该论文对近期某休眠代理检测器提出的“响应安全分数=与已知安全响应均值嵌入的余弦相似度”进行审计。作者指出，正类质心只给出安全类相对于编码器原点的位置，并不能确定区分安全与不安全响应的方向。研究在两个经提示词控制、人工标注的语料及一个辅助陪审团标注的源控制集上，使用四个冻结编码器和按提示词分组的划分进行复现。结果显示，在人工标注语料上，安全原型ROC-AUC仅0.457-0.545，有的单元格显著低于随机，有的略高；而显式的“安全减不安全”参考方向在同一嵌入上达到0.588-0.738。在陪审团控制集上，原型分数出现倒挂（0.358-0.405），参考方向达到0.754-0.793。按验证集校准到5%误判为安全的阈值时，参考方向在PKU-SafeRLHF和Aegis上接受更多安全响应，但在BeaverTails上不稳定。完全无标签的留出参考可恢复部分到多数排序，当不安全样本仅占5%时恢复有限；80-634条已标注不安全响应可恢复大部分性能。仅提示词消融表明提示词-标签构成会抬高未控制评估。作者强调该结论限于原始正类质心规则，不否定所有一类方法或安全专用护栏；类均值是位置，不必然是安全方向，声明参考并具备足够不安全样本才能确定方向。

该论文提出了一种名为 SHARD 的防御方法，旨在保护密集向量检索（如语义搜索和 RAG）中的嵌入向量不被反演攻击。现有攻击利用密集嵌入的全局几何结构，通过少量已知对齐对即可恢复秘密全局旋转（正交 Procrustes 方法）。SHARD 的核心思想是将中心化后的嵌入拆分为两部分：一个短的公共前缀（用于第一级检索）和一个私有的残差向量。残差向量被分片到 C 个单元中，每个单元使用独立的秘密密钥，并在 CKKS 同态加密下进行重排，密钥在计算中抵消，从而保留精确内积。参数 C 可调，从全局线性基线（C=1）到每个文档独享微密钥（C=N）。由于重排是全维度的，SHARD 可以恢复半 SVD 截断所牺牲的 nDCG@10 精度。同时，残差的密钥化单元使得在已知明文字典泄漏下，将残差映射回公共坐标系所需的锚点数量大约增加 C 倍（中位数从 200 到 102,400，当 C=256 时），且仅需少量加密查询。公共前缀泄露的邻域结构远少于全局嵌入，而微密钥机制使残差图在不可链接、可更新的模板下趋于零。该防御可抵抗学习型、非线性和无监督的对齐攻击。论文也坦承了局限性：单元内密钥相互抵消，目标攻击者只需约 d_priv 个锚点；若存在重叠的参考语料库，前缀仍可能泄露信息。SHARD 是一种攻击感知的几何防御，而非密码学保证。

该论文研究了多模态编码器（如CLIP）在跨模态检索和评估任务中存在的“中心点”（hubness）问题。在高维嵌入空间中，某些嵌入点（称为hub）会与大量不相关样本具有高相似度，这可能导致跨模态相似性计算的异常。作者提出了一种方法，能够识别出这样的hub嵌入以及对应的hub文本。具体地，他们通过分析嵌入空间的分布特性，找到那些在多个查询中频繁成为近邻的嵌入点，并据此生成或筛选出hub文本。实验在MSCOCO和nocaps的图像描述评估任务，以及MSCOCO和Flickr30k的图像到文本检索任务上进行。结果表明，存在单个hub文本，其与大量图像计算得到的相似度分数，不合理地达到甚至超过了人工撰写的参考描述。这揭示了当前跨模态编码器的脆弱性：攻击者可能利用此类hub文本操纵检索结果或评估指标。论文的主要贡献是系统性地展示了hubness对跨模态编码器的实际威胁，并提供了诊断方法。适合关注多模态AI安全、信息检索鲁棒性的研究人员阅读。