顶会安全论文

利用 RGBA 图像 Alpha 通道让人眼与模型看到不同内容，无需查询即可欺骗 100 个图像识别系统，并提出直方图检测方法。

将恶意代码搭载进热门应用并生成对抗扰动，批量产生可规避检测的安卓恶意软件，对 Drebin、MaMaDroid 平均攻击成功率 88.3%。

首次系统研究 DNN 可执行文件的 BFA，发现仅需已知模型结构即可攻击，平均约 1.4 次翻转就能使精度降至随机水平。

提出由激光触发的物理对抗补丁攻击自动驾驶视觉感知,50 米处平均攻击成功率 91.9%,明显优于 TPatch。

提出可对任意多模态无线信号生成通用对抗扰动的攻击,在软件无线电平台实测,即使有强防御仍显著降低性能。

首次大规模测量物理对抗攻击对商用交通标志识别系统的效果，发现攻击不易泛化，空间记忆设计是主因，并提出新的攻击成功率指标。

针对第三方 LLM 应用缺乏隔离的安全隐私风险,提出执行隔离架构,可抵御多种攻击且功能无损,多数查询开销低于 30%。

首个针对 DNN 可执行文件的 BFA 防御，基于语义完整性检查检测数据段与代码段翻转，平均缓解率 97.51%，开销约 2.47%。

对 35 名人工耳蜗用户和 87 名听力正常者的实验显示，前者识别语音转换伪造仅约 67% 正确，并评估了 CI 模拟音频训练的检测器能否作为代理。

指出特征稀疏是投毒、规避与概念漂移的共同根源，用压缩技术和密度提升训练缓解稀疏，增强检测器对攻击的抵抗力。

分析视觉艺术与宣传技巧如何削弱现有有害 Meme 检测,提出基于自适应提示与 CoT 的 HMGUARD,准确率达 0.92。

提出 EncoderLock,使编码器在被禁止的领域上探测性能很差而在授权领域保持效用,含监督、无监督与零样本三种变体。

向 Textual Inversion 嵌入注入正向后门，使敏感词与嵌入组合时输出预设图像而非有害内容，并可抵御自适应攻击。

构建首个视频生成模型的不安全视频数据集并归纳 5 类不安全内容，提出在采样过程内部工作的防御方法，准确率达 0.90 且资源开销降低 10 倍。

用多普勒效应和鼓面振动物理模型提取微频率并融入损失函数，在新构建数据集上优于现有方法，可识别 AI 生成语音。

提出相对竞争分数 RCS 度量潜在可分性，无需样本即可检测后门模型，在 1 万多个模型、14 类攻击上平均检出率显著优于 7 个基线。

首个动态后门检测框架，通过注意力层的少样本权重扰动判断后门，并在 Hugging Face 的 49 个模型中发现一个疑似后门模型。

提出 FoundationFL，服务器生成合成更新并与客户端更新一起用 Trimmed-mean 或 Median 聚合，以防御联邦学习投毒攻击并给出收敛性分析。

