性密码分析
简介本文针对 CCS 2023 提出的 Eevee 认证加密模式族（Umbreon、Jolteon、Espeon）进行结构性分析，指出其算法设计与在线认证加密的证明步骤存在缺陷。作者给出多种区分器与伪造攻击，并认为这些问题源于模式设计本身，仅修正实现编码无法解决。
看点发现Eevee三种AEAD模式的结构性缺陷并给出具体区分器与伪造攻击，推翻了原始证明，但证据主要为理论推导与对C代码的检查。
说明自我进化后哪些水印会留下：复制智能体框架中的溯源标记
简介智能体框架（提示词与工具代码）容易泄露，有人可能把泄露的框架经自我进化工具改写后冒充原创。论文用三种进化器、五种提议模型和两个环境测量了现有溯源标记在这种攻击下的存活情况：已发布的标记大多失效。作者据此提出新的标记方案，基于公开游戏构建的物体位置表中近似并列条目的顺序，在保留该顺序的改写中仍可检测到，但通用化改写可能将其移除。
看点提出针对复制代理框架的隐蔽改写攻击并设计新水印，实验覆盖多种改写器与环境，但规模有限且对抗方案仍有明显漏洞。
说明S3 兼容对象存储中并发客户端下后量子密钥封装的基准测试
简介这篇论文研究后量子算法 ML-KEM 用于对象存储端到端加密时的性能开销。作者在 S3 兼容对象存储上，对比了 ML-KEM 与传统密钥交换，测试了两种客户端实现、两类处理器及最多 500 个并发工作线程。结果显示，只有客户端处理器接近满载时吞吐量才会下降，主要客户端下降 4.0%至4.9%；持久的代价是每个对象多占用 1,056 字节存储。
说明用代数几何加速 Sumcheck 协议
简介本文提出一种基于代数几何构造的新乘法码，使二进制消息的乘积仍为二进制消息，从而减少证明系统中 Sumcheck 协议第一轮（单变量跳跃）的计算开销。作者在 F_{2^128} 上给出显式构造，并在 Flock 证明系统中实现了该协议（称为 AG skip）。实验显示，在 2^32 个约束下，跳跃轮加速 2.36 倍，整体 zerocheck 加速 1.65 倍。
看点基于代数几何构造二进制保持的乘法码，显著减小证明者开销；在Flock系统中实测加速，证据较扎实，适用于子领域。
说明Matoi：面向智能体授权的后果证据选择性复验
简介该论文提出 Matoi 框架，将可复用的后果证据与当前执行权限及持久化的发生历史分开处理。消费者只复用自己已检查且观测仍有效的证据，签名请求、有效授权、配额和不确定结果仍各自单独处理。实验为受控的脚本化合成工具测试，不涉及真实自主智能体或真实银行。结论仅支持有界、可审计的复用与执行契约，不代表通用增量算法或生产环境中的优越性。
说明基于格承诺的门限后量子电子投票方案 T-EVOLVE：即使部分管理机构缺席也能完成计票的格密码投票协议
简介该论文提出 T-EVOLVE，一种基于格承诺的同态电子投票协议，把选票用 Shamir 秘密分享分给 n 个管理机构，任意 t 个参与校验的机构即可完成计票。协议在最多 t-1 个机构共谋时保护选民隐私，并对所有机构保证计票可验证，同时作者在经典随机预言机模型下给出了隐私、可验证性等证明。实现测试中，四个机构的是否类选票约为 109 KB，每次成功计票约三分钟处理 10^4 张选票。
说明评估并改进面向 Rust 的静态应用安全测试工具
简介本文先对主流 Rust 静态应用安全测试（SAST）工具进行实证评估，使用真实 Rust 应用中已发现的安全漏洞检验其有效性，并归纳常见缺陷及根本原因。基于此，作者提出 TRUST，一个由大语言模型辅助的自动化测试框架，通过自动分析官方 Rust 参考文档生成语义保持的变换，进而生成变异程序以评估工具并发现其中的缺陷。论文称 TRUST 在六款主流 SAST 工具中发现了 46 个缺陷，其中 17 个已获确认。
