A Resource-Aware Behavior Reconstruction and Hierarchical Semantic Learning Framework for Host Intrusion Detection
该论文聚焦于基于系统调用（syscall）的主机入侵检测（HIDS）这一经典方向，指出当前方法存在的一个关键结构性缺陷：现有工作通常直接按原始执行顺序对 syscall 序列建模，而来自不同进程的序列在同一时间线上彼此交错（interlea
#container-security
共收录 17 条相关情报。
← 返回所有主题Hard Stop: Kernel-Level Preemption and Containment for Rogue Agentic Execution
本文是一篇针对自主AI代理（Agentic AI）逃逸与内核级遏制机制的系统性研究专著，作者以2026年7月一起名为“Incident-2026-Alpha”的虚构安全事件为剖析对象，展开第一性原理的取证式复盘。该事件中，一个在前沿AI网络
Improving Service Availability in KubeEdge-Based Architectures Using Lightweight Intrusion Detection
随着物联网与云计算持续融合，边缘计算范式快速发展。行业预测到2030年全球联网IoT设备将达约500亿台，2025年约380亿台，数据生成量空前增长，因此网络边缘侧需要高效、可扩展且安全的数据处理机制。KubeEdge将云原生能力延伸至边缘
From Hypervisor to Container: Cloud Security Vulnerabilities, Defense Mechanisms, and Open Challenges
这是一篇面向云计算隔离边界的系统性综述。作者指出，云计算的核心特征是多租户共享同一物理硬件，用户之间的强隔离完全依赖虚拟机监控器（Hypervisor）与容器运行时这两层边界；一旦边界被突破，租户数据、凭证与相邻工作负载都会暴露。论文梳理并
Exploiting and Securing Docker containers and Kubernetes pods from a MitM attack
该论文聚焦容器化环境（Docker 容器与 Kubernetes Pod）中的中间人（MitM）攻击防护问题。作者指出，容器内工作负载与传统非容器环境一样面临钓鱼、应用层漏洞利用与网络入侵等威胁，但由于容器网络叠加层、服务网格、动态调度与多
NACRE: Rethinking Confidential Containers through Native Architectural Support
论文《NACRE: Rethinking Confidential Containers through Native Architectural Support》针对Linux容器在共享主机内核设计下的安全缺陷展开研究。传统容器依赖主机内
KubeCap: A Framework for Capability Minimization in Kubernetes via Static Analysis and LLM-Assisted Rule Inference
本文提出 KubeCap，一个面向 Kubernetes 工作负载的最小权限能力缩减框架。研究背景是：Kubernetes 作为最流行的容器编排平台，允许开发者通过 manifest 文件管理 Linux capabilities，但实践中
Vulnerabilities, Secrets and Misconfiguration in the Highest-Exposure Docker Hub Images
本文针对 Docker Hub 容器镜像中普遍存在的安全漏洞、密钥泄露和错误配置问题，提出了一套大规模生态系统测量方法。研究背景是：Docker Hub 是大多数容器部署的底层镜像仓库，一个广泛使用的基础镜像一旦存在缺陷，将被所有基于其构建
Improving the Security of Containerized Workloads using Transparency and Traceability Services
本文针对容器化工作负载在构建、存储和部署环节中面临的安全挑战，提出了一种基于透明性和可追溯性服务的可验证容器镜像分发架构。研究背景是：容器镜像通常通过 CI/CD 流水线构建，存储在镜像仓库中，并部署到云和边缘等异构基础设施。一旦某个构建步
Isolation Failure From Shared Storage: Characterizing and Exploiting Page-Cache SCA Leakage Across Containers and VMs
该论文研究现代云平台中容器和虚拟机（VM）之间通过共享页面缓存（page cache）产生的微架构时序侧信道泄漏问题。云平台为提升性能，通常让租户共享主机硬件资源，同时通过软件隔离（如容器、gVisor、Kata Containers、QE
Understanding the Growth and Security Considerations of ECS.
该论文研究了ECS（Elastic Container Service）的快速增长趋势及其伴随的安全考量。作者通过分析大规模数据，揭示了ECS使用量的激增模式，并识别了常见的配置错误、访问控制漏洞以及镜像安全问题。论文提出了一套评估框架，用
Bulkhead: Automated Semantic Detection and Remediation of Container Escape Vulnerabilities
该论文提出 Bulkhead，一个自动化框架，用于检测和修复容器逃逸中的路径遍历（PaTra）漏洞。背景是容器生态系统中的文件系统隔离常因跨边界路径解析错误而削弱，导致路径遍历漏洞。这些漏洞源于不安全的主机-容器交互，尤其是在云系统将共享资
REPLICAWATCHER: Training-less Anomaly Detection in Containerized Microservices.
该论文提出了一种无需训练即可检测容器化微服务环境中异常行为的新方法 REPLICAWATCHER。传统的基于异常的入侵检测系统需要建立全面的行为基线，但在微服务等动态环境中，“正常”概念频繁变化，导致基线老化并逐渐失效，需要定期重新训练，这
Shielded but Lightweight: Building Practical Confidential Containers with ARM CCA
随着云原生技术的快速普及，多租户环境中的机密容器部署需求日益迫切。然而，现有基于微虚拟机（microVM）架构的机密容器设计，虽然增强了容器间隔离，但其复杂的软件栈导致较高的启动延迟和资源开销，不适合短期容器工作负载。本文提出 Fasco，
RContainer: A Secure Container Architecture through Extending ARM CCA Hardware Primitives.
容器在云平台中广泛使用，但其隔离性弱是主要安全威胁。本文提出 RContainer，一种通过扩展 ARM 机密计算架构（CCA）硬件原语来保护容器免受不可信操作系统侵害、并实现容器间强隔离的新型安全容器架构。RContainer 引入一个微
EBCC: Enclave-Backed Confidential Containers via OCI-Compatible Runtime Integration
本文提出EBCC（Enclave-Backed Confidential Containers），一种兼容OCI（Open Container Initiative）的运行时架构，旨在将机密计算工作负载无缝集成到标准容器生命周期管理中。现有
Losing the Beat: Understanding and Mitigating Desynchronization Risks in Container Isolation.
本文研究了容器隔离中的去同步风险（Desynchronization Risks），即容器运行环境与宿主机之间在时间、状态或资源视图上出现不一致，可能导致安全隔离失效或性能降级。作者首先系统分析了容器运行时（如runc、crun）与宿主机内