顶会安全论文
越狱与攻击
11- 从因果视角增强越狱攻击与防御A Causal Perspective for Enhancing Jailbreak Attack and Defense
提出 Causal Analyst，用因果发现找出提示特征中导致越狱的直接原因，并据此提升攻击成功率、改进护栏对混淆恶意意图的识别。
- 函数内联及其对基于 ML 的二进制分析的安全影响A Deep Dive into Function Inlining and its Security Implications for ML-based Binary Analysis
系统评估 20 个模型在极端函数内联下的鲁棒性，发现内联可影响模型行为并被用于构造规避型二进制变体。
- 针对基于 ML 的恶意流量检测系统的硬标签黑盒规避攻击A Hard-Label Black-Box Evasion Attack against ML-based Malicious Traffic Detection Systems
NetMasquerade 用强化学习与 Traffic-BERT 让攻击流量模仿良性流量，在 80 种场景下规避 6 种检测方法，成功率超 96.65%。
- 超越越狱：LLM应用能力边界模糊带来的风险Beyond Jailbreak: Unveiling Risks in LLM Applications Arising from Blurred Capability Boundaries
研究发现199个LLM应用中有178个可能受能力升级或降级影响，17个无需对抗改写即可执行恶意任务。
- 基于自监督学习的数据集缩减与水印移除:模型提取攻击Dataset Reduction and Watermark Removal via Self-supervised Learning for Model Extraction Attack
提出查询高效的模型提取框架 SSLExtraction,在特征空间贪心随机游走选取查询,在复制模型的同时移除黑盒水印,显著降低查询成本。
Hao Luan, Xue Tan, Zhiheng Li 等会议页面 - DUALBREACH:基于目标驱动初始化与多目标优化的高效双重越狱DUALBREACH: Efficient Dual-Jailbreaking via Target-Driven Initialization and Multi-Target Optimization
同时攻破 LLM 与 Guardrail 的双重越狱框架,对受 LlamaGuard-3 保护的 GPT-4 平均成功率 93.67%,并提出 EGUARD 集成防御。
- NeuroStrike：针对对齐 LLM 的神经元级攻击NeuroStrike: Neuron-Level Attacks on Aligned LLMs
定位并剪除安全神经元以关闭安全机制，在 20 多个开源模型上平均攻击成功率 76.9%，并可迁移到黑盒模型。
Lichao Wu, Sasha Behrouzi, Mohamadreza Rostami 等会议页面 - Odysseus：用双重隐写术越狱商用多模态 LLM 系统Odysseus: Jailbreaking Commercial Multimodal LLM-integrated Systems via Dual Steganography
把恶意查询和响应隐写进正常图像以绕过输入输出过滤，对 GPT-4o、Gemini、Grok-3 等攻击成功率最高达 99%。
- 近红外域中的定向物理逃逸攻击Targeted Physical Evasion Attacks in the Near-Infrared Domain
提出低成本的定向红外对抗扰动攻击，并设计分割检测方法实现高效防御。
- ThinkTrap：利用无限思考攻击黑盒LLM服务ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
提出黑盒输入优化攻击，使LLM陷入超长推理循环，显著降低服务吞吐甚至导致服务失效。
Yunzhe Li, Jianan Wang, Hongzi Zhu 等会议页面 - 面向文本到图像扩散模型的有效提示窃取攻击Towards Effective Prompt Stealing Attack against Text-to-Image Diffusion Models
提出无需训练的搜索式提示窃取方法，可从多种平台图像中提取生成提示并提升攻击成功率。
提示注入
4- 利用注意力防御大语言模型间接提示注入攻击Attention is All You Need to Defend Against Indirect Prompt Injection Attacks in LLMs
提出Rennervate利用细粒度注意力特征检测并清理间接提示注入，在五个模型和六个数据集上优于15种防御方法。
Yinan Zhong, Qianhao Miao, Yanjiao Chen 等会议页面 - ObliInjection：针对多源数据 LLM Agent 的顺序无关提示注入攻击ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
在攻击者不知道各数据片段顺序、只控制其中一段的情况下，用顺序无关损失优化注入，在 12 个 LLM 上效果显著。
