本文针对远程证明（Remote Attestation）体系中一个被忽视的安全缺口进行了端到端验证。背景是：当自动化代理（如 AI Agent）执行重要操作时，其留下的记录由自身软件栈生成，而该软件栈的可信性恰恰是待验证的。签名日志只能证明哪个密钥写了记录，无法证明运行时环境是否可信。此前研究提出将动作记录（Action Evidence Package, AEP，即动作、授权主体和结果的签名追加记录）作为 IETF RATS 架构（RFC 9334）下的应用层 Evidence，并通过 TPM 引用（quote）将结果绑定到硬件根，使得篡改记录会使引用失效。但该研究仅用最小化的 Verifier 替代品进行评估。本文填补了这一空白：作者在模拟的软件 TPM（swtpm）上生成 AEP 引用，将其端到端地送入符合规范的 Project Veraison RATS Verifier。具体流程包括生成 EC P-256 认证密钥、将 AEP 结果摘要度量到 PCR、将真实引用封装为 Veraison 的 tpm-enacttrust 格式、配置精简参考完整性清单（信任锚和黄金参考值），并获取签名的 EAT 认证结果（EAR）。实验表明，正常证据得到 affirming 结果；而结果交换或签名单字节篡改则得到 contraindicated。研究过程中发现并负责任地披露了一个安全相关缺陷：参考方案未强制挑战随机数（challenge-nonce）的新鲜性，导致重放的引用仍会被评估为 affirming。作者给出了一个精确、可上游化的两部分修复方案，并进行了端到端验证。修复生效后，同一有效引用在自身会话中为 affirming，但在重放到新会话时变为 contraindicated。整个流水线完全可复现，但 Attester 仍是模拟的 swtpm，并非硬件级保证。

本文提出 D-MUTRA，一个基于区块链的互信远程证明框架，用于解决多智能体系统（MAS）中的运行时完整性验证问题。MAS 由多个自主软件代理组成，在关键网络物理域（如多机器人协作、工业物联网）中协同执行复杂任务。如果某个代理被攻陷并运行修改后的软件，其他代理可能基于虚假信息行动，导致任务被破坏。因此代理之间需要在运行过程中持续建立和维护相互信任。远程证明（RA）是验证设备完整性的成熟技术，但传统 RA 存在局限：完整性保证仅限于启动或应用加载时，设计依赖中心化验证器或安全硬件，且证明记录缺乏透明性和可审计性。D-MUTRA 提出一种互证协议，每个代理既作为证明者又作为验证者，在验证自身运行时完整性的同时测量对等代理。该框架完全基于软件实现，包含两个核心组件：一是 Security-as-a-Service，为代理提供轻量级的测量与验证能力；二是智能合约，在去中心化、透明的方式下协调证明协议。研究者在私有以太坊区块链（基于 Hyperledger Besu）上实现了概念验证，并在使用 ROS 和 Gazebo 模拟器的群体机器人场景中进行了评估。结果表明，D-MUTRA 能够使代理连续互证，检测恶意软件修改，并能在大型部署中扩展，且对被保护应用的额外开销可忽略不计。该研究适合对分布式系统安全、可信计算、区块链在安全中应用感兴趣的蓝队成员和安全架构师阅读。

本文提出一种将硬件根信任与 AI Agent 软件层证据相结合的可信证明方案。作者指出，纯软件层的行为证据包（Action Evidence Package, AEP）——即由 Agent 运行时签名的、仅可追加的日志记录（包含操作内容、授权方和结果）——虽然能向验证者陈述 Agent 声称做过什么，但无法回答一个更根本的问题：运营商声称部署的特定模型版本是否真的在未篡改的硬件上产生了该输出。为此，论文借鉴 IETF 远程证明流程（RATS）架构（RFC 9334）及其开源实现 Veraison，提出一种复合证明机制：将 RATS 评估的硬件 Evidence 与软件 AEP 绑定。具体地，论文定义了一个小型验证者词汇表（Authorised / Unauthorised / Indeterminate / Attested / Contested / Expired），并将其映射到 RATS 评估结果上。作者在软件 TPM 模拟器（swtpm）上进行了可行性实验：通过一个输出绑定协议，将 AEP 结果摘要和新鲜的验证者 nonce 折叠进由证明密钥签名的引用（quote）中，并将模型工件测量值放入平台配置寄存器（PCR）。实验用最小化的 RATS 验证器替代实现验证了三种平台结果：正常且新鲜的引用返回 Attested；模型测量被替换时返回 Contested；重放过期引用时返回 Expired；同时成功拒绝了绑定到有效引用上的伪造 AEP 结果。作者强调，该实验仅证明在模拟硬件上的可行性，并非硬件根信任的保证。论文的主要贡献在于提出了一种将硬件证明与 AI Agent 行为证据链接的架构思路，并给出了可运行的演示，为 AI 系统可审计性和可信运行环境研究提供了参考。适合关注 AI 安全、可信计算与远程证明交叉领域的研究人员阅读。

