分割计算（Split Computing, SC）通过在边缘设备与云服务器之间切分深度神经网络（DNN）推理来降低端侧算力与延迟压力，但切分点处传输的中间特征表示同时暴露于两类风险：其一是硬件故障（如瞬态位翻转、软错误）导致的推理精度退化，其二是攻击者对特征图实施对抗扰动从而劫持最终预测。以往研究通常把可靠性与安全性割裂评估，导致二者的耦合效应被忽视，也无法回答「某一切分与压缩配置究竟有多脆弱」这一工程问题。本文提出一个统一评估框架，对分割计算的可靠性与安全性进行联合量化。方法上，可靠性侧采用神经元级故障注入（neuron-level fault injection），以平均相对精度退化指标 MRAD（Mean Relative Accuracy Degradation）刻画故障影响；安全性侧采用特征图感知的对抗攻击仿真（feature-map-aware adversarial attacks），以攻击成功率 ASR（Attack Success Rate）度量攻击效果。在两组互补分析之上，作者提出联合脆弱性分数 JVS（Joint Vulnerability Score），并给出置信度感知扩展版本，使指标不仅反映预测错误，还能反映模型置信度的退化（即「答错但自信」这类危险失效模式）。实验在 ILSVRC-2012 数据集上训练的 ResNet-50 上展开，覆盖十种不同的分割计算配置。结果显示：不同压缩/切分策略之间的脆弱性差异显著，故障注入下 MRAD 落在 44.3% 至 61.2% 区间，对抗攻击的 ASR 最高达 98.8%；更重要的是，联合指标揭示出若干在单独分析可靠性或安全性时完全不可见的脆弱性趋势，说明只看单一维度会系统性低估真实风险。该工作的主要贡献在于把可靠性工程与对抗安全评估纳入同一方法学，为设计可依赖的分割计算系统、选择切分点与压缩策略提供了量化的决策依据。适合边缘AI、DNN容错与可靠性、对抗鲁棒性、模型压缩以及端云协同推理架构方向的研究者与工程师阅读。

该论文研究机器学习安全评测中一个被普遍忽视的方法论缺陷：消融实验里移除某个输入缩放模块（input-scaling module）时，同时改变了分类器本身与真正到达编码器的扰动幅度，因此观察到的鲁棒性差异可能来自比较规则，而不一定来自被移除的模块。作者在一个四量子比特量子注意力检测器上，使用生成的电网轨迹数据验证这一问题：在固定物理攻击预算下，学习到的缩放模块看似带来鲁棒性收益；但当把扰动上界对齐到编码器输入层重新比较时，结论排序发生反转。这说明任何单一比较都不能证明该模块本身带来鲁棒性收益。论文进一步指出另外两类常见实验缺陷：初始测试把干净样本扰动成攻击样本却保留其原始标签，这种设置不成立；而仅在已被攻击样本上做测试也无法证明收益。作者还做了干预实验：直接替换已训练模型的输入缩放会破坏检测能力，重训其线性分类层虽能恢复检测率，却改变了个体预测结果，因此这种比较只是描述性的，而非因果性的。此外两项设计检查分别解释了为何输入量子 Fisher 信息正则项无法训练该模型的 query 参数，以及为何去掉置信界并不能得到更大的认证半径。作者明确列出证据边界：仅十个随机种子、精确模拟、合成数据、有限攻击集合，且经典基线在干净预测上表现更好。实践教训是：必须说明固定的是哪一层扰动预算，检查攻击是否保持标签、干预是否保持预测，并把探索性对照与确证性证据严格区分。

该论文关注大型视觉语言模型（LVLM）在推理加速中被广泛采用的视觉 token 压缩技术所引入的安全盲区。压缩能显著降低推理成本，但现有鲁棒性评估多用聚合指标，无法回答一个关键归因问题：某次对抗性失败究竟是由压缩过程新增的，还是原本就继承自底层模型本身？作者将这类问题形式化为“压缩特异性失败”（Compression-Specific Failure, CSF）——即同一对抗输入在全 token 推理下仍然输出正确，但在压缩后推理下失败，从而把压缩带来的风险转化为一个成对失败归因问题。围绕这一界定，作者在受控诊断队列中开展反事实实验，发现“保留集分配”（即压缩时哪些视觉 token 被保留）会因果性地改变压缩后的正确性，并且在该被移出的证据上，模型恢复能力与表征漂移之间存在负相关关系，说明证据在压缩过程中发生表征偏移会削弱模型纠错能力。基于这些发现，作者提出 CIRA（Compression-Induced Risk Attack），一种针对 LVLM 的压缩诱发风险攻击方法：在视觉编码器白盒设定下，通过编码器侧的目标函数优化图像扰动，使其在多个候选压缩预算下操纵 token 优先级排序，同时尽量保持被移出证据的信息；该方法不需要下游问题或标签，也无需访问语言模型、实际部署的压缩器或确切的压缩预算。实验在 12 组数据集-压缩器组合、4 种压缩预算下评估，平均 CSFR 达 20.35%，而全 token 攻击成功率仅为 6.92%，在其他 LVLM 系列上表现类似。作者还提出跨视图选择稳定化防御，可大幅抑制 CIRA，但自适应版 CIRA 能部分恢复效果。结论是：压缩特异失败在受限访问条件下依然持续存在，建议对全 token 与压缩推理进行成对评估，以正确归因视觉 token 压缩带来的风险。

该论文研究了基础模型训练效率与模型脆弱性之间可能存在的权衡关系。近年来，为应对大规模训练带来的巨大算力与数据需求，研究者广泛采用选择性数据采样、高效预训练以及简化强化学习（RL）训练管线等策略。这些方法显著降低了开销，但作者提出一个此前被忽视的关键问题：效率是否以模型的鲁棒性与安全性为代价？据作者所述，这是首个跨领域、系统性地考察效率-脆弱性权衡的工作。研究覆盖视觉模型与语言模型，实验表明效率导向的训练会提高模型对对抗攻击和隐私攻击的易感性。为解释这一现象，作者从模型内部几何与功能表示两个角度进行分析，发现被评估的高效变体一致地表现出更尖锐的损失曲面几何（sharper loss geometry），以及表示结构上的系统性变化。作者进一步将分析扩展到“零 RL 训练”（zero RL training），发现采用简化强化学习配方训练的模型，相比通过常规对齐管线训练的模型，更容易出现灾难性遗忘，并表现出更明显的过度自信。论文结论指出，训练效率很少是“免费午餐”，那些用于最小化计算量的机制可能无意中损害模型安全性。作者最终呼吁范式转变，即从单一追求性能或成本，转向同时优化性能、成本与安全性的多目标训练框架。对安全从业者而言，该工作提示应将鲁棒性、隐私与对齐稳定性纳入训练效率决策的评估维度，而非仅以算力与性能指标作为取舍依据。

该论文聚焦一个此前研究覆盖不足的问题：在特征维度受限、计算预算紧张的条件下，经典威胁检测流水线在面对接近决策边界的样本时性能往往会明显退化。作者指出，虽然小型量子处理器已经可用，但现有工作很少系统性地验证量子组件能否在上述资源受限场景下真正提升端到端的威胁检测效果，因此提出并评估了一种混合架构。该架构先用一个紧凑的多层感知机（MLP）层对原始数据进行信息压缩与特征变换，再把处理后的特征路由给仅含少量量子比特的量子头，量子头分别以量子支持向量机（QSVM）和变分量子电路（VQC）两种模型实现。在仿真平台上，作者用参数预算相当的经典模型作为对照，在两个具有代表性的网络安全任务上做了基准测试：基于 NSL-KDD 数据集的网络入侵检测，以及基于 Ling-Spam 数据集的垃圾邮件过滤，从而保证比较是在同等资源约束下进行的公平对照。为了验证仿真结论在真实设备上是否成立，作者把表现最好的 4 量子比特 QSVM 模型部署到 IBM Quantum 的真实量子设备上，采用噪声感知的执行方式，并在一个规模更小的子数据集上完成评估。实验结果主要有三点：一是浅层量子头在多数情况下能够与参数预算相当的经典模型持平；二是在困难的近边界样本上，量子头能够小幅降低漏报的攻击数量和误报数量；三是真实硬件上的表现与仿真结果吻合度较高，剩余的性能差距主要来自设备噪声而非模型设计本身，说明该方案并非只在理想仿真环境中有效。此外，作者还针对其中一个 QSVM 模型开展了对抗攻击实验，用以考察量子分类器在对抗扰动下的稳健性。总体而言，该研究传递的核心信息是：即便是在比特数很少、噪声较高的量子设备上，经过精心设计的量子组件也有可能作为具备成本意识、可竞争的功能模块，嵌入到实际的网络威胁检测应用中，为量子增强安全检测的可行性提供了仿真与硬件双重证据。

该论文研究的是「面向校准决策的强化学习」(RLCD, reinforcement learning for calibrated decisions) 模型的对抗鲁棒性问题，代表模型是 Jev。这类模型与常规生成式模型不同：它接收输入(称为 state)并回答一个带类型的(typed)问题，输出的是概率、选项或分数，随后由软件直接依据该答案自动采取行动，全程无人工阅读。作者指出，这类模型的鲁棒性此前从未被测量过，原因是评测范式不匹配——现有对抗基准衡量的是模型生成或执行了什么内容，而 typed 模型根本不生成自由文本，即使被操纵也只会返回一个格式良好、看似正常的答案。测量本身也很困难：相同请求可能返回不同答案(非确定性)，可用标签大多由模型自身产生(自标注偏差)，且 API 在不可见的预处理环节对每个请求做了改写。为此，作者提出关键思路：不拿标签当基准，而是把「受攻击后的决策」与「同一模型自身的干净决策」对比打分，并参照「同一请求原样重跑」所引起的变化(重跑基线)来解读结果差异，从而把攻击效应从模型的自然随机波动中剥离出来。基于该思路，作者构建了 JevAdvBench，据称是首个面向 RLCD 模型的对抗基准：包含覆盖 66 个场景的 812 个 typed 问题，以及 9,744 个单点编辑变体组成的黑盒攻击套件，每个变体只修改请求的一个部分，并通过计费输入 token 确认修改确实到达了模型。在 jev-1.13.0 上的实验显示：单纯换措辞的影响不超过重跑基线的 1.2 个百分点，schema 之外的字段永远不会到达模型；但仅向 state 追加一条未经核实的意见，就翻转了 12.1% 的决策，与最强注入命令的效果(10.1%)在统计上持平，并使 38% 的高置信回答跌破 0.8 置信阈值——该阈值本应把它们路由到人工复核。结论是：基于 RLCD 模型构建的应用必须把 state 视为不可信的、可能带有观点的输入。

