该论文关注竞技类视频游戏中内核级反作弊带来的用户隐私与信任问题。当前反作弊常以 ring-0（x86 特权模式）组件形式安装到玩家个人电脑上，这类组件不可验证、权限极高，虽能有效检测恶意玩家行为，却使玩家难以审查其行为，隐私风险与系统稳定性风险显著。现有研究多聚焦提升反作弊检测效力，对用户隐私问题讨论不足。作者提出 Tirith 反作弊架构，核心有两点：第一，不在玩家可控制的普通用户进程中运行游戏，而是将游戏放入 Protected Virtual Machines（受保护虚拟机）中执行，利用虚拟化天然隔离不可信的 root/admin 管理员；第二，为监控沙箱外的用户行为（例如是否加载恶意驱动），Tirith 引入一个玩家与游戏开发者都信任的虚拟化监控层。两者结合，使系统无需运行不可信的内核级反作弊，同时声称能在广泛常见作弊机制上提供与内核级方案相当的保护水平。实现上的主要挑战是现有虚拟机软件栈并非为游戏设计，会带来安全与性能问题。作者为此提出面向安全的游戏 Library OS 内核，以及高效图形共享管线，以实现接近原生的渲染与显示性能。论文的贡献在于将用户隐私作为个人计算机的一等目标，同时不牺牲作弊行为检测与游戏性能；适合游戏安全、反作弊、虚拟化、系统安全与隐私工程方向的研究者与工程师阅读。

全加密协议(FEP)旨在让协议自身产生的全部字节在计算上与均匀随机串不可区分,从而抵抗基于流量特征的深度包检测与协议指纹识别。已有研究主要定义了单向 FEP(一方仅发送、另一方仅接收)的安全性质并给出构造,但绝大多数真实应用都需要双向信息交换。此时网络观察者可以同时观测两个方向的流量及其共享的连接生命周期,而双向信道的语义涉及更复杂的共享状态。因此作者指出:把两条单向全加密信道『朴素地』直接组合,可能在方向间依赖关系上留下可检测痕迹,例如流量不均衡、信道关闭、故障或连接拆除时序等。 针对这一问题,本文首先提出双向 FEP(BiFEP)的形式化安全定义,涵盖精确整形(exact shaping)、交付性(delivery)、协议状态完整性、私有半关闭(private half-close)以及跨方向隔离(cross-direction isolation),同时允许对外暴露可随机化的公开『发送调度』与『关闭纪元』。作者证明最平凡的组合方式无法满足这些定义,并给出了由此产生的实际检测攻击。 随后论文给出数据流(datastream)与数据报(datagram)两种场景下可证明安全的 BiFEP 构造:数据流场景将两个方向相互隔离的 FEP 与一个『包装层』结合,消除单向与双向连接状态不一致所导致的检测面;数据报场景则引入加密的 DATA/FIN/ACK 帧、重放保护与容忍丢包的关闭机制。作者用 Rust 实现了原型并进行了验证,同时调研后指出,现有已部署协议均未能完整提供 BiFEP 的全部安全性质。

本文聚焦智能手机上普遍存在的"开屏广告"（splash ads）——即用户启动 App 时第一时间弹出的全屏广告页。这类广告常借助隐蔽的触发机制（例如轻微晃动手机、误触）把用户重定向到以营利为目的的第三方页面，用户在不知情的情况下被"带走"。论文指出其现实危害已经得到记录：可能显著拖延紧急情况下的响应操作、分散驾驶员注意力、并降低视障用户对 App 的可用性。 研究的核心问题有两个：一是已有的广告防御方案是否适用于开屏广告；二是普通用户在部署这些方案时会遇到哪些门槛。为此，作者系统梳理并分析了 108 个有公开文档记录的广告防御实现，归纳其分类特征，并逐项考察其对开屏广告的适用性与部署前提。分析发现部署障碍相当突出：不少方案要求设备 root 或越狱、进行运行时代码注入、或直接修改目标应用；即使避开了这些要求，方案往往仍需要额外权限、持续维护规则、自行编译源码或付费购买。 在实证部分，作者对 11 款工具、13 种配置、10 款流行 App 进行了评估。结果是：只有一款工具在全部 10 款 App 上都成功阻止了目标广告触发的页面跳转，而且它依赖无障碍（Accessibility）权限，并且广告仍会先显示约一秒才被关闭。其余被测配置要么完全无法阻止跳转，要么导致宿主 App 无法启动、或卡死在广告页上。论文最后讨论了尚未解决的挑战与可能的研究方向，强调迫切需要推动智能手机厂商提供更友好、更受规范的平台环境。适合移动安全研究者、App 开发与打包方、无障碍与隐私研究者以及平台治理和监管相关读者阅读。

本文（arXiv，cs.IT / cs.NI / eess.SP，作者 Mohamed Nomeir、Shreya Meel、Sennur Ulukus）研究图结构存储系统中「任意隐私需求」下的私有信息检索（PIR）问题。研究动机来自三重现实约束：服务器存储容量有限、消息（数据）规模庞大、以及不同数据具有异构的隐私敏感级别。经典 PIR 假设用户需要向所有服务器隐藏所请求的消息索引；新近提出的 LPIR（local PIR）则把隐私集缩小为恰好存储该消息的服务器集合。本文提出更一般的统一框架：每条消息只需相对一个预先指定的服务器子集保持检索隐私，且该子集必须包含实际存储该消息的服务器；等价地，每台服务器关联一个「隐私集」，预先规定哪些消息索引在从该服务器检索时必须保密。当每台服务器的隐私集包含全部消息索引时退化为经典 PIR，当隐私集恰为该服务器所存消息索引集合时即为 LPIR，因此该模型是二者的推广与桥梁。作者首先推导一般图在上述隐私需求下 PIR 容量的通用下界与上界，这些界同时捕捉 LPIR 与经典 PIR 的本质特征；随后聚焦路径存储图与环形（循环）存储图，在若干更细粒度的隐私设定下给出部分情形的精确容量结果，其余情形给出上下界——这两类图度数低，便于深入理解新的隐私公式化并容纳比其它简单图更丰富的隐私需求配置。最后，作者提出一种新的「金字塔存储图」用于建模服务器存储：该图此前未在任何 PIR 语境中被研究过，但在消息存储与副本复制模式上具有良好的对称结构，为后续容量分析提供了新的研究对象。整体属信息论与编码方向的纯理论工作，不涉及具体协议实现或攻击面。

该论文针对视觉语言模型（VLM）在隐私敏感与带宽受限场景下的视觉问答（VQA）任务，提出名为 QPriv-VL 的「问题引导式、隐私感知」视觉 token 剪枝框架。研究背景是：联邦学习（FL）、拆分学习（SL）与 U 型拆分学习（USL）虽然能保持原始数据本地化，但跨模型分区传输全部视觉 token 依然带来高昂通信开销，并可能通过中间表示泄露隐私信息；而现有固定比例剪枝方案不区分任务相关性与隐私敏感性，容易在压缩的同时保留敏感区域或误删回答所需的关键图像块。核心方法上，QPriv-VL 在传输前对视觉 token 进行剪枝，其关键组件是轻量级动态阈值预测器（DTP），能在单次前向传播中同时估计「样本级剪枝比例」与「token 级保留掩码」。DTP 融合两类信号：一是问题相关性，通过视觉 patch 与池化后的问题嵌入之间的跨模态相似度计算得到；二是敏感性信号，由冻结的 DINOv2 特征导出。二者结合使模型在无需敏感性标注的前提下，抑制潜在敏感区域，同时保留对回答问题有用的图像块。作者在 GQA、OK-VQA、VQAv2、SLAKE、VQA-RAD、PathVQA 六个数据集上，针对四类隐私攻击（FSHA、FORA、iDLG 以及属性推断型成员推断攻击 MIA）进行了评测。实验结果显示：DTP 在传输显著更少 token 的情况下，达到或超过固定比例剪枝的效果；在 VQA-RAD 上把成员推断攻击成功率从 0.99 降至 0.76–0.79；相对固定比例剪枝降低了 FSHA 与 FORA 的重建 PSNR；在仅使用约 40% 原始视觉 token 预算的前提下仍保持有竞争力的 VQA 准确率。此外，敏感性排除比达到 1.20±0.18，表明模型优先剔除隐私敏感图像块；可解释性分析进一步表明保留策略会随问题语义自适应调整，而非简单依据通用视觉显著性。适合拆分学习/联邦学习系统设计者、VLM 隐私保护与模型压缩方向的研究人员阅读。

检索增强生成（RAG）通过在生成阶段引入外部知识库的检索结果，显著降低了大型语言模型的幻觉与事实性错误，已成为提升 LLM 输出质量的主流范式。然而近期研究揭示了一个关键隐私漏洞：攻击者可构造特定查询，借助检索环节从底层语料库中提取个人可识别信息（PII）。RAG-CT 针对该威胁提出一种轻量级防御方案，其核心思路是不改动底层 LLM 与检索器，而是对进入系统的查询进行统计特征分析——考察查询在熵（entropy）与间隔（margin）维度上的分布差异，并采用基于分数的检测方法（score-based detection）判定其是否为恶意查询。换言之，该方法将“隐私窃取型查询”视为一类可被统计指纹识别的异常输入，通过在生成前进行拦截来阻断 PII 泄漏链路。作者在两个数据集上，使用四种当前先进的攻击策略与四种防御基线开展详尽对比实验，结果表明 RAG-CT 在显著降低 PII 泄漏量的同时，整体表现优于现有防御方案。论文定位为一种无需修改模型权重、无需改动检索组件的即插即用式防护机制，部署成本低，适合在既有 RAG 服务上快速叠加。整体而言，该工作从输入侧统计检测的角度补充了 RAG 安全防护思路，与输出侧过滤、检索结果审查等方案形成互补。

该论文关注的是「人格技能蒸馏」（persona skill distillation）带来的隐私与劳动自主权风险：攻击者可以从个人历史信息（如文本、对话、行为记录）中提取反复出现的行为模式，把它们编码成可复用的技能，从而让 AI 系统高度复现某个特定个人的说话方式、判断风格与行为倾向。作者指出，已有的防御路线以「扰动」为主——即在数据被收集之前由个人对自身数据做扰动、加噪或替换，使蒸馏结果失真。但现实场景往往是 append-only（只追加、不可回溯改写）的：历史记录一旦被第三方或攻击者采集入库，个人就再也无法修改、净化或撤销这些数据，因此扰动类防御在时间线上已经失效，无法适配这种不可逆的采集模式。 为应对这一问题，论文提出 CounterPersona 框架，核心思路由三个环节组成：(1) 构造有针对性的「反人格证据」（targeted counter-persona evidence），即在数据侧注入与目标人格行为相冲突、但语义上自洽的内容，用以稀释和干扰可被蒸馏的一致性模式；(2) 把彼此兼容的行为状态打包成紧凑的「实现单元」（realization units），使反制信号以低冗余、可组合的形式存在，而不是零散、易被过滤的噪声；(3) 通过「理由引导的一致性改写」（rationale-guided consistency rewriting）对这些单元进行强化，使反制证据在语义层面保持前后一致，从而更难被蒸馏器的清洗、去噪或质量过滤步骤剔除。 实验部分，作者开展了较为广泛的评测，覆盖词法层面、语义层面以及基于 LLM 的判定指标，结果显示 CounterPersona 在不同度量下都能取得较强且稳定的防护效果，并且对不同的蒸馏器（distiller）保持稳健，说明该防御不依赖于某一特定模型或特定蒸馏流程的实现细节。论文的整体贡献在于提出了「技能反蒸馏」（skill anti-distillation）这一新范式，把防护重心从「采集前扰动」转向「采集后不可撤回条件下的对抗性证据构建」，为个人隐私与劳动自主权在生成式 AI 时代提供了一条新的技术路径。适合关注 LLM 智能体安全、隐私保护、数据治理以及 AI 对个人劳动替代风险的研究者与安全工程师阅读。

该论文研究如何在可信执行环境(TEE)中高效、安全地运行大语言模型(LLM)推理。背景问题是: 用户提交给 LLM 的提示(prompt)可能包含敏感或隐私信息, 而远程部署的模型可能通过重训练时的无意记忆等途径滥用这些信息。一个自然的防护思路是把 LLM 放进 TEE 中执行, 使服务提供方无法接触 TEE 内的计算与数据交互。但现有 TEE 主要基于 CPU, 其算力远低于为 LLM 推理优化的 GPU, 因而性能代价高昂。作者沿用 Tramer 与 Boneh(2019)在 Slalom 中提出的「分割推理」架构——把神经网络推理拆分到 TEE 与不可信 GPU 两侧执行, 并对送往 GPU 的中间输入做保护——将这一思路扩展到 LLM 推理场景, 但把保护手段从加密改为差分隐私(DP)。 论文首先论证了保护中间表示的「必要性」: 作者展示了一种提示重建攻击, 可从中间表示中恢复原始提示, 准确率接近 80%, 说明若把中间张量明文交给 GPU 将造成严重隐私泄漏。其核心贡献是针对 LLM 关键函数做全局敏感度分析, 从而给出所需差分隐私噪声尺度的上界, 使噪声量级可被定量控制而非经验性设定。与加密方案相比, 差分隐私不需要量化(quantization), 因此 LLM 可以保持在浮点域中运行, 避免量化带来的精度损失; 作者同时推导了掩码与 TEE 内噪声消除所引入的浮点误差上界, 并给出其与隐私参数 epsilon 的函数关系。 实现层面, 作者基于 Intel TDX 构建原型, 使用 Llama-3.2-3B 与 Qwen3-4B 两个模型进行评估。结果显示: 分割执行比 TDX 内纯 CPU 推理快近一倍, 比基于加密的 Slalom 方案快 5 至 15 秒且精度更高。最后, 作者证明即便攻击者掌握差分隐私机制的具体形式, 提示重建也无法恢复出比一个无关提示更多的信息, 即隐私收益具有可证明的边界。该工作主要面向机密计算、隐私增强技术(PET)与 LLM 服务安全的研究者和工程团队。

本文针对「云-端协同 LLM 推理」中的隐私取舍问题提出 DR-SL 框架（Dehydrate-Rehydrate with Self-Learning loop，脱水-再水化自学习闭环）。现实困境在于：企业希望把敏感用户数据留在本地，却又想借用云端大模型的推理能力；而既有做法——占位符替换、差分隐私扰动、技能蒸馏——都缺少一个既安全又不显著损失任务效用的「放行决策」。作者将脱敏完备性形式化为两个可度量条件：其一是 Pufferfish 语义下的脱敏充分性，其二是通过 QA 探针衡量的任务信息保真度。系统采用完全本地的双分支验证器，在字典序门控（lexicographic gate）下迭代执行脱水操作，并给出终止性保证；门控之外还设置三层兜底：确定性硬规则红线、外部强攻击者重测、以及人工回退。理论层面，作者证明了 Fano 型下界、Pufferfish 见证（witness）与速率-隐私可行性判据，并明确限定其适用范围——这些界只能证明「发生了泄漏」，不能证明「安全」，且在当前工作点近乎空泛，因此放行安全性实际依赖经验校准、硬规则与人工审核三者。实验方面：在最坏的完全任务耦合基准上，闭环将泄漏率从 0.457 降至 0.304（p 约等于 0，即统计显著）；放行链路在出口处实现 0.000 的字面泄漏（160 个实例、两个强攻击者设定），系统按可行性判据预期退化为「认证+路由」模式。在混合耦合基准上，同一安全点在零实测泄漏下自动放行 67.5% 的实例，在相同放行规则下帕累托优于占位符替换与选择性本地差分隐私方案。两项人类研究分别锚定了语义效用指标（Spearman rho = 0.839）与标注金标准（类型级召回不低于 0.987）。作者同时如实报告：探索性的自学习假设未获支持。所有理论界均通过数值验证，代码、合成数据集、协议与人类研究材料全部公开。

PIMENTO 是一个针对非结构化文本分析隐私保护的框架。当前两种主流隐私保证——上下文完整性（CI，约束信息可流向何处）与差分隐私（DP，约束可推断出什么）——都难以直接映射到自然语言上，导致现有方案无法为文本分析提供形式化保证。PIMENTO 将三种自然语言形式（文本语料、查询、隐私政策）统一映射到关系数据库中，构建公共基底，从而可同时形式化地执行 CI 与 DP。其三项核心贡献包括：1）DP 感知的 Text-to-SQL，在候选查询中寻找正确且所需 DP 噪声最小的查询；2）CI 感知的 Text-to-SQL，将自然语言隐私政策编译为数据库上可执行的 CI 规则；3）提出新的隐私定义“上下文差分隐私”，在 CI 下重新定义 DP 邻域，得到更紧的平滑敏感度上界。在新基准测试中，PIMENTO 在 75.3% 的情况下选出最佳查询（较基线最高提升 45 个百分点），并在正确政策落地时实现零泄漏。据作者所知，这是首个在 CI、DP 及其组合下为自然语言分析提供形式化隐私保证的框架。

该论文研究的是针对检索增强生成(RAG)系统的知识库成员推断攻击(Membership Inference

这是一篇来自 arXiv 的立场/愿景论文（vision paper），作者为 Murat Kantarcioglu，归类于 cs.AI 与 cs.CY。论文指出，AI 系统正快速成为医疗、金融、公共服务等安全关键（safety-critical）领域的核心组件，但当前业界评估这些系统的工程实践仍以“模型为中心”，主要关注部署前的准确率、鲁棒性、公平性和可解释性等属性。作者认为，这些属性虽然必要，却远远不够：一旦 AI 系统运行在持续变化的社会技术（socio-technical）环境中，便会遭遇数据分布漂移、机构与制度约束、人类反馈回路、隐私合规要求，以及多个 AI 智能体之间的交互，纯粹的模型级指标无法刻画系统在真实部署中的失效与风险。 为此，论文提出一个新的 AI 工程子学科——AI 部署问责工程（AI Deployment Accountability Engineering, ADAE）。其核心思想是把“问责性”从单个模型的属性重新定义为部署层（deployment-layer）的系统属性。ADAE 旨在回答若干实际问题：AI 赋能系统是否仍在可接受的风险限值内运行；失败在何种上下文与情境中涌现；如何把失败归因到相互交织的技术组件与人类组件；如何把技术层面的失败翻译为业务、运营与制度层面的下游后果；以及如何在这些环节上支持及时干预。 论文给出了一条由四个相互关联支柱构成的研究议程：一是对上下文相关失效模式的结构化发现；二是隐私保护（privacy-preserving）条件下的问责性度量；三是面向智能体化 AI（agentic AI）的系统级风险分析；四是把技术失败转化为运营与机构风险的转译方法。总体目标是为安全关键场景下的“可问责 AI 部署”建立基础原则、数学工具与系统架构。该文属愿景/议程类工作，未提供具体实验结果，适合 AI 安全治理、MLOps/模型风险管理、合规与 AI 系统工程方向的研究者与从业者阅读。

该论文针对数字身份验证（eKYC）场景中隐私保护与效率难以兼顾的问题展开研究。作者指出，现有基于零知识证明（ZKP）的 eKYC 框架存在计算开销高、电路设计僵化、集成复杂以及链上验证成本昂贵等缺陷；同时，W3C 2021 提出的基于 BitString 的凭证状态机制在大规模部署下也存在更新效率低、可扩展性差的问题。为此，论文提出一种基于安全多方计算（MPC）的透明且低成本身份验证框架。其核心设计包括：支持私密的链下代码执行，并生成与区块链锚定的运行时证明，从而在不暴露敏感凭证数据的前提下实现可验证性；引入多维比特矩阵（multidimensional bit-matrix）模型并配合高效压缩算法，使用 ZSTD 将凭证数据压缩至 76 字节，相比 GZIP 的 140 字节显著降低存储与带宽成本；支持细粒度的凭证状态更新，并采用 Layer-2 区块链锚定实现防篡改且低成本的验证；采用可复用的可验证凭证呈现（VP）与唯一访问令牌，使验证过程无需链上费用并强化访问控制；通过选择性披露机制保障用户对个人信息的控制权与隐私。此外，系统集成 SHA3 哈希与 Falcon 后量子签名，以抵御量子计算攻击，兼顾透明性与可扩展性。论文通过实验与安全性分析验证了该框架的鲁棒性与适用性，并声称其可作为面向国家级规模身份验证的前瞻性解决方案。整体而言，该工作属于隐私增强身份验证与后量子安全交叉方向的架构型研究。

本文针对超级应用(super-app)这一新兴移动架构展开安全与隐私分析。超级应用在单一宿主 App 内运行第三方 mini-app(小程序),使用户在一个入口内获得多种服务。过去十年的超级应用生态安全研究几乎都默认宿主是「可信中介」,本文挑战这一隐含假设,指出该信任缺乏依据:微信已被证明会大规模被动追踪用户在 mini-app 中的活动;俄罗斯 MAX 的母公司被报道与国家对网络言论的刑事追诉深度关联;伊朗 Bale 则因国家支持而在全球最长的互联网断网期间仍可用。作者以俄罗斯 MAX 为案例研究表明,恶意超级应用在设计层面天然拥有足以静默削弱 mini-app 与用户安全隐私的能力,且不易留下痕迹:捕获 mini-app 的 UI 内容、读写其本地存储、向 mini-app 运行时注入任意 JavaScript、中介其网络流量,以及控制认证上下文从而实现静默的用户身份冒充。关键论点是这些能力并非 MAX 独有缺陷,而是源自架构本身赋予宿主的特权——任何采用该模型的超级应用都具备同等能力。作者据此呼吁移动操作系统与应用商店尽快介入,在架构盲点被进一步利用之前加以约束。论文属于案例研究+架构分析性质,适合移动安全研究者、OS/应用商店平台治理方、以及开发 mini-app 的产品与安全团队阅读。

该论文关注大语言模型进入日常任务后产生的隐私与效用矛盾：用户为了让模型完成复杂任务，必须提供上下文丰富的指令，其中往往夹带姓名、地址、账号、病史等敏感信息。目前主流的隐私保护做法是在把提示词发给模型之前套用一套与上下文无关的静态规则（例如统一对实体做删除或掩码），虽然降低了泄漏风险，却常常把任务真正依赖的关键信息一起抹掉，导致下游回答质量严重下降。作者指出，真正的空白在于：净化操作究竟通过什么机制影响下游性能，此前缺乏系统性的解释，因此也就无法设计出有原则的折中方案。 为回答这一问题，论文做了系统性的实证分析，把隐私-效用的权衡拆解成三个相互衔接的机制。第一是“上下文相关效用”，它回答“何时需要净化”：同一段数据在某个用户意图下是不可或缺的关键约束，在另一个意图下则只是可丢弃的噪声，因此净化时机必须由意图决定，而不能一刀切。第二是“策略性适配”，它回答“如何净化”：究竟选择直接删除还是替换为占位内容，取决于下游任务更依赖事实完整性还是结构连贯性——偏事实的任务倾向于替换以保留结构，偏结构的任务则可以删除。第三是“组合交互”，它把保护范围从单一属性扩展到属性之间的关系：多个属性之间存在协同依赖或对抗冗余，构成一张语义网络，孤立地处理单个字段既可能保护不足，也可能过度破坏语义。 基于上述洞察，作者提出一个意图驱动的本地保护框架：先蒸馏出一个轻量模型 Veilmind-4B，再由它驱动“抽取—净化—恢复”的动态流水线，在本地完成敏感信息识别、按意图与任务类型选择净化策略，并在响应返回后做必要的还原。实验表明，该方法能在达到较低泄漏水平的同时，保留显著高于既有隐私导向基线的回答效用，把隐私-效用权衡推向帕累托前沿。适合隐私保护、LLM 应用架构、可信 AI 与合规治理方向的研究者和工程师阅读。

该论文针对自然语言处理中的训练数据隐私风险，系统评估了成员推断攻击（Membership Inference Attack, MIA）在文本分类任务上的实际威胁。MIA 的目标是判断某条具体记录是否被用于训练某个模型；在 NLP 场景下，训练语料往往包含用户文本等敏感信息，因此一旦模型泄露成员信号，就意味着训练数据存在被反向识别的隐私风险。作者在 GLUE 的 SST-2 情感分类数据集上构建了一个受控基准，横向对比了两类典型模型：基于 TF-IDF 特征的传统机器学习流水线（配逻辑回归分类器）与经过微调的预训练 Transformer 模型 DistilBERT。评估使用基于损失阈值的成员推断攻击，同时用开发集准确率和宏平均 F1 衡量模型的正常效用。实验结果显示，DistilBERT 的效用显著更高，准确率 0.9466、宏 F1 0.9460，而逻辑回归为 0.8756 与 0.8727；但两者的成员信号均被攻击成功提取，攻击 AUC 分别为 0.5615（DistilBERT）和 0.5800（逻辑回归），说明更强的模型并不必然对应更差的隐私保护。论文进一步测试了两种缓解手段：其一是加强正则化，能够降低逻辑回归的成员泄露，但会带来可观察到的效用损失；其二是将 DistilBERT 的微调轮数从 3 轮减少到 2 轮，结果在准确率几乎无损的前提下降低了泄露程度。作者据此提出，轻量级的训练过程调整（如早停式的轮数控制、正则化调节）即可改善隐私—效用权衡，无需引入复杂的隐私防御机制。整体而言，这是一项面向基线与可复现性的实证研究，为 NLP 隐私评估提供了参照点与方法论启示。

本文研究的是如何利用自回归语言模型构建隐蔽通信信道的问题。其核心观察是：自回归模型在生成每个 token 时，会对候选 token 形成一个按概率排序的"秩"（rank）分布；如果在生成过程中保持每个位置上被选中 token 的相对秩不变，仅在同样秩位的候选之间进行替换，就能把一段载荷文本（payload）转换成一段与载荷 token 长度完全相同、但表面内容完全不同的"隐写文本"（stegotext）。作者把这一机制形式化为 CARTS（Contextual Autoregressive Rank Transcoding Steganography，上下文自回归秩转码隐写）。此前 Norelli 等人提出的 Calgacus 构造只是在实验层面演示了该现象，缺乏形式化的安全分析。本文首次给出严格的理论处理：在确定性模型假设下证明该构造具有精确正确性（即解码端能够无损还原原始载荷）；引入"秩坐标表示"，在该表示下密钥相当于秩向量空间上的双射；进而定义了一组与构造自然对应的安全概念和计算问题，包括上下文搜索、密钥碰撞、消息歧义度（message equivocation）以及编码映射的非交换性，并刻画它们之间的理论关系——特别是用上下文搜索来刻画消息歧义度，以及密钥碰撞与消息歧义度之间存在的张力关系。实验部分基于 Llama 3 8B：在所有测试用例中都能精确恢复原始载荷；随机密钥生成下未发现密钥碰撞；人为构造的碰撞被证明是局部的而非全局的；同时未发现可交换的密钥对，说明在所研究的攻击向量下该方案表现出一定抵抗性。整体上，该工作为在密码学与隐私保护通信中"建设性"地使用语言模型开辟了有形式化基础的研究议程。

该论文是一篇系统性综述 (SoK), 聚焦于一个长期被分散讨论的安全议题: 可解释人工智能 (XAI) 所输出的解释信息, 如何反过来成为攻击者窃取模型机密与训练数据隐私的入口。作者指出, 机器学习解释原本用于提升模型透明度, 但它揭示的是预测之外的模型内部行为, 因此天然扩大了对模型机密性 (model confidentiality) 与数据隐私 (data privacy) 的攻击面。论文系统梳理了 25 项利用解释信息实施模型窃取 (model extraction)、成员推断 (membership inference) 与模型反演 (model inversion) 的研究, 并将属性推断 (attribute inference) 视为模型反演的部分形式统一纳入分析框架。 论文的核心批评是: 现有工作往往只用黑盒 / 白盒二分法来标注威胁模型, 这种标签掩盖了关键差异 —— 攻击者究竟通过什么途径获得解释信号, 以及获得的是哪种解释信号。为此作者提出两层解耦: 把"对模型的先验知识"与"解释信息的获取方式"分开, 并归纳出五条解释获取路径: 目标方主动发布 (target-released)、攻击者自行推导 (attacker-derived)、二次披露 (secondary disclosure)、特权访问 (privileged access)、以及公开发布的全局产物 (released global artifacts)。 沿这五条路径, 论文给出了机制层面的结论: 解释可以显著降低模型抽取的成本; 通过解释统计量、追索距离 (recourse distance) 以及解释引导的鲁棒性信息, 会暴露成员信号; 解释还可支撑对私有输入的空間或代数重建。随后论文在多维度上对研究进行横向对比, 包括系统与威胁模型、解释信号类型、辅助知识、目标模型、数据模态、查询预算、评估指标、报告性能以及防御手段。 最重要的结论是: 不存在"一律不安全"的解释族, 也不存在"普遍有效"的防御。风险高低取决于四个变量 —— 暴露的是哪种信号、信号如何被获取、攻击目标是什么资产、以及攻击者已掌握哪些先验知识。作者因此主张把"解释隐私"当作端到端的信息披露问题来评估, 并让防御措施与具体的获取路径和被保护资产相匹配, 而不是笼统地禁用或信任某一类解释方法。该文适合 XAI 研究者、ML 隐私与模型安全工程师、以及需要评估第三方解释服务 (如解释 API) 风险的安全架构师阅读。

该论文研究容错量子计算机在运行过程中产生的遥测流（syndrome 测量、decoder 决策、reset 与时序记录）是否会泄露逻辑输入，即执行记录（execution transcript）的隐私问题。作者针对固定调度下运行 T=Θ(d) 轮的、距离为 d 的旋转 surface code 记忆体，在三个明确陈述的假设（sector-scalar honest backbone、transcript locality、Kotecky-Preiss smallness）下证明：从逻辑量子比特到 transcript 的信道，在 diamond norm 意义下与一个完全忽略输入的信道相差 e^{-Θ(d)}，即随码距指数级趋于输入无关。这类结论可由 correctability-privacy 对偶性一般性地推出。但论文强调各向异性（anisotropy）并不自动成立：每个逻辑轴必须付出其自身陪集的距离代价，因此在 amplitude damping 条件下，计算基标签的安全性由码的 Z-距离 d_Z≥d_min 决定，而不是由码距离 d_min 决定，二者可以相差很大。作者用两个量子距离均为 1 的码把这一差距具体化：phase-flip 码的 X-syndrome transcript 在未被观测的 damping 下精确地与输入无关，而 repetition 码则在一阶就发生泄露。一个匹配的逆命题（converse）进一步刻画了哪些记录确实会暴露输入，其中包含 lattice-surgery 奇偶读出。实验方面，作者在 156 量子比特超导处理器上评估其充分性证明条件，发现该证书的裕度差了 21.5 倍，因此在该硬件上无法直接引用该定理。直接测量则显示：在随机化、标签均衡的采集下，d_Z=1 的记忆体的记录可以以总变差 ≥0.927 识别其输入。固定码、改变 damping 暴露程度，实验结果复现了一个无参数的理论定律，实测指数为 0.85±0.03，与预测值 0.86 相符。最后，随机化编码可以在不增加任何双量子比特门成本的前提下，把该统计量压回噪声底线。总体结论是：容错本身并不授予 transcript 隐私，它只是把隐私的位置重新安排，并且只保护到逻辑态层面，而不保护电路自身身份。

本文研究去中心化联邦学习（DFL）中安全聚合（Secure Aggregation, SA）的隐私泄露问题。在DFL中，每个节点与其邻居进行局部聚合，安全聚合通常被实例化为局部邻居聚合，即每个节点仅获得其邻居的加权聚合结果，而隐藏个体更新。作者指出，这种局部性会产生结构性的泄露面：稀疏的去中心化拓扑使得合谋的半诚实节点拥有不对称的聚合视图，从而暴露出诚实参与者私有状态的多个隐藏线性组合。从这些聚合视图中重建私有状态在数学上具有根本性挑战，因为私有状态和聚合系数都是隐藏的。作者将这一问题形式化地联系到密码学中研究已久的隐子集和问题（Hidden Subset Sum Problem），并基于此设计了一种基于格的攻击方法，结合格归约与结构滤波来重建受保护的模型状态。他们在图像、表格和文本任务上，在稀疏DFL拓扑下评估了该攻击。实验结果表明，合谋的半诚实的节点能够恢复诚实节点的原始本地更新，进而能够重建私有训练数据。这些发现证明，当局部聚合导致不对称观测时，仅靠安全聚合并不能保证DFL中的隐私。该工作揭示了DFL中安全聚合的固有弱点，并为设计更鲁棒的隐私保护聚合机制提供了理论性与实证性的基础。

本文提出 ZK-eSIM，一种面向 eSIM 远程配置（GSMA RSP）流程的隐私保护重设计方案。现有 RSP 在配置文件订购和下载阶段会暴露长期标识符，例如稳定的设备标识符 EID、配置文件标识符以及长期证书材料，使得移动运营商和配置文件分发基础设施能够将多次配置事件关联到同一 eUICC，进而结合账户记录关联到同一用户，破坏订阅者匿名性并支持跨会话跟踪。ZK-eSIM 的核心创新包括三部分：(1) 使用零知识证明替代设备标识符的直接披露，以证明设备有效性和资格，而不泄露具体身份；(2) 通过短期一次性假名凭证和每会话唯一标识符强制实现会话不可链接性，防止跨会话跟踪；(3) 设计联合授权的托管机制，实现隐私保护的问责可追溯性，确保任何单一实体无法单方面去匿名化用户。作者形式化了多实体、诚实但好奇（honest-but-curious）威胁模型，并在标准密码学假设下证明了订阅者匿名和会话不可链接性。实现方面，论文在测试 eUICC 上部署了 Java Card 小程序，并修改了 LPA 和 SM-DP+ 服务器，在商用硬件上评估性能。实验量化了相对于传统 RSP 的端到端密码学开销，表明 ZK-eSIM 仅增加可接受的实用开销，在不改变现有 GSMA 角色和接口的前提下弥补了关键隐私缺口。论文适合关注移动通信安全、隐私增强技术和 eSIM 标准化的研究人员及安全架构师阅读。

