该论文针对远程证明（remote attestation）在专有软件场景下的信任缺口提出了一种新架构。背景是：可信执行环境（TEE）通过硬件绑定密钥对自身配置信息签名，生成包含内部加载代码度量值（cryptographic digests / measurements）的证明报告，远端验证方将报告中的度量值与参考值（reference values）比对，从而确认运行环境的完整性。但问题在于：当被度量的构件（artifact）是闭源或专有软件时，验证方无法自行推导参考值，只能依赖第三方提供的参考值，并且只能确认「某个具有特定度量值的程序在 TEE 内运行」，而无法确认该程序的行为是否符合预期，这相当于把全部信任转移给了参考值提供方，形成了供应链信任盲区。论文提出的方案在不披露源码与构建产物的前提下弥合这一缺口，其核心是把两个 TEE 工作负载组合起来：(1) attestable build（Hugenroth 等，2025），把源代码摘要与构建产物的度量值绑定；(2) attestable audit（本文提出），把同一份源代码摘要与在 TEE 内部执行的自动化审计结论绑定，审计手段包括模糊测试、静态分析、AI 代码审计、形式化方法等。作者将两者统一抽象为 Confidential Computing Proofs，即把 TEE 证明视为一种硬件支撑的零知识证明。通过把两份证书串联（chaining），验证方可以得出结论：正在运行的构件确实由满足所审计属性的源代码构建而来，而整个过程既不需要披露源代码，也不需要披露构建产物，从而把「信任参考值提供方」转变为「可验证的构建—审计链路」。作者在 Intel SGX 配合 Gramine Library OS 上实现了概念验证，并对 Python 代码运行 Bandit 安全分析器，证明了该方案在工程上可行。适合关注 TEE 证明、机密计算、软件供应链安全与专有软件合规审计的研究者和安全工程师阅读。

该论文针对机密计算（Confidential Computing）在交互式开发流程中的结构性矛盾提出了新的系统范式。传统上，机密计算依赖 AMD SEV-SNP、Intel TDX 等可信执行环境（TEE）来保护"使用中数据"的机密性与完整性，而 TEE 的完整性保障建立在远程证明（Remote Attestation）之上：只有在启动时对初始内存状态做一次性、静态的度量，才能向数据提供方证明运行环境可信。问题在于，这一"静态、一次性"的信任模型与真实的数据处理工作流严重冲突。论文指出，在 LLM 微调、探索性数据分析等场景中，数据使用方需要人在回路（human-in-the-loop）能力，包括动态注入代码、检查中间状态、调整超参数等。这些操作本质上是动态且非确定性的，一旦允许就会破坏远程证明所承诺的"代码与数据在证明后不再变化"这一前提，导致数据提供方无法继续信任该环境。 为解决这一张力，作者提出"交互式机密计算（interactive confidential computing）"范式：在不牺牲数据机密性的前提下，允许不可信的数据使用方在 TEE 内执行动态、非确定性的操作。其核心洞察是——本质上不可度量的人类交互必须被排除在可信计算基（TCB）之外，因此应将 TEE 逻辑上拆分为"交互控制器"与"可验证运行时"两部分，前者承载不可信的人类决策，后者保持可被验证与度量的确定性。 在此基础上，作者实现了 INTCC 框架，包含三项关键机制：（1）基于代理（proxy）的分发系统，使开发者在保持原生开发体验的同时完成调度；（2）基于安全格（security lattice）的细粒度信息流控制机制，用于防止数据经由动态代码路径泄漏；（3）隐私保护的可验证执行机制，用以保证动态工作流的运行时合规性。作者基于 AMD SEV-SNP 与 Confidential Containers 完成实现，并在多种真实负载上评估。实验表明，INTCC 在安全性与交互性之间取得平衡，相对于基线执行，LLM 微调场景的额外开销低于 5%，数据分析场景低于 17%。 该工作适合关注机密计算、TEE 应用落地、云上数据协作与隐私增强计算的研究者与安全工程师阅读，为"如何在可验证环境中安全开放交互式能力"提供了架构级参考。

