Cyber Security Daily Radar

本论文聚焦于基于规则的入侵检测系统（如 Suricata）在规则编写环节的瓶颈问题：编写高质量检测规则需要深厚的专家经验，且规则产出速度难以跟上新兴威胁的演进节奏。现有基于大语言模型（LLM）的方案虽然能降低分析员负担，但存在两类缺陷：一是依赖已经整理好的威胁情报，而这类情报往往是在底层流量痕迹已经出现之后才产生的，无法用于对已有捕获流量的即时规则挖掘；二是需要高成本的 LLM 调用，却缺乏足够的质量把关机制，生成的规则常常无法落地。针对这些问题，作者提出 RuleAutoPilot——一个端到端的智能体（agentic）框架，能够直接从恶意软件的原始网络流量（PCAP）中合成可部署的 Suricata 规则，全程不需要任何先验威胁情报。该框架识别出的一个核心挑战是噪声问题：真实抓包中往往只有极小比例是与安全相关的流量，其余大部分是背景流量，这会显著降低 LLM 的推理质量并推高成本。为此，RuleAutoPilot 引入“良性流量指纹”（Benign Traffic Fingerprinting）阶段，在送入 LLM 之前先剔除已知的良性背景会话，从而压缩输入、降低成本并提升推理聚焦度。在规则生成之后，框架设置了可执行验证与结构化反馈驱动的自动修复闭环：对语法检查不通过、无法在源流量上触发、或在良性语料上产生误报的规则自动进行迭代修复。实验方面，作者在 1,296 个恶意 PCAP 上评估，引入基于实际执行的验证后，规则质量 F1 从 0.443 提升到 0.539；在一个分层抽样的 200 个 PCAP 子集上，使用开源权重模型 gpt-oss-120b 的 RuleAutoPilot 达到 0.524 F1，接近在 Claude Code 环境下运行的 Claude Opus 5 的 0.623 F1，但计费 token 成本低 52 倍。若仅将骨干模型替换为 Claude Opus 5，RuleAutoPilot 以 0.656 F1 反超 Claude Code 的 0.623，且 token 消耗减少 40 倍。作者进一步指出，更强的骨干模型会提升 RuleAutoPilot 自身的天花板，但在同一骨干模型下其脚手架（scaffold）仍优于 Claude Code，说明脚手架设计与骨干模型能力是相互独立的两个增益来源。适合检测工程、蓝队运营、IDS 规则维护以及 LLM 智能体应用研究者阅读。

检索增强生成（RAG）通过在生成阶段引入外部知识库的检索结果，显著降低了大型语言模型的幻觉与事实性错误，已成为提升 LLM 输出质量的主流范式。然而近期研究揭示了一个关键隐私漏洞：攻击者可构造特定查询，借助检索环节从底层语料库中提取个人可识别信息（PII）。RAG-CT 针对该威胁提出一种轻量级防御方案，其核心思路是不改动底层 LLM 与检索器，而是对进入系统的查询进行统计特征分析——考察查询在熵（entropy）与间隔（margin）维度上的分布差异，并采用基于分数的检测方法（score-based detection）判定其是否为恶意查询。换言之，该方法将“隐私窃取型查询”视为一类可被统计指纹识别的异常输入，通过在生成前进行拦截来阻断 PII 泄漏链路。作者在两个数据集上，使用四种当前先进的攻击策略与四种防御基线开展详尽对比实验，结果表明 RAG-CT 在显著降低 PII 泄漏量的同时，整体表现优于现有防御方案。论文定位为一种无需修改模型权重、无需改动检索组件的即插即用式防护机制，部署成本低，适合在既有 RAG 服务上快速叠加。整体而言，该工作从输入侧统计检测的角度补充了 RAG 安全防护思路，与输出侧过滤、检索结果审查等方案形成互补。

本文研究神经网络模型窃取中的一个经典问题：密码分析式提取（cryptanalytic extraction）。这类攻击仅凭对模型原始输出（如 logits 或完整概率向量）的黑盒访问，就能恢复网络参数。然而，以往所有此类攻击都建立在一个根本性假设之上——攻击者已经知道目标网络的架构，例如对于基于 ReLU 激活的全连接网络，攻击者事先知道网络深度以及每个隐藏层的维度。本文要回答的核心问题是：这一架构先验假设能否被去掉？作者聚焦 ReLU 全连接网络，提出一个“猜测—确定（guess-and-determine）”框架，把架构恢复与参数恢复联合起来完成，而不是先知道架构再恢复参数。其核心是一组简单但有力的观察：对隐藏层维度进行猜测时，会在参数恢复流程中留下对维度和架构高度敏感的痕迹。作者识别出两类这样的痕迹：其一是在签名恢复（signature recovery）产生的合并权重向量中出现“零后缀（zero suffix）”，其后缀长度能够揭示猜测维度相对于真实维度的超出量；其二是在基于原像的符号恢复（preimage-based sign recovery）中出现的“等式模式（equality pattern）”，该模式仅在维度猜测正确时才出现。这两类信号分别对应两条互补的恢复路径，使攻击者既能判断猜测是否过大，也能确认猜测是否正确。此外，作者还提出两条用于识别倒数第二层的判定准则，因为只有准确定位该层，才能在正确深度上终止猜测过程。作者在大量 ReLU 网络上实现了端到端攻击，覆盖扩张型（expansive）与非扩张型（non-expansive）两类架构。据作者所述，这是首个去除了“已知网络架构”这一前提假设的密码分析式提取攻击。

全加密协议(FEP)旨在让协议自身产生的全部字节在计算上与均匀随机串不可区分,从而抵抗基于流量特征的深度包检测与协议指纹识别。已有研究主要定义了单向 FEP(一方仅发送、另一方仅接收)的安全性质并给出构造,但绝大多数真实应用都需要双向信息交换。此时网络观察者可以同时观测两个方向的流量及其共享的连接生命周期,而双向信道的语义涉及更复杂的共享状态。因此作者指出:把两条单向全加密信道『朴素地』直接组合,可能在方向间依赖关系上留下可检测痕迹,例如流量不均衡、信道关闭、故障或连接拆除时序等。 针对这一问题,本文首先提出双向 FEP(BiFEP)的形式化安全定义,涵盖精确整形(exact shaping)、交付性(delivery)、协议状态完整性、私有半关闭(private half-close)以及跨方向隔离(cross-direction isolation),同时允许对外暴露可随机化的公开『发送调度』与『关闭纪元』。作者证明最平凡的组合方式无法满足这些定义,并给出了由此产生的实际检测攻击。 随后论文给出数据流(datastream)与数据报(datagram)两种场景下可证明安全的 BiFEP 构造:数据流场景将两个方向相互隔离的 FEP 与一个『包装层』结合,消除单向与双向连接状态不一致所导致的检测面;数据报场景则引入加密的 DATA/FIN/ACK 帧、重放保护与容忍丢包的关闭机制。作者用 Rust 实现了原型并进行了验证,同时调研后指出,现有已部署协议均未能完整提供 BiFEP 的全部安全性质。

该论文研究如何保护容器化工作负载(如 Docker 容器与 Kubernetes Pod)免受中间人(Man-in-the-Middle, MitM)攻击。作者首先指出一个常被忽视的事实：容器化环境虽然提供隔离与编排便利，但其内部工作负载仍然暴露于与非容器环境相同的攻击面，包括钓鱼、应用层漏洞利用以及网络入侵；而容器具有动态调度、生命周期短、东西向流量密集、配置易漂移等特性，使传统边界防护与静态网络策略难以覆盖通信链路上的窃听、篡改与会话劫持风险。方法上，研究采用基于 PRISMA 指南的系统性综述(Systematic Review)，对同一研究主题的既有证据进行检索、筛选与汇总，提取出可复用的成功要素(success factors)；在综述基础上开展设计型研究(design-and-creation)，提出一个面向容器化操作系统的安全框架。该框架的核心包括三部分：一是用于描述通信行为与密码原语的概念模型(conceptual model)，使安全属性可被形式化刻画；二是借助 AnBxJ Java 安全库来实现与验证通信安全；三是部署工作在 OSI 模型第 7 层(应用层)的容器防火墙，将访问控制与检查从网络层提升到应用层，并结合零信任(Zero Trust)架构原则，对通信双方进行持续的身份确认与完整性校验。研究围绕一个核心问题展开：如何有效保护容器化操作系统免受 MitM 攻击。验证部分在一个容器化操作系统场景中成功实现了该安全机制，并识别出实现过程中的成功因素。论文的价值主张是帮助从业者系统化容器安全实践，并为 Docker 与 Kubernetes 部署提供可落地的零信任参考架构。需注意，本文属于综述加设计型研究，重点在方法论与架构层面，摘要中并未给出量化实验结果、性能开销数据或具体攻击面测绘结论，因此结论的可迁移性仍需结合完整论文与实测验证。

该论文针对语言模型智能体在完整软件仓库上执行安全分析的能力评估问题展开研究。作者指出，当前网络安全领域的评测工作主要关注智能体能否「检测」、「复现」或「修复」漏洞，却很少衡量一个更基础的能力：能否在陌生仓库中准确定位与特定弱点类别相关联的实现文件。为此，论文提出「漏洞定位」（vulnerability localization）这一独立任务，并构建了 Vulnerability Localization Benchmark（VLoc Bench）基准。该基准包含来自 290 个仓库、覆盖六大软件包生态与 147 个 CWE 类别的 500 个真实漏洞案例；每个任务都提供修复前与修复后的仓库快照配对。在漏洞版本快照上，智能体仅获得 CWE 描述与只读终端访问权限，必须返回受影响的文件；在已修补快照上，智能体则需判断所记录的漏洞是否已不存在。作者在统一智能体接口下评估了 27 个语言模型与 4 种静态分析工具。结果显示，仓库级漏洞定位仍然十分困难：表现最好的系统仅达到 0.229 的 File F1，且有 38.4% 的任务没有任何被评估模型给出正确本地化结果。论文进一步发现，更强的定位能力并不等同于修复后的可靠行为——那些能有效识别漏洞文件的系统，在已修补仓库上仍可能报告缺乏依据的位置。该工作将漏洞定位确立为一种独立的仓库级能力，并为研究安全智能体如何搜索易受攻击代码、以及何时应当避免报告提供了实验框架。

本文针对星载（onboard）卫星飞行系统中日益广泛使用的开源软件（OSS）开展了一次实证性安全分析。研究背景在于：现代卫星任务为加速研发，大量采用可复用框架、共享库与社区维护组件，但这些组件被引入到补丁更新代价极高、失效可能直接影响任务运行的航天环境中，从而把常规软件供应链风险带入了高可靠性领域。作者收集了 126 个公开卫星相关代码仓库，构建并执行了一条多工具组合的自动化分析流水线，涵盖四个环节：(1) 生成软件物料清单（SBOM）以识别组件构成；(2) 软件成分分析（SCA）以匹配已知漏洞与依赖风险；(3) 静态应用安全测试（SAST）扫描自研源码；(4) 基础设施即代码（IaC）配置审查与密钥/凭据扫描。为控制噪声，作者又施加了基于规则的清洗、面向星载范围的过滤以及基于指纹的去重，最终得到包含 2,827 条安全发现的数据集。结果表明：安全发现分布广泛但高度不均衡；中等严重度占 49%，中等及以上合计占 72%。作者采用基于 CWE 的分类体系，把全部发现归入八个弱点族，其中内存安全与代码质量类占比最高，其次是输入验证与注入类。从代码归属看，81.4% 的发现位于项目自研代码中，外部依赖代码仍是不可忽视的来源。作者明确强调，这些发现并不证明针对具体任务的真实可利用性，其价值在于对开源星载软件生态中反复出现的安全模式给出实证刻画，量化其普遍程度，并帮助任务方确定最应优先投入安全审查的领域。该工作适合航天软件工程、供应链安全与嵌入式安全方向的读者参考。

