本文针对基于红外成像的重放攻击检测机制，提出了一种新型的光学合成攻击方法，并设计了一种深度感知的传感器内对策。在基于摄像头的身份认证、活体检测等安全场景中，红外摄像头常被用于区分真实人体与照片或视频重放。现有检测手段多依赖光谱特性、反射模式或热图像统计特征，然而作者发现，攻击者可以通过精心设计的光学合成方式，在物理世界构造出与真实红外信号高度相似的光线分布，从而有效绕过现有的重放检测算法。为了应对这一威胁，作者进一步提出了深度感知的防御方案，即将深度信息与红外信号融合，利用真实人体在深度图上的三维几何特征与重放平面在深度上的差异进行判别。该方法在传感器层面集成，无需额外的计算开销，能够实时区分真实与重放。作者通过一系列物理实验验证了攻击的有效性与防御措施的鲁棒性。研究结果表明，单纯依赖红外光谱特征的检测机制存在严重漏洞，而深度感知策略能够显著提升抗重放能力。本文为红外摄像头安全领域的攻防研究提供了新的视角，对设计高安全性活体检测系统具有重要参考价值。适合计算机视觉、传感器安全、生物识别与对抗性攻击方向的研究人员和系统设计人员阅读。

本文提出 CipherSight，一种基于 TLS 记录层的高鲁棒性 HTTPS 网站指纹识别（WF）框架，旨在解决真实部署中因时间和地域变化导致的分布偏移（OOD）以及开放世界场景中不断出现的新网站问题。现有方法主要从原始 TCP 包序列中学习特征，容易受传输层噪声影响，难以捕获稳定且可泛化的网站表示。CipherSight 从 TLS 记录中联合编码多个记录级属性，并采用分层架构同时建模流内 TLS 记录依赖关系和跨并发流的交互，从而利用 HTTPS 流量的结构模式。为了学到鲁棒表示，CipherSight 引入掩码记录建模（MRM）任务来捕获上下文流量语义，并利用细粒度的记录-资源标注作为特权监督，通过结构感知目标和语义蒸馏进行训练。实验表明，在超过 2000 个网站类别的封闭世界设定下，CipherSight 达到 95.41% 的准确率；在时间和地理漂移下仍保持超过 90% 的准确率，持续优于所有对比基线。该研究主要面向流量分析、隐私保护和深度学习应用于网络安全的研究人员。

该研究专注于恶意软件检测领域中的二进制到图像转换技术，并引入可解释人工智能（XAI）工具来提升模型的可解释性。作者使用 Gradient-weighted Class Activation Maps (Grad-CAM) 作为解释工具，分析了由恶意软件样本生成的八种不同图像表示类型。研究目标包括：通过定量指标评估 Grad-CAM 热图的忠实度（faithfulness）和稳定性（stability），并将其与另一种解释方法 HiResCAM 进行对比；同时验证 Grad-CAM 特征能否用于恶意软件分类。实验表明，利用 MobileNetV2 卷积神经网络从 Grad-CAM 图像中提取特征，再使用随机森林分类器，可以在包含 17 个恶意软件家族的数据集上达到 0.777 的测试准确率，超过了该数据集之前 0.750 的基准结果。此外，研究还发现一个关键现象：在所选用的八种图像变换中，分类准确率与解释的忠实度并不一致，即能够产生最忠实解释的图像变换方法，其分类准确率仅处于中等水平。这一发现对恶意软件检测模型的设计与评估具有重要意义，提示在追求高准确率的同时需要兼顾可解释性。该工作为后续将 XAI 引入恶意软件分析提供了定量分析和实证基础。

该论文提出了一种名为 Disa 的基于学习的静态反汇编方法，旨在解决反汇编中指令边界和函数边界识别这一核心难题。传统反汇编方法依赖文件格式假设和架构特定启发式规则来猜测边界，在二进制文件被混淆时容易出现不完整或错误的反汇编结果。近年来，深度学习方法已被证明能提升反汇编的准确性和效率。Disa 利用超集指令（superset instructions）信息，通过多头自注意力机制（multi-head self-attention）学习指令之间的相关性，从而推断函数入口点和指令边界。此外，Disa 还能识别与内存块边界相关的指令，辅助基于块内存模型（block-memory model）的值集分析（value-set analysis），以生成更精确的控制流图（CFG）。实验表明，Disa 在函数入口点识别上优于先前的深度学习方法，在分别经过反汇编失同步（disassembly desynchronization）技术和流行源码级混淆器处理后的二进制上，F1 分数分别提升了 9.1% 和 13.2%。在内存块精度方面，Disa 实现了 18.5% 的提升，相比最先进的基于启发式的方法，平均间接调用目标数（AICT）减少了 4.4%，从而生成更准确的 CFG。该研究适用于漏洞检测、恶意软件分析、二进制加固等安全场景，适合逆向工程和二进制分析方向的研究者与工程师阅读。

本文聚焦于语义分割任务中的决策黑盒稀疏攻击问题。尽管稀疏决策黑盒攻击在分类领域已有研究，但在语义分割中尚缺乏系统性探索。作者首先将分类域中最具代表性的决策黑盒稀疏攻击方法改编至语义分割场景，构建了该未充分研究区域的基准测试。通过基准分析，发现现有基于图像中心像素累积的方法在语义分割的广阔像素空间中会导致查询预算迅速耗尽，严重降低查询效率。为克服这一瓶颈，作者提出 SegPAR 框架，将攻击的探索范式从图像中心转向类别中心，即针对每个语义类别或其局部区域进行独立优化，从而更高效地分配查询资源。同时，为消除像素累积过程中标准决策奖励产生的误导性反馈，设计了一种新颖的差异奖励机制，该机制能够更精确地评估不同类别对攻击效果的贡献，降低无效查询。大量实验表明，SegPAR 在稀疏度效率和平均交并比（MIoU）降低幅度上显著优于所有黑盒基线，甚至与白盒稀疏攻击相比也展现出竞争力。代码已公开。该工作揭示了语义分割模型在决策黑盒威胁下的新攻击面，为鲁棒性评估和防御研究提供了重要参考。

本文针对深度神经网络中的木马（后门）攻击检测问题提出了一种新的无数据方法 FreeEagle。后门攻击是一种典型的人工智能威胁，被植入木马的模型在遇到带触发器的输入时会产生攻击者指定的异常行为，而在干净输入下表现正常。现有的后门检测方法大多依赖防御者能够获得一批干净验证样本或带有触发器的样本，但这一假设在真实世界中可能不成立，例如模型共享平台的维护者只能获得模型本身而无法获得训练数据或触发样本。为此，作者首次提出了无需依赖任何干净样本或带触发样本的 FreeEagle 方法，实现了对复杂后门攻击的有效检测。该方法通过分析模型内部表征和决策边界的异常特征，在数据不可见的情况下识别后门植入的痕迹。在多种数据集和模型架构上的评估结果表明，FreeEagle 对各类复杂后门攻击均有效，甚至在部分场景下优于现有的非无数据后门检测方法。该研究的核心贡献在于突破了传统检测方法对验证数据的依赖，为模型供应链安全提供了新的技术路径，尤其适用于模型共享、第三方模型审核等场景。本文适合研究深度学习安全、模型后门检测以及AI供应链安全的从业者和学者阅读。

本文提出一种面向云防病毒环境的勒索软件检测增强方案。传统基于主机的恶意软件检测存在资源消耗大等问题，云防病毒（Cloud Antivirus）虽能缓解此问题，但对复杂的多态恶意软件和特权恶意软件仍力不从心，且难以应对破坏性勒索软件攻击。作者提出在现有云防病毒解决方案中引入基于深度学习的块快照（Block Snapshot）分析机制，在虚拟化环境中识别具备逃避能力和高权限的勒索软件，且无需依赖特殊硬件支持。该方法利用复制卷的快照数据，通过神经网络模型分析文件系统层的变更模式，从而检测勒索软件特有的加密行为。初步实验验证了该方法的可行性和有效性。该研究的核心贡献在于：一是将勒索软件检测置于云侧，利用虚拟化快照的天然优势；二是通过深度学习自动提取特征，减少对已知签名的依赖；三是对抗特权级恶意软件，因为快照分析独立于客户端操作系统，恶意软件难以干扰。本文适合云安全、恶意软件检测和深度学习应用方向的研究人员及安全工程师阅读，可作为设计下一代云防病毒系统或勒索软件防护机制的参考。

本文提出了一种名为 QURA 的新型后门攻击方法，其核心攻击面是深度学习模型的量化（quantization）过程。模型量化通常被用于在资源受限环境（如嵌入式设备、移动端）中部署模型，以降低存储和计算开销。然而，作者指出这一过程本身可能引入此前被忽视的安全风险。与传统后门攻击依赖训练数据投毒或模型训练阶段操纵不同，QURA 仅通过操控量化过程中的舍入（rounding）操作即可在模型中嵌入恶意行为。具体而言，QURA 首先设计了一种权重选择策略，从预训练模型中识别出对后门目标影响最大、同时尽量不损害模型整体性能的关键权重；随后，通过优化这些权重的舍入方向，在多个层内逐步放大后门效应，同时保持模型的正常精度。实验结果表明，在大多数场景下 QURA 的攻击成功率接近 100%，且模型性能下降可忽略不计。此外，作者还展示了 QURA 能够自适应地绕过现有的后门防御机制，凸显了其潜在威胁。该研究揭示了广泛使用的模型量化流程中存在的关键安全漏洞，强调了在部署量化模型时需要更强的安全防护措施。代码已在 GitHub 上开源。本文适合模型部署工程师、AI安全研究员以及关注供应链安全的蓝队人员阅读，以理解量化环节可能引入的新型攻击面。

