arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明在 ℝⁿ 中对秩为 2 的格进行快速无穷范数约化：一种新的约化基概念
简介本文针对 ℝⁿ 中的秩为 2 的格，在无穷范数下提出一种新的约化基定义，并据此设计了高效的格基约化算法。该算法利用基向量的主导坐标执行类似欧几里得除法的多维操作，每个非终止迭代使基向量的最大无穷范数至少减半。作者证明算法会终止，位复杂度为 O(nT²)，与经典 Lagrange–Gauss 约化相同；实验显示在高维格上运行时间明显缩短。
说明Humbert曲面上的超奇异点与(N,N)分裂概率
简介本文研究有限域代数闭包上超奇异主极化阿贝尔曲面中，最优(N,N)分裂曲面所占比例，并给出一阶近似及显式误差界。作者证明该比例约为5NJ₂(N)/p，其中J₂为Jordan函数，并对2≤N≤7给出常数的显式值。该结果为二维超奇异同源问题的分裂检测攻击提供了稳定目标密度。
看点通过Siegel权重将超奇点曲面样本与Humbert不变量的亏格平均联系起来，首次给出(N,N)-分裂比例的精确一阶公式，证明严格且有十二个素数上的精确计算验证。
说明Mitaka 签名方案的高效定点实现
简介Mitaka 是 Falcon（FN-DSA）的一个变体，签名过程更简单且可并行。本文提出 MitakaZ 签名算法的定点实现：用定点 Cholesky 分解替代原有的整数 Gram 根分解，降低整数高斯采样的开销，并给出中间值与表示误差的界。在 Intel Core i7-1360P 上，Mitaka-512 与 Mitaka-1024 的平均签名耗时分别为 361 kcycles 和 707 kcycles；在 ARM Cortex-M4F STM32F411 上分别为 4.0 和 7.8 Mcycles。
说明用 GPU 加速高维线性层的 Boyar-Peralta 算法
简介本文针对求解线性层最少异或门电路的 Boyar-Peralta（BP）算法及其变体，提出了中间相遇（MITM）方法以降低理论时间复杂度，并重新设计实现框架以充分利用 GPU 并行，同时加入候选剪枝机制。论文报告了在相同解质量下，显著加速了普通与深度受限场景的求解速度，并给出若干新的 g-XOR 实现记录与 40 维以上 MDS 矩阵的构造结果。
说明叙述会误导：大语言模型如何误判漏洞报告中的 CVSS 严重性（实证研究）
简介该研究从 Huntr 与 HackerOne 的公开漏洞报告中构建了 240 份带有厂商验证 CVSS 向量的基准，评估八种大语言模型在四种提示策略及微调下的表现。最佳配置的等级准确率仅为 49.58%，微调后的 7B 模型最高为 56.25%。错误呈明显的高估倾向，且模型几乎无法识别低严重性漏洞。作者将这些错误归因于规范与叙述性报告之间的三类语义边界差异。
说明当代码变成大模型调用：智能体系统中调用点契约的实证研究
简介本文对40个开源智能体系统中的496个大模型调用点进行了实证研究，比较各调用点应有的契约与代码实际实现的契约。研究发现，48%的模型输出会进入控制流或执行环节，其中73%从未经人工查看；约63%的预期约束未被满足，只有5.3%的调用点满足完整契约。作者认为，有检查不代表检查充分。
说明针对VOLE-in-the-Head签名方案的DPA式攻击
简介本文提出了首个针对VOLE-in-the-Head（VOLEitH）后量子签名的DPA式功耗侧信道攻击框架，攻击目标是秘密见证。作者分析了VOLE关联计算中敏感中间值的泄漏，并据此设计了六类攻击，包括两类纵向攻击和四类横向攻击，针对FAEST和SDitH两个方案。攻击在模拟泄漏及三款ARM Cortex-M4设备的实测中均得到验证。
