该论文研究消费者本地 LLM 推理服务中"提示词机密性"的真实边界。业界普遍认为本地推理比云端推理更私密，因为提示词始终留在设备上。作者提出的核心问题是：推理本地化本身是否足以保证提示词机密性？结论是否定的——提示词机密性还取决于周边服务软件在推理之前、之中、之后如何处理提示词数据。 作者将本地 LLM 服务的机密性失效归纳为四个边界：(1) 模型加载；(2) 运行时内存；(3) 封装层（wrapper）持久化；(4) 服务接口。为系统化研究，他们开发了测量框架 LLAnalyzer，对每个边界单独测试，并把观测到的失效追溯到具体的软件组件。 实验覆盖四类开源权重模型家族与两个消费者部署平台，各边界表现差异显著。在 24 小时、超过 1200 万次执行的 AFL++ 模糊测试活动中，未发现解析器崩溃，也未在探索的状态空间内实现畸形 GGUF 加载成功——说明模型加载边界相对稳固。运行时内存则给出不同结论：推理结束后仍可从分配器管理的内存中恢复提示词，因为存在多份明文表示；清理操作只能减少残留而无法彻底消除。封装层方面，消费者级封装可通过明文持久化显著延长提示词生命周期。服务边界上，作者在 llama.cpp 中发现一个此前未被记录的授权缺陷，使一个已认证客户端能够恢复另一租户保存的会话状态，该问题在 200/200 次受控实验中均成功。此外，共享提示词前缀缓存构成一个远程时间侧信道，在广域网条件下仍可被区分识别。作者据此主张：本地 LLM 系统需要为提示词生命周期、持久化存储以及租户隔离提供显式安全保证，而不能默认"本地即私密"。 论文同时提供了方法论层面的贡献：把模糊测试、内存取证、封装层行为分析与协议侧信道测量整合到统一测量框架中，适合 LLM 应用开发者、终端隐私工程团队与多租户推理平台运维方阅读。

该论文研究 GPU 上 GDDR 显存的 Rowhammer 攻击为何长期比 CPU 侧弱得多，并提出 GPUThor 显著放大其实际危害。背景问题是：Rowhammer 通过高频反复访问特定 DRAM 行，干扰相邻行电容，诱发比特翻转，从而实现数据篡改与权限提升。此前针对 GPU 的 Rowhammer 研究只能触发几十到几百次比特翻转，比 CPU 侧的攻击低几个数量级，因而难以构成现实威胁。作者指出，这一差距的根源在于既有 GPU 攻击依赖“均匀敲击”模式：侵略者行与诱饵行被同等强度激活，导致真正需要被反复激活的侵略者行强度不足。GPUThor 的核心方法有两点：第一，逆向工程 GPU 的内存访问合并（coalescing）行为，从而在 GPU 上构造“非均匀敲击”模式，使侵略者行被激活的强度明显高于诱饵行；第二，识别 DRAM 刷新周期中施加在片内缓解机制（in-DRAM mitigation）的时机，构造跨越刷新间隔的更长访问模式以规避缓解措施，进一步提高敲击强度。二者结合后，在 NVIDIA A4000、A4500、A5000、A6000 等多款 GPU 上，比特翻转数量比既有 GPU Rowhammer 攻击提升 500 倍至 23500 倍，翻转速率接近最先进的 CPU Rowhammer 攻击。除放大翻转率外，GPUThor 还首次实现了针对启用 ECC 的 GPU 的 Rowhammer 利用，能够诱发不可纠正的双比特与三比特翻转，使拒绝服务攻击与权限提升攻击在开启 ECC 的 GPU 上同样具备现实可行性。论文视角涵盖研究问题（GPU Rowhammer 强度为何不足）、核心方法（非均匀敲击与跨刷新间隔规避缓解）、主要贡献（量级提升 + 首次突破 ECC）与适用读者；适合 GPU 架构、硬件安全、云多租户隔离与数据中心安全方向的工程师与研究者在抽象层面跟进。

该论文形式化了工具调用型 LLM Agent 中的「随机代理问题」(stochastic deputy problem):多租户工具通常要求调用方传入租户标识(tenant id),再由工具依据调用方授权校验该标识。但当调用方是 LLM Agent 时,资源选择权实际被交给了一个上下文可能被攻击者指令污染的进程,于是参数校验在语义上正确、在安全上却失效——模型可被诱导传入不属于自己的租户标识。作者提出的结构性防御是:把租户身份从 MCP(Model Context Protocol)工具 schema 中彻底移除,将访问范围绑定到经过验证的凭证上,并在 Agent 之下(而非之上)强制执行。为验证该设计,作者完成 373 次试验的消融实验,覆盖 8 种模型配置与 2 种传输方式:当租户参数存在且被「正确校验」时,全部 26 次越权尝试均被服务端执行(在 41 次带合理借口措辞的试验中占 26 次),说明参数级校验无法抵御上下文注入;移除该参数后,任何工具签名都无法表达跨租户读取。但 56 次试验中仍有 12 次通过伪造可写范围(writable scope)绕过接口约束,表明接口不变性还依赖密码学保护的上下文绑定。性能方面,在数 GB 规模生产数据集上,当成员谓词被函数包裹时,集合值范围(set-valued scope)造成高达 57 倍的延迟比;改用 JSON_TABLE 侧向连接,并在租户键有索引的情况下恢复了索引访问。论文同时披露部署边界:授权规模过大时查询规划器出现性能悬崖,以及索引覆盖不全。结论是多租户隔离必须依赖可强制执行的接口与凭证,而不能寄望于模型自身合规。

