忆阻器脉冲神经网络的硬件感知模型反演研究：SDMI 方法与硬件非理想性对隐私泄漏的影响
arXiv 论文提出 Spiking Domain Model Inversion（SDMI），将 Expectation over Transformation（EOT）与代理梯度结合，用于对映射到忆阻器交叉阵列的脉冲神经网络（SNN）执行模型反演攻击。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选1展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 40 条 · 更新于 15:31
arXiv推荐指数4545 arXiv推荐指数6262 扩散模型成员推断攻击的跨时间难度校准方法
arXiv 论文提出沿训练时间和扩散时间两个维度做难度校准，以改进扩散模型的成员推断攻击（MIA）。
arXiv推荐指数4747 DRL 交通信号控制的最小信息黑盒虚假报告攻击
研究表明，对基于深度强化学习（DRL）的交通信号控制器，一个无法访问模型、仅能观测自身进口道的黑盒攻击者，通过训练模仿代理模型并构造有界虚假 V2I 报告，即可显著增加其他进口道的平均等待时间，而自身等待时间几乎不变，将额外延误外部化给其他方向。
安全向导推荐指数6060 Trail of Bits 分享 PrivacyRaven 模型反演 PoC 实现细节
安全向导推荐 Trail of Bits 一篇关于 PrivacyRaven 的技术文章，介绍如何构建一个可工作的模型反演（model inversion）概念验证，包括哪些尝试未能奏效。推荐理由是该文的价值在于工程实现细节而非最终结果。
安全向导推荐指数5353 模型反演攻击实战教程：以 Posit AI 博客为例重建训练数据
文章给出一个模型反演攻击的完整示例，针对 Posit（原 RStudio）AI 博客的模型，从模型输出中重建训练数据，并附带可运行代码，整体更像一篇教程而非论文摘要。
ShortSpan推荐指数8383 Wiz 报告开源渗透测试 Agent ARTEX 在真实攻击中的自主攻击链
Wiz 研究人员通过访问日志和身份提供方遥测还原出攻击者使用开源渗透测试 Agent ARTEX 的攻击过程，该操作者与 Microsoft 追踪的 Storm-0940 共享基础设施与习惯，目标为 IT 与软件厂商，聚焦 Okta、Entra、Cognito 身份层。
arXiv推荐指数6060 API-TAIL：通过温度对齐似然尾部检测LLM API中的模型替换
arXiv论文提出API-TAIL，一种检测商业大语言模型API部分模型替换的典型性审计方法。该方法先对齐单一有效温度以吸收批次级分布偏移，再标记超出阈值的尾部响应，从而在合法解码配置构成的复合零假设下检测低比例替换。在真实商业API上的评测显示，API-TAIL能控制误报并以较小查询预算检测低速率替换，优于基于rank和MMD的现有审计方法。
arXiv推荐指数4949 图像扩散模型 LoRA 适配的来源签名检测协议（arXiv 预印本）
一篇 arXiv 预印本提出一套协议，用于检测在线服务是否在使用标准图像扩散模型的 LoRA 适配版本，并在开放世界场景下（候选适配与替代模型未知）区分基础模型、LoRA 适配与其他模型家族。该方法基于假设检验，仅利用模型生成图像集合的内在维度构建黑盒签名，区别于以往在已知候选模型列表内做模型识别的工作。论文目前处于 Under review 状态，作者为 Tobias Cheung。
arXiv推荐指数7373 SparseBleed：利用稀疏优化时序侧信道绕过属性推断防御
论文提出首个硬件级属性窃取攻击 SparseBleed，利用稀疏驱动执行路径产生的稳定时序签名作为模型置信度的替代，无需访问梯度、logits、模型权重或功耗轨迹，即可从单次查询高保真推断属性。
