全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 论文arXiv：对齐、欺骗与监督
Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现
Odin 是首个开源的端到端 GPU CKKS 实现，可在加密状态下完成 Llama-3-8B 推理。它通过 feature-major 跨层布局统一残差连接与层接口，并为线性投影和注意力构建临时算子内布局，减少权重的冗余明文编码；注意力中 QK^T 的分数可直接被 Softmax 消费，PV 直接消费概率，避免中间重打包；非线性运算采用带输入范围控制的 minimax 多项式近似与联合误差分配。在单张 NVIDIA H100 80 GB GPU 上，输入 128 token 时评估全部 32 层耗时 366.4 s、峰值显存 58.9 GiB，相比 THOR 的 1651.9 s 提速 4.51 倍。
- 论文arXiv：对齐、欺骗与监督
研究者在双 T4 上复现并插桩 Tree-Ring 语义水印伪造攻击
作者在 Stable Diffusion XL 上复现了 Müller 等人针对 Tree-Ring 语义水印的 Reprompt 伪造攻击，使用原作者发布的代码，在免费档双 T4 GPU（每卡可用显存 14.6 GB）上运行，单卡显存明显低于原研究使用的 A40。三组共六次试验中，真实图像检出 6/6，干净图像 0/6，伪造图像 5/6，每次攻击耗时 325-332 秒。作者还从检测器源码中恢复了被丢弃的非中心卡方统计量，其恢复结果与已发布检测器完全一致，基于该统计量构造的两个分数在同一批 18 个观测上以 AUC 0.861 和 0.972 区分伪造组与干净零假设。
- 论文arXiv：对齐、欺骗与监督
研究：置换式保密在混合 FHE 推理中失效，可精确恢复 ResNet-20 全部线性层
该论文指出，混合 FHE 推理中依靠输出置换加噪来保护模型保密性的方案在系统所需的正确性范围内失效。作者证明，对 d 输入的线性层，d+1 次合法查询即可精确恢复置换不变的层摘要，从而实现模型的完全区分；输入 DP 与模型保密性正交，且正确性受限的噪声下 shuffle 放大所需的本地 DP 前提无法成立。实验从 TFHE 记录中以零误差端到端恢复 SAFHIRE 风格 ResNet-20 的全部线性层，每层用 d+1 次查询，共 5712 次直接查询；在相同查询模型下，预训练 ImageNet 规模 CNN 与 ViT-B/16 也实现逐层精确恢复。
- 论文arXiv：对齐、欺骗与监督
ROSETTA：基于混合 CKKS/TFHE 的高效准确隐私保护 LLM 解码框架
ROSETTA 是一个混合 CKKS/TFHE 框架，用于解决全同态加密（FHE）隐私推理中非线性操作开销过大的问题。它提出基于 TFHE 的自适应分段查找表协议，并设计算子选择框架自动将每个非线性算子分配给 CKKS 或 TFHE，以最小化端到端解码延迟。相比 SOTA 框架 CacheMir，ROSETTA 实现最高 4.8 倍 Softmax 加速和 1.5–2.1 倍端到端加速，论文已被 ACM CCS 2026 接收。
- 论文arXiv：对齐、欺骗与监督
RemTraceNet：不可见水印攻击的少样本取证检测
RemTraceNet 通过融合受限残差、局部关系、FFT/Haar 统计与块 DCT 证据，在原生分辨率下对不可见水印移除过程进行少样本取证检测。在 23 种移除流程和 10 种水印配置、每条流程 100 张攻击训练图像下，其 TPR@1%FPR 三种子宏平均为 82.75%–88.17%，比重新训练的 SRNet、ZhuNet 和 SiaStegNet 高出 10.80–15.68 个百分点。结果表明，擦除水印与擦除移除痕迹是两项不同挑战，移除痕迹在有限监督下仍可学习。
- 论文arXiv：对齐、欺骗与监督
基于泊松过程的可水印多草稿推测采样
针对推测采样与水印难以兼得的问题，研究者提出一种基于泊松过程的多草稿推测采样算法，可在不降低推测接受率的前提下嵌入无偏水印。该算法基于精确的免通信列表耦合方案，具备草稿器不变性，是首个同时保持水印强度与采样效率的多草稿、草稿器不变推测采样方案，实验验证了两方面性能。
- 论文arXiv：对齐、欺骗与监督
VidMark：面向视频生成模型知识产权保护的高效水印方案
