PCM：面向多智能体通信的可验证消息协议论文发布
arXiv:2610.39109 发布论文 PCM（Proof-Carrying Messages），提出一种多智能体通信协议，让每条消息中的声明都携带可验证证据。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选1展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 156 条 · 更新于 15:38
安全paper推荐指数7272 arXiv推荐指数5858 Soei：面向多智能体软件工程的证据与意图结构化可观测性研究
该论文提出 Soei（Structured Observability of Evidence and Intent），针对多智能体编码Agent的长时程软件工作，研究证据与意图的结构化可观测性。
arXiv推荐指数5151 arXiv 论文提出 Agentic Process Evidence 协议，为 AI 编码智能体提供可追溯的签名证据
论文提出 Agentic Process Evidence（APE），一种对智能体过程进行签名、防篡改、机器可读的证明机制，将智能体会话与其产出结果关联（process-aware logging），以应对 AI 编码智能体在 SDLC 中带来的供应链风险、策略护栏与任务对齐三类问题。
arXiv推荐指数6565 AgentHeal：评测 Web Agent 在访问障碍下的目标保持型资源恢复能力
论文提出 AgentHeal，一个评测 Web Agent 在访问障碍下进行目标保持型资源恢复能力的基准，涵盖 9 类障碍族，基于反事实沙箱与真实网站回放两种设置。
arXiv推荐指数4545 ARBITRA：基于多专家论证的鲁棒文档级 MITRE ATT&CK 提取
ARBITRA 通过多个角色专精的 LLM 专家从完整 CTI 报告中提出候选 MITRE ATT&CK 实体，并用基于文档证据与理由的逐候选量化双极论证框架（QBAF）进行验证，在 ATT&CK 提取基准上取得比句子级流水线、近期 LLM 提取系统及 GPT-5.5 等前沿模型更强的精确率导向工作点。
arXiv推荐指数4545 联邦训练会削弱可解释性吗？集中式与联邦式 Deepfake 检测的 Grad-CAM 忠实度对比分析
一项系统研究在 FaceForensics++ 上以 EfficientNet-B4 检测器、5 个联邦客户端评估了联邦 Deepfake 检测中 Grad-CAM 解释的忠实度，发现联邦化与解释质量呈非单调关系：近 IID 和中度异构下联邦模型持平或优于集中式基线，极端异构下解释完全失效、空间不连贯且平均而言具有因果误导性。
arXiv推荐指数6262 TG-CI：面向多智能体工作流的任务图上下文完整性形式化与评测集
论文提出 Task-Graph Contextual Integrity（TG-CI），据作者所知是首个面向多智能体系统的任务图原生上下文完整性形式化，将工作流建模为 Multi-Agent Task Graph（MATG），把 CI 从原子信息传递扩展到有状态的图级信息流，同时考虑条目的预期传播范围与接收方不断变化的披露状态。
arXiv推荐指数3838 PairWatch：基于卫星对感知的 AnomalyTransformer，用于检测公开卫星星表中的对抗性交会
PairWatch 提出一种卫星对感知的 AnomalyTransformer，通过在注意力先验中加入对相对运动特征的符号对称几何相似度，检测公开 TLE 星表中的对抗性交会与接近操作（RPO），并发布含 359 个窗口的开源 benchmark（覆盖 11 起有记录的 RPO 事件、100 个 Clohessy-Wiltshire 合成对抗窗口及五类困难负样本）。
arXiv推荐指数4545 忆阻器脉冲神经网络的硬件感知模型反演研究：SDMI 方法与硬件非理想性对隐私泄漏的影响
