该论文聚焦三维点云自编码器的后门安全问题。点云自编码器是 3D 世界表示的基础组件，被广泛用于自动驾驶感知、机器人、数字孪生等安全攸关的下游任务。此前学术界对点云分类模型的后门攻击研究已较为充分，但针对点云自编码器这类生成式模型的后门机理仍基本空白。作者指出，判别式分类器与生成式自编码器的后门行为存在本质差异：分类器分别拟合良性样本与恶意样本的边缘分布，两类行为相对独立、易于控制；而自编码器会把两类样本纠缠进统一的隐空间分布，造成信息串扰、攻击可控性下降。其典型表现是，恶意（中毒）样本中残留的源几何信息会泄漏到干净推理分支，使重建结果向源数据坍缩，即攻击者无法稳定地把重建导向期望目标。为解释并缓解该现象，作者提出“信息黑洞”（Information Blackhole）原则，通过在隐空间引入高斯分布约束来解耦表示、阻断干扰信息传播；并据此设计自适应高斯匹配（AGM）方法，对中毒样本的隐分布施加显式正则化，抑制源几何信息从中毒特征向攻击者指定重建目标传播，从而提升攻击可控性。在 ModelNet 与 ShapeNetPart 上的大量定量与定性实验表明，该框架可提升多种标准触发器的攻击效果，并系统揭示了针对点云自编码器后门攻击所特有的作用机制，为理解生成式 3D 模型的后门风险提供了新的分析视角。

本文是对Khatri等人(2026)提出的潜在空间安全探针方法的可复现性研究。原始方法表明，在单一大语言模型(LLaMA-3.1-8B)的最终层激活上训练轻量级MLP探针，能够以与比其大1000倍的防护模型相竞争的F1分数检测有害提示，且每个基准只需一个探针。作者从零开始复现了这一完整流程，并沿着原始研究未涉及的两个方向进行扩展：第一，测试跨模型架构和规模的泛化能力，在Gemma-4-E4B、Mistral-7B-v0.3和Qwen2-7B上训练相同的探针，并使用WildJailbreak、BeaverTails和AEGIS 2.0三个基准进行验证；第二，通过五个随机种子重复激活提取实验，测量F1分数的方差，以评估推断过程中非确定性对结果的影响。实验结果显示，原始LLaMA模型基准的复现F1分数与原文差距在0.37个百分点以内(BeaverTails上不超过0.2个百分点)，验证了原始方法的可复现性。此外，MLP探针架构成功扩展到其他模型家族，F1分数与LLaMA-3.1-8B的报道值相差不超过1个百分点，表明该方法具有良好的跨模型泛化能力。种子变化实验揭示了一个有趣现象：对于所有测试的架构，无论随机种子如何，最终token的潜在向量均保持不变，暗示激活提取过程具有高度确定性。这项工作的贡献在于：证实了轻量级探针作为高效有害内容检测器的可靠性，为其实际部署提供了强有力证据，并揭示了潜在空间表示的稳定性。适合对LLM安全机制、可解释性和高效检测方法感兴趣的研究者阅读。

该论文提出了一种名为GATAS的自动语音识别（ASR）系统黑盒测试方法。研究背景是，尽管基于transformer的ASR模型在关键应用中取得了高准确率，但仍容易受到对抗性攻击，尤其是在黑盒场景下，攻击需要保持感知自然性。现有方法通常直接扰动波形，容易产生不自然的噪声。GATAS创新地利用文本到语音（TTS）模型的音素级潜在空间来生成触发错误的输入，通过在自然语音流形内插值潜在表示来诱导转录错误。该方法将攻击形式化为一个多目标优化问题，平衡语义差异和感知质量。实验评估基于多个白盒和黑盒基线，结果显示GATAS在保持较低失真和更高感知质量的同时，实现了98%的攻击成功率，人类研究也证实了其自然性。即使没有梯度信息，GATAS仍能与白盒方法竞争，表明表示对齐和感知质量比访问模型内部更关键。该工作为ASR系统的鲁棒性测试提供了高效、真实的黑盒测试用例生成方法。

本文系统性地研究了现代神经网络中后门攻击的密码学不可检测性问题。传统后门攻击往往依赖特定的触发器模式，且容易被防御机制检测。受近期密码学进展启发，作者提出了一种基于潜在空间方向的攻击框架，将后门通道建模为网络在训练过程中学习的潜在方向。核心创新在于：将不可检测性问题转化为一个假设检验问题——攻击者无需引入外部结构，而是利用网络自身几何中已存在的方向作为后门载体。通过在标准图像分类数据集上对ResNet和Vision Transformer架构进行实验，该方法在保持干净样本精度几乎不下降的同时实现了持续的高攻击成功率，并能抵抗多种主流的后训练防御（如剪枝、微调、神经元清洗等），除非将模型完全破坏。作者进一步从理论上论证，由于模型参数的分布复杂，区分后门模型与干净模型的假设检验在实践中是难解的，从而建立了后门的密码级不可检测性。该工作表明，密码学意义上的后门并非只能用于理论架构，而是现代深度学习模型潜在空间固有几何属性的直接体现，对AI安全领域具有重要的理论推进价值。