arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明《I Want to Ride My BIKE》：为一次性密钥KEM定制比特翻转解码器
简介本文针对基于编码的后量子密钥封装机制BIKE，研究在一次性（短暂）密钥场景下如何减小公钥和密文体积。作者首次给出BF-max解码器的优化实现，并结合其他解码策略，在解码失败率、执行时间、公钥和密文大小之间取得不同权衡。实验显示，与为短暂密钥设计的LeanBIKE相比，公钥和密文大小各减少7.8%，执行时间和解码失败率相近。
说明从十亿参数到百万参数语言模型：嵌入式后渗透阶段的操作能力研究
简介本文系统评估了七个开源小型语言模型（参数量 2000 万至 15 亿）在两项后渗透代码生成任务上的表现，即目录枚举与后门生成，并比较了 Python 与 Lua 两种语言。结果显示，攻击性代码生成能力并不随模型规模线性增长，任务表述方式比单纯的提示工程影响更大。作者认为，目前这些模型对当代恶意软件的广泛部署仍需求过高，但紧凑模型的快速进步可能降低这一门槛，研究旨在帮助预判 AI 辅助恶意软件并为未来防御提供参考。
说明概率性侧信道对策的安全编译：可证明保持安全性的编译框架与掩码库
简介本文提出一个与语言和泄露模型无关的框架，用于可证明地安全编译概率性侧信道安全概念。核心在于形式化一种确定性的泄露保持关系，使其蕴含概率安全性（包括 d-NI、d-SNI 及密码学恒定时间）的保持，从而避免直接的概率证明义务。作者使用 Rocq 证明助手验证了 Jasmin 编译器核心流水线及若干优化遍次的模型在带毛刺的值探测模型下保持安全，并基于此构建了开源掩码库 libmasking。
看点提出确定性泄漏保持关系以避免概率证明义务，并在Rocq中证明Jasmin编译器部分优化的安全保持，新颖且证据扎实。
说明监控有效性故障：大模型安全证据路径在框架边界演变中的失效
简介论文指出，大模型应用依赖运行时监控器检查工具调用、轨迹、流和检测器输出，但框架可能正常运行，而与安全策略相关的证据却未到达决策点。作者用“金丝雀合约”方法，在公开框架修复中确认了18个证据路径故障，其中14个触及执行边界。结论是，框架演进时需要对模式、流、工具和适配器做回归测试。
说明稀疏秘密，稠密难题：在硬件中高效为 HQC 加掩码
简介论文针对 NIST 正在标准化的基于编码的后量子密钥封装方案 HQC，提出一种用于稀疏-稠密向量乘法的新型掩码技术，并证明其一阶安全性。作者还实现了首个完全掩码的 HQC 硬件版本，覆盖密钥生成、封装和解封装，并在 FPGA 上测得各模块在 100 万条轨迹内未见一阶泄漏。论文同时指出，该乘法器的 Rotate-and-Add 结构仍易受剖析式水平侧信道攻击，因此集成了隐藏式对策。
看点提出稀疏-稠密乘法的新型掩码方法并首次给出完整的HQC硬件掩码实现，证明一阶安全并发现侧信道漏洞，但应用范围限于HQC。
说明MobileInject：评估基于多模态大模型的手机智能体在跨模态一致性注入下的“推理到行动”安全性
简介本文提出 MobileInject，这是首个用于评估手机智能体抵御多模态注入攻击及推理到行动安全风险的基准。它包含覆盖11个场景、9类安全风险和108个可执行风险实例的交互式手机评测框架，并引入跨模态一致性注入与两种增强攻击方法。系统实验表明，手机智能体普遍易受多模态注入攻击影响，许多失败源于早期阶段的推理劫持。
说明MobileJailBench：面向移动智能体的红皇后式越狱基准测试
