扩散模型成员推断攻击的跨时间难度校准方法
arXiv 论文提出沿训练时间和扩散时间两个维度做难度校准，以改进扩散模型的成员推断攻击（MIA）。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选2展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 20 条 · 更新于 15:23
arXiv推荐指数6262 arXiv推荐指数4747 DRL 交通信号控制的最小信息黑盒虚假报告攻击
研究表明，对基于深度强化学习（DRL）的交通信号控制器，一个无法访问模型、仅能观测自身进口道的黑盒攻击者，通过训练模仿代理模型并构造有界虚假 V2I 报告，即可显著增加其他进口道的平均等待时间，而自身等待时间几乎不变，将额外延误外部化给其他方向。
ShortSpan推荐指数8383 Wiz 报告开源渗透测试 Agent ARTEX 在真实攻击中的自主攻击链
Wiz 研究人员通过访问日志和身份提供方遥测还原出攻击者使用开源渗透测试 Agent ARTEX 的攻击过程，该操作者与 Microsoft 追踪的 Storm-0940 共享基础设施与习惯，目标为 IT 与软件厂商，聚焦 Okta、Entra、Cognito 身份层。
arXiv推荐指数7373 SparseBleed：利用稀疏优化时序侧信道绕过属性推断防御
论文提出首个硬件级属性窃取攻击 SparseBleed，利用稀疏驱动执行路径产生的稳定时序签名作为模型置信度的替代，无需访问梯度、logits、模型权重或功耗轨迹，即可从单次查询高保真推断属性。
arXiv推荐指数4747 超越答案变化：面向音频证据的同类别匹配对照协议
一项针对音频-语言模型的对照研究提出同类别匹配替换协议，在600个合成声景、两个架构家族共三个模型上测试模型答案对局部声音事件类别变化的响应。结果显示，不同类别替换比同类别替换多产生49.7至60.9个百分点的答案变化，同类别替换后准确率与原始准确率差距保持在5.2个百分点以内。
安全paper推荐指数7171 SEEK：面向科学Agent技能泄露的自进化黑盒红队方法
论文提出 SEEK（Skill Extraction with Evolving Knowledge），一个仅依赖用户可见响应的黑盒自进化红队Agent，用于从科学Agent平台提取可复用技能。
arXiv推荐指数5555 OP-Print：针对 on-policy 自蒸馏的成员推断攻击研究
论文提出 OP-Print，首次针对 on-policy 自蒸馏开展成员推断攻击研究，覆盖灰盒与黑盒两种威胁模型。作者发现 on-policy 自蒸馏的监督印记稀疏且结构化，集中在不确定性敏感的修正位点而非整个 rollout：灰盒场景直接聚合同一 rollout 上的师生残差修正，黑盒场景则用基于重启的输出盆地稳定性作为隐藏修正过程的可观测替代。
arXiv推荐指数6565 AgentTrace：基于执行轨迹的黑盒 LLM Agent 指纹识别框架
论文提出 AgentTrace，通过可观测的执行轨迹识别黑盒 LLM Agent 背后的基础模型。该框架注入结构上存在歧义的探针，在严格的工具接口处触发对分词敏感的序列化失败，再用轻量级 Markov 链对后续多步修复轨迹建模，在对抗性身份伪装下达到 96.0% 归因准确率，并能区分共享相同分词器的同家族变体（如 Llama-3 8B/70B），且对 prompt 混淆和温度缩放保持稳健。
arXiv推荐指数5858 ReMAS：用强化学习对多智能体系统做黑盒红队
作者提出 ReMAS，一个面向多智能体系统（MAS）的强化学习红队框架，通过微调攻击方 LLM 生成用于系统提示词提取的对抗提示。该框架分两步，先改写基础攻击提示以提高提取成功率，再生成攻击模板以提升调用特定子智能体、暴露其系统提示词的概率。实验显示其攻击成功率明显高于现有黑盒攻击方法，并可迁移到不同后端 LLM 与 MAS 结构。
arXiv推荐指数6262 研究提出针对大模型统计生成水印的统一攻击框架
