Goldwasser 等人此前证明，在随机傅里叶特征（RFF）算法训练的机器学习模型中，可以植入一类不可检测后门，其安全性建立在与连续学习带误差问题（CLWE）相关的困难假设之上；在标准密码学假设下，即使对模型权重做完全白盒审计也无法发现该后门。但原始论文仅以密码学归约和概率引理的形式给出构造，没有参考实现，且依赖 Sparse Gaussian Pancakes 分布、齐次 CLWE 条件密度等辅助机制，仅凭论文难以判断其能否在普通数值代码中落地。本文的工作正是填补这一空白：作者仅使用 numpy 与 scipy，端到端实现了白盒 CLWE-RFF 后门构造，用以检验该威胁是可用通用科学计算工具复现，还是必须依赖专门的密码学基础设施。论文为构造核心所需的 GP_d(b_k) 分布提供了两种采样器：一是基于拒绝采样的近似方案，二是由齐次 CLWE 条件密度推导出的精确闭式采样器，并用其自身解析形式进行了验证。在此基础上，作者开展统计不可区分性测试，同时覆盖权重空间审计与黑盒功能对比两类视角，在多个稀疏比 ρ = d_sparse/D 下均未发现后门模型与干净模型之间存在可检测差异。论文还具体报告了构造中哪些部分易于实现、哪些需要论文未给出的额外推导，并明确列出未尝试复现的部分，包括底层的格困难性归约。作者将本工作定位为对 Goldwasser 白盒 CLWE 核心实务可实现性的贡献，而非新的理论结果。适合机器学习安全、模型供应链与可信 AI、密码学工程方向的研究者与防御方阅读。

该论文研究联邦学习（FL）中拜占庭鲁棒聚合的一个被长期忽视的前提：每轮参与训练的客户端应当是全体客户端的公平样本。在部分参与（partial participation）场景下，每轮仅有少量客户端上报更新，即使恶意客户端只占全体的一小部分，也可能主导当轮采样集合，使坐标中位数（coordinate-wise median）、Krum、Bulyan、截尾均值（trimmed mean）等方法所依赖的有限样本保证静默失效。作者提出 SWB-DM 聚合器以直接应对该问题。SWB 把每个客户端更新的每个切片（按坐标分组）视为一维分布，在客户端之间计算截尾 Wasserstein 重心（trimmed Wasserstein barycenter），再通过基于 medoid 的规范固定（gauge-fixing）步骤恢复坐标身份；作者明确指出该步是自行设计的启发式，不声称其属于标准最优传输理论的结论。DeMoA 风格的延迟动量（delayed momentum）每轮在整个客户端群体上缓存更新，把鲁棒性与当轮恰好被抽样的子集解耦。截尾比例（trim ratio）校准并非装饰性细节：截尾不足会在经过适当校准即可存活的污染水平下直接导致训练崩溃。实验覆盖 448 组 CIFAR-10 配置，另加 CIFAR-100、FEMNIST 以及 500 客户端可扩展性实验，揭示出若干机制上彼此不同的失效模式：均匀样本条件下坐标中位数退化为确定性的错误答案；Krum 静默违反其 n > 2f+2 的先决条件并在毫无警告的情况下发散；Bulyan 的 n ≥ 4f+3 阈值表现为锐利的通过/失败边界。在攻击侧，IPM 比 ALIE 更可靠地击败基于次序统计量的防御（包括 SWB），并通过 delta 空间测量与收敛界得到确认。SWB-DM 的缓存机制存在真实的预热成本，但把所有基线扩展到相同的轮次预算后，其 CIFAR-10 上的增益不成比例地大；而在 CIFAR-100 上 FLTrust 受益更多，但原因与缓存完全无关。该工作适合联邦学习系统、分布式训练安全与鲁棒聚合方向的研究者和工程师阅读。

