本文提出一种针对大语言模型（LLM）智能体的新型黑盒能力克隆攻击方法 AgentLeak。研究背景是：LLM 智能体通过基础模型与显式技能（skills）及执行中获得的隐式程序性知识相结合，能够完成长期任务，这种任务解决能力已成为宝贵的商业资产。既有技能窃取攻击主要恢复显式技能工件，但本文发现工件泄露并不必然导致能力迁移：弱智能体即使获得相同技能，仍因缺少强智能体隐式展现的程序性行为而失败。核心洞察在于：技能执行差距本身构成泄露面——受害智能体成功执行与攻击者智能体失败执行之间的可观察差异，会暴露缺失的行为。基于此，AgentLeak 从这些执行差异中识别能力关键行为，并将其整合到攻击者侧技能中，同时保持攻击者的模型、框架和工具不变。实验涵盖 20 个任务场景、600 个实例、多种智能体系统和多个骨干模型，结果显示 AgentLeak 相比直接技能重用将任务通过率提升超过 40%，并恢复了受害者与攻击者能力差距的 80% 以上。这项研究揭示了 LLM 智能体中的机密性风险：仅保护显式工件是不够的，可观察的执行行为可能泄露重建专有任务解决能力所需的程序性知识，从而让低能力且受攻击者控制的智能体获得复制能力。本文适合关注 AI 安全、LLM 智能体攻防、模型知识产权保护的研究人员和安全从业者阅读。

本论文的标题为《Navigating Security and Privacy Threats in Homeless Service Provision》，作者包括 Yuxi Wu、Ruoxi Zhang、Mufei He 等。由于本次输入仅提供论文标题与作者列表，未包含论文摘要正文，因此无法对研究背景、具体方法、实验设计与结论进行详细总结。根据标题推断，该研究关注无家可归者服务提供（如收容所、救济机构、社会服务项目）过程中的安全与隐私威胁，可能涵盖服务对象敏感个人信息（如健康、身份、居住记录）的收集、存储、使用与共享环节的隐私风险，以及相关数字系统可能遭受的攻击面。作者团队中可能包含计算机安全、公共政策或人机交互领域的研究者，因此该工作可能采用跨学科方法，例如质性访谈、系统建模、隐私影响评估或设计对策。读者应查阅原文获取实际研究内容。

该论文聚焦于联邦学习在银行、医院等受监管机构中的实际应用痛点。尽管联邦学习允许各方在不共享原始数据的前提下协同训练模型，但仍有两大安全隐患：一是客户端交换的参数更新仍可能通过梯度反演或成员推断攻击泄露本地记录信息；二是诸如 FedAvg 这类基于简单平均的聚合规则对恶意或受损客户端缺乏鲁棒性，少数恶意参与者就可能悄然破坏共享模型。为此，作者提出了 DP-BR-FedAvg 框架，将高斯机制差分隐私（DP）层与坐标级修剪均值（coordinate-wise trimmed-mean）拜占庭鲁棒聚合规则相结合。论文在模拟的跨机构分类任务（类似欺诈检测和临床风险评分）上进行了评估。实验设置包含 60 轮通信、20 个客户端，其中四分之一为拜占庭恶意节点。结果显示：纯 FedAvg 在少数类上完全崩溃（F1 分数仅 0.030），而所提框架显著恢复信号（F1 分数达到 0.119），同时约束了单个客户端贡献的隐私损失。值得注意的是，仅使用拜占庭鲁棒聚合而不加隐私层时原始准确率最高，这量化了隐私对鲁棒性带来的代价。研究表明，隐私保护与鲁棒性机制之间存在相互作用而非简单叠加，因此在设计受监管、对抗性、跨机构场景的系统时必须为此预留预算。适合关注联邦学习隐私与安全交叉问题的研究人员、银行/医疗行业的安全架构师以及监管科技从业者阅读。

该论文研究分布式系统与授权模型中的一个根本性缺口：授权“何时”才算真正结束？论文指出，即使系统报告撤销完成、达到干净状态或操作成功，先前已授权的执行路径仍可能在提供方（如消息中间件、编排平台）未违反自身契约的前提下，继续产生应用程序明确拒绝的效果。作者将这种问题的缺失定义为“策略相对效果闭包”（policy-relative effect closure），简称效果闭包。一个授权是“闭合”的，当它既不存在任何能通过既有授权路径触达被拒效果的路径，也无法再签发新的相关授权。为判定接口能否真实报告闭包，论文提出 EFFECTBOUND 方法：它利用带证据支持的有限契约，把问题归约为带隐藏状态的有限控制，并输出三种结果——控制策略（如何达到闭包）、不可能性证书（证明无法闭包）、或在证据不足时不作判定。机器可检查的证明确立了该归约与检查器的正确性；检查器既能自动推导闭包结果，也能验证外部证书。作者在 GitHub、Kubernetes、NATS 和 Kafka 四个真实系统中实证分析，发现闭包会以三种方式失效：接口缺少所需控制、清晰可见状态掩盖了仍在运行的工作、或模型在“效果边界”（可以阻止效果的最后一点）之前就停止。具体案例包括：GitHub 的合并工具无法将合并操作绑定到已审阅的特定提交，受控试验证明它可能合并另一个提交；NATS 可报告没有存储或待处理消息，但已投递的工作仍可向下游发布；Kafka 中所有固定集合的 broker 都已应用撤销，但一个早先被授权的请求仍能追加写入。作者随后引入一种“门控”（gate）机制：阻止对已撤销权威的新使用，并延迟接口返回，直到先前在途工作全部完成。在固定集合的 Kafka 4.3.1 测试部署中，该门控成功闭合了典型的同步、非事务性写入路径，且不会阻塞无关请求。结论是：一项授权的真正终结，不仅要求停止签发新授权，还必须保证任何早先授权都无法再触达被应用拒绝的效果。论文面向分布式系统、授权与撤销机制、以及安全形式化方法的研究者。

该论文研究了基于脑电信号（EEG）的生物特征识别系统的对抗性脆弱性。随着EEG信号被提议用作生物识别凭据，其安全性评估成为重要问题。以往研究主要针对深度学习分类器，并假设攻击者拥有对模型的完全访问权限（白盒攻击），而忽略了其他更常见的神经特征提取方法以及更现实的黑盒攻击场景。为此，作者提出了一组自适应攻击算法，攻击者仅需黑盒访问认证系统，即可通过有针对性地篡改窃取的EEG记录来欺骗系统，且无需了解认证系统的内部细节。研究在6个公开数据集上进行了测试，覆盖三种记录条件：视觉刺激反应、运动想象和静息状态。实验表明，不同的神经特征提取方法在对抗攻击下的脆弱性差异显著；同时，记录条件（如任务类型）对欺骗攻击的成功率有重要影响。最后，作者基于对抗测试结果，为提升神经特征生物识别系统的安全性提出了改进建议。该工作填补了神经生物识别在黑盒对抗攻击研究方面的空白，为脑机接口和生物认证安全领域提供了系统性的评估框架。适合安全研究人员、生物识别系统开发者和脑机接口领域的学者阅读。

这篇论文提出了一种针对检索增强生成（RAG）系统的知识投毒攻击防御框架。研究背景是：RAG通过外部语料库为大型语言模型提供事实依据，但系统对检索文档的隐式信任构成了严重攻击面。已有研究（如PoisonedRAG）表明，仅需少量精心构造的恶意文档即可在密集检索中占据主导地位，并引导模型生成攻击者预设的答案。针对这一威胁，作者提出了“三层筛”（Tri-Layer Sieve）中间件防御机制。该机制在检索后对文档证据进行三层净化：第一层通过跨嵌入空间聚类并引入独立评判模型，识别并隔离在多个嵌入模型中行为不一致的离群文档；第二层通过结构过滤检测触发词-载荷（Trigger-Payload）这类投毒文档特有的内部结构；第三层利用LLM自身的一致性验证来确认文档内容与生成答案的语义一致性。设计的核心思想是利用检索阶段投毒的固有弱点：单篇恶意文档必须同时迎合嵌入空间的几何特性、内部的触发-载荷结构以及最终的生成目标，三者同时满足极具挑战性，即使面对能对触发词进行改写以规避结构过滤的自适应攻击者，这种脆弱性依然存在。实验在NQ、HotpotQA和MS-MARCO数据集上使用Contriever检索器（k=50）进行，结果显示：将黑盒攻击成功率从67.0%/87.0%/64.0%分别降至3.0%/14.0%/4.0%；针对白盒HotFlip攻击，在NQ上启用第三层后成功率从约74%降至27.8%；受污染文档的MRR降至0.000，同时将攻击场景下的干净准确率从13-33%恢复至58-76%。在面对能改写触发词以绕过结构过滤的架构感知攻击者时，启用一致性验证层可将自适应攻击成功率减半（NQ上从32.0%降至15.0%），并将干净准确率提升18个百分点，但代价是每次实时检索增加约16-19秒延迟。该研究适用于关注RAG安全、对抗检索攻击及LLM安全防御的研究人员和工程师。

本文针对检测规则仓库中误报排除（exclusion）持续累积且很少被撤销的问题展开研究。核心背景是：当一条检测规则频繁产生误报时，分析人员通常会添加排除条件，使规则在该特定场景下不再告警。单次排除决策在局部看是合理的，但其长期累积对规则库整体覆盖能力的影响此前未被系统度量。已有的纵向研究表明规则维护过程并不收敛，但那些研究仅关注后来被回滚的修订，对从未被撤销的规则收窄无法感知。作者在 SigmaHQ 规则语料库中，跨越 9 年共 8,234 条修订记录，提出了一种语义层面的检测方法：通过分析否定谓词集合的增长与规则覆盖范围的补偿性增长之间的不平衡，识别规则被“收窄”的现象。该方法不依赖数据训练，是确定性的，并以代码形式发布定义。作者用盲法人工标注验证了该方法，精确率达到 0.828，召回率达到 0.911。研究发现：排除操作共发生 1,642 次，仅有 304 次被撤回，比率约为 5.4:1；在单条规则层面，这一比率升至 13:1。此外，约 31% 的收窄无法通过结构比较直接看出，现有方法因而明显低估了规则收窄程度。Kaplan-Meier 估计显示，86.7% 的排除在三年后仍然生效，且规则是否为对应 ATT&CK 技术的唯一覆盖与该持久性无关（p=0.49）。路径类排除中有 64.1% 可以被非特权进程通过选择特定文件名而规避。总体表明：误报排除会不断积累、极少被复审，且不按风险后果进行优先级排序。最后作者给出了一个初步决策标准，帮助安全团队决定优先检查哪些排除条件。该研究对检测工程与规则生命周期管理有实际参考价值。

本文研究了图神经网络（GNN）可解释性中的一个常见但被忽视的问题：图对称化（graph symmetrization）会丢弃边的方向信息，导致解释结果失真。作者指出，在诸多关键应用（如安全关键系统）中，GNN 的解释结果必须准确可靠，以支持人类决策。然而，主流可解释性方法通常在预处理阶段对图进行对称化处理，将有向图转为无向图，这从根本上改变了图的结构语义，造成信息损失，进而产生误导性解释。论文通过理论分析和实验验证，证明了保留方向信息对于解释忠实度（fidelity）的重要性。理论部分分析了方向性缺失如何影响梯度或掩码类解释方法的有效性；实验部分则对比了基于对称化图与原始有向图的解释结果，定量评估了解释的准确性和可信度。核心贡献包括：一是揭示了对称化操作在解释场景下被忽略的负面影响；二是提出方向感知（direction-aware）的解释框架，在解释过程中显式保留边的方向性；三是通过多个数据集和模型架构验证了该方法的有效性，表明其能显著提升解释质量。这些发现强调了在安全关键应用中，GNN 可解释性必须考虑图的方向语义，否则可能误导审计人员或最终决策者。本文适合研究 GNN 可解释性、安全 AI 审计以及需要可信模型解释的从业者阅读。

检索增强生成（RAG）通过引入外部文档来增强大语言模型（LLM），但公共或用户可编辑的内容源为数据投毒攻击提供了可能。攻击者可以注入恶意文档，引导模型输出攻击者期望的答案。现有的投毒攻击通常依赖在恶意文档中包含目标查询（query inclusion），以提升检索命中率，但这会在词汇和嵌入空间留下明显伪影，容易被检测过滤。针对这一漏洞，本研究提出CamoDocs攻击，通过在良性内容中伪装对抗文档来避免直接查询包含。具体来说，CamoDocs将合成的良性分块和对抗性草稿分块混合，用分散token替换良性分块中的选定token，从而在嵌入空间中分散恶意文档的表示，并通过一致性过滤来限制文档可读性的下降。实验表明，CamoDocs在7种RAG防御机制、3种开源LLM和3个基准数据集上均实现了较高的平均攻击成功率（ASR），并能规避简单的查询检测。在专有模型上同样有效，对GPT-5.4-mini的平均ASR达61.80%，对Claude-Haiku-4.5达55.09%。此外，研究显示，类似TrustRAG这类大量依赖聚类/擦除的防御可以降低ASR，但在如NeoQA等依赖检索的基准上会导致显著的效用下降。这项研究揭示了现有RAG数据投毒防御的漏洞，提醒安全社区需要开发更鲁棒的检测与防御策略。

本文针对微信小程序生态中快速增长的界面交互设计与业务行为安全问题，提出了一套混合安全检测框架。随着小程序因免安装、低内存占用、即用即走等优势而用户激增，其界面合规性和运行行为安全性问题日益突出。具体表现为：可点击按钮和图标尺寸不符合标准；广告弹窗和支付入口位置容易误触；关闭或取消按钮过小或隐藏，导致用户难以精准点击，从而可能产生非自愿支付、被重定向到非法页面等风险，造成经济损失并侵害用户权益。为解决上述问题，论文开发了一套检测程序，用于检查小程序中各类图标和按钮的位置与尺寸，并分析重定向链接是否在安全范围内。方法上使用YOLOv8模型识别图像中的各类按钮，根据鼠标点击位置显示对应图标及其数据，并标记违规行为；同时采用mitmproxy捕获点击过程中产生的数据请求，分析重定向安全性，并将关键信息可视化呈现给用户。文章的核心贡献在于将视觉UI合规检测与网络流量风险分析相结合，形成面向小程序的前后端协同检测方案。适合小程序开发者、安全审计人员及移动应用安全合规研究人员阅读，可作为小程序安全检测与合规评估的参考实践。

本文提出 MeMark，一种面向脉冲神经网络（SNN）模型水印的新方法，专门针对模型检查点复用（checkpoint-reuse）场景。现有 SNN 水印通常将标识嵌入输出层，攻击者只需替换输出头即可移除验证证据。MeMark 将多比特标识嵌入选定泄漏积分-触发（LIF）神经元的内部膜电位状态：通过秘密输入驱动每个选定神经元阈值的一侧，并在验证时利用同一阈值恢复比特，无需学习式解码器。作者在循环、卷积、残差及 transformer 结构 SNN 上评估，包括 2.154 亿参数的 SpikeGPT 检查点。实验显示：20 个独立 64 位密钥均通过 51/64 验证规则，而 30000 个随机密钥全部被拒绝；微调、90% 剪枝、int8 量化和输出头替换后，所有权证据仍存活。自适应攻击可削弱但无法完全移除水印。同时研究了错误所有权声明、密钥感知/不可知移除、部分密钥披露、回滚及知识蒸馏攻击。结果表明 MeMark 能提供检查点衍生模型的证据，同时抵抗主流攻击和完全头部替换。适合关注模型知识产权保护、AI 安全研究的读者。

这篇论文关注预测模型在虚假数据注入攻击下的鲁棒性问题。尽管已有检测方案和对抗训练方法被提出，但它们往往无法为隐蔽攻击提供理论保证——即攻击者设计的最优攻击策略可能轻易绕过检测器。为此，作者提出了一种基于检测器的切换模型（detector-based switched model），该模型在检测到攻击时切换到更安全的预测模式，从而使得攻击者的最优攻击策略变得“隐蔽”反而受限。针对线性预测模型，作者推导了该切换模型所对应的对抗风险的凸优化表达式，这使得训练过程可高效求解。模型中额外引入受保护特征（protected features），并设置一个超参数来建模攻击发生的概率，从而在正常数据与受攻击数据之间实现显式的性能权衡。数值实验在真实数据集和合成数据上进行，结果表明，即使攻击概率估计不准确，该模型在部分受攻击的数据上仍能获得比传统方法更优的预测性能。本文的核心贡献在于：首次为隐蔽攻击下的对抗训练提供了具有可计算保证的框架，并通过切换机制将检测器与预测器联合优化，为线性模型的安全预测提供了新思路。适合机器学习安全、控制理论与网络物理系统交叉领域的研究人员阅读。

本文是第20届编程语言与安全分析研讨会(PLAS 2025)的会议通知。PLAS为学术界和工业界提供了一个探讨如何利用编程语言和程序分析技术来增强软件系统安全性的论坛，覆盖范围从底层编译器到机器学习模型和智能合约等新兴领域。研讨会鼓励提出新颖且富有前瞻性的观点，对新兴威胁和问题进行讨论，并特别欢迎立场论文，以激发关于编程语言与安全交叉领域未来研究方向的深刻讨论。自2007年在圣地亚哥首次举办以来，PLAS已走过20年，成为该领域的重要学术活动。今年的会议将包括两场主旨演讲（分别由Limin Jia和Jan Reineke主讲）以及5篇论文报告。对于安全防御者而言，该研讨会所呈现的研究成果可能推动更先进的静态分析、形式化验证、类型系统、程序修复等技术，从而提升软件供应链安全、智能合约审计以及机器学习模型的可信性。虽然本通知未提供具体技术细节，但其中提及的研究方向对于构建更可靠的漏洞检测工具和开发安全方法具有潜在价值。

本文介绍了一种结合静态与动态程序分析的方法，用于推断和执行服务端 JavaScript 中第三方库的权限。现代软件开发广泛依赖第三方库，但这些库通常未经人工审查，可能引入 bug、漏洞或恶意攻击，最终影响终端用户。作者提出一个以 RWX（读-写-执行）权限系统为核心的分析框架，该权限系统横跨库边界，能够对第三方库的行为进行细粒度约束。在演示中，作者展示了该工具能够检测出注入到流行库中的零日漏洞，而这些漏洞往往被现有先进工具（如 snyk test 和 npm audit）遗漏。该方法通过静态分析提取库的权限需求，并通过动态分析对实际执行行为进行监控与比对，从而发现违规调用或异常行为。主要贡献包括：提出了一个针对第三方库权限建模的统一框架；实现了结合静态和动态分析的原型工具；并通过实验证明了其在检测未知漏洞方面的有效性。适合软件安全研究人员、DevSecOps 工程师以及关注供应链安全的开发者阅读。

本文是关于第18届编程语言与安全分析研讨会（PLAS）的会议介绍。PLAS 是一个专注于探索和评估编程语言与程序分析技术在安全领域应用的学术论坛，覆盖范围广泛，从编译器、机器学习模型到智能合约等各类软件系统。研讨会鼓励提出新颖的、探索性的想法，评估新技术或已有技术在实际环境中的效果，并讨论新兴威胁与问题。此外，PLAS 还欢迎立场论文，这些论文通常具有前瞻性和激进性，旨在引发富有洞察力的讨论，从而影响编程语言与安全交叉领域的未来研究方向。本届研讨会是该系列的第18届，首届于2007年在圣地亚哥举行。会议预计将呈现精彩的项目和丰富的讨论。

本文针对当前大型语言模型（LLM）安全评测中存在的维度割裂问题展开研究。作者指出，现有评测框架通常独立评估安全性、安全性和隐私性，无法捕捉跨维度的失效模式。例如，一个模型可能在安全对齐指标上达到99.3%，却拒绝三分之一的良性查询；或者在所有能力指标上提升的同时隐私得分下降21分。为此，论文提出了aiXamine——一个统一的黑盒评测平台，将LLM的可信度视为安全性、安全性和隐私三个相互依赖的属性进行联合评估。aiXamine通过自动化红队流水线，编排了覆盖9个服务的46项测试，生成从提示级诊断到跨服务权衡分析的分层风险画像，能够在相同条件下对专有模型和开源模型进行可复现的比较。作者对超过120个LLM进行了总计超过5000次测试运行，开展了迄今最大规模的联合安全、安全与隐私研究，并揭示了三个在单一轴评测中不可见的跨维度现象：第一，安全强制存在‘安全税’，更强的对齐会系统性加剧过度拒绝，迫使提供商在保护与效用之间权衡；第二，隐私与其他可信度维度近似正交，标准对齐无法覆盖；第三，作者正式刻画了‘蒸馏诱导的鲁棒性崩溃’：没有在策略校正的离策略蒸馏会导致熵崩溃，在相同基础架构上将鲁棒性从56.9灾难性地降至2.6。这些发现，加上规模收益递减和依赖类别的安全行为，表明可信度本质上是多维度的：一个轴上的进步并不保证其他轴上的进步，甚至可能主动削弱其他轴，而当前的对齐方法却将其作为单一目标处理。该研究为LLM评测领域提供了新视角和实用工具，适合LLM安全研究者、红队工程师和部署决策者阅读。

