arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明面向电网边缘运营技术网络的低延迟被动网络安全监测
简介本文研究一种名为运营技术监督器（OTSV）的三层被动监测框架在电网边缘时序敏感基础设施中的工程可行性。该框架通过物理端口镜像（SPAN）接入裸机硬件，以不配置三层的被动方式采集流量，并以软件强制执行单向导出策略，使深度包检测引擎与生产网络隔离。在实验室电力监测回路上运行 Modbus TCP 与 IEC 61850 MMS 协议，共采集 32,927 个主动监测往返时延样本，测得监测前后延迟差小于 0.12 毫秒。
说明在 Cortex-M 上高效实现 NTRU+（基于三路 NTT 的后量子密钥封装）
简介本文针对嵌入式设备上的后量子密码，在 Arm Cortex-M0+、M3、M4、M7 上实现了基于三路 NTT 的密钥封装方案 NTRU+。作者为每个参数集和处理器内核调整了层融合、模运算和指令调度，并提出用于前两层正向 NTT 的 ω 折叠方法。速度优先版本在实际开发板上比官方优化 C 实现最多减少 52.43% 的执行时间；内存优先版本则把峰值栈使用最多降低 82.60%，且每个操作都比官方实现更快。
说明对 ML-DSA 拒绝采样的故障攻击与对策系统评估
简介本文系统评估了针对 ML-DSA（FIPS 204）拒绝采样的故障攻击及已提出的对策。作者证明某专利的“第三拒绝测试”实际比较的是签名过程中已生成的 r1，且在第二项检查通过时它只是重复验证已被保证的条件。实验显示，该专利的各实施方式对跳过 z 范数检查的攻击都无法检测，并据此完整恢复了签名密钥 s1。论文认为第三项检查与“先签名后验证”互为补充，两者结合可覆盖所评估的全部攻击路径，并建议同时部署。
说明披露引发披露：具有持久记忆的大模型智能体中的自我强化隐私循环
简介该论文研究带持久记忆的大语言模型智能体如何在多轮对话中泄露用户个人属性。实验显示，参考记忆能提升回复质量，但也使属性被正确推断的比例随会话增加而扩大。原因是智能体把先前的值当作前提延续，用户确认或不予纠正，形成自我强化的循环。让智能体不陈述或预设属性，可将泄露降至接近无记忆水平，同时保留大部分质量提升。
看点揭示了记忆增强型智能体中回应引发披露的自我强化隐私循环，并比较了缓解手段；多会话仿真与多模型对比提供较充分的证据。
说明阈值格签名中由故障引发的随机数重复：披露结构判据、跨方案分析与检测边界
简介本文研究阈值 ML-DSA 签名在诚实参与方设备遭受物理故障时的安全性。作者指出，某方因故障重放跨会话样本即可泄露其份额，t-of-n 部署下攻击者只需使 t 台设备故障即可恢复完整签名密钥，且单个签名均有效。作者在 Mithril 方案上完成了端到端验证，并提出以披露结构而非随机数分布作为攻击面判据，同时设计了两层转录级检测机制。
看点提出以披露结构为判据的故障诱导随机数重用攻击类别，并在Mithril上端到端验证恢复完整私钥，影响面较广。
说明可证明对偶攻击的进一步完善
简介本文针对学习带误差（LWE）问题的对偶攻击，提出一种可证明的方法，可恢复LWE密钥的一个子向量，并在不依赖启发式假设的情况下给出成功概率的显式下界。作者统一了已有两项可证明分析工作，并将其应用于ML-KEM和ML-DSA，报告在ML-KEM上的攻击比首个可证明对偶攻击多出22至52比特的效果，并在小规模实例上对ML-DSA做了实验验证。作者指出，这些结果并不威胁ML-KEM或ML-DSA的安全性。
说明正则综合征解码比先前估计的更容易
简介本文重新评估正则综合征解码（RSD）问题的具体困难度，RSD 是一类用于零知识证明、伪随机相关生成器和 MPC-in-the-Head 签名等密码构造的结构化难题。作者提出改进的混合代数攻击，协调各正则分块中的零坐标猜测与校验子消元，从而降低攻击成本。论文称，多个广泛使用的参数集比先前估计容易得多，部分应用的参数低于 128 位安全目标。
看点提出协调各分块猜测与线性消元的混合代数攻击，显著降低RSD参数的攻击成本，影响多个基于RSD的密码协议；证据主要为估计值而非实际求解。
说明降低同态计算模数需求的新方法：CKKS 中的精度分配
简介本文是一篇密码学预印本，研究 CKKS 近似同态加密方案中降低密文模数的问题。作者不再让最高精度要求决定模数预算，而是让平均精度要求决定预算，并允许在独立数值之间分配输出精度。原文称，在 64 位平均精度要求下，可在不减少计算深度的情况下多转移 75 位精度；在特定实验中，初始模数位长相比标准 CKKS 减少，环维度可缩小为四分之一。
