本文研究神经网络模型窃取中的一个经典问题：密码分析式提取（cryptanalytic extraction）。这类攻击仅凭对模型原始输出（如 logits 或完整概率向量）的黑盒访问，就能恢复网络参数。然而，以往所有此类攻击都建立在一个根本性假设之上——攻击者已经知道目标网络的架构，例如对于基于 ReLU 激活的全连接网络，攻击者事先知道网络深度以及每个隐藏层的维度。本文要回答的核心问题是：这一架构先验假设能否被去掉？作者聚焦 ReLU 全连接网络，提出一个“猜测—确定（guess-and-determine）”框架，把架构恢复与参数恢复联合起来完成，而不是先知道架构再恢复参数。其核心是一组简单但有力的观察：对隐藏层维度进行猜测时，会在参数恢复流程中留下对维度和架构高度敏感的痕迹。作者识别出两类这样的痕迹：其一是在签名恢复（signature recovery）产生的合并权重向量中出现“零后缀（zero suffix）”，其后缀长度能够揭示猜测维度相对于真实维度的超出量；其二是在基于原像的符号恢复（preimage-based sign recovery）中出现的“等式模式（equality pattern）”，该模式仅在维度猜测正确时才出现。这两类信号分别对应两条互补的恢复路径，使攻击者既能判断猜测是否过大，也能确认猜测是否正确。此外，作者还提出两条用于识别倒数第二层的判定准则，因为只有准确定位该层，才能在正确深度上终止猜测过程。作者在大量 ReLU 网络上实现了端到端攻击，覆盖扩张型（expansive）与非扩张型（non-expansive）两类架构。据作者所述，这是首个去除了“已知网络架构”这一前提假设的密码分析式提取攻击。

该论文揭示了 SSH 协议在通道复用场景下存在一个此前未被发现的压缩侧信道漏洞。SSH 是服务器远程安全管理的标准协议，其传输层使用二进制包协议（BPP）进行加密和认证，而连接协议则在单一连接上复用多个逻辑通道，用于交互式 shell、端口转发等功能。作者发现，当 SSH 启用压缩时，同一连接上的所有逻辑通道共享同一个压缩上下文。攻击者若能在某个通道中注入部分已知明文，并通过网络观察对应密文的长度，就能利用压缩前后数据长度的变化推测其他通道中的秘密信息。这是一种自适应的选择明文攻击，与针对 HTTP over TLS 的 CRIME/BREACH 攻击类似，但这是首次将压缩侧信道攻击应用于 SSH，也是首次在 SSH 分析中同时考虑被动窃听者和 Web 攻击者的威胁模型。论文在三个不同应用场景中演示了攻击，并评估了协议噪声对攻击效果的影响。在最理想（低噪声）场景下，对于 26 个字母的字母表，恢复一个 8 字符长度的秘密最多只需 276 次猜测。最后，作者分析了当前 SSH 生态系统中对压缩支持的情况以及其他可能影响攻击实际成功率的实现特性。该研究适合 SSH 协议实现者、系统安全研究员以及负责加固远程管理通道的蓝队工程师阅读，有助于理解 SSH 压缩功能引入的额外风险。

MIMO（多输入多输出）技术是现代无线通信的基础。物理层安全旨在利用噪声信道的物理特性保护传输信息，而无需上层加密。Dean 和 Goldsmith 曾通过借鉴 Regev 对 LWE（带噪声学习问题）的归约，提出将格问题（如最短向量问题、最近向量问题等）多项式时间归约到 MIMO 解码问题，试图为物理层安全方案提供基于格困难性的计算安全基础。但随后有研究对该构造提出了攻击和反例，使得该归约的有效性受到质疑，然而其确切缺陷与适用范围一直未被系统分析。本文对修订后的归约进行了严谨的理论研究，逐步骤对比 LWE 归约与 MIMO 解码问题的结构性差异，识别出 LWE 归约中依赖“模”代数结构的关键特性（如加法同态、错误分布封闭性等）在非模的 MIMO 信道模型下无法成立，从而导致该归约的证明无法推出 MIMO 解码的格困难性。文章进一步区分了“困难性证明中的缺陷”与“特定参数下的直接攻击”两类问题，并指出现有证明若要修复，必须引入新的结构或额外假设。作者强调，该结论并不否认 MIMO 物理层安全的整体可能性，只是表明其不能经由已有的这条 LWE 式归约获得理论支撑。本文主要贡献在于澄清了理论基础的失效细节，为未来构造可证明安全的物理层方案提供了警示与方向。该论文适合密码学与无线通信交叉领域的研究者阅读。

