本文聚焦于密码这一仍占主导地位的在线认证机制，研究人类如何选择密码——这对防守方的口令强度评估与攻击方的口令猜测模拟同样关键。此前 PassGAN、PassGPT 等深度生成方法已证明可以从泄露口令库中直接学习口令结构，但二者都是从随机初始化开始、仅依赖口令数据训练，语言学先验知识在口令建模中的作用、以及它能揭示的人类构造秘密的规律，仍未被充分探索。为此作者提出 PassGPT+：通过字符级（character-aware）分词，把 GPT-2 预训练获得的语言学先验迁移到口令观测数据上，即不再从零训练，而是以自然语言预训练权重为起点进行适配。同时作者提出 PassDiffusion——首个面向口令生成的吸收态离散扩散模型（absorbing-state discrete diffusion），作为探针检验非自回归方法在口令生成上是否具备竞争力。在 RockYou 基准上，PassGPT+ 在 108 次猜测预算内恢复出 22.53% 的留出口令，相对 PassGPT 取得 16% 的相对提升；更关键的是，在不重新训练的前提下迁移到一个完全不相交的 2020 年泄露数据集时，仍保留 79% 的匹配率，说明语言学先验捕获了人类口令生成中持续存在的规律。相比之下，PassDiffusion 的表现低两到三个数量级，表明对离散且要求精确匹配的口令生成任务而言，自回归建模比迭代去噪更契合。论文贡献可归纳为：实证语言学先验能显著提升口令建模效率与跨数据集泛化能力；给出自回归与非自回归两种建模范式的可比证据；并为进一步研究人类口令构造行为提供依据。

该论文针对交通信号控制(TSC)这一安全关键信息物理系统提出了一种可部署的状态恢复防御框架 MDRC(Meta-Diffusion-based framework for Resilient traffic signal Control)。研究背景在于:TSC 依赖实时感知数据做配时决策,而对抗性扰动或传感器硬件故障都会导致观测数据被污染;由于感知层与控制层之间存在级联耦合,被污染的观测会一路传播进控制器,最终表现为交通效率下降、排队加剧甚至路网局部拥堵。作者指出既有基于鲁棒强化学习的 TSC 方法存在三个共性短板:跨城市泛化能力弱(换一个路网或流量分布即失效)、推理延迟高(难以满足秒级控制周期)、以及在部分可观测条件下恢复能力不足。 MDRC 的定位是一个"检测后(post-detection)状态恢复"模块,插在感知层与控制器之间,在不可信观测被控制器消费之前先重建出可信的交通状态。方法上它把两件事结合起来:一是用去噪扩散隐式模型(DDIM)做高效的状态恢复,借助其少步采样的特性控制推理开销;二是用 Reptile 元学习获得一个可跨城市迁移的初始化,使恢复模块在未见路网上也能快速适配。理论层面,作者给出了 DDIM 恢复动力学的基于优化的视角,并推导出一个恢复误差上界,把总误差分解为三个可分别归因的部分——score 函数近似误差、数值离散化误差、以及初始化失配误差,这为理解"为什么跨城市迁移会退化"提供了量化解释。 实验方面,作者在七个由真实世界数据衍生的 CityFlow 基准上评估:在随机攻击与策略感知攻击下平均行程时间(Average Travel Time)降低 6.77%,在结构化传感器丢失场景下降低 12.75%,同时状态恢复保真度指标改善。作者还做了真实路侧测量评估,人为禁用 50% 的检测器通道,累计 3600 秒;并将 MDRC 集成进一套硬件在环(hardware-in-the-loop)交通信号栈,进行了 9.16 小时、32,389 个感知/控制周期的连续运行,结果达到 99.79% 的决策可用性,未产生任何超出配时计划的推荐,单次 1 秒控制间隔内各组件处理耗时合计约 38 毫秒,说明其具备实际部署的实时性余量。 总体而言,该工作的贡献是:把扩散模型状态恢复与元学习初始化结合成可插拔的 TSC 防御组件,给出了恢复误差的可分解理论界,并用跨城市仿真 + 真实路侧 + 硬件在环三层证据链验证了有效性与工程可行性。适合关注 CPS/ICS 安全、自动驾驶与智能交通、AI 对抗鲁棒性以及城市交通运维的研究者和工程团队阅读。

