PCM：面向多智能体通信的可验证消息协议论文发布
arXiv:2610.39109 发布论文 PCM（Proof-Carrying Messages），提出一种多智能体通信协议，让每条消息中的声明都携带可验证证据。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选2展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 76 条 · 更新于 15:38
安全paper推荐指数7272 arXiv推荐指数6565 AgentHeal：评测 Web Agent 在访问障碍下的目标保持型资源恢复能力
论文提出 AgentHeal，一个评测 Web Agent 在访问障碍下进行目标保持型资源恢复能力的基准，涵盖 9 类障碍族，基于反事实沙箱与真实网站回放两种设置。
arXiv推荐指数4545 ARBITRA：基于多专家论证的鲁棒文档级 MITRE ATT&CK 提取
ARBITRA 通过多个角色专精的 LLM 专家从完整 CTI 报告中提出候选 MITRE ATT&CK 实体，并用基于文档证据与理由的逐候选量化双极论证框架（QBAF）进行验证，在 ATT&CK 提取基准上取得比句子级流水线、近期 LLM 提取系统及 GPT-5.5 等前沿模型更强的精确率导向工作点。
arXiv推荐指数4545 联邦训练会削弱可解释性吗？集中式与联邦式 Deepfake 检测的 Grad-CAM 忠实度对比分析
一项系统研究在 FaceForensics++ 上以 EfficientNet-B4 检测器、5 个联邦客户端评估了联邦 Deepfake 检测中 Grad-CAM 解释的忠实度，发现联邦化与解释质量呈非单调关系：近 IID 和中度异构下联邦模型持平或优于集中式基线，极端异构下解释完全失效、空间不连贯且平均而言具有因果误导性。
arXiv推荐指数6262 TG-CI：面向多智能体工作流的任务图上下文完整性形式化与评测集
论文提出 Task-Graph Contextual Integrity（TG-CI），据作者所知是首个面向多智能体系统的任务图原生上下文完整性形式化，将工作流建模为 Multi-Agent Task Graph（MATG），把 CI 从原子信息传递扩展到有状态的图级信息流，同时考虑条目的预期传播范围与接收方不断变化的披露状态。
arXiv推荐指数3838 PairWatch：基于卫星对感知的 AnomalyTransformer，用于检测公开卫星星表中的对抗性交会
PairWatch 提出一种卫星对感知的 AnomalyTransformer，通过在注意力先验中加入对相对运动特征的符号对称几何相似度，检测公开 TLE 星表中的对抗性交会与接近操作（RPO），并发布含 359 个窗口的开源 benchmark（覆盖 11 起有记录的 RPO 事件、100 个 Clohessy-Wiltshire 合成对抗窗口及五类困难负样本）。
arXiv推荐指数4747 基于潜在坐标符号钳位的抗攻击多比特图像水印框架
一项 arXiv 研究提出训练无关的图像水印框架，利用扩散模型潜在空间的超完备性向任意图像嵌入 32–128 比特多比特载荷，适用于自然图像与 AI 生成图像。
arXiv推荐指数6262 arXiv 论文：模拟环境强化学习训练提升大模型精神科问诊表现与对话安全
论文提出在模拟环境中用多轮强化学习（RL）训练大语言模型完成结构化精神科问诊，涵盖病史采集、鉴别诊断与初步管理规划。
arXiv推荐指数4040 CALM：面向长周期语言智能体的冲突感知生命周期记忆治理框架
CALM 提出一种冲突感知的生命周期记忆治理框架，将持久记忆保存与查询时准入解耦，把异构记录转换为基于证据的记忆单元，并依据支持、冲突与依赖信号更新有效性与生命周期状态。
arXiv推荐指数5353 JevAct：在执行前对LLM Agent动作做策略校验的运行时验证框架
论文提出JevAct，一个针对LLM Agent的运行时验证框架，在动作执行前拦截选定操作并驱动反馈式修正。它把领域策略编译为可执行状态检查和结构化问题，由仅做prefill的决策模型给出基于概率的判断，结合工具状态的确定性校验与对话上下文的概率评估，识别潜在无效动作和过早终止任务，并给出定向反馈供有限次修正；该框架独立于底层Agent模型，无需修改其参数或工具。
arXiv推荐指数6868 arXiv论文：CoT依赖度随模型规模上升并饱和，后训练不改变该依赖
论文在合成box-swap任务上用精确真值测量模型对自身思维链（CoT）的依赖度：替换CoT中一步为错误但合法的状态，检查答案是否随之改变。
arXiv推荐指数5858 AI搜索中的manifest辅助检索：证据缺口与安全评测研究
arXiv论文提出AI搜索中manifest辅助检索的安全评测框架，指出既有审计未能分离消费/llms.txt对安全与效用的增量影响。研究覆盖39个来源的非系统性审计，15工具研究在单一端点45次试验中未观察到自动请求，日志研究发现2026年5月检测到文件的域名中97%无记录请求。
arXiv推荐指数4545 基于部分 C2PA 来源信息增强图像取证
