顶会安全论文
越狱与攻击
19- 树皮上的裂缝：利用公开知识移除 Tree-Ring 水印A Crack in the Bark: Leveraging Public Knowledge to Remove Tree-Ring Watermarks
仅需公开的 VAE 即可近似潜空间并移除 Tree-Ring 水印，检测 AUC 从 0.993 降至 0.153，且优于需完全访问模型的攻击。
Junhua Lin, Marc Juarez会议页面 - Atkscopes：针对感知哈希的多分辨率对抗扰动统一攻击Atkscopes: Multiresolution Adversarial Perturbation as a Unified Attack on Perceptual Hashing and Beyond
提出多分辨率扰动，统一攻破 PhotoDNA、PDQ、NeuralHash 与 pHash，可实现规避或触发监管，收敛效率明显提升。
- Chimera：欺骗图像重拍检测器与深度伪造检测器的数字签名伪造照片Chimera: Creating Digitally Signed Fake Photos by Fooling Image Recapture and Deepfake Detectors
提出端到端攻击 Chimera，用硬件感知的 GAN 补偿器生成带数字签名的伪造图像，同时绕过深度伪造检测和重拍检测，攻击成功率高。
- 评估基于视觉相似性的钓鱼检测模型的有效性与鲁棒性Evaluating the Effectiveness and Robustness of Visual Similarity-based Phishing Detection Models
在 45.1 万真实钓鱼网站上评估检测模型，发现真实场景表现差，且易被 logo 篡改与对抗扰动规避。
- 利用任务级漏洞：LLM 的自动越狱攻击与防御基准Exploiting Task-Level Vulnerabilities: An Automatic Jailbreak Attack and Defense Benchmarking for LLMs
提出基于知识分解的任务级越狱，不依赖特定提示或 token，抗重新对齐能力更强，成功率比 SOTA 高约 10%，并据此构建防御评测基准。
Lan Zhang, Xinben Gao, Liuyi Yao 等会议页面 - 暴露护栏：逆向并越狱 DALL·E 文生图流水线中的安全过滤器Exposing the Guardrails: Reverse-Engineering and Jailbreaking Safety Filters in DALL·E Text-to-Image Pipelines
用计时侧信道逆向 DALL·E 2/3 的级联安全过滤器，并利用否定表达与低资源语言漏洞实现越狱。
Corban Villa, Shujaat Mirza, Christina Pöpper会议页面 - 从威胁到信任：利用注意力机制攻防协同感知From Threat to Trust: Exploiting Attention Mechanisms for Attacks and Defenses in Cooperative Perception
SOMBRA 利用注意力融合实施隐蔽的目标移除攻击，成功率达 99%；LUCIA 以可信度感知注意力防御，大幅降低移除率。
Chenyi Wang, Raymond Muller, Ruoyu Song 等会议页面 - GradEscape：针对 AI 生成文本检测器的基于梯度的规避攻击GradEscape: A Gradient-Based Evader Against AI-Generated Text Detectors
提出首个基于梯度的 AIGT 检测器规避方法，在多个数据集和两个商用检测器上超过现有规避方法，并给出防御思路。
Wenlong Meng, Shuguo Fan, Chengkun Wei 等会议页面 - Crescendo：多轮 LLM 越狱攻击Great, Now Write an Article About That: The Crescendo Multi-Turn LLM Jailbreak Attack
提出看似无害、逐步升级对话的多轮越狱 Crescendo 及自动化工具，在多个主流模型上成功率高，并可越狱多模态模型。
Mark Russinovich, Ahmed Salem, Ronen Eldan会议页面 - 隐形但被检测：LiDAR 目标检测的物理对抗阴影攻击与防御Invisible but Detected: Physical Adversarial Shadow Attack and Defense on LiDAR Object Detection
Shadow Hack 利用物体阴影在 LiDAR 点云中实施攻击，仿真与实物均达到极高成功率；同时提出 BB-Validator 防御。
Ryunosuke Kobayashi, Kazuki Nomoto, Yuna Tanaka 等会议页面 - 留意不起眼之处：揭示对齐 LLM 拒答边界中的隐藏弱点Mind the Inconspicuous: Revealing the Hidden Weakness in Aligned LLMs' Refusal Boundaries
发现追加多个 eos token 会造成上下文分割并使输入逼近拒答边界，可提升 8 种越狱方法在 16 个开源模型上的成功率，主流商用 API 同样受影响。
Jiahao Yu, Haozheng Luo, Jerry Yao-Chieh Hu 等会议页面 - 眼中的幻象：仅利用注意力汇聚对多模态大模型的幻觉攻击Mirage in the Eyes: Hallucination Attack on Multi-modal Large Language Models with Only Attention Sink
利用 attention sink 生成可迁移的视觉对抗输入诱发幻觉，在 6 个 MLLM 及 GPT-4o、Gemini 1.5 上有效。
Yining Wang, Mi Zhang, Junjie Sun 等会议页面 - PAPILLON：基于模糊测试的高效隐蔽 LLM 越狱PAPILLON: Efficient and Stealthy Fuzz Testing-Powered Jailbreaks for LLMs
提出从空种子池出发的黑盒模糊测试越狱框架，对 GPT-3.5、GPT-4、Gemini-Pro 成功率超 90%、80%、74%，提示更短且语义连贯。
Xueluan Gong, Mingzhe Li, Yilin Zhang 等会议页面 - Red Bleed：针对人脸生物识别认证系统的近红外呈现攻击Red Bleed: A Pragmatic Near-Infrared Presentation Attack on Facial Biometric Authentication Systems
用不到 400 美元的定制 LCD 和 VAE 将可见光人脸转为近红外并换脸，成功攻破 Windows Hello 等商用近红外人脸认证，已获微软确认。
- 拒答并非选项：通过遗忘学习抹除大语言模型的安全对齐Refusal Is Not an Option: Unlearning Safety Alignment of Large Language Models
提出两种利用看似合法的 unlearning 请求破坏安全对齐的攻击，使 LLaMA 有害性平均升高 11 倍，对 GPT-4o 微调服务同样有效。
