该论文针对边缘视觉系统中基于预处理的对抗性防御进行了系统评估，填补了此类防御在深度可分离卷积神经网络（广泛用于边缘设备）上缺乏验证的空白。研究背景是：预处理防御（如输入变换、去噪等）通常作为对抗攻击的第一道防线，无需重训练或修改架构，被视为模型无关的缓解措施，但其有效性评估主要基于残差网络或 Inception 类架构，而非边缘部署中主流的深度可分离 CNN。论文在两种架构族上对比评估了六种预处理防御方法对抗对抗扰动的效果。结果表明，在所有扰动水平和测试防御下，两种深度可分离架构的恢复性能始终较差，而残差架构表现出部分恢复能力；消融结果支持架构性而非参数性解释，但研究仅涉及三种架构和一个攻击家族。更重要的是，这一失败并非简单的负面结果：预处理在干净样本上持续扰乱预测，但对对抗样本的预测几乎不变，这种不对称性可直接用于检测，且无需重训练或架构修改。论文还指出标准图像质量指标无法可靠反映防御有效性，揭示了当前评估实践中的方法论缺陷。最后，作者为抗对抗鲁棒的边缘视觉部署提供了实践决策框架。该研究适合边缘AI安全工程师、计算机视觉安全研究者及部署轻量级视觉模型的开发人员阅读。

本文针对语音助手中的关键词检测（Keyword Spotting, KWS）系统在真实场景下的鲁棒性挑战展开研究。关键词检测是语音助手的首要环节，需要在连续音频流中准确识别唤醒词。然而，现实环境中的噪声、干扰以及恶意构造的对抗样本都可能导致其性能显著下降。论文题目暗示其目标在于提升KWS系统对各种扰动的鲁棒性。作者团队跨越多所高校，具备机器学习与安全领域的专业背景，可能采用数据增强、对抗训练、鲁棒声学特征或模型架构改进等策略。由于仅获取到标题和作者信息，无法获知具体方法、实验设置与评测数据集，因此本摘要基于题目推测，所有技术细节均需以原论文正式发表版本为准。读者若关注语音交互安全或对抗机器学习，可追踪该工作获取后续完整成果。

该论文研究了基于脑电信号（EEG）的生物特征识别系统的对抗性脆弱性。随着EEG信号被提议用作生物识别凭据，其安全性评估成为重要问题。以往研究主要针对深度学习分类器，并假设攻击者拥有对模型的完全访问权限（白盒攻击），而忽略了其他更常见的神经特征提取方法以及更现实的黑盒攻击场景。为此，作者提出了一组自适应攻击算法，攻击者仅需黑盒访问认证系统，即可通过有针对性地篡改窃取的EEG记录来欺骗系统，且无需了解认证系统的内部细节。研究在6个公开数据集上进行了测试，覆盖三种记录条件：视觉刺激反应、运动想象和静息状态。实验表明，不同的神经特征提取方法在对抗攻击下的脆弱性差异显著；同时，记录条件（如任务类型）对欺骗攻击的成功率有重要影响。最后，作者基于对抗测试结果，为提升神经特征生物识别系统的安全性提出了改进建议。该工作填补了神经生物识别在黑盒对抗攻击研究方面的空白，为脑机接口和生物认证安全领域提供了系统性的评估框架。适合安全研究人员、生物识别系统开发者和脑机接口领域的学者阅读。

本文提出了一种名为 ARMOR（Adversarial Robustness with Manifold-Oriented Training）的新型防御方法，旨在解决空中目标检测模型在物理世界中对通用对抗性补丁的脆弱性，同时应对训练数据稀缺的实际约束。空中目标检测广泛应用于现实场景，但模型容易受到物理可实现的通用对抗性补丁的攻击，导致漏检。以往对抗性鲁棒性研究通常假设训练数据充足（数万张图像），但实际部署场景中，空中图像的收集和标注成本高昂，通常仅有数百张图像可用。ARMOR 将流形导向对抗训练（OMAT）的核心思想扩展到低数据场景。OMAT 通过建模数据流形（即捕获数据相关特征的紧凑结构）来学习和增强特征鲁棒性，但其依赖大数据量的生成模型训练和对抗训练。相比之下，ARMOR 采用数据高效的方法，重复利用检测任务已有的标签：它通过（i）掩蔽图像背景以保留与物体相关的特征，以及（ii）在物体上注入随机补丁以提高特征鲁棒性。实验使用物理可实现的对抗补丁，在低数据条件下评估了免查询迁移攻击和防御感知攻击。结果表明，ARMOR 在保持超过 0.90 模型置信度的强干净性能的同时，与最先进的防御相比，将对抗鲁棒性提升了高达 0.32 的模型置信度。使用打印补丁的物理实验证实这些增益在真实部署中依然有效。总体而言，ARMOR 将基于流形的训练见解转化为在训练数据稀缺情况下防御目标检测模型的方法。该研究对计算机视觉安全、对抗性机器学习以及资源受限环境下的模型鲁棒性具有重要参考价值，适合关注防御性人工智能安全的研究人员和工程师阅读。

