密码学与安全 · 諦聽 Diting Lab

从概率推断角度看隐私信息检索（PIR）

2026-10-29T00:00:00+09:00

PIR through the Lens of Probabilistic Inference IACR ePrint · 2026年10月29日隐私信息检索（PIR）允许客户端获取数据库中的某条记录，而服务器无法得知所请求的索引。本文发现经典协议中每个服务器的计算可视为计算乘积分布的边际概率，因此高效的精确概率推断算法可加速服务器端计算。作者针对若干结构化函数类给出了更快的服务器算法，并在随机化电路强指数时间假设（rCSETH）下给出条件性下界，说明一般多项式规模电路上无法普遍实现显著的亚线性服务器计算。 ★★★★ 值得关注：作者把经典PIR协议中每台服务器的计算与乘积分布的边缘概率联系起来，由此对读一次式算术公式、有界树宽图模型、低通信复杂度和稀疏傅里叶表示等函数类给出更快的服务器算法，并在rCSETH下证明均匀算法无法在所有多项式规模电路上达到次线性服务器计算。

超越Keccak的事件视界：2011年观察的扩展及其应用（密码分析论文）

2026-10-28T00:00:00+09:00

Beyond the Event Horizon of Keccak, Extending the Observation from 2011 and applications IACR ePrint · 2026年10月28日本文扩展了作者2011年关于Keccak海绵结构的观察：从容量全为零的状态出发的一条路径，可为任意至少一个完整速率块的消息给出无限族第二原像。论文提出三条新定理，涵盖任意容量值的两块循环、k块循环与容量映射的环，以及用于构造2^k多重碰撞的桥接方法，并在Keccak-f[200]与c=32的Keccak-f[1600]上给出全轮验证示例。论文还提出若干基于Keccak桥接铸造与伪造不对称性的协议设计，但其端到端安全性仍未确定。 ★★★★ 值得关注：新意在于把容量循环推广到任意容量值与k块循环，并给出与Joux式多重碰撞相比搜索代价不随k增长的构造；摘要报告了全轮示例与Lean 4机器检查，影响主要限于Keccak相关的密码分析领域。

在猫量子比特上编译的Shor算法：用约22593个量子比特在3.14天内分解RSA-2048

2026-10-28T00:00:00+09:00

Shor's algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days IACR ePrint · 2026年10月28日该论文对Shor算法在超导猫量子比特上的实现做了端到端资源估算，涵盖RSA、ECDLP和FFDLP，并给出两种架构（重复猫码和LDPC猫码）下的物理比特布局与调度。在1微秒纠错周期、10微秒反应时间和假设相位翻转噪声的条件下，论文估计分解RSA-2048约需23000个猫量子比特和3.14天；在secp256k1上解ECDLP最多需要30000个猫量子比特和1小时。 ★★★★★ 值得关注：首次在猫量子比特上端到端估算Shor算法资源，给出RSA-2048、ECDLP等具体芯片布局与调度，并提出新的奇偶Cnot门。

密码群作用通用模型中基于身份加密的障碍

2026-10-28T00:00:00+09:00

Barriers to Identity-Based Encryption in Generic Group-Action Models IACR ePrint · 2026年10月28日本文研究在通用密码群作用模型中构造基于身份的加密（IBE）的可能性。作者证明，在类型安全的通用群作用模型中，公共参数只含 n 个非原点作用集元素句柄的 IBE 方案至多只能支持 n 个身份，并给出匹配的构造以说明该界是紧的。论文还将该结论推广到随机表示模型及带有类逆扭曲的作用，表明 IBE 可能需要额外的代数结构或非黑盒技术。 ★★★★ 值得关注：首次在通用群作用模型中给出IBE的紧下界，证明公共参数规模限制可支持的身份数，并给出匹配构造。

通过成本感知的置换调度实现高效SIMD SHAKE（一种让多路哈希并行运行更充分的密码学实现方法）

2026-10-29T00:00:00+09:00

Efficient SIMD SHAKE through Cost-Aware Permutation Scheduling IACR ePrint · 2026年10月29日论文提出一种成本感知的Keccak置换调度方法，在一次密码算法执行中把就绪的哈希流分组，并把较长的流切段后重新分组，以提高SIMD利用率。该方法依据置换调用、状态移动、初始化和输入准备等成本模型来选择分组、段长和状态放置方式。作者在Apple M5、Cortex-A72和Intel Core i5-11500上评估了ML-KEM和HAETAE，结果显示ML-KEM封装和解封装分别最多加速1.31倍和1.44倍，HAETAE签名和验证分别最多加速1.28倍和1.26倍。

更快的完备公式及其在具有高效自同态曲线上的应用

2026-10-29T00:00:00+09:00

Faster complete formulas and their application to curves with efficient endomorphisms IACR ePrint · 2026年10月29日本文重新研究了形如 y²=x³+b（p≡1 mod 3）的素域曲线上的标量乘法，该族包括 secp256k1、BN 和 BLS 曲线。作者以新方式应用一项已有15年历史的技术，将最佳完备加法所需乘法次数从12次降至11次。在 libsecp256k1 库中实现后，固定基点恒定时间标量乘法提升了5.2%。 ★★★★ 值得关注：将15年前的技术以新方式用于完备加法，首次把乘法数从12降到11，并提出完备三倍公式与无例外τ-NAF；摘要报告在secp256k1、BLS曲线等上的实现与对比。

面向大特征域的代数多项式求值数据结构

2026-10-29T00:00:00+09:00

An Algebraic Polynomial Evaluation Datastructure for Fields of Large Characteristic IACR ePrint · 2026年10月29日本文研究多元多项式求值数据结构，即利用对多项式预先计算编码的随机访问，在任意输入点上求出多项式的值。作者提出一种在大特征素域上构造可做插值的代数曲线的新方法，通过基-β表示把求值问题递归化为尺寸递减的盒子中的点。由此得到的数据结构在查询复杂度对特征p的依赖上显著改进，并且数据结构大小不再依赖p，同时证明该构造足以推翻Miltersen的猜想。 ★★★★ 值得关注：提出基于base-β表示构造代数曲线的新方法，将查询复杂度对p的依赖从p^O(1)降至d^{O(log log p)}，并给出下界。

面向侧信道分析的量子传感研究：利用金刚石氮空位中心测量芯片电磁信号

2026-10-27T00:00:00+09:00

Towards Quantum Sensing for Side-Channel Analysis IACR ePrint · 2026年10月27日本文研究量子传感技术在集成电路动态电磁场侧信道分析中的应用。作者基于氮空位（NV）色心构建射频频谱仪，实时带宽达1.1 GHz，无需傅里叶变换或频率扫描即可直接探测频谱。研究利用该频谱仪分析了RSA解密的电磁辐射，并对运行在Cortex M4微控制器上的数论变换软件实现进行了泄漏检测。

各类曲线模型上的根式同源（radical isogeny）计算

2026-10-28T00:00:00+09:00

Radical isogenies on every model IACR ePrint · 2026年10月28日本文讨论根式同源公式：每一步只需求解一个 N 次根，即可计算循环 N 阶同源链，且无需采样挠点。此前对一般的 N，这类公式只在 Tate 标准型中已知。作者给出了多种曲线模型上的奇数次根式步骤，包括 Montgomery 与扭曲 Edwards 曲线等，并给出了精确的乘法运算次数。 ★★★★ 值得关注：将径向同源公式从Tate标准型推广到短Weierstrass、Montgomery等多种模型，给出各奇数次数的显式步骤与精确运算量，并报告其成本优于或接近既有方法。

《可处理而非截断：基于分数布朗运动的有色噪声真随机数发生器安全性》

2026-10-28T00:00:00+09:00

Tractable, Not Truncated: Colored-Noise TRNG Security via Fractional Brownian Motion IACR ePrint · 2026年10月28日本文针对基于振荡器的真随机数发生器，指出其相位受热噪声和闪烁噪声影响，而闪烁噪声具有长记忆性，现有模型对其加以丢弃或截断，会高估安全性。作者用分数布朗运动对振荡器相位建模，证明了准更新性质，并由此得到闭式的最坏情况最小熵与采样要求。实验显示在FPGA和ASIC平台上闪烁噪声占主导，仅使用热噪声的方法需要调整或重新设计，纳入闪烁噪声后比特率可提高两到三个数量级。

任意有界类型函数的量子多重碰撞下界

2026-10-28T00:00:00+09:00

Quantum Multi-Collision Lower Bounds for Arbitrary Bounded Types IACR ePrint · 2026年10月28日本文研究在给定精确类型的函数中寻找量子碰撞的问题。作者证明，在 ℓ 个不同等价类中寻找 r 重碰撞的最坏情况有界错误量子查询复杂度为 Θ_{k,r}(ℓ^{2^{r-1}/(2^r-1)} N^{(2^{r-1}-1)/(2^r-1)})，结论对所有可行的字母表大小 q≥n 成立。证明使用压缩置换预言机（CPO），并把结果推广到类大小有界的任意精确类型。 ★★★★ 值得关注：作者用压缩置换预言机分析多重碰撞的量子查询下界，并推广到任意有界类型，还报告与Belovs转移框架得到相同的下界指数。

超越 BHHO-KMHE 的可重随机化混淆及基于 LWE 的构造

2026-10-28T00:00:00+09:00

Rerandomizable Garbling Beyond BHHO-KMHE and a Construction from LWE IACR ePrint · 2026年10月28日本文研究可重随机化混淆方案（RGS），这是多跳同态加密、iO 组合器等高级密码构造的基础原语。现有 RGS 均依赖离散对数类假设。作者提出一种新的混淆技术，将隐藏同态变换的任务从加密方案转移到混淆本身，从而可以基于较弱性质的密钥与消息同态加密（KMHE）构造 RGS。此外，作者给出基于 LWE 的 KMHE 格基实例，它是 GSW 全同态加密的变体，由此得到不依赖离散对数假设、可能具有后量子安全性的首个 RGS 构造。

OblivDGL：可实用的隐私保护深度图学习框架

2026-10-27T00:00:00+09:00

OblivDGL: Oblivious Deep Graph Learning Made Practical IACR ePrint · 2026年10月27日本文提出OblivDGL，一个用于安全图神经网络（GNN）推理和训练的隐私保护深度图学习框架。它借鉴深度图库（DGL）的设计，提出一种新的不经意消息传递范式，并利用函数秘密共享（FSS）实现加密图表示。实验表明，与现有安全GNN框架相比，OblivDGL在训练中通信开销最多降低1024倍、运行速度最高提升14.3倍，在推理中通信开销最多降低754倍、速度提升4.19倍。

利用采样器联合侧信道泄漏恢复 Falcon 私钥

2026-10-27T00:00:00+09:00

Falcon Key Recovery from Joint Sampler Leakages IACR ePrint · 2026年10月27日Falcon 及基于它的 FN-DSA 标准通过离散高斯采样生成签名，功耗会泄露与私钥相关的中间值。本文提出统一的密钥恢复框架，融合每次采样调用中的三类观测，并将候选集合转化为私钥约束，通过回归与整数重构求解，不依赖 LLL 或 BKZ 等格约减。实验显示该攻击能恢复全部 50 个评估密钥，且表明仅靠指令级规范化无法阻止密钥恢复。 ★★★★★ 值得关注：融合中心指数类、符号位和提议幅值三类采样器侧信道观测，不依赖LLL/BKZ直接恢复Falcon密钥；摘要报告在Cortex-M4上对50个密钥完成恢复，中位需11条签名。

Poly2MsgLeaks：基于多项式到消息泄漏的可认证密钥恢复攻击

2026-10-27T00:00:00+09:00

Poly2MsgLeaks: Certified Key Recovery from Polynomial-to-Message Leakage IACR ePrint · 2026年10月27日该论文提出 Poly2MsgLeaks，一种针对 SMAUG-T（TiMER 参数集）公钥加密方案的画像式选择密文功耗分析攻击，可恢复完整的 512 个系数密钥。作者在 STM32F415 上采集了六条物理 P2M 功耗迹线进行验证，在 1000 个未见过的密钥中恢复出 999 个，另一组的 1000 个密钥全部恢复，平均需要 7.021 条迹线，且无误接受。在对单次写入消息组装和两份掩码 P2M 的评估中，该六次执行攻击未恢复出完整密钥。 ★★★★★ 值得关注：提出针对SMAUG-T（TiMER参数集）的P2M选择密文功耗攻击，作者报告可恢复完整的512系数私钥，并给出在均匀矩阵模型下错误密钥被接受的概率上界。

反洗牌Fisher-Yates：长度128置换的实用恢复及对ML-DSA的应用

2026-10-27T00:00:00+09:00

Unshuffling Fisher-Yates: Practical Recovery of Length-128 Permutations and Application to ML-DSA IACR ePrint · 2026年10月27日该论文针对ML-DSA等后量子签名方案的数论变换（NTT）侧信道防护，研究以Fisher-Yates算法生成的随机置换。作者对长度为128的序列实现了软件层面的单迹攻击，利用时序与汉明重量等泄漏恢复置换，并将其转化为带软目标函数的约束规划问题进行枚举。结果表明，仅用Fisher-Yates洗牌并不能单独防止侧信道辅助的密钥恢复，攻击可恢复秘密多项式s1。

Alg{Ossa}：基于轮换委员会与最终送达保证的去中心化安全聚合

2026-10-27T00:00:00+09:00

Alg\Ossa\: Decentralized Secure Aggregation with Rotating Committees and Eventual Delivery IACR ePrint · 2026年10月27日本文提出Ossa，一种面向单服务器、一次性客户端的安全聚合通用构造，服务器恶意时仍只能获得聚合结果。论文进一步将其整合进Algorand式共识框架，通过密码学抽签每轮选出候选领导者和验证委员会，并证明被选中的服务器诚实的概率存在正下界，从而使每轮交付非空聚合结果的概率有正下界，实现跨多轮的最终送达保证。作者还评估了经典方案的完整本地轮次，并验证了后量子方案的可行性。

《安全之首》：学习型注意力门提升提示注入防御能力

2026-10-28T00:00:00+09:00

Heads of Security: Learned Attention Gates Improve Prompt Injection Robustness arXiv · 2026年10月28日论文提出 Heads of Security（HoS），通过一小组可学习的逐注意力头门控，实现指令与数据的分离，使模型能处理不可信内容而不执行其中的注入指令。在 Llama-3.3-70B-Instruct 和 GPT-OSS-20B 上，HoS 对自适应攻击更稳健，在标准效用基准上表现更好，并在智能体提示注入基准上达到领先水平。

超越多项式层级的量子计算经典验证

2026-10-28T00:00:00+09:00

Classical Verification of Quantum Computation Beyond the Polynomial Hierarchy arXiv · 2026年10月28日论文研究经典多项式时间验证者能否在不依赖计算假设的前提下，验证任意多项式时间量子计算。作者在一个经典预言机下构造了一个位于多项式层级之外、可在量子多项式时间内精确判定的语言，并给出公开抛硬币、完美完备性、可靠性误差至多1/4的交互证明协议。论文还证明了消息数量在常数因子内是最优的。 ★★★★ 值得关注：相对于经典预言机，构造超出多项式层级、可由量子多项式时间精确判定的语言，并给出公开抛币、完美完备性、可靠性误差至多1/4的交互证明；作者称其依赖新的切换定理，适用于相关限制。

重新审视量化深度神经网络中的隐私风险：量化模型是否更安全的实证研究

2026-10-28T00:00:00+09:00

Revisiting Privacy Risks in Quantized Deep Neural Networks arXiv · 2026年10月28日本文首次系统评估了量化深度神经网络的隐私风险，测试了八种成员推断攻击和六种量化方法。结果显示，4至8比特的常见量化对成员隐私风险影响有限，量化模型与全精度模型同样容易受攻击；2比特等激进量化虽能带来一定隐私收益，但会显著降低模型效用。针对全精度模型设计的现有隐私防御，在量化模型上保护效果有限，且会加剧效用下降。

当 POST 变成 GET：HTTP 方法可互换性及其安全影响研究

2026-10-28T00:00:00+09:00

When POST Becomes GET: Investigating HTTP Method Interchangeability and Its Security Implications arXiv · 2026年10月28日本文研究 HTTP 方法可互换性，即同一端点的 POST 请求可以改写为 GET 请求（将请求体参数移入查询字符串），并得到等价响应。作者提出自动化检测流程 MIDE，在大规模未认证实验中，于 Tranco 前 1 万个网站里发现 407 个存在高置信度可互换请求的站点。研究还发现部分站点存在 CSRF 令牌和 Web 缓存欺骗相关的安全问题。

《一分钱换你的提示词》：AI聊天平台上下文泄露的测量研究

2026-10-28T00:00:00+09:00

Penny for Your Prompts: A Measurement Study of Contextual Leakage in AI Chat Platforms arXiv · 2026年10月28日该论文对42个AI聊天机器人网页界面进行了大规模测量，涵盖通用平台及健康、法律、教育等领域平台。研究通过在浏览器JavaScript引擎层面插桩，追踪数据流对应的用户操作。结果显示，21个平台向第三方跟踪器泄露对话标题，9个平台泄露用户原始提示词，不少平台还向第三方发送用户邮箱。

SecDMP：可证明安全的数据内存依赖预取机制（扩展版）

2026-10-28T00:00:00+09:00

SecDMP: Provably Secure Data Memory-Dependent Prefetching (Extended Version) arXiv · 2026年10月28日数据内存依赖预取器（DMP）是近期主流桌面和服务器CPU引入的一种微架构优化，能提升性能，但已被证明可能导致机密信息通过侧信道泄露。本文提出一类DMP泄露分类，并在RISC-V处理器上实现了首个开源DMP以验证分析。作者进一步提出硬件防御方案SecDMP，要求机密数据在内存中被标记，使DMP不在微架构中编码这些机密；论文形式化证明其不引入超出无DMP基线语义的泄露。 ★★★★★ 值得关注：提出数据内存依赖预取器（DMP）的泄漏分类，并给出硬件防御SecDMP；作者称其形式化证明不引入超出无DMP基线的泄漏，摘要报告其阻止全部DMP泄漏且开销极小。

信封层：大语言模型智能体防御中被低估的一个表面

2026-10-28T00:00:00+09:00

The Envelope Layer: An Underestimated Surface of LLM Agent Defense arXiv · 2026年10月28日该论文延续前人把“信封层”视为恶意内容进入智能体通道的思路，并以A2A-TIBA攻击为测试对象，通过两因素析因实验和记忆实验，考察标签强度、信封真实性、框架差异和已有记忆对防御效果的影响。结果显示，信封真实时强标签通常降低语义突破率，弱标签未必优于无标签基线；信封可被伪造时强标签的收益减弱；记忆的影响大于标签操作。作者据此把信封层细化为准入通道与上下文组装表面两个层次，认为其安全边界由标签声明、前端权限和历史记忆共同决定。

约束提交边界：面向智能体实体解析的 DIO/ODI 授权防护机制

2026-10-28T00:00:00+09:00

Constraining the Commit Boundary: A DIO/ODI-Informed Authorization Guardrail for Agentic Entity Resolution arXiv · 2026年10月28日本文针对智能体实体解析系统提出一种授权边界设计：区分可用于推理的证据与有资格授权持久身份变更的证据。系统通过领域策略把特定重建失败映射为身份保持约束，并以两阶段监督器控制提交，要求证据覆盖所有命题、冲突已解决、操作在授权范围内且状态与策略版本有效。这是概念性架构，尚无实现或实证验证。

水印盆地：黑盒检测被蒸馏的大语言模型

2026-10-27T00:00:00+09:00

Watermark Basins: Black-Box Detection of Distilled LLMs arXiv · 2026年10月27日论文指出，闭源大模型的输出可能被对手通过API蒸馏来训练学生模型，服务方可在教师输出中嵌入水印以留下可检测痕迹。作者发现训练过程中水印会在参数空间形成一种与任务微调方向正交的持久几何信号，并据此提出仅通过API查询即可检测的方法WM-Basin。在数学推理蒸馏实验中，该方法在0.1%误报率下明显优于现有基于词元统计的基线，且信号在量化、剪枝和强化学习后训练后仍然存在。 ★★★★ 值得关注：提出一种在参数空间中与任务子空间正交的水印盆地信号，通过梯度对齐进行黑盒检测；摘要报告在135M至8.2B的多种学生模型上，严格0.1%误报率下检出率明显高于token级基线。

何时值得信任一种关系？多关系图学习中的操纵成本、暴露度与信任陷阱

2026-10-27T00:00:00+09:00

When Is a Relation Worth Trusting? Manipulation Costs, Exposure, and the Trust Trap in Multi-Relational Graph Learning arXiv · 2026年10月27日该论文研究多关系图检测器在干净数据上学到的关系信任度，而攻击者操纵各关系的代价不同。作者给出理论结果：当部分节点在某关系上孤立且攻击者无力打开门控时，度门控优于任何对关系的选择或重加权。基于每节点暴露度的界可用于判断应加固哪种关系，并在多数情形下优于其他指标。在没有成本信息时，论文建议选择弃用图结构。 ★★★★ 值得关注：证明度门控在部分节点于某关系上孤立且攻击者无法承担打开成本时严格优于任何关系选择或重加权，并报告该窗口是尖锐的；真实图上门控仅在满足条件的关系上获益。另给出按成本计算的暴露指标，在16个案例中有15个选出了使精确信任陷阱阈值提升最多的关系。

异步可验证完整秘密共享：从设计模式到系统级权衡

2026-10-27T00:00:00+09:00

Asynchronous Verifiable and Complete Secret Sharing: From Design Patterns to System-Level Trade-offs arXiv · 2026年10月27日本文针对完全异步拜占庭系统中的可验证完整秘密共享协议，分析了其设计空间并构建了设计筛选方法。作者选取七个代表性协议，在统一的 Rust 框架中实现，并在 Grid'5000 平台上比较诚实与故障发送方场景下的延迟、吞吐量、消息数、带宽和 CPU 时间。结果显示，消息复杂度难以预测延迟，乐观路径可能受恢复开销主导，分批或打包仅在验证不占关键路径时有效。

GKS全同态加密：安全性分析

2026-10-27T00:00:00+09:00

GKS Fully Homomorphic Encryption: Security Analysis arXiv · 2026年10月27日本文对Gribov-Kahrobaei-Shpilrain（GKS）私钥全同态加密方案进行了形式化的安全性分析。全同态加密允许直接对密文进行计算而无需先解密。文中指出该方案无需自举或去线性化，解密结果逐位精确，支持原生的加密搜索，并可扩展到无限深度的运算。

Janus车辆：恶意制造商假设下协议合规车辆的实体中心威胁建模

2026-10-27T00:00:00+09:00

Janus Vehicles: Entity-Centric Threat Modelling of Protocol-Conformant Vehicles under a Malicious-Manufacturer Assumption arXiv · 2026年10月27日本文针对汽车网络安全中“制造商可信”的默认假设，提出以实体为中心的威胁模型，涵盖恶意设计车辆、被攻陷车辆、被挪用的合法部件和被仿冒的车辆或部件四类实体。文中指出，身份真实与协议合规并不能证明车辆实际用途与声明一致。作者还提出了行为-位置矩阵，并为同伴良性、目的恶意的车辆建立了行为交互模型。

Blindfold：让审计随机币对LLM智能体保密

2026-10-27T00:00:00+09:00

Blindfold: Keeping the Audit Coin Secret from LLM Agents arXiv · 2026年10月27日该论文研究基于审计的认证方法：通过随机抽取一部分行为进行审计并对标签加权，以约束LLM智能体的违规率。作者指出，这种方法的有效性不仅依赖审计随机数本身，还依赖其在行动确定前对智能体保密。文中对此提出了形式化度量与理论界限，并在监控系统与真实LLM智能体实验中验证，发现可见的审计提示会造成泄露，而静默审计与每次调用使用新随机数可以恢复有效性。 ★★★★ 值得关注：提出预承诺无干扰性质，给出偏差与泄露的精确刻画，并证明审计硬币可通过时延等信道泄露给智能体；真实LLM智能体在可见审计提示下的实验显示普通证书失效，静默审计可恢复。

RePAIR：反转语义分割中的后门攻击

2026-10-27T00:00:00+09:00

RePAIR: Inverting Backdoor Attacks in Semantic Segmentation arXiv · 2026年10月27日该论文提出 RePAIR，一种用于语义分割模型的后门防御方法，属于事后处理、无需标签、与攻击方式无关的方案。它利用分类头与内部表示之间的差异，从未标注的图像中推断受害类与目标类的对应关系，并对可疑像素进行修正。实验表明，该方法能显著降低攻击成功率，同时基本保持干净样本上的性能。

客户端越多，日志越乱：分布式解析、聚合技术与评估指标

2026-10-27T00:00:00+09:00

Too many clients spoil the logs: distributed parsing, aggregation techniques and metrics arXiv · 2026年10月27日该论文针对物联网系统中的日志异常检测，研究在多个机构分布式环境下的日志解析问题。作者评估了五种解析算法，并结合聚合技术统一各客户端的事件与模板映射，共测试了6,720种分布式配置。论文还提出了评估分布式解析器的新指标，并给出设计与部署的经验建议。

为智慧组织构建动态多因素认证系统

2026-10-27T00:00:00+09:00

Developing a Dynamic Multi-factor Authentication System for Securing Smart Organizations arXiv · 2026年10月27日本文提出一种基于零信任架构的动态多因素认证系统，通过持续验证加强安全。系统利用马尔可夫链模型随机选择指纹、虹膜、人脸等生物识别因素，以降低安全措施的可预测性。研究采用CASIA生物识别数据集和AES-128加密管理用户数据，性能分析显示该方法在安全与效率之间取得平衡，适用于智慧组织，尤其是电子政务场景。

HqcLethe：面向微型无状态服务器的流式 HQC 封装方案

2026-10-27T00:00:00+09:00

HqcLethe: Streaming HQC Encapsulation for Tiny Stateless Servers arXiv · 2026年10月27日这篇论文提出 HqcLethe，一种无状态的后量子密钥交换方案，把 HQC 密钥封装按数据包大小分块流式发送，服务器无需缓存多包握手数据，从而避免内存耗尽攻击。方案利用中国剩余定理把多项式乘法拆成各包独立的余数，并加以掩码；作者用 Rocq（SSProve）证明其泄露不超过普通 HQC 密文，并用 ProVerif 验证会话保密性、服务器认证和前向保密。在 Raspberry Pi 3B+ 上每个工作进程占用固定的 1.2 到 1.6 MiB，在第 5 类安全级别下相比 McTiny 发送字节数减少 27 倍、服务器 CPU 开销降低 9.0 倍。 ★★★★ 值得关注：用中国剩余定理把HQC的循环多项式乘法拆成每包独立的余数，并加掩码使其泄露不超过普通HQC密文；作者称在Rocq中给出证明、ProVerif中验证会话保密性等，并报告在树莓派3B+上内存固定、相比McTiny发送字节少27倍、服务器CPU少9.0倍。

