顶会安全论文

ICLR、ICML、NeurIPS、ACL 和安全四大会（IEEE S&P、USENIX Security、ACM CCS、NDSS）录用的 AI 安全论文，按年份和研究方向整理。以会议的安全 track 为主，其他 track 里内容明确是安全方向的也收，并标出来。

共 38 篇

越狱与攻击

超越越狱：LLM应用能力边界模糊带来的风险Beyond Jailbreak: Unveiling Risks in LLM Applications Arising from Blurred Capability Boundaries
研究发现199个LLM应用中有178个可能受能力升级或降级影响，17个无需对抗改写即可执行恶意任务。
非 AI 分会场Yunyi Zhang, Shibo Cui, Baojun Liu 等会议页面
近红外域中的定向物理逃逸攻击Targeted Physical Evasion Attacks in the Near-Infrared Domain
提出低成本的定向红外对抗扰动攻击，并设计分割检测方法实现高效防御。
非 AI 分会场Pascal Zimmer, Simon Lachnit, Alexander Jan Zielinski 等会议页面
ThinkTrap：利用无限思考攻击黑盒LLM服务ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
提出黑盒输入优化攻击，使LLM陷入超长推理循环，显著降低服务吞吐甚至导致服务失效。
Yunzhe Li, Jianan Wang, Hongzi Zhu 等会议页面
面向文本到图像扩散模型的有效提示窃取攻击Towards Effective Prompt Stealing Attack against Text-to-Image Diffusion Models
提出无需训练的搜索式提示窃取方法，可从多种平台图像中提取生成提示并提升攻击成功率。
Shiqian Zhao, Chong Wang, Yiming Li 等会议页面

提示注入

利用注意力防御大语言模型间接提示注入攻击Attention is All You Need to Defend Against Indirect Prompt Injection Attacks in LLMs
提出Rennervate利用细粒度注意力特征检测并清理间接提示注入，在五个模型和六个数据集上优于15种防御方法。
Yinan Zhong, Qianhao Miao, Yanjiao Chen 等会议页面
当缓存投毒遇上LLM系统：语义缓存投毒及其对策When Cache Poisoning Meets LLM Systems: Semantic Cache Poisoning and Its Countermeasures
发现攻击者可通过注入缓存条目操纵他人获得的LLM响应，并提出改进防御机制。
非 AI 分会场Guanlong Wu, Taojie Wang, Yao Zhang 等会议页面

防御与护栏

AI角色平台安全风险的基准评测与分析Benchmarking and Understanding Safety Risks in AI Character Platforms
评测16个平台后发现其平均不安全回应率为65.1%，并训练模型识别低安全性的角色。
Yiluo Wei, Peixian Zhang, Gareth Tyson会议页面
失血通道：隐藏状态判别力消失如何助推越狱攻击Bleeding Pathways: Vanishing Discriminability in LLM Hidden States Fuels Jailbreak Attacks
发现安全与有害响应的隐藏状态可分性随生成减弱，并提出DEEPALIGN将九类越狱攻击成功率降至接近零。
Yingjie Zhang, Tong Liu, Zhe Zhao 等会议页面
字符级扰动可破坏大语言模型水印Character-Level Perturbations Disrupt LLM Watermarks
研究表明字符级扰动在有限黑盒查询下能有效移除多种LLM水印，并可绕过固定防御策略。
Zhaoxi Zhang, Xiaomei Zhang, Yanjun Zhang 等会议页面
大语言模型内容审核的全球分析There is No War in Ba Sing Se: A Global Analysis of Content Moderation in Large Language Models
分析15个大模型在不同地区和语言中的审核差异，发现审核率与回复长度存在显著变化。
非 AI 分会场Friedemann Lipphardt, Moonis Ali, Martin Banzer 等会议页面
VeriLoRA：利用零知识证明实现可验证安全微调VeriLoRA: Fine-Tuning Large Language Models with Verifiable Security via Zero-Knowledge Proofs
将LoRA微调与零知识证明结合，验证训练正确性并保护模型参数和训练数据隐私。
Guofu Liao, Taotao Wang, Shengli Zhang 等会议页面
ViGText：结合视觉语言解释与图网络的深伪检测ViGText: Deepfake Image Detection with Vision-Language Model Explanations and Graph Neural Networks
提出融合视觉语言解释和图神经网络的深伪检测方法，提升对定制化深伪和对抗攻击的鲁棒性。
非 AI 分会场Ahmad ALBarqawi, Mahmoud Nazzal, Issa Khalil 等会议页面
ZKSL：基于异步零知识证明的可验证高效分割联邦学习ZKSL: Verifiable and Efficient Split Federated Learning via Asynchronous Zero-Knowledge Proofs
提出异步零知识证明框架，验证恶意威胁模型下的联邦学习计算并减少证明生成时间。
Yixiao Zheng, Changzheng Wei, Xiaodong Qi 等会议页面