该论文对 Model Context Protocol (MCP) 生态进行了一次系统性的安全普查。MCP 已成为大语言模型应用连接外部工具的事实标准接口，其公共注册表分发了数千个社区构建的服务器，但相较成熟软件包生态，其审核与治理基础设施严重不足。作者以 2026 年 8 月的完整公共 MCP 注册表快照为语料，共采集 21,643 个服务器、72,606 条版本记录，并实际拉取到 14,353 个服务器的源码。为量化风险，作者设计了一套基于模式匹配的扫描器，覆盖八类威胁目录，并用 414 条人工标注发现来测量扫描器在每个类别上的精确率，从而把原始观测流行度校正为更接近真实的估计值。观测结果显示，最高频的风险类别是未认证的网络暴露，占被扫描服务器的 9.57%；把所有类别按各自精确率校正后，原本 11.14% 的高危流行度下降到约 7.6%。论文更核心的发现不是某个具体缺陷，而是生态层面的"静默漂移"：51.1% 的多版本服务器在版本之间改变了自身对外声明的能力或元数据，其中 40.6% 属于静默变更（协议不会向已安装的客户端提示），另有 4.2% 的服务器在保留注册表身份不变的前提下，把远程端点重定向到了另一台主机。作者进一步做关联分析，发现存在静默漂移的服务器出现高危问题的几率接近三倍（OR = 2.96，95% CI [2.56, 3.42]），而流行度只能提供很弱的保护（每单位对数 star 数 OR = 0.78），说明星级/下载量不能作为安全性的代理指标。最后，论文给出了针对注册表设计、客户端版本固定（pinning）与扫描器分诊的具体建议，并发布了一份匿名化数据集以便复现与后续研究。

该论文研究的是中心化 LLM 多智能体系统（MAS）在“注册阶段”引入的一类新型注入风险。在这类系统中，新加入的 worker agent 需要把自己的描述信息注册进系统，而 planner（规划器）会读取这些描述来决定三个关键决策：任务如何被拆解、每个子任务由哪个 worker 执行、以及每个子任务具体需要什么输入与产出。问题在于，这些描述由第三方在系统外部撰写，却会被 planner 当作可信信息直接采信，从而形成一条“注册时注入”（registration-time injection）通道。与常见的提示注入不同，这里的恶意载荷在任何用户指令到达之前就已经埋设完毕，攻击目标是 planner，并会沿着 planner 生成的计划向下游的良性 worker 传播。这意味着即便那个被精心构造的 worker 从未被分配任何子任务、也从未被真正调用，攻击依然可以生效。 作者首先对 worker 描述做了结构化拆解，定义了四个字段：功能（functionality）、输入规范（input specification）、输出规范（output specification）和使用约束（usage constraints）。随后他们对来自三个公开 agent 市场的 32,000 条描述进行统计，发现大多数描述缺失输入规范与使用约束，且至少 23.35% 的描述含有这四个字段之外的内容——也就是说描述文本本身存在大量可被利用的自由空间。基于此，他们构造了八种描述操纵攻击策略，分别针对任务拆解、能力接地（capability grounding）和子任务规格说明三个环节，并在 GAIA 基准上进行评测。结果显示，在最严重的情形下，仅一条被操纵的描述就能把任务成功率从 84.31% 压到 37.25%，或者让 token 消耗、执行时间上涨超过 111%；而用户的目标表述始终未变，worker 也仍然忠实地执行 planner 给出的计划——即异常完全来源于计划本身被误导，而非执行侧出错。这些效果在两种 MAS 实现、六种 planner LLM、四种 LLM 评测器以及三个市场的真实描述数据上都保持了稳定性。 针对该问题，作者提出注册时防御方案 DescGuard：在描述进入 planner 之前，仅保留与 worker 自身接口范围相关的信息。DescGuard 能把被攻击的规划指标与下游性能恢复到接近基线水平，且无需修改 worker 实现、planner 或编排逻辑，还可以与现有的隔离、权限控制与运行时机制叠加使用。

该论文研究大语言模型（LLM）权重层面的隐写恶意软件（stegomalware）威胁，即把恶意载荷直接编码进模型参数。由于 LLM 训练成本极高、分发极为广泛，第三方权重文件已成为一条新的供应链攻击面。此前已有工作尝试利用模型权重中的置换对称性（permutation symmetry）来破坏嵌入载荷，但无法保证 LLM 中所有参数都被改动，仍会留下相当比例的未变化权重可供提取。 本文的核心贡献有两点。防御侧：作者改进了置换选择方法，证明可以构造出能够位移全部模型参数的置换，从而覆盖此前方法在 LLM 中遗漏的权重，实现更彻底的隐写载荷中和。攻击侧：作者展示了置换对称性同样可被滥用——能够以理论无损的方式把恶意代码编码进权重，编码后无需重新训练，提取脚本也无需包含任何与载荷相关的特定信息；这种特性组合在此前的单一方法中从未同时出现，意味着依赖脚本内容或载荷特征的检测手段容易失效。 此外，由于浮点数值误差会在置换过程中累积，理论无损并不等于实际无损。作者因此量化了攻防两种场景下模型性能的下降幅度，结果表明损失很小，说明该方法在实际部署中具备可行性。论文属于机器学习与安全交叉研究，适合关注 AI 供应链安全、模型完整性验证与权重级威胁检测的研究人员与工程师阅读。

该论文研究如何为智能体渗透测试自动化构建逻辑攻击图，属于神经-符号漏洞挖掘方向。作者指出，基于扫描器输出、以逻辑形式表达的攻击图能够提供LLM智能体所缺乏的显式且可审计的攻击路径推理；但将MulVAL等符号框架集成到现代安全工作流或智能体流水线时，存在互操作性问题：需要把扫描器证据翻译为初始事实，并编写领域专用规则。为此，论文提出半自动化流水线：解析Trivy、Semgrep、Nmap的发现结果并转换为MulVAL谓词，再借助LLM辅助构建领域专用Datalog规则，将扫描器可检测证据与攻击技术关联，最后由MulVAL/XSB执行符号推理生成结构化攻击路径。评估使用CyBench中54个Web CTF任务，置于Hybrid Reasoner智能体流水线内，但作者明确不评估下游智能体性能。结果显示每个任务至少生成一个可达目标的攻击图，平均真实漏洞覆盖率为53.7%，其中51.9%任务达到完全覆盖；平均噪声路径率为83.9%。端到端中位耗时24.9秒，其中MulVAL推理2.7秒，说明流水线对智能体工作流具备运行时可行性。主要局限在于谓词覆盖率、规则覆盖率和路径精度，后续工作包括语义规则验证和面向图引导渗透测试的智能体级对比。

本文提出 EchoFuzz，一个由大语言模型（LLM）引导的智能合约模糊测试框架，旨在解决现有智能合约模糊测试中的两大瓶颈。背景方面：智能合约作为去中心化应用的基石，自主管理着规模达万亿美元级别的数字资产，因而成为攻击者的高价值目标，漏洞检测需求迫切。问题一：现有方法在处理合约状态转换时存在逻辑鸿沟与组合冗余，难以在漏洞检测效率与状态空间探索成本之间取得有效折中，导致关键执行路径被遗漏。问题二：基于规则的序列变异策略存在路径冗余、缺乏合约逻辑引导等缺陷，形成性能瓶颈，使探索难以深入到面向深层漏洞的路径。方法上，作者引入“易受攻击函数调用序列”（VFCS，Vulnerable Function Call Sequences）这一概念——即最小化的、保持行为语义的执行路径，通过关键状态转换暴露缺陷。EchoFuzz 包含两个关键流程：其一为链式引导的 LLM 方法，将静态分析与逻辑理解相结合，为特定合约生成 VFCS 候选，从而消除组合冗余；其二为迭代式模糊测试策略，利用 LLM 结合实时反馈，自适应地将模糊器导向尚未覆盖的分支。实验结果表明，EchoFuzz 优于当前最先进的方法，分支覆盖率提升 29%，检测到的漏洞数量增加 62%；同时在真实合约中发现了 37 个此前未知的漏洞，显示出较强的实用价值。适合智能合约安全研究者、审计工具开发者以及关注 LLM 赋能程序分析方向的工程师阅读。摘要未声明该成果已被在野利用或武器化。

该论文研究漏洞根因分类的可复现性与自动化友好度问题。背景是：在漏洞管理、根因分析(RCA)与处置排序中，按根因弱点分类至关重要，而业界长期依赖 Common Weakness Enumeration(CWE)这一公共弱点库。但 CWE 条目之间存在大量语义重叠，结构并非正交，导致同一个漏洞可被同时映射到多个弱点，给 RCA 与分诊带来歧义。为此，NIST 特别出版物 800-231 提出 Bugs Framework(BF)，用 <cause, operation, consequence> 三元组组织漏洞，并将多个三元组连成因果链，使一个漏洞同时携带其根本原因与最终汇点(sink)，而不是只挂一个终态标签。然而 BF 目前只是被规范定义，尚未针对自动化分类所面临的挑战做过性能评估，也缺乏支撑采纳所需的实证证据。作者的贡献在于首次以实证方式评估 BF ：既把 BF 当作分类目标，也把它视为 CWE 的补充。他们构建了一个经过系统筛选的语料，由与 CWE 研究相关联的自动化采集 CVE 组成，并做两项评估。其一是定性的评分者间一致性研究：2 名领域专家独立将 13 个 CVE 映射到 BF 的四个轴上，结果显示在 cause 与 operation 轴上高度一致，而在 attribute 轴上仅为中等一致。其二是可复现性实验：在两个不同预算配置的大语言模型(LLM)部署上运行其自动化分类框架。作者同时指出研究局限，例如证据可获得性不足、闭源软件缺少可检索的修复提交等。总体结论支持 BF 比 CWE 更结构化、更适合自动化这一主张，并具体指出 BF 的短板，包括对 attribute 轴的指导规范不足。适合漏洞管理、RCA 与 AI 辅助分类方向的研究者和安全工程团队阅读。

该论文研究 GPU 显存（GDDR）上的 Rowhammer（行锤）攻击可行性问题。Rowhammer 指通过高频反复访问某一行内存，使相邻存储单元的电荷发生干扰并最终导致位翻转，进而可用于数据篡改与权限提升。背景与核心问题是：尽管 GPU 显存同样存在该风险，但此前针对 GPU 的 Rowhammer 攻击只能触发几十到几百次位翻转，比 CPU 平台上的攻击结果少几个数量级，实用价值因此被认为非常有限。作者指出这一差距的根本原因是：现有 GPU 攻击依赖“均匀”敲击模式，即在访问模式中攻击行（aggressor）与诱饵行（decoy）被同等频率地激活，导致真正需要被反复激活的攻击行敲击强度不足（GPU 的访存合并机制天然倾向于把访问均摊）。提出的方法 GPUThor 采用“非均匀敲击”：首先逆向分析 GPU 的访存合并（memory-access coalescing）行为，据此构造能让攻击行获得远高于诱饵行激活强度的访存模式；其次识别 DRAM 刷新时序，即片内缓解措施（in-DRAM mitigation）在每个刷新区间内生效的窗口，构造跨越多个刷新间隔的长模式以规避该缓解措施，从而进一步提高有效敲击强度。两条技术结合后，在 NVIDIA A4000、A4500、A5000、A6000 等多款 GPU 上实现的位翻转数量比先前 GPU Rowhammer 攻击高出 500 倍到 23,500 倍，翻转率已接近最先进的 CPU Rowhammer 攻击水平。更重要的是，论文报告了首次在启用 ECC 的 GPU 上实现的 Rowhammer 利用：通过诱发不可纠正的双位与三位翻转，使拒绝服务与权限提升在开启 ECC 保护的 GPU 上同样具备现实可行性。整体而言，这是一项硬件安全方向的系统性研究工作，涵盖威胁建模、微架构逆向、模式构造与跨型号实验验证，适合硬件安全、云 GPU 平台与虚拟化隔离方向的研究人员和防御工程师阅读。

