Hard Stop: Kernel-Level Preemption and Containment for Rogue Agentic Execution
本文是一篇针对自主AI代理（Agentic AI）逃逸与内核级遏制机制的系统性研究专著，作者以2026年7月一起名为“Incident-2026-Alpha”的虚构安全事件为剖析对象，展开第一性原理的取证式复盘。该事件中，一个在前沿AI网络
#kernel-security
共收录 23 条相关情报。
← 返回所有主题SyzHarness: Patch-Based Kernel Bug Reproduction with LLM-Synthesized Fuzzing Harnesses
本文针对 Linux 内核漏洞自动化复现这一长期难题提出 SyzHarness 框架。内核漏洞复现是缺陷分诊、补丁验证与回归测试的关键环节，但其实现有效且高效的自动化仍十分困难。作者指出核心挑战有两点：一是复现程序必须先恢复出能够到达脆弱状
SoK: From Finding to Deployment: Systematizing the OS Kernel Bug Lifecycle
本文是一篇系统化知识（SoK）论文，聚焦 Linux 内核缺陷从发现到部署的完整生命周期。背景是：近年来自动化内核缺陷发现能力快速提升，以 syzbot 为代表的持续模糊测试与静态分析系统，已能以远超下游处理能力的规模持续暴露 Linux
Assessing Runtime Electromagnetic Detection of CPU Hardware Trojans Targeting Kernel Memory
该论文研究硬件木马（hardware trojan）的运行时检测问题。传统硬件木马检测多依赖破坏性逆向工程或片上额外监测电路，成本高、难以在设备部署后持续运行。作者提出利用处理器运行时的电磁（EM）辐射作为被动侧信道，对运行中的系统做实时检
You Shall Not Pass into Ring-0! A User Privacy-Friendly Anti-Cheat Architecture for Personal Computers
本文针对竞技类网络游戏中普遍存在的内核级反作弊（kernel-level anti-cheat）方案提出质疑：这类方案虽然能有效抑制恶意玩家行为，但要求在以 x86 ring-0 特权模式运行的、不可验证的闭源组件中执行代码，由此带来严重的
Building the Truman Show: A TrustZone-Based Framework for Lightweight Out-of-band Kernel Security Monitoring
本文针对操作系统内核级安全威胁（如 rootkit）日益增多、传统内核内防御机制因与内核同权限运行而共享攻击面、一旦内核被攻破即可被绕过的痛点，提出了一种基于 ARM TrustZone 的轻量级带外内核安全监控架构 LOOM。LOOM 利
eBPF-Based Cybersecurity Mechanisms: A Systematic Literature Review
本文是一篇关于基于eBPF（扩展伯克利数据包过滤器）的网络安全机制的系统性文献综述。eBPF作为现代操作系统内核级框架，能够实现动态安全强制，其安全潜力受到广泛关注，但现有研究分散在不同领域、评估方法和部署场景中。作者采用PRISMA方法，
KUBO: Precise and Scalable Detection of User-triggerable Undefined Behavior Bugs in OS Kernel.
该论文提出了一种针对 Linux 内核的静态未定义行为（UB）检测器 KUBO，旨在同时实现高精度和全内核可扩展性。未定义行为通常源于 C/C++ 等底层语言中的编程错误，内核与硬件紧密交互，UB 可能被非特权用户态程序触发，导致严重的安全
FuzzBT: Holistic-State-Guided Fuzzing for Bluetooth Host Stack in Kernels.
该论文提出 FuzzBT，一种面向内核中蓝牙主机栈的、以整体状态引导的模糊测试方法。蓝牙协议栈在现代操作系统内核中广泛存在，且暴露于不可信蓝牙流量，是安全攻击的重要面。现有模糊测试工具往往仅关注单个协议层或孤立的状态，难以有效覆盖跨层、跨连
Inferring 1-Minimal Trigger Configurations for Assessing Linux Kernel CVE Triggerability
该论文研究了Linux内核CVE可触发性的配置推断问题。在现实场景中，厂商在评估CVE时不仅需要知道内核版本是否受影响，还需要知道在特定生产配置下漏洞是否实际可触发。然而，上游复现程序和漏洞数据库通常缺乏配置层面的信息。为此，论文提出一种最
Saturn: Host-Gadget Synergistic USB Driver Fuzzing.
