本文研究的是生产环境中的恶意软件检测系统在面对可迁移对抗性攻击时的鲁棒性。随着深度学习模型被广泛集成到大型生产系统中，其个体缺陷可能被利用，进而引发系统层面的安全漏洞。作者以 Gmail 的恶意软件检测流水线为案例，该流水线依赖一个名为 Magika 的机器学习模型来识别文件类型，并据此将潜在恶意软件路由至不同的专用检测器以提升准确率和性能。Magika 已开源，使得攻击者可以针对其构造对抗样本：通过仅修改恶意软件样本中的 13 个字节，作者在 90% 的情况下成功欺骗 Magika，导致恶意软件被错误路由至不匹配的检测器，从而绕过 Gmail 的检测机制。随后，作者提出了相应的防御策略，使得在防御后的生产模型中，即使是资源充足的攻击者也需要 50 字节才能达到仅 20% 的攻击成功率。该防御已与 Google 工程师合作部署至 Gmail 分类器的生产环境中。本文的核心贡献包括：揭示生产系统中 ML 组件的脆弱性传导机制、提出具体可操作的对抗样本构造方法（但摘要未提供技术细节）、设计并部署了有效的缓解措施。适合安全研究员、ML 系统开发者以及关注对抗鲁棒性的安全工程师阅读。

该论文提出了一种名为 PatchCleanser 的认证鲁棒防御方法，旨在抵御针对图像分类模型的对抗性补丁攻击。对抗性补丁攻击通过在输入图像的受限区域内注入精心设计的像素（即补丁），导致模型误分类。这种攻击可在物理世界中通过打印并粘贴补丁到目标物体上实现，对计算机视觉系统构成实际威胁。PatchCleanser 的核心思想是在输入图像上执行两轮像素掩码操作，以消除对抗性补丁的影响。该方法完全基于图像空间的操作，因此与任何现有最先进的图像分类器兼容，且能保持高精度。更重要的是，作者证明了在其威胁模型下，PatchCleanser 能够确保对于某些图像，针对任意自适应白盒攻击者，始终预测正确的类别标签，从而实现认证鲁棒性。论文在 ImageNet、ImageNette、CIFAR-10、CIFAR-100、SVHN 和 Flowers-102 等多个数据集上进行了广泛评估。实验结果表明，PatchCleanser 在保持与最先进分类模型相近的清洁准确率的同时，显著提升了认证鲁棒准确率。例如，在 1000 类 ImageNet 数据集上，面对图像上任意位置的 2% 像素大小的方形补丁，该方法达到了 83.9% 的 top-1 清洁准确率和 62.1% 的 top-1 认证鲁棒准确率。该工作适合计算机视觉安全研究人员、模型部署工程师以及对抗性机器学习领域的研究者阅读。

本文研究联邦排名学习（Federated Ranking Learning, FRL）的鲁棒性。FRL 是一种新兴的联邦学习范式，与传统联邦学习有两个关键区别：1）客户端传递离散排名而非梯度更新，大幅降低通信成本并限制恶意更新空间；2）服务端采用多数投票聚合全局排名，每个客户端仅贡献一票，从而削弱单个客户端的恶意影响。这些特性使 FRL 具备良好的可扩展性和抗投毒潜力。然而，作者通过理论分析证明 FRL 并非固有鲁棒，存在特定脆弱边（vulnerable edges）。他们推导出每层中识别脆弱边的下界和上界，并据此提出一种新型本地模型投毒攻击——脆弱边操纵攻击（VEM）。该攻击首先定位每层最脆弱的边，然后利用优化方法最大化扰动效果。在基准数据集上的实验表明，VEM 攻击的平均攻击影响力达 53.23%，是现有最佳方法的 3.7 倍。这项工作揭示了排名联邦学习中的重大安全漏洞，并强调了开发新型鲁棒联邦学习框架的紧迫性。

本研究探讨了在视觉-语言-动作（VLA）模型中添加推理步骤对模型鲁棒性的影响。直觉上，先推理后行动的策略应能更好地吸收输入扰动，但本文通过实验验证了这一假设。作者选取了三种代表不同推理水平的模型：无推理、文本链式推理（CoT）以及潜在迭代循环推理，在LIBERO和SimplerEnv环境中对模型的视觉、推理和动作阶段分别施加随机噪声和白盒攻击。实验围绕两个核心问题展开：推理设计是否改变鲁棒性？以及推理输出是否可在运行时作为安全信号使用？结果显示，潜在迭代模型是最不鲁棒的：在两种扰动下其任务成功率急剧下降，而其他两种模型则保持了鲁棒性。进一步分析表明，这种脆弱性是结构性的，而不是累积的；改变推理深度对鲁棒性影响甚微。尽管原则上可以监控推理输出，但在公平测试条件下监控器失效。一种看似完美的计划-动作一致性探测在自适应攻击下表现如随机猜测。在匹配假阳性率校准下，将一致性探测与动作异常探测融合，并未能将防御成功率提升至未防御水平之上。此项研究强调了在VLA模型安全评估中需要考虑推理阶段引入的脆弱性，并为未来防御设计提供了重要前提。