该论文针对基于深度神经网络（DNN）的网络流量分析系统，提出一种在实时场景下通过盲对抗扰动（blind adversarial perturbations）来欺骗此类系统的方法。流量分析系统常部署于网络边缘，通过分析加密流量的模式（如包长度、时序、方向）来识别用户行为、推断应用类型或检测恶意活动。作者指出，现有的对抗攻击多需要白盒访问或离线计算，难以应用于实时流量传输场景。因此，他们提出一种黑盒的盲扰动生成技术，该技术不依赖目标DNN模型的梯度或内部结构，而是通过观测输入输出关系在线构造扰动，并将其注入到实际流量中，使流量分析器产生错误分类，同时尽量保持网络通信的正常功能。论文的主要贡献包括：设计了一种高效的实时扰动生成算法，适用于高速网络环境；在多个流量分析任务（如网站指纹识别、应用分类）上验证了攻击的有效性；分析了扰动对通信性能（如延迟、包大小）的影响。实验结果表明，该方法能以较低扰动开销达到高攻击成功率，揭示了现有DNN流量分析系统在对抗环境下的脆弱性。该研究属于防御视角下的威胁研究，提醒安全社区需考虑流量分类模型的鲁棒性问题。

本文针对大语言模型（LLM）后训练量化这一常见优化流程，提出并验证了一种新型后门攻击范式。量化通常被视为语义中立，但在实际工作流中，模型通常先在源精度（如FP16）上完成评估，之后再应用量化并直接部署，这种'验证-部署差距'（validation-deployment gap）为攻击者提供了可乘之机。作者首先形式化定义了量化行为等价类（QBEC），并证明同一QBEC内的模型不一定行为等价，从而从理论上揭示了量化压缩可以触发隐藏行为。在此基础上，提出一种三阶段对抗性微调框架，能够在满足源精度检查的同时，将潜在恶意载荷嵌入模型，使模型在INT8或4比特量化后表现出特定攻击行为。实验选取两个操作场景：战术机器翻译与政治内容分析，覆盖从仅解码器因果语言模型到多语言编码器-解码器序列到序列模型的扩展。结果表明，受后门影响的翻译模型在修复的FP16下友军-敌军腐败率为0%，但量化后最高可导致85.02%的输出反转；配套的立场分类器在压缩后产生ΔBias=0.33的意识形态漂移。跨量化器迁移性分析进一步发现，攻击的持久性取决于具体量化方案与模型架构，而非仅由标称位宽决定。该研究揭示，仅依赖源精度审计无法确保部署后的行为安全，必须将对量化后最终配置的验证纳入行为认证流程，为可信边缘AI部署提供重要警示。

卷积神经网络（CNN）面临对抗攻击脆弱性和训练成本高昂的双重挑战。对抗训练虽有效但计算开销巨大，尤其在向能量受限的边缘设备迁移时更为突出。本文提出在训练过程中对 GPU 进行欠压（undervolting）处理，通过降低供电电压引入随机故障扰动，这些扰动作为隐式正则化，在提升模型对抗鲁棒性的同时降低功耗。作者在位级别对欠压引起的故障进行表征，随后在 MNIST 和 CIFAR-10 数据集上，采用标准训练和对抗训练两种模式，分别训练 LeNet、VGG-6 和 MobileNetV3，并在标称电压和欠压电压下评估所有模型对各种对抗攻击的鲁棒性。实验结果表明，在两种训练模式下，欠压模型相比标称电压模型始终获得更高的对抗准确率，说明硬件引入的故障不仅能增强标准训练的鲁棒性，还能进一步增强对抗训练的效果。由于动态功耗与供电电压成二次方关系，这些鲁棒性提升伴随着显著的能源节省。因此，GPU 欠压是一种极易部署的硬件级防御手段，无需改动任何算法，为同时提升鲁棒性和能效提供了新方向。该研究适合硬件安全、对抗机器学习和边缘 AI 研究人员阅读。

本文研究针对静态恶意软件检测器的黑盒对抗攻击问题。近年来，基于机器学习和深度学习的静态恶意软件检测器在识别未知恶意软件变体方面表现出色，因此被广泛采用以降低动态分析和人工签名识别的成本。然而，研究表明这类检测器容易受到对抗性恶意软件攻击的影响，即攻击者巧妙地修改已知恶意软件可执行文件，使其被误判为良性文件。现有的大多数对抗性恶意软件样本生成（AMG）方法依赖于检测器的架构或参数等先验知识，这在实践中通常不可获得；此外，这些方法大多局限于追加式修改，即仅向文件末尾追加内容而不改变原始内容，限制了攻击的灵活性和有效性。针对这些局限，本文提出了一种基于强化学习的新方法AMG-VAC，将变分Actor-Critic（VAC）算法扩展到非连续动作空间，以处理恶意软件修改中固有的离散操作。作者在两个知名的基于机器学习的恶意软件检测器上评估了该方法的逃逸性能，实验结果表明，AMG-VAC在统计显著意义上优于现有的非强化学习和基于强化学习的AMG方法。此外，生成的对抗性动作序列有助于揭示检测器存在的漏洞，为改进检测器的鲁棒性提供了方向。本文的研究贡献在于提出了一种无需内部知识即可生成对抗样本的黑盒方法，并展示了强化学习在离散动作空间中解决该问题的有效性，适合对对抗性机器学习、恶意软件检测和强化学习应用感兴趣的研究人员阅读。

