该论文研究的是多源 LLM Agent 输入场景下的"片段级投毒"（segment-level poisoning）检测与定位问题。现代 LLM Agent 通常把检索到的文段、用户评论、外部文档等多来源内容聚合成一个 prompt，攻击者只要控制其中少量来源，就能注入恶意片段来操纵模型输出。作者指出，现有防御主要依赖文本模式匹配、外部嵌入模型或额外的辅助检测器，面对措辞流畅、语义上也说得通的投毒片段时容易失效，而且基本无法指出到底是哪一段被污染，缺少溯源能力。论文的核心观察是：成功的 corrupted-evidence（污染证据）与 adversarial-instruction（对抗指令）攻击会在 LLM 内部激活中造成结构化的偏移，形成一种一致的激活空间模式，作者称之为 poison direction（投毒方向）。基于此提出 ActProbe 框架：把 MLP 激活投影到学习得到的 poison direction 上，并用在一个小型校准集上训练的轻量线性 SVM 来判定整个 prompt 是否被污染；随后用 BinRoL 完成片段定位，它结合了递归替换消融、基于 Mahalanobis 距离的分支剪枝以及基于 MAD 的鲁棒叶子检测三种手段。ActProbe 不需要修改后端模型，并把定位开销从 O(n) 的穷举探测降到 O(k log n) 次前向传播。实验覆盖三个数据集、两种攻击和四个开放权重 LLM，达到 0.01 的误报率、0.05 的漏报率、0.94 的定位召回率和 0.90 的定位 F1 值；对防御感知的自适应攻击仍然有效，并可通过代理模型（surrogate）迁移，为黑盒 API 场景提供投毒片段移除能力。总体上，这是一篇把可解释性/内部状态分析用于 Agent 输入完整性防护的工作，适合 RAG 与 Agent 安全方向的研究者和防御工程师阅读。

本文针对 Proof-of-Work (PoW) 区块链中长期存在的 51% 攻击风险提出一套双层防御方案。研究背景是：随着矿池与算力向少数实体集中，攻击者一旦掌握超过半数的算力，就具备实施恶意多数控制并触发链重组（chain reorganization）的能力，从而可能回滚已确认交易、实施双花。作者指出，仅靠事后响应不足，需要在攻击真正达到临界点之前就获得可操作的预警，并配合能够限制重组破坏范围的机制。为此，论文设计了两个互补层：第一层是算力集中度监控与早期预警，持续观测挖矿算力向单一主体聚合的程度，在接近但尚未达到多数控制临界阈值时提前发出告警，为运维方争取响应时间；第二层是基于检查点（checkpoint）的缓解措施，通过设定可接受的链重组深度上限，使超过该深度的重组尝试被拒绝或不予承认，进而压缩攻击者可实现的回滚幅度。为验证效果，作者采用蒙特卡洛（Monte Carlo）仿真，在不同攻击场景下对两层机制进行 1000 次重复实验。结果显示：当预警阈值设定为 45%（临界阈值建模为 50%）时，从发出预警到触及临界值的平均领先时间为 10.531 分钟，说明早期监测确实能提供一段可利用的缓冲窗口；当检查点深度取 N = 6 时，约 63.68% 的模拟重组尝试被拒绝，重组深度均值由 7.948 个区块降至 1.634 个区块，降幅约 79.4%。作者据此得出结论：早期检测与基于检查点的缓解构成互补机制，在所评估的条件下能够显著降低 51% 攻击的潜在影响。论文的定位偏向机制设计与仿真评估，属于防御侧方案研究，适合区块链协议开发者、共识安全研究者、交易所与托管机构的链上风控团队阅读。需要注意，结果基于仿真模型与特定参数（45% 阈值、N=6），真实网络中的算力波动、矿工行为与最终一致性规则可能带来差异，实际部署前仍需结合主网数据进行校准。

Seven of the thirteen Linux privilege escalation CVEs we tracked in 2026 turned out to be the same copy-on-write bug pointed at different kernel interfaces. We ran the public proof-of-concept for eleven exploits and two misconfigurations, and noted which rules fired.

本文提出 BUGSTONE-E2E，一种将漏洞历史（尤其是 CVE 修复提交）转化为可执行检测规则并自动化验证的端到端框架。当前公共漏洞数据库虽然记录了已知软件缺陷的类型、影响组件和补丁信息，但这些信息主要用于人工查阅，缺乏自动化复用机制，导致相同的不安全编码模式可能仍存在于未关联 CVE 的代码中。BUGSTONE-E2E 首先从经过验证的修复提交中挖掘可复用规则，内容包括扫描锚点（如函数调用模式）、修复语义（具体代码变更逻辑）以及 CVE 溯源信息，并按 CWE 分类和编程语言组织。检测阶段采用漏斗式流水线：早期阶段以轻量级分析处理大量候选代码，例如使用 Tree-sitter 枚举匹配规则锚点的调用点，并通过无 LLM 调用的启发式方法筛除良性模式；后期阶段则对剩余目标使用越来越强且昂贵的模型。具体地，LLM 智能体依据规则检查候选点，随后系统对幸存对象进行重新分类并构建运行时验证，最终生成经过作用域检查的补丁，并通过双向差分测试进行确认。实验基于 2022 年至 2026 年间 19,325 个高危 CVE，识别出 2,710 个修复提交，构建了覆盖 56 个 CWE 家族的 1,033 条检测规则，并封装为 172 个技能。将这些规则应用于 14 个程序时，系统产生了 644 个具有运行时证据的发现。结果表明，CVE 历史可以转换为可执行的工作流，将过去的安全漏洞转化为可复现的检测与修复机制。该研究适合从事自动化代码审计、漏洞挖掘、AI 安全与软件工程交叉领域的安全研究人员。

Getting data into a security platform is always easy; getting it back out is where vendors add cost, extra tooling, and latency, and it is the part of the evaluation most teams overlook.