arXiv 论文提出 Spiking Domain Model Inversion（SDMI），将 Expectation over Transformation（EOT）与代理梯度结合，用于对映射到忆阻器交叉阵列的脉冲神经网络（SNN）执行模型反演攻击。
arXiv推荐指数6060 InferD：面向 AI 推理基础设施的蜜罐框架论文（AISec Workshop '26 / ACM CCS 2026）
论文提出 InferD，一个面向 AI 推理基础设施的低交互蜜罐框架，被 AISec Workshop '26（ACM CCS 2026，海牙）接收。作者指出大语言模型服务栈、商用推理 API、向量数据库和 Agent 编排网关部署后数小时内即被通用扫描器暴露在公网，而现有蜜罐框架面向传统网络服务，无法测量该攻击面。
arXiv推荐指数6262 arXiv 论文：用线性探针在 Agent 泄密前最后一刻预警其即将屈服
论文提出在多智能体场景中，用线性探针读取 Agent 激活值，在其输出生成前预测它是否即将屈服于同伴压力泄露机密。
arXiv推荐指数4747 基于潜在坐标符号钳位的抗攻击多比特图像水印框架
一项 arXiv 研究提出训练无关的图像水印框架，利用扩散模型潜在空间的超完备性向任意图像嵌入 32–128 比特多比特载荷，适用于自然图像与 AI 生成图像。
arXiv推荐指数6262 arXiv 论文：模拟环境强化学习训练提升大模型精神科问诊表现与对话安全
论文提出在模拟环境中用多轮强化学习（RL）训练大语言模型完成结构化精神科问诊，涵盖病史采集、鉴别诊断与初步管理规划。
arXiv推荐指数7272 arXiv 论文：理解并缓解大模型中的角色伪装攻击
论文研究 LLM 中的角色伪装（role spoofing）攻击，即工具输出中的恶意文本（如 Agent 访问的恶意网页）利用角色混淆冒充用户。作者分析模型追踪对话中谁说了什么的机制，发现其依赖内容（语义与写作风格）和结构（控制 token 与格式）两类线索，结合伪造结构与内容的攻击成功率很高。
arXiv推荐指数6262 扩散模型成员推断攻击的跨时间难度校准方法
arXiv 论文提出沿训练时间和扩散时间两个维度做难度校准，以改进扩散模型的成员推断攻击（MIA）。
arXiv推荐指数5656 TextSeal2：基于 Copula Mixing 与无记忆竞赛的无失真 LLM 水印论文
arXiv 论文提出 TextSeal2，一种无失真 LLM 水印方案，在投机解码下被拒绝草稿替换的 token 仍保留相同密钥的水印信号，接受率不变，且不引入可测量的推理延迟。
arXiv推荐指数3838 DIFUZZI：基于 LLM 的差分模糊测试工具，用于代码功能相似性评估
DIFUZZI 是一款差分模糊测试工具，通过引入基于 LLM 的输入生成器合成步骤（迭代验证与修复），自动化构建适配目标程序对的输入生成器，从而降低差分模糊测试的应用门槛。该工具已开源发布，并附有演示视频。
arXiv推荐指数4040 CALM：面向长周期语言智能体的冲突感知生命周期记忆治理框架
CALM 提出一种冲突感知的生命周期记忆治理框架，将持久记忆保存与查询时准入解耦，把异构记录转换为基于证据的记忆单元，并依据支持、冲突与依赖信号更新有效性与生命周期状态。
arXiv推荐指数5353 JevAct：在执行前对LLM Agent动作做策略校验的运行时验证框架
论文提出JevAct，一个针对LLM Agent的运行时验证框架，在动作执行前拦截选定操作并驱动反馈式修正。它把领域策略编译为可执行状态检查和结构化问题，由仅做prefill的决策模型给出基于概率的判断，结合工具状态的确定性校验与对话上下文的概率评估，识别潜在无效动作和过早终止任务，并给出定向反馈供有限次修正；该框架独立于底层Agent模型，无需修改其参数或工具。
arXiv推荐指数6868 arXiv论文：CoT依赖度随模型规模上升并饱和，后训练不改变该依赖
论文在合成box-swap任务上用精确真值测量模型对自身思维链（CoT）的依赖度：替换CoT中一步为错误但合法的状态，检查答案是否随之改变。