说明QuasiLeak-Bench：基于大语言模型的隐私检测器评测，考察依政策判定的准标识线索组恢复能力
简介该论文提出 QuasiLeak-Bench，用于评测隐私检测器能否在发送者设定的披露政策下，找出并标记那些单独看较弱、组合起来却能揭示个人隐私属性的“准证据组”。实验显示，现有隐私检测器迁移效果差，本地部署的大语言模型检测器明显落后于商用模型，主要因为漏掉大部分准证据组；但在训练集上微调的 4B 模型在留出文档上超过了最强的提示式模型。
说明结合大语言模型与动态分析，对静态应用安全测试工具进行通用测试
简介静态应用安全测试（SAST）工具本身也可能有缺陷。本文提出 LLM4SAST，利用大语言模型生成多种编程语言的程序变体，并结合动态反馈筛选变体、聚类故障，以检测这些工具中的错误。论文报告，该框架在六种 SAST 工具中发现了 66 个独立故障，其中 32 个在报告给开发者后已被确认或修复。
说明当旋转无法约束：物理扣押下将流式图像分类器部署到现场节点
简介该论文研究在现场节点本地运行图像分类器时，模型可能被物理扣押窃取的问题。作者提出一种不在设备上持久存储模型的方案：把可分块的多出口模型流式载入易失内存并定期轮换，以限制残留内容。实验在真实LTE轨迹上针对被动与自适应攻击者进行，结果显示该方案无法抵御有能力的攻击者，只是恢复代价有所不同。若攻击者能获得同架构的公开预训练骨干，则几乎可完整恢复模型。
说明清洁标签恶意软件后门中的触发值选择：有效性与可检测性分析
简介该论文研究针对基于特征的恶意软件分类器的清洁标签后门攻击中，触发特征取值的选择问题。作者在 EMBER 2018 与 EMBER 2024 的 Win64 PE 子集上用 LightGBM 评估了多种取值选择策略。结果显示，激进的策略攻击成功率高但更易被 Isolation Forest 等清洗方法检测，而 CorrCountAbsSHAP、Quantile95 等策略可在保持攻击效果的同时降低投毒样本召回率。
说明可恢复性控制下大语言模型的安全校准偏差
简介该论文指出，许多评测只看模型最终回复，难以区分模型是否理解了意图与其安全行为。作者提出RiskCueBench基准，先检验模型能否恢复高层意图，再在同一提示上评估其安全表现。基准包含160个潜在意图和640条抽象的非操作性表层提示，覆盖八类风险，共纳入25组模型与32,000条有效输出。论文报告，在两种表层形式均可恢复的样本中，语境化的具体程度上升会使模型倾向于更不安全的行为。
说明从单次查询到多次查询：检索增强生成中隐私核算的批判性综述
简介本文综述检索增强生成（RAG）系统中的差分隐私核算，探讨隐私预算如何从单次生成扩展到多次查询场景。作者将现有方法分为查询时隐私化、多查询核算和一次性语料隐私化三类，分析其假设与隐私-效用权衡。文章提出以隐私粒度、核算范围和发布边界三个维度解读DP-RAG的保证，并认为单独的ε值只有配合这三项才有意义。
说明对称布尔函数在多方私密同时消息模型中的复杂度
简介本文研究多方私密同时消息（PSM）这一非交互安全计算模型中，对称布尔函数的通信复杂度，每方持有一个输入比特。作者证明了计算 OR 的支持私密协议存在超线性下界，并给出 MAJ、EMAJ、MOD 等函数的若干下界。同时给出了对所有对称布尔函数的完美私密协议，通信量为 Õ(n^{3/2})，优于此前的二次界。
说明干净数据也可能携带后门：面向模型复用的支撑持久后门