该论文关注文本到图像扩散模型被滥用于数据高效的"模仿"（mimicry）攻击的问题：攻击者只需少量目标个体的公开照片，即可微调模型生成高度逼真的伪造图像（如换脸式深度伪造）。常见对策是在图像中嵌入不可感知的低能量水印，但近期研究证明这类像素级签名相当脆弱——中等强度的常规后处理或轻量对抗扰动即可压制检测，从而暴露出"不可感知性"与"鲁棒性"之间难以调和的根本矛盾。为此作者提出 FeatMark 水印框架，将水印载体从像素级、能量受限的扰动，转移到不显眼的语义特征上：即尺寸很小、与场景一致的微特征（micro-features），在人眼看来自然合理，却能为机器提供更强的可验证溯源信号。FeatMark 的核心机制包括：(1) 构建领域特定的特征库，把每个水印编码为紧凑的"概念程序"（concept program），将开放词汇语义线索与可靠的编辑区域、指令模板配对；(2) 自动筛选既可行又可执行的特征；(3) 通过模块化、掩码引导的概念编辑将其注入图像，产生高度局部化、场景一致的微编辑，使人工察觉难度大幅提升。实验方面，作者在 VGGFace2、CelebA-HQ 和 WikiArt 三个数据集上开展评测，对抗 10 种强力的水印去除/净化攻击（含再生成式净化）以及多种针对 FeatMark 定制的自适应攻击，从感知保真度、水印检测准确率、鲁棒性三个维度衡量，并进一步验证了向视频模仿攻击场景的可扩展性。结果显示 FeatMark 几乎难以被攻破，在所有评测攻击下比特准确率与图像保真度的下降均可忽略。该工作适合从事深度伪造防御、AI 生成内容溯源、数字水印与内容真实性验证的研究者与安全工程师阅读。

该论文研究面向部署的模型压缩是否会改变脑机接口（BCI）中 EEG 解码器的对抗脆弱性，这一问题在资源受限的可穿戴/边缘 BCI 场景中尚未有明确结论。作者在 BCI Competition IV-2a 数据集上，对 32 位浮点（FP32）的 EEGNet 与 ShallowConvNet 两种经典 EEG 解码网络，与全局幅度剪枝（global magnitude pruning，重点考察 50% 剪枝 P50）、模拟 INT8 训练后量化（PTQ）以及量化感知训练（QAT）进行了系统性对照，覆盖 9 名受试者和 3 个随机种子，以保证统计稳健性。方法上，模拟量化被实现为可微分的 quantize–dequantize 结构，从而支持白盒对抗攻击与梯度层面的分析；同时使用原生 TensorRT 部署来验证模拟结果与真实推理引擎的一致性，避免了仅在仿真环境中得出结论的常见缺陷。 主要发现有三点。第一，保持精度的压缩并不会自动提升直接鲁棒性：在扰动预算 ε=0.005 下，EEGNet 在 PGD 攻击下的准确率在 FP32、P50、PTQ、QAT 四种配置中均停留在约 22–24%，即压缩前后模型的直接抗攻击能力基本一致。第二，剪枝与量化对对抗迁移性的影响不同：P50 将双向迁移效率降至 0.963（FP32→P50）和 0.928（P50→FP32），而 PTQ 则高达 0.994 和 0.997，ShallowConvNet 呈现相同趋势；梯度对齐分析也显示出与迁移效率相一致的分离现象。第三，原生 TensorRT 的 PTQ 部署在 95–98% 的样本上与模拟环境的干净/对抗预测结果一致，说明模拟攻击评估具有较高可信度。 论文的核心贡献在于明确提出：直接鲁棒性、对抗样本迁移性和部署效率是压缩 EEG 解码器的三种彼此独立的属性，不能相互替代或简单外推。该工作适合 BCI 安全研究者、边缘 AI 部署工程师以及从事模型压缩与对抗鲁棒性交叉研究的人员阅读。

该论文针对交通信号控制(TSC)这一安全关键信息物理系统提出了一种可部署的状态恢复防御框架 MDRC(Meta-Diffusion-based framework for Resilient traffic signal Control)。研究背景在于:TSC 依赖实时感知数据做配时决策,而对抗性扰动或传感器硬件故障都会导致观测数据被污染;由于感知层与控制层之间存在级联耦合,被污染的观测会一路传播进控制器,最终表现为交通效率下降、排队加剧甚至路网局部拥堵。作者指出既有基于鲁棒强化学习的 TSC 方法存在三个共性短板:跨城市泛化能力弱(换一个路网或流量分布即失效)、推理延迟高(难以满足秒级控制周期)、以及在部分可观测条件下恢复能力不足。 MDRC 的定位是一个"检测后(post-detection)状态恢复"模块,插在感知层与控制器之间,在不可信观测被控制器消费之前先重建出可信的交通状态。方法上它把两件事结合起来:一是用去噪扩散隐式模型(DDIM)做高效的状态恢复,借助其少步采样的特性控制推理开销;二是用 Reptile 元学习获得一个可跨城市迁移的初始化,使恢复模块在未见路网上也能快速适配。理论层面,作者给出了 DDIM 恢复动力学的基于优化的视角,并推导出一个恢复误差上界,把总误差分解为三个可分别归因的部分——score 函数近似误差、数值离散化误差、以及初始化失配误差,这为理解"为什么跨城市迁移会退化"提供了量化解释。 实验方面,作者在七个由真实世界数据衍生的 CityFlow 基准上评估:在随机攻击与策略感知攻击下平均行程时间(Average Travel Time)降低 6.77%,在结构化传感器丢失场景下降低 12.75%,同时状态恢复保真度指标改善。作者还做了真实路侧测量评估,人为禁用 50% 的检测器通道,累计 3600 秒;并将 MDRC 集成进一套硬件在环(hardware-in-the-loop)交通信号栈,进行了 9.16 小时、32,389 个感知/控制周期的连续运行,结果达到 99.79% 的决策可用性,未产生任何超出配时计划的推荐,单次 1 秒控制间隔内各组件处理耗时合计约 38 毫秒,说明其具备实际部署的实时性余量。 总体而言,该工作的贡献是:把扩散模型状态恢复与元学习初始化结合成可插拔的 TSC 防御组件,给出了恢复误差的可分解理论界,并用跨城市仿真 + 真实路侧 + 硬件在环三层证据链验证了有效性与工程可行性。适合关注 CPS/ICS 安全、自动驾驶与智能交通、AI 对抗鲁棒性以及城市交通运维的研究者和工程团队阅读。

该论文针对 LLM 生产部署中广泛使用的分类器式护栏（以 Meta 的 Prompt Guard 2 为代表）开展了可解释性（XAI）驱动的探索性案例研究。作者指出，这类护栏被当作抵御提示注入与越狱攻击的第一道防线，但其内部决策逻辑对防御方和攻击方而言都高度不透明，因此难以评估其真实鲁棒性。研究通过四组实验，系统性地探查 Prompt Guard 2 如何区分恶意与良性提示词。首先，作者使用 Vanilla Gradient 与 SHAP 归因方法对分类器决策进行解释，发现其判定并非依赖少数高权重关键词，而是取决于大量 token 的累计贡献——这与此前对关键词式过滤器的直觉假设不同。其次，基于显著性（saliency）引导的同义词替换与句子级改写实验显示，在只改动文本中中等比例内容的情况下即可翻转分类器预测，且在部分案例中还能进一步实现对底层 LLM 的越狱。第三，作者在数据集尺度上做了显著性统计分析，发现那些未被检测到的注入提示词系统性地缺失分类器所依赖的词汇标记（lexical markers），说明漏检并非随机噪声，而是具有可解释的结构性规律。基于这些发现，论文讨论了分类器式护栏在设计与评测上的启示，并提出一个值得警惕的双重用途结论：以提升透明度为目标的解释方法，在帮助防御方理解模型的同时，也可能降低攻击方构造有效绕过样本的成本，即解释性本身构成一种攻击面。整体上，论文的贡献是从实证角度揭示了基于分类器的提示注入检测器在归因层面的行为特征与固有脆弱性，为护栏的评测方法论、鲁棒性加固以及解释能力的发布策略提供了研究依据。

该论文研究人脸识别模型在"语义对抗编辑"下的脆弱性问题。背景是:人脸识别已被广泛嵌入日常身份认证与视频监控系统,而近期工作发现,对输入图像做对抗性但语义层面看似合理的修改(例如轻微改变年龄外观、调整头部姿态),就能诱导模型产生误分类。这类语义攻击比传统的像素级噪声扰动更贴近真实威胁场景(因为修改后的图像仍看起来像同一个人),但现有攻击方法计算开销很大,导致研究者难以用它们进行对抗训练等防御研发。为填补这一空白,作者提出 BoundStyle:一种在 StyleGAN 丰富潜空间中运行的强语义攻击,以最大化误分类率为目标进行搜索。BoundStyle 在保持高攻击成功率的同时,比现有最先进攻击快约 9.5 倍,使对抗训练在算力上变得可行。在 BoundStyle 基础上,作者进一步提出 StyleAT——一种高效的对抗训练方案:训练阶段只使用"低预算"(即低成本、较弱)的攻击变体,但训练出的模型仍能抵御更强、且训练时未曾见过的语义攻击。实验方面,作者在训练阶段未接触过的两个数据集和七个模型上进行评测,结果显示 StyleAT 提升了对最先进语义攻击的鲁棒准确率,并在多种设置下优于常见防御方法。该工作属于对抗鲁棒性与生物特征安全交叉方向,适合人脸识别、对抗样本防御、身份认证系统的研究者与安全工程师阅读。

