另有 71 篇论文还没打上分类标签，暂不在筛选结果里。
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
提出跨通道分段攻击，利用 MCP 隐式信任诱导外发敏感文件
摘要论文揭示了 MCP 多通道隐式信任层级，通过跨通道分段与协议级利用突破现有防御，展示了严重的凭证外发风险。
提出 ReGap，用自生成伪监督微调恢复模型中的隐私关联
摘要提出无真实私有监督的恢复攻击 ReGap，实验显示微调可通过自生成数据唤醒模型潜在隐私关联，突显后适应隐私风险。
利用加密思维块的跨模型重放，诱导弱模型逐字转写专有推理链
摘要论文揭示了客户端加密思维块跨模型互换漏洞，提出了低成本提取方法并给出防御方案。
提出匹配比较校准，界定生成训练序列何时算可抽取记忆
Cooper 等人从第一性原理重写 extractable memorization：生成训练文本只有在概率高过匹配非训练文本的可预测性基线时，才支持记忆声称。
提出 SCALPEL，用对比 SAE 在表征层选择性遗忘特定事实
SCALPEL 是不改基座权重的表征层遗忘方法，面向与保留数据重叠的窄目标。
提出扩散潜空间地理扰动防御，抑制视觉语言模型泄露精确地理位置
提出 PMA，用流形对齐从 E2EO 混淆向量恢复明文
提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词
ODIN 是面向 Llama 的服务器侧 CKKS 推理系统：客户加密提示词，诚实但好奇的服务器用明文权重在密文上算完 Llama-3，只返回结果密文。
提出混合 CKKS/TFHE 的隐私保护 LLM 解码框架 ROSETTA
ROSETTA 是面向 LLM decode 的混合 CKKS/TFHE 隐私推理框架，目标是在 honest-but-curious 两方设定下，让服务器在密文上完成解码，同时保住权重和用户输入。
提出多草稿水印投机采样 MPFR，同时保持无偏水印与采样效率
MPFR 是一种基于泊松过程的多草稿投机采样，用来同时提高解码效率并嵌入无偏水印。
提出成对无失真水印 TTMARK，增强低熵下的机器文本检测
TTMARK 是一种成对、无失真的文本水印：对相邻 token 的联合分布重加权，而不是逐 token 独立重加权。
提出 UNMERGE，用任务向量低秩分解做概念级遗忘
UNMERGE 把近似机器遗忘写成模型合并的逆运算：从已微调的合并任务向量里减去一个学出来的低秩遗忘分量。作者要处理的是概念级请求（一个类或一个语义组），而不是任意单条记录。梯度上升、重标注、蒸馏和显著性方法都靠把遗忘损失写进权重，作者认为它们超参脆弱、无法表达遗忘与保留的共享方向，也缺少逐层诊断。
提出 Cocktail 水印，共嵌稳健与脆弱信号以溯源并发现篡改
提出严格黑盒成员推断 WPMIA，用采样估计词级概率判断训练成员
WPMIA 是面向严格黑盒的 LLM 预训练数据成员推断：攻击者只能看到文本续写。
诊断 BatchNorm 架构下机器遗忘评测的归一化伪影
BN illusion 是作者对近似机器遗忘评测中一种 BatchNorm 测量伪影的命名：不改权重、只用 retain 数据重算运行统计，就可以把表面遗忘准确率翻过来。
提出 CGMIA，用成员推理检测代码生成基准的数据泄漏
CGMIA 用成员推断检测代码生成基准是否泄入 LLM 训练集，使评测不依赖对训练语料的直接访问。
提出 QPriv-VL，用问题引导剪枝降低分布式视觉问答的隐私泄露
QPriv-VL 把问题引导的视觉 token 剪枝做成分布式 VQA 的客户端隐私防御，而不是只做集中式推理加速。
论文提出一种在旧款 GPU 上实现可验证差分隐私（DP）训练的框架，用 CPU 侧 TEE 配合不受信任的 GPU 完成校验。
TEE-Certified DP 用已部署的 CPU TEE 监视不可信旧 GPU 上的 DP-SGD，使监管方能在不看训练数据的情况下检查声明的隐私机制是否被执行。
提出用扰动蒸馏本地代理并离线过滤来提取黑盒模型凭据
摘要论文提出扰动蒸馏与离线过滤两阶段框架，实现了 output-only 访问下延迟降低的黑盒大模型 API key 提取。