该论文提出了一种用于对称密钥原语密码分析的新原语——掩码自相关（masked auto-correlation, MAC），并构建了基于它的量子攻击管线。对于置换 f、输出掩码 α、β 和输入差分 w，MAC 度量掩码输出 α·f(x) 与 β·f(x⊕w) 之间的相关性。作者引入的掩码差分-线性（MDL）近似严格推广了经典技术，普通线性密码分析、差分-线性密码分析以及差分-线性连接表均是其特例。研究的核心问题是寻找具有大掩码互相关的掩码对（即能产生强区分器的掩码对），称为 MAC Fishing。论文给出了一个常数查询的量子算法，可按平方相关度采样此类掩码对，并通过改编 Fourier Fishing 的困难性证明了 Ω(N/log N) 查询的指数级经典下界。据作者所知，这是首个将量子上界与经典下界配对用于识别高相关近似核心任务的结果，表明量子算法在此问题上具有绝对必要性。在此基础上，论文分析了随机置换的掩码自相关分布，并构造了基于容量的区分器和密钥恢复攻击，经典和量子版本均获得二次量子加速（使用振幅估计）。最后，作者在缩减轮数的 mini-AES 上进行了实验验证。适合对称密码分析研究者、量子算法设计者以及关注后量子密码安全评估的人员阅读。

本文提出了一种针对 AES128 的黑盒密码分析方法，基于局部反转（Local Inversion）思想，仅利用正向加密的黑盒计算实现密钥恢复。在已知明文攻击（KPA）场景下，作者通过顺序计算证明了当已知 48 位密钥时，可在实际可行的时间和内存内恢复高达 80 位的未知密钥位。他们进一步将 64、72、80 位未知场景下的恢复结果外推至完整 128 位未知密钥，预测了局部反转方法中迭代序列的周期，并提出了一种利用 10 个自由位定义搜索空间、通过暴力并行搜索实际周期的方法。随后，利用快速幂运算对正向加密映射进行验证，可在多项式时间内确认恢复的密钥。该方法表明，AES128 在 KPA 下的密钥恢复问题有较大概率在实际可行时间内成功。作者强调，局部反转黑盒计算是一种通用的密码分析框架，适用于广泛的密钥恢复和映射逆问题，因此这些结果也代表了其他与 AES128 强度相当的密码算法在类似攻击下的安全性估计。本文贡献在于提出了一种理论上可行且具有实践前景的 AES128 分析策略，为后续密码分析研究提供了新思路。

本文提出了一种名为 LEAP 的泄漏滥用攻击，针对高效部署且高效搜索的加密（EDESE）方案，特别关注 ShadowCrypt 等实际系统。可搜索加密（SE）允许用户在加密文档上执行私密查询，但许多面向工业部署的方案为了性能而牺牲了一定的信息泄漏，这些泄漏通常被视为可接受。然而，最近的研究表明，在攻击者具有部分背景知识的情况下，这类泄漏可被利用来（部分）恢复查询令牌背后的底层关键词。LEAP 攻击的核心假设是攻击者部分已知数据集（例如掌握部分明文文档或关键词分布），利用 EDESE 方案泄露的加密数据集、查询令牌及其统计特征，通过匹配已知信息与加密数据，从而推测查询关键词的内容。具体而言，攻击者可能利用已知文档与加密文档的对应关系，结合查询令牌出现频率或位置信息，对加密查询进行逆向分析。论文的贡献在于系统性地分析了 EDESE 在部分数据集已知条件下的脆弱性，展示了一种实用的攻击路径，并揭示了此类方案在真实部署中的潜在隐私风险。研究结果对于设计更安全的可搜索加密方案具有重要警示意义，也提醒安全从业者在选用相关加密产品时需审慎评估其泄漏模型。适合密码学研究者、云安全工程师及隐私保护技术评估人员阅读。