本论文探讨图像水印扰动作为对抗性噪声时，对深度学习模型产生的欺骗威胁。传统对抗样本 (AE) 检测方法通常假设噪声为典型的扰动模式（如 Lp 范数约束），因此面对嵌入水印标志这类结构化噪声时往往失效，即水印扰动 AE 可绕过现有检测。文章提出 Themis，一种无需修改受保护分类器、也不依赖 AE 生成过程的检测方法。Themis 基于可用信息论（Usable Information Theory）计算每个样本的点级得分（pointwise score），利用该得分识别出可能经过水印扰动的异常实例。实验涵盖 5 种不同标志的水印扰动，在图像分类任务上，Themis 的检测准确率比五种 SOTA 检测方法平均提升超过 15%；可视化表明其得分在 AE 与非 AE 之间具有明显可分离性；并且 Themis 在广泛阈值下实现更大的 ROC 曲线下面积 (AUC)，显示了良好的阈值鲁棒性。计算开销仅约 0.04 秒，适合近实时应用。由于 Themis 不干扰原分类器，可作为一种外挂式防御组件。本文对该领域的主要贡献在于把可用信息论引入水印对抗样本检测，解决了水印噪声结构化与异质性的难点，并通过对比实验证实了有效性。

本文研究国际收入分成欺诈（International Revenue Share Fraud, IRSF）问题。高级费率电话号码通常被恶意方滥用（例如通过电话诈骗、移动恶意软件等）以获取经济利益。这种利益来源于'收入分成'机制，即高级费率号码的所有者可以从打往该号码的每分钟通话收入中获得一部分分成。论文旨在理解这种欺诈的运作方式，并提出检测方法。核心关注点是识别那些被用于欺诈的高级费率号码和通话模式。由于仅提供摘要，具体的技术细节（如检测算法、数据集、实验评估等）尚不明确，但研究主题明确指向电信网络中的欺诈检测与防御。该工作对于安全从业者理解收入分成欺诈的机制、识别相关恶意活动具有重要意义。

Elastic's InfoSec team runs three agents that read the detection rule's investigation guide and the closure reasons on 30 days of past cases. Analysts now clear most alerts with a single click in Slack.

Inside Elastic Security, background jobs called maintainers each own one piece of every user, host and service record, from building entities out of raw logs to resolving identities and scoring risk.

本文针对去中心化金融（DeFi）中频繁发生的预言机价格操纵攻击，系统性地研究了攻击模式、漏洞类型、风险评估、自动检测与防御策略。作者基于预言机生命周期理论，构建了一个覆盖物理层、协议层和应用层的三层攻击树，用于分析攻击链，并识别出数据选举阶段是关键入侵点。研究总结了四类主要的合约级漏洞：价格数据流验证不足、预言机调用风险、跨合约调用不受控、AMM价格读取逻辑缺陷。在风险评估方面，结合模糊层次分析法（Fuzzy-AHP）和风险价值（VaR）模型量化风险因素，构建涵盖技术、市场、治理和合约风险的风险矩阵。同时，基于扩展的Slither框架开发了自动化检测工具，采用污点跟踪和模式匹配技术。防御方面，提出了多层防御策略，包括数据源层的可信执行环境、智能合约层的TWAP平滑和自适应断路器，以及操作系统层的内核网络配置优化。实验表明，该方法能将攻击导致的价格偏差从55.56%降低到5%以下；检测工具准确率达94.38%，召回率92.31%，优于现有开源工具。本文适合DeFi安全研究者、智能合约审计人员以及区块链安全工程师阅读。

检索增强生成（RAG）将外部语料库作为推理证据，但这也引入了安全风险：攻击者可通过注入恶意文档（知识投毒）来引导模型输出特定主张。现有检测方法通常依赖可信参考文档、特定攻击痕迹或全局阈值，这些方法在复杂语料拓扑下鲁棒性不足。本文提出 RAGSieve，一种自参考的检测框架，它通过从被检查的 RAG 系统自身构造参考，无需外部可信语料或投毒标签即可进行检测。RAGSieve 包含两个互补组件：RSQ（查询侧）在用户发起查询时工作，通过对比同一检索中前5个候选与排名6-20的结果，捕捉答案锚点集中与载体转移等异常；RSG（语料侧）在查询之前工作，将每篇文档与其语义相似但词汇不同的邻居进行比较，以识别协调性投毒密度。实验在三个问答数据集和六种投毒构造上进行，RSQ 的 AUROC 达95.2%，在移除5%干净文档时检测出82.2%的毒物，显著优于基线 GMTP（81.1%/52.5%）；RSG 达93.3%/79.8%，优于 CleanBase（79.4%/37.6%）。联合使用两者可将攻击成功率从67.4%降至14.0%，同时在未投毒检索上保持41.3%的F1分数，说明该方法能在语料入库和查询阶段提供实际防护。该研究适合关注 LLM 供应链安全、检索系统可靠性的安全研究人员与 AI 安全工程师阅读。

本文研究社交媒体平台上的品牌冒充攻击（Brand Impersonation Attacks），这类攻击中，恶意行为者创建与知名品牌高度相似的账号、页面或内容，利用用户对品牌的信任实施钓鱼、诈骗、传播虚假信息等活动，严重威胁品牌声誉与用户安全。该研究由多个学术和工业机构的安全专家合作完成，旨在系统性揭示品牌冒充攻击的规模、特征、策略与影响。文中可能提出一种基于多维度特征的检测框架，融合账号元数据（如账号年龄、名称相似度、头像）、内容特征（如提及频率、链接指向）与社交图谱信息（如粉丝分布、互动模式），以区分真实品牌与冒充账号。作者可能通过对多个主流社交平台的大规模数据采集和机器学习分类模型进行实证评估，证明所提方法能有效识别冒充行为，并探讨攻击者在检测面前的对抗策略及防御改进方向。该研究对安全运营中心（SOC）、平台安全团队及品牌保护部门理解威胁态势、设计主动防御措施具有重要参考价值。注意：由于原始摘要未提供，本摘要基于论文标题和作者背景进行合理推断，实际技术细节与实验结论需查阅原文确认。