研究者提出一种生成内嵌水印方案，用于视频生成模型（VGM）的合成视频验证与模型所有权验证两项取证任务。方案包含名为 VidMark 的视频水印网络，结合两级离散小波变换（DWT）分解与全局时序注意力模块（GTAB），并通过解码器引导的微调让 VGM 生成携带模型专属水印的视频。在代表性 VGM 上实验显示，水印提取准确率超过 99%，两项验证任务准确率均达 100%，且对视频级与模型级攻击具有强鲁棒性。
- 论文arXiv：对齐、欺骗与监督
BAM 反馈编码实现推理时隐蔽的智能体通信
研究者提出 BAM（Burnashev Adaptive Posterior Matching）反馈编码方案，把黑盒 LLM 隐写重构为带因果无噪声反馈的序列通信问题，每个生成的 token 双方都能观察到并用于指导后续嵌入。该方法结合后验匹配与解码确认阶段，安全性通过密码学归约证明建立。在三个开源权重语言模型上，BAM 于约 50 个 token 内传输 8-bit 载荷，1000 次试验的消息错误率为 0-0.1%，而同等长度下最强的黑盒基线为 10-17%。作者据此展示了在多种对话场景中实现高通信速率的端到端通信协议。
- 论文arXiv：对齐、欺骗与监督
研究者提出通过替换神经网络权重高容量外泄医学影像的攻击
研究者提出一种高容量神经隐写攻击，把医学图像编码为连续隐表示并嵌入模型初始化权重，模型导出后可直接从权重中重建隐藏图像。该方法用基于 StyleGAN2 的对抗自编码器学习紧凑隐码，并正则化使其匹配标准权重初始化统计量，从而让嵌入参数与干净模型在统计上保持一致；训练时注入噪声可提升对导出环节缓解措施的鲁棒性。载体模型在原本任务上仍保持可用，最多可将 99 个脑部 MRI 体数据嵌入一个 30MB 模型，且在会破坏此前比特级方案的缓解措施下仍可恢复。重建结果只是近似而非像素级精确，但嵌入内容在解剖上仍可辨认并可规模化恢复。
- 论文arXiv：对齐、欺骗与监督
DwT-FL：联邦学习中边训练边去重的隐私保护跨客户端去重系统
针对联邦学习中跨客户端重复数据降低训练效率并加剧模型记忆与隐私风险的问题，研究者提出“边训练边去重（DwT）”范式及隐私保护去重系统 DwT-FL，将跨客户端去重从一次性全局同步预处理转为带状态管理、并发声明与故障恢复的持续在线服务。该系统通过并发状态声明机制与冷热双队列调度策略，实现安全去重与模型训练的并行执行，并支持客户端动态加入。实验显示，相比 SOTA 方案，DwT-FL 将故障恢复和动态加入的时间开销分别最多降低 93.04% 和 94.18%。
- 论文arXiv：对齐、欺骗与监督
PILLAR：面向增强检索的私有倒排索引词法查找
PILLAR 是一种基于私有信息检索（PIR）的隐私保护 RAG（PPRAG）系统，客户端从服务器持有的公开语料中取回与查询最相似的 k 篇文档，而服务器无法得知查询词项及其访问模式。它采用稀疏加稠密两阶段混合检索：稀疏阶段对预计算 BM25 分数的索引发起少量固定次数的 PIR 查询筛出候选，稠密阶段仅取回候选文档嵌入向量并在本地重排，避免私有稠密检索所需的大量 PIR 查询。PILLAR-Bin 将倒排列表分箱进哈希表，单轮设计延迟低于现有方案；PILLAR-Tree 将 block-max 剪枝转为不经意树遍历并结合 cuckoo 哈希表，在更低延迟下取得最高检索质量。
- 论文arXiv：对齐、欺骗与监督
TTMark：超越单 token 熵的成对无失真水印
TTMark（Tandem Token WaterMark）将无失真水印从单个 token 扩展到相邻 token 对，通过对连续 token 的联合分布加水印，把有效水印字母表从 V 扩大到 V²，使检测器能同时利用 token 熵与条件熵。该方法引入分支隔离的串联生成算法，可在单次前向传播中构建联合分布，理论上在低熵场景下具有更强的期望检测强度。在多个语言模型、数据集和三种代表性无失真水印方案上的实验显示，TTMark 在不降低生成质量的前提下持续提升可检测性，并改善抗编辑鲁棒性与局部水印检测能力。
- 论文arXiv：后门、投毒与隐私
Unmerge：用任务算术实现高效机器遗忘