该论文研究文本到图像扩散模型（如 Stable Diffusion）中多 LoRA 适配器组合加载时的安全问题。背景是：用户常把多个低秩适配（LoRA）叠加使用，以实现不同主体、风格与视觉属性的个性化定制，而当前的安全审查通常只逐个检查单个适配器是否安全，这种做法被证明不足以判断组合后的行为。作者识别并刻画了一类“成对条件触发”攻击：两个单独使用时功能正常、外表无害的适配器，在与一个特定匹配的伙伴适配器同时加载时，会改写图像生成结果，且触发条件就是伙伴适配器的身份，而非提示词或输入图像本身。为验证该风险，作者提出 LoRango 框架，由互补的 Signature 适配器与 Payload 适配器构成。Signature 负责把与配对相关的编码写入中间载体表示；Payload 则依赖“代码选择性响应”以及相互对立的信号分支与参考分支来实现条件性激活。在单独加载或与不匹配适配器配对时，两分支近似抵消，因此行为保持正常；只有当匹配的“代码读取”对齐发生时，抵消在原生 GEGLU 块内被打破，被预置的动作才被释放。两个适配器都被导出为普通静态 LoRA 文件，兼容标准加载器，无需提示词触发，也无需修改基础推理管线。实验显示：匹配配对下攻击成功率在 SD v1.5 上达 97.9%，在 SDXL 上达 98.7%；而单独加载这些植入适配器时仅为 2.8%–4.6%。论文还评估了配对选择性、单适配器保真度、部署环境变化下的鲁棒性，以及在不同去噪器架构上的可迁移性。结论是：仅逐个审查适配器无法评估多 LoRA 个性化组合的安全性，必须对适配器组合进行审计。适合从事生成式模型安全、模型供应链与平台审核的研究者与工程师阅读。

本文研究的是文生图（Text-to-Image, T2I）服务面临的一类知识产权窃取风险：黑盒输出蒸馏（black-box output-based distillation）。攻击者无需接触模型权重，只需反复调用在线服务、收集大量「提示词—生成图像」配对数据，就能训练出一个模仿原服务生成行为的未授权替代模型，从而绕开订阅或授权机制、复用服务商的核心生成能力。现有的防御思路是「扰动式防御」：对每一张生成的图像做逐样本（sample-wise）优化，使其在视觉上仍然自然，但一旦被用于训练就会污染替代模型，降低其生成质量。问题在于，逐样本优化需要在线反复迭代，带来巨大的算力开销与推理时延，直接损害线上服务的可用性和用户体验。一个自然的改进方向是把防御性扰动直接「编译」进 VAE 解码器，让受保护的模型在生成阶段就自动输出带防御效果的图像，彻底免除在线逐样本优化。但作者通过实证发现，这种共享解码器方案存在目标可达性困境：与逐样本优化相比，共享解码器引起的隐空间偏移（latent shift）明显更小，即原有目标函数在共享参数的设定下「够不到」预期的破坏强度，说明在该场景下目标的可达性比单样本的破坏性更重要。为此论文提出 RAPID 框架：一是自参考隐空间最大化（self-referenced latent maximization），去除对外部参考模型的依赖，并让同一次模型更新在各类训练样本上都能产生一致的破坏效果，从而提升目标可达性；二是重建引导的颜色正则化（reconstruction-guided color regularization），阻断模型利用隐空间「捷径」绕开扰动、并强化视觉层面的破坏性。作者在四个 T2I 模型、四个数据集上，与五种代表性基线方法对比，结果显示 RAPID 能在保持服务自身图像视觉保真度的前提下，稳定降低替代模型的生成质量。该工作为部署态 T2I 系统提供了一种实时、可落地的防未授权蒸馏范式。