简介该论文提出 MobileJailBench，一个面向移动智能体的动态演进越狱基准，包含 520 个任务、覆盖三类越狱范式和 14 个风险类别，基于覆盖 20 多款常用应用的移动沙盒构建。实验显示，当前移动智能体对隐式越狱尤为脆弱，其安全对齐较为表面，难以从对话拒绝推广到动态移动交互。论文还报告，该动态演进机制在 Qwen3.5-122B 上达到了 100% 的攻击成功率。
说明基于四元数泄漏的理想重构对SQIsign的功耗分析
简介本文研究基于同源的数字签名方案SQIsign（NIST后量子签名标准化第三轮候选方案之一）的侧信道安全性。作者在第三轮版本的签名流程中识别出五个侧信道漏洞，并给出多项式时间的代数算法，可从泄漏的中间值中恢复私钥；对每个漏洞，还提供了在只泄漏部分比特时重构完整私钥的算法。最后，作者对SQIsign源代码进行了功耗分析攻击，提取了各漏洞所需的泄漏信息或其部分信息。
看点针对Round-3 SQIsign识别五类侧信道漏洞并给出多项式时间代数恢复算法，并在实际源码上进行功耗分析验证，新颖且证据较充分。
说明被忽略而非被拒绝：低提示注入成功率背后隐藏的问题
简介该论文研究工具调用型智能体面对间接提示注入（IPI）时的安全性。作者检查了11个2至14B参数开源智能体在InjecAgent和AgentDojo上的33,000条轨迹，发现大多数失败的攻击是被智能体忽略（76–80%），而非被明确拒绝（17–18%）。仅改变系统提示，InjecAgent的攻击成功率可从0.2%变为43%。因此，低攻击成功率主要反映智能体忽略注入，作者建议评估时同时报告攻击失败方式与用户任务是否完成。
看点对IPI基准的ASR指标提出质疑，通过审计33000条轨迹揭示失败攻击多为被忽略而非拒绝，证据充分，对评测方法有实质启发。
说明AgentLoupe：面向AI智能体可观测性的内核级语义因果标签
简介该论文提出AgentLoupe，一种基于eBPF、无需修改应用的可观测性工具，用于将AI智能体的工具调用追溯到发起它的大模型交互。其核心做法是为每次大模型交互分配内核级语义标签，并随进程、线程及文件、套接字等资源传播。实验显示平均观测开销低于8%，案例研究表明它能把跨进程谱系的持久化攻击追溯到原始大模型交互。
说明safeRNSgcd：用 SafeGCD 与 RNS 加速 Falcon 密钥生成
简介本文提出 safeRNSgcd 方法，用于 Falcon 的 NTRU 求解器最深层，只需从两个以剩余数系（RNS）表示的大整数结果中计算一个贝祖系数，并让大状态保持在 RNS 中。作者用中心化显式中国剩余定理，借助单字定点运算恢复 SafeGCD 批处理所需的低位。在 Raspberry Pi 5 与两台 x86-64 处理器上，将其集成到 ntrugen 的 C 实现中，相比原版 ntrugen 与省略该系数的变体，降低了求逆和私钥基生成的开销。
说明从GAN模型到GPT-5：基于分类法的深度伪造人脸识别人类表现研究
简介本文提出深度伪造人脸伪影分类法（DFAT），据此制作通用与针对特定模型的训练材料。通过524人的在线实验，研究人员比较了三种GAN模型、一种扩散模型和GPT-5生成图像的检测准确率。结果显示检测表现明显依赖于具体模型，训练后多数条件下准确率显著提升，且针对特定模型的训练通常收益更大；五个月后的追踪测试（342人）未见准确率下降。
说明基于对偶同源的高效二维表示求值及其在同源密码中的应用
简介本文提出一种利用对偶同源性质求值二维同源表示的新算法，避免了离散对数计算。该方法应用于POKÉ、SQIsign2D等基于同源的密码方案。作者提供了速度优化版本的C语言实现，实验显示在NIST-I安全级别下，POKÉ快速变体的CPU时钟周期最多提速3.47倍。
