该论文研究面向预训练机器学习模型（PTM）托管中心（如 Hugging Face）的供应链攻击，指出攻击者可通过分发恶意 PTM 模型实现远程代码执行。现有基于静态分析的模型扫描器虽能检测部分已知恶意负载，但对新型隐蔽攻击的防御能力有限。作者提出 SHADOWPICKLE，包含三种基于 pickle 反序列化的隐蔽攻击方法，利用 Pickle 虚拟机的外部模块导入机制在执行反序列化时加载恶意代码。其中“覆盖式”攻击（Overwritten variant）通过重写现有模块引用实现绕过，成功规避了 10 个最新扫描器和 4 个模型中心，平均绕过率达 63%，比现有攻击高出 50%。同时，作者构建了 PICKLEBENCH 动态基准测试，可自动向任意良性 PTM 注入 SHADOWPICKLE，其难度比现有三个基准测试高 25.6%。论文最后提出了改进扫描器有效性、限制外部模块导入等安全建议。该研究揭示了当前模型扫描机制的根本局限，对 ML 供应链安全具有重要警示意义。适合安全研究员、ML 平台运维人员及扫描器开发者阅读。

该论文通过大规模实证研究，分析了真实世界中恶意软件在执行过程中行为动态变化的现象。作者收集了来自多个来源的恶意软件样本，在沙箱环境中执行并记录其系统调用、网络流量、文件操作等行为轨迹。通过时序聚类和变化点检测算法，识别出恶意软件行为发生显著变化的时间点。研究发现，相当比例的恶意软件在执行中会改变其行为模式，例如先进行良性行为再突然执行恶意载荷，或根据环境反馈调整攻击策略。这种行为变化有助于恶意软件逃避基于静态特征或固定行为模式的检测系统。论文进一步评估了现有检测方法对这种动态行为的脆弱性，并提出了改进建议，例如利用行为序列的上下文信息和时序依赖性来增强检测鲁棒性。实验结果表明，考虑行为变化的检测模型能够显著提高对高级恶意软件的识别率。该研究为恶意软件行为分析提供了新的视角，并强调了动态行为建模在网络安全防御中的重要性。

该论文针对LLM编码代理（coding agent）中第三方技能（skill）带来的软件供应链攻击面展开研究。代理技能从公共市场获取，并拥有与代理相同的权限，恶意技能可能窃取凭证、泄露源代码或安装后门。现有防御主要采用基于模式匹配或LLM作为评审的静态扫描器，但论文质疑其对自适应逃逸的鲁棒性。作者首先提出SkillCloak，一个保留载荷语义的逃逸框架，通过两种互补策略：结构混淆（将可见载荷指标重写为语义等价形式）和自我提取技能打包（SFS Packing，将恶意组件隐藏于安装时视图之外，在执行时恢复）。在8个扫描器和1613个野外恶意技能上的实验表明，SFS Packing以超过90%的逃逸率绕过所有扫描器，结构混淆在大多数静态扫描器上逃逸率超过80%，在混合扫描器上达到96%，证明基于外观的审计不足。受此启发，作者提出SkillDetonate，一个行为中心的运行时审计器，在沙箱中执行技能并通过操作系统边界的信息流证据（而非安装时外观）检测恶意效果。它结合按需闭包提升（观察执行期间具体化的指令）和基于标记的污点分析（跟踪代理上下文、文件、进程和网络操作中的敏感数据流）。结果显示SkillDetonate以2%的误报率检测97%的攻击，在真实恶意技能上维持87%的检测率。该研究揭示了当前技能安全机制的脆弱性，并提供了可扩展的运行时检测方案。

