该论文针对现代安全检测系统面临的对抗性逃避问题，提出了一种基于语义保留的命令重实现（Semantics-Preserving Command Re-Realization）的新型逃避技术。研究核心问题在于：现有基于命令行分析的威胁检测系统（如使用静态特征、模式匹配或机器学习分类器的EDR、SIEM等）在识别已知恶意命令时，往往只关注命令的文本或语法形式，而忽视其底层语义。作者推测，通过自动将命令重新实现为语义等价但文本表达差异巨大的变体，可以绕过这些检测机制。论文提出的方法可能结合自然语言处理、代码改写或指令重构等技术，以生成功能完全相同、但表面上截然不同的命令变体。主要贡献包括：1）首次系统性地提出并形式化了'命令重实现'这一逃避范式；2）设计并实现了一个自动生成逃避载荷的框架，能够在保留原命令语义的同时生成多种变体；3）在多个主流检测器上进行了实证评估，展示该方法能够显著降低检测准确率，从而暴露了现有防御体系的盲点。此外，论文可能还讨论了此类攻击对LLM智能体安全的影响，因为智能体依赖命令执行来实现功能，同样容易受到此类逃避手段的威胁。该研究适合安全分析师、SOC团队、检测工程研究人员以及LLM智能体开发者阅读，有助于理解攻击者如何利用语义保持变换来突破基于表面的检测，并为设计更鲁棒的语义级防御提供理论依据。

本文针对 Windows 恶意软件中利用系统原生二进制文件（Living-Off-The-Land, LotL）的规避技术进行了首次大规模系统化研究。随着检测算法日益复杂，恶意软件作者采用了同样复杂的规避机制，而 LotL 技术被认为是其中主要手段之一，它通过滥用系统中已存在的合法程序执行恶意行为，从而降低被检测的风险。作者收集了多个恶意软件数据集，总计包含 31,805,549 个样本，系统分析了这些原生系统二进制文件在恶意软件中的使用普遍性。结果显示，LotL 技术的平均使用率约为 9.41%，且在高级持续性威胁（APT）样本中尤为突出，使用率达到 26.26%，是普通商品恶意软件的两倍以上。为了进一步说明 LotL 技术的规避潜力，研究在本地沙箱环境中，针对多个已完全修补的 Windows 系统测试了 LotL 技术的使用情况，并证明 10 款主流防病毒产品普遍存在检测盲区。该研究首次以大规模数据量化了 LotL 技术的流行程度，揭示了现有安全产品在该类攻击面前的不足，为蓝队和安全研究人员理解、检测及防御 LotL 相关攻击提供了重要的实证基础。论文特别适合恶意软件分析师、入侵检测工程师以及安全产品研发人员阅读，用于评估和提升对无文件攻击和系统可信工具滥用的检测能力。

本文对2020年至2023年间收集的1300个真实世界中的钓鱼工具包（Phishkits）进行了深度分析，旨在揭示其架构和操作动态。钓鱼攻击一直是攻击者绕过现代防御、渗透关键系统的常用手段，而Phishkits在其中扮演了关键角色，它们通常用于快速生成具有迷惑性的钓鱼页面、执行逃避策略，并与远程攻击者建立后门以窃取数据。研究团队从架构设计、源代码实现、通信通道以及泄露数据的性质等多个维度对样本进行了剖析。他们识别出两类主要的逃避机制：动态重定向和针对来访流量的属性分析，用于伪装和辨别爬虫与真实受害者。同时，研究发现这些工具包高度依赖现有的即时通讯服务（如Telegram等）来传输窃取到的数据，而非使用传统C2基础设施。尽管存在这些高级功能，但分析表明，真正具备复杂功能的Phishkits占比很小，有284个（占21.8%）甚至没有任何逃避机制。此外，虽然各工具包在具体实现细节上存在差异，但维持钓鱼页面正常功能的核心组件高度相似甚至完全相同。这种高水平的代码复用和对已知技巧的依赖，使得大量钓鱼工具包的行为模式可预测，这为安全团队在大规模场景下自动检测和防御此类攻击提供了便利。该研究为理解现代Phishkits的演化提供了宝贵的数据支撑，并指出了防御方可以利用的共性弱点。

这篇论文针对恶意软件分类系统中的概念漂移问题展开研究。随着恶意软件不断演化，数据分布会发生漂移，导致分类器性能下降。为此，研究者开发了基于机器学习的数据漂移检测工具来监控输入数据分布的变化。然而，此类检测器与恶意软件分类器在设计目的和技术上存在差异，因此针对分类器的对抗攻击（如规避攻击和投毒攻击）如何影响检测器，以及两者组合使用时的安全性尚不明确。本文通过实证分析，系统研究了规避与投毒攻击对数据漂移检测器以及整个恶意软件检测流程的影响。实验发现，数据漂移检测器的独特特性（如对数据分布变化的敏感性）使得原本针对分类器的攻击在联合场景下表现出不同的效果，可能引发检测器的误报或漏报，进而影响整个系统的可靠性。研究揭示了这一关键交互作用，为理解对抗攻击在多层检测架构中的传播提供了新视角，并为构建更稳健的恶意软件防御系统提供了理论基础和实验依据。

