SparseBleed：利用稀疏优化时序侧信道绕过属性推断防御
论文提出首个硬件级属性窃取攻击 SparseBleed，利用稀疏驱动执行路径产生的稳定时序签名作为模型置信度的替代，无需访问梯度、logits、模型权重或功耗轨迹，即可从单次查询高保真推断属性。
看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 528 条 · 更新于 15:39
arXiv推荐指数7373 arXiv推荐指数6767 Jailbreak Connectivity 提出连续对抗路径优化以实现多模态大模型可迁移越狱
论文提出名为 Jailbreak Connectivity（JC）的多模态大语言模型视觉越狱框架，基于有效对抗样本可通过图像空间低损失区域相连的观察，优化连续对抗路径：路径采样生成多样化越狱图像，轻量代理分类器引导跨模型迁移，分布级目标实现跨有害查询的通用攻击。
arXiv推荐指数2222 面向开放集以太网认证的渐进观测物理层指纹方法
一项研究提出渐进观测物理层指纹（PLF）方法，按查询自适应调整波形长度：轻量 CNN 先以短观测剔除明显未知设备，谱匹配再以稍长观测接受明显已注册设备，仅模糊查询走全长波形，并设计自适应校准算法应对跨天指纹漂移。
arXiv推荐指数4545 开源软件后量子密码（PQC）采用研究：实践、挑战与演进
一项对 179 个开源仓库、114,361 次提交和 5,713 个 issue 的挖掘研究显示，90% 的 PQC 相关提交属于对既有支持的维护，而非新增实现。
arXiv推荐指数3838 Revision-Bound Evidence Cuts：认证查询与上下文见证能力
arXiv 论文提出 revision-bound evidence Cuts 框架，通过签名完整更新前沿与认证关系查询契约，在源版本变化时同时认证支持与反对的推理义务。
arXiv推荐指数7171 arXiv 论文：AI 生成非自愿私密影像靠配置实现而非专用工具
论文分析了 CivitAI 平台上的 139 篇 R+ 指南，该平台以托管大量 AI 生成性内容（AIG-SC）著称。研究发现这些指南讨论了如何将性概念与身份概念组合成内容生成工作流，即 AI 生成非自愿私密影像（AIG-NCII）的构成要素，其中一篇指南明确给出了 AIG-NCII 工作流。
arXiv推荐指数7575 arXiv 论文提出六模块扫描器检测 Agent Skills 本地与组合漏洞
论文提出一个六模块扫描器（内容提取、本地分析、组合分析、验证、报告、缓解），用于检测 Agent Skills 中的非预期漏洞及多技能组合风险。
arXiv推荐指数5656 ICALL-BENCH：评测 LLM 在二进制程序中的跨过程推理能力
ICALL-BENCH 是一个评测 LLM 与智能体在编译二进制程序中理解并推理跨过程语义能力的基准，以间接调用目标恢复作为可量化探针。它覆盖 50 个真实 C/C++ 程序，平均 74,746 行代码、941 个函数，设置模型纯推理、静态工具增强智能体、联网开放世界智能体三种分析模式，评测 5 个近期 LLM 及其对应智能体。
arXiv推荐指数6262 arXiv 论文提出智能合约合成意图丢失测量方法与先提问架构
论文提出一套基于执行而非主观判断的评测方法，通过在 AI 生成的智能合约与原始合约上重放相同交易并测量一致率，定位需求在智能合约合成中丢失的位置。研究发现常见方法如 AI 评委和标准分析工具会漏掉明显错误，仅检查各系统都包含的函数会掩盖约一半的流水线差异。
arXiv推荐指数4646 VulnLens：基于结构化安全解释的 C/C++ 漏洞检测框架
VulnLens 提出一种解释增强的二元 C/C++ 漏洞检测框架，将程序行为分析与最终判定分离：标签盲的 LLM Explainer 从数据流、内存访问、对象生命周期等七个固定视角生成结构化解释，监督式 Detector 通过序列交叉注意力融合源码与解释。
