Tor 通过将客户端流量沿多跳中继（relay）链路转发到目的地来提供网络层匿名性。只观测单个中继的对手很难把客户端与其目的地关联起来，因为要做到这一点，必须识别出客户端链路中其余的中继；而仅凭被监控中继上的流量来完成这种识别非常困难：单个中继同时承载大量电路，且普通客户端电路的存活时间通常只有约 10 分钟，可观测窗口很短。与之形成鲜明对比的是，Tor 洋葱服务（onion service）所使用的引入电路（introduction circuit）会固定保持 18 至 24 小时不变。本文利用这一设计上的时间尺度差异，提出了一种“交集攻击”（intersection attack）：一个自适应对手每次只观测一个 Tor 中继（而非同时控制多处），通过在引入电路的长时间存续期内不断累积证据，逐步缩小并交集化可能的中继组合，最终恢复出洋葱服务完整的 Tor 电路，从而确定其在网络中的位置、实现去匿名化。作者在真实运行的 Tor 网络上对自建、且承载真实第三方流量的洋葱服务进行了评估，共完成九次端到端实验，每一次都成功重建了完整电路，估计中位耗时约 2.2 小时。为缓解该攻击，作者进一步提出一种机制：周期性重建内部引入电路，以限制证据的持续累积，同时不改变对外公开通告的引入点信息（即不牺牲服务可达性与公开元数据）。该工作表明，长时间稳定的电路结构在节省开销的同时带来了可被单点观测者利用的匿名性代价。

随着 agentic AI 在各行业广泛应用，攻击面不断扩大，确保 AI agent 的行为符合用户意图成为关键安全需求。审计 agent 的网络流量可以提供清晰的交互记录。本文提出一种基于复值超稀疏流量矩阵（complex valued hypersparse traffic matrices）的 agentic 系统网络流量监控新方法。该方法集成了 DBOS（DataBase OS）、OneSparse PostgreSQL 数据库和 GraphBLAS 数学库。为验证概念，作者构建了一个 agentic 模拟器，允许不同数量的 AI agent 使用不同策略协同勘察虚拟环境。生成的网络流量矩阵能够便于监控 AI agent 的行为。该工作为 agent 安全监控提供了新思路，适合安全研究者、SOC 分析师和 AI 系统开发者阅读。

该论文研究的是物联网（IoT）设备流量指纹识别与反制问题。背景在于：即便对载荷做了加密，攻击者仍可通过包大小、发包时序、方向序列和分包方式等流量形状特征（traffic shape）推断设备身份，从而在智能家居、工业物联网等场景中实现设备识别、行为推断甚至后续攻击的前置侦察。作者指出现有防御（如固定填充、恒定速率发送）普遍存在两个缺陷：一是资源开销不可控，难以在带宽受限的 IoT 链路上长期运行；二是训练/推理时依赖设备标签或未来信息，不具备在线可部署性。 为此，论文提出“自适应流量伪装（Adaptive Traffic Camouflage）”控制器。其核心思路是：在不依赖运行期设备标签的前提下，对当前流量窗口的“形状泄漏程度”进行因果（causal）与泄漏感知（leakage-aware）的刻画，并基于上一窗口的上下文，在带宽预算约束内为下一个流量窗口选择一种可行变换。可选动作包括填充（padding）、包分裂（packet splitting）、时序调整（timing）以及这些手段的组合；当判定伪装不必要时，控制器会选择不做任何处理，以节省资源。这是一个面向在线部署、显式通信约束下的资源感知决策框架。 实验在 CIC-IoT-2022、IoT Sentinel 和 UNSW 三个数据集上开展，采用经典机器学习与序列模型两类指纹识别模型，并设置清洁训练、防御感知训练（defense-aware）和增量暴露三类评估场景，同时与固定策略、随机策略和均值带宽匹配策略等基线对比。结果显示：在 Balanced 配置下，平均 Macro-F1 相对清洁流量下降 13.2%–23.3%，平均带宽开销仅 4.88%–7.47%，额外时延不超过 0.64 ms；在更激进的 Privacy 配置下，降幅扩大到 28.0%–43.5%。作者同时给出若干重要的边界结论：防御感知训练能在 CIC-IoT-2022 和 UNSW 上让攻击者恢复大部分性能，而 IoT Sentinel 仍保留较大隐私差距；非因果的同窗口参考策略相比仅用上一窗口上下文，额外收益有限；此外，依赖丰富元数据（而非流量形状）的攻击者在该防御面前仍然有效。总体结论是：因果、资源感知的伪装能在明确通信约束下降低 IoT 流量形状的可指纹性，但防护效果的持久性取决于被防御后的流量分布被攻击者学习的难易程度。