该论文研究了一个此前被忽视的安全问题：能否通过黑盒API交互，从前沿专有大型推理模型（LRM）中近乎逐字地提取隐藏的思维链（Chain-of-Thought, CoT）。隐藏CoT被视为模型的核心资产，尤其是商业模型内部的推理过程，过去普遍认为直接提取不可行。作者发现了一个工具调用之间的‘推理重放面’（reasoning replay surface），并据此设计了EchoCoT——一种多阶段攻击方法。该方法利用API返回的保真度信号（例如生成token的logits或长度信息）作为反馈，迭代式地调整注入轨迹，从而逐步逼近并还原隐藏的CoT。为了提升通用性，作者还构建了一个基于LLM的自动优化框架，能够在不同数据集上自动搜索有效的通用注入轨迹。实验在三个开源LRM和五个前沿专有LRM上进行。在开源模型上，EchoCoT实现了最高66.4%的近乎逐字提取成功率，且提取出的轨迹长度与目标相差不超过10%，至少90%的token与目标CoT完全匹配。同一注入轨迹还能泛化到未见数据集，在相同标准下达到80%的成功率。对于专有模型，提取出的CoT与提供商报告的推理长度及现有CoT摘要高度吻合；尤其对Gemini-2.5，成功提取了目标为32,948 token的CoT中的33,463个token（长度超过目标，说明存在过度生成）。这些结果证明隐藏CoT提取是一个实际安全风险，凸显了保护模型思维链资产的紧迫性。适合关注LLM安全、模型资产保护和AI对抗性攻击的研究者与安全工程师阅读。

语音合成技术的快速发展使深度伪造音频达到高度逼真的水平，对语音身份验证和数字取证构成日益严峻的威胁。早期研究曾报道人类对深度伪造语音的检测准确率可达70%-80%，但这些研究主要基于较老的合成器，难以反映当前生成语音的真实攻击能力。本研究针对这一差距，选取了分别于2019年（RTVC）、2022年（YourTTS）和2024年（ElevenLabs）发布的三种代表性语音合成工具，邀请82名IT专业人员参与听辨实验，同时使用六个预训练的深度伪造检测器对相同材料进行基准测试，以系统评估人类和自动检测器对现代合成语音的识别能力。实验涵盖完全合成语音（全文伪造）和部分伪造（仅篡改语句中的某一个句子）两种场景。结果显示：对于完全合成语音，人类检测的F1分数从RTVC和YourTTS的约90%急剧下降到ElevenLabs的48%，且参与者事先已被明确警告音频中可能存在深度伪造；对于部分伪造，严格判断的准确率仅为9%，听众有77%的概率将合成句子误判为真实语音。研究进一步发现，人类与自动检测器的错误模式互补，两者均无法可靠定位短篡改片段。此外，听众在识别合成语音时，越来越多地将真实语音误标记为伪造，导致对未操纵音频的信任度不断下降。这些发现表明，人类感知对于现代合成器和部分伪造条件已不可靠，必须依靠程序化验证、来源证明、水印技术和片段级检测等多层次防御手段来应对。该研究为语音伪造检测领域提供了新的实证数据，对设计和评估鲁棒的音频取证系统具有重要参考价值。

该论文题目为《Trust Me, I Know This Function: Hijacking LLM Static Analysis using Bias》，作者包括 Shir Bernstein、David Beste、Daniel Ayzenshteyn、Lea Schönherr 和 Yisroel Mirsky。根据标题，本文主要研究如何利用人工智能模型中的偏见（bias）劫持基于大语言模型（LLM）的静态分析工具。研究背景是，现代软件安全分析越来越多地引入 LLM 辅助代码审查与漏洞检测，但这类模型可能受到训练数据分布、提示注入或逻辑偏差的影响，导致分析结果被误导。论文的核心问题可能是：攻击者能否通过精心构造的函数名、注释或代码模式，使 LLM 静态分析器产生误判，从而让恶意代码绕过检测？提出的方法可能涉及识别并利用模型在特定类型函数名或代码语义上的先验偏好，实现对分析流程的隐式控制。主要贡献可能包括揭示这种攻击面，提出对抗样本生成策略，并给出缓解建议。不过，由于本条目仅提供标题，没有完整的摘要内容，无法确认具体技术方案和实验细节，也不确定是否提供真实案例。该研究适合 LLM 安全、软件供应链安全以及静态分析工具开发人员阅读，用于理解 AI 辅助安全分析潜在的新型攻击路径。需要注意的是，题目中强调了“Trust Me, I Know This Function”，暗示对模型‘信任’某个函数判断的操纵，这可能是通过改变函数名或上下文让模型产生错误关联。但以上分析基于标题推断，实际内容可能有所不同。

该论文题为《实时妥协：调查消费物联网中的RTC安全》，旨在系统性地分析和评估消费级物联网（IoT）设备中实时通信（RTC）机制的安全状况。RTC通常指音视频通话、远程控制等低延迟交互功能，在智能家居、可穿戴设备、智能音箱等场景中广泛应用。论文可能从攻击者视角出发，研究RTC协议实现中的漏洞、网络攻击面以及隐私泄露风险。由于仅提供标题而无完整的论文摘要，无法获取具体的研究方法、实验设计或核心发现。结合物联网安全研究现状，此类调查通常包括对主流RTC库和协议的安全审查、静态代码分析、动态模糊测试等，并可能提出加固建议。该论文适合物联网安全研究人员、智能家居厂商及安全运维团队关注，以加深对消费物联网实时通信风险的理解。

本文提出 LLFuzz，一个针对蜂窝基带低层（如物理层、MAC层）的空中（over-the-air）动态测试框架。基带芯片是移动设备中处理蜂窝通信的关键组件，其低层协议栈通常运行在专用实时操作系统上，且与上层应用隔离，传统基于主机的模糊测试难以覆盖。LLFuzz 通过软件无线电（SDR）设备与实际基带进行真实无线信号交互，动态生成并注入畸形或边界条件的LTE/NR物理层信号，以触发基带底层解析逻辑中的漏洞。核心贡献包括：设计了面向基带低层的协议状态感知模糊测试流程，能自动适配不同物理层信道配置；开发了高效的信令生成与同步机制，保证测试帧能被目标基带正确接收；并实现了基于崩溃或异常行为的崩溃检测与输入复现方法。实验在多个主流商用基带芯片上进行，成功发现多个可导致基带重启或拒绝服务的未公开缺陷，证明了该框架的有效性和实用性。该研究为蜂窝基带安全评估提供了新的动态测试手段，弥补了静态分析和纯软件模拟的不足，适合移动通信安全研究人员、基带固件开发者及运营商安全团队参考。

本论文（arXiv 论文，标题为《Oxidizer: Toward Concise and High-fidelity Rust Decompilation》）提出了一款名为 Oxidizer 的 Rust 反编译工具或框架，旨在解决 Rust 二进制程序反编译结果不够简洁且保真度不足的问题。论文作者来自多个学术与安全研究机构（包括亚利桑那州立大学等），研究方向集中在程序分析、逆向工程与二进制安全。由于当前仅提供论文摘要（本输入中摘要内容缺失），无法获取具体的技术架构、实验设计或定量评估指标。从标题和学科背景推断，Oxidizer 可能利用 Rust 类型系统、所有权模型以及编译器中间表示等特有信息，来提升反编译代码的可读性和语义准确性，从而帮助逆向工程师更高效地分析 Rust 编写的软件。本文的主要贡献可能包括：提出一种针对 Rust 语言特性的反编译方案、设计新的中间表示转换或控制流恢复算法、以及在真实 Rust 编译产物上展示相比现有反编译器的改进。该研究面向安全分析人员、编译器开发者以及二进制逆向工程师，有助于提升 Rust 目标程序的漏洞分析与恶意代码检测能力。由于缺少具体摘要内容，所有细节均为基于标题的合理推断，阅读原文可获得确切结论。

本文针对区块链智能合约频繁遭受网络犯罪分子攻击、造成巨额资产损失这一严峻安全问题展开研究。作者指出，尽管区块链环境被认为是计算领域最具对抗性的环境之一，但现有技术和概念尚未能真正有效解决漏洞被利用的问题。为此，论文提出并系统验证了经典的程序不变量（program invariant）概念或许是防范智能合约攻击的最有力手段。研究设计了一套原创实验协议：首先构建了名为INVARIANTEVAL的基准测试集，包含28个真实的以太坊攻击案例，每个案例均配有一条人工编写、能够阻止对应攻击的不变量；其次开发了PONDEREPLAY重放框架，通过重新执行历史交易来严格验证不变量的正确性和有效性。实验结果表明，这些智能合约不变量能够成功阻断INVARIANTEVAL中所有的网络犯罪攻击，并且通过对108,637笔历史交易的重放验证，充分证明了这些不变量的正确性与可靠性。大规模实验清晰展示了智能合约不变量在抵御网络犯罪分子方面的强大能力。该研究为智能合约安全提供了一种新的防御思路，并为自动化不变量生成工具的未来发展奠定了评估基础。适合智能合约安全研究人员、区块链安全工程师以及形式化验证领域的学者阅读。

该论文针对Web应用指纹识别技术的性能问题展开研究。Web应用指纹识别是一种通过分析Web服务器的响应特征来识别其运行软件的技术，既被攻击者用于预判目标系统的脆弱性以制定攻击策略，也被防御者用于资产发现和安全评估。然而，现有指纹识别技术的准确性并未得到充分验证。论文首先在互联网上对大量Web服务器进行了大规模分析，发现当前指纹识别技术往往不准确，尤其当遇到经过修改或混淆的应用时表现更差。针对这些局限，作者设计并实现了一种新的指纹识别技术，该技术对常见的应用修改和混淆手段具有鲁棒性。为了验证新技术的有效性，论文在多种不同的Web应用上进行了评估，结果显示，该技术显著提高了Web应用指纹识别的准确性和鲁棒性，同时保持了较低的开销。该研究为安全领域提供了更可靠的指纹识别工具，有助于提升资产发现和风险评估的准确性。

该研究专注于恶意软件检测领域中的二进制到图像转换技术，并引入可解释人工智能（XAI）工具来提升模型的可解释性。作者使用 Gradient-weighted Class Activation Maps (Grad-CAM) 作为解释工具，分析了由恶意软件样本生成的八种不同图像表示类型。研究目标包括：通过定量指标评估 Grad-CAM 热图的忠实度（faithfulness）和稳定性（stability），并将其与另一种解释方法 HiResCAM 进行对比；同时验证 Grad-CAM 特征能否用于恶意软件分类。实验表明，利用 MobileNetV2 卷积神经网络从 Grad-CAM 图像中提取特征，再使用随机森林分类器，可以在包含 17 个恶意软件家族的数据集上达到 0.777 的测试准确率，超过了该数据集之前 0.750 的基准结果。此外，研究还发现一个关键现象：在所选用的八种图像变换中，分类准确率与解释的忠实度并不一致，即能够产生最忠实解释的图像变换方法，其分类准确率仅处于中等水平。这一发现对恶意软件检测模型的设计与评估具有重要意义，提示在追求高准确率的同时需要兼顾可解释性。该工作为后续将 XAI 引入恶意软件分析提供了定量分析和实证基础。

本文献（arXiv 论文，作者 Mohammad E. Alim 与 Tommy Morris）从标题看，聚焦于工业控制系统（ICS）安全数据集在“安全工件评估”政策下的透明性与可复现性问题。核心研究问题是从“可用（Available）”到“可复用（Reusable）”的数据集质量评估，即当前许多 ICS 安全数据集虽然公开发布，但缺乏足够的元数据、采集环境说明、标签定义或验证流程，导致其他研究者难以复现实验结果或验证检测方法的有效性。论文可能提出了一套基于安全工件评估政策（如 artifact evaluation 惯例）的测量框架或指标，用于量化数据集的透明度和可复现性，并可能对现有 ICS 数据集进行系统性的评测或对比。由于仅获得标题信息，具体方法、实验设置和结论尚不明确，但该研究对 ICS 安全领域的社区生态建设具有参考价值，尤其有助于推动数据集标准化和可复现性文化的形成。建议关注该论文全文以获取具体的评估维度和标准。

该论文介绍 GuardLens 系统，旨在为视觉障碍人士提供更安全的在线浏览体验。视觉障碍用户在浏览网页时常依赖屏幕阅读器等辅助技术，但这些工具往往缺乏针对网络威胁（如钓鱼、恶意链接、诈骗内容）的有效警示机制，导致该群体更容易遭受网络攻击。GuardLens 设想通过集成到浏览器或辅助技术中的安全层，以可访问的方式（如语音提示、触觉反馈或增强的屏幕阅读器输出）向用户实时传递安全信号，帮助其识别和规避潜在风险。论文可能涉及用户研究、系统设计、可用性评估等多方面内容，但当前仅提供题录信息，无法获取详细的方法论和实验数据。该研究填补了网络安全与无障碍交叉领域的空白，提出了面向特定弱势群体的安全防护设计思路。由于没有完整摘要，具体技术实现、实验结论和评估指标均无法确认，建议读者查阅原文获取细节。

Rust作为一种系统编程语言，以其强内存安全性和低性能开销而闻名。通过所有权、借用等严格安全策略，Rust编译器能够保证大部分代码的内存安全。然而，在unsafe代码块中，这些安全策略并未完全启用，导致内存错误仍可能发生。尽管这类unsafe代码通常仅占整个代码库的一小部分（例如10%），但现有模糊测试工具往往对整个程序进行测试，包括已经由编译器保证安全的safe Rust代码，从而浪费了大量模糊测试资源。针对这一问题，本文提出了RustGo，一种新型的面向Rust的定向灰盒模糊测试工具。RustGo能够高效且公平地聚焦于可能包含内存错误的代码区域。其核心方法包括：利用Rust特定的静态分析自动识别潜在的内存错误目标，并精准地剪枝与每个目标无关的路径；针对每个识别出的目标，采用独立状态维护和动态剪枝策略，以实现平衡且聚焦的模糊测试。研究者在多个真实世界的Rust应用上进行了评估，结果表明RustGo平均剪枝了78.49%的无关路径，到达目标的速度比现有模糊器快2.09至5.08倍，并成功发现了13个未知错误（其中6个被分配了RUSTSEC ID，1个被分配了CVE ID）。这项工作显著提升了Rust unsafe代码安全检测的效率和效果。

本论文针对生成式 AI 模型输出内容的水印检测授权难题，提出了首个基于属性的水印方案（Attribute-based Watermarking）。现有密码学水印方法虽能保证未授权情况下输出与水印不可区分，但检测密钥一旦分发，持有者可任意检测所有水印内容，导致水印清洗、越权使用和用户画像等安全风险。为此，作者设计了一种细粒度、策略可控的检测机制：生成内容关联属性，每个检测密钥受属性策略约束，仅能检测满足策略的水印输出，而策略外的水印输出在计算上仍与无水印内容不可区分。该方案结合受限伪随机函数、伪随机纠错码和随机性恢复流程，并形式化了一致性、有界腐败自适应鲁棒性、不可检测性和可靠性等安全属性，在标准密码学假设下给出安全证明。原型实验表明该方案在检测有效性和实用性方面均表现良好。

经典拜占庭容错（BFT）共识协议（如 PBFT）在故障副本比例低于三分之一时，能够同时为所有客户端保证安全性和活性。然而在高价值支付等应用场景中，不同客户端对安全性和活性的偏好可能不同：部分客户端更看重安全（即避免交易被回滚或双重支付），而另一些则更看重活性（即确保交易最终被确认）。灵活共识（Flexible Consensus）允许每个客户端自主选择更高的安全韧性，但以降低活性韧性为代价。现有方案受限于基于法定数交集（quorum-intersection）的约束，无法同时为所有客户端提供最优的安全-活性权衡。本文提出了第一个能够同时为每个客户端实现最优安全-活性权衡的构造。该构造具有模块化特性，作为现有共识协议之上的附加组件实现：副本额外执行一轮投票并永久锁定，从而绕开先前方案中次优的法定数交集约束。作者进一步将该构造适配到现有以太坊协议，推导出最优灵活确认规则，客户端无需系统性改动即可单方面采用。关键在于以太坊现有协议特性可同时充当额外投票和锁定的功能。文中还展示了使用以太坊共识 API 的实现。该研究为区块链共识协议的设计提供了新的理论框架，并给出了在以太坊上的实际落地路径，对希望提升交易确认安全性的客户端和研究者具有参考价值。

本文提出了一种针对纵向联邦学习（Vertical Federated Learning, VFL）场景的新型后门攻击方法 BadVFL。联邦学习允许多方在不共享原始数据的前提下协作训练机器学习模型，根据数据划分方式可分为横向联邦学习（HFL）和纵向联邦学习（VFL）。在 VFL 中，参与方共享相同的训练样本，但各自持有整个特征空间中互不重叠的特征子集；而在 HFL 中，各方持有相同特征但本地数据子集不同。VFL 已逐步应用于金融欺诈检测等场景，但其安全性研究非常有限。本文聚焦 VFL 的鲁棒性问题，特别是后门攻击——攻击者试图在训练过程中操纵聚合模型，以触发特定输入的误分类。作者指出，在 VFL 中实施后门攻击比 HFL 更具挑战性，因为攻击者一方面在训练期间无法访问标签，另一方面也无法直接修改标签，只能利用特征嵌入。为此，他们提出了 VFL 中首个干净标签（clean-label）后门攻击，攻击分为两个阶段：标签推断阶段和后门注入阶段。标签推断阶段通过本地模型输出或梯度信息推测样本的标签，后门阶段则在保持标签正确的前提下，仅通过修改特征嵌入或模型更新来植入后门。作者在三个不同数据集上验证了攻击的有效性，分析了影响攻击成功率的关键因素（如参与方数量、特征分布、模型结构等），并讨论了几种可能的防御措施及其局限性。该工作为 VFL 安全研究提供了新的攻击视角，也提醒设计者在实际部署 VFL 系统时应考虑此类恶意参与者带来的潜在风险。

该论文关注基于大语言模型（LLM）的代码审计器在 pull-request（PR）工作流中的可靠性问题。尽管这类审计器已被广泛集成，但其对跨仓库演进过程中分布式恶意更改的抵御能力仍缺乏系统研究。为此，作者提出了 PRWeaver 基准，包含从十个真实仓库中提取的 208 个经过执行验证的攻击实例，并为每个实例构造四种匹配的审查渲染方式，总计 832 个渲染。研究评估了三个 PR 审计代理与六个审计器-模型系统的组合。实验结果表明，将恶意更改拆分为独立提交仅能使检测率最多改变五个百分点，说明提交边界本身不是导致逃逸的关键因素；相比之下，在单个 PR 内部以 N=16 的粒度交错放置恶意代码可将检测率降低 5-13 个百分点，而通过连贯的载体融合（将良性变更与恶意载荷包装成一致的叙事）可进一步降低 10-18 个百分点。当审查窗口扩大到整个仓库历史（N=24）时，检测率降至 16-22%，远低于按 PR 独立审查时的 50-60%。这些发现表明，仅仅让审计器访问完整历史记录并不能有效防御隐蔽攻击；攻击者更可能在良性变更与恶意更改共同占据审计上下文时，或通过构造貌似合理的 PR 描述来掩盖异常 diff。该研究为 LLM 驱动的代码审计系统提供了首个系统性的对抗性评估框架，揭示了当前方法在长程、上下文融合攻击下的显著弱点。

该论文是 Gilles Barthe 撰写的一篇关于安全形式化的综述章节，聚焦于证明助手（proof assistants）在计算机安全领域的应用。研究背景是：设计与实现必须满足预期的安全属性，而证明助手能够通过机械化推理严格验证这些属性，从而支撑安全认证。文章的核心问题是：如何将证明助手系统性地应用于系统安全、基于语言的安全（language-based security）、安全编译和密码学四大领域。在系统安全方面，证明了操作系统内核、微内核、虚拟机监控器等底层软件的安全属性，如隔离性和信息流控制；在基于语言的安全方面，利用类型系统和程序逻辑推导程序的信息流安全、非干扰性和访问控制；在安全编译方面，验证编译器是否保持源程序的安全属性，即安全编译（secure compilation），确保编译后代码不引入新的漏洞；在密码学方面，使用证明助手形式化验证加密协议、签名方案等密码构造的正确性。论文的贡献是提出了一套统一的证明方法框架，强调证明助手在建立高置信度安全保证中的作用，并为实际系统中的安全认证提供了方法论支撑。该文适合需要了解形式化验证与安全交叉领域的研究人员、安全工程师以及希望提升系统安全保证等级的开发者阅读。

本文研究去中心化自治组织（DAO）中治理权力的行使机制及其安全影响。DAO 是一种通过智能合约管理区块链协议的治理实体，其治理合约明确规定了利益相关者如何提出、表决和执行协议变更。作者指出，治理合约的设计选择对 DAO 及其管理的智能合约的安全性和隐私性具有深远影响，不当设计可能引入关键漏洞。论文首先阐述了实现 DAO 时设计选择带来的信任与透明度权衡；其次，通过真实案例强调了糟糕的设计选择如何导致严重漏洞。为此，作者分析了 48 个公开且活跃的基于以太坊的 DAO，这些 DAO 控制着大量资本。他们将设计选择分类为几个关键维度，简洁地描述了 DAO 利益相关者如何发起协议变更、投票以及根据投票结果执行变更。分析揭示了一类新型攻击——治理攻击，这类攻击直接利用 DAO 治理机制的基本设计缺陷，即使智能合约实现无 bug 也无法避免。文章的核心贡献在于系统化地分类 DAO 治理设计选择，并提出治理攻击的概念，为 DAO 安全研究提供了新视角。适合区块链安全研究者、DAO 开发者和智能合约审计人员阅读。

