在智能家居、可穿戴设备等传感器密集型环境中，系统通过异构的多传感器数据流推断用户正在使用的应用，从而提供智能服务。然而，并非所有应用都应该被识别——用户希望某些活动保持私密。现有隐私保护方法（如差分隐私、基于规则的过滤）仅针对单一数据流，无法应对攻击者利用跨传感器关联推断出用户隐私的风险。为此，论文提出一种名为 PrivateHub 的隐私保护框架，采用对比学习与扩散模型的结合，生成合成的多传感器数据流。该方法生成的数据可以保持非私密应用的可检测性，同时有效掩盖私密应用的存在。PrivateHub 包含两个训练阶段：应用条件预训练（ACP）和应用感知微调（AAF）。ACP 阶段利用应用嵌入对多传感器数据进行条件生成建模，使模型理解应用类别与传感器模式的关系；AAF 阶段通过对比学习将私密和非私密数据在表征空间上分离，并优化生成器使得私密应用在合成数据中对应的特征与真实数据混淆，从而显著降低攻击者分类器对私密应用识别的准确率。论文还定义了多传感器共享场景下的威胁模型，假设攻击者直接访问用户共享的原始传感器数据流，并尝试推断用户正在使用的应用。在三个真实多传感器数据集上的实验表明，PrivateHub 能将私密应用的识别准确率降低 40% 到 50%，同时非私密应用的分类性能几乎不受影响。即使在攻击者利用合成数据对自身模型进行再训练的情况下，该方法的隐私保护效果依然稳定，说明其并非依赖简单的噪声扰动，而是产生了具有泛化性的特征混淆。本文的主要贡献包括：提出了首个面向跨传感器推断风险的扩散生成式隐私保护方案；设计了对比学习与条件扩散模型的结合机制；给出了完整的威胁模型和评估协议。该研究适合可信机器学习、隐私保护、物联网数据共享等方向的学者及从业者阅读。

本论文针对大规模扩散模型（如 DDIM 和 Stable Diffusion）的知识产权（IP）保护问题，提出了一种新颖的模型所有权验证框架 MiO（Membership is Ownership）。研究背景是：扩散模型在训练过程中消耗大量计算资源和高品质数据，因此被视为 OpenAI、Google 等科技公司的重要商业资产，但这些模型容易被攻击者窃取并用于定制化或商业用途。现有 IP 保护方法主要是训练时水印注入，但会带来可衡量的效用损失，且容易在后续微调中被削弱。MiO 方法不修改原始模型或采样流程，而是基于私有成员证据数据集进行群体水平的假设检验，通过两个标准验证所有权：一是利用成员推断进行模型归因，二是从公开参考模型中分离出待验证模型。两个标准均在 p<10^-6 的显著性水平下成立。作者在 DDIM 和 Stable Diffusion 模型上进行了评估，报告了 ROC-AUC 和固定误报率下的真阳性率。此外，MiO 在对抗场景下（如窃取后微调、权重扰动）保持稳定，表现出比水印方法更好的鲁棒性。该研究的核心贡献在于首次将成员推断用于扩散模型的所有权验证，且无需牺牲模型效用，为 AI 模型 IP 保护提供了新思路。适合 AI 安全研究人员、模型所有者和平台方阅读。

