数字水印是 AI 生成图像溯源与内容归属的重要技术手段, 其可信度取决于对「水印去除攻击」的抵抗能力。已有的一类攻击思路是逆向优化: 通过修改图像迫使水印解码器输出的比特序列偏离原始水印, 从而让检测失效。但该文指出这种「反转式」目标存在两个结构性缺陷: 第一, 攻击者持续把解码结果推向原水印的反码, 结果得到的是一枚「被反转但仍可被检测」的水印, 去除实际上失败; 第二, 在反转已经达成后仍继续施加扰动, 只会进一步损害图像质量而不再提升去除效果, 因此优化目标本身难以自我纠偏。针对这一矛盾, 作者提出 LiBRA (Latent In-band Bidirectional Removal Attack): 一种白盒条件下、运行在公开自编码器潜空间中的有界扰动方法, 前提是攻击者掌握水印密钥与解码器。LiBRA 的核心思想是把平均解码置信度从任意方向都推向「随机猜测」水平 (即 0.5 附近), 而不是单向推向反转, 因此可以同时纠正「反转不足」和「反转过度」两种情形, 避免产生虽然反转却依然可被检出的水印。方法上保留了每个比特的灵活度, 使图像质量约束能够优先选择破坏性更小的修改, 并可选地使用频率引导掩码来限制扰动出现的位置, 兼顾不可见性。在判定去除是否成功时, 作者没有假定「置信度到达目标值即成功」, 而是采用精确的双侧二项检验, 从统计显著性角度验证水印检测确实落入随机水平。整体而言, 该工作把水印去除从「比特反转」重新表述为「检测统计量塌缩为随机」的问题, 揭示了当前基于密钥 + 解码器的图像水印方案在白盒假设下的脆弱性, 也为水印的鲁棒性评估与改进 (比特冗余、置信度校准、抗潜空间扰动训练) 提供了新的攻击面与评测视角。

该论文研究的是机器学习型入侵检测系统（IDS）在工业物联网（IIoT）环境中的一个被长期忽视的假设：时间同步性。现有对抗性研究大多集中于扰动特征向量或原始流量，且通常依赖梯度信息、反复查询模型或事先拟合良性流量模型；另有一小类工作在不查询检测器的前提下重塑数据包时序，但需要让恶意流量模仿已学习到的良性时序模型。作者指出，工业监控流水线的状态重建本质上依赖窗口聚合：IDS 将遥测数据聚合进滑动窗口或翻滚窗口，因此其"看到的"不仅取决于观测到了什么，还取决于每次观测落在窗口边界前后的哪一侧。基于这一洞察，论文提出"幻影状态攻击"（Phantom State Attack, PSA）。PSA 采用被动、零查询的威胁模型：不修改数据包内容、不扰动特征、不查询分类器、也不拟合任何良性流量模型，而是注入有界的时序漂移——该漂移以攻击流自身的到达间隔（inter-arrival）变异性为标尺进行校准，只施加将观测推过最近窗口边界所需的最小位移。其结果是 IDS 重建出一个与真实工业过程状态相偏离的"幻影状态"，从而在状态层而非特征层实现检测规避。作者在 ToN-IoT 与 CIC IIoT 2025（DataSense）两个数据集上，针对随机森林、MLP 与 XGBoost 三类模型进行评估，指标涵盖检测性能退化、同步失真程度、隐蔽性与攻击者代价。结果显示：PSA 仅对包含足够数据包、可在窗口边界间重新分配的流造成显著检测退化，对其他流影响甚微，即其效果是有条件的；与需要每个窗口大量查询的基于查询的基线相比，PSA 原始成功率较低，但查询开销为零。论文的结论是，时间聚合构成一个在比以往规避技术更弱假设下即可触达的攻击面，提示 IIoT 检测流水线在设计窗口机制时必须考虑时序对抗鲁棒性。

该论文关注的是一种此前被忽视的攻击面：GraphRAG（图增强检索生成）流水线在离线索引阶段会生成大量「辅助结构」，包括语义摘要、层级边以及预计算的评分/排序结果，这些产物并不属于原始知识图谱的实例数据，却在查询时直接决定检索的优先级与召回路径。作者指出，既有针对 GraphRAG 的攻击研究几乎全部聚焦于实例级组件（节点、边、三元组）的投毒或篡改，而系统自动生成的「模式层/辅助层」实体长期处于无人审视的状态。论文首先将这类对象形式化为一个新的攻击面——Auxiliary Schema-Level Entity（辅助模式层实体），并提出 3S 框架（Semantics 语义、Structure 结构、Scoring 评分）来系统化地分析其可被操纵的三个维度。在此基础上，作者设计了 Hop-Decayed Influence（HDI）方法：通过查询感知的影响力传播来定位对下游问答影响最大的高价值目标，并在索引完成之后（post-indexing）对这些目标的辅助结构进行篡改。实验覆盖两个基准数据集（HotpotQA、2WikiMultiHopQA）与两种架构（Microsoft GraphRAG、HippoRAG2），报告的攻击成功率在 88%–94% 之间，而实际被修改的辅助结构占比低至 0.016%。作者提出 Schema Leverage Ratio 来衡量放大效应：单次修改平均可影响多达 6.00 个查询，形成实例级攻击不具备的 1:N 放大能力。此外，由于被篡改的内容本身就是系统生成的、语言上连贯自然的产物，它们能够以超过 99% 的比例规避基于困惑度（perplexity）与改写（paraphrase）的检测手段。论文的核心结论是：当前 GraphRAG 防御体系对辅助模式层实体给予了未经运行时验证的隐式信任，构成一个结构性盲区；作者同时公开了一个代码仓库以支撑后续研究复现。

该论文研究 AI 生成文本检测器在真实部署条件下的鲁棒性问题。作者指出三类部署挑战会使在域内表现良好的检测器性能下降：跨领域与跨生成器的分布漂移、输入表层（surface）的对抗性扰动，以及缺少目标域标签用于阈值校准。为此提出 DeBERTa-ConPara，一个面向部署的检测器，由具备攻击感知能力的 Unicode 预处理模块与上下文 Transformer 编码器组成，训练数据涵盖 HC3 Plus、M4、MAGE 与 RAID。核心发现是：预处理施加的位置不同，效果方向完全相反。若在训练语料上做规范化，会造成去重——35.4% 的 RAID 样本被折叠为其干净样本的副本，从而把对抗监督信号删除；而在推理阶段做规范化则是一种有效防御。作者通过独立改变两处放置的析因实验，确定“原始训练 + 规范化推理”为最佳配置，在 RAID 官方隐藏测试集上达到 99.61% AUROC、99.01% TPR@5%FPR 与 96.57% TPR@1%FPR，并在固定阈值下于 HC3 Plus 与 MAGE 上取得 93.14% 的平均平衡准确率。该增益仅集中在 12 类攻击中的两类：同形字（homoglyph）与零宽空格插入，检测率分别从 11.05% 与 1.12% 提升至 96.98%。同样的特征信号在不同架构的零样本检测器上复现，说明该效应源自攻击本身而非特定模型。论文还报告了两个负面结果：基于复述的语义不变性增强与监督对比学习（ConPara）并未改善最佳配置；手工特征融合分支在分布内无作用、在分布外有害。

该论文关注对抗样本的迁移性（transferability）问题，即在黑盒场景下，用替代（surrogate）模型生成的对抗扰动能否有效误导未见过的受害模型。作者指出，现有迁移攻击存在一个关键瓶颈：轨迹级的几何失配。基于环境空间（ambient space）计算得到的梯度往往会偏离数据本身所处的内在低维流形，使得优化过程被替代模型的特有特征带偏，产生替代模型过拟合，从而降低跨模型迁移成功率。为缓解这一问题，论文提出统一框架 MABT（Manifold Anchored Bilevel Transfer，流形锚定双层迁移）。其核心思路是把对抗轨迹锚定到多个模型共享的语义子空间上：首先引入一个松弛的流形锚定算子（relaxed manifold-anchoring operator），充当语义整流器，用于抑制偏离流形的噪声分量，使扰动在语义上更稳定、更可能被不同架构共同感知。在该约束下，作者把迁移攻击的生成过程形式化为一个分布级双层优化（distributional bilevel optimization）问题：内层求解给定初始化下的扰动，外层则在替代模型的不确定性分布下最小化期望迁移风险，从而学习到一个几何对齐的初始化点，而不是依赖单一替代模型的局部最优。为求解这种嵌套结构带来的计算开销，论文进一步设计了一种无需计算 Hessian 的求解器，复杂度为线性时间，使其在大规模模型上仍具可行性。实验方面，作者在 10 个基线攻击方法、28 种攻击配置上验证了该框架的通用性，并覆盖多种受害模型架构与多类防御机制，结果显示迁移性获得一致提升，表明流形几何约束与双层初始化学习可以与现有攻击方法解耦组合。整体而言，这是一篇偏向对抗机器学习与优化理论的论文，适合从事鲁棒性评估、红队测试、模型安全评测以及对抗训练的研究人员与安全工程师阅读。

随着图神经网络（GNN）被广泛以机器学习即服务（MLaaS）的形式对外提供 API，模型窃取攻击已成为关键安全威胁：攻击者仅通过查询受害模型的黑盒接口，就能训练出一个功能等价的替代（代理）模型，从而窃取专有知识产权并危及依赖该模型的下游安全机制。然而，论文指出现有 GNN 窃取研究普遍建立在过于宽松的假设之上，例如假设 API 返回软标签（置信度向量）、允许极大的查询预算、可获取整图的查询权限，以及事先知晓受害模型所用的骨干网络结构；这些条件在真实部署中往往并不成立。为此，作者形式化了一个严格受限的威胁模型：黑盒、仅硬标签输出、骨干无关（backbone-agnostic），且查询预算紧张。在这一现实约束下，论文识别出四个相互纠缠的根本性挑战：（1）局部子图稀疏且存在孤立节点，导致从受害模型获得的标签质量低下；（2）硬标签带来的监督信号严重不足；（3）查询样本类别覆盖不全，造成系统性的类别不平衡；（4）代理模型与受害模型的骨干结构不匹配。为同时化解这些障碍，作者提出 Dagger——一种基于解耦思想的两阶段攻击框架。第一阶段：使用解耦的信息传播机制预训练代理模型，在稀疏的局部子图上保留结构上下文，并妥善处理孤立节点；同时引入流形层面的节点 mixup，合成连续的监督信号以平滑决策边界、缓解硬标签信息量不足的问题。第二阶段：冻结已训练好的编码器，仅对分类头进行微调，采用类别平衡采样配合 logit 调整（logit adjustment）来纠正严重的查询类别不平衡，且无需额外查询受害模型。在四个基准图数据集和四种 GNN 骨干网络上的大量实验表明，Dagger 一致优于当前最先进的 GNN 窃取方法，保真度最高提升 18.16%，而使用的查询次数比最强基线少 12.23 倍。论文适合关注 AI 供应链安全、模型知识产权保护、MLaaS 威胁建模与防御的研究者与安全工程师阅读。

