该论文关注大语言模型（LLM）及其 Agent 在代用户获取外部信息时衍生出的新型数据外泄风险。作者指出，现有研究主要聚焦两类威胁：提示注入，以及机密数据被发送给聊天机器人服务商；业界也提出了输入结构化、本地部署模型等缓解手段。但论文强调，即便采用本地 LLM，模型本身仍可能成为把机密数据外送给第三方的通道。为此作者提出并验证了名为 LLMLeak 的攻击向量：一个在本机运行、自身不具备直接联网能力的恶意软件组件，可以“借用”LLM 的联网能力建立隐蔽信道。其思路是把敏感信息编码进一个 URL，并以“完成某项正常任务（例如迁移某个软件库）需要参考该网址内容”为掩护，诱导 LLM 主动抓取该链接；当 LLM 经其网页获取工具访问该 URL 时，攻击者控制的 DNS 服务器或 Web 服务器即可收到被编码的机密数据。作者强调这一路径难以被现有防护覆盖：直接要求 LLM 生成发送数据的代码通常容易被检出，相关网络库在沙箱中往往也被限制，而 LLMLeak 只依赖模型自身合法的网页抓取工具。作者在 11 个开放参数模型上进行大规模评测，报告 79.7% 的攻击成功率，并在真实聊天机器人上开展案例研究，说明该风险在真实部署环境中具有现实相关性。整体上，论文的贡献在于揭示“合法工具滥用”这一被忽视的外泄面，并量化其在主流模型上的可行性，属于面向 LLM/Agent 安全与隐私的设计与评测类研究。

该论文研究的是网络协议隐蔽信道，即利用协议本身的合法字段进行数据外泄与命令控制（C2）通信。作者把目标锁定在最普及的传输层安全协议 TLS 上，具体聚焦于握手阶段的 Client Hello（CHLO）报文：这些报文由大量可枚举、可组合的密码学信息元素构成（例如扩展列表、扩展排列顺序、密码套件列表、各类参数配置等），其组合数量极大，天然具备承载隐蔽信息的容量。作者提出的 Helol 隧道，核心思路是把待传数据编码进 CHLO 中这些信息元素的选择与排列方式里，而不是新增任何非标准字段，从而在不破坏 TLS 协议协商结果的前提下形成一条隐蔽信道。 论文的关键洞察在于两个近期趋势的叠加效应。第一是「反僵化」（anti-ossification）合规要求：为保持 TLS 可扩展性，标准与合规实践鼓励中间盒和下一代防火墙（NGFW）在转发时保留客户端 CHLO 的参数配置，而不再像过去那样为了兼容性对报文做规范化/重写——这恰恰消除了原本会破坏隐蔽编码的中间设备干扰。第二是隐私保护驱动的客户端随机化：主流互联网应用为抵抗第三方网络实体的 TLS 指纹识别（fingerprinting），主动在会话之间变化其 CHLO 参数配置，使「同一客户端反复出现不同 CHLO 形态」成为常态，从而为隐蔽信道提供了合理的掩护。作者据此论证 Helol 隧道能够规避具备交互式代理与完整威胁防护能力的 NGFW 检测。 实验方面，作者使用真实流量抓包和公开的 TLS 指纹数据集，将 Helol 隧道的有效性（容量、抗检测性等指标）与现有的同类 TLS 隐蔽信道方案进行了数值化对比，结果显示其表现优于当前最先进方法。论文的贡献可归纳为：识别出 TLS 反僵化与隐私随机化这两项正当需求所带来的新型隐蔽信道攻击面；提出基于 CHLO 信息元素排列的隐蔽编码方法；并给出面向真实检测环境与公开指纹数据的定量评估。适合网络安全研究者、流量检测/NDR 与 NGFW 产品研发人员，以及负责出站流量监控与数据防泄漏的安全工程师阅读。

该论文揭示了一种针对大语言模型（LLM）部署环境的新型隐蔽信道：在受限或气隙（air-gapped）网络中，运行时组件可被攻陷并滥用。由于隐私敏感机构常需将模型中间激活（如残差流）作为诊断产物导出到外部，攻击者可在推理过程中通过被篡改的运行时钩子（runtime hook），将敏感消息编码为码字并注入中间残差流。离线观察者仅用一个简单的线性解码器即可恢复信息。该攻击的关键特性是：无需重新训练模型、无需修改权重、无需攻击者控制的外发通道、也无需控制记录或传输进程，因此绕过传统网络出口监控。为维持可恢复性，注入强度依据局部残差范数进行缩放，采用“信号-残差范数比”来控制信噪比。作者在来自 7 个架构家族的 11 个模型上评测，其中 9 个模型的信息恢复率达 91%–100%，同时 KL 散度仅为 0.001–0.007（激活分布近乎不变）；所评估的激活级检测器 AUC 最高仅 0.56，接近随机猜测；测试的事后防御也无法可靠消除该信道。结论是：一个符合 schema 的激活工件可以在表面上完全合法，却携带不允许跨越信任边界的信息。

