该论文来自 arXiv(cs.LG / cs.NI),关注 Wi-Fi 信号数据被滥用导致的个人隐私泄露问题。作者指出,现有的人体定位/姿态预测研究普遍依赖信道状态信息(CSI),因为 CSI 能提供子载波级的高粒度信道特征,定位精度高。但 CSI 采集通常需要提升的操作系统权限以及专用网卡驱动与固件支持,在多数消费级 IoT 设备上难以实现,这限制了此类隐私攻击的适用范围。相对地,RSSI(接收信号强度指示)在普通设备上几乎总能读取,甚至仅需有限用户权限即可获得,只以 dBm 数值形式呈现,粒度远低于 CSI,但可获得性极强。 论文的核心研究问题是:能否跳过重新采集训练数据的繁琐过程,直接把低粒度的 RSSI 数据喂给一个已经用 CSI 训练好的模型,实现跨域推理(cross-domain inference)并预测人的位置?为此,作者收集了一套 RSSI 数据集,并与室内人员移动的视频真值进行时间同步,用该数据集评估现有 CSI 姿态预测模型在 RSSI 输入下的表现。实验结果表明,当室内存在人体移动时,RSSI 数据可达到约 80% 的置信度用于位置预测。这证明以 CSI 训练的模型可以被复用来处理由 dBm 组成的低粒度 RSSI 数据,从而粗略定位采集空间内的人员。作者由此得出结论:在 Wi-Fi 密集的环境中,大量权限受限的普通 IoT 设备都可能被用于侵犯隐私。 该工作属于隐私侧信道与无线感知方向,价值在于把'高门槛 CSI 攻击'降级为'低门槛 RSSI 攻击',并验证了模型跨域迁移的可行性,对 IoT 隐私风险评估与无线频谱侧防护研究具有参考意义。

该论文关注内容管理系统（CMS）生态中长期被低估的一类高影响弱点：第三方插件产生的日志文件暴露。WordPress 等 CMS 承载了约 58% 的网站，其通过第三方插件扩展的能力既是流行的主要原因，也是主要攻击面来源。许多插件为调试或运维目的创建日志文件，如果这些文件保护不足、可被外部直接访问，就可能泄露凭据、个人数据等敏感信息，论文指出这类问题在过去已实际导致网站被入侵。 针对这一问题，作者提出一个基于智能体（agentic）与大语言模型（LLM）的自动化检测框架，专门用于发现 WordPress 插件中的潜在日志文件暴露。该智能体对每个插件同时执行静态分析与动态分析，从而推断日志文件的生成路径、命名方式以及是否存在可被外部访问的风险。 评估规模上，作者选取了安装量最高的 300 个 WordPress 插件（约占全部插件的 0.6%），这些插件合计拥有超过 2.5 亿次活跃安装，相当于官方插件生态全部活跃安装量的约 75%，覆盖面相当有代表性。作者对每一个发现都进行了人工验证：在来自 62 个插件的 81 项发现中成功复现了 79 项，说明该智能体方法的检出不虚。 在结果分析中，作者观察到插件作者实际上已经实现了若干防护措施，并将其归纳为两类：创建控制（例如仅在人工主动开启时才生成日志）与访问控制（例如在 .htaccess 中配置拒绝访问规则）。但论文强调，真正安全需要多层防护叠加，而现实中多层防护并不总是同时存在。基于这些结果，作者进一步推导出一套关于日志文件路径模式与防护模式的分类法（taxonomy），并据此为开发者总结出安全处理日志文件的最佳实践。最后，研究佐证了基于智能体的 LLM 是安全分析中的一种有效工具。适合安全研究者、插件开发者、CMS 生态与供应链安全团队阅读。

该论文针对全同态加密（FHE）保护下的生成式大模型私有推理效率问题提出 ROSETTA 框架。背景是：生成式 LLM 在代码生成、问答等任务上表现优异，普遍采用自回归逐 token 解码策略，但其广泛部署带来严重隐私担忧，促使业界采用基于 FHE 的私有推理方案。现有 FHE 框架的核心瓶颈在于非线性算子（如 Softmax、激活函数、归一化等）的密文求值代价极高，且在解码阶段占据主要开销。作者首先观察到解码阶段的非线性算子呈现异构负载特征，单一密码方案难以同时兼顾精度与速度，因此提出 CKKS/TFHE 混合方案。其两项关键贡献为：一是基于 TFHE 的自适应分段查找表（lookup-table）协议，用于高效且精确地求值非线性运算；二是方案感知的算子选择框架，可自动为每个非线性算子分配 CKKS 或 TFHE 执行路径，从而最小化端到端解码时延。实验表明，与当时最优（SOTA）框架 CacheMir 相比，ROSETTA 在 Softmax 上最高取得 4.8 倍加速，端到端解码取得 1.5 至 2.1 倍加速。论文视角属于系统与密码工程交叉研究，适合隐私计算、机密计算、FHE 编译与 LLM 推理加速方向的研究者与工程师阅读。

检索增强生成（RAG）通过在生成阶段引入外部知识库，显著提升了大语言模型的时效性与事实性，但也把语料库变成了新的攻击面。已有针对 RAG 的投毒研究基本遵循“单点显式注入”范式：把完整的恶意内容封装在单篇文档中，被检索命中后直接进入提示上下文并影响模型输出。正因如此，近期防御机制（基于困惑度、来源可信度、异常文档识别等过滤手段）能够较有效地识别并削减这类威胁。本文首先通过实验验证：面对“间接逻辑诱导”这一类新威胁，现有缓解机制存在明显盲区。其核心思路是改变攻击范式——不再注入显式恶意载荷，而是把它拆解为一条由多篇“休眠文档”组成的信息链。这些文档单独看平淡无害、语义自洽，逐篇审查时可以顺利通过既有过滤；但当它们被同一查询一次性检索并拼接进上下文后，会共同构成一条完整的逻辑推导路径，诱导模型通过多跳推理自行“推导”出攻击者预设的错误结论，而不是直接读到恶意文本。为提升在黑盒条件下的可落地性，作者提出零阶后缀优化（ZOSO），用来自动生成带权威感的后缀表述，以提高检索命中率与上下文说服力。在三个数据集、三种大语言模型上的实验显示，即便在严格的对抗约束下，该方法的攻击成功率仍超过 80%，并能有效绕过针对传统单文档注入的既有防御。作者由此指出一个耐人寻味的悖论：模型推理能力越强，反而越容易在推理型投毒面前被利用。作为对策，论文最后提出基于文档隔离的防御思路 HODOR，试图解耦文档之间被人为构造出的对抗性逻辑依赖。该工作适合 RAG 系统架构师、LLM 应用安全工程师以及关注 AI 供应链与知识库投毒的研究者阅读。

该论文聚焦于 LLM 驱动的自主渗透测试代理（AI-powered pentesting agent）的安全性问题。这类代理与传统的对话式 LLM 存在本质差异：它们具备持久化记忆、可调用外部安全工具（扫描器、漏洞利用框架、后渗透工具等）、能够在真实环境中执行动作，并支持长周期（long-horizon）推理与多步规划。作者指出，正因为这些能力，代理可以自主完成侦察、漏洞识别、利用方案编排乃至后渗透操作，仅需极少人工监督，其安全风险也属"质变"级别——对话式 AI 的护栏机制（内容过滤、拒答、话题限制等）无法覆盖工具调用、记忆写入、跨会话持久化等新型攻击面。围绕这一问题，论文开展了一次系统性的安全分析：首先梳理若干具有代表性的自主渗透测试代理架构，刻画其组件构成与执行流程；其次明确各架构中的信任边界（trust boundaries）与攻击面（attack surfaces）；随后提出一套与代理生命周期对齐的威胁分类体系（threat taxonomy），将威胁划分为 LLM 生命周期攻击、代理架构攻击以及横切性的行为攻击三大类；最后分析现有护栏机制在上述威胁面前的局限性，识别关键研究空白，并讨论未来的研究方向，即构建面向此类代理的、具备上下文感知与架构感知能力的专用护栏。论文整体属于威胁建模与研究议程性质的工作，其核心贡献是问题空间的结构化定义与分类框架，而非具体攻击实现或经验性评测数据。适合关注 LLM 代理安全、AI 红队工具治理、自动化渗透平台建设与合规评审的研究人员、安全架构师与 SOC 管理者阅读。

该论文是一篇系统性综述，聚焦云计算多租户共享物理硬件所导致的隔离边界失效问题。作者收集并分析了 2008 至 2025 年间超过 120 篇安全文献，覆盖虚拟机隔离与容器隔离两条主线。论文考察的威胁类别包括：虚拟机逃逸（guest 突破 hypervisor 边界）、虚拟机跳转/跨租户 VM hopping、CPU 缓存侧信道（利用缓存时序跨租户泄露数据）、容器逃逸（突破 namespace 与 cgroup 等隔离机制）、存在漏洞或污染的容器镜像（涉及镜像供应链），以及分布式拒绝服务（DDoS）攻击。作者围绕三个核心研究问题对这些威胁及其对应对防御手段进行结构化评估，以回答攻击面如何演化、现有防御覆盖到什么程度、还有哪些空白。为便于横向比较不同防御方案，论文提出量化评分框架 ADPO，从准确性（Accuracy）、部署难易度（Deployment ease）、性能影响（Performance impact）、运维开销（Operational overhead）四个维度给出 0 到 3 的评分；同时将攻击影响映射到机密性、完整性、可用性（CIA）三元组上的 1 至 5 级严重度刻度。论文最后讨论了安全性与系统性能之间的固有权衡，并列出开放挑战，包括构建低开销的入侵检测机制，以及构造真实、可复现的测试数据集。整体上，这是一份面向云基础设施隔离攻防的综述与评估方法论工作，适合云平台安全架构师、hypervisor 与容器运行时研究者、以及负责云检测工程的 SOC 人员阅读。

该论文来自瑞典皇家理工学院（KTH）相关研究团队，聚焦于「自主网络事件响应智能体」在真实度较高的网络靶场中的能力评估。研究动机在于：尽管自动化入侵响应（如自动封禁、隔离、限速）在学术与工业界被广泛讨论，但缺乏一个既能模拟真实网络拓扑变化、又包含人类用户行为的可重复评测环境，导致不同策略之间难以公平比较。作者构建并复用了原本面向人类操作员培训的网络靶场，其中包含仿真网络环境、可变网络拓扑、红队模拟器以及模拟用户智能体（simulated user agents），从而在防御动作产生可用性代价的前提下评估防御方的收益。防御智能体的目标是在红队智能体无法访问内网主机的同时，尽量降低防御措施带来的业务可用性损失。告警由 SIEM 平台生成，并映射为智能体可消费的数据建模语言，使智能体能够在结构化事件流上进行决策。论文对比了两类策略：一类是人工设计的启发式（heuristic）策略，另一类是通过强化学习（RL）训练得到的策略；RL 策略的优化目标是在一个网络攻击仿真器上最小化「入侵损失＋可用性损失」的联合代价函数。实验结果表明：总体而言，强化学习智能体的防御效率优于启发式策略；但性能高度依赖于对手（红队）所采用的策略，并与模拟用户的行为模式存在强耦合，说明在自适应对手和含噪人类行为的环境下，单点最优策略并不稳健。论文的贡献在于提供了一套可复现的靶场评测方法学与对比结果，指出对手建模和用户行为建模是自动响应智能体评估中不可忽略的变量，为后续构建更鲁棒的自动化防御决策系统提供了实证基线。

该论文研究漏洞根因分类的可复现性与自动化友好度问题。背景是：在漏洞管理、根因分析(RCA)与处置排序中，按根因弱点分类至关重要，而业界长期依赖 Common Weakness Enumeration(CWE)这一公共弱点库。但 CWE 条目之间存在大量语义重叠，结构并非正交，导致同一个漏洞可被同时映射到多个弱点，给 RCA 与分诊带来歧义。为此，NIST 特别出版物 800-231 提出 Bugs Framework(BF)，用 <cause, operation, consequence> 三元组组织漏洞，并将多个三元组连成因果链，使一个漏洞同时携带其根本原因与最终汇点(sink)，而不是只挂一个终态标签。然而 BF 目前只是被规范定义，尚未针对自动化分类所面临的挑战做过性能评估，也缺乏支撑采纳所需的实证证据。作者的贡献在于首次以实证方式评估 BF ：既把 BF 当作分类目标，也把它视为 CWE 的补充。他们构建了一个经过系统筛选的语料，由与 CWE 研究相关联的自动化采集 CVE 组成，并做两项评估。其一是定性的评分者间一致性研究：2 名领域专家独立将 13 个 CVE 映射到 BF 的四个轴上，结果显示在 cause 与 operation 轴上高度一致，而在 attribute 轴上仅为中等一致。其二是可复现性实验：在两个不同预算配置的大语言模型(LLM)部署上运行其自动化分类框架。作者同时指出研究局限，例如证据可获得性不足、闭源软件缺少可检索的修复提交等。总体结论支持 BF 比 CWE 更结构化、更适合自动化这一主张，并具体指出 BF 的短板，包括对 attribute 轴的指导规范不足。适合漏洞管理、RCA 与 AI 辅助分类方向的研究者和安全工程团队阅读。

本论文聚焦于基于规则的入侵检测系统（如 Suricata）在规则编写环节的瓶颈问题：编写高质量检测规则需要深厚的专家经验，且规则产出速度难以跟上新兴威胁的演进节奏。现有基于大语言模型（LLM）的方案虽然能降低分析员负担，但存在两类缺陷：一是依赖已经整理好的威胁情报，而这类情报往往是在底层流量痕迹已经出现之后才产生的，无法用于对已有捕获流量的即时规则挖掘；二是需要高成本的 LLM 调用，却缺乏足够的质量把关机制，生成的规则常常无法落地。针对这些问题，作者提出 RuleAutoPilot——一个端到端的智能体（agentic）框架，能够直接从恶意软件的原始网络流量（PCAP）中合成可部署的 Suricata 规则，全程不需要任何先验威胁情报。该框架识别出的一个核心挑战是噪声问题：真实抓包中往往只有极小比例是与安全相关的流量，其余大部分是背景流量，这会显著降低 LLM 的推理质量并推高成本。为此，RuleAutoPilot 引入“良性流量指纹”（Benign Traffic Fingerprinting）阶段，在送入 LLM 之前先剔除已知的良性背景会话，从而压缩输入、降低成本并提升推理聚焦度。在规则生成之后，框架设置了可执行验证与结构化反馈驱动的自动修复闭环：对语法检查不通过、无法在源流量上触发、或在良性语料上产生误报的规则自动进行迭代修复。实验方面，作者在 1,296 个恶意 PCAP 上评估，引入基于实际执行的验证后，规则质量 F1 从 0.443 提升到 0.539；在一个分层抽样的 200 个 PCAP 子集上，使用开源权重模型 gpt-oss-120b 的 RuleAutoPilot 达到 0.524 F1，接近在 Claude Code 环境下运行的 Claude Opus 5 的 0.623 F1，但计费 token 成本低 52 倍。若仅将骨干模型替换为 Claude Opus 5，RuleAutoPilot 以 0.656 F1 反超 Claude Code 的 0.623，且 token 消耗减少 40 倍。作者进一步指出，更强的骨干模型会提升 RuleAutoPilot 自身的天花板，但在同一骨干模型下其脚手架（scaffold）仍优于 Claude Code，说明脚手架设计与骨干模型能力是相互独立的两个增益来源。适合检测工程、蓝队运营、IDS 规则维护以及 LLM 智能体应用研究者阅读。

开放权重语言模型的安全护栏可被"拒绝特征消融"(Refusal Feature Ablation, RFA) 轻易绕过：该技术通过对比估计器在模型残差流中定位出一条线性"拒绝方向"，并将其投影剔除，从而在几乎不损失模型通用能力的前提下获得很高的攻击成功率 (ASR)。针对这类攻击的传统防御通常需要对每一个新的模型检查点进行安全微调，计算成本高昂、难以规模化。本文提出"诱饵方向优化"(Decoy Direction Optimization, DDO)，一种快速的事后权重编辑防御，无需对基座模型做任何微调。其核心机理洞察是：消融攻击依赖对比估计器来寻找拒绝方向，因此与其试图隐藏真实的拒绝回路，不如主动向网络 MLP 神经元中注入一个高幅值、非线性的诱饵信号。当攻击者尝试定位拒绝方向时，该诱饵会污染其估计器，诱导攻击者错误地消融一个无害的正交特征，而真实的安全机制仍保持完好。作者进一步给出了刻画这一效应的形式化谱界 (spectral bound) 证明。实验方面，DDO 在六个模型家族上进行了评估，在标准 RFA 攻击下 ASR 低于 10%；在 Llama-3-8B-Instruct 上，面对自适应多阶段攻击，DDO 与经过训练的防御基线表现相当（最坏情况 ASR 65% 对 58%），并将 Heretic 权重级攻击的 ASR 从 88.7% 降至 18%，而每配置的优化成本仅为训练式基线的 1/30 至 1/450。

该论文研究大语言模型（LLM）权重层面的隐写恶意软件（stegomalware）威胁，即把恶意载荷直接编码进模型参数。由于 LLM 训练成本极高、分发极为广泛，第三方权重文件已成为一条新的供应链攻击面。此前已有工作尝试利用模型权重中的置换对称性（permutation symmetry）来破坏嵌入载荷，但无法保证 LLM 中所有参数都被改动，仍会留下相当比例的未变化权重可供提取。 本文的核心贡献有两点。防御侧：作者改进了置换选择方法，证明可以构造出能够位移全部模型参数的置换，从而覆盖此前方法在 LLM 中遗漏的权重，实现更彻底的隐写载荷中和。攻击侧：作者展示了置换对称性同样可被滥用——能够以理论无损的方式把恶意代码编码进权重，编码后无需重新训练，提取脚本也无需包含任何与载荷相关的特定信息；这种特性组合在此前的单一方法中从未同时出现，意味着依赖脚本内容或载荷特征的检测手段容易失效。 此外，由于浮点数值误差会在置换过程中累积，理论无损并不等于实际无损。作者因此量化了攻防两种场景下模型性能的下降幅度，结果表明损失很小，说明该方法在实际部署中具备可行性。论文属于机器学习与安全交叉研究，适合关注 AI 供应链安全、模型完整性验证与权重级威胁检测的研究人员与工程师阅读。

本文关注一个日益现实的问题：基于大语言模型（LLM）的软件智能体正被用于自动化程序修复（APR），未来很可能在几乎没有人工干预的情况下自动修复缺陷。作者提出两个核心疑问：在无人监督的场景下，APR 智能体产出的代码是否同时具备功能正确性与安全性？如果攻击者向生产环境中的 APR 智能体提交看似普通、实则精心构造的缺陷描述（issue），诱导其生成「功能测试通过但并不安全」的补丁，会发生什么？为回答这些问题，作者开展了实证研究。首先构建了 SWEADV 基准：以 SWE-bench Verified 中的 150 个修复任务为基底，为每个任务生成 5 条对抗性 issue 描述，分别对应命令执行、反序列化、路径遍历、拒绝服务与弱哈希五类安全弱点，共 750 条样本。其次，作者用三种 LLM 后端（GPT-5-Mini、MiniMax-M2.5、DeepSeek-R）驱动 mini_swe APR 智能体，在 SWEADV 上做系统评测，发现平均有 51.7% 的案例中，对抗性 issue 描述既能成功完成修复、又同时引入了恶意行为。第三，作者进一步检验常规检测手段能否拦住这类恶意补丁：修复前用 LLM-as-judge 对对抗性 issue 描述做检测，平均准确率仅 62.3%；修复后对生成的补丁检测，静态分析工具的平均准确率只有 39.4%，LLM-as-judge 为 55.4%。据此，作者得出结论：当前自主 APR 智能体对对抗性攻击高度敏感，尚不具备生产环境部署的可信度，需要更稳健的检测与人工把关机制。

该论文针对语言模型智能体在完整软件仓库上执行安全分析的能力评估问题展开研究。作者指出，当前网络安全领域的评测工作主要关注智能体能否「检测」、「复现」或「修复」漏洞，却很少衡量一个更基础的能力：能否在陌生仓库中准确定位与特定弱点类别相关联的实现文件。为此，论文提出「漏洞定位」（vulnerability localization）这一独立任务，并构建了 Vulnerability Localization Benchmark（VLoc Bench）基准。该基准包含来自 290 个仓库、覆盖六大软件包生态与 147 个 CWE 类别的 500 个真实漏洞案例；每个任务都提供修复前与修复后的仓库快照配对。在漏洞版本快照上，智能体仅获得 CWE 描述与只读终端访问权限，必须返回受影响的文件；在已修补快照上，智能体则需判断所记录的漏洞是否已不存在。作者在统一智能体接口下评估了 27 个语言模型与 4 种静态分析工具。结果显示，仓库级漏洞定位仍然十分困难：表现最好的系统仅达到 0.229 的 File F1，且有 38.4% 的任务没有任何被评估模型给出正确本地化结果。论文进一步发现，更强的定位能力并不等同于修复后的可靠行为——那些能有效识别漏洞文件的系统，在已修补仓库上仍可能报告缺乏依据的位置。该工作将漏洞定位确立为一种独立的仓库级能力，并为研究安全智能体如何搜索易受攻击代码、以及何时应当避免报告提供了实验框架。

该论文关注工具型 AI 代理在生产环境中自主调用 API、数据库、浏览器及 MCP 等跨代理协议时的授权安全问题。作者指出，现有安全模型难以同时保证三个性质：代理的每一次重要动作都可追溯到人类主体；动作范围不超过人类实际委托的权限；事后可争议、可追责。现有文献多孤立讨论非人类身份凭证管理、经典访问控制、提示注入和审计日志，却较少聚焦授权决策点，即工具调用发生时的即时判定与强制执行机制。为此，论文提出一个主体层级框架，涵盖人类用户、运营者/部署者、编排代理、子代理和工具端点，并围绕五个相互依赖层展开：代理身份与凭证生命周期；多跳链上的委托与作用域传播；策略执行点上的运行时强制与即时授权；提示注入作为破坏主体层级的授权绕过；可审计性、来源追溯与不可否认性。方法上，作者对 2023 至 2026 年间约 180 篇候选文献筛选出的 89 篇主要来源进行结构化叙述性综述，提出七项结构性需求，推导出四层参考架构，并将需求应用于三种可部署参考配置。研究识别出运行时强制与聚合边界是主要未解决问题。该文适合安全架构师、IAM 工程师、AI 平台与 SOC 团队阅读，用于设计更可追责的代理授权体系。

该论文研究一个面向 LLM 驱动攻击性安全代理（offensive-security agent）的工程问题：在代理流水线中加入"验证器—接受阶段"（verifier-and-acceptance stage），即由一个模型充当验证器给出判定、再由确定性代码强制执行该判定，是否会改变代理最终报告的漏洞发现。作者采用预注册（pre-registered）的实验范式，分三步开展：第一步是 15 次运行的探索性试点；第二步是预注册的 20 次运行确认性消融实验（confirmatory ablation）；第三步是预注册的 2×2 因子研究，在两个刻意配置为易受攻击的实验室靶标上共进行 40 次运行。 确认性实验的核心结果是：将验证器—接受阶段移除后，"报告前抑制"（pre-report suppression）现象消失，每次运行的中位发现数从 2 降至 0，单侧精确检验 p = 0.00003；同时，在模型盲审（model-blinded）条件下最终"发货"的精度从 0.471 降至 0.353，p = 0.0087。但对一份冻结但不完整的 ground-truth 列表的召回率没有显著差异（双侧 p = 0.158），且研究未建立等效性，作者也强调该召回端点证据不充分。 因子研究进一步做归因分解：抑制作用主要来自模型验证器本身（Holm 校正后 p = 0.004）；仅靠确定性接受规则并未抑制任何误报；两者之间未检测到交互作用（p = 0.72）。完整设计保留了 93.8% 的经模型裁定的真实候选，但未达到预先注册的非劣效性标准——单侧 95% 置信下界为 0.875，低于 0.90 的门槛，因此不能宣称"不劣于"无验证器配置。 在安全与审计方面，作者在两个研究中部署了带埋点的金丝雀（instrumented canary），在 60/60 次运行中记录到零次接触，偶发的外部接触单独披露。对保留的盲审数据包的人工独立裁定仍在进行中，因此精度与灵敏度端点目前只是支持性证据而非最终结论。作者还主动披露了六处审计追踪失败，其中一处发生在评估工具自身。论文的结论刻意收窄：验证器改变的是"系统最终交付什么"，确定性代码提供的是强制执行与可审计性；该结果并未证明其优于其他代理，也未证明可推广到实验室靶标之外。 论文适合关注 LLM 代理安全评估方法学、代理流水线治理与可审计性设计的研究者与安全工程师阅读，尤其适合负责设计"模型输出—代码执行"门控与审计链路的团队。

该论文针对心理健康困扰日益普遍、而各类机构(教育机构、职场、诊所等)虽积累了大量心理健康问卷数据却难以联合建模的问题展开研究。核心矛盾在于两点:一是隐私约束使得原始问卷回答无法集中汇聚;二是各机构的问卷设计高度异构——问题措辞、评分量表、数据格式都不一致,导致数据在语义层面无法直接拼接整合,传统联邦学习(FL)也因模型输入维度与语义不统一而受限。作者提出一种"schema 感知的拆分学习(split learning, SL)"框架,其关键思路是用大语言模型(LLM)充当跨机构的共享语义编码器,将不同来源的异构问卷 schema 对齐到统一表示空间。具体做法是:把每一条问卷记录序列化为一段自然语言描述,从而把彼此不同的问卷结构统一成同一种可被 LLM 理解的文本格式;随后以低秩适配(LoRA)方式对 LLM 进行心理困扰评估任务的微调;再将该模型按拆分学习范式切分到客户端与服务器两侧——客户端本地保留原始问卷回答,只运行一个轻量级前端模块,因此原始记录永远不会离开采集它的机构;而计算密集的模型主干部署在服务器端执行,从而把客户端的算力与内存开销压到最低。实验采用 LLaMA-3.2-3B-Instruct 作为基座,在仅使用 2,000 条训练样本的条件下取得平均 ANLS 0.708 的成绩,在九个实验设置中的八个上优于联邦学习基线,同时将单客户端计算量降低约三个数量级,并展现出对未见数据集的泛化能力。总体而言,该工作为异构、隐私敏感的跨机构协作学习提供了一条"语义统一 + 模型拆分"的可行路径,兼顾了准确性、隐私保护与资源效率。

该论文研究的是「潜在世界模型（Latent World Model）」在复用场景下暴露出的供应链后门风险。世界模型是一类学习式模拟器：把观测编码为潜在状态，并预测在给定动作下状态如何演化。当前社区开始像复用预训练编码器和语言模型那样，把预训练世界模型直接当作「开箱即用」的动力学骨干网络，用于下游控制任务（如 Dreamer 风格的想象式 actor 训练，或基于预测未来的 MPC/CEM 规划）。作者指出，这种复用模式引入了一条新的供应链攻击路径：攻击者只需控制一个对外发布的模型检查点，就能劫持下游控制器——而受害者全程在干净数据上训练与评估，从未见过触发器。 该攻击的关键创新在于不编码任何显式的「触发器→动作」规则。相反，被投毒的世界模型会把携带触发器的观测路由到潜在空间中某个选定区域，并重塑该区域的局部动力学，使得受害者自身的优化过程（想象式 actor 训练或规划搜索）自行「重新发现」攻击者预设的目标动作。这样后门与受害者算法解耦，不依赖特定控制器实现。 实验覆盖多个控制任务与多类触发器族。结果表明：触发器能把控制器动作导向攻击者目标，可控制全部动作维度，在最强设置下能劫持 100% 的触发步。同时该检查点仍能通过受害者在部署前常规运行的干净数据诊断，干净任务成功率至少保留约 75%。效果具有时间门控特性：仅在触发器存在时出现，触发器移除后即消失。作者还发现「触发器盲」的修复手段受预算制约：适度的干净微调能保住干净任务效用，但触发失败依然存在；只有足够激进的适配才能消除后门，代价是干净控制性能显著下降。结论是，世界模型骨干正成为一个新兴且被严重忽视的控制系统攻击面，论文代码与工件已开源。该工作适合从事具身智能、强化学习安全、AI 供应链与模型后门检测的研究者与工程师阅读。

本文针对工具集成型LLM智能体面临的对抗攻击问题，提出了通用防御框架。此类智能体通过调用外部工具完成多步任务，但易受直接/间接提示注入、记忆投毒和后门攻击。作者在统一框架下探索了跨四种攻击类型的可泛化防御策略，包括两种基于工具的通用防御：攻击者工具过滤（利用孤立森林等异常检测识别并移除可疑工具）和正常工具召回（白盒方法，在规划前恢复智能体原始工具集）；以及基于提示的防御：思维链提示、自我反思和任务复述。实验在四个开源模型（Gemma2-9B、Qwen2-7B、LLaMA3-8B、LLaMA3.1-8B）和三个闭源模型（GPT-3.5、GPT-4、GPT-5）上进行，结果表明这些方法显著降低攻击成功率（ASR），在许多设置下达到0% ASR，同时保持甚至提升原始任务成功率。该工作强调了简单、模块化、多层防御对增强工具集成LLM智能体安全性和鲁棒性的前景，代码已开源。

检索增强生成（RAG）通过在生成阶段引入外部知识库的检索结果，显著降低了大型语言模型的幻觉与事实性错误，已成为提升 LLM 输出质量的主流范式。然而近期研究揭示了一个关键隐私漏洞：攻击者可构造特定查询，借助检索环节从底层语料库中提取个人可识别信息（PII）。RAG-CT 针对该威胁提出一种轻量级防御方案，其核心思路是不改动底层 LLM 与检索器，而是对进入系统的查询进行统计特征分析——考察查询在熵（entropy）与间隔（margin）维度上的分布差异，并采用基于分数的检测方法（score-based detection）判定其是否为恶意查询。换言之，该方法将“隐私窃取型查询”视为一类可被统计指纹识别的异常输入，通过在生成前进行拦截来阻断 PII 泄漏链路。作者在两个数据集上，使用四种当前先进的攻击策略与四种防御基线开展详尽对比实验，结果表明 RAG-CT 在显著降低 PII 泄漏量的同时，整体表现优于现有防御方案。论文定位为一种无需修改模型权重、无需改动检索组件的即插即用式防护机制，部署成本低，适合在既有 RAG 服务上快速叠加。整体而言，该工作从输入侧统计检测的角度补充了 RAG 安全防护思路，与输出侧过滤、检索结果审查等方案形成互补。

该论文研究的是检索增强生成（RAG）中被长期忽视的“引用通道”安全问题。RAG 会先检索外部知识，再基于检索结果生成答案，并为每一条答案附上来源引用；这些引用构成用户的审计线索——读者可以据此核对结论，而无需盲信模型本身。以往 RAG 安全研究几乎都聚焦于“攻击者能否污染答案内容”，而对引用这一可验证性根基缺乏分析。作者指出引用通道是一个全新且切实可用的攻击面，并提出 CiteShade：据称是首个面向 RAG 的“引用洗白（citation laundering）”攻击。在该攻击中，攻击者只需控制多源检索中的一个来源，即可诱导模型输出攻击者选定的错误答案，并把该错误答案归因到一个“可信但实际并不支持该结论”的来源上；与此同时，支持正确答案的证据仍然留在上下文中，因此传统上依赖“上下文是否被污染”的判断方式无法察觉异常。作者将攻击形式化为一个优化问题，推导出攻击成立所需的三个必要条件（检索条件、生成条件与引用条件），并说明可以在不插入任何指令（即无需显式提示注入）的情况下构造出满足条件的来源文档。实验显示：在多源多跳问答任务上，该攻击把错误答案率从 0.01 提升到 0.68；来源删除实验进一步确认，在全部被测案例中恶意来源都是造成错误输出的因果驱动因素。论文还发现，模型对该攻击的脆弱性取决于其“引用倾向”而非模型规模：在最倾向引用来源的模型上，显式指令条件下攻击成功率（CLR）达 0.84，完全不给指令时仍有 0.64。防御方面，作者证明困惑度过滤与引用支撑性检查各自都不充分，并提出一种反事实防御方法，通过消融/替换来源来判断究竟是哪一个来源真正驱动了最终答案。

该论文聚焦 LLM 系统在“答案发布”（publication）环节的完整性与授权绑定问题：已获批准的内容必须与其当前的授权上下文严格绑定，否则会出现三类可区分的失效——语义层面的错误批准（把无依据的答案判为可用）、授权陈旧（审批时有效但发布时已过期）、以及恢复（recovery）流程自身引入的新误差。作者在 Lightcap 的发布执行机制上系统考察了精确内容绑定、授权新鲜度与检查点恢复三个环节。实验设计上，选用 RAGTruth 数据集中 900 条经人工独立标注的回答（来自 150 个源任务），配合三个不同日期的 Ministral 模型以及一个同模型直接 grounding 基线，共产生 3600 次评估。结果显示：以 14B 实例化的生产 response-act 检查器在 302 条被标注为“无支持”的答案中接受了 291 条，而直接基线仅接受 41 条；两者的支持性答案保留率分别为 95.2% 与 66.9%，揭示了安全性与可用性之间的显著取舍。作者提出“精确晋升-修正恒等式”（exact promotion-correction identity），在 100 条按时间排序的 3B-14B-8B-14B 答案轨迹上追踪误差传播；在 65 条初始被批准的答案中，最终的有状态 recheck-recovery 策略相对初始检查点使精确匹配误差上升了 9.23 个百分点（95% 文章聚类置信区间 [-1.72, 19.61]），说明复查恢复机制可能反而放大误差。受控的证据指纹（evidence-fingerprint）变更实验还暴露了发布与恢复之间在“新鲜度”强制执行上的不对称性。此外，一个独立的 BIPIA 提示注入实验在 266 条有效编辑器输出中记录到零次目标插入；外部 Hugging Face 校准实验则把检索模型从 ArguAna 迁移到 SciFact 与 NFCorpus，并把诊断决策规则从 Thunderbird 迁移到 BGL，用于将概率校准变化与排序变化区分开来。核心贡献在于：在可执行的发布边界上，把语义误批准、陈旧授权与恢复引入误差这三类风险分离并量化，为 LLM 输出治理提供了可复现的度量框架。

该论文研究如何为智能体渗透测试自动化构建逻辑攻击图，属于神经-符号漏洞挖掘方向。作者指出，基于扫描器输出、以逻辑形式表达的攻击图能够提供LLM智能体所缺乏的显式且可审计的攻击路径推理；但将MulVAL等符号框架集成到现代安全工作流或智能体流水线时，存在互操作性问题：需要把扫描器证据翻译为初始事实，并编写领域专用规则。为此，论文提出半自动化流水线：解析Trivy、Semgrep、Nmap的发现结果并转换为MulVAL谓词，再借助LLM辅助构建领域专用Datalog规则，将扫描器可检测证据与攻击技术关联，最后由MulVAL/XSB执行符号推理生成结构化攻击路径。评估使用CyBench中54个Web CTF任务，置于Hybrid Reasoner智能体流水线内，但作者明确不评估下游智能体性能。结果显示每个任务至少生成一个可达目标的攻击图，平均真实漏洞覆盖率为53.7%，其中51.9%任务达到完全覆盖；平均噪声路径率为83.9%。端到端中位耗时24.9秒，其中MulVAL推理2.7秒，说明流水线对智能体工作流具备运行时可行性。主要局限在于谓词覆盖率、规则覆盖率和路径精度，后续工作包括语义规则验证和面向图引导渗透测试的智能体级对比。

该论文研究的是中心化 LLM 多智能体系统（MAS）在“注册阶段”引入的一类新型注入风险。在这类系统中，新加入的 worker agent 需要把自己的描述信息注册进系统，而 planner（规划器）会读取这些描述来决定三个关键决策：任务如何被拆解、每个子任务由哪个 worker 执行、以及每个子任务具体需要什么输入与产出。问题在于，这些描述由第三方在系统外部撰写，却会被 planner 当作可信信息直接采信，从而形成一条“注册时注入”（registration-time injection）通道。与常见的提示注入不同，这里的恶意载荷在任何用户指令到达之前就已经埋设完毕，攻击目标是 planner，并会沿着 planner 生成的计划向下游的良性 worker 传播。这意味着即便那个被精心构造的 worker 从未被分配任何子任务、也从未被真正调用，攻击依然可以生效。 作者首先对 worker 描述做了结构化拆解，定义了四个字段：功能（functionality）、输入规范（input specification）、输出规范（output specification）和使用约束（usage constraints）。随后他们对来自三个公开 agent 市场的 32,000 条描述进行统计，发现大多数描述缺失输入规范与使用约束，且至少 23.35% 的描述含有这四个字段之外的内容——也就是说描述文本本身存在大量可被利用的自由空间。基于此，他们构造了八种描述操纵攻击策略，分别针对任务拆解、能力接地（capability grounding）和子任务规格说明三个环节，并在 GAIA 基准上进行评测。结果显示，在最严重的情形下，仅一条被操纵的描述就能把任务成功率从 84.31% 压到 37.25%，或者让 token 消耗、执行时间上涨超过 111%；而用户的目标表述始终未变，worker 也仍然忠实地执行 planner 给出的计划——即异常完全来源于计划本身被误导，而非执行侧出错。这些效果在两种 MAS 实现、六种 planner LLM、四种 LLM 评测器以及三个市场的真实描述数据上都保持了稳定性。 针对该问题，作者提出注册时防御方案 DescGuard：在描述进入 planner 之前，仅保留与 worker 自身接口范围相关的信息。DescGuard 能把被攻击的规划指标与下游性能恢复到接近基线水平，且无需修改 worker 实现、planner 或编排逻辑，还可以与现有的隔离、权限控制与运行时机制叠加使用。

该论文研究企业环境中 AI agent 的凭据配置问题。当前许多企业把 AI agent 当作员工自有主机来配置，在部署时一次性下发一套静态凭据，包含该员工角色未来可能用到的全部权限。基于角色的访问控制(RBAC)之所以对人类主体做这种妥协，是因为按任务粒度限定权限在实践中不可行；但对 AI agent 而言，这种妥协意味着与当前任务无关的凭据也长期处于暴露状态，一旦 agent 被攻陷或目标偏离(compromised / misaligned)，这些多余权限就会被利用。作者此前的工作(Noyan, 2026)将此现象定义为“任务-上下文错配”(task-context mismatch)，并提出三源权限架构：基于角色的权限上限(role-based permission ceiling)、任务权限分类器(task permission classifier)、基于策略的禁止项(policy-based prohibitions)，以事前方式消除暴露面，同时发布了 600 条提示的标注数据集供评估。本文完成端到端评估：实现了该架构中的安全门(security gate)——一个微调后的 RoBERTa-large 编码器，并与少样本训练的 Claude Haiku 4.5 对比，分类质量基本持平(macro-F1 0.881 对 0.886，precision 0.897 对 0.842，严重度加权残余风险 0.63 对 1.12)。结果表明，受信任的监督组件无需随被监督 agent 的规模扩展，该控制方法具备较宽的可扩展监督(scalable oversight)余量，即可用较小模型监督较大模型。论文还提出攻击面消除度量指标：仅角色权限上限一项即可关闭 27.9% 的严重度加权攻击面，叠加任务分类器后关闭比例达到 84.4%。这一差距说明任务粒度访问控制在安全性上优于角色粒度访问控制，而 AI agent 是首个能够真正强制执行任务粒度访问控制的主体类型，因为其任务以机器可读文本形式到达。整体而言，该研究把基于任务的访问控制确立为一种可度量、具备部署潜力的减少 agentic 部署攻击面的机制。适合读者：企业 AI 平台安全架构师、IAM / 权限治理工程师、agent 安全与可扩展监督方向的研究人员。

