本论文研究算法合谋检测的根本局限性。作者提出一种新的合谋机制：多个出价代理仅通过未解释竞价分量的联合分布进行耦合，而每个代理的自身出价边际分布保持与竞争性法则完全一致。在这种设定下，任何仅以单个代理价格或出价历史作为输入的检测方法，其统计功效恰好等于误报率，且无论样本量如何增加都无法改善。这意味着已发表的检测方法论在结构上是盲目的，而非功效不足。论文在三个层面验证了该机制的现实存在性：第一，在真实语言模型代理实验中，来自19个独立开发者的20个模型，每个模型使用3种部署提示，审计员可见所有订单特征且经样本外拟合时，同一模型两次部署之间的残差相关性为+0.053，而跨模型间为+0.0001，按开发者聚类的95%置信区间为[0.030, 0.078]；第二，耦合强度随采样温度升高而单调下降（p=0.002），表明部署参数可成为候选缓解措施；第三，在24天以太坊区块构建拍卖数据（包含39个竞标者的77684次出价）中，诚实竞标者对之间的天然依赖程度如此之高，以至于在5%误报率下进行筛查所需的阈值下限在+0.50至+0.81之间，这比族级抽样阈值高出20到32倍，且不随审计窗口增大而降低。由于合法多身份运营和合谋在此类行为上不可区分，论文提出可操作的监管目标不是检测行为，而是进行身份计数：将40个竞价身份解析为23个运营者会使赫芬达尔指数提高247.5%，再加入来自公开出价流的行为聚类后可达324.5%。该研究为算法合谋检测提供了根本性的理论否定结果，并对反垄断审计和AI代理监管有重要启示。

该论文研究了工具增强型大语言模型（LLM）Agent在面对静默基础设施故障时的行为，特别是当外部工具返回HTTP 200响应但payload为空、null或畸形时。现有评估框架主要关注能力指标或显式工具崩溃，忽略了这类静默失败。作者提出了一种轻量级黑盒审计框架，该框架在12个模拟生产环境的工具桩中注入了四种静默失败模式，并将Agent响应分为三类：诚实投降（HSR：承认无法获取数据）、捏造（FAR：凭空编造结果）和不忠安全拒绝（USR：虚构安全或隐私理由拒绝执行）。在零温度、中性系统提示下对两个前沿模型和两个开源模型进行评估，发现捏造响应占主导（56.6%），Agent将空payload视为真实数据并返回编造结果；而基线中USR几乎不存在（0.25%）。关键发现来自消融实验：将系统提示替换为包含安全语言（如"优先考虑用户隐私和数据安全"）的标准提示后，USR频率提升了15.6倍（从0.25%增至3.95%；95%置信区间：2.2%-6.4%；Fisher精确检验p<0.001）。这表明USR是一种潜在行为，当安全词汇激活模型对政策理由的依赖时，会在工具静默失败时触发。敏感工具（如获取医疗记录、检索合同、获取用户资料）占据了多数USR实例。论文还提出了一种payload-响应不对齐启发式方法用于生产级检测，并讨论了安全导向部署的治理意义。

该论文针对举报人保护问题，提出了一种基于差分隐私的审计选择机制，旨在防止组织通过观察审计选择来识别举报人。现有方案缺乏正式隐私保证，而差分隐私机制也未直接针对这一自然威胁模型。作者首先形式化了强敌手威胁模型下的每报告（per-report）(0, δ)-差分隐私，并证明随机响应方法在任意时间跨度内不可能比均匀随机审计性能提升超过δ。接着，他们提出了一种通用机制，将隐私审计归约到隐私持续计数问题：任何(0, δ)-差分隐私的持续计数器均可通过后处理接入，审计记录继承相同的每报告保证。实例化该归约后，使用最新持续计数工作，在T次审计决策的时间跨度内噪声规模为O(√log T)。效用定理表明，当最受报告组织与第二名之间的噪声报告差距增长快于√log T时，选择误差消失。模拟结果显示，该方法相较于随机响应有显著改进。该工作为举报人保护提供了可验证的隐私保证，适合安全隐私研究人员和系统设计者阅读。

