该论文关注 Linux 内核为提升 I/O 性能与内存管理效率而引入的新机制所带来的安全副作用，并聚焦两个相互关联的目标：一是 io_uring 异步 I/O 子系统，二是 Linux 6.18 中为 SLUB 分配器新增的 sheaf/barn（束/仓）缓存机制。研究者在这一交叉领域报告了两个此前未知的 io_uring 漏洞，并将其中的一个发展为在启用内核加固配置的前提下仍可完成的完整本地权限提升链。在构造该链条的过程中，作者发现 sheaf/barn 机制动摇了若干既有利用技术的长期前提假设——例如跨缓存（cross-cache）攻击所依赖的对象迁移模型——同时其设计本身也削弱了现有 SLUB 空闲链表（freelist）保护的有效性。论文对这两点观察分别进行了分析，并将其转化为可复用的原语。在此基础上，作者提出了三种面向 sheaf 的新型利用技术；其中一种基于 RCU 与 sheaf 结合的跨缓存技术，摆脱了传统上必须借助 buddy（伙伴）系统才能实现对象跨缓存迁移的依赖，从而对缓存池之间的对象迁移提供了更灵活、更可靠的控制能力。总体而言，论文的贡献可归纳为：披露两个 io_uring 新漏洞并给出一个完整 LPE 链；系统性地刻画 sheaf/barn 对既有利用范式与缓解措施的冲击；提出三类新的 sheaf 相关原语与技术；并论证 sheaf/barn 层构成 Linux 内核中一个全新且尚未被充分探索的攻击面。适合内核安全研究人员、漏洞挖掘与利用缓解方向的工程师、以及负责 Linux 发行版内核加固与补丁跟进的安全团队阅读。

该论文关注一个被低估的攻防测量问题：随着 LLM 智能体被越来越多地用于自动化攻击链的后渗透环节，它们在复杂本地提权任务中的实际能力究竟如何，此前缺乏可执行验证下的大规模量化证据。作者指出，已有针对 Linux 提权任务的评测普遍存在样本量过小的问题（不足 15 个场景），既无法支撑模型能力横向对比，也无法给出统计意义上可靠的结论。为填补这一空白，论文提出 PrivEscalate —— 一个面向 Linux 提权的大规模基准测试集，包含 531 个基于 Docker 容器化的可执行场景，覆盖 14 个漏洞子类别，并在此基础上派生出 329 个参数化变体，用于测量模型对环境中干扰项（如配置差异、噪声信息）的敏感程度。作者在三种不同的智能体架构下评估了六个 LLM，得到三点主要发现：第一，模型能力在不同漏洞类别上呈现明显的异质性，在高发类别中没有任何单一模型能够全面领先，说明对该类风险应当采用多维度的评估而非单一排名；第二，LLM 的成功率对环境扰动敏感，通过配置轮换可以打断一部分提权尝试，但并不能消除被测量的整体风险，因此静态加固不等于风险归零；第三，智能体架构会实质性改变成功率，甚至重排模型之间的名次，但影响幅度依模型而异，说明评测结论必须与所采用的 agent 框架绑定说明。基于上述发现，作者进一步开发了 PrivEscAgent，这是一个领域专用的封装层，在不修改底层 LLM 的前提下，为通用 ReAct 智能体补充确定性枚举、类别匹配与步骤规划能力，从而在既有 Linux 提权智能体基线上取得提升。论文将 PrivEscalate 作为开源、容器化的测量工具发布，明确支持三类用途：LLM 智能体能力评估、防御工具有效性验证以及红队训练。

本文针对真实世界高知名度 AI Agent 系统（如 Claude Code、Codex）的上下文组装（context assembly）设计进行了首次系统性安全分析。研究背景是：现代 AI Agent 依赖专有或不透明的机制将来自多源的信息组装为模型的上下文，但这一过程的安全风险长期缺乏深入理解。作者重点探究了 Agent harness（代理框架）如何从不同来源收集和组装上下文，并由此发现了由设计缺陷引发的实际攻击向量。论文提出两类新型攻击：一类是 MessageRole 上下文权限提升攻击（M-CPE），即当攻击者控制的低权限上下文内容被错误合并到高权限消息角色（如系统消息、用户消息）时，可导致权限边界被突破；另一类是跨范围上下文权限提升攻击（X-CPE），即攻击者注入的恶意上下文会持久存在，超出其原本引入的作用域，从而影响后续任务或不同会话。作者对 12 个真实 Agent harness 进行了系统安全评估，覆盖主流商业和开源框架。实验结果表明，这些攻击可导致完全代理劫持（full agent compromise）、远程代码执行（RCE）、拒绝服务（DoS）以及工具或技能的恶意操纵与错误调用等严重后果。该研究首次系统化地揭示了 Agent 上下文组装环节的权限边界缺陷，为 LLM 生态的安全设计提供了重要参考。适合 AI 安全研究人员、Agent 框架开发者及安全运营人员阅读，以理解上下文权限隔离的必要性和潜在威胁面。