该论文针对低轨（LEO）卫星星座（如 Starlink、Kuiper）作为全球低延迟通信骨干所面临的路由/链路洪泛攻击（LFA）风险，提出了 HYDRA 建模与优化框架。研究背景是 LEO 星座具有可预测运动、时变拓扑、依赖星间与星地链路等特性，攻击者可能利用这些特性拥塞关键网络瓶颈；但已有工作（如 ICARUS）未量化 LEO 网络对定向破坏的弹性。HYDRA 将 LFA 变体形式化为僵尸网络最小化问题：在给定目标地理区域间通信阻断的前提下，求解所需的最小活跃僵尸节点子集及其流量分配。在相同隐蔽性约束下，HYDRA 达到与 ICARUS 相同的定向阻断效果，但使用的僵尸节点数量减少 34%，攻击总流量减少 23%。此外，在拓扑动态演化过程中，HYDRA 保持持续攻击成功率超过 97%。论文还评估了五种缓解策略——路由多样化、入口流量监管、基于距离的流量约束、源端限速和僵尸网络消耗——展示它们如何降低攻击成功率并提升网络对定向破坏的弹性。该工作为 LEO 星座的安全设计与弹性评估提供了量化工具，适合卫星网络运营者、网络空间安全研究者及关键基础设施防御者阅读。

二进制重编译（binary recompilation）是一类直接面向可执行代码进行操作的技术，其目标是把两项重要任务自动化：一是为缺乏源码的遗留二进制补装安全缓解措施（如控制流完整性、地址随机化增强等），二是将二进制从一个指令集架构迁移到另一个指令集架构。然而迄今为止，尚不存在能够可靠地把任意可执行文件完整提升为编译器中间表示（如 LLVM IR）的全自动系统，也不存在能够完全静态、可靠地把非平凡二进制从一种 ISA 翻译到另一种 ISA 的方案。论文指出其根本障碍在于：静态恢复程序的完整控制流图（CFG）在一般情况下是不可判定/不可行的——间接（计算）跳转的目标地址依赖于运行时状态，不实际运行程序就无法确定。现有系统因此普遍采用运行时回退机制：被翻译后的程序必须携带相当一部分翻译执行时（runtime）机器，才能在目标机上正确运行，这既增加了体积与性能开销，也限制了可迁移性，并可能引入新的可信计算基。 本文提出一种完全静态的整程序二进制提升系统，目标机上不需要任何运行时翻译支持。其核心思想是放弃传统的“代码/数据区分”（code/data heuristics）判定：与其尝试精确区分指令字节与数据字节，作者选择把二进制中的每一个字节偏移都视为潜在的跳转目标，以暴力（brute-force）方式对整段二进制做提升，从而构造出一个保守地包含所有可行控制流的“超集 CFG”。对于静态不可解析的计算跳转，则将其规约为一次查表操作——跳转被映射到调度表（dispatch table）中对应的入口，进而指向相应的已翻译控制流路径。这样一来，原本需要运行时解析的间接跳转在静态阶段即被消解，代价是代码体积膨胀与需要去重/优化来收敛派生出的冗余路径。作者实现了一个从 x86-64 二进制到 LLVM IR 的原型重编译器，过程中完全不依赖任何代码/数据启发式规则。为验证通用性，作者借助未经修改的既有 LLVM 后端，完成了全静态的跨架构交叉编译，将结果落到 AArch64 平台，从而证明该提升产物可以作为常规编译器 IR 被下游优化与代码生成流程复用。 论文的主要贡献可概括为三点：其一，提出“暴力提升 + 超集 CFG + 调度表”的完全静态提升范式，把不可判定的间接跳转问题转化为可静态处理的表查找；其二，给出不依赖代码/数据启发式的原型实现，验证了任意字节偏移皆可作为跳转目标的保守策略在工程上可落地；其三，通过 x86-64→LLVM IR→AArch64 的全静态交叉编译链路，展示了该方法的跨 ISA 迁移能力与与现有编译基础设施的良好兼容性。适合二进制分析、逆向工程、程序加固、跨架构迁移及编译器/系统安全方向的研究者与工程师阅读。

软件定义网络（SDN）将控制平面与数据平面分离，实现可编程的集中式管理，而拓扑发现是其核心服务之一：控制器周期性识别网络链路以维护全局视图。本文首先对五个开源 SDN 控制器和十种发现协议进行分析，发现它们均至少对一种链路伪造（拓扑投毒）攻击脆弱。作者指出共同根因在于传统链路层发现协议（LLDP）依赖静态标识符，这些标识符暴露了报文的发现用途，便于攻击者定位并利用。为此，作者提出 ChameleonDisc——一种动态链路发现协议，同时实现拓扑投毒攻击的预防与检测。其核心洞见是：SDN 控制器无需在发现报文中嵌入有意义信息即可推断拓扑。ChameleonDisc 移除了可被定位的静态 LLDP 签名，并采用移动目标防御，在运行时动态实例化诱饵、混淆与伪装技术，既阻止拓扑投毒又能检测操纵行为。作者在 OpenDaylight 上实现并评估：在 252 链路拓扑中，合法链路变更的中位收敛时间为 1.37–4.53 秒，恶意中继检测为 4.06 秒，平均 CPU 开销增加 13.0 个百分点，保留堆差异可忽略；在最多 816 链路的拓扑上，可调节安全与性能的权衡，增大发现间隔可降低 CPU 与映射状态，但以增加攻击检测延迟为代价。该工作适合 SDN 控制器开发者、网络攻防研究者及云/数据中心网络运维人员阅读。

该论文来自瑞典皇家理工学院（KTH）相关研究团队，聚焦于「自主网络事件响应智能体」在真实度较高的网络靶场中的能力评估。研究动机在于：尽管自动化入侵响应（如自动封禁、隔离、限速）在学术与工业界被广泛讨论，但缺乏一个既能模拟真实网络拓扑变化、又包含人类用户行为的可重复评测环境，导致不同策略之间难以公平比较。作者构建并复用了原本面向人类操作员培训的网络靶场，其中包含仿真网络环境、可变网络拓扑、红队模拟器以及模拟用户智能体（simulated user agents），从而在防御动作产生可用性代价的前提下评估防御方的收益。防御智能体的目标是在红队智能体无法访问内网主机的同时，尽量降低防御措施带来的业务可用性损失。告警由 SIEM 平台生成，并映射为智能体可消费的数据建模语言，使智能体能够在结构化事件流上进行决策。论文对比了两类策略：一类是人工设计的启发式（heuristic）策略，另一类是通过强化学习（RL）训练得到的策略；RL 策略的优化目标是在一个网络攻击仿真器上最小化「入侵损失＋可用性损失」的联合代价函数。实验结果表明：总体而言，强化学习智能体的防御效率优于启发式策略；但性能高度依赖于对手（红队）所采用的策略，并与模拟用户的行为模式存在强耦合，说明在自适应对手和含噪人类行为的环境下，单点最优策略并不稳健。论文的贡献在于提供了一套可复现的靶场评测方法学与对比结果，指出对手建模和用户行为建模是自动响应智能体评估中不可忽略的变量，为后续构建更鲁棒的自动化防御决策系统提供了实证基线。

本文针对具身网络物理系统（机器人等）在遭受主动网络攻击时面临的特殊安全困境展开研究。与纯信息系统不同，这类系统的攻击后果不仅涉及数据泄露，还可能直接威胁物理完整性与人身安全。现有安全方案（如入侵检测系统）虽擅长发现异常，却普遍缺乏运行时机制来判断：攻击造成的扰动是否可容忍、系统性能退化是否仍处于安全运行边界之内。这一缺失导致系统在攻击持续期间陷入“优雅失败瘫痪”（graceful failure paralysis）——无法区分安全的降级状态与灾难性危害。为填补该空白，作者提出并实现了 RobResilience：在 Webots 仿真环境中，基于 PR2 机器人与 ROS2 搭建的形式化弹性框架实现。该框架在运行时评估三个谓词：可容忍扰动 δ、可容忍退化 γ 与缓解可行性 μ；被攻陷设备集合由 IDS 置信度分数推导得到。当弹性丧失时，框架触发可用的缓解策略。评估采用 8 个攻击场景，系统性地覆盖谓词状态空间的所有可能组合，并变化攻击目标、退化速率与缓解措施可用性。实验结果表明，实现的运行时行为与理论定义保持一致。该工作适合机器人安全、网络物理系统弹性、形式化方法以及 IDS 集成方向的研究者与安全工程师阅读。

该论文针对一个在防御实践中长期存在的痛点：当源码不可得时（恶意软件分析、固件审计、嵌入式设备逆向等场景），如何对已编译的二进制程序进行漏洞检测。作者指出，现有方法大多依赖语法层面的规律性特征，或依赖由源码生成的较高级中间表示，这类特征对编译器版本、优化选项和编译配置的变化非常敏感，一旦目标只有汇编代码，方法的迁移性与可用性都会显著下降。 为此，作者提出 SEMA-GUARD 框架，核心思路是把语义分析与图神经网络（GNN）结合用于汇编级漏洞识别。其关键改进在于控制流图（CFG）的节点/边表示：传统基于图的二进制漏洞检测通常只保留控制流跳转等结构信息，而 SEMA-GUARD 在较低抽象层级上注入了程序执行相关的语义信息，具体包括栈操作（stack manipulations）、内存访问模式（memory accesses）以及数据流（data flow）关系。这样，图模型不仅知道“代码怎么跳转”，还能感知“数据如何被搬运与加工、栈帧如何被操作”，从而把容易受编译器变化影响的表层语法特征替换为更贴近程序语义行为的表示。 评测方面，作者基于 Juliet Test Suite 构建了一个数据集：先把每段源码编译为汇编语言，再切分成函数级别的代码块（function-level chunks），作为模型输入。论文称该方法仅依赖统计和结构信息（即不需要人工设计的漏洞模式或专家规则），在实验中达到 85.1% 的准确率和 0.801 的 F1 分数。作者据此认为，将语义信息融入基于图的模型，是提升编译后代码漏洞检测效果的一条可行路径。 需要说明的是，摘要只给出了整体指标，未披露模型的具体网络结构、节点/边特征工程细节、正负样本比例、是否按编译器/优化级别做交叉验证，也未说明对真实固件或恶意样本的泛化表现，因此其工程可用性仍需阅读全文与复现实验来确认。适合二进制分析、固件安全、恶意代码检测方向的研究者与具备二进制分析能力的 SOC/安全工程团队参考。

PIMENTO 是一个针对非结构化文本分析隐私保护的框架。当前两种主流隐私保证——上下文完整性（CI，约束信息可流向何处）与差分隐私（DP，约束可推断出什么）——都难以直接映射到自然语言上，导致现有方案无法为文本分析提供形式化保证。PIMENTO 将三种自然语言形式（文本语料、查询、隐私政策）统一映射到关系数据库中，构建公共基底，从而可同时形式化地执行 CI 与 DP。其三项核心贡献包括：1）DP 感知的 Text-to-SQL，在候选查询中寻找正确且所需 DP 噪声最小的查询；2）CI 感知的 Text-to-SQL，将自然语言隐私政策编译为数据库上可执行的 CI 规则；3）提出新的隐私定义“上下文差分隐私”，在 CI 下重新定义 DP 邻域，得到更紧的平滑敏感度上界。在新基准测试中，PIMENTO 在 75.3% 的情况下选出最佳查询（较基线最高提升 45 个百分点），并在正确政策落地时实现零泄漏。据作者所知，这是首个在 CI、DP 及其组合下为自然语言分析提供形式化隐私保证的框架。