本文针对 Pradhan 等人提出的 CRT-RLWE（Chinese Remainder Theorem Ring-LWE）同态加密方案进行了密码分析，证明该方案在声称的误差分布范围内不安全。核心发现是：当公钥乘子为单位元时，攻击者仅通过一次环求逆即可从公钥直接推导出私钥；对于任意乘子，无需私钥即可从任意密文恢复明文，从而获得 1/2 的选择明文优势。作者进一步指出，从普通 Ring-LWE 到 CRT-RLWE 的转换并未保持误差分布，因此无法证明 CRT-RLWE 的安全性不低于 Ring-LWE。两种攻击的根源在于：CRT 函数模 p1p2 约减，而其输出却被用于互素模 q 的运算，导致任何零保持截面下，p2R 中的误差被编码为零。具体而言，p2B1 分布满足方案声称的误差条件，且能正确解密，但该分布下误差被完全消除。作者强调，这种约束不是缩放弱点：将任意基准分布乘以 p2 后，普通 Ring-LWE 问题保持不变，但约减编码器会破坏所有产生的误差。约减差异是 p1p2 的倍数而非 q 的倍数，因此证明中的小误差前提无法消除该差异；在报告的参数下，单个误差系数即可反驳该恒等式并满足前提。此外，中心二项分布 B2 在总变差距离 3/8 处分离系数分布，而在报告维度下，诱导多项式分布之间的距离指数级接近 1。该研究揭示了 CRT-RLWE 转换的内在缺陷，对依赖此类结构的同态加密方案构成严重威胁。适合密码学研究者、同态加密方案设计者及安全评估人员阅读。

该论文提出了一种自主密码分析工作流，利用智能代理自动生成、测试并优化假设，最终由人类研究人员进行审查。自主阶段返回可复现的候选结果，包括精确的验证证据（witnesses）、对照实验（controls）、代码和运行记录。研究人员据此判断证据是否足以确认一个构造的破坏、缺陷或覆盖空白。论文总结了两种反复出现的失败模式：一是公共代数映射或输入表示无意中暴露了构造必须隐藏的关系，例如乘以零、多项式乘积的边界系数、商、特征标、Schur 平方以及无边界可变长度字节编码；二是模拟器、误差定律或参数认证使用了与声明不同的分布。多个目标同时存在这两种问题。每个失败结果都有精确的证据和区分性对照，每个声明的边界都有证明。另有三个目标未被攻破，但实际可保证的安全强度低于通用解读。总体而言，八个已发布的构造在声明参数或声明条件下被攻破，包括：一个 Ring-LWR 承诺方案以概率 1 对所有消息开放；一个密文泄露了两行 middle-product 加密；一个格基电子投票协议失去了收据不可伪造性；一个可更新加密的置换恢复攻击通过线性代数扩展至旧解密密钥；一个显式正规基将 degree-63 实例分解为七个 degree-9 实例；一个非格设置下的签名哈希将两个可打印等长消息映射到同一摘要；一个可重随机化方案的接受比特成为其解密噪声的阈值预言机。此外，一个群环决策声明和一个多元 MinRank 加固方案在假设或核算层面失败，而非完全构造性破坏。每个失败都发生在支撑其假设的上一层。该研究为密码学构造的自动化验证提供了新范式，并揭示了多个实际系统中潜在的安全弱点。适合密码学研究者、安全审计人员以及依赖格基密码、投票协议、可更新加密等方案的工程团队阅读。