本文针对现有系统审计架构在事件覆盖率和日志可用性之间的两难问题展开研究。传统审计机制通常以内核模块或系统服务的形式实现，在记录高细粒度事件时往往面临严重的性能开销，导致系统管理员必须在“记录更多事件”与“保证业务响应速度”之间做出取舍。作者指出，现代操作系统审计（如 Linux Audit、Windows ETW）在事件量激增时会造成日志丢失、延迟或系统停顿，从而削弱安全监控的完整性和实时性。为解决上述问题，论文提出一种重新设计的系统审计架构，核心思路是将事件采集、规范化、关联与存储流程解耦，并通过同步日志可用性机制确保安全分析人员能够及时获取一致、完整的审计记录。该方法强调在保持高事件覆盖率（即不遗漏关键安全事件）的同时，实现日志的同步可读性，避免因异步缓冲或批量刷写导致的监控盲区。论文的主要贡献包括：提出一种新型审计流水线架构，支持系统级事件的全面捕获；设计高效的同步日志接口，降低事件传输延迟；通过实验评估证明该架构在事件吞吐量、日志完整性和性能开销方面优于现有方案。适合系统安全、操作系统内核、蓝队监控基础设施以及SIEM集成方向的研究人员和工程师阅读，能够为构建高性能、高可靠的主机审计系统提供理论依据和设计参考。

Agent-parented reverse tunnels and LaunchAgents can expose a local admin app to the internet. Endpoint still needs to treat that as high severity even when the activity looks like vibe-coded ops, not confirmed malware.

本文对2020年至2023年间收集的1300个真实世界中的钓鱼工具包（Phishkits）进行了深度分析，旨在揭示其架构和操作动态。钓鱼攻击一直是攻击者绕过现代防御、渗透关键系统的常用手段，而Phishkits在其中扮演了关键角色，它们通常用于快速生成具有迷惑性的钓鱼页面、执行逃避策略，并与远程攻击者建立后门以窃取数据。研究团队从架构设计、源代码实现、通信通道以及泄露数据的性质等多个维度对样本进行了剖析。他们识别出两类主要的逃避机制：动态重定向和针对来访流量的属性分析，用于伪装和辨别爬虫与真实受害者。同时，研究发现这些工具包高度依赖现有的即时通讯服务（如Telegram等）来传输窃取到的数据，而非使用传统C2基础设施。尽管存在这些高级功能，但分析表明，真正具备复杂功能的Phishkits占比很小，有284个（占21.8%）甚至没有任何逃避机制。此外，虽然各工具包在具体实现细节上存在差异，但维持钓鱼页面正常功能的核心组件高度相似甚至完全相同。这种高水平的代码复用和对已知技巧的依赖，使得大量钓鱼工具包的行为模式可预测，这为安全团队在大规模场景下自动检测和防御此类攻击提供了便利。该研究为理解现代Phishkits的演化提供了宝贵的数据支撑，并指出了防御方可以利用的共性弱点。

本文提出了一种名为 LoRAScan 的新型防御方法，用于检测大型语言模型（LLM）低秩适配器（LoRA）中的后门提示。LoRA 是一种高效的模型微调技术，通过引入小型适配器模块来降低计算成本，但也带来了供应链安全风险：不可信的适配器可能包含后门，使得模型在遇到特定触发词时生成有害内容、恶意代码、政治宣传或隐蔽广告。现有防御方法主要分为两类：一类是适配器无关的防御，将适配器与基础模型合并，这会稀释后门信号并降低检测性能；另一类是适配器感知的方法，但要么训练一个防御性适配器来修复被后门化的基础模型（关注的是对抗问题而非保护适配器本身），要么使用分类器将整个适配器标记为可疑，需要单独处理。这些方法都忽略了后门适配器中触发输入产生的不同潜在空间特征。LoRAScan 是第一个在推理时检测并拒绝触发输入、且不修改适配器参数的适配器感知防御方法。其核心观察是：大约 5% 的 LoRA 插入位点在干净输入下保持稳定，但在触发词存在时，其下投影激活会表现出高度集中的尖峰。LoRAScan 在模型部署前识别这些低方差插入位点，并在推理过程中监控它们。在标准 LLM 后门基准测试中，LoRAScan 能拒绝约 98.49% 的恶意输入，同时在干净输入上保持较低的误报率，在多种评估设置下均优于现有防御方法。

A 40-line CEL integration snapshots .npmrc files every 6 hours to catch cooldown removals. This post walks through the three ways we broke filestream before landing on snapshot semantics.

Elastic Security Labs identified the return of Shai-Hulud. Attackers compromised the keyv maintainer and deployed CHAINDROP, a worm that uses stolen npm credentials to backdoor co-owned packages totaling over 1.3 billion monthly downloads.

Public leaderboards can't tell you which LLM to trust in your SOC, so Elastic built an evaluation framework that grades models on the work (tool calls, execution traces, blind judging) across Agent Builder, Attack Discovery, and automatic migration.