本文研究基于深度学习的密码猜测模型在针对人类选择密码的定向攻击中的有效性。随着服务提供商提高密码安全性要求（如强制复杂生成模式和采用计算开销大的哈希函数），攻击者可用的猜测次数大幅减少，因此必须利用受害者公开信息进行定向猜测。作者提出一种上下文感知的密码猜测模型（DCM_sp），该模型能够更好地模拟攻击者行为，核心创新在于利用受害者的电子邮件地址作为上下文信息来猜测其密码。实验证明，仅知道受害者的邮箱地址就足以显著提高密码猜测成功率，并深入分析了邮箱地址与密码之间的关联性。此外，该模型还能基于用户的密码生成行为对用户进行聚类，从而识别虚假账户和更容易受到上下文感知猜测攻击的群体。论文代码已公开。本文属于研究型工作，主要面向密码安全研究者、防御方以及服务提供商安全团队，揭示了公开信息对密码安全构成的潜在威胁，并为设计更安全的密码策略和用户教育提供依据。

本文提出WhiteNet，一个用于鲁棒识别重叠IEEE 802.11信号的深度学习框架，重点解决信道变化导致的性能下降问题。现有基于I/Q样本的深度学习方法在训练和部署信道条件差异大时精度急剧下降。WhiteNet的核心是频谱白化预处理，基于物理原理抑制频率选择性衰落，同时保留协议判别特征。为了减少对多发射机空中捕获数据的依赖，作者设计了一个合成重叠混合器，包含物理准确的每发射机信道和共享接收机信号链，用于预训练而无需大量现场数据采集。在公开的空中IEEE 802.11数据上，WhiteNet在未见信道条件下显著缩小了精度差距，同时使用比现有技术少7.7倍的参数，并可选择蒸馏为紧凑变体以在功耗受限的边缘设备上实现粗粒度频谱感知。实验证明了方法的有效性。

本文针对深度学习时代数据版权保护面临的两大威胁：未经授权的模型训练（非法利用数据训练模型）和恶意数据泄露（攻击者窃取或泄露受保护数据）。现有方法通常分别使用不可学习样本（unlearnable examples）和数字水印技术，但作者发现简单组合两者会因负面交互效应而失效。为此，论文提出一种新型版权保护机制，称为可逆不可学习样本（Reversible Unlearnable Examples）。该方法的核心思想是：在图像上添加精心设计的扰动，使模型在训练时学习到输入图像中与任务无关的特征，从而无法有效学习原始数据分布，达到防止非法训练的效果；同时，通过双提取器策略（两个不同的水印提取器）消除不可学习扰动对水印提取的干扰，确保合法数据所有者仍能从被扰动图像中提取水印以证明版权。具体实现上，生成扰动时最小化模型输入与输出之间的互信息，以增强扰动的泛化能力。在ImageNet、CIFAR10和Pets三个图像数据集上的大量实验表明，该方法能够提供比现有方法更全面的版权保护，既能有效阻止未经授权的模型训练，又能保证水印的可靠提取。论文还开源了代码。本文适合研究数据安全、模型鲁棒性和版权保护的技术人员阅读，但仅基于摘要，方法细节和实验具体数据需进一步查阅原文。

随着智能设备（如智能手机和平板电脑）的普及，移动应用生态蓬勃发展，但恶意软件也日益猖獗。尽管官方应用商店要求应用在上架前通过恶意软件筛查，许多恶意应用仍能通过隐藏复杂变种绕过检测，且其恶意行为往往仅在运行时触发，传统的静态分析难以识别，导致恶意软件可能在安装后才被察觉，进而对用户和设备造成不可逆的损害。针对这一问题，本文提出了一种名为 ShielDroid 的实时 Android 恶意软件检测框架，采用混合动态分析技术，通过分析应用运行时的行为来准确识别和分类复杂恶意软件。研究流程包括：首先对收集的数据集进行预处理和过滤，然后使用多种机器学习算法对应用进行分类，并对不同分类技术在检测准确率和执行时间方面进行了综合性能评估。实验结果表明，将随机森林（Random Forest）与多层感知机（Multilayer Perceptron）结合的混合模型取得了最佳综合性能，准确率达到 97.5%，执行时间为 22.945 秒。该框架能够提升移动设备安全防护能力，通过及时检测恶意应用降低网络攻击风险。本文的主要贡献在于提出了一个结合传统机器学习与深度学习的混合动态检测方案，并在实际数据集上验证了其有效性，为移动端恶意软件检测提供了新的思路。适合移动安全研究人员、SOC 分析师及移动应用安全工程师阅读。

本文提出了一种名为 FaceObfuscator 的新型人脸图像混淆方法，旨在防御基于深度学习的隐私攻击。随着人脸识别技术被广泛应用于身份认证和公共安全，人脸图像中包含的丰富生物特征也面临着被恶意模型窃取的风险。现有的人脸脱敏方法通常依靠像素级扰动或对抗扰动来保护原始身份，但这些方法要么会显著损害图像的可用性，要么在新的攻击模型面前鲁棒性不足。FaceObfuscator 的核心思路是生成一种对人脸识别特征提取过程具有梯度下降抵抗性的混淆特征，使得攻击者即使获取了混淆后的图像，也难以通过反向传播或其他基于梯度的优化方法还原出有效的深层身份特征。该方法并非简单地在图像空间施加扰动，而是通过一种可学习的变换，使图像在视觉上仍保持自然的人脸外观，但在特征层面主动干扰攻击模型的梯度信息，从而阻止其学习到可迁移的身份表征。作者在多个公开人脸数据集上进行了实验评估，对比了不同黑盒和灰盒攻击场景下的防御效果，并验证了混淆图像对人脸验证系统（如商用 API）的可用性。实验结果表明，FaceObfuscator 在防御多种深度学习隐私攻击的同时，能维持较高的图像视觉质量和可用性，优于现有对抗扰动和隐私保护方法。该研究为解决人脸数据发布和共享中的隐私泄露问题提供了一种新的技术路径，特别适用于需要公开分享人脸数据但又要保护个体生物特征隐私的场景。本文适合从事隐私保护机器学习、对抗样本研究和人脸识别安全研究的研究人员阅读，也值得关注数据合规和隐私工程的开发者关注。

本文提出了一种可解释的基于深度学习的Web攻击检测方法，核心目标是解决深度学习模型在Web攻击检测中‘黑盒’特性导致的不可信问题。现有基于深度学习的Web入侵检测系统虽然具有较高的检测准确率，但无法向安全分析人员解释为何将某条请求判定为攻击，这使得安全运营人员难以验证告警真实性、定位攻击特征并进行快速响应。为此，作者提出通过恶意载荷定位（Malicious Payload Localization）的方式，在给出检测结果的同时，明确指出请求中具体哪一部分字符或Token构成了攻击载荷，从而将模型决策过程转化为可读的、可验证的定位结果。研究中，作者设计了一种能够同时完成检测和定位的神经网络架构，利用注意力机制或多实例学习等方式，将分类概率映射到输入序列的局部片段，并通过约束训练让模型学习对恶意关键词或异常结构产生稀疏且集中的注意力，从而输出高分辨率的恶意载荷片段。在公开的Web攻击数据集（如CSIC 2010、CICIDS等）以及真实流量样例上，作者进行了大量实验，结果表明该方法在保持与现有深度检测模型相当甚至更优的检测性能（准确率、召回率、F1值）的前提下，能够较为精准地定位出恶意载荷的起止位置，且定位结果与人工标注的攻击特征具有较高重合度。此外，文章还探讨了该定位能力对模型鲁棒性的影响，发现引入定位任务有助于减少误报，并提升对未知攻击变体的泛化能力。本文适合从事Web安全检测、AI可解释性研究以及安全运营平台开发的工程师和研究人员阅读，其提供的可解释输出机制可直接嵌入现有WAF或NDR系统中，帮助蓝队更快完成告警研判和攻击溯源。

该论文面向医疗物联网（Healthcare-IoT, H-IoT）中的网络安全威胁，提出了一套基于深度学习的安全防护方案。H-IoT中可穿戴设备资源受限，传统复杂深度学习模型难以部署，同时现有数据集质量参差不齐，限制了安全模型的实用性。为此，论文开发了多个真实场景数据集，并设计了轻量级模型：时间卷积网络（TCN）和残差时间卷积网络（Res-TCN），用于检测DDoS、选择性转发（SF）和中间人（MITM）攻击。论文生成了三个数据集：UE-ECE-MQTT-DDoS-H-IoT2025和UL-ECE-UDP-DDoS-H-IoT2025分别通过Cooja和ns-3模拟捕获MQTT和UDP协议下的DDoS流量特征；UL-ECE-MultiAttack-H-IoT2025则融合生理信号和网络流量特征，覆盖多种攻击。模型基于监控频率进行检测，并采用动态阈值实现缓解。为支持边缘部署，模型被量化为TensorFlow Lite格式，成功在Raspberry Pi 4上实现实时DDoS检测，兼具低延迟和低功耗。论文最终建立了从数据集生成、轻量模型设计到边缘部署的完整H-IoT安全防御链路，为资源受限环境下的医疗设备安全提供了可行方案。适合物联网安全、医疗系统安全及边缘AI研究人员阅读。

该论文研究在动态Web流量中通过深度时间特征进行用户识别的问题。现代Web应用大量使用动态内容，例如通过XMLHttpRequest或Fetch API的页面更新，这些请求通常由用户操作（如键盘输入、鼠标点击）触发，因此用户操作的时间与携带这些事件的网络数据包时间高度相关。论文利用这一相关性，在加密网络流量中通过深度时间特征来度量用户行为。方法基于准确检测与用户操作对应的数据包子集，并借鉴了击键动力学的最新研究。实验表明，通过用户使用搜索引擎打字引起的网络数据包时间序列，可以以中等准确率进行用户识别。该工作对取证调查人员有帮助，可在加密流量中进行目标识别，但也引发了隐私担忧，即路径上的远程攻击者可能检测这些数据包并推断用户行为。

该论文针对跨深度学习框架API的一致性问题展开研究，提出了一种差分测试方法，旨在自动发现不同深度学习框架（如TensorFlow、PyTorch等）中同名或相似API之间的行为不一致性，并进一步揭示由此可能导致的安全漏洞。核心思路是构造能够触发API行为差异的测试输入，通过对比多个框架在同一API调用下的输出或行为，识别不一致点。实验部分作者构建了大规模测试套件，覆盖主流框架，并成功发现了多类不一致性，包括数值精度误差、错误处理差异、甚至某些API在特定框架下存在未文档化的行为或潜在安全隐患（如内存泄漏、崩溃等）。论文的主要贡献在于：首次系统性地定义了跨框架API不一致性的类型与严重程度；提出了高效的差分测试生成策略；并基于发现的不一致性，进一步分析了其对依赖多框架部署的应用（如模型转换工具）的安全影响。读者群体包括深度学习框架开发者、安全研究员以及依赖多框架兼容性工程的从业者。