扩散模型水印技术通过在生成过程中嵌入可验证信号，并在验证时恢复与生成轨迹相关的证据来确认水印，因此对常规的像素空间扰动具有较强的鲁棒性。已有的水印去除攻击要么沿确定性轨迹执行再扩散，但这类轨迹往往保留了含有水印的潜在结构；要么需要对每张图像单独进行梯度优化，效率较低。本文研究者注意到，许多现有水印方案共同依赖一个可恢复的生成轨迹作为其验证基础，这构成了可被利用的共性攻击面。基于这一观察，他们提出了一种被称为DRIFT的黑盒攻击方法，其核心思想是将部分前向扩散（即向图像加入噪声到某个中间深度）与随机反向重采样相结合。前向重新加噪可以限制固定深度恢复管线能够获得的源信息，从而阻碍水印的提取；而随机的反向生成过程则提供了不同于原轨迹的替代噪声路径，通过对比不同采样器，研究者分离出了反向随机性对去除水印的贡献。进一步的，自适应DRIFT机制会为每一张图像在一个预设的扩散阶梯上搜索其第一个被验证器拒绝的梯级，并以此为基础，在仅接受同样被验证器拒绝的更新条件下对图像进行保真度优化。理论方面，作者给出了固定深度下信息论与Wasserstein距离的源依赖上界；在已实现的阶梯单调性条件下，第一个被拒绝的梯级是该阶梯上所有被拒梯级中失真度最小的，且经由验证器门控的细化步骤并不破坏水印去除的有效性。实验覆盖了三种典型水印范式的九种水印方案，DRIFT在无需任何秘密密钥、无需获取验证器内部细节、也无需逐图梯度优化的情形下，取得了98%至100%的攻击成功率，并在同类攻击中实现了最佳的输出图像质量。该研究清楚地揭示了扩散模型水印在轨迹依赖验证上的系统性弱点，对内容溯源与版权保护方案的设计具有重要警示意义。

在智能家居、可穿戴设备等传感器密集型环境中，系统通过异构的多传感器数据流推断用户正在使用的应用，从而提供智能服务。然而，并非所有应用都应该被识别——用户希望某些活动保持私密。现有隐私保护方法（如差分隐私、基于规则的过滤）仅针对单一数据流，无法应对攻击者利用跨传感器关联推断出用户隐私的风险。为此，论文提出一种名为 PrivateHub 的隐私保护框架，采用对比学习与扩散模型的结合，生成合成的多传感器数据流。该方法生成的数据可以保持非私密应用的可检测性，同时有效掩盖私密应用的存在。PrivateHub 包含两个训练阶段：应用条件预训练（ACP）和应用感知微调（AAF）。ACP 阶段利用应用嵌入对多传感器数据进行条件生成建模，使模型理解应用类别与传感器模式的关系；AAF 阶段通过对比学习将私密和非私密数据在表征空间上分离，并优化生成器使得私密应用在合成数据中对应的特征与真实数据混淆，从而显著降低攻击者分类器对私密应用识别的准确率。论文还定义了多传感器共享场景下的威胁模型，假设攻击者直接访问用户共享的原始传感器数据流，并尝试推断用户正在使用的应用。在三个真实多传感器数据集上的实验表明，PrivateHub 能将私密应用的识别准确率降低 40% 到 50%，同时非私密应用的分类性能几乎不受影响。即使在攻击者利用合成数据对自身模型进行再训练的情况下，该方法的隐私保护效果依然稳定，说明其并非依赖简单的噪声扰动，而是产生了具有泛化性的特征混淆。本文的主要贡献包括：提出了首个面向跨传感器推断风险的扩散生成式隐私保护方案；设计了对比学习与条件扩散模型的结合机制；给出了完整的威胁模型和评估协议。该研究适合可信机器学习、隐私保护、物联网数据共享等方向的学者及从业者阅读。

本论文针对大规模扩散模型（如 DDIM 和 Stable Diffusion）的知识产权（IP）保护问题，提出了一种新颖的模型所有权验证框架 MiO（Membership is Ownership）。研究背景是：扩散模型在训练过程中消耗大量计算资源和高品质数据，因此被视为 OpenAI、Google 等科技公司的重要商业资产，但这些模型容易被攻击者窃取并用于定制化或商业用途。现有 IP 保护方法主要是训练时水印注入，但会带来可衡量的效用损失，且容易在后续微调中被削弱。MiO 方法不修改原始模型或采样流程，而是基于私有成员证据数据集进行群体水平的假设检验，通过两个标准验证所有权：一是利用成员推断进行模型归因，二是从公开参考模型中分离出待验证模型。两个标准均在 p<10^-6 的显著性水平下成立。作者在 DDIM 和 Stable Diffusion 模型上进行了评估，报告了 ROC-AUC 和固定误报率下的真阳性率。此外，MiO 在对抗场景下（如窃取后微调、权重扰动）保持稳定，表现出比水印方法更好的鲁棒性。该研究的核心贡献在于首次将成员推断用于扩散模型的所有权验证，且无需牺牲模型效用，为 AI 模型 IP 保护提供了新思路。适合 AI 安全研究人员、模型所有者和平台方阅读。

