Rerandomizable Garbling for Arithmetic Circuits
说明算术电路的可重随机化混淆（garbling）
简介本文研究可重随机化混淆方案，即在不改变功能的前提下刷新混淆电路，只要至少一次重随机化步骤诚实，就能保护隐私。已有构造仅适用于布尔电路且通信开销较大，本文首次提出面向算术电路的可重随机化混淆方案。该方案的通信复杂度为 O(|C|log B)，每个乘法门需要 17 个群元素，加法门无需开销，并可基于 DCR 等子群不可区分假设实现。
Do Flow-Generation Tools Matter? Unsupervised Characterization of MQTT Traffic Across Public Datasets
说明流量生成工具是否重要？跨公开数据集的 MQTT 流量无监督特征分析
简介本文研究物联网常用的 MQTT 协议流量，比较 Zeek-flowmeter、Argus、NTLFlowLyzer 三种流量生成工具在 4 个公开数据集上生成的约 38 万条流。作者用 K-means、DBSCAN、HDBSCAN 聚类并比较 Silhouette 与 Adjusted Rand Index 两项指标。结果显示，工具选择会影响流的构成与聚类表现，但没有哪个工具在所有数据集、算法和指标上都最优。
Location-of-interest vs. Current-location Privacy in Multi-hop Communication
说明兴趣地点隐私与当前位置隐私在多跳通信中的权衡
简介论文研究标准多跳无线电网络中，节点相互转发消息时即使内容已加密，通信关系仍可能泄露发起方与目的方的物理位置。作者探讨保护用户当前位置隐私与其感兴趣地点隐私之间的权衡，并研究用户应如何选择虚假目的地来混淆查询。
Prompt Injection Through Forensic Evidence: A Taxonomy and Proof of Concept of Anti-Forensic Attacks on LLM-Assisted Digital Investigations
说明通过取证证据进行提示注入：针对大语言模型辅助数字取证的反取证攻击分类与概念验证
简介论文指出，大语言模型正进入数字取证领域作为辅助分析与自主代理，而被分析的证据本身由攻击者控制，使推理层成为新的反取证目标。作者扩展了反取证模型，提出通过对抗性证据实施攻击的分类法，并揭示了工具、人类检验员与模型对同一证据的感知差异。论文演示了针对大语言模型辅助分析流程的三种攻击，并提出了相应的缓解措施。
Beyond Policy Engines: Binding-Complete Execution Admission
说明超越策略引擎：绑定完整的执行准入机制
简介策略引擎只判断请求是否被策略允许，但允许并不等于治理来源已完整参与、上下文已精确绑定、执行准入依据充分。本文提出“绑定完整执行准入契约”（BCEAC），并设计了与策略引擎解耦的分层架构，分为治理解析、策略评估、独立准入验证和下游执行调度四部分。作者通过有限的治理来源完整性研究以及对 OPA 与 Cedar 的离线归档记录审查，给出有限证据，但不主张宪法充分性或受保护的外部效果安全。
Cyclic isogeny walks on genus-zero modular curves
说明基于同源的密码学实现中，在亏格为零的模曲线上进行循环同源行走的代数方法
简介本文整理并补全了在亏格为零的模曲线 X_0(N) 上工作时可用的代数映射与关系，这类曲线参数化椭圆曲线的循环 N 次同源，并可用单个域元素表示。作者提出由 j 不变量到 X_0(N) 的提升有理映射构造方法，并定义、分析、计算了非回溯模多项式。文中还给出了根式表示，并将该框架用于为同源知识证明生成更紧凑的 R1CS 编码。
Eras MPC: Granular Preprocessing and Abort Recovery with Dynamic Committees
说明Eras MPC：带动态委员会的细粒度预处理与中止恢复
简介该论文提出 Eras MPC 模型，用于多方安全计算（MPC）的可扩展性。小规模、诚实多数的预处理与检查点委员会，配合小规模不诚实多数的计算委员会，分阶段（Era）执行计算。论文给出一个协议实例：预处理阶段生成认证 Beaver 三元组，计算阶段采用 SPDZ 在线阶段，中间状态由检查点委员会验证并保存。
VMSpec: A Decompiler-based Approach against Virtual Machine Obfuscation
说明VMSpec：基于反编译器对抗虚拟机混淆的方法