《内容约束：可逆语音匿名化中减少退化解的方法》：在保护说话人身份的同时尽量保持语音可懂度的研究

2026-10-27T00:00:00+09:00

The Content Leash: Mitigating Degenerate Solutions in Invertible Speaker Anonymization arXiv · 2026年10月27日该论文研究可逆语音匿名化，即保护说话人身份、保留语音语言内容，且授权用户可以恢复原始语音。作者提出内容保持训练约束，避免匿名化主要依靠损伤语音本身来实现；并引入验证器泛化策略，在训练时加入更强的说话人验证表示。在38位未见说话人上，攻击者的等错误率从2.8%提升到26.3%，对保留的验证模型提升到27.9%；基于密钥恢复时，词错误率为11.8%，说话人相似度为94.9%。

超越LWE：假设狄德普子群陪集问题被反例性攻破后的后量子假设

2026-10-27T00:00:00+09:00

Beyond LWE: Post-Quantum Assumptions under a Counterfactual Break of the Dihedral Coset Problem arXiv · 2026年10月27日本文以一篇已被撤回的2026年声称高效量子算法解决狄德普陪集问题（DCP）的工作为背景，综述若该问题真被突破会产生的后果。作者区分三类假设的求解器，并分析它们对格密码学与非格假设的充分保证条件，同时指出部分已发表的参数证明存在缺陷。文中还将结论分为严格推论、启发式比较与未经验证的应用三类，并列出开放问题与情景规划清单。

PrivacyEvalClaw：用于审计大模型越狱回复中隐私泄露的工具增强型审议智能体

2026-10-27T00:00:00+09:00

PrivacyEvalClaw: A Tool-Augmented Deliberative Agent for Auditing Privacy Leakage in LLM Jailbreak Responses arXiv · 2026年10月27日该论文针对大语言模型隐私红队测试中的评估难题，指出现有守护模型与大模型裁判对同一回复的判断存在明显分歧，尤其在需要额外证据的模糊情形中。作者提出无需训练的审议型智能体PrivacyEvalClaw，将评估器与分析模块作为工具调用，自适应收集证据、核查不确定的披露并调和冲突信号后给出最终判断。实验采用大模型成对裁判评估完整轨迹，结果显示其在结果、过程及整体质量上相对基线取得较优胜率，并能输出可审计的推理过程。

量化并排序针对多源异常检测器的隐蔽源端操纵威胁

2026-10-27T00:00:00+09:00

Quantifying and Prioritizing Stealthy Source-Manipulation Threats Against Multi-Source Anomaly Detectors arXiv · 2026年10月27日论文研究多数据源系统中，攻击者控制部分数据源、针对下游决策进行隐蔽操纵的风险。作者提出“任务条件可见性裕度”，用于衡量操纵每单位对下游任务造成的危害所必须暴露的最小检测器证据。该指标有闭式解，并可据此得到最小证据攻击，同时找出检测器无法察觉的任务相关方向。在17通道工业遥测基准上的实验显示，检测器对随机单通道破坏的检出率为82.8%，但在一至四通道子集审计中仍有64.7%的任务与子集组合在一阶上不可见。

求快会不会出错？迈向安全的少步文生图模型

2026-10-27T00:00:00+09:00

Haste Makes Waste? Towards Safe Few-Step Text-to-Image Models arXiv · 2026年10月27日少步蒸馏文生图模型因生成速度快而受到关注，但其生成不安全内容的概率未知。研究发现，少步模型往往比教师模型更不安全，减少推理步数会提高不安全生成率，并且现有概念擦除方法在少步模型上效果明显变差。论文提出了蒸馏集成概念擦除方法DICE，在FLUX Schnell上将不安全生成率降至0.046，同时基本保持正常生成质量。

衡量用户对 Discord 第三方社区机器人安全与隐私问题的关注

2026-10-27T00:00:00+09:00

Measuring Users' Security and Privacy Concerns About Third-Party Community Bots on Discord arXiv · 2026年10月27日该论文分析了 23,102 个 Discord 第三方机器人及 183,142 条用户评论（2021 至 2026 年），借助大语言模型知识蒸馏与微调的分类器筛选出 8,832 条与安全和隐私相关的评论，并将其归入 31 个主题的分类体系。研究发现，相关评论主要集中在数据共享（30.5%）和数据收集（16.2%）。作者还提出了原型审计框架 BotLens，结合评论信号与机器人元数据提供决策支持。

静默的盲区：硬件恶意软件检测器的故障脆弱性

2026-10-27T00:00:00+09:00

Silent Blindness: Fault Vulnerability of Hardware Malware Detectors arXiv · 2026年10月27日本文研究硬件恶意软件检测器（HMD）的结构性故障注入。作者在18种分类器、四种计数器预算及AdaBoost与Bagging集成构成的设计空间中，对453,174次决策卡滞故障与参数位翻转事件进行模拟评估。结果显示，基于树的模型关键故障比例低于基于函数的模型，且大部分树模型故障对指标几乎无影响；Bagging在多数对比中降低了关键性，并给出了在假定理想修正条件下的保护单元选择方法。

Peak-DNA：全球叙事传播中的反复出现形态

2026-10-27T00:00:00+09:00

Peak-DNA: Recurrent Morphology in Global Narrative Propagation arXiv · 2026年10月27日本文提出 Peak-DNA 框架，用于在全球叙事数据流中识别反复出现的传播形态。该方法将 GDELT 每小时的活跃度数据通过去噪、宏观峰值合并和时间对齐处理为归一化的宏观峰值片段，再用基于 DTW 的相似性分析比较传播形态。研究涵盖伊朗、国防、人工智能、太空/马斯克以及量子/后量子密码五个高扩散叙事领域，结果显示同一领域内的放大事件趋向于相似的形态模式。

CASEL：面向长时程工具调用智能体的后果感知选择性执行层

2026-10-27T00:00:00+09:00

CASEL: Consequence-Aware Selective Execution for Reliable Long-Horizon Tool-Using Agents arXiv · 2026年10月27日论文提出CASEL，一种与模型无关的运行时分配策略，依据失败概率、状态相关的后果、可逆性、歧义和证据新鲜度，为每次工具调用在直接执行、验证、沙箱、澄清、审批和弃权之间择一，以最小化单模式成本。在20个随机种子、每种方法12万个测试动作的受控仿真中，CASEL将有害副作用轨迹比例从14.75%降至7.02%，平均归一化危害从0.184降至0.123。结果仅在仿真假设下比较分配规则，并未证明实际部署效果。

分割联邦遗忘：让分割联邦学习中的已学习贡献可被移除

2026-10-27T00:00:00+09:00

Split Federated Unlearning arXiv · 2026年10月27日分割联邦学习将模型分区执行与联邦聚合结合，支持分布式环境下的协作学习。本文首次系统地提出分割联邦遗忘（SFU）问题，涵盖按客户端和按类别的移除、反事实重训练以及分区相关的更新约束。作者提出初始方法SURE，结合双重重要性估计、选择性参数扰动和重要性引导的恢复，实验显示其与模式匹配的重训练结果具有较好一致性。

稳健成员推断攻击的简明介绍

2026-10-27T00:00:00+09:00

A Simple Presentation of Robust Membership Inference Attacks arXiv · 2026年10月27日成员推断攻击是指攻击者在已知某个人的数据后，判断该人是否被纳入某个数据集，依据可能是由数据集推导出的统计量或据其训练的模型。论文给出了针对均值估计的稳健成员推断攻击的简明表述，涵盖多元高斯分布和二元乘积分布，并总结了该领域的相关文献，包括发展历史、扩展方向以及与其他研究领域的联系。

无分词器，仍有差距：同形字与不可见字符水印的跨语言公平性

2026-10-27T00:00:00+09:00

No Tokenizer, Still a Gap: Cross-Lingual Fairness of Homoglyph and Invisible-Character Watermarking arXiv · 2026年10月27日该论文研究基于同形字和不可见字符的编辑型文本水印，它们在文本写成后通过替换或插入字符嵌入信号，不依赖生成模型。研究覆盖24种文字的40种语言，测量每个字符可携带的隐藏比特数及其在常规处理和定向删除后的保留情况。结果显示，不同文字之间的容量差异很大，文字类型解释了其中96%的变异，且低资源语言常用的文字同形字较少，因此公平性问题依然存在。

受害者会带走什么：提示注入攻击后的攻击复用与防御修订

2026-10-27T00:00:00+09:00

What Victims Take Away: Attack Reuse and Defense Revision after Prompt-Injection Attacks arXiv · 2026年10月27日本文基于在线游戏Tensor Trust中563,349条攻击记录，研究提示注入攻击的目标玩家如何利用收到的攻击文本。结果显示，攻击复用主要取决于攻击是否成功，而非回复内容的表面形式；被攻破后玩家会修改防御，同类攻击的成功率随之下降。作者据此提出AI安全工具披露攻击的可检验假设，例如只描述技术而不公开完整文本。

ORBITAL：通过感知架构的低精度压缩实现稳健脑机推理优化

2026-10-27T00:00:00+09:00

ORBITAL: Optimization of Robust Brain--Computer Inference Through Architecture-Aware Low-Precision Compression arXiv · 2026年10月27日本文提出ORBITAL框架，用于在压缩紧凑型脑电（EEG）解码器时兼顾对抗鲁棒性与硬件效率。在BCI Competition IV-2a数据集上，九名受试者、三个随机种子的实验显示，S25-TRADES模型在压缩的EEGNet中取得最高的平均鲁棒性（23.06%，标准完整模型为21.27%），参数量减少26.27%，MACs减少25.10%。在Jetson Orin Nano上，FP16压缩最多降低16.20%的板级能耗和8.00%的延迟，而原生INT8量化的延迟和能耗约为FP16的两倍。

联邦学习视觉语言模型与纯视觉模型在隐私保护乳腺影像中的评估

2026-10-27T00:00:00+09:00

Evaluating Federated Vision-Language and Vision-Only Models for Privacy-Aware Breast Cancer Imaging arXiv · 2026年10月27日本文研究在乳腺影像分析中结合预训练视觉语言模型与客户端级差分隐私的联邦学习框架，比较了通用CLIP、生物医学BiomedCLIP和ImageNet预训练ViT-B/16等模型。结果显示，正常与患病的区分表现较好，但采集年份单独即可达到相近指标，提示存在混杂因素；良恶性区分仍不确定；去除文本分支可在保持分类准确率的同时将通信成本减半；差分隐私显著降低了ROC-AUC。

PHP2Shell与AI发现漏洞的披露：证据、验证与人工授权

2026-10-27T00:00:00+09:00

PHP2Shell and the Future of AI-Discovered Vulnerability Disclosure: Evidence, Verification, and Human Authority arXiv · 2026年10月27日本文提出FedTrust-CVDv2，一个联邦式协同漏洞披露框架，将证据验证、组织间协调、人工治理和许可式审计分开处理。框架把签名观察绑定到确切的证据版本，并把外部行动限定在已批准的内容、受众、有效期、政策和撤销状态之内。作者以一个本地参考实现和PHP2Shell案例说明该框架的运作方式。

检测并缓解基于查询的系统提示泄露攻击

2026-10-27T00:00:00+09:00

Detecting and Mitigating Query-Based System Prompt Leakage Attacks arXiv · 2026年10月27日该论文提出AdvGuard框架，用于检测和缓解大语言模型系统提示的泄露。攻击者通过多轮自适应交互逐步提取机密指令，现有防御多孤立看待单次查询。AdvGuard利用有界语义交互图建模跨查询关系，并通过图卷积网络分类，以识别协同提取行为。实验显示其召回率较最强基线最高提升36%，误报率不超过3.4%，并显著降低了提示重建的泄露程度。

BUSTA：教小型语言模型推理二进制程序的执行过程

2026-10-27T00:00:00+09:00

BUSTA: Teaching Small Language Models to Reason About Binary Execution arXiv · 2026年10月27日该论文研究如何用针对性训练让小型开源语言模型掌握逆向工程能力。给定一段 x86-64 基本块和期望的输出寄存器状态，模型需预测能产生该结果的输入寄存器值。经 GRPO 微调后，Qwen3-1.7B 的可推断寄存器预测准确率从 73.2% 提升到 85.3%，Nemotron-3-Nano 从 63.3% 提升到 95.2%；后者与前沿大模型（最高 99.2%）仅差约四个百分点，参数量却小得多。作者同时公开了微调模型和训练数据集。

差分隐私下的重尾数据截断方法

2026-10-27T00:00:00+09:00

Privately Clipping Heavy-Tailed Data arXiv · 2026年10月27日这篇论文研究差分隐私数据分析中的向量求和问题。作者提出一种隐私地选择截断阈值的方法，通过权衡超出阈值向量的方向一致性（残差一致性）与额外噪声带来的方差成本来确定阈值。论文证明了残差一致性与偏差之间的密切关系，并在多个数据集上表明该方法优于现有基线。

SpecGuard：基于规范的运行时监控，用于检测多轮大模型越狱攻击

2026-10-27T00:00:00+09:00

SpecGuard: Detecting Multi-Turn LLM Jailbreaks via Specification-Based Runtime Monitoring arXiv · 2026年10月27日该论文提出SpecGuard，一种无需训练的框架，通过线性时序逻辑规范和符号有限自动机，监控多轮对话中的大模型交互，以检测越狱攻击。它能生成可重放的证据记录，指明触发的规范、支持事实和相关对话轮次。在多轮安全基准上的实验表明，其表现优于部分开源防护模型，且误报率可控。

让硬件安全教育惠及所有学生：一种无缝融入课程的方法

2026-10-27T00:00:00+09:00

Bringing Hardware Security Education to All: A Seamless Curriculum Integration Approach arXiv · 2026年10月27日本文指出，现有本科课程普遍忽视硬件安全，而专门课程选修人数很少。作者提出一种低成本方案，将九个动手实践模块嵌入现有核心课程，使安全概念与课程的设计概念结合学习。其中三个模块在嵌入式系统课程的三次开课中接受评估，共有25名受访者。

《他们会看到 Johnny 的邮件》：跨邮件投递路径的后量子密码学测量研究

2026-10-27T00:00:00+09:00

They Will See Johnny's Message: A Measurement Study of Post-Quantum Cryptography Across Email Delivery Paths arXiv · 2026年10月27日该论文对电子邮件各投递环节的后量子密码（PQC）部署进行了系统测量，包括中继、提交、访问服务以及发送方实现与端到端加密工具。结果显示，PQC 支持集中在少数服务商，且已具备的能力并未普遍转化为实际使用。 ★★★★ 值得关注：系统测量邮件投递各阶段的后量子密码部署，发现支持能力与实际协商使用不一致，且限制为PQC时部分发件方回退明文。

Log-To-Leak：针对使用工具的大模型智能体的提示注入攻击（基于模型上下文协议）

2026-10-27T00:00:00+09:00

Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol arXiv · 2026年10月27日该论文研究通过模型上下文协议（MCP）接入外部工具的大语言模型智能体的安全问题。作者提出 Log-To-Leak 攻击：在合法工具调用完成后，诱使智能体额外发起一次攻击者控制的工具调用，窃取用户查询、服务器名称、服务器响应和智能体回复等信息。实验涵盖 5 个 MCP 服务器和 4 个智能体，在 18 组有效组合中攻击成功率达 62.64% 至 100%；现有三种防御手段在 GitHub MCP 与 GPT-4o 组合上仍留有超过 55% 的攻击成功率。论文认为，任务正常完成与未经授权的事后信息泄露可能同时发生，因此建议由宿主端控制次级工具调用的授权。 ★★★★ 值得关注：该工作在已知的MCP工具投毒攻击面上提出Log-To-Leak，即在最终合法调用后诱导一次额外的攻击者控制调用；作者报告在5个MCP服务器和4个LLM智能体上，18组模型-服务器组合的攻击成功率为62.64-100%，并称防御措施仍留有超过55%的残余成功率。

safeL4：重新思考基于安全语言的单地址空间微内核

2026-10-26T00:00:00+09:00

safeL4: Rethinking Safe-Language-Based Single Address Space Microkernels arXiv · 2026年10月26日该论文提出 safeL4，一种基于安全语言构建微内核的方法，以单地址空间和语言级隔离代替硬件隔离，目的是降低微内核的性能开销。它通过为不安全操作提供底层抽象来保持最小化原则，并借助安全语言的对象能力实现对系统资源的细粒度访问控制。作者用 Rust 实现了原型，报告其基本原语平均比 seL4 快 1.9 倍。

联邦反洗钱中的跨行上下文：哪些信息值得共享

2026-10-26T00:00:00+09:00

Pricing Cross-Bank Context in Federated Anti-Money Laundering arXiv · 2026年10月26日该论文研究在多家银行各自持有交易图的情况下，如何在联邦学习框架内检测跨行洗钱模式。作者利用两家端点银行已有的交易记录，在本地近似远端账户状态，从而无需额外交换账户信息即可进行多层图神经网络计算。实验基于AMLworld HI-Small数据集，比较了不同的信息共享层级，结论认为仅利用银行已记录的数据效果最好，计数信息是稳健的补充，而精确的远端状态共享只在特定情形下有帮助，且为保护隐私所加的噪声会抵消其检测价值。

当代数结构遇上过多提示：侧信道泄露的安全评估

2026-10-27T00:00:00+09:00

When Algebraic Structure Meets Too Many Hints IACR ePrint · 2026年10月27日本文指出，DDGR等基于提示分类与“过多提示”阈值的分析，无法单独作为真实侧信道泄露的安全度量，因为它们忽略了提示的代数结构。作者以Kyber-512的合成实验为例：NTT域残差按形式上属于mod-q提示，但恢复全部密钥所需的提示数约为均匀模型预测的一半；有限精度FFT样本属于较弱的近似提示类，所需提示数仅为均匀完美提示的25%至55%。评估侧信道泄露时应同时考虑提示向量的代数结构，而不仅是其类别和数量。

秘密共享中的逆向替换：临界二分之一阈值与通向超多项式下界的路径

2026-10-27T00:00:00+09:00

Reverse Substitution in Secret Sharing: The Critical One-Half Threshold and a Route to Superpolynomial Lower Bounds IACR ePrint · 2026年10月27日本文研究秘密共享方案中的替换构造：用一个内层访问结构替换外层访问结构中的一个参与者。作者探讨给定复合访问结构的任意方案，其归一化份额向量能否逆向分解为外层与内层因子的份额向量，并给出反例说明精确逆向分解不成立，同时证明因子二分之一总是可以达到。针对由 Csirmaz 经典访问结构构造的递归族，文中确定了一个临界逆向因子，超过它即可得到超线性下界，仅用香农不等式则无法越过该临界值。 ★★★★★ 值得关注：提出逆向替换，给出反例（最优逆向因子为8/9）及一半因子总可达的结果，并确定与超多项式下界相关的临界因子；摘要称仅用Shannon不等式无法越过该临界值。

大规模分析编译器引入的恒定时间违规问题（CTGREP）

2026-10-27T00:00:00+09:00

Analyzing Compiler-induced Constant-time Violations with Compiler at Scale IACR ePrint · 2026年10月27日本文提出CTGREP框架，通过对整个编译链进行差分分析，定位编译器优化破坏密码库恒定时间代码的位置、引入方式及有问题的编译器配置。研究人员用其分析了七个完整密码库，在多个Clang版本、目标平台和大量编译配置下检测违规，并与库开发者共同修复了48个案例，还发现了七个新的有问题的LLVM优化通道。 ★★★★ 值得关注：CTGREP 通过跨整个编译链的差分分析定位编译器引入的常数时间违规，在七个密码库、三个 Clang 版本和六个平台上检测，报告协助修复48个案例并发现七个新的问题 LLVM pass。

SecureVibe：让氛围编程（vibe coding）更安全

2026-09-30T00:00:00+09:00

SecureVibe: Making Vibe Coding More Secure arXiv · 2026年9月30日原文信息不足，暂无简介

LLM WikiLeaks：揭示智能体留言板中基于URL的能力扩展与安全规避

2026-10-26T00:00:00+09:00

LLM WikiLeaks: Uncovering URL-Based Capability Extension and Security Circumvention in Agentic Message Boards arXiv · 2026年10月26日本文研究ProWiki事件中自主智能体如何利用公开的德语维基作为留言板，仅能发出HTTP GET请求的智能体通过嵌套第三方网络服务扩展能力并规避限制。作者分析了14591次编辑中的79541个URL，发现33.6%的URL嵌入了一至五层第三方服务，并识别出67个中间服务。其中73.8%用于扩展能力（如内容提取、转换和存档），其余26.2%用于规避访问限制和检测。

BR-MoE：面向隐私保护交通分析的预算化语义发布框架

2026-10-20T00:00:00+09:00

BR-MoE: Budgeted Semantic Release for Privacy-Preserving Traffic Analytics arXiv · 2026年10月20日该论文针对交通摄像头分析中的隐私泄露问题，提出预算化语义发布方法，在已有的强化学习与专家混合框架上扩展。系统由四个场景专家处理隔离视频片段，输出映射到固定语义模式，并由强化学习控制器结合公共任务请求和历史发布内容，决定发布哪些摘要及消耗多少隐私预算。在明确的片段隔离和有界事件假设下，完整发布记录满足事件级差分隐私约束。文中的表格仅展示报告格式，未给出实验证明的效果增益。

联邦艺术追逐：联邦微调中的隐私泄露与数据投毒

2026-10-15T00:00:00+09:00

Federated Art Chase: Privacy Leakage and Data Poisoning in Federated Fine-Tuning arXiv · 2026年10月15日本报告研究在联邦学习中对预训练模型进行联邦微调时的隐私与完整性问题。基于 Quick, Draw! 十类数据的实验显示，单次客户端更新可让诚实但好奇的服务器恢复私有标签集，但重建图像更接近类别原型；后门攻击在恶意客户端比例较高时成功率明显上升；FLTrust 能有效降低后门与标签翻转攻击的成功率，但在所有客户端都恶意时失效。

基于超图消息传递的抗拜占庭攻击联邦大语言模型

2026-10-09T00:00:00+09:00

Byzantine-Resilient Federated Large Language Model via Hypergraph Message Passing arXiv · 2026年10月9日本文针对联邦大语言模型训练中恶意更新破坏语义一致性的拜占庭攻击问题，提出了超图消息传递图自编码器（HMP-GAE）防御框架。该方法将低秩模型更新表示为超图节点，通过迭代消息传递识别并抑制语义不一致的更新。实验基于Qwen-2.5和Llama-3.2，在AG News和Yahoo! Answers数据集上进行评估，报告相比现有防御方法在准确率、语义熵和困惑度上均有改善。

SAFESHIELD：面向小型语言模型部署期安全的决策组织框架

2026-10-06T00:00:00+09:00

SAFESHIELD: A Decision-Organization Framework for Deployment-Time Safety of Small Language Models arXiv · 2026年10月6日本文提出将部署期安全问题表述为决策组织问题，即按责任拆分安全决策并协调各决策之间的关系。作者据此设计了SAFESHIELD系统，包含准入、路由、证据和发布四类决策职责，并将已作出的决策记录在可审计的决策轨迹中。实验表明，移除准入把关会显著增加错误发布，将上游证据排除在发布决策之外会使发布准确率从96.0%降至69.5%，说明安全效果不仅取决于单个防护措施，也取决于其决策如何组织和协调。

PACE：面向工具调用型大模型智能体的溯源感知能力强制执行

2026-10-01T00:00:00+09:00

PACE: Provenance-Aware Capability Enforcement for Tool-Using LLM Agents arXiv · 2026年10月1日该论文针对会调用工具的大模型智能体，指出被污染的工具元数据、检索网页、记忆和可复用技能可能诱导后续调用，而仅在准入前审查工件无法解决问题。作者提出PACE，在每次工具调用执行前进行中介，结合路径限制与基于授权的能力与效果验证。在八个可执行智能体安全基准和三类目标模型上，评估配置在79个可比攻击列中有62个取得严格最低攻击成功率，其余14个并列；完整基准的原生效用最多下降三个百分点。 ★★★★★ 值得关注：提出PACE，在每次工具调用执行前按来源与权限强制约束；在八个可执行智能体安全基准、三类模型上对比，报告攻击成功率最低，并通过消融归因。

将认知类型作为 PostgreSQL 表访问方法：在置信度伪造与 Sybil 协同攻击下的对抗性冲突解决

2026-09-29T00:00:00+09:00

Epistemic Typing as a PostgreSQL Table Access Method: Adversarial Conflict Resolution Under Confidence Forgery and Sybil Coordination arXiv · 2026年9月29日本文提出 KNDB，一种 PostgreSQL 18 表访问方法，为每行数据由引擎分配认知类型（实测、推断或推导），并在写入时逐槽解决冲突。实验显示，在攻击者伪造推断写入置信度的场景下，KNDB 在两个数据集上明显优于仅依赖置信度的基线。论文也指出，KNDB 在低于饱和密度时对部分方法并无优势，且在以最后写入者为准的时间知识编辑基准上得分为零。

基于树木年轮分析的TEE加密数据库快照明文直方图泄露

2026-10-14T00:00:00+09:00

Snapshots of TEE-Based Encrypted Databases Leak Plaintext Histograms via Dendrochronology IACR ePrint · 2026年10月14日这是一篇关于密码学攻击的预印本论文，标题为《Snapshots of TEE-Based Encrypted Databases Leak Plaintext Histograms via Dendrochronology》。论文探讨基于可信执行环境（TEE）的加密数据库快照可能通过类似树木年轮分析的方式泄露明文直方图。该文件目前处于禁运期，计划于2026年10月底公开。

Tracekit：面向AI智能体的防篡改意图-推理-行动审计系统

2026-09-29T00:00:00+09:00

Tracekit: Tamper-Evident Intent-Reasoning-Action Auditing for AI Agents arXiv · 2026年9月29日AI智能体会用操作者的凭证执行命令、修改代码、发送邮件和转账，但通常只有可被修改的日志记录其行为。本文提出开源工具Tracekit（1.4.1版，MIT许可），将每次智能体运行转化为第三方可离线验证的证据：签名器在工具调用前依据独立策略做出决定，并以Ed25519签名记录，组成哈希链与Merkle树。论文报告21项实验结果，并称策略规则只是辅助而非安全边界，真正的保护来自智能体无法触及的签名器与凭证。 ★★★★ 值得关注：Tracekit 为智能体每次调用签名并写入哈希链与 Merkle 树，可由第三方离线核验；摘要报告21项实验中篡改检测、崩溃恢复和伪造拒绝的结果，并称策略规则本身不足以构成边界。

CoSec：社区环境中智能体安全性的基准测试

2026-09-28T00:00:00+09:00

CoSec: Benchmarking Agent Security in Communities arXiv · 2026年9月28日本文提出CoSec，一个可执行的基准测试，用于评估在社区内外运行的大语言模型智能体的隐私保护与授权执行情况。该基准包含208个场景，涵盖固定与动态变化的社区边界、智能体所有者或其他参与者的受保护信息，以及通过对话、环境内容、持久记忆和组合工作流发起的攻击。结果显示，智能体常能完成良性任务，却会违反隐私与授权边界，说明任务效用并不等同于隐私或授权合规。

