看学术
AI 安全方向的论文、会议、比赛、教程与资料，按内容形态筛选，支持搜索。
分类筛选展开收起
攻击手段
防御体系
模型内生风险
系统与组件
应用场景
评测与治理
可解释与机制
共 1,382 条 · 更新于 15:39
arXiv CTFtime BSides Peoria CTF 2026
CTFtime推荐指数88 H7CTF 2026 总决赛
H7CTF v3 总决赛将在 SRMIST 线下举办，汇聚全球统一资格赛晋级的顶尖战队。比赛采用真实攻防对抗环境，考察参赛队伍在攻击与防御两个方向的能力。
CTFtime推荐指数1010 Cryovault 2026 决赛
Cryovault 2026 是 PES University 班加罗尔 ISFCR 主办的年度旗舰 CTF 赛事，本届分为线上资格赛与线下决赛两轮。线上资格赛为 24 小时 jeopardy 制，面向全球战队开放；线下决赛在 PES University 现场举行，题目覆盖 Web 利用、二进制利用（pwn）、逆向工程、密码学、取证、OSINT 与 Misc。
CTFtime推荐指数1010 Hack.lu CTF 2026 线上 Jeopardy 赛 10 月 23 日开赛
Hack.lu CTF 2026 定于 10 月 23 日 18:00 UTC 至 10 月 25 日 18:00 UTC 线上举行，采用 Jeopardy 赛制，由 FluxFingers 组织。赛事官方链接已公布，Rating weight 为 94.74，Future weight 待定。
CTFtime推荐指数88 RSTCON 2026 CTF 赛事公布
RSTCON 2026 CTF 将提供线上/混合参赛形式，但部分挑战仅在 RSTCON 会议现场开放。RSTCON 是在北卡罗来纳州夏洛特举办的年度技术安全与黑客会议，聚焦物流、能源和制造业及其依赖的传感器、系统与架构的前沿研究、漏洞利用与攻防技艺。赛事前三名分别获得 RSTCON Hard Hats 与次年门票、会议 T 恤与瓶盖徽章、会议 T 恤。
CTFtime推荐指数1010 HITCON CTF 2026 线上 Jeopardy 赛 10 月 23 日开赛
HITCON CTF 2026 定于 10 月 23 日 14:00 UTC 至 25 日 14:00 UTC 线上举行，赛制为 Jeopardy，由 HITCON 组织。赛事 Rating weight 为 91.16，Future weight 待定。
CTFtime CREST CTF 2.0
CTFtime推荐指数88 cruXipher 2026 CTF 赛事在 BITS Hyderabad 举行，76 支队伍参赛
cruXipher 2026 在 BITS Hyderabad 举办，是一项开发型 Capture-the-Flag 竞赛，共 76 支队伍参赛，考察解题、编程、网络安全与计算机常识。赛事奖金为第一名 15,000 INR、第二名 9,000 INR、第三名 6,000 INR。
ShortSpan推荐指数7575 VulnSAGE：让LLM引用程序结构来裁定SAST告警的论文
论文提出 VulnSAGE，让 LLM 对每条 SAST 告警的判定都必须引用程序结构图中的具体关系，再由校验器查询图结构确认这些引用是否存在，只有前提成立的判定才进入最终结论。
安全paper推荐指数7171 论文提出说话人激活后门 SAB：以目标人声为触发器，Whisper 与 Parakeet 后门成功率最高 97.0%
论文提出 Speaker-Activated Backdoor（SAB）设定，攻击者在微调阶段植入后门，以目标说话人的自然语音作为触发器，无需接触推理时音频。两阶段微调方法仅用两分钟目标说话人真实音频，就在 Whisper-medium 和 Parakeet 上分别取得 90.2% 和 97.0% 的后门成功率，误报率为 1.7% 和 0%。
安全paper推荐指数3737 Guided Diffusion：面向可信合成文本生成的扩散语言模型框架
Guided Diffusion 提出一种隐私合成文本生成框架，利用扩散语言模型的可引导性，通过引导采样与重掩码让去噪过程生成符合目标语义分布的流畅文本。语料语义嵌入经差分隐私保护后，生成即为后处理，DP 保证自然延续到合成文本。
安全paper推荐指数7474 AutoRedClaw：面向 claw 式 Agent 的自动化红队框架与 RedClaw-Bench 基准
AutoRedClaw 是一个面向持久化 claw 式 LLM Agent 的自动化红队框架，可同时生成端到端状态投毒攻击及其运行所需的任务环境，并据此构建 330 例的 RedClaw-Bench 基准。
安全paper推荐指数4747 PROVISO：面向安全 LLM Agent 的溯源感知动作选择控制器
PROVISO 是一个位于动作提议与执行之间的 LLM Agent 控制器，用溯源类型化记忆区分可信用户上下文与不可信的工具或技能输出，并在提交前将提议动作与备选动作进行对比。
arXiv推荐指数4141 编码智能体的过度防御始于静默分叉：ForkDPO 用行为分歧信号纠偏
研究发现编码智能体的过度防御行为始于“静默分叉”——即所有后续动作都通向同一结果的回合，前沿模型在隐式预算下于此类分叉点最多 91% 的决定性动作中选择不成比例的分支。