该论文通过大规模实证研究，分析了真实世界中恶意软件在执行过程中行为动态变化的现象。作者收集了来自多个来源的恶意软件样本，在沙箱环境中执行并记录其系统调用、网络流量、文件操作等行为轨迹。通过时序聚类和变化点检测算法，识别出恶意软件行为发生显著变化的时间点。研究发现，相当比例的恶意软件在执行中会改变其行为模式，例如先进行良性行为再突然执行恶意载荷，或根据环境反馈调整攻击策略。这种行为变化有助于恶意软件逃避基于静态特征或固定行为模式的检测系统。论文进一步评估了现有检测方法对这种动态行为的脆弱性，并提出了改进建议，例如利用行为序列的上下文信息和时序依赖性来增强检测鲁棒性。实验结果表明，考虑行为变化的检测模型能够显著提高对高级恶意软件的识别率。该研究为恶意软件行为分析提供了新的视角，并强调了动态行为建模在网络安全防御中的重要性。

该论文针对LLM编码代理（coding agent）中第三方技能（skill）带来的软件供应链攻击面展开研究。代理技能从公共市场获取，并拥有与代理相同的权限，恶意技能可能窃取凭证、泄露源代码或安装后门。现有防御主要采用基于模式匹配或LLM作为评审的静态扫描器，但论文质疑其对自适应逃逸的鲁棒性。作者首先提出SkillCloak，一个保留载荷语义的逃逸框架，通过两种互补策略：结构混淆（将可见载荷指标重写为语义等价形式）和自我提取技能打包（SFS Packing，将恶意组件隐藏于安装时视图之外，在执行时恢复）。在8个扫描器和1613个野外恶意技能上的实验表明，SFS Packing以超过90%的逃逸率绕过所有扫描器，结构混淆在大多数静态扫描器上逃逸率超过80%，在混合扫描器上达到96%，证明基于外观的审计不足。受此启发，作者提出SkillDetonate，一个行为中心的运行时审计器，在沙箱中执行技能并通过操作系统边界的信息流证据（而非安装时外观）检测恶意效果。它结合按需闭包提升（观察执行期间具体化的指令）和基于标记的污点分析（跟踪代理上下文、文件、进程和网络操作中的敏感数据流）。结果显示SkillDetonate以2%的误报率检测97%的攻击，在真实恶意技能上维持87%的检测率。该研究揭示了当前技能安全机制的脆弱性，并提供了可扩展的运行时检测方案。

本文研究了大语言模型（LLM）在安全分类任务的微调过程中引入的隐蔽漏洞。通常，LLM在微调后会在同分布留出集上评估，但作者发现这种标准评估无法检测出微调本身带来的新脆弱性：模型可能学习到基于令牌的指示器语义，在保持正常分类准确率的同时，对行为保持变换（如PowerShell别名替换、命令重构、字符串构造、执行间接和大小写变异）却失效。以Foundation-Sec-8B-Instruct和其基模型Llama-3.1-8B-Instruct为例，在匹配的PowerShell分类测试集上，通过因果干预定位到分类电路源自Llama中继承的后期注意力路径，而非微调创造。微调集中并语义特化了这一继承结构，改善了基线行为，但同时创造了易受变换影响的攻击面。三层逃避基准测试显示，Foundation-Sec在iwr替换、Invoke-Expression重构以及大小写变异的IEX变体上均失败，而Llama则没有这些问题。作者还推导了一种部署前监控方法：分类边界的线性探针和指示器令牌符号检验可识别出微调后规范指示器角色发生变化的命令族。这些信号仅使用规范输入即可优先进行红队变体生成。研究表明，安全微调在提升任务准确率的同时可能扩大逃避面，提示不应将针对特定任务的小规模微调视为直接更安全的安全分类器，特化过程可能将继承的模型结构转化为脆弱的指示器规则，从而在保持留出集准确率的同时扩大逃避面。需要鲁棒的AI安全就必须完整指定任务的变换空间，并监控微调过程中的语义漂移。

本文提出了一种针对音频水印的自适应攻击方法（AWM），旨在绕过现有的水印检测防御策略。研究发现，水印解码器的消息概率遵循正态分布，这一特性被现有防御方法利用来检测攻击行为。AWM 采用两阶段优化：第一阶段确保攻击成功，第二阶段提升音频质量。为了规避检测，该方法从目标音频的有限样本中估计正态分布参数，然后自适应地将解码概率调整回估计的正常范围内。在三个语音数据集上对两种水印方法进行测试，AWM 在实现高攻击成功率的同时，能够绕过最先进的检测器：替换和创建攻击的检测率低于10%，移除攻击的检测率为0%。