该综述论文系统梳理了深度学习领域中长期被忽视的「可用性」威胁——延迟攻击（latency attack，亦称能耗-延迟攻击）。作者指出，对抗机器学习研究以往几乎集中在完整性（误分类、后门等），而可用性攻击通过在推理阶段额外增加计算量、能耗或响应时间，造成截止时间错过、吞吐量崩塌或资源耗尽，且在很多情况下模型的最终预测结果仍然保持正常，因而极难被常规准确率监控发现。受影响场景包括车载控制器、交互式在线服务以及电池供电的传感器节点。 论文把分散在三条技术脉络上的文献统一起来：其一是感知流水线，包括针对自动驾驶检测与跟踪的物理世界攻击；其二是输入自适应神经推理，如 sponge examples 与动态网络/早退网络；其三是自回归与智能体系统，包括针对大语言模型、视觉语言模型、混合专家模型以及可调用工具的智能体的输出长度型、冗长图像型与推理拒绝服务型攻击。 在组织方式上，作者刻意不按攻击的数学形式分类，而是按被利用的计算瓶颈分类，从而把「是什么让计算变贵」与「攻击者如何触发它」这两件事区分开来；同时将投递通道（输入、提示词或检索内容、通信消息、数据投毒、权重篡改）作为正交属性单独刻画。作者观察到大量攻击共享同一底层机制——中间工作量放大（intermediate-work amplification），据此提出「工作预算（work-budget）」这一防御抽象，并明确区分两类控制：限制进入昂贵阶段的计算量，与限制从昂贵阶段流出的结果量。 论文进一步分析模型层面的成本上升何时会演化为系统层面的可用性失败，指出这取决于关键路径占比、系统松弛度、既有资源上限、负载累积效应、资源共享方式以及回退策略，而不能仅由放大倍数推断。主要贡献包括：威胁模型分类法、汇总后的定量对比、按控制机制组织的防御综述，以及标准化评测、物理可实现性与全系统可用性等开放问题。配套资源站点已公开。

该论文针对基于机器学习的 Windows 恶意软件检测器所面临的问题空间逃逸攻击（problem-space evasion）开展了统一、大规模的经验评估，目标是弥补当前研究中的碎片化问题。作者指出，尽管已有大量工作证明 ML 恶意软件检测器存在严重弱点，但既有评测在检测模型、数据集与攻击方法上彼此割裂，且往往忽视问题空间攻击的域约束——即生成的样本必须仍然可执行、且保留原有恶意功能，否则评测结果在真实环境中缺乏说服力。为此，论文在“保持可执行性”的条件下，对 9 种最先进的逃逸攻击与 8 个 Windows 恶意软件检测器（其中 7 个开源模型、1 个商业检测器）进行了横向对比，并从攻击有效性、攻击之间的互补性、跨模型可迁移性以及对抗加固（adversarial hardening）四个互补维度刻画鲁棒性。主要发现包括：第一，检测器的脆弱程度强烈依赖于模型的特征表示方式与攻击类型，使用原始字节（raw-byte）表示的检测器对多类问题空间操纵尤为敏感，但不存在在所有攻击下都稳健的检测器家族。第二，攻击有效性并不能仅由变换空间的大小解释：最强的攻击往往只使用更少种类的变换，把扰动集中在少数高影响的操纵上，却能取得显著更高的绕过成功率。第三，攻击之间存在高度互补性——仅用两种互补攻击即可覆盖其余所有被评估攻击所产生的约 99% 的对抗样本，说明少量高质量攻击即可代表整体威胁面。第四，可迁移性呈现出与直接攻击成功率不同的规律：直接成功率较低的攻击反而可能产生高度可迁移的逃逸样本，这对仅以白盒成功率衡量风险的评估方式提出质疑。第五，对抗加固的效果高度依赖具体攻击与模型，鲁棒性提升常常无法跨攻击迁移，甚至可能提高模型对未见攻击的敏感性。论文的贡献在于揭示当前恶意软件鲁棒性评测方法论上的局限，建立一个可复用的综合经验基线，并厘清有效性、可迁移性与防御鲁棒性之间的关系。

该论文关注学习型音频水印在真实对抗场景下的安全性, 提出了一种无需查询、也无需访问水印编码器 / 解码器 / 检测器的黑盒水印去除方法 DeMark。研究动机在于: 现有去除攻击要么依赖模型反馈(需要反复查询目标系统), 要么需要成对的干净-加水印样本, 要么借助生成模型重建波形, 因而普遍存在查询成本高、跨水印方法泛化差或语音感知质量明显下降的问题。作者的核心观察是, 水印嵌入虽然在人耳层面不可感知, 但会在时频域引入与自然语音不完全对齐的细微非语音伪影, 这些伪影正是水印可被检测的物理痕迹, 因此抑制伪影即可达到去除水印的效果。基于此, DeMark 设计了两阶段流程: 第一阶段 Diverse Artifact Learning 提取互补的非平稳与平稳伪影模式, 尽可能覆盖不同水印方法留下的痕迹; 第二阶段 Adaptive Artifact Scaling 在音质保持约束下自适应地组合并放大这些伪影估计, 从而在不破坏语音自然度的前提下压制水印。实验在两个语音数据集和四种主流先进水印方法上进行, 平均攻击成功率分别达到 0.92 与 0.96, 且在感知质量上稳定优于现有自适应攻击。论文结论指出现有音频水印系统在实际部署中面临被无查询去除的风险, 呼吁设计更鲁棒的水印方案。适合关注 AI 内容溯源、语音安全、版权保护与水印鲁棒性的研究者、防御工程师与合规评估人员阅读。

本文研究面向目标检测器的延迟攻击:攻击者目标不是篡改预测结果,而是让系统无法按时响应,针对自动驾驶等实时应用场景。传统 "sponge" 类延迟攻击依赖检测器端 NMS(非极大值抑制)的计算量随候选框数量增长这一瓶颈。而现代检测器通过一对一标签分配或集合预测去除了 NMS(如 YOLOv10、YOLO26、RT-DETR),从架构上消除了该瓶颈。作者指出:"无 NMS" 并不等于 "延迟鲁棒"——架构变革并未消除攻击面,而是把攻击面下移到下游的多目标跟踪阶段,因为跟踪器的数据关联代价依然与输入内容相关。为此提出 TrackFlood:一种统一的白盒过载攻击,面向无 NMS 的 "先检测后跟踪" 流水线,同时覆盖一对一检测器与基于 query 的检测器。其思路是恢复可微的置信度张量,并优化扰动,使跟踪器被大量空间分散的幻影检测淹没,同时保持检测器自身推理基本不变,从而把延迟压力转嫁到关联环节。实验全部在 NVIDIA Jetson AGX Orin(TensorRT FP16)上完成:检测器延迟基本恒定,而跟踪器延迟显著升高。在标准不可感知扰动预算下,通用扰动已能造成明显可测的跟踪器过载,但端到端减速有限,关联主导型跟踪器尚未出现截止期错过;在更高预算的压力测试中则出现严重端到端减速和持续的截止期错过。作者还评估了一种轻量、与架构无关的有界准入层,通过限制跟踪器工作负载基本恢复端到端延迟,但代价是拒绝掉相当比例的干净检测结果。核心结论是:评估无 NMS 感知系统必须把下游跟踪和端到端时序纳入考量,而不能只看检测器推理延迟。

该论文研究将差分隐私（DP）形式的认证鲁棒性从卷积神经网络迁移到视觉 Transformer（ViT）时出现的失效问题。PixelDP 通过在网络中间层注入噪声，为范数有界的对抗扰动提供严格的鲁棒性证书，此前在 CNN 上被证明有效；但在自注意力架构主导深度学习、并广泛渗透数字与物理世界的今天，其在 Transformer 上的认证鲁棒性行为几乎未被探索。作者在 ViT 上复现该构造后发现一个在卷积设定中被掩盖的失效模式：当噪声被注入到 patch embedding 之后时，沿用 CNN 分组 ℓ1 敏感度界的拉普拉斯机制在所有噪声尺度下都退化为随机猜测水平的准确率，而同一位置的高斯机制仍然可正常训练。这一强烈对照把失效来源从“注入噪声本身”隔离到“敏感度约束的几何形态”上。作者进一步用随机矩阵分析解释该现象：继承的 Δ_{1,1} 投影所带来的信号衰减随层宽与核尺寸增大而加剧，其尺度约为 C/(√M+√N)。当把 ℓ1 型约束替换为谱范数约束后，跨数据集与跨架构的坍缩现象被消除，但随之产生新的根本障碍——修复后的模型不再满足标准拉普拉斯证书所要求的敏感度条件。作者最终通过隐私损失集中不等式，为 ℓ2 敏感度下的拉普拉斯机制推导出一个与维度无关的 (ε,δ)-隐私保证，从而弥合这一理论不匹配。该工作对认证防御设计者具有直接指导意义：它表明敏感度约束的几何选择（而非噪声分布本身）是 ViT 上认证鲁棒性成败的关键，并提供了可用的替代理论工具。适合研究认证鲁棒性、差分隐私机器学习与 Transformer 安全的研究者与工程团队阅读。

该论文研究「被动图像溯源」问题：仅凭像素本身能否判断一张图片的来源——来自人类、来自某一类 AI 生成模型，还是来自某个特定的生成器。作者指出，一旦源图像在到达验证器之前可以被编辑（篡改、加噪、重编码、对抗扰动等），溯源就从单纯的分类问题变成了「源—目标验证」问题，即在对抗性分布偏移下判断图像是否属于目标来源类别。论文给出两项理论结果。第一，针对任何只使用图像信息的验证器，给出了精确的最优界：稳健的目标接受率差距（robust target-acceptance gap）等于目标分布与被攻击源分布集合之间的最小全变差（total variation）距离；该量只取决于源分布、目标分布和编辑类别，与验证器架构无关，因此构成了不可逾越的统计上限——即「信息层面」的上限，而非模型能力问题。第二，论文解释了为什么已部署的公开验证器往往在这个统计上限远未到达之前就已经失效：如果攻击者能在攻击区域上以误差 ε 模拟（emulate）验证器，那么一个替代黑盒攻击就能达到白盒最优值减去 2ε 加优化误差的目标接受率；论文证明基于公开特征的、会暴露分数的 logistic 与 softmax 头部是可辨识的（identifiable），近似分数访问也能给出稳定的恢复界。作者用一个有限状态实验验证了该 minimax 等式的两侧都可计算。在真实/扩散模型同提示词（same-prompt）基准上，被测的公开 CLIP 验证器在定向像素攻击下失效，而一个 ResNet-18 受害模型表现出部分「假到真」的迁移。带弃权（abstention）的二元反馈能降低实测攻击成功率，但论文强调：正的经验性差距上界并不能证明稳健性。总体结论是：评估被动溯源系统时，必须把「源—目标统计天花板」和「部署验证器实际泄露的信息量」分开评估。

本文是一篇面向区块链与人工智能融合方向的元综合（meta-synthesis）论文，作者 Harsh Verma 将四项既有研究整合进统一的分析框架：对抗性机器学习（训练数据与模型行为的完整性）、云环境中的 AI 驱动异常检测（实时监控的可靠性）、基于多智能体大语言模型（LLM）流水线的自动化漏洞修补（自动化代码修复的可信度），以及覆盖 AI 系统全生命周期的安全防护图景。作者指出，这三条技术线各自对应现代 AI 驱动安全运营中的一个独立失效点，但共同面临同一个根本缺口：在缺乏中心化权威的前提下，如何对数据、模型以及自主运行的 AI 智能体建立可信度。论文主张，区块链的不可篡改性、去中心化共识与可验证溯源三大属性，恰好可以弥补这一缺口，为跨分布式系统的数据共享、模型完整性与自主决策提供基础设施级支撑。在此基础上，作者结合已有的区块链安全数据共享、联邦学习与多智能体协同研究，提出了一套分层参考架构：该架构将对抗性加固后的模型、以区块链为锚定的数据溯源、AI 驱动的异常检测，以及由智能合约治理的多智能体修复流程耦合在一起，形成从数据输入、模型行为、运行时监控到自动化响应的闭环信任链。论文最后讨论了在该类集成系统投入生产关键环境之前必须解决的开放问题，包括可扩展性瓶颈、隐私与透明性之间的权衡取舍，以及自主智能体的治理与问责机制。需要注意的是，该文属于整合性综述与架构提案性质，摘要中未提及具体的实验基准、数据集或量化评测结果，其贡献主要体现在问题刻画、跨领域关联与架构设计层面，适合从事 AI 安全、区块链基础设施、安全运营自动化与智能体治理方向的研究者和架构师阅读。

