本文研究检索增强生成（RAG）系统中的成员推断攻击（Membership Inference Attack, MIA）问题。RAG 通过将外部知识库中的文档检索结果注入到大语言模型的上下文中，实现无需调整模型参数的接地生成。尽管不更新权重避免了通过模型参数泄露训练数据，但检索到的文档本身可能被攻击者利用，构成新的隐私泄露面。已有的成员推断和数据提取方法通常依赖越狱提示或精心构造的非自然查询，容易被 RAG 系统中常见的查询改写技术检测或拦截。为此，作者提出一种名为“审讯攻击”（Interrogation Attack, IA）的新型成员推断技术，专门针对 RAG 数据存储中的目标文档。其核心思想是构造自然语言查询，使得只有目标文档出现在上下文中时该查询才能被正确回答，从而以黑盒方式推断文档是否在数据库中。实验表明，该攻击仅需 30 次查询即可完成单文档推断，且隐蔽性显著优于现有方法：常规检测器对已有攻击生成的对抗提示的识别频率是对 IA 生成提示的约 76 倍。在多种 RAG 配置下，IA 在 1% 假阳性率下的真阳性率（TPR@1%FPR）相比先前推断攻击提升 2 倍，而单文档推断成本低于 0.02 美元。该研究揭示了 RAG 系统中“通过上下文泄露”的新隐私风险，凸显了检索端防御的重要性。适合关注 LLM 隐私、RAG 安全及对抗机器学习的蓝队研究人员阅读。

该论文是一篇关于社会网络安全（Social Cybersecurity）的系统性综述（SoK）。研究背景是：传统网络安全与隐私（S&P）系统在设计时往往忽略用户的社会行为和社会关系，导致用户在实际使用中难以在理想的安全策略与社会互动之间取得平衡。作者系统分析了先前在社会网络安全领域的工作，并基于其与四个S&P相关的社会行为的相关性进行结构化梳理：(1) 协商共享资源的访问权限；(2) 共享与社会化认证；(3) 管理自我呈现（如隐私设置、个人信息展示）；(4) 影响他人对S&P的行为。进一步地，论文将社会距离划分为四个尺度——亲密、个人、社交、公共——并指出期望的访问控制策略、认证方法以及隐私和共享偏好会随社会尺度变化而变化。作者通过Ackerman在社交计算系统中提出的“社会-技术差距”视角评估当前研究现状，发现社会行为明显影响S&P偏好和需求，但现有S&P系统在设计时对这些行为缺乏理解。这种不匹配迫使用户不得不在实现理想安全策略和降低社交摩擦之间做出选择。为弥合这一差距，论文提出了一项社会网络安全的研究议程，旨在使安全与隐私目标更好地与社会需求、偏好和行为对齐。主要贡献包括：对社会网络安全文献的分类框架、社会距离尺度的引入、对现有系统不足的评估，以及未来研究方向的建议。该论文适合安全系统设计者、隐私研究员、人机交互（HCI）与安全交叉领域的研究人员阅读，有助于理解安全机制设计中的社会维度。

本研究关注父母在社交媒体上分享子女照片（即“晒娃”）的隐私问题，探讨年轻成年人对父母在其童年时期分享照片行为的看法。研究背景是：越来越多的父母习惯在互联网上分享子女的照片，而这些照片可能在孩子成长过程中长期留存，引发隐私、尊严和数字身份等问题。核心研究问题是：当这些孩子长大成人后，他们如何评价父母的此类分享行为？研究采用质性或混合方法，对年轻成年人进行访谈或问卷调查，收集他们对自己童年照片被分享的经历、感受和态度。主要贡献包括：揭示了年轻人对“晒娃”行为的复杂态度，包括对隐私侵犯的担忧、对父母动机的理解、以及希望对自己数字形象有更多控制权的愿望；提出了在数字时代平衡父母分享意愿与子女隐私保护的建议。该研究为社交媒体平台、隐私政策制定者以及家长提供了参考，强调在分享儿童照片前应征求儿童意见或考虑其长期影响。适合关注社交媒体隐私、儿童权利、以及数字身份管理的研究人员、平台设计者和家长阅读。

本文来自 arXiv，研究跨组织纵向联邦学习中的隐私保护与模型精度权衡问题。在传统联邦学习中，各参与方本地持有数据，通过共享模型参数或更新信息来协作训练，并借助本地差分隐私（Local Differential Privacy）保护原始数据。然而，本地差分隐私通常会注入大量噪声，导致模型精度显著下降。针对这一瓶颈，作者提出一种名为“私有跨聚合技术”（Private Cross-aggregation Technology, PCT）的新方法。PCT 结合了私有集合交集基数（Private Set Intersection Cardinality）、可信执行环境（TEE）和差分隐私（DP），构造一个从输入到输出均保持私密的交叉列联表（cross-tabulation table）。整个训练流程分为两步：第一步，利用 PCT 生成私有交叉列联表；第二步，基于该表格训练机器学习模型。这样，模型无需直接接触原始数据，也不依赖高噪声的梯度交换。实验结果表明，在隐私预算受限的场景下，所提方法的分类精度优于基线联邦学习方法，同时计算耗时更短。论文的核心贡献在于：将 TEE 与 DP 结合，通过私有交叉表形式降低了噪声对模型精度的影响，为纵向联邦学习提供了一种端到端的隐私保护解决方案。适合关注隐私计算、联邦学习、差分隐私与可信硬件结合方向的研究人员阅读。

在Tor匿名网络中，网站指纹识别（WF）攻击是一种通过分析网络流量模式（如数据包方向和时间）来识别用户访问的网站的攻击方式。Tor浏览器提供安全滑杆设置，用户可选择低、中、高安全级别，这会影响下载内容产生的流量模式，从而可能影响WF攻击的准确性。此前的研究通常假设训练和测试数据的安全滑杆设置一致（均为高或均为低），并在此条件下评估攻击与防御。然而，现实场景中用户可能混合使用不同设置。本文针对这一缺口，系统研究了在训练和测试阶段使用混合安全滑杆设置的痕迹对WF攻击性能的影响。作者通过实验比较了一致设置（如全高或全低）与混合设置（如部分高部分低）下攻击的分类准确率，发现混合设置在若干情况下能够提升攻击性能。这一结果表明，现有WF防御评估可能过于乐观或低估了攻击的适应性，因为实际用户的行为可能产生更复杂的流量特征。因此，论文建议未来的WF防御评估应同时考虑一致设置和混合设置的训练/测试场景，以确保评估结果的全面性和可靠性。该研究对于理解WF攻击的鲁棒性以及设计更有效的防御措施具有重要的指导意义，尤其提醒研究者在构建和验证匿名通信系统的隐私保护能力时，必须考虑用户设置多样性带来的实际威胁模型。

该论文针对临床脑电图（EEG）数据在联邦学习场景中的隐私泄露问题，提出了一种基于掩码安全聚合（masking-based secure aggregation）的隐私保护联邦学习框架。传统联邦学习虽然允许医疗机构在不共享原始EEG数据的情况下协作训练共享模型，但攻击者仍可能从模型更新中推断敏感信息。为此，作者将安全聚合作为核心保护机制，并结合多种技术构建完整方案：基于图的通信架构、阈值秘密共享、抗掉线（dropout-resilient）聚合、本地更新裁剪（clipping）、可选的基于布隆过滤器的隐私保护记录链接初始化模块，以及基于辅助公证人（auxiliary notary）的可验证性机制。该框架同时支持半诚实（semi-honest）和恶意（malicious）聚合设置，并基于Flower联邦学习框架实现。实验采用TUH EEG衍生数据，在模拟的跨机构（cross-silo）医疗环境中，对不同客户端配置下的安全聚合变体进行评估。结果表明，在既定假设下，安全变体能够对聚合服务器隐藏个体更新，并且与联邦模型训练保持兼容；然而，恶意设置下的防护机制和轻量级一致性检查机制会带来额外的计算、通信和轮次延迟开销。其中，半诚实变体在安全配置中开销最低，而恶意设置和辅助公证人变体虽然成本更高，但提供了更强的一致性、完整性和轻量级验证支持。该研究适用于医疗AI隐私保护、联邦学习安全加固以及需要跨机构协作但高度敏感的数据场景。

该论文聚焦于蓝牙低功耗（BLE）协议规范及其多种实现中的可追溯性漏洞。作者通过系统化的方法，对BLE通信的链路层、主机协议及实际设备固件进行了安全分析，发现了一系列可被攻击者利用来跟踪设备位置的攻击路径。这些攻击主要利用BLE设备在广播、连接和断开阶段的隐私保护机制缺陷，例如未充分随机化的MAC地址、固定不变的设备标识符以及实现层面的不一致性。研究采用自动化工具和手动逆向相结合的方式，对主流BLE协议栈（如Android、iOS、Linux BlueZ等）进行了全面测试，证实了多个可导致用户长期被跟踪的设计与实现漏洞。实验结果表明，这些攻击能够突破现有的隐私保护措施，在现实环境中实现可靠且低成本的设备跟踪。论文的主要贡献包括：建立了BLE可追溯性攻击的分类体系，提出了针对协议规范的形式化建模方法，以及公开了可复现的测试框架。这项工作对于蓝牙协议的设计者、设备制造商以及关注用户隐私的安全研究人员具有重要参考价值。

该论文聚焦于欧洲智能电视生态中HbbTV（混合广播宽带电视）协议的隐私安全问题。HbbTV允许广播公司在传统电视信号之上叠加基于Web的交互内容（如投票、定向广告），但同时也实现了双向通信——除接收内容外，还能向广播公司回传用户数据。研究团队通过分析意大利、德国、法国、奥地利、芬兰五国共36个电视频道的HbbTV部署情况，揭示了广播公司如何利用该协议收集用户观看偏好，并指出了协议实现中存在的严重隐私风险。此外，研究人员对用户进行了问卷调查，发现用户对智能电视及HbbTV相关风险的认识极为有限。最后，论文提出了一种基于黑名单的防御机制，旨在减少HbbTV可能带来的隐私泄露，保障用户安全观看体验。该研究的核心贡献在于：首次系统化地从协议层面（而非智能电视固件或应用安全）审视HbbTV隐私问题，提供了跨欧洲多国的实证数据，并提出了可落地的缓解方案。适合智能电视安全研究人员、隐私保护工程师、标准制定机构及广播行业从业者阅读。

该论文系统性地评估了加密货币生态中使用的各类点对点网络匿名方案的实际匿名性。随着比特币等加密货币的普及，交易层面的匿名技术（如混币、环签名）已得到广泛研究，但底层 P2P 网络层的匿名性保障往往被忽视。论文聚焦于 Dandelion、Dandelion++ 等旨在隐藏交易发起者 IP 地址的网络层协议，通过理论分析与实验模拟，揭示了这些方案在面对全局被动攻击者及局部主动攻击者时存在的匿名漏洞。研究发现，现有网络层匿名方案难以同时兼顾低延迟、高匿名性与对去中心化拓扑的适应性；例如，时序分析、流量关联及 gossip 协议中的信息泄露可被用于概率性地链接交易与节点。论文提出了改进方向，包括更优的扩散策略、动态路径选择及与传输层加密的深度整合。该工作为加密货币开发者提供了匿名性设计的安全边界参考，也为监管机构理解网络层隐私风险提供了理论依据。

该论文研究了美国最高法院推翻罗诉韦德案（Roe v. Wade）后，公众对患者隐私问题的反应。研究收集了2022年5月至12月期间的大量Twitter数据，采用计算分析与定性内容分析相结合的混合方法，分析了公众对医疗隐私，特别是电子病历访问、患者-医生信息交流的保密性以及未经患者同意共享病历等问题的担忧。研究发现，用户广泛表达了对生殖健康相关隐私的关切，这些发现可能对政策制定和医疗行业实践（涉及生殖权利和女性健康中的医疗隐私）产生启示。论文作为学术研究，通过社交媒体数据挖掘了公众情绪，为理解技术环境下隐私态度提供了实证基础。

该论文研究在动态Web流量中通过深度时间特征进行用户识别的问题。现代Web应用大量使用动态内容，例如通过XMLHttpRequest或Fetch API的页面更新，这些请求通常由用户操作（如键盘输入、鼠标点击）触发，因此用户操作的时间与携带这些事件的网络数据包时间高度相关。论文利用这一相关性，在加密网络流量中通过深度时间特征来度量用户行为。方法基于准确检测与用户操作对应的数据包子集，并借鉴了击键动力学的最新研究。实验表明，通过用户使用搜索引擎打字引起的网络数据包时间序列，可以以中等准确率进行用户识别。该工作对取证调查人员有帮助，可在加密流量中进行目标识别，但也引发了隐私担忧，即路径上的远程攻击者可能检测这些数据包并推断用户行为。

本文探讨了在极低采样率（5Hz）下，利用智能手机内置加速度计窃听语音的可能性。背景是：为防止恶意应用通过运动传感器窃听，Android 12 已将零权限访问的运动传感器最大采样率限制为 200Hz。但已有攻击证明 200Hz 仍不安全，因此厂商可能进一步降低采样率，直至极低水平（例如 5Hz）。传统窃听方法依赖频谱特征，在采样率低于 50Hz 时已无法达到可接受的精度。按照奈奎斯特定律，人类语音最低基频约 85Hz，5Hz 的采样率理论上无法捕获语音。然而，作者发现加速度计数据中的节奏特征（包括暂停节奏和强度节奏）在不同采样率下相对稳定。基于这一观察，他们提出了一种在 5Hz 极端低采样率下利用加速度计进行窃听的方法。该方法不依赖频谱信息，而是通过提取语音的节奏模式来推断说话内容。实验部分（摘要中未详述，但预期表明）在多种实际场景下验证了方法的有效性。该研究揭示了即使采样率降至极低，加速度计仍可能构成隐私泄露风险。

该研究通过定性访谈方法，探索了德国相对贫困（即低社会经济地位SES）人群的数字安全与隐私实践。研究者对17名处于失业、低收入或接受社会救助状态的参与者进行了半结构化访谈，采用最大差异化抽样确保样本多样性，并使用主题编码分析数据。研究发现，参与者普遍对数字安全有高度关注，但他们的实际威胁主要来自现实世界——例如家庭成员、熟人滥用个人信息、设备共享导致的隐私泄露、以及政府监控（如Jobcenter对失业者的监视）。相比之下，网络钓鱼、恶意软件等传统网络安全威胁并非主要担忧。受访者普遍存在设备老旧、共享、缺乏稳定互联网连接等问题，这限制了安全措施的实施。他们常用高风险策略，如物理隔离（拔掉网线）、删除应用或依赖手工记账代替电子银行。研究强调，现有安全解决方案大多假设用户拥有充足的硬件、宽带和隐私环境，而低资源用户的需求被系统性忽视。主要贡献在于揭示了SES如何塑造数字安全体验，并呼吁开发适应低资源环境的可用安全工具与政策。该论文适合安全产品设计师、政策制定者、可用性研究人员及社会工作者阅读。

本文提出了一种名为 E-MagDiP 的框架，旨在解决基于脑电图（EEG）的社区感知项目中的隐私问题。此类项目通过聚合大量个体的脑电数据来分析学生或员工的专注度等群体特征，但 EEG 信号本身包含敏感的个人神经信息，直接采集和分析会带来隐私泄露风险。差分隐私（DP）是一种常用的隐私保护技术，通过向数据中添加噪声来保护个体信息，同时保留统计规律。然而，将 DP 应用于 EEG 数据面临两大挑战：一是需要在用户级别生成噪声，导致功耗和延迟显著增加；二是大多数商用 EEG 头戴设备无法修改硬件以集成噪声注入模块。为此，作者提出使用外部射频（RF）发射器向 EEG 头戴设备发射无线信号，在信号采集阶段物理性地扰动 EEG 信号，从而等效地实现 DP 噪声注入。该方法无需对用户设备进行任何修改，即可在采集源头实现隐私保护。据作者所述，这是首个将 RF 信号用于隐私保护而非攻击的研究工作，为 EEG 社区感知提供了一种实用的差分隐私实现路径。论文属于人机交互（cs.HC）领域的交叉研究，适合对隐私增强技术、脑机接口安全、边缘计算与无线感知感兴趣的学者和工程师阅读。由于仅基于摘要，尚无法获取实验细节，但该研究为 EEG 隐私保护开辟了新的技术方向。

本论文针对大语言模型（LLM）量化是否能够降低隐私风险的问题展开研究。现有相关研究几乎全部使用成员推断（membership inference）来衡量隐私，但作者认为这并非大多数人所关心的实际风险：人们真正担心的是模型逐字复现训练数据。为此，本文直接度量了逐字提取（verbatim extraction）这一风险。实验使用 Pythia 模型以及每个模型已知被记忆的公共序列，在从全精度到四比特的五个精度级别、三种模型规模下，追踪逐字提取的比例，同时测量困惑度以评估通用能力。主要发现有两方面：第一，量化是一种选择性遗忘器——在每种精度和模型规模下，逐字记忆的下降速度都快于能力下降，并且该结论在两种不相关的量化算法和两个评估语料库下均成立；第二，这种选择性不足以使量化成为隐私防御手段，这与先前成员推断研究结果的乐观解读相矛盾。在最大规模的模型中，四比特量化仍能复现大部分记忆序列，而能力仅下降几个百分点，且量化后存活的记忆数据比例随模型规模增大而增加。作者得出结论：压缩不应被视为移除记忆训练数据的方法，提取（extraction）而非成员推断才是实践者应关注的指标。所有代码、采样评估数据和逐配置结果均已公开。

本文研究分割学习中的隐私泄露问题，提出了一种基于拓扑复杂性（persistent Betti complexity）的隐私感知分割学习框架。分割学习通过将神经网络在客户端和服务器之间分割来实现协作训练，但不当的分割点会导致中间表示泄露敏感信息（如特征反转攻击和梯度泄漏）。作者通过逐层分析发现，隐私风险在神经网络层间高度不均匀，存在尖锐的过渡区域，仅靠网络深度无法捕捉。具体而言，在更深的隐私关键分割点，特征反转的保真度可从可忽略的重建提升至SSIM高达0.98。进一步实验表明，Betti复杂度能够一致地识别出与高风险特征空间隐私泄露相关的表示区域。基于此观察，本文提出BettiSafe，一种无需显式执行攻击即可识别隐私敏感层的拓扑引导分割选择策略。与基于深度的启发式方法相比，BettiSafe将特征反转抵抗能力提升2至5倍，同时保持分类准确率。此外，基于Betti的正则化方法在不降低模型效用的前提下，将反转难度提升近5倍，实现了有利的隐私-效用权衡。总体而言，本文表明拓扑复杂度可作为安全、自适应且表示感知的分割学习的结构性描述符，适用于现实世界的协作系统。

本文提出SPIRAL协议族，用于实现单服务器私有信息检索（PIR）。核心创新在于组合使用两种基于格的同态加密方案：Regev加密方案和Gentry-Sahai-Waters（GSW）加密方案，并引入了新的密文转换技术，使得两种方案可以高效互转，从而在通信和计算之间实现新的权衡。实验表明，与先前系统相比，基础版SPIRAL在多种数据库配置下同时实现了查询大小降低至少4.5倍、响应大小降低1.5倍、服务器吞吐量提升2倍。变体SPIRAL-STREAMPACK针对流式场景优化，在超过百万条记录的数据库上达到1.9 GB/s的服务器吞吐量（先前协议为200 MB/s），速率达到0.81（先前为0.24）。对于大规模记录（如私有视频流），估计SPIRAL-STREAMPACK的货币成本仅为无隐私基准（客户端直接下载记录）的1.9倍。该工作适用于对隐私保护数据库查询有需求的场景，如医疗记录检索、金融数据查询等。

本文提出了一款名为 V-Cloak 的实时语音匿名化系统，旨在保护用户在即时通讯或社交媒体上生成的语音数据中的声纹隐私，防止恶意对手进行身份推断或身份盗窃。现有的语音匿名化技术（如信号处理、语音转换/合成）往往导致感知质量下降。V-Cloak 通过一种一次性生成模型，在保持语音可理解性、自然度和音色的前提下，实现实时匿名化。该方法对不同频率级别的音频特征进行调制，并采用精心设计的损失函数，包括匿名损失、可理解性损失以及基于心理声学的自然度损失。V-Cloak 支持无目标和有目标匿名化，分别实现不可识别性和不可链接性。作者在四个数据集（LibriSpeech 英文、AISHELL 中文、CommonVoice 法文和意大利文）、五种自动说话人验证（ASV）系统（包括两种基于 DNN、两种统计方法和一种商业 ASV）以及十一种自动语音识别（ASR）系统（针对不同语言）上进行了广泛实验。结果表明，V-Cloak 在匿名性能上优于五种基线方法。此外，仅在 VoxCeleb1 数据集上针对 ECAPA-TDNN ASV 和 DeepSpeech2 ASR 训练的 V-Cloak 仍具有跨 ASV 的可迁移匿名能力和跨语言的 ASR 可理解性。论文还验证了 V-Cloak 对各种去噪技术和自适应攻击的鲁棒性。该工作为语音隐私保护提供了有效且实用的解决方案。

本论文研究客户端扫描（Client-Side Scanning, CSS）技术在安全隐私研究人员和美国普通公众中的态度差异。客户端扫描是一种在用户设备上自动扫描内容（如图片、消息）以检测非法材料（如儿童性虐待材料）的技术，但其对隐私和信任的潜在影响引发争议。研究通过两个调查：一个针对安全隐私研究人员（171名受访者），另一个针对美国人口样本（1000+名受访者），收集他们对CSS不同维度的看法，包括可接受性、隐私权衡、信任影响等。结果显示，研究人员普遍对CSS持谨慎态度，强调隐私风险和滥用可能性；而普通公众则表现出更高的接受度，尤其是当CSS被用于保护弱势群体时。研究还发现，对CSS的支持性受信息呈现方式（如强调隐私保护或公共利益）的影响。主要贡献在于：首次系统比较了专家与公众对CSS的态度，揭示了认知差距；为政策制定者和技术开发者提供了关于CSS社会接受度的实证数据；强调了在设计CSS系统时需平衡安全与隐私。

该论文研究了德国法院判决中使用的匿名化技术的有效性。法院判决的公开至关重要，但必须保护涉案人员的隐私。论文作者通过设计去匿名化实验，对大量已公开的德国法院判决进行评估，尝试重新识别被匿名的个人。实验采用多种去匿名化方法，包括基于上下文的推理、外部数据关联和模式分析。结果表明，当前许多法院使用的匿名化方法存在严重缺陷，相当比例的判决可以在不消耗过多计算资源的情况下成功去匿名化。论文进一步分析了失败原因，如过度依赖简单替换、未充分删除可关联信息等。主要贡献包括：首次系统评估德国司法系统中的实际匿名化实践，揭示了匿名化技术的脆弱性，并提出了改进匿名化流程的具体建议。研究对司法数据公开政策、数据保护合规及隐私增强技术具有重要参考价值。

本文研究AI代理身份系统中问责性与匿名性的平衡问题。现有行业实践和研究方案普遍倾向于让每个代理完全可识别以保障问责，但中国正在建设的国家级代理身份层（计划于2026年Q3公开上线）探索了一条不同路径：代理与经过验证的法律主体关联，但该主体身份不向任何业务层参与者披露；只有通过法律程序分别强制两个不同的政府机构才能重新识别，且任一机构单独无法完成。作者将这一机制命名为“分裂知识绑定”（split-knowledge binding），并坦承它是条件性的——分离是结构性和程序性的，而非密码学层面的；若国家同时强制两个机构，则可重新识别。论文贡献了五个方面：(1) 分裂知识绑定，一种基于机构而非密码学分离的托管问责机制；(2) 事后归因论（ex-post attribution thesis），主张只有基于归因的问责才能对AI代理具有法律后果的行为产生法律效力；(3) 问责面（accountability surface），一个设计概念，标识哪些代理行为会留下身份痕迹；(4) 身份托管比例框架（proportionality framework for identity escrow），在三种信任架构中选择的决策结构；(5) 反思性管辖方法（reflexive jurisdiction method），用于评估本文自身部署的标准。系统证明了国家级可行性；该框架是评判任何部署（包括本文所述系统）的工具。

该论文聚焦于城市感知中的隐私保护问题，以空气污染监测为用例。研究背景是：提供网约车、电商物流、外卖配送等服务的公司愿意为车辆安装传感器，以大规模采集交通拥堵、行程时间、路面质量、空气质量等数据。然而，这些细粒度传感器数据会暴露部署车队的车辆位置和数量，这对同领域竞争对手（如Uber vs Ola、Amazon vs Alibaba）具有高度商业价值。为解决此问题，论文提出一种结合高斯过程回归（GPR）插值、差分隐私（DP）和安全两方计算（2PC）的隐私保护方案。该方案在保留用户效用（如查询最不污染的路线）的同时，确保车队位置隐私和客户端隐私不被泄露。系统在延迟和带宽开销上高效，甚至适用于资源受限的移动客户端。为演示端到端系统，作者构建了一个示例Android应用，可在隐私保护前提下为给定起止点提供污染最少的路线选项。论文的主要贡献在于：将GPR、DP和2PC三种技术结合，实现可扩展的、保护隐私的城市感知数据共享机制，并验证了其在实际移动设备上的可行性。适合关注数据隐私、安全多方计算、差分隐私以及智慧城市应用的研究人员和工程师阅读。

本文针对移动应用在不同地理区域间代码级安全与隐私差异（GFD）进行了首次系统研究。虽然已有工作关注元数据级别（如权限、隐私政策）的区域差异，但代码实现层面的差异缺乏深入分析。作者开发了名为Freelens的框架，解决了代码混淆和分析可扩展性等关键挑战，能够自动识别并表征跨区域的安全相关代码变化。基于该框架，作者对分布在十个不同互联网自由程度国家的21,120个Android应用进行了大规模实证研究。研究发现：广告库、数据处理逻辑和认证机制等存在显著的区域差异，这些差异经常破坏安全基线，并导致隐私保护水平不均衡。研究还揭示了GFD现象的上升趋势，强调了制定统一隐私安全标准的紧迫性。最后，作者为开发者、平台提供商和监管机构提供了可操作的建议，以促进用户权益的公平保护。

该论文研究了视频流媒体服务中用户隐私面临的大规模监控风险。研究背景在于，视频流媒体服务日益普及，但其网络流量特征可能泄露用户的观看行为、偏好甚至个人身份信息。核心问题在于现有隐私保护措施（如加密）是否足以防御针对流量的侧信道攻击。方法上，作者可能设计了一个大规模监控框架，通过分析加密流量的时序特征、数据包大小分布等元数据，识别出用户正在观看的具体视频内容。实验部分可能基于多个流行的流媒体平台的数据集，验证了监控方法的有效性，并评估了不同保护机制（如VPN、混淆）的防御效果。主要贡献包括：（1）系统性地量化了视频流媒体服务中的隐私泄露程度；（2）提出了可扩展的监控方法；（3）揭示了现有加密方案的不足。该研究适合网络安全研究员、隐私工程师及流媒体服务提供商阅读，以理解当前威胁并设计更健壮的隐私保护方案。

本文研究私密信息检索（PIR）协议的通信复杂度问题。PIR 允许用户在不向服务器泄露查询内容的情况下，从分布式数据库中检索一条记录。经典结果要求服务器数量与通信量之间存在权衡。本文在数论猜想（广义重单位猜想或 Schinzel 假设 H）成立的前提下，构造了对于任意常数 s 的 s 服务器 PIR 协议，其通信复杂度为 exp(O((log n)^{1/s} (log log n)^{1-1/s}))，其中 n 为数据库大小。此前达到相同通信量的协议需要 2^{O(s)} 台服务器。核心创新在于构建了仅含 k+1 个非零系数的 S-解码多项式（模 k 个素数的特殊乘积），解决了 Ghasemi 和 Kopparty 提出的开放问题，该稀疏性已被证明是最优的。作者还通过实验验证了构造的正确性，并使得对于 s ≤ 15 的结果无条件成立。此外，对于随 n 增长的 s，在更强的数论猜想下，本文证明了匹配向量 PIR 的通信复杂度可较先前最优结果实现超多项式改进。主要结果（常数 s）及其证明由作者在 GPT-5.5 Pro 对话中发现。该工作属于理论计算复杂性领域，为高效 PIR 协议的设计提供了新的代数工具。