Minkyoo Song, Hanna Kim, Jaehan Kim 等会议页面 - SoK：动态深度学习系统的效率鲁棒性SoK: Efficiency Robustness of Dynamic Deep Learning Systems
首次系统梳理针对动态深度学习系统的效率攻击分类，涵盖三类动态行为，并指出现有防御对这类攻击存在局限。
Ravishka Rathnasuriya, Tingxi Li, Zexin Xu 等会议页面 - TwinBreak：基于孪生提示的 LLM 安全对齐越狱TwinBreak: Jailbreaking LLM Security Alignments based on Twin Prompts
把安全机制视为嵌入式后门，用结构相似的孪生提示定位并剪枝安全相关参数，在五家厂商 16 个 LLM 上成功率 89% 至 98%。
Torsten Krauß, Hamid Dashtbani, Alexandra Dmitrienko会议页面 - ML/AI 会议审稿人分配中文本匹配对串通攻击的脆弱性Vulnerability of Text-Matching in ML/AI Conference Reviewer Assignments to Collusions
证明即使没有竞标，串通的审稿人和作者也能利用基于机器学习的文本匹配分配机制被分到目标论文，并指出具体漏洞与改进建议。
- 当翻译器拒绝翻译：针对语音翻译系统的新型攻击When Translators Refuse to Translate: A Novel Attack to Speech Translation Systems
提出 untranslation 攻击，诱使语音翻译系统输出源语言内容而非译文，扰动预算 0.001 时成功率达 87.5%，并扩展为物理世界通用扰动攻击。
Haolin Wu, Chang Liu, Jing Chen 等会议页面
提示注入
4- Machine Against the RAG：用阻断文档干扰检索增强生成Machine Against the RAG: Jamming Retrieval-Augmented Generation with Blocker Documents
向知识库加入单个阻断文档即可让 RAG 拒绝回答特定查询，且无需指令注入或知道目标模型；现有安全指标无法衡量此脆弱性。
Avital Shafran, Roei Schuster, Vitaly Shmatikov会议页面 - 自解释对抗图像Self-interpreting Adversarial Images
提出针对视觉语言模型的跨模态间接注入攻击，图像内含隐藏元指令，可操控模型回答的风格与观点。
Tingwei Zhang, Collin Zhang, John X. Morris 等会议页面 - StruQ：用结构化查询防御提示注入StruQ: Defending Against Prompt Injection with Structured Queries
将提示与数据分为两个通道，并微调模型只遵循提示部分的指令，显著提升对提示注入的抵抗力，对效用几乎无影响。
Sizhe Chen, Julien Piet, Chawin Sitawarin 等会议页面 - TracLLM：长上下文 LLM 归因的通用框架TracLLM: A Generic Framework for Attributing Long Context LLMs
提出上下文溯源框架，定位长上下文中导致输出的文本，可用于提示注入等攻击的事后取证，效率与准确性优于现有归因方法。
Yanting Wang, Wei Zou, Runpeng Geng 等会议页面
- 以 Agent 对抗 Agent：自动检测 LLM Agent 中的污点型漏洞Make Agent Defeat Agent: Automatic Detection of Taint-Style Vulnerabilities in LLM-based Agents
提出 AgentFuzz 定向灰盒模糊测试，在 20 个开源 Agent 中发现 34 个高危 0-day，已分配 23 个 CVE。
Fengyu Liu, Yuan Zhang, Jiaqi Luo 等会议页面
防御与护栏
22- “因违反内容政策无法撰写”：生成式 AI 产品的内容审核政策与用户体验"I Cannot Write This Because It Violates Our Content Policy": Understanding Content Moderation Policies and User Experiences in Generative AI Products
分析 14 个生成式 AI 在线工具的审核政策及 Reddit 用户反馈，发现审核能拦截恶意生成，但失败与事后支持常令用户受挫。
Lan Gao, Oscar Chen, Rachel Lee 等会议页面 - 激活近似会给对齐 LLM 带来安全漏洞：全面分析与防御Activation Approximations Can Incur Safety Vulnerabilities in Aligned LLMs: Comprehensive Analysis and Defense
首次系统评估七种激活近似技术，发现十个对齐模型均出现安全退化，并提出 QuadA 方法缓解。
Jiawen Zhang, Kejia Chen, Lipeng He 等会议页面 - AGNNCert：以确定性认证防御图神经网络的任意扰动AGNNCert: Defending Graph Neural Networks against Arbitrary Perturbations with Deterministic Certification
首个针对边、节点和节点特征任意扰动的 GNN 确定性认证防御，适用于节点与图分类，并优于现有认证防御。
Jiate Li, Binghui Wang会议页面 - AudioMarkNet：用于深度伪造语音检测的音频水印AudioMarkNet: Audio Watermarking for Deepfake Speech Detection
在原始语音中嵌入水印，阻止其被用于 TTS 说话人自适应，从而可检出开源和商用 TTS 生成的伪造语音，并对自适应攻击保持鲁棒。
Wei Zong, Yang-Wai Chow, Willy Susilo 等会议页面 - CAMP：通过认证半径最大化实现可证明鲁棒的强化学习CAMP in the Odyssey: Provably Robust Reinforcement Learning with Certified Radius Maximization
提出 CAMP 训练范式，通过优化局部认证半径的代理损失，在不损失可证明鲁棒性的前提下，使 DRL 的认证期望回报最高提升约两倍。
Derui Wang, Kristen Moore, Diksha Goel 等会议页面 - CertPHash：通过鲁棒训练实现可认证的感知哈希CertPHash: Towards Certified Perceptual Hashing via Robust Training
提出首个可认证感知哈希系统，用抗规避、抗碰撞与功能性三项优化项训练，对规避和碰撞攻击给出可证明保证，并在违规内容检测中表现良好。
- CertTA：面向学习型流量分析的实用认证鲁棒性CertTA: Certified Robustness Made Practical for Learning-Based Traffic Analysis