本文研究联邦学习场景下的入侵检测系统（Federated IDS）在面对标签翻转投毒（label-flipping model poisoning）时的鲁棒性问题。作者构建了一个三客户端联邦入侵检测实验环境，训练数据为 CICIDS2017，并刻意让各客户端之间的攻击子类型分布呈现非独立同分布（non-IID）特征，以更贴近真实的多机构协同检测场景。实验的核心发现是：当单个拜占庭客户端将自己 60% 的训练标签进行翻转时，攻击者实际上会"自伤"——该客户端自身的联邦检测准确率从无投毒情况下的 99.96% 跌至 84.33%，而联邦全局集成模型（global ensemble）在所有测试的投毒比例下都保持了稳定的准确率，且这一现象是在没有任何防御机制、攻击者之间也没有任何协同的前提下出现的。作者据此提出一个关键洞察：拜占庭客户端因自伤而产生的性能异常信号，本身就是一个可被检测、可被利用的异常特征，可用于在缺乏目标数据外泄（exfiltration）证据的情况下识别拜占庭客户端，从而把"投毒副作用"转化为"检测线索"。作者同时给出重要的方法学限定：本实验的聚合步骤采用的是 Federated Forest（树级联式集成）而非参数化的 FedAvg，因此所测得的结论刻画的是集成聚合下投毒对单客户端性能的影响；将该结论推广到真正的 FedAvg 与参数化分类器的工作被列为后续研究计划。整体而言，论文的贡献在于以实证数据量化了标签翻转投毒在非 IID 联邦 IDS 中的实际破坏力边界，并首次系统性地论证了"攻击者自损信号"可作为拜占庭节点识别依据这一防御思路。适合联邦学习安全、入侵检测、鲁棒聚合与可信 AI 方向的研究者与安全工程师阅读。

本文研究的是深度学习恶意软件检测器在持续更新流程中面临的训练时后门威胁。当前主流做法是：检测器部署后，会不断把新采集到的样本加入训练集并进行微调，以保证对新型恶意软件的识别能力。这一工程实践虽然提升了检测效果，却也把数据采集与更新流水线变成了攻击面——攻击者若能影响训练数据，就有机会植入后门，使模型在遇到特定触发器时把恶意样本判为良性。然而在真实的众包采集场景中，数据来源方通常会对标签做严格审核，攻击者因此大多被限制在 clean-label（干净标签）设定下：投毒样本必须保持良性标签、且不能破坏原有功能，这使得有效注入后门变得明显更困难。 为解决这一困境，作者提出一种基于特征空间操纵的新攻击视角。不同于以往两条常见思路——设计更强的触发器，或者在良性样本库中挑选那些天然就与恶意软件表示相近的样本——本文主张主动构造良性程序，使其在特征空间中先向恶意软件区域偏移，然后再叠加触发器。这样一来，训练过程中样本的表示与其良性标签之间会形成更强的冲突，模型更容易学到触发器与恶意标签之间的错误关联，从而提升后门强度。 基于该洞察，作者提出 RAMP 方法：在黑盒访问条件下，利用遗传算法优化“反向对抗扰动”，即让表示朝目标类别移动的扰动，再通过保持程序功能的二进制改写手段将其注入到良性样本中，从而满足 clean-label 约束。 实验结果表明，RAMP 相比仅依赖触发器的基线能显著提升攻击成功率，尤其在低投毒比例下增益最为突出，同时不会明显损害模型在干净数据上的准确率；此外，RAMP 与更先进的触发器设计正交，可以叠加使用。论文从防御视角提示：依赖众包数据与持续微调的检测更新流程，其数据来源可信度与表示层异常检测亟需加固。

该论文关注联邦学习(FL)中一类被现有防御忽视的威胁模型。传统 FL 防御普遍假设攻击者是静态的、彼此独立的(例如固定比例的投毒客户端或互不配合的恶意节点),因此可以依靠单客户端行为异常或鲁棒聚合规则将其过滤。作者指出这一假设可被"动态自适应"攻击系统性突破,并据此提出 Fed-ADR 攻击框架。Fed-ADR 的核心是引入一个恶意编排服务器(OS),它充当攻击方的协调中枢,实时调度一组异构的对抗客户端:其中既有以降低全局模型可用性为目标的非定向攻击者,也有以诱导模型偏向特定目标为目标的定向攻击者。在 OS 的实时协调下,恶意客户端不再使用固定或随机的梯度扰动,而是有策略地调整自己的梯度更新,使其在参数服务器(PS)侧看来尽量贴近正常更新的分布,从而规避多种当前最先进的鲁棒聚合与检测防御,同时持续削弱全局模型性能或将训练推向攻击者期望的方向。作者同时给出缓解方案:检测模块利用客户端的历史更新来估计其"真实梯度",据此实时识别协同恶意行为,且不引入额外通信或计算开销;恢复模块是"原位"(in-situ)的,即无需重启训练即可把全局模型性能拉回,保持收敛性并缩短恢复时间。实验在 MNIST、Fashion-MNIST 和 CIFAR-10 上进行:Fed-ADR 可把全局准确率从 90% 以上压到 10% 以下,并绕过多项 SOTA 防御;启用检测与恢复后,系统能在数轮之内识别恶意客户端并把准确率恢复到 90% 以上,且相比从头重训至少降低 20 倍计算开销。

本文关注检索增强生成（RAG）系统中的语料投毒威胁：由于 RAG 会把外部语料检索后拼接进 LLM 上下文，攻击者只需向知识库注入少量文档，就可能操纵模型对特定问题的回答。此前针对开放域问答的多段落投毒研究，普遍把同一个目标论断反复写入风格相近的文档里，结果是这些毒化段落在词汇与语义上高度相关，在嵌入空间中形成密集簇，相似度过滤、聚类检测以及冲突感知的防御能够据此联合识别并把它们一起压制。作者提出 DnD（Divide and Doubt）攻击，基于两条设计原则来规避这类防御：第一，把对目标答案的支持分散到一批行文风格、体裁、表述方式差异很大的段落中，使毒化文档的表征在嵌入空间中彼此分散，破坏基于相似性或聚类的聚合检测；第二，额外加入一段对“参考答案”所依赖证据提出质疑的内容，当检索器同时召回多篇毒化段落时，这种制造怀疑的文本会削弱模型对原始正确证据的信任，进一步推动其采纳攻击者设定的目标答案。作者在两个开放域问答数据集、三种主流 LLM 以及九种不同的 RAG 配置上开展系统评估，覆盖检索器的黑盒与白盒两种访问假设。实验表明，DnD 在绝大多数配置下达到或超过此前方法的攻击效果，并且在面对聚类感知与冲突感知防御时增益最为明显，说明现有 RAG 防御对“风格多样性投毒”与“证据可信度操纵”的组合缺乏有效的对抗手段。核心贡献在于提出了分散支持与制造怀疑相结合的投毒范式，并系统量化了它对当前 RAG 防御体系的有效性，为后续鲁棒性研究指明了新的盲区。

本文关注深度视觉模型在对抗性扰动下的脆弱性问题。基于卷积网络或 Transformer 的神经网络已成为现代计算机视觉系统的核心组件，但已有研究表明，人眼几乎不可察觉的微小扰动即可显著改变模型预测结果，这对自动驾驶、医疗影像、工业质检等安全关键场景的落地构成实质性威胁。现有攻击方法大多假设白盒威胁模型，即攻击者能够完整访问目标模型的参数与梯度，这一前提在真实环境中往往不成立，导致其实际风险被高估、可操作性被夸大。作者提出在更贴近现实的 black-box 威胁模型下工作的新方法 RIBA（Reinforcement Learning Inspired Black-box Adversarial Attack），核心思路是把扰动优化问题建模为在不可微目标模型上的黑盒优化，并借用强化学习中已被充分优化的查询效率机制（依据模型反馈信号迭代地调整搜索策略）来驱动扰动生成，从而在只能通过有限次查询获得模型输出的条件下完成攻击。作者在 Cifar10 与 ImageNet 数据集上，针对多种目标模型与当前先进攻击方法进行了对比实验。结果显示：在 Cifar10 上攻击 ResNet-18 时，RIBA 生成对抗样本所需查询次数的中位数比基线方法减少 25.4%；在 ImageNet 上欺骗 ViT-B/16 模型时，中位查询次数减少 22.5%。此外，在经对抗训练加固的模型上，RIBA 的表现可与白盒攻击相当。该工作说明黑盒场景下攻击的查询成本正在快速下降，也提示仅依赖对抗训练并不足以抵御具备查询能力的自适应对手。适合对抗机器学习、模型安全评估与视觉系统鲁棒性方向的研究者与工程人员阅读。

该论文针对边缘 AI 加速器在安全攸关场景（如控制物理执行器、访问控制决策、告警触发）中的运行时可靠性问题展开研究。作者指出，这类部署中模型一旦发生权重损坏、分布漂移或遭遇对抗输入，往往仍会输出格式正确、置信度很高的预测结果，导致故障在运行时难以被察觉；而对模型进行重执行或形式化验证，在资源受限的边缘硬件上代价过高、难以落地。为此论文提出 TERMon——一种轻量级硬件运行时监视器，其核心思路是不复算模型、不做形式化证明，而是直接观测推理过程中的行为特征来判断异常。TERMon 将每一类别条件下的可信行为建模为硬件友好的三值（ternary）模式，并与一个温度计编码（thermometer-encoded）的推理指纹进行并行匹配；作者论证该三值编码能够精确复现对应的未量化区间判决，从而在量化的硬件上保持与原模型一致的判定边界。实现方面，TERMon 部署在 PYNQ-Z2 FPGA 上，采用流水线设计，不占用片上 Block RAM 与 DSP 资源，判决延迟仅为两个时钟周期，体现了极低的面积与时序开销。实验结论呈现出清晰的能力边界：对于有害的权重损坏，TERMon 的检出率与该损坏所造成的实际行为影响成比例，即行为影响越大越容易被捕获；但对于分布外（OOD）输入与对抗输入，在严格的误报率工作点上，被监视的特征基本无法将它们与正常输入区分开。这一负向结果同样具有价值，说明基于行为指纹的硬件监视适用于完整性/损坏类威胁，而不能单独承担对抗鲁棒性检测的职责。 适合阅读人群：边缘 AI 硬件与加速器设计者、FPGA 安全与可信执行方向研究者、从事 AI 供应链完整性与模型保护的安全工程师，以及需要在资源受限设备上部署运行时防御机制的 SOC/产品安全团队。

该论文研究的是将大语言模型（LLM）引入恶意软件分诊流程后新出现的一类攻击面。当前越来越多的安全团队把 LLM 当作"推理组件"，用来自动汇总静态分析证据（如导入表、节区信息、字符串、签名等），并直接输出面向分析师的结论或严重度评级。作者指出，正是这种"理解自然语言与上下文"的能力，使模型可以被非代码层面的语义信息操纵。论文提出 ALIBI（Adversarial Legitimacy Injection in Binary Input against LLM Malware Analyzers），一种针对前沿 LLM 恶意软件分析器的"语义掩护故事"攻击：攻击者只在已编译的二进制中追加一个体积很小、不会被执行、只读的节区，其中写入一段逻辑自洽但完全虚假的"安全产品叙事"（例如声称该程序是某端点安全工具的组件）。该注入不修改导入表、不改变程序的可执行行为，因此对传统基于行为或静态特征的检测几乎不产生影响。与直接向模型下指令的越狱式提示注入不同，ALIBI 不发出任何指令，而是把可疑证据"重新框定"为某个良性终端安全产品的预期行为，从而诱导模型自行给出良性结论。在冻结的 50 个恶意 PE 样本集上，该方法使 Gemini 2.5 Pro 将 35 个基线判定为恶意的样本中的 30 个翻转为良性；GPT-5.5 Pro 与 Claude Opus 4.7 即使保留了恶意标签，也出现明显的严重度降级与置信度大幅下降。该攻击可迁移到 ELF 平台，Gemini 在 40 个样本中翻转了 16 个。作者还评估了一种"验证引导"的防御提示，可将良性误判大约减半，但仍有 42.9% 的恶意样本被判为良性。结论是：LLM 恶意软件分析器需要建立"来源可信度"机制，把可验证的事实与攻击者可控的自述性主张严格区分，而不是依赖叙事可信度。适合从事 LLM 安全、恶意软件分析自动化、SOC 分诊流水线以及 AI 红队评估的研究者与工程师阅读。