看点首次提出针对VOLEitH签名的DPA式攻击框架，覆盖FAEST与SDitH的六类攻击，并在仿真与ARM Cortex-M4实测中验证。
说明面向代码克隆软件成分分析的指纹函数特征库高效构建方法
简介第三方库被广泛使用，代码克隆检测工具在学术与实际应用之间存在差距，主要因为学术工具使用的仓库数量有限。本文提出OSSScope方法，用贪心算法从GitHub上255万个C语言仓库中挑选仓库，以较少仓库覆盖更多独特指纹函数，构建含6100万个指纹函数、来自19万个仓库的特征库，并报告相比现有先进工具召回率提升22.65%。文中还提出轻量分类模型RClassifier，用于判断仓库是否应纳入，并在Golang生态中验证其召回率与OSSScope所构建的数据集相当。
说明高维函数的隐私评估：在差分隐私保护下对任意高维函数进行黑盒求值，输出的近似结果落在相关向量的凸包内。
简介本文研究在差分隐私下对任意高维函数进行黑盒评估的方法。评估器只能在输入数据集的一个下邻域内查询函数值，目标是私密地输出函数在该数据集上取值的近似结果。作者通过归约到高维私有拟凹优化（QCO），为纯差分隐私和近似差分隐私分别设计了通用评估器，并证明输出以高概率落在相关向量的凸包内。文中还讨论了其在用户级优化上的应用，以及该问题与高维私有拟凹优化在相差一个维度因子的意义上等价。
看点将一维函数私有评估推广到高维，并给出与私有QCO的等价性及用户级优化的加性开销改进，理论贡献突出，属于严谨的理论工作。
说明Eevee 加密方案中关联数据导致的确定性伪造攻击（针对随机数误用下的安全性）
简介本文分析 Eevee 加密方案的 Umbreon 与 Espeon 模式在随机数重用情况下的认证加密安全性。作者利用关联数据的相关性，在三次加密查询和一次验证查询中以概率一构造出非空消息的伪造。文中还系统分析了部分末尾消息分组的情形，并给出了更少查询次数的构造，同时验证了已公布的攻击。
说明防御跨语言与多模态智能体中的休眠投毒攻击
简介论文指出，攻击者可在模型发布时植入休眠恶意行为，良性微调后被激活，且可能延伸到智能体的未见动作及多模态场景。作者提出利用发布模型自身的安全行为构建 Safety Buffer，并设计 LookAhead Defense，在微调前预览更新，仅惩罚会削弱安全行为的更新。实验显示该方法在多类模型上显著降低有害行为，同时保持较好的效用与较低的过度拒答。
看点利用潜伏投毒攻击保持安全行为的特性自动构建安全缓冲区，并提出前瞻式防御，在语言和多模态智能体上大幅降低有害行为，实验覆盖面广。
说明InterType：突破神经二进制类型推断的单函数限制
简介本文提出InterType方法，在预训练Transformer模型中嵌入过程间分析，用于二进制变量类型恢复。该方法基于CodeArt模型，在微调时加入调用者与被调用者之间的数据流依赖。在coreutils基准的O1优化版本上，召回率由CodeArt基线的89.00%提升至91.76%。
说明智能体能守住从未被告知的秘密吗？MemJoin：跨会话潜在隐私风险基准测试
简介本文提出MemJoin隐私基准，包含288个合成分析案例，完整历史会推出敏感关系，但单个会话都不足以推出。作者用同一回答模型评估六种记忆系统，并与完整历史和无历史对照组比较。结果显示，仅检查目标属性值是否可见，不足以评估不同会话记录组合后揭示的信息。
说明RATION：面向AI智能体的量化风险访问控制
简介该论文提出一种基于可量化风险的AI智能体访问控制方法，通过累计任务执行中的可测量风险进行约束。作者据此设计了RATION安全框架，它结合用户请求中的显式约束与历史相似任务中校准的隐式风险来生成任务策略，并在执行中持续跟踪风险、采用不同的执行策略。在四个安全基准上的实验表明，该框架在多种模型和环境下兼顾了安全性与任务效用。