本文研究神经网络模型窃取中的一个经典问题：密码分析式提取（cryptanalytic extraction）。这类攻击仅凭对模型原始输出（如 logits 或完整概率向量）的黑盒访问，就能恢复网络参数。然而，以往所有此类攻击都建立在一个根本性假设之上——攻击者已经知道目标网络的架构，例如对于基于 ReLU 激活的全连接网络，攻击者事先知道网络深度以及每个隐藏层的维度。本文要回答的核心问题是：这一架构先验假设能否被去掉？作者聚焦 ReLU 全连接网络，提出一个“猜测—确定（guess-and-determine）”框架，把架构恢复与参数恢复联合起来完成，而不是先知道架构再恢复参数。其核心是一组简单但有力的观察：对隐藏层维度进行猜测时，会在参数恢复流程中留下对维度和架构高度敏感的痕迹。作者识别出两类这样的痕迹：其一是在签名恢复（signature recovery）产生的合并权重向量中出现“零后缀（zero suffix）”，其后缀长度能够揭示猜测维度相对于真实维度的超出量；其二是在基于原像的符号恢复（preimage-based sign recovery）中出现的“等式模式（equality pattern）”，该模式仅在维度猜测正确时才出现。这两类信号分别对应两条互补的恢复路径，使攻击者既能判断猜测是否过大，也能确认猜测是否正确。此外，作者还提出两条用于识别倒数第二层的判定准则，因为只有准确定位该层，才能在正确深度上终止猜测过程。作者在大量 ReLU 网络上实现了端到端攻击，覆盖扩张型（expansive）与非扩张型（non-expansive）两类架构。据作者所述，这是首个去除了“已知网络架构”这一前提假设的密码分析式提取攻击。

该论文针对监督学习中的训练阶段数据投毒问题开展了一次系统的实证评测。研究背景是：数据投毒通过污染训练集来破坏模型整体性能，或向模型中植入由攻击者控制的后门行为，目前多数公开研究聚焦于单一攻击或单一模型，缺乏在统一实验条件下对不同投毒方式、不同投毒比例与不同分类器之间可比性的评估。为此，作者选取了两类具有代表性的训练时攻击——标签翻转（label flipping）与后门投毒（backdoor poisoning），并在 MNIST 与 Fashion-MNIST 两个图像分类数据集上进行对比实验。所用基线分类器包括逻辑回归（Logistic Regression）、线性支持向量机（Linear SVM）和随机森林（Random Forest），覆盖线性与非线性、参数化与非参数化模型，以便观察攻击效果对模型族的依赖。实验设计上，作者将干净训练（0% 投毒）与 5%、10%、20% 三档投毒率进行对照，评估指标不仅包括常规的干净测试集准确率，还引入宏平均精确率、宏平均召回率与宏平均 F1，用以捕捉类别层面的性能失衡；针对后门攻击，额外统计攻击成功率（Attack Success Rate, ASR），衡量攻击者指定目标行为的达成程度。主要发现分为两部分：其一，标签翻转会造成可观测的性能下降，且对逻辑回归与线性 SVM 的破坏最明显，随机森林相对更稳定，说明不同模型对标签噪声的鲁棒性存在显著差异；其二，后门投毒在两个数据集、三类模型上均取得 0.9667 至 1.0000 的攻击成功率，同时在多数情况下干净测试集性能仍接近基线水平。这一结果清晰地区分了“无差别投毒”与“定向后门投毒”：前者会在标准指标上暴露，后者则相对隐蔽，却能在特定触发条件下嵌入高度有效的恶意行为。论文由此论证，仅依赖干净测试集指标不足以评估模型的安全性，需要引入面向安全的评测流程，例如在训练数据审计、触发集检测与模型行为一致性检查等维度补充评估手段。该工作适合机器学习安全研究者、模型训练与数据治理工程师、以及负责 AI 供应链风险的安全团队阅读，可作为投毒风险基线评测与内部红队验证的参考。