arXiv推荐指数7070 HoS 论文：学习式注意力门提升提示词注入鲁棒性
论文提出名为 Heads of Security (HoS) 的提示词注入防御方法，通过一组学习得到的每头注意力门强制指令与数据分离，让模型在不遵循注入指令的前提下推理不可信内容。
arXiv推荐指数2222 经典验证量子计算超越多项式层级
研究证明，相对经典 oracle，经典多项式时间验证器可在无计算假设下验证一个位于多项式层级之外、由量子多项式时间精确判定的语言。该协议为 public-coin，完美完备性、可靠性错误至多 1/4，消息数在常数因子内最优。研究还针对递归 Fourier sampling 变体证明了新的 switching 定理。
arXiv推荐指数5656 CrossProfile 基准揭示 LLM 群体决策记忆压缩的失效模式
论文提出 CrossProfile 诊断基准，包含 60 个模板与自动校验答案键（共 480 个任务），用于评估 LLM 群体讨论压缩为记忆后对最终决策的影响。
arXiv推荐指数4747 超越答案变化：面向音频证据的同类别匹配对照协议
一项针对音频-语言模型的对照研究提出同类别匹配替换协议，在600个合成声景、两个架构家族共三个模型上测试模型答案对局部声音事件类别变化的响应。结果显示，不同类别替换比同类别替换多产生49.7至60.9个百分点的答案变化，同类别替换后准确率与原始准确率差距保持在5.2个百分点以内。
arXiv推荐指数4444 临床类别不平衡下选择性预测的不确定性量化结构性漏洞与修正（arXiv:2610.37561）
一项 arXiv 研究指出，在临床类别严重不平衡下，标准不确定性量化度量衡量的是数据集稀疏性而非临床模糊性，会把少数类患者系统性排除，形成"安全错觉"。研究在 56 种合成条件与多发性硬化、帕金森病、阿尔茨海默病三个神经退行性队列上验证，CCR 结合阈值感知度量可恢复类内严格单调性、维持有界的均衡风险。作者建议临床选择性预测管线采用阈值对齐的不确定性度量与分层评估。
arXiv推荐指数5959 arXiv 论文：交叉任务耦合如何驱动无监督 RLVR 中的策略坍缩
论文研究无标签、可验证奖励强化学习（RLVR）中模型以自身多数投票作为奖励时出现的策略坍缩现象：自评奖励趋近 1 但准确率下降，模型最终对所有问题给出相同答案，且坍缩仅在训练问题数量较多时出现。
arXiv推荐指数4747 重审量化深度神经网络的隐私风险：4-8 bit 量化模型仍易受成员推断攻击
一项针对量化深度神经网络（QNN）隐私风险的实证研究显示，4-8 bit 的实用量化级别对成员推断攻击（MIA）防护作用有限，量化模型与全精度模型同样脆弱；2-bit 激进量化虽能带来一定隐私收益，但以显著的效用下降为代价。
arXiv推荐指数5656 arXiv 论文提出耦合福利继续预训练语料，提升五个开源模型的生态对齐表现
论文构建了一个基于真实数据的耦合福利继续预训练语料，内容涵盖人类、生物圈与 AI 的相互依赖、不可逆情形下的选择价值以及伤害后的恢复，只需一次 QLoRA CPT 即可即插即用。
arXiv推荐指数7272 SimpleLoRIF 用梯度归因定位致害微调数据并构建 SafeTulu
论文提出 SimpleLoRIF，一种可扩展的梯度嵌入方法，用于识别与不安全行为梯度对齐的微调样本；通过简化低秩归因并将反向传播限制在最后四个 transformer 块，可处理百万级样本。
arXiv推荐指数5656 arXiv 论文提出 MIDE 流水线，量化 HTTP 方法互换的安全影响
论文提出 Method Interchange Detection Engine（MIDE）流水线，研究 POST 请求被改写为 GET 后仍返回等价响应的 HTTP 方法互换现象。
arXiv推荐指数7878 研究：42个AI聊天平台中21个向第三方泄露对话标题，9个泄露用户提示词原文
