跳到正文
10月8日 · 周四

隐私与数据泄露 · 论文

找到 16 篇
筛选3

攻击类型

越狱1投毒与后门1提取与窃取14检测规避1拒绝服务1

攻击技术

自动化搜索1角色扮演与说服1对话结构操控1推理链操控1潜伏触发1

防御类型

模型加固1检测与过滤1

影响

数据与隐私泄露15

系统形态

模型与 API14LLM 应用4AI Agent7编程 Agent2

攻击者权限

黑盒6灰盒2

攻击面/入口

用户输入16文档与消息3工具返回1工具与技能描述1代码仓库与依赖1记忆写入1图像与音视频4训练数据5权重与梯度6推理服务与硬件3

层

提示层2模型层8应用层1训练与数据层3基础设施层2

系统组件

MCP 与技能1推理链1微调与开源权重1音频1多模态1

被测模型厂商

Qwen（阿里）6OpenAI5其他15
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 86 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：编程 Agent攻击面/入口：用户输入话题：隐私与数据泄露清除全部

另有 86 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 攻击arXiv 2607.25560

    SigLeak 可从执行轨迹推断专有 Agent 技能

    提出 SigLeak，从执行轨迹比对中推断专有智能体技能

    arXiv
    2607.25560
    发表
    层
    应用层
    场景
    编程 Agent
    攻击者
    黑盒
    测试
    GPT-5.4-mini、GPT-5.5、GLM-5.2 等 4 个

    摘要提出了通过良性查询和对照轨迹推断黑盒专有技能的 SigLeak 框架，揭示了智能体执行可见性带来的行为侧信道泄露风险。

    深度解读完整解读
  2. 攻击arXiv 2608.09867

    研究者利用加密推理块跨模型兼容性窃取专有 LLM 推理链

    利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链

    arXiv
    2608.09867
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    Claude Opus 4.8、Claude Sonnet 4.6、Claude Haiku 4.5 等 15 个

    摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。

    深度解读完整解读
  3. 分析与理论arXiv 2609.33898

    研究揭示训练效率与模型脆弱性的权衡：高效训练更易受对抗与隐私攻击

    比较高效与高成本训练的对抗和隐私脆弱性并分析损失几何

    arXiv
    2609.33898
    发表
    层
    训练与数据层
    场景
    模型与 API
    测试
    ResNet-18、Swin Transformer、Qwen2.5-Math-7B-Instruct 等 7 个
    摘要效用匹配下，三种高效训练都伴随更高的隐私与对抗脆弱性及更尖的损失几何。

    作者在视觉分类和数学推理语言模型上，检查用更少数据或更简对齐换取训练效率时，安全性质是否一起变化。比较在任务效用接近的前提下进行。视觉侧用 KNN-Shapley 的高重要性小子集对照低重要性大子集，并用预训练微调对照从头训练。

    深度解读完整解读
  4. 防御arXiv 2609.12378

    Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现

    提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词

    arXiv
    2609.12378
    发表
    层
    基础设施层
    场景
    模型与 API
    测试
    Meta-Llama-3-8B、Llama-3-8B（THOR-style baseline）
    摘要ODIN 用可复用的特征主序打包和联合误差预算，在单张 H100 上完成 Llama-3-8B 的 CKKS 推理。

    ODIN 是面向 Llama 的服务器侧 CKKS 推理系统：客户加密提示词，诚实但好奇的服务器用明文权重在密文上算完 Llama-3，只返回结果密文。

    深度解读完整解读
  6. 攻击arXiv 2609.00873

    研究提出 Q-Skew：利用 token 级记忆不对称对微调扩散语言模型做成员推断

    提出 Q-SKEW，利用 token 级记忆不对称推断微调扩散语言模型的成员

    arXiv
    2609.00873
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    灰盒
    测试
    LLaDA-8B-Base、LLaDA-8B-Instruct、Dream-Base-7B 等 4 个
    摘要Q-SKEW 用 token 损失差的右偏区分微调 DLM 成员，并可辅助 PII 排序。