本文研究的是零知识机器学习（ZKML）电路中的「冗余检查」问题及其可证明安全的去膨胀（debloating）技术。背景是：面向神经网络推理的零知识证明系统会把模型编译成大规模算术约束系统，其中包含大量范围证明、符号查找（sign lookup）、比特分解等约束。作者指出，这些约束中有相当一部分是「冗余检查」——它们所断言的事实在整条电路上已经被其他远处的组件通过一连串推理关系所蕴含，因此单看局部是必要的，但从全局看其约束力是多余的。删除这类冗余约束能显著缩小电路规模、加快证明生成，但删除必须以严格的可靠性（soundness）论证为前提：一旦删得不合理，电路就会变成欠约束（under-constrained），证明者可以构造出原电路本应拒绝的见证，例如谎称某个神经网络产生了它实际上并未计算过的输出。作者强调这不是假设性威胁——已部署的 ZK 系统中出现过的欠约束电路缺陷，曾使攻击者能够伪造交易并完全绕过验证。 核心方法上，作者提出一个自动化框架：对每一个候选删除的约束，工具首先判断「电路其余部分」自身是否仍然能够排除被删约束原本排除的所有取值。为此，工具使用全电路抽象解释（whole-circuit abstract interpretation）来搜索这些替代性论证，并把它们记录在一张溯源图（provenance graph）中；只有当图中存在一条替代路径仍然能够推导出该约束所检查的事实时，才真正删除该约束。这一「先证明替代论证存在、再删除」的流程，从机制上保证去膨胀后的电路不会为敌手开启新的伪造路径，即在不削弱安全性的前提下完成优化。 实验方面，作者在 ezkl 与 zkml 两个生产级框架生成的 MLP、CNN、RNN 与 Transformer 电路上进行评估，电路规模最高达 2530 万条约束。结果显示，工具可移除最高 48.7% 的约束，并把证明者（prover）耗时最多降低 72.8%，同时不削弱安全性。该工作适合零知识证明工程、ZKML 系统开发者、形式化验证与程序分析研究者，以及关注 ZK 电路可靠性漏洞的安全工程师阅读。

该论文是一篇系统性综述 (SoK), 聚焦于一个长期被分散讨论的安全议题: 可解释人工智能 (XAI) 所输出的解释信息, 如何反过来成为攻击者窃取模型机密与训练数据隐私的入口。作者指出, 机器学习解释原本用于提升模型透明度, 但它揭示的是预测之外的模型内部行为, 因此天然扩大了对模型机密性 (model confidentiality) 与数据隐私 (data privacy) 的攻击面。论文系统梳理了 25 项利用解释信息实施模型窃取 (model extraction)、成员推断 (membership inference) 与模型反演 (model inversion) 的研究, 并将属性推断 (attribute inference) 视为模型反演的部分形式统一纳入分析框架。 论文的核心批评是: 现有工作往往只用黑盒 / 白盒二分法来标注威胁模型, 这种标签掩盖了关键差异 —— 攻击者究竟通过什么途径获得解释信号, 以及获得的是哪种解释信号。为此作者提出两层解耦: 把"对模型的先验知识"与"解释信息的获取方式"分开, 并归纳出五条解释获取路径: 目标方主动发布 (target-released)、攻击者自行推导 (attacker-derived)、二次披露 (secondary disclosure)、特权访问 (privileged access)、以及公开发布的全局产物 (released global artifacts)。 沿这五条路径, 论文给出了机制层面的结论: 解释可以显著降低模型抽取的成本; 通过解释统计量、追索距离 (recourse distance) 以及解释引导的鲁棒性信息, 会暴露成员信号; 解释还可支撑对私有输入的空間或代数重建。随后论文在多维度上对研究进行横向对比, 包括系统与威胁模型、解释信号类型、辅助知识、目标模型、数据模态、查询预算、评估指标、报告性能以及防御手段。 最重要的结论是: 不存在"一律不安全"的解释族, 也不存在"普遍有效"的防御。风险高低取决于四个变量 —— 暴露的是哪种信号、信号如何被获取、攻击目标是什么资产、以及攻击者已掌握哪些先验知识。作者因此主张把"解释隐私"当作端到端的信息披露问题来评估, 并让防御措施与具体的获取路径和被保护资产相匹配, 而不是笼统地禁用或信任某一类解释方法。该文适合 XAI 研究者、ML 隐私与模型安全工程师、以及需要评估第三方解释服务 (如解释 API) 风险的安全架构师阅读。