随着大型语言模型（LLM）智能体的快速发展，其已被广泛应用于各类真实世界任务。为了标准化LLM智能体与外部环境之间的交互，模型上下文协议（MCP）工具应运而生，并成为事实上的标准，被广泛集成到这些系统中。然而，MCP工具的使用也引入了新的安全风险，因为LLM智能体可能被诱导执行恶意或未经授权的操作。尽管已有工作提出了针对LLM智能体工具使用的防御措施，但大多数方法依赖静态分析（即检查提示词和生成的输出），这限制了防御的有效性和鲁棒性。为了克服这些局限，本文提出了MTGuard，一种基于混合分析的防御框架，通过生命周期感知的静态-动态协同分析来保护LLM智能体中MCP工具的安全使用。广泛的评估表明，MTGuard能够有效缓解不同LLM智能体上多种类别的有害工具使用，同时保持良性用户任务的性能。该研究的核心贡献包括：提出了首个结合静态与动态分析的MCP工具安全防御框架；引入生命周期感知的概念，覆盖工具调用的完整过程；通过实验证明了其在多个智能体上的有效性和通用性。该论文适合LLM安全研究人员、智能体平台开发者以及关注AI供应链安全的安全工程师阅读。

本文对Android OEM定制化进行了首次纵向研究。研究团队构建了包含2907个ROM的数据集，覆盖42个不同厂商，跨越Android 1.6至9.0版本（2009-2020年）。他们开发了一个分析框架和流水线，用于提取每个ROM的定制层，并从多个维度评估其合规性和安全性。具体分析了二进制文件安全加固、SELinux策略、Android init脚本、内核安全加固技术等方面。令人担忧的是，他们发现2907个ROM中有579个（约20%）至少存在一项与其Android版本相关的CDD违规，其中甚至包括11个由Google自家品牌推出的ROM。某些厂商故意绕过或注释掉Android安全团队添加的安全网，例如修改init脚本以root权限启动存在已知漏洞（有公开CVE和PoC）的旧版本程序（如tcpdump），且可被远程攻击者访问。研究表明Google的努力仍不足，并提出了改进合规检查流程的建议。本文适合安全研究人员、Android设备厂商、以及关注移动生态安全的工程师阅读。

本文提出了一种实用的多写入者加密数据库方案（Omnes pro uno）。传统的加密数据库通常只支持单一写入者，或者为了支持多写入者而牺牲安全特性或查询能力。该方案在保持与单写入者方案相当的安全性的同时，支持连接查询和范围查询，且性能与现有加密方案相近。核心方法包括一种新的加密原语和协议设计，允许多个写入者独立加密数据并提交，而读取者可以执行复杂的查询而无需解密所有数据。实验表明，该方案在性能上具有实用性，能够满足真实场景的需求。该研究适合数据库安全、加密计算领域的研究人员和工程师阅读。

远程证明（RA）是一种轻量级安全原语，用于检测物联网设备上的软件篡改。传统RA方案要求原子性、不可中断的内存测量，难以与实时任务共存。SMARM通过以秘密随机分块顺序测量内存来解决此问题，将不可中断期缩短为单个块测量的持续时间。然而，SMARM最初设计用于微内核系统，尚未在实时操作系统（RTOS）驱动的实时环境中研究。本文首次系统性地研究了SMARM在实时RTOS环境中的表现。我们在运行FreeRTOS和Zephyr的商用ARM TrustZone-M硬件上实现了SMARM，并引入频率准确率（FAR）量化在不同工作负载下证明与实时执行共存的程度。评估表明，SMARM的实时兼容性对块大小高度敏感：大块显著降低实时可用性，小块则导致大量安全存储开销，限制其在内存受限设备上的部署。为解决此限制，我们提出了SMARM+，一系列增强型SMARM变体，包括SMARM+PRNG和SMARM+FPE。它们旨在降低安全存储需求，同时保持SMARM的安全保证和实时行为。评估展示了安全存储减少、证明运行时和能量开销之间的权衡，并为不同部署场景选择SMARM、SMARM+PRNG和SMARM+FPE提供指导。本文贡献包括：首个在RTOS环境中对SMARM的系统研究；定义FAR指标量化实时共存度；提出SMARM+系列降低存储开销；提供变体选择指南。适合物联网安全研究人员、系统设计者和开发者阅读。

该论文聚焦于加密货币生态系统中的稳定币用户安全感知问题。稳定币作为一种与法定货币或其他资产挂钩以维持价格稳定的加密货币，在加密经济中扮演重要角色。然而，以往研究多从技术和理论角度分析稳定币的安全性，较少关注用户在实际操作中的风险感知和安全行为。为填补这一空白，研究者采用了混合方法：首先基于文献构建了稳定币交互框架，然后依据该框架设计访谈协议，进行了21次半结构化访谈，并分析了Reddit上9326条相关帖子。研究发现，用户普遍认为稳定价值（对抗波动）和监管合规性是稳定币相对于其他加密货币的核心安全优势。但同时，用户也表达了对法币抵押型稳定币的中心化风险、加密抵押型稳定币因过度依赖自动执行机制而带来的挑战，以及算法稳定币复杂机制造成的认知混乱。论文建议通过改进用户教育和优化稳定币机制设计来应对这些风险，促进更安全的使用。该研究对理解用户视角的稳定币安全具有重要价值，适合加密货币安全研究人员、产品设计师、监管政策制定者阅读。

该论文以形式化框架分析区块链安全保证与协议实现之间的内在关系。作者首先指出，不同区块链协议提供类型不同的安全保证：BFT 类协议（如 Algorand）通常在部分同步环境中安全，而最长链协议（如 Bitcoin）则需要更强的同步性才能确保安全。另一个关键区别是，某些协议（如 Algorand）能够产生不可抵赖的区块确认证书，而其他协议（如 Bitcoin）不能。这些属性是偶然的，还是协议设计范式的必然结果？作者利用 [12] 中开发的框架，证明了用户选取过程（如工作量证明 PoW 或权益证明 PoS）直接决定了安全保证的性质。具体而言，论文证明：对于工作量证明协议，产生确认证书是不可能的；而对于标准形式的权益证明协议，证书的产生是自动的。作为副产品，论文还定义了一系列安全概念，并鉴定它们之间的等价与不等价关系。该研究成果为理解无许可区块链协议的安全本质提供了理论基石，对区块链协议设计、分片等可扩展性方案的安全性分析具有指导意义。

该论文详细阐述了Themis共识扩展v1的设计与分析，该扩展由Mangata在2021年首次发布，旨在缓解区块链中的最大可提取价值（MEV）问题。MEV源于特权参与者通过选择、排除、插入或重新排序待处理交易以获取私利。Themis设计将价值提取分为重排序提取（VER）和拒绝提取（VED）两类。对于VER，区块构建和执行由连续的生产者完成：第一个生产者提交一个交易集，第二个生产者基于一个公开可验证、确定性且先前不可预测的种子，执行种子决定的、保持依赖关系的排列。对于选择性的VED，用户可以对指定构建者和执行者加密交易：构建者移除外层并提交不透明的内部密文；执行者仅在提交后才能揭示并执行明文。在自私但不合谋的验证者、低于底层共识故障阈值的对手、安全密码学和可问责角色表现的前提下，该结构限制了单方面提交后排序控制，并从中继和构建者处隐藏了交易意图。论文分析了概率提取、垃圾交易、依赖交易、解密活性、会话边界、完全拒绝和阈值联盟等攻击场景。同时记录了基于Aura的Substrate初始实现及其后续转向基于BABE的sr25519/VRF种子路径，以及延迟执行、Fisher-Yates洗牌和Xoshiro256++随机数生成器。最终方案保留了原始提案的核心思想，但将其主张严格限制在明确假设之下。该工作适合区块链底层技术、共识机制和去中心化金融安全的研究人员及开发者阅读。

该论文研究离线位置追踪生态系统中的隐私与安全平衡问题，重点关注如何设计抗滥用的位置追踪协议。现有位置追踪设备（如蓝牙追踪器）广泛应用于寻找丢失物品，但也可能被用于未经授权的跟踪（如跟踪他人）。论文提出一种新型加密协议，允许设备所有者查找其物品位置，同时防止恶意第三方或服务提供商滥用位置信息。核心方法包括基于公钥加密的密钥分发机制和匿名认证技术，确保只有授权用户能查询位置更新，而服务提供商无法关联具体用户。实验部分模拟了追踪器与智能手机的交互场景，分析了协议在延迟、能耗和安全性方面的表现。主要贡献是设计并实现了第一个同时满足隐私性（防止服务商追踪用户）与安全性（防止非法跟踪）的离线位置追踪系统，并提供了安全证明。适合安全通信、隐私保护及物联网安全领域的研究者阅读。

本文针对受信执行环境（TEE）中严格内存模型导致的性能瓶颈问题，提出了一种新的内存模型——Elasticlave。传统TEE（如Intel SGX）采用空间隔离模型，强制enclave之间不能共享内存，导致数据拷贝开销巨大，性能降低1-2个数量级。Elasticlave允许enclave选择性地、临时地与其它enclave乃至操作系统共享内存，从而消除昂贵的数据拷贝操作，同时仍能保持与空间隔离模型相当的应用所需安全性。作者在基于RTL设计的周期级RISC-V核上实现了Elasticlave原型，实验表明，在相同处理器配置下，相比空间隔离模型可获得1-2个数量级的性能提升。Elasticlave的可信计算基（TCB）很小，其性能特性和硬件面积开销随所支持的共享内存区域数量扩展良好。该研究为TEE内存模型设计提供了新思路，适合系统安全与硬件架构领域的研究人员阅读。

该研究旨在解决日益复杂的监管环境下的合规性问题，提出利用计算工具进行法律审计的可能性。具体而言，研究者探索构建一个计算审计器，用于检查移动健康（mHealth）应用是否满足联邦安全与隐私法规。他们发现，虽然将开放式的、普遍适用的复杂法律转化为计算原则具有挑战性，但使用非法律的、权威的解释性文档可以在保留法律开放式特性的同时实现计算可操作化。研究在182个FDA/CE批准的mHealth应用上测试了该审计器，结果表明使用非法律的权威指导文档有助于创建计算审计器，这是一种管理日益增长的合规责任的有前景的工具。论文贡献在于提出了一种新的方法范式，即利用非法律文档进行法规的自动化审计，并展示了其在真实应用上的可行性。对于安全合规工程师、移动应用开发者及监管科技从业者具有参考价值。

该论文首次系统研究了新兴支付协议x402的安全性问题。x402扩展了HTTP 402，为Web API和自主AI代理提供支付能力，其核心设计是将支付证明验证和链上结算委托给第三方促进者（facilitators），以实现跨商家的共享支付基础设施。然而，这种集中化信任模型引入了一个单点故障，一旦facilitator存在缺陷，可能波及所有依赖它的商家。作者通过对实际部署的facilitator进行深入分析，归纳了八项安全规则，涵盖授权正确性和执行安全性。在此基础上，他们发现了四种新型攻击向量：免费购物（攻击者可绕过支付获取服务）、资产盗窃（窃取facilitator持有的加密资产）、服务拒绝（阻止合法支付处理）和Gas滥用（恶意消耗赞助商支付的Gas费用）。这些攻击利用了facilitator实现中的逻辑漏洞和验证缺失，导致商家直接经济损失、facilitator资产损失、无限制的Gas消耗以及支付服务中断。为评估影响面，作者开发了一款半自动化黑盒测试工具，并将其应用于15个主流facilitator（这些平台合计服务超过6万名卖家和36万名买家）。测试结果令人震惊：所有15个facilitator均存在违反安全规则的行为。作者已向受影响方（包括Coinbase）负责任的披露，相关方已承认问题并采取缓解措施。此外，作者通过对超过1.19亿笔Base和Solana区块链上的交易进行实证分析，量化了x402的采用规模、facilitator的中心化程度以及生态系统层面的风险指标。该研究揭示了当前x402生态中的重大安全隐患，强调了在去中心化支付基础设施中加强安全验证的必要性。

本文研究了一种针对图神经网络（GNN）的数据无模型提取攻击。传统的模型提取攻击通常需要访问目标模型的训练数据或大量查询，但在实际场景中，攻击者可能无法获取原始数据。作者提出了一种基于生成对抗网络（GAN）的方法，无需任何真实训练数据即可高效窃取GNN模型。具体地，攻击者首先训练一个生成器来合成与目标模型训练数据分布相似的图数据，然后利用目标模型对合成数据的预测作为标签来训练替代模型。通过交替优化生成器和替代模型，最终得到一个高保真度的克隆模型。实验在多个图分类和节点分类任务上进行，结果表明该方法在模型精度和迁移性上均优于现有基线，且对目标模型的结构和参数类型具有通用性。该工作揭示了GNN在数据不可见场景下面临的严重安全威胁，为后续防御研究提供了重要参考。

本研究首次系统性地实证探讨了基于大语言模型（LLM）的代码生成系统中长期记忆（Long-Term Memory）存储不安全编码偏好对安全性的影响。长期记忆旨在提升跨会话的连续性，但一旦不安全的编码偏好被存储，可能会在后续生成中潜移默化地影响安全关键决策。研究评估了四种LLM（ChatGPT、Gemini、Qwen、Grok）和五种编程语言（Python、C、C++、Go、JavaScript）。实验表明，不安全的记忆使生成漏洞代码的风险增加2.7-50.3个百分点，并产生5.4-14.0个百分点的风险-警告差距，即漏洞率上升速度远超警告率。进一步分析发现，不安全记忆难以通过正常交互覆盖，且在不同措辞的提示下仍能广泛影响输出。论文评估了三种缓解策略：安全需求附加和记忆存储可将漏洞率降低19.7-33.6个百分点，但可能使功能正确性下降最多15.9个百分点；记忆级安全过滤能在评估的风险记忆条目上实现100%检测率，并使生成行为恢复到无记忆基线。基于这些发现，作者为改进LLM代码生成中长期记忆的安全性提供了可操作建议。该研究对AI安全研究人员、LLM应用开发者以及使用LLM辅助编程的团队具有重要参考价值。

该论文对区块链可提取价值（BEV）进行了全面的量化分析，旨在回答“BEV的黑暗森林到底有多暗”这一核心问题。研究覆盖了32个月内的以太坊区块链数据，涉及49,691种加密货币和60,830个链上市场。作者通过分析三种主要的BEV提取方式：三明治攻击（sandwich attacks）、清算（liquidations）和去中心化交易所套利（DEX arbitrage），估计总利润达5.4054亿美元，分布在11,289个地址中。其中单一BEV实例最高达410万美元，是以太坊区块奖励的616.6倍。此外，该论文首次提出了通用交易机器人（generalized trading bots）的具体算法，该算法无需理解受害者交易的底层逻辑即可替换未确认交易，经测试在32个月内获得57,037.32 ETH（约3537万美元）的利润。最后，论文形式化分析了新兴的BEV中继系统（relay systems），指出矿工从中继服务器而非P2P网络接受BEV交易会加剧共识层攻击，进一步威胁区块链安全。该研究对理解BEV的实际规模、风险以及设计防御策略具有重要学术价值和实践指导意义。

该论文提出了一种名为 VIGIL（Verifying Identity via Gated Intermittent Likelihoods for Continuous Biometric Authentication）的连续多模态身份认证框架，旨在解决现有连续认证方案在信号质量差时无法有效区分持久攻击者与合法用户的问题。VIGIL 的核心贡献包括：1）可配置的跨模态融合机制，允许对每种生物特征模态进行独立加权，使操作员能够根据场景选择不同的融合策略；2）改进的时间融合方法，采用双状态状态转移机（STM）与单向转移矩阵，以更准确地建模用户行为的时间动态；3）三区域验证决策模型，当证据不确定时支持多轮验证，并结合自适应收缩验证窗口，在保证合法用户体验的同时缩短入侵检测时间。实验通过单调衰减、回流消除以及分析评估验证了该框架相对于现有方法的优势。该研究适用于需要高安全性且不影响用户体验的持续身份认证场景，如企业网络访问控制、移动设备解锁等。

本文提出了一种创新的虚拟机迁移优化模型，名为负载均衡和能效迁移模型（Load Balancing and Energy-Efficient Migration Model），旨在解决云环境中虚拟机迁移的负载均衡、能耗优化和安全防护问题。模型的核心创新在于将多种生物启发算法和机器学习技术有机结合：首先，采用遗传算法与蚁群优化相结合来调度资源，利用自然选择和信息素机制寻找最优解；其次，引入基于深度强化学习的迭代学习上下文侧链模型来增强安全性，该模型能够自适应学习新型威胁，并通过上下文侧链关联安全事件，形成鲁棒防御；再次，使用K均值聚类和模糊逻辑量化虚拟机与物理机之间的亲和度，以处理迁移过程中的不确定性；最后，采用双向长短期记忆网络和图神经网络进行工作负载预测，辅助迁移决策。实验表明，该模型在多个性能指标上取得显著提升：完成时间减少4.5%，截止时间命中率提高4.9%，任务多样性改善3.9%，计算复杂度降低8.3%，迁移效率提升2.5%，计算延迟降低9.5%。在安全场景下，侧链模型使响应速度提升10.4%，能耗降低2.5%，吞吐量提高3.9%，存储成本降低8.5%。本文面向云安全研究员、系统管理员和运维工程师，展示了如何通过AI技术提升VM迁移的效率和安全性。

本文对苹果公司的差分隐私框架（DifferentialPrivacy.framework）进行了系统性审计，重点考察其实现中的软件缺陷、配置错误以及由此带来的实际隐私风险。研究首先分析了苹果在iOS和macOS中部署的差分隐私机制，包括私有化数据分析、频数估计等核心组件，通过逆向工程和黑盒测试发现多处实现偏差：例如，随机化算法中的参数错误导致隐私预算实际值低于预期；初始化时的种子误用可能导致可预测的噪声序列；部分场景下配置参数未遵循官方协议，使得隐私保护强度退化。进一步地，作者构建了形式化验证模型，证明了这些缺陷足以使敌手在合理假设下恢复出用户数据的统计分布信息，显著削弱了差分隐私的理论保证。实验部分基于苹果公开的隐私数据集和模拟环境，量化了实际信息泄露风险，并对比了理想情况下应达到的隐私水平。该工作不仅揭示了工业级隐私系统实现中的常见陷阱，还提出了改进建议，包括更严格的单元测试、运行时验证机制以及配置审计工具。对于安全从业者，本文强调了即使理论基础坚实的隐私技术，在工程实现中也可能引入严重漏洞，需要持续监控与审计。

该论文探讨了高效模型检查与安全处理器设计之间的相互作用，以安全推测（Secure Speculation）为案例。针对推测执行侧信道攻击（如Spectre）带来的安全威胁，传统缓解措施往往带来显著的性能开销或设计复杂性。论文提出一种形式化方法，通过模型检查技术对处理器推测机制进行安全性验证，并在此过程中优化模型检查的效率。具体而言，作者将安全属性建模为时序逻辑公式，利用符号模型检查器对处理器微架构进行自动化验证，识别出潜在的推测执行信息泄露路径。为应对状态空间爆炸问题，论文采用抽象-细化循环和启发式剪枝策略，将验证时间从指数级降低到多项式级。实验基于RISC-V处理器原型实现，测试了多种推测执行窗口配置，结果表明该方法能发现已知缓解措施中未被覆盖的漏洞，同时验证了主流防御（如流水线冲刷、延迟加载）的正确性。该工作强调了硬件设计阶段纳入形式化验证的重要性，为处理器设计人员提供了在性能与安全之间权衡的系统性工具。

该论文针对现代CPU微架构侧信道泄露信息的安全问题，提出了一种自动提取指令级泄露契约的方法。泄露契约是一种ISA级别的安全抽象，为安全CPU编程提供基础。由于当前微架构的复杂性，手动设计泄露契约需要大量人工工作，因此现代CPU缺乏专用的泄露契约。作者提出了一种最小人工干预的方法，为x86和ARM等主流CPU架构提取指令级泄露契约，并实现了首个无模板自动合成工具malcos。实验表明，malcos合成的契约在合成过程中观察到的泄露方面是精确和可靠的，证明了从黑盒CPU学习泄露契约的可行性。该方法的关键在于无需CPU内部设计细节，仅通过黑盒观察即可自动生成安全契约。

本文是第2届ACM安全与可信超级应用研讨会（SaTS '24）的介绍。超级应用（Superapps）是一类集成了多种服务（如支付、社交、出行）的平台，近年来在移动生态中快速普及。然而，其高度集成的特性带来了新的安全与隐私挑战，例如跨服务数据泄露、权限滥用、恶意插件等。本次研讨会旨在汇聚学术界与工业界的研究者，共同探讨超级应用的安全机制、可信计算基础、用户隐私保护、恶意行为检测等关键问题。会议可能包括原创研究论文、系统设计、实证分析以及未来方向讨论。尽管摘要未提供具体技术细节，但该研讨会反映了当前超级应用安全领域的最新关注点和研究趋势。

多智能体强化学习（MARL）在无人机集群控制、机器人协同操作等领域的广泛应用前景，但其部署过程中存在的安全威胁尚未得到充分研究。已有工作主要聚焦于完全可观测环境下的双人竞争场景，攻击者能够利用受害者的漏洞生成对抗策略，例如将超人类水平的围棋AI胜率降至20%左右。然而，实际应用中攻击者往往只能获得部分观测信息。本文首次揭示了在部分观测的多智能体竞争环境中，攻击者仍能生成有效对抗策略的能力。为此，作者提出了一种名为SUB-PLAY的新型黑盒攻击方法，其核心思想是构建多个子游戏（sub-games）以减轻部分可观测性的影响，并通过子策略之间共享转换（transitions）来提升攻击者的利用能力。在三种典型的部分观测限制条件下进行的广泛评估验证了SUB-PLAY的有效性。可视化结果表明，对抗策略会显著改变受害者策略网络的激活模式。此外，论文还评估了三种潜在防御措施，旨在探索缓解对抗策略安全威胁的途径，并为在竞争环境中部署MARL提供了建设性建议。本研究为MARL系统的安全部署敲响警钟，并为后续防御研究奠定了基础。