本文提出了一种名为 D-DAE 的防御穿透式模型提取攻击框架，旨在突破基于扰动查询结果的模型提取防御。近年来研究表明，机器学习模型易受模型提取攻击：攻击者仅通过查询黑盒受害者模型，即可训练出一个性能接近的替代模型。为抵御此类攻击，防御方往往在返回查询结果前加入扰动，从而显著降低现有模型提取攻击的性能。D-DAE 首次系统性地尝试绕过这类扰动型防御，其核心包含两个模块：扰动检测模块与扰动恢复模块，二者可集成到通用模型提取攻击流程中。扰动检测模块在收到受害者模型返回的查询结果后，推断防御方采用的扰动机制；作者设计了一种基于元学习的检测算法，用于学习被扰动与未扰动查询结果分布之间的本质差异，该算法具有良好的泛化能力，即使无法访问受害者模型的原始训练数据也能有效工作。在检测到防御机制后，扰动恢复模块利用精心设计的生成模型，从被扰动的查询结果中恢复出干净的查询结果。作者在 MNIST、FashionMNIST、CIFAR-10、GTSRB 和 ImageNette 数据集上进行了广泛评估，实验表明，面对 4 种最先进的防御方法及其组合时，D-DAE 能将现有模型提取攻击的替代模型准确率最多提升 82.24%。此外，作者还验证了 D-DAE 在穿透 Microsoft Azure 和 Face++ 提供的真实世界 API 中未知防御的有效性。该研究揭示了当前扰动型防御的脆弱性，为设计更鲁棒的模型保护机制提供了新的视角。适合关注 AI 安全、模型窃取攻击与防御的研究人员、安全工程师及云服务提供商阅读。

本文提出了一种新颖的“感知感知攻击”框架，用于生成对抗性音乐样本，在保持攻击有效性的同时，尽可能降低人耳感知到的音频质量损失。传统对抗性机器学习攻击通常只关注通过添加微小噪声扰动来欺骗音频分类器（如语音识别、说话人识别、音乐版权检测），但很少考虑扰动在人类听觉感知中的可接受性，尤其对于音乐这类精心设计以取悦听觉的信号。作者首先进行了一项人类研究：邀请受试者对原始音乐和扰动音乐进行成对比较，并对感知偏差进行评分。基于收集到的评分数据，利用回归分析逆向工程建立人类感知模型，该模型能够预测给定扰动信号会导致多大的人耳感知偏差。随后，将感知感知攻击形式化为一个优化问题：在确保攻击成功（即欺骗目标分类器）的前提下，寻找使预测感知偏差最小化的最优扰动信号。作者以YouTube版权检测器为攻击目标，验证了该框架的有效性。实验结果表明，与以往工作相比，感知感知攻击生成的对抗性音乐在感知质量上显著更优，即扰动更不易被听众察觉，同时仍然能够成功规避版权检测。本文的贡献在于：首次将人类感知研究融入对抗性音乐攻击的设计流程，提出可量化的感知模型，并展示了一种能够生成高隐蔽性对抗性音乐的优化方法。适合关注对抗机器学习、音频安全、人机交互与AI安全交叉领域的研究人员阅读。

本论文针对电力系统网络攻击检测中的机器学习模型鲁棒性问题，系统评估了量子机器学习（QML）方案与传统经典模型在对抗环境下的表现，并提出一个关键方法论论点：评估者自身的选择会先于模型决定基准测试的结论。研究在公开的密西西比州立大学/ORNL 电力系统攻击数据集上，对 fidelity-kernel SVM 和变分分类器两种 QML 模型与六种调优后的经典模型进行了全面比较，覆盖白盒攻击、迁移攻击、基于决策的黑盒攻击和投毒攻击等场景。作者识别出八个评估者选择——其中六个属于评估协议，两个属于基准调优过程——每个选择都能在固定模型的情况下逆转或改变原有结论。最大的影响因素是数据分割方式：采用行级随机划分时，模型可取得 0.905 的宏 F1 分数；而按完整源文件留出时，分数骤降至 0.594；在限制维度匹配的设置下，QML 模型几乎接近随机猜测，经典模型也仅高出 0.024。此外，fidelity kernel 在未受直接攻击时看似鲁棒，但其保留率在直接攻击下从 0.886 跌至 0.064，暴露了表面稳健性的假象。错误拟合的替代模型可造成 10 倍的不对称性，未设置随机种子的黑盒攻击在不同重启间有 75% 的结果波动。通过阳性对照，作者证明准确性失效的根源在于标签本身，而非建模管道。论文最终提供了能够捕捉每个选择影响的控制方法，并发布了带种子的基准，以促进可复现、无偏见的未来比较。该研究适合安全研究人员、电力系统安全工程师以及量子机器学习开发者阅读，提醒社区在设计评估协议时必须谨慎，否则结论将失去可信度。

该论文提出了一类新型的数据投毒攻击，称为“子群体攻击”（Subpopulation Attack）。研究背景是机器学习模型在关键场景中部署时可能因训练数据被恶意篡改而在特定情况下产生错误预测。传统投毒攻击（如后门攻击）通常会在训练数据中植入特定触发器，使得模型在推理时见到该触发器才出错，容易被检测。子群体攻击则不同，它针对数据集中自然存在的一个子群体（例如具有某些特征的样本），通过精心修改该子群体的训练数据，使模型在推理时对这些自然分布的数据点产生误分类，而不需要任何显式触发器，因此具有极强的隐蔽性。论文设计了一个模块化的攻击框架，可以用不同的构建模块实例化，并通过影响函数和梯度优化方法在连续域中进一步优化攻击效果。实验表明，该攻击在多种数据集和机器学习模型上均有效，并且能够改进现有的目标攻击。理论部分证明，在某些假设下，子群体攻击是无法防御的；实验也展示了现有防御措施对这类攻击的局限性，凸显了保护机器学习系统免受该威胁的困难。该研究适合机器学习安全研究者、模型部署者以及安全运营人员阅读，以了解这类新型投毒风险的原理和潜在影响。