近年来，视频生成模型的快速进步显著加剧了深度伪造（deepfake）威胁，然而现有的深度伪造视频检测基准仍不成熟，特别是图像级检测器在视频域中的有效性尚未得到系统性评估。为了填补这一空白，本文提出了FakeI2V-Bench基准，专门用于在具有挑战性的场景下评估最先进的视频级深度伪造检测器，并系统评估图像级检测器在视频域的表现。该基准包含97,548个视频，内容由最新且强大的生成模型生成，覆盖了更广泛的类别，确保了评估的全面性和挑战性。利用该数据集，作者对8种视频级检测器和12种代表性图像级检测器进行了大规模系统评估。实验结果显示，表现最好的图像级检测器达到80.16%的AUC，略微超过了最强的视频级检测器（79.99% AUC），这表明图像级检测器在视频域中仍然具有竞争力。此外，作者提出了IV-Bridge框架，一种通用方法，用于将图像级深度伪造检测器的能力扩展到视频域。IV-Bridge使用随机森林模型，结合统计特征来聚合帧级预测，使得11种图像级检测器的性能超过了最先进的视频级方法，其中最佳变体达到了93.80% AUC。总体而言，FakeI2V-Bench为深度伪造视频检测建立了严格的基准，并引入了一种扩展图像级检测器到视频域的新途径，为未来研究提供了新的洞察和方向。代码和数据已公开在GitHub。

LLMs made it cheap to flood bug bounty programs with submissions. Here's how Elastic built an AI triage agent that matches human decisions 85% of the time, including the architecture, threat model and calibration against 3,300 real reports

Elastic Security now tracks every detection rule change with one-click rollback and makes case data queryable out of the box, so SOC teams get audit trails and reporting without configuring anything.

Attack Discovery turns raw alerts into validated threats and Elastic Defend closes vulnerable driver gaps as fast as they're disclosed. Watch it all run against real attacks at the booth.

Elastic Security 9.5 gives SOC teams AI that handles first-pass alert triage and investigation, so analysts can get back to threat hunting and detection engineering instead of working through queue noise.

Every stage of the Hugging Face breach maps to Elastic Defend and SIEM rules already shipping, from worker RCE and credential harvest to self-migrating C2 and GenAI detection.

Elastic Defend automatically generates and instantly deploys vulnerable driver YARA rules from VirusTotal, LOLDrivers and Microsoft's blocklist, closing the gap BYOVD attacks depend on. Plus a new troubleshooting skill and ARM endpoint protection.

Elastic's first automatic migration from a modern SIEM. Translate your Sentinel detection rules into Elastic Security without rebuilding them.

随着AI编程助手（如Cursor、Claude Code、GitHub Copilot）在软件工程团队中的广泛部署，开发者经常通过下载领域特定的技能文件（skill files）来定制代理行为，以适配项目API、框架约定和组织工作流。这些复杂的Markdown文件通常通过`npx skills add`命令直接从公共注册表获取，几乎没有安全审查。这引入了一种新型的供应链攻击面：恶意技能文件可悄然重编程代理行为，窃取凭据、向生成的代码中注入后门，或将代理操作重定向至攻击者控制的端点。该威胁并非假设性：近期报告显示公共注册表中存在数百个恶意技能包，包括有组织的攻击活动利用虚假生产力技能传播凭据窃取型恶意软件。然而，目前尚无系统化的工具链防御措施来应对这一攻击面。为此，论文提出了SkillGate——一个可部署的安全网关，在编程代理安装技能包之前对其进行审查。SkillGate采用混合正则表达式预过滤 + LLM评审的流水线：安全信号文件完全绕过LLM（节省跳过成本）；被标记的文件仅将匹配的片段窗口发送给评审器，而非完整内容（节省片段成本）。研究基于SkillsBench基准（n=1,650，其中9.1%为恶意）回答了四个研究问题，涵盖检测有效性、审查成本、运行时开销及误报行为，并与两个现有工具进行了对比。实验结果表明，SkillGate在实现F1=0.817、FPR=1.13%的同时，相比全文件审查将LLM输入token减少77%，且在阈值无关的AUPRC上优于现有工具5-6倍（0.830对比0.144/0.162）。该研究首次系统性地解决了AI编程代理技能文件的安全检测问题，为蓝队和工具链提供了可落地的防御思路。适合安全工程师、AI代理平台开发者和供应链安全研究者阅读。

We run fourteen AI agents that triage Elastic InfoSec alerts. They were taking 19 LLM calls to do work that needed 8. Here's the five-step optimization loop we run across the fleet, plus the prompt template you can use with any AI assistant.

以太坊智能合约的重入漏洞曾导致巨大的经济损失，为此社区开发了多种自动化重入检测器。然而，这些检测器因检测规则过于粗糙而频繁产生大量误报，常将已采用防重入模式（如互斥锁、检查-生效-交互模式等）保护的合约误判为存在漏洞。现有代码分析技术在识别这些防重入模式时面临挑战，主要原因是防重入模式的特征复杂且多样，且缺乏对这些特征的先验知识。本文提出 AutoAR，一个自动化识别系统，用于探索和识别以太坊合约中普遍存在的防重入模式。AutoAR 利用一种专门的图表示 RentPDG（Reentrancy Protection Dependency Graph），结合数据过滤方法，从大量合约中有效捕获与防重入相关的语义信息。基于从合约中提取的 RentPDG，AutoAR 采用一个集成图自编码器与聚类技术的识别模型，专门用于精确识别防重入模式。实验结果表明，AutoAR 能够帮助现有检测器识别 12 种常见的防重入模式，准确率达到 89%；将其集成到检测流程后，误报率降低了超过 85%。该工作为提升智能合约安全检测的准确性提供了有力工具。

We tested two agentic SOC architectures in parallel across 36,822 real Agent Builder conversations. One won by 5.7x: a specialized workflow triaging alerts for $0.69 each, against $3.42 for a single agent juggling 14 Skills. The data and the decision framework are both below.

Elastic InfoSec tested this detection rule pattern on their own cloud fleet, filtering noisy curl and wget events with deterministic logic and LLM triage so only genuine threats reach an analyst.

We ran the wp2shell WordPress RCE chain end-to-end with Elastic Defend. Detection rule walkthrough, IOCs, and hunt guidance.

