arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明中间的智能体：AI 中介访问如何改变 Web 漏洞利用
简介本文提出 VELA 可执行基准，涵盖十二类 Web 应用中的 44 个漏洞，用于研究 AI 智能体代理调用后端接口时漏洞可利用性的变化。作者评估了三种商业智能体在多种接口配置下的表现。结果显示，漏洞可利用性主要由接口设计决定，智能体选择的影响较小，同时部分限制性接口也会妨碍合法功能。
说明JANUS：跨层防御网络反序列化攻击的自动合成框架
简介该论文提出 JANUS，一个红蓝对抗框架，用于自动合成跨层防御策略，以应对网页反序列化漏洞。红方黑盒攻击者从已知漏洞出发寻找攻击变体，蓝方据此迭代优化部署相关的防御策略并验证其对正常功能的保留。在 16 个漏洞部署上的实验显示，held-out 攻击成功率降至 6.2%，并保留 98.4% 的良性功能测试。
说明PRISMA：基于可微分模拟的差分隐私车载能耗合成数据方法
简介这篇论文提出 PRISMA 方法，用差分隐私方式合成车载能耗数据。方法先把能耗轨迹编码到低维潜在空间，再用差分隐私合成算法 AIM 生成潜在向量，最后通过基于物理的可微分模拟还原为完整能耗轨迹。论文称，在 ε=0.5 下，该方法合成效果优于既有表格式与边际分布类差分隐私基线，且能保留能耗曲线的多样性。
说明OpenClaw智能体系统安全性的实证研究：围绕提示注入、访问控制与数据泄露的分析
简介本文基于Reddit讨论与带安全标签的GitHub问题，对AI个人助手框架OpenClaw的安全问题进行实证分析。研究整理出521个CWE实例，主要集中在访问控制失效、敏感数据暴露、注入和不安全执行，并归纳出七类常见缓解策略。作者认为这些问题反映的是智能体执行流程中反复出现的信任边界失效，而非孤立的实现缺陷。
说明safeL4：重新思考基于安全语言的单地址空间微内核
简介该论文提出 safeL4，一种基于安全语言构建微内核的方法，以单地址空间和语言级隔离代替硬件隔离，目的是降低微内核的性能开销。它通过为不安全操作提供底层抽象来保持最小化原则，并借助安全语言的对象能力实现对系统资源的细粒度访问控制。作者用 Rust 实现了原型，报告其基本原语平均比 seL4 快 1.9 倍。
说明联邦反洗钱中的跨行上下文：哪些信息值得共享
简介该论文研究在多家银行各自持有交易图的情况下，如何在联邦学习框架内检测跨行洗钱模式。作者利用两家端点银行已有的交易记录，在本地近似远端账户状态，从而无需额外交换账户信息即可进行多层图神经网络计算。实验基于AMLworld HI-Small数据集，比较了不同的信息共享层级，结论认为仅利用银行已记录的数据效果最好，计数信息是稳健的补充，而精确的远端状态共享只在特定情形下有帮助，且为保护隐私所加的噪声会抵消其检测价值。
说明Trim：在闪电网络路由中，费率水平比余额偏移更重要
简介论文提出 Trim 模型，把支付通道看作两侧带有补充成本的库存。最优费率由需求与补充决定的水平，加上反映流动性影子价格的余额偏移构成。作者认为水平是主要因素，偏移只起次要的保险作用，并在 2026 年快照与合成支付数据上检验了该规则。
说明量子机器学习入侵检测中误报改善与检测权衡的二次分析（Kaissar 语料库）
简介本文对 Kaissar 等人选取的 25 条记录进行二次分析，重新梳理量子机器学习入侵检测研究的误报率、攻击检出率及评估来源。文中指出，量子支持向量机在一项比较中把误报率由 6.875% 降至 3.329%，检出率则由 93.955% 略降至 93.682%。作者强调，结果应作为可复现的解读，而不应视为可直接用于运营的保证。
