变异模糊测试（mutation-based fuzzing）是软件安全中广泛使用的漏洞发现技术，但由于其随机性，对它的结果进行严格评估和复现存在困难。现有工作通常通过经验性测量来刻画这种随机性，但缺乏理论上的收敛性与样本复杂度保证，导致评估不可靠。该论文针对上述两个问题进行了深入研究。第一，提出一种鲁棒性评估方法：运行多次独立的模糊测试活动（campaign），在考虑计算量（测试长度）差异后，度量bug触发率的变异情况。作者从理论上证明了，在M次长度为T的独立测试中，有限试验（即M有限）导致的误差以标准M^-1/2速率衰减；而有限测试长度（T有限）引入的误差，在bug触发时间相关性逐阶衰减时具有有界性。这一理论结果首次为模糊测试的统计评估提供了可计算的收敛保障和样本复杂度指导。第二，提出一种名为“splitting”（分裂）的黑盒增强技术：当模糊器触发一个bug时，复制其当前队列状态，并让多个分支从该状态继续运行，从而将更多计算资源导向已发现的薄弱区域。作者证明，无论分裂树具体如何实现，任何分支路径相比单一连续路径都不会减少触发bug事件的原始数量；而且，当那些被更多分支访问的状态在未来更容易触发更多bug时，预期检测效率会获得提升。在一个简化模型中，当模糊器花费在bug区域的时间比例p小于sqrt(2)-1时，splitting能够降低单位计算量的方差。实验部分，作者在Magma基准的40个地真值（ground-truth）单元上进行验证，在计算量匹配的前提下，splitting在38个单元中比基线在相同CPU时间内找到更多真实bug（中位数提升52%，其中38个中34个具有统计显著性），且从未发现少于基线的不同bug。特别地，它使CVE-2019-19926从未被检测（0/20次独立试验）变为稳定检测（20/20次，Fisher精确检验p<10^-4），另有6项检测改进涉及相关CVE。在FuzzBench基准上，splitting在70个对比组中的53个中找到更多独特bug，并在66/70个组中降低了跨campaign的结果变异，中位数变异降低约10倍。所有分裂分支均计入相同计算预算，总开销仅约0.14%。因此，该工作为模糊测试的可信评估与实用增强提供了一套完整的理论与工程方案。

该论文针对基于机器学习的网络入侵检测系统（ML-based NIDS）在对抗性逃逸攻击下的鲁棒性问题展开研究。尽管已有大量关于对抗攻击与防御的文献，但多数研究在统一条件下对多种攻击、多种检测模型以及多种防御策略进行横向比较仍显不足。为此，作者使用NF-UQ-NIDS数据集——该数据集包含近年传统网络与物联网（IoT）流量，涵盖20种不同的攻击类别——系统性地评估了8种对抗性逃逸攻击、15种检测模型以及3种代表性防御策略。评估流程包括：比较模型在干净测试数据上的性能；基于包含对抗样本的鲁棒性评估集分析各模型的攻击成功率与一致性；并考察不同防御策略对模型鲁棒性的影响。为便于模型间比较，作者提出了一种紧凑指标“鲁棒性指数（Robustness Index, RI）”，该指标综合了模型在鲁棒性评估集上的平衡准确率与宏F1分数，同时以攻击成功率（ASR）作为惩罚项。在此基础上，论文进一步提出AR-NIDS两阶段框架：第一阶段采用对抗训练后的集成模型区分正常样本、攻击样本和对抗样本；第二阶段使用对抗攻击分类器识别具体攻击类型。实验结果表明，在针对迁移攻击设定的条件下，所提出的对抗训练集成模型取得了最佳的整体权衡，既能保持较高的分类性能，又能有效抵御逃逸攻击；其将平均攻击成功率从0.41降至0.03，并取得了0.98的鲁棒性指数。该研究为ML-based NIDS的鲁棒性评估提供了统一的比较框架与量化指标，并给出了一种实用的防御架构，适合网络入侵检测研究者和蓝队安全工程师阅读，辅助其评估和构建更具鲁棒性的检测系统。

本文针对联邦学习在网络入侵检测（NIDS）中的应用，系统研究了隐私保护、鲁棒性和类别不平衡检测覆盖三者之间的权衡关系。联邦学习允许在不集中敏感流量数据的情况下进行协作训练，但在实际部署中必须同时满足三个相互竞争的要求：严格的差分隐私保证、对拜占庭恶意参与者的容忍能力，以及在严重类别不平衡下对各类攻击的可靠检测。现有文献往往将这三个性质视为可独立组合的模块，而本文从理论和实验两个层面挑战了这一假设。作者引入“几何不可区分性”作为概念框架，解释在客户端更新因隐私噪声而产生分散时，少数类攻击信号如何更难被鲁棒聚合机制保留。以UNSW-NB15数据集为案例，文章评估了DP-SGD与坐标中位数聚合在标签翻转和模型投毒攻击下的联合表现，并按攻击类别评估威胁覆盖率。结果表明，隐私噪声与鲁棒聚合的联合使用会不成比例地降低稀有攻击的检测率，相对于多数类而言性能退化更为显著。进一步的实验发现，强隐私条件下出现的性能崩塌部分源于训练过程中的校准错误，即使经过依赖ε的调参，超稀有攻击类别仍可能存在残余性能下限。这些发现说明，隐私、鲁棒性和稀有攻击覆盖不能被视为独立可组合的性质，而应联合建模与评估。作者提出，聚合感知的建模方法和样本感知的评估指标是构建可信联邦NIDS的有前途方向。本文适合关注联邦学习、对抗鲁棒性、隐私保护机器学习以及入侵检测系统的研究人员和安全工程师阅读。

该论文提出了一种针对生成式语音模型的鲁棒音频水印框架 CRAW（Codec Robust Audio Watermarking）。研究背景是：近年来生成式语音模型（如语音克隆、语音合成）的进步使得真实与合成语音难以区分，增加了欺诈和虚假信息的风险。音频水印通过在生成语音中嵌入人耳难以感知的信号，并在后续检测中验证音频来源，是一种有前景的防御手段。然而，现有的事后（post-hoc）水印方法在面临神经编解码器（neural codecs）、降噪器（denoisers）和声码器（vocoders）等实际存储、传输与处理中常见的变换时，鲁棒性严重不足，导致实际应用受限。CRAW 作为端到端框架，联合优化了对神经再合成（neural re-synthesis）的鲁棒性，同时保持较高的感知质量。其核心方法包含三个技术组件：1）失真感知训练（distortion-aware training），使模型在训练阶段就接触各种编解码失真；2）注意力机制池化（attention-based pooling mechanism），用于提升水印嵌入的鲁棒性；3）推理时的感知掩码（inference-time perceptual masking）和纠错码（error-correcting code），用于恢复鲁棒训练中损失的水印保真度。实验表明，CRAW 在神经编解码器、降噪器和声码器下达到了当前最优的鲁棒性，同时感知质量与现有事后水印方法相当。代码已开源在 GitHub 上。该研究对音频取证、AI 内容溯源和反欺诈领域具有直接价值，适合音频安全研究者、生成式 AI 平台运维者以及内容完整性验证系统设计者阅读。由于本分析仅基于论文摘要，相关结论需进一步结合全文和技术实现验证。

本文针对语音助手中的关键词检测（Keyword Spotting, KWS）系统在真实场景下的鲁棒性挑战展开研究。关键词检测是语音助手的首要环节，需要在连续音频流中准确识别唤醒词。然而，现实环境中的噪声、干扰以及恶意构造的对抗样本都可能导致其性能显著下降。论文题目暗示其目标在于提升KWS系统对各种扰动的鲁棒性。作者团队跨越多所高校，具备机器学习与安全领域的专业背景，可能采用数据增强、对抗训练、鲁棒声学特征或模型架构改进等策略。由于仅获取到标题和作者信息，无法获知具体方法、实验设置与评测数据集，因此本摘要基于题目推测，所有技术细节均需以原论文正式发表版本为准。读者若关注语音交互安全或对抗机器学习，可追踪该工作获取后续完整成果。