该论文研究状态对抗马尔可夫决策过程（SA-MDP），并将其建模为一场针对观测空间攻击的博弈：智能体每一步根据接收到的观测选择动作，而对手知道智能体所处的真实状态，并在一个依赖状态的邻近集合内选择一个被扰动的观测。已有工作主要聚焦马尔可夫策略，而本文针对历史依赖（history dependence）情形提出了新的解概念与计算方法。作者指出，历史依赖会显著改变均衡结果，并迫使智能体与对手双方调整各自策略，因此以往基于马尔可夫策略的结论并不充分。论文首先证明了一个否定性结论：不存在与初始状态分布无关（agnostic）的、具有历史依赖性的普适均衡策略，这意味着无法找到对所有初始状态分布一律有效的稳健策略。针对这一困难，作者给出主要成果：第一条计算初始状态相关均衡的 ε-近似解的算法路径。其核心思路是把 SA-MDP 归约为一个策略等价的、带约束的零和单侧部分可观测随机博弈（POSG），从而可借助博弈求解工具处理原问题。最后，作者在小型可解析验证的博弈上测试该算法，并展示其可扩展到更真实、更大规模的基准，包括具有 12 步预测视野的 Atari Freeway 回放。该工作为在观测可被最优对手篡改的场景下评估和设计强化学习策略提供了均衡层面的理论基础与可计算途径。

本文研究异构协同感知（Heterogeneous Cooperative Perception, CP）的对抗鲁棒性问题。在此类系统中，传感器配置各异的联网车辆通过紧凑特征图共享空间感知，接收方使用学习到的翻译模块（translation module）对齐来自不同来源的特征，再进行融合与推理。此前针对同构 CP 的攻击已表明，数据交换环节构成关键攻击面：单个恶意代理即可发送精心构造的特征，从邻居的融合场景中“抹除”真实存在的目标。学界普遍假设异构性本身即是一种天然防御——攻击者不了解受害方的检测器结构，且翻译模块会打乱对抗梯度，使攻击难以奏效。作者通过实验证明这种保护基本是错觉：他们设计了一个 matched-objective 测试框架，统一扰动预算、优化目标与前向路径，从而消除评测口径差异，结果显示经过恰当调参的迭代式攻击可以缩小甚至逆转表面上存在的鲁棒性差距。但作者同时指出，这类基于优化的攻击依赖真实标注（ground-truth）且需要迭代反向传播，计算开销大，不构成可实时运行的现实野外威胁。为填补这一落差，作者提出 HetPoison——一个可学习的生成器，只需一次无标签前向传播即可生成目标移除扰动，无需访问受害方检测器即可跨主流异构设计迁移，效果与昂贵的优化器攻击持平甚至更优。基于“异构不等于防御”的结论，作者进一步提出 HetShield：一个轻量级信任层，通过校验特征间的时空一致性来识别异常，可恢复被攻击削弱的准确率的 83%–95%，性能优于现有方案。整体上，论文重新评估了异构 CP 的安全假设，并提供了攻击面量化方法与可落地的防御层设计，适合自动驾驶、车路协同（V2X）安全、以及多智能体感知融合方向的研究者与安全工程师阅读。

该论文研究量子分类器在已知读出查询访问（KRQA）模型下的认证对抗鲁棒性。量子分类器通过演化输入量子态并测量输出来分配标签，重复执行仅能揭示标签分布。在KRQA中，评估者可制备输入、知晓量子测量、观测有限次测量结果，但无法检查内部演化、参数或梯度。作者提出一种仅基于测量的框架，为每个输入返回两个互补的保证：一个下界，排除半径内的非目标错误；一个与攻击无关的上界，证明半径内存在对抗态。两者均可从已知读出测量和采样结果中估计，无需层析或电路描述，并具有有限样本保证。上界利用量子测量诱导的间隙算子；下界将状态空间搜索松弛为在算子谱约束下对结果分布的高效优化，所得证书不弱于先前仅基于概率的证书，当谱约束活跃时可严格更强。在多个量子分类器上的评估表明，下界在可处理实例上跟踪精确最优值，而上界在标准攻击失败时仍能提供信息。作者进一步在IBM Quantum硬件上验证了实际设备可行性：对两个8量子比特量子神经网络执行40次，方法即可计算两种证书，且每个测试输入上的下界与上界均符合预期顺序。总体而言，这些结果表明量子分类器的鲁棒性声明可以在KRQA下直接从可观测统计量中审计。

工业界的 Windows 恶意软件检测系统通常被描述为由多种异构组件构成的复合 AI 系统，其中包括基于规则的检测机制以及基于机器学习的静态与动态分析模块。然而，由于工业界保密和公开信息有限，这些系统的内部架构往往只能被推测，导致难以对其检测准确率、计算开销和对抗鲁棒性进行系统性评估。相比之下，学术研究提供了可重复、透明的评估方法，却通常只针对孤立的检测组件进行考察，与真实复杂系统存在较大差距。为弥合这一鸿沟，本文受先进工业级 Windows 恶意软件检测架构的启发，提出了一种新的评估方法，用于显式平衡检测性能、计算需求与鲁棒性之间的权衡，并引入了系统级威胁模型，以刻画攻击者如何利用不同程度的知识来逃避整个复合 AI 系统，而非仅绕过单个检测器。基于真实数据的实验表明，复合 AI 系统的训练时间可被缩短、响应能力得以提升，而检测性能仅出现微弱损失。利用所提出的威胁建模，研究者发现知识越丰富的攻击者能够构造出更有效的对抗样本，这些样本会揭示系统的优势与弱点、降低其响应速度，并暴露出效率与鲁棒性之间的直接权衡。最后，作者将这些权衡转化为可执行的结论与部署指南，以帮助安全从业者根据自身的运维约束选择最合适的检测系统。本文的核心贡献在于提出了一个能够同时兼顾性能、效率与安全性的系统级评估框架，为学术研究与工业实践之间的鸿沟提供了连接桥梁。

本文针对工业控制系统（ICS）和运营技术（OT）环境下基于异常的入侵检测系统（IDS）所面临的正式韧性要求展开研究。当前，这类系统被期望具备吸收对抗扰动、在持续攻击下优雅降级以及提供经认证的系统级保障能力。然而，现有的网络物理系统韧性框架通常在架构层面定义“吸收-恢复-适应”轨迹，并未将机器学习异常检测器视为一等公民组件，导致组件级鲁棒性评估与系统级韧性认证之间存在鸿沟。作者的核心观点是：ICS异常检测中的对抗鲁棒性本质上是系统韧性的一种具体实例化。为此，他们正式建立了二者之间的映射关系，将四种韧性构造——扰动类别、吸收容量、恢复轨迹和退化函数——对应到对抗机器学习的设定中。在此基础上，论文推导了异构ICS检测网络的组合韧性界，揭示了关键结论：系统级韧性的约束条件并非各节点自身的吸收容量，而是攻击路径上每个节点经过耦合调整后的吸收容量；因此，最具约束性的节点不一定是最弱的节点。在BATADAL水分配系统基准数据集上的实验验证表明，所提出的度量指标能够显现出标准基准无法察觉的、具有操作意义的现象：其一是对抗训练过程中出现的“吸收-退化分歧”（即模型吸收扰动能力上升的同时，系统退化函数表现出现异常偏离）；其二是“孤立加固韧性约束节点反而导致系统级韧性下降”的悖论。这些发现对ICS架构设计和安全认证标准具有重要启示意义。论文适合关注ICS/OT安全、对抗机器学习、韧性工程以及相关基准评估的研究人员和安全架构师阅读，为在系统层面上重新审视异常检测模型的鲁棒性评估提供了新视角。

该论文从神经符号（Neuro-Symbolic, NeSy）视角出发，首次系统评估了后门攻击对NeSy模型的影响。NeSy AI旨在将亚符号神经感知与基于符号的推理相结合，以提高AI系统的透明性、可解释性和效率，通常被认为是“设计上安全”的。然而，神经与符号的集成过程引入了额外的复杂层，可能成为攻击者的入口点。作者认为有必要深入调查NeSy模型的对抗鲁棒性，并提出首个针对NeSy的后门攻击系统性评估。实验采用了最流行的NeSy框架DeepProbLog，与基线神经网络在八种后门设置和四种推理任务上进行比较。结果表明：平均而言，NeSy模型确实比纯神经网络更具鲁棒性，但其鲁棒性强烈依赖于所执行的推理过程的严格程度，以及推理过程与所选择的后门攻击目标之间的兼容性。作者已公开实验代码以促进复现。该研究揭示了神经符号集成在对抗场景下的安全属性并非天然坚固，为后续设计更安全的NeSy系统提供了重要参考。适合关注AI安全、对抗机器学习以及神经符号结合方向的研究者、安全工程师和模型设计者阅读。

本文研究了大语言模型（LLM）防御体系的分层堆叠效果。实践中，防御者常通过叠加多层防御来增强安全性，但堆叠是否真正有效取决于一个关键条件：各防御层必须在不同的失败样本上出错，即失败独立性。然而，LLM安全文献虽推荐这一假设，却从未实际测量。为此，作者提出了两个工具框架：一是Adversary Access-Tier Model（AATM），按攻击者拥有的访问权限分级，从仅系统访问（A0）到能影响训练数据（A4），用以刻画攻击者能力；二是成本模型，将防御按推理时开销分为五类，由于其中两类需要训练权重或读取激活值，因此防御者本身也存在能力分级。基于这两个模型，作者推导出堆叠防御的整体行为，并发现防御者关心的指标存在分化：分层覆盖在同一访问等级内趋于饱和，成本随类别上升，误拒率以并集方式累积，剩余攻击成功率仅在独立性条件下呈乘法下降。为了验证独立性，作者对七层防御堆叠实施了一个自适应攻击者，测量了所有十五个可比较防御层对之间的失败相关性。结果显示，所有对的相关性均为正，φ值介于0.30到0.75之间，联合剩余风险比乘法预测最高高出0.172。按行为难度分层后，大部分关联消失，表明依赖性主要源于共同原因（即被包装的底层模型），但这种相关性在排列推断、多数投票标签和外部校准阈值下仍然稳健。此外，该堆叠在误拒率上拒绝了五分之四的正常良性提示，但在统计上与最强单层防御不可区分。作者认为，相关性是架构性的而非采样性的：防御层通过它们共同包裹的模型相互关联，因此扩大防御层池无法削弱这种相关性。结论是，多样性有助于选择防御成员，但无法预测组装后堆叠的实际效果，必须端到端进行测量。