本文针对5G赋能的网络物理系统（CPS）中基于深度学习的DDoS检测器所面临的两大挑战：标注攻击数据稀缺，以及现有合成攻击样本不真实。传统检测器在手工构造、使用固定缩放因子的攻击样本上训练，一旦遭遇符合真实分布的攻击流量，性能会急剧下降（F1分数下降约47%至100%，取决于具体场景）。为此，作者提出Diff-DDoS，一个三阶段框架，利用表格扩散模型实现逼真攻击样本的合成与鲁棒检测。阶段一：基于呼叫详细记录（CDR）生成的时空网格，训练一个基线CNN小区级检测器。阶段二：在正常CDR聚合数据上训练表格去噪扩散概率模型（TabDDPM），用于生成贴近真实分布的攻击样本，从而暴露检测器的脆弱点。阶段三：引入对抗扩散训练（ADT），通过逆分类器引导生成困难但仍保持分布特性的样本，迭代训练直至检测器收敛。在米兰CDR数据集上，针对短信洪泛、静默呼叫、互联网信令和混合攻击场景，采用ADT训练的ResNet50在静默呼叫、互联网和混合场景下分别恢复了79.62%、100%和92.79%的F1分数。经过基于验证集的阈值校准后，ADT在短信洪泛场景达到100%的F1分数，而CTGAN仅为47.3%；在静默呼叫场景下，ADT与最强的基于梯度的对抗训练基线表现相当。实验结果表明，表格扩散模型可有效用于数据稀缺的5G网络物理部署中入侵检测器的压力测试与加固。

本文提出 DiffSafeMerge (DSM)，解决扩散模型 checkpoint 合并过程中的后门继承问题。在无条件下扩散模型合并场景中，通常假设来自公共仓库的 checkpoint 是良性来源，但攻击者可能发布一个包含休眠后门的恶意 checkpoint。当它与良性模型合并后，生成的图像在常规条件下表现正常，但一旦遇到特定触发器，就会产生攻击者指定的目标输出。由于防御方不知道哪个源是恶意的、触发器形状或目标类别，直接对合并后的模型进行广泛消毒（sanitization）又可能显著降低生成图像质量，因此缓解十分困难。DSM 的核心理念是：仅使用一个小的未标记干净数据集和一组固定的、与具体攻击无关的“压力探针”，对参与合并的源模型各个层块（blocks）进行评分，识别出可疑贡献；然后将其权重向一个可信的参考模型收缩，并在一个干净去噪损失预算的约束下选择衰减强度，从而在不破坏正常生成能力的前提下削弱后门。论文评估了四种不同的后门攻击、两个数据集和 21 个目标条件。结果表明，在 14 个源案例中，有 10 个案例的预期合并操作本身就已实现 worst-target ASR（最差目标攻击成功率）为零；DSM 能够保持这些良性结果，在其余 4 个案例中，三个不同随机种子下都没有记录到任何目标匹配，其中包括三个基线 ASR 高达 48%–100% 的案例。与在两个数据集上均能达到零 worst-target ASR 的其他防御方法相比，DSM 在 seed-0 的匹配比较中获得了最低的案例平均 FID，说明其在防御后门的同时保持了最好的生成质量。该研究面向模型供应链安全、扩散模型安全以及 AI 模型可信赖部署方向，适合模型安全研究员、ML 系统防御者和安全工程师阅读。

本文研究了扩散模型语义水印系统的一个关键安全漏洞。语义水印被广泛用于保护潜在扩散模型（LDM）生成的图像版权，但其检测流程依赖神经网络，这引入了被植入后门的攻击面。作者提出了 GhostVAE，一种通过在后变分自编码器（VAE）的编码器中植入隐蔽后门的方法，能够可靠地规避语义水印检测。GhostVAE 采用两阶段攻击：首先通过功率谱正则化构造通用触发器，提升触发器的鲁棒性；然后使用参数对齐目标训练带有后门的 VAE 编码器，使其在正常输入下保持原有功能，仅在触发器激活时改变输出。实验覆盖三种最新语义水印方案和三种广泛使用的 LDM，结果表明 GhostVAE 在良性图像上保持了水印检测性能（平均真阳性率 94.4%），同时在触发激活时实现了高效规避（平均攻击成功率 94.6%）。作者还分析了 17 种代表性防御方法，证明 GhostVAE 在输入空间、参数空间和潜在空间均保持隐蔽性。这项研究从根本上削弱了语义水印系统的可信度，强调安全部署语义水印需要端到端的安全考虑，尤其是对神经网络组件的保护。适合 AI 安全研究人员、模型部署工程师和内容保护系统设计者阅读。

