PyO3 has an Out-of-bounds Read in `nth` / `nth_back` for `PyList` and `PyTuple` iterators

PyO3 0.24.0 added optimized implementations of `Iterator::nth` and `DoubleEndedIterator::nth_back` for the `BoundListIte

历史摘要 · 未重新核验 · GitHub Advisory

ShinyHunters Exploits Oracle PeopleSoft Zero-Day (CVE-2026-35273) to Breach Universities

CVE-2026-35273

The ShinyHunters extortion crew exploited an unpatched flaw in Oracle PeopleSoft to break into enterprise systems, steal

历史摘要 · 未重新核验 · The Hacker News

Google Confirms Exploitation of Oracle PeopleSoft Zero-Day by ShinyHunters

CVE-2026-35273

Oracle has mitigated CVE-2026-35273, but it has not publicly confirmed the vulnerability’s in-the-wild exploitation. The

历史摘要 · 未重新核验 · SecurityWeek

Understanding and mitigating the risks of OpenClaw for non-technical users: A practical guide with Skill

本文针对非技术用户在使用OpenClaw（一种新兴的AI代理框架）时面临的安全风险进行了系统性的研究。OpenClaw能够自主执行复杂的多步骤任务，吸引了大量用户，但现有安全研究主要面向技术专家，对非技术用户不够友好。作者首先识别并分类了七

历史摘要 · 未重新核验 · arXiv cs.CR

Evaluating and Combating the Impact of Concept Drift on the Performance of Machine Learning-Based Phishing Detection Systems

本文研究了概念漂移（Concept Drift）对基于机器学习的钓鱼检测系统性能的影响，并提出了缓解策略。随着数字通信的快速发展，电子邮件成为主要渠道之一，但也带来了垃圾邮件和钓鱼攻击的持续威胁。传统的机器学习检测模型在静态数据集上表现良好

历史摘要 · 未重新核验 · arXiv cs.CR

MemVenom: Triggered Poisoning of Multimodal Memories in Web Agents

本文研究了多模态Web智能体（Web Agent）中外部记忆组件（External Memory）的安全漏洞。现代Web智能体通常依赖外部记忆来存储长期经验，通过检索历史记录实现长程推理。然而，这种架构引入了一个关键风险：恶意内容若被注入记

历史摘要 · 未重新核验 · arXiv cs.CR

SoK: The Constant Time Model

该论文系统化了针对密码学实现中时序攻击的防御手段——恒定时间（Constant Time）编程模型。尽管恒定时间编程是抵御时序攻击的主要防线，但学术界和工业界对“恒定时间”的定义和模型理解存在差异。本文首先回顾并整理了恒定时间模型的历史演化

历史摘要 · 未重新核验 · arXiv cs.CR

Efficient, Robust, and Anti-Collusion Fingerprinting of Image Diffusion Models

本文提出了一种针对文本到图像（T2I）扩散模型的高效、鲁棒且抗合谋的模型指纹识别方法。现有模型指纹技术通过向生成图像嵌入用户特定标识符来保护知识产权，但普遍存在一个未探索的系统性漏洞：它们缺乏对抗合谋攻击的鲁棒性。合谋攻击中，多个攻击者联合

历史摘要 · 未重新核验 · arXiv cs.CR

RAT: Reference-Augmented Training for ASV Anti-Spoofing

该论文针对自动说话人验证（ASV）中的欺骗检测问题，提出了一种参考增强训练（RAT）策略。作者首先设计了一种基于说话者参考录音的条件反欺骗架构，但在实验中发现该架构在推理时趋向于忽略参考信号，退化为无条件检测器。进一步分析表明，训练过程中引

历史摘要 · 未重新核验 · arXiv cs.CR

Amnesia: A Stealthy Replay Attack on Continual Learning Dreams

本文研究了持续学习（CL）模型在经验回放机制下的安全漏洞。经验回放是缓解灾难性遗忘的常用技术，但其对重放采样干扰的鲁棒性尚未充分探索。现有攻击通常修改输入或训练流程（如投毒、后门），且很少包含显式的可审计约束，缺乏现实性。本文定义并利用了可

历史摘要 · 未重新核验 · arXiv cs.CR

MARCIM-WG: A cyber wargame proposal based on math modeling applied in a naval scenario