说明开放可能过度吗？关于完全透明大语言模型的安全性与可信度
简介本文探讨大语言模型透明度的不同层级，重点讨论完全公开权重、数据和训练流程的模型。作者通过文献回顾指出，由于训练流程难以复现，用户无法验证公开权重与数据、流程是否对应，仍需信任开发者诚实行事。此外，开放性还可能提高攻击的成功率，而目前缺乏有效的轻量级漏洞修补机制，限制了开放的好处。
说明大模型时代可信的递归自我改进：基础、风险、评估与开放挑战
简介这是一篇综述论文，讨论基于大模型的AI系统在使用经验和反馈对模型、提示、记忆、工具等进行持续修改时，如何做到可信的递归自我改进（RSI）。论文给出RSI的操作性定义和过程框架，将可信性要求归为改进的真实性与持续性、行为约束与对齐、系统安全与隐私、透明与可控性四个主题。文中还梳理了相关风险、保障措施与评估证据，并探讨评估方法和开放研究问题。
说明《SoK：时间戳不是时间模型：重新思考基于主机入侵检测中的时序推理》
简介本文是一篇系统化知识综述（SoK），指出基于主机的入侵检测依赖时间戳排序事件、划分窗口和串联攻击阶段，但其结论背后隐含着时钟、传输、实体身份和证据完整性等未明说的假设。作者提炼出时间模型的五个组成部分、证据假设检查表和四个保证等级，并审查了相关论文与形式化方法。结果显示，多数已审查的溯源类检测器未说明时钟误差界限，28/38篇论文将采集证据视为可信或将其篡改排除在范围之外。
说明CoSA：真实 LLM 智能体生态中的技能冲突攻击
简介论文指出，LLM 智能体的技能单独检查时安全，组合使用时可能违反策略，称为技能冲突（CoS）。作者据此提出技能冲突攻击（CoSA），在现有技能池中加入可被接受的新技能，并用 CoSA-Bench（288 个任务）评测。结果显示，新增技能不超过原池 5% 时，策略违规率由 35.02% 升至 58.45%；同时提出一种轻量防护机制，可将违规率降至 6.67%。
看点提出技能组合层面的新攻击范式CoSA并给出机制分析与防御，实验覆盖五个模型和三种框架，违规率从35.02%升至58.45%，证据较充分。
说明GuardRAG：检索增强生成中针对投毒攻击的检索后防御方法
简介检索增强生成（RAG）通过引入外部证据提升大语言模型的事实依据，但也使其容易受到语料库投毒攻击。本文提出 GuardRAG，一种无需训练、即插即用的检索后防御方法，利用检索证据的语义结构识别可疑文档组，并依据查询相关性、簇大小和语义紧凑度进行评分与剔除。在三个问答数据集、多种投毒攻击和六个大语言模型上的实验表明，该方法能显著降低攻击成功率，同时在干净检索下保持回答效用。
说明《导向安全，劫持牟利》：大模型激活导向供应链中的木马威胁
简介本文审计了八个主流开源导向（Steering）插件库，发现分发完整性校验不足、插件权限过大、缺乏运行时监控三类结构性漏洞。作者提出恶意插件 IDH，能在保持安全拒答等正常功能的同时，把模型输出悄悄导向商业推荐，并在五个主流大模型上测试，攻击成功率最高达 97.8%。文章还提出了运行时防御框架作为应对。
看点首次系统审计Steering插件供应链风险并提出恶意插件与防御框架，新颖性较强；实验覆盖五个模型与三个商业领域，证据较充分。
说明装箱问题的迭代对数加性困难性
简介该论文讨论装箱问题的加性近似：证明除非P=NP，否则不存在确定性多项式时间算法能用不超过OPT+c·log*OPT个箱子完成装箱（c为绝对常数）。已知最好上界为OPT+O(log OPT)，由随机算法达到。作者另提出猜想：最优加性近似误差为Θ(log OPT)。