全加密协议(FEP,Fully Encrypted Protocols)旨在提供一种信道:协议自身产生的全部字节在计算上与均匀随机串不可区分,从而使网络观察者无法借助协议指纹、头部结构或长度特征区分该流量与随机噪声。这类协议是抗审查与抗流量分析系统的重要构件。此前的研究主要围绕单向 FEP 展开,即一方只发送、另一方只接收的场景,并给出了相应的安全定义与构造。然而现实应用几乎都需要双向信息交换,而网络对手可以同时观察两个方向的流量以及连接的共同生命周期。作者指出,把两个单向 FEP "朴素组合"成双向协议并不安全:由于双向信道涉及更复杂的共享状态,两个方向之间存在可被利用的依赖关系,例如流量不平衡、通道关闭、传输失败或连接拆除,观察者可据此判定该连接属于某种被封装协议,而非真正的随机流量,从而形成实际可用的检测攻击。为此,论文首先提出了一套面向双向 FEP 的形式化安全定义,涵盖精确整形(exact shaping)、投递保证、协议状态完整性、私有半关闭(private half-close)与跨方向隔离(cross-direction isolation),同时允许协议公开一个可随机化的"发送时间表"和"关闭纪元"。作者证明平凡组合无法满足这些定义,并解释了其导致的检测后果。随后论文分别在数据流(datastream)与数据报(datagram)两种场景下构造了可证明安全的双向全加密协议(BiFEP):数据流方案将两个方向隔离的 FEP 与一个"包装层"结合,用于消除单向与双向连接状态不匹配所泄露的差异;数据报方案则引入加密的 DATA/FIN/ACK 消息,配合重放保护与容忍丢包的关闭机制。作者用 Rust 实现了该设计,并调研了现网已部署协议,结果显示没有任何一个被调研的协议同时具备完整的 BiFEP 安全属性。该工作适合抗审查协议设计者、流量分析抵抗研究者以及隐私网络工程人员阅读。

该论文研究智能手机多协议标识符的交叉关联导致的定位隐私泄露问题。现代智能手机几乎同时通过 LTE（蜂窝）、WiFi 和 BLE（蓝牙低功耗）三种无线接口对外发送临时性设备标识符，且各协议都各自实现了标识符随机化（轮换）机制。此前的隐私防护评估基本是逐协议独立进行的，隐含假设是各协议的随机化保护可以叠加、组合后仍能保持匿名性。作者证明这一假设不成立：即便每个协议单独看只泄露临时标识符，且攻击者完全不主动发送任何信号（纯被动监听），由于三种协议的标识符轮换在时间上彼此不同步，仍然可以把同一物理设备的跨协议踪迹拼接起来，从而长期追踪用户位置。 为此作者提出 CrossLink——一种具备不确定性感知（uncertainty-aware）的追踪关联算法。它综合时间、空间与协议三个维度进行匹配，并在定位存在噪声、用户存在移动性的现实条件下工作，本质上是一个跨协议的轨迹重建与缝合框架。 评估方面，作者使用两类手段：一是基于商用常见设备的受控实验室实验，二是大规模移动性仿真。仿真结果显示，CrossLink 能为 83% 的用户重建完整轨迹，而最佳的单协议基线只有 22%，说明跨协议联合分析显著放大了可链接性，单协议视角严重低估了实际风险。作者进一步研究了观测覆盖不完整的情形：在 LTE 切换（handover）区域附近策略性部署嗅探器、使用移动嗅探器，或仅覆盖有限的高覆盖子区域，仍能保留足够的跨协议证据来跨越观测空白，其可链接性明显高于随机部署嗅探器的方案。结论是：位置隐私必须跨协议联合评估，而不是分协议孤立分析。