arXiv推荐指数4747 超越答案变化：面向音频证据的同类别匹配对照协议
一项针对音频-语言模型的对照研究提出同类别匹配替换协议，在600个合成声景、两个架构家族共三个模型上测试模型答案对局部声音事件类别变化的响应。结果显示，不同类别替换比同类别替换多产生49.7至60.9个百分点的答案变化，同类别替换后准确率与原始准确率差距保持在5.2个百分点以内。
arXiv推荐指数4747 重审量化深度神经网络的隐私风险：4-8 bit 量化模型仍易受成员推断攻击
一项针对量化深度神经网络（QNN）隐私风险的实证研究显示，4-8 bit 的实用量化级别对成员推断攻击（MIA）防护作用有限，量化模型与全精度模型同样脆弱；2-bit 激进量化虽能带来一定隐私收益，但以显著的效用下降为代价。
arXiv推荐指数6464 WM-Basin：基于水印盆地对齐的蒸馏模型黑盒检测方法
论文提出 Watermark Basin Alignment（WM-Basin），一种针对 API 蒸馏的黑盒水印检测方法。其核心发现是：带水印的教师模型输出在微调时会在参数空间嵌入与任务微调子空间正交的密钥相关几何信号，即水印盆地。
arXiv推荐指数5555 arXiv 论文提出任务条件可见度裕度，量化多源异常检测器的隐蔽源操纵风险
论文提出威胁量化指标任务条件可见度裕度（task-conditioned visibility margin），定义为操纵每单位下游任务危害必须暴露的最少检测器证据，该裕度有闭式解，每张证书约 85 μs，可给出最小证据攻击并识别检测器看不见的任务相关方向。
安全paper推荐指数7171 SEEK：面向科学Agent技能泄露的自进化黑盒红队方法
论文提出 SEEK（Skill Extraction with Evolving Knowledge），一个仅依赖用户可见响应的黑盒自进化红队Agent，用于从科学Agent平台提取可复用技能。
arXiv推荐指数4545 PPFLex：基于 MPC 的联邦学习隐私保护方法，抵御梯度引导矩阵标签推断攻击
研究发现，梯度引导的联邦学习优化方法共享的引导矩阵存在隐私漏洞，恶意服务器在 Dirichlet 标签分布下可从共享矩阵推断客户端标签集，准确率达 50% 至 84%。
arXiv推荐指数5555 OP-Print：针对 on-policy 自蒸馏的成员推断攻击研究
论文提出 OP-Print，首次针对 on-policy 自蒸馏开展成员推断攻击研究，覆盖灰盒与黑盒两种威胁模型。作者发现 on-policy 自蒸馏的监督印记稀疏且结构化，集中在不确定性敏感的修正位点而非整个 rollout：灰盒场景直接聚合同一 rollout 上的师生残差修正，黑盒场景则用基于重启的输出盆地稳定性作为隐藏修正过程的可观测替代。
arXiv推荐指数6565 AgentTrace：基于执行轨迹的黑盒 LLM Agent 指纹识别框架
论文提出 AgentTrace，通过可观测的执行轨迹识别黑盒 LLM Agent 背后的基础模型。该框架注入结构上存在歧义的探针，在严格的工具接口处触发对分词敏感的序列化失败，再用轻量级 Markov 链对后续多步修复轨迹建模，在对抗性身份伪装下达到 96.0% 归因准确率，并能区分共享相同分词器的同家族变体（如 Llama-3 8B/70B），且对 prompt 混淆和温度缩放保持稳健。
arXiv推荐指数6060 arXiv 论文提出按标注预算评估切分多模态大模型的特征级属性推断风险
论文提出一种按标注样本预算衡量切分多模态大模型（MLLM）特征级隐私的属性推断框架，通过恢复曲线刻画诚实但好奇的服务器能从传输中间特征中恢复多少未防护状态下的敏感属性泄漏。
arXiv推荐指数7474 TRACE：针对 LLM 近似遗忘的无数据文本重构攻击（NeurIPS 2026）