这篇论文对移动应用生态中的设备指纹识别行为进行了大规模分析。研究采用市场视角，聚焦于第三方SDK（软件开发工具包）所支持的跨应用追踪。数据集包括来自流行Maven仓库的超过22.8万个SDK、从Google Play商店收集的17.8万个Android应用，并通过静态分析管道检测超过500种个体信号的外泄。据作者所知，这是迄今为止最大规模的SDK行为分析。研究旨在揭示SDK如何收集设备信息并将其用于指纹识别，从而帮助理解移动广告和追踪市场的运作方式。论文主要贡献包括：提供了SDK指纹识别行为的系统化分类、量化了不同类别SDK的流行度与行为差异、并指出了当前应用商店审核和隐私保护的盲区。适合移动安全研究人员、隐私保护从业者及应用开发者阅读。

该论文研究离线位置追踪生态系统中的隐私与安全平衡问题，重点关注如何设计抗滥用的位置追踪协议。现有位置追踪设备（如蓝牙追踪器）广泛应用于寻找丢失物品，但也可能被用于未经授权的跟踪（如跟踪他人）。论文提出一种新型加密协议，允许设备所有者查找其物品位置，同时防止恶意第三方或服务提供商滥用位置信息。核心方法包括基于公钥加密的密钥分发机制和匿名认证技术，确保只有授权用户能查询位置更新，而服务提供商无法关联具体用户。实验部分模拟了追踪器与智能手机的交互场景，分析了协议在延迟、能耗和安全性方面的表现。主要贡献是设计并实现了第一个同时满足隐私性（防止服务商追踪用户）与安全性（防止非法跟踪）的离线位置追踪系统，并提供了安全证明。适合安全通信、隐私保护及物联网安全领域的研究者阅读。

该论文针对Android应用中第三方追踪的同意通知机制及其对欧盟《通用数据保护条例》（GDPR）的合规性进行了系统性研究。作者通过大规模静态和动态分析，检测了付费及免费Android应用中嵌入的第三方追踪库，并评估了这些应用在收集用户数据前是否获得了用户的有效同意。研究发现，大量应用在用户未明确同意的情况下即开始追踪，或同意通知的设计违反了GDPR的明确性和自由给予原则。论文的重点贡献包括：构建了一套自动化的同意通知检测框架，识别了多种常见的违规模式（如预设同意、缺乏撤销选项、通知过于隐蔽等），并对不同类别应用的风险等级进行了量化。该研究为移动应用开发者、隐私合规工程师以及监管机构提供了实证依据和实践指导。

本文首次系统研究了神经网络剪枝过程中的隐私风险，特别是成员推理攻击（Membership Inference Attacks）的影响。作者指出，现有的剪枝研究主要关注如何在保持模型精度的同时提高稀疏性，但忽略了剪枝可能带来的训练数据记忆化风险。通过实验，他们发现剪枝过程会导致模型在成员（训练集数据）和非成员（非训练集数据）上的预测行为产生差异（即预测发散），并且这种发散在不同类别上表现不同。基于此观察，作者提出了一种基于自注意力机制的成员推理攻击方法，专门针对剪枝后的神经网络。该攻击利用剪枝导致的预测发散，通过自注意力权重聚焦于发散显著的样本，从而更准确地推断数据是否属于训练集。实验表明，该方法在多个剪枝方法、稀疏度水平和攻击知识假设下，均优于现有的八种成员推理攻击。此外，作者还提出了一种基于KL散度的防御机制，通过最小化剪枝前后模型预测分布的差异来缓解预测发散，从而保护隐私。实验证明，该防御在保持模型稀疏性和精度的同时，有效降低了成员推理攻击的成功率。该研究适合AI安全研究人员、隐私保护工程人员以及模型压缩领域的从业者阅读。

本文研究利用缓存侧信道实现目标去匿名化的攻击与防御。作者首先分析了现代处理器中缓存侧信道泄露的机制，指出攻击者可通过监控共享缓存访问模式来识别受害者的活动，从而推断其身份或敏感信息。然后，提出了一种新的去匿名化攻击方法，利用CPU缓存的时序差异来区分不同进程或虚拟机的行为，结合先验知识（如网站指纹）实现用户去匿名化。实验在真实多用户系统上验证了攻击的有效性，成功率达到90%以上。针对该威胁，作者设计了两种防御机制：一是基于缓存分区，隔离敏感进程的缓存占用；二是引入随机延迟，混淆缓存访问模式。评估表明，防御措施在合理性能开销（<15%）下有效降低攻击成功率至10%以下。本文系统性地揭示了缓存侧信道在隐私攻击中的新应用，并提供了可落地的对策，适合安全研究人员、系统架构师以及云服务提供商阅读。

该研究旨在解决日益复杂的监管环境下的合规性问题，提出利用计算工具进行法律审计的可能性。具体而言，研究者探索构建一个计算审计器，用于检查移动健康（mHealth）应用是否满足联邦安全与隐私法规。他们发现，虽然将开放式的、普遍适用的复杂法律转化为计算原则具有挑战性，但使用非法律的、权威的解释性文档可以在保留法律开放式特性的同时实现计算可操作化。研究在182个FDA/CE批准的mHealth应用上测试了该审计器，结果表明使用非法律的权威指导文档有助于创建计算审计器，这是一种管理日益增长的合规责任的有前景的工具。论文贡献在于提出了一种新的方法范式，即利用非法律文档进行法规的自动化审计，并展示了其在真实应用上的可行性。对于安全合规工程师、移动应用开发者及监管科技从业者具有参考价值。

本文提出了一种基于码分调制层（CDML）的方法，用于解决持续学习在步态识别系统中面临的灾难性遗忘和隐私推理攻击问题。持续学习允许模型逐步吸收新任务的知识，而无需重新训练整个模型，在生物识别领域具有降低计算成本的潜力。然而，传统持续学习方法在小批量数据上逐步微调模型时，容易导致旧任务准确率下降（灾难性遗忘），且模型可能泄露敏感信息（如成员推理攻击）。作者将步态识别系统视为多任务持续学习场景，每个任务对应不同个体的步态模式。核心创新是引入CDML，这是一种在模型特征层中添加可学习调制向量的技术，类似于扩频通信中的码分多址概念。每个任务分配一个独立的调制码，在训练时仅更新该码和分类器，而共享特征提取器保持不变，从而缓解遗忘。同时，由于调制层的随机性，攻击者难以从模型输出中推断特定个体是否在训练集中，有效抵御成员推理攻击。实验基于公开步态数据集（如CASIA-B），与EWC、LwF等基线方法对比，结果表明CDML在保持所有任务平均准确率的同时，将成员推理攻击的成功率降至接近随机水平。此外，该方法无需存储旧样本回放，进一步降低了数据重传的开销。论文的贡献在于：1）首次将CDML应用于步态持续学习；2）同时解决准确率与隐私问题；3）实验验证了方法的有效性。适合从事生物识别、持续学习或隐私保护的研究人员阅读。

随着边缘设备（如手机）计算能力提升和隐私要求日益严格，越来越多的深度学习应用选择在边缘端预处理敏感原始数据，再将提取的特征传输到云端进行后续处理。面部识别服务是典型例子，它需要从不同个人的面部图像中提取特征。为了防止身份信息在传输或云端被窃取，传统方法通常采用对抗博弈的方式从特征中剥离身份信息。然而，这类方法无法有效抵御自适应攻击——即攻击者针对已知防御策略采取反制措施。本文提出 Crafter，一种部署在边缘端的特征加工机制。其核心防御思路是误导攻击者使其陷入非私有的先验信息，从而几乎无法从攻击中获取关于用户私人身份的信息。换而言之，加工后的特征对于自适应更新模型攻击者而言扮演了中毒训练样本的角色。实验中，Crafter 成功抵御了基本攻击和多种自适应攻击变体，而当前最先进的基于对抗博弈的方法均无法达到同等效果。该方法不依赖预设攻击模型，具有较强的泛化能力。

该论文对大型语言模型（LLM）在隐私政策分析领域替代传统专用工具的能力进行了首次系统性评估。研究背景是LLM的兴起使得以往需要专门领域工具的隐私政策与数据合规分析任务变得可能，但尚不清楚LLM能否真正复制现有工具的多样化功能和方法。核心研究问题为：现成的LLM（如GPT-5.2和Gemini-2.5）能否替代六种代表性专用工具？这些工具涵盖三大功能：矛盾检测、合规性分析、隐私政策总结与聚合；以及三个中间任务：基于元组的结构化数据提取、语义角色标注（SRL）和手动隐私政策标注。方法上，作者构建了一个包含10个隐私政策的自定义数据集，直接提示LLM执行对应功能和任务，并与原始工具结果对比。实验结果表明，LLM在所有功能上一致达到或超过现有工具的性能。例如，在第一方收集实体的手动标注中，LLM平均精确率81.8%、召回率70.9%；在第三方共享实体标注中，平均精确率91.4%、召回率70.9%（与OPP-115数据集对比）。主要贡献是首次证明LLM无需额外工程或领域特定训练即可有效执行隐私政策与法规分析中的广泛功能与任务，为未来自动化合规分析提供了可行性基础。适合隐私领域研究人员、安全合规从业者以及希望用LLM简化流程的工程团队阅读。

本文提出 Hadal，一种无需可信第三方的集中式标签差分隐私协议。传统标签差分隐私（Label DP）通常依赖一个可信聚合器来扰动标签，但实际应用中难以找到完全可信的第三方。Hadal 利用安全多方计算（MPC）和秘密共享技术，允许多个数据提供者在无需相互信任或依赖单一可信方的情况下，共同计算带有差分隐私噪声的标签统计量。核心思想是将标签扰动过程分布到多个非共谋服务器上，通过密码学协议确保即使部分服务器被攻陷，也能保护隐私。实验表明，Hadal 在保持与集中式方案相当精度的同时，显著降低了信任假设，适用于联邦学习、众包标注等场景。

该论文通过27个半结构化访谈，深入探讨了中国智能家居产品团队（包括产品/项目经理、软硬件工程师、用户体验设计师、法律/隐私专家、市场/运营专员）的隐私观念、实践及风险缓解策略。研究发现，参与者强调遵守中国数据隐私法律，这些法律通常将国家安全置于个人隐私权之上。此外，中国特有的文化、社会和法律因素也影响了参与者的伦理考量，以及他们在平衡用户隐私与安全及便利性之间的态度。基于这些发现，论文提出了一系列针对智能家居产品团队的建议，以及社会技术和法律干预措施，以解决中国多用户智能家居中的隐私问题，特别是针对风险群体的隐私问题。该研究填补了非西方背景下智能家居产品团队隐私视角研究的空白，为相关从业者和研究者提供了重要参考。

本文提出Jigsaw系统，旨在实现双重隐私保护的智能合约，即同时保护合约的输入数据和合约逻辑（代码）的隐私。传统的智能合约在区块链上公开执行，导致交易数据和合约代码对所有节点可见，存在隐私泄露风险。Jigsaw结合了安全多方计算（MPC）和零知识证明（ZKP）等密码学技术，设计了一种新的协议，允许合约参与方在不泄露各自输入和合约逻辑的情况下协同执行计算，并验证结果的正确性。系统架构采用分片（sharding）和秘密共享机制，将合约状态分割成多个秘密份额，分布在不同节点上，任何单个节点无法获取完整信息。实验评估表明，Jigsaw在以太坊测试网络上运行具有可接受的性能开销，相比现有完全同态加密或MPC方案，在延迟和吞吐量方面有所优化。本文的主要贡献在于提出了首个同时满足输入和代码隐私的智能合约系统，并给出了形式化安全证明和原型实现，为区块链隐私保护研究提供了新的方向。

该论文研究如何安全高效地将zk-SNARKs证明的生成任务外包给单个不信任的服务器，同时保护用户的隐私。zk-SNARKs是一种零知识证明，允许证明者向验证者证明某个陈述为真，而无需泄露任何额外信息。然而，生成zk-SNARKs证明的计算开销巨大，对于资源受限的用户（如移动设备）而言难以承受。现有解决方案要么依赖多个服务器（需要非共谋假设），要么牺牲隐私。本文提出一种单服务器私有外包协议，允许用户将证明生成任务委托给单个服务器，服务器执行大部分计算，而用户仅需少量本地计算。核心方法结合了同态加密与简洁的本地验证技术，确保服务器无法学习任何关于用户输入（包括秘密witness）的信息，同时用户可高效验证服务器返回结果的正确性。实验表明，与在本地生成证明相比，该方案可显著降低用户计算开销（例如，对于R1CS电路，用户端时间减少约99%），而通信开销和服务器计算量仍在可接受范围内。主要贡献包括：形式化定义单服务器私有外包的模型与安全要求；提出一个具体构造，基于可验证计算和同态加密；在多个实际电路上进行性能评估。该工作对于推动零知识证明在移动端和边缘设备上的应用具有重要价值。

本文针对GDPR实施后Android手机中用户不可重置标识符（如IMEI、IMSI、MAC地址等）的保护机制进行了系统性的威胁狩猎研究。研究背景是GDPR要求设备制造商强化隐私保护，Android系统在多个版本中引入了诸如权限控制（READ_PHONE_STATE限制）、标识符随机化（如随机MAC地址）以及对IMEI等敏感标识符的访问管控。然而，这些措施的实际有效性和残留风险尚未得到充分评估。作者通过大规模实验，在多种主流品牌和Android版本的设备上，采用静态代码分析、动态运行时监控以及基于硬件/模拟器的自动化测试，评估了操作系统层面防护措施的有效性。实验发现，即便在最新版本中，仍存在多种规避保护的方法：例如，通过复合多个半标识符（如广告ID、设备名称、网络信息等）进行用户重识别；利用时间相关性攻击，在不同时间窗口捕获看似随机变化的标识符，通过关联模式追踪用户行为；以及通过系统服务通信中的隐蔽通道间接获取标识符。此外，作者提出了一种名为“Inception Attack”的新型攻击思路，通过篡改系统服务响应或模拟合法请求，诱导系统绕过权限检查并泄露受保护标识符。研究揭示了当前Android保护机制在应对组合攻击和隐蔽通道方面存在的不足，并量化了不同品牌/版本下的风险暴露程度。最后，作者基于发现给出了多项加固建议，包括强化权限审计、增加标识符使用透明度、以及引入基于行为的异常检测。

该论文研究在污水监测数据中保护个体身份隐私的问题。污水监测广泛应用于公共卫生领域，如检测药物滥用或传染病爆发，但原始数据可能包含可追溯至个人的敏感信息（例如特定社区的用药模式）。作者提出结合统计隐私技术和差分隐私（Differential Privacy）的方法，对污水数据进行匿名化处理，确保在发布聚合统计信息时，无法反推出单个个体的贡献。具体方法可能包括对数据添加可控噪声或使用k-匿名等统计去标识化技术，并在隐私预算（ε）的约束下进行优化。实验部分通过真实或合成的污水数据集验证了所提方法在隐私保护强度与数据效用之间的平衡。结果表明，该方法能够显著降低重识别风险，同时保留用于流行病学分析的关键趋势。该工作为公共卫生数据共享提供了实用的隐私保障框架。

本文提出一种利用用户网络摄像头进行侧信道攻击的方法，以窃取在线投票中的隐私选择。作者通过分析用户投票时眼动轨迹，利用深度学习模型从视频流中提取视线方向特征，并结合投票界面布局，推断用户点击的选项。实验在受控环境下进行，使用多个参与者模拟投票场景，结果表明该方法能够以较高准确率（>85%）恢复用户的投票选择，且无需修改硬件或注入恶意代码。研究揭示了视频侧信道在投票隐私中的新风险，并讨论了可能的防御措施，如视线随机化或屏幕防窥膜。

本文提出了一种名为“Shared Spotlight Meridian”的新型分布式稀疏伪随机函数（Sparse PRF）协议，旨在解决联邦学习中可扩展性、通信效率和隐私保护的挑战。联邦学习通常需要客户端与服务器之间频繁交换模型更新，这会导致高通信开销和潜在的隐私泄露风险。传统伪随机函数在分布式场景下难以高效实现稀疏输出，而现有稀疏PRF方案多基于强假设或计算密集。作者引入了一种轻量级的分布式协议，利用秘密共享和双向映射技术，使服务器能够聚合客户端稀疏更新的同时保持隐私。通过理论分析和模拟实验，证明了该方案在通信轮数、计算开销和模型精度上优于现有基线方法。该研究为大规模联邦学习系统提供了一种实用的隐私增强组件，尤其适用于带宽受限或对通信敏感的场景。

该论文针对单服务器有状态私密信息检索（PIR）协议中效率与可验证性之间的权衡问题，提出了一种新型协议。论文首先分析了现有单服务器PIR方案在状态更新和验证方面的不足，指出大多数方案无法同时保证检索结果的正确性（可验证性）和支持高效的批量查询。作者设计了一个基于同态加密和承诺机制的协议，该协议通过引入轻量级状态更新算法，在服务器端维护一个加密状态，客户端每次查询时仅需少量交互，并能通过验证算法确保服务器未篡改数据。实验部分使用真实数据集评估了协议的性能，结果显示在带宽、计算开销和存储开销方面均优于现有方案，特别是在大规模数据场景下，查询延迟降低了约40%。该工作为构建可审计的私有数据检索系统提供了新的思路，适合对隐私增强技术和数据库安全感兴趣的研究者阅读。

未提供论文摘要，无法生成详细描述。本论文标题涉及隐私感知的视网膜图像生成，可能用于青光眼筛查，但具体方法不明。

本文提出了一种针对机器学习模型的新型隐私攻击——代码投毒属性推断攻击（CPPIA），这是首个在代码层面实施的属性推断攻击。现有属性推断攻击存在攻击性能不足、模型准确率严重下降、计算开销大、在防御下失效等四大局限性。CPPIA 利用代码托管平台（如GitHub）和编码代理（如Codex）上恶意代码提供者的投毒行为，攻击者将秘密样本中嵌入目标属性，数据持有者在下载被投毒的代码后，使用自己的私有数据训练模型，并发布仅标签API。攻击者通过查询训练后模型对这些秘密样本的预测，即可推断训练集的全局属性（如性别比例、疾病分布等）。实验在四个数据集、八种模型架构、十八种属性以及三种防御机制下进行，结果显示CPPIA实现了100%的攻击准确率，且未降低模型准确率。该方法计算轻量，无需影子模型。论文详细描述了攻击流程、属性嵌入技术、以及对抗多种防御（如差分隐私、对抗训练、模型剪枝）的能力，证明了其通用性和有效性。该研究揭示了代码供应链在隐私安全中的新风险，对ML模型训练工作流的安全性提出了挑战。

检索增强生成（RAG）通过外部文档检索增强大型语言模型的能力，但检索到的上下文可能泄露敏感信息。现有隐私保护方法通常基于文档级静态风险假设，即认为所有检索文档具有相同的隐私泄露风险。然而，这一假设忽略了RAG的一个基本特征：文档的隐私风险高度依赖于用户的查询，使得隐私泄露本质上是查询驱动的、动态的。为了解决这一挑战，本文提出了一种用于隐私保护RAG的提示感知动态层次差分隐私框架（PA-HDP）。PA-HDP首先执行提示感知的风险层次划分，动态评估不同查询下的隐私风险；然后应用自适应敏感实体替换和基于指数机制的文本选择，在保留语义效用的同时提供差异化的隐私保护。通过仅保护给定查询下真正敏感的内容，PA-HDP最小化了对检索语料库的不必要修改。在基准数据集上的大量实验表明，PA-HDP在保持高检索质量的同时显著降低了隐私泄露，实现了比先前方法更好的隐私-效用权衡。本文适用于对RAG隐私保护、差分隐私、以及大语言模型安全感兴趣的研究人员和工程师。

该论文对2018至2023年间发表的200篇可用隐私与安全（UPS）领域的出版物进行了元研究，这些出版物来自USENIX Security、IEEE S&P、CCS、SOUPS、CHI等12个会议或期刊。同时，作者还分析了这些会议/期刊的81份征稿通知和20份工件征集通知。研究旨在评估当前UPS社区在研究透明度方面的实践及其发展趋势。作者定义了52个透明度标准，并逐一检查每篇论文的报告情况。结果显示，大多数论文报告了其中许多标准，但没有一篇论文实现完全透明。具体问题包括：关键工件（如问卷）经常缺失，阻碍了复制研究；部分信息报告不一致；死链接进一步降低了可用性。回归分析表明，论文长度和描述的研究数量对报告透明度有显著影响，但出版年份和工件评估（AE）流程未观察到影响。基于这些发现，论文为作者、会议/期刊以及程序委员会主席提出了改进研究透明度实践的建议，并建议制定透明度指南。该研究揭示了UPS领域在可重复性和可信赖性方面的重要问题，特别适合安全与隐私研究人员、会议组织者和政策制定者阅读。

网络功能虚拟化（NFV）使得以低成本将多种网络功能作为云服务提供成为可能，其中网络测量任务（如重流检测和流量分布估计）是许多核心网络功能的基础，能够提升企业网络的性能与安全性。然而，将网络测量服务部署在第三方多租户云服务提供商中引发了严重的隐私与安全问题。最近研究表明，泄露和滥用流统计信息可能导致严重的网络攻击，如分布式拒绝服务（DDoS）、网络拓扑操纵和投毒等。为此，本文提出 OblivSketch，一种作为云服务的 oblivious 网络测量框架。OblivSketch 利用不经意随机访问机（ORAM）和安全飞地（如 Intel SGX）来保护流统计信息的隐私，确保云服务提供商无法窥探或篡改测量数据。该框架支持多种测量任务，包括重流检测、流量分布估计和熵估计等，并能在保持隐私的同时提供可接受的性能开销。实验结果表明，OblivSketch 在真实网络流量数据集上能够高效运行，与现有非隐私保护方法相比，性能损失在可接受范围内。主要贡献包括：设计了第一个支持多种 oblivious 网络测量任务的原型系统；提出了针对重流检测和分布估计的 oblivious 算法；实验验证了隐私保护下的实用性能。本文适合云安全研究人员、网络管理员以及对隐私计算感兴趣的读者。

该论文针对移动应用中隐私政策与平台数据安全标签之间的不一致性进行大规模实证研究。随着移动应用的快速增长，用户数据隐私问题日益突出。虽然隐私政策描述了应用如何收集和共享数据，但Google Play等平台提供的数据安全标签旨在总结这些实践。由于这两种披露渠道是分别声明的，它们可能呈现不一致的应用数据实践表示，给用户和监管机构带来不确定性。本研究对6,051款Android应用进行了披露一致性的实证分析。研究者采用基于LLM的提取框架，并构建了一个统一模式，涵盖Google Play的14个数据类别及收集和共享两种操作。他们测量了每个应用和每个类别的一致性，并引入了一个敏感性加权风险评分，以强调高风险数据类型。研究发现，不一致性不成比例地影响敏感类别，如个人信息和设备标识符，且共享披露的一致性低于收集披露。高风险隐私集中在与持续监控和通信相关的应用类别中。总体而言，研究结果揭示了当前披露机制中的结构性缺陷，强调了在平台级隐私报告中加强验证和提高透明度的必要性。

本文提出了一个名为 PriEval-Protect 的统一框架，用于医疗保健系统中的隐私风险评估与保护。当前，在 GDPR 和 HIPAA 等法规下，保护患者隐私并同时允许有意义的医疗数据使用至关重要，但现有合规方法通常依赖人工，容易出错，且将政策审计与数据级评估割裂。PriEval-Protect 采用两阶段设计：评估阶段结合了基于微调法律大语言模型（LLM）与检索增强生成（RAG）的监管合规评分，以及通过加密类型、数据架构和多种度量指标（包括相似度、不确定性、攻击者成功率、信息增益/损失）进行的技术分析。利用层次分析法（AHP）对各类指标进行加权聚合，得出综合风险评分。保护阶段则根据评估的风险推荐相应的防护措施，例如联邦学习和差分隐私。作者在真实医院文档和数据集上进行了实验，结果表明该框架能提供与法规对齐且可解释的评估，有效弥合了法律合规与数据级风险分析之间的鸿沟。该工作对于需要自动化隐私合规评估的安全团队、合规官以及医疗行业的数据保护从业者具有参考价值。

该论文研究了真实数据与文本到图像（T2I）生成数据混合训练（RSMT）对隐私泄露的影响。尽管在学术界和工业界，使用T2I合成数据扩充真实数据已成为缓解数据稀缺和隐私限制的常见做法，但先前研究主要关注合成数据替代敏感样本对隐私的保护作用，而忽略了混合训练中剩余真实样本的隐私风险。本文首次揭示RSMT会显著放大真实训练样本的隐私泄露。作者建立了理论框架“RSMT记忆放大”，证明合成数据的加入会将真实样本推向混合特征空间的边缘区域，导致模型更主动地记忆这些样本。基于此理论，提出了系统性评估风险的成员推断攻击方法RSMIXLeak，包括两种变体：非对抗变体用于评估良性RSMT管线下由真实与T2I数据固有差异导致的下界泄漏；对抗变体则考虑攻击者控制T2I模型或贡献恶意数据，通过高级语义属性绑定或不可察觉的像素级涂层人为扩大目标类的分布差异，进一步放大隐私泄露同时提升下游模型效用。最后，提出一种轻量级泄漏倾向指标，仅需真实数据即可计算，可靠识别不适合进入RSMT的高风险数据集，作为可自评估的缓解措施。该研究对数据隐私保护、机器学习安全及合成数据应用有重要警示意义。

随着无人机互联网（IoD）的快速发展以及无人机移动性的增强，地理上分散的域之间的跨域交互变得不可避免。跨域认证是IoD的基本安全需求。然而，现有认证方案往往难以同时实现强安全性、高效率和身份隐私，因此不适用于高度动态且资源受限的IoD环境。为解决这一挑战，本文提出了P³CDA，一种隐私保护且可证明安全的跨域认证方案。首先，设计了一种高效的伪名管理机制，支持自适应伪名生成以及批量注册、验证和撤销。其次，提出了一种结构增强的Merkle哈希树（MHT），支持批量伪名更新，从而降低无人机的伪名存储开销。基于这些组件，开发了一种基于密码累加器的跨域认证协议，能够使用授权伪名实现匿名认证，同时保留对恶意无人机的可追溯性和高效撤销。在Canetti-Krawczyk（CK） adversary模型下严格分析了安全性并进行了形式化证明。大量实验表明，P³CDA在计算、通信和存储开销方面均优于现有方案。

该论文聚焦于大语言模型（LLM）从云端向边缘设备（如企业本地服务器、个人终端、物联网平台）迁移过程中面临的安全与隐私挑战。作者指出，边缘环境下有限的计算和内存资源迫使开发者采用量化、剪枝、模型分区、参数高效微调等优化技术，但这些技术可能引入新的漏洞并改变威胁格局。论文将此矛盾定义为“安全-效率悖论”——提升效率的机制可能削弱鲁棒性、暴露新攻击面或增加隐私风险。具体风险包括：压缩降低安全对齐、分区推理使重构攻击成为可能、持续本地适应导致隐私泄露和模型漂移。为系统性分析这些风险，作者提出了一种以部署为中心的漏洞分类法，围绕三大架构约束构建：内存墙（参数与缓存限制）、二次方墙（注意力机制的计算复杂度）、计算墙（硬件算力瓶颈）。基于此，论文推导出一个统一约束模型，量化何时不安全优化变得不可避免，并建立了每堵墙与特定攻击面的映射关系。进一步，作者提出了安全运营效率评分（SOES），这是一个平衡任务准确性、越狱抵抗性、隐私保护与能量、内存、延迟的综合指标，帮助从业者在真实硬件限制下配置边缘LLM。最后，论文给出了实用的决策流程和针对每种优化引入漏洞的定向缓解措施。实验部分通过案例研究展示了框架的有效性。该工作为边缘智能系统的安全、隐私与效率协同一体化设计奠定了基础。