该论文针对深度图像水印中鲁棒性这一核心开放问题展开分析，重点研究当payload容量增长时，鲁棒性受限的根本原因。作者提出两个问题：容量本身是否是限制因素，还是仅仅暴露了其他潜在限制？论文给出两部分回答。第一部分系统梳理了水印必须承受的各种失真以及现有抵抗策略，并按照主导轴进行分类：对于失真按payload容量排序，对于策略按可微性排序。第二部分识别并量化了在将payload映射到空间块网格、提取器与冻结嵌入器分离训练的典型方案中，限制鲁棒性的三种机制：payload网格失同步、编解码器引入的失真对训练的抵抗性、以及可用嵌入强度窗口的收窄。论文在payload大小从64位到16384位范围内进行测量，远超这些策略设计时覆盖的范围。实验表明，针对编解码器训练提取阶段不仅无效，反而有害，会降低训练时工作点上的读取性能。关键发现是，这些限制取决于失真类别而非容量本身，且None of the limits can be removed by further training on the extraction side,因为三种机制都发生在提取之前。论文还贡献了一个使泛化声明可验证的评估协议。结论适用于一类设计而非单个实现。

本文针对真实世界场景下深度伪造（deepfake）检测面临的质量退化问题展开研究。尽管现有深度伪造检测方法在常用数据集上表现良好，但在实际应用中（如社交媒体平台上的伪造视频和实时直播），由于平台会进行不可预测的压缩等操作，导致视频质量下降，破坏了可辨别的伪造线索，使得检测模型效果显著降低。本文首先系统评估了真实世界质量退化（如JPEG压缩）对检测模型性能和表征能力的影响，发现真实世界的深度伪造样本可以通过常见的退化操作（如JPEG压缩）进行模拟，这些退化后的样本与真实低质量深度伪造在感知上高度相似。其次，作者通过分析不同训练样本顺序下的训练动态，观察到从无退化（简单）样本到重度退化（困难）样本的课程式训练顺序能够增强模型对多样退化的适应能力。基于上述观察，作者提出了一种名为ProFake的新型深度伪造检测方法。ProFake采用渐进式质量自适应学习机制，通过逐步退化、检测并根据模型性能与图像质量为训练样本分配权重，使模型从易到难地聚焦于更具挑战性的样本，从而实现质量自适应的检测。在多个真实世界场景和重度退化场景下的实验表明，ProFake相比现有方法平均检测准确率提升超过10%，在重度退化场景下提升超过30%，同时在高清晰度深度伪造检测上保持相近性能。该工作为提升深度伪造检测在现实部署中的鲁棒性提供了新思路，适合研究深度伪造检测、模型鲁棒性以及多媒体取证的安全研究人员阅读。

联邦学习（FL）允许多方在不直接共享原始数据的情况下协作训练模型，但恶意客户端的存在会严重威胁模型安全。基于投票的FL方法通过将客户端划分为多个组，每组训练一个局部模型，最终通过多数投票聚合预测结果来提升鲁棒性。然而，在类别不重叠的非独立同分布（non-IID）数据分布下，不考虑数据分布特性的分组策略会导致认证准确率（CA）波动很大。本文提出CARVY-FL，一种利用客户端反聚类实现鲁棒投票的联邦学习方法。核心思路是：首先通过单轮模型更新估计每个客户端的数据分布类型，然后使用反聚类（anticlustering）技术，使得每个组内的客户端数据分布具有尽可能大的多样性，从而在固定分组下保持基于投票的CA保证的同时，增大投票裕度（vote margins）。理论上，CARVY-FL保留了投票式联邦学习的认证鲁棒性；实验在MNIST和Fashion-MNIST上验证了其CA优于已有方法FLCert。此外，在BadNets后门攻击配合模型替换场景下，CARVY-FL将100-ASR（攻击成功率）的AUC分别提升了11.1%和14.9%，显示出更强的后门抵御能力。本文适合研究联邦学习鲁棒性、数据异质性以及对抗攻击防御的研究者和工程师阅读。

本文针对 XRP Ledger 网络的共识机制鲁棒性问题展开研究。XRP Ledger 允许参与者选择一组受信任的节点（即唯一节点列表 UNL）进行通信，并以高阈值（如 80%）达成共识，决定下一账本状态应包含的交易。然而，该共识协议要求各参与者的 UNL 之间存在显著重叠，且每个 UNL 内部需达到高度一致。攻击者可能通过攻击构成网络连接骨干的节点，将可相互通信的受信任节点数降至阈值以下，从而破坏共识过程。为了提升现有 XRP Ledger 拓扑的鲁棒性，作者形式化定义了 quorum 鲁棒性和网络鲁棒性，并基于此评估多种策略。提出的主要策略是边增补（edge augmentation）方法，即根据不同构造规则添加新的边；对比策略是来自先前工作的重连（rewiring）或边替换方法，即在保持总边数不变的前提下重新排列边。针对每种策略，作者考虑了两种情形：所有节点参与边构造/重连，以及仅部分节点参与。实验结果表明，相比于默认的 XRP Ledger 拓扑，增补策略能显著提升网络鲁棒性；某些增补策略在仅少量增加边数（例如每节点三条边）的情况下，其鲁棒性指标也能达到甚至超过重连策略。此外，基于随机 K-out 的增补策略在保持网络拓扑相似性（以 Jaccard 相似度衡量）方面优于重连方法，即对原有网络结构的改动更小。该研究为分布式账本网络的拓扑加固提供了量化分析和实用策略，适合区块链网络设计者、共识协议研究者以及负责 XRP Ledger 基础设施安全的人员阅读。

该论文是一篇关于检索增强生成（RAG）安全与鲁棒性的系统性综述。RAG 通过引入外部知识库来增强大语言模型，能够提升事实性和减少幻觉，但与此同时，检索-生成流水线也引入了新的安全风险，例如语料库投毒（corpus poisoning）、后门攻击（backdoor attacks）、隐私泄露（privacy leakage）以及公平性破坏（fairness violations）。现有综述在攻击者目标、威胁模型和分阶段防御的覆盖上存在局限。为此，本文提出了一种统一的、面向流水线的 RAG 鲁棒性研究框架。作者首先对语料库、检索器和生成器分别形式化定义了威胁模型，并将攻击归纳为三大目标：准确性（accuracy）、隐私（privacy）和公平性（fairness）。随后，他们从流水线视角系统梳理了防御措施，覆盖检索（retrieval）、重排（rerank）、生成（generation）和追踪（traceback）等阶段。此外，文中还总结了用于评估和解释 RAG 鲁棒性的基准测试（benchmarks）与可解释性方法（explainability methods）。该综述的贡献在于提供了一个统一的、按流水线阶段和组织目标分类的攻击与防御全景，弥补了现有研究在系统性上的不足。适合关注大模型安全、RAG 应用防护以及可信 AI 的研究人员和工程师阅读。