Reachal Wang, Yuqi Jia, Neil Zhenqiang Gong会议页面 - 针对 LLM Agent 工具选择的提示注入攻击Prompt Injection Attack to Tool Selection in LLM Agents
ToolHijacker 向工具库注入恶意工具文档以操纵工具选择，显著优于现有攻击，且多种现有防御均不足。
- 当缓存投毒遇上LLM系统：语义缓存投毒及其对策When Cache Poisoning Meets LLM Systems: Semantic Cache Poisoning and Its Countermeasures
发现攻击者可通过注入缓存条目操纵他人获得的LLM响应，并提出改进防御机制。
- ACE：面向 LLM 集成应用系统的安全架构ACE: A Security Architecture for LLM-Integrated App Systems
指出针对 IsolateGPT 的新攻击，提出将规划分为抽象与具体两阶段并强制应用间隔离的 ACE 架构，在间接提示注入基准上保持安全。
- Les Dissonances:工具池 LLM Agent 中的跨工具收集与污染Les Dissonances: Cross-Tool Harvesting and Polluting in Pool-of-Tools Empowered LLM Agents
识别 XTHP 威胁可劫持 Agent 任务控制流并窃取、污染信息,开发 Chord 扫描 66 个工具,发现 75% 易受攻击。
Zichuan Li, Jian Cui, Xiaojing Liao 等会议页面 - SAGA：治理 AI Agent 系统的安全架构SAGA: A Security Architecture for Governing AI Agentic Systems
通过中心 Provider 与密码学访问控制令牌，让用户管控 Agent 间通信，性能开销小且不影响任务效用。
防御与护栏
11- AI角色平台安全风险的基准评测与分析Benchmarking and Understanding Safety Risks in AI Character Platforms
评测16个平台后发现其平均不安全回应率为65.1%，并训练模型识别低安全性的角色。
Yiluo Wei, Peixian Zhang, Gareth Tyson会议页面 - 失血通道：隐藏状态判别力消失如何助推越狱攻击Bleeding Pathways: Vanishing Discriminability in LLM Hidden States Fuels Jailbreak Attacks
发现安全与有害响应的隐藏状态可分性随生成减弱，并提出DEEPALIGN将九类越狱攻击成功率降至接近零。
Yingjie Zhang, Tong Liu, Zhe Zhao 等会议页面 - 字符级扰动可破坏大语言模型水印Character-Level Perturbations Disrupt LLM Watermarks
研究表明字符级扰动在有限黑盒查询下能有效移除多种LLM水印，并可绕过固定防御策略。
- 以建设性噪声对抗对抗噪声:面向商用 DNN 服务的对抗样本检测Constructive Noise Defeats Adversarial Noise: Adversarial Example Detection for Commercial DNN Services
提出第三方对抗样本检测方法 Falcon,利用干净与对抗样本的噪声容忍度差异,在 6 个商用 DNN 服务上以 5% FPR 达到约 80% TPR。
Meng Shen, Jiangyuan Bi, Hao Yu 等会议页面 - MIMIR：基于互信息的掩码图像建模对抗鲁棒性MIMIR: Masked Image Modeling for Mutual Information-based Adversarial Robustness
为 ViT 提出带互信息惩罚的自监督对抗训练，在 ImageNet-1K 上超过现有对抗训练方法，并能抵御自适应攻击。
Xiaoyun xu, Shujian Yu, Zhuoran Liu 等会议页面 - Paladin：用触发器-标签范式防御 LLM 生成的钓鱼邮件Paladin: Defending LLM-enabled Phishing Emails with a New Trigger-Tag Paradigm
在 LLM 中植入触发器与标签关联，使其生成钓鱼内容时自动带标签便于识别，各场景检测准确率超过 90%。
- Q-MLLM：用向量量化增强多模态大模型安全鲁棒性Q-MLLM: Vector Quantization for Robust Multimodal Large Language Model Security
两级向量量化离散化视觉表示以阻断攻击路径，对越狱和有毒图像攻击防御成功率显著提升且效用基本保持。
Wei Zhao, Zhe Li, Yige Li 等会议页面 - 大语言模型内容审核的全球分析There is No War in Ba Sing Se: A Global Analysis of Content Moderation in Large Language Models