本文针对传统硬件特洛伊木马检测方法难以发现休眠态木马的问题，提出一种基于神经控制微分方程（NCDE）和功率迹分析的早期检测与预测方法。该方法首先在无木马数据上训练NCDE模型，学习芯片的正常功耗行为模式；随后结合线性判别分析（LDA）分类器，利用标注数据区分无木马、休眠木马和激活木马三种状态。通过滑动窗口处理侧信道测量值，NCDE模型能够捕捉微小的功耗偏差，即使木马处于休眠状态也能被识别。实验在标准硬件木马基准测试集上进行，结果表明该方法比传统机器学习方法具有更高的检测准确率，且对超过灵敏度阈值的休眠木马同样有效。主要贡献包括：首次将NCDE用于硬件木马检测、实现了对休眠木马的早期预警、以及通过功耗时序分析提升了检测鲁棒性。适合硬件安全研究人员、芯片设计验证工程师以及侧信道分析从业者阅读。

该论文针对深度学习网络入侵检测系统（NIDS）评估中的可重复性和公平性问题展开研究。现有评估通常假设数据分布静态，忽略随机性和环境变化的影响，导致报告性能无法反映真实部署情况。作者聚焦于能够感知并适应数据分布偏移的先进模型（shift-aware models），通过控制变量实验，系统分析了随机种子、训练数据划分、超参数、环境噪声等随机和环境因素对F1分数等指标的影响。实验表明，即使是微小的变化也可能导致F1分数大幅波动，影响结果的可重复性；部分因素会显著偏斜性能。基于发现，论文提出了一系列实用建议，包括固定随机种子、使用多次重复实验、报告置信区间、统一评估协议等，以支持深度学习NIDS的公平和可重复评估。该工作对于推动NIDS领域的科学评估方法具有重要参考价值。

近年来深度学习模型与平台爆发式增长，但现有机器学习即服务（MLaaS）架构通常假设模型完全可信，忽略了模型所有者和用户双方的隐私需求。在实际安全多方计算场景中，模型所有者不愿泄露高价值模型参数，用户也不愿暴露私有数据样本。传统的隐私保护深度学习方案要求用户先同态加密数据再发送给模型所有者，由所有者承担沉重的密文域计算负荷。本文提出一种新型框架PrivDNN，通过将加密后的深度学习模型分发给用户，将计算卸载到用户侧；利用部分DNN加密（仅加密核心神经元）显著提升推理效率；并设计了核心神经元选择与加密方案，在保障模型准确率的同时保护模型隐私。实验表明，PrivDNN在保持模型性能与隐私的前提下，将隐私保护DNN推理时间与内存需求降低高达97%。代码已开源。

本文针对当前对抗鲁棒性评估方法的局限性，提出了一种新的评估框架。现有方法通常使用预定义的攻击集成（如AutoAttack）在单一扰动预算ε和少量范数下进行评估，存在三个根本问题：1) 模型间的鲁棒性-扰动曲线可能相交或以不同速率衰减，导致单ε排名不稳定；2) 无法证明评估结果的最优性，存在未知的对抗样本漏洞；3) 固定攻击配置无法系统控制攻击强度与评估成本之间的权衡。为解决这些问题，作者提出了一个基于最小范数攻击池的评估框架，涵盖ℓ0、ℓ1、ℓ2和ℓ∞四种攻击范数，并构建鲁棒性-扰动曲线。定义“攻击前沿”为攻击池对模型产生的最差鲁棒性估计，并将评估形式化为前沿逼近问题，通过选择最小范数攻击子集（即优化后的攻击集成）在可控的查询预算下逼近前沿，预算越大估计越紧。此外，定义“防御前沿”为每个扰动大小下模型集合的最优鲁棒性，并提出“防御最优性指数”（Defense Optimality Index）来对防御进行排序，无需选择单一ε。在CIFAR-10和ImageNet上的实验表明，所提攻击集成在固定和可控查询成本下，在大多数防御上匹配或超过AutoAttack。该工作为安全从业者提供了基于曲线和查询控制的替代性评估方法。

本文提出了一种端到端差分隐私（DP）训练框架，用于深度神经网络分类器。现有的DP机器学习方法通常同时对训练输入和标签进行隐私保护，但在标签可公开或可安全公开的场景下，这种保护过于保守。因此，作者提出仅对训练输入进行私有化，同时保持标签公开。该框架适用于具有softmax输出层的神经网络，softmax层的输出是一个到单位单纯形的映射。在训练过程中，作者通过应用Dirichlet机制对softmax输出进行随机化，从而对训练输入施加差分隐私，这也是“端到端”名称的由来。由于训练数据在多个训练周期中被重复使用，作者使用Rényi差分隐私来制定Dirichlet机制在重复使用下隐私强度的紧致界限。实验表明，在CIFAR10、MNIST、MedMNIST、FashionMNIST和SVHN数据集上，从零开始训练时，该方法在所有评估的隐私预算下均取得了最新的最高准确率。具体而言，当实现(ε, δ)-差分隐私且δ=10^{-5}时，在CIFAR10上，ε=4时准确率从之前的最优78.37%提高到88.17%；即使在ε=1时，该方法也达到了82.96%的准确率，显著优于先前工作。该方法的贡献在于：1）提出了仅对输入进行私有化的端到端DP训练框架，适用于标签公开的场景；2）利用Dirichlet机制和Rényi DP提供了严格的隐私分析；3）在多个标准数据集上实现了显著的精度提升，缩小了非私密与私密训练之间的差距。

本研究首次系统性地揭示了深度学习编译器中的编译不一致性漏洞（Compilation Inconsistency Vulnerability）。作者发现，即使是官方、未经修改的深度学习编译器，也可能在模型编译过程中静默改变模型语义，从而引入隐藏后门。研究从两个角度展开：对抗性设定和自然设定。在对抗性设定中，作者精心构造了良性模型，其中的触发器在编译前不产生任何效果，但经过编译器编译后，触发器变为有效的后门。在6个模型（包括ResNet、BERT等）、3个商用编译器（如TensorFlow XLA、PyTorch JIT、TVM）以及2种硬件平台（CPU和GPU）上的实验表明，该攻击对触发输入的成功率为100%，同时保持正常准确率，并能绕过最先进的防御检测器。攻击泛化到不同编译器、硬件和浮点设置。在自然设定中，作者分析了HuggingFace上排名前100的模型（包括一个下载量超2.2亿的模型），发现其中31个模型存在自然触发器，即在编译后模型对某些正常输入的行为发生改变。这表明即使没有对抗性操纵，编译器也可能引入风险。该工作首次暴露了深度学习编译器设计中被忽视的安全威胁，为构建安全可信的机器学习系统开辟了新方向。

该论文研究了现实网络中审查规避流量的精确检测问题。作者指出，目前最先进的Tor规避流检测方法存在严重的假阳性问题（即使基准率保守设定为10^-3，假阳性率仍超过94%）。为此，他们提出了一种结合深度学习流分类器和基于主机的检测策略的新方法：流分类器对单个网络流进行初步判断，而主机检测策略则利用多个流在时间上积累的信息来提升检测精度。实验基于超过6000万个真实网络流（目的地超过60万个），涵盖了六个数量级的规避流基准率和真实世界的协议分布。结果表明，随着时间累积信息，检测方法变得更加精确，最终实现了完美召回（100%检测率）且零假阳性。论文进一步指出，未来的规避系统设计需要更谨慎地考虑基于主机的检测策略，并给出了抵御此类攻击的设计建议。该研究对于理解现实审查威胁、改进防审查系统的鲁棒性具有重要意义。

本论文提出了一种针对增材制造（3D打印）系统的光学侧信道攻击方法，旨在窃取打印过程中的知识产权。作者通过分析3D打印机的视频记录，利用深度神经网络逐帧估计打印头的坐标轨迹。实验表明，该方法能够成功恢复任意打印过程的路径信息。通过数据增强技术，神经网络可以容忍摄像头位置、角度以及光照条件的一定变化，并且能够智能地进行插值，准确恢复训练数据集中未出现的图像坐标。该研究揭示了增材制造系统面临的光学信息泄露风险，对3D打印领域的IP保护提出了新挑战。

本文针对密码猜测任务中现有数据驱动模型对密码结构差异忽略导致训练偏差的问题，提出了一种混合密码专家框架（MoPE）。研究背景指出，当前密码强度评估方法通常将密码视为统一数据，忽视了不同密码的结构模式（如固定长度数字串、字母数字混合等），导致模型偏向于常见结构，降低了在非典型结构密码上的猜测性能。MoPE框架的核心思想是：首先，基于密码在潜在空间中的密度聚类现象，设计了一种结构感知的专家模型生成方法，将具有相似结构模式的密码分派给专门的子模型处理；其次，引入轻量级门控机制，根据输入密码的结构特征动态选择合适的专家模型输出可靠猜测，以匹配密码猜测任务的高计算频率需求。实验部分在多个真实密码数据集上评估了MoPE在离线与在线猜测场景下的表现，结果显示，相比当前最先进基线模型，MoPE在离线破解率上提升了最高38.80%，在线猜测率提升了9.27%。此外，作者基于离线MoPE实现了实时密码强度计（PSM），可在毫秒级响应延迟内帮助用户选择更强密码。该研究为密码猜测领域提供了一种结构感知的混合专家范式，显著提升了猜测效率和泛化能力。

本文揭示了一种新型的深度学习后门攻击——水平类后门（Horizontal Class Backdoor, HCB），与现有的垂直类后门（Vertical Class Backdoor, VCB）截然不同。在VCB攻击中，植入的后门通过特定触发器（如墨镜）可触发任意或特定源类别的样本误分类为目标类，但该触发器会污染整个目标类。而HCB攻击仅在被污染的水平子类（即目标类中的特定子集）激活后门，例如仅当某人佩戴墨镜时才误分类为另一人，而目标类中其他成员佩戴墨镜则无影响。这种攻击更简单、更隐蔽，且能轻松规避当前所有针对VCB的防御机制，因为防御者通常假设后门在类级别一致触发。作者通过理论分析和实验验证了HCB的有效性，并指出现有安全评估存在虚假的安全感，亟需开发针对此类新型后门的防御策略。论文为深度学习后门攻击领域开辟了新方向，具有重要的学术和实际意义。