简介恶意代码常用虚拟机混淆隐藏逻辑：程序被转为自定义虚拟机的字节码，并附带对应解释器，人工分析难以扩展。本文提出VMSpec，自动构建虚拟机处理器规范，使现有反编译器能够分析此类代码。在147个程序及6个来自真实恶意软件的域名生成算法上评估，多数样本的虚拟机混淆被完全去除，结果可与Ghidra对原始代码的反编译相比。
RingTrace: Model-Free Spatio-Temporal Detection and Core Attribution for Cache Side-Channels
说明RingTrace：面向缓存侧信道的无模型时空检测与核心归因
简介本文提出 RingTrace，一个系统级监控框架，结合核心本地与非核心（uncore）遥测数据，检测 Flush+Reload 等共享最后一级缓存的侧信道攻击。方法通过联合时空归因构造可解释的联合活动矩阵，无需训练模型即可定位可疑核心，并在泄露秘密前识别与受害者无关的刷新活动，同时在内存压力下抑制误报，且对应用运行时开销很小。
MPIDetector: Detecting Multi-modal Prompt Injection via LLM-based Reasoning
说明MPIDetector：基于大模型推理的多模态提示注入检测方法
简介随着多模态大模型进入实际应用，提示注入成为重要安全威胁，攻击者可把恶意指令藏在文本或图像中。本文提出MPIDetector框架，利用大模型的推理能力，通过少样本上下文学习检测跨模态的提示注入，无需微调。在文本和视觉基准上，多个主流模型取得较高准确率与召回率，并在高度混淆的网页代理注入样本上检测率最高达99.80%，优于对比方法。
★★★★☆ 值得关注
Modeling Modular Multiplication for Monomial Prediction and Impossible Differentials, with Application to MSX
说明模乘运算的单项式预测与不可能差分建模：应用于MSX分组密码
简介本文针对轻量级分组密码MSX中的模乘运算（32位字的模2^n乘法），提出两种新的比特级建模方法，分别用于单项式预测（3SDP-woU）和不可能差分搜索。论文用这两种模型首次对MSX进行了独立密码分析，对MSX-128给出7轮确定性积分区分器（数据复杂度2^96），并将其扩展为对8轮和9轮的密钥恢复攻击，约需2^228次操作。
看点提出两个精确的模乘位级模型，首次用于MSX的自动化密码分析，并给出7轮积分区分器与密钥恢复，证据充分。
Verifiable Post-Quantum TLS Handshake: Recognizing Implementation Errors of Cryptographic Verification Steps
说明可验证的后量子TLS握手：识别密码验证步骤中的实现错误
简介这篇预印本研究后量子TLS握手中的实现错误问题，提出在算法层为ML-DSA、Falcon、ML-KEM、HQC和DAWN等后量子算法构造确认码，并在协议层设计PQCD-TLS，将确认码绑定到链式密钥派生中，使验证错误导致密钥不一致并使握手失败。作者给出了安全性证明，并在48种配置中测试，结果显示握手延迟开销低于1%。
★★★★☆ 值得关注
SHAKEing SLH-DSA with Non-profiled SCAs
说明用非定向侧信道攻击破解 SLH-DSA（SHAKE 版本）
简介本文研究基于 SHAKE 哈希函数的 SLH-DSA 后量子数字签名算法的侧信道脆弱性。作者提出一种相关功耗分析方法，通过平均同一签名的子迹、分阶段攻击和高效穷举搜索，恢复完整的秘密种子，从而实现通用伪造。实验在模拟环境和 32 位微控制器上进行，平均需要 280 至 559 个签名。
看点首次系统分析SHAKE作为PRF时的差分侧信道漏洞，并在硬件上恢复完整种子，攻击实用性强。
CertMoE: Robustness Certification for Mixture-of-Experts LLMs via Routing-Aware Smoothing
说明CertMoE：基于路由感知平滑的混合专家大模型鲁棒性认证
简介本文提出CertMoE，这是首个面向混合专家（MoE）大语言模型的路由感知鲁棒性认证框架。现有认证方法假设计算图固定，而MoE模型的输入相关路由会产生动态执行路径，导致既有证书频繁失效。CertMoE引入松弛的路由包含判据，并据此构造诱导子网络以认证预测一致性，给出路由包含与子网络鲁棒性的联合概率保证。实验显示，在动态路由下既有方法的证书常被违反，而CertMoE可把经验违反率降至0。
Where AI Vulnerability Discovery Harnesses Go Quiet: Structural False Negatives and Hidden Vulnerabilities