本文针对机器学习模型遗忘算法是否真正消除了训练数据影响的问题，提出了一种实用的审计方法。研究者设计了一个基于成员推断攻击的审计器，通过计算与数据相关的遗忘参数ε的下界，来评估遗忘算法是否达到其声称的隐私保证。在CIFAR-100和Shakespeare文本数据集上测试了多种遗忘算法，发现具有严格理论保证的算法（如模型剪枝、回退删除）能实现非常小的ε界，与它们的遗忘保证一致；而经验性方法（如基于Hessian的遗忘、交替上升-下降、遗忘集上升、保留集微调）则显示出较大的ε界，表明遗忘效果不佳。该审计器通过假设检验框架，为经验性地证伪遗忘声明提供了实用工具。这项工作对隐私保护机器学习领域具有重要价值，为第三方审计遗忘算法提供了可操作的方法。

该论文针对大规模语言模型（LLM）对话记录在数字取证和合规审计中日益重要的应用背景，指出传统的线性防篡改日志无法捕捉LLM对话内在的非线性演化特性，例如基于历史查询的重新提示、回复重生成、会话删除、多设备并发以及选择性分享。为解决这一问题，论文提出了一种可验证的对话记录系统（Verifiable Conversation Transcript, VCT），将复杂的非线性LLM语义操作抽象为账户级别的认证状态转换。VCT构建了一个三层密码学数据结构：原子问答对形成分支级哈希链，分支尾部聚合为会话级Merkle根，所有会话根进一步聚合并由用户和服务器的联合签名锚定为账户级Merkle根。VCT引入了一种带有删除屏障的序列化状态转换协议，以消除删除与修改之间的冲突，并辅以确定性状态合并协议，以保留并发的非删除增量操作。此外，增量否认检查和八卦协议使异步用户设备能够自主检测恶意服务器导致的视图分叉，并生成不可抵赖的取证证据。安全分析表明，在标准密码学假设下，VCT保证了账户级对话记录的完整性、一致性、可验证共享性和不可否认性。在Python原型上的评估显示，核心操作的密码学延迟在亚毫秒到低毫秒范围内；在21KB文本的实际配置下，安全元数据仅引入0.9%的存储开销，验证了VCT在高风险取证审查场景下部署于生产级LLM平台的可行性。

该论文研究了从有限公开记录中审计组合随机性的问题。公共随机性是一种安全原语，但其实际行为往往只能通过有限的记录片段观察。作者针对从 m 个标签中无放回均匀抽取 k 个子集（共 C(m,k) 种可能）这一过程，在精确均匀无放回零假设下进行黑盒审计。传统的均匀性检验需要 Θ(√(C(m,k))/ε²) 个样本，这是仅凭记录认证的信息论极限。为应对结构化偏差，作者设计了与生成器无关的审计方法，包括基于边际卡方、配对最大值、序列重叠、锚定框差异以及低维零假设/最小生成树几何的检验，所有检验均在精确组合零假设下校准。同时，作者证明了有限样本保证，其样本复杂度与审计的见证数量呈对数关系，而非全支撑集大小。通过 GPU 蒙特卡洛实验（每个条件最多 30 万零假设和 6 万备择假设复制），发现边际保持偏差可逃逸一维检验，但通过联合几何仍可检测。例如，在 n=1,956 时，强度 0.04 的块簇备择假设下，配对最大值的检验功效为 0.638，而边际卡方仅为 0.051；强度 0.08 的带排斥备择假设下，锚定框的检验功效为 0.741。这些结果刻画了哪些结构化偏差能被有限公共记录检测到，以及所需样本量。

本文针对隐私保护机器学习（PPML）与机器学习审计这两个此前大多独立研究的领域进行了交叉探索。随着PPML技术（如安全多方计算、同态加密、差分隐私等）的发展，使得对高度敏感数据（例如医疗、金融记录）进行机器学习分析成为可能，然而严格的隐私法规（如GDPR）要求对数据使用做出解释和问责，因此对PPML系统进行审计的需求日益增长。现有PPML方案缺乏透明度，难以验证计算中使用的输入数据是否与用户承诺一致，且审计过程本身可能泄露隐私。为此，作者提出了Arc——一个用于审计隐私保护机器学习的MPC（安全多方计算）框架。Arc的核心是一个新的高效协议，能够在大规模下通过简洁的承诺（succinct commitments）验证MPC输入的一致性。具体而言，该协议允许审计方在不获取原始数据的前提下，确认每个参与方提供的输入与其先前提交的承诺匹配，从而确保数据完整性。作者将该一致性协议与基于哈希和基于同态承诺的方法进行了性能对比，实验表明，Arc在速度上最高可快10^4倍，在通信简洁性上最高可优10^6倍。该工作为构建可问责、可审计的PPML系统迈出了重要一步，适用于需要既保护隐私又符合监管要求的场景。

