面向安全研究阅读的分类摘要，保留论文链接、作者与中文核心总结。
核心总结
高级持续性威胁通常分阶段、长期进行，往往在造成破坏或财务损失后才被发现，海量审计日志给分析人员带来大海捞针式挑战。攻击数据稀缺且恶意行为难以人工标注，使基于学习的攻击取证受限；现有自监督方法仅用良性数据做异常检测，在复杂动态的大规模日志中误报较多。论文提出DUPIN，先在大量溯源图形式的审计事件上进行无监督预训练，再用少量标注攻击样本进行少样本微调。作者在最长38至52天、总量7.3TB的审计日志上预训练，并在四个数据源、25个APT战役上与多种基线进行可扩展评估，展示了该范式的取证检测能力。
核心总结
针对现实中大量二进制文件缺失符号、现有LLM方法仅面向预设任务的问题，本文提出通用静态二进制分析智能体框架BINREX。BINREX通过双编码器为剥离符号的函数补充语义上下文，利用层次化规划将用户意图分解为可执行子任务，再通过代码合成生成IDAPython脚本并迭代验证，最终汇总为分析报告。作者构建了覆盖7类COTS软件、72个任务的BinREval基准，BINREX成功率达83.3%，显著高于Codex的27.8%和Codex+IDA的43.1%，并将总分析时间从87.9小时降至36.1小时。在Juliet和NYU CTF等基准上它也具备竞争力，并在工业部署中识别出395个未知恶意软件样本，相比专家平均效率提升96倍。
核心总结
针对无人机因在线学习导致崩溃时取证调查困难的问题，本文提出了FIRA，一种能够建立机器学习模型与无人机系统组件之间因果联系的新型取证技术。FIRA通过回传飞行中的在线学习更新和遥测数据（即使在带宽有限时），并确定崩溃是否可归因于在线学习模型。该技术应用于48种使用PX4和ArduPilot控制程序的无人机崩溃场景，在12起由后门在线学习模型导致的事故中，FIRA以95.8%的准确率正确地将模型归因于崩溃。
核心总结
从剥离符号的二进制中恢复嵌套复合数据类型对逆向工程和漏洞分析至关重要，但现有方法依赖重型反编译器或昂贵的约束求解器，难以扩展到大型真实程序。本文提出 RecStruct，一种不依赖反编译器的快速类型恢复框架，直接提升二进制并执行流不敏感符号执行以降低内存别名影响。其核心是 Stack-Driven Unification：一种新的并查集算法，在遍历时维护偏移栈，仅当类型的嵌套深度一致时才合并，从而精确恢复递归结构。作者在包含 744,770 个函数的 418 个二进制（包括 QEMU 和 OpenSSL 等大型程序）上评估，显示精度与现有工具相当，但在效率和可扩展性上显著提升，使此前难以分析的二进制成为可行。
核心总结
在 Linux 内核 bug 被发现后，开发者需要完成艰难的修复工作，而 Syz-bisect 等分诊工具通过二分法系统检查历史内核提交来判断 bug 是否存在，从而定位引入 bug 的提交（BiC），但 Syz-bisect 仅对 35% 的 bug 能正确定位 BiC。为在同等时间和资源约束下改进 Syz-bisect，作者识别出 bug 去重、充分利用所有可用 PoC 以及 PoC 变异三个可改进方向，并提出 Meerkat——首个应用可扩展 PoC 变异的动态二分工具。结果显示 Meerkat 相比 Syz-bisect 提升 64%；通过对其二分结果的人工深入分析，作者发现动态二分受到内核版本间错误检测器变化、buggy 代码附近改动以及无关 bug 阻塞动态分析等关键限制，据此认为 Meerkat 已接近现实世界中动态二分所能达到的实用极限。此外，该工作还修正了 13 个 bug 的 ground truth，从而改善了供未来研究使用的数据集。
核心总结
基于 Linux 的物联网设备迅速普及，对其开展严格安全分析十分必要；固件重宿主（rehosting）是实现可扩展、无硬件依赖分析并构建可信模拟环境的关键，但现有方法依赖僵化的启发式执行语义无关的干预，难以泛化到多样目标，导致大量固件样本无法被分析。本文提出 FIRMENSTEIN，一个以 API 为中心的新型框架，将复杂繁琐的重宿主过程统一为系统化的程序分析与综合任务：它引入基于 API 依赖图（ADG）的智能体式跨程序分析来自动诊断重宿主障碍，并据此采用障碍驱动的工作流合成高保真干预代码以解决环境依赖，从而实现固件成功执行。在基于 LFwC 的数据集上评估表明，FIRMENSTEIN 使进入可交互状态的固件样本数分别比 Greenhouse、FirmAE、Penguin 多 2.5 倍、3.1 倍和 2.1 倍；即便在不完整重宿主情况下，其执行的基本块仍比 Greenhouse 多 29%，在交互测试中多执行 5.2% 的基本块，验证了 31 个已知 N-day 漏洞中的 29 个，并促成发现 43 个此前未知的漏洞，其中 19 个已获 CVE 编号。
核心总结
处理器规范是反汇编器、反编译器和模拟器等关键安全与程序分析工具的基石，但其正确性很少受到检验，规范中的错误会扭曲程序行为、掩盖漏洞并为分析规避技术提供便利，而验证处理器规范本身是一项非平凡任务。本文开展了开创性研究，首次实现对开源 SLEIGH 语言规范（主要供 Ghidra 使用）的系统化验证，设计并实现了基于“代理 oracle 验证”策略的自动化测试框架：利用规范自身编码的结构枚举可解码的指令形式并生成有针对性的初始状态，再通过将执行该规范的模拟器与硬件参考进行差分测试，验证这些指令能否被成功解码与模拟。作者将 InSPECtor 应用于 x86-64、AArch64、ARM/Thumb、RISC-V、MSP430 等风格、作者偏好和 ISA 设计各异的开源规范，发现超过 38,900 处差异，归结为 125 个独特 bug 并给出修复建议，涵盖解码与语义缺陷以及跨厂商不一致，最终提炼出 8 条具体改进建议，凸显了规范正确性的重要性并为提升 SLEIGH 规范保真度提供了实用工具。
核心总结
阈值全同态加密允许多方对加密数据进行计算。现有方案在阈值解密时使用“噪声淹没”技术，导致参数大或解密慢。本文提出Ajax，一种针对FHEW类密码系统的快速阈值全同态加密方案。对于阈值解密，它提出了基于随机双重分享的“先掩码后打开”技术，消除了噪声淹没的需求。端到端实现表明，其解密性能比现有方案提升了5.7倍至283.6倍。
核心总结
TFHE的引导机制可处理任意计算但一次只能处理一条加密消息，限制了其可扩展性。本文提出BatchBoot，一个高效的TFHE批处理引导框架。它重新设计了同态多项式乘法子模块，提出了稀疏感知的消息打包策略，并将功能引导扩展到电路引导。BatchBoot比现有批处理方案快2.4倍，比非批处理实现快43.8倍。应用上，它实现了首个不平衡设置下的TFHE-PSI协议，并设计了8位FHE指令集。
核心总结
全同态加密支持在密文上计算以保护外包计算隐私，但验证其计算完整性尤其是自举操作仍非常昂贵，现有 zkVM 与通用 SNARK 方案证明时间从数小时到数天不等。作者提出 HasteBoots，一种面向 TFHE 可编程自举的简洁论证，通过为商环上的算术操作设计高效协议来降低证明开销。实验表明，HasteBoots 可在数秒内完成 TFHE 可编程自举求值的证明生成，显著优于 Zama（CCS'25），并支持批量处理多个求值与自举。它能在 1 分钟内证明 16 个操作的批次，验证仅需 126 ms，证明大小 0.28 MB，为可扩展、可验证的 FHE 提供了可行路径。
核心总结
全同态加密理论上可实现隐私保护机器学习，但 CKKS 中自举、尺度管理和重缩放导致实际推理速度极慢。现有 FHE 编译器忽略了 CKKS 程序的一个关键性质：自举与重缩放的放置通过层级预算相互耦合，因而错过重要优化机会。本文提出 Orbit，一个通过整数线性规划联合优化自举与重缩放放置的 FHE 编译器，同时考虑密文层级和尺度约束。为处理 CNN 等结构化张量负载，作者引入三种降低 ILP 复杂度且保持最优性的技术。在五个负载和多种密码参数下，Orbit 相比 DaCapo、Orion 和 ReSBM 分别取得 19%、73% 和 52% 的几何平均加速，编译时间低于 6 分钟，模型精度与明文执行相差不超过 0.3%。
核心总结
本文提出了Libra，一个编译器框架，用于在通用图形处理器（GPGPU）上自动生成高效的跨方案全同态加密（FHE）代码。它整合了FHE计算模式和硬件感知的调度策略，建立了一个算法-硬件协同优化框架。具体包括：定义新的跨方案表示、基于多方案切换模式的组合执行成本动态优化FHE程序、以及引入计算调度策略以加速GPU上的算子间执行。实验显示，Libra在微基准测试和应用上分别实现了高达270倍和19倍的加速，并提升了计算单元和内存带宽的利用率。
核心总结
大素数模运算的模加与模乘是数论密码学的主要计算开销，但在 CPU 向量指令上高效并行化很困难，因为传统实现依赖昂贵的进位与置换操作。本文提出基于剩余数系统（RNS）的向量化模加与模乘算法，并给出适用于任意模数（素数或合数）的常时模乘算法，使算术运算天然对齐宽向量单元并减少冗余指令。作者将实现加速应用于 RSA-4096 签名验证与签名、BLS 签名验证，并上游到 BoringSSL 以惠及真实 TLS 与密码部署。实验显示，RSA-4096 验证加速 4.0 倍、签名加速 1.3 倍，BLS 验证相比汇编优化的 blst 加速 4.05 倍；映射到 Nvidia GPU 上也在模乘上超过 CGBN 库。
核心总结
针对全同态加密中评估ReLU等非线性激活函数效率低下的瓶颈，本文提出了RBOOT框架，其核心洞察是将ReLU的计算巧妙地融合到CKKS同态加密方案的引导过程中。通过协同优化引导和激活函数，利用引导过程中EvalMod步骤的非线性特性来构造ReLU，显著降低了所需的乘法深度。在四个广泛使用的CNN模型上，RBOOT实现了比多项式近似方法快2.77倍的端到端推理速度和低81%的内存使用量，同时保持了相当的准确性。
核心总结
同态加密程序的性能高度依赖于明文数据在密文中的打包布局，手动优化困难。本文提出了编译框架Rotom，能够自动将张量程序向量化为优化的同态加密程序。它系统性地探索布局分配，并应用了最新的优化技术。评估表明，Rotom能显著减少旋转操作，并实现高达80倍的性能提升。
核心总结
该论文针对5G标准中应用认证与密钥管理（AKMA）协议存在的安全与隐私挑战。AKMA允许应用服务商将用户认证委托给移动网络运营商，但其中的锚点功能（AAnF）若被攻破，可能导致用户登录活动被监控或通信内容被未授权访问；同时，用户永久身份标识（SUPI）暴露给外部应用功能会带来严重的隐私关联风险。为解决这些问题，论文提出了E2E-AKMA协议。该协议即使在AAnF被攻破的情况下，也能确保用户设备与应用功能之间建立端到端安全的会话密钥，并保证除5G核心网外，任何实体均无法将账户活动与用户真实身份关联。该设计保留了原方案无需复杂动态密钥管理和特殊硬件的优势。实验评估显示，其额外开销仅比原5G AKMA方案高约9.4%，表明其具有高效性和实际部署潜力。
核心总结
自动化符号协议验证在复杂协议分析中面临挑战。本文开发了一种支持动态腐败攻击者的组合结果，适用于满足不相交性要求的协议。该工作使组合符号分析能够处理真实世界的安全属性（如前向保密）。在对包含ECH扩展的TLS 1.3进行组合分析时，当整体分析在10%的情况下失败时，所有组合分析均成功，且运行时间和内存使用平均分别降低了71%和86%。
核心总结
基于 MPC-in-the-Head 的签名适合后量子部署，但结构上易受侧信道泄漏影响：验证会打开几乎所有模拟视图，与未打开视图相关的泄漏可被放大以恢复见证；NIST 附加签名轮候选 SDitH-Hypercube 尤其脆弱，因为其签名包含离线最后一方非线性计算、在线 Baum–Nof 算术检查和生成/吸收秘密值的 Keccak 海绵调用。本文提出据称首个在 Cortex-M4 上协议兼容的 SDitH-Hypercube 掩码实现级保护架构。该实现结合三项技术：用公共份额摊销离线掩码乘法所需随机数，采用 Sec/Pub 类型纪律提前重构公开与验证者可重构值以避免在线 BN 内核中昂贵的 Sec×Sec gadget，并仅对携带秘密的海绵调用点使用选择性掩码 Keccak 后端。在 L1 参数集上，公共份额将算术掩码随机数从 8.37 KiB/签名降至 16 B/签名，Sec/Pub 优化在线 BN 内核减少 3,264 B/签名；受保护签名耗时 913.7–1,542.0 Mcycles，为参考实现的 1.84×–3.10×，并适配 155.6 KiB flash、136.7 KiB 静态 RAM 和 7.96 KiB 签名栈；Cortex-M4 上 100 万条迹的一阶 TVLA 实验未再检测到此前泄漏峰。
核心总结
论文研究新兴的x402支付协议：它扩展HTTP 402，为Web API和自主AI代理提供支付协商，并将支付证明验证与链上结算委托给第三方facilitator。由于多个商家共享同一facilitator，信任与验证被集中化，单个缺陷可影响大量服务，但真实部署的安全性尚不清楚。作者首次系统分析facilitator中介的x402部署中的授权正确性与执行安全，提出facilitator应满足的八条安全规则，并据此发现四类新攻击：Free Shopping、Asset Theft、Service Denial和Gas Abuse，可导致商家资金损失、facilitator资产被盗、赞助gas被滥用及支付服务中断。作者实现半自动黑盒工具，测试15个主要x402 facilitator（覆盖超6万卖家和36万买家），发现所有被测者均存在规则违规；负责任披露后部分厂商（包括Coinbase）已修复。最后还测量了超1.19亿笔Base和Solana交易，量化x402采用、facilitator中心化及生态风险。
核心总结
论文研究 Solana 中 Proof of History (PoH) 时间语义的安全影响，发现恶意领导者可通过扣留并延迟释放提交更早 PoH 逻辑时间的合法区块，触发诚实验证者的 PoH 重锚定。基于此原语提出时间膨胀攻击 (TI) 和分叉辅助时间膨胀攻击 (FTI)，前者延长恶意领导者出块时间预算，后者进一步利用分叉选择抑制诚实领导者提案。作者给出形式化分析，刻画重锚定发生条件并在现实网络和权益假设下界定攻击影响。在测试床实现攻击并报告给 Solana 团队，同时分析链上数据发现与 TI 激励通道相符的时序和包含模式，最后讨论防御措施。
核心总结
该论文介绍了BitVM2，首次实现基于轻客户端的比特币无信任桥。其核心BitVM2-CORE范式结合了图灵完备的表达能力和比特币共识的安全性。BitVM2-BRIDGE将信任假设从诚实多数（t-of-n）降低到存在性诚实（1-of-n）。活性由单个理性操作员保证，任何用户都可以充当挑战者进行无许可验证。该方案已开发出生产级实现，并在比特币主网上执行了完整的挑战验证。
核心总结
论文分析基于 Bulletproof 的 RingCT 签名，指出两类普遍低效来源：二进制约束导致的冗余补码建议，以及为防御 KKDL 问题带来的显著开销。作者提出 Weighted-Norm Inner Linear Argument (WNILA) 作为压缩支点，设计无需补码建议的零知识证明，并统一 K-Weight 与 K-Link 技术。由此导出 UniBit、UniBit+ 和 UniBitRange 三种 RingCT 签名方案，并在实际参数下进行实现与基准测试。结果显示签名和验证速度较 Omniring⋆ 提升 2.540 倍，较 BulletCT 签名加速 1.6–2.3 倍、验证最高加速 1.65 倍，签名大小相当。
核心总结
属性基签名提供对签名生成者的细粒度控制。本文提出了两种快速的ABS方案：密钥策略和签名策略ABS。两者均支持基于单调跨度程序的表达性策略，并具备大宇宙、任意属性和自适应安全等实用特性。这是首次基于MSP的ABS方案实现，展示了在该领域已知的最佳渐进和具体性能。对于100个属性，密钥生成、签名和验证时间均可控制在零点几秒内。
核心总结
分片区块链通过分区显著提升可扩展性，但跨分片交易处理是其安全和性能的关键瓶颈。现有方法存在鲁棒性有限和开销高的问题。本文提出Logos，一个鲁棒且高效的分片区块链。它采用新颖的广播-传输-共识模式，实现了对有效跨分片交易的最优分片内开销和更优的无效交易处理开销。在1000个AWS节点上的实验显示，其延迟是基准的50%，吞吐量达132.8 ktx/sec，跨分片网络使用量仅为基准的1/210，并在恶意洪泛攻击下保持了高吞吐。
核心总结
论文针对区块链状态承诺中状态根计算耗时高且 Merkle Patricia Trie (MPT) 树高增长严重、易受 Nurgle 攻击的问题，提出高度优化认证数据结构 MHOT。MHOT 不采用固定前缀索引，而按真正区分键的判别位索引，实现自适应跨度和线性扇出耦合，并证明树高最小。为避免高扇出导致证明膨胀，引入两层 Merkle 分层证明，将每节点证明开销从 O(k) 降至 O(log k)。在以太坊主网负载上写入吞吐最高提升 9 倍、写放大降低 4 倍、证明缩小 2 倍；在 Nurgle 攻击下即使消耗整个区块 gas 预算，攻击成功率仍为 0%（MPT 为 99.97%）。
核心总结
论文研究现代区块链并行执行下的交易费机制 (TFM)，指出多种工业与学术 TFM 难以同时兼顾并行性、性能与公平性。若并行性影响费用，用户可插入无功能并行交易来降低费用，调度器也可制造无用顺序交易提高收入；执行条件性还会导致用户为未使用资源多付费、调度器因预留槽未用而收入受损。作者提出该挑战场景的分析框架，证明存在不可能性：并行性和条件性都涉及用户与调度器风险最小化之间的内在权衡，偏向一方会牺牲另一方。随后提出费用机制并证明其达到该权衡边界。结果为评估 Sui 和 Monad 等区块链的设计提供严格基础。
核心总结
该演讲由微软研究院高级首席密码学家 Josh Benaloh 发表，他长期研究可验证选举技术并参与美国国家科学院 Securing the Vote 报告。演讲核心主张是当前正是推行可验证选举的时机，呼吁采用端到端可验证投票技术增强选举公信力。内容涵盖可验证选举的密码学基础、实际部署挑战以及政策建议，并结合其国会作证和选举验证网络的经验。
核心总结
本文针对敏感数据属性分布在多个实体中的分布式场景，提出了一个用于差分隐私表格数据合成的安全多方计算协议。该协议包含两个新原语：一个利用分布式点函数高效估计垂直分布数据的双路边际的协议，以及一个通过在累积分布函数表中进行批量查找生成噪声的协议。作为具体演示，构建了分布式版的先进DP数据合成算法AIM。实现达到了与集中式版本相同的效用，且端到端运行时间比现有工作减少了数个数量级。
核心总结
本地差分隐私易受投毒攻击，攻击者可控制部分报告用户并显著扭曲聚合输出。本文提出两种在保持LDP隐私保证的同时防止投毒攻击的新方案：Vεrity-Auth适用于第三方掌握真实值的情况；Vεrity则更进一步，处理用户本地生成输入且无真实值可引导可验证随机数生成的更困难场景。
核心总结
零知识虚拟机用于可验证的链下计算，但其约束系统或执行逻辑中的错误可能导致健全性或完备性问题。本文提出ARGUZZ，首个用于测试zkVM健全性和完备性漏洞的自动化工具。它结合了元测试和故障注入，通过生成语义等效程序对并在zkVM中运行来检测漏洞。ARGUZZ对六个真实世界zkVM进行测试，发现了三个中的十一个漏洞，其中一个获得了五万美元的赏金。
核心总结
感知哈希函数用于检测非法内容，但其安全性和隐私风险备受争议。本文展示了在对输入限制为人脸时，仅需2^16次评估即可为Apple的NeuralHash找到视觉不同但哈希值相同的碰撞。对于Microsoft的PhotoDNA，也发现了阈值远低于先前报告的近碰撞。这种黑盒攻击方法无需了解哈希函数设计，其结果严重质疑了这些设计在大规模客户端扫描应用中的适用性。
核心总结
现有安全多方计算框架在扩展到大语言模型时面临性能崩溃。本文提出SMASH，一个高度可扩展的恶意安全混合MPC框架。SMASH引入了基于DFT的旋转技术和轻量级的知识零知识证明来评估非线性操作，首次实现了与参与方数量成线性关系的通信复杂度。它还提供了高效的算术/布尔域转换协议。基准测试显示，SMASH在运行时比现有框架快最高18.9倍，通信量减少最高1000倍，为安全分布式LLM部署铺平了道路。
核心总结
作者观察到密码学领域的现有规范并不要求协议分析者记录部署系统应具备的社会技术（sociotechnical）属性，为此提出一个将社会技术维度引入密码系统分析的框架，能够在广泛接受的密码建模技术之上对拟议的密码部署进行“情境内”（in-context）分析。作者以苹果2021年CSAM扫描提案为案例研究，展示该框架如何自然地揭示对该提案的多项批评。研究还借助该框架识别出该提案一个此前未被记录的性质，说明将社会技术因素系统化纳入密码协议分析具有实用价值。
核心总结
利用解密失败预言机的侧信道攻击是对部署的后量子密码学的紧迫威胁。本文重新审视了利用DF预言机对ML-KEM的选择密文攻击。作者引入了一种结合自适应查询生成与LDPC码信念传播的新攻击框架，通过精心设计的奇偶校验提取最大香农信息。对于ML-KEM-768，该攻击仅需2950次查询即可恢复密钥，其效率接近理论下限，并超越了最先进的二进制PC攻击。
核心总结
密码学证明依赖于模拟器，但编写模拟器繁琐且易出错。本文在Squirrel框架中解决了模拟器综合问题。作者指出先前基于双向推导的证明搜索过程存在系统性缺陷，提出了一个显著改进的程序，可在递归迭代中重用预言机调用，并生成精确的不变式。该程序在Squirrel中实现，并用于验证FOO电子投票协议的选票隐私，这是首个针对FOO的计算化机械验证，也是目前最复杂的Squirrel证明。
核心总结
多党电路隐私集合求交（MP-CPSI）允许m方以秘密共享形式计算集合交集，以支持后续安全计算，但现有协议要么依赖非线性复杂度高的通用电路方法，要么通信量随参与方数量超线性增长。本文提出高可扩展协议Butterfly，使每方通信量与参与方数量m无关、与集合大小n线性相关。它通过双执行蓝图和三元组零共享，将一般m方问题归约到诚实多数三方委员会，仅使用高效键值存储和对称密钥操作，并将下游通用计算复杂度与m解耦；其余m-3个客户端只需一次性通信且可容忍掉线。在m=30时，该协议相比无不可合谋假设的最优基线通信降低最多10130倍、运行时间降低3231倍；m=3时通信减少4倍、速度快14倍；120方各持有2^20项时，10Gbps和200Mbps网络下分别仅需2.66秒和65.5秒，总通信1405 MB。
核心总结
私有集合并（PSU）允许双方在不泄露额外信息的情况下计算集合并集，但Jia等人指出多数可扩展PSU存在执行中泄露，即接收方在协议完成前获知成员信息，并因此提出增强PSU功能；现有增强PSU方案要么依赖高开销公钥原语，要么因通用安全计算导致通信量大。本文提出模块化增强PSU框架，基于多查询秘密共享私有成员测试（ssPMT）和新原语带默认值的秘密共享不经意传输（ssOTd），通过全程保持中间信息秘密共享来消除执行中泄露。作者给出两种主要使用轻量对称密钥原语的ssPMT构造，并设计定制化通信高效ssOTd，还顺带获得避免公钥原语的多查询反向PMT高效构造。实现的两个协议ePSU-fast和ePSU-low分别优化计算和通信，评估显示ePSU-low在计算和通信上同时优于Jia等人（USENIX Security 2024）和Tu等人（USENIX Security 2025）的最新方案，ePSU-fast进一步降低计算开销但增加通信。
核心总结
在两方秘密共享方案中，需要从共享输入计算实数函数的值。本文显著放宽了先前工作对输入的限制，允许计算在更宽松甚至无输入约束的实数上的函数。在此基础上，提出了一个通用框架，用于设计包括整数除法、三角函数和指数函数在内的一类函数的安全协议。实验评估表明，所提协议实现了高效率和高精度。例如，评估e^{-x}的协议将通信成本降低至SirNN和Bolt的约31%，运行时加速分别高达5.53倍和3.09倍，精度也显著优于它们。
核心总结