该论文针对 5G NR 网络中通过侧信道实现用户追踪的研究。此前已有工作利用弱运营商配置泄露网络参数（如无线网络临时标识符 RNTI 或加扰因子 N_ID），或者通过低效的暴力破解方式解析下行控制信息（DCI），从而实现对用户的识别、实时活动分类和指纹追踪，影响数十亿 5G 用户以及部署私有 5G 网络的企业。本文提出一种新型技术，利用代数结构来逆向 DCI 的加扰过程，并完整集成到一个开源的端到端二进制 DCI 嗅探流水线中。该方法完全被动，不依赖任何侧信道泄漏，能够为后续攻击（如实时用户跟踪）提供支持输入，并支持自动检测所使用的控制信道配置。作者通过针对 srsRAN、OpenAirInterface5G 以及两家商用厂商部署的测量活动，验证了该方法的鲁棒性和性能。实验表明，在信噪比（SNR）低于有效通信预期值的条件下，其块错误率低于 1%，同时在参考样本上的处理速度显著快于此前提出的被动暴力破解方法。论文的核心贡献包括：提出一种基于代数结构的高效 DCI 去加扰算法，绕过了对 N_ID 或 RNTI 侧信道泄漏的依赖；实现了完整的开源 DCI 嗅探工具链；并通过多厂商实测证明了其通用性与有效性。需要注意的是，该研究揭示了 5G 标准设计中的隐私风险，即物理层控制信令结构本身可能导致用户被追踪，即使运营商配置正确也难以防护，因此对 5G 安全研究者、运营商和标准制定者具有重要参考价值。

该论文针对现实世界中的数字隐私事件展开实证研究，旨在评估隐私增强技术（PETs）的目标与能力是否与用户实际遭受的隐私伤害相错位。作者从新闻媒体中收集了257起真实隐私事件作为样本，采用内容分析法对这些事件进行系统编码，并据此提出了一种新的信息流模型。该模型能够刻画数据流在复杂实体交互中的传递路径，以及这些路径最终如何导致隐私伤害。研究发现，现有模型无法充分解释隐私伤害的涌现机制——伤害往往并非由单一实体或单一行为导致，而是多个实体与多类行为交互作用的产物。基于该模型，论文揭示了几个关键问题：第一，用户同意机制往往不足以防止隐私侵害，因为同意无法覆盖数据在后续流转中产生的衍生风险；第二，隐私增强技术通常聚焦于启用某种功能或保护数据在传输过程中的机密性，但并没有消除因功能本身被滥用或数据被不当聚合而产生的伤害；第三，在样本中的事件里，最有能力实施伤害预防措施的实体（如大型平台、数据中间商）恰恰最缺乏这样做的动机。整体而言，作者希望通过该模型和分析，指出当前隐私技术研究方向与真实隐私防护需求之间的脱节，并为重新规划隐私技术的研发路径提供方向建议。适合对隐私技术社会影响、数据治理合规和安全度量感兴趣的从业者阅读。

CIPHER 是一个面向隐私脱敏证据记录上的跨记录推理基准测试。在金融、医疗和执法等真实场景中，推理往往需要同时结合结构化属性（如表格字段）与自由文本叙述中的非结构化证据，而隐私保护措施（如脱敏、替换）会进一步增加推理难度。现有数据集大多只关注单一模态或简单查询，缺乏对隐私脱敏环境下混合记录推理能力的系统评测。为此，作者提出了 CIPHER，包含来自消费者金融、临床和执法记录领域的专家验证问题，覆盖常见表格操作，并提供可执行的 SQL 监督标签，以便精确评估模型对记录选择、谓词解释和数值运算等环节的推理能力。论文评估了检索增强、提示工程、专用表格模型以及符号-神经混合系统在两种隐私设置下的表现：原生脱敏和基于替代词的证据恢复。实验发现，即便提供了相关支持记录，所有系统系列仍会出现大量失败；主要错误来源并非算术执行，而是错误选取记录和错误解释谓词。此外，隐私变换的影响并不一致：有时会模糊关键证据，有时反而减少干扰。CIPHER 为诊断这些失败、理解敏感文本变换如何影响混合记录推理提供了可复现的测试环境，适合关注隐私保护下的人工智能推理、表格理解、检索增强生成和可解释 AI 的研究人员及安全分析者参考。

本论文研究大型语言模型中精确删除用户数据记录的问题。在具有循环记忆或混合架构（如线性注意力模型）中，数据记录被折叠进模型状态，用户请求删除时，模型的状态必须与从未存储该记录的状态一致才算完全遗忘。独立编码的行可以轻松移除，但循环记忆中的记录难以消除。一种有希望的方法是“收据”方法——保存记录到达时造成的状态差异，并在之后的更新中持续携带，最后从状态中减去。然而，作者通过理论分析和实验证明，这种运输收据只有在记录在后续更新中引起的改变恰好相互抵消时才能实现精确省略。作者在释放的48B Kimi线性混合模型上进行了大规模实验，发现现实并非如此：即便经过4096个额外token，记录仍留下约4.5%的状态范数印记，且测试的所有收据类别都无法去除该印记。重新计算一半后续token也只能缩小不到一半的差距，而收据所需的按token日志在88个token后开销就超过完整检查点。作者还在Mamba-2、Falcon-H1和RWKV-7等多种架构上验证了相同的写规则分类，并在运行前记录预测。相比之下，从记录之前恢复检查点并重放后续token可以精确达到从未存储的状态，在所有检查的数组上都吻合。此外，在混合后缀扫描中，掩盖记录对应的注意力行能够使采样恢复接近从未存储的基线，尽管循环印记仍然存在，审计人员重建参考状态时仍能检测出残留。最终，作者认为在评估的方法中，检查点重放是唯一能实现精确省略的方法，但其代价与重放的后缀长度成比例。该研究对LLM遗忘机制的可行性提出了重要见解，并为合规删除提供了可靠性与成本权衡的依据。

加密流量虽能保护内容，但仍会泄露通信模式，攻击者可据此进行网站指纹等侧信道识别。此前二元情形下的侧信道存在性定理仅能证明两分类间有互信息，无法推广到多分类，也未纳入主动防御（如流量整形）。本文将定理扩展到 k 类场景：利用每类分解 I(X;Y)=∑π_i D_{KL}(P_{Y|i}||P_Y)，将互信息表示为各类先验加权的 KL 散度之和；用每类 Wasserstein-1 距离约束防御导致的分布偏移，建模防御成本。三个核心结果：(1) 对所有活动类的互信息求和下界；(2) 级联临界成本定理及每类预算推论，在统一预算下界消失时依然非零；(3) 精度推论 Acc*≥2^{I_0}/k>1/k。在 95 类网站指纹数据集上，所有测试防御下测得的互信息 95% 置信下界严格为正，证明泄漏不可避免。与同时考虑全部 C(k,2) 个三角形约束的成对凸规划相比，求和形式数值上仅强 1.45 倍，但结构上让每个类拥有独立临界成本和级联。论文还指出 FRONT 防御报告的 122 倍差距主要源于阈值排除，在活动类上实为 21 倍，接近无防御时的 15 倍；分步测量显示，压缩到 Lipschitz 统计量的步骤贡献 28 倍下界，而散度步骤仅 1.5 倍，表明散度是主要瓶颈。无防御时的一对多可区分性与防御后每类泄漏的 Spearman 相关达 0.62–0.77，支持认证机制的迁移性。该框架在 100 类 QUIC/TCP 数据上同样适用。

该论文围绕表格数据合成技术展开系统评估。数据合成被视为在保护数据隐私的前提下利用数据的重要手段，近年来涌现出大量表格数据合成器（synthesizers），其中部分满足差分隐私（Differential Privacy）约束，另一些则仅基于启发式方式提供隐私保护。然而，由于现有评估指标本身存在缺陷，加之新开发的合成器（如基于扩散模型和大型语言模型的方法）缺乏与最先进统计合成器的直接对比，导致研究界对这些合成器的实际优缺点缺乏全面深入的理解。论文旨在通过系统化的评估框架，对多种合成器进行公平、全面的横向比较，揭示其在数据效用、隐私保护能力及可用性等方面的表现。研究可能涵盖对评估指标本身的反思，提出更合理的评估维度，并为合成器的选择提供科学依据。该工作对于隐私保护机器学习、数据发布等应用场景具有重要的参考价值，有助于研究者与从业者摆脱对单一指标或单一算法家族的盲目依赖，从实证角度理解不同技术路线（统计方法、扩散模型、大语言模型）在表格数据合成中的真正潜力与边界。由于当前仅有论文摘要，没有公开详细实验设置与结果，因此本摘要基于摘要信息进行概括，具体结论需参考完整论文。

该论文提出 Mosformer，据称是首个支持大型 Transformer（如 BERT 和 GPT）的恶意安全三方计算（3PC）推理框架。基于 Transformer 的模型在众多 AI 任务中表现优异，但当以云推理服务形式部署时，用户输入和模型参数均面临隐私泄露风险。现有基于安全多方计算（MPC）的 Transformer 推理协议大多假设半诚实攻击者，而扩展到恶意安全模型面临极大开销，尤其是对复杂非线性函数的求值。Mosformer 的核心贡献在于：首先利用可验证分布式点函数（VDPFs）设计了恶意安全下的常数轮比较协议和查表协议；随后基于这些原语构建了一套高效且安全的 3PC 协议，用于求值 Transformer 中的复杂非线性函数（如 GELU、Softmax、LayerNorm 等）。结合优化的模数转换方法，Mosformer 在保持模型精度的同时显著降低了安全推理的开销。实验在 vanilla Transformer 模块上显示，与先前的恶意安全协议相比，Mosformer 实现了最高 5.3 倍的加速和 4.3 倍的通信量减少。在完整规模的 BERT 和 GPT-2 模型上，尽管提供了更强的安全保证，Mosformer 的在线性能仍可与当前最优的半诚实 2PC/3PC 框架（如 BOLT、BumbleBee、SHAFT、Ditto）相当甚至更优。该研究适合关注隐私保护机器学习、安全推理和密码学协议设计的蓝队研究人员阅读，其方法有望为隐私计算在实际部署中的安全性提升提供新思路。

该论文聚焦于隐私合规研究中一个关键难题：如何将实际数据使用场景中的具体数据项与法律法规、政策或企业内部规则所定义的隐私数据进行系统化比较。由于不同应用程序使用的数据项高度多样，且不同司法辖区对隐私数据的界定存在差异，这一比对工作非常复杂。为此，研究者此前构建了隐私数据分类体系（taxonomy），用于刻画隐私数据类型与粒度级别之间的关联，从而辅助隐私合规分析。然而，已有的分类体系构建方法严重依赖人工或启发式规则，难以高效纳入来自不同领域的新术语，导致体系的可扩展性受限。针对这一局限，论文提出了GRASP方法，一种可扩展且高效的自动化构建与扩展隐私数据分类体系的手段。GRASP的核心创新是引入了一种基于粒度感知语义投影（granularity-aware semantic projection）的上位词预测模型，并在实验中证明其性能优于现有的最先进上位词预测方法。在此基础上，作者进一步设计并实现了Tracy——一个隐私专业助手，能够自动识别并解读数据泄露事件报告中的私人数据，以支持符合GDPR要求的数据泄露通知流程。为验证Tracy的实用性，研究团队邀请15位隐私专业人士进行了可用性研究，结果显示Tracy具备较高的可用性和用户满意度。本文适合隐私合规工程师、数据保护官（DPO）、安全分析师以及从事隐私增强技术与NLP交叉研究的学者阅读。其核心贡献在于将先进的语义表示技术应用于隐私分类体系的自动构建，显著降低了对人工的依赖，并为自动化合规审计工具的开发提供了新的可行路径。

本文提出了一种名为 DIFFENCE 的新型成员推理攻击（MIA）防御框架，核心思路是利用生成式模型在推理前对输入样本进行“再生成”，从而抹除训练集成员与非成员输入之间的可区分特征。传统防御要么在训练阶段修改模型、要么在推理后修改输出，而 DIFFENCE 是首个在推理前仅对输入样本进行处理的即插即用防御，无需修改目标模型的训练或推理逻辑，因此可以与其他防御机制级联使用。作者设计该防御时特别注意保持模型对每个样本的预测标签不变，从而不影响分类准确率，并通过实验证明置信度向量的有用性也不会下降。在多个数据集上，DIFFENCE 能将未防御模型的 MIA 攻击准确率平均降低 15.8%，攻击 AUC 降低 14.0%；与现有最优防御 SELENA 结合后，攻击准确率进一步降低 9.3%，AUC 降低 10.0%，达到了新的隐私-效用均衡最优。同时，DIFFENCE 仅给每次推理增加约 57ms 的计算开销，实用性较强。该论文的主要贡献在于提出了一种新的防御视角：利用生成模型对输入进行净化，而不是修改模型本身。适合对隐私保护、成员推理攻击防御和生成模型应用感兴趣的安全研究人员阅读。

本文研究多智能体网络中的隐私保护共识问题。在医疗管理、智能电网等信息关键型系统中，基于智能体的系统日益普及，每个智能体可能拥有一个需要对外部观察者隐藏的潜在目标。现有共识算法通常需要智能体间交换状态信息，这可能导致恶意观察者通过推理攻击推断出智能体的真实目标。为此，作者提出了一种名为“信任感知自适应披露”(Trust-Aware Adaptive Disclosure) 的隐私控制框架。该框架的核心思想是基于智能体之间动态的信任关系，自适应地控制消息的披露程度。具体地，它使用一个与信任相关的随机策略来决定每个时刻披露多少信息，从而在共识性能与隐私保护之间取得可调的平衡。实验部分与多个代表性基线方法进行了对比，结果表明，该方法能够显著降低攻击者的目标推断准确率，同时保持具有竞争力的共识效用。本文的主要贡献包括：形式化定义了多智能体网络中的目标推断攻击威胁；提出信任感知的隐私控制机制；通过实验验证了该机制在隐私保护与系统效用之间的有效性。适合对分布式系统安全、隐私增强技术、多智能体协调等方向感兴趣的研究人员和工程师阅读。

本文针对长时运行的有状态 LLM 智能体（agent）提出“执行状态遗忘”（execution-state unlearning）问题。这类智能体不仅保存对话记录，还累积了压缩摘要、明文记忆、待执行的工具计划，以及每次服务 API 下的 KV 缓存。现有的“遗忘”操作通常只是删除一条明文记忆记录即停止，导致由被撤销信息派生出的所有产物（如缓存中的隐式表示、后续推理结果）依然保留，无法真正实现“像从未见过该目标一样”的行为。作者将智能体运行时建模为确定性转移系统，严格证明了三个关键事实：一是目标注入前的轨迹前缀与反事实世界共享，无需重算；二是目标注入后的后缀在缺少 token 级归因的情况下必然被污染；三是精确遗忘至少需要 T-τ+1 次重算转移（τ 为目标注入步）。基于此理论下界，文章提出“来源引导的选择性重放”（Provenance-Guided Selective Replay, PGSR），作为一种跨层契约，同时作用于提示词、压缩记忆和 KV 缓存：通过来源图定位注入点，用检查点恢复裁剪 KV 缓存，再用净化后的重放重新生成反事实后缀。实验在三个智能体套件、九个基线和三个模型家族上进行，采用诱导、随机和无字符串行为测试评估。结果表明：仅删除记忆的基线无法降低泄漏；基于指令的遗忘在诱导测试下完全失败（Leak@probes=1.00）；源文本删除仍会在 80% 的回合中影响被撤销的偏好；而选择性重放与完全重置难以区分，并且重算 token 数最多降低 9 倍。研究贡献在于形式化定义有状态 LLM 智能体的精确遗忘、证明计算下界，并提供一种高效的跨层实现方法。适合关注 LLM 隐私合规、智能体安全与记忆管理的安全研究员和工程师阅读。

本文针对广泛部署于数十亿设备上的闭源数字版权管理（DRM）系统 Widevine 展开内部机制研究，重点聚焦 Android 平台。研究动机在于：随着 Netflix、Prime Video 等 OTT（Over-the-Top）平台内容消费的普及，DRM 系统常运行在不可信主机环境中，其安全性直接影响内容保护的有效性。作者首先对 Android 版 Widevine 进行逆向与结构映射，梳理出其核心组件以及参与内容解密流程的多种密码学密钥，并以“协议+密钥阶梯”的形式给出了 Widevine 的完整结构化视图。基于这一理解，作者开发了名为 WideXtractor 的 Frida 工具，用于跟踪 Widevine 函数调用并拦截消息以供分析。作为概念验证，作者利用 WideXtractor 分析了 Netflix 对 Widevine 的使用，进而提出用户追踪方面的隐私担忧。此外，作者还利用其逆向知识绕过了 Android Widevine 纯软件版本（L3）的混淆保护，恢复了其信任根（Root-of-Trust）。该工作揭示了 Widevine 在真实设备上的运行细节，为安全社区理解 DRM 内部结构提供了系统化方法，同时也暴露了可能影响内容保护的潜在弱点。适合 DRM 安全研究者、移动平台安全工程师、内容保护产品评估人员以及关注 OTT 平台用户隐私的从业者阅读。

该论文研究了个性化大语言模型（LLM）智能体的隐私泄露风险。随着LLM智能体将用户记忆转化为压缩或结构化表示（称为用户模型）以指导后续决策，尽管源文本在普通接口可达的状态中被移除，此类模型仍被视为具有更好的隐私保护性，因为直接的内存提取攻击无法获取原始文本。然而，作者指出用户模型暴露了新的攻击面：攻击者仍能从被其影响的个性化行为中恢复私有信息，即使源记录和后端状态不可访问。为此，论文提出UMPeek，一种基于假设引导的自适应探测黑盒攻击方法。UMPeek通过请求中留下的开放选择形成假设，在多个普通后续任务之间切换，并仅保留被可见行为支持且未被反驳的声明。作者在多种个性化任务和用户模型后端上进行了广泛的基准评估，并在真实系统中使用已确认保留的信息进行验证，同时评估了防御措施对自适应探测的抵抗能力。实验结果表明，UMPeek在基准测试和真实世界比较中均优于现有攻击，并能在响应级防御下继续恢复用户信息，证明当保留信息影响可见行为时，仅使记录和后端状态不可访问并不能保证语义隐私。

本文针对联邦学习在网络入侵检测（NIDS）中的应用，系统研究了隐私保护、鲁棒性和类别不平衡检测覆盖三者之间的权衡关系。联邦学习允许在不集中敏感流量数据的情况下进行协作训练，但在实际部署中必须同时满足三个相互竞争的要求：严格的差分隐私保证、对拜占庭恶意参与者的容忍能力，以及在严重类别不平衡下对各类攻击的可靠检测。现有文献往往将这三个性质视为可独立组合的模块，而本文从理论和实验两个层面挑战了这一假设。作者引入“几何不可区分性”作为概念框架，解释在客户端更新因隐私噪声而产生分散时，少数类攻击信号如何更难被鲁棒聚合机制保留。以UNSW-NB15数据集为案例，文章评估了DP-SGD与坐标中位数聚合在标签翻转和模型投毒攻击下的联合表现，并按攻击类别评估威胁覆盖率。结果表明，隐私噪声与鲁棒聚合的联合使用会不成比例地降低稀有攻击的检测率，相对于多数类而言性能退化更为显著。进一步的实验发现，强隐私条件下出现的性能崩塌部分源于训练过程中的校准错误，即使经过依赖ε的调参，超稀有攻击类别仍可能存在残余性能下限。这些发现说明，隐私、鲁棒性和稀有攻击覆盖不能被视为独立可组合的性质，而应联合建模与评估。作者提出，聚合感知的建模方法和样本感知的评估指标是构建可信联邦NIDS的有前途方向。本文适合关注联邦学习、对抗鲁棒性、隐私保护机器学习以及入侵检测系统的研究人员和安全工程师阅读。

本论文的标题为《Navigating Security and Privacy Threats in Homeless Service Provision》，作者包括 Yuxi Wu、Ruoxi Zhang、Mufei He 等。由于本次输入仅提供论文标题与作者列表，未包含论文摘要正文，因此无法对研究背景、具体方法、实验设计与结论进行详细总结。根据标题推断，该研究关注无家可归者服务提供（如收容所、救济机构、社会服务项目）过程中的安全与隐私威胁，可能涵盖服务对象敏感个人信息（如健康、身份、居住记录）的收集、存储、使用与共享环节的隐私风险，以及相关数字系统可能遭受的攻击面。作者团队中可能包含计算机安全、公共政策或人机交互领域的研究者，因此该工作可能采用跨学科方法，例如质性访谈、系统建模、隐私影响评估或设计对策。读者应查阅原文获取实际研究内容。

本文研究家庭机器人在仅在本地位保留原始传感器数据的情况下，其导出的结构化感知表示仍可能造成隐私泄露的问题。作者指出，即使原始数据不出本地，机器人为了导航、规划、云服务、日志或学习而导出的结构化表示，仍可通过语义、几何、空间结构和任务目标等维度，推断出家庭内的敏感信息。为此，他们提出任务功能感知蒸馏（Task-Functional Perception Distillation，TFPD）框架，该框架在本地保留丰富感知信息，同时依据任务效用、直接暴露和多种残留推理风险对下游导出内容进行刻画和约束。实验基于120个AI2-THOR场景，使用场景不重叠的训练/验证/测试划分、冻结攻击者选择以及感知感知的保留攻击，评估导航、碰撞检查和物体目标执行任务。结果显示，三种导航导出在成功率和平均路径比值上完全一致（成功率1.000，平均路径比0.898），但表征层面的可链接性从0.532到0.970不等，说明任务效用相同不代表隐私风险相同。将显式目标标签替换为目标区域后，目标类别宏F1从1.000降至0.077，而任务成功率仍保持0.995；几何粗化则使物体类别宏F1从0.704降至0.556，但同时带来可度量的碰撞效用损失。在ProcTHOR上的复现验证了导航任务等同性与隐私非等同性这一结论，但归一化导出和拓扑导出的相对排序发生了变化。实验表明，简单地移除字段或增加抽象程度无法产生统一的隐私排序，必须针对完整公共表示进行任务特定、多风险的评估。适合机器人隐私设计者、系统安全工程师以及从事AI与隐私交叉研究的人员阅读。

本文针对基于大语言模型（LLM）的多智能体系统（MAS）在跨组织协作场景下的安全问题，提出了一种隐私保护的拓扑引导安全机制。现有方法通常假设单一运营方可以汇总所有标注轨迹，在全局通信图上训练图神经网络（GNN）以定位高风险智能体并干预拓扑结构。然而在实际跨组织环境中，各参与方持有的数据包含私有提示词、工具输出和专有工作流，无法共享原始数据，且单一站点无法观测完整攻击分布。作者将隐私保护的MAS安全防护形式化为图联邦学习问题，并实现了FGLGuard框架：每个运营方仅使用自身带法官（judge）标注的剧情图，训练基于边特征的图注意力检测器，只上传模型更新而不共享原始图数据。该方法综合了针对非独立同分布（non-IID）客户端的近端局部目标、域平衡聚合、过拒约束下的阈值校准、带印证的上游评分，以及对被阻断回答的受控改写。实验表明，联邦协作并非可选项：现成模型在分布偏移下迁移失效（AUROC仅0.51），域内重训后也仅提升至0.70，因此可部署的防护必须适应各站点私有轨迹。在Agent-SafetyBench、R-Judge和AgentDojo三个基准上，联邦FGLGuard在不汇聚任何数据的前提下，超过了域内集中式训练的上限；无监督异常检测和仅本地训练的防护均失败。当在四个不同领域运营方之间进行联邦时，其AUROC与多域集中式训练仅差0.03，而任何单域防护在其他域上都会崩溃。在AgentDojo上，实时FGLGuard在近乎无防护的效用损失下，将攻击成功率降低了43%，且零API成本、能力损失可忽略。本文的核心贡献在于：首次将图联邦学习引入LLM多智能体系统安全，证明跨组织协作防护在不泄露私有数据前提下的可行性与有效性，并显著优于无联邦或局部训练方案。适合关注LLM智能体安全、隐私保护机器学习及分布式安全防护的研究人员和工程师阅读。

本文研究拆分学习（Split Learning, SL）场景下的隐私泄露风险，提出了一种名为 SDAR 的新型被动推理攻击框架。拆分学习被视为传统联邦学习的实用高效替代方案，客户端在本地保留部分模型层（即私有模型）并只与服务器交换中间表征，但已有研究表明恶意或好奇的服务器仍可能推断客户端私有数据。然而，以往攻击方法往往依赖过强假设（如拥有大量同分布辅助数据或可控训练流程）或仅针对易受攻击的简单模型，实用性受限。作者假定服务器是诚实但好奇（honest-but-curious）的，即服务器严格遵循协议但试图从收到的中间表征中学习客户端私有信息。SDAR 的核心思想是利用辅助数据通过对抗正则化（adversarial regularization）学习一个客户端私有模型的可解码模拟器：该模拟器在训练阶段拟合客户端模型的行为，同时借助对抗约束迫使编码结果保留与私有特征/标签相关的信息，从而在推理阶段仅凭中间表征即可重构客户端私有特征；在 U 型拆分学习（U-shaped SL）配置下还可同时推断标签。作者在标准配置和 U 型配置下进行了大量实验，验证了攻击的有效性。实验结果显示，在现有被动攻击难以有效重构私有数据的挑战性场景中（如深层拆分点），SDAR 的重构性能显著优于已有被动攻击，甚至可媲美主动攻击。具体而言，在 CIFAR-10 数据集上，当拆分深度为 7 时，SDAR 在标准 SL 和 U 型 SL 下均能将私有特征重建的平均平方误差降至 0.025 以下，并且在 U 型设置下标签推断准确率超过 98%，而现有攻击方法在此设定下无法产生非平凡结果。本文的研究贡献在于揭示拆分学习在更现实假设下的严重隐私漏洞，对设计安全的拆分学习协议具有警示意义。适合关注机器学习隐私、联邦学习/拆分学习安全的研究人员及安全工程师阅读。

该论文提出了一种名为 Blink 的框架，用于在图神经网络（GNN）训练中实现链路本地差分隐私（Link Local Differential Privacy）。研究背景是：GNN 在节点嵌入学习与图推理任务中表现出色，但训练过程可能泄露节点间的敏感关联信息。为缓解此问题，作者采用去中心化节点上的链路本地差分隐私机制，使得节点能够与不可信服务器协作训练 GNN，同时保证任何链路的存在性不被泄露。核心方法是：将隐私预算分别分配给图的链路和节点度信息，并利用贝叶斯估计在图拓扑上进行去噪，以减轻本地差分隐私（LDP）对 GNN 训练精度的负面影响。作者严格推导了推断链路概率与真实图拓扑之间的平均绝对误差上界。在此基础上，提出了两种互补的 LDP 机制变体：第一种在低隐私预算下估计较少链路，以避免在高不确定性时产生误报链路；第二种利用更多信息，在相对较高的隐私预算下表现更佳。此外，还提出了一个混合变体，结合两种策略并在不同隐私预算下均获得更好性能。大量实验表明，在不同隐私预算下，所提方法在精度上优于现有基线方法。该研究为隐私保护图学习提供了新的技术路径，适合对差分隐私、图神经网络及隐私保护机器学习感兴趣的研究人员阅读。

本文为一篇名为《LAMP: Lightweight Approaches for Latency Minimization in Mixnets with Practical Deployment Considerations》的学术预印本（arXiv论文），主要关注混合网络（mixnet）中的延迟优化问题。混合网络是匿名通信系统的重要基础设施，通过将消息在多个节点之间混合、重排序和延迟转发来抵抗流量分析，但在实际使用中，引入的延迟会严重影响实时交互应用（如即时消息、Web浏览等）的体验。该论文的核心目标是提出名为LAMP的轻量级方法，在不显著牺牲匿名性的前提下最小化混合网络的端到端延迟，并特别考虑了实际部署环境中的约束与折衷。由于在此次输入中仅提供了论文的致谢与资助声明，未包含任何技术细节、方法描述、实验数据或具体贡献，无法给出更精确的内容总结。基于标题推断，LAMP可能采用了轻量级的路由策略、批量处理优化、动态调度算法或匿名度-延迟权衡模型，且作者强调了面向现实网络的实现可行性。需要阅读全文才能了解其架构、评测指标与性能结论。该研究属于匿名通信与隐私增强技术领域，对于希望部署低延迟匿名服务的开发者或研究者而言具有参考意义，但暂无可落地的防御或检测直接建议。

本文针对全同态加密（FHE）下运行语言模型推理速度过慢的问题展开研究。在 FHE 密文上，模型只能原生支持加法、乘法和旋转操作，且乘法深度受限，超过一定层数就必须执行高开销的 bootstrapping 操作以继续计算。因此，模型中的非线性激活函数必须通过迭代方法近似，每次迭代都消耗乘法深度和 bootstrapping 资源。已有的方法通常为所有非线性层设置统一且固定的迭代次数，未考虑不同层（或不同位置）对近似误差容忍度的差异，导致不必要的性能开销。为此，作者提出 Homomorphic Encryption-Aware Training (HEAT)，一种面向 FHE 推理的微调方法。HEAT 的核心思想是将每个非线性模块的迭代次数作为可学习参数，与模型权重一起在训练过程中进行联合优化（即“近似-权重协同适应”）。具体而言，HEAT 以任务目标（如语言模型的解码质量）为导向优化迭代次数，使模型在训练中主动适应推理阶段因近似带来的误差，而无需修改模型架构或从头重新训练。实验基于加密的 GPT-2 解码任务展开，结果显示：HEAT 在保持甚至提升与校准基线解码一致性的前提下，将非线性迭代次数减少约 3.1 倍，bootstrapping 次数减少约 1.6 倍，端到端推理延迟降低约 1.4 倍。该工作表明，通过将加密感知的训练策略与可学习近似预算结合，可显著提升 FHE 场景下大语言模型推理的实用性。适合对隐私保护机器学习、全同态加密应用以及高效安全推理感兴趣的研究人员和工程师阅读。

文本转语音（TTS）基础模型正越来越多地被用于在私有数据集上微调以合成高度个性化的声音，但这同时引入了严重的隐私风险，因为语音既包含生物特征身份又包含敏感语音内容。现有的黑盒成员推理攻击（MIA）通常采用查询生成和表示工程两阶段流程，但直接应用于TTS时会面临特有挑战：在查询生成方面，合成文本与参考语音的双重条件构成一个庞大且未被充分探索的查询空间，缺乏确定有效查询的准则；在表示工程方面，语音的多层次时序特征使得低级表示和直接比较难以有效捕获成员信号。为此，作者提出了第一个专门针对TTS模型的黑盒MIA框架，同时在说话人层面和记录层面开展工作。在查询生成上，他们刻画了可行查询空间的边界，并提出了两个评估标准（可评分程度和记忆诱导），据此比较了五种代表性查询，发现逐字复述（recitation）是攻击效果最强的查询策略。在表示工程上，他们从外部嵌入模型中提取多级语音表示，并对生成音频与目标音频实施时间对齐，以实现细粒度的成员信号比较。实验覆盖三种最先进的TTS模型（CosyVoice2、F5-TTS、XTTS-v2）和两个公开基准数据集（VCTK与British Dialect），结果显示隐私泄漏严重：说话人级别的AUC在最强设置下仍高于0.80并接近1.0，记录级别AUC则稳定在0.80至0.90之间；即使在成员与非成员均来自同一说话人的高难度场景下，攻击依然有效。此外，作者还识别出与过度记忆高度关联的若干语音特征。该研究首次系统揭示了TTS微调模型的成员推理暴露面，为隐私保护和风险评估提供了关键基础。适合关注语音模型隐私、AI安全及数据治理的研究人员与安全工程师阅读。

本文针对混合网络（mixnets）中的接收者隐私问题展开研究。混合网络通过一系列混合节点对数据包进行延迟和加密变换，能够为发送者提供较强的匿名性，但现有的混合网络缺乏同时保护接收者（目的地）隐私的安全协议，尤其是在防止发送者获知接收者身份方面存在不足。为此，作者提出了首个实用且安全的混合网络隐藏服务协议，在提供发送者匿名的同时实现接收者隐私。该设计基于单次使用回复块（SURBs），利用SURB实现匿名回复而不泄露接收者地址。然而，作者发现现有SURB使用方式存在两种实际攻击，能够在对手仅控制单个混合节点的情况下破坏发送者或接收者的匿名性。针对这两种漏洞，作者开发了相应的防御措施，并在此基础上构建了名为NymHS的协议。NymHS支持匿名服务发现、认证的双向会话以及异步SURB补充。作者在开源的Nym代码库上实现了NymHS，并通过在118个网站上进行的网页浏览实验评估其实用性，对27种配置各测量三次，共计9558次页面加载。实验结果表明，隐藏服务可以高效地部署在混合网络之上。具体而言，将Sphinx数据包的负载从2 KiB增加至10 KiB可使平均页面加载延迟降低约5.2倍，并将通信开销相对于当前Nym基线从21.7%降至4.3%。该研究填补了混合网络中接收者隐私保护空白，为匿名通信系统的设计提供了新的解决方案。

合成数据已成为机器学习研究中的常见工具，在隐私敏感场景中的应用尤其广泛。然而，作者指出一个关键转变：合成数据在实践中已从“给定假设下的残余推理风险声明”悄然转变为“由数据生成过程本身得出的外观属性”，即许多研究者默认生成出来的数据就具备隐私保证，而不再明确阐述威胁模型和残余风险。本文作为一篇立场论文，主张这种转变并非对既有隐私原则的误解，而是反映了社区在“何为充分隐私证据”上的标准变化。作者通过对主流机器学习会议与期刊近期发表物的实证分析发现，大量论文在隐私敏感环境中使用合成数据，却往往缺少对威胁模型、推理风险或可证伪隐私假设的显式说明。由此导致的后果是：隐私保证变得隐式、难以验证且在不同记录间分布不均——尤其对稀有与少数群体记录带来更高暴露风险。为推动解决该问题，作者主张将隐私视为一种有明确范围、基于证据并可测试的科学声明，并建议机器学习相关场所采纳规范：凡是涉及隐私的断言，都应当被清晰地划清边界、具备可检验性与可争议性。本文并非提出新算法或系统，而是对当前研究规范提出批判，并通过实证数据支撑其观点，适合机器学习研究者、隐私爱好者与安全审查者阅读。