Unmerge 将机器遗忘重构为任务算术的逆运算：微调得到的合并任务向量减去低秩遗忘分量即可恢复保留任务向量，因为遗忘激活在每层都集中在少数主方向构成的子空间内。在 CIFAR-100 和 Tiny ImageNet 上对 ResNet-50 做类别级遗忘时，其 Tug-of-War 指标比同等运行时间的基线最高提升约 24%，比运行慢约 5 倍的更强基线最高提升约 18%，成员推断暴露维持在重训练水平。该方法同样适用于 ViT-S/16，并可扩展到 Llama-3.2-3B，其逐层基几何还可作为判断遗忘何时何地结构性困难的诊断工具。
- 论文arXiv：越狱、提示注入、投毒与防御
推理层安全：防御对抗性推理与基础设施滥用
论文研究 LLM 服务在推理层面临的对抗性交互，包括越狱、拒绝服务与知识蒸馏攻击，并以假设的前沿实验室 Five Elements Inc. 为例展开。由于缺少公开的对抗性 LLM 使用标注数据集，作者提出结构因果模型（SCM）生成带标签的用户会话数据集，包含协同多账号活动、平台反馈和三个层级的标签可观测性。在该数据集上训练的梯度提升检测器对 oracle 标签的二元分类 AUPRC 达 0.993，但面对真实 Trust & Safety 团队持有的运营标签时 AUPRC 仅 0.313，说明检测器比用于评估它的标签更准确。攻击类型归因方面，朴素 argmax 受 98% 良性先验主导，macro-F1 仅 0.295，改用简单阈值决策引擎后提升到 0.489 且不损失准确率。数据集已公开。
- 论文Hugging Face Daily Papers
AgentTell：浏览器 Agent 的行为侧信道泄漏基准
BRAC University 等机构的研究者提出 AgentTell，用于测量浏览器 Agent 的行为侧信道泄漏，即 Agent 在一个网站获取用户私密信息后，在另一个网站通过任务导向的选项选择无意泄露该信息。基准包含 20 个场景、100 个任务，每个任务先在 plant 网站让 Agent 获知秘密，再到 probe 网站选择与秘密对应的专属操作或不会泄露的通用操作。在六个模型上共评估 9,760 个会话，携带秘密的 Agent 在 61.1% 的会话中通过操作泄露信息，即使记忆里明确写下不得分享，仍在 56.7% 的这类会话中泄露；34.5% 的泄露会话中，Agent 的最终回复还错误地保证未披露任何信息。泄漏程度因秘密类型而异，个人属性、账户设置和物品归属关系泄漏最多，服务账户身份泄漏最少；若秘密在前一任务中被实际使用，泄漏概率更高。
- 论文arXiv
互补 LLM 水印如何追踪来源并检测篡改
针对现有 LLM 水印在保留来源归属的同时可被"搭便车欺骗"篡改关键内容的问题，研究者提出一种同时提供来源证明与篡改证据的水印，在每个生成 token 中共同嵌入一个鲁棒信号和一个脆弱信号。两个信号机制相同但使用独立密钥和不同种子窗口，脆弱信号对读者可见的改动敏感；检测时两个分数构成二维空间，支持 Intact、Tampered、No-Watermark 三种判定。在两个大语言模型和两个提示数据集上，该方法在评测方法中取得最高篡改检测率，同时保持有竞争力的归属鲁棒性和困惑度。
- 论文arXiv
DAEI：针对噪声防护文本嵌入的反演攻击揭示隐私风险
研究者提出 DAEI，一种去噪感知的嵌入反演流程，用于在只能观测到加噪嵌入、无法获得干净嵌入目标的条件下重建原始文本。作者先分析现有生成式反演方法在该设定下失效的原因，将其归结为双重噪声陷阱，再用残差去噪自编码器结合生成式文本反演，并借助 Stein 无偏风险估计以无监督方式训练去噪器，使其仅凭含噪观测即可去噪。实验显示 DAEI 相比现有生成式反演基线在 BLEU 上取得约 154% 的相对提升，token 级 F1 与 ROUGE-L 也提升 32% 至 60%。该结果对简单高斯扰动即可防止嵌入泄露敏感信息的普遍假设提出质疑。论文 11 页、3 张图，已被 IEEE ICDM 2026 接收。
- 论文arXiv
面向良性用途的对抗攻击：视觉内容全生命周期主动防护综述
一篇综述将数据所有者、创作者、平台或审计方主动施加扰动与结构化信号以干扰未授权自动化、支持事后追责的做法称为"面向良性用途的对抗攻击"，并梳理了沿视觉资产生命周期分布的五个研究方向：分享阶段的隐私过滤器、针对未授权训练不可学习样本、防恶意编辑或模仿的生成式防护、用于访问控制的对抗验证码，以及传播后的来源溯源机制。作者按可迁移性、自适应性和部署就绪度统一评估这五类方法，发现多数防护仍主要针对静态或弱自适应对手验证，受控基准之外的证据依然稀缺。
- 论文arXiv
LeakGauge：用行为探针在解码前检测上下文泄露攻击信号