本文提出了一种多模态深度伪造新闻检测框架，旨在通过同时分析视频中的音频和视觉线索来鉴别视频内容的真实性。该框架首先从唇部运动（使用LipNet编码）、音频内容（使用DeepSpeech2编码）和视频帧（通过BlazeFace检测人脸并用ResNet18提取视觉特征）中提取特征。然后将这些特征向量拼接成统一的视频表示，并使用集成分类器（随机森林RF、多层感知器MLP、长短期记忆网络LSTM）进行真伪判别。在FakeAVCeleb数据集上的实验表明，该方法在增强音频特征的情况下达到了94%的准确率，优于现有的多模态集成基线。研究证实了该框架在深度伪造新闻检测中的鲁棒性和实际应用潜力。

地毯式轰炸攻击（Carpet Bombing Attack）是一种日益流行的分布式拒绝服务（DDoS）变体，它同时向受害网络中的多台服务器发起攻击，令每条恶意流的流量速率极低，以绕过传统基于流量阈值的检测机制。聚合后的恶意流量会淹没网络接入点（如网关），导致服务不可用。更高级的攻击者还采用应用层攻击手段，使恶意流在语义上和流量体积上都不易察觉，进一步规避现有DDoS检测方案。本文提出NetRadar，一种鲁棒且精准的地毯式轰炸DDoS检测器。NetRadar采用服务器-网关协作架构，聚合受害网络中多个服务器的流量特征和服务端特征，并通过跨服务器分析定位受害服务器。为支持服务器辅助检测，作者设计了一套通用兼容多种服务类型的服务端特征集，并提出一种鲁棒模型训练方法以应对运行时特征不匹配问题。此外，还提出一种高效的跨服务器入站流量分析方法，利用地毯式轰炸流量的相似性降低计算开销。在真实数据集和模拟数据集上的实验表明，NetRadar在所有地毯式轰炸检测场景下均取得超过94%的准确率，优于现有最先进方案。

联邦学习（FL）允许多个客户端协同训练机器学习模型，同时将数据保留在本地，从而提升隐私保护。然而，FL训练过程中交换的梯度仍易受到梯度反转攻击（GIA）的威胁，攻击者可以重建客户端本地数据，破坏FL的隐私承诺。GIA可由被动或主动的服务器发起。主动服务器会操纵全局模型以促进数据重建，但早期主动GIA可被客户端检测，限制了其实战应用。近期出现的新型主动GIA声称比以前的方法更隐蔽。本文首次对这些主张进行全面分析，研究了四种最新的GIA。作者提出了新颖的轻量级客户端检测技术，基于统计上不可能的权重结构以及异常的损失和梯度动态。在多种配置下的广泛评估表明，所提出的方法使客户端能够在不修改FL训练协议的情况下有效检测主动GIA。该研究为FL隐私安全提供了重要检测手段，适合隐私保护研究人员和FL系统开发者阅读。

DPRK-aligned hackers hid malware inside SVG flag images to backdoor developer job interview coding tests. Not one antivirus vendor caught it.

TELEPUZ is a modular malware that emerged through CLICKFIX-VIDAR attacks in April. We reverse-engineered it to show you the infrastructure and evasion techniques that matter.

随着大型语言模型（LLM）被越来越多地部署为针对特定目的智能代理（如客服、代码生成），它们不仅要遵守通用安全护栏，还需遵循针对其角色设计的特定目的限制。这些额外限制扩大了攻击面，特别是提示注入（PI）攻击。现有的检测方法主要依赖输入-输出模式分析，但效果有限。本文发现，LLM 在内部隐藏激活空间中隐含地保留了策略违反（PV）概念：当收到超出其指定目的的请求时，模型会捕捉用户查询与预定义限制之间的冲突语义，反映出 LLM 对策略违规的内在识别能力。基于此，作者提出 PVDetector——一个无需训练（training-free）的框架，通过测量隐藏状态与 PV 概念的对齐程度来检测 PI 攻击。PV 概念从策略违反与合规提示的对比对中离线导出。实验在多个 LLM 和数据集上进行，结果表明 PVDetector 实现了低于 1% 的假阴性率，且辅助开销极小，在性能上持续优于现有最先进方法。代码已开源。该方法适用于保护各类特定目的 LLM 代理，为提示注入防御提供了新的思路。

Elastic Security Labs tracks REF6045, an active operator-assisted banking fraud operation targeting customers of Mexican banks, fintech, payment processors, and cryptocurrency exchanges.

本文针对大规模生成模型快速发展导致的高度逼真AI生成图像泛滥问题，提出了一种新的通用合成图像检测框架RNSIDNet。现有取证网络通常依赖单一域表示和传统二分类优化，导致跨模型泛化能力差且对真实世界退化（如JPEG压缩、缩放等）鲁棒性不足。为了克服这些局限，作者设计了双分支架构：一方面，使用经注意力优化的CLIP骨干网络提取全局RGB语义特征；另一方面，利用Bayar卷积捕获高频噪声伪影，并通过特征级线性调制（FiLM）模块使RGB语义动态调制噪声特征。为了进一步增强表示判别性，提出了困难样本感知对比学习（HSCL）策略，通过显式惩罚难分类样本来重塑潜在特征空间，最大化真实图像与合成图像之间的判别边际。在8个公开基准数据集上的大量实验表明，该方法在泛化能力、鲁棒性和计算效率方面均达到最先进水平。论文提供了代码和数据集链接。该研究对数字图像取证、社交媒体虚假内容治理等领域具有重要参考价值。