本文研究了大语言模型（LLM）在安全分类任务的微调过程中引入的隐蔽漏洞。通常，LLM在微调后会在同分布留出集上评估，但作者发现这种标准评估无法检测出微调本身带来的新脆弱性：模型可能学习到基于令牌的指示器语义，在保持正常分类准确率的同时，对行为保持变换（如PowerShell别名替换、命令重构、字符串构造、执行间接和大小写变异）却失效。以Foundation-Sec-8B-Instruct和其基模型Llama-3.1-8B-Instruct为例，在匹配的PowerShell分类测试集上，通过因果干预定位到分类电路源自Llama中继承的后期注意力路径，而非微调创造。微调集中并语义特化了这一继承结构，改善了基线行为，但同时创造了易受变换影响的攻击面。三层逃避基准测试显示，Foundation-Sec在iwr替换、Invoke-Expression重构以及大小写变异的IEX变体上均失败，而Llama则没有这些问题。作者还推导了一种部署前监控方法：分类边界的线性探针和指示器令牌符号检验可识别出微调后规范指示器角色发生变化的命令族。这些信号仅使用规范输入即可优先进行红队变体生成。研究表明，安全微调在提升任务准确率的同时可能扩大逃避面，提示不应将针对特定任务的小规模微调视为直接更安全的安全分类器，特化过程可能将继承的模型结构转化为脆弱的指示器规则，从而在保持留出集准确率的同时扩大逃避面。需要鲁棒的AI安全就必须完整指定任务的变换空间，并监控微调过程中的语义漂移。

本文提出了一种针对音频水印的自适应攻击方法（AWM），旨在绕过现有的水印检测防御策略。研究发现，水印解码器的消息概率遵循正态分布，这一特性被现有防御方法利用来检测攻击行为。AWM 采用两阶段优化：第一阶段确保攻击成功，第二阶段提升音频质量。为了规避检测，该方法从目标音频的有限样本中估计正态分布参数，然后自适应地将解码概率调整回估计的正常范围内。在三个语音数据集上对两种水印方法进行测试，AWM 在实现高攻击成功率的同时，能够绕过最先进的检测器：替换和创建攻击的检测率低于10%，移除攻击的检测率为0%。

本论文针对钓鱼URL检测中的规避问题提出了一种基于网络的方法。现有基于机器学习的检测方法容易受到攻击者的规避：攻击者可以通过使用良性域名、IP地址、URL字符串模式，或利用共享托管服务等方式伪装钓鱼URL，使其看起来像合法的。作者观察到攻击者的一些行为特征：例如，他们会重复使用钓鱼网页，选择便宜的托管商，以及使用共享托管以节省成本。受此启发，论文构建了一个URL关系网络，其中节点表示URL，边表示它们之间的关联（如共享同一IP、域名或托管商）。该方法的核心思想是：即使攻击者对单个URL进行规避，只要网络中大多数邻居节点没有被同时规避，该URL仍可被识别为钓鱼。实验使用了大规模真实数据集，与多种先进方法（包括基于特征的机器学习方法和现有的网络方法）进行了对比。结果显示，所提方法在F1分数（0.89）上显著优于最好的基于特征的方法（0.84），并且对各类规避策略具有鲁棒性。论文还分析了不同网络构建策略的影响，证明了基于多关系融合的网络能有效提升检测性能。该研究为钓鱼URL检测提供了新的视角，尤其适合安全运维团队和研究人员关注。

本文研究了Android沙箱环境中的恶意软件逃逸问题。恶意软件沙箱是检测和分析恶意软件的重要工具，移动设备沙箱则用于确保应用市场的安全性。然而，恶意软件已进化出识别沙箱环境并暂停恶意行为的能力，从而逃避检测。高级沙箱通过修补运行时属性来防止被识别，但攻击者仍能利用环境细节差异进行逃逸。论文提出了一种环境感知的Android沙箱逃逸方法，通过分析沙箱与真实设备在系统属性、硬件特征、网络配置等维度的细微差异，构建分类器判别当前运行环境。实验评估了多种商业和开源沙箱，证明该方法能够以高准确率识别沙箱环境，并有效逃逸检测。主要贡献包括：系统化分类Android沙箱逃逸技术；提出并实现了一种基于多维度特征的环境感知逃逸框架；通过大规模实验验证了逃逸的有效性。该研究揭示了现有沙箱在模拟真实环境方面的不足，为改进Android沙箱设计提供了重要参考，适合移动安全研究人员、沙箱开发者和应用市场审核团队阅读。