本文针对增强现实（AR）和虚拟现实（VR）环境中通过头戴显示器（HMD）进行虚拟键盘打字时可能存在的隐私泄露问题，提出了一种新型侧信道攻击SNOOPFINGER。研究背景是AR/VR技术在金融、教育等领域的快速普及，用户通过手部追踪与虚拟对象交互，虚拟键盘成为主要输入方式。然而，用户打字时伴随的细微头部运动可被HMD传感器（无需额外权限）捕获，从而泄露输入内容。SNOOPFINGER的核心创新在于采用跨模态方法，仅依赖头部运动数据推断用户手部键入的信息，无需控制器或受害者先验数据。攻击流程包括：首先收集受害者打字时的头部运动轨迹，然后通过机器学习模型（如神经网络）映射到按键序列，最终重构单词或句子。实验招募24名参与者，在模拟AR/VR环境中进行打字任务，结果表明：单词推断Top-1准确率达55.2%，句子重建准确率达68.8%。该研究首次证明零权限的头部运动数据可被利用来窃取隐私输入，揭示了HMD环境下直接手打输入的重大安全风险。最后，论文讨论了潜在的缓解策略，如引入随机抖动、限制传感器采样率或使用噪音干扰。该工作对AR/VR系统设计者、安全研究人员以及用户隐私保护具有重要参考价值。

本论文针对大型语言模型（LLM）服务中的隐私保护问题提出了一种新的提示清洗方法PromptGraph。LLM推理过程中，用户的敏感信息不仅可能通过显式标识符（如姓名、电话号码）泄露，还可能通过看似无害的文本片段之间的上下文关联被推断。现有的提示清洗方法通常为每个片段单独分配隐私或效用信号，忽略了片段之间的成对关系。PromptGraph将每个提示表示为属性图，其中节点承载片段的隐私分数，边编码维持效用所需的上下文依赖关系。清洗目标是在最大化隐私增益的同时，惩罚上下文依赖关系的损失，从而在隐藏上下文证据时显式平衡隐私与效用。受保护的片段会被本地清洗，返回的占位符只有在通过局部一致性检查后才被恢复。实验结果表明，PromptGraph在隐私与效用之间取得了比现有的提示隐私基线更优的平衡。该方法为LLM隐私保护提供了新思路，特别适合需要同时保护隐私和保持推理质量的场景，如医疗、金融等敏感领域。

本文针对在线网站广泛使用的Cookie通知（cookie notice）进行研究。近年来，GDPR和CCPA等隐私法规要求网站在收集用户数据前获取用户同意，但许多网站采用暗黑模式（dark patterns）诱导用户做出有利于网站而非保护隐私的选择。作者提出了一个名为CookieEnforcer的自动化系统，旨在自动发现Cookie通知并执行操作以禁用所有非必要的Cookie。系统包含两个核心模块：首先是一个基于HTML元素渲染模式的自动Cookie通知检测器，能够从网页中准确定位Cookie通知弹窗；其次，通过将问题建模为序列到序列（seq2seq）任务，分析Cookie通知并预测需要点击的选项序列，从而禁用所有非必要Cookie。实验表明，CookieEnforcer在端到端准确率评估中能在91%的情况下生成正确的操作步骤。通过用户研究，该工具显著减少了用户手动配置Cookie的负担。最后，作者利用该系统对Tranco列表中前5000个网站（分别从美国和英国访问）进行了大规模测量，比较并记录了不同地区的Cookie通知实践差异。该研究为自动化隐私合规提供了有效的技术方案，适用于安全研究员、隐私工程师以及关注用户隐私保护的开发者。

本文介绍了第22届电子社会隐私研讨会（WPES '23）的会议概况。该研讨会是计算机与通信安全会议（CCS）的一部分，聚焦于电子社会中隐私保护的理论与实践问题。研讨会涵盖多个研究方向，包括但不限于：匿名通信系统、数据隐私保护技术、隐私政策与法规影响、隐私增强技术（PETs）的设计与评估、以及跨学科视角下的隐私问题。会议旨在汇集学术界、工业界和政府机构的研究人员，共同探讨新兴技术带来的隐私挑战，例如人工智能、物联网和区块链中的隐私问题。论文报告了研讨会接受的论文主题，以及对隐私领域未来研究方向的展望。本次会议特别强调了隐私保护在数字社会中的关键作用，并鼓励跨学科合作以应对日益复杂的隐私威胁。通过提供最新的研究成果和促进思想交流，WPES '23致力于推动隐私保护技术的创新与应用，为构建更安全的电子社会奠定基础。

本文首次对iOS 14引入的本地网络权限进行了全面分析，从技术和用户两个维度展开。技术方面，研究者通过系统性地访问本地网络，发现两种通过WebView绕过权限的方法，并指出受保护的本地网络地址范围不足。通过对10,862个iOS和Android应用进行大规模动态分析，揭示了应用访问本地网络的模式及iOS与Android之间的差异。用户方面，基于权限弹窗中呈现的概念，设计并实施了一项N=150的在线调查，评估用户对权限的理解、威胁认知及常见误解。结果显示，虽然83.11%的参与者能意识到至少一种威胁，但84.46%的人存在误解，表明该权限的概念对用户而言高度技术化，难以做出明智决策。本研究为移动操作系统权限设计提供了重要参考，并提出了改进建议。

本文提出 CAPSID（Consumer Aircraft Privacy-preserving Session ID）系统，旨在解决美国联邦航空管理局（FAA）强制要求小型无人机（UAV）广播唯一序列号、位置和高度所引发的隐私问题。该强制规定使得无人机操作者面临被长期追踪的风险，甚至引发了针对 FAA 的诉讼。CAPSID 的核心思想是采用临时会话标识符替代固定的序列号，在满足监管合规性的同时保护操作者隐私。系统设计包括：通过密钥协商生成短期有效的会话 ID，无人机在空中广播该 ID 而非永久序列号；地面接收端（如执法机构）可通过授权机制解析会话 ID 以获取必要信息，但无法实现未经授权的持续追踪。论文详细描述了协议流程、密钥管理、会话更新机制以及抗伪造和重放攻击的安全分析。实验评估表明，CAPSID 在计算开销和通信带宽上均能满足小型无人机的资源限制，且与现有广播标准兼容。主要贡献包括：首个兼顾 FAA 合规与隐私保护的轻量级会话 ID 方案；形式化安全证明；以及基于实际无人机平台的性能测试。该工作适合无人机安全、隐私保护及监管技术领域的研究者和工程师阅读。

该论文研究了客户端内容扫描系统在物理监控方面的风险。内容扫描系统使用感知哈希算法扫描用户内容中的非法材料（如儿童色情或恐怖主义招募传单），旨在在保护输入图像隐私的同时确定图像是否视觉相似。由于端到端加密的即将普及使得服务器端扫描困难，工业和学术界提出了在客户端设备（如智能手机）上进行扫描的方案。但这些方案因可能被滥用于审查而受到强烈批评。然而，该技术在监控背景下的风险尚未得到充分理解。本文通过实验表征了一种特定类型的滥用可能性——攻击者操纵内容扫描系统对目标地点进行物理监控。主要贡献包括：（1）在客户端图像扫描系统的背景下给出了物理监控的定义；（2）通过实验表征了这种风险，并创建了一种监控算法，通过投毒0.2%的感知哈希数据库实现了超过30%的物理监控成功率；（3）实验研究了客户端图像扫描系统的鲁棒性与监控之间的权衡，表明在大多数情况下，对非法材料的更鲁棒检测会增加物理监控的潜力。该研究适合安全研究人员、系统设计者以及关注隐私与监控平衡的从业者阅读。

本文提出了一种名为 Privacy Detective 的叙事调查游戏，旨在通过利用真实法律文档（如 FTC 投诉和判决）来培养开发者（特别是学生开发者）的隐私意识。研究背景是：开发者对系统数据收集、使用和共享的选择直接影响用户隐私体验，但开发者常做出有问题的隐私设计决策而意识不到后果。Privacy Detective 游戏将玩家置于侦探角色中，搜索从法律文档中提取的隐私侵犯证据，并使用模板组织证据形成隐私侵犯报告。研究者通过一次被试间实验（游戏组 vs. 基线组，基线组阅读原始FTC法律文档）评估了该游戏在学生开发者中的效果。结果表明：游戏组比基线组识别出更多真实隐私侵犯案例，误报更少，且对其发现的侵犯提供了更完整的论证。核心贡献在于提供了一种交互式、沉浸式的隐私教育方法，将枯燥的法律文本转化为可玩的游戏体验，有效提升了开发者的隐私法律意识和证据组织能力。该方法适用于大学计算机课程、企业新员工培训以及任何希望提高团队隐私合规意识的场景。

该论文针对6G无线接入网（RAN）中的意图驱动网络管理提出了一种隐私保护架构。现有基于意图的网络管理方案（如3GPP TS 28.312定义的意图管理框架）在执行意图履行和保证时，通常需要深度包检测、逐流状态跟踪或访问供应商内部节点遥测数据，以验证已配置的资源是否满足所表达的意图。然而，这些方法在多租户网络中面临监管约束（如GDPR、ePrivacy指令）与供应商不透明性的冲突，尤其是在多供应商O-RAN部署中。作者提出了一个隐私保护的意图履行与保证架构，其中协调器基于意图类别配置资源，而无需流量检查，仅通过O1接口上的聚合标准化PM计数器来验证意图是否被履行。通过数据-处理不等式论证，该资源分配机制至多泄露log2 K位关于流量内容的信息，其中K为意图类别数量。论文定义了两种架构隐私属性：意图-流量不可链接性与节点不透明验证，并证明这些属性在构造上成立。节点不透明性不会牺牲检测能力：在齐次条件下，聚合验证器弱支配每个代理验证器。作者将该架构映射到3GPP意图生命周期和O-RAN非实时RIC，明确了机制操作的具体接口、数据对象和部署点。基于四个运营商网络的生产PM计数器数据实验表明，增加意图类别粒度可以锐化资源配置，但会削弱保证能力，这与理论预测一致：隐私上限是检测约束的结构副作用，而非独立设计参数。

本文提出了一种名为AAKA（匿名认证与密钥协商）的方案，旨在解决移动网络中用户被运营商（MNO）跟踪的隐私问题。当前，移动网络运营商收集用户的地理位置和时间戳数据，并可将其出售给第三方，导致隐私泄露。AAKA利用匿名凭证技术，设计了一套新的移动认证协议，使得合法用户能够在不泄露真实身份的情况下匿名接入网络。该方案保证了用户凭据的完整性，防止伪造，并且同一用户在不同时间建立的连接无法被关联，从而避免被追踪。同时，在合法干预（例如执法机构授权协作）下，AAKA仍然能够识别出特定用户，兼顾了隐私与合规需求。方案兼容3GPP定义的最新蜂窝网络架构和SIM卡标准，满足UE认证与密钥协商的基本安全要求。安全分析证明了方案的有效性，性能评估显示在受限的宿主设备（配备标准蜂窝SIM）上生成凭证展示约需52毫秒，表明其实用性。该研究适合移动网络安全研究人员、隐私保护技术开发者以及运营商安全策略制定者阅读。

随着视觉语言模型（VLM）、扩散模型（DM）、大语言模型（LLM）和音频基础模型（AFM）的广泛应用，这些多模态基础模型可能会从训练数据中无意编码敏感、受版权保护、有偏见或不安全的跨模态关联。在收到删除请求或政策更新后重新训练通常不切实际，而针对性的遗忘也很困难，因为知识分布在共享表示中。多模态遗忘通过选择性移除跨模态信息同时保持整体效用来解决这一挑战。本综述提供了一个统一的、系统导向的多模态遗忘视角，涵盖视觉、语言、音频和视频，基于近期进展、新兴应用和开放问题。提出的分类法能够在模型架构和模态之间进行系统比较，阐明删除强度、保留率、效率、可逆性和鲁棒性之间的权衡。综述强调了开放问题和实际考虑因素，以支持多模态遗忘的未来研究和部署。论文还发布了一个策划的资源库。

本文提出了一种名为“idiobionics”的新研究领域，旨在统一隐私保护与智能机器人假肢的发展。随着假肢技术（如仿生肢体）与先进传感器和人工智能控制方法的深度融合，这些设备已演变为半自主可穿戴机器人系统，能够与用户协同适应。然而，这种技术进步也引入了新的威胁向量，可能被恶意行为者利用以侵犯用户隐私。作者认为，要充分实现下一代仿生肢体的益处，必须直接理解和解决这些隐私风险及其对用户采用的障碍。本文首先定义idiobionics，将其置于相关文献中，并通过初步证据展示了可能利用智能假肢设计的潜在对抗性攻击。此外，作者还策划了一份与可穿戴机器人和其他面向人类自主系统研究人员相关的idiobionics开放研究问题清单。论文的核心贡献是开创了这一交叉领域，并为后续研究提供了基础框架和方向。适合可穿戴机器人、隐私安全以及人机交互领域的研究人员阅读。

该论文针对物联网设备面临的僵尸网络攻击（如DDoS、数据窃取等）提出了一种轻量级、强化学习驱动的框架DiRLU。现有AI方案存在两大局限：模型过重难以部署于IoT设备，且缺乏“遗忘”能力（即无法在不重新训练的情况下移除敏感或过时特征）。DiRLU通过知识蒸馏将教师模型的知识迁移至轻量级学生模型，两者均使用A2C（优势演员-评论家）强化学习算法训练。框架核心创新在于后置遗忘机制：可选择性修改模型权重以遗忘目标特征，同时保留其他能力，且被恢复的特征性能损失极小，证明遗忘是可逆的。实验采用BoT-IoT数据集的25%（远超通常的5%），教师模型更稳健；学生模型达到99.60%准确率和99.80% F1分数。此外，集成LIME可解释性技术增强透明度。DiRLU仅需2370 FLOPS，比现有最优模型高效约3.87倍，适合边缘部署。该框架符合GDPR“被遗忘权”要求，为IoT安全提供实用且可扩展的解决方案。

本文提出了一种名为 NARAD（Non-colluding Aggregator-oblivious Record-And-Decrypt）的电子投票架构，旨在在不依赖可信密钥分发中心的前提下，同时保护投票隐私并允许公开验证。每位投票者在浏览器中使用自生成的密钥，基于 Paillier 加法同态加密系统对选票进行加密，且没有任何一方持有全部密钥。系统通过两个服务器角色分工完成计票：收集者（Collector）将每张选票的辅助值聚合为单个群元素；聚合者（Aggregator）利用该元素在同态乘积中消除投票者的随机掩码，恢复精确的投票总和，从而得知结果但无法获知个人投票。Solana 区块链不可变地记录每个密文并强制执行选举生命周期，而原生 C 库（libtommath）执行高性能模运算。论文明确了协议正确的六个假设，证明了乘积同态、掩码消除和和恢复性质；隐私性依赖于加法层的判定性合数剩余（DCR）假设以及掩码基上的类 Diffie-Hellman 假设。一种位打包方案将多个候选人的完整选票放入一个密文，将客户端计算、链上交易、存储和计票成本降低 k 倍（k 为候选人数）；槽宽 b 可自由选择，仅 k*b 受 log2(N) 限制。当 b=25 且模数为 255 位时，方案支持 10 位候选人以及每位候选人最多 2^25-1=33,554,431 票（总计约 3.35 亿张选票），在 1 秒内完成 50,000 张选票的计票。最后，在认证的可信执行环境（TEE）中运行收集者和聚合者，使得计票过程防篡改，并防止跨角色合谋以去匿名化投票者。概念验证实现已开源，附录中的数值示例重现了完整流程。

本文研究 Monero 加密货币在 Tor 网络中的交易去匿名化问题。Monero 是一种注重隐私的加密货币，它采用 Dandelion++ 协议并集成匿名网络（如 Tor 和 I2P）来防止攻击者将交易与源 IP 关联。然而，本文发现 Monero 与 Tor 的集成引入了一个根本性漏洞：Monero Tor 节点发起的交易在传播到明网之前，会专门转发给两个出站 Tor 隐藏服务节点（代理节点），这使得攻击者可以通过占据目标节点的出站连接来捕获源交易。基于这一观察，作者提出了一个三阶段去匿名化框架 ProxyMark，包括节点角色识别、源交易识别和节点位置去匿名化。通过在实时 Tor 网络、Monero 主网和测试网上进行实验，作者实证展示了 ProxyMark 能够成功对 Monero Tor 节点发起的交易进行去匿名化。该研究揭示了隐私货币在集成匿名网络时可能存在的安全风险，对 Monero 用户和隐私协议设计者有重要参考价值。

本文提出一种实用的一站式设置批处理阈值加密方案，旨在解决区块链mempool（交易内存池）中的隐私问题。在现有区块链系统中，交易在被打包进区块前通常以明文形式广播到mempool，这导致交易信息提前泄露，可能被利用进行抢先交易（front-running）或三明治攻击。作者设计了一种基于阈值加密的协议，允许交易在加密状态下广播，只有一组阈值节点协作才能解密，从而保护交易隐私。该方案的关键创新在于只需一次公共设置即可支持多批交易加密，显著降低了通信和计算开销。通过安全性分析和实验评估，论文证明了该方案在不牺牲去中心化特性的前提下实现了高效的mempool隐私保护，适用于以太坊等智能合约平台。研究贡献包括形式化定义、协议构造以及性能基准测试。适合区块链安全研究人员、协议开发者及对DeFi安全性感兴趣的从业者阅读。

本论文针对群组聊天平台中聊天机器人带来的隐私风险进行了深入研究。研究发现，聊天机器人往往能够访问超出其功能所需的消息，包括发送者身份和并非针对机器人的消息内容，这可能导致用户个人信息泄露、跨群组追踪以及针对性广告等问题。通过对实际对话数据集的分析，作者发现聊天机器人经常访问过多消息，并且当用户加入一个包含聊天机器人的新群组时，有3.6%的概率至少有一个机器人能够识别该用户并将其与之前在其他群组中的交互关联起来。现有加密协议虽能提供端到端加密，但未能有效限制聊天机器人的访问权限。为此，论文提出了SnoopGuard协议，这是一种安全的群组消息协议，能够在保障端到端安全的同时保护用户隐私。SnoopGuard实现了选择性消息访问（防止机器人访问无关消息）和发送者匿名（对机器人隐藏用户身份）。该协议的消息发送复杂度为O(log n + m)，其中n为用户数，m为机器人数量，相较于现有协议的O(log(n + m))略有增加，但隐私增强的收益可接受。原型实现表明，在集成消息层安全（MLS）的情况下，向一个包含50名用户和10个机器人的群组发送消息大约需要10毫秒。本文主要贡献在于揭示了群组聊天中机器人的隐私风险，并设计了一个实用的隐私保护协议。适合安全研究人员、协议设计者以及群组聊天平台开发者阅读。

本文是一篇系统化知识综述（SoK），旨在系统评估合成图像能否替代真实图像数据在机器学习中的应用，重点分析了合成图像的效用（utility）与隐私保护（privacy）之间的权衡。研究首先梳理了当前主流的合成图像生成方法，包括生成对抗网络（GANs）、变分自编码器（VAEs）、扩散模型（Diffusion Models）等，并比较了它们在保真度、多样性和可控性方面的差异。随后，论文提出了一个统一的评估框架，从下游任务性能（如图像分类、分割、检测）、数据多样性与分布覆盖、以及隐私泄露风险（如成员推断攻击、属性推断攻击、模型逆向攻击）三个维度对合成图像进行量化测评。通过对大量已有实证研究的元分析，作者发现：合成图像在多数标准化基准任务上可以接近甚至达到真实图像的性能，但在分布外泛化、细粒度识别和长尾类别上仍存在明显差距；隐私方面，即使采用差分隐私训练，合成图像仍可能泄露训练数据的敏感特征。论文还讨论了身份保护、数据去标识化、以及用于联邦学习的合成数据等前沿场景。最终结论是：合成图像在低隐私风险场景下可作为真实数据的可行替代，但在高安全性要求或边缘分布任务中仍需谨慎使用。本文为安全从业者提供了关于合成数据风险收益的全面参考。

本文提出了一种可审计的勒索软件检测与遗忘框架，旨在解决现有机器学习检测器不支持选择性样本移除的问题，以满足GDPR和CCPA等隐私法规要求。该框架将深度强化学习与多分片SISA（分片隔离状态聚合）重训练相结合：核心检测器采用双深度Q网络（DDQN），从行为特征中学习奖励引导的检测策略，并考虑不对称的安全成本；而多分片SISA则通过分片级重训练实现隐私合规的选择性样本移除，并支持审计验证。在包含2000个样本和103个特征的平衡Windows 11行为数据集上，基线DDQN检测器取得了0.9925的F1分数和0.9983的AUC。实验评估了四种指标：效用保持、基于oracle的遗忘验证、成员推断审计和计算效率。结果表明，单分片遗忘仅引起极小的效用下降且oracle分歧较低，而中等分片数量（M=5-10）提供了最佳的效率-性能权衡，将重训练时间从完全重训练的80-330秒降低至5-30秒。此外，大多数配置下成员推断分数接近0.5，表明遗忘后隐私泄露风险有限。这些发现证明，一个隐私合规的勒索软件检测框架可以同时实现高检测性能、可审计的删除验证和高效的样本移除。

该论文研究了自主谈判代理在部署于保险、采购等高风险场景时面临的行为隐私泄露问题。传统的加密技术只能保护显式披露的约束值，但无法防御对手通过观察谈判动态（如让步轨迹、时序、收敛模式）推断私有约束的潜在威胁。本文首次系统形式化了多轮谈判协议中的行为差分隐私概念，并提出了一种自适应随机谈判策略。该策略联合保证了(ε,δ)-差分隐私、报价序列的几乎必然收敛（当对手预留价值允许时达成协议）以及高效的谈判效用。在3000个合成双边谈判上的实验表明，该机制能将对手推断准确率降低43-50%，同时保持谈判成功率和效用超过90%，证明了强隐私保证可以在不显著牺牲性能的前提下实现。

该研究针对多模态大语言模型（MLLM）中的机器遗忘（Machine Unlearning）机制的安全性提出质疑。MLLM在训练时可能无意中编码了隐私敏感数据，因此多模态机器遗忘（MMU）被用于强制模型遗忘这些信息。但作者发现，当模型公开后，恶意用户可通过一种名为“提示优化参数抖动”（POPS）的对抗策略，近乎完整地恢复出本应被遗忘的知识。POPS方法包含两个阶段：首先通过后缀优化（prompt-suffix optimization）诱导受害者模型生成潜在的隐私样本；然后利用这些合成输出对模型进行微调，从而揭露真实的隐私信息。实验在多个MMU基准测试上进行，结果表明现有MMU算法存在严重缺陷，POPS能够实现近乎完全的知识恢复，揭示了基于MMU的隐私保护存在根本性漏洞。该论文对MLLM隐私保护领域提出了严峻挑战，提示安全从业者需要重新审视和加强遗忘机制的鲁棒性。

该论文研究了Web3生态中浏览器扩展钱包的隐私威胁。用户通常认为他们的区块链地址是相互独立的，除非有意透露。然而，现代钱包与区块链基础设施和去中心化应用（dApps）的通信会产生网络和浏览器层面的信号，可能破坏用户地址间的隔离性。论文识别并形式化了五种直接源于钱包与网络和浏览器交互的隐私威胁：1) 常规远程过程调用（RPC）操作会泄露用户不同地址之间的结构关联；2) 大多数以太坊钱包在撤销权限时存在不一致，继续在会话间暴露已撤销的地址；3) 许多钱包将其提供者接口注入到跨源iframe中，使得可以在dApps之外进行被动跨站追踪，甚至无需用户交互即可将用户真实身份去匿名化。作者对Chrome Web Store中最流行的85款浏览器扩展钱包（覆盖3516万用户）进行了大规模动态测量。结果表明，这些钱包行为泄露了敏感信息，可用于将多个地址关联到同一用户，跨会话和站点追踪钱包用户，并将其浏览活动与链上财富关联。论文讨论了实际缓解措施，包括改进钱包实现、在生态系统标准中加强隐私考虑、以及对提供者暴露实施更严格的管控。研究强调了标准化、保护隐私的钱包架构的必要性。适合Web3安全研究人员、钱包开发者、以及关注隐私的区块链用户阅读。

本文针对机器学习模型遗忘算法是否真正消除了训练数据影响的问题，提出了一种实用的审计方法。研究者设计了一个基于成员推断攻击的审计器，通过计算与数据相关的遗忘参数ε的下界，来评估遗忘算法是否达到其声称的隐私保证。在CIFAR-100和Shakespeare文本数据集上测试了多种遗忘算法，发现具有严格理论保证的算法（如模型剪枝、回退删除）能实现非常小的ε界，与它们的遗忘保证一致；而经验性方法（如基于Hessian的遗忘、交替上升-下降、遗忘集上升、保留集微调）则显示出较大的ε界，表明遗忘效果不佳。该审计器通过假设检验框架，为经验性地证伪遗忘声明提供了实用工具。这项工作对隐私保护机器学习领域具有重要价值，为第三方审计遗忘算法提供了可操作的方法。

本文提出了一种名为HeatDeCam的新型隐藏摄像头检测方法，利用热辐射特性来定位隐藏的间谍摄像头。现有的检测方法通常需要物理接近或依赖可见光反射，难以应对隐藏摄像头的小型化和伪装。HeatDeCam通过分析摄像头工作时产生的热量辐射，使用热成像相机捕捉异常热点，结合机器学习模型区分摄像头与其他热源（如充电器、路由器）。研究团队在多种真实场景下进行了实验，包括酒店房间、办公室等，展示了该方法在不同距离和环境下的有效性。结果表明，HeatDeCam能够高精度地检测隐藏摄像头，且不受可见光条件限制，为隐私保护提供了一种全新的非接触式检测手段。

该论文提出了一种名为 MIRAGE 的隐私保护消息系统，旨在解决审查环境下的抗阻塞通信问题。传统去中心化匿名网络如 Tor 依赖集中式互联网基础设施，容易遭受大规模封锁。MIRAGE 利用人群的高层移动模式，采用基于区域（district）的概率路由方案，将消息基于人口移动模式进行随机转发，从而避免依赖固定基础设施。为了防止个体移动行为泄露，MIRAGE 通过本地差分隐私技术保护用户的移动模式，确保参与网络不会因可观察到的路由决策暴露个人位置历史。作者在开源模拟器 Cadence 中实现了 MIRAGE，该模拟器提供了基于时间的节点间近似地理相遇的统一框架。实验使用两个真实轨迹数据集：城市行人移动模式和出租车 GPS 轨迹，评估了 MIRAGE 的隐私与效率权衡，并与传统流行病路由、随机游走路由以及最先进的隐私保护地理路由协议进行了对比。结果表明，MIRAGE 相比流行病路由显著降低了消息开销，在投递率上优于概率洪泛，同时提供了比现有技术更强的隐私保证。该研究为审查环境下的通信提供了一种新型去中心化方案，特别适合需要高隐私和抗阻塞能力的场景。