本文针对5G赋能的网络物理系统（CPS）中基于深度学习的DDoS检测器所面临的两大挑战：标注攻击数据稀缺，以及现有合成攻击样本不真实。传统检测器在手工构造、使用固定缩放因子的攻击样本上训练，一旦遭遇符合真实分布的攻击流量，性能会急剧下降（F1分数下降约47%至100%，取决于具体场景）。为此，作者提出Diff-DDoS，一个三阶段框架，利用表格扩散模型实现逼真攻击样本的合成与鲁棒检测。阶段一：基于呼叫详细记录（CDR）生成的时空网格，训练一个基线CNN小区级检测器。阶段二：在正常CDR聚合数据上训练表格去噪扩散概率模型（TabDDPM），用于生成贴近真实分布的攻击样本，从而暴露检测器的脆弱点。阶段三：引入对抗扩散训练（ADT），通过逆分类器引导生成困难但仍保持分布特性的样本，迭代训练直至检测器收敛。在米兰CDR数据集上，针对短信洪泛、静默呼叫、互联网信令和混合攻击场景，采用ADT训练的ResNet50在静默呼叫、互联网和混合场景下分别恢复了79.62%、100%和92.79%的F1分数。经过基于验证集的阈值校准后，ADT在短信洪泛场景达到100%的F1分数，而CTGAN仅为47.3%；在静默呼叫场景下，ADT与最强的基于梯度的对抗训练基线表现相当。实验结果表明，表格扩散模型可有效用于数据稀缺的5G网络物理部署中入侵检测器的压力测试与加固。

本文提出 DiffSafeMerge (DSM)，解决扩散模型 checkpoint 合并过程中的后门继承问题。在无条件下扩散模型合并场景中，通常假设来自公共仓库的 checkpoint 是良性来源，但攻击者可能发布一个包含休眠后门的恶意 checkpoint。当它与良性模型合并后，生成的图像在常规条件下表现正常，但一旦遇到特定触发器，就会产生攻击者指定的目标输出。由于防御方不知道哪个源是恶意的、触发器形状或目标类别，直接对合并后的模型进行广泛消毒（sanitization）又可能显著降低生成图像质量，因此缓解十分困难。DSM 的核心理念是：仅使用一个小的未标记干净数据集和一组固定的、与具体攻击无关的“压力探针”，对参与合并的源模型各个层块（blocks）进行评分，识别出可疑贡献；然后将其权重向一个可信的参考模型收缩，并在一个干净去噪损失预算的约束下选择衰减强度，从而在不破坏正常生成能力的前提下削弱后门。论文评估了四种不同的后门攻击、两个数据集和 21 个目标条件。结果表明，在 14 个源案例中，有 10 个案例的预期合并操作本身就已实现 worst-target ASR（最差目标攻击成功率）为零；DSM 能够保持这些良性结果，在其余 4 个案例中，三个不同随机种子下都没有记录到任何目标匹配，其中包括三个基线 ASR 高达 48%–100% 的案例。与在两个数据集上均能达到零 worst-target ASR 的其他防御方法相比，DSM 在 seed-0 的匹配比较中获得了最低的案例平均 FID，说明其在防御后门的同时保持了最好的生成质量。该研究面向模型供应链安全、扩散模型安全以及 AI 模型可信赖部署方向，适合模型安全研究员、ML 系统防御者和安全工程师阅读。

