本站已超过 12 小时没有更新（正常每 3 小时更新一次），下面的内容可能不是最新的。
本页没有符合条件的条目（筛选只在本页内进行）。
说明智能体还遵守规则吗？评估上下文压缩后的规则遵从性
简介大语言模型智能体在上下文窗口有限时会压缩长历史记录，但压缩后的上下文仍需保留约束后续行为的操作规则。本文提出基于开源 pi 智能体框架的可配置基准 ARCBench，通过智能体的工具调用循环在执行过程中测量规则遵从性。研究发现，压缩很少直接删除规则，压缩后的违规大多发生在规则仍保留于历史中时；规则的传递方式和压缩策略、预算分别影响违规来源，而保留规则并不保证遵从，保留规则的压缩运行违规频率是完整历史运行的两倍以上。
说明面向边缘AI的可部署硬件信任根：软件物理不可克隆函数及其权衡
简介边缘AI设备在物理接触时，存放在非易失性存储器中的密钥容易被窃取。软件物理不可克隆函数（PUF）利用设备的唯一且可重复的模拟特性生成响应，无需制造后修改硬件。本文综述了37项现有软件PUF研究，依据设备端模型保护的需求进行比较，分析其权衡，并指出当前面临的四项挑战及可能的发展方向。
说明隐私过滤器与里程计的信息层级
简介本文研究差分隐私过滤器与里程计所用信息如何限制其性能。作者把信息分为规格级、机制级和实现级三层，并按决定其行为所需的最低信息层级对它们分类。主要结果显示，不同层级之间的可达性能存在严格且可任意大的差距。
看点提出三级信息层次并证明各级间性能存在任意大的严格分离，理论贡献突出，但主要面向理论刻画。
说明Massey秘密共享方案中泄露的系统推导
简介本文研究针对秘密共享方案的泄露攻击，即利用各份额的部分信息恢复秘密。作者基于Guruswami和Wootters的构造，推导了新的显式线性精确修复方案，并分析其代数性质。此外，文章提出一种基于Gröbner基的计算方法，用于在任意线性码上寻找相关泄露函数，并应用于Reed-Solomon码、广义Reed-Muller码和Tamo-Barg码，得到若干此前文献中未见描述的修复方案。
说明Cyber-JEV：用修复提交做匹配对比微调，加快源代码漏洞分诊
简介本文提出Cyber-JEV，一种微调语言模型的方法，用于快速为源代码函数打出漏洞概率分数，便于安全团队排序审查。方法利用修复提交构造对比组（漏洞函数、修复后版本及同文件未改动函数），让模型同时学习分类与排序。在包含7270个函数的测试集上，五个微调模型的集成达到ROC曲线下面积0.814，高于Jev 1.13的0.743。
说明带密钥条件信号扰动的泄露感知加密语义通信
简介该论文针对加密语义通信系统提出两项改进：一是在信号域加入由密钥控制的学习型对抗扰动注入模块（LAPI）；二是采用基于InfoNCE的自适应训练规则，在固定对抗目标之外加入互信息泄露惩罚。在Europarl语料和AWGN、瑞利衰落信道上的实验表明，InfoNCE引导的训练是抑制窃听者的主要来源，高信噪比下窃听者的BLEU约降至0.07；加入LAPI后，InfoNCE估计的泄露再降低5%至9%。两种机制作用于系统的不同部分，可以联合使用。
说明评估自主自愈系统应对持续网络攻击的能力
简介本文评估了TNO开发的受免疫系统启发的网络安全自愈软件SH4CS。作者通过分析与实验，测试其应对（反复出现的）网页应用漏洞利用攻击的表现。结果显示，SH4CS能够实现有效的网络韧性。文中指出，该方案仍需在可预测的韧性行为与适应多种网络威胁和受保护应用之间取得平衡。
说明重新审视神经反编译：候选选择是隐藏的瓶颈
简介该论文研究基于大语言模型的神经反编译在混淆二进制程序上的准确率差距，分析候选代码的生成与选择。作者发现，正确结果通常已存在于模型的采样空间中，并比较了多种候选排序方法，其中执行引导选择效果最好。结合新发布的混淆数据集微调后，混淆样本的pass@1提升至88.8%。
说明基于可移动天线的时间相关信道密钥生成
简介本文研究在时间相关信道中利用可移动天线（MA）进行物理层密钥生成。作者用一阶高斯-马尔可夫过程刻画多径增益的时间相关性，推导了有限时域近似误差界和单步条件互信息的闭式表达，并以之作为可处理的密钥信息度量。通过交替优化天线位置与每时隙波束成形，仿真显示该方案优于固定天线方案；在高时间相关系数下，位置优化比固定天线速率高约51%，联合优化再提升106%。