本文提出 EXP-SEC 框架，旨在为基于深度学习的网络入侵检测系统（DL-based NIDS）生成的告警提供可解释性，使安全运营中心（SOC）的分析师能够理解告警背后的决策依据。研究背景是：现有DL-based NIDS虽然检测精度高，但缺乏可解释性，安全分析师难以验证或调试告警，导致信任度不足。核心问题是如何在保持解释质量的同时，匹配安全分析师基于流量特征和攻击模式的领域知识。EXP-SEC包含三个主要模块：（1）取证模块：从告警相关联的网络流量中隔离出可疑的数据包或流，定位引发告警的关键证据；（2）解释模块：采用可处理复杂特征依赖的机制，允许特征被划分成可能重叠的分组，并区分不同分组的重要性，从而生成更细粒度的解释；（3）多阶段映射模块：将解释模块输出的基于特征/分组的解释转化为适合安全分析师处理的领域特定解释（例如，直接指出“该连接使用了异常的端口组合”等）。实验使用多个最新的DL-based NIDS进行评测，结果表明：在分组级别和考虑重叠的解释效用指标上，EXP-SEC显著优于现有最佳解释框架xNIDS；在常规特征级别的指标（如描述准确性、稀疏性和稳定性）上，两者表现相近。此外，论文通过一个实际DL-based NIDS案例，展示了EXP-SEC输出的安全分析师友好型解释格式。该研究适合从事NIDS可解释性、安全运维自动化的研究人员及SOC技术负责人阅读。

攻击调查是安全运营中识别攻击步骤和根因的关键环节。传统方法依赖专家规则或图分析，难以应对复杂多步攻击。本文提出ATLAS，一种基于序列学习的攻击调查方法。核心思想是将系统日志转化为事件序列，利用深度学习模型（如LSTM）学习攻击模式，自动识别攻击路径。该方法首先对日志进行预处理，提取事件序列特征，然后使用序列分类模型区分正常与恶意行为。实验在真实数据集上验证，相比基线方法，ATLAS在精确率和召回率上均有显著提升，能够有效发现隐蔽攻击。主要贡献包括：1）提出序列化日志建模方式；2）设计轻量级深度学习模型；3）在多种攻击场景下验证有效性。适合安全分析师和研究人员阅读。

本文首次系统研究了针对基于深度学习的视频压缩与下游分类系统的对抗攻击。视频压缩在视频流媒体和分类系统中至关重要，旨在在有限带宽下最大化用户体验质量(QoE)。作者提出了名为RoVISQ的攻击框架，通过操纵视频压缩模型的率失真(R-D)关系，实现两个目标：(1)增加网络带宽消耗；(2)降低最终用户的视频质量。此外，该框架还设计了针对下游视频分类服务的定向与非定向攻击目标，使分类结果出错。RoVISQ的关键创新在于生成一种输入不变的通用扰动，能够实时且普遍地破坏视频压缩与分类系统，并且与以往攻击不同，该扰动能够抵抗压缩（即攻击效果不会因视频压缩而减弱）。实验在多个视频数据集上进行，结果表明RoVISQ攻击可使峰值信噪比(PSNR)降低高达5.6dB，比特率增加约2.4倍，同时对下游分类器的攻击成功率超过90%。用户研究也证实了攻击对用户QoE的显著影响。此外，RoVISQ在面对对抗训练、视频去噪和JPEG压缩等防御措施时仍表现出鲁棒性。这项工作揭示了深度学习视频压缩系统的安全漏洞，对视频流服务、监控系统和在线视频分类等应用构成实际威胁。

本文研究深度神经网络中后门植入的统计不可检测性。作者展示了一种对抗性模型训练者可以在大规模前馈神经网络中植入后门的方法，这些后门在白盒设置下是统计不可检测的，即后门模型与诚实训练模型之间的总变差距离很小，即使审查者拥有模型的完整描述（如所有权重）。后门提供了对每个输入的不变性对抗样本，能将相距很远的输入映射到异常接近的输出。然而，在没有后门的情况下，在标准密码学假设下，任何多项式时间内生成此类对抗样本都是不可能的。理论分析和初步实证结果表明，模型训练者与模型使用者之间存在根本性的能力不对称性。该工作揭示了恶意训练者可以植入理论上不可检测的后门，对模型供应链安全构成潜在威胁。适合安全研究者、机器学习工程师以及关注模型完整性的从业者阅读。

这篇论文研究了一种新型的深度学习模型后门注入方法。与传统的后门攻击不同，该方法不依赖于修改训练数据、观察代码执行或访问最终模型，因此被称为“盲后门攻击”。攻击者通过破坏模型训练代码中的损失值计算过程，在训练过程中动态生成带有毒化的训练样本，并利用多目标优化技术确保主任务和后门任务同时达到高精度。论文展示了多种比先前工作更强大的后门类型：在ImageNet模型上实现单像素后门（仅修改一个像素即可触发后门）、物理后门（通过物理世界中的特定图案触发）、隐蔽后门（将模型切换为侵犯隐私的隐蔽任务）以及无需推理时输入修改的后门（后门在模型内部被静态编码）。实验证明，这些盲后门能够逃避当前已知的所有防御机制。论文还提出了新的防御思路，但未给出具体防御方案。该研究揭示了深度学习供应链中训练代码本身可能成为攻击向量，对模型安全性构成严重威胁。适合机器学习安全研究人员、模型开发者和部署者阅读。

本论文是一篇关于深度学习硬件侧信道漏洞与防御措施的综述。随着深度学习模型在医疗、金融、安全等关键领域的广泛应用，确保其免受新兴威胁变得至关重要。侧信道攻击（SCAs）是一类特殊威胁，它利用硬件的物理或微架构特性（如功耗、电磁辐射、时序、缓存行为等）来窃取敏感信息，包括模型架构、参数甚至用户输入，而无需直接访问模型内部。论文首先对泄漏源和攻击者目标进行了分类：泄漏源可划分为时序、功耗、电磁、声学等；攻击者目标分为窃取模型架构、提取超参数、恢复输入数据等。接着，论文分析了多项代表性研究，这些研究展示了针对深度学习硬件（如GPU、TPU、FPGA）的实际侧信道攻击案例，证明攻击的可行性和危害性。例如，通过监控功耗或缓存访问模式，攻击者可以推断神经网络层数、激活函数类型、权重精度等信息。然后，论文回顾了现有防御措施，包括硬件层面的随机化技术、掩码方案、恒定时间执行，以及软件层面的混淆、噪声注入、屏蔽等。最后，论文指出了当前开放的研究挑战和未来方向，例如：如何在性能与安全之间取得平衡；针对新型架构（如Transformer）的侧信道攻击；以及更有效的自动化防护评估工具。本文适合安全研究人员、硬件设计工程师以及关注深度学习部署安全性的从业者阅读。

传统的恶意软件检测方法在面对混淆或未知威胁时泛化能力不足。本文提出 ThreatVisionAI，一种混合恶意软件家族分类框架，它集成了原始图像 CNN、基于小波的 CNN 和 Vision Transformer (ViT)，以捕获恶意软件图像中的互补空间、频域和全局关系特征。原始图像 CNN 提取空间纹理模式，小波 CNN 捕获多尺度频率信息，有助于区分密切相关的家族，而 ViT 分支则建模图像中的长程依赖关系。在 Malimg 数据集上评估，ThreatVisionAI 达到 98.01% 的准确率和加权 F1 分数 0.9742，其中小波域特征在少数类和视觉相似家族上提供了可衡量的增益。这些结果证实，频率感知和基于 Transformer 的表示改进了基于图像的恶意软件家族分类。本文的主要贡献在于将小波变换与 ViT 结合，提升了细粒度分类性能，为恶意软件检测提供了一种新颖的多模态融合思路。

该论文演示了深度学习驱动的自动车道居中（ALC）系统在物理世界攻击下的安全性问题。ALC是高级辅助驾驶系统的关键功能，依赖深度学习模型进行车道线检测和车辆横向控制。作者提出了一种物理世界对抗性攻击方法，通过在车辆前方道路放置精心设计的贴纸图案，成功欺骗ALC系统的车道线检测模型，导致车辆偏离车道或误判车道线位置。实验在真实车辆平台上进行，验证了攻击的有效性，并分析了攻击对车辆控制的影响。论文还讨论了现有防御机制的局限性，并提出了潜在的安全增强方向。该研究揭示了将深度学习模型部署于物理世界安全关键场景时面临的严峻挑战，强调了在自动驾驶系统开发中需纳入对抗性鲁棒性评估。

本文提出一种结合拓扑数据分析（TDA）与长短期记忆网络（LSTM）的混合方法，用于增强网络入侵检测系统（NIDS）的性能。研究背景：现代网络流量复杂多变，传统NIDS难以高效检测新型攻击。核心问题：如何同时捕捉网络流量的拓扑结构特征和时序依赖关系。方法：采用多层级架构，首先利用TDA中的持续同调（persistent homology）提取网络流量模式的拓扑特征（如Betti曲线和持续图），然后输入LSTM网络建模时间序列。实验使用CIC-IDS2017数据集，包含超过280万条带标签流、77个网络变量和14种攻击类别（如DDoS、暴力破解、Web攻击、渗透、僵尸网络）。主要贡献：混合模型在AUC和F1-score上均达到1.000，5折交叉验证平均AUC=1.000±0.000，平均F1=0.999±0.001。消融实验表明拓扑特征（F1=0.990）和时序特征（F1=1.000）互补。与TDA+随机森林（F1=0.994）和孤立森林（F1=0.835）基准相比，所提方法在多个攻击类别上表现最优。适合安全研究人员、NIDS开发者阅读。

