论文针对已知但未打补丁的漏洞（unpatched vulnerabilities）给企业带来的严重威胁，提出了一套名为Phoenix的解决方案。当前零日漏洞的平均修复时间（time-to-patch）仍高达约100天，缺乏缓解手段的企业可能被迫临时关闭服务，造成重大经济损失。现有方法如通过seccomp过滤容器未使用的系统调用，虽能减少攻击面，但无法防御与容器正常行为共享相同系统调用的特定漏洞；另一方面，溯源分析（provenance analysis）虽能识别漏洞背后的系统调用序列，但未提供直接过滤该序列的方法。Phoenix填补了这一空白：它通过精确且高效地过滤经溯源分析识别的系统调用序列，来阻止对未打补丁漏洞的利用。其核心创新在于巧妙结合了seccomp过滤器的高效性与基于ptrace的深度参数检查的准确性，并通过一种动态seccomp设计实现了过滤系统调用序列的新能力。实验表明，Phoenix能有效缓解逃避现有解决方案的真实世界漏洞，同时引入可忽略的延迟（低于4%）和更低的开销（例如CPU消耗比现有方案减少98%）。该研究适合安全运营团队、系统管理员及漏洞研究人员阅读。

本文提出并实现了 SysXCHG，一种系统调用过滤执行机制，旨在使程序能够按照最小权限原则运行。当前广泛使用的 seccomp-BPF 机制采用层次化设计，即一个进程及其所有子进程必须共享同一组允许的系统调用，这导致权限过度宽松，无法在 execve[at] 之后安全地收紧过滤器。SysXCHG 的核心创新在于允许在 execve[at] 系统调用执行时动态交换系统调用过滤器，从而使每个新执行的程序可以独立拥有其专属的“紧密”过滤器，不受祖先或后续子进程的影响。同时，作者提出了 xfilter，一种基于进程特定系统调用表视图的快速过滤机制，通过在进程内部维护系统调用表的透视图来加速过滤决策。评估方面，作者使用 PaSH 基准测试套件对真实程序进行测试，结果表明 SysXCHG 的性能开销极低（≤1.71% 的减速），并且能够有效阻止大量不必要的系统调用功能，包括安全关键的系统调用（如 process_vm_writev、ptrace 等），而这些在当前的 seccomp-BPF 设计下无法被屏蔽。系统调用过滤是容器、沙箱、特权分离等安全机制的基础，SysXCHG 填补了现有方案在动态权限调整方面的空白，为实现更精细的沙箱策略提供了新思路。本文适合系统安全研究人员、操作系统开发者以及容器运行时开发者阅读。