一项被 IEEE WIFS 2026 接收的研究提出两步策略，利用图像上仅记录最后操作的部分 C2PA Content Credentials（CCs）作为可信知识，通过结构分析重建最后签名者施加的操作，并据此适配取证检测器以缓解分布偏移。
ShortSpan推荐指数7373 WM-Basin：通过权重水印黑盒检测被蒸馏的大语言模型
论文《Watermark Basins: Black-Box Detection of Distilled LLMs》提出 WM-Basin，一种仅通过 API 查询即可检测学生模型是否由带水印教师模型蒸馏而来的黑盒检测器。
ShortSpan推荐指数6262 Thinking-in-Bets：让智能体在读用户反馈前先写下主张，可几乎消除补丁审查中的错误反转
论文《Thinking-in-Bets at Test Time Reduces Sycophantic Revisions in LLM Agents》（作者 Nghi D. Q. Bui）提出一种免训练方法：让智能体在读用户回复前先写一份私有 Claim Checklist，逐条记录主张、支撑证据与置信度，收到质疑时据此决定保留、复核、澄清或修复。
arXiv推荐指数6060 API-TAIL：通过温度对齐似然尾部检测LLM API中的模型替换
arXiv论文提出API-TAIL，一种检测商业大语言模型API部分模型替换的典型性审计方法。该方法先对齐单一有效温度以吸收批次级分布偏移，再标记超出阈值的尾部响应，从而在合法解码配置构成的复合零假设下检测低比例替换。在真实商业API上的评测显示，API-TAIL能控制误报并以较小查询预算检测低速率替换，优于基于rank和MMD的现有审计方法。
arXiv推荐指数6262 arXiv 论文：GRPO 中面向 reward hacking 的预算化强验证器审计策略
论文研究在 GRPO 训练中如何用有限的强验证器预算审计弱通过的 rollout，提出按通过数最少的组优先审计（LB）的策略。
arXiv推荐指数6262 ADLER：面向流式 LLM API 的私有文档问答解码协议，用泄露账本约束答案披露
论文提出 ADLER，一种面向流式 LLM API 的解码协议，用于本地小模型与云端 LLM 协同回答私有文档问题时的隐私保护。研究发现，投机解码中私有草稿虽未在答案中出现，却会作为被拒绝的草稿发送给云端，从而泄露私有内容。
arXiv推荐指数7575 arXiv 论文提出六模块扫描器检测 Agent Skills 本地与组合漏洞
论文提出一个六模块扫描器（内容提取、本地分析、组合分析、验证、报告、缓解），用于检测 Agent Skills 中的非预期漏洞及多技能组合风险。
arXiv推荐指数6262 arXiv 论文提出智能合约合成意图丢失测量方法与先提问架构
论文提出一套基于执行而非主观判断的评测方法，通过在 AI 生成的智能合约与原始合约上重放相同交易并测量一致率，定位需求在智能合约合成中丢失的位置。研究发现常见方法如 AI 评委和标准分析工具会漏掉明显错误，仅检查各系统都包含的函数会掩盖约一半的流水线差异。
安全paper推荐指数6767 Value Probes 论文：用目标模型激活的线性探针改进束搜索红队审计
arXiv:2610.38526（Jonathan F. Jao、Andrew Kyle Lampinen）将自动化 LLM 红队审计建模为以对话历史为状态、judge 分数为奖励的 MDP，提出用束搜索替代纯 auditor 探索对话分支，并训练 "Value Probes"——目标模型激活上的线性探针预测折扣未来审计奖励作为启发式。
arXiv推荐指数6262 arXiv 论文实测五个编码智能体 1,886 个版本的指令栈演化
论文对 Claude Code、Codex、Gemini CLI、Qwen Code 和 OpenCode 共 1,886 个版本首次模型请求中的指令栈进行纵向跨智能体研究，分析其构成与演化，并对四个开源智能体的变更追溯到有据可查的动机。
arXiv推荐指数6464 WM-Basin：基于水印盆地对齐的蒸馏模型黑盒检测方法
论文提出 Watermark Basin Alignment（WM-Basin），一种针对 API 蒸馏的黑盒水印检测方法。其核心发现是：带水印的教师模型输出在微调时会在参数空间嵌入与任务微调子空间正交的密钥相关几何信号，即水印盆地。
arXiv推荐指数4747 多关系图学习中的信任陷阱：操纵成本、暴露度与关系选择
arXiv 预印本（2610.37239）证明，当部分节点在某关系上孤立且攻击者无法负担开启该关系的代价时，度门控严格优于任何关系选择或重加权方案；基于单位成本暴露度的加固策略在 16 例中有 15 例能选出最能提升陷阱阈值的关系。在六张图的 90 个设置中，58 个设置下干净数据训练的图检测器表现低于无图基线；在缺乏成本信息时，安全选择是弃用该关系。
arXiv推荐指数5555 arXiv 论文提出任务条件可见度裕度，量化多源异常检测器的隐蔽源操纵风险
论文提出威胁量化指标任务条件可见度裕度（task-conditioned visibility margin），定义为操纵每单位下游任务危害必须暴露的最少检测器证据，该裕度有闭式解，每张证书约 85 μs，可给出最小证据攻击并识别检测器看不见的任务相关方向。