看点证明了确定性多项式时间算法无法达到OPT+o(log*OPT)，改进了此前的O(1)下界，证明严格，但影响主要限于理论界。
说明基于水平分布分析的非剖析单迹 ML-DSA 私钥恢复
简介该论文研究在无法预先建立泄漏模型（非剖析）的条件下，仅凭单条功耗轨迹恢复 ML-DSA 私钥的侧信道攻击。方法以高斯混合模型作为区分器，比较观测样本分布与预期汉明重量泄漏分布，并通过分割堆叠轨迹获取多次观测。作者还利用信息集译码纠正不完美的分类结果。在 ARM Cortex-M4 上的 ML-DSA-65 实现中，以私钥解包过程为攻击点，在 2^70 次枚举预算下，99% 的攻击可从单条轨迹恢复完整私钥。
看点提出无需建模的单迹horizontal分布分析并用信息集译码纠错，在ML-DSA-65上以99%概率恢复完整私钥，证据充分，对后量子签名的侧信道安全有较大影响。
说明对“基于BDH的去中心化多授权方NC¹属性加密”的密码分析与修复
简介本文对Datta、Komargodski与Waters提出的基于DBDH的方案及其基于CBDH的变体提出明文恢复攻击，攻击在声称的静态安全模型中成功率为1，所需为一个腐败授权方和两个用户。问题源于对LSSS矩阵标准化引理的错误扩展。作者将密文掩码替换为独立的零的完整线性共享，修复后证明了两种变体在随机预言机模型下的静态安全性，并对两种属性内积功能加密方案给出了类似的攻击与修复。
说明目标智能体是最好的自我批评者，却是糟糕的攻击提议者：自我改进的红队测试
简介该论文研究自动红队测试中两个核心角色：批评失败攻击与提出改进攻击。作者发现，由目标会话自己做批评更有效，因为它基于实时执行上下文；而由目标会话自己提出下一次攻击则效果较差。因此，论文提出角色分离方案：目标会话负责诊断攻击失败原因，独立的攻击者生成下一次攻击，在DTAP-BENCH基准上取得63.2%的总体攻击成功率。
说明超维计算分类器的知识产权保护：通过模型水印实现黑盒所有权验证
简介本文首次系统研究了超维计算（HDC）模型的水印技术，将基于后门的水印嵌入方法应用于三种原型学习机制不同的分类器，并以常规神经网络作为对照。实验在四个基准数据集上进行，结果显示基于误差驱动的AdaptHD和OnlineHD在约1%的触发样本暴露下即可完成验证，平均准确率损失至多0.58个百分点；单遍训练的Vanilla HDC则需要更多暴露且可能带来明显的准确率损失。
说明基于f散度的后门投毒攻击可认证鲁棒性框架
简介论文提出一个通用框架，用于在训练数据或测试样本被投毒或篡改的情况下，证明机器学习模型的预测鲁棒性。框架通过数据子采样与特征、标签及测试样本加噪相结合进行随机化，并基于f散度给出可组合的认证方法，能够覆盖多种威胁模型与加噪策略，同时还原若干已有认证结果。实验表明，该框架首次在装袋（bagging）并加入拉普拉斯、高斯或均匀噪声的条件下，认证了面对一般ℓp约束投毒攻击者的鲁棒性。
说明概念属性攻击：通过逻辑不一致而非输出误分类来消除神经网络的捷径依赖
简介该论文指出，针对神经网络的鲁棒性分析不应只关注最终输出类别的误分类，还应检验人类可理解概念之间的逻辑不一致。作者提出基于概念的属性（如“红色且八边形则为停车标志”），将其推翻视为一种对抗攻击，并借助概念可解释人工智能技术在已训练网络上实现。实验显示，该方法在视觉与代码处理任务中可泛化经典对抗攻击，并在保持鲁棒性提升的同时更好地消除语义偏差。