本文研究了一种针对公钥加密（PKE）的新型攻击方式——线性分解攻击。该攻击的核心洞察在于，若目标公钥状态位于一个已知的线性张成空间中，则其分解系数在秘密线性变换下能够传递，使得攻击者无需恢复秘密代数作用即可推算出共享秘密。作者首先设定了一个更贴近实际的威胁模型：攻击者与诚实参与者一样，仅拥有公共的采样与评估预言机，且诱导分布任意，攻击目标是未来密文而非完整线性跨度。为了刻画加密分布的有效维度，他们提出了“采样轨道维度”这一概念。论文证明了三个关键结果：一是无分布条件下的一次性恢复定理；二是采样张成空间对未来密文覆盖的高概率保证；三是达到最优的采样跨度复杂度，其表达式为 $\Theta((r+\log(1/\delta))/\varepsilon)$，其中r为采样轨道维度，ε为误差，δ为失败概率。这些结果进一步推导出一个通用不可能性定理：只要线性密钥传输可公开采样且传输值决定解密负载，那么采样轨道维度为多项式时，该方案不可能满足IND-CPA安全。作为验证，作者将该框架应用于2024年提出的基于扭曲斜群环的概率PKE方案，发现其底层计算扭曲斜问题可被仅使用独立公共协议样本的线性攻击成功破解，能够实现明文恢复并带来恒定的IND-CPA优势。实验部分验证了线性传输假设和端到端恢复，并观察到未来密文的高覆盖率可能先于完整代数跨度的恢复。这一工作为公钥密码设计提供了重要警示：线性代数结构可能带来隐含的安全风险，仅依赖秘密代数作用并非充分安全条件。

本文提出了一种基于三次张量作用的 Ko--Lee 风格公钥加密框架，并对其安全性进行了结构密码分析。张量同构（Tensor Isomorphism）问题被研究为与后量子密码相关的代数问题，但其在公钥加密中的应用此前尚属空白。作者首先形式化定义了从三次张量作用构造公钥加密的通用框架，并证明了其形式正确性。然而，他们进一步表明，当交换矩阵子群由公开的有限生成集给出时，该框架在通用意义下是不安全的。具体地，将三次张量视为 d^3 维空间中的向量，线性分解攻击可以在多项式时间内从公开传输中恢复共享张量，而无需恢复任一秘密作用。此外，作者还分析了三种自然的交换子群构造——域扩张构造、块对角构造和张量积构造——并给出了玩具规模实验以说明其特定的结构泄漏。最后，他们研究了由缩放块结构引起的低维泄漏。本文的主要贡献在于提出了一个框架并同时完成了其密码分析，而非提供一个安全的公钥加密方案。该工作对于理解张量同构问题在密码学中的局限性、以及设计基于张量的后量子密码方案具有参考价值，适合密码学研究者、后量子密码方案设计者和安全分析人员阅读。

该论文针对 NIST 额外签名流程第三轮候选方案 MQOM v2.1 提出了一个完整的密钥恢复攻击。攻击者只需获得一个合法签名，即可恢复完整的签名密钥，并利用该密钥对任意新消息生成有效签名，从而破坏方案的安全性。核心攻击思路是利用 Merkle 树路径与隐藏叶承诺之间的关系：设见证（witness）x 的前缀 δ = FirstBits_λ(x)，通过兄弟路径可确定公开值 A，使得树奇偶校验给出 s = δ ⊕ A。将此代入隐藏叶承诺，可得到加密方程 Enc_K(δ ⊕ A) = T ⊕ LinOrtho(δ)，其中 K 和 T 均为公开值。签名中的修正项（correction）将方程的一个解扩展为完整见证，而公开的 MQ（多变量二次）关系可筛选出能产生有效签名密钥的见证；序列化该见证即得私钥，进而生成被参考验证器接受的新签名。论文在指定的 AES/Rijndael 电路上评估该方程，并利用保留电路状态沿 Gray 遍历（Gray traversal）提高计算效率。对于 NIST 安全类别 I 和 V，完整域扫描分别需要 2^142.335112 和 2^271.794162 个布尔门；类别 III 的扫描覆盖 1/2+2^-20 和 0.580004770183 的域，开销分别为 2^206.774558 和 2^206.988685 个布尔门，均低于 NIST 安全基准。针对参考实现的缩减域实验在全部三个类别中恢复了逐字节精确的见证和密钥，并产生了被参考验证器接受的新消息伪造签名。独立生成的源码级语法电路在指定域和转换后的 L3 前缀上评估固定密码，精确的理想密码阶乘矩界控制传递给公钥验证的额外方程原像。由于方程中每个值都由已接受的签名固定，盐绑定的全局根扩展只会改变其公开常数，无法消除这一单签名恢复通道。该研究对后量子密码标准化具有重要意义，建议相关安全团队关注。

