Beyond Static Guarantees: Measuring the Static-Pass Dynamic-Fail Gap in Security-Sensitive and LLM-Generated Python Code
该论文提出并量化了「静态通过、动态失败」（Static-Pass Dynamic-Fail, SPDF）现象：代码通过了静态安全扫描，但在真实运行时仍可被利用。作者指出，静态分析因可扩展、可复现、成本低，被广泛当作软件供应链与 AI 生成代
2026-09-12 归档
今日共收录 1637 条安全情报，包含 801 个 CVE，449 篇安全通告，以及 100 篇研究论文。
← 返回归档列表When Ad Networks Misbehave: Understanding Risks of Semi-Drive-By Splash Ads
本文研究移动端开屏广告（splash ads，即 App 启动时展示的全屏广告）生态中的新型欺诈行为。该场景的特殊性在于：广告变现依赖"交互信号"（点击、触摸、传感器回调等），而这些信号在端到端链路上难以被广告主独立验证；同时，误触、设备晃
PrivEscalate: Measuring and Augmenting the Threat of LLM-Automated Linux Privilege Escalation
该论文关注一个被低估的攻防测量问题：随着 LLM 智能体被越来越多地用于自动化攻击链的后渗透环节，它们在复杂本地提权任务中的实际能力究竟如何，此前缺乏可执行验证下的大规模量化证据。作者指出，已有针对 Linux 提权任务的评测普遍存在样本量
CS-Guard: Benchmarking LLM Guardrails for Code Generation Security
该论文提出 CS-Guard——据作者所述是首个系统性评估「代码生成安全护栏（guardrail）」的基准测试框架。研究背景是：大语言模型已被滥用于生成恶意软件，但现有护栏在代码生成场景下的实际防护效果缺乏系统量化。CS-Guard 从两个
From Specs to Apps: Verifying and Monitoring Models of Signal and WhatsApp
该论文聚焦于一个长期存在的安全工程问题：即时通信协议的「形式化规范保证」与「实际运行实现行为」之间存在落差。Signal 协议为数以十亿计的用户提供加密通信，是 WhatsApp（全球用户量最大的消息应用）与 Signal 官方客户端的底层
A2ABreak: Systematic Security Analysis of the A2A Protocol
该论文《A2ABreak: Systematic Security Analysis of the A2A Protocol》针对由 Linux 基金会治理、正在成为多智能体生态水平通信层的 Agent2Agent（A2A）协议开展首次系统
PrivAudit: A Dual-Lens Auditing Framework for Website Privacy Practices under the CCPA
该论文针对《加州消费者隐私法案》(CCPA) 生效五年后缺乏规模化合规审计手段这一问题, 提出了一套名为 PrivAudit 的自动化审计框架。作者指出, 既有研究多依赖人工、个案式的执法与检查, 无法系统性地覆盖网站面向用户的两个关键合规
BlueSTAR: Tiered Agentic Architecture for Autonomous Cyber Defense
该论文针对当前网络攻防节奏失衡的现实问题展开研究：攻击行为日益自动化，人类分析师可用于检测、推理与响应的窗口被大幅压缩。大语言模型（LLM）因具备关联异构证据、对未见威胁进行推理的能力，被视为实现自主网络防御的潜在基础，但直接把 LLM 接
SpecGuard: Inference-Time Backdoor Detection For Free
该论文关注大语言模型供应链中的后门风险：模型常被第三方微调、共享或直接下载，因此实际部署的模型可能在良性输入下表现完全正常，一旦出现攻击者预设的秘密触发器，就切换为攻击者控制的行为。部署前的静态审计虽然有效，但对于持续更新、频繁重新微调或热
Understanding the Security Boundary of Obfuscation-based On-Device LLM Protection
该论文研究设备端大语言模型（LLM）知识产权保护中的安全边界问题。背景上，可信执行环境（TEE）为在本地设备上保护 LLM 权重提供了有前景的隔离机制，但 TEE 本身存在计算瓶颈。现有 TEE 屏蔽式 LLM 划分（TSLP）方法通过高效
DeFiFusion: Combining Transaction Events with Smart Contracts to Detect Price Manipulation Attacks
该论文研究的是去中心化金融（DeFi）中的价格操纵攻击（Price Manipulation Attacks, PMA）检测问题。背景上，DeFi 作为基于区块链的快速增长型金融服务，其市场交易动态与底层智能合约逻辑深度耦合；这种无需中心化
Demystifying the Privacy-Utility Trade-off in LLM Interactions
该论文关注大语言模型进入日常任务后产生的隐私与效用矛盾：用户为了让模型完成复杂任务，必须提供上下文丰富的指令，其中往往夹带姓名、地址、账号、病史等敏感信息。目前主流的隐私保护做法是在把提示词发给模型之前套用一套与上下文无关的静态规则（例如统
Big Enough to Break Out: Tracking the Rising Capability of LLM Penetration-Testing Agents
本文对基于大语言模型（LLM）的自动化渗透测试智能体（pentest agent）能力演进做了实测跟踪。作者选取两个都构建于 PentestGPT 之上的系统进行对比：一个是较早期的、采用人在回路（human-in-the-loop）模式的
Towards Scalable and Cost-Efficient Vulnerability Detection: A Study on Automatic Query Generation
该论文聚焦于静态分析在软件安全中的核心地位与 CodeQL 等工具面临的现实瓶颈：构建高覆盖率查询套件通常需要大量人工投入。尽管大语言模型（LLM）在代码推理方面展现出潜力，但其生成结构化、可执行安全查询的实际能力仍缺乏系统评估。为此，作者
AutoTrans: AI-Assisted Automatic Translation of Security Assertions for RISC-V Processors
该论文聚焦 RISC-V 处理器硬件安全验证中的一大效率瓶颈：把一组已在某个处理器目标上通过验证的安全断言（security assertions）复用到另一个 RISC-V 核上。这一过程目前主要依靠人工完成，单条断言的翻译往往要耗费数小
Towards Tackling Application Logic Flaws through Autonomous Formal-Logic Modeling and Automated Reasoning
该论文关注现代语义丰富系统与应用中的“应用逻辑漏洞”（application logic flaws）。这类漏洞与业务语义和威胁模型深度绑定，难以通过传统的模糊测试或静态分析规模化发现：真实系统往往包含多样的应用特性、复杂的协议逻辑与领域专
Active Adaptation, Not Static Defense: Temporal Dynamics of Preventative Steering in Adversarial Fine-Tuning
该论文研究的是大语言模型在恶意微调（adversarial fine-tuning）下的安全对齐脆弱性问题，以及训练期防御手段的时效机制。已有工作提出「预防性引导」（Preventative Steering）：在微调阶段向模型注入代表不良
抢先加入AI时代顶尖安全团队！阿里云2027届实习生招聘来了！
该文为阿里云先知社区（xianzhi）发布的一则招聘公告，标题为「抢先加入AI时代顶尖安全团队！阿里云2027届实习生招聘来了！」，发布时间标注为2026年9月12日。内容指向面向2027届毕业生的实习生招募，宣传对象是所谓「AI时代顶尖安
[下载]IDAPro v9.4.260714(hotfix)+汉化补丁+新版py注册机
[下载]IDAPro v9.4.260714(hotfix)+汉化补丁+新版py注册机
[分享]InstallShield 2026 R1 Premier破解补丁
[分享]InstallShield 2026 R1 Premier破解补丁