该论文提出 FuzzBT，一种面向内核中蓝牙主机栈的、以整体状态引导的模糊测试方法。蓝牙协议栈在现代操作系统内核中广泛存在，且暴露于不可信蓝牙流量，是安全攻击的重要面。现有模糊测试工具往往仅关注单个协议层或孤立的状态，难以有效覆盖跨层、跨连接的状态转换，导致深层漏洞难以被发现。FuzzBT 的核心观察是：蓝牙主机栈的状态由多个相互依赖的组件共同决定，包括链路层连接状态、L2CAP 信道状态、SDP 服务发现状态等，任何单一环节的状态变化都可能影响整体行为。因此，作者引入一种“整体状态”的概念，将协议栈各层的关键状态变量进行统一建模，通过轻量级的插桩从内核中提取状态信息，并以此为反馈指导测试用例的生成与变异。系统架构上，FuzzBT 包含一个状态提取器、一个状态感知的调度器以及一个基于状态覆盖的引导机制，能够自动识别哪些状态组合尚未被探索，并优先生成能够驱动状态跃迁的输入。实验在 Linux 内核的蓝牙子系统上开展，对比了现有最先进的模糊测试工具（如 Syzkaller 和针对蓝牙的专用工具）。结果表明，FuzzBT 在代码覆盖率、状态覆盖率和独特崩溃数量上均显著优于基线，能够发现多个此前未知的漏洞，涉及不正确的状态转换处理、内存破坏和空指针解引用等问题。该研究为内核蓝牙栈的安全性评估提供了一种更系统、更高效的自动化测试方法，连接了协议状态建模与漏洞挖掘两个领域，对于操作系统安全研究和蓝牙相关漏洞的早期发现具有重要价值。适合对内核模糊测试、协议安全分析和漏洞研究感兴趣的研究人员及安全工程师阅读。

该论文研究了Linux内核CVE可触发性的配置推断问题。在现实场景中，厂商在评估CVE时不仅需要知道内核版本是否受影响，还需要知道在特定生产配置下漏洞是否实际可触发。然而，上游复现程序和漏洞数据库通常缺乏配置层面的信息。为此，论文提出一种最小触发配置推断方法：给定CVE条目和目标内核版本（可附带基线.config），合成一个可被Kconfig满足的选项集合，该集合在运行make olddefconfig后仍能生效，并且当存在复现程序时能在指定评估协议下触发漏洞；随后将该集合修剪至1-minimal（子集最小）边界以供评估。论文实现的框架FCC将漏洞线索与构建系统符号关联，在olddefconfig反馈下推断隐式先决条件以避免配置被静默回退，并依据依赖拓扑进行运行时验证的剪枝。实验基于KernJC和KernelCTF数据集，共涉及88个CVE、多个内核版本。结果表明，在88个CVE上，FCC将make olddefconfig后的配置成功率从62.5%（55/88）提升至96.6%（85/88），相对于仅使用olddefconfig注入的基线；在KernJC数据集上，FCC将平均候选配置大小减少了78.7%（平均每个CVE从69.00个选项降至14.72个）。逐阶段分析显示Stage I是主要开销，而聚焦CVE的证据选择能显著降低该成本。该方法提供了有效且可审计的1-minimal配置边界，帮助厂商在自身部署配置下划定CVE可触发性的清晰决策线，并具备工具支撑。适合内核安全研究员、漏洞评估工程师和厂商安全团队阅读。

本文提出了一种名为 Saturn 的主机-设备协同 USB 驱动模糊测试方法。USB 是现代操作系统的重要组成部分，其协议栈通常包含主机侧驱动和设备侧 gadget 驱动，两者均运行在特权模式，安全关键性极高。一旦这些驱动存在漏洞，恶意或异常的外部设备就可能利用漏洞导致系统崩溃。模糊测试作为自动化漏洞检测技术，已被广泛应用于内核组件测试，但现有工作大多只聚焦于单一侧（主机或设备），通过模拟来自用户空间或外设的恶意输入来测试驱动，忽略了仅在两侧边界交互时才会触发的复杂内部状态，导致大量漏洞未被发现。Saturn 的目标是覆盖 USB 通信全过程的处理链。其核心方法包括：首先，利用提取的驱动信息来系统性地附加 gadget，从而触发更多驱动类型，促进交互逻辑的转换；然后，在两侧通过规范操作注入进行持续协同模糊测试，使主机侧与设备侧各自发挥重要作用，显著扩展被测试的状态空间，并暴露这类交互逻辑中的缺陷。实验结果表明，与当前最先进的 USB 模糊测试工具（如 Syzkaller、USBFuzz 和 FUZZUSB）相比，Saturn 在对应协议栈上的分支覆盖率分别提升了 1.53 倍、3.69 倍和 2.3 倍。此外，Saturn 发现了 26 个此前未知的漏洞，其中包括 4 个 CVE，涉及主机侧和设备侧驱动。本文的研究为 USB 驱动安全测试提供了新思路，强调了跨边界协同测试的必要性。