过去十年中，对抗鲁棒性研究产生了数百种防御模型，但文献几乎普遍孤立地报告鲁棒性结果：仅展示鲁棒模型的标准（干净）准确率和对抗准确率，而很少量化与对应普通模型（vanilla model）的差距。本文提出 VanillaBench，一个系统化的基准测试，明确揭示这一差距。针对 RobustBench 收录的四种威胁模型下的所有对抗训练模型，本文计算了其与 Papers with Code 中多个普通参考模型的准确率差异，参考类型包括所有条目、无额外数据条目、鲁棒模型发表年份的最佳普通模型，以及架构匹配的基线。对全部 186 个鲁棒模型的评估显示，相对于最佳普通模型的平均干净准确率差值范围为 -7.7 到 -29.5 个百分点；即使每条赛道最鲁棒的模型，与其同期普通模型相比仍落后 4.0 到 21.0 个百分点。架构匹配比较（隔离对抗训练的影响）揭示了 -3.5 到 -17.5 个百分点的平均差距；进一步限制为在完全相同的架构上已知普通准确率的模型时，差距缩小至 -4.0 到 -14.0 个百分点。这些结果表明，鲁棒性-准确率权衡比单个论文通常传达的要大得多。对于实践者和决策者而言，在真实场景中部署模型时，鲁棒性的准确率代价直接影响业务成果，而当前出版物并未提供评估所需的普通基线。本文认为，未来的鲁棒性评估应将普通参考准确率差距作为标准组成部分报告。该工作适合机器学习工程师、安全研究人员和模型部署决策者阅读。

该研究探讨了后量子密码（PQC）集成到TLS 1.3中对手握握握手耗尽攻击和入侵检测系统（IDS）性能的安全影响。PQC虽然能抵御量子攻击，但其计算和通信开销可能加剧握手耗尽型分布式拒绝服务（DDoS）攻击的效果。研究者搭建了一个包含一台PQC-TLS服务器和十台攻击节点的实验平台，生成了超过16.5 GB的混合流量数据，包含合法浏览行为和高强度握手耗尽攻击。实验表明，PQC-TLS使服务器高CPU利用率持续时间延长高达88倍，显著放大了攻击有效性。同时，评估现有深度学习IDS在PQC流量下的检测性能，发现严重下降：exosphere模型的召回率仅约50%，HyperVision的AU-ROC降至接近随机水平（0.49），揭示了PQC环境下IDS的检测盲区。主要贡献包括：系统量化并分析PQC下IDS检测盲区的根本原因；发布包含精确攻击时间戳和服务端资源监控数据的PQC-DDoS混合流量数据集；开源所有实验代码和AWS部署脚本，支持可复现的云端测试环境。该工作旨在帮助学术界和工业界开发下一代PQC感知的入侵检测系统。

该论文首次提出针对容错量子计算机中解码系统的侧信道攻击新类型。在容错量子计算中，解码器负责处理从量子硬件实时获取的综合征数据以纠正错误。然而，论文指出这些综合征数据可能泄露正在执行的逻辑电路信息，从而构成侧信道攻击。作者引入了“门指纹”概念，即综合征数据中能指示特定逻辑运算的独特模式。通过聚焦于表面码中的Clifford+T计算，他们展示了不同逻辑操作如何在综合征数据中产生可区分的指纹。进一步，论文探讨了如何利用这些指纹推断量子计算机上运行的电路或算法。实验表明，解码系统可成为攻击向量。因此，建议解码系统应由可信方构建或加强安全防护。该研究对量子计算安全领域具有前瞻意义，适合量子安全研究人员和量子计算机架构开发者阅读。

该论文聚焦于大语言模型（LLM）从云端向边缘设备（如企业本地服务器、个人终端、物联网平台）迁移过程中面临的安全与隐私挑战。作者指出，边缘环境下有限的计算和内存资源迫使开发者采用量化、剪枝、模型分区、参数高效微调等优化技术，但这些技术可能引入新的漏洞并改变威胁格局。论文将此矛盾定义为“安全-效率悖论”——提升效率的机制可能削弱鲁棒性、暴露新攻击面或增加隐私风险。具体风险包括：压缩降低安全对齐、分区推理使重构攻击成为可能、持续本地适应导致隐私泄露和模型漂移。为系统性分析这些风险，作者提出了一种以部署为中心的漏洞分类法，围绕三大架构约束构建：内存墙（参数与缓存限制）、二次方墙（注意力机制的计算复杂度）、计算墙（硬件算力瓶颈）。基于此，论文推导出一个统一约束模型，量化何时不安全优化变得不可避免，并建立了每堵墙与特定攻击面的映射关系。进一步，作者提出了安全运营效率评分（SOES），这是一个平衡任务准确性、越狱抵抗性、隐私保护与能量、内存、延迟的综合指标，帮助从业者在真实硬件限制下配置边缘LLM。最后，论文给出了实用的决策流程和针对每种优化引入漏洞的定向缓解措施。实验部分通过案例研究展示了框架的有效性。该工作为边缘智能系统的安全、隐私与效率协同一体化设计奠定了基础。

区块链中的抢跑（front-running）是一个持续存在的安全问题。区块链本质上是执行交易（指令）的状态机，用户通过发布有价值的功能性交易来获得奖励。攻击者观察到这些交易后，在其之前发布自己的类似交易，从而抢夺奖励，削弱用户发布功能性交易的动机。解决抢跑意味着需要强制因果顺序：如果攻击者收到交易 tx_A 然后发布交易 tx_B，那么 tx_A 必须在 tx_B 之前执行。然而，这种因果关系只有攻击者自身能观察到。现有系统通常按出价金额排序交易，出价高的交易优先执行，但这只会导致出价竞争，进一步侵蚀用户奖励。许多排序方案被提出，但均未能实现因果顺序，用户仍易受抢跑攻击。本文提出 PRECEDE，一种通过消除抢跑经济激励来强制交易因果顺序的机制设计方法。PRECEDE 采用幂加权随机抽签（power-weighted randomized lottery）对交易排序，其中获胜概率随出价超线性增长。用户以威慑性出价发布交易构成一个均衡，在此均衡下攻击者放弃竞争。此外，PRECEDE 能够防御依赖抢跑的典型三明治攻击。PRECEDE 只需简单修改交易排序机制，即可直接部署在任何抗审查的区块链中。

本文针对开源软件（OSS）漏洞的安全补丁定位问题展开研究。安全补丁是防御漏洞威胁的关键，但现有方法主要依赖CVE/NVD中的辅助信息（如漏洞描述、影响版本）来缩小补丁提交的搜索范围，然而这些方法在实践中的覆盖率极低——初步研究表明，即使借助人工辅助，也只能覆盖约12%至53%的已披露OSS漏洞。为解决这一问题，论文提出了一种基于漏洞-提交相关性排序的新方法。该方法首先从漏洞报告（如CVE描述）和代码仓库中提取特征，然后通过计算漏洞描述与每个代码提交之间的语义相关性，对所有可能的提交进行排序，从而定位最可能包含安全补丁的提交。论文在多个真实世界的OSS项目上进行了实验，结果表明该方法显著优于现有匹配技术，能够有效提高补丁定位的准确率和召回率，覆盖更多未被现有方法发现的漏洞补丁。主要贡献包括：提出了一个新颖的相关性排序框架，解决了传统方法对辅助信息过度依赖的局限性；在多种开源项目上验证了方法的有效性；为安全补丁的自动化收集提供了新的思路。本文适合安全运维人员、漏洞分析师以及从事软件供应链安全的研究人员阅读。

该论文系统性地探讨了大语言模型（LLM）在虚假信息生态系统中的多重角色与影响。作者指出，LLM已将虚假信息从单纯的内容问题转变为生态系统级别的安全挑战。当被滥用时，LLM不仅能够生成虚假内容，还能攻击虚假信息防御所依赖的社会语境、证据来源、检索语料库和验证工作流。为此，论文提出了一个角色-层次框架来统一分析相关风险与防御：角色维度将LLM刻画为攻击者、防御者以及验证系统的脆弱组件；层次维度则涵盖内容、社会语境、证据环境和验证工作流。基于该框架，论文梳理了LLM使能的攻击手段，调研了基于LLM的检测与验证方法，分析了以LLM为中心的检测范式中的脆弱性，并讨论了现有的对抗LLM攻击的防御措施。最后，论文指出了三大开放挑战：从静态检测准确率转向预算约束的生态系统级风险评估、加固以LLM为中心的验证流水线以抵御对抗操纵、部署可审计的人机协同验证系统以实现可信的真实世界虚假信息防御。本文适合安全研究人员、虚假信息分析师及LLM系统开发人员阅读。

该论文提出一种轻量级的LLM指纹识别与验证方法，仅需单token输出分布即可区分不同模型。当前LLM服务常通过不透明的API聚合器、转售商或推理提供商提供，客户端无法技术验证所调用模型是否与宣称一致，且已有审计发现相当比例的商用端点与供应商参考权重存在偏差。现有识别技术需要长文本、token级对数概率、对抗性提示或模型所有者配合。本文证明远更弱的证据即可胜任：将LLM的行为指纹定义为对简单一词提示（如“在1到100之间随机说一个数字”）的答案经验分布，跨四种语言收集，每次查询仅消耗一个输出token。在大型商业聚合器OpenRouter上测量的165个模型中，发现：(i) 这些分布高度非均匀（中位细胞熵1.0比特）且模型特定：同一模型两半样本的距离比不同模型样本的距离小一个数量级；(ii) 指纹间的Jensen-Shannon散度可恢复模型谱系，将模型归入其文档家族，留一法准确率达59.5%（随机基线18.4%）；(iii) 类生物特征验证协议在使用完整40细胞电池时等错误率为7.3%，使用八个探针细胞时低于11%——每次审计约一百个单token查询。此外还报告了生态系统异常，包括一个专有品牌旗舰端点在分布上与开源Qwen模型无法区分。协议、提示、原始数据和分析代码均已发布，便于复现和操作使用。

该论文研究量子中继网络中的路由安全性问题，聚焦于对抗性共学习与可解释鲁棒性。作者将量子密钥分发（基于Ekert-91协议）中的路由选择建模为对抗性Bandit问题：Alice（合法用户）选择端到端的中继路由作为动作，Eve（攻击者）选择攻击面（包括边拦截-重发攻击或中继内存退化攻击）。收益通过缓存的SeQUeNCe模拟E91协议转录本获得，当有限样本统计量违反CHSH不等式时Alice获得一个回合胜利。在50种结构化拓扑上执行对抗性共学习，发现学习得到的保留率与全矩阵极小化参考高度相关（Pearson r=0.99）。在单表面Eve动作模型下，瓶颈链路家族保留率为零，而非瓶颈家族遵循1-1/N覆盖原则。然后，作者针对图级、攻击级和路由级拓扑语料库目标拟合决策树解释模型，并报告其忠实度。最后，为本地语言模型构建提示记录以总结决策树证据，形成量子中继网络博弈的开源解释工作流。该工作为量子网络路由的安全性评估提供了新的对抗性学习视角和可解释分析框架。

本论文针对二维码（QR码）缺乏固有安全机制的问题，提出了一套完整的安全二维码架构演化方案。QR码被广泛信任，但易受欺骗攻击（如quishing），尤其是在自助停车机等公共基础设施场景。作者首先评估了一种完全离线的概念验证方案，该方案采用EdDSA签名（基于Ed25519曲线）、CBOR编码证书和ZLIB压缩，证明在QR码严格的静态容量限制内可以实现强大的密码学完整性。然而，完全离线模型在规模化部署时存在关键撤销困难，不适用于大型智慧城市物联网部署。为此，作者进一步提出一种可扩展的混合Web PKI架构，利用标准化的JWKS端点、中央信任注册中心和URL片段，在保持与标准原生相机向后兼容的同时，为合规应用提供动态实时验证。这种双模式方法为消除QR码伪造提供了一条实用且可部署的路径。本研究适合安全架构师、二维码应用开发者以及物联网安全研究人员阅读。

本文研究了小程序（Mini-Program）中基于OAuth的身份认证（OBA）误用问题。小程序是微信等超级应用中的轻量级应用部署范例，超级应用通过OAuth机制提供用户登录功能。然而，第三方开发者在集成OAuth认证流程时的不当操作会导致严重安全漏洞。作者发现了三种新型运行时OBA误用类型，与以往基于静态代码的研究不同，这些误用可被攻击者利用进行身份冒充。为了评估实际影响，设计并实现了MINIAUTH，这是首个系统性大规模分析OBA误用的框架。MINIAUTH能够自动定位小程序的OBA登录页面，动态执行工作流并分析运行时行为，从而处理混淆的小程序并发现现有方法无法检测的漏洞。对44,273个微信小程序和2,721个百度小程序应用MINIAUTH后，发现了1,834个误用案例，包括通过暴露凭据实现客户端身份伪造、通过静态或明文标识符绕过认证等关键逻辑缺陷。跨平台评估表明，此类误用不限于单一生态系统，而是普遍存在于不同小程序平台。此外，还发现了百度OBA API中的一个加密设计缺陷，允许暴力破解会话密钥。作者已向开发者和平台负责任地披露了发现，并获得致谢以及分配的CNVD/CNNVD编号。这些结果强调了加强开发者指导和平台级安全防护的必要性。

分片是区块链扩展的关键技术，通过将网络划分为多个分片并行处理交易，同时依靠片内和跨片共识协议保证一致性。然而，本文发现分片系统存在严重的交易顺序操纵漏洞：片内共识与跨片共识协调期间，攻击者可利用“最终化公平性”（finalization fairness）缺失实施前置运行攻击（front-running attack）。即使受害者的交易已被公平的片内共识处理并上链，攻击者仍能通过操纵跨片交易的最终化顺序，改变全局执行顺序，从而获利。为应对此问题，作者提出Haechi协议——一个抗前置运行攻击的跨片共识方案。Haechi在交易处理与执行之间引入排序阶段，保证交易的执行顺序与处理顺序一致，实现最终化公平性。针对不同分片共识速度差异，Haechi内嵌最终化公平算法，以最小性能损失达成全局公平顺序，并提供强一致性，提升冲突交易处理的并行度。作者使用Tendermint实现了Haechi，并在亚马逊云地理分布式环境进行实验。结果表明，与现有跨片共识协议相比，Haechi能有效阻止前置运行攻击，且性能开销极小。该工作为分片区块链的安全性和实际部署提供了重要参考。

这篇论文研究了一种新型的深度学习模型后门注入方法。与传统的后门攻击不同，该方法不依赖于修改训练数据、观察代码执行或访问最终模型，因此被称为“盲后门攻击”。攻击者通过破坏模型训练代码中的损失值计算过程，在训练过程中动态生成带有毒化的训练样本，并利用多目标优化技术确保主任务和后门任务同时达到高精度。论文展示了多种比先前工作更强大的后门类型：在ImageNet模型上实现单像素后门（仅修改一个像素即可触发后门）、物理后门（通过物理世界中的特定图案触发）、隐蔽后门（将模型切换为侵犯隐私的隐蔽任务）以及无需推理时输入修改的后门（后门在模型内部被静态编码）。实验证明，这些盲后门能够逃避当前已知的所有防御机制。论文还提出了新的防御思路，但未给出具体防御方案。该研究揭示了深度学习供应链中训练代码本身可能成为攻击向量，对模型安全性构成严重威胁。适合机器学习安全研究人员、模型开发者和部署者阅读。

该论文首次系统性地探讨了基于深度学习的异常检测在安全应用中面临的常态漂移（normality shift）问题。传统异常检测模型通常假设训练与部署数据分布一致（闭世界假设），但真实环境中正常行为分布会随时间变化（如网络流量模式、系统调用序列等），导致模型性能下降。现有研究多关注异常行为或监督学习的概念漂移，而忽略了无正样本（zero-positive）异常检测中常态漂移的挑战。论文提出了 OWAD（Open World Anomaly Detection）框架，该框架通过无监督方式检测常态漂移，无需人工标注；解释漂移原因，帮助运维人员理解变化；并自适应调整模型以恢复检测性能。OWAD 在分布级别（而非实例级别）处理漂移，降低了标注开销。作者在三个安全相关异常检测应用（如 SCADA 系统入侵检测）上使用长期真实数据进行实验，结果表明 OWAD 在适应常态漂移方面优于现有方法，且所需标注更少。论文还提供了案例研究和实际部署建议，并已在 SCADA 安全系统中初步部署。该工作为安全运维中应对数据分布变化提供了实用框架。

第六代（6G）通信网络预计将演变为AI原生、高度自治的生态系统，融合通信、计算、感知和人工智能。尽管这些能力能实现前所未有的连接和智能服务，但它们也创造了高度异构的安全和隐私格局，无法通过孤立的、特定技术的解决方案来解决。本文对AI原生6G网络中的安全和隐私问题进行了全面的跨层综述。首先，本文审视了现有安全和隐私方法在新兴技术、网络架构、AI系统和标准化工作中的碎片化现状，从而论证了对统一安全和隐私框架的需求。基于该框架，本文开发了一个跨层威胁分类法，涵盖基础设施、网络与架构、AI、隐私以及安全管理等领域，并分析了关键AI原生6G技术中的代表性威胁。此外，本文将威胁映射到相应的跨层对策，包括将标准协调作为一种安全功能，并识别了关键研究差距和未来优先事项，以实现安全、可互操作和可信的AI原生6G生态系统。最后，本文讨论了实现安全、隐私保护、弹性和全球互操作的6G网络的未来研究方向。该综述为研究人员、从业人员和标准化社区提供了设计、评估和部署可信AI原生6G系统的整体基础。

该论文提出了一种基于语料库驱动的以太坊智能合约反编译方法，名为Code HarvETHter。反编译是以太坊安全分析的关键步骤，因为智能合约通常以字节码形式部署，难以直接分析。现有的反编译工具往往依赖于静态规则或模式匹配，存在精度低、可移植性差等问题。本文的创新点在于利用大规模智能合约字节码语料库来训练或指导反编译过程，从而自动学习字节码与高级语言结构之间的映射关系。该方法首先从公开的区块链数据集中收集大量已验证的智能合约字节码及其对应的源代码（如有），构建配对语料库。然后，设计了一种基于序列到序列学习的神经网络模型（或类似方法），将字节码序列映射为伪源代码。此外，论文还探讨了如何利用控制流和数据流分析来增强反编译结果的语义正确性，例如识别函数边界、变量类型和数据结构。通过在一个包含2000多个真实以太坊智能合约的数据集上进行实验，与现有工具（如Porosity、Vandal、Rattle）相比，Code HarvETHter在函数识别准确率、类型恢复和反编译代码的可读性方面均有显著提升。该研究对于智能合约安全审计、漏洞检测以及恶意合约分析具有潜在价值。

该论文提出了一种针对视觉语言模型（VLM）的新型后门攻击框架ReShift，其核心创新在于实现推理层面的后门注入，而非传统的输出层操纵。现有后门攻击方法往往在推理链中留下不一致或可检测的痕迹，容易被现有防御机制发现。ReShift通过“顿悟时刻”（aha-moment）驱动的方式，在模型内部思维链（CoT）过程中引导推理轨迹发生偏移，同时保持表面上的逻辑连贯性。框架包含两个关键组件：毒化推理感知数据构建（PRDC）管道，用于生成带有触发条件且推理过程异常的样本；以及监督-强化联合优化（SRJO）策略，用于稳定地诱导触发条件下的推理偏移。论文进一步形式化了“熵反弹”（Entropy Rebound）作为推理重定向的特征信号，并给出一系列理论保证，说明熵缺口与轨迹级差异之间的关系。实验表明，ReShift能够在保持干净任务性能和生成合理推理轨迹的前提下实现高攻击成功率，显著提升对抗现有防御的隐蔽性。该研究揭示了VLM在推理层面存在的安全脆弱性，对构建可信赖的多模态AI系统提出了新挑战。适合AI安全研究员、模型开发人员和防御团队阅读。

该论文提出了一种名为双重嵌入水印（DEW）的语义水印方案，用于保护大型语言模型（LLM）生成的文本。DEW的核心创新在于同时利用上下文嵌入和词元级嵌入来增强水印对释义和翻译攻击的鲁棒性。方法采用信号处理框架，通过对词元和上下文的嵌入向量进行代数向量空间操作来嵌入水印信号，使得水印在语义变化时能够优雅地降级而非失效。为了隐藏水印，作者使用由密钥生成的伪随机矩阵对嵌入向量进行投影，从而混淆水印的存在。检测阶段则通过对相关代数分布进行统计检验来实现。实验在多个LLM上进行，结果表明DEW在释义后仍能保持较高的检测率，同时生成文本质量与未加水印的文本相当；即使经过翻译，DEW的可检测性也显著优于之前的语义水印方案。该工作为LLM生成文本的溯源和负责任AI部署提供了一种实用且鲁棒的解决方案。

本文是CPSIoTSec'23 Workshop的导言，该研讨会旨在聚焦网络-物理系统（CPS）与物联网（IoT）安全与隐私领域的最新研究进展。CPS和IoT系统广泛应用于智能家居、工业控制、医疗设备等关键领域，其安全漏洞可能导致物理损坏、数据泄露甚至人身安全威胁。研讨会收录了多篇同行评议论文，涵盖威胁建模、入侵检测、安全协议设计、隐私保护技术等方向。通过汇聚学术界与工业界的研究人员，本工作坊促进了跨学科合作，并指出了当前防御策略的不足，特别是针对资源受限设备的轻量级安全方案、实时性要求下的安全-性能权衡等挑战。会议重点强调了从设计阶段融入安全考虑的必要性，并呼吁开发可扩展的自动化工具以应对日益增长的互联设备数量。本文为读者提供了该研讨会所涵盖的核心议题概览，适合对CPS/IoT安全感兴趣的研究者和从业者阅读。

