2025 年，针对可信执行环境（TEE）的物理访问类攻击被陆续披露（如 TEE.fail、Battering RAM），此类攻击需要攻击者能够物理接触目标机器，因而对当前 TEE 部署构成严重威胁。论文的核心观察是：目标机器的物理防护越严格，这类攻击越难实施，于是“机器是否处于可信组织管理之下”成为一项新的安全需求。然而现有 TEE 远程证明只能证明运行环境（固件、软件、配置）的可信度，无法证明机器归属于哪个组织；攻击者因此可以把一台自己可控、但可被物理接触的机器伪装成在合法环境中运行的机器，从而绕过依赖证明结果的信任决策。为此作者提出 TEE Anchor，一种基于 X.509 的轻量级机制，用于证明“哪个组织在管理该机器”。其设计不依赖额外信任根（如 (v)TPM）：由组织针对芯片唯一标识 Chip ID（每颗 CPU 独有）签发证书，构建自身的 PKI；验证方在收到证明证据后，将证据中的 Chip ID 与该组织证书中的 Chip ID 做匹配，即可确认机器的组织归属。相比基于 (v)TPM 的既有方案，TEE Anchor 在运营成本与可部署性上更优，可跨主流 TEE 使用而不被厂商锁定，并允许任意组织独立于 TEE 厂商声明归属。作者实现了原型，并验证包括证书配置（provisioning）与验证在内的全部操作均可在数毫秒内完成。

该论文面向软件供应链安全，提出一个以区块链为信任锚、由 LLM 驱动的智能体（agentic AI）安全框架，目标是同时保护整个软件开发生命周期（SDLC）以及负责监控 SDLC 的那些 AI 智能体自身。核心问题有两层：第一，现代软件供应链的检查点分散在源码、依赖与 SBOM、CI 配置、构建产物、运行时策略等多个环节，单一工具难以给出连续的、可审计的安全保证；第二，当这些检查工作交由 LLM 智能体执行时，智能体本身的输出是否可信、是否被篡改、其决策能否被追责，缺乏工程化的信任机制。方法上，框架编排一组专职安全智能体，分别覆盖源码完整性、依赖与 SBOM 分析、CI 配置审计、产物验证以及运行时策略评估；每个智能体背后由大语言模型负责解释制品、对工具输出进行推理，并生成结构化安全报告，从而把异构工具的原始信号统一成可读、可比对的安全结论。为保证智能体可信，每个智能体在完成分析后会产出一份带密码学签名的证明（attestation），通过智能合约写入许可型区块链；链上包含三个关键模块：智能体注册表、不可篡改的证明日志以及可强制执行的发布策略模块。智能体之间、智能体与链节点之间的通信由联盟运营的证书颁发机构（CA）保护，实现双向认证与防篡改交互。论文还给出详细用例与序列流程，演示源码安全智能体如何完成分析、将证明上链、并触发一个可验证的允许/阻止部署决策，使发布门禁从单点信任转为可验证的分布式信任。主要贡献可概括为：提出一个可泛化的智能体化供应链安全架构；以签名证明加区块链日志解决智能体可追责与防篡改问题；通过策略合约把安全结论直接约束到部署动作；并论证该架构在去中心化完整性、透明溯源和持续安全保证方面的价值。适合软件供应链安全、DevSecOps 平台、CI/CD 治理以及 LLM 智能体可信度研究方向的研究者与架构师阅读。