提出多模态平滑机制，首次为流量分析模型提供针对多模态对抗扰动的认证鲁棒性，在六个模型上强于现有方法。
Jinzhu Yan, Zhuotao Liu, Yuyang Xie 等会议页面 - 以火攻火：面向对抗性 Android 恶意软件检测的持续攻击防御Fighting Fire with Fire: Continuous Attack for Adversarial Android Malware Detection
提出 HagDe，对样本沿梯度上升方向迭代扰动，利用对抗样本损失异常上升来检测，对 AdvDroidZero 和 BagAmmo 防御效果分别达 88.5% 和 90.7%。
- HateBench：在 LLM 生成内容与仇恨活动上评测仇恨言论检测器HateBench: Benchmarking Hate Speech Detectors on LLM-Generated Content and Hate Campaigns
构建含 7,838 条样本的数据集评测 8 个检测器，发现对新版 LLM 效果下降，且对抗与模型窃取攻击可规避检测，成功率最高 0.966。
Xinyue Shen, Yixin Wu, Yiting Qu 等会议页面 - JBShield：通过激活概念分析与操控防御 LLM 越狱攻击JBShield: Defending Large Language Models from Jailbreak Attacks through Activated Concept Analysis and Manipulation
基于线性表示假设分析越狱机制，提出同时检测并调整隐层表示的 JBShield，平均检测准确率 0.95，攻击成功率从 61% 降至 2%。
Shenyi Zhang, Yuchen Zhai, Keyan Guo 等会议页面 - Phantom：异构 TEE 与 GPU 系统中保护隐私的 DNN 模型混淆Phantom: Privacy-Preserving Deep Neural Network Model Obfuscation in Heterogeneous TEE and GPU System
用强化学习添加轻量混淆层，使未授权方准确率降到接近随机，抵御模型窃取与微调攻击，并在 SGX2 与 GPU 上降低 35% 延迟。
Juyang Bai, Md Hafizul Islam Chowdhuryy, Jingtao Li 等会议页面 - 面向大语言模型的提示混淆Prompt Obfuscation for Large Language Models
提出提示混淆，生成功能等价但不泄露原系统提示信息的表示，效用与原提示相当，三种去混淆攻击均无法提取有意义信息。
David Pape, Sina Mavali, Thorsten Eisenhofer 等会议页面 - 可证明鲁棒的 AI 生成文本多比特水印Provably Robust Multi-bit Watermarking for AI-generated Text
基于伪随机分段分配提出 LLM 文本水印，用于内容溯源；20 位消息嵌入 200 token 时匹配率达 97.6%，并给出抗编辑的理论保证。
Wenjie Qu, Wengrui Zheng, Tianyang Tao 等会议页面 - 用 PANTS 增强 ML 网络流量分类器的鲁棒性Robustifying ML-powered Network Classifiers with PANTS
PANTS 结合对抗 ML 与 SMT 求解器生成对抗输入，并用于对抗训练，找到对抗输入的概率优于基线，鲁棒性提升 52.7%。
Minhao Jin, Maria Apostolaki会议页面 - Scoop：缓解基于溯源的媒体认证中的重拍攻击Scoop: Mitigation of Recapture Attacks on Provenance-Based Media Authentication
利用深度传感与深度估计检测误导性重拍，在 iPhone 上准确率约 95%，三星手机 74%。
- SelfDefend：LLM 可实用地自我防御越狱SelfDefend: LLMs Can Defend Themselves against Jailbreaking in a Practical Manner
用影子 LLM 并行检测有害提示，并蒸馏出专用防御模型，优于七种现有防御，延迟低，对自适应越狱和提示注入也较稳健。
Xunguang Wang, Daoyuan Wu, Zhenlan Ji 等会议页面 - THEMIS：面向部署后端侧深度学习模型的实用知识产权保护THEMIS: Towards Practical Intellectual Property Protection for Post-Deployment On-Device Deep Learning Models
自动重构端侧只读模型的可写版本并嵌入水印以防模型窃取，在 403 个真实 App 上成功率 81.14%。
Yujin Huang, Zhi Zhang, Qingchuan Zhao 等会议页面 - 理解并增强 DNN 模型所有权验证中训练证明（PoT）的安全性Towards Understanding and Enhancing Security of Proof-of-Training for DNN Model Ownership Verification
对 PoT 方案做形式化攻击建模，推导通用区分准则并据此构造 PoT 方案，能抵御已攻破现有方案的攻击。
Yijia Chang, Hanrui Jiang, Chao Lin 等会议页面 - 不安全的 LLM 搜索：AI 网页搜索安全风险的量化分析与缓解Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
对七个商用 AI 搜索引擎做首次安全风险量化，发现良性查询也常返回恶意 URL，并提出基于 Agent 的防御，仅损失约 10.7% 可用信息。
Zeren Luo, Zifan Peng, Yule Liu 等会议页面 - USD：基于场景图的文生图模型 NSFW 内容检测USD: NSFW Content Detection for Text-to-Image Models via Scene Graph
利用场景图生成与分类识别图像中的有害实体与关系，F1 平均高出基线 95.52%，并可定位并移除 95% 的有害内容。
Yuyang Zhang, Kangjie Chen, Xudong Jiang 等会议页面 - VAPD：具备对抗鲁棒性的 PDF 恶意软件取证异常检测模型VAPD: An Anomaly Detection Model for PDF Malware Forensics with Adversarial Robustness
基于重构误差的异常检测模型，用于识别恶意 PDF 并定位异常区域，准确率 99.54%，在四种对抗攻击框架下鲁棒性优于现有工作。
- VoiceWukong：深度伪造语音检测基准VoiceWukong: Benchmarking Deepfake Voice Detection
构建含 41 万余条中英文深伪语音的基准，评测 12 个检测器，最佳 EER 为 13.50%，其余均超 20%，真实场景下性能大幅下降；MLLM 无检测能力。
Ziwei Yan, Yanjie Zhao, Haoyu Wang会议页面
对齐
