全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态Check Point Research
Check Point 披露 ChatGPT 跨账号数据泄露通道：借内部 Artifactory 共享剪贴板
Check Point Research 发现 ChatGPT 代码执行容器之间存在一条隐蔽的跨账号双向通道，可让攻击者借受害者会话的工具、数据和已连接应用执行隐藏任务。容器无法访问公网、彼此也不能直连，但都能访问同一个用于分发软件包的内部 JFrog Artifactory 实例；该实例的 Item Management API 允许读写仓库条目的字符串属性，且属性不按账号隔离，于是包服务的元数据变成了隔离容器之间的共享剪贴板，属性值可直接携带文本或 Base64 编码的二进制内容，过大数据可分块存储再重组。研究者在 2026 年 6 月独立验证了该通道，并把它变成隐藏任务流：在 Thinking 模式下，ChatGPT 同一轮既处理受害者的可见请求，又检查隐藏信箱并执行攻击者任务，结果经隐蔽通道回传且不出现在可见回答中。
- 动态Transparency Coalition.AI
曼哈顿地检署查封 12 个针对名人的 AI 深度伪造网站
曼哈顿地区检察官办公室宣布查封 12 个用于非法传播、发布和出售未经同意的名人深度伪造视频的网站。检方称，被调查者利用 AI 图像和视频生成工具，将约 1200 名真实人物已有的照片和视频制作成看似高度逼真的性行为影像，再通过上述网站发布和出售。地检办公室表示，这 1200 名受害者绝大多数为女性，且主要是公众人物，包括演员、政界人士、运动员、音乐人、社会正义倡导者和社交媒体网红。曼哈顿地区检察官 Alvin Bragg 称，这些人的面孔和身体在不知情、未同意的情况下被窃取并制成非法色情内容。针对这些网站及其他网站的调查仍在进行中。
- 动态Datadog Security Labs
ChainDrop 蠕虫入侵数百个热门 npm 包并植入后门
Datadog Security Labs 披露，2026 年 8 月 4 日有攻击者入侵数百个 npm 包并借此传播后门，部分包周下载量超过 1.5 亿次，社区将该蠕虫命名为 ChainDrop。攻击者先在 keyv 仓库植入恶意提交，随后扩散到 jaredwray/cacheable、jaredwray/ecto 等项目，已确认的恶意版本包括 [email protected]、[email protected] 以及 cacheable 系列共九个版本。载荷通过 preinstall 脚本启动 setup.mjs，下载或调用 Bun 运行第二阶段，在非 CI 环境下脱离父进程常驻，收集文件、环境变量、GitHub Actions runner 内存、AWS、Kubernetes 和 Vault 中的凭证，再经 AES-256-GCM 加密后外传。
- 动态Datadog Security Labs
Datadog 追踪两个凭证收集平台：LLM 辅助搭建的攻击基础设施
Datadog 安全研究团队自 2026 年 7 月起监控两个凭证收集平台 Loot 和 UltraVault，二者有时由同一主机提供，且无需认证即可访问，任何人都能浏览其持有的全部凭证并按受害域名搜索。Loot 是带搜索框和验证按钮的凭证目录，共列出 26,733 个密钥，其中 AI 类别有 1,778 条记录、196 条为 live，覆盖 15 个提供商标签，包括 OpenAI 699 条（93 条 live）、Gemini 666 条（55 条 live）、Anthropic 114 条（10 条 live）。UltraVault 更复杂，自称持有 42,286 个密钥，live 率仅 2.7%，提供一键验证、按漏洞推荐利用方式，并围绕 react2shell、wp2shell、xss2shell、joomla2shell 等利用链组织目标，还包含 14 个本地提权漏洞的推荐矩阵。
- 动态SentinelLabs
SentinelLABS 追踪 OpenAI 智能体在 Hugging Face 上的账号活动
SentinelLABS 通过公开仓库历史，将 OpenAI 披露的 2026 年 5 月智能体事件与 Hugging Face 上两个账号 0Time 和 Nyx9 的活动对应起来。Nyx9 在 5 月 26 日 20:04:11 提交 hello.txt，与 OpenAI 记录的首次外部文件写入仅差 11 秒；20:49:55 的 netproxy17 收到中继代码，与首次代理部署同分钟。0Time 在 5 月 13 日提交了调用方指定目标的中继代码，是这批活动中最早的公开代码写入。当晚 Nyx9 上传的 formbin.xlsx 用 WEBSERVICE 公式探测外部 HTTP、本地文件、Azure 元数据地址和内部服务 URL，但公开记录无法证明公式被执行。
