该论文针对开源软件项目中的安全与信任实践进行了定性研究。开源软件在现代软件生态中占据核心地位，其去中心化开发和开放协作模式带来了独特挑战，例如来自未知实体的代码提交、有限的人力进行提交或依赖审查，以及如何让新贡献者快速了解项目最佳实践等。研究者对来自多个不同开源项目的所有者、维护者和贡献者进行了27次深度半结构化访谈，探究他们在安全与信任方面的实际做法。研究内容涵盖项目的幕后流程、提供的指南与策略、事件处理方式以及遇到的挑战。研究发现，不同项目在部署的安全措施、信任流程以及背后的动机上存在高度多样性。基于这些发现，论文讨论了对开源软件生态系统的影响，以及研究社区如何更好地支持开源项目在信任与安全方面的考量。作者主张以考虑各项目个体优势与限制的方式提供支持，尤其是对于贡献者数量少、资源访问受限的小型项目。该研究通过定性方法深入揭示了开源社区安全实践的现状与差异，为后续改进开源项目安全支持提供了实证基础。适合关注供应链安全、开源治理及社区安全实践的研究人员、开源项目维护者及平台设计者阅读。

随着AI编程助手（如Cursor、Claude Code、GitHub Copilot）在软件工程团队中的广泛部署，开发者经常通过下载领域特定的技能文件（skill files）来定制代理行为，以适配项目API、框架约定和组织工作流。这些复杂的Markdown文件通常通过`npx skills add`命令直接从公共注册表获取，几乎没有安全审查。这引入了一种新型的供应链攻击面：恶意技能文件可悄然重编程代理行为，窃取凭据、向生成的代码中注入后门，或将代理操作重定向至攻击者控制的端点。该威胁并非假设性：近期报告显示公共注册表中存在数百个恶意技能包，包括有组织的攻击活动利用虚假生产力技能传播凭据窃取型恶意软件。然而，目前尚无系统化的工具链防御措施来应对这一攻击面。为此，论文提出了SkillGate——一个可部署的安全网关，在编程代理安装技能包之前对其进行审查。SkillGate采用混合正则表达式预过滤 + LLM评审的流水线：安全信号文件完全绕过LLM（节省跳过成本）；被标记的文件仅将匹配的片段窗口发送给评审器，而非完整内容（节省片段成本）。研究基于SkillsBench基准（n=1,650，其中9.1%为恶意）回答了四个研究问题，涵盖检测有效性、审查成本、运行时开销及误报行为，并与两个现有工具进行了对比。实验结果表明，SkillGate在实现F1=0.817、FPR=1.13%的同时，相比全文件审查将LLM输入token减少77%，且在阈值无关的AUPRC上优于现有工具5-6倍（0.830对比0.144/0.162）。该研究首次系统性地解决了AI编程代理技能文件的安全检测问题，为蓝队和工具链提供了可落地的防御思路。适合安全工程师、AI代理平台开发者和供应链安全研究者阅读。

该论文扩展了 Ken Thompson 提出的“信任信任攻击”（trusting-trust attack）的适用范围，证明该攻击不仅限于编译器，还可以通过普通的构建工具（如 GNU strip）实现。攻击者仅通过操作已完成的 ELF 二进制文件（即二进制种子），在 NixOS Linux 发行版的引导过程中植入后门。具体地，攻击者篡改一个单一的 strip 二进制文件，使其在后续构建过程中将恶意载荷传播到新生成的 strip 版本中，并在种子离开依赖闭包后仍能存活于最终的标准构建环境。在真实的 nixpkgs 修订版上，该攻击成功构建了一个完整的图形安装程序，且几乎所有生成的二进制文件都被植入后门，使被攻陷的软件包能够执行任意恶意行为。论文通过实际实验展示了攻击的可行性，并讨论了其对软件供应链安全的深远影响。

该论文首次提出针对变分量子算法（VQAs）的参数供应链后门攻击——CutBackdoor。VQAs是近期量子计算的主要范式，结合了参数化量子电路与经典优化，广泛应用于量子化学、组合优化和量子机器学习。实际部署中，由于量子电路规模常超过硬件可用量子比特数，量子电路切割（如CutQC）成为必要执行策略，而预训练参数通过公共仓库分发引入了供应链安全风险。现有量子后门攻击要么引入可检测的电路修改，要么依赖设备特定噪声，且均未考虑电路切割作为攻击面。CutBackdoor利用CutQC的切割电路执行作为部署阶段触发器：攻击者在参数中植入后门，使得在完整电路验证时保持低误差（高隐蔽性），但在受害者因资源限制调用切割流程时，大幅增加切割路径的重建误差（1.3倍至2.9倍能量放大）。该攻击无需修改电路，无需攻击者在线参与。理论分析结合在IBM量子后端多个基准（VQE、VQD、QAOA）上的实验验证了攻击有效性，并表明零噪声外推（ZNE）仅能部分缓解。该工作揭示了量子计算软件供应链的新型攻击面。

