该论文针对IPv6地址的临时性和随机性带来的安全挑战展开研究。由于IPv6客户端地址难以预测，攻击者难以进行全互联网扫描，但先前工作表明，低权限实体可以轻松加入基于志愿者机制的NTP池，通过部署NTP服务器收集大量活跃的IPv6客户端地址。本文提出了一套系统性的方法论，不仅能严格识别这种地址收集行为以及收集地址的实体，还能刻画这些实体随后如何使用这些地址。研究者在一年的时间内，向全球所有NTP池服务器发送带有唯一标识的IPv6客户端地址查询，并监控后续针对这些地址的任何活动。通过关联分析，他们识别出22台NTP池服务器（分布在4个主要集群），这些服务器属于更大的监控基础设施，利用收集的地址进行侦察、端口扫描以及服务和漏洞枚举。为了更深入地理解这种行为在法律和伦理上的灰色地带，研究者与NTP池运营者以及一家运营地址收集和扫描集群的网络安全保险公司进行了沟通。最终，NTP池已将所提出的系统集成到其监控基础设施中，以移除此类恶意NTP服务器；该保险公司也改变了其运营策略，增加透明度并提供明确的退出机制。本文的主要贡献包括：一套可用于自动检测NTP池中地址收集和后续扫描行为的方法；对全球NTP池生态系统的长期测量；以及通过与利益相关方合作推动的实际改进。

本文提出一种针对钓鱼攻击（多模态威胁）的混合多层级检测管道。该管道为每种模态独立构建引擎，最后进行融合决策。具体包括三个引擎：1）四阶段URL检测栈：包含域名守卫、词法模型、威胁情报以及一个非对称L2融合侧车；2）鲁棒性增强的DistilBERT NLP分类器，其在真实钓鱼邮件召回率上从0.8%提升至87.3%；3）具备端到端OpenTelemetry可观测性的威胁情报同步器，确保消息1:1守恒。决策级融合阶段在10,677封邮件的全系统基准测试上，通过校准的URL、邮件头和钓鱼概率三个通道的OR融合，达到F1=0.914，同时将真实垃圾邮件的误报率降至3.6%。由于该基准采用了代理URL和邮件头通道，且操作点仍需重新校准，因此结果被视为初步集成结果。作者指出，实际部署的约束在于泛化能力而非同分布精度。

本文提出 HySecTwin，一种面向网络物理系统（CPS）的知识驱动数字孪生框架，旨在解决现有数字孪生方法在网络安全建模中缺乏语义推理能力的问题。HySecTwin 将自动推理置于实时威胁检测的核心，通过语义建模将异构的 CPS 遥测数据、设备属性和操作关系转换为机器可解释的表示，并结合嵌入式推理引擎对上下文化的系统状态进行操作。与黑盒检测方法不同，该框架集成确定性规则推理与混合模糊推理，从实时设备遥测中生成明确、可解释且可审计的安全评估。实验使用代表性 CPS 测试平台和基于 MITRE ATT&CK 活动的攻击场景，结果表明：孪生同步延迟低于亚毫秒，与仅使用确定性推理相比，威胁检测速度提升高达 21.5%。研究显示，语义建模、语义丰富和混合推理在不增加系统开销的情况下提高了可解释性和弹性。HySecTwin 提供轻量级、容器化、可扩展的框架，适用于关键基础设施中安全设计的数字孪生部署。

该论文提出了一种面向安全运营中心（SOC）的端到端威胁管理框架，旨在解决威胁数量增长、SIEM平台异构以及人工分诊耗时的运营挑战。框架包含三个核心模块：基于集成学习的检测模块、语法约束的查询生成模块（SQM）以及检索增强的响应支持模块。检测模块评估了传统机器学习分类器和多种大语言模型（LLM），并选择三个性能最佳的LLM构建集成模型，在SIEM日志上达到82.8%的准确率和0.120的假阳性率。SQM架构通过平台特定的语法约束、元数据检索和文档驱动的提示生成可执行查询，支持IBM QRadar和Google SecOps，BLEU得分为0.384，ROUGE-L得分为0.731，比基线LLM性能提升两倍以上。在事件响应方面，集成SQM证据将解决代码预测准确率从78.3%提升至90.0%，总体推荐质量评分达8.70。在生产SOC环境中，该框架将平均事件分诊时间从数小时降至10分钟以内。研究证明，结合检索增强的领域约束LLM架构能够满足运营安全环境对可靠性和效率的严格要求。