A2M: Trace-Optimized Agent Hijacking in the MCP Ecosystem
该论文研究 Model Context Protocol (MCP) 生态中的一类语义供应链风险：使用 MCP 的智能体（agent）在从第三方 MCP 服务器挑选工具时，主要依赖工具名称、描述等元数据与用户意图之间的语义匹配，而元数据和工
#supply-chain
共收录 99 条相关情报。
← 返回所有主题Assessing Runtime Electromagnetic Detection of CPU Hardware Trojans Targeting Kernel Memory
该论文研究硬件木马（hardware trojan）的运行时检测问题。传统硬件木马检测多依赖破坏性逆向工程或片上额外监测电路，成本高、难以在设备部署后持续运行。作者提出利用处理器运行时的电磁（EM）辐射作为被动侧信道，对运行中的系统做实时检
Exploiting Software-level Abstractions To Support Practical Hardware Trojan Attacks
该论文研究 CPU 硬件木马（Hardware Trojan, HT）在实际终端设备上的可行威胁模型。传统 CPU 木马攻击通常假设攻击者已能在目标系统上执行任意机器级代码，以便可靠触发植入的木马逻辑；但在手机、笔记本等终端设备上，任意代码
The More It Says, the More You Pay: A Black-Box Audit of Provider-Side Token Inflation in LLM Services
该论文关注按 token 计费的 LLM 服务中的一个经济安全风险：不诚信的服务提供方可以在基本保持任务可用性的前提下，隐蔽地操纵生成过程以抬高输出 token 数量，从而让用户支付更多费用。作者将这类操纵定义为“提供方侧 token 膨胀
Mind the Gap: How SBOM Specification Ambiguities Lead to Divergent Software Bills of Materials. An Empirical Tool Study
欧盟《网络弹性法案》(CRA) 规定自 2027 年 12 月起软件物料清单 (SBOM) 将成为强制合规要求。此前多项研究已发现不同 SBOM 生成工具对同一项目产出的清单存在显著差异,但差异的根因一直不明:究竟源于工具实现错误,还是有意
Analog Pin Directionality as an Exfiltration Attack Surface in Mixed-Signal ICs
该论文聚焦混合信号（AMS）芯片中一个长期被默认、却从未被当作安全属性显式验证的问题：模拟引脚的方向性。传统上，标称「仅输入」的模拟引脚被假定只能采集片外信号，其方向性被视为功能属性而非安全属性，因此既不进入安全验证流程，也不被测试用例覆盖
CASHEWS: Source Preprocessor for LLM-based Malicious Package Detection
该论文聚焦于基于大语言模型的恶意 npm 包检测中的一个关键盲区:LLM 的上下文窗口有限,而攻击者可以利用 JavaScript 混淆制造极高的 token 密度,或把恶意代码与良性代码打包(bundling)在一起,使文件体积膨胀、超出
"Your Robot Was Trained on a Lie": Collision Mesh Poisoning Attacks on Robotic Manipulation
本研究聚焦于「基于学习的机器人操作」（learning-enabled robotic manipulation）在真实部署前普遍依赖机器人仿真器进行策略训练与评估这一流程。作者首先指出，现有3D资产中存在一种被合法且广泛使用的「视觉—碰撞
PentestChain: A Cost-Aware, MCP-Orchestrated Framework for Automated Penetration Testing with Free-Tier LLMs
该论文提出 PentestChain，一个面向自动化渗透测试的十阶段框架，核心动机是解决 AI 驱动渗透测试的成本可及性问题。作者指出，此前基于 GPT-4 等前沿闭源模型（premium frontier models）的自动化渗透测试虽
State Without a Landlord: An Architecture Proposal for Peer-to-Peer Replication of Durable Workflow State
该论文聚焦持久化执行（durable execution）框架中「工作流状态归谁所有、由谁背书」这一根本问题。当前主流做法是：框架把长时运行函数的每个执行步骤写入日志（journal），故障后依靠确定性重放（deterministic re