本论文提出了一种针对大型语言模型（LLM）的新型免同步水印方案，可同时应用于自回归模型和扩散模型。方案的核心创新在于每个水印由单个二元同余构成，该同余由相邻的两个token生成。具体地，对于每对相邻token，通过密码学哈希确定一个里德-所罗门（Reed-Solomon）多项式的求值点，该多项式代表秘密身份；多项式求值的奇偶性决定了嵌入到第二个token中的水印比特。由于每个同余是自包含的且仅依赖局部token对，该构造天然抵抗插入、删除和token重排操作。本文从代数角度分析了水印恢复问题，讨论了适用于不同身份规模的多种解码算法，并将水印损坏建模为二元对称信道（BSC）。分析表明，即使在相对较高的token损坏率下，仅需少量冗余即可实现可靠恢复。与现有基于块的水印方案相比，该方法避免了同步问题，同时为嵌入短或长的秘密身份提供了灵活的框架。实验部分（若文中提供）应验证了该方案在鲁棒性和效率上的优势。

该论文针对基于大语言模型（LLM）的网络入侵检测系统（IDS）在对抗性流量操控下的鲁棒性问题，提出了一种名为“流量感知随机平滑”（Traffic-Aware Randomized Smoothing, TA-RS）的分类器无关认证防御方法。传统随机平滑（RS）通常假设所有特征均可被攻击者控制，但在网络流量场景中，部分特征（如源/目的IP、端口等）可能被远程攻击者修改，而另一些特征（如时间戳、包间隔等）则不受控制。TA-RS的核心思想是在微调与认证阶段，仅向攻击者可直接控制的特征子空间（DC subspace）注入高斯噪声，从而使平滑分布与攻击者可控子空间对齐，避免不必要的噪声破坏不可控特征，进而提高认证准确率。实验使用CIC-IDS-2018、HIKARI-2021和RT-IoT2022三个流量数据集，以及LLaMA3-8B和Qwen3-8B两种LLM模型。结果显示，标准随机平滑在干净训练模型上的认证准确率很低（14%-33%），而噪声增强微调后恢复至68%-100%（sigma=0.25）。在L_inf等价阈值R_inf下，TA-RS在CIC-IDS-2018和HIKARI-2021上取得55%-100%的认证准确率，且中位认证半径R远超R_inf（1.8-5倍）。与各向同性随机平滑基线相比，TA-RS的优势可达72个百分点，但这一差异主要源于训练与认证的不匹配（各向同性噪声会扰动不可控特征，导致高达68%的弃权率）。在RT-IoT2022数据集上，默认微调方案失效，但增加噪声增强后恢复到76%/69%的认证准确率。该工作首次为LLM-IDS提供可证明的鲁棒性保障，揭示了特征子空间对齐在认证防御中的关键作用。

本文提出了一种名为DorPatch的分布式且对遮挡鲁棒的对抗性补丁攻击，旨在逃避可证明的鲁棒防御和实证防御。与传统的单个补丁攻击不同，DorPatch通过将补丁分散到多个位置（使用group lasso正则化）并引入图像丢弃、密度正则化和结构损失，生成一个完全优化、分布式、对遮挡鲁棒且不易察觉的对抗性补丁。该补丁可以在物理世界攻击中部署。实验评估在数字域和物理世界中进行，结果表明DorPatch能够有效逃避当前最先进的可证明防御PatchCleanser以及多种实证防御。更重要的是，DorPatch生成的对抗样本在经过PatchCleanser验证时，错误预测结果可能被错误认证，从而产生虚假信任。DorPatch在攻击性能和感知质量上均达到当前最优水平，对深度学习模型的实际应用构成严重威胁，并呼吁开发有效的防御措施。