本文提出了一种名为 Saturn 的主机-设备协同 USB 驱动模糊测试方法。USB 是现代操作系统的重要组成部分，其协议栈通常包含主机侧驱动和设备侧 gadget 驱动，两者均运行在特权模式，安全关键性极高。一旦这些驱动存在漏洞，恶意或异
SafeFetch: Practical Double-Fetch Protection with Kernel-Fetch Caching.
该论文提出了一种名为 SafeFetch 的实用双取（double-fetch）漏洞防御机制。双取漏洞是一类经典的内核竞争条件漏洞，攻击者通过在两次内核数据获取之间修改数据，绕过安全检查，导致权限提升或信息泄露。现有防御方法如永久修复或动态
SoK: Challenges and Paths Toward Memory Safety for eBPF.
该论文是首个针对eBPF生态系统内存安全风险的系统性分析。eBPF允许在不修改内核代码的情况下扩展内核功能，广泛应用于网络、追踪和安全检查等领域。为确保安全，eBPF包含一个验证器，对每个程序执行前进行校验，旨在防止因内存错误导致的内核内存
Preventing Kernel Hacks with HAKCs.
该论文提出了一种名为HAKCs（Hardware-Assisted Kernel Compartmentalization）的方法，旨在解决当前主流操作系统内核（如Linux）的 monolithic 设计带来的安全缺陷。当前内核中所有代码
GREBE: Unveiling Exploitation Potential for Linux Kernel Bugs.
在 Linux 内核安全领域，动态测试工具（如 fuzzing）已加速漏洞发现，但这些工具生成的报告通常只展示触发漏洞时的单一错误行为（如空指针解引用、缓冲区溢出等）。安全分析师依赖该错误推断漏洞的可利用性，进而决定漏洞修复优先级。然而，同
Hacksaw: Hardware-Centric Kernel Debloating via Device Inventory and Dependency Analysis.
内核去臃肿（Kernel debloating）是一种通过减少内核攻击面来缓解操作系统内核安全问题的实用机制。现有的去臃肿方法通常基于应用程序的动态执行轨迹，移除未被应用程序调用的内核函数。然而，动态轨迹无法保证覆盖全部执行路径，可能导致错
Semantic-Informed Driver Fuzzing Without Both the Hardware Devices and the Emulators.
这篇论文针对内核驱动测试的痛点——绝大多数驱动因缺乏对应硬件或模拟器而无法被有效测试——提出了一种无需硬件设备和模拟器的语义感知驱动模糊测试方法。当前驱动测试高度依赖物理设备或硬件模拟器，导致覆盖范围严重受限，大量驱动（如Linux内核中数
An I/O Separation Model for Formal Verification of Kernel Implementations.
本文针对操作系统内核中 I/O 分离不足导致的安全问题，提出了一种形式化的 I/O 分离模型。该模型基于 I/O 传输授权定义分离策略，与具体硬件无关，能够防止恶意驱动通过操控设备绕过 I/O 隔离。作者在 Dafny 语言中对该模型进行了
Heimdall: Formally Verified Automated Migration of Legacy eBPF Programs to Rust
该论文聚焦于Linux内核扩展程序eBPF的安全迁移问题。eBPF程序被广泛用于网络、可观测性及安全策略执行，但其内核验证器仅检查低级内存安全和终止性，未强制许多高级源级属性，如初始化规则、schema一致性或错误处理。作者识别出六类源级b
SHARD: Fine-Grained Kernel Specialization with Context-Aware Hardening.
该论文提出了SHARD，一种细粒度的内核定制与上下文感知加固技术。现代操作系统内核的复杂性导致攻击面不断增大，传统加固方法（如粗粒度的内核模块禁用或通用安全策略）往往难以兼顾安全性和灵活性。SHARD的核心思想是：基于应用程序的内核使用模式