本文评估了通用大语言模型（LLM）在破解暗网环境中常见CAPTCHA验证码任务上的有效性。暗网CAPTCHA通常设计为无JavaScript运行，因此与主流验证码系统存在显著差异。研究选取了三种具有代表性的挑战类型：开放圆圈定位、旋转对齐和物体选择CAPTCHA。实验发现，当前多模态大语言模型（MLLM）虽能识别相关视觉结构，但在精确空间定位和几何变换处理上存在系统性缺陷。为缓解这些不足，作者提出两种途径：任务重构或为模型配备专用图像处理工具。最终，他们设计了一个混合框架，将MLLM作为高层推理与编排层，通过模型上下文协议（MCP）将几何计算委托给确定性算法。该框架在全部测试CAPTCHA类型上取得了超过90%的成功率，证明MLLM与经典计算机视觉的互补结合比任一单独方法更准确高效。研究意义在于揭示了MLLM的认知边界，并为类脑混合AI系统提供了设计范式。对安全社区而言，该工作警示CAPTCHA的有效性正面临新威胁，但也为设计更健壮的验证机制提供了参考。

本文针对暗网流量识别中现有方法依赖封闭世界（closed-world）评估、假设训练与测试阶段所有服务类别已知，从而严重脱离真实部署场景的问题，提出了一种开放世界（open-world）暗网流量分类框架。作者采用留一服务（leave-one-service-out）的评估协议，并在随机森林（Random Forest）与XGBoost分类器中引入基于不确定性的拒绝机制，以识别未知暗网服务。实验表明，从封闭世界切换到开放世界设置后，模型性能显著下降：XGBoost在I2P环境下的Macro-F1从88.8%降至46.1%，随机森林则从87.4%降至45.7%，说明封闭世界评估会大幅高估模型在实际部署中的鲁棒性。尽管不确定性拒绝机制能轻微提升鲁棒性，但由于已知服务与未知服务之间存在强行为相似性，模型仍频繁产生错误分类。进一步的行为语义吸收（semantic absorption）分析显示，FreeNet视频流量以88.1%的分配率被误判为浏览行为，而I2P对等网络流量以83.4%的分配率被吸收至与FTP相关的行为中。研究结论表明，行为重叠是开放世界暗网流量可靠分类的主要挑战。该研究为构建面向真实场景的暗网威胁情报分析系统提供了新的评估范式与方法参考，适合网络安全研究人员、暗网监控系统开发者以及关注开放环境机器学习鲁棒性的从业者阅读。

现有暗网流量分类研究主要聚焦于预测准确性，但对加密服务为何能被区分的内在行为机制缺乏深入分析。本文提出一种行为信息泄露框架，将流级流量分解为控制、结构和节奏三类描述符，并在 Tor、I2P、FreeNet 和 ZeroNet 四种匿名网络上对该框架进行验证。该方法结合归一化互信息分析、基于随机森林的预测验证、结构-节奏交互分析以及跨网络服务变异性评估，并采用泄露安全的分层交叉验证来确保结果可靠性。实验结果显示，行为泄露在不同匿名网络之间存在显著差异：Tor 的服务可分离性最高，Macro-F1 达到 0.7165，累计归一化泄露值为 3.9461；而 FreeNet 的综合泄露值最低，仅为 0.8744。数据包大小组织、方向交换不平衡、包节奏以及静默-突发行为被识别为主要泄露机制。同时，结构-节奏组合表示在单个网络内部总能取得最强性能，但留一网络交叉验证表明不同匿名架构之间的可迁移性有限。此外，文章提出了服务变异指数和泄露变异指数，发现视频服务具有一致的网络特异性可分离性，而聊天和电子邮件在不同匿名网络对上的变异性较大。该研究为理解匿名网络流量隐私泄露提供了系统性的度量框架，并为设计更稳健的匿名系统和流量分析技术提供了参考。

本文研究AI辅助自动化扫描工具对互联网背景流量的影响，特别是对工业控制系统（ICS）和工业物联网（IIoT）入侵检测系统（IDS）基线假设的挑战。研究者利用Merit ORION网络望远镜收集的2021年和2025年两个时间节点的192百万被动暗网数据包，构建了模块化分析流水线，计算平均数据包速率、全局香农熵、到达间隔时间（IAT）突发性、地理归属以及针对关键工业协议的目标端口分布等指标。结果显示，ICS相关端口的流量占比在四年间从0.82%上升至1.51%，且具有高度分布式但有精准目标的特点。突发性分析进一步发现现代僵尸网络采用微步进（micro-pacing）行为（1ms-100ms延迟），以平滑总体流量并规避基于阈值的检测。在模拟的基于异常的IDS中，这些规避技术导致97.47%的现代僵尸网络流量未被检测到；作为补偿，增加灵敏度后误报率高达68.10%，揭示了OT环境中严重的可见性和告警缺陷。该研究为ICS/IIoT安全防御策略提供了重要实证，建议安全从业者重新评估现有IDS的阈值设定，并探索基于行为模式的新型检测方法。