简介本文提出DAR（发现并重标注）方法，用子空间聚类在低维特征中找出自然存在的模式，只对天然满足该规则的样本修改标签，不加入人工触发器。测试时通过局部修改目标图像对应的子空间来激活后门。论文称在ImageNet分类和基于CLIP的提示调优中攻击准确率与现有先进后门攻击相当，且在干净数据知识蒸馏后攻击成功率仍保持在96%以上。
看点提出支持持久后门，在干净数据蒸馏后仍保持高攻击成功率，挑战了KD可净化后门的普遍认识；实验覆盖ImageNet与CLIP提示调优，但规模与对比细节有限。
说明FedPix：在联邦学习中学习少泄露的共享内容
简介该论文关注联邦学习中客户端应共享什么信息，提出FedPix方法，让客户端共享紧凑、可直观检视的图像而非模型更新或中间特征。方法通过平衡任务效用与抗重构能力来决定保留和舍弃的信息，服务器无需接触原始客户端数据。实验在BloodMNIST、CIFAR-10、FashionMNIST和MNIST上进行，报告了较低的重构PSNR，并给出客户端运行时间降低和分类准确率数据。
说明针对HQC和BIKE的故障注入攻击：超越Fujisaki-Okamoto验证环节的探索
简介该论文研究针对基于编码的后量子密钥封装方案HQC和BIKE的故障注入攻击，重点关注解封装过程中除Fujisaki-Okamoto变换之外、较少受保护的指令。在NIST一级参数下，攻击仅使用有效密文即可实现完整密钥恢复，所需解封装查询次数分别约为17392次（HQC）和约300万次（BIKE）。作者还提出了通过分析扰动条件下解码器行为来识别有效故障位置的通用方法，并在STM32H7微控制器上用激光故障注入完成了实验验证。
看点提出超越FO变换的新故障注入攻击，针对HQC与BIKE实现完整密钥恢复，并在STM32H7上以激光注入实验验证，证据较充分。
说明显式约化APN置换：分歧与最优伽罗瓦环提升
简介本文针对奇数m≥5、q=2^m，给出一类显式约化多项式P_{m,r}，它是F_q上的APN置换，系数取自F_2且有3r-2项。文中确定了该多项式作为射影直线映射的分歧结构，并给出其在伽罗瓦环GR(2^k,m)上的0/1提升与求值方法，还分析了提升后微分行的精确形式。
看点给出显式APN置换族并完整确定分歧结构，且给出Galois环提升的精确差分行，理论推进明确，但影响集中于子领域。
说明Amora：通信高效的私有近似最近邻搜索
简介本文针对云端向量数据库的近似最近邻搜索，提出查询隐私保护问题：查询向量可能泄露用户意图。作者提出 Amora 系统，将 SimplePIR 应用于分区图索引，以双 PIR 布局分摊通信开销，并引入批量 PIR、质心剪枝等优化。在五个数据集上的实验显示，相较于 Pacmann，其在线通信量减少 93%–99%，且搜索精度更高。
说明奇数维二次APN置换的最优约化代表元
简介本文研究二元有限域上二次几乎完美非线性（APN）置换的约化多项式代表元的形式导数。作者证明，对每个奇数n≥5，此类置换都可经可逆二元线性变换得到一个导数无零且各非空纤维恰含两个元素的版本，从而可提升为伽罗瓦环上具有最优差分均匀度的置换多项式。论文还说明n=3时该结论不成立，偶数n时不存在此类置换；对n≥9的情形，存在性证明已在Lean 4证明助手中验证。
看点证明了奇数维所有二次APN置换都存在使导数无零且非空纤维恰为两元的线性等价形式，并给出n=3与偶数维的精确界，对已知猜想有显著推进。
说明CARE-SD：用于本地小型语言模型分析文本中自我披露的可解释推理架构