1- 弥合视觉语言模型跨模态识别不安全概念的差距Bridging the Gap in Vision Language Models in Identifying Unsafe Concepts Across Modalities
构建 UnsafeConcepts 数据集评测 8 个 VLM，发现存在模态差距，并用基于 PPO 的简化 RL 方法提升图像上的不安全概念识别。
Yiting Qu, Michael Backes, Yang Zhang会议页面
后门与投毒
17- AUDIO WATERMARK：面向黑盒语音数据集版权保护的动态无害水印AUDIO WATERMARK: Dynamic and Harmless Watermark for Black-box Voice Dataset Copyright Protection
用风格迁移生成动态水印并借助 OOD 特征避免植入有害后门，在黑盒模型上验证成功率达 95%，并能抵御 8 种攻击场景。
Hanqing Guo, Junfeng Guo, Bocheng Chen 等会议页面 - 向 Stable Diffusion 模型植入偏见后门（B^2）Backdooring Bias (B^2) into Stable Diffusion Models
用少量带自然文本触发词的恶意样本向扩散模型注入任意偏见，成本仅 10–15 美元，且难以在不知偏见的情况下检测。
Ali Naseh, Jaechul Roh, Eugene Bagdasarian 等会议页面 - 数据复制：机器遗忘中的一种多用途攻击范式Data Duplication: A Novel Multi-Purpose Attack Paradigm in Machine Unlearning
攻击者复制训练子集后请求遗忘，发现重训练在某些条件下失效、遗忘会导致模型退化，且近重复样本可绕过去重检测。
Dayong Ye, Tianqing Zhu, Jiayang Li 等会议页面 - DeBackdoor：数据受限下检测深度模型后门的演绎框架DeBackdoor: A Deductive Framework for Detecting Backdoor Attacks on Deep Models with Limited Data
通过优化平滑的攻击成功率目标演绎搜索触发器，仅需前向传播即可逆向后门，在多种攻击与模型上检测效果近乎完美。
Dorde Popovic, Amin Sadeghi, Ting Yu 等会议页面 - EmbedX：针对大语言模型的基于嵌入的跨触发器后门攻击EmbedX: Embedding-Based Cross-Trigger Backdoor Attack Against Large Language Models
用连续嵌入向量作为软触发器，将多个 token 映射到同一后门通路，并以潜在对抗机制保证隐蔽性，在四个 LLM 上有效且保持可用性。
Nan Yan, Yuqing Li, Xiong Wang 等会议页面 - 从纯净到危险：用“无害”良性组件给合并模型植入后门From Purity to Peril: Backdooring Merged Models From "Harmless" Benign Components
提出 MergeBackdoor，使上游模型看似良性，合并后后门成功率接近 1.0，且现有检测难以发现异常。
Lijin Wang, Jingjing Wang, Tianshuo Cong 等会议页面 - GPUHammer：针对 GPU 显存的 Rowhammer 攻击切实可行GPUHammer: Rowhammer Attacks on GPU Memories are Practical
首次在 NVIDIA GDDR6 GPU 上实现 Rowhammer 攻击，注入比特翻转并篡改 ML 模型，使准确率最多下降 80%。
- LightShed：击破基于扰动的图像版权保护LightShed: Defeating Perturbation-based Image Copyright Protections
提出通用去毒攻击，识别并去除 NightShade、Glaze 等保护扰动，检测 NightShade 的 TPR 达 99.98%，揭示现有保护方案的局限。
Hanna Foerster, Sasha Behrouzi, Phillip Rieger 等会议页面 - 神经隐身斗篷：通过被攻陷的 AI 图像信号处理在图像中隐藏攻击者Neural Invisibility Cloak: Concealing Adversary in Images via Compromised AI-driven Image Signal Processing
通过数据投毒在 AI 驱动的 ISP 模型中植入后门，使穿特定斗篷的人在输出图像中被完全抹除，并在真实场景中验证。
Wenjun Zhu, Xiaoyu Ji, Xinfeng Li 等会议页面 - 利用良性提示从文生图模型主动生成不安全图像On the Proactive Generation of Unsafe Images From Text-To-Image Models Using Benign Prompts
研究通过投毒篡改文生图模型，使良性提示生成不安全图像，分析副作用成因并提出兼顾隐蔽性与效果的投毒方法。
Yixin Wu, Ning Yu, Michael Backes 等会议页面 - 持续学习中的持久后门攻击Persistent Backdoor Attacks in Continual Learning
提出 Blind Task 与 Latent Task 两种持久后门，在多种持续学习算法下成功率高，并能规避 SentiNet、I-BAU 等防御。
Zhen Guo, Abhinav Kumar, Reza Tourani会议页面 - PoiSAFL：针对拜占庭鲁棒半异步联邦学习的可扩展投毒攻击框架PoiSAFL: Scalable Poisoning Attack Framework to Byzantine-resilient Semi-asynchronous Federated Learning
提出隐蔽投毒框架，通过三个模块构造不可检测的恶意模型，可击败三类典型拜占庭鲁棒防御。
Xiaoyi Pang, Chenxu Zhao, Zhibo Wang 等会议页面 - PoisonedRAG：针对大模型检索增强生成的知识污染攻击PoisonedRAG: Knowledge Corruption Attacks to Retrieval-Augmented Generation of Large Language Models
向知识库注入少量恶意文本即可诱导 LLM 输出攻击者指定答案，每个目标问题注入 5 条文本攻击成功率达 90%，现有防御不足。
Wei Zou, Runpeng Geng, Binghui Wang 等会议页面 - 重新审视后门攻击中训练与推理触发器的强度Revisiting Training-Inference Trigger Intensity in Backdoor Attacks
发现训练与推理触发器强度不匹配反而能增强攻击并提升隐蔽性，混合强度训练使最坏情况攻击成功率从 10.61% 升至 92.77%。
Chenhao Lin, Chenyang Zhao, Shiwei Wang 等会议页面 - 基于 Rowhammer 的木马注入：翻转一个比特即可给 DNN 植入后门Rowhammer-Based Trojan Injection: One Bit Flip Is Sufficient for Backdooring DNNs