本文研究了扩散模型语义水印系统的一个关键安全漏洞。语义水印被广泛用于保护潜在扩散模型（LDM）生成的图像版权，但其检测流程依赖神经网络，这引入了被植入后门的攻击面。作者提出了 GhostVAE，一种通过在后变分自编码器（VAE）的编码器中植入隐蔽后门的方法，能够可靠地规避语义水印检测。GhostVAE 采用两阶段攻击：首先通过功率谱正则化构造通用触发器，提升触发器的鲁棒性；然后使用参数对齐目标训练带有后门的 VAE 编码器，使其在正常输入下保持原有功能，仅在触发器激活时改变输出。实验覆盖三种最新语义水印方案和三种广泛使用的 LDM，结果表明 GhostVAE 在良性图像上保持了水印检测性能（平均真阳性率 94.4%），同时在触发激活时实现了高效规避（平均攻击成功率 94.6%）。作者还分析了 17 种代表性防御方法，证明 GhostVAE 在输入空间、参数空间和潜在空间均保持隐蔽性。这项研究从根本上削弱了语义水印系统的可信度，强调安全部署语义水印需要端到端的安全考虑，尤其是对神经网络组件的保护。适合 AI 安全研究人员、模型部署工程师和内容保护系统设计者阅读。

本文提出了一种名为 FARI（Fast Asymmetric Robust Inversion）的一步反演框架，用于扩散模型图像水印的鲁棒提取。传统基于反演的水印方法在验证扩散生成图像时，反演过程既慢又容易出错。现有方法过度优化内部截断误差，而该误差随采样器步长增大而增大，因此受限于高 NFE（函数评估次数）设置，无法兼顾速度与鲁棒性。作者有两个关键观察：其一，反演轨迹的曲率远低于前向生成路径，因此高度可压缩，适用于低 NFE 近似；其二，在水印验证场景中，速度与截断误差的权衡并非关键，因为外部失真主导误差。更快的反演器不仅能提高效率，还能支持端到端对抗训练，直接针对鲁棒性进行优化，而基于原始长反演轨迹的对抗训练在计算上不可行。FARI 采用一步反演框架，并结合轻量级对抗 LoRA 微调去噪器用于水印提取。实验表明，在单个 NVIDIA RTX A6000 GPU 上微调约 20 分钟，FARI 即可在 50 步 DDIM 反演的水印验证鲁棒性上超越后者，同时大幅减少推理时间。代码和预训练模型已开源。该研究主要面向需要高效、鲁棒地验证 AI 生成图像真实性的研究者和工程师。

本文提出了一种用于扩散模型的鲁棒潜域水印方法，名为潜角水印（Latent Angular Watermarking, LAW）。针对现有潜域水印方法在保持潜变量高斯性方面存在缺陷，容易受到水印检测或移除攻击，以及水印嵌入后导致潜变量相关性退化、生成保真度下降等问题，作者从各向同性高斯分布的旋转不变性出发，提出将水印比特编码为潜变量元素对之间的反对称角度（相对于参考对为±π/2），从而在嵌入水印的同时保持潜变量的高斯分布特性。该反对称（π-分离）编码最大化比特值之间的几何距离，作者证明了解码角度误差方差与潜变量对的范数成反比。进一步，作者提出了幅度驱动变体LAW-M，将水印锚定在几何最稳定的潜变量维度上，以获得额外的鲁棒性增益。在理论上，作者严格刻画了水印引入的相关性退化，给出了水印潜变量的自相关结构的闭式解，证明相关性被限制在一组稀疏、结构化的非对角元素上，其值为固定的±π/4。实验评估表明，LAW在保持生成质量的同时，对多种攻击（如高斯噪声、JPEG压缩、裁剪等）具有优越的鲁棒性。本文适合对生成模型安全、水印技术及扩散模型潜在空间特性感兴趣的研究者阅读。

本文针对近年流行的扩散模型（diffusion models）提出了一种新的黑盒成员推理攻击（Membership Inference Attack, MIA）框架。随着预训练扩散模型的高质量发布，越来越多的用户下载这些模型并使用下游数据集进行微调，这带来了显著的隐私泄露风险。作者首次基于分数（scores-based）设计了适用于扩散模型的成员推理攻击，并在更严格的黑盒访问设置下进行。该框架考虑了四种不同的攻击场景和三种攻击类型，能够针对任何流行的条件生成器模型，实现了高达0.95的AUC（Area Under Curve）精度。代码已开源。研究揭示了扩散模型在下游任务微调中的隐私脆弱性，为后续防御研究提供了基准。