本文提出一种名为 MM-BD 的后门攻击后训练检测方法，旨在检测深度神经网络分类器中的后门攻击，且不依赖于具体的后门嵌入模式。现有大多数后门检测器均假设攻击者使用特定的后门嵌入函数（如补丁替换或加性攻击），当攻击者采用不同的嵌入函数时，这些检测器容易失效。MM-BD 通过分析 softmax 层之前分类器输出的统计特性来检测任意类型的后门嵌入，其核心思想是利用后门攻击对分类器预激活输出分布的影响，该影响独立于具体的后门嵌入机制。具体而言，对于每个类别，估计一个最大间隔统计量（maximum margin statistic），该统计量反映该类样本预激活输出的分离程度。然后，采用无监督异常检测算法对这些统计量进行异常值分析，从而判断分类器是否被植入后门。该方法不需要任何合法干净样本，且能够有效检测具有任意数量源类别的后门攻击。在四个数据集（CIFAR-10、GTSRB、Tiny ImageNet 等）上，针对三种不同类型的后门模式（补丁替换、加性攻击和混合攻击）以及多种攻击配置（不同毒化率、源类别数量等），MM-BD 均取得了优于多个现有先进方法的检测性能。此外，论文还提出了一种通用的后门缓解方法，该方法在首届 IEEE Trojan 移除比赛中获得亚军，代码已公开。

本文提出了一种名为 Derail 的对抗攻击框架，针对当前生成式端到端自动驾驶规划器中的评分头（scoring head）进行攻击。生成式规划器（如基于扩散去噪或词汇检索的模型）在推理时，通常会生成一组候选轨迹（锚点、词汇条目或提议查询），然后通过一个或多个学习到的评分头（基于鸟瞰图特征）对候选轨迹进行打分，最终选择得分最高的轨迹作为输出。研究发现，评分头作为感知与运动指令之间的唯一屏障，其决策边界往往很小，容易受到微小的对抗扰动影响。Derail 框架通过优化安全违反目标（safety-violating objectives），使得原本安全的候选轨迹得分下降，而不安全的轨迹得分上升，从而翻转轨迹选择。实验在多种生成式规划器上进行，结果表明 Derail 能使得分下降 39%--80%，碰撞率高达 50%，且效果优于传统的损失最大化攻击和特征散度攻击。论文进一步分析指出，安全违反目标是攻击有效性的关键驱动因素，而评分头推理模式本身是一种反复出现的攻击面，值得防御者明确考虑。该研究揭示了自动驾驶生成式规划器的一个根本性安全缺陷，即对评分头的安全依赖性可能被利用导致严重碰撞事故。适合自动驾驶安全研究员、AI安全从业者以及自动驾驶系统开发者阅读。

该论文介绍了一项使用生成式深度学习（具体为生成对抗网络，GAN）进行密码分析的研究。研究背景在于传统密码分析方法往往依赖人工设计的启发式算法或数学求解，而深度学习尤其是生成模型在捕捉复杂分布方面具有潜力。核心问题是探索GAN能否用于学习和近似密码算法的统计特性，从而辅助或改进密码分析过程。方法上，论文提出了一个名为EveGAN的框架，通过对抗训练让生成器模拟“明文-密文”对的联合分布，而判别器则试图区分真实的密码对与生成器产生的假对。实验部分在简化密码系统上测试了EveGAN的能力，表明其能够在某些假设下恢复部分密钥信息或降低暴力破解搜索空间。主要贡献在于首次系统性地评估GAN在密码分析中的应用，并指出了生成模型在密码学分析中的潜在价值与局限。适合对AI与密码学交叉领域感兴趣的研究人员阅读，但需注意其攻击假设较弱，实际场景下的有效性仍需验证。

这篇论文系统研究了输入维度（input dimensionality）在深度神经网络对抗样本产生和定向控制中的作用。作者首先分析了现有基于测度集中（concentration of measure）的理论框架的适用范围与局限性，发现真实图像类别表现出强烈的经验局部化（empirical localization），超出了这些理论的典型假设。随后，他们利用涵盖不同输入维度范围的层级图像数据集和多种神经网络架构进行了大规模实证评估。结果表明，随着输入维度的增加，构造对抗样本（包括无目标和有目标攻击）变得更加容易。针对有目标攻击的额外难度，作者通过理论论证指出，高维几何特性使得强制攻击者指定特定目标标签所需的额外扰动相对于无目标攻击非常有限，并且这一差距随着维度升高而进一步缩小。实验也证实了这一点。总体而言，这项研究确立了高输入维度是对抗样本出现及其定向控制的一个基本因素，但该现象究竟源于高维几何与数据分布的相互作用，还是深度神经网络架构本身的特性，仍有待进一步探索。本文对理解对抗攻击的机理和设计更鲁棒的模型具有重要参考价值。

该论文聚焦于深度神经网络（DNN）在安全关键领域（如自动驾驶）中面临的对抗性样本威胁。现有防御方法存在诸多局限：只能防御部分对抗性样本，或导致正常输入的高精度损失，且多数无法抵御自适应攻击（即攻击者了解防御机制后针对性构造的样本）。作者观察到一种语义矛盾现象：人类对图像的感知与网络内部表征之间存在差异。基于此，提出一种新的检测方法，通过比较网络输出与人类可理解的语义标签是否一致来识别对抗性样本。具体地，该方法利用一个额外的语义一致性校验模块，该模块从网络中间层提取特征，并与输入的语义标签进行对比，若不一致则判定为对抗性样本。实验在多个基准数据集（如ImageNet、CIFAR-10）和多种攻击手段（FGSM、PGD、CW等）下进行，结果表明该方法能有效检测多种对抗性样本，同时对正常输入的精度损失极小。此外，该方法在自适应攻击下仍能保持较高检测率，展现了较好的鲁棒性。主要贡献包括：首次系统性地利用语义矛盾检测对抗性样本；提出一种轻量级、可插拔的检测模块，降低部署成本；通过大量实验验证了方法的有效性。该研究适合计算机视觉安全、DNN鲁棒性领域的研究人员及安全工程师阅读。

本文提出了一种名为 MINOS 的轻量级实时加密劫持检测系统，专门针对基于 WebAssembly (Wasm) 的加密劫持恶意软件。传统的动态分析检测方法需要恶意软件运行一段时间以收集动态特征，导致显著的计算开销。MINOS 利用深度学习技术，将 Wasm 二进制文件转化为图像，并使用卷积神经网络 (CNN) 模型进行图像分类，从而区分良性网页和利用 Wasm 进行未经授权挖矿的恶意网页。研究团队使用包含当前恶意和良性 Wasm 二进制的全面数据集训练模型。实验结果表明，MINOS 在实时检测中达到了 98.97% 的准确率，平均检测时间仅为 25.9 毫秒，CPU 占用率最高为 4%，RAM 占用率最高为 6.5%，证明其高效、轻量且计算成本低。该系统的核心贡献在于解决了传统方法的高开销问题，实现了即时检测，适用于浏览器安全场景。

在二进制逆向工程中，函数名是理解程序行为的关键线索，但剥离二进制文件（stripped binaries）中丢失了符号信息。现有方法通常利用静态特征或控制流图进行函数名预测，但忽略了代码执行过程中的动态语义和上下文敏感信息。本文提出 SymLM（Symbol Learning through Language Models with Execution Awareness），一种结合静态分析、动态执行轨迹和语言模型的全新框架，旨在为剥离二进制中的函数自动生成语义丰富的名称。该方法首先通过轻量级二进制插桩收集函数粒度的执行轨迹，提取内存访问模式、系统调用序列等运行时行为特征；同时利用静态反汇编构建上下文敏感的代码嵌入（包括调用上下文、数据依赖关系）。然后，设计一种双编码器架构：一个编码器处理静态控制流与数据流图，另一个编码器处理动态执行序列，两者通过注意力机制融合形成统一表示。最后，将该表示输入基于 Transformer 的解码器，以自回归方式预测函数名。在包含常用库和恶意软件样本的大规模数据集上，SymLM 在 top-1 准确率和命中率上均显著优于现有基线（如 DEEPMEM、Asm2Vec），尤其在处理复杂的系统级函数和混淆代码时表现出强鲁棒性。实验还证明，模型能够泛化到未见过的新二进制和编译器版本。该工作为自动化逆向分析、漏洞发现和恶意软件分类提供了实用的辅助工具，展示了将运行时语义融入代码表示学习的巨大潜力。

恶意软件检测是网络安全的核心挑战之一。传统基于静态特征（如签名、熵）的方法容易受到加壳（packing）技术的干扰，而基于可视化的方法将二进制字节映射为灰度图像，利用视觉分类器进行检测，具有抗规避和无需反汇编的优势。然而，可执行文件加壳会生成高熵图像，破坏模型依赖的结构模式，且加壳在良性软件中也普遍存在（如压缩或版权保护），因此仅靠加壳状态无法可靠区分恶意性。现有方法未能在统一的监督框架下解决这一问题。为此，本文提出 ViPER（Vision-based Packing-Aware Encoder for Robust Malware Detection），一种基于视觉的、具有打包感知能力的鲁棒恶意软件检测模型。ViPER 采用 LoRA 微调的 ViT-B/14 骨干网络，并设计双头架构，同时学习恶意软件分类和打包检测任务。打包感知门控机制根据推断的打包状态调节恶意软件分类的决策边界，从而对加壳和未加壳样本采用不同的决策规则。针对训练中打包标签分布不均的问题，使用频率加权损失和联合类-打包层的分层采样。实验在 200,000 张 Windows PE 字节图图像上进行，ViPER 的平衡准确率达到 0.8521，ROC-AUC 为 0.9260，AUPR 为 0.9279，在所有主要指标上均优于现有基线，且打包检测 AUC 达到 0.9949。该研究表明，显式建模打包状态能够显著提升基于视觉的恶意软件检测的鲁棒性。