说明利用微调小型语言模型从CVE描述预测CVSS与CWE
简介NVD已不再为所有新公布的CVE全部标注CVSS与CWE，安全团队缺少分级依据。本文仅依据漏洞文字描述，预测CVSS v3.1向量、基础分、严重等级和CWE类型。作者在2022至2023年数据上训练，并在2024年36,325个CVE上评估；微调后的Phi-3.5-mini在严重等级上准确率为69.9%，在CWE上为70.9%，并优于TF-IDF逻辑回归。
看点针对NVD停止为多数CVE打标的问题，用微调小模型从描述预测CVSS与CWE，并以防泄漏划分和配对自助法评估，结果可靠。
说明无限亏损、未经校验的输入：衡量大语言模型期权交易代理的安全防护
简介本文首次对券商和开发者已发布的期权交易代理进行测量，依据其执行的安全防护以及文档化下单路径可能造成的最大亏损进行评分。研究筛选出215个仓库和8个券商原生接口，对26个系统进行评估，发现它们普遍缺乏文本来源认证和市场数据交叉核对，其中13个可能产生无上限亏损。作者认为，期权代理需要在下单环节强制执行亏损限制。
看点首次系统测量期权交易代理的安全防护，发现多数系统可能出现无限损失，且输入均未验证，证据来自26个系统的单元级评分。
说明SPIDES：面向浏览器智能体的信息流控制方法
简介浏览器智能体可读取并操作网页内容，因此容易受到提示注入攻击和数据外泄风险影响。本文提出 SPIDES，在输入、点击、导航等基本浏览器操作上，依据 HTML 元素的机密性与完整性标注进行信息流控制，屏蔽不可信或机密内容并阻止未授权流动。作者构建了包含 28 个相互链接网站的 MicroNet 评测环境，报告 SPIDES 攻击成功率为 0%，同时保持较高的任务完成率。
看点将信息流控制用于浏览器代理，以元素级标签门控动作，并以自建封闭基准验证，新意明显但证据范围有限。
说明Zippel：面向零知识证明系统的语言、编译器、运行时与分析器
简介本文提出 Zippel，一套用于密码学证明系统的语言、编译器、运行时和分析器。它的语法类似密码学论文中的伪代码，并通过类型系统和运行时在构造上消除整类漏洞，例如自动同步协议记录并正确应用 Fiat–Shamir 变换。Zippel 还能在仅给出协议描述的情况下，自动静态分析协议是否完备且可靠。作者已用其实现 35 种证明系统，评估显示在多核硬件上性能与手写实现相当。
说明基于基础设施感知技术邻近性的新兴攻击变种自动规则变异方法
简介本文提出ARMS系统，可自动为已有检测规则生成变体规则，以应对攻击者改换执行路径或适应不同遥测环境的情况。该方法定义了三维邻近空间，并借助Atomic Red Team中可验证的攻击命令构建检索增强生成流程。在公开的SigmaHQ规则上评估后，大部分生成的变体规则可成功编译为SIEM查询，其中约92%的新规则能在攻击者改变技术的情况下仍检测到原有行为。
说明面向多模态工控入侵检测的录制感知评估方法
简介本文指出，工控系统入侵检测常用的基准数据集把正常与攻击数据分别录制，高分可能来自录制差异而非攻击行为。作者提出一种录制感知评估流程，在同一录制内比较攻击窗口与背景，并加入时间对齐检验和告警负担分析。在ProvICS数据集上，同录制评估改变了各模态的排序，跨录制与同录制的AUC差距最大达0.54，因此跨录制基准结果应结合多种评估方式解读。
说明糟糕的诊断：移动医疗应用的同意与数据收集实践分析
简介该论文分析了谷歌应用商店中一万余款移动健康应用的用户同意和数据收集做法，结合静态分析与隐私政策审查。研究发现，约69.15%的应用请求了与其声明用途无关的权限，其中约93%的应用未向用户提供同意表单，与GDPR等法规要求不符。作者认为该领域亟需加强隐私监管，并计划公开数据集与测量工具。