本文提出了一种基于混合整数线性规划（MILP）的差分故障攻击（DFA）改进框架，命名为MIFA。研究背景源于对DEFAULT和BAKSHEESH两种分组密码的DFA安全性分析：ASIACRYPT 2021上DEFAULT被设计为算法层面抵抗DFA，声称无论注入多少故障都具备64位安全性；但EUROCRYPT 2022的研究通过信息合并技术打破了这一声称；随后ASIACRYPT 2024的研究利用单解差分轨迹搜索进一步提升了攻击效率，在简单密钥调度下对DEFAULT第5轮（从最后一轮倒数）注入5个故障即可将密钥空间降至1，对BAKSHEESH则在倒数第3轮注入12个故障达到同样效果。本文的核心贡献在于：1) 将DFA问题建模为MILP问题，利用求解器自动搜索最优故障注入策略，从而能够攻击比以往更深层的轮数，并减少密钥恢复所需的故障注入次数；2) 提出一种系统性分析方法，通过枚举所有可能的单比特翻转故障对应的输入差分，确定最有效的故障注入比特位置，从而进一步减少所需故障数量，并能够理论计算所需故障次数的上界。实验结果表明，对于DEFAULT，在倒数第6轮注入3个故障，或在倒数第7轮和倒数第8轮分别注入2个故障，即可将密钥空间降至1。该框架展示了自动化优化工具在密码分析中的潜力，为评估分组密码的DFA抵抗力提供了新的方法论参考。本文适合密码学研究者、硬件安全工程师以及对DFA攻击与防御感兴趣的安全从业者阅读。

本文针对 GCM 和 GMAC 认证加密模式提出一种基于零长度 nonce 的简单攻击方法。作者指出，在 ISO/IEC 标准版本的 GCM/GMAC 中，nonce 被允许为空字符串（零长度），而 NIST 版本则明确要求 nonce 至少为 1 比特。利用 ISO/IEC 版本允许零长度 nonce 的特性，攻击者能够通过特定的攻击流程恢复 GCM/GMAC 的哈希密钥（hash key）。一旦哈希密钥被恢复，攻击者就可以任意伪造密文或消息，从而完全破坏认证加密的完整性保证。论文的核心贡献在于揭示了标准实现之间关于 nonce 长度约束的差异所导致的安全隐患，并展示了一个针对该差异的实用攻击。该攻击不适用于 NIST 版本，因为 NIST 版本强制要求 nonce 非空。研究结果提醒安全从业者，在不同标准实现中，即使细微的参数约束差异也可能引入严重的安全风险。本文适合密码学研究者、协议实现者以及安全审计人员阅读，以理解标准差异对实际安全性的影响，并避免在实现中错误地允许零长度 nonce。

本文针对由 Aragon、Couvreur、Dyseryn、Gaborit 和 Vincotte 在 Asiacrypt 2024 上提出的增强型 Gabidulin 矩阵码（EGMC）加密方案进行了密码分析。该方案旨在隐藏 Gabidulin 矩阵码的代数结构，同时实现极紧凑的 McEliece 型和 Niederreiter 型加密，声称在 128 位安全级别下密文可小至 65 字节。其安全性依赖于一个假设：掩码后的 EGMC 码与随机矩阵码难以区分。本文证明，这种增强构造仍保留了足够的结构，使得攻击者能够恢复出与密钥等价的码。与之前的密码分析不同，本文提出的攻击结合了组合与代数技术，先恢复一个 Gabidulin 等价的压缩码，然后可在多项式时间内将其扩展为完整长度的等价秘密密钥。因此，该攻击同时提供了区分器和密钥恢复攻击，能够攻破所有 16 组提出的 EGMC 参数集，且余量很大。例如，对于声称 128 位安全级别的参数集 (2,17,37,4,0)，攻击将安全级别从 186 位降至 35 位。在实现中，等价秘密密钥在不到 10 分钟内即可恢复。该研究揭示了 EGMC 构造在设计上的根本缺陷，表明仅通过掩码隐藏代数结构不足以抵御组合代数攻击。适合从事后量子密码分析、公钥密码学、编码理论及其安全性评估的研究人员阅读。