安全多方计算（MPC）开销远高于明文计算，混合MPC编译器通过将不同计算部分映射到上下文最优协议来提升效率，但Silph等先进系统依赖难以重新调参的部署特定代价模型，并使用脆弱启发式或高成本整数线性规划进行映射，限制了可扩展性和可移植性。本文提出首个基于机器学习的混合MPC份额分配框架SING，利用图神经网络（GNN）完成两类任务：一是模仿Silph的分配结果，在质量相当的情况下将份额分配加速最多76697倍；二是进行代价驱动学习，先在合成或实测代价上训练GNN代价预测器并冻结，再训练分配GNN以最小化预测代价。该方法支持非线性代价模型，避免ILP的线性约束，并可通过重新拟合预测器迁移到新协议套件和部署环境。作者还发布了合成基准资源，包括704个具有广泛混合分配的MPC电路数据集。
核心总结
私有集合交集协议在多次会话中可能被敌手通过使用不一致输入来利用。本文提出了一个新框架PICS，通过承诺集来强制执行跨会话的输入一致性。基于先进的VOLE-PSI协议，PICS使用轻量级密码学工具实现了高效的实例化。它在提供强接收方输入一致性的同时，仅引入了相对较小的通信和运行时间开销。
核心总结
随机置换秘密数据向量是隐私保护分析、广告和通信等协议的核心组件，但现有方法要么依赖计算密集的公钥密码和零知识证明，要么因使用拟线性大小置换网络而难以扩展到大向量。本文提出预处理方法，在恶意安全两方计算（2PC）设置下实现快速线性时间在线洗牌。作者提出FLOSS协议，可安全计算任意交互式算术置换电路，并引入该概念来刻画高层协议如何建立在秘密共享域算术和置换之上。文中展示秘密共享排序可描述为算术置换电路，并可用FLOSS编译为高效在线2PC协议。实现评估表明FLOSS在线洗牌2^20个元素耗时不到500毫秒，比最优替代方案快800倍以上。
核心总结
安全聚合是隐私保护联邦学习的核心原语，使服务器能在不获知单个客户端更新的情况下计算聚合值；基于委员会的设计可降低客户端开销并容忍弱连接参与者，但现有方案仍随客户端数量或模型更新维度产生通信和计算开销，服务器与委员会交互成为瓶颈。本文提出Lighthouse，一种支持客户端一次性通信、且服务器与委员会之间计算和通信开销为常数的安全聚合协议，不随客户端数量和输入向量大小增长。它达到最优的两轮轮复杂度，与OPA和TACITA相当，并优于Flamingo和Willow，核心技术是创新性应用批量门限加密，实现简洁的服务器-委员会交互并保持安全性与正确性。对于1024个客户端的聚合，Lighthouse相比Flamingo和Willow将服务器到委员会通信降低超过100倍、委员会到服务器通信降低超过300倍；作者还扩展支持动态客户端参与并保持效率。
核心总结
本文提出了首个高效的模糊私有集交集协议，实现了线性通信复杂度，且不依赖于对参与方输入分布的严格假设，也避免了使用低效的全同态加密。其关键洞察是将安全计算汉明距离简化为安全计算内积。利用这一简化和最近的内积谓词加密技术，该协议能够在任意输入分布下达到最优的线性通信复杂度。实现验证了其可行性并展示了优于相关工作的性能。
核心总结
可证安全隐写术是确保正常模型输出与隐写输出计算不可区分的前沿技术，但现有方法常需要获取模型的显式分布。本文提出一种仅需要接受种子作为输入的模型API的可证安全隐写方案。核心机制是采样候选令牌集并构建消息位串到令牌的映射。通过维护和动态扩展碰撞集来解决解码正确性问题。评估表明，该方法在效率和容量上与现有方法相当。
核心总结
可证明安全隐写术通过将秘密消息伪装成正常通信内容来实现隐蔽通信，并保证计算不可区分性；近期工作通常假设发送方和接收方拥有相同条件分布，或接收方完全没有该知识，但现实通信中接收方往往只掌握部分信息。本文引入并研究“弱非对称隐写术”新场景，其中发送方可访问构造隐写文本所需的完整条件分布，而接收方仅拥有由这些分布导出的部分知识。作者针对多种代表性接收方知识形式设计了可证明安全方案，包括二元字母表中接收方仅知符号概率是否超过给定阈值，以及一般字母表中接收方仅观察符号概率的部分排序。在基于语言模型的文本隐写中，作者评估了基于排序的构造在接收方知识受限和精度导致分布不匹配时的表现，结果显示弱非对称隐写术可实现非平凡嵌入容量，并表明该场景在分布不匹配情形下具有潜力。
核心总结
隐私保护区块链和即时通讯面临接收者隐私挑战，即客户端需扫描公共板上的每个载荷。遗忘消息检索通过将扫描外包给服务提供商来解决此问题。本文提出SophOMR方案，通过新的同态压缩机制，显著提升了效率。其核心是利用底层同态加密方案的原生SIMD结构，将与总载荷数成比例的密文压缩为摘要。在65536个载荷（最多50个相关）的场景中，运行时、摘要大小和密钥大小分别比现有最优方案减少了3.4倍、2.2倍和1.5倍。
核心总结
针对实际应用中常见的集合大小严重不平衡场景，本文提出了两种用于L∞距离的不平衡模糊私有集合求交协议。研究发现现有协议的通信瓶颈在于传输不经意键值存储，本文通过设计新的空间哈希方案并将其与批处理私有信息检索相结合，实现了通信量随较大集合大小亚线性增长。在典型参数设置下，新协议的通信量相比最先进方案降低了数千倍，运行时间也显著提升。
核心总结
论文提出 sigma-rs，一个用 Rust 实现的分层匿名凭证软件栈，旨在降低基于现代匿名凭证系统的协议构造与部署复杂度。该栈抽象底层密码学复杂性，同时灵活支持多种凭证方案、证明和访问策略，并关注误用抵抗。通过类型安全、域分离和证明者状态纪律等设计，sigma-rs 提升实现安全性，并支持侧信道感知的常量时间策略。作者通过重新实现 Tor 的 Lox 桥分发协议和 OONI 用户认证来评估实用性。
核心总结
在部分同步模型中，拜占庭容错共识协议常面临低延迟与高容错性之间的权衡。本文提出了Hydrangea协议，通过调整参数，在特定故障组合下实现了两轮的乐观提交延迟，同时保持了较高的容错能力。论文还证明了相应的匹配下界，并在地理分布式部署中实验验证了该协议相比现有方案在延迟和吞吐量上的优势。
核心总结
该工业报告由 Comcast 的 Jayati Dev 主讲，讨论如何在大规模环境中构建实用的密码学资产清单，以支持风险、合规和后量子就绪。讲者领导后量子密码 PQC 卓越中心的清单工作流，构建用于加密合规的工具和解决方案。她还支持公共政策工作，参与 PQC 等新兴技术政策领域。由于摘要为讲者简介，未提供具体技术方法或评估结果。
核心总结
本文将端到端加密保护扩展到协作文档领域。研究首先形式化了端到端加密协作文档的安全和功能需求，然后提出了一个通用框架，将端到端加密的异步广播通道与任何确保全局一致视图的编辑协调机制相结合。基于此，作者设计并实现了SignalCD，一个针对调查记者场景、基于Signal群组消息协议构建的系统。原型实现表明该方案足够高效，可以实现实时协作。
核心总结
端到端加密是现代安全消息的基础，Signal 协议是事实标准，但执法机构要求解密用户流量，因此关键问题是：当对手能够常规解密 Signal 消息时，用户是否仍能安全隐蔽地通信。本文从变形加密（anamorphic encryption）角度出发，设计两种构造，将隐蔽信道嵌入现有 Signal Double Ratchet 协议：一种嵌入非对称棘轮使用的 Diffie-Hellman 密钥，另一种嵌入对称棘轮产生的认证标签。这些技术兼容现有 Signal 部署，无需服务提供商修改；作者在捕获合法访问解密能力对手的威胁模型中形式化安全，并证明生成的协议转录与标准 Signal 不可区分。作者在官方 Signal 库和 Android 客户端实现构造，显示低开销且实际可行，表明即使常规 E2EE 保证被破坏，隐蔽通信信道仍可存在。
核心总结
隐蔽消息检索用于匿名消息系统和私有区块链，允许资源有限的接收方外包消息的检测和检索。本文提出InstantOMR，一种结合TFHE功能引导和标准RLWE操作的混合OMR方案，专门优化了低延迟和高并行性。实验表明，InstantOMR的延迟比现有方案低约600倍，并且能近乎最优地随CPU核心数扩展。
核心总结
Signal 被广泛视为安全消息应用的金标准，但本文提出两个实际攻击，破坏了其宣称威胁模型下的完整性属性，且二者均源于文档不足、未被形式化分析的功能。第一个攻击影响 Android 和 Desktop，源于 2022 年引入的基于用户名的身份机制；其身份解析协议漏洞允许恶意服务器在特定情况下向一对一对话注入任意消息，虽会触发安全号码变更警报，但用户比较安全号码时却显示正确。第二个攻击更严重，源于 Sealed Sender 在 Android 实现中的两个错误：缺失密钥检查，以及密码处理跨多个软件组件时丢失上下文；恶意服务器可向一对一和群组对话注入任意消息，用户无法检测，且无需前提条件、可随时发起。该漏洞自 2018 年 SSS 引入以来可能存在，作者已披露并促使 Signal 修复；论文进一步讨论了在复杂软件项目中部署新安全特性的挑战。
核心总结
多家云密码管理器声称提供“零知识加密”，即服务器完全无法获知密码库内容。本文对Bitwarden、LastPass和Dashlane三家主流服务进行了安全分析，共发现25种不同的攻击。这些攻击严重程度不一，从针对特定用户库的完整性破坏到完全泄露组织的所有库，多数可恢复密码。研究揭示了在实现端到端加密系统时常见的设计反模式和密码学误解。
核心总结
伪随机纠错码（PRCs）是 CRYPTO 2024 新提出的密码原语，主要用于大型生成模型的不可检测水印，但其安全性尚未被系统分析。本文首次对 PRCs 进行密码分析，聚焦唯一已知实际实例 LDPC-PRC，提出三种新攻击，挑战其不可检测性和鲁棒性。作者分析现实参数下的具体攻击复杂度，并在真实大型语言模型和生成图像模型（包括 DeepSeek 和 Stable Diffusion）上验证攻击有效性，结果显示 LDPC-PRC 在所有实际可行区域的安全保证均被削弱，例如仅需约 2^22 次操作即可用压倒性概率检测水印。作者进一步提出参数推荐、实现建议和修订密钥生成函数三种防御，但指出由于大生成模型的固有限制（如 LLM 最大输出长度），基于 PRC 的水印仍无法达到 128 位安全，工作明确了其现实安全极限。
核心总结
本文提出了IRONDICT，一种基于多项式承诺方案的透明字典构造。该构造允许不受信任的服务器维护可变字典，并向客户端提供可验证的查询服务，重点解决了轻量级客户端高效审计的难题。通过结合最新的多项式承诺方案和增量可验证计算技术，IRONDICT使得在普通笔记本电脑上验证包含10亿条目的字典仅需35毫秒，比现有最优方案快300倍，证明大小小15万倍，同时保证了完美的隐私性。
核心总结
变形密码学针对独裁者要求用户交出密钥但仍允许使用密码学的场景，目标是在看似正常的密文中隐藏秘密消息；此前研究多关注简单原语，仅初步识别了 Signal Double Ratchet 中的有限隐藏点。本文首次利用密码通信协议的状态性，采用持续更新的双状态实现前向安全：即使对手观察所有流量、知道任意阶段所有用户的常规密钥材料，并在某时学到秘密双状态，整个协议执行看起来仍然正常。作者形式化该概念，并覆盖消息场景中尤其相关的鲁棒性和真实性，随后研究四种最相关协议——Signal Double Ratchet、Signal Triple Ratchet、Apple PQ3 以及 MLS 两方核心——并识别其中的隐藏点。作者证明这些协议都提供前向安全、认证的变形信道，并评估带宽：Double Ratchet 每纪元可嵌入 16 位，Triple Ratchet 和 PQ3 每个后量子纪元分别提供 176 位和 256 位，MLS 每纪元提供 688 位。
核心总结
该论文研究单服务器、无离线提示的批量私有信息检索（PIR）效率问题。现有无提示 PIR 可通过跨方案密文转换实现，但在批量查询场景下会带来显著计算和通信开销。作者提出 SPIRIT，利用有状态密文转换同时实现高吞吐查询与低通信成本：设计有状态密钥扩展过程将转换开销摊销到多次查询，并基于共享中间表示提出新的响应压缩策略，把一批 PIR 响应高效打包进单个密文。实验表明，SPIRIT 相比最先进的批量 PIR 协议可将查询执行速度提升 3.1–5.1 倍，并将通信带宽降低 2.3–3.6 倍。
核心总结
该论文研究可搜索对称加密（SSE）中的被动查询恢复攻击。SSE 会泄漏搜索、访问和体积模式，现有攻击依赖文档-关键词共现匹配，但在真实低泄漏场景下许多关键词产生相同模式，形成大型歧义组，严重限制恢复效果。作者发现关键词之间存在稳定语义规律，即使直接共现稀疏，也可用外部语言知识增强观测泄漏。为此提出 Whisper，一个分阶段、共现增强的查询恢复框架，利用 LLM 合成语料与预训练嵌入稠密化共现矩阵，从而区分原本不可区分的候选。在六个真实数据集上，当泄漏率仅 0.1% 时，Whisper 将正确查询恢复率从当前最优方法的低个位数百分比提升到 36%–49%（提升约 22.5 倍）；在 1% 泄漏率下多数数据集超过 80%，最高达 95%，且对填充和体积隐藏防御仍有效。
核心总结
该论文旨在解决隐私计算中依赖加密或可信执行环境（TEE）时易受访问模式攻击和侧信道攻击的风险。论文指出现有的基于树或分区的ORAM方案在低延迟和高吞吐量之间存在割裂。为此，本文提出了SONIC，首个用于硬件飞地的ORAM，它用RingORAM取代了传统的PathORAM。该设计克服了所有树ORAM构建的核心挑战（如顺序驱逐瓶颈），实现了并发访问、批量驱逐和无锁操作。SONIC在单服务器上实现了最低150K、最高2M请求/秒的吞吐量，比EnigMap高28-197倍，比GraphOS高158-1065倍。此外，SONIC可作为Snoopy的子ORAM替代品，将处理1TB数据所需的服务器数量从数千台大幅减少至32台，实现了更实用的可扩展性。
核心总结
可搜索对称加密（SSE）方案通常仅索引级安全，无法抵抗对加密文档检索的密码分析。本文提出了DDR-SSE，一种实际高效的、系统级安全的SSE方案，仅需静态客户端状态且泄漏配置文件简单。技术核心是使用重复文档存储和随机文档检索来抑制访问模式泄漏，而不牺牲实际效率。论文提供了基于模拟的安全证明，并通过广泛的泄漏密码分析证明DDR-SSE能抵抗查询重建攻击。原型基准测试显示其可平滑扩展至现实应用规模的大型数据库。
核心总结
本文首次提出了基于标准MLWE格假设的安全多消息多接收公钥加密方案mmCipher。为解决后量子场景下批量加密导致的带宽膨胀问题，论文引入了“扩展可复制公钥加密”这一新变体，允许通过提示复制密文，并通过精确估计提示安全性影响来实例化格基方案。实验评估显示，对于1024个接收方，该方案能将带宽开销降低23-45倍，密文大小仅比明文大4-9%，接近最优带宽，同时计算成本也降低3-5倍。
核心总结
私有信息检索允许客户端私密访问数据库。现有高吞吐量协议通常需要大量客户端存储或离线阶段通信成本过高。本文提出ZipPIR，一种将LWE密文压缩为更小Paillier密文的高吞吐量PIR协议。其离线阶段几乎静默，无需客户端交互。ZipPIR实现了超过2 GB/s的吞吐量，与需要大提示存储的现有协议相当，同时显著提升了无客户端存储PIR的吞吐量。
核心总结
在向后量子密码迁移的过程中，许多方案牺牲了可否认性这一重要属性。本文研究了如何在后量子认证密钥封装机制中高效地保留可否认性，提出了两种混合方案。其中，Shadowfax方案结合了经典非交互密钥交换、后量子密钥封装机制和后量子环签名，在不诚实或诚实接收者场景下均满足可否认性，并提供了高效实现。
核心总结
该论文研究标准模型下基于格的非交互式密钥交换（NIKE）。现有 CKS-heavy 安全模型下的 NIKE 构造要么安全归约较松，要么因缺少合适的哈希证明系统（HPS）而无法实现格实例。作者引入“解耦密钥封装机制”（decoupled KEM），将接收者无关的密文生成与接收者相关的密钥派生分离，并形式化其多用户安全概念 MU-IND-wCCA^Corr+。基于此提出通用框架：任何满足该安全性的解耦 KEM 都可构造 CKS-heavy 模型下更紧安全的 NIKE。具体地，作者在标准模型下基于 Modulus-LWE 构造 HPS，进而得到格基 NIKE HPS，其安全归约损失随用户数线性增长，优于 SWOOSH 的二次损失，且实验显示密钥生成和共享密钥派生速度显著提升。
核心总结
该论文研究面向隐私保护云数据库和外包存储的分布式不经意 RAM（DORAM）。现有两服务器 DORAM 设计常依赖慢速线性扫描或重量级密码学原语，难以兼顾效率与带宽。作者提出 DuetORAM，核心是“复制到共享”的块编码：服务器可保存相同密文以支持高效 PIR 检索，同时本地将其解释为秘密共享，从而通过轻量洗牌实现不经意驱逐。论文还设计了带离线-在线分解的秘密共享洗牌，将大部分带宽密集工作转移到预处理阶段。实验表明，DuetORAM 在局域网中相比最先进两服务器方案 DUORAM 可将检索延迟降低最多 170 倍，相比三服务器方案 S^3ORAM 检索延迟降低 1.7 倍，驱逐在 LAN 和 WAN 分别加速 7 倍和 5 倍。
核心总结
密码学 API 对应用安全至关重要，但开发者频繁误用导致大量漏洞；由于 JavaScript 的动态语义和碎片化的密码库生态，静态分析工具难以准确建模数据流、覆盖非标准或不断演进的密码库，导致检测漏报率高。本文提出 JScamd，一个可扩展检测 JavaScript 密码学误用的静态分析框架，集成增强的程序表示引擎、LLM 辅助的污点规则生成流水线以及精确的静态污点分析引擎，以应对 JavaScript 的动态特性。基于 16 条系统定义的密码学安全约束，JScamd 能自动分析密码 API、识别安全敏感的污点源与汇聚点并合成完整的污点分析规则，从而在多样化的 JavaScript 库和应用场景中准确检测密码学误用。作者在 322 个广泛使用的 JavaScript 项目上开展大规模评估，共检测出 1,059 处误用，精确率达 97.78%，显著优于三个最先进工具，并进一步发现此前未知的漏洞，获得 41 个分配的 CVE，表明 JScamd 有效弥合了密码学安全规范与生态级漏洞检测之间的鸿沟。
核心总结
针对资源受限的ARM TrustZone-M平台缺乏高分辨率侧信道分析框架的问题，本文提出了M-Step，一个开放的可扩展单步调试攻击框架。研究者通过深入剖析中断处理行为，创新性地利用了被先前研究忽略的中断延迟泄漏来动态调整定时器中断，从而在没有虚拟内存的微控制器上实现了精确的指令级单步执行。利用该框架，研究者发现了最新ARM Mbed TLS库中的未知漏洞，并能通过单条迹线确定性地恢复TrustZone飞地中完整的RSA私钥。
核心总结
零知识简洁非交互式知识论证（SNARK）的证明生成面临内存瓶颈。本文提出了Scribe，一种新的低内存SNARK，通过利用磁盘存储这一丰富资源，在智能手机等廉价消费设备上高效证明大型陈述。Scribe的证明器采用读写流计算模型，状态存储在磁盘上并以流式方式访问。评估显示，在商用硬件上，Scribe可轻松处理2^28个门的电路，内存使用少于750MB，与需要更多内存的基线（HyperPlonk）相比，证明延迟仅增加约10%。
核心总结
范围证明允许证明者在不泄露额外信息的情况下证明已提交值位于特定区间，是匿名凭证、电子投票、电子现金和Monero/Grin等隐私保护系统的基础；关键挑战是高效证明多个提交值同时满足范围约束并最小化通信开销。向量承诺提供了有前景的解决途径，但Missileproof（CCS'24）虽实现O(1)证明大小和验证时间，证明者复杂度仍达O(NL log(NL))。本文提出Rarus，一种面向多项式向量承诺的高效范围证明，用优化的b-ary分解替代二元分解，结合双变量零测试和加速的单变量Sum-Check，在所有指标上达到最优渐近复杂度。Rarus实现O(1)证明大小和验证时间，将证明者时间降至O(NL/log(NL))G+O(NL)F，并支持任意区间[0,R)而非仅二次幂；实验表明在证明16,384个[0,2^64)值时比Bulletproofs和Missileproof快20倍。
核心总结
本文提出了两种新的简洁非交互知识证明方案Pari和Garuda，分别致力于最小化证明大小和生成时间。Pari方案实现了目前已知最小的证明大小（仅160字节）和最低的链上验证Gas成本。Garuda方案则首次支持任意自定义门和自由线性门，显著减少了证明生成时间。两者的核心是提出了一种新的密码学原语——等效多项式承诺，并基于此构建了高效的证明系统。
核心总结
现代化控制关键基础设施的运营技术系统面临安全挑战；由于边缘设备能力有限，现有方案依赖与身份管理系统交互并执行访问策略的应用网关，但网关部署管理负担大，需要与远程分布式边缘设备共置、持续打补丁并最小化停机。本文提出Prezta，一种通过客户端零知识虚拟机（zkVM）内评估策略来消除网关的架构，zkVM生成简洁的授权证明，边缘设备可高效验证，从而将零信任安全边界扩展到边缘，且策略和身份管理方案演进无需更新边缘设备。作者基于RISC Zero zkVM实现原型，支持XACML 3.0策略和JWT身份声明；通过将策略编译为Rust代码、预编译正则表达式并优化签名验证和JWT解析，将证明者时间降低超过一个数量级。评估显示其编译器正确实现83%的XACML 3.0一致性测试套件，桌面端证明生成耗时数十秒，而验证仅需数十毫秒，适合资源受限边缘设备。
核心总结
零知识证明（ZKP）虽已广泛应用，但在需要对浮点数进行非多项式函数精确计算（如机器学习、DeFi、科学计算、地理定位）的场景下效率低下：现有方案多用定点量化模拟浮点，并用查找表、分段或低次多项式近似处理非多项式函数，导致性能与精度/通用性难以兼顾。本文提出一个基于高斯-勒让德求积（Gauss-Legendre quadrature）的通用近似框架，可对一大类非多项式函数进行高效可证明计算。其关键优势在于：在将误差降低到量化固有极限的同时，乘法电路深度不随之增长，始终保持在很小的常数（≤ 4）以内，这与传统近似方法中精度提升必然增加乘法深度的现象形成鲜明对比。作者在 Noir/Barretenberg 中实现并评估，多数非多项式函数的绝对误差比同类基线低 2^256 倍，且证明者开销较低；在需要高精度的 DeFi 与天文学应用中，误差也比基线近似低 4–64 倍。
核心总结
零知识证明（ZKP）的证明生成成本高昂，而已有的 GPU 实现仅依赖通用 SIMT 核心，未能利用擅长矩阵乘法的 Tensor Core 算力。本文提出 TensorZKP，这是首个利用 GPU Tensor Core 加速 ZKP 的框架。由于 Tensor Core 面向低精度矩阵乘设计，作者开发了兼容 Tensor Core 的有限域算术，并将 ZKP 中的 sum-check 协议和 Spielman 码重新表述为矩阵乘法任务，同时设计了异步 warp 专用的流水线框架，将访存、Tensor Core 矩阵运算与基于 SIMT 的模约减重叠执行，并以 HyperPlonk 作为 PIOP、Brakedown 作为 PCS 实现端到端证明生成。评估显示，在 2^25 规模下内积仅需 0.85 ms、标量-向量乘 0.91 ms、二次 sum-check 4.04 ms、编码器 11.58 ms；对于含 2^25 个乘法门的电路，证明生成时间仅 215.28 ms，相比 CPU 基线加速 955 倍，相比最先进的 SIMT GPU 实现提升 36.2 倍。
核心总结
个人基因组数据极为敏感，已有研究多关注用 MPC 或 FHE 让合作方研究无法共享的联合基因数据，但很少考虑如何验证基因组计算结果本身的正确性（无论在研究还是新兴的个性化基因治疗中）。本文首次系统研究可验证基因组学的零知识证明，提供了验证序列比对等常见基因组计算操作的构造模块，并探索两个端到端应用：可验证全基因组关联研究（GWAS）和可验证 CRISPR 适用性。在 GWAS 场景下，第三方可验证研究是在经过认证、未被篡改的数据库上诚实计算得出，对现有文献规模的队列可在 40 分钟内完成证明；在 CRISPR 场景下，用户可在不泄露自身 DNA 序列的情况下证明其对某种疗法或试验的适用性。为此作者提出比现有最优方案快 30 倍的可验证序列比对零知识证明，以及面向大规模基因组数据的存储高效 Merkle 树索引，渐近地降低了存储成本。