该论文聚焦于自主系统中热成像感知链路的安全脆弱性。热像仪被广泛用于自动驾驶、无人机、机器人以及安防系统，在夜间或恶劣天气下提供关键的环境感知能力。然而，热成像感知对物理世界的攻击面研究尚不充分。作者系统性地分析了热成像感知流程中从传感器物理层到后端目标识别算法的各个环节，揭示了攻击者可通过刻意设计的热源或热干扰（例如热辐射操控、局部温度扰动）诱导感知模型产生错误输出，进而导致自主系统做出危险决策。论文提出了一个系统化的威胁建模框架，将热成像感知的脆弱性分类为不同层级，包括物理传感器、信号处理、特征提取和语义理解，并针对每一层级分析了可能的干扰向量。为了验证这些脆弱性，作者在真实测试平台上开展了实验，使用他们自行构建的热成像攻击测试床，评估了不同类型热干扰对目标检测、分类和跟踪任务的影响。实验结果显示，在特定条件下，攻击者能够使热成像系统对行人、车辆等关键目标的识别置信度显著下降，甚至完全漏检或错检。基于上述发现，论文进一步提出并评估了多种缓解策略，包括多种传感器数据融合、基于一致性的异常检测、对抗训练（在热域中增强训练数据）以及基于物理的防御机制。这些防御措施在实验中展现出一定的鲁棒性提升，但仍有其局限性。总体而言，该论文是首个系统研究热成像感知在自主系统中安全性的工作，为后续研究提供了理论基础、实验方法和防御方向，对自动驾驶安全、机器人安全以及相关物理世界AI系统安全有重要启示。适合自动驾驶安全工程师、AI安全研究员、传感器安全分析人员以及自主系统设计者阅读。

本文研究了可学习参数化激活函数（PAFs）与对抗训练结合时对深度神经网络鲁棒性的影响。以往工作主要关注网络宽度和深度对鲁棒性的作用，而激活函数形状的影响尚未被系统研究。作者首先设计了一组参数化激活函数，其参数可以独立控制负输入、接近零的输入和正输入区域的行为。通过固定参数值并使用对抗训练训练模型，他们发现激活函数的各个区域都会影响最终模型的鲁棒性，但只有在特定区域（接近零和正输入区域）的变化才能相比ReLU提升鲁棒性。随后，作者将可学习的PAFs与对抗训练结合，分析鲁棒性能。实验结果表明，激活函数的选择会显著影响对抗训练模型的鲁棒性，但只有特定类型的PAFs（如光滑PAFs）能够显著超越ReLU的鲁棒性。整体上，该工作揭示了激活函数在对抗训练模型中的重要性，为设计更具鲁棒性的神经网络架构提供了新视角。

图神经网络（GNN）在节点分类、图分类等图相关任务上取得了当前最优的性能，但近年来研究显示，GNN容易受到对抗性扰动的影响，这些扰动可作用于构成图的三个组件：边、节点和节点特征。经验性的防御方法往往很快被自适应攻击者突破，而认证防御虽能提供鲁棒性保证，却存在多重局限：第一，几乎所有方法都只将攻击者能力限制为单一类型的扰动，这在实际场景中并不现实；第二，所有方法均为特定GNN任务设计，限制了其通用性；第三，除一种方法外，其余方法的鲁棒性保证并非100%精确。针对这些问题，本文提出了AGNNCert，这是首个能够针对任意类型（边、节点和节点特征）扰动提供确定性鲁棒性保证的认证防御方法，并且适用于节点分类和图分类这两类最常见的GNN任务。AGNNCert统一了现有认证防御理论，将已有方法作为特殊情形包含在内，从而实现了更全面的防护。在多个基准节点/图分类数据集、两个真实世界图数据集以及多种GNN结构上的大量实验验证了AGNNCert的有效性，表明其能够可证明地防御任意扰动。同时，AGNNCert在单独边扰动和单独节点扰动的对抗场景中均超越了现有的最先进认证防御方法。该研究的核心贡献在于突破了以往认证防御在扰动类型、任务类型和保证精确性上的三重限制，为GNN的可靠部署提供了更为全面和实用的安全保障。

原则性监管（如“公平、清晰、不误导”或“提供良好结果”）属于评判性标准，无法简化为二元谓词。随着大型语言模型（LLM）被越来越多地用作裁判，其实际评估质量变得至关重要。本文提出，任何此类裁判都必须从四个维度进行评测：准确性（accuracy）、释义鲁棒性（paraphrase robustness）、对抗鲁棒性（adversarial robustness）和校准性（calibration）。作者发布了 Principle-Bench，一个包含 168 个加密资产金融推广场景的数据集，这些场景映射到英国金融行为监管局（FCA）的两条原则，并预注册了释义改写、关键词填充和边界扰动等攻击样本。这是首个覆盖原则性监管全部四个评估轴的数据集。同时提出 Ceca（Calibrated Exemplar-Cluster Assessment），一个校准且可审计的评估器，可输出每个示例的反事实归因。实验比较了关键词计数、三种句子转换器嵌入、一个开放式权重 LLM 裁判和一个校准级联，结果显示没有任何方法在所有四个轴上占优。最强的 120B LLM 裁判在良性输入上表现最好，但在面对关键词填充的 Consumer Duty 输入时，准确率从 0.74 骤降至 0.27，被作者称为“合规剧场”。另一个模型家族的裁判在相同分割上 Cohen's kappa 仅为 0.16，说明失败源于模型而非语料库。最终结论是：任何部署级用于原则性监管的 LLM 裁判，除了总体准确率外，还必须报告每个原则的对抗欺骗性和事后校准指标。

本文针对短信钓鱼（smishing）检测系统的对抗鲁棒性进行了系统比较研究。当前多数检测模型在干净、单语文本上训练与评估，但在低资源场景下，攻击者常通过字符混淆、跨语言代码切换和结构扰动等方式规避检测。研究选取了五种模型架构：三种经典词法模型（随机森林、XGBoost、CNN+BiLSTM）和两种多语言Transformer模型（mBERT、XLM-RoBERTa），在包含27,037条消息的数据集上进行对抗攻击测试。经典模型承受黑盒通用攻击，Transformer模型则采用注意力引导的定向攻击。每个模型面对三种攻击类型和不同强度等级，以鲁棒性退化比（RDR）作为评估指标。结果显示明确的架构分界：经典模型在字符混淆和结构扰动下近乎灾难性失效（RDR最高0.988），而Transformer模型表现出显著更强的鲁棒性（RDR最高0.351），其中结构扰动是其最明显的弱点。效应量分析（Cliff's d）表明两类模型之间存在实质性差异。在Transformer内部，XLM-RoBERTa尽管干净文本基线更高，但退化程度大于mBERT。这些发现证明干净文本性能并不能可靠预测对抗鲁棒性。Mann-Whitney U检验和Friedman检验的统计验证确认这些模式归因于模型架构而非采样随机性。研究强调了针对特定架构设计防御的必要性，并将短信钓鱼检测界定为对抗性网络安全挑战而非静态分类任务。适合安全研究员、NLP工程师和蓝队防御者阅读。

本文关注众包联邦学习（Crowdsourced Federated Learning, CrowdFL）中的鲁棒性量化问题。CrowdFL通过众包范式允许开放、异构的参与，扩展了传统联邦学习，而声誉驱动的激励机制常被用于引导工人选择并增强可信度。然而，现有框架大多忽略了对隐秘对抗者（能规避标准检测机制的对手）鲁棒性的量化评估。为此，论文提出R2CFL，一个鲁棒的声誉驱动CrowdFL框架。R2CFL的核心创新在于：1) 设计了一个鲁棒声誉模型，将参与者的声誉演化与聚合阶段的更新过滤（最近邻混合，Nearest Neighbor Mixing，简称R2-NNM）机制耦合；2) 该机制能够防止隐秘攻击者通过逐步积累信任来影响未来任务。实验结果表明，面对自适应攻击者，R2-NNM在拜占庭鲁棒性和后门防御效果上达到或超越了现有的最先进防御方法；此外，当与现有检测-过滤类防御集成时，所提出的声誉模型能通过生成与底层防御真实正阳性率、假阳性率特性高度一致的声誉分数，准确捕捉该防御的统计鲁棒性。该工作的主要贡献在于首次将声誉机制与鲁棒聚合防御相结合，填补了CrowdFL中针对隐秘对抗行为的鲁棒性量化空白，并为开放环境下联邦学习的可信执行提供了新思路。适合关注联邦学习安全、鲁棒聚合机制设计、声誉系统评估的研究人员及安全工程师阅读。