说明ClawMMU：面向有状态大模型智能体的保护一致性虚拟内存
简介论文指出，大模型智能体的长期记忆常来自网页和工具结果，而现有运行框架不记录谁有权使用这些记忆，导致网页中隐藏的指令可能被当作用户指令执行。作者提出 ClawMMU，为每段记忆标注所有者、作用范围、来源和权限，并在内容进入上下文、写入或读出存储以及触发工具调用时进行检查。其核心规则是信息权限可以提升，但不能自行提升，因此攻击会被当作保护故障拦截，即使模型被误导也能阻止。
说明批归一化层中水印的脆弱性与无数据移除方法
简介本文针对联邦学习中基于批归一化（BN）层嵌入白盒水印的方案，指出其存在的根本性安全漏洞，并提出一种无需训练数据即可利用这些漏洞的实用攻击方法。在两种有代表性的联邦学习水印方案上的实验显示，该攻击能够移除水印，且对模型性能影响很小。作者同时强调，应按照柯克霍夫原则在贴近实际的威胁模型下评估深度神经网络水印方案，而不应依赖隐蔽性带来的安全。
说明语境坦诚：面向混合敏感度语境的角色感知分级披露（LLM）
简介本文针对大模型在混合敏感度语境中工作时的信息披露问题，提出“分级披露”：依据用户授权调整回答的详细程度与敏感度，而非简单地全答或拒答。作者将其建模为披露感知的生成问题，并提出基于奖励的优化框架，抑制未授权的事实泄露（包括改写和近似表述）。在企业和临床基准上的实验表明，该方法显著减少了信息泄露，同时保持了正确性和实用性。
说明SALUS：基于逻辑感知查找表优化的大规模同态电路综合
简介该论文针对全同态加密（FHE）电路，提出名为SALUS的综合框架，可在密文上基于同态查找表自动生成并评估门级图。方法结合二元决策图（BDD）重排序、多值刷新技术及合并查找表的启发式算法。实验显示，相较现有同态电路综合方法，最高可降低26倍计算延迟；在图像滤波和矩阵乘法等应用中，相较基于FBS的方法平均加速8.6倍，最高24倍。
说明基于曲线的碰撞游走中的图与环
简介本文研究椭圆曲线与同源问题的碰撞类攻击，重点是多用户场景，即同时恢复大量公钥对应的私钥，速度快于逐个攻击。作者分析了三类问题，提出更适合同源路径查找的伪随机游走，并给出不同场景下可提取的公钥数量。结论显示，对于超奇异F_{p^2}曲线的同源路径查找，约L+log(L)次有效碰撞即可提取L个公钥且无需渗透者；启发式或借助渗透者的策略效率更高。
说明基于LLM伪标签的自进化静态分析（SESAA）：让大模型自动编写和修复安全检测规则的论文
简介该论文提出SESAA框架，让大语言模型智能体从零开始，迭代生成并改进可读、可审计的joern查询规则，用于发现安全漏洞。智能体仅依靠另一个大模型评审员的反馈修正规则，不接触真实标签。在OWASP Python基准上，其平均F1达0.742，与经真实标签调优后的主流工具相当；在真实项目试点中，还能检测出19个后续CVE中的10个。
说明工业信息物理系统中携带上下文的动作意图在执行时的校验
简介论文针对工业单元中指令从生成到执行之间状态可能已变化、指令已不再正确的问题（执行间隙），提出动作意图模式（AIS），让生产者声明决策的有效期与假设。运行时组件XAIR在释放前重新检查意图，并可将指令以版本条件方式释放，控制器仅在状态版本未变时执行。受控实验显示，只有在软件控制器的扫描周期内进行检查才能关闭间隙，嵌入式板上每秒可校验148至168个意图。
说明基于定向超奇异阿贝尔簇的后量子可交换群作用
简介本文研究在后量子密码学背景下，将 Shimura 类群作用用于带 CM 定向的超奇异主极化阿贝尔簇。文中给出通俗入门，并提供通过高维同源表示 CM 定向、在受限有效群作用模型中计算该作用的工具。文章还给出找到由指定 CM 序定向的超奇异主极化阿贝尔曲面的方法，并分析 Shimura 类群作用不可传递性的障碍，这与零特征中的 CM 型概念相关。
说明提升还是检查？预测连续模糊测试中是否需要额外模糊测试
简介该论文提出RAISE框架，用于在开源软件的连续模糊测试中，依据漏洞风险估计把额外模糊测试资源优先分配给高风险的项目日。模型以项目日为粒度做二分类，结合静态特征与覆盖率等动态模糊测试特征，在15个C/C++项目数据上取得约0.74的ROC-AUC。模拟实验显示，相比不依赖预测的启发式策略，所提方法每发现一个漏洞所需的额外模糊测试次数明显更少。
说明在受限设备与微控制器上测试 TLS 1.3 后量子密码（PQC）