大型语言模型（LLM）生成的文本中嵌入水印是一种追踪合成内容来源或验证其真实性的技术。现有方法分为零比特方案（仅区分机器与人类写作）和多比特方案（嵌入元数据如时间戳、模型版本）。然而，当前多比特水印方案存在一个关键缺陷：验证器必须解码整个嵌入消息才能验证任何一部分，这导致不必要的信息暴露，引发隐私问题。例如，若水印包含用户ID与生成时间，验证某个用户的作品时也会泄露其他信息。本文提出一种名为“层次化词汇路由”（Hierarchical Vocabulary Routing, HeRo）的新型水印框架，支持选择性披露。核心思想是将词汇表递归划分为层次结构，并将水印信息分布在多个层级中。每个层级对应不同访问级别，验证器只能解码其权限所允许的负载部分，而无法获取完整消息。方法通过控制采样过程保持无偏性，从而不降低文本质量。实验结果表明，HeRo实现了细粒度的访问控制，同时保持高检测准确率和低延迟。该工作为隐私保护的水印应用（如版权追踪、内容审核中需分级披露的场景）提供了新方案。代码已开源。

本文首次系统地研究了“单数据集多模型”（ODMM）范式下的隐私放大风险。在ODMM中，同一个数据集（如人脸或医疗图像）被重复用于训练多个模型，每个模型独立部署为API服务以完成不同任务（如人脸识别、年龄估计、种族分类）。现有隐私研究工作多关注单个模型泄露，而忽视了多模型共同暴露带来的累积效应。作者首先建立了理论框架，证明隐私泄露会随暴露的ODMM模型数量增加而累积（称为ODMM隐私组合）。基于该理论，他们提出了PRIME方法，通过黑盒访问多个ODMM模型，聚合各模型泄露的隐私信号，并利用元分类器联合推断给定样本的成员身份。实验在五个隐私敏感的数据集（涵盖人脸分析、医学影像、文本归因分析三个领域）和多种模型架构（ResNet、ViT、Qwen3-1.7B）上进行，结果表明数据集在多模型间重用显著放大了隐私风险，PRIME攻击性能稳定优于单任务成员推理攻击。文中还探讨了差分隐私等缓解措施，但其代价是效用损失，且PRIME仍能超越单任务基线。该工作对多模型部署场景的隐私风险评估具有重要指导意义。

该论文是针对反人脸识别（AFR）技术的首篇系统化知识综述（SoK）。近年来，人脸识别（FR）技术在政府和商业领域的快速普及引发了公众对公民自由和隐私的担忧。为此，学术界和工业界提出了多种所谓的“反人脸识别”工具，旨在帮助用户避免非授权的人脸识别。然而，这些工具种类繁多、演进迅速，缺乏统一的分类和分析框架。本文基于FR系统的操作阶段（如采集、特征提取、匹配等）构建了一个系统化的分析框架，用于评估不同AFR方法的优缺点和权衡。研究涵盖了从图像扰动、对抗性伪装到匿名化等多种技术路线，并探讨了社会和技术层面的挑战，如易用性、对抗鲁棒性以及和现有隐私法规的兼容性。主要贡献包括：首次全面梳理AFR研究全景；提出一个可扩展的分类体系；识别出长期存在的开放问题（例如针对自适应攻击的防御、跨场景泛化能力）。该工作适合对人脸识别隐私保护感兴趣的研究人员、政策制定者以及安全从业者阅读。

本文针对美国数据经纪商行业在加州消费者隐私法案（CCPA）下的合规性进行了系统性研究。数据经纪商大量收集美国成年消费者的个人信息，且通常未经消费者知情或同意，这些数据可被出售给雇主、房东、保险公司、政府乃至恶意行为者，从而引发歧视、监控、身份盗窃和跟踪等风险。CCPA赋予消费者选择退出（opt-out）数据分享或出售、删除个人信息以及获取信息副本的权利。研究者使用合成消费者身份，向所有在加州注册的数据经纪商提交了选择退出和删除请求，并追踪其响应情况。结果显示，虽然多数数据经纪商看似合规，但仍有相当比例未回应或未确认请求，部分要求侵入性的身份验证（这明确被CCPA禁止），且请求提交流程差异巨大，给消费者带来沉重的负担。作者呼吁对消费者接口进行简化和标准化、加强执法并对持续不合规行为施以有意义的后果。本研究为理解当前数据经纪生态的隐私合规现状提供了实证依据，对政策制定者、消费者权益倡导者和法律合规专业人士具有重要参考价值。

该论文聚焦于联邦学习（FL）中的隐私保护问题。联邦学习作为一种分布式机器学习范式，允许多个客户端在不共享原始数据的前提下，通过聚合服务器联合训练全局模型。然而，现有研究表明，恶意聚合服务器可能通过客户端上传的模型更新发起推理攻击，窃取客户端的隐私信息。安全聚合（Secure Aggregation）技术旨在让聚合服务器仅能获取更新之和或平均值，从而保护个体更新。但现有的安全聚合协议存在通信开销大、计算复杂、轮次过多等缺陷。本文提出SAFELearn，一个通用的高效隐私联邦学习系统设计，专门抵御针对个体模型更新的推理攻击。其核心思想是结合安全多方计算（MPC）或全同态加密（FHE）技术，在不依赖可信第三方的前提下，实现仅两轮通信的聚合，且客户端无需执行昂贵的密码操作，同时支持客户端掉线处理。作者基于两方安全计算实例化该系统，并在实验中证明：聚合500个参数超过30万的模型，耗时不到0.5秒。总体来说，SAFELearn在保证隐私性的同时，大幅提升了联邦学习中安全聚合的效率与实用性。

该论文关注基于可信执行环境（TEE）的机密智能合约网络中的隐私泄露问题。尽管TEE能保护合约数据加密，但在代币转账过程中，存储访问模式会暴露发送方与接收方之间的关联。具体而言，当合约在转账时更新接收方余额，即使数据加密，访问的存储键也会揭示交易关系。为解决此漏洞，论文提出了两种新颖的数据结构：延迟写入缓冲区（DWB）和桶条目位字典树（BTBE）。DWB通过缓冲待处理转账并随机结算条目来延迟接收方余额更新，打破转账执行与接收方存储访问之间的直接关联。BTBE通过将地址分组到固定大小的桶中，进一步增强了隐私，防止泛洪攻击，并为余额查询创建匿名集。此外，论文还设计了一个隐私通知系统，支持实时、保护隐私的推送通知。该领域特定方法利用代币转账的不对称余额更新和延迟结算容忍性等特性，在概率性匿名保障下实现了实际性能。实验表明，这些数据结构能有效抵御存储访问模式攻击，同时保持可接受的吞吐量和延迟。

本文针对基于查询的系统（如数据库、机器学习API）中的属性推断攻击，提出了一种自动化发现方法QuerySnout。属性推断攻击是指攻击者通过向系统发送一系列精心设计的查询，推断出目标用户的敏感属性（如年龄、性别、疾病等），这对用户隐私构成严重威胁。现有攻击方法通常依赖人工设计查询策略，效率低且难以覆盖所有可能攻击面。QuerySnout创新性地引入强化学习框架，自动学习最优查询序列以最大化推断准确率。该方法将攻击建模为一个马尔可夫决策过程，其中状态为已获取的部分信息，动作为选择下一个查询，奖励为推断信息的增益。通过深度Q网络等算法，QuerySnout能够在黑盒场景下高效探索查询空间。实验在多个真实数据集（如医疗记录、社交网络）和查询系统（如统计数据库、分类模型API）上进行，结果表明QuerySnout发现攻击的成功率显著高于手动基线方法，且能发现未知攻击模式。文章还分析了该攻击对差分隐私等防御机制的有效性影响，指出即使添加噪声，攻击仍可能通过查询组合绕过。主要贡献包括：（1）首次提出自动化属性推断攻击框架；（2）验证强化学习在此场景的可行性；（3）提供开源工具供社区研究。本文适合隐私保护、安全审计和AI系统安全的研究者阅读。

第六代（6G）通信网络预计将演变为AI原生、高度自治的生态系统，融合通信、计算、感知和人工智能。尽管这些能力能实现前所未有的连接和智能服务，但它们也创造了高度异构的安全和隐私格局，无法通过孤立的、特定技术的解决方案来解决。本文对AI原生6G网络中的安全和隐私问题进行了全面的跨层综述。首先，本文审视了现有安全和隐私方法在新兴技术、网络架构、AI系统和标准化工作中的碎片化现状，从而论证了对统一安全和隐私框架的需求。基于该框架，本文开发了一个跨层威胁分类法，涵盖基础设施、网络与架构、AI、隐私以及安全管理等领域，并分析了关键AI原生6G技术中的代表性威胁。此外，本文将威胁映射到相应的跨层对策，包括将标准协调作为一种安全功能，并识别了关键研究差距和未来优先事项，以实现安全、可互操作和可信的AI原生6G生态系统。最后，本文讨论了实现安全、隐私保护、弹性和全球互操作的6G网络的未来研究方向。该综述为研究人员、从业人员和标准化社区提供了设计、评估和部署可信AI原生6G系统的整体基础。

本文对比特币网络中的第二代匿名协议（CoinJoin、CoinSwap、CoinShuffle、隐形地址）的采用情况进行了纵向测量研究。研究者通过实现并优化一套启发式过滤器，识别出超过594万笔CoinJoin交易和2330万笔CoinSwap交易，并意外发现CoinShuffle的使用与Wasabi钱包运营时间高度吻合。分析表明，这些协议的整体采用率极低，仅占网络交易的不到1%，且在关键监管事件后，可检测的使用量急剧下降。此外，未发现标准化隐形地址的采用，表明社区未能就通用隐私标准达成一致。该研究揭示了这些可链上观察的隐私协议的实际使用情况远低于预期，暗示追求隐私的用户已逐渐转向更隐蔽、更不易检测的方法（例如基于闪电网络或混币服务的更复杂技术）。对于蓝队和安全分析师而言，该研究提供了隐私协议采用趋势的重要基线，并强调了仅依赖公开可检测的匿名化方法进行取证分析的局限性。

该论文对Google Privacy Sandbox的采用情况进行了首次纵向、考虑用户同意的测量。Privacy Sandbox是Google旨在替代Web上侵犯隐私的数据收集方式的倡议，试图平衡隐私、广告功能和跨站追踪，但经历了多次重新设计且生态系统支持有限。2025年10月17日，Google宣布将逐步淘汰大部分Privacy Sandbox API，结束了近五年的实验。研究者使用自定义调用监听器，每周爬取前10,000个网站，在宣布淘汰前的几个月内监测所有主要API的使用情况。结果发现，早在Google宣布之前，API的采用已经停滞：大多数API仅被少数参与者使用，且其活动在整个研究期间持续下降。即使是Google计划保留的API也没有显示出增长迹象。唯一的例外是Cookies Having Independent Partitioned State (CHIPS)。总体而言，Privacy Sandbox的消亡使得实现隐私保护的兴趣导向广告的挑战仍未解决。论文的主要贡献在于提供了Privacy Sandbox实际部署情况的第一手量化数据，揭示了其采用失败的程度和原因。适合关注Web隐私、广告技术和浏览器标准的研究人员和工程师阅读。

本研究聚焦于蜂窝网络在全球漫游场景下的安全与隐私测量问题。随着移动用户跨国漫游日益频繁，运营商之间的信令交互带来了新的攻击面，例如位置泄露、身份伪造、中间人攻击等。现有测量方法多针对单一网络，缺乏对漫游链路全局视角的刻画。本文提出一套新颖的测量框架，利用被动监听和主动探测相结合的方式，收集跨网络的信令数据，并设计多维度分析算法以识别异常行为。实验基于多个国家的真实漫游数据集，验证了方法在检测信令异常（如SS7漏洞利用、Diameter协议滥用）和评估隐私泄露风险（如IMSI捕获）方面的有效性。主要贡献包括：首次系统分析全球漫游环境下的安全测量挑战，提出轻量级部署方案，以及公开部分测量工具。适合移动网络运营商的安全团队、监管机构以及研究蜂窝协议安全的研究人员阅读。

该论文探讨了合成图像（Synthetic Images）在隐私保护生物识别应用与深度伪造（Deepfake）检测中的矛盾关系。一方面，合成图像技术（如生成对抗网络GANs生成的虚假人脸）可用于创建隐私安全的生物识别系统，例如通过合成替代真实用户照片来训练识别模型，从而避免直接存储个人生物特征数据，降低数据泄露风险。另一方面，同一技术也被滥用于生成深度伪造内容，对社交媒体上的信息真实性构成威胁。论文提出了一种统一的框架来同时实现隐私保护生物识别和深度伪造检测：利用合成图像构建鲁棒的生物识别模板，同时开发基于合成图像特征的新型Deepfake检测方法。实验表明，该方法在保持高识别精度的同时，能有效区分真实与合成图像，并抵抗常见的对抗攻击。论文还讨论了合成图像在平衡隐私与安全中的伦理考量，并提出了一个面向无虚假信息社交网络的部署方案。

该论文提出了联邦主权传输协议（FSTP），一种针对具有异构隐私需求的联邦网络的同步边界和传输层。现有联邦协议将数据约束交由运营商策略处理：它们定义消息格式和传递语义，但对符合规范的服务器可能发出的内容没有结构性限制。FSTP 通过使数据约束成为协议本身的属性来解决这一差距。核心机制是一个同步代理，其输出类型集是形式化封闭的。原始内部数据无法出现在任何联邦消息中，因为该约束由 Rust 类型系统在编译时（而非运行时检查）强制执行。一个上下文身份模型为每个联邦关系派生出一个独立的、不可关联的标识符，从而在结构上防止跨上下文关联。一个基于 Blocklace 的事件底本提供防篡改、部分有序的日志记录，同步成本与节点状态之间的对称差成比例，并支持在不破坏哈希链的情况下的数据擦除。结果是“证明而不暴露”：联邦参与者可以验证某个过程发生、凭证真实以及结果未被篡改，而无需访问产生这些成果的内部数据。FSTP 是 Velyzor（一个面向高保密性需求的治理平台）的节点间传输层。规范和参考实现以 Apache 2.0 许可证作为开源基础设施发布；源代码和图表随论文附上。该工作主要面向对隐私保护、联邦协议设计、数据主权和可验证计算感兴趣的研究人员和工程师。

该论文研究了中继辅助语义通信系统中的隐私问题。语义通信通过传输任务相关信息而非原始数据，旨在资源受限和信道条件下实现高效鲁棒的通信。然而，论文发现即使中继节点无法访问源数据，它也可以直接基于学习到的潜在表示可靠地推断语义含义并重构信号，其性能与合法接收者相当，这揭示了语义表示的基本隐私漏洞。为解决此问题，论文提出了一种迭代对抗训练框架，明确考虑中继处存在一个强自适应的训练窃听者。该框架交替优化中继的窃听功能和合法系统，从而在合法接收者保持语义解码性能的同时，降低中继的语义推断能力。实验表明，该方法显著扩大了合法接收者和窃听者之间的语义准确度差距，且在不同信道条件下均有效。重要的是，这种保护是以隐蔽方式实现的，即在选择性抑制语义泄露的同时保持高重构保真度。论文的主要贡献包括：揭示了中继辅助语义通信中的隐私漏洞，提出了对抗训练防御框架，并在实验上验证了其有效性。该工作适合研究语义通信、隐私保护、对抗机器学习的学者和工程师阅读。

本文研究了大型表格模型（LTM）在上下文学习（ICL）中的参数记忆化现象。尽管大型语言模型（LLM）已被证实会无意中记忆训练数据，但LTM的记忆化动态尚不完全清楚。为此，作者提出了一个名为ICLMEM的探测框架，旨在区分基于上下文的预测与参数记忆化。该框架通过零信息多项选择上下文剥离有效上下文模式，迫使模型依赖其参数记忆。受控微调设置建立了成员资格地面真相，并考虑了常见陷阱（如分布偏移、特征污染、基础率谬误），同时使用预训练基础模型作为参考来校准样本难度。在领先的、基于现实世界训练的LTM上进行受控评估后，在10个任务中的8个检测到中等记忆化信号（AUC最高0.67，1%假阳性率下的真阳性率>0.1）。值得注意的是，低基数任务和二分类任务的记忆化信号最强，但在现实训练条件下大部分消失。研究发现LTM的记忆化信号仅在特定条件下出现（如单任务微调、固定样本许多 epochs、小查询大小）。为保护敏感数据，必须采取适当措施，本文对此进行了讨论。

该论文针对联邦学习中的梯度反转攻击提出了一种新的防御方法 CENSOR。联邦学习中，客户端发送梯度更新至中央服务器，但梯度可能泄露原始训练数据的隐私信息。现有的梯度反转攻击可以从梯度中恢复出训练样本，而现有防御方法在高维模型参数下效果有限。CENSOR 利用模型参数的高维特性，通过将梯度投影到与原始梯度正交的子空间中进行扰动，并采用冷后验（cold posterior）在正交子空间上进行贝叶斯采样，从而选择一个既能有效防御梯度反转攻击又能保持模型效用的最优梯度。作者在三个不同数据集上进行了全面实验，与多种先进攻击和防御方法对比，证明了 CENSOR 在防御性能和模型效用之间的良好平衡。该方法特别适用于大型神经网络模型，为联邦学习隐私保护提供了新的思路。

本文研究了WiFi通信中波束成形反馈信息（BFI）的隐私泄露问题。随着WiFi连接设备的普及，利用信道状态信息（CSI）进行人体感知的技术日益成熟，但这也带来了隐私风险，例如攻击者可通过拦截WiFi信号推断室内占用情况，进而用于入室盗窃或跟踪等恶意场景。作者提出了一种名为LeakyBeam的新型占用检测攻击，它利用WiFi CSI中的一个新侧信道——波束成形反馈信息（BFI）。BFI是WiFi 802.11ac/ax标准中用于优化传输的反馈机制，其数据包以明文形式传输，且能穿透墙壁保留人体运动信息，因此成为隐私敏感信息的丰富来源。通过捕获BFI数据包，攻击者可在20米外实现82.7%的真阳性率和96.7%的真阴性率，验证了攻击的有效性。为缓解此威胁，作者还提出了一种防御机制，通过对BFI数据包进行混淆，仅需对硬件进行微小修改即可降低信息泄露风险。本文的研究揭示了WiFi通信中一个被忽视的隐私漏洞，并提供了实用的防御方案，对无线安全、隐私保护以及物联网设备设计具有重要参考价值。

该论文针对触发-动作平台（TAPs）中普遍存在的数据过度收集问题，提出了一种名为 LazyTAP 的新型数据最小化范式。在现有 TAP（如 IFTTT）中，触发服务和查询服务需要将大量用户数据发送给平台，即使平台仅需其中部分属性即可完成操作，这违反了数据最小化原则。LazyTAP 通过“按需拉取”机制，仅在应用执行实际访问某个属性时才从输入服务获取数据，从而将数据收集粒度从整个服务级细化到属性级。该方法的关键创新在于利用惰性求值（laziness）推迟计算和对象代理，在后台透明地加载远程数据，对第三方应用开发者完全无感。实验基于标准应用基准测试，结果显示 LazyTAP 平均比 IFTTT 减少 95% 的不必要数据传输，比此前的最优方案 minTAP 减少 38%，同时性能开销可接受。论文还详细描述了 LazyTAP 的原型实现细节。这项工作为构建更隐私友好的 IoT 自动化平台提供了理论基础和可行方案。

本文针对移动增强现实（AR）应用中智能手机权限使用存在的问题，提出并评估了一种基于上下文的权限请求合理化机制。研究背景在于：现有权限系统通常以静态方式请求权限，用户难以理解为何需要特定权限，尤其在AR应用中，权限使用场景动态且敏感。作者通过用户实验（N=XXX）比较了传统权限请求与加入上下文解释的新方式，测量用户对权限合理性的感知、信任度和安装意愿。核心贡献包括：1）设计了一种将权限请求与具体AR功能场景绑定的上下文解释模板；2）实证证明上下文合理化能显著提升用户对权限的接受度和应用信任；3）提出了重新定义移动权限系统的设计建议，强调权限请求应具有动态性和可解释性。研究结果对移动操作系统设计者和AR应用开发者具有参考价值。

该论文是一篇关于高级同态加密（HE）打包方法的教程，重点探讨如何将这些方法应用于机器学习领域。同态加密允许在加密数据上直接进行计算，但因其密文膨胀和计算复杂度高，实际应用受限。密文打包（packing）技术通过将多个明文值编码到单个密文中，利用SIMD（单指令多数据）操作并行处理，可显著提升HE方案的效率。本文系统梳理了多种先进的打包方法，包括基于中国剩余定理的打包、循环卷积打包、以及针对神经网络线性层和卷积层优化的专用打包策略。文章还讨论了这些方法在隐私保护机器学习推理和训练中的集成方式，例如如何通过打包减少模型与数据之间的通信开销。作为教程，本文旨在帮助研究人员和从业者理解并选用合适的打包方案来加速HE下的ML任务。实验部分（若有）通常会对不同打包方法在计算时间、密文大小和噪声管理方面进行对比，但摘要未提供具体数值。

本文是CPSIoTSec'23 Workshop的导言，该研讨会旨在聚焦网络-物理系统（CPS）与物联网（IoT）安全与隐私领域的最新研究进展。CPS和IoT系统广泛应用于智能家居、工业控制、医疗设备等关键领域，其安全漏洞可能导致物理损坏、数据泄露甚至人身安全威胁。研讨会收录了多篇同行评议论文，涵盖威胁建模、入侵检测、安全协议设计、隐私保护技术等方向。通过汇聚学术界与工业界的研究人员，本工作坊促进了跨学科合作，并指出了当前防御策略的不足，特别是针对资源受限设备的轻量级安全方案、实时性要求下的安全-性能权衡等挑战。会议重点强调了从设计阶段融入安全考虑的必要性，并呼吁开发可扩展的自动化工具以应对日益增长的互联设备数量。本文为读者提供了该研讨会所涵盖的核心议题概览，适合对CPS/IoT安全感兴趣的研究者和从业者阅读。

本文提出了一种新的隐私概念——集中地理隐私（Concentrated Geo-Privacy, CGP），这是集中差分隐私（CDP）在几何数据上的对应物。与先前的地理隐私（Geo-Privacy）标准（即标准差分隐私的对应物）相比，CGP具有多项优势：机制设计更简洁、高维数据下噪声尺度更低、以及更优的组合性质（称为高级组合）。其中高级组合最为重要，它允许使用较小的基础模块构建复杂机制，同时获得更好的效用。作为补充，本文证明了先前的地理隐私概念（即使是其近似版本）本质上不支持高级组合。在此基础上，本文研究了隐私几何数据上的三个问题：身份查询（identity query）、k近邻（k nearest neighbors）和凸包（convex hulls）。其中身份查询已有研究，而后两个问题本文首次给出了在地理隐私下的机制。对于所有三个问题，组合性质对于在私有化查询答案上获得良好的效用保证至关重要。实验或理论分析表明，CGP在隐私与效用权衡上优于传统方法。

本文提出SurrogateShield，一种客户端代理框架，旨在解决用户与第三方大型语言模型（LLM）API交互时的隐私泄露问题。当用户查询包含个人可识别信息（PII）时，传统方法采用占位符删除（Placeholder Redaction），这会破坏语义连贯性，导致查询质量下降。SurrogateShield在传输前将检测到的PII替换为本地生成的、类型一致的替代值，并在响应中恢复原始值，确保没有真实PII离开用户设备。检测采用三级级联架构：PatternScan（基于模式）、EntityTrace（实体追踪）和ContextGuard（上下文防护），覆盖22种PII类型及基于Sweeney的k-匿名框架的准标识符组合。替代值与原始值的映射存储在AES-256-GCM加密的每会话ShadowMap中，且该映射从不离开设备。实验基于1,124条查询语料库，级联检测整体F1得分为98.87%。在语义效用方面，替代替换显著优于占位符删除，BERTScore（roberta-large）从81.59%提升至94.85%，提高13.26个百分点。在100条查询的对抗试验中，提示LLM对手无法从替代消息中恢复原始值。该研究适用于任何使用外部LLM API的场景，尤其适用于处理敏感数据的应用程序。

该论文研究了软件从业者如何利用在线论坛（特别是Reddit）来理解和应对复杂的隐私法规要求。作者针对Reddit上与隐私法规相关的子版块（subreddits）的用户进行了调查（223名参与者），并辅以对2248条帖子和回复的定性分析。研究发现，尽管多数参与者持有隐私相关认证，他们仍然频繁使用论坛寻求法律建议。主要挑战包括实施数据保护影响评估、报告数据泄露以及获取Cookie同意。用户评估在线建议可信度的方式包括：查看回复者的发帖历史、验证引用的来源、信任公认的专家，以及在采纳前进行跟进澄清。论文指出了当前教育支持与监管合规指导之间的差距，并提出了研究和教育方向以弥补这些差距。该研究为理解开发者如何在实践中处理隐私法律难题提供了实证基础。

本文是一篇系统化知识梳理（SoK）论文，聚焦于针对机器学习模型的数据重建攻击。数据重建攻击旨在通过有限访问权限恢复目标模型的训练数据集，近年来受到广泛关注。然而，该领域缺乏统一的攻击定义和评价指标，阻碍了研究进展。作者针对视觉领域提出了统一的攻击分类法和正式定义，并设计了一套定量评估指标，涵盖可量化性、一致性、精确性和多样性等关键标准。此外，他们创新性地利用大语言模型（LLM）替代人工判断，实现对重建质量的视觉评估，尤其强调高质量重建。基于提出的分类法和指标，作者构建了一个统一框架，系统评估现有攻击的优缺点，并为未来研究建立基准。实验从记忆化角度验证了指标的有效性，并为设计新攻击提供了洞见。本文的主要贡献包括：（1）首次提出数据重建攻击的统一形式化定义和分类；（2）引入基于LLM的视觉评估方法；（3）建立可复用的评估基准。适合隐私保护研究者、机器学习安全工程师以及关注模型泄露风险的数据科学家阅读。

该研究提出了一种基于大型语言模型（LLM）的方法，用于自动识别源代码中个人数据的处理行为，以辅助隐私影响评估。当前软件产品的隐私合规审查高度依赖人工专家，耗时且易出错，尤其面对大规模、频繁变更的应用时挑战巨大。作者首先构建了一个标注数据集，代码片段依据W3C个人数据分类体系进行标记。随后设计了一个可扩展的分类框架，将源代码片段与个人数据类别进行映射，并探索了多种提示策略（如少样本学习、思维链等）。实验证明，LLM能够以较高的准确率检测源代码中的个人数据处理，有效支持人工审查者进行大规模软件评估。这项工作的主要贡献包括：公开可用的标注数据集、基于分类体系的自动分类方法及框架、以及多组实验对比结果，为后续研究提供了基准。适合隐私工程、合规自动化领域的研究人员和开发人员阅读。

本文重新评估了数据伪造攻击（data forging attacks）在实践中的可行性与强度。数据伪造攻击旨在提供反事实证据，证明模型是在某个数据集上训练的，而实际上却是用另一个数据集训练的。攻击者通过用小批量数据替换为包含不同训练样本但产生几乎相同梯度的批次来实现伪造。这种攻击被认为会破坏数据治理和审计，因为模型所有者可能将不合规的训练集伪造为合规的。然而，作者从实践和理论两个角度进行了批判性分析。实践上，当前攻击方法的关键局限性在于无法产生足够相同的梯度，从而使验证者能够轻易检测出伪造。理论上，作者分析了两个不同的小批量能否产生相同梯度的问题。研究发现，虽然可能存在无数个具有实值训练样本和标签的小批量产生相同梯度，但在受限域（如像素值0-255和one-hot标签）中找到这样的样本并非易事。这些结果表明，现有攻击的实际威胁可能被高估，需要重新评估其强度。该研究对机器学习隐私和数据合规领域具有重要启示，适合安全研究人员、数据审计专家和隐私合规从业者阅读。