核心总结
本文提出了两种高性能的多线性多项式承诺方案PIPFRI和DEPIPFRI，用于提升简洁非交互知识证明的性能。核心思想是“Shred-to-Shine”，即通过将多项式分割成可独立处理的片段来加速证明过程，同时保持证明大小和验证时间的紧凑。实验表明，新方案在证明速度上比现有最优方案提升了一个数量级，并首次实现了基于编码的通用电路分布式证明，同时改进了证明大小、验证时间以及证明者间的通信成本。
核心总结
密码学压缩函数是向量承诺（如 Merkle 树）的核心组件，在 ZK-SNARK/STARK 框架中被广泛使用；面向算术化的（AO）压缩函数通过在原生域 F_p 上最小化乘法复杂度而比面向比特的设计更高效，但目前 AO 压缩函数几乎都通过把 Sponge 模式应用于 AO 置换来构造。本文提出两类新的基于置换的 AO 压缩模式：基于前馈加法置换的 PA 族及其扩展 PAX，并形式化证明它们（不同于 Sponge）达到了最优的抗碰撞和抗原像安全性，同时证明 PAX 与随机预言机不可区分，进一步强化了安全性与可组合性保证。作者还表明可通过适当的域扩展器从 PA(X) 模式安全实例化可变输入长度哈希函数，且该框架统一并扩展了 Jive、Trunc（用于 Anemoi、Poseidon2）等此前仅经受密码分析、缺乏可证明安全保证的模式。在 Poseidon 与 Rescue 置换上的实验显示，在 128 比特抗碰撞性下，软件实现可达 Sponge 的 2 倍加速；在 Groth16 的 R1CS 算术化下，PA(X) 的原像验证电路比 Sponge 快 10%，在 Plonky2 框架下最多快 60%。
核心总结
现有网络流量分析方法多基于包或单个流，难以捕捉跨流的时序与关联上下文，这在分析如APT攻击等复杂行为时存在局限。本文提出Tracegram，将轨迹级分析形式化为多实例学习问题，通过组合流编码器和时序感知聚合模块来推理跨流关系并保留长程依赖。该框架在四个公开数据集的多项任务中取得了优于或可比现有方法的性能，并能通过关键流归因支持安全分析。
核心总结
该论文研究分布式 RSA 模数生成中保持因子私密的核心问题，改进了现有分布式 Miller-Rabin 素性测试中的可除性测试。作者提出一种新颖的零测试协议，其核心是分布式 Montgomery 约减设计，将判断 δ mod f = 0 转化为判断乘积是否为零，从而实现确定性、完美正确的零测试。新协议仅需 7 轮和 5 次安全乘法，优于此前需要 3+⌈log2 n⌉ 轮与 n+3 次乘法或 8 轮与 5n-1 次乘法的方案。实验表明在诚实多数设置下，当 n ≥ 9 时加速比随参与方数量增加而增大，且可支持诚实/不诚实多数并升级至恶意安全。
核心总结
本文提出了首个完全兼容NIST标准化ML-DSA算法的高效门限签名方案。该方案利用先进的短秘密共享技术和优化的拒绝采样，在分布式环境中实现了通信效率与正确性之间的良好平衡。实验评估表明，该方案在局域网和广域网环境下均具备实际部署的可行性，适用于多设备加密货币钱包、基于门限的TLS认证等现实世界应用。
核心总结
盲签名是许多隐私保护应用的重要构建块。本文提出了一种基于VOLE-in-the-Head零知识证明系统和MAYO数字签名方案的、可证明后量子安全的盲签名方案PoMFRIT。与性能不佳的现有格基方案相比，PoMFRIT在签名颁发和验证（展示）阶段均实现了高效：签名大小约6.7KB，验证时间小于76毫秒。作为中间贡献，作者还实现了首个针对SHA-3系列哈希函数的VOLE-in-the-Head证明。
核心总结
现有向量承诺方案适用于集中式场景，无法处理输入向量分布在多个机器上的分布式设置。本文首次提出分布式向量承诺的概念，并设计了HLE-DVC方案。该方案允许多个持有子向量的机器共同承诺整个向量并生成位置证明，支持批处理证明、证明聚合和高效更新。实验表明，使用256台机器可实现256倍的并行加速，性能优于单机方案。
核心总结
本文提出了Heli，一个允许两台服务器收集客户端私有数据聚合统计信息而不泄露个体信息的系统。Heli的创新在于，仅“重”服务器需要进行与客户端数量成正比的工作，而“轻”服务器的工作量与客户端数量无关（初始化后）。这使得计算能力有限的参与方也能服务于百万级客户端的部署。Heli依赖于一种新的加密原语“聚合仅加密”，在千万客户端求和场景下，轻服务器的工作量比之前工作减少了12万倍。
核心总结
匿名凭证是隐私保护认证的基础。现有最先进的多机构凭证在颁发阶段平等地对待所有机构，忽略了不同机构可信度或权益的差异。本文提出MA-ACEW，首个考虑机构权重分布的多机构匿名凭证模型。其核心是新型的时期绑定PS签名原语，支持基于权重的凭证颁发和高效的跨时期更新。基准测试表明，聚合128个部分凭证的凭证仅需10.68毫秒。
核心总结
阈值签名协议将签名密钥分发给多方，但现有的后量子阈值方案大多针对特殊设计的方案。本文提出了首个高效且可扩展的多机构生成NIST后量子签名标准之一的ML-DSA的解决方案。作者提出了ML-DSA签名算法的变体，并设计了高效的MPC协议。该方案在诚实多数设置下运行，签名和验证密钥大小与标准ML-DSA匹配，且无需新假设。
核心总结
本文提出了一种具有指定读取器元数据位的匿名令牌方案。现有方案的元数据信号只能由令牌发行方读取，而本方案允许用户指定一个经发行方认可的验证者直接读取信号。该方案进一步扩展，支持了“读取器隐藏”（对发行方隐藏指定的验证者）和“发行方隐藏”（对验证者隐藏发行方身份）功能。论文提供了安全性证明和性能报告。
核心总结
该论文提出了一种新的密码学原语——流函数秘密共享，以解决在流式数据分析场景下保护隐私的挑战。现有的函数秘密共享方案在处理持续到达的消息时效率不足，本文的形式化定义和构造方案针对此场景进行了优化。新方案以更简洁和模块化的方式支持条件转码、策略隐藏聚合等多种应用，并在安全性和效率上显著优于现有方案。
核心总结
无接触支付卡通常被认为在印刷有效期后停止工作，许多利益相关方依赖这一假设进行授权和访问控制。本文表明银行将有效期作为交易策略检查而非卡的内在属性，从而使过期卡仍能发起无接触支付。作者提出“僵尸卡”攻击，使过期卡看起来未过期，并在Visa、Mastercard和Discover等EMV内核、POS终端、商户和五家美国主要银行的真实交易配置中评估。结果显示Visa无接触交易因缺乏有效完整性保护而易受中间人篡改，银行常依赖POS终端决策并跳过关键安全检查。攻击使用商用NFC收发器即可在典型店内条件下实施，本文据此提出跨内核、发卡行和支付生态的端到端交易完整性对策。
核心总结
端到端加密消息应用因安全性被广泛用于群组中的敏感协调，例如政治决策者；在Threema和WhatsApp之后，Signal和iMessage近期也引入投票功能以辅助群组达成一致，这隐含期望所有参与者看到相同结果，即转录一致性。本文证明当今主流E2EE消息应用对群聊不保证任何形式的转录一致性，恶意群组成员可以选择性省略、重排或向不同接收者呈现篡改内容而不触发用户界面警告。作者在恶意参与者威胁模型下系统研究该问题对共享转录完整性或用户关联设备间不一致投递的影响，识别出从协议回退路径到群组内故意使用成对投递通道的多种模棱两可向量。文中展示了社会工程、规避审核以及特别是操纵投票等具体利用场景，还发现具有隐私影响的实现特定行为（如设备操作系统指纹识别），并在既有转录一致性研究背景下提出可集成到先进E2EE群组协议中的低开销缓解措施和UI信号策略。
核心总结
近期部署的 Spectre v2 缓解措施在特权上下文切换或间接分支执行前中和分支预测器状态，假设中和后的预测器行为在使用前不受攻击者影响。本文证明该假设在最新 AMD 和 Intel CPU 上不成立，发现中和后至使用前（TONTOU）窗口可被攻击者利用重新污染预测器。攻击者可在该窗口内将受害者控制流重定向到训练 gadget 以更新预测器，作者提出 INTERRUPT INJECTION 原语，利用中断几乎可在任意时刻发生的特点实现控制流重定向。基于该原语，作者构建端到端利用，在 AMD Zen 2 上以 5.47 字节/秒速率泄露任意内核内存，尽管已部署最新中和技术。
核心总结
本文首次对ARM MTE（内存标记扩展）硬件在四个不同微架构（包括谷歌Pixel手机和AmpereOne CPU）上的性能进行了全面分析。研究调查了MTE在主要应用——概率性内存安全——以及内存追踪、TOCTOU防御等特定安全应用上的性能。结果发现MTE通常开销适度，但在某些基准测试上性能下降高达6.64倍。论文识别了导致这些开销的微架构原因，并探讨了先前MTE性能研究中的方法或实验错误。
核心总结
论文针对共享多核CPU中内存着色难以同时隔离L3缓存和DRAM等多组件的问题，指出可用颜色数取决于索引函数的代数性质，而现有商用CPU设计往往不支持多组件内存着色。作者提出自动合成线性索引函数的算法：在给定典型工作负载和CPU设计上下文下，将CPU设计需求转化为代数约束，并通过分析相关索引函数代数核的重叠来保证最少颜色数，同时优化性能。在16核服务器级CPU案例中，该框架生成了可划分L3缓存和DRAM bank的着色方案，将颜色数从1提升到16，在SPEC和PARSEC基准上平均性能开销低于2.5%。
核心总结
基于微控制器单元的设备是物联网基础设施的关键层。现有重托管框架因仿真或执行范围有限而存在显著性能开销。本文提出Khost，一个近原生、范围保持的重托管框架。它通过扩展KVM引入轻量级扩展CPU、辅助页表和软件中断控制器，实现了最小开销的固件重托管。评估显示，Khost的性能开销比QEMU降低了90%以上，模糊测试吞吐量提高了近200倍。
核心总结
本文提出了InstrSem，一种ISA无关、模块化、全自动的方法，仅从执行行为推断指令语义（包括未文档化指令），并提供人类和机器可理解的语义。该方法通过系统变化架构状态执行原始编码，并合成紧凑的数学函数来解释所有状态变化；再通过变异编码位并关联行为变化来概括完整指令，恢复寄存器和立即数字段。InstrSem在RV64I、AArch64和LA64等架构上进行了评估，自动恢复了超过97.81%的RV64I基础指令集语义，并发现了未文档化的向量指令等安全相关信息。
核心总结
第三方硬件加速器的使用引入了新的安全漏洞。现有模型级后门攻击可被防御方法检测。本文提出HAMLOCK，一种在硬件-软件边界上分布攻击逻辑的隐蔽威胁。它通过微调软件模型中少数神经元的激活值，并在恶意硬件木马监控下触发另一木马篡改最终输出。这种解耦设计使模型本身无完整后门路径，从而绕过了现有模型级防御，且硬件木马开销极低，难以检测。
核心总结
现有CPU架构漏洞研究多集中于x86-64、Arm和RISC-V，而基于LoongArch、广泛用于中国基础设施的龙芯处理器尚未得到充分分析，形成全球安全盲点。论文发现并分析LoongLeak，一种影响多款龙芯CPU的架构漏洞：4字节浮点加载会从L1数据缓存返回陈旧位，使无特权攻击者能够跨越内核或虚拟机管理程序等安全域泄露机密数据。该泄漏是架构性的，不依赖计时或旁路信道，攻击者还可细粒度控制缓存集和偏移；案例研究在数秒内从内核恢复全盘AES密钥、从用户态恢复部分root密码哈希，并绕过ASLR和栈金丝雀。作者指出该漏洞可从无特权用户空间、容器或虚拟机利用，软件缓解如浮点模拟有10至21倍开销，内核到用户态切换刷新L1缓存并关闭SMT可缓解，但长期需要硬件修复。
核心总结
随着GPU微架构复杂度提升，硬件漏洞风险增加，但已有处理器模糊测试主要针对CPU，缺乏面向GPU RTL的自动化方法。本文提出FuzzGPU，首个在RTL级对GPU硬件设计进行模糊测试的框架，核心是随机生成具有复杂数据和控制流的合法SIMT测试程序，以触发多种GPU执行模型行为。为处理缓存和内存时序等非确定性，作者实现GPU专用差分测试harness，并采用基于ISA级oracle的trace驱动差分测试，实现指令级漏洞定位。在Vortex和Ventus OpenGPGPU两个开源GPU上评估，发现20个未知bug，其中17个RTL bug、3个ISS bug，10个获得CVE编号。
核心总结
传统上电磁侧信道泄漏和电磁注入被视为分别威胁机密性和完整性的独立现象，本文研究如何利用电磁注入放大原本不可行的侧信道泄漏。作者提出Injection-Induced EM Side Channels框架，通过理论建模和实验测量揭示放大器、ADC、电源转换器等非线性硬件可将秘密电信号调制到注入载波上，从而把低频秘密升频为可测电磁发射。基于此设计InjectEave攻击，可通过可获取的RF设备在30米外、穿墙场景下窃听有线/无线耳机音频，并分析智能家居功耗、模拟传感器等低频秘密泄漏。案例研究还展示对固定电话通话的闭环窃听与操控，并讨论缓解措施。
核心总结
RISC-V处理器广泛部署，其逻辑bug可能导致特权转换错误和架构状态破坏，但现有硬件模糊测试多为数据无关，难以触发依赖精确数据条件的微架构状态。本文提出数据敏感模糊测试框架DRVFuzz，引入敏感数据模型SDModel，按ISA语义分层生成边界值、异常触发值等定制操作数。它采用转换引导模糊测试，优先选择触发SDModel标记的新状态转换的测试用例，以探索数据依赖路径。在6款真实RISC-V CPU上评估，发现22个未知bug，其中19个获得CVE。
核心总结
气隙网络依赖物理隔离防止连接。现有的电磁隐蔽信道难以同时实现高吞吐、长距离和视觉不可见性。本文展示了通过不可察觉的像素调制可在数字视频线上确定性地诱导可控电磁辐射。基于此，提出了TrojPix隐蔽信道，在保持屏幕内容不可察觉的同时，实现了高速、长距离通信。该攻击在多种商用设备上实现了最高8.1 Mbps的峰值吞吐量和208米的最大距离。
核心总结
CHERI 指令集架构扩展提供强空间内存安全，但缺乏内置的时序安全，尤其对堆分配而言；此前增强 CHERI 时序安全的方案在可扩展性、内存开销和安全性上存在不足，需要周期性扫描内存并逐个撤销悬空能力。本文提出彩色能力，为 CHERI 能力模型增加受控间接层，通过硬件管理的来源有效性表跟踪能力到各自分配的对应关系，从而无需隔离已释放内存即可批量撤销悬空指针。作者在 CHERI-RISC-V 架构和 FPGA 乱序软核 CHERI-Toooba 上实现 PICASSO，并集成到 CheriBSD 和 CHERI 版 Clang/LLVM 工具链。评估表明，该方案能有效缓解 NIST Juliet 测试用例和真实 CVE 中所有基于堆的时序内存安全漏洞，SPEC CPU 基准性能开销仅约 5%，在 SQLite、PostgreSQL 和 gRPC 长时工作负载中延迟更低且性能更稳定。
核心总结
该报告由 Deep Science Ventures 的 Shannon Egan 主讲，介绍物理不可克隆函数 PUF 及其在硬件安全中的潜在需求。讲者是物理学家和多学科研究者，其同行评议工作涵盖神经科学、粒子物理、量子材料以及自旋电子器件在计算中的应用。她对新兴存储技术中熵生成的研究引导其关注支撑硬件安全原语和安全存储系统的物理性质。报告旨在解释 PUF 是什么以及为何可能需要 PUF，但摘要未提供具体技术方法或实验数据。
核心总结
基于深度学习的侧信道分析（DLSCA）是执行物理侧信道攻击的强大范式，在最先进设置下甚至可用单条攻击迹线攻破多个目标，且几乎不需要特征工程，因此成为工业界与学术界极为活跃的研究方向。然而领域的高度活跃使得把握当前趋势与挑战变得愈发困难。本文作为一篇系统化知识（SoK）工作，对过去数年 DLSCA 的发展进行了批判性回顾，据此给出具体建议与分类法。文章还从可复现性视角进行考察，指出在实践中完全实现可复现性十分困难，需要精心设计的实验设置。
核心总结
驱逐集是冲突型缓存侧信道攻击的基础原语，使非特权攻击者能够确定性地制造缓存竞争，但 Apple Silicon 的安全图景因驱逐集构造困难而长期缺乏探索。本文对 Apple M4 开展系统化逆向工程研究，揭示造成这些困难的根因性微架构障碍：SLC victim buffer 会掩盖基于延迟的验证、DRAM-to-Cache 预取器（DCP）违反严格 LRU 替换策略、以及由 L2 插入/提升向量（IPV）调节的不透明 SLC 分配策略。基于这些洞见，作者优化了构造策略：增强的 Prime-Prune-Probe（PPP）方法对 L2 驱逐集达到 88.2% 成功率；并采用分层过滤策略在 Apple Silicon 上构造出首个实用的细粒度 SLC 驱逐集，最优方法成功率达 90%，从而解锁了此前被认为不可行的细粒度跨簇攻击原语。
核心总结
现代GPU使用时间片调度进行资源共享，但其安全影响尚未被充分研究。本文分析了时间片调度机制下的时序变化，发现可以通过推断并发程序的时间片时长来了解其GPU利用模式。据此提出了TIMESLICE-SANDWICH攻击，利用时间片时长的变化来推断和区分受害者程序的执行模式。实验表明，该攻击在神经网络恢复和网站指纹识别任务上均达到高准确率。
核心总结
现代CPU中数据相关的开关活动会在微架构深处产生功耗侧信道泄漏，而现有检测工具多依赖耗时且覆盖有限的仿真测试。microSCALE是一个全自动框架，通过静态分析CPU的RTL来系统探索微架构功耗侧信道泄漏源，并能将泄漏精确定位到硬件来源并回溯到对应软件指令。作者在开源RISC-V Rocket Core上评估了GIFT、ASCON、PRESENT和AES等受保护密码实现，发现多个泄漏源，例如受保护GIFT实现中约80%的指令会泄漏。microSCALE还可指导加固，使该实现的侧信道泄漏降低约90.3%。
核心总结
已有推测执行攻击研究主要针对x86和ARM，而RISC-V方面多关注开源学术设计，商用RISC-V芯片常被认为过于简单而不易受攻击，因此尚无真实硬件端到端攻击且Linux内核等软件仍缺乏缓解。本文系统评估了所有商用乱序RISC-V处理器（SiFive P550与T-Head Xuantie C910/C920），发现它们易受多种Spectre攻击，并首次在真实RISC-V硬件上演示了可泄露任意内核内存的Spectre攻击。研究还发现编译器、操作系统和应用层缓解措施大范围缺失，且RISC-V指令集缺少专用推测屏障；作者经验性刻画了可停止推测的指令，审计Linux内核中的Spectre gadget并提交补丁，部分已被上游接受。最后，他们评估并基准测试了基于软件的Spectre缓解方案，为RISC-V生态安全部署提供建议。
核心总结
NVIDIA多实例GPU旨在提供硬件隔离，但其实现安全性需深入考察。本文实证研究发现，尽管设计了缓存分区，MIG实例间仍会发生L2缓存干扰，特别是由内存屏障引起的跨分区影响。基于此，论文开发了一种新的时序侧信道攻击，使一个MIG实例中的攻击者能够推断另一个实例中受害者的内核启动模式，从而威胁如大语言模型推理等应用的机密性。
核心总结
瞬态执行攻击已从以缓存为中心的通道持续演化，催生了只延迟发送指令的选择性推测防御，以在低开销下提供全面保护。本文揭示若干先进选择性推测防御存在共享假设盲点，会暴露秘密相关的保留站（RS）竞争：包括分发阶段的操作数相关μop展开、利用谓词指令进行秘密相关选择，以及旧μop优先分配策略下未延迟算术与缓存命中内存μop仍可造成RS压力。作者据此构造了可绕过x86与RISC-V gem5模型上STT/DOLMA的Spectre-v1风格gadget，并在真实CPU上验证了基于REP MOVSB和REP STOSB的概念验证及LLVM pass发现的真实竞争模式。最后提出增强型STT机制，以中等性能开销封堵已有和新暴露的缺口。
核心总结
该论文揭示了针对云FPGA的新颖特权提升路径。攻击者利用AMD FPGA的内部配置访问端口（ICAP）绕过云服务商的安全机制，逐步将能力提升至远程JTAG访问。通过ICAP，用户最终可获得对硬件底层JTAG接口的控制权，从而访问设备的eFuses。这使得攻击者能够不可逆地编程加密设置，锁定云服务商，为其设备勒索赎金。研究在亚马逊EC2 F1和F2实例上验证了该漏洞的可行性，揭示了云环境中未受保护的底层硬件组件带来的被忽视的威胁。
核心总结
AMD SEV-SNP在AMD平台提供机密计算能力，为保护机密虚拟机，AMD依赖名为平台安全处理器（PSP）的可信协处理器；该PSP运行在Arm核上，并通过专用硬件桥连接到x86互连。本文展示恶意hypervisor可配置其中一个桥，使PSP相对于x86缓存变为缓存不一致。作者提出新型攻击STALEUS，利用该漏洞破坏SEV-SNP，并在完全认证的CVM中实现任意读写原语。
核心总结
本文提出了StackWarp，一种利用AMD Zen CPU上栈引擎的软件架构攻击，可以在SEV-SNP机密虚拟机内修改栈指针，从而完全破坏其完整性。该攻击依赖于一个未记录的MSR位，该位在逻辑核心之间状态未正确同步，使攻击者能跨逻辑核心确定性地调整栈指针，在包括最新Zen 5在内的多代CPU上均有效。研究展示了四种端到端攻击，包括RSA私钥恢复、OpenSSH密码认证绕过和权限提升，结论指出启用SMT破坏了SEV-SNP的完整性保证。
核心总结
内存中处理设备通过将计算移入DRAM来减少数据移动，但其控制平面和共享模块内存可能暴露给不受信任的主机。本文提出Memclave，一个纯软件框架，为商用PIM设备带来代码完整性和数据机密性。它使用经TPM认证的虚拟机监控程序在启动时永久隔离PIM的控制平面，并在每个内存核心上建立受保护的数据路径。在UPMEM DIMM上的评估表明，其性能接近PIM基线。
核心总结
虚拟交换机Open vSwitch广泛用于云系统，其内部缓存系统可能成为攻击面。本文从安全角度刻画了OVS的缓存系统，并发现了三种攻击原语。基于这些原语，论文展示了三种通过OVS进行的远程攻击：隐蔽信道、泄露远程用户数据包头部的攻击，以及监控远程受害者数据包速率的攻击，从而破坏了虚拟化环境的隔离性。
核心总结
该报告关注Secure by Design实践中开发者安全行为差异的问题，主张仅靠合规要求不足以推动安全开发，需要理解开发者行为并建立行为化操作手册。讲者结合在金融科技公司设计大规模安全赋能项目的经验，提出将行为科学融入安全软件开发，帮助组织从合规驱动转向可持续的安全文化。报告还介绍OWASP安全文化项目，强调以人为中心的安全、开发者行为和安全文化转型，目标是让安全开发成为开发者自然且最容易的选择。
核心总结
该报告关注青少年网络安全与心理健康问题：每年约70%的青少年报告遭遇负面在线经历，但多数干预仍以限制为主，未能反映青少年真实的数字环境使用方式。讲者来自青年主导的非营利组织SafeTeens Online，介绍其面向青少年的网络安全教育、数字素养和在线韧性项目，并通过全球500万以上青少年社区及与政府、行业伙伴的合作来推广。报告主张以“网络准备度”建设心理韧性，将青年真实体验转化为可操作的学习内容，并扩展到非洲等欠服务社区。
核心总结
杀猪盘诈骗已成为全球主要的金融和情感伤害来源。本研究通过访谈、长期对话研究和安全过滤器评估，调查了大语言模型在其中扮演的角色。研究发现，LLM已广泛部署于诈骗组织中，能比人类操作员诱导更高的信任度和配合率，而流行的安全过滤器对此类对话的检测率为零。结果表明，此类诈骗可能易于实现大规模LLM自动化，而现有防御仍不充分。
核心总结
本文报告了一项针对具有网络安全领域知识用户的被试间研究（N=139），研究了在恶意域名拦截场景下，可解释AI（XAI）解释对信任、可用性、感知任务负载和协作任务性能的影响。结果令人惊讶：提供解释并未增强信任；事实上，具有领域知识的用户在与XAI交互后报告了更低的信任度。定性结果表明，他们应用自己的决策标准，而暴露AI决策边界可能引入模糊性并滋生不信任。虽然包含XAI没有增加感知任务负载，但也没有提高性能。这些发现引发了对当前XAI方法在知识中心决策环境中有效性的质疑，并强调了在网络安全中需要更符合情境、用户对齐的解释策略。
核心总结
随着AI厂商采用AI技术，漏洞披露政策对于鼓励和规范安全研究至关重要。本文分析了264家AI厂商的漏洞披露政策。研究发现，36%的厂商没有明确政策，仅18%提及AI特定风险。数据访问、授权和模型提取漏洞常被列为范围内，而越狱和幻觉常被列为范围外。研究识别出三种厂商类型，并指出厂商在解决AI漏洞披露问题上可能滞后于学术研究和现实事件。