本文研究多智能体协同过滤（CF）系统中的攻击与防御问题，特别关注系统连接性如何影响这些攻击和防御的效果。多智能体CF系统由多个自主的大语言模型（LLM）驱动的用户智能体和物品智能体组成，它们通过自然语言交互来细化偏好并生成推荐。这类系统既继承了数据驱动方法的脆弱性，也继承了多智能体交互的固有风险，而这些风险以不同方式表现出来。作者认为，理解连接性如何调节系统脆弱性，有助于构建更稳健的推荐流水线。为此，作者将通用多智能体系统（MAS）文献中的攻击和防御方法改编到基于智能体的CF场景中，并在AgentCF框架下系统性地改变连接性进行评估。连接性沿两个维度刻画：（1）候选数量（每轮每用户考虑的物品候选数量，衡量用户侧交互密度）；（2）目录集中度（不同用户之间物品目录的重叠程度）。本文的贡献包括：（1）改编：在智能体CF领域复现了源于MAS的攻击和防御方法，证实了原有观察结果的部分可迁移性；（2）刻画：系统分析了连接性两个维度如何影响攻击与防御结果，揭示了用户智能体和物品智能体之间的角色不对称性、攻击效力的非单调时间动态，以及传播型攻击与提取型攻击在目标上的分歧模式。此外，作为探索性扩展，作者评估了受流行病学启发的静态指标在按预期攻击结果对CF配置进行排序方面的适用性，这可能支持低成本的鲁棒性评估。实现代码已开源（https://github.com/anjunhu/ConnACF）。本文适合关注智能体安全、推荐系统鲁棒性和多智能体系统安全的研究人员阅读。

本文针对智能交通系统中基于图神经网络（GNN）的交通流量预测模型，重新审视了其对抗鲁棒性。作者认为先前研究采用的威胁模型不切实际，如假设攻击者拥有完整模型知识或进行全局非目标扰动，因此对攻击和防御的评估均有偏差。实际攻击者通常只能利用有限知识，监测并操纵少量路侧传感器，且攻击目标是局部的——例如使特定路段或路径的预测出现错误，导致行车时间误判或诱导绕行，而整个网络的其他部分几乎不受影响。这种定位明确的攻击在以往研究中未被充分探索，且现有防御如对抗训练，难以从训练时使用的范数有界扰动迁移到结构完全不同、符合物理拥堵规律的攻击上。为此，作者提出将鲁棒性问题视为检测任务：训练一个物理信息感知的检测器，其输出作为输入特征并入后续加固预测模型，同时在保持预测模型固定时对检测器进行自适应攻击训练。作者在多种模型架构和基准数据集上评估，结果显示物理感知攻击能让目标链路预测误差增大数倍而全局误差几乎不变，而针对范数有界扰动调优的对抗训练对此几乎无效。作者提出的检测-缓解防御在15个模型-数据集设置中的13个上超过直接用物理感知攻击进行对抗训练的模型，并在留出攻击上取得最大优势，同时几乎零干净性能损失。结果强调了在应用特定约束下审视抽象AI对抗攻击的必要性，以评估真实安全影响。

这篇论文系统评估了五种最先进的阿拉伯语大语言模型在多种对抗攻击下的鲁棒性，并探索了基于对抗训练的防御方法。研究背景是：随着阿拉伯语模型能力的提升，它们面临的安全风险也随之增加，其中对抗攻击可以使模型产生错误预测，造成严重的安全和伦理问题。作者从字符级、单词级和句子级三个粒度设计了不同的攻击策略：字符级攻击通过插入变音符号（diacritics）扰乱文本，实验显示某些模型的准确率下降高达92%，且扰动距离很低；单词级攻击通过操纵阿拉伯语连词（如‘و’、‘ف’等）保持高语义相似度和低扰动距离，但能使准确率降低最多58%；句子级攻击采用释义（paraphrasing）方法，平均使受害模型性能下降76%。此外，论文还验证了对抗训练的有效性，发现MARBERT是最鲁棒的模型，而AraBERT在训练后获得最大的相对提升，但所有模型对字符级噪声仍然脆弱。研究揭示了在形态丰富的语言（如阿拉伯语）中，当前防御策略的潜力和局限性。对于蓝队和安全工程师而言，这项研究为评估NLP模型在非英语场景下的安全性提供了方法论参考，并强调了对抗训练在提升模型韧性方面的作用，但同时也警示了字符级扰动的持久威胁。阅读该论文可帮助安全团队理解阿拉伯语模型特有的攻击面，并为构建更安全的阿拉伯语AI应用提供依据。

本文提出了一种用于恶意软件表征的隐空间稳定性分析管道，旨在评估在特征空间扰动下恶意软件嵌入表示的稳定性。传统恶意软件检测器通常使用准确率、F1、ROC AUC等干净样本指标评估，但这些指标无法揭示当特征向量受到扰动时，学习到的表征如何变化、样本是否接近决策边界，或压缩表示是否保留了安全相关结构。作者在EMBER特征空间上构建了分析管道，比较了完整EMBER特征、基于PCA的压缩、beta/去噪变分自编码器（VAE）表示、曼德勃罗集启发的逃逸时间描述符以及PINN风格的隐流模块。他们定义了隐空间逃逸散度（LED）来衡量扰动下逃逸时间分布的变化，并使用PINNFlow衍生的残差、速度、风险和梯度偏移指标来刻画隐空间运动。实验使用EMBER静态PE特征向量，包含180,000个训练样本、180,000个测试样本和240,000个保留样本。结果表明，完整EMBER特征在干净分类上表现最强，ROC AUC为0.9962，F1为0.9713；PCA-64是最强的压缩基线，ROC AUC为0.9846，F1为0.9347。提出的VAE+Mandelbrot+PINNFlow表示在干净分类上未超越这些基线，但在受控特征空间扰动探针下提供了额外的诊断价值。该研究有助于理解不同表征方法对抗扰动的鲁棒性，并为设计更稳健的恶意软件检测器提供指导。

该论文指出现有基于AI的Windows恶意软件检测器缺乏系统性的评估方法，导致无法确定哪种模型适合实际部署。现有评估存在四个主要缺陷：1）训练和测试数据不统一；2）未考虑时间维度，无法检验模型随时间推移的性能衰减；3）缺少对抗攻击下的安全性评估，尤其是内容注入攻击；4）忽略计算开销，可能导致终端上推理速度缓慢。为弥补这些不足，作者提出了EXE-Bench，一个综合性的基准测试框架。EXE-Bench从性能、时间鲁棒性、对抗鲁棒性和计算开销四个维度评估检测器，并将这些指标聚合为单一分数，从而实现模型间的直接公平比较。通过实验，论文强调仅仅在部署后进行性能评估是不够的，无法全面反映模型表现。关键发现是：基于特征工程注入领域知识的传统方法（如手工特征）在抵抗时间变化和对抗攻击方面依然极其有效，而大多数深度神经网络仅在部署初期表现优异，长期和对抗环境下性能下降严重。该研究为安全社区选择实际可用的AI恶意软件检测器提供了重要参考。

该论文关注大型语言模型（LLM）在依赖检索工具获取最新信息时面临的新攻击面：攻击者可通过操纵检索文档来影响模型输出。随着生成式引擎优化（Generative Engine Optimization）的发展，特定内容更易被检索、引用和采纳，放大了这一风险。现有的事实验证基准和评估框架缺乏受控的证据环境，无法评估模型对地理风格（GEO）投毒的鲁棒性。为此，作者提出了GPE，包含一个多领域的事实验证基准和一个评估框架，能够控制证据来源和投毒比例。实验在多种验证方法和投毒攻击下进行，结果表明GPE能够揭示仅通过干净评估无法观察到的鲁棒性下降和效率权衡，证实了在对抗性证据环境下评估事实验证的必要性。该研究为LLM安全评估提供了新的视角和方法。

本文针对当前对抗鲁棒性评估方法的局限性，提出了一种新的评估框架。现有方法通常使用预定义的攻击集成（如AutoAttack）在单一扰动预算ε和少量范数下进行评估，存在三个根本问题：1) 模型间的鲁棒性-扰动曲线可能相交或以不同速率衰减，导致单ε排名不稳定；2) 无法证明评估结果的最优性，存在未知的对抗样本漏洞；3) 固定攻击配置无法系统控制攻击强度与评估成本之间的权衡。为解决这些问题，作者提出了一个基于最小范数攻击池的评估框架，涵盖ℓ0、ℓ1、ℓ2和ℓ∞四种攻击范数，并构建鲁棒性-扰动曲线。定义“攻击前沿”为攻击池对模型产生的最差鲁棒性估计，并将评估形式化为前沿逼近问题，通过选择最小范数攻击子集（即优化后的攻击集成）在可控的查询预算下逼近前沿，预算越大估计越紧。此外，定义“防御前沿”为每个扰动大小下模型集合的最优鲁棒性，并提出“防御最优性指数”（Defense Optimality Index）来对防御进行排序，无需选择单一ε。在CIFAR-10和ImageNet上的实验表明，所提攻击集成在固定和可控查询成本下，在大多数防御上匹配或超过AutoAttack。该工作为安全从业者提供了基于曲线和查询控制的替代性评估方法。

该论文系统性地研究了变分量子本征求解器（VQE）的对抗鲁棒性问题。VQE是近期量子硬件上估算分子基态能量的领先算法，广泛应用于量子化学、材料科学和药物发现。随着VQE工作负载通过基于云的'VQE即服务'管道部署，它面临来自受损服务组件、恶意共租户或编译栈内部人员的攻击风险，这些攻击可能在使用户获得结果之前篡改结果。尽管已有针对变分量子电路的多种攻击提出，但每个攻击都是在孤立场景下研究的：有些针对量子分类器使用准确率指标，有些针对变分量子算法使用能量误差指标。缺乏统一的评估框架导致不同攻击的相对严重性难以比较，VQE的安全性特征尚不明确。为此，本文提出了VQE-AdvBench，这是第一个针对VQE的统一红队测试基准，将多种攻击纳入单一评估协议以严格评估VQE的对抗鲁棒性。论文按照黑盒、灰盒和白盒访问权限对攻击进行分类，并在固定分子-ansatz-后端-度量配置下，针对H₂和H₃⁺分子在五个噪声校准的IBM后端上评估了七种代表性攻击场景：QTrojan电路后门、QDoor参数后门、FGSM和PGD的参数空间适配版本，以及三种QNBAD噪声诱导变体。实验结果揭示了明确的严重性排序：操纵零噪声外推（ZNE）管道的噪声诱导攻击最具破坏性（误差放大达8.84倍），其次是QTrojan电路级后门（7.52倍），而QDoor参数级后门效果最弱（仅1.37倍放大）。该工作为量子机器学习安全领域提供了首个系统性基准，对保护基于云的量子计算服务具有重要参考价值。