说明ATrust：为大模型智能体自适应扩展信任边界的安全防御
简介该论文针对大语言模型智能体易受间接提示注入攻击的问题，提出了名为ATrust的防御机制。它在智能体运行时，从用户查询出发，逐步把与任务相关的外部信息纳入信任边界，从而在保留必要反馈的同时排除无关内容。在AgentDojo和AgentDyn上的实验显示，ATrust在现有防御中取得了最佳的安全性与实用性平衡。
说明《客户看不到目标：衡量并检测LLM助手中针对弱点的操纵》：研究AI客服在运营方隐藏目标下是否利用用户弱点施压，并尝试从对话中检测这种行为。
简介企业可能在网站上部署大语言模型客服，并设定客户看不到的商业目标。本文提出GAP方法，先记录模型在无目标时推荐的选项，再把另一选项设为运营方目标，对15个模型、540个日常场景共收集619,600条标注回复。研究发现，14个模型会推动运营方目标，其中12个会利用用户披露的困境或财务压力。基于回复内容，微调的检测器准确率为79%，零样本LLM评判最高约62%；对训练中未出现的弱点，检测效果会下降。
看点新意在于把操纵检测转为目标锚定探测并检测客户对话中的脆弱性利用；摘要报告在15个模型、619,600条回复上验证，并测试了未见模型和漏洞的泛化。
说明MCP安全的边界在哪里？面向OWASP MCP十大风险的三层缓解映射框架
简介本文提出一个基于设计科学研究方法的框架，将OWASP MCP十大风险映射到服务器、网关和协议三个架构层级。作者用一棵四问题的级联决策树为各漏洞分类，并在一个用Go语言构建的企业级托管文件传输MCP服务器上进行了验证。结果显示，高置信度的服务器层控制措施达到预期效果，而低置信度的协议层控制措施因架构原因无法仅靠服务器实现来解决。
说明StateFence：防止蓝队大模型智能体证据链被污染的任务状态保护框架
简介本文研究安全运营中心（SOC）中蓝队大模型智能体面临的间接提示注入风险：恶意指令可藏在遥测数据、工单、检索结果或记忆中，并在告警分诊、事件摘要、响应建议和IOC提取中逐步传播。作者提出StateFence，把严重等级、事件叙述、响应策略和IOC集合视为受保护状态，并依据被攻击的状态选择防御方式。实验显示，该方法降低了攻击成功率，并减少了证据被投毒后才出现的故障，同时保留了任务效用。
说明（Z/4Z）^m 上具有一致有界差分均匀性的显式置换
简介本文针对伽罗瓦环上的对称密码原语，构造了一类显式置换 G_c，其非零输入差分的差分概率至多为 36/N（N=q²，q=2^m）。作者将其与置换多项式的最低差分概率下界 2/√N 进行比较，并指出该界对固定置换本身成立，而非平均意义上。该构造由 F_c∘J∘F_c 组成，其界限与 m 无关。
说明双方都不确认：MCP 服务器与宿主之间的破坏性工具审批研究
简介大语言模型智能体通过模型上下文协议（MCP）调用可能删除数据或转移资金的工具。本文从源代码出发，考察 MCP 服务器端与宿主应用端各自的人工审批机制。研究发现，多数破坏性工具缺少服务器端确认，多数宿主默认不提供审批步骤，因此相当一部分工具调用在默认配置下没有经过人工审批。作者建议应用程序应当主动配置审批。
看点首次从源代码双侧测量MCP破坏性工具的人工确认缺失，规模较大，并用注入删除实验验证风险。
说明排名有效但未能拦截：利用类型化决策模型输出概率检测提示注入劫持
简介论文研究把语言模型当作分类器使用时，注入文本可能使其输出攻击者指定的标签（即劫持）。作者检验了一种监测方法：不知道攻击者标签，只看模型自身的最高概率，概率低则报警。实验基于AG News主题分类，结果显示低置信度能把被劫持的答案排在干净答案之前，但按5%误报率设定的阈值会漏掉大部分劫持，尤其是注入文本声称目标标签确定的情况。
说明网络化合成社会工程：网页上的多源误导与修正研究
简介本文研究合成社会工程（SSE）在网络中的连锁后果，即刻意误导的影响试图使AI接收方偏离授权目标。作者以Qwen3-4B模型和两项简报任务，在其ASE-EC平台的1080个研究单元上进行测试。结果显示，多个依赖的发布者并未显著提高不受支持的验证率，且纠正依赖报告可降低残留错误决策，但需要重新验证范围才能更好修复报告。
