顶会安全论文
- AlphaDog：利用 Alpha 通道的无盒伪装攻击AlphaDog: No-Box Camouflage Attacks via Alpha Channel Oversight
利用 RGBA 图像 Alpha 通道让人眼与模型看到不同内容，无需查询即可欺骗 100 个图像识别系统，并提出直方图检测方法。
Qi Xia, Qian Chen会议页面 - 自动化恶意软件工厂：搭载式重打包与对抗样本结合的安卓恶意软件生成Automated Mass Malware Factory: The Convergence of Piggybacking and Adversarial Example in Android Malicious Software Generation
将恶意代码搭载进热门应用并生成对抗扰动，批量产生可规避检测的安卓恶意软件，对 Drebin、MaMaDroid 平均攻击成功率 88.3%。
- 编译模型自带漏洞：揭示 DNN 可执行文件中普遍存在的比特翻转攻击面Compiled Models, Built-In Exploits: Uncovering Pervasive Bit-Flip Attack Surfaces in DNN Executables
首次系统研究 DNN 可执行文件的 BFA，发现仅需已知模型结构即可攻击，平均约 1.4 次翻转就能使精度降至随机水平。
Yanzuo Chen, Zhibo Liu, Yuanyuan Yuan 等会议页面 - L-HAWK:针对远距离目标的可控物理对抗补丁L-HAWK: A Controllable Physical Adversarial Patch Against a Long-Distance Target
提出由激光触发的物理对抗补丁攻击自动驾驶视觉感知,50 米处平均攻击成功率 91.9%,明显优于 TPatch。
- Magmaw:针对机器学习无线通信系统的模态无关对抗攻击Magmaw: Modality-Agnostic Adversarial Attacks on Machine Learning-Based Wireless Communication Systems
提出可对任意多模态无线信号生成通用对抗扰动的攻击,在软件无线电平台实测,即使有强防御仍显著降低性能。
- 重新审视交通标志识别的物理世界对抗攻击：商用系统视角Revisiting Physical-World Adversarial Attack on Traffic Sign Recognition: A Commercial Systems Perspective
首次大规模测量物理对抗攻击对商用交通标志识别系统的效果，发现攻击不易泛化，空间记忆设计是主因，并提出新的攻击成功率指标。
- IsolateGPT:面向 LLM Agent 系统的执行隔离架构IsolateGPT: An Execution Isolation Architecture for LLM-Based Agentic Systems
针对第三方 LLM 应用缺乏隔离的安全隐私风险,提出执行隔离架构,可抵御多种攻击且功能无损,多数查询开销低于 30%。
Yuhao Wu, Franziska Roesner, Tadayoshi Kohno 等会议页面
- BitShield：防御针对 DNN 可执行文件的比特翻转攻击BitShield: Defending Against Bit-Flip Attacks on DNN Executables
首个针对 DNN 可执行文件的 BFA 防御，基于语义完整性检查检测数据段与代码段翻转，平均缓解率 97.51%，开销约 2.47%。
Yanzuo Chen, Yuanyuan Yuan, Zhibo Liu 等会议页面 - 人工耳蜗使用者面对音频深度伪造的影响研究Characterizing the Impact of Audio Deepfakes in the Presence of Cochlear Implant
对 35 名人工耳蜗用户和 87 名听力正常者的实验显示，前者识别语音转换伪造仅约 67% 正确，并评估了 CI 模拟音频训练的检测器能否作为代理。
- 密度提升一切：同时改进恶意软件检测器性能、鲁棒性与可持续性Density Boosts Everything: A One-stop Strategy for Improving Performance, Robustness, and Sustainability of Malware Detectors
指出特征稀疏是投毒、规避与概念漂移的共同根源，用压缩技术和密度提升训练缓解稀疏，增强检测器对攻击的抵抗力。
- I know what you MEME!:用多模态大模型理解与检测有害 MemeI know what you MEME! Understanding and Detecting Harmful Memes with Multimodal Large Language Models
分析视觉艺术与宣传技巧如何削弱现有有害 Meme 检测,提出基于自适应提示与 CoT 的 HMGUARD,准确率达 0.92。
Yong Zhuang, Keyan Guo, Juan Wang 等会议页面 - Probe-Me-Not:保护预训练编码器免受恶意探测Probe-Me-Not: Protecting Pre-trained Encoders from Malicious Probing
提出 EncoderLock,使编码器在被禁止的领域上探测性能很差而在授权领域保持效用,含监督、无监督与零样本三种变体。
Ruyi Ding, Tong Zhou, Lili Su 等会议页面 - THEMIS：约束 Textual Inversion 以实现个性化概念审查THEMIS: Regulating Textual Inversion for Personalized Concept Censorship
