本论文针对大语言模型（LLM）量化是否能够降低隐私风险的问题展开研究。现有相关研究几乎全部使用成员推断（membership inference）来衡量隐私，但作者认为这并非大多数人所关心的实际风险：人们真正担心的是模型逐字复现训练数据。为此，本文直接度量了逐字提取（verbatim extraction）这一风险。实验使用 Pythia 模型以及每个模型已知被记忆的公共序列，在从全精度到四比特的五个精度级别、三种模型规模下，追踪逐字提取的比例，同时测量困惑度以评估通用能力。主要发现有两方面：第一，量化是一种选择性遗忘器——在每种精度和模型规模下，逐字记忆的下降速度都快于能力下降，并且该结论在两种不相关的量化算法和两个评估语料库下均成立；第二，这种选择性不足以使量化成为隐私防御手段，这与先前成员推断研究结果的乐观解读相矛盾。在最大规模的模型中，四比特量化仍能复现大部分记忆序列，而能力仅下降几个百分点，且量化后存活的记忆数据比例随模型规模增大而增加。作者得出结论：压缩不应被视为移除记忆训练数据的方法，提取（extraction）而非成员推断才是实践者应关注的指标。所有代码、采样评估数据和逐配置结果均已公开。

本论文针对嵌入式安全关键系统中部署深度神经网络等复杂算法时面临的安全性与资源效率矛盾问题展开研究。现有硬件（GPU、NPU、TPU）以吞吐量为设计目标，忽视计算正确性，易受故障注入攻击（特别是比特翻转攻击）；而软件量化方案要么静态且正确但功耗非最优，要么动态但不够安全（不适用于安全关键应用）。为此，论文提出了一种全新的实时、动态且正确（sound）的量化方法及其配套硬件架构。核心创新点包括：1）采用从左到右（left-to-right）的算术运算，优先传递最高有效位（MSB），从而实现实时自适应精度量化；2）在线动态调整精度，并同步执行敏感性分析，量化和管理决策边界交叉的风险；3）提出使用脉动阵列（systolic arrays）实现从左到右算术的硬件方法，确保关键比特的高可靠性。该方案不仅支持资源高效的边缘神经网络推理，还提供广泛正确且资源高效的高精度数学运算，从根本上增强对最关键比特的比特翻转攻击的韧性。论文目前属于进行中工作（work-in-progress），软件实现已完成，硬件设计正在进行中。该工作对于需要在受限硬件上安全运行AI模型的领域（如医疗设备、自动驾驶）具有重要参考价值。

模型量化是降低大语言模型存储和推理开销的关键技术，但最近的研究表明，量化引入的离散化和舍入误差可被攻击者利用，构造量化条件后门攻击。在这种攻击下，恶意行为在全精度阶段保持休眠，仅在量化部署后激活，从而绕过传统的安全审计和检测机制。针对这一威胁，本文提出了一种主动的预量化防御方法 QuantGuard。该方法引入了可微的舍入控制变量，并结合了误差引导的舍入反转约束、输出分布一致性和权重距离正则化，以精细调控关键的舍入行为。关键的是，QuantGuard 仅使用少量校准数据集，且不修改现有量化算法。这种设计打破了攻击者精心构造的权重模式与量化边界之间的精确对齐，有效抑制了量化后的后门激活路径，同时保持了模型的原始功能和性能。作者在六个主流大语言模型（包括 LLaMA-3 和 Qwen2.5-Coder）上，使用三种量化精度（INT8、FP4 和 NF4），在三个代表性场景（易受攻击代码生成、内容注入和过度拒绝）下进行了系统实验。结果表明，QuantGuard 能够持续缓解量化条件后门攻击，将攻击成功率降低到与干净模型相当的水平，同时在通用能力基准测试上基本保持性能。该方法计算开销低，为安全量化部署 LLM 提供了一种有效实用的解决方案。

该论文针对模型量化中的后门攻击（Quantization-Conditioned Backdoors, QCBs）提出了一种新型防御方法。QCBs 是一种后门威胁：模型在全精度下表现正常，但经过量化后激活恶意行为。现有防御通常需要修改量化过程或校正激活统计信息，导致额外计算开销或依赖特定量化设置。作者从参数空间角度出发，观察到全精度模型与量化模型之间的权重差异编码了一种结构化的行为偏移，这种偏移可被解释为恶意任务向量而非随机量化噪声。基于此，提出了 QVec 方法：在部署前通过受控参数修正来抵消该恶意方向。QVec 无需重训练、无需触发器样本，仅需一次量化传递来估计参数偏移，并结合轻量级超参数搜索。在图像分类基准和多种大语言模型（LLM）攻击场景上的实验表明，QVec 能在保持干净模型性能的同时持续抑制后门激活。该方法为防御 QCBs 提供了一种高效且通用的新思路。