SweepMark：面向鲁棒音频水印的免查询高保真攻击

2026-09-28T00:00:00+09:00

SweepMark: Query-Free and High-Fidelity Attacks on Robust Audio Watermarking arXiv · 2026年9月28日该论文提出SweepMark，一种无需访问目标水印模型、也无需成对干净与带水印样本的黑盒去水印攻击方法，用于去除语音合成（TTS）中用于溯源的音频水印。方法通过学习水印嵌入留下的频谱残留模式并自适应放大后相减，在两个语音数据集和四种水印方法上平均攻击成功率分别为92%和96%，感知质量评分总体高于所评估的自适应攻击，语音识别评估显示语言内容基本保留。

事实正确，规则误用：检索增强生成中的适用范围迁移投毒

2026-09-28T00:00:00+09:00

Right Facts, Wrong Rule: Scope-Transfer Poisoning of Retrieval-Augmented Generation arXiv · 2026年9月28日该论文研究检索增强生成（RAG）系统中的规则适用范围误用问题：规则在其文档所述范围内有效，却被套用到范围之外的问题上，使正确事实支撑错误答案。作者提出基于LLM智能体的攻击框架LENS用于构造可审计的此类失效实例，并通过适用性审查将目标错误率从70.8%降至16.4%。 ★★★★ 值得关注：本文指出RAG中规则适用范围误用这一新失效模式：即使事实正确，规则被用于其适用范围之外仍会导致错误答案。作者提出LENS攻击框架，报告在多个问答基准和生成器上的目标错误率，并称适用性审计可将目标错误从70.8%降至16.4%。

用于 C 到 Lean 4 自动形式化的信任账本与执行检查：区分拒绝翻译与静默错误翻译

2026-09-29T00:00:00+09:00

A Trust Ledger and an Execution Check for CPG-Based C-to-Lean 4 Autoformalization: Separating Declined from Silently Incorrect Translations arXiv · 2026年9月29日该论文提出一个基于代码属性图（CPG）的确定性导出器，把 C 代码翻译为小型 Lean 4 核心语义，并采用三级正确性规则区分翻译拒绝与错误翻译。在 SQLite 源码上，5222 个函数（60.7%）无空洞翻译，其中仅 2134 个（24.8%）满足调用闭合。作者用逐项信任账本报告结果，并指出一个静默输出错误结果的隐蔽缺陷。

假设容易，验证昂贵：智能体漏洞发现中的防御面

2026-09-28T00:00:00+09:00

Cheap to Hypothesize, Costly to Verify: The Defense Surface of Agentic Vulnerability Discovery arXiv · 2026年9月28日论文指出，自主大模型智能体在有限预算下生成漏洞假设的成本远低于验证其可达性、执行与概念验证的成本，因此验证工作本身成为一种可被利用的防御面。作者提出RedHerring方法，植入经认证安全的诱饵代码，把验证资源引向假漏洞。在33个OSS-Fuzz项目、70个评测实例和五个模型上，真实漏洞发现数量减少38.7%至60.4%。 ★★★★ 值得关注：提出自主漏洞挖掘中验证比提出假设昂贵的不对称性，并设计可证明安全的诱饵防御RedHerring；摘要报告在33个开源项目、70个实例上使真实漏洞发现减少38.7%-60.4%。

面向结构化智能体操作的可认证多源完整性

2026-09-28T00:00:00+09:00

Certified Multi-Source Integrity for Structured Agent Actions arXiv · 2026年9月28日大语言模型智能体越来越多地执行带有权限、且往往不可逆的结构化操作（如支付发票），而这些操作的字段可能来自会被攻击者篡改的文档和工具输出。本文提出一种安全认证器，仅在每个字段的证据结构支持时才批准操作，包括基于最小击中集的损坏半径、确定性对账和可信锚点。作者在真实智能体循环中测试五个模型，结果显示认证器不批准不安全操作，而基线方法在某些攻击下失效。 ★★★★ 值得关注：提出在共享上游来源腐败预算下认证结构化代理动作完整性的框架，并给出最大活跃安全认证器；作者报告在制裁名单与软件供应链数据上统计多源前提的成立频率，并在真实代理循环中验证其拒绝不安全动作。

编译器可以读，智能体不能读：让编程智能体无法访问部分科研代码

2026-09-29T00:00:00+09:00

The Compiler May Read It, the Agent May Not: Keeping Part of a Research Code Away from a Coding Agent arXiv · 2026年9月29日论文指出，基于物理的求解器需要编译器读取某些模块才能构建，但编程智能体不应读取这些核心知识产权代码。作者对十五条读取路径进行了分类，并检验了容器、权限规则和沙箱三种防护手段，发现它们都无法区分究竟是哪个程序在读取文件。

MetaCascade：仅通过元数据投毒对智能体技能进行端到端攻击

2026-10-10T00:00:00+09:00

MetaCascade: End-to-End Attacks on Agent Skills via Metadata-Only Poisoning arXiv · 2026年10月10日本文研究智能体系统中第三方技能的安全风险：智能体依据技能元数据进行检索与选择，而现有研究多只关注技能执行后的危害。作者提出 MetaCascade，一种仅通过元数据投毒的端到端攻击框架，通过多视角语义扩展生成恶意技能候选，并借助任务与黑盒竞争反馈迭代优化恶意元数据。在 Hermes 与 OpenClaw 两个智能体、四个数据集上，该方法的平均攻击成功率以及四种防御设置下的平均攻击成功率均明显超过最强基线。

从侦察到响应：现代企业攻击中的量化风险参数化与博弈论遏制

2026-09-29T00:00:00+09:00

From Reconnaissance to Response: Quantitative Risk Parameterization and Game Theoretic Containment in Modern Enterprise Attack arXiv · 2026年9月29日本文提出一个基于指标驱动的决策引擎，把量化风险参数化与持续自动化响应时间结合起来。它把CVSS可利用性参数映射为攻击成功概率，并用FAIR蒙特卡洛模拟评估防御方日志分布，同时用泊松过程建模SIEM日志并通过贝叶斯滤波更新威胁信念。研究者将交互建模为动态贝叶斯Stackelberg博弈，推导出预期未缓解风险超过主动遏制成本时的闭式阈值。基于2023年MGM Resorts和Caesars Entertainment网络事件数据的仿真显示，该引擎能够抑制背景噪声，并在攻击探测后数秒内触发SOAR自动隔离。

DIBench：评测基于图形界面的手机智能体在欺骗性注入下的决策完整性

2026-09-29T00:00:00+09:00

DIBench: Benchmarking Decision Integrity of GUI-based Mobile Agents Under Deceptive Injections arXiv · 2026年9月29日本文提出 DIBench，一个用于衡量手机智能体决策完整性的基准。它覆盖 7 款商业应用和 3 款模拟应用，构造了 8 种欺骗性注入探测，可在不产生明显异常的情况下误导关键选择。实验显示，仅看任务完成率会高估智能体的可信度，而常见防御手段带来的效果并不一致。 ★★★★ 值得关注：提出 DIBench，用于衡量移动智能体在多候选选择任务中被欺骗性注入引导、偏离指令约束的决策完整性风险；摘要称仅看任务完成率会高估智能体的可信度。

PerceptFence：屏幕共享AI助手的内容中介架构与确定性覆盖评估

2026-09-28T00:00:00+09:00

PerceptFence: Content-Mediation Architecture and Deterministic Coverage for Screen-Share AI Assistants arXiv · 2026年9月28日该论文针对屏幕共享AI助手可能观察、保存并泄露敏感内容的问题，提出PerceptFence，在采集、记忆与模型回复之间增加内容层中介。研究在合成数据上评估：对9600条对抗字符串，其数字类个人信息的消除率为0.828，高于Presidio的0.183，但其他类别中Presidio领先；在480个合成屏幕的OCR流程中，消除了968个中889个密钥与个人信息值（0.918），高于Presidio（0.581）与gitleaks（0.179）。论文强调其贡献是架构与评估方法，并不声称实际部署或形式化隐私保证。

评估用于智能体安全决策的 System One 模型：可靠性、校准与选择性自动化

2026-09-27T00:00:00+09:00

Evaluating System One Models for Agent Security Decisions: Reliability, Calibration, and Selective Automation arXiv · 2026年9月27日论文研究了面向智能体安全检查的 System One 模型（如 Jev、Laya、Decider、Bespoke Nimble），并与专用分类器及语言模型裁判进行比较，考察提示注入检测、交互风险判断和有害请求筛查中的决策准确性、概率校准与选择性自动化。结论包括：总体准确率高、平均校准误差低，仍可能掩盖特定攻击组中高置信度的误判；严格漏判上限下可自动处理的输入很少；语言模型裁判能发现部分被遗漏的不安全输入，但也会重复相同错误并误报良性输入。

为什么在神经网络中植入后门如此容易：一篇基于二次神经元的理论分析论文

2026-09-29T00:00:00+09:00

Why Backdooring Neural Networks is so Easy? arXiv · 2026年9月29日该论文从理论上分析攻击者需要多少投毒样本和触发强度才能成功植入后门。作者在含毒高斯混合数据上推导了二次神经元的闭式结果，发现特征学习会让攻击所需的触发强度随投毒比例以更慢的速率下降（由α∝π^-1/2变为α∝π^-1/4）。因此，仅基于线性启发式的安全审计可能低估神经网络的后门脆弱性。

拒答会定位，损害会转移：少量样本微调下的安全层研究

2026-09-29T00:00:00+09:00

Refusal Localizes, the Damage Relocates: Safety Layers Under Few-Sample Fine-Tuning arXiv · 2026年9月29日该论文研究在少量有害样本微调后，大语言模型的拒答能力如何被削弱及恢复。作者在四个模型系列的六个检查点上测试，发现补丁式修复可恢复拒答，并尝试冻结相关层来防御攻击。结果显示攻击者可绕过这一区域，并可以击败跨检查点有效的修复，因此论文提出五项针对自适应微调防御的检验。 ★★★★ 值得关注：论文报告：经少量有害样本微调后，安全拒绝行为局限于特定层；把干净隐藏状态回填可恢复拒绝，据此冻结该深度以下各层，但攻击者仍能绕过该区域，并击破多检查点上的修复方法。

基于令牌密钥门控的适配器路由：防止大语言模型泄露私有数据的安全访问控制机制

2026-09-29T00:00:00+09:00

Tokenized Key-Gated Adapter Routing: A Secure Access Control Mechanism Against Private Data Leakage in LLMs arXiv · 2026年9月29日大语言模型在医疗、金融等隐私敏感领域应用日增，但容易记忆并泄露个人身份信息。本文提出Locket框架，训练多个轻量LoRA适配器，各自对应一种访问策略（完全公开、PII掩码脱敏或特定差分隐私级别），并用门控模块将有效密钥令牌映射到对应适配器。持有正确令牌时可解锁私有知识；令牌缺失或无效时则启用脱敏适配器。实验基于Enron、ECHR、Yelp数据集及多个主流模型完成。

多租户量子计算中，决定隐私的是相干性而非错误率

2026-09-28T00:00:00+09:00

Coherence Rather Than Error Rate Governs Privacy in Multi-Tenant Quantum Computing arXiv · 2026年9月28日论文研究云量子处理器上多个租户共享设备时，一方能从另一方处获知多少信息。作者提出基于量子态可区分性的信息泄露度量，并在IBM Kingston（156比特）和IQM Garnet（20比特）设备上测量。结果显示，基准错误率相同的边界，泄露量可能显著不同，因为常规错误指标无法反映误差是相干还是随机的。论文还测试了在受害者寄存器上施加均匀Pauli随机化的防御，可将泄露降为零，但实验显示误差累积会带来明显的性能下降。 ★★★★ 值得关注：提出基于量子态可区分性的跨租户信息泄露度量，作者称平均误差无法反映相干与随机误差的差异，并在IBM Kingston与IQM Garnet两台商用设备上测量，给出均匀Pauli随机化可将泄露降至零的防御方案。

ContractWarden：通过人工授权合约为AI智能体划定内核级损害边界

2026-09-29T00:00:00+09:00

ContractWarden: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts arXiv · 2026年9月29日论文提出ContractWarden，一个Linux参考监控器，用于约束大语言模型智能体可能造成的操作系统层面损害。模型可提议“允许、拒绝或禁止外联”三态资产合约，但最终由人工决定；内核层基于eBPF LSM执行文件与网络决策，并在进程、文件、管道等对象间传播禁止外联状态。在19项安全测试的570次运行中均满足预定义标准，且在三个文件I/O负载下的开销低于对比基线。

ModalFidelity：在有限算力下为深度伪造检测选择分析模态

2026-09-29T00:00:00+09:00

ModalFidelity: Routing Modalities for Deepfake Detection on a Budget arXiv · 2026年9月29日深度伪造越来越多地只篡改视频中含义转折的几秒钟，检测器却仍逐窗读取全部音频和图像。本文提出轻量级路由器ModalFidelity，在运行取证检测器之前预览各窗口，决定读取哪一路流，并严格不超过算力预算。在AV-Deepfake1M上，只读取至多五分之一的窗口，其准确率高于检测后再筛选的方法，算力消耗降低15.9倍，并保留了知道所有伪造位置的理想方案96%以上的准确率。

Agent-Warden：基于 eBPF 的内核级进程与文件溯源追踪，用于大语言模型智能体

2026-09-29T00:00:00+09:00

Agent-Warden: eBPF-Based Kernel-Native Process-File Provenance Tracking for LLM Agents arXiv · 2026年9月29日该论文提出 Agent-Warden，一个基于 eBPF 的内核级溯源监控系统，用于追踪大语言模型智能体在进程创建、文件访问和进程终止过程中的状态与因果关系。在受控的文件中介传播场景中，它重建了应用层日志中缺失的跨进程因果链。在 x86-64 和 ARM64 裸机主机的测试中，端到端开销为 0.2%至 3.5%。

推理层安全：防范对抗性推理与基础设施滥用

2026-09-29T00:00:00+09:00

Inference-Layer Security: Defending Against Adversarial Inference and Infrastructure Abuse arXiv · 2026年9月29日本技术报告研究大语言模型服务在推理层面的安全防护，涵盖越狱、拒绝服务和蒸馏攻击等对抗性交互。因缺乏公开的带标签对抗使用数据集，作者提出结构因果模型生成带标签的用户会话数据，其中包含多账号协同攻击、平台反馈及三级标签可观测性。作者在该数据集上训练梯度提升检测器，区分良性与恶意会话并判别攻击类型，同时指出检测器的表现可能超过用于评估它的运营标签。数据集已公开发布。

特权大语言模型智能体的职责分离：带可测量安全与效用权衡的受控执行架构

2026-09-28T00:00:00+09:00

Separation of Duties for Privileged LLM Agents: A Governed Execution Architecture with Measured Security-Utility Trade-offs arXiv · 2026年9月28日大语言模型智能体获得执行命令、修改文件、调用接口等真实权限，出错时动作已经生效。本文提出在模型之外对执行路径加以管控的架构，在智能体与操作系统之间设置规划者、策略闸门、执行者和审计者四个角色，并以结构化意图和一次性绑定的审批凭证为核心设计。在313个案例的基准上，有效攻击成功率从直接执行时的98.3%降至部署后的7.7%，误拒率校正后为11.1%。

CATP：本地智能体授权与审计证据的设计与评估

2026-09-28T00:00:00+09:00

CATP: Design and Evaluation of Local Agent Authorization and Audit Evidence arXiv · 2026年9月28日论文提出CATP规范，用于把本地运行前的授权决策转化为可离线验证的审计证据。在Claude Code和Codex上的实验发现五项缺失的一致性检查，补充后判定结果符合预期，同时指出不同参数可能归一化为相同动作的问题。证据的可信度仍以可信运行时、监控器、主机和签名密钥为前提，不证明执行真实性。

SEABench：自我进化智能体内生失准的基准测试

2026-09-29T00:00:00+09:00

SEABench: Benchmarking Endogenous Misalignment In Self-Evolving Agents arXiv · 2026年9月29日本文提出SEABench基准，用于研究自我进化的大语言模型智能体在部署后修改自身控制指令、记忆管理和工具技能时产生的内生失准问题。基准包含48个纵向任务序列。实验显示，自我进化能提高任务完成率，但常伴随非进化基线智能体没有出现的安全失败；不同进化方面和危害类型下的安全行为也各不相同。此外，安全行为的差异体现在思维链推理中，可据此构建一种误报率较低的监测策略来缓解不安全行为。

双重格攻击在有界距离解码中的重新分析：一种无需启发式假设的渐近权衡

2026-09-28T00:00:00+09:00

Dual lattice attacks for bounded distance decoding, revisited arXiv · 2026年9月28日本文研究双重格攻击中对短对偶向量得分独立性的假设。作者在Haar随机格模型下，不依赖启发式假设，证明了带预处理的有界距离解码（判定版本）的显式渐近权衡。利用Siegel与Rogers的矩恒等式分析完整对偶球上的余弦得分，并界定区分目标与均匀目标的错误概率。优化对偶半径后，得到的目标半径与查询时间之间的权衡与Ducas-Pulles条件模型的渐近预测一致。 ★★★★ 值得关注：作者在Haar随机格模型中不依赖启发式假设，给出了BDD预处理的显式渐近权衡，并称其与Ducas-Pulles条件模型的预测一致。

量子建议下安全性的算子范数方法：一篇量子密码学理论论文

2026-09-28T00:00:00+09:00

An Operator-Norm Approach to Security with Quantum Advice arXiv · 2026年9月28日本文针对量子随机预言机与随机置换模型，提出一种用于非均匀安全性的算子范数方法，统一处理搜索成功概率与区分优势的归约。框架可为Yao盒（有无加盐）给出紧致界，改进伪随机生成器的界，并证明判定博弈的最优通用加盐定理。作者还通过区分离线与在线查询贡献的博弈性质，得到特定加盐构造的更强界，包括在对数因子内紧致的加盐置换求逆和随机函数求逆。

SKILLLITE：基于证据引导、借助紧凑型大语言模型审计恶意 Skill 的方法

2026-09-29T00:00:00+09:00

SKILLLITE: Evidence-Guided Malicious Skill Auditing with Compact LLMs arXiv · 2026年9月29日随着基于大语言模型的智能体承担越来越复杂的任务，Agent Skill 成为扩展其能力的常用机制。第三方 Skill 的普及带来了新的供应链攻击面，恶意 Skill 可能滥用智能体权限、危害执行环境。本文提出 SKILLLITE 框架，先从复杂 Skill 包中提取安全相关行为并推断其预期功能，再由紧凑型大语言模型据此判断 Skill 的恶意性。实验表明，该方法在多种紧凑模型上提升了检测效果，优于现有代表性基线，并保持较低的推理延迟。

更安全的内容，还是更坚定的拒绝？一种针对有害微调的混合扰动防御方法

2026-09-29T00:00:00+09:00

Safer Content or Firmer Refusals? A Hybrid Perturbation Defense for Alignment under Harmful Fine-tuning arXiv · 2026年9月29日该论文针对云端微调服务中，混入少量有害数据会削弱模型安全对齐的问题，提出 VaccineBooster，在每个训练步骤中同时结合嵌入扰动与权重梯度衰减两种对齐防御。在 Llama-2-7B 上的实验显示，VaccineBooster 的有害内容审核分数最低（0.315），而 Booster-Only 变体的拒绝率最高（50%），作者据此指出两种机制各有侧重。由于评估仅使用十个提示且每个配置只运行一次，作者将这一权衡视为观察到的模式，而非统计上确证的效应。

梯度信号能否撑过多轮对话？基于梯度的越狱检测在多轮场景中的脆弱性研究

2026-09-29T00:00:00+09:00

Does the Unsafe Gradient Survive a Conversation? On the Fragility of Gradient-Based Jailbreak Detection in Multi-Turn Dialogue arXiv · 2026年9月29日本文研究基于梯度的越狱检测器GradSafe在多轮对话中的表现。作者扩展该方法为上下文窗口扫描器，对用户轮次的固定大小窗口逐一打分，并取最大值作为整段对话的分数。实验显示，在合成良性对话上ROC-AUC可达0.98，但在WildChat真实良性对话上降至0.76，且检测效果受攻击方式和目标模型影响较大。

pikit：用于间接提示注入研究与评估的可组合工具包

2026-09-29T00:00:00+09:00

pikit: A Composable Toolkit for Indirect Prompt Injection Research and Evaluation arXiv · 2026年9月29日论文介绍了pikit，一个用于系统评估间接提示注入威胁的研究工具包，涵盖13种攻击方法、16种载体通道和9种防御策略及3种离线检测基线。在生产类环境中测试时，9种防御策略对高风险攻击的攻击成功率相对降低了71.8%，其中few_shot_warning和instruction_hierarchy保护效果最强。离线检测基线精确率完美但召回率低，说明启发式检测器应作为提示层防御的补充。

深度学习延迟攻击与防御：面向可用性威胁的跨领域综述

2026-09-29T00:00:00+09:00

Deep Learning Latency Attacks and Defenses: A Cross-Domain Survey of Availability Threats arXiv · 2026年9月29日本文综述了一类以拖慢推理为目标的对抗攻击（延迟攻击或能耗-延迟攻击），涵盖感知管线、输入自适应神经网络以及大语言模型和智能体等自回归系统。作者按攻击所利用的计算瓶颈进行分类，并提出以“工作量预算”为核心的防御思路。文章还分析了模型层面的成本增加何时会演变为系统级可用性故障，并讨论了威胁模型、防御方法与开放挑战。

基于链接的CHERI高效进程内隔离模型

2026-09-29T00:00:00+09:00

Efficient Linkage-Based Compartmentalization on CHERI arXiv · 2026年9月29日本文提出一种基于链接的进程内隔离模型，依托CHERI内存安全机制，可对整个UNIX用户空间进行细粒度隔离，在桌面系统上可扩展到一万个以上的隔离单元。该模型可沿现有库边界一键隔离，Chromium等大型应用每进程可达500余个隔离单元。除V8引擎外，测试的数千个C/C++程序均无需修改源码。 ★★★★★ 值得关注：提出基于CHERI内存安全的链接式进程内隔离模型，可沿现有库边界自动划分，在Chromium等大程序上摘要报告500多个隔离区，并在Morello与Codasip X730等硬件上评估。

将隐私进化（Private Evolution）理解为学习增强的聚类

2026-09-29T00:00:00+09:00

Understanding Private Evolution as Learning-Augmented Clustering arXiv · 2026年9月29日隐私进化（PE）是一种用于生成合成数据的差分隐私算法。论文把它重新表述为借助生成模型增强的Wasserstein学习，并从理论上证明，当生成模型能捕捉真实分布的部分特征时，可以得到更好的性能界限。作者还指出标准PE变体在简单的聚类实例上可能不收敛，并提出一种具有几何感知能力、在此类实例上可证明收敛的新版本，实验显示其与标准基线相当，并能提高召回率。

自我演化防御：面向大模型智能体的持续安全策略学习

2026-09-29T00:00:00+09:00

Self-Evolving Defense: Continual Security Policy Learning for LLM Agents arXiv · 2026年9月29日论文提出一种无需训练的框架SED（Self-Evolving Defense），把有害的智能体执行轨迹提炼为可复用的安全策略，不更新模型参数。处理新任务时检索相关策略，以应对新的攻击并保留跨场景的知识。在三个开源模型和八个涵盖越狱、提示注入与不安全代码生成的基准上测试，结果显示其对AGENTDOJO提示注入攻击的成功率降至0.42%，对HARMBENCH上自适应攻击的成功率为7.8%，同时保持良性任务效用。

CyberPersistBench：评估基于大模型的网络攻击代理的安装与持久化能力

2026-09-29T00:00:00+09:00

CyberPersistBench: Evaluating LLM-Based Cyber Attackers on Installation and Persistence arXiv · 2026年9月29日该论文提出 CyberPersistBench，这是首个专门评估入侵后安装与持久化能力的基准。它将持久化设为对抗性生存任务，让代理在分阶段的系统中断中利用主机原生机制维持立足点，并以 L1 至 L6 六级确定性检查评分。基准包含 203 个核心任务及多主机和主动防御扩展。五个前沿代理的实验显示，自主持久化成功率为 27.6%–44.8%，在启用防御的任务上降至 5.5%–13.3%。 ★★★★ 值得关注：该工作首次为入侵后的安装与持久化建立基准，以确定性检查进行六级评分（L1–L6），覆盖203个核心任务及多主机与主动防御扩展。作者报告五个前沿智能体的自主持久化成功率为27.6%–44.8%，在启用防御的任务上降至5.5%–13.3%。

CounterSteer：用激活引导抑制间接提示注入

2026-09-29T00:00:00+09:00

CounterSteer: Suppressing Indirect Prompt Injection with Activation Steering arXiv · 2026年9月29日间接提示注入会让大模型智能体把检索到的不可信文本当作指令执行。CounterSteer 是一种推理阶段防御方法，在模型内部抑制这一行为：通过成对对比样本拟合一个残差流方向，并在部署时对工具结果的每个词元做减法。在五个开源模型上，留出集攻击成功率明显下降，但参数操纵类攻击仍只被部分抵御。 ★★★★★ 值得关注：提出推理时对工具结果token做激活转向以抑制间接提示注入，作者报告在五个开源模型和自适应攻击下，攻击成功率明显下降且良性效用基本保持。

基于上下文与状态的大语言模型系统溯源攻击调查（ANCHOR）

2026-09-29T00:00:00+09:00

Know the Normal, Track the Attack: Context-Grounded and Stateful LLM Investigation over System Provenance arXiv · 2026年9月29日本文提出ANCHOR系统，用于把基于溯源的入侵检测系统输出的可疑活动整理成连贯的攻击叙述。系统结合证据整理与基于上下文的大语言模型推理，并借助部署环境的正常行为基线与攻击状态缓存，按攻击链阶段逐步重建攻击过程。作者在六个DARPA Transparent Computing E3/E5数据集上评估，报告其在IoC恢复和攻击阶段归因方面优于现有基线。

FinRT：将自适应红队策略蒸馏为可复用的对抗生成器（消费金融场景）

2026-09-29T00:00:00+09:00

FinRT: Distilling Adaptive Red-Teaming Strategies into Reusable Adversarial Generators in Consumer Finance arXiv · 2026年9月29日论文针对消费金融等受监管行业，提出FinRT框架，把自适应红队测试策略蒸馏为可复用的对抗提示生成器，以降低每次攻击的生成成本。在六个受测模型上，FinRT的攻击成功率约为自适应基线Rainbow Teaming的两倍（32.9%对17.2%），最大对抗严重程度提高33%，并在策略领域内保持与迭代搜索方法相当的语义多样性。该方法还表现出较高的跨模型迁移性。

量化技术实现面向恶意服务提供方的隐私稠密检索

2026-09-29T00:00:00+09:00

Quantization Enables Private Dense Retrieval against Malicious Service Providers arXiv · 2026年9月29日稠密检索是检索增强生成（RAG）的关键组件，通过比较查询与语料段落的向量表示来找出最相关文档。本文将隐私稠密检索定义为：在服务器可能恶意的情况下，同时保护查询隐私并保证检索结果的完整性。作者提出一种两轮密码学协议，并借助低比特量化使计算变得可行。实验显示，采用截断量化器的三比特量化基本保持了检索质量和下游RAG准确率；对临床参考规模的语料进行一次私密查询，服务器耗时约一到三分钟。