本文针对基于大型语言模型（LLM）的自主智能体系统（如OpenClaw）中存在的安全漏洞进行了深入研究。现有漏洞分析大多集中在单轮、无状态的行为上，忽略了有状态多轮交互和动态工具调用带来的扩展攻击面。为此，作者提出了一种多维度逃避框架，包含三种新型攻击向量：时间逃避（将恶意负载分散在多个交互轮次中）、空间逃避（将负载隐藏在复杂的工件内以绕过标准LLM解析机制）和语义逃避（在良性上下文噪声中隐藏恶意意图）。为了系统评估这些威胁，作者构建了A3S-Bench基准，包含2,254个真实世界智能体执行轨迹，并将标准智能体框架与10种主流LLM骨干集成，在20种实际威胁场景下进行测试。实验结果表明，该逃避框架将平均风险触发率从28.3%基线上升至52.6%。这些发现揭示了当前自主智能体系统中存在的系统级架构漏洞，而现有防御措施无法有效应对，凸显了针对此类独特威胁定制防御机制的迫切需求。

本文提出一种名为 PhishPrint 的新方法，旨在通过预先分析钓鱼检测爬虫的行为特征，生成针对性的规避策略，从而绕过基于爬虫的钓鱼检测系统。研究背景是当前钓鱼网站广泛采用各种技术逃避检测，尤其是针对自动爬虫的识别与屏蔽。核心问题在于如何有效地绕过主流钓鱼检测爬虫的探测机制。PhishPrint 方法首先对目标爬虫进行 profiling，收集其请求模式、IP 范围、User-Agent、行为时间等特征，然后利用这些信息生成与正常访问无异的请求，同时调整页面内容或响应策略，使得爬虫无法准确识别钓鱼页面。论文通过实验评估了 PhishPrint 在多个真实钓鱼检测爬虫上的表现，证明其能够显著降低检测率，并分析了不同 profiling 策略的有效性。主要贡献包括：提出了基于 prior profiling 的规避框架，量化了多种规避技术的效果，以及揭示了当前钓鱼检测爬虫的脆弱性。该研究适合安全防御者和钓鱼检测系统开发者阅读，以改进爬虫的鲁棒性。

本文提出了一种名为 ERW-Radar 的适应性检测系统，旨在应对日益复杂的逃避型勒索软件。这类勒索软件通过模仿良性程序或减弱加密过程中的恶意行为来规避传统杀毒软件和检测系统，导致现有防御手段效果有限。作者通过大量观察发现，逃避型勒索软件在加密过程中 I/O 行为表现出独特的重复性，而这种重复性在良性程序中很少出现。此外，利用 2 检验和字节流概率分布可以有效区分加密文件与良性修改文件。基于这些发现，ERW-Radar 系统实现了三个关键创新：1）一种上下文关联机制，用于检测恶意行为；2）一种细粒度内容分析机制，用于识别加密文件；3）自适应机制，以在准确性和效率之间获得更好的平衡。实验结果表明，ERW-Radar 对逃避型勒索软件的检测准确率达到 96.18%，误报率为 5.36%，CPU 和内存的平均开销分别为 5.09% 和 3.80%。该系统为勒索软件检测领域提供了新的思路，尤其适用于对抗具有逃避能力的变种。

本文研究智能家居物理事件验证系统（EVS）面临的逃避攻击与防御方法。在智能家居中，执行器状态变化时向IoT中心发送事件通知（如门解锁）。以往研究表明，事件通知易受欺骗和掩蔽攻击：事件欺骗中，攻击者向IoT中心报告虚假事件；事件掩蔽中，攻击者抑制真实事件的通知。这些攻击导致执行器的物理状态与网络状态不一致，攻击者可通过触发IoT应用间接控制安全关键设备。为缓解此类攻击，EVS或广义的IoT异常检测系统利用物理事件指纹，即描述事件与其对传感器读数影响的关联关系。然而，智能家居中事件与传感器之间存在复杂的物理交互，而现有EVS普遍忽略这些交互，使得攻击者能够规避检测。本文首先探索可规避的物理事件指纹，证明攻击者可以在相同威胁模型下利用它们绕过EVS。作者随后提出两种防御方案：EVS软件补丁和传感器放置，结合物理建模与形式分析生成鲁棒物理事件指纹，并展示如何将其集成到EVS中。在两个包含12个执行器和16个传感器的智能家居环境中，针对两种最先进的EVS进行评估，结果显示其71%的物理指纹容易受到规避。通过采用作者的方法，可构建鲁棒物理事件指纹，从而有效缓解现实攻击向量。