Hugging Face 每日论文 How Much Feedback Is Needed to Break Template Protection? The Geometric Vulnerability of Biometric Authentication
Biometric authentication systems increasingly use privacy-preserving mechanisms to protect sensitive templates. However, the authentication interface itself may still leak information that enables reconstruction attacks. Prior attacks exploit released similarity scores, whereas more advanced systems reveal only the binary accept/reject decision. This binary feedback provides substantially less information, making template reconstruction far more challenging. In this work, we introduce query-efficient reconstruction attacks under extremely limited feedback, addressing two key limitations of prior attacks. First, we introduce the first attack that reconstructs protected biometric templates using only authentication success/failure feedback by exploiting the geometric constraints of biometric authentication. Second, we introduce distribution-aware query-efficient reconstruction methods for score-releasing systems, achieving a more realistic threat model by reducing the number of required queries by a factor of 5times compared to recent prior score-based attacks. Finally, we combine these two insights by incorporating a pretrained facial diffusion prior into our geometric binary attack, reducing the number of required queries by a factor of 5times. Our findings reveal a fundamental security limitation of biometric authentication: independently of the template protection mechanism, the authentication process itself exposes geometric information that can enable perfect template reconstruction up to numerical precision. Moreover, the distribution of biometric templates can be leveraged to make significantly more effective reconstruction attacks.
arXiv推荐指数4040 CAT-RAG：用类别感知的智能体检索改进安全代码生成
CAT-RAG 是一个智能体式安全类别感知检索增强代码生成框架，用语言特定的安全类别替代 CWE 级检索，可作为独立安全层或 RACG 管线的即插即用附加组件，无需修改底层模型。在 CyberSecEval 上，其安全代码生成改进幅度接近当前最优方法的两倍（23.57% vs. 12.11%），同时减少 41.71% 的 token 开销。评估还覆盖 CodeGuard+ 与 HumanEval。
arXiv推荐指数5252 UVA 方法让代码 Agent 提问时不泄露私有代码
作者提出 utility-verified abstraction（UVA），训练本地代码 Agent 在向更强的云端模型咨询时，用角色和类型描述私有实体，同时保留专家所需的技术细节。在仓库级 issue 修复任务上，训练后的 Agent 解决 37.6% 的问题，同一模型单独工作为 25.3%；其提问泄露的私有实体比未训练时少 3.7 倍，逐字代码少 1.4 倍。