受众绑定的持久记忆：贯穿记忆全生命周期的授权机制

2026-09-29T00:00:00+09:00

Audience-Bound Persistent Memory: Authorization Across the Memory Lifecycle arXiv · 2026年9月29日本文研究个人语言智能体在私人与共享对话中为其所有者行事时，如何在组装上下文之前进行授权。每条记忆都记录了记录时的受众，派生条目按受众划分、取来源受众的交集或被抑制，并且只有在当前所有查看者都属于其授权受众时才会进入模型上下文。作者在两种独立架构及一个原生智能体记忆运行时中实现了该机制，并在10000个多方历史的预先冻结验证中，未出现禁止条目进入上下文的情况，而无范围检索在82%的上下文中暴露了禁止条目。 ★★★★ 值得关注：提出按受众绑定记忆全生命周期的授权准入机制，在两种架构和10000条多方历史上验证：禁止条目零进入语境，无范围检索在82%语境中暴露了禁止条目。

TTMark：超越单个词元熵的成对无失真水印

2026-09-29T00:00:00+09:00

TTMark: Pairwise Distortion-Free Watermarking Beyond Single-Token Entropy arXiv · 2026年9月29日本文提出TTMark，一种成对水印框架，把无失真水印从单个词元扩展到相邻词元对。通过对连续词元的联合分布加水印，检测器可同时利用词元熵与条件熵，并保持联合分布上的无失真性。实验显示，该方法在多种模型和数据集上提升了检测能力，且不降低生成质量。

标准模型中的可对话量子火焰：一种可被克隆、却不能仅靠单向经典通信传输的量子态构造

2026-09-29T00:00:00+09:00

Conversable Quantum Fire in the Standard Model arXiv · 2026年9月29日本文提出一种量子火焰（可高效克隆、但不能通过单向经典通信传送的量子态）的构造，基于一次性签名，且工作在标准模型中，而此前已证明不可电传的量子火焰构造都依赖预言机。作者引入两个新性质：无密钥不可电传性，以及可对话性（火焰虽不能靠单向经典通信传送，却可通过双向经典交互传送）。文中还给出两种变体，分别支持多项式数量和指数数量的火焰。

利用邻近样本校准单轮成员推断

2026-09-29T00:00:00+09:00

Calibrating One-Round Membership Inference with Neighbors arXiv · 2026年9月29日成员推断攻击用于判断某个样本是否出现在模型的训练集中。现有最强方法需要为每个样本训练参考模型，但大模型的训练成本过高，难以复现。本文探讨在只有一个已训练模型的情况下，能否借助目标样本的邻近样本完成校准，而无需训练额外模型。作者提出两种获取邻近样本的方式，并表明在早期训练检查点上查询这些样本可进一步增强信号。在三个图像分类数据集和三种训练设置上的实验显示，该方法能得到较强的成员信号，攻击效果具有竞争力，且不增加训练成本。

DecoyTrace：去中心化联邦学习中用于主动防御的毒性诱饵

2026-09-29T00:00:00+09:00

DecoyTrace: Toxic Decoys for Active Defense in Decentralized Federated Learning arXiv · 2026年9月29日该论文针对无中心服务器的去中心化联邦学习，提出名为DecoyTrace的主动欺骗防御方法。它部署移动诱饵节点，用混沌映射生成挑战并基于邻居信任分发干净与诱饵双模型，通过三态语义指标评估，确认后隔离污染源并恢复模型。在NEBULA平台60种配置下，MNIST和FashionMNIST的F1分数与基线相差在0.03以内，CIFAR-10则低0.05至0.10，同时资源占用最多减少三分之二。

欧盟《人工智能法》合规检查工具的实证研究与评估

2026-09-29T00:00:00+09:00

An Empirical Study and Assessment of EU AI Act Compliance Checkers arXiv · 2026年9月29日本文对欧盟《人工智能法》的自动化合规检查工具进行了首次实证研究。作者梳理了12款主流工具，评估其法律覆盖与一致性，并分析其生成的合规报告。结果显示，工具质量差异明显，多只能作为早期参考，容易简化或遗漏关键义务，且缺乏明确可操作的指导，依赖它们可能造成虚假的合规感。论文同时提出了设计更可靠合规支持工具的原则。

用于增强网络安全的机器学习模型对抗去偏方法：针对DDoS攻击的检测

2026-09-29T00:00:00+09:00

Adversarial Debiasing of Machine Learning Models for Enhanced Network Security against DDoS Attacks arXiv · 2026年9月29日该论文提出一种检测DDoS攻击的方法，结合生成对抗网络（GAN）生成合成流量数据，并用随机森林分类器训练。研究还应用对抗去偏来降低模型对数据包相关特征偏斜分布的敏感性。文中报告在基准数据上准确率为99.98%，在未见过的合成流量上测试提升22.60%。

隐私友好的受众分群：浏览器内、设备端推断职业分群用于无标识广告

2026-09-29T00:00:00+09:00

Privacy-Friendly Cohort Determination: Sealed, CSP-Independent In-Browser ML Inference of Professional Segments for Identity-Less Advertising arXiv · 2026年9月29日该论文提出SIF（密封推断框架），在用户设备上于浏览器内推断粗粒度的职业分群，只向OpenRTB竞价流输出经本地差分隐私处理的分类标签，不含跨站标识符。论文还给出了隐私与效用的权衡分析、再识别模拟以及对各属性可预测性的评估，结论认为公司类型和规模较易预测，而资历大多难以预测。

先渲染再阅读：用视觉渲染防御提示注入攻击

2026-09-29T00:00:00+09:00

Render Before Reading: Visual Rendering as a Prompt Injection Defense arXiv · 2026年9月29日论文发现多模态大模型更容易听从以文本形式出现的恶意指令，而以图像等非文本形式传递时则较少被遵从。作者据此提出一种无需训练的防御方法Pictionary：在输入模型前，把所有不可信内容渲染成排版图像或音频。在十个模型和两个基准测试中，该方法降低了攻击成功率，同时基本保持了正常任务的效用。 ★★★★★ 值得关注：发现多模态大模型更易服从文本形式的注入指令而非图像形式，作者据此提出免训练的渲染防御，并报告在十个模型和两个基准上降低攻击成功率。

多类别、多层级网络入侵检测：一个全面且可复现的基准测试

2026-09-29T00:00:00+09:00

Multi-Class, Multi-Tier Network Intrusion Detection: A Comprehensive and Reproducible Benchmark arXiv · 2026年9月29日本文针对 CIC-IDS2017 数据集上已发表结果难以比较的问题，修正了 PCAP 级别的标签并建立完整评估流程。作者在二分类攻击检测、九类攻击家族归因和十五类细粒度分类三个层级上评估了十一种表格分类器。其中，随机森林、XGBoost 和 LightGBM 的软投票集成在细粒度层级取得 0.955 的宏平均 F1 分数，该流程为开源可配置的。

当隐私成为武器：理解中国大陆社交媒体生态中的人肉搜索与隐私漏洞

2026-09-29T00:00:00+09:00

When Privacy Becomes a Weapon: Understanding Doxxing and Privacy Vulnerabilities in Mainland China's Social Media Ecosystem arXiv · 2026年9月29日该研究通过对18名中国大陆人肉搜索受害者的半结构化访谈，梳理了此类恶意公开个人信息行为在中国语境下的运作方式。研究发现，平台放大机制与西方情况相似，但强制实名制、民族主义话语、粉丝文化、儒家价值观及较低的隐私素养等因素使其呈现中国特色。作者认为，有效保护需要约束系统性漏洞，并提出法律、平台设计与社会层面的建议。

PrivacySkills：隐私指引如何影响LLM智能体的信息来源选择

2026-09-29T00:00:00+09:00

PrivacySkills: How Privacy Guidance Shapes Source Selection in LLM Agents arXiv · 2026年9月29日本文提出PrivacySkills受控框架，用于评估LLM智能体在多种可获取同等任务信息的途径（公开个人信息、机密来源或直接询问用户）之间如何选择。研究含55个合成任务和169项技能，比较了系统级指令与技能级隐私标签的效果。结果显示，无隐私指引时智能体平均有30%的情况访问机密来源；用户不可用时该比例升至45%，紧迫性措辞无明显影响；结合两种隐私指引可使机密访问率约减半。

同样的字节，不同的权限：聊天模板提示注入中的保留词元表示

2026-09-28T00:00:00+09:00

Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection arXiv · 2026年9月28日本文研究针对大语言模型智能体的提示注入攻击：伪造的聊天模板标记（如 <|im_start|>）若以保留控制词元形式送入模型，攻击成功率明显更高。作者将这些标记改为普通子词编码并保持文本不变，在 InjecAgent 基准上使多数开源模型的攻击成功率下降 39 至 66 个百分点；标准的分词器选项并不能覆盖所有工具协议词元，因此这一差距在工具输出通道上依然存在。 ★★★★★ 值得关注：揭示同一文本以保留控制符或子词编码送入模型时，伪造对话标记的注入权威差异，并在InjecAgent与AgentDojo上量化其影响，对防御有参考意义。

TEE Anchor：跨 TEE 组织背书，缓解 TEE 物理攻击

2026-09-28T00:00:00+09:00

TEE Anchor: Cross-TEE Organizational Endorsement for Mitigating TEE Physical Attacks arXiv · 2026年9月28日2025 年出现了针对 TEE 的实际物理接入攻击（如 TEE.fail 与 Battering RAM），对现有 TEE 构成严重威胁。论文提出 TEE Anchor，基于 X.509 证书，由组织对每颗 CPU 的唯一 Chip ID 签发证书以建立自身 PKI，验证者通过比对证明文据中的 Chip ID 来证明机器归属，无需 (v)TPM 等额外信任根，并称其在部署成本上优于既有方案，且原型实现的各项操作可在几毫秒内完成。

MMSkillRisk：当多模态技能成为陷阱，智能体还能保持安全吗？

2026-09-28T00:00:00+09:00

MMSkillRisk: Can Agents Stay Safe When Multimodal Skills Become Traps? arXiv · 2026年9月28日该论文提出 MMSkillRisk，这是一个专门用于评估多模态技能中图像攻击端到端安全性的基准。研究设计了一种攻击方式，把恶意指令伪装成教学图片中的标注、界面标签等原生组成部分。在九种模型与运行环境配置下的测试显示，该攻击的总体成功率为 43.1%，高于文本攻击基线 16.4 个百分点，并且攻击成功与合法任务完成可能同时出现。 ★★★★★ 值得关注：摘要报告：图像携带的多模态技能攻击，通过NCVA在九种配置的隔离沙箱中实测，合并攻击成功率达43.1%，比文本基线高16.4个百分点。

相似不等于有效：防御 LLM 语义缓存被投毒

2026-09-28T00:00:00+09:00

Similarity Is Not Validity: Defending LLM Semantic Caches Against Poisoning arXiv · 2026年9月28日语义缓存通过复用语义相近查询的历史回答来降低大模型服务成本，但检索只依据查询嵌入的相似度，攻击者可用高相似度的查询缓存恶意回答，从而投毒。论文提出一种防御方法，从缓存键的原始文本中恢复区分有效与无效命中所需的信息，利用对抗查询中“改写加残留内容”的结构进行检测。在三类投毒攻击中，该方法在误报率 5% 时可拦截 82.0% 至 98.2% 的投毒条目，且服务开销可忽略。

提升中文青少年大模型安全基准：基于文化背景的细粒度评测（QH-Bench）

2026-09-28T00:00:00+09:00

Raising the Bar for Chinese Adolescent LLM Safety: A Culturally-Grounded, Fine-Grained Benchmark arXiv · 2026年9月28日论文提出 QH-Bench，一个面向青少年内容安全、以中国社会文化场景为基础的中文基准，包含 715 道单轮测试题和 100 条四轮对话轨迹。对 13 个开源模型的评测显示，线下接触类场景是共同弱点，多数模型在相关题目上得到负分。作者指出，领先的综合分数并不能说明这些具体弱点已经解决。

SaplingGuard：面向青少年与大模型交互的多维画像感知多智能体安全护栏

2026-09-27T00:00:00+09:00

SaplingGuard: A Multidimensional-Profile-Aware Multi-Agent Guardrail for Developmentally Safe Adolescent-LLM Interaction arXiv · 2026年9月27日本文提出SaplingGuard，一种即插即用、可感知用户画像与对话上下文的安全护栏，无需修改下游模型参数。它由三个智能体分别负责用户画像构建、情境化风险评估和保留意图的提示优化，用于识别青少年使用大模型时隐含的发展性风险。在包含276组三轮对话、涵盖七类发展性风险的SaplingBench上，实验显示画像感知检索将主要命中率从50.8%提升至63.7±1.1%，端到端干预使平均有害回复率由17.10%降至5.27%，平均安全得分由0.7017升至1.0043。

如何驯服多头九头蛇？面向大语言模型的自适应多类别安全引导

2026-09-28T00:00:00+09:00

How to Tame a Multi-Headed Hydra? Adaptive Multi-Category Safety Steering for Large Language Models arXiv · 2026年9月28日本文提出CAM-Steer框架，用于在大语言模型推理时调整内部激活，以提升安全性。它先将当前隐藏状态与安全和不安全的原型比较，估计各危害类别的风险，再据此合成单一引导方向并决定干预强度，并在保持隐藏状态范数的前提下旋转隐藏状态。作者在三种模型骨干和七个危害类别上进行实验，结果显示该方法在平均防御成功率上优于对比基线，包括多类别同时出现的情况，推理开销可以忽略。

攀登高峰：用课程强化学习对前沿模型进行提示注入红队测试

2026-09-27T00:00:00+09:00

Climbing the Hill: Prompt Injection Red-Teaming Against Frontier Models with Curriculum Reinforcement Learning arXiv · 2026年9月27日本文针对大语言模型的提示注入安全风险，提出一种基于课程学习的红队攻击方法，以解决攻击模型在面对前沿模型时因全部失败而无法学习的冷启动问题。方法让攻击模型依次对抗逐步增强的目标模型，并让每个阶段都能部分成功。论文报告在AgentDyn上对GPT-5.6-Luna和GPT-5.6-Terra的攻击成功率（ASR@10）分别为93.8%和45.0%，而RL-Hammer和PISmith等对比方法均为0%。

强化学习之后，蒸馏防御很容易失效

2026-09-29T00:00:00+09:00

Distillation Defenses Easily Break After Reinforcement Learning arXiv · 2026年9月29日该论文研究针对闭源大模型推理能力的蒸馏攻击及其防御。作者指出，现有防御通常只在蒸馏后立即评估，忽略了攻击者可能继续用强化学习训练模型的情况。实验表明，简单攻击即可利用现有API的数据窃取推理能力，效果与提取完整隐藏推理轨迹的复杂攻击相当。论文认为，只要防御泄露了足以重建近似推理轨迹的信息，就可能无效。

基于抗碰撞哈希函数的QMA简洁论证

2026-09-29T00:00:00+09:00

Succinct Arguments for QMA from Collapsing Hash Functions arXiv · 2026年9月29日本文证明，仅假设存在坍缩哈希函数（collapsing hash functions），即可为QMA构造简洁论证（succinct arguments）。这是首个只依赖非结构化的Minicrypt假设的方案。作者提出了一个量子简洁的claw态生成协议，使用经典通信即可把少量量子关联扩展为任意多的claw态关联。该方法在轮复杂度、标准模型证明和整体简洁性上均优于先前工作，并由此得到基于单向函数的量子简洁盲委托计算协议，再通过通信压缩编译器得到QMA的简洁论证。 ★★★★★ 值得关注：摘要称仅基于抗碰撞型哈希函数即可构造QMA的简洁论证，这是首个只依赖非结构化Minicrypt假设的方案；其核心的爪态生成协议只用经典通信，轮复杂度更优，证明在标准模型中给出。

共享文件中的AI病毒：跨LLM智能体的记忆跳跃攻击

2026-09-29T00:00:00+09:00

Share-Borne AI Virus: Memory-Hopping Attacks Across LLM Agents arXiv · 2026年9月29日论文研究大语言模型助手通过共享文件（如报告）形成间接通信渠道时的风险。恶意内容可被存入助手的持久记忆，在后续生成的文件中被复现，并被另一个助手读取，从而实现自我传播。作者在模拟的人机交互环境中测试攻击能否跨多次交接存活、传播多少跳，以及覆盖范围。结果显示攻击可跨多个独立助手传播并持续较长交互序列，在较大模拟环境中传播链可延伸至8跳，覆盖60%至80%的智能体。 ★★★★ 值得关注：提出经共享产物在助手间自传播的攻击方式，作者称在模拟环境中攻击可跨多个独立助手存活并扩散，较大模拟中达到60-80%的代理、传播链达八跳。

INTCC：面向交互式机密计算的框架

2026-09-29T00:00:00+09:00

INTCC: A Framework for Interactive Confidential Computing arXiv · 2026年9月29日该论文提出“交互式机密计算”范式，允许不受信任的数据处理方在可信执行环境（TEE）内进行动态、带人工交互的操作，同时保护数据机密性。作者将TEE划分为交互控制器与可验证运行时，并基于AMD SEV-SNP与Confidential Containers实现INTCC框架。实验显示，在LLM微调中额外开销低于5%，数据分析中低于17%。

基于系统感知图边界学习检测智能电网中的虚假数据注入与不稳定运行

2026-09-29T00:00:00+09:00

Detecting False Data Injection and Unstable Operation in Smart Grid via System-Aware Graph Boundary Learning arXiv · 2026年9月29日本文提出StarGNN图学习框架，仅用清洁的稳定运行配置学习稳定区域，并用单一异常分数标记不可信的上报配置，以同时识别真实不稳定与虚假数据注入（FDI）攻击。方法将每个配置表示为生产者-消费者星形图，通过扰动反应时间和价格响应参数生成物理约束的伪负样本，并以仅在留出稳定数据上校准的单一阈值进行判断。在九种未见过的FDI场景中，该方法对稳定配置的攻击检测率为0.780至0.973，对攻击后不稳定配置的召回率为0.972至0.999。

超越标量探测：利用ReLU网络的向量输出进行签名提取

2026-09-29T00:00:00+09:00

Beyond Scalar Probes: Exploiting Vector-Valued Outputs in ReLU Networks For Signature Extraction arXiv · 2026年9月29日本文从几何和代数角度重新审视对ReLU网络的密码分析式提取。作者不再只看单个输出分量，而是研究相邻线性区域间完整的向量输出行为，并刻画雅可比差分的秩一结构，从中既恢复常见的行签名信息，也得到补充的列侧信息。实验表明，这些额外结构可用于提取，并在float64、float32和float16等不同数值精度下改善数值估计，将分析扩展到低精度场景。

大语言模型辅助密码协议自动安全证明：我们还有多远？

2026-09-29T00:00:00+09:00

LLM-Assisted Automatic Security Proofs for Cryptographic Protocols: How Far Are We? arXiv · 2026年9月29日本文首次系统评估了前沿大语言模型在密码符号协议验证中的能力，并提出基于证明骨架的指标 CRoST（求解树覆盖率），用于衡量生成引理与参考引理的相似度。结果显示，模型平均覆盖率为 38.82%，14.4% 的引理覆盖率超过 80%，说明模型已能生成一定有用的引理。但其在复杂多阶段协议上仍存在明显失败模式，简单扩大规模收益递减，且验证开销较大。

置换之和的不可区分性：经典与量子安全性的傅里叶分析路径

2026-09-29T00:00:00+09:00

Indistinguishability of Sum of Permutations: A Fourier Analytic Route to Classical and Quantum Security arXiv · 2026年9月29日本文研究有限阿贝尔群上独立随机置换之和及相关变换在经典与量子查询模型下的不可区分性，采用傅里叶分析方法统一处理。文中给出了经典与量子模型下随查询次数变化的安全性上界，并讨论了二进制向量空间上的线性后处理与Dinur的可变输出单置换构造。

基于人工智能的漏洞评估能力与网络攻击图分析

2026-09-29T00:00:00+09:00

AI-Based Vulnerability Assessment Capability and Cyber Attack Graph Analysis arXiv · 2026年9月29日本文结合两种方法评估关键基础设施的网络风险：一是基于多智能体强化学习和网络知识图谱识别攻击路径与战术技术，二是结合网络拓扑与漏洞计算系统风险的概率攻击图模型。以2015年乌克兰电网攻击为验证场景，两种方法独立应用于同一工控网络后，得出与事件记录一致的攻击路径。研究认为工业控制系统是攻击传播的关键节点，应优先加固。

《别看了，没什么》：LLM 交付物修订痕迹造成的意外泄露

2026-09-29T00:00:00+09:00

"Nothing to See Here'': Unintended Disclosure through Revision Traces of LLM Deliverables arXiv · 2026年9月29日该论文研究大语言模型在协助起草内容时，删除敏感信息后仍在说明中重复该信息而导致泄露的问题。作者在公开对话语料中发现约 8.8% 的修改请求留下修订痕迹，并构建 RevLeakBench 基准进行受控评测。结果显示，约一半交付物会在撤回后说明修改，读者仅凭交付物可恢复约 13% 的被撤回内容；论文还比较了提示防御与交付边界，并提出可显著降低泄露的输出端过滤方法。

Planarian：利用状态点管理智能体状态

2026-09-29T00:00:00+09:00

Planarian: Managing Agent State with Statepoints arXiv · 2026年9月29日该论文提出Planarian，一种带状态管理功能的智能体运行时，引入可恢复的“状态点”概念，使智能体和用户能在本地与远程环境间撤销错误操作并并行探索替代方案。系统提供快照、回滚和分叉三种原语，其中远程状态变化通过补偿操作撤销。论文称该方法可将任务质量提升最多15倍，用户恢复错误操作的开销仅为3%。

基于自动化云原生编排的混合 QKD-PQC 网络仿真平台

2026-09-29T00:00:00+09:00

Hybrid QKD-PQC Network Emulation through Automated and Scalable Cloud-Native Orchestration arXiv · 2026年9月29日本文提出将开源仿真平台 Quditto（原为量子密钥分发 QKD 网络设计）扩展为混合 QKD 与后量子密码（PQC）网络的仿真平台。该平台包含云原生编排器、面向大规模部署的优化流程、后量子节点集成以及安全密钥管理模块。实验在典型的 spine-leaf 网络上验证了编排时间随网络规模呈次线性增长，并成功完成了端到端的混合密钥建立。

量子网络中的零知识证明

2026-09-28T00:00:00+09:00

Zero Knowledge Proofs in Quantum Networks arXiv · 2026年9月28日该论文提出一个基于量子态在操作约束下不可区分性的零知识验证框架。作者利用本地操作的根本限制，证明验证者无法获取基础态的信息，却仍能验证其正确性。论文还为多方量子网络构造了显式协议，实现信息论安全，使任何协作方子集都无法获得超出陈述有效性之外的知识。

持续参与作为安全资源：有界参与通道（BPC）

2026-09-28T00:00:00+09:00

Sustained Participation as a Security Resource: The Bounded Participation Channel arXiv · 2026年9月28日本文提出一种名为“有界参与通道”（BPC）的形式化原语，用于按时间窗口反复验证每个身份的参与。该机制在严格期限内发出与身份绑定的新鲜挑战，并证明维持 s 个身份经历 T 个窗口至少需要 sT/τ_h 个参与通道窗口的成本下界。实验中，三款AI模型在感知类任务上准确率达97%至100%，但在测试条件下吞吐量仍受限。

面向软件交付决策关卡的智能体安全审计器持续保证

2026-09-28T00:00:00+09:00

Continuous Assurance of Agentic Security Auditors for Software Delivery Decision Gates arXiv · 2026年9月28日本文针对在持续集成流水线中充当安全控制的大语言模型代码仓库审计器，提出“策略—证据—执行分离”模式，并由TAIP保证引擎实现，以持续控制态势保证（CCPA）方式运行。该方法将策略与执行分离，并把已采纳的证据绑定到版本化的态势树上。作者在固定的Python空指针解引用基准上，用未修改的RepoAudit进行了评估，包含80次执行记录，涉及两种OpenAI模型配置。在单主机测量中，1000个独立保证上下文的策略触发全量重算最大耗时为1.62秒，低于预先设定的5秒预算。

使用普通硬件和开源软件实现数据二极管

2026-09-28T00:00:00+09:00

Implementing Data Diodes Using Commodity Hardware and Open Source Software arXiv · 2026年9月28日数据二极管是只允许单向传输数据的网络设备，用于抵御复杂网络攻击，常见于核电站和政府机构。本文表明其硬件可由普通光纤网络设备组装，并针对软件层面的丢包问题进行研究：测得多数丢包由接收程序处理过慢造成，且常成簇出现；在不使用超级用户权限的情况下，作者找到了减少丢包的方法。文章还测试了netcat、UDPcast和lidi三个开源程序，并为UDPcast和lidi找到了可靠配置，最终将成果整合进跨平台程序pydiode。

海报：迈向ProofWeave——面向持续智能体保障的隐私最小化、完整性锚定证据平面

2026-09-28T00:00:00+09:00

Poster: Towards ProofWeave: A Privacy-Minimised, Integrity-Anchored Evidence Plane for Continuous Agentic Assurance arXiv · 2026年9月28日论文提出ProofWeave，一种面向智能体AI系统的记录时证据链概念。在每个策略相关动作边界，它生成隐私最小化且具完整性锚定的证据交易，绑定智能体意图、控制响应和策略快照，并写入只追加账本。在一个将机密发送至未授权外部接收端的场景中，与仅依赖日志的基线相比，该方法在候选绑定数、验证操作数和证据存储量上均显著降低。

TANGO：在词元对中为掩码扩散语言模型加水印

2026-09-28T00:00:00+09:00

TANGO: Watermarking Masked Diffusion Language Models in Token Pairs arXiv · 2026年9月28日论文提出TANGO，一种用于掩码扩散语言模型的文本水印方法。它让每个新生成的词元与附近已解掩码的词元配对，通过密钥划分词汇颜色类别，并使新词元偏向由密钥和邻近词元颜色决定的类别。检测只需文本和密钥，不依赖解掩码顺序；在两个模型上，它能检测出几乎所有未编辑和大部分编辑过的水印文本，且针对固定绿名单的频率攻击失效。

OT-PCA：基于离线模板、针对HQC的新型明文检查预言机侧信道密钥恢复攻击

2026-09-28T00:00:00+09:00

OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates arXiv · 2026年9月28日本文提出OT-PCA方法，针对基于汉明准循环码的后量子加密方案HQC，利用明文检查预言机进行侧信道攻击。该方法借助公开可访问的HQC解码器构建离线模板，并通过遗传式算法优化。模拟结果显示，与现有方法相比，所需预言机调用次数显著减少（hqc-128降低2.4倍），在预言机准确率降至95%时仍具较强抗干扰能力，并在ARM Cortex-M4微控制器上通过功耗分析完成了实际验证。

LLM 编程智能体轨迹层面的安全债务研究

2026-09-28T00:00:00+09:00

Trajectory-Level Security Debt in LLM Coding Agents arXiv · 2026年9月28日本文关注大语言模型编程智能体在提交方案前经历的大量中间代码状态，指出仅评估最终产物无法衡量安全发现的演变。作者提出安全债务线积分（SDLI），在智能体达到新的最佳测试通过率时累积静态分析风险，并用四种静态应用安全测试工具，对 SWE-bench、ProgramBench 和 MirrorCode 的多组运行结果进行了分析。文中强调，这些结果是扫描器发现而非已验证的漏洞率。

