该论文聚焦于网络入侵检测系统（NIDS）在面对对抗性攻击时的脆弱性问题。NIDS是保护网络免受未知威胁的关键工具，但其基于机器学习的分类器易受对抗样本欺骗，导致误分类。作者针对两种强对抗攻击——快速梯度符号法（FGSM）和Carlini & Wagner（C&W）攻击——提出了一种混合防御方法。该方法结合了两种启发式防御策略：对抗性训练（AT）和高斯数据增强（GDA）。AT通过用对抗样本训练模型来增强对特定攻击向量的鲁棒性，而GDA通过添加高斯噪声提供多方向防御。实验使用网络流量数据集，在预攻击场景下NIDS表现良好（准确率和F1分数较高），但在FGSM和C&W攻击后准确率分别骤降至0.2649和0.4961。应用混合防御后，对FGSM攻击的准确率恢复至96.57%，对C&W攻击恢复至89.20%。研究还评估了不同epsilon值和置信噪声因子（0.0001至0.0009）对防御效果的影响。该工作为对抗性机器学习在网络安全领域的应用提供了有价值的探索方向。

这篇论文研究了一种新型的深度学习模型后门注入方法。与传统的后门攻击不同，该方法不依赖于修改训练数据、观察代码执行或访问最终模型，因此被称为“盲后门攻击”。攻击者通过破坏模型训练代码中的损失值计算过程，在训练过程中动态生成带有毒化的训练样本，并利用多目标优化技术确保主任务和后门任务同时达到高精度。论文展示了多种比先前工作更强大的后门类型：在ImageNet模型上实现单像素后门（仅修改一个像素即可触发后门）、物理后门（通过物理世界中的特定图案触发）、隐蔽后门（将模型切换为侵犯隐私的隐蔽任务）以及无需推理时输入修改的后门（后门在模型内部被静态编码）。实验证明，这些盲后门能够逃避当前已知的所有防御机制。论文还提出了新的防御思路，但未给出具体防御方案。该研究揭示了深度学习供应链中训练代码本身可能成为攻击向量，对模型安全性构成严重威胁。适合机器学习安全研究人员、模型开发者和部署者阅读。

本文针对部署在对抗性环境中的安全检测模型，提出了一种全范围二元分类器校准方法（Full-range Binary Classifier Calibration）。在恶意流量/样本分布快速漂移而良性分布相对稳定的场景下，安全团队需要频繁重训练模型以保持对新威胁的检出能力。然而，重训练会改变模型输出的预测分数，破坏下游依赖该分数的机制（如阈值、排序等）。传统的概率校准方法旨在使输出值逼近类概率，但安全场景更关心的是在不同部署版本间，同一输出分数对应的假阳性率（FPR）保持一致性。本文设计的方法基于现有校准原语（如 Platt scaling、等张回归等），通过在全FPR区间（从10%到0.01%）上优化，使得模型更新后输出分数具有稳定的FPR含义。在独立保留的测试集上，该方法在10%至0.1% FPR范围内观察到的相对FPR误差最大仅为2.3%，在0.01% FPR下误差为7.2%。此外，校准模型的产物（校准器）大小控制在200 KB以下，适用于1K至10M良性样本的校准集。该方法不依赖特定模型架构，可与现有安全ML流程集成。主要贡献是定义了面向安全场景的校准目标（FPR一致性），并提供了高效、轻量的实现。适合安全工程师、MLOps团队、以及研究模型部署稳定性的学者阅读。