该论文针对生成式表格数据的水印技术面临的重训练攻击问题，提出了一种具有放射性的水印方法RaMark。现有水印方法在攻击者利用带水印数据集重新训练生成模型后，生成的高效用数据会丢失水印，导致所有权验证失效。RaMark通过将正弦依赖性作为数据分布的内在组成部分嵌入，使水印与底层数据分布耦合，从而确保任何保留数据效用的生成模型也必须保留水印。理论分析表明，移除水印会以高概率降低数据效用并改变数据分布。在两个真实表格数据集上，基于大规模所有权验证场景（包含10^5个独立数据所有者）的实验证明，RaMark在抵抗重训练攻击和数据修改攻击方面显著优于七种最新方法。该研究为隐私敏感数据共享中的所有权保护提供了新途径，适合从事数据安全、生成模型水印研究的学者和工程师阅读。

本文研究大型语言模型（LLM）作为网络入侵检测分类器时的对抗鲁棒性，重点关注现实攻击者约束下的脆弱性。作者提出了一种可控制性感知的黑盒迁移攻击框架，针对基于LLM的网络流量分类器。该框架根据网络通信语义将流特征划分为直接可控（DC）、间接可控（IC）和不可控（UC）三组，仅对DC特征施加扰动，同时冻结IC/UC特征，以确保生成的对抗样本符合网络协议约束。通过共享XGBoost替代模型，作者实现了有限差分PGD、贪心坐标扰动和NES三种对抗样本生成方法，并将这些样本迁移到七个LLM目标（包括不同架构和规模）以及两个传统机器学习目标（LightGBM等）。实验覆盖了从1999年至2022年的五个入侵检测基准数据集（NSL-KDD、UNSW-NB15、CIC-IDS-2018、RT-IoT2022、HIKARI-2021），共生成超过50万个对抗样本。主要发现包括：LLM的迁移脆弱性显著，但高度依赖于数据集和比较对象；与LightGBM相比，LLM在RT-IoT2022和CIC-IDS-2018上更脆弱，在NSL-KDD和UNSW-NB15上相当，在HIKARI-2021上反而更鲁棒；与平均ML基线相比，LLM在所有五个数据集上均表现出更高的攻击成功率（ASR）。进一步观察到了跨架构一致的迁移层次：基于梯度和评分的扰动（PGD、NES）比贪心扰动具有更强的跨模型迁移能力，该现象在全部27个LLM配置和9/10个ML配置中成立。交叉替代模型验证（使用决策树、神经网络和线性替代模型）得到了相似的LLM攻击成功率，排除了XGBoost特有偏差。由于框架设计保证了扰动仅限于DC特征，约束违反率严格为零。本文系统揭示了LLM在流量分类任务中的对抗脆弱性特征，为后续防御研究提供了基础。

该论文提出SecureCROWN，首个用于隐私保护神经网络鲁棒性验证的框架。神经网络验证与数据隐私存在固有矛盾：验证需要完全访问模型参数和输入数据，但这受到隐私法规和知识产权限制。SecureCROWN基于安全两方计算（2PC），使模型所有者和数据所有者能够共同计算认证的鲁棒性边界，在只揭示最终结果的同时，在半诚实安全模型下可证明地保护双方隐私数据。关键挑战在于安全计算线性边界传播中的条件操作，因为数据相关的分支与标准安全计算协议不兼容。作者通过将条件逻辑公式化为连续算术运算来消除分支，并引入牛顿-拉夫森改进方法以提高数值稳定性。广泛分析和实验表明，SecureCROWN严格匹配明文验证结果，在不同模型大小和通信设置（局域网/广域网）下完成时间在0.1-200秒之间，证明了隐私保护神经网络验证的可行性。

本文针对大型语言模型（LLM）输出的多比特水印鲁棒性问题，提出一种基于对数似然比（LLR）的软判决解码方法CORE-BREW。现有基于纠错码（ECC）的LLM水印多采用硬判决解码，丢弃了令牌级别的可靠性信息，导致在编辑攻击（如词汇替换、改写）下鲁棒性不足。CORE-BREW是块状BREW方法的恒定命中率嵌入扩展，通过设定固定目标命中率p*来校准水印信道，从而推导出每个令牌闭合形式的LLR，实现有原则的软判决解码。该方法支持两种检测模式：严格安全模式保留有界距离指定码字接受域，保证严格的误报控制；FPR校准模式采用基于似然的评分和轻量级列表解码，刻画误报率与真正率之间的权衡。在开源LLM上的实验表明，CORE-BREW在令牌级编辑和释义攻击下，相比先前多比特水印基线方法，在低误报率下的鉴别能力和鲁棒性均有提升，同时保持相当的语义质量。该研究为LLM水印的可靠溯源提供了新途径，适合从事AI安全、模型防篡改及逆向工程的研究人员阅读。