该研究聚焦于生物特征识别系统中的欺骗攻击检测问题。随着人脸识别等生物特征系统在安防领域的广泛应用，攻击者利用伪造的生物特征数据（如照片、视频、3D面具）进行欺骗攻击的风险日益突出。为评估现有深度学习模型在检测此类攻击上的有效性，论文选取了四种代表性模型：轻量级MobileNetV2、密集连接DenseNet-121、多尺度Inception-v3以及基于特征解耦的STD（Spoof Trace Disentanglement）模型。研究采用CelebA-Spoof数据集进行训练和评估，该数据集包含大量真实和欺骗人脸样本，并利用准确率、精确率、召回率和F1分数等指标衡量模型性能。为进一步验证泛化能力，还在MSU-MFSD数据集上进行了跨数据集验证。实验结果表明，MobileNetV2在计算效率和检测性能间取得最佳平衡，达到92%的准确率，适合实际部署；Inception-v3表现出中等鲁棒性；而DenseNet-121和STD在泛化至不同数据集时性能下降明显，暴露出过拟合或特征学习不充分的问题。研究最后指出，未来需在领域自适应和混合架构方面取得突破，以提升生物特征安全系统的整体防护能力。该论文对安全研究人员选择或设计欺骗检测模型具有参考价值。

该论文重新审视了基于概念模型（Concept-based Models, CMs）中信息泄漏的传统观点。CMs是一类深度神经网络，其预测基于与人类可理解概念（如“圆形”、“条纹”等）对齐的表示。过往研究通常认为，CMs会学习到泄漏概念无关信息的表示，这种泄漏被视为不可取的，应予以消除，因为它会导致模型不可解释。然而，本文作者指出，这一传统观点在两方面存在缺陷：首先，泄漏导致模型不可解释的证据往往不具决定性；其次，在现实世界中常见概念不完备（concept incompleteness）的约束下，完全消除泄漏会导致模型不实用。作者论证，在概念不完备成为常态的实际场景中，一定程度的泄漏对于构建准确且可干预（intervenable）的CMs是必要的。据此，他们提出了“良性泄漏”（benign leakage）的概念，并通过重新构建典型的CM训练目标，使得模型能够主动鼓励并利用这种良性泄漏，而不会牺牲预测准确性或干预能力。论文通过理论分析和实验验证，展示了所提方法在多个基准上的有效性。该研究为CMs的设计提供了新视角，有助于在保持可解释性的同时提升模型实用性。适合机器学习、可解释AI领域的研究者和从业者阅读。

随着物联网设备的快速普及，网络安全问题日益严峻，入侵检测系统成为保护网络环境的关键。本文提出了一种基于改进的CNN-LSTM（卷积神经网络-长短期记忆网络）的入侵检测模型，用于物联网网络中的攻击检测。该模型结合了多分类、数据集集成和时间特征学习，旨在提升检测性能。研究使用网络流量数据，在入侵检测任务上评估了该方法，实现了约97%的准确率。实验结果表明，该模型能有效检测多种攻击类别，同时保持稳定的训练和验证性能。通过集成卷积和循环神经网络组件，框架能够捕获网络流量的空间和时间特征，从而提升物联网环境下的整体入侵检测能力。本文的主要贡献在于提出了一个融合CNN和LSTM的改进架构，充分利用了两者的优势：CNN提取空间特征，LSTM学习时序依赖，最终实现了高效且稳定的检测。适合从事物联网安全、入侵检测系统设计与开发的研究人员和工程师阅读。

该论文针对美国关键数字基础设施（医疗、金融、交通、能源、政府系统等）面临的日益复杂的网络威胁，提出了一种基于混合CNN-LSTM框架的智能网络攻击检测与防御系统。研究背景指出，传统的基于签名的入侵检测系统无法有效检测未知和变化的攻击。为此，作者利用CSE-CIC-IDS2018数据集（包含DDoS、暴力破解、僵尸网络、渗透攻击和Web攻击等真实流量场景），评估了多种机器学习和深度学习模型，包括随机森林、XGBoost、卷积神经网络（CNN）和长短期记忆网络（LSTM）。实验结果表明，混合CNN-LSTM模型在准确率、召回率和F1分数上优于单一模型，能够有效区分正常流量与恶意流量。该框架整合了数据预处理、特征工程、实时流量监控、智能威胁分类和自动防御机制，旨在提升美国关键基础设施的网络安全韧性。研究的主要贡献在于：1）对比评估了多种模型在真实数据集上的性能；2）提出了一种结合CNN空间特征提取与LSTM时间序列分析的混合架构；3）设计了可自动响应的防御流程。该工作适合安全运维人员、工业控制系统安全研究人员以及关注AI驱动入侵检测的从业者阅读。

本文提出了一种名为ESCORT的深度学习框架，用于检测以太坊智能合约中的多种漏洞类型。传统检测方法通常只针对单一或少数漏洞类型，且扩展到新类型时需要大量重新设计。ESCORT采用通用特征提取器学习合约字节码的通用语义，并针对每种漏洞类型设置独立分支，实现多标签分类，可同时检测多个漏洞。更重要的是，ESCORT利用迁移学习，当出现新的漏洞类型时，只需在预训练的特征提取器上添加新分支，并用少量数据微调即可，避免了重新训练整个模型的开销。实验基于361万个真实智能合约数据集，初始阶段在六种漏洞类型（如重入、时间戳依赖等）上平均F1分数达98%；迁移学习阶段对另外五种新漏洞类型平均F1分数达96%。与现有非机器学习工具相比，ESCORT可处理任意复杂度的合约，实现100%合约覆盖，并支持多漏洞并发检测，显著缩短检测时间。该研究是首个将迁移学习应用于智能合约漏洞检测的深度学习框架，并将开源数据集和标注工具链以促进后续研究。

本文提出了一种名为BARBIE的鲁棒后门检测方法，旨在解决深度学习模型共享中的安全风险。后门攻击会使模型在正常样本上表现正常，但在含有特定触发器的样本上产生恶意行为。现有检测方法利用良性模型与后门模型在潜在表示上的可分离性（latent separability），通过聚类或距离度量来区分，但这些方法容易被自适应攻击（adaptive attacks）绕过。BARBIE提出了一种新的度量指标——相对竞争分数（Relative Competition Score, RCS），通过刻画潜在表示对模型输出的主导性来表征可分离性，该指标对各种后门攻击具有鲁棒性，且难以被攻击者操控。该方法无需访问任何良性或后门样本，仅通过反转每个标签的两组潜在表示（一组反映良性模型的正常表示，另一组放大后门模型的异常表示）来计算RCS。基于RCS，BARBIE构建了一系列指标来全面反映后门模型与良性模型的差异。实验在4个数据集上对超过10,000个模型进行了验证，覆盖14种后门攻击类型，包括针对潜在可分离性的自适应攻击。与7种基线方法相比，BARBIE在源不可知攻击（source-agnostic）上平均真阳性率提升17.05%，源特定攻击提升27.72%，样本特定攻击提升43.17%，干净标签攻击提升11.48%，同时保持更低的假阳性率。该研究为模型供应链安全提供了有效的防御工具。

本论文研究了感知哈希（Perceptual Hashing）算法的安全性，重点关注其在实际应用（如版权检测、内容审核）中的脆弱性。作者提出了一种针对感知哈希的对抗性攻击方法，能够操纵图像使得其感知哈希值在攻击者控制下发生变化，而视觉效果保持相似或不同。具体来说，攻击者可以生成两张视觉上相同但哈希值截然不同的图像，或者视觉上不同但哈希值相同的图像。这种攻击利用了感知哈希算法对图像微小扰动的敏感性，通过优化噪声添加来实现。实验在pHash、DCT-based哈希等常见感知哈希算法上进行，证明了攻击的有效性。结果表明，基于感知哈希的应用可能被欺骗，从而绕过版权检测、虚假删除合法内容或隐藏恶意内容。论文还讨论了潜在防御策略，如更鲁棒的哈希设计或结合图像质量指标。该工作揭示了感知哈希在安全关键场景中的不足，对内容平台和数字取证领域具有重要警示意义。

论文《DeepAID: Interpreting and Improving Deep Learning-based Anomaly Detection in Security Applications》聚焦于安全领域中基于深度学习的无监督异常检测模型的可解释性问题。尽管深度神经网络在检测未知威胁方面表现出色，但其缺乏可解释性严重阻碍了实际部署。现有解释方法主要针对监督学习模型和非安全领域设计，无法直接适用于无监督模型，也难以满足安全领域的特殊需求（如误报分析、攻击溯源等）。为此，作者提出DeepAID框架，旨在为无监督深度学习异常检测模型提供解释。该方法通过分析模型内部表示和决策边界，生成与异常检测任务语义一致的解释，并利用解释结果指导模型改进，提升检测性能。实验在多个安全数据集（如网络入侵检测、恶意软件检测）上验证了DeepAID的有效性：相比基线方法，DeepAID生成的解释更准确、更符合安全专家认知，且能有效帮助安全分析师理解异常原因、减少误报。此外，作者还展示了如何利用解释反馈优化模型，使检测精度进一步提升。该工作为深度学习模型在安全运维中的可信应用提供了重要支撑。

本文针对物联网（IoT）环境中的入侵检测系统（IDS）面临的自适应、资源高效需求，研究了AOC-IDS——一种在IEEE INFOCOM 2024上提出的先进自主在线IDS。作者首先在UNSW-NB15基准上成功复现了AOC-IDS，获得了89.39%的准确率（原文为89.19%），验证了其可复现性。随后，他们识别出AOC-IDS的四个关键局限性：类别不平衡、不可靠的伪标签生成、泛化能力有限以及计算开销不适合IoT部署。针对这些问题，作者提出了三项改进：XGBoost-BalSamp方法（利用集成学习与平衡采样）在UNSW-NB15上达到95.45%的准确率，比基线提升6.26%；深度学习方法包括PseudoFilter（过滤不可靠伪标签）、MixupAug（数据增强）和LiteAE（轻量自编码器）在最佳运行中达到90.88%准确率（F1分数91.45%），超越原始论文，同时将模型参数减少55%。实验表明，这些针对性的改进在保持准确率提升的同时，显著降低了模型复杂度，使其更适合IoT边缘设备部署。本文的核心贡献在于系统性地分析了现有方法的不足，并提供了在准确性和效率之间取得平衡的实用解决方案。

