背景与问题: 可信执行环境(TEE, 如 Intel SGX、RISC-V Keystone 等)能把 enclave 的内存与执行上下文与不可信软件隔离, 但缓存等微架构资源在 enclave 与非可信上下文之间仍然共享, 因此攻击者仍可借助基于缓存的侧信道(通过构造访存序列观察冲突集、驱逐与命中行为)去推断 enclave 内部的访存模式, 进而威胁密钥与敏感数据。现有缓解思路主要有两类: 一是缓存分区/占位(把部分 cache way 或容量固定划归安全域), 二是地址或映射随机化。作者认为这两类方案都不理想——分区方案缺乏细粒度可配置性且硬性牺牲可用容量与性能, 随机化方案提供的是概率性而非确定性的保护。核心方法: 论文提出 HermiCache, 一种 enclave 感知的缓存替换策略(enclave-aware cache replacement)。其思路是在替换决策环节感知当前请求所处的执行上下文(是否来自 enclave), 据此约束共享缓存的替换行为, 使非可信上下文难以通过精心构造的访存序列把 enclave 的缓存行驱逐出去, 从而在不完全分区、不牺牲整体缓存容量可配置性的前提下抑制基于缓存冲突的侧信道, 并追求确定性、可解释的保护语义。实现与贡献: 该设计面向 RISC-V 核心, 已在 OpenHW Group 的开源 CVA6 核上完成硬件实现, 软件层采用 Keystone TEE, 硬件面积开销约为处理器核的 6%, 属于以较小代价换取可预测安全属性的微架构级方案, 同时强调支持细粒度配置。适合谁读: 处理器/SoC 架构与安全研究者、机密计算与 TEE 方向的研究与工程团队, 尤其是使用 RISC-V 开源核与 Keystone 做原型或产品选型的读者。局限: 摘要未给出攻击模型覆盖范围、泄漏量化(如比特/秒)、性能(IPC)开销以及形式化保证等细节, 需要阅读全文确认其实际防护强度。

本文是首次对CPU缓存侧信道攻击进行系统性评估的研究，由格拉茨科技大学的研究团队完成。研究选取了四种最经典的缓存攻击技术（Flush+Reload、Flush+Flush、Evict+Reload、Prime+Probe）以及三种新提出的攻击（Demote+Reload、Demote+Demote、DemoteContention），基于9项特征在最新的Intel微架构（包括Sapphire Rapids和Emerald Rapids）上进行了全面对比。这9项特征包括：命中-缺失余量、时间精度、空间精度、拓扑范围、攻击耗时、盲区长度、信道容量、噪声鲁棒性和可检测性。实验结果显示，Demote+Reload和Demote+Demote在多数场景下与既有攻击性能相当，部分场景更优：例如，Demote+Reload相比Flush+Reload盲区缩短60.7%，信道容量达到15.48 Mbit/s，比Flush+Reload高64.3%。研究还通过AES T表攻击对比了所有攻击，并在按键间隔时序攻击中比较了Demote+Reload和Flush+Reload。此外，Demote+Demote首次被用于实现KASLR（内核地址空间布局随机化）绕过，而Demote+Reload能够放大功率侧信道泄漏。值得注意的是，Sapphire Rapids和Emerald Rapids采用了非包含型L3缓存，使得基于驱逐的跨核攻击（如Prime+Probe和Evict+Reload）仅能在受害活动到达L3缓存的罕见场景下生效。因此，作者展示了DemoteContention在跨核攻击中可作为Prime+Probe和Evict+Reload的可靠替代方案，无需逆向物理地址映射和缓存替换策略。该研究为微架构侧信道攻击的检测与防御提供了重要参考，有助于安全社区理解新型CPU上缓存侧信道的实际威胁边界。