可解释性

通过恶意载荷定位实现可解释的深度学习网页攻击检测Achieving Interpretable DL-based Web Attack Detection through Malicious Payload Localization
提出WebSpotter定位HTTP请求中的恶意载荷，并自动生成WAF规则，定位准确率较基线至少提升22%。
Peiyang Li, Fukun Mei, Ye Wang 等会议页面

后门与投毒

CatBack：通过类别编码对表格数据实施通用后门攻击CatBack: Universal Backdoor Attacks on Tabular Data via Categorical Encoding
提出针对表格数据的通用后门攻击，在五个数据集和四种模型上最高达到100%的攻击成功率。
Behrad Tajalli, Stefanos Koffas, Stjepan Picek会议页面
因果引导的开放权重LoRA模型后门攻击Causal-Guided Detoxify Backdoor Attack of Open-Weight LoRA Models
提出无需原始训练数据的CBA框架，在六个LoRA模型上降低触发误报率50%至70%，同时保持较高攻击成功率。
Linzhi Chen, Yang Sun, Hongru Wei 等会议页面

隐私与数据泄露

面向大域分类与键值数据的增强型洗牌差分隐私协议Augmented Shuffle Differential Privacy Protocols for Large-Domain Categorical and Key-Value Data
提出FME协议，通过哈希过滤、多重加密和虚拟数据提升大域分类及键值统计中的隐私、鲁棒性与效率。
非 AI 分会场Takao Murakami, Yuichi Sei, Reo Eriguchi会议页面
级联式与代理式成员推断攻击Cascading and Proxy Membership Inference Attacks
提出CMIA和PMIA两种成员推断攻击，利用样本依赖与代理样本提升低误报场景下的隐私风险评估效果。
Yuntao Du, Jiacheng Li, Yuetian Chen 等会议页面
CELLSHIFT：面向真实网站指纹识别的RTT感知轨迹转换CELLSHIFT: RTT-Aware Trace Transduction for Real-World Website Fingerprinting
提出将Tor出口轨迹转换为入口视角的方法，帮助更准确评估网站指纹识别对用户隐私的风险。
非 AI 分会场Rob Jansen会议页面
揭示并缓解LLM推理中KV缓存的隐私风险Shadow in the Cache: Unveiling and Mitigating Privacy Risks of KV-cache in LLM Inference
发现可从KV缓存重建用户输入，并提出KV-Cloak防御攻击且几乎不影响性能。
非 AI 分会场Zhifan Luo, Shuo Shao, Su Zhang 等会议页面
STIP：生产环境大模型的三方隐私保护无损推理STIP: Three-Party Privacy-Preserving and Lossless Inference for Large Transformers in Production
提出可部署于生产环境的三方隐私推理系统，保护用户数据和模型参数并保持无损推理。
Mu Yuan, Lan Zhang, Yihang Cheng 等会议页面
SVDefense：基于奇异值分解防御梯度反演攻击SVDefense: Effective Defense against Gradient Inversion Attacks via Singular Value Decomposition
提出利用截断奇异值分解保护联邦学习梯度隐私的方法，在资源受限平台上兼顾隐私和模型精度。
非 AI 分会场Chenxiang Luo, David K.Y. Yau, Qun Song会议页面
是否打乱：审计带打乱的DP-SGDTo Shuffle or not to Shuffle: Auditing DP-SGD with Shuffling
提出DP审计方法，发现打乱训练可能使模型的实际隐私泄露高于理论保证。
非 AI 分会场Meenatchi Sundaram Muthu Selva Annamalai, Borja Balle, Jamie Hayes 等会议页面
我的数据被用于训练了吗？基于神经激活的开源LLM成员推断Was My Data Used for Training? Membership Inference in Open-Source LLMs via Neural Activations
通过分析LLM神经激活检测训练数据成员关系，在多个开源模型上取得较高识别效果。
Xue Tan, Hao Luan, Mingyu Luo 等会议页面
WhiteCloak：追责安全聚合中的匿名恶意客户端WhiteCloak: How to Hold Anonymous Malicious Clients Accountable in Secure Aggregation?
提出利用零知识证明阻止被拉黑客户端更换凭证重返联邦学习聚合轮次。
Zhi Lu, Yongquan Cui, Songfeng Lu会议页面

