该论文研究自动化计算机安全测试中「确认（confirmation）」环节的可信性问题。当前 AI 辅助的安全测试工具需要自行判断一次攻击是否成功：由确定性规则通过直接观测确认的结论被当作事实上报，而由大模型判定为「可利用」的结论只被当作意见。作者的核发问是：被测系统能否伪造这种确认？在一个四阶段 AI 辅助流水线的离线安全测试环境中，15 个确认机制里有 9 个可被伪造，并且可伪造性可以被单一因素完全预测——该判定是否读取了攻击者可控的数据。作者把这一规律形式化为一个可审计的攻击面，并进行了前瞻性验证：在 16 个留出（held-out）机制上，任何攻击开始之前就固定下来的预测，完全正确地区分了可伪造与不可伪造的机制；在公开扫描器模板中的 12,203 个机制上，预测准确率达到 99.9%。实验还给出量化对比：确定性规则比 8 个开放权重 LLM 裁判更易被伪造，只要攻击者可控响应内容中约 2% 是伪造内容就能使规则失效，而 LLM 裁判对应的中位数为 50%。研究进一步发现，没有任何单一检查实现能够同时做到鲁棒且精确，而在规则与 AI 裁判之间做动态路由反而会把伪造成功率推高到 99%。缓解方向是把决定性证据迁移到攻击者无法写入的通道，这可将攻击成功率从 97% 降到 0%，同时用一个 escalate（升级复核）判定来部分恢复由此损失的检测敏感度；但该保护在被扫描主机本身就是攻击者时会失效。作者指出，这些结论对 AI 安全智能体以及那些以字符串匹配来判定「成功」的安全基准测试都有直接影响。

本文提出了一种名为 IVANTAGE 的新型主动测量技术，利用 IPv6 节点强制实现的 ICMP 速率限制机制中的侧信道，将分布在全球 9500 个自治系统、182 个国家的约 110 万个远程路由器作为“观测点”，从而在仅使用单个本地观测点的条件下，完成对远程 IPv6 网络的大规模测量。该技术解决了主动互联网测量中某些任务需要大量分布式观测点的问题。作者将 IVANTAGE 应用于两个具有挑战性的测量任务：一是测量入站源地址验证（ISAV）的部署情况，二是测量任意互联网节点之间的可达性。在 ISAV 测量方面，覆盖了所有 IPv6 自治系统的 50%，发现其中 79% 易受 IP 欺骗攻击，这是迄今为止最大规模的 IPv6 ISAV 测量研究。在可达性测量方面，该方法在评估中实现了超过 80% 的精确率和召回率。此外，作者还对 ICMP 速率限制的实现进行了全网测量，详细讨论了 ICMP 速率限制机制本身潜在的安全与隐私风险，并提出了可能的缓解措施。研究代码已开源。论文适合网络测量、IPv6 安全、协议实现分析领域的从业者阅读，其侧信道方法也为网络探测提供了新的视角。

本文首次对互联网上暴露的 Model Context Protocol (MCP) 服务器进行大规模动态安全评估。MCP 自 2024 年 11 月发布以来迅速普及，公共互联网上可检测到超过 21,000 个服务器实例。作者结合被动发现与主动动态测试：被动发现覆盖 crt.sh、HuggingFace、GitHub、npm、Smithery、PyPI、Censys、FOFA、Shodan、glama.ai 和 pulsemcp.com 共 11 个数据源；主动测试使用自研框架 Corvus，包含 34 个测试模块，覆盖 10 类 MCP 特有漏洞。在 2026 年 7 月进行的四轮测量中，确认了 640 个生产 MCP 服务器，并对其中的 414 个进行了动态审计，发现 68 个可报告漏洞，涉及 SQL 注入、针对云元数据服务的 SSRF、提示词模板注入以及通过游标操作实现的路径遍历。审计发现 91.8% 的服务器未启用 OAuth 认证，687 个工具实例暴露 shell 执行能力且无访问控制，41.6% 的确认服务器在连续测量间隔三天内消失，表明快速部署且缺乏安全审查。作者还介绍了负责任披露流程，并将 Corvus 作为开源框架发布，用于 MCP 安全评估。该研究填补了 MCP 安全动态评估的空白，对理解 AI 代理基础设施的暴露面有重要价值。

该论文针对IPv6地址的临时性和随机性带来的安全挑战展开研究。由于IPv6客户端地址难以预测，攻击者难以进行全互联网扫描，但先前工作表明，低权限实体可以轻松加入基于志愿者机制的NTP池，通过部署NTP服务器收集大量活跃的IPv6客户端地址。本文提出了一套系统性的方法论，不仅能严格识别这种地址收集行为以及收集地址的实体，还能刻画这些实体随后如何使用这些地址。研究者在一年的时间内，向全球所有NTP池服务器发送带有唯一标识的IPv6客户端地址查询，并监控后续针对这些地址的任何活动。通过关联分析，他们识别出22台NTP池服务器（分布在4个主要集群），这些服务器属于更大的监控基础设施，利用收集的地址进行侦察、端口扫描以及服务和漏洞枚举。为了更深入地理解这种行为在法律和伦理上的灰色地带，研究者与NTP池运营者以及一家运营地址收集和扫描集群的网络安全保险公司进行了沟通。最终，NTP池已将所提出的系统集成到其监控基础设施中，以移除此类恶意NTP服务器；该保险公司也改变了其运营策略，增加透明度并提供明确的退出机制。本文的主要贡献包括：一套可用于自动检测NTP池中地址收集和后续扫描行为的方法；对全球NTP池生态系统的长期测量；以及通过与利益相关方合作推动的实际改进。

本研究通过控制实验揭示了互联网上IPv6扫描器的扫描策略。作者利用一个大型未使用的/56 IPv6子网，通过托管与IPv6服务器直接或间接交互的应用程序（如Web浏览、NTP池成员、Tor网络），选择性地使子网部分对扫描器可见。实验设计消除了隐藏变量对扫描的影响，建立了IPv6主机活动类型与扫描器关注度之间的因果关系。结果显示，主机活动（如Web浏览、NTP池和Tor网络参与）会导致扫描器向子网发送数量级更高的未请求IP扫描和反向DNS查询。DNS扫描器将扫描集中在托管应用程序的窄地址区域，而IP扫描器则广泛扫描整个子网。即使主机活动停止，仍观察到针对先前托管应用程序地址空间的持续残余扫描。本工作为理解IPv6扫描器行为提供了新视角，有助于改进IPv6网络安全监测和防御策略。