该论文提出了一种新的密码学原语——可信模型环境（Trusted Model Environment, TME），用于支撑“私有语义计算”。所谓私有语义计算，是指参与方在不暴露各自数据的前提下，联合完成需要理解语义、上下文与数据间关系的计算任务，例如对文本或非结构化数据的联合推理。作者指出，现有多方安全计算（MPC）等传统密码学原语主要针对规则化运算设计，难以直接支持这类依赖语义理解的计算；生成式模型虽然擅长此类任务，但通常在明文上运行，而基于密码学的私有推理效率低、难以规模化，因此需要专门的新原语。TME 的核心思路是把生成式模型放入可信执行环境（TEE）中执行，并对模型输出施加泄漏控制。论文为 TME 设定了六项设计目标：(i) 有效——能正确完成语义任务；(ii) 机密——保护计算过程与敏感输入；(iii) 效用保持——在其他任务上不显著损失模型效用；(iv) 可验证——提供防篡改的计算证据；(v) 高效——相比基线模型计算只引入较低开销；(vi) 可扩展——支持多个参与方。在实现层面，有效性由生成式模型本身提供，机密性由 TEE 提供；针对敏感输入的机密性，作者将对抗训练（用于抑制模型逐字复现输入内容，即 verbatim leakage）与一个信息流控制模块（用于抑制语义层面的泄漏）相结合；在可验证性方面，论文引入了新的 attestation 机制，使参与方能够核验 TME 在其数据与查询上执行的操作，并通过批处理等优化提升效率与可扩展性。作者实现了 TME 的概念验证原型，并在三类应用上进行了评估，声称其满足上述全部要求。

多智能体系统由多个独立部署者协作，在事故调查时，验证者需要确认哪一部署者发布了被报告的输出，以及每次跨部署委派边是否经过双方授权。现有凭证体系只能证明“谁被允许行动”，无法将运行者的身份与后期产生的输出字节绑定，也无法证明动态创建的委派边获得双方部署者授权。本文提出一种无需共享权威、公共日志或预先约定工作流的双层证明机制：第一层由可信部署者运行时对每次释放的输出哈希签名，以记录所释放字节；第二层通过祖先证据记录委派边的授权信息。值得注意的是，输出签名不能防范提示注入，但能提供审计依据。作者在统一威胁模型下比较了三种实现方式：签名链表、Merkle 链变体，以及双签名的有向无环图（DAG）。实验表明，当子密钥泄露后，仅单签名者的方案允许未经授权的父绑定，而双签名 DAG 因为要求父必须在边上授权而能拒绝该绑定。作者通过固定对手矩阵和回归测试验证了组合验证器。性能方面，在 Apple M1 Pro 上，祖先链验证每一跳延时为 24.3–499.2 微秒；在本地的实时多服务（A2A Agent Card + MCP 工具）测试中，30 个签名 DAG 任务全部通过验证，带证据的平均端到端时延为 813.1 毫秒，而不带证据时为 770.8 毫秒；在三可用区 AWS 分布式部署中，1,000 个有效路径全部验证成功，签发平均耗时 3.651 毫秒，完整验证为 5.015 毫秒，但该云结果不计入 TLS/mTLS、KMS 和模型推理延迟。论文的核心贡献在于为动态多智能体委派场景提供了可审计、可验证的跨部署者输出溯源机制。

该论文针对现代汽车电子控制单元（ECU）面临的安全威胁，提出了一种运行时去中心化证明与协同修复框架 DACER。随着汽车智能化与网联化发展，车辆由大量 ECU 组成的分布式系统控制，任何 ECU 被植入恶意软件都可能危及整车安全。现有研究大多聚焦于检测环节，却未能有效解决检测与运行时修复的协同问题。DACER 是首个将证明（attestation）与修复（repair）协同设计的方案，统一了固件回滚的“本地”特性与 ECU 重启的“全局”特性。其核心思想是：每个 ECU 利用 ARM TrustZone 执行高效的本地自证明与自修复，并通过分层车辆计算架构实现低开销的分布式协调，从而在不违反实时约束的前提下，对整车状态进行校验、抵抗单点故障、并在运行时完成固件恢复。DACER 的关键功能依托于每个 ECU 内嵌的 ARM TrustZone 以及存储设备中的安全闪存控制器。作者在真实硬件上实现了原型，并通过实验证明了其低开销特性。该研究为汽车 ECU 的主动安全防护提供了新思路，适合汽车安全研究人员、嵌入式系统安全工程师以及功能安全与信息安全交叉领域的从业者阅读。