简介本文研究物联网类设备和微控制器能否使用后量子密码建立安全的 TLS 1.3 连接。作者基于 wolfSSL 在四款设备上测试了 36 种密钥交换与身份认证算法组合，并测量握手延迟和能耗。结果显示，在最受限的设备上，全后量子组合（ML-KEM-512 + ML-DSA-44）的握手速度和能效可与经典组合相当甚至更优，但 ML-DSA 签名时间存在波动；另外，IETF 草案中的 X25519+ML-KEM-768 混合方案成本约等于两部分之和，在缺乏 Curve25519 汇编支持的硬件上，纯 ML-KEM 更为实用。
说明让攻击者耗费更多能量：针对关键基础设施中语言模型攻击者的生成式欺骗
简介该论文研究在关键基础设施中用诱饵系统对抗自主语言模型攻击者。攻击者与防御者双方在相同GPU上运行，并测量超出空闲状态的能耗，共进行330次会话。结果显示，在多数配置下攻击者的能耗高于防御者，关闭思考功能时更为明显；启用思考功能会使防御者能耗增加8至17倍。论文据此提出一种面向SCADA的欺骗架构。
说明HydraPoT：一种可配置的多智能体框架，用于兼顾成本的大语言模型辅助蜜罐
简介本文提出HydraPoT，一个可配置的多智能体蜜罐框架，整合传统模拟、轻量级大语言模型和云端大模型。系统依据可配置的复杂度策略，将攻击者命令分配给相应智能体，并维护共享会话状态以保持跨智能体切换时的一致性。实验显示，其运行时开销低于5%，保持跨智能体上下文，保真度接近纯云端大模型蜜罐；在案例策略下，云端处理的token减少72.6%，运营成本降低至3.7分之一。
说明经验去噪器的隐私核算：研究扩散模型采样过程中产生的隐私损失，并分析采样设计对隐私的影响
简介本文研究扩散模型在采样过程中会产生多少隐私损失，构造了一种可解释的带裁剪的经验去噪器，使每一步去噪都可视为高斯机制，从而用高斯差分隐私和f-DP进行核算。文中还发现隐私损失在语义形成的关键阶段急剧增长，并提出先用私有去噪器、后切换到公开神经去噪器的混合采样方法。在CIFAR-10和CelebA-64上的结果表明，扩散模型的隐私性不仅取决于训练过程，也取决于子采样、停止时间和混合去噪等采样设计。
说明CyberHull：基于凸包的确定性恶意网址隔离方法
简介本文提出 CyberHull，一种资源高效、确定性的恶意网址识别框架。它在结构内容熵、超链接图拓扑和语义词元分布等多个正交特征域中，用凸包边界划分网址，并用 QuickHull 算法构建紧凑的凸包（称为 vault），分类时进行点是否在多面体内的判断。实验报告检测准确率为 92%，高于基于主成分分析（PCA）的线性基线方法的 32%。
说明CAESAR：用于评估认知攻击的混合现实搜救平台
简介本文提出CAESAR，一个面向多用户的混合现实框架，用于在协作式搜救训练中系统评估认知攻击。该框架采用模块化架构，在同步的协作场景中集成四类认知攻击，并配有多模态数据采集流程，记录对抗条件下的行为、表现与主观体验。作者通过受控用户研究，对基于延迟的攻击进行了深入分析，结果显示其对任务表现和用户行为有可测量的影响。
说明针对大语言模型统计生成水印的统一攻击框架
简介该论文研究用于识别大语言模型生成文本的统计水印方法，发现KGW及其变体、GumbelSoft、DipMark、ITS和SynthID等多种方案的检测分数与生成时的词元概率偏移之间存在固有关联。作者提出一种仅需黑盒查询的攻击方法，无需密钥或模型权重即可生成规避检测且流畅自然的文本。论文报告在七种水印方案、三个模型和多项任务上，检测率最低降至0.05，并认为当前水印设计需要从根本上解耦检测分数与词元概率偏移。
看点提出统一攻击框架并证明对多类水印的最优性，揭示检测分数与概率偏移的内在联系；在七种方案、三个模型上评估，检测率降至0.05以下。
说明基于分层DNA密钥管理的安全多模态联邦优化
简介该论文提出一种安全的多模态联邦优化框架，让多家机构在不集中原始数据的前提下，用医学影像、基因组、临床记录等多种模态数据协同训练共享模型。框架通过HPKE分发主密钥，再以HKDF为各模态派生专用对称密钥，并将数据转为DNA域表示后用AES-GCM加密，本地只解密所需模态。模型更新则经安全聚合保护，协调方只能看到聚合结果。
说明局部放行，全局拒绝：为何逐操作授权无法在LLM智能体中组合
简介本文研究自主LLM智能体通过工具执行操作时的授权问题：每次工具调用仅被单独审查。作者指出，局部授权无法组合为全局授权，并定义了“组合授权失败”（CAF）。文章证明，跨执行的目的违规属于二元安全超性质，单次操作监控无法检测；作者还用SAT/SMT合成器AL-SYNTH生成最小CAF见证，实验显示多数LLM判官单独审查时批准该见证，但将两次执行并列时则能识别。