本文提出了一种名为 FARI（Fast Asymmetric Robust Inversion）的一步反演框架，用于扩散模型图像水印的鲁棒提取。传统基于反演的水印方法在验证扩散生成图像时，反演过程既慢又容易出错。现有方法过度优化内部截断误差，而该误差随采样器步长增大而增大，因此受限于高 NFE（函数评估次数）设置，无法兼顾速度与鲁棒性。作者有两个关键观察：其一，反演轨迹的曲率远低于前向生成路径，因此高度可压缩，适用于低 NFE 近似；其二，在水印验证场景中，速度与截断误差的权衡并非关键，因为外部失真主导误差。更快的反演器不仅能提高效率，还能支持端到端对抗训练，直接针对鲁棒性进行优化，而基于原始长反演轨迹的对抗训练在计算上不可行。FARI 采用一步反演框架，并结合轻量级对抗 LoRA 微调去噪器用于水印提取。实验表明，在单个 NVIDIA RTX A6000 GPU 上微调约 20 分钟，FARI 即可在 50 步 DDIM 反演的水印验证鲁棒性上超越后者，同时大幅减少推理时间。代码和预训练模型已开源。该研究主要面向需要高效、鲁棒地验证 AI 生成图像真实性的研究者和工程师。

本文提出了一种用于扩散模型的鲁棒潜域水印方法，名为潜角水印（Latent Angular Watermarking, LAW）。针对现有潜域水印方法在保持潜变量高斯性方面存在缺陷，容易受到水印检测或移除攻击，以及水印嵌入后导致潜变量相关性退化、生成保真度下降等问题，作者从各向同性高斯分布的旋转不变性出发，提出将水印比特编码为潜变量元素对之间的反对称角度（相对于参考对为±π/2），从而在嵌入水印的同时保持潜变量的高斯分布特性。该反对称（π-分离）编码最大化比特值之间的几何距离，作者证明了解码角度误差方差与潜变量对的范数成反比。进一步，作者提出了幅度驱动变体LAW-M，将水印锚定在几何最稳定的潜变量维度上，以获得额外的鲁棒性增益。在理论上，作者严格刻画了水印引入的相关性退化，给出了水印潜变量的自相关结构的闭式解，证明相关性被限制在一组稀疏、结构化的非对角元素上，其值为固定的±π/4。实验评估表明，LAW在保持生成质量的同时，对多种攻击（如高斯噪声、JPEG压缩、裁剪等）具有优越的鲁棒性。本文适合对生成模型安全、水印技术及扩散模型潜在空间特性感兴趣的研究者阅读。

本文针对近年流行的扩散模型（diffusion models）提出了一种新的黑盒成员推理攻击（Membership Inference Attack, MIA）框架。随着预训练扩散模型的高质量发布，越来越多的用户下载这些模型并使用下游数据集进行微调，这带来了显著的隐私泄露风险。作者首次基于分数（scores-based）设计了适用于扩散模型的成员推理攻击，并在更严格的黑盒访问设置下进行。该框架考虑了四种不同的攻击场景和三种攻击类型，能够针对任何流行的条件生成器模型，实现了高达0.95的AUC（Area Under Curve）精度。代码已开源。研究揭示了扩散模型在下游任务微调中的隐私脆弱性，为后续防御研究提供了基准。

本论文提出了一种免提示的扩散图像隐写框架（Prompt-Free Diffusion Steganography），旨在解决现有基于文本提示的潜在扩散模型（LDM）隐写方法中，文本提示灵活性不足导致隐写图像质量低、秘密图像恢复不准确的问题。核心创新包括：1）级联仿射耦合模块（CACM），建立秘密图像与其潜在表示之间的双射确定性映射；2）将风格语义先验集成到扩散过程中，控制潜在表示并确保生成隐写图像的视觉不可感知性；3）引入预测-校正机制，通过当前状态和预测下一状态的反馈迭代优化生成轨迹，缓解无条件反向过程中的轨迹偏差。实验结果表明，该方法在安全性、秘密图像重建准确性和可控性方面优于现有方法。本研究主要面向信息安全、图像隐写、深度学习领域的研究人员。

