全同态加密（FHE）为隐私推理提供了强加密保障，但在FHE下部署Transformer模型仍然代价高昂。关键瓶颈在于softmax、归一化和激活等非线性运算必须替换为与CKKS方案兼容的多项式近似，而近似消耗的乘法深度主导了推理成本。现有框架虽然改进了近似技术，但都依赖手动配置近似超参数（如迭代次数、多项式次数），并统一应用于所有层。这种统一配置方法过于僵化：不同层能容忍不同程度的近似误差而不影响预测精度，统一配置无法利用这种差异性来降低延迟。然而，允许每层采用自己的配置会导致搜索空间随模型深度爆炸：对于BERT/ViT（12层）约为10^84种配置，对于LLaMA3（32层）约为10^225种，使得手动探索几乎不可能。为此，本文提出ATLAS，一个自动化框架，通过将问题表述为延迟和预测精度的多目标优化来配置每层近似设置。该问题本身非常困难：（1）在大决策空间（BERT/ViT为120或320变量，LLaMA3类似）上的竞争目标；（2）评估代价高昂，即使在明文下每个配置也需要70-1000秒；（3）优化信号稀疏，35-50%的候选配置产生数值无效解。ATLAS通过两阶段优化策略应对这些挑战，该策略逐步放宽逐层约束，并结合代理模型加速评估。实验表明，ATLAS能在一小时内为BERT/ViT和LLaMA3找到高效的逐层近似配置，大幅降低FHE推理延迟同时保持精度。

本文提出了一种名为LADDER的新型多目标黑盒后门攻击方法，针对卷积神经网络（CNN），通过进化算法同时优化多个攻击目标。现有黑盒后门攻击通常将目标视为单目标优化问题，仅在单一域（如空间域）设计触发器，这会导致语义和鲁棒性受损，并引入视觉和频谱异常。LADDER是首个在双域（空间域和频域）中通过进化算法实现多目标黑盒后门攻击的实例，无需预先了解受害者模型。具体地，作者将问题公式化为多目标优化问题（MOP），并采用多目标进化算法（MOEA）求解。MOEA维护一个触发器种群，各触发器在攻击目标间权衡，通过非支配排序驱动触发器向最优解进化。进一步，应用基于偏好的选择来排除不切实际的触发器。LADDER引入双域视角：在频域最小化干净样本与中毒样本之间的异常，以实现触发器隐蔽性；通过将触发器推向低频区域，增强对预处理操作的鲁棒性。在5个公开数据集上的大量实验表明，LADDER攻击有效性至少99%，攻击鲁棒性达90.23%（平均比现有最优攻击高50.09%），自然隐蔽性提升1.12倍至196.74倍，频谱隐蔽性提升8.45倍（以平均L2范数衡量）。该工作揭示了多目标优化在后门攻击中的潜力，对防御者理解新型攻击威胁具有重要意义。