提出 ONEFLIP，仅翻转全精度模型的单个比特即可植入后门，攻击成功率平均 99.6%，且能抵御后门防御。
Xiang Li, Ying Meng, Junming Chen 等会议页面 - Topic-FlipRAG：面向 RAG 模型的主题导向对抗性观点操纵攻击Topic-FlipRAG: Topic-Orientated Adversarial Opinion Manipulation Attacks to Retrieval-Augmented Generation Models
两阶段攻击通过对抗扰动系统性地扭转 RAG 在特定主题上的输出观点，现有缓解方法难以防御。
Yuyang Gong, Zhuo Chen, Jiawei Liu 等会议页面 - 看好守卫者！增强鲁棒性的扩散模型的安全风险Watch the Watchers! On the Security Risks of Robustness-Enhancing Diffusion Models
提出 DIFF2 攻击，在扩散采样中植入恶意过程，显著削弱对抗净化与鲁棒性认证的效果。
Changjiang Li, Ren Pang, Bochuan Cao 等会议页面
隐私与数据泄露
48- Aion：抵御恶意参与者的多轮单掩码安全聚合Aion: Robust and Efficient Multi-Round Single-Mask Secure Aggregation Against Malicious Participants
提出高效鲁棒的单掩码安全聚合方案，容忍恶意客户端与聚合器并抵御投毒，速度较 Flamingo 提升 563.64 倍。
Yizhong Liu, Zixiao Jia, Zian Jin 等会议页面 - BarraCUDA：边缘 GPU 确实会泄露 DNN 权重BarraCUDA: Edge GPUs do Leak DNN Weights
利用卷积部分和的电磁侧信道相关分析，从 Nvidia Jetson 上运行的真实 CNN 中恢复模型参数。
- 是大帮手还是老大哥？审计生成式 AI 助手的追踪、画像与个性化Big Help or Big Brother? Auditing Tracking, Profiling, and Personalization in Generative AI Assistants
审计九个 GenAI 浏览器助手，发现它们常把完整网页内容和表单输入发给服务器，部分还与第三方追踪器共享，并推断用户属性用于个性化。
Yash Vekaria, Aurelio Loris Canino, Jonathan Levitsky 等会议页面 - 增强梯度泄露攻击：真实联邦学习场景下的数据重建Boosting Gradient Leakage Attacks: Data Reconstruction in Realistic FL Settings
提出 FEDLEAK，用部分梯度匹配和梯度正则化，在真实联邦学习设置下仍能高保真重建客户端数据，揭示显著隐私漏洞。
Mingyuan Fan, Fuyi Wang, Cen Chen 等会议页面 - Bot 会窥探：群聊中聊天机器人的隐私风险发现与缓解Bots can Snoop: Uncovering and Mitigating Privacy Risks of Bots in Group Chats
分析发现群聊 chatbot 常读取远超所需的消息，并可跨群关联用户；提出 SnoopGuard 协议，支持选择性消息访问和发送者匿名，同时保持端到端安全。
- 跨模态提示反演：统一针对文本与图像生成模型的威胁Cross-Modal Prompt Inversion: Unifying Threats to Text and Image Generative AI Models
提出统一的提示反演方法，先训练反演模型再用强化学习微调，可从输出重建文本和图像模型的提示，并扩展到视频，优于各自的最优方法。
Dayong Ye, Tianqing Zhu, Feng He 等会议页面 - 无数据的模型相关攻击：释放生成式 AI 的潜力Data-Free Model-Related Attacks: Unleashing the Potential of Generative AI
利用生成式 AI 在无数据、黑盒条件下发动模型提取、成员推断与模型反演攻击，效果可比拥有训练数据和参数的白盒基线。
Dayong Ye, Tianqing Zhu, Shang Wang 等会议页面 - 深度带来虚假的隐私感：LLM 内部状态反演Depth Gives a False Sense of Privacy: LLM Internal States Inversion
提出四种针对 LLM 内部状态的反演攻击，能从中间层还原输入，如 Llama-3 中间层还原长医疗提示 F1 达 86.88，现有防御无法完全阻止。
Tian Dong, Yan Meng, Shaofeng Li 等会议页面 - 差异化隐私脆弱性：定向属性推断攻击与防御Disparate Privacy Vulnerability: Targeted Attribute Inference Attacks and Defenses
提出 disparity inference 攻击识别高风险群体，并给出首批定向属性推断攻击，准确率显著更高，同时提出兼顾模型性能的缓解技术。
Ehsanul Kabir, Lucas Craig, Shagufta Mehnaz会议页面 - 图神经网络中的分布式私有聚合Distributed Private Aggregation in Graph Neural Networks
提出基于安全多方计算的 DPA 聚合方法，保证节点级差分隐私，在六个数据集上优于现有隐私保护 GNN。
- DP-BREM：基于客户端动量的差分隐私与拜占庭鲁棒联邦学习DP-BREM: Differentially-Private and Byzantine-Robust Federated Learning with Client Momentum
用客户端动量同时实现差分隐私和拜占庭鲁棒，并通过安全聚合去除可信服务器假设，隐私-效用权衡更优。
Xiaolan Gu, Ming Li, Li Xiong会议页面 - 基于增强少样本学习的 LLM PII 高效提取Effective PII Extraction from LLMs through Augmented Few-Shot Learning
提出无需微调或越狱的少样本 PII 提取方法，非定向提取成功率 48.9%、每条约 0.012 美元，定向提取比现有方法高 10% 至 60%。
Shuai Cheng, Shu Meng, Haitao Xu 等会议页面 - 更少查询的增强型 label-only 成员推断攻击Enhanced Label-Only Membership Inference Attacks with Fewer Queries
提出 DHAttack，围绕单样本到固定点的边界距离做成员推断，仅需 5 至 30 次查询，部分情况下 [email protected]%FPR 比基线高一个数量级以上。
Hao Li, Zheng Li, Siyuan Wu 等会议页面 - 评估基于 LLM 的个人信息提取及其对策Evaluating LLM-based Personal Information Extraction and Countermeasures
系统评测 LLM 从公开资料中提取个人信息的攻击，发现其优于传统方法，并提出基于提示注入的缓解策略，可将攻击降至传统方法水平。