该论文研究大语言模型（LLM）驱动的智能体在看似正常的对话中隐藏信息传输（隐写/隐蔽信道）的问题。作者指出，现有 LLM 隐写方案大多是白盒的：收发双方必须共享载体（cover）统计信息，通常意味着要能访问模型权重与提示词，部署门槛高；已有的黑盒方案虽只要求接收方拿到生成文本，却依赖固定长度、开环的水印式方法，在变长 token 生成场景下解码错误率很高。论文把黑盒 LLM 隐写重新建模为一个带因果、无噪反馈的序贯通信问题：每个已生成的 token 收发双方都能观测到，并可用于指导后续嵌入，这在信息论上等价于带反馈的编码信道。基于该视角，作者提出 BAM（Burnashev Adaptive Posterior Matching），一种把后验匹配（posterior matching）与“解码—确认”阶段结合的反馈编码方案：发送方按后验分布自适应地选择 token，接收方在过程中解码并进行确认，从而在采样随机性造成的“噪声”下逼近反馈容量。安全性方面，论文给出了密码学归约证明，说明方案在相应假设下满足不可区分性。实验上，在三个开放权重模型上，8 bit 载荷、约 50 个 token、1000 次试验条件下，经验消息错误率仅 0-0.1%，而最强黑盒基线在相近长度下为 10-17%。作者进一步展示了基于该算法构建端到端隐蔽通信协议的可行性，可在多种对话场景中保持较高通信速率。适合关注 LLM 智能体安全、隐蔽信道、水印与信息隐藏的研究人员与防御工程师阅读。

该论文研究的是大语言模型越狱攻击中的一个特殊分支——任意密码（arbitrary cipher）或隐蔽通信攻击。此前的相关工作表明，攻击者可以针对商业模型的微调 API 下手：用大量经过某种自定义加密方案编码的有害问题与回答构造语料，对目标模型进行微调，使模型学会该加密方案，之后模型便能以密文形式接收有害请求并输出被加密的有害内容，从而绕过安全对齐。本文的核心发现是：新一代前沿模型已经不再需要微调这一前提。作者证明，仅通过提示（prompting），并在必要时借助上下文学习（in-context learning），模型即可自行掌握基于密码的通信能力——即在对话上下文中临时学会一套符号到语义的映射，并用它进行输入输出。更关键的是，一旦通信发生在模型临时学会的密码之上，原有的安全对齐会被显著削弱甚至完全失效：模型愿意生成在明文语境下会拒绝的有害内容。作者将这一现象定位为针对商业黑盒大语言模型的一种新型攻击向量，并报告在 Anthropic、Google 与 OpenAI 开发的前沿模型上均取得了成功的越狱效果。论文还指出，这类攻击之所以能绕过商业厂商的有害性分类器，是因为有害内容以密文形式存在，在分类器看来只是无意义的乱码或随机文本，语义层面的安全检测完全失效。研究的贡献可以概括为三点：一是证伪了“密码式越狱必须依赖微调”这一隐含假设，把攻击门槛从需要模型训练权限降低到只需普通推理接口；二是揭示了安全对齐在分布外表示（密文）下并不具备迁移性，说明现有对齐更多绑定在自然语言表层而非深层意图；三是对多家主流厂商的黑盒模型完成了实证验证，具有较强的现实意义。适合关注 LLM 安全对齐、越狱与红队评估、模型滥用检测的研究人员与安全工程师阅读。

该论文研究了多个 TCP/IP 协议栈实现中协议头字段的生成过程，发现这些字段会泄露关于全局协议状态的信息，并基于此构造了新的隐蔽信道。以往的工作通常假定主机未被防火墙保护，而本研究针对位于防火墙网络（包括源地址验证 SAV）内部的常见主机场景，提出了非破坏性的攻击方法：在数据外传场景中，非破坏性使得攻击更隐蔽、持续时间更长；在主机别名解析等应用中，确保伦理合规。研究重点覆盖 ICMP 和 UDP：ICMP 常被防火墙放行，UDP 在 HTTP/3 和 QUIC 推动下预计占据更大互联网流量份额，同时论文也对 TCP 给出了结果。核心贡献在于揭示了一种新的信息泄露面——通过远程观察和修改系统全局状态字段实现隐蔽通信，不依赖典型破坏性载荷。适合防火墙设计者、协议栈实现者、蓝队与安全研究员阅读，以理解协议状态信息如何成为隐蔽信道的载体。