简介本文提出CARE-SD架构，用于在网络安全访谈文本中识别受访者的自我披露内容。该架构包含四个模块，包括上下文自适应处理、分层披露推理、解释一致性验证和跨批次整合。研究使用82份经独立标注的访谈对三个本地小型语言模型进行测试，结果显示该架构将Llama 3B的Macro-F1从0.80提升至0.88，并使无依据主张减少60%。
说明ExecWeave：面向可观测智能体软件的跨层执行溯源
简介本文提出 ExecWeave，一个本地优先的系统，将应用层的逻辑操作记录与操作系统独立观测到的运行时事件合并为带类型的执行图。系统保留各来源的原始数据，区分逻辑事件与重复证据，并记录归因、推断和因果状态等元数据。可选的命令与进程关联器只在有限搜索得到唯一兼容进程时生成非因果的推断桥接，且唯一性并不保证因果正确。
说明具有多项式复合性质的平移不变置换：构造与代数结构
简介该论文研究 F_2^n 上一类平移不变变换，由与 landscape 相关的递归映射序列构造。作者给出该序列具有多项式复合性质的充要条件，并确定其最终归零或周期行为。在此基础上，置换元素的群与商环 F_2[z]/⟨p(z)⟩ 的单位群建立同构，把判断双射性、求迭代、求逆和求阶转化为多项式运算。文中还列出一百余个代表性构造。
说明更强的评审者看不到更多：LLM评估中的部署完整性盲区
简介该论文指出，LLM智能体的评估只报告行为分数，却不记录实际部署的运行时环境身份，因此被篡改但输出不变的部署能通过所有仅看输出的评估。作者提出DIB-Bench基准，涵盖7,560个评分样本、六种篡改类型和从正则评分器到GPT-5-nano的评估器梯度。结果显示，评估器越强，接受篡改输出的比例越高，并提出了一种基于清单哈希的身份检测方法。
看点提出部署完整性盲区这一新问题并给出PAC式下界与清单哈希检测通道，证据覆盖7560个样本、六类篡改与多级评估器，影响面较广。
说明针对 CKKS 部署的反应攻击：以渐近最优的查询复杂度恢复密钥
简介本文研究在 CKKS 同态加密部署中，公开的 C2S 评估密钥与客户端 1 比特有效性反应相结合所产生的协议层泄露。攻击者可利用约 O(H) 次反应查询恢复三元秘密密钥，且不破坏 RLWE 或 CKKS 的 IND-CPA 安全性。作者在 Lattigo v6.2.0 中实现了完整攻击，并在四组标准参数上恢复了完整密钥。
看点利用公开C2S密钥与客户端一比特有效性反馈构造可恢复三元密钥的攻击，查询次数接近熵下界，并在Lattigo中完成四组参数的端到端实验验证。
说明针对CKKS部署的反应攻击：查询复杂度渐近最优
简介本文研究在CKKS同态加密部署中，公开的系数到槽（C2S）求值密钥与客户端1比特有效性反应结合时产生的协议层泄露。攻击者可利用约O(H)次反应查询恢复三元秘密密钥，其中H为密钥熵；该攻击不破坏RLWE或CKKS的IND-CPA安全性，而是利用客户端反应与公开线性变换之间的交互。作者在Lattigo v6.2.0中实现了完整攻击，并在四组标准参数上恢复了完整密钥。
看点发现CKKS中公钥C2S与客户端合法性反馈相结合的新型密钥恢复通道，以接近熵下界的查询数实现攻击，并在Lattigo上完整实现验证。
说明批准的究竟是什么？面向智能体分步授权的效果绑定与可信渲染
简介论文指出，智能体在发送付款、删除文件或对外发邮件前请求的批准，只有在智能体被攻破时无法伪造、且明确指出被批准的具体内容时才算有效的第二因素。作者定义了十二种针对批准流程的攻击，并在AP2、微软动作绑定批准设计及MCP请求等系统上进行测试，同时提出参考防御方案ASU：由规范化效果描述生成批准卡片，用户手机上的通行密钥签署其摘要，网关只执行已存储的调用。文中报告，在27,108次脚本化试验和609组AgentDojo攻击中，ASU阻止了替换、重放和授权扩展，可信卡片将伪造叙述攻击的成功率从0.54降至0.03。