本文针对大语言模型（LLM）内部安全评分机制的有效性提出质疑，指出当前广泛使用的“有害意图”评分存在测量目标错位问题。具体而言，内部安全分数在文本生成之前评估提示词，其验证方式通常基于能否区分有害与良性提示，但这种分离被错误地解读为能够拦截真实攻击。作者强调：有害意图是提示词本身的属性，而越狱成功是目标模型、解码策略和评判器共同作用下的后续结果。因此，仅依据提示词级别评分进行过滤，会将其假阳性预算浪费在原本就不会成功的攻击上。论文提出了主动注意力探测（Active Attention Probing）方法，为注意力测量提供固定的、与内容无关的参照坐标，以规避包装（wrapping）等扰动对测量位置和内容的影响。实验基于配对设计（每个目标含普通与包装版本），在Llama模型上，包装使有害生成率从0.05升至0.27，同时有害意图AUROC从0.936降至0.803，说明攻击在变得更危险的同时，评分却认为提示词更安全。此外，在包装的有害提示中，攻击结果的AUROC仅为0.220，表明成功攻击的排序低于失败攻击。该逆转现象在稀有token、被动与检测器衍生通道中均复现，并跨三个目标模型、七种攻击家族和两个独立评判器保持稳定。研究还发现分布偏移会先破坏校准和阈值迁移，随后破坏排序性能。该工作揭示了内部安全评分的根本局限，提示安全从业者不应将提示词级评分作为越狱攻击的可靠防线。适合LLM安全研究人员、红队和防御方阅读。

这篇综述论文提出并系统梳理了“为善的对抗性攻击”（Adversarial Attacks for Good）这一新兴研究范式。其核心背景是：视觉内容一旦进入AI管线，所有者便很难再对内容被如何使用进行技术控制；虽然法律和监管手段可以应对滥用，但许多技术干预必须在内容发布或访问时就更早地实施。论文指出，五个研究方向虽然彼此独立发展，却都采用了同一思想——将长期用于攻击机器学习模型的扰动和结构化信号，反向应用于数据所有者、创作者、平台或审计方，以破坏未经授权的自动化处理或为后续问责提供支持。这五个方向覆盖了视觉资产生命周期的不同阶段：1）隐私过滤器，针对分享时的未经授权识别；2）不可学习示例，防止未经授权的模型训练利用；3）生成式安全防护，防止恶意的图像编辑或模仿；4）对抗性CAPTCHA，作为访问控制以阻止自动化代理；5）溯源机制，用于传播后的归属和追踪。论文指出，这些方法虽然在不同场合提出、成功标准各异，但都利用了人类感知、语义理解与机器推断之间持久存在的差距；随着视觉管线向多模态模型和自主代理演进，这一范式仍将具有现实意义。为了让不同工作的结论可比，论文从可迁移性、适应性和部署就绪度三个共同维度对五个方向的代表性方法进行了评估。总体发现是：大多数现有防护仍主要针对静态或弱自适应攻击者进行验证，在受控基准之外的实证证据稀缺。论文最后汇总了跨阶段的对抗措施和开放问题，呼吁构建鲁棒、可组合、可部署的所有者侧防护方案。该研究适合AI安全、隐私保护、内容溯源和对抗机器学习领域的研究人员与从业者阅读。

本文针对深度神经网络（DNN）在资源受限的神经形态硬件上部署时面临的三个并发挑战——剪枝压缩、对抗输入扰动和硬件故障（如stuck-at-zero权重错误）——进行了系统的实证研究。尽管这些因素在已有文献中均被单独探讨，但它们的联合效应尚未被充分理解。作者使用一个在MNIST数据集上训练的紧凑型三层卷积神经网络，设计了三组实验：第一组对比自然训练与对抗训练模型在同时遭受硬件故障注入和对抗攻击时的容错性；第二组评估不同剪枝水平对模型对抗鲁棒性的影响；第三组刻画故障率、对抗扰动幅度和剪枝水平共同作用下的模型准确率曲面。实验结果显示：对抗训练虽然显著提升了模型对输入扰动的鲁棒性，但同时也加剧了模型对stuck-at-zero权重故障的敏感性；与直觉预期相反，剪枝并未明显增加模型的故障敏感性，且不同剪枝水平对故障率和攻击强度的总体影响很小。这些发现揭示了对抗鲁棒性与硬件可靠性之间存在潜在的权衡，强调在真实硬件部署中必须联合考虑这两种因素，而不是孤立地优化其中一项。本文的贡献在于首次以统一框架评估了三者的交互，为设计同时具备对抗安全性和硬件容错性的DNN提供了实验依据，特别适用于神经形态芯片、边缘计算等资源受限的安全关键型AI系统。

这篇论文针对恶意软件分类系统中的概念漂移问题展开研究。随着恶意软件不断演化，数据分布会发生漂移，导致分类器性能下降。为此，研究者开发了基于机器学习的数据漂移检测工具来监控输入数据分布的变化。然而，此类检测器与恶意软件分类器在设计目的和技术上存在差异，因此针对分类器的对抗攻击（如规避攻击和投毒攻击）如何影响检测器，以及两者组合使用时的安全性尚不明确。本文通过实证分析，系统研究了规避与投毒攻击对数据漂移检测器以及整个恶意软件检测流程的影响。实验发现，数据漂移检测器的独特特性（如对数据分布变化的敏感性）使得原本针对分类器的攻击在联合场景下表现出不同的效果，可能引发检测器的误报或漏报，进而影响整个系统的可靠性。研究揭示了这一关键交互作用，为理解对抗攻击在多层检测架构中的传播提供了新视角，并为构建更稳健的恶意软件防御系统提供了理论基础和实验依据。