核心总结
该论文研究生成式 AI 聊天机器人用于情感支持和陪伴时，安全与隐私控制如何影响用户对敏感披露的态度。作者对 354 名美国参与者开展混合方法 vignette 研究，考察控制措施对用户使用意愿、受保护感知和支持有效性感知的影响。结果显示，允许删除披露的控制正面影响最大，甚至优于本地处理、模型训练退出等技术性更强的控制，但参与者常难以理解这些机制并怀疑其承诺能否兑现。作者据此提出建议，以弥合用户理解差距、建立可信保证，并为处于困境中的用户合理校准使用障碍。
核心总结
技术促成的虐待是一种利用数字工具控制、监视或伤害幸存者的亲密伴侣暴力形式。随着大语言模型的普及，幸存者可能开始向LLM聊天机器人寻求帮助。本文首次由专家主导，手动评估了四个LLM在响应TFA相关问题时的有效性。研究使用来自文献和在线论坛的真实问题，评估了零样本单轮响应的质量，并通过用户研究评估了其可操作性。研究结果为未来模型在该领域的设计、开发和微调提供了见解和具体建议。
核心总结
在视频会议中，人脸不仅是视觉焦点，也可能成为泄露屏幕信息的侧信道。本文发现，人脸在环境光和屏幕光的照射下能反射屏幕内容的变化。基于此，提出了FaceTell攻击系统，通过窃取视频会议中微妙的面部反射来窃听细粒度的应用活动。在真实测试环境中，FaceTell对28种常用应用的窃听准确率超过99%，并具有较强的环境鲁棒性。
核心总结
移动货币服务在包括卢旺达在内的非洲国家广泛用于商业支付，用户可通过智能手机或基础手机向商户或企业付款。本文访谈了 30 名卢旺达商户主和员工，研究商户在实践中如何确认移动货币支付，发现虽然确认短信会发送给付款方和收款方，但商户常查看顾客手机上的确认消息，原因包括消息只发送给企业主而非员工、市场繁忙、手机物理上不可用以及短信延迟，信任也起到重要作用。由于顾客控制自己的手机，该做法可能被历史消息截图或伪造确认所利用，从而实施欺诈；确认消息还包含顾客账户余额，因此也引发隐私担忧。作者进一步探索替代工作流的设计空间，发现重新设计顾客确认屏幕以移除隐私信息并加入仅商户知道的秘密较有前景，并反思了在撒哈拉以南非洲独特约束下设计安全与隐私的问题。
核心总结
该论文关注微型企业（MBO）面临的网络安全风险，这些企业占所有企业的大多数，且许多处于风险中的人群依赖平台作为主要基础设施，并经常招募朋友、家人甚至伴侣来运营关键业务。先前研究多关注大型企业，忽略了社会关系和可见性变化带来的风险。作者通过分析38个受内部威胁影响的MBO案例记录，并对16个MBO进行半结构化访谈，发现财务资源受限和关系中断驱使他们招募和访问控制上冒更大风险，使其更容易受到恶意内部攻击。追求市场覆盖常导致不想要的过度可见性，无意中为亲密内部人员和其他对手提供了进一步伤害的杠杆或信息。论文最后提出了针对这些风险的电子商务治理途径，重点是在高度可见的环境中防止内部伤害。
核心总结
该论文关注美国K-12教育中安全和隐私教学标准的覆盖情况。随着学生在基础教育阶段开始学习安全和隐私，各州和一些国家组织发布了教学标准，但研究尚未检验这些标准涵盖的内容以及是否与更广泛的安全和隐私社区认为学生应知道的内容一致。作者手动检查了来自美国所有州和八个国家组织的12,201条标准，并将其中3,920条标记为与安全和隐私相关，进一步分类为109个主题，从加密到适当的在线行为。研究揭示了教学标准的覆盖范围和潜在差距。
核心总结
该报告标题强调安全工具本身不会检测攻击，最终是人在检测攻击，安全运营应重视人类分析员的核心判断作用。讲者 Krupa Brahmkstri 是 Visa 高级数据科学经理，领导开发 AI 驱动的网络安全解决方案，聚焦身份风险建模、内部威胁检测和安全运营自动化。其工作构建生产级机器学习系统，分析大量企业安全遥测以检测异常行为，并关注身份中心防御策略和可解释 AI 在安全运营中的应用。报告从工业实践角度说明如何用 AI 辅助人类分析员，而非替代人类，从而提升安全运营检测与响应效果。
核心总结
本文通过对16位不同地区的PoC漏洞开发者进行半结构化访谈，应用期望价值理论，揭示了PoC开发作为一个复杂动机生态系统，其中技术信心、价值评估和风险计算在双重用途张力中相互交织。研究发现，PoC开发从崩溃演示到武器化漏洞利用的连续体，由多方面计算而非二元伦理所塑造。作者提出了三个理论扩展：使责任外部化的双重用途道德推理、供应商行为重塑披露决策的动态价值评估、以及在伦理研究与技术精通之间的身份导航。研究强调，供应商响应性、社区动态和法律约束显著影响披露策略。
核心总结
Passkeys正被大量Web服务推广为无密码认证方案，但用户是否理解如何在账户被盗后管理passkey仍不清楚。本文通过基于实验室的定性研究，招募31名不同技术背景的参与者，在Google、PayPal和LinkedIn上调查涉及passkey的可疑账户访问并采取重新保护账户的措施。参与者即使有服务邮件通知、账户安全界面和精简向导，仍难以在账户设置和设备上管理passkey；通知与界面常令人困惑，向导不完整或误导，导致他们遗漏发现恶意passkey和完全保护账户的关键步骤。作者讨论了设计启示，以改进passkey管理工具并更好地支持遭遇账户入侵的用户。
核心总结
软件签名是确保软件供应链组件完整性和真实性的最稳健方法。新一代签名工具（如Sigstore）自动化了许多传统工具的密钥管理和签名者识别问题，但其可用性及其对实践采用和有效性的影响尚不清楚。本文通过对17位行业专家进行访谈，进行了首个关于Sigstore的可用性研究，考察了：(1) 从业者工具选择的优缺点；(2) 他们的签名工具使用方式和随时间变化的原因；(3) 引发可用性问题的场景。研究发现，新一代工具的不同组件成熟度和准备就绪程度不同，集成灵活性是常见痛点，但可能通过插件和API缓解。
核心总结
网络攻击是严重的患者安全问题，但现有安全控制往往未充分考虑临床环境的独特性。本文通过混合方法研究探讨了临床医生的安全视角。研究发现，临床医生感知到的威胁与已部署的控制之间存在显著错位。他们认为保密性失败最可能发生；将完整性失败视为灾难性但信任自身专业经验以忽略异常数据；并使用纸质记录等模拟变通方法管理可用性失败，这又引入了新风险。结果强调了将临床医生纳入安全设计的必要性。
核心总结
审批式钓鱼是Web3中利用代币授权机制诱骗用户授予攻击者消费权限的钓鱼形式；由于攻击者越来越多地劫持合法网站，仅靠URL检测不足，加密钱包成为最后防线。本文基于审批机制特征提出四种钱包干预：消费上限建议、主动消费方警告、被动消费方警告和延迟确认。作者通过受试者间实验（n=364）和半结构化访谈（n=23）评估发现，消费上限建议显著提高用户设置消费上限的可能性；主动消费方警告和延迟确认显著提高取消钓鱼任务的比例；被动警告也有提高但不显著。干预效果因用户而异，用户可能难以解读可疑线索并关注交易结果而忽略授权细节，因此需要增强用户对授权后后果的认识，并在授权时支持审批参数验证。
核心总结
本文对100项流行服务的账户安全界面进行了迄今最大规模的测量研究。研究揭示了一个不令人满意的现状：29项服务没有提供任何方式来区分账户访问。通过新的分类法，研究显示各服务部署的ASI类型不一致。即使是专家研究人员也发现ASI常常不完整且令人困惑。在61项提供设备或位置描述的ASI中，有41项（67.2%）容易受到欺骗攻击，成功混淆了访问来源。基于这些发现，论文提出了改进未来ASI部署的六项原则。
核心总结
随着美国及国际年龄验证法律增多，成年人在实践中如何响应这些系统仍缺乏实证证据。本文开展经IRB批准的欺骗性网络实验（n=1,635），让参与者评估R级电影片段，并随机分配到七种验证条件：复选框自证、政府身份证上传（不同隐私保证）、政府身份证加活体检测、AI面部年龄估计或电子邮件年龄估计。结果显示完成率差异显著：复选框自证99%，政府身份证方法18–27%，电子邮件86%，AI 51%；后续调查（n=881）发现即使完成验证者舒适度也低。参与者认为政府身份证和AI方法风险更高，认为没有方法能特别有效阻止未成年人访问，且政府身份证方法显著更不便；更高舒适度和更低感知风险与更高完成率相关。作者为政策制定者和平台提供建议，以平衡儿童保护与成年人访问权。
核心总结
边界网关协议（BGP）是互联网路由的骨干，用于在自治系统间交换可达性信息，但其最初设计基于信任框架、缺乏内建安全机制，因此易受各类攻击和网络故障影响。多年来学术界提出了 RPKI、Secure BGP、BGPsec 等多种增强 BGP 安全的方案，但这些学术方案未必能被网络运营者直接采用，理解从学术研究到广泛落地之间的障碍十分重要。本文通过在线焦点小组与 12 名网络运营者交流，了解他们部署各种 BGP 安全机制的实践经验。所有参与者都指出学术研究与产业需求之间存在差距、优先事项不一致，并建议通过加强两个领域之间的合作（尤其是让研究者更多参与运营者社区、理解实际挑战）来弥合差距。论文据此提出了促进此类合作的建议，并呼吁研究社区反思发表工作的目的。
核心总结
该论文研究在真实 CTF 竞赛中人类选手如何使用 AI 助手，以及这种人机协作与全自主 AI 智能体的效果对比。作者开展了首次现场 CTF 中 AI 辅助的实证研究，对 95 名参赛者中的 41 人进行定性分析，考察其使用 AI 前后在认知、信任和期望上的变化，以及如何与插桩 AI 助手协作；同时在相同新挑战上基准测试四个自主 CTF 智能体并分析其轨迹。研究发现，AI 素养与领域知识是互补且不可替代的能力，熟练使用 AI 能放大专业技能；尽管先进自主智能体表现突出，但人机回环才是获胜范式，即 AI 加速探索而人类提供针对性指导与验证。最后作者讨论了 CTF 竞赛设计和构建有效人机回环安全 AI 系统的启示。
核心总结
游戏平台（如Roblox）已成为创作者经济的重要组成部分，但游戏创作者面临着显著的安全、隐私和安全风险。先前工作研究了社交媒体平台内容创作者的风险，但对游戏创作者的风险格局知之甚少。本文通过对20位Roblox创作者进行访谈，了解他们如何感知、体验和应对数字风险。分析揭示了五类风险——平台、生产、组织、社区和技术风险，它们可能损害创作者的情感、身体、关系和财务安全。研究还识别了谈判更公平报酬和寻求社区支持等应对策略，并提出了加强游戏创作者保护的建议。
核心总结
该论文评估“应征式”漏洞通知项目的修复效果：与未经请求的通知相比，企业自愿注册资产和联系方式可能克服资产归属、信任、可达性和激励不足等问题。作者与某政府 CSIRT 合作，对近半数参与企业（n=21）进行访谈以了解注册动机和处理方式，并用生存分析定量研究修复有效性。结果显示，27% 的安全问题在通知后一天内解决，40% 在一周内，49% 在一个月内；三年项目期内总修复率为 75%，高于以往未经请求的实验。这表明应征式通知项目能改善可达性、信任和动机，作者也讨论了局限性和未来启示。
核心总结
网络安全从业人员普遍面临职业倦怠和心理健康问题，但心理伤害的来源与表现形式尚缺乏系统理解，且可能影响事件响应中的判断力并导致严重后果。本文采用范围综述方法，跨五个数据库回顾101篇论文，并综合57篇关于网络安全从业者及四种结构相似职业的研究。研究发现，攻击性岗位的心理伤害多由运营条件驱动，但工作本身常被体验为有意义；防御性岗位则面临持续警觉、暴露于人为恶意、成功指标不可见等内在压力。相邻职业普遍报告超出倦怠的心理伤害，而网络安全领域尚无研究评估这些额外伤害是否存在。本文还识别了保密约束、机构支持不足、求助文化缺失和时间动态等特有障碍，为后续干预研究提供了结构化基础。
核心总结
Pickle反序列化漏洞是Python中长期存在的威胁。尽管许多AI/ML框架因Pickle能透明保存和恢复复杂对象而继续采用它作为模型序列化协议。本文首次系统揭示了基于Pickle的模型中毒攻击面，涵盖模型加载和风险函数两个视角。在模型加载面，识别出五大框架中的22条不同加载路径，其中19条完全未被现有扫描器发现。研究开发了名为异常导向编程（EDP）的绕过技术，并发现了大量可利用的风险函数小工具（gadgets）。这些方法能有效绕过现实世界的扫描器。研究负责任地向供应商披露了发现，并获得了1.2万美元的漏洞赏金。
核心总结
联邦图学习因其分布式特性易受后门攻击，现有防御方法依赖可信服务器或对图数据效果有限。本文提出GBHINDER，一个无需可信服务器的防御框架，其核心是让每个良性参与者利用自身可信的历史知识作为“良性锚点”来净化下载的全局模型，并动态选择性吸收全局良性知识以进化该锚点。实验表明，该框架能将后门攻击成功率降至10%以下，同时保持主任务的高准确率。
核心总结
大语言模型容易受到后门攻击。现有的后门防御方法要么缺乏全面性（仅关注有限触发器设置、仅检测机制、应用领域有限），要么无法抵御先进场景（如基于模型编辑、多触发器、无触发器攻击）。本文提出了LETHE，一种通过知识稀释（使用内部和外部机制）来消除LLM后门行为的新方法。内部地，利用轻量级数据集训练一个干净模型，然后与后门模型合并以中和恶意行为；外部地，在提示中引入良性且语义相关的证据，分散LLM对后门特征的注意力。在五个广泛使用的LLM上的实验表明，LETHE在分类和生成领域中，针对八种后门攻击，性能优于八种先进的防御基线，将高级后门攻击的成功率降低高达98%，同时保持模型效用。
核心总结
大语言模型仍易受越狱后门攻击，攻击者通过污染安全对齐数据嵌入隐藏触发器以绕过安全机制；现有防御通常需要完整攻击信息或多个触发样本，难以应对只有单个失败案例且不知其是否为后门的场景。本文提出 Patcher，一种仅使用单个报告失败案例和模型参数即可修复后门模型的后验防御框架。它分为两阶段：先通过响应条件梯度显著性分数和自适应聚类定位后门触发器，再通过带 KL 散度约束的受限微调打破触发器—响应关联，同时保持良性任务效用和对非触发越狱攻击的鲁棒性。在多种后门攻击策略上的实验表明，Patcher 能成功定位触发器并消除后门，保持模型效用，且能抵御自适应规避攻击。
核心总结
基于大语言模型的问答系统越来越多用于医疗、心理咨询和法律等敏感领域，联邦学习可避免共享原始客户端数据，但恶意聚合者可能与第三方供应商勾结。本文研究一种实际威胁：恶意聚合者无需访问客户端数据，即可向联邦问答模型隐蔽植入广告型后门，同时保持干净问答保真度，并在触发时生成自然且上下文相关的广告回复。作者利用训练中客户端上传的梯度，先恢复代表性训练样本，再结合触发短语构造投毒数据集，形成两阶段无数据隐蔽投毒框架。在多个问答数据集和 LLM 系列上的全量微调与 LoRA 设置中，该方法达到接近 100% 的攻击成功率，对干净任务性能影响可忽略，且仅重建 5%–20% 的梯度就足以发动可靠攻击。
核心总结
后门攻击威胁深度学习模型，近期无数据检测方法声称无需干净样本或攻击假设即可识别后门，但很少在预训练模型上评估。本文首次对预训练模型上的无数据后门检测进行大规模研究，构建了包含 3 万多个模型并覆盖常见后门攻击的基准。研究发现现有无数据方法在大多数预训练模型上失败，造成虚假安全感；即使进行有效改进，仍存在严重脆弱性。为此，作者提出将收敛速度作为新的侧信道信号用于后门检测，揭示剩余脆弱性的原因并构建新的无数据检测器，取得优于现有方法的最新性能，同时分析攻击如何规避检测并指出未解决问题。
核心总结
语义水印被视为潜扩散模型生成图像的重要保护手段，但其检测流程依赖神经网络，引入了尚未充分研究后门攻击面。本文提出 GhostVAE，在变分自编码器（VAE）编码器中植入隐蔽后门，从而可靠逃避水印检测。GhostVAE 分两阶段：先通过功率谱正则化构造通用触发器以提升鲁棒性，再以参数对齐目标训练后门 VAE 编码器。在三种先进语义水印方案和三种主流潜扩散模型上的评估表明，它在良性图像上保持平均 94.4% 的真阳性率，同时在触发器激活时达到平均 94.6% 的攻击成功率；对 17 种代表性防御的分析显示，其在输入空间、参数空间和潜空间中仍保持隐蔽。
核心总结
检索增强生成（RAG）日益部署于真实应用，其基于参考的设计使输出看似可信，也推动了投毒攻击研究；但现有攻击在实际 RAG 系统中效果严重下降，因为内容常被预处理导致毒化片段被拆分，且用户查询往往与攻击预设不一致。本文提出 Confundo，一个学习式投毒框架，通过微调大语言模型作为毒化生成器，实现高有效性、鲁棒性和隐蔽性。该统一框架支持多种攻击目标，包括操纵事实正确性、诱导偏见观点和触发幻觉。实验表明，Confundo 在多个数据集和 RAG 配置上大幅优于多种专用攻击，即使在防御存在时仍然有效；作者还给出防御用例，保护网页内容不被 RAG 系统未经授权抓取，且不影响用户体验。
核心总结
本文针对通过语音接口访问的大语言模型，提出首个基于声学隐蔽信道的实际越狱攻击框架Sirens’ Whisper。该框架将恶意基带音频编码为近超声波，通过建模信道非线性特性并进行预补偿，实现了在商品设备上鲁棒、不可听的任意目标提示注入。实验在商用和开源语音LLM上展示了强大的黑盒攻击效果，且人类听众难以区分注入的音频与背景音。
核心总结
论文关注嵌入式IoT开发中基于仓库的检索增强代码生成（RACG）的安全风险：即使没有检索投毒，生成的应用也可能调用看似正常的公共API，而这些API会间接到达固定RTOS/SDK快照中的脆弱内部例程，从而继承已知CVE。现有安全RACG流程多关注任务级意图和通用漏洞模式，难以处理仓库与版本特定的暴露；传统CVE扫描器也无法判断漏洞是否可通过生成器所选公共API可达。作者提出IoTRAGuarder，一种上下文知识注入框架：通过静态分析与证据门控LLM恢复从CVE定位内部点到暴露公共API的可审计反向调用链，构建版本感知安全知识库，将受影响版本区间与公共API及提示约束、安全替代或升级建议绑定，并进行API对齐的双层在线检索以注入版本匹配约束。在44个真实Zephyr任务、四种LLM上评估，相比先前最优安全RACG基线，整体安全成功率从5.11%提升到78.41%。
核心总结
论文关注检索增强生成 (RAG) 中的成员推断攻击 (MIA) 隐私风险，现有方法依赖易检测模板查询或需要大量重复查询，实用性受限。作者提出 MEntA，一种查询高效、无需代理模型、可规避防御的 MIA，利用自然语言蕴含关系最大化每次查询获得的信息。通过低成本的宽泛信息检索式问题，并度量模型响应与候选文档间的蕴含关系，无需影子 LLM 和大查询预算。在 NFCorpus、SCIDOCS 和 TREC-COVID 上仅用 5 次查询即达到最高 0.991 AUC，同等条件下比先前方法高 0.42 AUC，攻击总成本降低最高 65 倍，且在 SOTA RAG 防御下仍有效。
核心总结
现有成员推理攻击依赖于训练数百个与目标模型独立的影子模型，计算开销巨大。本文提出模仿成员推理攻击，采用新颖的模仿训练技术，构建少量目标信息模仿模型，这些模型在推理时能紧密复制目标模型的行为。广泛实验表明，IMIA在各种攻击设置下性能显著优于现有MIA，同时所需计算成本不到现有方法的5%。
核心总结
大多数针对大语言模型（LLM）的成员推理攻击（MIA）依赖于全局信号（如平均损失），这会稀释局部记忆化的细微信号。本文挑战了这种全局平均范式，主张成员信号在局部上下文中更为显著。提出了WBC，通过滑动窗口方法和基于符号的聚合来利用这一洞见。该方法在不同大小的窗口上滑动，每个窗口基于目标模型和参考模型之间的损失比较对成员资格进行二元投票。通过跨几何间隔窗口大小的投票集成，从词元级伪影到短语级结构捕获记忆化模式。在十一个数据集上的广泛实验表明，WBC显著优于现有基线，在低假阳性阈值下实现了更高的AUC分数和2-3倍的检测率提升。
核心总结
将成员推理攻击应用于预训练大语言模型时面临标签错误、分布偏移等挑战。本文引入分词器作为新的攻击向量。分词器可从零高效训练，避免了上述挑战，且其训练数据通常具有代表性。本研究首次探讨了通过分词器泄露成员信息的可能性，并探索了五种攻击方法。对数百万互联网样本的广泛实验揭示了最先进LLM分词器的漏洞。研究提出了自适应防御方法，强调了为分词器设计隐私保护机制的紧迫性。
核心总结
强大的文本到视频（T2V）模型引发了版权和隐私担忧。成员推理攻击（MIA）是审计此类风险的工具，但现有技术无法捕捉视频生成的时空复杂性。本文首次系统研究了针对T2V模型的MIA，并引入了新框架VidLeaks，通过两种互补信号探测稀疏时序记忆化：1) 空间重建保真度（SRF），使用Top-K相似度放大稀疏记忆关键帧的空间记忆信号；2) 时序生成稳定性（TGS），通过多次查询测量语义一致性以捕捉时序泄露。在三种渐进限制的黑盒设置下评估了三个代表性T2V模型，VidLeaks即使在严格的仅查询设置下，也能实现高AUC（如AnimateDiff上82.92%，InstructVideo上97.01%），揭示了T2V模型通过稀疏和时序记忆化泄露大量成员信息的严重漏洞。
核心总结
本文研究了图生成扩散模型中的隐私风险，提出了三种黑盒推断攻击：图重建攻击、属性推断攻击和成员推断攻击。实验在多种图生成扩散模型和真实图数据上验证了这些攻击的有效性，显著优于基线方法。最后，本文提出了两种防御机制，在防御强度和模型效用之间实现了更好的平衡。
核心总结
该报告聚焦 AI 从“回答”转向“行动”的 agentic 时代所带来的新型安全风险，并分享对前沿模型和智能体进行红队的现场经验。作者所在 AIM Intelligence 同时开展自动化红队与生产环境实时护栏，以发现和控制 AI 系统漏洞。团队与 OpenAI 合作护栏，并联合运行韩国国家级 AI 红队项目，覆盖金融、制造、电信和公共部门等 15+ 企业与 7+ 政府机构。内容属于实践经验总结，强调对行动式 AI 进行持续攻击面评估和防御的必要性。
核心总结
该论文首次系统测量真实世界中基于 LLM 的简历筛选应用里的提示注入攻击。作者基于 AnonyCom 多年收集的约 20 万份真实简历，设计针对简历场景的提示注入检测方法，人工验证显示其精度高且优于通用最先进检测器。在全量数据上的测量发现，约 1% 的简历包含隐藏提示注入，此类简历在过去一至两年明显增加，且超过 90% 的注入提示不使用显式指令。该工作为真实 LLM 应用中的大规模提示注入提供了首个证据，并为后续理解与缓解此类攻击奠定基础。
核心总结
该论文研究 LLM 微调数据投毒，并提出一种新的隐蔽控制攻击：通过共享知识（事实或概念）与攻击者选定短语之间的语义关联，让模型学会一套信息隐藏方案。该方案能够编码和解码任意恶意指令，从而在少量投毒数据下实现对 LLM 的隐蔽控制。作者跨 5 个 LLM、3 种后门防御和 4 种提示注入防御进行评估，发现相比干净微调模型，其平均攻击成功率比基于启发式的提示注入攻击高约 40%。该方法还能绕过基于检测和微调的防御，在后门防御后仍保持最高 93% 攻击成功率，在提示注入防御后最高达 98%。
核心总结
该论文质疑当前 LLM 越狱和提示注入防御的评测方式，认为多数防御只对静态有害字符串或未针对防御设计的弱优化攻击进行评估。作者主张应采用自适应攻击者，并系统调优和扩展梯度下降、强化学习、随机搜索和人工引导探索等通用优化技术。针对 12 种近期防御，这些自适应攻击在大多数防御上取得超过 90% 的攻击成功率，而原论文多数报告接近零的攻击成功率。作者因此强调，未来防御工作必须考虑更强的自适应攻击，才能做出可靠且有说服力的鲁棒性声明。
核心总结
该论文针对黑盒 LLM API 中迫使模型输出攻击者指定载荷（如恶意 URL、系统命令或特定错误信息）的序列强制定向攻击，提出轻量检测框架 DualSentinel。作者发现被成功劫持的 LLM 会出现称为“熵停滞”（Entropy Lull）的特征：token 概率熵异常低且稳定，表明模型在沿固定路径生成。DualSentinel 先通过幅度和趋势感知的运行时监控标记该模式，再触发基于任务翻转的二次验证；只有原始任务和翻转任务都持续出现熵停滞时才确认攻击。大量评估表明该方法检测准确率高、误报最低，且额外开销可忽略，适合实际部署。
核心总结