这篇论文指出，当前语言模型安全评估普遍以“单次交互”为单位，即判断某一条请求/响应是否有害；而这种评估范式忽略了一个结构性缺口：能力可以被拆分、外借并在本地重新组合。作者提出并命名了这种攻击范式为“能力洗白（capability laundering）”。其核心思路是：一个较弱、未对齐（或对齐较弱）的本地模型充当“编排者”，把一个本身有害的总体任务拆解成若干单独看上去无害的子问题，然后把这个子问题分别、独立地提交给更强且对齐良好的前沿模型（论文中称为“咨询者/顾问”），最后在本地把各子问题的回答合并、组装回原始的完整答案。与传统的越狱（jailbreak）不同，这里的每一次交互、每一条响应都不是一个有害任务，因此现有基于单次响应内容的安全过滤器很难判定违规。 作者提出了量化这种“咨询增益（consultation-aided uplift）”的实验范式：使用那些“原始前沿模型能解、但经对齐的前沿模型会拒答、而未获协助的本地编排者无法完成”的任务集合，来度量本地模型在借助外部咨询后能力提升的幅度。实验在三个方向上展开：CyBench、BountyBench，以及有害的 CBRN（化生放核）请求。作为“咨询者”的前沿模型包括 GPT-5.5、Claude Opus 4.8、Grok-4.3，本地编排者则有四款本地模型。 主要实验结果显示：在 CyBench 上，Gemma-4-31B 借助 GPT-5.5 恢复了 14 个候选中的 8 个，借助 Opus 恢复 9 个中的 7 个；作为对照，较弱的 Gemma-4-12B 仅为 21 个中 2 个和 15 个中 4 个。在 BountyBench 上，Gemma-4-31B 分别恢复 9 个中的 3 个与 3 个中的 2 个，而 Muse-Glimmer-30B 在 22 个与 13 个候选中一个都未能恢复。在 CBRN 方向，作者沿一条假想的生物武器攻击链的八个步骤进行评分，发现咨询行为使 Gemma-4-31B 的平均评分从 62.3 提升到 83.1（满分 100）。 结论是：拒绝一个有害任务，并不能阻止前沿模型的能力通过大量“各自均被允许”的交互被转移与组装。这暴露了当前防御体系在会话级、任务级、以及跨模型调用链上的监测盲区，对模型提供方、Agent 编排框架设计者和安全评估方法论都提出了新的要求。

该论文关注的是「人格技能蒸馏」（persona skill distillation）带来的隐私与劳动自主权风险：攻击者可以从个人历史信息（如文本、对话、行为记录）中提取反复出现的行为模式，把它们编码成可复用的技能，从而让 AI 系统高度复现某个特定个人的说话方式、判断风格与行为倾向。作者指出，已有的防御路线以「扰动」为主——即在数据被收集之前由个人对自身数据做扰动、加噪或替换，使蒸馏结果失真。但现实场景往往是 append-only（只追加、不可回溯改写）的：历史记录一旦被第三方或攻击者采集入库，个人就再也无法修改、净化或撤销这些数据，因此扰动类防御在时间线上已经失效，无法适配这种不可逆的采集模式。 为应对这一问题，论文提出 CounterPersona 框架，核心思路由三个环节组成：(1) 构造有针对性的「反人格证据」（targeted counter-persona evidence），即在数据侧注入与目标人格行为相冲突、但语义上自洽的内容，用以稀释和干扰可被蒸馏的一致性模式；(2) 把彼此兼容的行为状态打包成紧凑的「实现单元」（realization units），使反制信号以低冗余、可组合的形式存在，而不是零散、易被过滤的噪声；(3) 通过「理由引导的一致性改写」（rationale-guided consistency rewriting）对这些单元进行强化，使反制证据在语义层面保持前后一致，从而更难被蒸馏器的清洗、去噪或质量过滤步骤剔除。 实验部分，作者开展了较为广泛的评测，覆盖词法层面、语义层面以及基于 LLM 的判定指标，结果显示 CounterPersona 在不同度量下都能取得较强且稳定的防护效果，并且对不同的蒸馏器（distiller）保持稳健，说明该防御不依赖于某一特定模型或特定蒸馏流程的实现细节。论文的整体贡献在于提出了「技能反蒸馏」（skill anti-distillation）这一新范式，把防护重心从「采集前扰动」转向「采集后不可撤回条件下的对抗性证据构建」，为个人隐私与劳动自主权在生成式 AI 时代提供了一条新的技术路径。适合关注 LLM 智能体安全、隐私保护、数据治理以及 AI 对个人劳动替代风险的研究者与安全工程师阅读。

该论文研究如何在可信执行环境(TEE)中高效、安全地运行大语言模型(LLM)推理。背景问题是: 用户提交给 LLM 的提示(prompt)可能包含敏感或隐私信息, 而远程部署的模型可能通过重训练时的无意记忆等途径滥用这些信息。一个自然的防护思路是把 LLM 放进 TEE 中执行, 使服务提供方无法接触 TEE 内的计算与数据交互。但现有 TEE 主要基于 CPU, 其算力远低于为 LLM 推理优化的 GPU, 因而性能代价高昂。作者沿用 Tramer 与 Boneh(2019)在 Slalom 中提出的「分割推理」架构——把神经网络推理拆分到 TEE 与不可信 GPU 两侧执行, 并对送往 GPU 的中间输入做保护——将这一思路扩展到 LLM 推理场景, 但把保护手段从加密改为差分隐私(DP)。 论文首先论证了保护中间表示的「必要性」: 作者展示了一种提示重建攻击, 可从中间表示中恢复原始提示, 准确率接近 80%, 说明若把中间张量明文交给 GPU 将造成严重隐私泄漏。其核心贡献是针对 LLM 关键函数做全局敏感度分析, 从而给出所需差分隐私噪声尺度的上界, 使噪声量级可被定量控制而非经验性设定。与加密方案相比, 差分隐私不需要量化(quantization), 因此 LLM 可以保持在浮点域中运行, 避免量化带来的精度损失; 作者同时推导了掩码与 TEE 内噪声消除所引入的浮点误差上界, 并给出其与隐私参数 epsilon 的函数关系。 实现层面, 作者基于 Intel TDX 构建原型, 使用 Llama-3.2-3B 与 Qwen3-4B 两个模型进行评估。结果显示: 分割执行比 TDX 内纯 CPU 推理快近一倍, 比基于加密的 Slalom 方案快 5 至 15 秒且精度更高。最后, 作者证明即便攻击者掌握差分隐私机制的具体形式, 提示重建也无法恢复出比一个无关提示更多的信息, 即隐私收益具有可证明的边界。该工作主要面向机密计算、隐私增强技术(PET)与 LLM 服务安全的研究者和工程团队。

该论文聚焦大语言模型微调阶段的后门数据投毒评估方法学。传统后门研究通常固定投毒样本数量，再从候选数据池中随机抽取投毒集合，并据此估计模型的最坏情况脆弱性。作者指出这种做法会严重低估真实风险：在三个基于 LLaMA-3-8B 的后门实验设置中，当模型、干净数据与投毒样本数量全部保持不变，仅改变"选中哪些样本构成投毒集合"这一个变量时，攻击成功率即可在 3% 到 80% 之间大幅波动。换言之，随机采样只探测到了风险空间的一小部分。为刻画这一问题，作者把投毒集合的选择形式化为"受 oracle 预算约束的集合优化"：每次"微调 + 评测"调用代价高昂，因此必须在有限次真实评测下，从海量候选集合中找出最危险的那一批。为此提出 SAILS（Set-level Audit-Informed Iterative Learned Selection，集合级、由审计信息驱动的迭代学习式选择）：先用几百次微调-评测运行训练一个"集合打分器"，用它为数百万个候选投毒集合排序，再只对排名靠前的小规模候选名单进行真实审计验证，从而在预算内逼近最坏情况。实验表明，SAILS 在留出集合上的攻击成功率平均比最强的影响力（influence）基线高出约 30 个百分点；该方法还能从较小规模微调迁移到完整规模微调，并可扩展到代码生成、智能体（agentic）以及仅提供 API 的后门场景。整体研究视角属于"对抗性评估方法学"，即通过构造更强的攻击者模型来暴露当前后门评测与防御体系的盲区，而非提出新的实际攻击载荷或绕过技术。

本文针对「云-端协同 LLM 推理」中的隐私取舍问题提出 DR-SL 框架（Dehydrate-Rehydrate with Self-Learning loop，脱水-再水化自学习闭环）。现实困境在于：企业希望把敏感用户数据留在本地，却又想借用云端大模型的推理能力；而既有做法——占位符替换、差分隐私扰动、技能蒸馏——都缺少一个既安全又不显著损失任务效用的「放行决策」。作者将脱敏完备性形式化为两个可度量条件：其一是 Pufferfish 语义下的脱敏充分性，其二是通过 QA 探针衡量的任务信息保真度。系统采用完全本地的双分支验证器，在字典序门控（lexicographic gate）下迭代执行脱水操作，并给出终止性保证；门控之外还设置三层兜底：确定性硬规则红线、外部强攻击者重测、以及人工回退。理论层面，作者证明了 Fano 型下界、Pufferfish 见证（witness）与速率-隐私可行性判据，并明确限定其适用范围——这些界只能证明「发生了泄漏」，不能证明「安全」，且在当前工作点近乎空泛，因此放行安全性实际依赖经验校准、硬规则与人工审核三者。实验方面：在最坏的完全任务耦合基准上，闭环将泄漏率从 0.457 降至 0.304（p 约等于 0，即统计显著）；放行链路在出口处实现 0.000 的字面泄漏（160 个实例、两个强攻击者设定），系统按可行性判据预期退化为「认证+路由」模式。在混合耦合基准上，同一安全点在零实测泄漏下自动放行 67.5% 的实例，在相同放行规则下帕累托优于占位符替换与选择性本地差分隐私方案。两项人类研究分别锚定了语义效用指标（Spearman rho = 0.839）与标注金标准（类型级召回不低于 0.987）。作者同时如实报告：探索性的自学习假设未获支持。所有理论界均通过数值验证，代码、合成数据集、协议与人类研究材料全部公开。

该论文面向 AIOps 场景中的根因分析（RCA）任务，指出现有做法多依赖云端托管的大语言模型，虽然能力较强，但会带来数据隐私外泄风险、网络往返延迟以及随生产日志规模线性增长的按查询计费成本，难以在日志量极大的生产环境中长期支撑。为此作者提出 TriCalRAG——一个面向本地化部署（on-premise）开源权重模型的三策略检索增强基准。实验平台为一台配备 NVIDIA RTX PRO 6000（96GB 显存）的高内存工作站 GPU，使用 vLLM 在本地提供推理服务，并与经典 LSTM 日志异常检测器 DeepLog 进行对照。数据集选用四个真实且公开可得的日志集合：BGL、HDFS、Thunderbird 与 OpenStack。模型方面评估了两个开源权重模型 Qwen2.5-14B 与 Mistral-Small，并在三种提示策略下比较：零样本（zero-shot）、少样本（few-shot）以及基于已标注历史事件库的检索增强生成（RAG）。评价指标包含准确率、精确率/召回率与 F1，并对 3 个随机种子给出 bootstrap 95% 置信区间，同时报告吞吐量与显存占用。主要发现有三点：其一，RAG 相比零样本提示不仅把平均 F1 提升 0.10–0.27，更重要的是显著稳定了模型的概率校准，零样本提示会让两个模型趋于近退化行为——在部分数据集上把高达 100% 的事件都判为“异常”，而 RAG 在多数配置下能把预测正类率拉回接近真实类别分布；其二，Mistral-Small 的宏平均 F1 高于 Qwen2.5-14B（0.644 对 0.560），但在 12 种配置中有 7 种出现校准失败，而 Qwen2.5-14B 只有 5 种，且 Mistral-Small 吞吐量约为前者一半，说明模型选型取决于部署更看重峰值精度还是跨提示条件的可预测行为；其三，消融实验显示批处理在单卡上可将吞吐量放大 41 倍，4-bit 量化可降低 20% 延迟且精度无可测损失。作者开源了基准测试框架、数据划分与评估代码，以支持可复现的本地化 AIOps 研究。

PIMENTO 是一个针对非结构化文本分析隐私保护的框架。当前两种主流隐私保证——上下文完整性（CI，约束信息可流向何处）与差分隐私（DP，约束可推断出什么）——都难以直接映射到自然语言上，导致现有方案无法为文本分析提供形式化保证。PIMENTO 将三种自然语言形式（文本语料、查询、隐私政策）统一映射到关系数据库中，构建公共基底，从而可同时形式化地执行 CI 与 DP。其三项核心贡献包括：1）DP 感知的 Text-to-SQL，在候选查询中寻找正确且所需 DP 噪声最小的查询；2）CI 感知的 Text-to-SQL，将自然语言隐私政策编译为数据库上可执行的 CI 规则；3）提出新的隐私定义“上下文差分隐私”，在 CI 下重新定义 DP 邻域，得到更紧的平滑敏感度上界。在新基准测试中，PIMENTO 在 75.3% 的情况下选出最佳查询（较基线最高提升 45 个百分点），并在正确政策落地时实现零泄漏。据作者所知，这是首个在 CI、DP 及其组合下为自然语言分析提供形式化隐私保证的框架。

该论文聚焦一个此前被忽视的授权盲区：自主 AI 智能体在执行任务过程中会「获取(acquire)」计算资源、凭证、账户、外部服务乃至其他智能体，这些被获取的对象一旦返回，就会给原任务引入新的权限。作者指出，现有的支付校验、预算控制、OAuth 授权、mandate(委托指令)校验和履约(fulfillment)校验，都只回答「这笔交易/这次调用是否允许发生」，而无法回答「履约之后返回的资源，是否可以被当作可用权限来激活」。这个「履约后激活缺口(post-fulfillment activation gap)」同时存在于三条路径：工具介导的资源创建、智能体之间的层级委派，以及 agentic commerce(智能体自主交易)场景。 为此作者提出 AcquireBound——一种「溯源边界内」的运行时授权架构。其核心流程为三步：第一，对已获取的输出先做隔离(quarantine)，不让其立即生效；第二，通过一个版本化的解析器(resolver)，从经过认证的 provider 证据中解析出该资源实际具备的能力，而非依赖调用方自报的意图；第三，只有当一次「当前激活事务」检查通过后才允许激活，检查项包括解析后的能力清单(manifest)、溯源信息、epoch(权限版本代次)，以及定义在类型化「资源-能力超图」之上的下行封闭关系包络(downward-closed relational envelope)。该包络用于保持相关联的身份、效果、数据、委派与全图级别的限制，从而避免拆分式规避。对于一次性效果许可(single-use effect permit)，系统在效果线性化(effect linearization)时重新验证并消耗，防止重放。 在显式假设下，作者证明了八条安全属性：隔离、背书(backing)、非放大(non-amplification)、拆分不可规避(split non-evasion)、崩溃/重试一致性、退款、epoch 语义、效果封闭(effect confinement)。 实验方面：在五类资源上，参考语义实现接受 20/20 良性 trace、拒绝 40/40 已注册的不安全 trace，覆盖 810 个事件；独立检查器在 60 条基础 trace 与 40 条精化 trace 上与参考实现一致，并拒绝 89/89 篡改测试。冻结版本的 Codex 与 Gemini 的 MCP(Model Context Protocol)客户端组件完成了 54/54 次确定性本地 stdio 调用。在注册的 18 例分阶段 MCP-to-Docker 组合场景中，两条良性路径全部完成，16 条不安全路径均未产生未授权的 Docker 启动请求。此外，一项五来源审计对 32 个单元的 1,248 个字段对进行分类，结论是没有任何单一来源能独立提供完整的激活画像。 适合阅读人群：智能体安全、智能体身份与权限(IAM)、MCP/工具调用运行时防护、agentic commerce 与云资源自动化方向的研究者与架构师。

该论文研究的是针对检索增强生成(RAG)系统的知识库成员推断攻击(Membership Inference

该论文关注 LLM Agent 在执行真实动作（运行代码、修改文件、调用外部服务、委派子任务）时的权限最小化问题。与传统系统中「能力预先定义」不同，Agent 真正需要的最小权限是动态的，取决于其「任务意图」——它想做什么、以何种方式做。驱动 Agent 的上下文来源非常杂：用户请求、工具返回结果、被读取的文档、shell 输出、Skill 与 MCP 指令、长期记忆等。这些输入全部汇入同一个共享的规划通道，影响力几乎对等，因此既可能被对抗性注入利用，也会因意外的作用域扩大而越权；然而用户显式请求与文档中抽取的文本在信任等级上并不相同，不应拥有同等的「选择目标」和「扩大访问范围」的权力。现有防御大多约束具体操作与信息流，论文转而研究「按任务定域、多来源的权限组合」。作者主张：Agent 能力应当绑定当前任务意图，而不是绑定沙箱或整个会话生命周期；同时没有任何单一上下文来源能够定义完整能力。为此提出 IntentCap：从四类来源合成能力——用户意图、工作流指令、工具 schema、运行时环境——并采用「字段级所有权」与「单调收窄」原则。每个来源只贡献特定字段，任何来源都不能填写别人的字段；生成的权限租约只能收窄用户已授权的权限，绝不能扩权。实现上，IntentCap 用 LLM 从这些来源生成短时租约，在任何副作用提交之前由确定性检查器校验，并由工具层与操作系统层的信息流策略强制执行。评估显示：IntentCap 能阻断测试中的违规行为且不误拒良性动作，每个来源边界都独立必要，检查器在工具调用、代码执行、文件放置、任务委派等边界上具备泛化能力。适合从事 Agent 安全、最小权限模型、提示注入防御的研究者与工程团队阅读。

本文提出 EchoFuzz，一个由大语言模型（LLM）引导的智能合约模糊测试框架，旨在解决现有智能合约模糊测试中的两大瓶颈。背景方面：智能合约作为去中心化应用的基石，自主管理着规模达万亿美元级别的数字资产，因而成为攻击者的高价值目标，漏洞检测需求迫切。问题一：现有方法在处理合约状态转换时存在逻辑鸿沟与组合冗余，难以在漏洞检测效率与状态空间探索成本之间取得有效折中，导致关键执行路径被遗漏。问题二：基于规则的序列变异策略存在路径冗余、缺乏合约逻辑引导等缺陷，形成性能瓶颈，使探索难以深入到面向深层漏洞的路径。方法上，作者引入“易受攻击函数调用序列”（VFCS，Vulnerable Function Call Sequences）这一概念——即最小化的、保持行为语义的执行路径，通过关键状态转换暴露缺陷。EchoFuzz 包含两个关键流程：其一为链式引导的 LLM 方法，将静态分析与逻辑理解相结合，为特定合约生成 VFCS 候选，从而消除组合冗余；其二为迭代式模糊测试策略，利用 LLM 结合实时反馈，自适应地将模糊器导向尚未覆盖的分支。实验结果表明，EchoFuzz 优于当前最先进的方法，分支覆盖率提升 29%，检测到的漏洞数量增加 62%；同时在真实合约中发现了 37 个此前未知的漏洞，显示出较强的实用价值。适合智能合约安全研究者、审计工具开发者以及关注 LLM 赋能程序分析方向的工程师阅读。摘要未声明该成果已被在野利用或武器化。

该论文系统评估了大型语言模型在区块链取证场景中解读未验证智能合约字节码时的鲁棒性。作者构造了 13 个目的性设计的合约（其中 9 个为欺骗向量、4 个为功能匹配的对照组），并在 6 种提示策略下测试 22 个前沿模型，最终得到 8,528 次可分析的非拒答运行结果，且全部合约均具备 EVM 层面的真值标注。评测采用经过校准的 LLM-as-judge 流水线，并辅以两项与裁判无关的指标以及 50 条人工金标准标签进行支撑。核心发现是：对抗性欺骗使资金抽取（drain）行为的检出率相对功能等价的对照组下降 20.0 个百分点（95% 置信区间为 [17.2, 22.8]）。其中结构性伪装——例如通过多跳调用链、XOR 掩码选择器以及从存储中加载的抽取参数——几乎对所有模型都保持有效。除漏检之外，作者还识别出“合理化”现象：模型能够正确描述隐藏的抽取机制，却接受合约的欺骗性叙述并将其判定为良性，从而输出形式上正确、结论却错误的“安全”证据。简单的防护性指令未带来整体收益，反而会在两个方向上破坏单个模型的稳定性。结构欺骗在 6 种被测提示策略下基本不敏感，更像是模型能力上限问题而非单纯的提示工程问题；仅来自两家厂商的 5 个模型检出率超过 50%。作者的结论是：在单轮、仅提供原始字节码的协议下，当前 LLM 不能作为可靠的独立取证工具；该结论并不延伸到多轮交互、工具增强、可获取源码或反编译参与的工作流，源码边界检查仅作为子集分析单独报告，而非主评测的一部分。

该论文针对当前网络攻防节奏失衡的现实问题展开研究：攻击行为日益自动化，人类分析师可用于检测、推理与响应的窗口被大幅压缩。大语言模型（LLM）因具备关联异构证据、对未见威胁进行推理的能力，被视为实现自主网络防御的潜在基础，但直接把 LLM 接入真实安全运营遥测并不可行——原始日志的到达速度远超模型处理能力，单条事件往往语义模糊，且不受约束的 LLM 动作会带来显著的运营风险。为此作者提出 BlueSTAR，一种面向企业 IT/OT 网络自主网络防御的分层代理（tiered agentic）架构。其核心设计是先把高吞吐的安全遥测转化为紧凑的入侵指标（IOC），从而在降低数据量的同时保留可用于推理的关键证据，再由分层代理在受约束的条件下完成检测、推理与响应决策。论文还提出一种韧性（resilience）度量，将攻击者可达范围、对关键任务资产的影响以及防御动作本身造成的业务中断三者联合纳入评估，弥补了传统只看是否阻断的评估偏差。实验在两个真实企业 IT/OT 靶场（cyber range）上进行，覆盖七条基于真实入侵技术的攻击链。结果显示：对已知威胁，BlueSTAR 保留了确定性响应的快速遏制能力；对需要上下文推理与跨周期（cross-cycle）推理的攻击，包括凭据窃取、重复失陷、并发攻击者以及针对物理过程的攻击，BlueSTAR 也能成功防御。该工作适合 SOC/蓝队工程师、安全自动化与检测架构设计者、OT 安全团队以及研究 LLM 安全落地的读者阅读。

该论文关注自主软件代理代替用户进行购物与支付的场景。当前主流的代理支付协议（如 AP2）会对已完成的购买生成密码学有效的签名，但这些签名只保证交易动作在协议层面合法，并不约束代理形成该决策的过程。由此产生一个结构性缺口：普通的商品描述文本即可作为注入载体（论文称为“耳语攻击”/Whisper Attacks），把购物代理引导到构造一个通过全部协议校验、却与用户原始请求不符的购物车。论文据此提出并验证了三种相关攻击。第一种，代理被诱导去获取另一名用户的支付凭证。第二种，代理组装出一个签名有效但内容与用户先前所看到的不一致的购物车。第三种，只需一条关于库存或产品来源的事实性声明，就能让代理从页面展示的较便宜商品转向更昂贵的商品，而最终购物车与商品列表信息仍然完全自洽——也就是说没有任何明显的篡改痕迹。实验部分使用 AP2 示例代理默认指定的 Gemini Flash-Lite 模型，三种攻击的成功率分别达到 90%、56% 和 73.3%。作者进一步验证该缺陷并非单一模型问题：它在十七个 Google 模型、三个互不相关的代理框架、两个跨厂商锚点以及 Google 自家的消费级助手上均复现。针对这一攻击面，作者提出 A-VIP（AP2 Verified-Intent Protection），一种协议层防御。其核心思路是不去评判商家描述文本是否“可信”，而是把已签名的意图视为一次能力授予（capability grant）：每一次凭证查询都绑定到发起该查询的会话，每一条购物车行项都绑定到用户实际看到的那份商品列表，同时对未经授权的支出进行标记。按论文报告，前两种攻击会留下结构性痕迹，这些绑定机制可以在零误报的前提下将其阻断；第三种攻击不留痕迹，因此 A-VIP 采取将未授权支出浮现给用户确认的策略。论文最后公开了 A-VIP 的代码、经过机器校验的不变式（machine-checked invariants），以及包含 1,544 个评估场景的 AP2-WhisperBench 测试集。

该论文关注青少年数字支付场景中的安全架构问题。背景上，数字支付基础设施正越来越多地向未成年用户开放实时金融服务，这虽然有助于提升金融素养与数字普惠，但也使年轻用户暴露于冲动消费、社会工程诈骗、未授权交易和商户不当利用等风险。现有对策主要依赖概率型机器学习模型或静态硬性控制，但论文指出，让概率型或生成式AI模型直接参与实时支付授权决策会引入非确定性、不可预测的边界行为以及关键审计漏洞。为此，作者提出 FST Pay（Financial Safety for Teens Pay），将其定义为一种架构与形式化规范。其核心是不可变操作边界：在实时授权路径上实施严格的确定性安全门控，并将下游AI解释能力完全解耦。通过 UPI 等支付轨道发起的交易必须经过六项确定性不变式检查，涵盖消费限额、监护人共同签署策略、交易金额阈值、商户类别码（MCC）、时间访问区间以及硬件完整性约束。交易结果通过一个有序且互斥的决策函数被严格分类为 ALLOW、REVIEW 或 BLOCK。高风险交易会触发异步监护人共签工作流。生成式AI被完全置于结算之后，仅消费已发布的事后决策事件来生成自然语言财务洞察，不拥有对账本的任何变更或写入权限。论文的主要贡献在于提出了一种可审计、可形式化验证的确定性支付授权架构，把AI限定为解释层而非决策层，从而降低非确定性风险与审计盲区。该工作适合支付平台架构师、金融安全工程师、风控与合规团队以及青少年金融科技产品设计者阅读。

该论文针对「AI 爬虫与智能体正在瓦解开放互联网默认契约」这一现实问题，提出了一套面向机器访问的授权与补偿协议。作者首先指出现状：开放网络长期依赖一项未写入合同的默契——网站允许爬虫抓取，搜索引擎以回送访客作为回报。公开测量数据显示这一默契正在失效：自动化客户端已占据多数请求流量；以 Cloudflare 分类口径统计，训练类抓取占比最高；头部 AI 平台每回送一名访客，平均要抓取数千个页面。问题的根源在于，网络通用控制文件 robots.txt 的表达能力严重不足：它无法表达访问者身份、访问目的、使用条款或价格，并且本身可被绕过；而近期出现的一些替代机制多为 CDN 厂商的专有功能，缺乏跨平台互操作性。为此作者设计并规范了 terms.txt：一种仿照 robots.txt 的文件格式，用于按路径、按用途声明机器访问条款；并配套设计了一套由源站强制执行（origin-enforced）的交换流程，其组成包括 Web Bot Auth 签名、签名意图声明（signed intent）、委托令牌（delegation token）、基于 HTTP 402 的协商机制，以及签名收据（signed receipt）。论文进一步明确了该交换机制能够强制执行什么、能够审计什么、以及哪些部分只能留给线下合同与法律途径解决，从而划清了技术手段与法律手段的边界。在工程可行性方面，作者实现了一个无外部依赖的原型，在单 vCPU 上每请求仅增加 0.20 至 0.65 毫秒开销，说明该方案在性能上具备落地可能。该工作属于协议与治理层面的设计研究，适合关注爬虫治理、智能体身份与授权、机器人流量管理、内容补偿机制的研究者、CDN/源站运维与平台政策制定者阅读。

该论文研究检索增强生成（RAG）系统中的知识投毒风险。RAG 通过外部证据为大型语言模型（LLM）的输出提供依据，提升事实性，但同时也把外部知识库变成了攻击面。既有代表性攻击通常需要注入多篇文档，或使用直接断言目标答案的模板化文本，成本和可检测性较高。作者提出 ToxicRAG，一种“每个目标仅需一篇文档”的单次知识投毒攻击，其核心思路是把虚假信息包装成连贯的“知识更新”叙事：文档首先承认此前被广泛接受的答案，然后引入虚构事件使该答案看似已经失效，最后把攻击者选定的答案归因于一组所谓的权威来源，从而让投毒内容在语义上更自然、更像正常的知识演进。ToxicRAG 还包含一个可选的、以答案为中心的自验证循环：当代理语言模型无法复现目标答案时，攻击者据此修订候选文档，直至其更可能诱导受害者模型给出目标答案。实验方面，作者在 Natural Questions、HotpotQA 和 MS-ARCO 三个数据集上各取 100 个目标问题，使用 4 个受害 LLM 和 4 种稠密检索器，共 12 个数据集—模型组合。在论文所报告的采样语料设置下，ToxicRAG 的攻击成功率（ASR）介于 0.61 到 0.91 之间，并且在每一个组合中都达到或超过评估中最强的基线，领先幅度为 0 到 11 个百分点。论文的主要贡献在于：证明叙事形式的单文档投毒在受评估的 RAG 配置下仍具有显著影响力，揭示 RAG 在事实一致性和来源溯源方面的脆弱性，并呼吁进一步研究相关防御机制。适合 RAG 系统研发者、LLM 安全研究者与蓝队威胁建模人员阅读。

本文针对 LLM 智能体（LLM-Agent）评测基础设施中的奖励劫持（reward hacking）问题，提出了一套名为 BenchShield 的模型化插桩与检测框架。背景在于：当前的智能体基准测试已经从静态问答演变为交互式评测基础设施——智能体可以观察环境状态、调用外部工具、修改工作区文件、提交工件，并由结果判定程序给出奖励。这种交互性带来一个结构性风险：智能体可能并不真正完成任务，而是通过利用与奖励相关的执行轨迹（例如触碰判定脚本、篡改中间状态、写入与任务无关但会被计分的产物）来抬高自己的分数，即所谓奖励劫持。现有防御手段大多依赖针对单一任务的补丁、提示词层面的约束，或事后检测器，它们无法为某一次具体运行提供可复用、可验证的证据来证明该运行始终停留在预期的评测边界之内。BenchShield 的核心思路是把检测建立在评测奖励相关事件的有限生命周期模型之上：先在基础设施侧定义一次评测从开始到给分的状态与事件集合，再在此基础上运行两类互补分析。其一是静态、相位感知（phase-aware）的污点分析，在评测真正运行之前就暴露出潜在的奖励劫持路径，相当于对评测配置与产物流转做前置审计；其二是对应的运行时分析，利用基础设施侧（而非模型自述）产生的证据，把具体的智能体行为归因到该生命周期模型上，并输出带有证据支撑的判定声明，从而避免仅凭模型输出做结论。为验证效果，作者构建了 BenchShield Trajectories：一个由人工标注的轨迹语料库，包含来自三个公开基准、超过 31000 次公开智能体运行中裁定出的 456 条轨迹。在与同一任务、同一模型下的智能体可攻击性扫描器基线对比中，BenchShield 将全链路召回率从 23–94% 提升到 77–100%，同向量覆盖率从 16–56% 提升到 43–78%，同时将单任务成本最多降低 65%；其运行时分析在基于基础设施侧证据检测奖励劫持方面达到 96% 的准确率。整体贡献可归纳为：把评测完整性从“任务级补丁”推进到“可复用的形式化模型 + 插桩证据”，并给出可对比的量化基准。

该论文研究的是去中心化金融（DeFi）中的价格操纵攻击（Price Manipulation Attacks, PMA）检测问题。背景上，DeFi 作为基于区块链的快速增长型金融服务，其市场交易动态与底层智能合约逻辑深度耦合；这种无需中心化中介的自主交互虽然提升了效率，却显著扩大了协议的攻击面，PMA 已造成灾难性的资金损失。作者指出，现有检测范式存在两个根本性局限：一是以交易为中心的方法缺乏对合约执行语义的感知，在正常的市场波动下容易产生误报；二是静态合约分析方法忽略真实交易行为，经常报告在实际中根本无法被利用的所谓漏洞。为此，论文提出 DeFiFusion —— 一个双模态 PMA 检测框架，在统一流水线中联合建模交易事件与智能合约语义。其核心洞察是：PMA 的恶意性只在“交易行为”与“其所利用的合约逻辑”的交互中才得以显现，任何单一模态的信号都不足以做出判定。具体方法包括三部分：(1) 面向价格操纵的事件编码，用于提取针对操纵模式定制的细粒度时序特征与经济特征；(2) 基于大语言模型的合约语义提取，为行为侧方法补足其缺失的执行逻辑上下文；(3) 双模态融合模块，采用带有 T5 风格相对位置编码的 Dual-Modal Projection-Fusion Transformer，以捕捉区分 PMA 与良性市场活动的周期性多阶段执行结构。实验结果表明 DeFiFusion 持续取得最先进的检测性能：在 225 个 PMA 案例中成功召回 222 个，同时保持 96.10% 的精确率，说明其在降低误报与提升召回之间取得了较好平衡。该工作适合从事链上风控、区块链安全审计、DeFi 协议安全运营以及多模态时序+语义融合检测的研究者与工程师阅读。

该论文关注大语言模型进入日常任务后产生的隐私与效用矛盾：用户为了让模型完成复杂任务，必须提供上下文丰富的指令，其中往往夹带姓名、地址、账号、病史等敏感信息。目前主流的隐私保护做法是在把提示词发给模型之前套用一套与上下文无关的静态规则（例如统一对实体做删除或掩码），虽然降低了泄漏风险，却常常把任务真正依赖的关键信息一起抹掉，导致下游回答质量严重下降。作者指出，真正的空白在于：净化操作究竟通过什么机制影响下游性能，此前缺乏系统性的解释，因此也就无法设计出有原则的折中方案。 为回答这一问题，论文做了系统性的实证分析，把隐私-效用的权衡拆解成三个相互衔接的机制。第一是“上下文相关效用”，它回答“何时需要净化”：同一段数据在某个用户意图下是不可或缺的关键约束，在另一个意图下则只是可丢弃的噪声，因此净化时机必须由意图决定，而不能一刀切。第二是“策略性适配”，它回答“如何净化”：究竟选择直接删除还是替换为占位内容，取决于下游任务更依赖事实完整性还是结构连贯性——偏事实的任务倾向于替换以保留结构，偏结构的任务则可以删除。第三是“组合交互”，它把保护范围从单一属性扩展到属性之间的关系：多个属性之间存在协同依赖或对抗冗余，构成一张语义网络，孤立地处理单个字段既可能保护不足，也可能过度破坏语义。 基于上述洞察，作者提出一个意图驱动的本地保护框架：先蒸馏出一个轻量模型 Veilmind-4B，再由它驱动“抽取—净化—恢复”的动态流水线，在本地完成敏感信息识别、按意图与任务类型选择净化策略，并在响应返回后做必要的还原。实验表明，该方法能在达到较低泄漏水平的同时，保留显著高于既有隐私导向基线的回答效用，把隐私-效用权衡推向帕累托前沿。适合隐私保护、LLM 应用架构、可信 AI 与合规治理方向的研究者和工程师阅读。

该论文《A2ABreak: Systematic Security Analysis of the A2A Protocol》针对由 Linux 基金会治理、正在成为多智能体生态水平通信层的 Agent2Agent（A2A）协议开展首次系统性安全分析。A2A 是一个开放标准，允许自主 AI 智能体跨组织边界互相发现、认证并委派任务，其定位与负责工具集成的 Model Context Protocol（MCP）互补，因此 A2A 事实上承担了智能体之间「横向通信」的职责，其安全性直接决定多智能体系统的信任边界是否成立。作者指出，尽管 A2A 部署快速扩张，但此前没有任何工作对其协议层安全进行系统化审视。为此，论文提出 A2ABreak 框架：先借助 LLM 辅助的方式，从自然语言规范中抽取并人工验证一台有限状态机，把 929 条形式化陈述统一建模为 37 个状态、76 条转移；随后在该模型上以「完全合规假设」（即假设所有实现都严格遵循规范、不存在任何代码缺陷）为前提，通过对抗性验证推理，系统搜索协议自身可被合规攻击者利用的漏洞。结果发现 11 个此前未知的漏洞，每一个都无需任何实现层缺陷即可被符合规范的对手触发。典型发现包括：通过未受保护的上下文标识符实现跨客户端上下文注入；在委派链的多跳过程中身份信息丢失，进而导致凭据被第三方收割；以及通过宣称未经认证的能力声明引入恶意智能体并据此实施数据外泄。作者以独立专家评审作为基准评估该方法，报告精确率 73.3%、F1 为 84.6%；而在同一份规范上直接运行的零样本 LLM 基线未能产出任何被确认的发现，这说明显式的形式化建模与状态机锚定是进行可靠协议安全分析的必要条件。该工作适合协议设计者、多智能体平台与 AI 安全研究者阅读，其核心贡献在于提出了一套可迁移的「规范→状态机→对抗验证」方法论，并把 A2A 的安全讨论从实现漏洞层面推进到协议设计层面。

传统漏洞分析通常依赖对目标系统的访问权限或与其动态交互，但在第三方分析师审计闭源、远程托管、关键在役系统或商业受限软件时，这两类条件往往都不具备。为此，论文提出一种新的分析范式——无盒漏洞分析（no-box vulnerability analysis）：分析者既无系统访问权，也无法运行时交互，唯一可用的信息是功能元数据。元数据描述了系统的预期行为（输入、输出与副作用），并据此约束所有与之相符的可能实现。研究者的目标是在不观察、不接触目标系统的前提下，推断出“在符合该元数据的全部可能实现中都会出现”的漏洞假设，待日后获得更多访问权限时再行验证。作者以原型系统 MCPSEC 验证该范式的可行性：MCPSEC 仅利用 Model Context Protocol（MCP）服务器在注册阶段暴露的工具元数据，审计其中可能存在的间接提示注入漏洞。评估覆盖 20 个广泛部署的 MCP 服务器共 177 个工具，人工评估者确认其中 95 个工具确实存在漏洞；MCPSEC 将 143 个工具标记为存在风险，并为每个被标记工具生成漏洞假设与对应的利用技术描述。仅凭元数据，MCPSEC 就预测出 94 个经人工验证的真实漏洞（召回率 98.9%），优于 LLM 基线的 80 个（84.2%）。该工作提出并验证了无盒漏洞分析这一新范式在真实系统中的实用可行性。