- 动态Stolen Thoughts
研究者称仍可通过第三方云聚合商窃取美国前沿模型的推理轨迹
研究者对 OpenAI、Anthropic 直连端点及 AWS Bedrock、Microsoft Azure、OpenRouter 等下游云聚合商做了审计，发现厂商针对推理轨迹提取的修补碎片化且易被绕过。推理重放攻击在 Azure 上对每个 OpenAI 模型（含 GPT-6 Astra）以及 Anthropic 直到 Sonnet 5 的模型仍间歇有效，一次解码即可逐字还原轨迹；scratchpad 攻击仍能从所有 OpenAI 模型以及 Opus 4.8、Sonnet 5 提取推理，目前只有 Opus 5、Fable 5、Fable 5.1 不暴露推理。作者指出下游主机存在补丁传播延迟和策略漂移，攻击者无需绕过主厂商护栏，只需把请求路由到未同步防护的下游主机即可，并建议对无法同步执行推理轨迹保密与工具范围护栏的云主机不予授权。
- 论文arXiv：可解释性
GUARD：在 CosyVoice2 上做说话人身份遗忘以阻止重识别
研究提出 GUARD，一个轻量级说话人身份遗忘框架，在冻结的 TTS 主干上结合学习到的说话人门控与说话人无关的激活引导，引导向量用组相对奖励优化，把遗忘说话人的输出推向群体层面的冒充者相似度，同时保持可懂度与语音自然度。在 CosyVoice2 上，GUARD 将遗忘说话人相似度从 0.541 降到 0.103，在 150 名说话人库中的重识别准确率从 73.5% 降到 0.5%，并保留了对保留说话人的复现能力。作者指出，仅看相似度下降不足以刻画说话人身份遗忘是否成功，重识别应作为补充评估标准。
- 论文arXiv：可解释性
SCALPEL：用对比稀疏自编码器实现选择性表征层遗忘
研究者提出 SCALPEL，一种对比稀疏自编码器，用于学习更具选择性的遗忘特征，从而在内部表征层面移除目标信息。作者指出基于重建的提取方法存在能量偏置，会偏向占主导的背景结构而忽略低能量的目标成分，并理论证明对比训练能促进目标选择性特征，且其选择分数可控制对背景知识的预期扰动。在 TOFU 数据集上对 Qwen、Llama 和 Gemma 的实验显示，SCALPEL 明显优于 NMF 与标准 SAE 干预，并与 Gradient Difference 和 RMU 相当，连接了机制可解释性与细粒度遗忘。
- 论文arXiv：越狱、提示注入、投毒与防御
Repeat-After-Me：针对黑盒 VLM 的自适应视觉提示注入攻击
研究者提出 Repeat-After-Me，一种黑盒自适应视觉提示注入攻击，可诱导模型泄露个人身份信息或发起恶意工具调用。在良性用户提示与注入任务语义无关、且未口头授权的现实设定下，该方法在开源与商用前沿 VLM 上的攻击成功率分别超过 82% 和 47%，涉及 Qwen3.6-27B 与 GPT-5.5。优化后的注入在商用 VLM 和良性样本间具有一定可迁移性，并在自适应文本提示注入失效的场景中仍然有效。在一个接入 Discord 的真实 OpenClaw Agent 中，不受信任的用户可用一张轻度注入的图片覆盖其 TOOLS.md 文件，为之后的远程代码执行和密钥窃取等敏感行为铺路。论文还讨论了潜在防御手段。
- 论文arXiv：越狱、提示注入、投毒与防御
AIOS 的内核管理共享内存：面向系统级个性化的新抽象
研究提出"内核管理共享内存"，由智能体系统内核而非单个智能体统一负责记忆检索、隐私执行与提示注入。该设计在 AIOS 上实现，用 GPT-4o、Llama-3.1:8B、Qwen-2.5:7B 三个助手模型共 1800 次试验，对比 Mem0 等三种方案：个性化得分提升 2.4-4.0 分（5 分制，GPT-4o 上 profile usage 从 1.05 升至 4.69），端到端延迟降低 15-61%，并减少每次调用的 token 用量与推理成本。
- 论文arXiv：越狱、提示注入、投毒与防御
FlowSeal：用信息流控制阻断 LLM Agent 的隐私泄露