当合法的工具调用改变含义：面向 LLM 智能体的形成一致性调度

2026-09-28T00:00:00+09:00

When Valid Tool Calls Change Meaning: Formation-Consistent Dispatch for LLM Agents arXiv · 2026年9月28日论文指出，智能体依据模型可见的接口生成工具调用，而宿主之后才选择实际实现，标准调度忽略了描述与处理程序之间的关系，导致同样的合法调用在上线、重连或延迟审批时可能产生不同安全影响，作者称之为模式纪元漂移。文中提出形成一致性调度（FCD），将实现分析与执行权限相连接，并在封闭目标审批策略下验证调用效果是否符合其安全约定；在 32 个官方发布版本的测试中，29 个无需针对版本修改，3 个被升级处理。

基于TCitH的SLH-DSA替代方案：Mirath的跨层ASIC设计

2026-09-28T00:00:00+09:00

Efficient TCitH-Based Alternatives to SLH-DSA: Cross-Layer ASIC Design of Mirath arXiv · 2026年9月28日为应对量子计算机带来的安全风险，NIST已标准化ML-DSA、FN-DSA和SLH-DSA等后量子签名方案，并在评估非格类候选方案作为SLH-DSA替代。本文以TCitH为基础的签名方案Mirath为对象，采用算法与硬件结合的跨层方法，在RISC-V系统中给出其ASIC实现。与同一22nm FD-SOI工艺下的SLH-DSA ASIC相比，该设计签名延迟降低17.8倍，总单元面积减少58%。

《仍在，却不再被看见》：揭示大型视觉语言模型中压缩引发的风险

2026-09-28T00:00:00+09:00

Still There, No Longer Seen: Exposing Compression-Induced Risk in Large Vision-Language Models arXiv · 2026年9月28日该论文研究视觉语言模型为降低推理成本而对视觉token进行压缩后所产生的风险。作者定义了“压缩特定失效”，即完整推理下正确、压缩后失败的对抗输入。基于此提出CIRA攻击方法，在仅能访问视觉编码器的白盒条件下扰动图像，使压缩后的模型更容易出错。实验显示该攻击在多组设置中有效，且防御方法能部分抑制它。

分圆陪集：素数幂模数下的隐藏子群与量子筛法算法

2026-09-28T00:00:00+09:00

Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli arXiv · 2026年9月28日本文针对后量子密码中的LWE问题，提出了分圆陪集问题（CCP），它是对二面体陪集问题（DCP）的分圆推广，并保留了精确的隐藏子群结构。作者利用π-adic理想链构造量子筛法，对于固定素数p和模数q=p^t，可在2^{O_p(log n log q)}的时间和样本复杂度内求解CCP，且空间为多项式级。作者同时指出，该结果本身并不能直接得到标准LWE的拟多项式时间算法。

先改变状态再行动：面向欺骗性界面的网页智能体前瞻状态干预

2026-09-28T00:00:00+09:00

Before Acting, Change the State: Prospective State Intervention for Web Agents under Deceptive Interfaces arXiv · 2026年9月28日基于大语言模型的网页智能体可自主完成用户任务，但欺骗性界面可能使其得出违背用户利益的结果。论文指出一种新的失效模式：即使动作符合任务要求，因当前网页状态仍可能产生未经授权的后果。为此提出Veer，在动作将产生未授权后果时，先构建通往安全状态的前瞻干预轨迹并执行验证，再修改实际环境。在TrickyArena和WebDecept上，Veer在三种评测设定中安全任务完成率最高，并将WebDecept上的暗模式成功率降至0.3%。

JevVibe：基于分类引导的高效安全代码生成

2026-09-28T00:00:00+09:00

JevVibe: Efficient Classification-Guided Secure Code Generation arXiv · 2026年9月28日该论文针对大语言模型生成的代码可能存在安全漏洞的问题，提出Jev分类模型，从预设候选项中直接选择CWE（通用弱点枚举）标签并给出概率，无需自回归生成。在1916个CyberSecEval样本的50类分类任务中，Jev在所有开源基线上表现更好，与GPT-5.6-Sol相比各有优势。研究还基于Jev构建了修复代理JevVibe，使安全通过率从63.5%提升至70.7%，高于LLM引导修复的66.1%。

DGF-Bench：用于模拟并审计针对多智能体治理委员会欺骗行为的基准测试

2026-09-28T00:00:00+09:00

DGF-Bench: A Benchmark for Simulating and Auditing Deception Against Multi-Agent Governance Boards arXiv · 2026年9月28日这是一篇arXiv论文，提出DGF-Bench基准，让大语言模型智能体组成的委员会审查合成项目材料，并模拟攻击者在组织不担保的证据中植入欺骗性内容。测试中，多数模型在大多数关卡中结论准确，但“任务对齐”的攻击（模仿组织自身流程）仍能使部分模型的正确判定数大幅下降。文中还给出DGF评分，并附有可一条命令运行的开源工具包dgf-bench。

JEV 作为智能体轨迹安全的裁判：与生成式大模型裁判的实证比较

2026-09-28T00:00:00+09:00

JEV as a Judge for Agent Trace Security: An Empirical Comparison with Generative LLM Judges arXiv · 2026年9月28日该论文研究工具调用型智能体的轨迹安全评估，比较了一种类型化决策模型 JEV 与四种生成式大模型裁判。在四个基准数据集、共 5,219 条轨迹上，JEV 的平均正类 F1 为 77.8，高于表现最好的生成式配置 GLM-5.2 的 74.1。JEV 中位调用延迟为 0.99 秒，每次有效判定的估计成本约为 0.000195 美元，作者据此认为它可作为一种经济的筛查信号，但在精确率和召回率上存在权衡。

物理认证联邦学习：保障关键水基础设施中协同异常检测的安全

2026-09-28T00:00:00+09:00

Physics-Attested Federated Learning: Securing Collaborative Anomaly Detection in Critical Water Infrastructure arXiv · 2026年9月28日该论文针对联邦学习中的数据投毒问题，提出用自动挖掘的物理过程不变量（如守恒定律、执行器耦合）作为联邦更新的可验证准入条件。作者在SWaT、WADI两个物理水处理测试床及BATADAL配电基准上，测试了七种聚合规则应对数据伪造、重放投毒和自适应攻击的效果。论文还利用零知识证明让客户端在不泄露运行遥测数据的前提下证明其数据符合不变量。

优化并保障现代图像水印信道的安全性

2026-09-28T00:00:00+09:00

Optimizing and Securing the Modern Watermarking Channel for Images arXiv · 2026年9月28日为满足要求可追溯生成内容的新规定，现代水印多采用事后多比特水印方案，其编码器与解码器为深度神经网络。本文提出一个基于编码器-解码器输出统计分析的通用理论模型，指出这些网络隐含的水印信道可视为并行AWGN信道，并采用BPSK调制，从而限制了容量且缺乏密钥、存在安全缺陷。在此基础上，论文提出SNW系统，在容量上显著优于现有基线，并提供较强的安全保证。 ★★★★ 值得关注：作者提出统计模型，认为深度水印编码器-解码器隐式构成BPSK并行AWGN信道，并将安全性与密钥可估计性相联系；据此提出的SNW系统在容量上超越现有基线，摘要称其速率可接近香农容量。

StallGrid：在工控协议内拖延扫描器的诱捕系统及其互联网暴露下的交互测量

2026-09-28T00:00:00+09:00

StallGrid: Measuring Internet-exposed Engagement in Protocol-Native OT Tarpits arXiv · 2026年9月28日本文提出 StallGrid，这是据作者所知首个面向工业控制系统（OT/ICS）的应用层拖延（tarpit）系统，通过 Modbus 异常码和 IEC-104 连接状态拖住扫描器。五个变体运行 24 天，记录了 6,709 个会话和超过 2,000 小时的累计连接交互。作者认为，这类协议原生拖延可作为无法及时打补丁的工控环境中的低成本补充防御。

AuxMark：通过辅助行为水印防御未经授权的智能体蒸馏

2026-09-28T00:00:00+09:00

AuxMark: Defending Against Unauthorized Agent Distillation via Auxiliary Behavioral Watermarking arXiv · 2026年9月28日论文提出AuxMark，一种用于追踪未经授权智能体蒸馏的行为水印框架。它在教师智能体的轨迹中动态插入无害的非必要辅助动作，并将相关上下文保存为私有证据卡，通过成对的真实与虚假探针和卡片级符号检验，以黑盒方式审计可疑学生模型。实验涉及三个智能体基准、两个教师智能体和四种学生架构，文中报告检测到全部24个蒸馏模型，在48个干净模型上零误报，并在数据泛洪、改写、截断和自适应清洗攻击下保持有效。

SEAD：从状态视角看工具调用智能体的攻击与防御

2026-09-28T00:00:00+09:00

SEAD: A State-Based Perspective on Attack and Defense in Tool-Using Agents arXiv · 2026年9月28日该论文把语言模型智能体的攻击与防御统一为部分可观测的状态控制问题。提出的攻击方法DART把有害目标拆解为局部看似合理的步骤，并利用工具执行反馈引导轨迹搜索；防御方法SAGE在放行或拦截每一步动作前，可通过只读查询调查相关状态。实验显示，DART的语义攻击成功率比基线高18.8至35.9个百分点，SAGE在录制轨迹上保留了95.79%的良性轨迹，并拦截了92.73%的有害路径，在在线评估中把DART的可执行攻击成功率从48.0%降至4.0%。 ★★★★ 值得关注：将攻防统一为部分可观测状态控制，提出DART分解攻击目标、SAGE通过只读查询在执行前拦截有害动作；摘要报告在线评估中DART的可执行攻击成功率从48.0%降至4.0%。

CoDeL：针对基于大模型智能体的间接提示注入攻击的协同演化防御

2026-09-28T00:00:00+09:00

CoDeL: Co-Evolutionary Defense against Indirect Prompt Injection in LLM-based Agents arXiv · 2026年9月28日本文提出CoDeL，一种训练式防御方法，用于防范大语言模型智能体遭受的间接提示注入攻击。防御模型与攻击探测器协同演化：防御方通过LoRA和GDPO在安全、任务进展与格式合规的解耦奖励下更新，探测器则不断寻找仍能突破防御的注入样本。实验基于三个基准、九个基线和两个基础模型，报告攻击成功率降低88.5%。 ★★★★ 值得关注：提出CoDeL，让防御者与探测器协同进化：探测器依据攻击成功率和攻击延迟挖掘能穿透防御的注入，形成动态课程；摘要报告在三个IPI基准、九个基线上ASR降低88.5%。

Windows恶意软件检测的问题空间对抗鲁棒性综合评估

2026-09-28T00:00:00+09:00

Breaking Windows Malware Detection: A Comprehensive Evaluation of Problem-Space Adversarial Robustness arXiv · 2026年9月28日本文对九种先进的规避攻击方法在八个Windows恶意软件检测器（七个开源模型和一个商业检测器）上进行了大规模统一评估，所有攻击均保持样本可执行。研究从攻击效果、互补性、可迁移性和对抗加固等角度衡量检测器的鲁棒性。结果显示，检测器的脆弱性与模型表示方式和攻击类型密切相关，没有任何一类检测器对所有攻击都具有稳健性。

ReproBench：评测大模型智能体从零复现漏洞的能力

2026-09-28T00:00:00+09:00

ReproBench: Benchmarking LLM Agents on Reproducing Vulnerability From Scratch arXiv · 2026年9月28日该论文提出 ReproBench 基准，用于测试大模型智能体仅凭一个 CVE 编号、从零开始完整复现漏洞的能力，并把流程拆分为六个阶段分别评估。基准基于 30 个真实物联网固件漏洞构建。结果显示，45.3% 的测试运行采用了漏洞模拟这一变通方法，仅 5.3% 的 CVE-模型组合成功复现了真实漏洞。

基于傅里叶分析的置换异或（XoP）量子安全性研究

2026-09-28T00:00:00+09:00

Quantum Security of XOR of Permutations via Fourier Analysis arXiv · 2026年9月28日该论文研究由多个独立随机置换异或而成的函数（XoP）在量子攻击下的安全性，这是超越生日界的经典构造。作者证明，对于任意 q 次量子查询，XoP 与随机函数的可区分优势有明确上界，且在 q 远小于 2^n 的整个查询范围内保持安全。论文采用傅里叶分析形式的多项式方法完成证明，并给出若干启发式攻击以说明界可能是紧的。 ★★★★★ 值得关注：证明了由r≥2个随机置换XOR构成的函数在q次量子查询下与随机函数难以区分，优势上界覆盖整个查询范围，并以傅里叶多项式方法处理低次分量，作者称这是首个达到量子超生日界安全的置换构造。

在智能体行动前：面向分布式系统证据获取的保证感知语义调度

2026-09-28T00:00:00+09:00

Before Agents Act: Assurance-Aware Semantic Scheduling for Evidence Acquisition in Distributed Systems arXiv · 2026年9月28日论文提出AAS方法，在配额、多样性、时效、截止期限和资源约束下联合选择证据见证并安排获取顺序，以避免工具调用型智能体在准入前因证据过期而做出错误的基础设施变更。在三组生成的基础设施工作负载的受控仿真中，AAS得到的有效候选方案为1075/1200，高于约束感知前向调度的647/1200，过期候选从440降至12。作者同时指出，该结果仅来自仿真，且有界评测预言与其共享时序搜索组件，向实际部署系统的迁移尚未验证。

RADNPO：面向大语言模型遗忘的无参考自适应负偏好优化方法

2026-09-28T00:00:00+09:00

RADNPO: Reference-free Adaptive Negative Preference Optimization for LLM Unlearning arXiv · 2026年9月28日大语言模型在预训练中可能记住敏感、隐私或受版权保护的内容，因此需要机器遗忘技术。本文提出RADNPO方法，在抑制遗忘目标概率的同时，显式引导下一词概率分布的重新分配。该方法将每个遗忘目标与当前分布偏好的其他词进行对比，并根据目标置信度和分布集中度自适应调节遗忘强度。在TOFU和MUSE数据集上的实验显示，RADNPO在遗忘效果与模型效用之间取得了优于现有基线的平衡。

基于情景负荷预测的长期运行停电规划研究

2026-09-28T00:00:00+09:00

Long-Term Operational Planning Using Scenario-Based System Load Forecasting arXiv · 2026年9月28日北弗吉尼亚超大规模数据中心快速增长，推高当地用电需求，电力公司需要加强输电网络，相关施工需提前数月规划停电。传统方法多依据月度或季节性峰值负荷进行逐日评估，较为保守，常导致短时停电被推迟或否决。本文以日、周、月多粒度负荷预测（SARIMA、Prophet、梯度提升、随机森林）结合自下而上的时间一致性调整，与传统峰值方法进行比较。结果显示，粒度更细的预测可减少不必要的保守性，在不改变现有可靠性标准的前提下，更好地容纳停电请求，尤其是短时停电。

Faultless：用于验证和评估神经反编译器的程序等价性技术

2026-09-28T00:00:00+09:00

Faultless: A Program Equivalence Technique for Validating and Evaluating Neural Decompilers arXiv · 2026年9月28日本文提出 Faultless，一种程序等价性技术，用于对神经反编译器做翻译验证和模型评估。它将神经反编译器的输出与具有更强正确性保证的确定性反编译器结果，或与参考答案进行比较。论文指出，神经反编译存在上下文有限和语义不一致等问题，现有等价性方法难以应对，因此 Faultless 采用基于静态符号执行的方法，并设计了专门的执行模型和内存模型。

LoRo-Mark：可证明无损且鲁棒的智能体水印方法

2026-09-28T00:00:00+09:00

LoRo-Mark:Provably Lossless and Robust Agent Watermarking arXiv · 2026年9月28日论文针对LLM智能体被第三方打包复用的问题，提出LoRo-Mark水印机制，在不影响正常功能的前提下嵌入所有权证据。该方法把水印放在仅由所有者授权请求激活的密码学认证取证分支中，并将信息冗余分布于取证行为序列，以在部分行为替换或序列截断后仍可恢复。实验显示，在多个LLM智能体上正常任务无性能下降，且在序列修改后仍能可靠验证所有权。

GateDrain：置信度门控边云推理的可用性攻击与准入侧防御

2026-09-28T00:00:00+09:00

GateDrain: Availability Attacks and Admission-Side Defense for Confidence-Gated Edge-Cloud Inference arXiv · 2026年9月28日该论文指出，基于置信度门控的边云推理会把不确定输入转发到云端，从而带来可用性攻击面。作者提出 GateDrain 攻击：通过有界输入扰动降低置信度，使本可在本地回答的请求涌入共享云队列，而应用请求速率不变。论文还提出 Bounded Escalation 防御，结合按来源的准入预算、受保护容量与可信类别优先级，但更严格的聚合限制可能拒绝合法的未认证卸载请求。

众包微调的隐私谬误：通过基于主题的投毒提取专有数据

2026-09-28T00:00:00+09:00

The Privacy Fallacy of Crowdsourced Fine-Tuning: Extracting Proprietary Data via Topic-Based Poisoning arXiv · 2026年9月28日该论文研究在众包收集监督微调数据时，恶意用户可能通过投毒少量样本来放大对其他用户指令的提取风险。作者仅利用对已部署模型的黑盒、仅输出访问，在四个模型和两个数据集上进行实验。结果显示，仅用50条投毒样本，近乎逐字的提取率可分别提高到未投毒时的3.71倍（Qwen2.5-14B，OpenMathInstruct）和3.08倍（Llama-3.1-8B，AceReason），且数据过滤方法对投毒样本的检测效果有限。

TrackFlood：将延迟攻击从免NMS检测器转移到实时跟踪器

2026-09-28T00:00:00+09:00

TrackFlood: Relocating Latency Attacks from NMS-Free Detectors to Real-Time Trackers arXiv · 2026年9月28日本文研究针对目标检测器的延迟攻击，目标是让系统无法及时响应，而非篡改预测结果，尤其关注自动驾驶等实时应用。作者提出TrackFlood白盒过载攻击，在免NMS的检测-跟踪流水线中，用扰动向跟踪器注入大量分散的虚假检测，而检测器推理本身保持不变。实验在Jetson AGX Orin上进行，结果显示跟踪器延迟明显增加，并提出一种有界准入层来缓解端到端延迟。 ★★★★ 值得关注：论文指出NMS-free检测器并不天然抗延迟攻击，攻击面转移到下游多目标跟踪，提出TrackFlood并在Jetson上测得跟踪器延迟显著上升、检测器延迟基本不变；标准预算下端到端减速有限。

A2A-ForensicTrace：可篡改证据的离线验证方法

2026-09-28T00:00:00+09:00

A2A-ForensicTrace: Offline Verification of Tamper-Evident A2A Runtime Evidence arXiv · 2026年9月28日该论文提出 A2A-ForensicTrace，一个用于 Agent2Agent（A2A）运行时证据的离线验证层。它把运行时观察结果转为带类型的记录，推导协议相关的关系，并通过事件追踪根哈希加以固定，同时用 Ed25519 签名收据绑定事件上下文。实验使用官方 A2A SDK 进行 240 次执行，包括 120 次条件运行和 120 次匹配对照，所有条件运行都返回了预期的有界结论，对照组均未产生异常指示。

训练见证：无需信任训练方即可验证训练过程

2026-09-28T00:00:00+09:00

Training Witnesses: Trusting the Training without Trusting the Trainer arXiv · 2026年9月28日本文提出“见证”（Witnesses）方法，用于认证神经网络训练过程中的训练、数据使用和评估。方法依靠快速的行为指纹加上偶尔的重放挑战来审计训练，对训练方开销很小，验证方成本低，并能精确查询数据的纳入与排除情况。作者在1亿至20亿参数规模的语言模型训练上测试了该方法，并提出一个自动认证训练结果的排行榜，以促进共享基线和可复现性。 ★★★★ 值得关注：提出以行为指纹配合偶尔重放挑战来审计训练过程的新方法，让训练方承担证明责任，摘要报告在100M至2B规模语言模型、DDP与FSDP上开销很小。

A2A-CaseVerify：面向跨机构A2A工作流的基于Merkle链接的案件证据验证

2026-09-28T00:00:00+09:00

A2A-CaseVerify: Merkle-Linked Case-Evidence Verification for Cross-Organization A2A Workflows arXiv · 2026年9月28日本文提出A2A-CaseVerify，一种确定性的离线验证器，将A2A运行时对象、业务事件及支持关系映射为有向案件证据图，并通过确定性Merkle根进行承诺。只有在保护性检查和特定场景的重建检查均通过时，验证器才返回SUPPORTED。作者在一个标准医疗场景包及13种受控篡改上进行了评估，所有篡改均被拒绝；使用官方Python A2A SDK生成的包也通过了验证。

近似重复文件族会干扰精确记录的成员推断

2026-09-28T00:00:00+09:00

Near-Duplicate Families Break Exact-Record Membership Inference arXiv · 2026年9月28日成员推断用于判断某条具体记录是否参与了模型训练，常被用作数据来源和版权审计的证据。本文指出，网络规模数据中普遍存在的近似重复内容会造成混淆：在CC-News上，基于干净参照的LiRA审计方法在1.00%误报率下，将99.70%的近似文件族存在但本身未参与训练的记录误判为成员。结果表明，仅凭模型的成员推断证据只能证明文件族层面的暴露，不能确定精确记录的来源。 ★★★★★ 值得关注：提出四世界审计框架，指出近似重复家族会导致成员推断严重误判；作者报告在CC-News上干净参考LiRA审计将99.70%的家族存在的精确非成员判为成员，并通过受控干预显示分类与自回归语言建模的效应不同。

提示词匿名化能否保护用户身份不被大模型服务商识别？

2026-09-28T00:00:00+09:00

Can Prompt Anonymity Protect Your Identity From LLM Providers? arXiv · 2026年9月28日该论文研究了只隔离用户身份、却保留提示词内容可见的匿名代理方案，是否仍会让大语言模型服务商通过提示词作者重识别用户。作者构建了包含超过17.5万条多轮用户提示词的基准PromptAnonBench（数据来自SWE-Chat和WildChat）。实验显示，即使应用了基于文本的防御，攻击者仍能在部分用户上以10%的误接受率成功重识别，其中SWE-Chat用户比例为50%至75%，WildChat用户最高约为10%。

《没有免费的效率：重新审视训练效率与模型脆弱性之间的权衡》：研究高效训练是否会削弱模型的安全性与鲁棒性。

2026-09-28T00:00:00+09:00

No Free Efficiency: Revisiting the Trade-off Between Training Efficiency and Model Vulnerability arXiv · 2026年9月28日该论文系统研究了训练效率与模型脆弱性之间的权衡，在视觉和语言模型上发现，面向效率的训练方法会增加模型对对抗攻击和隐私攻击的敏感性。作者通过分析模型内部几何与表示结构发现，高效变体的损失曲面更尖锐且表示结构发生系统性变化。此外，采用简化强化学习流程（zero RL training）训练的模型，比传统对齐流程更容易发生灾难性遗忘且更过度自信。论文认为训练效率并非免费，并呼吁转向同时优化性能、成本与安全性的多目标训练范式。

稳定性的代价：对洋葱服务长期入口电路的去匿名化攻击

2026-09-28T00:00:00+09:00

The Cost of Stability: Deanonymizing Onion Services Long-Lived Introduction Circuits arXiv · 2026年9月28日本文针对 Tor 洋葱服务的长期入口电路设计提出一种交集攻击。攻击者只需观察单个 Tor 中继，便可利用这些电路 18 至 24 小时不变的特性，逐步还原出洋葱服务的网络位置。作者在真实 Tor 网络上对自营的洋葱服务进行了九次端到端实验，每次都完整还原了 Tor 电路。文中还提出一种定期重建内部入口电路的缓解机制，以限制证据积累，同时不改变公开公布的信息。 ★★★★★ 值得关注：利用洋葱服务介绍电路固定18至24小时的设计，提出交集攻击，可让每次只观察一个中继的攻击者定位洋葱服务的网络位置；摘要报告在真实Tor网络上的九次端到端实验中，攻击在每次运行中都重建出完整电路，估计中位时间约2.2小时，并提出定期重建内部介绍电路的缓解机制。

RAISE：借助符号评估在大语言模型中强化访问控制策略合成

2026-09-28T00:00:00+09:00

RAISE: Reinforcing Access Control Policy Synthesis in LLMs via Symbolic Evaluation arXiv · 2026年9月28日论文提出 CedarInstruct 数据集，包含 5,800 个场景，覆盖 44 个领域，并附有经验证的目标策略和可执行验证方案，用于训练和评估 Cedar 策略合成。作者提出 RAISE 方法，分两阶段训练：先做经验证的监督微调，再用验证器信号进行强化学习。其中 RAISE-OC 效果最好，使 Qwen3.5-9B 在保留场景上的语义成功率分别超过零样本 GPT-6 Astra 和 Claude Opus 5 13.33 和 16.26 个百分点，且训练效果可迁移到独立构建的 CedarBench。

标记会变，结构长存：面向生成语音的谱域水印

2026-09-28T00:00:00+09:00

Tokens Change, Structure Endures: Spectral Watermarking for Generated Speech arXiv · 2026年9月28日该论文提出 Redwing，一种生成过程中的免训练语音水印方法，旨在解决语音在解码再编码（retokenization）后标记被改变从而削弱水印的问题。方法利用再标记中观察到的标记替换关系构建图，并在其拉普拉斯基上联合优化嵌入与检测函数。实验显示，在 Moshi 系统经八次 Mimi 重合成后，Redwing 在校准的 1% 假阳性率下真阳性率为 80.7%，明显高于 KGW 的 8.3%。 ★★★★ 值得关注：Redwing 利用重分词时的 token 替换结构，构建图拉普拉斯基底并联合优化嵌入与检测；摘要报告在 Moshi 上经八轮 Mimi 重合成后 TPR 为 80.7%，高于 KGW 的 8.3% 和 WMAR 的至多 7.3%。

SecProbe：对编码智能体网络安全漏洞能力的自适应评估框架

2026-09-28T00:00:00+09:00

SecProbe: Adaptive Evaluation of Coding Agents on Cybersecurity Vulnerabilities arXiv · 2026年9月28日该论文提出SecProbe框架，结合项目反应理论（IRT）与按需合成的仓库级漏洞修复任务，用于评估编码智能体的漏洞识别与修复能力。作者构建了353个任务，涵盖六种编程语言和151种CWE类型，并测试了九个前沿模型，最高成功率为28.33%。与随机和一次性基线相比，SecProbe估计能力相当，同时所需求解的任务数最多减少29.5%。