本文提出了 ToolPrivacyBench，一个用于评估使用工具的 LLM 智能体（Agent）在目的绑定隐私保护方面的基准。现有评估主要关注任务完成度和 API 正确性（如函数调用基准）或最终响应中的隐私泄露（如隐私判断基准），但忽略了在多工具执行轨迹中信息流是否严格遵循“按需知道”原则。ToolPrivacyBench 的核心思想是：一个智能体在执行多步骤任务时，每个工具应当仅接收完成其明确目的所必需的信息，而非过度暴露无关的私有数据。为此，基准将每个测试用例表示为一个策略知识库（policy knowledge base），定义了任务相关的私有原子（task-private atoms）及其授权流向。智能体在模拟业务后端执行后，评估器会比较记录的工具参数和后端审计日志与策略知识库，检测是否存在隐私过度披露（privacy over-disclosure）。基准包含 2,150 个用例：1,150 个完全合成的隐私敏感业务工作流，以及 1,000 个改编自现有多工具和函数调用基准的用例。作者评估了 9 个广泛使用的智能体（如 ReAct、AutoGPT 等），结果表明任务成功并不等同于隐私保护得当——某些智能体在完成任务的同时通过中间工具调用传输了不必要的私有信息。该基准的形式化贡献在于定义了“按需知道”的披露边界，并通过轨迹级审计来识别多工具工作流中的隐私过度披露问题，为构建更安全的 LLM 代理系统提供了新的评估维度。适合人工智能安全、隐私保护、LLM 代理开发与评估的研究者和工程师阅读。

该论文研究了一种由智能体人工智能（Agentic AI）驱动的重识别攻击方法，对移动微数据隐私构成新兴的可扩展威胁。背景是商业数据经纪商广泛收集细粒度位置数据，尽管已有研究表明移动轨迹具有高度独特性，但过往重识别攻击需要分析师大量人工操作，限制了实际规模。本文提出一种端到端流水线，利用大型语言模型（LLM）智能体自主执行以下步骤：搜索公开网络、交叉引用公共记录和社交媒体、将原始坐标序列解析为候选身份，全程无需人工干预。在包含模拟真实家庭和工作地址附近位置点的时空数据集上进行评估，聚焦高风险披露场景。结果显示，从时空数据和公开来源出发，该智能体AI成功重识别了25名可重识别个体中的18人（72%），以及全部43个案例中的18个（41.9%）。论文讨论了该结果对统计披露控制（SDC）实践的启示，并概述了数据保管者和监管机构必须预见的近未来升级。作者指出，事实上的匿名性——SDC实践的隐含基础——正在发生转变。智能体AI增强了在GDPR第26条标准下“通过任何手段合理可能”的重识别能力，且每个目标的成本仅为几分钟和几美元。本文适合隐私保护研究人员、数据监管机构、数据经纪商以及部署位置数据收集服务的组织阅读。

本论文通过用户调查（191名参与者）深入研究了社交平台上的删除隐私问题。研究背景是用户因后悔、尴尬或生活变化而删除过去发布的帖子，但这一行为可能被对手利用，将删除作为识别敏感内容的强信号。当前对用户删除隐私的经历、期望以及现有删除机制有效性的理解不足。作者设计并实施了一项在线调查，主要发现包括：超过80%的用户曾删除至少一条社交媒体帖子；用户自我报告平均约35%的删除行为发生在发布一周后；用户认为内容过时是删除的主要原因，但多数参与者相信删除行为暗示被删除内容包含对所有者有损害的信息；参与者更担心大规模数据收集者（如政府）注意到其删除行为，而非社交圈内的个人；最后，参与者普遍认为流行的删除机制在保护删除隐私方面效果不佳。该研究揭示了删除隐私面临的双重挑战：用户需要删除功能来管理隐私，但该功能也可能成为攻击者的信号。论文贡献在于首次系统性地从用户角度理解删除隐私，为设计更隐私友好的删除机制提供了实证依据。适合隐私研究人员、社交平台设计者和安全策略制定者阅读。

大型语言模型（LLM）智能体越来越多地用于查询数据库、检索文档集合、调用外部API、记忆过往交互并代表用户执行操作。随着其应用从简单的问答扩展到处理敏感数据，隐私保护变得更加困难。智能体涉及多个数据源、运行多步工作流、跨会话保持状态，并拥有委托权限。因此，敏感信息不仅可能通过最终答案泄露，还可能通过其发出的查询、处理的中间结果、写入的记忆以及与其他智能体交换的消息泄露。本文从数据为中心的角度对LLM智能体的隐私问题进行综述，围绕智能体接触的数据组织研究领域，而非按攻击类型分类，并使用“数据智能体”作为处理数据的LLM智能体的简称。关于这些风险的研究很活跃但分散在检索增强生成、文本到SQL接口、智能体记忆、提示注入、访问控制和上下文隐私等领域。该综述将这些工作整合在一起：对智能体接触的数据源、每个数据源产生的隐私风险以及应对这些风险的治理机制进行了分类；绘制了用于衡量这些风险的基准图并指出了缺失之处；提出了开放问题。两个发现反复出现：在治理机制中，只有信息流控制同时覆盖了组合性推理泄漏和跨会话推理泄漏，这是两个保护最不充分的风险；并且没有基准能在单一隐私策略下驱动智能体跨越其数据表面，这是该领域最缺乏的工具。目标是提供一个可定位分散文献的参考，并为未来工作提供统一的框架。

该论文提出了一种新颖的单服务器私有信息检索（PIR）协议，旨在解决传统单服务器PIR方案中计算或通信开销过高的问题。现有单服务器PIR通常依赖于同态加密或伪随机函数，导致服务器端计算复杂度与数据库大小成正比，实际部署昂贵。作者通过一种简洁的构造，将服务器端计算负载降低至接近理论最优水平，同时保持通信开销极低。核心创新在于利用一种轻量级的向量编码技术和巧妙的查询生成方法，使得服务器仅需执行一次线性扫描（与数据库大小线性）即可完成响应，且无需复杂的同态操作。论文提供了完整的安全性证明，基于标准假设（如PRG的存在性）。实验评估表明，与当前最先进的单服务器PIR方案相比，新协议在中等规模数据库（如1GB）上实现了2-5倍的吞吐量提升，且延迟更低。作者还讨论了该协议对客户端缓存和并行化的友好性。该工作为实用的隐私保护数据检索提供了更可行的基础，对密码学社区和隐私计算工程均具有重要参考价值。

本文提出了WGPULens，一个系统化测量WebGPU隐私泄露风险的框架。WebGPU作为新的Web图形API，允许网页通过验证的编程模型运行GPU工作负载，虽然验证机制保证了内存安全，但共享的浏览器、驱动程序、操作系统和GPU状态仍可能暴露隐私敏感信号。WGPULens从四个维度进行测量：控制场景实验、浏览器原生协同驻留测试、参与者现场研究、真实网页Tranco爬取。控制场景实验识别出持久的管线编译状态是最清晰的泄露表面，冷/暖管线探测可揭示先前编译状态，并能从浏览器可见观测中推断原生GPU活动。其他资源探针结果较弱或呈阴性。参与者现场研究显示WebGPU行为在样本内具有高度独特性，确定性组件在单次运行内稳定，但跨重复访问的精确稳定性较低。网页爬取发现WebGPU主要用于适配器探测和静态支持代码，未见页面加载时编译管线、队列、查询或映射活动。缓解措施试验表明，源代码级密钥分离可作为评估管线缓存分区的代理。总体结论是WebGPU隐私分析必须针对具体表面进行：浏览器需测量哪些GPU状态跨越哪些边界，哪些浏览器可见信号可揭示它们，以及对应缓解措施的成本。该研究对浏览器厂商、Web标准制定者和关注Web隐私的安全研究人员具有重要参考价值。

该论文针对Android平台上的生育追踪应用（Fertility Tracking Apps）进行了基于网络的测量研究。这些应用记录用户的月经和怀孕数据，涉及高度敏感的健康信息。以往研究多关注此类应用的用户隐私认知因素，而较少从技术角度考察其实际数据处置行为。作者从Google Play商店选取了20款流行的生育追踪应用，通过系统化分析应用功能，并在一个能够记录TLS剥离流量的受控环境中执行标准化用户交互，捕获应用与第三方广告服务之间的网络流量。研究发现，在20款应用中有5款明确泄露了用户的健康数据（如周期状态、怀孕意图等），此外，通过高度定向的上下文广告URL，还观察到隐式数据泄露。同时，部分应用采用了广告变现模式但并未明显泄露用户数据，另外一些应用则与广告服务交互极少。这些发现为普遍存在的用户隐私担忧提供了技术证据，并强调了消费者在选择生育追踪应用时隐私保护的重要性。本研究适合安全研究人员、隐私倡导者、应用开发者和政策制定者阅读。

该论文研究了以太坊隐私混币器Railgun中的用户行为泄漏问题。尽管底层加密协议（如零知识证明）能保证交易匿名性，但用户的行为模式——如交易时间模式、地址重复使用、交易图邻近性、金额指纹以及背包问题匹配——仍可能导致匿名性显著损失。作者提出了五种启发式方法，用于估计给定存款和取款交易属于同一用户的概率。具体包括：(1) 特征时间模式：分析交易时间间隔和分布；(2) 地址重用：检查是否同一地址被多次使用；(3) 交易图邻近性：基于公开交易记录，构建图并度量节点间距离；(4) 金额指纹：保留交易金额中独特的数字模式（如尾数、舍入方式）；(5) 背包匹配：寻找一组存款和取款金额之和相等或近似相等的组合。实验结果显示，17.65%的Railgun取款交易可通过这些方法唯一链接到存款交易。此外，应用背包求解器算法，取款交易的中位数匿名集大小减少了3.42比特。该工作揭示了即使采用强加密的隐私系统，用户行为仍可能导致实质性的匿名性损失，为理解混币器和匿名池的实际隐私极限提供了实证，并提出了更安全的使用方法和设计原则。

本论文研究MAC地址随机化在IEEE 802.11网络发现阶段作为被动追踪防范措施的有效性。尽管MAC地址随机化已被广泛采用，但作者通过机器学习指纹识别技术证明了设备仍可被识别，暴露了现有隐私协议的漏洞。研究评估了被动攻击者在不同窃听场景下的追踪能力，从探测帧中提取未加密的硬件规格信息，并结合帧间到达时间（IFAT）和模拟接收信号强度指示（SRSSI）信号。核心贡献是对高吞吐量（HT）能力信息字段进行位分解，从而提升设备识别准确率。实验使用三种无监督聚类算法（K-Means、DBSCAN和OPTICS），在包含6个制造商22个设备的数据集上评估。结果显示，DBSCAN算法结合分解的HT能力信息和三个SRSSI测量值，全局准确率最高达到89.6%。这表明现有MAC地址随机化方案不足以防止设备追踪，亟需在Wi-Fi标准化中增强隐私保护措施。适合网络协议安全、隐私保护领域的研究人员和工程师阅读。

随着图神经网络（GNN）在电路设计与分析等关键任务中成为标准工具，其安全与隐私风险亟需关注。本文首次系统评估了梯度泄露攻击（GLA）对电路设计与硬件安全任务中GNN的威胁——这一实际风险此前被严重忽视。作者在标准网表基准（ISCAS'85、EPFL、TrustHub）上训练了包括GraphSAGE、GCN、GIN和GAT在内的多种主流GNN模型，测试其面对GLA的脆弱性。实验表明，GLA能够泄露敏感信息，例如门类型和硬件木马的独特特征，这可能帮助攻击者分析逻辑锁定方案或规避木马检测机制。分析发现，风险受架构影响：注意力机制（GAT）加剧泄露，而单射聚合（GIN）表现出相对较强的鲁棒性。研究还评估了多种先进防御技术，包括差分隐私、梯度裁剪、安全聚合、量化模型压缩和对抗训练，发现这些方法仅在特定设置下提升鲁棒性，且可能损害模型性能。本文为隐私保护的GNN提供了关键见解，并强调需要更强健和高效的防御。作者公开了完整方法和实验成果。

本文是一篇关于检索增强生成(RAG)系统安全与隐私的综合性综述。RAG通过将外部知识库与大型语言模型结合，显著提升了事实性和适应性，但也引入了传统语言模型威胁之外的新风险。论文首先介绍了RAG的典型架构，包括集中式、设备端(Micro-RAG)、联邦式和混合式部署范式，并系统梳理了检索、上下文构建和生成三个阶段的安全威胁面。威胁分类涵盖了成员推断、索引推断、投毒攻击、梯度泄露和合谋攻击等。在防御方面，论文分析了架构、算法和密码学防御手段，并讨论了隐私-效用权衡及部署考虑。最后，论文指出了构建可信RAG系统的开放研究挑战。该综述适合安全研究员、AI从业者和系统设计者阅读，以全面理解RAG特有的风险及防御策略。

本文提出了HelpBench，一个用于评估大型语言模型（LLM）在数字隐私、安全和安全建议方面提供准确帮助能力的基准测试。研究团队从真实用户场景中精选了450个问题，涵盖账户恢复、双因素认证权衡、可疑邮件识别、设备追踪等典型情境。针对每个问题，他们制定了评分标准，用以评估回答的事实准确性和语气恰当性。随后开发并应用自动评分器（auto-rater），对18个最先进的LLM进行了评估。结果显示，模型平均得分82%，但约十分之一的回答得分低于65%，反映了不准确甚至有害的建议。这些失败案例凸显了LLM在作为数字隐私、安全和安全可信赖助手方面的关键缺陷，需要进一步改进。该基准测试为评估和提升LLM在安全咨询领域的可靠性提供了重要工具。

Eye-Shield 是一种针对移动设备屏幕信息的实时保护方案，旨在防御肩窥攻击。肩窥攻击是指攻击者通过偷窥用户屏幕获取密码、PIN码、浏览行为等敏感信息，而用户在公共场所使用手机时极易遭受此类攻击。Eye-Shield 利用人眼视觉特性，生成在近距离（如30cm内）清晰可见、但在远距离或大角度下变得模糊或像素化的图像，从而防止旁人在不打扰用户正常交互的情况下窥视屏幕内容。该方案可同时保护图像和文本信息，实验表明能将肩窥者的识别率分别降低至24.24%（图像）和15.91%（文本）。Eye-Shield 在Android和iOS平台分别实现了24 FPS和43 FPS的帧率，支持最高1440x3088分辨率，且内存、CPU和能耗开销可接受。研究人员通过Amazon Mechanical Turk和实地用户研究验证了其防护效果和可用性，表明Eye-Shield在不显著影响隐私意识用户使用体验的前提下有效保护屏幕信息。

该论文聚焦于在物联网环境下，DNS over HTTPS/3（DoH/3）协议对网站指纹攻击的脆弱性研究。随着隐私保护日益重要，DoH和DoT等安全DNS协议被广泛部署，但仍面临网站指纹攻击的威胁。DoH/3作为HTTP/3上的DNS加密协议，在实践中开始应用填充策略。然而，作者质疑这些填充是否足以抵御攻击。为此，他们首先收集并公开了首个真实世界DoH/3流量基准数据集，该数据集来自实际网络环境中的域名解析过程。随后提出了一种双分支学习架构DoHFuse，其核心是改进的DMAG-LSTM模型，能够融合数据包到达时间间隔序列和精细统计特征，专门捕获突发对齐的时间模式。在包含449个类别的封闭世界场景下，DoHFuse达到88.05%的准确率（精确率88.56，召回率87.96，F1 87.83）；在开放世界检测中，AUPRC为0.975，F1分数0.951（精确率0.906，召回率1.0）。结果表明，DoH/3流量仍然易受网站指纹攻击，常用的填充机制不足以在物联网规模的加密DNS通信中保障隐私。该工作为后续防御研究提供了基准数据集和攻击框架。

这篇论文提出了一种名为“循环去噪”（cyclic denoising）的新型提取攻击方法，用于从图像扩散模型中提取训练数据中的记忆化图像。该方法受无序固体中随机组织的启发，通过在受控噪声幅度下重复进行前向和反向扩散过程，使得样本被驱动向具有广泛稳定性谱的吸引子。其中最深层的吸引子具有超稳定性：即使在近乎完全破坏后仍能再生，并能承受数千次噪声-去噪循环。许多这样的吸引子对应于记忆化的训练图像，包括库存照片、品牌水印和网络爬取的人工制品。该攻击仅需采样器级别的控制，无需梯度、权重检查、提示、标题或对训练数据的先验知识。与需要大规模提示生成和事后相似性过滤的生成-过滤攻击不同，该协议完全无条件。作者在Stable Diffusion v1.4和像素空间DDPM上展示了该现象，结果表明循环去噪既是生成景观的物理启发探测工具，也是记忆化审计的实用方法，对隐私保护、版权合规和模型指纹识别具有重要意义。论文还观察到了屈服-like转变、层次部分吸收、提示稳定吸引子和跨初始条件的吸引子集合普遍性等特性。

该论文针对扩散模型在公开部署场景（如开源库或发布检查点）下面临的严重安全风险——即任何获取中间潜在表示的用户都能逆推恢复原始输入图像——提出了一种密钥控制逆推框架。不同于以往假设黑盒模型（参数保密）的访问控制研究，本文首次在白盒设置下（所有参数公开）解决逆推保护问题。核心思想是将扩散模型固有的误差传播特性（指数级放大微小扰动）转化为安全资产：通过在逆推公式中注入密钥依赖噪声，使得只有持有正确密钥的用户能重构原图，错误密钥则输出不可识别结果。理论方面，利用现有扩散模型误差传播理论，证明密文分布满足IND-CPA安全，且攻击者优势在可调安全参数上呈指数级小，对任意概率多项式时间攻击者可忽略。实验在多模型和数据集上验证了安全保证，并展示了跨模型鲁棒性——注入的密钥噪声不会放大模型差异导致的性能下降。该工作为白盒扩散模型提供了一种可证明安全的逆推防护机制。

本文针对图数据节点分类任务中的隐私泄露问题，提出了一种名为LPGNet的新型神经网络架构。图卷积网络（GCNs）在节点分类中表现出色，但研究表明攻击者可以通过链接窃取攻击推断训练图中的边（即节点间关系），即使仅有黑盒模型访问权限。LPGNet通过创新性地设计训练过程中图边结构的使用方式，为边提供差分隐私（DP）保证。具体地，LPGNet在训练时对图边结构进行扰动，使得模型参数不直接依赖具体边信息，从而限制攻击者从模型输出推断边存在的能力。实验在多个数据集上表明，LPGNet在隐私与效用之间取得了良好平衡：与完全不使用边信息的朴素架构（如MLP）相比，LPGNet拥有更高的分类准确率；与完整使用边结构的传统GCN相比，LPGNet对现有链接窃取攻击具有更强的抵抗力。此外，与最先进的隐私增强GCN方法DPGCN相比，LPGNet在大多数数据集上提供了更优的隐私-效用权衡。本文的主要贡献包括：(1) 提出LPGNet架构，首次将差分隐私直接融入图卷积过程；(2) 从理论上分析隐私保证；(3) 通过实验验证其在隐私保护和任务性能上的优势。该工作适合隐私保护机器学习、图神经网络领域的从业者和研究人员阅读。

本文是一项针对德国公民的调查研究，旨在了解公众对客户端扫描（Client-Side Scanning, CSS）技术用于打击网络犯罪的态度。近年来，苹果公司于2021年宣布计划部署CSS，欧盟也于2022年提出相关立法，引发了关于隐私与安全平衡的激烈争论。研究团队对具有代表性的德国样本进行了问卷调查，比较了CSS与基于云的扫描在针对不同犯罪类型（如儿童性虐待材料、恐怖主义、贩毒、吸毒和逃税）时的接受度，并分析了受访者对政府及大型科技公司（如谷歌、苹果）的信任程度对其观点的影响。结果显示，大多数参与者愿意接受CSS用于打击儿童虐待和恐怖主义等严重犯罪，但对其他非法活动的支持度显著下降。然而，即使支持CSS的参与者中，也有多数人担忧该技术的潜在滥用，仅有20%表示不担心。研究者认为，这并非为CSS的全面引入开绿灯，而是提醒安全与隐私社区需要更多研究，以在满足公众打击严重网络犯罪愿望的同时，有效降低对隐私和社会的风险。

本文针对 WhatsApp 的握手协议（Prekey 机制）进行了安全与隐私分析。研究背景是端到端加密通信中密钥协商的安全重要性。论文核心问题包括：Prekey 交换是否存在信息泄露、是否可被中间人攻击利用、以及隐私保护是否充分。方法上，作者对 WhatsApp 实际部署的握手流程进行了逆向工程和形式化建模，结合密码学分析工具评估其安全属性。主要贡献包括：发现了 Prekey 签名验证中的遗留问题、揭示了服务器侧 Prekey 管理可能导致的用户身份绑定弱点，并提出了改进方案。实验在模拟环境中验证了攻击场景，证明这些漏洞可被远程利用。该研究适合密码学和安全协议研究人员、即时通讯开发者和隐私倡导者阅读。

联邦学习（FL）因其在本地训练模型并保护隐私的能力而在各行业广泛流行。然而，FL系统容易受到隐私推断攻击和投毒攻击，这两类攻击可能由恶意参与者破坏系统。尽管已有大量工作分别应对这些攻击，但对两者组合攻击的研究关注有限。为填补这一空白，本文提出了SafeFL，一个基于安全多方计算（MPC）的框架，旨在评估FL技术在同时应对隐私推断和投毒攻击方面的有效性。SafeFL的核心是一个通信器接口，使得基于PyTorch的实现能够利用成熟的MP-SPDZ框架，后者实现了多种MPC协议。SafeFL的目标是促进开发更高效的FL系统，以有效应对隐私推断和投毒攻击。该框架为研究人员和从业者提供了一个评估平台，以测试不同防御机制的鲁棒性。

联邦学习（FL）允许多方协作训练模型而不共享原始数据，但分布式特性使其易受后门攻击——恶意客户端在本地训练数据中嵌入隐藏触发器，操纵模型预测。现有防御主要在聚合前或聚合中生效，无法完全消除收敛后全局模型中残留的后门行为。此外，服务器在训练后缺乏触发器模式或恶意客户端的信息，导致后门残留或正常准确率下降。为此，本文提出SCRUB-FL（通过遗忘后门来净化和清洗表示），一种两阶段后门清除方案。训练阶段：客户端使用频谱分析和激活聚类识别可疑样本，然后训练轻量级WGAN-GP（带梯度惩罚的Wasserstein生成对抗网络）捕获触发器相关分布；服务器端聚合生成器参数，构建可疑模式的全局表示而不暴露原始数据。收敛后阶段：服务器合成近似触发器的样本，应用机器遗忘（machine unlearning）通过将预测分布重定向为均匀分布来擦除触发器-目标关联。在CIFAR-10和GTSRB数据集上，针对三种攻击类型和高达40%的恶意参与率，实验表明SCRUB-FL将后门攻击成功率降至3.88%，同时保持超过91%的正常任务准确率，优于现有最先进防御，且无需服务器预先知道触发器模式或拥有大型干净代理数据集。

本文提出并研究了零知识训练证明（zkPoT）的概念，旨在解决模型所有者如何在保护训练数据集和最终模型隐私的前提下，向验证者证明其模型是按照正确规范训练的。作者首先形式化了zkPoT的安全定义，包括完备性、可靠性和零知识性等属性，为隐私保护的训练证明提供了严格的安全模型。尽管理论上可以使用通用零知识证明系统为任意模型构建zkPoT，但该方法会导致证明生成时间过长，不适用于实际场景。为此，本文创新性地结合了MPC-in-the-head（将多方计算思想用于零知识证明）和zkSNARKs（简洁的非交互式零知识论证）两种技术路线，通过在证明大小和计算时间之间取得平衡，设计出具体高效的协议。作者将这一思想实例化，针对逻辑回归模型提出了一个新颖的zkPoT协议，并进行了实验验证。实验结果表明，该协议在保持隐私性的同时，显著降低了证明生成的开销，使得zkPoT在实际部署中成为可能。本文的主要贡献包括：首次形式化定义zkPoT安全模型；提出结合MPC-in-the-head与zkSNARKs的混合设计范式；针对逻辑回归给出具体协议实现并证明其安全性。该工作适用于对模型训练完整性有严格要求的场景，如合规审计、联邦学习验证、以及可信机器学习即服务等。

本文提出了一种名为“语义非组合”（Semantic Non-Assembly, SNA）的新型隐私保证框架。与传统的基于保密性、访问控制或统计披露限制的隐私模型不同，SNA 从“暴露发生时信息收益”的角度定义隐私：即使攻击者能够完全暴露和解密某个子系统中的任意组件（低于阈值），也无法获得可操作数据。核心思想是阻止任何低于指定阈值的组件联盟组装出足以评估特定谓词的完整输入域赋值。该保证是结构性的，通过体系架构而非策略实现，且隐私属性在组件被攻陷时以可预测的方式退化，而非单点崩溃。参考实现将结构保证与经过审计的组织约束相结合（附录A形式化描述）。论文形式化了SNA保证，并使用ProVerif验证了四个关键属性：设备非关联性、注册观测器非识别性、提交服务器盲目性以及主动防御门正确性。前三个属性通过双通道溯源架构实现。Birthmark标准实例在受限捕获硬件上实现了该保证，展示了零知识证明方法计算不可行场景下的可部署性。所有形式化属性和范围限制均记录在附录A中。该工作适合对隐私架构、分布式系统安全及形式化验证感兴趣的研究人员阅读。

本文提出了一种名为 π-RAG 的新型架构，旨在解决传统检索增强生成（RAG）系统中向量嵌入暴露于潜在反转攻击和非确定性检索失败的问题。核心创新在于利用数学常数 π 的数字作为超然熵源，构建一个不可变的间接层，将大型语言模型（LLM）与敏感数据存储解耦。具体而言，π-RAG 引入了一个语义量化层，将用户输入投影到预计算的典范意图质心（Canonical Intent Centroids）流形上，然后通过密码盐将质心映射到确定性偏移量，生成指向实际数据存储中标准化载荷的 π-key。这种设计从数学上保证了推理过程对数据的 oblivious（不可知），同时结合了确定性随机性、可审计性和差分隐私特性。实验表明，该架构在高合规性领域（如金融、医疗）具有高效性，能够在不牺牲语义理解的前提下实现隐私保护。论文的主要贡献包括：提出了一种新颖的 oblivious 检索方法，利用π的固有属性替代传统向量相似度搜索；设计了语义量化层以减少检索不确定性；并通过理论分析证明了其安全性。适合关注 LLM 隐私保护、数据安全和高合规性应用的研究人员与工程师阅读。

本文提出了一种将生产环境安全信息与事件管理（SIEM）数据转化为可复用网络安全工件的方法论。研究背景是：安全运营中心（SOC）的生产遥测数据是最真实的，但由于隐私和机密性限制，原始日志无法公开，导致安全研究长期依赖合成数据集或过时数据，缺乏现实性。作者来自金融行业SOC和学术机构，他们设计了一个流程：从生产金融SOC中提取SIEM数据，通过匿名化、结构化处理，并严格验证，在声明隐私边界的前提下保留任务相关的调查结构。核心方法包括保持时间顺序和实体一致性，以支持MITRE ATT&CK映射的挑战（HIKARI数据集中的37个挑战）。作者通过两个消费场景评估工件：作为训练材料时，匿名化必须精确保留时间顺序和实体一致性，否则训练效果显著下降；作为测量基座时，在200个SOCpilot事件中，确定性验证器检测到大型语言模型（LLM）的合规动作，而这些动作在人类基线中不存在，揭示了隐私-效用权衡。论文的主要贡献是给出了一个可度量的隐私-效用边界，而非形式化的匿名性声明。本文适合安全研究人员、SOC运营者以及数据隐私工程师阅读，提供了一个从原始生产数据到共享研究数据的可行转换范例。