该论文提出了一种名为 PURA 的新型多比特水印方法，用于对 AI 生成文本进行细粒度归因。现有方法在保持原始生成分布、支持大容量负载以及编辑后恢复能力之间难以兼顾。PURA 的核心创新在于不在 token 概率层面直接扰动，而是在潜在采样空间中通过密钥化的逆变换采样嵌入负载，并将观测到的 token 视为软区间证据进行序列级聚合来恢复水印。这种设计严格保持基础生成分布不变，同时显著提升在文本编辑和信道扰动下的恢复稳定性。作者还建立了一种统一的鲁棒性分析框架，证明在有界攻击强度下，每比特错误概率随序列长度呈指数衰减。大量实验表明，PURA 在高负载场景下显著优于现有无偏基线：例如在 200 个 token 中嵌入 36 比特时，PURA 达到 91.7% 的消息匹配率，是最强无偏基线的三倍以上，同时保持文本质量，统计上与无水印文本接近，验证开销仅为毫秒级。该研究为 AI 生成文本的追踪与审计提供了一种高容量、高鲁棒性的技术路径。适合关注生成式 AI 安全、内容溯源、模型审计的研究人员和安全工程师阅读。

去中心化联邦学习（DFL）通过点对点模型交换替代中心化参数服务器，旨在实现无需信任的协作学习。然而，这种架构转变从根本上重塑了威胁模型：由于缺乏全局协调的聚合机制，DFL特别容易受到后门攻击的影响——恶意参与者可以在保持干净任务性能的同时植入持久隐藏行为。本文指出，DFL的鲁棒性此前被显著高估。现有研究往往依赖简化的威胁模型、非自适应攻击者、碎片化的评估协议、不一致的通信拓扑以及临时训练配置，导致对DFL安全性的理解不完整。为填补这一空白，作者提出了BackDFL，一个统一基准，用于在现实且自适应的后门攻击下系统评估DFL。通过大量实验，BackDFL揭示了去中心化学习的关键失效模式。结果表明，最先进的拜占庭鲁棒DFL方法以及经过适配的联邦学习后门防御方法，在低至15%的恶意参与率下即宣告失败，尤其在异构环境中表现更差，而其鲁棒性在不同通信图拓扑间存在显著差异。该研究强调，DFL的安全性需结合拓扑、异构性等实际因素重新审视，并为后续防御设计提供可复现的评估框架。适合关注联邦学习安全、鲁棒聚合算法及对抗性机器学习的研究人员和工程师阅读。

该论文针对基于深度神经网络（DNN）的无线通信系统面临的安全威胁展开系统性研究。近年来，DNN被广泛应用于无线通信的关键环节，如OFDM系统的信道估计与解码、端到端自编码器系统设计、无线电信号分类以及信号认证等任务。然而，DNN本身存在对抗样本脆弱性，这可能使无线系统受到攻击并导致功能失效。作者提出一种生成鲁棒对抗样本的方法，以满足无线场景中的特殊约束。具体而言，该方法将对抗扰动生成建模为一个优化问题，该优化问题融入了不同无线系统特有的领域约束（如功率限制、频谱掩蔽、误码率影响等），从而能够生成满足以下关键特性的无线对抗扰动：一是可在线实时应用，无需预先知道目标信号；二是与自然无线噪声不可区分，具有隐蔽性；三是对抗去除机制具有鲁棒性，即使通信双方部署了防御措施，扰动依然有效。作者通过大量实验验证了攻击性能，并与现有针对DNN无线系统的攻击方法进行了对比。结果表明，在通信双方采用合理防御机制的情况下，所提出的攻击方法仍显著优于现有攻击，这揭示了基于DNN的无线通信系统在面对对抗攻击时的脆弱性。该研究对在鲁棒无线通信中采用DNN的可行性提出了质疑，并为无线AI安全领域提供了重要的警示。适合无线通信安全研究人员、DNN鲁棒性研究者以及关注物理层安全的工程师阅读。

本文是一篇关于联邦学习中聚合方法在模型投毒与后门攻击下鲁棒性的系统性比较研究。作者重建了一个包含500个单元格的评估矩阵，覆盖五种聚合方法（如Trimmed Mean、Krum等）、五个数据集、五种模型架构，以及四种记录条件：干净环境、符号翻转攻击、高斯噪声攻击和BadNets后门攻击。通过溯源原始运行日志，识别出454次成功运行和36次修复或重跑的执行，另有10个干净的SVHN单元格仅有汇总级溯源。实验结果显示，在干净环境下，Trimmed Mean取得了最高的宏平均准确率（76.02%）和最低的平均任务内排名（1.70）；而在符号翻转和高斯配置下，Krum取得了最高的记录准确率。当仅保留21个所有方法-条件组合均具备原始成功日志的任务对时，相对排名保持不变。作者还对提供的BadNets指标实现进行了审计，发现其实现导致每个测试输入在目标标签计数前均被触发，因此保留的指标实际是“触发目标标签率”（TTLR），而非传统的不含目标的攻击成功率。此外，对提供的FedPARETO脚手架代码的审计揭示了一条路径：预测摘要可能描述一个未损坏的本地模型，而聚合权重却应用于一个单独被损坏的更新，导致报告预测结果与实际用于聚合的更新之间存在潜在的不一致。论文强调，该矩阵每个单元格仅有一个确定的种子，且攻击与配置的完整血统不完整，因此研究结论应视为在记录配置范围内的描述性比较，而非统计估计或关于鲁棒性的普适性声明。适合联邦学习研究者、聚合算法设计者以及关注模型鲁棒性的安全工程师阅读。

本文提出WhiteNet，一个用于鲁棒识别重叠IEEE 802.11信号的深度学习框架，重点解决信道变化导致的性能下降问题。现有基于I/Q样本的深度学习方法在训练和部署信道条件差异大时精度急剧下降。WhiteNet的核心是频谱白化预处理，基于物理原理抑制频率选择性衰落，同时保留协议判别特征。为了减少对多发射机空中捕获数据的依赖，作者设计了一个合成重叠混合器，包含物理准确的每发射机信道和共享接收机信号链，用于预训练而无需大量现场数据采集。在公开的空中IEEE 802.11数据上，WhiteNet在未见信道条件下显著缩小了精度差距，同时使用比现有技术少7.7倍的参数，并可选择蒸馏为紧凑变体以在功耗受限的边缘设备上实现粗粒度频谱感知。实验证明了方法的有效性。

本文提出了一种名为 SpreadMark 的鲁棒图像水印方法，针对深度伪造检测和来源追踪场景中水印需要抵抗有意移除的问题。作者首先指出现有基于编码器-解码器的水印方案存在一个共同弱点：每个消息比特只占据图像的一小部分区域，因此攻击者只需扰动该比特所在区域即可破坏水印。SpreadMark 借鉴经典的扩频通信原理，将每个比特以密集的伪随机码字形式扩散到整幅图像中，并通过匹配滤波方式从学习到的抑制载体（cover-suppressed）码片表示中恢复水印，同时结合并行卷积解码路径和稀疏化感知训练。作者还进行了条件码片空间分析，证明在与码字无关的扰动模型下，密集扩频会增加破坏匹配滤波恢复所需的扰动预算。实验在 COCO 和 DIV2K 数据集上与九种现有方案对比，结果表明 SpreadMark 是唯一在再生攻击和潜在空间稀疏化设置下均保持高检测率的方法，同时在 JPEG 压缩和加性噪声鲁棒性上表现相当，并且保持了水印的不可感知性，具有较高的感知质量。

本文研究的是生产环境中的恶意软件检测系统在面对可迁移对抗性攻击时的鲁棒性。随着深度学习模型被广泛集成到大型生产系统中，其个体缺陷可能被利用，进而引发系统层面的安全漏洞。作者以 Gmail 的恶意软件检测流水线为案例，该流水线依赖一个名为 Magika 的机器学习模型来识别文件类型，并据此将潜在恶意软件路由至不同的专用检测器以提升准确率和性能。Magika 已开源，使得攻击者可以针对其构造对抗样本：通过仅修改恶意软件样本中的 13 个字节，作者在 90% 的情况下成功欺骗 Magika，导致恶意软件被错误路由至不匹配的检测器，从而绕过 Gmail 的检测机制。随后，作者提出了相应的防御策略，使得在防御后的生产模型中，即使是资源充足的攻击者也需要 50 字节才能达到仅 20% 的攻击成功率。该防御已与 Google 工程师合作部署至 Gmail 分类器的生产环境中。本文的核心贡献包括：揭示生产系统中 ML 组件的脆弱性传导机制、提出具体可操作的对抗样本构造方法（但摘要未提供技术细节）、设计并部署了有效的缓解措施。适合安全研究员、ML 系统开发者以及关注对抗鲁棒性的安全工程师阅读。