看点首次大规模分析10000多款健康App的同意与数据收集实践，结合静态分析与隐私政策，发现近93%无同意表单，证据充分，影响面广。
说明《深入皮下：多模态大语言模型中的后门感染》：一种跨模态后门攻击研究
简介本文提出“后门感染”，一种针对多模态大语言模型（MLLMs）的跨模态攻击框架。攻击者从一个已在某一模态植入后门的模型出发，在另一模态（被感染模态）中构造对应触发器，利用模型共享的潜在空间激活恶意行为，且训练时无需修改或投毒该模态。作者还提出一种轻量、考虑约束的优化方法来高效生成触发器。在LLaVA、InternVL、Qwen-VL、Gemma等多个先进模型上的实验表明，该方法比直接优化基线更高效、更有效且更难被检测。
看点提出跨模态后门感染新攻击范式，利用共享潜空间迁移触发器，在多个主流MLLM上验证，但实验细节摘要中较简略。
说明面向任务的核Stein证书，用于Rényi差分隐私
简介本文提出利用基于逃逸分布的核Stein差异，为Rényi差分隐私提供证明性证书。通过让核函数聚焦于相关的隐私方向，文中还推导出面向任务的隐私证书。作者给出了高斯机制和拉普拉斯机制的精确等式，以及指数机制的界，并用一个真实数据集的例子说明受保护的比较集与发布子空间如何共同决定证书结果。
说明ToolRosetta：工具调用守卫的表面形式不变性研究
简介该论文指出，面向工具调用智能体的步骤级守卫通常只在整洁的 JSON 工具调用上评测，而实际编码智能体使用字符串形式的 execute_bash 和 execute_code 工具。作者提出 ToolRosetta，在 AgentDojo 与 AgentHarm 数据切分中，将候选动作改写为 Python 调用与 shell 命令两种形式，并去除智能体的推理说明，同时保持语义与标签不变。结果显示，前沿守卫较为稳定，而多数专用智能体守卫在 shell 形式下误报率明显上升，表明在 JSON 调用上的基准准确率无法预测其在代码型智能体后的实际表现。
说明多智能体协同攻击的红队测试：探究失控风险
简介本文提出MiniLab基准，包含5个互联的在线服务、249项良性任务和8类攻击目标。研究发现，多个智能体分工执行攻击片段时，逐个审查其轨迹的前沿监控模型仅能标记7%的成功分布式攻击，而单个智能体执行同样任务时标记率为87%。作者还测试了模型自行规划隐蔽攻击的能力，结果显示其成功率远低于人工规划。
看点提出分布式多智能体协同攻击的红队框架，并用可复现环境和人工攻击验证监控被规避的程度，新颖且证据充分。
说明HardEval：一个经过执行验证的 AI 安全加固与合规整改基准
简介该论文提出 HardEval，用于评测语言模型辅助的操作系统安全加固能力。基准基于 RHEL 8 中在未加固基线系统上不通过的 STIG 控制项，模型生成 Bash 脚本并在真实虚拟机上执行，再用 OpenSCAP/OVAL 检查判定能否从失败变为通过。作者评测了十四种配置，发现不同安全领域的能力差异很大，且常见失败是代码看似合理却不满足精确的合规条件。
看点针对STIG安全加固提出在真实虚拟机上执行并以OVAL检查验证的基准，新颖且证据充分，覆盖十四种配置的对比实验，对安全运维领域有一定影响。
说明用溯源绑定的零知识证明实现证明水印
简介论文讨论外包证明服务与去中心化证明网络中，需要在零知识证明（ZK-SNARK）中嵌入证明者身份与请求随机数以标明溯源。作者指出Succinct Network等先前将溯源信息放入Fiat-Shamir挑战的做法并不安全，可被预计算攻击绕过，并在KZG-PLONK上实现了攻击。论文提出溯源绑定ZK-SNARK的首个形式化定义，并给出一种为基于码的多项式承诺（如BaseFold、FRI）增加溯源绑定的通用构造，开销较小。