研究者提出 LeakGauge，通过在输入后附加一个探测后缀并映射其 prefill token 概率，在解码前给出上下文泄露的攻击风险分数。作者发现，直接使用机密内容初始 token 的探针不如内容无关、直接表述泄露行为的探针稳健。在包括 GLM-5.2（753B）和 Kimi-K3（2.8T）在内的 11 个 LLM 上，LeakGauge 对未见攻击的 AUROC 达到 0.944 至 0.996，且在内容换语言或攻击从逐字泄露转为语义泄露时信号保持稳定。通过激活引导干预，作者进一步表明该风险分数对模型内部与泄露相关的方向敏感。该检测器额外参数少于 0.5K，附加延迟为 10.34 ms，代码已公开。
- 论文arXiv
ContextLeak：通过恶意工具窃取 LLM Agent 运行时上下文
研究者提出 ContextLeak，一种通过恶意工具窃取 LLM Agent 运行时上下文的攻击，目标是让 Agent 既选中该工具、又把上下文作为输入参数传给工具。作者指出，上下文外泄通常需要三个条件：Agent 选中恶意工具、Agent 将运行时上下文作为参数传入、工具实现把输入发送到攻击者控制的端点；已有工作主要关注第一和第三个条件，第二个条件此前基本未被探索。ContextLeak 用强化学习精心构造工具的名称和描述，由一个攻击 LLM 自动生成这些内容，并在具有多样化模拟 Agent 上下文的影子用户上对攻击 LLM 做强化学习微调，其关键技术贡献是针对上下文外泄目标设计的奖励函数。
- 论文arXiv
研究提出 Q-Skew：利用 token 级记忆不对称对微调扩散语言模型做成员推断
研究者在微调扩散语言模型（DLM）上提出成员推断方法 Q-Skew，一种基于分位数加权偏度的指标，其依据是通过理论分析发现的 token 级记忆不对称现象。在多个微调数据集和模型上的实验显示，该方法优于现有基线。作者进一步表明 Q-Skew 还能用于 PII 提取等其他隐私侵犯场景，认为扩散语言模型存在此前未被充分探索的隐私攻击面，需要系统性的隐私评估。该论文共 18 页，已被 EMNLP 2026（Findings）收录。
- 论文arXiv：后门、投毒与隐私
研究者提出针对微调 TTS 模型的黑盒成员推断攻击
研究者提出首个同时面向说话人级和录音级的黑盒成员推断攻击框架，用于检测语音数据是否被用于微调 TTS 模型。在查询生成上，作者刻画了可行查询空间并提出可评分范围与记忆诱发两条准则，评估五种代表性查询后认定朗读（recitation）效果最强；在表征工程上，从嵌入模型提取多层级语音表征，并对生成音频与目标音频做时间对齐以实现细粒度比较。
- 论文arXiv
PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击
研究者提出 PMPA，一种针对基于 harness 的智能体的持久记忆投毒攻击，攻击者只需在外部来源中嵌入恶意指令，无需直接访问智能体框架。注入阶段把载荷藏在文本、图片或 PDF 的良性问答内容中，诱导智能体将其写入持久记忆；触发阶段在新会话中检索该记忆，在完成正常任务的同时执行额外动作造成隐私泄露。在 OpenClaw 与 Claude Code 上，以 DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max 为底座模型，平均注入成功率与跨会话攻击成功率为 73.7%/55.5% 和 66.9%/81.7%，同时良性任务表现保持在 80% 以上。纯文本模态攻击效果最强，OpenClaw 上注入成功率接近 100%；日历场景跨会话成功率最高，达 96.7% 和 87.8%。
- 论文arXiv：后门、投毒与隐私
联邦学习中的隐私泄露：车载边缘网络惯性感知下基于梯度的客户端身份推断与防御
在车载边缘网络中，诚实但好奇的服务器可从联邦学习客户端上传的权重增量中近乎完美地推断客户端身份，在 UCI HAR 基准上五种攻击分类器、五种非 IID 划分下攻击准确率约 1.000。研究评估了固定裁剪 C=1.0 下扫描高斯噪声的轻量“先裁剪再加噪”防御，sigma 在 [0.1, 0.2] 区间可将攻击准确率压至接近随机，而 FL 精度相对损失低于 5%，并通过 Renyi 记账给出 (epsilon, delta)-DP 预算。集成 FL 以 1/K 匿名集上界提供结构性隐私且无噪声代价；HAR 被明确定位为车载 IMU 数据的代理基准。