看点提出组合授权失败并证明关系型目的违规无法被逐动作监控检测，给出不可能性结果与合成器；实证依赖九个模型判官，规模有限。
说明DISTA-LP：面向度量差分隐私的隐私保护分布式线性规划
简介该论文针对度量差分隐私（mDP）的线性规划机制在分布式场景中的隐私与计算问题，提出DISTA-LP框架。用户端不再上传原始系数矩阵，而是上传紧凑的代理参数并加入校准扰动；服务器端通过Benders分解求解可扩展的主从问题。作者还提出概率度量差分隐私审计方法以提供端到端保证。在罗马、纽约和伦敦的真实路网数据上，实验显示其隐私违规率接近零，计算时间明显减少，效用相当或有所提升。
说明《小份额守大秘密：重新审视安全多方计算》：一种降低多方计算通信开销的新方法
简介这篇论文把2007年两项既有的多方计算降低通信开销的思路结合起来，提出一种称为"紧凑分享"的改良版门限秘密分享方案，并据此设计相应协议。论文称该协议在静态半诚实敌手模型下具有完美安全性，且在腐化门限与扩展域次数之间存在明确权衡。当扩展域次数随参与方数量线性增长时，门运算核心的通信开销相对于一个扩展域元素达到常数级。
说明数字欺骗与物理保真的统一：面向认知雷达的时空攻击方法
简介该论文针对直接处理一维复基带序列的认知雷达深度网络，提出分段时空攻击方法SSTA，以提升攻击在不同网络架构间的迁移能力并增强对物理信道失真的鲁棒性。方法包括全局-局部特征解耦分段机制，以及将信道失真抽象为可微时空算子并通过期望变换策略纳入动量迭代。在9个跨CNN、RNN与Transformer的异构模型上，SSTA的平均黑盒攻击成功率比现有最优基线高10.36%；基带等效仿真显示生成波形能在极端物理失真下保持有效，并在匹配滤波后实现0 dB主瓣衰减，噪声底抬升保持在恒虚警率容限之内。
说明“出场攻击”：子代理如何说服其监督者
简介该论文研究多智能体系统中的“出场攻击”：恶意子代理诱使监督者让其参与超出其职责范围的任务。作者构建了包含6种攻击策略、188个测试用例的SUA-Arena进行评估，测试了6个前沿大语言模型，发现它们都易受此类攻击。提示和限制通信等缓解措施未能稳定降低风险，论文认为多智能体系统需要明确的权限边界执行机制。
说明代理越权测试：衡量大模型代理是否遵守用户授权范围
简介该论文提出 AuthorizationBench，用于检验大语言模型代理代表用户行事时是否超出用户授权范围。基准包含 286 个可执行任务和 6,864 条轨迹，覆盖 24 种配置。结果显示约 19.2% 的轨迹存在越权行为，任务完成并不代表遵守授权，且越权与是否产生直接有害后果关系不大。
看点提出以授权边界为核心的新评测基准，区分有无直接危害的情形；6864条轨迹与受控对比提供较扎实证据，对子领域有实际参考价值。
说明KNOX：面向生成式模型的硬件辅助监管沙盒
简介该论文提出 KNOX，一种在可信执行环境（TEE）中运行 AI 工作负载的监管沙盒。系统为每个用户提示生成经证明的策略清单，由参考监控器在执行前比对每个操作，并把所有操作与判定记录在可证明的执行图中，供监管方核验。论文称其兼顾合规、机密性、可证明性与可扩展性，开销低于 1%。
说明在 Arm Cortex-M55 上实现 FN-DSA：借助原生 FP64 与 Helium 重新审视浮点格签名
简介该论文介绍了一种面向 Arm Cortex-M55 微控制器的 FN-DSA 实现，利用双精度浮点单元（FPU）和 M-Profile 向量扩展（MVE）加速密钥生成、签名和验证。该实现与参考实现的已知应答测试（KAT）结果一致，并以恒定时间运行，同时比参考实现更快。文中报告密钥生成、签名、验证分别最快提速 1.23 倍、1.93 倍和 1.30 倍，四个签名的批量验证最快提速 1.75 倍。
说明对抗性基准与BenchDoor攻击：利用基准激励进行后门攻击
简介该论文提出BenchDoor，一类数据投毒攻击，利用机器学习基准测试促使研究者采用提升分数的训练数据的激励。攻击者可篡改基准的训练或测试数据，或另行提供训练数据集，在保持正常性能的同时植入后门。论文在Qwen和Gemma模型的多项选择问答、文本分类和开放式问答任务上评估，30种配置均获得基准提升，在2%至10%投毒率下，留出集攻击成功率为82.33%至100.00%。
看点提出利用基准分数激励进行后门投毒的新攻击范式，并在30种配置上验证，攻击成功率高，对模型开发流程影响较大。
说明超越提示词：恢复文生图模型中的隐含概念