Permutation-Based Stegomalware in Large Language Models: Threats and Countermeasures
该论文研究的是大语言模型（LLM）供应链中的隐写恶意软件（stegomalware）威胁：由于 LLM 训练成本极高、生态高度依赖第三方开源权重，攻击者可以把恶意负载直接编码进模型权重文件中，从而在模型分发环节完成投递。此前的相关工作曾利用
When the World Lies: Backdoor Attacks on Latent World Models for Downstream Control
论文揭示：把预训练的潜在世界模型（把观测编码为潜在状态、并预测其在动作下如何演化的学习型模拟器）当作下游控制任务的“现成动力学骨干”来复用，会引入一条供应链后门。攻击者只需控制发布的模型检查点，就能劫持下游控制器——而受害者完全在干净数据上
Misleading the Planner through Deceptive Resumes: Registration-Time Injection in Centralized Multi-Agent Systems
该论文研究的是中心化 LLM 多智能体系统（MAS）在“注册阶段”引入的一类新型注入风险。在这类系统中，新加入的 worker agent 需要把自己的描述信息注册进系统，而 planner（规划器）会读取这些描述来决定三个关键决策：任务如
Python Import as an Execution Boundary: An Empirical Study of Bugs, Vulnerabilities, and Analysis Gaps
该论文关注一个长期被安全社区低估的问题：Python 的 import 语句不仅是依赖解析机制，更是一个执行边界——在模块与包的初始化阶段就会实际执行代码。这种执行可能触发异常、动态加载模块或原生扩展、访问文件/网络/环境资源，甚至在应用尚
Same Name, Different Server: A Security Census of Silent Drift in the Model Context Protocol Ecosystem
该论文对 Model Context Protocol (MCP) 生态进行了一次系统性的安全普查。MCP 已成为大语言模型应用连接外部工具的事实标准接口，其公共注册表分发了数千个社区构建的服务器，但相较成熟软件包生态，其审核与治理基础设施
SpecGuard: Inference-Time Backdoor Detection For Free
该论文关注大语言模型供应链中的后门风险：模型常被第三方微调、共享或直接下载，因此实际部署的模型可能在良性输入下表现完全正常，一旦出现攻击者预设的秘密触发器，就切换为攻击者控制的行为。部署前的静态审计虽然有效，但对于持续更新、频繁重新微调或热
"They don't care about this": A Systematic Study of TEE Build Reproducibility in the Wild
该论文系统性研究了可信执行环境（TEE）构建过程的可复现性（reproducibility）问题，选题紧扣云上机密计算信任链的根基。研究背景是：TEE（如 Intel SGX、Intel TDX、AMD SEV）已成为现代云计算的关键基础设
No-Box Vulnerability Analysis: Description-only Detection of Indirect Prompt Injection Vulnerabilities in MCP Servers
传统漏洞分析通常依赖对目标系统的访问权限或与其动态交互，但在第三方分析师审计闭源、远程托管、关键在役系统或商业受限软件时，这两类条件往往都不具备。为此，论文提出一种新的分析范式——无盒漏洞分析（no-box vulnerability an
Wicked Problem, Parsimonious Solution: Securing Electric Vehicle Charging Station Software
本文是一篇立场论文（position paper），聚焦电动汽车充电基础设施中充电站这一最脆弱环节，尤其指出充电站供电设备（EVSE）中的嵌入式与配套软件目前是一块几乎不受保护、也缺乏特征刻画的攻击面。作者认为，充电桩软件同时承受传统 IT
Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics
在多机器人协作系统中，任务交接通常依赖下游验证器对机器人上报的传感器遥测数据进行远程证明，以确保物理行为与所分配任务严格一致。然而，论文作者对该信任链提出了质疑：这些遥测数据本身是否可信？本文揭示了一个存在于 Robot Operating