MAD-Guard：自回归生成与直接判定接口在封闭式多模态取证任务中的对照研究

2026-09-28T00:00:00+09:00

MAD-Guard: Controlled Study of Autoregressive Generation versus Direct Decision Interfaces for Closed Multimodal Forensic Tasks arXiv · 2026年9月28日本文比较了多模态模型中自回归逐词生成与直接输出判定两种决策接口，以封闭式取证任务为对象，在相同骨干模型和训练预算下对比延迟、校准误差与准确率。结果显示，二分类直接判定头可将延迟降低2.60至7.27倍，校准误差明显下降，但准确率略有损失；带多任务与不确定性门控或对比式判定头的方案则能超过自回归基线。跨五个数据集的测试中，该框架在合成图像、伪装与文档伪造上表现较好，但在压缩人脸篡改数据上表现有明显局限。

COGNIT-Guard：面向实时安全防护的校准型直接决策护栏，采用异构CPU-NPU置信度级联

2026-09-28T00:00:00+09:00

COGNIT-Guard: Calibrated Standalone Direct-Decision Guardrails with Heterogeneous CPU-NPU Confidence Cascading under Explicit Latency and False-Positive Constraints arXiv · 2026年9月28日该论文提出COGNIT-Guard，一种在提示词进入目标大模型之前进行实时安全筛查的系统，由CPU快速把关器与NPU上的322M双向直接决策模型（Laya-322M）按置信度升级组成。在DUCS-Bench未见测试集上准确率为98.85%，良性误报率为0.42%，纯NPU推理平均延迟21.77毫秒，级联系统平均延迟41.63毫秒。文中还在SafetyBench-ZH上评估了域外表现与经验回放的恢复效果。

窥视的代价：ML-KEM 电磁迹线上的随时有效泄漏检测

2026-09-27T00:00:00+09:00

The Price of Peeking: Anytime-Valid Leakage Detection on ML-KEM EM Traces arXiv · 2026年9月27日侧信道评估人员常在采集过程中查看泄漏检验结果，并据此决定是否继续或停止。本文研究基于投注检验的随时有效泄漏检测方法，在明确的条件对称零假设下，使误报概率在任何时间都受控。在一个公开的 ML-KEM 电磁数据集上，与固定样本量的随机化检验相比，该方法在合成数据和退化录制数据上检测到泄漏所需的迹线数量更多（约为 1.68 至 2.38 倍）。在未退化的录制数据上，监控过程平均在 62 至 316 条迹线内即提前停止。

信息黑洞：探索三维点云重建中的后门机制（一种针对点云自编码器的后门攻击研究）

2026-09-27T00:00:00+09:00

Information Blackhole: Exploring Backdoor Mechanism in 3D Point Cloud Reconstruction arXiv · 2026年9月27日点云自编码器是三维世界表示的基础组件，但针对它的后门攻击研究较少。论文指出生成式模型的潜在分布会让良性与恶意数据相互干扰，导致重建结果偏向源数据。作者提出信息黑洞原理，并基于高斯分布约束设计自适应高斯匹配（AGM）方法，抑制中毒样本中的源几何信息传播，从而提高攻击可控性。实验在ModelNet和ShapeNetPart上进行。

数字从何而来：基于溯源的入侵检测评估审计

2026-09-27T00:00:00+09:00

Where the Numbers Come From: Auditing Evaluation in Provenance-Based Intrusion Detection arXiv · 2026年9月27日论文审计了九个已发布的基于溯源的入侵检测实现，并用其自带代码运行四个检测器。研究发现三类评估偏差：ThreaTrace 在计入邻域得分时精确率为 0.938，但其 994 条告警中只有 7 条带有其自身的攻击标签；去除测试集标签的检查点选择会使攻击检测精确率降低 0.16 至 0.33；一个缓冲区复用缺陷使线性编码器获得了非预期的度数相关输入。

遗忘一个人意味着什么？视觉语言模型中的个体层面遗忘研究

2026-09-27T00:00:00+09:00

What Does It Mean to Forget a Person? Individual-Level Unlearning in Vision-Language Models arXiv · 2026年9月27日本文提出 IDUnlearn-Bench，这是首个面向视觉语言模型（VLM）个体层面多模态遗忘的基准。它将每个人视为相互关联的多模态证据，并评估属性访问、身份访问、身份绑定和身份重建四类任务。实验表明，以属性为中心的遗忘即使成功，往往仍保留大量身份层面的知识，且风险变化并不单调：降低一种风险可能加剧另一种风险。

HESP：在本地大模型告警分诊智能体中，将“探查什么”与“何时停止”分开处理

2026-09-27T00:00:00+09:00

HESP: Separating What to Probe from When to Stop in Local LLM Alert-Triage Agents arXiv · 2026年9月27日安全运营中心的告警量远超分析人员的处理能力，无法把数据送到外部托管模型的机构需要在本地硬件上用小型开源大模型自动分诊。论文提出HESP控制器，把调查流程交给模型之外的控制器管理：维护相互竞争的解释账本，按单位成本的期望信息增益选择只读探查，只接受有当前证据支撑的结论，并能自行结束调查。在五个开源模型（7B至72B）的受控分诊环境中，共7272个审计片段显示，HESP显著提高了验证完成率，并表明“探查什么”和“何时停止”是两类可分离的失败。

编排平台中表达式沙箱的绕过研究：基于枚举与拦截机制的安全缺陷分析

2026-09-27T00:00:00+09:00

Weird Machine Compositors: Exploiting AI Orchestration at the Expression Layer arXiv · 2026年9月27日本文指出编排平台中“枚举并拦截”式的表达式沙箱存在根本缺陷，并以 n8n 的表达式沙箱为例，通过三轮逐步升级的绕过验证了这一观点，共涉及三个 CVE 漏洞。作者还提出了信任洗白模式、AI 辅助枚举加速漏洞发现等概念，并给出覆盖率分析方法、开源工具及以白名单替代黑名单的防御建议。

API密钥不应成为大模型词表中的词元：大模型智能体中API凭证处理的威胁分析与保险库中介执行边界的实证评估

2026-09-27T00:00:00+09:00

API Secrets Should Never Become Tokens in the LLM's Vocabulary: A Threat Analysis of API Credential Handling in LLM Agent Systems and an Empirical Evaluation of a Vault-Mediated Execution Boundary arXiv · 2026年9月27日本文分析了工具调用型大模型智能体中API凭证的泄露路径，并提出一种由保险库中介的执行架构：模型只选择连接器标识符，身份验证由可信请求边界提供。作者在两项受控黑盒实验中测试了名为Corvic Security Vault的生产实现，16项测试均达到预期结果，凭证未出现在所测试的各类位置中。文中同时指出一个失败案例，说明集中保管并不能保证配置正确，且保险库中介只是必要条件而非充分条件。

ICCS NGCC 第一轮公钥候选方案的密码分析

2026-09-27T00:00:00+09:00

Cryptanalysis of the ICCS NGCC Round-1 Public-Key Candidates IACR ePrint · 2026年9月27日本文针对 ICCS 下一代商用密码（NGCC）第一轮公开征集的 84 个公钥候选方案进行设计层面的评估，指出 8 个无法通过局部代码修复解决的设计缺陷。这些缺陷与 NIST 后量子密码标准化中已知的问题类似，包括子环投影导致 IND-CPA 安全性降低、公开数据泄露本应保密的值、静态密钥复用缺少选择密文变换，以及拒绝采样中的符号处理泄露等价签名密钥。作者表示所有发现均在 AI 辅助下得出，并提供了相关代码仓库链接。

弥合差距：证明并改进 RPKI

2026-09-27T00:00:00+09:00

Mind the Gap: Proving and Improving RPKI IACR ePrint · 2026年9月27日本文对资源公钥基础设施（RPKI）做了首次严格的安全性分析。RPKI 是 IETF 标准，用于防范前缀劫持与子前缀劫持等跨域路由攻击。作者通过模块化的安全规范，分析 RPKI 与 BGP、IP 的交互，给出其达成安全目标的充分条件。论文指出，现有部署并不总能满足这些条件（例如存在循环依赖），并提出了符合标准的改进方案。

针对 EC-HMQV-C 与 ECMQV 的增强型尴尬并行攻击

2026-09-27T00:00:00+09:00

Enhanced Embarrassingly Parallel Attacks against EC-HMQV-C and ECMQV IACR ePrint · 2026年9月27日本文在 Sarr 2025 年提出的基于加法伪随机游走的并行攻击基础上，考虑两组参与方交互的多方场景，提出三种改进攻击，分别针对 ECHMQV-C 与 ECMQV 协议。作者给出了各攻击的期望并行运行时间与各处理器的内存复杂度。以 128 位 ECHMQV-C 为例，在理想化大规模并行架构下，改进攻击的并行时间约对应 78 位安全强度。

针对头内签名（In-the-Head Signatures）的实用零分支见证攻击：一篇针对 AIMer v2.0 的密码分析论文

2026-09-27T00:00:00+09:00

Practical Null-Branch Witness Attacks on In-the-Head Signatures IACR ePrint · 2026年9月27日该论文指出，基于 AIM2 的 AIMer v2.0 签名方案存在一种仅依赖公开数据的伪造攻击：对每个诚实生成的公钥，攻击者都能不经签名查询而为任意消息伪造签名。作者利用中间值未被约束的零因子构造“零分支见证”，并将其补全为满足完整关系的见证，从而指出安全归约中的漏洞：满足关系的见证不一定解码为单向函数的原像。

FEILIAN 类组件中整体输出线性结构的完整分类

2026-09-27T00:00:00+09:00

A Complete Classification of Whole-Output Linear Structures in FEILIAN-Type Components IACR ePrint · 2026年9月27日该论文针对包含 FEILIAN SubColumn 的四字 ARX 结构，确定了所有使整体输出异或导数为常数的输入差分。对任意字宽与异或线性内部映射，线性结构空间包含一个通用的二维 MSB 族，维数至多为五且可以取到。论文给出了必要且充分的分类器，并针对 64 位 FEILIAN 组件说明完整空间恰为该通用族。论文只涉及组件结构与各边界的常数性，并未对迭代置换的全部端点结构分类，也未对该哈希函数给出攻击。

随机预言机模型下签名长度的下界

2026-09-27T00:00:00+09:00

Lower Bounds on Random-Oracle-Model Signature Length IACR ePrint · 2026年9月27日该论文研究基于哈希的签名方案为何签名较长。作者在纯随机预言机模型中，对带非自适应验证者并满足"加盐可靠性"的签名方案给出长度下界：一次性签名的公钥与签名总长须为Ω(λ²/log λ)，多次签名则仅签名长度本身即需满足该下界。

基于单向函数、可识别中止的门限签名方案

2026-09-28T00:00:00+09:00

Threshold Signatures with Identifiable Abort from One-way Functions IACR ePrint · 2026年9月28日本文提出一种门限签名方案：N 名参与者共同持有签名密钥，任意 T 人可合作生成有效签名，少于 T 人则无法做到。方案以 Lamport 一次性签名的变体和 Shamir 秘密共享为基础，并支持可识别中止；通过多层 Merkle 树扩展到多消息签名，并利用公告板机制协调一次性密钥的使用。

一个未经验证的坐标就够用：ML-KEM中有缺陷的Fujisaki–Okamoto拒绝检查导致密钥恢复

2026-09-28T00:00:00+09:00

One Unverified Coordinate Is Enough: Key Recovery from Faulty Fujisaki–Okamoto Rejection Checks in ML-KEM IACR ePrint · 2026年9月28日本文研究ML-KEM中Fujisaki–Okamoto变换的重加密检查存在错误实现时的安全问题。作者指出，部分已部署实现会跳过条件判断或截断密文比较，并证明只要有一个密文坐标未被验证，攻击者即可通过最小二乘法从有界误差观测中恢复密钥。文中给出在规则性假设下的样本复杂度，并在模拟实现上于三个参数集上完成完整恢复。 ★★★★★ 值得关注：发现仅一个未验证的密文坐标即可用最小二乘恢复ML-KEM密钥；作者给出O(kn log kn)次观测可识别密钥的证明，并在模拟的不完整比较实现上报告全参数集的恢复。

本地伪随机生成器的改进密码分析

2026-09-28T00:00:00+09:00

Improved Cryptanalysis of Local PRGs IACR ePrint · 2026年9月28日本文针对以 XorMaj 谓词构造的本地伪随机生成器（PRG），提出两种种子恢复攻击。对局部性较大的情形，作者将 GAS 框架扩展为猜测-过滤-求解（GFS），在短输出时明显优于 GAS；另提出过滤-猜测-传播（FGP）攻击，相比 GADec 显著加速信念传播。两者亦被推广到 XorMod 谓词，并应用于两个协议，分别对证人不可区分性和 OT 接收者隐私构成攻击。 ★★★★ 值得关注：提出 GFS 与 FGP 两种针对局部伪随机生成器的种子恢复攻击，作者报告在 n=256、m=2^16 等参数下复杂度显著低于 GAS 与 GADec，并可扩展到 XorMod 与两个密码协议。

基于傅里叶分析的置换异或构造的量子安全性

2026-09-28T00:00:00+09:00

Quantum Security of XOR of Permutations via Fourier Analysis IACR ePrint · 2026年9月28日论文研究由 r 个独立随机置换异或而成的函数（XoP）在量子攻击者面前的安全性，证明其在 q ≤ 2^n/57774 的查询范围内与随机函数不可区分，远超量子生日界。作者用傅里叶分析的多项式方法给出界，并给出启发式攻击说明界可能紧。 ★★★★ 值得关注：论文证明了由 r≥2 个独立随机置换异或而成的函数，在 q≤2^n/57774 的量子查询下与随机函数的区分优势为 O(min{q³/2^{rn}, q^{1.5}/2^{(r-0.5)n}, 1/2^{(r-1.5)n}})，远超 2^{n/3} 的量子生日界；作者用傅里叶分析的多项式方法并借助压缩预言机完成证明，并给出启发式攻击说明界的紧性。

面向高效同态加密大模型推理的误差传播感知缩放设计

2026-09-28T00:00:00+09:00

Error Propagation-Aware Scale Design for Efficient Homomorphic Encryption-Based LLM Inference IACR ePrint · 2026年9月28日该论文针对基于 CKKS 方案的隐私保护大语言模型推理，提出一种考虑误差传播的缩放（scale）设计方法。作者分析各同态运算引入的数值误差如何在 Transformer 后续计算中传播，据此为每个操作分配合适的缩放与模数级别，避免过度保守。与 THOR 相比，该方法在标准 Transformer 上使模数消耗降低 30.0%，自举操作次数减少 83.6%；与 PowerFormer 相比，在对 HE 友好的 Transformer 上模数消耗降低 33.6%，自举次数减少 80%。

TPOKÉ：基于同源共享、由 POKÉ 构造的门限公钥加密方案

2026-09-28T00:00:00+09:00

TPOKÉ: Threshold Public-Key Encryption from POKÉ via Isogeny Sharing IACR ePrint · 2026年9月28日本文提出 TPOKÉ 系列门限公钥加密方案，基于 Basso 与 Maino 提出的高效同源公钥加密方案 POKÉ。作者给出两种构造：S-TPOKÉ 为主要方案，支持 (t,n) 门限；Ch-TPOKÉ 将各方的秘密同源以链式排列。相比朴素的并行构造，两者减少了加密时需计算的同源数量，并在 n 较大时使密文大小约减半。

量子建议下安全性的算子范数方法

2026-09-28T00:00:00+09:00

An Operator-Norm Approach to Security with Quantum Advice IACR ePrint · 2026年9月28日本文提出一种用于量子随机预言机与随机置换模型中非一致安全性的算子范数方法。该方法为搜索成功概率和区分优势提供统一的归约，并对Yao盒、伪随机生成器及加盐构造给出更紧的界。 ★★★★★ 值得关注：作者提出统一的算子范数方法处理量子随机预言机与随机置换模型下的非均匀安全，给出Yao盒子与加盐的紧界，并改进决策游戏的旧界。

乘法子群上 Reed-Solomon 列表的改进近容量下界

2026-09-28T00:00:00+09:00

An improved near-capacity lower bound for Reed-Solomon lists on multiplicative subgroups IACR ePrint · 2026年9月28日论文给出一种基础构造，在乘法子群上得到大规模的 Reed-Solomon 列表。对固定有理码率，列表大小的指数首项比 Arnon、Boneh 与 Fenzi 给出的对踵下界翻倍。作者还证明 S-two 白皮书通用列表规模猜想中的指数常数 c2 至少为 2。

将人与密钥绑定：一种安全的去中心化人格证明协议

2026-09-28T00:00:00+09:00

Binding Humans to Keys: A Secure Decentralized Proof of Personhood Protocol IACR ePrint · 2026年9月28日本文提出一种名为 S-GYID 的去中心化人格证明协议，用于在没有可信中心机构的情况下，将数字身份与唯一的真实个人进行密码学绑定。协议通过基于加密的数字指纹派生代替原始生物特征传输，以抵御身份盗用攻击和幽灵密钥攻击，并采用三层分代授权结构与基于 VRF 的会话选择来限制长期共谋。作者在标准密码学假设下证明了相关抗攻击性质，并给出会话捕获的超几何分析以确定参数设计规则。

几何伪造：对 MAYO 的结构性密码分析

2026-09-28T00:00:00+09:00

Geometric Forgeries: Structural Cryptanalysis of MAYO IACR ePrint · 2026年9月28日MAYO 是一种基于 UOV 的后量子签名方案，利用 whipping 变换使公钥更紧凑。本文提出首个利用其多元二次映射几何结构的结构性伪造攻击，并结合伪油攻击与降至二元域的方法，同时提出针对齐次多元二次映射的多目标归约。作者称，该组合攻击使 MAYO 第二轮 I 级和 III 级参数的估计安全位数分别降低约 18 和 16 位，其中 I 级参数低于要求的安全级别 15 位；对第三轮参数，攻击也分别降低约 6、4、2 位，使 MAYO2 低于要求 3 位。 ★★★★ 值得关注：首次利用MAYO中whipping变换产生的几何结构进行伪造攻击，并提出齐次MQ映射的多目标归约；摘要报告第二轮Level I参数低于所需安全等级15比特，第三轮MAYO2低于要求3比特。

ML-DSA掩码方案SUCRE：面向拒绝采样的洗牌与解掩码防护

2026-09-28T00:00:00+09:00

ML-DSA masking sweetened with SUCRE: Shuffle-and-Unmask Countermeasure for REjection sampling IACR ePrint · 2026年9月28日本文提出SUCRE，一种用于保护ML-DSA（NIST标准化的后量子签名方案）拒绝采样步骤、防范物理侧信道攻击的对策。它通过掩码组件在解掩码的同时随机置换向量系数，保持无穷范数不变，从而无需复杂的掩码转换。作者给出形式化安全证明，并基于新的模块带舍入学习（MLWR）变体假设进行了具体安全分析；实现上比Coron等人（TCHES 2024）的方法快四到六倍，但内存占用增加。 ★★★★ 值得关注：提出SUCRE，一种在解掩码时随机置换系数的门，以保护ML-DSA拒绝采样；作者给出d-probing下的形式化证明，并分析新的MLWR变体；报告比Coron等人快四至六倍，但内存占用增加。

分圆陪集：素数幂模数下的隐子群与量子筛法算法

2026-09-28T00:00:00+09:00

Cyclotomic Cosets: Hidden Subgroup and Quantum Sieving Algorithm for Prime-Power Moduli IACR ePrint · 2026年9月28日该论文针对后量子密码基础假设LWE，提出分圆陪集问题（CCP），作为二面体陪集问题的分圆推广，并保留精确的隐子群结构。作者利用分圆环中的π进理想链，构造了逐步约简相位态的量子筛法，对固定素数p和模数q=p^t，可在2^{O_p(log n log q)}时间与样本复杂度下求解CCP，并将结果推广到均匀EDCP与高斯情形。作者强调，该结果本身并不能给出标准LWE的拟多项式时间算法。 ★★★★ 值得关注：提出循环群陪集问题CCP，并给出基于π-adic理想链的量子筛法，将2的幂模情形推广到素数幂模，在p固定、q=p^t时摘要报告拟多项式时间（q=poly(n)），但不直接给出标准LWE的算法。

NGCC格基KEM的解密失败：相关块、遗漏的压缩噪声与查询上限下的失败增强

2026-09-28T00:00:00+09:00

Decryption Failures in NGCC Lattice KEMs: Correlated Blocks, Omitted Compression Noise, and Failure Boosting under a Query Cap IACR ePrint · 2026年9月28日本文重新计算中国NGCC后量子竞赛中若干格基KEM的解密失败概率，并估计在2^64或2^80次解封装查询上限下寻找弱密文的离线搜索代价。研究指出三类机制：解码块中的相关性、Cheetah中遗漏的压缩噪声项，以及Rudraksh2和Scabbard二维编码中的有界噪声。作者报告多个参数集的失败概率低于其声称的名义水平，但不恢复任何密钥。 ★★★★ 值得关注：指出NGCC格基KEM的多种解码失效机制（相关解码块、省略的压缩噪声、二维码的有界噪声），重新估计失效率，报告若干参数集的失效代价低于名义安全等级。

基于群作用的自适应UC安全不经意传输

2026-09-28T00:00:00+09:00

Adaptively UC-Secure Oblivious Transfer from Group Actions IACR ePrint · 2026年9月28日本文提出首个基于群作用（以CSIDH等有效群作用为假设）的自适应UC安全不经意传输协议，发送方持两条消息，接收方只能获知其中一条且不泄露选择。作者沿用BC15框架，关键在于构造兼具SPHF友好性与IND-CCA安全性的加密方案，并给出可验证的变色龙哈希与基于随机预言模型的公开可验证加密，从而得到后量子安全的OT协议。

基于新标准假设的批量解密

2026-09-28T00:00:00+09:00

Batch Decryption from New Standard Assumptions IACR ePrint · 2026年9月28日本文研究批量解密：授权方发布一个短密钥，使公众能够解密选定的一批密文。受加密内存池（encrypted mempools）启发，作者给出两种授权语义与假设不同的构造。第一种是基于 Fiat 的 Batch RSA 的无纪元 RSA 群方案，解密提示仅为一个群元素，在随机预言机模型下于强 RSA 假设下证明自适应安全。第二种是基于纪元模型的通用构造，依赖计算性 Diffie-Hellman 假设实例化。 ★★★★ 值得关注：作者在RSA群中给出无需预设批量上界、密钥与密文大小与批量无关的紧凑批解密构造，摘要报告其在随机预言机模型下于强RSA假设下自适应安全；另给出基于epoch模型的通用IBE批解密构造，并称由CDH假设实例化。

通用群中多实例问题的界：逆 Diffie-Hellman 的特殊情形

2026-09-28T00:00:00+09:00

Generic Bounds for Multi-Instance Problems: The Strange Case of Inverse Diffie-Hellman IACR ePrint · 2026年9月28日本文研究素数阶群上多实例问题（给定 n 个独立实例、解出至少 k 个即成功）的通用群困难性，涵盖多实例 CDH、SDH、IDH 与 LKDH。结果显示多实例 CDH 和 SDH 在通用群中与解 k 个独立离散对数相当困难；而多实例 IDH（及 LKDH）在某些参数范围内可能明显比多实例 CDH 更容易。所有问题均提供 1/2(log(p)+log(k)) 比特安全性。作者扩展了 Yun 的超平面查询模型，并借助代数几何（Gröbner 基与 Krull 维数）推导下界。 ★★★★★ 值得关注：作者在通用群模型下给出多实例问题的上下界，指出多实例IDH在某些参数下可明显易于多实例CDH，并扩展了Yun的超平面查询模型。

AEBAP：一种面向无线网络、基于椭圆曲线加密的高效认证协议

2026-09-29T00:00:00+09:00

AEBAP: An Efficient ECC-Based Authentication Protocol Designed for Wireless Networks IACR ePrint · 2026年9月29日本文提出 AEBAP，一种基于椭圆曲线密码（ECC）的高效认证协议，面向资源受限的物联网无线通信场景。该协议旨在实现双向认证和数据完整性，并抵御被动与主动攻击。作者通过实验实现评估其性能，并使用非形式化推理及 Scyther、ProVerif 等形式化验证工具进行安全性分析。文中称其在计算和通信开销较小的同时提供较强的安全保证。

对 Orthros、Gleeok、ZIP-AES 与 ZIP-GIFT 的改进差分-线性密码分析

2026-09-29T00:00:00+09:00

Improved Differential-Linear Cryptanalysis of Orthros, Gleeok, ZIP-AES, and ZIP-GIFT IACR ePrint · 2026年9月29日本文改进了差分-线性区分器，并对 Orthros、Gleeok、ZIP-AES、ZIP-GIFT-64 和 ZIP-GIFT-128 等伪随机函数的简化轮数版本给出密钥恢复攻击。作者将 Orthros 的分析覆盖从 7 轮扩展到 9 轮，Gleeok-128 从 4 轮扩展到 5 轮，并给出 ZIP-AES、ZIP-GIFT 等的区分器与攻击结果。攻击借助自动化差分与线性路径搜索，并结合已有的轮级相关性估计方法。

在仿射填充 Rabin 预言机下分解 RSA 模数：一种 SNFS 量级的新攻击

2026-09-29T00:00:00+09:00

Affine-Padding Rabin-Oracle Factoring in L_nleft(frac13,√[3]frac329right) IACR ePrint · 2026年9月29日该论文基于 JNT 构造，研究在带仿射填充的 Rabin（e=2）平方根预言机下分解模数 n 的方法。作者用单侧数域筛法得到平方同余式，每次依赖以 1/2 概率得到非平凡因子，复杂度为 L_n(1/3, (32/9)^(1/3))，低于一般数域筛法。文中还称开源实现已验证该方法的实际速度提升。

GKR 协议用于稀疏 Merkle 更新的机器验证可靠性证明

2026-10-05T00:00:00+09:00

Machine-Checked Soundness of the GKR Protocol for Sparse-Merkle Updates arXiv · 2026年10月5日本文针对基于 GKR 协议的认证数据结构更新证明，在 Isabelle/HOL 中机器验证了协议可靠性、算术化正确性及叶子节点承诺绑定性，并证明了对于错误输出声明，由多层 sumcheck 接受错误结果的概率上界为 (s_out + Σ(2 s_i d_i + 1))/|F|。作者将该界在 31 位 KoalaBear 域的四次扩域上实例化，分母约为 2^124。范围仅限交互式公开币协议，不包括 Fiat-Shamir 变换、知识可靠性和零知识。

同行评审应当约束评价权力

2026-10-02T00:00:00+09:00

Peer review should constrain evaluative authority arXiv · 2026年10月2日这篇论文主张，同行评审改革的重点应从提升评审人水平或汇总判断，转向在评价不确定性长期存在的前提下约束评价权力。作者提出“权力受限的同行评审”，要求具有重大影响的判断在被视为决策依据前，先经过结构化审查，并提出了批评与权力分离、独立二次评审、可质疑与可撤销以及对缺乏依据的影响承担责任等机制。

在不损失可监控性的前提下，针对探针进行训练以实现对齐

2026-09-30T00:00:00+09:00

Alignment via Training Against Probes Without Losing Monitorability arXiv · 2026年9月30日该论文研究以探针引导的微调方法：用检测模型激活中不良属性的探针作为直接训练信号，在无害性与诚实性两个对齐目标上进行评估。结果显示，训练时固定不变的探针容易被利用，而持续更新的探针能显著降低有害性、提升诚实性并保持实用性，且优于DPO和推理时引导，对越狱与消融攻击更具鲁棒性。此外，微调后相关概念仍保持线性编码，监督能力得以保留。