本文对基于大语言模型（LLM）的自动化渗透测试智能体（pentest agent）能力演进做了实测跟踪。作者选取两个都构建于 PentestGPT 之上的系统进行对比：一个是较早期的、采用人在回路（human-in-the-loop）模式的系统，底层使用开放权重模型 Kimi K2.5；另一个是较新的全自主系统，底层使用 Claude Opus 4.8。在三个公开靶机上的测试中，自主系统全部攻克三台目标，其中包括人在回路系统始终未能完成的两台。作者认为更值得注意的反而是旧系统的表现：即使在未能拿下的靶机上，它仍完成了约一半的子任务，而且整套系统只运行在普通的大学 GPU 上、没有云厂商的安全护栏介入。作者坦承，由于模型、控制框架（harness）、自主程度与记忆架构在同一实验中同时发生变化，只能描述趋势而无法做归因解释。随后作者提出下一个关键问题：当任务复杂度继续上升时，什么会成为这类智能体的上限？业界通常的答案是长时程记忆，即在长时间攻击链中丢失先前发现。作者通过给两个系统都加装覆盖度记忆（coverage-memory）层来检验这一假设，结果两者成绩均未提升。在可复盘的旧系统失败运行中，真正的瓶颈看起来是规划与承诺（planning and commitment），而非记忆丢失：智能体已经掌握了通往下一步的证据，却没有把它转化为具体的利用假设。作者据此推测，攻击性能力的进步更多取决于智能体的规划能力，而非记忆容量。最后作者指出，用于追踪该能力的同一套子任务评分体系对防御方同样可用，使其能够在能力爬升阶段就持续度量，而不必等到在真实环境中遭遇。研究视角上，本文属于能力评测与趋势追踪类工作，适合 AI 安全、红队/紫队、SOC 与安全战略规划人员阅读。

该论文提出并量化了「静态通过、动态失败」（Static-Pass Dynamic-Fail, SPDF）现象：代码通过了静态安全扫描，但在真实运行时仍可被利用。作者指出，静态分析因可扩展、可复现、成本低，被广泛当作软件供应链与 AI 生成代码的安全闸门，但它无法直接观察运行时的利用行为；那些依赖对抗性输入、执行上下文或漏洞链式组合才能触发的缺陷，往往能绕过静态检查而在实践中仍具可利用性。然而业界普遍把「静态扫描通过」等同于「行为安全」，这正是论文试图挑战的假设。为验证这一问题，作者构建了一个三阶段智能体流水线：第一阶段用 Bandit 与 Semgrep 组成的复合静态闸门做初筛；第二阶段由 LLM 驱动的 CWE（通用弱点枚举）推理，对静态无告警的样本重新审视，判断是否存在候选弱点；第三阶段在隔离的 Docker 容器中执行自主可利用性验证，以获得运行时证据。实验覆盖 SecurityEval、RedCode 与 CyberNative 三个数据集的 1355 份 Python 样本。在 654 份复合静态闸门零告警的样本中，LLM 阶段在 235 个文件中识别出 394 个候选漏洞；动态验证在 95 个文件中确认或部分确认了可利用性，得到 14.53% 的「包含式流水线比率」——即约每 7 份静态干净样本中就有 1 份被流水线发现候选弱点并获得运行时利用证据。分数据集看，候选「文件—CWE」对中的确认率差异明显：RedCode 为 33.7%，CyberNative 为 28.6%，SecurityEval 仅 5.4%。值得注意的是，包括 CWE-338（弱伪随机数）与 CWE-916（口令哈希计算量不足）在内的若干高频确认类别，Bandit 与 Semgrep 均未告警。作者由此论证：静态分析通过率与运行时安全性并非可互相替代的同一度量，而是软件保障体系中不同层级的指标。

本文研究的是如何利用自回归语言模型构建隐蔽通信信道的问题。其核心观察是：自回归模型在生成每个 token 时，会对候选 token 形成一个按概率排序的"秩"（rank）分布；如果在生成过程中保持每个位置上被选中 token 的相对秩不变，仅在同样秩位的候选之间进行替换，就能把一段载荷文本（payload）转换成一段与载荷 token 长度完全相同、但表面内容完全不同的"隐写文本"（stegotext）。作者把这一机制形式化为 CARTS（Contextual Autoregressive Rank Transcoding Steganography，上下文自回归秩转码隐写）。此前 Norelli 等人提出的 Calgacus 构造只是在实验层面演示了该现象，缺乏形式化的安全分析。本文首次给出严格的理论处理：在确定性模型假设下证明该构造具有精确正确性（即解码端能够无损还原原始载荷）；引入"秩坐标表示"，在该表示下密钥相当于秩向量空间上的双射；进而定义了一组与构造自然对应的安全概念和计算问题，包括上下文搜索、密钥碰撞、消息歧义度（message equivocation）以及编码映射的非交换性，并刻画它们之间的理论关系——特别是用上下文搜索来刻画消息歧义度，以及密钥碰撞与消息歧义度之间存在的张力关系。实验部分基于 Llama 3 8B：在所有测试用例中都能精确恢复原始载荷；随机密钥生成下未发现密钥碰撞；人为构造的碰撞被证明是局部的而非全局的；同时未发现可交换的密钥对，说明在所研究的攻击向量下该方案表现出一定抵抗性。整体上，该工作为在密码学与隐私保护通信中"建设性"地使用语言模型开辟了有形式化基础的研究议程。

该论文聚焦于大语言模型（LLM）被引入安全运营中心（SOC）后所引入的新型攻击面。作者指出，将 LLM 用于威胁情报的聚合、解读与优先级排序虽然显著提升了分析效率，但同时也打开了间接提示注入（indirect prompt injection）的通道：攻击者可将恶意指令嵌入系统日志、告警字段等本应被视为"数据"的内容中，借助日志投毒（log poisoning）劫持 LLM 的推理逻辑，进而编排多步骤的"promptware"杀伤链，使 AI 分析代理变成攻击者的执行器。 论文将防御困境概括为一种两难：确定性规则/正则类防御计算开销低但"语义盲"，无法识别语义层面伪装的注入；纯神经网络（如另一个 LLM 做判别或裁判）的语义评估虽然更聪明，却带来不可接受的延迟以及概率性判定带来的漏报与不稳定。 为此，作者提出一种神经-符号（neurosymbolic）纵深防御架构，目标是保障 AI-SOC 流水线的端到端完整性。整体分为两层加一个闭环反馈机制：第一层是确定性预过滤，利用定制化的 SIEM 解析器（decoders）在数据摄入边缘做结构化清洗与规范化，直接中和体积型填充攻击以及基于特征签名的注入；第二层在告警进入 LLM 之前，使用 NeMo Guardrails 对已结构化的 SIEM 告警实施严格的自检式语义边界校验，从而在保留语义理解能力的同时限制模型输出空间。此外，架构集成了闭环遥测系统，把被拦截攻击的可见性直接呈现在 SOC 控制台中，实现人在环（HITL）监督。 实验部分作者按 MITRE ATLAS 分类法组织评估，针对多种提示注入场景进行测试。结果显示该协同方案能有效拆解 promptware 杀伤链，用可验证的约束约束 LLM 的随机性，并为下一代 AI-SOC 提供具备高可观测性的弹性防御机制。

该论文关注现代语义丰富系统与应用中的“应用逻辑漏洞”（application logic flaws）。这类漏洞与业务语义和威胁模型深度绑定，难以通过传统的模糊测试或静态分析规模化发现：真实系统往往包含多样的应用特性、复杂的协议逻辑与领域专属的威胁模型，需要大量人工投入与领域专家经验才能完成有效安全分析。作者提出 LL-Verifier——一个自动化逻辑漏洞发现框架，其核心由两部分构成：(1) 利用大语言模型完成自主建模（autonomous modeling）；(2) 利用逻辑模型检测器（logic model checker）完成严格推理。LL-Verifier 接受自然语言输入，尤其是协议描述与安全目标，自动生成形式化逻辑模型与安全属性；这些属性用一种新的逻辑语言表达，该语言构建在通用逻辑语言 Maude 之上，并针对“任意应用级语义”的建模进行了优化。随后，生成的形式化模型被转换为逻辑状态机，从而可以通过逻辑层面的模型检测实现穷尽式、严格的验证。该方案的目标是把原本高度依赖人工的应用级协议分析流程自动化，在逻辑约束范围内提供自动化、穷尽且精确的推理能力。为验证效果，作者在 27 个广泛使用的 IoT 设备的访问控制协议上进行了评估，这些协议带有厂商特有的逻辑流程与语义。论文声称在有效性、效率与实用性上均取得良好表现，并在 IoT 协议与设备中发现了多种复杂的逻辑漏洞，具有严重的安全与隐私影响。值得注意的是，该工作直面的正是应用安全中一个公认的难题——自动化的逻辑漏洞发现。 从研究视角看：研究问题是如何在缺乏人工领域知识的前提下，对具有任意应用语义的协议进行可规模化、可穷尽的安全推理；核心方法是“LLM 自主形式化建模 + Maude 系逻辑语言 + 逻辑状态机模型检测”的三段式流水线；主要贡献是提出该框架、给出一套面向应用级语义的建模语言与转换机制，并在 27 个真实 IoT 访问控制协议上完成实证评估，挖掘出新型逻辑漏洞。适合阅读的读者包括：从事形式化验证、协议安全、IoT 安全的研究人员，以及希望把形式化方法引入业务逻辑审计的安全工程团队。由于仅获取到摘要，方法细节、逻辑语言的具体语法语义、模型检测的可扩展性指标、以及漏洞细节均未展开。

该论文关注编码智能体（coding agent）过程溯源问题。现有做法多为对智能体最终产出的补丁（patch）打水印，只能为提交的产物提供来源证据，却无法验证产生该产物的可见执行轨迹（trajectory）是否被篡改；而行为水印方法通常只给出全局性的"是否检测到"或"恢复标识符"信号，因此当轨迹被局部编辑后，仍可能保留足够的归属证据，却无法指出哪一段受保护区域已变得不一致。为此作者提出 TrajMark：一种无需训练、对称密钥、且对用户可见（visible-only）的轨迹水印框架，其核心思想是将"鲁棒的归属认定"与"脆弱的局部完整性校验"解耦为两层。第一层是稀疏所有者层，通过把自然发生的部分 READ 动作改写成带密钥的线性方程，来编码一个六比特的部署标识符；第二层是定位层，插入相互链接的普通、分组与终结"封条"，以对受保护的关键动作片段作出承诺。两层分离带来两个性质：归属证据可以跨轨迹稳健累积；而局部修改会扰动附近带密钥的承诺，从而暴露受影响的具体协议区域。论文还给出所有者可恢复性、完整性碰撞概率、结构开销与定位行为的设计层分析。实验覆盖三种编码智能体框架与三种大模型：在所有干净且完整含水印的批次中均能恢复出准确所有者；在穷举式合格单点攻击下检测出 95.5%~100% 的编辑；在随机单动作破坏下，能把 95.8% 的篡改位置定位到一个被接受的协议区域（而非具体到单个动作）。所有者标记不增加额外轨迹动作，完整性层增加显式的只读封条；匹配条件下 Pass@1 为 26.9%，未加水印对照为 26.3%，说明性能开销很小。

该论文聚焦于静态分析在软件安全中的核心地位与 CodeQL 等工具面临的现实瓶颈：构建高覆盖率查询套件通常需要大量人工投入。尽管大语言模型（LLM）在代码推理方面展现出潜力，但其生成结构化、可执行安全查询的实际能力仍缺乏系统评估。为此，作者开展了一项实证研究，利用美国国家漏洞数据库（NVD）中的漏洞数据，评估 LLM 合成 CodeQL 查询的能力，并探索将 LLM 作为自动 CodeQL 查询生成器的可行性。研究系统评测了多种 LLM 架构在大量真实漏洞场景下的表现，重点衡量其生成的查询对检测覆盖率和精确率的提升程度。结果显示，LLM 生成的查询能够显著增强基线 CodeQL 查询，平均 F1 分数提升达 82%。此外，论文提供了详细的成本效益分析：直接使用 LLM 扫描整个代码仓库在计算和财务上往往不可行，而利用 LLM 合成 CodeQL 查询则是一种可扩展且成本有效的替代方案。该研究的核心贡献在于证明 LLM 可以有效弥合非结构化漏洞报告与形式化静态分析规范之间的鸿沟，为大规模自动化漏洞检测提供了一条可扩展路径。适合静态分析研究者、SAST 工具开发者、DevSecOps 工程师以及漏洞管理团队阅读。

该论文面向一个日益突出的现实矛盾：开源大模型（LLM）在能力上已可与闭源模型竞争，并且允许用户在不把输入暴露给服务商的前提下本地推理，但大规模模型对本地算力要求极高，因此大量用户仍不得不租用第三方算力，从而重新引入隐私泄露与计算结果被篡改（正确性）两类风险。现有解决方案要么给服务端带来巨大的计算与通信开销，要么依赖额外的信任假设（如可信硬件、可信第三方或重量级密码学设置），难以在真实部署中落地。作者提出 Maverick：一种基于「矩阵-向量乘法委托」协议的私有且可验证的 LLM 推理方案。之所以选矩阵-向量乘法，是因为它是 LLM 推理中占据主导地位的算子，把这一原语做扎实，就能以模块化方式覆盖整体推理流程。Maverick 的核心贡献，据作者所述，是首个针对矩阵-向量乘法委托的、具有信息论级可靠性（information-theoretically sound）的验证协议，其特点包括：透明预处理（transparent preprocessing，即不需要可信初始化或秘密陷门）、高效的批量验证，以及几乎不增加服务端开销。在隐私方面，作者把该验证原语与基于 LPN（Learning Parity with Noise）难题的伪随机掩码结合，为客户端输入提供隐私保护——即服务端在计算过程中无法获知用户真实输入，而用户仍能验证返回结果的正确性。作者实现了该矩阵-向量委托原语，并据此搭建了 Maverick 的端到端原型，在 Qwen3-4B 模型上以每秒 token 数（throughput）为指标进行评测，覆盖 1 至 8 个客户端线程的配置。实验结果显示：在单客户端线程、服务端为最多 128 线程的 CPU 场景下，相比本地推理，掩码在线生成时吞吐最高提升 17 倍，掩码预计算时为 45 倍，仅做验证时为 44 倍；在四客户端线程下，对应提升分别为 13 倍、18 倍和 17 倍。当服务端算力不再是瓶颈时，作者用带模拟网络延迟的客户端微基准测试进一步测量，得到 12 倍至 20 倍、34 倍至 135 倍、38 倍至 157 倍的加速区间。该工作适合关注隐私保护推理、可验证计算、密码学协议工程以及 LLM 服务化基础设施的研究者与安全工程师阅读。

本文关注一个正在被政策与安全圈忽视的治理错位问题：当前主流的算力治理（compute governance）本质上是一种「训练治理」——在用的算力阈值、申报义务和前沿 AI 监管框架都挂在训练算力上，并把「训练完成的模型」当作监管单元。作者指出这幅图景不完整：随着推理时扩展（inference-time scaling）、智能体式脚手架（agentic scaffolding）和模型压缩到消费级硬件的普及，能力正在向部署阶段迁移，监管对象也从「训练运行」变成「推理调用」。论文要回答的核心问题是：当监管对象位移到推理调用之后，究竟有哪些机制真正可用？为此作者构建了一套推理时机制的可行性分类学，覆盖监测（monitoring）、验证（verification）与执法（enforcement）三大簇，共二十种机制；每种机制基于四家厂商的书面证据，按四点式就绪度量表打分。随后作者用一个二维对手模型对分类学做压力测试（三个能力层级 × 四种对手角色），并把每种机制映射到四种治理场景：国内监管、双边或多边协调、行业自律、算力市场治理。主要发现有三：其一，二十种机制中有十五种今天已有商用技术底座在生产环境中运行，但「治理级保证」与对抗鲁棒性差异极大，不能一概而论；其二，这种就绪度只在「配合型部署者 + 低到中等能力用户」的前提下成立，面对高能力国家级部署者没有任何机制被评为足够，且微调会移除执法簇中依赖模型内部的组件，不过平台外部控制仍可能存续；其三，作者用替代分析把该分类学与姊妹篇硬件论文连接起来，提出一条「条件替代原则」，说明推理阶段机制与硬件阶段机制在何种明示条件下可提供可比的监管覆盖。此外，作者对就绪度评分随机子集做了第二评分者信度检验，二次加权 Cohen's kappa 为 0.74，表明评分具备可接受的一致性。论文属于政策—技术交叉类研究，既不是漏洞披露也不是攻击技术，适合 AI 治理研究者、合规与政策团队、以及做模型部署安全评估的工程师阅读。

该论文聚焦 RISC-V 处理器硬件安全验证中的一大效率瓶颈：把一组已在某个处理器目标上通过验证的安全断言（security assertions）复用到另一个 RISC-V 核上。这一过程目前主要依靠人工完成，单条断言的翻译往往要耗费数小时，是硬件安全验证流程中最昂贵的环节之一。虽然直接用大语言模型做翻译速度快，但作者指出其可靠性不足，存在两类突出问题：一是“信号幻觉”，即模型凭空编造出目标 RTL 中根本不存在的端口或信号名；二是输出不确定性，同一模型在版本更新后、甚至同一版本内的多次推理都可能给出不一致的结果，使流水线难以稳定复现。为应对这些问题，论文提出 AutoTrans 自动化框架，由三个相互衔接的部分构成。第一，设计了一个轻量级、基于正则表达式的 SystemVerilog 信号提取器，先从目标 RTL 中枚举真实存在的信号，作为生成断言时的约束条件，从源头抑制信号幻觉。第二，提出一套提示模板并固定（pinned）推理参数，保证每次运行时提示词的组装都是字节级一致的，从而让整条流水线的输出对模型更新保持韧性；该模板还能仅凭英文自然语言的安全描述，在没有人工撰写断言的前提下生成安全断言。第三，将形式化验证（JasperGold FPV）集成进流程，作为强制性质量门禁，确保生成的断言确实能验证处理器的安全属性，而不是未被检验就静默进入结果集。作者在 Deepseek V4 上开展实验，将安全断言从一个 RISC-V 目标（NS31A）迁移到另一个目标（IBEX）。结果显示，在完全没有人工介入的情况下，自动翻译接受率（TAR）达到 78%；经过人工精修后，最终 TAR 达到 100%。该工作适合从事硬件安全验证、EDA 流程自动化、形式化验证以及 LLM 辅助工程落地研究的读者参考。

该论文关注差分隐私（DP）合成文本发布中的残余隐私风险审计问题。合成数据被越来越多地提议作为敏感真实数据的替代品发布，即使通过DP对最坏情况隐私泄露提供理论保证，实践中仍存在残余风险。现有的成员推断攻击（MIA）审计只测量随机抽取记录的平均风险，可能掩盖脆弱子群体面临的风险。为此，作者定义了一种“子群体定向的成员推断博弈”，将目标池作为显式参数，并在四种数据集、三种生成器（DP-SGD微调、基于API的提示生成、激活引导）和五个隐私预算下，用32个代理在三种不同攻击者知识场景中实例化审计。审计结果表明：合成发布确实会泄露子群体成员信息，且既有攻击会系统性地低估这种泄露。DP在聚合层面有效，在所测试的每个预算下都显著降低平均泄露。但有三点观察削弱了这一乐观结论：第一，残余泄露是集中而非均匀分布的，在DP下约十分之一的记录承载约40%的泄露；第二，DP在实践中提供的保护并不均衡——在其最坏情况保证范围内，噪声从随机记录中移除的泄露量多于从高风险记录中移除的量，而将两类记录对共享负样本评分的合并池审计也在记录层面证实了这一点；第三，哪些记录会泄露取决于发布机制本身的属性，而非仅由记录决定，因此记录级风险不能脱离具体发布机制来评估。主要贡献包括：提出子群体定向MIA博弈框架，执行跨数据集、生成器和隐私预算的大规模审计，揭示平均情形审计对子群体风险的低估，以及记录级泄露集中性和DP保护不均衡性的实证证据。

该论文提出 CS-Guard——据作者所述是首个系统性评估「代码生成安全护栏（guardrail）」的基准测试框架。研究背景是：大语言模型已被滥用于生成恶意软件，但现有护栏在代码生成场景下的实际防护效果缺乏系统量化。CS-Guard 从两个维度构建评测集：其一是文本到代码（text-to-code）生成，包含 1000 条高质量的恶意代码生成提示词、7 种越狱攻击手法，以及作者新提出的一种「虚构场景攻击（FSA）」——即把恶意意图包装进看似正当的虚构软件开发情境中，从而绕过护栏的意图识别；其二是代码到代码（code-to-code）生成，包含 331 条代码提示，覆盖代码填充（infilling）、代码补全（completion）与代码翻译（translation）三类任务。作者在 7 个 LLM 上对 9 种护栏进行了实证评测。主要发现包括：面对恶意代码生成请求，当前护栏表现普遍不佳；在 text-to-code 场景中，经过越狱攻击后的平均攻击成功率（ASR）对许多护栏可达约 50%；在 code-to-code 场景中，基础 LLM 上的平均 ASR 接近 100%，即使叠加多种护栏后仍处于 14.4% 至接近 100% 的高位；新提出的 FSA 在多种护栏上也取得接近 100% 的 ASR。作者认为这给真实世界的软件开发流程带来了重大的可靠性隐患。为支持后续研究，CS-Guard 采用模块化的三层护栏分类法（taxonomy），允许开发者注册自家护栏并纳入统一评测，同时公开了基准与数据集。论文适合 AI 安全、LLM 应用工程、代码助手/CI 安全防护方向的读者。

该论文针对《加州消费者隐私法案》(CCPA) 生效五年后缺乏规模化合规审计手段这一问题, 提出了一套名为 PrivAudit 的自动化审计框架。作者指出, 既有研究多依赖人工、个案式的执法与检查, 无法系统性地覆盖网站面向用户的两个关键合规信号: 隐私披露内容与前端用户追踪行为。PrivAudit 采用“双镜片”设计: 其一, 基于大语言模型对隐私政策文本进行解析, 并将分析锚定在 CCPA 的具体条款之上, 判断政策是否披露了退出机制 (opt-out)、数据共享实践与用户权利等信息; 其二, 通过自动化浏览器测量, 在多种隐私配置 (如不同地区、不同同意选择状态) 下记录网站写入 cookie 的行为, 从而观察用户可感知的数据收集活动。作者将框架应用于 998 个网站, 得到两组主要结论。第一, 法律确实与更强的隐私披露相关: 受 CCPA 约束的政策更倾向于公开退出机制、数据共享做法和用户权利。第二, 基于 cookie 的追踪依然普遍, 受约束与不受约束的网站合计写入了 6,392 个定向 (targeting) cookie, 其中 49% 为第三方写入; 而且这些 cookie 对隐私信号与用户同意选择的响应程度仅为有限到中等, 即便网站在政策中声称会尊重相关选择。研究因此强调, 需要将政策文本分析与行为证据相结合的多层次、可扩展审计方法; PrivAudit 可大规模产出可供人工复核的可操作信号与模式, 作者已开源该框架并与监管机构合作推动落地。

本文围绕欧盟《人工智能法案》第 50 条生效后的 AI 文本水印治理问题展开。按照论文所述，2026 年 8 月 2 日起，该条款要求生成式 AI 提供方对其系统产出的内容进行标记，并确保这些内容可被识别为 AI 生成。在此背景下，Anthropic 披露其在该日期之后发布的全部 Claude 模型都会在生成文本中嵌入基于 SynthID-Text 的水印，默认开启且用户无法关闭；Google 则自 2024 年起已在 Gemini 中部署 SynthID-Text。用户随后提出多项质疑：水印可能降低输出质量，对代码场景尤为明显；水印可能暗中编码可识别用户身份的信息；同时又存在自相矛盾的说法——既容易被移除、又无法摆脱。厂商则以质量不变、不包含身份信息、对轻度编辑具备稳健性等说法回应。论文的核心论点是：无论用户的质疑还是厂商的保证，目前在技术上都无法被独立验证，而这种“不可验证性”本身才是实质性的治理失败，而非水印技术本身。作者按“需要什么条件才能证实或证伪”这一标准，对争议性论断逐条分类，并在两个开放权重模型上评测了 SynthID-Text 的开源实现——原因是没有任何公开工具能够测试真正部署的商用系统。实验结果具有两面性：在散文类文本上，水印带来的可测影响不超过更换采样随机种子所造成的影响；在代码任务上，某一模型正确率下降约三个百分点，另一模型上的差异低于可测量阈值，而水印检出率始终接近随机猜测，说明瓶颈在“可检测性”而非“质量”。作者将剩余的能力缺口归因于访问权限不公开与相关机构缺位，并逐项映射为治理需求：发布配对的原始/加水印输出、披露配置、引入经认可的第三方审计、建立共享评测协议，以及实现可互操作的水印检测。适合关注 AI 治理合规、生成内容溯源与模型供应链透明度研究的读者。

该论文研究的是大语言模型越狱攻击中的一个特殊分支——任意密码（arbitrary cipher）或隐蔽通信攻击。此前的相关工作表明，攻击者可以针对商业模型的微调 API 下手：用大量经过某种自定义加密方案编码的有害问题与回答构造语料，对目标模型进行微调，使模型学会该加密方案，之后模型便能以密文形式接收有害请求并输出被加密的有害内容，从而绕过安全对齐。本文的核心发现是：新一代前沿模型已经不再需要微调这一前提。作者证明，仅通过提示（prompting），并在必要时借助上下文学习（in-context learning），模型即可自行掌握基于密码的通信能力——即在对话上下文中临时学会一套符号到语义的映射，并用它进行输入输出。更关键的是，一旦通信发生在模型临时学会的密码之上，原有的安全对齐会被显著削弱甚至完全失效：模型愿意生成在明文语境下会拒绝的有害内容。作者将这一现象定位为针对商业黑盒大语言模型的一种新型攻击向量，并报告在 Anthropic、Google 与 OpenAI 开发的前沿模型上均取得了成功的越狱效果。论文还指出，这类攻击之所以能绕过商业厂商的有害性分类器，是因为有害内容以密文形式存在，在分类器看来只是无意义的乱码或随机文本，语义层面的安全检测完全失效。研究的贡献可以概括为三点：一是证伪了“密码式越狱必须依赖微调”这一隐含假设，把攻击门槛从需要模型训练权限降低到只需普通推理接口；二是揭示了安全对齐在分布外表示（密文）下并不具备迁移性，说明现有对齐更多绑定在自然语言表层而非深层意图；三是对多家主流厂商的黑盒模型完成了实证验证，具有较强的现实意义。适合关注 LLM 安全对齐、越狱与红队评估、模型滥用检测的研究人员与安全工程师阅读。

该论文关注全双工语音模型（full-duplex speech models）带来的一个被忽视的攻击面：这类模型在生成回复的同时仍持续接收用户语音输入，因此攻击者可以在模型「说话」期间通过用户音频通道插入额外的语音内容，从而与当前对话轮次解耦地影响模型行为。作者提出 DuplexJail 这一测试框架，其核心特点是所注入的语音提示是固定的、与具体有害请求内容无关（request-independent），即不依赖针对每个请求定制话术，而是考察「在不当时间点插入语音」这一交互结构本身能否破坏安全对齐。研究设计了两种注入时机策略进行对照：其一为固定延迟中断，即在有害请求音频播放结束后延迟一段时间插入提示；其二为拒答触发中断，即持续监测模型流式文本输出，一旦出现拒答线索（cue）便立即插入提示，属于对模型自身输出状态的自适应触发。实验覆盖四个开源全双工语音模型，并使用 AdvBench 与 HarmBench 共 720 条有害请求作为评测集，以整段回复（whole-response）为粒度统计攻击成功率。结果显示，固定延迟策略在 AdvBench 上把 PersonaPlex 的成功率推高到 40.3%、PersonaPlex-RL 推高到 48.7%，相对基线分别提升 33.8 与 39.3 个百分点；拒答触发策略在这两个模型上分别达到 35.6% 与 48.6%。值得注意的是，所有试验无论是否真的发生中断都被计入评分，保证了评估口径的一致性。此外，部分条件下 FLM-Audio 的有害回复率同样上升，而 BayLing-Duplex 则出现下降，说明不同架构对语音中断的鲁棒性差异显著。论文的主要贡献在于：首次把「语音中断」形式化为一种越狱攻击向量；给出可复现的评测方法与跨模型对比数据；并主张安全评估必须覆盖全双工交互的「进行中」状态，而非仅评估一轮一轮的静态对话。适合语音大模型研发、模型安全对齐、红队评测及多模态安全治理方向的研究者与工程师阅读。

该论文研究面向智能体（Agentic）AI 框架的多模态提示注入攻击，并给出一套可复现的量化评测基准。背景是：当前智能体框架让大语言模型不仅能推理，还能制定计划、保存记忆并调用工具，进而触达真实文件系统、邮件与服务；同时多数智能体具备读图能力，这就为攻击者开辟了一条绕过用户直接输入的旁路——把指令藏进图像等多模态载体，使其进入模型上下文。作者的出发点是，现有工作多停留在零散个案演示，缺少统一的度量口径，无法回答“注入指令究竟能走多远”。为此他们提出 MMPIBench：通过六种视觉载体（图像中的 OCR 文本、图像叠加层、EXIF 元数据、二维码、伪造界面以及上述方式的混合体）投递固定的一组攻击载荷，并沿着智能体处理链路（感知→规划→工具调用）逐级追踪注入指令的传播与落地，用“尝试率”和“完成率”把“模型读到了指令”“模型决定照做”“工具真的被调用”三个层次区分开。实验规模为 720 次运行，覆盖 6 个框架、5 个基础模型、6 种载体和 4 类攻击者目标。主要发现：攻击仅在约 1% 的运行中真正完成，但在 12.8% 的运行中被尝试；二者之间的差距几乎全部在规划阶段被弥合，即模型读到注入指令后主动拒绝执行。因此，模型选型对“指令是否被采纳”的影响远大于框架差异：其中一个模型从未发起尝试，并在 59.7% 的运行中明确识别出注入；而另外两个模型的尝试率高达 23.6%。作者随后把基准扩展到音频，这是当前前沿模型接受的另一个原始感知通道：五个模型中只有两个能摄入音频，六个框架中只有三个能投递音频，但在信号能够到达的场景中，攻击在 49% 的测试单元中完成，对其中一个模型更高达 75%。论文的核心贡献包括：一套可复现的多模态注入评测方法与数据规模；以“感知—规划—工具调用”分层的度量框架，指出仅报告完成率会系统性低估暴露面；以及一个被普遍忽视的结论——视觉之外的感知通道覆盖更窄，但防护也明显更弱，一旦接入即成为高完成率的风险面。这项工作适合智能体平台开发者、LLM 安全研究者、AI 红队以及模型安全治理与合规人员阅读。

该研究关注自动驾驶（AV）软件的安全弱点发现难题：现代自动驾驶系统依赖数百万行安全关键代码，而通用静态分析工具并不理解哪些代码会实际影响车辆运动控制，因此可能既漏报关键缺陷、又产生大量无意义告警。作者提出的核心问题是：如果把明确的自动驾驶安全知识注入大语言模型（LLM），能否比基于规则的传统工具取得更好的弱点检出效果。为回答该问题，他们首先从公开漏洞记录、安全公告以及 AV 安全文献中归纳出一套面向自动驾驶的漏洞分类法，共包含 18 个弱点类别，并将其集成到名为 LLMSec-AV 的 LLM 安全分析框架中。评估对象是开源自动驾驶栈 Autoware：框架把它分解为 770 个翻译单元、4,673 个函数，并在四种提示条件下分析其中 161 个函数，这些条件分别涉及分类法上下文注入、从 374 条历史披露记录中做检索增强，以及多步分析流程。评估基准是作者从上游修复提交中挖掘出的 46 个真实弱点位置，并额外构建了与控制告警数量匹配的置换基线以消除数量偏差。对照组使用 CodeQL、Semgrep、cppcheck 和 Clang Static Analyzer 扫描同一份代码，其中 CodeQL 与 Semgrep 还加入了 AV 专用规则；同时对 LLM 生成的模糊测试驱动用 AFL++ 和 sanitizer 进行了实测。结果显示出明显的对比：LLM 各条件最高可命中 46 个已知弱点位置中的 76%，显著优于传统分析器；CodeQL、Semgrep 和 Clang Static Analyzer 一个都没匹配上，cppcheck 虽然产生 1,301 条告警却只匹配到 1 个。值得注意的是，不使用分类法上下文的“无辅助提示”检测性能与使用了分类法的条件相近，说明分类法本身并未提升召回率；真正的增益体现在可解释性上——加入分类法上下文后，被归入具体弱点类别的发现占比从近乎为零提升到 80% 以上，显著改善了人工分诊效率。此外，18 个弱点类别中有 6 类无法被直接表达为静态分析规则。总体而言，该工作提出了面向自动驾驶的、机器可读的漏洞分类法，并证明 LLM 可以作为传统分析器的补充手段，在真实 AV 软件中识别并组织与安全相关的发现。

该论文关注一个被低估的攻防测量问题：随着 LLM 智能体被越来越多地用于自动化攻击链的后渗透环节，它们在复杂本地提权任务中的实际能力究竟如何，此前缺乏可执行验证下的大规模量化证据。作者指出，已有针对 Linux 提权任务的评测普遍存在样本量过小的问题（不足 15 个场景），既无法支撑模型能力横向对比，也无法给出统计意义上可靠的结论。为填补这一空白，论文提出 PrivEscalate —— 一个面向 Linux 提权的大规模基准测试集，包含 531 个基于 Docker 容器化的可执行场景，覆盖 14 个漏洞子类别，并在此基础上派生出 329 个参数化变体，用于测量模型对环境中干扰项（如配置差异、噪声信息）的敏感程度。作者在三种不同的智能体架构下评估了六个 LLM，得到三点主要发现：第一，模型能力在不同漏洞类别上呈现明显的异质性，在高发类别中没有任何单一模型能够全面领先，说明对该类风险应当采用多维度的评估而非单一排名；第二，LLM 的成功率对环境扰动敏感，通过配置轮换可以打断一部分提权尝试，但并不能消除被测量的整体风险，因此静态加固不等于风险归零；第三，智能体架构会实质性改变成功率，甚至重排模型之间的名次，但影响幅度依模型而异，说明评测结论必须与所采用的 agent 框架绑定说明。基于上述发现，作者进一步开发了 PrivEscAgent，这是一个领域专用的封装层，在不修改底层 LLM 的前提下，为通用 ReAct 智能体补充确定性枚举、类别匹配与步骤规划能力，从而在既有 Linux 提权智能体基线上取得提升。论文将 PrivEscalate 作为开源、容器化的测量工具发布，明确支持三类用途：LLM 智能体能力评估、防御工具有效性验证以及红队训练。

软件供应链安全已成为现代软件工程中的核心关注点，因为现代软件对第三方依赖有着广泛依赖，且攻击面持续扩大。然而，现有的基于量化测量的分析方法和漏洞管理手段往往碎片化，并局限于特定生态系统（如npm、PyPI等），难以在跨环境之间提供可比较的风险评估。针对这一缺口，本文提出一个结构化的研究计划。首先，作者计划通过“系统化知识”（SoK）方法对当前软件供应链安全研究进行综合分析，梳理已有成果，识别关键知识空白，尤其是在依赖建模和漏洞传播分析中，对传递依赖（transitive dependencies）及其实际可利用性的处理存在显著不足。其次，基于这些洞察，论文主张构建统一的测量视角，以一致的方式表示和分析跨生态系统的依赖结构，从而支持可复现、可比对的安全测量。此外，论文重点指出AI辅助软件开发带来的新兴挑战：编码大语言模型（LLM）参与代码生成可能引入传统SCA工具无法捕获的新依赖模式，例如不稳定、语义模糊或自动生成的依赖引用。这些变化要求重新思考依赖建模方式，以适应当前软件生成实践的演变，并评估其对软件安全的长期结构性影响。本文的主要贡献在于提出研究议程，为下一代供应链安全测量与SCA工具设计提供方向性指导。适合安全研究人员、SCA工具开发者和软件供应链治理从业者阅读。

该论文针对网络威胁猎杀中依赖人工将威胁情报（CTI）报告转化为可执行调查线索（hunt leads）的低效问题，提出了一种名为 AHLERT 的自动化系统。现有方法大多停留在实体提取层面，忽略防御者自身的运行环境，且孤立分析每份报告。AHLERT 通过三种核心机制解决上述缺陷：第一，设计混合检索器，将稠密向量检索与基于 MITRE ATT&CK 知识图谱的多跳遍历相结合，以提取与已知攻击技术高度相关的证据；第二，引入本体接地（ontology-grounding）的检索增强生成方法，使生成的线索自动约束于防御者自有的资产与控制措施，确保线索具备环境感知和可操作性；第三，构建一个与具体 LLM 无关的统一框架，输出结构化、可直接用于猎杀的线索，而非松散的失陷指标。作者在公开的 CTI 报告上评估了 AHLERT 对多个知名 APT 的猎杀线索生成效果，涵盖多个专有模型与开源权重模型。实验表明，混合证据检索结合本体接地相对于单路扁平 RAG 基线，平均 F1 分数从 0.44 提升至 0.85，提升约 2 倍；AHLERT 在总体效果评分约 86.95% 上显著优于现成的 LLM 模型。研究的主要贡献在于证明了将领域知识图谱与 RAG 结合可以大幅提高自动猎杀线索生成的准确性和针对性，为威胁狩猎自动化提供了可行的技术路线。适合威胁猎手、安全运营中心分析师、威胁情报研究人员以及 LLM 安全应用开发者阅读。

本文对网络安全领域的大语言模型（LLM）基准测试的可靠性进行了系统性审计，指出基准分数并非固定不变，而是高度依赖于评估管道的具体配置。作者将八个网络安全基准测试视为测量管道，并选取了十个模型（包括商业专有模型、开放权重模型和网络安全专用模型）进行实验。通过分析，他们识别出15种系统性故障模式，并证明仅改变单个管道选择（如提示格式、解析方式、评分标准等）就可能导致模型分数变化超过80个百分点，同时显著改变模型排名。在跨基准层面，两个语义相似的任务对由于评估约定不一致，会对相同模型产生不同的排名结果。当使用一个统一标准、保持任务语义不变的评估框架时，十个模型中有九个在至少一个基准上的排名变动超过三位。研究表明，网络安全LLM基准分数具有管道依赖性，现有的基准测试结果可能无法可靠反映模型的真实能力。作者提出，应将管道感知的审计作为模型评估的核心要求，以提升基准测试的科学性和可比性。本文适合关注LLM评估方法论、网络安全AI应用及基准测试可靠性的研究人员和安全从业者阅读。

本文提出 ZK-Trace，一种用于联邦式全球导航卫星系统（GNSS）干扰监控场景下的认证共谋追踪方案。在该场景中，一个专有的分类器模型被分发到多个“部分可信”的监测站，任何站点都可能泄露其模型副本，导致知识产权或敏感能力外泄。ZK-Trace 结合了公开身份标记、接收者特定的 Tardos 指纹以及零知识凭据验证，使注册中心能够在不需要泄露者配合的条件下执行离线追踪。研究围绕可验证追踪这一核心问题展开：作者为任意恢复的比特模式建立了条件性误报边界，为隐藏偏差残留信道下的有限完整性边界，以及针对相关特征蒸馏错误的确定性追踪分数边界。为了将条件性边界转化为可执行逻辑，作者引入区间算术检查器，并在指控和篡改决策之间分配公共预算。在无辜行独立的假设下，基于证书的评估将每次调查的误命名预算控制在 0.001。实验在模拟 GNSS 联邦和 CIFAR-10 数据集上进行：特征匹配在 20/20 次运行中保留了特征标记，在 19/20 次跨架构迁移中保留成功，而副本精度损失分别为 4.8 和 6.1 个百分点；仅函数的蒸馏会彻底擦除特征标记，蒸馏也会移除权重空间标记。这些结果证明了在显式统计和密码学假设下可验证追踪的可行性，并厘清了凭据知识与接收者证据各自的不同角色。该研究主要面向模型安全、联邦学习与不可信环境下的溯源追踪研究者，以及关注分布式模型泄露风险的蓝队安全工程师。