本文研究GUI智能体（如移动设备上的自主操作代理）在真实部署中的对齐（alignment）鲁棒性问题。作者指出，当前主流的轻量级防御手段——提示词级对齐（prompt-level alignment）——是一种“局部现象”：它仅在狭窄的评估切片上有效，即单轮、显式表达意图的请求，而无法覆盖真实用户可能采用的多样化交互路径。为了验证这一假设，作者设计了一种配对诊断方法（paired diagnostic），在三个前沿GUI智能体（Qwen、Claude、GPT）上，通过屏幕接地（screen-grounded）的用户侧说服（user-side persuasion）场景，且不进行环境注入（no environment injection），评估防御效果。实验发现：单行护栏（one-line guardrail）能大幅降低单轮攻击成功率（ASR），最高降低约40个百分点，且几乎不产生过度拒绝（over-refusal）成本；然而，当从独立探针（independent probes）转向四轮升级链（four-turn escalation chains）时，每个模型的受保护ASR都回升了约20个百分点。相对中性基线，这种回升反映了Qwen模型的护栏显著劣化，而Claude和GPT则表现出与防御正交的动态风险。此外，显着性差距（salience gap）的符号在护栏存在时发生翻转：无护栏时，隐藏意图的请求并不比显式请求更易成功；有护栏时反而更易成功，表明防御主要依赖意图被明确命名时才起作用。因此，静态单轮ASR会系统性地高估部署环境的实际鲁棒性。该研究揭示了对齐需要在动态交互和精确威胁条件下持续有效，而非仅满足单轮拒绝。

本文针对现代基于大模型的多模态内容审核系统展开鲁棒性研究。传统内容审核分类器通常依赖任务特定模型，策略覆盖有限且缺乏上下文理解；而新近商业化的多模态审核 API 基于大型基础模型，宣称能提供更广泛、更强大的安全过滤能力。研究团队对三家成熟商业图像审核服务进行了大规模黑盒评估，系统比较其鲁棒性。他们设计了七种简单、与模型无关的图像变换方法，并在多个提供商、数据集、危害类别、感知相似度约束及变换强度下进行测试。结果表明：（1）三家商业服务均可被廉价图像变换绕过，且这些变换不需要梯度、替代模型或对目标系统的内部知识；（2）即使是固定变换如颜色反转和灰度化，也能诱导“不安全→安全”的决策翻转，同时保持图像内容对人类依然可辨认；（3）不同数据集和危害类别下各服务的鲁棒性差异显著，尤其是多模态内容和自伤类内容表现出明显弱点。作者由此得出结论：用基础模型 API 替代传统审核分类器本身并不能提供可靠的安全边界；此类系统必须在现实变换条件下进行评估，并作为分层审核流水线中的一个组件部署，而非作为独立安全过滤器。本文适合内容安全平台开发者、审核系统设计者以及关注 AI 安全鲁棒性的研究人员阅读。

该论文提出了一种名为 PatchCleanser 的认证鲁棒防御方法，旨在抵御针对图像分类模型的对抗性补丁攻击。对抗性补丁攻击通过在输入图像的受限区域内注入精心设计的像素（即补丁），导致模型误分类。这种攻击可在物理世界中通过打印并粘贴补丁到目标物体上实现，对计算机视觉系统构成实际威胁。PatchCleanser 的核心思想是在输入图像上执行两轮像素掩码操作，以消除对抗性补丁的影响。该方法完全基于图像空间的操作，因此与任何现有最先进的图像分类器兼容，且能保持高精度。更重要的是，作者证明了在其威胁模型下，PatchCleanser 能够确保对于某些图像，针对任意自适应白盒攻击者，始终预测正确的类别标签，从而实现认证鲁棒性。论文在 ImageNet、ImageNette、CIFAR-10、CIFAR-100、SVHN 和 Flowers-102 等多个数据集上进行了广泛评估。实验结果表明，PatchCleanser 在保持与最先进分类模型相近的清洁准确率的同时，显著提升了认证鲁棒准确率。例如，在 1000 类 ImageNet 数据集上，面对图像上任意位置的 2% 像素大小的方形补丁，该方法达到了 83.9% 的 top-1 清洁准确率和 62.1% 的 top-1 认证鲁棒准确率。该工作适合计算机视觉安全研究人员、模型部署工程师以及对抗性机器学习领域的研究者阅读。

本文研究联邦排名学习（Federated Ranking Learning, FRL）的鲁棒性。FRL 是一种新兴的联邦学习范式，与传统联邦学习有两个关键区别：1）客户端传递离散排名而非梯度更新，大幅降低通信成本并限制恶意更新空间；2）服务端采用多数投票聚合全局排名，每个客户端仅贡献一票，从而削弱单个客户端的恶意影响。这些特性使 FRL 具备良好的可扩展性和抗投毒潜力。然而，作者通过理论分析证明 FRL 并非固有鲁棒，存在特定脆弱边（vulnerable edges）。他们推导出每层中识别脆弱边的下界和上界，并据此提出一种新型本地模型投毒攻击——脆弱边操纵攻击（VEM）。该攻击首先定位每层最脆弱的边，然后利用优化方法最大化扰动效果。在基准数据集上的实验表明，VEM 攻击的平均攻击影响力达 53.23%，是现有最佳方法的 3.7 倍。这项工作揭示了排名联邦学习中的重大安全漏洞，并强调了开发新型鲁棒联邦学习框架的紧迫性。

本研究探讨了在视觉-语言-动作（VLA）模型中添加推理步骤对模型鲁棒性的影响。直觉上，先推理后行动的策略应能更好地吸收输入扰动，但本文通过实验验证了这一假设。作者选取了三种代表不同推理水平的模型：无推理、文本链式推理（CoT）以及潜在迭代循环推理，在LIBERO和SimplerEnv环境中对模型的视觉、推理和动作阶段分别施加随机噪声和白盒攻击。实验围绕两个核心问题展开：推理设计是否改变鲁棒性？以及推理输出是否可在运行时作为安全信号使用？结果显示，潜在迭代模型是最不鲁棒的：在两种扰动下其任务成功率急剧下降，而其他两种模型则保持了鲁棒性。进一步分析表明，这种脆弱性是结构性的，而不是累积的；改变推理深度对鲁棒性影响甚微。尽管原则上可以监控推理输出，但在公平测试条件下监控器失效。一种看似完美的计划-动作一致性探测在自适应攻击下表现如随机猜测。在匹配假阳性率校准下，将一致性探测与动作异常探测融合，并未能将防御成功率提升至未防御水平之上。此项研究强调了在VLA模型安全评估中需要考虑推理阶段引入的脆弱性，并为未来防御设计提供了重要前提。

