该论文研究多租户（multi-tenant）量子云计算场景下的跨租户隐私泄漏问题。商业量子云厂商通常把同一台量子处理器上互不相交的比特扇区分别租给不同用户，并在设备数据表中报告平均门错误率（average gate error）作为质量指标。作者指出，这一被广泛采信的指标并不能决定一个租户能从相邻租户那里推断出多少信息。为此，论文提出了一种基于量子态可区分性（quantum state distinguishability）的信息论泄漏度量，用来量化跨越共租（co-tenancy）边界的信息泄漏量。作者在商用设备上进行了测量：IBM Kingston（156 比特）与 IQM Garnet（20 比特）。实验的核心发现是：即使两个租户边界在基准测试中报出完全相同的错误率，其实际信息泄漏量也可能存在显著差异。原因在于标准错误率指标对错误的“相干性（coherent）与随机性（stochastic）”本质是盲的——相干误差会系统性地保留可被邻租户利用的相关性，而平均错误率把两类误差混为一谈；论文提出的泄漏度量则能够区分二者。作为防御手段，作者采用在受害方整个寄存器上施加均匀 Pauli 随机化（uniform Pauli randomisation）的方法，理论上可将信息泄漏降至零且不带来保真度损失，但实验表明由于误差累积，实际会造成不可忽略的保真度下降，说明该防御在真实硬件上存在代价。论文最后向量子云计算提供商发出明确倡议：应在设备数据表中除标准错误率之外，额外报告信息泄漏指标，使租户在租用设备前就能评估隐私与安全风险。该工作把量子硬件的物理噪声特性与多租户云安全模型直接联系起来，适合量子计算、云安全与隐私工程方向的研究者与工程师阅读。

本论文聚焦于学术预印本平台中的信息安全问题，特别是通过LaTeX源文件无意泄露敏感信息的风险。预印本作者通常需要上传LaTeX源文件以供排版和编译，但这些源文件中可能残留大量元数据、个人信息、修改痕迹或无效的匿名化内容，例如注释中的姓名/机构、文件属性中的作者信息、历史审阅记录等。这类隐性泄露不仅可能破坏双盲评审的公平性，还会导致研究未发表即暴露隐私，甚至被恶意利用。论文提出了一种基于大型语言模型（LLM）的大规模系统性分析方法，对预印本档案（如arXiv）中的LaTeX源码进行自动扫描与语义理解，以检测传统静态规则难以发现的复杂泄露模式。研究核心可能包括：设计面向LaTeX源文件的LLM提示工程与上下文学习策略，从非结构化文本中识别敏感实体；构建自动化流水线，对海量预印本进行高效筛查；并通过统计量化揭示各类泄露的普遍性和严重程度。该工作的主要贡献在于将LLM应用于预印本安全审计这一全新场景，提供了可复现的方法论和实证数据，为学术出版安全、匿名评审机制以及研究者隐私保护提供了重要参考。由于当前仅提供标题信息，本摘要依据标题及领域常识进行概括，具体技术细节需查阅原文。

该论文提出了“行为技能重建”（Behavioral Skill Reconstruction, BSR）问题，聚焦于闭源 LLM Agent 技能（skill）的功能泄露风险。此前研究主要关注提示注入攻击，试图直接披露技能中隐藏的指令、脚本、常量或数据；相应的防御也集中于防止此类文件或内容的直接泄露。然而，作者指出，即使阻止了文件泄露，用户仍可能通过正常使用技能的行为观察来还原其功能，即“文件保密并不等于功能保密”。为此，论文提出一种黑盒攻击方法 SkillClone，其核心思路是：首先根据技能公开广告（如描述、示例）形成接口假设，然后向目标技能发送结构化的良性探测请求，收集合法的输入-输出对，再据此合成一个可执行的复刻版本，最后通过差分验证（differential validation）反复迭代修复该复刻版本，使其在更多测试输入上逼近原技能的行为。作者在 30 个覆盖规则、表格、流程和算法类技能上进行了评估，结果显示 SkillClone 对多个目标在留出测试输入上实现了完全或部分的功能恢复；迭代查询可以弥补单轮重建中的遗漏。实验还表明，仅依赖“防止内容泄露”的现有防御对这类攻击的覆盖有限，而更简略的技能描述也无法有效阻止行为层面的泄露。论文的核心贡献在于揭示了一种新型攻击面：攻击者仅通过合法交互即可克隆隐藏技能的功能，从而绕过传统披露型防护。该研究面向 LLM Agent 安全、AI 系统隐私保护、以及 AI 服务提供者，提醒防御方必须将“行为侧信道”纳入威胁模型，并设计限制累积信息泄露的机制。