简介文生图模型有时会生成提示词中未提及的视觉概念。本文提出EmbGA，一种在词嵌入空间中运行的遗传算法，用于从一组图像中恢复未出现在生成提示词里的概念。它将候选嵌入投影回离散词元后再评分，每个候选都是有效的词元序列。论文在两个基准上与六种优化器对比，结果显示在探索预算较大时对齐度最高，在自然图像上恢复的有依据词元最多，且运行速度远快于语言模型引导的搜索。
说明面向医学影像的隐私保护个性化联邦学习（PPP-FL）
简介该论文研究联邦学习在医学影像中的隐私风险。作者提出一种基于深度卷积生成对抗网络（DCGAN）的模型反演攻击，可重建具有语义意义的合成图像。研究还在客户端引入差分隐私并结合个性化联邦学习，在Brain MRI ND-5数据集上以降低攻击成功率、弥补精度损失，并比较了不同聚合算法的影响。
说明NetGuise：面向早期分类器规避的对抗流量生成方法
简介该论文研究加密流量分类器在只看到连接前几个数据包时的鲁棒性，提出 NetGuise 框架，通过数据包级填充和非负延迟来伪装流量，同时保持方向、顺序和数据包数量不变。实验在 VANT 与 UTMobileNet 数据集上进行，因果（在线逐包）接口下的定向规避率分别为 33.2% 和 5.6%，全窗口接口下分别为 82.0% 和 81.8%。作者认为早期分类器即使干净准确率很高仍可能被伪装规避，鲁棒性评估应考虑这一点。
说明SRE：通过多标量乘法中的标量冗余消除加速零知识证明
说明隐私保护的鲁棒性引导测试：在不泄露知识产权的前提下把测试外包给第三方
简介论文针对半导体、航空等行业中设计方与测试服务商都希望保密知识产权的情况，提出一种基于安全多方计算协议、可证明隐私的测试即服务（TaaS）做法。规范以信号时序逻辑表示，测试采用鲁棒性引导的证伪方法。原文报告在最多100维输入搜索空间下，生成一个测试用例耗时不到80毫秒，隐私保护协议的开销低于6倍。
说明Interflow：打破边缘私有人工智能中的离线与在线壁垒
简介该论文针对隐私保护机器学习中安全多方计算的高通信与计算开销，提出软硬件协同设计Interflow。它将相关随机性生成与在线执行按批次流水线化并行处理，减少缓存压力与数据搬运。在Zynq UltraScale+ ZCU102上实现后，非线性运算吞吐量最高提升1.55倍（CNN）和1.48倍（Transformer），ResNet-50与BERT-base加速最高分别为1.26倍和1.21倍，内存占用最多减少37%。
说明AgenticVulHunter：把本地智能体漏洞挖掘带到终端
简介该论文提出 AgenticVulHunter，一种可在本地部署的开源权重大模型上运行的智能体式安全代码审查方法与工具，用于在代码库中发现跨文件的漏洞。作者在 SCRBench 的 144 个漏洞案例上，用 Qwen3-Coder-30B 和 DeepSeek V3.1 Terminus 进行评测，结果分别为 18.4% 和 23.8%，高于复现的 AgenticSCR 风格方法及使用 Claude Sonnet 4 的 AgenticSCR 的对应结果。
说明通过系统性对抗鲁棒性揭示漏洞单一化
简介该论文指出，基础模型在训练流程、蒸馏方法和数据上日趋同质，可能使模型群体共享同一类漏洞。作者提出“系统性对抗鲁棒性”（SAR）指标，以攻破模型群体所需的攻击多样性衡量共享漏洞程度，并将其形式化为部分集合覆盖问题。实验显示，由DeepSeek-R1和Claude Opus 4.6蒸馏得到的模型池，其估计的系统性鲁棒性低于对应的母模型池。
说明混合 QKD-PQC 网络中的全局密钥容量分配编排
简介本文提出一种分布式密钥管理系统，通过多跳可信中继传输量子密钥分发（QKD）生成的密钥，并以后量子密码（PQC）端到端加密保护中继过程中的密钥材料。论文的核心是一个由 SDN 驱动的控制平面，由中央控制器统一计算各对端密钥缓冲区的填充速率与多路径路由。在基于 Kubernetes 的数字孪生上针对五种网络拓扑的评估显示，控制器可在六分钟内将所有密钥缓冲区填满，且在需求过载时通过限速拒绝多余请求，而非整体失效。
说明通过数据中心电力检测AI训练
简介论文提出一种通过监测数据中心设施级电力、用Viterbi追踪迭代节奏来检测大模型同步训练的方法，无需信任运营方。模拟结果显示，在运营方不隐藏时，该方法能以较低误报率检出至少96%的训练运行。即使运营方采用隐藏策略，在一天的观测中仍能检出至少87%的此类运行，而隐藏训练会显著增加所需算力。
说明用于 5G V2X 通信的量子密钥播种分布式后量子群签名（qDGSP）