本研究针对众包平台（如Prolific和Mechanical Turk）上调查问卷参与者越来越多使用大型语言模型（LLM）辅助回答的现象，旨在量化这种行为的普遍性并探索检测与缓解方法。研究团队开展了一系列调查（样本量N=250），系统评估了平台选择、调查长度、明确要求不使用AI、以及禁用复制粘贴功能等条件对LLM使用频率的影响。通过分析回答的文本特征（如语言风格、一致性、错误模式等），研究人员成功识别出LLM辅助回答的独特特征，并发现其使用频率在不同平台间差异显著：在Prolific上低于10%，而在Mechanical Turk上超过80%。缓解措施（如禁用复制粘贴、加入不适用AI的请求）虽降低了LLM的使用率，但并未显著提高数据质量，暗示部分真实回答也被错误过滤。此外，研究期间未观察到参与者使用浏览器自动化代理（browser-use agents）的现象，但作者分享了基于按键记录和回答模式分析的检测实验。最终建议研究人员在数据收集阶段主动记录和分析按键数据，并设计针对AI的指令和问题，以更有效地筛选出LLM生成的回答。该研究首次系统量化了众包调查中LLM使用的规模与检测有效性，为人机交互和计算社会科学领域提供了重要参考。

该论文针对检索增强生成（RAG）系统面临的语料库投毒攻击问题，提出了一种轻量级检测框架TRACE。RAG系统通过检索外部文档来增强大语言模型的生成能力，但攻击者可向检索库中注入恶意文档，诱导模型输出特定目标答案。现有检测方法通常依赖额外的分类器或基于LLM的验证，计算开销较大。TRACE通过令牌影响归因（token influence attribution）来识别投毒攻击：首先在所有检索到的文档中寻找具有高影响力的重复关键词（recurrent high-influence keywords），这些关键词可能是攻击者植入的触发词；然后进行二次验证，确认这些关键词对模型预测的实质性影响。该方法无需训练辅助模型或调用外部LLM，仅需分析模型内部的梯度或注意力信号。实验在三个问答基准数据集（如Natural Questions、TriviaQA等）和六个主流LLM（包括GPT系列、LLaMA等）上进行，结果表明TRACE能够有效检测投毒攻击，且计算开销远低于对比方法。此外，TRACE还能揭示攻击者指定的目标答案，为后续防御提供线索。该工作为RAG系统的安全性提供了一种实用且高效的检测方案。

Find out how a new obfuscated loader evades static detection using .reloc section abuse, five anti-VM/language checks and MBA obfuscation to deliver infostealer malware via Google Ads.

Azure AD Graph Activity Logs land in Elastic with full ECS parsing. Detect ROADrecon and AADInternals enumeration with ready-to-use detection rules.

本文提出了 MGTBench，一个用于评估机器生成文本 (MGT) 检测方法的统一基准测试框架。随着以 ChatGPT 为代表的大型语言模型 (LLM) 在文本分类、情感分析、翻译、问答等 NLP 任务中展现出强大能力，机器生成文本的检测变得日益重要。这些模型能够生成与人类写作难以区分的语言，引发了关于真实性、责任归属和潜在偏见的担忧。然而，现有的 MGT 检测方法在模型架构、数据集和实验设置上各不相同，缺乏全面的评估体系。MGTBench 旨在填补这一空白，通过标准化评估流程，系统比较不同检测方法（包括统计、神经网络和基于水印的方法）在多种 LLM（如 GPT-2、GPT-3、ChatGPT、LLaMA 等）生成文本上的性能。实验覆盖了不同领域、长度和语言的数据集，揭示了当前检测方法在面对强大 LLM 时的局限性，例如对 GPT-3.5 和 GPT-4 的检测准确率显著下降。主要贡献包括：提出了一个统一的评估框架；提供了多种检测算法和生成模型的标准化实现；分析了检测性能与文本长度、语言、领域等因素的关系；为未来研究提供了基准和方向。该工作对于理解 LLM 生成文本的检测挑战具有重要参考价值，适合 NLP 安全研究者、AI 伦理研究者及需要部署文本真实性验证的系统开发者阅读。

该研究提出一种低成本、高效的reward hacking检测方法，针对强化学习（特别是基于人类反馈的强化学习，RLHF）中奖励模型被操纵的问题。核心方法：训练一个小型Transformer编码器，将Terminal-Wrench环境中的轨迹映射到单位球面上的嵌入向量，使得嵌入之间的距离近似于奖励信号与元数据信号之间的L1距离。然后在该嵌入之上训练一个线性探针（linear probe）来检测reward hacking。实验在清理后的测试集上取得了AUC 0.9467和TPR@5%FPR 0.8296的性能，与使用LLM作为评判器（LLM-as-judge）的基线方法（AUC 0.9510，TPR@5%FPR 0.7130）相当，但前者在每轨迹计算成本上低了约四个数量级。此外，作者验证了编码器并非纯粹的“行为阅读器”：如果在线性探针输入时去除自然语言推理部分（即仅使用不含语言特征的嵌入），AUC降至0.6213，表明语言推理能力对检测至关重要。该方法为在部署前或持续监控中高效筛选可疑轨迹提供了实用工具。

本研究针对大型语言模型（LLM）通过托管API部署时面临的模型提取攻击威胁。模型提取攻击中，攻击者通过发送大量查询来窃取或复制目标模型的功能，但单个查询往往与正常用户请求难以区分。现有检测方法多基于单条查询异常评分或纯良性用户与攻击者用户分类场景，缺乏对混合多用户流量中攻击的有效检测。本文提出一种简单有效的检测方法：将传入查询嵌入语义空间，然后利用最大均值差异（MMD）检验其聚合分布是否偏离历史良性流量。具体地，仅通过良性流量之间的比较来设定决策阈值，无需攻击样本。在四种提取场景、十四个攻击者-正常查询对上的实验表明，该方法在三种随机种子下实现了0.3%的良性假阳性率、100.0%的纯攻击者检测率、90.5%的平均攻击者检测率和95.1%的平衡准确率。与PRADA、SEAT、CAP、DATE和边际马氏距离等基线方法相比，该方法效果显著。代码已开源。本文核心贡献在于将模型提取检测视为良性校准的流量窗口分布测试问题，并证明了简单方法在混合多用户环境下的有效性。适合关注LLM安全、模型窃取防御的研究人员和工程师阅读。

Find out how Elastic Security ingests Google Threat Intelligence for continuous detection and uses AI-driven workflows to enrich alerts in real time, from API key to live detections in minutes.