arXiv推荐指数5858 AI搜索中的manifest辅助检索：证据缺口与安全评测研究
arXiv论文提出AI搜索中manifest辅助检索的安全评测框架，指出既有审计未能分离消费/llms.txt对安全与效用的增量影响。研究覆盖39个来源的非系统性审计，15工具研究在单一端点45次试验中未观察到自动请求，日志研究发现2026年5月检测到文件的域名中97%无记录请求。
arXiv推荐指数6767 Tracekit Box 论文：在 Firecracker micro-VM 中运行 AI Agent 并对每次出口决策签名
arXiv 论文提出 Tracekit Box，一个 MIT 许可的开源系统（v0），让每个 AI Agent 任务运行在独立的 Firecracker micro-VM 中且不配网卡，所有出口（命令、外连、密钥、模型调用、工作区补丁）都经 vsock 走宿主机上的签名器，由 Agent 无法触及的 Tracekit signer 决定放行内容并签名写入每盒一次的运行记录。
arXiv推荐指数6868 WebMaze：以功能耦合诱饵将 LLM Web 扫描器引入诱饵世界
arXiv 论文提出 WebMaze 防御方法，在不改变真实应用功能的前提下，将基于 LLM 的恶意 Web 扫描器引向生成的诱饵世界。作者系统研究了六个 LLM 扫描器如何收集信息并基于观察迭代选择动作，在真实页面中嵌入功能耦合陷阱，并从应用现有视图构建视图定制的交互式诱饵世界。
arXiv推荐指数4747 DRL 交通信号控制的最小信息黑盒虚假报告攻击
研究表明，对基于深度强化学习（DRL）的交通信号控制器，一个无法访问模型、仅能观测自身进口道的黑盒攻击者，通过训练模仿代理模型并构造有界虚假 V2I 报告，即可显著增加其他进口道的平均等待时间，而自身等待时间几乎不变，将额外延误外部化给其他方向。
arXiv推荐指数3838 STAR：基于 TEE 的可扩展匿名速率限制器
STAR 利用服务端可信执行环境（TEE）实现可扩展的匿名速率限制，在抵御 TLS/HTTP 洪水攻击的同时保护用户隐私，无需假设服务方与权威机构不串通。针对恶意服务通过内存访问模式推断用户密钥的威胁，STAR 采用针对密钥相关内存访问的反制措施并以动态分析评估实现，另设计安全分片机制分发客户端请求。
arXiv推荐指数4545 基于部分 C2PA 来源信息增强图像取证
一项被 IEEE WIFS 2026 接收的研究提出两步策略，利用图像上仅记录最后操作的部分 C2PA Content Credentials（CCs）作为可信知识，通过结构分析重建最后签名者施加的操作，并据此适配取证检测器以缓解分布偏移。
arXiv推荐指数6262 arXiv论文：在真实工业装置与仿真器上评测11个异常检测器的安全扰动检测能力
论文在仿真化工流程与钠热工水力实验装置上评测了11个异常检测器（覆盖经典、神经、依赖与因果四类），扰动依据威胁模型构造而非原生故障，并在声明的误报预算下读取检测结果。
ShortSpan推荐指数7373 WM-Basin：通过权重水印黑盒检测被蒸馏的大语言模型
论文《Watermark Basins: Black-Box Detection of Distilled LLMs》提出 WM-Basin，一种仅通过 API 查询即可检测学生模型是否由带水印教师模型蒸馏而来的黑盒检测器。
ShortSpan推荐指数6262 Thinking-in-Bets：让智能体在读用户反馈前先写下主张，可几乎消除补丁审查中的错误反转
论文《Thinking-in-Bets at Test Time Reduces Sycophantic Revisions in LLM Agents》（作者 Nghi D. Q. Bui）提出一种免训练方法：让智能体在读用户回复前先写一份私有 Claim Checklist，逐条记录主张、支撑证据与置信度，收到质疑时据此决定保留、复核、澄清或修复。
arXiv推荐指数6060 API-TAIL：通过温度对齐似然尾部检测LLM API中的模型替换