该论文关注分布式拒绝服务（DDoS）攻击检测中的鲁棒性问题。作者指出，在线服务可用性持续受到 DDoS 威胁，攻击者不断采用更复杂策略规避传统网络安全系统；同时，机器学习检测模型虽有效，但面对针对性对抗攻击时分类准确率会下降。为此，论文提出一个将生成对抗建模与先进机器学习模型结合的鲁棒检测框架。首先，作者在 CICDDoS2019 数据集上训练随机森林、深度神经网络集成以及 Transformer 类模型，建立基线性能。然后，使用带梯度惩罚的 Wasserstein 生成对抗网络（WGAN-GP）生成合成对抗流，模拟潜在规避尝试和对抗流量。接着，将生成流量与良性、恶意流量混合，构造混合数据集重新训练模型，以学习更具泛化能力的决策边界。实验结果表明，该方法显著提升检测准确率和韧性，尤其在面对未见过的对抗流量时表现更好。作者还用真实环境生成的流量测试框架，证明其在实际场景中的可用性。论文的主要贡献包括：提出可扩展、高效的对抗性 DDoS 防御方案；验证生成对抗增强与近期学习模型结合的有效性；为构建更具适应性的网络防御系统提供路径。适合网络安全、DDoS 防御、对抗机器学习、流量异常检测方向的研究者与安全工程师阅读。

本文研究检索增强生成（RAG）系统的语料库投毒威胁。现有针对 RAG 的投毒攻击大多属于「单点显式注入」，即把恶意载荷完整封装在单一文档中，因此近年出现的缓解机制能够较有效地识别并削弱这类威胁。作者首先通过实验验证：面对「间接逻辑诱导」这一类新威胁，现有缓解机制并不充分。据此提出 InceptionRAG，一种颠覆传统攻击范式的隐蔽机制：不再注入任何显式恶意载荷，而是将其拆解为一连串处于「休眠」状态的独立段落。这些段落单独检视时显得完全无害，可绕过现有防御；但当它们在检索阶段被同时召回并拼装进同一上下文时，会诱导 LLM 通过多跳推理「自行推导」出攻击者预设的错误结论。为提升在黑盒场景下的适用性，作者提出零阶后缀优化（ZOSO），用于自动生成带有权威外观的文档后缀，从而增强召回与说服效果。在三个数据集与三个大语言模型上的评测表明，即便处于严格的对抗约束下，攻击成功率仍超过 80%；尤其在规避能力上表现突出，可有效绕过针对单文档注入的既有防御。研究揭示了一个令人担忧的悖论：LLM 推理能力越强，反而越容易被基于推理的投毒所利用。为缓解该风险，作者同时提出基于文档隔离思想的防御方案 HODOR，通过解耦对抗性的逻辑依赖来阻断此类攻击链。本文属于攻击-防御对照研究，适合 RAG 系统架构师、AI 安全研究员与红蓝对抗团队阅读。

该论文关注大语言模型（LLM）文本水印在对抗环境下的评测问题。水印的作用是帮助追溯生成文本的来源，但它面临三类对抗攻击：窃取攻击（stealing，从带水印文本中恢复水印信息）、擦除攻击（scrubbing，去除文本中的水印信号）和伪造攻击（spoofing，生成能被检测器当作水印文本接受的伪造内容）。作者指出当前研究存在三个缺口：一是三类攻击通常被孤立研究，彼此之间的关联与能力边界并不清晰；二是评测缺乏共享的检测器校准流程、统一的指标定义与报告协议，导致不同工作之间结果难以横向比较；三是攻击成功率与文本质量被分开度量，无法识别那些既有效、又能保持文本可读性与语义质量的攻击。为此，作者提出 MarkSec 通用框架，把窃取、擦除、伪造三类攻击纳入同一分析体系，在统一报告协议下评测攻击，并引入“质量约束攻击成功率”指标，将攻击有效性与文本质量联合评估。实验覆盖代表性水印家族、多种攻击方法、多个 LLM 与数据集，得出三点主要发现：第一，仅按水印去除率衡量时表现最强的攻击，一旦同时要求文本质量可接受，可能反而落后于通用改写（general rewriting）；第二，通用改写在各水印家族上都是强基线，其相对其他擦除方法的优势因水印家族而异；第三，针对某一水印家族的案例研究显示，在必须保证文本质量的前提下，基于窃取信息的擦除器往往不如最好的通用擦除基线。结论是，所谓“最强攻击”取决于文本质量约束、攻击通用性与攻击者能力假设，评测口径会直接改变结论排序。

随着基于大语言模型（LLM）的软件智能体（Agent）被广泛用于自动化程序修复（Automated Program Repair, APR），未来 APR 智能体很可能在没有多少人工干预的情况下自动修复缺陷，这引出了一个关键问题：在此类场景下，我们能否信任 APR 智能体产出的代码既功能正确又安全？如果攻击者针对生产环境中的 APR 智能体投喂看似正常、实则带有对抗意图的问题描述（issue），诱导智能体生成"功能正确但不安全"的补丁，会发生什么？本文通过一项实证研究首次系统性地回答了这些问题，包含三个步骤。第一，作者构建了 SWEADV 基准：以 SWE-bench Verified 中的 150 个修复任务为基础，为每个任务生成 5 条对抗性 issue 描述，分别对应五类攻击类型——命令执行、反序列化、路径穿越、拒绝服务以及弱哈希，合计 750 条对抗样本。第二，作者在 SWEADV 上评估了三种 LLM 后端（GPT-5-Mini、MiniMax-M2.5、DeepSeek-R）驱动的 mini_swe APR 智能体，发现平均有 51.7% 的案例中，对抗性 issue 描述在"修复成功"（即通过功能测试）的同时成功诱导出恶意行为，说明功能正确性与安全性在 APR 流程中被解耦。第三，作者检验了常规检测手段能否拦截这类恶意补丁：修复前使用 LLM-as-judge 审查对抗性 issue 描述，平均检测准确率仅 62.3%；修复后使用静态分析工具和 LLM-as-judge 审查对抗性补丁，平均准确率分别仅为 39.4% 和 55.4%。作者由此得出结论：鉴于 APR 智能体对对抗攻击的脆弱性，当前阶段尚不能将其可信地投入生产部署。该工作适合研究自动化程序修复、LLM 智能体安全、AI 代码生成供应链风险以及 CI/CD 自动化评审流程的读者。

该论文研究的是视觉-语言检索增强生成 (VLRAG) 系统中的知识投毒问题。VLRAG 通过从外部知识库检索图像与文本证据来增强大型视觉-语言模型 (LVLM) 的回答, 使输出有据可依; 但检索管道同时构成了攻击面: 攻击者只要向知识语料注入少量图文对, 就可能通过被召回的毒化证据影响模型输出。作者指出, 现有知识投毒攻击基本都是“常开式” (always-on) 的, 即只要毒化证据被检索到就会影响生成, 缺乏精确的激活控制, 因此恶意行为难以限制在攻击者预期的输入上, 既降低了隐蔽性, 也降低了有效性 (容易在无关查询上暴露)。为此, 论文提出 ViTeGate, 一种面向 VLRAG 的双触发知识投毒框架: 使用视觉触发器有条件地把毒化证据“推”进检索结果, 再使用文本触发器诱导模型对检索到的证据给出攻击者预设的回答。两者协同实现了检索阶段与生成阶段的联合控制——缺少视觉触发时减少毒化证据的暴露, 缺少文本触发时保持正常回答, 从而降低单触发误激活带来的暴露风险。实验在多组查询数据集、多种检索器与多个 LVLM 上展开, 验证了该设计的有效性: 在 InfoSeek 数据集上攻击成功率最高可达 0.98, 同时干净输入的答案准确率最高保持在 0.93, 说明该攻击在实现高成功率的同时能较好维持正常功能表现。论文属于对抗性机器学习与多模态检索安全方向的学术研究, 适合从事 RAG/多模态系统安全、模型供应链与红队评估的读者阅读。

该论文研究检索增强生成（RAG）系统中的知识投毒风险。RAG 通过外部证据为大型语言模型（LLM）的输出提供依据，提升事实性，但同时也把外部知识库变成了攻击面。既有代表性攻击通常需要注入多篇文档，或使用直接断言目标答案的模板化文本，成本和可检测性较高。作者提出 ToxicRAG，一种“每个目标仅需一篇文档”的单次知识投毒攻击，其核心思路是把虚假信息包装成连贯的“知识更新”叙事：文档首先承认此前被广泛接受的答案，然后引入虚构事件使该答案看似已经失效，最后把攻击者选定的答案归因于一组所谓的权威来源，从而让投毒内容在语义上更自然、更像正常的知识演进。ToxicRAG 还包含一个可选的、以答案为中心的自验证循环：当代理语言模型无法复现目标答案时，攻击者据此修订候选文档，直至其更可能诱导受害者模型给出目标答案。实验方面，作者在 Natural Questions、HotpotQA 和 MS-ARCO 三个数据集上各取 100 个目标问题，使用 4 个受害 LLM 和 4 种稠密检索器，共 12 个数据集—模型组合。在论文所报告的采样语料设置下，ToxicRAG 的攻击成功率（ASR）介于 0.61 到 0.91 之间，并且在每一个组合中都达到或超过评估中最强的基线，领先幅度为 0 到 11 个百分点。论文的主要贡献在于：证明叙事形式的单文档投毒在受评估的 RAG 配置下仍具有显著影响力，揭示 RAG 在事实一致性和来源溯源方面的脆弱性，并呼吁进一步研究相关防御机制。适合 RAG 系统研发者、LLM 安全研究者与蓝队威胁建模人员阅读。

该论文针对监督学习中的训练阶段数据投毒问题开展了一次系统的实证评测。研究背景是：数据投毒通过污染训练集来破坏模型整体性能，或向模型中植入由攻击者控制的后门行为，目前多数公开研究聚焦于单一攻击或单一模型，缺乏在统一实验条件下对不同投毒方式、不同投毒比例与不同分类器之间可比性的评估。为此，作者选取了两类具有代表性的训练时攻击——标签翻转（label flipping）与后门投毒（backdoor poisoning），并在 MNIST 与 Fashion-MNIST 两个图像分类数据集上进行对比实验。所用基线分类器包括逻辑回归（Logistic Regression）、线性支持向量机（Linear SVM）和随机森林（Random Forest），覆盖线性与非线性、参数化与非参数化模型，以便观察攻击效果对模型族的依赖。实验设计上，作者将干净训练（0% 投毒）与 5%、10%、20% 三档投毒率进行对照，评估指标不仅包括常规的干净测试集准确率，还引入宏平均精确率、宏平均召回率与宏平均 F1，用以捕捉类别层面的性能失衡；针对后门攻击，额外统计攻击成功率（Attack Success Rate, ASR），衡量攻击者指定目标行为的达成程度。主要发现分为两部分：其一，标签翻转会造成可观测的性能下降，且对逻辑回归与线性 SVM 的破坏最明显，随机森林相对更稳定，说明不同模型对标签噪声的鲁棒性存在显著差异；其二，后门投毒在两个数据集、三类模型上均取得 0.9667 至 1.0000 的攻击成功率，同时在多数情况下干净测试集性能仍接近基线水平。这一结果清晰地区分了“无差别投毒”与“定向后门投毒”：前者会在标准指标上暴露，后者则相对隐蔽，却能在特定触发条件下嵌入高度有效的恶意行为。论文由此论证，仅依赖干净测试集指标不足以评估模型的安全性，需要引入面向安全的评测流程，例如在训练数据审计、触发集检测与模型行为一致性检查等维度补充评估手段。该工作适合机器学习安全研究者、模型训练与数据治理工程师、以及负责 AI 供应链风险的安全团队阅读，可作为投毒风险基线评测与内部红队验证的参考。