该研究针对网络流量入侵检测中长期存在的「概念漂移」问题：合法业务行为与攻击手法会同步演进，导致任何检测模型在两次更新之间的窗口期内迅速失效，检测方始终落后攻击者一步。作者提出把干预点从「漂移发生后再修复模型」前移到「训练之前先选好特征空间」，从而在方法论的层面改变应对范式。为此论文引入 t-robustness——一种针对单个特征独立定义、不依赖任何具体检测模型的稳定性评分，可在整个特征空间内横向比较。该评分由两部分构成：一是特征相邻统计状态之间的逐步距离（捕捉突变），二是特征相对初始状态的累积散度（捕捉长期偏移），二者结合使得缓慢而单调的漂移无法被误判为「稳定」，这正是传统漂移度量常见的盲区。候选特征并非直接取原始流统计量，而是从扫描、拒绝服务以及端点间通信所留下的异常网络连通性模式中提取，读取方式基于图社区指标（community metrics）与谱指标（spectral metrics），即将流量拓扑结构化为图后刻画其社区划分与谱特性。评估在 UGR16 数据集上完成，覆盖三种学习场景与一个对照场景，并额外测试了完全不进行模型更新的极端情形。结果显示：在基线方法检测能力崩溃之处，t-robust 特征空间仍能维持检测，最后一个测试区间的 retained expectancy 达到 0.6025，而图社区特征为 0.5230、基础 NetFlow 特征仅为 0.3831，验证了特征级稳定性筛选对缓解概念漂移的有效性。适合入侵检测、机器学习安全与漂移治理方向的研究者及检测工程团队阅读。

持续学习（Continual Learning, CL）旨在让模型能够从按顺序到达的任务中获取新知识并保留旧知识，但灾难性遗忘问题一直存在。现实场景中，数据流往往来自不可信来源，可能被攻击者注入极少量后门毒化样本，对持续学习器的稳定性、可塑性和安全性构成严峻挑战。本文提出并研究了一个新设定——后门攻击下的持续学习（Continual Learning Under Backdoor Attack，CLUBA），即每个增量任务都可能包含一小部分恶意操纵的训练样本。与传统的持续学习或后门防御不同，CLUBA要求模型同时解决三个目标：缓解灾难性遗忘、保持对新任务的适应能力、以及避免在持续更新中吸收恶意监督。为应对该挑战，作者设计了一个鲁棒的动态扩展框架，将样本净化、选择性恢复和鲁棒专家路由有机整合进统一的持续学习范式。框架具体包含三个模块：一是双原型净化（Bi-Prototype Purification, BPP），通过分析特征空间中样本与各类原型的语义差异来识别可疑样本；二基于净化后的数据，进行基于梯度差异性鲁棒性优化（Gradient Discrepancy-based Robustness Optimization, GDBRO），对信息量大的毒化样本用伪标签校正并做梯度一致性评估，从而选择性恢复这些样本，既提升鲁棒性又保持模型可塑性；三是基于鲁棒特征一致性专家选择（Robust Feature Consistency-based Expert Selection, RFCBES），构造扰动感知的类别原型，在输入被污染或分布漂移时仍能做出可靠的专家路由选择。该研究从问题定义到算法模块都探讨了在持续学习场景下如何同时兼顾稳定性、可塑性和安全性，并给出了一个可借鉴的防御框架雏形。该框架的模块设计可为后续安全连续学习研究提供参考，但其实际效果尚需在更多真实数据集和攻击模式下验证，因此属于偏向算法研究的贡献。

本次输入仅提供论文标题与作者信息，未包含论文摘要内容。根据标题推测，该论文提出了一种名为'Beatrix'的后门检测方法，核心是利用Gram矩阵分析深度学习模型的内部特征，以实现对模型后门的鲁棒检测。后门攻击是深度学习模型面临的重要安全威胁，攻击者在训练阶段注入恶意行为，使模型在特定触发条件下产生错误输出，而现有检测方法往往在鲁棒性或适用性上存在不足。Gram矩阵通常用于捕获特征之间的二阶统计相关性，可能有助于揭示后门植入引起的特征分布异常。然而，由于缺乏abstract，我们无法提供具体的技术细节（如网络层选择、检测阈值设定、攻击场景假设）、实验设计（如使用的数据集、模型架构、基线方法）以及性能评估结果。因此，以上描述均为基于标题的合理推测，实际内容请以论文原文为准。安全从业者可关注该方法是否能为模型安全审计提供新的思路，但需阅读原文验证其有效性与适用性。

