该论文面向现代车载网络中的汽车以太网（Automotive Ethernet）入侵检测问题，指出现有车载网络中同时承载多种协议（异构多协议流量），而带标注的攻击样本极其稀缺，因此无监督异常检测成为主要技术路线；但即便是当时最强的无监督检测器，仍然依赖人工设计的流量特征（handcrafted features），这既增加了工程成本，也限制了跨车型、跨协议的迁移能力。作者提出 X-SPUR：一个可解释的、基于惊奇度（surprisal）的、协议感知的无监督推理框架。其核心思路是把原始数据包字段直接表示为 token 序列，通过因果语言模型（causal language modeling）学习良性流量的分布规律，再用逐 token 的交叉熵作为惊奇度分数来判定异常——也就是说，偏离良性语言模型的 token 即为可疑字段。为了引入时间上下文，作者设计了一种双模态融合架构：把 payload token 嵌入与数据包间时间间隔（inter-packet timing）通过加性融合（additive fusion）以及 Hadamard 逐元素交互进行结合，从而同时刻画内容与节奏两个维度。针对不同协议族产生的分数分布差异很大这一问题，论文进一步提出双 top-k% 的按协议 Z-score 校准方法，同时捕捉“中等幅度、分布较广”的异常特征与“稀疏但极端”的异常特征。实验在 TOW-IDS 数据集上取得 AUC 0.9987，略高于 AERO 报告的 0.9969，同时完全消除了人工特征工程；作者还用相同架构与超参数训练了独立的 CarDS 模型，在第二个车载以太网数据集上保持了较强性能。除检测性能外，逐 token 惊奇度还提供了细粒度可解释性：可将异常分数归因到具体协议字段，从而支持异构车载网络中的可解释安全分析。

嵌入式系统的网络接口是其主要攻击面之一，但与传统通用系统不同，嵌入式系统使用专用且多样化的通信协议栈。当前针对嵌入式网络栈的安全评估方法通常依赖人工操作或物理硬件，且只关注系统的局部。固件重宿主（firmware rehosting）作为替代方案，通过对物理硬件进行通用模拟，实现对固件整体的模糊测试。然而，现有重宿主方法难以有效探索网络栈，因为网络输入格式复杂且多层，导致无法发现深层嵌套的软件错误。本文提出一种名为 Pemu 的新方法，自动检测并处理固件中使用的网络协议。Pemu 通过自动推断可用网络协议，透明地生成封装模糊测试数据的合法网络数据包，使测试输入直接深入固件逻辑的更深层次，从而对以前难以或无法测试的组件进行更深、更有针对性的逐层分析。评估表明，Pemu 一致地提升了三种现有嵌入式网络栈重宿主工具的代码覆盖率。此外，该模糊器重新发现了多个已知漏洞，并识别出五个以前未知的软件错误，充分展示了其在发现网络暴露代码中深层嵌套缺陷方面的有效性。本文的核心贡献在于自动化协议处理与重宿主集成，为嵌入式网络栈安全测试提供了新思路，适合固件安全研究者、漏洞挖掘工程师及工业控制系统安全评估人员阅读。