该论文针对基于机器学习的网络入侵检测系统（ML-based NIDS）在对抗性逃逸攻击下的鲁棒性问题展开研究。尽管已有大量关于对抗攻击与防御的文献，但多数研究在统一条件下对多种攻击、多种检测模型以及多种防御策略进行横向比较仍显不足。为此，作者使用NF-UQ-NIDS数据集——该数据集包含近年传统网络与物联网（IoT）流量，涵盖20种不同的攻击类别——系统性地评估了8种对抗性逃逸攻击、15种检测模型以及3种代表性防御策略。评估流程包括：比较模型在干净测试数据上的性能；基于包含对抗样本的鲁棒性评估集分析各模型的攻击成功率与一致性；并考察不同防御策略对模型鲁棒性的影响。为便于模型间比较，作者提出了一种紧凑指标“鲁棒性指数（Robustness Index, RI）”，该指标综合了模型在鲁棒性评估集上的平衡准确率与宏F1分数，同时以攻击成功率（ASR）作为惩罚项。在此基础上，论文进一步提出AR-NIDS两阶段框架：第一阶段采用对抗训练后的集成模型区分正常样本、攻击样本和对抗样本；第二阶段使用对抗攻击分类器识别具体攻击类型。实验结果表明，在针对迁移攻击设定的条件下，所提出的对抗训练集成模型取得了最佳的整体权衡，既能保持较高的分类性能，又能有效抵御逃逸攻击；其将平均攻击成功率从0.41降至0.03，并取得了0.98的鲁棒性指数。该研究为ML-based NIDS的鲁棒性评估提供了统一的比较框架与量化指标，并给出了一种实用的防御架构，适合网络入侵检测研究者和蓝队安全工程师阅读，辅助其评估和构建更具鲁棒性的检测系统。

本文针对边缘视觉系统中深度可分离卷积网络（如移动端常见架构）在对抗攻击面前使用基于预处理的防御时的有效性评估缺口展开研究。以往关于预处理防御（例如图像压缩、去噪等输入变换）的评测主要基于残差类网络（如 ResNet）或 Inception 类架构，而实际边缘部署中大量使用深度可分离卷积以降低计算量，这两类架构在预处理行为上尚未被系统对比。作者构建了包含残差与两种深度可分离架构在内的三类模型，测试了六种预处理方法，在多个扰动强度下观察防御后的分类恢复情况。结果显示：深度可分离架构在所有扰动级别下均难以从对抗干扰中恢复准确率，而残差架构仅能部分恢复；消融实验支持该差异主要源于架构设计而非参数规模。这一失败本身并非完全负面——作者发现预处理操作对干净样本的预测会产生明显破坏，而对对抗样本的预测几乎不改变，这种不对称性可用于区分对抗输入与正常输入，从而作为一种无需重训或结构改动的轻量级检测依据。同时，论文指出常用图像质量指标与防御有效性之间缺乏可靠相关性，提醒评估标准需要更新。基于上述发现，论文给出了面向边缘视觉系统部署的抵御对抗攻击的决策框架。虽然研究仅涉及三种架构和一个攻击家族，但结论对安全评估实践和边缘 AI 部署有重要启示。

随着基于大语言模型（LLM）的智能代理（Agent）逐步渗透网络应用，视觉验证码正面临一种新的机械化威胁。以往专用检测器很慢或只处理固定类别，而视觉语言模型（VLM）能类人地看图识字，但每轮都从零开始推理，并不会从接触中积累经验。本论文提出一种可在每次交互中持续学习的验证码求解器架构：它由一个微调的 YOLOv8 快速检测器与一个开放权重 VLM 组成，通过置信度路由器协作，输入仅依赖截图与操作系统输入事件，不接入浏览器自动化或 DOM。在 16 类真实视觉验证码上，该系统获得了 85.4% 的整体准确率与 84.2% 的平均宏准确率，显著优于单独使用任一组件。其核心机制是“自我标注回环”——VLM 对每一个问题生成的答案都自动作为新的训练标签回流给检测器，使检测器逐步学习它原本没有训练过的类别，通常仅需遇到一两次，且无需人工标注。该回环还具备自修复能力：当 CAPTCHA 运营者能针对公开的检测器权重施加对抗扰动，并使其单独准确率降至 0% 时，VLM 的语义标签仍不受扰动影响，检测器借这些标签可快速恢复。论文用一个为期一年的对抗博弈模拟指出，即使运营方每月更换新的抗破解扰动，自适应求解器每一轮都能恢复；用约 70% 准确率的廉价开源 VLM 作为教师，也能达到接近完美 oracle 的强化效果。这个结果打破了“验证码一旦被绕过就会长期难以回归”的传统认知，提醒安全社区：仅仅依靠静态题库或局部对抗补丁不足以对抗能自我进步的机器智能。该研究对 CAPTCHA 服务设计者、风控团队与 AI 安全研究者均有重要参考价值。

本文针对语音助手中的关键词检测（Keyword Spotting, KWS）系统在真实场景下的鲁棒性挑战展开研究。关键词检测是语音助手的首要环节，需要在连续音频流中准确识别唤醒词。然而，现实环境中的噪声、干扰以及恶意构造的对抗样本都可能导致其性能显著下降。论文题目暗示其目标在于提升KWS系统对各种扰动的鲁棒性。作者团队跨越多所高校，具备机器学习与安全领域的专业背景，可能采用数据增强、对抗训练、鲁棒声学特征或模型架构改进等策略。由于仅获取到标题和作者信息，无法获知具体方法、实验设置与评测数据集，因此本摘要基于题目推测，所有技术细节均需以原论文正式发表版本为准。读者若关注语音交互安全或对抗机器学习，可追踪该工作获取后续完整成果。

该论文研究了基于脑电信号（EEG）的生物特征识别系统的对抗性脆弱性。随着EEG信号被提议用作生物识别凭据，其安全性评估成为重要问题。以往研究主要针对深度学习分类器，并假设攻击者拥有对模型的完全访问权限（白盒攻击），而忽略了其他更常见的神经特征提取方法以及更现实的黑盒攻击场景。为此，作者提出了一组自适应攻击算法，攻击者仅需黑盒访问认证系统，即可通过有针对性地篡改窃取的EEG记录来欺骗系统，且无需了解认证系统的内部细节。研究在6个公开数据集上进行了测试，覆盖三种记录条件：视觉刺激反应、运动想象和静息状态。实验表明，不同的神经特征提取方法在对抗攻击下的脆弱性差异显著；同时，记录条件（如任务类型）对欺骗攻击的成功率有重要影响。最后，作者基于对抗测试结果，为提升神经特征生物识别系统的安全性提出了改进建议。该工作填补了神经生物识别在黑盒对抗攻击研究方面的空白，为脑机接口和生物认证安全领域提供了系统性的评估框架。适合安全研究人员、生物识别系统开发者和脑机接口领域的学者阅读。

本文提出了一种名为 ARMOR（Adversarial Robustness with Manifold-Oriented Training）的新型防御方法，旨在解决空中目标检测模型在物理世界中对通用对抗性补丁的脆弱性，同时应对训练数据稀缺的实际约束。空中目标检测广泛应用于现实场景，但模型容易受到物理可实现的通用对抗性补丁的攻击，导致漏检。以往对抗性鲁棒性研究通常假设训练数据充足（数万张图像），但实际部署场景中，空中图像的收集和标注成本高昂，通常仅有数百张图像可用。ARMOR 将流形导向对抗训练（OMAT）的核心思想扩展到低数据场景。OMAT 通过建模数据流形（即捕获数据相关特征的紧凑结构）来学习和增强特征鲁棒性，但其依赖大数据量的生成模型训练和对抗训练。相比之下，ARMOR 采用数据高效的方法，重复利用检测任务已有的标签：它通过（i）掩蔽图像背景以保留与物体相关的特征，以及（ii）在物体上注入随机补丁以提高特征鲁棒性。实验使用物理可实现的对抗补丁，在低数据条件下评估了免查询迁移攻击和防御感知攻击。结果表明，ARMOR 在保持超过 0.90 模型置信度的强干净性能的同时，与最先进的防御相比，将对抗鲁棒性提升了高达 0.32 的模型置信度。使用打印补丁的物理实验证实这些增益在真实部署中依然有效。总体而言，ARMOR 将基于流形的训练见解转化为在训练数据稀缺情况下防御目标检测模型的方法。该研究对计算机视觉安全、对抗性机器学习以及资源受限环境下的模型鲁棒性具有重要参考价值，适合关注防御性人工智能安全的研究人员和工程师阅读。

该论文针对基于深度神经网络（DNN）的网络流量分析系统，提出一种在实时场景下通过盲对抗扰动（blind adversarial perturbations）来欺骗此类系统的方法。流量分析系统常部署于网络边缘，通过分析加密流量的模式（如包长度、时序、方向）来识别用户行为、推断应用类型或检测恶意活动。作者指出，现有的对抗攻击多需要白盒访问或离线计算，难以应用于实时流量传输场景。因此，他们提出一种黑盒的盲扰动生成技术，该技术不依赖目标DNN模型的梯度或内部结构，而是通过观测输入输出关系在线构造扰动，并将其注入到实际流量中，使流量分析器产生错误分类，同时尽量保持网络通信的正常功能。论文的主要贡献包括：设计了一种高效的实时扰动生成算法，适用于高速网络环境；在多个流量分析任务（如网站指纹识别、应用分类）上验证了攻击的有效性；分析了扰动对通信性能（如延迟、包大小）的影响。实验结果表明，该方法能以较低扰动开销达到高攻击成功率，揭示了现有DNN流量分析系统在对抗环境下的脆弱性。该研究属于防御视角下的威胁研究，提醒安全社区需考虑流量分类模型的鲁棒性问题。

本文针对大语言模型（LLM）后训练量化这一常见优化流程，提出并验证了一种新型后门攻击范式。量化通常被视为语义中立，但在实际工作流中，模型通常先在源精度（如FP16）上完成评估，之后再应用量化并直接部署，这种'验证-部署差距'（validation-deployment gap）为攻击者提供了可乘之机。作者首先形式化定义了量化行为等价类（QBEC），并证明同一QBEC内的模型不一定行为等价，从而从理论上揭示了量化压缩可以触发隐藏行为。在此基础上，提出一种三阶段对抗性微调框架，能够在满足源精度检查的同时，将潜在恶意载荷嵌入模型，使模型在INT8或4比特量化后表现出特定攻击行为。实验选取两个操作场景：战术机器翻译与政治内容分析，覆盖从仅解码器因果语言模型到多语言编码器-解码器序列到序列模型的扩展。结果表明，受后门影响的翻译模型在修复的FP16下友军-敌军腐败率为0%，但量化后最高可导致85.02%的输出反转；配套的立场分类器在压缩后产生ΔBias=0.33的意识形态漂移。跨量化器迁移性分析进一步发现，攻击的持久性取决于具体量化方案与模型架构，而非仅由标称位宽决定。该研究揭示，仅依赖源精度审计无法确保部署后的行为安全，必须将对量化后最终配置的验证纳入行为认证流程，为可信边缘AI部署提供重要警示。