本文提出了一种名为 SkillWatermark 的新型攻击方法，针对大语言模型（LLM）智能体的技能模块。LLM 智能体的技能（skill）被广泛部署在各种应用场景中，但作者观察到，这些技能在执行过程中会产生特定的流量模式。基于此，他们设计了一条流水线，通过向原始技能描述中插入精心设计的提示约束条件（称为水印），使得被动网络攻击者能够在多轮对话的可见流量中建立一个隐蔽信道，从而编码并传输用户的隐私信息。具体而言，水印被嵌入到技能描述中，用户原始提示中的关键信息会被这些水印触发，进而产生可观察的流量编码。攻击者只需解码这些流量模式即可恢复被编码的信息。作者强调，这种修改是“良性”的——它不直接窃取任何私有数据，也不执行任何恶意指令，因此能够绕过现有基于 LLM 的安全审计工具。大量实验表明，所提出的水印能够产生高度一致且可区分的流量模式，并且转换后的技能能够通过现有安全审计。该研究揭示了生成特定流量模式可被利用为一种新型攻击面，并为未来的安全加固提供了重要见解。适合关注 LLM 智能体安全、隐蔽信道、流量分析和 AI 安全审计的研究人员阅读。

该论文研究了一种在隔离的浏览器实例（如不同标签页或不同浏览器进程）之间建立隐蔽信道的实用方法。现代浏览器和Web平台通常实施严格的安全隔离（如进程沙箱、站点隔离），以防止恶意网页直接访问其他页面的数据。然而，论文发现通过共享的GPU资源仍然存在泄露信息的可能性。核心思想是利用GPU命令队列的竞争（access contention）作为侧信道：当一个进程向GPU提交命令时，其执行时间会受到其他进程并发负载的影响。通过测量自身命令完成时间的变化，可以推断对方的行为，从而以编码方式传输比特信息。论文可能提出了一种具体的编码和同步方案，在无需任何特殊权限或浏览器漏洞的情况下，实现跨隔离边界的可靠、低误码率的数据传输。实验部分可能展示了在主流浏览器和真实场景下的可行性，测量了信道容量和稳定性，并讨论了可能的缓解措施。该研究的贡献在于揭示了一种新的隐蔽信道向量，挑战了浏览器隔离模型的有效性，为防御者提供了新的检测和防御思路。适合浏览器安全研究者、沙箱设计者以及关注隔离边界的云安全工程师阅读。

研究者提出了一种基于持久存储 fsync 系统调用的新型隐蔽信道 Sync+Sync。此前已有利用 CPU 缓存和主存构建隐蔽信道的研究，本文则将目光转向内存层次更底层的持久存储。大多数程序会将中间或最终结果以文件形式保存，并可能调用 fsync 将文件同步持久化到存储设备。定量研究发现，即使两个程序不共享任何数据，若同时调用 fsync，其中一方经历的响应时间会显著变长。进一步分析表明，并发 fsync 调用在存储栈的多个层级发生资源争抢，包括共享软件结构（如 Ext4 日志）和硬件资源（如磁盘 I/O 调度队列）。基于此，作者构建了名为 Sync+Sync 的隐蔽信道。在普通固态硬盘上，Sync+Sync 能够以约 0.40% 的错误率实现每秒 20,000 比特的传输带宽，并支持跨磁盘分区、跨文件系统、跨容器、跨虚拟机甚至跨磁盘驱动器的工作方式，无需程序间共享数据。作者还利用 Sync+Sync 发起侧信道攻击，能够精确检测目标数据库的操作（如插入/更新和 B-Tree 节点分裂）。此外，通过检测和分析应用的 fsync 调用频率及刷新数据量，Sync+Sync 可以高精度地区分不同应用程序和网站。这些攻击能力可支持更细粒度的信息泄露。该研究对存储堆栈安全性、云环境隔离机制及系统侧信道防护提出了新的挑战，适合存储系统研究员、安全分析师和云基础设施安全团队阅读。