说明AI漏洞挖掘工具可能悄然漏检：结构性假阴性与隐藏漏洞
简介本文指出，基于大模型的漏洞挖掘工具可能因外围流程（选取、过滤、存储与合并结果）的设计而漏掉真实可达的漏洞，且报告通常不提示这一点。作者以自身维护的两个工具及另外10个开源工具为例，归纳出13个漏检点并建立分类，提出对应的工程失效模式及设计原则与测试方法。文中还指出，攻击者可利用这些规则故意隐藏漏洞。
MASAR: Multi-stage Attack Surface Analysis and Reasoning Framework for Telecom Networks
说明MASAR：面向电信网络的多阶段攻击面分析与推理框架
简介本文提出MASAR框架，用于连接架构层面的威胁建模（如STRIDE）与运营层面的知识库（如MITRE FiGHT）。框架分为战略威胁映射、基于有向无环图的攻击路径分解以及战术、技术与程序的综合三层。作者以支持5G的IMS架构为例，分析了两类信令攻击场景，并使用MiniZinc约束模型检验不安全协议状态的可达性。
Rounded Gaussians are Discrete Gaussians
说明舍入高斯分布即离散高斯分布：一种用于格密码采样的修正方法
简介论文指出，格密码方案常需采样近似高斯分布的整数，舍入高斯采样器实现简单但安全分析较复杂。作者证明，将舍入高斯的参数取为 σ = s − 1/(24s)，所得分布与参数为 s 的离散高斯分布非常接近，两者之间的 Rényi 散度为 1 + O(1/s^8)。因此对中等及较大的参数 s，可以使用修正后的舍入高斯采样器，同时以理想离散高斯进行安全分析，损失很小。
★★★★★ 值得关注
SoK: Design-Level Backdoors in Block Ciphers Constructions, Detection, and Key Recovery
说明分组密码设计层后门：分类、检测与密钥恢复（SoK 综述）
简介本文系统梳理了已公开的四种分组密码设计层后门，并给出统一的分类框架。作者提出一种可从S盒表中恢复划分型后门的算法，并证明其不会误报，且在明确的上限以下不会漏报。文中还对KG-DES、BEA-1和LowMC-M进行了攻击分析，结果表明：后门是否削弱常规密码分析取决于具体密码结构，而后门所在位置决定了它是否能被检测到。
看点系统整理四种设计级后门并给出可证明正确的分区后门检测算法，并对KG-DES、BEA-1、LowMC-M做了攻击与证据完整的分析，新意明显。
Post-Quantum Sublinear Lookup Arguments from Polynomial Preprocessing
说明基于多项式预处理的后量子次线性查表论证
简介本文提出首批可能具有后量子安全性的次线性查表论证，不依赖通用型 SNARK，而是利用多项式预处理与针对 Reed-Muller 码的邻近性测试（适配到交互式预言机证明框架）来直接验证预处理输出。对规模为 N 的多项式，其多元与单变量多项式承诺方案的预处理时间为 N^{1+ε}polylog(N)，在线证明时间为 polylog(N)。在此基础上，静态表的查表论证在 k 次查询下在线证明时间为 k·polylog(N)，可更新表的批量读写摊销证明时间为 O(k(N^ε+polylog(N)))，证明长度与验证均为 polylog(N)。
Table-Free Constant-Work BCH Decoding by Algebraic Index Elimination
说明基于代数索引消除的无表恒定工作量BCH译码（密码学预印本）
简介该论文针对格基密钥封装机制中的BCH纠错码译码，提出“代数索引消除”方法，将依赖接收字的选择转化为对公开地址的固定电路，从而不再需要查表。作者给出有界距离正确性证明，并以长度511的子码为例进行实现，相比对照的固定地址WSR基线，消除了5.2至7.2 KiB的查表存储。在作者的测试环境中，译码核心最快快82.4倍，并报告了若干侧信道时序检测结果。
Protection Is Not One Event: A Survey of RAG Protection Research by Measured Endpoint
说明防护并非单一事件：按测量终点对RAG防护研究的综述
简介该论文系统梳理了118篇检索增强生成（RAG）防护研究，按各研究实际测量的终点而非声称目标分类，涵盖内容泄露、隐私、访问控制、语料使用检测与流水线完整性等七类。研究发现不同方法评估标准不一，多数研究未针对敏感数据和自适应攻击进行检验。作者还通过受控测试平台表明，阻止逐字复制并不能阻止隐私事实被还原，并公开了分类体系、数据集、编码协议与测试平台。