本文是首项针对 Kubernetes 控制平面中第三方插件与应用程序权限过大的系统性安全研究。Kubernetes 作为当前主流的容器编排系统，其控制平面通常会运行各类第三方插件（如监控、日志、网络、存储等组件）来辅助集群管理，这些第三方应用往往被授予较高权限。作者指出，这些第三方应用的安全状况此前未被系统性地审视过，而一旦其中一个应用被攻破或存在恶意行为，攻击者可能借助其过度授权横向移动并最终控制整个集群。研究围绕“第三方应用权限过大”这一核心问题展开，分析了相关权限模型、Kubernetes 基于角色的访问控制（RBAC）机制以及第三方应用常见的权限申请模式，并提出了攻击路径的威胁建模方法。论文的主要贡献包括：首次系统性地梳理了 Kubernetes 第三方应用的安全风险面，设计了针对该风险的攻击链分析方法，并通过实验验证了在真实集群环境中利用过度权限可实现集群级接管。该工作为云原生安全领域提供了新颖的研究视角，也为 Kubernetes 集群管理员和插件开发者提供了安全加固依据。适合云原生安全研究人员、Kubernetes 运维及安全工程师阅读。

本文提出了一种名为 RetSpill 的内核利用技术，旨在简化在控制流劫持原语（CFHP）基础上进行 Linux 内核权限提升的过程。现代内核安全缓解措施（如 SMAP、SMEP、KASLR、stack canary 等）使得传统的 ret2usr、ROP 等利用手段变得困难，攻击者不得不开发复杂且脆弱的攻击链。RetSpill 的核心洞察是：内核栈上已经残留了大量用户空间可控的数据（例如系统调用参数、指针、数据块等），攻击者可以巧妙地利用这些现有数据来构造恶意代码指针或数据，从而绕过内核栈不可执行等保护，实现权限提升。该方法不需要引入额外的 gadget 或复杂的内存布局操纵，而是通过精确控制栈上用户数据的位置和内容，在控制流劫持发生时直接重用这些数据作为攻击载荷。论文详细分析了内核栈上用户数据的来源、生命周期和可控性，并实现了针对多个 Linux 内核版本和不同配置的利用原型。实验表明，RetSpill 能够稳定地绕过现有的内核保护机制，显著降低利用难度，并提高了利用的可靠性。该工作对内核防御者具有重要警示意义：仅依赖硬件辅助保护（如 SMAP/SMEP）是不够的，需要重新审视内核栈上数据残留的风险，并考虑在编译时或运行时对栈数据进行清理或隔离。适合内核安全研究者、漏洞利用防御工程师以及操作系统安全领域的学生阅读。

本文研究了 NVIDIA GPU 上的 Rowhammer 攻击如何实现权限提升。此前，GPU 上的 Rowhammer 攻击仅限于在受害者数据中注入比特翻转，例如破坏机器学习模型的权重以降低准确率，无法像 CPU 攻击那样实现权限提升。作者发现，利用 GPU 页表管理机制，可以定位页表分配的时间和位置，从而让非特权用户 CUDA 内核通过 Rowhammer 引发比特翻转，精准篡改 GPU 内存中的页表项。这一新原语允许一个进程访问其他进程或共租户的 GPU 内存，实现了首个 GPU 侧权限提升攻击。在此基础上，作者进一步展示了 GPU 侧提权可升级为 CPU 侧提权，绕过 IOMMU 保护，使恶意用户程序能够获得 root shell 和系统级控制，即使在非多租户环境中也有效。实验验证了攻击可泄露 cuPQC 库中的加密密钥，并能篡改模型的 GPU 汇编代码以更隐蔽地降级模型。该研究揭示了 GPU 安全隔离的严重脆弱性，对云和本地 GPU 基础设施构成威胁。适合硬件安全、系统安全和云安全研究人员阅读。