分析15个大模型在不同地区和语言中的审核差异，发现审核率与回复长度存在显著变化。
- VeriLoRA：利用零知识证明实现可验证安全微调VeriLoRA: Fine-Tuning Large Language Models with Verifiable Security via Zero-Knowledge Proofs
将LoRA微调与零知识证明结合，验证训练正确性并保护模型参数和训练数据隐私。
Guofu Liao, Taotao Wang, Shengli Zhang 等会议页面 - ViGText：结合视觉语言解释与图网络的深伪检测ViGText: Deepfake Image Detection with Vision-Language Model Explanations and Graph Neural Networks
提出融合视觉语言解释和图神经网络的深伪检测方法，提升对定制化深伪和对抗攻击的鲁棒性。
- ZKSL：基于异步零知识证明的可验证高效分割联邦学习ZKSL: Verifiable and Efficient Split Federated Learning via Asynchronous Zero-Knowledge Proofs
提出异步零知识证明框架，验证恶意威胁模型下的联邦学习计算并减少证明生成时间。
Yixiao Zheng, Changzheng Wei, Xiaodong Qi 等会议页面
可解释性
1- 通过恶意载荷定位实现可解释的深度学习网页攻击检测Achieving Interpretable DL-based Web Attack Detection through Malicious Payload Localization
提出WebSpotter定位HTTP请求中的恶意载荷，并自动生成WAF规则，定位准确率较基线至少提升22%。
Peiyang Li, Fukun Mei, Ye Wang 等会议页面
- CatBack：通过类别编码对表格数据实施通用后门攻击CatBack: Universal Backdoor Attacks on Tabular Data via Categorical Encoding
提出针对表格数据的通用后门攻击，在五个数据集和四种模型上最高达到100%的攻击成功率。
Behrad Tajalli, Stefanos Koffas, Stjepan Picek会议页面 - 因果引导的开放权重LoRA模型后门攻击Causal-Guided Detoxify Backdoor Attack of Open-Weight LoRA Models
提出无需原始训练数据的CBA框架，在六个LoRA模型上降低触发误报率50%至70%，同时保持较高攻击成功率。
Linzhi Chen, Yang Sun, Hongru Wei 等会议页面 - InverTune:基于后门-对抗关联分析的多模态对比学习后门防御InverTune: A Backdoor Defense Method for Multimodal Contrastive Learning via Backdoor-Adversarial Correlation Analysis
无需攻击目标先验或投毒数据,通过对抗模拟、梯度反演还原触发器并聚类微调清除后门,平均攻击成功率降低 97.87%。
Mengyuan Sun, Yu Li, Yunjie Ge 等会议页面 - 深度学习模型量化中的舍入引导后门注入Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
QuRA 仅通过优化量化舍入方向植入后门，多数情况攻击成功率近 100% 且几乎不损精度，并能绕过现有防御。
Xiangxiang Chen, Peixin Zhang, Jun Sun 等会议页面
隐私与数据泄露
22- 基于蒸馏与贡献感知聚合的联邦学习成员推断统一防御框架A Unified Defense Framework Against Membership Inference in Federated Learning via Distillation and Contribution-Aware Aggregation
结合熵正则教师训练、CVAE 合成数据蒸馏和贡献感知聚合，同时防御被动与主动成员推断攻击，并保持模型精度。
Liwei Zhang, Linghui Li, Xiaotian Si 等会议页面 - 面向大域分类与键值数据的增强型洗牌差分隐私协议Augmented Shuffle Differential Privacy Protocols for Large-Domain Categorical and Key-Value Data
提出FME协议，通过哈希过滤、多重加密和虚拟数据提升大域分类及键值统计中的隐私、鲁棒性与效率。
- 级联式与代理式成员推断攻击Cascading and Proxy Membership Inference Attacks
提出CMIA和PMIA两种成员推断攻击，利用样本依赖与代理样本提升低误报场景下的隐私风险评估效果。