本论文提出了一种针对大型语言模型（LLM）的新型免同步水印方案，可同时应用于自回归模型和扩散模型。方案的核心创新在于每个水印由单个二元同余构成，该同余由相邻的两个token生成。具体地，对于每对相邻token，通过密码学哈希确定一个里德-所罗门（Reed-Solomon）多项式的求值点，该多项式代表秘密身份；多项式求值的奇偶性决定了嵌入到第二个token中的水印比特。由于每个同余是自包含的且仅依赖局部token对，该构造天然抵抗插入、删除和token重排操作。本文从代数角度分析了水印恢复问题，讨论了适用于不同身份规模的多种解码算法，并将水印损坏建模为二元对称信道（BSC）。分析表明，即使在相对较高的token损坏率下，仅需少量冗余即可实现可靠恢复。与现有基于块的水印方案相比，该方法避免了同步问题，同时为嵌入短或长的秘密身份提供了灵活的框架。实验部分（若文中提供）应验证了该方案在鲁棒性和效率上的优势。

该论文针对基于大语言模型（LLM）的网络入侵检测系统（IDS）在对抗性流量操控下的鲁棒性问题，提出了一种名为“流量感知随机平滑”（Traffic-Aware Randomized Smoothing, TA-RS）的分类器无关认证防御方法。传统随机平滑（RS）通常假设所有特征均可被攻击者控制，但在网络流量场景中，部分特征（如源/目的IP、端口等）可能被远程攻击者修改，而另一些特征（如时间戳、包间隔等）则不受控制。TA-RS的核心思想是在微调与认证阶段，仅向攻击者可直接控制的特征子空间（DC subspace）注入高斯噪声，从而使平滑分布与攻击者可控子空间对齐，避免不必要的噪声破坏不可控特征，进而提高认证准确率。实验使用CIC-IDS-2018、HIKARI-2021和RT-IoT2022三个流量数据集，以及LLaMA3-8B和Qwen3-8B两种LLM模型。结果显示，标准随机平滑在干净训练模型上的认证准确率很低（14%-33%），而噪声增强微调后恢复至68%-100%（sigma=0.25）。在L_inf等价阈值R_inf下，TA-RS在CIC-IDS-2018和HIKARI-2021上取得55%-100%的认证准确率，且中位认证半径R远超R_inf（1.8-5倍）。与各向同性随机平滑基线相比，TA-RS的优势可达72个百分点，但这一差异主要源于训练与认证的不匹配（各向同性噪声会扰动不可控特征，导致高达68%的弃权率）。在RT-IoT2022数据集上，默认微调方案失效，但增加噪声增强后恢复到76%/69%的认证准确率。该工作首次为LLM-IDS提供可证明的鲁棒性保障，揭示了特征子空间对齐在认证防御中的关键作用。

本文提出了一种名为DorPatch的分布式且对遮挡鲁棒的对抗性补丁攻击，旨在逃避可证明的鲁棒防御和实证防御。与传统的单个补丁攻击不同，DorPatch通过将补丁分散到多个位置（使用group lasso正则化）并引入图像丢弃、密度正则化和结构损失，生成一个完全优化、分布式、对遮挡鲁棒且不易察觉的对抗性补丁。该补丁可以在物理世界攻击中部署。实验评估在数字域和物理世界中进行，结果表明DorPatch能够有效逃避当前最先进的可证明防御PatchCleanser以及多种实证防御。更重要的是，DorPatch生成的对抗样本在经过PatchCleanser验证时，错误预测结果可能被错误认证，从而产生虚假信任。DorPatch在攻击性能和感知质量上均达到当前最优水平，对深度学习模型的实际应用构成严重威胁，并呼吁开发有效的防御措施。

该论文针对生成式表格数据的水印技术面临的重训练攻击问题，提出了一种具有放射性的水印方法RaMark。现有水印方法在攻击者利用带水印数据集重新训练生成模型后，生成的高效用数据会丢失水印，导致所有权验证失效。RaMark通过将正弦依赖性作为数据分布的内在组成部分嵌入，使水印与底层数据分布耦合，从而确保任何保留数据效用的生成模型也必须保留水印。理论分析表明，移除水印会以高概率降低数据效用并改变数据分布。在两个真实表格数据集上，基于大规模所有权验证场景（包含10^5个独立数据所有者）的实验证明，RaMark在抵抗重训练攻击和数据修改攻击方面显著优于七种最新方法。该研究为隐私敏感数据共享中的所有权保护提供了新途径，适合从事数据安全、生成模型水印研究的学者和工程师阅读。

本文研究大型语言模型（LLM）作为网络入侵检测分类器时的对抗鲁棒性，重点关注现实攻击者约束下的脆弱性。作者提出了一种可控制性感知的黑盒迁移攻击框架，针对基于LLM的网络流量分类器。该框架根据网络通信语义将流特征划分为直接可控（DC）、间接可控（IC）和不可控（UC）三组，仅对DC特征施加扰动，同时冻结IC/UC特征，以确保生成的对抗样本符合网络协议约束。通过共享XGBoost替代模型，作者实现了有限差分PGD、贪心坐标扰动和NES三种对抗样本生成方法，并将这些样本迁移到七个LLM目标（包括不同架构和规模）以及两个传统机器学习目标（LightGBM等）。实验覆盖了从1999年至2022年的五个入侵检测基准数据集（NSL-KDD、UNSW-NB15、CIC-IDS-2018、RT-IoT2022、HIKARI-2021），共生成超过50万个对抗样本。主要发现包括：LLM的迁移脆弱性显著，但高度依赖于数据集和比较对象；与LightGBM相比，LLM在RT-IoT2022和CIC-IDS-2018上更脆弱，在NSL-KDD和UNSW-NB15上相当，在HIKARI-2021上反而更鲁棒；与平均ML基线相比，LLM在所有五个数据集上均表现出更高的攻击成功率（ASR）。进一步观察到了跨架构一致的迁移层次：基于梯度和评分的扰动（PGD、NES）比贪心扰动具有更强的跨模型迁移能力，该现象在全部27个LLM配置和9/10个ML配置中成立。交叉替代模型验证（使用决策树、神经网络和线性替代模型）得到了相似的LLM攻击成功率，排除了XGBoost特有偏差。由于框架设计保证了扰动仅限于DC特征，约束违反率严格为零。本文系统揭示了LLM在流量分类任务中的对抗脆弱性特征，为后续防御研究提供了基础。

该论文提出SecureCROWN，首个用于隐私保护神经网络鲁棒性验证的框架。神经网络验证与数据隐私存在固有矛盾：验证需要完全访问模型参数和输入数据，但这受到隐私法规和知识产权限制。SecureCROWN基于安全两方计算（2PC），使模型所有者和数据所有者能够共同计算认证的鲁棒性边界，在只揭示最终结果的同时，在半诚实安全模型下可证明地保护双方隐私数据。关键挑战在于安全计算线性边界传播中的条件操作，因为数据相关的分支与标准安全计算协议不兼容。作者通过将条件逻辑公式化为连续算术运算来消除分支，并引入牛顿-拉夫森改进方法以提高数值稳定性。广泛分析和实验表明，SecureCROWN严格匹配明文验证结果，在不同模型大小和通信设置（局域网/广域网）下完成时间在0.1-200秒之间，证明了隐私保护神经网络验证的可行性。

本文针对大型语言模型（LLM）输出的多比特水印鲁棒性问题，提出一种基于对数似然比（LLR）的软判决解码方法CORE-BREW。现有基于纠错码（ECC）的LLM水印多采用硬判决解码，丢弃了令牌级别的可靠性信息，导致在编辑攻击（如词汇替换、改写）下鲁棒性不足。CORE-BREW是块状BREW方法的恒定命中率嵌入扩展，通过设定固定目标命中率p*来校准水印信道，从而推导出每个令牌闭合形式的LLR，实现有原则的软判决解码。该方法支持两种检测模式：严格安全模式保留有界距离指定码字接受域，保证严格的误报控制；FPR校准模式采用基于似然的评分和轻量级列表解码，刻画误报率与真正率之间的权衡。在开源LLM上的实验表明，CORE-BREW在令牌级编辑和释义攻击下，相比先前多比特水印基线方法，在低误报率下的鉴别能力和鲁棒性均有提升，同时保持相当的语义质量。该研究为LLM水印的可靠溯源提供了新途径，适合从事AI安全、模型防篡改及逆向工程的研究人员阅读。