本文研究了Android系统服务中Binder机制的安全问题。Binder是Android应用访问系统服务的核心进程间通信机制，其设计采用客户端-服务器角色模型，通常将系统服务视为服务器、应用视为客户端。然而，越来越多的场景要求系统服务充当Binder客户端，向可能由应用实例化的Binder服务器发起查询。利用这种角色反转的可能性，作者提出了Binder事务重定向（BiTRe）攻击：攻击者诱导系统服务与一个定制的Binder服务器进行事务交互，然后从Binder服务器这一通常缺乏防护的方向发起攻击。作者通过枚举BiTRe中可利用的Binder接口来展示攻击面的规模，发现攻击面随Android版本更新而扩大；在Android 11中，超过70%的Binder接口受到影响或可用于BiTRe。为了证明攻击的可行性，作者构建了一个原型系统，能够自动生成可执行程序以覆盖大部分攻击面，并识别出一系列漏洞，这些漏洞已被Google确认并分配了十个CVE编号。该研究揭示了Android系统服务中因角色反转而引入的盲区，为系统服务安全设计和防护提供了新的视角。适合系统安全研究人员、Android平台开发者以及移动安全防御者阅读。

该论文提出了一种名为 SPENDER 的静态分析框架，用于检测 UEFI 固件中系统管理模式（SMM）的特权提升漏洞。UEFI 固件运行在 ring -2 的 SMM 中，其安全等级高于操作系统内核（ring 0），但其软件漏洞可能导致从 ring 0 到 ring -2 的特权提升攻击。作者首先系统性地研究了这类漏洞，将其根源归结为两种可逃逸出 SMRAM 的引用：遗留引用（legacy references）和无意引用（unintentional references）。现有静态分析方法难以有效分析经过剥离的商用 UEFI 固件镜像，因为这些固件基于一种自定义的回调机制，该机制将可调用函数组织成由 GUID 标识的协议。SPENDER 利用这种基于回调的编程范式，首次提出一种以协议为中心的静态分析方法，能够高效且精确地发现潜在的 SMM 特权提升漏洞。通过对来自 8 个供应商的共 1148 个 UEFI 二进制文件进行测试，SPENDER 成功发现了 36 个 SMM 特权提升漏洞（包括 2 个 1-day 和 34 个 0-day 漏洞），这些漏洞可导致任意代码执行和任意地址写入，攻击者可能利用这些漏洞将引导工具包（bootkit）安装到闪存驱动器中。所有 36 个漏洞均已报告给相关供应商，其中 2 个 1-day 漏洞被确认为已知，34 个 0-day 漏洞被确认为新发现。

本文提出一种基于清单（manifest）的安全框架，用于在企业级软件系统中实现受限的权限提升委派。大型企业软件通常以低权限服务账户运行以遵循最小权限原则，但仍需少数特权组件（如具有提升所有权、权限或能力的可执行文件）执行窄范围操作。这导致维护期间的安全与运营冲突：自动化补丁工具若无完整管理员权限则无法安全更新特权组件，而手动干预又增加运维负担。作者设计的核心是一个最小化的特权中介（mediator），该中介验证加密保护的元数据（manifest），允许无特权进程仅提升厂商批准的文件。系统通过文件描述符绑定的验证与提升有效缓解了TOCTOU（检查时间到使用时间）攻击，支持离线密钥轮换与撤销，并通过原子替换实现零宕机自更新。该框架已作为大型企业数据库系统（同时服务云部署和本地部署）的生产环境组件部署。实验表明，该系统在保证安全性的同时，显著降低了特权操作的手动干预需求。适合系统安全研究员、DevSecOps工程师及企业软件架构师阅读。