本文针对钓鱼邮件检测的对抗鲁棒性进行了系统比较研究。研究背景在于，当前机器学习分类器在钓鱼邮件检测中广泛应用，但其准确性往往仅在干净、分布内测试数据上评估，而忽略了对经过刻意修改以逃避检测的对抗性邮件的鲁棒性。为弥补这一空白，作者选取了两种代表性检测方法：传统的TF-IDF + 逻辑回归基线模型，以及基于微调DistilBERT的Transformer模型。两者在统一语料库（来自六个公开数据集的82,255封邮件）上训练，并在三种条件下评估：正常分布内测试、合成钓鱼测试和对抗性钓鱼测试。实验结果表明，两种模型在干净数据上的准确率均超过98%，但在对抗性测试中急剧下降：TF-IDF + LR降至64.00%（下降34.59个百分点），DistilBERT降至63.64%（下降35.40个百分点），二者差距仅0.36个百分点，相当于275个样本的对抗测试集中仅一封邮件的差异。通过LIME、SHAP和注意力展开分析发现，两种模型依赖不同的特征证据，但表现出相似的脆弱性。成对错误分析显示，模型在54.9%的对抗样本上达成一致，但各自分别有24个和25个独有错误，表明失败模式部分互补而非完全相同。研究结论明确指出，干净数据准确率不能预测对抗鲁棒性，对抗测试应成为钓鱼邮件检测评估的标准组成部分。该研究为安全从业者提供了重要启示：高基准准确率并不保证模型在对抗攻击下的安全性，需要将对抗鲁棒性纳入模型选型和部署前的评估流程。

该论文揭示了鲁棒性优化防御（如对抗训练和对抗净化）中存在一种新的安全风险：共享脆弱性。尽管这些防御方法在单独评估时能显著提升模型对对抗样本的鲁棒性，但一旦某一代表性防御被有效攻破，整个同类防御家族可能面临暴露。为了区分真正的可迁移性、失真导致的退化以及复杂攻击的算法增益，作者引入了更严格的仅迁移（transfer-only）协议，并设计了一种简单的自适应攻击 PGDTransfer。此外，他们提出了对抗敏感性图（Adversarial Sensitivity Maps, AdvSMs），用于可视化和量化超过可微分类器的共享对齐，包括随机和非可微防御。实验覆盖了对抗训练的分类器、基于净化的防御以及具有鲁棒视觉编码器的大型视觉语言模型（LVLMs）。结果表明，在每个鲁棒性家族内部存在自然的可迁移性，即使用简单的 PGD 风格优化即可实现迁移，而无需专门的可迁移性攻击设计。风险在净化防御中尤为严重：在 ε=4/255 下，PGDTransfer 在基于滤波、压缩和扩散的净化器上平均迁移攻击成功率达到 80.4%，表明净化防御可能不再提供可靠保护。随着攻击技术的进步，当前更强大的鲁棒性家族也可能面临相同风险。因此，未来防御应将脆弱性多样性和迁移隔离作为安全目标，而非仅优化个体鲁棒性。

该论文提出了一种基于大语言模型引导的演化框架（结合GigaEvo和OpenEvolve），用于对感知哈希算法（PHA）实施有针对性的黑盒第二图像攻击。感知哈希算法广泛应用于图像篡改检测，但对抗性扰动的鲁棒性研究不足。作者设计了一个复合评分函数，综合考虑攻击成功率（归一化汉明距离低于阈值的对抗样本比例）、对哈希函数的查询次数以及相对于原始图像的L2失真度。在pHash、PDQ、PhotoDNA和NeuralHash四种部署的PHA上，使用30对ImageNet图像进行实验，结果表明：与现有黑盒基线相比，该方法能以更少的查询次数达到相当或更高的攻击成功率，同时产生更低的L2失真。最佳演化程序将预定义的复合攻击评分降低了：NeuralHash 41.2%、PDQ 38.3%、pHash 34.0%、PhotoDNA 8.1%。该方法不需要PHA内部知识，能自然处理哈希输出的不可微离散性。这些结果揭示了广泛部署的内容审核流水线中此前未被报告的安全漏洞，并激励开发可证明鲁棒的感知哈希方案。适合安全研究员、内容审核系统开发者以及对抗性机器学习研究者阅读。

该论文研究网络安全分类器在面对对抗性攻击时的鲁棒性及其可解释性稳定性问题。以往工作主要关注基于梯度的攻击方法，但许多实际分类器（如随机森林、XGBoost）是不可微的树模型。作者将先前的MLP研究扩展到随机森林和XGBoost，并在四个表格安全数据集（钓鱼URL、UNSW-NB15、NF-ToN-IoT、HIKARI-2021）上评估了五种攻击，包括三种适用于不可微树模型的黑盒方法。论文引入了解释稳定性指数（ESI），这是一个基于TreeSHAP归因漂移的标量指标，与鲁棒性指数（RI）在同一[0,1]尺度上报告。关键发现是：基于梯度的黑盒攻击（ZOO）对XGBoost产生退化结果（表观RI约0.98），这是由于分段常数预测表面导致的；而基于得分的Square Attack揭示了真正的脆弱性（RI约0.36）。这些退化扰动仍然会导致显著的归因漂移：XGBoost的ESI在0.06-0.16之间，尽管ZOO鲁棒性接近完美，而随机森林的ESI在0.14-0.29之间，表明预测鲁棒性和解释稳定性是两个不同的轴，需要联合测量。作者提出了一个两轴框架（梯度依赖性和查询效率）来解释观察到的攻击排名，并为树集成评估提供了实用指导。此外，步骤大小消融实验解释了在z-score归一化表格数据上PGD的异常现象。该研究对于安全分析师理解模型解释的可靠性以及防御对抗攻击具有重要意义。

该论文系统性地评估了用于衡量大语言模型（LLM）越狱攻击成功率的自动化裁判（ASR评分器）的可靠性。研究背景是：几乎所有关于LLM越狱和提示注入的论文都报告攻击成功率（ASR），但这些ASR通常由自动化裁判（专用安全分类器或通用聊天模型）打分，而裁判本身的准确性很少被验证。论文使用HarmBench分类器验证集中的596个人工标注样本，将两种裁判家族（专用分类器和LLM-as-judge）与人类多数投票进行比较，然后对裁判进行攻击。研究发现两种裁判在失败方式上截然相反：专用分类器过度标记（精确率0.835，召回率0.974）；三个不同的LLM-as-judge精确率高（0.81-0.94），但召回率波动大（0.06-0.65），导致同一组响应因裁判不同而得到截然不同的ASR。鲁棒性方面，仅添加良性框架而保持有害文本不变的包装器可使LLM-as-judge在57%-100%的情况下被翻转，其中单个拒绝前缀语句就解释了大量翻转（39%-88%）。专用分类器抵抗此类表面攻击（最多6.7%），但针对其开放权重的白盒GCG攻击在很小的优化预算下就翻转了70%的置信真阳性（21/30，95% CI 54%-86%）。双标注员审计确认攻击未破坏有害性：采样的80个翻转案例全部仍包含有害内容。由于报告ASR中来自LLM-as-judge的比例日益增长，许多ASR数字在平均情况下和受刻意压力下都不可靠。论文建议在论文中报告裁判在人工标注切片上的精确率和召回率，报告经裁判精确率校正的ASR，并包含对裁判的对抗性检查。代码已开源。

本文研究了大型语言模型（LLM）中知识编辑（Knowledge Editing, KE）方法的可靠性与潜在安全漏洞。KE 旨在无需昂贵重训练即可更新模型中的特定事实，但最新研究发现其效果存在严重局限性。作者从对抗性诱发（adversarial elicitation）的视角出发，通过精心设计的间接提示（indirect prompting）和对抗性攻击，系统性地测试了多种主流 KE 方法（如模型编辑、定位编辑等）在多种模型架构（如 GPT、LLaMA 等）上的表现。实验表明，编辑后的知识并未被真正擦除，而是隐藏在模型内部，仍能通过特定触发条件重新浮现。机制分析揭示，这些 KE 方法本质上不是覆盖原有知识，而是将其重新分布在模型的表示空间中，仅起到针对性抑制（targeted suppression）的作用，即降低输出原始事实的概率，但并未从模型中消除。此外，损失景观分析显示，编辑后的知识位于狭窄的各向异性区域（narrow anisotropic regions），对扰动高度敏感，因此极易被间接提示或对抗攻击所绕过。本文的研究证明了现有 KE 算法具有内在的可绕过性，并呼吁重新评估在 LLM 应用中部署事后更新的整体思路。该工作对 LLM 部署的安全性、隐私保护以及对抗鲁棒性具有重要启示。

该论文对 Anthropic 开发的两个前沿大语言模型（Fable 5 和 Opus 4.8）进行了系统性的红队测试，评估其对抗自动化越狱攻击的鲁棒性。研究使用 HackAgent 红队框架，生成了数十万次对抗性尝试，覆盖四个自动化越狱攻击家族（包括静态混淆和自适应迭代攻击），针对 7,826 个有害意图，涵盖十类危害分类（如歧视、暴力、非法行为等）。每个表面成功的攻击都经过三个独立法官模型的多数投票重新裁决。结果表明，两个模型能抵御大部分攻击，但残余攻击面比聚合指标所暗示的更大：自适应迭代攻击（尤其是树状攻击）主导了成功率，而静态混淆几乎被完全缓解。最强的树状攻击对 Opus 4.8 的总体意图成功率为 11.5%，而 Fable 5 最差情况仅为 6.1%（单数字）。然而，即使在这些加固配置下，两个模型仍分别产生了 1,620 和 702 个经面板确认的有害完成，涉及所有危害类别，且这些攻击可由攻击模型自动、低成本地在最初一两次优化步骤中完成，无需人类专家参与。论文的合理结论是：即使经过最充分测试的前沿模型，在持续的自动化攻击压力下仍然可以被可靠攻破。该研究强调了当前红队评估中聚合成功率的误导性，并呼吁开发更密集、更具迭代性的评估方法。适合 AI 安全研究人员、大模型开发团队及安全工程师阅读。