随着大语言模型（LLM）的广泛部署，模型上下文协议（MCP）已成为连接LLM与外部资源的事实标准。然而，MCP协议本身引入了一类隐私泄露风险，现有工具难以检测。与传统的显式数据泄露不同，MCP服务器中的泄露主要是协议诱导的：凭据、API密钥和个人身份信息（PII）仅通过被返回、记录或在工具处理程序中抛出，即可跨越本地/LLM边界，而源代码中不存在显式的出站请求。本文提出MCPPrivacyDetector，一种上下文感知的跨语言静态分析框架，用于检测多语言MCP服务器中的此类泄露。该框架首先将不同编程语言（如Python）实现的异构代码提升为统一程序表示，然后应用上下文感知语义过滤以隔离真正敏感的值和协议特定的隐式汇点（例如@mcp.tool处理程序），最后执行污点分析以枚举可行数据流。通过对10,655个真实MCP服务器进行分析，MCPPrivacyDetector发现泄露率超过10%。案例研究证实了具体暴露，包括泄露的Bearer令牌、传播的API密钥和明文认证凭据。这项工作论证了在新兴的LLM智能体工具链中需要系统性的、协议感知的安全防护。

本文提出了一种实用的隐私保护SSH认证方案。传统的SSH认证通常需要服务器验证用户身份，但在这个过程中，服务器会获得用户的一些身份信息（如公钥），这可能导致用户隐私泄露。为了解决这一问题，作者设计了一种基于不经意伪随机函数（OPRF）和零知识证明的协议，允许用户在无需向服务器透露其身份信息的情况下完成认证。具体地，用户持有秘密密钥，服务器持有公钥列表；协议执行后，服务器仅知道用户是否在列表中，而无法得知具体是哪个用户。该方案兼容现有的SSH协议框架，性能开销低，能够在实际网络环境中高效运行。实验表明，与标准SSH认证相比，该方案的额外计算和通信开销在可接受范围内。本文的主要贡献包括：首次将隐私保护认证应用于SSH的实际场景，提出了高效且可部署的协议，并通过实现和评估验证了其实用性。适合密码学研究人员和安全从业者阅读。

本文研究网络交换机中数据包调度算法的隐私泄露问题。现有的调度算法如FIFO和赤字轮询（DRR）虽然能提供良好的利用率或公平性，但会通过时序侧信道泄露信息，导致用户隐私暴露。作者提出了一种新的混合调度机制——无差别优先调度（Indifferent-First Scheduling, IFS），其核心思想是允许客户端选择加入隐私保护模式，在此模式下IFS提供强隔离（类似于时分多址TDMA），而其他未选择隐私保护的客户端仍可享受FIFO或轮询调度的性能和利用率。这种混合设计克服了传统强隔离机制（如TDMA）利用率低、延迟高的缺点。作者进一步分析了现代可编程交换机的局限性，指出直接实现IFS会损害隐私保证，但在新提出的先进先出（PIFO）队列架构中，可以实现线速运行且具备完整安全性的IFS版本。本文主要贡献包括：提出IFS调度机制、证明其隐私性能权衡的优势、以及在PIFO架构中的可实现性。适合网络安全、隐私保护及网络系统领域的研究者阅读。

这篇论文揭示了联邦学习（FL）在语言模型微调过程中的隐私后门攻击风险。在联邦学习中，多个参与者协作微调模型而不共享原始数据，但全模型微调计算成本高昂，因此参数高效微调（PEFT）成为实际应用中的主流方法，它冻结基础模型仅训练少量适配器。本文提出一种名为NeuroImprint的攻击方法，由恶意参数服务器实施，能够将PEFT适配器隐秘地转化为隐私后门，该后门隐式地记忆客户端的训练样本，以每个样本对应的隔离参数更新形式存储在单独的神经元中，且不降低模型效用。具体来说，NeuroImprint为每个训练样本分配一个专用的记忆神经元，并约束每个神经元在本地微调轨迹中最多更新一次，从而解决了大本地批次和有状态优化器（如Adam/AdamW）导致的交叉样本碰撞和交叉步骤混合问题。微调完成后，这些隔离的样本更新可以通过闭式解析方法逆向恢复为文本嵌入，并确定性地映射回 token 序列。作者在多种语言模型（BERT、GPT-2、Qwen2、Llama3.2）和四个不同领域的微调数据集上验证了该方法，结果显示攻击能够重构59%至79%的微调样本，且具有较高的语义保真度。该研究首次系统性地展示了在联邦语言模型微调中利用PEFT适配器实现隐私泄露的可行性，对联邦学习的安全隐私保护提出了新的挑战。

网站指纹（WF）攻击严重威胁匿名网络（如Tor）用户的隐私。尽管已有多种防御方案，但面对基于深度学习的先进WF攻击，现有防御效率不足。本文提出Palette，一种新颖且实用的实时WF防御方法，通过流量簇匿名化保护实时Tor流量。核心思想是将流量模式高度相似的网站聚类，并为每个簇（即一组相似网站）设计统一的标准化流量模式，从而阻止攻击者区分簇内相似网站，提供强匿名保证。Palette的关键步骤包括：首先，基于真实流量特征对网站进行聚类；其次，为每个簇生成一个统一的目标流量模式（例如，通过填充、调整数据包大小和时序等）；然后，在流量传输过程中实时将簇内网站的流量整形为该统一模式。实验使用公开真实数据集进行综合评估，结果表明Palette在可接受的额外开销下，大幅降低了最先进WF攻击的准确率。具体地，在Tor网络中以可插拔传输（Pluggable Transport）形式实现Palette并部署后，平均将SOTA WF攻击的准确率降低73.60%，相比现有防御提升33.50%-43.47%。该方法适用于所有关注匿名通信安全的场景，尤其适合Tor网络运营商、隐私保护研究人员及安全产品开发者阅读。

本文提出了一个名为TRAP (Task-completion and Resistance to Active Privacy-extraction) 的基准测试框架，用于评估AI代理在涉及敏感隐私信息的文档处理场景中，平衡任务完成准确性与隐私保护的能力。研究背景是，随着AI代理越来越多地应用于处理包含护照号码等敏感信息的文档工作流，代理必须使用这些隐私信息来完成任务，但同时不能将其泄露在响应中，因为无法验证键盘前的人是否可信。这使得任务准确性和隐私泄露之间存在根本冲突。TRAP基准包含多个场景，每个场景包括一个包含隐私信息的文档、一个需要代理调用工具并正确使用隐私字段的任务查询，以及一个试图以自然语言诱导泄露相同信息的攻击查询。作者评估了22个模型（涵盖前沿专有模型和开源模型），发现所有模型家族都存在非平凡的隐私泄露，且指令遵循能力与泄露率正相关。现有的基于提示的防御措施能减少泄露，但会显著降低任务准确性。提示优化也无法逃脱这一权衡。关键理论贡献是，论文证明对于任何基于softmax的模型，不存在软约束防御（如基于提示的防御）能够同时实现高任务成功率和零泄露概率。基于这一不可能性结果，作者提出了结构化私有字段隔离方法：在模型处理之前用哈希键替换私有字段。这种方法在很大程度上防止了泄露，同时保持了任务准确性。该工作适合AI安全和隐私研究人员、AI代理开发者以及安全工程师阅读。

图神经网络（GNN）在基于图结构的数据学习中表现出强大能力，但其广泛应用引发了严重的隐私问题。尽管已有研究主要关注边级隐私（如边是否存在），但图拓扑结构（即图的整体形状）的机密性是一个关键但未被充分探索的威胁。本文首次系统研究了GNN中的拓扑隐私风险，揭示了GNN对图级别推理攻击的脆弱性。作者提出了一套拓扑推理攻击（TIAs），攻击者仅通过黑盒访问训练好的GNN模型，就能重构目标训练图的拓扑结构。实验表明，GNN极易受到此类攻击，而现有的边级差分隐私机制要么无法缓解风险，要么严重损害模型精度。为此，本文提出私有图重构（PGR）防御框架：将其建模为双层优化问题，通过元梯度迭代生成合成训练图，同时基于演化的图更新GNN模型。大量实验证明，PGR在最小化模型精度损失的同时，显著降低了拓扑泄露。代码与完整论文已开源。

本文研究了Android应用中第三方追踪（Third-party tracking）的同意机制实施情况。第三方追踪使公司能跨设备收集用户行为数据，深入洞察用户私生活，但通常未经用户知晓或明确同意。欧盟和英国数据保护法要求：在用户设备上访问和存储信息，以及将个人数据处理作为第三方追踪的一部分，都必须获得用户同意。论文首先分析了Google Play商店中具有代表性的应用样本，发现大多数应用存在第三方追踪行为，但很少有应用在追踪前获取用户同意，表明可能存在广泛的隐私法律违规。其次，论文详细检查了最常见的第三方追踪库，发现虽然这些库承认依赖应用开发者代表其获取同意，但通常缺乏稳健措施来确保这一点：同意要求的披露有限；缺乏默认同意实现；合规指导难以找到、难以阅读且维护不善。研究贡献在于揭示了Android生态系统中用户同意缺失的系统性问题，并为政策制定者和应用开发者提供了改进方向。

该论文探讨了视觉障碍用户在网络安全与隐私方面面临的独特障碍。研究通过访谈或调查等方式，揭示了用户在身份验证（如密码管理、验证码识别）、钓鱼攻击防范、社交媒体隐私设置、软件更新以及依赖第三方协助等方面遇到的困难。论文指出，现有安全工具和界面设计往往缺乏无障碍考虑，导致视觉障碍用户被迫采取不安全的行为（例如共享密码、跳过安全更新）。研究同时关注了用户在不具备视觉反馈的情境下如何感知信任和安全，以及他们在面对复杂隐私政策时的无助感。文章提出了面向无障碍安全设计的初步建议，强调需要开发适应屏幕阅读器、语音交互和触觉反馈的安全机制，并呼吁将残障用户纳入安全系统的测试与设计流程。该工作为后续研究提供了丰富的定性数据和改进方向。

该论文针对COVID-19疫情期间全球大规模转向远程通信（视频会议、远程办公、在线学习等）的背景下，用户对隐私和安全的态度、行为及担忧进行了系统研究。研究背景指出，尽管远程通信在疫情后仍将持续，但用户隐私和安全保护面临新挑战。作者通过Prolific平台招募220名全球参与者进行在线问卷调查，结合定量与定性分析，发现隐私和安全是影响用户对会议工具和会议地点舒适度的最常见因素之一。开放式回答揭示大多数用户在远程会议中缺乏选择会议工具、使用麦克风/摄像头的自主权，这些情况往往与其个人隐私和安全偏好相矛盾。研究进一步分析了用户对数据收集、监控、控制权缺失等隐私威胁的担忧，并基于发现提出了若干建议，旨在帮助雇主、教育者及工具开发者为用户提供信息支持和赋能，使其在远程通信中做出隐私保护性决策。论文贡献在于：1）提供了疫情期间用户远程通信隐私态度的实证数据；2）识别了用户自主权缺失与隐私偏好冲突的关键问题；3）提出了改进远程通信工具与组织实践的建议。适合隐私政策制定者、远程工具开发者、人力资源及教育从业者阅读。

本文针对检索增强生成（RAG）流水线中广泛使用的分层可导航小世界（HNSW）向量数据库，揭示了软删除操作的严重安全隐患。当用户请求删除数据时，系统通常仅将记录标记为已删除，而实际嵌入在磁盘上保持不变，这违反了GDPR第17条和HIPAA等数据擦除与保留法规。作者在三个HNSW实现上验证，通过直接访问存储层的原始索引文件（绕过API）即可物理恢复已删除的向量。利用无需领域微调的Vec2Text反转模型，在多个真实数据集上展示了该漏洞：在维基百科在世人物数据集（BLP）上成功恢复25.5%的准确人名和46.4%的地理位置（ROUGE-L 0.185）；在高度结构化的敏感数据（NIH Synthea数据集）上，患者年龄和性别的恢复率达到100%（ROUGE-L 0.290）；在软删除的图像嵌入上，组织病理学切片的组织分类准确率为100%（p=1.02e-07），面部嵌入的top-1身份恢复率达99%（p<0.01）。作为防御，本文提出了Epoch密钥轮换机制：对向量进行加密，删除时丢弃密钥。该机制将观察到的PII恢复率降至0%，处理500个已删除向量仅需2.5毫秒（约0.005毫秒/条），并生成ECDSA签名的加密证明作为删除事件的可审计记录。本研究适合向量数据库开发者、RAG系统构建者、隐私合规工程师以及关注数据持久性安全的研究人员阅读。

本研究首次系统性地分析了用户向大型语言模型（LLM）提出的数字安全与隐私（S&P）问题以及LLM的响应质量。研究基于WildChat数据集（包含320万条用户-LLM对话），从中识别出14,727条S&P提示，并将其分为九个类别，涵盖账户安全、恶意软件防护、密码管理、隐私设置等主题。进一步，从这些S&P提示中抽样450条进行主题分析，以刻画用户实际咨询的S&P问题类型。此外，还专门筛选出270条寻求建议的S&P提示，用于评估LLM的响应质量和一致性。通过将每条提示重复提交给LLM十次，研究发现：商业模型（如GPT-5.5）在98%的提示上提供了“足够好”的响应，而开源模型（如Llama 4）仅在47%的提示上达到同等质量。然而，即使在高质量响应的提示中，商业模型有时在不同运行中生成矛盾的回答，可能混淆或误导用户。该研究填补了现有文献的空白——以往研究多依赖专家撰写的S&P误解或常见问题，而非真实用户查询。本文主要贡献包括：提供用户S&P查询的实证分类、评估LLM在S&P领域的响应质量与一致性，并揭示商业模型的潜在风险。适合LLM安全研究者、隐私工程师及对话系统设计者阅读。

本文研究了在高斯过程（GP）后验采样中释放样本路径的隐私保护问题，其中整个训练集（包括协变量和响应）被视为私密信息。与传统差分隐私（DP）机制通过添加外部噪声不同，后验采样本身具有随机性。作者证明这种内在随机性能够提供差分隐私保证，具体通过推导高斯过程后验样本路径释放的显式 Rényi-DP 界。这些界将后验均值泄露与数据相关的后验协方差泄露分离，表明有意义的隐私保护强烈依赖于有效的岭正则化。通过成员推理攻击实验，作者展示了经验泄露与正则化、后验方差以及释放的后验样本路径数量之间的预测依赖关系。下游后验采样任务上的效用实验识别出噪声观测场景，在该场景下隐私兼容的正则化以适度的效用损失保留了有用的决策。当需要更强隐私保护时，可通过添加校准的 GP 噪声来增强内在保证，从而提供显式的额外隐私调节旋钮。该研究为理解 GP 后验采样的隐私属性提供了理论基础。

该论文关注儿童在数字环境中的安全问题。当前主流做法依赖于限制性机制，如禁令、年龄门控、家长控制、监控和屏幕时间限制。作者认为这些方法将儿童视为需要被排除的攻击者、需要修补的漏洞或需要管理的风险，忽略了儿童作为数字技术的合法使用者。论文提出“儿童适配安全”（Child-fit security）设计范式，将儿童视为合法用户，将儿童的福祉、发展、隐私、安全、自主权和权利作为核心安全需求。该范式将保护焦点从应用、账户和数据转向儿童-系统关系，即同时保护儿童及其参与。论文阐述了儿童适配安全的核心原则，并与传统的限制导向方法进行对比，讨论了其对安全设计的影响，并提出了使儿童适配安全可操作化的研究议程。适合安全设计人员、人机交互研究者、儿童在线安全政策制定者阅读。

在社交媒体平台上，用户常因过度分享不恰当的想法或个人隐私而后悔，并倾向于删除这些内容以弥补过失。然而，删除行为本身反而成为恶意攻击者追踪隐私信息的信号：攻击者通过大规模监控删除操作，能够识别出被删除内容可能对用户有害，从而侵犯用户隐私。现有的一些存档服务已经在扫描社交媒体获取删除的帖子，且研究表明强大的机器学习模型可以高效检测出具有危害性的删除。为抵御这种全球性攻击，本文提出了一种名为“欺骗性删除”（Deceptive Deletion）的诱饵机制。该机制通过注入虚假的删除操作，构建一个挑战者（平台/用户）与攻击者之间的两人零和博弈：攻击者试图从所有删除的帖子中分类出真正有害的内容，而挑战者则利用诱饵删除来掩盖真实的危害删除行为。作者形式化了这个博弈过程，推导出攻击者或挑战者分别获胜的条件，并讨论了中间过渡场景。通过在Twitter真实数据上模拟实验，验证了该机制的有效性：强大的全球攻击者可以被同样强大的挑战者击败，从而显著提升用户遗忘的权利。该工作为社交媒体隐私保护提供了新的思路。

论文提出 Di5Guise 隐私增强架构，解决 5G 网络中 eSIM 设备身份与订阅者身份固定绑定导致的可关联性隐私问题。当前 eSIM 具有固定设备配置文件（包含密钥、证书、唯一 eUICC 标识符），该配置文件永久绑定设备上所有订阅配置，使得运营商视角的攻击者能够将不同订阅身份关联到同一设备，即使切换身份或使用流量混淆技术，仍可重构用户完整生活模式（在线活动、移动轨迹、真实身份）。Di5Guise 的核心组件是 vSIM（虚拟化 SIM 卡），它通过解耦设备身份与订阅身份，实现动态设备配置文件配置：每个订阅配置文件关联一个不同的、不可链接的设备配置文件，从而阻断关联。架构利用安全硬件（如可信执行环境）确保 vSIM 处于可信状态，与运营商建立信任。作者在 FPGA 板上实现原型，并集成到 srsRAN 开源 5G 基站软件中，验证了与现有 5G 基础设施的兼容性。实验使用复杂用户关联模型评估，结果显示，结合流量混淆时，Di5Guise 将用户重识别准确率从 93% 降至 49%，显著提升隐私保护效果。

本文研究在本地差分隐私保护下，跨多个独立数据孤岛的去匿名化攻击威胁。当一个人的记录出现在k个各自满足(ε,δ)-差分隐私的孤岛中时，标准组合机制提供(kε, kδ)-DP保证，但这一最坏情况边界无法回答具体推断问题：在多大的k下，攻击者能实际识别目标个体？为此，论文提出跨孤岛个体级差分隐私（XSP-DP）框架，这是一种Pufferfish风格的隐私概念，其邻接关系同时捕捉单个个体在所有孤岛上的所有记录，并验证标准基本组合边界适用于此邻接模型。在该框架内，论文证明去匿名化存在相变现象：阈值k* = Θ(log n / ε²)（n为人口规模，ε为单孤岛本地差分隐私参数）。Fano下界表明当k << k*时任何估计器都失效，而匹配的最大似然上界表明当k >> k*时攻击成功。通过显式的XOR+随机响应构造，论文展示了信息协同效应：每个孤岛的单独输出对目标无信息量，但联合互信息严格为正。对于非协调的二元随机响应机制，论文证明一旦k超过阈值，去匿名化不可避免，从而说明了跨孤岛协调的必要性。这些结果为本地DP下跨孤岛推断攻击提供了基线威胁模型和Θ级阈值。本文适合安全研究人员、隐私保护工程师以及从事差分隐私应用的理论工作者阅读。

本文针对网络追踪从第三方追踪向第一方追踪（FPT）和服务器端追踪（SST）的转变进行了大规模测量研究。随着隐私法规和浏览器限制的加强，追踪者将逻辑迁移到浏览器的第一方上下文或网站后端，使得传统客户端检测工具失效。作者开发了一种独立于供应商的方法来检测FPT和SST，对Alexa top 10万网站进行扫描，发现超过54%的网站部署了此类追踪技术。进一步，通过脚本相似度聚类和网络图分析，揭示该生态系统高度互联，主要由Google等大型供应商主导。实验证明现有广告过滤列表（如EasyList）对第一方追踪几乎无效，作者提出了新的过滤规则，能够比传统列表多阻止63%的追踪请求。该研究为理解现代追踪技术的规模、生态结构以及防御措施提供了重要基础。

随着隐私合规AI需求的增长，机器遗忘变得愈发重要。然而，现有的基于重新训练或知识蒸馏的方法不仅计算成本高，而且难以验证。本文提出了TrustErase，一个可验证的无数据遗忘框架，利用护照嵌入表示实现即时、模块化且可审计的遗忘。核心思想是将护照视为参数高效适配层中的加密密钥，通过简单去激活即可移除特定类别或数据集，无需重新训练、微调或访问原始数据。框架采用基于奇异值分解的方法将护照隐藏在模型权重中，确保遗忘操作透明且可证明合规。在MNIST、CIFAR10和CIFAR100上的实验表明，TrustErase在数据无限制条件下，性能匹配甚至超越了DELETE、L2UL和Boundary Shrink等现有基准。该工作为构建可信、负责任且可即时遗忘的AI系统建立了新范式。

本文研究了交互式定向广告系统中的属性推断问题。在定向广告中，广告商可以选择特定受众群体，并将广告投放与用户可见的交互行为（如点击、浏览）关联。当这些交互行为与发起该交互的广告活动保持关联时，广告商可能获得与特定用户相关的观测数据，而不仅仅是聚合报告。作者将此渠道建模为属性推断的带噪预言机，并定义了目标谓词、曝光、交互和披露等边界，以区分资格与投放、交互与广告商可见性之间的差距。为了评估隐私风险，作者使用公开数据校正的合成人口数据构建了一个可重现的基准测试，每个个体带有已知的敏感标签。通过一个生成的广告活动语义层提供主题变体和响应先验，仿真器生成真实标签、事件轨迹、披露观测和评估指标。作者对比了贝叶斯攻击、监督学习、正无标签学习和自适应攻击在常见广告活动和披露定义下的表现。最终评估涵盖四个主题变体、七个仿真种子和两种交互设置。实验结果表明，在重复广告活动且暴露用户身份的情况下，推断信号是可测量的但有一定界限。在160个广告活动后，贝叶斯和监督学习攻击在主设置下达到约0.64 AUC，在更高交互设置下达到约0.65 AUC。本文发现披露策略是最强有力的控制措施：聚合报告消除了与用户绑定的预言机输入；类型过滤和随机化披露减少了释放的信号。最终贡献包括一个交互式定向广告隐私的模型、可复现的基准工具以及一套防御评估方法。相关代码已开源。

本文首次系统性地研究了视觉-语言-动作（VLA）模型在会员推断攻击（MIA）下的隐私脆弱性。VLA模型通过融合视觉、语言和动作信号实现端到端机器人控制，但训练数据的高昂采集成本使得数据记忆引发的隐私泄露和知识产权侵权问题尤为突出。会员推断攻击旨在判定给定样本是否属于训练集，然而现有研究尚未涉及VLA模型。为此，作者提出了VLALeaks攻击框架，利用VLA模型中注意力机制的差异进行攻击。该方法分为两个阶段：首先提取会员特征，即通过分析模型在不同输入上的注意力分布差异来捕捉会员信息；然后构建攻击模型，通过二分类器判断样本是否属于训练集。在多个VLA基准数据集上的实验表明，VLALeaks能够有效揭示会员信息，并在AUC和TPR@1%FPR指标上达到最优性能，充分暴露了当前VLA模型部署中的隐私隐患。该工作为构建安全可信的VLA模型提供了重要洞察。

本文提出了一个名为PFirewall的智能家居隐私保护系统，旨在解决物联网平台中用户敏感设备数据过度暴露的问题。在现有智能家居平台上，设备一旦绑定，所有数据都会流向上层平台，而其中大部分数据并不触发自动化动作，导致不必要的隐私泄露。PFirewall基于语义感知的数据流控制，自动生成数据最小化策略，仅向平台披露执行自动化所需的最小必要数据。此外，系统提供用户自定义策略接口，允许房主根据个人偏好定制隐私规则。PFirewall透明地干预和调解物联网设备与平台之间的通信，无需修改平台、设备或网关即可实施策略。在实际测试床上的评估结果显示，PFirewall能够在不影响家庭自动化功能的前提下，将发送到平台的数据量减少97%，并有效缓解用户活动推断/跟踪攻击及其他隐私风险。该系统的核心贡献在于结合自动化策略生成与用户自定义规则，实现了可定制的细粒度数据流控制，为智能家居隐私保护提供了实用且高效的解决方案。适合智能家居安全研究人员、物联网隐私工程师以及平台设计者阅读。

该研究聚焦于分割式大语言模型（Split-LLM）中的数据泄露与防御问题。在隐私敏感场景中，用户面临两难：使用外部API可能泄露隐私数据，而本地部署则计算成本高昂。分割学习（Split Learning）作为一种折中方案，将模型切分，客户端运行部分网络层，服务器端运行其余部分，但这也引入了新的隐私风险。以往工作主要关注输入提示（prompt）的泄露，通常通过对中间表示的逆向攻击实现，而对生成响应（response）中潜在敏感信息泄露的关注较少。本文首先揭示了Split-LLM中的新型漏洞，提出了补丁模型逆向攻击与双端初始化（PIDI），这是一种两阶段攻击方法，同时针对私有输入提示和输出响应。PIDI结合双端初始化和补丁逆向策略来处理长序列，显著优于以往的逆向方法。为抵御来自两端的威胁，作者进一步提出了基于适配器的双端防护与互信息防御（ADMI），它集成了适配器本地预热策略和互信息正则化，在最小影响任务性能的前提下提供了强大的经验隐私保护。在多种任务和模型上的大量实验表明，ADMI能有效防御PIDI及其他最新逆向攻击。该工作揭示了Split-LLM中双向数据泄露的风险，并提出了实用的防御方案，对安全部署大语言模型具有重要参考价值。

该论文通过实地调查和半结构化访谈，深入研究了肯尼亚网吧（cybercafe）中用户和工作人员面临的安全与隐私挑战。研究在肯尼亚的两个城市（内罗毕和基苏木）进行，共调查了200名用户和26名网吧工作人员。主要发现包括：（1）高达80%的用户在创建或输入密码时依赖工作人员代为操作，工作人员因此掌握了大量用户的账户凭证；（2）网吧工作人员经常将用户凭证存储在不安全的电子表格或纸质记录中，甚至通过WhatsApp等聊天工具共享，存在严重的泄露风险；（3）用户普遍缺乏基本的安全意识，例如不验证网站HTTPS证书、不知道公共计算机的键盘记录风险；（4）网吧缺乏正式的安全策略，工作人员也未经培训；（5）用户出于成本、设备可及性等原因被迫使用网吧，缺乏替代选择。论文揭示了资源受限环境下安全设计与实际使用之间的巨大鸿沟，并提出了针对性的设计建议，例如构建无密码身份验证方案、提供临时会话机制等。该研究对于理解发展中国家数字鸿沟中的安全隐私问题具有重要价值。

联邦学习（FL）允许多方协作训练模型而不共享原始数据，但标准方法（如FedAvg）将每个客户端视为黑盒，无法隔离对抗性贡献者、审计每个客户端的影响，或尊重已退出参与者的被遗忘权。本文提出Fed-FBD（联邦功能块多样化），一种模块化联邦架构，将ResNet骨干网络分解为六个功能块（stem、四个残差组和分类头），并维护一个包含N种颜色变体的仓库，每种变体由独立跟踪和贡献者标记的块组装而成。Fed-FBD提供FedAvg所不具备的三种能力：(i) 架构保障的块级隔离，使对抗性或错误标记的客户端无法污染干净的变体；(ii) 设计上的隐私保护，在应用任何隐私机制之前，成员推断优势已与随机猜测无异；(iii) 在亚秒级成本且无需重新训练的情况下，外科手术式地遗忘已退出参与者的贡献。在六个MedMNIST-2D数据集、224x224的PathMNIST和CIFAR-10上的实验表明，在规模足够的数据集上，Fed-FBD以0.3%-3.1%的IID准确率下降换取这些保证，在四个数据集中的三个上，在Dirichlet alpha=1.0时与FedAvg的差距保持在0.8%-4.0%以内，并且所有六种对抗性攻击都被限制在中毒客户端的自身块内，对干净变体的AUC漂移不超过±0.01。