该研究针对基于GAN的图像篡改技术日益成熟带来的数字取证挑战，系统比较了四种预训练CNN架构（VGG16、ResNet50、EfficientNetB0和XceptionNet）在假图像检测任务中的性能。通过统一的预处理和训练流程，对真实与篡改图像数据集进行缩放、归一化和数据增强，以解决类别不平衡并提升泛化能力。模型评估指标包括准确率、精确率、召回率、F1分数和ROC-AUC。实验结果显示，VGG16以91%的准确率领先，XceptionNet、ResNet50和EfficientNetB0均达到90%。EfficientNetB0对假图像表现出较高敏感性，但对真实样本的可靠性降低，反映出不平衡驱动的偏差。研究指出了数据集不平衡、过拟合和可解释性有限等局限，这些因素影响了跨域鲁棒性。该工作提供了一个可复现的基线，并强调了需要平衡数据集、先进的数据增强和公平性感知训练，以构建可靠的假图像检测系统。

本文提出了一种名为 SMA-DP-SGD（Spectral Memory-Aware Differentially Private Stochastic Gradient Descent）的新方法，旨在改进差分隐私深度学习中的效用问题。标准的差分隐私随机梯度下降（DP-SGD）通过对每个样本梯度进行裁剪并添加高斯噪声来保证隐私，但其高方差的更新会导致在困难数据集上的模型效用下降。SMA-DP-SGD 引入了一个基于历史私有化噪声释放的分数记忆分支，利用受 WeightWatcher 启发的谱幂律指数来提供分组层面的可靠性信号，并逐层实例化以调整衰减率和有效记忆深度。该方法通过私有历史对齐、范数匹配和预热激活来稳定记忆贡献。隐私保证是透明的：在给定私有释放历史条件下，记忆分支是固定的，唯一依赖于新数据的项是当前裁剪后的梯度之和乘以固定系数 β。因此，SMA-DP-SGD 保持了清晰的条件敏感度结构，并在 β=1 时精确恢复分组 DP-SGD。实验在 CIFAR-100、CIFAR-10 和 MNIST 上进行，结果表明该方法在多个差分隐私优化基准上取得了具有竞争力或更优的准确率，尤其在 CIFAR-100 和 CIFAR-10 上提升最大。CIFAR-10 的消融实验显示 β 控制着隐私-效用的权衡轨迹，谱和记忆诊断证实了可控的短至中等有效记忆深度以及较小的记忆分支占比。运行时分析表明，该方法在 CIFAR-10 实现中比 DP-SGD 增加了约 2.94 倍的开销，揭示了自适应私有记忆与计算成本之间的实际权衡。

该论文深入研究了深度神经网络（DNN）中对抗样本的可迁移性问题。传统的对抗样本攻击中，攻击者使用白盒替代模型生成对抗样本，这些样本能够欺骗其他不同架构的黑盒模型。尽管已有大量实证研究提供了生成高可迁移性对抗样本的指导，但许多发现缺乏理论解释，甚至给出矛盾的建议。本文聚焦于替代模型的特性，从“微鲁棒性”（little robustness）现象出发——即用轻微扰动对抗样本进行对抗训练的模型反而能作为更好的替代模型来发起迁移攻击。作者将此归因于模型平滑度（model smoothness）和梯度相似性（gradient similarity）之间的权衡，并强调两者对可迁移性的联合效应，而非单独影响。通过理论分析和实证研究，他们假设对抗训练中由离流形（off-manifold）样本引起的数据分布偏移是损害梯度相似性的原因。基于此，进一步探讨了常见数据增强和梯度正则化对可迁移性的影响，分析了不同训练方法中权衡的表现，构建了可迁移性调节机制的综合蓝图。最后，提出一种通用路线来构建优质替代模型以提升可迁移性，即同时优化模型平滑度和梯度相似性，例如结合输入梯度正则化和锐度感知最小化（SAM），并通过大量实验验证。总结来说，论文呼吁关注这两个因素对发起有效迁移攻击的联合影响，而非单独优化其中一个，并强调操纵替代模型的关键作用。适合从事对抗机器学习、模型鲁棒性研究的学者和工程师阅读。

该论文提出一个端到端统一框架，弥合了威胁检测与可操作响应之间的鸿沟。系统由两个紧密耦合的阶段组成：首先，一个由三个独立训练的二元深度神经网络（DNN）组成的集成模型对网络流量进行分类，区分良性、拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击，在CICIDS2018数据集上达到99.84%的准确率，在UNSW-NB15数据集上达到95.30%的准确率。其次，一个检索增强生成（RAG）管道从排名前五的异常特征构建解释感知的提示，从权威来源的知识库中检索语义和词汇最相关的指导，并引导本地部署的语言模型合成结构化、引用依据的缓解报告。实验表明，RAG增强的缓解报告在所有自动评估指标上均优于普通的大语言模型输出。该框架旨在直接回答安全分析师最关心的问题：下一步该怎么做？

该论文提出了一种名为 LACMUS（Latent Concept Masking for Robustness）的通用鲁棒性增强方法，旨在提升深度神经网络（DNN）对对抗攻击和分布偏移的鲁棒性。作者认为，DNN 对对抗扰动和分布漂移的敏感性源于模型过度拟合数据集中的非共同概念（non-common concepts），导致依赖特定学习实例而增加脆弱性。LACMUS 通过将高维数据映射到潜在概念空间，识别并导航“非共同概念”的模式，然后应用概念掩蔽策略选择性遮蔽数据特征，迫使模型基于更广泛的信息进行决策，从而增强决策鲁棒性。该方法是一种攻击无关（attack-agnostic）的框架，采用概念级增强（concept-wise augmentation）来提升模型对多种对抗、语义和分布挑战的鲁棒性。论文贡献包括：开发了鲁棒性增强工具、提供了将数据映射到潜在概念空间的机制、识别概念级误分类模式的策略、以及利用潜在概念的新颖数据增强模块。实验在 MNIST、CIFAR-10、ImageNet 和 CelebA 数据集上进行，验证了 LACMUS 在增强模型弹性和泛化能力方面的有效性，即使训练数据稀缺时也有效。此外，论文向研究社区提供了增强后的数据集，以支持模型鲁棒性训练。

本文系统性地研究了现代神经网络中后门攻击的密码学不可检测性问题。传统后门攻击往往依赖特定的触发器模式，且容易被防御机制检测。受近期密码学进展启发，作者提出了一种基于潜在空间方向的攻击框架，将后门通道建模为网络在训练过程中学习的潜在方向。核心创新在于：将不可检测性问题转化为一个假设检验问题——攻击者无需引入外部结构，而是利用网络自身几何中已存在的方向作为后门载体。通过在标准图像分类数据集上对ResNet和Vision Transformer架构进行实验，该方法在保持干净样本精度几乎不下降的同时实现了持续的高攻击成功率，并能抵抗多种主流的后训练防御（如剪枝、微调、神经元清洗等），除非将模型完全破坏。作者进一步从理论上论证，由于模型参数的分布复杂，区分后门模型与干净模型的假设检验在实践中是难解的，从而建立了后门的密码级不可检测性。该工作表明，密码学意义上的后门并非只能用于理论架构，而是现代深度学习模型潜在空间固有几何属性的直接体现，对AI安全领域具有重要的理论推进价值。

本文提出了一种新颖的对抗训练方法，称为“分裂差异”（Splitting the Difference）。标准的对抗训练通常在提升模型鲁棒性的同时牺牲自然准确率，且试图为每个类别学习一个统一的决策边界来同时覆盖干净样本和对抗样本。作者反其道而行之，将每个原始类别拆分为两个独立的子类：“干净”（clean）和“对抗”（adversarial），从而将分类任务从K类扩展为2K类。虽然类别数量翻倍，但每个子类的决策边界变得简单得多，有利于模型学习。论文从理论上给出了该方法有效的条件论证，并通过实验在CIFAR-10数据集上取得了95.01%的近最优自然准确率，同时保持了显著的鲁棒性（针对多种攻击）。该方法在自然准确率要求极高的实际应用中具有优势，是对抗训练领域的一个重要创新。本文适合对深度学习鲁棒性、对抗样本防御感兴趣的研究者和工程师阅读。

该论文提出一种名为 Holmes 的新型早期阶段网站指纹攻击方法，旨在解决现有基于深度学习的 WF 攻击在实际动态网络环境和各种防御机制下性能显著下降的问题。传统 WF 攻击依赖收集完整且纯净的页面加载流量，但实际中往往只能获取早期小部分流量，导致攻击效果不佳。Holmes 通过分析网站流量的时间分布和空间分布来实现早期阶段的稳健识别。具体地，它基于网站流量的时间分布设计自适应数据增强方法，并采用监督对比学习提取早期流量与预收集完整流量之间的相关性；然后通过计算流量与空间分布信息的相似度，准确识别早期阶段流量。作者在六个数据集上进行了广泛评估，与九种现有深度学习 WF 攻击相比，Holmes 对早期流量的 F1 分数平均提升 169.18%。此外，在真实暗网网站访问流量重放实验中，当平均页面加载比例仅为 21.71% 时，Holmes 仍能成功识别暗网站点，平均精确率提升 169.36%。该研究揭示了现有 WF 防御在早期流量分析下的脆弱性，对流量分析隐私保护领域具有重要参考价值。

网站指纹识别（Website Fingerprinting, WF）是一种通过分析加密流量模式来推断用户访问了哪些网站的技术。近年来，基于深度学习的方法在封闭世界数据集上表现出色，但在真实网络环境中，由于地理分布和时间推移等因素，泛化能力严重不足。论文指出，其根本原因在于两个挑战的耦合：应用层资源组合的变异性（如网页包含不同对象）和跨层封装导致的观测特征不稳定性（如TCP分段、MTU影响）。这些因素共同导致底层应用语义与可观测流量特征之间的系统性偏移。为解决该问题，作者提出了 SATA（Semantics-Aware Traffic Augmentation）语义感知流量增强框架。SATA 首先基于协议规则进行应用层语义增强，扩展每个流中的资源组合模式以及协议约束下的帧序列模式；然后通过知识蒸馏引入跨层特征对齐机制，将增强后的帧序列特征与包长度序列特征对齐，实现增强语义与观测序列的跨层特征对齐。大量实验表明，SATA 能够成功生成训练集中不存在但测试集中真实存在的流量模式，显著提升主流模型在多样复杂场景下的性能。在开放世界设定下，准确率提升 90.81%，AUROC 提升 48.37%。原型系统代码已开源。