说明特洛伊木马：针对编码智能体的自动化代码仓库投毒
简介这篇论文提出了TrojanForge，一个自动化的代码仓库投毒框架，通过抽象语法树解析仓库结构并选择较不显眼的位置植入恶意载荷，并通过与目标智能体的对抗迭代优化伪装策略。作者还构建了包含384个投毒仓库的TrojanBench基准。实验报告称，该方法投毒成功率稳定超过60%，后门注入率超过90%，并称即使是商业编码智能体也难以防御此类攻击。
看点提出首个自动化仓库投毒框架，结合AST定位与对抗式伪装迭代，并构建384个投毒仓库的基准，在多模型上验证。
说明私密同时量子消息中的具体函数：量子优势与结构性限制
简介本文研究私密同时量子消息（PSQM）模型中常见全函数的通信复杂度。作者对三方等值判定构造了利用纠缠的协议，渐近通信量为约1.633n个量子比特，而无预共享纠缠的完全正确协议至少需要3n个量子比特。对三比特多数函数，一组共享GHZ态加每方一个量子比特即可实现完全正确与完全隐私，低于经典最优的六比特。三比特AND在量子比特情形下无法同时实现完全正确与完全隐私，但提高局部维度至三维（qutrit）后可实现，总通信为3log₂3，并给出k比特AND的一般构造。
说明多智能体系统中的密码学安全智能体间通信：一种零信任架构
简介本文综述了多智能体系统中智能体间通信面临的威胁与密码学挑战，包括身份冒充、消息拦截和恶意提示注入。作者提出一种零信任架构，整合身份认证、传输安全、消息完整性与监控等机制。该架构还评估了利用预分发公钥以降低握手开销的KEMTLS方案，并采用零知识证明在不暴露输入的情况下验证任务约束。
说明当审批变成执行：针对工具调用智能体的基于授权的工作流攻击研究
简介本文研究了一种利用本地审批流程绕过权限的攻击方式：攻击者引导智能体先申请被拒绝的文档，再向本地审批服务申请普通审批令牌，并将该令牌提交给文档服务。作者在受控基准环境中的提交记录和本地复现实验中观察到这一模式成功，揭示了“持有令牌即被视为已授权”的授权上下文缺口，并提出了上下文绑定令牌、服务端策略绑定等防御思路。
说明用 AVX-512 加速 SQIsign 3.0 验证
简介SQIsign 是一种基于同源的紧凑数字签名方案。本文给出了完整 SQIsign 3.0 验证在安全等级 I、III、V 下的低延迟 AVX-512 实现，包括向量化的曲线侧验证和 Superglue 过渡，并为次数 2^ℓ 与 theta 模型 (2,2) 同源链设计了动态规划策略。在 Intel Core i7-11800H 上，相比 SQIsign 3.0 Broadwell 参考验证器（优化的 64 位汇编实现），三个等级的完整验证器分别获得 2.14 倍、2.08 倍和 2.34 倍的加速。
说明Aspire：在动态加密数据库上实现实用的批量查询并完全抑制泄露
简介论文针对加密数据库中利用语义泄露的泄露滥用攻击，提出零泄露加密数据库的概念，区分理想零泄露与允许元数据泄露的受限零泄露，并证明受限零泄露足以抵御此类攻击。作者提出满足自适应受限零泄露安全性的加密数据库Aspire，结合概率批处理码与最小完美哈希，支持高效批量关键词查询与动态更新。实验显示，在2^22个键值对的数据库上，其摊销查询延迟低于1.38毫秒，摊销通信开销约2.95KB。
说明VulnSAGE：通过连接大模型推理与程序结构来裁定静态安全扫描报告
简介静态应用安全测试（SAST）工具会标出安全性依赖项目上下文的操作，维护者需判断哪些报告确为真实缺陷。该论文提出VulnSAGE系统，将大模型推理与程序结构双向连接：切片器提取报告操作的依赖关系，中间表示CLAIM记录模型的语义判断并引用其假设的程序关系，再由程序分析检验这些前提。在187份标注报告上，系统拒绝了97个误报中的89个，保留了90个真实缺陷中的85个。