随着物联网设备的普及，分布式边缘系统开始大规模收集敏感数据，为设备端机器学习提供了应用场景。联邦学习（FL）通过仅传输模型参数而不交换原始数据，在一定程度上缓解了隐私泄露风险。然而，当前研究忽视了一个关键盲点：在个性化联邦学习（PFL）场景中，客户端各自维护私有模型以应对数据异质性，但这种个性化机制反而使得系统更容易受到基于迁移的对抗性攻击。本文首先系统分析了多种主流PFL方法，发现相较于集中式学习，PFL在对抗样本转置攻击下表现出显著更高的脆弱性：恶意客户端可利用本地模型知识构造对抗样本，进而攻击其他对等客户端的个性化模型。作者通过理论分析并在多个基准数据集（如CIFAR-10、MNIST等）上进行实证评估，验证了该脆弱性，结果显示各PFL方法的准确率均大幅下降。为应对这一挑战，论文提出了一种协同防御框架，具体包括：（1）在输入层注入随机噪声，以破坏对抗扰动的有效性；（2）引入输入缩放迹正则化，约束模型更新方向；（3）最大化参数敏感度，增强模型对微小扰动的鲁棒性。实验证明，该框架能有效恢复模型精度，平衡隐私与安全性。这项工作首次对PFL系统中的对抗威胁进行了系统性研究，既揭示了安全隐患，也提供了实用的诊断工具与防御手段，适合联邦学习、分布式机器学习及安全领域的从业者阅读。

本文揭示了在基于迁移的对抗攻击中，输入多样性（Input Diversity, DI）这一常用技巧对攻击迁移性的影响存在非单调的“剪刀效应”。DI通过在每次攻击迭代中对输入图像进行随机缩放和填充来增强攻击的鲁棒性，通常被认为能普遍提高迁移成功率。然而，作者发现这一假设依赖于目标模型的类型：对于标准训练的代理模型，增加DI概率确实提升迁移成功率；但对于经过鲁棒训练的代理模型，DI反而显著降低迁移成功率，两者的响应曲线像剪刀一样分离。在ImageNet数据集上，盲目使用DI导致针对CNN、ViT、Swin和ConvNeXt等目标模型，以及2018至2024年间十种攻击的平均攻击成功率下降10.3%。在CIFAR-10上该效应较弱，除非DI强度较大。通过控制鲁棒性强度的实验表明，这种损害是渐进的而非二元的，在弱鲁棒性区域就已出现转折。作者将原因追溯到梯度几何：通过缩放/平移分解，约67%的损害归因于缩放操作；直接测量源-目标梯度对齐发现，相同缩放操作对标准代理改善对齐，对鲁棒代理则恶化对齐。作者提出局部梯度一致性（Local Gradient Consistency, LGC）指标来区分两种代理类型，并证明了一个偏差-方差交叉定理，隔离了DI有益的区间与缩放偏差占主导的区间。最后，提出无需重新训练的策略CG-DI，即当LGC高时禁用DI，从而保留标准代理上DI的益处并避免鲁棒代理上的损失。这项工作将剪刀效应定位为更广泛的鲁棒性-迁移性权衡在DI上的具体表现。

该论文聚焦于深度神经网络（DNN）在安全关键领域（如自动驾驶）中面临的对抗性样本威胁。现有防御方法存在诸多局限：只能防御部分对抗性样本，或导致正常输入的高精度损失，且多数无法抵御自适应攻击（即攻击者了解防御机制后针对性构造的样本）。作者观察到一种语义矛盾现象：人类对图像的感知与网络内部表征之间存在差异。基于此，提出一种新的检测方法，通过比较网络输出与人类可理解的语义标签是否一致来识别对抗性样本。具体地，该方法利用一个额外的语义一致性校验模块，该模块从网络中间层提取特征，并与输入的语义标签进行对比，若不一致则判定为对抗性样本。实验在多个基准数据集（如ImageNet、CIFAR-10）和多种攻击手段（FGSM、PGD、CW等）下进行，结果表明该方法能有效检测多种对抗性样本，同时对正常输入的精度损失极小。此外，该方法在自适应攻击下仍能保持较高检测率，展现了较好的鲁棒性。主要贡献包括：首次系统性地利用语义矛盾检测对抗性样本；提出一种轻量级、可插拔的检测模块，降低部署成本；通过大量实验验证了方法的有效性。该研究适合计算机视觉安全、DNN鲁棒性领域的研究人员及安全工程师阅读。