卷积神经网络（CNN）面临对抗攻击脆弱性和训练成本高昂的双重挑战。对抗训练虽有效但计算开销巨大，尤其在向能量受限的边缘设备迁移时更为突出。本文提出在训练过程中对 GPU 进行欠压（undervolting）处理，通过降低供电电压引入随机故障扰动，这些扰动作为隐式正则化，在提升模型对抗鲁棒性的同时降低功耗。作者在位级别对欠压引起的故障进行表征，随后在 MNIST 和 CIFAR-10 数据集上，采用标准训练和对抗训练两种模式，分别训练 LeNet、VGG-6 和 MobileNetV3，并在标称电压和欠压电压下评估所有模型对各种对抗攻击的鲁棒性。实验结果表明，在两种训练模式下，欠压模型相比标称电压模型始终获得更高的对抗准确率，说明硬件引入的故障不仅能增强标准训练的鲁棒性，还能进一步增强对抗训练的效果。由于动态功耗与供电电压成二次方关系，这些鲁棒性提升伴随着显著的能源节省。因此，GPU 欠压是一种极易部署的硬件级防御手段，无需改动任何算法，为同时提升鲁棒性和能效提供了新方向。该研究适合硬件安全、对抗机器学习和边缘 AI 研究人员阅读。

本文研究针对静态恶意软件检测器的黑盒对抗攻击问题。近年来，基于机器学习和深度学习的静态恶意软件检测器在识别未知恶意软件变体方面表现出色，因此被广泛采用以降低动态分析和人工签名识别的成本。然而，研究表明这类检测器容易受到对抗性恶意软件攻击的影响，即攻击者巧妙地修改已知恶意软件可执行文件，使其被误判为良性文件。现有的大多数对抗性恶意软件样本生成（AMG）方法依赖于检测器的架构或参数等先验知识，这在实践中通常不可获得；此外，这些方法大多局限于追加式修改，即仅向文件末尾追加内容而不改变原始内容，限制了攻击的灵活性和有效性。针对这些局限，本文提出了一种基于强化学习的新方法AMG-VAC，将变分Actor-Critic（VAC）算法扩展到非连续动作空间，以处理恶意软件修改中固有的离散操作。作者在两个知名的基于机器学习的恶意软件检测器上评估了该方法的逃逸性能，实验结果表明，AMG-VAC在统计显著意义上优于现有的非强化学习和基于强化学习的AMG方法。此外，生成的对抗性动作序列有助于揭示检测器存在的漏洞，为改进检测器的鲁棒性提供了方向。本文的研究贡献在于提出了一种无需内部知识即可生成对抗样本的黑盒方法，并展示了强化学习在离散动作空间中解决该问题的有效性，适合对对抗性机器学习、恶意软件检测和强化学习应用感兴趣的研究人员阅读。

本文提出了一种名为 D-DAE 的防御穿透式模型提取攻击框架，旨在突破基于扰动查询结果的模型提取防御。近年来研究表明，机器学习模型易受模型提取攻击：攻击者仅通过查询黑盒受害者模型，即可训练出一个性能接近的替代模型。为抵御此类攻击，防御方往往在返回查询结果前加入扰动，从而显著降低现有模型提取攻击的性能。D-DAE 首次系统性地尝试绕过这类扰动型防御，其核心包含两个模块：扰动检测模块与扰动恢复模块，二者可集成到通用模型提取攻击流程中。扰动检测模块在收到受害者模型返回的查询结果后，推断防御方采用的扰动机制；作者设计了一种基于元学习的检测算法，用于学习被扰动与未扰动查询结果分布之间的本质差异，该算法具有良好的泛化能力，即使无法访问受害者模型的原始训练数据也能有效工作。在检测到防御机制后，扰动恢复模块利用精心设计的生成模型，从被扰动的查询结果中恢复出干净的查询结果。作者在 MNIST、FashionMNIST、CIFAR-10、GTSRB 和 ImageNette 数据集上进行了广泛评估，实验表明，面对 4 种最先进的防御方法及其组合时，D-DAE 能将现有模型提取攻击的替代模型准确率最多提升 82.24%。此外，作者还验证了 D-DAE 在穿透 Microsoft Azure 和 Face++ 提供的真实世界 API 中未知防御的有效性。该研究揭示了当前扰动型防御的脆弱性，为设计更鲁棒的模型保护机制提供了新的视角。适合关注 AI 安全、模型窃取攻击与防御的研究人员、安全工程师及云服务提供商阅读。

本文提出了一种新颖的“感知感知攻击”框架，用于生成对抗性音乐样本，在保持攻击有效性的同时，尽可能降低人耳感知到的音频质量损失。传统对抗性机器学习攻击通常只关注通过添加微小噪声扰动来欺骗音频分类器（如语音识别、说话人识别、音乐版权检测），但很少考虑扰动在人类听觉感知中的可接受性，尤其对于音乐这类精心设计以取悦听觉的信号。作者首先进行了一项人类研究：邀请受试者对原始音乐和扰动音乐进行成对比较，并对感知偏差进行评分。基于收集到的评分数据，利用回归分析逆向工程建立人类感知模型，该模型能够预测给定扰动信号会导致多大的人耳感知偏差。随后，将感知感知攻击形式化为一个优化问题：在确保攻击成功（即欺骗目标分类器）的前提下，寻找使预测感知偏差最小化的最优扰动信号。作者以YouTube版权检测器为攻击目标，验证了该框架的有效性。实验结果表明，与以往工作相比，感知感知攻击生成的对抗性音乐在感知质量上显著更优，即扰动更不易被听众察觉，同时仍然能够成功规避版权检测。本文的贡献在于：首次将人类感知研究融入对抗性音乐攻击的设计流程，提出可量化的感知模型，并展示了一种能够生成高隐蔽性对抗性音乐的优化方法。适合关注对抗机器学习、音频安全、人机交互与AI安全交叉领域的研究人员阅读。

本论文针对电力系统网络攻击检测中的机器学习模型鲁棒性问题，系统评估了量子机器学习（QML）方案与传统经典模型在对抗环境下的表现，并提出一个关键方法论论点：评估者自身的选择会先于模型决定基准测试的结论。研究在公开的密西西比州立大学/ORNL 电力系统攻击数据集上，对 fidelity-kernel SVM 和变分分类器两种 QML 模型与六种调优后的经典模型进行了全面比较，覆盖白盒攻击、迁移攻击、基于决策的黑盒攻击和投毒攻击等场景。作者识别出八个评估者选择——其中六个属于评估协议，两个属于基准调优过程——每个选择都能在固定模型的情况下逆转或改变原有结论。最大的影响因素是数据分割方式：采用行级随机划分时，模型可取得 0.905 的宏 F1 分数；而按完整源文件留出时，分数骤降至 0.594；在限制维度匹配的设置下，QML 模型几乎接近随机猜测，经典模型也仅高出 0.024。此外，fidelity kernel 在未受直接攻击时看似鲁棒，但其保留率在直接攻击下从 0.886 跌至 0.064，暴露了表面稳健性的假象。错误拟合的替代模型可造成 10 倍的不对称性，未设置随机种子的黑盒攻击在不同重启间有 75% 的结果波动。通过阳性对照，作者证明准确性失效的根源在于标签本身，而非建模管道。论文最终提供了能够捕捉每个选择影响的控制方法，并发布了带种子的基准，以促进可复现、无偏见的未来比较。该研究适合安全研究人员、电力系统安全工程师以及量子机器学习开发者阅读，提醒社区在设计评估协议时必须谨慎，否则结论将失去可信度。

该论文提出了一类新型的数据投毒攻击，称为“子群体攻击”（Subpopulation Attack）。研究背景是机器学习模型在关键场景中部署时可能因训练数据被恶意篡改而在特定情况下产生错误预测。传统投毒攻击（如后门攻击）通常会在训练数据中植入特定触发器，使得模型在推理时见到该触发器才出错，容易被检测。子群体攻击则不同，它针对数据集中自然存在的一个子群体（例如具有某些特征的样本），通过精心修改该子群体的训练数据，使模型在推理时对这些自然分布的数据点产生误分类，而不需要任何显式触发器，因此具有极强的隐蔽性。论文设计了一个模块化的攻击框架，可以用不同的构建模块实例化，并通过影响函数和梯度优化方法在连续域中进一步优化攻击效果。实验表明，该攻击在多种数据集和机器学习模型上均有效，并且能够改进现有的目标攻击。理论部分证明，在某些假设下，子群体攻击是无法防御的；实验也展示了现有防御措施对这类攻击的局限性，凸显了保护机器学习系统免受该威胁的困难。该研究适合机器学习安全研究者、模型部署者以及安全运营人员阅读，以了解这类新型投毒风险的原理和潜在影响。

本文针对大语言模型（LLM）内部安全评分机制的有效性提出质疑，指出当前广泛使用的“有害意图”评分存在测量目标错位问题。具体而言，内部安全分数在文本生成之前评估提示词，其验证方式通常基于能否区分有害与良性提示，但这种分离被错误地解读为能够拦截真实攻击。作者强调：有害意图是提示词本身的属性，而越狱成功是目标模型、解码策略和评判器共同作用下的后续结果。因此，仅依据提示词级别评分进行过滤，会将其假阳性预算浪费在原本就不会成功的攻击上。论文提出了主动注意力探测（Active Attention Probing）方法，为注意力测量提供固定的、与内容无关的参照坐标，以规避包装（wrapping）等扰动对测量位置和内容的影响。实验基于配对设计（每个目标含普通与包装版本），在Llama模型上，包装使有害生成率从0.05升至0.27，同时有害意图AUROC从0.936降至0.803，说明攻击在变得更危险的同时，评分却认为提示词更安全。此外，在包装的有害提示中，攻击结果的AUROC仅为0.220，表明成功攻击的排序低于失败攻击。该逆转现象在稀有token、被动与检测器衍生通道中均复现，并跨三个目标模型、七种攻击家族和两个独立评判器保持稳定。研究还发现分布偏移会先破坏校准和阈值迁移，随后破坏排序性能。该工作揭示了内部安全评分的根本局限，提示安全从业者不应将提示词级评分作为越狱攻击的可靠防线。适合LLM安全研究人员、红队和防御方阅读。

这篇综述论文提出并系统梳理了“为善的对抗性攻击”（Adversarial Attacks for Good）这一新兴研究范式。其核心背景是：视觉内容一旦进入AI管线，所有者便很难再对内容被如何使用进行技术控制；虽然法律和监管手段可以应对滥用，但许多技术干预必须在内容发布或访问时就更早地实施。论文指出，五个研究方向虽然彼此独立发展，却都采用了同一思想——将长期用于攻击机器学习模型的扰动和结构化信号，反向应用于数据所有者、创作者、平台或审计方，以破坏未经授权的自动化处理或为后续问责提供支持。这五个方向覆盖了视觉资产生命周期的不同阶段：1）隐私过滤器，针对分享时的未经授权识别；2）不可学习示例，防止未经授权的模型训练利用；3）生成式安全防护，防止恶意的图像编辑或模仿；4）对抗性CAPTCHA，作为访问控制以阻止自动化代理；5）溯源机制，用于传播后的归属和追踪。论文指出，这些方法虽然在不同场合提出、成功标准各异，但都利用了人类感知、语义理解与机器推断之间持久存在的差距；随着视觉管线向多模态模型和自主代理演进，这一范式仍将具有现实意义。为了让不同工作的结论可比，论文从可迁移性、适应性和部署就绪度三个共同维度对五个方向的代表性方法进行了评估。总体发现是：大多数现有防护仍主要针对静态或弱自适应攻击者进行验证，在受控基准之外的实证证据稀缺。论文最后汇总了跨阶段的对抗措施和开放问题，呼吁构建鲁棒、可组合、可部署的所有者侧防护方案。该研究适合AI安全、隐私保护、内容溯源和对抗机器学习领域的研究人员与从业者阅读。