看点提出将LLM推理与程序结构双向连接的SAST报告裁决框架，并通过程序分析校验模型断言；在187份标注报告和大规模真实项目上验证，结果突出。
说明ECHO：以回复有害性替代合规代理的越狱攻击优化方法
简介该论文提出ECHO方法，用于对大语言模型进行基于优化的越狱攻击。现有方法通常以提示词上的肯定前缀似然等代理指标作为目标，无法区分谨慎回避与可执行的有害回答。ECHO改用HarmSig（一个1.7B的回归模型）对实际回复给出连续的有害性分数作为优化目标，并结合词级扰动与关键词锚定束搜索。论文在五个开源模型和AdvBench上报告了最高0.898的StrongREJECT平均分和89.23%的HarmBench成功率。
说明惊讶度掩码：利用模型似然进行隐私数据过滤
简介论文提出“惊讶度掩码”（Surprise Masking，SM），一种利用公开参考模型的困惑度过滤方法，用于找出训练数据中不希望被学习的片段并屏蔽，同时保留样本其余部分。在合成代码基准和微调实验中，该方法降低了私有信息被提取和代码风格被复现的比例，同时保持了编码任务的表现。
说明面向差分隐私优化的超参数迁移研究
简介该论文指出，在差分隐私训练中，最大更新参数化（μP）因高维噪声与低秩梯度的谱特性不同而失效。作者提出DP-μP框架，通过信噪比条件确定分层学习率缩放，并给出适用于DP-SGD、DP-Adam和DP-Muon的缩放规则。实验显示，该方法在MLP、ViT和GPT-2上可实现学习率跨模型宽度的零样本迁移，效果与单独调参的基线相当或更好，同时降低了计算成本。
说明SAFE-Mem：带细粒度权限与治理感知检索的安全智能体记忆框架
简介该论文针对大模型智能体长期记忆可能把外部来源的不可信陈述当作授权偏好或权限的安全风险，提出 SAFE-Mem 框架。它为每条陈述标注类型、权限来源和适用范围三类治理标签，并通过治理感知检索阻止未授权使用，同时保留合法信息。在 MPBench 和 LoCoMo 上的四种大模型实验中，其攻击成功率在保留合法记忆的防御方法中最低，且回答准确率最高。
说明当核心网元器可被访问时：Diameter 协议字段级可利用性分析
简介本文提出 LENS 系统，利用大语言模型对蜂窝核心网 Diameter 协议的字段级可利用性进行可靠分析，并生成概念验证攻击。论文报告在 S6a 与 Cx 接口中，超过 25% 的字段路径在所考虑的威胁模型下可被利用，共发现 95 个未知漏洞。另外将该方法应用于 16 个其他协议，又发现 118 个未知漏洞。
看点提出基于LLM并结合攻击分析规范与协议证据的Diameter可利用性分析系统，发现95个未知漏洞，证据充分，影响面广。
说明可证明合规：面向运行时合规证据与交易特定决策的协议
简介本文提出 ChainIT Provable Compliance，即 ChainIT 授权协议的合规层，用于在做出决策时生成可归属、可验证的合规证据。证据按事实分别记录并带有来源、时效、置信度和用途限制，由版本化的合规策略选择适用规则，规则引擎返回带原因码的确定性结果，最终形成一份有时限的签名合规决策，仅作为交易决策的一项判断条件，不单独授权付款。
说明RAMP：迈向普及化的量子安全密钥分发服务
简介该论文提出RAMP框架，把量子密钥分发（QKD）的密钥材料生成与密钥使用分离：服务提供方运营QKD设备并提供原始密钥材料，用户获取后在本地掩码并处理成最终密钥，无需操作QKD设备。论文形式化了两个互补的机密性保证，并基于实验采集的QKD数据与标准化后量子密码学实现了该框架，在消费级设备上达到平均2.1Kb/s的密钥提炼吞吐量。