该论文提出 OCELOT，一种用于保护 LLM Agent 隐私的运行时中介系统。LLM Agent 在执行用户任务时，需要读取个人文件、调用工具、与外部服务交互，这可能导致个人身份信息（PII）在多个信任边界间泄露。隐私问题在这里具有三个特性：泄露是累积的（单个无害的输出在多个好奇或共谋的接收者之间积累，最终推断出受保护的秘密）、双向的（恶意观察可注入指令，利用 Agent 自身的推理模型对付用户）、以及任务依赖的（同一字段对某个接收者是必需的，对另一个则是多余的）。现有的每次输出上下文完整性过滤器、信息流控制和后验泄露监控各自解决了部分问题，但都无法在运行时控制基于累积推断的泄露。本文将 Agent 隐私重新定义为后验风险控制，并提出了 OCELOT。其核心机制是“见证验证的解分类”（Witness-Verified Declassification），将判断与信任分离：一个不受信任、本地微调的防御模型检查每个候选输出，并生成结构化证据（标记原子和提议的解分类操作），然后由确定性验证器审计，为所选变体收取认证的最小熵成本，并在防篡改账本上记录接收者信任加权预算，授权最少泄露的有用输出。在多个 Agent 基准测试和最新防御方法的对比中，OCELOT 在更高任务效用下实现了显著更低的泄露，能够抵抗自适应注入、越狱、累积推断和接收者共谋，且仅增加适度开销。论文提供了详细的形式化定义、算法设计和实验评估，适合 LLM 安全研究者和开发 Agent 应用的工程师阅读。

本研究对谷歌提出的Topics API进行了公开、可重复的评估。该API旨在替代第三方Cookie，通过浏览器根据用户浏览历史推断出少量兴趣主题，供广告商实现定向广告，同时声称保护用户隐私。此前的研究争议集中在数据集真实性和结果可重复性上：部分研究使用小规模用户数据或合成数据，而谷歌自身的结果基于私有数据集。本文利用迄今为止最大的公开真实浏览历史数据集（1207名用户），对最新版Topics API进行了评估。首先测量了用户兴趣随时间的唯一性和稳定性，发现用户的主题分布具有较高唯一性；其次，通过适应先前隐私研究的方法，评估了Topics是否可用于跨站指纹识别。结果表明，广告商仅需观察到用户主题1次、2次、3次，就分别能以46%、55%、60%的概率在网站上唯一重新识别该用户。这说明Topics并未为所有用户提供同等的隐私保护，部分用户更容易被跟踪。论文呼吁网络参与方发布匿名化分布数据，以促进公开可重复的评估。本研究对隐私政策制定者、浏览器开发者及广告技术从业者具有参考价值。

本文提出Zapper，一个旨在为智能合约提供数据和身份隐私保护的系统。在区块链环境中，智能合约的执行数据通常对所有节点公开，这导致敏感信息（如交易金额、用户身份）面临泄露风险。Zapper通过集成先进的密码学技术（如零知识证明、同态加密或安全多方计算），实现合约状态的加密存储与计算，同时允许验证者在不泄露具体数据的情况下确认合约的正确执行。此外，Zapper还支持匿名认证机制，隐藏交易参与方的身份，从而增强用户隐私。该工作可能设计了一套新的编程模型或编译器，使开发者能够便捷地编写隐私保护智能合约，并在以太坊等平台上部署。实验评估可能展示了其在计算开销、交易成本和可扩展性方面的权衡。该研究对区块链隐私保护领域具有重要参考价值，尤其适用于金融、供应链和身份管理等对隐私敏感的应用场景。

该论文提出了一种新颖的浏览器扩展指纹识别技术，能够绕过传统时间敏感的检测方法。通过利用浏览器扩展的瞬时修改，攻击者可以持续地识别用户安装的扩展，即使这些扩展在正常浏览过程中不会留下持久痕迹。研究展示了如何通过操纵扩展的API行为或临时注入内容来建立独特的指纹，并在多种浏览器和扩展组合上验证了有效性。实验结果表明，该方法能够以高精度识别扩展，且难以被现有防御机制检测。该工作揭示了浏览器扩展生态中一个新的隐私威胁向量。

本文是一篇系统化知识（SoK）论文，旨在系统梳理全球互联网隐私法规的技术实现与人类影响。研究背景是：随着个人数据被滥用的风险日益凸显，各国陆续出台多项隐私保护法规，其中欧盟的《通用数据保护条例》（GDPR）和加州《消费者隐私法案》（CCPA）受到计算机科学界的广泛研究，而其他许多法规则关注不足。为填补这一空白，作者分析了来自全球的24部隐私法与数据保护法规，涵盖已获大量研究的和相对冷门的法律，并构建了一套关于法律赋予权利和施加义务的分类法。基于该分类法，作者系统化整理了计算机科学领域270篇技术研究论文，这些论文探讨了上述法规的影响以及技术方案如何补充法律保护。最后，作者通过跨学科视角分析研究现状，并提出了计算机科学与法律隐私交叉领域的未来工作建议。本文的核心贡献在于：1）建立了全面的隐私法规权利-义务分类体系；2）系统化梳理了大量相关技术文献，揭示了研究趋势与空白；3）为技术从业者和法律研究者提供了跨学科合作的方向。适合安全工程师、隐私合规人员、政策研究者以及关注隐私技术的计算机科学家阅读。

该论文提出 ANONYCALL，一种在移动网络中实现原生私有通话的框架。当前移动通话中，呼叫方和被叫方的身份（电话号码）对网络运营商和中间节点可见，导致用户隐私泄露。ANONYCALL 旨在通过轻量级密码学协议与信令系统改造，在不改变现有蜂窝网络核心架构的前提下，为通话双方提供身份隐匿和端到端加密保护。该方法利用现有 SIM 卡的安全能力，结合临时身份标识生成与认证机制，避免依赖第三方可信实体。实验在模拟 LTE/5G 网络环境下评估，表明 ANONYCALL 能在几十毫秒内完成呼叫建立，附加延迟在可接受范围内，且对现有网元的改动最小。主要贡献包括：(1) 首个在标准移动网络层次实现原生私有通话的设计；(2) 一套可兼容现有 3GPP 信令流程的隐私保护协议；(3) 原型实现与性能评估，证明其实用性。

本论文研究了基于语言模型的智能体（Agent）在执行复杂任务时生成的执行追踪（execution traces）所引发的程序技能泄露风险。用户通常依赖这些追踪来观察行为、诊断失败和确保问责，但追踪中包含了丰富的程序细节，如工具调用、中间决策和错误恢复逻辑，这些细节可能暴露私有的程序化技能（procedural skills），使得下游方法能够在无需访问模型权重或技能文件的情况下恢复关键公式、阈值和策略。为了量化这一风险并评估保护措施，作者构建了CapTraceBench基准，包含75个专门的长周期任务和7个领域（如金融、医疗等）的154个手工技能。同时，提出了RedAct框架，一个受保护的追踪发布系统，能够定位受保护的关键信息，重写追踪内容同时保留对验证者关键的审计证据，并嵌入行为水印用于下游溯源分析。实验表明，针对多种代表性的追踪重用方法，RedAct能将归一化技能转移（NST）从原始追踪的44.7%-67.1%降低到低于无技能基线的水平，同时保持审计证据的可用性。其行为水印达到了93.6%-100.0%的真实检测率，误报率不超过1.9%。这些结果将公共Agent追踪重新定义为安全接口，并证明选择性编辑能够在不移除审计证据的情况下减少程序能力泄露。

本文首次揭示了在元宇宙/VR 场景中，利用头戴式显示器中原本用于追踪运动的惯性传感器（如加速度计、陀螺仪）来重建用户大脑 EEG 信号，从而窃取超出可视行为范围的隐私信息（如用户正在感知的脑内图像、对视听刺激的神经反应等）。核心思想是：VR 头盔的内置运动传感器能够捕捉到由瞳孔反应引起的细微振动，而瞳孔反应与用户的视觉刺激和脑内感知高度相关。作者设计并实现了 BraVeSpy 系统，通过采集运动传感器数据，利用机器学习模型重建与大脑 EEG 相关的表示，进而推断敏感信息。实验采用多种 VR 设备，结果表明：首次在元宇宙中实现了对不可观察的隐私泄露——以 52.0%-67.2% 的准确率重建脑内感知图像；在推断用户活动相关的敏感信息（如指纹识别网站、应用、流媒体视频）时准确率超过 85.0%；在用户去匿名化、目光移动跟踪和虚拟按键推断上准确率超过 96.0%。该工作揭示了运动传感器作为侧信道的新攻击向量，突破了以往仅能推断可观察行为的限制，对元宇宙隐私安全构成严重威胁。

该论文采用共同设计方法，为约旦智能家居环境中的旁观者隐私保护开发一款移动应用。研究背景是智能家居设备（如智能音箱、摄像头）在家庭中的普及，导致非用户（即旁观者，如家庭成员或访客）的隐私可能被无意侵犯。传统隐私保护方案多聚焦于设备用户本身，忽视了旁观者的权益。为此，研究团队与约旦当地参与者合作，通过一系列共同设计研讨会，识别了旁观者的隐私关切、使用场景以及功能需求。最终设计出一款移动应用原型，允许旁观者通过手机界面控制智能家居设备的隐私相关设置（如临时禁用麦克风/摄像头、查看设备状态）。该应用通过用户中心的设计流程，考虑了文化和社会规范，如性别角色和家庭权力动态。实验评估表明，该应用在提升旁观者隐私意识和控制感方面具有积极效果。主要贡献包括：1）提出并验证了面向旁观者的隐私保护框架；2）提供了在阿拉伯文化背景下实施隐私技术的见解；3）为智能家居隐私设计提供了可迁移的参与式方法。

本文聚焦于操作系统集成的本地AI（On-Device AI）的隐私边界问题。作者指出，当前隐私讨论常将“本地运行”视为隐私保障的充分条件，但这一观点过于狭隘。本地AI助手可能整合邮件、日历、文件、截图、通知和应用程序意图，保留嵌入或摘要，调用工具，发送遥测数据，或将复杂请求路由到云端。本地推理减少了部分暴露风险，但仅回答了“计算发生在何处”的问题，而未能解答“谁可以聚合上下文”、“哪些派生状态被持久化”、“哪些操作被授权”以及“更新如何改变系统权限”等关键问题。为此，论文提出了一个以操作系统为中心的隐私框架，将隐私视为制度性问责问题而非部署属性。框架包括：威胁模型、六部分隐私风险分类学、隐私架构控制以及四级审计评估标准。作者通过对Apple Intelligence/Foundation Models、Android AICore/Gemini Nano和Microsoft Recall三个案例的文档有限比较，展示了审计标准的应用。论文强调，有意义的隐私取决于受限的信息流、有限的权限、可见的用户控制以及跨操作系统生命周期的可审计治理。该研究为系统设计人员、隐私工程师和政策制定者提供了理论指导，适用于智能助手、智能操作系统等场景。

该论文聚焦于医疗语言模型（LMs）的隐私评估问题。现有隐私评估往往只关注训练文本的恢复，而非现实威胁模型下的信息泄露。作者提出了一个临床接地的隐私评估框架，按敌手访问权限的梯度分级（从公开可推断的人口统计数据到泄露的笔记片段），在每个级别测量患者特定文本的逐字记忆和敏感诊断的语义泄露。将框架应用于一个在37.8万份临床笔记上预训练的LM，发现常规就诊元数据（如姓名、出生日期、提供者、诊所、就诊日期）能高概率地触发患者时间线内的逐字记忆和敏感诊断恢复（堕胎 AUROC 0.91，HIV 0.81）。同时，精确匹配的记忆可能夸大了信息披露：36%的记忆化标记来自模板化文档。该工作强调了在纵向临床数据上训练的风险，为医疗LMs的上下文隐私评估提供了实用框架。适合医疗AI安全研究员、隐私工程师和临床数据管理者阅读。

本文系统性地研究了多模态大语言模型（MLLMs）中的隐私风险。与文本大语言模型（LLMs）不同，MLLMs同时处理文本和图像，图像中嵌入的敏感信息可能被模型提取并泄露。作者首先构建了MM-Privacy综合数据集，覆盖多种多模态任务和场景，定义了表露风险（Disclosure Risks）和留存风险（Retention Risks）。然后，他们使用MM-Privacy对多个MLLM进行了系统评估，发现模型在不同任务中均存在泄露敏感信息的问题。此外，论文还揭示了任务不一致性（task inconsistency）在隐私风险中的角色，并强调了制定缓解策略的紧迫性。实验结果表明，MLLMs的隐私风险不容忽视，亟需防护措施以防止数据暴露。该研究为多模态AI的隐私保护提供了基准和方向，适合安全研究人员和AI开发者阅读。

本文是一篇系统化知识综述（SoK），针对移动应用中用户自拍裸照（self-generated nudes）分享行为的安全、隐私与问责问题展开研究。作者首先通过系统文献综述，从10,026篇搜索结果及交叉引用中筛选出相关学术论文，同时调查了主流操作系统功能及52款约会、社交、即时通讯应用中的实际解决方案。在此基础上，本文提出了一个针对“安全色聊（safer sexting）”的威胁模型，涵盖了攻击者类型、隐私泄露、未授权传播等风险。根据威胁模型，作者将所有技术辅助方案/功能划分为多个类别，如：裸照检测（检测是否包含裸体内容）、模糊化处理、可撤销发送、到期自动销毁、水印追踪、同意验证、举报机制等。文章指出，没有任何单一方案能应对所有威胁，不同方案在不同维度上提升安全性。本文还总结了现有方案的不足，例如：检测准确性问题、隐私保护与功能可用性的权衡、以及滥用/规避风险。最后，作者提出了未来研究方向的建议，包括更细粒度的威胁模型、跨平台互操作性、用户隐私与安全增强的平衡等。本文适合安全研究人员、隐私工程师、应用开发者以及政策制定者阅读，旨在为构建更安全的在线性表达环境提供技术路线图。

本文系统性研究了现代CSS动态特性在无脚本指纹识别中的应用，特别是针对浏览器和电子邮件客户端。作者提出了三种创新技术：基于模糊测试的CSS容器查询利用、基于模板的算术函数利用以及复杂选择器利用，能够高精度推断应用、操作系统和硬件配置。在浏览器端，实验测试了1176种浏览器-操作系统组合，区分准确率达97.95%。在电子邮件端，21个测试的网页、桌面或移动邮件应用中有8个可被成功指纹识别，证实了即使在HTML邮件这种高度受限的环境中，指纹识别仍然可能。为了防御此类攻击，作者提出了两种机制：一是预加载条件资源以消除基于特征的泄露；二是设计邮件代理服务，在保留隐私和邮件完整性的同时保持功能兼容性。本文为隐私保护提供了新的见解和解决方案，强调了针对新兴追踪方法的健壮防御的重要性。

本文针对序列模型（如大型语言模型和自回归图像生成器）中的成员推断攻击进行了研究。序列模型在训练过程中往往会记忆训练数据中的敏感信息，并在生成过程中无意泄露这些信息，这带来了严重的法律和隐私风险。然而，现有的隐私审计工具由于假设与序列生成过程的特性不匹配而效果有限。作者提出，有效测量序列模型中的隐私泄露需要利用序列生成过程中固有的样本内相关性。为此，他们改编了最先进的成员推断攻击，通过显式建模序列内的相关性，将现有攻击自然地扩展以适应序列模型的结构。具体地，他们针对自回归序列生成的特点，在攻击中引入了一个能够捕获序列内依赖关系的统计量，从而更准确地判断一个样本是否出现在训练集中。通过案例研究（可能针对语言模型或图像生成模型），实验证明这种改进能够持续提高记忆审计的有效性，且不会增加额外的计算成本。本文的工作为大型序列模型的可靠记忆审计奠定了重要基础，对于理解和缓解序列模型中的隐私泄露风险具有指导意义。

本研究系统性地调查了用户在网页表单提交前，电子邮箱和密码信息被第三方脚本截获的风险。研究团队通过测量网络流量和JavaScript执行，分析了大量网站的数据泄漏行为。结果显示，许多网站在表单提交前就将用户输入（包括电子邮件和密码）发送给第三方，如分析服务、广告平台和数据代理商。研究量化了泄漏的程度和频率，识别了常见的泄漏路径，包括表单自动填充、键盘记录器和数据收集脚本。此外，研究还探讨了隐私法规（如GDPR）对此类实践的约束，并提出了防御建议，如使用更严格的HTTP头、禁用第三方脚本等。该研究为理解网络隐私威胁和设计更安全的表单处理流程提供了重要参考。

该论文对欧洲成人网站中法规强制要求的年龄验证系统进行了首次探索性安全评估。年龄验证作为保护未成年人在线安全的核心监管工具，正被多个司法管辖区强制要求部署于成人内容访问场景。然而，这种监管方向引发了显著的隐私担忧——它将敏感内容访问与身份属性绑定，同时由于年龄验证机制通常外包给第三方提供商，其验证过程的透明度不足，带来了安全风险。研究者从安全而非纯监管视角出发，通过生态系统映射、敌手建模和跨国实证测试（覆盖四个国家），评估了包括文档验证、生物年龄估计、间接信号以及网站流程集成在内的多种机制。结果揭示，在现实的威胁假设下，这些机制存在系统性弱点，例如无法抵御低成本、易获取的攻击。最终，论文提出了缓解当前年龄验证部署中安全与隐私风险的具体指南和设计方向。适合安全研究人员、政策制定者及隐私工程师阅读。

本文研究了基于查询的数据匿名化系统中存在的侧信道攻击问题。数据匿名化是计算机隐私领域的一个长期挑战，一种常见的实践方法是向分析人员提供查询接口，并在每次查询时动态进行匿名化处理。这种方法通常依赖标准数据库后端，并直接向分析人员暴露数据库的查询语义。作者发现，这种设计虽然旨在通过查询级别的匿名化保护隐私，但实际上可能引入侧信道漏洞：攻击者可以通过观察查询结果、响应时间、错误消息等外部信息，推断出数据库中敏感的统计信息或个体记录。论文系统地分析了多种可能的侧信道攻击向量，包括基于结果集大小、基于响应时间差异、基于错误提示等，并形式化地定义了攻击模型。通过实验，作者证明了在流行的匿名化查询系统（如 DataSifter、Diffix 等）中存在可被利用的侧信道，能够以高置信度推断出原始数据的分布、异常值甚至具体记录的存在。此外，论文讨论了现有防御机制的不足，并提出了一些初步的缓解策略，如引入查询结果噪声、统一响应时间、消除错误信息等。该研究揭示了基于查询的匿名化方案在安全性上的薄弱环节，为隐私保护系统设计者提供了重要的警示和改进方向。适合关注数据隐私、侧信道分析、数据库安全的研究人员和安全从业者阅读。

本文是首篇对合成表格数据的重建攻击（即属性推断攻击）进行系统化研究的论文。研究背景是合成数据被广泛宣传为一种隐私保护替代方案，用于发布敏感表格记录，但对其核心对抗威胁——重建攻击（通过合成数据和少量已知准标识符恢复个体隐藏属性值）的研究此前零散且难以比较。作者构建了攻击分类体系，按攻击利用的结构（如分布、关联、记忆）组织攻击；进行了迄今最系统的实证评估，在五个基准数据集上评估了九种合成数据生成（SDG）方法对十四种攻击的抵抗能力；并提出了一组填补分类空白的新攻击，其中CoBP-RA是测得的最强攻击。关键贡献在于引入了解释攻击成功含义的方法论：一个记忆测试，区分重建攻击是利用了总体分布还是对训练记录的记忆；以及一个约化方法，将重建攻击和成员推断攻击置于同一可比尺度。主要发现包括：SDG方法的选择对风险的影响远大于攻击选择；差分隐私（DP）仅在很小的预算（ε≲1）下有效，超过后保护效果趋于平稳，受限于合成器的容量而非噪声；去标识化方法暴露风险最高；大多数重建攻击反映的是分布结构而非记忆，个体风险集中在异常记录上。该攻击和基础设施在2025年美国国家标准与技术研究院（NIST）合作研究周期中，在所有红队中获得第一名，从而得到外部验证。

该论文首次系统性地研究了基于logit的联邦学习（FL）中隐藏的隐私风险。传统的参数化FL通过交换模型权重或梯度来保护数据隐私，而新兴的logit-based FL方法则在公共数据上共享模型输出（logits），从而促进模型异构性、降低通信开销并增强客户隐私。然而，这些方法的隐私风险被严重忽视。本文提出并分析了一种半诚实服务器（对手）通过学习训练过程中的历史logits来窃取客户私有模型的自适应模型窃取攻击（AdaMSA）。作者从理论和实验两方面证明了这一隐私风险的存在，即使在公共数据与私有数据无关的情况下，风险依然存在。为应对这一威胁，他们提出了一种简单而有效的防御策略：在传输logits时添加扰动，方向是使隐私风险最小化同时最大限度保持训练性能。实验结果表明，AdaMSA能够有效窃取模型，而防御策略能在少量影响性能的前提下显著降低隐私泄露。该研究为logit-based FL的安全性提供了重要理论基础和实用解决方案，并提醒社区注意这一被忽视的隐私漏洞。

本文研究了苹果Wi-Fi定位系统（WPS）的隐私安全隐患。WPS是现代移动设备通过附近Wi-Fi接入点（AP）的BSSID来定位自身位置的服务。作者发现，苹果的WPS可被滥用，从而造成全球范围的隐私威胁。他们提出了一种攻击方法，攻击者无需特殊权限，仅利用MAC地址空间中密集区域相对较少的事实，就能在数天内收集全球Wi-Fi BSSID的地理位置快照。通过一年的持续收集，他们获得了超过20亿个BSSID的精确位置。这种大规模数据集在纵向追踪中更具隐私影响，使攻击者能够跟踪设备的移动。虽然大多数Wi-Fi AP长期固定，但许多设备（如便携旅行路由器）设计为可移动。作者通过多个案例研究展示了苹果WPS带来的隐私攻击类型：跟踪进出战区（乌克兰和加沙）的设备、监测自然灾害（毛伊岛火灾）的影响，以及通过远程定位无线AP实现对特定个体的代理追踪。最后，他们向WPS运营商和Wi-Fi AP制造商提出了增强全球数亿用户隐私的建议，并详细说明了负责任的披露过程以及苹果和制造商已实施的缓解措施。

该论文研究了基于低功耗蓝牙（BLE）设备中允许列表（allowlist）机制的侧信道攻击。BLE设备通常使用允许列表来限制连接和扫描响应，仅与已配对的设备通信。然而，攻击者可以通过被动监听BLE信道，观察设备是否响应扫描请求，从而推断设备是否属于某个允许列表中的设备。这种侧信道信息泄漏使得攻击者能够追踪特定BLE设备（如智能门锁、健康手环等）的物理位置或活动模式。论文首先系统地分析了BLE协议栈中允许列表相关的安全漏洞，量化了信息泄漏的程度。接着，提出了一种基于模糊测试的方法来识别易受攻击的设备，并在多种商用BLE设备上验证了攻击的有效性。最后，论文设计并实现了一种轻量级对策，通过随机化扫描响应时间或添加虚假响应来混淆侧信道信息，从而在不影响正常配对功能的前提下，削弱攻击者的追踪能力。实验结果表明，该对策能有效降低攻击的成功率至接近随机水平，且对设备功耗和响应延迟的影响微乎其微。该研究揭示了BLE允许列表机制中被忽视的安全风险，并为物联网设备的安全设计提供了重要指导。

本文针对语音匿名化系统中个体说话人的再识别风险进行了大规模逐说话人分析。现有评估通常使用等错误率（EER）等平均指标，但这些指标可能掩盖不同个体之间再识别风险的巨大差异。作者采用基于可链接性（linkability）的度量，在最坏场景下对近5000名说话人进行评估，涵盖多种匿名化系统、攻击者架构和对话长度。研究发现，可链接性分数在说话人层面高度极化，但易于识别和难以识别的说话人集合在不同配置下差异显著。进一步分析表明，没有单一因素能够解释说话人的脆弱性，再识别风险源于攻击者、匿名化器和可用语音量之间的交互作用。这些结果挑战了“内在说话人级隐私风险”的概念，并强调评估协议必须明确基于攻击者和匿名化器进行条件设定。实验涉及多种匿名化方法（如语音转换、波形编辑）和攻击者模型（如基于x-vector的说话人识别系统），证实了隐私风险的复杂性和情境依赖性。本文的主要贡献在于：(1) 首次大规模逐说话人分析揭示隐私风险的个体差异和情境依赖性；(2) 证明平均指标不足以评估实际隐私保护效果；(3) 提出评估协议需按攻击者和匿名化器条件化的必要性。适合语音隐私研究人员、安全工程师及隐私保护技术开发者阅读。

本文聚焦于智能体互操作协议（如A2A和MCP）中通信图元数据带来的新威胁。当前协议依赖HTTP(S)传输，虽通过端到端加密保护消息内容，但通信图（哪个智能体何时联系谁、频率如何）完全暴露。在智能体系统中，通信图比传统隐私框架所指出的更危险：端点往往带有能力标签，工作流是结构化且链式的，交互耦合实际动作，因此攻击者不仅能恢复历史关系，还能推断进行中的工作流、正在组装的任务以及即将发生的动作。利用机器速度，攻击者可在工作流完成前采取行动，威胁工作流完整性而非仅隐私。本文首先为智能体通信图建立威胁模型；识别使智能体元数据特别具有揭示性的属性（语义性、前瞻性、驱动性）；定义传输层和引导层的隐私属性，并评估候选传输方案（如SimpleX/SMP、Tor、混合网络）的适配程度；然后以A2A协议为例，展示元数据保护绑定在表达上的可能性，同时揭示协议的身份假设。作者基于真实A2A捕获数据构建生成模型进行实验：仅凭被动元数据（无任何载荷），分类器从工作流开头即可远高于随机地恢复任务类别；而应用所定义的隐私属性后，恢复能力急剧下降至接近随机。此外，本文还衡量了利用泄露采取行动的杠杆效应：在固定预算下，从工作流开头利用元数据泄露的对手，其优势几乎达到全知对手相对于元数据盲对手的优势；而所提属性可有效抑制该优势。本文适合关注智能体安全、隐私、分布式系统威胁建模的研究人员和工程师阅读。

本文针对Web界面中的隐私欺骗模式（Privacy Deceptive Patterns）提出了一种新的威胁模型——AI Grooming，并设计了基于智能体的防御框架DPAgent。隐私欺骗模式通过系统性的设计手法操纵用户泄露个人数据，而现有防御手段分散、静态，且易被大语言模型（LLMs）利用。此外，数据空洞（Data Voids）——即网络生态系统中信息稀缺的区域——为攻击者提供了注入看似良性但实际恶意内容的机会，这些内容会被AI系统抓取和学习，从而放大欺骗性设计和模型异常行为。作者形式化了AI Grooming威胁：攻击者利用数据空洞植入伪装成正常样本的恶意样本，以破坏模型推理并使欺骗性实践正常化。为应对该威胁，DPAgent框架协调四个专有智能体：1）探索智能体：在实时Web环境中主动探索欺骗性UI；2）检测智能体：利用潜在空间净化与防御性提示技术检测欺骗模式；3）修复智能体：自动修复检测到的欺骗界面；4）评估智能体：持续监控防御效果。该框架直接在Web浏览器环境中运行，无需后端修改。实验表明：DPAgent对Groomed样本的检测率达90.98%，在隐私欺骗模式检测任务中取得0.816的微F1分数，达到当前最优；仅访问约10%的基线所需页面即可探索超过80%的模式类型；成功修复77%的检测到的欺骗界面。对485个真实网站的规模研究发现，高达98%的网站包含至少一个隐私欺骗模式，其中超过90%可被DPAgent缓解。用户研究进一步证实DPAgent在保持浏览体验的同时有效降低了隐私风险。本文工作展示了智能体中间人防御在保障Web UI供应链安全、对抗基于数据空洞利用的欺骗性设计与新兴AI威胁方面的潜力。适合安全研究人员、LLM应用开发者以及隐私保护从业者阅读。