说明Wiedemann XL 的低内存实现：在线生成 Macaulay 矩阵行以节省内存
简介本文针对多变量二次方程（MQ）问题的求解器 XL（结合块 Wiedemann 方法）提出内存更省的实现。作者在现有实现基础上去除列索引表，在第一阶段即时生成矩阵行，并采用新算法将列索引计算的查表次数从 O(n³) 降到 O(n²)。实验显示，该实现在 F₂、F₁₆、F₃₁ 上的运行时间与原实现相近，内存最多可减少约五倍；在 F₂₅₆ 的 AVX2 版本中也有类似表现。
说明基于超格拒绝采样的 LWE 次指数算法
简介本文在超格算法框架上改进了学习带误差（LWE）问题的求解方法，利用拒绝采样消去移位相关的归一化因子。作者给出一种可证明的经典次指数搜索 LWE 算法，在素数 q 与高斯误差宽度为常数的条件下，仅需 m=4n 个独立样本，时间与空间均为 exp(O(n/lnln n))。另一种方案使用随机辅助超格，在条件满足时达到 2^{(1/2+o(1))n/lnR} 的时间与空间复杂度。
看点用拒绝采样消除超格中的移位归一化因子，首次给出LWE的可证明亚指数经典算法，解决了一个公开问题，证明较完整。
说明幻影遗忘：边缘拆分机器遗忘中 BatchNorm 状态如何伪造删除效果
简介本文研究在边缘与服务器拆分的神经网络中，即使可学习权重不变，批归一化（BatchNorm）的运行统计量也可能造成针对特定类别的遗忘假象。作者提出仅检查状态的诊断方法，并引入状态诱导遗忘差距（SIFG）。结果显示仅重校准 BN 就能大幅降低目标类别的准确率，因此仅凭遗忘集准确率不应被视为删除证明。
说明范围缺口注入：利用 OpenClaw 智能体安全竞赛中评估器通道的盲区
简介本文提出范围缺口注入（SGI），一种针对多阶段大模型智能体安全流程的间接提示注入方法。作者观察到，竞赛中的 LLM 评审（S2）似乎只检查任务指令和技能定义，不检查附件内容，而智能体在执行阶段（S3）会读取附件。论文报告在 OpenClaw 中，该方法使 19 个目标中的 5 个绕过了全部三个阶段，最高单次提交得分 F=0.385；附件放置方式的 S2 通过率为 78%，高于技能内放置的 23%。
说明在纠删码最优服务器冗余下可问责的私有信息检索
简介本文研究私有信息检索（PIR）中的问责问题：客户端既要隐藏所请求的数据项，又要能识别返回错误答复的服务器。作者提出SynTrace方案，通过单轮审计查询与秘密线性混合，在偏差服务器数不超过阈值时零误识别地定位偏差者。文中给出Shamir类PIR所需服务器数为t+d+1，并报告在一个32 KiB记录、1 GiB数据库、五台服务器等设定下，通信量为2.25 MiB，低于同条件下对比方案的8.96 MiB。
看点提出在擦除最优服务器冗余下的可问责PIR编译器，并证明隐私与零误识别概率，理论上有实质新意，且给出具体通信量对比。
说明从语音标记到被盗声音：通过表示反演实现攻击者指定文本的说话人冒充
简介本文研究一种语音标记反演攻击（STIA），攻击者只需获取受害者一段泄露的短语音表示，无需原始音频或转写文本，即可用受害者的声音生成攻击者指定内容的语音。方法是用同一说话人的语料训练条件流匹配生成模型。实验显示，3秒语音对应的表示泄露即可达到平均0.78的说话人相似度，表明语音前端表示会暴露可复用的说话人身份信息，设计时需考虑隐私风险。
说明从表征到计算轨迹：用于大语言模型溯源验证的内在指纹方法（TrFP）