Beyond Binary Labels: Diagnostic Evaluation of LLM Safety with Prompt-Level Rubrics
说明超越二元标签：用提示级评分标准诊断评估大模型安全性
简介现有大模型安全基准多只给出安全或不安全的二元标签，缺乏解释，且自动评判者之间一致性偏低。本文提出DiagSafe框架，用提示级评分标准分别评估安全性与实用性，并构建了中英双语基准，其中DiagBase涵盖单轮与多轮的直接有害提问及越狱模板，DiagAttack则把有害意图嵌入复杂指令任务。实验显示其与人工标注的一致率为95.34%，评判者之间的一致性（Cohen's κ）为0.864。
Cryptanalysis and Repair of "Decentralized Multi-authority ABE for NC¹ from BDH"
说明对“基于BDH的去中心化多授权NC¹属性加密”的密码分析与修复
简介本文对Datta、Komargodski与Waters提出的基于DBDH的构造及其CBDH变体提出明文恢复攻击，攻击在声称的静态安全模型中成功率为1，利用一个恶意授权机构和两名用户。作者指出问题源于LSSS矩阵归一化引理的不当扩展，并用独立的零的完整线性共享替换相关掩码，从而修复该方案。修复版本在随机预言机模型下证明了静态安全性，并对两种属性内积函数加密构造也给出了类似的攻击与修复。
Active and Passive Attacks against TPM 2.0-based Full Disk Encryption
说明针对基于 TPM 2.0 的全盘加密的主动与被动攻击
简介本文重新审视了针对基于 TPM 2.0 的全盘加密（FDE）系统的篡改攻击，并分析了当前 Windows 与 Linux 实现的安全性。作者通过迷你电脑和笔记本平台两个案例，展示了针对经 SPI 连接的独立 TPM（dTPM）的被动与主动攻击，并表明总线通信仍存在风险。此外，主动攻击也能影响固件 TPM（fTPM），在虚拟化 QEMU 环境中通过针对 UEFI 固件的原型攻击，可突破 Windows BitLocker 及当前所有 Linux 实现的全盘加密。
A Unified Evaluation Framework of Physical Adversarial Robustness in the Edge VLM Era
说明边缘视觉语言模型物理对抗鲁棒性的统一评估框架
简介本文针对部署在边缘端的视觉语言模型（VLM），研究其在物理对抗补丁攻击下的鲁棒性，并与传统目标检测器进行比较。作者提出统一指标“条件攻击成功率”（cASR），并将失败分为漏检、替代和位移三类。研究发现，VLM 的脆弱性可与检测器相当，失败模式主要与输出格式有关；在分布偏移下，以漏检为主的 VLM 会更多转为替代或位移等更隐蔽的失败。
Correlated Failures of AI Approval Monitors
说明AI审批监控器的关联性失效研究
简介本文研究多个AI监控器共同审批智能体付款、发消息或改代码等行为时的风险。由于监控器可能共享同一基础模型或被投毒的输入，它们可能同时失效。作者在付款审批场景中测试了多种小型开源模型及部分闭源模型，发现按来源而非票数计数的规则误拦正确付款的比例更低，并指出加入不受劝说的规则引擎可在所测攻击下恢复安全且可用的规则条件。
★★★★☆ 值得关注
Regular Syndrome Decoding Is Easier Than Previously Estimated
说明正则综合征解码比以往估计的更容易
简介本文研究正则综合征解码（RSD）问题的具体难度，RSD 是经典综合征解码的结构化变体，被用于零知识协议、伪随机相关生成器等密码构造。作者提出一种改进的混合代数攻击，协调各分块中的零坐标猜测与综合征消元，从而降低猜测代价。据论文估计，Ferret、Wolverine 和 committed VOLE 等应用中至少有一组参数低于其 128 位安全目标。
看点提出协调各块零坐标猜测与消元的混合代数攻击，显著降低RSD参数的估计安全性，并在多个应用上给出具体数值。
HAETAE on a Diet: Less Stack, Less Time on Low-End Microcontrollers
说明HAETAE 精简版：低端微控制器上更少栈空间与更短运行时间
简介本文针对后量子签名方案 HAETAE 在低端微控制器上的内存与速度问题，提出改进实现。通过以16位存储多项式、共享生命周期不重叠的缓冲区，并利用签名缓冲区的空闲空间缓存高斯采样结果，降低栈用量并避免额外重算。作者在 ATmega2560 上以 8,070 字节 SRAM 完成密钥生成、签名与验证，并称与 Low-Stack HAETAE 相比栈用量最多降低 34%，密钥生成与签名速度提升 1.18 至 2.51 倍。