本文对VMware ESXi的VMKernel访问控制机制进行了首次全面安全分析。VMware ESXi是一款广泛部署的企业级Type-1虚拟机监控器，是现代云基础设施的基石。为强化权限隔离，ESXi在VMKernel中引入了强制访问控制机制。然而，由于VMKernel的专有和闭源特性，其内部访问控制架构在很大程度上仍不透明且未被充分研究。以往的研究主要关注虚拟设备漏洞和虚拟机逃逸，而VMKernel内部的访问控制机制和权限模型几乎未被审视。为填补这一空白，作者提出了一种域控制结构导向的分析方法，用于重建关键内部权限逻辑，并设计了一个结构感知的调试框架以支持细粒度的运行时验证。利用该框架，作者发现了多个关键设计缺陷，包括可写且未受保护的内存控制结构以及可被利用的开发人员预留的系统调用接口。作者演示了三种实际攻击场景，利用这些缺陷绕过沙箱限制、提升权限并获得持久访问。总共发现并向VMware报告了14个漏洞，所有漏洞均已确认并修复，获得了总计42,000美元的漏洞赏金。本文的方法和发现对理解虚拟化平台的安全机制、发现类似闭源系统中的权限提升漏洞具有重要参考价值。

该论文提出了一种名为 LinkGuard 的轻量级运行时防护机制，用于防御 Windows 文件系统中的链接跟随攻击（link following attacks）。链接跟随攻击通常利用符号链接、硬链接或挂载点等文件系统机制，诱导高权限进程访问恶意构造的链接，从而实现权限提升或文件系统操作劫持。LinkGuard 的核心思想是在内核层维护文件系统的状态信息，包括文件对象、链接关系和进程上下文，从而在每次文件操作前实时判断是否涉及危险的链接跟随。它采用轻量级 hook 技术，仅对关键系统调用（如 CreateFile、NtCreateFile 等）进行监控，并通过状态机模型跟踪文件对象的历史状态，识别出可疑的链接切换行为。实验表明，LinkGuard 对常见链接跟随攻击（如 CVE-2018-8440、CVE-2020-0668 等）的检测率接近 100%，同时平均性能开销低于 5%，适用于生产环境。该工作主要贡献包括：1）提出状态感知的链接跟随攻击检测模型；2）设计并实现了低开销的内核模块；3）在真实漏洞样本上验证了有效性。

该论文研究了基于Rowhammer的GPU特权提升攻击。以往研究表明，配备GDDR显存的NVIDIA GPU易受Rowhammer比特翻转影响，但攻击仅限于破坏机器学习模型权重等非定向比特翻转，未能像CPU攻击那样实现特权提升。本文首先通过分析GPU页表管理机制，识别出新页表分配的时间和位置，使得非特权用户CUDA进程能够利用Rowhammer比特翻转定向篡改驻留在GPU内存中的页表，从而获得对其他进程或同驻用户GPU内存的访问权限。基于这一新原语，作者实现了首个GPU侧特权提升攻击：从cuPQC库中窃取加密密钥，并篡改模型的GPU汇编代码以更隐蔽地降级模型性能。更关键的是，他们展示了GPU侧特权提升可导致CPU侧特权提升，绕过IOMMU保护，使具有GPU访问权限的恶意用户程序获得root shell和系统级控制，即使非多租户场景也受影响。实验在NVIDIA GPU上验证了攻击有效性。该研究揭示了GPU内存安全中新的攻击面，对云GPU环境、多租户GPU计算以及依赖GPU加速的安全敏感应用构成严重威胁。

本文针对本地部署的开源权重大语言模型（LLM）在自动化 Linux 权限提升攻击任务中性能不佳的问题，提出并验证了五种系统级和提示工程的干预方法，以弥补其与云模型（如 GPT-4o）之间的性能差距。研究首先分析了开源模型在自主权限提升中的失败模式，然后设计并实现了链式思考（CoT）、检索增强生成（RAG）、结构提示、历史压缩和反思分析五种干预措施，并将其集成到渗透测试框架 hackingBuddyGPT 中。通过全因子消融实验，在包含多种 Linux 漏洞的测试环境中评估了各干预措施的效果。结果表明，启用干预后，Llama3.1 70B 模型能够利用 83% 的测试漏洞，而较小的模型如 Llama3.1 8B 和 Qwen2.5 7B 在引导下也达到了 67%，均持平甚至超过了 GPT-4o 基线的性能。进一步分析发现，基于反思的干预贡献最大，同时漏洞发现仍是本地模型的瓶颈。该研究为红队自动化渗透测试工具的选型与优化提供了实证依据，表明通过恰当的增强策略，本地模型可以在保证数据隐私的前提下达到接近商业云模型的攻击能力。