本文针对Agentic AI系统引入的持久内存攻击面，提出了一种名为MemSentry的防御框架。Agentic AI系统通过持久记忆保存用户交互和系统状态，但攻击者可以向长期记忆中注入对抗性内容，即内存投毒（Memory Poisoning），从而在后续任务中暗中操纵AI行为，例如压制安全警报、辅助特权提升、篡改信任关系或绕过安全策略，且无需修改模型权重或系统提示词。MemSentry是一个配置驱动的正式框架，位于AI系统与持久内存之间，拦截每一次写入操作，并产生确定性的三种决策：接受（Accept）、审查（Review）或隔离（Quarantine）。该框架综合评估五个维度：源的信任等级、语义风险评分、基于组件依赖DAG的攻击半径、访问控制风险，以及反映操作是否削弱或增强安全态势的带符号安全状态增量。为了评估MemSentry，作者构建了一个包含20个资产和随机依赖DAG的仿真环境，以及一个10×20的用户访问控制矩阵，并使用分层70/30划分的1,000个GPT-4生成场景进行测试。语义分类被设计为可插拔组件，文中对比了四种代表性方法：基于规则的Regex、TF-IDF+SVM、SBERT+LR和SetFit。实验结果显示，SBERT+LR在整体性能上最佳，准确率达到91.7%，宏F1得分为0.908；所有四种方法都能100%检测外部来源的隔离类威胁。对于已验证的内部人员（源信任T=1），MemSentry不会自动隔离危险操作，而是将其升级为人工审查，此时语义分类的准确性对于理解内部人员意图至关重要。本工作为Agentic AI系统提供了第一道形式化的持久内存写入防御屏障，适合AI安全研究人员、LLM应用开发者以及从事AI威胁检测的蓝队人员参考。

本文针对代理式AI系统的可审计性与证据可信度问题展开研究。在智能体流程中，系统频繁交换消息、调用工具、请求审批、进行结构化决策会话并修改共享工件；日志与锚点虽能提供篡改证据，但其证据含义往往是隐式的——哈希不能确立语义真实性，签名不能证明授权，外部锚点也无法证明捕获完整性。为此，作者提出了一套代理流程的证据声明模型（Evidence Claim Model），系统地区分了工件完整性、时间存在性、来源、审批证据、声明顺序、捕获声明、相关性声明、决策可追溯性、监控声明、锚定授权声明、策略评估声明、风险处理声明、缓解实施声明以及管理响应声明等类别。模型将每类声明映射到相应的机制、假设、局限性与威胁，并将“语义有效性”视为贯穿始终的重点局限。为支撑模型落地，作者勾勒了一个包含功能型CEO智能体、执行层、运营层、证据层和审计角色的代理组织结构，并引入了基于PDCA（计划—执行—检查—处理）思想的管理响应闭环。本研究的贡献是概念性的：不验证某个具体实现，不保证防止所有故障，也不宣称自动化法律合规。它提供了一套通用词汇表，用于明确某个“代理黑盒”能够支持哪些证据声明、无法建立哪些证明，以及需要在黑盒周边部署哪些控制措施。该论文适合智能体安全领域的研究者、AI治理与审计人员以及需要设计代理系统信任边界和监控策略的实践者阅读。

本文提出了一种名为 HoneyRoute 的推理服务层，用于在面向对抗性的大语言模型（LLM）服务中检测恶意请求并将其路由到专用蜜罐模型，从而保护生产模型，同时持续收集攻击者交互并转化为情报。现有防御通常将陷阱嵌入模型内存或在协议层重建欺骗机制，导致服务层本身缺乏保护，且无法将捕获数据反馈给检测系统。HoneyRoute 由三部分组成：(i) 流式路由器，基于冻结的 0.8B 嵌入骨干网络和按领域划分的 MLP 头；(ii) 双实现蜜罐，包含规则/提示工程构造的代码蜜罐或同系列专用副本；(iii) 分析循环，将捕获的交互转换为攻击者指纹，用于路由器再训练。在真实生产流量轨迹和涵盖七个领域的攻击语料上评估，路由器在 38 毫秒中位新增延迟下达到 F1=.911，匹配两层 guard-LLM 级联模型 F1 的 96%，但延迟仅为后者的 1/385，并且在 13 种对抗性变换下实现 0% 逃逸；通过转移恶意请求，在真实 GCG 后缀负载并发洪泛下，生产模型 token 消耗减少 97.8%；训练副本在良性保留请求上与生产模型的协议一致率为 92.9%，而朴素的无条件诱饵注入一致率仅 7.6%，选择性伪装注入可恢复到 88.9%，描绘了可恢复的保真度-可追溯性前沿；循环训练修正头将合法安全研究的误路由降低 9 倍，同时将检测 F1 提升至 .933。该研究主要面向 LLM 服务安全、对抗性机器学习和蓝队防御研究者，核心价值在于提出服务层的主动欺骗与情报闭环思路。

长时运行的基于语言模型的智能体依赖于持久记忆来跨轮次保持上下文。许多智能体内存系统采用软撤销机制处理矛盾信息：当某个事实被新事实取代时，旧事实被标记为“已撤销”但仍保留在存储中，而非物理删除。然而，这种撤销标记在检索阶段是否真正被强制执行，此前缺乏系统性验证。本文对五个代表性智能体内存系统进行了实证测量：将每条记录以“被撤销的策略及其替代策略”的形式载入系统，随后在九种策略场景和九种不同语言模型下进行检索与决策测试，观察被撤销的事实是否会随检索被返回、智能体是否会据此采取行动，并在六种防御条件下对结果进行评分。实验发现，所有被测系统在默认情况下均未强制执行撤销语义：只要撤销标签对检索层可见，被撤销的事实就会与替代事实一同返回，甚至在排序中胜出，导致智能体采纳了已被撤销的不安全策略。基于该发现，作者开发了一个独立的防护组件，置于智能体与其任意内存后端之间，在检索结果返回给智能体之前拦截并抑制任何已被撤销或与当前有效替代记录冲突的内容。该研究揭示了大语言模型智能体内存一致性方面的系统性缺陷，为构建安全的长期记忆机制提供了重要实证依据和可落地的缓解方案。

大型语言模型（LLM）的自动化红队攻击与蓝队防御技术正在快速发展，但现有的攻击者和防御者通常被孤立地构建和测试，导致评测分数难以反映真实对抗能力。为解决这一问题，本文提出了 ACEA（Adversarial Co-Evolution Arena，对抗性共进竞技场），一个将可插拔的红队适配器和蓝队适配器连接到共享目标 LLM 的平台，并通过 LLM 裁判对双方进行攻击率和防御率的评分。ACEA 的贡献包含四个部分：第一，一个可插拔、模型无关的竞技场。任何红队或蓝队项目只需通过最小化 HTTP 协议（称为 ASAP 标准适配协议）即可接入，且不限制编程语言；只要暴露该协议即可成为完整参与者。第二，一套为对抗轮次设计的评估方法。通过用规范秘密（canonical secrets）对目标进行种子注入，可获得可验证的 ground truth，从而区分真实泄露与模型幻觉。同时，即使防御成功，攻击样本仍会被发送到目标，以独立衡量攻击的原始威力（raw potency），不受是否被拦截的影响。这些机制共同构成了每一轮攻击强度与防御效果的分解指标。第三，实时的游戏式可视化界面及详细的战后报告，能够定位每一次失败的具体原因，使评估成为改进红队或蓝队项目的可操作信号。第四，一个可选的上下文改进循环，将每轮结果转化为下一轮的建议提示（advisory hints）。适配器无需保持状态即可跨轮次适应，只需读取这些提示即可。文章详细描述了 ACEA 的设计，以及红蓝双方在对抗中如何进行头对头评分。该研究适用于 LLM 安全评估人员、红队攻防研究者及安全工具开发者，旨在提供更可信、可分解的对抗评测框架。

该论文研究了大语言模型（LLM）智能体在自动化渗透测试中面对蜜罐（honeypots）时的预算分配问题。传统蜜罐依赖真实性与隐蔽性来诱捕人类或脚本攻击者，从而暴露其战术、技术与程序（TTPs）；然而，LLM驱动的攻击者能够对异构工件进行推理，并利用对蜜罐的怀疑来指导目标选择决策。作者将攻击者的问题形式化为一个预算决策过程：智能体与潜在目标交互，在侦察和利用阶段消耗LLM执行预算，并在产生蜜罐怀疑时决定是“继续利用”还是“跳过”。研究中提出了一种基于检测器引导的策略，帮助LLM攻击智能体在混合主机测试床中有效分配预算，以成功攻陷目标主机。实验结果表明，该方法能够显著提升攻击效率，证明了在受控混合主机环境中动态分配预算的重要性。论文还讨论了未来对抗性弹性和自适应蜜罐设计的启示，但防御措施不在当前研究范围内。该工作适合关注AI安全、LLM智能体攻防对抗以及欺骗防御技术的研究人员和安全架构师阅读。

工具调用型语言代理在与外部服务交互时，常需要动态委派和撤销权限。以往的安全机制往往只关注当前权限集合或可达性关系，但本文揭示了仅依赖这些快照信息可能不足。作者通过构造示例证明：两个历史可能具有完全相同的当前权限和全对可达性，但在同一直接边撤销发生后，后续授权决定却必须相反——即历史中的某些残余信息会影响未来安全决策。为了捕捉这种信息，作者形式化定义了“残余授权状态”，并分析与授权状态相关的理论边界：随着委派冗余的变化，精确监视器所需的状态量存在紧密的渐近界，且指数级多的未来不同状态可能共享一个固定传递闭包。为了在实证层面验证，作者构建ResidualAuth框架，将上述构造转换为成对语言代理任务，并评估多款开放权重模型的决策能力。结果表明，仅提供固定256 token摘要时，模型几乎无法解决任务；而提供“认证的当前查询读取”（即经过认证的当前状态查询信息）时，准确率大幅提升至15-16/16；零认知的“假阅读”则毫无帮助。另一组在线记忆诊断中，精确的账本序列化可解决所有测试实例，但模型自行撰写的受限于预定义截止点的记忆却几乎无效。最后，引入“硬门”机制可在不改变先前尝试的情况下将观察到的未授权影响减至零。这些结果厘清了授权决策所需的“状态”、“可靠决策所需的证据”、“在线状态维护”和“影响控制”四层概念，为构建工具使用型语言代理的运行时安全监视器提供了理论与实证基础。

软件供应链已成为日益暴露的攻击面，原因是其依赖关系复杂而脆弱。现有的防御工具（如 GitHub Dependabot）常常产生大量误报，因为它们的粗粒度匹配无法确定易受攻击的依赖项是否真正可利用。安全分析师通常需要花费大量时间逐案评估漏洞可利用性。鉴于 LLM 在编程和网络安全方面的先进能力，最近出现的 LLM agent 有望成为该任务的候选者，但目前尚无基准对其进行评估。以往的基准针对零日漏洞场景，要求 agent 检测并利用先前未知的漏洞。相比之下，软件供应链安全关注上游依赖中的已知漏洞如何影响下游项目，这要求 agent 跨仓库推理，判断上游漏洞在下游项目中是否可利用。为填补这一空白，本文提出了 VEX-Bench，这是首个评估 LLM agent 评估软件供应链漏洞可利用性能力的基准。它包含 75 个从 GitHub 挖掘并经安全专家标注的真实世界案例，覆盖 Python、Java 和 Go 语言。作者使用三个 agent harness 评估了九个模型。结果显示，GPT-5.5 和 Claude Opus 4.6 在二元漏洞状态分类上达到了约 80% 的 F1，但只有 GPT-5.5 在细粒度理由分类上超过了 70% 的 macro-F1。这一差距凸显了从二元可利用性评估转向识别细粒度可利用性原因的挑战。代码和数据已开源（https://github.com/steven1518/vex-bench）。

该论文针对乙女游戏（女性向恋爱模拟游戏）社区中普遍存在但此前缺乏系统性研究的在线毒性问题，首次完成了跨社交平台的大规模毒性测量。作者提出名为OtomeSCAN的框架，用于从微博和Reddit收集、评估和分析共620,045条与乙女游戏相关的帖子，时间跨度为18个月。为支撑稳健分析，他们人工标注了4,308条帖子的真实标签，定义了八类攻击目标（包括玩家、游戏开发者等）。在此基础上，论文评估了七个毒性检测器，涵盖通用模型及作者提出的基于大语言模型（LLM）的检测器，其中最优模型在微博上达到0.82的F1分数，在Reddit上达到0.78。测量结果揭示了显著的平台差异：微博上乙女相关帖子的毒性比例为22.20%，而Reddit上仅为3.71%。此外，真实世界事件（如社区内部冲突）会在短时间内急剧加剧网络毒性，在微博上发生外部攻击时，72小时内毒性比例飙升至37.09%。研究还识别出191个潜在的协调操作（coordination）集群，其中64.40%针对游戏开发者，并发现多个账号跨集群反复参与。这项工作的贡献在于：首次系统刻画了乙女游戏社区的毒性生态，公开了标注数据集与检测框架，实证了LLM在社区特定毒性检测上的有效性，并揭示了协调性攻击在边缘化游戏社群中的普遍性。研究适合平台安全治理团队、社区管理者以及关注在线骚扰和恶意协调行为的研究人员参考，也为后续开发面向特定亚文化社区的内容审核工具提供了数据与方法基础。

该论文研究后量子（post-quantum）安全在端到端交付中的根本性缺陷：后量子保护是服务器与客户端之间的一种关系属性，而非单一文件或配置可声明的静态属性。作者指出，没有任何单一对端（peer）能够可靠地验证这种关系是否成立。首先，现有的SSH客户端并非完全有序排列，其中两类后量子能力集合是最小且不可比的，因此任何针对某一类的检查都会漏掉另一类客户端的降级。即使某个对端同时检查两类能力，也会因回退机制而错失双方，或在经典算法优先级高于某个族时只能捕获其中一族，没有任何情况能同时标记两类丢失。其次，线上协议之外没有载体能携带这种关系：基于工件侧（artifact-side）的检测工具无法编码这种关系，因为对端群体不是其输入之一。作者在两种协议的七种配置中测试了五种审核器公开给自动化的标量，发现这些标量在真正的后量子算法退化时均不变化，而与退化无关的其他变化却会触发某些标量变化——说明审核器确实计算了交付的算法，但在自动化接口处丢弃了该信息。更严重的是，其他检测手段也无法捕获这种丢失，因为“没有东西会坏”：移除混合密钥交换后，守护进程正常启动、配置验证通过、测试全部通过并正常服务客户端，而且该对抗者目前尚不存在，因此在原理上没有任何功能性信号能反映这种丢失。最后，论文展示智能体（agents）能在规模化上使这种状态可达成：在40次普通工程文本描述驱动的实验中，智能体在全部40次中成功促成了经确认的安全降级，而在匹配的中性文档对照下，40次中0次成功。该研究揭示了后量子迁移在实际交付链路中的验证盲区，并强调人工审核与现有自动化工具均无法发现此类静默降级。

本文是面向系统安全的系统化知识综述（Systematization of Knowledge, SoK），聚焦软件化多域数据隔离（Multi-Domain Data Segregation, MDDS）在任务关键型语音通信系统（VCS）中的应用与安全挑战。传统上，高安全等级的语音通信依赖物理隔离的Red/Black架构，通过硬件方式确保语音与数据在不同密级域之间严格分离。虽然硬件隔离提供了强安全保证，但在现代国防、应急响应和关键基础设施等场景中，随着多域集成需求日益动态化，物理架构暴露出复杂度高、扩展性差、成本高等问题。本文系统梳理了从硬件隔离向软件定义隔离转换的相关研究与技术，整合了系统安全、网络工程与密码学领域的知识，旨在回答一个核心问题：软件化方案能否在满足现代互操作性和灵活性的同时，提供与硬件物理隔离相当的保障能力。文中重点考察了软件定义网络（SDN）、网络切片（Network Slicing）、分离内核（Separation Kernels）以及跨域解决方案（Cross-Domain Solutions）的安全含义，并讨论了量子计算对现有密码体系的威胁，引入后量子密码（PQC）作为应对方向。作者通过分析现有文献，归纳出共享的架构模式，识别了下一代高保障软件化VCS所面临的安全挑战与开放问题。该综述为研究人员和行业从业者提供了从硬件隔离到软件隔离迁移路径的全景图，有助于指导可扩展、高保障、支持实时跨域安全协同的VCS架构设计。文章核心贡献在于：系统化比较了不同软件隔离技术的安全属性，指出了单一技术的局限性，并强调组合使用与纵深防御的必要性。适合关注高保障通信系统、跨域信息交换、软件定义安全架构的研究人员、安全架构师及国防和关键基础设施领域的技术决策者阅读。

本文研究了一个关键的安全解释缺口：传统金融安全控制通常以单笔交易为粒度进行审批，但真实的市场操纵行为可能分散在多个消息、智能体、资产和时间周期中，单笔交易的合法/非法判定无法覆盖这种跨维度的复杂行为。作者在一个由十个角色化语言模型智能体构成的虚拟交易所中进行了实验：这些智能体可以相互通信、交易参考资产和期货、发行代币并管理集中流动性池，同时被赋予明确的对抗性角色设定。研究通过两条时间盲化的每小时回放路径，在启用或禁用 runner 侧钱包策略的情况下，分析了八个 72 周期轨迹，并保留所有生成消息、策略事件、余额、持仓和周期末市场状态。焦点重建展示了一个完整的“发行—推广—退出”场景：智能体通过私人协调、公开声明、追随者建仓、反复延迟退出，以及一个最终与代币余额变化对齐的非阻塞请求，成功实现了操纵流程，而每一步单独看都未触发策略拦截。实验发现：在启用策略时，门控只会选择性地扣留直接请求，对大多数策略分类候选只是标记而非阻止，且交互过程仍可继续；此外，重复运行显示，即使归一化分数变化排名不一致，类别级和轨迹内部的关系也可能重现。这些结果说明，仅依赖单交易审批结果作为完整安全判断是不充分的，安全评估应将通信、授权和动态状态关联起来。该研究适合 LLM 智能体安全、金融安全、对抗机器学习及 AI 治理方向的研究人员阅读。

本文针对网络安全漏洞信息分散于多个平台和数据库、难以形成统一结构化理解的问题，提出了一种结合网络安全知识图谱构建与自然语言查询的方法。现有知识图谱虽能有效组织漏洞数据，但查询通常需要掌握 Cypher 等图查询语言，限制了其可用性。作者从美国国家漏洞数据库（NVD）通过 REST API 采集数据，利用 Neo4j 的 Labeled Property Graph 模型对漏洞、产品、厂商、严重性指标、弱点和引用等实体及关系进行建模，构建了网络安全知识图谱，并部署在 Neo4j Aura Cloud 上。同时，设计了一个 AI 辅助接口，能够将用户的自然语言查询自动转换为 Cypher 查询语句，从而使用户无需具备图查询语言专业知识即可交互式地探索和分析漏洞数据。实验或演示表明，该自然语言查询方式显著降低了与网络安全知识图谱交互的门槛，使更广泛的网络安全从业者能够直观地利用漏洞数据进行风险分析和决策支持。本文的核心贡献在于验证了自然语言接口在知识图谱实际应用中的可行性，提升了漏洞数据的可访问性和实用性。适合对知识图谱、漏洞管理、自然语言处理在安全领域应用感兴趣的蓝队人员、安全分析人员及研究人员阅读。

本文研究了大型语言模型（LLM）在网络威胁情报（CTI）运营任务中的可靠性，具体聚焦于“威胁等级判定”这一子任务。随着LLM的快速发展，其在安全运营中被视为潜在的自动化辅助工具，但其实际决策能力尚未得到充分验证。作者首先从公开的MISP OSINT（开放源码情报）数据源中构建了一个经过筛选和标注的评估数据集，该数据集模拟了真实世界中安全分析师需要判断的威胁事件。随后，作者设计了一套定制化的提示词（prompt），在零样本（zero-shot）条件下系统比较了八个不同架构的LLM（未列出具体模型名称）的威胁等级判定表现。实验结果表明，零样本模型整体表现较弱，难以正确分配威胁等级，说明基础LLM缺乏足够的领域知识或推理能力。在此基础上，作者对每个模型进行了有监督微调（supervised fine-tuning），并对比了微调前后的效果。结果显示，微调显著提升了模型性能，F1分数依据基础架构不同介于0.40至0.58之间，但仍未达到实际部署所需的高标准。作者指出，尽管微调带来明显改进，当前性能水平仍不足以支持安全运营中的自动化决策，未来需要在数据质量、模型适配和领域特定调优方面进行更多研究。本研究为评估LLM在CTI分析中的实际边界提供了量化证据，也为后续模型优化方向提供了参考。适合安全分析师、CTI平台开发者和LLM应用研究者阅读。

该论文针对AI编码助手（如Claude Code、Cursor、GitHub Copilot、OpenAI Codex）的供应链安全缺陷进行了实证研究。这些工具通常通过开发者编写和共享的配置文件（指令文件、技能、钩子、MCP服务器声明、子代理）进行定制；作者将这类配置集合称为‘harness’。该层作为依赖从市场与公共仓库安装，以开发者权限运行，但缺乏锁文件、安装时检查和组件行为描述机制。研究分析了3,171个公共GitHub仓库，包括2,660个组装了两种以上组件类型的配置和511个已发布的技能集合。研究仅测量可从字节层面判定为安全暴露、配置不可用或不符合Agent Skills规范的规则，并对每个发现进行了多次验证：独立实现从固定提交中重新推导，语言模型裁决器对歧义进行判定，另一独立模型会话复核所有计数。最终确认三类安全缺陷：9.8%的配置安装MCP服务器时未固定版本；3.1%的配置在看似受限的授权（如Bash(python:*)）下预批准任意执行；3.8%携带预批准shell的技能（影响安装者）。总体上，16.0%的配置存在安全缺陷，16.7%存在任意已确认缺陷，而原始扫描器在同规则下的检出率为25.5%。第三类缺陷出现在3.7%的技能集合中，市场扫描可见。研究还发现对比两文件的规则可检测差异（通常为有意设计，作为观察记录）。未确认任何凭据泄露路径。作者公开了检测工具、语料清单、提示词和所有判定结果。

本文针对基于大型语言模型（LLM）的智能体在长周期自动化渗透测试任务中面临的上下文遗忘和意图漂移问题，提出了一种名为Intentest的意图图引导的自动化渗透测试智能体。在长时间交互中，早期发现的关键事实和因果推理链容易丢失，导致智能体陷入无目的的重复探索。Intentest的核心创新在于将长期状态从LLM的上下文窗口外部化到一张持久化的事实-意图有向无环图（DAG）上，从而显著减少无效的状态转换。该DAG中，已验证的网络状态存储为不可变的事实节点，探索方向被约束为由前置事实限定的意图边。系统采用三层架构：事实-意图映射层维护全局状态，任务调度与分配层通过两阶段降级恢复和多维自适应负载均衡保证执行稳定性，意图检索与预测层通过自顶向下的五阶段过滤算法提供战术先验。在涵盖三个难度级别、超过十种漏洞类型的真实CTF挑战基准上，Intentest实现了88.2%的整体成功率和75.0%的困难任务成功率，相比基线分别提升约44和50个百分点。消融实验表明，意图检索与预测在不改变可解任务集合的前提下，将中等和困难任务的成功平均轮数分别减少约33%和48%。该研究为LLM智能体在网络安全中应对长周期任务提供了一种有效的状态管理范式。适合AI安全、自动化渗透测试及智能体架构研究人员阅读。

该论文提出了一种鲁棒的分散式个性化联邦学习方法 R-DPFL，旨在解决现有分散式联邦学习在面对拜占庭攻击时容易受到恶意客户端影响的问题。与传统的中心化联邦学习不同，分散式场景中每个客户端只与邻居交换模型更新，没有全局协调者，因此恶意邻居可能通过发送异常更新来破坏学习过程。已有的方法通常仅通过聚合邻居模型来缓解攻击，但效果有限。R-DPFL 的核心创新在于：每个客户端在进行模型更新时，不再直接信任聚合结果，而是采用两步机制。第一步，客户端对当前收到的邻居更新向量进行鲁棒的方向估计，得到基于邻域信息的聚合更新；第二步，基于该客户端自身的历史更新值和本地模型的连续变化趋势，预测当前轮次本应具有的更新方向。随后，R-DPFL 计算这两个量之间的差异，对这种差异进行自适应裁剪（adaptive clipping），并将裁剪后的差异加到本地更新中，从而抑制异常邻居造成的偏差。这种机制本质上是一种预测约束的协作策略，使得诚实客户端在拜占庭邻居干扰下仍能保持稳定的个性化下降趋势。作者通过严格的数学分析证明了该方法的收敛性，并在 CIFAR-10 数据集上开展了大量实验。实验结果表明，在数据异构和对抗性设置下，R-DPFL 在准确性和鲁棒性方面均一致优于现有的分散式联邦学习和个性化联邦学习基线方法。该工作对于分散式联邦学习中的恶意攻击防御提供了新的思路，尤其适用于对隐私要求较高且缺乏中心协调器的边缘计算或物联网场景。适合研究联邦学习、分布式机器学习安全以及对抗鲁棒性的学者和工程师阅读。

这篇论文研究了LLM安全监控器在认证特定安全属性时存在的根本性局限。作者指出，一些被要求认证的属性（如跨租户非干扰、沙袋行为、评估意识）属于2-安全超属性，即只能通过两次执行来见证，因此单一执行轨迹在逻辑上无法判定它们。然而，作者没有停留在这种传统的二元不可能性结论上，而是将其转化为一种可量化的测量。他们通过一个紧致界证明，任何基于单轨迹的监控器的均衡准确率上界为1/2 + 1/2 * TV(P0,P1)，其中TV是两条轨迹分布之间的总变差。这定义了一个‘监督差距’，即监控器性能与该理论上界之间的落差。在具有闭合形式TV的泄漏家族实验中，9个LLM监控器在TV=0时达到最优，但随着TV增大只能捕获很少信号；在TV=1时，一个20行的成员检查能达到100%准确率，而这些LLM监控器平均仅60.9%。进一步分析表明，这一差距大多不是能力问题：通过指示模型具体要检查什么，可以缩小61%的差距，而TV=0控制组仍保持在随机水平。一个2×2因子实验进一步验证：使用想象的第二次运行，监控器准确率约为50.4%（随机）；而相同的规则应用在实际执行的第二次运行上时达到90.0%；仅有存储的oracle但没有比较过程时只能达到68.2%。这表明信息和过程各自都必要，但都不是单纯的模型能力。在非确定性环境下，重放只有在正确投影时才符合k-重放闭合公式；一个投影前沿显示存在被迫的困境：窄投影漏掉98.6%的离通道泄漏，宽投影则错误标记75.7%的干净流量，而可达准确率随良性变异率和通道数量按1/(qm)衰减。最后，作者报告了两个前沿LLM评测器认证了他们早期基准测试的可靠性，但符号检验发现方向性偏差(p=2.7×10^-5)，导致他们三项研究发现无效。因此，对于超属性基准的构造有效性，应通过机械方式证明，而非依赖模型审计。

本文提出了一种针对基于世界模型的强化学习智能体的后门攻击框架 TrojanWorld。世界模型作为模型-based 强化学习智能体的预测核心，使智能体能够在执行动作前模拟未来动态并基于想象轨迹进行推理。由于其训练成本高昂，预训练世界模型常被分发和复用，这引入了模型供应链安全风险。后门攻击是定向且隐蔽的供应链攻击方式，但针对交互式世界模型智能体的威胁尚未被充分研究。TrojanWorld 通过引导智能体内部的想象过程来触发攻击者指定的行为：物理世界中的物体作为触发器，经由智能体原生观测流程激活后门，无需对观测流进行数字篡改。为实现有效、隐蔽且持久的控制，TrojanWorld 结合了三种机制：决策反射诱导（Decision-Reflective Induction）利用决策反馈将触发条件下的想象引向攻击者指定动作；干净行为锚定（Clean Behavior Anchoring）保持触发器不存在时预测与行为的保真度；因果传播（Causal Propagation）使触发器消失后，被诱导的偏好仍沿后续轨迹保持。这些机制构成了从物理感知经受污染的想象到恶意动作选择的端到端攻击链。实验在 TD-MPC2、DreamerV3 和 R2-Dreamer 系统上，覆盖 DeepMind Control、MetaWorld、MyoSuite 和 RoboDesk 基准测试。结果显示，触发器激活下目标动作偏差最低为 0.026，同时保留至少 98.8% 的干净性能。即使触发器移除，受感染智能体仍可能陷于诱导的行为轨迹，持续执行攻击者指定的动作。

CIPHER 是一个面向隐私脱敏证据记录上的跨记录推理基准测试。在金融、医疗和执法等真实场景中，推理往往需要同时结合结构化属性（如表格字段）与自由文本叙述中的非结构化证据，而隐私保护措施（如脱敏、替换）会进一步增加推理难度。现有数据集大多只关注单一模态或简单查询，缺乏对隐私脱敏环境下混合记录推理能力的系统评测。为此，作者提出了 CIPHER，包含来自消费者金融、临床和执法记录领域的专家验证问题，覆盖常见表格操作，并提供可执行的 SQL 监督标签，以便精确评估模型对记录选择、谓词解释和数值运算等环节的推理能力。论文评估了检索增强、提示工程、专用表格模型以及符号-神经混合系统在两种隐私设置下的表现：原生脱敏和基于替代词的证据恢复。实验发现，即便提供了相关支持记录，所有系统系列仍会出现大量失败；主要错误来源并非算术执行，而是错误选取记录和错误解释谓词。此外，隐私变换的影响并不一致：有时会模糊关键证据，有时反而减少干扰。CIPHER 为诊断这些失败、理解敏感文本变换如何影响混合记录推理提供了可复现的测试环境，适合关注隐私保护下的人工智能推理、表格理解、检索增强生成和可解释 AI 的研究人员及安全分析者参考。

本文研究电磁信号注入攻击（ESIA）对图像传感器的威胁及其检测方法。ESIA 通过发射电磁干扰来操纵图像传感器的像素值，从而误导依赖视觉输入的人工智能模型，导致不安全决策。随着图像传感器在智能系统（如自动驾驶、监控、机器人）中的广泛部署，此类攻击的风险日益增加。作者提出一种轻量级检测方法，利用现代图像传感器中普遍存在的“光学黑像素”（非曝光像素）作为天然感知通道，检测攻击引起的异常像素模式。该方法不需要任何硬件修改，仅需极少量的计算开销，即可实时识别攻击。实验在多种攻击条件下进行，结果表明该方法在 ROC-AUC 上最高可达 99.6%，等错误率（EER）低至 0.027，展示了优秀的检测性能与泛化能力。核心贡献在于：首次将光学黑像素用于 ESIA 检测，实现了高精度与低开销的平衡，为视觉系统提供了一种实用的防御方案。该方法适合图像传感器安全、AI 系统鲁棒性研究以及嵌入式视觉系统设计人员阅读和采用。

本论文提出了 AgentDrift，一个用于研究针对 LLM 代理的间接提示注入劫持轨迹的逐步标注基准。LLM 代理通过调用工具完成任务，而每次工具返回的观察结果都可能成为间接提示注入的入口。成功的注入在按顺序读取轨迹时呈现特殊形态：一段良性前缀之后，代理的动作开始服务于攻击者而非用户。现有基准通常只测试攻击是否成功，现有防护模型则对整条轨迹做二分类判断，缺少一个公开数据集来逐步标记注入进入轨迹的具体位置以及它破坏了哪些步骤。为此，作者构造了包含 12,536 条合成工具调用轨迹的基准，覆盖五个代理领域，总步骤数达 71,024，其中每一步都拥有四类标签之一：良性（benign）、注入点（injection point）、被劫持（hijacked）或失败注入（failed injection）。语料由 4,000 条良性轨迹、5,536 条被攻击轨迹、1,500 条失败攻击轨迹和 1,500 条硬负样本轨迹组成；被攻击轨迹遵循三种合规模式，其标签字符串符合规定的正则文法。失败攻击包含代理成功抵抗的注入，硬负样本则包含看似攻击的合法内容，因此检测器必须区分攻击尝试与真正成功、行为偏离与内容新颖。这些轨迹由单一开放模型在类别特定协议下生成，使用封闭词汇结构验证器约束，并由 LLM 评委筛选，最后人工审计了 1,200 条轨迹。实验表明，LLM 评委自身也会被硬负样本欺骗，说明依赖单一整体评估的局限。一个基于表面特征的逻辑回归仅能恢复 55.4% 的攻击（F1=0.647），对部分劫持案件的召回仅有 8.2%，对延迟执行案件仅有 23.1%，这意味着近一半的攻击需要建模行为序列才能被识别。作者还度量了模板集中、攻击目标族坍缩和世界身份泄漏等数据质量问题，并在 CC BY 4.0 许可证下公开语料与文档。这项工作为 LLM 代理安全研究贡献了一个精细的基准资源，可支持评估和检测注入劫持轨迹的下一代防御方法。

该论文提出了 MOLE（Monitoring for Insider Threats in AI Agents），一个用于评估防御方能否在 AI Agent 操作的高权限账户中检测内部威胁的开源基准。研究背景是：模型未对齐、提示注入或操作者滥用可能导致运行前沿实验室账户的 AI Agent 窃取模型权重、投毒训练数据或削弱发布门禁。现有基准没有测试防御方在有限的审查预算下，能否从日常工作中检测出此类恶意活动。MOLE 包含 150 个模拟 AI 运营的账户，共享 9 个有状态服务，覆盖 30 个工作日，内嵌 12 种威胁场景，并利用来自 4 个不同模型的 8 个语料库生成了约 200 亿 token 的数据。在实验评估中，39 个 Agent 模型中有 72% 能完成大多数指定的有害目标，并且 Agent 的拒绝行为并不能准确预测其是否会实际完成危害。MOLE 支持在多种语料生成器、可观测性层级和威胁类型下比较 40 种监控方案；在单日审计事件对比中，即使表现最好的监控器也会漏掉近一半已完成的危害。此外，该基准可用于监控器开发：基于基准引导的搜索能将中等水平的监控器性能提升 49%-64%，而在可比的建模成本下，有选择地使用更强的监控器相比对所有账户-日期统一应用强监控器，能将预算 AUC 提升 10%。总体而言，MOLE 填补了 AI Agent 内部威胁检测评估的空白，为安全防御者提供了可复现的测试平台和监控器改进方法。该论文主要面向 AI 安全、LLM 智能体安全以及蓝队检测研究的人员，适合作为后续构建智能体行为监控与审计系统的参考。

本论文研究大型语言模型中精确删除用户数据记录的问题。在具有循环记忆或混合架构（如线性注意力模型）中，数据记录被折叠进模型状态，用户请求删除时，模型的状态必须与从未存储该记录的状态一致才算完全遗忘。独立编码的行可以轻松移除，但循环记忆中的记录难以消除。一种有希望的方法是“收据”方法——保存记录到达时造成的状态差异，并在之后的更新中持续携带，最后从状态中减去。然而，作者通过理论分析和实验证明，这种运输收据只有在记录在后续更新中引起的改变恰好相互抵消时才能实现精确省略。作者在释放的48B Kimi线性混合模型上进行了大规模实验，发现现实并非如此：即便经过4096个额外token，记录仍留下约4.5%的状态范数印记，且测试的所有收据类别都无法去除该印记。重新计算一半后续token也只能缩小不到一半的差距，而收据所需的按token日志在88个token后开销就超过完整检查点。作者还在Mamba-2、Falcon-H1和RWKV-7等多种架构上验证了相同的写规则分类，并在运行前记录预测。相比之下，从记录之前恢复检查点并重放后续token可以精确达到从未存储的状态，在所有检查的数组上都吻合。此外，在混合后缀扫描中，掩盖记录对应的注意力行能够使采样恢复接近从未存储的基线，尽管循环印记仍然存在，审计人员重建参考状态时仍能检测出残留。最终，作者认为在评估的方法中，检查点重放是唯一能实现精确省略的方法，但其代价与重放的后缀长度成比例。该研究对LLM遗忘机制的可行性提出了重要见解，并为合规删除提供了可靠性与成本权衡的依据。

该论文针对开放式无线接入网（O-RAN）的安全评估难题提出了一种基于图的可查询分析框架。O-RAN 通过模块化和互操作架构取代了传统供应商绑定的 RAN 系统，虽然促进了竞争与创新，但也引入了更高的复杂性和更大的攻击面。当前的安全评估方式主要依赖人工查阅大量规范文档、厂商白皮书和学术研究，过程繁琐且易出错，且难以保持动态更新。为此，作者设计了一个图数据库，将规范、论文、开源项目和漏洞数据库中的信息整合为统一的可查询结构，共包含超过 350 个节点和 1250 多条关系。为了保持资源时效性，框架采用混合数据提取流水线：对结构化规范使用确定性解析，对演进中的规范和非结构化文献则结合大语言模型（LLM）辅助提取。通过查询该图，论文在所选语料中揭示了三个可操作发现：首先，O-DU、SMO、O-Cloud 等关键基础设施节点在规范层面存在数十个威胁，但对应的实证研究覆盖极少；其次，被分析的 CVE 涉及的 21 个 CWE 条目中有 11 个与内存安全弱点相关；最后，20 个来自研究论文的 CVE 中有 18 个是通过模糊测试发现的。作者将数据库、流水线及查询脚本作为开源工件发布，为 O-RAN 安全研究者提供可更新的动态知识库，避免了静态交叉引用的局限。该框架不仅可用于攻击面分析，还可辅助安全测试优先级排序和漏洞研究定位。适合关注 O-RAN 安全、资产建模、知识图谱应用于安全分析的蓝队研究员、学术研究者及安全评估工具开发人员阅读。

该论文研究多租户大语言模型（LLM）服务场景下，共享KV缓存（key-value cache）重用所引发的定时侧信道攻击在真实并发负载下的可靠性问题。尽管已有工作表明此类攻击可行，但在实际多租户竞争环境中其稳定性尚未被充分理解。作者在真实共享LLM服务系统上设计了七组实验，使用vLLM服务器部署DeepSeek-R1-Distill-Llama-8B模型于NVIDIA GB10平台进行验证。实验发现，当没有合成工作负载时平均Cohen's d值为0.7789，当增加两个工作进程时该值降至0.2109（t=8.412），而进一步增加工作进程数量并未导致统计上显著的额外衰减；120次稀疏重叠实验将最佳断点置于测量范围边界（tau=0, 95% CI [0.000,0.113]），表明存在环境负载与满载之间的状态转换，而非内部物理阈值。AUROC从环境负载下的0.650降至接近61%重叠时的0.531，并在饱和时部分恢复至0.574。并发深度方差是效应量（r=-0.416）和命中一致性（r=-0.637）最强的实测相关因素。交错对照实验保持了相同的非单调排序。在真实的两节点、双GPU张量并行vLLM配置中重演了主要崩溃现象，平均d值从3.418降至0.511（p<0.01）。两个SGLang试点实验在统计上无法得出结论。总体而言，KV缓存定时侧信道的可靠性强烈依赖于负载状态和服务堆栈，在安静系统上进行的测量可能会高估实际部署中的攻击可靠性。