Back to the Bits: Revisiting MAYO’s Data Representation for GPU and Tensor-Core Acceleration
说明回到比特：为GPU与Tensor Core加速重新审视MAYO的数据表示
简介本文针对NIST附加签名标准化中的MAYO签名方案，提出在GPU上使用比特切片（bitsliced）表示的新实现，替代以往的半字节切片表示。该实现在RTX 4090上相比现有GPU实现cuMAYO，三种操作的吞吐量更高、单次延迟更低，并在同密钥批处理中进一步利用Tensor Core加速矩阵运算。
★★★★☆ 值得关注
Reverse Engineering IVXV: A Specification and Security Analysis of Estonia’s Internet Voting System
说明逆向工程IVXV：爱沙尼亚互联网投票系统的规格与安全分析
简介爱沙尼亚的IVXV是全球运行时间最长、规模最大的互联网投票系统之一，但缺乏公开的实现协议规格和安全声明，难以独立审计。本文依据公开源代码、官方文档和配置示例，逆向重建了其设置、投票、计票和审计阶段的详细规格，并建立了可执行的TLA+模型，同时与Belenios和瑞士邮政系统进行比较。作者还发现了多项此前未知的漏洞，涉及选票隐私和可验证性，并针对这些漏洞提出了缓解措施。
看点对爱沙尼亚网络投票系统做逆向规范化与形式化建模，发现多项未知漏洞并用概念验证测试验证，影响面大，但新方法性有限。
★★★★☆ 值得关注
RDK-CKKS: A Framework for Rigorous Error Analysis for CKKS Computation
说明RDK-CKKS：为CKKS计算进行严格误差分析的框架
简介本文提出一种基于随机化密钥（RDK）的框架，用于对CKKS同态加密计算中的误差进行严格的概率分析。RDK是在密钥切换和重缩放步骤中注入的零值加密，使误差便于严格界定。作者据称首次给出完整的CKKS计算严格误差分析，并对二进制CKKS自举做了完整分析，给出“自举并清理”技术的严格参数集。RDK会带来额外的通信开销：单次求值约为自举密钥的27%，重复求值时每次额外约8%。
看点提出基于随机化密钥的CKKS同态误差严格概率分析框架，首次给出完全严格的误差分析，并应用于自举参数设定。
Broadcast and Trace from Lattices: Collusion-Resistant and Publicly Traceable
说明基于格的广播与追踪：抗共谋且可公开追踪
简介本文提出一种广播与追踪方案，在广播加密中加入对指定范围内叛徒的追踪能力，即使海盗解码器由任意共谋用户构造。方案的密文大小为√N·poly(λ, log N)，主公钥和私钥大小为poly(λ, log N)。该构造基于分解LWE假设，是首个仅依赖简单且与实例无关的格假设实现公开追踪的方案。
Beyond Tokens: NumAnchor for Address-Grounded Numeric Operand Representation in Assembly Language Models
说明超越词元：面向汇编语言模型的地址锚定数值操作数表示方法 NumAnchor
简介这篇 arXiv 论文（cs.CR）指出，汇编语言模型的词元接口常会模糊数值类操作数，而这类操作数占两个语料库中操作数出现次数的 45.7% 和 40.9%。作者提出 NumAnchor，在输入层将可恢复的数值类操作数表示为带类型、规范化的程序实体，并用紧凑的结构侧描述符编码代码、数据和栈上下文。在多个模型系列上，它在 1 万候选函数检索中使 Recall@1 相对提升最高 35.0%，MRR 提升最高 31.7%，并使执行感知的类型恢复提升最高 5.2 个 F1 点。
Diffusion Sensitivity Geometry and Strong Duality for Optimal Privacy-Utility Tradeoffs
说明扩散模型隐私-效用最优权衡：敏感度几何与强对偶性
简介该论文针对扩散模型的差分隐私问题，指出以往依赖宽松敏感度界和各向同性高斯噪声会造成不必要的估计误差。作者给出精确的敏感度刻画，指出任意规模数据集的最坏情况敏感度只需两条记录即可确定，并据此得到更优的噪声校准。论文还给出Rényi、近似及高斯差分隐私的精确隐私保证，并通过半定规划计算最小加权均方误差，证明强对偶性以给出全局最优性证明。
AgentPolicyForge: From Executable Environments to Policy Benchmarks and Adaptive Guards
