顶会安全论文

仅需公开的 VAE 即可近似潜空间并移除 Tree-Ring 水印，检测 AUC 从 0.993 降至 0.153，且优于需完全访问模型的攻击。

提出多分辨率扰动，统一攻破 PhotoDNA、PDQ、NeuralHash 与 pHash，可实现规避或触发监管，收敛效率明显提升。

提出端到端攻击 Chimera，用硬件感知的 GAN 补偿器生成带数字签名的伪造图像，同时绕过深度伪造检测和重拍检测，攻击成功率高。

在 45.1 万真实钓鱼网站上评估检测模型，发现真实场景表现差，且易被 logo 篡改与对抗扰动规避。

提出基于知识分解的任务级越狱，不依赖特定提示或 token，抗重新对齐能力更强，成功率比 SOTA 高约 10%，并据此构建防御评测基准。

用计时侧信道逆向 DALL·E 2/3 的级联安全过滤器，并利用否定表达与低资源语言漏洞实现越狱。

SOMBRA 利用注意力融合实施隐蔽的目标移除攻击，成功率达 99%；LUCIA 以可信度感知注意力防御，大幅降低移除率。

提出首个基于梯度的 AIGT 检测器规避方法，在多个数据集和两个商用检测器上超过现有规避方法，并给出防御思路。

提出看似无害、逐步升级对话的多轮越狱 Crescendo 及自动化工具，在多个主流模型上成功率高，并可越狱多模态模型。

Shadow Hack 利用物体阴影在 LiDAR 点云中实施攻击，仿真与实物均达到极高成功率；同时提出 BB-Validator 防御。

发现追加多个 eos token 会造成上下文分割并使输入逼近拒答边界，可提升 8 种越狱方法在 16 个开源模型上的成功率，主流商用 API 同样受影响。

利用 attention sink 生成可迁移的视觉对抗输入诱发幻觉，在 6 个 MLLM 及 GPT-4o、Gemini 1.5 上有效。

提出从空种子池出发的黑盒模糊测试越狱框架，对 GPT-3.5、GPT-4、Gemini-Pro 成功率超 90%、80%、74%，提示更短且语义连贯。

用不到 400 美元的定制 LCD 和 VAE 将可见光人脸转为近红外并换脸，成功攻破 Windows Hello 等商用近红外人脸认证，已获微软确认。

提出两种利用看似合法的 unlearning 请求破坏安全对齐的攻击，使 LLaMA 有害性平均升高 11 倍，对 GPT-4o 微调服务同样有效。

首次系统梳理针对动态深度学习系统的效率攻击分类，涵盖三类动态行为，并指出现有防御对这类攻击存在局限。

把安全机制视为嵌入式后门，用结构相似的孪生提示定位并剪枝安全相关参数，在五家厂商 16 个 LLM 上成功率 89% 至 98%。

证明即使没有竞标，串通的审稿人和作者也能利用基于机器学习的文本匹配分配机制被分到目标论文，并指出具体漏洞与改进建议。

提出 untranslation 攻击，诱使语音翻译系统输出源语言内容而非译文，扰动预算 0.001 时成功率达 87.5%，并扩展为物理世界通用扰动攻击。

向知识库加入单个阻断文档即可让 RAG 拒绝回答特定查询，且无需指令注入或知道目标模型；现有安全指标无法衡量此脆弱性。

提出针对视觉语言模型的跨模态间接注入攻击，图像内含隐藏元指令，可操控模型回答的风格与观点。

将提示与数据分为两个通道，并微调模型只遵循提示部分的指令，显著提升对提示注入的抵抗力，对效用几乎无影响。

提出上下文溯源框架，定位长上下文中导致输出的文本，可用于提示注入等攻击的事后取证，效率与准确性优于现有归因方法。

提出 AgentFuzz 定向灰盒模糊测试，在 20 个开源 Agent 中发现 34 个高危 0-day，已分配 23 个 CVE。

分析 14 个生成式 AI 在线工具的审核政策及 Reddit 用户反馈，发现审核能拦截恶意生成，但失败与事后支持常令用户受挫。

首次系统评估七种激活近似技术，发现十个对齐模型均出现安全退化，并提出 QuadA 方法缓解。

首个针对边、节点和节点特征任意扰动的 GNN 确定性认证防御，适用于节点与图分类，并优于现有认证防御。

在原始语音中嵌入水印，阻止其被用于 TTS 说话人自适应，从而可检出开源和商用 TTS 生成的伪造语音，并对自适应攻击保持鲁棒。

提出 CAMP 训练范式，通过优化局部认证半径的代理损失，在不损失可证明鲁棒性的前提下，使 DRL 的认证期望回报最高提升约两倍。

提出首个可认证感知哈希系统，用抗规避、抗碰撞与功能性三项优化项训练，对规避和碰撞攻击给出可证明保证，并在违规内容检测中表现良好。

提出多模态平滑机制，首次为流量分析模型提供针对多模态对抗扰动的认证鲁棒性，在六个模型上强于现有方法。

提出 HagDe，对样本沿梯度上升方向迭代扰动，利用对抗样本损失异常上升来检测，对 AdvDroidZero 和 BagAmmo 防御效果分别达 88.5% 和 90.7%。