简介车联网（V2X）通信目前依赖的椭圆曲线签名可被量子攻击者破解，且假名证书的匿名性依赖更换频率而非密码学保障。本文提出 qDGSP，一种后量子 V2X 基础设施，采用基于哈希的动态群签名方案（DGSP，基于 SPHINCS+ 与 WOTS+），由中央控制器与路侧验证器分布式协作。群密钥由通过 ETSI GS QKD 014 接口获取的量子密钥分发（QKD）种子确定性生成，群签名密钥不经过经典信道传输。在模拟 5G 链路的测试平台上，各方案的中位端到端时延均在 ETSI 规定的 100 毫秒预算内；EA 模式下负载增大时投递率由约 78% 提升至 93%。
说明加扰的进位乘法伪随机数生成器
简介进位乘法（MWC）伪随机数生成器速度很快，其质量取决于乘数的选择，通常通过对关联的乘同余生成器做谱检验来评估。论文指出模数的特殊形式会限制每个MWC生成器的格结构，而Goresky与Klapper提出的广义MWC生成器可缓解这一问题；作者的测试显示，把每个输出与其进位异或即可消除这些限制。论文提出了MWC192X，这是一个具有192位状态、输出64位的生成器，据称通过了作者所知的全部测试，且每个输出约需半纳秒。
说明全球安全盲点：翻译成为低资源语言中的安全绕过手段
简介大型语言模型在全球部署，但安全对齐与评估主要集中在英语。该研究在翻译绕过威胁模型下，测试了十个主流模型在79种语言（英语加78种低资源语言）中的表现，发现英语中被拒绝的有害请求翻译成低资源语言后，可能引出不安全回答。研究还表明，英语安全性并不能可靠迁移，且各模型的绕过率排名并不稳定。
看点提出以英文安全性为条件的翻译绕过指标，在10个模型、79种语言上系统评估，证据充分，对全球部署的安全评估有较大影响。
说明Android 混合应用的跨语言信息流分析框架 MifDroid
简介论文提出 MifDroid，用于分析 Android 混合应用中 Java 与 JavaScript 通过 WebView 交互产生的跨语言信息流，结合静态分析与动态分析。在 F-Droid 中 338 个使用 addJavascriptInterface 的应用上评估，动态阶段将解析率从 36.5% 提升到 74.5%，并报告 14 条有漏洞的跨语言信息流，其中 5 条已被维护者接受并修复。
说明面向可信合成文本生成的引导式扩散方法
简介本文提出一种名为“引导式扩散”的隐私合成文本生成新范式，利用扩散语言模型可控性，通过新的采样与重掩码流程引导迭代去噪，生成流畅且符合目标语义分布的文本。作者指出该框架与差分隐私兼容，在两个数据集和两种扩散骨干上，其分布保真度与下游效用优于Private Evolution和基于DP-SGD的微调，且比Private Evolution生成更快。
说明模型知道但无法线性表达：代码大模型中的关系编码限制了漏洞线性分类
简介该研究分析了8个参数规模在67亿至150亿之间的代码模型，在C语言程序上使用三个数据集进行线性探测。结果显示，模型能高保真地识别代码实例化了哪些模式，但漏洞信息更多以“代码A比代码B更危险”这类成对关系信号存在，而非可全局分离的类别标签。因此，单独样本上的标准分类器准确率有限，因为有漏洞和安全样本在表示空间中分布重叠。
说明当“鹅卵石”不是原子化的：纯鹅卵石与纠缠鹅卵石之间的多项式分离
简介该论文研究图鹅卵石模型，它用于衡量内存困难函数与空间证明的内存成本。作者证明，只存储完整标签的纯鹅卵石模型与允许存储编码状态（如标签异或）的纠缠鹅卵石模型，两者在存储代价上可以相差多项式倍，而不仅是以往所知的小常数因子。
看点证明纯pebbling与纠缠pebbling之间存在多项式级分离，推翻了仅差小常数因子的猜想，并给出显式indegree-2图的构造。
说明AutoRedClaw：面向 Claw 类智能体的自动化红队测试框架
简介论文提出 AutoRedClaw，一个自动生成端到端攻击及其执行环境的红队测试框架，用于评估 OpenClaw 这类持久化个人助理型智能体。框架结合质量检查与执行验证，并按风险类别、攻击策略等维度组织生成以提高覆盖面。基于它构建的 330 个用例的 RedClaw-Bench，其攻击成功率明显高于 AgentDojo、AgentDyn 和 DTap；在七种框架、四个前沿模型上，多数智能体系统的攻击成功率超过 50%。
看点提出面向持久化代理的自动化红队框架并构建330例基准，新意在于针对claw式代理的端到端攻击生成；基于执行验证并与多个基准对比，证据较充分。