随着物联网设备的普及，分布式边缘系统开始大规模收集敏感数据，为设备端机器学习提供了应用场景。联邦学习（FL）通过仅传输模型参数而不交换原始数据，在一定程度上缓解了隐私泄露风险。然而，当前研究忽视了一个关键盲点：在个性化联邦学习（PFL）场景中，客户端各自维护私有模型以应对数据异质性，但这种个性化机制反而使得系统更容易受到基于迁移的对抗性攻击。本文首先系统分析了多种主流PFL方法，发现相较于集中式学习，PFL在对抗样本转置攻击下表现出显著更高的脆弱性：恶意客户端可利用本地模型知识构造对抗样本，进而攻击其他对等客户端的个性化模型。作者通过理论分析并在多个基准数据集（如CIFAR-10、MNIST等）上进行实证评估，验证了该脆弱性，结果显示各PFL方法的准确率均大幅下降。为应对这一挑战，论文提出了一种协同防御框架，具体包括：（1）在输入层注入随机噪声，以破坏对抗扰动的有效性；（2）引入输入缩放迹正则化，约束模型更新方向；（3）最大化参数敏感度，增强模型对微小扰动的鲁棒性。实验证明，该框架能有效恢复模型精度，平衡隐私与安全性。这项工作首次对PFL系统中的对抗威胁进行了系统性研究，既揭示了安全隐患，也提供了实用的诊断工具与防御手段，适合联邦学习、分布式机器学习及安全领域的从业者阅读。

本文揭示了在基于迁移的对抗攻击中，输入多样性（Input Diversity, DI）这一常用技巧对攻击迁移性的影响存在非单调的“剪刀效应”。DI通过在每次攻击迭代中对输入图像进行随机缩放和填充来增强攻击的鲁棒性，通常被认为能普遍提高迁移成功率。然而，作者发现这一假设依赖于目标模型的类型：对于标准训练的代理模型，增加DI概率确实提升迁移成功率；但对于经过鲁棒训练的代理模型，DI反而显著降低迁移成功率，两者的响应曲线像剪刀一样分离。在ImageNet数据集上，盲目使用DI导致针对CNN、ViT、Swin和ConvNeXt等目标模型，以及2018至2024年间十种攻击的平均攻击成功率下降10.3%。在CIFAR-10上该效应较弱，除非DI强度较大。通过控制鲁棒性强度的实验表明，这种损害是渐进的而非二元的，在弱鲁棒性区域就已出现转折。作者将原因追溯到梯度几何：通过缩放/平移分解，约67%的损害归因于缩放操作；直接测量源-目标梯度对齐发现，相同缩放操作对标准代理改善对齐，对鲁棒代理则恶化对齐。作者提出局部梯度一致性（Local Gradient Consistency, LGC）指标来区分两种代理类型，并证明了一个偏差-方差交叉定理，隔离了DI有益的区间与缩放偏差占主导的区间。最后，提出无需重新训练的策略CG-DI，即当LGC高时禁用DI，从而保留标准代理上DI的益处并避免鲁棒代理上的损失。这项工作将剪刀效应定位为更广泛的鲁棒性-迁移性权衡在DI上的具体表现。

该论文聚焦于深度神经网络（DNN）在安全关键领域（如自动驾驶）中面临的对抗性样本威胁。现有防御方法存在诸多局限：只能防御部分对抗性样本，或导致正常输入的高精度损失，且多数无法抵御自适应攻击（即攻击者了解防御机制后针对性构造的样本）。作者观察到一种语义矛盾现象：人类对图像的感知与网络内部表征之间存在差异。基于此，提出一种新的检测方法，通过比较网络输出与人类可理解的语义标签是否一致来识别对抗性样本。具体地，该方法利用一个额外的语义一致性校验模块，该模块从网络中间层提取特征，并与输入的语义标签进行对比，若不一致则判定为对抗性样本。实验在多个基准数据集（如ImageNet、CIFAR-10）和多种攻击手段（FGSM、PGD、CW等）下进行，结果表明该方法能有效检测多种对抗性样本，同时对正常输入的精度损失极小。此外，该方法在自适应攻击下仍能保持较高检测率，展现了较好的鲁棒性。主要贡献包括：首次系统性地利用语义矛盾检测对抗性样本；提出一种轻量级、可插拔的检测模块，降低部署成本；通过大量实验验证了方法的有效性。该研究适合计算机视觉安全、DNN鲁棒性领域的研究人员及安全工程师阅读。

该论文提出了CaFA（Cost-aware Feasible Attacks）系统，旨在评估神经网络表格分类器在实际应用中对抗攻击的鲁棒性。表格数据具有结构化特征和复杂的相互关系，现有对抗攻击方法往往忽略攻击的可行性（即对抗样本在问题空间中是否可实现）以及攻击者的成本（如扰动特征数量和幅度）。CaFA通过两个核心组件解决这些问题：（1）TabPGD算法，一种针对表格数据定制的投影梯度下降变体，能够生成特征空间中的对抗扰动，同时考虑表格特征的异质性（如分类和连续特征）；（2）利用数据库技术中自动挖掘的完整性约束（如函数依赖、否定约束等）将特征空间的对抗样本投影到满足这些约束的可行区域，从而确保生成的对抗样本在现实世界中可实现。在三个数据集（如信用卡欺诈检测、贷款审批等）和两种神经网络架构上的实验表明，CaFA相比基线方法（如FGSM、PGD等）具有更高的可行成功率（即被误分类且满足约束的样本比例），同时扰动的特征数量更少、幅度更低，使得攻击更隐蔽且成本更低。此外，CaFA挖掘的约束在声音性和完备性方面优于先前工作。论文还开源了CaFA系统，希望为机器学习工程师提供通用工具，评估模型对可实现攻击的鲁棒性，从而提升部署模型的信任度。

本文针对自动语音识别（ASR）系统的对抗鲁棒性展开研究。现有对抗攻击直接在波形域添加噪声，存在两个主要局限：一是对黑盒ASR系统的迁移性差，二是易被专门防御波形扰动的机制缓解。为此，作者提出了一种基于代理模型的Clean-Referenced Feature-Vocoder Attack（CR-FVA），将对抗扰动空间从原始波形转移到自监督学习（SSL）表示空间。具体而言，攻击者首先在代理ASR模型（如Whisper-small）的SSL特征层上计算对抗梯度，并扰动更具泛化性的声学-音素表示，从而减少对代理模型特定波形梯度的依赖，提升跨系统迁移性；然后利用声码器（vocoder）将扰动后的SSL特征重构为类语音波形信号，使得最终对抗样本看起来更像自然语音，从而绕过基于波形边界的防御。实验表明，仅以公开的Whisper-small为代理模型，CR-FVA在多个黑盒ASR模型上实现了相对最佳基线平均+26.6%的词错误率（WER）提升；针对多种训练防御（如对抗训练、频谱压缩等），WER提升幅度达+36.2%。该研究揭示了当前ASR鲁棒性评估中的一个盲区：大多数防御仅关注波形域扰动，而基于更高层特征的攻击能轻易绕过。本文工作适合ASR安全研究者、对抗机器学习从业者以及语音系统防御工程师阅读，有助于理解现有防御的不足并设计更全面的鲁棒性评估方案。