该论文针对 Linux 平台多人联机游戏的一个结构性矛盾展开研究：游戏发行商普遍要求的反作弊系统以闭源 Ring 0 内核模块形式实现，而这类模块在架构上与 Linux 的安全模型、GPL 许可证的传染性要求以及内核对稳定 ABI 的承诺根本冲突，导致厂商难以合规地移植，玩家也面临内核级监控带来的隐私与稳定性风险。作者主张正确的应对方式不是把这类侵入式模块移植到 Linux，而是用可验证的信任根机制将其整体替换。为此提出 TPM-Attest：一个基于硬件信任根的远程证明框架，由 TPM 2.0 与 Linux 完整性度量架构（IMA）共同构成证据链，以密码学方式向服务器证明客户端是干净启动、且仅运行了被授权的软件集合，全程不需要任何内核驱动、不引入闭源代码、也不扫描玩家内存。工程实现上，系统通过用户态 LD_PRELOAD 钩子拦截 Epic Online Services（EOS）SDK 的调用，将游戏会话访问权限绑定到一次实时 TPM quote，且该 quote 必须与服务器下发的 nonce 绑定以抵抗重放；针对度量日志的完整性，系统在 IMA 日志之上构建带索引前缀的 Merkle 树，从而抵御重复叶子碰撞类攻击（即同一度量值重复出现导致的日志伪造）。实验部分，作者构造了 500 次篡改会话，检测率达到 100%；通过增量叶子缓存，把重复证明的延迟压缩到真实 TPM 2.0 硬件上 3 秒以内；并针对一个实际的演示游戏进行了受控红队评估，结果显示四类基于文件落地的攻击向量全部被阻断，同时精确定位并刻画了两个已确认的绕过条件。作者将完整实现以开源软件形式发布。论文的核心贡献可归纳为三点：一是论证了在 Linux 上以硬件远程证明替代内核级反作弊的可行性；二是给出了抗碰撞的度量日志聚合结构与低延迟增量缓存策略；三是通过大规模篡改会话与红队实测量化了检测能力及其边界。适合 Linux 平台安全工程师、游戏反作弊架构师、终端完整性证明与 TPM/IMA 研究方向的研究者阅读。

该论文系统性研究了可信执行环境（TEE）构建过程的可复现性（reproducibility）问题，选题紧扣云上机密计算信任链的根基。研究背景是：TEE（如 Intel SGX、Intel TDX、AMD SEV）已成为现代云计算的关键基础设施，为代码与数据提供强机密性与完整性保障；而支撑这一信任模型的核心机制是远程证明（remote attestation）——外部验证方通过密码学度量值（measurement）来确认 TEE 内运行的代码是否可信。然而，远程证明的有效性有一个常被忽视的前提：验证方必须能够把收到的度量值一路追溯到原始源代码，而这一属性只能通过可复现构建来保证；若构建不可复现，度量值就无法与公开源码建立可信对应关系，远程证明在实践中的意义将被大幅削弱。 核心方法上，作者对 115 个真实世界 TEE 部署进行了技术分析，覆盖 Intel SGX、Intel TDX、AMD SEV 等主流方案，逐项核查是否同时提供了源代码与参考构建（reference build）这两个可复现性的必要条件，并尝试验证构建结果是否与度量值一致。为探究不可复现的根本原因，作者联系了 50 个 SGX 项目的维护者，并成功招募 12 位来自工业界与学术界的开发者进行访谈。 主要发现具有较强冲击力：91% 的被调查部署不可复现，其中 80% 连源代码和参考构建这两项基本前提都未能同时提供。访谈结果与量化结论相互印证——12 位受访者中仅 1 人表示可复现性在开发过程中属于优先事项。作者进一步区分了两类障碍：一类是技术上可较快解决的因素（例如构建产物中混入时间戳等非确定性内容），另一类是更棘手的生态级挑战，例如涉及多方利益相关者的项目中，单个开发者无法控制构建环境。基于此，作者主张 TEE 的可复现性需要超越个体开发者的整体性开发流程与更强的组织/生态承诺，而不应把 TEE 当作一个可以贴上就完事的“安全徽章”。 该工作适合云安全、机密计算、供应链安全、可信证明与软件工程（构建可复现性）方向的研究者与工程实践者阅读。