该论文研究了基于输入/输出（I/O）行为的勒索软件检测技术的局限性。作者首先指出，现有检测技术通常假设勒索软件与良性程序在行为上存在显著差异，并通过监控用户空间的I/O行为应用自定义启发式规则进行识别。然而，通过对良性程序和勒索软件的实际行为进行对比分析，发现两者之间的行为界限模糊，勒索软件可以在遵循良性程序行为模式的情况下完成其加密目标。为了验证这一发现，作者提出了一种名为Animagus的模仿型勒索软件攻击方法。Animagus首先从良性程序中学习行为模式，然后生成并编排子进程，以与良性程序相同的行为执行加密任务。作者评估了Animagus对六种最先进的勒索软件检测技术的有效性，结果表明Animagus能够成功规避这些防御。文章还深入分析了现有检测技术失效的原因，以及Animagus与现有勒索软件样本的差异。最后，讨论了潜在的应对措施以及检测工具可以从这项工作中获得的益处。该研究对安全社区理解勒索软件检测的边界和挑战具有重要意义。

本文针对大型语言模型（LLM）面临的提示注入攻击威胁，提出了一种部署感知的评估框架，用于比较多种检测方法在不同部署条件下的表现。现有检测方法通常在有限设定下评估，未反映真实操作约束。作者构建了多模型、多场景的实验框架，涵盖词法、语义、结构以及基于Transformer的检测器，并在多种分布外设置、重复数据划分以及排名和阈值化部署指标下进行评估。论文引入了可解释的结构信号，用于捕捉层次覆盖、系统提示欺骗、角色重定义和规避模式等攻击特征，并评估了这些信号在稀疏模型中以及结合强编码器基线时的贡献。实验结果表明，检测性能高度依赖于部署场景，且对阈值选择敏感，没有任何单一模型在所有设定下表现最优。基于Transformer的模型整体性能最强，结构信号在特定场景下提供了适度但一致的优势，并在更困难的任务中改善了低误报率情况。这些发现揭示了排名性能与部署有效性之间的差距，强调了在实际操作约束下评估提示注入防御的重要性。代码将开源。

Tycoon 2FA bypasses MFA on Entra ID and Google Workspace. We map telemetry fingerprints across both platforms, ship detection rules for both tiers, and contain incidents in under 10 seconds with Elastic Workflows.

该论文提出了一种针对勒索软件检测的实用多阶段方法，旨在解决现有检测方案在监控文件系统活动时产生的I/O开销问题。作者首先分析了勒索软件的行为特征，即大量加密操作导致高频率的I/O事件。为了在检测准确性与系统性能之间取得平衡，他们设计了一个两阶段检测框架：第一阶段利用轻量级行为检测器快速筛选可疑进程，第二阶段对可疑进程进行深度分析，使用更复杂的特征如文件熵变化和加密模式识别。实验在真实环境下的数据集上进行，包括多种勒索软件家族和良性软件。结果表明，该方法在中等系统负载下几乎不引入额外性能开销，在高负载下也仅产生可接受的开销，同时实现了高检测率和低误报率。论文的关键贡献在于提出了一种兼顾实时性和资源效率的检测架构，适合部署在资源受限的端点或服务器上。

本文提出了一种名为 ERW-Radar 的适应性检测系统，旨在应对日益复杂的逃避型勒索软件。这类勒索软件通过模仿良性程序或减弱加密过程中的恶意行为来规避传统杀毒软件和检测系统，导致现有防御手段效果有限。作者通过大量观察发现，逃避型勒索软件在加密过程中 I/O 行为表现出独特的重复性，而这种重复性在良性程序中很少出现。此外，利用 2 检验和字节流概率分布可以有效区分加密文件与良性修改文件。基于这些发现，ERW-Radar 系统实现了三个关键创新：1）一种上下文关联机制，用于检测恶意行为；2）一种细粒度内容分析机制，用于识别加密文件；3）自适应机制，以在准确性和效率之间获得更好的平衡。实验结果表明，ERW-Radar 对逃避型勒索软件的检测准确率达到 96.18%，误报率为 5.36%，CPU 和内存的平均开销分别为 5.09% 和 3.80%。该系统为勒索软件检测领域提供了新的思路，尤其适用于对抗具有逃避能力的变种。

Elastic Security is the first security vendor to ship an interactive UI in AI tools. Triage alerts, hunt threats, correlate attack chains, and open cases, all from inside your AI conversation.

This research analyzes the Linux kernel privilege escalation vulnerabilities Copy Fail and DirtyFrag, which exploit subtle page cache corruption bugs to create reliable paths to root access. Additionally, Elastic Security Labs is releasing detection logic for these vulnerabilities.

This article shows how a customized Elastic Security ES|QL detection rule can identify web server probing and fuzzing activity in Traefik logs and automatically block the attacking IP via Cloudflare.