本文提出了一种名为MARCIM-WG的海洋网络防御兵棋推演系统，旨在提升决策者的网络态势感知能力。该系统遵循北约兵棋推演方法论，采用混合桌面体验形式：结合物理棋盘（令牌、指示物、特殊卡牌）与基于计算仿真模型的分析辅助裁决。通过高层设计（HL

历史摘要 · 未重新核验 · arXiv cs.CR

Categorical Robustness Assessment for Machine Learning based Network Intrusion Detection Systems

本文系统性评估了机器学习驱动的网络入侵检测系统（NIDS）在面对对抗性攻击时的鲁棒性。尽管已有研究揭示了ML模型在特定场景下的脆弱性，但缺乏跨架构、跨攻击类别和攻击类型的系统比较，导致安全从业人员在选择模型时缺乏明确指导。作者选取了三种主流

历史摘要 · 未重新核验 · arXiv cs.CR

Gerrymandering the Warp: Non-Control-Data Attacks on CUDA Collective Decision

该论文聚焦于CUDA集体操作（如投票、归约、洗牌、栅栏等）在安全决策路径中的脆弱性。这些操作的安全决策不仅依赖于计算值，还依赖于哪些线程（lane）被代表、它们贡献了什么证据、哪个线程代表组、以及哪个检查过的状态到达提交点。作者将这种参与元

历史摘要 · 未重新核验 · arXiv cs.CR

Beyond Runtime Enforcement: Shield Synthesis as Defensibility Analysis for Adversarial Networks

本文重新审视了强化学习中的盾牌合成技术，指出其传统上作为运行时安全机制的定位存在偏差。作者提出将相同的自动机理论工具——规范编译、乘积博弈构建、吸引子计算和获胜区域提取——重新解读为设计时的分析仪器，其输出是对系统安全属性的结构性洞察，而非

历史摘要 · 未重新核验 · arXiv cs.CR

Differentially Private Hierarchical Heavy Hitters

本文提出并研究了在差分隐私保护下释放层次重击者（Hierarchical Heavy Hitters, HHH）的问题。层次重击者是经典重击者问题的推广，最早由Cormode等人在VLDB 2003中引入，用于在数据流中识别在层次结构上显著

历史摘要 · 未重新核验 · arXiv cs.CR

Intent-Based Cryptographic API Design for Cryptographic Agility

该论文聚焦于后量子密码学转型背景下，组织面临更新大型复杂软件组合中密码算法的巨大挑战。当前多数密码API围绕特定算法设计，要求显式使用特定算法，缺乏基于策略的算法选择支持，且无法直接迁移现有密钥至新算法，导致密码算法过渡困难。论文首先通过配

历史摘要 · 未重新核验 · arXiv cs.CR

An Assessment Framework for Application-Level Cryptographic Agility

本文针对即将到来的后量子密码迁移挑战，指出当前密码API在设计时未考虑敏捷性，导致算法替换困难。作者提出一个基于组件的评估框架，用于系统性地衡量应用层密码敏捷性。该框架包含七个正交维度：三个耦合维度（操作耦合、创建耦合、配置耦合）衡量应用代

历史摘要 · 未重新核验 · arXiv cs.CR

ViPER: Vision-based Packing-Aware Encoder for Robust Malware Detection

恶意软件检测是网络安全的核心挑战之一。传统基于静态特征（如签名、熵）的方法容易受到加壳（packing）技术的干扰，而基于可视化的方法将二进制字节映射为灰度图像，利用视觉分类器进行检测，具有抗规避和无需反汇编的优势。然而，可执行文件加壳会生

历史摘要 · 未重新核验 · arXiv cs.CR

MAStrike: Shapley-Guided Collusive Red-Teaming on Multi-Agent Systems

该论文聚焦于层级多智能体系统（MAS）的安全性问题，该类系统正快速部署于金融、软件工程等高风险工作流中。由于安全和保障职责分散在不同角色的智能体之间，攻击面显著扩大，尤其是面临权限提升和跨智能体共谋等协调性对抗行为时。现有红队测试方法存在局

历史摘要 · 未重新核验 · arXiv cs.CR

PolicyGuard: Towards Test-time and Step-level Adversary Defense for Reinforcement Learning Agent

强化学习（RL）在现实世界中的应用日益广泛，但其安全性问题仍需更多关注。最新研究表明，RL智能体容易受到后门攻击的影响：当特定触发器被激活时，本应行为正常的智能体会执行恶意动作。现有的RL后门防御方法要么需要访问智能体的内部参数，要么仅在模

历史摘要 · 未重新核验 · arXiv cs.CR