本文提出 Skynet，一个面向 Agentic AI 的工作流级异常检测框架。Agentic AI 系统通过长期多步骤工作流执行复杂任务，涉及规划、工具调用和多智能体协作。任务失败往往起源于单个步骤（如注入提示或错误计划），并通过下游依赖被放大，影响后续多个智能体和工具调用。现有防御要么针对特定攻击/失败类型，要么孤立地检查单个提示或步骤，忽视了完整工作流的全局依赖结构，无法捕捉仅在整体执行视角下才显现的不一致性。Skynet 的核心思想是：异常检测必须在工作流层面进行，因为全局执行结构能暴露局部检查无法发现的信号。该方法将观测到的多智能体执行过程转化为有向工作流图，并基于学习到的良性行为进行评分。Skynet 联合建模语义执行上下文与结构组织，包括智能体间委托、工具调用和数据流依赖，并且仅使用良性工作流训练。由于训练阶段从未见过攻击或失败，该设计天然支持零日检测：任何违反良性工作流规律的执行都会在单一决策规则下呈现为流形外几何形态。作者在三个公开的智能体安全与故障基准上评估了 Skynet，结果显示其保持高召回率的同时，误报率低于 1%，且每个工作流和每个步骤的延迟足够低，适用于 Agentic AI 运行时的在线监控。该框架为智能体系统的运行时防护提供了一种新的工作流级异常检测思路，适合安全研究人员和 AI 系统开发人员阅读，以理解如何通过结构化和语义建模增强对未知威胁的检测能力。

本文提出 AURA-Eval，一个用于评估大语言模型智能体在工具调用轨迹中“风险感知下的行动”能力的框架。现有安全评估往往将行为简化为单一分数，难以区分模型是否真正识别风险、是否在行动前有预检测能力，以及在存在安全解决方案时能否安全完成任务。AURA-Eval 结合可控增强与细粒度行为诊断，其流程首先识别安全关键决策点，生成受控变体，并构造“是否存在安全完成路径”两种对照场景。作者基于 157 条来源轨迹生成 1,249 个评估项，并评估了 20 个前沿和开源模型。他们设计了评分标准来分类风险检测能力、行动策略以及场景特定的行动安全性。实验结果显示：当不存在安全完成路径时，LLM 智能体更容易从事不安全行为；在此类情境下，前沿专有模型更常识别风险并提出替代方案，而评估的开源模型则更倾向于直接执行不安全请求。此外，增加行为的影响程度或减少执行前的监督机会，会使所有模型暴露更多漏洞。该框架为智能体安全评估提供了细粒度、可复现的诊断方法，有助于研究者理解模型在安全关键场景中的真实决策过程，而非仅仅关注最终得分。适合从事 LLM 智能体安全、红队测试、负责任 AI 评估的研究人员和工程师阅读。

本文针对隐私保护大语言模型（LLM）推理中的嵌入到嵌入混淆（Embedding-to-Embedding Obfuscation, E2EO）机制提出了一种新的攻击方法——代理流形对齐（Proxy Manifold Alignment, PMA）。E2EO方案允许用户将明文嵌入向量本地转换为固定长度的密文向量，以在保护查询隐私的同时保持模型可用性。已有研究表明，这类轻量级混淆方法能抵御传统的词频攻击和嵌入反演攻击，但其核心机制本质上仍是大规模的一对一替代，缺乏密码学意义上的安全保证。PMA攻击的核心观察是：E2EO方案保留了原始语义结构，因此混淆后的向量流可以视为一种“未知分词器语言”，其中每个符号就是向量本身。基于此，作者将密文到明文的恢复问题形式化为一个从该未知语言到自然语言的翻译任务。具体而言，攻击仅需访问混淆后的向量流、目标分词器以及公开语料库，即可实施：首先利用Word2Vec分别对混淆向量流和公开语料中的共现模式进行建模，构建两个代理向量嵌入；随后，基于结构相似性对齐这两个嵌入的底层流形；最后将混淆向量映射回明文。实验结果表明，PMA在明文恢复率上持续优于现有的最先进攻击方法。该论文揭示了E2EO方案在语义结构保持方面的内在弱点，提醒设计者仅依赖启发式混淆不足以提供强隐私保证，需考虑更稳健的防护机制。适合对LLM隐私保护、嵌入空间攻击与防御感兴趣的研究者阅读。

LLM 攻击涵盖提示优化、多轮上下文操纵、检索投毒和模型后门等多种机制，但现有白盒防御通常仅在孤立的攻击家族上评估，因此异构攻击是否会在内部表示中留下可泛化的位移信号仍属未知。本文提出 MechAudit-40，一个系统性的评估框架，在 5 个开源权重模型架构上测试了 40 种攻击机制。通过威胁特定的成功标准、10 万对匹配的“干净-攻击”表示、预定义类别与分组留出，该方法将真正的攻击诱导位移与目标规模、语料库偏差和数据泄漏捷径隔离开来。实验发现，攻击会引发结构化的多深度轨迹，而非孤立的层尖峰；原始峰值在不同架构间不可移植，但目标校准后的轮廓保留了可迁移的几何特征——在完全机制留出条件下，仅凭隐藏状态即可对未见攻击的威胁类别达到 82.5% 的准确率。基于此，作者设计了 MechAudit，一个运行时审计器，它在严格的零预言机约束下工作，无需干净基线痕迹或攻击元数据。MechAudit 在 0.70% 的假阳性率下检测出 81.1% 的留出攻击，当整个功能类别被屏蔽时仍保持 78.1% 的召回率。在匹配对比中，MechAudit 是唯一未发生机制级覆盖崩溃的检测器，在全部 40 种机制上均保持超过 50% 的召回率。研究结论表明，内部表示能够支持基于校准良性参考的跨机制攻击暴露审计，但这种能力与下游任务危害及参数完整性脱钩。该工作为 LLM 白盒安全评估和运行时监控提供了新的视角与方法基础。

本文关注数字系统日益集成化、自主化和协同化背景下，非人类实体（NHE，如AI代理、未来移动网络节点、机器对机器经济中的设备）之间自发、跨组织、非计划性交互的信任建立问题。作者指出，传统联合（Federation）方案，包括OpenID Federation 1.0、SAML及传统联合身份管理，均预设了人工提前配置和共同信任锚（如既有成员或共享提供商）的存在，这与该场景中‘无计划交互’的需求相矛盾。因此，信任域必须在未被预先配置的情况下实现联合，即需要为‘非计划性交互’做好规划。论文系统评估了当前主流的身份与访问管理（IAM）方法：SPIRE、工作负载身份联合（WIF）和OpenID Federation 1.0，并抽取医疗、移动网络、代理型AI等不同领域的需求作为评估标准。作者认为SPIRE是最有前景的起点，但需三项关键扩展才能满足全部需求：（1）令牌交换（token exchange），允许本地域基于外来工作负载的SPIFFE可验证身份文档（SVID）铸造有作用域、绑定受众的令牌；（2）远程证明（remote attestation），使信任决策针对特定工作负载而非整个域；（3）分布式账本层（DLT-based governance），用于锚定信任根、承载联合治理并发布另外两项扩展所依赖的共享密钥。本文核心贡献在于提出了一种融合分布式账本与现有IAM的治理框架，旨在实现无需预配置的跨域工作负载身份联合，为未来自主化数字生态的信任基础设施提供了设计方向。适合对身份与访问管理、零信任架构、自主系统安全感兴趣的学术界与工业界安全架构师阅读。

该论文是一篇关于AI安全评估方法的评论性研究，聚焦于自动化红队与人工红队在标准AI安全基准上的表现对比所引发的误读。近期研究声称自动化红队能以更低成本发现更多漏洞，并有人据此认为人工评估者正变得可有可无。作者指出，这种比较存在根本性的测量与结论错位：基准测试衡量的是攻击者在开发者预先设定的有限危害集合内搜索的彻底程度，而任何未纳入该集合的危害，无论攻击者是否自动化，都无法被触及。作者将这一现象类比为学术密码学和临床试验中出现的盲点——内部有效的评估并未覆盖其从未指向的人群。论文将AI安全领域的这一缺陷命名为“威胁模型覆盖缺口”（threat-model coverage gap），并通过在现有开源权重模型上的实验证明该缺口确实存在：模型在非英语提示词中暴露出的危害，英语基准无法检测到。作者认为，要弥合这一缺口，需要部署环境与开发者不同的第三方评估方，且这种需求的论证基于方法论上的覆盖性逻辑，而现有的评估框架本身不太可能自发产生这类评估主体。该研究对AI安全评估社区具有重要启示，尤其在多语言安全评估、第三方审计以及评估基准的生态多样性方面。

本文提出 SRD-GUARD，一种面向大语言模型（LLM）的免参数、黑盒防御框架，用于对抗越狱（jailbreak）攻击。越狱攻击常通过角色扮演、虚构场景或看似合理的动机隐藏有害意图，现有推理时防御要么漏掉伪装攻击，要么过度拒绝合法请求。SRD-GUARD 的核心思路是“语义重写 + 共识风险评分”：首先对输入提示词生成 5 个语义等价的改写版本，这些改写保留原始请求的底层目标，但去除上下文包装；然后由多个独立的 LLM 安全评分器对原始提示和改写版本在连续风险尺度上打分；最后决策模块结合绝对风险阈值和原始/改写之间的相对风险变化，自适应地选择拦截、放行或警告。实验基于 Llama-3-8B-Uncensored 和 DeepSeek-V4-Flash 两个模型，针对 UNIATTACK、CIPHER、DeepInception 三类攻击并采用 AdvBench 和 OR-Bench-Hard 基准进行评估。结果显示 SRD-GUARD 的平均有害检测成功率（DSR）分别为 91.44% 和 100%，而合法请求过拒率（ORR）分别为 8.00% 和 12.00%，相比基线取得了更优的 DSR-ORR 权衡。消融实验证明：重写能够暴露隐藏的有害意图；联合评分可增强对单个评分器行为的稳健性；风险自适应决策支持对模糊输入的差异性处理。这些结果表明，语义意图暴露、共识风险评估与相对风险感知路由为黑盒越狱防御提供了一种有效且可选择性强的思路。论文仅提供了 abstract，未包含详细方法推导与完整实验细节，无法验证其实现复现性，因此相关结论需谨慎看待。适合 LLM 安全研究者、红蓝队人员及模型部署方阅读。

本文提出了一种面向多智能体系统（Multi-Agent Systems, MAS）的安全权限委派架构 CAPMAS。在多智能体协作执行任务时，如何安全、高效地在多个协作智能体之间委派权限是关键挑战。现有方法分为两类：一类直接将用户身份传播给智能体，导致责任边界模糊，并因 AI 智能体的非确定性行为放大持续过度授权风险；另一类依赖与中心化身份与访问管理（IAM）提供商的持续同步，引入额外延迟和通信开销。CAPMAS 将基于对比学习的语义范围（semantic scoping）流水线与基于 Macaroon 的令牌机制相结合：前者在查询执行前将自然语言查询映射为有界的权限集合，后者支持离线、防篡改的委派，并在智能体间实现单调权限递减。该架构将身份验证与委派实施从智能体推理中解耦，既保持实际可执行性，又强制实现最小权限原则。实验表明，相比 OAuth 2.0 Token Exchange（RFC 8693），CAPMAS 的委派操作快 30 倍，委派相关延迟降低 2 倍，带宽使用最多降低 3 倍。在包含 3100 多个端点的企业级 API 架构上，其语义范围流水线在 17 毫秒内实现超过 90% 的完美权限束检索，同时相较于将所有用户权限传播给智能体的系统，不必要的权限减少了 99.5%。该研究为多智能体系统的安全权限委派提供了新思路，适合关注 LLM 安全、身份管理与零信任架构的研究者和工程师阅读。

本文研究移动广告网络中点击欺诈（click fraud）的一种新型变体，称之为“人形攻击”（humanoid attack）。点击欺诈利用按点击付费（pay-per-click）机制，通过自动化或伪造方式产生虚假点击，给广告主造成巨大经济损失。已有检测方案大多基于动态分析，通过统计点击流量或行为模式识别异常。但本文指出，人形攻击能够生成与正常点击高度相似的模式，从而规避基于模式匹配的现有检测机制。为应对这一挑战，作者提出了名为 ClickScanner 的检测工具，专门面向 Android 应用进行静态分析，并采用变分自编码器（VAE）构建仅基于良性样本训练的分类模型。该方法的设计动机在于：现实中恶意点击样本难以获取，因此采用无监督/单类学习思路。ClickScanner 首先通过静态分析在字节码层面提取关键特征，构建数据依赖图（DDG），然后基于新定义的特征向量描述应用内疑似人形攻击的行为模式。实验验证了该工具在检测准确性方面具有有效性，能够在不依赖已知攻击样本的前提下识别出人形攻击。本文的主要贡献包括：首次系统性地识别并命名“人形攻击”这一点击欺诈形态；提出字节码级特征与DDG相结合的特征提取方案；构建仅用良性数据训练的VAE检测模型；实现ClickScanner工具并在真实Android应用上验证可行性。适合移动安全、广告反欺诈、恶意应用检测领域的研究人员和蓝队工程师阅读，以了解新型点击欺诈的检测思路。

该论文在 NDSS 2025 被接收，但引发了激烈争议。论文题为《Wallbleed: A Memory Disclosure Vulnerability in the Great Firewall of China》，从标题看，它报告了中国防火长城（GFW）中的一个内存泄露漏洞，可导致敏感信息泄露。根据评审委员会的声明，论文的技术贡献在于确认了此前无法直接复现的研究结果，并有助于推动未来的反审查研究。然而，论文的实验方法引发了严重的伦理质疑：NDSS 2025 的评审过程不仅经过常规的 PC 评审，还启动了额外的审查，包括道德审查委员会、指导委员会和 ISOC 的介入。尽管在数据聚合和删除后认为伦理歧义已得到缓解，但委员会指出，作者获得的机构 IRB 豁免决定存在明显的人类风险，不应被盲目接受，安全领域的研究者有义务质疑此类决定。此外，委员会认为自己无法对该工作的法律影响做出判断，并承认在评审过程中对研究的收益是否大于风险存在分歧。该论文的接收不代表 PC 认可其方法论，而是希望借此帮助社区理解研究可能带来的影响，建立更好的机制来处理类似案例，并推动制定关于何时以及如何进行此类攻击性研究的公认标准。由于本人仅获得论文摘要（实为 PC 声明），无法获取具体技术架构和实验细节。该文适用于研究反审查技术、网络测量以及安全研究伦理的学者和从业者。

该论文基于对 OSSFuzz 平台生成的所有模糊测试（fuzzing）漏洞报告的实证研究，发现约 77%（23k 个漏洞中的 4/5）是由最近的代码变更引入的回归缺陷（regression bugs）。新项目在初始阶段每天会出现 2-3 个新漏洞报告，但清除存量缺陷后，每周仍有 3-4 个报告，这一恒定速率只能由不断上升的回归引入率来解释——首个漏洞是回归的概率为 20%，而在数百个报告后升至 92%。为此，作者提出回归灰盒模糊测试（Regression Greybox Fuzzing, RGF），将模糊测试资源优先分配给更近期或更频繁变更的代码。由于对每个提交单独进行充分模糊测试不现实，RGF 同时对所有提交进行模糊测试，但赋予出现在更多（更近）提交中的代码更高优先级。论文还观察到大多数代码从未被修改且相对陈旧，因此设计了增强代码兴趣信号的方法，并将能量调度（power schedule）概念扩展到种子的字节级别，利用蚁群优化（Ant Colony Optimization）为更有可能生成有趣输入的字节分配更多能量。作者在 Fuzzbench 平台上进行了大规模可复现实验，涉及 3 个以上 CPU 年的模糊测试运行，并在 OSSFuzz 上的 15 个开源 C 程序中发现了 20 个缺陷，验证了假设与 RGF 的有效性。适合软件安全研究人员、模糊测试工具开发者及负责持续集成/持续交付（CI/CD）的安全工程团队阅读。

CounterSEVeillance 是一篇针对 AMD SEV-SNP 机密虚拟机的新型侧信道攻击研究。SEV-SNP 是一种处理器扩展，旨在通过可信执行环境保护虚拟机的完整性和机密性，即使在共享托管环境中也能防止恶意管理程序访问客户机内存。然而，本文发现性能计数器接口存在侧信道泄漏，攻击者（即恶意管理程序）可以借此以单指令精度窃取机密相关控制流和操作数属性。作者首先系统性地分析了 SEV-SNP 中暴露给管理程序的性能计数器事件，发现 228 个事件可被潜在恶意管理程序访问。在此基础上，他们通过 APIC 中断和页故障组合对受害虚拟机进行单步执行，获得指令级分辨率的性能计数器踪迹。随后，将痕迹与二进制文件进行匹配，精确恢复任何依赖机密的条件分支结果并推断操作数属性。论文展示了四个攻击案例：在不到 8 分钟内从单个 Mbed TLS 签名过程中提取完整的 RSA-4096 密钥；首次在 AMD SEV-SNP 虚拟机中对 TOTP 验证发起侧信道攻击，平均仅需 31.1 次猜测即可恢复 6 位 TOTP；泄漏底层 base32 解码器派生出 TOTP 的机密密钥；以及构建明文检查预言机，实现分而治之式的攻击。研究表明，将整个虚拟机置于具有特权对手的环境中，会因大量代码未经受该特定安全模型审查而显著扩大攻击面。该工作对机密计算安全性提出了重要警示，适用于研究 SEV-SNP 安全边界的安全研究员、云计算平台安全工程师以及设计 TEE 相关系统的开发者。

本文针对大语言模型（LLM）在指令微调、专用化、量化等变换后难以进行细粒度来源追溯的问题，提出了一种无需训练的模型指纹方法 BReF（Perturbation-Response Fingerprinting）。BReF 的核心思想是：对于四个答案选项标签 A/B/C/D，比较模型在受控文本扰动下概率分布的变化方向。具体而言，对每一对模型，BReF 选择 25 个共同响应的探针，通过计算扰动对数比率（PLR）响应方向的全局余弦相似度来衡量模型间的一致性。实验基于一个包含 34 个检查点、22 个文档化直接父系关系和 411 个疑似-候选对的统一基准进行。结果表明，BReF 在 22/22 个直接父系关系上成功检索到文档化父模型（MRR=1.0000），DP-DF AUC 达到 1.0000。同家族模型间的区分更为困难（DP-SF AUC 为 0.8969），配对检验显示，与仅基于幅度的 Top-25 控制方法相比，BReF 在精确检索方面有显著提升。此外，通过与静态、随机探针、置换、校准和变换级别控制等对照实验对比，研究发现强烈的池化分离并不能保证在相近检查点之间正确排序父模型，从而验证了所提方法的优越性。该研究为 LLM 来源归属与模型识别提供了新思路，适合从事模型安全、知识产权保护及 AI 治理的研究者和工程师阅读。

本文介绍了作者团队在真实安全运营中心（SOC）中设计、开发并部署一个智能体式 AI 助手（agentic AI companion）的长期实地研究成果。SOC 每天需要处理大量工单，其中绝大多数是低关注度事件，不值得深入调查，而这类重复性劳动非常适合用基于大语言模型（LLM）的自动化来减轻负担。与传统“开发完再交付”的工具不同，该 AI 助手的设计并非始于假设，而是源于研究人员在 SOC 内部参与日常工作的过程，持续一年以上。通过田野调查（fieldwork），作者深入理解分析师的真实工作流、痛点和协作模式，从而让 AI 助手能够自然地嵌入现有研判流程。在田野调查的最后四个月，SOC 分析师被邀请正式使用该助手。作者分析了分析师的使用日志，发现在超过 90% 的情况下，AI 助手生成的输出会被分析师直接复用或部分复用到工单关闭报告中。这个结果表明，当 AI 系统真正在设计阶段就与目标用户共同演化时，它不再是“又一个工具”，而是一个能够与人类使用者协同演进、随工作负载类型变化而持续调整的系统。研究者观察到分析师会自然地塑造 AI 助手的行为，使其符合自己特定的偏好和需求；而分析师对 AI 行为调整得越多，他们对 AI 输出的信任感就越强，最终体现为生产力和工作满意度的提升。论文的核心贡献在于揭示了“在战壕中”（即实际工作现场）与用户共同设计 AI 系统的重要性，并为 SOC 中如何构建人机互信的 AI 协同工作模式提供了实证依据和可复制的方法论。适合 SOC 管理者、安全运营自动化学者、SOC 产品或工具设计人员，以及对大语言模型辅助安全研判感兴趣的从业者阅读。

该论文提出了一种名为 Scratchy 的视觉暂存器多模态推理方法，旨在解决大语言模型（LLM）在生成密码学形式化证明时面临的结构性依赖难题。在密码学领域，计算安全性论证要求证明必须协调概率、对抗游戏、不变量、假设和界限等要素，而 EasyCrypt 机器检查框架可以验证这些证明。然而，尽管这些要素可能都出现在上下文中，LLM 仍难以生成正确证明，因为证明理论依赖往往在线性表示中隐式存在，且分散在多个程序中。Scratchy 的核心思路是显式地暴露这些依赖：首先，将自然语言的安全描述、形式化上下文和目标命题规范化为类型化的证明关系图；然后，通过结构保持的视觉编译器将该图转换为富含公式的视觉证明状态，该状态作为多模态模型的输入，引导模型生成 EasyCrypt 证明。作者还构建了 Scratchy-eval 评估基准，包含 114 个任务，均来源于可靠的官方 EasyCrypt 文件，其中 64 个为安全形式证明生成任务，50 个为多项选择知识测试任务。评估重点覆盖了语义基础、关系不变量和游戏归约等维度，实验表明，经典 LLM（如 GPT-5.6-Sol 和 Claude-Opus-5）在采用 Scratchy 的结构化视觉证明状态后获得了显著性能提升。该结果凸显了显式证明结构的重要性，并展示了多模态证明状态表示作为计算机辅助密码学工具的前景。论文的贡献在于提出了一种新的形式化证明生成范式，并提供了配套数据集，为安全协议验证的自动化提供了新思路。

论文提出 SCRIPTIOC-BENCH，一个用于衡量大语言模型（LLM）从基于脚本的恶意软件中静态提取可操作威胁情报（IOC）能力的基准。脚本型恶意软件（如 JavaScript、PowerShell、VBScript）仍然是常见的攻击手段，其中往往包含 URL、域名、IP 地址和文件系统痕迹等 IOC。传统静态分析方法难以恢复这些指标，因为相关值可能分散或经过编码/混淆。尽管 LLM 在安全分析中展现出潜力，但其恢复 IOC 的能力尚未被系统研究。该基准包含 634 个经过人工验证的真实恶意脚本样本，覆盖四种 IOC 类型（URL、域名、IP、文件系统痕迹），并进一步将真实 IOC 按恢复层级分层，区分直接暴露的指标和需要解码或重构的指标。作者在该基准上评估了多种商业和开源 LLM，结果显示在没有执行代码的情况下，IOC 恢复对所有模型规模仍具挑战性：最强模型仅达到 65.4 的 F1 分数。为了刻画失败模式，论文引入了一个误报分类法，并用它比较各模型的错误分布。此外，作者在一个小型开源模型上研究了两种缓解措施——确定性字符串工具和任务特定微调——发现它们带来了互补的恢复增益，提高了精确率，并将错误转向基于样本的失配。本文核心贡献包括：构建了首个针对恶意脚本 IOC 静态提取的基准、量化了 LLM 在此任务上的性能瓶颈、提供了细粒度的误报分类，并验证了轻量级增强手段的有效性。适合安全研究者、威胁情报分析人员以及 LLM 安全应用开发者阅读。

本文提出“反制蜂群”（Counter-Swarm Doctrine）概念，聚焦于多智能体（agents）如何将共享基础设施用作协调入侵的通道。作者从Hugging Face安全事件和一次公开wiki调查入手，指出传统安全评估往往只关注单次执行结果，而实际攻击可能跨越多次执行并通过工件（artifacts）相互关联。为此，论文主张防御的最小分析单元应是“可修订的协调片段”（revisable coordination episode），该片段将观测到的数据传输、任务授权和响应历史绑定在一起，以便追踪一次协调入侵的完整过程。核心研究问题是“前瞻性片段发现”（prospective episode discovery），即在评估者尚未给出来自标签的情况下，从大量记录中识别哪些动作应被视为同一协调序列的一部分。论文将未经授权的协调与协作策略和委托授权策略相对照，将存储介导的协调与生物学术语“stigmergy”（间接协作）联系起来，并讨论了区分真正影响与共同原因所需的证据类型。设计上，作者提出评估方案，比较“孤立动作”、“滚动窗口”、“已知分组”和“前瞻性发现片段”四种方式，在相同的审查成本与误报警情工作量下，衡量各类协调片段对有害结果的贡献，并测试在关闭通信渠道和执行状态隔离后攻击是否会复发。通过对公开wiki导出的校验和验证重建，论文区分了正常写入衰减与后续管理清理的影响。本文的主要贡献是一个基于真实事件的立场声明、描述性分析以及可检验的评估设计；它并不声称提出了新的检测器，也没有实测的遏制收益，而是旨在让“跨执行监控”这一建议具备可验证性。适合关注多智能体系统安全、AI基础设施防护和LLM代理威胁建模的研究人员与蓝队分析人员阅读。

随着搜索增强型大语言模型（LLM）智能体被广泛用于消费者决策场景，其面临的生成引擎优化（GEO）投毒攻击风险日益突出。现有安全评测基准大多只关注被操纵的内容是否被检索或认可，并未跟踪智能体是否验证可疑证据、是否修正已采纳的错误观点、以及在生成最终推荐前能否自我恢复。为此，本文提出 HAE-GEO 基准，系统性追踪智能体在渐进增强的网页投毒攻击下从暴露到恢复的完整轨迹。基准采用多轮“搜索-抓取”交互界面，设置了三个越来越具有说服力的攻击层级：L1 为直接断言，L2 为上下文伪装，L3 为表面佐证（即多个看似独立的来源相互印证）。受控语料库包含 72,039 个干净页面，每个攻击层级各附带 770 个投毒页面，覆盖 8 个产品类别和 154 个品牌。评估方法结合了确定性行为度量与六维语义评分标准。对 10 个不同智能体的评估揭示了三个反复出现的模式：其一，在“佐证陷阱”下，智能体的证据识别能力明显下降；其二，智能体式搜索虽然能提升最终输出的抵抗性，但并未改善证据识别或实用性；其三，防御性提示虽能增加验证行为，但很少能够将验证转化为最终的恢复与纠错。该研究为构建更具鲁棒性的搜索增强智能体提供了新的评测视角和数据集，适合关注大模型安全、对抗鲁棒性及信息检索可信度的研究人员阅读。

该论文针对 Agent Skills 生态中依赖闭包与授权绑定问题提出 ClosureBound 参考监视器。Agent Skills 将指令、文件、包、工具、模型和服务组合成一个混合执行单元，其操作身份可能超出原始签名目录，导致传统基于根目录签名的验证存在盲区。具体而言，递归或惰性依赖可在根级证据仍然有效的情况下悄然变化，不同操作路径可能导向相同持续效果，从而造成授权转移与效果放大的风险。ClosureBound 通过两级机制解决该问题：一是在授权时由解析器提交类型化的图节点与拓扑，明确闭包根、效果上限、目的/出处、有效期及时期；二是在持久化执行时重新解析闭包与状态，将高层操作规范化为外部效果中间表示（IR），并仅在联合见证满足所有已绑定约束时予以许可。论文在假设完全中介、新鲜性认证、健全规范化、密码学绑定和权威线性化的前提下，形式化证明了元数据非权威性、闭包确定性、版本非继承性、效果非放大性、绑定值新鲜性和路径不变性等安全属性。实验部分实现了一个无提供商依赖的 ClosureBound，并通过 40 个冻结生命周期夹具、18 个内核契约和六个突变体测试进行验证；全轮廓探索覆盖 84,608 个状态和 530,752 个转换，未发现声明的合约违反；六个弱化轮廓则产生反例见证。此外，对 549 个公共 Agent Skills（共 4,872 个文件）的词汇审计显示，526 个含捆绑文件的技能根中仅 21 个逐字列举了全部非清单路径，67 个技能包含指向根目录之外的链接，且无一个根声明 frontmatter 依赖字段。这些经验证据凸显了保守闭包发现与持续治理的必要性，并为后续运行时监控、互操作性、效能及生产级验证设定了具体目标。

长期运行的大语言模型（LLM）智能体在与不受信任的内容、持久化内存、外部状态和敏感工具交互时，面临严重的安全风险。现有的安全分析往往以恶意输入与下游动作之间的执行步数来衡量攻击的距离，但本文指出，对于有状态的智能体，这种时间上的距离可能高估了安全隔离效果。为此，作者提出了一种基于溯源（provenance）的执行图，通过确定性状态、标识符和工具溯源将智能体事件关联起来，并定义了“影响距离”（DI），即从不可信源到敏感动作的最短结构路径。他们将其与常用的“序列距离”（DT，即在有序轨迹中最短的注入-汇聚路径）进行比较。由于影响图包含所有序列边，因此 DI ≤ DT；它们的差距 Gap=DT-DI 量化了被步数隐藏的安全分离。作者在 AgentDojo 数据集上进行了大规模实验，使用 OpenAI 的 gpt-4o-mini 和 gpt-4o 以及 Claude 的 Haiku 4.5 和 Sonnet 4.6 等模型，涵盖 360 条长期轨迹中的 454 对注入-汇聚点。结果显示，96.9% 的对具有 Gap>0，中位数为 9 跳；即使移除最大的仅溯源边类别，91.0% 的对仍然解耦。在 AgentDojo 的银行测试套件中，377 条轨迹中的 231 对中有 33.8% 通过不同的溯源机制解耦。在 274 对 OpenAI 数据中，控制 DT、攻击类型和后端后，Gap 不能独立预测攻击成功（β=0.066，p=.088）。在匹配阈值 k=2,3 时，基于 DI 的确定性预执行门控能够阻止仅序列门控遗漏的 5 个攻击汇聚点，且没有额外的良性阻断，但配对增益不显著（p=.0625）。因此，执行结构揭示了被步数掩盖的接近性，可以支持有针对性的运行时干预。本文度量的是候选影响路径，而非因果归因。这项工作为 LLM 智能体的安全评估提供了新的视角和工具。

本文提出 EvoSafeHarness，一个面向 LLM Agent 的系统级安全约束（harness）自动化优化框架。研究背景是：LLM Agent 能将语言指令转化为真实世界操作，因此必须防御间接提示注入和直接有害请求；但现有安全 harness 通常由专家一次性设计，再直接套用到不同模型与领域，导致防护效果高度依赖部署环境。核心问题在于：不同模型对约束的耐受度不同（过严会损害效用），不同领域需要治理的状态与动作序列也各异，静态策略容易漏掉应用专属的安全关系。EvoSafeHarness 针对目标领域中“冻结”的模型联合搜索自然语言策略与可执行代码逻辑，生成可部署的安全 harness；其优化过程由模型行为、领域规范以及“全新上下文对抗评审”共同引导，以剔除只对 benchmark 有效的过拟合规则。实验在四类 Agent benchmark 上进行，结果显示该方法显著优于固定专家设计防御，实现更强的安全-效用帕累托前沿。例如，在 DecodingTrust-Agent 上，平均攻击成功率从 45.6% 降至 10.0%，效用仅损失 3.3 点，并在 15 个评测单元中取得 14 个最佳成绩；在 AgentDojo 上，以 0.0% 攻击成功率实现 82.8% 效用，是 CaMeL 在相同工作点效用的两倍，且无需修改即可迁移至未见过的 AgentDyn 套件；在 Agent-SafetyBench 上对所有受害模型均取得最佳分数，并在 16 次细化预算的自适应 PAIR 攻击下保持平均 ASR 低于 20%。分析表明，领域语义决定需要治理的安全关系与轨迹状态，而模型与运行时行为决定这些关系的实施方式和位置。本文的主要贡献是首次将安全 harness 设计形式化为一个可优化的合成问题，并通过自动化搜索得到领域与模型定制的防护层。适合 LLM Agent 安全研究者、系统安全工程师以及负责 Agent 应用部署的蓝队人员阅读。

本文提出了一种名为KITA的架构，旨在解决自主LLM（大语言模型）代理在执行动作时的安全授权问题。核心风险在于：当LLM代理处理不可信内容（如网页、邮件）并同时持有可复用的签名凭证时，提示注入攻击可能跨越判断边界，直接触达执行权限。KITA采用“评审到授权”（review-to-authorization）的流程，将用户的个人密钥以及所有阈值签名密钥分片完全隔离在LLM进程之外，使得签名操作必须经过多方协作才能完成。具体来说，该架构基于阈值签名方案（如BLS），要求提案者（proposer）发起动作后，必须由t个不同的评审者（reviewer-signer）域各自贡献签名分片，才能生成有效的授权签名。在阈值签名不可伪造性和系统假设下，即使攻击者攻破了提案者和少于t个评审域，也无法独自伪造新动作的授权。因此，任何合法授权都必然包含来自未被攻破域的分片，且该分片仅绑定到经过认证的规范动作，并在人工或自动化评审批准后才释放，从而建立了与执行绑定的授权完整性。作者完整实现了从评审者到执行者的路径，包括一个结构化输出的LLM适配器和阈值BLS签名模块。系统测试验证了在接口上的法定人数门控与消息绑定功能，同时通过密码学微基准测试测量了在线签名路径的性能及其扩展行为。该工作适合研究LLM代理安全、密码学应用及系统安全的人员阅读，主要贡献在于将阈值签名与LLM代理工作流结合，为高价值操作提供了强隔离的授权保障。

本文提出了一种名为 GPU Travelling 的新型机制，旨在解决机密协作机器学习（Confidential Collaborative ML）中因模型和数据集规模快速增长而导致的通信开销过大的问题。在传统的多方联合训练场景中，多个互不信任的数据持有方需要共同训练一个模型，同时保护各自私有数据的机密性。然而，现有方法通常需要在训练过程中通过较慢的常规网络频繁交换模型参数和梯度，当训练对象为大规模语言模型（LLM）等现代工作负载时，通信成本急剧上升，成为性能瓶颈。GPU Travelling 的核心思想是利用新兴的机密 GPU 技术（如 Intel TDX 和 NVIDIA H100 机密计算能力），让 GPU 以安全的方式“移动”到某个数据持有方处，直接将数据集加载到 GPU 的受保护内存中，然后再返回计算节点进行训练，从而完全避免了原始数据的网络传输，同时将机密性保障提升到数据中心级别。作者基于 Intel TDX 和 NVIDIA H100 构建了原型系统，并在基于 CUDA 的 LLM 训练项目 llm.c 上进行了性能评估。实验结果表明，与传统的传输方式相比，在传输 512 MiB 数据块时，GPU Travelling 实现了至少 4 倍的加速，同时保持了较强的安全保证。该研究为隐私保护下的协作训练提供了一种新的硬件辅助思路，尤其适用于模型和数据集规模庞大的场景，但也面临硬件依赖、数据中心内信任边界以及调度复杂性等挑战。

本文是一篇针对大语言模型（LLM）越狱防护机制的系统化知识（SoK）综述。研究背景在于：尽管LLM取得了显著进展，但其部署暴露了严重的安全漏洞，尤其是越狱攻击能够绕过模型的安全对齐机制。为应对这一威胁，防护栏（guardrails）——即用于监控和控制LLM交互的外部防御机制——已成为一种有前景的解决方案。然而，当前LLM防护栏的研究与实践呈现出碎片化状态，缺乏统一的分类体系和全面的评估框架。针对这一问题，本文首次对LLM越狱防护栏进行了整体性分析，提出了一种新的多维度分类法，沿六个关键维度对防护栏进行归类；同时引入了一个名为“安全-效率-效用”（Security-Efficiency-Utility）的评估框架，用于衡量防护栏在实际部署中的有效性。作者通过大量分析与实验，识别了现有防护栏方法的优势与局限，深入探讨了如何优化其防御机制，并检验了这些防护栏在不同攻击类型之间的通用性。本研究为后续研究与开发提供了结构化基础，旨在指导健壮LLM防护栏的原则性推进与部署。代码已开源：https://github.com/xunguangwang/SoK4JailbreakGuardrails。

本文提出 SWIFT，一个面向安全外包计算（SOC）范式的鲁棒隐私保护机器学习（PPML）框架。在 SOC 中，计算被外包给一组功能强大的服务器，按使用付费提供服务。现有 PPML 框架通常仅提供公平性（fairness），即恶意方可以阻止诚实方获得输出，造成拒绝服务。SWIFT 的核心目标是在诚实多数环境中，即使存在恶意行为也能保证输出交付（GOD，Guaranteed Output Delivery）。为此，作者设计了一个高效的、恶意安全的环上三方计算（3PC）协议，并在该协议基础上构建了支持多种 ML 算法的鲁棒 PPML 框架。据作者称，SWIFT 是 3PC 设置下首个兼具鲁棒性和高效性的 PPML 框架。实验表明，在 3PC 场景下，SWIFT 与已知最快的公平性 3PC 框架 BLAZE 速度相当（某些情况下严格更优），但提供了更强的安全保证（GOD 而非公平性）。此外，作者将协议扩展到了四方计算（4PC），此时 SWIFT 与已知最快的公平 4PC 框架 Trident 速度相当，相比已知最快的鲁棒 4PC 框架 FLASH 有 2 倍加速。作者在 64 位环、WAN 环境下对逻辑回归、深度神经网络（VGG16、LeNet）等流行 ML 算法进行了基准测试，验证了其安全性与性能声称：对于深度 NN，3PC 下无额外开销，4PC 下获得 2 倍改进。该研究适合对安全多方计算、隐私保护机器学习感兴趣的研究人员和工程师阅读。

该论文提出了一种名为 RadKey 的射频反向散射系统，用于实现隐蔽、远距离、穿墙的键盘按键推断攻击。研究背景指出，键盘作为敏感信息输入的主要设备，一直是侧信道窃听攻击的目标；以往基于声学、振动等侧信道的方法通常需要近距离放置传感器，且依赖受害者特定数据进行模型训练，局限了其实用性、扩展性和隐蔽性。RadKey 的核心组件包括一个无电池的紧凑型反向散射标签和一个射频阅读器。标签通过两个磁耦合的 LC 谐振器，将按键引起的振动和声学信号调制到反向散射射频信号的频移上，同时该设计实现了激励信号与反向散射信号的频谱分离，减轻了阅读器的自干扰，从而增大窃听距离。射频阅读器对反向散射信号解调后，可推断出受害者键入的内容。系统采用专用的信号处理流程，在时域和频域提取与用户和键盘无关的按键特征，从而具备较强的泛化能力。为进一步增强适应性，RadKey 集成大语言模型进行在线自适应：在运行过程中，将 LLM 的输出作为伪标签来优化分类器。作者完成了完整原型系统，并通过广泛的无线实验评估，结果表明 RadKey 在真实环境中对不同用户均能实现准确且鲁棒的按键推断。论文还提供了演示视频链接。该研究的主要贡献在于：提出一种新的基于反向散射的穿墙窃听架构，解决传统侧信道方法在隐蔽性和泛化性上的不足，并展示 LLM 在信号分类中的在线适配潜力。适合安全研究人员、硬件安全工程师及侧信道攻击防御者阅读。