本文针对Tor匿名网络中的网页指纹识别（Website Fingerprinting, WF）攻击在细粒度场景下的局限性展开研究。传统WF攻击通常只能区分不同网站，但当需要识别同一网站内的不同子页面（即网页指纹，WebPage Fingerprinting, WPF）时，由于这些页面产生的加密流量模式高度相似，攻击准确率显著下降。此外，真实场景中客户端往往并发访问多个网页，进一步增加了从混合流量中分离单个网页流量模式的难度。针对上述问题，作者提出了一种名为Oscar的攻击方法，其核心思路是基于多标签度量学习（multi-label metric learning）对特征空间进行变换，从而从混淆流量中提取不同网页的细微差异。Oscar的关键技术在于将基于代理（proxy-based）和基于样本（sample-based）的度量学习损失函数相结合，以有效学习网页特征并同时识别多个目标网页。作者在真实环境中采集了1000个受监控网页和超过9000个未受监控网页的流量数据，对Oscar进行了原型实现和性能评估。实验结果表明，与最先进的攻击方法相比，Oscar在多标签度量Recall@5指标上实现了88.6%的提升。这项研究揭示了现有WF防御在细粒度场景下的脆弱性，为匿名通信系统的隐私保护研究提供了新的视角。

该论文针对基于深度神经网络（DNN）的网络流量分析系统，提出一种在实时场景下通过盲对抗扰动（blind adversarial perturbations）来欺骗此类系统的方法。流量分析系统常部署于网络边缘，通过分析加密流量的模式（如包长度、时序、方向）来识别用户行为、推断应用类型或检测恶意活动。作者指出，现有的对抗攻击多需要白盒访问或离线计算，难以应用于实时流量传输场景。因此，他们提出一种黑盒的盲扰动生成技术，该技术不依赖目标DNN模型的梯度或内部结构，而是通过观测输入输出关系在线构造扰动，并将其注入到实际流量中，使流量分析器产生错误分类，同时尽量保持网络通信的正常功能。论文的主要贡献包括：设计了一种高效的实时扰动生成算法，适用于高速网络环境；在多个流量分析任务（如网站指纹识别、应用分类）上验证了攻击的有效性；分析了扰动对通信性能（如延迟、包大小）的影响。实验结果表明，该方法能以较低扰动开销达到高攻击成功率，揭示了现有DNN流量分析系统在对抗环境下的脆弱性。该研究属于防御视角下的威胁研究，提醒安全社区需考虑流量分类模型的鲁棒性问题。

网站指纹识别（WF）攻击使窃听者能够分析加密网络流量的元数据（如数据包大小、方向和时间间隔），从而推断用户访问的网站。现有WF攻击在Tor流量中已表现出很高的攻击成功率，但它们主要针对单标签会话——即用户一次只浏览一个网站。在实际场景中，用户通常同时打开多个标签页，这会混合多个网站的流量，破坏单个网站的整体流量模式，使得传统WF攻击失效。同时，攻击者也无法预先知道标签数量，这进一步增加了难度。针对这一局限，本文提出ARES框架，这是首个面向多标签WF攻击的端到端解决方案。ARES将多标签攻击形式化为多标签分类问题，利用多分类器结构，每个分类器负责识别一个特定网站。与基于全局模式的方法不同，ARES的每个分类器基于一种新颖的Transformer架构，从多个不连续的流量段中提取局部特征，从而摆脱了对完整会话模式的依赖。作者基于真实网络环境构建了包含多个网站和多场景的大规模数据集，涵盖数月的采集时间，是迄今学术论文中最大的多标签WF数据集。实验表明，ARES在多标签场景下达到0.907的最佳F1分数，同时面对多种WF防御（如流量整形、填充）仍保持较高的鲁棒性。该研究对Tor等匿名网络的用户隐私构成重大威胁，也提醒防御方需要开发针对多标签场景的防御机制。