该论文提出了CaFA（Cost-aware Feasible Attacks）系统，旨在评估神经网络表格分类器在实际应用中对抗攻击的鲁棒性。表格数据具有结构化特征和复杂的相互关系，现有对抗攻击方法往往忽略攻击的可行性（即对抗样本在问题空间中是否可实现）以及攻击者的成本（如扰动特征数量和幅度）。CaFA通过两个核心组件解决这些问题：（1）TabPGD算法，一种针对表格数据定制的投影梯度下降变体，能够生成特征空间中的对抗扰动，同时考虑表格特征的异质性（如分类和连续特征）；（2）利用数据库技术中自动挖掘的完整性约束（如函数依赖、否定约束等）将特征空间的对抗样本投影到满足这些约束的可行区域，从而确保生成的对抗样本在现实世界中可实现。在三个数据集（如信用卡欺诈检测、贷款审批等）和两种神经网络架构上的实验表明，CaFA相比基线方法（如FGSM、PGD等）具有更高的可行成功率（即被误分类且满足约束的样本比例），同时扰动的特征数量更少、幅度更低，使得攻击更隐蔽且成本更低。此外，CaFA挖掘的约束在声音性和完备性方面优于先前工作。论文还开源了CaFA系统，希望为机器学习工程师提供通用工具，评估模型对可实现攻击的鲁棒性，从而提升部署模型的信任度。

本文针对自动语音识别（ASR）系统的对抗鲁棒性展开研究。现有对抗攻击直接在波形域添加噪声，存在两个主要局限：一是对黑盒ASR系统的迁移性差，二是易被专门防御波形扰动的机制缓解。为此，作者提出了一种基于代理模型的Clean-Referenced Feature-Vocoder Attack（CR-FVA），将对抗扰动空间从原始波形转移到自监督学习（SSL）表示空间。具体而言，攻击者首先在代理ASR模型（如Whisper-small）的SSL特征层上计算对抗梯度，并扰动更具泛化性的声学-音素表示，从而减少对代理模型特定波形梯度的依赖，提升跨系统迁移性；然后利用声码器（vocoder）将扰动后的SSL特征重构为类语音波形信号，使得最终对抗样本看起来更像自然语音，从而绕过基于波形边界的防御。实验表明，仅以公开的Whisper-small为代理模型，CR-FVA在多个黑盒ASR模型上实现了相对最佳基线平均+26.6%的词错误率（WER）提升；针对多种训练防御（如对抗训练、频谱压缩等），WER提升幅度达+36.2%。该研究揭示了当前ASR鲁棒性评估中的一个盲区：大多数防御仅关注波形域扰动，而基于更高层特征的攻击能轻易绕过。本文工作适合ASR安全研究者、对抗机器学习从业者以及语音系统防御工程师阅读，有助于理解现有防御的不足并设计更全面的鲁棒性评估方案。

该论文研究了大型语言模型（LLM）在算术推理任务中对数值变化的鲁棒性问题。尽管LLM在基准测试中表现优异，但已有研究表明其对数值变化敏感：同一问题在不同数值下可能失败。现有方法多依赖模板或人工约束，局限性较大。为此，作者提出一种自动化的数值重映射攻击算法，能够生成保留原始推理程序的小规模数值变换，从而测试模型的泛化能力。该方法首先从问题中提取符号表示，生成受约束的数值重映射，重新计算正确答案，并通过LLM生成的编辑计划实现确定性变换。通过阶段验证和高置信度审计确保攻击可靠性，使管道可扩展。在GSM8K、MAWPS和MultiArith三个数据集上对DeepSeek-R1（70B）、Gemma4（31B）和GPT-OSS（120B）进行了评估。结果显示，在GSM8K上，已完成运行的模型条件准确率下降了12.16至25.82个百分点，而MAWPS和MultiArith则非常稳定，攻击后准确率仍接近或超过98%。这表明数值重映射鲁棒性高度依赖于数据集结构：GSM8K即使在保留推理程序和重计算答案的情况下仍然脆弱，而更短、更规整的数据集则更为鲁棒。该工作为评估LLM的算术推理泛化能力提供了一种新方法，对安全从业者理解LLM在数值推理任务中的局限性具有参考价值。