Yuntao Du, Jiacheng Li, Yuetian Chen 等会议页面 - CELLSHIFT：面向真实网站指纹识别的RTT感知轨迹转换CELLSHIFT: RTT-Aware Trace Transduction for Real-World Website Fingerprinting
提出将Tor出口轨迹转换为入口视角的方法，帮助更准确评估网站指纹识别对用户隐私的风险。
- 通过收缩式消息传递实现多层 GNN 的收敛隐私框架Convergent Privacy Framework for Multi-layer GNNs through Contractive Message Passing
证明利用 GNN 的收缩性质,隐私预算随层数收敛而非线性增长,提出 CARIBOU 框架,改善隐私-效用权衡并支持隐私审计。
- CRISP:抵御恶意客户端的高效 ML 推理密码学框架CRISP: An Efficient Cryptographic Framework for ML Inference Against Malicious Clients
基于 Function Secret Sharing 与 CKKS 复数域验证,防止恶意客户端窃取模型参数,推理通信开销最多降低 94%、延迟降低 43%。
Xiaoyu Fang, Shihui Zheng, Lize Gu会议页面 - CryptPEFT:基于参数高效微调的高效隐私神经网络推理CryptPEFT: Efficient and Private Neural Network Inference via Parameter-Efficient Fine-Tuning
提出单向通信架构,将加密计算限制在 adapter 内,在保护用户输入与微调 adapter 隐私的同时,较基线加速 20.62 至 291.48 倍。
- DNN Latency Sequencing:用单步攻击从 Intel SGX enclave 中提取 DNN 架构DNN Latency Sequencing: Extracting DNN Architectures from Intel SGX Enclaves with Single-Stepping Attacks
利用 SGX-Step 采集细粒度延迟轨迹,在 Darknet、TensorFlow Lite、ONNX Runtime 上恢复模型架构,准确率达 93.6% 至 97.3%。
Minkyung Park, Zelun Kong, Dave Tian 等会议页面 - 增强对抗流量漂移的网站指纹攻击Enhancing Website Fingerprinting Attacks against Traffic Drift
提出自适应 WF 攻击框架 Proteus,仅用无标签漂移流量持续微调模型,在六种漂移场景下相对八种 SOTA 攻击 F1 平均提升 94.24%。
- ExpShield:保护网页文本免遭未授权爬取与 LLM 利用ExpShield: Safeguarding Web Text from Unauthorized Crawling and LLM Exploitation
通过不可见扰动抑制 LLM 对网页文本的记忆,在隐私后门下将 MIA AUC 从 0.95 降至 0.55,实例暴露风险趋近于零。
Ruixuan Liu, Toan Tran, Tianhao Wang 等会议页面 - 微调语言模型成员推断的 In-Context ProbingIn-Context Probing for Membership Inference in Fine-Tuned Language Models
提出 ICP-MIA,以 Optimization Gap 为成员信号,通过构造输入上下文在黑盒下估计,在低 FPR 下显著优于既有黑盒 MIA。
Zhexi Lu, Hongliang Chi, Nathalie Baracaldo 等会议页面 - 针对神经网络的记忆型后门攻击Memory Backdoor Attacks on Neural Networks
恶意联邦学习服务器通过训练时后门，用索引触发器确定性地提取客户端完整训练样本，医疗分割数据集仅损失 3% 效用。
- 窥探黑盒：基于 GPU 电磁侧信道的远距离模型架构窃取Peering Inside the Black-Box: Long-Range and Scalable Model Architecture Snooping via GPU Electromagnetic Side-Channel
ModelSpy 利用 GPU 电磁泄漏在数米外穿墙还原 DNN 架构，层分割准确率 97.6%，并可增强黑盒对抗攻击。
Rui Xiao, Sibo Feng, Soundarya Ramesh 等会议页面 - PrivCode：当代码生成遇上差分隐私PrivCode: When Code Generation Meets Differential Privacy
首个面向代码数据集的 DP 合成器，先用 DP-SGD 生成隐私合成代码，再微调更大模型提升效用。
- PrivORL：面向离线强化学习的差分隐私合成数据集PrivORL: Differentially Private Synthetic Dataset for Offline Reinforcement Learning