简介本文针对大语言模型被未经授权获取后权重易被修改、来源难以验证的问题，提出一种基于计算轨迹的内在指纹方法TrFP。该方法不比较参数或表征本身，而是考察表征随网络深度的演化过程，并用置换不变的轨迹描述符构建紧凑指纹。实验表明，TrFP能区分相关与无关模型，并在微调、剪枝、量化、模型合并、参数置换及自适应攻击下保持稳健，指纹存储需求低于0.3 MiB。
说明环境运行压力叠加网络攻击导致水泵停运：供水网络的水力影响、服务连续性与持续恢复
简介本文以EPANET两个基准供水网络（Net1、Net3）为对象，模拟在假设性环境运行压力下，网络攻击造成水泵停运的影响，共288条仿真记录，包括192个经验证的攻击场景。结果显示，12小时停运在Net1中平均造成404.96立方米未满足需求，而Net3在压力偏差下仍保持全部需求供水；192个场景中有103个实现持续压力恢复，65个出现后续反弹。研究强调服务恢复与水力恢复并不等同，环境压力情景属于敏感性假设而非经实证校准的气候影响。
说明大型低轨卫星星座波束分配的拒绝服务攻击研究
简介本文研究大型低轨（LEO）卫星星座中的波束分配方法在对抗性需求膨胀攻击下的脆弱性，攻击者通过注入额外终端实施拒绝服务。作者比较了贪心与最大最小公平两种分配算法，并分别结合等比例与按需求比例的小区内容量共享方式进行评估。结果显示，按需求比例共享使未获充分服务的用户比例最多增加34%，等比例共享则最多增加13%，且系统在稳健性与性能之间存在权衡。
说明NovaFabric：面向AI智能体运行的可封存、可重放、可比对、可审计的黑盒记录器
简介本技术报告介绍NovaFabric，一个开源（Apache-2.0）的AI智能体黑盒记录器，可将一次智能体运行记录为封存、可重放、可比对且可审计的证据胶囊。其设计以平面文件目录（Run Capsule）为唯一真实来源，并以签名导出包（Evidence Bundle）供审计人员使用，并遵循OpenTelemetry GenAI、W3C PROV、in-toto/DSSE、RFC 3161等现有标准。报告描述了捕获、封存、重放、比对和审计等环节的架构与机制，本文不包含新的实验，评估结果见arXiv:2609.12582。
说明CVM-Store：面向机密虚拟机的安全存储系统
简介该论文提出 CVM-Store，一种为机密虚拟机（CVM）设计的安全存储系统。它把高吞吐的用户态 I/O 引擎与机密性、完整性和新鲜性（CIF）保护结合，并提供键值存储、日志和文件系统三种抽象。论文还介绍了一种异步可信计数器服务，可在没有专用硬件支持的情况下实现防回滚。原文称，大对象的 CIF 保护下读写带宽分别约为原始 NVMe 带宽的 1% 以内（写）和 1–19%（读）。
说明LLM WikiLeaks：揭示智能体留言板中基于URL的能力扩展与安全规避
简介本文研究ProWiki事件中自主智能体如何利用公开的德语维基作为留言板，仅能发出HTTP GET请求的智能体通过嵌套第三方网络服务扩展能力并规避限制。作者分析了14591次编辑中的79541个URL，发现33.6%的URL嵌入了一至五层第三方服务，并识别出67个中间服务。其中73.8%用于扩展能力（如内容提取、转换和存档），其余26.2%用于规避访问限制和检测。
说明SentryBench：面向公共安全部署中工具调用型大模型智能体对抗鲁棒性的成本敏感基准
简介该论文提出 SentryBench，用于评估可调用公共警报、调度救援、查询居民记录等工具的大语言模型智能体。它同时衡量对抗攻击成功率、漏报真实紧急情况的过度拒绝，以及无根据行动的过度反应，并以真实急救电话记录、灾害信息和注入攻击样本构建场景。实验覆盖三个前沿模型和三种防御方案，结果显示一味拒绝的谨慎策略危害最大，而论文提出的信任门控包装器在各模型上危害最低。