该论文针对数字身份验证（eKYC）场景中隐私保护与效率难以兼顾的问题展开研究。作者指出，现有基于零知识证明（ZKP）的 eKYC 框架存在计算开销高、电路设计僵化、集成复杂以及链上验证成本昂贵等缺陷；同时，W3C 2021 提出的基于 BitString 的凭证状态机制在大规模部署下也存在更新效率低、可扩展性差的问题。为此，论文提出一种基于安全多方计算（MPC）的透明且低成本身份验证框架。其核心设计包括：支持私密的链下代码执行，并生成与区块链锚定的运行时证明，从而在不暴露敏感凭证数据的前提下实现可验证性；引入多维比特矩阵（multidimensional bit-matrix）模型并配合高效压缩算法，使用 ZSTD 将凭证数据压缩至 76 字节，相比 GZIP 的 140 字节显著降低存储与带宽成本；支持细粒度的凭证状态更新，并采用 Layer-2 区块链锚定实现防篡改且低成本的验证；采用可复用的可验证凭证呈现（VP）与唯一访问令牌，使验证过程无需链上费用并强化访问控制；通过选择性披露机制保障用户对个人信息的控制权与隐私。此外，系统集成 SHA3 哈希与 Falcon 后量子签名，以抵御量子计算攻击，兼顾透明性与可扩展性。论文通过实验与安全性分析验证了该框架的鲁棒性与适用性，并声称其可作为面向国家级规模身份验证的前瞻性解决方案。整体而言，该工作属于隐私增强身份验证与后量子安全交叉方向的架构型研究。

本文研究度量差分隐私（metric differential privacy, mDP）机制的可扩展构造问题。mDP 适合定义在结构化的秘密域上（例如路网、地理网格、坐标空间），因为它的隐私保证随秘密值之间的度量距离变化，比标准差分隐私更贴合位置类数据。但现实中的目标域往往规模庞大且粒度极细，直接在该域上构造同时兼顾隐私与效用的机制，计算开销通常高到不可接受。作者因此系统研究『扩展式』mDP 设计：先在规模有限的种子记录集合上指定一个机制，再把它扩展到更大的目标域，而不是一次性针对全域求解。作者指出，据其所知，这是首个把『扩展』作为 mDP 通用设计范式（而非某个具体方法的附带构造技巧）加以形式化的工作。为此，论文提出一个基于图的扩展框架：把种子记录与目标域元素组织成图结构，并给出保证正确性的三项条件——局部 mDP 约束（种子层面各自满足 ε-mDP）、重叠一致性（不同种子扩展在重叠区域给出的结果必须一致，从而全局机制良定义）、以及后继层 mDP 保持（扩展过程中隐私参数不被稀释）。论文证明，在上述条件成立时，由种子机制诱导出的全局机制是良定义的，并在目标域上满足 ε-mDP。作者进一步用面向多分辨率网格的树形扩展算法实例化该框架，其中多维扩展通过一维插值加逐维组合来实现，从而把高维构造成本降到可接受范围。在道路网数据集上的实验显示，该方法在保持精确 mDP 保证的同时取得了较强的效用—可扩展性折衷。论文定位为方法论与理论贡献，适合隐私保护数据发布、位置隐私、地理不可区分性机制设计方向的研究者与工程实现者阅读。

提示注入(prompt injection)检测器目前普遍以分布内测试集上的聚合 F1 作为主要评价指标,这种做法掩盖了模型在分布偏移下的真实行为,尤其是决策边界的良性一侧:误报会直接产生运维成本(告警疲劳、正常业务被拦截),却往往没有被单独测量。为此作者提出 PIDS-Bench,一个冻结的、多维度的评测基准,在固定阈值下同时衡量攻击检出与良性误报行为,覆盖四类输入:分布内样本、'hard-benign'(结构上模仿注入但无恶意意图的提示)、经过混淆处理的注入攻击,以及领域与结构层面的分布偏移。评测对象共 7 个检测器,包括学习型基线、外部提示注入分类器以及更宽泛的安全对齐类对比器,并加入一个基于规则的方法作为性能下界参考。结果显示,多轴评测揭示出聚合 F1 完全掩盖的失效模式:某个在留出集上 F1 超过 0.98 的检测器,对来自公开语料、仅限定为安全相邻内容的良性子集仍有约三分之一的误分类。在完整阈值扫描与 5 个随机训练种子下,没有任何内部检测器能同时满足 F1≥0.95 且 hard-benign FPR≤0.10。按提示来源拆解后发现:困难负样本增强几乎消除了人工策展压力输入上的过度防御(over-defense),但在外部来源提示上基本无效,作者将这一现象称为'来源敏感的过度防御'(provenance-sensitive over-defense);该不对称在两种微调架构上均成立,且不随增强池扩大而减弱,外部来源的误报率仍远高于 0.10 的目标线。作者明确指出,与外部来源分布相匹配的增强能否弥合这一差距尚未经过验证,仅靠阈值校准与策展式增强并不足够。该工作适合红队/蓝队、LLM 网关与内容安全评测人员阅读。

该论文针对视觉语言模型（VLM）在隐私敏感与带宽受限场景下的视觉问答（VQA）任务，提出名为 QPriv-VL 的「问题引导式、隐私感知」视觉 token 剪枝框架。研究背景是：联邦学习（FL）、拆分学习（SL）与 U 型拆分学习（USL）虽然能保持原始数据本地化，但跨模型分区传输全部视觉 token 依然带来高昂通信开销，并可能通过中间表示泄露隐私信息；而现有固定比例剪枝方案不区分任务相关性与隐私敏感性，容易在压缩的同时保留敏感区域或误删回答所需的关键图像块。核心方法上，QPriv-VL 在传输前对视觉 token 进行剪枝，其关键组件是轻量级动态阈值预测器（DTP），能在单次前向传播中同时估计「样本级剪枝比例」与「token 级保留掩码」。DTP 融合两类信号：一是问题相关性，通过视觉 patch 与池化后的问题嵌入之间的跨模态相似度计算得到；二是敏感性信号，由冻结的 DINOv2 特征导出。二者结合使模型在无需敏感性标注的前提下，抑制潜在敏感区域，同时保留对回答问题有用的图像块。作者在 GQA、OK-VQA、VQAv2、SLAKE、VQA-RAD、PathVQA 六个数据集上，针对四类隐私攻击（FSHA、FORA、iDLG 以及属性推断型成员推断攻击 MIA）进行了评测。实验结果显示：DTP 在传输显著更少 token 的情况下，达到或超过固定比例剪枝的效果；在 VQA-RAD 上把成员推断攻击成功率从 0.99 降至 0.76–0.79；相对固定比例剪枝降低了 FSHA 与 FORA 的重建 PSNR；在仅使用约 40% 原始视觉 token 预算的前提下仍保持有竞争力的 VQA 准确率。此外，敏感性排除比达到 1.20±0.18，表明模型优先剔除隐私敏感图像块；可解释性分析进一步表明保留策略会随问题语义自适应调整，而非简单依据通用视觉显著性。适合拆分学习/联邦学习系统设计者、VLM 隐私保护与模型压缩方向的研究人员阅读。

该论文针对一个长期被忽视的度量问题：标准机构（如 NIST、各密码测评体系）通常用单一“比特数”来表述密码方案的安全强度，但这一数值实际上依赖于所采用的敌手成本模型——即如何为时间、内存、量子资源定价。不同约定（例如内存成本权重、量子算力折扣）会给出不同结果，甚至导致密码方案的排名发生翻转。作者提出 GAUGE 框架，把“安全性”从标量重新定义为定义在可行成本模型锥上的函数，称为“安全轮廓（security profile）”。这样，方案之间的比较就变成轮廓之间的比较，而排名翻转则被刻画为一种明确的结构性质，而非测量误差。论文形式化了成本模型锥上的“价格泛函”，证明安全轮廓是分段线性且凹的，并给出一个“评级三难（rating trilemma）”定理：当两条轮廓相交时，不存在任何评级方式能同时满足三点——忠实反映底层成本、对可比方案对全序可比、以及独立于所选成本模型。作者进一步给出一个多项式时间的线性规划（LP）流程，用于判定两个方案的排名是稳健的、在某些可行模型下会翻转的，还是本质不可比的。GAUGE 还被扩展为两层风险度量，融合随机密码分析退化（随时间推移攻击成本下降）与对正确成本模型的不确定性。评估覆盖 NIST 后量子标准、经典锚点方案以及 25 年密码分析攻破时间线：分析证明 ML-KEM-512 与 AES-128 的排名仅因内存定价 4–5% 的偏移即可发生翻转，并测得格筛法成本以约每年 9.79 比特的速度漂移（八年区间）；同时表明 X25519 + ML-KEM-768 混合握手在 2.3 KB 开销下可将联合被破概率降低约二十倍。配套工件可在 7 秒内复现全部表格与图。该工作为在相互竞争的成本模型下报告密码安全性提供了显式、可审计的框架。适合密码工程、密码敏捷性规划、后量子迁移与安全度量研究者阅读。

本文提出了一套面向密码学软件的全新形式化验证方法论，其核心取向是直接验证“生产级代码”，而不是为了便于验证而专门改写代码。作者选择 Rust 作为目标语言，看重的是它在性能与系统集成方面的优势：Rust 的所有权机制使 Aeneas 工具链能够把 Rust 代码抽取为 Lean 中的纯函数模型，从而免除对指针存活性、别名关系等底层细节的推理负担；Lean 的可扩展性又允许团队开发专用的策略（tactic）与库，大幅简化对抽取后代码的推理。工具链被专门设计并调优以配合 AI：智能体可以自主撰写形式化证明，这些证明由 Lean 内核独立校验；智能体还参与密码标准与平台相关 intrinsic 的形式化工作，但这部分仍需专家主导设计与评审。作者将该方法应用于微软的密码提供者 SymCrypt，验证了从其 C 版本移植到 Rust 的 SHA-3、ML-KEM 等算法实现；并进一步用实验性优化以及 FrodoKEM、ML-DSA、HPKE 等算法的实现来扩展 SymCrypt，以考察编写、移植与验证密码代码的可扩展性。整个 Lean 开发规模约 237 KLOC，为 16.7 KLOC 的 Rust 代码（覆盖 x86-64 与 ARM 平台上的后量子密码套件）建立了内存安全性、无 panic 以及功能正确性的证明。评估结果显示，经过验证的 Rust 实现能够满足 SymCrypt 在性能、可移植性、部署方式与可维护性方面的要求。

该论文关注竞技类视频游戏中内核级反作弊带来的用户隐私与信任问题。当前反作弊常以 ring-0（x86 特权模式）组件形式安装到玩家个人电脑上，这类组件不可验证、权限极高，虽能有效检测恶意玩家行为，却使玩家难以审查其行为，隐私风险与系统稳定性风险显著。现有研究多聚焦提升反作弊检测效力，对用户隐私问题讨论不足。作者提出 Tirith 反作弊架构，核心有两点：第一，不在玩家可控制的普通用户进程中运行游戏，而是将游戏放入 Protected Virtual Machines（受保护虚拟机）中执行，利用虚拟化天然隔离不可信的 root/admin 管理员；第二，为监控沙箱外的用户行为（例如是否加载恶意驱动），Tirith 引入一个玩家与游戏开发者都信任的虚拟化监控层。两者结合，使系统无需运行不可信的内核级反作弊，同时声称能在广泛常见作弊机制上提供与内核级方案相当的保护水平。实现上的主要挑战是现有虚拟机软件栈并非为游戏设计，会带来安全与性能问题。作者为此提出面向安全的游戏 Library OS 内核，以及高效图形共享管线，以实现接近原生的渲染与显示性能。论文的贡献在于将用户隐私作为个人计算机的一等目标，同时不牺牲作弊行为检测与游戏性能；适合游戏安全、反作弊、虚拟化、系统安全与隐私工程方向的研究者与工程师阅读。