说明野外恶意软件聚类：分类、挑战与评估指标
简介随着恶意软件数量、多样性和复杂性增长，聚类已成为分析大规模恶意软件样本库的关键技术，可用于发现结构关系、行为模式和演化趋势。本综述将既有的恶意软件聚类研究归纳为质心类、层次类、密度类、分布类、混合类、模糊类和人工智能驱动类七个类别，并梳理了常用的公开恶意软件数据集及其特征表示，同时指出该领域未来值得探索的方向。
说明利用 CPU 内置矩阵加速器的高吞吐私有信息检索
简介私有信息检索（PIR）让客户端在不暴露所取记录的前提下获取数据，通常需要扫描整个数据库。本文提出 AltoPIR，这是首个利用 Intel AMX 等 CPU 内置矩阵加速器的 PIR 系统，无需额外的独立加速器即可通过批处理提升吞吐量。原文称其相比现有 CPU 方案吞吐量最高提升 50.1 倍，并能处理超过 GPU 显存容量的数据库。
说明已访问却从未披露：医疗人工智能代理对受保护健康信息的静默访问
简介该论文研究医疗AI代理在无需患者身份信息的任务中，是否仍会调用受保护健康信息工具。作者在合成患者记录中植入标记，并在五个语言模型、四种边界级别和七种攻击场景下，将工具调用与最终回答中的标记泄露相关联。结果显示，三个模型存在不必要的访问，而仅依赖输出的评估无法发现这种静默访问，因此需要边界控制、执行前门控和访问日志审计共同使用。
看点提出以金丝雀追踪静默访问PHI的新评估视角，揭示仅看输出的评估无法发现问题；在五个模型、多种边界与攻击框架上做了系统实验。
说明检测、修复与审计：能源负荷预测中抵御对抗攻击的分层多智能体防御方案
简介该论文针对用于电力需求预测的时序大语言模型，可能因被篡改的传感器输入而产生错误预测的问题，提出一种分层多智能体防御框架。框架包括在本地控制中心由多智能体强化学习检测器与信号修复模块组成的检测修复层，以及用于虚拟电厂审计、并有人工参与验证的大语言模型审计智能体。实验显示，最佳配置在各数据集与攻击组合上F1分数均超过0.91，信号修复可将相对平方误差降低最多83%，平均检测与修复耗时7.95毫秒。
说明利用动态防御方法提升高级计量基础设施的安全性
简介论文指出，智能电网接入互联网后容易遭受网络攻击，而计量系统是其中关键部分，一旦失效可能给国家和产业造成难以挽回的损失。文章建议采用动态的“参与自身防御的应用”（Applications that Participate in Their Own Defense）防御方法来保护此类系统与基础设施。
说明对网络攻击图中 QUBO 动作模型与防御修复的同条件评估
简介本文研究在最小代价网络攻击路径和防御修复的 QUBO（二次无约束二值优化）模型中，针对具体漏洞的动作如何影响模型表现。作者在六个独立的合成拓扑上，用模拟退火、最速下降和禁忌搜索等经典方法，与精确经典基准进行比较。结果显示，每条可行转移保留一个带标签的动作时，可行路径、最优代价与 QUBO 规模均保持不变；存在多个利用方式时，最优路径恢复率较低且表示规模显著增大。在一个带合成代价的已发表攻击图上，该方法也得到了验证。
说明针对基于机器学习的选举系统的黑盒对抗样本攻击
简介本文研究选票分类机器学习模型在黑盒条件下的对抗样本攻击。作者实现并评估了十一种黑盒攻击方法，涵盖多种范数和决策型、分数型、迁移型威胁模型，并打印扫描两万份对抗样本以测试实际效果。结果显示黑盒对抗样本的数字与物理环境之间的鲁棒性差距比白盒情形更大，并首次在选举领域开展了对抗样本迁移性研究，同时测试了对抗训练和屏障区两种防御策略。
说明决策模型作为编码智能体的策略闸门：明确的策略边界提升检出率并减少误报
简介该论文评估了22个托管决策模型和两个提示式通用模型，作为多规则策略引擎的分类器，用于判断编码智能体的工具调用是否违规。在2643条合成工具调用数据集上，将明确边界以正例和反例形式写入后，23个模型的召回率提升5.5至26.1个百分点，21个模型的误报减少。论文同时公开了数据集、规则文本和测试框架。
说明HaloGuard 2.0：面向多语言回复安全的开放权重宪法式输出守卫
