本文是首次对CPU缓存侧信道攻击进行系统性评估的研究，由格拉茨科技大学的研究团队完成。研究选取了四种最经典的缓存攻击技术（Flush+Reload、Flush+Flush、Evict+Reload、Prime+Probe）以及三种新提出的攻击（Demote+Reload、Demote+Demote、DemoteContention），基于9项特征在最新的Intel微架构（包括Sapphire Rapids和Emerald Rapids）上进行了全面对比。这9项特征包括：命中-缺失余量、时间精度、空间精度、拓扑范围、攻击耗时、盲区长度、信道容量、噪声鲁棒性和可检测性。实验结果显示，Demote+Reload和Demote+Demote在多数场景下与既有攻击性能相当，部分场景更优：例如，Demote+Reload相比Flush+Reload盲区缩短60.7%，信道容量达到15.48 Mbit/s，比Flush+Reload高64.3%。研究还通过AES T表攻击对比了所有攻击，并在按键间隔时序攻击中比较了Demote+Reload和Flush+Reload。此外，Demote+Demote首次被用于实现KASLR（内核地址空间布局随机化）绕过，而Demote+Reload能够放大功率侧信道泄漏。值得注意的是，Sapphire Rapids和Emerald Rapids采用了非包含型L3缓存，使得基于驱逐的跨核攻击（如Prime+Probe和Evict+Reload）仅能在受害活动到达L3缓存的罕见场景下生效。因此，作者展示了DemoteContention在跨核攻击中可作为Prime+Probe和Evict+Reload的可靠替代方案，无需逆向物理地址映射和缓存替换策略。该研究为微架构侧信道攻击的检测与防御提供了重要参考，有助于安全社区理解新型CPU上缓存侧信道的实际威胁边界。

该论文针对英特尔TDX（Trust Domain Extensions）这一基于虚拟机的机密计算环境，系统研究了其微架构侧信道攻击面。TDX旨在保护租户代码和数据免受特权云操作系统的侵害，但往往将微架构侧信道排除在威胁模型之外。作者发现了四个新的侧信道原语：SEPTrace、Load+Probe、TSX-Probe和MWAIT-Probe，它们从主机侧以不同的时间精度暴露页级和缓存级活动。基于这些原语，作者构建了TDXRay框架，该框架能够产生未修改的机密虚拟机的高精度、缓存行粒度的内存访问轨迹。通过两个案例研究验证了TDXRay的攻击能力：(1) 经典AES T-table攻击，恶意虚拟机管理器通过访问模式泄露恢复出秘密密钥；(2) 针对大语言模型的攻击，主机通过监控标记化过程中的内存访问推断用户提示。实验表明，TDXRay能够从单次内存访问轨迹中可靠地恢复用户提示，对私有LLM推理构成严重威胁。最后，论文探讨了系统级和应用级的缓解策略，如基于ORAM的短期解决方案，并强调了长期改进TDX架构的必要性。

Spectre 漏洞利用微架构推测执行机制窃取敏感信息，自 2018 年公开以来给密码库等关键软件带来严重威胁。现有检测方法面临两大挑战：推测路径导致的状态空间爆炸，以及不同编译阶段可能引入新的 Spectre 漏洞。本文提出一种名为 Haunted RelSE 的优化技术，旨在实现二进制级别可扩展的 Spectre 漏洞检测。Haunted RelSE 是一种关系符号执行优化，通过语义等价的变换，将显式的推测探索转化为更高效的隐式关系推理，从而大幅减少需探索的路径数量。作者在符号分析工具中实现了该技术，并在针对 Spectre-PHT（条件分支误预测）和 Spectre-STL（存储到加载转发）的两个 litmus 测试集上进行了全面评估。实验结果表明，Haunted RelSE 相比现有最先进技术和工具，能发现更多违规，且可扩展性更优。此外，将该工具应用于真实世界的密码库时，发现了之前未知的漏洞。特别值得注意的是，研究发现标准防御措施 index-masking（用于阻止 Spectre-PHT）以及 gcc 编译位置无关可执行文件（PIE）的常用选项（如 -fPIE）会引入新的 Spectre-STL 违规。作者提出并验证了 index-masking 的一种修正方案，以消除该问题。本文适合安全研究人员、编译开发者及密码库维护者阅读。