本文针对基于自编码器的网络入侵检测系统（NIDS）面临的对抗性逃避攻击问题展开研究。攻击者利用 PANDA 框架，将网络流量中的报文序列转换为可逆灰度图像，从而将在视觉领域开发的对抗样本技术迁移到网络领域，例如使用掩蔽快速梯度符号法（masked FGSM）生成对抗性流量。此类攻击能够操纵自编码器 NIDS 的异常评分，同时保持攻击语义不变，使得防御者难以区分良性流量和精心扰动的恶意流量。为此，作者提出了两种互补的检测器：一是残差定位检测器（Residual Localisation Detector, RLD），它在图像空间中跟踪报文到达间隔时间特征区域的重建误差空间集中度；二是特征空间扰动一致性检测器（Feature-Space Perturbation Consistency Detecter, FPC），它直接在报文特征空间的报文到达间隔时间特征上操作。实验基于 UQ-IoT 数据集的多个 IoT 设备流量，包括良性、恶意和对抗性流量。评估结果表明，两种检测器在检测对抗样本时均能达到接近完美的性能（真阴性率、真阳性率、精确率、召回率和 F1 分数均超过 0.99）。作者认为，将基于重建的评分与扰动一致性检查相结合，同时在图像空间和报文特征空间进行检测，为防御针对 NIDS 的 PANDA 式对抗攻击提供了一种实用的方案。本文适合从事入侵检测、机器学习安全以及对抗性机器学习的研究人员和工程师阅读。

该论文提出了一种名为DeepRed的深度学习驱动的命令与控制（C2）框架，用于针对基于机器学习的网络入侵检测系统（ML-NIDS）进行多阶段红队测试。研究背景指出，尽管机器学习能够提升NIDS的检测能力，但对抗性机器学习研究揭示了ML模型的关键脆弱性。现有研究存在三大不足：依赖不切实际的威胁模型、仅关注流量流扰动而忽略数据包级恶意活动、以及扰动后无法保持攻击功能。DeepRed框架利用生成对抗网络（GAN）生成符合TCP/IP约束且可在数据包级别实现的对抗性样本，并提出两种新颖攻击策略：单数据包单特征（SPSF）和单特征扰动（SFP），在高度受限条件下以最小扰动实现逃逸。为了进行稳健评估，作者构建了包含红队练习中良性流量和恶意流量的综合ML-NIDS基准数据集，并引入流水线无关的对抗性测试方法，评估了FlowTransformer和SSCL-IDS等最先进模型在不同特征、训练数据和预处理流水线下的表现，同时保持攻击功能。实验结果表明，DeepRed能将检测率降低高达20%，凸显了其绕过ML-NIDS同时保持操作完整性的能力。该工作适合从事网络入侵检测和对抗性机器学习研究的红队人员、蓝队防御者以及安全研究人员阅读。

大型语言模型（LLM）API的广泛使用使得用户依赖黑盒指纹识别来验证服务提供商是否真正部署了所宣称的优质模型。然而，现有指纹识别方法可能忽视恶意提供商通过操纵模型权重来欺骗指纹检测的风险。本研究提出了一种名为“指纹欺骗”（fingerprint spoofing）的新型威胁：恶意提供商秘密提供较弱模型，该模型通过参数高效微调模仿较强模型，从而逃避用户端的指纹识别。作者首先从理论上证明，用户端的资源限制（即有限的查询预算和弱指纹分类器）使得现有指纹识别易受此攻击。基于理论分析，提出了GhostPrint攻击框架，该框架结合代理建模、奖励排序微调和知识蒸馏，以低成本的方式实现有效欺骗。在静态和持续指纹识别场景下的广泛评估表明，GhostPrint能够使弱模型持续绕过代表性指纹识别方法，同时以较低的微调成本保持实用性。该研究揭示了当前LLM指纹识别流程中的一个严重漏洞。

该论文研究了世界模型（world models）在机器人学习管道中的安全性问题。世界模型作为一种高效的数据生成和仿真工具，正被越来越多地集成到机器人训练流程中，但本文证明了世界模型引入了一种隐蔽且有效的数据投毒攻击入口。与传统的直接向训练数据注入危险轨迹的方法不同，作者提出的新型攻击向看似安全的远程操作数据中注入恶意提示或过渡动态，这些恶意数据只有在通过世界模型处理时才会激活，从而生成合成危险轨迹，最终导致训练出不安全或被篡改的机器人策略。攻击在动作条件世界模型和文本条件世界模型上均得到验证，包括对下游深度强化学习策略的端到端后门攻击，以及视觉-语言-动作（VLA）场景的概念验证。该研究突显了世界模型在机器人学习供应链中的脆弱性，并呼吁开发更安全的模型以及重新评估其集成方式。适合机器人安全、对抗性机器学习和系统安全领域的研究人员阅读。