联邦学习（FL）极易受到隐蔽后门攻击的影响，攻击者通过植入特定触发器，迫使模型对包含该触发器的输入预测攻击者指定的目标类别。然而，现有的统计防御方法主要关注模型收敛的早期阶段。本文发现了一个根本性漏洞，称为“后期失败”（Late-stage Failure）。我们证明，随着全局模型收敛，梯度范数衰减导致恶意更新和良性更新在形态上难以区分。这种消失的统计方差实际上使传统防御方法失效，使自适应攻击者能够保持休眠状态，随后劫持训练过程。为了克服这些限制，我们提出了Secure-CHG，一个混合框架，将防御范式从表面的形态检测转向内在的语义贡献验证。Secure-CHG采用自适应防御管道：在早期振荡阶段，级联统计滤波器稳定优化过程；而在后期收敛阶段，新型CHG-Shapley机制接管。通过利用样本难度（即局部训练损失）将更新投影到复合硬度-梯度空间，有效放大了对抗性语义痕迹，即使梯度范数消失也能隔离隐蔽攻击者。此外，我们推导了CHG-Shapley的闭式解，实现了低复杂度、无需重新训练的节点估值和信任调制聚合。在CIFAR-10、MedMNIST和NEU-SDDB上的广泛评估表明，Secure-CHG有效缓解了后期失败问题。具体而言，相对于主流Krum和Trimmed Mean基线，它将高级后门攻击的成功率分别降低了2.3倍和2.0倍。

随着物联网（IoT）的快速发展，攻击面不断扩大，针对智能对象及其交互的新兴威胁日益增多。确保服务提供的安全性对于IoT生态系统的正常运行、安全性和可靠性至关重要。服务提供涵盖设备注册、配置、认证、授权和软件部署等关键任务。本文提出一个综合框架，旨在选择最合适的智能对象来交付目标服务，同时在服务提供阶段监控相关实体的行为。该方法采用深度强化学习（DRL），使智能代理通过与复杂动态环境的交互，学习在遵守预定义安全约束的同时适应变化。对于行为监控，利用联邦学习（FL）开发全局行为指纹（BF）模型，该模型完全分布式，可分析IoT设备在网络中的交互方式。此外，BF用于计算每个服务提供商的可靠性评分，反映其遵守安全约束的程度。该评分被纳入服务提供过程，使智能对象不仅能根据功能适用性，还能根据可靠性水平选择提供商。广泛的实验评估表明，该解决方案即使在资源受限的IoT设备上也能有效部署，成为现代IoT生态系统中可行且可扩展的安全增强机制。

该论文介绍了第1届ACM安全与可信超级应用研讨会（SaTS'23）的背景和主要内容。随着超级应用（如微信、支付宝等）的普及，它们整合了多种功能（支付、社交、出行等），成为用户日常生活的核心平台。然而，这种集成也引入了新的安全威胁和信任挑战，例如应用内部的数据隔离、权限管理、第三方小程序安全、用户隐私保护以及供应链攻击等。研讨会旨在汇集学术界和工业界的研究人员，共同探讨超级应用面临的安全与信任问题，并推动相关解决方案的发展。论文概述了研讨会的主题范围，包括但不限于超级应用架构安全、运行时安全、加密协议、访问控制、隐私增强技术以及形式化验证方法。通过这一平台，组织者期望促进跨学科合作，为超级应用的安全生态系统奠定基础。该论文属于研究类别，提供了对该新兴领域的全景式介绍。

该论文提出并实现了一种基于孟加拉语的文本验证码（CAPTCHA）机制，旨在解决传统英语验证码对非英语母语用户存在的可用性问题。这是首个针对孟加拉语用户的文本验证码方案。作者设计了6种变体，并通过6000个挑战（每种变体约1000个）进行自动化OCR攻击测试，平均字符识别率仅为0-20%，表明其具有较强的安全性。同时，通过110名参与者的用户可用性评估，6种变体的成功率为56.25%至90.29%，平均响应时间为6.69至9.9秒，在文本验证码基准中表现突出。论文详细阐述了设计原理、实现细节以及实验结果，证明了该方案在安全性和可用性之间的良好平衡。研究为区域语言用户提供了更友好的安全防护手段，并为未来多语言验证码设计提供了参考。

5G网络中的基站广播未经认证的系统信息（SI），所有用户设备（UE）在小区选择时都会读取这些信息。这使攻击者能够通过虚假基站（FBS）广播伪造的SI，诱骗UE驻留其小区。现有方法要求UE使用数字签名来认证系统信息块1（SIB1），但每次接收SIB1都需要进行计算密集的签名验证，给资源受限的UE带来沉重负担。本文提出TESLA-for-5G（TF5），一种针对5G SIB1的广播认证协议，结合了TESLA（时间高效流丢失容忍认证）与GG09 Schnorr类身份基签名（IBS）。在稳定状态下，TF5使UE能够使用对称MAC和延迟密钥披露来认证每个SIB1消息，无需对每条消息进行数字签名。初始信任通过在小区接入时使用轻量级GG09 IBS对TESLA参数进行引导，避免了证书分发的开销。作者在Tamarin形式化验证工具中，在Dolev-Yao敌手模型下对TF5进行了正式验证，并通过在OpenAirInterface 5G协议栈上的实现以及基于跟踪驱动的分析，证明了其在计算、通信和存储成本方面的优势。

该论文提出了CyberChainBench，一个用于评估基于大型语言模型（LLM）的智能合约安全代理的基准测试。基准测试涵盖三个互补任务：漏洞检测、利用生成和补丁合成。它基于来自DeFiHackLabs的541个真实世界利用事件构建，跨越9个EVM兼容链。每个案例锚定到特定区块，包含结构化真实数据（漏洞类型、定位、攻击者利润）。代理通过Harbor编排的隔离评估环境与历史区块链状态交互，使用工具读取代码、追踪交易并在主网分叉上验证利用。利用按历史分叉上的经济影响分级；补丁通过在可代理升级的子集上重放历史攻击和合法交易作为失败测试预言机进行验证。论文定义了五类漏洞分类法，并评估了多种代理-模型配置。结果显示明显难度梯度：最佳配置在检测上得分37.5%，利用上43.7%，但补丁上仅23.4%。顶级代理（Codex with GPT-5.5）在200个利用案例中实现总计5740万美元的利用利润，每个案例成本2.39美元。该基准为智能合约安全研究提供了标准化评估平台，揭示了当前LLM代理在自动化安全任务中的能力与局限。适合安全研究员、智能合约开发者和AI安全交叉领域从业者阅读。

这篇论文系统研究了输入维度（input dimensionality）在深度神经网络对抗样本产生和定向控制中的作用。作者首先分析了现有基于测度集中（concentration of measure）的理论框架的适用范围与局限性，发现真实图像类别表现出强烈的经验局部化（empirical localization），超出了这些理论的典型假设。随后，他们利用涵盖不同输入维度范围的层级图像数据集和多种神经网络架构进行了大规模实证评估。结果表明，随着输入维度的增加，构造对抗样本（包括无目标和有目标攻击）变得更加容易。针对有目标攻击的额外难度，作者通过理论论证指出，高维几何特性使得强制攻击者指定特定目标标签所需的额外扰动相对于无目标攻击非常有限，并且这一差距随着维度升高而进一步缩小。实验也证实了这一点。总体而言，这项研究确立了高输入维度是对抗样本出现及其定向控制的一个基本因素，但该现象究竟源于高维几何与数据分布的相互作用，还是深度神经网络架构本身的特性，仍有待进一步探索。本文对理解对抗攻击的机理和设计更鲁棒的模型具有重要参考价值。

该论文针对持久内存（Persistent Memory）这一新兴内存范式中的信息流安全（information flow security）问题展开研究。持久内存能够提升运行时效率并支持程序在断电或系统崩溃后恢复，但现有研究多聚焦于功能正确性验证，而信息流安全这一正交概念尚未得到充分探索。论文提出了一种面向无结构语言（即使用goto而非循环）的信息流逻辑，该语言模拟了简单的汇编语言。作者将该逻辑应用于x86汇编，并引入“重排序干扰自由（reordering interference freedom, rif）”的概念，以推理指令在乱序传播到内存时的潜在信息泄露。进一步地，论文展示了相同的rif概念可以用于推理持久内存上的信息流安全。实验部分（如有）未在摘要中详细说明，但该工作为持久内存系统的安全分析提供了理论基础。适合对持久内存、信息流安全、形式化方法感兴趣的研究人员阅读。

本文提出了HelpBench，一个用于评估大型语言模型（LLM）在数字隐私、安全和安全建议方面提供准确帮助能力的基准测试。研究团队从真实用户场景中精选了450个问题，涵盖账户恢复、双因素认证权衡、可疑邮件识别、设备追踪等典型情境。针对每个问题，他们制定了评分标准，用以评估回答的事实准确性和语气恰当性。随后开发并应用自动评分器（auto-rater），对18个最先进的LLM进行了评估。结果显示，模型平均得分82%，但约十分之一的回答得分低于65%，反映了不准确甚至有害的建议。这些失败案例凸显了LLM在作为数字隐私、安全和安全可信赖助手方面的关键缺陷，需要进一步改进。该基准测试为评估和提升LLM在安全咨询领域的可靠性提供了重要工具。

该论文针对GNSS授时接收机在欺骗攻击下的安全性问题展开研究。传统的RAIM（接收机自主完好性监测）依赖于标称几何故障假设，但在欺骗攻击下，攻击者可以缓慢且共模地拉偏接收机时钟，而接收机自身的时钟精度标志可能无法揭示这种偏移。论文做出三项渐进的贡献：第一，通过实际现场测量，作者利用公开的JammerTest 2024活动中的空中欺骗信号，结合原始L1伪距和广播星历解算接收机时钟轨迹，发现一块u-blox ZED-F9P接收机被拉偏了约1.01毫秒的服务时间，而同时接收机报告的误差最大仅为51纳秒，两者相差近20000倍。第二，从理论上证明了一个不可能性：当攻击者可以自由选择爬升速率时，在单一的自参考时钟辅助监视器（即依赖自身时钟作为参考的监测手段）下，不存在有限的无条件未检测时间误差界限。这是因为如果爬升速率足够慢，使受控参考时钟保持同步，则误差会无限增长而从不触发警报，因此任何有限保证都是有条件的。第三，提出条件性界限——时序保护级别（Timing Protection Level, TPL）。TPL由一个模型无关监视器的静态可检测性下限加上振荡器在检测延迟期间的自由漂移组成，其有效性依赖于独立于卫星间一致性检查的检测机制（即相干欺骗者无法同步驱动该检查）。每个项都有闭合形式，并已在开源的Kshana仿真器中验证，因此整个和可以手工复现。针对实测攻击进行校准后，在1秒恢复时间内预算为114纳秒，在60秒漂移情况下为458纳秒，远低于实际接受的1.01毫秒；而单独的时钟辅助序贯测试在缓慢爬升场景下几乎不提供保护（仅在接近~1毫秒捕获时报警），而模型无关监视器在爬升过程中就会报警。作者明确指出，该界限是校准结果而非现场验证，不承担完好性风险预算，并在长漂移时报告为一个区间。仿真器、界限公式和校准示例均在AGPL-3.0下开源。本论文适合GNSS安全研究人员、授时系统设计者以及关注物理层欺骗防御的网络安全从业者阅读。

本文针对Go Ethereum（Geth）实现的snap sync协议提出了多种实际攻击方法。Snap sync是一种用于快速同步以太坊节点的协议，通过并行下载状态数据来加速同步过程。作者首先分析了snap sync协议的设计细节，发现其缺乏对节点间通信的充分认证和速率限制，使得攻击者能够利用少量恶意节点干扰正常节点的同步。具体攻击包括：1）延迟攻击：攻击者通过伪造响应或延迟发送数据包，延长节点完成同步的时间；2）带宽浪费攻击：攻击者向目标节点发送大量无用数据，消耗其网络带宽；3）资源耗尽攻击：通过请求大量不必要的数据，使节点CPU和内存过载。作者在真实网络环境中进行了实验，证明了这些攻击的有效性，并量化了影响：同步时间可以增加数倍，网络带宽消耗可达正常情况的10倍以上。论文还讨论了可能的缓解措施，如引入通信认证、速率限制和信誉系统。该研究对于以太坊客户端开发者、网络安全研究员以及所有依赖以太坊网络的参与者具有重要参考价值。

该论文提出了一种用于云GPU租户对物理加速器进行软件认证的原始方法。当前云GPU租户只能获得模型名称和区域，无法直接检查运行其任务的物理加速器。作者利用CUDA探针测量SM（流多处理器）与内存区域之间的延迟矩阵，通过物理SM标签和依赖的全局加载实现。一个流式归约器将足够的统计信息、配置、代码哈希、网络证据以及压缩的原始数据归档提交到证书中，验证者无需GPU即可检查该证书。该证书支持三个主张：第一，每个SM的延迟图是稳定的物理指纹。在RTX 5090满载运行六小时的情况下，其中位时间抖动为0.09个周期，而仅形状的留一法分类以100.0%的准确率区分不同的Blackwell芯片。第二，绕过缓存的HBM扫描能够恢复跨代的硬件级拓扑，包括统一的Volta V100内存域、两路Hopper H200 L2拆分以及Blackwell B200双芯片NV-HBI封装，其74/74 SM分区存在30个周期（15.5纳秒）的跨芯片惩罚。第三，公共网络地标将同一证书绑定到粗略位置。在B200运行中，169个RIPE Atlas探测器将服务器定位于其声称的数据中心44公里范围内，并拒绝了所有11个诱饵站点。总之，这些测量无需特权访问或供应商密钥即可检查云GPU的身份、类别和粗略位置。该方法适用于安全分析师、云租户以及对硬件信任根有需求的场景。

本文针对 WhatsApp 的握手协议（Prekey 机制）进行了安全与隐私分析。研究背景是端到端加密通信中密钥协商的安全重要性。论文核心问题包括：Prekey 交换是否存在信息泄露、是否可被中间人攻击利用、以及隐私保护是否充分。方法上，作者对 WhatsApp 实际部署的握手流程进行了逆向工程和形式化建模，结合密码学分析工具评估其安全属性。主要贡献包括：发现了 Prekey 签名验证中的遗留问题、揭示了服务器侧 Prekey 管理可能导致的用户身份绑定弱点，并提出了改进方案。实验在模拟环境中验证了攻击场景，证明这些漏洞可被远程利用。该研究适合密码学和安全协议研究人员、即时通讯开发者和隐私倡导者阅读。

论文《Building Embedded Systems Like It's 1996》探讨了现代嵌入式系统设计中沿用上世纪90年代过时实践所带来的安全风险。研究通过分析多个嵌入式固件和硬件平台，发现了因缺乏内存保护、使用不安全编程语言、未考虑攻击面等历史遗留问题导致的通用漏洞模式。作者提出了一种自动化审计框架，能够识别此类“年代性”脆弱设计，并在真实设备上验证了其有效性。实验表明，超过60%的测试设备存在至少一个可被利用的1996式漏洞，包括缓冲区溢出、未校验的输入和缺乏认证的接口。论文呼吁业界更新开发规范，并提供了迁移建议。由于仅基于标题和作者信息生成摘要，实际细节可能有所偏差。

该论文聚焦于训练数据集的版权保护问题。现有防御机制主要针对单个数据点的追踪，但忽略了数据集再生（dataset regeneration）的威胁，即攻击者可能通过对原始数据集进行变换或部分采样来生成新的数据集，从而规避授权。作者通过测量公开肿瘤数据集，发现确实存在大规模的局部数据集复制现象，这可能导致许可证违规。为了检测未知的对抗性再生，作者提出关键洞察：任何保持模型效用的再生操作都不可避免地会在多个特征尺度上保留可测量的信号。他们将数据集特征分为样本级、集合级和分布级，并设计了四种相似度指标来准确识别再生。基于这些指标，他们开发了DIPBox——据称是首个通过多尺度相似性测试来追踪再生嫌疑数据集的测试框架，该框架支持从有限信息到完全信息的多种防御者访问设置。此外，论文提供了学习理论分析，证明多尺度指标的合理性，并形式化了效用与散度之间的固有权衡，暗示规避再生存在根本局限。在16个视觉和文本基础数据集、320个再生数据集和590个派生模型上的广泛实验表明，DIPBox优于先前方案，并在三种自适应攻击下表征了其鲁棒性和局限性。

蓝牙低功耗（BLE）已成为现代物联网设备的核心通信标准，但其协议设计的复杂性导致了许多逻辑缺陷，例如字段解析语义歧义或无效状态转换，可能被利用实现认证绕过、未授权控制或拒绝服务（DoS）攻击。现有黑盒模糊测试工具通常基于随机变异或简单语法，无法深入触及协议语义层面的不一致性。为此，本文提出BSFuzzer——一种基于上下文感知语义的BLE逻辑缺陷模糊测试框架。BSFuzzer创新地利用大语言模型（LLM）智能体从蓝牙核心规范文本和图中自动提取状态机与数据包语义，生成两种变异类型：违反协议规则的字段级变异和破坏关键状态转换的状态级变异。这些变异被组合为结构化测试序列并在目标设备上执行。LLM智能体进一步用于验证设备响应是否符合预期行为，从而发现传统工具难以捕获的细微逻辑缺陷。实验在19个真实BLE设备（包括9个系统级芯片（SoC）模块和10部智能手机）上进行，共发现36个安全问题，其中34个为先前未知漏洞，9个已分配CVE编号。两个关键漏洞被主流厂商通过漏洞赏金计划确认。结果表明，BSFuzzer在基于LLM的规范分析（准确率高达97%）和响应验证（准确率高达85.8%）方面表现优异，相比四种最先进的BLE漏洞检测工具，代码覆盖率提升9.34%，并暴露了更广泛类型的漏洞，证明其在揭示BLE协议实现深度解释不一致性方面的有效性。

本研究首次系统性地分析了用户向大型语言模型（LLM）提出的数字安全与隐私（S&P）问题以及LLM的响应质量。研究基于WildChat数据集（包含320万条用户-LLM对话），从中识别出14,727条S&P提示，并将其分为九个类别，涵盖账户安全、恶意软件防护、密码管理、隐私设置等主题。进一步，从这些S&P提示中抽样450条进行主题分析，以刻画用户实际咨询的S&P问题类型。此外，还专门筛选出270条寻求建议的S&P提示，用于评估LLM的响应质量和一致性。通过将每条提示重复提交给LLM十次，研究发现：商业模型（如GPT-5.5）在98%的提示上提供了“足够好”的响应，而开源模型（如Llama 4）仅在47%的提示上达到同等质量。然而，即使在高质量响应的提示中，商业模型有时在不同运行中生成矛盾的回答，可能混淆或误导用户。该研究填补了现有文献的空白——以往研究多依赖专家撰写的S&P误解或常见问题，而非真实用户查询。本文主要贡献包括：提供用户S&P查询的实证分类、评估LLM在S&P领域的响应质量与一致性，并揭示商业模型的潜在风险。适合LLM安全研究者、隐私工程师及对话系统设计者阅读。

该论文针对检索增强生成（RAG）系统提出了一种新的模型中心攻击框架CAREATTACK，旨在通过编辑检索器模型而非操控语料库来注入恶意知识。RAG系统通常依赖外部知识库，现有攻击多通过构造恶意文本操纵语料库，但此类合成文本易被检测。CAREATTACK则直接攻击开源的密集检索模型，分为两个阶段：冲突感知检索器编辑和攻击保持锚点修复。第一阶段利用高效的闭式参数编辑技术，将恶意知识注入检索器，使其在检索时优先返回恶意文档，并通过基于图的冲突检测和参数编辑投影解决参数冲突，确保良性知识不受过度影响。第二阶段进行轻量级校准，消除对非目标提示的副作用，同时保持对目标提示的攻击有效性。论文在Qwen3-Embedding-0.6B和BGE-M3两个检索模型上，使用三个基准数据集进行实验，结果表明该方法能显著提升恶意文档在检索结果中的排名，并支持批量目标提示和文档的攻击。由于许多RAG系统基于开源检索模型构建，该工作揭示了实际攻击面，代码已公开。

本文提出 obliv-clang，一个面向 C++ 的编译期检查工具，旨在帮助开发者编写 oblivious（无感知）程序，以防止通过执行时间和数据访问模式泄露秘密的侧信道攻击。传统的侧信道防御通常需要程序员手动改写代码或依赖硬件机制，但 oblivious 编程通过编译时保证程序的控制流和内存访问模式不依赖秘密数据，从而消除侧信道泄露。然而现有工具往往只支持简单的语言子集，难以应用于实际 C++ 代码库。obliv-clang 的目标是支持 C++ 的全部语言特性，特别是任意嵌套指针等复杂概念，从而能无缝地与现有工业级代码集成，并在最小编译开销下生成高性能二进制文件。作者在工具中设计了一组规则，并形式化证明了这些规则在复杂 C++ 特性下的正确性。为了展示表达能力，他们实现了若干非平凡的 oblivious 算法作为案例研究，并表明使用 obliv-clang 编译的程序在性能上优于之前的解决方案。读者可从中了解 oblivious 编程的基本原理、编译时检查的技术途径以及 C++ 语言下复杂指针处理的挑战与解决思路。

该论文聚焦于3D打印中G代码（一种用于控制3D打印机的标准指令集）的安全隐患。随着3D打印技术在制造业、医疗和航空航天等领域的普及，G代码的安全性变得至关重要。恶意攻击者可能通过篡改G代码文件或注入恶意指令，导致打印出的物体结构强度不足、尺寸偏差，甚至引发打印机硬件损坏。论文提出了一种系统性的安全分析框架，通过静态分析和动态模拟相结合的方法，检测G代码中的异常模式，例如非预期的温度变化、速度突变或材料挤出异常。作者实现了一个原型工具，并在多种3D打印机和真实G代码数据集上进行评估。实验结果表明，该工具能够有效识别已知的攻击模式（如层高篡改、支撑结构移除），同时误报率较低。此外，论文还讨论了当前3D打印流程中的安全缺口，如缺乏数字签名验证、切片软件易受攻击等，并给出了防御建议，包括引入G代码完整性校验和运行时监控。该研究为3D打印供应链安全提供了重要参考，适合工业安全研究员、制造商以及安全架构师阅读。