远程证明（RA）是一种轻量级安全原语，用于检测物联网设备上的软件篡改。传统RA方案要求原子性、不可中断的内存测量，难以与实时任务共存。SMARM通过以秘密随机分块顺序测量内存来解决此问题，将不可中断期缩短为单个块测量的持续时间。然而，SMARM最初设计用于微内核系统，尚未在实时操作系统（RTOS）驱动的实时环境中研究。本文首次系统性地研究了SMARM在实时RTOS环境中的表现。我们在运行FreeRTOS和Zephyr的商用ARM TrustZone-M硬件上实现了SMARM，并引入频率准确率（FAR）量化在不同工作负载下证明与实时执行共存的程度。评估表明，SMARM的实时兼容性对块大小高度敏感：大块显著降低实时可用性，小块则导致大量安全存储开销，限制其在内存受限设备上的部署。为解决此限制，我们提出了SMARM+，一系列增强型SMARM变体，包括SMARM+PRNG和SMARM+FPE。它们旨在降低安全存储需求，同时保持SMARM的安全保证和实时行为。评估展示了安全存储减少、证明运行时和能量开销之间的权衡，并为不同部署场景选择SMARM、SMARM+PRNG和SMARM+FPE提供指导。本文贡献包括：首个在RTOS环境中对SMARM的系统研究；定义FAR指标量化实时共存度；提出SMARM+系列降低存储开销；提供变体选择指南。适合物联网安全研究人员、系统设计者和开发者阅读。

随着LLM即服务等机密云工作负载的兴起，用户数据必须在可信且未被篡改的环境中处理，这需要密码学证明。现有的解决方案，特别是Confidential Containers (CoCo)，强制采用严格的“每个Pod一个虚拟机”模型，仅证明客户操作系统栈，而忽略了容器级别的身份验证，并且每个虚拟机带来巨大的资源开销。本文提出了dstack-capsule，一个基于Kubernetes的平台，在Intel TDX上实现了Pod级别的远程证明。其核心思想是两层证明架构：静态平台测量通过不可逆的特权熔断机制冻结在RTMR[3]中，而动态Pod身份（pod_uid、pod_spec_hash、workload_id）嵌入在TDX Quote的report_data字段中，每次请求由硬件签名。dstack-capsule引入了以下主要贡献：(1) Pod级别证明协议，将Pod规范摘要绑定到硬件签名的Quote上；(2) 特权熔断机制，将节点从设置模式原子性地转换到安全模式；(3) 多层沙箱，涵盖存储、运行时、准入、API和网络隔离层；(4) 基于Kubernetes 1.32、Intel TDX和Sysbox的完整开源实现。实验评估了安全属性、证明正确性和性能特征，表明dstack-capsule实现了Pod粒度的验证，而无需每个虚拟机隔离的资源开销。该工作适合对机密计算、Kubernetes安全以及硬件辅助信任执行环境感兴趣的安全工程师和研究人员。

本文提出 PIRANHAS，一种针对非层次异步无人机群（swarm）的隐私保护远程证明（Remote Attestation）协议。在无人机群等大规模分布式系统中，远程证明用于验证节点的软件完整性，但现有方案往往假设层次结构或同步通信，且缺乏对节点隐私的保护。PIRANHAS 利用安全硬件（如 TPM）和密码学技术，实现无需信任中心服务器的分布式证明。协议核心包括：1）基于承诺（commitment）和零知识证明的节点身份隐藏机制，防止攻击者关联证明请求与具体节点；2）异步消息传递模型，适应蜂群中节点可能离线或通信延迟的现实；3）可扩展的聚合证明，减少通信开销。实验评估（在模拟环境中）表明，PIRANHAS 在保证隐私的同时，证明延迟和通信开销与现有非隐私方案相当。主要贡献在于首次将隐私保护融入非层次异步蜂群的远程证明，为物联网、无人机协作等场景提供了实用方案。