该论文揭示安全运营中心使用 LLM 分析网络日志时存在被动提示注入漏洞：攻击者可将载荷嵌入日志字段，载荷持久化存储并在分析师查询 LLM 时执行。作者提出 LogInject 框架和 LogInject-1.0 基准，包含 12,847 条日志和 2,569 条对抗样本，并在三种生产 LLM 上评估活动隐藏、误报生成、信息外泄和输出劫持四类攻击目标。基线条件下平均攻击成功率达 83.4%，最高 88.2%；新提出的 Context Stitching 将载荷拆分为多条日志，成功率达 76.4%。分层防御结合输入过滤、提示加固和输出验证可降低 90.4% 攻击，但仍残留 8.4% 脆弱性，说明需纵深防御和人工监督。
核心总结
该论文针对 LLM Web agent 面临的间接提示注入攻击，指出现有评估依赖固定攻击模板、手工注入面或狭窄场景，难以反映真实自适应攻击。作者提出 MUZZLE 自动化 agentic 红队框架，利用 agent 轨迹自动识别高显著注入面，并自适应生成针对机密性、完整性和可用性违规的上下文恶意指令，还能根据失败执行反馈迭代优化。作者在多种 Web 应用、用户任务和 agent 配置上评估，发现 44 个新攻击，覆盖 4 个 Web 应用、10 个对抗目标，包括 3 个跨应用提示注入和针对 agent 定制的网络钓鱼场景。结果表明 MUZZLE 可在极少人工干预下自动、自适应地评估 Web agent 安全性。
核心总结
该论文针对 LLM agent 的间接提示注入（IPI），指出现有防御多将问题视为输入级语义判别，难以泛化到未见载荷。作者提出动作级因果归因新范式，通过追问某个工具调用为何产生，区分由用户意图支持的工具调用与由不可信观察因果驱动的调用。其运行时防御 AttriGuard 基于并行反事实测试，结合 teacher-forced shadow replay 防止归因混淆、分层控制衰减抑制多种控制通道，以及鲁棒于 LLM 随机性的模糊生存准则。在四个 LLM 和两个 agent 基准上，AttriGuard 在静态攻击下达到 0% 攻击成功率且效用损失可忽略、开销适中，并在自适应优化攻击下仍优于领先防御。
核心总结
大型语言模型依赖从外部语料库检索信息，引入了间接提示注入攻击的新攻击面。以往研究常因难以确保恶意内容被检索到而低估了其现实威胁。本文通过分解恶意内容为可保证检索的触发片段和编码攻击目标的攻击片段，设计了一种高效黑盒攻击算法。该攻击在11个基准和8个嵌入模型上实现了近100%的检索率，并展示了首个端到端的现实攻击实例，证明了间接提示注入的实际危害。
核心总结
大语言模型生成流畅文本的能力也使其易于被用于恶意目的。本研究在7700名参与者的实验中评估了基于LLM的鱼叉式网络钓鱼的有效性。利用目标邮箱作为查询，通过网络搜索收集个人信息并自动生成定制邮件。研究发现，基于LLM的鱼叉式网络钓鱼的点击率比通用网络策略几乎提高了两倍，且个性化成本极低（每封邮件约0.03美元）。鉴于网络钓鱼仍是主要攻击向量，研究结论强调需要加强现有防御。
核心总结
LLM编码智能体日益依赖第三方“技能”扩展，这些技能包含自然语言指令和以完整用户权限执行的辅助脚本，社区注册中心已开始分发此类技能，但其安全影响因缺乏标注威胁数据而未被研究。本文对从两大注册中心收集的98380个技能进行系统性安全分析，结合静态模式匹配与动态行为验证，确认157个技能具有恶意行为，涵盖13种攻击技术下的632个不同漏洞。分析表明这些威胁是蓄意的而非偶然：每个恶意技能平均含4.03个漏洞，跨越多个攻击阶段；两种主导攻击策略（通过远程代码执行窃取凭证、通过文档中嵌入的对抗性指令操纵智能体）呈统计显著负相关。超过半数的确认案例来自单一威胁行为者，其采用模板化品牌冒充进行规模化攻击；攻击复杂度与隐蔽投入相关，高级技能普遍使用未公开能力并滥用平台原生信任机制。经负责任披露后，注册中心维护者已下架全部157个（100%）被报告技能，作者公开了数据集与检测流水线。
核心总结
该论文（原发表于USENIX Security 2016，本次为回顾讨论）研究了通过预测API窃取机器学习模型的问题：当机器学习模型以在线预测服务形式对外提供时，攻击者仅通过查询接口即可提取模型参数或复现其行为。作者提出了针对不同模型类型的模型窃取攻击，包括针对二分类器的方程求解攻击和针对更复杂模型的决策树近似攻击，并结合主动学习与查询策略降低查询成本。实验表明，对手可以在远低于从零训练成本的查询预算下，高保真地复制目标模型的功能，从而绕过模型保密性、侵犯模型所有者的知识产权并可能规避对抗性检测。该工作揭示了模型即服务（MLaaS）场景下的重要安全与隐私威胁，并推动了后续模型提取与防御研究。
核心总结
大语言模型（LLM）水印方案被提出用于识别生成文本的来源，但当前方案难以解决信任问题：水印检测依赖密钥因而对公众不透明，而一旦公开密钥，任何对手都可发起去除攻击。为化解这一两难，作者提出PVMark——一个基于零知识证明（ZKP）的插件，使第三方能够公开验证水印检测过程而无需披露任何密钥。PVMark创新性地围绕水印检测的“正确执行”构建证明约束，并依据检测过程的结构特性进行优化。作者针对三种代表性水印方案，用Python、Rust和Circom实现了多组变体，覆盖三种哈希函数与四种ZKP协议的组合。实验表明PVMark能在多种场景下高效实现公开可验证性，且不损害水印性能，具备实际部署前景。
核心总结
Ball等人此前证明，在标准密码学假设下，运行速度显著快于被保护模型的提示过滤器无法通用地区分对抗性与良性提示，本文考察该不可能性结果是否会转化为已部署LLM系统中的真实漏洞。作者提出“受控释放提示”（controlled-release prompting），这是该理论框架的实用化实现，利用轻量输入过滤器与主模型之间的资源不对称性发起攻击；与理论构造不同，该攻击无需修改模型，可生成任何有界过滤器都无法解析、而目标LLM仍可处理的恶意提示。实验表明该攻击在Google Gemini、DeepSeek Chat、xAI Grok和Mistral Le Chat四个主流聊天平台上均成功，而基线方法均失败；作者还利用该攻击从Gemini中提取受版权保护的数据。最后，对14个开源提示护栏模型进行系统评估，发现即便是具备推理能力的过滤器也无法可靠检测该攻击，除非付出过高的资源开销。
核心总结
基于大语言模型的内容审核系统是抵御有害在线内容的重要防线，但它们主要处理分词文本，常忽略人类理解内容时使用的视觉线索。论文提出人类可感知对抗攻击HPAA，在黑盒且查询预算有限条件下，利用空格、强调和空间排布等排版操作，将有害表达嵌入看似良性的文本，使人类仍能识别而机器难以检测。作者在多个数据集和13个广泛部署的审核系统上评估，包括商业API和开源护栏；仅用三次检测器查询，攻击即可达到超过86%的人类识别率，同时将检测率压到1%以下。论文还分析了导致规避的排版因素、现有审核架构失败原因，并讨论了实际防御方向。
核心总结
尽管越狱攻击普遍存在，但其底层机制仍未被充分理解。本文提出JailbreakScope，一个从表示和电路两个角度分析越狱机制的解释框架，追踪其在整个生成过程中的演变。在5个主流LLM和7种越狱策略下的评估揭示了一个普遍模式：越狱通过放大强化肯定响应的组件并抑制产生拒绝的组件，使表示向安全区域偏移，导致LLM提供回应而非拒绝。研究还发现表示欺骗与电路激活偏移之间存在强且一致的相关性。
核心总结
大语言模型中的glitch token会触发不可预测且错误的行为，带来可靠性安全问题，但已有工作对安全评估、检测覆盖和修复策略仍存在不足。论文首先证明glitch token可绕过安全机制并诱导多个LLM产生不安全输出，还发现其具有跨模型、跨分词器、跨商业与审核系统的可迁移性。为检测该问题，作者提出受人类语言习得启发的红队框架GlitchQuiz；为修复该问题，又提出免训练的嵌入层编辑方法GlitchEdit。评估显示，修复后受测LLM平均不安全率从96.36%降至2.87%，同时保持整体性能，并已向包括OpenAI、Anthropic在内的九家LLM提供商负责任披露。
核心总结
越狱提示可以绕过LLM对齐护栏并产生不安全输出，因此部署时检测十分关键；现有静态内部状态检测难以捕捉风险在模型处理过程中的动态演化，在伪恶意提示和自适应攻击下易失效。论文提出Manifold Trajectory Kinetics（MTK），把LLM视为动力学系统，跟踪提示在模型各层中邻域结构的演化轨迹来检测越狱。良性提示通常在推理过程中始终靠近良性邻域，而越狱提示则从恶意种子附近出发，随后转向良性邻域以逃避拒绝。作者在四个LLM和十种越狱攻击上评估，MTK在伪恶意提示上取得95%真阳性率和5%良性/2%伪恶意误报率，在自适应攻击下平均真阳性率85%，并在视觉语言模型中同样表现优越。
核心总结
混合专家LLM的模块化、稀疏激活设计可能使其安全机制与密集模型不同。本文提出GateBreaker，首个无需训练、轻量且与架构无关的攻击框架，在推理时破坏现代MoE LLM的安全对齐。该框架通过门级分析、专家级定位和选择性安全移除三个阶段，仅禁用目标专家层中最多2.9%的神经元，即可显著提高攻击成功率。该方法在多个对齐的MoE LLM和视觉语言模型上均有效。
核心总结
本文针对利用记忆机制的多轮对话文本到图像生成系统，揭示了其记忆机制可能加剧越狱攻击风险。作者提出了首个明确利用记忆机制的多轮越狱攻击框架Inception，其包含分割和递归两个核心模块，旨在将恶意意图嵌入会话初始的记忆中以规避安全过滤。通过构建仿真系统VisionFlow及在真实商业平台上的实验，证明Inception相比现有最优方法攻击成功率提升了20%。
核心总结
深度强化学习在序列决策任务中表现突出，因此被越来越多用于网络安全，但从实验室模拟迁移到定制网络环境会引入许多问题，且安全任务常具有对抗、非平稳和部分可观察特性。论文系统化梳理了DRL4Sec文献中在环境建模、智能体训练、性能评估和系统部署四个阶段常见的11类方法学陷阱。作者分析2018至2025年间66篇重要DRL4Sec论文，发现平均每篇存在超过五个陷阱，并通过自主网络防御、对抗恶意软件生成和Web安全测试环境的控制实验展示这些陷阱的实际影响。最后，论文为每类陷阱提供可操作建议，以支持更严谨、更可部署的DRL安全系统研发。
核心总结
网络威胁报告与检测规则之间存在语义鸿沟和领域约束，阻碍了准确检测规则的生成。本文提出了端到端框架SIGMERGE，通过构建语义中间层作为桥梁，将CTR文本转换为Sigma检测规则。该框架包含信息提取、攻击描述生成和Sigma规则生成三个模块。实验表明，SIGMERGE能高效生成规则，并已贡献4条新规则至官方仓库。
核心总结
该条目是IBM Research的Nathalie Baracaldo的主题演讲或邀请报告，不是传统完整研究论文。主题是从对齐到访问控制，统一视角看待生成式AI策略执行，涉及通过遗忘、对齐等技术保护生成式AI模型。讲者背景包括对抗鲁棒性工具箱、联邦学习、数据隐私与对抗攻击防御。报告旨在综述生成式AI安全与策略执行的研究方向和实践挑战。
核心总结
DARPA AIxCC（2023-2025）是迄今最大规模的自主网络推理系统竞赛，旨在利用LLM等AI进展自动发现并修复真实开源软件漏洞。本文首次系统分析该竞赛，基于设计文档、源代码、执行轨迹以及与组织者和参赛队伍讨论，考察竞赛结构、关键设计决策和决赛CRS架构。分析揭示真正驱动CRS性能的因素、团队取得的技术进展，以及仍待解决的局限。最后总结未来竞赛组织经验和自主CRS实际部署启示。
核心总结
动态测试通常只能通过触发故障来发现软件问题。本文探索了通过检查良性行为来推断潜在缺陷的可能性。原型系统OS-Sanitizer利用eBPF作为系统内省工具，实现了启发式程序来报告整个系统中所有应用程序的疑似缺陷。该方法将静态测试中的“代码异味”概念引入动态测试。在广泛使用的应用程序中，该系统发现了超过40个问题，包括严重漏洞。
核心总结
二进制安全检测与分析广泛依赖深度学习，但威胁演进和代码表示变化会导致模型性能退化，而现有持续学习方法多依赖数据回放或无约束更新，难以适用于数据敏感场景。本文提出RETROFIT，在不依赖历史数据的情况下，通过受控遗忘在每次更新中调节知识保持与适应。其核心是将旧模型和新微调模型作为“教师”，通过无回放的参数合并整合历史与新知识，并用低秩稀疏子空间约束参数变化以近似正交，同时以置信度引导的仲裁机制动态聚合知识。在时序漂移恶意软件检测中，RETROFIT将保留分数从20.2%提升至38.6%，超过基线并在新数据上超过oracle上界；在跨反编译级别的二进制摘要中，其BLEU分数达到先前迁移学习的两倍以上，并在跨表示泛化上优于所有基线。
核心总结
该工作讨论大语言模型（LLM）评估在真实安全与决策支持场景中失效的问题，其核心动机是许多应用缺乏明确、可形式化的“真值”，传统基准评估难以反映部署效果。作者结合在微软大规模 AI 安全系统、威胁检测和告警关联中的经验，强调人类在环评估、纵向质量测量以及真实操作环境下的模型行为分析。主要贡献是指出静态评估与生产运行需求之间的鸿沟，并倡导采用更贴近实际安全运营的评估框架。由于提供材料未给出具体实验数据，本文以经验性观察与评估方法论讨论为主。
核心总结
该工作面向自主代理（agentic computing）的安全风险，特别是同时具备敏感数据访问、不可信内容处理和外部通信能力时形成的“致命三重奏”。提出通过因果隔离架构（Causal Isolation Architecture）打破这一组合，将代理的因果影响路径进行隔离和约束，避免不可信输入触发数据外泄或危险外部动作。作者来自 Notion 安全团队，强调在企业级代理部署中结合平台安全、风险治理与最小权限设计。由于提供材料主要为作者简介，未包含具体实验或量化结果。
核心总结
该论文针对协调性外国影响操作对在线平台的威胁，提出了一种可解释的机器学习框架，用于检测和纵向分析韩国在线新闻评论中的疑似水军活动。该分层模型从三个维度对评论进行分类：外国来源、道德情绪框架和目标国家，并提取简短的文本证据以提供人类可解释的理由。通过对20年间112M条韩国新闻评论（由4M用户撰写）的应用，识别出23,998个表现出协调操纵行为的账户。分析发现这些账户主要依赖道德谴责修辞，而非直接推广外国叙事，且这种修辞获得显著更高的用户参与度；在参与度最高的评论中，道德谴责最常针对国内政治人物，可能放大极化。该框架支持透明平台治理，并有助于平台在有害叙事组合达到广泛传播前优先防御和干预。
核心总结
LLM代理因缺乏全面的资源治理而可能遭受资源滥用导致的拒绝服务攻击。本文首次系统研究了LLM代理中的资源管理安全问题，识别出三种资源生命周期管理模式及相应的DoS攻击途径。作者提出了一个导向型灰盒模糊测试框架AgentDoS，用于检测此类漏洞。在对20个广泛使用的开源LLM代理的评估中，发现了影响16个代理的36个零日漏洞。
核心总结
歌声音色转换（SVC）的进步使歌手声音可被逼真克隆，引发未授权滥用担忧；现有主动防御主要针对纯人声信号，而真实攻击者通常先对混合音乐做源分离，再对人声进行转换，导致扰动被分离模型当作背景滤除。本文提出 ORPHEUS，首个针对涉及源分离的 SVC 的主动防御框架，联合采用三项策略：通过掩码误导和跨轨损失干扰分离模型，使用异构说话人编码器集成破坏身份信息以增强迁移性，并通过调性和谐约束与心理声学掩蔽优化感知质量。作者在两个数据集、三种源分离模型和四种 SVC 系统上评估。与最佳基线相比，ORPHEUS 在两个说话人验证模型上分别进一步降低身份相似度 8.02% 和 5.61%，展示出持续更强的防御效果和跨模型迁移性。
核心总结
生成式 AI 的快速发展引发内容真实性担忧；近期研究致力于提升深度伪造检测器对未见生成模型的泛化能力，但其对抗攻击鲁棒性仍有限，作者测试七个最新 SOTA 检测器也发现性能显著下降。本文提出一个统一框架，不依赖对抗训练数据，整合三项互补设计原则：基于 DCT 的矩池化（最高四阶）进行频率域高阶统计建模，从噪声残差导出内容无关特征表示，以及通过块级语义破坏强制跨场景泛化。其关键洞察是：对抗攻击主要作用于低阶统计和视觉语义，而高阶残差频率特征尤其是峰度基本不受约束。大量实验表明，该方法在六个架构多样的检测器上持续提升鲁棒性，在当前对抗基准上召回率下降最多减少 88.9%，并将近期最佳检测器（Yang 等，CVPR 2025）在攻击下的准确率从 81.9% 提升到 97.15%，提供了架构无关的原则性改进途径。
核心总结
推理模型因强 Chain-of-Thought 能力而日益重要，近期研究探索“安全思考”以评估输入提示安全性并阻止有害内容生成；但一个普遍却未经检验的信念是：分配更多安全推理预算、即更长的安全思考轨迹，必然带来更安全行为。本文通过严格安全评估考察安全推理预算与生成安全性的关系，尤其在对抗条件下，发现安全并不随思考轨迹变长而单调提升：对简单攻击过度思考、对困难攻击思考不足都会引入额外安全风险，导致固定预算安全策略系统性失败。受此启发，作者提出 SafeAdapt，一种自适应思考分配的安全对齐方法，学习根据提示难度动态调整推理模型的安全思考预算，从而自适应分配计算资源，而非遵循“越长越安全”的固定模式。多个对抗基准实验表明，SafeAdapt 在多样且具有挑战性的攻击设置下显著提升安全性能，并实现更理想的思考预算。
核心总结
图对抗攻击通常从拓扑和节点特征两个角度发起，但现有防御未能充分揭示这两个方面如何融合以共学图表示。本文提出了一种通过定位图对抗韧性关键状态来进行防御的方法，借鉴了复杂动态系统中的平衡点理论。该方法将图建模为动态系统，设计了二维拓扑-特征纠缠扰动函数，并利用平衡点理论定位关键状态。在多个真实数据集上的实验验证了其有效性。
核心总结
大型语言模型越来越多用于快速、非正式的“vibe coding”代码生成，其中速度与便利优先、安全需求很少被明确表达，模型常生成功能正确但不安全的代码，形成日益增长的安全风险。现有改进代码安全的方法依赖全参数微调或参数高效适配，前者成本高且易灾难性遗忘，后者粒度粗、可解释性和控制力有限。本文提出 GoodVibe，一个神经元级框架，基于“安全相关推理仅定位在少量神经元”的关键洞察；它利用监督安全任务的梯度归因识别这些神经元，并只对安全关键子空间进行神经元选择性微调。为进一步降低训练成本，作者引入激活驱动的神经元聚类，实现结构化更新和极小开销。作者在六种 LLM 和多种安全关键语言（包括 C++、Java、Swift、Go）上评估，GoodVibe 显著提升生成代码安全性并保持通用效用，相比基座模型最高提升 2.5 倍，性能与全量微调竞争但可训练参数少 4700 倍以上，训练计算比 LoRA 减少 3.6 倍以上，表明神经元级优化是有效且可扩展的安全代码生成方案。
核心总结
大语言模型水印需要在容量、鲁棒性和文本质量之间取得平衡。本文提出了一个失真最小化水印框架，在统一的优化范式下建模鲁棒性和质量为失真成本，以最小化总失真。该框架设计了利用语义不变性的鲁棒成本和引导修改到低凝聚性区域的质量成本，并提出了周期优化的编码方案。实验证明，DMW在所有标准上均优于现有方法，尤其在强改写攻击下优势明显。
核心总结
该论文针对计算机视觉系统面临的严重威胁——对抗性补丁攻击，旨在解决现有防御方案依赖先验知识或大量训练数据、在复杂物理条件下鲁棒性不足，以及对微小、不规则或高背景一致性补丁等挑战性案例防御效果有限的问题。为此，论文提出了APEX，一个零样本、补丁无关的三阶段防御框架。该框架首先通过边界框提取聚焦补丁区域，接着结合基于互信息的模糊热图与边缘感知的边界热图定位对抗区域，最后利用结构引导的图像修复来恢复图像。实验在多个数据集和现有最先进防御方法上进行，证明APEX能有效防御各种类型的对抗性补丁（如非自然、自然及红外图像），展现出卓越的补丁定位能力、对不同环境（如光照条件）的高鲁棒性以及在物理世界场景中保护多种模型的高性能。
核心总结
该论文旨在解决开放模型库中未经授权的模型再分发和虚假模型溯源声明等安全问题，这些模型通常基于微调产生。论文指出现有基于静态架构相似性的方法无法捕捉知识动态演化关系，因此受人类进化遗传机制启发，提出了一种通过验证知识演化与参数修改联合轨迹来证明模型血统的新框架。该方法首先利用模型编辑量化微调引入的参数级变化，然后引入一种新颖的知识向量化机制，借助探测样本将编辑后模型中的演化知识精炼为紧凑表示，最后通过验证知识关系的算术一致性来实现血统的稳健认证。大量实验表明，该方法在多种现实对抗场景下均有效且具有鲁棒性，能跨分类器、扩散模型和大型语言模型等多种模型类型实现可靠的血统验证。
核心总结
微调提供了快速廉价地创建新文本到图像模型的方法，但这些模型常与从头训练的模型难以区分，导致模型误述问题。本文提出了一个模型溯源系统，仅通过黑盒查询访问即可识别通过微调现有模型而产生的模型。系统分析模型输出，使用通用特征提取器提取视觉特征，并通过Jensen-Shannon散度将其分布与参考池中的基础模型分布进行比较。应用统计假设检验来判断目标模型是独立训练还是微调的，如果是后者，则判断其可能的基础模型。在七个广泛使用的扩散模型及其众多微调变体上的评估显示了高准确率，即使在图像后处理或权重扰动等对抗条件下也是如此。
核心总结
该论文揭示了大语言模型中位置无关 KV 缓存复用带来的新威胁——KV 缓存劫持。传统基于前缀的复用要求 token 和位置完全匹配，命中率低；位置无关复用允许相同文本块在不同位置复用 KV 缓存，从而提高效率，但 KV 缓存按 token 匹配检索却编码了原始上下文。作者提出 HIJACKKV，首个系统利用该漏洞的攻击框架：优化攻击者控制的上下文前缀，使后续常见良性文本对应的 KV 编码攻击者目标，而文本本身保持不变，仍可被未来缓存命中。实验显示 HIJACKKV 单次尝试平均成功率 94%，在 10% 低命中率和 50% 频繁重算等现实约束下仍有效，可跨多轮交互持续，并能黑盒迁移到其他模型；论文还给出安全 KV 复用系统的设计建议。
核心总结
该论文研究 AI 生成图像水印对模型无关移除攻击的鲁棒性。现有攻击要么只针对特定生成模型，要么在移除水印时造成严重视觉退化。作者提出 MarkNull，一种基于流形潜在操纵的模型无关水印移除攻击；其关键观察是带水印图像的生成潜在表示与嵌入的初始噪声之间存在强统计依赖。为此引入噪声-潜在对齐分数（NLAS），并构造优化目标，在保持语义保真度的同时选择性地解除潜在表示与水印的相关性。实验覆盖后处理式、微调式和初始噪声式水印方案，MarkNull 将平均比特准确率降至 53.14%（接近随机猜测 50%），且无可感知图像退化；MarkNull-A 将攻击蒸馏为单次前向，达到 0.50 秒/图，并成功攻击 Google SynthID-Image，还可迁移到视频水印。论文最后提出攻击检测机制，强调需要设计能抵抗模型无关潜在空间攻击的水印。
核心总结
该论文研究图检索增强生成（GraphRAG）中未被充分探索的拓扑攻击面。现有 GraphRAG 攻击多基于文本或关系操纵，通过注入事实错误诱导特定错误答案，往往依赖显式错误载荷、污染关系或重写语料，较易被内容审计发现。作者提出一种针对 GraphRAG 的定向可用性攻击——结构知识隔离，通过拓扑操纵降低关键证据的检索可见性，使生成上下文缺少接地答案所需证据。论文首先数学分析 GraphRAG 图算法在拓扑扰动下的三类漏洞，然后提出 BadGraph 框架，注入少量语义中性文本生成对抗子图，降低目标证据在 top-ranked 检索上下文中的可见性。实验表明，在 HotpotQA 注入 49 篇文档、2WikiMultiHopQA 注入 30 篇文档的小预算下，BadGraph 持续降低 MS-GraphRAG、LightRAG 和 FastGraphRAG 的源召回率与端到端 QA F1，且使用的链接文档语义中性。
核心总结
该论文揭示 LLM 代理长期记忆机制带来的新攻击面：访问控制禁止的内容可被拆分到多次交互中，以良性形式存入长期记忆，并在后续通过记忆检索重组，而最终用户查询中不显式出现违规内容。作者提出 FragFuse，首个利用该时序通道让非特权用户绕过代理访问控制的攻击。FragFuse 分三阶段：通过带片段掩码的黑盒自适应查询识别触发拒绝的片段；用标记载体查询将片段注入记忆；再通过后续攻击查询检索并融合这些片段。论文还提出优化方案，在替代模型上调整融合指令和标记设计，实现自动化攻击生成。在四种代表性代理设置和任务领域、三种先进代理访问控制机制上，FragFuse 平均绕过成功率 86.3%，端到端有害任务成功率 41.1%，相比无访问控制配置仅下降 4.4%，且现有提示注入检测器和困惑度检测器无法有效防御。