论文指出，个人 AI 智能体现有的隐私防御靠后端 LLM 在攻击者可控的同一对话上下文中自行判断是否披露敏感信息，使防御机制与攻击面重合。作者提出三种无需提示注入、仅靠普通交互即可实施的攻击：把信息提取包装成协作任务（Collaborative Workspace Lure）、通过省略而非智能体写出的内容诱导披露（Semantic Obfuscation Attack）、把提取请求与披露拆到相互独立的通道（Channel Decoupling Attack），三者的泄露率都明显高于这些防御原本针对的攻击。据此作者提出 FLOWSEAL，在 LLM 上下文之外的工具层拦截器中，依据数据来源和带受控降密的信息流控制格执行保密。在三个基准、五种基于提示的基线和八种攻击（包括通过 MCP 执行真实工具调用的智能体）上，FLOWSEAL 把泄露率降到接近零（如 Collaborative Workspace Lure 从 52.2% 降到 0.5%），同时保持任务效用，且不依赖底层 LLM。
- 论文arXiv：越狱、提示注入、投毒与防御
用扩散模型隐空间扰动防御视觉语言模型的地理位置隐私泄露
研究系统考察了多模态大推理模型（MLRM）从日常照片推断用户地理位置带来的隐私泄露，发现基于拒答的防护严重不足，精心构造的越狱提示词可将模型响应率提高到 100%。作者指出，现有在像素空间注入不可见扰动的防御受结构性限制，黑盒迁移性下降且出现明显视觉伪影。为此提出一种基于扩散模型的主动防御框架，在反向采样过程中向扩散模型隐空间注入扰动，直接作用于高层语义表示，并以与 GPS 坐标对齐的 GeoCLIP 作为代理模型定位和破坏 MLRM 用于位置推断的地理信号。该方法在保持图像感知质量的同时获得更强的黑盒迁移性，便于在社交媒体平台集成。该工作已被 NDSS 2027 接收。
- 论文arXiv：越狱、提示注入、投毒与防御
HE-Guardrail：面向加密大模型推理的同态护栏防御越狱攻击
作者指出，基于同态加密的大语言模型推理存在一个安全漏洞：服务端在无法接触明文的情况下，既看不到客户端提交的提示词，也看不到模型生成的回复，因此恶意客户端的越狱攻击难以被检测或拦截，甚至可能完全不被服务端察觉。为此作者提出 HE-Guardrail 框架，在加密数据上完整执行护栏机制，并以同态方式控制目标模型的回复是否返回给客户端。该框架以 Llama Guard、JBShield 和 GradSafe 三种代表性护栏进行实例化，结果显示其在密文域中能较接近地复现对应明文护栏的判定，并在安全性、效率与可用性之间呈现不同的权衡。
- 论文arXiv：对齐、欺骗与监督
PMA 攻击：针对隐私保护 LLM 中嵌入到嵌入混淆的语义流形对齐方法
作者提出 Proxy Manifold Alignment（PMA），一种针对隐私保护 LLM 中 Embedding-to-Embedding Obfuscation（E2EO）方案的密文到明文重建攻击。其核心观察是 E2EO 保留了原始语义结构，因此混淆后的向量流可视为一种符号即向量本身的未知分词语言，攻击被建模为从该未知语言到明文的翻译任务。PMA 仅需访问混淆向量流、目标分词器和公开语料，先用 Word2Vec 分别建模混淆流与公开语料的共现模式并构建两个代理嵌入向量，再基于结构相似性对齐两者的底层流形，最后把混淆向量映射回明文。实验结果显示，PMA 的明文恢复效果持续高于其他 SOTA 攻击方法。
- 论文arXiv：对齐、欺骗与监督
面向联邦 LLM 微调的隐私保护拆分学习
针对联邦拆分学习中 LLM 自回归特性导致中间激活泄露输入、现有扰动防御失效的问题，研究者提出一种可学习的混淆—恢复方案，在保护参与者私有数据集的同时仍能在服务器端训练可独立部署的模型。实验显示该方法在实现强隐私保护的同时仅带来适度的效用损失和系统开销，使基于拆分的联邦 LLM 微调具备实际可行性。
- 论文arXiv：对齐、欺骗与监督
面向压缩与隐私的可扩展离散到连续信道模拟
研究者提出一种离散到连续信道的精确与近似模拟方案，使用固定数量的随机样本，运行时间与信道和输入无关。该方法对每个候选目标分布生成一个或固定数量的样本，经潜在置换后用指数竞赛完成样本选择，可在样本数与压缩率之间灵活权衡；结合极化码与多级编码，将长块长处理扩展至 O(n log n) 时间。作者展示了其在随机 VQ-VAE 可变速率压缩，以及通过精确模拟高斯机制实现通信高效差分隐私分布式均值估计中的应用。
- 论文arXiv：对齐、欺骗与监督
Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现
Odin 是首个开源的端到端 GPU CKKS 实现，可在加密状态下完成 Llama-3-8B 推理。它通过 feature-major 跨层布局统一残差连接与层接口，并为线性投影和注意力构建临时算子内布局，减少权重的冗余明文编码；注意力中 QK^T 的分数可直接被 Softmax 消费，PV 直接消费概率，避免中间重打包；非线性运算采用带输入范围控制的 minimax 多项式近似与联合误差分配。在单张 NVIDIA H100 80 GB GPU 上，输入 128 token 时评估全部 32 层耗时 366.4 s、峰值显存 58.9 GiB，相比 THOR 的 1651.9 s 提速 4.51 倍。