本文研究了对比语言-图像预训练（CLIP）模型在不同下游部署接口（如特征提取、检索、重排序和选择）中后门暴露的一致性问题。现有CLIP后门攻击通常在单一原生任务上验证，但模型复用时，相同后门在不同接口下的暴露程度未知：可能保持、减弱或失效。作者提出DIFE（部署接口足迹评估）框架，通过指定每个接口的组件读出、触发通道、目标事件、参考条件和指标，实现跨接口的可比评估。DIFE还引入了有效足迹诊断，识别承载暴露的可复用CLIP组件或组件组合，并解释风险迁移。使用DIFE审计复现的CLIP后门发现：原生成功并非检查点级别的风险证书；暴露遵循组件足迹；文本侧中毒不会导致文本编码器控制；某些耦合攻击仍受机制限制。审计还揭示了现有CLIP后门中的关键缺口：文本编码器本身可成为对抗行为的可复用载体。为此，作者提出BadTextTower攻击，能够在文本条件检索、重排序和选择中产生强暴露，同时保持视觉复用几乎干净。实验证明了框架的有效性和攻击的威胁性。

本文研究动态有序集合（支持插入、删除、成员查询、前驱后继、最小值最大值等操作）的回顾性审计问题。集合由不可信方维护，被动审计者（auditor）仅需存储 5 个机器字和 1 个标志位，并在每次操作时接收一个常量大小的公开 tally 记录。审计阶段，维护者披露声称的活跃空区间（live vacant intervals）。方法的核心是利用最大间隙（maximal gaps）表示顺序语义：间隙有出生、引用、消费、时间戳等状态，同时两个隐藏域累加器分别对出生账本和消费账本进行相等性测试。诚实执行以概率 1 被接受；若包含 T 次操作的会话中存在错误回答，接受概率至多为 (4T+1)/p（p 为秘密域元素大小，对计算能力无限制的维护者有效）。论文证明确定性或可见硬币审计器需要线性状态，并发现移除时间戳规则会导致精确重放伪造。实现方面，采用叶导向的 (2,4)-树作为维护者数据结构，每个操作最坏情况 O(log n) 时间，每个元素额外存储一个字，且再平衡事件在 m 次更新上具有可审计的 O(m) 包络。检查点审计可通过加法误差组合。本文适合研究可验证计算、数据完整性审计及信任最小化系统的研究人员阅读。

该论文提出了 GiANT 自动化框架，旨在解决智能合约审计数据集构建中的人工可扩展性瓶颈以及数据粒度和多样性不足的问题。GiANT 采用分治策略结合思维链技术，从 Code4rena 平台上的真实审计报告中提取结构化漏洞信息，并通过 LLM 作为裁判机制进行严格的质量保证。研究者在 388 份真实审计报告上运行 GiANT，生成了包含 7,711 个漏洞发现、覆盖五个严重级别的 GiAnt Corpus 数据集。手动评估显示信息提取可靠性极高，平均质量得分 4.76/5，评分者间一致性 κ=0.88。进一步，他们使用该数据集对四个最先进的 LLM 在漏洞检测、代码摘要、缓解建议和自动 Gas 优化任务上进行基准测试，建立了性能基线，为自动化智能合约审计的未来研究提供了宝贵的数据基础。

该论文提出了一种轻量级的智能合约安全审计框架，利用经过蒸馏和聚合的开放源码大语言模型（LLM）来应对现有基于LLM的审计方法存在的计算开销大、缺乏严重性评估以及可操作修复建议等问题。框架将审计任务解耦为四个独立模块：漏洞检测、漏洞解释、严重性分类和修复建议。通过采用秩稳定低秩适配器（rsLoRA）、知识蒸馏以及定制的链式验证（CoVe）聚合策略，模型在保持高精度的同时显著降低了参数量（0.6B-4B参数）。实验表明，该轻量级流水线在漏洞检测上达到98.25%的准确率，在生成解释任务中对齐得分为0.4375，优于参数量7B-34B的密集编码器LLM。消融实验验证了解耦审计流程相比统一提示的优势，并发现了新颖的严重性中心偏差，为未来LLM辅助审计研究建立了基准。