本文提出了一种针对深度神经网络数据投毒攻击的取证溯源工具。在对抗性机器学习领域，新的防御措施常常被更强大的攻击迅速攻破，因此取证工具可以作为现有防御的有益补充，通过追溯成功攻击的根本原因，为未来防范类似攻击提供缓解路径。作者提出了一种新颖的迭代聚类与剪枝解决方案，该方法逐步剔除“无辜”的训练样本，直至剩余样本全部为导致攻击的投毒数据。具体而言，该方法基于训练样本对模型参数的影响进行聚类，然后利用高效的数据遗忘机制剪除无辜簇。作者在计算机视觉和恶意软件分类领域，针对三种脏标签（后门）投毒攻击和三种干净标签投毒攻击进行了实证评估，系统在所有攻击上实现了超过98.4%的精确率和96.8%的召回率。此外，该系统对四种专门设计用于攻击它的反取证措施表现出鲁棒性。该工作为安全从业者提供了一种事后分析工具，可用于定位训练数据中的恶意样本，辅助模型修复和攻击溯源。

本文针对基于机器学习的入侵检测系统（IDS）面临的对抗性攻击威胁，提出了一种名为SHIELD-IDS的防御框架。现有研究如IDS-Anta通过Z-score归一化、奇异值分解（SVD）和多臂赌博机（MAB）选择分类器来部分缓解攻击，但其分类器池缺乏结构多样性，导致对抗鲁棒性不足。为此，作者提出了IDS-Anta++，在集成中加入XGBoost和LightGBM梯度提升模型，并设计了三层黑盒防御：隔离森林异常检测、中位数特征平滑和六元多数投票。在CIC-IDS-2017、CEC-CIC-IDS-2018和CIC-DDoS-2019数据集上，分别采用快速梯度符号法（FGSM）和零阶优化（ZOO）攻击进行测试。结果表明，在干净数据上检测准确率超过99%，在对抗条件下相比基线IDS-Anta框架具有可量化的鲁棒性提升。这一方法通过结构异构集成和分层防御，在不依赖白盒访问的情况下增强了IDS的对抗鲁棒性。

本文研究了大语言模型（LLM）后训练阶段中的顺序数据投毒威胁。LLM后训练通常包括多个阶段，如监督微调（SFT）和基于人类反馈的强化学习（RLHF）或直接偏好优化（DPO），每个阶段的数据来自不同、可能不可信的来源。现有文献假设每个训练阶段可能发生单次数据投毒攻击，但忽略了多个攻击者协同攻击的可能性。为此，本文提出了“顺序数据投毒”威胁模型，其中多个敌手分别污染SFT数据集和偏好数据集。在该模型下，作者发现了“单攻击者错觉”：单独评估每个敌手时，威胁看似微不足道；但当敌手跨阶段协作时，真正的脆弱性暴露无遗。在SFT→DPO管道中，攻击者的贡献是累加性的：将固定投毒预算分散到多个阶段比集中在单一阶段效果更显著。在SFT→PPO管道中，攻击者的贡献是互补的：单独进行SFT投毒或奖励模型投毒均无法成功，但两者结合却能奏效。这些发现表明，对单个后训练阶段的安全性分析会系统性低估仅由阶段间交互产生的复合漏洞。代码已开源。本文适合AI安全研究员、LLM训练流程设计者及防御方关注，以理解多阶段攻击的潜在风险和评估现有防御的不足。