本文针对深度神经网络（DNN）在资源受限的神经形态硬件上部署时面临的三个并发挑战——剪枝压缩、对抗输入扰动和硬件故障（如stuck-at-zero权重错误）——进行了系统的实证研究。尽管这些因素在已有文献中均被单独探讨，但它们的联合效应尚未被充分理解。作者使用一个在MNIST数据集上训练的紧凑型三层卷积神经网络，设计了三组实验：第一组对比自然训练与对抗训练模型在同时遭受硬件故障注入和对抗攻击时的容错性；第二组评估不同剪枝水平对模型对抗鲁棒性的影响；第三组刻画故障率、对抗扰动幅度和剪枝水平共同作用下的模型准确率曲面。实验结果显示：对抗训练虽然显著提升了模型对输入扰动的鲁棒性，但同时也加剧了模型对stuck-at-zero权重故障的敏感性；与直觉预期相反，剪枝并未明显增加模型的故障敏感性，且不同剪枝水平对故障率和攻击强度的总体影响很小。这些发现揭示了对抗鲁棒性与硬件可靠性之间存在潜在的权衡，强调在真实硬件部署中必须联合考虑这两种因素，而不是孤立地优化其中一项。本文的贡献在于首次以统一框架评估了三者的交互，为设计同时具备对抗安全性和硬件容错性的DNN提供了实验依据，特别适用于神经形态芯片、边缘计算等资源受限的安全关键型AI系统。

这篇论文针对恶意软件分类系统中的概念漂移问题展开研究。随着恶意软件不断演化，数据分布会发生漂移，导致分类器性能下降。为此，研究者开发了基于机器学习的数据漂移检测工具来监控输入数据分布的变化。然而，此类检测器与恶意软件分类器在设计目的和技术上存在差异，因此针对分类器的对抗攻击（如规避攻击和投毒攻击）如何影响检测器，以及两者组合使用时的安全性尚不明确。本文通过实证分析，系统研究了规避与投毒攻击对数据漂移检测器以及整个恶意软件检测流程的影响。实验发现，数据漂移检测器的独特特性（如对数据分布变化的敏感性）使得原本针对分类器的攻击在联合场景下表现出不同的效果，可能引发检测器的误报或漏报，进而影响整个系统的可靠性。研究揭示了这一关键交互作用，为理解对抗攻击在多层检测架构中的传播提供了新视角，并为构建更稳健的恶意软件防御系统提供了理论基础和实验依据。

本文研究的是生产环境中的恶意软件检测系统在面对可迁移对抗性攻击时的鲁棒性。随着深度学习模型被广泛集成到大型生产系统中，其个体缺陷可能被利用，进而引发系统层面的安全漏洞。作者以 Gmail 的恶意软件检测流水线为案例，该流水线依赖一个名为 Magika 的机器学习模型来识别文件类型，并据此将潜在恶意软件路由至不同的专用检测器以提升准确率和性能。Magika 已开源，使得攻击者可以针对其构造对抗样本：通过仅修改恶意软件样本中的 13 个字节，作者在 90% 的情况下成功欺骗 Magika，导致恶意软件被错误路由至不匹配的检测器，从而绕过 Gmail 的检测机制。随后，作者提出了相应的防御策略，使得在防御后的生产模型中，即使是资源充足的攻击者也需要 50 字节才能达到仅 20% 的攻击成功率。该防御已与 Google 工程师合作部署至 Gmail 分类器的生产环境中。本文的核心贡献包括：揭示生产系统中 ML 组件的脆弱性传导机制、提出具体可操作的对抗样本构造方法（但摘要未提供技术细节）、设计并部署了有效的缓解措施。适合安全研究员、ML 系统开发者以及关注对抗鲁棒性的安全工程师阅读。

本文提出一种新型的干净标签休眠后门攻击框架，其核心特点是模型在训练后保持良性表现，只有在用户发起特定机器遗忘（machine unlearning）请求后才会被激活。现有后门攻击通常在植入后立即生效，容易在利用前被发现；而基于机器遗忘激活的休眠后门能够规避这种风险，但其难点在于同时满足低休眠期攻击成功率和强激活后攻击效果，尤其是在干净标签约束和现实遗忘请求下。为此，作者设计了基于双生成器学习的双层优化框架：一方面学习特定的样本触发器以建立持久的潜在触发-目标关联，另一方面学习标签一致的伪装样本以提供可移除的抑制作用。当一小部分伪装样本被遗忘后，抑制被解除，休眠后门被激活。在CIFAR-10和ImageNet-10上的实验表明，与代表性后门基线相比，该方法在多种机器遗忘算法下均实现了更低的遗忘前攻击成功率与更强的遗忘后激活效果，验证了通过协调持久潜在关联和可移除抑制可实现可靠的休眠到激活转变。该研究揭示了机器学习遗忘机制可能被滥用为后门激活开关，对模型合规删除和数据遗忘场景构成新的安全威胁。

本文提出了一种针对机器学习基础设施的新型攻击面——寄生基础设施木马（Parasitic Infrastructure Trojan），并展示了具体实现(A)iSpy。现代机器学习流水线高度依赖第三方库进行图编译和硬件加速，现有安全实践主要审计数据、模型工件或依赖文件完整性检查，但执行环境通常被隐式信任。这留给攻击者一个盲点：恶意运行时模块可以直接与实时的训练和推理动态交互。通过这种交互，木马能够实现复杂的攻击目标，远超传统静态代码或二进制修改的能力，甚至可以完成标准数据和模型层面攻击无法实现的操纵。 (A)iSpy采用“主动观察与执行”范式，作为寄生模块运行在计算图中，监视瞬态张量状态，以极低的副效应进行目标性、隐秘的操纵。在机密性方面，木马能够识别所有关键训练超参数，并通过模型权重或输出logits隐蔽地外泄这些参数。在完整性方面，它作为梯度放大器：通过观察隐写触因，将原本弱的数据中毒转化为有效的后门攻击，成功率从接近0%提升至100%。论文还通过附录验证了该攻击在机器学习生命周期中的广泛扩展性，包括子种群标签翻转、可用性中断和推理阶段操纵。 (A)iSpy模块能够轻易逃避标准恶意软件扫描器，其关联的中毒输入和受感染的模型也能绕过典型的检查工具。作者在ONNX Runtime训练和推理引擎中实现了该攻击，证明其实际可行性。这项工作揭示了ML基础设施中新的信任链脆弱性，对依赖第三方库的ML系统构成严重威胁，为安全社区提供了防御研究的新方向。

论文《ShadowPickle: Evading Machine Learning Model Scanners via Stealthy Pickle Deserialization Attacks》研究了针对预训练机器学习模型（PTM）托管中心（如Hugging Face）的供应链攻击。这类攻击利用恶意PTM在用户可信环境中执行远程代码。作者提出了三种名为SHADOWPICKLE的隐蔽pickle反序列化攻击，利用Pickle虚拟机的外部模块导入机制，在反序列化期间执行恶意载荷，从而规避现有最先进的模型扫描器。为了评估攻击，他们还开发了PICKLEBENCH基准测试，能够自动将SHADOWPICKLE注入任意良性PTM模型。实验表明，SHADOWPICKLE可以逃避十种最先进的扫描器和四种模型中心。其中“Overwritten”变体对扫描器的平均逃避率为63%，比现有攻击高出最多50%。PICKLEBENCH比三个现有基准测试的挑战性高25.6%。论文最后提供了缓解建议，指出了现有扫描器的局限性及改进方向。该研究适合机器学习安全研究人员、模型托管平台安全团队以及开发反序列化防护工具的人员阅读。

这篇论文研究了一种新型的深度学习模型后门注入方法。与传统的后门攻击不同，该方法不依赖于修改训练数据、观察代码执行或访问最终模型，因此被称为“盲后门攻击”。攻击者通过破坏模型训练代码中的损失值计算过程，在训练过程中动态生成带有毒化的训练样本，并利用多目标优化技术确保主任务和后门任务同时达到高精度。论文展示了多种比先前工作更强大的后门类型：在ImageNet模型上实现单像素后门（仅修改一个像素即可触发后门）、物理后门（通过物理世界中的特定图案触发）、隐蔽后门（将模型切换为侵犯隐私的隐蔽任务）以及无需推理时输入修改的后门（后门在模型内部被静态编码）。实验证明，这些盲后门能够逃避当前已知的所有防御机制。论文还提出了新的防御思路，但未给出具体防御方案。该研究揭示了深度学习供应链中训练代码本身可能成为攻击向量，对模型安全性构成严重威胁。适合机器学习安全研究人员、模型开发者和部署者阅读。

本文针对部署在对抗性环境中的安全检测模型，提出了一种全范围二元分类器校准方法（Full-range Binary Classifier Calibration）。在恶意流量/样本分布快速漂移而良性分布相对稳定的场景下，安全团队需要频繁重训练模型以保持对新威胁的检出能力。然而，重训练会改变模型输出的预测分数，破坏下游依赖该分数的机制（如阈值、排序等）。传统的概率校准方法旨在使输出值逼近类概率，但安全场景更关心的是在不同部署版本间，同一输出分数对应的假阳性率（FPR）保持一致性。本文设计的方法基于现有校准原语（如 Platt scaling、等张回归等），通过在全FPR区间（从10%到0.01%）上优化，使得模型更新后输出分数具有稳定的FPR含义。在独立保留的测试集上，该方法在10%至0.1% FPR范围内观察到的相对FPR误差最大仅为2.3%，在0.01% FPR下误差为7.2%。此外，校准模型的产物（校准器）大小控制在200 KB以下，适用于1K至10M良性样本的校准集。该方法不依赖特定模型架构，可与现有安全ML流程集成。主要贡献是定义了面向安全场景的校准目标（FPR一致性），并提供了高效、轻量的实现。适合安全工程师、MLOps团队、以及研究模型部署稳定性的学者阅读。

本文针对基于自编码器的网络入侵检测系统（NIDS）面临的对抗性逃避攻击问题展开研究。攻击者利用 PANDA 框架，将网络流量中的报文序列转换为可逆灰度图像，从而将在视觉领域开发的对抗样本技术迁移到网络领域，例如使用掩蔽快速梯度符号法（masked FGSM）生成对抗性流量。此类攻击能够操纵自编码器 NIDS 的异常评分，同时保持攻击语义不变，使得防御者难以区分良性流量和精心扰动的恶意流量。为此，作者提出了两种互补的检测器：一是残差定位检测器（Residual Localisation Detector, RLD），它在图像空间中跟踪报文到达间隔时间特征区域的重建误差空间集中度；二是特征空间扰动一致性检测器（Feature-Space Perturbation Consistency Detecter, FPC），它直接在报文特征空间的报文到达间隔时间特征上操作。实验基于 UQ-IoT 数据集的多个 IoT 设备流量，包括良性、恶意和对抗性流量。评估结果表明，两种检测器在检测对抗样本时均能达到接近完美的性能（真阴性率、真阳性率、精确率、召回率和 F1 分数均超过 0.99）。作者认为，将基于重建的评分与扰动一致性检查相结合，同时在图像空间和报文特征空间进行检测，为防御针对 NIDS 的 PANDA 式对抗攻击提供了一种实用的方案。本文适合从事入侵检测、机器学习安全以及对抗性机器学习的研究人员和工程师阅读。

该论文提出了一种名为DeepRed的深度学习驱动的命令与控制（C2）框架，用于针对基于机器学习的网络入侵检测系统（ML-NIDS）进行多阶段红队测试。研究背景指出，尽管机器学习能够提升NIDS的检测能力，但对抗性机器学习研究揭示了ML模型的关键脆弱性。现有研究存在三大不足：依赖不切实际的威胁模型、仅关注流量流扰动而忽略数据包级恶意活动、以及扰动后无法保持攻击功能。DeepRed框架利用生成对抗网络（GAN）生成符合TCP/IP约束且可在数据包级别实现的对抗性样本，并提出两种新颖攻击策略：单数据包单特征（SPSF）和单特征扰动（SFP），在高度受限条件下以最小扰动实现逃逸。为了进行稳健评估，作者构建了包含红队练习中良性流量和恶意流量的综合ML-NIDS基准数据集，并引入流水线无关的对抗性测试方法，评估了FlowTransformer和SSCL-IDS等最先进模型在不同特征、训练数据和预处理流水线下的表现，同时保持攻击功能。实验结果表明，DeepRed能将检测率降低高达20%，凸显了其绕过ML-NIDS同时保持操作完整性的能力。该工作适合从事网络入侵检测和对抗性机器学习研究的红队人员、蓝队防御者以及安全研究人员阅读。