该论文研究了大型语言模型（LLM）在算术推理任务中对数值变化的鲁棒性问题。尽管LLM在基准测试中表现优异，但已有研究表明其对数值变化敏感：同一问题在不同数值下可能失败。现有方法多依赖模板或人工约束，局限性较大。为此，作者提出一种自动化的数值重映射攻击算法，能够生成保留原始推理程序的小规模数值变换，从而测试模型的泛化能力。该方法首先从问题中提取符号表示，生成受约束的数值重映射，重新计算正确答案，并通过LLM生成的编辑计划实现确定性变换。通过阶段验证和高置信度审计确保攻击可靠性，使管道可扩展。在GSM8K、MAWPS和MultiArith三个数据集上对DeepSeek-R1（70B）、Gemma4（31B）和GPT-OSS（120B）进行了评估。结果显示，在GSM8K上，已完成运行的模型条件准确率下降了12.16至25.82个百分点，而MAWPS和MultiArith则非常稳定，攻击后准确率仍接近或超过98%。这表明数值重映射鲁棒性高度依赖于数据集结构：GSM8K即使在保留推理程序和重计算答案的情况下仍然脆弱，而更短、更规整的数据集则更为鲁棒。该工作为评估LLM的算术推理泛化能力提供了一种新方法，对安全从业者理解LLM在数值推理任务中的局限性具有参考价值。

本文提出了一种名为BARBIE的鲁棒后门检测方法，旨在解决深度学习模型共享中的安全风险。后门攻击会使模型在正常样本上表现正常，但在含有特定触发器的样本上产生恶意行为。现有检测方法利用良性模型与后门模型在潜在表示上的可分离性（latent separability），通过聚类或距离度量来区分，但这些方法容易被自适应攻击（adaptive attacks）绕过。BARBIE提出了一种新的度量指标——相对竞争分数（Relative Competition Score, RCS），通过刻画潜在表示对模型输出的主导性来表征可分离性，该指标对各种后门攻击具有鲁棒性，且难以被攻击者操控。该方法无需访问任何良性或后门样本，仅通过反转每个标签的两组潜在表示（一组反映良性模型的正常表示，另一组放大后门模型的异常表示）来计算RCS。基于RCS，BARBIE构建了一系列指标来全面反映后门模型与良性模型的差异。实验在4个数据集上对超过10,000个模型进行了验证，覆盖14种后门攻击类型，包括针对潜在可分离性的自适应攻击。与7种基线方法相比，BARBIE在源不可知攻击（source-agnostic）上平均真阳性率提升17.05%，源特定攻击提升27.72%，样本特定攻击提升43.17%，干净标签攻击提升11.48%，同时保持更低的假阳性率。该研究为模型供应链安全提供了有效的防御工具。

该论文研究了视觉-语言-动作（VLA）模型在机器人部署中的能力与鲁棒性之间的理论权衡。VLA模型在干净输入上表现出高成功率（如OpenVLA-7B在LIBERO基准上超过95%），但在微小对抗扰动下性能急剧下降（例如16/255的PGD攻击使成功率降至5%以下）。现有经验性防御方法虽能恢复部分鲁棒性，但会牺牲干净准确率，且缺乏理论下界。作者通过信息论方法证明了：对于任何离散动作的VLA策略，能力（策略动作与理想动作的互信息）与鲁棒性（对抗扰动下保留的互信息，扣除平凡信道泄露）之和受限于一个与策略无关的预算：任务熵加对抗信道容量。该证明基于数据处理不等式和互信息非负性。像素级界限与策略无关但较松（约10^3 nats）；而编码器特定推论可在每个实验上收紧到约86-156 nats（在OpenVLA上，epsilon=8/255时）。作者在252个闭式高斯VLA单元和48个OpenVLA-7B×LIBERO×PGD单元上验证了该界限，零违反。编码器界限还诊断了防御在信道中的干预位置：输入侧防御（JPEG-50）将编码器预算移动+41到+101 nats（epsilon∈{2,4,8,16}/255时），而LLM侧防御（rank-16 LoRA）移动不超过9%（epsilon=8/255时仅0.7%）。论文建议将编码器特定松弛作为与原始鲁棒性并行的诊断轴，并开源了所有代码和结果。

本文针对多无人机系统在GNSS信号退化、多路径效应、非视距接收、垂直漂移及有意干扰等复杂环境下，实时三维定位可靠性下降的问题，提出了一种去中心化、轻量级的3D位置精化层。该方法通过融合每架无人机自身的局部估计、邻居共享的状态摘要以及无人机间的距离或邻近约束，实现不确定性感知的邻域融合。具体而言，每架无人机根据自身协方差报告对先验赋予权重，并根据链路质量、测距不确定性和学习到的信任分数对邻居约束加权。为支持实际部署，框架显式处理了冷启动和临时定位丢失场景，通过膨胀或替代弱先验，使可信的邻域约束能够引导和稳定估计，直至绝对感知恢复。为减轻故障或恶意节点的影响，每架无人机应用基于时间平滑的局部距离一致性检查，对报告位置与观测距离不兼容的邻居降低权重或排除。模拟实验在包含10架无人机的3D空间中进行，结果表明所提精化层在冷启动期间显著降低平均定位误差，在局部估计稳定后保持竞争力，并在恶意节点比例增加时相比无信任的融合保持更低的误差。研究建议将该方法作为无人机群在挑战环境中的实用韧性层。

本文提出了一种新颖的对抗训练方法，称为“分裂差异”（Splitting the Difference）。标准的对抗训练通常在提升模型鲁棒性的同时牺牲自然准确率，且试图为每个类别学习一个统一的决策边界来同时覆盖干净样本和对抗样本。作者反其道而行之，将每个原始类别拆分为两个独立的子类：“干净”（clean）和“对抗”（adversarial），从而将分类任务从K类扩展为2K类。虽然类别数量翻倍，但每个子类的决策边界变得简单得多，有利于模型学习。论文从理论上给出了该方法有效的条件论证，并通过实验在CIFAR-10数据集上取得了95.01%的近最优自然准确率，同时保持了显著的鲁棒性（针对多种攻击）。该方法在自然准确率要求极高的实际应用中具有优势，是对抗训练领域的一个重要创新。本文适合对深度学习鲁棒性、对抗样本防御感兴趣的研究者和工程师阅读。

该论文关注鲁棒图像水印中的身份泄露问题。随着生成式AI发展，图像水印用于版权保护和所有权验证，但现有鲁棒水印方法易受两种攻击：对抗攻击（修改水印图像使解码失败）和身份泄露攻击（伪造水印图像）。作者发现，无论是经验鲁棒还是认证鲁棒的现有方法，都在增强鲁棒性时加剧了身份信息泄露（攻击者可利用可区分的特征伪造水印）。为解决此问题，论文提出W-IR，首个同时实现身份保护和鲁棒性的图像水印框架。核心方法包括：1）基于随机平滑的认证鲁棒机制，在像素级和坐标级两个变换空间上提供认证鲁棒性（利用Neyman-Pearson引理确定最优决策边界）；2）基于残差信息损失的身份泄露缓解策略，通过最小化残差图像与水印图像之间的互信息，减少身份特征的泄漏。实验表明，W-IR在保持高认证准确率的同时，有效降低了身份泄露风险，在鲁棒性和身份保护之间取得了更优平衡。代码已开源。

