该论文系统评估了 Google reCAPTCHA 视觉挑战在当前开源本地模型能力下的可破解程度，作者为 Suphannee Sivakorn 与 Samantha Gottlieb。研究背景是：reCAPTCHA 自 2007 年推出以来，是部署最广泛的视觉人机验证服务，被数十万网站用于抵御凭证填充、批量注册、自动化表单滥用等机器人攻击，长期被视为有效防线。此前已有工作证明商业云端视觉语言模型（VLM）可以求解视觉验证码，但每次尝试都存在可观的金钱成本，因而难以大规模滥用，客观上构成一道经济门槛。本文的核心问题是：这道门槛是否依然成立？作者对 reCAPTCHA 做了较全面的测量与梳理，提出挑战类型分类法：Type A 为多张相互独立的图像块（又分静态与动态子变体），Type B 为单张图被切成 4x4 网格的选图任务，两类任务需要不同的求解策略。基于此，作者设计了零样本、零成本的求解方案，完全建立在开源本地模型之上：Type A 使用 CLIP，单挑战准确率约 58%；Type B 使用 OWLv2，准确率约 43.5%，全程无需训练模型、无需调用任何 API。将上述单点能力编排为端到端自动化解算器后，在 500 次真实 reCAPTCHA 会话中取得 92.6% 的会话级成功率。论文进一步指出，非技术背景的攻击者仅用自然语言指令驱动一个普通商用 AI 助手即可完成同类任务，攻击者的实际技能门槛被压到接近零，这从根本上改变了基于挑战的验证码威胁模型。作者同时观察到，reCAPTCHA 正逐渐转向基于信誉的验证机制，但视觉挑战式回退路径仍然长期存在，并因此成为整条防御链中最薄弱的一环，提示基于视觉挑战的验证码可能已走到使用寿命的终点。论文适合安全研究者、风控与反自动化团队、以及负责账号安全与反机器人策略的工程师阅读。

论文针对在线平台向用户发送的可疑登录通知（suspicious login notifications）的设计问题展开研究。尽管这类通知被广泛用于检测和防范账户劫持，但用户如何与它们互动以及如何优化其设计尚未被充分探讨。作者首先收集并分析了当前主要在线平台实际使用的电子邮件式可疑登录通知，提取出常见的设计元素（如通知内容、呈现方式、行动按钮等），以此建立实证基础。随后，通过线上半结构化访谈，与20位来自美国的参与者交流，了解他们过往处理可疑登录通知的经验，并展示真实平台的设计元素，评估这些设计如何影响用户阅读通知、验证其真实性、判断登录尝试是否可疑以及采取适当的补救措施。研究发现，某些设计元素（如明确的活动详情、可信的安全指示、清晰的下一步操作指引）能显著提升用户的理解与参与度；而过于模糊或缺乏可验证信息的设计则导致用户忽略或误判。论文最终提出了部署有效通知的实用建议，并指出了未来研究方向，例如个性化通知、跨设备一致性等。该研究适合安全产品经理、用户体验设计师以及关注用户安全行为的从业者阅读。

该论文研究了网络服务账户被入侵后的修复建议问题。作者通过收集和分析多家主流网络服务提供商（如电子邮件、社交媒体、金融平台等）在其帮助中心、安全指南中提供的账户修复建议，评估了这些建议的完整性、准确性和实用性。研究发现，许多服务商的修复建议存在不一致、缺乏步骤细节、未考虑实际用户情境（如多设备、多账户）等问题。此外，论文还通过用户调研揭示了普通用户在遭受账户入侵后实际采取的修复行为与官方建议之间的差距，指出许多用户依赖非官方来源或自行摸索。作者提出了一套改进修复建议的框架，包括应覆盖的必选步骤（如密码重置、检查登录活动、撤销第三方应用权限等）和可选最佳实践，并呼吁行业统一标准。实验部分包括对100+服务商的建议进行编码分析，以及针对500名用户的问卷调查。主要贡献在于系统性地揭示了当前账户修复建议的不足，为服务商优化安全指南提供了数据驱动的建议。

该论文针对用户账户创建过程中的安全漏洞进行了实证研究，提出了“账户预劫持”（Pre-hijacking）攻击的概念。不同于传统的账户劫持（攻击者在受害者创建账户后窃取访问权限），预劫持攻击的特点是在受害者创建账户之前，攻击者已执行某些操作，使得受害者后续创建或恢复账户后，攻击者能轻易获得访问权限。论文假设攻击者仅知道受害者的电子邮件地址，识别并描述了五种不同类型的预劫持攻击：经典联合攻击（攻击者先使用受害者邮箱注册联合身份，受害者再用同一邮箱创建原生账户时被绑定到攻击者控制的身份）、未验证电子邮件攻击（服务允许未验证邮箱创建账户，攻击者可先占用邮箱创建账户，受害者后续无法注册）、联合合并攻击（攻击者将受害者现有账户与攻击者控制的联合身份绑定）、跨服务重定向攻击、以及第三方身份供应商劫持。为测试实际影响，作者分析了75个热门在线服务，发现至少35个存在一种或多种预劫持漏洞。其中部分漏洞可能被警惕的用户察觉，但有些对受害者完全不可见。研究进一步分析了漏洞根本原因，并提出了防止此类漏洞的安全需求。该工作来源于对Ghasemisharif等人关于“先发制人账户劫持”研究的扩展。