该论文研究多租户大语言模型（LLM）服务场景下，共享KV缓存（key-value cache）重用所引发的定时侧信道攻击在真实并发负载下的可靠性问题。尽管已有工作表明此类攻击可行，但在实际多租户竞争环境中其稳定性尚未被充分理解。作者在真实共享LLM服务系统上设计了七组实验，使用vLLM服务器部署DeepSeek-R1-Distill-Llama-8B模型于NVIDIA GB10平台进行验证。实验发现，当没有合成工作负载时平均Cohen's d值为0.7789，当增加两个工作进程时该值降至0.2109（t=8.412），而进一步增加工作进程数量并未导致统计上显著的额外衰减；120次稀疏重叠实验将最佳断点置于测量范围边界（tau=0, 95% CI [0.000,0.113]），表明存在环境负载与满载之间的状态转换，而非内部物理阈值。AUROC从环境负载下的0.650降至接近61%重叠时的0.531，并在饱和时部分恢复至0.574。并发深度方差是效应量（r=-0.416）和命中一致性（r=-0.637）最强的实测相关因素。交错对照实验保持了相同的非单调排序。在真实的两节点、双GPU张量并行vLLM配置中重演了主要崩溃现象，平均d值从3.418降至0.511（p<0.01）。两个SGLang试点实验在统计上无法得出结论。总体而言，KV缓存定时侧信道的可靠性强烈依赖于负载状态和服务堆栈，在安静系统上进行的测量可能会高估实际部署中的攻击可靠性。

该论文研究了多云环境中跨租户通知工作流的安全设计缺陷。云应用经常通过提供商运营的邮件身份发送通知，这提高了投递率，但使通知参数的提供者与服务主体权限分离。论文通过三个负责任披露的案例，展示了一种被称为'信任工作流中继'的攻击模式：经过身份验证的行为者可以控制一份由受信任提供商服务发送的消息，涵盖跨租户收件人，并可能控制HTML内容。三个案例分别涉及绕过UI长度限制、缺少收件人租户验证、批准应用中的弱访问控制和令牌验证缺陷。作者将此类比为传统SMTP开放中继，但失败点已上升到应用层：行为者已认证，提供商是合法发件人，但应用层授权未能约束谁能触发发送。论文定义了'信任工作流中继'的形式化条件，提供了测试矩阵，映射到MITRE ATT&CK的免附件钓鱼技术，并关联到设备代码钓鱼（RFC 8628）。最后提出了租户绑定、类型化模板、对象级授权、令牌受众验证和身份遥测等防御措施。

本文聚焦于多租户检索增强生成（RAG）服务中的隐私审计问题。现有RAG系统通常声称每个账户满足差分隐私（DP），即每个账户的查询对索引满足（ε_acc, δ_acc）-DP。然而，作者发现同租户下多个账户合谋（即同一租户的多个账户协调攻击其租户的索引）会导致隐私边界失效：对于高斯噪声检索，已知DP组合理论表明，合谋者的联合泄漏以Θ(√k·ε_acc)的速率无条件恶化。跨租户和外部合谋只有在显式访问控制失败（M4）时才会达到相同速率，否则这些场景的设计泄漏为零，属于架构审计而非DP审计。作者展示了一种实现该速率的攻击，并推导出针对RAG的成员推理攻击（MIA）预测，并通过实验验证。为了能够审计这种每个账户与联合隐私之间的差距，作者设计了第一个审计协议，该协议运行在未修改的RAG部署上，针对检索-分数通道（即每个账户DP保证实际覆盖的噪声-选择步骤）输出定量的（PASS, ε_audit）判定，而无需索引披露、流水线重新设计或模型权重暴露。生成通道隐私（即基于所选文档的LLM输出）被视为独立的审计谓词，应与此协议组合，但本文明确将其排除在外。该协议组合了通用密码学原语（Merkle账本、ZK函数应用证明、高斯噪声证明）与六个RAG特定原语（嵌入承诺、索引内容向量承诺、每个账户查询账本、噪声-选择证明、跨租户包含证明、合谋规模估计器），并支持封闭形式的审计边界和Rényi-DP矩会计追踪。

本文提出并探索了“隐蔽量子计算”（covert quantum computing）这一新概念，旨在解决多租户量子云平台中用户隐私保护问题。当多个用户共享同一个量子处理单元（QPU）时，传统安全假设不足以防止恶意租户通过检测量子计算单元（QCU）上的活动来推断其他用户的秘密操作。作者借鉴隐蔽通信的信息论思想，但因其面临的情景更加复杂——攻击者拥有对部分QCU的控制权并可进行自适应操作——故采用量子博弈论和记忆信道鉴别中的“量子策略”框架进行隐蔽性分析。当前量子计算机采用平面图电路布局并假设最近邻串扰（nearest-neighbor crosstalk）为主。通过推导离散等周不等式，作者发现：在n量子比特电路中，仅边界（border）上的O(√n)个量子比特会向攻击者泄露检测信息。为验证这一标度律，他们在IQM的54量子比特Emerald处理器和IBM的156量子比特ibm_fez（基于Heron 2架构）上进行了实验：对未参与计算的量子比特执行Ramsey实验，检测到了预期的最近邻串扰；然而，他们还观察到超出边界量子比特的长程耦合效应，这揭示了攻击者可利用的侧信道。作者推测这种长程串扰源于驱动线和控制线的泄漏。该现象不仅削弱了隐蔽性，还使共租户暴露于恶意或无意的串扰下，并损害跨越空间分布量子比特的电路质量。因此，文章呼吁进一步研究空间隔离和串扰表征。本文的主要贡献在于：1）形式化定义了隐蔽量子计算问题并建立分析框架；2）从理论上推导了边界缩放定律；3）实验发现了意外的长程串扰，揭示了实际量子处理器中的安全隐患。适合量子计算安全、量子云平台架构、硬件设计研究人员以及关注量子侧信道的安全从业者阅读。