本文针对分布式数据处理场景中因服务提供商组合而引发的隐私风险问题展开研究。具体而言，当多个合作的服务提供商共同处理个人数据时，即使每个提供商单独进行的数据保护影响评估（DPIA）均未发现风险，组合后的整体仍可能产生新的隐私风险。文章举例说明：不同数据处理者可能不知情地依赖同一家云服务提供商，导致该云服务商能够将来自不同来源的个人数据进行关联（linkability），从而产生非预期的隐私泄露。这类组合性风险超出了单个风险评估的范围，因此容易被传统DPIA流程遗漏。针对这一问题，作者首先进行了问题定义和需求分析，明确了组合风险识别所需的功能与约束。在此基础上，提出了一种新颖的协议，用于检测和管理此类组合性隐私风险。该协议能够识别潜在的组合风险候选者，并将相关信息整合到包含多个数据处理者的服务组合的数据保护影响评估结果中，从而提升评估的完备性和准确性。论文的主要贡献在于：首次系统性地定义了服务组合中的隐私组合风险问题，并给出了可操作的协议设计思路，为分布式隐私合规评估提供了理论和方法支撑。适合隐私保护研究人员、数据保护官（DPO）、云服务合规工程师以及隐私影响评估工具开发者阅读。由于当前仅基于论文摘要，具体协议细节和实验验证效果需进一步查阅原文。

本文研究部分可观测离散事件系统中的匿名性验证问题。匿名性是一种信息流安全属性，其核心思想是：在外部观察者通过系统输出（观测）推断系统内部状态时，系统不应让某一时刻的状态被唯一确定，从而保护用户隐私。在离散事件系统框架下，已有 K-步匿名性和无限步匿名性的定义：K-步匿名性要求当前时刻之前至多 K 个观测步内，状态估计不能是单例；无限步匿名性则不对 K 设限。作者针对由非确定有限状态自动机建模的部分可观测系统，提出了四种新的匿名性概念——两种强匿名性和两种弱匿名性，分别称为 K-步强/弱匿名性和无限步强/弱匿名性。这些概念与已有定义的本质区别在于引入了强匿名投影与弱匿名投影的考量，使匿名性刻画更加精细，能够适应不同的隐私需求。为了验证这四种性质，作者发展了一套基于并发组合（concurrent composition）的新方法：通过构造系统的并发组合结构，系统性地追踪观测一致的状态对/状态集，从而将匿名性验证转化为对组合图的结构性质检查。基于该结构，论文给出了四种匿名性可验证的充要条件，并分析了相应算法的时间复杂度。此外，还计算了 K-步强匿名性和弱匿名性中 K 的上界，为实际应用中选择合适的匿名窗口提供了理论依据。本文属于形式化方法与信息流安全的交叉方向，适合从事隐私验证、自动机理论、安全协议分析的研究人员阅读。由于仅有摘要，具体定理证明与实验评估细节需参见全文。

互联网日常活动中，匿名性和问责制都是基本需求，但二者看似矛盾，难以同时实现。现有方案要么依赖路径上的受托服务器，要么需要逐包授权或逐包公钥运算，要么需要中央权威进行每会话干预，在可部署性、开销或信任模型上存在不足。本文提出 Lacan 协议，在现实可部署的设计中同时实现匿名性与可问责性。Lacan 中，发送方只要遵守与接收方事先建立的契约，即可通过路径上的中继获得匿名保护；一旦发生违约，代表接收方的离路径验证者能够通过数据包、路径和会话三个层面，将恶意消息间接关联回发送者身份，从而把公钥操作从逐包降低到逐会话，显著减少计算开销。该关联机制在恶意中继或恶意接收方存在时依然稳健，其安全性依赖作者提出的“后继证明链”，用于可问责的路径重建，并组合了可追踪签名、路径验证和密钥提交加密等部件。作者对 Lacan 的匿名性和可问责性进行了形式化分析，完成了原型实现并评估了性能。实验结果表明，Lacan 在不引入中央权威和逐包公钥运算的前提下，能够以可接受的性能开销实现匿名通道下的责任追踪，是通往现实匿名与问责共存的可行一步。

MultiGait 论文针对智慧城市新兴传感器（热成像相机、深度相机、激光雷达等）缺乏合适数据集、难以系统评估其隐私风险的问题，构建了首个多传感器、多视角、多会话的步态数据集，并形成了一套身份推断基准。作者认为，在大量关于传感器隐私影响的未经证实说法出现、且这些传感器可能被大规模部署到日常生活的背景下，单独以及横向比较理解这些传感器的隐私风险至关重要。为此，MultiGait 数据集采集了 199 名受试者的多种行走模式和带标注的个人属性，覆盖八种传感器、四种视角和三个录制会话，并借助多种最先进的识别系统进行了验证，可支持跨传感器识别和边缘端匿名化等深入研究。论文核心贡献是通过这个基准进行大规模身份推断实验，结果显示：一些通常被认为隐私友好的传感器（例如热成像或深度传感器）依然存在相当显著的身份识别风险；同时，现有方法在跨会话泛化方面表现较差，这揭示了当前步态识别研究的一个重要空白——即模型在不同时间、不同条件下的稳定性不足，而这对实际部署中的隐私保护至关重要。整体而言，MultiGait 为严格的传感器隐私调查提供了基础资源，适合隐私安全研究人员、智慧城市系统设计者以及计算机视觉领域关注步态识别和身份匿名化的学者阅读。

本文提出 Sparrow，一种面向数据并行算术电路的空间高效零知识简洁非交互式证明（zkSNARK）方案。zkSNARK 在实际部署中常因证明者空间开销过大而受限，其空间需求可能比原生计算高出数个数量级。Sparrow 首次在固定有限域上实现证明者空间开销随电路规模增长仅呈次对数因子增长，并且相对于已有的通用算术电路空间高效方案，其证明者空间渐近小于电路规模本身。核心创新是一个具有改进证明者时间的空间高效 sumcheck 论证协议，可作为独立构建块。实验针对三类用例（任意数据并行电路、乘法树、批量 SHA256 哈希）表明，Sparrow 相比目前最先进的空间高效 zkSNARK Gemini，总证明者空间减少 3.2–28.7 倍，证明者时间减少 3.1–11.3 倍。在此基础上，作者利用 Sparrow 构建了决策树训练与预测的零知识证明，其空间效率支持大型数据集和多棵树的森林。与基于 GKR 协议的非空间高效最优时间 SNARK 相比，树训练证明者空间减少 16–240 倍，同时证明者与验证者时间及证明大小几乎不变。值得注意的是，证明者所需空间仅略高于原生计算：对于 400MB 数据集，证明者空间约为原生计算的 1.4 倍。该工作显著降低了零知识证明生成的资源需求，为在资源受限环境中部署基于 zkSNARK 的隐私保护与可验证计算提供了更实际的方案。

本文聚焦端到端加密（E2EE）环境下内容审核与隐私保护之间的根本矛盾。E2EE 阻止在线服务访问用户内容，这虽然保障了隐私，却使得传统的服务端明文图像感知哈希匹配（用于检测儿童性虐待材料 CSAM）无法实施。为此，密码学界提出了私有哈希匹配（PHM）方案，允许服务在不知道哈希集合具体内容的情况下匹配已知的 CSAM 图像，同时不向用户泄露哈希集，也不向服务泄露非匹配内容。然而，以 2021 年苹果 iCloud 照片中的 CSAM 检测提案为代表的 PHM 设计，引发了关于安全、隐私和言论自由的广泛批评。本文旨在通过提出新的密码学方法，实现由普通公众对 PHM 系统进行公共验证，从而推进相关学术研究与讨论。作者首先阐述了使用 PHM 检测 CSAM 的动机，以及部署中面临的重大社会与技术问题。他们将 PHM 的批评系统化为两类审计问题：对哈希集的信任和对实现的信任。论文指出，虽然仅靠技术无法完全解决这两个问题，但存在密码学上的信任提升可能。核心贡献是提出了三类新颖的密码学协议，支持对 PHM 系统进行公共验证：（1）证明外部组织批准了哈希集；（2）证明特定的合法内容不在哈希集中；（3）在发生误报匹配时最终通知用户。这些协议被描述为实用、高效，并兼容现有的 PHM 构造。读者包括密码学研究者、隐私倡导者、政策制定者以及负责内容审核平台的安全工程师。

本文提出并部署了名为 Private Computation Space (PCS) 的开源机器学习系统，用于在保护农户数据隐私的同时实现农业领域的联邦学习。研究背景指出，尽管人工智能有潜力改善农业实践，但采用率有限，69%的美国农民因数据隐私担忧而不愿分享数据。农业场景的特殊挑战包括：需要保护农民数据和身份同时保持模型效用、运行在通用硬件上，并且能适应农村脆弱的网络基础设施。PCS 系统针对这些挑战设计，采用多集群编排以在偏远地区提供可靠性，结合异步联邦学习（FL）、差分隐私（DP）和可信执行环境（TEE），使农场可以在不泄露私有数据的前提下参与模型训练。作者在两个实际负载上进行了评估：一个是在纽约州使用活体植物传感器监测氮含量，运行6个月；另一个是在加利福尼亚州利用气象站预测蒸散量，运行10个月。评估结果显示，两个任务的 Dice 相似系数（DSC）达到0.71，R²精度为0.84，相对于最差的单站点模型，精度分别提高了22.4%和9.1%，同时保持了隐私保护。该工作展示了多集群联邦学习联合隐私增强技术在农业领域的实用性，为数据敏感型行业提供了可借鉴的架构参考。

本文针对可穿戴 EEG（脑电图）系统在健康监测之外可能泄露神经隐私的问题展开研究。作者指出，尽管许多系统假设仅传输紧凑的频谱或空间特征而非原始 EEG 数据即可提供足够的隐私保护，但实际这些特征仍可能泄露用户身份和人口统计属性。以 EEGMAT 作为案例，实验表明常用 EEG 特征在实现认知状态分类（平衡准确率 0.788）的同时，也能以较高的平衡准确率推断性别（0.858）、年龄（0.789）和受试者身份（0.692）。为缓解这一风险，作者提出一种基于对抗表示学习的隐私保护方法（NeuroPriv），通过对抗训练引导特征表示去除与隐私属性相关的信息，同时保持任务相关特征。结果表明，所提方法能将认知任务性能保持为 0.781，同时将性别、年龄和身份推断的平衡准确率分别降至 0.563、0.467 和 0.206，显著降低隐私泄露风险。论文的核心贡献是证明了‘目的受限表示’的必要性，并倡导在可穿戴神经健康系统中引入显式隐私审计机制。研究属于人机交互与机器学习交叉领域，适合可穿戴计算、隐私保护机器学习以及神经伦理方向的研究者和安全工程师阅读。

本文报告了 OreProof 的设计科学实践：一个面向关键矿物（以黄金为实例）供应链的可追溯性平台原型。核心问题在于供应链中存在结构性矛盾：监管方和买家要求可验证的来源，而上游参与者不愿透露供应商身份、品位/产量和价格等敏感信息。OreProof 旨在解决这种“可验证性与披露性”之间的权衡。架构上采用混合链上/链下数据模型，利用 Groth16 零知识证明实现选择性披露，使用 Merkle 批量锚定管线提升吞吐量，并在公共 zkEVM 测试网上签发符合 UNTP（联合国可追溯性协议）的可验证凭证。实验对比了透明基线，在既定攻击者模型下，可直接推断的机密属性从四类中的三类降至零；批量锚定显著提高了处理量。论文贡献包括原型工件和四条初步设计原则：1）对承诺数据进行证明而不是暴露数据；2）仅验证原始来源并标记混合商品中的未知输入；3）从一开始就签发符合标准的凭证；4）按供应链角色划分披露权限。适合对供应链安全、零知识证明应用、可追溯性系统和隐私保护设计感兴趣的研究人员与从业者阅读。

该论文围绕人脸识别（FR）系统与混淆（Obfuscation）系统的公平性属性展开研究。人脸识别技术已在安防、身份验证等领域广泛部署，然而研究表明其性能可能在不同人口统计群体（如种族、性别、年龄）之间存在显著差异，从而引发公平性担忧。混淆系统，例如用于保护人脸隐私的扰动或生成式匿名化方法，旨在防止未经授权的身份识别，但其自身也可能引入或加剧不公平性。论文可能提出一套统一的公平性度量框架，用于评估和比较不同人脸识别模型及混淆方法在不同子群体上的行为差异，并探讨公平性与隐私/可用性之间的权衡关系。基于对人脸识别流水线的分解，作者或许分析了从预处理、特征提取到分类各阶段可能引入的偏差，并通过实验验证了所提出度量指标的有效性。由于本信息仅基于论文标题与作者背景，具体研究方法、数据集及结论尚不明确；该工作属理论/实证研究性质，适合关注AI治理、隐私保护及公平性审计的研究人员和工程实践者阅读。

该论文研究 WiFi 波束赋形（beamforming）反馈机制中的明文传输隐私泄露问题。在 IEEE 802.11 标准中，客户端设备（如手机、笔记本电脑）需要向接入点发送波束赋形反馈矩阵（beamforming feedback matrix），以帮助 AP 进行信道适配和空间复用。论文指出，这些反馈矩阵以明文形式传输，且包含与物理空间位置强相关的信道状态信息（CSI），攻击者通过被动监听这些明文反馈，即可提取用户设备的方向、移动状态甚至室内位置等敏感信息。核心方法包括：分析波束赋形反馈的标准字段与物理层映射关系，设计针对性的特征提取和位置推断算法，并在真实环境中采集多种设备（不同天线配置、不同 WiFi 标准）的数据进行验证。实验结果表明，即使仅利用明文反馈中的有限信息，攻击者也能以较高精度推断用户位置和活动状态，且无需建立与目标设备的连接，完全隐蔽。主要贡献在于：首次系统性地揭示波束赋形反馈的隐私风险，提出一种低成本、被动式的侧信道攻击框架，并讨论现有防护手段（如加密反馈、反馈矩阵降噪、随机化）的不足。适合关注无线物理层安全、隐私增强技术、WiFi 协议安全的蓝队安全研究者、协议设计者及隐私工程师阅读。

本文提出一种名为 CENSOR 的防御方法，用于抵御梯度反演攻击（Gradient Inversion Attack）。梯度反演攻击是一种严重威胁联邦学习和分布式机器学习安全的攻击手段，恶意服务器或攻击者可以通过观察客户端上传的模型梯度，逆向恢复出客户端的私有训练数据，造成严重隐私泄露。现有防御方法通常依赖于对梯度进行扰动或压缩，但往往需要在隐私保护与模型精度之间进行权衡，且防御效果有限。CENSOR 的核心思想是利用正交子空间贝叶斯采样，在梯度更新过程中引入受控的随机性，使得攻击者从观测到的梯度中难以准确推断原始数据。该方法通过将梯度投影到正交子空间，并结合贝叶斯采样来生成满足隐私保护要求的梯度发布，从而在不显著降低模型性能的前提下，有效降低梯度反演攻击的成功率。论文通过理论分析和实验验证，展示了 CENSOR 在多个数据集和模型架构上相较于现有防御方法的优越性，能够在保持模型准确性的同时，显著提高攻击者的重构误差。本文适合对联邦学习隐私保护、对抗性机器学习以及梯度反演防御感兴趣的研究人员和安全从业者阅读。

该论文针对机器学习算法在实践中缺乏严格隐私保证的问题，提出应用近期提出的 Probably Approximately Correct (PAC) Privacy 框架，为多种常用黑盒算法（K-Means、支持向量机 SVM、主成分分析 PCA 和随机森林）提供了形式化、机械化且基于模拟的隐私证明。论文的主要贡献包括：第一，提出了一种新的模拟算法，能够高效确定达到给定隐私水平所需的各向异性（anisotropic）噪声扰动，并给出了该算法的正确性证明；第二，通过理论分析和实验证明，相比各向同性噪声，各向异性噪声在保持模型可用性方面具有显著优势；第三，引入正则化可以降低算法输出的不稳定性，从而实现隐私放大，在较小精度损失下获得有意义的隐私保证；第四，提出了减少算法输出不稳定性的新技术，将难以处理的几何稳定性验证转化为高效的确定性稳定性验证。论文通过大量实验，将可证明的对抗性推断难度与最先进的实证攻击（如成员推断攻击）进行对比，验证了所提方法的有效性。该研究为实用机器学习模型提供了可验证的隐私保障路径，弥补了传统成员推断攻击和差分隐私审计等方法缺乏严格理论保证的不足，适合对隐私保护机器学习、形式化验证和可信 AI 感兴趣的研究人员阅读。

这篇论文研究了大语言模型对齐过程中偏好数据组成对隐私记忆的影响。作者指出，尽管偏好优化（如DPO）被广泛用于让模型符合人类偏好，但偏好数据的构成可能影响与隐私相关的记忆行为。他们聚焦于一个关键问题：在不修改优化目标、也不引入形式化隐私机制的前提下，能否通过调整隐私偏好数据的比例来降低模型的记忆泄漏风险？为此，论文提出了一种轻量级数据组合协议——隐私压力偏好混合（P3M）。P3M在保持有用性和无害性偏好数据固定的情况下，变化隐私偏好数据的数量，从而构造不同的训练数据混合比例（隐私比例为0.5、1.0、2.0，以及一个非隐私基线）。实验采用Gemma 3 270M-IT模型（5个随机种子）和4-bit量化的Gemma 2 2B-IT模型（3个随机种子）进行验证。评估指标包括基于金丝雀后缀的对数似然代理值以及成员推断攻击的AUROC/AUPRC。结果表明，在测试条件下，隐私偏好混合与两个模型设置中更低的平均金丝雀后缀对数似然值相关；在2B模型的混合源评估中，相对于基线，隐私混合显著降低了成员推断攻击的整体表现。具体来说，隐私感知的2B配置平均AUROC范围为0.596至0.629，平均AUPRC范围为0.541至0.575，而基线分别为0.804和0.790。然而，这种成员可区分性的降低在不同数据源上并不一致。此外，隐私比例与无害性偏好准确率之间的关系因模型设置而异，而有帮助性偏好准确率总体保持稳定。研究结论强调，P3M应被视为一种用于考察隐私-效用-安全性权衡的经验性、轻量级协议，而非正式的隐私保证或针对提取攻击的防御手段。该工作的核心贡献是为探索LLM隐私保护提供了一种无需修改训练算法、仅通过数据配比即可调节隐私倾向的实证方法，适合关注LLM隐私泄露的研究人员、安全工程师以及模型对齐设计者阅读。

本文提出 POSEIDON，一个隐私保护的联邦神经网络学习框架。研究背景是传统联邦学习通常依赖一个可信聚合方来协调各方梯度更新，但该可信方成为单点故障，一旦遭受数据泄露、黑客攻击或内部泄漏，可能同时危及训练数据隐私和模型隐私。为消除这一信任假设，密码学社区提出用一组计算服务器替代可信方，并采用安全多方计算（MPC）技术来实现神经网络的隐私保护训练。POSEIDON 延续这一思路，重点探讨如何在不同服务器数量（如两方、三方）下高效且安全地完成联合建模。由于仅提供摘要，具体算法细节、实验设置和性能数据未完全展开，但核心贡献应在于设计一种可在多方参与下不暴露原始梯度或模型参数的联邦训练协议，兼顾安全性、通信复杂度和计算开销。适合关注机器学习隐私、联邦学习、安全多方计算以及隐私增强技术的研究者和安全工程师阅读。

本文针对视频通话场景中的键盘敲击推断攻击展开研究，揭示了参与者在视频会议过程中可能无意间泄露敏感输入信息的风险。随着远程办公和在线交流的普及，视频通话已成为个人与专业沟通的主要方式，但用户往往忽视摄像头可能捕捉到的手指动作、键盘反射等细微视觉线索。作者设计并评估了一个基于视频流的攻击框架，能够从通话视频中推断用户敲击的键盘按键。该框架利用视觉侧信道信息，结合视频中手部位置、按键按压动作等特征，实现对文本输入的还原。研究在多种实验条件下评估了攻击框架的性能，包括不同型号的网络摄像头、视频分辨率、键盘类型、衣物颜色以及背景环境，以模拟真实多样的使用场景。实验结果表明，在常见且现实的环境设置下，攻击框架能达到较高的按键推断准确率，这一发现凸显了用户对视频通话隐私风险的认知不足以及采取防护措施的必要性。为了应对该威胁，作者还提出了若干自动化的缓解技术，旨在用户于视频通话中输入时主动提供保护，降低泄露风险。本文的核心贡献在于系统性地评估了视频通话键盘推断攻击的可行性与危害，并为后续防御技术的研究提供了基础。适合视频会议服务提供方、安全研究者和关注隐私保护的用户阅读，以理解此类侧信道攻击的潜在影响并制定相应防范策略。

本论文标题为《Distributed & Scalable Oblivious Sorting and Shuffling》，研究分布式环境下可扩展的不经意排序（Oblivious Sorting）与洗牌（Oblivious Shuffling）问题。不经意排序和洗牌是隐私保护计算中的基础原语，其目标是在不暴露数据内容及访问模式的前提下完成排序或随机置换操作。此类原语广泛应用于安全多方计算、隐私保护数据库查询、匿名通信等场景，是抵御侧信道攻击和访问模式泄露的关键技术。传统不经意排序算法（如排序网络）虽然能严格隐藏访问模式，但通信复杂度和计算开销较高，在分布式部署时面临可扩展性瓶颈。该论文提出面向分布式和可扩展性的解决方案，可能通过新的协议架构、并行化策略或底层硬件加速来提升效率。由于论文摘要未在输入中提供，无法获取其具体算法设计、安全性证明或实验结果；以下内容基于标题和该领域的通用背景进行概述。该研究对于构建大规模隐私增强数据基础设施具有重要意义，预期可为安全多方计算、机密计算等系统提供更高效的隐私保护原语。

本文针对Web服务中机器人滥用日益严重的问题，分析了现有CAPTCHA机制在对抗机器人时效果有限、给人类用户带来困扰以及可能侵犯用户隐私的缺陷。随着客户端可信执行环境（TEE）技术的普及（如ARM TrustZone和Intel SGX），作者提出利用客户端TEE来替代传统CAPTCHA的设想。论文设计并实现了CACTI（CAPTCHA Avoidance via Client-side TEE Integration）系统。CACTI利用客户端TEE作为信任根，使合法客户端能够生成不可伪造的“速率证明”（rate-proof），该证明可以展示用户执行特定行为的频率，从而向服务器证明其为人类用户而非机器人。用户无需解决CAPTCHA，即可通过提交速率证明完成身份验证。在隐私保护方面，CACTI采用组签名方案，确保客户端向访问网站发送信息时，不会泄露用户身份等敏感数据，仅能证明其属于合法客户端群体。实验评估表明，CACTI生成和验证一个速率证明的总延迟低于0.25秒，相比现有CAPTCHA系统，带宽开销降低了98%以上，显著提升了用户体验和系统效率。论文的贡献在于探索了TEE在反滥用领域的新应用场景，提供了一种更安全、更隐私友好的用户验证机制。

该论文针对基于深度神经网络（DNN）的网络流量分析系统，提出一种在实时场景下通过盲对抗扰动（blind adversarial perturbations）来欺骗此类系统的方法。流量分析系统常部署于网络边缘，通过分析加密流量的模式（如包长度、时序、方向）来识别用户行为、推断应用类型或检测恶意活动。作者指出，现有的对抗攻击多需要白盒访问或离线计算，难以应用于实时流量传输场景。因此，他们提出一种黑盒的盲扰动生成技术，该技术不依赖目标DNN模型的梯度或内部结构，而是通过观测输入输出关系在线构造扰动，并将其注入到实际流量中，使流量分析器产生错误分类，同时尽量保持网络通信的正常功能。论文的主要贡献包括：设计了一种高效的实时扰动生成算法，适用于高速网络环境；在多个流量分析任务（如网站指纹识别、应用分类）上验证了攻击的有效性；分析了扰动对通信性能（如延迟、包大小）的影响。实验结果表明，该方法能以较低扰动开销达到高攻击成功率，揭示了现有DNN流量分析系统在对抗环境下的脆弱性。该研究属于防御视角下的威胁研究，提醒安全社区需考虑流量分类模型的鲁棒性问题。

本文提出了一种实用的盲成员推断攻击方法（Blind Membership Inference Attack），针对机器学习模型的隐私泄露问题。成员推断攻击旨在判断某个具体数据样本是否被用于训练目标模型（如深度神经网络），从而直接威胁用户隐私。现有攻击方法主要分为两类：基于影子模型（shadow model）的攻击和不依赖影子模型的攻击。前者通过训练与目标模型行为相似的影子模型来推断成员关系，其成功率高度依赖影子模型与目标模型之间的可迁移性；后者仅拥有对目标模型的黑盒探测访问权限，但由于缺乏带有真实成员标签的足够样本，其推断未知样本的能力显著弱于基于影子模型的方法。本文的贡献在于提出一种全新的盲攻击框架，通过差分比较（differential comparisons）来有效利用目标模型对多个输入样本的输出差异，从而在无需训练额外影子模型的前提下，在一定程度上弥补传统无影子模型攻击在样本标签不足方面的缺陷。该框架从数学上分析了差分比较信号的可用性，并设计了相应的推断策略。实验结果（基于多个数据集的验证）表明，所提方法在盲设定下能够达到与影子模型攻击相近乃至更优的推理性能，同时显著降低攻击成本。本文适合关注机器学习隐私、对抗性攻击与防御的研究人员、模型部署方以及隐私合规工程师阅读。

该论文研究移动即时通讯软件中普遍使用的联系人发现（Contact Discovery）功能所引发的隐私问题。联系人发现允许用户通过通讯录快速找到同样使用该应用的好友，但其实现方式可能泄露用户的社交关系甚至整个通讯录信息。论文指出，当前主流移动聊天应用中部署的联系人发现方法存在严重的隐私缺陷，攻击者可能利用这些缺陷大规模枚举或推断用户的联系关系，甚至获取未注册用户的隐私数据。研究主要通过分析现有协议和实现，展示这些隐私问题的具体表现形式和影响范围，并可能提出改进的隐私保护方案。由于仅获得摘要，具体技术细节、实验设计和结果未能包含，但该工作对移动应用安全、隐私工程和通信协议设计有重要参考价值，适合移动安全研究人员、即时通讯服务提供商及隐私保护开发者阅读。

本文提出了一种名为 Web-CLI 的新型应用架构，旨在将传统命令行工具、机器学习模型和 GPU 加速推理引擎等强大的计算能力，以零安装、可离线运行的浏览器应用形式交付，同时保持底层能力的完整性。其核心思想是将所有计算过程完全置于客户端执行，通过架构而非策略来提供可验证的隐私保障。作者定义了该模式的四个关键属性：保真度（能力不缩水）、渐进式披露（按需暴露复杂性）、离线优先（不依赖网络）以及零出站数据（数据不离开用户设备）。文章给出了四个跨领域的参考实现：基于 FFmpeg 的视频编辑器 ffmpeg-webCLI、基于 Transformers.js 的语音转录工具 whisper-webCLI、基于 WebLLM 的语言模型推理工具 chat-webCLI，以及用于 3D 打印的多材质文件分割工具 3mf-webCLI。这些实现证明了该模式可适用于确定性媒体处理、神经语音识别、LLM 推理和物理输出等不同场景。作者还观察到第三方工具独立复用的早期迹象，说明该模式具有超出参考实现的泛化能力。实验部分将主要实现与原生 FFmpeg 进行了性能和功能对比，并论证了渐进式披露能降低非技术用户的使用门槛。文章最后主张，对于处理敏感数据（如医疗、法律、新闻或个人数据）的应用，Web-CLI 应成为默认架构，因为数据本地性由此成为一项可独立验证的技术属性，而非政策承诺。

本文提出一种针对光滑 Transformer 前馈网络（FFN）的结构性模型提取攻击方法，揭示了黑盒场景下二阶信息泄露内部参数几何的新通道。作者假设攻击者拥有对 FFN 分支的“选定输入-原始输出”（chosen-input raw-output）访问权限，即可以自由选择输入并获取未经过离散化或扰动的连续输出，但无法访问参数、梯度或内部激活。在此假设下，对于使用 GELU 或 SiLU 等光滑激活函数的 Transformer FFN，攻击者可通过构造特定输入并计算投影输入 Hessian 矩阵，观察到由 FFN 输入权重决定的隐藏对称秩一因子的混合信息。论文将收集到的 Hessian 集合形式化为部分对称分解问题，证明了局部可辨识性和稳定性条件，并利用向量输出模板复用技术将结构化查询成本降低 16 倍。在独立训练的 CIFAR-10 视觉 Transformer 上，仅需 16 个投影 Hessian（对应 8193 次黑盒查询）即可恢复隐藏 FFN 方向，平均绝对余弦对齐度超过 0.94，其中 GELU 和 SiLU 分别有 95.1% 和 91.9% 的方向对齐度超过 0.90。该恢复在多个独立训练的模型、重复提取实验以及所有 Transformer 块中均保持高度一致。进一步地，恢复出的结构可用于功能性提取：保持恢复方向固定，仅拟合剩余 FFN 参数，可获得超过 93% 的 top-1 一致性的高保真替代模型，测试准确率与原始模型仅相差 0.90%（GELU）和 0.62%（SiLU）。实验还表明，输出舍入和高斯噪声在固定攻击配置下能显著降低恢复效果，但攻击者通过自适应调整有限差分步长可将平均对齐度重新提升至 0.9603（GELU）和 0.9398（SiLU）。这项研究展示了从黑盒二阶观测到隐层结构恢复再到功能替换的完整攻击路径，证明光滑 FFN 的曲率特性泄露了仅靠行为模仿无法揭示的内部参数几何，对模型知识产权保护构成实质性威胁。

本文针对央行数字货币（CBDC）银行间结算系统在分布式账本技术（DLT）上运行时所面临的根本性权衡：区块链透明性虽能实现无需信任的验证，却会将商业敏感的双方交易流暴露给所有网络参与者。为化解这一矛盾，作者提出了一种面向许可型以太坊兼容网络的机密银行间结算协议，采用一种宽松的发送方匿名模型，以适配监管机构的反洗钱/反恐融资（AML/CFT）要求。在该模型下，发起机构仍可在链上公开标识以支持问责与合规，而接收机构、转账金额及业务载荷则通过密码学手段隐藏。协议在Hyperledger Besu上基于QBFT共识实现，结合了BN254曲线上的Groth16零知识证明、增量Merkle树中的Poseidon哈希承诺、多接收者ECIES载荷加密，以及一个链上NoteRegistry合约——该合约将加密票据以仅追加账本日志的形式存储，从而免除了对可信链下托管服务器的依赖。协议支持shield、confidential transfer和unshield三种状态转换。实验在五节点网络（三家商业银行、一家央行运营方、一家证券存管机构）中进行，结果表明端到端结算耗时8–16秒，通过EVM预编译实现的证明验证开销约1毫秒（约22万gas），客户端在商用ARM硬件上生成证明需4–12秒。尽管接收方机密性已在协议层面确立，当前概念验证版的NoteRegistry使用了按所有者索引的事件，这一折衷可通过生产环境中的统一事件广播加以解决。该研究主要面向CBDC系统设计者、区块链底层开发者及关注隐私保护的监管科技研究人员。

该论文提出了一种名为 OBI 的新型多路径不透明随机访问机（ORAM），旨在解决动态可搜索加密（DSE）中前向隐私和后向隐私保护下的效率瓶颈。动态可搜索加密允许用户在云端加密数据上进行搜索，而 ORAM 常被用来隐藏访问模式，从而实现前向和后向隐私。论文指出，现有基于 ORAM 的 DSE 方案普遍存在一个“大暂存区驱逐问题”（large-stash eviction problem）：当一次性需要读取或插入大量数据块时，传统单路径 ORAM（如 PATH-ORAM）的驱逐算法效率极低。OBI 的核心思想是在每次查询时访问多条树路径，以并行处理大规模数据块集合。作者将传统树形 ORAM 归类为单路径 ORAM，并针对多路径场景设计了两种高吞吐量的驱逐算法，在暂存区较大时，其效率比 PATH-ORAM 的驱逐算法高出数个数量级。论文从理论上证明了 OBI 在本地暂存区大小和插入效率上优于单路径 ORAM，并进行了安全性分析，表明 OBI 在强前向和后向安全模型下是安全的，能够保护搜索模式、大小模式等已知 DSE 泄漏。此外，OBI 可应用于 oblivious 文件系统和支持连接查询的 DSE 方案。实验基于 Enron 数据集，结果表明 OBI 比现有最先进的基于 ORAM 的 DSE 方案效率更高。该研究主要面向密码学、安全存储和云安全领域的研究者，为高性能隐私保护搜索协议提供了新的设计思路。

本文研究电子投票协议中两个关键安全属性之间的相互作用：收据自由性（receipt-freeness，即选民无法向第三方证明自己如何投票，以防止选票买卖或胁迫）和按意愿投票可验证性（cast-as-intended verifiability，即选民能够验证自己的选票确实按照其意愿被投出）。此前这两种属性通常被分开研究，且收据自由性往往通过程序性手段（如投票亭物理隔离）而非密码学保障。本文首先证明，在非交互式投票场景下，除非存在可信权威，否则不可能同时实现收据自由和按意愿投票可验证性，给出了不可能性结果。然后，作者展示了如果存在可信的选民注册机构，则可以通过扩展标准的收据自由性安全定义到交互式投票和腐败设置，设计出同时满足两个属性的协议。最后，他们基于原型实现讨论了协议的性能。该工作为电子投票系统的设计提供了理论边界和可行方向，对隐私保护和可验证性要求兼顾的投票系统构建具有指导意义。