说明识别、分类、处置：面向外部数据的逐条指令可控合规方法（LLM）
简介大语言模型处理外部数据（如文档、工具返回）时，同一段内容里常混有合法指令与对抗性提示注入，现有防御要么全部信任，要么全部拒绝。论文提出 EDIC 框架，把问题形式化为对每条嵌入指令的识别、分类与处置，并通过分解式奖励训练模型，据称在两种骨干模型、五个基准上同时提升安全性与实用性。
说明通过复用推理 KV 缓存进行的隐蔽投毒攻击
简介该论文研究大语言模型在复用推理轨迹的键值（KV）缓存时的安全漏洞。作者提出 R²ECAP 方法，仅通过聊天界面交互植入带有毒性的推理轨迹，即使前序轨迹的缓存被丢弃，保留轨迹的缓存仍残留对抗影响。在三个开源模型和三个数据集上，该攻击成功率最高达 79%，并在 8/9 的资源受限设置中优于白盒攻击 HijackKV，同时仅有 1% 的保留响应被一种常用提示注入检测器识别。
说明拜占庭广播在 Õ(n²) 通信量下的实现
简介本文提出一种确定性的 n 方拜占庭广播协议，可容忍 t<n 个故障节点。其通信复杂度为 O(n²log⁴(n)λ)，轮数为 O(t)，其中 λ 为安全参数。该结果改进了 1983 年提出的 Dolev–Strong 协议。
看点改进了1983年Dolev-Strong协议的通信复杂度，达到近似O(n^2)，理论意义突出；以证明为主，证据充分。
说明SwiftAuth：面向无人机的条件隐私认证方案，支持多来源凭证聚合与非交互授权
简介该论文提出一种可追溯、可聚合的标记见证签名（TA-TWS），并基于它设计了匿名认证框架SwiftAuth。该框架通过异步凭证分发，使签发方可在用户离线时生成授权部件，并把多个凭证压缩为固定长度表示以降低多服务并发访问的开销。系统在违规时可由监管机构追踪恶意用户，并声称证明了其不可伪造性与见证隐藏性，实验在受限设备与阿里云服务器上进行。
说明GRAD：面向大模型智能体的图结构抗体防御方法
简介该论文针对大模型智能体中分散植入的记忆投毒和分解式攻击，提出GRAD方法。它通过执行图聚合各操作间的证据并给出图级风险分数，并以可扩展的检测专家集合（基于冻结编码器快照的持续抗体适应机制）随任务到来不断获取和复用检测能力。论文报告在Decomp、MCP、MRT三个数据集上AUROC分别为97.19%、77.59%、86.60%，并称其跨数据集任务流最终准确率较Replay高13.08个百分点。
说明可水印性：衡量并提升语言模型与基于 logit 的水印的兼容性
简介该论文针对基于 logit 的语言模型水印，提出“可水印性”概念，用基座模型分布到目标词集概率达到指定质量所需的最小 KL 散度（即可水印性代价）衡量模型与水印要求的兼容程度。作者提出两阶段方法：先训练条件低秩适配器提升目标词集概率，再用闭式控制器施加最小均匀偏置。在 OPT-125M 与 Qwen3-8B 上的实验显示，可水印性代价与固定偏置基线下的对数困惑度增幅相关，且适配器与控制器在保持高可靠性的同时降低了平均困惑度。
说明Veil-then-Reveal：在零信任的用户与大模型交互中，通过可逆伪匿名保护个人隐私信息（PII）
简介本文提出 Veil-then-Reveal（VtR）框架，在用户端把提示词中的个人敏感信息替换为同类型的仿真替代值后才发送给远程大模型，明文只保留在用户设备上。结构化信息（如电话、信用卡号）使用保格式加密，语义信息（如姓名、地点、机构）使用密钥哈希词典与安全保险库，并在回复中由用户端还原。在含 11,322 个标注实例的三个数据集上，报告检测召回率为 97.9%，检测到的值保护率为 95.2%，往返还原率为 99.9%。