利用语义漂移与属性过度强调两个现象，对比自监督模型与后门模型过滤中毒节点，在 21 种攻击下大幅降低攻击成功率。

提出 EaaW,把多比特水印嵌入触发样本的特征归因解释而非预测,避免后门水印的有害性与歧义性,并能抵抗潜在攻击。

以多目标进化算法在双域优化黑盒后门触发器,攻击成功率不低于 99%,鲁棒性与隐蔽性均优于现有隐蔽攻击。

通过调节批归一化层统计量净化后门,仅用 1% 训练数据即可把攻击成功率从 100% 降到接近 0。

提出首个 Split Learning 客户端后门防御，服务器通过频域静态分析和旋转距离动态分析检测并回退被投毒的模型，在保持效用的同时有效缓解后门。

提出 POLISHED 与 FUSION 两种攻击，使被投毒的低秩适配器在触发时输出攻击者指定内容或恶意调用工具，三种防御均未能完全抵御。

提出 TellTale，从训练轨迹的频谱域检测投毒样本，无需干净数据，跨模态和任务有效，检测准确率至少 95.52%，误报率不超过 0.61%。

提出密钥驱动的人脸匿名化与认证框架，在隐藏原始人脸的同时保留身份认证能力。

提出可通过恶意训练代码放大黑盒模型成员隐私泄露并规避常见隐私审计的攻击。

用查找表实现量化算子的私有推理协议，在线通信量仅 log n，在线性能比现有 PPML 方案提升 CNN 40~60 倍、LLM 10~25 倍。

在 Armv8-A 设备上用虚拟化 TEE 保护端侧 DNN 模型，将加速器纳入可信边界，TCB 极小且推理延迟开销可忽略。

提出首个面向扩散模型的基于分数的黑盒成员推断攻击框架，覆盖四种攻击场景，AUC 可达 0.95。

优化矩阵乘法与非线性激活的两方私有推理协议，通信量降低 80%~95%，可用 CPU 约 8 分钟生成 LLaMA-7B 一个 token。

在联邦学习中将梯度扰动限制在与原梯度正交的子空间，防御梯度反演攻击恢复私有数据，同时保持模型效用。

发现迭代剪枝会加剧模型记忆，提出 WeMem 针对数据复用与固有可记忆性削弱记忆，在十种自适应 MIA 下优于五种现有防御。

推理前用生成模型重新生成输入以消除成员与非成员差异，不改变预测标签，平均降低 MIA 攻击准确率 15.8%，可与其他防御叠加。

借助机密计算并强制执行 DGM-Rules，限制不可信开发者只能进行良性训练，阻止数据编码、梯度反演等泄露途径，开销很小。

提出 GAP-Diff,通过可反向传播的预处理模拟生成对 JPEG 压缩鲁棒的对抗扰动,干扰扩散模型微调,保护人像隐私。

首次研究多租户 LLM 服务的安全风险,提出 PROMPTPEEK,利用 KV 缓存共享的侧信道在不同先验条件下还原其他用户提示。

通过在簇中混入少量假阳性客户端并解线性方程恢复模型,抵御服务器偏好画像,攻击准确率均值 69.4%,精度损失至多 3%。

提出 SDAR,利用辅助数据学习客户端私有模型的可解码模拟器,可还原私有特征与标签,效果接近主动攻击。

提出通过参数平滑认证不可学习样本的 (q,η)-Learnability,并设计 PUE,在 ImageNet 与 CIFAR-100 上降低可学习性与测试精度。

服务器操控呈现给用户的物品特征以重构其私有交互,在推荐与在线排序场景中显著强于梯度反演等现有攻击。

提出面向整个环境的强化遗忘,给出基于递减式强化学习与环境投毒的两种方法,并引入环境推断评估遗忘效果。

提出 Scale-MIA，即使有安全聚合保护，也能通过闭式反演和生成解码器从聚合更新中高效重建本地训练样本，优于现有攻击。

提出 NEXUS，首个非交互式安全 Transformer 推理协议，客户端仅需一轮通信，带宽相比 BOLT 降低 372.5 倍。

提出常数轮 softmax 协议和基于傅里叶级数的 GELU 协议，在保持接近明文精度下，通信量降低 25-41%，运行速度优于 BumbleBee。

发现 MPC 安全推理仍易受成员推断攻击，提出 SIGuard 对加密预测加噪，将攻击准确率降至接近随机猜测。

提出 IMMERSPY 声学侧信道攻击，用 CNN-LSTM 从 VR 设备运动传感器还原语音数字，16 位卡号识别准确率 62%，并给出防御。

提出首个离线 RL 轨迹遗忘方法 TrajDeleter，仅需重训约 1.5% 的时间即可平均遗忘 94.8% 的目标轨迹，并提供审计方法 TrajAuditor。

分析五类攻击发现高重要性样本在成员推断和模型窃取中更脆弱，并据此引入样本特定准则提升成员推断效果。

提出 URVFL，利用带辅助分类器的判别器生成与诚实训练难以区分的恶意梯度，显著优于现有攻击并绕过现有检测方法。

SymGen 用领域适配的生成式 LLM 为去符号二进制推断函数名，服务恶意软件分析与漏洞挖掘，精度、召回与 F1 大幅超越现有方法。

评估多个 LLM 在 Java 及 C/C++ 上的漏洞检测,发现部分模型表现不佳,上下文窗口有稳定增益,量化等因素收益有限。

提出 GPTAid,用 LLM 与执行反馈过滤生成 API 参数安全规则,精度 92.3%,在 47 个应用中发现 210 个未知安全漏洞。

提出首个用 LLM 重写电路设计以规避盗版检测的技术,在四种检测工具上对所有测试电路均成功规避。

用 LLM 迁移已有人工属性并自动生成合约属性,召回率 80%,检出 37 个中的 26 个 CVE/攻击事件并发现 12 个零日漏洞。

用专业知识与文档检索增强 LLM,解释恶意 Shell 命令的行为与意图,并映射到 MITRE ATT&CK 战术与技术。

提出 ChatDetector，用 LLM 从文档提取资源管理 API 约束并检测误用，识别 165 对 API，精度 98.21%，并报告 115 个安全漏洞。

提出基于 LLM 的目标驱动 Web 扫描 Agent，自主执行任务工作流以发现更深层状态，在 20 个应用中发现 12 个零日 XSS 漏洞。

系统评测系统提示修改、微调和模型编辑等安全错位方法，发现 SFT 最强，并提出无需有害回复的 SSRA 攻击与 SSRD 重对齐防御。