说明注入攻击的决定时机：LLM智能体何时决定遵循提示注入
简介该论文研究读取不可信内容的LLM智能体何时被提示注入劫持。作者通过分支回放，在智能体读取注入的步骤后多次重采样后续过程，把结果方差分为读取时已固定和之后才决定的两部分。结果显示，开启思考后，固定在读取时的比例从0.91降至0.62；单次运行的标签与重跑结果最多有35%不一致，因此基准测试需要每个任务多次运行。
看点通过分支回放把结果方差分为读取时与之后决定两部分，揭示思考模式改变注入决策时机，证据充分，对监控与评测设计有启发。
说明TUPLE-Bench：评估并缓解类型化决策模型中的隐私与效用权衡
简介该论文提出 TUPLE-Bench，一个用于评估类型化决策模型隐私泄露与效用的配对合成基准。研究发现，仅靠指令要求模型隐藏细粒度原因无法有效保护隐私，大多数回答仍会通过直接选择或残余分数泄露原因。论文还提出工作流约束的隐私量化方法（WCPQ），在降低泄露的同时尽量保持下游流程的行为与成本。
说明CHAMP：基于矩阵乘积的 Cayley 哈希
简介Cayley 哈希函数把消息的比特表示为半群元素并进行乘法运算，因此具有有用的同态性质。本文提出 CHAMP，一种基于有限域上 2×2 矩阵乘积的 Cayley 哈希函数，并讨论其安全性、实现方式和性能。
说明SPECK 多密钥优化的分析
简介SPECK 是一种基于编码的数字签名方案，利用置换核问题与置换码等价问题的相似性，以向量-矩阵乘法取代高成本的高斯消元，从而显著加速。本文重新审视 SPECK 中的多密钥优化，详细分析其安全隐患，找出可安全整合多密钥的条件与参数约束。作者还基于同一构造设计了一种环签名方案。
说明多模式大语言模型水印的词元级归因：最优规则与信念加权
简介该论文研究一段文本中可能混有多个水印密钥（模式）及未加水印文本时，如何逐个词元地判断其所属模式。作者证明了在类型I错误约束下的最优规则，并据此提出BLADE检测器，用相邻枢轴值估计模式先验，用参考词元概率估计替代分布密度。实验基于OPT-1.3B等开源模型，结果显示BLADE在多项设置下的正确标签检测功效更高。
看点提出多密钥水印的最优归因规则并给出BLADE检测器，理论与OPT-1.3B等模型实验均较完整，对子领域影响较大。
说明面向小批量复数的全同态加密
简介本文提出一种新的近似同态加密方案，用于处理小批量复数。其层级运算基于一种新的成形舍入方法，使数据槽上的误差较小、其余槽上的误差较大，未使用的槽构成保护带。论文称在环次数2^15、目标128位安全的参数下，对16或64个值的密文自举可恢复21个层级，并保持至少22.6位的最小精度，而稀疏CKKS在该次数下仅支持4个层级；该方案的安全性归约于与CKKS相同参数的Ring-LWE问题。
看点提出基于成形舍入与保护带的新近似同态加密方案，推广CKKS缩放因子，并给出原生自举算法，新意明显。实验基于poulpy在特定参数下对比稀疏CKKS，证据有一定说服力但规模有限。
说明SLEEK：带闭式解码失败率的稀疏准循环码密钥封装方案
简介本文提出基于 QC-MDPC 码的密钥封装机制 SLEEK，采用三轮并行位翻转解码，并给出解码失败率的闭式估计，便于选参时给出可解析界定的失败概率。方案分为面向长期密钥的 SLEEK-LT（IND-CCA）和面向临时密钥的 SLEEK-E（IND-CPA）两个变体，并提供 128、192、256 位及 80 位安全等级的参数集。原文报告：与 HQC 相比，SLEEK-LT 密文小 4.9 倍，运行时间增加 47%；SLEEK-E 运行时间快 1.6 倍，带宽降低 2.1 倍。