本论文针对钓鱼URL检测中的规避问题提出了一种基于网络的方法。现有基于机器学习的检测方法容易受到攻击者的规避：攻击者可以通过使用良性域名、IP地址、URL字符串模式，或利用共享托管服务等方式伪装钓鱼URL，使其看起来像合法的。作者观察到攻击者的一些行为特征：例如，他们会重复使用钓鱼网页，选择便宜的托管商，以及使用共享托管以节省成本。受此启发，论文构建了一个URL关系网络，其中节点表示URL，边表示它们之间的关联（如共享同一IP、域名或托管商）。该方法的核心思想是：即使攻击者对单个URL进行规避，只要网络中大多数邻居节点没有被同时规避，该URL仍可被识别为钓鱼。实验使用了大规模真实数据集，与多种先进方法（包括基于特征的机器学习方法和现有的网络方法）进行了对比。结果显示，所提方法在F1分数（0.89）上显著优于最好的基于特征的方法（0.84），并且对各类规避策略具有鲁棒性。论文还分析了不同网络构建策略的影响，证明了基于多关系融合的网络能有效提升检测性能。该研究为钓鱼URL检测提供了新的视角，尤其适合安全运维团队和研究人员关注。

本文针对基于大型语言模型（LLM）的自主智能体系统（如OpenClaw）中存在的安全漏洞进行了深入研究。现有漏洞分析大多集中在单轮、无状态的行为上，忽略了有状态多轮交互和动态工具调用带来的扩展攻击面。为此，作者提出了一种多维度逃避框架，包含三种新型攻击向量：时间逃避（将恶意负载分散在多个交互轮次中）、空间逃避（将负载隐藏在复杂的工件内以绕过标准LLM解析机制）和语义逃避（在良性上下文噪声中隐藏恶意意图）。为了系统评估这些威胁，作者构建了A3S-Bench基准，包含2,254个真实世界智能体执行轨迹，并将标准智能体框架与10种主流LLM骨干集成，在20种实际威胁场景下进行测试。实验结果表明，该逃避框架将平均风险触发率从28.3%基线上升至52.6%。这些发现揭示了当前自主智能体系统中存在的系统级架构漏洞，而现有防御措施无法有效应对，凸显了针对此类独特威胁定制防御机制的迫切需求。

本文提出一种名为 PhishPrint 的新方法，旨在通过预先分析钓鱼检测爬虫的行为特征，生成针对性的规避策略，从而绕过基于爬虫的钓鱼检测系统。研究背景是当前钓鱼网站广泛采用各种技术逃避检测，尤其是针对自动爬虫的识别与屏蔽。核心问题在于如何有效地绕过主流钓鱼检测爬虫的探测机制。PhishPrint 方法首先对目标爬虫进行 profiling，收集其请求模式、IP 范围、User-Agent、行为时间等特征，然后利用这些信息生成与正常访问无异的请求，同时调整页面内容或响应策略，使得爬虫无法准确识别钓鱼页面。论文通过实验评估了 PhishPrint 在多个真实钓鱼检测爬虫上的表现，证明其能够显著降低检测率，并分析了不同 profiling 策略的有效性。主要贡献包括：提出了基于 prior profiling 的规避框架，量化了多种规避技术的效果，以及揭示了当前钓鱼检测爬虫的脆弱性。该研究适合安全防御者和钓鱼检测系统开发者阅读，以改进爬虫的鲁棒性。

本文提出了一种名为 ERW-Radar 的适应性检测系统，旨在应对日益复杂的逃避型勒索软件。这类勒索软件通过模仿良性程序或减弱加密过程中的恶意行为来规避传统杀毒软件和检测系统，导致现有防御手段效果有限。作者通过大量观察发现，逃避型勒索软件在加密过程中 I/O 行为表现出独特的重复性，而这种重复性在良性程序中很少出现。此外，利用 2 检验和字节流概率分布可以有效区分加密文件与良性修改文件。基于这些发现，ERW-Radar 系统实现了三个关键创新：1）一种上下文关联机制，用于检测恶意行为；2）一种细粒度内容分析机制，用于识别加密文件；3）自适应机制，以在准确性和效率之间获得更好的平衡。实验结果表明，ERW-Radar 对逃避型勒索软件的检测准确率达到 96.18%，误报率为 5.36%，CPU 和内存的平均开销分别为 5.09% 和 3.80%。该系统为勒索软件检测领域提供了新的思路，尤其适用于对抗具有逃避能力的变种。