供应链安全

缓存陷阱：LLM服务框架中的缓存安全威胁Cache Me, Catch You: Cache Related Security Threats in LLM Serving Frameworks
系统发现LLM推理缓存中的六类攻击向量，可投递恶意内容或绕过安全检查，并提出五种分层防御策略。
XiangFan Wu, Lingyun Ying, Guoqiang Chen 等会议页面

AI 与网络攻防

基于LLM的PLC逻辑指令漏洞模糊测试框架An LLM-Driven Fuzzing Framework for Detecting Logic Instruction Bugs in PLCs
提出LogicFuzz对PLC逻辑指令进行语义模糊测试，在六种生产级PLC中发现19个漏洞，其中4个为新漏洞。
非 AI 分会场Jiaxing Cheng, Ming Zhou, Haining Wang 等会议页面
利用LLM自动标注代码以划定TEE边界Automated Code Annotation with LLMs for Establishing TEE Boundaries
提出LLM-CAL识别密码实现中的安全敏感代码区域，F1达到98.40%，用于缩小TEE可信计算基。
非 AI 分会场Varun Gadey, Melanie Melanie Gotz, Christoph Sendner 等会议页面
自动化汽车全生命周期函数级TARA分析Automating Function-Level TARA for Automotive Full-Lifecycle Security
DefenseWeaver利用LLM生成攻击树和风险评估，在四个汽车安全项目中发现并验证了11条关键攻击路径。
非 AI 分会场Yuqiao Yang, Yongzhao Zhang, Wenhao Liu 等会议页面
超越原始字节：迈向大型恶意软件语言模型Beyond Raw Bytes: Towards Large Malware Language Models
提出大型恶意软件语言模型的预训练方法，使多种恶意软件分类任务平均提升1.1%，最高提升28.6%。
非 AI 分会场Luke Kurlandski, Harel Berger, Yin Pan 等会议页面
超越RTT的对抗鲁棒住宅代理检测方法Beyond RTT: An Adversarially Robust Two-Tiered Approach For Residential Proxy Detection
提出结合流量特征与Transformer的两层检测框架，在多种规避攻击下仍保持超过92%的F1分数。
Temoor Ali, Shehel Yoosuf, Mouna Rabhi 等会议页面
BSFuzzer：面向BLE逻辑缺陷的上下文感知语义模糊测试BSFuzzer: Context-Aware Semantic Fuzzing for BLE Logic Flaw Detection
利用LLM解析蓝牙规范并生成语义测试序列，在19台设备中发现36个安全问题，其中34个为未知漏洞。
Ting Yang, Yue Qin, Lan Zhang 等会议页面
CHAMELEOSCAN：利用LLM界面探索检测iOS变色龙应用CHAMELEOSCAN: Demystifying and Detecting iOS Chameleon Apps via LLM-Powered UI Exploration
提出LLM驱动的UI探索框架识别伪装应用，在1644个iOS应用上达到92.59%的精确率。
非 AI 分会场Hongyu Lin, Yicheng Hu, Haitao Xu 等会议页面
Chimera：利用多智能体LLM自动模拟内部威胁Chimera: Harnessing Multi-Agent LLMs for Automatic Insider Threat Simulation
提出多智能体LLM框架模拟企业中的良性与恶意内部活动，并构建更真实的内部威胁检测数据集。
Jiongchi Yu, Xiaofei Xie, Qiang Hu 等会议页面
重流量监测中的博弈与零样本攻击Strategic Games and Zero Shot Attacks on Heavy-Hitter Network Flow Monitoring
利用强化学习构造可规避流量监测的攻击，并通过对抗训练降低其带宽利用效果。
非 AI 分会场Francesco Da Dalt, Adrian Perrig会议页面
TIPSO-GAN：基于优化生成对抗网络的恶意流量检测TIPSO-GAN: Malicious Network Traffic Detection Using a Novel Optimized Generative Adversarial Network
提出结合粒子群优化和注意力机制的GAN检测恶意流量，在零日和跨数据集测试中取得较高准确率。
Ernest Akpaku, Jinfu Chen, Joshua Ofoeda会议页面
利用偏差劫持LLM静态分析Trust Me, I Know This Function: Hijacking LLM Static Analysis using Bias
发现熟悉模式偏差可使LLM代码分析忽略细小漏洞，并提出可自动注入的攻击方法。
非 AI 分会场Shir Bernstein, David Beste, Daniel Ayzenshteyn 等会议页面
它们修复了什么？LLM辅助分类关键内存漏洞补丁What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs
提出LLM与小模型结合的补丁分类流程，识别Linux内核中的越界访问和释放后使用漏洞。
非 AI 分会场Xingyu Li, Juefei Pu, Yifan Wu 等会议页面