Yupei Liu, Yuqi Jia, Jinyuan Jia 等会议页面 - 用户对通用 LLM 聊天机器人用于心理健康的安全与隐私态度Exploring User Security and Privacy Attitudes and Concerns Toward the Use of General-Purpose LLM Chatbots for Mental Health
通过 21 次访谈发现用户缺乏风险意识，误以为受 HIPAA 保护，并提出“无形脆弱性”概念与保护建议。
- 仅供人耳：防止对语音数据的自动化监控For Human Ears Only: Preventing Automated Monitoring on Voice Data
提出硬件麦克风模块 VoiceSecure，实时调整语音修改以掩盖说话人身份和内容，使说话人验证与语音识别模型失效，同时保持人耳可懂。
Irtaza Shahid, Nirupam Roy会议页面 - 翻译中的发现：用生成式语言模型攻击内存访问模式Found in Translation: A Generative Language Modeling Approach to Memory Access Pattern Attacks
FIT 攻击用编码器-解码器模型利用页面访问序列的相关性，在机密计算环境中还原 AI/ML 推理和语义搜索的对象访问，准确率 71.7% 至 99.9%。
- 基于训练产物的免费记录级隐私风险评估Free Record-Level Privacy Risk Evaluation Through Artifact-Based Methods
提出 LT-IQR，利用训练中的逐样本 loss 轨迹识别最易受成员推断攻击的样本，无需额外训练 shadow model，precision@1% 达 92%。
Joseph Pollock, Igor Shilov, Euodia Dodd 等会议页面 - 从风险到韧性：评估并缓解联邦学习中的数据重建攻击风险From Risk to Resilience: Towards Assessing and Mitigating the Risk of Data Reconstruction Attacks in Federated Learning
提出 InvLoss 量化数据重建攻击风险上界，开发风险估计器 InvRE 与两种自适应噪声防御。
Xiangrui Xu, Zhize Li, Yufei Han 等会议页面 - Game of Arrows：端侧 TEE 保护 LLM 分区方案中权重混淆的（不）安全性Game of Arrows: On the (In-)Security of Weight Obfuscation for On-Device TEE-Shielded LLM Partition Algorithms
提出 ArrowMatch 利用方向相似性恢复被混淆的私有权重，准确率超 98%，并提出 ArrowCloak 作为防御。
Pengli Wang, Bingyou Dong, Yifeng Cai 等会议页面 - 虚假隐私的生成数据：用生成数据微调 LLM 的隐藏风险Generated Data with Fake Privacy: Hidden Dangers of Fine-tuning Large Language Models on Generated Data
实证发现用 LLM 生成数据微调并不更私密：Pythia 的 PII 提取成功率上升超 20%，自指令微调后 MIA 的 ROC-AUC 提升超 40%。
Atilla Akkus, Masoud Poorghaffar Aghdam, Mingjie Li 等会议页面 - 我知道你说了什么：本地 LLM 推理中的硬件缓存侧信道I Know What You Said: Unveiling Hardware Cache Side-Channels in Local Large Language Model Inference
发现本地 LLM 推理中 token 值与位置的缓存侧信道泄露，设计无需特权的窃听攻击，还原输入输出文本的余弦相似度约 98%。
Zibo Gao, Junjie Hu, Feng Guo 等会议页面 - LLMmap：大语言模型指纹识别LLMmap: Fingerprinting for Large Language Models
通过主动发送精心设计的查询，仅需约 8 次交互即可以超过 95% 的准确率识别 42 种 LLM 版本，且对系统提示和 RAG 等场景稳健。
Dario Pasquini, Evgenios M. Kornaropoulos, Giuseppe Ateniese会议页面 - 恶意 LLM 对话 AI 诱使用户泄露个人信息Malicious LLM-Based Conversational AI Makes Users Reveal Personal Information
对502名参与者的对照试验表明,恶意设计的对话 AI 比良性 AI 套取更多个人信息,其中利用隐私社会属性的策略最有效且风险感知最低。
- 针对视觉语言模型的成员推断攻击Membership Inference Attacks Against Vision-Language Models
首次研究 VLM 指令微调数据的成员推断，利用样本对 temperature 的敏感性提出四种方法，在 LLaVA 上仅 5 个样本即可达到 AUC 超过 0.8。
Yuke Hu, Zheng Li, Zhihao Liu 等会议页面 - NeuroScope：基于动态分析逆向边缘设备上的深度神经网络NeuroScope: Reverse Engineering Deep Neural Network on Edge Devices using Dynamic Analysis
用动态分析和机器学习逆向 DNN 二进制，支持多种编译器与平台，可恢复专有模型并支撑灰盒对抗攻击。
- Pretender：针对扩散模型微调攻击的通用主动防御Pretender: Universal Active Defense against Diffusion Finetuning Attacks
将主动防御建模为双层优化，向图像加入微小保护噪声，使各类微调攻击合成的图像质量与语义被破坏。
Zekun Sun, Zijian Liu, Shouling Ji 等会议页面 - PrivacyXray：通过语义一致性与概率确定性检测 LLM 隐私泄露PrivacyXray: Detecting Privacy Breaches in LLMs through Semantic Consistency and Probability Certainty
基于 LLM 内部状态的层内与层间语义相似度及概率分布检测隐私泄露，在五个 LLM 上平均准确率 92.69%，比现有方法高 20.06%。
Jinwen He, Yiyang Lu, Zijin Lin 等会议页面 - Private Investigator：用优化提示从 LLM 中提取个人身份信息Private Investigator: Extracting Personally Identifiable Information from Large Language Models Using Optimized Prompts
提出优化提示生成与选择策略的攻击框架，从微调模型中提取 PII，比现有攻击多提取最多 1,254 个邮箱、634 个电话和 5,087 个姓名。