本文提出了一种名为BARBIE的鲁棒后门检测方法，旨在解决深度学习模型共享中的安全风险。后门攻击会使模型在正常样本上表现正常，但在含有特定触发器的样本上产生恶意行为。现有检测方法利用良性模型与后门模型在潜在表示上的可分离性（latent separability），通过聚类或距离度量来区分，但这些方法容易被自适应攻击（adaptive attacks）绕过。BARBIE提出了一种新的度量指标——相对竞争分数（Relative Competition Score, RCS），通过刻画潜在表示对模型输出的主导性来表征可分离性，该指标对各种后门攻击具有鲁棒性，且难以被攻击者操控。该方法无需访问任何良性或后门样本，仅通过反转每个标签的两组潜在表示（一组反映良性模型的正常表示，另一组放大后门模型的异常表示）来计算RCS。基于RCS，BARBIE构建了一系列指标来全面反映后门模型与良性模型的差异。实验在4个数据集上对超过10,000个模型进行了验证，覆盖14种后门攻击类型，包括针对潜在可分离性的自适应攻击。与7种基线方法相比，BARBIE在源不可知攻击（source-agnostic）上平均真阳性率提升17.05%，源特定攻击提升27.72%，样本特定攻击提升43.17%，干净标签攻击提升11.48%，同时保持更低的假阳性率。该研究为模型供应链安全提供了有效的防御工具。

该论文研究了视觉-语言-动作（VLA）模型在机器人部署中的能力与鲁棒性之间的理论权衡。VLA模型在干净输入上表现出高成功率（如OpenVLA-7B在LIBERO基准上超过95%），但在微小对抗扰动下性能急剧下降（例如16/255的PGD攻击使成功率降至5%以下）。现有经验性防御方法虽能恢复部分鲁棒性，但会牺牲干净准确率，且缺乏理论下界。作者通过信息论方法证明了：对于任何离散动作的VLA策略，能力（策略动作与理想动作的互信息）与鲁棒性（对抗扰动下保留的互信息，扣除平凡信道泄露）之和受限于一个与策略无关的预算：任务熵加对抗信道容量。该证明基于数据处理不等式和互信息非负性。像素级界限与策略无关但较松（约10^3 nats）；而编码器特定推论可在每个实验上收紧到约86-156 nats（在OpenVLA上，epsilon=8/255时）。作者在252个闭式高斯VLA单元和48个OpenVLA-7B×LIBERO×PGD单元上验证了该界限，零违反。编码器界限还诊断了防御在信道中的干预位置：输入侧防御（JPEG-50）将编码器预算移动+41到+101 nats（epsilon∈{2,4,8,16}/255时），而LLM侧防御（rank-16 LoRA）移动不超过9%（epsilon=8/255时仅0.7%）。论文建议将编码器特定松弛作为与原始鲁棒性并行的诊断轴，并开源了所有代码和结果。

本文针对多无人机系统在GNSS信号退化、多路径效应、非视距接收、垂直漂移及有意干扰等复杂环境下，实时三维定位可靠性下降的问题，提出了一种去中心化、轻量级的3D位置精化层。该方法通过融合每架无人机自身的局部估计、邻居共享的状态摘要以及无人机间的距离或邻近约束，实现不确定性感知的邻域融合。具体而言，每架无人机根据自身协方差报告对先验赋予权重，并根据链路质量、测距不确定性和学习到的信任分数对邻居约束加权。为支持实际部署，框架显式处理了冷启动和临时定位丢失场景，通过膨胀或替代弱先验，使可信的邻域约束能够引导和稳定估计，直至绝对感知恢复。为减轻故障或恶意节点的影响，每架无人机应用基于时间平滑的局部距离一致性检查，对报告位置与观测距离不兼容的邻居降低权重或排除。模拟实验在包含10架无人机的3D空间中进行，结果表明所提精化层在冷启动期间显著降低平均定位误差，在局部估计稳定后保持竞争力，并在恶意节点比例增加时相比无信任的融合保持更低的误差。研究建议将该方法作为无人机群在挑战环境中的实用韧性层。

本文提出了一种新颖的对抗训练方法，称为“分裂差异”（Splitting the Difference）。标准的对抗训练通常在提升模型鲁棒性的同时牺牲自然准确率，且试图为每个类别学习一个统一的决策边界来同时覆盖干净样本和对抗样本。作者反其道而行之，将每个原始类别拆分为两个独立的子类：“干净”（clean）和“对抗”（adversarial），从而将分类任务从K类扩展为2K类。虽然类别数量翻倍，但每个子类的决策边界变得简单得多，有利于模型学习。论文从理论上给出了该方法有效的条件论证，并通过实验在CIFAR-10数据集上取得了95.01%的近最优自然准确率，同时保持了显著的鲁棒性（针对多种攻击）。该方法在自然准确率要求极高的实际应用中具有优势，是对抗训练领域的一个重要创新。本文适合对深度学习鲁棒性、对抗样本防御感兴趣的研究者和工程师阅读。