核心总结
该论文研究多模态推荐系统（MRS）中的对抗性商品推广（AIP）攻击。MRS 联合利用视觉和文本商品表示决定排序与曝光，恶意卖家可通过篡改商品内容欺骗推荐器，使特定商品获得过高曝光和经济收益；但现有 AIP 研究主要针对单模态推荐器，而视觉-语言模型的多模态对抗攻击又与排序目标脱节，缺乏 MRS 特有的跨模态协调。作者提出 CREAM，一种跨模态增强的 MRS AIP 攻击，核心是在语义一致的前提下联合扰动多个模态，集成定制视觉扰动器、文本生成器和联合优化控制器，在黑盒设置下利用跨模态相关性。评估显示 CREAM 显著优于现有方法：在 top-10 和 top-50 指标上平均曝光分别提升 5.75 倍和 2.89 倍，并在真实演化条件下保持鲁棒，同时在视觉、文本和跨模态维度保持高不可感知性；论文还探讨多种防御策略并指出其局限性。
核心总结
大型视觉语言模型易受迁移性对抗攻击，但现有评估方法常局限于扰动视觉编码器且未充分关注非目标攻击。本文提出了模态对齐破坏攻击，一种新的迁移性非目标对抗攻击，用于评估LVLM的黑盒鲁棒性。MABA强调破坏整个多模态流程，针对视觉编码和模态对齐两个关键阶段进行优化。大量评估表明，MABA在图像描述等任务上实现了最先进的攻击效果。
核心总结
为降低计算成本，文本到图像扩散模型常采用近似缓存，但这一优化通过打破用户间隔离引入了新的安全风险。本文全面评估了近似缓存引入的安全漏洞，展示了三种远程攻击：利用缓存的隐蔽信道、窃取已缓存提示的攻击，以及将攻击者标志嵌入被投毒提示的攻击。这些攻击证明了近似缓存在实际服务系统中存在严重的安全隐患。
核心总结
AIOps通过LLM代理自动化运维，但本文首次对其进行安全分析，揭示了其安全代价。研究展示了攻击者可以操纵系统遥测数据，误导AIOps代理采取损害其管理基础设施完整性的行动。作者引入了通过错误诱导请求注入遥测数据的技术，并提出了全自动化的攻击方法AIOpsDoom。为应对此威胁，提出了AIOpsShield防御机制，通过利用遥测数据的结构化特性进行净化，实验证明其能可靠阻止攻击且不影响正常代理性能。
核心总结
该论文研究仅依赖 top-1 预测的硬标签黑盒对抗攻击。现有方法存在两个关键局限：忽视初始化的重要作用，且依赖经验启发式而缺乏理论保证。作者建立统一理论框架，表明现有符号翻转硬标签攻击可理解为对真实梯度符号的近似；在此指导下提出新攻击框架，包含零查询初始化策略和模式驱动优化（PDO）算法。理论分析保证其初始化相比随机基线具有更高余弦相似度，且 PDO 的查询复杂度显著低于基线搜索方法。在 CIFAR-10、ImageNet、ObjectNet 以及标准与对抗训练模型、商业 API 和 CLIP 模型上的实验表明，该方法在成功率和效率上持续优于 SOTA 硬标签攻击，尤其在低查询预算下；还能泛化到损坏数据（ImageNet-C）、生物医学图像（PathMNIST）和分割等密集预测任务，并绕过有状态防御 Blacklight，检测率为 0%。
核心总结
尽管大语言模型（LLM）在自动程序修复（APR）上展现出前景，但现有基准普遍存在数据污染问题，即测试样本出现在训练集中，从而人为夸大模型性能。为支持更可信的评估，本文提出 BenchChecker，一个同时兼容开源与闭源模型的污染检测框架。其核心观察是：持久存在的补丁很可能仍留在用于训练的最新仓库快照中；据此 BenchChecker 采用基于取证的两阶段检测流程，仅使用模型文本输出与公开仓库历史：第一阶段通过用代码前缀探测模型来推断其训练包含情况（仓库存在性测试），第二阶段通过相似度对齐和测试套件验证补丁的持久性（补丁存在性测试）。在基于 The Stack v2 训练的 StarCoder-15B、StarCoder2-15B 和 CodeGen2-16B 上的评估显示，BenchChecker 在六个基准上取得约 0.9 的 AUC，检测稳健；将其应用于 SWE-bench Verified 和 Multi-SWE-bench 后发现，过滤污染样本会使多数 LLM 在中难度任务上的报告解决率相比原始结果下降 20% 以上。
核心总结
安全关键的机器学习系统（如人脸识别）易受对抗样本攻击，而现有对抗鲁棒性提升方法常导致不公平的鲁棒性。本文提出Sy-FAR，一种追求对称性（即攻击从类别i到j应与从j到i同样成功）而非完美公平性的方法。理论证明，个体对称性可诱导子群体对称性。在多个数据集和模型架构上的评估显示，Sy-FAR显著提升了公平对抗鲁棒性，且速度更快、更稳定。
核心总结
文本到图像模型的提示词是宝贵的知识产权，但易受窃取攻击。本文首先指出了当前评估实践的不足，提出了两个改进指标。通过广泛评估发现，现有攻击方法在恢复高贡献提示组件方面并不如报告的有效。作者进一步提出了一个利用强化学习的黑盒攻击框架PromptThief，显著优于基线方法。同时，研究评估了两种防御机制，发现基于特征级提示水印的被动方案具有强大且稳定的检测性能，为提示IP保护提供了实用路径。
核心总结
该论文关注大型语言模型易受恶意输入诱导生成有害内容的问题，指出当前安全机制（如关键词过滤或输出审核）大多忽视了模型内部动态。研究发现，与有害提示相关的安全特征在中间隐藏状态中具有高度可分性（探针准确率可达99%），即使模型最终输出合规内容，这些特征在内部也持续存在。利用这一观察，论文引入了层级毒性探针和多层互补检测框架（Sentinel），融合不同深度的信号进行检测。该轻量级框架（<5M参数）将误报率减半，在对抗性攻击下仍保持超过94%的检测准确率（基线下降32%），并优于Llama-Guard-3-8B。此外，该方法首次提供了安全相关信号在LLM内部如何出现、传播和衰减的量化、层级解析地图，为可解释的、由内而外的对齐与诊断提供了支持。
核心总结
机器学习模型面临安全、隐私和公平性等多类风险，具有不同目标、知识和能力的对手可以通过实施一种攻击来放大其他攻击，即形成共谋，但已有工作缺乏系统性框架来探讨对手间的共谋及其特征影响。本文提出了一个覆盖训练期与推理期对手之间共谋以及推理期对手之间共谋的框架，并系统梳理了促成共谋的各类使能因素。基于这些因素，作者提出了一套用于推测潜在共谋可能性的指导准则，并用其解释已有工作、推测尚未被探索的共谋场景，并对其中五类共谋进行了实证验证。最后，论文讨论了对手特征如何影响共谋发生的可能性，为该方向后续研究提供了系统化视角。
核心总结
隐私保护机器学习审计协议可让审计方在不接触模型内部与训练数据的情况下评估模型的准确率或公平性等性质，适合医疗、金融等敏感领域，但现有安全定义大多只证明模型在固定审计数据集上的行为，未保证该性质能泛化到同分布的其它数据，因而无法反映模型部署后的真实表现。本文表明，模型提供方可以通过精心构造训练数据来攻击许多基于安全零知识证明（ZKP）的密码学模型认证（CMC）方案，使模型在审计时表现良好而实际部署时表现异常，实验上攻击者可证明模型在审计数据集上准确率超过 99%，而在同分布新样本上准确率低于 30%。为解决这一缺口，作者为 CMC 框架形式化了严格的密码学安全定义，提出了通用协议模板并证明其满足这些要求。该工作既对现有方案给出了警示性证据，也为设计安全、隐私保护的机器学习审计协议提供了建设性指导。
核心总结
由基础模型驱动的移动智能体已能在真实设备上自动执行复杂的多步工作流，但其执行轨迹可能违反各应用特定的安全策略。现有轨迹级防御依赖 LLM 提示或僵化规则，难以支持跨应用、跨任务泛化的细粒度自然语言策略。本文提出 MATE，一种轻量、以策略为条件的审计器，它同时编码智能体轨迹和自然语言安全策略，判断轨迹是否违反给定策略并给出原因；将策略视为可编辑文本而非固定模型参数，使其无需重训练即可适应用户自定义和不断演进的需求。为构建 MATE，作者从全球数百个流行移动应用中抽取应用描述、工作流与策略构建知识库，并通过多阶段流水线合成了超过 14 万条语义真实、以策略为条件的轨迹，同时发布了包含两个合成子集和一个真实手工采集子集的轨迹级审计基准 MATEBench。实验表明，用该合成驱动轨迹学习训练的模型在 MATEBench 上准确率超过 95%，在外部安全基准上保持较强性能，并在真实设备上审计 Zhipu AutoGLM 和 Alibaba Mobile-Agent 的轨迹时准确率超过 95%，比此前方法高出 20% 以上。
核心总结
集成大语言模型和非AI工具组件的AI智能体正在现实世界中快速兴起，但其灵活性也带来了与传统软件系统不同的复杂安全挑战。本文首次对AI智能体安全进行了系统化知识梳理，分析了其设计空间、攻击面和防御机制，并指出了未来研究的开放挑战。该工作为理解AI智能体安全风险和防御策略提供了首个系统性框架，为构建安全的智能体系统奠定了基础。
核心总结
云基础设施已成为部署大模型（尤其是 LLM）的主流平台，微调与推理日益被委托给云服务商，但这造成了根本性的信任缺口：尽管已有密码学与 TEE 验证方案，但高昂的证明成本和有限的 TEE 内存使其难以扩展到现代 LLM，客户端实际上无法审计这些过程，从而带来静默破坏服务完整性的安全隐患。本文提出 AFTUNE，一个可审计、可验证的框架，用于保证云端微调与推理的计算完整性。AFTUNE 引入轻量的记录与抽查机制，生成可验证的执行轨迹，使客户端日后能够通过在 TEE 内验证被抽样的执行块（每块仅覆盖模型与执行轨迹的一小部分）来审计微调与推理是否遵循了约定配置。评估表明 AFTUNE 仅带来适度开销，使客户端审计在实践中变得可行。
核心总结
模型认证是评估机器学习模型可信度与质量的重要手段，而模型质量很大程度上取决于泛化能力；但泛化依赖未知数据、无法直接度量。测试准确率等代理指标在训练过程被人为或意外扰动时会产生误导，而锐度（sharpness）等与泛化有经验关联的指标计算代价高，且当训练偏离规定流程时也可能给出不可靠信号。本文提出"方向性锐度"（directional sharpness）这一指标，旨在训练可能发生偏差的情况下仍能高效、可靠地指示泛化能力。作者提供了经验与理论证据，表明方向性锐度（1）与泛化的相关性比现有指标更强，（2）比现有指标更可靠地识别出泛化能力差的模型；且在验证方持有训练数据的模型审计场景中可高效计算，并可通过零知识证明在不泄露训练数据的前提下认证模型质量。
核心总结
该论文关注检索增强生成（RAG）系统的知识库窃取风险：RAG 将攻击面从模型权重扩展到包含专有文档的知识库，而现有多轮提问攻击多为启发式且容易过早饱和。作者将 RAG 知识库窃取建模为自适应随机覆盖问题（ASCP），并设计知识图谱引导的攻击器 RAGCrawler，通过维护攻击者侧全局状态估计覆盖增益、调度高价值语义锚点并生成非冗余自然语言查询。在四个语料库和四个生成器上，RAGCrawler 在 1000 次查询内平均覆盖率达 66.8%（最高 84.4%），较最强基线提升 44.90%，并将达到 70% 覆盖所需查询减少至少 4.03 倍，还能以最高 0.699 的答案相似度实现代理重建。该攻击在检索器切换和查询重写、多查询检索等新 RAG 技术下仍然有效，且现有防御难以阻止。
核心总结
该论文研究潜在扩散模型（LDM）被用于未经授权模仿个人的问题。现有防御通过注入欺骗性扰动来误导生成结果，但其假设扰动能在整个生成过程中保持有效，而 LDM 的固有恢复机制会移除扰动并使人脸身份重新出现。作者提出 VOID，通过操纵 LDM 的内在随机性进行防御：放大潜在编码误差以破坏语义结构，并抵消目标引导信号以抑制模型恢复能力，同时将扰动限制在人类不可感知区域。在 5 个数据集和 10 种模仿攻击上的评估表明，VOID 将平均 FID 从 113 提升至 365，较此前最强防御提升 223%，同时保持视觉质量。
核心总结
基于大语言模型的多智能体系统在协作中完成复杂任务，但其复杂性引发了知识产权保护担忧。本文引入了MASLeak，首个在实用的黑盒设置下系统性地从MAS中提取知识产权的框架。受计算机蠕虫传播启发，MASLeak通过精心设计的查询，从每个智能体中引出、传播并保留能揭示完整专有组件的响应。该框架在合成和真实MAS应用上均表现出高攻击成功率。
核心总结
拥有特权访问权限的内部人员可能对组织造成巨大伤害，单次内部威胁事件即可导致财务损失和声誉损害，而攻击活动混在海量合法行为中极难检测。现有文献稀少且存在局限，难以在大型组织中实际部署。本文提出Facade，一个高精度深度学习系统，自2018年起作为谷歌内部威胁的最后一道防线。Facade是自监督系统，通过考虑每个事件周围的上下文（包括用户和资源的相关事实）来检测可疑事件，其多模态模型在文档访问、SQL表访问和HTTP/RPC请求日志上训练，并采用仅在良性活动上训练的对比学习策略以克服标注事件稀缺。该系统能以低于0.01%的误报率检测内部攻击者，对单次恶意事件如非法访问敏感文档的误报率低至0.0003%，据作者所知是唯一误报率低到可用于大型企业环境的内部风险异常检测系统。
核心总结
视觉推理验证码结合视觉场景和自然语言查询，要求对对象、属性和空间关系进行组合推理。现有求解器缺乏通用性。本文提出VIPER统一攻击框架，集成了结构化的多对象视觉感知与自适应的基于LLM的推理。在六大主流验证码提供商上的评估显示，VIPER成功率高达93.2%，在大多数基准测试上超越人类准确率，且在不同LLM主干上保持鲁棒性。为应对此威胁，作者还提出了模板空间随机化策略，可有效降低求解器性能。
核心总结
文本到视频模型可生成高质量视频，但也放大了自动合成不当内容的安全和社会风险。现有审核流程通常将视频视为独立帧或原始序列，忽略了关键语义可能通过特定帧的组合显现。本文提出利用场景图作为核心中间语义表示，其自然编码了实体、属性和关系，并支持跨帧推理。基于此，提出VSG-Safe框架，首先提取跨帧内容构建场景图，再利用图导向模型联合捕捉信息进行检测。在基准和自建数据集上的实验显示，其F1得分比七个基线平均高出42.32%。
核心总结
论文分析 Cosmos SDK 区块链应用层安全缺陷，该框架通过可复用模块和可扩展定制接口构建应用逻辑，已支撑上百条生产链。作者通过分析交易执行生命周期和开发者可访问定制点，形式化四个执行不变量，并据此识别八类易错开发模式，这些违规会导致资产窃取甚至链停止。进行生态范围实证分析，在多个 Cosmos 链上发现 65 个漏洞。负责任披露后 26 个被确认，19 个公开修复，两个获得 CVE，并获 51,000 美元漏洞赏金，防止了数千万美元资产被盗。
核心总结
该演讲由医疗设备网络安全专家 Michael Rushanan 发表，他拥有二十年安全工程、风险管理和应用密码学经验，并曾在美国 FDA、HHS、DOJ 及产业界领导相关网络安全工作。演讲标题“如果能碰到它，就能拥有它”暗示医疗设备一旦可被物理接触就可能被攻陷，并讨论业界在医疗设备网络安全中常自我安慰的叙事。内容基于其作为 Harbor Labs 首席科学家、Armatyr 联合创始人以及约翰霍普金斯大学讲师的实践经验，强调需要更严格的威胁建模、安全工程与监管。
核心总结
DeFi平台常用基于交易量的激励计划来启动流动性并提高市场效率，但本文表明这类补贴在集中流动性做市商（CLMM）中会制造新的经济攻击面。攻击者通过提供高度集中的流动性吸引受补贴的交易量、人为抬高收益率，诱使受害流动性提供者进入狭窄价格区间，待受害者流动性积累后引发价格暴跌以榨取价值。作者将这种行为形式化为“激励诱导的流动性攻击”，并证明只要补贴强度和交易量上限超过临界阈值，该攻击就会内生出现。对BSC上与币安Alpha计划关联的受激励CLMM池进行大规模测量，识别出18个池中的29起攻击事件、13次损失事件中的99个正损失受害地址，测得受害者损失达287万美元。研究发现旨在改善市场质量的激励机制反而会制造其本欲防范的安全漏洞，并提出重塑激励参数与信息披露的缓解策略。
核心总结
该报告聚焦AI驱动软件开发过程中的安全态势漂移（security posture drift）检测问题，探讨如何通过持续威胁建模来保障AI驱动开发流程的安全性与可信度。报告人Preeti Ravindra拥有十余年将AI应用于安全问题并确保AI系统可靠可信的技术领导经验，横跨初创公司与财富100强企业，擅长将研究成果落地为可扩展、与业务价值对齐的系统，并在产品安全与安全运营两个方向均有实践。报告将分享如何跨越职能、消除模糊性并交付可度量业务价值，同时涉及AI安全与AI控制方向的研究进展。
核心总结
该条目是电子前哨基金会公共技术团队主任Babette Ngene的主题演讲，不是传统研究论文，没有实验方法或结果。内容围绕数字空间中技术日益受限的趋势，以及如何通过开放技术和公共政策行动保护用户权利。演讲强调网络安全与数字权利保护的交叉，呼吁研究者、开发者和政策制定者参与修复生态。由于无技术摘要，归入Miscellaneous。
核心总结
该论文目前处于保密状态，最终论文PDF和摘要将在会议第一天公布。
核心总结
该论文指出美国刑事法律程序（如搜查令）是执法和法院强制第三方提供证据的关键机制，但这些法律命令只是文档，通常以电子方式送达，没有内在机制保证其完整性。近年来，执法部门越来越多地报告使用伪造法律程序进行各种恶意目的，且在线卖家提供此类能力。作者设计了WarrInt，一个与现有流程机制约束兼容的实用系统，帮助第三方识别收到的法律命令可能被伪造或篡改。对真实和修改后的法律程序文档的评估表明，WarrInt能有效识别修改。
核心总结
模因币已成为加密货币市场中最受欢迎的细分市场之一，其价值主要源于社区情绪，易受操纵。本研究对跨四条链的34,988个模因币进行了前所未有的跨链分析。研究发现，在高回报代币中，高达82.89%显示出人工增长策略的证据，包括洗盘交易和新定义的基于流动性池的价格膨胀。利润提取方案（如拉地毯）通常跟随在初始操纵之后。研究量化了超过17,000个受害地址的经济损失超过930万美元，揭示了协调努力而非自然市场动态驱动了高回报。
核心总结
该报告是 GitHub 安全工程师 Zach Steindler 在 USENIX Security 2026 的受邀演讲，主题聚焦开源软件供应链攻击的现状、当前可行的防御措施以及未来方向。讲者基于在 GitHub 和 OpenSSF 的工作经验，介绍如何保护开源用户与企业客户，并参与协调 PyPI、npm 等编程语言包仓库的安全改进。由于提供的描述主要是讲者简介而非论文摘要，本文没有具体实验或技术贡献，更多是行业实践与治理层面的分享。可将其视为对开源供应链安全生态、协调机制和后续行动建议的综述性报告。
核心总结
二维码的安全模型假设所有扫描器会从同一码中解码出相同信息。本文提出Optical Quick Response（OQR）码，一种新型多层二维码设计，利用特殊光学图案在单个码中按距离依赖层编码不同信息，同时完全向后兼容标准二维码解码器。作者实现了2层和3层配置，将数据容量提升最多300%，并发现滤镜规避漏洞：自动化二维码验证器只解码像素完美图像的最内层，从而允许攻击者在外层隐藏恶意内容。为防御该威胁，作者提出基于模糊的恢复方法以解码所有层内容，并在600个OQR码数据集、六款手机及打印/数字格式上评估；结果显示OQR2解码率100%、OQR3超过98%，而针对两个流行二维码解码库的滤镜规避攻击成功率分别达100%和98.67%。
核心总结
该论文目前处于保密期，最终论文PDF和摘要将在会议第一天发布。因此无法提供摘要。
核心总结
该论文处于禁运期。最终的PDF和摘要将在会议第一天发布。
核心总结
该论文关注安全会议论文配套工件（代码和数据）的共享实践与会议政策影响。作者开发了自动化工具 ArtiFinder，用于准确识别论文 PDF 中的工件链接，并据此对 2000 年以来四大安全会议近 9000 篇论文进行了迄今最大规模的定量分析。纵向分析显示工件共享持续增长，但不同子领域差异显著；近期政策变化并不总伴随共享率上升，却与转向稳定托管服务明显相关。作者还复现了此前关于引用数和仓库流行度的分析。该研究揭示了工件共享趋势和会议组织者的引导作用，并开源工具与数据集以支持未来大规模研究。
核心总结
该论文关注过宽的计算机犯罪、知识产权等法律给安全研究带来的法律风险，例如美国 CFAA 和英国 CMA 未能区分恶意黑客与善意测试，使漏洞发现、数据抓取等公共利益研究面临严重法律威胁。尽管研究社区普遍知晓这些风险，但对其实践影响的理解多来自轶事而非系统研究。作者开展首个聚焦研究者亲身经历的定性研究，访谈了 36 名研究者（涉及 130 个项目/事件）和 8 名为研究者提供法律风险支持的专业人士（已支持数千名研究者）。研究提供了研究者法律风险经历的全景视图，并总结出可操作策略，为政策改革提供证据。
核心总结
社区交换是现代安全运营的关键组成部分，商业安全厂商和管理安全服务商常利用众包情报和规则，但人们对这些众包检测规则如何开发与审查缺乏系统理解。本文以开源众包Sigma仓库为窗口，研究威胁检测规则的开发动态和质量控制过程。研究发现Sigma规则持续迭代，尤其根据下游用户反馈调整误报，但质量控制中既有非正式规则评估，也存在经验不足的社区贡献。对比Sigma与商业SIEM厂商之间迁移的规则后发现平台间存在分歧；众包虽能促进对商业规则的迭代，但可能增加对手规避规则的风险。本文还引入一个识别重复规则的工具，以辅助审查流程。
核心总结
电子游戏是软件产业中最大的领域之一，游戏安全至关重要却极具挑战，除传统安全威胁外还必须应对来自玩家内部的高度积极对手——作弊者。作弊者寻求不公平优势，破坏游戏的经济可行性和竞技公平性，但现有文献碎片化，多关注孤立漏洞而非统一的威胁架构视图。本文对过去二十年187篇科学出版物进行系统化梳理，基于已有知识系统化方法将发现综合为详细的整体攻击树，涵盖六大作弊领域和192个节点。作者将异构作弊策略映射到MITRE ATT&CK框架，提供游戏特定攻击向量的结构化分类，并给出54项防护措施。
核心总结
DTLS-SRTP用于保护Zoom、Teams等平台的实时媒体通信，但其复杂的协议栈导致安全性未被充分探索。本文开发了自动化中间人测试框架DMS，对DTLS-SRTP连接的认证机制进行了测试。在跨24家服务提供商的案例研究中，发现33个媒体服务器实现中有19个存在可被利用来打破认证的漏洞，其中9个服务数亿用户的系统可被攻击者窃听视频会议。
核心总结
QUIC 是基于 UDP 并集成 TCP 与 TLS 的新网络协议，支持在单一加密认证连接上多路复用流；标准允许 UDP 数据报、QUIC 包、帧和流之间大量组合来传输相同信息，使接收端测试非常困难。作者开发探针以探索不同 QUIC 服务器实现如何处理载荷合并与分片，涵盖数据报、包和帧的有效与无效组合。为支持此类测试，他们提出 QUIC-Attacker，一个在发送端提供最大自由度的测试框架。对 15 个 QUIC 服务器库的测试发现 8 个由未处理异常导致的拒绝服务漏洞，以及 Kwik 和阿里巴巴 XQUIC 中可利用的注入漏洞。
核心总结
传统的Wi-Fi定位系统欺骗攻击因缺乏隐蔽性和持久性而未引起重大安全关注。本文提出了一种新颖的WILD攻击，通过远程注入伪造的众包报告来破坏定位查询表，从而从根本上颠覆Wi-Fi定位系统的安全性。研究发现四个广泛部署的Wi-Fi定位提供商均接受伪造报告。该攻击可导致条目篡改或删除，且影响可持续数周。
核心总结
本文揭示了一种存在于隐式TLS和机会性TLS集成方式中的新型漏洞。攻击者利用该漏洞可以打破认证，即使使用现代TLS实现也能在握手后影响交换的消息。这种攻击不依赖于实现缺陷，仅需一方支持机会性TLS。研究通过IPv4扫描发现，超过300万台服务器同时支持两种模式，其中HTTP协议的数千台服务器存在可被利用的场景。
核心总结
该论文揭示了5G用户设备（UE）在早期控制平面交换（预认证阶段）处理无线资源控制（RRC）配置消息时存在的语义漏洞。现有测试大多关注构造无效语法输入，而本研究表明，语法有效但语义不一致的消息可将基带实现推入无效状态，导致断言失败或调制解调器崩溃。研究提出了约束引导的语义测试框架CONSET，该框架利用大语言模型推断跨字段依赖关系，生成针对性的语义违反测试用例。在商业智能手机上发现了7个未公开漏洞，包括3个高危CVE，影响大量芯片组和手机型号。
核心总结