说明AgentPolicyForge：从可执行环境到策略基准与自适应防护
简介本文提出 AgentPolicyForge 框架，利用可执行环境构建策略基准并迭代训练策略防护模块。作者据此构建了 PolicyGym 数据集，涵盖十类策略，含 698 个用于训练数据生成的场景和 254 个经人工审核的独立测试场景。实验显示，训练后的防护模块在攻击成功率上取得相对降低 40-44% 的效果，且误拒正常请求的情况少于仅依赖策略提示的方法。
★★★★☆ 值得关注
PerMIT: Securing Persistent Memory for LLM Agents via Machine-Checked Integrity Theorems and Scalable Community Trust
说明PerMIT：通过机器验证的完整性定理和可扩展的社区信任，保护 LLM 智能体的持久记忆
简介该论文提出 PerMIT，一种为 LLM 智能体设计的记忆架构，在仅信任用户输入和经审核确认的值的前提下，提供可证明的完整性保证，并在 Lean 4 中完成机器验证。在 Trojan Hippo 测试中未观察到攻击成功。论文还提出社区背书机制，并在 τ²-bench 模拟中用多达 90 个智能体展示了共享知识库的效果。
看点提出带机器检验证明的记忆完整性架构并给出社区信任的共扩展性质，新颖性较高；在Trojan Hippo与τ²-bench上验证，证据较扎实，影响面限于智能体记忆安全子领域。
Black-Box Red-Teaming of Multi-Agent Systems via Reinforcement Learning
说明通过强化学习对多智能体系统进行黑盒红队测试
简介本文提出ReMAS，这是首个专为多智能体系统设计、基于强化学习的红队测试框架。它微调攻击者大模型，生成用于提取系统提示词的对抗性提示，分为改写基础攻击提示和生成攻击模板两步。实验显示，相比现有黑盒攻击，该方法显著提高了攻击成功率，并可在不同后端大模型和多智能体结构间迁移，凸显了多智能体系统的脆弱性。
★★★★☆ 值得关注
Hidden parabolic subgroups of GL_n over finite chain rings
说明有限链环上 GL_n 的隐藏抛物子群：量子多项式时间算法
简介论文给出一个有界误差的量子多项式时间算法，用于在任意有效给定的有限链环 R 上求解 GL_n(R) 中的隐藏抛物子群。方法先通过基座探测恢复模极大理想的完全旗，再按数位逐步提升；对剩余域大小 q=2 的情形，改为沿同余滤链提升共轭抛物子群，并用线性方程组确定其模正规化子方向的部分。算法以至少 1-ε 的概率输出生成元，时间为 poly(n, log|R|, log(1/ε))。
看点将隐藏子群算法推广到任意有限链环上的GL_n，并给出多项式时间量子算法，证明较完整；对子领域有实质推进。
★★★★★ 值得关注
Fooling LLM Safety Guards into Judging the Wrong Text
说明诱使大模型安全防护判定错误的文本
简介该论文研究大模型安全防护器（guard）的一类漏洞：攻击者在有害内容后附加伪造的指令结构，使防护器转而判定附加的无害“诱饵”，从而放行原有害请求。作者在多个防护器上测试了这类攻击，并提出一种让防护器按内容中最有害部分评分的训练方法，显著降低了攻击成功率，但干净数据上的性能是否不劣于原模型仍无定论。
看点提出目标重绑定新攻击，揭示安全守卫评分机制缺陷，并用预注册测试、多守卫基准和训练式防御验证，证据较充分。
★★★★☆ 值得关注
LEAN: Loss-Engineered Modulation of the Model Weight-Sensitivity Distribution for Efficient, Error-Tolerant Neural Networks
说明LEAN：通过损失工程调制模型权重敏感度分布，提升神经网络的比特翻转容错能力
看点提出通过正则项重塑权重敏感度分布的新思路，实验覆盖九个视觉模型并与多种防御对比，影响面限于比特翻转防护与量化领域。
AI Security Literacy: Ecosystem-based Competency Framework and K-12 Learning Platform
说明AI安全素养：基于生态系统的能力框架与K-12学习平台
简介本文提出“AI安全素养”（AISL）框架，包含覆盖学校生态系统的六个维度，技术维度依据公开的AI安全基准与可复现的多种子对抗评估，态度维度依据美国教师与成年人的全国代表性调查数据。文中指出仅34.5%的教师表示学校有AI政策，并认为其自身使用AI能减轻工作而学生使用则增加复杂性。作者还介绍了基于真实AI模型的浏览器端K-12平台NeuralFortify，作为该框架的示例性落实。