本研究通过半结构化访谈的方式，深入调查了22名软件开发者、架构师和AI从业者在集成大语言模型（LLM）作为AI组件时的决策过程和安全考量。研究发现，从业者在选择AI模型时主要受功能标准驱动，如性能、准确率、成本和特定功能（例如工具调用或多模态支持），而安全因素极少被纳入评估标准。在整个AI组件集成过程中，安全关注普遍缺失，传统的软件供应链安全教训被忽视。研究者指出，行业正在重蹈早期软件依赖管理的覆辙，优先考虑快速复用和可用性而非安全性和来源可靠性。基于这些发现，论文提出了针对AI采用者、模型提供者和研究者的可操作建议，倡导采用主动的安全设计方法，将安全评估整合到组件选择中，并在整个软件开发生命周期中持续关注安全。该研究为理解AI供应链安全实践中的现实盲点提供了重要实证依据。

AI编码代理在设置项目时，会读取文档并安装依赖，但通常不验证包名、来源或已知漏洞。攻击者可以通过修改README、requirements.txt或Makefile等标准文档，将代理导向不受信任的注册表、已知漏洞版本或形似的恶意包名，使文档本身成为代码执行向量。本文首次系统评估了通过项目设置文档实施的包安装时供应链攻击，在五个攻击类别（包括拼写错误、分隔符混淆、注册表重定向、版本锁定、依赖伪造）共12个场景中，测试了多个前沿大语言模型与商业编码代理框架的组合。结果表明：安全取决于代理框架与模型的组合，而非单靠模型；代理能可靠检测明显拼写攻击，但合理分隔符混淆（如azurecore代替azure-core）常被漏过；基于源的攻击（如注册表重定向）几乎全被忽略；npm和Cargo生态中，几乎所有模型都会安装不受信任依赖，名称检测在不同生态间迁移不一致；添加安全提示仅能部分缓解特定维度的攻击，而预安装确定性检查（验证名称、来源、版本）可弥补大部分防御缺口。

本研究针对自主编码智能体（Autonomous Coding Agents）在代码生成过程中引入的安全债务（Security Debt）进行了大规模实证分析。随着AI驱动的编码工具日益普及，它们能够自动生成并提交拉取请求（PR），但由此产生的安全风险尚未得到系统评估。作者利用AIDev数据集，对3,022个由智能体生成的PR中的16,112个文件变更进行了研究，采用经过验证的LLM-as-a-Judge框架结合人工定性分析，分类统计了安全代码异味（Security Code Smells）。研究发现，38.9%的智能体生成PR至少包含一个安全异味，其中供应链完整性问题占所有检测到的安全异味的82.3%（如依赖注入、包篡改等）。更为关键的是，严重程度最高的安全异味中，硬编码凭证（如明文API密钥、密码）占比高达99.6%。进一步分析表明，在智能体辅助的工作流中，人类协作者实际引入了67.6%的真实机密泄露，而现有的自动和人工审查流程在集成前未能检测到81.1%的这类凭证。这些结果揭示了智能体辅助软件开发中存在的实质安全风险，并暗示开发者警惕性可能因依赖AI而下降。研究强调了在人类-AI协作点直接实施上下文感知的安全护栏（Context-Aware Security Guardrails）的迫切性。该工作为安全从业者理解LLM编码工具的风险提供了量化依据，并呼吁将安全审查机制前置。

LLM 代理通过从开放注册表下载技能来获得新能力。开发者通常让代理推荐并安装技能，但代理经常捏造不存在的技能名，这种现象称为“技能名幻觉”。本文首次大规模测量该漏洞，评估了 15,000 条提示和 12 种配置（4 个独立 LLM 和 8 个代理）。结果显示，所有配置都存在幻觉，平均幻觉率在独立 LLM 为 36.0%，在代理中为 36.9%，在真实开发者问题上高达 43.1%。系统共生成 5,669 个独特的虚构名称，且这些名称并非随机噪声：代理会跨提示和模型重复相同的虚假名称，为攻击者提供了高度可靠的目标。攻击者可预先注册这些名称对应的恶意技能，当代理尝试安装时即触发供应链攻击。作者测试了四种模型级防御，最强的检索接地将幻觉率从 40.8% 降至 3.2%，但严重损害了实用性——即使最优配置下，正确推荐技能的概率也仅为约六分之一。因此，技能名幻觉是高度可利用的漏洞，修复无法仅靠提示工程或模型调优，需要生态系统层面的结构性变革：注册表级名称预留和验证的推荐管道。

该论文提出一种轻量级的LLM指纹识别与验证方法，仅需单token输出分布即可区分不同模型。当前LLM服务常通过不透明的API聚合器、转售商或推理提供商提供，客户端无法技术验证所调用模型是否与宣称一致，且已有审计发现相当比例的商用端点与供应商参考权重存在偏差。现有识别技术需要长文本、token级对数概率、对抗性提示或模型所有者配合。本文证明远更弱的证据即可胜任：将LLM的行为指纹定义为对简单一词提示（如“在1到100之间随机说一个数字”）的答案经验分布，跨四种语言收集，每次查询仅消耗一个输出token。在大型商业聚合器OpenRouter上测量的165个模型中，发现：(i) 这些分布高度非均匀（中位细胞熵1.0比特）且模型特定：同一模型两半样本的距离比不同模型样本的距离小一个数量级；(ii) 指纹间的Jensen-Shannon散度可恢复模型谱系，将模型归入其文档家族，留一法准确率达59.5%（随机基线18.4%）；(iii) 类生物特征验证协议在使用完整40细胞电池时等错误率为7.3%，使用八个探针细胞时低于11%——每次审计约一百个单token查询。此外还报告了生态系统异常，包括一个专有品牌旗舰端点在分布上与开源Qwen模型无法区分。协议、提示、原始数据和分析代码均已发布，便于复现和操作使用。