该论文研究了面向软件逆向工程的多智能体系统在分析二进制可执行文件时面临的提示注入攻击威胁。攻击者可将恶意注入字符串嵌入源代码或编译产物中，当AI代理解析反编译输出时触发异常行为。作者首先展示了如何利用现有反编译器检测被篡改后的可执行文件中的注入字符串，并系统评估了多种检测方法的有效性，包括基于正则表达式、特征签名以及机器学习分类器的方案。随后，论文重点探索了攻击者可能采用的混淆技术，如代码流平坦化、指令替换、字符串加密等，使注入内容更难被静态分析捕获。针对这些混淆手段，作者又提出了相应的防御策略，包括动态污点追踪、语义哈希过滤以及上下文感知的提示清理机制。实验基于一组公开的恶意软件样本和人工构造的对抗样本进行，结果表明：在无混淆场景下，基于上下文的检测器可达到95%以上的召回率；面对中等强度的混淆，综合使用静态与动态检测能将准确率维持在85%左右；而高度混淆的对抗样本仍能绕过部分检测，形成约10-20%的漏报率。论文最终指出，当前技术尚无法完全消除此类攻击风险，但通过多阶段检测与输入规范化，可大幅降低实际运营中的威胁。该工作对将AI代理部署到生产环境的逆向工程平台、安全分析流水线及漏洞挖掘系统具有直接指导意义。

该论文研究了自动驾驶汽车在面对对抗性驾驶操作时的安全威胁。作者提出了一种系统性的方法，用于发现能够导致自动驾驶车辆发生碰撞或违反交通规则的对抗性驾驶操作。具体地，他们形式化了对抗性驾驶操作问题，将其建模为对手在有限感知和行动能力下对目标车辆施加影响的过程。通过利用车辆动力学模型和场景约束，他们设计了一种优化算法来搜索最恶劣的对抗性操作序列。在多个模拟场景（如高速公路、交叉路口）中，该方法成功发现了多种先前未知的对抗性操作，例如迫使目标车辆急转向或突然制动。实验表明，这些操作能够绕过基于规则的规划器和基于学习的控制器，导致安全隐患。该工作强调了自动驾驶系统在应对复杂交通交互时的脆弱性，并为后续防御研究提供了基准。

本文研究了大型语言模型（LLM）代理（agent）在寻求澄清（clarification-seeking）行为下的安全性问题。澄清行为通常被视为代理的理想属性，允许其在执行不明确任务前先解决歧义。然而，作者发现这种交互模式会显著增加代理对提示注入攻击（prompt injection）的脆弱性。为此，他们提出了ASPI（Ambiguous-State Prompt Injection）基准测试，包含728个任务-攻击场景，专门将澄清作为一个独立的代理状态，并在受控条件下比较执行状态和澄清状态下的脆弱性差异。每个基准实例在匹配的执行和澄清设置下进行评估：执行设置中，代理基于完全明确的指令行动，仅通过工具返回的数据接触对抗内容；澄清设置中，代理必须先请求并整合额外的用户输入才能行动。作者评估了10个前沿LLM，发现澄清行为一致且显著地放大了脆弱性。例如，对于o3模型，攻击成功率从1.8%上升到34.0%；对于Gemini-3-Flash，则从2.2%上升到35.7%。分解分析表明，这种差距既反映了模型处理传入内容时的状态依赖性转变，也源于代理主动请求澄清接口带来的通道特定效应。这些发现表明，标准执行时的安全评估系统性地低估了交互式代理的攻击面，且在完全指定任务下的鲁棒性并不能转化为歧义状态下的鲁棒性。论文数据和源代码已公开。

该论文提出了一种名为QuRA的新型后门攻击方法，利用深度学习模型量化过程中的舍入操作来注入恶意行为。与传统的依赖训练数据投毒或模型训练操纵的后门攻击不同，QuRA仅通过量化操作即可实现攻击。具体地，QuRA首先采用一种新颖的权重选择策略，识别对后门目标至关重要的权重（同时保持模型整体性能）。然后，通过优化这些权重的舍入方向，跨模型层放大后门效果，而不会显著降低模型精度。大量实验表明，QuRA在大多数情况下实现了近乎100%的攻击成功率，且性能下降可忽略不计。此外，QuRA能够绕过现有的后门防御措施，突显其威胁潜力。该研究揭示了广泛使用的模型量化过程中的关键漏洞，强调了需要更强大的安全措施。代码已开源。适合深度学习安全研究人员、模型部署工程师阅读。