该论文关注鲁棒图像水印中的身份泄露问题。随着生成式AI发展，图像水印用于版权保护和所有权验证，但现有鲁棒水印方法易受两种攻击：对抗攻击（修改水印图像使解码失败）和身份泄露攻击（伪造水印图像）。作者发现，无论是经验鲁棒还是认证鲁棒的现有方法，都在增强鲁棒性时加剧了身份信息泄露（攻击者可利用可区分的特征伪造水印）。为解决此问题，论文提出W-IR，首个同时实现身份保护和鲁棒性的图像水印框架。核心方法包括：1）基于随机平滑的认证鲁棒机制，在像素级和坐标级两个变换空间上提供认证鲁棒性（利用Neyman-Pearson引理确定最优决策边界）；2）基于残差信息损失的身份泄露缓解策略，通过最小化残差图像与水印图像之间的互信息，减少身份特征的泄漏。实验表明，W-IR在保持高认证准确率的同时，有效降低了身份泄露风险，在鲁棒性和身份保护之间取得了更优平衡。代码已开源。

联邦学习（FL）面临诸多安全攻击，但学界对其根本原因及有效防御缺乏整体理解。本文系统剖析了现有定向攻击的内部机制，揭示了攻击可行的原因在于：机器学习算法对尾部数据的记忆需求对FL完整性产生重大影响——这一现象此前主要被研究为隐私问题，本文首次阐明了其对模型完整性的关联。通过分析，作者发现对客户端更新施加范数约束（如L2和L∞界）可以显著缓解某些严重攻击。然而，在安全聚合协议中高效实施这些约束面临挑战，因为加密的梯度更新无法直接验证。为此，本文提出RoFL，一种新型安全FL系统，它在安全聚合的基础上扩展了隐私保护的输入验证功能。RoFL利用密码学技术，在不暴露明文更新的前提下，对高维加密模型更新强制执行L2和L∞界约束。实验表明，RoFL在保持模型准确率的同时，能有效防御多种投毒攻击，为FL的鲁棒性提供了可证明的保障。该工作为理解FL攻击的本质及设计实用防御方案提供了理论基础和实践指南。

本文是一篇系统化知识综述（SoK），聚焦于大语言模型（LLM）针对越狱攻击的鲁棒性问题。越狱攻击通过精心构造的对抗提示，诱使模型生成有害、不道德或违反政策的输出，对高安全性应用中的信任、合规和安全构成实际威胁。现有评估实践通常仅依赖攻击成功率等单一指标，无法全面捕捉LLM安全的多维度特性。为此，作者首先提出了越狱攻击与防御的系统分类法，梳理了当前文献中的关键见解与开放挑战。在此基础上，引入了一种统一的多维评估框架——Security Cube，用于全面评估攻击与防御技术。该框架涵盖多个评估维度，能够更准确地反映LLM的安全态势。利用Security Cube，作者对13种代表性攻击和5种防御方法进行了基准研究，清晰描绘了当前领域在越狱攻击、防御、自动评判器和LLM漏洞等方面的整体图景。基于这些评估，文章提炼了关键发现，指出了尚未解决的问题，并概述了增强LLM越狱攻击鲁棒性的有前景研究方向。该研究旨在为构建更鲁棒、可解释和可信赖的LLM系统铺平道路。代码已开源。适合安全研究人员、LLM开发者和AI治理从业者阅读。

本文针对视觉 Transformer（ViT）在对抗攻击下的脆弱性展开系统研究。ViT 已成为现代视觉-语言模型的基础架构，但其对抗鲁棒性不足，需要专门的对抗训练（AT）策略。作者首先指出现有最先进的 AT 方法（如 Generalist 和 DBAT）与 ViT 存在显著不兼容性。接着，论文从互信息（MI）角度进行理论分析，证明在基于自编码器的自监督预训练中，对抗样本与其潜在表示之间的互信息应通过导出的 MI 界限进行约束。基于此洞察，作者提出一种自监督 AT 方法 MIMIR，该方法通过掩码图像建模和自编码器，引入互信息惩罚项来增强对抗预训练。在 CIFAR-10、Tiny-ImageNet 和 ImageNet-1K 上的大量实验表明，MIMIR 能够持续提升自然准确率和鲁棒准确率，在 ImageNet-1K 上全面超越现有最先进方法。此外，MIMIR 对未知攻击和常见损坏数据表现出卓越的鲁棒性，还能抵御完全知晓防御机制的自适应攻击。代码和训练模型已开源。本研究适合对抗机器学习、视觉安全领域的研究人员和工程师阅读。