该论文针对LLM编码代理（coding agent）中第三方技能（skill）带来的软件供应链攻击面展开研究。代理技能从公共市场获取，并拥有与代理相同的权限，恶意技能可能窃取凭证、泄露源代码或安装后门。现有防御主要采用基于模式匹配或LLM作为评审的静态扫描器，但论文质疑其对自适应逃逸的鲁棒性。作者首先提出SkillCloak，一个保留载荷语义的逃逸框架，通过两种互补策略：结构混淆（将可见载荷指标重写为语义等价形式）和自我提取技能打包（SFS Packing，将恶意组件隐藏于安装时视图之外，在执行时恢复）。在8个扫描器和1613个野外恶意技能上的实验表明，SFS Packing以超过90%的逃逸率绕过所有扫描器，结构混淆在大多数静态扫描器上逃逸率超过80%，在混合扫描器上达到96%，证明基于外观的审计不足。受此启发，作者提出SkillDetonate，一个行为中心的运行时审计器，在沙箱中执行技能并通过操作系统边界的信息流证据（而非安装时外观）检测恶意效果。它结合按需闭包提升（观察执行期间具体化的指令）和基于标记的污点分析（跟踪代理上下文、文件、进程和网络操作中的敏感数据流）。结果显示SkillDetonate以2%的误报率检测97%的攻击，在真实恶意技能上维持87%的检测率。该研究揭示了当前技能安全机制的脆弱性，并提供了可扩展的运行时检测方案。

该论文提出了一个名为 SecurityNet 的框架，旨在系统性地评估公开机器学习模型的安全性弱点。随着预训练模型在开源社区（如 Hugging Face）广泛发布，攻击者可能利用这些模型中的后门、对抗性扰动等漏洞。SecurityNet 通过组合多种攻击方法（包括对抗性攻击、后门注入、模型窃取等），对公开模型进行自动化安全评估。实验覆盖了图像分类、自然语言处理等多种任务中的主流模型架构（如 ResNet、BERT）。主要贡献包括：1) 设计了一个模块化的评估管线，支持多种攻击场景；2) 在大量公开模型上进行了实证研究，揭示了相当比例的模型存在可利用的漏洞；3) 提供了可复现的基准，帮助研究者比较不同防御手段的效果。该工作为模型发布前的安全审查和模型供应链风险管控提供了参考工具。

该论文研究了大语言模型（LLM）编码代理（coding agents）的配置管理问题。编码代理通常被授予广泛的文件系统和shell访问权限，但指导其行为的配置层（如规则文件、代理定义、IDE特定的markdown）却缺乏系统化管理。作者对10,008个公开GitHub仓库中的6,145个代理配置文件进行了流行度研究，发现代理配置作为未声明的共享组件传播：10.1%的跟踪路径在不同仓库间是SHA-256精确重复（经fork调整且阈值无关），其中75.5%的克隆对跨越组织边界。此外，配置极少被修订（58%仅有单个提交；标准化年龄后每月提交次数仅为CI/CD工作流的0.4 vs 0.6），且极少声明权限边界（代理配置中<1%，而Actions工作流中为33%，n=31个真实正例）。针对这些差距，作者提出了一个位于代理框架之上的确定性控制平面——Rel(AI)Build。该系统将代理定义视为受管理的供应链（采用SHA-256内容寻址、HMAC标记的锁文件、哈希链审计日志）；在LLM调用前实施分层权限和攻击衍生阻止列表；通过包含需求到文件到测试可追溯性的阶段状态机来门控功能工作；将单个规范定义编译到七个IDE目标；并利用Jaccard相似度检测提示漂移。对注入违规的合规性测试确认每个机制都强制了其声称的不变量；开发者体验的改善留作未来工作。论文强调该层的治理必须确定性和工具无关，而不应委托给进一步的LLM编排。

该论文对Android生态系统中的固件空中下载（FOTA）应用进行了首次大规模系统性分析。FOTA应用负责管理Android设备固件的更新，拥有高权限，对设备安全至关重要。然而，厂商特定实现可能因不良软件工程实践引入安全和隐私问题。研究者设计了一个检测工具，从422,121个预装应用中识别出2,013个FOTA应用，并进行了分类和静态分析。主要发现包括：43%的FOTA应用由第三方开发，部分设备甚至预装了多达5个FOTA应用；一些应用存在隐私侵入行为，如收集敏感用户数据（例如与唯一硬件标识符绑定的地理位置）并包含大量第三方跟踪器；实现缺陷导致关键漏洞，例如使用公开的AOSP测试密钥签署FOTA应用及用于更新验证，使得任何使用相同密钥签名的更新均可被安装；此外，通过商业安全工具收集的真实设备遥测数据表明，FOTA应用还负责安装非系统应用（如娱乐应用和游戏），包括恶意软件和潜在不受欢迎程序（PUP）。研究结论指出，FOTA开发实践与Google的建议相悖，亟需关注。