标准5G认证与密钥协商（5G-AKA）仅验证存储在通用用户身份模块（USIM）上的订阅凭证，而不验证持有该凭证的物理设备或其启动状态。在战术5G部署中，用户设备可能被捕获、篡改、重新投入使用，或与移植的订阅凭证一同使用，这一安全缺口尤为严重。本文提出名为“Battlefield 5G”的预认证框架，面向5G独立组网，在标准注册流程被接受之前，结合双X.509设备证书检查和基于可信平台模块（TPM）的启动证明。其设计在5G基站（gNB）上设置外层证书挑战，在5G核心网中的接入与移动性管理功能（AMF）上设置独立的内层证书挑战，并由核心网侧的证明代理验证TPM的平台配置寄存器（PCR）引用。通过在gNB侧实现无线资源控制（RRC）转发门，并在AMF侧实现保存-重放机制，多轮证书与证明挑战-响应交换可插入注册流程，而无需修改任何3GPP非接入层（NAS）消息结构或新增NAS消息类型。作者基于B210通用软件无线电外设（USRP）测试平台，扩展了srsRAN、srsUE和Open5GS，并在UE中集成硬件TPM 2.0。原型阻止了SIM移植、伪造证书、固件篡改和重放攻击。在六次试验中，Battlefield 5G将平均入网时延从1886毫秒增加至2260毫秒，额外引入373.4毫秒的预认证开销，同时保留了标准的5G-AKA、安全模式和PDU会话流程。该研究为战术或高安全要求环境中的5G设备提供了一种实用的增强认证机制，并为未来标准演进提供了参考。

本文提出了一种名为 Heterogeneous Mutual Attestation (Hema) 的协议，用于解决云计算中跨异构可信执行环境 (TEE) 的相互认证问题。在云服务中，多个分布式组件和实例之间需要通信，包括在传统执行环境和可信应用 (TAs) 中运行的服务。TA 实例在交换信息前需要进行认证以确保所有参与方满足预期的安全条件。当两个 TA 实例运行在同类型 TEE 上时，通常使用双向远程认证机制。然而，当涉及不同类型 TEE（如 Intel SGX 和 ARM TrustZone）时，若仍采用双向远程认证，每种 TEE 都需要支持所有其他类型 TEE 的认证软件栈，导致效率和安全性问题。Hema 协议专门为跨 TEE 相互认证设计，经过形式化验证，能够在同类型或不同类型 TEE 上运行的 TA 实例之间实现安全高效的相互认证。文章主要贡献包括：提出了一个通用跨 TEE 认证框架，减少了认证开销，并通过形式化方法验证了协议的正确性。适合云安全架构师、TEE 开发者及安全协议研究人员阅读。

本文提出 EnclaveScale，一种分布式硬件辅助遥测架构，旨在解决数据中心电源遥测中传感器数据伪造和隐私泄露问题。现有加密技术对高频率（如10 Hz）流式数据扩展性差，且无法认证数据源，允许恶意主机注入虚假传感器输入。EnclaveScale 利用 Intel DCAP 远程认证、差分隐私噪声注入和拜占庭拒绝机制，构建了一个提取后（post-extraction）验证流水线。该架构在32个 GCP 机密虚拟机（Confidential VMs）上实现，达到0%的提取后攻击成功率。此外，为了缓解数据摄取前的漏洞，提出了基于 SPDM（Security Protocol and Data Model）认证的第一英里层。在全局聚合阶段，全局聚合飞地（Global Aggregation Enclave）在容量加权聚合前验证所有加密证明。实验评估显示，每个飞地的稳态吞吐量达131,406样本/秒，认证开销摊销至0.23微秒/样本。在基于 NVML 采样的 H100、A100 和 L4 真实轨迹上，EnclaveScale 的动态编排边际误差为1.3 MW，而诚实聚合器的中心差分隐私基线误差为0.1 MW。该架构为多租户动态电源编排提供了安全基础，通过边缘差分隐私在局部混淆亚秒级异常，并通过全局聚合时的空间稀释保护宏观工作负载的机密性。本文主要贡献包括：首次提出结合硬件辅助飞地与边缘差分隐私的电源遥测框架；设计并实现了提取后验证与拜占庭拒绝机制；通过实验证明了高吞吐、低开销和强大的安全保证。