联邦学习作为一种分布式机器学习范式，允许多个客户端在不共享原始数据的情况下协作训练全局模型。然而，拜占庭鲁棒性问题是其面临的主要安全挑战之一：当存在一定数量的恶意客户端时，它们可以通过精心构造的本地模型更新来破坏全局模型的质量。现有的拜占庭鲁棒联邦学习方法通常依赖服务提供商对客户端更新进行统计分析，如修剪异常值或计算中位数，但恶意客户端仍能通过构造与正常更新方向相似但幅度极大的更新来绕过检测，因为这些方法缺乏一个可信任的基准。 本文提出 FLTrust，一种新的拜占庭鲁棒联邦学习方法，其核心思想是让服务提供商自身引导信任。具体而言，服务提供商预先收集一个干净的、小规模的训练数据集（称为根数据集），并基于此维护一个服务器模型。在每个通信轮次中，服务提供商首先计算服务器模型更新（即基于根数据集计算的梯度更新），然后为每个客户端本地模型更新分配一个信任分数：如果客户端更新的方向与服务器模型更新的方向偏离越大，则信任分数越低。接着，服务提供商对客户端更新进行幅度归一化，使其与服务器模型更新位于同一超球面上，从而限制恶意客户端通过大幅度更新造成的影响。最后，服务提供商以信任分数为权重，计算归一化后客户端更新的加权平均值作为全局模型更新，并更新全局模型。 FLTrust 不依赖对客户端数量的假设，且不要求客户端数据独立同分布。实验在六个不同领域的数据集上进行，包括图像分类、文本分类等，结果表明 FLTrust 能够有效防御现有的多种攻击（如模型替换攻击、后门攻击）以及针对性的强自适应攻击。该方法的主要贡献在于引入了基于服务提供商自身数据的信任引导机制，为联邦学习提供了新的安全基线。

该论文提出了一种针对 Widevine DRM（数字版权管理）系统的实用重放攻击，命名为 Narrowbeer。Widevine 被广泛用于流媒体服务（如 Netflix、Amazon Prime Video）中，保护视频内容免受未授权访问。研究表明，攻击者可以通过捕获和重放合法的授权响应，绕过 DRM 保护，从而在没有有效订阅的情况下访问受保护的内容。论文详细分析了 Widevine 协议中的安全漏洞，特别是其授权流程中缺乏足够的随机性或时间戳验证，使得重放攻击成为可能。作者开发了一个原型工具，在实际环境中验证了攻击的有效性，并讨论了可能的防御措施，如引入一次性令牌或增强服务器的状态检查。该研究揭示了当前 DRM 实现中一个被忽视的攻击面，对流媒体内容安全具有重要警示意义。

该论文聚焦于物联网（IoT）和网络物理系统（CPS）中持续学习（CL）环境下的后门攻击安全问题。随着IoT/CPS系统需要不断适应环境变化、设备异构性和概念漂移，持续学习被广泛用于提升系统效用。然而，持续学习的增量更新、回放缓冲区和表示重用等机制也为攻击者提供了植入持久后门的机会。攻击者可以设计恶意输入，使得模型在正常操作中表现正常，但遇到特定触发器时激活恶意行为。论文首先形式化了IoT/CPS环境下的威胁模型，分析了持续学习过程中后门攻击为何能持久存在：增量更新使得后门逐渐融入模型参数，回放缓冲区可能保留后门样本，表示重用则促使后门泛化到不同任务。然后，作者提出了一种针对持续学习的后门攻击方法，并在不同条件下评估了攻击的有效性和持久性。实验结果表明，即使在持续学习多个任务后，后门仍然能够保持高触发成功率，而模型在主流任务上的性能几乎不受影响。论文最后讨论了在工业IoT（IIoT）环境中保障持续学习安全面临的开放挑战，强调了加强安全控制的必要性。该研究揭示了持续学习在IoT/CPS中部署时的新安全风险，为后续防御研究提供了方向。适合对IoT/CPS安全、后门攻击和持续学习感兴趣的读者阅读。

该论文提出了一种名为 DriveFuzz 的模糊测试工具，旨在自动发现自动驾驶系统（ADS）中的安全缺陷。自动驾驶系统通常依赖深度神经网络处理传感器数据并做出驾驶决策，但这类系统可能因异常输入（如传感器噪声、不规则路况）而表现出不安全行为。然而，传统的模糊测试方法难以有效应用于复杂的 ADS 环境，因为它们需要模拟真实的物理世界交互。DriveFuzz 的关键创新在于引入了一种“驾驶质量引导”的模糊测试策略：它基于车辆控制信号的平滑性、碰撞风险等指标来量化每次测试输入的“驾驶质量”，并利用该指标指导变异算子生成更可能触发不安全行为的测试场景。具体而言，DriveFuzz 通过将原始传感器数据（如激光雷达点云、摄像头图像）作为输入，并利用一个反馈循环，选择那些导致驾驶质量下降的变异输入进行后续探索。论文在工业级自动驾驶模拟器（如 CARLA、LGSVL）上进行了评估，结果表明 DriveFuzz 能够有效发现多种类型的 bug，包括车辆偏离车道、碰撞障碍物、无视交通标志等，且发现的 bug 数量显著优于现有基线方法。该工作发表于 ACM CCS 2022，附录包含更多实验细节。

该论文通过实地调查和半结构化访谈，深入研究了肯尼亚网吧（cybercafe）中用户和工作人员面临的安全与隐私挑战。研究在肯尼亚的两个城市（内罗毕和基苏木）进行，共调查了200名用户和26名网吧工作人员。主要发现包括：（1）高达80%的用户在创建或输入密码时依赖工作人员代为操作，工作人员因此掌握了大量用户的账户凭证；（2）网吧工作人员经常将用户凭证存储在不安全的电子表格或纸质记录中，甚至通过WhatsApp等聊天工具共享，存在严重的泄露风险；（3）用户普遍缺乏基本的安全意识，例如不验证网站HTTPS证书、不知道公共计算机的键盘记录风险；（4）网吧缺乏正式的安全策略，工作人员也未经培训；（5）用户出于成本、设备可及性等原因被迫使用网吧，缺乏替代选择。论文揭示了资源受限环境下安全设计与实际使用之间的巨大鸿沟，并提出了针对性的设计建议，例如构建无密码身份验证方案、提供临时会话机制等。该研究对于理解发展中国家数字鸿沟中的安全隐私问题具有重要价值。

本文提出了一种名为LPOR（分层准备金证明）的框架，旨在解决当前中心化加密货币交易所准备金证明（PoR）系统在可用性和公开可审计性方面的不足。现有的PoR方法（如基于Merkle树的证明和零知识PoR系统）虽然能验证交易所链上资产是否足以覆盖用户负债，但普通用户在实际中难以验证，导致参与度低和透明度不足。LPOR将验证过程分为两层：轻量级的用户侧检查和审计员级别的密码学验证。非技术用户只需进行简单的包含性验证，并能公开重新计算总负债，从而降低了验证门槛。该方法显著提高了用户参与度，并大幅提升了检测遗漏负债的概率。论文在数百万用户规模下评估了其可扩展性和遗漏可检测性。核心贡献在于提出了一个兼顾安全性与可用性的分层验证框架，使得准备金证明更易于被普通用户和公众审计者采用。

随着大语言模型（LLM）的广泛部署，通过越狱攻击识别其脆弱性变得至关重要。基于优化的攻击（如Greedy Coordinate Gradient, GCG）通常将对抗性token插入到提示的末尾，但固定插入点可能不是最有效的。本文实证研究了提示中可插入token的候选位置（称为“槽位”），发现越狱的脆弱性与槽位选择高度相关。基于此，作者提出脆弱槽位评分（Vulnerable Slot Score, VSS）来量化位置脆弱性，并设计SlotGCG方法：先用VSS评估所有槽位，选出最脆弱的槽位进行插入，然后在这些槽位上运行针对性优化攻击。该方法是一种攻击无关的位置搜索机制，可插拔到任何基于优化的攻击中，仅增加200毫秒预处理时间。在多个模型上的实验表明，SlotGCG显著优于现有方法：与GCG相比，攻击成功率（ASR）提升14%，收敛更快，且对防御方法的鲁棒性更强（ASR比基线高42%）。实现已开源。该研究揭示了LLM在输入位置上的安全盲区，为防御者提供了新的视角。

比特币的区块奖励计划逐步减半并最终归零，这引发了对其网络长期安全性的担忧：当矿工收入完全依赖交易手续费时，是否还能维持诚实挖矿的稳定性。本文基于序贯决策模型，分析了诚实矿工与偏离（如自私挖矿、空块攻击等）矿工的收益，推导出一个偏离阈值G_t，当实际条件低于该阈值时，诚实挖矿不再是矿工的私有最优策略。文章以2024年比特币减半事件为时间节点，利用实际链上数据验证了当前挖矿行为尚未出现大规模或结构性偏离，表明现阶段安全性尚可。然而，当区块奖励彻底消失后，即使交易费占比极低（如低于1%），G_t准则显示偏离可能成为理性选择。进一步，作者评估了三种协议级机制：基础费用（Base Fee）、费用下限（Fee Floor）和自适应最大区块大小规则，发现三者组合使用能显著提高偏离阈值，从而缓解纯费用机制下的激励崩溃问题。这些结论为评估比特币后区块奖励时代的安全性提供了量化基准，并对其他采用类似挖矿奖励机制的区块链（如莱特币、门罗币）具有参考价值。本文适合区块链协议研究者、加密货币经济学家以及安全工程师阅读，以预判未来网络攻击面并设计防御机制。

本文针对基于可信执行环境（TEE）的联邦学习聚合协议中的安全漏洞进行了研究。作者首先分析了现有协议，发现服务器端攻击者可以利用TEE的局限性，即状态回滚和I/O操纵，通过操纵客户端选择和重放聚合来破坏系统的鲁棒性和隐私性。为了解决这些问题，本文提出了DIST-FL，一种由多个TEE保护的分布式服务器系统，这些TEE形成一个仅追加账本，用于实现隐私保护和鲁棒的联邦学习聚合。具体而言，DIST-FL通过确保操作线性化来防止状态回滚攻击，并通过纳入来自可靠服务器的输入来缓解I/O操纵威胁。作者在广域网（WAN）环境中实现了DIST-FL并进行了评估。实验结果表明，DIST-FL能够有效抵御所提出的攻击，并且在利用TEE计算优势的同时，其性能与单TEE方案相当，但吞吐量比同类方案提升了6倍。该研究为联邦学习安全聚合提供了新的思路，适合联邦学习、系统安全、隐私保护领域的研究人员和工程师阅读。

本文研究了语言模型API在限制仅输出token排名（即按概率排序的token序列，但不提供具体概率值）时，是否仍然构成能够唯一标识模型的签名。作者发现，对于足够大的k，每个语言模型都有一组唯一的可行top-k排名集合，这可以作为模型的签名。更重要的是，他们证明了这种签名是第一个已知的多项式时间不可伪造签名：找到一个具有相同可行排名集合的模型是NP-hard问题。在安全方面，尽管token排名足以近似窃取模型的最后一层参数（类似于logits的泄露），但通过限制API只返回足够小的k（例如，小于某个阈值），可以防止参数窃取，同时仍然能够提供不可伪造的签名。研究表明，存在一个k值范围，使得API既能展示不可伪造签名（用于模型身份验证），又能防止参数泄露。这项工作为语言模型的安全部署提供了理论依据，尤其是在需要公开模型身份但又要保护模型参数的应用场景中。

该论文提出了一种名为 TITAN-FedAnil+ 的联邦学习框架，旨在解决资源受限智能企业环境中的数据异质性（非独立同分布数据）和去中心化安全威胁。核心贡献包括：1) 基于亲和传播的自适应聚类聚合方法，无需预先知道攻击者数量即可识别并过滤恶意更新；2) GPU 加速向量化技术提升计算效率；3) 轻量级签名状态跳变机制实现区块链快速重同步。实验在 8 GB 边缘设备上进行，经过 50 轮通信后，相比基线框架，内存开销节省高达 81%。研究结果表明，TITAN-FedAnil+ 有效提升了鲁棒性、可扩展性和资源效率，适用于智能企业的安全联邦学习部署。

该论文提出了一种轻量级的智能合约安全审计框架，利用经过蒸馏和聚合的开放源码大语言模型（LLM）来应对现有基于LLM的审计方法存在的计算开销大、缺乏严重性评估以及可操作修复建议等问题。框架将审计任务解耦为四个独立模块：漏洞检测、漏洞解释、严重性分类和修复建议。通过采用秩稳定低秩适配器（rsLoRA）、知识蒸馏以及定制的链式验证（CoVe）聚合策略，模型在保持高精度的同时显著降低了参数量（0.6B-4B参数）。实验表明，该轻量级流水线在漏洞检测上达到98.25%的准确率，在生成解释任务中对齐得分为0.4375，优于参数量7B-34B的密集编码器LLM。消融实验验证了解耦审计流程相比统一提示的优势，并发现了新颖的严重性中心偏差，为未来LLM辅助审计研究建立了基准。

该论文提出了一种名为 Unicity 的代币所有权模型的泛化版本，将传统简单的所有权条件扩展为可编程的支出条件，称为“谓词”（predicates）。这些谓词允许在链下执行类似智能合约的功能，而无需共识参与者（如矿工或验证者）直接执行，而是由依赖方（如交易接收者）自行验证。作者证明，Unicity 执行层的安全属性可以归约到谓词族不可伪造性（predicate family unforgeability），从而保证了在添加可编程条件后，系统的安全基础不受损害。为了展示该模型的实用性，论文详细描述了如何利用谓词实现无信任的原子交换（atomic swap），即两个互不信任的参与方在不依赖第三方中介的情况下安全交换代币。原子交换的实现通过构建特定的谓词条件，使得交易要么全部执行，要么全部回滚，避免了部分执行的风险。该研究为区块链和去中心化金融领域提供了一种新的链下智能合约范式，降低了链上计算和存储开销，同时保留了安全保证。

本文提出Unicity执行层（Unicity Execution Layer），作为Unicity框架的一个模块化组件，旨在实现安全的链下交易，同时保持无需信任的双花预防。论文首先建立了形式化安全模型，其中代币所有权由公钥表示，转移需要数字签名。作者证明了三个基本安全属性：（1）无双花——每个代币状态最多只能被花费一次；（2）无阻塞——只有合法所有者才能阻止代币被花费；（3）服务端隐私——Unicity服务无法将不同交易关联到同一代币。针对用户端隐私，引入了广义多公钥签名方案，允许一个秘密生成多个不可链接的公钥，并提供了交互式和非交互式具体实例化，从而实现使用稳定公共身份的私密交易，且密钥管理开销最小。该工作通过形式化方法确保了链下执行的安全性和隐私保护，为扩展区块链吞吐量提供了理论支撑。适合区块链安全研究人员、分布式系统开发者以及关注隐私保护的密码学从业者阅读。

该论文针对肯尼亚和坦桑尼亚的移动货币（MoMo）服务中用户与代理之间的交互实践展开研究。移动货币作为数字金融服务在非洲普及，为大量无银行账户人群提供了便利，但现有研究多关注其益处，而较少探讨人类利益相关者在交互中面临的具体挑战。研究者通过72次结构化访谈（每个国家36次）发现，用户和代理为了克服生态系统中的限制和困难，设计了一系列变通方案：如代理向用户提供预支或贷款、利用用户-代理关系代替法定身份验证、以及改变预期交易执行流程以提高便利性。这些变通方案实质上修改了移动货币的核心组成部分——用户、代理和交易本身，因而引入了新的风险和挑战，包括隐私泄露、安全漏洞以及监管空白。论文指出，需要重新思考移动货币各个组件的隐私与安全设计，并制定相应的政策和监管控制措施，在保障交互安全的同时确保服务的可用性。本研究为数字金融服务中的人为因素和安全性设计提供了实证依据。

提示学习（Prompt Learning）作为一种新兴的机器学习范式，因其简单性和有效性而受到广泛关注。然而，其安全漏洞尚未得到充分探索。本文提出 BadBone，一种针对视觉提示学习中骨干模型（Backbone Model）的隐蔽且自适应的后门攻击方法。与以往攻击提示学习过程本身不同，BadBone 采用双层优化（Bi-level Optimization）技术，直接对预训练的骨干模型植入后门，使得任何采用该骨干进行提示学习的下游任务在微调后都会继承后门行为。攻击者可以在预训练阶段或通过微调接口注入后门，而无需控制提示学习过程。研究者在三个不同骨干模型（如 ViT、ResNet 等）和三个跨领域数据集上进行了大量实验，结果表明无论是目标攻击还是非目标攻击，后门模型都能在保持预训练和下游任务正常性能（Utility）的同时，实现高攻击成功率。更重要的是，作者评估了六种最先进的模型级防御机制（包括 Neural Cleanse、ABS、MNTD、NAD、CLP 和 D-BR），发现这些防御方法对 BadBone 几乎无效，无法有效检测或移除后门。这揭示了现有防御在应对针对骨干模型的后门攻击时的局限性。本文的工作首次系统性地探索了提示学习范式下针对骨干模型的后门攻击，其发现对视觉提示学习的安全性提出了新的挑战，适合关注 AI 安全、后门攻击与防御的研究人员阅读。

本文由Jaydip Sen撰写，发表于arXiv，属于cs.AI领域，主要探讨如何利用量子计算增强人工智能系统的对抗鲁棒性。文章首先回顾了人工智能在医疗、金融、自动驾驶等安全关键领域的成功应用，同时指出其深度神经网络容易受到对抗样本攻击的脆弱性——攻击者通过微小的输入扰动就能导致模型产生错误输出，这对系统的可靠性和可信度构成严重威胁。接着，文章系统性地介绍了对抗性机器学习的攻击类型（如快速梯度符号法、投影梯度下降等）和现有防御策略（如对抗训练、输入变换、鲁棒优化等），并分析了这些方法的局限性。然后，文章转向量子计算，以易懂的方式解释了量子比特、叠加、纠缠和量子干涉等核心原理，并介绍了量子机器学习的几种模型（如量子支持向量机、量子神经网络）。核心部分提出了量子增强对抗鲁棒性的概念框架，具体包括：1) 利用量子优化算法（如变分量子本征求解器）寻找更优的对抗训练平衡点；2) 采用量子特征映射将输入数据映射到高维希尔伯特空间，使样本在量子特征空间中更易分离且对小扰动不敏感；3) 设计混合量子-经典架构，其中经典神经网络处理初步特征提取，量子电路处理鲁棒性关键部分。文章还讨论了实际应用中的挑战，如当前量子硬件的噪声和退相干限制了大规模部署，以及未来研究方向，包括量子对抗样本生成、量子防御机制的可证明保证等。该文适合对AI安全、对抗性机器学习和量子计算交叉领域感兴趣的读者，为构建更安全的AI系统提供了丰富的理论参考。

该论文研究了基于隐层表示的多智能体系统中的潜在攻击问题。在多智能体系统中，智能体之间通常通过显式文本通信进行协作，但近年来出现了利用隐层表示（如注意力键值缓存）替代部分显式通信的方法，以提高效率和灵活性。然而，这种将协作移入隐空间的做法也可能使攻击向量脱离可见文本审查的范畴。作者提出了一种潜在攻击框架，该框架能够在不重新使用对抗性文本的情况下，通过隐层干预重新激活攻击效果。实验表明，这种仅基于隐层的攻击在干净执行过程中能够显著降低任务性能，尤其是在智能体间键值缓存传递而非局部隐状态上应用时效果更为明显。进一步的控制分析表明，性能下降不能归因于任意扰动或无效生成。研究结论指出，基于隐层的协作并未消除攻击风险，而是将部分风险转移到了可观测性更低的执行状态中，因此需要超越可见文本检查的安全防护措施。该论文适合对多智能体系统安全、对抗性攻击及防御机制感兴趣的研究人员阅读。

本文对 Anchored Decoding 中使用的 k-NAF (k-ary Normalized Attention Flow) 预算核算机制进行了实证审计。研究采用两类实验：一是固定、类别分层的负载（约 8500 次随机执行，覆盖六种提示类别），二是针对高代理支出比率的自适应提示搜索流程。在固定负载下，平均累积 KL 散度远低于序列级预算 K（K=600 和 1000），且基于经验 Bernstein 风格的代理指标在所有类别中均低于 K；表面重叠诊断（ROUGE-L 和 5-gram Jaccard）相应较小。自适应搜索提高了代理支出比率，但未导致预算明显耗尽。在 k=3 的保留版权域负载中，一些提示在早期停止评估且实现样本量较小时，代理比率超过 1；使用更大分配重新评估相同提示后，在可比平均支出下代理比率降至 [0.26, 0.40] 范围，这更符合代理伪影而非每条轨迹的预算失败。因此，该机制在实践中有效，未发现系统性预算违规。