该论文提出了一种名为 SafeFetch 的实用双取（double-fetch）漏洞防御机制。双取漏洞是一类经典的内核竞争条件漏洞，攻击者通过在两次内核数据获取之间修改数据，绕过安全检查，导致权限提升或信息泄露。现有防御方法如永久修复或动态检测存在性能开销大、部署困难等问题。SafeFetch 基于内核获取缓存（Kernel-Fetch Caching）思想，在内核中缓存首次获取的数据，后续获取直接返回缓存内容，从而消除竞争窗口。作者在 Linux 内核上实现了原型，并评估了性能开销和安全性。实验表明，SafeFetch 能够有效防御已知的双取漏洞，且性能开销极低（平均 < 1%），具备实际部署的可行性。该工作为内核安全提供了一种轻量级、通用的防御方案。

该论文是首个针对eBPF生态系统内存安全风险的系统性分析。eBPF允许在不修改内核代码的情况下扩展内核功能，广泛应用于网络、追踪和安全检查等领域。为确保安全，eBPF包含一个验证器，对每个程序执行前进行校验，旨在防止因内存错误导致的内核内存修改。然而，eBPF子系统（包括验证器本身）已被发现存在大量漏洞，严重违背了安全预期。论文聚焦于eBPF验证器局限性及当前内核防御面临的挑战，评估了三种研究缓解策略：隔离技术、运行时检查和静态验证，并指出了它们的贡献与不足。研究发现，在公开的eBPF程序中，只有1.62%-3.74%（即37-85个）的内存操作无法被全面证明是内存安全的。该发现为在兼顾性能与兼容性的前提下实施全面的内存安全提供了可行的见解。

该论文提出了一种名为HAKCs（Hardware-Assisted Kernel Compartmentalization）的方法，旨在解决当前主流操作系统内核（如Linux）的 monolithic 设计带来的安全缺陷。当前内核中所有代码共享同一地址空间，以最高权限运行，并能无限制地访问所有数据，即使这些数据与当前任务无关。这种设计违反了最小权限原则，导致内核漏洞一旦被利用，攻击者可以获得整个系统的控制权。HAKCs 通过引入硬件辅助的隔离机制，将内核划分为多个独立的隔离区（compartment），每个隔离区只拥有完成任务所需的最小权限和资源。这种方法在保持兼容性和减少性能开销的前提下，能够有效限制内核漏洞的传播和影响。论文详细描述了HAKCs的设计架构、实现方案以及实验评估结果。实验表明，HAKCs在多种真实世界的内核漏洞场景下均能有效阻止攻击，而性能开销在可接受范围内（平均约5%）。该工作的主要贡献在于提供了一种实用、高效的内核隔离方案，无需对现有内核进行彻底重构，即可显著增强内核安全性。适合操作系统安全研究人员、内核开发人员以及关注系统安全加固的蓝队成员阅读。

在 Linux 内核安全领域，动态测试工具（如 fuzzing）已加速漏洞发现，但这些工具生成的报告通常只展示触发漏洞时的单一错误行为（如空指针解引用、缓冲区溢出等）。安全分析师依赖该错误推断漏洞的可利用性，进而决定漏洞修复优先级。然而，同一漏洞通过不同路径或在不同上下文中触发，可能表现出多种不同的错误行为，从而影响其利用潜力的评估。仅凭单一报告可能低估漏洞风险。 为解决该问题，本文提出 GREBE（内核模糊测试工具），其核心创新在于对象驱动（object-driven）的内核模糊测试技术。与传统的代码覆盖率驱动的 fuzzing 不同，GREBE 聚焦于有 bug 的代码片段，通过智能变异输入来探索各种上下文和路径，使同一漏洞展现多种错误行为。具体而言，它通过分析漏洞代码访问的内核对象及其状态，生成多样化的测试用例，以触发不同错误表现。 实验在 60 个真实 Linux 内核漏洞上评估 GREBE。结果显示，相比原始报告，GREBE 平均为每个漏洞额外发现超过 2 种错误行为；其中 26 个漏洞被揭示具有更高的利用潜力（即可能被攻击者利用）。此外，研究人员将部分被误判为低风险的漏洞报告给内核厂商，促使厂商紧急应用补丁。 论文的主要贡献在于：1）提出一种新的内核 fuzzing 思路，从单一错误扩展到多错误行为评估；2）设计并实现对象驱动的模糊测试框架；3）通过大规模实验证明该方法能显著提升漏洞利用性评估的准确性。适合内核安全研究人员、漏洞分析师以及 SOC 团队阅读，以改进漏洞优先级排序。