本文研究了大型语言模型（LLM）商业服务中按token计费模式下的审计漏洞。当前主流计费方式是基于token数量收费，但服务提供商出于保护知识产权、防御越狱攻击和用户隐私等理由，隐藏了模型、分词器及执行细节，使得用户难以独立验证计费token的真实性。作者将这种审计困境定义为“信任悖论”：任何审计都必须信任提供商提供的某些证据，而这些证据恰恰是提供商最有动机篡改的部分。论文系统分析了三种现有的token审计框架，并证明具备普通商业能力（如典型API提供商）的攻击者可以系统地夸大计费token数。在最宽松的设置下（用户无法看到推理过程），隐藏推理阶段的token使用量平均可被夸大1469%，将原本100美元的账单变成约1569美元。即使允许用户查看完整推理字符串，仅利用分词歧义性仍可在检测阈值以下实现50.85%的超报。研究表明，问题不在于某个具体的审计器，而在于所有依赖被审计方提供证据的审计方案。恢复诚实计费需要将报告token与提供商无法控制的证据绑定，例如可信执行认证、加密推理证明或第三方重执行。本文对云安全、LLM服务计费透明度以及可审计性领域具有重要研究价值，适合安全审计研究者、云服务提供商及依赖LLM API的企业关注。

本文研究差分隐私（DP）的精细变体——f-差分隐私（f-DP）的统计评估与审计方法。f-DP通过一个函数f描述隐私损失，相较于标准ε-DP具有更紧的组合性质，但实际验证机制的隐私保证仍具挑战，尤其在黑盒场景下。现有f-DP审计方法通常需要预知算法内部结构，限制了实用性。本文提出全新的黑盒方法，无需任何先验知识即可估计f-DP的完整权衡曲线，并给出理论收敛保证。该方法融合非参数估计与最优分类理论，可统计确定性地检测f-DP违规。作者在多种DP机制（如拉普拉斯、高斯、指数机制等）上验证了估计与审计程序的有效性。主要贡献包括：1）首个通用的黑盒f-DP估计器，输出完整曲线；2）高效的审计方法，以统计置信度检测违规；3）理论收敛证明与实验验证。该工作适用于隐私保护机器学习、联邦学习、数据发布等场景，对隐私工程师、算法审计师及DP研究者具有参考价值。文中未提供具体攻击代码或绕过方法，仅专注于隐私评估技术。

本文展示了一种针对内省适配器（Introspection Adapters）的攻击方法。内省适配器是一种用于审计大型语言模型内部状态的机制，旨在检测模型是否遵循安全约束。研究者发现，由于内省适配器依赖的对称性假设（例如，模型内部状态与审计信号之间的对称关系），攻击者可以通过破坏这种对称性来绕过审计。具体而言，攻击者可以微调模型参数或插入对抗性扰动，使得适配器输出的审计信号与模型实际行为解耦，从而在不触发告警的情况下执行有害操作。实验证明了该攻击的有效性，并揭示了当前审计范式中的根本缺陷。本文适合对AI安全、模型审计和对抗性攻击感兴趣的研究人员阅读。

本文是一篇系统化知识（SoK）论文，聚焦于机器学习系统中数据集版权的审计问题。随着ML模型规模增大，训练数据需求激增，但未经授权的数据使用（如在线艺术作品或人脸图像）引发了严重的侵权与滥用问题。为应对此挑战，研究者提出了多种审计方法，但现有方案在审计假设和能力上差异显著，且鲁棒性评估往往仅覆盖ML流水线的部分环节，难以反映真实世界应用中的表现。本文从实际部署视角出发，系统梳理了数据集版权审计研究，将其分为两大类：侵入式方法（需修改原始数据集）和非侵入式方法（无需修改数据集）。侵入式方法细分为多种水印注入选项，非侵入式方法则利用不同的指纹技术。论文提供了详细的参考表格，总结了关键点，并指出了当前文献中未解决的问题。最后，结合ML系统流水线并分析先前研究，强调了使审计工具更适用于真实版权保护需求的未来方向。本文有助于安全从业者理解现有审计方法的优劣与适用场景。