TRACE 是一个在可访问遗忘前后模型快照、且无任何数据先验知识的条件下重构被遗忘训练数据的框架，被 NeurIPS 2026 接收。它从 embedding 层参数差值中筛选候选 token 以缩小搜索空间，再基于两个模型的困惑度差进行对比打分，并用先探索后补全的两阶段策略恢复多个样本。
arXiv推荐指数5858 ReMAS：用强化学习对多智能体系统做黑盒红队
作者提出 ReMAS，一个面向多智能体系统（MAS）的强化学习红队框架，通过微调攻击方 LLM 生成用于系统提示词提取的对抗提示。该框架分两步，先改写基础攻击提示以提高提取成功率，再生成攻击模板以提升调用特定子智能体、暴露其系统提示词的概率。实验显示其攻击成功率明显高于现有黑盒攻击方法，并可迁移到不同后端 LLM 与 MAS 结构。
arXiv推荐指数2020 新研究称 Regular Syndrome Decoding（RSD）比此前估计更容易求解
一项新研究提出改进的混合代数攻击，通过协调零坐标猜测与基于伴随式的变量消元，重新评估了 Regular Syndrome Decoding（RSD）的具体难度，发现许多广泛使用的参数集比此前估计更容易求解。
arXiv推荐指数1818 对 Datta-Komargodski-Waters 去中心化多授权 ABE 方案的密码分析与修复
研究者对 Datta、Komargodski 与 Waters 发表于 Journal of Cryptology 2023 的去中心化多授权属性基加密（ABE）方案提出明文恢复攻击，在仅一个腐败授权方、两个用户属性集即便合并腐败授权方属性仍不满足授权条件的静态模型下即可成功。
arXiv推荐指数6262 研究提出针对大模型统计生成水印的统一攻击框架
该论文提出 score-ratio alignment 这一共性弱点，覆盖 KGW 及其变体、GumbelSoft、DipMark、ITS 和 SynthID 等主流 LLM 水印方案，攻击者仅需黑盒查询、无需密钥或模型权重即可生成规避检测且保持流畅的文本。
arXiv推荐指数4444 批量归一化层水印的漏洞与无数据移除攻击
研究揭示联邦学习中基于 Batch Normalization（BN）层的白盒水印方案存在根本性漏洞，并提出一种实用的无数据攻击，可在不访问代表性训练数据的情况下移除水印。在两个代表性 FL 水印方案上的实验显示，该攻击能持续移除水印且对模型性能影响极小。作者指出，DNN 水印方案应在符合 Kerckhoffs 原则的威胁模型下评估，而非依赖隐晦式安全。
arXiv推荐指数4242 SPECTER：利用 USB 电源调制从气隙系统 covert 窃取数据
SPECTER 是一种后渗透隐蔽信道，通过主机侧 USB 电源控制从气隙与网络隔离系统中窃取数据，无需将载荷放入 USB 数据传输。
arXiv推荐指数5858 论文提出用 40 个单词答案识别 API 背后的语言模型
Tapan Parikh 的论文提出一种模型指纹方法：用“说出一个声音”“说出一个诗人”这类日常问题的单词答案，在 94 个模型的对照面板上，40 个答案有 92.5% 的概率识别出确切模型，随机猜测仅 1.1%。
arXiv推荐指数4949 每个模型都留下痕迹：多分辨率 LLM 指纹识别研究
研究提出"指纹分辨率"框架，从模型分辨率（跨家族、蒸馏变体、LoRA 适配）与信号分辨率（行为、文体、词汇、语义）两个维度考察 LLM 生成文本的可归属程度。结果显示指纹可超越家族差异，在蒸馏模型乃至同一基座的 LoRA 适配版本中仍可检测；表面与词汇线索被改写后归属能力减弱，但仍有大量模型特异信号残留，且可跨提示分布与语言迁移，其中语义表征跨语言最稳健。
安全paper推荐指数6666 arXiv综述按实测端点重梳118篇RAG防御研究，测试床显示阻止逐字复制仍泄露48.3%隐藏事实
arXiv:2610.30193 发布一篇系统综述，对118篇全文确认的RAG防御论文按实测端点（内容泄露、隐私代理、访问控制、语料使用检测、完整性与归属等七类）而非防御机制或宣称目标重新组织，由32名标注者双重编码，kappa=0.867。