安全paper推荐指数6262 SoK 论文 PIAtlas 提出按构造机制划分的提示词注入六类分类法
Stavros Damianakis 与 Konstantinos Psounis 发布 SoK 论文 PIAtlas，按注入指令如何构造以颠覆模型这一机制，将提示词注入攻击划分为六个根类别，并向下展开为技术与子技术层级。
arXiv推荐指数2626 Vibenix：用 LLM 智能体自动生成 Nix 打包表达式并维护软件包
Vibenix 是开源 AI 智能体，通过 LLM 迭代生成 Nix 打包表达式，在自建 NixBench 的 466 个打包任务上用 Claude Haiku 4.5 实现 95.3% 可构建率，而现有单次生成打包工具仅 5.6%。
arXiv推荐指数5252 研究：LLM 在漏洞赏金报告中误判 CVSS 严重性，最佳配置准确率仅 49.58%
一项实证研究基于 Huntr 与 HackerOne 公开披露的 4,281 份报告，构建了含 240 份厂商确认 CVSS 向量的基准，在四种提示策略与微调下评测八个 LLM。
ShortSpan推荐指数6565 研究显示推荐系统语言嵌入可还原物品身份并致用户再识别
论文 Encoded but Exposed 研究推荐系统中暴露的物品级语言嵌入是否泄露真实身份，作者 Linda Beková 和 Rodrigo Alves 用余弦相似度匹配即可在 MovieLens 32M 和 GoodReads 两个数据集、六个 sentence-transformer 编码器上以较高 MRR 恢复物品身份，无需训练或模型反转。
ShortSpan推荐指数7676 PAGE404 论文揭示 Grace Hopper 页面迁移跨 MIG 分区信息泄露
论文 PAGE404: Breaking GPU Isolation Through Hardware-assisted Page Migration（作者 Ravan Nazaraliyev。
ShortSpan推荐指数7878 Screwtape：通过改写 Agent 会话记录绕过动作监控的红队研究
Redwood Research 的 Gosha Kozhevnikov 和 Tyler Tracy 提出 Screwtape 管线，通过改写真实 Claude Code 和 Codex 会话记录（不执行任何操作）来构造绕过动作监控的攻击。
ShortSpan推荐指数7878 CoRedSkill 论文：通过 AST 改写将恶意操作拆分到多个 Agent skills 以规避逐包审计
论文提出 CoRedSkill，一种针对可复用 Agent skills 的组合式红队方法：把恶意操作拆分到多个协作 skill 中，借助抽象语法树（AST）改写任务辅助函数，同时保持接口与可见任务逻辑不变，使单个 skill 包看起来无害，而在 Agent 按序调用时拼装成完整攻击。
ShortSpan推荐指数7676 TRACER 论文揭示间接提示词注入成功率随呈现信道变化
论文 TRACER: Trace-Regularized Training Against Indirect Prompt Injection（作者 Kshitij Mishra、Salem Lahlou、Nils Lukas）发现，同一段间接提示词注入载荷作为聊天后续消息时成功率 18%，放入检索内容中则达 53%。
ShortSpan推荐指数7474 研究论文揭示 schema 合法判定可被用于劫持应用决策
论文《Nudge the Judge: Uncovering Program Decision Hijacking in Real-World Jev Applications》提出 Jev 程序决策劫持（JPDH）风险：攻击者构造的输入可让 Jev 判定模型返回格式完全合法但错误的判定，从而翻转应用代码执行的决策。
ShortSpan推荐指数7474 arXiv论文：多智能体LLM系统中拓扑结构决定受保护信息流向哪些未授权接收方
论文《When Agents Talk, Secrets Travel》研究多智能体LLM系统（MALS）中由常规协调转发导致的隐私泄露，无需攻击者介入。作者在coordinator-worker、peer-to-peer、hierarchical三种拓扑下评估485个场景，插桩7个通信通道，产生8,730次执行记录。
ShortSpan推荐指数7878 ToFu 模糊测试揭示 MCP 工具普遍不校验自身描述承诺的输入规则
研究团队提出工具感知的模糊测试框架 ToFu，针对 LLM-编排层-工具信任边界，在 273 个 MCP 服务器、3405 个工具上发现 343 个工具存在经人工确认的漏洞，涵盖路径遍历、日志注入、SSRF、OS 命令注入等 CWE 类别。
ShortSpan推荐指数6666 Ecology of AI Agents 论文：Agent 协作产生起飞临界种群规模
ShortSpan 介绍 Erin Crawley 和 Hidenori Tanaka 的论文《Ecology of AI Agents: Collaboration Creates a Population Threshold for Takeoff》。