本文针对物联网入侵检测中的机器学习模型，指出已有研究通常只强调预测精度，而将解释性分析（如SHAP）视为零计算成本的附加步骤，忽视了实际部署中的资源约束和解释成本。作者联合评估了预测性能、解释计算开销、局部解释稳定性以及选择性解释（即仅对关键样本生成解释）四个维度，并构建了一个避免数据泄漏的CICIoT2023数据集。数据处理上采用精确39特征哈希、非有限值处理、精确特征去重、保守的标签冲突移除和哈希级确定性划分，并基于自然分布与均衡分布两种测试集评估了逻辑回归、决策树、随机森林和梯度提升树（XGBoost）四类模型。实验显示，XGBoost整体预测能力最强，随机森林假阳性率最低。在5000个样本上计算TreeSHAP时，随机森林耗时700.759秒，而XGBoost仅需1.471秒，表明不同模型的解释成本差异悬殊。稳定性方面，随机森林的解释变化最小，XGBoost能保持较高排名和方向一致性，但top特征更替更频繁且属性幅度漂移更大。在均衡测试集上，利用约90%假阴性覆盖率的策略可节省28-32%的解释计算资源，95%覆盖率可节省15-23%；而在攻击密集的自然分布下，节省量大幅缩小。结果表明，实际可用的可解释物联网入侵检测系统应同时考虑预测质量、解释成本、局部稳定性、攻击样本预valence和选择性调用机制，而非仅依赖检测精度。该研究为资源受限环境下的可解释AI部署提供了量化评估基准。

本文提出了一种针对机器学习基础设施的新型攻击面——寄生基础设施木马（Parasitic Infrastructure Trojan），并展示了具体实现(A)iSpy。现代机器学习流水线高度依赖第三方库进行图编译和硬件加速，现有安全实践主要审计数据、模型工件或依赖文件完整性检查，但执行环境通常被隐式信任。这留给攻击者一个盲点：恶意运行时模块可以直接与实时的训练和推理动态交互。通过这种交互，木马能够实现复杂的攻击目标，远超传统静态代码或二进制修改的能力，甚至可以完成标准数据和模型层面攻击无法实现的操纵。 (A)iSpy采用“主动观察与执行”范式，作为寄生模块运行在计算图中，监视瞬态张量状态，以极低的副效应进行目标性、隐秘的操纵。在机密性方面，木马能够识别所有关键训练超参数，并通过模型权重或输出logits隐蔽地外泄这些参数。在完整性方面，它作为梯度放大器：通过观察隐写触因，将原本弱的数据中毒转化为有效的后门攻击，成功率从接近0%提升至100%。论文还通过附录验证了该攻击在机器学习生命周期中的广泛扩展性，包括子种群标签翻转、可用性中断和推理阶段操纵。 (A)iSpy模块能够轻易逃避标准恶意软件扫描器，其关联的中毒输入和受感染的模型也能绕过典型的检查工具。作者在ONNX Runtime训练和推理引擎中实现了该攻击，证明其实际可行性。这项工作揭示了ML基础设施中新的信任链脆弱性，对依赖第三方库的ML系统构成严重威胁，为安全社区提供了防御研究的新方向。

该论文旨在解决机器学习模型输出结果的可公开验证性问题。作者在Goldwasser等人提出的交互式学习证明框架基础上，首次研究了非交互式学习证明，并定义了一种新概念：公开可验证的统计有效性证书（Publicly-Verifiable Certificates of Statistical Validity, pvCSVs）。该证书允许学习算法发布一个假设h及其对应的证书π，任何持有特定分布的用户都能有效验证该假设在该分布下是否有效。论文重点在自适应统计查询（Adaptive Statistical Query, SQ）算法场景下构造pvCSVs。对于进行了k次自适应查询的SQ算法，作者构建的pvCSVs的样本复杂度仅为O(log k)，而最优学习算法的样本复杂度为~O(√k)，展现了显著优势。此外，论文更广泛地研究了SQ模型中的学习证明系统，展示了该模型的优势与局限性。该工作为机器学习模型的可验证性、鲁棒性和公平性认证提供了新思路，尤其适用于需要公开验证模型性能的场景，如联邦学习、可信AI审计等。