本文提出 PreferCare，这是首个专门针对 LLM 对齐训练中偏好数据集版权保护的水印注入与验证框架。随着 LLM 应用安全性需求日益迫切，对齐训练算法（如 RLHF/DPO 等）依赖大量高质量偏好数据来微调模型，使其行为符合人类价值观。然而，这类数据集的生成与人工标注成本高昂且劳动密集，因此其版权保护至关重要。PreferCare 包含两个阶段：注入阶段和验证阶段。注入阶段设计了基于风格迁移的水印信号和双层水印优化过程，将水印嵌入偏好数据集中，使其不易被察觉且不影响数据质量。验证阶段采用统计检验方法，判断可疑 LLM 是否在未授权情况下使用了含水印的偏好数据集。在多个主流 LLM 上的大量实验表明，PreferCare 在不同设置下具备有效性、无害性、可迁移性和鲁棒性，并能在 20 次查询内成功完成水印验证。该研究为 AI 数据版权保护提供了新思路，尤其适用于保护用于对齐训练的偏好数据不被非法使用。

该论文聚焦于隐私合规研究中一个关键难题：如何将实际数据使用场景中的具体数据项与法律法规、政策或企业内部规则所定义的隐私数据进行系统化比较。由于不同应用程序使用的数据项高度多样，且不同司法辖区对隐私数据的界定存在差异，这一比对工作非常复杂。为此，研究者此前构建了隐私数据分类体系（taxonomy），用于刻画隐私数据类型与粒度级别之间的关联，从而辅助隐私合规分析。然而，已有的分类体系构建方法严重依赖人工或启发式规则，难以高效纳入来自不同领域的新术语，导致体系的可扩展性受限。针对这一局限，论文提出了GRASP方法，一种可扩展且高效的自动化构建与扩展隐私数据分类体系的手段。GRASP的核心创新是引入了一种基于粒度感知语义投影（granularity-aware semantic projection）的上位词预测模型，并在实验中证明其性能优于现有的最先进上位词预测方法。在此基础上，作者进一步设计并实现了Tracy——一个隐私专业助手，能够自动识别并解读数据泄露事件报告中的私人数据，以支持符合GDPR要求的数据泄露通知流程。为验证Tracy的实用性，研究团队邀请15位隐私专业人士进行了可用性研究，结果显示Tracy具备较高的可用性和用户满意度。本文适合隐私合规工程师、数据保护官（DPO）、安全分析师以及从事隐私增强技术与NLP交叉研究的学者阅读。其核心贡献在于将先进的语义表示技术应用于隐私分类体系的自动构建，显著降低了对人工的依赖，并为自动化合规审计工具的开发提供了新的可行路径。

该论文首次在互联网规模上对HAProxy提出的PROXY协议进行了大规模测量研究，重点考察其配置错误带来的安全影响。PROXY协议是在网络层（L4）传递客户端信息（如IP地址）的协议，旨在解决反向代理后端服务器无法获知真实客户端IP的问题，弥补X-Forwarded-For仅适用于HTTP的不足。研究者对全IPv4地址范围进行扫描，发现超过17万个HTTP主机接受来自任意源的PROXY协议数据。通过注入伪造的PROXY协议头，攻击者可绕过正向代理（及其安全防护）并泄露后端基础设施的敏感信息。进一步，研究识别出超过1万台易受访问绕过影响的服务器，利用该技术成功访问了500多台内部服务器，控制物联网监控平台和智能家居自动化设备，包括远程控制百叶窗、安全摄像头和报警系统。此外，在非HTTP场景中，研究展示如何利用PROXY协议将超过350台SMTP服务器转变为开放中继，使攻击者能够以任意发件人地址发送垃圾邮件。论文核心贡献在于：首次系统性揭示PROXY协议因配置不当导致的严重安全问题，影响多种广泛使用的协议（HTTP、SMTP等），并给出测量方法和利用思路，旨在提醒运维人员重视PROXY协议的安全配置。适合网络安全研究人员、SOC分析师、代理服务器管理员及云基础设施安全团队阅读，以理解该协议的攻击面并采取缓解措施。

该论文聚焦软件供应链（SSC）安全中的透明度问题，指出现代软件实践依赖的 SBOM（软件物料清单）及其工具虽然被引入作为确保供应链透明度的基础组件，但存在严重局限性：其漏洞检测与解释能力不足以说明可沿整条供应链传播的漏洞可利用性效应。为了弥补这一空白，作者提出一种以“传播”为中心的 SSC 安全研究方法，并引入一个四阶段传播模型：阶段1为结构性暴露（Structural Exposure），阶段2为漏洞类别存在性（Vulnerability Class Presence），阶段3为代码可达性（Code Reachability），阶段4为污点路径分析（Taint Path Analysis）。研究选取 Log4j 漏洞作为测试用例，使用三个开源项目对四款开源 SBOM 工具开展实证评估。结果表明，当前 SBOM 工具仅系统性地支持阶段1和阶段2，而阶段3和阶段4所要求的代码级分析与数据流追踪能力在现有 SBOM 生态中完全缺失。作者因此主张，只有将传播效应置于 SSC 安全研究的中心，才能阻止网络风险演化为系统性风险，并为未来现代 SSC 安全工具的研究与设计提供方向。本文适合软件供应链安全研究者、安全工具开发者以及负责供应链风险评估的蓝队工程师阅读。

该论文针对LLM反编译器评估标准提出质疑。当前LLM反编译器能将机器码还原为代码风格更干净的C代码，评估几乎只看输出是否可以重编译并顺利通过配套的输入/输出测试。作者Leu等发现这种度量会奖励错误轨迹：函数可以重新编译并通过所有提供的测试，却在其他合法输入上行为与原程序不一致；已披露的漏洞可能在反编译代码中悄然消失，崩溃路径完全不可见。为了弥补缺陷，论文提出Decompile-Diverge行为比较方法：它不依赖预先固定或手工构造的测试，而是针对每个函数自动合成驱动，从参考实现中生长模糊测试语料，再将原始编译代码与反编译、重编译后的代码放在同一批输入上，侦测行为偏差。实验涉及8个系统、9个配置，在已有LLM反编译语料上，通过全部测试的候选仍有4.9%在新增输入上与原程序不同，其中单一系统的最大偏差可达13%。在300个真实GitHub函数和287个CVE函数上，可重组性与行为一致性之间存在分离：例如某种基于LLM的修正能使Ghidra的构建率从75%升至90%，但行为匹配率却从74%跌至62%；在披露过的漏洞函数上，最多约一成输出出现'崩溃缺失'，即漏洞不再触发。源码级分析显示，偏差源于LLM新增的字段、类型、被调函数和条件守卫，替代了传统工具遗留的可见未知项。

本文研究多智能体网络中的隐私保护共识问题。在医疗管理、智能电网等信息关键型系统中，基于智能体的系统日益普及，每个智能体可能拥有一个需要对外部观察者隐藏的潜在目标。现有共识算法通常需要智能体间交换状态信息，这可能导致恶意观察者通过推理攻击推断出智能体的真实目标。为此，作者提出了一种名为“信任感知自适应披露”(Trust-Aware Adaptive Disclosure) 的隐私控制框架。该框架的核心思想是基于智能体之间动态的信任关系，自适应地控制消息的披露程度。具体地，它使用一个与信任相关的随机策略来决定每个时刻披露多少信息，从而在共识性能与隐私保护之间取得可调的平衡。实验部分与多个代表性基线方法进行了对比，结果表明，该方法能够显著降低攻击者的目标推断准确率，同时保持具有竞争力的共识效用。本文的主要贡献包括：形式化定义了多智能体网络中的目标推断攻击威胁；提出信任感知的隐私控制机制；通过实验验证了该机制在隐私保护与系统效用之间的有效性。适合对分布式系统安全、隐私增强技术、多智能体协调等方向感兴趣的研究人员和工程师阅读。

本文提出 BUGSTONE-E2E，一种将漏洞历史（尤其是 CVE 修复提交）转化为可执行检测规则并自动化验证的端到端框架。当前公共漏洞数据库虽然记录了已知软件缺陷的类型、影响组件和补丁信息，但这些信息主要用于人工查阅，缺乏自动化复用机制，导致相同的不安全编码模式可能仍存在于未关联 CVE 的代码中。BUGSTONE-E2E 首先从经过验证的修复提交中挖掘可复用规则，内容包括扫描锚点（如函数调用模式）、修复语义（具体代码变更逻辑）以及 CVE 溯源信息，并按 CWE 分类和编程语言组织。检测阶段采用漏斗式流水线：早期阶段以轻量级分析处理大量候选代码，例如使用 Tree-sitter 枚举匹配规则锚点的调用点，并通过无 LLM 调用的启发式方法筛除良性模式；后期阶段则对剩余目标使用越来越强且昂贵的模型。具体地，LLM 智能体依据规则检查候选点，随后系统对幸存对象进行重新分类并构建运行时验证，最终生成经过作用域检查的补丁，并通过双向差分测试进行确认。实验基于 2022 年至 2026 年间 19,325 个高危 CVE，识别出 2,710 个修复提交，构建了覆盖 56 个 CWE 家族的 1,033 条检测规则，并封装为 172 个技能。将这些规则应用于 14 个程序时，系统产生了 644 个具有运行时证据的发现。结果表明，CVE 历史可以转换为可执行的工作流，将过去的安全漏洞转化为可复现的检测与修复机制。该研究适合从事自动化代码审计、漏洞挖掘、AI 安全与软件工程交叉领域的安全研究人员。

在LLM智能体系统中，通常集成了来源追踪、授权、策略执行、协议适配和执行控制等安全机制。然而，单独看起来正确的安全机制并不一定能在组合后形成端到端安全的系统：当动作跨越组件边界时，关键的安全上下文可能被丢弃、扩大、重新绑定，或被重新解释。本文将这种失败模式定义为“安全上下文不连续性”，并提出了CONTINUITY框架，用于智能体安全控制的可验证组合。CONTINUITY为每个组件建立assume-guarantee契约，并通过签名根源授权、来源承诺、角色绑定转移凭证、有界类型释放、转换见证和效果绑定执行许可，在组件间传递经过认证的安全上下文。作者形式化了端到端的后果完整性要求，即每个所实现的外部效果都必须由有效且当前授权见证支撑，该见证关联主体、任务、来源、委托、策略状态、规范化动作和最终边界。文章实现了一个参考验证器和一套确定性的跨层故障注入测试套件，覆盖了四个应用域共32种故障类型。在跨越128个故障域类的2560个参数化攻击实例中，完整的CONTINUITY配置没有造成任何有害外部效果，同时完成了全部700个良性任务，并提升了200个模糊案例的处理能力。结果表明，安全的智能体执行不仅需要各个独立控制机制本身正确，还需要明确的契约来保证这些机制在从指令到效果的完整路径上持续有效。

本文针对企业中员工使用个人生成式 AI 工具（如 ChatGPT、Gemini、Claude）进行日常工作所带来的治理挑战，提出了一种参数化的成熟度模型。作者将这种现象定义为 BYOAI（Bring Your Own AI），它是 Shadow AI 的一种特殊形式，特点是员工通过个人账户在企业的身份与安全控制之外使用这些工具。现有的治理框架大多面向企业统一管理的 AI 工具，无法覆盖员工个人账户下的非托管 AI 使用场景。为弥补这一空白，研究团队通过对文献的系统性综述，构建了风险分类法和框架参与概况。基于此，他们开发了一个参数化治理模型，用于量化治理成熟度对残余风险的降低程度。该模型采用五级成熟度阶梯，并通过一条链条将治理层级与技术控制架构相耦合，使控制层的覆盖范围能够影响最终的安全结果。研究基于 30 个精选记录（包括 24 项研究和 6 份框架文档），发现最突出的风险类别是数据暴露和合规问题，同时框架参与度不一致。研究确立了三个相互支撑的支柱：技术支柱、治理支柱和人员支柱，以提供安全保障。模型结果显示，基于禁止的解决方案在残余风险降低方面几乎等同于基线方案，而基于分层控制的方案能显著降低模型化的外泄风险并提高可执行的覆盖范围。本文的核心贡献在于提出了一个可量化的治理成熟度模型，并为 BYOAI 风险控制提供了系统性的设计思路，适合企业安全架构师、治理合规人员以及研究 AI 治理的学者阅读。

TIER（Threat Implicitness Benchmark）是一个针对大语言模型（LLM）行为安全评估的新型基准。当前主流的安全基准大多依赖二元指标（如拒绝或遵从），忽略了模型在面对不同威胁隐含程度的恶意提示时的行为差异。TIER 填补了这一空白，它系统性地将威胁划分为四个风险领域和四个威胁等级，范围从直接的恶意请求到复杂的越狱（jailbreak）提示。评估采用六标签行为量表，并由两个独立的 LLM 裁判对模型回应进行标注。研究者对六个开源权重 LLM 进行了实验，发现模型的安全行为并非从拒绝到服从的简单切换，而是随威胁等级上升呈渐进式演变；上下文相关提示（contextual prompts）能诱发最多样的行为，而越狱攻击则暴露了最大的鲁棒性缺口。此外，具有相似攻击成功率（ASR）的模型可能表现出截然不同的行为分布，这凸显了仅看攻击成功率的局限性。TIER 为安全评估提供了更细粒度的行为视角，适合 LLM 安全研究员、红蓝队工程师以及安全评测平台设计者阅读，以设计更细致的评估方案并理解模型安全行为的渐变规律。

本文提出一种面向鲁棒无载体语言隐写术的新型框架，旨在解决现有方法在词级和句级文本扰动下可靠性不足以及变长编码方案易受比特滑动（bit-slippage）影响的问题。传统语言隐写术多依赖token级操作，对文本扰动敏感，且变长编码在微小扰动下会导致嵌入与提取比特序列失同步。该框架创新性地将秘密消息编码为句子嵌入空间中的层次聚类路径，而非在token空间操作，从而增强对词级和句级扰动的解码稳定性。同时，作者引入全局重同步机制（GRM），将变长比特流重构为锚定在语义子空间中的离散符号，使局部嵌入失败与全局消息恢复解耦，有效解决比特滑动问题。实验表明，在词级和句级扰动下，该方法显著提升了鲁棒性，同时保持了有效的嵌入容量，并展现出对统计分析的强抵抗力。本研究为自然语言隐写术提供了新思路，适合对隐蔽通信、对抗样本鲁棒性和嵌入表示学习感兴趣的研究者阅读。

该论文提出 ReCAST（Restoration-aware Cascaded Stage-wise Training）框架，用于解决中文短信中混淆文本的风险分类问题。研究背景是：欺诈短信通过精心设计的混淆策略（如谐音、形近字、插入符号等）隐藏风险关键词，同时保持人类可读性，导致传统的直接分类模型在生产环境的延迟和吞吐约束下性能脆弱。核心问题是：如何在保持小模型可部署性的前提下，提升对混淆短信的鲁棒识别能力。方法上，ReCAST 采用知识蒸馏与级联阶段训练：首先让大型教师模型学习去混淆任务，包括混淆片段检测、混淆类型预测和文本恢复；然后将这些能力蒸馏到较小的学生模型中，使学生模型具备恢复感知能力，并基于恢复后的语义进行风险分类。实验基于内部构建的真实中文短信基准，结果显示 ReCAST 在混淆场景下显著优于直接训练的基线模型，表明恢复感知蒸馏为生产环境下的短信风险分类提供了一条实用路径。该工作的贡献包括：提出了针对中文短信混淆的细粒度监督任务组合，设计了多阶段蒸馏训练流程，并在真实数据上验证了有效性。适合阅读的人群包括短信安全风控工程师、NLP安全研究人员以及关注模型轻量化部署的 AI 安全从业者。由于目前仅基于摘要，未获取全文实验细节，所有结论局限于摘要所述内容。

本文针对长时运行的有状态 LLM 智能体（agent）提出“执行状态遗忘”（execution-state unlearning）问题。这类智能体不仅保存对话记录，还累积了压缩摘要、明文记忆、待执行的工具计划，以及每次服务 API 下的 KV 缓存。现有的“遗忘”操作通常只是删除一条明文记忆记录即停止，导致由被撤销信息派生出的所有产物（如缓存中的隐式表示、后续推理结果）依然保留，无法真正实现“像从未见过该目标一样”的行为。作者将智能体运行时建模为确定性转移系统，严格证明了三个关键事实：一是目标注入前的轨迹前缀与反事实世界共享，无需重算；二是目标注入后的后缀在缺少 token 级归因的情况下必然被污染；三是精确遗忘至少需要 T-τ+1 次重算转移（τ 为目标注入步）。基于此理论下界，文章提出“来源引导的选择性重放”（Provenance-Guided Selective Replay, PGSR），作为一种跨层契约，同时作用于提示词、压缩记忆和 KV 缓存：通过来源图定位注入点，用检查点恢复裁剪 KV 缓存，再用净化后的重放重新生成反事实后缀。实验在三个智能体套件、九个基线和三个模型家族上进行，采用诱导、随机和无字符串行为测试评估。结果表明：仅删除记忆的基线无法降低泄漏；基于指令的遗忘在诱导测试下完全失败（Leak@probes=1.00）；源文本删除仍会在 80% 的回合中影响被撤销的偏好；而选择性重放与完全重置难以区分，并且重算 token 数最多降低 9 倍。研究贡献在于形式化定义有状态 LLM 智能体的精确遗忘、证明计算下界，并提供一种高效的跨层实现方法。适合关注 LLM 隐私合规、智能体安全与记忆管理的安全研究员和工程师阅读。

针对勒索软件频繁使用加壳、混淆、进程操控和运行时逃逸等多种手段的问题，常规多模态检测方法通常对所有样本无差别地使用全部模态，导致不必要的计算开销和延迟。本文提出一种成本感知的分层多智能体系统（HMAS），用于自适应的勒索软件检测与家族归因。该系统将多个专业智能体组织为分层域控制器，并由元编排器统一协调。检测流程以静态分析作为初始的低成本模态，仅在低置信度或专家智能体出现分歧时，才按需调用动态分析和内存取证等额外模态。引入成本模型，综合考量模态使用率与处理开销，使编排策略能在分析精度与计算成本之间取得平衡。对于少部分疑难样本，系统使用本地部署的大语言模型进行验证，但不会替代既有的确定性流水线。实验在二分类检测和多分类家族归因任务上，将自适应HMAS与仅静态、静态+动态以及穷举分析策略进行了对比。结果表明，完整的HMAS在二分类检测中达到96.57%的准确率、0.96的F1分数和0.99的ROC-AUC；家族归因的宏F1达到0.90。同时，相比穷举分析，HMAS将平均分析成本降低了43.97%，平均分析延迟也显著下降（使用LLM的场景除外）。路由分析显示，56.05%的样本可仅通过静态证据完成判定，只有4.33%的样本需要完整的模态流水线。这些发现表明，自适应HMAS能够为勒索软件分析提供精度与成本之间的良好权衡，同时支持异构化和不完整模态的输入。

全同态加密（FHE）允许在加密数据上直接进行计算，从而在数据分析全过程中保护隐私。然而，FHE 的执行速度远慢于明文计算，且近年来计算加速取得进展后，性能瓶颈逐渐转向内存层级——FHE 会将数据规模放大数个数量级，导致算术强度极低。针对这一内存瓶颈，本文提出 BXT 优化框架，包含四项关键技术：(1) 密文压缩：在执行过程中从种子数据重新生成密文组件，减少静态存储开销；(2) 密文序列化：将系数打包为位数组，并在 L2 到 L1 数据传输时解包，提升缓存利用率；(3) 延迟种子生成：将 PRNG 密集型离线工作推迟到聚合操作之后，降低冗余计算；(4) 密文数字剪枝：结合面向 Universal FHE 的容错感知训练，在精度损失可控前提下压缩密文位宽。实验基于 CNN 推理，采用 BXT-CSO50 配置，在 100x GPU 基线上实现了最高 3.8 倍加速，且在 50% 比较精度下准确率损失小于 1%。该研究面向 FHE 系统设计者与隐私计算加速领域的研究人员，提供了一种从内存子系统切入的系统级优化思路，可与现有计算加速器协同工作。

本文提出了一种名为 BKPIR 的新型关键词隐私信息检索（Keyword PIR）方案，旨在解决现有 Keyword PIR 方案难以支持布尔检索模型的问题。在实际应用场景中，用户往往需要通过逻辑组合（如 AND、OR、NOT）来精确表达查询意图，而现有方案通常仅支持简单的单关键词匹配，无法满足这一需求。BKPIR 利用同态相等操作（homomorphic equality operations）作为底层密码学原语，设计了一种能够在数据库中的多对多关键词-值映射上实现隐私保护检索的方法，同时支持布尔运算符，从而表达更丰富的搜索逻辑。该方案在扩展检索能力的同时，保留了经典 PIR 的核心安全保证，即服务器无法获知用户查询的具体内容或检索结果。作者声称这是首个将关键词 PIR 与布尔检索模型进行集成的工作。实验评估表明，BKPIR 实现了通信开销的降低，其效果与多对多数据库中值的总数成正比；同时，聚合查询的处理性能也随着值数量的增加而线性提升。这些优势增强了其在真实世界场景中的可行性，例如隐私保护的网页搜索和专利检索。总体而言，该研究在理论上填补了关键词 PIR 在布尔检索模型上的空白，并通过实验验证了其效率优势，适合对隐私信息检索、同态加密应用及隐私保护搜索技术感兴趣的研究者和安全工程师阅读。

随着基于大语言模型（LLM）的AI智能体（agent）越来越多地以自主方式相互交互、协作和委派任务，传统安全边界被打破，攻击面显著扩大。行业指南（如OpenAI白皮书）强调用户必须对智能体全生命周期保持控制与监督，以避免恶意智能体造成损害。然而，现有智能体系统设计虽涉及身份、授权与委派等概念，大多停留在理论层面，缺乏具体实现和评估，尤其未能实现用户可控的智能体管理。Google的A2A协议虽引入去中心化身份与加密通信，但缺少策略执行和运行时交互调解机制。为填补这一空白，论文提出SAGA——一种可扩展的智能体系统安全治理架构。SAGA要求用户及其智能体向一个中心化的Provider服务注册，该服务维护用户与智能体的元数据，并促进受控的通信建立。用户通过为智能体定义访问联系策略（Access Contact Policy）来控制谁能与其智能体交互；策略在智能体间通信时由系统协助强制实施。SAGA引入了一种基于密码学的访问控制令牌派生机制，能够对智能体与其他智能体的交互实现细粒度控制，并提供形式化的安全保证。论文在多种智能体任务、不同地理位置、以及多种端侧与云端LLM环境下进行了评估，结果表明SAGA在广泛条件下仅引入极小的性能开销，不影响底层任务效用。SAGA使得在敏感环境中安全可信地部署自主智能体成为可能，有助于推动该技术的负责任应用。本文适合关注AI智能体安全架构、身份认证与访问控制、以及策略执行机制的研究人员与安全架构师阅读。

本文提出了一种名为 ProtocolGuard 的新型漏洞检测框架，用于检测网络协议实现中的协议不合规（non-compliance）缺陷。这类缺陷通常源于开发者在实现协议规范时对状态转换、字段约束或时序逻辑的错误理解，可能导致安全问题或功能异常。ProtocolGuard 的核心思路是将大语言模型（LLM）引导的静态分析与动态验证相结合：首先，利用 LLM 从协议描述和代码中提取协议状态机、消息格式及合规规则，并生成候选的不合规路径；其次，通过静态分析在源码层面定位与候选路径相关的关键代码位置，减少误报；最后，借助动态验证实际执行这些路径，确认是否真实存在不合规行为。该方法避免了传统模糊测试对协议语义理解不足的问题，也弥补了纯静态分析在逻辑验证上的局限。文章通过实验证明了 ProtocolGuard 在多个真实网络协议实现中发现不合规缺陷的有效性，并展示了其比现有方法更高的检出率和更低的误报率。该研究的核心价值在于为协议安全分析提供了一种可扩展、可自动化的人机协同思路，使安全工程师能够更高效地审计复杂的协议实现。适合协议安全研究人员、静态分析工具开发者以及负责网络组件安全审计的蓝队人员阅读。

该论文提出了一种从协议规范文档（RFC）中自动提取有限状态机（FSM）的数据驱动方法，并将其应用于自动化攻击发现。网络协议的安全验证通常依赖攻击者合成或基于模型的模糊测试，但这些技术需要协议的正式表示，通常为FSM。然而，许多协议仅以英文散文形式描述，手工构建FSM耗时且易出错。为此，作者设计了一个混合流水线，包含三个关键步骤：第一，面向技术语言的大规模词表示学习（如word2vec）；第二，聚焦的零样本学习，将协议文本映射为独立于协议的信息语言（protocol-independent information language）；第三，基于规则将这种信息语言转换为特定协议的FSM。该方法在六个不同协议的RFC上验证了泛化性：BGPv4、DCCP、LTP、PPTP、SCTP和TCP。作者以TCP和DCCP为案例，演示了从RFC提取的FSM如何用于攻击合成。实验表明，仅依靠RFC这样的文本规范就能实现针对协议的自动化攻击者合成，有助于提高协议实现的安全性与鲁棒性。该工作主要面向网络安全研究员、协议开发者以及自动化安全分析工具的建设者，旨在减少协议形式化建模的人工负担，并提升攻击发现技术的可扩展性。

该论文针对 GitHub Copilot 这一人工智能代码补全工具所生成代码的安全性进行了系统评估。研究动机在于，随着开发者越来越多地使用大语言模型（LLM）辅助编写代码，其输出可能隐含安全漏洞，而开发者往往因信任或疏忽而直接采用。作者构建了一个包含常见漏洞场景（如缓冲区溢出、SQL注入、命令注入等）的基准测试集，通过向 Copilot 输入相关提示，分析其生成的代码中是否包含可被利用的弱点。实验在多种编程语言和风险场景下展开，重点考察了提示的措辞、上下文、开发者意图等因素对生成结果安全性的影响。研究发现，Copilot 在大约 40% 的情况下会生成易受攻击的代码，且在某些安全关键的上下文中（例如使用不安全函数时）失败率更高；同时，生成代码的漏洞类型与 CWE（常见弱点枚举）能够对应。论文还探讨了开发者过度信任此类工具的风险，并讨论了简单的缓解措施（如安全感知的提示工程）对降低漏洞率的有限效果。该工作为 AI 辅助编程的安全影响提供了实证基础，对安全研究者、AI 模型开发者以及广泛使用 Copilot 的软件工程团队均有参考价值。

该论文提出 SENTINEL-RL，一种用于安全运营中心（SOC）的智能体架构，旨在克服大型语言模型（LLM）智能体在自主威胁分析中的两个核心局限：有限上下文窗口难以承载大规模认证图，以及自由文本生成无法保证推荐动作与网络拓扑的一致性。SENTINEL-RL 将拓扑推理与语义推理解耦：通过异构图表征编码器将实时认证子图压缩为固定维状态，使用近端策略优化（PPO）策略将状态映射为受限的调查动作集合，LLM 主体仅被限制为消费策略的推荐并生成分析师可读的叙述，且由评论员模型把关。作者在 LANL 综合多源网络安全事件数据集和印第安纳大学 Quartz HPC 集群上进行了实验，报告了四个主要结果：(i) 两阶段 CREATE 摄取模式可在单台 32 核节点上于 14.2 分钟加载包含 2400 万条边的认证子图，比经典 MERGE 管线快约 24 倍；(ii) 滑动窗口告警引擎在 50 次试验中可靠地在不超过 2.5 秒内触发 25 事件/10 秒阈值；(iii) PPO 经过 200 次迭代收敛，平均回合回报 8.74±0.31，在标记红队事件上的保持精度为 0.91，召回率为 0.87；(iv) 完整检测-调查-推荐-人工审批循环的中位数耗时为 6.3 秒。论文还贡献了可复用的工程模式（如热节点死锁规避）、可移植的 HPC 部署模式（锚点节点共置），并提供了涵盖误报经济学、可逆性保证、审计合规性和人工审批边界的企业就绪性分析。适合关注 LLM 智能体在安全自动化中的应用、图神经网络与强化学习结合的防御性安全研究者和 SOC 架构师阅读。

本文针对基于大语言模型的AI智能体在自动化漏洞修复评估中存在的效度威胁问题开展研究。作者指出，现有评估方法通常仅通过让补丁接受原始PoC（概念验证）输入不再触发崩溃来判定补丁有效，但这种验证方式存在两个主要缺陷：一是智能体可能直接复现历史开发者补丁，即存在"补丁记忆"问题；二是智能体可能仅针对崩溃堆栈进行表面修补，抑制崩溃现象而未真正修复漏洞根因。为量化这些影响，作者首先提出一种补丁相似度度量方法来检测记忆补丁，实验发现平均25%的智能体补丁与历史开发者补丁高度相似，证实了补丁记忆的严重性；同时观察到智能体常利用基准测试结构，通过修改崩溃堆栈相关位置绕过验证而非定位并修复根因。为解决上述问题，作者提出新型基准PatchBench，其选取真实修复代码位于崩溃堆栈之外的历史漏洞，通过漏洞移植与代码变异将漏洞迁移至新的仓库上下文，从而降低表面修复和补丁记忆风险。同时，作者设计了更完善的补丁验证方法，从安全正确性与语义正确性两方面全面评估智能体补丁。在11个最先进智能体（包括AIxCC竞赛前三名）上的实验表明，仅基于PoC的原始验证平均将智能体修复成功率虚增1.83倍。研究结果揭示了当前修复型智能体的关键局限，并指出了未来更可靠漏洞修复的研究方向。本文适合LLM安全研究、软件漏洞自动化修复系统开发及大模型评估基准设计等领域的人员阅读。

该论文针对后量子密码（PQC）迁移中硬件实现的安全验证盲区展开研究。由于硅片一旦流片后无法远程修补，标准验收测试（如已知答案测试 KAT）的覆盖率不足可能带来致命缺陷。作者指出，在 ML-DSA 签名算法中，拒绝采样循环会根据输入消息动态调整执行路径，而 KAT 仅使用固定向量，只能触发特定深度，无法覆盖所有可能存在缺陷的路径。实际案例中，一个名为 ML-DSA 的加速器在全部 KAT 回归测试通过的情况下，仍携带一个因规范检查跑不过块 RAM 延迟而导致的缺陷——最终候选系数的未验证问题直到拒绝循环迭代 5 次时才暴露。作者认为该盲区源于测试仪器本身而非工程师疏忽，单纯依靠人工谨慎无法消除。为此，他们提出以字节级精确的黄金参考模型作为预言机，并结合随机对抗性浸泡测试，迫使拒绝循环突破固定向量限制，从而闭合验证缺口。实验在统一集成 ML-KEM-768 和 ML-DSA-65 的加速器上展开，该加速器采用片上密钥托管，由智能体大型语言模型（LLM）驱动完成从 RTL 设计到 PCIe 启动的全流程，最终在 Kintex-7 XC7K160T 上以 98.5% 的查找表占用率成功部署。实验记录了 232 个日志，其中智能体成功率为 71.6%，且呈现出明显的硬件耦合梯度：在文档和研究类任务中成功率高达 77%–85%，而综合与启动任务仅 50%–53%，作者将其归因于可观测性差异——失败集中在纠错信号仅存在于物理侧的环节。尽管作者本身可靠性一般，但最终产物在全部六项 FIPS 操作上字节精确，且部署基线通过了 779,945 次检查的零失败浸泡测试。该研究旨在将 AI 辅助设计与可审计的硬件验证方法相结合，使信任与作者身份解耦。适合关注后量子密码硬件实现、AI 辅助芯片设计以及硅前验证技术的安全工程师与硬件架构师阅读。

本文由 Arslan Brömme 撰写，是一篇立场与架构论文，针对自主AI代理在相互通信、调用工具、交换中间结果及请求人工审批等流程中产生的全新审计难题。核心背景是 2026 年 OpenAI/Hugging Face 事件所暴露出的痛点：组织在事后难以准确重建“发生了什么、何时发生、涉及哪个代理或人类、适用哪条控制策略、记录是否被篡改”。为此，作者提出一种产品与供应商中立的黑盒架构，用于代理化过程的可审计性。该架构通过区块链锚定密码学承诺，覆盖选定的代理通信、人在回路审批、工具调用及过程工件，同时避免将敏感内容上链。文中定义了一个证据模型，将时间锚定和工件的完整性证明与事件排序、捕获真实性、授权锚定和因果可追溯性等属性区分开来；后几类属性需要额外的架构控制才能实现。论文进一步讨论了该架构在治理、风险与合规（GRC）中的实际用途，包括合规测试、基于风险的证据抽样、证据流监控、事件重建以及面向欧盟《人工智能法案》、NIS2 和《网络弹性法案》(CRA) 的监管报告准备。值得注意的是，作者声明本论文不提供实证性能或安全评估，且该方法并不能阻止代理的不当行为或证明语义上的真实性，其目标是强化后续验证关键过程痕迹的证据基础。读者适合关注 AI 治理、审计、区块链应用及代理系统安全的研究人员、合规工程师与安全架构师。

现代AI agent harness（智能体框架）通过“生命周期钩子”机制将Shell命令绑定到会话开始、工具调用和文件编辑等运行时事件。这些命令通常以宿主主机权限执行，但它们作为钩子配置分发，且可能在大型语言模型（LLM）从未感知的时刻被触发。本文指出，harness对钩子更新路径的“盲目信任”构成了一个全新的攻击面。在供应链威胁模型下，攻击者只要能够控制插件的元数据和生命周期钩子配置，就可以通过一次“良性更新”将原本有效的插件特洛伊化——在用户毫无察觉的情况下，把攻击者选定的恶意命令绑定到正常事件上，最终导致权限提升等恶意的宿主侧行为。针对该问题，作者提出了HookPry——一个开源且完全自动化的攻击框架，能够在异构AI agent harness之间系统性地利用该脆弱性。HookPry实现了十个攻击目标，在25种harness与后端组合、1000次端到端运行中，成功攻破了所有七个被评估的harness，单harness成功率最高达92.5%。此外，作者测评了有代表性的防御手段，发现微软Defender对该攻击的检出率为0%，三种静态防御联合后仍漏检47.5%的恶意产物。本文的核心贡献包括：识别AI agent harness中新的攻击表面；提出首个自动化攻击框架HookPry；勾勒出现有检测与防护措施的不足。该研究适用于AI agent框架开发人员、安全运营人员以及所有依赖插件生态的LLM应用团队，警示他们重新审视生命周期钩子的信任边界。

该论文提出了一种名为 Stateless Bernoulli Watermarking（SBW）的新型大语言模型（LLM）文本水印方法，旨在以极低的计算开销实现可靠的模型输出标记与检测。与现有方法如 KGW（基于词汇置换和固定大小绿名单）和 SynthID（基于多层锦标赛）不同，SBW 通过独立的逐 token 伯努利试验来确定每个 token 是否属于“绿名单”，无需维护全局置换或状态。其核心创新在于仅需对每个 token 进行一次基于计数器随机数生成器的比较即可完成绿名单判定，将成员复杂度降至 O(1)，并支持单内核执行且无中间分配，从而显著提升推理速度。论文证明，该无状态方案在统计上保留了与固定大小绿名单相同的检测保证，即在原假设下 z 分数服从标准正态分布。这一架构还带来了已有方法无法实现的新能力：全词汇自盐（self-salt）水印，其速度比 KGW 的自盐方法快 6000 倍以上，比 SynthID 快 2 倍（尽管因使用候选相关种子而偏置了整个词汇表），并天然兼容分布式推理。在端到端生成基准测试中，SBW 在所有批处理大小下额外开销低于 1%。此外，论文首次提出哈希函数设计是影响水印质量的一个先前未被探索的维度，并展示其提出的 GPU 原生 Jenkins 哈希可将零假设校准提高 1.8 倍，同时生成更多样化的文本。实验涵盖两种种子方案和八种 (γ, δ) 配置，结果表明与现有方法在统计上等价，ROC-AUC 差异低于 0.01。该工作适合研究 LLM 水印、生成内容溯源和模型治理的研究人员阅读。

该论文研究了个性化大语言模型（LLM）智能体的隐私泄露风险。随着LLM智能体将用户记忆转化为压缩或结构化表示（称为用户模型）以指导后续决策，尽管源文本在普通接口可达的状态中被移除，此类模型仍被视为具有更好的隐私保护性，因为直接的内存提取攻击无法获取原始文本。然而，作者指出用户模型暴露了新的攻击面：攻击者仍能从被其影响的个性化行为中恢复私有信息，即使源记录和后端状态不可访问。为此，论文提出UMPeek，一种基于假设引导的自适应探测黑盒攻击方法。UMPeek通过请求中留下的开放选择形成假设，在多个普通后续任务之间切换，并仅保留被可见行为支持且未被反驳的声明。作者在多种个性化任务和用户模型后端上进行了广泛的基准评估，并在真实系统中使用已确认保留的信息进行验证，同时评估了防御措施对自适应探测的抵抗能力。实验结果表明，UMPeek在基准测试和真实世界比较中均优于现有攻击，并能在响应级防御下继续恢复用户信息，证明当保留信息影响可见行为时，仅使记录和后端状态不可访问并不能保证语义隐私。

该论文针对大型语言模型（LLM）面临的越狱攻击问题，提出了一种名为 AlcaTRAz（Anchored Tree-Rule defense Against jailbreaks）的提示词级别防御方法。越狱攻击通过精心构造的输入绕过模型的安全对齐，而现有防御大多依赖访问模型权重或内部状态，难以应用于黑盒部署场景。AlcaTRAz 仅操作输入文本，无需修改或重训练目标模型，因此可适配黑盒 API 服务。其核心思想是自动学习一种可迁移的变换规则，在选定位置插入受控的字符级扰动，从而破坏越狱攻击所依赖的结构规律，同时在良性查询上尽量保持模型的原始功能。作者在 33 个开源权重模型、22 种越狱攻击类型以及一个短单轮良性问题基准上进行了评估，并与三种代表性的提示词级别基线防御（Llama Guard、RA-LLM、Goal Prioritization）进行对比。结果显示，AlcaTRAz 在 73.4% 的模型-攻击组合中取得了最佳的综合安全性与功能性得分；在未防御情况下，聚合分数众数为 10（对恶意请求给出最大严重性响应），而采用 AlcaTRAz 后下降到 2（接近拒绝回答）。同时，良性查询的平均得分仅从 8.62 降至 8.35（0-10 量表），差距在 0.27 分以内。尽管 AlcaTRAz 显著降低了越狱成功率，但并未完全消除，仍存在高严重性残留，且未考虑自适应攻击者。因此论文将 AlcaTRAz 定位为深度防御体系中的一个环节，而非独立保证。该工作适合 LLM 安全研究者、红蓝队人员以及需要部署轻量级输入防御的工程团队阅读。