本文针对扩散桥模型的主动版权保护问题，提出了一种名为GoodDiffusion的防御机制。当前的主流保护方法主要分为事后归因（如数字水印和指纹）和退化防御，这些方法仅提供间接且有限的预防效果。受后门攻击机制的启发，GoodDiffusion将授权内化到生成过程中，通过选择性的许可行为实现模型级别的使用控制：只有携带有效签名的授权查询才能生成高质量的输出，而未授权输入则被拒绝。作者进一步理论证明，传统的静态签名设计（类似于常规的后门注入）本质上是不安全的，因为攻击者可以通过梯度优化高效地恢复出一个代理签名。为解决这一脆弱性，他们引入了可学习签名网络（LSN），该网络根据每个输入的条件生成样本特定的签名，从而打破签名的通用性，阻止代理签名跨输入迁移。大量实验表明，GoodDiffusion在有效阻止未授权使用的同时，能够为授权用户保持强大的生成质量。该研究为扩散模型知识产权保护提供了主动、可撤销的使用时控制方案，适合AI安全研究员、模型部署方以及版权保护技术开发者阅读。

本文提出了一种针对扩散模型（Diffusion Models）的新型后门攻击框架TEMPO-Diffusion。传统的基于噪声的后门攻击通常依赖于在推理时注入触发器、非目标激活以及生成分布外目标，这些假设降低了攻击的隐蔽性和实际相关性。TEMPO-Diffusion将恶意分布偏移限制在时间上的同分布暴露中，使得后门更加隐蔽。该框架支持：(i) 针对特定类别的攻击（攻击特定类别并生成特定类别结果）；(ii) 多子图像后门，即在多个不同输出图像和多个位置重建特定特征；(iii) 利用时间条件触发器的图像修复（in-painting）。为了研究使用带后门的扩散模型生成合成训练数据相关的实际安全问题，作者还引入了CALISA数据集：一个平衡的、区域感知的交通标志数据集，重点涵盖加拿大和美国的道路标志。在CIFAR10、GTSRB和CALISA上的实验表明，TEMPO-Diffusion能够可靠地污染特定类别的合成数据生成，并在使用该数据训练的下游分类器中实现高攻击成功率。本文的研究揭示了扩散模型在合成数据生成场景下可能被植入持续性后门的风险，对AI安全社区具有警示意义。

传感器是现代智能设备的关键组件。随着物联网和可穿戴移动设备的普及，传感器被广泛用于环境监测和预测行动。人体活动识别（HAR）是其中一个重要应用，它利用惯性测量单元（IMU）传感器（如加速度计和陀螺仪）来提供健康、训练和医疗诊断方面的洞见。然而，HAR模型的准确性受到数据不足的限制。基于扩散模型的技术已被证明能够成功生成合成数据来训练HAR模型。本文提出了一种后门训练技术IMU-DM-CLIP，该技术利用扩散模型和CLIP（对比语言-图像预训练）引导来对HAR模型实施基于触发器的攻击。实验分析表明，即使后门注入率仅为10%，且仅有10%的数据用于引导扩散模型，攻击依然能够成功。这项研究揭示了HAR模型在安全方面的潜在脆弱性，特别是当训练数据中包含后门触发样本时，模型可能被恶意操控，导致错误的识别结果。对于依赖HAR进行健康监测或安全关键应用的系统，这种攻击可能带来严重后果。论文的主要贡献在于首次将CLIP引导的扩散模型用于生成HAR领域的后门数据，展示了低注入率下攻击的高效性，并引发了关于传感器数据完整性和模型安全性的思考。适合安全研究人员和HAR系统开发者阅读，以了解此类新兴攻击向量。