该论文研究医疗影像诊断模型中的后门（训练期投毒）检测问题。作者指出，医疗行业指南已把模型投毒与对抗攻击列为需要专门防御的行业级威胁，联邦政策也要求把 AI 漏洞检测工具扩展到农村医院等关键基础设施运营方，因此面向医疗影像流水线的后门检测具有明确的合规与安全背景。目前社区中最常用的两类后门检测方法——频谱特征分析（spectral signature，基于类内表征的频域异常排序）与激活聚类（activation clustering，基于中毒样本在中间层激活空间中的聚类离群性）——通常被当作相互独立的基线分别评估，两者输出很少被结合；同时，在医学影像基准上的检测性能报告也远少于自然图像领域。本文的贡献有三点：第一，提出一个分数级融合规则，把逐类别的频谱排序得分与激活聚类标志位合成为单一逐样本投毒评分，并给出模型级一致性统计量；第二，开源实现该融合方案对应的八阶段检测流水线；第三，在一个公开医学影像基准的合成投毒变体以及 CIFAR-10 上，以 0%、1%、5%、10% 四档投毒率、每档五个随机种子进行评测，对比单独检测器与融合检测器的表现。结果显示：在医学影像基准上，融合检测器在所有非零投毒率下均达到 AUROC ≥ 0.99，说明融合在医疗影像场景下显著有效；但在 CIFAR-10 上融合并不一致地带来增益——10% 投毒率时激活聚类的真阳性率降至 0.000，频谱方法的 AUROC 也退化到接近随机（0.545），而此时攻击成功率仍高达 97.2%，表明后门已完全植入却未被检出，融合分数由于是两类信号的加权组合，也继承了这一联合失效。论文最后把检测输出映射到 NIST AI RMF 的 Measure 功能与 MITRE ATLAS 术语体系，使结论可以直接用安全与合规团队熟悉的语言表达。

该论文关注的是一个长期被忽视但至关重要的问题：密码学协议形式化验证工具（尤其是 Tamarin、ProVerif 及同类协议验证器）在实际使用中的可用性问题。作者指出，尽管这类工具被广泛用于分析复杂安全协议（如 TLS、SSH、信号协议、认证与密钥交换协议等）的安全性质，但关于『真实用户如何使用这些工具、在哪些环节遇到困难』的实证研究仍相当匮乏，工具设计者往往缺乏来自一线的反馈依据。为此，作者开展了一项以人为中心的探索性研究（human-centered exploratory study），通过问卷调查的形式，系统性收集了具备实际使用经验的用户反馈。受访群体包括研究人员、研究生以及工业界从业者，均具有使用 Tamarin、ProVerif 或相关工具的动手经验，覆盖面兼顾学术与工程两侧。研究结果揭示了贯穿整个验证工作流的多个可用性障碍：其一，当验证过程出现不终止（non-termination）或性能瓶颈时，用户难以进行有效的调试与定位，缺乏可操作的诊断信息；其二，缺乏系统化方法将形式化模型与真实世界协议实现进行对照校验，用户很难判断『模型是否忠实反映了真实协议』，这直接影响验证结论的可信度；其三，当证明失败但没有给出具体攻击路径（concrete attack）时，用户普遍采取的经验性应对策略是简化模型、补充辅助引理（helper lemmas）、或反复回溯并调整建模抽象层次，整个过程高度依赖个人经验与试错，缺少方法学支撑。此外，受访者明确提出了对可操作诊断、更清晰的结果解释、可视化能力以及对重复性证明任务自动化的需求。作者的核心论断是：这些持续存在的可用性挑战，根源在于『协议层面的推理方式』与『验证器的形式化模型、证明过程及诊断输出』之间存在语义与认知上的鸿沟。基于上述发现，论文提炼出一组具体的设计优先级，用于提升密码协议验证工具的可访问性、可解释性与易用性。该工作属于典型的可用性/人机交互与形式化方法交叉研究，适合形式化验证工具开发者、协议安全研究者、以及需要将形式化验证引入工程流程的安全团队阅读。

该论文题为《Feasibility of Homomorphic Inference for a Genomic Foundation Model》，研究的是人类基因组序列与基因组基础模型（genomic foundation model）推理之间的隐私矛盾：基因组数据可唯一识别个人、一旦泄露无法像密码那样更换，而基因组基础模型恰恰需要以这些序列作为输入。作者提出的核心问题是：在计算服务方（compute provider）不接触明文查询衍生基因组数值的前提下，能否完整执行一个已公开权重（released weights）的基因组基础模型；正确性、内存或成本是否会阻碍完整的加密推理。方法上，作者先在三类基因组任务族上复现该公开模型，并冻结一份经过独立验证的数值参考基准（numerical reference），用于比对加密推理结果的正确性。随后实现了一种“客户端辅助的近似同态加密协议”（client-assisted approximate homomorphic encryption protocol）：线性代数部分（如矩阵乘法等）由服务方在密文上求值，而密钥持有者即数据所有方负责在固定边界处计算精确的归一化、因果 softmax 以及激活函数，从而避免在密文上近似这些非线性算子带来的精度损失。实验表明：完全非交互式（noninteractive）配置只能完成一个公开权重块（block），当尝试进行多块组合（composition）时会超出所测试加速器的显存上限；而客户端辅助配置能够完整执行全部公开的 transformer 块以及任务头（task head），针对一个留出的基因组信号输入、按其完整提示长度完成推理，最终标签与冻结参考值一致，显存峰值 9,839 MiB，在单张加速器上耗时 6,683 秒。结论是：对于一个完整分类器而言，算术层面的可行性已得到验证，但可重复性、网络传输开销以及私密的 token 索引查找（private token-index lookup）仍是未解决问题。生物医学意义在于：在所述威胁模型下，一个被托管提供的基因组模型可以处理编码后的序列，而不向计算服务方暴露明文的、由查询衍生的中间激活值。该工作适合隐私增强技术（PET）、同态加密工程、基因组数据治理与合规、以及医疗 AI 平台部署方向的研究者与工程师阅读。

本文（arXiv，cs.IT / cs.NI / eess.SP，作者 Mohamed Nomeir、Shreya Meel、Sennur Ulukus）研究图结构存储系统中「任意隐私需求」下的私有信息检索（PIR）问题。研究动机来自三重现实约束：服务器存储容量有限、消息（数据）规模庞大、以及不同数据具有异构的隐私敏感级别。经典 PIR 假设用户需要向所有服务器隐藏所请求的消息索引；新近提出的 LPIR（local PIR）则把隐私集缩小为恰好存储该消息的服务器集合。本文提出更一般的统一框架：每条消息只需相对一个预先指定的服务器子集保持检索隐私，且该子集必须包含实际存储该消息的服务器；等价地，每台服务器关联一个「隐私集」，预先规定哪些消息索引在从该服务器检索时必须保密。当每台服务器的隐私集包含全部消息索引时退化为经典 PIR，当隐私集恰为该服务器所存消息索引集合时即为 LPIR，因此该模型是二者的推广与桥梁。作者首先推导一般图在上述隐私需求下 PIR 容量的通用下界与上界，这些界同时捕捉 LPIR 与经典 PIR 的本质特征；随后聚焦路径存储图与环形（循环）存储图，在若干更细粒度的隐私设定下给出部分情形的精确容量结果，其余情形给出上下界——这两类图度数低，便于深入理解新的隐私公式化并容纳比其它简单图更丰富的隐私需求配置。最后，作者提出一种新的「金字塔存储图」用于建模服务器存储：该图此前未在任何 PIR 语境中被研究过，但在消息存储与副本复制模式上具有良好的对称结构，为后续容量分析提供了新的研究对象。整体属信息论与编码方向的纯理论工作，不涉及具体协议实现或攻击面。

该论文《通过密码学安全属性分析多因素认证》探讨了现代认证系统中多因素认证(MFA)的安全性。摘要指出,现代认证系统用于验证用户(或代表用户的应用)的身份,是防御未授权访问的主要手段。早期系统基于单一机制,如用户名/密码、物理令牌或生物特征,而当前系统已演变为结合多种机制的MFA平台。其中一些机制专注于防止重放攻击,即防止重用可能已被泄露的认证组件。论文从密码学安全属性的角度分析MFA,可能涉及形式化定义安全目标(如新鲜性、不可伪造性、绑定等),并评估现有MFA方案是否满足这些属性。由于仅有摘要,具体方法、实验和贡献尚不明确,但研究问题聚焦于MFA的密码学安全分析,特别是抗重放攻击能力。适合安全研究人员、认证协议设计者和对MFA安全性感兴趣的安全工程师阅读。

零知识虚拟机（zkVM）通过把虚拟机语义翻译成执行轨迹上的代数约束，使通用程序能够被可验证地执行。这些约束的正确性至关重要：一条错误的约束可能使系统处于欠约束（under-constrained）状态，从而接受伪造的证明；也可能因过约束（over-constrained）而拒绝合法执行。现有手段在生产规模下都无法提供有意义的保证——模糊测试和单元测试覆盖不足、SMT 求解器难以应对约束的规模与非线性、定理证明器则需要大量人工投入。 本文提出 ZEBRA，一个全自动的验证与缺陷检测框架。其核心洞察是：对于给定程序与输入，约束系统必须恰好允许一条有效执行轨迹，不多也不少。由此，作者把 zkVM 验证归约为“规范轨迹空间上的解集基数问题”，并在计数之前先消除空行填充（null-row padding）、非确定性置换等结构性冗余。为使基数计算可处理，ZEBRA 将分析从有限域 witness 提升到整数区间格，并利用 zkVM 约束的结构稀疏性——在 5 个真实 zkVM 上，约束平均只使用了其理论连接容量的 14.0%——从而实现紧致的区间传播，并把近似误差控制在有限范围内。在此基础上，ZEBRA 执行并行的分支限界（branch-and-bound）搜索：要么给出一个具体的反例，要么证明在给定有界区域内不存在违规。 在 5 个真实 zkVM 上的评测中，ZEBRA 共发现 11 个零日缺陷，其中 6 个已被独立确认、3 个已被开发者修复；与基于 SMT 的验证相比，ZEBRA 速度快 51.5 倍，可验证的实例多 16.5 个百分点，其范围（区间）验证相比逐输入重复验证最多带来 63 倍的效率提升。该工作面向 zkVM／电路开发者与形式化验证研究者，提供了首个在真实系统上可扩展、可自动化的约束正确性检查路径。

该论文研究的是针对检索增强生成(RAG)系统的知识库成员推断攻击(Membership Inference

检索增强生成（RAG）通过在生成阶段引入外部知识库，显著提升了大语言模型的时效性与事实性，但也把语料库变成了新的攻击面。已有针对 RAG 的投毒研究基本遵循“单点显式注入”范式：把完整的恶意内容封装在单篇文档中，被检索命中后直接进入提示上下文并影响模型输出。正因如此，近期防御机制（基于困惑度、来源可信度、异常文档识别等过滤手段）能够较有效地识别并削减这类威胁。本文首先通过实验验证：面对“间接逻辑诱导”这一类新威胁，现有缓解机制存在明显盲区。其核心思路是改变攻击范式——不再注入显式恶意载荷，而是把它拆解为一条由多篇“休眠文档”组成的信息链。这些文档单独看平淡无害、语义自洽，逐篇审查时可以顺利通过既有过滤；但当它们被同一查询一次性检索并拼接进上下文后，会共同构成一条完整的逻辑推导路径，诱导模型通过多跳推理自行“推导”出攻击者预设的错误结论，而不是直接读到恶意文本。为提升在黑盒条件下的可落地性，作者提出零阶后缀优化（ZOSO），用来自动生成带权威感的后缀表述，以提高检索命中率与上下文说服力。在三个数据集、三种大语言模型上的实验显示，即便在严格的对抗约束下，该方法的攻击成功率仍超过 80%，并能有效绕过针对传统单文档注入的既有防御。作者由此指出一个耐人寻味的悖论：模型推理能力越强，反而越容易在推理型投毒面前被利用。作为对策，论文最后提出基于文档隔离的防御思路 HODOR，试图解耦文档之间被人为构造出的对抗性逻辑依赖。该工作适合 RAG 系统架构师、LLM 应用安全工程师以及关注 AI 供应链与知识库投毒的研究者阅读。