arXiv推荐指数4444 CASEL：面向后果感知的工具调用 Agent 运行时选择性执行层
CASEL（Consequence-Aware Selective Execution Layer）提出一种模型无关的运行时分配策略，为工具调用 Agent 的每次工具调用在直接执行、验证、沙箱、澄清、审批和弃权之间选择，综合校准失败概率、状态相关后果、可逆性、歧义与证据新鲜度。
安全paper推荐指数6969 arXiv论文提出角色分离的自改进红队方法，目标Agent自评更有效但不宜自提攻击
论文 arXiv:2610.34965（Mintong Kang、Stephen Rawls、Melissa Kazemi Rad、Jian Ni、Bo Li）研究基于 LLM 的自动红队。
安全paper推荐指数6262 Scope-Gap Injection：利用评测器通道盲点绕过 OpenClaw Agent 安全竞赛检查
arXiv:2610.34777 提出 Scope-Gap Injection（SGI），一种针对多阶段 LLM Agent 安全评测流水线的间接提示词注入方法。
安全paper推荐指数6060 SpecGuard：基于形式化规约的运行时监控检测多轮 LLM 越狱
arXiv:2610.36258 提出 SpecGuard，一个免训练、规约驱动的多轮 LLM 越狱运行时监控框架。它用固定的原子命题契约把自然语言观察映射为带证据的事实，用 Linear Temporal Logic（LTL）规约描述被禁止的交互模式，并编译为符号有限自动机增量消费对话轨迹；通过的运行会产出可回放的 witness，标明触发的规约、支撑事实与相关对话轮次。
arXiv推荐指数5353 AquaSense-ICS：面向智慧水质监测与攻击检测的混合真实-仿真数据集与泄漏感知基准
论文发布 AquaSense-ICS 开源数据集与基准，将 Raspberry Pi 5 边缘节点 25.4 小时记录窗口（8.0 小时实录数据、26% 覆盖率。
arXiv推荐指数7676 MCP-Injector 论文揭示工具调用 Agent 在真实 MCP 故障下的脆弱性，规模不提升容错
论文提出 MCP-Injector，一个协议感知的故障注入中间件，可插入 MCP 工具调用路径并注入永久、瞬时、间歇三类故障，其故障模型基于 1,774 个开源 MCP 仓库的 57,240 条 issue 与 PR 讨论校准。
安全paper推荐指数6868 arXiv论文评估激活探针检测潜在危害是否优于模型自身拒绝行为
arXiv:2610.30727 论文在15个指令微调LLM和38个激活读取器上，测试基于激活的latent harm探针（如Latent Guard）在表面改写、说服性框架和越狱包装等分布偏移下，能否检测到超出模型自身拒绝行为之外的危害信号。
arXiv推荐指数4545 DeepAVR：基于多智能体协作的自动化漏洞修复深度分析框架
DeepAVR 提出一个多智能体协作的端到端自动化漏洞修复（AVR）框架，将修复过程分解为故障定位、补丁生成、编译验证、安全验证、功能验证与补丁审查等角色，并引入补丁条件化重定位与面向根因的补丁审查。在真实 C/C++ 漏洞修复数据集 VulnLoc 上，DeepAVR 为 92.3% 的漏洞生成了正确补丁，显著优于先前方法；在 SAN2VULN 上也展现出对训练期间未见漏洞的良好泛化能力。
arXiv推荐指数5757 Safety Probes 性能的缩放律研究：用模型规模与标注量预测探针误差
论文研究能否仅凭模型规模与标注数量提前预测安全探针性能，为此构建了 6 个规模与难度足够的新安全数据集，在 5 个模型家族的 20 个基座模型上训练 2 种探针架构，每个模型使用 32 到 10^6 条标注，以探针误差（1 - AUROC）衡量性能。
arXiv推荐指数2828 AIRO：面向工业物联网威胁检测与安全的流式机器学习框架
AIRO（Autonomous Intelligence-Driven Cybersecurity Risk Reduction System）框架结合 Apache Kafka 流式处理、攻击特征提取与机器学习推理，面向工业物联网（IIoT）实现威胁检测与响应，并通过 IP 封禁、账号暂停、流量限制等措施降低风险。
arXiv推荐指数6161 论文提出差分隐私图发布机制的实证审计方法与开源工具包
论文提出一套实证审计差分隐私（DP）图发布机制的方法，识别出金丝雀构造和见证统计量选择两个图特有审计设计问题，结合统计认证测试流程实现为开源 Python 工具包。
arXiv推荐指数4747 SynMark：LLM 代码生成中的语义-坐标多位水印
SynMark 用学习到的语义坐标替代基于表面 token 前缀的路由，在 LLM 代码生成中嵌入多位水印，以抵御标识符重命名与结构重构。
arXiv推荐指数3939 WADE：基于 LSTM 的 WebAssembly 应用异常检测引擎
WADE（WebAssembly Anomaly Detection Engine）通过 LSTM 学习 WebAssembly 应用在良性条件下的函数级执行轨迹，运行时将偏离模式的行为标记为潜在攻击，无需按漏洞编写签名即可检出已知与未知攻击。