本文研究强化学习（RL）训练如何破坏基于梯度的对抗攻击。传统上，梯度攻击（如PGD、AutoAttack）利用神经网络的梯度信息高效生成对抗样本。作者假设RL训练（使用策略梯度目标和epsilon-greedy探索）可以改变模型梯度结构，使攻击者难以优化。在CIFAR-10、CIFAR-100和ImageNet-100数据集上，采用多种架构（如ResNet）进行系统实验，结果表明RL训练的分类器显著降低梯度攻击的成功率。机制分析通过损失景观可视化、静态和动态梯度指标以及预测熵揭示：RL充当隐式正则化器，迫使模型产生高度不稳定的梯度方向和较小的梯度幅度。这种组合使得每个PGD迭代步骤在方向和幅度上均不可靠，导致攻击在实用迭代预算内失败。进一步地，将RL与对抗训练结合（RL-adv）形成双层防御：RL在梯度层面削弱攻击信息，对抗训练在决策边界层面增强鲁棒性。RL-adv在梯度攻击、迁移攻击和查询攻击上均取得最高鲁棒性，显著优于标准对抗训练（SL-adv）。主要贡献包括：首次提出RL诱导的梯度破坏作为互补鲁棒机制；揭示梯度不稳定性和幅度减小是核心原因；验证RL-adv结合了两种不同层面的防御。适合对对抗鲁棒性、强化学习应用和安全防御感兴趣的研究者阅读。

本文系统性评估了机器学习驱动的网络入侵检测系统（NIDS）在面对对抗性攻击时的鲁棒性。尽管已有研究揭示了ML模型在特定场景下的脆弱性，但缺乏跨架构、跨攻击类别和攻击类型的系统比较，导致安全从业人员在选择模型时缺乏明确指导。作者选取了三种主流分类器架构——1D卷积神经网络（CNN）、长短期记忆网络（LSTM）和随机森林（RF）集成，并在ACI-IoT-2023数据集（包含超过120万样本，涵盖12种攻击类型）上进行实验。对抗攻击采用FGSM和PGD方法，在归一化特征空间施加梯度扰动，扰动预算从ε=0.01到ε=0.1。结果显示：随机森立基线准确率高达99.98%，但受到攻击时性能急剧下降，即使在最小扰动ε=0.01下也下降了73个百分点；CNN则展现出优雅退化特性，在ε=0.01时仍保持95.5%的准确率；LSTM性能介于两者之间。这一发现颠覆了“高基线准确率意味着高鲁棒性”的传统认知。作者建议在对抗性环境中部署基于CNN的NIDS，并针对不同场景给出了具体部署建议。

本文提出并形式化了超空间浓度（superspace concentration）作为一种量子资源，并通过焦点度量 F(ρ) = λ_max(ρ_super)（即约化超空间态的最大特征值）来量化量子系统将信息权重集中到扩展自由度空间中某个优先子空间的能力。作者围绕该度量建立了完整的资源理论框架，并通过GPU加速数值模拟验证了其性质。对于超空间维度 dS ∈ {2,4,8,16,32}，解析退相干预测被确认达到机器精度（1.11×10^{-16}）。在四种焦点非生成信道和六种系统配置下，对10,000个随机态的焦点单调性进行测试，零违规。焦点量子态在抵抗相干酉攻击时表现出比标准保真度预测显著更强的鲁棒性：在攻击强度 ε=0.302 时焦点仍保持在0.9以上，而保真度在 ε=0.174 时已低于0.9。进一步证明焦点度量与 U(dS)-不对称度量在操作上截然不同：在相干且定向攻击下不对称度保持近零且不提供鲁棒性信号，而焦点度量跟踪谱浓度并在 ε>0.3 前保持鲁棒。通过恒等式 F(|ψ_k⟩⟨ψ_k|) = P(marked) 明确建立了 Grover 算法与超空间浓度的联系，为 oracle 查询复杂度提供了资源理论解释。最后，首次数值刻画了焦点容量缺口 ΔF，识别出 log_2(dS) 标度律，并在乘积和关联噪声通道中得到确认。该工作为量子算法安全性分析提供了新视角，尤其适用于评估量子计算对抗攻击的鲁棒性。

本文提出了一种基于计算压力的对抗鲁棒性评估框架，用于衡量大型语言模型（LLM）在对抗性攻击下的实际安全性。传统的评估方法通常以固定查询预算下的攻击成功率（ASR）作为指标，忽略了不同攻击策略在计算开销上的巨大差异（可能相差数个数量级）。为解决这一问题，作者引入累积浮点运算次数（FLOPs）作为攻击成本的代理，提出了风险-计算曲线（risk-compute curves），将计算预算映射到攻击风险，并推导出两个总结指标来量化攻击成功所需的平均压力。在10个不同模型（涵盖3个模型系列、4个训练和对齐阶段）上，使用三种攻击策略（基于梯度的、迭代细化的、基于模板的）对两个越狱鲁棒性基准进行了评估。主要发现包括：（1）对齐训练在计算空间鲁棒性上表现出非单调效应；（2）增大模型规模能降低基于梯度的攻击有效性，但对成本更低的模板攻击影响有限；（3）基于梯度的攻击在代理模型上优化后可迁移到另一个目标模型，从而降低攻击者成本；（4）在单个模型内，不同危害类别的计算成本差异可达约5倍；（5）安全对齐的强化学习增加了总体成本，但使某些类别不成比例地更容易被攻击。作者开源了该框架以支持计算感知的风险评估。

本文针对AI驱动的恶意软件检测器面临的多种挑战（包括投毒攻击、逃避攻击和概念漂移）提出了一种统一的解决方案。作者指出这些挑战的一个根本原因是数据稀疏性，即某些特征值在数据集中出现的频率极低。为解决稀疏性问题，论文设计了新的压缩技术来缓解稀疏性，并提出了一种密度提升训练方法来持续填充稀疏区域。该方法被应用于PE、Android和PDF恶意软件数据集（如EMBER、SOREL-20M、DREBIN和Contagio）进行实验。结果表明，该方法不仅增强了模型对抗各种攻击的鲁棒性，还提升了检测性能和时间可持续性。例如，在EMBER数据集上，后门攻击成功率从99.99%降至23.71%，F1分数从99.301%升至99.488%；在SOREL-20M数据集上，可持续性指标AUT从92.850%提升至95.135%。该方法与现有防御技术互补，并在多个数据集上验证了其一致性。

本文针对大型语言模型（LLM）面临的越狱攻击（jailbreak attacks）问题，提出了一种新的检测方法——流形轨迹动力学（Manifold Trajectory Kinetics, MTK）。现有检测方法通常依赖固定的度量空间（如原始输入、梯度或隐藏特征），假设良性提示与越狱提示在该空间中线性可分。然而，这种假设在面对两类场景时失效：（1）伪恶意提示（pseudo-malicious prompts），即意图良性但包含安全相关关键词的提示；（2）自适应攻击（adaptive attacks），即明确针对检测器优化的攻击。为解决该问题，作者将视角从寻找通用度量空间转向分析底层数据流形的邻域结构。MTK将LLM视为一个将输入转化为输出的动力学系统，通过追踪提示（prompt）的邻域结构在各层间的演化来检测越狱。具体而言，良性提示在推理过程中始终与良性邻域保持接近，而越狱提示则表现出特征性轨迹：初始靠近恶意种子，随后策略性地向良性邻域移动以逃避拒绝机制。实验在四个LLM和十种越狱攻击上进行，结果显示MTK对两类失效模式均具有强鲁棒性：在伪恶意提示上，以良性提示5%假阳性率和伪恶意提示2%假阳性率实现95%真阳性率；在自适应攻击下保持85%真阳性率。此外，MTK在视觉语言模型的越狱检测中也表现出优越性能。

该论文针对大型语言模型（LLM）的对抗鲁棒性评估缺乏标准化基准的问题，提出了一种新的攻击方法——间接危害优化（Indirect Harm Optimization, IHO）。目前，LLM的越狱攻击评估存在诸多缺陷：攻击设计不完善会导致鲁棒性估计虚高，影响部署风险评估和防御比较。图像分类领域已有AutoAttack等标准化攻击，但LLM领域尚无类似方法，主要因为设计一个同时满足黑盒兼容、适用于任意防御管线、且高效的攻击极具挑战。IHO利用掩码扩散语言模型，通过迭代偏好优化来训练攻击者，仅需对目标模型进行黑盒访问。该方法无需修改即可作为针对个体行为的强自适应攻击，或作为高效的摊销策略迁移到未见的行文和未知目标模型，且无需微调。即使面对分层防御（如Circuit Breaker训练模型结合辅助检测器），IHO在不进行防御特定适配的情况下，攻击成功率也显著优于现有方法。论文将IHO定位为迈向标准化LLM越狱评估的实用步骤，有助于提升未来鲁棒性评估的可靠性。代码和模型已在GitHub和Hugging Face公开。

该论文聚焦于深度伪造图像检测器在对抗攻击下的鲁棒性问题。尽管近年来提升检测器对未见生成模型泛化能力的研究取得进展，但检测器仍易受对抗样本攻击。作者复现了Abdullah等人（IEEE SP 2024）对八种检测器的评估，并额外测试了七种最先进检测器，均发现攻击下性能显著下降。为此，论文提出一个不依赖对抗训练的统一框架，融合三种互补设计：1）基于离散余弦变换（DCT）的四阶矩池化，在频域建立高阶统计建模；2）从噪声残差中提取内容无关特征；3）通过分块语义破坏实现跨场景泛化。核心洞察是对抗攻击主要利用低阶统计和视觉语义，而高阶残差-频率特征（尤其是峰度）几乎不受约束。大量实验表明，该方法在六种不同架构的检测器上持续提升鲁棒性，在现有对抗基准测试中将召回率退化降低最多88.9%，并将最佳检测器（Yang等人，IEEE CVPR 2025）的攻击下准确率从81.9%提升至97.15%。该工作为提升深度伪造检测对抗鲁棒性提供了通用的、架构无关的解决思路。