★★★★☆ 值得关注
Combining Long-Term Memory and LLMs Comes at a High Cost: From Prompt Injection to Persistent Compromise
说明长期记忆与大模型结合的高昂代价：从提示注入到持续性入侵
简介该论文研究带持久记忆功能的大语言模型服务中出现的"记忆注入"漏洞，即恶意指令可跨会话持续生效。作者提出通用威胁模型，并在ChatGPT、Claude和Gemini上验证了相关攻击，包括传播虚假信息、生成有害内容等。论文还基于该模型提出防御机制，并指出其中约一半尚未在目标服务中实现。
看点提出跨会话记忆注入的通用威胁模型，并在三个主流服务上验证多类攻击目标，证据较充分，影响面广。
DISCO*: DIstributed and SCalable Oblivious Joins and Oblivious Primitives
说明DISCO*：分布式可扩展的不经意连接与不经意原语
简介本文提出 DISCO，一个可扩展、分布式且完全不经意（oblivious）的数据库系统，结合硬件可信执行环境与不经意计算原语，以防范侧信道和泄漏滥用攻击。系统通过分布式框架和通信优化降低服务器间的开销，使其能在更大规模上实际部署。论文报告，在 N = 2²⁵ 规模的非外键连接上，相比 Jodes 和 SODA 分别快 88 倍和 180 倍，并首次给出 TB 级计算的结果。
How Much Does the Harness Matter, and for Whom? A Multi-Model Study of Context in LLM-Driven Vulnerability Discovery
说明工具框架对LLM漏洞发现有多大影响，又因模型而异吗？——多模型上下文研究
简介本文研究在 LLM 驱动的漏洞发现中，代理工具框架（harness）及其提示与上下文的作用，共测试 24 种模型与运行器组合，并在一个未公开漏洞的生产代码库上进行扫描。论文报告，在 265 个已确认的安全根因中，单一配置都无法覆盖全部发现，且最佳两次运行组合覆盖 60.4%。四模型实验显示，工程化提示与 CodeQL 调用图的效果因模型与组件而异。
CALLIOPE: Private Insights into AI Use, Without Embeddings
说明CALLIOPE：无需嵌入向量、可提供差分隐私保护的 AI 使用洞察框架
简介论文提出 CALLIOPE，一个从上至下的框架，用于在大规模非结构化数据（如大模型对话）中发现主题层级，并支持差分隐私。与依赖聚类向量嵌入的方法不同，它直接在整个流程中利用大语言模型的能力。实验表明，在差分隐私设定下，尤其是隐私要求较高时，该方法的效用优于现有基于嵌入的方法。
★★★★☆ 值得关注
Sign Here: Attributing a Source for a More Trustworthy Software Supply Chain
说明《Sign Here：为软件供应链溯源以提升可信度》：通过要求包可从源码构建来降低恶意软件风险的研究
看点提出以是否链接源码作为恶意包防护策略的新视角，并用约十七万包、多数据集大规模实证验证，影响供应链安全实践。
★★★★☆ 值得关注
A Spectral Theory of Local-to-Global Leakage
说明局部泄漏到全局泄漏的谱理论：加法秘密共享中的结构参数
简介本文研究有限阿贝尔群上加法秘密共享中，局部泄漏如何决定全局泄漏。作者指出，局部互信息之外还存在一个谱对齐结构参数，两个局部互信息相同的泄漏信道可能导致指数级不同的全局泄漏。论文进一步给出分离定理，并探讨自同构加权共享在有限份额下实现完美泄漏抵消的可能性。
看点提出局部泄漏幅值之外的谱对齐结构参数，证明局部互信息不足以刻画全局泄漏，并给出普适分离定理，属理论上的重要改进。
Proof-Carrying Contracts: Commitments AI Agents Cannot Break
说明携带证明的合约：AI智能体无法违背的承诺
简介论文提出“携带证明的合约”（PC2）框架，要求AI智能体在执行操作前提交可机器校验的证明，表明其操作在模型允许的所有情形下都遵守约定约束。执行系统Airlock负责校验证明并控制操作访问权限。作者证明，即便面对恶意智能体，约束在执行的每一时刻都成立，并指出何时可由此推出现实世界的安全性。
★★★★☆ 值得关注
Membership Inference in Privacy-Preserving Vector Search
说明隐私保护向量检索中的成员推断攻击研究