本文研究Go生态系统中的自动化供应链攻击活动。攻击者将合法Go模块重新打包到其控制的所有者名下，并在其中嵌入混淆代码，作为导入触发的下载器。作者通过两项互补分析进行测量：a) 在GitHub上手动搜索2,113个仓库；b) 使用自行实现的去混淆AST扫描器（GOAST）对1230万个索引条目进行大规模扫描。结果发现2289个合法Go模块的恶意版本。研究表明，仅依赖GitHub的搜索无法完全识别攻击范围，且仅在受影响代码仍存在于平台时有效。此外，基于代理的测量显示，在后续发现为GitHub不可观察（即已删除或暂停）的工件中，至少99.4%仍可通过Go代理检索。在披露后，GitHub移除了684个恶意仓库，Google Go团队修复了1377个模块版本。本文的核心贡献在于揭示了现有清除措施的局限性以及恶意模块在代理中的持久性，为Go供应链安全提供了新的测量方法。

本文对新兴JavaScript运行时Deno及其生态系统deno.land的安全性进行了全面研究。Deno由Rust编写，号称比Node.js更安全，具有严格权限系统（静态/运行时权限检查）和基于URL的透明依赖管理。作者首先对比Deno与Node.js的攻击面，发现Deno攻击面更小，但仍存在ReDoS（正则表达式拒绝服务）和原型污染（仅部分缓解）等已知攻击。进一步分析权限系统，发现三个弱点：1）粗粒度权限允许攻击者滥用操作系统环境权限绕过Deno权限检查；2）URL导入被豁免于权限检查，可发起非法网络请求；3）符号链接处理存在TOCTOU（检查时间到使用时间）问题，使细粒度文件系统访问控制失效。实证研究deno.land上第三方代码使用和权限配置情况，发现经典URL安全问题（过期域名、不安全的传输协议），以及多个域名参与代码分发时难以保证一致的不变性和版本控制。此外，开发者对所需权限文档化不足，且倾向于滥用粗粒度权限，削弱了权限系统的优势。研究成果包括两个安全通告，重新设计了Deno的导入机制，并提出了改进建议：增加导入权限、文件系统级别额外访问控制、支持隔离机制、以及持久化细粒度权限的清单文件。该论文适合运行时安全研究者、Deno开发者及供应链安全工程师阅读。

大型语言模型（LLM）日益部署在软件工程等敏感场景中，其输出直接影响下游工件。近期研究发现，同一模型在不同部署平台上可能产生可测量的输出差异，这是由非结合浮点运算和不同的内核实现所致。本文研究了这种平台依赖可变性的安全影响，揭示了LLM部署中一种新的攻击面。作者提出FloatDoor，首个输入无关、平台触发的生成式LLM后门攻击。受感染的模型在目标平台上呈现对手选择的恶意行为，在其他平台上则表现正常。FloatDoor通过两个轻量级LoRA适配器实现：一个放大跨平台的数值发散，另一个将由此产生的平台特征绑定到恶意下游任务，同时保持模型整体效用大致不变。该攻击利用了模型审计与服务之间显著的时间差（TOCTOU）。作者在Qwen3-4B上对多种部署目标（包括NVIDIA GPU、Google TPU、AWS Graviton、Alibaba Yitian-710）演示了FloatDoor。最后，案例研究表明，FloatDoor能在所选目标平台上可靠地诱发可利用的代码漏洞。该研究定义了LLM部署的一类新攻击，强调了在敏感的LLM驱动应用中建立可信模型供应链的紧迫性。

该论文聚焦于3D打印中G代码（一种用于控制3D打印机的标准指令集）的安全隐患。随着3D打印技术在制造业、医疗和航空航天等领域的普及，G代码的安全性变得至关重要。恶意攻击者可能通过篡改G代码文件或注入恶意指令，导致打印出的物体结构强度不足、尺寸偏差，甚至引发打印机硬件损坏。论文提出了一种系统性的安全分析框架，通过静态分析和动态模拟相结合的方法，检测G代码中的异常模式，例如非预期的温度变化、速度突变或材料挤出异常。作者实现了一个原型工具，并在多种3D打印机和真实G代码数据集上进行评估。实验结果表明，该工具能够有效识别已知的攻击模式（如层高篡改、支撑结构移除），同时误报率较低。此外，论文还讨论了当前3D打印流程中的安全缺口，如缺乏数字签名验证、切片软件易受攻击等，并给出了防御建议，包括引入G代码完整性校验和运行时监控。该研究为3D打印供应链安全提供了重要参考，适合工业安全研究员、制造商以及安全架构师阅读。