    Q-SKEW 是针对微调扩散语言模型的 gray-box 成员推断指标，依据是 token 记忆增益随掩码率下降而增大、成员序列因此右偏。。

    深度解读完整解读
  7. 攻击arXiv 2609.01723

    研究者提出针对微调 TTS 模型的黑盒成员推断攻击

    提出针对微调 TTS 的黑盒成员推断攻击

    arXiv
    2609.01723
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    CosyVoice2、F5-TTS、XTTS-v2
    摘要黑盒 TTS 成员推断以 recitation 加分层语音表示为分数，说话人级强于记录级，DP-SGD 可压到随机附近。

    作者给出一个针对微调文本转语音模型的黑盒成员推断框架，分别审计说话人是否进入微调集，以及某一条文本–音频记录是否进入微调集。微调 TTS 以合成文本和参考语音双条件生成，既有生成模型 MIA 的单条件查询和图像/文本上的逐点比较不能直接套用。作者用 scorable extent 与 memorization elicitation 比较五种查询，认为只有 recitation（用目标转写和干净目标语音要求模型复现）同时满足两条，并把它作为主查询。

    深度解读完整解读
  8. 攻击arXiv 2609.05702

    量子原生访问下量子机器学习（QML）的隐私风险刻画

    证明量子原生访问会增强量子模型的成员推断优势

    arXiv
    2609.05702
    发表
    层
    模型层
    场景
    模型与 API
    测试
    4-qubit 24-parameter QNN（PennyLane 模拟，目标与影子模型同结构）
    摘要量子原生访问使 QNN 成员推断优势按 C⪯M⪯Q 增加，有限影子模型留下可上界的经验差距。

    作者研究 量子原生访问下 QNN 的成员推断：对手不再只拿到固定测量的经典比特。

    深度解读完整解读
  10. 攻击arXiv 2609.10611

    WPMIA：面向严格黑盒大模型的词级概率成员推断攻击

    提出严格黑盒成员推断 WPMIA，用采样估计词级概率判断训练成员

    arXiv
    2609.10611
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    OPT-6.7B、Pythia-6.9B、LLaMA-13B 等 12 个
    摘要WPMIA 从续写估计词级似然并对比前缀，黑盒上多数优于所列基线。

    WPMIA 是面向严格黑盒的 LLM 预训练数据成员推断：攻击者只能看到文本续写。

    深度解读完整解读
  12. 攻击arXiv 2609.09865

    CGMIA：用成员推理攻击检测代码生成基准的数据泄漏

    提出 CGMIA，用成员推理检测代码生成基准的数据泄漏

    arXiv
    2609.09865
    发表
    层
    模型层
    场景
    编程 Agent
    攻击者
    灰盒
    测试
    Qwen2.5-Coder (3B)、CodeGemma (2B)、DeepSeek-Coder (1.3B) 等 5 个
    摘要CGMIA 融合相似度、通过率、困惑度与 CodeBERT，在模拟泄漏上优于八个 MIA 基线。

    CGMIA 用成员推断检测代码生成基准是否泄入 LLM 训练集，使评测不依赖对训练语料的直接访问。

    深度解读完整解读
  13. 可解释性arXiv 2609.11780

    用权重谱密度预测隐私泄露：WeightWatcher 谱指标可作为成员推理攻击脆弱性的代理

    检验权重谱度量能否代理成员推断泄漏

    arXiv
    2609.11780
    发表
    层
    模型层
    场景
    模型与 API
    测试
    MLP-1×4096、MLP-2×1024、MLP-2×2048 等 11 个
    摘要作者认为谱度量与泛化差距互补，有望用于无数据的模型级筛查。

    作者在 MLP 上检查 WeightWatcher 谱统计是否与 online LiRA 同向，以便不看数据、不训练 shadow 模型就做模型级成员风险筛查。放出前的审计要知道训练成员会不会被认出来。LiRA 依赖大量 shadow 模型，候选一多就难以逐个跑。

    深度解读完整解读
  16. 攻击arXiv 2609.33985

    研究：众包微调数据投毒可放大专有指令抽取

    提出主题锚点投毒，放大众包微调后的专有指令提取

    arXiv
    2609.33985
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    黑盒
    测试
    Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct、Llama-3.1-8B-Instruct 等 6 个

    摘要论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。

    深度解读完整解读
已经到底了