说明Profile-DP：个性化大模型推理中用户可控画像发布的差分隐私方法
简介该论文针对个性化大语言模型在推理时会暴露用户画像及其分享偏好的问题，提出策略感知的本地差分隐私框架 Profile-DP。框架对用户不愿分享的事实设定可证明的隐私上界，并将公开指令、画像模式和已授权事实视为公开辅助信息。作者设计了两种满足该框架的有限域机制：DP-SLOT 独立扰动受保护属性，DP-BLOCK 利用公开语义决策协调相关属性的联合发布。在 PEEP 数据集上的实验显示，DP-BLOCK 在多数预算设置下效用综合得分领先。
说明你即是触发器：由说话人激活的后门攻击
简介论文研究一种新型语音模型后门威胁：攻击者在微调阶段植入后门，目标说话人的自然声音即为触发条件，无需在推理时接触受害者输入。作者提出两阶段微调方法，在使用约两分钟目标说话人真实语音的条件下，于 Whisper-medium 和 Parakeet 上分别达到 90.2% 和 97.0% 的后门成功率。实验还显示，注入的恶意指令可在多数情况下驱动前沿大模型代理执行有害操作。
看点提出以目标说话人声音作为触发器的后门攻击设定，并设计两阶段微调方法；在Whisper和Parakeet上实验，并验证对LLM代理的下游攻击，证据较充分。
说明面向客户端 CKKS 编码与加密的组合式流式 FPGA 架构
简介该论文提出一种流式 FPGA 架构，用于同态加密中客户端的 CKKS 编码与加密。架构只计算一次共享的浮点编码变换，并行完成六个模数的整数变换，中间结果在片上交换。在多项式阶数 N=8192 时，Altera Agilex 7 实现每秒可生成 5,143 个完整密文，工作频率为 471 MHz；同一工作站上单个 SEAL-Embedded CPU 工作线程为 113 个/秒。
说明一台设备的模型暴露会危及其他设备：重新思考跨设备的边缘神经网络安全
简介论文指出，部署在移动和物联网设备上的神经网络模型可能被逆向提取，攻击者可在一台被攻破的设备上生成对抗样本，并有效迁移到共享相同模型的其他设备。作者提出 VeilNN 防御框架，通过网络单元混淆和层组装，在架构与参数层面进行不可逆的模型混淆，以降低对抗样本的可迁移性，并适用于 MLP、CNN 和 Vision Transformer 等架构。实验显示，该方法对四种对抗攻击的平均防御成功率为 49.19%，最高达 81.19%，较现有防御提升 33.16% 以上。
说明《Mind Your Boundaries》：面向跨节点攻击的边界感知模型混淆方法
简介该论文针对边缘设备上的机器学习模型：一旦设备被攻破，攻击者可获得模型白盒访问权限并发起跨节点攻击。作者提出BMO方法，将模型参数分解为决策边界位置与边界曲率两部分，并向曲率部分注入噪声，使同一来源的模型具有差异化的决策边界。文中报告，在四类对抗攻击与四种常见端侧模型上，BMO防御平均成功率为68.68%，优于最强基线的22.32%，且良性准确率与基线相当。
说明后量子密码在受限设备与通用架构上的能耗对比
简介本文对 NIST 标准化的三种后量子密码算法 ML-KEM、ML-DSA 和 SLH-DSA 的密钥生成、签名与验证进行了基准测试，并在从 32 位树莓派到 64 位树莓派 4 及笔记本电脑等多种硬件上测量了计算性能与能耗。结果显示，ML-KEM 和 ML-DSA 在各测试架构上的能耗与速度效率与传统椭圆曲线密码相当。然而，SLH-DSA 在受限硬件上签名的能耗很高，32 位设备最高比 64 位设备高 243%，对资源受限的物联网部署并不可取。
说明后量子密码在受限与通用架构上的能耗对比
简介本文对 NIST 标准化的三种后量子密码算法（FIPS 203 ML-KEM、FIPS 204 ML-DSA、FIPS 205 SLH-DSA）进行基准测试，涵盖密钥生成、签名与验证，在从 Raspberry Pi 1、Zero 到 Raspberry Pi 4 的物联网级设备及笔记本电脑上同时测量计算性能与能耗。结果显示，ML-KEM 和 ML-DSA 在各测试平台上的能效与速度可与传统椭圆曲线密码相当。然而，SLH-DSA 签名在资源受限硬件上并不适宜，其在 32 位设备上的签名能耗明显高于同类 64 位硬件。
说明基于谓词编码的注册式属性加密再探
简介本文重新定义了谓词编码，使其更适合注册式属性加密（Reg-ABE）。在标准 k-Lin 假设下，作者给出三类方案的首个 O(log L) 密文规模构造：内积（含非零内积）、合取/析取，以及注册式广播加密，其中 L 为最大用户数。此前相应方案的密文规模为 O(ℓ log L)，广播加密则依赖通用群模型。