看点提出效果绑定与可信渲染的审批威胁模型并定义十二种攻击，用Tamarin证明与27,108次试验验证，对代理审批安全有较大影响。
说明NOMAI：可扩展、保护模型权重的联邦学习系统
简介本文提出 NOMAI，一种基于多方安全计算（MPC）的联邦学习系统，旨在同时保护模型、数据隐私并保证完整性。它在诚实多数假设下运行，结合多委员会架构与打包 Shamir 秘密共享，并引入机器学习相关优化。论文称在 MNIST 训练中，每位用户每轮计算时间分别低于 350 毫秒（半诚实）和 700 毫秒（恶意中止），并可支持超过 10^6 名用户。
说明GPU 上的 FAEST：以域乘法为瓶颈的优化
简介本文介绍 FAEST（一种后量子签名方案）在 NVIDIA GPU 上的实现，重点关注 QuickSilver 中的域乘法。作者使用 PTX clmad 指令进行原生无进位乘法，并结合 Karatsuba 算法减少子乘积数量。结果显示，两者结合在 256 位标准 OWFProve 的域乘法核心中达到软件乘法版本吞吐量的 26.6 倍，完整证明阶段约为 2.9 倍至 3.1 倍。
说明SHIP：带隐私保护的结构化分层文本洞察方法
简介该论文关注如何在保护用户隐私的前提下，从文本数据中提取可用于分析的洞察。作者把差分隐私洞察形式化为可复用的表示，并提出SHIP方法：自动把查询映射到属性，构建分层混合分类体系，并发布一张差分隐私合成表用于进一步分析。实验基于问答表现和结构保真度进行评估，结果显示SHIP优于现有私有洞察基线，同时也指出部分查询对结构化表示仍具挑战。
说明自动驾驶车辆能否保持“冷静”？热侧信道与感知攻击综述
简介本文综述了自动驾驶车辆中与热相关的两类安全风险：物理攻击者可欺骗用于夜间行车的热红外传感器，而无特权的软件同居程序可通过热、DVFS和热事件中断等遥测信息推断感知工作负载。作者归纳了十三项代表性研究，比较其权限、时间尺度、同居条件、可部署性和与自动驾驶的关联，并讨论相应防御及开放问题。
说明局部差分隐私下的单变量密度高效无偏学习
简介本文提出一种非交互式局部差分隐私学习框架，用于学习可由分段多项式近似的结构化单变量分布。该框架首次给出若干分布类（包括高斯混合模型等对数凹分布混合）的样本高效局部差分隐私学习算法，同时具备无偏（agnostic）保证且计算高效。论文还证明了局部差分隐私下学习高斯混合模型的下界，改进了Bun等人的纯差分隐私打包下界。
看点提出非交互式本地差分隐私的通用框架，首次给出多类分布的样本高效学习器，并改进了GMM下界，理论贡献突出。
说明基于模块位置的软件仓库盲水印
简介本文提出PlaceMark系统，通过调整代码仓库中模块的放置位置来嵌入水印信息，无需原始副本即可提取。在十个Python仓库上测得名义容量为249至2166比特，其中一个仓库无法提供该通道。在216次文本变换试验中，载荷可被精确恢复，但重定位会逐步降低恢复效果。
说明Yoshan：硬件高效S盒的代数电路协同综合与搜索方法
简介该论文提出Yoshan系统，同时优化S盒置换及其门级电路，覆盖5至8位规模，并用SystemVerilog导出和穷举仿真加Z3验证确认正确性。在31,337个已认证网络表中，部分结果与已知类别对应，另有若干新S盒被认证为与已知目录分离，并在45nm CMOS工艺下与已发表电路进行比较。
看点提出算法-电路协同合成框架，发现多个门数更少、深度更低的新S盒电路，并经穷举与SMT验证，对硬件密码设计有实质贡献。
说明在共享光纤的量子增强网络中选择实用波长