说明沃伊尼奇手稿有意义吗？校准检验几乎没有发现语言的痕迹
简介本文针对无法解读的十五世纪沃伊尼奇手稿，把“乱写”和“密码隐藏语言”两种假说都写成生成程序，用相同预算拟合并在未见过的统计量上检验。结果显示，词的统计不足以判定，而在不需要破译的前提下，手稿中词对共现的模式弱于28种文本中最弱的一种，多数密码解读器也找不到可读文本。
说明基于公开 Gram 行列式对已知协方差环 LWE 的判定攻击
简介该论文针对已知协方差环上 LWE（KCov-RLWE）问题，此问题曾用于门限加密的模拟安全性，但其判定难度原本未知。作者在环秩为一的情形下，对多类素数模数给出了多项式时间的判定攻击，利用公开样本与协方差信息构成的边界 Gram 行列式来区分真实样本与均匀样本。论文还对合数模数和若干参数族给出了分类结论，但结论不适用于所有参数选择，也未直接攻破完整的门限加密方案。
看点通过公开样本与协方差提示构造的带边Gram矩阵行列式泄露隐藏残差，为KCov-RLWE的判定性问题给出多项式时间攻击，并完整分类奇素数模情形，理论推进显著，但影响限于特定参数族。
说明CyberDual：真实软件维护中 AI 攻击者与 AI 代码审查者的对抗竞技场
简介该论文提出 CyberDual，一个让 AI 攻击者在开源项目真实维护工作中隐藏可利用漏洞、AI 审查者尝试发现并修复的对抗平台。执行 PoC 决定胜负，三个审查代理在 1,088 次有效攻击中拦截了大部分，但当攻击者把漏洞分散到真实上游提交中时，仍有约六分之一的攻击在审查后保留可用利用。
看点提出攻防双角色竞技场并以PoC执行作为客观奖励，对1,088次有效攻击做了系统评估，揭示拒答与攻击能力的脱节，证据较充分。
说明SymLift：面向上下文不完整代码片段、无需编译的神经语义提升漏洞检测
简介该论文提出SymLift框架，在缺少完整项目上下文、无法编译的代码片段上检测漏洞。它用微调后的大语言模型把代码重建为受限的类LLVM中间表示，再经确定性解析器校验，并用Datalog规则推导可追溯的漏洞结论。在FormAI、Juliet和MegaVul数据集上的实验显示，该方法在上下文不完整的设定下具有较高的检测准确率。
说明高斯-Gabidulin 码的最大似然译码即使在维数为一时也是 NP 难的
简介论文证明：判断接收字是否与一维 Gabidulin 码的秩距离不超过 n-2，是 NP 完全问题。因此 Gabidulin 码的最大似然译码即使在 k=1 时也是 NP 难的，与 Reed-Solomon 码的 Guruswami-Vardy 结论相对应。论文给出确定性多项式归约，使秩综合征译码与秩最小距离问题也为 NP 完全，此前的已知归约是随机化的。
看点证明一维Gabidulin码最大似然译码NP困难，并给出确定性归约，改进了已知随机化结论，理论意义明确。
说明Gabidulin码的最大似然译码即使在一维情形下也是NP难的
简介本文证明：对于一维Gabidulin码（即{λg}形式的码），判断接收字是否在秩距离不超过n−2处，是NP完全问题，因此该码的最大似然译码是NP难的。作者给出了确定性多项式归约，并引入中间问题Twisted Square Membership，由此也使Fqm线性码的秩综合征译码和秩最小距离问题在确定性归约下成为NP完全。
看点证明一维Gabidulin码最大似然译码NP难，并给出确定性归约，改进了此前随机归约的结论，理论证明完整。