本文研究字符级扰动对大型语言模型（LLM）水印技术的破坏效果。水印技术被广泛用于追踪LLM生成内容，防止滥用。作者系统分析了多种字符级扰动（如拼写错误、同音替换、随机插入等）对当前主流水印方案（如基于n-gram的Aaronson水印、基于软水印的Kirchenbauer方案等）的鲁棒性影响。实验在多个开源LLM（如Llama2、OPT）上进行，结果表明，简单的字符级扰动即可显著降低水印检测的准确率，甚至完全绕过检测。作者进一步探讨了结合语义保持的对抗性扰动，发现更难防御。本文揭示了LLM水印在字符层面的脆弱性，对内容追踪与反滥用领域具有警示意义。

该论文针对金融交易中的欺诈检测问题，提出了一种基于双人博弈的鲁棒检测框架。传统欺诈检测模型通常面临对抗性样本攻击和概念漂移的挑战，导致检测性能下降。作者将欺诈检测建模为检测器与攻击者之间的动态博弈过程：检测器试图识别欺诈交易，而攻击者不断调整策略以逃避检测。通过引入博弈论中的纳什均衡概念，论文设计了一种交替优化算法，使检测器在对抗环境中持续提升鲁棒性。实验在多个真实交易数据集上进行，结果表明所提方法在保持高检测率的同时，显著降低了攻击成功率，优于现有基线模型。该工作为金融安全领域提供了新的理论视角和实用工具。

该论文针对数据集版权保护中水印信号弱、注入率低及对抗攻击下的鲁棒性问题，提出了一种名为DIP的概率水印注入与双重验证框架。核心方法包括三部分：1) 分布感知样本选择：从数据集中均匀选择N个训练样本用于水印注入，从而保持原始数据分布；2) 概率水印注入：对选中的样本注入概率水印，即通过扰动样本特征或标签的方式嵌入不可见标记，使得水印在统计意义上可检测但难以被移除；3) 双重验证：结合基于标签的验证和基于标签分布的验证，提升所有权判定的可靠性。实验在多个图像分类数据集上评估了DIP在不同注入率、不同攻击（如剪枝、微调、后门攻击）下的表现，结果表明DIP在保持模型效用（分类准确率）的同时，显著提升了水印检测的鲁棒性和可信度。该工作主要贡献为提出了一种对弱嵌入信号不敏感的概率水印框架，并设计了双重验证机制来抵御对抗性移除。适合关注数据知识产权保护、鲁棒水印技术的研究者和工程师阅读。

本文针对特征归因（Feature Attribution）解释方法的鲁棒性评估问题展开研究。特征归因是解释机器学习模型预测结果的一种常见技术，通过为输入特征分配重要性分数来指示其对模型输出的贡献。然而，现有研究指出，这些解释可能对输入中的微小扰动高度敏感，即存在鲁棒性问题。本文提出一个系统性的鲁棒性评估框架，用于量化特征归因解释在面对输入扰动时的稳定性。该框架首先定义了一系列鲁棒性度量指标，如最大扰动幅度下的解释变化程度，并设计了高效的优化算法来寻找最坏情况下的扰动。实验在多个数据集和多种归因方法（包括梯度类、扰动类和代理模型类方法）上进行验证。结果表明，不同归因方法的鲁棒性存在显著差异，且鲁棒性与解释的保真度、稀疏性等属性并非正相关。该工作为特征归因解释的可靠性评估提供了标准化工具，有助于理解解释方法的局限性并指导后续改进。

本文针对快速对抗训练（FAT）中存在的两个核心问题展开研究：（1）灾难性过拟合（CO），即模型过度拟合训练时使用的对抗样本，导致对未见攻击泛化能力差；（2）鲁棒性与准确率之间的权衡，即在提高鲁棒性的同时往往导致干净样本上的性能显著下降，且随着扰动预算增加而加剧。作者首先通过将样本按置信度分组，系统分析了引导强度（扰动和监管水平）如何影响模型性能，发现低置信度样本是引发CO和鲁棒-准确率权衡的主要因素。基于此洞察，提出了一种分布感知动态指导（DDG）策略，该策略根据样本在真实类别上的置信度动态调整扰动幅度和监督信号：一方面，根据置信度缩放扰动大小，引导样本朝向一致的决策边界，同时减少对虚假相关性的学习；另一方面，基于每个样本的预测状态动态调整监督信号强度，避免过度强调错误信号。此外，为缓解动态指导可能带来的梯度不稳定，设计了加权正则化约束。在标准基准测试（如CIFAR-10、CIFAR-100等）上的广泛实验表明，DDG能有效缓解CO和鲁棒-准确率权衡，在保持较高干净准确率的同时显著提升鲁棒性。本文适用于对对抗训练、模型鲁棒性及深度学习安全感兴趣的研究人员。