该论文针对 5G 移动网络的安全与隐私保证在真实商用网络中是否真正生效这一问题展开研究。作者指出，先前研究普遍忽略了一个关键区分：残余暴露风险其实来自两类完全不同的根因——一是协议设计层面的固有缺陷（即便运营商完全符合 3GPP 规范，攻击面依然存在），二是实现层面的差距（由不完整或不合规的部署实现引入）。不区分这两类根因，就无法判断问题究竟该由标准化组织修复还是由运营商整改。为此，作者提出 5G-Shark：一套面向 5G 签约用户隐私与未认证信令韧性的安全评估工具与方法论。与依赖主动干扰（jamming）或畸形包注入的传统方案不同，5G-Shark 将合法的移动性流程反向利用，通过操纵标准化的小区重选判决准则，把目标用户设备（UE）诱导到自行搭建的伪基站（rogue cell）上，从而在不显著中断服务的前提下获得攻击观测点，具备较强的隐蔽性。随后，该方法论执行一系列必要交互以暴露被测系统的安全风险，并将风险归类为前述两类根因。工具完全基于开源协议栈与软件无线电（SDR）硬件构建，并在商用 5G 独立组网（SA）部署上完成评估，可触发的行为包括：向网络请求签约用户标识、通过构造的 Registration Reject 原因码迫使终端发生无线接入技术（RAT）代际降级、以及诱发拒绝服务状态。对每个向量，作者都将其根因明确归因于协议设计缺陷或部署不合规。此外，论文给出实证证据：在多个商用部署中，临时标识符（如 5G-GUTI）的重新分配接近顺序递增，使得相邻取值之间保持可关联性，从而在签约用户永久标识已被正确隐藏的情况下，仍然可以实现对用户的持续跟踪。这一发现说明，即便规范要求的身份隐藏机制正确实现，标识符分配策略仍可能成为隐私链条上的薄弱环节。

本文提出了一种名为 Drishti 的、由 AI 主导但由人类指导的漏洞审计框架，针对开源 5G 核心网软件中漏洞验证与影响评估成本高昂的问题。作者指出，随着 AI 辅助代码审查的发展，生成候选缺陷已不再困难，真正的瓶颈在于验证和影响评估，尤其是在关键基础设施软件（如 5G 核心网）中。验证过程包含四种成本：验证（verification）、可达性（reachability）、影响（impact）和修复完整性（fix-completeness）。Drishti 框架由四个组件构成，分别对应上述成本：(i) 用于验证的反模式目录（anti-pattern catalog）；(ii) 用于可达性分析的关键路径分类（critical-path triage）；(iii) 用于影响评估的同心验证（concentric validation）；(iv) 用于修复完整性检查的补丁审查（patch-review）。作者对 Open5GS 和 free5GC 两个开源 5G 核心网项目进行了审计，取得了三项发现。第一项是 Open5GS 的 NRF（网络功能仓库功能）多部分解析器存在一个预认证的 NULL 指针解引用漏洞，该漏洞已在上游修复并申请了 CVE。第二项是 free5GC 的 NGAP 解码器中存在 ASN.1 PER（packed encoding rules）内存放大漏洞：来自恶意 gNodeB 的 2 字节输入可在 6.2 秒内导致 AMF（接入和移动性管理功能）进程因内存耗尽（OOM）而被杀死。第三项是 CVE-2025-69248 的修复补丁存在缺陷，其纵深防御检查在认证之前是死代码，无法真正发挥作用。该框架旨在降低人工验证成本，提高漏洞审计的效率和准确性，适合安全研究人员、5G 核心网维护者以及从事关键基础设施安全审计的蓝队人员阅读。