该论文聚焦于机器学习模型执行过程中的安全威胁。随着预训练模型的广泛复用，攻击者可以将恶意行为嵌入模型文件，而现有基于静态规则或已知签名的方法难以泛化到不同框架且无法检测未知漏洞。作者提出一种动态生命周期感知分析方法，核心观察是ML模型在明确定义的阶段（如加载、预处理、推理等）内执行，且每个阶段与宿主系统的交互高度结构化、可预测。基于此，设计了Moat框架及其实例化实现Re-Moat。Re-Moat在模型执行期间动态监控系统调用，检测异常行为。实验使用来自Hugging Face Hub的77,974个真实模型工件、31个CVE的概念验证代码以及334个来自最新数据集模型进行评估，并与当前最先进的模型扫描方案对比。结果显示，该方法能检测所有评估的攻击类别，同时保持接近零的误报率，验证了动态分析在保障ML模型执行安全中的有效性。

本文是一篇系统化知识（SoK）论文，聚焦于机器学习管道中对手合谋的问题。现有的对抗性攻击研究通常孤立地考虑单一对手，但实际场景中对手可能通过合谋来放大攻击效果。论文首先提出一个系统化框架，涵盖两类合谋场景：（a）训练时对手与推理时对手之间的合谋；（b）推理时多个对手之间的合谋。框架识别了促成合谋的关键因素，包括对手目标、知识、能力以及攻击的时序依赖性等。基于这些因素，作者提出一套指导原则，用于推测哪些合谋组合是可能发生的。利用该指导原则，论文重新解释了先前工作中存在的隐含合谋关系，并推测了五种尚未被探索的合谋案例。随后，作者通过实验验证了这五种合谋确实存在且能显著增强攻击效果。最后，论文讨论了合谋对手的不同特征（如目标冲突、能力差异）如何影响合谋的潜力与可行性。该工作为ML安全社区提供了统一的分析视角，有助于设计更鲁棒的防御策略。适合安全研究人员、ML工程师以及对抗性机器学习领域的学生阅读。

本文系统性地研究了多模态大语言模型（MLLMs）中的隐私风险。与文本大语言模型（LLMs）不同，MLLMs同时处理文本和图像，图像中嵌入的敏感信息可能被模型提取并泄露。作者首先构建了MM-Privacy综合数据集，覆盖多种多模态任务和场景，定义了表露风险（Disclosure Risks）和留存风险（Retention Risks）。然后，他们使用MM-Privacy对多个MLLM进行了系统评估，发现模型在不同任务中均存在泄露敏感信息的问题。此外，论文还揭示了任务不一致性（task inconsistency）在隐私风险中的角色，并强调了制定缓解策略的紧迫性。实验结果表明，MLLMs的隐私风险不容忽视，亟需防护措施以防止数据暴露。该研究为多模态AI的隐私保护提供了基准和方向，适合安全研究人员和AI开发者阅读。

该论文提出了机器学习中的“学习证明”（Proof-of-Learning）概念，旨在解决模型训练完成后，训练者无法向第三方证明模型参数确实是通过给定优化过程得到的问题。现有方法无法验证训练计算的真实性，这可能导致模型所有权争议或分布式训练中拜占庭工返回错误更新。受工作量证明和可验证计算启发，作者观察到随机梯度下降（SGD）算法因其随机性会累积秘密信息（即模型更新路径上的随机梯度和参数历史），从而自然构成一种学习证明。具体而言，训练者通过发布模型参数以及一组包含中间参数和随机梯度的证明，验证者可以高效检查证明的正确性。作者通过分析和实验证明，攻击者若想伪造学习证明，所需计算量至少与执行完整梯度下降相当。论文在两个场景中实例化了该机制：模型所有权争议中，用于保护公开发布模型的知识产权；分布式训练中，用于确保训练过程的可用性，防止拜占庭工拒绝服务。实验表明，该机制对硬件（如ML加速器）和软件栈引起的方差具有鲁棒性。