联邦学习（FL）面临诸多安全攻击，但学界对其根本原因及有效防御缺乏整体理解。本文系统剖析了现有定向攻击的内部机制，揭示了攻击可行的原因在于：机器学习算法对尾部数据的记忆需求对FL完整性产生重大影响——这一现象此前主要被研究为隐私问题，本文首次阐明了其对模型完整性的关联。通过分析，作者发现对客户端更新施加范数约束（如L2和L∞界）可以显著缓解某些严重攻击。然而，在安全聚合协议中高效实施这些约束面临挑战，因为加密的梯度更新无法直接验证。为此，本文提出RoFL，一种新型安全FL系统，它在安全聚合的基础上扩展了隐私保护的输入验证功能。RoFL利用密码学技术，在不暴露明文更新的前提下，对高维加密模型更新强制执行L2和L∞界约束。实验表明，RoFL在保持模型准确率的同时，能有效防御多种投毒攻击，为FL的鲁棒性提供了可证明的保障。该工作为理解FL攻击的本质及设计实用防御方案提供了理论基础和实践指南。

本文是一篇系统化知识综述（SoK），聚焦于大语言模型（LLM）针对越狱攻击的鲁棒性问题。越狱攻击通过精心构造的对抗提示，诱使模型生成有害、不道德或违反政策的输出，对高安全性应用中的信任、合规和安全构成实际威胁。现有评估实践通常仅依赖攻击成功率等单一指标，无法全面捕捉LLM安全的多维度特性。为此，作者首先提出了越狱攻击与防御的系统分类法，梳理了当前文献中的关键见解与开放挑战。在此基础上，引入了一种统一的多维评估框架——Security Cube，用于全面评估攻击与防御技术。该框架涵盖多个评估维度，能够更准确地反映LLM的安全态势。利用Security Cube，作者对13种代表性攻击和5种防御方法进行了基准研究，清晰描绘了当前领域在越狱攻击、防御、自动评判器和LLM漏洞等方面的整体图景。基于这些评估，文章提炼了关键发现，指出了尚未解决的问题，并概述了增强LLM越狱攻击鲁棒性的有前景研究方向。该研究旨在为构建更鲁棒、可解释和可信赖的LLM系统铺平道路。代码已开源。适合安全研究人员、LLM开发者和AI治理从业者阅读。

本文针对视觉 Transformer（ViT）在对抗攻击下的脆弱性展开系统研究。ViT 已成为现代视觉-语言模型的基础架构，但其对抗鲁棒性不足，需要专门的对抗训练（AT）策略。作者首先指出现有最先进的 AT 方法（如 Generalist 和 DBAT）与 ViT 存在显著不兼容性。接着，论文从互信息（MI）角度进行理论分析，证明在基于自编码器的自监督预训练中，对抗样本与其潜在表示之间的互信息应通过导出的 MI 界限进行约束。基于此洞察，作者提出一种自监督 AT 方法 MIMIR，该方法通过掩码图像建模和自编码器，引入互信息惩罚项来增强对抗预训练。在 CIFAR-10、Tiny-ImageNet 和 ImageNet-1K 上的大量实验表明，MIMIR 能够持续提升自然准确率和鲁棒准确率，在 ImageNet-1K 上全面超越现有最先进方法。此外，MIMIR 对未知攻击和常见损坏数据表现出卓越的鲁棒性，还能抵御完全知晓防御机制的自适应攻击。代码和训练模型已开源。本研究适合对抗机器学习、视觉安全领域的研究人员和工程师阅读。

本文研究字符级扰动对大型语言模型（LLM）水印技术的破坏效果。水印技术被广泛用于追踪LLM生成内容，防止滥用。作者系统分析了多种字符级扰动（如拼写错误、同音替换、随机插入等）对当前主流水印方案（如基于n-gram的Aaronson水印、基于软水印的Kirchenbauer方案等）的鲁棒性影响。实验在多个开源LLM（如Llama2、OPT）上进行，结果表明，简单的字符级扰动即可显著降低水印检测的准确率，甚至完全绕过检测。作者进一步探讨了结合语义保持的对抗性扰动，发现更难防御。本文揭示了LLM水印在字符层面的脆弱性，对内容追踪与反滥用领域具有警示意义。

该论文针对金融交易中的欺诈检测问题，提出了一种基于双人博弈的鲁棒检测框架。传统欺诈检测模型通常面临对抗性样本攻击和概念漂移的挑战，导致检测性能下降。作者将欺诈检测建模为检测器与攻击者之间的动态博弈过程：检测器试图识别欺诈交易，而攻击者不断调整策略以逃避检测。通过引入博弈论中的纳什均衡概念，论文设计了一种交替优化算法，使检测器在对抗环境中持续提升鲁棒性。实验在多个真实交易数据集上进行，结果表明所提方法在保持高检测率的同时，显著降低了攻击成功率，优于现有基线模型。该工作为金融安全领域提供了新的理论视角和实用工具。

该论文针对数据集版权保护中水印信号弱、注入率低及对抗攻击下的鲁棒性问题，提出了一种名为DIP的概率水印注入与双重验证框架。核心方法包括三部分：1) 分布感知样本选择：从数据集中均匀选择N个训练样本用于水印注入，从而保持原始数据分布；2) 概率水印注入：对选中的样本注入概率水印，即通过扰动样本特征或标签的方式嵌入不可见标记，使得水印在统计意义上可检测但难以被移除；3) 双重验证：结合基于标签的验证和基于标签分布的验证，提升所有权判定的可靠性。实验在多个图像分类数据集上评估了DIP在不同注入率、不同攻击（如剪枝、微调、后门攻击）下的表现，结果表明DIP在保持模型效用（分类准确率）的同时，显著提升了水印检测的鲁棒性和可信度。该工作主要贡献为提出了一种对弱嵌入信号不敏感的概率水印框架，并设计了双重验证机制来抵御对抗性移除。适合关注数据知识产权保护、鲁棒水印技术的研究者和工程师阅读。

本文针对特征归因（Feature Attribution）解释方法的鲁棒性评估问题展开研究。特征归因是解释机器学习模型预测结果的一种常见技术，通过为输入特征分配重要性分数来指示其对模型输出的贡献。然而，现有研究指出，这些解释可能对输入中的微小扰动高度敏感，即存在鲁棒性问题。本文提出一个系统性的鲁棒性评估框架，用于量化特征归因解释在面对输入扰动时的稳定性。该框架首先定义了一系列鲁棒性度量指标，如最大扰动幅度下的解释变化程度，并设计了高效的优化算法来寻找最坏情况下的扰动。实验在多个数据集和多种归因方法（包括梯度类、扰动类和代理模型类方法）上进行验证。结果表明，不同归因方法的鲁棒性存在显著差异，且鲁棒性与解释的保真度、稀疏性等属性并非正相关。该工作为特征归因解释的可靠性评估提供了标准化工具，有助于理解解释方法的局限性并指导后续改进。

本文针对快速对抗训练（FAT）中存在的两个核心问题展开研究：（1）灾难性过拟合（CO），即模型过度拟合训练时使用的对抗样本，导致对未见攻击泛化能力差；（2）鲁棒性与准确率之间的权衡，即在提高鲁棒性的同时往往导致干净样本上的性能显著下降，且随着扰动预算增加而加剧。作者首先通过将样本按置信度分组，系统分析了引导强度（扰动和监管水平）如何影响模型性能，发现低置信度样本是引发CO和鲁棒-准确率权衡的主要因素。基于此洞察，提出了一种分布感知动态指导（DDG）策略，该策略根据样本在真实类别上的置信度动态调整扰动幅度和监督信号：一方面，根据置信度缩放扰动大小，引导样本朝向一致的决策边界，同时减少对虚假相关性的学习；另一方面，基于每个样本的预测状态动态调整监督信号强度，避免过度强调错误信号。此外，为缓解动态指导可能带来的梯度不稳定，设计了加权正则化约束。在标准基准测试（如CIFAR-10、CIFAR-100等）上的广泛实验表明，DDG能有效缓解CO和鲁棒-准确率权衡，在保持较高干净准确率的同时显著提升鲁棒性。本文适用于对对抗训练、模型鲁棒性及深度学习安全感兴趣的研究人员。