向 Textual Inversion 嵌入注入正向后门，使敏感词与嵌入组合时输出预设图像而非有害内容，并可抵御自适应攻击。
Yutong Wu, Jie Zhang, Florian Kerschbaum 等会议页面 - 理解不安全视频生成Towards Understanding Unsafe Video Generation
构建首个视频生成模型的不安全视频数据集并归纳 5 类不安全内容，提出在采样过程内部工作的防御方法，准确率达 0.90 且资源开销降低 10 倍。
Yan Pang, Aiping Xiong, Yang Zhang 等会议页面 - VoiceRadar：基于微频率与组成分析的语音深度伪造检测VoiceRadar: Voice Deepfake Detection using Micro-Frequency and Compositional Analysis
用多普勒效应和鼓面振动物理模型提取微频率并融入损失函数，在新构建数据集上优于现有方法，可识别 AI 生成语音。
后门与投毒
10- BARBIE：基于潜在可分性的鲁棒后门检测BARBIE: Robust Backdoor Detection Based on Latent Separability
提出相对竞争分数 RCS 度量潜在可分性，无需样本即可检测后门模型，在 1 万多个模型、14 类攻击上平均检出率显著优于 7 个基线。
Hanlei Zhang, Yijie Bai, Yanjiao Chen 等会议页面 - CLIBE：检测 Transformer NLP 模型中的动态后门CLIBE: Detecting Dynamic Backdoors in Transformer-based NLP Models
首个动态后门检测框架，通过注意力层的少样本权重扰动判断后门，并在 Hugging Face 的 49 个模型中发现一个疑似后门模型。
Rui Zeng, Xi Chen, Yuwen Pu 等会议页面 - 我们真的需要设计新的拜占庭鲁棒聚合规则吗？Do We Really Need to Design New Byzantine-robust Aggregation Rules?
提出 FoundationFL，服务器生成合成更新并与客户端更新一起用 Trimmed-mean 或 Median 聚合，以防御联邦学习投毒攻击并给出收敛性分析。
Minghong Fang, Seyedsina Nabavirazavi, Zhuqing Liu 等会议页面 - DShield：通过差异学习防御图神经网络后门攻击DShield: Defending against Backdoor Attacks on Graph Neural Networks via Discrepancy Learning
利用语义漂移与属性过度强调两个现象，对比自监督模型与后门模型过滤中毒节点，在 21 种攻击下大幅降低攻击成功率。
Hao Yu, Chuan Ma, Xinhang Wan 等会议页面 - 解释即水印:通过特征归因水印实现无害的多比特模型所有权验证Explanation as a Watermark: Towards Harmless and Multi-bit Model Ownership Verification via Watermarking Feature Attribution
提出 EaaW,把多比特水印嵌入触发样本的特征归因解释而非预测,避免后门水印的有害性与歧义性,并能抵抗潜在攻击。
Shuo Shao, Yiming Li, Hongwei Yao 等会议页面 - LADDER:基于进化算法的多目标后门攻击LADDER: Multi-Objective Backdoor Attack via Evolutionary Algorithm
以多目标进化算法在双域优化黑盒后门触发器,攻击成功率不低于 99%,鲁棒性与隐蔽性均优于现有隐蔽攻击。
Dazhuang Liu, Yanqi Qiao, Rui Wang 等会议页面 - PBP:恶意软件分类器的训练后后门净化PBP: Post-training Backdoor Purification for Malware Classifiers
通过调节批归一化层统计量净化后门,仅用 1% 训练数据即可把攻击成功率从 100% 降到接近 0。
- SafeSplit：针对 Split Learning 客户端后门攻击的新型防御SafeSplit: A Novel Defense Against Client-Side Backdoor Attacks in Split Learning
提出首个 Split Learning 客户端后门防御，服务器通过频域静态分析和旋转距离动态分析检测并回退被投毒的模型，在保持效用的同时有效缓解后门。
Phillip Rieger, Alessandro Pegoraro, Kavita Kumari 等会议页面 - The Philosopher's Stone：给大语言模型插件植入木马The Philosopher’s Stone: Trojaning Plugins of Large Language Models
提出 POLISHED 与 FUSION 两种攻击，使被投毒的低秩适配器在触发时输出攻击者指定内容或恶意调用工具，三种防御均未能完全抵御。
Tian Dong, Minhui Xue, Guoxing Chen 等会议页面 - 想给我的深度学习数据投毒？你的轨迹频谱无处遁形Try to Poison My Deep Learning Data? Nowhere to Hide Your Trajectory Spectrum!
