该论文针对NTP Pool这一全球分布式网络时间同步基础设施的稳健性问题展开测量研究。NTP Pool由大量自愿加入的时间服务器组成，通过DNS轮询机制将客户端请求分发到各服务器，其安全和可用性至关重要。研究聚焦于一种潜在的单点故障风险——即某个组织或实体若控制足够大比例的池中服务器，就可能实施"垄断攻击"，进而操纵或破坏全球大量系统的时间同步。作者通过长期测量和数据分析，评估当前NTP Pool的服务器分布、控制权集中程度以及对这类攻击的抵御能力。研究发现，NTP Pool在服务器所有权和自治域（AS）层面存在一定程度的集中化趋势，这意味着少数恶意或受攻击的实体若联合起来，可能对时间服务质量造成显著影响。论文提出了度量指标来量化这种垄断风险，并讨论了潜在的缓解策略，如改进调度算法、增加服务器多样性或引入信誉机制。主要贡献在于提供了首个基于实际测量数据的NTP Pool垄断攻击风险评估，为NTP基础设施的安全加固提供了实证依据。适合网络运维人员、时间同步服务提供方以及关注基础设施安全的研究人员阅读。

该论文针对基础设施网络中的入侵检测问题，提出了一种基于博弈论的资源分配方法。研究背景是：基础设施网络（如集成传感与通信ISAC系统）依赖分布式传感设备在网络边缘检测入侵，以在攻击者到达关键资产前进行拦截。然而，传感设备、通信带宽和边缘服务器处理能力均有限，而攻击者具备智能性，能够根据所观察到的防御部署动态调整攻击路线。因此，防御方需要在资源约束下优化感知和处理资源的分配。作者将防御方与攻击方的交互建模为一个图安全博弈：防御方在资源预算和误报约束下选择感知动作（即部署传感器或处理能力），攻击方则选择通向高价值目标的路径。研究中考虑了两种博弈形式：同时行动博弈，以及攻击者先观察防御配置（纯策略或混合策略）再行动的Stackelberg博弈。理论层面，作者刻画了纳什均衡和Stackelberg均衡的存在性、结构与计算复杂度，重点分析了攻击者对防御的观测如何影响均衡行为，并指出了在哪些情况下求解最优策略是计算困难的。算法层面，论文设计了用于构造有效纯防御配置的算法，以及用于求解混合纳什和混合Stackelberg均衡的受限博弈精化算法。在可完全枚举策略的小规模实例上，所提算法的解与全局枚举参考解的归一化差异很小；当策略空间过大无法穷举时，这些方法依然适用。此外，论文还给出了在某些条件下纳什均衡收益与混合Stackelberg均衡收益有序或相等的理论条件。总体而言，该工作为基础设施网络中的稀缺资源分配与自适应攻击对抗提供了博弈论视角的建模工具和计算框架。

本文提出了一种针对机器学习基础设施的新型攻击面——寄生基础设施木马（Parasitic Infrastructure Trojan），并展示了具体实现(A)iSpy。现代机器学习流水线高度依赖第三方库进行图编译和硬件加速，现有安全实践主要审计数据、模型工件或依赖文件完整性检查，但执行环境通常被隐式信任。这留给攻击者一个盲点：恶意运行时模块可以直接与实时的训练和推理动态交互。通过这种交互，木马能够实现复杂的攻击目标，远超传统静态代码或二进制修改的能力，甚至可以完成标准数据和模型层面攻击无法实现的操纵。 (A)iSpy采用“主动观察与执行”范式，作为寄生模块运行在计算图中，监视瞬态张量状态，以极低的副效应进行目标性、隐秘的操纵。在机密性方面，木马能够识别所有关键训练超参数，并通过模型权重或输出logits隐蔽地外泄这些参数。在完整性方面，它作为梯度放大器：通过观察隐写触因，将原本弱的数据中毒转化为有效的后门攻击，成功率从接近0%提升至100%。论文还通过附录验证了该攻击在机器学习生命周期中的广泛扩展性，包括子种群标签翻转、可用性中断和推理阶段操纵。 (A)iSpy模块能够轻易逃避标准恶意软件扫描器，其关联的中毒输入和受感染的模型也能绕过典型的检查工具。作者在ONNX Runtime训练和推理引擎中实现了该攻击，证明其实际可行性。这项工作揭示了ML基础设施中新的信任链脆弱性，对依赖第三方库的ML系统构成严重威胁，为安全社区提供了防御研究的新方向。

该论文系统性地挑战了现代AI与云基础设施中普遍存在的隔离假设。作者通过构建一个从物理内存共置到远程服务接口的交互级别分类法，来解构AI安全假设。尽管已有大量研究关注孤立的攻击面，但安全社区缺乏一个统一的框架来理解物理、架构和算法漏洞如何在整个AI堆栈中显现。本文填补了这一空白，通过演示利用每一抽象层假设的实际攻击，展示了跨层攻击的可行性。论文涵盖了从GPU内存侧信道攻击到LLM提示注入等多种攻击场景，并提出了一个统一的分析框架，以帮助研究人员和从业者系统性地评估AI系统的安全性。该工作对于理解现代AI基础设施的复合风险具有重要意义，适合云安全、AI安全领域的研究人员和工程师阅读。

该论文提出了一种名为“保管封套阈值”（Custody Envelope Threshold, CET）的模型，旨在解决现代机构基础设施中对外部工件（如包注册表依赖项、CI/CD actions、容器镜像、Terraform 提供者和模块、开发者扩展、模型工件及AI工具服务器）的准入治理问题。论文指出，直接由机构准入这些工件，仅在对象标识、入口路径和撤销能力相对于委托给工件的执行权限足够封闭时才是可辩护的。当这一阈值未达到时，机构会采取代理、策略中介、供应商中介、内部化、隔离或拒绝等方式处理工件。CET模型被操作化为一个四条件顺序工具，并基于参考监视器推理、最小权限原则和交易成本经济学进行理论支撑。论文将CET应用于六个具体领域：包依赖、GitHub Actions、容器镜像、Terraform提供者和模块、开发者扩展以及开放模型工件，并将Model Context Protocol (MCP) 服务器作为保留证据进行额外分析。此外，论文还指定了验证设计、确定性预测函数和开放科学框架（OSF）复制包，用于测试高审查机构是否对高权限工件收敛于更强的保管封闭性。核心贡献在于：提供了一个可操作的工件准入决策框架，将安全原则与经济成本结合，帮助机构在不同权威级别下做出合理的保管决策。该工作适合基础设施安全工程师、DevOps团队、供应链风险管理者和学术研究者阅读。