这篇论文提出了一种名为“有用认证证明”（Proof of Useful Attestation, PoUA）的新型共识原语，旨在解决通用权益证明（PoS）链中对认证工作激励不足的问题。在通用PoS链中，验证者无论是否正确处理认证任务（如内容溯源、AI输出归属、门限签名凭证、供应链收据）都获得相同费用，这种无差别对待对于主要进行代币转账的链影响不大，但对于以认证为主要经济活动的链而言则成为问题。PoUA的核心思想是将认证处理纳入共识权重计算：验证者的投票权重等于其已质押代币数量与一个信誉标量（取值范围在[r_min, r_max]之间）的乘积，该信誉标量通过正确完成认证工作累积而来。信誉更新遵循加法、费用加权、不可转移、每周期上限的规则。论文首先证明了成本磨削下限（Lemma 1）：在全局自适应燃烧分数tau_burn下，对手为提高信誉值Delta_r所需支付的不可恢复成本有下界，即tau_burn * Delta_r / (eta * alpha_eff)。在推荐的初始校准参数（r_max/r_min在4到10之间）下，相对于稳态下的纯质押PoS，资本对手的成本溢价为4倍到10倍。论文详细描述了该机制的六个层次Sybil攻击和磨削攻击防御策略，包括基于信誉的投票权重、燃烧费用、周期性重置、检测器等。通过经验蒙特卡洛策略搜索，作者评估了完整分层防御的有效性，并给出了磨削检测器的显式阈值推导。PoUA是一个机制设计提案，提供了正式的经济安全下限，并继承了底层BFT共识的安全性和活跃性，但尚未提供完整的密码学安全证明。该论文适合对区块链共识机制、经济安全、Sybil防御和认证原语感兴趣的研究人员阅读。

本文提出了一种名为ACTS（TLS会话内容证明）的分布式架构，旨在解决Web3大规模应用中的一个关键问题：如何让现有的、广泛使用的软件验证用户从TLS服务器检索到特定数据，同时不修改TLS服务器本身。现有方案（如DECO、Xie等人的工作及TLSNotary）虽然实现了这一目标，但要求验证者运行先进的非标准化密码方案（如ZK-SNARKs），限制了大规模采用。ACTS基于此前工作，并利用Fuchsbauer和Wolf在Eurocrypt 2024上提出的谓词盲签名概念，突破了这些限制。ACTS架构在保持TLS服务器不变的前提下，允许用户向验证者证明其拥有从TLS服务器检索的数据，而验证者只需检查标准签名（如RSA-PSS）即可。具体贡献包括：一个轮数最优的谓词盲签名协议，可产生标准RSA-PSS签名；将该原语集成到DECO架构及其后继者中，用于认证TLS数据；优化了构造，使其在商品硬件上对大规模且重要的公证人（负责不知情地认证TLS数据、保护数据机密性的角色）策略类实用。通过在从TLS服务器下载并编码为AES-GCM密文的PDF文档用例上进行实验评估，用户可通过公证人服务在PDF中添加标准PADES签名及元数据，最终获得标准签名的PDF，可直接使用现有PDF阅读器透明验证。实验结果表明，该架构适用于实际场景中的真实部署。

本文提出 EXIA（External-Input Attestation），一种针对飞地（enclave）可信过渡的机制。飞地技术（如Intel SGX）旨在保护代码和数据免受底层操作系统或管理程序的攻击，但飞地在执行过程中可能涉及状态改变（如从安全域切换到非安全域，或在不同飞地间转移），这种过渡往往需要依赖外部输入。EXIA 通过对外部输入进行认证（attestation）来确保过渡过程的可信性，防止恶意外部输入破坏飞地的安全边界。论文给出了形式化模型和原型实现，评估了性能开销。该研究面向使用飞地技术的安全开发者，有助于设计更健壮的信任链。