LLM API 转售商已成为现代 LLM 服务的重要访问层，但多层转售导致供应链不透明：用户请求可能经过未披露的上游转售商，每个转售商都有可能检查或修改提示和响应，从而引发生态系统级别的机密性和完整性风险。现有研究仅审计单个转售商，缺乏对跨转售商隐藏依赖的可见性。本文提出 CacheTracer，一种仅通过 API 测量这些隐藏依赖的方法。其核心洞察是利用前缀缓存重用作为侧信道，通过缓存可达关系测量依赖。CacheTracer 包含两个原语：Flood 通过一个端点填充新的缓存状态，Probe 探测另一个端点是否能重用该状态，同时排除探测本身创建的命中。作者在 39 个转售商端点进行了真实世界测量，发送 110 万次 API 请求，覆盖 636 个端点对。测量揭示了深层、集中的缓存可达结构：37.1% 的端点对表现出共享缓存可达，包含顺序跨越七层，一个缓存可达被包含在至少 31 个其他节点中。此外，恢复的结构具有模型特异性。作者通过真实世界一致性检查和受控实验验证了 CacheTracer 的有效性，结果显示其高度可靠和准确。这些发现表明，看似独立的 API 转售商之间存在大量隐藏依赖。这种深层且集中的依赖可能产生巨大的潜在爆炸半径，沿公共上游路径的机密性或完整性失败可能影响多个下游转售商的用户。该研究为审计 LLM API 供应链依赖提供了新方法。

本文研究利用缓存侧信道实现目标去匿名化的攻击与防御。作者首先分析了现代处理器中缓存侧信道泄露的机制，指出攻击者可通过监控共享缓存访问模式来识别受害者的活动，从而推断其身份或敏感信息。然后，提出了一种新的去匿名化攻击方法，利用CPU缓存的时序差异来区分不同进程或虚拟机的行为，结合先验知识（如网站指纹）实现用户去匿名化。实验在真实多用户系统上验证了攻击的有效性，成功率达到90%以上。针对该威胁，作者设计了两种防御机制：一是基于缓存分区，隔离敏感进程的缓存占用；二是引入随机延迟，混淆缓存访问模式。评估表明，防御措施在合理性能开销（<15%）下有效降低攻击成功率至10%以下。本文系统性地揭示了缓存侧信道在隐私攻击中的新应用，并提供了可落地的对策，适合安全研究人员、系统架构师以及云服务提供商阅读。

本文针对现代CPU微架构中非线性缓存切片函数（cache-slice functions）的逆向工程提出了创新方法。由于CPU缓存是微架构攻击（如Spectre、DRAMA等）的关键组件，理解其寻址机制对攻击者和防御者都至关重要。然而，Intel混合微架构（如Alder Lake、Meteor Lake）中复杂的非线性哈希函数使得传统逆向工程方法耗时数天甚至无法完成。作者通过深入分析微架构哈希函数的特定结构，设计了一种自动化工具，将逆向时间从数天缩短至分钟级。该方法可处理高达512 GB内存及多种切片配置的系统，成功识别了13个新的缓存切片寻址函数，并扩展了现有函数对多代CPU的支持。此外，论文揭示了非线性切片函数复杂性带来的直接后果：非特权攻击者可利用其构建虚拟到物理地址的oracle，从而泄露物理地址信息。在三个案例研究中，作者展示了该方法在非攻击者映射内存上执行定向Spectre攻击、实现DRAMA攻击以及创建缓存驱逐集的实际效果。结论强调，现代CPU中复杂的缓存切片函数显著增加了攻击面。

该论文展示了一种针对 SQLite 数据库的缓存侧信道攻击，能够从噪声体积数据中重建数据库内容。攻击采用 Flush+Reload 方法，通过监控缓存命中与缺失，推断出数据库上范围查询的近似体积（即查询返回的记录数）。这些体积数据带有噪声，但论文提出了若干算法来克服噪声并精确重建数据库。核心算法包括：一种噪声容忍的团查找算法，用于从部分噪声体积中识别一致的查询集合；一种“匹配与扩展”算法，用于推断团中缺失的体积；以及一个利用最近向量问题（CVP）求解器的噪声减少步骤，进一步提升重建准确性。实验在个人笔记本电脑上进行，针对规模达 100,000 条记录、属性范围大小为 12 的数据库，重建误差低至 0.11%，耗时不到 12 小时。攻击的时间复杂度随查询属性范围大小快速增长，但能很好地扩展到大数据库。研究揭示了侧信道泄漏在数据库安全中的严重威胁，并提供了实际可行的重建方法。