提出 TellTale，从训练轨迹的频谱域检测投毒样本，无需干净数据，跨模态和任务有效，检测准确率至少 95.52%，误报率不超过 0.61%。
Yansong Gao, Huaibing Peng, Hua Ma 等会议页面
隐私与数据泄露
25- 基于密钥驱动的身份保持人脸匿名化框架A Key-Driven Framework for Identity-Preserving Face Anonymization
提出密钥驱动的人脸匿名化与认证框架，在隐藏原始人脸的同时保留身份认证能力。
Miaomiao Wang, Guang Hua, Sheng Li 等会议页面 - 促进深度学习模型成员推断攻击的方法A Method to Facilitate Membership Inference Attacks in Deep Learning Models
提出可通过恶意训练代码放大黑盒模型成员隐私泄露并规避常见隐私审计的攻击。
Zitao Chen, Karthik Pattabiraman会议页面 - 面向量化模型的新型隐私保护机器学习范式A New PPML Paradigm for Quantized Models
用查找表实现量化算子的私有推理协议，在线通信量仅 log n，在线性能比现有 PPML 方案提升 CNN 40~60 倍、LLM 10~25 倍。
Tianpei Lu, Bingsheng Zhang, Xiaoyuan Zhang 等会议页面 - ASGARD：基于虚拟化 TEE 保护端侧深度神经网络ASGARD: Protecting On-Device Deep Neural Networks with Virtualization-Based Trusted Execution Environments
在 Armv8-A 设备上用虚拟化 TEE 保护端侧 DNN 模型，将加速器纳入可信边界，TCB 极小且推理延迟开销可忽略。
Myungsuk Moon, Minhee Kim, Joonkyo Jung 等会议页面 - 针对微调扩散模型的黑盒成员推断攻击Black-box Membership Inference Attacks against Fine-tuned Diffusion Models
提出首个面向扩散模型的基于分数的黑盒成员推断攻击框架，覆盖四种攻击场景，AUC 可达 0.95。
Yan Pang, Tianhao Wang会议页面 - BumbleBee：大型 Transformer 的安全两方推理框架BumbleBee: Secure Two-party Inference Framework for Large Transformers
优化矩阵乘法与非线性激活的两方私有推理协议，通信量降低 80%~95%，可用 CPU 约 8 分钟生成 LLaMA-7B 一个 token。
- CENSOR：基于正交子空间贝叶斯采样防御梯度反演CENSOR: Defense Against Gradient Inversion via Orthogonal Subspace Bayesian Sampling
在联邦学习中将梯度扰动限制在与原梯度正交的子空间，防御梯度反演攻击恢复私有数据，同时保持模型效用。
Kaiyuan Zhang, Siyuan Cheng, Guangyu Shen 等会议页面 - 防御针对迭代剪枝深度神经网络的成员推断攻击Defending Against Membership Inference Attacks on Iteratively Pruned Deep Neural Networks
发现迭代剪枝会加剧模型记忆，提出 WeMem 针对数据复用与固有可记忆性削弱记忆，在十种自适应 MIA 下优于五种现有防御。
Jing Shang, Jian Wang, Kailun Wang 等会议页面 - Diffence：用扩散模型保护成员隐私Diffence: Fencing Membership Privacy With Diffusion Models
推理前用生成模型重新生成输入以消除成员与非成员差异，不改变预测标签，平均降低 MIA 攻击准确率 15.8%，可与其他防御叠加。
Yuefeng Peng, Ali Naseh, Amir Houmansadr会议页面 - DLBox：保护训练数据的新型模型训练框架DLBox: New Model Training Framework for Protecting Training Data
借助机密计算并强制执行 DGM-Rules，限制不可信开发者只能进行良性训练，阻止数据编码、梯度反演等泄露途径，开销很小。
Jaewon Hur, Juheon Yi, Cheolwoo Myung 等会议页面 - GAP-Diff:保护 JPEG 压缩图像免受扩散模型人脸定制滥用GAP-Diff: Protecting JPEG-Compressed Images from Diffusion-based Facial Customization
提出 GAP-Diff,通过可反向传播的预处理模拟生成对 JPEG 压缩鲁棒的对抗扰动,干扰扩散模型微调,保护人像隐私。
Haotian Zhu, Shuchao Pang, Zhigang Lu 等会议页面 - 我知道你问了什么:多租户 LLM 服务中经 KV 缓存共享泄露提示词I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