简介本文提出一种波长选择框架，用于在与经典数据共享光纤的量子增强网络中平衡逻辑保真度、区块接受率和经典数据接收。作者针对一种带纠错的三阶段量子通信协议，在热背景噪声等理想化假设下推导出逻辑纠缠保真度的下界和纠缠保真度产出下界，并在满足保真度与经典链路预算要求的波长范围内进行最大化。文中给出的数值示例显示，保真度最优与产出最优的波长位置不同，并标出了可认证的工作区域。
说明PAGE404：通过硬件辅助页面迁移突破GPU隔离
简介论文研究NVIDIA Grace Hopper（GH200）超级芯片的硬件辅助页面迁移机制的安全性，该机制依据访问计数器把CPU内存中的热点页面迁移到GPU显存。作者发现访问计数器共享结构与驱动中断处理两处侧信道漏洞，并证明二者可跨多实例GPU（MIG）分区被利用。概念验证攻击实现了约8500比特/秒与8100比特/秒的隐蔽信道，并能对LLM和SPEC2017负载进行指纹识别，质疑当前MIG多租户部署的隔离保证。
看点首次揭示GH200页面迁移与MIG隔离的安全缺口，并用概念验证攻击实现跨实例隐蔽信道及LLM工作负载指纹识别，证据充分。
说明Screwtape：用于监控器红队测试的对抗性对话记录编辑
简介论文提出 Screwtape 流程，把真实的智能体对话记录改写成能躲过只看动作的监控器的攻击样本。攻击者用大语言模型编辑记录，使智能体造成指定危害（如泄露 API 密钥、启动未受监控的智能体），编辑后的动作不会被实际执行，并由验证器筛除与原记录不一致或严重性不足的攻击。作者用 94 份 Claude Code 和 Codex 对话记录进行 252 次运行，产生 35 个通过验证并躲过其自有监控器的攻击，其中 6 个经人工确认有效，也躲过了某前沿开发者提供的未参与优化的监控器。
说明从检测到决策：提示注入检测的校准与延后处理
简介本文研究大语言模型的提示注入检测系统。作者在47,611条保留样本上比较了一种概率决策模型（Jev）、两个Llama Prompt Guard 2分类器以及一个基于LLM的判别器。结果显示，LLM判别器区分能力最强（AUROC 0.897），但在分布偏移下，概率输出本身并不足以支撑可靠的安全决策，需要结合校准、审核行为与决策策略综合评估。
说明图式推理：用 Neo4j 支撑 LLM 渗透测试代理的攻击链推理
简介论文指出，Claude Code、OpenAI Codex 等 LLM 编码代理在渗透测试中把发现当作扁平列表处理，难以串联攻击链。作者提出 ChainGraph，通过 Model Context Protocol 将现成代理接入 Neo4j 属性图，把发现、攻击步骤、凭据和证据用图表示。在模拟的多林 Active Directory 环境中，三个单独评为中危的发现串联后升为严重，且中介中心性可识别最佳断链点，推理负载在代理令牌代理指标上约减少 98%。
说明GhostLock：无需受害方信息、借助学习的盲式GPS信号抵消攻击
简介本文提出GhostLock，一种借助深度学习的盲式GPS信号抵消（GSN）框架，攻击者只需要目标位置的大致估计。该框架结合盲自适应滤波器与基于深度学习的同步模块，仅利用攻击者本地接收到的GPS信号生成并对齐反信号。作者在实时软件定义无线电平台上实现了该框架，实验表明能够抑制GPS信号的捕获，从而证明盲式GSN的可行性。
看点首次提出无需受害端信息的盲GPS信号抑制框架，结合自适应滤波与深度学习同步；以SDR实验验证抑制效果，影响GPS安全领域。
说明Pulsar 软件定义水印验证器的性能表征