软件漏洞检测对于确保软件安全性和可靠性至关重要。尽管深度学习取得了进展，但真实世界的漏洞数据集面临两个严重挑战：频率不平衡（少数类漏洞样本稀少）和难度不平衡（易检测与难检测样本的区分度不足）。本文从嵌入几何的角度重新审视这些问题，观察到这种不平衡会在超球面表示空间中引起几何失真，导致决策边界不稳定。为解决这一问题，作者提出了MARGIN（Margin-Aware Regularized Geometry for Imbalanced Vulnerability Detection），一个基于度量的框架，通过自适应边界度量学习和超球面原型建模来学习具有判别性的漏洞表示。MARGIN根据von Mises-Fisher浓度估计的分布结构动态调整几何正则化，使嵌入分布的概率质量与其对应的Voronoi单元对齐，从而减少几何失真，产生更稳定的决策边界。在多个公开漏洞数据集上的实验表明，MARGIN一致优于强基线，尤其在具有挑战性的不平衡数据集上，分类和检测性能显著提升。进一步分析显示，MARGIN产生的嵌入几何结构更有序，提高了鲁棒性、可解释性和泛化能力。

本文提出了一种新的差分隐私随机梯度下降（DP-SGD）变体，称为分数阶差分隐私随机梯度下降（FO-DP-SGD）。传统的DP-SGD通过逐样本裁剪、子采样、高斯扰动和隐私会计来保护隐私，每步只释放当前裁剪并加噪的梯度求和。FO-DP-SGD在加噪之前将当前裁剪的梯度求和与过去若干步已释放的私有求和输出进行加权聚合，其中权重遵循幂律分布（分数阶记忆），从而在释放机制中引入分数阶记忆。该方法保持了标准的“求和-加噪-除以批量大小”结构。在Poisson子采样下的增/删邻接关系中，敏感性分析表明只有当前步的裁剪求和是新的数据依赖项，因此有效ℓ2敏感性至多为βC（C为裁剪阈值，β∈(0,1]控制当前步贡献）。因此，FO-DP-SGD可借助Poisson子采样高斯机制的标准每步Rényi差分隐私会计来获得全局(ε,δ)-差分隐私保证。FO-DP-SGD提供了一个研究私有优化中长期记忆效应的框架，分数阶、记忆窗口和混合系数共同调节当前步敏感性、信号保留和私有历史影响之间的权衡。在SVHN、CIFAR-10和CIFAR-100数据集上的实验表明，与DP-SGD、DP-Adam、DP-IS、SA-DP-SGD、ADP-AdamW、DP-SAT和DP-Adam-AC等基线相比，FO-DP-SGD在测试准确率和隐私-效用权衡方面均有提升。

本文提出了一种名为 TIPSO-GAN 的新型优化生成对抗网络，用于解决恶意网络流量检测中的关键挑战，如数据不平衡、高维特征及标记样本稀缺。作者首先分析了传统机器学习方法在恶意流量检测中的局限性，指出它们依赖手工特征且对未知攻击泛化能力弱。TIPSO-GAN 的核心思想是利用生成对抗网络（GAN）的对抗训练过程，并结合一种新颖的优化策略（可能基于粒子群优化或进化算法，从名称推断），以生成高保真的合成恶意流量样本，从而扩充训练数据集并提升分类器的鲁棒性。具体地，生成器负责学习真实恶意流量的分布，判别器则区分真实与合成流量；优化模块通过搜索超参数或架构配置进一步提升生成样本的质量和多样性。实验部分在多个公开数据集（如 CIC-IDS2017、UNSW-NB15）上进行了评估，结果表明 TIPSO-GAN 在检测率、假阳性率以及对抗样本鲁棒性等指标上优于经典 GAN 变体（如 WGAN、CGAN）和传统机器学习模型（随机森林、支持向量机）。消融实验证实了优化策略的有效性。该工作不仅提供了一种实用的数据增强工具，也为对抗学习在网络安全领域的应用提供了新思路。

本文针对商用深度学习服务中的对抗样本检测问题，提出了一种名为“建设性噪声”的新型防御方法。该方法通过向输入数据添加精心设计的噪声，使得正常样本和对抗样本在模型内部表示上产生可区分的差异，从而有效检测出对抗扰动。核心思路是利用噪声的构造性来对抗攻击者的破坏性噪声，通过设计一个噪声生成网络，使其输出与模型决策边界对齐，增强正常样本的鲁棒性同时放大对抗样本的异常特征。实验在多个商用DNN服务（如云端分类API）和标准数据集上进行，结果表明该方法能在保持较低误报率的前提下，显著提升对抗样本的检测率，且对多种攻击算法（如FGSM、PGD、C&W）具有泛化能力。主要贡献包括：1) 提出一种无需修改原始模型的新型检测框架；2) 设计了噪声构造与融合机制；3) 在真实商用场景中验证了有效性。适合从事AI安全、对抗机器学习防御的工程师与研究人员阅读。

本文研究了深度神经网络中对抗性噪声在不同层间的非均匀传播现象，并首次从理论上给出了形式化的对抗噪声放大定理。作者推导出一组充分条件，保证对抗噪声在特定层或特征空间中以可预测的方式放大，从而为对抗样本检测提供了坚实的数学基础。基于理论分析，他们提出了一种新的训练方法：通过设计定制的谱损失函数和特定的网络架构，强制模型在正常输入与对抗输入之间产生显著不同的噪声放大模式。该方法在训练阶段引入额外的正则化项，使模型对对抗扰动更敏感，同时保持对干净样本的识别能力。在推理阶段，他们开发了一种轻量级的检测机制，仅需一次前向传播即可利用放大的噪声信号判断输入是否对抗，无需额外计算或外部知识。通过在多个基准数据集和多种先进攻击（包括自适应攻击）上的实验，验证了检测器具有高检测率和低误报率，证明了增强的噪声放大可以作为一种鲁棒且可靠的防御信号。本文的主要贡献在于：1）从理论上证明了对抗噪声放大的存在条件；2）提出具体可行的训练与架构设计方法来增强该信号；3）实现了一种高效且仅在推理时运行的检测方法。适合从事深度学习安全、对抗防御研究的人员阅读。

该论文研究了机器遗忘（Machine Unlearning）领域中的类别级遗忘问题，提出了一种基于 SISA（Sharded, Isolated, Sliced, and Aggregated）框架的改进方案，用于卷积神经网络（CNN）架构。随着图像生成模型等AI系统的普及，数据隐私和用户同意问题日益突出，当用户要求删除其数据时，模型需要能够移除特定数据的影响而无需完全重新训练。论文提出的方法在标准SISA基础上引入了强化重放机制（reinforced replay mechanism）和门控网络（gating network），以增强选择性遗忘的效率。实验在多个图像数据集和不同CNN配置上进行，结果表明该方法能够有效实现类别级遗忘，在保持模型性能的同时显著降低重新训练的开销。论文还指出了SISA类遗忘方法在隐私敏感型AI应用中的部署潜力，并公开了实现代码。适合对机器学习隐私、数据删除合规性以及模型维护效率感兴趣的研究人员和工程师阅读。

eDySec 是一个基于深度学习的动态行为分析框架，旨在检测 PyPI 生态系统中的恶意包。随着下一代软件供应链攻击（如多阶段恶意软件执行、远程访问激活和动态载荷生成）的兴起，传统机器学习检测器因动态行为数据的高维稀疏性（包括系统调用、网络流量、目录访问模式和依赖日志）而性能下降、稳定性差且缺乏可解释性。本文利用 QUT-DV25 数据集（捕获包安装时和安装后行为）评估多种深度学习模型，并研究特征集以识别最具判别力的属性。框架整合了模型稳定性分析和可解释 AI 技术，提供稳定的透明决策。实验结果表明，eDySec 显著优于现有方法：将特征维度减半，误报率降低 82%，漏报率降低 79%，准确率提升 3%，并达到近乎完美的稳定性，每个包推理延迟仅 170 毫秒。研究还发现特征与模型选择至关重要，某些组合会降低性能。该工作深化了对动态分析应对下一代攻击的优势与局限的理解。

本文聚焦于侧信道分析（SCA）中的电磁（EM）探针位置鲁棒性问题。传统的SCA通过采集加密操作中的物理泄漏（如电磁辐射）来破解加密算法。在评估芯片的电磁泄漏时，通常需要将探针放置在芯片上方的有利位置，但现有的研究大多集中在热点发现和重定位上。本文提出了一种新方法：使用来自多个EM探针位置的迹线训练单个神经网络，从而在更大的区域内检测泄漏。作者进行了双实验室评估：一个实验室的数据用于训练，另一个实验室的迹线用于攻击，验证了方法的跨设备泛化能力。实验表明，该方法能够有效应对探针位置变化带来的挑战，提高了侧信道分析的实用性和鲁棒性。这项研究对于硬件安全评估和抗侧信道防护设计具有参考价值。

本文针对快速对抗训练（FAT）中存在的两个核心问题展开研究：（1）灾难性过拟合（CO），即模型过度拟合训练时使用的对抗样本，导致对未见攻击泛化能力差；（2）鲁棒性与准确率之间的权衡，即在提高鲁棒性的同时往往导致干净样本上的性能显著下降，且随着扰动预算增加而加剧。作者首先通过将样本按置信度分组，系统分析了引导强度（扰动和监管水平）如何影响模型性能，发现低置信度样本是引发CO和鲁棒-准确率权衡的主要因素。基于此洞察，提出了一种分布感知动态指导（DDG）策略，该策略根据样本在真实类别上的置信度动态调整扰动幅度和监督信号：一方面，根据置信度缩放扰动大小，引导样本朝向一致的决策边界，同时减少对虚假相关性的学习；另一方面，基于每个样本的预测状态动态调整监督信号强度，避免过度强调错误信号。此外，为缓解动态指导可能带来的梯度不稳定，设计了加权正则化约束。在标准基准测试（如CIFAR-10、CIFAR-100等）上的广泛实验表明，DDG能有效缓解CO和鲁棒-准确率权衡，在保持较高干净准确率的同时显著提升鲁棒性。本文适用于对对抗训练、模型鲁棒性及深度学习安全感兴趣的研究人员。