本论文提出了一种免提示的扩散图像隐写框架（Prompt-Free Diffusion Steganography），旨在解决现有基于文本提示的潜在扩散模型（LDM）隐写方法中，文本提示灵活性不足导致隐写图像质量低、秘密图像恢复不准确的问题。核心创新包括：1）级联仿射耦合模块（CACM），建立秘密图像与其潜在表示之间的双射确定性映射；2）将风格语义先验集成到扩散过程中，控制潜在表示并确保生成隐写图像的视觉不可感知性；3）引入预测-校正机制，通过当前状态和预测下一状态的反馈迭代优化生成轨迹，缓解无条件反向过程中的轨迹偏差。实验结果表明，该方法在安全性、秘密图像重建准确性和可控性方面优于现有方法。本研究主要面向信息安全、图像隐写、深度学习领域的研究人员。

本文针对扩散桥模型的主动版权保护问题，提出了一种名为GoodDiffusion的防御机制。当前的主流保护方法主要分为事后归因（如数字水印和指纹）和退化防御，这些方法仅提供间接且有限的预防效果。受后门攻击机制的启发，GoodDiffusion将授权内化到生成过程中，通过选择性的许可行为实现模型级别的使用控制：只有携带有效签名的授权查询才能生成高质量的输出，而未授权输入则被拒绝。作者进一步理论证明，传统的静态签名设计（类似于常规的后门注入）本质上是不安全的，因为攻击者可以通过梯度优化高效地恢复出一个代理签名。为解决这一脆弱性，他们引入了可学习签名网络（LSN），该网络根据每个输入的条件生成样本特定的签名，从而打破签名的通用性，阻止代理签名跨输入迁移。大量实验表明，GoodDiffusion在有效阻止未授权使用的同时，能够为授权用户保持强大的生成质量。该研究为扩散模型知识产权保护提供了主动、可撤销的使用时控制方案，适合AI安全研究员、模型部署方以及版权保护技术开发者阅读。

本文提出了一种针对扩散模型（Diffusion Models）的新型后门攻击框架TEMPO-Diffusion。传统的基于噪声的后门攻击通常依赖于在推理时注入触发器、非目标激活以及生成分布外目标，这些假设降低了攻击的隐蔽性和实际相关性。TEMPO-Diffusion将恶意分布偏移限制在时间上的同分布暴露中，使得后门更加隐蔽。该框架支持：(i) 针对特定类别的攻击（攻击特定类别并生成特定类别结果）；(ii) 多子图像后门，即在多个不同输出图像和多个位置重建特定特征；(iii) 利用时间条件触发器的图像修复（in-painting）。为了研究使用带后门的扩散模型生成合成训练数据相关的实际安全问题，作者还引入了CALISA数据集：一个平衡的、区域感知的交通标志数据集，重点涵盖加拿大和美国的道路标志。在CIFAR10、GTSRB和CALISA上的实验表明，TEMPO-Diffusion能够可靠地污染特定类别的合成数据生成，并在使用该数据训练的下游分类器中实现高攻击成功率。本文的研究揭示了扩散模型在合成数据生成场景下可能被植入持续性后门的风险，对AI安全社区具有警示意义。

传感器是现代智能设备的关键组件。随着物联网和可穿戴移动设备的普及，传感器被广泛用于环境监测和预测行动。人体活动识别（HAR）是其中一个重要应用，它利用惯性测量单元（IMU）传感器（如加速度计和陀螺仪）来提供健康、训练和医疗诊断方面的洞见。然而，HAR模型的准确性受到数据不足的限制。基于扩散模型的技术已被证明能够成功生成合成数据来训练HAR模型。本文提出了一种后门训练技术IMU-DM-CLIP，该技术利用扩散模型和CLIP（对比语言-图像预训练）引导来对HAR模型实施基于触发器的攻击。实验分析表明，即使后门注入率仅为10%，且仅有10%的数据用于引导扩散模型，攻击依然能够成功。这项研究揭示了HAR模型在安全方面的潜在脆弱性，特别是当训练数据中包含后门触发样本时，模型可能被恶意操控，导致错误的识别结果。对于依赖HAR进行健康监测或安全关键应用的系统，这种攻击可能带来严重后果。论文的主要贡献在于首次将CLIP引导的扩散模型用于生成HAR领域的后门数据，展示了低注入率下攻击的高效性，并引发了关于传感器数据完整性和模型安全性的思考。适合安全研究人员和HAR系统开发者阅读，以了解此类新兴攻击向量。