该论文关注机密虚拟机（Confidential VM，CVM）场景下既有 TLS 服务的会话证明（session attestation）难题。当把现有服务迁移进可信执行环境（TEE）后，若要向对端证明这条 TLS 连接确实终止于一个经过远程证明的可信环境，传统做法往往需要改动应用程序、替换 TLS 实现或重新签发证书，迁移成本高且兼容性差。作者提出 SessionLatch，目标是在完全不修改应用、TLS 库与证书三者的前提下提供会话级证明。其核心洞察是：只要能可信地观测到服务器本地生成的临时公钥（ephemeral public key），再结合 TLS 标准的密钥确认（key confirmation）流程，就足以建立 TEE 端点保证，而无需访问或导出任何 TLS 会话机密。基于此，作者把证明集成下沉到操作系统层：设置一个临时 latch 暂存客户端的加密记录，使证据交换与应用自身的 TLS 握手并行重叠，验证完成后 latch 自行移除，连接随即回到原生 TLS 数据路径，不引入额外的载荷加密，并完整保留企业原有的服务认证机制。双向证明复用同一构造，两端并行生成证据。作者完成了 Linux 与 Windows 集成，并在真实 Hygon CSV 证明环境上评估，交错 Linux/Windows 实验中短上传平均时延相较 TNG 分别降低 63.1% 与 23.0%。结果说明，会话证明可以在不把永久代理塞进数据路径的前提下增强既有机密服务。

本文提出了一种名为 TPMSpy 的平台无关方法，用于验证可信启动（Measured Boot）系统的实际实现是否符合预期安全假设。可信启动通过将执行软件和系统状态的密码学度量记录到可信平台模块（TPM）中，从而支持远程证明。然而，现有操作系统虽然越来越多地采用该机制，其实际安全性取决于实现是否在预期条件下度量了预期组件，但这一前提从未被系统性检查。作者从虚拟化系统与 TPM 交互的底层跟踪入手，独立重建并验证 TPM 事件日志，且不依赖 TPM 自身的引用机制。该方法不依赖具体实现细节，因此既适用于开源系统也适用于闭源系统。作者在 Linux 和 Windows 上验证了该方法，并对 Linux 系统中 systemd 245 至 258 版本（2020-2025）的 Measured Boot 使用进行了纵向分析。研究发现，各系统之间的使用模式存在显著差异，没有任何单一模式占主导，因此需要针对具体系统进行定制化分析。进一步的分析揭示了未记录的 TPM 使用行为变化，并发现了 systemd 用户空间服务在度量上存在不一致性，这会导致远程证明不可靠，并可能阻碍 LUKS 磁盘解密。主要贡献包括：提出一种不依赖引用机制的 TPM 事件日志独立验证方法；系统性地揭示了主流操作系统在可信启动实现上的行为漂移与隐患；为安全审计和远程证明可靠性评估提供了实用工具。该文适合研究可信计算、远程证明、系统安全审计以及引导流程安全的学者和工程师阅读。

这篇论文研究的是无中心可信运营者的节点间“相互证明”（mutual attestation）问题。在远程证明（remote attestation）场景中，每个节点为了验证对端节点的可信性，需要持有对端代码的参考度量值（reference measurement）。最朴素的方式是把这些参考值直接嵌入到节点自身代码中，但这样会形成互相引用，导致无限回归（infinite regress）。作者将这一困境称为“参考值引导问题”（reference-value bootstrapping problem）。现有解决方案要么依赖可信第三方（TTP），要么依赖外部提供的参考值，要么依赖特定架构的度量机制，这些都会引入额外信任假设或限制通用性。本文提出一种全新的、架构无关的解决方法：把引导问题形式化为一组互不动点方程（mutual fixed-point equations），并利用克利尼第二递归定理（Kleene's Second Recursion Theorem）来构造节点。该构造使得节点可以仅凭内置数据就互相重建对端的确切源代码，从而直接或间接得到参考度量值。对于直接测量脚本文件（如 Python）的场景，作者开发了 PyReflect，一个 Python 转译器，并基于它实现了 TPM 相互证明的概念验证；对于测量构建镜像（如 AWS Nitro Enclaves）的场景，作者开发了 NixReflect，一个 Nix 转译器，并在两个 Nitro Enclave 之间验证了可以仅从内置数据互相重建对方的参考 PCR 值。整个方案不依赖 TTP、不需要外部参考值，且能兼容现有证明栈。该论文的主要贡献是：首次将相互证明中的无限回归问题用递归定理优雅解决，提供了两个可工作的实现，并证明了其架构无关性。适合对可信计算、远程证明、系统安全感兴趣的读者阅读。

