该论文针对 Linux 平台多人联机游戏的一个结构性矛盾展开研究：游戏发行商普遍要求的反作弊系统以闭源 Ring 0 内核模块形式实现，而这类模块在架构上与 Linux 的安全模型、GPL 许可证的传染性要求以及内核对稳定 ABI 的承诺根本冲突，导致厂商难以合规地移植，玩家也面临内核级监控带来的隐私与稳定性风险。作者主张正确的应对方式不是把这类侵入式模块移植到 Linux，而是用可验证的信任根机制将其整体替换。为此提出 TPM-Attest：一个基于硬件信任根的远程证明框架，由 TPM 2.0 与 Linux 完整性度量架构（IMA）共同构成证据链，以密码学方式向服务器证明客户端是干净启动、且仅运行了被授权的软件集合，全程不需要任何内核驱动、不引入闭源代码、也不扫描玩家内存。工程实现上，系统通过用户态 LD_PRELOAD 钩子拦截 Epic Online Services（EOS）SDK 的调用，将游戏会话访问权限绑定到一次实时 TPM quote，且该 quote 必须与服务器下发的 nonce 绑定以抵抗重放；针对度量日志的完整性，系统在 IMA 日志之上构建带索引前缀的 Merkle 树，从而抵御重复叶子碰撞类攻击（即同一度量值重复出现导致的日志伪造）。实验部分，作者构造了 500 次篡改会话，检测率达到 100%；通过增量叶子缓存，把重复证明的延迟压缩到真实 TPM 2.0 硬件上 3 秒以内；并针对一个实际的演示游戏进行了受控红队评估，结果显示四类基于文件落地的攻击向量全部被阻断，同时精确定位并刻画了两个已确认的绕过条件。作者将完整实现以开源软件形式发布。论文的核心贡献可归纳为三点：一是论证了在 Linux 上以硬件远程证明替代内核级反作弊的可行性；二是给出了抗碰撞的度量日志聚合结构与低延迟增量缓存策略；三是通过大规模篡改会话与红队实测量化了检测能力及其边界。适合 Linux 平台安全工程师、游戏反作弊架构师、终端完整性证明与 TPM/IMA 研究方向的研究者阅读。

本文提出了一种名为 TPMSpy 的平台无关方法，用于验证可信启动（Measured Boot）系统的实际实现是否符合预期安全假设。可信启动通过将执行软件和系统状态的密码学度量记录到可信平台模块（TPM）中，从而支持远程证明。然而，现有操作系统虽然越来越多地采用该机制，其实际安全性取决于实现是否在预期条件下度量了预期组件，但这一前提从未被系统性检查。作者从虚拟化系统与 TPM 交互的底层跟踪入手，独立重建并验证 TPM 事件日志，且不依赖 TPM 自身的引用机制。该方法不依赖具体实现细节，因此既适用于开源系统也适用于闭源系统。作者在 Linux 和 Windows 上验证了该方法，并对 Linux 系统中 systemd 245 至 258 版本（2020-2025）的 Measured Boot 使用进行了纵向分析。研究发现，各系统之间的使用模式存在显著差异，没有任何单一模式占主导，因此需要针对具体系统进行定制化分析。进一步的分析揭示了未记录的 TPM 使用行为变化，并发现了 systemd 用户空间服务在度量上存在不一致性，这会导致远程证明不可靠，并可能阻碍 LUKS 磁盘解密。主要贡献包括：提出一种不依赖引用机制的 TPM 事件日志独立验证方法；系统性地揭示了主流操作系统在可信启动实现上的行为漂移与隐患；为安全审计和远程证明可靠性评估提供了实用工具。该文适合研究可信计算、远程证明、系统安全审计以及引导流程安全的学者和工程师阅读。

这篇论文研究的是无中心可信运营者的节点间“相互证明”（mutual attestation）问题。在远程证明（remote attestation）场景中，每个节点为了验证对端节点的可信性，需要持有对端代码的参考度量值（reference measurement）。最朴素的方式是把这些参考值直接嵌入到节点自身代码中，但这样会形成互相引用，导致无限回归（infinite regress）。作者将这一困境称为“参考值引导问题”（reference-value bootstrapping problem）。现有解决方案要么依赖可信第三方（TTP），要么依赖外部提供的参考值，要么依赖特定架构的度量机制，这些都会引入额外信任假设或限制通用性。本文提出一种全新的、架构无关的解决方法：把引导问题形式化为一组互不动点方程（mutual fixed-point equations），并利用克利尼第二递归定理（Kleene's Second Recursion Theorem）来构造节点。该构造使得节点可以仅凭内置数据就互相重建对端的确切源代码，从而直接或间接得到参考度量值。对于直接测量脚本文件（如 Python）的场景，作者开发了 PyReflect，一个 Python 转译器，并基于它实现了 TPM 相互证明的概念验证；对于测量构建镜像（如 AWS Nitro Enclaves）的场景，作者开发了 NixReflect，一个 Nix 转译器，并在两个 Nitro Enclave 之间验证了可以仅从内置数据互相重建对方的参考 PCR 值。整个方案不依赖 TTP、不需要外部参考值，且能兼容现有证明栈。该论文的主要贡献是：首次将相互证明中的无限回归问题用递归定理优雅解决，提供了两个可工作的实现，并证明了其架构无关性。适合对可信计算、远程证明、系统安全感兴趣的读者阅读。