本文针对信息泄露漏洞（如架构级或推测执行中的越界/未初始化读取）提出了一种基于类型的数据隔离（TDI）方案。现有基于数据隔离的保密性解决方案通过静态点对点分析为内存对象着色（如敏感与非敏感），并对加载操作进行插桩以在运行时强制颜色匹配。然而，保守的点对点分析会导致过度近似，损害安全性或进一步降低性能。TDI将不同颜色的内存对象隔离到独立的内存区域，并通过高效的编译器插桩将加载操作约束至目标颜色区域，从而将插桩从加载操作转移到指针算术操作。这种基于区域的设计支持积极的推测感知性能优化，并消除了对点对点分析的需求。TDI的颜色管理灵活：既可采用类似先前工作的少色方案（如2种颜色），也可采用基于基本类型分析的多色方案（每种对象类型一种颜色），后者提供细粒度数据隔离，无需注释，并强制等效于理想（上下文敏感）类型点对点分析的强颜色匹配不变式。实验结果表明，TDI在SPEC CPU2006和nginx上的平均性能开销低于10%，能够高效支持强安全不变式。

该论文重新审视了基于概念模型（Concept-based Models, CMs）中信息泄漏的传统观点。CMs是一类深度神经网络，其预测基于与人类可理解概念（如“圆形”、“条纹”等）对齐的表示。过往研究通常认为，CMs会学习到泄漏概念无关信息的表示，这种泄漏被视为不可取的，应予以消除，因为它会导致模型不可解释。然而，本文作者指出，这一传统观点在两方面存在缺陷：首先，泄漏导致模型不可解释的证据往往不具决定性；其次，在现实世界中常见概念不完备（concept incompleteness）的约束下，完全消除泄漏会导致模型不实用。作者论证，在概念不完备成为常态的实际场景中，一定程度的泄漏对于构建准确且可干预（intervenable）的CMs是必要的。据此，他们提出了“良性泄漏”（benign leakage）的概念，并通过重新构建典型的CM训练目标，使得模型能够主动鼓励并利用这种良性泄漏，而不会牺牲预测准确性或干预能力。论文通过理论分析和实验验证，展示了所提方法在多个基准上的有效性。该研究为CMs的设计提供了新视角，有助于在保持可解释性的同时提升模型实用性。适合机器学习、可解释AI领域的研究者和从业者阅读。

该论文研究了前沿语言模型在写作任务中是否能够保守秘密。作者给每个模型一个秘密词，要求模型在写故事时不要泄露该词，然后使用另一个模型通过二分类测试来判断故事是否包含该秘密。尽管秘密词从未以字面形式出现在输出中，但所有五个测试的前沿模型都以显著高于随机水平的概率（最高达79%）通过主题、意象和设定等间接方式泄露了秘密。当模型被告知主动隐藏秘密时，它们会刻意避开秘密词，但这种回避行为本身也是可检测的。泄露模式具有跨模型可读性，在两个模型族内随模型规模急剧增加，但对于笑话等短文本则完全消失。给模型一个干扰概念让其“专注”可以部分地将泄露从真实秘密转移到干扰概念。研究表明，注意力机制似乎打开了一个信息通道，前沿LLM即使被指示也无法关闭。该工作揭示了LLM在需要信息隔离的场景中存在隐秘的信息泄露风险。