本文针对远程证明（Remote Attestation）体系中一个被忽视的安全缺口进行了端到端验证。背景是：当自动化代理（如 AI Agent）执行重要操作时，其留下的记录由自身软件栈生成，而该软件栈的可信性恰恰是待验证的。签名日志只能证明哪个密钥写了记录，无法证明运行时环境是否可信。此前研究提出将动作记录（Action Evidence Package, AEP，即动作、授权主体和结果的签名追加记录）作为 IETF RATS 架构（RFC 9334）下的应用层 Evidence，并通过 TPM 引用（quote）将结果绑定到硬件根，使得篡改记录会使引用失效。但该研究仅用最小化的 Verifier 替代品进行评估。本文填补了这一空白：作者在模拟的软件 TPM（swtpm）上生成 AEP 引用，将其端到端地送入符合规范的 Project Veraison RATS Verifier。具体流程包括生成 EC P-256 认证密钥、将 AEP 结果摘要度量到 PCR、将真实引用封装为 Veraison 的 tpm-enacttrust 格式、配置精简参考完整性清单（信任锚和黄金参考值），并获取签名的 EAT 认证结果（EAR）。实验表明，正常证据得到 affirming 结果；而结果交换或签名单字节篡改则得到 contraindicated。研究过程中发现并负责任地披露了一个安全相关缺陷：参考方案未强制挑战随机数（challenge-nonce）的新鲜性，导致重放的引用仍会被评估为 affirming。作者给出了一个精确、可上游化的两部分修复方案，并进行了端到端验证。修复生效后，同一有效引用在自身会话中为 affirming，但在重放到新会话时变为 contraindicated。整个流水线完全可复现，但 Attester 仍是模拟的 swtpm，并非硬件级保证。

本文提出 D-MUTRA，一个基于区块链的互信远程证明框架，用于解决多智能体系统（MAS）中的运行时完整性验证问题。MAS 由多个自主软件代理组成，在关键网络物理域（如多机器人协作、工业物联网）中协同执行复杂任务。如果某个代理被攻陷并运行修改后的软件，其他代理可能基于虚假信息行动，导致任务被破坏。因此代理之间需要在运行过程中持续建立和维护相互信任。远程证明（RA）是验证设备完整性的成熟技术，但传统 RA 存在局限：完整性保证仅限于启动或应用加载时，设计依赖中心化验证器或安全硬件，且证明记录缺乏透明性和可审计性。D-MUTRA 提出一种互证协议，每个代理既作为证明者又作为验证者，在验证自身运行时完整性的同时测量对等代理。该框架完全基于软件实现，包含两个核心组件：一是 Security-as-a-Service，为代理提供轻量级的测量与验证能力；二是智能合约，在去中心化、透明的方式下协调证明协议。研究者在私有以太坊区块链（基于 Hyperledger Besu）上实现了概念验证，并在使用 ROS 和 Gazebo 模拟器的群体机器人场景中进行了评估。结果表明，D-MUTRA 能够使代理连续互证，检测恶意软件修改，并能在大型部署中扩展，且对被保护应用的额外开销可忽略不计。该研究适合对分布式系统安全、可信计算、区块链在安全中应用感兴趣的蓝队成员和安全架构师阅读。

本文提出一种将硬件根信任与 AI Agent 软件层证据相结合的可信证明方案。作者指出，纯软件层的行为证据包（Action Evidence Package, AEP）——即由 Agent 运行时签名的、仅可追加的日志记录（包含操作内容、授权方和结果）——虽然能向验证者陈述 Agent 声称做过什么，但无法回答一个更根本的问题：运营商声称部署的特定模型版本是否真的在未篡改的硬件上产生了该输出。为此，论文借鉴 IETF 远程证明流程（RATS）架构（RFC 9334）及其开源实现 Veraison，提出一种复合证明机制：将 RATS 评估的硬件 Evidence 与软件 AEP 绑定。具体地，论文定义了一个小型验证者词汇表（Authorised / Unauthorised / Indeterminate / Attested / Contested / Expired），并将其映射到 RATS 评估结果上。作者在软件 TPM 模拟器（swtpm）上进行了可行性实验：通过一个输出绑定协议，将 AEP 结果摘要和新鲜的验证者 nonce 折叠进由证明密钥签名的引用（quote）中，并将模型工件测量值放入平台配置寄存器（PCR）。实验用最小化的 RATS 验证器替代实现验证了三种平台结果：正常且新鲜的引用返回 Attested；模型测量被替换时返回 Contested；重放过期引用时返回 Expired；同时成功拒绝了绑定到有效引用上的伪造 AEP 结果。作者强调，该实验仅证明在模拟硬件上的可行性，并非硬件根信任的保证。论文的主要贡献在于提出了一种将硬件证明与 AI Agent 行为证据链接的架构思路，并给出了可运行的演示，为 AI 系统可审计性和可信运行环境研究提供了参考。适合关注 AI 安全、可信计算与远程证明交叉领域的研究人员阅读。