本文针对基于广义Reed-Solomon（GRS）码的高速率McEliece密码系统变体提出攻击。由于直接使用GRS码的McEliece系统已被证明不安全，研究者提出了多种变体，将置换矩阵替换为行和列权重更大的矩阵M，但许多变体仍以GRS码作为密钥。以往的攻击成功处理了行和列权重在1到1+R（R为码率）之间的方案，但权重为2及更大的情况尚未被攻破。本文在高码率场景下，为这些密码系统中出现的公钥构造了区分器，并提出了一个框架，可将足够好的区分器转化为密钥恢复攻击。当掩码矩阵M的行和列权重均为2时，利用立方码（cube code）区分器成功实现了对高码率方案的攻击。该工作揭示了此类变体的安全弱点，为后量子密码中基于码的密码系统的设计提供了重要警示。

该论文提出了CryptanalysisBench，一个用于评估大型语言模型（LLM）进行密码分析能力的基准测试。密码分析旨在寻找密码方案的攻击方法，涉及数学推理和网络安全，而LLM在这两个领域发展迅速。基准包含191个任务，覆盖六类密码原语（如分组密码、哈希函数等），主要来自四个NIST标准化竞赛。测试分为三个层级：第一层为已知存在实际攻击的密码原语；第二层为尚无已知实际攻击的原语，包括完整强度和缩小型变体；第三层为前沿生产级原语。作者测试了五个前沿模型（Claude Opus 4.8、Sonnet 5、Mythos 5、GPT 5.5和GLM 5.2），结果显示它们能破解第一层级65%-86%的方案，第二层中完整强度方案6-12个，所有缩小型变体共24-61个。更重要的是，模型生成了新的密码分析结果，例如利用SpoC AEAD设计缺陷的密钥恢复攻击，以及发现KINDI的CCA安全性证明中的错误，这些此前均未被已知。论文表明LLM在密码分析领域的能力正在快速提升，并可能很快达到甚至超越已发表的技术水平。该基准可用于追踪AI密码分析是否成为严重威胁，以及作为候选方案部署前的压力测试工具。

本文研究学习带误差问题（LWE）中秘密向量的恢复问题，特别关注秘密具有低汉明重量的情况。LWE是后量子密码学的基础假设，其安全性依赖于给定样本恢复秘密的困难性。传统方法通常假设秘密均匀分布，但在许多实际场景（如FrodoKEM、Kyber等方案）中，秘密往往具有稀疏性。作者提出了一种从"完美提示"到"近似提示"的转变：即攻击者可以获得关于秘密的部分信息（如某些位的值或软信息），这些信息可能来自侧信道攻击或协议特性。核心贡献是设计了一种高效的秘密恢复算法，利用低汉明重量和近似提示，将问题转化为求解近似最短向量问题（apprSVP）或使用格基约简技术。实验表明，当秘密汉明重量较低且提示质量较高时，算法能在多项式时间内恢复秘密，比传统格攻击更有效。该工作对LWE参数选择具有指导意义，提示需要避免低重量秘密或限制信息泄露。