本文解决了估计混合流量中机器人生成流量比例的问题。当干净流量中至少一对特征是独立时，作者证明了获取该比例的上界等价于寻找一个最大化简单目标函数的秩一矩阵。本文给出了求解该问题的有效方法，并推导了置信区间。通过蒙特卡洛模拟和对Twitter数据的实证研究验证了方法的准确性，该方法可用于识别虚假参与。
核心总结
Open RAN（O-RAN）通过开放接口和软件化组件增强了移动网络的灵活性，但也引入了逻辑正确性验证的挑战。本文提出InvaRAN测试框架，利用动态推断的程序不变量作为预期行为的代理来检测O-RAN实现中的逻辑缺陷。该框架将不变量分为关键和非关键类别，并能捕获执行跟踪中的跨变量相关性。在生产级O-RAN控制器上的评估发现了九个未知问题，包括逻辑和内存漏洞。
核心总结
论文发现流行域名托管服务商在域名所有权验证中错误理解CNAME语义：即使别名域未配置任何验证令牌，服务商仍接受CNAME重定向后的DNS记录作为有效挑战令牌。基于该缺陷，作者提出ALIASLEAP攻击，可劫持CNAME链中别名域的托管服务，导致大规模、隐蔽的域名接管。实测发现4个邮件和7个Web托管服务商受影响，波及超200万个域名，其中20万个位于Tranco Top 1M；且脆弱CNAME链通常合法且长期存在，约一半持续超过12个月，最多19,819个域名暴露超过10年。作者提出缓解策略并负责任披露给11家服务商，8家确认，呼吁社区重新审视CNAME记录的使用惯例与能力边界。
核心总结
CAN长期是车载通信骨干，CAN XL作为下一代标准提供更长载荷、更高带宽和安全增强，但其新设计的MAC子层安全尚未被充分理解。论文首次对CAN XL标准进行安全分析，重点关注MAC子层，并构建位精确的CAN XL形式模型与分析工作流。与预期相反，分析显示CAN XL仍易受所有已知CAN经典MAC子层问题影响，同时引入七个新漏洞，安全性甚至可能更差。作者用商用CAN XL控制器验证这些漏洞，并在模拟真实车辆流量的测试床上通过两个多阶段攻击展示可利用性，最后提出形式验证标准修订等缓解措施。
核心总结
现代网联车依赖云端远程信息处理后端提供远程控制、遥测和媒体访问等功能，即使采用端点加固和加密通信，后端授权仍可能不正确。论文发现多个平台的云服务接受有效车辆身份，却没有把该身份一致地绑定到要访问的具体主题、对象或命令目标。攻击者可从一辆受控种子车中恢复客户端证书、私钥、token或会话工件，在MQTT、HTTPS和SMS上建立已认证后端会话，并在应用层修改VIN等逻辑车辆标识。作者在三个主要OEM的远程信息处理平台中发现未知授权漏洞，演示了无需物理接触受害者车辆或OEM内部权限的跨车特权提升，可实现远程车辆控制、未授权访问私人监控媒体和伪造回退命令，并给出面向身份绑定和零信任的缓解建议。
核心总结
本文首次对Tile位置追踪服务进行了全面的安全分析。研究发现了多个可利用的漏洞和设计缺陷，例如Tile服务器可以持续获知所有用户和标签的位置，未授权攻击者可通过蓝牙广播跟踪用户，且其防盗模式易被绕过。Tile的“问责制”机制本意是惩罚滥用行为，但分析表明其实现存在缺陷且引入了新的可利用漏洞，凸显了在此类协议中形式化定义问责制的必要性。
核心总结
VoIP封锁是一种普遍但研究不足的审查形式，此前唯一工作仅覆盖两个国家且需作者实地测量。本文提出Revelio系统，通过精心构造探测包并策略性利用目标国家IP地址空间，远程检测并大规模分析VoIP审查，从而发现原本不可见的封锁。作者使用Revelio研究了71个国家和11种常用VoIP应用，在19个国家发现VoIP封锁证据，主要体现为对STUN流量的定向干扰。通过分析报文轨迹，他们逆向出四类、六子类会对应用特定STUN包触发的中介盒，并分析HTTP/HTTPS层域名封锁，发现存在仅封锁VoIP通话而消息仍可访问的情况。研究成果提供了首个全球性VoIP封锁视图，并公开代码以支持复现。
核心总结
2025年9月，与中国防火长城有关联的DPI公司Geedge Networks超过10万份内部文档（含代码和通信）被泄露。本文分析泄露源代码，重点研究其旗舰产品天狗安全网关（TSG）防火墙，跨多个代码仓库成功构建并本地运行TSG副本。分析揭示了TSG架构的关键方面，包括可解析协议以及用于审查网站、代理和其他资源的封锁规则格式。作者还从TSG中提取了若干指纹，包括自定义随机数生成器和解析特性，可用于识别其在防火长城及类似部署中的使用。这是商业DPI源代码首次泄露，也是对国家审查基础设施核心防火墙组件的首次代码分析，有助于规避工具开发者和安全研究者理解现代审查技术的能力与局限。
核心总结
BACnet/SC 为替代传统 BACnet 的不安全设计，引入双向认证的 WSS 通道并强制 PKI 证书管理，但其安全模型仍存在根本性的标识绑定缺陷。作者发现 X.509 证书认证未与连接管理使用的 UUID 和消息转发使用的 VMAC 等逻辑标识进行密码学绑定。通过系统分析连接状态机，论文揭示多阶段、多标识劫持攻击“Cuckoo Attack”：恶意角色可逐步取代合法设备的认证连接状态并持续拦截其流量。该攻击在官方 BACnet/SC 参考栈、开源 BACnet-Stack 以及西门子、江森自控、霍尼韦尔、开利等商业楼宇自动化平台上得到验证，并提出了缓解措施。研究已提交并获 BACnet 标准委员会 ASHRAE SSPC 135 确认，揭示了有状态安全协议中更广泛的标识绑定风险。
核心总结
车辆越来越可通过手机 App 使用 BLE 进行离线远程控制，但许多后装 BLE 遥控系统未采用 BLE 内置安全，而是使用私有应用层协议，形成新的攻击面且缺乏研究。论文发现并分析六种在用的后装 BLE 遥控系统，重点研究其应用层 BLE 安全。在三种系统中发现严重漏洞，估计约 140 万套后装 BLE 控制系统暴露于攻击风险。研究表明定向 BLE 远程攻击可行：攻击者可利用众包蓝牙扫描数据库定位装有脆弱系统的特定车辆。披露后所有厂商均修补系统并改进应用层 BLE 安全，影响许多原本不知道车辆装有 BLE 遥控系统的车主。
核心总结
针对SSH协议近20年未有重大更新且存在诸多不足的问题，本文介绍了现代传输和远程访问协议Hop。Hop基于现代密码学进展，引入了密码学介导的委托方案、原生主机识别、适应现代企业环境的客户端认证以及对客户端漫游的支持。该协议在降低SSH复杂性和开销的同时，旨在满足当今对安全远程访问的需求。
核心总结
隧道协议是互联网远程网络互联的骨干，但许多隧道主机未实现认证，会充当开放单向代理并带来拒绝服务风险。论文表明开放隧道主机的风险超出 DoS：针对启用 NAT 的隧道主机，提出操纵 NAT TCP 状态的新型攻击，可指纹识别并向同地私有网络注入流量；针对转换全局 IP 的隧道主机，可将其变为双向代理，用于伪造 TCP 连接和新型 loop DoS。对于二层隧道 GRETAP，可滥用攻击 LAN，实现泄露主机全局/私有 MAC、DHCP 饥饿、DNS 投毒、ARP 欺骗和无限循环 DoS。作者进行 9 次全网扫描，识别出 438,280 个潜在脆弱主机，呼吁部署新防御。
核心总结
本研究深入分析了名为“Gorilla”的长期运营的基于Mirai的DDoS租赁僵尸网络。该僵尸网络在2024年秋至2025年夏期间异常活跃。通过逆向工程，研究揭示了其设计、工程决策和营销策略。其长寿源于针对性的改进，包括两个软件开发阶段并吸取前版教训。研究还分析了其火力、攻击向量和目标业务类型。
核心总结
IP 隧道广泛用于 IPv4 向 IPv6 过渡，但其安全影响研究不足。论文提出 TED，一种利用 IP 隧道和 IPv6 扩展头（EH）处理结构漏洞的脉冲式拒绝服务攻击，完全在网络层运行。TED 通过嵌套 EH 和隧道主机的盲目转发逻辑构造延迟线，解决发送时间调度问题，将异步低速率流量汇聚成对受害者的高幅脉冲，无需受害者交互或应用层反射。全网测量发现超过 190 万个脆弱隧道主机可被当作无意中继，包括关键卫星基础设施中的主机。评估显示归一化脉冲幅度超过 180 倍，并能绕过现有基于特定应用层协议的低速率/脉冲攻击检测；论文还讨论根因与缓解策略。
核心总结
UDP 是 DNS、视频会议等流行服务的重要传输协议，但其对 IP 分片的依赖会带来安全与可靠性问题，现有 Linux IP 分片重组算法依赖每网络命名空间缓冲区大小限制，可能被资源耗尽型 DoS 攻击利用。本文系统评估了针对真实 UDP 服务（VPN、视频会议、RADIUS）的 IP 分片 DoS 攻击可行性，并从客户端和服务端两个视角分析。服务端方面，伪造 ICMP Fragmentation Needed 消息可诱使许多服务商按人为小路径 MTU 分片服务器到客户端流量；客户端方面，向 Linux NAT 网关发送虚假分片可导致合法服务器到客户端分片被丢弃。模拟攻击证明该攻击对 Zoom、ExpressVPN 等真实服务商有效，作者已向受影响方全面披露并提出缓解建议。
核心总结
本文首次系统性地研究了TCP/IP协议套件实现中因弱验证导致的离路径可利用漏洞，并提出了WAVED框架进行识别。WAVED核心是开发了针对TCP/IP内核的流、上下文和字段敏感的指针分析，并构建污点传播图来建模和跟踪栈内数据流。通过精确建模字节粒度的污点传播和方向敏感的约束强度分析，该框架在Linux和FreeBSD上精确发现了14个导致语义漏洞的未知弱点，并已负责任地披露。
核心总结
该论文旨在解决网络协议格式规范推断中关于网络包字段精确约束的重大空白。当前方法通常能推导出将网络包分成多个字段的准确句法结构，但难以捕获字段间的语义依赖或约束。作者的核心见解是大型语言模型（LLM）在各种任务中已被证明有效，而这些任务之间的对抗性交互可以显著缓解幻觉问题。基于此，提出了一种通过对抗性结合基于LLM的规范推断和代码生成来生成精确协议格式的新方法：将结构化RFC文档输入LLM，生成包格式和参考包解析器，它们相互迭代细化以减少幻觉：包格式允许创建各种网络包用于解析器测试，而解析器中的运行时检查帮助识别格式错误。对8种协议的评估显示精确率和召回率显著提高，在推断字段约束方面比现有技术提高了326%。此外，改进的格式规范支持有效的模糊测试，在广泛使用的协议实现中发现了24个零日漏洞。
核心总结
CDN 为提升性能正采用 HTTP/3，但出于兼容性往往需将其转换为 HTTP/1.1，这一转换产生了巨大攻击面，可能重新引入 HTTP/2 或 HTTP/1 中已确认甚至已修补的漏洞，而现有工具难以适应 HTTP/3 环境并高效利用积累的攻击知识。本文提出 H3Act，一个面向 HTTP/3-to-HTTP/1.1 语义转换异常的双智能体、知识驱动模糊测试框架，它结合大语言模型（LLM）与混合检索增强生成（RAG），自动将协议规范和历史威胁情报转化为高精度 HTTP/3 测试载荷，从而对语义转换风险进行回归测试。作者对 Cloudflare、CloudFront、腾讯 CDN 等 9 个商业 CDN 开展大规模研究，发现协议安全出现明显回退，即旧协议中的漏洞在 HTTP/3 中被重新引入，共识别出请求走私、缓存投毒、DoS 放大等 7 类常见攻击向量，且每个 CDN 都至少对一种攻击向量脆弱。相关漏洞已被负责任披露并获部分厂商确认，表明 CDN 生态在追求协议性能提升时缺乏安全一致性检查能力。
核心总结
地址学习是 SDN 的基础服务，维护主机地址到交换机端口的动态映射并支撑众多关键网络应用，但其核心地位也使其成为有吸引力的攻击目标；由于缺乏全局视角下的安全保护，单个看似正常的事件可以累积造成严重破坏。本文提出 LoopGen，一种针对地址学习机制的新型攻击：被攻陷的主机只需按特定顺序发送精心构造的数据包，即可诱使控制器在数据平面创建转发环路。该环路使 LoopGen 成为高性价比的 DoS 放大器，可与其他 DoS 攻击组合使用。作者在多种真实拓扑、不同开源控制器和异构交换机上进行了广泛实验，结果表明 LoopGen 具有不容忽视的可行性、显著的放大效果、低攻击成本，并且在现有防御下具备高隐蔽性；论文最后提出了两种缓解该攻击的对策。
核心总结
准确的自治系统（AS）商业关系知识对众多互联网安全与网络任务至关重要，但这类关系并不公开，运营者与研究者只能依赖从经验路由数据中推断的算法；尽管相关算法已部署数十年，其面对对抗性操纵的安全性仍鲜有研究。本文对 ASRank 这一支撑许多既有方法与常用数据集的基础算法进行了系统安全分析，发现其输出对从 BGP 路径中提取的 AS 三元组的微小定向扰动高度敏感：精心选择的三元组改动可改变推断顺序并触发级联误分类。基于此，作者提出针对 ASRank 推断的操纵攻击 ASRogue，它自适应地构造 AS 三元组以引导推断顺序与结果，通过前缀拆分和 AS 路径污染扩展三元组注入规模，并将伪造三元组嵌入符合策略的 BGP 公告中以规避常见路由防御。大规模评估显示，在攻击者控制至少两个 AS 时，ASRogue 总体操纵成功率达 96.7%，对中小型提供商超过 99%，且在受限攻击开销与时间变化下依然有效；在 PEERING 测试床上的受控实验验证了其在真实互联网中发起的可行性。
核心总结
该论文关注云原生核心网（CN）中由组件间盲目信任导致的安全缺陷，作者将其称为隐式信任错误（iTrue）。为此提出多智能体框架 iFinder，利用已知漏洞作为种子，通过思维链推理、3GPP 规范与 CN 代码交叉验证来检测漏洞，并自动生成和迭代优化 PoC 漏洞利用。在 7 个主流 CN 模拟器上运行，发现 84 个此前未知漏洞，其中 70 个已确认、40 个获得 CVE 编号。结果表明 iTrue 风险在蜂窝核心网中广泛存在，亟需加强原信任域内的防护。
核心总结
本文针对广泛部署的DNS解析器BIND9，提出了一类新颖的DNS缓存投毒攻击。该攻击的两大突破在于：（1）能够可靠地同时预测关键的挑战参数（UDP源端口和事务ID）；（2）整个攻击过程完全在客户端侧完成，无需攻击者运营针对自己域名的权威服务器，这尚属首次。通过利用BIND伪随机数生成器的弱点，攻击在真实网络条件下表现出高成功率。相关漏洞已负责任地披露并获得修补和CVE编号。
核心总结
该论文针对 RPKI 中路由源验证（ROV）的“静默丢弃”问题：当资源所有者在 DDoS 缓解期间需要紧急改道时，临时路由可能因与已发布 ROA 不一致而被丢弃，造成敏捷性缺口。作者提出 iROV，将验证从静态本地决策转变为交互式、所有者参与的过程，允许路由器向前缀所有者查询无效路由的即时授权，并通过有效性装订和概率查询控制负载。大规模模拟和原型实现表明，iROV 可将紧急路由变更的可达性从 23% 恢复到接近 90%，同时提供快速异常反馈且开销可忽略。
核心总结
本文首次对DNS自放大攻击进行了大规模测量研究。研究者设计并开发了DaLens框架，用于系统性地解析复杂的DNS基础设施以识别有效的放大器，并量化其放大能力。通过对30.7万个公共递归解析器的分析，发现了2.9万个独特的可利用于并行自放大攻击的解析器集群，其中许多即使在漏洞已公开披露后仍能产生显著的放大效果，为DNS运营商评估和防御此类威胁提供了关键依据。
核心总结
本文对现代空中交通管理核心的CPDLC系统进行了全栈安全分析。CPDLC依赖协议复杂性和模糊性作为安全屏障，未实现加密。研究展示了多个漏洞，允许通过伪地面站攻击劫持管制员-飞行员数据链，并实施大规模拒绝服务攻击以禁用范围内的所有飞机CPDLC服务。作为概念验证，作者介绍了首个基于SDR的全栈CPDLC地面站实现，并通过与航空服务提供商和制造商合作开发的真实硬件测试环境验证了攻击的可行性。
核心总结
该研究基于五年时间、上千名用户、九家VPN提供商和数百个桌面/移动应用的系统性测量，揭示VPN并不总能保护最依赖它们的用户。研究发现多重失败：kill switch在隧道故障时泄露真实IP地址，DNS查询逃逸隧道从而将浏览活动暴露给ISP或攻击者，部分VPN应用还会传输明文流量、以未加密方式下发配置文件，并外传广告ID用于跨应用追踪。报告由此追问VPN失效时的责任归属，强调需要重新审视VPN的安全承诺与问责机制。
核心总结
机器学习模型易受属性推理和模型反转攻击的隐私泄露。现有防御目标过于宽泛，无法提供细粒度的漏洞感知保护。本文首先通过NeighVE（一种对手侧工具）研究记录级漏洞估计，发现记录级隐私泄露风险在很大程度上不受模型架构和攻击策略影响，而是由数据集特性（特别是每个记录敏感属性的局部邻域分布）决定。基于此洞察，提出了VESL，一种受子空间学习启发的防御方法，能在最小化效用损失的同时缓解属性推理泄露。作为副产品，VESL也提高了敏感属性间的公平性。论文还引入了AttriVET，一个能以超过90%准确率预测脆弱记录的评估器。
核心总结
论文系统综述隐私保护 Transformer 推理协议，这些协议旨在保护敏感数据和模型参数，但使用不同密码工具和假设，在计算、通信和精度间各有取舍。作者从多种性能视角深入分析现有方法，识别其局限与研究空白。进一步评估已有系统的可复现性，并在标准化配置下重新基准测试代表性方案。结果为不同部署场景下平衡协议取舍提供原则性指南。
核心总结
采样在差分隐私中以隐私放大著称，并常被假设能通过减少噪声来提高机制的效用。本文进一步表明，这一假设是有缺陷的：当在同等隐私水平下衡量效用时，作为预处理的采样因省略记录而导致的效用损失，在所有典型DP机制上都会产生惩罚。对抑制策略的分析也得出了类似结论。研究结果对DP实践中常见的预处理假设提出了质疑。
核心总结
该论文研究 shuffle 差分隐私模型中频率估计在投毒攻击下的鲁棒性问题，其中恶意用户可偏离本地随机化器注入精心构造的域内消息。为缓解低估计误差与抗投毒之间的张力，作者提出对称二项和噪声分布 Bin(n/2,p)+Bin(n/2,1-p)，并通过预处理引导的噪声生成让用户在混洗前获得随机分配的模式标志。对于二值估计，协议每用户仅需一次 Bernoulli 试验、最多 2 条消息（平均 1.5 条），同时将单个恶意用户最坏投毒影响限制在 O(1/n)。作者将其扩展到直方图和大域哈希场景，并提供形式化隐私、精度与鲁棒性保证；实验显示在相同通信量下，小域 MAE 比最强基线最多降低近 2 倍，大域与之持平。
核心总结
现有PAC隐私算法依赖高斯互信息上界，但其仅在特定条件下才紧致。本文提出了两种基于后处理的方法来改善这一问题。更根本地，引入了基于f-散度的Residual-PAC隐私度量，用于量化对抗推理后残留的隐私。为实践此度量，提出了Stackelberg R-PAC自动私有化算法，这是一个通过凸双层优化选择最优噪声分布的博弈论框架。实验表明，SR-PAC在任意数据分布下均能获得优于PAC和差分隐私基线的隐私-效用权衡。
核心总结
该论文研究增强 shuffle 差分隐私模型中 shuffler 的信任问题，即如何防止 shuffler 与数据收集者合谋或偏离协议。作者引入新的隐私概念 FODP（Fully Oblivious DP），以抵御基于 TEE 外部/内部内存访问模式和控制流的多种侧信道攻击。方法上提出基于内存大小混淆的通用 FODP 算法框架及三种具体算法，并利用 count-min sketch 和哈希数量优化提升效率。在 Intel SGX 上的评估以及与九个基线的比较表明所提方法有效。
核心总结
该论文面向 f-差分隐私（f-DP）提出新的输出样本审计器，用于检测算法实现中的隐私违规。与多数基于批处理或面向传统 (ε,δ)-DP 的审计方法不同，该方法覆盖完整隐私权衡曲线，并提供统计显著性保证。其关键特点是无需用户预先指定样本量，而是自适应地确定达到判定所需的近最优样本数量，从而降低 DP-SGD 等昂贵训练过程的审计成本。理论分析、模拟以及白盒/黑盒和单次运行设置均支持该方法的有效性。
核心总结
度量差分隐私在细粒度或连续场景下的优化面临计算成本高和满足点式约束的挑战。本文提出一个基于插值的框架来优化ℓp-norm mDP。该方法在稀疏锚点集上优化扰动分布，并通过对数凸组合在非锚点位置插值分布。为解决高维空间中朴素插值导致的隐私违规，研究将插值过程分解为一维步骤，并推导出能强制满足ℓp-norm mDP的修正公式。在真实位置数据集上的实验表明，该方法在细粒度域提供了严格的隐私保证和有竞争力的效用。
核心总结
论文针对大语言模型（LLM）服务中隐私政策是否充分回应用户关切这一空白，开展了首个大规模、以用户为中心的隐私政策充分性审计。作者从五家主流LLM厂商的Reddit社区提取用户真实表达的隐私关切，构建半自动化流水线分析1531个帖子，提炼出4994条真实隐私关切并归纳为四大主题组、20个话题的分类体系。随后评估各家最新隐私政策，共识别出3137个政策缺口实例，并分为六类：四类政策覆盖缺口（细节模糊、AI功能未覆盖、弱势群体被忽视、司法管辖不明）和两类用户感知缺口（明确不信任、认知不足）。分析显示覆盖缺口与感知缺口几乎各占一半（50.2%对49.8%），其中AI特定功能缺口（36.6%）和用户认知不足（40.7%）合计占77.3%。研究还发现用户报告称实际系统行为与政策声明存在出入，表明需要可验证的隐私保障，并指出改进LLM隐私需同时解决政策披露不足与用户理解障碍。
核心总结
该报告探讨如何在云端模型推理场景中，在提升安全护栏（safety guardrails）效果的同时兼顾隐私保护，属于面向前沿AI的隐私保护基础设施方向的探索性工作。报告人Sai Deep Tetali是OpenAI Private Stack团队的技术成员，长期从事前沿AI的隐私保护基础设施研究，此前在Meta负责AR/VR设备的隐私与机密计算，并在Google从事Android恶意软件检测的机器学习系统研发、在Microsoft Research参与自动化软件验证。报告结合其在大规模隐私感知基础设施与机密计算方面的经验，讨论云推理中隐私增强型安全护栏的设计与实践方向。
核心总结
本文表明大语言模型可被用于大规模去匿名化：在可完全访问互联网的条件下，作者的智能体仅凭假名在线档案与对话，就能高精度重新识别Hacker News用户和Anthropic Interviewer参与者，其效率相当于人类调查员数小时的工作。针对封闭世界场景，作者设计了可扩展攻击流水线：用LLM提取身份相关特征、通过语义嵌入搜索候选匹配、再对候选进行推理验证以减少误报。与需要结构化数据的经典去匿名化工作（如Netflix Prize）不同，该方法可直接作用于任意平台上的原始用户内容。在三个具真实标注的数据集（Hacker News与LinkedIn跨平台关联、Reddit电影讨论社区用户匹配、单一用户Reddit历史时间切分）上，基于LLM的方法显著优于经典基线，在90%精度下召回率最高达55%，而最佳非LLM方法接近0%。结果表明在线去匿名化成本大幅下降，在线隐私威胁模型需相应调整。
核心总结
联邦学习中的成员推断攻击威胁严重。现有防御通常独立应用于每个客户端，对利用训练全程信息的强大攻击效果有限。本文提出了CoFedMID协同防御框架，允许客户端合作以减轻隐私泄露。该框架包含样本选择、效用感知补偿和聚合中性扰动三个模块，在显著降低多种成员推断攻击效果的同时，仅造成很小的模型效用损失。
核心总结
针对LLM驱动的代码生成中，云服务商可能观察客户端提示和生成代码所带来的知识产权和数据安全风险，本文提出了首个保护客户端提示和生成代码免受云窥探的框架NOIR。NOIR使用客户端编码器和解码器，仅向云端发送提示的嵌入向量以获得LLM的丰富嵌入，然后在本地解码生成代码。为防止云端从嵌入向量推断信息，NOIR引入了在提示和代码词汇表中实现不可区分性的机制，以及客户端独立且随机的分词器。分析和结果表明，在强大隐私保护下，NOIR在基准测试（如Evalplus、BigCodeBench）上显著优于现有基线。
核心总结
大语言模型越来越多通过加密远程API访问，已有研究表明逐token处理可能泄露信息，而现代流式输出虽将多个token合并成块，看似缓解了该风险。论文发现token聚合并未消除隐私风险，反而引入合并token长度侧信道：加密响应块大小会暴露合并token组的字符长度模式。作者提出被动窃听攻击PromptEcho，把响应重建建模为受约束序列恢复问题，先对合并token长度观测进行语义推理分解，再利用微调语言模型的语言先验做概率语义对齐以推断底层token。在多家商业LLM服务的真实API交互流量上评估，PromptEcho在OpenAI GPT-4o和DeepSeek-V3上可正确推断42.5%会话主题，并重建25.5%且余弦相似度高于0.9的响应，说明加密流量观察仍存在实际隐私风险。