Seongho Keum, Dongwon Shin, Leo Marchyok 等会议页面 - PRSA：针对真实提示服务的提示窃取攻击PRSA: Prompt Stealing Attacks against Real-World Prompt Services
提出 PRSA 攻击框架，仅凭少量输入输出推断提示意图并复现功能，在提示市场攻击成功率由 17.8% 升至 46.1%，并给出两种防御思路。
Yong Yang, Changjiang Li, Qingming Li 等会议页面 - 修正机器遗忘中的隐私与效果度量：一种新的推断攻击视角Rectifying Privacy and Efficacy Measurements in Machine Unlearning: A New Inference Attack Perspective
提出 RULI 框架，用双目标攻击在逐样本粒度上度量遗忘效果与隐私风险，发现现有遗忘基准中的隐私风险被低估。
Nima Naderloui, Shenao Yan, Binghui Wang 等会议页面 - Refiner：抵御联邦学习梯度泄露攻击的数据精炼防御Refiner: Data Refining against Gradient Leakage Attacks in Federated Learning
不扰动梯度而是构造与原始数据语义差异大、梯度对齐的鲁棒数据，在多个数据集上有效抵御最先进的梯度泄露攻击。
Mingyuan Fan, Cen Chen, Chengyu Wang 等会议页面 - SafeSpeech：针对恶意语音合成的鲁棒通用语音保护SafeSpeech: Robust and Universal Voice Protection Against Malicious Speech Synthesis
提出 SPEC 技术，在上传前给语音嵌入不可察觉扰动以阻止声音克隆，对多种合成模型有效且能抵御自适应对手，可实时运行。
Zhisheng Zhang, Derui Wang, Qianyi Yang 等会议页面 - SEAF：面向两方安全推理的动态精度激活函数安全计算SEAF: Secure Evaluation on Activation Functions with Dynamic Precision for Secure Two-Party Inference
提出线性近似加动态精度的激活函数安全求值框架，GELU 等函数显著快于 Iron 和 Bolt，不再成为安全推理瓶颈。
- 锐度感知初始化：从基本原理改进差分隐私机器学习Sharpness-Aware Initialization: Improving Differentially Private Machine Learning from First Principles
提出 SAI 两阶段训练，通过更平坦的损失面缓解 DP 噪声影响，在 CIFAR-10（ε=1）上提升超过 6% 准确率。
Zihao Wang, Rui Zhu, Dongruo Zhou 等会议页面 - SLOTHE：加密数据上非算术神经网络函数的惰性近似SLOTHE : Lazy Approximation of Non-Arithmetic Neural Network Functions over Encrypted Data
提出惰性近似方法，在 FHE 下对 BERT 类模型推理降低近似误差并提升精度与延迟，也可用于 MPC 协议。
Kevin Nam, Youyeon Joo, Seungjin Ha 等会议页面 - SOFT：选择性数据混淆保护 LLM 微调免受成员推断攻击SOFT: Selective Data Obfuscation for Protecting LLM Fine-tuning against Membership Inference Attacks
先系统评估微调 LLM 对 MIA 的脆弱性，发现攻击利用微调中的损失下降，再提出 SOFT 选择性混淆数据，在六个领域平衡隐私与性能。
Kaiyuan Zhang, Siyuan Cheng, Hanxi Guo 等会议页面 - SoK：合成图像能否取代真实数据？合成图像生成的效用与隐私综述SoK: Can Synthetic Images Replace Real Data? A Survey of Utility and Privacy of Synthetic Image Generation
系统梳理合成图像生成方法、隐私攻击与缓解，并用成员推断攻击建立基准，评估合成数据的效用与隐私权衡。
- SoK：针对机器学习模型的数据重建攻击——定义、度量与基准SoK: Data Reconstruction Attacks Against Machine Learning Models: Definition, Metrics, and Benchmark
为视觉领域的数据重建攻击提出统一分类与形式化定义、量化度量及用 LLM 辅助的视觉评估，并建立评测基准。
Rui Wen, Yiyong Liu, Michael Backes 等会议页面 - SoK：联邦学习中的梯度反演攻击SoK: Gradient Inversion Attacks in Federated Learning
系统梳理梯度反演攻击的威胁模型、分类、防御机制与评估指标，并指出关键挑战与未来方向。
Vincenzo Carletti, Pasquale Foggia, Carlo Mazzocca 等会议页面 - SoK：联邦学习中的梯度泄露SoK: On Gradient Leakage in Federated Learning
系统梳理梯度反演攻击并在多种设置下评估，发现其在实际训练中受限、脆弱且易于防御。
Jiacheng Du, Jiahui Hu, Zhibo Wang 等会议页面 - Suda：面向纵向隐私保护机器学习的高效安全非平衡数据对齐框架Suda: An Efficient and Secure Unbalanced Data Alignment Framework for Vertical Privacy-Preserving Machine Learning
基于多项式运算的安全数据对齐框架，通信量比现有方法少 31 至 210 倍，运行时间最多快 8.21 倍。
- 面向云端模型训练的任务导向训练数据隐私保护Task-Oriented Training Data Privacy Protection for Cloud-based Model Training
为上传数据加入对抗优化噪声，实现任务级使用控制：阻止未授权训练，目标任务精度仅下降约 1.8%。
Zhiqiang Wang, Jiahui Hou, Haifeng Sun 等会议页面 - 重新评估实践中的数据伪造攻击Towards a Re-evaluation of Data Forging Attacks in Practice
分析数据伪造攻击在实践与理论上的局限：现有方法无法产生足够一致的梯度，容易被验证者发现；在合法取值域内找到等梯度小批量并不容易。
Mohamed Suliman, Anisa Halimi, Swanand Ravindra Kadhe 等会议页面 - 面向预训练大语言模型的仅标签成员推断攻击Towards Label-Only Membership Inference Attack against Pre-trained Large Language Models
提出 PETAL，用逐 token 语义相似度近似输出概率并计算困惑度，仅凭生成文本即可推断成员，效果可比基于 logits 的攻击。