本文提出了一种名为 SkillWatermark 的新型攻击方法，针对大语言模型（LLM）智能体的技能模块。LLM 智能体的技能（skill）被广泛部署在各种应用场景中，但作者观察到，这些技能在执行过程中会产生特定的流量模式。基于此，他们设计了一条流水线，通过向原始技能描述中插入精心设计的提示约束条件（称为水印），使得被动网络攻击者能够在多轮对话的可见流量中建立一个隐蔽信道，从而编码并传输用户的隐私信息。具体而言，水印被嵌入到技能描述中，用户原始提示中的关键信息会被这些水印触发，进而产生可观察的流量编码。攻击者只需解码这些流量模式即可恢复被编码的信息。作者强调，这种修改是“良性”的——它不直接窃取任何私有数据，也不执行任何恶意指令，因此能够绕过现有基于 LLM 的安全审计工具。大量实验表明，所提出的水印能够产生高度一致且可区分的流量模式，并且转换后的技能能够通过现有安全审计。该研究揭示了生成特定流量模式可被利用为一种新型攻击面，并为未来的安全加固提供了重要见解。适合关注 LLM 智能体安全、隐蔽信道、流量分析和 AI 安全审计的研究人员阅读。

该论文针对LTE蜂窝网络中的用户隐私泄露问题，提出了一种名为“Watching the Watchers”的视频识别攻击方法。研究背景是：LTE网络虽然对用户数据进行加密，但流量分析攻击仍可通过数据包的大小、方向、时序等元数据泄露用户行为。以往研究主要聚焦于网页指纹识别或应用识别，而该论文首次系统性地研究了在真实LTE网络中通过被动窃听流量来识别用户正在观看的视频内容。核心方法是：攻击者仅需在LTE网络链路中被动收集加密的IP数据包，提取视频流量的统计特征（如数据包长度序列、到达时间间隔、突发模式等），然后利用机器学习分类器对特征进行匹配，以在已知视频库中识别用户正在观看的具体视频。实验中，作者在真实LTE网络环境中采集了大量主流视频平台（如YouTube、Netflix等）的流量数据，构建了包含数千个视频的测试集，评估了不同分类算法、不同视频长度、不同网络条件（如拥塞、移动性）下的识别准确率。结果表明，即使在加密且存在网络噪声的情况下，攻击仍能达到较高的识别成功率，且视频片段的长度和网络状态对识别性能有显著影响。论文还探讨了现有的防御措施（如填充、流量整形）的局限性，并提出了可能的缓解方向。该研究的主要贡献包括：首次在真实LTE环境中验证视频识别攻击的可行性，提供了公开的数据集和分类框架，揭示了LTE网络流量分析攻击的新风险，为后续研究和防御提供了基础。适合移动网络安全研究者、运营商安全团队以及关注用户隐私的学者阅读。

本文提出 CipherSight，一种基于 TLS 记录层的高鲁棒性 HTTPS 网站指纹识别（WF）框架，旨在解决真实部署中因时间和地域变化导致的分布偏移（OOD）以及开放世界场景中不断出现的新网站问题。现有方法主要从原始 TCP 包序列中学习特征，容易受传输层噪声影响，难以捕获稳定且可泛化的网站表示。CipherSight 从 TLS 记录中联合编码多个记录级属性，并采用分层架构同时建模流内 TLS 记录依赖关系和跨并发流的交互，从而利用 HTTPS 流量的结构模式。为了学到鲁棒表示，CipherSight 引入掩码记录建模（MRM）任务来捕获上下文流量语义，并利用细粒度的记录-资源标注作为特权监督，通过结构感知目标和语义蒸馏进行训练。实验表明，在超过 2000 个网站类别的封闭世界设定下，CipherSight 达到 95.41% 的准确率；在时间和地理漂移下仍保持超过 90% 的准确率，持续优于所有对比基线。该研究主要面向流量分析、隐私保护和深度学习应用于网络安全的研究人员。