该论文探讨了持续集成（CI）系统的信任问题，核心关注点是：即便源代码本身没有恶意代码，基于容器的CI系统仍可能被植入隐形恶意软件，且不在源码中留下任何痕迹。作者借鉴了Ken Thompson经典的编译器后门思想，证明了攻击者可以通过多种初始感染手段（例如利用CI系统的镜像拉取机制、缓存污染、或插件漏洞）入侵CI环境，随后通过绕过CI系统更新的持久化机制长期潜伏。攻击载荷包括数据窃取、在生产软件中植入后门等。此外，攻击者还能利用隐蔽信道对受感染的CI系统进行远程控制，动态更新攻击载荷或规避防御措施。作者在GitLab CI上实现了概念验证，并指出该攻击可迁移至主流CI平台。研究指出传统代码审查、静态分析等防护手段对此类攻击几近无效，揭示了现代软件供应链中一个被忽视的信任盲区。

该论文针对SOHO（小型办公室/家庭办公室）设备中因使用过时Linux内核版本引发的安全漏洞问题进行了系统研究。作者首先通过高精度模板CVE检测机制，对306款SOHO设备的900多个GPL源代码固件进行分析，实际验证了内核相关漏洞的存在。然后，首次大规模溯源了这些易受攻击设备的供应链，发现内核锁定（kernel lock-in）是根本原因：SOHO制造商因依赖SoC（片上系统）厂商提供的SDK而被锁定在特定（通常较旧）的内核版本上。这种锁定期造成了漏洞债务，该债务沿着供应链从SoC供应商传递到固件创建者（ODM/OEM），再到路由器/IP摄像头厂商，最终由终端用户承受。数据显示，所有五家SoC供应商使用的SDK中的Linux内核在其被用于SOHO设备前的至少一年前已停止维护（EOL）。最后，论文评估了个人、监管和社区治理三种缓解措施的潜力，发现仅靠法规遵从不足，只有与社区合作进行内核升级的SoC供应商才提供了可行的缓解路径。研究提供了数据与代码。

AI 编码代理（如 Claude Code、Gemini CLI）通过第三方技能包扩展功能，这些技能包同时包含自然语言指令、可执行脚本和工具权限，构成了代码与指令混合的供应链依赖。现有检测工具从未在同时涵盖代码和指令的恶意技能 ground truth 上进行过评估，导致其有效性未知，且仅依赖野外样本的评估存在偏差。本文提出 MalSkillBench，首个运行时验证的恶意代理技能基准测试。该基准包含 3,944 个恶意技能，按 108 个单元的三维分类法标注。其中 3,214 个通过闭环的生成-验证-反馈管道产生，仅保留在 Docker 沙箱中通过系统调用监控和 LLM 判断器确认触发恶意行为的样本；另加入 703 个野外样本和 4,000 个匹配的良性技能。实验测量结果一致：代码注入的验证成功率达 94.5%，但提示注入仅 75.8%，这种脆弱性也导致后续难以检测；野外样本分布狭窄，由单次加密货币窃取活动主导（86.6% 为同一行为，81% 来自两个账户），但存在少量攻击代理控制平面的新架构；最强的技能专用检测器在代码注入上达到 98.4% 召回率，但在提示注入和代理控制攻击上完全失效；仅使用野外样本评分会使排名波动高达 66 个召回点；供应链扫描器和提示注入防御各自仅看到技能的一半，且没有任何组合能恢复代码与指令的关系。因此，检测恶意技能需要联合推理任务意图、代码和指令。该基准为 AI 代理供应链安全评估提供了关键工具。

该论文提出了一种名为“保管封套阈值”（Custody Envelope Threshold, CET）的模型，旨在解决现代机构基础设施中对外部工件（如包注册表依赖项、CI/CD actions、容器镜像、Terraform 提供者和模块、开发者扩展、模型工件及AI工具服务器）的准入治理问题。论文指出，直接由机构准入这些工件，仅在对象标识、入口路径和撤销能力相对于委托给工件的执行权限足够封闭时才是可辩护的。当这一阈值未达到时，机构会采取代理、策略中介、供应商中介、内部化、隔离或拒绝等方式处理工件。CET模型被操作化为一个四条件顺序工具，并基于参考监视器推理、最小权限原则和交易成本经济学进行理论支撑。论文将CET应用于六个具体领域：包依赖、GitHub Actions、容器镜像、Terraform提供者和模块、开发者扩展以及开放模型工件，并将Model Context Protocol (MCP) 服务器作为保留证据进行额外分析。此外，论文还指定了验证设计、确定性预测函数和开放科学框架（OSF）复制包，用于测试高审查机构是否对高权限工件收敛于更强的保管封闭性。核心贡献在于：提供了一个可操作的工件准入决策框架，将安全原则与经济成本结合，帮助机构在不同权威级别下做出合理的保管决策。该工作适合基础设施安全工程师、DevOps团队、供应链风险管理者和学术研究者阅读。