本文研究的是生产环境中的恶意软件检测系统在面对可迁移对抗性攻击时的鲁棒性。随着深度学习模型被广泛集成到大型生产系统中，其个体缺陷可能被利用，进而引发系统层面的安全漏洞。作者以 Gmail 的恶意软件检测流水线为案例，该流水线依赖一个名为 Magika 的机器学习模型来识别文件类型，并据此将潜在恶意软件路由至不同的专用检测器以提升准确率和性能。Magika 已开源，使得攻击者可以针对其构造对抗样本：通过仅修改恶意软件样本中的 13 个字节，作者在 90% 的情况下成功欺骗 Magika，导致恶意软件被错误路由至不匹配的检测器，从而绕过 Gmail 的检测机制。随后，作者提出了相应的防御策略，使得在防御后的生产模型中，即使是资源充足的攻击者也需要 50 字节才能达到仅 20% 的攻击成功率。该防御已与 Google 工程师合作部署至 Gmail 分类器的生产环境中。本文的核心贡献包括：揭示生产系统中 ML 组件的脆弱性传导机制、提出具体可操作的对抗样本构造方法（但摘要未提供技术细节）、设计并部署了有效的缓解措施。适合安全研究员、ML 系统开发者以及关注对抗鲁棒性的安全工程师阅读。

本文提出一种新型的干净标签休眠后门攻击框架，其核心特点是模型在训练后保持良性表现，只有在用户发起特定机器遗忘（machine unlearning）请求后才会被激活。现有后门攻击通常在植入后立即生效，容易在利用前被发现；而基于机器遗忘激活的休眠后门能够规避这种风险，但其难点在于同时满足低休眠期攻击成功率和强激活后攻击效果，尤其是在干净标签约束和现实遗忘请求下。为此，作者设计了基于双生成器学习的双层优化框架：一方面学习特定的样本触发器以建立持久的潜在触发-目标关联，另一方面学习标签一致的伪装样本以提供可移除的抑制作用。当一小部分伪装样本被遗忘后，抑制被解除，休眠后门被激活。在CIFAR-10和ImageNet-10上的实验表明，与代表性后门基线相比，该方法在多种机器遗忘算法下均实现了更低的遗忘前攻击成功率与更强的遗忘后激活效果，验证了通过协调持久潜在关联和可移除抑制可实现可靠的休眠到激活转变。该研究揭示了机器学习遗忘机制可能被滥用为后门激活开关，对模型合规删除和数据遗忘场景构成新的安全威胁。

本文提出了一种针对机器学习基础设施的新型攻击面——寄生基础设施木马（Parasitic Infrastructure Trojan），并展示了具体实现(A)iSpy。现代机器学习流水线高度依赖第三方库进行图编译和硬件加速，现有安全实践主要审计数据、模型工件或依赖文件完整性检查，但执行环境通常被隐式信任。这留给攻击者一个盲点：恶意运行时模块可以直接与实时的训练和推理动态交互。通过这种交互，木马能够实现复杂的攻击目标，远超传统静态代码或二进制修改的能力，甚至可以完成标准数据和模型层面攻击无法实现的操纵。 (A)iSpy采用“主动观察与执行”范式，作为寄生模块运行在计算图中，监视瞬态张量状态，以极低的副效应进行目标性、隐秘的操纵。在机密性方面，木马能够识别所有关键训练超参数，并通过模型权重或输出logits隐蔽地外泄这些参数。在完整性方面，它作为梯度放大器：通过观察隐写触因，将原本弱的数据中毒转化为有效的后门攻击，成功率从接近0%提升至100%。论文还通过附录验证了该攻击在机器学习生命周期中的广泛扩展性，包括子种群标签翻转、可用性中断和推理阶段操纵。 (A)iSpy模块能够轻易逃避标准恶意软件扫描器，其关联的中毒输入和受感染的模型也能绕过典型的检查工具。作者在ONNX Runtime训练和推理引擎中实现了该攻击，证明其实际可行性。这项工作揭示了ML基础设施中新的信任链脆弱性，对依赖第三方库的ML系统构成严重威胁，为安全社区提供了防御研究的新方向。

论文《ShadowPickle: Evading Machine Learning Model Scanners via Stealthy Pickle Deserialization Attacks》研究了针对预训练机器学习模型（PTM）托管中心（如Hugging Face）的供应链攻击。这类攻击利用恶意PTM在用户可信环境中执行远程代码。作者提出了三种名为SHADOWPICKLE的隐蔽pickle反序列化攻击，利用Pickle虚拟机的外部模块导入机制，在反序列化期间执行恶意载荷，从而规避现有最先进的模型扫描器。为了评估攻击，他们还开发了PICKLEBENCH基准测试，能够自动将SHADOWPICKLE注入任意良性PTM模型。实验表明，SHADOWPICKLE可以逃避十种最先进的扫描器和四种模型中心。其中“Overwritten”变体对扫描器的平均逃避率为63%，比现有攻击高出最多50%。PICKLEBENCH比三个现有基准测试的挑战性高25.6%。论文最后提供了缓解建议，指出了现有扫描器的局限性及改进方向。该研究适合机器学习安全研究人员、模型托管平台安全团队以及开发反序列化防护工具的人员阅读。