首个离线 RL 数据集的 DP 合成方法，用扩散模型合成 transition 与轨迹，效用和保真度优于基线。
- Prεεmpt：为 LLM 净化敏感提示词Prεεmpt: Sanitizing Sensitive Prompts for LLMs
提出提示词净化器，对格式型敏感词用保格式加密、对数值型用 metric 差分隐私，在保持效用下提供隐私保证。
- 揭示并缓解LLM推理中KV缓存的隐私风险Shadow in the Cache: Unveiling and Mitigating Privacy Risks of KV-cache in LLM Inference
发现可从KV缓存重建用户输入，并提出KV-Cloak防御攻击且几乎不影响性能。
- STIP：生产环境大模型的三方隐私保护无损推理STIP: Three-Party Privacy-Preserving and Lossless Inference for Large Transformers in Production
提出可部署于生产环境的三方隐私推理系统，保护用户数据和模型参数并保持无损推理。
Mu Yuan, Lan Zhang, Yihang Cheng 等会议页面 - SVDefense：基于奇异值分解防御梯度反演攻击SVDefense: Effective Defense against Gradient Inversion Attacks via Singular Value Decomposition
提出利用截断奇异值分解保护联邦学习梯度隐私的方法，在资源受限平台上兼顾隐私和模型精度。
- 是否打乱：审计带打乱的DP-SGDTo Shuffle or not to Shuffle: Auditing DP-SGD with Shuffling
提出DP审计方法，发现打乱训练可能使模型的实际隐私泄露高于理论保证。
- 我的数据被用于训练了吗？基于神经激活的开源LLM成员推断Was My Data Used for Training? Membership Inference in Open-Source LLMs via Neural Activations
通过分析LLM神经激活检测训练数据成员关系，在多个开源模型上取得较高识别效果。
Xue Tan, Hao Luan, Mingyu Luo 等会议页面 - WhiteCloak：追责安全聚合中的匿名恶意客户端WhiteCloak: How to Hold Anonymous Malicious Clients Accountable in Secure Aggregation?
提出利用零知识证明阻止被拉黑客户端更换凭证重返联邦学习聚合轮次。
Zhi Lu, Yongquan Cui, Songfeng Lu会议页面
供应链安全
1- 缓存陷阱：LLM服务框架中的缓存安全威胁Cache Me, Catch You: Cache Related Security Threats in LLM Serving Frameworks
系统发现LLM推理缓存中的六类攻击向量，可投递恶意内容或绕过安全检查，并提出五种分层防御策略。
XiangFan Wu, Lingyun Ying, Guoqiang Chen 等会议页面
AI 与网络攻防
18- 基于LLM的PLC逻辑指令漏洞模糊测试框架An LLM-Driven Fuzzing Framework for Detecting Logic Instruction Bugs in PLCs
提出LogicFuzz对PLC逻辑指令进行语义模糊测试，在六种生产级PLC中发现19个漏洞，其中4个为新漏洞。
- 利用LLM自动标注代码以划定TEE边界Automated Code Annotation with LLMs for Establishing TEE Boundaries
提出LLM-CAL识别密码实现中的安全敏感代码区域，F1达到98.40%，用于缩小TEE可信计算基。
- 自动化汽车全生命周期函数级TARA分析Automating Function-Level TARA for Automotive Full-Lifecycle Security
DefenseWeaver利用LLM生成攻击树和风险评估，在四个汽车安全项目中发现并验证了11条关键攻击路径。
- 超越原始字节：迈向大型恶意软件语言模型Beyond Raw Bytes: Towards Large Malware Language Models
提出大型恶意软件语言模型的预训练方法，使多种恶意软件分类任务平均提升1.1%，最高提升28.6%。
- 超越RTT的对抗鲁棒住宅代理检测方法Beyond RTT: An Adversarially Robust Two-Tiered Approach For Residential Proxy Detection
提出结合流量特征与Transformer的两层检测框架，在多种规避攻击下仍保持超过92%的F1分数。
Temoor Ali, Shehel Yoosuf, Mouna Rabhi 等会议页面 - BSFuzzer：面向BLE逻辑缺陷的上下文感知语义模糊测试BSFuzzer: Context-Aware Semantic Fuzzing for BLE Logic Flaw Detection
利用LLM解析蓝牙规范并生成语义测试序列，在19台设备中发现36个安全问题，其中34个为未知漏洞。