现有暗网流量分类研究主要聚焦于预测准确性，但对加密服务为何能被区分的内在行为机制缺乏深入分析。本文提出一种行为信息泄露框架，将流级流量分解为控制、结构和节奏三类描述符，并在 Tor、I2P、FreeNet 和 ZeroNet 四种匿名网络上对该框架进行验证。该方法结合归一化互信息分析、基于随机森林的预测验证、结构-节奏交互分析以及跨网络服务变异性评估，并采用泄露安全的分层交叉验证来确保结果可靠性。实验结果显示，行为泄露在不同匿名网络之间存在显著差异：Tor 的服务可分离性最高，Macro-F1 达到 0.7165，累计归一化泄露值为 3.9461；而 FreeNet 的综合泄露值最低，仅为 0.8744。数据包大小组织、方向交换不平衡、包节奏以及静默-突发行为被识别为主要泄露机制。同时，结构-节奏组合表示在单个网络内部总能取得最强性能，但留一网络交叉验证表明不同匿名架构之间的可迁移性有限。此外，文章提出了服务变异指数和泄露变异指数，发现视频服务具有一致的网络特异性可分离性，而聊天和电子邮件在不同匿名网络对上的变异性较大。该研究为理解匿名网络流量隐私泄露提供了系统性的度量框架，并为设计更稳健的匿名系统和流量分析技术提供了参考。

WiFinger 提出了一种针对高噪声 Wi-Fi 环境下物联网(IoT)设备事件流量的细粒度指纹识别方法。智能家居等 IoT 环境容易遭受隐私推断攻击，攻击者通过分析加密网络流量的模式来推断设备状态甚至人员活动。现有攻击大多依赖机器学习技术，但在无线流量上表现不佳，因为 Wi-Fi 嗅探具有高噪声和数据包丢失的特点。此外，这些方法通常针对区分分块的 IoT 事件流量样本，无法有效同时跟踪多个并发事件。WiFinger 将流量模式分类问题转化为子序列匹配问题，通过引入高效算法解决了高时间复杂度，同时保持了高准确率。该方法还降低了对训练样本量的依赖，使得未来更新指纹更加轻量，减少了人工成本。实验在多种实际威胁模型下评估，WiFinger 的平均召回率达到 89%，而对比方法仅为 49% 和 46%，同时在各种 IoT 事件上几乎零误报。该研究揭示了无线层加密流量的隐私风险，并展示了传统分类方法在无线环境中的局限性。核心贡献包括：将序列匹配引入物联网流量指纹识别，针对噪声和多事件场景设计了新机制，并显著降低了样本需求。该工作对理解无线流量隐私泄露途径和设计相应防御措施具有参考价值。

该论文研究了视频流媒体服务中用户隐私面临的大规模监控风险。研究背景在于，视频流媒体服务日益普及，但其网络流量特征可能泄露用户的观看行为、偏好甚至个人身份信息。核心问题在于现有隐私保护措施（如加密）是否足以防御针对流量的侧信道攻击。方法上，作者可能设计了一个大规模监控框架，通过分析加密流量的时序特征、数据包大小分布等元数据，识别出用户正在观看的具体视频内容。实验部分可能基于多个流行的流媒体平台的数据集，验证了监控方法的有效性，并评估了不同保护机制（如VPN、混淆）的防御效果。主要贡献包括：（1）系统性地量化了视频流媒体服务中的隐私泄露程度；（2）提出了可扩展的监控方法；（3）揭示了现有加密方案的不足。该研究适合网络安全研究员、隐私工程师及流媒体服务提供商阅读，以理解当前威胁并设计更健壮的隐私保护方案。