Yu He, Boheng Li, Liu Liu 等会议页面 - 迈向全生命周期遗忘承诺管理：度量样本级 unlearning 完整性Towards Lifecycle Unlearning Commitment Management: Measuring Sample-level Unlearning Completeness
提出 IAM 框架，用单个 shadow 模型度量样本级遗忘完整性，可扩展到 LLM，并发现近似 unlearning 算法普遍存在过度或不足遗忘风险。
Cheng-Long Wang, Qi Li, Zihang Xiang 等会议页面 - 释放差分隐私零阶优化在 LLM 微调中的潜力Unlocking the Power of Differentially Private Zeroth-order Optimization for Fine-tuning LLMs
提出 DP-AggZO，缓解裁剪造成的偏差，在相同隐私约束下获得更好的收敛率与模型效用。
Ergute Bao, Yangfan Jiang, Fei Wei 等会议页面 - Whispering Under the Eaves：针对商用与 LLM 驱动 ASR 系统的用户隐私保护Whispering Under the Eaves: Protecting User Privacy Against Commercial and LLM-powered Automatic Speech Recognition Systems
提出 AudioShield，在潜空间生成可迁移通用对抗扰动保护实时语音，在四个商用 ASR API 与 LLM 驱动 ASR 上有效，音质较好并能抵御自适应对策。
Weifei Jin, Yuxin Cao, Junjie Su 等会议页面
供应链安全
1- 我们有个包给你！代码生成 LLM 的包幻觉全面分析We Have a Package for You! A Comprehensive Analysis of Package Hallucinations by Code Generating LLMs
评估 16 个 LLM 生成的 57.6 万代码样本，商业模型幻觉包率至少 5.2%、开源模型 21.7%，并验证了缓解策略。
Joseph Spracklen, Raveen Wijewickrama, A H M Nazmus Sakib 等会议页面
AI 与网络攻防
9- 验证码还难倒机器人吗？基于 Agent 视觉语言模型的通用视觉验证码破解Are CAPTCHAs Still Bot-hard? Generalized Visual CAPTCHA Solving with Agentic Vision Language Model
提出基于 VLM 的通用解题器 Halligan，对 26 类视觉验证码的 2600 个挑战解出率 60.7%，并渗透真人验证码农场。
Xiwen Teoh, Yun Lin, Siqi Li 等会议页面 - Cloak, Honey, Trap：针对 LLM Agent 的主动防御Cloak, Honey, Trap: Proactive Defenses Against LLM Agents
利用 LLM 的偏差、记忆限制等弱点，以伪装、蜜罐 token 和陷阱对抗自动渗透测试 Agent，在 11 台 CTF 机器上 100% 成功，并开源 CHeaT 工具。
Daniel Ayzenshteyn, Roy Weiss, Yisroel Mirsky会议页面 - ELFuzz：通过 LLM 驱动的 fuzzer 空间合成实现高效输入生成ELFuzz: Efficient Input Generation via LLM-driven Synthesis Over Fuzzer Space
用 LLM 驱动的覆盖率引导进化自动合成生成式 fuzzer，覆盖率最高提升 434.8%，并在 cvc5 上发现 5 个 0-day。
- 基于 LLM 约束求解的混合语言处理器模糊测试Hybrid Language Processor Fuzzing via LLM-Based Constraint Solving
HLPFuzz 用 LLM 求解复杂约束，在 9 个语言处理器中发现 52 个 bug，覆盖率最高领先 190%。
- LLMxCPG：基于代码属性图引导大语言模型的上下文感知漏洞检测LLMxCPG: Context-Aware Vulnerability Detection Through Code Property Graph-Guided Large Language Models
结合代码属性图切片与 LLM 做漏洞检测，代码量缩减 67.84–90.93%，F1 较基线提升 15–40%，对语法改动保持稳健。
- 用 LLM 合成输入生成器实现低成本、全面的非文本输入 fuzzingLow-Cost and Comprehensive Non-textual Input Fuzzing with LLM-Synthesized Input Generators
G²FUZZ 让 LLM 合成并变异 Python 输入生成器，再由 AFL++ 做局部变异；在覆盖率和找 bug 上优于现有工具，发现 10 个新 bug，3 个获 CVE。
- 使用大语言模型进行密码猜测Password Guessing Using Large Language Models
PassLLM 用 LoRA 微调 LLM 覆盖四类密码猜测场景，在 11 个真实数据集上成功率高于现有最佳方法。
- TORCHLIGHT：揭示隐藏于 Tor 网络中针对无云 IoT 设备的真实攻击TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
结合 LLM 思维链分析 Tor 流量检测针对 IoT 的威胁，12 个月内发现 45 个漏洞，其中 29 个为零日。
- 当 LLM 联网：联网 LLM 的新兴威胁When LLMs Go Online: The Emerging Threat of Web-Enabled LLMs
评估联网 LLM Agent 在个人信息网络攻击中的威力：PII 收集精度达 95.9%，仿冒帖 93.9% 被判为真实，钓鱼点击率提升 46.67%，现有防护不足。
Hanna Kim, Minkyoo Song, Seung Ho Na 等会议页面
红队
3- 分析 AI 脱衣应用生态Analyzing the AI Nudification Application Ecosystem
系统研究20个热门 AI 脱衣网站的定位、宣传功能与变现基础设施,为相关政策与技术讨论提供数据。
- 刻画 MrDeepFakes 性深度伪造交易市场Characterizing the MrDeepFakes Sexual Deepfake Marketplace
系统分析最大的性深度伪造市场的经济模式、受害目标与创作讨论，发现规则执行松散，并揭示此前未记录的攻击动机与资源获取手法。
- 从 Meme 到威胁：开源视觉语言模型的仇恨 Meme 理解与诱导仇恨内容生成From Meme to Threat: On the Hateful Meme Understanding and Induced Hateful Content Generation in Open-Source Vision Language Models
评估 7 个开源 VLM 对仇恨 meme 的理解，发现其缺乏有效拒答防护，易被滥用生成仇恨言论，部分输出被判定有害。
Yihan Ma, Xinyue Shen, Yiting Qu 等会议页面