一项即将发表于 IEEE Symposium on Security & Privacy (S&P) 2027 的研究对42个通用及医疗、法律、教育垂直领域的AI聊天平台网页端进行了系统测量，审计其嵌入的第三方分析、广告和会话回放脚本。
arXiv推荐指数6060 arXiv 论文审计 17 个模型家族的预训练信息披露延续性
该论文基于 2025 Foundation Model Transparency Index（FMTI）的 24 项预训练相关指标，对 17 个模型家族共 41 个模型条目进行文档审计，在 10 个家族的 24 组相邻版本比较中追踪披露的增减与保留情况。
安全paper推荐指数6262 arXiv论文提出Curriculum of Models方法用于自动化越狱发现
论文提出Curriculum of Models（CoM），一种基于强化学习的自动化越狱发现方法，通过让攻击者模型依次针对逐步更安全的目标模型版本进行训练，以解决直接训练时因拒绝导致的稀疏奖励问题。
安全paper推荐指数6666 FlipJev：针对typed decision模型的快速黑盒红队方法发现通用对抗后缀
arXiv:2610.38895 论文提出 FlipJev，针对 Jev 这一代表性 typed decision 模型的快速黑盒查询式攻击，无需调用攻击者大语言模型。
安全paper推荐指数6767 arXiv论文：CoT依赖度随模型规模上升，与后训练基本无关
arXiv:2610.38433 论文提出用合成box-swap任务测量模型是否真正依赖其写出的思维链：在已知中间状态的推理链中替换一步为错误但有效的状态，观察最终答案是否随之改变。
安全paper推荐指数7575 arXiv论文揭示LLM Agent间接提示词注入的trust region效应
论文研究长时程LLM Agent中的间接提示词注入，构建了覆盖工具使用、编码和日常工作流三个领域的测试环境，发现即使注入内容完全相同，攻击成功率也随注入位置显著变化，作者称之为trust region效应。
安全paper推荐指数6161 Jailbreak Connectivity：面向多模态大模型的多样化、可迁移与通用视觉越狱框架
arXiv:2610.38091 提出 Jailbreak Connectivity（JC）视觉越狱框架，将成功的对抗图像视为图像空间中通过低损失区域相连的区域而非孤立点，通过优化连续对抗路径采样出多样、可迁移乃至通用的越狱图像。
安全paper推荐指数6767 Value Probes 论文：用目标模型激活的线性探针改进束搜索红队审计
arXiv:2610.38526（Jonathan F. Jao、Andrew Kyle Lampinen）将自动化 LLM 红队审计建模为以对话历史为状态、judge 分数为奖励的 MDP，提出用束搜索替代纯 auditor 探索对话分支，并训练 "Value Probes"——目标模型激活上的线性探针预测折扣未来审计奖励作为启发式。
安全paper推荐指数5959 arXiv 论文提出用连续风险景观替代二元越狱评测指标
arXiv:2610.38595 论文提出用连续、上下文条件化的风险景观替代二元攻击成功率（ASR）来评估 LLM 越狱，通过固定候选首 token 开头并反复采样其续写来估计首 token 分支上的风险分布。该视角区分了当前解码器暴露度与安全改道能力两个互补属性，揭示了看似安全输出下隐藏的高风险分支，并发现针对已知自适应防御最强的攻击在防御生效后不一定仍是最强的。
arXiv推荐指数4141 SecDMP：可证明安全的数据内存依赖预取防御（NDSS 2027 扩展版）
SecDMP 提出一种可证明安全的硬件防御，要求在内存中标记机密数据，确保数据内存依赖预取器（DMP）永不将这些机密编码进微架构，且不牺牲公开数据的性能。论文形式化证明 SecDMP 不引入超出无 DMP 基线语义的泄漏，与推测执行防御结合可为 constant-time 代码恢复完整的微架构安全。