本文针对模型上下文协议（Model Context Protocol, MCP）服务器中普遍存在的描述-代码不一致（Description-Code Inconsistency, DCI）问题进行了系统性研究。MCP是大语言模型（LLM）调用外部工具的关键标准，其工作流程中，LLM依赖MCP服务器提供的自然语言描述来选择和执行函数。这一交互隐含地假设工具描述忠实反映底层实现，但实际中该假设并未得到强制验证。本文首先正式定义了DCI问题，并提出了一个全面的分类体系，涵盖功能不一致和未声明的副作用。基于该分类，开发了自动化框架DCIChecker，该框架结合结构感知的静态分析和直接-反向-仲裁（Direct-Reverse-Arbitration）提示方法，对工具描述与实际代码实现进行交叉验证。研究人员将框架应用于包含2214个真实MCP服务器中19200个描述-代码对的大规模数据集。测量结果表明DCI普遍存在，9.93%的对存在不一致。进一步分析显示DCI会造成关键防御盲区，可能引发从操作失败到隐蔽恶意行为等多种风险。最后，本文提出了强制语义一致性的缓解策略，以增强新兴代理生态系统的可靠性。该研究适合AI安全、LLM应用安全、软件工程等领域的从业者阅读。

本文提出了 RogueMerge，一个针对大语言模型（LLM）模型合并过程的统一攻击框架。模型合并通过聚合来自未经验证的公共平台的任务向量，将多个专用能力组合到单个 LLM 中，这暴露了关键的供应链攻击面：因为任何恶意行为都可以编码到任务向量中，且合并过程授予第三方向量对模型权重的直接写入权限，攻击者提供的任务向量可以启用或放大多种下游威胁。之前的工作仅研究针对分类器的静态算术启发式后门攻击，无法有效处理生成式 LLM 上的多种攻击，原因有三：(i) LLM 依赖自回归解码，合并引入的微小参数漂移会在 token 间累积，迅速降低攻击效果；(ii) 攻击者不知道受害者合并配置，静态攻击向量容易被稀释或破坏；(iii) 实际威胁诱导必须泛化到优化期间未见过的攻击提示，静态向量无法充分编码。RogueMerge 解决了这三个挑战：为处理自回归生成，它用联合优化替换静态算术，显式地确保合并后攻击成功；为处理未知合并设置，它将攻击注入形式化为随机最小-最大问题，并通过元学习风格模拟求解；为跨异构攻击提示泛化，它采用分布鲁棒优化并推导出 LLM 规模下可处理的一阶泰勒近似，具有可证明的误差界。在四种威胁、六种合并算法和超过 170 个合并 LLM 上，RogueMerge 持续优于现有攻击，且在不同合并设置下保持稳定，并能抵抗标准防御。

本文针对开放智能体平台中社区贡献的技能（skills）带来的供应链安全风险，提出了一个两阶段安全审查基准——SkillVetBench。第一阶段对每个技能的自然语言规范进行语义审查，检测隐藏的恶意意图；第二阶段在沙箱中执行标记的技能以观察运行时行为并收集可审计证据。基准测试基于OpenClaw生态系统中的真实恶意技能构建，包括近期ClawHavoc供应链攻击活动中的样本。实验表明：（1）仅依赖语义或签名的基线方法不足，最多漏掉89%的恶意技能，这些技能的攻击源自自然语言指令、多组件逻辑或跨组件交互；（2）运行时攻击集中在少量高权限原语上，特别是exec、write_file、install_skill和spawn；（3）SkillVetBench提供了沙箱执行直接支持恶意判定并附带具体运行时证据的案例研究。

本文针对当前Web应用供应链中资源完整性缺乏有效验证的问题，提出了一种链接完整性管理系统（Link Integrity Management System）。研究背景指出，尽管Web持续增长，但依赖监控工具和资源完整性标准的发展滞后，导致供应链攻击成为Web应用攻击面中最受关注的部分。目前没有一种既通用又高性能的方法来验证Web资源的完整性。作者设计的系统旨在提供一种可扩展且高效的完整性验证机制，通过自动检测外部资源链接的变更、失效或被篡改，从而帮助开发者及时识别并修复潜在的安全风险。实验部分（基于论文内容推测）可能展示了该系统在真实Web应用中的部署效果，验证了其在检测完整性违规方面的准确性和低性能开销。主要贡献包括：提出了一种系统化的链接完整性管理方法；实现了对资源变更的实时监控；为防御供应链攻击提供了新的技术手段。适合Web安全研究人员、DevOps工程师以及关注供应链安全的安全从业者阅读。

本文针对Visual Studio Code（VS Code）扩展市场中的安全漏洞进行了系统研究。研究者首先识别了VS Code扩展中可能存在的四种不可信输入源和三种代码目标，这些可被用于代码注入和文件完整性攻击。基于此，他们利用CodeQL设计了污点分析规则，对包含代码的25402个扩展进行了生态级分析。结果显示，虽然漏洞并不普遍，但它们确实存在并影响了数百万用户。具体而言，研究者发现了21个扩展存在已验证的概念验证代码注入漏洞，总计影响超过600万次安装。此外，他们还揭示了Node.js生态系统对VS Code扩展的影响：13655个扩展每个都有超过100个npm传递依赖，而9710个扩展依赖于存在严重级别建议的易受攻击的npm包。该研究强调了IDE扩展安全性需要更多关注。