构建含 7,838 条样本的数据集评测 8 个检测器，发现对新版 LLM 效果下降，且对抗与模型窃取攻击可规避检测，成功率最高 0.966。

基于线性表示假设分析越狱机制，提出同时检测并调整隐层表示的 JBShield，平均检测准确率 0.95，攻击成功率从 61% 降至 2%。

用强化学习添加轻量混淆层，使未授权方准确率降到接近随机，抵御模型窃取与微调攻击，并在 SGX2 与 GPU 上降低 35% 延迟。

提出提示混淆，生成功能等价但不泄露原系统提示信息的表示，效用与原提示相当，三种去混淆攻击均无法提取有意义信息。

基于伪随机分段分配提出 LLM 文本水印，用于内容溯源；20 位消息嵌入 200 token 时匹配率达 97.6%，并给出抗编辑的理论保证。

PANTS 结合对抗 ML 与 SMT 求解器生成对抗输入，并用于对抗训练，找到对抗输入的概率优于基线，鲁棒性提升 52.7%。

利用深度传感与深度估计检测误导性重拍，在 iPhone 上准确率约 95%，三星手机 74%。

用影子 LLM 并行检测有害提示，并蒸馏出专用防御模型，优于七种现有防御，延迟低，对自适应越狱和提示注入也较稳健。

自动重构端侧只读模型的可写版本并嵌入水印以防模型窃取，在 403 个真实 App 上成功率 81.14%。

对 PoT 方案做形式化攻击建模，推导通用区分准则并据此构造 PoT 方案，能抵御已攻破现有方案的攻击。

对七个商用 AI 搜索引擎做首次安全风险量化，发现良性查询也常返回恶意 URL，并提出基于 Agent 的防御，仅损失约 10.7% 可用信息。

利用场景图生成与分类识别图像中的有害实体与关系，F1 平均高出基线 95.52%，并可定位并移除 95% 的有害内容。

基于重构误差的异常检测模型，用于识别恶意 PDF 并定位异常区域，准确率 99.54%，在四种对抗攻击框架下鲁棒性优于现有工作。

构建含 41 万余条中英文深伪语音的基准，评测 12 个检测器，最佳 EER 为 13.50%，其余均超 20%，真实场景下性能大幅下降；MLLM 无检测能力。

构建 UnsafeConcepts 数据集评测 8 个 VLM，发现存在模态差距，并用基于 PPO 的简化 RL 方法提升图像上的不安全概念识别。

用风格迁移生成动态水印并借助 OOD 特征避免植入有害后门，在黑盒模型上验证成功率达 95%，并能抵御 8 种攻击场景。

用少量带自然文本触发词的恶意样本向扩散模型注入任意偏见，成本仅 10–15 美元，且难以在不知偏见的情况下检测。

攻击者复制训练子集后请求遗忘，发现重训练在某些条件下失效、遗忘会导致模型退化，且近重复样本可绕过去重检测。

通过优化平滑的攻击成功率目标演绎搜索触发器，仅需前向传播即可逆向后门，在多种攻击与模型上检测效果近乎完美。

用连续嵌入向量作为软触发器，将多个 token 映射到同一后门通路，并以潜在对抗机制保证隐蔽性，在四个 LLM 上有效且保持可用性。

提出 MergeBackdoor，使上游模型看似良性，合并后后门成功率接近 1.0，且现有检测难以发现异常。

首次在 NVIDIA GDDR6 GPU 上实现 Rowhammer 攻击，注入比特翻转并篡改 ML 模型，使准确率最多下降 80%。