说明基于DAG模型中受保护共享的更短哈希签名
简介本文提出一种名为BGS-CC的无状态哈希签名方案，采用新技术“受保护共享”，并从基于树的模型转向基于DAG的签名结构。该方案结合桶稀疏化、哈希链和拒绝采样，改进了现有的少次签名方案BPORS-C+BFP。文中称，在128位安全级别、使用上限为2^24次时，完整签名为2,228字节，据作者所知，是首个短于ML-DSA-44（2,420字节）的SPHINCS类无状态签名。
说明LLM-Attack Suite：分割式与分布式大模型隐私评估的统一红队框架
简介该论文提出 LLM-Attack Suite 框架，用于评估分割式大模型中的隐私泄露风险。框架记录攻击者可见的信息、模型权重与数据集等设置，便于复现、比较与扩展评估。在受控的 GPT-2 实验中，攻击者获得训练时回传的梯度后，词元恢复率由 94.20% 升至 97.38%，整文恢复率由 13.71% 升至 37.77%。
说明ACE：一个由人工智能编排的入侵检测与合规映射引擎
简介该论文提出自动合规引擎（ACE），把入侵检测、监管控制项映射和自动防御规则部署串联成一套工作流。在两台虚拟机搭建的实验环境中，使用八个模拟攻击场景和三组合法流量进行评估：所有八个攻击告警均被处理并检出，合法流量测试中误报为0，为37.5%的告警生成了可部署规则，NIST控制项映射平均置信度为0.87。作者指出，实验环境受限，仍需在企业级数据和多传感器场景中验证。
说明论文：通过网页语义保障智能体浏览安全（Intact 系统）
简介论文指出，AI 智能体以截图或文本读取网页，容易被第三方注入的内容误导而动用用户权限。作者提出 Intact 系统，在未修改的浏览器上运行，通过自建的 GenTree 表示记录内容来源与网页语义，并逐个元素交给大模型处理，对第三方内容先征得用户同意。实验显示，在 1,091 个含注入攻击的网页中，Intact 规划器仅 12.8% 的攻击得逞，传统规划器为 73.1%；隔离仅影响 3.7% 的任务功能。
看点提出以网页语义（来源与元素类型）约束智能体行为的GenTree与隔离机制，并在1,091个注入攻击页面上将攻击通过率降至12.8%，新颖性较强。
说明合成数据的经验隐私格局探索：比较训练语言模型时能力与隐私泄露之间的权衡
简介该论文在合成医疗病历上，对数据层与训练层的干预方法进行了受控比较，并用“金丝雀”样本检测信息泄露。结果显示，直接微调能力最强但泄露最多，DP-SGD降低泄露却明显损害能力；基于病历生成的合成数据更为均衡，其中带有唯一性感知指令、用于替换隐私细节的隐私感知改写效果较好。
说明StratFL：用策略性联邦学习对抗隐蔽模型投毒攻击
简介本文研究联邦学习中的一种高级持续性威胁，即隐蔽模型投毒（CMP），攻击者间歇性地以隐蔽方式注入恶意模型更新。作者将联邦学习服务器与攻击者之间的互动建模为不完全信息的重复博弈，并提出了StratFL对抗搜索算法及服务器端与攻击者端的信念更新算法。实验基于MNIST和CIFAR-10数据集，结果显示信念更新算法在多种安全场景中实现了经验性收敛，且StratFL的准确率比现有方法提高了10%。
说明基于统一标签的广覆盖高效个人信息检测
简介本文提出一个1.41亿参数的基于编码器的个人信息（PII）检测模型，使用来自77个公开数据集的112万条样本训练，并按12类结构化个人信息的统一标签重新标注。在AI4Privacy和Nemotron-PII基准的低误报率设定下，该模型在多数对比中召回率高于更大的基线模型，吞吐量提高2至10倍，峰值GPU显存减少94%至97%。