该论文提出了一种非侵入式流量分析框架，用于实时检测和响应Web应用程序中的授权风险。核心问题在于：合法的Web会话中发生的授权违规行为难以通过流量识别，因为它们依赖于业务语义且缺乏明显的协议层特征。为此，框架通过关联HTTP请求-响应事务，提取访问主体、业务端点、对象标识符、认证状态和行为序列等关键信息。然后，将对象访问证据、身份一致性、行为异常、认证上下文、网络环境和端点操作风险映射为可解释的风险组件，通过加权融合和高危优先级约束生成分级决策，支持放行、告警、阻断和调用外部策略等动作。所有风险组件均采用确定性、可解释的规则进行实例化。实验在包含2000个平衡标记样本的本地测试台上进行：框架正确识别了1000个授权风险事件中的998个，在1000个正常访问中无假阳性，准确率99.90%，精确率100.00%，召回率99.80%，F1分数99.90%。消融实验显示，移除运行时对象证据后F1降至81.31%，移除高危优先级约束后降至73.90%。在100并发、总计1000请求的原型测试中，平均风险决策计算延迟仅为0.077ms，P99延迟为0.137ms。结果表明，该框架无需修改应用代码即可组织异构运行时证据、建立可执行的授权风险决策与协调响应循环，但论文未证明其在生产环境中的通用适用性。

本文提出了一种面向网络流量的高效预训练模型 TrafficFormer，旨在解决流量数据标注困难、标签数据不足导致传统监督学习方法性能不佳的问题。在预训练阶段，TrafficFormer 设计了一个细粒度的多分类任务，通过预测流量报文中多个字段的类别来学习丰富的上下文表示，相比现有预训练模型（如仅预测下一个报文或简单分类），能更充分地挖掘流量数据的领域知识。在微调阶段，作者提出了一种基于字段随机初始化的数据增强方法：随机将某些字段的值替换为随机值或保留原值，强制模型关注报文中的关键字段而非表层统计特征。这种增强方式可避免过拟合，提升泛化能力。在六个流量分类数据集（包括应用识别、异常检测等）以及协议理解任务（如报文边界识别、协议字段语义分析）上的实验表明，TrafficFormer 的 F1 分数相比现有最佳流量预训练模型（如 PacketBERT、TLS-BERT 等）最高提升 10%，且在协议理解上表现显著更优。该模型可应用于网络监控、入侵检测、流量审计等场景，尤其适合样本稀少或类别不平衡的流量分类任务。

该论文研究了网站指纹（Website Fingerprinting）防御的脆弱性，提出了一种基于鲁棒流量表示的攻击方法。作者设计了一种新的流量特征提取与表示技术，能够在保持攻击效能的同时，有效规避现有的流量混淆防御（如Tor的流单元填充、随机化等）。通过在真实网络环境下的实验，验证了所提方法能够以高准确率识别被保护的网站，同时显著降低防御机制的效果。论文的主要贡献在于揭示了当前防御策略在面对自适应攻击时的不足，并提出了一个更通用的攻击框架。这项工作对于理解网站指纹攻防对抗的演进具有重要意义。

本研究探讨了在隐形互联网项目（I2P）网络中对服务进行去匿名化的可能性，采用被动流量分析和机器学习技术。I2P是一种匿名通信网络，旨在隐藏用户身份和活动，其流量经过多层加密。尽管有效载荷被加密，但流量特征（如数据包大小、时间间隔、方向等）可能仍然暴露模式。研究者建立了受控的实验室环境，通过模拟典型I2P应用（如网站托管、文件共享）生成合成流量，作为训练数据集。利用Fano不等式对混合网络（如I2P）中的匿名数据传输进行理论分析，从信息论角度揭示了流量特征与匿名性之间的因果关系。实验中应用了深度学习，特别是卷积神经网络，在实验室网络中训练分类模型，并进一步使用真实世界流量数据评估其有效性。结果表明，所提出的方法并不能有效破解I2P的匿名性保证，即分类准确率未达到可用水平。该研究的主要贡献在于：1）系统性地评估了I2P流量的去匿名化潜力；2）提供了理论分析框架与实验方法论；3）验证了当前机器学习方法在I2P匿名性挑战上的局限性。该论文适合网络匿名研究者和隐私保护工程师阅读。