大型语言模型（LLM）API的广泛使用使得用户依赖黑盒指纹识别来验证服务提供商是否真正部署了所宣称的优质模型。然而，现有指纹识别方法可能忽视恶意提供商通过操纵模型权重来欺骗指纹检测的风险。本研究提出了一种名为“指纹欺骗”（fingerprint spoofing）的新型威胁：恶意提供商秘密提供较弱模型，该模型通过参数高效微调模仿较强模型，从而逃避用户端的指纹识别。作者首先从理论上证明，用户端的资源限制（即有限的查询预算和弱指纹分类器）使得现有指纹识别易受此攻击。基于理论分析，提出了GhostPrint攻击框架，该框架结合代理建模、奖励排序微调和知识蒸馏，以低成本的方式实现有效欺骗。在静态和持续指纹识别场景下的广泛评估表明，GhostPrint能够使弱模型持续绕过代表性指纹识别方法，同时以较低的微调成本保持实用性。该研究揭示了当前LLM指纹识别流程中的一个严重漏洞。

该论文研究了世界模型（world models）在机器人学习管道中的安全性问题。世界模型作为一种高效的数据生成和仿真工具，正被越来越多地集成到机器人训练流程中，但本文证明了世界模型引入了一种隐蔽且有效的数据投毒攻击入口。与传统的直接向训练数据注入危险轨迹的方法不同，作者提出的新型攻击向看似安全的远程操作数据中注入恶意提示或过渡动态，这些恶意数据只有在通过世界模型处理时才会激活，从而生成合成危险轨迹，最终导致训练出不安全或被篡改的机器人策略。攻击在动作条件世界模型和文本条件世界模型上均得到验证，包括对下游深度强化学习策略的端到端后门攻击，以及视觉-语言-动作（VLA）场景的概念验证。该研究突显了世界模型在机器人学习供应链中的脆弱性，并呼吁开发更安全的模型以及重新评估其集成方式。适合机器人安全、对抗性机器学习和系统安全领域的研究人员阅读。

本文提出了一种针对深度神经网络数据投毒攻击的取证溯源工具。在对抗性机器学习领域，新的防御措施常常被更强大的攻击迅速攻破，因此取证工具可以作为现有防御的有益补充，通过追溯成功攻击的根本原因，为未来防范类似攻击提供缓解路径。作者提出了一种新颖的迭代聚类与剪枝解决方案，该方法逐步剔除“无辜”的训练样本，直至剩余样本全部为导致攻击的投毒数据。具体而言，该方法基于训练样本对模型参数的影响进行聚类，然后利用高效的数据遗忘机制剪除无辜簇。作者在计算机视觉和恶意软件分类领域，针对三种脏标签（后门）投毒攻击和三种干净标签投毒攻击进行了实证评估，系统在所有攻击上实现了超过98.4%的精确率和96.8%的召回率。此外，该系统对四种专门设计用于攻击它的反取证措施表现出鲁棒性。该工作为安全从业者提供了一种事后分析工具，可用于定位训练数据中的恶意样本，辅助模型修复和攻击溯源。

本文针对基于机器学习的入侵检测系统（IDS）面临的对抗性攻击威胁，提出了一种名为SHIELD-IDS的防御框架。现有研究如IDS-Anta通过Z-score归一化、奇异值分解（SVD）和多臂赌博机（MAB）选择分类器来部分缓解攻击，但其分类器池缺乏结构多样性，导致对抗鲁棒性不足。为此，作者提出了IDS-Anta++，在集成中加入XGBoost和LightGBM梯度提升模型，并设计了三层黑盒防御：隔离森林异常检测、中位数特征平滑和六元多数投票。在CIC-IDS-2017、CEC-CIC-IDS-2018和CIC-DDoS-2019数据集上，分别采用快速梯度符号法（FGSM）和零阶优化（ZOO）攻击进行测试。结果表明，在干净数据上检测准确率超过99%，在对抗条件下相比基线IDS-Anta框架具有可量化的鲁棒性提升。这一方法通过结构异构集成和分层防御，在不依赖白盒访问的情况下增强了IDS的对抗鲁棒性。

本文研究了大语言模型（LLM）后训练阶段中的顺序数据投毒威胁。LLM后训练通常包括多个阶段，如监督微调（SFT）和基于人类反馈的强化学习（RLHF）或直接偏好优化（DPO），每个阶段的数据来自不同、可能不可信的来源。现有文献假设每个训练阶段可能发生单次数据投毒攻击，但忽略了多个攻击者协同攻击的可能性。为此，本文提出了“顺序数据投毒”威胁模型，其中多个敌手分别污染SFT数据集和偏好数据集。在该模型下，作者发现了“单攻击者错觉”：单独评估每个敌手时，威胁看似微不足道；但当敌手跨阶段协作时，真正的脆弱性暴露无遗。在SFT→DPO管道中，攻击者的贡献是累加性的：将固定投毒预算分散到多个阶段比集中在单一阶段效果更显著。在SFT→PPO管道中，攻击者的贡献是互补的：单独进行SFT投毒或奖励模型投毒均无法成功，但两者结合却能奏效。这些发现表明，对单个后训练阶段的安全性分析会系统性低估仅由阶段间交互产生的复合漏洞。代码已开源。本文适合AI安全研究员、LLM训练流程设计者及防御方关注，以理解多阶段攻击的潜在风险和评估现有防御的不足。

该论文研究了面向软件逆向工程的多智能体系统在分析二进制可执行文件时面临的提示注入攻击威胁。攻击者可将恶意注入字符串嵌入源代码或编译产物中，当AI代理解析反编译输出时触发异常行为。作者首先展示了如何利用现有反编译器检测被篡改后的可执行文件中的注入字符串，并系统评估了多种检测方法的有效性，包括基于正则表达式、特征签名以及机器学习分类器的方案。随后，论文重点探索了攻击者可能采用的混淆技术，如代码流平坦化、指令替换、字符串加密等，使注入内容更难被静态分析捕获。针对这些混淆手段，作者又提出了相应的防御策略，包括动态污点追踪、语义哈希过滤以及上下文感知的提示清理机制。实验基于一组公开的恶意软件样本和人工构造的对抗样本进行，结果表明：在无混淆场景下，基于上下文的检测器可达到95%以上的召回率；面对中等强度的混淆，综合使用静态与动态检测能将准确率维持在85%左右；而高度混淆的对抗样本仍能绕过部分检测，形成约10-20%的漏报率。论文最终指出，当前技术尚无法完全消除此类攻击风险，但通过多阶段检测与输入规范化，可大幅降低实际运营中的威胁。该工作对将AI代理部署到生产环境的逆向工程平台、安全分析流水线及漏洞挖掘系统具有直接指导意义。

本文研究了大型语言模型（LLM）代理（agent）在寻求澄清（clarification-seeking）行为下的安全性问题。澄清行为通常被视为代理的理想属性，允许其在执行不明确任务前先解决歧义。然而，作者发现这种交互模式会显著增加代理对提示注入攻击（prompt injection）的脆弱性。为此，他们提出了ASPI（Ambiguous-State Prompt Injection）基准测试，包含728个任务-攻击场景，专门将澄清作为一个独立的代理状态，并在受控条件下比较执行状态和澄清状态下的脆弱性差异。每个基准实例在匹配的执行和澄清设置下进行评估：执行设置中，代理基于完全明确的指令行动，仅通过工具返回的数据接触对抗内容；澄清设置中，代理必须先请求并整合额外的用户输入才能行动。作者评估了10个前沿LLM，发现澄清行为一致且显著地放大了脆弱性。例如，对于o3模型，攻击成功率从1.8%上升到34.0%；对于Gemini-3-Flash，则从2.2%上升到35.7%。分解分析表明，这种差距既反映了模型处理传入内容时的状态依赖性转变，也源于代理主动请求澄清接口带来的通道特定效应。这些发现表明，标准执行时的安全评估系统性地低估了交互式代理的攻击面，且在完全指定任务下的鲁棒性并不能转化为歧义状态下的鲁棒性。论文数据和源代码已公开。

该论文研究纵向联邦学习（Vertical Federated Learning, VFL）中的隐私泄露问题，聚焦于数据重建攻击。VFL是一种允许多个参与方在不共享原始数据的情况下，基于同一组样本的不同特征共同训练模型的协作学习范式。然而，VFL面临来自数据重建攻击的隐私威胁。现有攻击主要分为两类：诚实但好奇（HBC）攻击，即攻击者遵守协议但试图窃取数据；以及恶意攻击，即攻击者违反训练协议以获取更多数据泄露。目前大多数研究集中于HBC场景，对恶意攻击的探索有限。在VFL中发起有效的恶意攻击面临两大挑战：首先，由于客户端的数据特征和模型是分布式的，每个客户端严格保护其隐私并禁止直接查询，使得窃取数据变得困难；其次，现有恶意攻击会改变底层VFL训练任务，因此容易通过比较接收到的梯度与诚实训练中的梯度而被检测到。为克服这些挑战，本文提出了URVFL，一种能够逃避现有检测机制的新型攻击策略。其核心思想是集成一个带有辅助分类器的判别器，充分利用标签信息生成针对受害客户端的恶意梯度：一方面，标签信息有助于更好地区分不同类别的样本嵌入，从而提升重建性能；另一方面，利用标签信息计算恶意梯度能更好地模拟诚实训练，使恶意梯度与诚实梯度难以区分，从而让攻击更加隐蔽。全面的实验表明，URVFL显著优于现有攻击，并成功规避了最先进的恶意攻击检测方法。额外的消融研究和针对防御措施的评估进一步证明了URVFL的鲁棒性和有效性。该研究揭示了纵向联邦学习中对恶意攻击检测的不足，对VFL安全设计具有重要警示意义。

本文研究了针对现代恶意软件检测管道的灰盒投毒攻击模型。现代检测系统通常依赖持续数据摄入和机器学习来应对大量新型威胁。作者利用secml_malware框架，通过功能保留的操纵（具体为导入地址表IAT和节注入）生成问题空间对抗性二进制样本。他们评估了这些投毒样本被摄入到基于LightGBM的恶意软件检测模型训练集时的影响。实验结果表明，基于IAT的微妙扰动能够生成紧凑的投毒样本，显著降低检测召回率。这些发现揭示了在连续学习系统中开发低可视性对抗扰动同时保持高投毒效能的固有挑战。此外，作者评估了一种基于同质集成的防御机制，该机制能够成功识别并过滤高达95.6%的投毒尝试，同时保持对合法数据的高保留率。该工作强调了在生产管道中进行鲁棒的摄入前验证的必要性。本文适合安全工程师、对抗性机器学习研究人员以及恶意软件检测系统的开发人员阅读。

本文提出了一种名为 PINSIGHT 的系统性方法，用于全面评估基于 WiFi 信道状态信息的 PIN 码推断攻击的真实威胁。现有攻击（如 WiKI-Eve）声称在不同环境、设备和用户下都能保持高精度，但本文通过构建一个机器人打字平台，能够产生高度可重复的击键事件，并系统性地改变环境参数（如房间布局、家具位置等），首次分离了环境变化和打字编码本身对攻击性能的影响。实验结果表明，现有攻击在环境变化时表现出较好的泛化能力，但一旦信道对打字的编码方式发生改变（例如用户打字姿势、手指位置或设备放置方式不同），攻击精度就会显著下降。这恰恰是真实攻击场景中常见的情况。因此，本文认为当前最先进的 WiFi PIN 码推断攻击的实际威胁被高估了。PINSIGHT 还提供了第一个用于评估 WiFi PIN 推断攻击环境泛化能力的基准数据集。该研究有助于安全社区更准确地理解此类侧信道攻击的局限性，并为设计更鲁棒的防御措施提供指导。