该论文针对移动操作系统中默认（预装）应用权限控制机制存在的安全与隐私缺陷展开研究。尽管现代移动系统提供了运行时权限控制，但默认应用深度集成于系统、常以较高权限运行，且用户难以审查其行为。现有权限模型通常基于应用会话授予持久或临时访问，不区分具体功能，导致用户无法明确知晓数据被访问的时间与原因。为此，作者提出一种面向用户、上下文感知的权限治理框架，核心是引入基于功能粒度的授权选项“允许时再允许”（Allow When Needed），将权限访问限制在真正需要该数据的特定功能范围内，而非整个应用会话。同时设计了一个加权评分系统，基于权限敏感度和授权类型量化用户选择带来的隐私影响，帮助用户理解决策后果。研究团队构建了基于Web的仿真平台，模拟六类常用默认应用中的30种典型权限请求场景，为原生实现前的早期评估提供可控环境。评估分为两部分：一是对104名受访者的横断面调查，考察其权限认知与行为；二是邀请8名参与者进行形成性可用性测试。调查结果显示，用户普遍不会主动检查默认应用权限，且倾向于在授权前获得上下文解释；测试结果初步证明上下文感知的权限治理能提升用户理解和决策清晰度。该仿真研究为在原生移动部署前评估功能级授权与隐私反馈机制迈出了第一步，适合移动安全、隐私保护及人机交互领域的研究者与产品设计人员阅读。

本文是一项针对扩展现实（XR）应用开发者的安全与隐私威胁认知研究，属于人因安全与隐私领域。XR 的沉浸式特性带来了传统范式难以缓解的全新安全与隐私挑战，例如丰富的传感器数据采集、用户生成内容接口等。开发者作为 XR 应用的主要构建者，其威胁认知与应对能力对缓解这些风险至关重要，然而目前缺乏从开发者视角出发的、威胁感知式的深入研究。为填补这一空白，作者对 23 名专业 XR 开发者进行了半结构化访谈，聚焦 XR 中的新兴威胁，回答两个研究问题：其一，开发者如何感知 XR 中的安全与隐私威胁；其二，开发过程中的哪些决策会放大威胁，以及现有的缓解方法、战略、技术和沟通支持存在哪些不足。主要发现包括：(1) XR 开发决策（如富传感器数据收集、用户生成内容接口）与安全隐私威胁紧密相关并可能放大威胁，但开发者往往意识不到这些风险，导致威胁感知存在认知偏差；(2) 现有缓解方法的局限性，加上战略、技术和沟通支持的不足，削弱了开发者有效应对威胁的动力、意识和能力。基于发现，作者提出了可操作且面向利益相关者的建议，以在整个 XR 开发流程中改进安全与隐私。本文是首次在 XR 领域开展的威胁感知、以开发者为中心的研究，其贡献在于系统性识别了开发者认知缺口和结构性障碍，并为后续工具、框架和培训设计提供了实证基础。适合 XR 平台开发者、安全工程师、隐私设计者以及研究人因安全的人员阅读。

该研究聚焦于在线平台内置隐私功能在实现匿名性方面的可用性问题，以经期与生育追踪（PFT）应用为研究场景。由于生殖健康数据具有高度敏感性，用户面临数据监控与隐私泄露的风险，对匿名保护功能（APFs）的需求尤为迫切。研究招募了32名参与者，对六款PFT应用进行了可用性测试，考察用户在使用匿名保护功能时的实际体验与感知。结果显示，这些功能的可用性显著影响用户对隐私安全的整体感知。主要可用性挑战包括：匿名保护功能缺乏透明度，用户难以理解其存在与工作原理；避免泄露个人身份信息（PII）的操作流程不直观，容易导致误操作。基于这些问题，作者提出了提升在线平台匿名功能可访问性与可用性的设计建议，旨在帮助非技术用户更有效地管理隐私。该研究将可用性测试方法引入生殖健康隐私场景，为隐私设计与人机交互领域提供了实证依据。适合隐私保护设计者、PFT应用开发者、信息安全与可用性交叉领域的研究人员阅读。

该论文系统性地研究了基于神经架构搜索（NAS）搜索得到的网络架构在隐私攻击下的鲁棒性问题。以往研究主要关注 NAS 如何高效地搜索出性能更优的架构，但忽略了这些自动生成的架构在隐私保护方面的表现；与此同时，已有大量工作表明人工设计的架构容易受到成员推理等隐私攻击。本文首次填补了这一空白，对 NAS 架构的隐私风险进行了大规模度量。作者基于度量结果，进一步分析了基于 cell 的 NAS 架构中 cell 模式（cell patterns）与隐私风险之间的关联，探究了不同 cell 结构对成员推理攻击等隐私威胁的影响。通过广泛实验，论文揭示了如何设计对隐私攻击具有鲁棒性的 NAS 架构，并提出了一种通用方法论，用于理解 NAS 搜索得到的架构与其他隐私风险之间的隐藏相关性。该研究为 NAS 社区和隐私安全社区提供了交叉视角，有助于推动隐私感知的自动化架构搜索，并为评估 NAS 架构的安全属性提供了新思路。适合对自动化机器学习安全、隐私攻击与防御感兴趣的研究人员阅读。

该条目对应 WPES '22（第21届电子社会隐私研讨会），这是与ACM CCS（计算机与通信安全会议）同步举行的国际学术研讨会，聚焦于现代电子社会中的隐私保护问题。本届研讨会的程序委员会共同主席为Yuan Hong（伊利诺伊理工大学）和Lingyu Wang（康科迪亚大学）。研讨会旨在汇聚安全、隐私、法律与社会科学领域的学者，讨论日益数字化社会中的隐私挑战。根据研讨会历年主题，内容通常涵盖：匿名通信、差分隐私、数据挖掘中的隐私、位置隐私、社交网络隐私、物联网隐私、隐私政策与合规、隐私增强技术、去中心化身份、医疗数据隐私、机器学习中的隐私（如联邦学习、成员推理攻击）、隐私计量与用户行为研究等。由于仅提供标题与作者信息，缺乏具体论文摘要，无法详细描述每项研究的技术细节或实验结论。但作为顶级的隐私领域学术活动，WPES '22 代表了该年度隐私研究的前沿方向，适合隐私保护研究人员、数据合规人员、安全架构师以及关注隐私法规（如GDPR、CCPA）的技术决策者阅读，以了解隐私攻击与防御的最新进展。

本文提出了一种实用的私有密集检索方案，用于托管式检索增强生成（RAG）和语义搜索场景。研究背景是：用户希望查询提供方持有的有价值的语料库，但存在两个相互矛盾的需求：一方面需要隐藏用户的查询和最终选择的结果，另一方面又只能向用户展示其被授权访问的文档。现有的密码学方法要么需要对整个语料库进行全量加密处理，导致每次查询成本高昂；要么通过扫描少量聚类牺牲检索质量来换取效率。本文的核心创新是将学习式深度哈希用作隐私过滤器：通过一个随机化的二进制代码将提供方指向一个较短的候选列表，然后使用加密重排序和遗忘密钥传输来保护精确查询和最终选择。这种方法避免了全语料库密码学搜索的开销，同时不牺牲检索质量：仅需200-500个候选文档，就能在五个零样本语料库（规模从2.5万到540万篇文档）上紧密匹配全语料库检索的性能。在包含268万段落的NQ语料库上，通过10Gbps链路，该协议仅为128-token的Qwen3-32B RAG流水线增加了0.73秒的额外开销，即约10%的延迟增幅。作者发布的相关代码满足方向性度量差分隐私（DP），并显著降低了嵌入反演和属性推断泄露。实验证明，经过精心学习的候选列表可以使私有密集检索既准确又实用。该研究适合关注隐私保护、检索增强生成、信息检索和安全领域的学者与工程师阅读。

本文系统评估了由大语言模型增强的图神经网络（LLM-enhanced GNNs）在隐私安全方面的风险。近年来，LLM 通过丰富节点表示的语义信息显著提升了 GNN 的性能，但这类模型面对隐私攻击时的脆弱性尚未被充分研究。为此，作者提出了一个包含五个阶段的统一评估框架：数据集准备、受害模型训练、隐私攻击、风险评估和防御分析。实验基于六个真实世界的文本属性图数据集，覆盖不同领域；针对链接推断、标签推断和成员推断三类基本威胁，采用了六种代表性隐私攻击方法，并通过组合多种基于 LLM 的特征增强器与典型 GNN 骨干网络，构建了 42 种受害模型配置。大量实验表明，尽管 LLM 增强带来了效用提升，但与浅层文本表示基线相比，LLM 增强的 GNN 始终表现出更高的隐私攻击脆弱性。进一步分析发现，语义增强在嵌入空间中放大了与链接、标签和成员相关的信号，使其更容易被推断攻击利用。最后，作者评估了差分隐私作为防御策略的效果，结果显示差分隐私虽能部分缓解隐私风险，但会带来显著的效用下降，凸显了 LLM 增强图学习中隐私与效用之间的根本权衡。总体而言，该工作为理解 LLM 增强 GNN 的隐私风险提供了全面视角，并为开发更安全可信的图学习系统提供了实用见解。

该论文针对欧盟《通用数据保护条例》(GDPR) 实施后域名注册隐私保护的变化展开大规模测量研究。传统上，WHOIS 协议被广泛用于查询域名注册人信息，是安全运营、威胁情报、执法调查等场景的重要数据源。然而 GDPR 对个人数据保护提出了严格要求，迫使注册商和注册局对公开的 WHOIS 记录进行脱敏或限制访问，导致注册人信息（如姓名、邮箱、电话、地址）大量被隐藏。论文提出了“WHOWAS”这一概念，意指一种能够记录和追溯历史 WHOIS 数据的新机制，以缓解当前隐私政策对安全调查造成的信息断层。研究基于大规模实际域名数据，系统测量了 GDPR 生效前后 WHOIS 字段的可用性变化，分析了不同注册商、不同顶级域（如 .com、.eu 等）之间的差异，并量化了对安全生态（如恶意域名追踪、网络犯罪溯源）的具体影响。作者还探讨了当前隐私保护政策在合规性、透明性、可用性方面的平衡问题，并提出了改进建议。该工作为理解 GDPR 对网络空间安全基础设施的长期效应提供了实证基础，也为设计兼顾隐私与安全的域名数据服务提供了参考。

该论文提出 zkLogin，一种面向区块链系统的隐私保护认证方案，允许用户使用现有的 Web2 身份凭据（如 Google、Facebook 等 OAuth 账号）登录区块链应用，而无需管理私钥或助记词。核心思想是利用零知识证明（ZKP）将传统身份提供方（IdP）颁发的签名令牌转换为与区块链账户绑定的临时密钥对，从而在链上完成签名操作时不会泄露用户的真实身份或 IdP 凭据。具体地，zkLogin 让用户向 IdP 获取一个短期有效的签名消息，该消息包含用户的随机主种子（main seed）的承诺；用户通过零知识证明向区块链验证器证明自己拥有与该承诺对应的种子，并在交易中使用由种子派生出的临时密钥对签名。区块链节点仅需要验证 ZKP 和来自 IdP 的签名，而无需重新信任 IdP 或获取用户的长期秘密。论文还详细描述了协议的安全模型、性能开销（包括证明生成与验证成本），并与现有方案（如社交恢复、多方计算钱包）进行了对比。实验表明，在移动设备上生成证明的时间在可接受的秒级范围，链上验证成本远低于传统基于椭圆曲线多签的方案。该工作为解决区块链钱包的易用性与隐私性矛盾提供了新思路，适合区块链基础设施开发者、钱包提供商以及关注身份认证隐私的研究人员阅读。

本文（ToolMinimize）针对LLM智能体在工具调用中过度暴露隐私敏感数据（PSD）的问题开展研究。作者通过在GPT-4o、Claude 3.5 Sonnet和Llama-3.3-70B三个生产级大语言模型上的受控测量发现，在默认提示词下，81%至88%的工具调用参数包含工具运行所不必要的数据；即便添加显式隐私指令，仍有36%至76%的调用存在过度共享。现有防御手段（如允许/阻断的调用门控、信息流控制标签）无法重写参数值，而传统PII检测工具难以识别隐式PSD（例如“Memorial Sloan Kettering”作为医院名称可隐含疾病诊断）。为此，作者提出ToolMinimize中间件：它拦截工具调用，通过结合模式感知的必要性分析，对参数执行四种操作——删除、泛化、替换和截断——将参数重写为维持工具功能所需的最小数据。在307个实际工具调用上的验证表明，该方法在参数级任务有效性达到100%的前提下（TOST等价检验p<0.001，Delta=1.0），将隐私成本降低81.2%至92.0%。在25个未标注的MCP（Model Context Protocol）模式上，即使没有minimum_necessary元数据，也能降低79.0%。文章还提出可选的内容必要性层，利用LLM从本为必要的自由文本字段中剥离与任务无关的PSD，使实际LLM的降幅提升至85.1%-95.6%，作者自定义模式的降幅从71.1%提升至90.9%。系统中间延迟为1.77毫秒。该研究兼具工程实用性与学术贡献，适合LLM应用开发者、隐私工程师和AI安全研究员阅读。

实例编码（Instance Encoding）作为一种常用的隐私增强技术，在将数据共享给不受信任的服务器时，通过对敏感数据进行变换，希望既能保留下游任务所需的效用，又能使攻击者难以重建原始数据。尽管该技术在实践中被广泛采用，但大多数研究工作并未对编码过程是否真正不可逆提供理论保证。此前一项工作提出了均方误差（MSE）界限，用以限制任何攻击者的重建精度，这是该领域最早的理论结果之一。然而，该界限存在三个关键局限：一是界限通常过于宽松，无法提供有意义的安全保证；二是它仅适用于随机编码器，而实践中许多编码器是确定性的，因此该界限无法覆盖它们；三是它只能衡量MSE这一种重建误差，无法适应其他相似性度量。为了克服这些不足，本文提出了一族新的界限，其核心思想是分析编码器的频谱结构，从而更精确地刻画编码变换对输入信息的保留程度。新界限具有三项显著优势：(1) 界限更紧，能给出更强的不可逆性保证；(2) 适用于包括完全确定性编码器在内的更广泛编码器；(3) 可以扩展到MSE之外的基于范数的相似性指标。作者通过一系列编码器、数据集和攻击场景的实验验证，证明这些界限始终成立，并且一致优于已有的MSE界限。该工作为实例编码的隐私属性提供了更完善的理论基础，有助于指导安全的数据共享和模型部署决策。

该论文针对DeFi中基于屏蔽UTXO（未花费交易输出）的隐私协议提出了一套统一分析框架。此类协议允许资产在屏蔽池内持续流转，仅在提现或与公开DeFi交互时公开，因此与传统混币器不同，其匿名性并非简单的池规模问题，而是跨note/UTXO、证明和交易三层传播的溯源问题。目前缺乏适用于该场景的统一分析模型。作者提出分层系统模型与分析管道：以历史交易数据为时间基线，对每个证明的承诺集进行累积剪枝和跨证明传播，再递归遍历历史隐藏状态转换，从而推导出最终交易级的匿名集大小。方法在四个Railgun生产部署及六个EVM链上的五个Hinkal池的完整链上历史中验证，共分析186,356笔提现花费交易。仅使用公开协议痕迹和约束，非启发式分析结果显示，相对于各部署的时间基线，平均匿名集大小缩减40.1%至59.0%；其中3,679笔交易的匿名集不超过10个地址，包含1,228个单例。公共代币约束在两个协议中均为最强且最稳定的剪枝来源，而树号、证明根及金额约束的影响因协议设计和历史状态而异。结合典型实例，这些结果揭示了可解释的匿名性损失模式，对用户行为及未来协议设计具有启示意义。该研究为评估屏蔽UTXO协议的真实隐私性提供了系统方法，有助于审计和风险分析。

DIME 是一篇针对扩散模型成员推理攻击的研究论文。成员推理攻击旨在判断某个数据样本是否被包含在模型训练集中，这类攻击对数据隐私构成直接威胁。已有的扩散模型成员推理攻击大多依赖启发式策略，且需要较大的查询预算，实用性受限。DIME 从理论层面出发，提出了‘去噪器理想成员误差’（Denoiser Ideal Membership Error）框架，首先对有限训练集上的最优扩散去噪器进行了精确刻画，并由此揭示成员泄漏的核心机制来源于去噪器的隐式重构误差。该误差进一步被分解为两个互补信号：偏差项，用于捕捉重构精度；局部拥挤项，用于捕捉训练样本在特征空间中的几何邻近关系。这两项都能够仅通过模型查询进行高效估计，使得 DIME 在极低的查询成本下（最少仅需两次模型查询）即可实现有效的成员推理。作者在 CIFAR-10/100、STL10-U、CelebA 和 ImageNet 等多个图像数据集上开展了实验验证，结果显示 DIME 在 1% 假阳性率（FPR）条件下的真正率（TPR）相比现有攻击方法最高可提升 3 倍；尤其值得注意的是，其两查询变体能够超越需要 30 次查询的既有基线方法。此外，论文还提出了若干针对此类强成员推理攻击的防御思路并进行了评估。这篇文章的主要贡献在于给出了成员泄漏的严格理论解释，显著降低了攻击所需查询成本，并为扩散模型的隐私风险评估提供了新工具。适合关注生成模型隐私保护和安全评估的研究人员、AI 安全工程师以及负责数据合规的蓝队人员阅读。

本文提出了一种名为 zkCross 的新型跨链隐私保护审计架构。随着区块链生态中跨链交互日益频繁，跨链交易的安全性和隐私性成为关键挑战：一方面需要确保跨链数据的完整性和审计可追溯性，另一方面又要保护交易双方的隐私，避免敏感信息泄露。现有跨链方案通常依赖中心化公证人或中继链，难以在去中心化环境下同时满足隐私保护与可审计性。zkCross 结合零知识证明（zk-SNARKs）与跨链通信协议，设计了一种可在不暴露交易细节的前提下验证跨链状态转换正确性的方案。其核心思想是让源链上的交易生成简洁的零知识证明，目标链或审计方仅通过验证该证明即可确信跨链操作符合既定规则，而无需获取原始交易数据。文章还讨论了该架构在跨链资产转移、多链身份认证、合规审计等场景下的适用性，并分析了其安全性、隐私性与性能开销。适合对跨链安全、隐私保护计算、零知识证明应用感兴趣的区块链安全研究者、协议设计者及审计机构人员阅读。

本文研究多方隐私集合交集（Multiparty Private Set Intersection）在恶意敌手模型下的安全协议设计问题。隐私集合交集允许多方在不泄露各自集合内容的前提下计算交集，是安全多方计算中的基础问题，广泛应用于社交网络好友匹配、基因数据共享、威胁情报共享等场景。现有协议在恶意敌手下通常需要高开销的零知识证明或公钥密码学操作，效率较低。本文首先指出，在可假设被腐化方之间不共谋的条件下，存在仅使用对称密钥原语的极其高效的协议，这大幅降低了计算和通信开销。随后，作者提出了一个更健壮的协议，能抵抗任意严格子集被腐化且无需共谋假设的安全性要求。该协议基于最近提出的两种原语：不可编程模糊PRF（Oblivious Programmable PRF, OPPRF）和不可编程键值存储（Oblivious Key-Value Store, OKVS）。通过这两种原语，协议能够在恶意敌手存在时保持输入隐私和输出正确性，同时避免了传统公钥密码的高昂成本。文中详细描述了协议构造，并给出了安全性证明。虽然本文是理论性研究，但其结果对需要安全多方计算的真实系统具有潜在的工程意义，尤其是对效率敏感的应用场景。读者可以从中获得关于如何利用 OPPRF 和 OKVS 构建高效恶意安全协议的设计思路。注意：本摘要仅基于论文摘要生成，未阅读全文，因此细节可能有省略。

金融欺诈检测系统通常依赖集中式机器学习模型，这带来严重的数据隐私风险。联邦学习（FL）通过将数据处理分散到各参与方来缓解这一问题，但金融监管仍要求模型具备可解释性，因此常使用TreeSHAP等可解释人工智能（XAI）工具。然而，近期网络安全研究表明，共享高保真度的SHAP解释会使联邦网络面临成员推断攻击（MIA）的威胁。本论文提出并评估了一种名为DP-FedSHAP的新型架构，该架构仅对后置的TreeSHAP向量施加客户端级别的差分隐私，并与直接扰动训练模型的权重级DP基线进行对比。研究使用高度不平衡的IEEE-CIS欺诈检测数据集，衡量了解释保真度、隐私保护水平与模型AUPRC（精确率-召回率曲线下面积）之间的权衡。论文的核心贡献在于：识别了联邦学习与可解释性结合时新出现的隐私泄漏通道，并针对该通道提出了一种轻量级、模块化的隐私保护方案，在保持模型性能和解释可用性的同时降低成员推断风险。适合关注金融风控、联邦学习、隐私保护机器学习及对抗性机器学习交叉领域的研究人员和工程师阅读。

该论文研究在去中心化环境中实现私密投标的问题。传统私密投标要求参与者在投标窗口期内提交密封报价，确保内容对其他投标人隐藏，以保证公平竞争。区块链虽然提供去中心化和公开可验证性，但在没有可信第三方（TTP）的情况下，现有方法难以验证投标者是否具备投标资格。为此，论文提出一个基于自主身份（Self-Sovereign Identity, SSI）的框架，利用可验证凭证（Verifiable Credentials, VC）和零知识证明（Zero-Knowledge Proofs, ZKP）来证明投标者的资格与投标真实性，同时保持投标内容保密。该框架结合SSI的认证能力和ZKP的隐私保护特性，使投标者能够在不泄露敏感信息的前提下证明自己满足投标条件。论文的主要贡献是设计了一个无需TTP的私密投标协议框架，解决了资格验证与隐私保护之间的矛盾，有望应用于政府采购、拍卖、供应链竞标等场景。适合对去中心化身份、隐私计算、区块链应用安全感兴趣的研究人员和工程师阅读。

本文提出 Ramen，一种针对内存访问模型（RAM）程序的三方安全计算协议。安全多方计算（MPC）允许多个参与方在保护各自私有输入的前提下联合计算某个函数。传统的电路模型在处理循环和数组访问时效率低下，而 RAM 模型更贴近真实程序结构，因此安全 RAM 计算是提升 MPC 实用性的重要方向。Ramen 协议在三方场景下，最多容忍一个被动腐化（即诚实但不好奇的安全模型），实现了对 RAM 程序的高效安全求值。该协议在渐近复杂度上具有合理保证，同时在实际性能上也表现出色。作者实现了完整系统，并针对多种参数设置提供了详尽的基准测试，表明 Ramen 在通信和计算开销方面均具有竞争力，为后续在安全多方计算中高效执行 RAM 程序提供了新方案。本文适合对隐私计算、安全多方计算协议设计与优化感兴趣的的研究者、开发人员和网络安全专家阅读。

本论文研究移动即时通讯应用中消息投递状态通知（delivery status notifications）所引发的用户位置隐私泄露问题。WhatsApp等广泛使用的即时通讯应用，通过投递状态通知（如勾号标记）告知发件人消息是否成功送达，该功能在异步通讯中具有实用价值。然而，作者发现这一标准功能构成了一个时序侧信道（timing side channel），攻击者能够通过观察投递通知的到达时间，推断接收者的地理位置，造成意想不到的隐私泄露。作者在概念层面分析了这一威胁模型，并对三款广泛使用的即时通讯应用进行了实验验证，包括注重隐私保护的Signal和Threema，证实这种信息泄漏在这些所谓“隐私友好”的应用中同样存在，从而打破了用户对这类工具的信任。论文的核心贡献包括：（1）系统性地揭示了投递状态通知作为侧信道的风险；（2）在主流应用上通过实验量化了位置推断的可行性与精确度；（3）讨论了潜在的缓解措施，但并未提供具体实现。该研究为即时通讯服务提供商和用户敲响警钟，表明看似无害的状态通知功能也可能成为位置隐私的泄露源头，对安全与隐私社区具有重要的参考价值。适合阅读的人群包括即时通讯应用开发者、隐私安全研究者，以及任何关心位置隐私的终端用户。

网站指纹识别（WF）攻击使窃听者能够分析加密网络流量的元数据（如数据包大小、方向和时间间隔），从而推断用户访问的网站。现有WF攻击在Tor流量中已表现出很高的攻击成功率，但它们主要针对单标签会话——即用户一次只浏览一个网站。在实际场景中，用户通常同时打开多个标签页，这会混合多个网站的流量，破坏单个网站的整体流量模式，使得传统WF攻击失效。同时，攻击者也无法预先知道标签数量，这进一步增加了难度。针对这一局限，本文提出ARES框架，这是首个面向多标签WF攻击的端到端解决方案。ARES将多标签攻击形式化为多标签分类问题，利用多分类器结构，每个分类器负责识别一个特定网站。与基于全局模式的方法不同，ARES的每个分类器基于一种新颖的Transformer架构，从多个不连续的流量段中提取局部特征，从而摆脱了对完整会话模式的依赖。作者基于真实网络环境构建了包含多个网站和多场景的大规模数据集，涵盖数月的采集时间，是迄今学术论文中最大的多标签WF数据集。实验表明，ARES在多标签场景下达到0.907的最佳F1分数，同时面对多种WF防御（如流量整形、填充）仍保持较高的鲁棒性。该研究对Tor等匿名网络的用户隐私构成重大威胁，也提醒防御方需要开发针对多标签场景的防御机制。

本文提出了一种基于对比学习的成员推断攻击方法 CLMIA。成员推断攻击旨在判断某个数据样本是否被用于训练目标机器学习模型，其原理是模型在有限数据集上多次训练后容易记忆训练样本。然而，现实场景中攻击者难以获得足够多带有准确成员身份标签的样本，且大部分样本实际上是非成员，导致传统攻击方法效果受限。为解决该问题，作者利用无监督对比学习训练攻击模型，仅需少量已知成员状态的样本对攻击模型进行微调即可实现有效攻击。实验采用 ROC 曲线评估，结果表明 CLMIA 在低误报率（FPR）下具有更高的真正例率（TPR），优于其他已有方案。该方法揭示了机器学习模型在数据记忆方面的隐私风险，对模型训练和部署中的隐私保护提出了新的挑战。适合关注模型隐私安全的研究人员和防御者阅读。

该论文围绕职场监控（Workplace Surveillance）与内部威胁（Insider Threat, InT）风险管理展开。作者指出，职场监控是组织保护企业资产和监测员工生产力的常见手段，但过度监控可能违反法律要求和数据隐私原则。论文的核心观点有二：一是监控虽有合法组织目的，但过度监控会带来法律与隐私风险；二是职场监控的一个主要安全目标是检测内部威胁。内部威胁指拥有授权资源访问权限的个人，其有意或无意的行为可能损害或危及企业资产。为理解内部威胁的检测标准，论文调查了InT人员画像（persona），重点分析行为和心理学特征。此外，论文综述了现有的员工监控工具与技术，刻画了职场监控的整体格局，并讨论了工作场所隐私法律、过度监控的实例及其造成的隐私伤害。通过文献回顾，作者识别出与过度监控相关的研究空白，例如产生过多警报反而可能掩盖真正有意义的内部威胁指标。最后，论文提出若干建议：提升职场监控的透明度、实施内部威胁培训项目以增强组织检测能力、调整内部威胁工具以检测相关的心理和行为指标。该研究属于综述与分析性质，适合企业安全管理者、隐私法律合规人员、内部威胁检测工具开发者阅读，以平衡监控效率与员工隐私。

该论文关注医疗AI中多模态数据（图像+文本）的去标识化（de-identification）问题。随着医疗视觉语言模型的发展，图像中可能包含可见的受保护健康信息（PHI），如患者姓名、病历号等，而文本侧也可能泄露隐私。现有方法往往将去标识化与下游任务性能分开评估，缺乏端到端的隐私保护框架。作者提出ClinX，一个面向医疗图像-文本数据的多模态PHI清洗框架。ClinX首先使用光学字符识别（OCR）检测图像中的可见标识符，构建二进制PHI掩码，然后应用ClinX-PRISM模块——一种无跳跃连接（no-skip）的生成式修复模块，结合面向隐私的后处理来抑制烧录的标识符。同时，文本侧通过渐进式去标识化层级减少PHI泄露：包括正则表达式掩码、上下文感知掩码和重写式清洗。作者在医学视觉问答（MedVQA）任务上评估ClinX，联合测量图像侧、文本侧及组合去标识化设置下的PHI泄露和下游效用。实验结果表明，仅使用OCR掩码不足以作为独立解决方案，而基于生成式修复的清洗方法能更好地保留临床相关视觉上下文，同时大幅降低可恢复的PHI。该研究为医疗AI隐私保护提供了新的端到端思路，适合医疗AI开发者、隐私保护研究者和多模态安全从业者阅读。

本文提出了一种在单个GPU上对十亿级向量数据库执行全同态加密（FHE）最近邻搜索的系统，核心目标是让服务器在无法看到明文查询的情况下完成相似度评分，并返回仅客户端可解的加密结果。为了解决全库加密评分在十亿规模下速度过慢的问题，作者结合了两种技术：一是秩缩减，即通过降维减小每个向量的维度；二是层次化路由，即先粗粒度筛选出少量候选集，再在候选集内精细匹配，整个流程均在加密状态下进行。实验在三个不同规模的语料库上展开：包含约22万个人脸质心（512维）的语料库、包含13.9亿个512维CLIP向量的DataComp-1B，以及包含10亿个96维向量的Deep1B。在DataComp-1B上，系统在GPU上实现了单次加密查询约6秒的延迟，recall@10达到0.90（若近重复图片也计为正确则可达0.95）；轻量配置下延迟约1.8秒，recall@10为0.78/0.83。在Deep1B上，全级别FHE下recall@10为0.90（在2000次查询中测得0.9045，与明文路由的0.906基本一致），每次查询热延迟2.3秒。以上延迟均为服务器端可部署的“热”延迟，不包含客户端解密和网络传输。作者详细描述了可复现的客户端-服务器协议，并报告了各配置下的精度与延迟。此外，论文量化了该加速方案带来的隐私代价：层次化路由的访问模式会泄露数据库的几何结构，仅凭访问模式即可恢复72%的粗粒度单元邻居图；为此作者提出种子（固定组）填充方法，可将泄漏降至约2%，而朴素填充会被重复查询攻击轻易攻破。

本文是一篇关于生成式人工智能（GenAI）工具（如ChatGPT）在工作场景中隐私感知的实证研究。随着ChatGPT等工具在教育培训、医疗健康、IT等众多领域被越来越多地用于工作流程，其在提升效率的同时也引发了显著的隐私担忧。现有研究多关注技术本身，而对使用者隐私感知与实际使用行为之间的关系探讨不足，尤其缺乏对组织政策这一调节变量的分析。作者针对不同就业部门的224名在职人员展开用户研究，这些人员的日常工作已整合了ChatGPT。研究通过问卷调查测量了四个关键变量：ChatGPT的使用熟练度（proficiency）、一般隐私关注度（privacy concerns）、组织对GenAI的正式政策（organizational policies）以及实际使用频率和场景多样性。研究发现：（1）组织政策的存在与隐私相关的ChatGPT熟练度呈显著正相关，但总体熟练度水平偏低；（2）较高的隐私关注度会显著降低ChatGPT的使用频率和应用多样性，尤其是在没有GenAI政策的组织中的用户身上；（3）组织政策与个体隐私关注之间存在交互效应，表明制度保障对缓解隐私担忧至关重要。文章从人机交互（cs.HC）和网络社会（cs.CY）视角出发，研究方法上采用了定量统计分析。核心贡献在于揭示了组织层面的政策在调节个体隐私风险感知与实际GenAI工具采用之间的重要作用，并指出了当前用户隐私保护能力的不足。适合隐私政策制定者、企业管理者、安全与合规团队以及从事GenAI人机交互研究的学者阅读。需要注意的是，本文为预印本（arXiv），未经同行评审，且仅基于被试自报数据，存在一定的局限性。

本文研究在隐私保护统计发布中使用单侧（仅正向）有界噪声的最优效用与隐私权衡问题。与传统依赖对称或双侧扰动的隐私机制不同，实际系统（如匿名通信、侧信道防御）常因硬件容量、通信协议或数据管理限制，只能施加正向且幅度有限的时间延迟、假消息或假数据，而无法进行反向修改。作者在差分隐私（DP）、最大泄露（MaxL）和近似正确（PAC）隐私三种语义框架下，系统建立了正噪声机制的理论基础，并在二阶矩预算和最大幅度约束下，刻画或逼近最优的单侧噪声分布。基于该理论，论文开发了高效求解相应优化问题的算法工具。实验表明，现有技术（如截断的偏置拉普拉斯噪声）通常非最优，会导致过度的性能损失；以匿名通信系统为例，在25万消息预算下，优化后的DP噪声机制相比传统方法可减少21倍的假消息数量，并将假消息延迟开销降低18倍。该工作为受基础设施限制的隐私保护扰动提供了理论指导和实用优化方案。适合隐私计算、匿名通信、侧信道防护及统计发布领域的研究人员和工程师阅读。

该论文针对美国银行在隐私政策和隐私控制方面存在的多层、重叠且不一致的问题，进行了大规模实证分析。研究团队系统性地收集了美国主要银行的公开隐私政策、隐私中心页面以及与用户隐私相关的设置界面，并开发了一套自动化与人工相结合的分析方法，用于识别不同渠道之间隐私条款和实际控制选项的差异。核心发现是：银行往往同时通过法律政策文本、简化解释和操作控制三种形式呈现隐私信息，但三者之间存在显著的不一致性——例如政策中声称的某些数据共享目的并未体现在用户可见的控制选项里，或者不同页面上的描述相互矛盾；同时，由于多个页面和入口相互嵌套，用户难以建立完整的隐私认知。论文进一步量化了这种不一致性的普遍程度，并分析了可能导致该现象的机构因素，如合规流程与技术实现脱节。该研究为金融领域隐私合规的透明度和可用性评估提供了数据支撑，也揭示了现行监管框架下用户隐私知情权可能被形式化满足的隐患。对于安全与合规从业者而言，本文的价值在于提供了一套审计隐私信息一致性的方法论，并提醒银行在发布多入口的隐私材料时需建立统一的治理机制。