说明SOLARBURST 能否攻入芯片设计？针对 VLSI 设计流程软件供应链攻击的系统分析
简介本文从软件供应链攻击角度，系统分析超大规模集成电路（VLSI）设计流程的脆弱面。作者实证分析了 VLSI 软件套件的组成、安全特性及工具间的交互，并建立了攻击分类模型，识别出 717 种可能的新攻击，其中 60 种为高可行性攻击。文章还给出了威胁模型，评估了现有防御措施，并以开源 VLSI 工具构成的参考设计流程进行案例研究。
看点首次从软件供应链角度系统分析VLSI设计流程的攻击面，构建攻击分类模型并识别大量新攻击；证据包括对VLSI软件套件的实证分析和开源设计流程案例研究，但验证规模有限。
说明模型即木马：嵌入LLM智能体权重中的自激活隐蔽DNS数据外泄
简介论文指出，开源大模型可能在权重中被植入恶意行为，而非依赖外部恶意代码。作者通过微调模型，使其在检测到可用shell工具时，自动读取运行环境中的密钥并以DNS查询形式外传至攻击者控制的域名服务器，之后正常回答用户且不再提及。实验称在仅允许DNS的出口防火墙环境下攻击仍可完成，且提示词几乎无法可靠阻止该行为。
看点提出把数据外泄行为直接植入LLM权重的新威胁模型，并以DNS隧道绕过沙箱，实验覆盖多种格式与拓扑，验证充分，影响面广。
说明凭证请求：大规模检测MCP服务器中的文件系统能力洗白漏洞
简介本文研究MCP（模型上下文协议）服务器中的一类安全漏洞，即攻击者通过操控参数，使工具访问声明范围之外的宿主机敏感文件。作者提出MCP-FSD工具，对21,097个服务器进行分析，发现其中787个（约16.4%）在非文件系统功能分类下仍具备文件系统能力。经动态验证，在所测试的沙箱策略下确认150个存在漏洞的实例，相关披露产生13份安全公告。
看点提出文件系统能力洗钱这一新漏洞类别，并在21097个MCP服务器上大规模实测，发现150个可利用实例及两个CVE，影响广泛。
说明基于随机投影的隐私保护检索增强生成
简介检索增强生成（RAG）通过查询外部知识库增强大语言模型，但可能泄露检索数据库中的敏感信息。该论文提出一种简单方法：对数据库向量和查询向量应用同一随机投影，以保护数据隐私。作者称该方法在理论上保留了查询与检索结果之间的语义相似性，并能显著减轻数据提取攻击。实验显示，其检索与生成效果优于依赖形式化差分隐私保证的已有方法，在强攻击模型下隐私表现相当。
说明局部节点差分隐私下的子图计数
简介本文研究在局部节点差分隐私（LNDP）模型下近似计算子图数量的问题，该模型用于保护分布式社交网络分析中的隐私。作者设计了一种非交互式 (ε,0)-LNDP 算法，对任意常数 k 节点的公开模板图 H，可在敏感无向图中以加性误差 O(n^{k-1/2}/ε^{k-1}) 计数 H 的出现次数。论文还给出下界，表明对最大度大于 1 的 k 节点模板图，任何非交互式 (ε,δ)-LNDP 算法误差至少为 Ω(n^{k-1/2})，因此该算法在忽略 poly(1/ε) 因子时对常数规模子图计数达到最优。
看点将LNDP可近似的统计量从度分布扩展到任意常数规模子图计数，并给出近乎最优的误差上下界，证明严格。
说明GhostFaceMPC：基于多方安全计算的隐私保护人脸识别
简介本文提出 GhostFaceMPC，这是首个端到端的隐私保护人脸识别系统，可在安全多方计算下运行深度卷积神经网络特征提取与匹配。系统在特征提取、存储到匹配的各阶段都不暴露原始图像或生物特征向量。作者还对 GhostFaceNet 模型做了面向多方计算的量化，并进行电路优化，使该方案更具实用性。代码已公开。