提出通用去毒攻击，识别并去除 NightShade、Glaze 等保护扰动，检测 NightShade 的 TPR 达 99.98%，揭示现有保护方案的局限。

通过数据投毒在 AI 驱动的 ISP 模型中植入后门，使穿特定斗篷的人在输出图像中被完全抹除，并在真实场景中验证。

研究通过投毒篡改文生图模型，使良性提示生成不安全图像，分析副作用成因并提出兼顾隐蔽性与效果的投毒方法。

提出 Blind Task 与 Latent Task 两种持久后门，在多种持续学习算法下成功率高，并能规避 SentiNet、I-BAU 等防御。

提出隐蔽投毒框架，通过三个模块构造不可检测的恶意模型，可击败三类典型拜占庭鲁棒防御。

向知识库注入少量恶意文本即可诱导 LLM 输出攻击者指定答案，每个目标问题注入 5 条文本攻击成功率达 90%，现有防御不足。

发现训练与推理触发器强度不匹配反而能增强攻击并提升隐蔽性，混合强度训练使最坏情况攻击成功率从 10.61% 升至 92.77%。

提出 ONEFLIP，仅翻转全精度模型的单个比特即可植入后门，攻击成功率平均 99.6%，且能抵御后门防御。

两阶段攻击通过对抗扰动系统性地扭转 RAG 在特定主题上的输出观点，现有缓解方法难以防御。

提出 DIFF2 攻击，在扩散采样中植入恶意过程，显著削弱对抗净化与鲁棒性认证的效果。

提出高效鲁棒的单掩码安全聚合方案，容忍恶意客户端与聚合器并抵御投毒，速度较 Flamingo 提升 563.64 倍。

利用卷积部分和的电磁侧信道相关分析，从 Nvidia Jetson 上运行的真实 CNN 中恢复模型参数。

审计九个 GenAI 浏览器助手，发现它们常把完整网页内容和表单输入发给服务器，部分还与第三方追踪器共享，并推断用户属性用于个性化。

提出 FEDLEAK，用部分梯度匹配和梯度正则化，在真实联邦学习设置下仍能高保真重建客户端数据，揭示显著隐私漏洞。

分析发现群聊 chatbot 常读取远超所需的消息，并可跨群关联用户；提出 SnoopGuard 协议，支持选择性消息访问和发送者匿名，同时保持端到端安全。

提出统一的提示反演方法，先训练反演模型再用强化学习微调，可从输出重建文本和图像模型的提示，并扩展到视频，优于各自的最优方法。

利用生成式 AI 在无数据、黑盒条件下发动模型提取、成员推断与模型反演攻击，效果可比拥有训练数据和参数的白盒基线。

提出四种针对 LLM 内部状态的反演攻击，能从中间层还原输入，如 Llama-3 中间层还原长医疗提示 F1 达 86.88，现有防御无法完全阻止。

提出 disparity inference 攻击识别高风险群体，并给出首批定向属性推断攻击，准确率显著更高，同时提出兼顾模型性能的缓解技术。

提出基于安全多方计算的 DPA 聚合方法，保证节点级差分隐私，在六个数据集上优于现有隐私保护 GNN。

用客户端动量同时实现差分隐私和拜占庭鲁棒，并通过安全聚合去除可信服务器假设，隐私-效用权衡更优。

提出无需微调或越狱的少样本 PII 提取方法，非定向提取成功率 48.9%、每条约 0.012 美元，定向提取比现有方法高 10% 至 60%。

提出 DHAttack，围绕单样本到固定点的边界距离做成员推断，仅需 5 至 30 次查询，部分情况下 [email protected]%FPR 比基线高一个数量级以上。

