攻击arXiv 2610.09981
研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题
提出利用路由元数据推断敏感话题的侧信道攻击
- arXiv
- 2610.09981
- 发表
- 场景
- LLM 应用
- 被测模型
- RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)
摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
- 攻击arXiv 2610.09920
研究：多向量视觉文档索引可被反演还原页面内容
提出流匹配逆向框架，从多向量视觉文档索引重构页面
- arXiv
- 2610.09920
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Tomoro-ColQwen3-8B、ColQwen3.5-4.5B、Tomoro-colqwen3-embed-4b 等 13 个
- 攻击arXiv 2610.06848
TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
- arXiv
- 2610.06848
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等 5 个
摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
- 攻击arXiv 2610.06093
研究评测训练数据提取风险的跨语言迁移
用翻译前缀做跨语言训练数据提取，恢复英语训练文本中的 PII
- arXiv
- 2610.06093
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-Neo 1.3B、GPT-Neo 2.7B、GPT-J 6B 等 7 个
- 攻击提取与窃取
摘要跨语言 TDE 能恢复英语记忆的 PII，转移随多语训练和措辞保真变化。
这篇工作检验训练数据抽取是否跨语言：英语段落里记住的 PII，能否被其他语言的前缀逐字抽出。
- 攻击arXiv 2610.01871
研究者提出 IMMRAG 攻击，可从多模态 RAG 数据存储中提取医学与文档图像
提出 imMRAG 攻击，从多模态 RAG 私有图像库提取内容
- arXiv
- 2610.01871
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Lumina-mGPT、Gemini 2.5 Flash Image Preview、CLIP ViT-B/16 等 5 个
- 评测与基准arXiv 2609.30094
PrivDrift：审计活跃 LLM 对话中话题漂移下的用户秘密泄露
提出 PrivDrift 基准，审计话题漂移后的用户秘密复述
- arXiv
- 2609.30094
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-OSS-120B、DeepSeek-R1、Qwen3-VL-235B
- 攻击arXiv 2609.14649
CIG-MIA：利用上下文信息增益对 RAG 系统发起成员推断攻击
提出 CIG-MIA，用上下文信息增益推断 RAG 知识库成员身份
- arXiv
- 2609.14649
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 被测模型
- Llama-3.1-8B-Instruct、Mistral-7B-Instruct-v0.3、Llama-2-13b-chat-hf 等 6 个
摘要CIG-MIA 用注入前后的答案似然差推断 RAG 库成员，灰盒可分性高于所列基线。
CIG-MIA 是针对 RAG 外部知识库的成员推断攻击，同时覆盖灰盒和纯文本黑盒。
- 攻击arXiv 2609.12911
研究：置换式保密在混合 FHE 推理中失效，可精确恢复 ResNet-20 全部线性层
攻破混合 FHE 推理的置换式保密，精确恢复线性层排序谱
- arXiv
- 2609.12911
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-20、ResNet-56、ResNet-50 等 12 个
- 攻击提取与窃取
- 防御arXiv 2609.01677
Skill-as-API：面向智能体软件工程的机密多智能体协作协议
提出 Skill-as-API，隔离多智能体协作中的 skill 正文与系统提示词
- arXiv
- 2609.01677
- 发表
- 层
- 应用层
摘要协议把 skill 正文留在所有者侧，四层限制发现内容、权限期限和注入拼接。
Skill-as-API 是面向智能体软件工程的协调协议，用来在跨组织调用时把 skill 的代码和系统提示词留在所有者进程。作者针对三条威胁：经通道或命名空间抽取专有方法，用注入让被调用模型输出系统提示词，以及协作结束后权限继续保留。
- 防御arXiv 2608.17829
LeakGauge：用行为探针在解码前检测上下文泄露攻击信号
提出 LeakGauge，用行为后缀的 prefill 对数概率检测上下文泄露
- arXiv
- 2608.17829
- 发表
- 层
- 应用层
- 场景
- LLM 应用
- 攻击者
- 黑盒
- 被测模型
- Gemma-4-E4B-it、Gemma-4-31B-it、Qwen2.5-14B-Instruct 等 11 个
- 攻击arXiv 2608.09867
研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
- arXiv
- 2608.09867
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Claude Opus 4.8、Claude Sonnet 4.6、Claude Haiku 4.5 等 13 个
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
- 攻击arXiv 2608.04192
研究者提出 SkillClone，仅凭正常提问即可克隆 LLM Agent 隐藏技能功能
提出 SkillClone，仅凭良性任务交互重构闭源 Agent 技能
- arXiv
- 2608.04192
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 被测模型
- DeepSeek-Flash、DeepSeek-Pro、GLM-5.1 等 5 个
摘要论文揭示了仅靠良性任务交互即可重构闭源智能体技能隐藏功能的风险，表明功能保密需要限制累积信息泄露。
论文从功能保密视角系统研究了大语言模型智能体技能的行为重构威胁。
- 攻击arXiv 2607.25560
SigLeak 可从执行轨迹推断专有 Agent 技能
提出 SigLeak，从黑盒 Agent 执行轨迹推断专有技能
- arXiv
- 2607.25560
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 被测模型
- GPT-5.4-mini、GPT-5.5、GLM-5.2 等 4 个
摘要提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。
- 防御arXiv 2605.19847
论文揭示多租户 RAG 账号合谋使隐私泄露随账号数线性增长
提出零知识审计协议，核验多租户 RAG 的合谋差分隐私
- arXiv
- 2605.19847
- 发表
- 层
- 应用层
- 场景
- LLM 应用
摘要揭示多租户 RAG 合谋泄露按根号 k 放大，提出带零知识证明的无泄露审计协议。
论文针对多租户 RAG 服务在多账户协同攻击下隐私边界失效的问题展开研究。
已经到底了