该论文研究的是「在线策略蒸馏（On-Policy Distillation, OPD）」场景下的成员推断攻击（Membership Inference）。OPD 的训练方式与传统蒸馏不同：它让学生模型在自己生成的轨迹上，去匹配教师模型给出的下一个 token 概率分布。问题在于，教师模型在蒸馏时往往会被喂入一些「特权信息」（privileged information），这些信息可能包含敏感记录（例如私有数据集中的样本、医疗问答记录等）。那么一个自然且关键的安全问题是：学生模型在蒸馏完成后，是否会泄露「某条记录曾被用于教师监督」这一事实？作者指出，此前这一问题几乎没有被系统研究，本文据称是首个针对该场景的成员推断系统性研究。 论文首先观察到：固定参考答案上的损失（fixed reference-answer loss）往往无法暴露成员信号，而学生模型新采样（fresh）的轨迹中却存在稀疏但可用的成员信号。难点在于，这些信号会与其他记录训练所带来的概率变化混杂在一起，形成干扰。 为此作者提出 Leaky 方法：从目标模型（学生）采样新的轨迹，取每个 token 的对数概率，并与「用不含候选记录的数据训练出的一组匹配参考模型」在同一 token 上的最大对数概率进行比较；随后对得到的差值套用 Leaky ReLU，即保留正差值、对负差值进行降权，以此近似修正非成员模型中偶然出现的正差值（假阳性信号）。 实验覆盖数学推理、医疗问答、代码生成三大类共 15 个目标模型。结果显示 Leaky 在所有评估基线上均取得更优表现：主评估中平均 AUROC 达 0.875，而每个目标上最强的基线仅为 0.614；在相同的采样轨迹上，最强基线的平均 AUROC 为 0.826。作者由此得出结论：即便固定参考答案损失几乎给不出成员证据，经由 OPD 训练的学生模型依然会泄露教师监督所用记录的成员身份。对安全从业者而言，这意味着「蒸馏」并非天然的隐私保护手段，反而是新的隐私侧信道。

具身智能体（embodied agent）在执行任务前通常会由任务规划器生成多步计划，而子任务之间的依赖关系以及与物理环境的交互，可能在执行过程中叠加出单步看起来无害、整体却具备物理危险性的组合风险。论文指出，现有防护手段存在明显盲区：通用的安全护栏（guardrail）主要围绕语义层面的有害内容判别，而具身安全检测器往往只对单个子任务做孤立评估，二者都无法刻画“整条计划在当前环境下是否物理安全”这一问题。为此，作者提出 PlanGuard，被其称为首个在执行前对完整多步计划进行物理安全评估的检测器，即把整条计划与当前环境状态联合作为输入，输出计划层面的安全判定。为支撑训练与评测，作者构建了 Multi-Step Plan Safety（MSP-Safe）数据集，流程包括配对任务构造（paired task construction）、使用多种不同规划器生成计划、并由三名评判者（three judges）进行安全标注，从而覆盖多样化的规划风格与安全/不安全对照样本。训练方面，作者先采用面向任务的监督微调（task-oriented SFT）在 MSP-Safe 上建立基础的计划安全评估能力，但发现可直接实时部署的小模型与能力更强、成本更高的大模型之间仍存在显著差距。为此提出 STAC-OPD（Strong-Teacher Adaptive Compensation for On-Policy Distillation），在学生模型自身的 on-policy 轨迹上提供自适应的强教师监督：一方面做来自微调后强教师的 token 级分布迁移，另一方面做概率路由的序列级补偿——当学生模型给出的目标与参考安全决策一致时保留学生自生成目标，否则使用教师重构的目标。实验上，PlanGuard-2B 在所有测试子集上取得平均 87.15% 准确率与 87.21% F1，说明在紧凑模型规模下也能有效完成整条计划的物理风险检测。作者表示代码与数据集将公开。

该论文提出 ReCAST（Restoration-aware Cascaded Stage-wise Training）框架，用于解决中文短信中混淆文本的风险分类问题。研究背景是：欺诈短信通过精心设计的混淆策略（如谐音、形近字、插入符号等）隐藏风险关键词，同时保持人类可读性，导致传统的直接分类模型在生产环境的延迟和吞吐约束下性能脆弱。核心问题是：如何在保持小模型可部署性的前提下，提升对混淆短信的鲁棒识别能力。方法上，ReCAST 采用知识蒸馏与级联阶段训练：首先让大型教师模型学习去混淆任务，包括混淆片段检测、混淆类型预测和文本恢复；然后将这些能力蒸馏到较小的学生模型中，使学生模型具备恢复感知能力，并基于恢复后的语义进行风险分类。实验基于内部构建的真实中文短信基准，结果显示 ReCAST 在混淆场景下显著优于直接训练的基线模型，表明恢复感知蒸馏为生产环境下的短信风险分类提供了一条实用路径。该工作的贡献包括：提出了针对中文短信混淆的细粒度监督任务组合，设计了多阶段蒸馏训练流程，并在真实数据上验证了有效性。适合阅读的人群包括短信安全风控工程师、NLP安全研究人员以及关注模型轻量化部署的 AI 安全从业者。由于目前仅基于摘要，未获取全文实验细节，所有结论局限于摘要所述内容。