本文针对当前大型语言模型（LLM）安全评测中存在的维度割裂问题展开研究。作者指出，现有评测框架通常独立评估安全性、安全性和隐私性，无法捕捉跨维度的失效模式。例如，一个模型可能在安全对齐指标上达到99.3%，却拒绝三分之一的良性查询；或者在所有能力指标上提升的同时隐私得分下降21分。为此，论文提出了aiXamine——一个统一的黑盒评测平台，将LLM的可信度视为安全性、安全性和隐私三个相互依赖的属性进行联合评估。aiXamine通过自动化红队流水线，编排了覆盖9个服务的46项测试，生成从提示级诊断到跨服务权衡分析的分层风险画像，能够在相同条件下对专有模型和开源模型进行可复现的比较。作者对超过120个LLM进行了总计超过5000次测试运行，开展了迄今最大规模的联合安全、安全与隐私研究，并揭示了三个在单一轴评测中不可见的跨维度现象：第一，安全强制存在‘安全税’，更强的对齐会系统性加剧过度拒绝，迫使提供商在保护与效用之间权衡；第二，隐私与其他可信度维度近似正交，标准对齐无法覆盖；第三，作者正式刻画了‘蒸馏诱导的鲁棒性崩溃’：没有在策略校正的离策略蒸馏会导致熵崩溃，在相同基础架构上将鲁棒性从56.9灾难性地降至2.6。这些发现，加上规模收益递减和依赖类别的安全行为，表明可信度本质上是多维度的：一个轴上的进步并不保证其他轴上的进步，甚至可能主动削弱其他轴，而当前的对齐方法却将其作为单一目标处理。该研究为LLM评测领域提供了新视角和实用工具，适合LLM安全研究者、红队工程师和部署决策者阅读。

本论文针对 Tor 网站指纹识别（WF）攻击提出一种鲁棒防御方法 Chameleon。WF 攻击利用加密流量的侧信道特征推断用户访问的网页，现有防御大多会留下可学习的流量映射模式。作者发现，现有防御对对抗训练鲁棒，但对基于防御感知自编码器（DAAE）的攻击并不鲁棒。为此，Chameleon 采用多对多随机流量变形：先选择类内差异大、类间差异小的变形候选；对每个网页流量随机映射到多个候选目标，并允许不同网页共享变形目标，从而增大攻击者的不确定性。面向实际 Tor 部署，Chameleon 引入基于基数树（radix-trie）的同步机制，允许可插拔传输（PT）端点通过数据包方向前缀识别一致的变形轨迹，并结合轨迹变异与归一化前缀匹配降低开销。作者在三个公开数据集上，针对六种 SOTA 防御和五种 WF 攻击进行封闭式与开放式评估。结果显示：相比 Adaptive Tamaraw，Chameleon 可将基于对抗训练的攻防准确率降低最多 36.74%，同时带宽开销降低 34.12%，时间开销降低 60.38%；在 GTT23 数据集上针对基于 DAAE 的随机森林攻击，Chameleon 将攻击 F1 限制在 35.19%，而 Adaptive Tamaraw 仅能限制到 88.22% 的 F1。在实际 PT 桥接评估中，Chameleon 在仅增加 16.25% 时间开销的情况下显著削弱强 WF 攻击的效果。该研究适合关注匿名通信安全、流量分析防御以及对抗机器学习的研究人员阅读，其核心贡献在于提出一种可实际部署的流量变形方案，同时兼顾鲁棒性与开销。

该论文对可用性安全与隐私（usable security & privacy）领域的复制性研究（replication studies）现状进行了系统性的元研究。由于该领域尚属年轻且快速扩展，其研究标准和实践（尤其是复制研究）仍在发展中。作者采用混合方法：首先审视了13个涵盖安全、隐私和人机交互领域的会议或期刊的征稿启事（Call for Papers），分析其中对复制研究的指引；其次，系统检索了2016至2025年间在这些场所发表的、报告复制用户研究的论文，共找到24篇相关出版物；接着，利用Olszewski等人（2025）提出的复制研究分类法对这24篇论文进行分类；最后，向这些论文的作者发放问卷，以了解其开展复制研究的动机。分析揭示了四个关键发现：（A）征稿启事需要为作者和审稿人提供更清晰的复制研究指南；（B）在阅读复制论文时，很难确定相对于原始研究具体做了哪些修改；（C）严格的精确复制在样本中不存在，约三分之二的研究对原始工作的多个方面进行了改动；（D）影响结果的时间和情境变化是最常被引用的复制动机之一。基于这些发现，作者为会议/期刊、研究者和审稿人提供了实用建议，以加强该领域的复制实践。该研究有助于推动可用性安全与隐私研究的方法论成熟，提高研究结果的可信度和可重复性。

本文提出 ShadowPath，一种面向可验证凭证（Verifiable Credentials）的隐私保护撤销状态验证方案。在可验证凭证模型中，持有者可以出示由颁发者签名的数字声明，而无需颁发者参与每次出示过程。但撤销机制使隐私模型复杂化：验证者必须确认凭证是否仍然有效。传统的状态检查可能暴露重复的标识符、注册表位置或请求元数据，这些信息可能被用作稳定句柄，将持有者的不同出示行为关联起来，从而导致用户被跟踪。ShadowPath 的核心思想是将凭证状态查询从验证者侧转移到持有者侧。每次出示时，持有者在本地获取由验证者选定的注册表根，并生成零知识证明，表明其凭证在该注册表根下未被撤销。验证者只能获得最终的状态结果，而无法获知任何可观察的元数据，例如凭证索引或查询时间。作者首次将 Verkle 树应用于凭证撤销场景，并与稀疏 Merkle 树进行系统比较，以评估路径深度缩短带来的收益是否能抵消 KZG 多项式承诺认证的更高计算开销。实验基于 30 次桌面设备测试，结果显示：Groth16 证明生成时间的中位数在稀疏 Merkle 树下为 371.6 毫秒，而 Verkle 树为 2.11 秒；验证时间分别为 3.70 毫秒和 7.55 毫秒。在两类主流移动设备上，基于 Verkle 树的 Groth16 证明生成时间约为 3 秒。这些数据表明，更短的身份认证路径并不必然带来更廉价的零知识证明，因为 Verkle 树所依赖的 KZG 承诺在证明生成阶段引入了显著开销。此外，论文证明，在使用新鲜的会话随机数且假设会话值的独立性时，验证者可见的状态数据不会揭示两次出示是否使用了同一凭证，但这一保证并不涵盖颁发者与验证者串通或存在同步流量的场景。该研究为可验证凭证撤销机制的设计提供了重要的实验数据和理论分析，尤其适用于对隐私敏感的去中心化身份系统。

本文研究了语言模型在上下文中持有敏感用户数据（如日历、凭证、健康记录和财务信息）时发生的意外信息泄漏问题。作者首先探索了这样一个核心问题：即使模型正确拒绝了直接的秘密提取请求，秘密在上下文窗口中的存在是否会在模型的良性输出中引入隐藏相关性，从而允许攻击者重建秘密。随后，他们进一步研究了攻击者能否主动构造提示来放大这种效应，利用模型作为隐蔽载体，通过看似无害的文本传输敏感信息。为此，作者提出了一种新颖的自适应攻击方法，该方法假设对底层模型具有黑盒访问权限。通过在八个专有模型上进行的受控实验，他们发现模型在响应普通、非对抗性请求时，能够以接近完美的准确率重建2位数字的上下文秘密，并以82%的精确匹配率重建4位数字的秘密。此外，实验观察到更有能力的模型泄露更多信息：更强的指令遵循能力放大了对上下文秘密的敏感性，这表明该泄漏是模型能力提升的副产品，而非可简单修补的缺陷。作者进一步展示了该泄漏在实际中的两种攻击场景：（1）训练一个分类器，从常规自然语言输出中推断用户记忆的语义谓词（如健康状况、财务事件）；（2）使用强化学习训练的对抗者，从生产风格的代理中提取完整的美国社会安全号码。本文的贡献在于揭示了一种新的、隐蔽的隐私泄漏通道，并证明了其对基于LLM的代理系统构成严重威胁。该研究适合所有关注LLM安全、隐私保护以及AI代理可靠性的研究人员和从业者阅读。

联邦学习允许多个客户端在不共享原始数据的情况下协同训练模型，但近年研究表明，攻击者可以从共享的模型更新（梯度）中重建训练图像，造成严重隐私泄露。针对这一问题，本文提出了一种双重混淆方法，通过同时混淆更新信息和训练图像来增强对图像恢复攻击的鲁棒性。该方法将基于随机二进制权重的鲁棒性增强技术与图像加密技术相结合：前者通过随机将部分梯度元素置零，减少攻击者可获取的原始梯度信息量；后者则降低重建图像的视觉可解释性。两种技术形成互补保护。此外，图像加密方案允许每个客户端、每张图像使用独立密钥，避免了显式密钥共享。实验在基于 Vision Transformer（ViT）的图像分类任务上进行，结果显示，在评估设置下，该方法能够减少 Attention Privacy Leakage (APRIL) 攻击恢复出的视觉信息，且不会造成超出图像加密本身所带来的额外分类性能下降。尽管该组合并不能提供绝对的安全保证，但实验结果证明了将梯度修改与图像加密相结合用于隐私增强联邦学习的潜在价值。本文适合关注联邦学习隐私保护、机器学习安全以及对抗性攻击防御的研究人员和工程师阅读。

本文针对GDPR等数据保护法规在遗留软件系统上的合规改造难题，提出了一种基于信息流追踪的通用数据保护运行时方案。作者首先从GDPR法规中提炼出十二条软件层面的合规要求，涵盖数据最小化、目的限制、存储限制、数据主体权利等核心原则，并论证了这些要求可以通过动态信息流追踪框架得到满足。为实现这一思路，他们设计了元数据结构和强制策略，并实现了名为Fontus的Java虚拟机（JVM）信息流追踪框架。Fontus能够透明地标记现有Java应用程序中的个人数据，无需修改应用代码即可实施数据保护策略。为验证实用性，作者在7个大型开源Web应用上进行了实验，在不改动应用自身的前提下成功执行了数据保护策略，证明了该方法可以有效降低合规改造的工程成本，同时即便在软件存在bug或配置错误时也能阻止非法数据处理。该研究的主要贡献包括：将法规合规问题形式化为信息流追踪问题、提出具体的软件需求和元数据策略、实现可工作的JVM框架以及实证评估。适合关注隐私工程、数据合规自动化、应用安全架构的研究人员和蓝队工程师阅读。

本文档对应的是 WPES '23（第22届电子社会隐私研讨会）的会议介绍或会议论文集前言，作者为 Bart P. Knijnenburg 和 Panagiotis Papadimitratos。该研讨会是 ACM CCS（计算机与通信安全会议）的附属研讨会之一，聚焦于电子社会中的隐私问题，涵盖隐私增强技术、匿名性、数据保护、隐私政策、用户隐私行为、隐私与安全交叉等研究方向。由于仅提供标题与作者信息，未给出具体论文摘要或技术细节，无法获知某篇具体论文的方法与贡献。本摘要基于会议主题进行概括性描述，旨在提醒安全从业者关注该研讨会所呈现的前沿隐私研究动态。会议通常汇集来自学术界与工业界的研究人员，讨论隐私计算、差分隐私、匿名网络、隐私法规合规等热点问题，对于隐私工程师、安全架构师和政策制定者具有参考价值。建议读者查阅会议官方程序以获取具体论文列表和完整内容。

本文针对联邦学习中共享梯度可能泄露私有训练文本的严重隐私威胁，提出了一种轻量级防御方法 AEGIS（Attention-Embedding Gradient Isolation Shield）。作者首先通过对 Transformer 梯度结构的深入分析，识别出三个导致私有 token 信息泄露的通道：通道1是注意力输出投影梯度暴露出的低秩子空间，能够编码输入嵌入；通道2是嵌入梯度的行范数稀疏性，直接揭示哪些 token 出现在训练数据中；通道3是 MLP 扩展梯度中携带的可恢复子空间信号，与通道1具有类似性质。研究表明，最先进的梯度反演攻击能够在数秒内利用这些通道实现近乎精确的 token 恢复。现有防御大多只针对单一通道，且往往以牺牲模型效用或留下结构信号为代价。AEGIS 的核心创新在于通过三个无需架构修改的反向路径操作同时关闭所有三个分析通道：冻结注意力投影参数从构造上消除通道1；向嵌入梯度注入校准噪声以破坏通道2的 token 存在信号；对 MLP 扩展梯度进行逐块噪声注入以掩盖通道3。该方法确保用于本地优化器步进和服务器导出的梯度均为掩蔽后的版本，任何一侧都不保留干净信号。作者在 11 个模型和 6 个数据集上进行了全面评估，证明 AEGIS 能够将多种解析型和基于优化的梯度反演攻击的 token 恢复率降至接近零，同时保持甚至提升模型效用。此外，论文为通道1和通道2提供了形式化保证，并针对完全了解防御机制的自适应对手进行了实证验证，展示了方法在极端威胁模型下的鲁棒性。

该论文提出并实现了一个面向智能手机口腔癌筛查的联邦学习（FL）框架，旨在解决医疗AI领域因数据隐私法规和患者数据敏感性导致的高质量临床影像获取困难的问题。传统集中式训练需要汇聚分散在各医疗机构的患者数据，这存在严重的隐私泄露风险，而联邦学习通过仅在本地训练模型并共享模型更新参数，避免了原始数据的集中存储和传输。作者构建了一个实际可运行的FL系统：使用Tailscale作为安全组网层，实现跨地理区域的客户端节点间加密通信和实时协作；服务端聚合采用Flower框架，而客户端部署与调度为手工配置，未使用任何企业级FL平台，体现了轻量化、可复现的特点。为了适配基于智能手机的筛查应用，论文评估了多种轻量级移动端友好架构，包括MobileNetV2、MobileNetV3Large和MobileNetV4-Conv-Small。在FedAvg全局聚合策略下，基于MobileNetV4-Conv-Small构建的全局模型（GM-V4）表现最佳，取得了AUC 0.929和准确率87%的优异成绩。这项工作展示了联邦学习在口腔癌筛查领域的实用可行性，为医疗影像AI的协作开发提供了一套开源、可落地的技术路线，尤其适用于数据分散且隐私要求严格的场景。研究面向医疗AI研究人员、联邦学习工程师以及移动健康应用开发者，核心贡献在于验证了轻量化模型在联邦框架下的有效性，并给出了具体的网络和聚合配置方案。

该论文研究动态群组通信中的机密性与接收者匿名性问题。现有基于属性加密（ABE）的群组通信方案虽然能实现灵活的many-to-many通信，但通常无法保护消息接收者的身份匿名性，且在非目标接收者验证消息时产生较高计算开销。为此，作者提出ABEAT，一种高效且匿名的动态群组通信系统。ABEAT基于密钥策略属性加密（KP-ABE），通过引入图命名空间来支持群组的动态创建与变更，同时提出新的匿名KP-ABE方法：在密文中隐藏明文属性，从而保护接收者匿名性，并抵御针对匿名性的多种攻击。ABEAT还实现了快速接收者验证，使得非目标接收者的解密开销相比现有技术（如隐藏向量加密HVE）降低超过90倍，甚至比不具备匿名性的FABEO方案还低40%。实验表明，ABEAT在保证匿名性的同时显著提升了性能，适用于应急响应等对隐私和效率要求高的场景。该工作为ABE在动态组通信中的实用化提供了重要进展。

本文研究噪声保护下的文本嵌入反演攻击问题。文本嵌入被广泛用于数据挖掘、检索和机器学习系统，但近期的嵌入反演攻击表明，攻击者可以从嵌入向量中重建原始文本的敏感信息，造成严重隐私泄露。一种常见的防御手段是向嵌入向量中添加高斯噪声以扰动输出，该方法简单有效，且对下游任务的效用影响较小。然而，这种噪声保护机制是否足以抵御自适应攻击者仍然未知。作者首先分析了现有生成式反演方法在噪声保护场景下失败的原因，提出了“双重噪声陷阱”的概念，指出标准生成式反演模型因无法同时处理嵌入噪声和重建噪声而难以高质量重构文本。为解决该问题，论文提出了DAEI（Denoising-Aware Embedding Inversion）流水线，结合残差去噪自编码器与生成式文本反演。其中，去噪器采用Stein无偏风险估计以无监督方式训练，仅凭噪声观测即可学习去噪。实验表明，与现有生成式基线相比，DAEI在BLEU上实现了约154%的相对提升，在token级F1和ROUGE-L上提升32%至60%。该结果表明，简单的高斯扰动不足以有效防止嵌入表示中的敏感信息泄露，对现有隐私保护假设提出了挑战。

该论文针对企业安全软件（如端点监控、行为分析、数据防泄漏等）在提升组织安全性的同时可能侵犯员工个人隐私这一矛盾，开展了一项以员工为中心的隐私感知与期望研究。研究采用问卷调查和/或半结构化访谈的方法，收集了不同行业、不同岗位员工对于企业部署安全监控工具时的态度、担忧和期望。核心问题包括：员工如何理解这些安全软件的数据收集范围？他们是否知晓监控的存在与具体内容？在什么条件下愿意接受监控（例如明确告知、最小化收集、用途限定）？研究发现，尽管员工普遍认同安全软件对组织防护的必要性，但对透明度、数据保留期限、访问权限以及潜在滥用风险表现出显著关切。许多参与者希望拥有对个人数据的控制权，并期望企业能够提供清晰的隐私政策和退出机制。论文还探讨了员工在‘用我的隐私换他们的安全’这一框架下的权衡逻辑，指出信任是影响接受度的关键因素。研究的主要贡献在于：首次系统化揭示了企业安全软件场景下员工的隐私诉求与组织安全需求之间的张力；提出了改进安全软件设计和管理实践的建议，如增强透明性、实施数据最小化策略和引入隐私影响评估。该论文适合安全政策制定者、企业安全团队、隐私合规人员以及安全软件设计者阅读，有助于在设计监控方案时兼顾员工权益，避免因隐私顾虑导致员工抵触或影子IT行为。

本文介绍了 OpenAI 发布的 Privacy Filter 模型卡。该模型是一个紧凑的双向 token 分类模型，用于在非结构化文本中检测和脱敏个人身份信息（PII）与密钥。它基于自回归预训练检查点，通过转换为双向带状注意力分类器，能够在单次前向传播中对输入序列进行标注。模型采用约束 Viterbi 解码器，跨八个隐私类别生成连贯的片段，并提供可配置的工作点以平衡精确率与召回率。Privacy Filter 总参数量为 15 亿，每个 token 激活 5000 万参数，支持 128,000 token 的上下文窗口，专为高效的本地部署和领域特定微调而设计。其定位是分层隐私工作流中的可配置数据最小化组件，而非匿名化或合规性保证。该模型卡详细说明了模型架构、训练方法、性能特点以及使用限制，为隐私保护研究和实际部署提供了参考。

本文提出并实现了一个名为 Redakto 的开源工具，旨在解决大型语言模型（LLM）使用过程中的隐私保护问题，特别是针对欧盟新法规下个人可识别信息（PII）泄露的风险。随着 LLM 在各类应用中的普及，输入文本可能包含敏感信息，直接提供给模型会带来隐私合规挑战。Redakto 提供文本匿名化功能，支持 PII 的遮蔽（redaction）和假名化（pseudonymization），在文本进入 LLM 或下游处理之前完成脱敏。该系统通过多种方式暴露功能：面向终端用户的 Web 应用程序、面向开发者与研究人员提供的 REST API 以及模型上下文协议（MCP）钩子，便于集成到现有工作流中。实现完全开源，对计算资源要求不高，可轻松部署在本地硬件上。与以往工作不同，作者在法律和医疗领域文本上进行了广泛的实证评估，同时考察了隐私保护效果和脱敏文本的实用性（utility）。实验结果表明，使用不同脱敏策略处理的文本在实用性能上与原始文本相当，表明 Redakto 的匿名化处理不会对下游 LLM 任务造成显著的负面影响。该工作为隐私敏感的 LLM 应用场景提供了一种实用的防护工具，有助于推动研究向实际应用转化。适合 AI 安全、隐私工程、法律科技和医疗信息处理等领域的从业者与研究者阅读。

本文提出了 PriSrv+，一个面向现代无线网络（如 5G、IoT）和资源受限环境的增强隐私与可用性的服务发现协议。无线服务发现是设备动态发现并通信的基础过程，但现有方案在隐私保护、表达力、可扩展性和效率上存在不足。PriSrv+ 建立在 NDSS'24 发布的 PriSrv 之上，旨在解决后者的关键限制，同时保持与 mDNS、BLE、Wi-Fi 等广泛使用的无线协议兼容。其核心创新是首次提出的快速且表达力强的匹配加密方案（FEME），支持无界属性宇宙下的表达性访问控制，允许任意字符串作为属性，大幅增强了服务发现的灵活性，同时保障消息和属性的强隐私。与 PriSrv 相比，PriSrv+ 优化了密码学运算，加密速度提升 7.62 倍，解密速度提升 6.23 倍，密文尺寸减少 87.33%；通信开销方面，服务广播降低 87.33%，匿名相互认证降低 86.64%。形式化安全证明确认了 FEME 和 PriSrv+ 的安全性，并在多平台上的大量评估表明其性能、可扩展性和效率优于现有最先进协议。本文面向无线安全、应用密码学和 IoT 隐私保护领域的研究人员与工程师，提供了一种兼顾隐私与可用性的实用服务发现解决方案。

该研究聚焦北美电子维修行业中的用户隐私泄露问题。电子设备维修服务商提供从软件安装到硬件维修的各类服务，用户通常需要将设备及访问凭据（如密码、PIN等）交给技术人员，这可能使个人数据面临未经授权的查看风险。作者设计并实施了一项包含四个部分的综合研究：首先，通过对18家服务商的实地调研，发现大多数服务商没有任何隐私政策或控制措施来保护设备所有者的个人数据，防止技术人员偷窥；其次，向16家服务商投放了经过特殊处理的“诱饵”设备，记录到技术人员存在广泛的隐私违规行为，包括偷窥个人数据、将数据复制到外部介质、以及删除偷窥痕迹等；第三，进行了一项112人的在线调查，收集用户在送修设备时的经历和感受；第四，邀请了其中30名调查对象进行半结构化访谈，以更深入地理解其遭遇并探讨可行的解决方案。基于这些发现，文章讨论了不同利益相关方（如设备制造商、服务商、监管机构）应采取的具体管控措施和行动建议。该研究揭示了电子维修行业在用户数据保护方面的严重缺失，为蓝队和安全工程师提供了供应链中的人为隐私风险证据，也为制定相关隐私合规政策和检测机制提供了参考依据。

该论文对被称为“专家认可”的儿童应用（Kids' Apps）中的隐私功能进行了系统性分析。研究背景在于，儿童应用通常声称符合隐私保护标准，但实际实现可能存在较大出入，而家长往往依赖应用商店的评级或专家推荐来做出选择。作者提出了一种静态与动态相结合的审计方法，对一批被标记为适合儿童使用的应用进行逆向工程与行为分析，重点检查其数据收集、第三方SDK调用、权限使用、隐私政策一致性以及是否存在不符合年龄要求的追踪行为。研究发现，许多所谓“专家认可”的应用仍包含潜在的隐私泄漏风险，例如未披露的数据共享、广告追踪标识符的使用以及预加载的第三方追踪库。论文还讨论了现有隐私标签与审核机制的不足，并提出了改进建议，包括增强透明度、强化运行时监控和建立更严格的合规验证流程。该研究为家长、应用商店审核人员以及政策制定者提供了有价值的实证依据。适合移动安全研究人员、儿童在线隐私保护从业者以及应用合规审计人员阅读。

该论文研究的是个人语言智能体（personal language agent）中的跨受众记忆泄露问题。作者指出，智能体可能从某一受众处学习到某个事实，随后在组装提示词时将其放入面向另一受众的上下文中，这一“记忆到上下文”的转换步骤构成攻击面：不明确或不一致的渠道、跨受众窥探、以及被投毒的记忆，都可能使系统组装出包含与当前查询相关但未获当前观众授权的事实上下文。为此，论文提出“先授权后上下文”（authorization before context）原则，即在记忆到上下文转换时施加一条单一且反单调的受众成员规则：每一条记忆项目携带其记录时所在的受众；当前观看者集合从渠道元数据读取，在模糊时回退为公共；只有当所有当前观看者均已属于该记忆项目的受众时，该项目才被允许进入上下文。作者证明，该规则在保证每个参与者跨渠道可回忆的同时，通过排除机制（而非依赖模型行为）确保记录给较窄受众的内容不会到达较广受众，且被投毒的记忆无法扩大其自身的受众范围。该边界是一个模型无关的不变量，作用于实际组装的上下文：在调用模型之前，被禁止的事实必须已不存在。作者在合成的“情境完整性”（Contextual-Integrity）测试集上进行了实验，结果显示，在该边界组装的上下文中没有出现任何被禁止的事实，而无范围基线则必然包含此类事实；此外，作者还审计了所有读取路径，确认其均以失败闭合（fail closed）。作者指出，当前证据是初步的且基于合成数据。

本文针对传统支付基础设施中普遍认为托管账户模式是保证交易完整性、可审计性和验证必要条件的观点提出挑战。作者认为，非托管的、类似现金的数字资产可以以更安全的方式实现这些能力。为此，他们提出了一种参考架构和核心协议规则，用于数字价值交换系统，在保护有意义的用户隐私的同时支持强可审计性。协议定义了数字资产创建、转移和赎回的合法性条件；架构则规定了这些规则运行的参与者、角色和组件分配，使得交易合规性可以被独立验证。该工作建立在Goodell等人提出的不可伪造、有状态、模糊（USO）资产模型之上，将监管合规数据作为由独立实体签发的加密签名证明直接嵌入资产状态。只有当适用的合规谓词得到满足，并且产生的签名被纳入资产状态时，转移才有效。因此，合规执行在协议层面完成，而不是通过机构托管或基于身份账户控制。作者总结认为，所提模型可以与现有支付系统成功交互，使非托管、合规验证的交易能集成到传统金融基础设施中。主要贡献包括：1) 论证非托管数字资产可以内嵌合规能力；2) 给出参考架构和协议规则；3) 利用USO模型实现合规数据嵌入；4) 展示与现有支付系统的兼容性。适合对数字支付、隐私保护、金融监管技术和协议设计感兴趣的读者。

本文针对人脸识别系统中的模型逆向攻击（Model Inversion Attacks, MIAs）提出了一种新的两阶段白盒攻击方法——Steering Flow Model Inversion (SFMI)。模型逆向攻击旨在从训练好的识别模型中重建目标身份的典型训练样本，从而暴露敏感隐私信息。现有方法通常依赖间接或高度随机的引导，难以稳定地优化生成轨迹以逼近目标人脸图像。SFMI 将逆向问题重新定义为轨迹引导任务，分为两步：第一步，学习一个通用的流匹配先验（Flow Matching Prior），通过预训练一个无条件的流匹配模型来编码人脸流形，作为稳健的先验；第二步，使用渐进式引导调度器（Progressive Guidance Scheduler, PGS），在采样过程中注入随时间变化的目标特定梯度。通过反向传播目标模型，从中间生成状态获取梯度，PGS 逐步将自适应引导信号注入向量场，从而将生成流从随机噪声有效引导至目标类别的高密度区域。在 CelebA 数据集上采用身份不相交的交叉评估设置，以 ArcFace 为目标模型时，SFMI 达到了 0.9248 的准确率（ACC）、22.61 的 FID 和 0.3874 的 LPIPS。多个目标模型上的大量实验表明，在白盒协议下，SFMI 在攻击成功率和视觉保真度上均达到了具有竞争力的最新水平。该研究揭示了流匹配生成模型在模型逆向攻击中的潜力，同时也提醒防御者关注此类新型攻击对隐私安全的威胁。适合计算机视觉、人工智能安全以及隐私保护领域的研究人员阅读。

函数秘密共享（FSS）是安全推理、私有信息检索（PIR）等隐私保护系统中的核心构建模块，但其在密钥生成、通信和数据移动方面开销显著。本文提出分布式函数加速器（DFA），一种针对FSS中主导原语——分布式点函数（DPF）生成与评估的硬件加速方案。DFA结合了基于AES的高吞吐固定功能伪随机数生成引擎，以及用于协议特定逻辑的轻量可编程单元。在非可信模式下，DFA作为DPF评估的纯加速器，在不改变协议的前提下提升吞吐量和能量效率；在可信模式下，DFA支持本地即时密钥生成，消除了密钥分发，并降低了存储和数据移动开销。针对代表性工作负载，DFA实现了安全推理端到端延迟降低10倍、通信量降低最多20倍、能耗降低超过5倍；对于PIR，吞吐量提升5倍、能耗降低10倍，而硬件成本适中。本文的核心贡献在于设计了一种兼顾固定功能引擎和可编程单元的混合架构，以低开销突破FSS系统性能瓶颈，适用于对隐私计算性能敏感的场景。适合硬件安全、隐私计算、系统架构以及安全推理和PIR应用的研究人员阅读。

该论文针对LTE蜂窝网络中的用户隐私泄露问题，提出了一种名为“Watching the Watchers”的视频识别攻击方法。研究背景是：LTE网络虽然对用户数据进行加密，但流量分析攻击仍可通过数据包的大小、方向、时序等元数据泄露用户行为。以往研究主要聚焦于网页指纹识别或应用识别，而该论文首次系统性地研究了在真实LTE网络中通过被动窃听流量来识别用户正在观看的视频内容。核心方法是：攻击者仅需在LTE网络链路中被动收集加密的IP数据包，提取视频流量的统计特征（如数据包长度序列、到达时间间隔、突发模式等），然后利用机器学习分类器对特征进行匹配，以在已知视频库中识别用户正在观看的具体视频。实验中，作者在真实LTE网络环境中采集了大量主流视频平台（如YouTube、Netflix等）的流量数据，构建了包含数千个视频的测试集，评估了不同分类算法、不同视频长度、不同网络条件（如拥塞、移动性）下的识别准确率。结果表明，即使在加密且存在网络噪声的情况下，攻击仍能达到较高的识别成功率，且视频片段的长度和网络状态对识别性能有显著影响。论文还探讨了现有的防御措施（如填充、流量整形）的局限性，并提出了可能的缓解方向。该研究的主要贡献包括：首次在真实LTE环境中验证视频识别攻击的可行性，提供了公开的数据集和分类框架，揭示了LTE网络流量分析攻击的新风险，为后续研究和防御提供了基础。适合移动网络安全研究者、运营商安全团队以及关注用户隐私的学者阅读。

本文提出并系统化研究了广义负债证明（Proof of Liabilities, PoL）这一密码学原语。传统上，PoL 用于金融机构向公众证明其负债总额，以体现偿付能力，但作者指出其应用场景远不止金融领域，还包括透明与隐私保护的捐赠审计、基于反对票的新型投票机制，以及如 COVID-19 每日病例数等官方报告的公开可验证。这些场景的共同激励特征是：证明者没有动机虚增自己的负债总量，因此可以通过密码学手段在不泄露具体明细的前提下，向验证者证明某个汇总数值的正确性。论文首次尝试从安全、隐私和效率三个维度，为广义 PoL 设定标准化的目标，并据此设计了一个具体方案 DAPOL+。DAPOL+ 扩展了当前最先进的 DAPOL 协议，但提供了可证明的安全性和隐私性，并通过基准测试展示了其实用性。此外，作者还探索了针对不同应用场景可能需要的附加功能，例如如何支持更灵活的证明结构，并分析了方案失效的渐近概率。该研究为将 PoL 从金融领域推广到更广泛的公共可验证场景提供了理论基础和工程参考。适合密码学研究者、隐私保护技术开发者以及需要设计可验证统计或审计系统的安全工程师阅读。

该论文是一篇面向机器学习隐私推断风险的系统化知识（SoK）综述。研究背景是：机器学习模型在生产环境的部署可能使攻击者推断出与训练数据相关的敏感信息，已有大量文献分析了各类推断风险，如成员推断攻击、重建攻击等。受密码学中基于博弈（即概率实验）研究安全性质的成功方法启发，一些研究者也开始用博弈风格来描述机器学习中的隐私推断风险。然而，不同文献对攻击者能力和目标的表述存在微妙差异，导致这些结果难以相互关联和组合，阻碍了知识的系统化积累。为此，作者提出了一种统一的基于博弈的框架来整理现有的知识体系。该框架的核心贡献有三点：（1）为各类隐私推断风险的定义提供了统一的结构性描述，使得不同定义可以在一个共同语言下进行比较；（2）形式化地建立了已有定义之间已知的蕴含等价关系，严谨地刻画了它们之间的联系；（3）发现了此前未被揭示的新关系，这些关系在缺乏统一框架时很难被直观察觉。通过该框架，研究者可以将不同来源的推断风险定义映射到统一的博弈空间中，从而更清晰地评估模型面临的隐私泄漏态势，并为后续的防御研究提供理论基准。本文适合机器学习安全与隐私领域的研究人员、模型风险评估人员以及希望理解隐私推断攻击内在机理的密码学背景安全分析师阅读。由于仅基于摘要，本文档为摘要分析级别。

