标准5G认证与密钥协商（5G-AKA）仅验证存储在通用用户身份模块（USIM）上的订阅凭证，而不验证持有该凭证的物理设备或其启动状态。在战术5G部署中，用户设备可能被捕获、篡改、重新投入使用，或与移植的订阅凭证一同使用，这一安全缺口尤为严重。本文提出名为“Battlefield 5G”的预认证框架，面向5G独立组网，在标准注册流程被接受之前，结合双X.509设备证书检查和基于可信平台模块（TPM）的启动证明。其设计在5G基站（gNB）上设置外层证书挑战，在5G核心网中的接入与移动性管理功能（AMF）上设置独立的内层证书挑战，并由核心网侧的证明代理验证TPM的平台配置寄存器（PCR）引用。通过在gNB侧实现无线资源控制（RRC）转发门，并在AMF侧实现保存-重放机制，多轮证书与证明挑战-响应交换可插入注册流程，而无需修改任何3GPP非接入层（NAS）消息结构或新增NAS消息类型。作者基于B210通用软件无线电外设（USRP）测试平台，扩展了srsRAN、srsUE和Open5GS，并在UE中集成硬件TPM 2.0。原型阻止了SIM移植、伪造证书、固件篡改和重放攻击。在六次试验中，Battlefield 5G将平均入网时延从1886毫秒增加至2260毫秒，额外引入373.4毫秒的预认证开销，同时保留了标准的5G-AKA、安全模式和PDU会话流程。该研究为战术或高安全要求环境中的5G设备提供了一种实用的增强认证机制，并为未来标准演进提供了参考。

本文针对远程证明（Remote Attestation）体系中一个被忽视的安全缺口进行了端到端验证。背景是：当自动化代理（如 AI Agent）执行重要操作时，其留下的记录由自身软件栈生成，而该软件栈的可信性恰恰是待验证的。签名日志只能证明哪个密钥写了记录，无法证明运行时环境是否可信。此前研究提出将动作记录（Action Evidence Package, AEP，即动作、授权主体和结果的签名追加记录）作为 IETF RATS 架构（RFC 9334）下的应用层 Evidence，并通过 TPM 引用（quote）将结果绑定到硬件根，使得篡改记录会使引用失效。但该研究仅用最小化的 Verifier 替代品进行评估。本文填补了这一空白：作者在模拟的软件 TPM（swtpm）上生成 AEP 引用，将其端到端地送入符合规范的 Project Veraison RATS Verifier。具体流程包括生成 EC P-256 认证密钥、将 AEP 结果摘要度量到 PCR、将真实引用封装为 Veraison 的 tpm-enacttrust 格式、配置精简参考完整性清单（信任锚和黄金参考值），并获取签名的 EAT 认证结果（EAR）。实验表明，正常证据得到 affirming 结果；而结果交换或签名单字节篡改则得到 contraindicated。研究过程中发现并负责任地披露了一个安全相关缺陷：参考方案未强制挑战随机数（challenge-nonce）的新鲜性，导致重放的引用仍会被评估为 affirming。作者给出了一个精确、可上游化的两部分修复方案，并进行了端到端验证。修复生效后，同一有效引用在自身会话中为 affirming，但在重放到新会话时变为 contraindicated。整个流水线完全可复现，但 Attester 仍是模拟的 swtpm，并非硬件级保证。

本文提出一种将硬件根信任与 AI Agent 软件层证据相结合的可信证明方案。作者指出，纯软件层的行为证据包（Action Evidence Package, AEP）——即由 Agent 运行时签名的、仅可追加的日志记录（包含操作内容、授权方和结果）——虽然能向验证者陈述 Agent 声称做过什么，但无法回答一个更根本的问题：运营商声称部署的特定模型版本是否真的在未篡改的硬件上产生了该输出。为此，论文借鉴 IETF 远程证明流程（RATS）架构（RFC 9334）及其开源实现 Veraison，提出一种复合证明机制：将 RATS 评估的硬件 Evidence 与软件 AEP 绑定。具体地，论文定义了一个小型验证者词汇表（Authorised / Unauthorised / Indeterminate / Attested / Contested / Expired），并将其映射到 RATS 评估结果上。作者在软件 TPM 模拟器（swtpm）上进行了可行性实验：通过一个输出绑定协议，将 AEP 结果摘要和新鲜的验证者 nonce 折叠进由证明密钥签名的引用（quote）中，并将模型工件测量值放入平台配置寄存器（PCR）。实验用最小化的 RATS 验证器替代实现验证了三种平台结果：正常且新鲜的引用返回 Attested；模型测量被替换时返回 Contested；重放过期引用时返回 Expired；同时成功拒绝了绑定到有效引用上的伪造 AEP 结果。作者强调，该实验仅证明在模拟硬件上的可行性，并非硬件根信任的保证。论文的主要贡献在于提出了一种将硬件证明与 AI Agent 行为证据链接的架构思路，并给出了可运行的演示，为 AI 系统可审计性和可信运行环境研究提供了参考。适合关注 AI 安全、可信计算与远程证明交叉领域的研究人员阅读。