DNSSEC 能对 RRset 做来源认证，但不提供端点身份认证与信道加密。DoT/DoQ 虽可补足，但其设计假设是 stub 到递归解析器这一跳：连接长期存活，可摊薄昂贵的初始握手。而递归到权威这一跳具有高扇入、每个解析器查询频率不均的特点，恰好反转了上述经济性。后量子原语进一步放大矛盾：ML-DSA 的 WebPKI 证书链超过 TCP 初始窗口大小；一次冷启动的 PQ DoQ 查询开销可达同一查询走 UDP 时的约 140 倍字节数。作者还调研了 TLD 与 2LD 域名服务器，发现连接生命周期受限，近半数即使对非空闲连接也设有上限。为此提出 Enc53：一种无状态会话票据协议，实现高效的、经认证的权威 DNS 加密。Enc53 分两阶段：第一阶段在首次查询时完成短时、DNSSEC 锚定、TLS 认证的票据配置；第二阶段进入稳态，使用 1-RTT AEAD 加密的 UDP DNS 查询。协议在服务器侧无状态：递归解析器持有流量密钥与会话票据，权威服务器仅保存对称 STEK。作者在 Knot DNS 中实现 Enc53。稳态一次交换约 570 字节，约为明文 UDP 查询的 3 倍，延迟与未加密 UDP 基线相差 1 ms 以内。恢复型 PQ-ADoT 需 7.7 倍字节与 3 倍延迟；恢复型 PQ-ADoQ 需 10 倍字节但延迟相同。基于根服务器查询轨迹评估，Enc53 相对 ADoT/ADoQ 有 2 倍计算效率，相对 ADoT 有 3 倍内存效率，相对 ADoQ 有 12 倍内存效率。与 FN-DSA-512 后量子 DNSSEC 联合部署时，Enc53-DNSSEC 的 UDP 数据报仍低于 1232 字节缓冲区上限。

该论文研究的是检索增强生成（RAG）中被长期忽视的“引用通道”安全问题。RAG 会先检索外部知识，再基于检索结果生成答案，并为每一条答案附上来源引用；这些引用构成用户的审计线索——读者可以据此核对结论，而无需盲信模型本身。以往 RAG 安全研究几乎都聚焦于“攻击者能否污染答案内容”，而对引用这一可验证性根基缺乏分析。作者指出引用通道是一个全新且切实可用的攻击面，并提出 CiteShade：据称是首个面向 RAG 的“引用洗白（citation laundering）”攻击。在该攻击中，攻击者只需控制多源检索中的一个来源，即可诱导模型输出攻击者选定的错误答案，并把该错误答案归因到一个“可信但实际并不支持该结论”的来源上；与此同时，支持正确答案的证据仍然留在上下文中，因此传统上依赖“上下文是否被污染”的判断方式无法察觉异常。作者将攻击形式化为一个优化问题，推导出攻击成立所需的三个必要条件（检索条件、生成条件与引用条件），并说明可以在不插入任何指令（即无需显式提示注入）的情况下构造出满足条件的来源文档。实验显示：在多源多跳问答任务上，该攻击把错误答案率从 0.01 提升到 0.68；来源删除实验进一步确认，在全部被测案例中恶意来源都是造成错误输出的因果驱动因素。论文还发现，模型对该攻击的脆弱性取决于其“引用倾向”而非模型规模：在最倾向引用来源的模型上，显式指令条件下攻击成功率（CLR）达 0.84，完全不给指令时仍有 0.64。防御方面，作者证明困惑度过滤与引用支撑性检查各自都不充分，并提出一种反事实防御方法，通过消融/替换来源来判断究竟是哪一个来源真正驱动了最终答案。

该论文研究的是视觉-语言检索增强生成 (VLRAG) 系统中的知识投毒问题。VLRAG 通过从外部知识库检索图像与文本证据来增强大型视觉-语言模型 (LVLM) 的回答, 使输出有据可依; 但检索管道同时构成了攻击面: 攻击者只要向知识语料注入少量图文对, 就可能通过被召回的毒化证据影响模型输出。作者指出, 现有知识投毒攻击基本都是“常开式” (always-on) 的, 即只要毒化证据被检索到就会影响生成, 缺乏精确的激活控制, 因此恶意行为难以限制在攻击者预期的输入上, 既降低了隐蔽性, 也降低了有效性 (容易在无关查询上暴露)。为此, 论文提出 ViTeGate, 一种面向 VLRAG 的双触发知识投毒框架: 使用视觉触发器有条件地把毒化证据“推”进检索结果, 再使用文本触发器诱导模型对检索到的证据给出攻击者预设的回答。两者协同实现了检索阶段与生成阶段的联合控制——缺少视觉触发时减少毒化证据的暴露, 缺少文本触发时保持正常回答, 从而降低单触发误激活带来的暴露风险。实验在多组查询数据集、多种检索器与多个 LVLM 上展开, 验证了该设计的有效性: 在 InfoSeek 数据集上攻击成功率最高可达 0.98, 同时干净输入的答案准确率最高保持在 0.93, 说明该攻击在实现高成功率的同时能较好维持正常功能表现。论文属于对抗性机器学习与多模态检索安全方向的学术研究, 适合从事 RAG/多模态系统安全、模型供应链与红队评估的读者阅读。

该论文针对无线通信在动态、去中心化环境下的抗窃听需求，提出并实现了一个名为 gr-PHYSEC 的 GNU Radio 外部（out-of-tree, OOT）模块，用于实时物理层密钥生成。传统密钥分发要么依赖预共享秘密，要么依赖公钥密码的计算复杂度，在缺乏中心基础设施、算力受限或需要快速组网的场景（如机器人集群、无人平台）中难以适用。作者的思路是改用无线信道本身固有的随机性作为双方共享的熵源：在可信双方 Alice 与 Bob 之间进行探测帧（probe）交换时，双方观测到的信道衰落与多径特征高度相关，而窃听者若处于不同位置则难以复现同样的特征。gr-PHYSEC 将训练好的神经网络嵌入 GNU Radio 流图，用其从信道测量中提取稳健特征（相当于对信道状态做特征学习与降噪），然后把这些特征量化为二进制比特串；由于双方量化结果会出现少量不一致，模块使用 Reed-Solomon 纠错编码完成密钥协商（reconciliation），再以 SHA-512 哈希做强化/隐私放大，最终生成对称密钥并直接用于数据加密。整个流程在 GNU Radio 中实时运行。实验部分在佛罗里达大西洋大学 CAAI 的 connected robotics testbed 上开展，硬件采用 ADALM Pluto 软件定义无线电与 NVIDIA Jetson Orin 边缘计算平台，并配合地面机器人平台进行真实环境验证。结果显示密钥不一致率较低，且生成的密钥通过了面向密码应用的 NIST 随机性与伪随机数发生器测试套件，随机性满足要求。论文的主要贡献在于：把 AI 驱动的物理层密钥生成工程化为可复用的 GNU Radio 模块，验证了软件无线电平台可承载实时智能安全方案，并开源了源码。

民用 GNSS 接收机长期面临欺骗（spoofing）攻击的威胁，尤其在冲突地区周边，民航、海事作业与关键基础设施的定位与授时服务已受到日常性干扰。欺骗之所以可行，是因为传统民用 GNSS 信号的导航电文与测距码在结构上高度可预测，攻击者据此可以伪造出看似正常的信号，让毫不知情的接收机输出错误的定位与时间。Galileo 的开放服务导航电文认证（OSNMA）等密码学认证机制已能验证导航电文数据的真实性，但测距码本身仍未受保护，攻击者仍可能通过伪造测距观测值实施欺骗。为弥补这一缺口，Galileo 正在 E6-C 信号中引入信号认证服务（SAS），对测距测量值本身直接进行认证。当前 SAS 仅由两颗位于椭圆轨道的卫星播发，同一时刻最多只有一颗可见，因此尚无法构成完整的定位解算；但对于已知自身大致位置的接收机（georeferenced receiver），仍可借此获得一个经过认证的时间解算。本文据作者所知，首次给出由经过认证的民用 GNSS 信号计算得到的时间解算结果。作者实现了一个快照式（snapshot）软件接收机，采用简化版的 Galileo SAS 协议，从经过认证的伪距中计算接收机钟差，所使用的射频数据由 Septentrio 提供的工程样机软件定义无线电接收机采集。作者利用在不同地点采集的两颗具备 SAS 能力卫星的记录数据对所得时间解算进行了评估，证明了在 SAS 全面运行部署之前，认证授时方案已经具备可行性。该工作属于信号处理与导航安全交叉方向的研究，适合从事 GNSS 安全、授时基础设施保护、信号认证与接收机实现的工程师与研究人员阅读。

该论文针对网络入侵检测场景中事件流碎片化、异构的特点，提出了一种事件原生的符号-时序脉冲编码框架，用于让脉冲神经网络（SNN）能够直接在原始异构网络事件流上工作。研究背景是：SNN 依靠有状态处理实现稀疏、事件驱动的计算，天然契合低功耗边缘硬件，也契合异步到达的安全监控数据；网络中恶意行为往往体现在事件序列的时序模式里而非单个事件的值上。但作者指出，网络事件流并非纯粹的连续数值信号——其信息结构还由类别型标识符（如协议、端口、CAN ID 等）、不规则的到达时间和局部行为上下文共同承载。传统基于发放率或群体编码的脉冲编码方式难以表达这类异构语义；而常规 IDS 流水线通常把原始事件转换成流记录、固定聚合窗口或稠密张量来适配传统分类器，这些转换会引入缓冲延迟、掩盖原生时序结构，并削弱事件驱动/神经形态计算在功耗和时延上的优势。为此，论文提出的框架把编码角色分别指派给三类信息：语义身份（categorical 标识的符号化表示）、局部频率上下文（局部时间窗内的出现频度）以及事件间时序（inter-event timing），从而在直接生成稀疏、可被脉冲网络消费的输入的同时，保留类别语义与时序动力学，无需先做窗口聚合或稠密化。作者在包级网络 IDS 数据集上验证了该方法，并将其扩展到消息级 CAN 总线 IDS（车载网络），用两个域共同评估编码是否能为直接在原生事件流上运行的循环 SNN 暴露可用的结构。在面向边缘、与 μCaspian 对齐的硬件约束下，紧凑的循环 SNN 取得了较强的异常检测性能，操作型混合指标 J_hybrid 在网络 IDS 上为 0.987，在 CAN IDS 上为 0.980。论文整体偏向方法学与架构设计，旨在为神经形态/边缘安全监控提供一种避免流量化与窗口化预处理的编码范式。

该论文研究以太坊 Layer-2 rollup 时代出现的新型链上交易行为。作者指出，Arbitrum 等 rollup 以确定性排序、亚秒级出块和极低 gas 费取代了传统内存池竞争，虽抑制了经典 MEV，却催生了此前未被系统识别的行为模式。论文提出“高频兑换”（High-Frequency Swapping, HFS）概念，指在去中心化交易所内以机器节奏连续进行的单跳兑换。为量化该现象，作者构建可复现分析管线，基于 Arbitrum 18 个月全链数据（2023 年 1 月至 2024 年 6 月），先隔离自愿性单笔兑换交易，再归因到 swapper 地址层，并通过到达间隔动态识别 HFS 行为。结果显示，仅 477 个 HFS swapper 地址就贡献近 3000 万笔兑换和超过 10^11 美元名义交易量。论文从多维度展开实证分析：全局活动模式、时间动态、swapper 身份、代币覆盖、场所集中度、兑换规模、时间间隔和订单方向；并进一步进行案例级行为剖析，包括稳定币套利、CEX-DEX 执行价差以及短周期往返交易。作者据此总结出可将 HFS 与普通散户或传统套利活动区分开的稳定结构规律。该工作提供了 Arbitrum 上 HFS 的大规模地址级实证刻画，并为去中心化市场微结构研究奠定经验基础。适合区块链安全、DeFi 风控、链上市场监测与 MEV 研究读者。

