该论文是一篇系统性综述，聚焦云计算多租户共享物理硬件所导致的隔离边界失效问题。作者收集并分析了 2008 至 2025 年间超过 120 篇安全文献，覆盖虚拟机隔离与容器隔离两条主线。论文考察的威胁类别包括：虚拟机逃逸（guest 突破 hypervisor 边界）、虚拟机跳转/跨租户 VM hopping、CPU 缓存侧信道（利用缓存时序跨租户泄露数据）、容器逃逸（突破 namespace 与 cgroup 等隔离机制）、存在漏洞或污染的容器镜像（涉及镜像供应链），以及分布式拒绝服务（DDoS）攻击。作者围绕三个核心研究问题对这些威胁及其对应对防御手段进行结构化评估，以回答攻击面如何演化、现有防御覆盖到什么程度、还有哪些空白。为便于横向比较不同防御方案，论文提出量化评分框架 ADPO，从准确性（Accuracy）、部署难易度（Deployment ease）、性能影响（Performance impact）、运维开销（Operational overhead）四个维度给出 0 到 3 的评分；同时将攻击影响映射到机密性、完整性、可用性（CIA）三元组上的 1 至 5 级严重度刻度。论文最后讨论了安全性与系统性能之间的固有权衡，并列出开放挑战，包括构建低开销的入侵检测机制，以及构造真实、可复现的测试数据集。整体上，这是一份面向云基础设施隔离攻防的综述与评估方法论工作，适合云平台安全架构师、hypervisor 与容器运行时研究者、以及负责云检测工程的 SOC 人员阅读。

该论文聚焦于以存储为中心的计算（storage-centric computing）场景下固态硬盘（SSD）固件——闪存转换层（FTL）——的安全与正确性问题。研究背景是：数据密集型应用需要把大量数据从存储搬运到计算单元，产生显著的数据移动开销；把计算下沉到 SSD 内部或近端可以缓解该开销，但这要求修改 FTL 中的地址转换、垃圾回收等策略。作者指出，FTL 属于设备固件，其逻辑直接访问安全关键的设备组件，因此即便功能上完全正确的 FTL，也可能在租户之间泄漏数据、丢弃完整性标签，或把闪存块错误地分配给其他租户。论文首先证明一个有缺陷的 FTL 可以在 SSD 内部的五个“表面”（surfaces）上破坏设备状态，并在 DaisyPlus OpenSSD 平台上进行了演示。作者进一步指出现有 FTL 验证工作的两大局限：(1) 只验证功能正确性，被修改的 FTL 即使违反隔离性、完整性与归属（ownership）约束仍能通过验证；(2) 验证与某一具体 FTL 设计绑定，任何改动都要重做全部证明，代价高昂。为此作者提出 CertiFlash：一个在 Rocq（Coq）证明助理中机械化的 FTL 形式化验证框架。CertiFlash 把 FTL 建模为确定性状态机，并在映射、隔离、完整性、归属和分配五个维度上建立单一全局不变式；在该通用 FTL 模型上一次性证明两件事：(i) 每个 FTL 操作都保持该不变式，(ii) 该模型细化了理想化的块设备语义。对新设计，开发者只需为其自身操作消解五条假设（hypotheses），而无需重做上述两个证明。在四个案例研究中，设计者只需在 16,489 行的框架之上新增 27 至 3,231 行代码，验证工作量显著降低。框架已开源。适合关注存储安全、SSD 固件、多租户隔离以及形式化验证的研究者与工程人员阅读。

该论文提出了一种硬件-软件协同设计方法，旨在解决可信执行环境（如Intel SGX）中飞地内部隔离效率低下的问题。现有飞地设计通常将整个应用放在同一个安全边界内，缺乏内部隔离机制，导致一旦飞地内某个组件被攻破，整个飞地数据都会泄露。作者设计了一种轻量级的隔离架构，通过硬件扩展（如自定义页表权限级别）和软件运行时配合，在飞地内创建多个独立的安全域，并支持域间受控通信。实验基于修改的RISC-V处理器和Linux内核实现，评估表明该方法在提供细粒度隔离的同时，仅引入约5%的性能开销，相比现有方案（如多飞地模型）有显著优势。该工作为机密计算、多方数据协作等场景提供了更灵活高效的隔离方案。

本论文针对分拆化（compartmentalized）软件中的接口漏洞影响进行了系统评估。分拆化软件通过将程序划分为多个隔离的组件（如利用进程级隔离、沙箱或微内核架构）来增强安全性，但组件间的接口（如系统调用、RPC、共享内存）可能引入新的攻击面。作者首先提出了一个定量框架，用于衡量接口漏洞在分拆化环境下的严重性变化，包括漏洞利用难度、权限提升潜力、信息泄露风险等指标。然后，他们对多种主流分拆技术（如FreeBSD的Capsicum、Google的gVisor、以及基于unikernel的隔离方案）以及不同类型的接口（同步、异步、有状态、无状态）进行了系统测试。实验采用真实世界漏洞样本和合成漏洞两种方式，结果表明：分拆化并非总是能降低漏洞风险——在某些场景下，接口漏洞的利用难度反而降低，例如由于接口语义复杂导致绕过隔离机制；另外，权限分离策略若设计不当，可能使攻击者通过一个组件获得整个系统的高权限。论文的主要贡献包括：①首个系统量化分拆化接口漏洞影响的研究；②揭示了分拆化安全假设的局限性；③提供了设计更安全分拆化系统的指导原则。该研究适合软件安全架构师、操作系统开发者以及安全评估人员阅读。

本文研究了容器隔离中的去同步风险（Desynchronization Risks），即容器运行环境与宿主机之间在时间、状态或资源视图上出现不一致，可能导致安全隔离失效或性能降级。作者首先系统分析了容器运行时（如runc、crun）与宿主机内核、cgroup、namespace等机制之间的同步点，识别出三类典型去同步场景：时钟漂移导致的定时器失准、cgroup统计更新延迟引发的资源超限、以及namespace切换时的竞态条件。针对这些风险，提出了一套分层的缓解策略：在运行时层引入同步检查点，在内核层优化cgroup事件推送机制，并在应用层提供可选的同步代理库。实验基于Docker和Kata Containers环境，测试了CPU、内存、网络I/O等负载下的去同步概率与影响，结果表明所提方法能将高危去同步事件的概率降低至1%以下，性能开销控制在5%以内。该研究对于云原生环境下的安全运行时设计与容器加固具有重要参考价值。