本文研究多模态视觉-语言模型（VLMs）在成员推断攻击（Membership Inference Attack, MIA）下的隐私泄露问题。随着智能体AI（agentic AI）的发展，多模态模型（MMs）被广泛部署，但其训练数据可能通过黑盒攻击被泄露。现有研究主要针对单模态AI系统的隐私攻击，而对多模态系统关注不足；同时，神经启发（neuro-inspired）的表示方法已被证明能提升单模态模型对对抗攻击的鲁棒性，但尚未有工作验证其对隐私攻击是否同样具有韧性。作者提出了一种基于神经科学的拓扑正则化（topological regularization, tau）框架，用于系统分析多模态VLMs对图文推理隐私攻击的韧性。实验采用三种VLM（BLIP、PaliGemma 2、ViT-GPT2）和三个基准数据集（COCO、CC3M、NoCaps），对比基线模型与使用拓扑正则化的NEURO变体（tau>0）。结果表明，在BLIP模型和COCO数据集上，NEURO VLM的MIA攻击成功率（以ROC-AUC衡量）平均下降24%，同时通过MPNet和ROUGE-2指标评估，其生成的图像描述与参考描述相似度与基线相当，即模型效用没有显著损失。在PaliGemma 2和ViT-GPT2模型以及CC3M、NoCaps数据集上的扩展实验进一步验证了结论的一致性。这项工作增进了对多模态模型隐私风险的理解，并首次提供了神经启发多模态模型对隐私威胁具备韧性的证据。适合AI安全研究员、隐私保护工程师、多模态模型开发者和关注机器学习隐私的从业者阅读。

本文提出了一种高效的两方协议，用于对数据集盲目地应用任意（可能是随机的）线性群作用。该协议能够涵盖多种应用场景，如盲目洗牌、循环移位、矩阵乘法等。其显著特点是：在完成与输入无关的离线计算阶段后，在线计算阶段可以实现回合最优（即单轮）的通信。所提出的盲目洗牌协议是首个达到在线阶段回合最优的方案。最有效的实例化是在客户端辅助的客户端-服务器设置中实现的：离线阶段由半诚实的输入方（客户端）执行，并将生成的关联随机性分发给计算方（服务器）。在运行总时间方面，与Chase等人（Asiacrypt 2020）提出的最优两方盲目洗牌协议相比，本方案在LAN和WAN环境下分别最高提速105倍和152倍。此外，作者还展示了如何将Chase等人的协议修改以适应客户端辅助设置，但即使如此，本方案在在线阶段仍快2倍，平均总时间快1.34倍。该研究为安全多方计算中的常见操作提供了更高效的协议设计方案，有助于降低计算和通信开销，推动隐私保护技术的实际应用。

本文提出了一种针对非结构化临床文本去标识化（de-identification）的新问题建模方式。传统上，去标识化被视为令牌分类（token classification）任务，即对文本中的每个词或符号标注是否为受保护的健康信息（PHI），如姓名、日期、地点等。作者创新性地将其重新定义为序列到序列（sequence-to-sequence）学习问题，受近年来序列到序列模型在命名实体识别（NER）中取得最优表现的启发。具体而言，模型将原始文本作为输入序列，直接输出已去标识化的文本序列（例如用占位符替换PHI），从而绕过显式标注每个令牌类别的步骤。早期实验在i2b2数据集上达到了98.91%的召回率，与当前最先进的非结构化临床文本去标识化模型性能相当。该方法的潜在优势包括：简化标注流程、可以利用大规模语言模型的生成能力、以及能够更自然地处理上下文依赖的PHI识别。本文的核心贡献在于提出这一新的问题形式化，并通过初步实验证明其可行性，为后续在更广泛临床语料上的优化和评估奠定了基础。适合关注医疗信息隐私保护、自然语言处理安全应用以及数据脱敏技术的研究人员和工程师阅读。

本文提出了一种名为 P2Skill 的隐私保护技能蒸馏方法，用于云-本地大语言模型（LLM）推理系统。在典型的云-本地架构中，云端大模型提供强大的推理能力，而本地设备负责处理敏感用户数据。为了保护隐私，发送到云端的请求必须剥离个人身份信息（PII），防止外部数据泄露。现有方法如提示扰动、实体掩码或模型微调，往往会导致上下文语义扭曲或需要额外的训练开销。P2Skill 的核心思路是让本地小语言模型（SLM）通过遵循“技能提示”自主完成分解、PII 感知路由、释义和重建等操作。具体而言，云端大模型会根据本地 SLM 的执行失败案例迭代地优化技能提示，使得本地模型能够泛化处理未记忆的 PII 模式，而无需针对隐私进行专门的微调，也无需学习额外的辅助检测器。在四个领域的基准测试上，P2Skill 相比先前基线，隐私保留推理质量分别提升了 1.69 倍和 3.66 倍。该研究解决了隐私保护与推理质量之间的权衡问题，为云本地 LLM 系统提供了一种无需额外训练、即插即用的隐私保护方案。适合关注 LLM 隐私保护、边缘计算与云协同推理的研究者、系统设计者以及安全工程师阅读。

本文针对图加密方案（GES）在单对最短路径（SPSP）查询中的结构泄露问题进行了系统性分析，整合了两项近期工作的研究成果。首先，论文分析了PathGES方案，该方案通过重轻分解（HLD）和规范片段编码来抵抗查询恢复攻击。然而，分析发现PathGES在实际数据集上存在严重的HLD分解不平衡问题，超过99%的令牌-路径映射是一对一的，这使得攻击者可以利用Falzon-Paterson攻击以及路径长度的侧信道推断来泄露查询内容。其次，论文提出了Fragment Tree攻击，利用这些结构弱点恢复查询内容，在稀疏图上实现了高达10.24%的精确恢复率。为了应对这些攻击，论文设计了BlindGES增强方案，引入了合并-分割（Merge-and-Divide）机制和两级多映射索引，将一对一映射比例降低到20%以下，设置时间减少了50%，存储开销降低了32%，并将路径长度泄露限制在1%以内。本文在七个真实数据集上进行了实验评估，系统性地展示了攻击方法、防御机制、安全证明和实验结果。该研究揭示了图加密方案中结构泄露的严重性，并为设计更安全的图加密方案提供了新思路。适合对加密数据库、安全外包计算和隐私保护感兴趣的研究人员和安全从业者阅读。

该论文提出 SynthGuard-ReleaseBench，一个针对合成表格数据发布的审计框架。传统上，合成数据通常通过真实性、隐私性或下游任务分数来评估，但这些指标无法回答一个关键问题：对于特定的使用场景、目标人群和威胁模型，该发布是否得到支持。为此，作者设计了一个锁定审计流程，在评估之前预先确定用途、候选面板、容差和审计时间表。框架对比真实训练与合成训练的流程在受保护数据上的表现，为有界损失差距提供联合有限样本界，要求设置对照组，并将效用、经验隐私风险、机制声明和人类发布权限分离管理。在四个美国社区调查（ACS）研究、五个非ACS记录、两个时间顺序诊断和一个密封原型中，该基准保留了有利、不利和排除的结果。透明基线通过部分锁定审计，紧凑学习模型在声明预算下失败，一个健康表案例因阴性对照通过而被排除。后续审计扩展实验跨三个生成种子重复，显示相同的锁定标准在足够数据下允许学习模型，同时始终拒绝破坏依赖性的对照，从而证明标准具有区分能力而非简单拒绝；同一重复也撤销了更细粒度的单种子排序。理论部分增加了审计前样本量规则、自适应方差和随时有效的证书（在相同锁定证据上将界收紧2到10倍）、时间顺序审计的时间证书，以及两个下界：普通有界查询在查询预算达到审计规模时可重构受保护审计，且面板大小校正是必要的而非保守的。该工作的贡献是一个可复现的面向特定用途的发布证据工作流，而非声称任何生成器是私有的、安全的或可部署的。适合负责合成数据发布评估、隐私审计和模型治理的研究人员与安全工程师阅读。

本文研究了以太坊点对点（P2P）网络中验证者匿名性缺失的问题。许多区块链网络都试图在P2P层隐藏验证者身份，以防止攻击者将验证者标识符与其IP地址关联，从而保护验证者的隐私和安全。然而，本文证明以太坊P2P网络无法提供这种匿名性。作者提出了一种方法，允许网络中的任何节点识别其连接对等方上托管的验证者，并进行了实证验证。通过在三天内从四个节点收集数据，他们成功定位了P2P网络中超过15%的以太坊验证者。利用这种去匿名化技术，他们进一步分析了验证者在各个对等方上的分布情况、地理位置以及托管组织等信息。文章还讨论了P2P网络缺乏匿名性所带来的影响和风险，并提出了帮助验证者保护隐私的潜在方法。以太坊基金会认可了该研究的重要性，并授予其漏洞赏金。该研究的贡献在于揭示了以太坊验证者面临的实际隐私威胁，为网络监控和指纹识别提供了新思路，同时也为验证者防范此类去匿名化攻击提出了对策建议。适合区块链安全研究员、以太坊节点运营者以及关注隐私保护的安全从业者阅读。

该研究聚焦于用户在访问在线服务时对移动应用（App）与网页浏览器（如Google Chrome）的感知差异，重点考察安全性、隐私和可用性三个方面。作者通过设计实验并结合对Android智能手机用户的调查问卷，收集了用户在选择使用App或浏览器时的关键顾虑和偏好数据。研究旨在揭示哪些因素（如对数据收集的担忧、界面易用性、信任度、更新机制等）会影响用户的选择，并识别用户可能存在的误解或认知偏差。预期研究成果将帮助开发者理解用户真实需求，从而针对性地改进两种平台的安全提示、隐私设置和交互设计，提升整体用户体验。由于目前仅有论文摘要，未提供具体实验细节和结果数据，因此本摘要仅基于摘要内容概述研究目标和方向。

本文针对Telegram Mini Apps（小程序）生态的隐私合规问题展开研究。Telegram Mini Apps是嵌入在Telegram客户端中的Web应用，形成了一个第三方服务生态系统，但它们的隐私属性此前几乎未被系统研究。与微信等依赖封闭、专有执行框架的生态不同，Telegram的小程序运行在WebView中，结合了平台提供的上下文、标准Web能力以及不受限制的出站网络通信。这意味着应用程序可以通过普通Web请求将敏感信息发送给分析、广告、跟踪或其他第三方，且通常缺乏可见性。因此，隐私披露（隐私政策）对透明度至关重要。Telegram允许小程序定义自己的隐私政策，或依赖平台提供的默认政策。默认政策虽然减轻了开发者的披露负担，但可能导致笼统的声明，无法准确反映单个小程序的真实数据实践。为此，作者提出了TeleGapper，一个黑盒动态分析框架，通过捕获运行时的网络流量、识别第三方通信，并将观察到的数据流与披露的隐私信息进行对比，来评估小程序的隐私姿态。作者从社区驱动的应用目录tApps Center收集了278个可用的Telegram小程序进行评估。结果显示：59.4%的小程序至少联系了一个未披露的第三方；78.8%完全依赖Telegram的默认隐私政策；没有任何小程序提供同意或选择退出机制。这些发现暴露了一个被广泛使用但研究不足的生态系统中存在的严重透明度和合规性缺口。该研究的主要贡献包括：首次对Telegram Mini Apps隐私进行大规模实证分析；提出了一个黑盒动态分析框架TeleGapper；揭示了默认隐私政策与实际数据实践之间的显著不一致。适合关注移动应用隐私、Web安全、供应链合规以及新兴平台生态安全的研究人员和蓝队从业者阅读。

本文提出了一种全新的混合网络（Mix Network）数据包格式 OmniSphinx，旨在解决现有混合网络格式互不兼容、需要各自独立软件和基础设施的问题。在传统的混合网络中，为了实现匿名通信，保护消息内容及元数据不被窃听或分析，研究者们设计了许多不同的数据包格式（如 Sphinx、Loopix 等），但这些格式通常针对单一目标优化，导致彼此之间无法互通。OmniSphinx 的核心创新在于：发送方可以在其数据包中嵌入一段处理逻辑代码，该代码决定了数据包在网络中如何被转发和处理。这种“主动式”混合网络架构使得同一个部署能够动态模拟任何其他混合格式，而无需为每种格式运行单独的软件或基础设施。通过这种方式，OmniSphinx 统一了混合网络生态，降低了部署和维护成本。作者通过实验评估了 OmniSphinx 的模拟开销，结果显示与原生执行相比，在典型混合网络使用场景下开销合理：对于最紧凑的 Sphinx 格式，计算时间增加约 90 微秒，数据包头大小增加 33%。这表明 OmniSphinx 在兼容性和通用性上的收益远大于其性能代价。该研究为匿名通信网络的设计提供了新思路，特别适合对隐私增强技术、混合网络架构和可编程网络协议感兴趣的研究人员阅读。

本文提出 MatRiCT+，一个基于后量子格假设的实用型区块链隐私支付协议。该工作建立在 Esgin 等人于 ACM CCS 2019 发表的 MatRiCT 协议之上，整体遵循门罗币（Monero）中使用的 Ring Confidential Transactions（RingCT）思路，旨在为隐私保护加密货币提供可抵御量子计算攻击的高效方案。与 MatRiCT 相比，MatRiCT+ 在典型交易场景下实现了 2 至 18 倍的证明长度缩减（具体取决于输入账户数量 M），并实现了 3 至 11 倍的运行速度提升。其关键优势在于证明长度对输入账户数量 M 的依赖仅为对数级别（O(log M)），而 MatRiCT 的证明长度与 M 成线性关系。为支撑这一效率，作者设计了多种新颖技术来构造紧凑的基于格的零知识证明系统，充分利用了实际格密码中常用的 2 的幂次分圆环的代数性质。此外，作者还通过一种称为 partition-and-sample 的技术设计了一族“最优”挑战空间，该挑战空间具有最小 l1 范数，并且挑战差值以压倒性概率可逆，同时支持高分裂的 2 的幂次分圆环。作者认为这些结果具有广泛的适用性和独立的研究价值。本文的核心贡献在于：1) 提出更高效的后量子区块链隐私支付协议；2) 设计了紧凑的格基零知识证明协议；3) 提出最优挑战空间构建方法。适合对后量子密码学、区块链隐私保护、零知识证明方向感兴趣的研究人员和工程技术人员阅读。

该论文研究了移动设备（如智能手机和智能手表）通过蓝牙低功耗（BLE）协议持续广播信标所带来的位置跟踪风险。虽然应用层采用了加密匿名机制来防止恶意监听者直接识别用户，但攻击者可以利用设备发射信号中固有的物理层（PHY）硬件缺陷进行指纹识别，从而绕过匿名保护。作者通过大规模实地测试，分析了影响BLE物理层指纹识别稳定性的多种因素，包括BLE芯片组硬件设计差异、发射功率水平、热条件变化以及低成本无线电（可用于广泛部署以捕获原始物理层信号）的局限性。研究在数百个不受控的BLE设备上评估了这些因素对指纹识别准确性的影响，结果表明物理层识别是一种可行但有时不可靠的跟踪手段。论文的主要贡献在于系统性地量化了物理层指纹识别在真实场景中的可行性与局限性，为移动设备隐私保护和无线跟踪防御提供了实证依据。适合移动安全研究人员、隐私保护工程师以及蓝牙协议栈开发者阅读。

该论文通过定性访谈的方式，探讨了德国相对贫困群体在数字安全与隐私方面的实际境遇。研究背景在于：以往数字安全研究多聚焦于普通用户或特定技术人群，而经济弱势群体因其有限的经济资源、数字素养和社会支持网络，可能面临差异化的安全风险与隐私威胁，但针对该群体的实证研究仍较匮乏。作者采用半结构化访谈方法，面向德国境内处于相对贫困状态的人群收集数据，围绕其设备使用习惯、密码管理、网络诈骗识别、隐私顾虑以及对安全建议的接受度等维度展开分析。核心贡献在于：一，揭示了贫困群体在数字安全实践中面临的独特障碍，如因无力购买付费安全服务或更新设备而依赖老旧系统，或因缺乏稳定网络而使用公共Wi-Fi带来额外风险；二，指出现有安全建议与该群体实际生活情境之间存在脱节，例如强密码与多因素认证要求可能因其认知负担和时间成本而难以落实；三，基于访谈结果提出面向政策制定者、社会工作者和技术设计者的改进方向，强调安全干预需考虑社会经济因素。论文意义在于填补了数字安全研究中关于经济弱势群体这一盲区，为设计更具包容性和公平性的安全机制提供了实证依据。适合数字安全研究人员、隐私倡导者以及关注数字鸿沟与社会公平的从业者阅读。

本文提出了一种面向检索增强生成（RAG）场景的隐私保护框架 SEAG（Sensitive Entity Alias Generator），旨在解决外部大语言模型（LLM）在生成回答时可能接触用户查询和检索文档中的敏感信息这一常被忽视的问题。现有 RAG 隐私研究主要关注防止未授权用户访问敏感数据，但本文指出，当 RAG 调用第三方生成器时，查询和检索文档会明文暴露给外部模型，存在敏感信息被滥用或用于非预期目的的风险。SEAG 框架包含一个轻量级模型，能够定位查询和文档中的敏感实体（如人名、地名、组织、身份证号等），为每个敏感实体生成对应的别名，并构建实体替换表。在将查询和文档发送给外部生成器之前，SEAG 使用该替换表对敏感词进行替换，从而隐藏真实敏感信息，同时尽可能保留语义以便生成器输出正确回答。作者构建了两个数据集：一个用于微调 SEAG 模型以生成实体替换表，另一个用于评估整个框架。实验表明，SEAG 在“用户指标”（衡量模型在向用户提供正确回答的同时向外部生成器隐藏敏感信息的能力）上，所有 SEAG 模型均达到超过 80% 的准确率。进一步分析评估了 Qwen-3、LLaMA-3.2 和 Phi-4 三个 SEAG 模型隐藏给定文档中全部敏感实体的能力，总准确率分别为 77.83%、76.73% 和 74.91%，表现良好。该研究为 RAG 系统中的隐私保护提供了一种实用的预处理方案，适合关注 RAG 隐私、数据脱敏和第三方 LLM 安全使用的安全研究人员与工程师阅读。

本文针对移动应用软件开发工具包（SDK）中的隐私配置功能展开系统研究，聚焦于‘隐私可配置SDK’在合规性方面带来的新型风险。所谓隐私可配置SDK，是指允许开发者或最终用户调整数据收集、共享和使用方式的SDK，这类SDK在灵活性的同时，也可能因配置不当或配置误导导致隐私泄露或违反法规。研究团队通过大规模分析Android和iOS平台上的真实SDK，识别出多种隐私配置陷阱，例如默认配置过于激进、配置选项与实际行为不一致、配置界面难以理解、以及配置状态在版本更新后被重置等问题。论文提出了一套系统化的分析方法，结合静态代码分析和动态行为验证，自动检测SDK在隐私配置层面与GDPR、CCPA等隐私法规要求之间的偏差。实验覆盖了数百个流行SDK，结果表明相当比例的SDK存在严重合规隐患，且这些隐患难以被普通开发者察觉。研究进一步总结了风险模式，并探讨了平台、SDK开发商和应用开发者三方应如何协作以改善现状。总体而言，该论文揭示了隐私配置机制本身可能成为合规漏洞的源头，为移动生态的安全与隐私治理提供了新的研究视角和量化证据。

该论文针对机器学习模型隐私评估中广泛使用的成员推断攻击（Membership Inference Attacks, MIAs）展开系统研究。现有MIA研究主要聚焦于提升AUC、准确率、TPR@低FPR等性能指标，或利用这些指标评估隐私保护方案，但普遍忽略了不同攻击之间的差异。作者指出，这些差异既存在于不同攻击方法之间，也存在于同一方法的多次实例化之间，对MIA作为隐私评估工具的可信度和完整性具有关键影响。为此，论文提出一个基于覆盖率和稳定性分析的新框架，系统性地研究这些差异。大量实验揭示了MIA中显著的差异性、其潜在成因以及对隐私评估的广泛影响。针对上述挑战，论文进一步提出一个集成框架，包含三种不同策略，以在利用现有最先进MIA优势的同时兼顾其差异性。该集成框架不仅能构建更强力的攻击，还为隐私评估提供了更稳健、更全面的方法论。这项工作对于依赖MIA进行模型隐私审计、机器遗忘验证和隐私法规合规的从业者具有重要参考价值，有助于更准确地解读MIA结果并避免因单一攻击方法的偏差而得出误导性结论。

本文针对硬件保障（Hardware Assurance）中扫描电子显微镜（SEM）图像分析面临的数据稀缺与机密性挑战，提出了一种隐私保护的合成数据生成流程。硬件验证依赖SEM对纳米级结构进行自动分析，但构建大规模高质量数据集受限于采集耗时以及专有设计严格的IP约束。该流程首先利用StyleGAN学习硬件布局掩码的分布，生成新颖且宏观多样化的结构；随后使用条件生成对抗网络Pix2PixHD将掩码转换为保留真实纹理和噪声的逼真SEM图像。关键发现是，仅使用该合成数据训练的分割模型能够成功实现“模拟到真实”（sim-to-real）迁移，在真实图像上的表现甚至优于在有限真实数据集上训练的基准模型。由于合成的底层布局具有可证明的新颖性，不包含原始设计中任何特定专有路由信息，部署最终分割模型可降低梯度反演和成员推断等攻击导致敏感IP泄露的风险。该方法为硬件保障提供了一种高安全性和高性能的解决方案。

本文揭示了大型语言模型（LLM）提供商在客户端保存加密推理轨迹所引入的严重安全漏洞。许多主流提供商（如 Anthropic、OpenAI、Google）为避免泄露模型内部推理过程（即思维链），通常将推理步骤以加密块形式返回给客户端，并要求客户端在后续请求中原样携带这些加密块。研究人员发现，这些加密块在提供商生态内完全兼容且可互换，不受会话、用户或模型限制。利用这一架构缺陷，攻击者可将某一模型（如强安全模型）的加密推理轨迹注入到同一提供商旗下防护较弱的模型中，诱导该弱模型解密并明文输出推理内容，从而在不直接破解强模型的情况下提取其隐藏推理。该漏洞衍生出四类攻击场景：第一，绕过反蒸馏机制，使对手能够提取专有模型的推理过程，已在多家主流提供商上成功演示；第二，大规模窃取私有数据——开发者常公开分享会话日志却不知其中加密块敏感，研究者从公共仓库中收集的 315320 个推理块中恢复了 367 条个人身份信息（PII）和 182 个凭据；第三，即便模型最终安全地拒绝恶意请求，其隐藏推理过程中也可能暴露有害信息；第四，攻击者可将恶意载荷完全嵌入加密块，执行隐形提示注入，污染自主智能体系统。作者在负责任披露后提出了加密和系统层面的缓解措施，以保障客户端推理数据的安全。

隐私保护支付系统在理论上已相当成熟，但在中心化数字货币（CBDC）、机构稳定币及其他合规支付基础设施等受监管场景中的采用，长期受制于其对非法活动可能被滥用的担忧。监管机构通常依赖识别、追踪和阻止犯罪者的一系列互补措施来打击金融犯罪，其中“追踪”是关键手段之一：当执法机构基于外部证据怀疑某用户涉嫌洗钱等犯罪时，会通过账本追踪该嫌疑人的资金流向，以发现洗钱路径和同伙。然而，现有文献提出的追踪方案赋予当局无限制的能力：一旦启动追踪，追踪行为会在整个交易图中传播，或持续作用于该用户的所有未来交易，最终可能导致整个账本的去匿名化。这种追踪是否保持定向和临时，完全依赖当局的善意或委员会的诚实，缺乏结构性保障。针对这一问题，本文引入了“短暂硬币追踪”（Ephemeral Coin Tracing, ECT）原语。ECT 的核心思想是：追踪能力在构造上就被严格限制，既限制同时被追踪的用户数量，也限制每条追踪痕迹存活的跳数。当局发行的追踪标签会在每一跳后衰减；经过协议规定的跳数后，标签会坍缩为与未标记硬币不可区分的值。在追踪周期内，这种限制是绝对的：无论当局动机如何，都无法使标签超过其预算继续存活。文章形式化定义了 ECT 及其安全性和隐私性保证，并给出了两种基于不同加密原语的具体构造：一种基于指数 ElGamal 加密，另一种基于 Damgård–Jurik 加密。该研究为受监管支付系统中的隐私与合规平衡提供了一种可证明安全的折中方案。

该论文针对用户与大语言模型（LLM）交互过程中的隐私保护问题展开研究。现有的隐私保护方法通常只关注直接的显式标识符，即标准检测器能捕获的个人身份信息（PII），例如姓名、邮箱、电话等。然而，隐私风险并不仅仅源于显式标识符，还包括不含PII的自我披露（self-disclosures），这些信息可以通过准标识符（quasi-identifying traits）的组合重新识别出用户身份。论文在隐私意识委托（PCD）框架下提出概率变体，PCD是一种让本地LLM作为中介来代理用户查询的方法，以避免原始查询直接暴露给服务端。作者在该框架中引入由LLM驱动的k-匿名性概率估计，并作为优化目标的一部分。为支持该研究，作者创建了PUPA-SD数据集，其中包含带有自我披露的自然用户查询。基于该数据集，他们优化了名为PAPILLON的方法。初步实验表明，在PUPA-SD上优化的PAPILLON在多种本地模型上的未见对话质量均有提升，并且在Llama-3.2-3B上取得了最佳的隐私-效用平衡；而较小的模型难以同时优化生成质量和隐私保护。此外，作者提出将k-匿名性作为辅助度量标准，以更好地评估和指导PCD方法。该研究为LLM查询委托中的隐私风险评估提供了新思路，强调了超越简单PII检测的隐私保护需求。

本文提出 SugarCoat，一种自动生成隐私保护且网页兼容的资源替换方案，以解决内容拦截工具中的隐私与功能权衡问题。当前许多广告拦截和隐私保护工具为了不破坏网站功能，会对大量具有隐私风险的脚本进行豁免，导致这些脚本仍能访问敏感数据。SugarCoat 允许过滤器列表作者基于自定义隐私策略，自动修补 JavaScript 脚本，限制其对敏感数据的访问，并生成与现有内容拦截工具（如 uBlock Origin、Brave）兼容的资源替换文件。作者将 SugarCoat 应用于 EasyList、EasyPrivacy 和 uBlock Origin 过滤列表中的 6000+ 例外规则，自动替换被豁免的脚本，并在 Alexa 10k 页面上进行爬取评估。实验表明，SugarCoat 在保持网页功能方面与豁免脚本相当，而在隐私保护方面则类似于直接拦截脚本，有效兼顾了功能与隐私。SugarCoat 强调实际部署，设计上注重与现有工具的兼容性、策略灵活性和可扩展性。目前该工具已开源，并已集成到 Brave 浏览器的内容拦截中，初步生成的一组资源替换已向 Brave 用户发布。该研究为浏览器隐私保护提供了新思路，尤其适用于需要精细控制第三方脚本数据访问的场景。

该论文针对检索增强生成（RAG）系统中的隐私防御措施提出了一种基于源码的主动路径审计方法论。研究指出，黑盒隐私分数难以解释，除非明确被审计防御机制在系统管线中的实际挂钩点。为此，作者提出了主动路径审计方法：首先对检索、检索内容处理以及生成三个阶段进行源码级挂钩清单梳理，将每个隐私指标映射到其对应的泄漏通道，并使用精确匹配的诱饵数据（canaries）验证生成文本的实际隐私泄漏。作者在自己实现的多个基准防御方案上进行了案例研究。结果显示，基于差分隐私（DP）风格的防御方法仅修改了检索评分，其生成阶段的挂钩是TODO标记的占位存根，即未对生成结果做任何改动。这一主动路径解释了为何这些DP式方法会影响成员推断攻击行为，但在命名实体泄漏严格指标（NEL_strict）上却与无防御基线相同。相比之下，端到端的LPRAG方案在电子邮件通道上通过了诱饵验证，在无防御情况下能恢复53/150个诱饵，而应用LPRAG后恢复数为0/150。作者强调，这些发现仅涉及其在自己技术栈上的重实现，不构成对已发布防御方案或防御家族的普适性排名，其核心贡献是提供了一套审计方法论和案例研究，而非给出通用结论。

这篇名为《Coral: Fast Succinct Non-Interactive Zero-Knowledge CFG Proofs》的学术论文提出了一种新的零知识证明系统，专门用于验证上下文无关文法（CFG）相关的计算。研究的核心问题是在不泄露任何底层信息的前提下，高效地证明某段数据符合给定的CFG规则，例如验证一个字符串是否由特定语法生成、检查代码的语法合法性或处理序列数据。传统的零知识证明系统在处理CFG时往往需要将文法转换为电路或约束系统，导致证明生成和验证的开销较大。Coral直接利用CFG的结构，构建了一种自定义的简洁非交互式零知识证明（zk-SNARK）方案。该方法通过将文法规则编码为多项式约束，并结合多项式承诺和交互式预言机证明（IOP）技术，实现了对数级别的证明大小和常数级别的验证时间。实验结果表明，Coral在证明生成速度和验证效率上相较于现有的通用零知识证明系统有显著提升，尤其是在处理大型CFG规则集时。论文的贡献包括理论上的证明系统设计、安全证明以及针对性能优化的实现细节。该研究适合对零知识证明底层协议、形式语言验证以及高效隐私保护计算感兴趣的密码学研究人员和安全工程师阅读。由于本文仅提供了摘要，具体的技术方案和实验数据需要阅读全文才能进一步确认。

本文针对加密消息系统中的滥用追踪与用户隐私之间的根本矛盾展开研究。端到端加密虽然保护了用户通信的机密性，但也使平台无法有效进行内容审核，难以遏制网络滥用行为（如传播有害信息、骚扰等）。已有的可追踪方案允许平台识别消息的原始发送者或传播者，但这种能力若被滥用，可能演变为对无辜用户通信的大规模监控。为限制追踪权限，现有方法通常要求消息被多名用户举报或命中预定义黑名单后才可被追踪，但这类方案要么过度信任某一特定实体（例如定义黑名单的机构），要么依赖单一平台运营的多个服务器之间不会合谋这一不切实际的假设。本文提出了一种抗滥用的来源追踪方案，其核心思想是将追踪权限分散到现实世界中相互独立的多个实体上。作者首先给出了该方案的形式化语法定义，并证明了其安全性属性。方案实现了两个关键原则：一是最小信任，即只要参与追踪的实体中有一个保持诚实，即使其余所有实体合谋，也无法滥用追踪能力；二是最小信息泄露，即参与追踪的各方只能获取完成追踪所必需的信息，无法获知通信双方身份等无关信息。作者利用 Signal 协议中使用的密码学技术实现了该方案，实验评估表明，其性能与现有易受滥用攻击的先进方案相当。该研究为在加密通信系统中实现安全、可控的问责机制提供了一种新的设计思路，适合关注隐私增强技术、安全多方计算和消息内容审核的密码学研究者及系统安全工程师阅读。

本文是一篇关于公众对人工智能（AI）影响隐私未来预期的跨国实证研究。研究团队在10个国家开展调查，旨在回答两个核心问题：普通人预期AI将如何改变隐私状况？以及为什么会产生这样的预期？标题中引用的用户原话“There will be less privacy, of course”反映了普遍存在的悲观预期。研究采用定量与定性相结合的方法，系统比较了不同国家、文化背景和社会制度下民众的认知差异。初步结果显示，多数受访者预期AI会导致隐私减少，但这种预期并非单一负面，而是与AI带来的便利性、安全性等益处形成权衡考量。此外，研究还分析了个人经历、媒体影响、政策环境等因素如何塑造公众态度。该研究的核心贡献在于提供了跨文化的公众认知基线，填补了AI隐私伦理研究中“用户视角”的空白，为技术开发者、隐私政策制定者以及企业合规团队提供了宝贵参考。对于安全防御者而言，理解公众对AI隐私的期待有助于在系统设计中嵌入隐私保护功能，并提前预警因用户预期不匹配而引发的信任风险。

本文以最终用户视角，系统性地探讨了智能锁在可用性、安全性与隐私方面的现状。研究背景在于智能锁作为智能家居的重要组成部分，其安全性不仅取决于技术实现，还深受用户使用行为与感知的影响；然而现有研究多侧重于协议分析或攻击面挖掘，对用户体验与安全实践之间的张力关注不足。作者提出了一种以用户为中心的研究框架，通过问卷调查、用户访谈或可用性测试等方式，收集用户对智能锁设置、日常使用、权限管理、故障处理等环节的真实反馈。核心方法包括：设计针对智能锁功能特性的可用性量表，评估用户对安全提示和隐私政策的理解程度，以及分析用户为追求便利而可能采取的规避安全机制的行为。主要贡献包括：识别出智能锁在用户界面设计、默认配置、通知机制等方面存在的可用性障碍；揭示用户对智能锁数据收集与共享范围的普遍误解；总结出若干可能由用户误操作或低安全意识引发的实际安全风险场景。论文还提出了改进智能锁产品设计、用户引导和隐私披露方式的建议，以在不牺牲安全性的前提下提升用户体验。该研究适合智能锁厂商、智能家居安全研究人员、人机交互（HCI）与隐私领域学者以及负责消费级IoT安全评估的蓝队人员阅读，有助于从人因角度补充传统技术漏洞分析所忽略的风险面。