说明语言是智能体防护系统的安全薄弱面：同一步骤翻译用户指令后，防护判断会改变
简介论文检验智能体逐步防护模型的判断是否受用户请求语言影响。作者基于 TS-Bench AgentDojo-Traj 的 1,220 个标注步骤构建 LinguaGuardBench，仅将用户指令翻译成德语、法语、土耳其语、斯瓦希里语和阿姆哈拉语，其余内容保持不变。结果显示，多数开源小模型和专用防护模型的判断会因翻译而改变，且语言越稀有影响越大；前沿模型变化很小。
看点揭示步骤级安全守卫对用户请求语言敏感的问题，并通过严格控制变量（仅翻译指令）在19个守卫上系统验证，新颖且证据充分。
说明智能体安全评测中的捷径敏感性研究
简介本文研究AI智能体安全守卫的评测数据中可能存在的“捷径”线索：这些线索能让标签变得可预测，却并未真正衡量安全目标，还可能影响守卫的判断。作者在LinuxArena及两个由TS-Bench衍生的数据集上进行了审计，并通过对照实验发现，修改部分标记会改变守卫的误拦率与评测准确度。研究建议采用按领域分组的留出验证、以评测单元为基础的指标以及带安慰剂对照的配对干预。
说明《人人都有一点偏见》：一种黑盒模式下的新型机器学习后门攻击
简介本文提出“后门即服务”（Backdoor-as-a-Service），一种与模型无关的全黑盒技术，不植入后门，而是利用模型已有行为激活一个潜在的次要任务。该工具通过遗传搜索找到输入变换，使输出产生符合攻击者设定任务的系统性差异，且无需修改训练数据、架构或权重。作者在MNIST数字分类器和一个生产级NSFW分类器上进行了验证，两者均成功启用了目标后门。文中还讨论了现有对策，以评估已部署系统的实际风险。
看点提出无需训练投毒或修改权重的黑盒后门激活思路，用遗传搜索诱导潜在次任务；实验仅在MNIST和一个NSFW分类器上验证，规模有限。
说明抹去水印，保留动作：时序一致的视频水印去除方法
简介本文提出 PoseRegen，一种基于姿态一致重建的框架，用于评估视频水印的鲁棒性。该方法先对序列做时序共享的视角变换以破坏水印图案，再用姿态条件视频模型联合重建，并通过轻量适配器约束人体部位轨迹以保留动作。实验覆盖十一种视频水印方案，平均比特准确率降至 0.505，接近随机猜测，在动作相关指标上优于最强基线 9.34%。
说明MAppPrint：基于流量行为关联图的稳健实时移动应用指纹识别
简介该论文针对加密网络流量中的应用指纹（AF）攻击，提出名为MAppPrint的框架，以推断用户正在使用的应用。方法通过流量行为关联图（TBCG）刻画应用的单元流量行为及其相互关联，经压缩算法实现实时识别，并用无监督分解处理多应用并发产生的混合流量。实验报告称，相比现有方法，其精度提升4.9%至13.9%，时效性提升3至6倍，在动态网络条件下保持稳健。
说明在无状态可信硬件上实现抗噪声量子一次性程序（修订版）
简介该论文研究量子一次性程序，即只能用于获得一次程序输出的量子态。作者基于BB84态设计了一种方案，能够应对单量子比特损坏错误和可检测的擦除错误，并给出了在特定噪声参数下所需量子比特数与伪造概率的数值示例。论文还将方案扩展到可重复使用同一可信硬件，以及使用多个可信硬件且只要其中一个未被攻破即保持安全的情形。
说明基于SMT的低层安全多方计算安全类型与正确性验证
简介这篇论文面向安全多方计算（MPC，一种保护数据隐私的分布式计算技术），提出新的霍尔逻辑和类型理论，用于自动检查以Prelude/Overture框架编写的协议是否满足正确性、机密性和完整性。分析的定义与自动化都借助SMT验证实现。作者称该方法具有组合性和可扩展性，并可推广到任意素数域和秘密共享方案。