该论文提出一种名为 Holmes 的新型早期阶段网站指纹攻击方法，旨在解决现有基于深度学习的 WF 攻击在实际动态网络环境和各种防御机制下性能显著下降的问题。传统 WF 攻击依赖收集完整且纯净的页面加载流量，但实际中往往只能获取早期小部分流量，导致攻击效果不佳。Holmes 通过分析网站流量的时间分布和空间分布来实现早期阶段的稳健识别。具体地，它基于网站流量的时间分布设计自适应数据增强方法，并采用监督对比学习提取早期流量与预收集完整流量之间的相关性；然后通过计算流量与空间分布信息的相似度，准确识别早期阶段流量。作者在六个数据集上进行了广泛评估，与九种现有深度学习 WF 攻击相比，Holmes 对早期流量的 F1 分数平均提升 169.18%。此外，在真实暗网网站访问流量重放实验中，当平均页面加载比例仅为 21.71% 时，Holmes 仍能成功识别暗网站点，平均精确率提升 169.36%。该研究揭示了现有 WF 防御在早期流量分析下的脆弱性，对流量分析隐私保护领域具有重要参考价值。

本文研究在低延迟匿名网络（如Tor）中，攻击者如何通过主动带宽扰动实施流量相关性分析，从而破坏用户的匿名性。现有的被动流量关联方法需要攻击者控制端点或修改Tor浏览器，而本文提出的NATA（非侵入式主动流量关联分析算法）无需上述条件，仅需攻击者控制上游网络网关并观察出口中继的流量，即可通过注入可区分的吞吐量模式来标记流量。为了在复杂网络变化中识别被扰动的流，作者设计了BM-Net（带宽调制网络），一种选择性状态空间学习框架，用于检测带宽调制。BM-Net采用数据高效学习策略：首先通过掩码预训练在序列化流量轨迹上学习可复用的表征，然后利用任务特定的标注数据进行二值扰动检测和细粒度调制分类的迁移学习。基于真实Tor流量测量，BM-Net在二值检测上达到99.65%的F1分数，在细粒度调制分类上达到97.5%的宏F1分数。此外，通过基于tornettools的大规模仿真，估计了在带宽加权中继选择下的出口观察概率。结果表明，主动带宽扰动可作为一种基础设施级别的侧信道用于流量关联，对Tor匿名性构成切实威胁。

本文提出了一种高效的网站指纹防御方法，通过迭代互信息最小化（Iterative Mutual Information Minimization, IMIM）来降低流量分析攻击的有效性。网站指纹攻击利用加密流量的统计特征（如数据包长度、时间间隔、方向等）来识别用户访问的网站，严重威胁隐私。现有防御方法（如随机填充、流量变形）往往牺牲带宽或延迟，且效果有限。作者将防御问题建模为在保留流量基本功能的前提下最小化原始流量与伪装流量之间的互信息，从而去除与网站身份相关的敏感特征。具体地，设计了一个基于变分信息瓶颈的迭代优化框架，交替更新编码器（伪装生成器）和攻击判别器，逐步压缩冗余信息。实验使用Tor流量数据集评估，与多种防御（如WTF-PAD、Glue、TamAR）对比。结果显示，IMIM在相同带宽开销下将攻击准确率从90%以上降至30%以下，且延迟增加小于10%。该方法还可迁移到其他加密应用场景，表明其通用性。本文适合网络隐私研究者、流量分析防御工程师阅读。

现有元数据隐私消息系统要么不可扩展，要么易受长期流量分析攻击。缓解流量分析攻击的方法通常依赖不切实际或不可实现的假设，或施加系统范围的带宽限制，从而降低可用性和性能。本文提出了一种新的元数据隐私通信系统模型——延迟检索（deferred retrieval），该模型在现实、可实现的用户假设下保证抗流量分析能力。作者引入了Sparta系统，这是延迟检索的实用且可扩展的实例化，具有可分发、高吞吐量、支持多个并发对话且无消息丢失的特点。具体地，提出了三种针对不同场景优化的Sparta构造：(i) 低延迟，(ii) 共享内存环境（多线程实现）中的高吞吐量，以及(iii) 无共享（分布式）环境中的高吞吐量。低延迟Sparta支持低于1毫秒的延迟，而高吞吐量Sparta在单个48核服务器上可扩展到每秒交付超过70万条100字节的消息。该工作表明，在保持强隐私保护的同时，可以实现高性能和可扩展性，为实际部署匿名通信系统提供了新途径。