远程证明（RA）是一种轻量级安全原语，用于检测物联网设备上的软件篡改。传统RA方案要求原子性、不可中断的内存测量，难以与实时任务共存。SMARM通过以秘密随机分块顺序测量内存来解决此问题，将不可中断期缩短为单个块测量的持续时间。然而，SMARM最初设计用于微内核系统，尚未在实时操作系统（RTOS）驱动的实时环境中研究。本文首次系统性地研究了SMARM在实时RTOS环境中的表现。我们在运行FreeRTOS和Zephyr的商用ARM TrustZone-M硬件上实现了SMARM，并引入频率准确率（FAR）量化在不同工作负载下证明与实时执行共存的程度。评估表明，SMARM的实时兼容性对块大小高度敏感：大块显著降低实时可用性，小块则导致大量安全存储开销，限制其在内存受限设备上的部署。为解决此限制，我们提出了SMARM+，一系列增强型SMARM变体，包括SMARM+PRNG和SMARM+FPE。它们旨在降低安全存储需求，同时保持SMARM的安全保证和实时行为。评估展示了安全存储减少、证明运行时和能量开销之间的权衡，并为不同部署场景选择SMARM、SMARM+PRNG和SMARM+FPE提供指导。本文贡献包括：首个在RTOS环境中对SMARM的系统研究；定义FAR指标量化实时共存度；提出SMARM+系列降低存储开销；提供变体选择指南。适合物联网安全研究人员、系统设计者和开发者阅读。

随着LLM即服务等机密云工作负载的兴起，用户数据必须在可信且未被篡改的环境中处理，这需要密码学证明。现有的解决方案，特别是Confidential Containers (CoCo)，强制采用严格的“每个Pod一个虚拟机”模型，仅证明客户操作系统栈，而忽略了容器级别的身份验证，并且每个虚拟机带来巨大的资源开销。本文提出了dstack-capsule，一个基于Kubernetes的平台，在Intel TDX上实现了Pod级别的远程证明。其核心思想是两层证明架构：静态平台测量通过不可逆的特权熔断机制冻结在RTMR[3]中，而动态Pod身份（pod_uid、pod_spec_hash、workload_id）嵌入在TDX Quote的report_data字段中，每次请求由硬件签名。dstack-capsule引入了以下主要贡献：(1) Pod级别证明协议，将Pod规范摘要绑定到硬件签名的Quote上；(2) 特权熔断机制，将节点从设置模式原子性地转换到安全模式；(3) 多层沙箱，涵盖存储、运行时、准入、API和网络隔离层；(4) 基于Kubernetes 1.32、Intel TDX和Sysbox的完整开源实现。实验评估了安全属性、证明正确性和性能特征，表明dstack-capsule实现了Pod粒度的验证，而无需每个虚拟机隔离的资源开销。该工作适合对机密计算、Kubernetes安全以及硬件辅助信任执行环境感兴趣的安全工程师和研究人员。

本文提出 PIRANHAS，一种针对非层次异步无人机群（swarm）的隐私保护远程证明（Remote Attestation）协议。在无人机群等大规模分布式系统中，远程证明用于验证节点的软件完整性，但现有方案往往假设层次结构或同步通信，且缺乏对节点隐私的保护。PIRANHAS 利用安全硬件（如 TPM）和密码学技术，实现无需信任中心服务器的分布式证明。协议核心包括：1）基于承诺（commitment）和零知识证明的节点身份隐藏机制，防止攻击者关联证明请求与具体节点；2）异步消息传递模型，适应蜂群中节点可能离线或通信延迟的现实；3）可扩展的聚合证明，减少通信开销。实验评估（在模拟环境中）表明，PIRANHAS 在保证隐私的同时，证明延迟和通信开销与现有非隐私方案相当。主要贡献在于首次将隐私保护融入非层次异步蜂群的远程证明，为物联网、无人机协作等场景提供了实用方案。