本研究聚焦于自愿捐赠私人健康数据用于利他目的（如支持医学研究）时，隐私保障机制对人们捐赠意愿的影响。尽管数据捐赠是常见实践，但对数据滥用和泄露的担忧可能阻碍公众参与。隐私增强技术（PETs）旨在通过提供隐私保证来缓解这些担忧，从而促进安全、私密的数据共享。作者通过一项基于情景问卷（vignette survey）的在线实验，招募了494名美国参与者，系统考察了四种通用隐私保证（数据过期、匿名化、目的限制、访问控制）对捐赠意愿的影响。研究还探索了两种验证这些保证的机制：自我审计和专家审计，并控制了人口统计特征以及数据收集者类型（营利机构与非营利机构）等混杂因素。实验设计采用情境模拟，让参与者评估在不同隐私保证条件下向不同类型机构捐赠医疗数据用于新疗法开发的意愿。主要发现包括：第一，受访者对非营利机构抱有先验的高隐私期望，因此明确列出隐私保护条款对其整体感知几乎没有额外影响；第二，对于营利机构，提供隐私保证能够显著提升受访者的隐私期望，使其接近非营利机构的水平，这意味着隐私保证在一定程度上弥补了机构类型带来的信任差距；第三，尽管技术社区普遍认为审计（尤其是专家审计）可以增强对PET保证的信任，但研究结果显示，关于审计机制的透明度对受访者感知的影响有限，这出乎技术社区预期。作者强调这些发现的风险：如果公众对非营利机构过度信任而忽视实际隐私风险，或对审计机制的有效性抱有过高期望，都可能导致隐私保护流于形式。研究呼吁未来需要跨学科努力，弥合技术社区与终端用户对PET审计有效性的认知差距。该论文适合隐私保护研究者、健康数据治理政策制定者以及PET设计者阅读，其方法可为后续相关实证研究提供参考。

本文针对机器学习即服务（MLaaS）中机器遗忘（machine unlearning）与推理服务之间的交互缺陷展开研究。MLaaS 基于从众多数据所有者收集的数据训练模型，提供低延迟的推理服务。为满足数据保护法规中的“被遗忘权”（RTBF），现有机器遗忘方法能够根据数据所有者的删除请求从已训练模型中移除其数据影响。然而，几乎现有方法都将遗忘请求与推理请求独立处理，这引入了新的安全问题：推理服务过时（inference service obsolescence）以及隐私泄露风险。当模型参数因遗忘更新后，若推理服务未同步调整，可能导致服务行为异常或泄露已删除数据的信息。为此，作者提出 ERASER 框架，一种推理服务感知的机器遗忘方法。其核心思路是在处理遗忘请求时，同时考虑推理服务的状态和依赖，确保模型更新后推理服务仍然正确且不会暴露已遗忘数据。该方法有望在不牺牲效率的前提下，同时保障数据遗忘的合规性和推理服务的可靠性。论文主要贡献包括：形式化定义推理服务感知的遗忘问题，设计 ERASER 架构，并可能在真实 MLaaS 环境中验证其有效性。本文适合从事隐私保护机器学习、MLaaS 架构设计、合规性工程以及安全研究的人员阅读。由于当前仅基于论文摘要，尚未获取实验细节，因此具体性能指标和实现方案有待进一步查阅原文。

本文针对数据驱动系统中马尔可夫链状态轨迹的隐私泄露问题，提出了一种基于差分隐私的在线隐私化框架。在许多应用中，系统需要依赖马尔可夫链的状态轨迹（如产品信用风险、用户物理位置、上网行为等）进行决策，但这些轨迹往往包含敏感的用户信息。现有方法通常需要离线处理或会引入较大噪声，导致数据效用下降。为此，作者将马尔可夫链建模为加权有向图，边的权重取转移概率的负对数，并将隐私化轨迹中的每个状态定义为与原始敏感状态在最短路径总权重（即距离）上最接近的候选状态。该机制以在线方式工作，即在生成敏感轨迹的同时生成对应的隐私轨迹，无需等待完整轨迹。理论上，作者证明了隐私轨迹以高概率保持与敏感轨迹接近，从而在下游任务中维持高效用；同时，隐私轨迹始终处于原马尔可夫链的典型集内，说明其统计特性与真实轨迹相似。数值实验表明，在 3-差分隐私参数下，所提机制相比现有技术可将熵降低高达 80%，意味着生成的隐私轨迹更接近原始敏感轨迹，且保持相同隐私水平。本文的主要贡献包括：首次针对马尔可夫链状态轨迹提出在线差分隐私框架、基于加权图距离的隐私化机制、以及严格的理论保证和实验验证。适合对差分隐私、马尔可夫链建模和数据驱动隐私保护感兴趣的研究人员阅读。

本文提出了 ProxyDrift 框架，用于在大型语言模型（LLM）应用的大规模部署中，在不接触原始用户数据的前提下进行数据漂移检测与评估集恢复。核心问题在于：隐私约束使得无法直接检查用户交互，从而难以获得代表性评估数据集或跟踪生产流量的持续演化。ProxyDrift 完全基于非 PII（个人身份信息）的代理表示运行，这些代理表示是从 LLM 对用户交互进行分类而得到的结构化多维描述符。框架包含四个关键组件：(1) 机会校准且冗余感知（RA）的对齐分数，通过互信息聚合各维度的漂移测量结果；(2) 条件采样器，生成尊重维度间依赖关系的合成代理数据；(3) 往返一致性分析，暴露生成器与分类器之间的分歧并引导代理分类法的改进；(4) 反馈关联分析，将各维度和各取值的代理分布与用户满意度联系起来，揭示可操作的失败与成功模式。该系统已服务数亿用户，实现了连续漂移监控和定向合成数据生成，且不暴露敏感用户数据。实验结果表明：往返一致性较强，合成查询与人工查询在判别器层面难以区分，端到端对齐分数（RA~0.9）与生产流量紧密匹配。本文主要面向 LLM 应用运维、隐私保护机器学习以及模型评估与监控方向的研究人员和工程师。

本文是一篇关于 Android 应用中第三方追踪（third-party tracking）与用户同意（consent）机制的实证研究。研究背景是：第三方追踪允许企业收集用户行为数据、跨设备追踪用户活动，可能将用户私生活的深度洞察暴露给陌生方，且通常发生在用户不知情或未明确同意的情况下。欧盟和英国的数据保护法要求，在访问和存储用户设备信息以及处理第三方追踪所涉及的个人数据时，必须获得用户同意。然而，实际中许多应用并未遵守这一要求。本文通过两个层面的分析来调查同意机制的落实情况。第一，对 Google Play Store 中有代表性的应用样本进行分析，发现大多数应用都进行第三方追踪，但很少在追踪前获得用户同意，暗示可能存在大范围违反欧盟和英国隐私法的行为。第二，详细审视最常见的第三方追踪库，发现虽然多数库承认依赖应用开发者代表其获取同意，但通常没有建立强有力的保障机制：同意要求的披露有限；缺乏默认的同意实现；合规指引难以找到、难以阅读且维护不良。研究方法结合了法律分析、大规模应用样本统计和代码级追踪库审查。主要贡献包括：系统性地揭示了 Android 生态中第三方追踪同意机制的普遍缺失；为监管机构和应用开发者提供了合规改进的具体方向；强调了追踪库在同意环节中的责任缺位。适合隐私研究人员、Android 应用开发者、合规人员以及关注数据保护的律师阅读。

本文针对大型语言模型（LLM）推理阶段中提示词（prompt）包含敏感信息可能泄露给专有LLM API 的隐私问题，提出了一种基于密码学思想的提示词净化器（prompt sanitizer）概念及其系统实现 Prmpt（论文标题中写作 Prεεmpt）。核心目标是在形式化保护提示词中敏感信息的同时，尽量保持 LLM 响应的质量。作者首先定义了提示词净化器的形式化语义，将输入提示词转换为经过保护的版本。Prmpt 系统重点关注仅从单个 token 即可推导出的敏感信息，并将敏感 token 分为两类：第一类是 LLM 响应仅依赖于其格式的 token（如社会安全号码、信用卡号），采用保形加密（FPE）进行处理，确保格式不变但内容不可识别；第二类是响应依赖于具体数值的 token（如年龄、薪资），采用度量差分隐私（mDP）机制，在数值上添加受控噪声以实现隐私保护。实验评估表明，相比未净化的提示词，Prmpt 能够在实现有意义的隐私保证的同时保持较高的实用性，并且优于此前的方法。本文的主要贡献在于首次将形式化隐私概念（FPE 与 mDP）系统性地应用于 LLM 提示词净化，并通过实验验证了其实际可行性。适合对 LLM 隐私保护、数据脱敏、安全推理等方向感兴趣的研究人员和安全工程师阅读。

该论文围绕 COVID-19 疫情期间远程通信工具（如视频会议、在线协作平台）的隐私态度与关切展开实证研究。研究背景是：疫情迫使全球数十亿人居家办公、学习和社交，远程通信工具的使用量急剧上升，而且这种模式在疫情后仍会延续。在这种前所未有的场景下，保障用户安全与尊重隐私至关重要，因此需要深入理解用户的行为、态度以及对远程通信各个层面的关切。作者通过 Prolific 平台招募了 220 名全球参与者，进行在线问卷研究。研究发现，隐私和安全是影响用户对会议工具和会议地点态度与舒适度的最常被提及的因素之一。开放性回答进一步揭示：大多数参与者在选择会议工具或是否开启麦克风/摄像头时缺乏自主权，这往往与其个人隐私和安全偏好相矛盾。例如，雇主或教育机构强制指定特定平台，或要求必须开启摄像头，导致用户无法按照自己的隐私偏好进行设置。基于这些发现，作者为雇主、教育机构和工具开发者提炼了一系列建议，旨在告知并赋能用户，使其在参与远程通信时能够做出保护隐私的决策。该研究的核心贡献在于系统地描绘了疫情期间远程通信隐私问题的用户视角，指出了用户自主性与机构要求之间的冲突，并提供了可操作的建议。

该研究来自人机交互与隐私领域，探讨人们对“完全自动化决策”（Solely Automated Decision-Making, SADM）的理解与感受。SADM 指在没有人类实质性参与的情况下，由算法或系统独立做出对个人产生法律或类似重大影响的决策，例如信贷审批、招聘筛选、福利发放等。研究者通过质性方法（如访谈或调查）收集了普通公众对 SADM 的看法，重点关注人们如何感知、理解以及如何意识到自己正在被自动化系统决策，尤其当系统并未明确告知用户时。论文提出“How I Know For Sure”这一核心命题，揭示用户往往通过间接线索（如决策结果的突兀性、缺乏解释、无法申诉等）而非系统明示，来推断自己遭遇了自动化决策。研究还结合欧盟 GDPR 第 22 条等法律框架，分析现行法规对 SADM 的规制与实际用户认知之间的差距。主要贡献包括：系统化呈现了公众对 SADM 的认知模式；指出了现有通知与解释机制在实践中的不足；为设计更透明、可理解的自动化决策系统提供了实证依据。该论文适合关注算法公平性、可解释 AI、隐私法律合规的产品设计师、政策制定者及安全合规从业者阅读，以理解自动化决策在真实用户中的感知风险。

本文提出一种名为China RealDID的架构，旨在解决可验证凭证（VC）和去中心化标识符（DID）在法律锚定上的缺失问题。传统VC/DID支持选择性披露，但缺乏可信身份根，验证者无法确认持有者身份是否真实。国家身份系统虽能提供基于生物识别的验证，但存在三个代价：验证者需收集完整个人信息、基础设施集中于单一API、国家可观察每笔交易。为此，作者提出三层架构：CTID（中心化法律身份）、RealDID（开放许可链上的去中心化锚点）以及基于SD-JWT的VC选择性披露。核心机制是内容盲的政府中继：国家认证参与者并签署每个凭证，但无法读取由发行者加密给持有者公钥的负载。论文评估了五类对手和六个安全目标，描述了VC生命周期、三签名链、开放模板注册表，并讨论了元数据层面的隐私限制，包括中继处的凭证图和单一DID复用导致的展示链接性。该设计形成不对称、国家对界的信任模型：国家无法冒充或读取内容，用户无法伪造身份或逃避元数据观察。最后，论文分析了与中国个人信息保护法和欧盟GDPR的一致性，特别指出不可变注册表与擦除权之间的张力，并通过与新加坡和香港的跨境部署讨论普适性。本工作对于设计兼顾监管要求与用户隐私的身份基础设施具有参考价值。

该论文提出了一种用于图像来源信息（provenance）的“软删除”（soft redaction）机制，旨在解决C2PA等来源标准中透明度与隐私之间的冲突。C2PA标准通过附加签名记录来声明图像的来源、编辑历史和权利信息，但这些断言可能泄露创作者或拍摄环境的敏感信息。作者创新性地利用零知识证明（ZKP）技术，在不暴露原始敏感数据的前提下，证明隐藏数据的某些属性。论文重点研究了距离证明：首先，利用切比雪夫多项式近似在ZKP电路中实现位置断言，证明某个位置靠近公共参考点；其次，将L2距离证明扩展到生物特征嵌入（如人脸嵌入），实现隐私保护的相似度声明，用于支持人格权（如肖像权）的行使；最后，将相同的距离证明构造应用于感知哈希（视觉指纹），用于在水印恢复被剥离的来源元数据时提供防欺骗能力。实验结果表明，这种基于ZKP的图像来源软删除机制与C2PA兼容，可在数秒内构建证明，并在毫秒级完成验证。该研究为在保持来源可信度的同时保护隐私提供了实用方案。

本论文聚焦于射频感知（Radio-Frequency Sensing）技术的用户隐私感知问题。射频感知技术（如基于Wi-Fi信号、毫米波等）能够在不直接接触用户的情况下检测人体活动、位置和生理特征，为智能家居、健康监测等场景带来便利，但同时也可能带来严重的隐私风险。论文通过实证研究调查用户对这类技术的看法，探讨用户是否将其视为“隐私解决方案”还是“隐私威胁”。研究采用问卷调查或定性访谈等方法，分析用户对不同射频感知应用的接受度、担忧点以及期望的隐私保护措施。作者团队来自学术界（包括卡内基梅隆大学等），论文发表于USENIX Security 25，属于安全与隐私领域的高水平学术会议。核心贡献在于揭示用户对射频感知技术的认知差异，并为设计更符合用户隐私期望的射频感知系统提供依据。由于仅有论文摘要，未包含具体实验细节和量化结果，但可以确定这是一项关于隐私态度的人为因素研究，对网络安全中的隐私设计、用户告知和同意机制有重要参考价值。适合隐私研究员、人机交互设计者、物联网安全工程师以及涉及射频感知产品合规的从业者阅读。

本文研究触发-动作平台（Trigger-Action Platforms, TAPs）中的数据隐私问题。TAPs（如IFTTT、Zapier）允许用户将独立的Web服务或物联网设备连接起来，通过简单的“触发-计算-动作”规则实现自动化，例如“当温度传感器超过阈值时发送邮件通知”。这类平台在带来便利的同时，也引入了大规模安全风险：一旦TAP服务器被攻破，攻击者将获取数百万用户的敏感数据（如智能门锁状态、位置信息、健康数据等）。针对这一风险，作者提出了eTAP，一个隐私增强的触发-动作平台。eTAP的核心思路是：在不以明文访问用户私有数据、也不学习计算结果的任何信息的前提下，执行触发-计算-动作规则。技术实现上，eTAP以混淆电路（garbled circuits）为原语，并利用了触发-计算-动作规则的特殊结构来提升实用性。作者正式阐述了协议的安全保证并给出了证明。他们实现了eTAP原型，支持主流商业TAP（IFTTT和Zapier）上最常用的操作类型，包括对私有触发数据的布尔运算、算术运算和字符串运算。实验表明，eTAP能够运行IFTTT前500条规则中的100%，以及Zapier所有公开规则中的93.4%。基于十个覆盖多种操作的现有规则进行性能评估，eTAP的性能开销在可接受范围内：平均规则执行延迟增加约70毫秒（增加55%），吞吐量降低约59%。本文的主要贡献在于首次提出了一种实用的、基于混淆电路的隐私保护TAP方案，在保持与现有规则高度兼容的同时，提供了可证明的安全隐私保障。适合关注IoT安全、隐私计算、安全协议设计的蓝队研究人员、SOC分析人员及安全架构师阅读。

本论文研究了一个核心问题：能否通过“实例编码”（Instance Encoding）机制，在将训练数据输入普通（非私有）学习算法之前对其进行修改，从而让原本不具备隐私保护能力的学习算法获得隐私保障。作者首先形式化了实例编码的概念，并提出了两种攻击模型来度量其隐私性：一个较强的攻击模型和一个较弱的攻击模型。在较强的攻击模型下，他们证明了不可能性结果，即无法通过这类编码机制实现所期望的（更强的）隐私保证。随后，在较弱的攻击模型下，他们对 InstaHide 方案（Huang, Song, Li 和 Arora 在 ICML'20 提出的、旨在利用实例编码保护隐私的近期方案）展示了实用的攻击。实验结果表明，InstaHide 的安全性在较弱的攻击模型下也无法成立，能够通过攻击恢复或泄露敏感信息。该研究为实例编码类隐私方法的局限性提供了理论依据和实证证据，对设计隐私保护机器学习算法具有重要参考价值。适合机器学习隐私研究人员、密码学与安全分析人员，以及关注数据脱敏和隐私增强技术的工程师阅读。

本论文的摘要未在元数据中提供，因此以下内容基于论文标题和已知研究背景进行合理推断。HyTrack 提出了一种跨 Android 应用与 Web 浏览器的持久化跟踪技术，其核心目标是解决用户清除本地标识符（如 Cookie、设备 ID）后跟踪中断的问题。该技术可能利用应用与 Web 服务之间的共享存储（如 SharedPreferences、Web Storage）、同步机制或网络侧信道，在清除一方标识后，通过另一方重新建立用户关联，从而实现“可复活”的弹性跟踪。论文可能详细描述了 HyTrack 的架构设计，包括跨环境状态协调、标识符重建算法以及隐蔽通信手段，并通过实验验证其在主流 Android 应用和浏览器组合中的有效性和持久性，同时评估其对现有隐私保护机制（如 ITP、Cookie 清除）的绕过能力。研究贡献在于首次系统化展示了跨应用与 Web 的持久跟踪实现路径，对隐私保护研究和移动安全防御具有重要参考价值。适合移动安全、隐私保护、威胁情报等领域的研究人员阅读，以理解此类跨平台跟踪的攻击面与防御缺口。

该论文针对桌面操作系统（特别是 macOS）中应用数据收集与共享行为的隐私泄露问题进行了首次系统性研究。尽管 Web、移动和 IoT 生态系统的隐私风险已被广泛探讨，桌面应用却长期被忽视，而它们仍被大量使用，构成用户隐私的关键盲区。作者采用应用开发为中心的视角，梳理了 macOS 中多个监管数据访问与披露的机制（如权限提示、隐私标签、透明度与同意等），发现这些机制彼此割裂，数据抽象层次不一致，导致开发者合规复杂度上升，同时为未披露的隐私侵犯行为提供了便利。基于此，论文提出了 NutriScan 分析框架，结合静态和动态分析技术，对 macOS 应用的数据访问与披露行为进行统一视图的检测。作者使用 NutriScan 动态分析了 1000 个 macOS 应用，结果发现 85% 的应用访问用户数据 API 但未进行披露；49.7% 的应用向广告实体和托管服务商外发数据，其中 12.5% 无对应披露。研究还揭示桌面应用正被在线追踪器利用来丰富用户画像和设备指纹，扩大了在线追踪生态系统的真实范围。最后，作者提出了一系列缓解措施，旨在简化开发者的数据披露流程并改进 Apple 的应用审查流程。该论文是首个针对 macOS 应用生态数据披露机制的全面研究，填补了桌面端隐私研究的空白，对安全研究人员、平台监管者以及隐私合规工程师具有重要参考价值。

直接偏好优化（DPO）已成为利用人类偏好数据对齐大语言模型（LLM）的标准方法。每个 DPO 样本包含一个提示（prompt）和一对候选模型回复，而回复之间的相对偏好往往反映标注者或终端用户的主观判断，可能揭示其敏感属性。现成的隐私保护方法与 DPO 的数据结构不匹配，通常导致不必要的噪声注入和训练偏差。本文形式化定义了'偏好隐私'（preference privacy），一种标签差分隐私（label-DP）风格的隐私概念，仅保护候选回复之间的相对偏好，同时假设攻击者已经掌握提示和回复内容。基于这一概念，作者设计了 PrivDPO，一种在保持与大规模 LLM 训练兼容的同时强制执行偏好隐私的 DPO 变体。核心观察是：对于仅在偏好信号上不同的相邻样本，其梯度差异位于一条由文本决定的单维偏好轴上，所有偏好信息都通过该轴流动。PrivDPO 通过无偏随机重缩放 DPO 目标，仅沿该轴添加校准随机性，从而避免逐样本梯度操作。实验在三个对齐基准和三个 LLM 家族上进行，结果表明 PrivDPO 较之隐私保护基线持续取得了更强的隐私-效用权衡。该研究为 LLM 对齐中的偏好数据保护提供了理论严谨且可扩展的解决方案，适合关注隐私增强型 AI 技术的研究者与实践者。

随着越来越多模型服务以“公共基础模型 + 私有参数高效微调（PEFT）适配”的方式部署，一种新型的差分信息泄露风险逐渐显现：审计者或攻击者可以在本地运行公开的基础模型，并对比受害者服务的输出，从而推断出私有 PEFT 适配的结构。本文提出 VectorHijack-SR，一种系统性的测量方法，将成对的受害者/基础模型残差转换为经过校准的结构边界，覆盖 PEFT 家族、层局部性以及粗粒度秩，并区分元数据可见性、开放世界有效性与操作可利用性。该方法通过聚合查询级幅度、排序、熵、边际、长度、模板、局部性和频谱统计，形成服务级表示；利用服务不相交的分类器量化结构证据，并通过交叉拟合的分层拒绝器判断受害者样本是否落在校准的 LoRA 流形之外。实验在多个分类骨干上验证：家族泄露显著超过随机机会，例如 BERT/MNLI 上 8/12、RoBERTa/MNLI 上 21/24、DeBERTa-v3 在 MNLI 上 12/18 与 AG News 上 15/18；秩推断则呈现任务依赖性，BERT/MNLI 与 DeBERTa/AG News 达到 8/9，而 DeBERTa/MNLI 仅 4/9，经校正后与随机机会兼容。在十个种子的 BERT 开放集网格上，拒绝器达到池化 AUROC 0.804（95% CI [0.660, 0.927]）和已知准确率 0.956，但对结构接近的 DoRA 和 LoRA+head 变体泛化有限。五个留出 LoRA-r64 服务的精确版本链接 AUC 达到 0.940。此外，实验揭示“可见性—可利用性”差距：两阶段恢复无法带来公平预算下的查询节省，后验选择的 PEFT 性能低于蒸馏后转换的 PEFT（0.356 对比 0.517），自由运行生成仍接近随机。整体结论是：在基础模型已知且输出信息丰富的情况下，PEFT 服务可能泄露可操作的结构与版本信息；但仅凭闭集置信度并不能确证通用的适配器恢复能力。该研究适用于模型服务提供商、安全审计者以及从事 PEFT 隐私风险研究的人员。

公共安全机构与关键基础设施运营商广泛依赖基于 P25、TETRA 与 TETRAPOL 的集群陆地移动无线电（LMR）系统。这些系统在设计上不仅需要保护通信内容的机密性，还应当隐藏通信行为本身（即通信事实）。然而，本研究指出，LMR 标准在“内容机密性”与“通信机密性”之间存在显著鸿沟：在加密的业务平面之下，信令平面几乎完全以明文传输。以往针对这些系统的安全分析大多聚焦于内容平面，例如恢复加密密钥或捕获意外的明文语音，而忽略了信令平面暴露所引发的侧信道泄露风险。 作者通过对比分析这三种主流集群 LMR 标准，深入探究了从暴露信令中进行对抗性推断的可行性与影响。研究表明，即便内容加密在密码学上无可挑剔，被动使用软件定义无线电（SDR）的监听者仍可从信令数据中恢复出大量操作敏感信息，包括网络拓扑与地理分布细节、单位的存在性与移动轨迹、跨小区与跨组的调度关系、组织结构，乃至密钥域及密钥周期轮换等操作安全细节。更关键的是，这种信令层面的推断能力远不止于监听者直接覆盖的区域，而是能够通过时间关联与身份关联将本地嗅探扩展为全国范围的网络测绘，从而破坏或削弱 LMR 标准通过设计试图实现的身份混淆机制。 在 TETRAPOL 系统中，作者还演示了如何借助信令元数据的推断与跟踪，结合该标准在紧急呼叫处理环节存在的等级保密缺陷，成功实现未加密语音的提取。最后，论文讨论了潜在对策与缓解措施，包括对小区间、基站及用户身份的专门保护建议。该研究为公共安全通信系统的安全评估提供了全新视角，强调了信令平面防护的紧迫性。

本文针对云端语言模型服务中基于混淆的隐私防御提出了一项有效的嵌入反转攻击。当前，云语言模型服务在处理包含敏感信息的提示时，通常采用混淆技术（如ObfusLM、SentinelLMs、TextObfuscator和DPNR）在传输前转换提示表示，作为加密方案的轻量级替代。然而，作者通过提出DeepInvert攻击证明了这类防御提供的保护远低于此前认知。DeepInvert是一种半监督嵌入反转攻击，能够从混淆后的表示中恢复原始token，且准确率显著优于既有方法。其核心洞察在于，尽管未标记的混淆嵌入经过了扰动，仍保留了可利用的语义结构。DeepInvert结合了在带标签影子数据上的监督训练与在未标记目标嵌入上的新型无监督一致性目标，通过混合训练流程交替优化。此外，攻击还具备防御感知的适应能力，可扩展到多种混淆机制，覆盖基于编码器和自回归的语言模型架构。在九种防御、五个任务和四种模型架构上的实验表明，DeepInvert在大多数防御下均优于现有攻击。以ObfusLM为例，DeepInvert的Top-1 token恢复率达到73.5%，而此前最优方法仅为26.2%。研究结果揭示了一种任务相关的两难局面：能够在效用上保留足够信号的混淆方案，同时也会保留足以被反转利用的结构；而能够抵抗反转的方案，其效用则大幅下降。仅在简单分类任务中，部分基于差分隐私的防御能够同时维持隐私与效用。作者呼吁安全社区重新评估这一防御类别，并指出混淆并非可靠的隐私保护机制。

本文提出 PriDyG，一个面向动态图推断的隐私保护框架，旨在解决关系型数据上的图推断可能泄露敏感边信息的问题。在动态图中，模型反复更新会导致隐私损失累积，使得问题更加严重。作者形式化了边级差分隐私动态图推断（EDG）问题，并设计了一种结合 GNN 结构学习与 LLM 语义推理的私有推断框架。PriDyG 的核心创新是增量式私有多跳聚合机制：它缓存新到达的边，并确保每条边只被处理一次。通过并行组合性质，总隐私成本等价于单次静态发布的隐私成本，与模型更新的次数或调度无关。与几何衰减的预算分配方法相比，增量聚合避免了指数增长的噪声，同时保留精确的一跳信号和至少一半的二跳信息传递。此外，PriDyG 利用仅基于节点文本的 LLM 预测来补充私有化的 GNN 输出，不产生额外的边级隐私成本。在四个基准数据集上的节点分类和链接预测实验中，PriDyG 在相同隐私预算下持续优于几何衰减基线，并匹配朴素逐次更新重训练的工具性，同时将累积隐私成本降低最多三个数量级。该研究适用于关注隐私保护图学习、动态图分析以及 LLM 与 GNN 协作机制的研究人员和工程师。

该论文聚焦于大语言模型智能体中“人格技能（Persona Skills）”这一新型个性化机制的安全风险。人格技能将个人交互历史压缩为可移植、可执行的工件，供下游智能体复用。论文指出，这一过程将分散的个人信号集中化，并通过复用放大其影响，使传统针对单条记录或检索式记忆的防御手段失效。为系统评估该风险，作者提出了 AntiSkillBench，一个端到端基准测试平台，覆盖人格技能管线的风险与防御。其构成包括：(i) 包含 7,500 条基于人格的对话轨迹数据集，来自 50 个行为丰富的画像，涵盖多样任务场景；(ii) 一套评测体系，可评估技能层面的隐私泄露、智能体层面的属性泄露与行为模仿，覆盖三种技能蒸馏策略；(iii) 一套防御评估，涵盖在线和事后干预的四种配置，包括主动风险抑制和被动来源保护。实验在三个前沿智能体上进行，结果表明人格技能风险在不同骨干模型和蒸馏协议下持续存在，且从显性属性延伸至沟通风格和人格特质。现有防御表现出有限且依赖蒸馏方式的有效性，无法跨风险和策略泛化。AntiSkillBench 为开发隐私保护且具备真实性意识的人格技能提供了具有挑战性的基准。

本文针对差分隐私零阶优化（DP-ZO）在大语言模型（LLM）微调中的局限性，提出了一种噪声感知的自适应收缩方法 SAGE。DP-ZO 仅利用前向传播评估即可实现内存高效的私有微调，是当前隐私保护 LLM 微调的重要技术路线。然而，现有基于聚合的 DP-ZO 方法以固定尺度重建模型更新，忽略了训练过程中有用信号强度的动态变化，导致噪声主导的更新可能被过度加权，从而损害模型效用。SAGE 的核心思想是根据私有化估计的信号质量进行自适应衰减：它从观测到的二阶矩中减去已知的高斯噪声方差来估计潜在信号能量，通过时间追踪稳定该估计，并将当前信噪比与预热参考值比较，从而推导出有界收缩因子。作为纯后处理方法，SAGE 不消耗额外的隐私预算或模型查询，仅引入恒定的额外状态量。理论分析表明，收缩使得二次更新风险项的下降速度快于线性下降项，从而在保留有用下降方向的同时，限制噪声主导更新的影响。实验在 RoBERTa-large、OPT-1.3B 和 OPT-6.7B 上验证，在相同隐私预算下，SAGE 在大多数设置中优于现有基线，同时保持了 DP-ZO 仅前向传播的内存效率。该研究为差分隐私大模型微调提供了更鲁棒的更新策略，适合关注隐私保护机器学习、尤其是 LLM 隐私微调的研究人员和工程师阅读。

本论文针对利用WiFi感知进行无接触击键推断以窃取PIN码的隐私威胁展开研究。现有方法存在两个关键瓶颈：一是通常需要获得目标网络的访问权限才能获取稳定的感知数据流，限制了实际部署；二是纯WiFi信号在快速、肌肉记忆键入时存在波形融合歧义，难以准确分割按键。为了克服这些问题，作者提出了AirKey，一种跨模态感知框架，能够实现高度隐蔽且零训练的PIN窃听。AirKey首先利用IEEE 802.11标准中的机制，无需与目标设备建立网络关联，即可通过向未修改的目标设备发送特定触发，诱使其响应ACK帧，并使用低成本微控制器被动地从这些ACK帧中提取信道状态信息（CSI），从而获得持续的空间感知流。其次，针对WiFi波形融合难题，AirKey引入跨模态互补机制：利用轻量级的声学信号作为精确的时间锚点，引导对重叠CSI轨迹的分割，通过联合时空融合，将CSI衍生的空间相似性与声学引导的按键间时间信息严格结合，以区分不同按键。实验评估表明，AirKey的准确率比最先进的单模态零训练方案高出4倍以上，并能在6次尝试内成功恢复设备解锁PIN。最终，这项工作揭示了现代智能界面中的严重漏洞，强调了普适多模态感知的隐私影响。

联邦学习（FL）中的隐私增强技术，如安全聚合和分布式差分隐私，通常依赖一个关键假设：参与者中必须存在诚实多数，以抵御各种攻击。然而在实际部署中，服务器并非总是可信的，一个恶意的服务器可以策略性地选择已受感染的客户端，人为制造不诚实多数，从而破坏整个系统的安全保证。本文提出名为 Lotto 的联邦学习系统，致力于解决这一基础但长期未被充分研究的问题——即如何对抗恶意服务器实现安全的参与者选择。Lotto 支持两种选择算法：随机选择和知情选择。为了在没有可信服务器的情况下确保随机选择，Lotto 使得每个客户端能够依据可验证的随机性自主决定是否参与，从而消除了对服务器信任的依赖。对于更容易被操纵的知情选择，Lotto 通过在经过筛选的客户端池中进行随机选择来近似该算法，从而限制了服务器的操作空间。理论分析证明，Lotto 能有效将服务器选中的受损参与者比例对齐到全体客户端中不诚实客户端的基线比例。大规模实验进一步表明，Lotto 的收敛速度（时间到精度）与传统不安全的选择方法相当，说明其安全选择带来的计算开销很低。该研究为联邦学习中的参与者选择提供了一种可信且高效的新机制，增强了系统在对抗性服务器环境下的鲁棒性。适合联邦学习平台开发者、隐私保护机器学习研究人员以及关注服务器不可信场景的安全工程师阅读。

本文针对网站指纹（Website Fingerprinting, WF）攻击的防御评估标准提出重要批判与改进建议。WF 攻击能够通过分析加密流量模式（如数据包大小、时序、方向等）来识别用户访问的网站，严重威胁 Tor 等匿名通信系统的隐私保护。为抵御此类攻击，研究者已提出多种防御机制，并通常在所谓的“多页面”（multi-page）设置下进行评估。该设置要求攻击者在包含多个网站页面的数据集中识别目标页面，被认为对攻击者而言难度较高，因此使得防御方处于有利地位。作者指出，这种评估方式存在严重缺陷：它为弱防御提供了虚假的成功表现，导致某些仅适用于受限场景的防御方法被误认为有效。为此，论文提出应采用“单页面”（one-page）设置作为全新且更严格的评估标准。在单页面设置中，攻击者面对的任务是判断用户是否正在访问某个特定页面，更贴近实际攻击场景中资源有限但目标明确的情形。这一标准显著提高了对防御能力的要求，只有真正强大的防御才能经得住考验。作者主张所有未来的 WF 防御研究都应默认采用该设置进行统一评估。本文的核心贡献并非提出新的攻击或防御算法，而是推动评估方法论的变革，有助于提升 Tor 等匿名系统的安全性，避免过度乐观的防御结论误导实际部署。该文适合从事匿名通信、流量分析、隐私保护相关研究的学者和工程师阅读。