随着区块链交易吞吐量受限，支付通道网络（PCN）成为提升可扩展性的重要技术。然而，现有PCN普遍依赖时间锁（timelock）机制，容易受到时间锁攻击和审查攻击的威胁。针对这些攻击，本文提出了Thunderdome——首个无时间锁的支付通道网络。Thunderdome利用虚拟通道的设计原理，扩展了无时间锁的支付通道原语，从而支持无需时间锁的多跳交易。其核心创新在于引入一组非信任的监控节点（称为wardens），这些节点组成委员会，确保即使诚实方在通道关闭过程中离线也不会损失资金。同时，本文设计了针对性的激励机制，保证所有参与方（包括wardens）遵循协议正确执行。安全性方面，除了传统的假设委员会诚实多数的安全证明，作者还通过正式博弈论分析证明了在理性参与方假设下Thunderdome仍然是安全的。他们在以太坊上实现了原型系统，验证了可行性并评估了成本。结果显示，部署Thunderdome（包括打开底层支付通道）的成本约为15美元（0.0089 ETH），关闭通道的最坏情况成本约为7美元（0.004 ETH）。该工作为PCN的安全性提供了新的设计方向，特别适合研究区块链扩容和安全的研究人员阅读。

资源公钥基础设施（RPKI）已成为保护域间路由安全的关键技术。然而，RPKI软件的安全性测试长期停留在浅层解析阶段，现有模糊测试工具（如AFL++、libFuzzer）因假设每次执行输入单一且独立，无法处理RPKI仓库中数百个相互依赖、经密码学链接的对象。这种复杂性导致现有工具无法精确追踪多对象仓库中的代码覆盖率，破坏了基于反馈的探索机制，从而遗漏了RPKI验证中的多数严重漏洞。本文提出并实现了一种新型模糊测试工具CAT，通过连续采样和将函数作为侧信道实现大规模输入仓库中每个对象的精确覆盖率归因。同时，通过将解析输入转换为带标签的树结构，CAT能够在保持变异仓库密码学有效性的前提下进行结构和语义突变。CAT结合了非顺序模糊测试与模板无关的ASN.1变异引擎，相比顺序模糊测试吞吐量提升66倍，相比libFuzzer和先前工作多探索24%-47%的独特代码路径。在RPKI验证器上的评估中，CAT发现了21个先前未知的漏洞，其中8个已分配CVE（CVSS 7.5-9.8），包括缓冲区溢出、拒绝服务（DoS）和可被利用的仓库投毒逻辑缺陷。CAT已开源，以支持可重复性、进一步研究以及将方法推广至DNSSEC、TLS等其他基于密码学的复杂协议。

论文《DeepAID: Interpreting and Improving Deep Learning-based Anomaly Detection in Security Applications》聚焦于安全领域中基于深度学习的无监督异常检测模型的可解释性问题。尽管深度神经网络在检测未知威胁方面表现出色，但其缺乏可解释性严重阻碍了实际部署。现有解释方法主要针对监督学习模型和非安全领域设计，无法直接适用于无监督模型，也难以满足安全领域的特殊需求（如误报分析、攻击溯源等）。为此，作者提出DeepAID框架，旨在为无监督深度学习异常检测模型提供解释。该方法通过分析模型内部表示和决策边界，生成与异常检测任务语义一致的解释，并利用解释结果指导模型改进，提升检测性能。实验在多个安全数据集（如网络入侵检测、恶意软件检测）上验证了DeepAID的有效性：相比基线方法，DeepAID生成的解释更准确、更符合安全专家认知，且能有效帮助安全分析师理解异常原因、减少误报。此外，作者还展示了如何利用解释反馈优化模型，使检测精度进一步提升。该工作为深度学习模型在安全运维中的可信应用提供了重要支撑。

软件定义网络（SDN）因其集中控制架构而面临分布式拒绝服务（DDoS）攻击的严重威胁，特别是地毯式轰炸（Carpet-Bombing）DDoS攻击，这种攻击将恶意流量分散到多个目标以逃避传统检测机制。本文提出了一种基于检索增强生成（RAG）的框架，用于在SDN环境中实时检测和缓解此类攻击。该框架结合了接口级流量特征表示、语义嵌入生成、基于FAISS的相似性检索以及大语言模型（LLM）驱动的上下文推理，无需传统的监督模型训练或重训练即可对流量行为进行分类。为评估框架有效性，作者在多种地毯式轰炸DDoS攻击场景下进行了大量实验，涵盖不同攻击强度。同时，研究了两种流量表示策略：基于JSON的结构化表示和基于自然语言的表示（NLR），并使用了多个最先进的LLM。实验结果表明，该框架实现了高准确率和稳定的攻击检测性能，其中使用Gemma-4-31B-IT模型的配置取得了最强的整体检测效果。实时实验验证了该框架能够快速检测并缓解地毯式轰炸DDoS攻击，同时保持SDN网络稳定运行。研究成果凸显了将RAG机制与LLM相结合用于智能自适应SDN安全分析的有效性。

该论文系统综述了大语言模型（LLM）微调生命周期中的安全问题。背景：微调是使预训练LLM适应下游任务的核心技术，但其对训练数据、参数更新和可复用组件的依赖为攻击者提供了入口。威胁已从数据中毒、权重篡改进化到智能体操纵和接口利用，而现有综述缺乏覆盖完整微调生命周期的统一框架。目标：本文提出了基于生命周期的框架来比较攻击与防御，并辅以统一的实证评估。方法：根据干预时机将攻击和防御机制分为三个阶段：预调前、调中、调后。在每个阶段内，对策略进行回顾和对比，揭示其演化过程和局限性。然后在统一模型、硬件和协议设置下评估代表性方法，并进行跨阶段实验，将不同阶段的攻击和防御配对。结果：攻击有效性高度依赖模型且随规模非单调变化：对早期模型有效的权重编辑攻击在现代化开源LLM上失去效果；跨语言后门迁移在更大规模时几乎完美，但在测试的1B-4B模型上完全失败；纯粹良性样本也能破坏指令微调模型的安全对齐。单阶段防御很少能跨阶段泛化，防御有效性依赖于模型架构和对齐状态。结论：指出了关键开放问题（配置鲁棒防御、跨阶段防御组合、超越行为假设的嵌入空间攻击）并提出了具体未来研究方向。该论文适合安全研究人员、LLM开发者和风险管理者阅读，以全面了解微调安全威胁与防御全景。

该论文首次系统研究了随机梯度下降（SGD）训练过程中的不可伪造性问题。SGD 是机器学习中的核心训练算法，许多安全应用依赖于判断某个步骤的模型参数是否可以通过多个不同的数据集得到（即可伪造性）。作者提出了一组高效可检查的条件，在训练过程中的具体检查点上验证这些条件是否满足，从而证明该检查点的参数在当前步骤是"不可伪造"的，即唯一对应于某组特定数据样本。实验表明，这些条件相当宽松，在作者采样的所有检查点上均自然满足。值得注意的是，该结果与先前工作的结论形成鲜明对比：先前研究曾认为某些检查点是可伪造的，但作者采用相同方法和实验设置重新验证后发现，由于定义中的细微未明确差异，这些检查点实际上被证明是不可伪造的。作者进一步通过实验证实，微小的定义偏差会在训练过程中放大，导致最终训练出的模型存在显著可观测的差异。该工作强调了在可伪造性定义及相关安全论证中代数精确性的关键作用，为机器学习模型训练过程的完整性验证提供了理论基础。

该论文首次对以太坊交易池（txpool/mempool）的设计安全性进行系统研究。Txpool是存储未确认交易的缓冲区，控制着下游服务（如挖矿、交易传播）所能看到的内容。研究发现txpool存在拒绝服务（DoS）攻击面，攻击者可能通过特定策略耗尽节点资源或操纵交易池状态，从而影响交易正常处理。论文分析了Ethereum客户端中txpool的实现逻辑，识别了多种潜在的漏洞模式，并通过实验验证了攻击的可行性。研究的主要贡献在于填补了以太坊txpool安全分析的空白，为后续防御机制设计提供了基础。

该论文对苹果无线生态系统（包括蓝牙低功耗（BLE）、AWDL和Wi-Fi）的安全性进行了系统分析。研究者发现了多个设计缺陷，使得攻击者能够在未配对的情况下对苹果设备进行跟踪、发起拒绝服务（DoS）攻击以及实施中间人（MitM）攻击。具体而言，利用BLE中的隐私漏洞可以持续跟踪设备；通过操纵AWDL协议可导致网络中断；结合跨协议交互（如Wi-Fi和蓝牙）可实现会话劫持。论文提出了相应的缓解措施，并推动了苹果修复多个漏洞。该研究对iOS和macOS设备用户的隐私与安全具有重要影响，强调了无线协议设计中的安全考虑不足。

多模态大语言模型（MLLMs）在接收多图像输入时存在安全隐患。现有越狱方法仅使用单张图像，限制了攻击空间：无法将有害请求分布到多张图像、携带丰富信息或利用额外视觉推理任务分散模型注意力。本文提出一种组合式越狱框架DMN，通过分布式指令（Distributed instruction）、多模态证据（Multimodal evidence）和数字链任务（Number chain task）全面增强越狱效果。分布式指令将有害内容拆解到多张图像中，绕过单图安全审查；多模态证据利用图像与文本的关联构建推理链条；数字链任务强制模型进行数值排序，分散其对危险内容的警觉。实验表明，DMN在GPT-4o、Gemini-2.5-pro和Claude Sonnet 4上攻击成功率超过90%，显著优于现有基准。该框架揭示出当前多模态安全对齐机制在组合式、多图像输入场景下的根本性弱点。研究为多模态AI安全评估提供了新视角，提示开发者在多图像条件下需强化安全对齐策略。

本文提出了一种基于注意力引导的1D与2D CNN融合框架，用于鲁棒的ECG生物特征识别。现有方法大多单独处理一维时间信号或二维时频表示，泛化能力有限。作者构建了一个端到端的混合架构：1D分支（采用InceptionTime）从原始ECG信号中提取时域和形态特征，2D分支（采用ResNet-34）从时频表示中捕获判别性频谱信息，并通过注意力机制动态加权两个模态，克服了静态融合的局限。在ECG-ID、MIT-BIH和PTB三个基准数据集上，识别准确率分别达到99.56%、100.00%和99.89%。在跨越十年的多会话Heartprint数据集上，同会话准确率为94.93%–99.09%，跨会话准确率约53%–56%，证明能捕获稳定的长期生物特征。消融实验表明注意力融合优于传统融合方法。该框架为ECG生物特征识别提供了鲁棒、可扩展的高性能解决方案。

本文针对当前广泛使用的虚拟专用网（VPN）技术，在洪水型拒绝服务（DoS）攻击下的韧性进行了系统性评估。现有文献多聚焦于VPN实现（如OpenVPN、WireGuard、IPsec等）在正常环境下的性能对比，缺乏对抗性场景的考量。作者提出了一种对抗性测试框架，通过向不同VPN实现发送高流量洪水（如SYN洪水、UDP洪水等），测量其连接保持率、吞吐量下降程度及恢复时间等指标。实验在受控网络环境中进行，测试了多种主流VPN软件在不同配置下的表现。结果表明，部分实现存在显著脆弱性：某些VPN在低速率洪水下即出现连接中断，且恢复缓慢；而另一些则表现出较强的韧性，能在持续攻击下维持服务。研究还发现，VPN的认证握手阶段及密钥协商过程是常见瓶颈，攻击者可利用少量精心构造的报文引发拒绝服务。该工作首次为VPN系统在对抗性环境下的鲁棒性提供了量化基准，揭示了部署VPN时应考虑的安全冗余机制，如流量整形、连接速率限制或多路径冗余。本文的贡献在于：提出了一种可复现的VPN DoS测试方法；揭示了不同实现之间的韧性差异；为VPN开发者和运维人员提供了加强抗攻击能力的指导建议。

本文提出了一种新颖且通用的数字水印移除攻击方法。核心观察是：攻击水印的过程本质上与水印嵌入过程相似——两者都在寻找对图像不可察觉的修改以触发特定检测器。基于此类比，作者假设可以用水印去攻击水印，即对已加水印的图像再次施加另一个水印（称为重水印），从而抑制原始水印信号。通过在96种不同数据集、受害者水印和攻击水印组合上的严格实验，作者验证了这一假设，表明重水印能可靠地抑制原始信号，且无需梯度、代理模型或检测密钥。此外，作者还设计了一个简单分类器用于检测图像中是否存在水印及其身份，实验显示准确率高达0.878-0.953。该分类器独立具有安全意义：它揭示了水印识别可被利用来实施更强力的移除（比黑盒攻击显著更强）。结合水印识别与重水印，攻击流水线能将比特准确率降低至少25%，最高达48%。这项工作构成了一种廉价、通用且高效的攻击管道，质疑了当前水印方案在面对如此简单攻击时的可靠性，也挑战了现有复杂攻击的价值。该研究适用于对数字水印安全感兴趣的研究者和安全从业者。

该论文提出了一种新型后门攻击方法 MetaBackdoor，利用 Transformer 架构中位置编码 (Positional Encoding) 的内在特性作为触发器，而不需要修改输入文本内容。现有的后门攻击大多依赖内容触发器（如特定词语、句子），容易被基于文本异常的防御机制检测。作者的核心洞察是：Transformer 模型在处理有序序列时必须编码 token 位置信息，因此输入长度相关的结构会反映在模型内部计算中，可以被用作非内容触发器。论文展示了即使简单的基于长度的位置触发器也能激活隐匿的后门行为。与之前攻击不同，MetaBackdoor 作用于可见且语义正常的输入，使后门 LLM 在满足长度条件时泄露敏感内部信息（如专有系统提示），甚至出现自激活场景——正常的多轮交互可将对话上下文推至触发区，诱导恶意工具调用行为，而无需攻击者提供触发文本。此外，MetaBackdoor 与基于内容的后门正交，可组合使用以创建更精确、更难检测的触发条件。实验证明该方法在多种 LLM 架构上有效。该工作扩展了 LLM 后门的威胁模型，揭示了位置编码这一被忽视的攻击面，对现有侧重文本异常检测的防御策略提出了挑战。

Python 的原生序列化协议 pickle 虽然功能强大，但由于存在已知的安全风险，在处理不可信数据时非常不安全。它常被用于保存机器学习模型等场景，但攻击者可能通过构造恶意的 pickle 数据来执行任意代码。开发者有时会通过限制反序列化时的导入或使用静态/动态分析工具来缓解风险，但这些方法容易出错，且高度依赖对 Pickle 虚拟机（PVM）操作码的准确解释。Python 的三个原生 PVM 模块（pickle、cPickle、_pickle）之间存在实现差异，这些差异会导致错误检测恶意负载，从而削弱现有防御。为了高效且可扩展地识别这些差异，本文提出了 PickleFuzzer，一种基于生成的定制化模糊测试工具。PickleFuzzer 通过语法生成 pickle 对象，将其传递给每个实现，并检测抛出的异常或关键内部状态的变化。它通过比较每个测试实现的执行行为来确定差异，而不需要依赖于规范派生的 oracle。PickleFuzzer 发现了 14 个新的差异，其中 4 个是关键的，可用于绕过 Hugging Face 等流行模型托管平台上部署的安全扫描工具。作者向 Python 软件基金会披露了所有发现，并将安全问题报告给漏洞赏金平台，获得了 750 美元奖励。该工作证明了差分测试是识别重要 pickle 实现中安全相关差异的有效方法，并为通过更定向的模糊测试发现更深层的 pickle 漏洞提供了有前景的未来方向。

本研究针对漏洞修复提交（VFC）的自动化检测问题进行了系统性的实证评估。背景是：安全补丁部署的及时性至关重要，但官方漏洞建议库（advisory databases）平均比补丁发布延迟25天，且许多修复从未被收录为建议。当前该领域存在超过20个分散的数据集和评估方法，缺乏统一基准。本文构建了一个统一框架，整合了超过18万个提交，对基于代码语言模型的VFC检测进行了大规模实验（180余次），模型参数规模从1.25亿到140亿不等。关键发现包括：（1）仅凭代码变更，模型未能习得可迁移的安全相关代码理解能力；（2）当提交消息（commit messages）可用时，模型注意力几乎完全集中于此，而非代码变更本身；（3）移除提交消息后，即使通过过程内语义上下文丰富diff，注意力分析仍显示模型关注点未转向代码变更；（4）按项目分组的分层评估显示性能比随机分割下降约17%；（5）在聚合数据集上进行时间分割因底层项目分布的组合偏移而不可靠；（6）在0.5%的假阳性率下，所有微调后的纯代码模型漏检超过93%的漏洞。更大规模、更多样化的训练数据或生成式方法虽有初步改进，但未能解决根本局限。作者公开了统一框架和评估套件以支持未来研究。

该论文提出OPTIKS，一种优化的密钥透明度系统，旨在解决现有系统（如CONIKS）中存在的信任模型弱点和效率问题。OPTIKS引入了一种新的数据结构——密钥历史树（Key History Tree），结合聚合节点（Aggregator Nodes）来减少客户端存储和通信开销，同时保持可审计性。系统设计了正式的安全模型，并证明了其安全性。此外，OPTIKS通过差分隐私（Differential Privacy）机制来阻止确认/非确认攻击（confirmation/non-confirmation attacks），保护用户隐私。实验结果表明，OPTIKS在客户端负载、审计效率方面显著优于现有方案，适合大规模部署。该研究为端到端加密通信中的密钥验证提供了更高效、更安全的解决方案。

该论文作为海报展示，研究了拜占庭差异攻击在日历、集合交集以及国家等场景中的应用。拜占庭攻击是分布式系统容错和安全中的重要问题，通常指恶意节点以任意方式偏离协议。本文聚焦于“差异攻击”，即攻击者通过制造输入或状态差异来破坏系统的一致性。在日历系统中，攻击可能导致不同用户看到不同的日程安排；在集合交集计算中，攻击可能影响多方共享结果的一致性；在国家场景中，可能涉及分布式共识或数据共享。论文可能提出了新的攻击模型或漏洞分析，尚未提供实验验证。

联邦学习（FL）极易受到后门攻击的影响，恶意客户端会向全局模型中注入特定行为。现有的防御方法在真实世界的非独立同分布（non-IID）数据下存在较高的误报率，会错误地将良性客户端标记为恶意，即使正确识别了对手也会导致模型精度下降。本文提出了一种新颖的后门防御方法FedSurrogate，它通过结合双向梯度对齐过滤与层自适应异常检测来解决这一局限性。FedSurrogate通过方向散度分析识别安全关键层，并在这些层上进行选择性聚类，将检测信号集中到低维子空间中。双向软过滤阶段对受信任的客户端进行筛选以去除残留污染，同时从可疑客户端中救回误报，显著减少了异构条件下的误分类。FedSurcore不直接移除确认的恶意更新，而是用来自结构相似的良性客户端的降尺度替代更新来替换它们，从而在保持梯度多样性的同时中和对抗性影响。大量实验表明，FedSurrogate在所有数据集和攻击类型下将误报率保持在10%以下（最接近的可比较基线为31-32%），同时在具有挑战性的non-IID设置下实现了更高的主任务准确率，并将攻击成功率保持在2.1%以下。

该论文针对移动通信生态系统中基础设施测量工具匮乏、地理覆盖不均以及商业复杂性等问题，提出了一套开放的、可扩展的、地理多样化的测量方法。研究指出，蜂窝网络作为全球通信骨干网，其架构创新（如VoIP、eSIM）和商业动态（如漫游、虚拟运营商、零费率）导致网络复杂度急剧上升，但缺乏独立的测量手段。此外，移动接入方式已不仅限于传统无线电接口，语音WiFi（VoWiFi）通过第三方互联网基础设施提供替代连接，而OTT消息服务（如WhatsApp、Signal）已承担大量全球消息和语音流量，完全绕过运营商控制。为应对这些挑战，作者设计、实现并开源了多个测量平台，支持对蜂窝无线电网络、运营商提供的服务以及OTT消息应用进行受控实验，不依赖网络或平台运营商的合作。实验涵盖全球多个地区，评估了关键基础设施的安全性、性能及隐私风险，并揭示了集中化趋势带来的新威胁。论文主要贡献包括：构建独立的测量框架、提供公开可用的数据集、以及提出改进当前通信生态系统安全性的建议。适合网络研究人员、安全分析师、政策制定者以及移动运营商工程师阅读。

本论文对领域自适应语言模型在结构化威胁建模任务中的有效性进行了系统性的实证评估。研究聚焦于5G安全场景，采用STRIDE威胁分类方法，共使用52种不同配置（涵盖8种语言模型）进行实验。核心变量包括：1）领域自适应（电信与网络安全领域）与否、2）模型规模（大语言模型LLM与小语言模型SLM）、3）解码策略（贪婪解码与随机采样）、4）提示工程技术。结果表明：领域自适应模型并不一致优于通用模型，解码策略对模型输出和行为影响显著；虽然大模型通常表现更好，但提升并不稳定，且远未达到可靠威胁建模的要求。研究还报告了无效输出的类型与频率，并提出了针对STRIDE威胁建模的提示工程建议。论文揭示了当前LLM在结构化威胁建模任务中的根本局限，强调仅靠增加训练数据或模型缩放无法解决，需要更强的任务特定推理与安全概念基础。

本文研究了一种针对图像生成与编辑工作流的新型安全漏洞。用户在使用生成式AI进行图像设计和创作时，通常采用多轮交互方式：先通过文本生成图像（文本到图像），再通过文本引导进行图像编辑（图像到图像）。研究者发现，在输入图像中嵌入几乎不可见的提示（hint），例如品牌信息（logo），可以被下游生成模型识别，并在后续编辑过程中重新渲染到语义相关的物体上，即使用户提示中并未明确提及该内容。这种隐藏有效载荷注入具有隐蔽性。论文提出了两种现实攻击场景：一是钓鱼场景，攻击者控制在线图像生成服务，在返回给用户之前向生成图像中注入隐藏内容；二是投毒场景，攻击者分发受损的文本到图像扩散模型，其输出包含隐藏内容。实验使用六种注入载荷（包括知名logo和定制设计），两种攻击的平均成功率分别为44.4%和32.2%，同时注入的logo在视觉上难以察觉。此外，研究者还开发了一种缓解方案，针对钓鱼和投毒攻击的平均防御成功率分别达到87.4%和92.3%。该工作揭示了多步生成流程中的安全隐患，并提出了有效防御。适合图像生成服务提供商、安全研究人员以及关注生成式AI安全的人员阅读。