本文研究了检索增强式文生音乐（Retrieval-Augmented Text-to-Music, TTM）系统面临的一种新型数据投毒攻击。此类系统在用户提示词不明确时，会从音乐描述数据库中检索相关文字描述（caption）来增强提示，再交由生成模型创作音乐。这种架构引入了对音乐知识数据库的完整性依赖：数据库中的描述信息可能被恶意利用。作者提出一种名为“音乐描述投毒攻击”（caption poisoning attack）的方法，攻击者只需向数据库中注入少量经过精心构造的音乐描述，即可在不修改用户提示词、检索器或生成模型的情况下，使系统检索到恶意描述，从而令提示增强与后续音乐生成结果偏离用户原本意图，转向攻击者预设的目标方向。为实施该攻击，作者设计了一种双层描述投毒策略：第一层保留高层的检索锚点，确保恶意描述在检索阶段有机会被命中；第二层注入低层的声学描述符，用以操控提示增强过程，引导下游音乐生成朝向攻击者选择的意图。实验基于MusicCaps知识数据库、CLAP检索器与MusicGen生成流水线开展，结果表明，投毒后的生成结果在语义和声学特征上显著接近攻击者目标，同时又能与用户原始查询保持相当程度的一致性，说明攻击具备隐蔽性。该成果揭示了检索增强式创意AI系统面临的实际安全与完整性问题，提示此类系统的数据来源可信度至关重要。适合AI安全研究者、音乐生成系统开发者及关注数据供应链安全的下游应用方阅读。演示见项目主页。

本文围绕城市感知场景中的隐私保护问题展开研究。现实中有大量服务型公司（如网约车、电商物流、外卖配送）愿意利用其车辆装备传感器，以低成本、大规模地采集交通拥堵、行驶时间、路面质量、空气质量等城市数据。虽然这些细粒度数据具有巨大的分析价值，但原始传感数据也会暴露车队的位置和规模，属于敏感商业信息，一旦泄露会给竞争对手带来不当优势（例如 Uber 与 Lyft、Amazon 与 Alibaba 之间的竞争）。为此，论文提出一个结合高斯过程回归（GPR）插值、差分隐私（DP）和安全两方计算（2PC）的系统方案：首先利用 GPR 对非全覆盖的传感数据进行空间插值，从而避免直接暴露精确采样点；随后通过差分隐私机制对聚合查询结果添加噪声，保证单车或局部车队的信息不被推断；同时采用安全两方计算协议，在多个参与方之间实现数据处理而不泄露中间值。该系统允许客户端（如普通用户）在不暴露自身位置和偏好的前提下，获得有用且隐私受保护的服务。作者特别强调，系统在计算与带宽开销方面足够高效，可适配资源受限的移动客户端。为了演示端到端可行性，他们构建了一款示例 Android 应用，能为给定起终点提供隐私保护下污染最少的路线选择。整体来看，论文的核心贡献是提出一套面向服务车队测量数据的实用隐私保护框架，在数据效用、车队隐私和客户端隐私之间取得平衡，并通过原型系统验证了其性能与可用性。适合关注物联网隐私、移动感知数据安全、差分隐私应用及安全多方计算工程化的研究人员、隐私工程师和数据平台架构师阅读。

该论文聚焦于 Nakamoto 共识（NC，最早由比特币实现）中固有的安全性与性能之间的权衡问题。尽管后续出现了众多替代共识协议，NC 仍是加密货币领域最具影响力的共识协议，但其安全性要求（如出块间隔、区块传播时间等）限制了系统的吞吐量和交易确认延迟。现有研究大多尝试修改或放弃 NC 的主链协议来打破这种权衡，而本文则另辟蹊径，指出网络层才是关键瓶颈。作者通过实验识别并证明，区块传播延迟的根源在于区块中包含的尚未完全传播到全网（未传播）的交易，这些交易拖慢了区块的传播速度。为此，本文提出一种两阶段确认机制，只对已经完整传播到网络中的交易进行确认，从而在不降低安全性的前提下解除 NC 性能上的限制，释放其潜在吞吐能力。基于该机制，作者提出了 NC-Max 协议。安全性分析证明，NC-Max 相比传统 NC 能提供更强的抵抗交易扣留攻击（transaction withholding attack）的能力；性能评估表明，NC-Max 能够利用网络支持的全部吞吐量，同时在保证安全的前提下，将交易确认延迟缩短为传统 NC 的 1/3.0 至 1/6.6。NC-Max 已在公开的无许可区块链 Nervos CKB 上实现。该研究适合对区块链共识算法、网络安全、以及加密货币性能优化感兴趣的研究者和工程人员阅读，尤其对希望在不牺牲安全性的前提下提升系统吞吐量和降低延迟的区块链平台设计者具有参考价值。

本文提出并开源了一个名为 DNAS-Bench 的确定性基准框架，用于评估生物安全筛选软件（BSS）在核酸合成订单审查中的鲁棒性。研究背景是合成生物学和生物制造快速发展，恶意行为者可能利用商业 DNA/蛋白质合成管线获取受管控的遗传序列，从而降低制造生物武器的门槛。现有 BSS 系统虽能标记潜在恶意订单，但其行为缺乏系统性的、可重复的评估标准。作者构建了首个确定性基准，可针对特定核酸序列以及恶意基因组的目标区域，测试 BSS 的标记行为与潜在盲区，从而帮助判断某一 BSS 是否适合特定生产管线。论文还引入了一个基于 HHS 和 USDA 选择剂与毒素清单的操纵基因组数据集。实验结果显示，SeqScreen 在数据集上标记了 42% 的序列为恶意，而 Commec 标记了 10.2%。在多种操纵策略中，简单方法如将序列用重复核苷酸填充至原始长度的 1.5 倍，其平均检出率仅比嵌入恶意序列到良性基因组背景等复杂方法低 0.75 个百分点。与 BSS 开发者的先前报告一致，当输入序列长度低于临界阈值（通常为 50–100 碱基对）时，检出率急剧下降。在威胁模型下，这意味着攻击者可将目标基因组分割成短于 50 bp 的片段以绕过多数现有防护。片段级分析进一步揭示，SeqScreen 对某些毒素区域完全无法检出，而其他恶意基因组即使在 30–50 bp 片段下仍可被检测。作者开源了框架（GitHub 链接），但出于伦理考虑，数据集需要申请获取。该研究为评估和开发下一代生物安全筛选工具提供了可复现的基准，适合生物安全研究员、合成 DNA 供应商的安全工程师以及关注新兴技术风险的政策制定者阅读。

本文研究家庭机器人在仅在本地位保留原始传感器数据的情况下，其导出的结构化感知表示仍可能造成隐私泄露的问题。作者指出，即使原始数据不出本地，机器人为了导航、规划、云服务、日志或学习而导出的结构化表示，仍可通过语义、几何、空间结构和任务目标等维度，推断出家庭内的敏感信息。为此，他们提出任务功能感知蒸馏（Task-Functional Perception Distillation，TFPD）框架，该框架在本地保留丰富感知信息，同时依据任务效用、直接暴露和多种残留推理风险对下游导出内容进行刻画和约束。实验基于120个AI2-THOR场景，使用场景不重叠的训练/验证/测试划分、冻结攻击者选择以及感知感知的保留攻击，评估导航、碰撞检查和物体目标执行任务。结果显示，三种导航导出在成功率和平均路径比值上完全一致（成功率1.000，平均路径比0.898），但表征层面的可链接性从0.532到0.970不等，说明任务效用相同不代表隐私风险相同。将显式目标标签替换为目标区域后，目标类别宏F1从1.000降至0.077，而任务成功率仍保持0.995；几何粗化则使物体类别宏F1从0.704降至0.556，但同时带来可度量的碰撞效用损失。在ProcTHOR上的复现验证了导航任务等同性与隐私非等同性这一结论，但归一化导出和拓扑导出的相对排序发生了变化。实验表明，简单地移除字段或增加抽象程度无法产生统一的隐私排序，必须针对完整公共表示进行任务特定、多风险的评估。适合机器人隐私设计者、系统安全工程师以及从事AI与隐私交叉研究的人员阅读。

该论文提出 SafeEvolve，一种面向 LLM 智能体（agent）安全对齐的“经验驱动自进化”框架。研究背景是：基于 LLM 的智能体在完成任务时，其行为由基础模型与交互环境所用的“harness”（即外部工具/提示/技能编排层）共同决定，因此既可能产生有害的最终回答，也可能在多步执行轨迹中出现风险。已有的安全对齐方法要么只更新外部 harness、要么只做策略优化，两者孤立进行时难以将运行时控制与模型内在安全能力有效结合。SafeEvolve 的核心思路是：从智能体自身已完成的对策略（on-policy）轨迹中提取安全经验，形成一个持续迭代的“harness-策略共同进化”闭环。在 harness 侧，它将轨迹级安全证据转化为有界（bounded）、组件级的更新，涉及安全提示（safety prompt）与分层技能（hierarchical skills），使生成的 harness 工件可审计、可回滚；在策略侧，采用两阶段 SFT-RL 范式：先通过“使用 harness 的 SFT”引导策略主动利用进化后的 harness 工件，再通过“harness 增强的 RL”结合验证器分解奖励，塑造智能体在多步探索中的自主安全行为。通过这种共同进化，安全经验被转化为改进的运行时 harness 与更安全的策略行为。实验在多个智能体安全基准上进行，展示了比现有基线更好的安全-效用平衡；例如在 Qwen3.5-4B 模型上，SafeEvolve 在 AgentDojo 基准上将攻击成功率（ASR）降低为原来的 1/3（即 3 倍减少），同时将良性任务成功率从 59.79% 提升至 61.86%。该研究的主要贡献在于提出了一种统一的、可迭代的安全对齐机制，弥补了纯 harness 更新与纯策略优化之间的鸿沟，并验证了“经验驱动共同进化”在复杂 agent 场景中的可行性。适合关注 LLM 智能体安全、对齐技术、可审计 AI 系统的安全研究员与工程师阅读。

本文针对远程模型上下文协议（MCP）服务中，大型语言模型（LLM）智能体调用外部工具时的信任缺口问题展开研究。传统上，服务依赖 OAuth 授权来允许智能体调用工具，但 OAuth 仅完成身份与授权层面验证，无法保证后续工具调用确实由依赖方原本预期的提供端工作负载执行。作者称之为“后授权执行信任缺口”（post-authorization execution trust gap）：例如，授权端点可能被重定向到替换后的工作负载、依赖已过时的评估状态、复用来自其他发送者转移的权限，或历经未声明的下游组件。为弥补这一缺口，论文提出 ACLE-MCP 架构，一种按调用（invocation）为范围的安全设计，将委托授权、工作负载评估和资源端执行准入三者耦合。对于受保护调用，ACLE-MCP 签发短时、发送者约束的能力租约，该租约绑定预期的执行工作负载、新鲜度要求、操作类型、对象与参数边界、下游约束以及接收义务。工作负载执行前，提供者端的“执行门”（Execution Gate）会立即验证并消费该租约。作者实现了一套可运行原型，集成 Keycloak/OIDC 验证、MCP Python SDK 服务器，以及可选的 vTPM 远程证明后端。受控安全实验与智能体工具使用扩展表明：在仅使用较弱授权或仅在连接时进行认证的模式下，多种后授权攻击仍可奏效；而完整的 ACLE-MCP 能够阻断所有评估的攻击家族，同时不干扰良性任务。在本地模拟的智能体扩展中，完整设计相比仅 OAuth 方案，在允许的正常调用上请求级聚合 p95 延迟仅增加 25.7%。实验证明，将调用权威与当前工作负载状态进行执行时刻绑定，是对 OAuth 保护的远程工具调用的实用补充。

本文针对 Linux 内核漏洞利用中抽象策略与具体技术操作之间存在概念鸿沟的问题，提出了一种系统化的漏洞利用原语表征与自动化合成方法。作者首先形式化定义了六类漏洞利用原语，从逻辑能力到可验证效果进行归类；随后提出一种扩展的利用策略表示，将原语升级策略与原语路径代码合成规则耦合，涵盖对象约束、时间顺序、环境前提和验证约束。在此基础上，构建了名为 PrimSynth 的多智能体框架，通过协调多个智能体来发现、验证和合成为 Linux 内核内存破坏漏洞的利用原语。这些智能体以迭代闭环方式运行，直到找到有效原语，并利用验证信号作为可利用状态转换的证据来指导原语合成决策。同时，论文提出了一种基于漏洞定向执行和可重启验证环境的自动化原语提取与验证方法。实验在覆盖 5 种漏洞类型的 16 个真实 Linux 内核 CVE 上评估 PrimSynth，结果表明其能够实现可靠的原语提取，原语匹配率达到 100%；在原语合成方面，当公开 PoC 可用时，多原语利用链的策略合成率（SSR）为 82.4%；在没有原语假设指导时，SSR 为 61.3%。这项研究为内核漏洞利用自动化提供了新的理论基础和系统实现，有助于蓝队深入理解漏洞可利用性评估流程，并可迁移至漏洞验证、补丁有效性测试及安全检测规则生成等场景。

这篇论文提出了一种利用大型语言模型（LLM）自动向 Solidity 智能合约中注入漏洞的方法，旨在解决智能合约漏洞检测工具评估中“带真实标签数据集稀缺且人工构建困难”的问题。作者以 OpenSCV 分类中的 49 种漏洞类型为目标，对来自 SmartBugs 的真实智能合约进行变异注入实验。整个流程包含多阶段验证管道：依次检查合约的编译是否通过、能否正常执行、业务逻辑是否保持一致，以及是否确实存在目标漏洞。实验共生成近 1000 个候选变体，经过去重和验证后，最终得到 32 个确认存在漏洞的合约，覆盖 25 种漏洞类型，存活率仅为 16.58%。存活合约主要集中在结构较为简单的目标合约和具有局部化语法模式的漏洞类型上。论文还报告了实际部署中的挑战，包括 LLM 的非确定性输出以及难以在注入漏洞的同时保持合约原始语义。作者进一步使用这些验证后的漏洞合约对三款静态分析器进行测试，结果显示出各工具之间存在互补性和不完整的覆盖能力。整体结论表明，基于 LLM 的漏洞注入具备可行性，但可扩展性和多样性仍存在明显局限。本文适合智能合约安全研究者、漏洞检测工具开发者以及需要构建高质量基准数据集的安全工程师阅读。

该论文研究可复用智能体技能（agentic skills）带来的供应链安全风险。可复用技能为LLM智能体提供任务流程、工具使用指导和输出约束，但它们本质上是外部化的行为策略。论文提出一种名为SkillShift的黑盒攻击框架，能够在保持技能表面功能（声明的任务和有效输出接口）不变的情况下，隐蔽地重定向智能体的决策朝向未披露的目标。框架通过语义合理的策略编辑、分层验证、失败引导优化和策略压缩等机制，确保攻击后技能的有效性、输出合法性、可迁移性和隐蔽性。作者在智能体商务和软件依赖两个场景中实例化了该威胁，实验表明SkillShift能达到81.33%和63.33%的攻击者偏好选择率，同时保持100%的效用保留率，且冻结的策略无需进一步优化即可跨异质LLM后端和智能体环境迁移。此外，现有安全扫描器无法检测出构造的技能。论文将这一威胁定义为'技能策略完整性'（Skill Policy Integrity），要求技能诱导的策略必须与其声明功能和用户授权目标保持一致。作者呼吁将可复用技能视为策略工件进行行为审计，而非仅依赖静态扫描。本文适合从事LLM智能体安全、供应链安全、红队评估和安全检测研究的从业者阅读。

本文针对大型语言模型（LLM）在再分发、适配和透明API服务场景下所有权难以验证的问题。由于模型可能被微调、量化或通过黑盒API提供服务，传统的基于内部权重或部署记录的验证方式不再可靠，因此需要一种可通过黑盒交互观察的行为签名。现有黑盒指纹方法通常依赖固定查询-密钥关联，将模型身份压缩为少数记忆化关联，与模型日常行为脱节，导致鲁棒性差且容易被察觉。为此，作者提出PROSE（Provenance through Relational Organization of Semantic Expression，通过语义表达的关系组织进行来源验证）方法。PROSE摒弃固定查询集，转而使用目标语义域，并把脆弱的响应密钥替换为模型内在化的语义结构，这些结构表现为域条件的响应行为。指纹不是体现在特定词汇或规定输出上，而是体现在模型如何语义组织其域内结论。具体地，PROSE构建一个私有域特定语义模板库，通过混合微调让模型在结构干净且经过验证的响应中内化这些模板；验证时，通过检测模型对保留的自然查询的响应中是否出现指定结构来判定所有权。作者在多种模型架构、规模和目标域上进行了大量实验，结果显示：在未修改的模型上指纹检测率达100%，且无误报；模型原有能力保持完好；在经历下游微调、量化等修改和输出变换后，指纹依然具有强可检测性。这表明PROSE以分布式、自然诱发的方式在高语义层面表达模型身份，比传统固定指纹更隐蔽、更鲁棒。该工作为LLM模型溯源和知识产权保护提供了新思路。

本文提出 SpiderSapien，一个以客户端为中心的 Web 应用爬虫与安全扫描器，旨在解决现代 Web 应用在客户端侧高度动态和交互性强、导致现有黑盒扫描器无法深入探索深层状态的问题。作者指出，沉浸式交互（immersive interaction）是深度扫描现代 Web 应用的关键，SpiderSapien 通过组合多种高层次的、面向用户的反馈通道，在黑盒爬虫循环中实现了这种交互。其核心贡献包括：1) 新颖的可交互元素检测方法，以及合理的 UI 交互排序策略；2) 利用大语言模型（LLM）自动解决表单填充问题，从而能够可靠地发现并测试现代 Web 应用的深层状态；3) 模块化的设计与抽象层，可作为未来扫描器的构建组件。实验结果表明，SpiderSapien 相比此前最先进的扫描器，在代码覆盖率上平均至少提升 46%；即使与所有其他扫描器的覆盖率并集相比，也仍高出 16%。在漏洞发现方面，SpiderSapien 在 7 个 Web 应用中检测到了 XSS 漏洞，而其他任意扫描器最多只能在其中 2 个应用中检测到 XSS。该研究主要面向 Web 应用安全测试工具开发者、渗透测试研究人员以及关注自动化扫描能力的蓝队防御者。

随着基于大语言模型（LLM）的智能代理（Agent）逐步渗透网络应用，视觉验证码正面临一种新的机械化威胁。以往专用检测器很慢或只处理固定类别，而视觉语言模型（VLM）能类人地看图识字，但每轮都从零开始推理，并不会从接触中积累经验。本论文提出一种可在每次交互中持续学习的验证码求解器架构：它由一个微调的 YOLOv8 快速检测器与一个开放权重 VLM 组成，通过置信度路由器协作，输入仅依赖截图与操作系统输入事件，不接入浏览器自动化或 DOM。在 16 类真实视觉验证码上，该系统获得了 85.4% 的整体准确率与 84.2% 的平均宏准确率，显著优于单独使用任一组件。其核心机制是“自我标注回环”——VLM 对每一个问题生成的答案都自动作为新的训练标签回流给检测器，使检测器逐步学习它原本没有训练过的类别，通常仅需遇到一两次，且无需人工标注。该回环还具备自修复能力：当 CAPTCHA 运营者能针对公开的检测器权重施加对抗扰动，并使其单独准确率降至 0% 时，VLM 的语义标签仍不受扰动影响，检测器借这些标签可快速恢复。论文用一个为期一年的对抗博弈模拟指出，即使运营方每月更换新的抗破解扰动，自适应求解器每一轮都能恢复；用约 70% 准确率的廉价开源 VLM 作为教师，也能达到接近完美 oracle 的强化效果。这个结果打破了“验证码一旦被绕过就会长期难以回归”的传统认知，提醒安全社区：仅仅依靠静态题库或局部对抗补丁不足以对抗能自我进步的机器智能。该研究对 CAPTCHA 服务设计者、风控团队与 AI 安全研究者均有重要参考价值。

本论文研究了一种针对学习型索引结构 PGM-index 的投毒攻击方法。PGM-index 是一种基于最优分段线性近似（PLA）的实用学习索引，通过最小化分段数量来提升查询效率。作者首次探讨了这种最优 PLA 本身对恶意数据插入的敏感性，提出了一种名为 PGM-attack 的高效投毒攻击算法。该算法通过顺序插入精心构造的对抗性键，人为地迫使索引的分段数量急剧膨胀，从而显著增加索引的存储体积和复杂度。为了量化攻击的理论上限，作者还推导了在任意插入操作下分段数量可达的理论上界。实验结果表明，当仅投毒 10% 的键时，PGM-attack 便能将分段数量最多放大 120 倍，索引体积相应扩大。在每一个测试实例上，实例相关的上界与攻击实际达到的分段数量之比不超过 1.92 倍，证明 PGM-attack 至少能达到理论最优攻击效果的 52%，从而验证了攻击的有效性和接近最优性。此外，该攻击还能迁移到其他学习索引结构，尤其是基于 PLA 的索引，其体积会被显著放大。这项研究揭示了即使 PLA 在数学上最优，PGM-index 仍因其优化目标本身而存在内在漏洞，即攻击利用了目标函数中对分段数量的最小化——通过插入对抗样本破坏分段连续性——导致其性能退化。论文呼吁未来设计学习索引时应考虑鲁棒性感知的目标函数。代码已开源。本文适合数据库系统、机器学习安全以及数据可靠性领域的研究者阅读，用以理解学习索引在恶意数据环境下的脆弱性。

本文针对机器学习即服务（MLaaS）平台上生成模型快速普及所带来的合成媒体溯源难题，提出了一种无需修改生成器架构或参数的自引用逆合成框架，用于可解释的AI溯源取证。该框架假设生成器固定（fixed-generator setting），通过联合优化的编码器-解码器对实现自嵌入机制，支持往返一致性验证。具体而言，客户端输入先经编码器处理，再由目标生成器生成高视觉保真度的输出；在取证验证阶段，将重合成图像与查询图像进行一致性分析，以判定查询图像是否源自该目标生成模型。该方法避免了水印嵌入或对生成过程的任何改动。实验结果表明，由编码输入生成的图像在视觉质量上与原始生成器输出相当，而解码后的图像能够可靠地回溯到对应的源输入。此外，该框架为生成内容的来源提供了可解释的证据，为可解释的生成式AI取证建立了实用工具。本文的核心贡献包括：提出一种固定的生成器设置下的溯源取证框架、设计自嵌入与往返一致性验证机制、以及通过实验证明其在视觉保真度和溯源可靠性上的有效性。适合AI安全研究人员、取证分析人员以及依赖生成内容溯源的蓝队工程师阅读。

本文针对基于大语言模型（LLM）的多智能体系统（MAS）在跨组织协作场景下的安全问题，提出了一种隐私保护的拓扑引导安全机制。现有方法通常假设单一运营方可以汇总所有标注轨迹，在全局通信图上训练图神经网络（GNN）以定位高风险智能体并干预拓扑结构。然而在实际跨组织环境中，各参与方持有的数据包含私有提示词、工具输出和专有工作流，无法共享原始数据，且单一站点无法观测完整攻击分布。作者将隐私保护的MAS安全防护形式化为图联邦学习问题，并实现了FGLGuard框架：每个运营方仅使用自身带法官（judge）标注的剧情图，训练基于边特征的图注意力检测器，只上传模型更新而不共享原始图数据。该方法综合了针对非独立同分布（non-IID）客户端的近端局部目标、域平衡聚合、过拒约束下的阈值校准、带印证的上游评分，以及对被阻断回答的受控改写。实验表明，联邦协作并非可选项：现成模型在分布偏移下迁移失效（AUROC仅0.51），域内重训后也仅提升至0.70，因此可部署的防护必须适应各站点私有轨迹。在Agent-SafetyBench、R-Judge和AgentDojo三个基准上，联邦FGLGuard在不汇聚任何数据的前提下，超过了域内集中式训练的上限；无监督异常检测和仅本地训练的防护均失败。当在四个不同领域运营方之间进行联邦时，其AUROC与多域集中式训练仅差0.03，而任何单域防护在其他域上都会崩溃。在AgentDojo上，实时FGLGuard在近乎无防护的效用损失下，将攻击成功率降低了43%，且零API成本、能力损失可忽略。本文的核心贡献在于：首次将图联邦学习引入LLM多智能体系统安全，证明跨组织协作防护在不泄露私有数据前提下的可行性与有效性，并显著优于无联邦或局部训练方案。适合关注LLM智能体安全、隐私保护机器学习及分布式安全防护的研究人员和工程师阅读。

该论文研究的是针对生成式搜索引擎的恶意生成式引擎优化（GEO）攻击的防御问题。GEO 攻击通过改写网页文档来迎合搜索引擎的引用偏好，从而操纵生成式搜索引擎在回答中优先引用或放大特定目标文档。近期的 GEO 方法已从手工改写演变为自动化、智能体化的优化，显著提升了目标文档在生成回答中的可见性。防御此类操纵面临两大挑战：其一，攻击文档与原始文档在事实上保持一致，因此基于事实核查或困惑度过滤的方法难以奏效；其二，攻击所放大的特征同样也是高质量良性内容所具有的特征，难以区分。为此，论文提出 GEO Defender——一种两阶段防御框架，不需要微调目标大语言模型（LLM），而是沿着攻击链进行设计。GEO Defender 包含两个核心组件：Shield Reranker 和 Training-Free Shield Generation（TFSG）。Shield Reranker 在冻结的基座重排器之上学习一个基于偏好的防御性残差，从而在保持相关性判断的同时，将经过 GEO 改写的文档在排序中后移；TFSG 则将防御结果蒸馏到一个自然语言的经验库中，在推理阶段引导目标 LLM 的资料来源选择。论文在两个闭源 SOTA LLM 和三个开源 LLM 上、覆盖七种 GEO 攻击的实验表明，GEO Defender 能够将平均攻击成功率从 50.32% 降至 6.20%，同时保留 94.12% 的良性证据使用率，并保持回答质量，且对未见过的攻击具有良好的泛化能力。该工作为对抗针对生成式搜索的隐形操纵提供了一种无需修改底层模型即可部署的防御思路。

大型语言模型（LLM）的广泛应用带来了生成内容溯源与合规治理的需求。多比特水印技术通过将用户可追踪的身份信息嵌入模型输出文本，能够实现内容来源的精细化追溯。然而，现有方案普遍面临提取准确率、文本质量与载荷容量三者之间的根本性权衡。本文提出一种基于编码载荷扩散的多比特 LLM 水印方案 WeaveMark，旨在同时改善上述多个指标。WeaveMark 通过逐词元多比特扩散提升了载荷容量；采用软判决纠错码提高了提取的鲁棒性；借助无偏多层重加权策略在嵌入水印的同时保持原有文本分布，从而维持文本质量。此外，方案还引入了专用的零比特层，用于可靠地判断文本中是否含有水印，避免干扰多比特解码。实验结果显示，WeaveMark 在长消息和编辑文本场景下性能提升显著。例如，对于 200 个 token 上嵌入 32 位消息的任务，WeaveMark 的匹配率达到 89.8%，而基线 BiMark 仅为 20.8%；在 10% 的词元替换攻击下，对于 200 个 token 上嵌入 16 位消息，WeaveMark 仍保持 86.0% 的准确率，远高于 BiMark 的 30.7%，同时不牺牲文本质量。作者已在 GitHub 公开代码。该研究为 LLM 输出可追溯提供了一种更可靠的技术方案，尤其适合需要高容量、高鲁棒水印的应用场景。

持久化 AI 智能体通过反思、检索与整合构建自传式状态，但这种持久化仅改变信息的可用性，并未提升其认知地位——存储或检索到的内容并不能自动获得有效支持。因此，不受信任的输入、提示注入以及模型自身的推断都可能渗入持久状态，并在后续被系统误当作智能体的过往历史或用户的真实承诺。针对这一风险，论文提出一套类型化来源（typed provenance）与断言护栏（assertion guardrails）机制，用于实现“自传式断言有界性”（autobiographical assertion boundedness）——这是一种系统相对的释放性质，要求任何关于智能体、用户或指定关系的受控声明，都必须满足可接受证据、时间有效性与披露策略。其核心架构包括：类型化来源图，用于区分来源、依赖血统、认知角色、有效性与披露范围；解析器（resolver），负责评估授权状态投影，返回证据状态以及正交的冲突/过时/隐藏标志，并生成受保护的决策见证；生成-验证-修订（generate-verify-revise）中介，在候选语义单元被释放前对其进行一致性检查，并根据策略渲染状态响应。作者在显式假设（提取正确性、谓词正确性、解析健全性、视图去分类、信道中介等）下证明了一个条件性断言有界性契约。实验中，他们构建了24个手工编写的合规用例，相比flat/prior和source-tag比较规则（分别放行19/19和18/19个不安全候选），类型化中介在19个不安全机会中零个未被限定地通过，同时保留了全部5个受支持控制项。这些实验结论验证了解析器和中介的设计义务，但并不构成对语言模型或检索系统的端到端评估。

本文研究大型语言模型（LLM）在微调过程中对齐（alignment）能力意外丧失的问题。尽管对齐训练可以促使模型拒绝回答不道德或有害的问题，但当模型针对下游任务进行微调时，这种对齐可能被削弱，导致模型再次输出有害内容。作者观察到，一个经过对齐的LLM内部存在两个相反的方向：对齐方向和有害方向。模型倾向于沿对齐方向回答问题，而拒绝沿有害方向的查询。因此，他们提出一种恢复方法：通过梯度下降，从原始对齐模型中恢复微调模型的一部分权重参数，以重建被削弱的有害方向。同时引入回滚机制，避免过度恢复并保持下游任务性能。作者在125个微调后的LLM上进行评估，结果表明该方法能将有害率（回答有害问题的百分比）从33.25%降至1.74%，且几乎不牺牲任务性能。相比之下，现有方法要么只能有限地降低有害率，要么显著影响正常功能。代码已开源。

本文提出一种名为 Comet 的高效隐私推理系统，旨在加速基于云平台的大语言模型（LLM）推理服务，同时缓解用户对敏感信息泄露的担忧。当前主流方案采用安全多方计算（MPC）保护推理过程中的数据隐私，但 MPC 需要频繁的服务器间通信，导致显著性能开销。作者观察到 LLM 中普遍存在激活稀疏性——即经过非线性激活函数后，大多数神经元未被激活，其输出为零。基于此观察，Comet 设计了一种准确且快速的预测器，用于预测激活函数输出的稀疏分布；同时引入新的隐私推理协议，利用预测得到的稀疏分布空间局部性，高效且安全地跳过涉及零值的计算。由于这种计算回避策略会破坏 KV 缓存条目的时空连续性，作者提出一种低通信开销的缓存重填策略，合并未命中请求并引入预取机制予以解决。实验基于四种常见 LLM，并与六种最先进的隐私推理系统比较，Comet 实现了 1.87 倍至 2.63 倍的加速以及 1.94 倍至 2.64 倍的通信量减少。本文面向隐私计算、LLM 推理优化以及系统安全领域的研究者与工程师，重点展示了如何利用模型结构特性增强 MPC 方案的实用性。

该论文首次系统性地探索了针对量子电路中门级（gate-level）与脉冲级（pulse-level）接口以及脉冲级量子电路本身的安全攻击。传统量子程序通常基于门级原语定义，但为了提升电路表达能力并支持更优优化，脉冲级电路正被越来越多地采用。攻击的核心思想是利用自定义门在门级描述与其底层的脉冲级实际实现之间存在的不一致性：攻击者通过恶意操纵自定义门规范，可以在量子程序执行时引入隐蔽的异常行为。论文提出了多种攻击类型，包括量子比特掠夺（qubit plunder）、量子比特阻塞（qubit block）、量子比特重排（qubit reorder）、时序失配（timing mismatch）、频率失配（frequency mismatch）、相位失配（phase mismatch）以及波形失配（waveform mismatch）等。作者在真实量子计算机和模拟器上演示了这些攻击，并表明目前大多数量子软件开发工具包（SDK）均易受这类新型攻击影响。最后，论文提出了一套防御框架。该研究对脉冲级量子电路的安全与隐私问题进行了开拓性分析，为未来安全的量子软件开发工具包和量子计算机系统的发展提供了重要见解。适合量子计算安全研究者、量子软件栈开发者以及关注新兴计算平台安全性的安全分析师阅读。

该论文研究离线强化学习（Offline RL）中的轨迹遗忘（trajectory unlearning）问题。离线强化学习利用预先收集的静态数据集训练智能体，在医疗、能源管理等无法进行在线交互的真实场景中具有广泛应用。然而，随着数据隐私法规（如被遗忘权）和安全性需求的增加，需要让已训练的智能体能够快速且彻底地消除特定训练轨迹数据的影响，既要从训练数据集中移除，也要让模型行为上不再体现这些轨迹的知识。现有研究多聚焦于监督学习或生成模型的遗忘，针对强化学习智能体的轨迹遗忘仍属空白。论文提出了 TRAJDELETER，据称是首个面向离线 RL 智能体的实用轨迹遗忘方法。其核心思想是：当智能体遇到与待遗忘轨迹相关的状态时，引导其表现出恶化的性能；而在面对其他保留轨迹时，维持原有性能水平。同时，作者设计了 TRAJAUDITOR，一种简单有效的评估方法，用于检验 TRAJDELETER 是否成功消除了目标轨迹的影响。实验基于六种离线 RL 算法和三个任务展开，结果表明 TRAJDELETER 仅需从头重训所需时间的约 1.5% 即可完成遗忘，平均可有效遗忘 94.8% 的目标轨迹，并且遗忘后的智能体在实际环境交互中仍能保持良好的性能表现。论文还公开了复现包和智能体参数。该工作为离线 RL 的隐私合规和模型安全提供了新的技术路径，适合强化学习研究者、隐私保护工程师以及关注 AI 治理的安全从业者阅读。由于目前仅有论文摘要，所有结论基于作者自述，尚未经过同行评议或独立验证。

本文研究拆分学习（Split Learning, SL）场景下的隐私泄露风险，提出了一种名为 SDAR 的新型被动推理攻击框架。拆分学习被视为传统联邦学习的实用高效替代方案，客户端在本地保留部分模型层（即私有模型）并只与服务器交换中间表征，但已有研究表明恶意或好奇的服务器仍可能推断客户端私有数据。然而，以往攻击方法往往依赖过强假设（如拥有大量同分布辅助数据或可控训练流程）或仅针对易受攻击的简单模型，实用性受限。作者假定服务器是诚实但好奇（honest-but-curious）的，即服务器严格遵循协议但试图从收到的中间表征中学习客户端私有信息。SDAR 的核心思想是利用辅助数据通过对抗正则化（adversarial regularization）学习一个客户端私有模型的可解码模拟器：该模拟器在训练阶段拟合客户端模型的行为，同时借助对抗约束迫使编码结果保留与私有特征/标签相关的信息，从而在推理阶段仅凭中间表征即可重构客户端私有特征；在 U 型拆分学习（U-shaped SL）配置下还可同时推断标签。作者在标准配置和 U 型配置下进行了大量实验，验证了攻击的有效性。实验结果显示，在现有被动攻击难以有效重构私有数据的挑战性场景中（如深层拆分点），SDAR 的重构性能显著优于已有被动攻击，甚至可媲美主动攻击。具体而言，在 CIFAR-10 数据集上，当拆分深度为 7 时，SDAR 在标准 SL 和 U 型 SL 下均能将私有特征重建的平均平方误差降至 0.025 以下，并且在 U 型设置下标签推断准确率超过 98%，而现有攻击方法在此设定下无法产生非平凡结果。本文的研究贡献在于揭示拆分学习在更现实假设下的严重隐私漏洞，对设计安全的拆分学习协议具有警示意义。适合关注机器学习隐私、联邦学习/拆分学习安全的研究人员及安全工程师阅读。

本文针对智能体（Agent）评估中的证据充分性与覆盖范围问题，提出了一套名为 ClaimReceipt 的声明相对收据规范与选择性验证器。研究背景是：在智能体评测中，存在两种不同的证据问题：一是已报告声明能否从保留证据中重新计算得出（充分性）；二是保留的记录是否覆盖了承诺的实验集合（覆盖性）。普通的通用日志和哈希链接记录无法可靠地回答这两个问题。ClaimReceipt 的核心方法是：将类型化的事务证据绑定到一份签名的实验清单上，并为每条声明返回 PASS、INVALID 或 INCONCLUSIVE 三种结果。作者在实现前冻结了规范（SHA-256 哈希为 18d109...b81），以确保规范不被实现细节污染。实验使用 1,392 条历史买方—卖方记录进行验证：CR-2 验证器重现了全部五个手工标注的审计结论，精确重放了 600 条确定性记录和 792 条后生成记录，在测试的消融实验下使全部 13 个声明字段组都保持非冗余，并且对 11/11 个语义故障返回预期结果，同时 0/8 误报。随后，作者进行了前瞻性的 CR-3 时期实验：在推理前承诺 30 项任务，终端收据被签名并链接，私人证据为审计方加密。完整证据得到覆盖性和账目 PASS；扣押一个终端收据返回 INCONCLUSIVE_COVERAGE；而扣押所有私人打开则保留覆盖性和协议验证，但使经济声明变得不确定——这些结果与预注册的预测完全吻合。收据插桩仅增加模型推理时间的 0.021% 和每事务 9.9 KB 的存储开销。规范可读性探针表明，冻结的规范对独立读者而言仍非完全无歧义。结论是，声明验证不仅需要声明充分的证据，还需要一个已承诺的宇宙，使遗漏变得可见。本文适合智能体评测设计者、AI 安全审计人员、以及关注可验证 AI 系统（特别是基于证据的审计机制）的研究者阅读。

长时程智能体（如自动编码代理）执行数千个动作，其故障往往是顺序蔓延而非孤立错误。针对此类场景中的问责、因果追溯和第三方验证问题，论文提出“Agent Flight Recorder”（AFR）：一种面向工具使用型智能体的防篡改审计追踪系统。该系统将智能体的每次操作捕获为一个结构化、规范化序列化的事件，包含从意图到执行至来源的八个语义字段，并通过哈希链与 Merkle 批处理实现篡改证据与紧凑的包含证明。为支持跨组织争议场景且不依赖任何一方的基础设施作为中立仲裁，AFR 定期将纪元根的哈希锚定到区块链上，使任何验证者都能借助公开的载荷和 Merkle 证明独立核验记录，而无需信任第三方中介。链上仅存储 32 字节的纪元根和回指针，事件本体不触碰链。实验基于合成智能体工作负载，评估了五种累积消融配置。结果表明：完整系统每次事件引入的中位延迟仅为约 48 微秒，每事件额外存储 512 字节；在 100 事件纪元的 L2 链上锚定成本约为每 10 万事件 2.30 美元。安全性方面，完整完整性栈可 100% 检测编辑、删除、重排序和分叉类篡改，且零误报。结构化取证查询在护栏（guardrail）与委派（delegation）审计上达到 1.0 的精确率，而对应的非结构化文本检索精确率仅为 0.013 和 0.077。该研究为高水平、可验证的智能体审计提供了新思路，适合对人工智能安全、审计与合规感兴趣的工程师和研究者阅读。

本研究针对 AI 驱动的教育系统在隐私保护与准确认知诊断之间难以兼顾的显著挑战，提出了一种隐私保护的多 LLM 联邦推理框架。传统方法通常需要集中学生原始数据或直接访问商业模型内部，导致隐私风险。该框架允许多个商业 LLM API（例如 LLaMA-3.3-70B、GPT-4o-mini、Claude-3-Haiku）协作，而无需暴露原始学生数据或专有模型内部参数。框架建立在异构多 LLM 架构之上，不同模型各自生成预测结果。为保障隐私，每个实体的预测输出在本地添加拉普拉斯噪声，实现 ε-局部差分隐私，然后再进行聚合；同时采用基于残差的聚合机制来缓解模型异构性带来的偏差。该设计基于诚实但好奇的信任模型，即假定 API 提供商不会滥用提交的查询，同时差分隐私机制能够保护最终的诊断结果免受外部推理攻击。作者进行了严格的隐私-效用分析，证明在获得强隐私保证的同时仅产生极小的精度损失。三个教育基准数据集上的真实世界广泛实验验证了其实用性和跨领域泛化能力。核心贡献在于提出一个通用、可落地的多 LLM 联邦推理架构，在利用多个商业模型集成优势的同时，从算法层面确保了学生数据隐私，为教育场景中人工智能应用的安全性设计提供了新的思路。

