该论文关注内容管理系统（CMS）生态中长期被低估的一类高影响弱点：第三方插件产生的日志文件暴露。WordPress 等 CMS 承载了约 58% 的网站，其通过第三方插件扩展的能力既是流行的主要原因，也是主要攻击面来源。许多插件为调试或运维目的创建日志文件，如果这些文件保护不足、可被外部直接访问，就可能泄露凭据、个人数据等敏感信息，论文指出这类问题在过去已实际导致网站被入侵。 针对这一问题，作者提出一个基于智能体（agentic）与大语言模型（LLM）的自动化检测框架，专门用于发现 WordPress 插件中的潜在日志文件暴露。该智能体对每个插件同时执行静态分析与动态分析，从而推断日志文件的生成路径、命名方式以及是否存在可被外部访问的风险。 评估规模上，作者选取了安装量最高的 300 个 WordPress 插件（约占全部插件的 0.6%），这些插件合计拥有超过 2.5 亿次活跃安装，相当于官方插件生态全部活跃安装量的约 75%，覆盖面相当有代表性。作者对每一个发现都进行了人工验证：在来自 62 个插件的 81 项发现中成功复现了 79 项，说明该智能体方法的检出不虚。 在结果分析中，作者观察到插件作者实际上已经实现了若干防护措施，并将其归纳为两类：创建控制（例如仅在人工主动开启时才生成日志）与访问控制（例如在 .htaccess 中配置拒绝访问规则）。但论文强调，真正安全需要多层防护叠加，而现实中多层防护并不总是同时存在。基于这些结果，作者进一步推导出一套关于日志文件路径模式与防护模式的分类法（taxonomy），并据此为开发者总结出安全处理日志文件的最佳实践。最后，研究佐证了基于智能体的 LLM 是安全分析中的一种有效工具。适合安全研究者、插件开发者、CMS 生态与供应链安全团队阅读。

本文研究了WordPress插件在收集和处理个人身份信息（PII）时是否符合欧盟通用数据保护条例（GDPR）的问题。WordPress作为流行的内容管理系统，其插件可能涉及跨语言的数据流，如PHP、JavaScript、HTML和SQL，这使得GDPR合规性检测变得困难。现有工具主要针对网站或移动应用，无法处理插件中客户端与服务器端混合的数据处理。为此，作者提出了CHKPLUG，第一个自动化的WordPress插件GDPR合规检查器。其核心是构建一种新颖的跨语言代码属性图（CCPG），该图能够表示内联语言集成（如PHP与HTML）以及键值对关联（如HTML与JavaScript），从而捕获跨语言的数据流。CHKPLUG通过在图谱上执行查询来匹配GDPR相关条款（如数据删除、用户同意等）的违规模式。实验使用人工标注的WordPress插件数据集进行评估，结果显示CHKPLUG在检查插件是否合规时达到了98.8%的真阴性率（TNR）和89.3%的真阳性率（TPR）。此外，对市场现状的测量分析发现，有368个插件违反了数据删除规定，即未提供删除用户信息的功能。该研究为WordPress生态系统的隐私合规自动化检查提供了新方法，有助于插件开发者和网站所有者识别并修复GDPR违规问题。

该论文旨在探究WordPress网站长期缺乏安全更新的根本原因。WordPress作为全球使用最广泛的内容管理系统，其插件的安全更新对于防范漏洞攻击至关重要，但实际中许多网站管理员未能及时应用更新。作者通过混合研究方法（包括大规模Web爬虫数据分析和针对网站管理员的用户调研），系统分析了阻碍更新的技术因素、人为因素和流程因素。研究发现，部分更新失败是由于自动化更新机制在特定配置下失效，另一些则源于管理员对更新可能破坏网站稳定性的担忧，以及缺乏清晰的更新日志或安全通告。论文进一步提出了改进WordPress更新机制的建议，例如增强自动更新的鲁棒性、提供更细粒度的更新控制选项，以及改善社区沟通渠道。该工作为理解CMS生态中更新懈怠问题提供了实证基础，并提出了可操作的改进方向。