本文延续了作者前期的研究工作，提出了一种针对椭圆曲线离散对数问题（ECDLP）的“推测与确定”（Guess and Determine）攻击方法。该方案基于拉斯维加斯（Las Vegas）算法，将求解ECDLP转化为在矩阵中寻找零子式（zero minor）的问题。作者利用超平面排列的交集偏序集（intersection poset of hyperplane arrangement），开发了一种在矩形矩阵中寻找零子式的算法。论文详细讨论了该算法的复杂度、成功概率，并提供了实现细节和模拟结果。零子式的寻找本身也是一个具有独立研究意义的问题。该工作为评估椭圆曲线密码系统的安全性提供了新的分析视角和理论工具。

该论文介绍了一项使用生成式深度学习（具体为生成对抗网络，GAN）进行密码分析的研究。研究背景在于传统密码分析方法往往依赖人工设计的启发式算法或数学求解，而深度学习尤其是生成模型在捕捉复杂分布方面具有潜力。核心问题是探索GAN能否用于学习和近似密码算法的统计特性，从而辅助或改进密码分析过程。方法上，论文提出了一个名为EveGAN的框架，通过对抗训练让生成器模拟“明文-密文”对的联合分布，而判别器则试图区分真实的密码对与生成器产生的假对。实验部分在简化密码系统上测试了EveGAN的能力，表明其能够在某些假设下恢复部分密钥信息或降低暴力破解搜索空间。主要贡献在于首次系统性地评估GAN在密码分析中的应用，并指出了生成模型在密码学分析中的潜在价值与局限。适合对AI与密码学交叉领域感兴趣的研究人员阅读，但需注意其攻击假设较弱，实际场景下的有效性仍需验证。

该论文提出了一种名为 MergeLLL 的新型格基约简算法框架，灵感来源于归并排序的分治策略，并在重组阶段引入了 PotLLL 风格的深度插入操作。传统的 LLL 算法及其变体在高维格上的计算复杂度迅速增长，而 MergeLLL 通过将格基分割为子基，独立进行局部约简，然后通过层次化合并重构完整基，从而优先改善局部格结构，再逐步优化全局基性质。这种方法显著提升了 Gram-Schmidt 正交性和数值稳定性，同时降低了整体计算成本。由于算法天然支持并行化，能够高效地利用多核和分布式计算环境。论文证明了约简和合并步骤通过幺模变换保持了格结构，并实现了对数级别的并行深度。在子集和问题以及 NTRU 密码系统衍生格的实验表明，MergeLLL 相比经典 LLL 算法表现出更好的正交性、更少的昂贵交换操作次数以及更优的 Hermite 因子，意味着能够生成更高质量的约简基。该工作对于格密码的安全参数评估和密码分析具有重要参考价值。

本文对 Stickel 型密钥交换方案进行了密码分析，这类方案基于有限域上 n×n 矩阵的双边乘法，且矩阵来自具有特定交换结构的公共子空间。研究表明，所有此类方案（包括 Stickel 原始方案、Shpilrain 的多项式扩展、Nager 的代数扩展等）都可以在多项式时间内被破解：通过一个证人发现（witness-finding）攻击，攻击者可以从公开信息中恢复共享密钥。此外，作者提出了一种新的密钥建立方案，该方案同样使用双边矩阵乘法，但通过私有权项对交换子空间进行共轭隐藏，从而阻断了上述基于公共子空间的攻击。新方案中的证人发现问题可直接归约到 Edmonds 问题——一个标准的 NP 难问题，暗示其可能具有更强的安全性。论文为后量子密码学中的密钥交换提供了新视角，既暴露了现有方案的根本弱点，也给出了一个潜在更安全的替代方案。由于是纯理论分析，未提供实际实现或性能评估。

该论文探索了大型语言模型（LLM）在对称密码分析中神经区分器任务上的应用。神经区分器是一种通过机器学习模型区分密文对来恢复密钥的方法，以往工作多使用ResNet等传统深度学习模型，但尚未有研究将LLM用于此任务。作者提出了一种基于LLM的神经区分器方法，通过设计prompt将明文-密文对输入LLM，并针对SPECK-32/64轻量级密码进行了大量实验。实验发现三个关键结果：第一，与现有ResNet结果相比，LLM并未带来可观测的性能提升，甚至在某些指标上略差；第二，随着加密轮数增加，差分选择对LLM和ResNet的效果均急剧下降，表明高轮数下差分特征丧失；第三，将简单的XOR运算结果作为prompt的一部分输入LLM，可以显著提升区分能力，这暗示LLM可能更擅长利用直接计算得出的特征而非原始数据。该研究为LLM在密码学应用中的潜力提供了初步评估，尽管当前LLM未能超越专用模型，但prompt设计的优化方向值得关注。适合密码学研究人员、AI安全交叉领域从业者以及对称密码分析开发者阅读。