这篇论文研究了一种新型的深度学习模型后门注入方法。与传统的后门攻击不同，该方法不依赖于修改训练数据、观察代码执行或访问最终模型，因此被称为“盲后门攻击”。攻击者通过破坏模型训练代码中的损失值计算过程，在训练过程中动态生成带有毒化的训练样本，并利用多目标优化技术确保主任务和后门任务同时达到高精度。论文展示了多种比先前工作更强大的后门类型：在ImageNet模型上实现单像素后门（仅修改一个像素即可触发后门）、物理后门（通过物理世界中的特定图案触发）、隐蔽后门（将模型切换为侵犯隐私的隐蔽任务）以及无需推理时输入修改的后门（后门在模型内部被静态编码）。实验证明，这些盲后门能够逃避当前已知的所有防御机制。论文还提出了新的防御思路，但未给出具体防御方案。该研究揭示了深度学习供应链中训练代码本身可能成为攻击向量，对模型安全性构成严重威胁。适合机器学习安全研究人员、模型开发者和部署者阅读。

本文针对部署在对抗性环境中的安全检测模型，提出了一种全范围二元分类器校准方法（Full-range Binary Classifier Calibration）。在恶意流量/样本分布快速漂移而良性分布相对稳定的场景下，安全团队需要频繁重训练模型以保持对新威胁的检出能力。然而，重训练会改变模型输出的预测分数，破坏下游依赖该分数的机制（如阈值、排序等）。传统的概率校准方法旨在使输出值逼近类概率，但安全场景更关心的是在不同部署版本间，同一输出分数对应的假阳性率（FPR）保持一致性。本文设计的方法基于现有校准原语（如 Platt scaling、等张回归等），通过在全FPR区间（从10%到0.01%）上优化，使得模型更新后输出分数具有稳定的FPR含义。在独立保留的测试集上，该方法在10%至0.1% FPR范围内观察到的相对FPR误差最大仅为2.3%，在0.01% FPR下误差为7.2%。此外，校准模型的产物（校准器）大小控制在200 KB以下，适用于1K至10M良性样本的校准集。该方法不依赖特定模型架构，可与现有安全ML流程集成。主要贡献是定义了面向安全场景的校准目标（FPR一致性），并提供了高效、轻量的实现。适合安全工程师、MLOps团队、以及研究模型部署稳定性的学者阅读。

本文针对基于自编码器的网络入侵检测系统（NIDS）面临的对抗性逃避攻击问题展开研究。攻击者利用 PANDA 框架，将网络流量中的报文序列转换为可逆灰度图像，从而将在视觉领域开发的对抗样本技术迁移到网络领域，例如使用掩蔽快速梯度符号法（masked FGSM）生成对抗性流量。此类攻击能够操纵自编码器 NIDS 的异常评分，同时保持攻击语义不变，使得防御者难以区分良性流量和精心扰动的恶意流量。为此，作者提出了两种互补的检测器：一是残差定位检测器（Residual Localisation Detector, RLD），它在图像空间中跟踪报文到达间隔时间特征区域的重建误差空间集中度；二是特征空间扰动一致性检测器（Feature-Space Perturbation Consistency Detecter, FPC），它直接在报文特征空间的报文到达间隔时间特征上操作。实验基于 UQ-IoT 数据集的多个 IoT 设备流量，包括良性、恶意和对抗性流量。评估结果表明，两种检测器在检测对抗样本时均能达到接近完美的性能（真阴性率、真阳性率、精确率、召回率和 F1 分数均超过 0.99）。作者认为，将基于重建的评分与扰动一致性检查相结合，同时在图像空间和报文特征空间进行检测，为防御针对 NIDS 的 PANDA 式对抗攻击提供了一种实用的方案。本文适合从事入侵检测、机器学习安全以及对抗性机器学习的研究人员和工程师阅读。

该论文提出了一种名为DeepRed的深度学习驱动的命令与控制（C2）框架，用于针对基于机器学习的网络入侵检测系统（ML-NIDS）进行多阶段红队测试。研究背景指出，尽管机器学习能够提升NIDS的检测能力，但对抗性机器学习研究揭示了ML模型的关键脆弱性。现有研究存在三大不足：依赖不切实际的威胁模型、仅关注流量流扰动而忽略数据包级恶意活动、以及扰动后无法保持攻击功能。DeepRed框架利用生成对抗网络（GAN）生成符合TCP/IP约束且可在数据包级别实现的对抗性样本，并提出两种新颖攻击策略：单数据包单特征（SPSF）和单特征扰动（SFP），在高度受限条件下以最小扰动实现逃逸。为了进行稳健评估，作者构建了包含红队练习中良性流量和恶意流量的综合ML-NIDS基准数据集，并引入流水线无关的对抗性测试方法，评估了FlowTransformer和SSCL-IDS等最先进模型在不同特征、训练数据和预处理流水线下的表现，同时保持攻击功能。实验结果表明，DeepRed能将检测率降低高达20%，凸显了其绕过ML-NIDS同时保持操作完整性的能力。该工作适合从事网络入侵检测和对抗性机器学习研究的红队人员、蓝队防御者以及安全研究人员阅读。

大型语言模型（LLM）API的广泛使用使得用户依赖黑盒指纹识别来验证服务提供商是否真正部署了所宣称的优质模型。然而，现有指纹识别方法可能忽视恶意提供商通过操纵模型权重来欺骗指纹检测的风险。本研究提出了一种名为“指纹欺骗”（fingerprint spoofing）的新型威胁：恶意提供商秘密提供较弱模型，该模型通过参数高效微调模仿较强模型，从而逃避用户端的指纹识别。作者首先从理论上证明，用户端的资源限制（即有限的查询预算和弱指纹分类器）使得现有指纹识别易受此攻击。基于理论分析，提出了GhostPrint攻击框架，该框架结合代理建模、奖励排序微调和知识蒸馏，以低成本的方式实现有效欺骗。在静态和持续指纹识别场景下的广泛评估表明，GhostPrint能够使弱模型持续绕过代表性指纹识别方法，同时以较低的微调成本保持实用性。该研究揭示了当前LLM指纹识别流程中的一个严重漏洞。