内核去臃肿（Kernel debloating）是一种通过减少内核攻击面来缓解操作系统内核安全问题的实用机制。现有的去臃肿方法通常基于应用程序的动态执行轨迹，移除未被应用程序调用的内核函数。然而，动态轨迹无法保证覆盖全部执行路径，可能导致错误移除必要函数，从而引发系统崩溃或功能缺失。本文提出 Hacksaw，一种基于硬件设备清单的内核去臃肿新机制。Hacksaw 通过确定目标机器上连接的硬件组件以及管理这些组件的设备驱动程序，精确地移除不活动的设备驱动及其关联的内核模块和函数。它采用三种依赖分析方法：调用图分析（call-graph）、驱动模型分析（driver-model）和编译单元分析（compilation-unit），确保移除操作的正确性和完整性。实验评估显示，Hacksaw 平均移除了45%的不活动内核模块和30%的不活动内核函数，同时保证了系统的有效性和兼容性。该方法独特之处在于将内核去臃肿从应用依赖转向硬件依赖，从根源上避免了假阳性问题，为系统安全加固提供了新思路。

这篇论文针对内核驱动测试的痛点——绝大多数驱动因缺乏对应硬件或模拟器而无法被有效测试——提出了一种无需硬件设备和模拟器的语义感知驱动模糊测试方法。当前驱动测试高度依赖物理设备或硬件模拟器，导致覆盖范围严重受限，大量驱动（如Linux内核中数十万驱动）长期未经充分验证，成为内核安全的主要威胁。作者认为，驱动输入不仅来自用户空间，还来自硬件，因此传统的纯用户态模糊测试无法深入驱动核心逻辑。该方法的核心创新在于：通过静态分析提取驱动与硬件交互的语义规范（如寄存器访问顺序、I/O端口范围、DMA描述等），并利用这些语义信息自动生成高保真的合成硬件响应，使得驱动可以在无真实硬件的环境下运行，同时触发深层路径。具体实现包括：1）从驱动源码中推断硬件接口语义；2）构建轻量级虚拟硬件层，按语义规则回放硬件行为；3）结合覆盖引导的模糊测试引擎，驱动多维度输入变异。实验在Linux内核的4821个驱动上评估，相比于依赖模拟器的方法（如QEMU），覆盖了额外67.3%的驱动，并发现12个新bug（含3个已确认的可用性漏洞）。该方法显著降低了驱动测试的准入门槛，可大规模应用于各类操作系统内核的驱动安全检测。

本文针对操作系统内核中 I/O 分离不足导致的安全问题，提出了一种形式化的 I/O 分离模型。该模型基于 I/O 传输授权定义分离策略，与具体硬件无关，能够防止恶意驱动通过操控设备绕过 I/O 隔离。作者在 Dafny 语言中对该模型进行了形式化规约、精化以及在 Wimpy 内核设计中的实例化验证，并自动生成了经过验证的正确汇编代码。通过形式化建模，发现了原 Wimpy 内核中先前未知的设计与实现漏洞。最后，论文概述了该模型在其他 I/O 内核上的适用性。本研究为高可信的 I/O 安全内核开发提供了理论基础和自动化工具，适合操作系统安全、形式化验证领域的研究者阅读。

该论文聚焦于Linux内核扩展程序eBPF的安全迁移问题。eBPF程序被广泛用于网络、可观测性及安全策略执行，但其内核验证器仅检查低级内存安全和终止性，未强制许多高级源级属性，如初始化规则、schema一致性或错误处理。作者识别出六类源级bug，这些bug能够通过编译和内核验证，但会导致数据静默损坏、将先前跟踪的事件泄露至用户空间，或产生错误的执行结果。其中，作者发现了十款开源eBPF程序中此前未报道的信息泄露：这些程序中的环形缓冲区或栈驻留事件记录会将完全可解码的先前跟踪事件（包括用户标识路径和足以恢复每个事件KASLR偏移的内核返回地址）泄露到用户空间。为加固这些被验证器接受的缺陷程序并支持安全迁移，作者提出了Heimdall——一个自动化流水线，利用大语言模型（LLM）将遗留的libbpf C程序翻译为基于Aya Rust的eBPF程序。Heimdall迭代修复编译和内核验证失败，通过静态分析安全引擎拒绝Rust-Aya中不安全的逃逸机制，并借助符号执行和Z3等价性检查逐程序证明翻译后程序与原始程序行为等价。在102个eBPF程序上的实验表明，Heimdall成功生成了96个经形式化验证等价（94.1%）的翻译版本。Heimdall是首个能够自动化地将生产级eBPF程序迁移到内存安全语言，并为每个翻译程序提供形式化保证保持可观测行为的系统。

