该论文揭示了一种针对大语言模型（LLM）部署环境的新型隐蔽信道：在受限或气隙（air-gapped）网络中，运行时组件可被攻陷并滥用。由于隐私敏感机构常需将模型中间激活（如残差流）作为诊断产物导出到外部，攻击者可在推理过程中通过被篡改的运行时钩子（runtime hook），将敏感消息编码为码字并注入中间残差流。离线观察者仅用一个简单的线性解码器即可恢复信息。该攻击的关键特性是：无需重新训练模型、无需修改权重、无需攻击者控制的外发通道、也无需控制记录或传输进程，因此绕过传统网络出口监控。为维持可恢复性，注入强度依据局部残差范数进行缩放，采用“信号-残差范数比”来控制信噪比。作者在来自 7 个架构家族的 11 个模型上评测，其中 9 个模型的信息恢复率达 91%–100%，同时 KL 散度仅为 0.001–0.007（激活分布近乎不变）；所评估的激活级检测器 AUC 最高仅 0.56，接近随机猜测；测试的事后防御也无法可靠消除该信道。结论是：一个符合 schema 的激活工件可以在表面上完全合法，却携带不允许跨越信任边界的信息。

该论文聚焦混合信号（AMS）芯片中一个长期被默认、却从未被当作安全属性显式验证的问题：模拟引脚的方向性。传统上，标称「仅输入」的模拟引脚被假定只能采集片外信号，其方向性被视为功能属性而非安全属性，因此既不进入安全验证流程，也不被测试用例覆盖。作者提出并实验验证了一类基于方向性的 AMS 数据外泄攻击：通过数据相关的电路失调调制，把名义上仅输入的引脚变成一条对外发送信息的隐蔽信道。论文对该机制进行了分析建模，并归纳出三个使该攻击成立的主机侧条件，涉及闭环放大器结构、放大器输入端的暴露程度以及该引脚处的阻抗水平。作者在一块商用 55nm CMOS 工艺流片的 PPG（光电容积脉搏波）模拟前端上做了代表性硅验证：所插入的电路改动相对于典型生物传感 AFE 的面积开销小于 0.001%。在评估条件下，激活后滤波输出的 PPG 信噪比仅下降 0.03 dB，最大扰动为 PPG 幅度的 5.9%，而暴露的传感器输入引脚在工艺与温度范围内的良性变化可达 34.3%，说明该扰动在常规表征中难以区分。原始外泄信号的 SINR 低于 -20 dB，但经针对性滤波后可提升到 14 dB 以上并恢复信号；硅测量表明可在输入引脚上以最高约 10 kbps 的速率外泄数据，并实现 PRBS 消息的无误码恢复。论文结论强调，这暴露了传统测试可观测性缺口，模拟引脚方向性应被确立为需要显式验证、测试覆盖与防御设计的 AMS 安全属性，而不能仅凭标称信号流向推断。