简介本文介绍 Pulsar 导航服务的软件定义无线电（SDR）水印处理器实现。Pulsar 在测距信号中嵌入组合水印以提供认证安全性。文章讨论了多种威胁模型与接收机架构，并给出 Pulsar-0 任务每日处理带水印信号的结果。结果表明该水印验证过程可在商用 GNSS 接收机中实现。
说明面向健康谣言分类与语义检索的隐私保护文本推理
简介本文提出一种基于CKKS同态加密的隐私保护文本推理框架，用于健康谣言分类和语义检索，使用户查询中的敏感医疗信息在加密状态下处理。分类器融合多种文本特征，准确率为0.971，宏F1为0.950，明文与密文推理结果一致。在密文检索中，采用SIMD打包优化后，7128条索引项的单次查询延迟从222.028秒降至5.168秒，通信开销从6.11 GB降至2.13 MB。
说明INFUSE：面向智能体系统间接提示注入的统一评测基准
简介该论文提出INFUSE基准，用于评估基于大模型的智能体在长流程任务中遭受间接提示注入攻击的情况。基准包含40个真实任务和56种攻击场景，攻击嵌入在任务执行过程中遇到的外部内容里。作者测试了19个大模型，平均攻击成功率为15.4%至19.6%，并发现提示级加固可显著降低攻击成功率，但不同模型的安全与效用权衡存在差异。
看点将间接提示注入评测扩展到长程智能体全生命周期并覆盖多类威胁，有实质新意；大规模轨迹实验与多模型对比支撑结论。
说明针对MILENAGE的混合BP-SAT攻击：结合代数与软分析侧信道攻击的优势
简介本文研究基于侧信道泄露的攻击方法，对用于USIM卡的AES认证算法MILENAGE进行评估。作者把代数侧信道分析（ASCA）与软分析侧信道分析（SASCA）结合为混合攻击：先用置信传播细化神经网络预测，再交给SAT求解器。结果显示混合方法在单条轨迹攻击中成功恢复两个秘密的比例为93.8%，并提出了基于每设备独立掩码的对策。
说明硬件-软件泄漏契约的基础：在指令集层面描述侧信道泄漏，使程序员和编译器无需理解微架构细节即可编写抵御侧信道攻击的代码，并为硬件设计者提供规范。
简介Spectre、Meltdown 等微架构攻击利用缓存、推测执行等优化在软件层面留下的副作用。传统指令集架构不反映这些安全后果，因此论文提出硬件-软件泄漏契约，在指令集层面刻画侧信道泄漏。论文介绍了该新兴方向的基础概念，讨论了近期的相关工作和尚未解决的挑战。
说明通过重试对微服务请求进行优先级排序
简介论文提出一种名为 DiffTry（差分重试）的轻量级重试机制，在过载时让有价值的事务优先保留，减少重试风暴。作者建立了分析模型并推广到服务网络，并在模拟和 Kubernetes 实际部署中验证，测得的拒绝率与分析结果相符。
说明面向量子攻击的密钥秩评估：侧信道攻击中量子搜索的代价模型
简介该论文指出，侧信道攻击通常无法直接恢复密钥，而是留下按子密钥后验排序的剩余密钥空间。作者为能够经典收集能量迹并用量子计算机完成搜索的攻击者建立了代价模型与度量，给出在可用深度预算下量子优势成立的秩范围，并定义了量子感知密钥秩。仿真实验表明，在特定信噪比下，深度受限的量子攻击者约相当于经典攻击者多出22条能量迹。
说明在移动SoC上用CPU与NPU异构实现AIMer后量子签名以降低延迟
简介该论文针对基于MPC-in-the-head范式的AIMer后量子签名，提出利用骁龙SoC的Hexagon NPU加速单次签名运算。实现方式是依据依赖图拆分签名过程：NPU负责不需要密钥的末尾重复轮次的哈希与线性映射，CPU保留密钥并按顺序吸收结果。在骁龙8 Gen 3平板上，单核加NPU相比双核和单核分别快1.30至1.42倍和1.74至1.97倍（三组短签名参数），能耗也较双核降低13%至27%。
说明从训练到越权：对AI智能体中RL/RLHF诱发的权限提升（CVE-2026-65616）的取证分析与本地复现