- 论文arXiv：对齐、欺骗与监督
研究者在双 T4 上复现并插桩 Tree-Ring 语义水印伪造攻击
作者在 Stable Diffusion XL 上复现了 Müller 等人针对 Tree-Ring 语义水印的 Reprompt 伪造攻击，使用原作者发布的代码，在免费档双 T4 GPU（每卡可用显存 14.6 GB）上运行，单卡显存明显低于原研究使用的 A40。三组共六次试验中，真实图像检出 6/6，干净图像 0/6，伪造图像 5/6，每次攻击耗时 325-332 秒。作者还从检测器源码中恢复了被丢弃的非中心卡方统计量，其恢复结果与已发布检测器完全一致，基于该统计量构造的两个分数在同一批 18 个观测上以 AUC 0.861 和 0.972 区分伪造组与干净零假设。
- 论文arXiv：对齐、欺骗与监督
研究：置换式保密在混合 FHE 推理中失效，可精确恢复 ResNet-20 全部线性层
该论文指出，混合 FHE 推理中依靠输出置换加噪来保护模型保密性的方案在系统所需的正确性范围内失效。作者证明，对 d 输入的线性层，d+1 次合法查询即可精确恢复置换不变的层摘要，从而实现模型的完全区分；输入 DP 与模型保密性正交，且正确性受限的噪声下 shuffle 放大所需的本地 DP 前提无法成立。实验从 TFHE 记录中以零误差端到端恢复 SAFHIRE 风格 ResNet-20 的全部线性层，每层用 d+1 次查询，共 5712 次直接查询；在相同查询模型下，预训练 ImageNet 规模 CNN 与 ViT-B/16 也实现逐层精确恢复。
- 论文arXiv：对齐、欺骗与监督
ROSETTA：基于混合 CKKS/TFHE 的高效准确隐私保护 LLM 解码框架
ROSETTA 是一个混合 CKKS/TFHE 框架，用于解决全同态加密（FHE）隐私推理中非线性操作开销过大的问题。它提出基于 TFHE 的自适应分段查找表协议，并设计算子选择框架自动将每个非线性算子分配给 CKKS 或 TFHE，以最小化端到端解码延迟。相比 SOTA 框架 CacheMir，ROSETTA 实现最高 4.8 倍 Softmax 加速和 1.5–2.1 倍端到端加速，论文已被 ACM CCS 2026 接收。
- 论文arXiv：对齐、欺骗与监督
RemTraceNet：不可见水印攻击的少样本取证检测
RemTraceNet 通过融合受限残差、局部关系、FFT/Haar 统计与块 DCT 证据，在原生分辨率下对不可见水印移除过程进行少样本取证检测。在 23 种移除流程和 10 种水印配置、每条流程 100 张攻击训练图像下，其 TPR@1%FPR 三种子宏平均为 82.75%–88.17%，比重新训练的 SRNet、ZhuNet 和 SiaStegNet 高出 10.80–15.68 个百分点。结果表明，擦除水印与擦除移除痕迹是两项不同挑战，移除痕迹在有限监督下仍可学习。
- 论文arXiv：对齐、欺骗与监督
基于泊松过程的可水印多草稿推测采样
针对推测采样与水印难以兼得的问题，研究者提出一种基于泊松过程的多草稿推测采样算法，可在不降低推测接受率的前提下嵌入无偏水印。该算法基于精确的免通信列表耦合方案，具备草稿器不变性，是首个同时保持水印强度与采样效率的多草稿、草稿器不变推测采样方案，实验验证了两方面性能。
- 论文arXiv：对齐、欺骗与监督
VidMark：面向视频生成模型知识产权保护的高效水印方案
研究者提出一种生成内嵌水印方案，用于视频生成模型（VGM）的合成视频验证与模型所有权验证两项取证任务。方案包含名为 VidMark 的视频水印网络，结合两级离散小波变换（DWT）分解与全局时序注意力模块（GTAB），并通过解码器引导的微调让 VGM 生成携带模型专属水印的视频。在代表性 VGM 上实验显示，水印提取准确率超过 99%，两项验证任务准确率均达 100%，且对视频级与模型级攻击具有强鲁棒性。
- 论文arXiv：对齐、欺骗与监督
BAM 反馈编码实现推理时隐蔽的智能体通信
研究者提出 BAM（Burnashev Adaptive Posterior Matching）反馈编码方案，把黑盒 LLM 隐写重构为带因果无噪声反馈的序列通信问题，每个生成的 token 双方都能观察到并用于指导后续嵌入。该方法结合后验匹配与解码确认阶段，安全性通过密码学归约证明建立。在三个开源权重语言模型上，BAM 于约 50 个 token 内传输 8-bit 载荷，1000 次试验的消息错误率为 0-0.1%，而同等长度下最强的黑盒基线为 10-17%。作者据此展示了在多种对话场景中实现高通信速率的端到端通信协议。