简介本文研究在隐私保护向量检索中，对被保护数据库泄露的距离几何信息发起的成员推断攻击。作者攻破了已有的 Scale-and-Perturb（SAP）方案，并提出 Rotate-and-Perturb（RAP）方案，在均匀球面数据下证明无已知明文时可实现完美成员隐私。文中还测试了理想距离比较可揭示加密及加密 HNSW 索引，并研究了洗牌和秘密投影两种缓解措施。
看点提出RAP方案并证明均匀球面数据下完美成员隐私，且给出已知明文数量下界，同时攻破SAP并评估多种方案，证据较充分，但对实际系统的影响范围有限。
A Digital Twin to Improve Cyber-Social Impact
说明用数字孪生提升网络-社会影响评估
简介本文提出一个将数字孪生与网络社会安全模型结合的框架，用于模拟和量化关键基础设施（工业控制系统）面临的网络威胁。框架基于 Mininet 和 MiniCPS 搭建虚拟化工控环境，并提出网络社会漏洞评分系统（CSVSS），在 CVSS 之上加入社会影响维度，输出单一可复现的严重性分数。框架保留人工分析师的决策权，由大语言模型做初步分析，分析师结合可解释 AI 的反馈进行验证。
★★★★☆ 值得关注
After the Attacker Leaves: Benchmarking Carryover Attacks on LLM Agents
说明《攻击者离开之后》：针对LLM智能体结转攻击的基准测试
简介论文指出，LLM智能体通过长期记忆文件和定时任务跨会话保存状态，一次性的间接提示注入可能在攻击者离开后反复触发。作者提出CarryoverBench基准，包含12个个人助理场景和101个攻击任务，涵盖即时、自主和潜伏三种触发通道。实验显示，在五个前沿模型上，植入的恶意内容在五轮中几乎不衰减，并建议除提示层防护外还需运行时层控制。
看点提出跨会话残留攻击这一新威胁模型并构建基准，将植入与触发分阶段度量，填补现有评测空白，但实验规模和证据仍有限。
SPECTER: Covert Data Exfiltration from Air-Gapped Systems via USB Power Modulation
说明SPECTER：通过 USB 供电调制从隔离系统秘密外传数据
简介该论文提出 SPECTER，一种在已被入侵的主机上利用 USB 供电管理调制实现的隐蔽信道，可从气隙或网络隔离的系统中低速外传少量数据。作者在 Windows 10 与 Ubuntu 22.04 上用普通硬件进行了实验，并通过手机充电状态、外设行为和近场射频三种接收方式进行了验证。文章认为应把 USB 电源管理与设备状态事件视为具有安全意义的遥测信息加以监控。
MAS-Guard: Unified Guardrails from Individual Agents to Multi-Agent LLM Systems
说明MAS-Guard：从单个智能体到多智能体大模型系统的统一防护框架
简介该论文提出 MAS-Guard，一个统一防护框架，用于保护包含可插桩智能体与不透明智能体的单智能体和多智能体 AI 应用。框架在本地层用任务专用专家评估智能体事件，在系统层结合结构化检查与语义评估，并通过放行、反思、确认、拦截四类干预执行。在六个基准上，与无防护的智能体相比，攻击成功率总体降低 71.5%–86.3%，同时在良性任务上满足效用参照标准。
★★★★★ 值得关注
Optimal Proofs of Sequential Work
说明顺序工作证明的最优构造
简介顺序工作证明（PoSW）让验证者确认证明者确实完成了 T 个顺序步骤的计算。本文证明基于图标注的 PoSW 需要传输 Ω((λlogT)/δ) 个标签，说明 Cohen 与 Pietrzak 的 2018 年构造在通信和验证者开销上已渐近最优。作者还给出一种最大入度为二的新构造，将诚实证明者的哈希输入总量从 Θ(TlogT) 降到 Θ(T)，同时保持相同的通信复杂度。
看点证明了基于图标注的PoSW通信量下界并与已有构造匹配，给出最大入度为二、先前提交者哈希开销更低的新构造，理论界限有实质改进。
Context-Aware Prompt Injection Detection via Small Language Models in RAG Pipelines: nokast-secureRAG
说明基于小型语言模型的 RAG 流水线上下文感知提示注入检测（nokast-secureRAG）
简介本文提出 nokast-secureRAG，一个约 0.5B 参数的小型语言模型，作为检索与生成之间的语义防火墙，联合判断用户查询与检索内容，将其分为安全、可疑或恶意三类。模型通过教师-裁判-学生流水线训练，在域内测试集上检测召回率为 0.994，误报率为 0.026。论文同时指出，在外部 PoisonedRAG 基准上召回率接近于零，说明流畅的事实投毒攻击超出了该检测器的威胁模型。