该论文提出了一种名为 Kage 的全面控制流保护方案，专门针对实时嵌入式系统。实时嵌入式系统在航空航天、汽车、医疗等安全关键领域广泛应用，但其资源受限和实时性要求使得传统控制流完整性（CFI）机制难以直接部署。现有方案要么仅保护部分控制流（如函数返回地址），要么引入过高的性能开销破坏实时约束。Kage 通过软硬件协同设计，在保持系统实时性的同时提供全栈控制流保护：覆盖进程间通信、系统调用、异常处理、任务调度等所有控制流转换点。论文详细介绍了 Kage 的设计，包括一个轻量级的硬件监控单元（HMU）以及配套的软件运行时和编译器支持。HMU 在硬件层面实时验证控制流转移的合法性，而软件层负责建立合法的控制流图（CFG）并提供策略。实验在两款主流嵌入式处理器（ARM Cortex-M4 和 RISC-V）上实现，评估了性能开销和保护覆盖率。结果显示，Kage 引入了平均约 2% 的运行时开销，且成功防御了针对真实漏洞的控制流劫持攻击。该工作为在资源受限且实时性严格的环境下实现 CFI 提供了可行方案，对嵌入式安全研究具有重要参考价值。

远程证明（RA）是一种轻量级安全原语，用于检测物联网设备上的软件篡改。传统RA方案要求原子性、不可中断的内存测量，难以与实时任务共存。SMARM通过以秘密随机分块顺序测量内存来解决此问题，将不可中断期缩短为单个块测量的持续时间。然而，SMARM最初设计用于微内核系统，尚未在实时操作系统（RTOS）驱动的实时环境中研究。本文首次系统性地研究了SMARM在实时RTOS环境中的表现。我们在运行FreeRTOS和Zephyr的商用ARM TrustZone-M硬件上实现了SMARM，并引入频率准确率（FAR）量化在不同工作负载下证明与实时执行共存的程度。评估表明，SMARM的实时兼容性对块大小高度敏感：大块显著降低实时可用性，小块则导致大量安全存储开销，限制其在内存受限设备上的部署。为解决此限制，我们提出了SMARM+，一系列增强型SMARM变体，包括SMARM+PRNG和SMARM+FPE。它们旨在降低安全存储需求，同时保持SMARM的安全保证和实时行为。评估展示了安全存储减少、证明运行时和能量开销之间的权衡，并为不同部署场景选择SMARM、SMARM+PRNG和SMARM+FPE提供指导。本文贡献包括：首个在RTOS环境中对SMARM的系统研究；定义FAR指标量化实时共存度；提出SMARM+系列降低存储开销；提供变体选择指南。适合物联网安全研究人员、系统设计者和开发者阅读。

本文提出了一种面向无人机（UAV）控制的实时自托管计算机使用代理（RT-SHCUA）。现有的自托管计算机使用代理（SHCUA）设计用于交互式主机端工具使用，允许延迟的代理迭代，但直接应用于无人机控制存在结构不匹配：无人机控制涉及连续变化的物理状态、严格的时间约束、安全风险和可问责性。一个过时、未授权或被篡改的代理决策可能导致不安全或不可追溯的飞行行为。为此，作者对基于SHCUA的无人机控制进行了实时且面向安全的重构。核心思想是不让SHCUA直接发出飞行命令，而是将其输出转化为带有明确时序、状态、权限、回退和证据语义的契约约束型无人机技能调用。基于这一抽象，设计了一种将语义推理与机载执行及安全/安保实施分离的架构。慢速的云或边缘推理用于任务理解，而机载组件仅验证和分派及时、授权且状态一致的技能。安全关键的强制点可通过TEE式或微控制器隔离机制保护，无需将整个语言代理或高频飞行控制循环移入可信组件。原型评估表明，RT-SHCUA在保持有界任务级响应性的同时，支持降级处理、可信准入和可审计的证据保存，适用于SHCUA中介的无人机动作。

该论文提出了PhishLang，一个基于MobileBERT的实时、全客户端钓鱼检测框架。传统钓鱼检测方法通常依赖服务器端分析或黑名单，存在延迟、隐私泄露和无法检测新钓鱼站点的问题。PhishLang通过在客户端设备上直接运行轻量级MobileBERT模型，实现对URL和网页内容的实时分析，无需网络请求，保护用户隐私。框架通过优化模型大小和推理速度，能够在移动设备上高效运行，同时保持高检测准确率。实验结果表明，PhishLang在真实世界数据集上达到了99.2%的准确率和0.7%的误报率，推理时间低于10毫秒。此外，该框架支持可解释性，通过注意力机制提供分类依据。主要贡献包括：首次将MobileBERT应用于客户端钓鱼检测、设计高效的模型压缩与蒸馏策略、以及在多个基准测试上的全面评估。该研究为移动端安全防护提供了轻量级、隐私保护的解决方案。

该论文提出 HOUSTON，一个针对以太坊去中心化金融（DeFi）协议攻击的实时异常检测系统。研究背景：DeFi 协议遭受多种攻击（如闪电贷攻击、预言机操纵、重入攻击等），现有检测方法多基于规则或签名，难以应对未知攻击且实时性不足。核心问题：如何在大规模交易数据中高效、实时地检测已知与未知攻击。方法：HOUSTON 通过记录并分析每笔交易的程序执行踪迹（如操作码、栈、内存等），将其编码为结构化图表示，然后利用一种新的图神经网络（GNN）架构——时间感知异构图神经网络（TA-HGNN）进行异常评分。系统首先对历史正常交易进行训练，建立行为基线；在实时场景中，对每笔新交易快速提取执行踪迹并计算异常分数，若超过阈值则报警。主要贡献：1）提出一个可扩展的实时检测框架，能够处理以太坊上的高频交易；2）设计 TA-HGNN，有效融合交易执行流中的时序与结构信息；3）在 7 种真实攻击数据集上评估，包括 43 个已知攻击和 257 个变种，检测率超过 95%，误报率低于 0.1%，且平均检测延迟小于 0.5 秒；4）对零日攻击的检测能力良好。适合安全性研究人员、DeFi 协议开发者、区块链安全分析师阅读。

这篇论文研究了在低功耗微控制器（例如ARM TrustZone-M）上，实时操作系统（RTOS）的时间保持与可信执行环境（TEE）之间的冲突问题。在TrustZone-M架构中，安全世界和非安全世界共享中断控制器等资源。通常，非安全子系统运行RTOS和实时应用，而安全子系统运行预定义的安全操作（如加密），称为可信计算服务。许多RTOS依赖周期性中断（SysTick）来推进其时间概念，这对于维护实时行为至关重要。然而，某些可信计算服务的安全性要求相对于非安全子系统（RTOS所在侧）具有原子性，这需要禁用中断以防止被非安全世界打断，从而阻止了SysTick的处理。这导致RTOS丢失时钟滴答，时间感知出现偏差，破坏实时行为。本文首先刻画了这一冲突，然后提出了一种安全驱动的同步机制：安全世界测量经过的时间，并在重新启用中断并恢复非安全系统执行之前，通过无侵入地更新RTOS的时间保持数据结构（补偿错过的滴答数）来补偿非安全RTOS。该方法恢复了跨世界的一致、单调的时间概念，使得可信计算服务与RTOS能够在微控制器上安全共存。重要地，该方法无需修改底层RTOS，且不引入显著的运行时开销。作者通过实验验证了其有效性。