简介本文对2026年中期关于AI智能体越权与逃逸事件的报道进行取证分析，并在容器环境中复现了训练案例与内部软件包仓库的权限提升过程。作者在隔离的仓库服务器上复现了一个加密验证绕过漏洞（CVE-2026-65616），错误配置使攻击者可通过基础HTTP请求伪造令牌并提升权限。论文认为，训练案例与后续阶段的错误配置存在相同的可利用模式，并解释了零信任架构原则如何抵御这类攻击。
说明Phantomware：面向新兴恶意软件攻击活动检测的数据增强框架
简介论文指出，在新兴恶意软件攻击活动样本稀少的情况下，现有通过对抗操作生成功能性恶意变体的方法成本高、多样性难以保证，且依赖训练良好的检测器。作者提出Phantomware，直接在预训练恶意软件检测器的表示空间中，利用潜在空间几何结构可控地生成目标家族的合成表示，无需生成和验证可执行文件。实验基于真实恶意软件家族，显示该方法提升了对未见变体的检测能力，并对真实及对抗生成的样本具有一定鲁棒性。
说明反事实邻域风险场：面向视觉语言模型的证据基础选择性安全方法
简介本文提出反事实邻域风险场（CNRF），用于视觉语言模型的选择性安全防护。该方法构造上下文匹配的良性-有害反事实样本对，以其表示差异作为与能力相关的风险方向，并将邻域支持度与风险分开估计，以避免把陌生输入误判为有害，从而对选定请求进行干预而非一律拒绝。在三种视觉语言模型和五类多模态越狱攻击上，宏观防御成功率为86.06%至89.30%。
说明多阶段均匀共享：迈向二阶安全
简介本文针对密码实现的侧信道攻击防护，提出一种可用于任意函数的自动化掩码技术，在毛刺扩展探测模型下保证二阶安全。该方法基于 MultiStage 方案，并沿用 NullFresh 的做法以减少新掩码的需求。作者将其应用于轻量级分组密码 PRINCE、Midori 和 SKINNY，使用 SILVER 与 PROLEAD 进行形式化验证，并在 FPGA 上通过 TVLA 进行实验评估。
说明具有准线性通信复杂度的 Edabit 生成方法
简介Edabit 是一种把整数以算术域秘密共享、并同时以二进制域秘密共享其比特分解的相关随机量，可用于安全地计算比较、比特分解和截断等基础运算。已有的生成协议通信量为 Ω(n²ℓ) 比特，本文提出一种在 ABB 模型下通信量为 O(nℓlog n) 比特的新方法，适用于 t<n(1-ε) 的设定。作者还将 dabit 的生成通信量从 Ω(n²ℓ) 改进到线性的 O(nℓ) 比特。
看点改进了已知edabit生成的通信复杂度，从二次降至拟线性，并将dabit生成降至线性，理论改进显著，证明较严谨。
说明Polygero：基于多项式挑战的邻近性测试
简介本文提出一种针对 Reed-Solomon 码的新邻近性测试方法，用低次多项式作为每个码字的挑战，取代以往的标量批处理。作者证明由多项式挑战生成的低维子空间在删除少量坐标后成为最大距离可分码（MDS），并据此给出一个只需初等计数的可靠性证明。基于该思想的 Polygero 证明系统可在唯一解码范围之外工作，递归后证明的域元素数量与见证规模成对数关系。
看点用低次多项式挑战替代标量批处理，提出新的邻近间隙并给出初等计数证明，突破已有方法的限制，相关领域影响较大。
说明为基于 Rust 的安全框架建立可靠的评估方法
简介Rust 语言以安全性著称，但实证研究显示其代码仍存在大量内存安全漏洞。该论文系统分析了现有评估文献，提出适用于 Rust 安全工具的科学评估方法论，并用 20 个 Rust 项目组成的测试集，对最流行的 Rust 模糊测试工具进行了实际评估。