arXiv推荐指数6262 arXiv 论文：LLM Agent 的信封层防御边界受标签、前端权限与记忆共同影响
论文以 A2A-TIBA 攻击为测试载体，沿用 GDA Measurement 方法与 A/B/C/D 结果分类，用语义突破率为主要指标、语义拒绝率为参照，通过二乘二因子实验和记忆实验刻画 LLM Agent 信封层的安全边界。
arXiv推荐指数3535 基于 DIO/ODI 的 Agentic Entity Resolution 授权护栏：约束提交边界
arXiv 论文提出一种基于 Digital Identity Optimization（DIO）与 Ontology of Digital Identity（ODI）的授权护栏规范，为 Agentic Entity Resolution 系统在证据推理与持久化身份变更提交之间划定授权边界。
arXiv推荐指数2929 HIDE：基于文档与证据的 Rustc 缺陷分层隔离方法
HIDE 用分层 LLM 方法为 rustc 缺陷定位可疑源文件，在 160 个可复现 rustc bug 上以 GPT-5.4 取得 42.08% Accuracy@1 和 80.42% Accuracy@10，分别超出最强基线 5.83% 和 6.04%。
arXiv推荐指数6262 arXiv 论文实测五个编码智能体 1,886 个版本的指令栈演化
论文对 Claude Code、Codex、Gemini CLI、Qwen Code 和 OpenCode 共 1,886 个版本首次模型请求中的指令栈进行纵向跨智能体研究，分析其构成与演化，并对四个开源智能体的变更追溯到有据可查的动机。
arXiv推荐指数6464 WM-Basin：基于水印盆地对齐的蒸馏模型黑盒检测方法
论文提出 Watermark Basin Alignment（WM-Basin），一种针对 API 蒸馏的黑盒水印检测方法。其核心发现是：带水印的教师模型输出在微调时会在参数空间嵌入与任务微调子空间正交的密钥相关几何信号，即水印盆地。
arXiv推荐指数3333 REGLAT 在 ArGuard 2026 共享任务中的阿拉伯语有害内容检测系统：集成 NER 的集成模型
REGLAT 系统在 ArGuard 2026 共享任务中用 GLiNER 抽取有害实体并拼接原文，再交由微调后的 MARBERT 分类器完成阿拉伯语有害内容七分类，开发集上 macro-F1 达 0.886、准确率 0.897。盲测集子任务 1 准确率 0.793、Macro-F 0.735，子任务 2 准确率 0.770、Macro-F 0.754。分析显示相近危害类别之间仍难以区分。
arXiv推荐指数5555 HausaSafeLM：面向豪萨语的大语言模型安全对齐研究
论文针对豪萨语（Hausa）这一低资源语言研究大语言模型安全对齐，提出首批豪萨语安全偏好数据集 HausaSafeLM，包含从 PKU-SafeRLHF 衍生的 10,000 条 prompt，其中 3,000 条人工修正（gold）、7,000 条机器翻译（silver），覆盖六类危害宏类别。
arXiv推荐指数4747 多关系图学习中的信任陷阱：操纵成本、暴露度与关系选择
arXiv 预印本（2610.37239）证明，当部分节点在某关系上孤立且攻击者无法负担开启该关系的代价时，度门控严格优于任何关系选择或重加权方案；基于单位成本暴露度的加固策略在 16 例中有 15 例能选出最能提升陷阱阈值的关系。在六张图的 90 个设置中，58 个设置下干净数据训练的图检测器表现低于无图基线；在缺乏成本信息时，安全选择是弃用该关系。
arXiv推荐指数2626 异步可验证与完整秘密共享：从设计模式到系统级权衡
一项针对异步可验证与完整秘密共享协议的系统级评测显示，消息复杂度并不能很好地预测延迟，乐观路径可能被恢复开销主导，而批处理或打包仅在验证不位于关键路径上时才有效。