首次研究多租户 LLM 服务的安全风险,提出 PROMPTPEEK,利用 KV 缓存共享的侧信道在不同先验条件下还原其他用户提示。
Guanlong Wu, Zheng Zhang, Yao Zhang 等会议页面 - MingledPie:缓解聚类联邦学习中偏好画像的簇混合方法MingledPie: A Cluster Mingling Approach for Mitigating Preference Profiling in CFL
通过在簇中混入少量假阳性客户端并解线性方程恢复模型,抵御服务器偏好画像,攻击准确率均值 69.4%,精度损失至多 3%。
Cheng Zhang, Yang Xu, Jianghao Tan 等会议页面 - 通过对抗正则化对 Split Learning 的被动推断攻击Passive Inference Attacks on Split Learning via Adversarial Regularization
提出 SDAR,利用辅助数据学习客户端私有模型的可解码模拟器,可还原私有特征与标签,效果接近主动攻击。
Xiaochen Zhu, Xinjian Luo, Yuncheng Wu 等会议页面 - 可证明不可学习的数据样本Provably Unlearnable Data Examples
提出通过参数平滑认证不可学习样本的 (q,η)-Learnability,并设计 PUE,在 ImageNet 与 CIFAR-100 上降低可学习性与测试精度。
Derui Wang, Minhui Xue, Bo Li 等会议页面 - RAIFLE:对基于交互的联邦学习的对抗数据操控重构攻击RAIFLE: Reconstruction Attacks on Interaction-based Federated Learning with Adversarial Data Manipulation
服务器操控呈现给用户的物品特征以重构其私有交互,在推荐与在线排序场景中显著强于梯度反演等现有攻击。
Dzung Pham, Shreyas Kulkarni, Amir Houmansadr会议页面 - 强化学习遗忘Reinforcement Unlearning
提出面向整个环境的强化遗忘,给出基于递减式强化学习与环境投毒的两种方法,并引入环境推断评估遗忘效果。
Dayong Ye, Tianqing Zhu, Congcong Zhu 等会议页面 - Scale-MIA：基于隐空间重建、针对安全联邦学习的可扩展模型逆向攻击Scale-MIA: A Scalable Model Inversion Attack against Secure Federated Learning via Latent Space Reconstruction
提出 Scale-MIA，即使有安全聚合保护，也能通过闭式反演和生成解码器从聚合更新中高效重建本地训练样本，优于现有攻击。
Shanghao Shi, Ning Wang, Yang Xiao 等会议页面 - 非交互式安全 Transformer 推理Secure Transformer Inference Made Non-interactive
提出 NEXUS，首个非交互式安全 Transformer 推理协议，客户端仅需一轮通信，带宽相比 BOLT 降低 372.5 倍。
- SHAFT：安全、易用、准确且快速的 Transformer 推理SHAFT: Secure, Handy, Accurate and Fast Transformer Inference
提出常数轮 softmax 协议和基于傅里叶级数的 GELU 协议，在保持接近明文精度下，通信量降低 25-41%，运行速度优于 BumbleBee。
- SIGuard：保护安全推理的输出隐私SIGuard: Guarding Secure Inference with Post Data Privacy
发现 MPC 安全推理仍易受成员推断攻击，提出 SIGuard 对加密预测加噪，将攻击准确率降至接近随机猜测。
Xinqian Wang, Xiaoning Liu, Shangqi Lai 等会议页面 - Speak Up, I'm Listening：从零权限 VR 传感器中提取语音Speak Up, I’m Listening: Extracting Speech from Zero-Permission VR Sensors
提出 IMMERSPY 声学侧信道攻击，用 CNN-LSTM 从 VR 设备运动传感器还原语音数字，16 位卡号识别准确率 62%，并给出防御。
- TrajDeleter：让离线强化学习智能体遗忘特定轨迹TrajDeleter: Enabling Trajectory Forgetting in Offline Reinforcement Learning Agents
提出首个离线 RL 轨迹遗忘方法 TrajDeleter，仅需重训约 1.5% 的时间即可平均遗忘 94.8% 的目标轨迹，并提供审计方法 TrajAuditor。
Chen Gong, Kecen Li, Jin Yao 等会议页面 - 理解机器学习攻击中的数据重要性：有价值的数据危害更大吗？Understanding Data Importance in Machine Learning Attacks: Does Valuable Data Pose Greater Harm?