Ting Yang, Yue Qin, Lan Zhang 等会议页面 - CHAMELEOSCAN：利用LLM界面探索检测iOS变色龙应用CHAMELEOSCAN: Demystifying and Detecting iOS Chameleon Apps via LLM-Powered UI Exploration
提出LLM驱动的UI探索框架识别伪装应用，在1644个iOS应用上达到92.59%的精确率。
- Chimera：利用多智能体LLM自动模拟内部威胁Chimera: Harnessing Multi-Agent LLMs for Automatic Insider Threat Simulation
提出多智能体LLM框架模拟企业中的良性与恶意内部活动，并构建更真实的内部威胁检测数据集。
Jiongchi Yu, Xiaofei Xie, Qiang Hu 等会议页面 - 解构协同:软件逆向工程中人与 LLM 协作的实证研究Decompiling the Synergy: An Empirical Study of Human–LLM Teaming in Software Reverse Engineering
对 153 名从业者做调查并让 48 人参与实验,发现 LLM 使新手理解率提升约 98%、追平专家,但也存在幻觉与无效建议。
Zion Leonahenahe Basque, Samuele Doria, Ananta Soneji 等会议页面 - FirmAgent:借助 fuzzing 辅助 LLM Agent 发现 IoT 固件漏洞FirmAgent: Leveraging Fuzzing to Assist LLM Agents with IoT Firmware Vulnerability Discovery
混合 fuzzing 与 LLM Agent 污点分析并生成 PoC,在 14 个固件中发现 182 个漏洞,其中 140 个为未知漏洞,17 个获 CVE。
Jiangan Ji, Chao Zhang, Shuitao Gan 等会议页面 - 使用轻量 LLM 并降低幻觉的事件响应规划Incident Response Planning Using a Lightweight Large Language Model with Reduced Hallucination
结合微调、信息检索与前瞻规划,证明幻觉概率有界,在真实事件日志上比前沿 LLM 恢复时间最多缩短 22%。
- IoTBec:面向黑盒 IoT 设备的准确高效重复漏洞检测框架IoTBec: An Accurate and Efficient Recurring Vulnerability Detection Framework for Black Box IoT devices
以漏洞接口签名结合 LLM 驱动 fuzzing,共发现 183 个漏洞,169 个获 CVE,检出数是现有黑盒 fuzzing 的 7 倍以上。
- LLMBisect：基于对比分析流水线的 Bug 二分定位LLMBisect: Breaking Barriers in Bug Bisection with A Comparative Analysis Pipeline
用 LLM 多阶段流水线定位引入漏洞的 commit，准确率比现有最优方法高出 38% 以上。
- ProtocolGuard：LLM 引导静态分析与动态验证检测协议不合规 BugProtocolGuard: Detecting Protocol Non-compliance Bugs via LLM-guided Static Analysis and Dynamic Verification
结合 LLM 静态分析与模糊测试验证，在 11 个协议实现中发现 158 个不合规 Bug，其中 70 个已确认。
- 重流量监测中的博弈与零样本攻击Strategic Games and Zero Shot Attacks on Heavy-Hitter Network Flow Monitoring
利用强化学习构造可规避流量监测的攻击，并通过对抗训练降低其带宽利用效果。
- TIPSO-GAN：基于优化生成对抗网络的恶意流量检测TIPSO-GAN: Malicious Network Traffic Detection Using a Novel Optimized Generative Adversarial Network
提出结合粒子群优化和注意力机制的GAN检测恶意流量，在零日和跨数据集测试中取得较高准确率。
Ernest Akpaku, Jinfu Chen, Joshua Ofoeda会议页面 - 利用偏差劫持LLM静态分析Trust Me, I Know This Function: Hijacking LLM Static Analysis using Bias
发现熟悉模式偏差可使LLM代码分析忽略细小漏洞，并提出可自动注入的攻击方法。
- 它们修复了什么？LLM辅助分类关键内存漏洞补丁What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs
提出LLM与小模型结合的补丁分类流程，识别Linux内核中的越界访问和释放后使用漏洞。