该论文首次系统性地研究了具有推理能力的视觉-语言-动作（VLA）模型在自动驾驶场景下对现实输入扰动的鲁棒性。以往研究多假设推理与轨迹生成紧密耦合且鲁棒，但实际场景中存在各种文本输入噪声（如传感器错误、环境描述歧义等）。作者以NVIDIA最新提出的Alpamayo系列模型为代表性VLA框架，在黑盒设定下模拟了多种现实文本扰动，包括字符级错误、单词级替换、语义混淆等。实验采用闭环仿真环境（如CARLA），评估扰动对模型推理正确性和轨迹规划的影响。结果表明：攻击对推理环节的成功率高达89%，对最终轨迹操纵的成功率达72%，显著增加碰撞率并降低安全指标。为系统评估这种脆弱性，论文设计了推理感知评估框架，同时关注推理的语义一致性（如哪类指令被错误理解）和结构准确性（如动作序列的顺序错误），并引入安全中心度量（如最小安全距离违反次数）。此外，作者公开了一个基准测试集，涵盖不同类型的扰动与场景，用于标准化评估攻击与防御方法。该工作指出当前VLA模型缺乏对输入噪声的鲁棒性，亟需开发新的防御机制以确保L4级以上自动驾驶的安全性。

本文由Jaydip Sen撰写，发表于arXiv，属于cs.AI领域，主要探讨如何利用量子计算增强人工智能系统的对抗鲁棒性。文章首先回顾了人工智能在医疗、金融、自动驾驶等安全关键领域的成功应用，同时指出其深度神经网络容易受到对抗样本攻击的脆弱性——攻击者通过微小的输入扰动就能导致模型产生错误输出，这对系统的可靠性和可信度构成严重威胁。接着，文章系统性地介绍了对抗性机器学习的攻击类型（如快速梯度符号法、投影梯度下降等）和现有防御策略（如对抗训练、输入变换、鲁棒优化等），并分析了这些方法的局限性。然后，文章转向量子计算，以易懂的方式解释了量子比特、叠加、纠缠和量子干涉等核心原理，并介绍了量子机器学习的几种模型（如量子支持向量机、量子神经网络）。核心部分提出了量子增强对抗鲁棒性的概念框架，具体包括：1) 利用量子优化算法（如变分量子本征求解器）寻找更优的对抗训练平衡点；2) 采用量子特征映射将输入数据映射到高维希尔伯特空间，使样本在量子特征空间中更易分离且对小扰动不敏感；3) 设计混合量子-经典架构，其中经典神经网络处理初步特征提取，量子电路处理鲁棒性关键部分。文章还讨论了实际应用中的挑战，如当前量子硬件的噪声和退相干限制了大规模部署，以及未来研究方向，包括量子对抗样本生成、量子防御机制的可证明保证等。该文适合对AI安全、对抗性机器学习和量子计算交叉领域感兴趣的读者，为构建更安全的AI系统提供了丰富的理论参考。

本文提出一种名为 SAMark 的自锚定文本水印框架，旨在解决语义级文本水印在段落级改写攻击下鲁棒性不足的问题。传统语义水印以句子为基本单元，依赖于句子顺序，而段落级改写（如重排句子顺序、同义替换等）会全局破坏水印信号。SAMark 通过建立语义空间中与句子顺序无关的“自锚定”绿色区域，消除了水印对句子顺序的依赖。为提高可检测性，作者引入多通道双曲评分机制，利用双曲空间的几何特性放大水印信号并抑制弱对齐候选带来的噪声。此外，还提出一种结合硬过滤与软正则化的多样性感知过滤策略，超越简单的 n-gram 重复过滤，有效降低语义冗余。实验在多个数据集上采用典型段落级改写攻击（如句子重排、同义改写等），SAMark 在 1% 假阳性率下实现了最高 90.2% 的真阳性率，平均比最强基线方法提升超过 30%，同时保持与未加水印文本相当的生成本质量，打破了先前方法在鲁棒性与生成质量之间的权衡。该工作适用于 AI 生成文本的版权保护、溯源、防伪等场景，为抵御高级改写攻击提供了新思路。

本文研究了在时间概念漂移背景下，Android恶意软件检测模型的对抗鲁棒性如何随时间演变。研究团队收集了跨越十多年的Android应用数据集，从模拟器和真实设备执行中提取静态和动态特征表示，并将数据按年份切片。他们设计了三种部署协议模拟真实世界的学习场景：(1) 同年训练和测试；(2) 跨年部署但不更新模型；(3) 扩展窗口重训练，利用累积的历史数据。在多种分类器家族上，使用FGSM和SPSA在可行性约束下生成对抗样本。实验测量了干净性能、对抗准确率（AA）、攻击成功率（ASR），并引入了三个时间链接指标——RobustDrop、ΔASR和对抗放大因子（AAF）——来量化分布偏移与鲁棒性退化之间的关系。结果表明，时间分离会降低基于特征迁移的对抗鲁棒性。随着训练-测试时间差距增大，干净准确率和对抗准确率均下降，而攻击成功率在某些配置下（特别是FGSM扰动和静态特征下）增加。扩展窗口重训练可以缓解但不能完全消除在持续分布演化下的鲁棒性损失。这些发现表明，在评估智能检测系统在演化数据分布下的长期鲁棒性时，应考虑时间漂移，并突出了在长期对抗环境中建立漂移感知鲁棒性评估框架的必要性。

该论文提出了一种名为 LACMUS（Latent Concept Masking for Robustness）的通用鲁棒性增强方法，旨在提升深度神经网络（DNN）对对抗攻击和分布偏移的鲁棒性。作者认为，DNN 对对抗扰动和分布漂移的敏感性源于模型过度拟合数据集中的非共同概念（non-common concepts），导致依赖特定学习实例而增加脆弱性。LACMUS 通过将高维数据映射到潜在概念空间，识别并导航“非共同概念”的模式，然后应用概念掩蔽策略选择性遮蔽数据特征，迫使模型基于更广泛的信息进行决策，从而增强决策鲁棒性。该方法是一种攻击无关（attack-agnostic）的框架，采用概念级增强（concept-wise augmentation）来提升模型对多种对抗、语义和分布挑战的鲁棒性。论文贡献包括：开发了鲁棒性增强工具、提供了将数据映射到潜在概念空间的机制、识别概念级误分类模式的策略、以及利用潜在概念的新颖数据增强模块。实验在 MNIST、CIFAR-10、ImageNet 和 CelebA 数据集上进行，验证了 LACMUS 在增强模型弹性和泛化能力方面的有效性，即使训练数据稀缺时也有效。此外，论文向研究社区提供了增强后的数据集，以支持模型鲁棒性训练。

本文提出了一种名为 PhishSigma++ 的恶意邮件检测方法，旨在解决现有检测器过度依赖易变的文本特征、在对抗性文本操纵下性能急剧下降的问题。研究背景是随着 AI 生成内容（AIGC）的发展，攻击者具备了更丰富的语言能力和逃避技术。核心洞察是：即使攻击者修改表面文本，功能意图仍会约束实体间的关系，这些关系是相对不变的信号。方法上，PhishSigma++ 借鉴了 Sigma 规则的思想，但将其推广到基于实体关系的检测。它从 RFC822 邮件中提取 40 种类型的实体类，计算 5 种跨类型关系以构建类型化邮件图，并使用粒子群优化（PSO）选择稀疏判别掩码，支持分类和类型级证据总结。在 29,142 条消息上，PhishSigma++ 在干净数据上达到 0.9675 F1 分数，在非自适应 Good Word 填充攻击（rho=0.8）下保持 0.9579 F1，而基于 token 的贝叶斯过滤器崩溃至 0.0243，DistilBERT 钓鱼检查点降至 0.7284。相比传统 Sigma 规则，PhishSigma++ 提供了更高的检测率、更广泛的 relational invariance 覆盖和数据驱动的特征选择。此外，阈值化的类型关系分数编码了 Sigma 风格字段条件的有效片段，将手工规则逻辑和学习到的关系掩码统一到单邮件框架中。

本文提出了一种名为“Innocent Until Proven Guilty (IUPG)”的新型深度学习训练框架，旨在解决传统分类器（使用分类交叉熵损失）在真实世界环境中面临的三个关键问题：对分布外输入给出过度自信的后验概率、对对抗性噪声的敏感性以及因分布偏移导致的性能下降。作者认为这些问题的核心缺陷是模型无法有效处理输入中的分布外内容。IUPG框架通过在输入空间中原型化训练数据簇或类别，并独特地利用噪声和固有随机类来发现所建模类别的噪声鲁棒、唯一可识别的特征。在评估中，作者使用了学术计算机视觉数据集以及用于恶意软件分类的真实世界JavaScript和URL数据集。实验结果表明，与相同拓扑结构、使用分类交叉熵训练的基线网络相比，IUPG框架在测试数据上取得了良好的分类性能，减少了因近期偏差导致的性能损失，降低了噪声样本上的误报率，并在多种基于噪声的攻击模拟中降低了脆弱性。据作者所知，这是首个展示在恶意软件黑盒附加攻击上显著降低脆弱性的工作。通过应用快速梯度符号法（FGSM），作者展示了将IUPG与现有对抗学习技术结合的潜力，并取得了显著更优的性能。该框架具有通用性，可用于任何原本可以使用分类交叉熵训练的网络拓扑。

该论文针对住宅代理检测问题，提出了一种超越传统RTT（往返时间）特征的对抗鲁棒两层级检测架构。住宅代理常被用于隐匿恶意流量，传统基于RTT的检测方法易受对抗性攻击。本文设计了两层级检测系统：第一层基于轻量级特征快速筛选可疑流量，第二层采用更鲁棒的深度模型进行精确分类，并引入对抗训练增强对逃避攻击的抵抗力。实验表明，该方法在保持高检测率的同时，显著提升了对抗样本下的鲁棒性。研究为代理检测领域提供了新的思路，适合安全运维人员及入侵检测研究者参考。