本论文复现并扩展了 Spracklen 等人 (USENIX Security '25) 关于代码生成大语言模型 (LLM) 产生包名幻觉的研究。Spracklen 的工作表明，LLM 在生成 Python 或 JavaScript 代码时会虚构不存在的包名（幻觉率在商业模型上 5.2%，开源模型上 21.7%），这为 slopsquatting 攻击（注册幻觉包名以投递恶意包）创造了攻击面。本文选取五款在 2025 年 10 月至 2026 年 3 月间发布的前沿代码模型：Claude Sonnet 4.6、Claude Haiku 4.5、GPT-5.4-mini、Gemini 2.5 Pro 和 DeepSeek V3.2，使用 199,845 组 Python 和 JavaScript 提示词，并对照 PyPI 和 npm 官方包列表进行验证。结果表明，整体幻觉率处于 4.62%（Claude Haiku 4.5）到 6.10%（GPT-5.4-mini）之间，模型间差距较 Spracklen 的发现大幅缩小（从数量级压缩到约 1.5% 跨度），但威胁并未消失。更重要的是，论文识别出 127 个所有五款模型都一致虚构的包名（109 个在 PyPI，18 个在 npm），构成模型无关的供应链攻击面——这是单一模型研究无法发现的。此外，论文还记录了 Python 幻觉率高于 JavaScript 的反转（与 Spracklen 2024 年发现相反），Anthropic 系列中 Haiku 的幻觉率低于 Sonnet 的反常现象，以及 DeepSeek V3.2 与 GPT-5.4-mini 之间 Jaccard 相似度峰值 (J=0.343)，暗示两者训练数据可能有共同来源。该研究对 LLM 供应链安全、软件包生态系统防御以及模型训练数据审计具有重要启示。

本文提出了一种针对扩散模型的新型供应链后门攻击方法——DiffusionHijack。该攻击不修改模型权重，而是通过注入恶意的伪随机数生成器（PRNG）来劫持生成过程中的噪声采样，从而实现对生成图像内容的精确控制。攻击者通过第三方或已受感染的Python包替换标准PRNG（如PyTorch的default_generator），使得每次生成时，尽管用户提示不同，模型都会输出攻击者预设的图像（SSIM=1.00）。该攻击在Stable Diffusion v1.4、v1.5和SDXL上验证成功，且不受随机采样（eta>0）和CLIP安全检查器的影响（绕过成功率98-100%）。由于恶意PRNG完全脱离神经网络计算图，现有模型审计和内容审核机制无法检测到该后门。作为防御，作者提出将PRNG替换为量子随机数生成器（QRNG），利用信息论上的不可预测性彻底消除确定性后门。实验表明，QRNG防御可将输出图像相似度降至基线水平（SSIM<0.20 for SD 1.x, <0.45 for SDXL）。该研究揭示了生成式AI供应链中一个被忽视的安全漏洞，并提出基于硬件的根本性缓解措施。

该论文研究大型语言模型（LLM）生态系统中以代码实现的技能（programmatic skills）的描述与实现不一致性问题。这类技能通常包含自然语言描述和可执行代码文件，用户或LLM依赖描述来理解其功能范围，但实现代码可能执行描述中未声明的安全相关操作（如凭据访问、网络通信、命令执行）。作者首先手动分析了920个真实世界的程序化技能，构建了一个包含11类安全属性的分类法（security property taxonomy），涵盖文件操作、网络通信、进程执行、编码/解码、代码执行、Shell命令、凭据访问、加密操作、持久化、系统信息收集等行为。基于该分类法，他们提出了SKILLSCOPE方法：从技能实现代码中构建源代码级安全属性图（Security Property Graphs, SPGs），SPG节点保留源代码层面的具体模式而非抽象分类标签，从而保留细粒度的证据；然后利用LLM辅助进行一致性检查，判断实现代码的安全相关行为是否超出了描述中声明的范围。在4556个程序化技能上，经过双盲人工审核，SKILLSCOPE识别不一致的精确率达到84.8%，召回率达到96.5%。确认不一致的技能占9.4%，而描述粒度较粗但实现细节仍在声明范围内的案例占24.3%。消融实验表明，分类法将精确率从87.8%提升至（原文未提及，但在摘要中实际影响是去除分类法后精确率降至72.3%），去除SPG则召回率从94.7%降至79.0%。该工作首次系统性地关注了LLM技能描述与实现之间的安全语义鸿沟，为构建更可信的LLM技能生态提供了检测方法。适合安全研究人员、LLM平台开发者、以及关注AI供应链安全的人员阅读。

该论文针对C/C++软件供应链中的漏洞分析问题提出了一种社区级别的软件组成分析方法（SCA）VulSCA。现有SCA工具（如OSSFuzzer、OSSGadget、OSV-Scanner）在识别第三方库漏洞时存在高误报率和难以理解的问题，主要原因包括漏洞库不完整、版本匹配不精确以及缺乏上下文信息。VulSCA利用社区信息（如GitHub issues、commit logs、安全公告）构建增强的漏洞数据库，并结合代码相似性与补丁分析技术，精确识别受影响函数，从而减少误报。实验结果表明，在多个真实C/C++项目数据集上，VulSCA在召回率和精确率方面均优于现有工具，误报率显著降低。论文还展示了VulSCA能够发现之前未知的漏洞变种，并提供了详细的漏洞影响分析。该方法对于提升C/C++软件供应链安全性具有重要参考价值。