该论文研究浏览器中一类未被现有防御机制缓解的隐蔽信道攻击，作者将其命名为“pool-party”攻击。这类攻击通过操纵浏览器中有限但未分区（unpartitioned）的资源池来创建跨站点的隐蔽信道。虽然之前已有类似攻击的报道，但本文首次系统性地证明这类攻击比以往认知的更普遍、更易利用，并且利用方式更多样。在真实条件下，这些隐蔽信道具有足够的带宽来跨站点传递 Cookie 和标识符。作者在所有主流浏览器（Chrome、Edge、Firefox、Tor Browser）中均发现了 pool-party 攻击，并展示了其作为跨站点跟踪技术的实用性：在 Chrome 和 Edge 中攻击仅需 0.6 秒，在 Firefox 和 Tor Browser 中约需 7 秒。论文的主要贡献包括：(1) 描述了利用浏览器应用层资源池限制的 pool-party 隐蔽信道攻击；(2) 证明该类攻击在所有主流浏览器中均可实际用于跟踪用户，并提供了开源实现，通过代表性网络爬取评估了其效果；(3) 发现基于 Gecko 引擎的浏览器（包括 Tor Browser）中，pool-party 攻击还可用于跨配置文件跟踪（例如，将正常浏览和隐私浏览会话中的用户行为关联起来）；(4) 讨论了可能的缓解策略和防御方案。本文适合浏览器安全研究人员、隐私保护工具开发者以及关注 Web 跟踪防御的工程师阅读。

该论文揭示了操作系统文件系统实现中的新型侧信道和隐蔽信道攻击，突破了进程、容器等隔离机制。核心发现是：现代操作系统在执行任何同步操作（如syncfs）时，会刷新所有I/O缓冲区，即使这些缓冲区属于不同的隔离域。攻击者通过测量syncfs调用的延迟，可以推断受害程序的I/O行为。作者在Linux和Windows原生文件系统上实现了基于syncfs的隐蔽信道攻击，最高带宽分别达到5 Kbps（误码率0.15%）和7.6 Kbps（误码率1.9%）。此外，还构建了多种侧信道攻击：在Linux上针对网站和视频的指纹攻击（利用临时缓冲文件的写入模式），以及在Android设备上针对应用程序启动时写入模式的指纹攻击，F1分数、精确率和召回率均超过90%。最后，展示了跨容器攻击，包括容器检测技术和跨容器隐蔽信道。这些攻击表明文件系统的共享状态成为信息泄露的新渠道，对云环境和多租户系统构成威胁。

该论文是首次针对Android恶意软件生态系统中隐蔽通信信道（Covert Channels, CC）使用情况的纵向研究。研究背景是：代理、VPN和Tor等工具虽然帮助隐私社区和受限地区用户对抗审查，但同样可能被恶意软件和僵尸网络滥用，以隐藏与外部命令与控制服务器的通信。尽管基于恶意软件的攻击日益增多，此前尚无纵向研究分析恶意应用如何利用CC规避检测。为填补这一空白，作者开发了一个多阶段分析管道，结合静态和动态分析，检查系统和网络层面的特征。该管道应用于一个包含350万个Android恶意软件样本的语料库，时间跨度从2009年至2025年7月。精心设计的静态验证规则发现了28.8万使用CC的APK，涉及511个恶意软件家族，CC使用率从2012年的0.30%指数增长至2025年的50%。在动态分析中，识别出19,308个唯一的IP地址，分布在85个国家，其中59个IP地址（17个国家）被明确验证存在CC。此外，进行了跨越16年的纵向数据集研究，发现CC使用方式不断演变：例如，一些恶意软件采用多种CC；另一些则定期在不同CC之间切换（一个家族在2019年至2025年间切换CC达40次）。研究揭示了CC在Android恶意软件中的广泛和增长趋势，为检测和防御提供了重要依据。

本文针对未来可能达成的国际人工智能协议，提出了一种用于AI数据中心验证的基础架构方法。核心目标是确保所有进出AI集群的数据均被加密承诺，使得秘密窃取未公开工作负载的结果变得不可行。方法是在集群与外部世界之间的所有信息承载线路上部署网络分接头（passive optical fibre splitters），计算所有数据的哈希值。审计员可以事后挑战哈希对应的原像数据，并将其发送至隐私保护的验证设施进行合规检查。为了解决事后哈希验证无法处理的隐蔽信道问题，论文设计了一种“安全网关设备”（Secure Gateway Device），其架构消除了对验证者和被验证者双方均信任的处理器的依赖，利用被动光纤分路器和抛币协议（coin-flip protocols）生成随机数。该设备负责消除模拟侧信道、时序侧信道以及网络协议头中的隐写术等隐蔽信道。论文评估了开发成本，预计演示设备的开发成本相当于一个小型工程师团队数月的工作量，物料清单相对较小。该研究为AI数据中心的透明度和可信验证提供了新思路，适合关注AI治理、安全基础设施和隐私保护的研究者和工程师阅读。