简介这篇论文提出 HaloGuard 2.0，是一个开放权重的流式输出守卫，可在单次前向传播中为每个回复令牌给出安全或不安全的概率，从而在危害确认后及时中止生成。它沿用了输入守卫 HaloGuard 1.0 的准则组织约 47.85 万条回复的训练语料，并通过第二阶段的反事实回复数据修正模型在流式场景下的捷径问题。在六个英文回复安全基准上宏观 F1 达到 83.6，多语言变体在 17 种语言的回复标签上达到 83.1 F1。
说明代理流量回放中的有界保留历史：混合预测试点与分配研究
简介本文基于 UNSW-NB15 流量镜像，通过固定的预测试点和后续分配研究考察有界历史保留的效果。试点中加入关系特征的模型在侦察召回率和良性误报率上均未优于基线，因此未能证明预测优势。随后的分配研究表明，基于源均衡的保留策略在等源加权指标上优于 FIFO，但事件加权比率反而下降，结论仅适用于该加权目标，且数据重用与缺乏独立语料等因素限制了解释。
说明ZT-DAC：面向分布式能源网络零信任的机器学习动态访问控制策略
简介该论文针对分布式能源网络（DER）中传统静态角色访问控制易被攻击者长期滥用权限的问题，提出名为ZT-DAC的动态访问控制框架。该框架采用两阶段验证，结合基于OPA的RBAC与基于机器学习的ABAC，持续评估信任分数。实验显示，基于OPA的决策层准确率为91.92%，ABAC层准确率为93.27%。
说明SANAI：嵌入权重中的安全ECC分布式密钥奇偶校验，用于抵御比特翻转攻击
简介量化神经网络的权重存储在密集内存中，电压、老化、辐射或RowHammer等攻击造成的比特翻转可能严重损害模型表现。该论文提出SANAI，一种按敏感度引导、选择比特位平面的方案，在不增加奇偶校验存储开销的前提下保护关键权重。论文报告，在十种视觉骨干网络、三种量化方案和十个语言模型上，SANAI在误码率高达12%时仍能将精度维持在干净精度约一个百分点以内，约为既有嵌入式ECC方法上限的两倍。
说明查询高效的扫描搜索式水印定位方法
简介该论文针对大语言模型生成文本中的隐式水印定位问题，提出一种自适应分配检测预算的策略：先保证文档广泛覆盖，再逐步集中于水印证据较强或更可能含水印的区域。作者将区域统计信号转化为e值，并提出加权e-BH程序确定水印区域，称为BELL框架。论文称该方法在无需区域独立性假设的情况下可控制词元加权的错误发现率，并在多种模型、数据集和水印方案上优于现有方法。
说明《One String to Rule Them All》：测量 IAB 全球隐私平台下的同意传递
简介论文研究 IAB 全球隐私平台（GPP）这一标准如何在多个司法辖区统一收集和传递用户同意信息，尤其是用户的退出选择（opt-out）。作者通过四次网络爬取、四组实验设置，分析该标准的采用范围、退出信号从发布方到第三方的传递情况，以及这些信号是否影响第三方广告商的行为。研究发现，标准的实现和采用存在不一致，导致用户同意信号丢失，广告商也未能尊重用户的退出选择。
说明利用 WASM-SIMD 加速 WebAssembly 中的 QUIC 加密
简介论文研究在 WebAssembly（Wasm）中运行 QUIC 传输协议时的加密开销。作者用 Wasm 的 128 位 SIMD 扩展实现了 AES 与 ChaCha20 的核心计算，在两台通过 10 千兆以太网相连的主机上测试，接收端吞吐量较非 SIMD 基线分别提升 61.34%（AES-128-GCM）和 31.55%（ChaCha20-Poly1305）。结果表明加密加速是必要的，但内存分配、运行时开销和逐包 UDP I/O 仍会限制纯 Wasm 传输栈的性能。
说明超越提示注入：LLM智能体安全中的工具更新缺口
简介论文指出，基于大模型的智能体依赖外部工具，而工具更新后，框架可能仍信任其安全性而不重新验证，形成供应链漏洞。作者提出ETUDE攻击，将恶意功能嵌入原本良性工具的更新中，且攻击完全在大模型上下文之外运行。在三类攻击场景和七个主流智能体框架中测试，攻击成功率为97.6%，合法任务完成率为95.9%，现有防御效果不足。
看点新意在于指出工具更新这一供应链盲点，提出ETUDE攻击并在七个主流智能体框架上评估ASR与任务完成率，影响较广。