arXiv论文提出API-TAIL，一种检测商业大语言模型API部分模型替换的典型性审计方法。该方法先对齐单一有效温度以吸收批次级分布偏移，再标记超出阈值的尾部响应，从而在合法解码配置构成的复合零假设下检测低比例替换。在真实商业API上的评测显示，API-TAIL能控制误报并以较小查询预算检测低速率替换，优于基于rank和MMD的现有审计方法。
arXiv推荐指数4949 图像扩散模型 LoRA 适配的来源签名检测协议（arXiv 预印本）
一篇 arXiv 预印本提出一套协议，用于检测在线服务是否在使用标准图像扩散模型的 LoRA 适配版本，并在开放世界场景下（候选适配与替代模型未知）区分基础模型、LoRA 适配与其他模型家族。该方法基于假设检验，仅利用模型生成图像集合的内在维度构建黑盒签名，区别于以往在已知候选模型列表内做模型识别的工作。论文目前处于 Under review 状态，作者为 Tobias Cheung。
arXiv推荐指数6262 arXiv 论文：GRPO 中面向 reward hacking 的预算化强验证器审计策略
论文研究在 GRPO 训练中如何用有限的强验证器预算审计弱通过的 rollout，提出按通过数最少的组优先审计（LB）的策略。
arXiv推荐指数2424 CLOSURE：面向多变量时间序列异常检测的跨通道闭合方法
arXiv 论文提出 CLOSURE，将可恢复性与跨通道一致性作为两个独立学习的正常数据预测任务，用于多变量时间序列异常检测。可恢复性由以离散正常时序基记忆为条件的扩散重建器求解，一致性由关系闭合算子求解——仅凭其他通道预测目标通道并用稀疏有符号门控筛选依赖，两路分数仅在正常数据上校准后融合。实验显示 CLOSURE 在公开基准流上持续优于近期基于重建、频域和拓扑的检测器。
arXiv推荐指数3838 基于分层强化学习的零信任自适应事件响应框架 ZT-AIR
arXiv 论文提出 ZT-AIR，一个以零信任架构为设计理论、分层强化学习为核心理论的自适应事件响应（IR）框架，将零信任控制编码为动作，分离战略优先级与战术执行，联合优化安全有效性与业务连续性。实验在多种对抗策略、网络规模与防御环境下验证，ZT-AIR 通过频繁且低干扰的干预实现安全与连续性的平衡，从业者评估进一步确认了其实际可行性。
arXiv推荐指数3838 Template-Free Dynamic Invariant Detection：用 LLM 替代模板的动态不变量检测工具 Oca
arXiv 论文提出用大语言模型（LLM）替代固定模板库来提出动态不变量，并实现工具 Oca，在真实开源 Java 项目上与基于模板的 Daikon 对比。
arXiv推荐指数6262 ADLER：面向流式 LLM API 的私有文档问答解码协议，用泄露账本约束答案披露
论文提出 ADLER，一种面向流式 LLM API 的解码协议，用于本地小模型与云端 LLM 协同回答私有文档问题时的隐私保护。研究发现，投机解码中私有草稿虽未在答案中出现，却会作为被拒绝的草稿发送给云端，从而泄露私有内容。
arXiv推荐指数7373 SparseBleed：利用稀疏优化时序侧信道绕过属性推断防御
论文提出首个硬件级属性窃取攻击 SparseBleed，利用稀疏驱动执行路径产生的稳定时序签名作为模型置信度的替代，无需访问梯度、logits、模型权重或功耗轨迹，即可从单次查询高保真推断属性。
arXiv推荐指数2222 面向开放集以太网认证的渐进观测物理层指纹方法
一项研究提出渐进观测物理层指纹（PLF）方法，按查询自适应调整波形长度：轻量 CNN 先以短观测剔除明显未知设备，谱匹配再以稍长观测接受明显已注册设备，仅模糊查询走全长波形，并设计自适应校准算法应对跨天指纹漂移。
arXiv推荐指数3838 Revision-Bound Evidence Cuts：认证查询与上下文见证能力
arXiv 论文提出 revision-bound evidence Cuts 框架，通过签名完整更新前沿与认证关系查询契约，在源版本变化时同时认证支持与反对的推理义务。