看点提出新的预言编码定义，首次给出约O(log L)密文的Reg-ABE方案与注册广播加密方案，并基于标准k-Lin假设，新颖性较强。
说明ECHO：揭示匿名同行评审中评审意见与自身投稿的关联
简介论文指出，在匿名同行评审中，评审意见可能通过评审过程中公开的材料与评审人自己的投稿相关联，从而削弱评审人的匿名性。作者提出 ECHO 方法，结合技术专长与写作风格信号，并在自建基准 R2S-Bench 上测试，发现在 Top-1 中可正确识别的评审比例为 34.6%，明显高于随机排序的 0.5%。
看点揭示匿名评审中审稿与投稿的关联风险，新问题视角；基于自建基准R2S-Bench评估，Top-1达34.6%，对比随机基线0.5%，证据较充分。
说明可问责的部分理解：保障代理式系统的认知攻击面
简介本文讨论代理式AI系统带来的认知攻击面：当软件读写、解释并授权安全相关行为时，人类对系统的部分理解会更快、更不透明，并与委托权限耦合。作者提出四类相互作用的攻击类别，并定义可问责的部分理解（APU），给出六项必要条件及五项设计原则。文中以AI编码代理、自主网络防御代理和AI中介的胰岛素输送更新三个示例说明分析。
说明电话诈骗对抗：用博弈论与大语言模型在“机器人对战”中反制诈骗电话
简介该论文提出一个博弈论框架，让大语言模型在不微调的情况下，通过上下文经验学习反制诈骗者的策略。研究将诈骗者与“拖延者”的互动建模为双人博弈，并以纳什均衡作为评估基准。在300段模拟对话和三种大语言模型架构的实验中，自适应策略选择比非自适应基线更接近纳什均衡。
说明分析一种基于人工智能的编码区分器
简介DeepDistinguisher 曾用类 Transformer 模型区分 Goppa 码与随机线性码。本文通过显著图和注意力可视化考察其工作机制，发现模型部分依赖训练数据中的低权重行伪影；去除该伪影后，区分器仍保有显著准确率。受 Goppa 码最小距离约束启发，作者提出基于生成矩阵行两两异或的规则，结论是模型主要利用码的一般组合性质，而非隐藏的代数结构。
说明基于定向超奇异阿贝尔簇的后量子可交换群作用
简介本文研究在后量子密码学背景下，如何利用带CM定向的超奇异主极化阿贝尔簇上的Shimura类群作用。作者给出了通俗入门介绍并配有大量示例，提供了用高维同源表示CM定向、以及在受限有效群作用模型中计算该作用的工具。文中还给出寻找被指定CM阶定向的超奇异主极化阿贝尔曲面的方法，并分析了该作用传递性的障碍。
说明BrushOff：以笔触重绘作为绘画水印的去除攻击
简介本文提出 BrushOff，一种利用预训练笔触渲染器对带水印绘画进行重绘的攻击方法，无需训练、无需水印信息，也不依赖生成模型。在 500 幅五种风格绘画上测试，作者发现抗图像编辑的水印 VINE 对常规失真几乎全部可检出，但经重绘后检出率降至 1.8%，输出画质接近干净作品。
说明DM-RSA-OAEP：基于物理多样性的双模数故障检测对策的形式化分析
简介本文重新审视了双模数RSA变体DM-RSA，其原版曾被Håstad攻击破解。作者给出修复后版本DM-RSA-OAEP的形式化分析，包括在随机预言机模型下的IND-CCA2安全证明、在明确攻击者模型下的故障检测定理（以物理多样性假设为前提），并分析假设不成立时（如单芯片共模故障）对策失效的原因。论文强调其贡献是可证明的故障检测保证，而非更强的计算安全性。
说明超越攻击成功率：评估迭代式大模型越狱的成本感知指标
简介该论文指出，常用的攻击成功率（ASR）未计入对目标模型的重复调用次数，而每次额外调用都可能让部署系统有机会发现攻击并介入。作者提出 ASR_STEP，在保留二元成功判断的同时，对额外调用进行折扣。在 JailBreakBench 上对 GCG、带步数预算的 PAIR 及单步 PAP 基线进行评估，结果显示折扣后 GCG 下降 7.0–8.7 个百分点，PAP 不变，PAIR 下降 3.4–12 个百分点。
说明BR-MoE：面向隐私保护交通分析的预算化语义发布框架
简介该论文针对交通摄像头分析中的隐私泄露问题，提出预算化语义发布方法，在已有的强化学习与专家混合框架上扩展。系统由四个场景专家处理隔离视频片段，输出映射到固定语义模式，并由强化学习控制器结合公共任务请求和历史发布内容，决定发布哪些摘要及消耗多少隐私预算。在明确的片段隔离和有界事件假设下，完整发布记录满足事件级差分隐私约束。文中的表格仅展示报告格式，未给出实验证明的效果增益。