本文提出了一种名为“最小信息泄露”（Minimal Information Disclosure, MID）的框架，用于解决AI验证过程中的隐私保护问题。AI验证通常需要验证者获取足够的信息以确认某项授权声明，但这些证据可能同时泄露关于模型、工作负载或硬件的敏感细节。MID的核心思想是设计并量化验证者可见证据本身的信息内容，利用条件互信息来衡量“附带泄露”——即在授权结果已知后，证据发布仍然揭示受保护属性的信息量。MID的设计具有通用性，能够适配不同的验证目标、受保护属性、证据来源和部署约束。作者在四个物理测量数据集和六项验证任务上进行了实验，覆盖执行类型、硬件身份、计算规模、模型身份等验证场景，并通过三个机制设计变量（证据通道、采集策略、发布变换）展示了MID的实用性。实验结果表明，MID在部分任务中实现了完美的留出验证性能且附带泄露为零，其余任务则给出了明确的隐私-效用前沿。此外，MID还支持基于ZKP（零知识证明）的认证发布，作者使用Groth16 zk-SNARK演示了所提出的线性投影机制。该研究为AI验证中的隐私保护提供了新的理论工具和实用方法，适合从事AI安全、隐私计算、可验证计算和零知识证明方向的研究者阅读。

本文研究Chromium站点隔离（Site Isolation）机制下由时序特性引发的浏览隐私泄露问题。站点隔离是现代浏览器安全架构的核心，通过将不同站点渲染在不同进程中，以防止侧信道攻击和数据泄露。然而，本文揭示了该机制本身引入的时序侧信道：由于进程资源有限，在严格隔离跨站点iframe时，攻击者可以利用进程分配和页面加载的时序差异，推断浏览器当前加载了哪些特定网站，甚至识别用户正在交互的站点。为了验证该攻击，作者使用Alexa Top 3000网站进行大规模评估，结果显示三个关键漏洞指标分别达到99%、99%和95%，表明攻击具有极高的成功率和通用性，且无需特殊假设即可在实际场景中部署。该研究指出，进程稀缺性与强制隔离跨站点框架之间的根本矛盾是导致漏洞的原因，目前作者正与Google Chrome和Microsoft Edge团队合作，研究并评估缓解方案。本文的贡献在于首次系统性地分析站点隔离下的时序攻击面，量化了隐私泄露风险，并为浏览器安全架构的改进提供了重要参考。

本论文提出了一类新的针对机器学习模型的主动推断攻击，称为“Truth Serum”。这类攻击的核心思想是：如果攻击者能够向训练数据集中投毒（即注入精心设计的恶意样本），那么训练出的模型将会泄露其他参与方（受害者）训练数据中的敏感隐私信息。这种攻击将两种原本独立的研究方向——数据完整性攻击（投毒）和隐私攻击（推断）——联系在了一起。作者证明了这些攻击在成员推断、属性推断和数据提取等隐私攻击场景中都非常有效。具体而言，在针对性的攻击中，仅需投毒训练集的不到0.1%的样本，就能将推断攻击的性能提升1到2个数量级。此外，如果攻击者能够控制训练数据的很大一部分（例如50%），则可以发起无目标的攻击，使得对所有其他用户私有数据点的推理精度提升约8倍。实验结果还对多方计算（MPC）协议在机器学习中的隐私保证提出了质疑：如果参与方可以任意选择自己的训练数据份额，那么基于密码学的隐私保护可能变得毫无意义。这项研究揭示了训练数据投毒不仅影响模型完整性，还会破坏模型隐私性，为机器学习模型的隐私与安全研究提供了新的思路，也对使用公共数据池进行协作学习的安全实践提出了警告。

本文研究检索增强生成（RAG）系统中的成员推断攻击（Membership Inference Attack, MIA）问题。RAG 通过将外部知识库中的文档检索结果注入到大语言模型的上下文中，实现无需调整模型参数的接地生成。尽管不更新权重避免了通过模型参数泄露训练数据，但检索到的文档本身可能被攻击者利用，构成新的隐私泄露面。已有的成员推断和数据提取方法通常依赖越狱提示或精心构造的非自然查询，容易被 RAG 系统中常见的查询改写技术检测或拦截。为此，作者提出一种名为“审讯攻击”（Interrogation Attack, IA）的新型成员推断技术，专门针对 RAG 数据存储中的目标文档。其核心思想是构造自然语言查询，使得只有目标文档出现在上下文中时该查询才能被正确回答，从而以黑盒方式推断文档是否在数据库中。实验表明，该攻击仅需 30 次查询即可完成单文档推断，且隐蔽性显著优于现有方法：常规检测器对已有攻击生成的对抗提示的识别频率是对 IA 生成提示的约 76 倍。在多种 RAG 配置下，IA 在 1% 假阳性率下的真阳性率（TPR@1%FPR）相比先前推断攻击提升 2 倍，而单文档推断成本低于 0.02 美元。该研究揭示了 RAG 系统中“通过上下文泄露”的新隐私风险，凸显了检索端防御的重要性。适合关注 LLM 隐私、RAG 安全及对抗机器学习的蓝队研究人员阅读。

该论文是一篇关于社会网络安全（Social Cybersecurity）的系统性综述（SoK）。研究背景是：传统网络安全与隐私（S&P）系统在设计时往往忽略用户的社会行为和社会关系，导致用户在实际使用中难以在理想的安全策略与社会互动之间取得平衡。作者系统分析了先前在社会网络安全领域的工作，并基于其与四个S&P相关的社会行为的相关性进行结构化梳理：(1) 协商共享资源的访问权限；(2) 共享与社会化认证；(3) 管理自我呈现（如隐私设置、个人信息展示）；(4) 影响他人对S&P的行为。进一步地，论文将社会距离划分为四个尺度——亲密、个人、社交、公共——并指出期望的访问控制策略、认证方法以及隐私和共享偏好会随社会尺度变化而变化。作者通过Ackerman在社交计算系统中提出的“社会-技术差距”视角评估当前研究现状，发现社会行为明显影响S&P偏好和需求，但现有S&P系统在设计时对这些行为缺乏理解。这种不匹配迫使用户不得不在实现理想安全策略和降低社交摩擦之间做出选择。为弥合这一差距，论文提出了一项社会网络安全的研究议程，旨在使安全与隐私目标更好地与社会需求、偏好和行为对齐。主要贡献包括：对社会网络安全文献的分类框架、社会距离尺度的引入、对现有系统不足的评估，以及未来研究方向的建议。该论文适合安全系统设计者、隐私研究员、人机交互（HCI）与安全交叉领域的研究人员阅读，有助于理解安全机制设计中的社会维度。

本研究关注父母在社交媒体上分享子女照片（即“晒娃”）的隐私问题，探讨年轻成年人对父母在其童年时期分享照片行为的看法。研究背景是：越来越多的父母习惯在互联网上分享子女的照片，而这些照片可能在孩子成长过程中长期留存，引发隐私、尊严和数字身份等问题。核心研究问题是：当这些孩子长大成人后，他们如何评价父母的此类分享行为？研究采用质性或混合方法，对年轻成年人进行访谈或问卷调查，收集他们对自己童年照片被分享的经历、感受和态度。主要贡献包括：揭示了年轻人对“晒娃”行为的复杂态度，包括对隐私侵犯的担忧、对父母动机的理解、以及希望对自己数字形象有更多控制权的愿望；提出了在数字时代平衡父母分享意愿与子女隐私保护的建议。该研究为社交媒体平台、隐私政策制定者以及家长提供了参考，强调在分享儿童照片前应征求儿童意见或考虑其长期影响。适合关注社交媒体隐私、儿童权利、以及数字身份管理的研究人员、平台设计者和家长阅读。

本文来自 arXiv，研究跨组织纵向联邦学习中的隐私保护与模型精度权衡问题。在传统联邦学习中，各参与方本地持有数据，通过共享模型参数或更新信息来协作训练，并借助本地差分隐私（Local Differential Privacy）保护原始数据。然而，本地差分隐私通常会注入大量噪声，导致模型精度显著下降。针对这一瓶颈，作者提出一种名为“私有跨聚合技术”（Private Cross-aggregation Technology, PCT）的新方法。PCT 结合了私有集合交集基数（Private Set Intersection Cardinality）、可信执行环境（TEE）和差分隐私（DP），构造一个从输入到输出均保持私密的交叉列联表（cross-tabulation table）。整个训练流程分为两步：第一步，利用 PCT 生成私有交叉列联表；第二步，基于该表格训练机器学习模型。这样，模型无需直接接触原始数据，也不依赖高噪声的梯度交换。实验结果表明，在隐私预算受限的场景下，所提方法的分类精度优于基线联邦学习方法，同时计算耗时更短。论文的核心贡献在于：将 TEE 与 DP 结合，通过私有交叉表形式降低了噪声对模型精度的影响，为纵向联邦学习提供了一种端到端的隐私保护解决方案。适合关注隐私计算、联邦学习、差分隐私与可信硬件结合方向的研究人员阅读。

在Tor匿名网络中，网站指纹识别（WF）攻击是一种通过分析网络流量模式（如数据包方向和时间）来识别用户访问的网站的攻击方式。Tor浏览器提供安全滑杆设置，用户可选择低、中、高安全级别，这会影响下载内容产生的流量模式，从而可能影响WF攻击的准确性。此前的研究通常假设训练和测试数据的安全滑杆设置一致（均为高或均为低），并在此条件下评估攻击与防御。然而，现实场景中用户可能混合使用不同设置。本文针对这一缺口，系统研究了在训练和测试阶段使用混合安全滑杆设置的痕迹对WF攻击性能的影响。作者通过实验比较了一致设置（如全高或全低）与混合设置（如部分高部分低）下攻击的分类准确率，发现混合设置在若干情况下能够提升攻击性能。这一结果表明，现有WF防御评估可能过于乐观或低估了攻击的适应性，因为实际用户的行为可能产生更复杂的流量特征。因此，论文建议未来的WF防御评估应同时考虑一致设置和混合设置的训练/测试场景，以确保评估结果的全面性和可靠性。该研究对于理解WF攻击的鲁棒性以及设计更有效的防御措施具有重要的指导意义，尤其提醒研究者在构建和验证匿名通信系统的隐私保护能力时，必须考虑用户设置多样性带来的实际威胁模型。

本文提出 MESS，一个面向语义搜索的隐私保护系统，旨在同时满足隐私性、准确性和效率三个目标。语义搜索系统将数据映射到高维向量空间，并通过近似最近邻（ANN）检索实现相似数据查询；然而，当系统部署于可信云提供商时，数据与查询本身缺乏隐私保护。现有工作分别采用同态加密（HE）、不透明随机访问内存（ORAM）或差分隐私（DP）方法，但均未能同时实现三个目标。MESS 的核心方法是将原始向量转换为二进制码，应用局部敏感哈希（LSH）与随机响应（randomized response）技术，并在扰动后的编码上构建多图层次可导航小世界（HNSW）索引。该系统确保数据、查询和访问模式隐私，并通过两阶段查询扰动机制实现搜索模式隐私。多图索引设计缓解了扰动对结果质量的影响，从而维持准确性；由于直接在扰动编码上执行搜索，避免了 HE 或 ORAM 的开销，系统具有较高效率。作者给出了系统的正式隐私分析，并进行了广泛的性能评估，结果显示 MESS 相比最先进基线可降低高达 15.08 倍的延迟。该研究的贡献包括：首次将多图 HNSW 与 LSH 及随机响应结合用于隐私保护语义搜索；设计了两阶段查询扰动机制；通过实验证明其在隐私、精度和效率之间的良好权衡。适合对隐私增强型信息检索、向量数据库安全以及可信云环境下数据保护感兴趣的研究人员与安全架构师阅读。

该论文提出了一种名为“生物特征传感器网络”(Biometric Sensor Network, BSN) 的系统，旨在实现 STEM 课堂环境中学生个体参与度(Student Engagement)的实时测量与持续追踪。传统的学生参与度评估方法往往依赖人工观察、自我报告或侵入式设备，难以在真实课堂中大规模、非干扰地应用。本文设计的 BSN 通过分布式感知节点“学生处理单元”(Student Processing Units, SPUs) 捕获行为、情感和认知三类参与度指标，核心设计目标包括非侵入性、非侵犯性、非污名化、实时性、自动性，同时严格保护学生数据安全和隐私。每个 SPU 支持两种工作模式：数据集采集模式和分析模式。在采集模式下，系统临时记录原始视频以构建私有学生参与度数据集，用于模型训练和验证；在分析模式下，SPU 仅对 10 秒视频片段进行端侧实时推理，不存储或传输原始画面。所有视觉处理——包括人脸检测、视线估计和情感分析——均在设备本地完成，确保可识别的视频数据不离开设备。此外，系统还包含安全的后端基础设施，负责设备认证、会话编排和加密数据接入。整体架构综合了硬件设计、计算机视觉流水线、无线网络、安全协议和会话级数据管理。该研究的主要贡献在于提出了一种完整可部署的隐私保护型实时参与度测量系统方案，解决了现有方法在实用性、隐私和实时性之间的平衡问题。适合研究教育技术、情感计算、边缘 AI 和隐私保护计算机视觉的研究人员阅读。由于本文仅为摘要，尚未提供实验验证细节，因此只能作为概念性研究参考。

该论文提出并实现了一个名为 YazSes 的离线、隐私优先、跨平台的按住说话（hold-to-talk）语音听写系统。研究背景是：云端语音听写服务虽然准确率高，但需要将用户语音流式传输到远程服务器，这在隐私敏感的职业场景以及离线或气隙（air-gapped）环境中不可接受；而现有的主流端侧（on-device）替代方案要么被平台锁定，要么面向专家级脚本编写而非即插即用的听写需求。YazSes 采用 Apache-2.0 开源协议，完全在设备本地运行，通过基于协议的平台抽象层，用单一代码库支持 Linux、macOS 和 Windows。系统使用 faster-whisper（CPU、int8 量化）在本地转录语音，并将结果注入当前聚焦的应用程序；同时设计了一种快速正则表达式命令语法，辅以一个可选的小型语言模型路由器，将语音映射到编辑器或终端操作。在隐私保护方面，系统采用按住说话而非持续监听，无遥测数据，可选的个性化循环将语料库在设备上加密保存，并仅建议配置更改而非导出数据。论文详细描述了系统架构——基于协议平台抽象的分阶段流水线，以及 JSON-RPC 控制平面——并分析了其隐私与威胁模型。实验在单台普通 Linux 笔记本上进行评估；macOS 和 Windows 后端已实现并通过单元测试，但未进行端到端评估。在包含 40 位说话人的 200 条 LibriSpeech 测试集干净样本上，词错误率从 tiny.en 的 4.82% 到 small.en 的 2.59%，small.en 的实时因子为 0.520，即在无 GPU 的 CPU 上解码速度快于实时。命令语法在普通听写场景下达到 100% 的动作准确率和 0.0% 误报率，每次调用耗时 0.021 毫秒，非解码流水线额外开销为 0.289 毫秒。论文所有数据均基于公开的可复现基准测试工具。该工作适合对隐私保护语音交互、离线环境下的生产力工具、以及跨平台端侧人工智能系统感兴趣的开发者和安全研究人员。

本文提出一种针对临床脑电图（EEG）数据的隐私保护联邦学习框架，核心机制是基于掩码的安全聚合（secure aggregation）。联邦学习虽然允许多个机构在不交换原始临床EEG数据的前提下共同训练模型，但个体模型更新仍可能泄露患者隐私。为解决这一问题，论文将多种技术融合到框架中：基于图的通信拓扑、阈值秘密共享、抗节点掉线（dropout）的聚合协议、局部更新裁剪，以及可选的基于布隆过滤器的隐私保护记录链接初始化模块，并引入辅助公证人（auxiliary notary）机制来实现聚合结果的可验证性。该框架同时支持半诚实（semi-honest）和恶意（malicious）聚合器安全模型，并基于Flower联邦学习框架实现。实验在模拟的跨机构（cross-silo）医疗场景下进行，使用TUH EEG数据集，并配置了不同的客户端数量。结果表明，在既定假设下，安全聚合变体能够对聚合服务器隐藏个体更新，且与联邦模型训练兼容。然而，针对恶意设置的防护机制以及轻量级一致性检查会引入额外的计算、通信和训练轮次耗时。其中，半诚实变体在安全配置中开销最低，而恶意设置和辅助公证人变体以更高成本换取更强的数据一致性、完整性以及轻量级验证支持。该研究为医疗领域中的EEG数据共享与协作建模提供了可落地的隐私保护方案。

该论文聚焦于蓝牙低功耗（BLE）协议规范及其多种实现中的可追溯性漏洞。作者通过系统化的方法，对BLE通信的链路层、主机协议及实际设备固件进行了安全分析，发现了一系列可被攻击者利用来跟踪设备位置的攻击路径。这些攻击主要利用BLE设备在广播、连接和断开阶段的隐私保护机制缺陷，例如未充分随机化的MAC地址、固定不变的设备标识符以及实现层面的不一致性。研究采用自动化工具和手动逆向相结合的方式，对主流BLE协议栈（如Android、iOS、Linux BlueZ等）进行了全面测试，证实了多个可导致用户长期被跟踪的设计与实现漏洞。实验结果表明，这些攻击能够突破现有的隐私保护措施，在现实环境中实现可靠且低成本的设备跟踪。论文的主要贡献包括：建立了BLE可追溯性攻击的分类体系，提出了针对协议规范的形式化建模方法，以及公开了可复现的测试框架。这项工作对于蓝牙协议的设计者、设备制造商以及关注用户隐私的安全研究人员具有重要参考价值。

该论文聚焦于欧洲智能电视生态中HbbTV（混合广播宽带电视）协议的隐私安全问题。HbbTV允许广播公司在传统电视信号之上叠加基于Web的交互内容（如投票、定向广告），但同时也实现了双向通信——除接收内容外，还能向广播公司回传用户数据。研究团队通过分析意大利、德国、法国、奥地利、芬兰五国共36个电视频道的HbbTV部署情况，揭示了广播公司如何利用该协议收集用户观看偏好，并指出了协议实现中存在的严重隐私风险。此外，研究人员对用户进行了问卷调查，发现用户对智能电视及HbbTV相关风险的认识极为有限。最后，论文提出了一种基于黑名单的防御机制，旨在减少HbbTV可能带来的隐私泄露，保障用户安全观看体验。该研究的核心贡献在于：首次系统化地从协议层面（而非智能电视固件或应用安全）审视HbbTV隐私问题，提供了跨欧洲多国的实证数据，并提出了可落地的缓解方案。适合智能电视安全研究人员、隐私保护工程师、标准制定机构及广播行业从业者阅读。

该论文系统性地评估了加密货币生态中使用的各类点对点网络匿名方案的实际匿名性。随着比特币等加密货币的普及，交易层面的匿名技术（如混币、环签名）已得到广泛研究，但底层 P2P 网络层的匿名性保障往往被忽视。论文聚焦于 Dandelion、Dandelion++ 等旨在隐藏交易发起者 IP 地址的网络层协议，通过理论分析与实验模拟，揭示了这些方案在面对全局被动攻击者及局部主动攻击者时存在的匿名漏洞。研究发现，现有网络层匿名方案难以同时兼顾低延迟、高匿名性与对去中心化拓扑的适应性；例如，时序分析、流量关联及 gossip 协议中的信息泄露可被用于概率性地链接交易与节点。论文提出了改进方向，包括更优的扩散策略、动态路径选择及与传输层加密的深度整合。该工作为加密货币开发者提供了匿名性设计的安全边界参考，也为监管机构理解网络层隐私风险提供了理论依据。

该论文研究了美国最高法院推翻罗诉韦德案（Roe v. Wade）后，公众对患者隐私问题的反应。研究收集了2022年5月至12月期间的大量Twitter数据，采用计算分析与定性内容分析相结合的混合方法，分析了公众对医疗隐私，特别是电子病历访问、患者-医生信息交流的保密性以及未经患者同意共享病历等问题的担忧。研究发现，用户广泛表达了对生殖健康相关隐私的关切，这些发现可能对政策制定和医疗行业实践（涉及生殖权利和女性健康中的医疗隐私）产生启示。论文作为学术研究，通过社交媒体数据挖掘了公众情绪，为理解技术环境下隐私态度提供了实证基础。

该论文研究在动态Web流量中通过深度时间特征进行用户识别的问题。现代Web应用大量使用动态内容，例如通过XMLHttpRequest或Fetch API的页面更新，这些请求通常由用户操作（如键盘输入、鼠标点击）触发，因此用户操作的时间与携带这些事件的网络数据包时间高度相关。论文利用这一相关性，在加密网络流量中通过深度时间特征来度量用户行为。方法基于准确检测与用户操作对应的数据包子集，并借鉴了击键动力学的最新研究。实验表明，通过用户使用搜索引擎打字引起的网络数据包时间序列，可以以中等准确率进行用户识别。该工作对取证调查人员有帮助，可在加密流量中进行目标识别，但也引发了隐私担忧，即路径上的远程攻击者可能检测这些数据包并推断用户行为。

本文探讨了在极低采样率（5Hz）下，利用智能手机内置加速度计窃听语音的可能性。背景是：为防止恶意应用通过运动传感器窃听，Android 12 已将零权限访问的运动传感器最大采样率限制为 200Hz。但已有攻击证明 200Hz 仍不安全，因此厂商可能进一步降低采样率，直至极低水平（例如 5Hz）。传统窃听方法依赖频谱特征，在采样率低于 50Hz 时已无法达到可接受的精度。按照奈奎斯特定律，人类语音最低基频约 85Hz，5Hz 的采样率理论上无法捕获语音。然而，作者发现加速度计数据中的节奏特征（包括暂停节奏和强度节奏）在不同采样率下相对稳定。基于这一观察，他们提出了一种在 5Hz 极端低采样率下利用加速度计进行窃听的方法。该方法不依赖频谱信息，而是通过提取语音的节奏模式来推断说话内容。实验部分（摘要中未详述，但预期表明）在多种实际场景下验证了方法的有效性。该研究揭示了即使采样率降至极低，加速度计仍可能构成隐私泄露风险。

本文提出了一种名为 E-MagDiP 的框架，旨在解决基于脑电图（EEG）的社区感知项目中的隐私问题。此类项目通过聚合大量个体的脑电数据来分析学生或员工的专注度等群体特征，但 EEG 信号本身包含敏感的个人神经信息，直接采集和分析会带来隐私泄露风险。差分隐私（DP）是一种常用的隐私保护技术，通过向数据中添加噪声来保护个体信息，同时保留统计规律。然而，将 DP 应用于 EEG 数据面临两大挑战：一是需要在用户级别生成噪声，导致功耗和延迟显著增加；二是大多数商用 EEG 头戴设备无法修改硬件以集成噪声注入模块。为此，作者提出使用外部射频（RF）发射器向 EEG 头戴设备发射无线信号，在信号采集阶段物理性地扰动 EEG 信号，从而等效地实现 DP 噪声注入。该方法无需对用户设备进行任何修改，即可在采集源头实现隐私保护。据作者所述，这是首个将 RF 信号用于隐私保护而非攻击的研究工作，为 EEG 社区感知提供了一种实用的差分隐私实现路径。论文属于人机交互（cs.HC）领域的交叉研究，适合对隐私增强技术、脑机接口安全、边缘计算与无线感知感兴趣的学者和工程师阅读。由于仅基于摘要，尚无法获取实验细节，但该研究为 EEG 隐私保护开辟了新的技术方向。

本论文针对大语言模型（LLM）量化是否能够降低隐私风险的问题展开研究。现有相关研究几乎全部使用成员推断（membership inference）来衡量隐私，但作者认为这并非大多数人所关心的实际风险：人们真正担心的是模型逐字复现训练数据。为此，本文直接度量了逐字提取（verbatim extraction）这一风险。实验使用 Pythia 模型以及每个模型已知被记忆的公共序列，在从全精度到四比特的五个精度级别、三种模型规模下，追踪逐字提取的比例，同时测量困惑度以评估通用能力。主要发现有两方面：第一，量化是一种选择性遗忘器——在每种精度和模型规模下，逐字记忆的下降速度都快于能力下降，并且该结论在两种不相关的量化算法和两个评估语料库下均成立；第二，这种选择性不足以使量化成为隐私防御手段，这与先前成员推断研究结果的乐观解读相矛盾。在最大规模的模型中，四比特量化仍能复现大部分记忆序列，而能力仅下降几个百分点，且量化后存活的记忆数据比例随模型规模增大而增加。作者得出结论：压缩不应被视为移除记忆训练数据的方法，提取（extraction）而非成员推断才是实践者应关注的指标。所有代码、采样评估数据和逐配置结果均已公开。

本文研究分割学习中的隐私泄露问题，提出了一种基于拓扑复杂性（persistent Betti complexity）的隐私感知分割学习框架。分割学习通过将神经网络在客户端和服务器之间分割来实现协作训练，但不当的分割点会导致中间表示泄露敏感信息（如特征反转攻击和梯度泄漏）。作者通过逐层分析发现，隐私风险在神经网络层间高度不均匀，存在尖锐的过渡区域，仅靠网络深度无法捕捉。具体而言，在更深的隐私关键分割点，特征反转的保真度可从可忽略的重建提升至SSIM高达0.98。进一步实验表明，Betti复杂度能够一致地识别出与高风险特征空间隐私泄露相关的表示区域。基于此观察，本文提出BettiSafe，一种无需显式执行攻击即可识别隐私敏感层的拓扑引导分割选择策略。与基于深度的启发式方法相比，BettiSafe将特征反转抵抗能力提升2至5倍，同时保持分类准确率。此外，基于Betti的正则化方法在不降低模型效用的前提下，将反转难度提升近5倍，实现了有利的隐私-效用权衡。总体而言，本文表明拓扑复杂度可作为安全、自适应且表示感知的分割学习的结构性描述符，适用于现实世界的协作系统。

本文提出SPIRAL协议族，用于实现单服务器私有信息检索（PIR）。核心创新在于组合使用两种基于格的同态加密方案：Regev加密方案和Gentry-Sahai-Waters（GSW）加密方案，并引入了新的密文转换技术，使得两种方案可以高效互转，从而在通信和计算之间实现新的权衡。实验表明，与先前系统相比，基础版SPIRAL在多种数据库配置下同时实现了查询大小降低至少4.5倍、响应大小降低1.5倍、服务器吞吐量提升2倍。变体SPIRAL-STREAMPACK针对流式场景优化，在超过百万条记录的数据库上达到1.9 GB/s的服务器吞吐量（先前协议为200 MB/s），速率达到0.81（先前为0.24）。对于大规模记录（如私有视频流），估计SPIRAL-STREAMPACK的货币成本仅为无隐私基准（客户端直接下载记录）的1.9倍。该工作适用于对隐私保护数据库查询有需求的场景，如医疗记录检索、金融数据查询等。

本文提出了一款名为 V-Cloak 的实时语音匿名化系统，旨在保护用户在即时通讯或社交媒体上生成的语音数据中的声纹隐私，防止恶意对手进行身份推断或身份盗窃。现有的语音匿名化技术（如信号处理、语音转换/合成）往往导致感知质量下降。V-Cloak 通过一种一次性生成模型，在保持语音可理解性、自然度和音色的前提下，实现实时匿名化。该方法对不同频率级别的音频特征进行调制，并采用精心设计的损失函数，包括匿名损失、可理解性损失以及基于心理声学的自然度损失。V-Cloak 支持无目标和有目标匿名化，分别实现不可识别性和不可链接性。作者在四个数据集（LibriSpeech 英文、AISHELL 中文、CommonVoice 法文和意大利文）、五种自动说话人验证（ASV）系统（包括两种基于 DNN、两种统计方法和一种商业 ASV）以及十一种自动语音识别（ASR）系统（针对不同语言）上进行了广泛实验。结果表明，V-Cloak 在匿名性能上优于五种基线方法。此外，仅在 VoxCeleb1 数据集上针对 ECAPA-TDNN ASV 和 DeepSpeech2 ASR 训练的 V-Cloak 仍具有跨 ASV 的可迁移匿名能力和跨语言的 ASR 可理解性。论文还验证了 V-Cloak 对各种去噪技术和自适应攻击的鲁棒性。该工作为语音隐私保护提供了有效且实用的解决方案。

本论文研究客户端扫描（Client-Side Scanning, CSS）技术在安全隐私研究人员和美国普通公众中的态度差异。客户端扫描是一种在用户设备上自动扫描内容（如图片、消息）以检测非法材料（如儿童性虐待材料）的技术，但其对隐私和信任的潜在影响引发争议。研究通过两个调查：一个针对安全隐私研究人员（171名受访者），另一个针对美国人口样本（1000+名受访者），收集他们对CSS不同维度的看法，包括可接受性、隐私权衡、信任影响等。结果显示，研究人员普遍对CSS持谨慎态度，强调隐私风险和滥用可能性；而普通公众则表现出更高的接受度，尤其是当CSS被用于保护弱势群体时。研究还发现，对CSS的支持性受信息呈现方式（如强调隐私保护或公共利益）的影响。主要贡献在于：首次系统比较了专家与公众对CSS的态度，揭示了认知差距；为政策制定者和技术开发者提供了关于CSS社会接受度的实证数据；强调了在设计CSS系统时需平衡安全与隐私。

该论文研究了德国法院判决中使用的匿名化技术的有效性。法院判决的公开至关重要，但必须保护涉案人员的隐私。论文作者通过设计去匿名化实验，对大量已公开的德国法院判决进行评估，尝试重新识别被匿名的个人。实验采用多种去匿名化方法，包括基于上下文的推理、外部数据关联和模式分析。结果表明，当前许多法院使用的匿名化方法存在严重缺陷，相当比例的判决可以在不消耗过多计算资源的情况下成功去匿名化。论文进一步分析了失败原因，如过度依赖简单替换、未充分删除可关联信息等。主要贡献包括：首次系统评估德国司法系统中的实际匿名化实践，揭示了匿名化技术的脆弱性，并提出了改进匿名化流程的具体建议。研究对司法数据公开政策、数据保护合规及隐私增强技术具有重要参考价值。

本文研究AI代理身份系统中问责性与匿名性的平衡问题。现有行业实践和研究方案普遍倾向于让每个代理完全可识别以保障问责，但中国正在建设的国家级代理身份层（计划于2026年Q3公开上线）探索了一条不同路径：代理与经过验证的法律主体关联，但该主体身份不向任何业务层参与者披露；只有通过法律程序分别强制两个不同的政府机构才能重新识别，且任一机构单独无法完成。作者将这一机制命名为“分裂知识绑定”（split-knowledge binding），并坦承它是条件性的——分离是结构性和程序性的，而非密码学层面的；若国家同时强制两个机构，则可重新识别。论文贡献了五个方面：(1) 分裂知识绑定，一种基于机构而非密码学分离的托管问责机制；(2) 事后归因论（ex-post attribution thesis），主张只有基于归因的问责才能对AI代理具有法律后果的行为产生法律效力；(3) 问责面（accountability surface），一个设计概念，标识哪些代理行为会留下身份痕迹；(4) 身份托管比例框架（proportionality framework for identity escrow），在三种信任架构中选择的决策结构；(5) 反思性管辖方法（reflexive jurisdiction method），用于评估本文自身部署的标准。系统证明了国家级可行性；该框架是评判任何部署（包括本文所述系统）的工具。

本文针对移动应用在不同地理区域间代码级安全与隐私差异（GFD）进行了首次系统研究。虽然已有工作关注元数据级别（如权限、隐私政策）的区域差异，但代码实现层面的差异缺乏深入分析。作者开发了名为Freelens的框架，解决了代码混淆和分析可扩展性等关键挑战，能够自动识别并表征跨区域的安全相关代码变化。基于该框架，作者对分布在十个不同互联网自由程度国家的21,120个Android应用进行了大规模实证研究。研究发现：广告库、数据处理逻辑和认证机制等存在显著的区域差异，这些差异经常破坏安全基线，并导致隐私保护水平不均衡。研究还揭示了GFD现象的上升趋势，强调了制定统一隐私安全标准的紧迫性。最后，作者为开发者、平台提供商和监管机构提供了可操作的建议，以促进用户权益的公平保护。

该论文研究了视频流媒体服务中用户隐私面临的大规模监控风险。研究背景在于，视频流媒体服务日益普及，但其网络流量特征可能泄露用户的观看行为、偏好甚至个人身份信息。核心问题在于现有隐私保护措施（如加密）是否足以防御针对流量的侧信道攻击。方法上，作者可能设计了一个大规模监控框架，通过分析加密流量的时序特征、数据包大小分布等元数据，识别出用户正在观看的具体视频内容。实验部分可能基于多个流行的流媒体平台的数据集，验证了监控方法的有效性，并评估了不同保护机制（如VPN、混淆）的防御效果。主要贡献包括：（1）系统性地量化了视频流媒体服务中的隐私泄露程度；（2）提出了可扩展的监控方法；（3）揭示了现有加密方案的不足。该研究适合网络安全研究员、隐私工程师及流媒体服务提供商阅读，以理解当前威胁并设计更健壮的隐私保护方案。

本文研究私密信息检索（PIR）协议的通信复杂度问题。PIR 允许用户在不向服务器泄露查询内容的情况下，从分布式数据库中检索一条记录。经典结果要求服务器数量与通信量之间存在权衡。本文在数论猜想（广义重单位猜想或 Schinzel 假设 H）成立的前提下，构造了对于任意常数 s 的 s 服务器 PIR 协议，其通信复杂度为 exp(O((log n)^{1/s} (log log n)^{1-1/s}))，其中 n 为数据库大小。此前达到相同通信量的协议需要 2^{O(s)} 台服务器。核心创新在于构建了仅含 k+1 个非零系数的 S-解码多项式（模 k 个素数的特殊乘积），解决了 Ghasemi 和 Kopparty 提出的开放问题，该稀疏性已被证明是最优的。作者还通过实验验证了构造的正确性，并使得对于 s ≤ 15 的结果无条件成立。此外，对于随 n 增长的 s，在更强的数论猜想下，本文证明了匹配向量 PIR 的通信复杂度可较先前最优结果实现超多项式改进。主要结果（常数 s）及其证明由作者在 GPT-5.5 Pro 对话中发现。该工作属于理论计算复杂性领域，为高效 PIR 协议的设计提供了新的代数工具。