本文研究自动破解同音替代密码（homophonic substitution cipher）的问题。此类密码将每个明文字母随机映射到多个密文字符，从而弱化字母频率特征，增加破译难度。作者提出使用注意力增强的长短期记忆（LSTM）模型，在共享密钥（shared-key）设置下学习密文到明文的映射：所有密文取自同一个已知的同音码池，但每个密钥使用该池中的不同一致子集。实验基于ChronoFidelius工具生成的合成密文，源自1500–1899年的英语和瑞典语历史文本。测试变量包括密文长度、世纪、可变长编码以及模拟转录错误。模型仅通过对齐的密文-明文对进行训练，不依赖外部语言模型、频率统计或密钥搜索启发式。结果表明，模型在两种语言和所有历史时段均实现了接近完美的字符级解密准确率，对短文本和噪声密文也表现稳健；而面对共享池之外的密文时，模型则按预期失败，说明其可作为在怀疑密钥重用场景下的实用解密和密钥空间验证工具。

该论文系统研究了AES类密码中线性层（特别是MDS矩阵）在相关差分密码分析中的安全性。相关差分是一种利用两个差分在加密过程中的关联性来降低攻击复杂度的技术。Daemen和Rijmen（2009）指出，即使满足最大分支数（MDS性质），线性层仍可能存在相关差分结构；Bardeh和Rijmen（2022）展示了如何在简化轮AES中利用该现象发起攻击。本文旨在从理论上刻画线性层避免或存在相关差分的条件。首先，作者证明任意非MDS矩阵一定存在非平凡的相关差分对，从而表明MDS性质是避免相关差分的必要条件。紧接着，证明了所有奇数阶对称MDS矩阵都存在相关差分，这排除了大量基于Cauchy矩阵的构造。对于循环矩阵，作者强化了已知结果：当阶数n满足n ≡ ±2 (mod 12)时，循环矩阵才可能避免相关差分；否则必然存在相关差分。最后，论文将焦点缩小到3×3 MDS矩阵（定义在F_{2^m}上），给出了一个显式的充要条件——包含15个多项式约束——用于判断矩阵是否完全免于相关差分。这些结果为密码算法设计者提供了明确的指导：在选用线性层时，不仅需要满足MDS性质，还需避开对称、循环等高危矩阵类别，或通过额外散射操作来消除潜在弱点。论文通过代数证明和分类，完善了相关差分分析的理论基础，对评估和改进AES类密码的安全性具有重要意义。

本文提出一种基于机器学习的攻击方法 SalsaPicante，针对带有稀疏二进制秘密的学习与错误（LWE）问题。LWE 是后量子密码（PQC）系统的基础难题，NIST 标准化的密钥交换机制（KEM）基于模 LWE，而现有同态加密（HE）库多基于环 LWE。出于效率考虑，PQC HE 方案常采用稀疏二进制秘密（即秘密向量中非零元素很少），但这可能削弱安全性。先前的工作 SALSA 展示了在低维度（n ≤ 128）和低汉明重量（h ≤ 4）下对稀疏二进制 LWE 的机器学习攻击，但它需要窃听数百万个 LWE 样本，并且在更高的汉明重量或维度下失败。SalsaPicante 通过改进攻击策略，能够在更实际的参数下（如更高维度和更高汉明重量）成功恢复秘密，同时减少所需样本数量。实验证明该方法对中等规模参数有效，揭示了稀疏二进制秘密在 PQC 实现中的潜在风险。本文适合密码学研究人员、后量子安全实现者及同态加密系统开发者阅读。