该论文提出 score-ratio alignment 这一共性弱点，覆盖 KGW 及其变体、GumbelSoft、DipMark、ITS 和 SynthID 等主流 LLM 水印方案，攻击者仅需黑盒查询、无需密钥或模型权重即可生成规避检测且保持流畅的文本。
arXiv推荐指数4444 批量归一化层水印的漏洞与无数据移除攻击
研究揭示联邦学习中基于 Batch Normalization（BN）层的白盒水印方案存在根本性漏洞，并提出一种实用的无数据攻击，可在不访问代表性训练数据的情况下移除水印。在两个代表性 FL 水印方案上的实验显示，该攻击能持续移除水印且对模型性能影响极小。作者指出，DNN 水印方案应在符合 Kerckhoffs 原则的威胁模型下评估，而非依赖隐晦式安全。
arXiv推荐指数4242 SPECTER：利用 USB 电源调制从气隙系统 covert 窃取数据
SPECTER 是一种后渗透隐蔽信道，通过主机侧 USB 电源控制从气隙与网络隔离系统中窃取数据，无需将载荷放入 USB 数据传输。
安全paper推荐指数5858 RAGLeak：针对检索增强生成的供应链隐私后门
研究者提出 RAGLeak，一种针对检索增强生成（RAG）的供应链隐私后门，被触发的生成器会把检索到的私密文档做可逆混淆而非直接复制或改写，再由辅助 LLM 还原隐藏内容。
arXiv推荐指数6262 RAGLeak：RAG 系统中的供应链隐私后门攻击
研究者提出 RAGLeak，一种将信息泄露与直接文本暴露解耦的 RAG 供应链隐私后门攻击，触发后由生成器对检索到的私密文档做可逆混淆，再由辅助 LLM 高保真还原。在三个模型家族和三个应用领域上，RAGLeak 的 ASR 最高达 100%，对正常效用影响有限，在代表性检测类防御下 ASR 最多下降 10 个百分点。该后门在干净微调后以及跨模型规模和版本仍然有效，代码已开源。
arXiv推荐指数3434 Signature Knowledge Shielding（SKS）：通过鲁棒嵌入匹配保护杀毒软件检测知识
研究者提出 Signature Knowledge Shielding（SKS）范式，用辅助的 Shielding Signatures（SS）保护现有杀毒软件规则（Protected Signatures，PS），并以逻辑 OR 将 SS 匹配与原始判定结合，使探测反馈更难归因于 PS。
arXiv推荐指数3131 Mal-AAEGAN：用双评论家 WGAN-GP 对抗自编码器生成恶意软件
Mal-AAEGAN 通过对抗自编码器（AAE）将 M 维二进制 API 特征向量映射到低维连续潜空间，生成器在潜空间做加性扰动，避免直接操作高维离散二进制空间。
arXiv推荐指数5252 研究：LLM 在漏洞赏金报告中误判 CVSS 严重性，最佳配置准确率仅 49.58%
一项实证研究基于 Huntr 与 HackerOne 公开披露的 4,281 份报告，构建了含 240 份厂商确认 CVSS 向量的基准，在四种提示策略与微调下评测八个 LLM。
ShortSpan推荐指数7676 PAGE404 论文揭示 Grace Hopper 页面迁移跨 MIG 分区信息泄露
论文 PAGE404: Breaking GPU Isolation Through Hardware-assisted Page Migration（作者 Ravan Nazaraliyev。
ShortSpan推荐指数7171 KEX-bench 评测编码智能体生成内核利用原语：无参考 PoC 时 Windows 任务仅解出 1/20
研究者提出 KEX-bench，用 40 个真实 Linux 与 Windows CVE 构造 45 个任务，检验编码智能体能否把内核漏洞转成可验证的利用原语。
ShortSpan推荐指数7474 研究称本地 LLM 经内存残留、日志与 API 泄露提示词
论文《The Illusion of Local Privacy》对本地 LLM 服务栈的完整性、生命周期、持久化与隔离四个边界做实测，结论是本地运行不等于提示词保密。