该论文研究了大型语言模型（LLM）在代码生成场景下，可用性需求如何被用作攻击面，从而破坏安全编码实践。作者提出了一种名为UPAttack的新型威胁，并设计了自动化框架U-SPLOIT。其核心思想是：现实中的可用性需求（如添加新特性、满足性能约束或追求简洁性）往往是明确且高信号的，而安全需求则通常是隐式或低规格的。这种不对称性导致LLM在代码生成时倾向于优先满足显式的可用性目标，而忽略隐式的安全约束，形成一种奖励黑客（reward hacking）行为。U-SPLOIT框架的工作流程包括：（1）选择模型初始状态下能够安全编码的场景；（2）通过三种向量（功能性、实现方式、权衡）合成可用性压力，即识别不安全替代方案中能够满足可用性需求的奖励；（3）利用现有测试用例和动态生成的PoC验证安全回归。作者在75个种子场景（覆盖25个CWE，每个3个案例）上，针对Python、C和JavaScript三种语言，对多个最新LLM（如GPT-5.2-chat、Gemini-3-Flash-Preview）进行测试，攻击成功率高达98.1%。结果表明，即使模型在原始提示下能够生成安全代码，添加可用性导向的需求后，模型仍会生成包含安全漏洞的代码。该工作揭示了LLM在软件自动开发中一个被忽视的风险，为安全社区提供了新的攻击视角和防御切入点。

本文定义了一种名为“Oracle Poisoning”的新攻击类别，攻击者通过破坏AI代理在运行时通过工具使用协议查询的结构化知识图谱，导致代理在正确推理的前提下得出错误结论。与提示注入不同，Oracle Poisoning操纵的是代理推理所依据的数据，而非指令。作者针对一个包含4200万节点的生产级代码知识图谱演示了六种攻击场景，首次在真实规模的代理系统中提供了知识图谱投毒的经验性证据，区别于传统的CTI嵌入投毒。主要评估使用来自三家提供商的九个模型的真实SDK工具调用（每个模型N=30），模型自主调用图查询工具并从结果中推理。结果明确：在中等攻击者复杂度（L2）下，每个测试模型以100%的概率信任中毒数据，在270次定向查询试验中有269次接受了伪造的安全声明。在开放式提示下，信任率下降至3-55%，证实提示框架是一个混杂变量；论文报告了两种条件。攻击者复杂度梯度揭示了离散的转折点，即信任从0%跃升至100%所需的最低技能水平，将攻击重新定义为“不是是否发生，而是程度如何”的问题。受控的交付模式比较表明，内联评估会产生假阴性：GPT-5.1在内联下显示0%信任，但在模拟和真实代理工具使用下均为100%，证明交付模式是一阶混杂变量。作者评估了五种防御措施；只读访问控制消除了直接修改向量，其余四种是部分且模型依赖的。对另外四个平台的分析表明，该攻击可能在知识图谱生态系统中普遍存在。

本文提出 Kronos，一种用于分片区块链的安全且通用的共识协议，旨在解决跨片交易带来的安全与效率挑战。现有分片共识在安全性和低开销之间缺乏通用方案。Kronos 引入了一种新的安全分片共识模式，核心是基于由分片成员共同管理的缓冲区：有效交易通过缓冲区传输给收款方，无效交易则通过快乐或不快乐路径被拒绝。理论证明，在恶意客户端下，Kronos 能实现原子性安全，且片内开销达到最优的 O(kB)（k 为涉及分片数，B 为拜占庭容错成本）。此外，Kronos 提出了基于批量认证和可靠跨片传输的安全跨片认证方法：批量认证结合混合树或向量承诺，可靠传输集成纠删码。处理 b 笔交易时，跨片开销仅为 O(n b λ)（n 为分片大小，λ 为安全参数）。Kronos 不限制底层 BFT 协议类型，也不依赖时间假设，各模块提供可选构造。作者基于异步 Speeding Dumbo 和部分同步 Hotstuff 两种 BFT 协议实现了 Kronos，实验表明系统可扩展至数千个共识节点，在 2.0 秒延迟下达到 320 ktx/sec 的吞吐量，相比已有方案吞吐量提升最高 12 倍，延迟降低 50%。该工作适合区块链研究者、系统安全工程师及对分片共识感兴趣的从业人员阅读，提供了兼顾安全与性能的通用设计思路。

该论文提出一种名为 GadgetMeter 的框架，用于定量且准确地评估推测执行元素（speculative gadgets）的可利用性。推测执行漏洞（如 Spectre）利用现代处理器中的推测执行机制，通过微架构侧信道泄露敏感信息。现有工作通常关注于发现新的 gadgets 或缓解措施，但缺乏对 gadgets 可利用性的统一量化标准。GadgetMeter 通过分析微架构行为、时序差异和缓存状态，建立了一套自动化的评估指标。该框架首先从二进制代码中识别出潜在的推测执行 gadgets，然后模拟推测执行路径，并测量不同条件下的执行时间差异和缓存访问模式，从而计算每个 gadget 的利用难度评分。实验在多个真实处理器（如 Intel、AMD）上验证，表明 GadgetMeter 能够有效区分高可利用性与低可利用性的 gadgets，并与已知攻击的成功率有良好相关性。该工作为安全研究人员提供了一种系统化的方法论，用于评估推测执行漏洞的威胁程度，并辅助设计更精准的缓解策略。

本论文针对蓝牙安全协议中的 Secure Simple Pairing（SSP）机制存在的主动攻击漏洞，提出了一种增强方案：通过引入可延迟认证（Deferrable Authentication）来提升蓝牙安全连接（Bluetooth Secure Connections）的安全性。论文首先分析了现有蓝牙配对协议在面对中间人攻击（MITM）等主动攻击时的脆弱性，指出其核心问题在于认证过程过于同步，攻击者可以利用时间差实施攻击。然后，作者提出了一种改进协议，允许设备在配对过程中将认证步骤延迟到后续的数据交换阶段，从而增加了攻击者的难度。具体而言，该方案通过修改密钥派生过程和认证确认的时序，使得即使攻击者能够干扰初始配对，也无法在后续通信中绕过认证。安全性分析表明，该方案能够有效抵御已知的主动攻击类型，且对性能的额外开销较小。实验模拟结果验证了该方案的可行性和有效性。论文的主要贡献在于提出了一种新颖的延迟认证思想，为蓝牙安全协议的改进提供了新思路，适合蓝牙协议设计者、安全研究人员以及物联网设备厂商阅读参考。

该论文系统性地研究了安全领域研究人工制品（research artifacts）的安全性。研究人工制品通常用于支持实验可复现性，并被广泛共享，但现有的artifact evaluation（AE）主要关注功能正确性和可复现性，忽略了潜在的安全风险。作者从顶尖安全会议（如S&P、CCS、USENIX Security等）收集了509个研究人工制品，通过静态分析发现大量制品包含不安全的代码模式，可能引入攻击向量。为了进行结构化分析，他们提出了一种上下文感知的安全评估分类法，能够结合代码语义、执行上下文和实际利用可能性来过滤误报并识别真实风险。分析表明，在发现的常见问题中，41.60%在实用场景下可能构成安全威胁。为进一步支持规模化分析，作者提出了SAFE（Security-Aware Framework for Artifact Evaluation）框架，该框架是一个自治系统，能够自动判断工具报告的安全问题是否真正具有风险。SAFE在区分安全风险与非安全风险时达到84.80%的准确率和84.63%的F1分数。论文强调在AE中引入安全性评估有助于促进负责任和安全的共享。该研究适合安全研究人员、会议组织者、artifact evaluators以及任何共享或使用研究人工制品的学者。

该论文提出了 VeriLoRA，首个将低秩适配（LoRA）微调与零知识证明（ZKP）相结合的框架，旨在解决大语言模型（LLM）在不可信环境下微调的安全性和可验证性问题。LoRA 通过低秩矩阵分解大幅降低微调所需的计算和存储资源，但标准 LoRA 过程无法保证参数更新的正确性和数据隐私。VeriLoRA 利用先进的密码学原语——包括查找参数（lookup arguments）、和校验协议（sumcheck protocols）以及多项式承诺（polynomial commitments）——为基于 Transformer 架构的 LLM 微调中的前向传播、反向传播和参数更新提供端到端的可验证性。该框架能确保微调过程的正确性，同时保护模型参数和训练数据的隐私。实验基于开源 LLaMA 模型（最大 13B 参数），使用 GPU 实现验证了其实际可行性。VeriLoRA 填补了参数高效微调与可验证安全之间的空白，为在敏感或不可信环境中安全部署 LLM 提供了关键技术支持。适合对 LLM 安全、隐私保护、密码学应用感兴趣的研究人员阅读。

该论文提出了一种名为Odysseus的新型越狱攻击范式，针对商业多模态大语言模型（MLLM）集成系统。当前的安全过滤器通常假设恶意内容必须在输入或输出中显式可见才能被检测，但多模态系统允许攻击者利用图像等多重模态隐藏恶意意图。Odysseus采用双重隐写术：首先将恶意查询（如生成有害内容的指令）通过隐写技术编码到看似正常的图像中，作为输入提交给MLLM；然后MLLM生成的响应同样通过隐写术隐藏在另一张图像中输出。整个攻击过程中，输入和输出的文本表面均无恶意内容，从而绕过基于显式文本检测的安全过滤器。实验在多个商业MLLM集成系统（如GPT-4V等）上进行，攻击成功率高达99%。该研究揭示了现有防御机制的根本盲点，即过度依赖单模态的显式内容审查，而忽视了跨模态隐写承载恶意信息的能力。论文呼吁重新设计多模态系统的安全架构，考虑跨模态一致性和隐写检测。

本文针对低秩适配（LoRA）模型在开源社区（如Hugging Face）中广泛使用所带来的安全挑战展开研究。LoRA作为一种高效的大语言模型微调方法，其适配器文件可被轻易分享和传播，但这也为恶意攻击者提供了植入后门的机会。现有后门攻击方法在LoRA场景下面临三个主要问题：依赖原始训练数据（通常不可获取）、未考虑LoRA特有的结构属性、以及高虚假触发率（False Trigger Rate, FTR）导致隐蔽性差。为此，作者提出了一种因果引导去毒后门攻击框架（CBA），该框架无需访问原始训练数据即可实施攻击。CBA的核心创新包括两点：一是基于覆盖引导的数据生成流水线，通过行为探索合成与任务对齐的输入；二是因果引导的去毒策略，通过保留任务关键神经元来合并中毒适配器和干净适配器。与以往方法不同，CBA允许攻击者在后训练阶段通过因果影响权重分配来控制攻击强度，无需重复训练。在六个LoRA模型上的实验表明，CBA在实现高攻击成功率的同时，将FTR相比基线方法降低了50-70%。此外，该方法对现有先进的后门防御方法表现出增强的抵抗力，凸显了其隐蔽性和鲁棒性。本文的研究揭示了开源LoRA模型生态中存在的严重安全隐患，提醒社区关注此类新型后门攻击的威胁。

该论文深入研究了RPKI（资源公钥基础设施）中标记为“无效”的前缀背后的隐藏原因和潜在安全风险。RPKI旨在通过验证BGP路由的起源授权来增强互联网路由安全性，但实际部署中大量前缀被标记为无效，其原因和后果尚未得到充分理解。作者通过大规模测量和案例分析，系统性地分类了RPKI无效前缀的成因，包括：配置错误、ROA（路由起源授权）过期、覆盖范围不完整、以及故意伪造等。论文进一步评估了这些无效前缀被实际路由的可能性，发现大量无效前缀仍被全球BGP路由器接受和传播，揭示了RPKI验证机制与实际路由决策之间的差距。实验表明，攻击者可以利用这些漏洞实施前缀劫持、流量拦截等攻击。最后，作者提出了改进RPKI部署和验证策略的建议，以降低无效前缀带来的安全风险。该研究对网络运营商、安全研究人员和RPKI标准制定者具有重要参考价值。

隐写术是一种将秘密信息隐藏在公开载体中的技术。生成式隐写术利用生成模型（如GAN）生成载体并嵌入秘密，但面临容量、效率和安全性的三难问题：传统方法往往牺牲其中一方。本文提出ANStega（Adversarial Network-based Steganography），通过设计一个对抗性训练框架，同时优化三个目标。该方法采用编码器-解码器架构，编码器将秘密信息映射为生成载体的隐空间扰动，解码器从扰动中恢复秘密；判别器确保载体与自然数据分布不可区分。实验表明，ANStega在保持高安全性的同时，实现了接近理论极限的嵌入容量和实时编码/解码效率。作者在多个数据集上验证了该方法在抵抗隐写分析方面的鲁棒性。论文主要贡献是首次系统性解决了生成式隐写术的三难问题，为实用化隐写系统提供了新范式。

本文旨在揭示以太坊MEV（矿工可提取价值）机器人全生命周期的盈利策略。研究背景是MEV机器人在以太坊生态中广泛存在，但其内部运作机制和盈利手段尚不透明。核心问题是如何系统性地理解MEV机器人的行为模式、盈利策略及其演变。作者提出了一种基于链上数据的方法，通过分析交易池、区块构建和机器人交易序列，构建了MEV机器人生命周期的四阶段模型：启动、策略执行、调整和退出。主要贡献包括：1) 首次全面分类了MEV机器人的盈利策略，包括抢先交易、三明治攻击、套利和清算等；2) 揭示了不同策略在不同时期的收益分布和风险特征；3) 通过大规模实证分析（覆盖数百万笔交易），量化了机器人之间的竞争效应和利润来源。实验结果表明，MEV机器人的盈利高度依赖网络延迟和私有交易池的使用，且部分策略存在可持续性风险。本文适合区块链安全研究人员、以太坊协议开发者及DeFi参与者阅读。

本论文是一篇系统化知识（SoK）研究，旨在从攻防双视角深入评估Linux内核加固机制的有效性。研究首先系统梳理了现有Linux内核安全加固技术，包括内核地址空间布局随机化（KASLR）、堆栈防护、控制流完整性（CFI）、内核控制流完整性（kCFI）、指针认证（PAC）、内存标记扩展（MTE）以及各种内存安全缓解措施。接着，论文从攻击者角度出发，分析了这些加固机制在实际漏洞利用中被绕过的可能性，总结了常见绕过技术及其适用条件。从防御者角度，作者评估了不同加固方案在阻止漏洞利用链各阶段（如信息泄露、控制流劫持、权限提升）的实际效果，并指出当前加固方案的覆盖盲区和性能开销权衡。论文还探讨了近年来提出的新型防御思路，如基于机器学习的异常检测和形式化验证的内核模块。通过对比实验和案例研究，作者揭示了以下关键发现：1）虽然现代内核集成了多层加固，但攻击者仍可通过组合特定绕过技术（如利用侧信道泄露KASLR基址）实现成功利用；2）不同加固方案之间存在依赖关系，单一机制的失效可能导致整个防御链崩溃；3）当前加固方案在兼容性与安全性之间尚未达到理想平衡。最后，论文提出了未来研究方向，包括开发自适应防护策略和硬件辅助安全机制。该研究成果对系统安全研究人员、内核开发者和安全运维人员理解内核防御现状与提升加固有效性具有重要参考价值。

该论文深入研究了函数内联（function inlining）对基于机器学习的二进制分析安全任务的影响。函数内联是编译器优化中常见的技术，但极端内联可能显著改变二进制代码的统计特征，从而影响依赖这些特征的机器学习模型的性能。作者针对五个关键安全任务进行了系统评估：二进制相似性检测（T1）、函数名预测（T2）、恶意软件检测（T3）、恶意软件家族预测（T4）和漏洞检测（T5）。他们构建了包含不同编译配置和极端内联行为的二进制数据集，并复用了TikNib等特征提取管道。实验结果表明，极端内联会导致ML模型的准确率大幅下降，特别是在依赖函数边界和调用图结构的任务中。论文提供了完整的代码、数据集和脚本，以便复现实验。该研究揭示了当前ML驱动的二进制分析工具在面对编译器优化时的脆弱性，为提升其鲁棒性提供了重要见解。

本研究报告探讨了字符串逻辑 FC（Function-or-Constraint）在解析器组合中的应用。FC 逻辑最初在数据库理论中用于信息抽取，本文提出其应用范围可以更广，特别是作为统一框架来组合多种解析器，并与语言理论安全（LangSec）原则保持一致。首先，论文回顾了 FC 及其扩展的最新研究文献，并阐述了对于效率的不同评判标准。接着，描述了如何将 FC 及其扩展视为正则表达式的替代品，并在语言理论安全的背景下对其进行定位。最后，利用该模型天然的组合性，将 FC 的多种扩展整合为一个组合解析器的框架。论文的核心贡献在于展示了 FC 逻辑能够统一不同解析器的解析逻辑，减少因解析器互操作产生的安全漏洞，从而提升软件安全性。该工作对于从事形式化方法、解析器设计以及语言理论安全的研究人员和工程师具有参考价值。

本论文聚焦于Chainlink预言机中的Off-Chain Reporting (OCR)协议的安全缺陷。OCR协议是Chainlink用于在链外聚合预言机数据并提交至链上的关键组件，其设计目标是通过签名聚合和离线计算提高效率。然而，作者发现仅验证数据的有效性（如签名正确性、数据格式）不足以防范攻击；存在一种新的安全漏洞，允许恶意节点在特定条件下提交不一致或操纵的数据，从而影响链上合约的正确性。论文通过形式化建模和实验分析，揭示了OCR协议在数据聚合逻辑中的隐含假设，即所有节点诚实且数据源一致，但实际中攻击者可利用网络延迟或节点妥协引入冲突数据。作者提出了改进建议，包括增强验证机制和引入额外的数据一致性检查。该研究对区块链预言机安全具有重要警示作用，尤其对依赖Chainlink的DeFi应用构成直接威胁。

该论文重新审视了DNS安全领域中的区域隔离原则（Zone-Based Isolation），特别是针对Bailiwick检查的信任假设。传统上，DNS解析器依赖Bailiwick检查来防止跨区域数据污染，即确保只有与查询域名处于同一区域的授权服务器才能提供应答。然而，随着DNS架构的复杂化（如CNAME链、DNSSEC、CDN分发），该原则的有效性受到挑战。论文通过分析现有实现中的弱点，提出必须重新思考“我应该信任你吗？”这一核心问题，可能提出了新的信任评估模型或改进方案。实验部分或许展示了在真实网络场景下传统原则的失效案例。适合DNS安全研究员、协议开发者及安全运维人员阅读。

该论文针对区块链网络中脱链（off-chain）拍卖的可扩展性问题进行研究。传统的链上拍卖受限于区块大小和交易吞吐量，难以支持高频或大规模竞拍。作者提出一种新的脱链拍卖协议，通过将大部分计算和通信移出链外，仅在链上提交结算证明，从而大幅降低链上开销。协议的核心是利用安全多方计算（MPC）和承诺方案来保证竞拍过程的公平性、隐私性和不可抵赖性，同时防止恶意参与者欺诈。实验结果表明，所提方法在竞拍者数量增加时仍能保持线性或次线性的通信复杂度，且链上事务数量恒定，显著优于现有的链上拍卖方案。该工作适用于去中心化金融（DeFi）中的代币销售、NFT拍卖等场景，为构建可扩展的链上拍卖基础设施提供了理论和技术支撑。

本文对认证字典（Authenticated Dictionaries, AD）——一类支持密钥透明、二进制透明、可验证键值存储及完整性保护文件系统等应用的密码学数据结构——进行了系统化综述。首先，作者提出了一个统一框架，捕获了五种常见部署场景背后的信任和威胁假设。其次，他们梳理并调和了文献中分散的各种安全定义，阐明了每种定义提供的保证及其适用场景。第三，他们开发了AD构造的分类法并分析了渐近成本，揭示了一个尖锐的二分法：每个已知方案要么在查找和更新上均需O(log n)时间，要么通过为另一操作付出O(n)代价在某一操作上实现O(1)时间。令人惊讶的是，即使引入更强的信任假设，这一障碍依然存在，推翻了“更多信任带来更高效率”的直觉。最后，他们提出了应用驱动的研究问题，包括现实的审计模型以及为当前未提供任何可验证完整性的系统引入认证字典的激励措施。该论文适合对密码学数据结构、系统安全以及可验证计算感兴趣的研究者和从业者阅读。

本文研究了蜂窝网络中公共预警系统（PWS）的安全问题，该系统用于在地震、恶劣天气等威胁事件中向特定地理区域内的所有移动电话广播紧急警报。攻击者可能伪造这些警报，传播虚假新闻或钓鱼链接，导致公众恐慌或用户受害。作者首次提出并实现了开源的5G紧急警报欺骗攻击：通过修改OpenAirInterface（OAI）无线接入网（RAN）代码，利用软件定义无线电（SDR）执行伪造警报的广播，并辅以自定义网络管理系统自动配置网络和警告参数。实验分析了不同智能手机在多种条件下的行为，结果表明设备容易显示欺骗警报，且警报机制支持多种实际攻击场景，而不仅仅是简单显示警告。为应对这一威胁，作者在OAI中提出并实现了一种轻量级跨小区验证机制：设备将接收到的警报与相邻小区的广播进行比较，将单一来源的警报标记为可疑。该工作揭示了5G紧急警报系统的安全脆弱性，并提供了实用的检测方法。