该论文针对“混合量子—经典工作流”的完整性验证，提出一套“主张相对（claim-relative）”的证据/参照框架。核心问题是：当篡改或系统性偏差只改变标签通路（label path），而不改变可观测的特征/预测视图时，防御方能否仅凭观测数据判定完整性已被破坏。作者指出，观测不可区分性会造成“结构性盲区”，它与有限批次抽样导致的统计漏检有本质区别：前者原理上无法靠增大样本量弥补，后者只是样本量不足。论文在一个显式声明的格（lattice）结构内论证了不同强度完整性目标所需的最小可信参照：只需保证结论（conclusion）完整性时，一个可信的同批次标量 R0 即可；需同时覆盖聚合（aggregate）与结论时需聚合量 M0；需保证条目身份（item identity）时则需条目对齐绑定。实验方面，在 3,600 次标签干预下，特征/预测视图实现了精确的标签通路不变性；全部 764 条几何对齐的聚合盲区行与其配对干净响应完全相等，攻击专有增量为零。在统计响应侧，几何对齐构造配合 conformal 规则在 2,700 次改变结论的标签干预（τ→0+）中检出 343 次，未校正的并集规则检出 1,183 次；而原始冻结的同条目几何仅分别检出 11/2,617 与 43/2,617。执行后 conformal 干净误动作率为 0.048–0.059（描述性），其有限样本保证依赖可交换性假设，而重叠抽取设计违反了该假设。保留聚类的自适应压力测试（Gate A）在 40 个环境/切分单元中的 25–40 个单元上相比匹配对照降低了响应，同时仍保留结论变化。限定的 165 个设计单元的理想态矢量与有限采样仿真分支，直接实例化了语义核、估计核与观测核的转移。作者强调，固定等权设计既不能估计部署流行度，也不能给出 QPU、供应商或已部署服务层面的保证。

该论文关注分布式图分析中的隐私保护统计问题。三角形（triangle）与四边形（quadrangle）计数是图分析中的核心统计量，广泛用于社交网络分析、欺诈团伙识别、异常检测和网络结构刻画。然而现实中的图数据往往分散在多方手中，且边关系本身高度敏感（如通信关系、交易关系、亲属关系），直接汇聚数据在法律与商业上均不可行。安全多方计算（MPC）提供了原则性的替代方案，但作者指出其存在一个根本性张力：为了隐藏图拓扑，协议必须对所有潜在边执行数据无关（data-oblivious）的操作，而真实图往往极其稀疏，导致绝大多数计算被浪费在根本不存在的边上，性能瓶颈严重。为此论文提出 Trinqet 系统，核心是为隐私三角形与四边形检测设计了一组对 MPC 友好的新算法。Trinqet 通过一系列新技术在保证恶意威胁模型（malicious threat model）下强安全性的同时，安全地利用图的稀疏性，消除大量冗余操作。系统同时支持计数（counting）与枚举（enumeration）两种功能模式。实验评估显示，Trinqet 相比五个基线方案在运行时间上最高快 10^5 倍，说明其稀疏性利用策略在隐私保护图分析这类场景中带来了数量级的性能提升。该工作属于隐私增强技术（PET）与分布式图计算的交叉方向，适合关注联邦/多方数据分析、MPC 工程化落地以及跨机构图风控的读者。

该论文关注一个长期被安全社区低估的问题：Python 的 import 语句不仅是依赖解析机制，更是一个执行边界——在模块与包的初始化阶段就会实际执行代码。这种执行可能触发异常、动态加载模块或原生扩展、访问文件/网络/环境资源，甚至在应用尚未调用目标包的任何 API 之前就修改安全敏感状态（如全局配置、日志、密钥、认证开关、反序列化钩子等）。作者指出，已有研究多聚焦于包选择风险、恶意包检测或包自身的漏洞，而缺少对「导入行为本身如何引发缺陷与安全问题」的系统性实证分析。为填补这一空白，作者构建了 ImportMine 研究流程：把公开安全公告（advisories）与 PyPI 项目历史数据结合，利用源码与补丁证据进行人工/半自动确认，回答四个问题——import 在什么条件下激活问题、问题为何产生、开发者如何修复、以及需要哪些程序信息才能解释该行为。研究保留 31 个与 import 相关的公告漏洞和 38 个应用-数据边界案例，并在 1,302 个代码仓库中确认了 1,429 个项目历史缺陷。关键发现包括：在初始化阶段被激活的项目历史缺陷中，97.6% 会导致正常执行中断或功能受损；而在 20 个初始化阶段激活的公告漏洞中，90.0% 被评级为 High 或 Critical。模块级代码与包初始化共激活了 98.3% 的分析案例，说明风险主要集中在导入即执行的语义上；动态加载虽占比很低，但其案例大多执行了安全敏感操作。作者还观察到一种普遍的修复反模式：许多补丁只是改变 import 何时变为「激活」（延迟导入、条件导入、移动到函数内部），而非真正移除依赖或消除危险副作用。最后，论文发布了 ImportVulBench，包含 228 组修复前/修复后配对程序，覆盖全部 11 种缺陷类型，可用于评估静态分析与程序理解工具对 import 触发行为的检测能力。

该论文聚焦量子计算对云原生与微服务企业系统中经典密码学的长期威胁，指出传统密码原语已深度耦合进遗留微服务的代码与通信链路，直接改造应用代码升级到后量子密码（PQC）既复杂、风险高，又会造成业务中断。为此作者提出「策略治理的临时边车式后量子迁移框架」（PG-PQMES），核心思路是把密码迁移从应用内部解耦出来，做成动态、可逆、对遗留代码零侵入的运行时透明替换。架构分为三层：临时密码边车层（Ephemeral Crypto Sidecar Layer）在运行时注入并承载后量子密码能力；策略治理层（Policy Governance Layer）集中管理迁移范围、节奏与合规要求；迁移安全与可观测层（Migration Safety and Observability Layer）持续度量性能指标并在异常时自动回滚。论文还提出策略治理的临时 PQ 迁移算法（PG-EPM），在性能、合规与信任度之间做多目标优化，决定服务实例的迁移顺序与回滚触发条件。作者在模拟的微服务环境中与现有迁移策略进行对比评估，结果显示迁移耗时、服务停机时间、延迟开销以及回滚恢复时间均显著下降。结论认为，基于边车与策略驱动的迁移路线具备可落地、可扩展、面向企业规模的可行性，为后量子安全转型提供了一条渐进式路径。该工作的价值在于把「密码敏捷性」工程化，强调可逆性与集中治理，而非一次性替换算法。需要注意论文结论基于仿真环境，缺乏真实生产流量与多语言遗留系统的验证，可信度标注为仅摘要级。

该论文关注的是「人格技能蒸馏」（persona skill distillation）带来的隐私与劳动自主权风险：攻击者可以从个人历史信息（如文本、对话、行为记录）中提取反复出现的行为模式，把它们编码成可复用的技能，从而让 AI 系统高度复现某个特定个人的说话方式、判断风格与行为倾向。作者指出，已有的防御路线以「扰动」为主——即在数据被收集之前由个人对自身数据做扰动、加噪或替换，使蒸馏结果失真。但现实场景往往是 append-only（只追加、不可回溯改写）的：历史记录一旦被第三方或攻击者采集入库，个人就再也无法修改、净化或撤销这些数据，因此扰动类防御在时间线上已经失效，无法适配这种不可逆的采集模式。 为应对这一问题，论文提出 CounterPersona 框架，核心思路由三个环节组成：(1) 构造有针对性的「反人格证据」（targeted counter-persona evidence），即在数据侧注入与目标人格行为相冲突、但语义上自洽的内容，用以稀释和干扰可被蒸馏的一致性模式；(2) 把彼此兼容的行为状态打包成紧凑的「实现单元」（realization units），使反制信号以低冗余、可组合的形式存在，而不是零散、易被过滤的噪声；(3) 通过「理由引导的一致性改写」（rationale-guided consistency rewriting）对这些单元进行强化，使反制证据在语义层面保持前后一致，从而更难被蒸馏器的清洗、去噪或质量过滤步骤剔除。 实验部分，作者开展了较为广泛的评测，覆盖词法层面、语义层面以及基于 LLM 的判定指标，结果显示 CounterPersona 在不同度量下都能取得较强且稳定的防护效果，并且对不同的蒸馏器（distiller）保持稳健，说明该防御不依赖于某一特定模型或特定蒸馏流程的实现细节。论文的整体贡献在于提出了「技能反蒸馏」（skill anti-distillation）这一新范式，把防护重心从「采集前扰动」转向「采集后不可撤回条件下的对抗性证据构建」，为个人隐私与劳动自主权在生成式 AI 时代提供了一条新的技术路径。适合关注 LLM 智能体安全、隐私保护、数据治理以及 AI 对个人劳动替代风险的研究者与安全工程师阅读。

该论文研究移动端智能体（mobile agent）安全中的一个基础性前提是否成立：用户与智能体在同一界面状态下是否看到一致的信息。作者指出，人类用户通过物理显示屏与视觉系统感知移动界面，其观察受遮挡与亮度对比度限制；而智能体消费的是数字截图与无障碍（accessibility）节点元数据，这些表征可能保留人眼无法察觉或被遮挡的内容，并暴露非视觉的控件元数据。由此，同一个 UI 状态可能对用户与智能体呈现实质不同的信息，作者将这种错位命名为“人—智能体 UI 失同步”（human-agent UI desynchronization）。 论文的核心问题是：一个对合法 APK 进行重打包得到的克隆应用，能否在不影响人对原应用使用体验、且行为与原始应用保持一致的前提下，利用这种失同步把智能体引导到攻击者指定的动作上。作者验证了该威胁的可行性：仅需在部署前嵌入扰动，无需运行时获取用户指令、无需探测智能体、也无需在线自适应，即可诱发智能体行为偏离。 为系统性地暴露和评估该威胁，作者构建了一个自动化框架，能够生成与用户运行时指令无关的 UI 失同步攻击，并将其落到可实际部署的 APK 中。评估覆盖 5 个移动智能体框架与 3 个主干模型，在涉及多类应用的 546 个任务上分别取得平均 77.9% 与 66.9% 的误导率。补充的用户问卷研究（186 名参与者）显示，所用视觉扰动难以被人类用户察觉。论文贡献在于：首次系统化定义并验证人—智能体 UI 失同步这一威胁类别，给出可复现的自动化构造与评估方法，并用跨框架、跨模型的量化结果与用户感知数据说明该风险在真实移动智能体部署中的普遍性与隐蔽性。适合移动安全、智能体安全、人机交互安全方向的研究者与蓝队工程师阅读。