标准5G认证与密钥协商（5G-AKA）仅验证存储在通用用户身份模块（USIM）上的订阅凭证，而不验证持有该凭证的物理设备或其启动状态。在战术5G部署中，用户设备可能被捕获、篡改、重新投入使用，或与移植的订阅凭证一同使用，这一安全缺口尤为严重。本文提出名为“Battlefield 5G”的预认证框架，面向5G独立组网，在标准注册流程被接受之前，结合双X.509设备证书检查和基于可信平台模块（TPM）的启动证明。其设计在5G基站（gNB）上设置外层证书挑战，在5G核心网中的接入与移动性管理功能（AMF）上设置独立的内层证书挑战，并由核心网侧的证明代理验证TPM的平台配置寄存器（PCR）引用。通过在gNB侧实现无线资源控制（RRC）转发门，并在AMF侧实现保存-重放机制，多轮证书与证明挑战-响应交换可插入注册流程，而无需修改任何3GPP非接入层（NAS）消息结构或新增NAS消息类型。作者基于B210通用软件无线电外设（USRP）测试平台，扩展了srsRAN、srsUE和Open5GS，并在UE中集成硬件TPM 2.0。原型阻止了SIM移植、伪造证书、固件篡改和重放攻击。在六次试验中，Battlefield 5G将平均入网时延从1886毫秒增加至2260毫秒，额外引入373.4毫秒的预认证开销，同时保留了标准的5G-AKA、安全模式和PDU会话流程。该研究为战术或高安全要求环境中的5G设备提供了一种实用的增强认证机制，并为未来标准演进提供了参考。

本文针对远程证明（Remote Attestation）体系中一个被忽视的安全缺口进行了端到端验证。背景是：当自动化代理（如 AI Agent）执行重要操作时，其留下的记录由自身软件栈生成，而该软件栈的可信性恰恰是待验证的。签名日志只能证明哪个密钥写了记录，无法证明运行时环境是否可信。此前研究提出将动作记录（Action Evidence Package, AEP，即动作、授权主体和结果的签名追加记录）作为 IETF RATS 架构（RFC 9334）下的应用层 Evidence，并通过 TPM 引用（quote）将结果绑定到硬件根，使得篡改记录会使引用失效。但该研究仅用最小化的 Verifier 替代品进行评估。本文填补了这一空白：作者在模拟的软件 TPM（swtpm）上生成 AEP 引用，将其端到端地送入符合规范的 Project Veraison RATS Verifier。具体流程包括生成 EC P-256 认证密钥、将 AEP 结果摘要度量到 PCR、将真实引用封装为 Veraison 的 tpm-enacttrust 格式、配置精简参考完整性清单（信任锚和黄金参考值），并获取签名的 EAT 认证结果（EAR）。实验表明，正常证据得到 affirming 结果；而结果交换或签名单字节篡改则得到 contraindicated。研究过程中发现并负责任地披露了一个安全相关缺陷：参考方案未强制挑战随机数（challenge-nonce）的新鲜性，导致重放的引用仍会被评估为 affirming。作者给出了一个精确、可上游化的两部分修复方案，并进行了端到端验证。修复生效后，同一有效引用在自身会话中为 affirming，但在重放到新会话时变为 contraindicated。整个流水线完全可复现，但 Attester 仍是模拟的 swtpm，并非硬件级保证。

本文提出一种将硬件根信任与 AI Agent 软件层证据相结合的可信证明方案。作者指出，纯软件层的行为证据包（Action Evidence Package, AEP）——即由 Agent 运行时签名的、仅可追加的日志记录（包含操作内容、授权方和结果）——虽然能向验证者陈述 Agent 声称做过什么，但无法回答一个更根本的问题：运营商声称部署的特定模型版本是否真的在未篡改的硬件上产生了该输出。为此，论文借鉴 IETF 远程证明流程（RATS）架构（RFC 9334）及其开源实现 Veraison，提出一种复合证明机制：将 RATS 评估的硬件 Evidence 与软件 AEP 绑定。具体地，论文定义了一个小型验证者词汇表（Authorised / Unauthorised / Indeterminate / Attested / Contested / Expired），并将其映射到 RATS 评估结果上。作者在软件 TPM 模拟器（swtpm）上进行了可行性实验：通过一个输出绑定协议，将 AEP 结果摘要和新鲜的验证者 nonce 折叠进由证明密钥签名的引用（quote）中，并将模型工件测量值放入平台配置寄存器（PCR）。实验用最小化的 RATS 验证器替代实现验证了三种平台结果：正常且新鲜的引用返回 Attested；模型测量被替换时返回 Contested；重放过期引用时返回 Expired；同时成功拒绝了绑定到有效引用上的伪造 AEP 结果。作者强调，该实验仅证明在模拟硬件上的可行性，并非硬件根信任的保证。论文的主要贡献在于提出了一种将硬件证明与 AI Agent 行为证据链接的架构思路，并给出了可运行的演示，为 AI 系统可审计性和可信运行环境研究提供了参考。适合关注 AI 安全、可信计算与远程证明交叉领域的研究人员阅读。