该论文提出了一种针对大语言模型（LLM）代理出口流量的应用层多模态隐蔽信道参考监视器。研究背景是：LLM代理在发送消息时可能泄露数据，传统的目标允许列表和内容扫描器无法检测看似正常的载荷是否构成隐蔽信道。例如，被攻陷的代理可以将比特编码在零宽字符、同形异义字、空白符、Base64、JSON键顺序、消息时序或大小中；在二进制出口中，还可利用最低有效位（LSB）像素平面、每图像平均亮度、图像间序列排列、超声波音频或可听频段的声音化数据。论文提出了三大贡献：(i) 一个包含十个容量缩减阶段的文本流水线、针对每个接收端的漏桶容量账本，以及分阶段策略，确保从一开始就强制执行无损阶段。(ii) 两个媒体加扰器（傅里叶域音频带宽限制器和RGB图像位深度与平均亮度分桶器），由启动时的密码学合法性认证门控：审计者在启动时发布可信Ed25519密钥和{种类, 数据类}对；只有具有针对授权类的验证签名的载荷才能豁免。该认证绕过了对真实媒体与作为载体的声音化或光栅化数据进行基于内容的区分这一难题；未签名的媒体默认被怀疑；内容寻址的规范化器关闭了图像间排列信道。(iii) 残余容量通过嵌入与恢复比特之间的Miller-Madow校正互信息（当被破坏时为零）来度量，由十五个跨文本、图像和音频的工作编码器组成的对抗集成来测量。参考实现将每个可破坏信道上的残余容量降至零，并在一个（每图像平均亮度）无法在不破坏图像的前提下被破坏的信道上达到规定的界限。该研究适合安全研究人员、LLM代理开发者以及出口控制工程师阅读。

本文针对隐蔽量子通信（CQC）在实际物理层中的不确定性挑战，提出了一种风险感知优化框架。现有CQC模型通常假设信道条件为确定性或最坏情况，这在自由空间光/量子链路中难以成立，因为实际链路受湍流、背景辐射起伏和随机探测器噪声影响。作者将透射率和背景噪声建模为随机变量，通过机会约束（chance constraints）显式表达隐蔽性和可靠性保障，引入可接受的隐蔽中断预算ε_cov和可靠中断预算ε_rel，从而将CQC设计转化为风险校准的资源分配问题，平衡吞吐量、隐蔽性、可靠性和通信隐私。本文推导了中断约束的分位数重述形式，刻画了随机不确定性下的可行工作区域，并提出互补的风险调整效用公式以展示吞吐量-风险折衷。分析表明，适度放松隐蔽中断风险可带来显著的吞吐量增益，而激进优化可能在稀疏传输区域之外破坏隐蔽性。基于对数正态衰落和随机热噪声的蒙特卡洛结果表明，该框架扩大了可行工作区域，将隐蔽吞吐量提升一个数量级以上，并识别出隐蔽操作不可靠的退化边界。这些进展使CQC更贴近自由空间、卫星和低检测概率应用中的实际安全量子网络。

该论文针对同时多线程（SMT）处理器中基于资源竞争的隐蔽信道攻击问题，提出了一种名为SecSMT的硬件安全架构。SMT技术通过共享执行资源（如缓存、功能单元、内存端口）提升性能，但恶意线程可利用资源竞争的时间差异构建隐蔽信道，实现跨线程信息泄露。现有防御手段（如缓存分区、带宽限制）往往带来显著的性能开销或无法完全阻断所有信道。SecSMT通过对处理器微架构进行关键修改，在保持高性能的同时有效阻断隐蔽信道。核心方法包括：(1) 动态资源隔离机制，根据线程的安全等级动态调整共享资源的分配策略；(2) 随机化资源访问时序，引入噪声使攻击者难以通过时间差提取信息；(3) 对敏感操作进行硬件强制序列化，消除推断执行和资源争用的可观测差异。实验采用模拟器（如gem5）和真实硬件平台（Intel/AMD SMT处理器）评估，在SPEC CPU等基准测试中，SecSMT将隐蔽信道的容量降低超过99%（接近零信道容量），而性能开销控制在5%以内。该工作首次实现了对多种竞争信道（缓存、TLS、功能单元等）的全面防护，且无需修改软件堆栈。适合计算机体系结构和系统安全领域的研究者、处理器设计人员阅读。