该论文研究了世界模型（world models）在机器人学习管道中的安全性问题。世界模型作为一种高效的数据生成和仿真工具，正被越来越多地集成到机器人训练流程中，但本文证明了世界模型引入了一种隐蔽且有效的数据投毒攻击入口。与传统的直接向训练数据注入危险轨迹的方法不同，作者提出的新型攻击向看似安全的远程操作数据中注入恶意提示或过渡动态，这些恶意数据只有在通过世界模型处理时才会激活，从而生成合成危险轨迹，最终导致训练出不安全或被篡改的机器人策略。攻击在动作条件世界模型和文本条件世界模型上均得到验证，包括对下游深度强化学习策略的端到端后门攻击，以及视觉-语言-动作（VLA）场景的概念验证。该研究突显了世界模型在机器人学习供应链中的脆弱性，并呼吁开发更安全的模型以及重新评估其集成方式。适合机器人安全、对抗性机器学习和系统安全领域的研究人员阅读。

本文提出了一种针对深度神经网络数据投毒攻击的取证溯源工具。在对抗性机器学习领域，新的防御措施常常被更强大的攻击迅速攻破，因此取证工具可以作为现有防御的有益补充，通过追溯成功攻击的根本原因，为未来防范类似攻击提供缓解路径。作者提出了一种新颖的迭代聚类与剪枝解决方案，该方法逐步剔除“无辜”的训练样本，直至剩余样本全部为导致攻击的投毒数据。具体而言，该方法基于训练样本对模型参数的影响进行聚类，然后利用高效的数据遗忘机制剪除无辜簇。作者在计算机视觉和恶意软件分类领域，针对三种脏标签（后门）投毒攻击和三种干净标签投毒攻击进行了实证评估，系统在所有攻击上实现了超过98.4%的精确率和96.8%的召回率。此外，该系统对四种专门设计用于攻击它的反取证措施表现出鲁棒性。该工作为安全从业者提供了一种事后分析工具，可用于定位训练数据中的恶意样本，辅助模型修复和攻击溯源。

本文针对基于机器学习的入侵检测系统（IDS）面临的对抗性攻击威胁，提出了一种名为SHIELD-IDS的防御框架。现有研究如IDS-Anta通过Z-score归一化、奇异值分解（SVD）和多臂赌博机（MAB）选择分类器来部分缓解攻击，但其分类器池缺乏结构多样性，导致对抗鲁棒性不足。为此，作者提出了IDS-Anta++，在集成中加入XGBoost和LightGBM梯度提升模型，并设计了三层黑盒防御：隔离森林异常检测、中位数特征平滑和六元多数投票。在CIC-IDS-2017、CEC-CIC-IDS-2018和CIC-DDoS-2019数据集上，分别采用快速梯度符号法（FGSM）和零阶优化（ZOO）攻击进行测试。结果表明，在干净数据上检测准确率超过99%，在对抗条件下相比基线IDS-Anta框架具有可量化的鲁棒性提升。这一方法通过结构异构集成和分层防御，在不依赖白盒访问的情况下增强了IDS的对抗鲁棒性。

本文研究了大语言模型（LLM）后训练阶段中的顺序数据投毒威胁。LLM后训练通常包括多个阶段，如监督微调（SFT）和基于人类反馈的强化学习（RLHF）或直接偏好优化（DPO），每个阶段的数据来自不同、可能不可信的来源。现有文献假设每个训练阶段可能发生单次数据投毒攻击，但忽略了多个攻击者协同攻击的可能性。为此，本文提出了“顺序数据投毒”威胁模型，其中多个敌手分别污染SFT数据集和偏好数据集。在该模型下，作者发现了“单攻击者错觉”：单独评估每个敌手时，威胁看似微不足道；但当敌手跨阶段协作时，真正的脆弱性暴露无遗。在SFT→DPO管道中，攻击者的贡献是累加性的：将固定投毒预算分散到多个阶段比集中在单一阶段效果更显著。在SFT→PPO管道中，攻击者的贡献是互补的：单独进行SFT投毒或奖励模型投毒均无法成功，但两者结合却能奏效。这些发现表明，对单个后训练阶段的安全性分析会系统性低估仅由阶段间交互产生的复合漏洞。代码已开源。本文适合AI安全研究员、LLM训练流程设计者及防御方关注，以理解多阶段攻击的潜在风险和评估现有防御的不足。

该论文研究了面向软件逆向工程的多智能体系统在分析二进制可执行文件时面临的提示注入攻击威胁。攻击者可将恶意注入字符串嵌入源代码或编译产物中，当AI代理解析反编译输出时触发异常行为。作者首先展示了如何利用现有反编译器检测被篡改后的可执行文件中的注入字符串，并系统评估了多种检测方法的有效性，包括基于正则表达式、特征签名以及机器学习分类器的方案。随后，论文重点探索了攻击者可能采用的混淆技术，如代码流平坦化、指令替换、字符串加密等，使注入内容更难被静态分析捕获。针对这些混淆手段，作者又提出了相应的防御策略，包括动态污点追踪、语义哈希过滤以及上下文感知的提示清理机制。实验基于一组公开的恶意软件样本和人工构造的对抗样本进行，结果表明：在无混淆场景下，基于上下文的检测器可达到95%以上的召回率；面对中等强度的混淆，综合使用静态与动态检测能将准确率维持在85%左右；而高度混淆的对抗样本仍能绕过部分检测，形成约10-20%的漏报率。论文最终指出，当前技术尚无法完全消除此类攻击风险，但通过多阶段检测与输入规范化，可大幅降低实际运营中的威胁。该工作对将AI代理部署到生产环境的逆向工程平台、安全分析流水线及漏洞挖掘系统具有直接指导意义。