该论文研究纵向联邦学习（Vertical Federated Learning, VFL）中的隐私泄露问题，聚焦于数据重建攻击。VFL是一种允许多个参与方在不共享原始数据的情况下，基于同一组样本的不同特征共同训练模型的协作学习范式。然而，VFL面临来自数据重建攻击的隐私威胁。现有攻击主要分为两类：诚实但好奇（HBC）攻击，即攻击者遵守协议但试图窃取数据；以及恶意攻击，即攻击者违反训练协议以获取更多数据泄露。目前大多数研究集中于HBC场景，对恶意攻击的探索有限。在VFL中发起有效的恶意攻击面临两大挑战：首先，由于客户端的数据特征和模型是分布式的，每个客户端严格保护其隐私并禁止直接查询，使得窃取数据变得困难；其次，现有恶意攻击会改变底层VFL训练任务，因此容易通过比较接收到的梯度与诚实训练中的梯度而被检测到。为克服这些挑战，本文提出了URVFL，一种能够逃避现有检测机制的新型攻击策略。其核心思想是集成一个带有辅助分类器的判别器，充分利用标签信息生成针对受害客户端的恶意梯度：一方面，标签信息有助于更好地区分不同类别的样本嵌入，从而提升重建性能；另一方面，利用标签信息计算恶意梯度能更好地模拟诚实训练，使恶意梯度与诚实梯度难以区分，从而让攻击更加隐蔽。全面的实验表明，URVFL显著优于现有攻击，并成功规避了最先进的恶意攻击检测方法。额外的消融研究和针对防御措施的评估进一步证明了URVFL的鲁棒性和有效性。该研究揭示了纵向联邦学习中对恶意攻击检测的不足，对VFL安全设计具有重要警示意义。

本文研究了针对现代恶意软件检测管道的灰盒投毒攻击模型。现代检测系统通常依赖持续数据摄入和机器学习来应对大量新型威胁。作者利用secml_malware框架，通过功能保留的操纵（具体为导入地址表IAT和节注入）生成问题空间对抗性二进制样本。他们评估了这些投毒样本被摄入到基于LightGBM的恶意软件检测模型训练集时的影响。实验结果表明，基于IAT的微妙扰动能够生成紧凑的投毒样本，显著降低检测召回率。这些发现揭示了在连续学习系统中开发低可视性对抗扰动同时保持高投毒效能的固有挑战。此外，作者评估了一种基于同质集成的防御机制，该机制能够成功识别并过滤高达95.6%的投毒尝试，同时保持对合法数据的高保留率。该工作强调了在生产管道中进行鲁棒的摄入前验证的必要性。本文适合安全工程师、对抗性机器学习研究人员以及恶意软件检测系统的开发人员阅读。

本文提出了一种名为 PINSIGHT 的系统性方法，用于全面评估基于 WiFi 信道状态信息的 PIN 码推断攻击的真实威胁。现有攻击（如 WiKI-Eve）声称在不同环境、设备和用户下都能保持高精度，但本文通过构建一个机器人打字平台，能够产生高度可重复的击键事件，并系统性地改变环境参数（如房间布局、家具位置等），首次分离了环境变化和打字编码本身对攻击性能的影响。实验结果表明，现有攻击在环境变化时表现出较好的泛化能力，但一旦信道对打字的编码方式发生改变（例如用户打字姿势、手指位置或设备放置方式不同），攻击精度就会显著下降。这恰恰是真实攻击场景中常见的情况。因此，本文认为当前最先进的 WiFi PIN 码推断攻击的实际威胁被高估了。PINSIGHT 还提供了第一个用于评估 WiFi PIN 推断攻击环境泛化能力的基准数据集。该研究有助于安全社区更准确地理解此类侧信道攻击的局限性，并为设计更鲁棒的防御措施提供指导。