该论文聚焦于TinyML硬件加速器中量化神经网络（QNN）的安全性问题。TinyML设备因功耗和尺寸限制广泛采用量化技术，但先前安全研究主要关注全精度深度神经网络（DNN），且认为QNN对常见逃避攻击具有相似或更强的鲁棒性。然而，这些研究未考虑TinyML硬件特有的攻击面。论文提出了一种两步攻击流水线：第一步利用量化特有的误差特性（如权重量化误差、激活函数近似）构造扰动，第二步将这些扰动适配到硬件实现中的有限精度运算，从而在保持攻击不可感知性的前提下显著提升攻击成功率。实验基于多个典型TinyML硬件平台（如ARM Cortex-M系列、定制加速器）和标准数据集（如CIFAR-10、ImageNet子集）进行，结果表明该攻击流水线在QNN上实现了比现有最佳方法更高的欺骗率，且攻击所需计算资源低于传统方法。论文的主要贡献在于：（1）首次系统性分析TinyML硬件中量化过程引入的独特安全漏洞；（2）提出一种硬件感知的攻击框架，展示了专用攻击策略的必要性；（3）揭示现有鲁棒性评估方法在TinyML场景下的不足。研究结论强调：TinyML安全研究必须脱离通用DNN范式，走向硬件与量化协同的定制化分析。该工作适合嵌入式系统安全研究人员、TinyML硬件设计者以及对AI边缘部署感兴趣的工程团队阅读。

本文系统性地审计了量化大语言模型（LLM）安全评估中的一个常见捷径：先用质量指标（如困惑度、任务准确率）筛选量化后的检查点，再决定是否有必要进行直接安全测试。作者构建了一个包含51个数据点的矩阵，覆盖6个模型（如Llama、Mistral、Falcon等）、4个模型家族、7级GGUF量化阶梯以及AWQ/GPTQ INT4检查点。分析发现，质量-安全对在所有模型上方向性分裂，共36对无法一致指示安全性。更关键的是，9个“隐藏危险”（hidden-danger）行和1个“近隐藏危险”行显示：尽管质量指标稳定甚至改善，拒绝安全请求的成功率却下降了12-68个百分点。在AWQ/GPTQ检查点中，11个有7个属于隐藏危险。进一步的四探针机理分析（熵、拒绝方向、校准探针和安全相关神经元误差吸收）无法可靠区分危险行：安全相关神经元虽然整体上吸收的量化误差显著更多（1.39倍），但该效应不具模型或量化方法特异性。作者采用Claude Sonnet 4对11470个预定义分层项目进行重新标注，与初级gemma3:12b审核器在89.9%的行上一致（κ=0.873），且未改变任何隐藏危险单元的判决。为此，作者提出了校准的“拒接模板稳定性指数”（RTSI），基于四个拒绝模板漂移特征进行校准，在留一法交叉验证下能以95%置信下限0.72的准确率将全部10个隐藏/近隐藏危险行导向直接安全测试，同时将45个非基线行中的23个标记为低风险。相比之下，最佳单特征基线（唯一前缀率变化、原始拒绝率变化）在相同桶大小下分别只捕获9/10和8/10，且跨模型族转移需要重新校准。结论：对于研究的量化检查点、模型族和安全结果，保留质量指标不能替代直接安全评估。该工作对LLM量化部署的安全实践提出了重要警示。

本文揭示了一种名为“Quantamination”的新型安全漏洞，该漏洞存在于机器学习服务系统中的动态量化（dynamic quantization）环节。动态量化是一种在模型推理运行时根据输入数据实时调整量化参数的优化技术，旨在降低内存占用和计算负载，提升生成速度和服务效率，且通常不会显著损失模型精度。然而，研究者发现，当前主流机器学习框架（包括ML编译器和推理引擎）在默认或可配置状态下，其动态量化实现会无意中在同一批次的输入之间创建侧信道（side channel）。攻击者可以通过提交精心构造的恶意输入与受害者数据混合在同一个批次中，利用量化参数对输入数据的依赖性，从输出结果中反向推断出同一批次其他用户输入的敏感信息。实验表明，至少4个广泛使用的框架（如TensorFlow、PyTorch等及其相关编译器）存在此类问题，攻击者理论上能够部分甚至完全恢复其他用户的批处理输入数据，构成严重的隐私泄露风险。本文系统性地分析了漏洞产生的根本原因，提出了量化侧信道的形式化模型，并展示了多种攻击场景下的数据恢复能力。该研究适合机器学习系统安全研究人员、模型服务框架开发者以及关注隐私保护的AI从业者阅读。