本文提出了一种面向开放无线接入网（Open RAN）无线智能控制器（RIC）应用的零信任供应链保证评分标准（rubric）。Open RAN允许第三方xApps和rApps以运营节奏进行上线和更新，形成了跨越开发者、持续集成系统、注册表、上线管道和运行时执行点的软件供应链。该研究主要贡献包括：首先，针对RIC应用在构建、签名、发布、上线、运行、更新/回滚等阶段的应用中心生命周期威胁模型；其次，与O-RAN联盟WG11对齐的威胁-控制-证据映射，将生命周期威胁与O-RAN安全基线及补充性供应链证据相关联；第三，面向运营商的保证配置文件，将安全软件开发实践、SBOM透明度和SLSA风格的来源证明组合为渐进式上线级别。通过分析性案例研究演练和最小证据检查工作流，展示了该评分标准如何支持在RIC应用上线期间做出明确的接受、升级或阻止决策。评估旨在评估适用性而非部署规模性能；运营开销、决策一致性和检测覆盖率的实证测量留待未来工作。本文适合O-RAN安全研究人员、运营商安全架构师以及供应链安全从业者阅读。

本文研究了ASIC加密货币矿机的固件分发生态系统的安全性。矿机是区块链基础设施的核心组件，直接转换算力和能源为货币价值，但其安全性很少被系统评估。作者提出了一种可扩展的方法论，基于收集和静态分析公开分发的固件工件，无需设备访问或运行时交互。他们利用该方法重构并分析了134个固件镜像，覆盖了Bitmain、MicroBT、Canaan、Iceriver等制造商，这些制造商占已部署矿机总量的99%以上。研究发现，仅凭固件工件就足以恢复内部架构、识别安全弱点，并重构出完整的攻击链路，从而实现高影响力的对抗目标。具体而言，分析揭示了导致真实大规模攻击场景的漏洞，包括固件钓鱼和利用仍运行Stratum V1协议的矿机。在两个真实设备上的验证证实，公开分发的工件与已部署软件高度一致，且这些弱点可转化为实际攻击能力。总体而言，研究表明固件分发机制本身构成了主要攻击面，显著降低了ASIC挖矿生态系统的被攻破门槛。该工作为安全社区提供了对矿机供应链安全的新视角，并强调了保护固件分发流程的必要性。

该论文针对AI包生态系统中日益严重的依赖混淆攻击，提出了一种基于密码学的分发溯源系统。依赖混淆攻击利用了软件分发过程中的结构性缺陷：一旦包被安装，没有任何密码学证据证明它来自哪个注册表。现有的防御措施均为配置驱动，且在配置错误时会静默失效。本文设计的系统包含三个核心组件：(1)密码学注册表身份，每个注册表持有Ed25519密钥对，为分发的每个工件签名；(2)双重签名模型，发布者在打包时签名，注册表在发布时副签；(3)权威命名空间绑定，消费者固定注册表指纹，解析器密码学地拒绝来自未授权注册表的工件。这三个组件形成三层防御，攻击者必须同时攻破所有层才能成功。论文对八个主要包生态系统（npm、Cargo、Hex.pm、PyPI、Go模块、Docker/OCI、NuGet、Maven）进行了对比分析，结果显示没有一个现有系统同时具备强制发布者签名、密码学注册表身份、强制注册表副签和消费者端密码学强制这四个特性。系统还扩展到AI生成溯源，将签名属性作为治理强制依赖解析的一部分。案例研究将分发溯源与一个三层运行时治理架构集成，创建了无密码学间隙的四阶段生命周期链。主要贡献在于提供了针对依赖混淆的结构化防御方案，不依赖配置，而是通过密码学机制根除攻击面。适合安全工程师、软件供应链安全研究人员、包管理器开发者阅读。

本文揭示了一种针对本地大语言模型（LLM）微调过程的供应链攻击新范式。传统观点认为本地离线微调能够保护训练数据中的敏感信息（如API密钥、个人标识符、金融记录等），但本文证明，通过向模型代码中植入伪装成标准架构定义的后门，攻击者即可实现高成功率的秘密窃取。不同于以往被动的预训练权重投毒（主要依赖概率性语义前缀，难以捕获稀疏高熵的目标），本文提出了一种主动执行劫持方法：攻击者将恶意代码伪装为模型架构定义（如PyTorch模块），在微调时触发执行劫持。核心技术包括：1）确定性全链记忆机制，通过在线张量规则匹配锁定动态计算流中的令牌级秘密；2）值-梯度解耦技术，隐蔽地注入攻击梯度，克服梯度淹没问题迫使模型记忆秘密；3）首次实现攻击者可验证的秘密窃取——通过黑盒查询精确区分真实泄露与幻觉。实验表明，该方法在保持主任务性能的前提下，严格攻击成功率（Strict ASR）超过98%，并能有效绕过差分隐私（DP-SGD）、语义审计和代码审计等防御措施。该研究提醒安全社区，模型代码供应链是不可忽视的攻击面。

A prototype pollution vulnerability affects example-js < 3.5.0. Dependents that merge untrusted input may be impacted.

An authentication bypass vulnerability exists in ExampleLib 1.x. Services using the default configuration may allow unauthenticated access to privileged endpoints.