本文研究基于梯度的对抗性攻击对机器学习驱动的网络入侵检测系统（ML-NIDS）的威胁，并提出一种无需显式防御的“无防御”方法：通过精心选择模型架构即可实现固有鲁棒性。作者进行了约2200次实验，在FGSM、PGD和BIM攻击下，系统性地变化网络深度、特征维度、激活函数和dropout。结果表明，较浅的网络、精简的特征集以及ReLU激活函数能够一致且协同地降低对抗脆弱性。一个遵循此原则的简单模型甚至优于更深的、经过对抗训练的完全特征模型，同时保持近乎完美的干净流量检测性能，且训练时间更短。论文强调“少即是多”，但关键在于选择正确的“少”。该研究为构建轻量级、鲁棒的ML-NIDS提供了设计指南。

本文提出了一种名为Magmaw的新型无线攻击方法，旨在针对基于机器学习（ML）的无线通信系统生成通用对抗扰动。现有针对ML无线系统的对抗攻击方法缺乏对源数据多模态性、常见物理层协议和无线域约束的全面考虑。Magmaw能够为通过无线信道传输的任何多模态信号生成通用对抗扰动，并引入了针对下游应用的对抗攻击新目标。为验证其鲁棒性，作者采用了广泛使用的防御机制，并通过软件定义无线电系统构建了实时无线攻击平台进行概念验证评估。实验结果表明，即使在强防御机制下，Magmaw仍能造成显著的性能下降。此外，在加密通信信道和基于信道模态的ML模型两个案例研究中进一步验证了其有效性。该研究揭示了ML无线通信系统在面对多模态通用对抗攻击时的脆弱性，对无线安全领域具有重要警示意义。

本文提出了一种名为“Innocent Until Proven Guilty (IUPG)”的新型深度学习训练框架，旨在解决传统分类器（使用分类交叉熵损失）在真实世界环境中面临的三个关键问题：对分布外输入给出过度自信的后验概率、对对抗性噪声的敏感性以及因分布偏移导致的性能下降。作者认为这些问题的核心缺陷是模型无法有效处理输入中的分布外内容。IUPG框架通过在输入空间中原型化训练数据簇或类别，并独特地利用噪声和固有随机类来发现所建模类别的噪声鲁棒、唯一可识别的特征。在评估中，作者使用了学术计算机视觉数据集以及用于恶意软件分类的真实世界JavaScript和URL数据集。实验结果表明，与相同拓扑结构、使用分类交叉熵训练的基线网络相比，IUPG框架在测试数据上取得了良好的分类性能，减少了因近期偏差导致的性能损失，降低了噪声样本上的误报率，并在多种基于噪声的攻击模拟中降低了脆弱性。据作者所知，这是首个展示在恶意软件黑盒附加攻击上显著降低脆弱性的工作。通过应用快速梯度符号法（FGSM），作者展示了将IUPG与现有对抗学习技术结合的潜力，并取得了显著更优的性能。该框架具有通用性，可用于任何原本可以使用分类交叉熵训练的网络拓扑。

该论文对零日攻击的本质进行了系统性的再审视，核心研究问题是：零日攻击究竟源于新颖的攻击行为还是新颖的漏洞？作者回顾了跨越20年的已记录零日攻击事件，发现这些攻击无一例外地源自对未公开漏洞（即零日漏洞）的利用，而非攻击者采用了前所未见的行为模式（TTPs）。基于这一发现，论文提出了一种基于漏洞类型的分类法，将零日漏洞分为内存破坏、逻辑错误、配置缺陷等类别，并统计了各类型在历史事件中的出现频率，结果显示内存破坏漏洞最为常见，而针对防御机制漏洞的攻击在近年呈上升趋势。作者进一步分析了现有基于机器学习（ML）的入侵检测系统（IDS）所依赖的假设，指出一个关键错位：事件报告强调漏洞利用，而许多ML检测器却旨在检测假设中的“新颖行为”，例如异常流量模式或异常系统调用。这种错位可能导致ML-IDS的零日检测能力被高估。论文认为，以漏洞为中心的方法（如自动补丁生成、内存安全强化）更贴合真实攻击机制，并呼吁业界谨慎解读行为检测的声称，同时推动开发更符合现实利用特征的自动漏洞检测框架。研究结论对于设计下一代入侵检测系统具有指导意义，强调应优先发展漏洞侧的方法，而非单纯依赖行为分析。

[MOCK] 研究: Rethinking Detection of Prompt Injection in Agentic Systems