系统评测 LLM 从公开资料中提取个人信息的攻击，发现其优于传统方法，并提出基于提示注入的缓解策略，可将攻击降至传统方法水平。

通过 21 次访谈发现用户缺乏风险意识，误以为受 HIPAA 保护，并提出“无形脆弱性”概念与保护建议。

提出硬件麦克风模块 VoiceSecure，实时调整语音修改以掩盖说话人身份和内容，使说话人验证与语音识别模型失效，同时保持人耳可懂。

FIT 攻击用编码器-解码器模型利用页面访问序列的相关性，在机密计算环境中还原 AI/ML 推理和语义搜索的对象访问，准确率 71.7% 至 99.9%。

提出 LT-IQR，利用训练中的逐样本 loss 轨迹识别最易受成员推断攻击的样本，无需额外训练 shadow model，precision@1% 达 92%。

提出 InvLoss 量化数据重建攻击风险上界，开发风险估计器 InvRE 与两种自适应噪声防御。

提出 ArrowMatch 利用方向相似性恢复被混淆的私有权重，准确率超 98%，并提出 ArrowCloak 作为防御。

实证发现用 LLM 生成数据微调并不更私密：Pythia 的 PII 提取成功率上升超 20%，自指令微调后 MIA 的 ROC-AUC 提升超 40%。

发现本地 LLM 推理中 token 值与位置的缓存侧信道泄露，设计无需特权的窃听攻击，还原输入输出文本的余弦相似度约 98%。

通过主动发送精心设计的查询，仅需约 8 次交互即可以超过 95% 的准确率识别 42 种 LLM 版本，且对系统提示和 RAG 等场景稳健。

对502名参与者的对照试验表明,恶意设计的对话 AI 比良性 AI 套取更多个人信息,其中利用隐私社会属性的策略最有效且风险感知最低。

首次研究 VLM 指令微调数据的成员推断，利用样本对 temperature 的敏感性提出四种方法，在 LLaVA 上仅 5 个样本即可达到 AUC 超过 0.8。