本文提出了一种名为Hopper的横向移动检测系统。在企业网络攻击中，攻击者常在初始入侵后通过横向移动访问更多内部机器。Hopper利用企业常见的登录日志，构建内部机器之间的登录活动图，然后识别异常的登录序列。为了理解每个登录的上下文，Hopper使用推理算法识别每个登录所属的移动路径以及执行路径登录的因果用户。结合推理算法、检测规则和新的异常评分算法，Hopper能够高亮最可能反映横向移动的登录路径。在包含超过7.8亿次内部登录的15个月企业数据集上，Hopper在300多个真实攻击场景（包括一次红队攻击）中达到了94.5%的检测率，平均每天产生少于9个警报。相比之下，为了检测相同数量的攻击，先前最先进的系统需要产生近8倍的误报。

该论文首次系统评估了现代安全日志标准的检测效能。针对当前日志标准（CIM、OCSF、ECS）在捕获关键攻击指标方面的相对有效性缺乏实证研究的问题，作者提出了一种基于自动化安全利用遥测收集（SETC）框架的新型评估方法。SETC 在容器化环境中系统生成可重现的利用场景，收集多种日志标准下的丰富遥测数据。通过涉及50种不同远程代码执行漏洞的详细实验，作者量化了每种日志标准的检测效能，指标包括遥测完整性和利用可检测性。研究结果识别了关键差距，并揭示了不同日志标准在捕获攻击指标能力上的显著差异。该工作贡献包括：一种可扩展且可重现的利用遥测分析评估方法，以及为安全从业者提供基于证据的日志标准采纳指导。

REF3076 uses a trojanized Logitech installer to deploy TCLBANKER, a Brazilian banking trojan with environment-gated payloads, WPF fraud overlays, and self-propagating WhatsApp and Outlook worm modules.

本文针对商用深度学习服务中的对抗样本检测问题，提出了一种名为“建设性噪声”的新型防御方法。该方法通过向输入数据添加精心设计的噪声，使得正常样本和对抗样本在模型内部表示上产生可区分的差异，从而有效检测出对抗扰动。核心思路是利用噪声的构造性来对抗攻击者的破坏性噪声，通过设计一个噪声生成网络，使其输出与模型决策边界对齐，增强正常样本的鲁棒性同时放大对抗样本的异常特征。实验在多个商用DNN服务（如云端分类API）和标准数据集上进行，结果表明该方法能在保持较低误报率的前提下，显著提升对抗样本的检测率，且对多种攻击算法（如FGSM、PGD、C&W）具有泛化能力。主要贡献包括：1) 提出一种无需修改原始模型的新型检测框架；2) 设计了噪声构造与融合机制；3) 在真实商用场景中验证了有效性。适合从事AI安全、对抗机器学习防御的工程师与研究人员阅读。

Elastic Workflows is generally available in 9.4, bringing production-ready security automation with deeper case management integration, human-in-the-loop support, natural language authoring, and more.

Elastic Security v9.4 introduces Entity Analytics Watchlists, a way to codify what your team already knows about high-risk entities and feed that context directly into risk scoring, without custom pipelines or detection engineering overhead

Introducing AI-generated hunting leads, proactive, environment-aware threat hypotheses powered by Elastic Entity analytics and integrated AI reasoning.

Most entity analytics systems are confidently wrong. They track users who do not exist, generate risk scores built on noise, and call it behavioral analytics. Learn why the entities records you don't create matter as much as the ones you do and how a confidence-tiered model changes the game.

Elastic Security now lets analysts describe a threat behavior in plain language and receive a complete, validated Elasticsearch ES|QL detection rule in return, no query expertise required.

Conversational Entity Analytics delivers Entity Analytics features as rich inline attachments and Canvas previews into Agent Builder, so you don’t have to leave the conversation.

Elastic Security 9.4 introduces skills, modular AI capabilities that teach the Elastic AI Agent how to detect, investigate, and hunt like a specialist. This is how they work, and why they matter for the SOC.

Learn how to perform distributed, real-time Digital Forensics and Incident Response (DFIR) using Osquery and Elastic to investigate threats at scale without relying on disk imaging.

本文针对持续集成（CI）服务平台上日益猖獗的非法加密货币挖矿行为（称为 Cijacking）进行了系统研究。与以往浏览器端挖矿劫持不同，Cijacking 将挖矿活动伪装成正常的 CI 作业，如容器镜像构建和测试，使得检测更加困难。研究者通过分析攻击者必须指定的关键挖矿信息（如钱包地址和矿池域名），从 GitHub 仓库和 CI 平台日志中恢复了攻击痕迹，共发现 1,974 个 Cijacking 实例，涉及 12 种不同加密货币、30 个攻击活动，波及 11 个主流 CI 平台。研究还揭示了攻击策略随平台防护措施演化的过程、挖矿作业的持续时间（长达 33 个月）及其生命周期，并估算出攻击者每月收益超过 2 万美元。为应对这一威胁，作者提出了一种名为 Cijitter 的创新防御技术，通过在 CI 工作流执行中策略性地注入延迟，不成比例地惩罚需要在时间约束下完成一系列任务的挖矿作业。实验评估表明，Cijitter 能显著压缩矿工收益至无利可图，同时对正常 CI 作业性能影响极小（94.3% 的 CI 作业延迟增加低于 10%）。该研究为 DevSecOps 社区提供了重要的威胁情报和实用缓解方案。

How we built an open-source, drop-in CI template that uses signal extraction and LLM reasoning to catch CI/CD abuse in GitHub Actions, GitLab CI, and Azure DevOps pipelines.

本文介绍了一个名为 MGTEVAL 的可扩展平台，用于系统评估机器生成文本（MGT）检测器。尽管 MGT 检测领域取得了快速进展，但现有的评估工作往往因数据集、预处理方法、攻击方式和评估指标的碎片化，导致结果难以比较和复现。MGTEVAL 将评估流程组织为四个核心组件：数据集构建、数据集攻击、检测器训练和性能评估。该平台支持通过可配置的大语言模型（LLM）生成 MGT 来构建自定义基准测试，对测试集应用 12 种文本攻击，通过统一接口训练检测器，并报告检测器的有效性、鲁棒性和效率。平台提供命令行和 Web 两种交互界面，用户无需修改代码即可进行便捷的实验。论文的主要贡献在于提供了一个标准化、模块化的评估框架，有助于推动 MGT 检测领域的可复现研究和公平比较。适合从事生成文本检测、对抗样本分析以及 LLM 安全评估的研究人员和工程师阅读。