本文提出了一种名为 Pretender 的新型主动防御方法，旨在防御针对扩散模型的微调攻击。扩散模型在文本到图像生成等领域取得显著进展，但微调阶段易被恶意利用以产生有害或侵权内容。Pretender 通过主动干扰微调过程，在模型发布前嵌入保护机制，使攻击者无法有效微调模型至恶意目的。该方法属于主动防御范畴，无需依赖攻击检测或后处理过滤。由于仅依据论文标题，具体技术细节、实验设置和性能指标尚不清楚，需进一步阅读原文获取。

本文提出 MIRAGE 框架，用于系统性地发现针对自动驾驶在线高清地图构建的语义攻击。自动驾驶车辆依赖高清地图感知车道线、分隔带、人行横道等安全关键元素，现有像素扰动攻击易被标准对抗防御（如对抗训练）中和。MIRAGE 利用扩散模型学习到的真实数据潜流形，搜索与真实场景具有相同道路拓扑但能误导地图预测的语义突变场景，例如阴影、湿滑路面等合法环境变化。在 nuScenes 数据集上评估了两种攻击：边界移除攻击抑制 57.7% 的检测结果，导致 96% 的规划轨迹被破坏；边界注入攻击是唯一能成功注入虚拟边界的方法，而像素级 PGD 和 AdvPatch 完全失败。两种攻击在多种对抗防御下仍保持有效性。通过两个独立 VLM 评判员量化真实感，MIRAGE 生成场景有 80–84% 的概率被认为真实（干净 nuScenes 为 97–99%，AdvPatch 仅 0–9%）。实验表明，语义级扰动作为合法的环境变化，比像素级扰动更难防御，揭示了当前对抗防御的类别性缺陷。

本文提出了一种名为 diffGHOST 的基于扩散模型的条件生成框架，用于合成移动轨迹数据，旨在解决轨迹数据在共享和利用过程中的隐私泄露问题。传统的轨迹合成方法往往隐式地假设生成模型具有隐私保护能力，但缺乏严格的隐私保证，且容易在生成的轨迹中记忆敏感样本。diffGHOST 通过引入潜在空间分割（latent space segmentation）机制，在扩散模型的训练和采样过程中识别并缓解对关键样本的记忆，从而在保证合成轨迹数据实用性的同时提供可证明的隐私保护。具体地，模型将轨迹数据编码到潜在空间，然后根据条件信息（如时间、区域等）分割潜在空间，并在每个片段上独立进行扩散和去噪过程，使得模型能够学习到分布特征而不过度拟合个别样本。实验在多个真实轨迹数据集上进行，结果表明 diffGHOST 在保持高轨迹实用性的同时，显著降低了隐私泄露风险，优于现有的生成对抗网络和变分自编码器基线方法。该工作为隐私保护下的移动数据分析提供了一种通用且有效的解决方案。

本文针对生成式图像模型（特别是扩散模型）中的种子基水印技术，提出了一套从第一性原理出发的安全水印框架。当前的水印评估主要依赖经验实验，严重受限于具体的生成与反演模型架构，导致无法对方法的性能（尤其是安全性）进行严格结论，且缺乏统一的安全性定义。作者主张水印方案的有效性应通过彻底的理论分析来确立，为此提出了将模型依赖部分与水印系统的实际决策机制解耦的思想。基于该解耦，他们构建了一个正式的评估框架，涵盖安全性、鲁棒性和保真度三个维度，并通过一个特征曲面来精确比较不同水印系统在这三者之间的权衡，且该曲面独立于任何生成模型。在此框架下，作者提出了SSB（Secure Seed-Based）水印方法，该方法泛化了以往的种子基水印方案，能够通过调整特征曲面上的参数实现任意安全性-鲁棒性-保真度组合。本文为设计具有理论保证的现代水印系统开辟了道路，无需进行昂贵的经验评估即可获得性能保障。