安全paper推荐指数5858 RAGLeak：针对检索增强生成的供应链隐私后门
研究者提出 RAGLeak，一种针对检索增强生成（RAG）的供应链隐私后门，被触发的生成器会把检索到的私密文档做可逆混淆而非直接复制或改写，再由辅助 LLM 还原隐藏内容。
arXiv推荐指数6262 RAGLeak：RAG 系统中的供应链隐私后门攻击
研究者提出 RAGLeak，一种将信息泄露与直接文本暴露解耦的 RAG 供应链隐私后门攻击，触发后由生成器对检索到的私密文档做可逆混淆，再由辅助 LLM 高保真还原。在三个模型家族和三个应用领域上，RAGLeak 的 ASR 最高达 100%，对正常效用影响有限，在代表性检测类防御下 ASR 最多下降 10 个百分点。该后门在干净微调后以及跨模型规模和版本仍然有效，代码已开源。
arXiv推荐指数3434 Signature Knowledge Shielding（SKS）：通过鲁棒嵌入匹配保护杀毒软件检测知识
研究者提出 Signature Knowledge Shielding（SKS）范式，用辅助的 Shielding Signatures（SS）保护现有杀毒软件规则（Protected Signatures，PS），并以逻辑 OR 将 SS 匹配与原始判定结合，使探测反馈更难归因于 PS。
arXiv推荐指数3131 Mal-AAEGAN：用双评论家 WGAN-GP 对抗自编码器生成恶意软件
Mal-AAEGAN 通过对抗自编码器（AAE）将 M 维二进制 API 特征向量映射到低维连续潜空间，生成器在潜空间做加性扰动，避免直接操作高维离散二进制空间。
arXiv推荐指数3434 BrushOff：基于笔触重渲染的绘画水印去除攻击
研究者提出 BrushOff，一种无需训练、无需知晓水印、也不依赖生成模型的笔触重渲染攻击，可将 VINE 水印在 500 幅五种风格绘画上的检测率从至少 97.8% 降至 1.8%，输出无参考质量分数接近干净画作。
arXiv推荐指数5252 研究：LLM 在漏洞赏金报告中误判 CVSS 严重性，最佳配置准确率仅 49.58%
一项实证研究基于 Huntr 与 HackerOne 公开披露的 4,281 份报告，构建了含 240 份厂商确认 CVSS 向量的基准，在四种提示策略与微调下评测八个 LLM。
ShortSpan推荐指数6565 研究显示推荐系统语言嵌入可还原物品身份并致用户再识别
论文 Encoded but Exposed 研究推荐系统中暴露的物品级语言嵌入是否泄露真实身份，作者 Linda Beková 和 Rodrigo Alves 用余弦相似度匹配即可在 MovieLens 32M 和 GoodReads 两个数据集、六个 sentence-transformer 编码器上以较高 MRR 恢复物品身份，无需训练或模型反转。
ShortSpan推荐指数7676 PAGE404 论文揭示 Grace Hopper 页面迁移跨 MIG 分区信息泄露
论文 PAGE404: Breaking GPU Isolation Through Hardware-assisted Page Migration（作者 Ravan Nazaraliyev。
ShortSpan推荐指数7171 KEX-bench 评测编码智能体生成内核利用原语：无参考 PoC 时 Windows 任务仅解出 1/20
研究者提出 KEX-bench，用 40 个真实 Linux 与 Windows CVE 构造 45 个任务，检验编码智能体能否把内核漏洞转成可验证的利用原语。
ShortSpan推荐指数7474 研究称本地 LLM 经内存残留、日志与 API 泄露提示词
论文《The Illusion of Local Privacy》对本地 LLM 服务栈的完整性、生命周期、持久化与隔离四个边界做实测，结论是本地运行不等于提示词保密。