本文提出了一种名为 Pretender 的新型主动防御方法，旨在防御针对扩散模型的微调攻击。扩散模型在文本到图像生成等领域取得显著进展，但微调阶段易被恶意利用以产生有害或侵权内容。Pretender 通过主动干扰微调过程，在模型发布前嵌入保护机制，使攻击者无法有效微调模型至恶意目的。该方法属于主动防御范畴，无需依赖攻击检测或后处理过滤。由于仅依据论文标题，具体技术细节、实验设置和性能指标尚不清楚，需进一步阅读原文获取。

本文提出 MIRAGE 框架，用于系统性地发现针对自动驾驶在线高清地图构建的语义攻击。自动驾驶车辆依赖高清地图感知车道线、分隔带、人行横道等安全关键元素，现有像素扰动攻击易被标准对抗防御（如对抗训练）中和。MIRAGE 利用扩散模型学习到的真实数据潜流形，搜索与真实场景具有相同道路拓扑但能误导地图预测的语义突变场景，例如阴影、湿滑路面等合法环境变化。在 nuScenes 数据集上评估了两种攻击：边界移除攻击抑制 57.7% 的检测结果，导致 96% 的规划轨迹被破坏；边界注入攻击是唯一能成功注入虚拟边界的方法，而像素级 PGD 和 AdvPatch 完全失败。两种攻击在多种对抗防御下仍保持有效性。通过两个独立 VLM 评判员量化真实感，MIRAGE 生成场景有 80–84% 的概率被认为真实（干净 nuScenes 为 97–99%，AdvPatch 仅 0–9%）。实验表明，语义级扰动作为合法的环境变化，比像素级扰动更难防御，揭示了当前对抗防御的类别性缺陷。

本文提出了一种名为 diffGHOST 的基于扩散模型的条件生成框架，用于合成移动轨迹数据，旨在解决轨迹数据在共享和利用过程中的隐私泄露问题。传统的轨迹合成方法往往隐式地假设生成模型具有隐私保护能力，但缺乏严格的隐私保证，且容易在生成的轨迹中记忆敏感样本。diffGHOST 通过引入潜在空间分割（latent space segmentation）机制，在扩散模型的训练和采样过程中识别并缓解对关键样本的记忆，从而在保证合成轨迹数据实用性的同时提供可证明的隐私保护。具体地，模型将轨迹数据编码到潜在空间，然后根据条件信息（如时间、区域等）分割潜在空间，并在每个片段上独立进行扩散和去噪过程，使得模型能够学习到分布特征而不过度拟合个别样本。实验在多个真实轨迹数据集上进行，结果表明 diffGHOST 在保持高轨迹实用性的同时，显著降低了隐私泄露风险，优于现有的生成对抗网络和变分自编码器基线方法。该工作为隐私保护下的移动数据分析提供了一种通用且有效的解决方案。

本文针对生成式图像模型（特别是扩散模型）中的种子基水印技术，提出了一套从第一性原理出发的安全水印框架。当前的水印评估主要依赖经验实验，严重受限于具体的生成与反演模型架构，导致无法对方法的性能（尤其是安全性）进行严格结论，且缺乏统一的安全性定义。作者主张水印方案的有效性应通过彻底的理论分析来确立，为此提出了将模型依赖部分与水印系统的实际决策机制解耦的思想。基于该解耦，他们构建了一个正式的评估框架，涵盖安全性、鲁棒性和保真度三个维度，并通过一个特征曲面来精确比较不同水印系统在这三者之间的权衡，且该曲面独立于任何生成模型。在此框架下，作者提出了SSB（Secure Seed-Based）水印方法，该方法泛化了以往的种子基水印方案，能够通过调整特征曲面上的参数实现任意安全性-鲁棒性-保真度组合。本文为设计具有理论保证的现代水印系统开辟了道路，无需进行昂贵的经验评估即可获得性能保障。