该论文关注的背景是 TON（The Open Network）公链：其市值峰值超过 200 亿美元，链上已激活地址逾 1.75 亿，智能合约由 TVM（TON Virtual Machine）执行。与常见的栈式虚拟机不同，TVM 采用一等续延（first-class continuation）配合 savelist 来管理控制流与寄存器状态：续延被调用时，部分寄存器会被 savelist 捕获并随之传递，而不是通过操作数栈显式压栈传递。这一设计导致数据可以在续延边界之间“隐式”流动，若字节码级分析不显式建模 savelist 语义，就无法还原完整的数据流，也就无法准确追踪污点与定位缺陷——这是本文提出的核心问题。 为此作者提出 TasmScan，声称是首个面向 TVM 的字节码级静态分析框架，在不需要源码的前提下支持跨续延的数据流推理。其技术路线分三步：第一，用前向寄存器分析对 savelist 语义建模，对可精确解析的保存点（exact-resolved save sites）与本地追踪的寄存器定义给出形式化的过近似保证，从而安全地推导寄存器在续延间的取值；第二，把原始字节码提升为带类型的中间表示 TASIR，使指令语义与分析规则解耦；第三，在 TASIR 上执行路径敏感（path-sensitive）的污点分析，并使用上下文感知（context-aware）的污点源来检测缺陷。 实验部分：作者在 TON 验证者注册表中的 2,921 份合约以及一个含 208 份合约、由人工确认真值的标注基准上评估。在全量语料上，TasmScan 解析出 294,546 个动态续延目标，精确率 100%；消融实验显示 savelist 传播对于解析依赖跨续延寄存器传递的间接寄存器调用是不可或缺的。在标注基准上，工具对五类缺陷查全率达 95.3%，精确率 96.8%；从全量语料中分层抽样的 366 对样本估计整体精确率为 85.8%。性能方面，相对当前最先进的符号执行基线取得 17 倍中位加速，在路径分析对比中完成全部分析任务，零崩溃、零超时。 总体贡献可归纳为：把 savelist 这一 TVM 特有的续延状态语义形式化并纳入字节码静态分析，提出可复用的类型化 IR，并以大规模真实语料验证了跨续延污点分析在准确率与效率上的可行性。适合区块链安全研究者、智能合约审计工具开发者以及 TON 生态的安全工程师阅读。

该论文聚焦物联网（IoT）领域一个长期被忽视但规模庞大的问题：厂商停止支持后仍在用户手机上运行、并持续与 IoT 设备交互的“伴侣 App”。作者将这类应用定义为 "IoT abandonware"（物联网弃置软件），并声称这是首个针对已停更 App 安全风险的大规模测量研究。研究的数据集是截至 2025 年 3 月已至少两年未更新或已停止服务的 61,500 个 Android 端 IoT 伴侣应用。方法上，作者对反编译后的二进制文件提取“潜伏与内嵌资源”，包括打包进 APK 的第三方库、硬编码域名和权限声明，并据此评估安全影响。分析分为两条主线：第一，识别出已被弃置后仍有新披露 CVE 的过时依赖组件，以及可能被域名接管（domain takeover）或被用于数据外泄的端点；第二，基于所提取权限推断敏感数据，做静态数据流分析，追踪这些数据如何流向已失效或可被劫持的外部端点。核心发现是：厂商失去控制权很久之后，持久化的分析 SDK 与第三方追踪器仍在持续汇聚用户数据和设备遥测，形成攻击者可重定向或滥用的数据流。整体上，作者在 73.6% 的样本中识别出安全风险，安装量排名前 1000 的应用中有 30 个仍在向已损坏（broken）的外部端点发送数据。该研究的意义在于把“软件供应链弃置”这一议题从桌面/服务端延伸到了 IoT 移动生态，量化了弃置 App 带来的远程利用、未授权设备访问与长期数据滥用风险，并给出了依赖、域名、权限与数据流四个可操作的观测维度。

立体相机凭借成本优势被广泛应用于自动驾驶、无人机与机器人平台，用于替代昂贵的激光雷达完成高精度深度估计。本文揭示了一个源自像素采样与标定流程的立体视觉内在脆弱性：该脆弱性会直接影响立体匹配算法的输出，使攻击者仅借助简单的重复图案即可对真实障碍物的估计深度实施细粒度操控，而无需依赖复杂的对抗机器学习技术；基于深度学习的深度估计模型也表现出类似问题。作者在多种目标上评估了影响范围，包括两种主流立体匹配算法(BM、SGBM)、三种深度学习模型(PSMNet、MoCha-Stereo、UniMatch)、一个立体-激光雷达融合模型(SGM-DDC)，以及两款商用立体相机 ZED2 与 Intel RealSense D435。以 ZED2 为例，攻击者可使障碍物深度被推远至多 20 米或拉近至多 12 米。在真实道路场景中，持续约 0.5 秒的干扰即可触发某主流自动驾驶框架的紧急制动；作者还借助 CARLA 在最高 40 km/h 车速下验证了可行性。最后，作者确认现有先进防御手段在该场景下无效，并提出一种利用相似度分数动态检测并抑制深度偏差的新策略。该工作凸显了立体匹配与深度学习深度估计中隐藏的安全隐患，指出自主系统部署中亟需弥补的关键短板。

该论文研究的是「潜在世界模型（Latent World Model）」在复用场景下暴露出的供应链后门风险。世界模型是一类学习式模拟器：把观测编码为潜在状态，并预测在给定动作下状态如何演化。当前社区开始像复用预训练编码器和语言模型那样，把预训练世界模型直接当作「开箱即用」的动力学骨干网络，用于下游控制任务（如 Dreamer 风格的想象式 actor 训练，或基于预测未来的 MPC/CEM 规划）。作者指出，这种复用模式引入了一条新的供应链攻击路径：攻击者只需控制一个对外发布的模型检查点，就能劫持下游控制器——而受害者全程在干净数据上训练与评估，从未见过触发器。 该攻击的关键创新在于不编码任何显式的「触发器→动作」规则。相反，被投毒的世界模型会把携带触发器的观测路由到潜在空间中某个选定区域，并重塑该区域的局部动力学，使得受害者自身的优化过程（想象式 actor 训练或规划搜索）自行「重新发现」攻击者预设的目标动作。这样后门与受害者算法解耦，不依赖特定控制器实现。 实验覆盖多个控制任务与多类触发器族。结果表明：触发器能把控制器动作导向攻击者目标，可控制全部动作维度，在最强设置下能劫持 100% 的触发步。同时该检查点仍能通过受害者在部署前常规运行的干净数据诊断，干净任务成功率至少保留约 75%。效果具有时间门控特性：仅在触发器存在时出现，触发器移除后即消失。作者还发现「触发器盲」的修复手段受预算制约：适度的干净微调能保住干净任务效用，但触发失败依然存在；只有足够激进的适配才能消除后门，代价是干净控制性能显著下降。结论是，世界模型骨干正成为一个新兴且被严重忽视的控制系统攻击面，论文代码与工件已开源。该工作适合从事具身智能、强化学习安全、AI 供应链与模型后门检测的研究者与工程师阅读。

## Summary The dashboard reads its authentication credentials from `$ESPHOME_USERNAME` and `$ESPHOME_PASSWORD`. Earlier versions, and the legacy `esphome` dashboard, read the bare `$USERNAME` and `$PASSWORD` instead. When the env vars were renamed the bare names were dropped with no fallback, so an operator who had protected their dashboard with `USERNAME` / `PASSWORD` (as the older getting start

Insufficient validation of inputs supplied through affected VeloCloud Edge management and configuration workflows may allow an authorized management request or configuration value to be interpreted as an operating-system command. Successful exploitation may allow command execution with elevated privileges on the affected VeloCloud Edge.

The VeloCloud Edge software update workflow may accept update bundles without properly validating their signatures because the workflow does not restrict the digest algorithm used for artifact verification. An attacker with either sufficient privileges to upload packages to VeloCloud Orchestrator or credentials permitting direct access to an Edge may be able to install unauthorized software.

NR255-V version 1.5.130703 contains a sensitive information disclosure vulnerability in l2tpd_config_show_cgi.c, ipsec_show_cgi.c, and mod_vpn_remote/plan.json read handlers. Attackers can query l2tpd_config_show.cgi to expose stored IPsec PSK and RSA key material.

The myPRO Manager notification gateway exposes an unauthenticated HTTP endpoint used to send SMS messages through a connected GSM modem. The endpoint is accessible over the network and does not require authentication before accepting a phone number and message from a request and sending the specified SMS message. An unauthenticated attacker with network access to the notification gateway could exp

Netcore NR255-V version 1.5.130703 contains a sensitive information disclosure vulnerability in mod_vpn_remote/plan.json, pptpd_user_show.cgi, pptp_client_config_show.cgi, and l2tpd_user_show.cgi. Attackers can leverage these components to obtain PPTP and L2TP VPN credentials.

On affected platforms running Arista EOS with VRRPv2 IP Authentication Header (IP-AH) authentication configured, an unauthenticated attacker with access to the layer 2 network segment on which VRRP is running could bypass VRRP authentication and claim the virtual router master role, enabling the attacker to intercept, modify, or discard traffic that hosts on the segment send to the virtual gateway

## Summary Ember's chunk decoder parses the size token leniently: it strips leading and trailing whitespace and accepts a leading `+` or `-` sign. RFC9112 §7.1 defines `chunk-size = 1*HEXDIG`. An intermediary that parses the chunk boundary differently (or rejects it) will disagree with Ember on request framing, enabling HTTP request smuggling (TE.TE). ## Impact ### Server Request smuggling (

## Summary Ember's HTTP/1.1 header parser matches the `Transfer-Encoding` header value with a case-sensitive substring test (`hValue.contains("chunked")`). RFC 9112 §7 requires transfer-coding names to be compared case-insensitively. A request carrying `Transfer-Encoding: Chunked` (capital C) is therefore not recognised as chunked, and Ember falls back to framing by `Content-Length` (or zero if a

A vulnerability was found in vllm-project vLLM 0.26.0/0.27.0. Affected is the function MoRIIOConnectorScheduler.request_finished/MoRIIOConnectorWorker.get_finished/MoRIIOWrapper._handle_release_message of the file vllm/distributed/kv_transfer/kv_connector/v1/moriio/moriio_connector.py of the component MoRIIO Acknowledgement Handler. Performing a manipulation of the argument request_id/kv_transfer_

Use after free in Microsoft Edge (Chromium-based) allows an unauthorized attacker to elevate privileges over a network.

Heap-based buffer overflow in Microsoft Edge (Chromium-based) allows an unauthorized attacker to execute code over a network.

Netcore NR255-V version 1.5.130703 contains a sensitive information disclosure vulnerability in the user_pass_show.cgi component. Low-privilege attackers can exploit this flaw via ui_config_2.xml and misc.js to disclose router credentials.

### Summary A vulnerability in ZITADEL’s OAuth2 Token Exchange endpoint allows an authenticated user or client to exchange a low-privilege access token for a token with elevated permissions at a completely different application. This bypasses the intended authorization and separation policies configured within ZITADEL. ### Impact ZITADEL enables administrators to restrict token issuance based o

`@zereight/mcp-gitlab` exposes its Streamable HTTP MCP endpoint without an effective Host or Origin allowlist. A malicious web page can use DNS rebinding to route browser requests to a victim's local MCP listener while preserving an attacker-controlled `Host` and `Origin`. The server accepts those headers and reaches the MCP initialization path instead of rejecting the request at the HTTP boundary

A hardcoded cryptographic server key vulnerability exists in the deployer-ng Update Controller component of Wärtsilä FOS-Onboard.

A hardcoded cryptographic client authentication key vulnerability exists in the robot testing framework component of Wärtsilä FOS-Onboard.

On affected platforms running Arista EOS with Dynamic Host Configuration Protocol (DHCP) relay configured, an unauthenticated attacker with network access could send a crafted DHCP reply packet from an IP address that is not configured as a helper address, and the relay agent would forward it to clients without validating the source. This could allow the attacker to supply clients with malicious n

The mySCADA myPRO Manager command API does not properly enforce authentication for privileged functions. An unauthenticated attacker with network access to the affected API could exploit this vulnerability to access privileged management functions.

Cotonti 1.0.0 Comments plugin passes the ci GET parameter to unserialize() without allowed_classes restriction, allowing unauthenticated attackers to instantiate arbitrary PHP classes with attacker-controlled properties. Attackers can exploit PHP object injection through crafted serialized payloads to trigger gadget chains and achieve database manipulation or code execution.