该论文研究了分类模型中的反蒸馏采样问题。知识蒸馏攻击中，攻击者通过查询目标分类器的预测接口，利用返回的概率向量训练一个替代模型，从而窃取模型功能。此前针对大语言模型提出的反蒸馏采样方法通过输入相关的梯度导向扰动来防御此类攻击，但该方法在分类任务中的迁移尚未被研究。本文首先将反蒸馏采样迁移至分类场景，并发现其行为由教师模型每个输入上的置信度边际分布决定。由于训练良好的分类器存在严重的过度自信现象，直接迁移会导致一个“惰性窗口”：当扰动低于某个可闭式预测的阈值时，既不阻碍攻击者也不保护防御者；超过阈值后，防御发生相变，对教师模型的退化速度快于攻击者的学生模型。温度软化可以在闭式上缩放该相变点，但所有温度配置都位于相同的不利权衡曲线上。为此，作者提出ADS-C方法，在闭式每个输入边际预算下组合扰动，该预算可证明保留每个服务的top-1预测，因此防御后的教师准确度与未防御教师完全一致。在该保证下，蒸馏学生模型在CIFAR-100上仍损失17.4个百分点，CIFAR-10上损失29.6个百分点，Tiny-ImageNet上损失13.3个百分点；而使用未经修改的防御达到相同的学生退化程度则需要牺牲教师27.5、32.9和22.2个百分点的准确度。由于服务标签不变，硬标签攻击者无法获益，而防御后的软输出训练的学生模型准确度甚至低于硬标签底线（最多低29.7个百分点）：蒸馏服务概率的动机不仅被消除，反而被逆转。据作者所知，ADS-C是第一个效用成本恰好为零的分类反蒸馏防御方法。

该论文针对物联网设备面临的僵尸网络攻击（如DDoS、数据窃取等）提出了一种轻量级、强化学习驱动的框架DiRLU。现有AI方案存在两大局限：模型过重难以部署于IoT设备，且缺乏“遗忘”能力（即无法在不重新训练的情况下移除敏感或过时特征）。DiRLU通过知识蒸馏将教师模型的知识迁移至轻量级学生模型，两者均使用A2C（优势演员-评论家）强化学习算法训练。框架核心创新在于后置遗忘机制：可选择性修改模型权重以遗忘目标特征，同时保留其他能力，且被恢复的特征性能损失极小，证明遗忘是可逆的。实验采用BoT-IoT数据集的25%（远超通常的5%），教师模型更稳健；学生模型达到99.60%准确率和99.80% F1分数。此外，集成LIME可解释性技术增强透明度。DiRLU仅需2370 FLOPS，比现有最优模型高效约3.87倍，适合边缘部署。该框架符合GDPR“被遗忘权”要求，为IoT安全提供实用且可扩展的解决方案。

本文针对文本到图像生成模型（如 Stable Diffusion）在作为云端 API 服务部署时面临的模型窃取攻击展开研究。攻击者可以通过反复查询 API 收集大量生成的合成图像，并用这些图像训练私有替代模型，从而实现未经授权的知识蒸馏和能力复制，而无需访问原始模型权重。现有防御方法难以在保持输出图像视觉质量、提供显式扰动幅度控制以及高效处理大规模输出之间取得平衡。为此，作者提出了一种基于单次生成器（single-pass）的保护框架 WaveGuard。WaveGuard 采用频率感知的扰动生成器，在用户指定的扰动预算下对每张合成图像注入结构化、不可感知的扰动。这些扰动对于正常观看者几乎不可见，但能显著降低受保护图像作为训练数据对未授权学生模型的有效性。在 WikiArt 数据集上的合成输出蒸馏实验表明，WaveGuard 在有效性、保真度和效率三者之间取得了良好权衡，实现了显式的不可感知性控制，并大幅提升了保护效率。该方法不需要修改原始生成模型，仅需在输出图像上叠加扰动，可无缝集成到现有 API 管道中。