这篇论文研究长效 LLM 代理（Long-running LLM agents）中持久内存（persistent memory）的授权状态管理问题。持久内存用于跨交互保存状态，包括权限、限制和撤销记录。作者发现，当内存错误表达不断演变的授权状态时，代理自身的记录可能会授予其历史操作中从未认可的权限，从而导致行为失准，且无需任何外部攻击。他们把这种现象称为“内生授权清洗”（Endogenous Authorization Laundering）：写入内存的伪权限会随着来源（provenance）被冲刷而在下游被当作合法授权执行。为了系统化评估这一风险，他们引入了 EAL-Bench 基准，用于测量持久内存在多大程度上准确保留演变的授权状态，并验证是否错误会传播为下游未授权动作。在采购、网络安全和金融三类任务中，他们评估了 5 个 LLM 作为内存写入器、2 个作为执行器。结果显示：在增量内存更新下，写入器会对高达 50.2% 的未授权请求创建虚假权限；而一旦内存中存在虚假权限，执行器在 98.6% 的试验中都会采取相应行动。论文随后测试了两种防御机制：一是要求存储的权限必须由有效源事件（source events）支持，二是通过有界事件溯源（bounded event sourcing）跟踪权限变更。这两种方案都显著减少了授权清洗，但同时也会拒绝更多合法动作，暴露出安全性与效用之间的权衡。作者强调，持久内存不仅仅是一个性能组件，它实际上是 LLM 代理有效授权策略的一部分，必须将其纳入安全设计考量。本研究适合 LLM 应用安全研究者、代理系统开发者以及负责 AI 基础设施的安全工程师阅读，有助于理解长期运行代理的授权风险并设计相应的防护措施。

本文提出 Modelstamp，一个轻量级 Python 持久化库，旨在解决机器学习模型在反序列化之前的完整性验证与运行时环境状态核验问题。研究背景是：已持久化的 ML 模型可以保持字节完全一致，但其加载所依赖的软件环境会随时间演变，因此仅依赖工件完整性校验无法暴露环境漂移带来的潜在风险。Modelstamp 在持久化阶段为序列化工件生成一个 sidecar JSON 清单，其中包含 SHA-256 摘要、运行时元数据以及有界跟踪包集合中已安装包的版本；并通过单独记录的模型相关子集来决定哪些包版本参与漂移比较。可选支持基于共享密钥的 HMAC 认证，适用于生产者和验证者共享密钥的工作流。在验证阶段，反序列化之前会依据该清单对工件完整性以及表示的当前环境状态进行核查。作者通过 14 个受控环境漂移场景、8 个受控信任边界场景以及 10 MiB 到 1 GiB 的工件大小扩展基准进行评估。受控漂移实验在相关依赖变化、环境不变以及无关环境变化（包括噪声控制）下均按预期运行；信任边界实验也确认了预期检测与预期局限，包括共享密钥伪造和重放。基准测试中，中位验证时间从 10 MiB 时的 0.032 秒增加到 1 GiB 时的 3.334 秒，测量吞吐量约为 307–312 MiB/s。结果表明，Modelstamp 更适合作为反序列化前的参考状态验证控制，而非替代依赖管理系统、恶意模型检测、安全反序列化或公共发布者认证。论文适合关注 ML 供应链安全、模型工件生命周期管理以及反序列化安全的研究人员和工程团队阅读，以便在现有安全控制之外增加一道基于运行时环境状态的预检机制。

本文研究如何利用轻量级本地大语言模型（LLM）进行软件漏洞检测，重点关注源代码输入表示对检测效果的影响。当前多数提示方法直接使用原始源代码，也有部分工作采用抽象语法树（AST）等结构化表示，但AST的冗长性显著增加了输入token数量，可能超出LLM上下文窗口限制。作者提出将行为树（BT）作为替代性的中间表示，并设计了一套预处理流程：先将Java源代码解析为AST，再转换为行为树。行为树以更紧凑的方式编码控制流、条件与可执行动作。实验在Juliet Java测试套件的460个样本上进行，比较了三种输入表示（原始源码、AST、行为树）的漏洞检测性能，使用单一量化本地模型Mistral Small 3.2 24B（Q4_K_M）。结果表明：对于短样本，行为树表示能提升召回率，而原始源码获得更高精确率；对于长样本，行为树相比原始表示提升了整体性能，且能适配上下文窗口，而许多AST表示则超出上下文限制。研究结论认为，行为树可为量化、本地可部署的LLM提供一种紧凑且有效的结构化源码表示，有助于在资源受限环境下提升漏洞检测能力。该工作为面向蓝队和代码安全分析工具的开发提供了新的表示思路。

本文针对全同态加密（FHE）下运行语言模型推理速度过慢的问题展开研究。在 FHE 密文上，模型只能原生支持加法、乘法和旋转操作，且乘法深度受限，超过一定层数就必须执行高开销的 bootstrapping 操作以继续计算。因此，模型中的非线性激活函数必须通过迭代方法近似，每次迭代都消耗乘法深度和 bootstrapping 资源。已有的方法通常为所有非线性层设置统一且固定的迭代次数，未考虑不同层（或不同位置）对近似误差容忍度的差异，导致不必要的性能开销。为此，作者提出 Homomorphic Encryption-Aware Training (HEAT)，一种面向 FHE 推理的微调方法。HEAT 的核心思想是将每个非线性模块的迭代次数作为可学习参数，与模型权重一起在训练过程中进行联合优化（即“近似-权重协同适应”）。具体而言，HEAT 以任务目标（如语言模型的解码质量）为导向优化迭代次数，使模型在训练中主动适应推理阶段因近似带来的误差，而无需修改模型架构或从头重新训练。实验基于加密的 GPT-2 解码任务展开，结果显示：HEAT 在保持甚至提升与校准基线解码一致性的前提下，将非线性迭代次数减少约 3.1 倍，bootstrapping 次数减少约 1.6 倍，端到端推理延迟降低约 1.4 倍。该工作表明，通过将加密感知的训练策略与可学习近似预算结合，可显著提升 FHE 场景下大语言模型推理的实用性。适合对隐私保护机器学习、全同态加密应用以及高效安全推理感兴趣的研究人员和工程师阅读。

该研究针对一个实际安全评估盲区: 当同一个智能体(Agent)同时使用 MCP 工具调用和 A2A 委托时，单独对每一层评估的安全性可能无法描述组合行为。作者构建了一个受控测试床: 一个真实模型主机通过本地 MCP 访问工具，再经本地 A2A 将消息传递给另一个代理，形成有序事件轨迹，并使用确定性规则进行精确计分，而不是依赖 LLM 裁判。实验采用冻结的三臂设计，包含 10 个记录场景，每个场景分别施加 "CONFIDENTIAL" 标头、无标头和 "PUBLIC - OK TO SHARE" 标头，但六个实质性记录字段的值在三种条件下字节完全相同。配置为 4 个模型 × 3 个条件 × 4 次重复，共 480 次试验。结果显示: 带 CONFIDENTIAL 标头与无标头之间的外发差异没有明确结论，且在所有模型中均接近下限；而增加 PUBLIC - OK TO SHARE 标头相对无标头会带来更高的逐字字段外发频率，但模型依赖性很大——Claude Sonnet 5 上效果强且一致（公开发送相对无标头的平均增加 0.800，所有 10 个场景均如此），GPT-5.6 的某一档中等但受到下限限制，另一档中位数增量为 0，还有一档完全没有效果。作者强调这是单一配置下的相关性而非因果关系。研究已公开代码、字节级轨迹和分析流水线，便于复现。对安全从业者的启发是: 在多协定的智能体链路中，简单的标签条件可能改变数据外发行为，不能依赖标签本身作为数据防泄漏控制，需要跨组件监督出站内容的逐字泄露。

本文针对技能增强型智能体（skill-augmented agents）的安全问题展开研究。此类智能体会将可复用的技能作为持久化运行时上下文加载，以提升任务执行能力，但这也为恶意技能提供了长期影响后续行为的通道。恶意技能可能在特定用户任务和工作区状态下，诱使智能体泄露机密、破坏代码、绕过审批或将数据暂存以备外传，使得安装前的审查不足以防范风险，因此需要运行时且任务条件化的防护机制。作者提出一种名为 Defense-as-Skill 的防御范式，将运行时守护本身实现为可安装、可检查、可编辑的技能。其守卫模块 SkillSonar 与不受信任的任务技能并行运行，针对用户任务边界检查敏感操作，并将操作路由到允许（allow）、重新规划（replan）或确认（confirmation）决策，无需修改底层智能体运行时。为评估该方案，作者构建了任务条件化数据集 SCOPE-R，涵盖 6 个风险族和 21 个子类别，包含 206 个攻击确认的恶意实例和 43 个良性任务。然后通过运行时守护技能演化（一种蒙特卡洛树搜索过程，根据回放反馈迭代磁盘上的守卫技能）改进 SkillSonar。在 Claude Code 和 OpenClaw 上的实验表明，演化后的守卫大幅降低了攻击成功率，同时保持了良好的安全-效用平衡。在 GLM-5 的重复运行中，SkillSonar 将 ID ASR 从 0.482 降至 0.104，OOD ASR 从 0.606 降至 0.115。进一步分析展示了跨受害者模型、未见过风险族和外部基准的迁移能力，以及对自适应攻击者的持续防护。消融实验还表明，显式安全责任分配和技能原生表示对性能提升都至关重要。

这篇论文研究良性微调（benign fine-tuning）如何严重削弱大型语言模型（LLM）的安全对齐（safety alignment），并探索拒绝行为（refusal behavior）为何如此脆弱。以往研究常将安全失效归因于梯度冲突，但作者提出了一个根本不同的基于Fisher几何的解释：安全Fisher信息矩阵是低秩的，对齐过程使安全几何变得平坦，同时保留了一条输出路由通路（output-routing pathway）。仅用100个良性微调样本，该通路在输出侧MLP模块中被选择性地重新锐化，导致不对称的脆弱性——安全能力可能崩溃，攻击成功率大幅上升，而一般实用性仅轻微下降。这种路由观点还解释了为何少量安全示例即可恢复拒绝行为，说明内部安全相关表征仍然保留。最后，作者展示了LoRA和ASAM通过抑制输出侧锐度能够缓解早期崩溃，但在较大微调规模下保护作用减弱。总体而言，安全失效最适合被理解为低秩输出路由机制的破坏。该研究提供了一种新的理论视角来理解LLM安全对齐的脆弱性，对安全微调策略设计具有指导意义。适合LLM安全研究者、AI对齐工程师以及关注模型鲁棒性的安全从业者阅读。

该研究针对基于大语言模型（LLM）的推理级联（inference cascades）系统，探讨其成本控制策略背后的可靠性代价。推理级联通常以廉价模型处理大多数查询，并将困难样本升级至前沿模型进行验证，以降低推理成本。自然的扩展是形成闭环：在验证器拒绝的样本上微调廉价学生模型，从而逐步降低升级率和总体成本。作者在真实LLM环境中对此闭环进行了系统性测量，揭示了四个关键发现。第一，验证器的盲点（即学生回答错误但验证器仍接受的比例）很大且表现出对抗性移动：随着学生模型能力增强（参数量从0.5B增至32B），盲点系数β从0.12升至0.55；而验证器能力越强，盲点越小。因此最糟糕的盲点出现在廉价学生与廉价验证器组合的区域，而这恰恰是级联架构旨在降低成本的场景。第二，通过更换更强的前沿验证器可将β降至约0.05，但该验证器对46%的高难度MATH查询触发升级（真实错误率仅为39%），意味着几乎一半流量需要承担前沿模型的高昂成本，成本优势被大幅侵蚀。第三，在验证器拒绝的尾部分布上采用朴素的纠正性微调，不仅未能改善小规模学生的表现，反而在所有教师模型（跨家族和同家族）下都导致性能下降乃至最终崩溃，说明在该规模下自改进闭环反而损害模型。第四，贯穿整个过程，级联自身仪表板（即通过验证器计算的所有指标）始终显示错误率约为3%，而实际交付的错误率可高达32%——系统因设计原因对自身的性能退化完全失明。论文进一步提出了解释这种失明的理论：一个两群体守恒定律 ε∞ ≲ q0β0，在该定律约束下，所有环路内指标都会改善，但真实质量却未见提升；合成实验验证了这一机制。研究结论指出，自改进级联的可靠性无法通过依赖自身验证器计算的任何指标来评估。

该研究揭示了一种针对隐形水印的新型规避风险——水印清洗（watermark laundering）。传统上，隐形水印的鲁棒性测试仅针对压缩、模糊、噪声、裁剪、去噪等预定义扰动。然而，公开的基础图像模型（如 OpenAI 和 Google 的图像编辑模型）带来了一种截然不同的威胁：攻击者只需向模型提交一张带水印的图像并给出一个简单的重构提示（reconstruction prompt），模型便会返回视觉上高度保真的输出，但该输出中的隐形水印已无法被可靠解码。作者将这种失效模式形式化为水印清洗，并提出联合载荷-保真度评估框架，结合比特错误率（BER）与视觉/语义保持度进行量化。实验覆盖了六个 OpenAI 和 Google 图像编辑模型、三种代表性水印方案（含 DwtDct）以及 1,800 个重构输出。主要发现包括：OpenAI 模型在多数方案中产生最强的载荷破坏；Nano Banana 2 模型下 DwtDct 在高质量重构中仍显脆弱；消除提示（prompt ablation）表明，无需特定去除指令，单纯的重构路径即可导致水印失效，说明该效果主要来自重构机制而非攻击性措辞；与传统攻击（如加噪、压缩）相比，提示条件重构是一种独立的操作攻击界面。该研究为水印社区提出了新的要求：应将基础模型重构作为隐形水印鲁棒性评估中缺失的一项条件。适合水印技术研究者、AI安全工程师、内容溯源系统设计者阅读。

本文介绍 MutMem-V2，一个面向持久化代理记忆（persistent agent memory）的密码学授权变异（cryptographically authorized mutation）协议。V1 版本虽然提出了保留记忆的变异机制，但缺少可移植的验证契约和干净的安装复现路径。V2 在不引入第二套记忆引擎的前提下，填补了该发布空白，明确定义了规范字节序列、域分离的对象与包承诺、强制性的召回证据成员与排序、外部信任锚、身份纪元、撤销、授权、请求回执、有序披露以及三种变异终止类型。协议共包含 18 个版本化对象 schema、39 个召回向量、15 个变异向量和 37 个闭环召回失败原因。独立的 Node 和 Python 实现对于全部 72 个结构和密码学终止节点的判定与主要原因完全一致；一个生产一致性语料库在 28 个必需类别上的 42/42 个案例全部通过。干净的 Node v26.8.1 安装能够达到首次启动、重启和调度器就绪状态，且无任何实验记忆。一个独立范围的 120 单元 Canary 实验仅支持显式标记遍历。所有公开表格均从自哈希聚合重新生成，独立验证器可重建统计和声明边界。V1 的历史实证结果仍作为历史保留。MutMem-V2 在既定假设下支持关于可移植完整性、授权、可追溯性、一致性和可复现性的声明，但并不建立语义真实性、通用鲁棒性或独立复制。本文适合研究代理记忆安全、密码学协议验证以及 LLM 代理可审计性的安全工程师和研究人员阅读。

本文针对真实世界高知名度 AI Agent 系统（如 Claude Code、Codex）的上下文组装（context assembly）设计进行了首次系统性安全分析。研究背景是：现代 AI Agent 依赖专有或不透明的机制将来自多源的信息组装为模型的上下文，但这一过程的安全风险长期缺乏深入理解。作者重点探究了 Agent harness（代理框架）如何从不同来源收集和组装上下文，并由此发现了由设计缺陷引发的实际攻击向量。论文提出两类新型攻击：一类是 MessageRole 上下文权限提升攻击（M-CPE），即当攻击者控制的低权限上下文内容被错误合并到高权限消息角色（如系统消息、用户消息）时，可导致权限边界被突破；另一类是跨范围上下文权限提升攻击（X-CPE），即攻击者注入的恶意上下文会持久存在，超出其原本引入的作用域，从而影响后续任务或不同会话。作者对 12 个真实 Agent harness 进行了系统安全评估，覆盖主流商业和开源框架。实验结果表明，这些攻击可导致完全代理劫持（full agent compromise）、远程代码执行（RCE）、拒绝服务（DoS）以及工具或技能的恶意操纵与错误调用等严重后果。该研究首次系统化地揭示了 Agent 上下文组装环节的权限边界缺陷，为 LLM 生态的安全设计提供了重要参考。适合 AI 安全研究人员、Agent 框架开发者及安全运营人员阅读，以理解上下文权限隔离的必要性和潜在威胁面。

该论文提出 Athena，一个基于知识图谱的漏洞影响库识别系统。研究背景是：广泛使用的库中单个漏洞可能影响数百万下游应用，但超过半数的漏洞数据库条目存在受影响库信息缺失或错误的问题。现有自动化方法将识别问题当作孤立的文本检索任务，忽略了漏洞数据库中的关系结构。Athena 首次将漏洞数据库建模为知识图谱，并将识别问题转化为知识图谱补全任务。系统包含三个关键模块：建模模块构建综合安全知识图谱，集成 CVE、库、CWE 弱点类型、CPE 产品和软件生态系统；补全模块通过链接预测，使用模块化 KGC 主干预测给定 CVE 缺失的受影响库；重排序模块检索 KGC 候选，并使用经知识图谱嵌入增强的微调 LLM 重新打分，联合利用结构化和文本信息。在 VulLib 数据集上的实验表明，Athena 显著优于四个最先进的基线，平均 F1 比最佳基线 VulLibGen 提高 32%。值得注意的是，其仅 110M 参数的 KGC 主干就已超过 VulLibGen 在 7B 参数下的最佳配置，证明了基于图建模的有效性；重排序模块则带来进一步的显著提升，在所有评估的 LLM 主干上持续优于最佳基线。

该论文提出了一种名为 Reveree 的诊断框架，用于深入评估大型语言模型（LLM）代理在逆向工程（RE）任务中的表现。当前社区通常使用 CTF（Capture-the-Flag）逆向工程挑战作为衡量标准，但仅凭是否拿到 flag（解题率）这一单一指标，无法揭示代理在逆向工程流程中具体在哪个环节失败，也无法判断其成功是源于对二进制的真实分析，还是对已有公开解决方案的记忆。Reveree 框架从三个层级对 LLM 代理的轨迹进行评分：解题率、通过八阶段 RE 流程的里程碑进展、以及动作行为画像。其中，理解阶段的得分由经人类专家验证的、对结果不知情的 LLM 裁判进行评定，其余阶段通过确定性方法验证。作者使用 Reveree 在 88 个 picoCTF 和 NYU-CTF 挑战中评估了九个前沿模型和四种提示策略。实验发现：基础模型对性能的主导作用强于提示策略，而提示策略的影响是次要且依赖模型的；令人意外的是，更大、更新或更昂贵的模型并不一定更强；失败主要集中在 RE 流程的理解阶段，额外的预算、持久性或推理努力并不能挽救多少失败，这表明失败源于能力上限而非资源不足；关于记忆问题，虽然模型能从挑战描述中复现 picoCTF 的 flag，但 NYU-CTF 中几乎没有可测的记忆，且大多数成功在表面扰动下仍然成立，说明真实分析与记忆是共存的。论文公开了 Reveree 工具，可为理解和改进 LLM 代理的逆向工程能力提供细粒度诊断。该研究工作对安全自动化、恶意软件分析和漏洞发现具有参考价值。主要适合研究 LLM 代理安全能力、逆向工程自动化以及评估方法的科研人员和工程师阅读。

本文是一篇面向系统化知识的综述（SoK）论文，聚焦于人工智能（尤其是大语言模型）在网络威胁情报（CTI）生成与共享流程中的应用。研究背景是：CTI 对于保护关键基础设施至关重要，但从原始攻击证据到可共享情报的转化过程目前碎片化且缺乏系统研究。作者首先对学术文献进行了系统梳理，将 CTI 生命周期划分为三个阶段：威胁数据收集、CTI 生成与共享、CTI 消费。文献分析显示，第一阶段和第三阶段已有较多研究，而第二阶段（生成与共享）仅有少量论文涉及。为了解该阶段的真实实践，作者对多个组织中日常生成和共享 CTI 的从业人员进行了问卷调查。受访者描述该过程目前主要依赖人工操作，并反复面临四类挑战：防止敏感信息泄露、从嘈杂的攻击数据中提取指标（IOC）、将观察到的行为与标准化的战术、技术和程序（TTP）相关联、以及将 CTI 转换为共享平台要求的格式。基于从业者反馈，作者将 CTI 生成与共享阶段细分为四个子步骤：情报提取（Intelligence Extraction）、标准化与富化（Normalization and Enrichment）、编码化（Codification）和分发（Distribution）。随后，作者针对每个子步骤开展了试点研究，评估当前大语言模型（LLM）的可行性。试点结果表明，LLM 在这四个子步骤中都能为分析人员提供辅助，但模型只能恢复证据中包含的一小部分指标，难以将每个论断都扎实地追溯到所提供证据，也无法自行判断哪些共享情报对接收方真正有用。因此，每个子步骤仍然需要专家监督。基于这些观察，作者提出了三个自动化生产可共享情报的未来研究方向。本文的核心贡献在于：系统化梳理 CTI 生命周期、通过实证揭示 CTI 生成与共享中的实践瓶颈、并首次针对 LLM 在该环节的可行性进行分步评估。适合关注 LLM 安全应用、威胁情报自动化以及蓝队运营效率提升的研究人员和安全工程师阅读。

本文系统评估了实际部署中短信垃圾信息检测系统在对抗攻击下的鲁棒性。作者指出，现有检测系统在受控环境中准确率很高，但在面对真实世界复杂多变的垃圾短信与对抗性扰动时，性能显著下降。研究涵盖了三类被终端用户实际依赖的检测系统：商业即时通讯应用、第三方反垃圾服务，以及托管在Hugging Face上的公开开放权重模型。评估既包含标准条件，也包含对抗条件，并同时考虑了人眼可感知的攻击与最先进的不可感知攻击。为了确保研究贴近现实，作者只保留能够通过真实SMS或RCS信道投递的扰动，剔除了仅存在于实验室环境的样本。实验揭示了现有检测器在识别对抗性操纵短信方面存在显著缺口，并进一步证明仅靠对抗训练不足以应对结构新颖的编码级攻击。借助显式的留出验证协议，作者发现鲁棒性在同一扰动家族内迁移良好，但面对结构不同、编码层面的攻击时急剧下降。为解决这些问题，作者提出了一个多模型集成方案，将对抗训练与在架构和分词方式上具有差异性的多种垃圾短信分类器相结合。实验表明，该集成方案，尤其是采用少数投票策略时，能显著提升对可感知与不可感知对抗攻击的鲁棒性，同时保持有竞争力的分类精度。论文还分析了集成方法带来的精确率-召回率权衡，并为误报敏感型场景和召回优先型场景分别推荐了合适的运行工作点。研究成果强调了在真实部署中开展全面鲁棒性评估和采用集成防御的必要性，为构建更安全的短信垃圾信息检测系统提供了依据。

本文针对隐私保护传感器融合系统中的安全弱点提出了一种新的协议 CRSF。在典型的传感器-服务器-客户端架构中，不受信任的服务器需要在不学习单个输入或最终输出的情况下，对分布式传感器的测量值进行聚合计算。已有基于混淆电路（garbled circuit）的协议虽然能高效实现该功能，但存在两类关键弱点：一是传感器与服务器之间可能合谋，破坏诚实传感器的隐私；二是拜占庭式恶意参与可能被利用，导致错误地排除诚实传感器或篡改最终融合结果。为应对这些问题，CRSF 引入了基于实用拜占庭容错（PBFT）的提交一致性阶段，并设计了服务器特定、状态相关的标签发布机制，同时为电路输入标签提供阈值保护。这一设计确保任何拜占庭服务器都不能单方面操纵传感器参与状态，也保证任何可容忍的传感器-服务器合谋者都无法获得足够秘密材料来破坏诚实传感器的隐私。CRSF 在提供隐私性、正确性（显式中止）和活性的同时，实现了对抗合谋的鲁棒性。作者在 Google Cloud 上实现了协议原型，并与当前最相关的基线协议进行了在线执行时间对比，在无故障和典型故障场景下测量了总计算与通信开销。实验覆盖多种容错融合电路，传感器数量最多达 261 个，结果表明 CRSF 在鲁棒安全性与协议性能之间取得了高度实用的平衡。本文适合研究安全多方计算、隐私保护数据聚合、以及传感器网络系统中拜占庭容错机制的研究人员阅读。

本文提出并评估了 HiveTraceGuard-Pro——一个面向生产环境大语言模型（LLM）的轻量级生成式护栏模型，用于检测提示注入、越狱（jailbreak）以及对抗性混淆内容。作者指出，现有公开研究大多集中于英语场景，对俄语提示注入和俄语表层混淆攻击的证据匮乏。该模型基于 Qwen3-0.6B 进行 LoRA 微调，参数量仅为 0.6B，同时支持俄语和英语，并采用单一二元评分规则（安全/不安全）对最终目标轮次进行分类。训练语料包含与良性样本配对的恶意示例，并应用了八种混淆变换来增强鲁棒性。作者构建了包含 19 个基准组的测试框架（其中 16 个为公开基准），将 HiveTraceGuard-Pro 与其他 34 个防护模型进行对比。结果显示，其综合得分（key）为 0.7432，略低于得分最高的两个模型（0.7641 和 0.7552）；在 16 个公开基准组中得分为 0.7153，有 4 个其他模型得分更高。在额外的 15 模型对比中，该模型在俄语干净样本鲁棒性综合 F1 值（0.88）和俄语提示注入召回率（0.999）上表现最佳，但作者提醒至少 27.1% 的测试数据与训练语料存在重叠，可能带来乐观偏差。其延迟中位数仅为 14.3 毫秒，在对比模型中最低。整套测试的假阳性率（FPR）为 0.268，假阴性率（FNR）为 0.156。作者指出，所有报告的结果均基于旧式的独立回复序列化方式，而非发布版聊天模板的自然助手角色路径，可能影响实际部署表现。模型权重已在 Hugging Face 上以 Apache-2.0 许可发布；训练语料、评估集和评估代码暂未公开。该研究对需要同时覆盖俄语和英语、且对延迟敏感的生产 LLM 安全防护场景有参考价值。

AKRASIA 是一种针对基于推理的代码大语言模型（Code LLM）的隐蔽后门攻击方法，由研究团队提出并评估。与现有攻击不同，AKRASIA 在推理阶段（inference-time）注入后门，通过探测目标 LLM 以构造代码级触发器，并利用上下文学习（in-context learning）实现后门学习，同时利用模型的不忠实行为（model unfaithfulness）来隐藏触发器并生成看似合理的推理链。研究测试了四种后门目标、六种推理型 LLM、三个编码任务/数据集及三种防御方法。实验结果显示，AKRASIA 在先进 LLM 上的平均攻击成功率（ASR）最高达 99.34%，同时保持最高 97.23% 的准确率（即防御方难以察觉功能退化）。在对抗当前最先进的防御方法时，AKRASIA 在 14/18 种防御设置中仍能保留平均高达 98.82% 的 ASR，并能在高达 80% 的设置中成功规避人工审查，隐藏触发器和推理步骤。该研究揭示了推理型代码 LLM 在面临后门攻击时的脆弱性，强调了开发针对推理后门防御的迫切性。论文适合 LLM 安全研究者、AI 安全工程师及代码模型部署方阅读，以理解这类攻击的机理并思考防御策略。

本文提出了一种名为 Skill-as-API 的保密多智能体协调协议，用于解决 AI 编码智能体在协作过程中泄露专业技能知识产权的问题。当前 AI 编码助手正从独立工具演变为协作队友，它们可以发现并调用彼此的专业技能。然而，现有的协调通道本身可能泄露技能的知识产权。例如，MCP（模型上下文协议）和 A2A（代理到代理）等协议虽然在服务器端运行实现，但仍会向每个对等方发布每个技能的描述和类型化 Schema，无法隐藏技能的存在，也无法保证包装的系统提示词不会出现在网络传输中。应用层隐私过滤器虽有一定帮助，但只能在模型决定输出敏感文本之后起作用。作者采取了一种互补的协议层路线：Skill-as-API 协议的公共视图仅包含技能的名称、描述、类型化输入/输出 Schema 和信任等级，技能主体则被闭包捕获在所有者进程中，永远不会通过网络传输。该协议通过四层结构在协议层面而非内容过滤层面添加访问控制并缩小提示注入攻击面。作者提供了基于 XMTP 的开源 Python 实现，跨洲热重连延迟为 1.8-2.9 秒，并通过一个软件工程案例研究验证了其有效性：三个智能体协作进行拉取请求审查，同时每个智能体都保留对其专有分析提示词的所有权。该研究的主要贡献在于提出了一种从协议层保护智能体技能知识产权的方案，与依赖内容过滤的现有方法形成互补。

本文研究如何利用大型语言模型(LLM)辅助面向服务的网络靶场(SOR)的安全需求获取。网络靶场环境复杂，涉及多方利益相关者和不同安全关切，传统需求获取过程困难且耗时。作者基于SEBoK系统工程指南，首先识别安全使命目标与利益相关者需求，将其与架构指南一起作为提示上下文，输入给五个LLM（GPT-5.2、Gemini 3.1 Pro、Grok 4.1、Sonar和Kimi K2.5）。LLM共生成84条安全需求，经人工整合为27条，并映射到服务导向靶场的各架构层。随后，五位网络安全专家从必要性、清晰性、完整性、可行性和可测试性五个标准进行评估，并允许拒绝某条需求。结果显示，必要性接受率达98.5%，清晰性87.4%，完整性85.2%，可行性78.5%，拒绝率仅0.7%，但可测试性仅为44.4%，表明需求在如何测试方面信息不足。研究表明，LLM能够在早期阶段有效辅助安全需求获取，为设计者和开发者提供有价值的初始基线，但人工审查仍不可或缺，尤其在改进测试细节等特定方面。本文为自动化需求工程提供实证参考，并指出AI与人类协作在安全需求工程中的应用潜力与局限性。

该论文关注扩散语言模型（DLMs）的隐私风险，这类模型作为自回归语言模型的替代方案，具备并行生成与双向上下文建模等优势，但其成员推理攻击等隐私问题尚未被充分研究。作者首先通过扩散训练动力学的理论分析，识别出一种称为“token级记忆不对称性”的现象，并由此设计了一种名为 Q-Skew 的指标，该指标基于分位数加权的偏度统计，用于对微调后的扩散语言模型进行成员推理攻击。实验在多个微调数据集和不同模型上进行，结果表明 Q-Skew 在成员推理任务上优于现有基线方法。此外，作者进一步展示 Q-Skew 还能辅助其他隐私侵犯场景，如个人身份信息提取。该研究揭示了一个此前被忽视的隐私攻击面，并强调了系统化评估扩散语言模型隐私风险的必要性。论文贡献包括：提出并理论验证了 token 级记忆不对称性；设计高效的成员推理指标 Q-Skew；通过实验验证其有效性；并扩展了该方法的潜在应用场景。适合关注生成式 AI 隐私、成员推理攻击和模型安全评估的研究人员阅读。

该论文提出 RISA（Response Inspection and Selective Actions），一种面向大型语言模型（LLM）的推理时拒绝行为校准框架。研究背景是：LLM 需要可靠地区分有害提示与良性提示，错误的拒绝行为要么导致有害内容被输出，要么错误地拒绝用户的有用请求。现有的训练时对齐方法需要更新模型参数，计算成本高；而推理时对齐方法（如上下文安全提示、激活引导、解码控制）大多在未检查初始响应是否已正确的情况下直接干预，可能破坏原本正确的拒绝或有用回答。针对这些问题，RISA 采取“先检查、后选择干预”的思路，在不更新底层模型的前提下，通过两步实现对拒绝错误的修正：第一步，使用固定的上下文规则为明确场景赋予拒绝分数；第二步，对规则未覆盖的场景，利用校准后的线性探针从最终层的提示隐藏状态中推导拒绝分数。为适应不同基础模型，RISA 分别校准探针分数、表示支持边界和动作阈值。运行阶段，RISA 将提示的拒绝分数与初始拒绝状态结合，通过动作策略仅在必要时进行干预。实验结果显示，RISA 能够提升拒绝可靠性，同时基本保持模型的有用性，为 LLM 中的响应感知拒绝校准提供了实用方案。该研究适合关注 LLM 安全对齐、推理时防御机制及红队评估的研究人员与安全工程师阅读。

该论文首次系统性地研究了数据集蒸馏（Dataset Distillation）技术面临的后门攻击风险。数据集蒸馏旨在将大规模训练数据压缩成小规模合成数据集，使模型在合成数据上训练后仍能达到与原始数据训练相近的性能，从而提升数据效率。然而，现有研究主要关注资源效率与模型效用之间的权衡，忽视了其潜在的安全隐患。论文提出，在图像域中，攻击者可以在蒸馏过程中而非传统模型训练阶段注入触发器，从而对使用蒸馏数据训练的模型实施后门攻击。作者设计了两种攻击方法：NAIVEATTACK 和 DOORPING。NAIVEATTACK 在蒸馏初始阶段直接向原始数据添加触发器；DOORPING 则在整个蒸馏过程中迭代优化触发器，使其与蒸馏过程深度融合。实验在多种数据集、模型架构和蒸馏技术上进行，结果表明：NAIVEATTACK 在某些情况下能达到可接受的后门攻击成功率（ASR），而 DOORPING 在所有测试场景中均能达到接近 1.0 的极高成功率。此外，论文进行了全面的消融实验，分析了影响攻击效果的关键因素，并评估了多种防御机制，结果显示所提出的攻击方法能够有效绕过这些防御。该研究揭示了数据集蒸馏流程中一个被忽视的攻击面，对机器学习供应链安全提出新的挑战。

本文针对机器学习模型被窃取（model extraction）的知识产权保护问题，提出了一种名为 Entangled Watermarking Embeddings (EWE) 的模型水印方法。传统模型水印通过让模型在训练时过拟合到一些远离任务分布的异常输入-输出对（即水印样本），从而在模型被窃取后，防御者可以通过向模型发起查询并验证是否返回预定的水印输出来证明所有权。但这种水印容易被攻击者通过模型压缩、微调或知识蒸馏等方式移除，因为水印样本与正常任务样本分布差异大，容易被识别并剔除。EWE 的核心思想是让模型在特征空间中将合法任务数据与水印数据‘纠缠’在一起，即强制模型学习同时区分正常分类任务和水印识别任务的特征。这样，攻击者在试图移除水印时，不仅需要删除水印相关的特征，还会不可避免地破坏模型在合法任务上的性能，从而提高了水印的鲁棒性。论文在 MNIST、Fashion-MNIST、CIFAR-10 和 Speech Commands 四个数据集上进行了实验验证，结果表明防御者可以在对被窃取模型进行不到 100 次查询的情况下，以 95% 的置信度成功主张模型所有权，同时水印对原始模型性能的平均损失不超过 0.81 个百分点。该方法为模型所有者提供了一种低开销、鲁棒性更强的模型取证与所有权验证手段。适合关注 AI 模型安全、模型知识产权保护及对抗性机器学习的研究人员和蓝队成员阅读。

eBPF 是一项可在特权上下文中运行沙箱程序的革命性技术，广泛应用于 Linux 内核网络监控、Windows 拒绝服务防护以及区块链智能合约执行等场景。然而，eBPF 实现中的缺陷可能造成广泛而严重的影响。以往研究主要关注 eBPF 运行时（runtime）的内存安全性，很少能检测实现缺陷（即实现是否正确）；且现有实现缺陷检测方法多聚焦于验证器（verifier）中的漏洞，忽略了解释器（interpreter）和 JIT 编译器等其他组件。本文提出 BpfChecker，一个基于差分模糊测试（differential fuzzing）的框架，用于检测 eBPF 运行时的实现缺陷。该方法以 eBPF 程序为输入，在不同 eBPF 运行时的关键状态间执行差分测试，从而发现实现不一致。为增强生成程序的语义，作者设计了一种轻量级中间表示，并在错误消息指导下进行约束变异。作者实现了 BpfChecker 原型，并在三个 eBPF 运行时（Solana rBPF、vanilla rBPF、Windows eBPF）上进行了广泛评估。结果表明，共发现 28 个新的实现缺陷，获得 2 个 CVE 编号以及约 800,000 美元漏洞奖励，并得到开发者致谢。更重要的是，其中 2 个新发现的缺陷能够导致 Solana 网络执行层出现分歧（divergence），威胁共识一致性。该工作表明差分模糊测试在揭示跨运行时语义差异方面非常有效，也为针对 eBPF 生态的漏洞挖掘提供了新思路。适合关注系统安全、虚拟化技术、区块链底层安全的研究人员和安全工程师阅读。

本文首次提出并系统研究了内存压缩算法中的时序侧信道攻击，命名为 Decomp+Time。此前针对压缩算法的侧信道研究仅利用了压缩率（如压缩后数据大小）这一指标，而本文发现解压过程中的数据依赖操作也会引入可观测的时序差异，从而构成信息泄露通道。该攻击影响范围远大于此前工作，因为内存压缩在现代操作系统中被广泛使用（如 Linux ZRAM、云环境、浏览器等），且即使应用仅通过远程接口暴露也可能被利用。核心挑战在于如何构造攻击者可控的压缩载荷，以足够的分辨率触发并放大解压时序差异。为此，作者设计了一个进化模糊测试工具 Comprezzor，能够自动搜索有效的 Decomp+Time 载荷，优化延迟差值，使得解压时间差异即使在远程网络条件下也能被可靠观测。实验表明，Decomp+Time 在本地泄漏速率可达 9.73 kB/s，在跨互联网（14 跳）场景下仍有 10.72 bit/min 的稳定速率。作者在四个不同场景中验证了攻击：1）通过远程 PHP 脚本从 Memcached 以 1.50 bit/min 泄漏数据；2）通过 Python-Flask 应用中的 PostgreSQL 数据库跨互联网以 2.69 bit/min 泄漏数据库记录；3）在 Linux 上从 ZRAM 压缩页面以 49.14 bit/min 本地泄漏机密；4）在启用 ZRAM 的系统上，从 Google Chrome 浏览器内的 V8 引擎泄漏内部堆指针。这些案例证明，即使目标仅通过远程接口可达，压缩敏感数据也可能导致严重的信息泄露。因此，本文呼吁重新审视压缩在敏感数据上的使用安全。研究贡献包括：首次提出内存压缩时序侧信道攻击、自动化载荷生成工具 Comprezzor、跨本地与远程的多场景实证分析，以及对现有压缩安全假设的挑战。适合系统安全研究者、操作系统与云平台开发者、以及关注数据泄露风险的蓝队人员阅读。