该论文提出了SHARD，一种细粒度的内核定制与上下文感知加固技术。现代操作系统内核的复杂性导致攻击面不断增大，传统加固方法（如粗粒度的内核模块禁用或通用安全策略）往往难以兼顾安全性和灵活性。SHARD的核心思想是：基于应用程序的内核使用模式，动态生成高度定制的内核变体，仅在应用执行特定操作时激活必要的内核代码路径，从而大幅减少攻击面。具体而言，SHARD通过静态分析识别应用的内核交互模式，结合运行时上下文感知机制，在保持兼容性的前提下，动态切换内核函数的可用性。实验在Linux内核上实现原型，评估显示SHARD能够消除平均70%以上的内核漏洞相关代码，性能开销低于5%。该方法为内核安全提供了一种精细化的加固方向，尤其适用于云环境、容器和物联网等场景，其中内核攻击面削减是核心需求。

内核级漏洞利用攻击持续存在，传统检测方法依赖专家手工设计的监控器，难以应对攻击者利用未监控的低级操作构建的“怪机器”（weird machines）。本文提出 Hi-Res，一个可编程的检测框架，通过系统性地从低级内存操作推导出高级视图，从而区分利用行为与正常行为。Hi-Res 针对给定输入和执行上下文自动生成内核执行指纹，将内存踪迹投影到高分辨率超平面，从中构建行为指纹。其核心假设是低级程序轨迹表现出局部性属性，即特定工作负载独有的上下文敏感内存访问模式。利用这种局部性和具体表示，Hi-Res 能够无需先验程序语义即可对工作集进行经验建模。通过分析动态上下文元组（如系统调用、访问来源位置、分配上下文和调用栈），实验证明这些指纹能可靠区分正常行为与利用行为。在多种内核利用样本上的评估显示，Hi-Res 实现了高检测率与低误报率，验证了局部性作为精确利用检测的稳健信号。该工作为动态安全监控提供了通用的数据驱动框架。

本文提出了一种针对实时操作系统（RTOS）内核的上下文自适应函数级模糊测试方法，名为RTCON。RTOS广泛应用于嵌入式系统和物联网设备，其内核安全性至关重要。传统模糊测试通常以系统调用或整个程序为输入，但RTOS内核具有高度耦合的上下文依赖关系，例如中断处理、任务调度和资源锁定，这使得通用模糊测试难以有效探索内核状态空间。RTCON创新性地在函数级别进行模糊测试，并利用上下文信息（如当前运行任务、中断状态、锁持有情况等）动态调整测试输入和路径选择。具体地，该方法通过静态分析提取函数间的上下文依赖图，并在执行过程中实时监控上下文变化，从而生成更导向的测试用例，提高对临界区、中断服务例程和竞争条件等深层漏洞的覆盖能力。实验在多个主流RTOS内核（如FreeRTOS、Zephyr）上进行，结果表明RTCON在代码覆盖率、漏洞发现数量和测试效率方面显著优于现有通用模糊测试工具，成功发现了多个未知的内存破坏和死锁漏洞。本文的主要贡献包括：定义了RTOS内核模糊测试的上下文自适应问题，提出了函数级测试生成算法，设计并实现了原型工具RTCON，并通过实证验证了其有效性。

论文《DirtyFree: Simplified Data-Oriented Programming in the Linux Kernel》由Yoochan Lee、Hyuk Kwon和Thorsten Holz撰写，关注内核安全领域中的数据导向编程（DOP）技术。DOP是一种通过操控非控制数据（如函数指针、数据指针）来改变程序控制流的内存攻击方法，传统上需要复杂的分析来构造数据平面。本文提出一种简化版DOP实现，称为DirtyFree，其核心思想是利用Linux内核中的UAF（Use-After-Free）漏洞，通过操纵释放后的内存对象中的函数指针，以更少的约束和更简单的步骤实现代码执行。作者设计了一套自动化工具，能够从内核崩溃信息或已知UAF漏洞出发，自动搜索可用的数据平面并生成攻击原语。在实验评估中，DirtyFree成功在多个真实内核漏洞（如CVE-2021-22600、CVE-2022-2586等）上实现了任意代码执行，并证明了其相比传统DOP方法在复杂度上的显著降低。该研究揭示了现有内核防御机制（如CFI、KASLR）在应对数据平面攻击时的局限性。读者对象主要为内核安全研究人员、漏洞挖掘工程师以及操作系统防御开发者。