本文研究了大型语言模型（LLM）代理（agent）在寻求澄清（clarification-seeking）行为下的安全性问题。澄清行为通常被视为代理的理想属性，允许其在执行不明确任务前先解决歧义。然而，作者发现这种交互模式会显著增加代理对提示注入攻击（prompt injection）的脆弱性。为此，他们提出了ASPI（Ambiguous-State Prompt Injection）基准测试，包含728个任务-攻击场景，专门将澄清作为一个独立的代理状态，并在受控条件下比较执行状态和澄清状态下的脆弱性差异。每个基准实例在匹配的执行和澄清设置下进行评估：执行设置中，代理基于完全明确的指令行动，仅通过工具返回的数据接触对抗内容；澄清设置中，代理必须先请求并整合额外的用户输入才能行动。作者评估了10个前沿LLM，发现澄清行为一致且显著地放大了脆弱性。例如，对于o3模型，攻击成功率从1.8%上升到34.0%；对于Gemini-3-Flash，则从2.2%上升到35.7%。分解分析表明，这种差距既反映了模型处理传入内容时的状态依赖性转变，也源于代理主动请求澄清接口带来的通道特定效应。这些发现表明，标准执行时的安全评估系统性地低估了交互式代理的攻击面，且在完全指定任务下的鲁棒性并不能转化为歧义状态下的鲁棒性。论文数据和源代码已公开。

该论文研究纵向联邦学习（Vertical Federated Learning, VFL）中的隐私泄露问题，聚焦于数据重建攻击。VFL是一种允许多个参与方在不共享原始数据的情况下，基于同一组样本的不同特征共同训练模型的协作学习范式。然而，VFL面临来自数据重建攻击的隐私威胁。现有攻击主要分为两类：诚实但好奇（HBC）攻击，即攻击者遵守协议但试图窃取数据；以及恶意攻击，即攻击者违反训练协议以获取更多数据泄露。目前大多数研究集中于HBC场景，对恶意攻击的探索有限。在VFL中发起有效的恶意攻击面临两大挑战：首先，由于客户端的数据特征和模型是分布式的，每个客户端严格保护其隐私并禁止直接查询，使得窃取数据变得困难；其次，现有恶意攻击会改变底层VFL训练任务，因此容易通过比较接收到的梯度与诚实训练中的梯度而被检测到。为克服这些挑战，本文提出了URVFL，一种能够逃避现有检测机制的新型攻击策略。其核心思想是集成一个带有辅助分类器的判别器，充分利用标签信息生成针对受害客户端的恶意梯度：一方面，标签信息有助于更好地区分不同类别的样本嵌入，从而提升重建性能；另一方面，利用标签信息计算恶意梯度能更好地模拟诚实训练，使恶意梯度与诚实梯度难以区分，从而让攻击更加隐蔽。全面的实验表明，URVFL显著优于现有攻击，并成功规避了最先进的恶意攻击检测方法。额外的消融研究和针对防御措施的评估进一步证明了URVFL的鲁棒性和有效性。该研究揭示了纵向联邦学习中对恶意攻击检测的不足，对VFL安全设计具有重要警示意义。

本文研究了针对现代恶意软件检测管道的灰盒投毒攻击模型。现代检测系统通常依赖持续数据摄入和机器学习来应对大量新型威胁。作者利用secml_malware框架，通过功能保留的操纵（具体为导入地址表IAT和节注入）生成问题空间对抗性二进制样本。他们评估了这些投毒样本被摄入到基于LightGBM的恶意软件检测模型训练集时的影响。实验结果表明，基于IAT的微妙扰动能够生成紧凑的投毒样本，显著降低检测召回率。这些发现揭示了在连续学习系统中开发低可视性对抗扰动同时保持高投毒效能的固有挑战。此外，作者评估了一种基于同质集成的防御机制，该机制能够成功识别并过滤高达95.6%的投毒尝试，同时保持对合法数据的高保留率。该工作强调了在生产管道中进行鲁棒的摄入前验证的必要性。本文适合安全工程师、对抗性机器学习研究人员以及恶意软件检测系统的开发人员阅读。

本文提出了一种名为 PINSIGHT 的系统性方法，用于全面评估基于 WiFi 信道状态信息的 PIN 码推断攻击的真实威胁。现有攻击（如 WiKI-Eve）声称在不同环境、设备和用户下都能保持高精度，但本文通过构建一个机器人打字平台，能够产生高度可重复的击键事件，并系统性地改变环境参数（如房间布局、家具位置等），首次分离了环境变化和打字编码本身对攻击性能的影响。实验结果表明，现有攻击在环境变化时表现出较好的泛化能力，但一旦信道对打字的编码方式发生改变（例如用户打字姿势、手指位置或设备放置方式不同），攻击精度就会显著下降。这恰恰是真实攻击场景中常见的情况。因此，本文认为当前最先进的 WiFi PIN 码推断攻击的实际威胁被高估了。PINSIGHT 还提供了第一个用于评估 WiFi PIN 推断攻击环境泛化能力的基准数据集。该研究有助于安全社区更准确地理解此类侧信道攻击的局限性，并为设计更鲁棒的防御措施提供指导。