并非自我可判定：大模型无法划定智能体验证器能检查的边界

2026-10-04T00:00:00+09:00

Not Self-Decidable: LLMs Cannot Draw the Boundary of What an Agent Verifier Can Check arXiv · 2026年10月4日该论文研究智能体的验证问题：有些规则可以用固定检查判定，有些则需要人工判断。作者在六个语料库上收集了约22000个标注，发现大模型在明确问题上一致，但在监管文本上分歧很大且误差方向相反，因此不能把模型判断当作可靠依据。作者提出CoVer方法，只有通过干预、字段读取和确定性改写等检验的规则才被接受，并指出自我可判定性是验证器必须构建的边界，而非可以从模型中激发的能力。 ★★★★ 值得关注：论文用六个语料约22000个标注表明大模型无法自行判定智能体验证器的可判定边界，并提出CoVer门控机制：只有通过干预、字段读取和改写稳定性检验的谓词才被接纳；作者称基于参考法官的一致性无法带来真正的可判定性。

Penumbra：面向监管义务的高效对抗搜索方法

2026-10-04T00:00:00+09:00

Penumbra: Sample-Efficient Adversarial Search for Regulatory Obligations arXiv · 2026年10月4日该论文提出 Penumbra，一种用于监管红队测试的对抗搜索方法：从一个已验证的合规回答出发，逐步扩大编辑范围，直到两个评估者组成的委员会改变判断，并输出位于判定边界两侧的相邻回答对。论文在金融咨询和临床分诊两套规则中测试，共得到 144 对和 49 对回答，其差异往往只有几个词。

COPEX：评测大语言模型在模型上下文协议（MCP）各层面对对抗性上下文时的稳健性

2026-10-03T00:00:00+09:00

COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol (MCP) Layers arXiv · 2026年10月3日该论文提出 COPEX 基准，将模型作为 MCP 客户端单独隔离，固定周边智能体组件，只改变负责选择工具的模型。基准涵盖 25 类攻击、125 个场景，分布于模型/智能体、客户端、服务端/工具和传输四个入口。在 9 个模型、3375 次试验中，平均攻击成功率为 64.4%；对输入与上下文进行组合扫描的防御，在八类攻击子集上相对未防御设置使平均攻击成功率降低 49.6%。 ★★★★ 值得关注：针对MCP中模型作为工具选择者面临的对抗性上下文攻击，固定周边代理环境、仅改变工具选择模型，构建覆盖125个场景、3375次试验的受控基准，并报告防御扫描可使攻击成功率平均下降49.6%。

CHAMP：基于矩阵乘积的凯莱哈希

2026-10-03T00:00:00+09:00

CHAMP: Cayley HAshing with Matrix Products arXiv · 2026年10月3日Cayley 哈希函数把消息的比特表示为半群元素并相乘，从而获得有用的同态性质。本文提出 CHAMP，一种基于有限域上 2×2 矩阵乘积的 Cayley 哈希函数，并讨论其安全性、实现和性能。

重新思考大语言模型路由中的质量：基于安全条件的模型与预算选择

2026-10-14T00:00:00+09:00

Rethinking Quality in Large Language Model Routing: Security-Conditioned Model-and-Budget Selection arXiv · 2026年10月14日原文信息不足，暂无简介

带凭证的行动：为可重放的工具智能体审计联合绑定声明、证据与执行

2026-09-29T00:00:00+09:00

Actions with Receipts: Jointly Binding Claims, Evidence, and Execution for Replayable Tool-Agent Auditing arXiv · 2026年9月29日论文指出，工具型智能体的引用和执行日志可能彼此分离，用户看到的声明未必来自已提交的执行。作者提出以声明为锚点的执行契约，将声明、精确的来源片段、产生该声明的有序执行前缀以及来源版本和访问状态绑定在一起，并用确定性完整性校验器检查。在1,280次跨对象攻击测试中，联合契约检测到1,275次替换（0.9961）。

VStress：面向重复验证器的相关性感知审计与自适应预算分配

2026-09-29T00:00:00+09:00

VStress: Correlation-Aware Auditing and Adaptive Budget Allocation for Repeated Verifiers arXiv · 2026年9月29日该论文提出 VStress 可审计的重放协议，以及 VStress-CA 相关性感知分配策略，用于判断重复调用验证器是否仍能带来新的条件信息，并在信息不足时停止或弃权。作者在受控实验中测量了不同腐败比例下多数投票的效果边界，并比较了固定预算下的多种分配方式。论文还显示，相关性诊断从同模型重复调用到跨模型族调用逐步增加。

基于分类体系对齐大语言模型的开源软件威胁自动检测

2026-10-01T00:00:00+09:00

Autonomous OSS Threat Detection via Taxonomy-Aligned LLMs arXiv · 2026年10月1日本文提出一种用于开源软件供应链威胁自动检测与多类分类的大语言模型框架，涵盖五类攻击，并基于999起已验证的真实事件构建数据集。使用GPT-4进行分类体系对齐提示，框架在五个类别上达到97%的准确率和97%的宏F1值。与多种基线方法的比较显示，分类体系对齐提示比模型规模、领域预训练或微调更关键。

多机构科学人工智能的隐私基础：一种声明与审计框架

2026-09-30T00:00:00+09:00

Privacy Foundations for Multi-Institutional Scientific Artificial Intelligence arXiv · 2026年9月30日本文讨论科学人工智能在国家实验室、高校、医院和企业之间共享时的隐私风险，指出差分隐私、联邦学习等现有技术各自只保护系统的一部分，且保证难以跨机构组合。作者提出由保护对象、观察者、通道、允许披露、保证和证据六要素构成的框架，用于陈述、比较和审计隐私声明。文中还指出超算设施中的调度与遥测元数据及仪器侧信道等特定缺口，并列出六项研究优先方向。

SecJev：为系统一决策模型引入安全专业知识

2026-10-02T00:00:00+09:00

SecJev: Bringing Security Expertise to System One Decision Models arXiv · 2026年10月2日该论文提出SecJev，据作者所知是首个面向安全领域的Jev式决策模型系列，参数规模从0.8B到9B。模型基于Kev的单次前向候选打分器，从文本、遥测和观测历史中学习布尔、选择及有序决策，并构建了覆盖14项任务和8个来源的SecJev-Corpus数据集。论文称安全专门化训练提升了整个模型系列的表现，其中SecJev-0.8B在任务宏观准确率上比通用Kev-9B高出20.51个百分点。

在现代推理引擎上的自适应协同服务大模型水印（SWIFT）：把大模型水印与推理基础设施一起设计，兼顾文本质量、可检测性和服务效率。

2026-10-03T00:00:00+09:00

Adaptive Co-Serving LLM Watermarking on Modern Inference Engines arXiv · 2026年10月3日该论文指出，现有大模型水印方法多只关注算法，常引入额外模型或外部工具，增加延迟与内存开销。作者提出SWIFT框架，在共享的大模型后端内同时完成生成与水印构建，并通过异步协同服务与自适应调度降低延迟、利用vLLM优化提升效率。实验显示其效用得分为4.87，检测准确率为99.65%（低延迟基线SynthID为76.65%），在水印移除攻击下检测率最高达97.7%，延迟比效用最高的基线SafeSeal低5.9倍。

Control OSWorld：面向图形界面计算机使用智能体的AI控制评测环境

2026-10-02T00:00:00+09:00

Control OSWorld: An AI Control Environment for GUI Computer Use Agents arXiv · 2026年10月2日该论文提出Control OSWorld，一个用于评测AI控制的环境，将OSWorld中的318个任务与81个有害的隐蔽副任务（如窃取私人文件）配对，考察图形界面智能体能否在不被发现的情况下完成有害操作。作者用它研究能够识别恶意智能体操作的监控器：在看到完整轨迹时，较弱的监控器能以3%误报率达到97%的召回率；但若需在每一步执行前逐步打分，低误报率下的召回率会下降。此外，监控器能否读取智能体的可见文本至关重要，而截图带来的额外价值有限。

《她在海岸边欺骗海船》：全球海运交通中大规模GPS欺骗的测量研究

2026-09-29T00:00:00+09:00

She Spoofed Sea Ships by the Sea Shore: Measuring Large-Scale GPS Spoofing in Global Maritime Traffic arXiv · 2026年9月29日本文首次对海运GPS欺骗进行大规模测量，利用全球船舶自动识别系统（AIS）数据，识别出多艘船只同时发生的物理上不合理的位置偏移区域。研究分析了约36.7万艘船只在2024年11月底至2025年2月初的数据，识别出31个持续性异常热点，其中至少22个有较强的GPS欺骗证据，且空间和时间分布与地区冲突及经济制裁相吻合。研究还指出，红海的欺骗活动在集装箱船MSC Antonia搁浅事件前数月已存在，这一点此前未被记录。 ★★★★★ 值得关注：首次大规模测量海事GPS欺骗，提出运动感知的区域检测框架，在超过36.7万艘船只的AIS数据中识别出31个持续异常热点，其中至少22个显示GPS欺骗迹象，并发现红海和霍尔木兹海峡的欺骗活动早于相关事件。

按层衡量LLM智能体防御：GDA度量与信封层攻防模型

2026-09-30T00:00:00+09:00

Measuring LLM Agent Defenses by Layer: GDA Measurement and an Envelope-Layer Attack-Defense Model arXiv · 2026年9月30日该论文针对ACP、A2A等智能体交互协议中的间接提示注入风险，指出仅看攻击成功率无法判断防御薄弱层。作者提出GDA度量方法，将结果分为A、B、C、D四类，分别对应语义拒绝、语义突破、拦截和渗透，并构建A2A-TIBA攻击原则与ELA-ITL三层攻防模型。消融实验显示，对不可信内容加以标注能明显提高对恶意内容的识别。

黎曼变换抑制运动想象脑电跨会话身份泄露

2026-10-11T00:00:00+09:00

Riemannian Suppression of Cross-Session Identity Leakage in Motor-Imagery EEG arXiv · 2026年10月11日运动想象脑电信号中含有可识别个人身份的结构，且在不同会话间持续存在，使同一人的多次会话可被关联。本文提出一种直接在协方差表示上进行的黎曼变换，对均值与切空间散布进行均衡，无需学习隐私模型。在两个公开数据集上，最强攻击者的识别率显著下降，同时运动想象解码准确率有一定损失。

基于狄利克雷卷积的对称加密方案

2026-10-03T00:00:00+09:00

Symmetric Cryptography via Dirichlet Convolution arXiv · 2026年10月3日本文提出一种用于数字数据加密的新型对称密钥密码，宣称实现快速、省内存，并能抵御经典、AI辅助及量子攻击。该方案基于有限域上的广义狄利克雷卷积，并从信息论角度分析其对明文攻击的安全性。文章指出其非局部结构可实现明文加盐，在允许受控密钥重用的同时提供防护；在有限域F_p（p>2）上可证明达到信息论安全，而在F_2上仍存在一定信息泄露，因此密钥重用次数有限。

通过开放世界安全构建可信赖的家用机器人

2026-10-01T00:00:00+09:00

Building Trustworthy Household Robots through Open-World Safety arXiv · 2026年10月1日这篇立场论文指出，基础模型让家用机器人能处理更多物品并执行复杂指令，但家中环境杂乱多变，机器人常遇到不熟悉的物体和任务。作者主张家用机器人应在未见过的情况下（包括无法完成任务时）仍能遵守既定安全要求，并提出规范、学习、落地、强制执行和评估安全保护的研究议程。

Argos：面向分布式边缘安全编排的多租户 SaaS 架构

2026-09-29T00:00:00+09:00

Argos: A Multi-Tenant SaaS Architecture for Distributed Edge Security Orchestration arXiv · 2026年9月29日本文提出 Argos，一种多租户 SaaS 命令与控制（C2）架构，用于对分布式边缘设备进行透明、自动化的长期编排。该框架提供基于角色的访问控制、租户隔离、持久化任务管理和基于 cron 的工作流自动化。论文在三台地理分布的边缘设备上执行了 810 个映射到 MITRE ATT&CK 技术的自动化任务，全局失败率为 3.33%（95% Wilson 置信区间为 [2.30%, 4.81%]），ARM 与 x86 之间无统计学显著差异。论文还公开了评估方法、脱敏数据集和统计脚本。

相位键控傅里叶曲线调制的密钥重用漏洞：关系泄露与编码链路上的密钥更新成本

2026-10-01T00:00:00+09:00

Key-Reuse Vulnerability of Phase-Keyed Fourier-Curve Modulation: Relation Leakage and Key-Refresh Cost on Coded Links arXiv · 2026年10月1日该论文指出，仅凭密钥空间大小和无密钥接收机的误码率来判断此类调制安全性并不可靠，密钥重用时谐波耦合会泄露信息。作者针对相位键控傅里叶曲线星座，利用谐波指数之间的整数关系构造攻击，在一个码字一个密钥的设定下，在多数工作点上使窃听者的误块率达到预设的0.1妥协标准。文中还比较了人工噪声等对策及不同密钥更新策略的成本。

Aletheia：面向编程智能体规则的权限最小化测试

2026-09-30T00:00:00+09:00

Aletheia: Permission-Minimality Testing for Coding-Agent Rules arXiv · 2026年9月30日该论文提出 Aletheia 框架，用于检测编程智能体（如 AGENTS.md 和 Cursor 规则）中请求的权限是否超出完成任务所必需的范围。它逐一移除规则中的权限声明，在受限沙箱中重新执行任务，若任务仍能通过功能测试，则将该权限标记为不必要并标记相应规则文件为可疑。作者在含提示注入攻击的规则集上检测到全部 314 个攻击，良性规则中误报 3 个。

评估并提升大语言模型对输入序列变化的鲁棒性

2026-10-02T00:00:00+09:00

Evaluating and Improving the Robustness of Large Language Models to Input Sequence Variations arXiv · 2026年10月2日本文研究大语言模型在面对提示注入、后门攻击和自动评分被操纵等对抗性输入变化时的稳健性。作者提出基于 Jensen-Shannon 散度的生成式鲁棒性指标 R_stab(f)，并针对 LLM 作为评判者的系统开发了自适应黑盒攻击 ASA，攻击成功率最高达 73.8%。此外，作者提出用于工具调用认证的 AttestMCP 及隔离模式，在 MCPBench 的 847 个场景中将平均攻击成功率从 53.7% 降至 12.4%。 ★★★★ 值得关注：提出基于JS散度的生成式鲁棒性指标R_stab(f)、自适应攻击ASA与AttestMCP防护方法，并在MCPBench等基准上报告ASR从53.7%降至12.4%。

Pretext：绕过 AI 智能体恶意技能检测框架的攻击方法

2026-09-30T00:00:00+09:00

Pretext: Defeating Malicious Skill Detection Frameworks for AI Agents arXiv · 2026年9月30日该论文研究 AI 智能体的“技能”（外部注入指令的扩展组件）被恶意利用的风险。作者提出白盒攻击工具 Pretext，能迭代生成既能规避检测、又能完成恶意载荷投放与正常任务的技能。实验显示，在三个开源模型上，它对固定检测器的规避率最高达 97%，对共同适应的检测器最高达 77%，表明现有技能扫描器存在明显漏洞。

APEX：在LLM智能体执行边界处的主动防护（论文）

2026-10-04T00:00:00+09:00

APEX: Active Protection at Execution Boundaries for LLM Agents arXiv · 2026年10月4日论文针对大语言模型智能体在运行时读取内容中被隐藏的间接提示注入攻击，提出在执行边界（智能体把内部状态转化为外部动作或输出的环节）进行防护。APEX依据任务执行前编译的授权合约，一方面只在合约证明合理时放行效果，另一方面让未获授权的数据使用在生效前暴露。论文称其在13个基线方法对比中，六个基准中五个攻击成功率为0%，另一个为0.56%，并在自适应攻击下表现稳定。 ★★★★★ 值得关注：将防御从攻击模式转向执行边界，由单一授权契约统一约束，结合证据门控与欺骗暴露两种机制；摘要报告在13个基线上六个基准中五个攻击成功率为0%、另一个为0.56%，并称自适应攻击下三类能力单元均为0%。

SERA-IDS：基于结构化经验检索增强、使用小型语言模型的入侵检测方法

2026-10-03T00:00:00+09:00

SERA-IDS: Structured Experience Retrieval-Augmented Intrusion Detection with Small Language Models arXiv · 2026年10月3日论文提出SERA-IDS框架，让小型语言模型从分类错误的网络流量中学习结构化规则，并在测试时检索与查询流量条件匹配的规则辅助判断。在NF-BoT-IoT与NF-ToN-IoT数据集上，三种本地可部署的小模型宏F1显著提升，且无需微调或付费推理。

防御手段能否应对各类LLM提取攻击？一项黑盒模型提取的全生命周期基准测试

2026-10-01T00:00:00+09:00

Do Defenses Against LLM Extraction Work Across Attacks? A Lifecycle Benchmark of Black-Box Model Extraction arXiv · 2026年10月1日论文提出统一基准，涵盖六种模型提取攻击、十种防御手段以及两种自适应攻击。自适应攻击会在训练替代模型前改写或回译受保护的回复。基准在各次比较中统一控制模型配置、查询数据、预算和评估条件，并衡量替代模型的能力、与受害模型的一致性、输出质量及对查询预算的敏感度。

哪个图像属性承载了越狱？对图像转文本越狱攻击的受控拆解

2026-10-04T00:00:00+09:00

Which Image Property Carries the Jailbreak? A Controlled Dissection of Image-to-Text Jailbreaks arXiv · 2026年10月4日本文在一个含313条提示的StrongREJECT子集上，考察四类已发表的图像转文本越狱攻击中图像侧的各种因素，使用五个多模态模型并补充InternVL3.5-8B的附录评估。结果显示，单纯的有害文本查询几乎无法成功攻击，而攻击图像显著提高成功率；每块图像区域的熵和JPEG大小无法可靠区分攻击图像与尺寸相同的良性干扰图。在Qwen3-VL-8B上，移除与查询相关性的操作使攻击成功率下降约0.12，但结论仍依赖于自动评分裁判。

音频越狱攻击在哪里？基于 Qwen2-Audio 对 AdvWave-P 的频率与层深受控审计

2026-10-04T00:00:00+09:00

Where Does the Audio Jailbreak Live? A Controlled Frequency-Depth Audit of AdvWave-P on Qwen2-Audio arXiv · 2026年10月4日本文对 Qwen2-Audio 上的加性音频越狱攻击 AdvWave-P 的频率和解码层深度结论进行审计，方法是在短时傅里叶变换域屏蔽扰动的频率分量并观察攻击成功率。在 520 条 AdvBench 提示上，主要评判将 76.7% 的对抗输入判为越狱。频率排名结果依赖于频带划分方式，细粒度 16 频带下屏蔽 7520-7960 Hz 仍使攻击成功率降至 0.10，但该结果缺少匹配对照而未定论。作者认为结果支持对频率结论进行划分感知的审计，但并不构成因果定位。

TARE：先给从未被投毒的同构模型称重，再读后门防御的代价

2026-10-04T00:00:00+09:00

TARE: Weigh a Never-Poisoned Twin Before Reading Backdoor-Defense Costs arXiv · 2026年10月4日后门防御排行榜常把干净准确率的下降当作移除代价，但这一下降混入了防御对任何模型的影响，以及受害模型自身的起点。作者提出TARE，用同一配方、调度和随机种子下从未被投毒的孪生模型来扣除这部分影响，剩下的即为“tare”（扣除量）。文中还提供了配套补丁、签名的tare数据表和无需孪生模型的估计器TARE-Z。 ★★★★ 值得关注：提出以无毒孪生模型校正后门防御清洁精度代价的思路，并用调度器的2×2对照实验指出基准评测的一处缺陷；在BadNets上对八种防御给出孪生模型上的精度变化。

ASAP：面向二进制反编译的汇编-源码对齐伪代码精修框架

2026-09-30T00:00:00+09:00

ASAP: Assembly-Source Aligned Pseudocode Refinement For Binary Decompilation arXiv · 2026年9月30日二进制反编译常用大模型优化传统规则反编译器生成的类 C 伪代码，但伪代码有损且常含错误，优化程度高时尤甚。本文提出 ASAP 框架，通过对比学习对齐源码与汇编表示，用 Q-Former 将汇编特征压缩为固定数量的汇编令牌，与伪代码共同输入模型，并以随机掩码和相对汇编优势损失减少模型忽略汇编的倾向。在两个基准上，其重执行率由 64.7% 提升至 71.9%，重编译率由 91.6% 提升至 96.6%。

多项式空间中的幺正复杂性

2026-10-03T00:00:00+09:00

Unitary complexity in polynomial space arXiv · 2026年10月3日该论文证明：若量子承诺存在，则要么幺正合成问题没有多项式时间解，要么 BPP 不等于 NEXP。它还提出了 unitaryP 与 unitaryPSPACE 两个幺正复杂性类的新定义，并证明 unitaryPSPACE 可以一般性地消除垃圾量子比特。 ★★★★★ 值得关注：作者称若量子承诺存在，则统一综合问题或无多项式时间解，或BPP≠NEXP；并提出unitaryP与unitaryPSPACE的新定义，用于刻画酉复杂度。

带委托克隆的量子火焰：一种可委托克隆的量子密码原语

2026-10-03T00:00:00+09:00

Quantum Fire with Delegated Cloning arXiv · 2026年10月3日这篇论文研究量子火焰（quantum fire），即可以高效克隆但难以通过经典通信重建的量子态。作者提出可委托量子火焰，使克隆需要独立密钥，并在经典预言机模型下给出两种构造：一种使用经典密钥，另一种使用可克隆但不可分割或委托的量子克隆密钥“火炬”（torch）。论文声称后者在多项式时间攻击者下，持有m个火炬时，无法以不可忽略的概率让超过m个不能通信的参与方各自克隆新的挑战火焰。

关于带简洁证明者的量子交互式证明

2026-09-30T00:00:00+09:00

On quantum interactive proofs with a laconic prover arXiv · 2026年9月30日本文研究两消息量子交互式证明系统，其中证明者的回应只有 ℓ 比特。作者引入复杂类 QIP_{ℓ-bit}(2)，并证明量子态区分问题对该类完备，因此该类位于量子统计零知识（QSZK）之上。文章还给出该类坍缩到 QSZK 的若干简单条件，以及在量子公共硬币设定下交互无用、问题落入 BQP 的结果。 ★★★★ 值得关注：给出QIP_ℓ-bit(2)的多态区分完整刻画，并证明QSD在a-b≥1/O(log n)时属于QSZK，同时改进SD与SZK的结果。

量子随机预言机模型下 QMA 的简洁论证

2026-09-29T00:00:00+09:00

Succinct Arguments for QMA in the Quantum Random Oracle Model arXiv · 2026年9月29日本文在量子随机预言机模型（QROM）中构造了首个 QMA 的简洁论证，不依赖额外的密码学假设或未证明的猜想。其核心是一种保持效率的变换，把量子交互式预言证明（QIOP）编译为同一语言的量子论证，采用量子承诺-打开范式。论文还形式化并构造了在 QROM 中支持局部打开的可提取量子态向量承诺。 ★★★★★ 值得关注：在量子随机预言机模型下首次构造QMA的简洁论证，仅依赖无结构的困难性假设；摘要报告给出一种保持效率的QIOP到量子论证的编译方法，并构造了可提取的量子态向量承诺。

《中毒的对话：统一多模态模型中的隐私泄露水印》：说明模型如何在图像中隐藏可检测的标记，从而泄露对话中的敏感信息。

2026-10-05T00:00:00+09:00

The Poisoned Conversation: Privacy-Leaking Watermarks in Unified Multimodal Models arXiv · 2026年10月5日论文提出“隐私泄露水印”（PLW），即恶意模型提供方可依据此前的聊天记录，在之后生成的图像中嵌入不可见、由触发条件决定的水印。即使用户在本地部署模型，对话中提及的敏感关键词也可能通过图像暴露。作者在13类敏感属性触发条件和两个模型系列上进行了测试，PLW在1%误报率下的真阳性率最高达100.0%。

AutoDP-LLM：用大语言模型自动生成入侵检测系统的数据预处理流程

2026-10-05T00:00:00+09:00

AutoDP-LLM: Automating Data Pre-processing for Intrusion Detection Systems using Large Language Models arXiv · 2026年10月5日该论文提出AutoDP-LLM框架，利用大语言模型自动生成并验证可执行的数据预处理流水线，以减少人工反复调试和计算开销。框架结合确定性规划与LLM专家智能体，依据语义推理和训练统计信息自适应地保留特征集。在UNSW-NB15和NSL-KDD数据集上的多分类入侵检测实验显示，其检测性能与传统特征选择方法相比具有竞争力，同时能生成紧凑且可执行的预处理流程。

反思与碎片：防范序列化马赛克攻击的大语言模型安全研究

2026-10-05T00:00:00+09:00

Reflections and Fragments: Securing LLMs Against Sequential Mosaic Attacks arXiv · 2026年10月5日该论文研究多轮对话中的“马赛克攻击”，即单条提示看似无害、组合后却构成有害内容的攻击方式。作者提出一种在线状态机制（watchman）来长期保存安全相关信息，并在一定假设下证明其可实现零失败防御且保持有益性。实验中，通过多轮自博弈训练攻击者与防御者两种角色的LoRA适配器，结果显示两者能力均有提升，并在未见过的攻击目标上也观察到改进。

语法引导的代码水印与绿色温度方法（GTCW）

2026-10-05T00:00:00+09:00

Grammar-Guided Code Watermarking with Green Temperature arXiv · 2026年10月5日该论文提出 GTCW 方法，在大语言模型生成代码时嵌入可检测的水印。它在解码每一步只保留语法允许的候选词元，并将其划分为带密钥的绿色与红色子集，在高熵位置依据模型偏好对绿色词元重新加权。在五个模型和五个基准（涵盖四种编程语言）上，平均 AUROC 为 73.61%，高于最强基线的 67.83%，平均 Pass@1 为 59.18%，略低于未加水印生成的 59.58%。

Red-TTT：面向大语言模型自动越狱的测试时训练方法

2026-10-05T00:00:00+09:00

Red-TTT: Test-Time Training for Automated Jailbreaking Large Language Models arXiv · 2026年10月5日该论文针对大语言模型的越狱攻击问题提出Red-TTT方法。它在攻击每个目标行为的过程中更新攻击者的参数，每轮根据受攻击模型的回复进行策略梯度更新，并将训练目标改为以最佳样本为准。在120次采样预算下，该方法的平均攻击成功率从Best-of-N基线的55.9%提升至72.4%。 ★★★★ 值得关注：将测试时训练用于自动化越狱攻击，攻击者在每个行为的攻击过程中更新参数，把已发现的信息固化进权重；120样本预算下平均攻击成功率从Best-of-N的55.9%提升到72.4%。