分析五类攻击发现高重要性样本在成员推断和模型窃取中更脆弱，并据此引入样本特定准则提升成员推断效果。
Rui Wen, Michael Backes, Yang Zhang会议页面 - URVFL：针对纵向联邦学习的不可检测数据重建攻击URVFL: Undetectable Data Reconstruction Attack on Vertical Federated Learning
提出 URVFL，利用带辅助分类器的判别器生成与诚实训练难以区分的恶意梯度，显著优于现有攻击并绕过现有检测方法。
Duanyi Yao, Songze Li, Xueluan Gong 等会议页面
AI 与网络攻防
8- 超越分类：用领域适配 LLM 推断去符号二进制的函数名Beyond Classification: Inferring Function Names in Stripped Binaries via Domain Adapted LLMs
SymGen 用领域适配的生成式 LLM 为去符号二进制推断函数名，服务恶意软件分析与漏洞挖掘，精度、召回与 F1 大幅超越现有方法。
- 从 Large 到 Mammoth:大语言模型漏洞检测能力的对比评估From Large to Mammoth: A Comparative Evaluation of Large Language Models in Vulnerability Detection
评估多个 LLM 在 Java 及 C/C++ 上的漏洞检测,发现部分模型表现不佳,上下文窗口有稳定增益,量化等因素收益有限。
- 用 LLM 生成 API 参数安全规则以检测 API 误用Generating API Parameter Security Rules with LLM for API Misuse Detection
提出 GPTAid,用 LLM 与执行反馈过滤生成 API 参数安全规则,精度 92.3%,在 47 个应用中发现 210 个未知安全漏洞。
- LLMPirate:用 LLM 实施黑盒硬件 IP 盗版LLMPirate: LLMs for Black-box Hardware IP Piracy
提出首个用 LLM 重写电路设计以规避盗版检测的技术,在四种检测工具上对所有测试电路均成功规避。
- PropertyGPT:通过检索增强属性生成实现 LLM 驱动的智能合约形式化验证PropertyGPT: LLM-driven Formal Verification of Smart Contracts through Retrieval-Augmented Property Generation
用 LLM 迁移已有人工属性并自动生成合约属性,召回率 80%,检出 37 个中的 26 个 CVE/攻击事件并发现 12 个零日漏洞。
- RACONTEUR:基于 LLM 的专业化 Shell 命令解释器RACONTEUR: A Knowledgeable, Insightful, and Portable LLM-Powered Shell Command Explainer
用专业知识与文档检索增强 LLM,解释恶意 Shell 命令的行为与意图,并映射到 MITRE ATT&CK 战术与技术。
- The Midas Touch：激发 LLM 能力用于资源管理 API 误用检测The Midas Touch: Triggering the Capability of LLMs for RM-API Misuse Detection
提出 ChatDetector，用 LLM 从文档提取资源管理 API 约束并检测误用，识别 165 对 API，精度 98.21%，并报告 115 个安全漏洞。
- YuraScanner：利用 LLM 进行任务驱动的 Web 应用扫描YuraScanner: Leveraging LLMs for Task-driven Web App Scanning
提出基于 LLM 的目标驱动 Web 扫描 Agent，自主执行任务工作流以发现更深层状态，在 20 个应用中发现 12 个零日 XSS 漏洞。
开源模型安全
1- 针对大语言模型的安全错位攻击Safety Misalignment Against Large Language Models
系统评测系统提示修改、微调和模型编辑等安全错位方法，发现 SFT 最强，并提出无需有害回复的 SSRA 攻击与 SSRD 重对齐防御。
Yichen Gong, Delong Ran, Xinlei He 等会议页面