欧盟计划于2026年底推出EUDI数字身份钱包，允许用户在设备上存储数字凭证（如官方身份证明的电子表示），并安全、隐私地向网站披露身份属性。然而，用户在做凭证披露决策时可能过度分享，导致隐私泄露风险。本文通过大规模用户与专家调查（研究一）以及评估Credential Assistant工具的有效性（研究二），揭示了以下关键发现：首先，用户普遍存在过度披露行为——例如约20%的用户会将官方身份证明披露给新闻网站，表明用户难以保护隐私，这将严重影响EUDI钱包的可用性，并可能导致隐私侵犯、身份盗用等后果。其次，研究者设计的Credential Assistant工具通过显示专家建议和用户观点，显著降低了用户的凭证披露错误率，从约15%降至约7%。然而，该工具并未完全消除不良决策，尤其是对于敏感属性，可能需要更强有力的干预措施。研究贡献在于系统揭示了数字钱包场景下的凭证披露风险，并提出了一种可行的缓解方案。本文适合隐私研究人员、身份认证系统设计者、政策制定者以及安全从业者阅读，以理解用户行为风险并设计更好的隐私保护机制。

无线网络中的服务发现是设备动态发现并通信的基础过程，对5G、物联网等现代系统至关重要。然而，现有协议在隐私保护、访问控制表达力和效率方面存在局限。PriSrv+ 在 NDSS'24 的 PriSrv 基础上，提出了快速且表达力强的匹配加密 (FEME)，这是首个支持无界属性空间且能表达任意字符串作为属性的匹配加密方案，从而显著增强了服务发现的灵活性与隐私性。与 PriSrv 相比，PriSrv+ 优化了密码学操作，加密速度快 7.62 倍，解密速度快 6.23 倍，密文大小减少 87.33%；同时，服务广播通信成本降低 87.33%，匿名相互认证通信成本降低 86.64%。该协议兼容 mDNS、BLE、Wi-Fi 等主流无线协议，适用于资源受限环境。形式化安全证明确保了 FEME 和 PriSrv+ 的安全性。在多种平台上的评估表明，PriSrv+ 在性能、可扩展性和效率上均优于现有方案。

该论文提出了一种名为PriSrv的隐私增强型服务发现协议，旨在解决无线通信中现有服务发现协议隐私保护不足、易泄露设备敏感信息并引发网络攻击的问题。PriSrv允许服务提供者和客户端在建立连接前指定细粒度的认证策略，通过双层匹配架构实现：外层使用公共属性过滤不匹配的实体，内层利用选择性披露的私有属性进行双向认证。作为核心组件，作者提出了基于匿名凭证的匹配加密原语（ACME），能够单步完成双层匹配，实现双向策略控制、选择性属性披露以及多次会话不可链接性。为实例化ACME，设计了快速匿名凭证方案（FAC），提供常量大小的凭证和高效验证。论文展示了PriSrv与EAP、mDNS、BLE、AirDrop等主流无线框架的互操作性，并给出了详细的形式化安全证明和在台式机、笔记本、智能手机、树莓派等平台上的性能评估。结果表明，PriSrv在主流移动设备上可在1秒内完成安全发现，同时提供增强的隐私保障和高可用性。该研究适合对无线网络安全、隐私增强技术及密码协议感兴趣的学术界和工业界读者。

该论文研究了短租房产（如Airbnb）中房东使用智能设备（如智能音箱、智能门锁、恒温器等）时对房客隐私的考虑。研究通过半结构化访谈（N=24）和一项大规模调查（N=207）收集数据，发现房东虽然出于安全、便利等目的部署智能设备，但往往缺乏对房客隐私的系统性考量。许多房东未能主动告知房客设备的存在、数据收集范围或提供退出机制，即使有部分房东采取了简单措施（如关闭摄像头），但整体上存在“善意却半心半意”的现象。研究还揭示了房东在隐私与利益之间的权衡矛盾，以及技术与法律认知的缺失。主要贡献包括：提出短租场景下房东隐私实践的分类框架，指出当前隐私通知与控制的不足，并为改善房东-房客隐私关系提供设计建议。适合人机交互、隐私安全及短租平台从业者阅读。

该论文通过三项研究（在线调查、拦截式研究、日记研究）深入探讨了Android用户对应用权限的感知与控制行为。研究1（N=103）调查了用户对权限请求的警觉性及权限撤销意愿；研究2（N=61）在真实场景中拦截权限请求并询问用户对其必要性及类型的理解；研究3（N=20）通过7天日记记录用户权限相关互动。结果显示：用户对权限请求的警觉性较低，多数用户忽略权限请求或不清楚权限用途；缺乏清晰的权限说明和上下文信息导致用户难以做出知情决策；用户往往高估其控制能力；部分用户采用规避行为（如拒绝所有请求）而非理性判断。论文贡献了用户权限行为的实证模型，并为改进Android权限界面提出设计建议，如提供更明确的权限用途说明及互动式权限管理工具。

本文研究差分隐私（DP）约束下的多目标子模最大化（MOSM）问题，旨在从敏感数据集中选择一个最多包含 k 个元素的子集，以最大化 d 个单调子模函数的最小值，同时满足 ε-差分隐私。虽然差分隐私单目标子模最大化和非隐私的多目标子模最大化已有大量研究，但据作者所知，本文是首个将差分隐私与多目标子模最大化相结合的工作。作者提出了两种新算法：第一种扩展了经典贪心算法，第二种采用截断技术，两者均集成了差分隐私机制以实现隐私保护，并给出了针对 MOSM 的近似保证。最后，作者在多目标设置下，针对最大覆盖和设施选址两个子模最大化应用进行了数值实验，验证了所提算法的有效性和效率。该工作主要面向对差分隐私、子模优化理论感兴趣的算法研究人员。

随着ChatGPT等公共大语言模型(LLM)的广泛部署，用户提示(prompt)的隐私保护成为关键问题。现有的隐私保护推理方法要么牺牲效用，要么牺牲效率，并且通常需要针对特定模型进行修改，兼容性受限。本文提出SharedRequest，一种模型无关的隐私保护LLM推理框架，将隐私保护从单个提示层面提升到批次层面。核心思想是将原始提示与噪声变体混合以混淆敏感信息，同时将语义等价的指令分组，从而在大型查询批次中摊销推理成本，对LLM响应质量影响极小。该设计独立于LLM架构，无需访问模型参数或修改架构。实验结果表明，与之前的差分隐私基线相比，SharedRequest的效用提升超过20%；与非分批推理相比，其共享提示机制将查询成本降低最多5倍。本文适合关注LLM隐私保护、模型部署效率和安全研究的人员阅读。

本文提出了一种名为 PURGE 的机器遗忘算法，其核心思想基于持续学习（Continual Learning, CL）与机器遗忘（Machine Unlearning, MU）的本质二元性：持续学习旨在学习新任务而不遗忘旧知识，而机器遗忘则旨在擦除特定数据的同时保持模型在保留集上的性能。PURGE 通过借鉴 A-GEM 的梯度投影方法，将遗忘步骤的梯度约束在保留集损失不增加的可行方向内，从而在每次更新时保护保留集性能。在此基础上，PURGE 进一步实现了多层表示擦除：它不仅关注输出层，而是在中间隐藏层将遗忘集样本的激活分布推向保留集分布，从而更彻底地移除信息，避免仅在输出层压制。一个关键设计是“保留混淆目标”（retain-confusion target）：不同于将遗忘集输出推向均匀分布（作者发现均匀分布易被成员推断攻击检测到），PURGE 将遗忘集输出推向模型在保留集上的自然混淆分布，使得遗忘后的模型难以与从头重新训练的模型区分。算法还引入了两个自调节停止准则：保留损失预算和遗忘准确率目标，使算法自动决定何时停止，无需手动调整训练轮数。在 CIFAR-10、MNIST、SVHN、STL10、PathMNIST 五个数据集上的 22 个类别级遗忘任务实验中，PURGE 持续保持了保留集准确率高于 96%，同时成员推断攻击的 AUROC 趋近于理想值 0.5，在隐私-效用前沿上优于梯度上升、KL-均匀分布以及多个已发表基线方法。该方法对于大语言模型中特定数据遗忘场景（如版权内容移除、隐私数据擦除）具有潜在迁移价值。

针对图神经网络（GNN）的现有隐私分析大多继承自非图数据场景的假设，忽略了结构依赖性和随机训练图采样。尤其是节点相关的先验导致仅凭第一类和第二类错误无法充分刻画最佳成员推断测试。为此，本文提出贝叶斯成员隐私（BMP），一种采样感知的节点级成员隐私定义，将节点相关的先验和图采样概率纳入攻击者知识。BMP将成员推断建模为贝叶斯假设检验，并通过后验成员概率量化成员隐私。论文探讨了BMP与现有定义之间的理论关系，并进一步提出一种实用的、采样感知的审计机制来估计BMP参数，作为GNN节点级隐私泄露的度量。在基准图数据集上的实验表明，BMP能提供比全局攻击精度更细粒度的隐私洞见。

本文针对用户向云端LLM发送查询时的隐私泄露问题，提出了一种基于情境完整性（Contextual Integrity, CI）的查询重写方法。现有基于PII类型的脱敏方式忽略上下文，导致两类问题：过度暴露未标注的敏感上下文，或过度移除与回答相关的片段。作者将隐私保护的查询重写重新定义在CI框架下：只有任务必需的字段才应被转发。为此，他们构建了首个任务导向的CI基准测试DelegateCI-Bench，包含3,167个样本，涵盖11个任务和20种任务类型，包括高质量合成数据、基于WildChat的真实用户查询以及一个密集敏感信息的医疗挑战集。在此基础上，他们提出CI引导的强化学习框架，将必需和非必需敏感字段转化为可验证的优化信号，训练查询重写器在保留任务关键信息的同时抑制不必要的敏感披露。实验表明，该学习型重写器在隐私-效用权衡上达到最佳，在设备端基线基础上平均效用提升高达+10.1。该研究为隐私感知的LLM委托提供了新范式。

本文提出 ImageAuditor，一种针对基于图像检索增强生成（IRAG）系统的成员推理攻击（MIA）方法。IRAG 系统利用外部数据库中的参考图像来增强冻结的生成器，支持文本到图像（T2I）和问答（Q&A）任务。由于这些数据库通常不透明且内容来自网络爬取，版权所有者需要审计特定图像是否出现在数据库中。现有的针对单模态文本 RAG 的 MIA 方法无法直接迁移到 IRAG，主要面临两个挑战：一是跨模态检索，无法像文本 RAG 那样通过将目标内容注入查询来强制检索目标图像；二是判别信号提取，IRAG 中的 T2I 生成器输出图像而非文本答案，难以通过问题回答提取成员信号。为克服这些挑战，ImageAuditor 将每个攻击查询分解为检索段和提取段，并分别进行优化。在检索段，提出奖励引导的策略优化（RGPO）方法，通过从奖励排序的候选中更新随机策略来导航跨模态嵌入空间，并具有有限样本最优性保证以平衡探索与利用。在提取段，分析 MIA 评分的分布以协同设计提示策略和评分规则，并为 T2I 和 Q&A 任务推导出特定实例化。通过 K-means 聚类聚合多个查询的信号以做出可靠的成员判断。实验表明，ImageAuditor 在多种 IRAG 系统上仅需每个被审计图像 4 个查询即可达到超过 80% 的 AUROC，并且在各种设置下均表现鲁棒。

该论文提出了QV-net，一种去中心化的自计票二次投票协议，旨在解决现有基于区块链的二次投票（QV）系统中投票隐私缺失的问题。在当前的DAO（去中心化自治组织）投票实践中，QV被广泛用于缓解大额代币持有者的主导作用，但选票以明文形式公开并附带数字签名，严重侵犯了投票者的隐私，可能影响诚实参与。先前的研究虽然使用同态加密等密码学技术对QV选票进行加密，但这些方案均依赖中心化的计票权威机构，不适用于无需可信第三方的DAO场景。QV-net基于自计票（self-tallying）设计，允许所有节点在无需任何可信方的情况下共同完成计票，同时实现最大选票保密性（maximal ballot secrecy），即除了最终的计票结果外，不泄露任何单个选票的详细信息。协议采用分布式密钥生成和零知识证明来确保选票的合法性和完整性，并防止双花或虚假投票。实验分析表明，该方案在计算和通信开销方面具有可行性，能够支持中等规模的DAO选举。该论文的主要贡献包括：首次将自计票概念引入二次投票，提出了一种完全去中心化且保护隐私的QV方案；形式化定义了最大选票保密性的安全模型；通过原型实现验证了协议的效率。适合阅读人群：区块链安全研究者、密码学协议设计者、DAO治理参与者。

该论文提出了一种名为Echelon的跨组织语言模型适应训练架构，旨在解决日益严峻的治理约束问题：在许多部署场景中，设备级模型状态（参数、激活值、优化器状态、每次更新）不能导出到管理边界之外。现有的分布式和联邦学习架构通常假设跨站模型交换，然后再改造隐私机制，这增加了合规复杂性并使审计变得脆弱。Echelon采用“边界优先”的训练架构，将设备级模型状态不导出作为系统不变量。设备在每个边界内本地训练；跨边界的唯一负载是安全聚合的边界级增量以及O(1)的协调元数据，并通过具体的审计接口暴露。将交换限制为聚合值改变了优化问题：系统必须在广域网延迟、异构参与、节点离开和non-IID数据下保持稳定，即使全局层面从未看到每设备更新。Echelon结合了缓冲半异步安全聚合、过时感知加权、参与窗口、近端局部目标和漂移感知外部同步控制器。在2个边界、1B参数LoRA适应的实验中（24.88M token，三个种子），Echelon在固定token、固定字节、固定壁钟时间和固定同步次数预算下，达到了验证损失3.887±0.010，在低通信基线中最佳或并列最佳。在OpenWebText压力测试中，Echelon在各种广域网和non-IID条件下维持2,139-2,176 token/s的吞吐量；Echelon-DA在广域网延迟下相对隐私对等的DiLoCo+SA基线改善了达到目标时间，且在模拟200ms延迟或严重non-IID分区下质量下降不超过2.2%。该工作适合关注跨组织LLM训练隐私合规、联邦学习系统设计的研究人员阅读。

本文研究工具增强型语言代理（tool-augmented language agents）中投机性工具调用（speculative tool calls）带来的隐私泄露问题。这类代理为了隐藏延迟，会在未确定最终执行分支前，提前向外部的工具服务发出可能需要的调用。然而，这些投机调用实际上会泄露用户的原始意图信息——即使代理随后放弃该分支，外部服务已经接收并保留了该信息。作者将这种调用称为“鬼影工具调用”（ghost tool calls），并指出问题的核心是时间性而非授权：任何事后清理、只读限制或访问控制列表都无法撤回已发送给观察者的数据。 为解决此问题，作者提出了投机工具隐私契约（Speculative Tool Privacy Contracts, STPC）——一种运行时抽象，将承诺前的观察行为视为与状态变更并列的一等效果。该抽象允许代理在调用前定义隐私策略，控制何时以及如何向外部服务透露参数或目标。作者实现了一个原型运行时，并在三个语料库上评估了十二种策略（包括后验过滤器、只读限制、访问控制白名单和问题时间策略）。实验表明，投机调度会增加观察者对用户意图的推断能力；后验过滤器、只读限制和访问控制白名单均无法消除这种推断；只有那些在调度前改变或抑制投机调用参数或目标投影的问题时间策略（issue-time policies）才能有效降低推断。 主要贡献：（1）首次明确提出并形式化鬼影工具调用问题；（2）提出投机工具隐私契约作为解决方案；（3）通过实验比较多种策略，证明问题时间策略的必要性。本文适合关注 LLM 代理安全与隐私的研究者和工程师阅读。

该论文研究在不确定需求下的古诺寡头竞争市场中，竞争对手之间通过隐私保护渠道共享信息的激励机制。核心问题是：竞争性供应商是否愿意通过平台披露其私人信号？平台可以采用添加噪声的隐私保护机制，但噪声会降低信息效用。作者首先刻画了信息访问权与参与挂钩的基准设定。在没有外部信号的两企业市场中，无论隐私保护水平如何，企业都拒绝共享。但在 n 企业市场中，即使没有隐私保护，共享也可能发生，因为不参与者会失去对聚合信号的访问权。在此基础上，作者发现仅靠隐私保护不足以激励共享，必须同时存在一个信息量足够的外部信号。此外，拥有更准确私人信号的企业需要更强的隐私保护。论文通过博弈论分析，界定了共享可行域，并揭示了隐私设计与外部信息环境之间的互补关系。主要贡献在于为竞争环境下的隐私保护数据共享提供了理论基础，对平台设计、行业数据池构建等具有指导意义。适合关注数据经济、隐私机制设计的研究者和从业者阅读。

本文提出Unicity执行层（Unicity Execution Layer），作为Unicity框架的一个模块化组件，旨在实现安全的链下交易，同时保持无需信任的双花预防。论文首先建立了形式化安全模型，其中代币所有权由公钥表示，转移需要数字签名。作者证明了三个基本安全属性：（1）无双花——每个代币状态最多只能被花费一次；（2）无阻塞——只有合法所有者才能阻止代币被花费；（3）服务端隐私——Unicity服务无法将不同交易关联到同一代币。针对用户端隐私，引入了广义多公钥签名方案，允许一个秘密生成多个不可链接的公钥，并提供了交互式和非交互式具体实例化，从而实现使用稳定公共身份的私密交易，且密钥管理开销最小。该工作通过形式化方法确保了链下执行的安全性和隐私保护，为扩展区块链吞吐量提供了理论支撑。适合区块链安全研究人员、分布式系统开发者以及关注隐私保护的密码学从业者阅读。

差分隐私（DP）文本合成技术旨在通过生成合成数据来解锁敏感语料库，使其可用于模型训练，同时保护隐私。然而，现有评估基准存在重大局限性：它们使用的任务通常即使不经过训练也能近乎解决，因此强基准性能并不能证明DP合成数据能够替代原始数据访问。为了填补这一评估空白，本文提出了ContinuousBench——一个持续自动更新的基准，用于衡量DP合成文本带来的能力增益。每个季度，ContinuousBench会发布一个全新的训练语料库及对应的问答（QA）数据集，这些数据被设计为：（1）没有语料库则无法解决；（2）在DP下可学习，因为测试知识由数百条独立记录支持。研究人员从训练语料库中生成DP合成数据，并通过标准化的训练和评估工具衡量能力提升。ContinuousBench包含两个赛道：Geminon，一个关于虚构生物的程序生成数据集；以及News，一个持续爬取的公共新闻文章流。实验结果表明，虽然标准基准已近乎饱和，但在ContinuousBench上，非私有合成数据能够从原始语料库中传递大量知识，而最先进的DP合成方法即使在ε=100的高隐私预算下也基本无法做到这一点。这揭示了当前DP合成文本在传递新知识和能力方面的严重不足，对依赖DP合成数据作为数据访问替代方案的研究与实践提出了挑战。

本文研究了机器学习模型在敏感数据训练时可能泄露训练分布群体信息的问题，即分布推断攻击（DIA）。攻击者仅通过黑盒访问模型，即可推断出敏感的人口统计属性（如子群体比例）。现有防御手段如差分隐私和属性遗忘已有相关研究，但公平性约束与分布泄漏之间的关联尚未被探索。本文提出公平微调（Fair Fine-tuning, FFt）方法：在等概率差异（Equalized Odds）约束下，将训练好的模型在互补分布样本上微调。作者给出了完整的理论刻画，证明了紧界：Adv(A, M_f) ≤ Δ_EO · W，其中W量化了根据敏感属性组成区分两个训练分布的程度。还建立了FFt降低对手优势的必要条件，并证明了界的紧性。在六个数据集上进行了评估，涵盖表格数据（ACS Income, COMPAS, German Credit）、图像数据（UTKFaces）和自然语言处理数据（Bias in Bios）。基于重温的FFt一致地将对抗准确率差距降低到检测阈值τ=0.1以下；在ACS Income数据集上，差距从约15%降至4%以下。本文首次提供了连接模型测量的EO差异与DIA游戏中对抗优势的形式化边界，为统一公平性和隐私防御开辟了新途径。适合机器学习安全、隐私保护、公平性研究领域的读者。

本文对可穿戴智能健康设备（WSHD）及其配套应用程序的安全性进行了系统分析。研究背景是WSHD近年来快速发展，但安全风险同步增长，尤其是用户个人健康信息的泄露问题。核心问题是WSHD设备、配套应用及通信渠道中存在的漏洞如何导致隐私泄露。研究方法包括对配套应用进行静态和动态分析，以及在蓝牙低功耗（BLE）通信层进行数据包伪造实验。主要发现：配套应用中存在硬编码的安全密钥、认证令牌和API端点，攻击者利用这些信息可以篡改从应用发送到云端的数据；同时，通过伪造BLE数据包，能够修改WSHD设备上的属性，例如心率读数等。实验证明这些安全风险对用户和制造商都具有严重影响。为缓解风险，作者提出了若干建议，包括在开发过程中实施安全编码规范、对API和BLE通信进行加密认证、定期安全审计等。本研究的贡献在于揭示了WSHD生态系统中多个层面的安全薄弱环节，并为制造商和开发者提供了可操作的加固指南。适合安全研究人员、智能健康设备制造商以及移动应用开发者阅读。

该研究针对移动应用隐私政策生成不准确的问题，提出了一种结合静态代码分析的自动化方法。现有基于问卷的隐私政策生成器依赖于开发者正确回答隐私相关问题，但实际生成的策略往往无法反映应用的真正隐私实践。研究者设计并实现了PrivacyFlash Pro，一个针对iOS应用的隐私政策生成器，它通过静态分析识别代码中的隐私相关签名，包括Plist权限字符串、框架导入、类实例化、授权方法等证据，并将这些签名映射到隐私政策中表达的实践。同时，利用包管理器资源识别第三方库。该方法旨在提高隐私政策生成的准确性和自动化程度，减少开发者负担并提升合规性。适合移动应用开发者、隐私合规人员及安全研究人员阅读。

该论文针对机器学习中的数据最小化（Data Minimization, DM）原则进行了系统研究。组织在训练和部署预测模型时，往往收集大量详细的客户数据，一旦发生数据泄露，将导致隐私暴露风险。政策制定者日益要求遵守数据最小化原则，即仅收集任务相关且必要的数据。然而，目前关于如何部署遵守DM的机器学习模型的研究甚少。本文提出了一种基于数据泛化的垂直数据最小化（Vertical DM, vDM）工作流，通过设计确保在模型训练和部署过程中不收集全分辨率客户数据，从而在发生泄露时减少攻击面，保护客户隐私。作者形式化并研究了在泛化过程中同时最大化数据效用和最小化经验隐私风险的问题，通过引入一组多样化的、与政策一致的对抗场景来量化隐私风险。最后，提出了多种基线vDM算法，以及一种特别有效的算法——隐私感知树（Privacy-aware Tree, PAT），该算法在多个设置下优于所有基线。作者计划将代码作为公开库发布，以推动机器学习中DM标准的建立。该工作为实际应用中DM原则的进一步探索和采用奠定了基础。

该论文通过访谈美国 LGBTQ+ 社区成员，探讨他们如何接收、评估和应用在线安全、隐私与安全建议。研究发现，LGBTQ+ 用户面临着独特的威胁模型，包括针对性骚扰、身份揭露、社交平台歧视等，但现有安全建议往往未考虑这些情境。参与者报告称，他们经常从非正式渠道（如同伴社区、社交媒体）获取建议，而对来自主流安全机构（如政府、大型科技公司）的建议持怀疑态度，因为后者缺乏对 LGBTQ+ 具体需求的关注。论文还指出，用户在日常实践中会调整建议以适应自身情况，例如采用假身份、选择性分享、使用隐私保护工具等，但常常面临可用性与社会压力之间的权衡。研究贡献在于揭示了安全建议设计与边缘群体实际需求之间的鸿沟，并提出了为这类群体设计可采纳、包容性安全建议的指导原则。适合安全策略制定者、用户体验设计者及关注社会计算的研究者阅读。

该论文针对肯尼亚和坦桑尼亚的移动货币（MoMo）服务中用户与代理之间的交互实践展开研究。移动货币作为数字金融服务在非洲普及，为大量无银行账户人群提供了便利，但现有研究多关注其益处，而较少探讨人类利益相关者在交互中面临的具体挑战。研究者通过72次结构化访谈（每个国家36次）发现，用户和代理为了克服生态系统中的限制和困难，设计了一系列变通方案：如代理向用户提供预支或贷款、利用用户-代理关系代替法定身份验证、以及改变预期交易执行流程以提高便利性。这些变通方案实质上修改了移动货币的核心组成部分——用户、代理和交易本身，因而引入了新的风险和挑战，包括隐私泄露、安全漏洞以及监管空白。论文指出，需要重新思考移动货币各个组件的隐私与安全设计，并制定相应的政策和监管控制措施，在保障交互安全的同时确保服务的可用性。本研究为数字金融服务中的人为因素和安全性设计提供了实证依据。

本文研究了机器学习中的“遗忘”（unlearning）问题，即如何从已训练好的模型中移除某个用户数据的影响，以满足如“被遗忘权”等法律和用户需求。针对光滑强凸损失函数下的随机优化场景，前期工作已经提出了一些遗忘算法及其误差界，但遗忘的统计代价——即与从头再训练相比，遗忘算法在泛化误差上的额外成本——尚未明确。本文几乎完全解决了这一问题：作者证明了近似ε-遗忘的额外种群风险（excess population risk）的上界和下界，并且这些界除了一个条件数因子外是紧的。对于单位球上的均值估计，上下界完全匹配。最优遗忘率等于通常的统计误差加上一个遗忘惩罚项，该惩罚项在从头再训练率和随ε/d增长而指数级减小的项之间插值，其中d是模型维度。特别地，当ε远大于d时，所提出的ε-遗忘算法相比从头再训练和差分隐私基线，在精度上呈指数级提升；而当ε小于等于d时，从头再训练是最优的。该工作为理解遗忘的基本统计成本提供了理论基础。

本文通过在线调查探究用户对Google账户第三方应用访问的安全与隐私感知。研究分为两部分：第一部分调查432名用户，发现89%记得使用过至少一次Google单点登录（SSO），52%记得授权过至少一个第三方应用。第二部分重新招募214名参与者，检查其实际授权的应用和SSO，结果发现86%在至少一个服务上使用了Google SSO，67%有至少一个授权第三方应用。参与者最担心个人信息（如电子邮件地址和公开信息）被访问，但对日历、邮件或云存储等更广泛（且可能更具侵入性）的访问权限却不太在意。研究认为这种差异部分源于用户对与Google集成的应用产生信任转移，形成隐含的合作伙伴关系。最后，本文提出改进Google当前第三方应用管理工具的设计机会，例如跟踪最近访问、因应用闲置而自动撤销权限、以及提供更细粒度的权限控制。