用动态分析和机器学习逆向 DNN 二进制，支持多种编译器与平台，可恢复专有模型并支撑灰盒对抗攻击。

将主动防御建模为双层优化，向图像加入微小保护噪声，使各类微调攻击合成的图像质量与语义被破坏。

基于 LLM 内部状态的层内与层间语义相似度及概率分布检测隐私泄露，在五个 LLM 上平均准确率 92.69%，比现有方法高 20.06%。

提出优化提示生成与选择策略的攻击框架，从微调模型中提取 PII，比现有攻击多提取最多 1,254 个邮箱、634 个电话和 5,087 个姓名。

提出 PRSA 攻击框架，仅凭少量输入输出推断提示意图并复现功能，在提示市场攻击成功率由 17.8% 升至 46.1%，并给出两种防御思路。

提出 RULI 框架，用双目标攻击在逐样本粒度上度量遗忘效果与隐私风险，发现现有遗忘基准中的隐私风险被低估。

不扰动梯度而是构造与原始数据语义差异大、梯度对齐的鲁棒数据，在多个数据集上有效抵御最先进的梯度泄露攻击。

提出 SPEC 技术，在上传前给语音嵌入不可察觉扰动以阻止声音克隆，对多种合成模型有效且能抵御自适应对手，可实时运行。

提出线性近似加动态精度的激活函数安全求值框架，GELU 等函数显著快于 Iron 和 Bolt，不再成为安全推理瓶颈。

提出 SAI 两阶段训练，通过更平坦的损失面缓解 DP 噪声影响，在 CIFAR-10（ε=1）上提升超过 6% 准确率。

提出惰性近似方法，在 FHE 下对 BERT 类模型推理降低近似误差并提升精度与延迟，也可用于 MPC 协议。

先系统评估微调 LLM 对 MIA 的脆弱性，发现攻击利用微调中的损失下降，再提出 SOFT 选择性混淆数据，在六个领域平衡隐私与性能。

系统梳理合成图像生成方法、隐私攻击与缓解，并用成员推断攻击建立基准，评估合成数据的效用与隐私权衡。

为视觉领域的数据重建攻击提出统一分类与形式化定义、量化度量及用 LLM 辅助的视觉评估，并建立评测基准。

系统梳理梯度反演攻击的威胁模型、分类、防御机制与评估指标，并指出关键挑战与未来方向。

系统梳理梯度反演攻击并在多种设置下评估，发现其在实际训练中受限、脆弱且易于防御。

基于多项式运算的安全数据对齐框架，通信量比现有方法少 31 至 210 倍，运行时间最多快 8.21 倍。

为上传数据加入对抗优化噪声，实现任务级使用控制：阻止未授权训练，目标任务精度仅下降约 1.8%。

分析数据伪造攻击在实践与理论上的局限：现有方法无法产生足够一致的梯度，容易被验证者发现；在合法取值域内找到等梯度小批量并不容易。

提出 PETAL，用逐 token 语义相似度近似输出概率并计算困惑度，仅凭生成文本即可推断成员，效果可比基于 logits 的攻击。

提出 IAM 框架，用单个 shadow 模型度量样本级遗忘完整性，可扩展到 LLM，并发现近似 unlearning 算法普遍存在过度或不足遗忘风险。

提出 DP-AggZO，缓解裁剪造成的偏差，在相同隐私约束下获得更好的收敛率与模型效用。

提出 AudioShield，在潜空间生成可迁移通用对抗扰动保护实时语音，在四个商用 ASR API 与 LLM 驱动 ASR 上有效，音质较好并能抵御自适应对策。

评估 16 个 LLM 生成的 57.6 万代码样本，商业模型幻觉包率至少 5.2%、开源模型 21.7%，并验证了缓解策略。

提出基于 VLM 的通用解题器 Halligan，对 26 类视觉验证码的 2600 个挑战解出率 60.7%，并渗透真人验证码农场。

利用 LLM 的偏差、记忆限制等弱点，以伪装、蜜罐 token 和陷阱对抗自动渗透测试 Agent，在 11 台 CTF 机器上 100% 成功，并开源 CHeaT 工具。

用 LLM 驱动的覆盖率引导进化自动合成生成式 fuzzer，覆盖率最高提升 434.8%，并在 cvc5 上发现 5 个 0-day。

HLPFuzz 用 LLM 求解复杂约束，在 9 个语言处理器中发现 52 个 bug，覆盖率最高领先 190%。

结合代码属性图切片与 LLM 做漏洞检测，代码量缩减 67.84–90.93%，F1 较基线提升 15–40%，对语法改动保持稳健。

G²FUZZ 让 LLM 合成并变异 Python 输入生成器，再由 AFL++ 做局部变异；在覆盖率和找 bug 上优于现有工具，发现 10 个新 bug，3 个获 CVE。

PassLLM 用 LoRA 微调 LLM 覆盖四类密码猜测场景，在 11 个真实数据集上成功率高于现有最佳方法。

结合 LLM 思维链分析 Tor 流量检测针对 IoT 的威胁，12 个月内发现 45 个漏洞，其中 29 个为零日。

评估联网 LLM Agent 在个人信息网络攻击中的威力：PII 收集精度达 95.9%，仿冒帖 93.9% 被判为真实，钓鱼点击率提升 46.67%，现有防护不足。

系统研究20个热门 AI 脱衣网站的定位、宣传功能与变现基础设施,为相关政策与技术讨论提供数据。

系统分析最大的性深度伪造市场的经济模式、受害目标与创作讨论，发现规则执行松散，并揭示此前未记录的攻击动机与资源获取手法。

评估 7 个开源 VLM 对仇恨 meme 的理解，发现其缺乏有效拒答防护，易被滥用生成仇恨言论，部分输出被判定有害。