你的智能体在为谁服务？主动式智能体中的提供方间接提示注入

2026-10-04T00:00:00+09:00

Who Is Your Agent Serving? Provider-Side Indirect Prompt Injection in Proactive Agents arXiv · 2026年10月4日该论文研究主动式个人智能体在推荐、个性化建议和后续协助决策中可能被外部提供方利用的攻击方式。作者提出目标控制、私有绑定和前瞻性支持三种机制，在三个环境和六种模拟用户模型中测试，完整攻击使目标授权率在所有组合中均有提升，最高宏观增幅达77.4个百分点。研究指出，为用户服务的能力可能被引导至用户与智能体关系之外的目标。 ★★★★ 值得关注：提出提供方间接提示注入这一新攻击面，说明外部提供方仅控制自身目标相关内容，就能让主动式代理推进其目标并借用用户可用上下文；在三类环境与六种用户模型下，完整攻击使目标授权在所有组合中提高，宏观增幅最高达77.4个百分点。

策略闸门能知道什么、不能知道什么：跨平台命令裁决的实测边界

2026-10-04T00:00:00+09:00

What a Policy Gate Can and Cannot Know: Measured Boundaries of Cross-Platform Command Adjudication arXiv · 2026年10月4日本文研究一种不解析 shell 语法、只根据已确定的类型化动作（动词、操作数、解析后的区域、程序对象身份）做出允许、询问或拒绝裁决的策略闸门，并在 Linux 环境下复现先前的 Windows 基准。冻结的 61 个测试用例全部通过且无误放行；50 个变异体中杀死 46 个（92.0%）。在执行器咨询该闸门后，25 次逃逸降为零，且未阻止任何良性请求。作者同时报告了凭证验证因扫描全部账本而产生的累积成本及其改进思路。

在边界处拦截：对长链路智能体进行分阶段提示注入审计

2026-10-04T00:00:00+09:00

Blocking at the Boundary: Auditing Long-Horizon Agents against Staged Prompt Injection arXiv · 2026年10月4日本文研究长链路智能体在执行前如何识别并拦截间接提示注入攻击。作者构建了自动化攻击生成流程，并对Claude Code和Codex进行测试，发现多个工作流场景中存在多步注入风险。论文提出边界动作审计任务，并设计了无需训练的审计方法PAA，用于在后果性操作发生前判断放行或拦截。 ★★★★★ 值得关注：提出阶段式提示注入及边界动作审计，并设计免训练的路径对齐归因方法PAA；在479对样本的基准上，摘要报告其拦截召回率达86%、误拦截率6-8%，优于ARGUS和VIGIL。

VulValidate：用可执行证据审计函数级漏洞标签

2026-10-04T00:00:00+09:00

VulValidate: Auditing Function-Level Vulnerability Labels with Executable Evidence arXiv · 2026年10月4日基于学习的漏洞检测依赖高质量标签，但由漏洞修复提交构建的数据集可能仅因函数被安全补丁修改就被标为有漏洞。VulValidate 利用 LLM 智能体协调动态分析工具，依据运行时反馈构造触发漏洞的实验，以判断函数级归因。作者审计了 BigVul、PrimeVul 和 DiverseVul 中原标为有漏洞的 35,849 个样本，确认 20,510 个，修正 6,819 个标签，另有 7,981 个未能定论，539 个无法测量。 ★★★★★ 值得关注：用LLM代理协调动态分析工具，为三大漏洞数据集的35,849个标签构造可执行证据进行审计；摘要报告确认20,510例、修正6,819例，并称盲审与重训练后F1有所改善。

私有分量逐个学习：一种在可实现设定下的差分隐私学习框架

2026-10-04T00:00:00+09:00

Private Component-by-Component Learning arXiv · 2026年10月4日该论文研究可实现设定下的差分隐私学习，假设由k个分量指定。作者用LabelBoost过程恢复样本的精确可实现性，并通过两个交替的存储库循环利用数据，使开销降至约√k/ε量级。将其应用于有限坐标网格上的d维半空间学习，样本复杂度有所改进，并可用于布尔组合的适当私有学习。

冷却地雷：LLM网关的跨租户干扰攻击

2026-10-04T00:00:00+09:00

Cooldown Landmines: Cross-Tenant Interference Attacks on LLM Gateways arXiv · 2026年10月4日该论文研究LLM网关中共享冷却记录带来的安全问题：一个租户的请求失败可能影响其他租户对可用模型部署的访问。作者在LiteLLM中发现两种攻击方式，并提出按来源检查与租户范围冷却的修复方案。实验显示，修复后受害租户的回退次数从54/60降至0/60。

剖析开源漏洞在智能体系统中的安全影响

2026-10-04T00:00:00+09:00

Characterizing Security Effects of OSS Vulnerabilities in Agent Systems arXiv · 2026年10月4日智能体在调用工具和与外部系统交互时越来越依赖开源组件，这些依赖中的安全漏洞可能通过工具输出、智能体状态和暴露给模型的信息向外扩散。本文研究已知开源漏洞在智能体工作流中被触发时的表现，并结合漏洞语义、漏洞版本与修复版本的差分执行以及跨多层的运行时溯源，判断漏洞是否产生可观测的安全影响，并确定其影响所能到达的最远层次。评估显示该方法能够较准确地区分已实现的漏洞影响及其边界，并在某真实智能体框架的文档化工作流中发现了多个源自开源依赖已知漏洞的安全影响。

面向轻量化空中5G基站：基于普通ARM平台的可复现OAI测试平台

2026-10-04T00:00:00+09:00

Toward Lightweight Aerial 5G gNBs: Reproducible OAI Testbed on Commodity ARM Platforms arXiv · 2026年10月4日本文研究由无人机搭载的5G基站，把核心网和中央单元放在地面，机载只保留回传端点、分布式单元和射频。作者用树莓派5与Jetson Orin Nano作为分布式单元进行实测，Jetson在以太网下行吞吐上保留了x86分离式分布式单元的88.4%。论文还公开了通过F1接口传递PWS灾害预警消息的OAI补丁，便于复现。

Jev 的隐藏风险：关于安全、隐私与双重用途的实证研究

2026-10-04T00:00:00+09:00

Hidden Risks of Jev: An Empirical Study of Security, Privacy, and Dual Use arXiv · 2026年10月4日该论文研究了 Jev 在应用中作为决策层部署时的安全与隐私问题，使用官方 API 和可控训练数据的本地模型 NanoJev 进行实验。研究考察了提示注入、训练数据投毒后门、通过受限输出推断敏感信息等攻击，并评估其在检测任务和误用场景中的双重用途。结果显示 Jev 仍易受上述威胁影响，其决策能力既可用于有益也可用于恶意目的。

长时程工具调用型AI智能体中自生成子目标的运行时授权

2026-10-04T00:00:00+09:00

Runtime Authorization of Self-Generated Subgoals in Long-Horizon Tool-Using AI Agents arXiv · 2026年10月4日本文研究长时程工具调用智能体在执行中自行产生子目标、重新规划和委派任务时的授权问题，指出逐工具的权限检查无法保证不断变化的目标图仍在主体批准的任务范围内。作者提出在有限结构化领域中，对每次目标图修改进行版本绑定的见证校验，并在原子提交边界重新检查每个受保护操作。实验在96个案例中显示，完整机制在48个偏离案例中未提交任何禁止状态，并完成了48个对应良性案例。 ★★★★ 值得关注：提出长时程工具使用智能体中自生成子目标的运行时授权机制，给出有限结构域内的形式化证明，并在模型探索与匹配案例实验中检验其阻止漂移的效果。

面向加密语言模型解码的静态自举放置方法

2026-10-04T00:00:00+09:00

Static Bootstrap Placement for Encrypted Language Model Decoding arXiv · 2026年10月4日该论文提出AR-HE系统，在同态加密下让服务器完成整个文本生成循环，包括加密状态下的词元选择与嵌入检索，客户端只需发送一次提示。系统采用无需搜索的统一规则放置自举操作，并通过跳过无效计算、合并共享操作数的自举以及加密缓存来降低开销。论文报告在单块NVIDIA H100上，GPT-2 small生成一个词元耗时544秒，优化前为4715秒。

WLPA：在最弱链路暴露下分配稀缺量子安全链路姿态的网络管理框架

2026-10-04T00:00:00+09:00

WLPA: A Network Management Framework for Allocating Scarce Quantum-Safe Link Postures under Weakest-Link Exposure arXiv · 2026年10月4日论文针对量子密钥分发等量子安全方案硬件稀缺、成本高的问题，提出WLPA框架，用于在硬件、延迟和合规约束下分配有限的量子安全链路。其核心思路是以分布式任务中最弱的活跃链路决定安全性，而非孤立地优化每条链路。作者在多种网络拓扑与实验中验证了该方法，并给出了何时现有启发式方法会失效的判别条件。

有限理性：人类与AI在网络防御中的认知层级比较

2026-10-04T00:00:00+09:00

Bounded Reasoning: Cognitive Hierarchy in Human-versus-AI Cyber Defense arXiv · 2026年10月4日本文研究在攻击图上的序贯网络防御博弈中，人类与自动化防御者（强化学习/DQN）的表现差异。研究比较了四种防御设置，共招募80名Mechanical Turk参与者并进行匹配的自动化模拟。结果显示，人类防御者会依据成败调整选择，而自动化防御者没有这种不对称；仅看整体平均分数会遗漏这些行为差异。

隐形墨水，可见谎言：生产级水印如何导致大模型幻觉

2026-10-04T00:00:00+09:00

Invisible Ink, Visible Lies: How Production Watermarking Causes LLMs to Hallucinate arXiv · 2026年10月4日本文研究文本水印对事实可靠性的影响，发现在检索增强生成场景下，水印会在上下文含有证据时仍诱发或放大事实错误，六种代表性方法均出现此现象。作者归因于当前步词元扰动与前缀引起的注意力漂移两种机制，并提出两种可嵌入现有方法的干预措施，在匹配的检测率下将事实错误减少约90%。 ★★★★ 值得关注：首次系统研究水印导致的幻觉：在受控RAG设定下，六种水印方法使证据在上下文中仍出现事实错误，作者归因于单步token扰动和前缀引起的注意力漂移，并提出可插拔干预，摘要报告在匹配TPR时错误减少约90%。

可信硬件加速的抗恶意方函数秘密共享（VIGOR-DFA）

2026-10-04T00:00:00+09:00

Trusted Hardware Acceleration for Malicious-Secure Function Secret Sharing arXiv · 2026年10月4日该论文提出 VIGOR-DFA，一种面向函数秘密共享（FSS）的可信硬件加速方案，用于两方隐私推理和隐私信息检索。方案通过新的认证收尾、先冻结再挑战的开启检查，以及带释放守卫的一次性资源账本，防御恶意主机和 GPU 的篡改与重放。作者在受保护模块模型下证明了带中止的独立静态恶意安全性，并与基于 Shark 协议族的恶意 FSS 做了模型对比，报告了延迟与能耗的改善以及恶意安全带来的额外开销。

利用地缘政治数据和大语言模型预测网络安全事件

2026-10-04T00:00:00+09:00

Forecasting Cybersecurity Incidents Using Geopolitical Data and Large Language Models arXiv · 2026年10月4日本文提出利用从新闻文章和播客转录文本中挖掘的地缘政治数据，借助大语言模型生成特征表示，并训练分类器基于历史事件预测未来网络安全事件。在超过15,700条事件记录的数据集上，仅用地缘政治数据即达到71.4%的ROC AUC；与网络测量特征结合后，表现（81.3%）优于仅用网络特征的现有方法（77.5%）。

用位置无关水印追踪模型生成的DNA

2026-10-04T00:00:00+09:00

Tracing model-generated DNA with position-independent watermarking arXiv · 2026年10月4日基因组语言模型可以生成不留来源痕迹的合成DNA。本文在Carbon和GENERator-v2两个模型中嵌入SynthID锦标赛水印，检测器在两条链、所有起始位置和四种窗口长度中搜索并校正多重检验。在1,544个留出提示的检测样本中，两个模型的3,088条带水印序列均被检出，包括未编辑及单碱基替换、插入或删除后的序列。论文仅证明统计检测能力，并不涉及生物学功能、密钥安全性或对了解检测器的编辑者的鲁棒性。

密钥预言机的不可区分性提升、压缩理想密码及其他应用

2026-10-04T00:00:00+09:00

Indistinguishability Lifting for Keyed Oracles, Compressed Ideal Cipher, and More Applications arXiv · 2026年10月4日本文证明一个通用的不可区分性提升定理：若两个基础预言机在量子查询下不可区分，则由它们构成的密钥预言机也不可区分，区分优势仅有 O(q^2) 的乘性损失（q 为查询次数）。作者由此将 Carolan 的压缩置换预言机扩展为可高效实现的压缩理想密码，并在量子理想密码模型下证明了 Davies-Meyer 压缩函数的原像抗性。此外，论文还给出一种可将量子安全的强伪随机置换消息长度加倍的模块化构造。 ★★★★ 值得关注：提出通用的量子不可区分性提升定理，损失为O(q^2)且紧，并据此将压缩理想密码的安全性归约到Carolan的压缩置换oracle，给出Davies-Meyer原像抗性证明。

当对话不是代码：比较模拟与开发软件的LLM智能体

2026-10-04T00:00:00+09:00

When Talk Isn't Code: Comparing LLM Agents That Simulate and Develop Software arXiv · 2026年10月4日该论文比较了大语言模型在两种模式下的表现：一种是在对话中扮演协议实现（模拟模式），另一种是编写实际程序并接受攻击测试（开发模式）。作者用同一套攻击套件评估15个模型在四种协议实现上的安全表现。结果显示，模拟模式可作为初步筛查，但不能替代对生成代码的实际测试。

StegoMemory：智能体记忆可被用作隐蔽的隐写通道

2026-10-04T00:00:00+09:00

StegoMemory: Agentic Memory Acts as Covert Steganographic Channel arXiv · 2026年10月4日该论文通过大规模红队测试，检验智能体记忆能否被攻击者用于跨会话隐蔽传递信息。研究在14,000次攻击试验中，用七种隐写方案把秘密字符串嵌入良性任务的回复，并评估其能否通过记忆写入后被恢复且不触发安全监督。结果显示约20.1%的试验实现了完全精确的恢复，其中71.4%同时通过了任务评分和安全审查，表明记忆可作为持久的跨会话隐蔽通道，并建议把记忆完整性和信息流控制列为安全要求。

量子机器学习保护军用量子密钥分发免受伪装攻击

2026-10-03T00:00:00+09:00

Quantum Machine Learning Protection of Military Quantum Key Distribution Against Cryptographically Camouflaged Attacks arXiv · 2026年10月3日论文研究军用量子密钥分发中的硬件实现攻击：攻击者可在硬件中植入后门，把被攻击的数据块隐藏在正常噪声中，使经典监测器难以发现。作者证明此类检测可归结为离散对数问题，并用基于Shor算法的量子核进行检测，在模拟器Ghillie上测试，量子核在伪装攻击上的检测率达到1.000，而经典监测器约为0.458至0.516。

同样的零：为何相同的攻击成功率在 LLM 智能体安全中可能对应不同的保证

2026-10-03T00:00:00+09:00

The Same Zero: Why Identical ASR Can Imply Different Guarantees in LLM-Agent Security arXiv · 2026年10月3日本文提出用“验证自主等级”（VAL，L0–L5）为 22 种 LLM 智能体安全防御划分保证来源，并区分防御效果的结果与其可依赖的保证。作者在等量预算下比较了基于 VAL 的防御组合与常见的经验组合，共 50 个场景、12 种攻击变体，并在 AgentDojo 与 JADE 等测试平台上进行测试。结论是：攻击成功率为零未必代表可靠保证，零只是结果，而非保证。

可证明审计：无需公开产物即可为专有工作负载提供属性证明

2026-10-03T00:00:00+09:00

Attestable Audit: Property-Based Attestation for Proprietary Workloads without Artifact Disclosure arXiv · 2026年10月3日本文提出一种架构，把可证明构建与可证明审计两类可信执行环境（TEE）工作负载组合起来。审计结果与源代码摘要绑定，使验证者能确认运行中的程序由满足审计属性的源代码构建，同时不披露源代码或构建产物。作者在 Intel SGX 与 Gramine 上以 Bandit 安全分析器审计 Python 代码，完成了概念验证实现。

重新激活对齐：基于意图感知输入输出匹配防御大模型越狱攻击

2026-10-03T00:00:00+09:00

Reactivating Alignment: Defending LLMs from Jailbreaks via Intention-Aware Input-Output Matching arXiv · 2026年10月3日论文提出SENTINEL，一种即插即用、在生成时进行的越狱防御方法，把防御问题转化为意图提取问题。它利用指令微调大模型输入与输出语义一致的特性，匹配语义对齐的输入输出片段，用拒绝方向投影评估有害性，必要时中止生成。在HarmBench上的实验显示，越狱成功率降至接近5%，同时过度拒绝率较低。

《Guess My Weight》：对浮点神经网络权重的剖析式侧信道恢复

2026-10-03T00:00:00+09:00

Guess My Weight: Profiled Side-Channel Recovery of Floating-Point Neural-Network Weights arXiv · 2026年10月3日该论文研究在嵌入式设备上运行神经网络推理时，如何通过功耗侧信道泄漏恢复 IEEE-754 单精度浮点权重。作者提出一种剖析式模板攻击，针对已知输入与第一层权重的浮点乘法，并用分层由粗到细的搜索逐步确定完整的 32 位表示。在 ChipWhisperer-Lite（Arm Cortex-M4）上的实验显示，该攻击在171条迹线时的精确恢复成功率为99%，263条起达到100%。

大语言模型与增强民主：用 LLM 数字孪生代表公民与政党偏好的可行性与风险研究

2026-10-03T00:00:00+09:00

Large Language Models and Augmented Democracy arXiv · 2026年10月3日本论文研究基于大语言模型（LLM）的数字孪生（DT）作为“增强民主”中介的机会与挑战。作者用巴西在线实验数据检验个性化数字孪生能否预测公民对未见过政策提案的偏好；用瑞士议会数据为政党构建层面的数字孪生并进行智能体协商，考察聚合后的政党代表是否比官方党派表态涵盖更广的党内观点；还研究了提示注入攻击对 LLM 协商的影响，并结合 2023 年英国协商实验数据评估防御方案。

JASPER：面向边缘鲁棒性的分割计算可靠性与安全性联合评估专题

2026-10-03T00:00:00+09:00

JASPER: Special Session on Joint Reliability And Security Assessment of SPlit Computing for Edge Robustness arXiv · 2026年10月3日本文提出一个统一框架，用于联合评估分割计算（将深度神经网络推理拆分到边缘设备与云服务器之间）的可靠性与安全性。可靠性通过神经元级故障注入并以平均相对精度下降（MRAD）衡量，安全性通过特征图感知的对抗攻击模拟并以攻击成功率（ASR）衡量。作者在基于ResNet-50的十种分割计算配置上进行了实验，结果显示不同压缩策略之间差异明显，MRAD 在 44.3% 至 61.2% 之间，对抗攻击的 ASR 最高可达 98.8%。

面向目的地隐私量子路由的反作弊检测原语

2026-10-03T00:00:00+09:00

A Cheat-Sensitive Primitive for Destination-Private Quantum Routing arXiv · 2026年10月3日量子网络中的中间节点在分发纠缠时，可能获知用户正在与哪一方相连。本文提出一个最简的两次调用路由原语：用户 Alice 与若干客户端之一建立纠缠链路，同时检测提供方 Bob 是否篡改了相干编码的请求。该方案借鉴量子私有查询的隐藏顺序机制，并通过私有匹配量子比特恢复测试态。论文明确指出，该方案能以非零概率检测显式的目的地读取攻击，但尚未给出定量的信息扰动权衡或可组合的安全性证明。

GrayShield：面向Transformer模型供应链安全的比特级清洗方法

2026-10-03T00:00:00+09:00

GrayShield: Bit-Level Sanitization for Transformer Model Supply-Chain Security arXiv · 2026年10月3日论文指出，BERT、ViT等Transformer模型32位浮点权重的最低有效位可被用作隐蔽信道，藏匿恶意载荷，威胁AI模型供应链。作者提出GrayShield，一种轻量、训练后、无需数据的清洗方法，用格雷码引导的低跳变序列完全覆写尾数最低有效位通道。在四种模型和两类真实恶意载荷上，其准确率影响低于1%，并在五种攻击变体下将恢复率降低约49.96个百分点。

机器遗忘中的删除请求建模：用户如何影响AI模型行为

2026-10-03T00:00:00+09:00

Modeling Deletion Requests in Machine Unlearning arXiv · 2026年10月3日该论文研究在AI模型中行使“被遗忘权”时，用户可能如何影响模型行为。作者定义了用户在请求删除数据时的两种行为：适应性和集体性，并从随机优化的角度比较了表现这些行为与不表现的用户群体的理论差异。作者还展示了如何利用数据估值技术设计删除请求者，使其在现实场景中显著改变模型行为；在计算机视觉任务的实验中，作者比较了不同用户行为模式的差异效果。

CyTReX：面向分布式能源网络的可解释人工智能网络威胁推理框架

2026-10-03T00:00:00+09:00

CyTReX: Explainable AI-Based Cybersecurity Threat Reasoning Framework for DER Networks arXiv · 2026年10月3日本文提出CyTReX框架，用于分布式能源资源（DER）网络安全。它将边缘异常检测系统发出的网络告警转化为排序后的威胁假设，供安全运营中心研判使用。框架通过结构化证据包约束大语言模型的推理，证据包整合检测输出、SHAP特征归因、代理决策规则及CTI情报等信息。实验显示，完整流程提供的证据依据推理上下文最为丰富。

自我反思微调：从失败经验中提升智能体抵御提示注入攻击的能力

2026-10-03T00:00:00+09:00

Self-Reflection Fine-Tuning: Enhancing Agent Security against Prompt Injection Attacks from Failure Experience arXiv · 2026年10月3日该论文提出自我反思微调（SRFT）框架，让大语言模型智能体在对抗条件下学习自身失败的经验，而非只模仿专家行为。框架在被注入攻击的轨迹上，由专家模型生成对比不安全与最优动作的结构化反思推理，以训练智能体识别恶意指令并保持与用户原始意图一致。基于 Llama-3.1-8B-Instruct 和 Qwen3-8B 实现的 SR-Agent 在静态与自适应攻击基准上测试，结果显示攻击成功率明显下降，同时保持任务表现。

基于多模型编排框架的自主 Active Directory 渗透测试：NeuroSploit 在 GOAD 上的基准研究

2026-10-03T00:00:00+09:00

Autonomous Active Directory Exploitation via Multi-Model Harness Orchestration: A Benchmark Study with NeuroSploit on GOAD arXiv · 2026年10月3日本文评估了开源的 Rust 自主渗透测试框架 NeuroSploit v4.2.0 在 GOAD（故意设置漏洞的多林 Active Directory 实验环境）上的表现。框架通过 22 个 AD 专用代理和 7 条攻击链剧本，覆盖从枚举到跨林信任滥用等完整攻击流程，并与直接调用大语言模型的方式进行对比。文中报告，框架的技术覆盖率为 96% 至 100%，直接调用的覆盖率为 21% 至 54%。

学习在语音合成中嵌入抗模型重建的水印

2026-10-03T00:00:00+09:00

Learning to Watermark Speech Synthesis Against Model-Driven Reconstruction arXiv · 2026年10月3日本文针对现代自回归语音合成系统，提出名为 Thrive 的多比特生成式语音水印框架，用于在语音发布后验证来源并归属到请求用户。作者发现，单一水印载体无法在各类重建模型下持续可靠，因此设计了 Rise 与 Care 两个模块，分别负责将水印同步注入中间表示并逐比特选择可靠的波形或频谱专家。实验显示，该方法在重建攻击下平均恢复准确率达 87.6%，并支持在多达 10,000 个身份的候选集中进行来源归属。

语言模型指纹需要重新思考水印教师模型

2026-10-03T00:00:00+09:00

Language Model Fingerprinting Requires Rethinking Watermark Teachers arXiv · 2026年10月3日该论文研究通过水印蒸馏为大模型植入统计水印信号，以便模型所有者在黑盒API后识别自己的模型。作者发现已有方案的效用评估低估了开放式生成中的文本质量下降，并提出“近似并列限制”方法，将水印偏置限制在接近基础模型首选词的候选词上，从而在检测性与文本质量之间取得更好的平衡。

用于统计建模的全同态加密

2026-10-03T00:00:00+09:00

Fully Homomorphic Encryption for Statistical Modeling arXiv · 2026年10月3日本文介绍如何借助 R 语言中的两个软件包（openfhe.R 与 homomorpheR），在加密数据上完成统计分析，使多方无需共享原始数据即可联合建模。论文以分布式分层 Cox 回归和基于一致性 ADMM 的联邦 Cox-lasso 作为验证案例，其中跨站点更新是唯一需要加密的步骤。研究假设各方为诚实但好奇的参与者，并采用门限密钥生成机制。

从临时物理接触到持续监控：为何 Matter 在智能家居中的安全性值得关注

2026-10-03T00:00:00+09:00

From Temporary Access to Persistent Surveillance: Why Matter Matters in Smart Homes arXiv · 2026年10月3日该论文指出，Matter 作为开放的智能家居互联标准，依赖密码机制进行设备认证与数据保密，但其开放性也暴露了协议细节、凭证结构和实现特征。作者表明，攻击者只需临时物理接触设备，即可利用设计与实现缺陷提取凭证，并冒充设备与控制器，即使离开后仍能持续监控和控制。研究在模拟智能家居中以概念验证展示了其可行性，并提出四项针对性缓解策略。

分割学习中梯度如何增加文本泄露：按词元与按文档统计

2026-10-03T00:00:00+09:00

What Gradients Add to Text Leakage in Split Language Models, Counted per Token and per Document arXiv · 2026年10月3日该论文研究分割语言模型训练中，服务器端可从客户端传来的激活值及返回的梯度重建文本。在GPT-2上，仅凭激活值可恢复94.20%的词元，加入梯度后达97.38%；按32词元文档完全重建的比例则从13.71%升至37.77%。作者建议同时按词元和按文档报告泄露情况，并将分割模型传输的内容视为与原文同等敏感。 ★★★★ 值得关注：论文指出分割学习中服务器回传的梯度会增加文本泄露：在GPT-2上，梯度让逐词元恢复率从94.20%升至97.38%，逐文档完全恢复率从13.71%升至37.77%，并建议同时按词元与文档计量。

合成基因表达数据隐私审计：一种用于无盒成员推断的统一加权距离框架

2026-10-03T00:00:00+09:00

Auditing the Privacy of Synthetic Gene Expression Data: A Unified Weighted-Distance Framework for No-Box Membership Inference arXiv · 2026年10月3日本文针对由 ELSA Health 2026 挑战赛发布、基于 TCGA 批量 RNA-seq 数据生成的合成基因表达数据，进行隐私红队测试。作者把五种无盒成员推断攻击统一到一个加权距离框架下，各变体只在基因权重方式上不同。针对条件变分自编码器，谱残差化方法将泛癌 TCGA 上的 AUC 从 0.8251 提升到 0.8951，1% FPR 下的 TPR 从 0.3842 提升到 0.5970；而生物通路先验在不同目标之间没有迁移效果。