核心总结
现代浏览器和移动操作系统利用沙箱和进程隔离来分离Web和应用上下文。本文揭示，Meta和Yandex曾利用Web标准（如HTTP、WebSocket）通过本地主机打破这些隔离，实现跨上下文跟踪。该技术能将匿名Web Cookie链接到持久的本地用户ID，击败了清除Cookie、无痕模式等保护措施。研究评估了浏览器的修补努力，并揭示了绕过新防御的额外侧信道。
核心总结
Android Health Connect旨在统一健康与健身数据管理，承诺本地存储、细粒度权限和透明控制，但其实际隐私风险尚不清楚。本文首次实证研究Health Connect，发现其设计存在固有缺陷，可形成隐蔽通信通道并绕过访问控制。通过动态分析，作者发现60.9%应用不符合UI数据透明指南，25.6%不报告健康记录收集或共享，19.6%将Health Connect数据（含其他应用生成记录）外传，并与姓名、邮箱、广告ID、电话等PII结合。研究违反Google政策并削弱用户控制预期，已披露给Health Connect团队并推动政策执行。
核心总结
多租户直连手机的低轨卫星网络存在将用户身份与位置关联的风险。现有隐私解决方案不适用于此类资源受限和动态的卫星环境。本文提出LPG，首个为此类网络提供用户可配置位置隐私的协议层解决方案。LPG通过身份-位置解耦实现此目标：卫星提供连接但不知用户身份，移动网络运营商管理服务但不知精确位置。它支持无需向卫星透露身份的离线安全认证和密钥协商，以及用户可配置的地理粒度位置披露。在真实在轨卫星和手机上的实现证明了其可行性。
核心总结
网站指纹（WF）攻击可通过分析加密流量模式推断Tor用户访问的网站，近年少样本WF方法减少了对大规模数据收集的依赖，但大多将WF建模为单标签分类，并依赖假设标签集互斥、嵌入空间稳定的元学习，这些假设在真实多标签页浏览中失效，因为多个网站流量会在同一窗口交织且并发标签页数量未知。本文提出MMF，一种少样本多标签页WF框架，将元学习目标从单标签分类转变为支持集引导的存在性检测。每个episode将混合多标签页查询轨迹与每个受监控网站少量单标签页支持轨迹配对，通过特征重加权生成类别特定特征，进而判断哪些网站存在。该检测中心式建模使多标签页场景下少样本任务定义明确，并能从有限轨迹中检测未见网站。在公开数据集和新采集的真实数据集上，MMF在所有设置下均优于现有多标签页WF攻击，5-shot场景下Novel Precision@k最高提升300%。
核心总结
离线查找网络（如Apple Find My）常被滥用进行跟踪。本文分析了其反跟踪措施，展示了恶意行为者如何绕过这些措施。为保护受害者，作者提出PrivacyShield，一个利用离线查找BLE信标未被认证且可被中继到任意位置特性的中继网络。通过中继信标，该网络促使第三方设备向查找网络报告错误位置，从而混淆受害者位置。研究证明了其有效性，并为网络提供商提供了改进建议。
核心总结
数字凭证系统中的撤销是核心难题，匿名凭证虽提供不可链接性等隐私增强，却使签发后失效和出示时状态验证更加复杂。现有匿名凭证撤销方案常面临客户端/验证者计算量大、撤销生效延迟长或每次撤销需更新所有用户等问题。本文提出 Private Record Certification（PRC）原语，允许用户在不泄露所请求记录的情况下获得服务器数据库记录的证书，并结合私有信息检索与安全多方计算构造。基于 PRC 设计去中心化、实时撤销系统，将计算外包给撤销机构，使客户端和验证者开销极小且通信量随凭证数亚线性。原型在超过 10 亿凭证规模下实现 PRC 请求亚秒级实时延迟，每服务器处理 100 万次请求的在线成本约 2.5 美元。
核心总结
论文提出 Remise，一个基于分布式不经意 RAM（DORAM）的两服务器授权匿名通信系统，解决匿名通信中如何同时支持授权访问与发送者/接收者关系隐藏的问题。系统支持匿名公告板（每轮公开消息但不链接发送者）和匿名通信通道（消息保持秘密共享，写者可授予/撤销读者权限）两种模式。在服务器不合谋假设下，两服务器执行读写时不获知访问索引、授权令牌或读写关系；核心贡献是轻量高效访问控制，令牌秘密共享以支持不经意验证和更新，并内建审计。实验表明，在大数据库规模下，请求有效性检查的在线服务器时间相比 PACL（IEEE S&P 2023）提升约 80 倍。
核心总结
针对 Rényi Pufferfish Privacy（RPP）在高维数据和迭代学习中的维度灾难与组合工具不足问题，论文提出 Sliced Rényi Pufferfish Privacy（SRPP）。SRPP 保留 Pufferfish 隐私语义（可定制秘密及概率感知的秘密-数据集关系），用基于投影的 Average SRPP 和 Joint SRPP 两种切片度量替代高维 Rényi 散度。作者开发切片 Wasserstein 机制，给出可靠的 SRPP 证书和闭式高斯噪声校准。面向迭代学习，提出带梯度裁剪的 SRPP-SGD 以及基于 History-Uniform Caps 和子采样感知变体的 accountant，支持分解后再组合的加性组合。实验表明该框架在静态和迭代隐私化中具有更好的隐私-效用权衡和实际可扩展性。
核心总结
这篇论文针对推荐系统中的用户隐私泄露问题，提出了一种名为Nudge的隐私保护推荐引擎。动机是解决传统推荐系统可能泄露用户偏好的风险。核心方法基于密码学隐私，采用三方计算协议进行矩阵分解，在服务器之间以秘密共享形式收集用户评分并训练模型，确保服务器无法获知个体偏好。实验在Netflix数据集上进行，结果显示Nudge能够在50分钟内以40GB通信量学习推荐模型，其推荐质量指标nDCG@20为0.29，与非隐私矩阵分解方法相当，接近非隐私神经推荐器的性能。这证明了在高效保护隐私的同时，可以实现高质量的推荐效果。
核心总结
论文指出，在加密货币和Web3中流行的按代币持有比例加权的投票系统颠覆了现有的选民隐私概念。实验表明，即使采用无记名投票，公布原始计票结果也常常会暴露选民的选择。因此，论文引入了名为B-隐私的新概念，其基础是贿赂——当前投票系统的关键问题。B-隐私量化了攻击者基于已公开的计票结果贿赂选民的经济成本。论文提出了一种通过为计票结果添加噪声来增强B-隐私的机制，并证明了其在B-隐私与透明度（即报告计票结果的准确性）之间的权衡边界。在27个DAO的2503项提案上的实验表明，该机制在最小化透明度损失的前提下，将B-隐私提高了3.5倍的几何平均值。
核心总结
该报告由 Tinfoil 联合创始人 Tanya Verma 主讲，讨论如何实现对人工智能能力的私密访问。讲者此前是 Cloudflare 工程师和研究员，设计并部署了被数十亿用户使用的隐私与安全协议，并参与了 Cloudflare Workers AI 平台。报告基于其工业经验，探讨隐私保护与 AI 访问结合的方向。由于摘要仅提供讲者简介，未给出具体方法、技术细节或实验结果。
核心总结
该论文关注智能环境中多用户间的隐私冲突，以Airbnb中配备摄像头的智能设备为例，探索隐私协商策略以支持未来设计。研究开发了24个故事板，变化设备类型、协商发起者、策略（物理调整 vs 金钱补偿）和结果（接受 vs 拒绝）四个因素，并进行了N=400的小故事调查研究。研究发现设备类型和策略显著影响评估：物理调整始终比金钱补偿更受偏好，且车道摄像头协商比室内设备（如电视视频会议设备、智能显示设备）获得更积极的评价。研究总结了支持隐私协商的设计启示。
核心总结
该论文研究了2024年7月孟加拉国学生领导的起义中，社交媒体既是动员工具也是镇压场所。研究扩展了横向监视的讨论，通过对23名抗议者、活动家和数字组织者的访谈，考察了在孟加拉国政治运动中，纪律不仅由国家执行，还通过同伴、亲属和亲密社会关系实施的横向监视。参与者描述了生活在持续恐惧中，同时发展出创造性的韧性策略，从临时加密系统和恐慌性删除到讽刺和隐藏言论等文化策略。研究为活动主义的安全与隐私文献做出贡献，强调需要在脆弱和压制环境中加强安全、匿名和集体韧性的设计。
核心总结
该论文考察了乌干达气候活动家反对东非原油管道（EACOP）开发的信息安全实践。作者在乌干达坎帕拉进行了为期五周的田野调查，包括对13名反EACOP活动家的访谈。通过归纳分析，报告了以学生抗议者为主的小团体在国家监视和镇压背景下秘密组织小规模反EACOP抗议所面临的复杂性。研究指出多层次的对手格局，参与者经历直接威胁（包括逮捕和信息泄露）以及对绑架的恐惧，塑造了他们的安全实践。这些实践根植于群体内的自主决策，参与者保护信息的需求渗透到日常生活中，导致他们有意识地调整设备管理、通信、住宿、交通和社会关系等方面以减轻监视。
核心总结
匿名消息服务需要在服务器不获知收件人身份的情况下将加密消息送达，而 Oblivious Message Retrieval 虽可用全同态加密让不可信服务器代为检索，却迫使接收者持续扫描新消息。本文提出 Oblivious Signaling，将成本从检索转移到发送：服务器为每个收件人维护固定大小的加密收件箱，发件人提交消息时对所有收件箱施加相同同态更新，目标收件箱吸收消息，其余在明文层保持不变。该更新统一、可跨收件箱并行，投递成本与匿名集大小而非全局流量成比例；接收者只需获取并解密自己的收件箱，检查新消息的开销独立于全局流量。作者对不可信服务器（即使与其他用户合谋）形式化接收者隐私，给出基于全同态加密的具体构造，并分析“数字邮资”权衡：投递昂贵但检查廉价。原型表明在接收者频繁检查、消息零星到达的场景中，这种成本模型优于扫描式检索，并能自然抑制高容量垃圾邮件。
核心总结
本文揭示了本地部署的网页/研究智能体（WRAs，基于语言模型的系统）易受被动网络观察者推理攻击的风险。WRAs每次请求访问70-140个不同的域名，其独特的时序模式造成了新的隐私风险。研究演示了一种新颖的提示和用户特征泄露攻击，仅利用网络级元数据（访问的IP地址及时序）。通过构建新数据集和定义行为指标OBELS，攻击能恢复超过73%的用户提示功能和领域知识。在多会话设置下，可高精度恢复多达32个潜在特征中的19个。论文最后讨论了缓解策略。
核心总结
为改善差分隐私图像合成的质量，本文在DP-FETA使用“中心图像”预训练的思路上进行了扩展。研究发现“中心图像”仅适用于样本相似度高的数据集。为此，本文提出了FETA-Pro，引入频率特征作为“训练捷径”，其复杂度介于空间特征和完整图像之间，允许更细粒度的DP训练课程。通过辅助生成器和流水线生成设计，解决了空间与频率特征训练差异的问题。在五个敏感图像数据集上的评估表明，在隐私预算ε=1下，FETA-Pro的平均保真度比最佳基线高25.7%，实用性高4.1%。
核心总结
模型压缩对于减少内存存储和加速推理至关重要，但其引入的隐私风险尚未被充分理解。本文通过成员推理攻击（MIA）的视角，提出了首个评估隐私风险的框架CompLeak，检查了剪枝、量化和权重聚类等三种广泛使用的压缩配置。CompLeak有三个变体：CompLeak NR分别攻击每个压缩模型；CompLeak SR在可访问原始模型和一个压缩模型时，结合两个模型的元信息揭示更多隐私；CompLeak MR在可访问多个压缩模型时，利用其泄露信息显著表征整体隐私泄露。在六个模型架构和五个基准数据集上的实验表明，CompLeak MR在所有评估指标上实现了最佳MIA性能，证明模型压缩加剧了隐私泄露。
核心总结
联邦学习易受梯度反演攻击，现有攻击在早期初始化变化下效果不佳且重建粗糙。本文发现共享梯度中的稀疏性变化是这种敏感性的主要来源，并提出一种具有粗到细设计的初始化鲁棒GIA。粗阶段对齐梯度方向并约束非零项，细阶段通过混合度量细化大小对齐。实验表明，该方法在敏感初始化下PSNR增益高达200%，并在整个联邦学习生命周期中实现细粒度恢复。
核心总结
该论文研究差分隐私（DP）图像合成中公开模型微调的计算开销与隐私噪声问题。现有方法使用 DP-SGD 对敏感图像全量微调公开模型，计算昂贵；而近期在全部注意力层上使用 LoRA 的启发式做法在 DP 设定下会导致噪声累积和训练崩溃。作者提出 DP-SAPF，利用显著性感知策略选择特定目标参数进行 LoRA 训练：将敏感图像输入公开模型，计算梯度并加噪以满足 DP，然后根据梯度幅值识别最显著参数进行微调。在四个敏感图像数据集上，DP-SAPF 相比不进行参数选择的微调方法，在更少计算资源下提升了合成图像的效用和保真度。
核心总结
该论文关注图数据学习中的差分隐私保护问题，指出由于消息聚合带来的复杂节点间依赖，现有基于 DP-SGD 的方法使用全局梯度裁剪，无法精确捕捉每个邻居的微小影响，从而高估梯度敏感度。作者提出 CTA，一种端到端训练的差分隐私图学习算法，在模型训练的前向和后向过程中均采用先裁剪后聚合的设计：前向传播先裁剪节点嵌入再聚合；后向传播则分别裁剪和约束两个梯度分量后再聚合，以捕捉图聚合引起的细粒度梯度变化并获得更紧的敏感度界。在真实数据集上的大量实验表明，CTA 在多种设置下持续优于现有隐私图学习方法。
核心总结
本文探索了社交媒体频道被“重新利用”以改变其身份和内容的问题。研究首先描绘了一个“二手”社交媒体账户市场，并在6个月内记录了超过100万美元的交易。对购买的YouTube频道的观察发现，其中相当一部分被用于传播政策敏感内容，且这些频道似乎并未失去订阅者。通过大规模采样，研究估计了野外的重新利用现象，并发现这些频道拥有大量订阅者，对财务和意识形态动机的对手具有吸引力。
核心总结
虚拟现实应用会传输高速头部和手部运动以支持实时多用户交互，这些运动遥测数据具有隐私敏感性，可用于用户识别和虚拟打字推断等行为推断。本文表明，即使攻击者没有应用访问权限、设备被攻陷或消息格式知识，仅被动观察网络流量也能重建VR运动。作者对75个流行VR应用进行生态测量，发现多人上行流量以持续高频UDP为主，负载加密并不常见；尽管应用层序列化和编码未知，运动更新仍保留平滑时间结构，在明文UDP负载字节中可见。基于此，作者提出PACMO，一种被动且编码无关的攻击，利用受控输入模式自动定位运动相关包字段并以黑盒方式重建头部和手部轨迹。重建运动支持高影响下游攻击，用户识别准确率高达96.2%，虚拟打字推断准确率达69.4%，揭示了沉浸式系统中系统性的网络层隐私风险。
核心总结
边缘-云视频理解系统利用云端视频基础模型进行推理以服务下游任务，但将包含人脸等敏感信息的视频从边缘设备暴露给云会带来显著隐私风险。现有方法通常扰动敏感信息，但这会降低视频理解任务准确率，尤其当敏感信息与任务相关时；基于加密的私有推理虽提供强隐私保证却给资源受限边缘设备带来沉重计算负担。本文观察到许多视频帧虽含敏感信息，但只有少数帧含对理解任务真正必要的敏感信息，因此无需对所有帧统一加密。作者提出MEPS，一种隐私保护视频理解系统，在敏感信息对下游任务关键时选择性加密帧，对大多数非关键帧采用轻量扰动，并引入基于信息论的“隐私可保护性”指标评估敏感信息与任务所需信息之间的重叠程度。理论分析证明MEPS具有严格隐私保证，在三个公开真实视频轨迹数据集上的实验表明其能保持隐私保护和任务准确率，同时显著提升系统效率，实现48.8倍加速。
核心总结
论文关注整数溢出检查因高开销而在生产中默认关闭、导致严重漏洞长期未修复的问题，系统分析了LLVM（UBSan、Rust）以及x86-64、ARM64、RISC-V等处理器中检查开销的来源。作者提出用元数据而非intrinsics和分支来表达LLVM IR中的溢出语义，从而避免干扰中端优化；同时设计简单ISA扩展，使带溢出检查的算术运算只需一条μop，而不是当前设计中所需的双倍μop。通过真实硬件的编译器模拟和gem5仿真评估，表明该方法能显著降低溢出检查成本，为未来硬件默认开启整数溢出缓解提供了可行路径。
核心总结
论文针对云平台系统审计中日志收集模块位于易被攻陷的客户机内核、易受竞态攻击且难以保证日志完整性的问题，提出HyperAudit。它采用虚拟机监控器辅助的审计架构，将独立于内核的收集器注入隐藏内存区域，用仅执行权限保护代码，并用保护页陷阱保护日志缓冲区，从而最小化攻击面。日志由专用Secure VM中的消费者异步拉取，避免周期性同步提交的开销。在x86和Arm上无需额外硬件实现，实验表明HyperAudit相比eAudit和HitchHiker分别降低日志密集型应用开销49%和66%，甚至优于仅主机收集方案，并能在内核被攻陷后保证所有妥协前日志免受竞态和洪泛攻击。
核心总结
论文研究SOHO（小型办公/家庭办公）设备因固件中过时Linux内核而长期遭受攻击的问题，指出以往仅靠版本号映射漏洞可能高估或误判实际风险，且不清楚定制内核中真实漏洞情况及更新障碍。作者对306款SOHO设备、900多个固件的GPL源码发布版进行高精度模板化CVE检测，并首次大规模追溯供应链，发现“内核锁定”是关键安全问题：厂商因依赖SoC SDK而被锁定在特定旧内核版本，形成沿供应链从SoC厂商、ODM/OEM、路由器/摄像头厂商到最终用户的“漏洞债务”。数据集内五家SoC厂商使用的SDK内核均在其设备使用前已EOL超过一年。作者还分析社交媒体、法规和社区治理的缓解潜力，发现合规监管不足，只有与社区合作推动内核升级的SoC厂商提供了可行缓解路径。
核心总结
多语言物联网设备通常有大量隐藏接口，其参数结构复杂，对其进行有效的模糊测试以发现漏洞是一个挑战。本文提出PANGOLIN，一个利用大语言模型驱动的模糊测试方案。它通过LLM分析API调度机制、执行跨语言分析生成参数规范，并利用响应驱动反馈进行修正。该方法发现了68个未知漏洞，显著优于现有工具。
核心总结
持续模糊测试发现了大量缺陷，但现有根因分析方法无法直观反映包括调用上下文和数据依赖在内的集成触发过程。本文提出上下文因果链这一新颖根因表示方法，并设计了自动构建它的系统KernelRCA。该系统成功诊断了Linux内核中54种真实内存损坏问题，其报告显著促进了人类分析师对缺陷的理解和修复。
核心总结
论文针对现代内核加固使控制流劫持攻击变难、攻击者转向数据-only攻击的趋势，研究如何将有限的内存破坏原语放大为任意写等强能力。作者指出现有工作只在特定条件下发现少量可被利用的非控制数据对象，缺乏大规模自动发现与刻画方法。为此提出CopyKat，一个全自动流水线，用于识别和刻画“可控复制对象”（CCO）：堆分配的内核结构，其字段被破坏后可重定向涉及攻击者控制数据的存储或内存传输操作。该方法采用渐进过滤：先通过模糊测试中的轻量级污点分析发现候选CCO，再用精确污点引擎确认，最后用concolic执行引擎实际破坏对象以验证可控性并收集利用所需路径和值约束。作者验证了122个CCO，并构建了8个不同利用模式的端到端exploit，证明了刻画正确性与对象利用灵活性。
核心总结
TOCTOU漏洞是内核代码中已知的安全问题，内核竞态是最常见的根本原因，但由于内核并发逻辑的复杂性，缺乏系统化的检测方法。本文设计了KERAT，首个系统化的静态方法来检测由内核竞态引起的TOCTOU漏洞。它通过静态挖掘和检查共享变量的原子性规则来进行检测。在Linux和FreeBSD上评估发现了351个真实缺陷，其中65个已得到开发者确认。
核心总结
该论文关注内存错误利用缓解措施的脆弱性，指出防御常在假设变化时失效，而现有安全保证评估多依赖针对特定威胁模型的临时推理。作者提出一种基于图的框架，建模内存破坏利用的进展过程以及防御介入和可能失败的位置、方式与假设。通过重新审视知名防御的缺陷，证明该模型能预测其不足。最后发布开源工具，支持系统化、半自动化的脆弱性测试。
核心总结
论文研究 Linux 内核 slab 分配器加固措施是否在所有分配路径上一致生效，发现 KFENCE 分配路径被所有先进 slab 防御排除在外。作者提出 Fence2Pwn 利用技术，通过时序侧信道检测内核回退到 KFENCE 分配，并利用其绕过堆隔离和内存标记。实验评估了时序侧信道、KFENCE 对象槽动态及不同环境噪声，并利用一个现有 UAF 内存重用漏洞覆盖不同类型和大小的安全相关对象。该工作表明默认启用的 KFENCE 可能无意中引入新的内核利用面。
核心总结
文件系统复杂且是操作系统漏洞的主要来源，现有内核沙箱技术常忽略定义一个具有强威胁模型的安全边界。本文提出kSFS，一个用于内核沙箱文件系统的框架。它将原本为用户空间设计的FUSE协议重新用作不受信任的内核文件系统的安全接口，并将WebAssembly泛化到内核空间作为通用沙箱机制。kSFS在保持更好安全性和可靠性的同时，性能显著优于用户空间对应物。
核心总结
针对单体内核易受攻击且现有内核监控方案专用或侵入性强的问题，论文提出可配置内核监控设计 CoKeMon。作者识别出选择性权限、非特权管理、静态隔离边界、架构支持的原子切换和设备支持五项关键需求，核心思路是将隔离执行与监控管理解耦。在 Arm 平台仅修改约 300 行固件和 500 行 Linux 内核代码，实现了三种监控用例。性能开销为 0% 到 13%，展示了灵活部署多种监控器的可行性。
核心总结
本文提出DMGuard，首个能全面缓解跨异构地址翻译域（CPU、GPU、IOMMU）的物理页释放后使用漏洞的运行时防护方案。传统漏洞是虚拟地址层面的，而本文定义的物理页释放后使用是指虚拟地址仍映射到已释放或重分配的物理页，使攻击者可访问任意物理内存。DMGuard通过轻量级无锁机制管理物理页状态机，确保页表中不存在悬挂映射。在Android设备上的评估表明，它能有效阻止所有已知漏洞，且性能开销可忽略不计。
核心总结
Java程序中未释放GC不受管资源（如文件描述符、套接字、数据库连接）的资源泄漏是资源耗尽型DoS的普遍根源，但异常引发的非局部控制转移会绕过资源释放，且需上下文敏感推理判断哪些异常与泄漏相关，而穷举路径枚举又会导致路径爆炸。本文提出资源泄漏检测器LeakHunter：先用LLM推断上下文中与泄漏相关的异常并进行静态验证，再提出“面向泄漏的最小路径覆盖（LMPC）”技术。其核心洞察是无需枚举所有路径——泄漏检测是存在性的，一条易泄漏路径即可证明资源管理对象易泄漏，且可用最小路径覆盖覆盖资源相关代码区域，从而从多个MPC中挑选获取多、释放少的见证路径作为LMPC。在两个公开基准上，LeakHunter取得最佳检测性能，路径分析速度比最新方法快11.4倍；在真实世界研究中发现67个具有潜在DoS影响的真实泄漏，其中15个获开发者确认。
核心总结
本文对带反向引用的正则表达式（REwB）中的拒绝服务漏洞进行了系统性理论研究。作者提出两阶段内存自动机（2PMFA）模型，精确刻画REwB语义，并据此推导出即使在汇点歧义为线性（现有检测器判定无漏洞）的情形下，反向引用仍会引发超线性回溯运行时间的必要条件。基于这些条件，作者识别出三种漏洞模式并在实践中验证：使用Snort入侵检测规则集，发现48个此前未知的REwB漏洞，运行时间呈二次或更差。研究还展示了对Snort的实际利用，包括将规则评估拖慢0.6至1.2秒、以及触发PCRE匹配上限绕过告警。
核心总结
基于溯源的入侵检测系统是防御高级持续性威胁的重要防线，但实际部署受警报泛滥困扰；现有系统输出大量低信息、不可操作的警报，难以隔离检测器告警的真正原因，也不能为安全运营中心提供阻断策略。论文提出ProvX框架，目标不是单纯提高检测性能，而是把原始警报转化为可供立即审查的核心边列表。它引入反事实解释逻辑，在警报中寻找决定恶意预测的最小结构子集，即核心攻击边，这些边被扰动后可翻转模型原始预测，并通过分阶段固化策略提升分析精度和稳定性。在DARPA数据集上的实验表明，ProvX能定位与真实攻击高度相关的关键行为，识别的核心边在模型级模拟干预下可翻转许多检测器警报；论文还初步验证了利用告警反馈增强模型优化的框架。
核心总结
安卓上的Tap-to-X（如tap-to-pay）把NFC标签触碰视为用户在场和意图的证明，但系统在标签发现后的分发过程安全性研究不足。本文分析Android的post-tap标签分发，发现两个OS级设计弱点造成语义来源缺口，使本地恶意应用无需任何NFC交互即可伪造物理触碰。作者实现标签分发伪造攻击TDFA，并在Alipay、Huawei AI Life、Samsung Galaxy Wearable等真实应用中验证。对76,333个Google Play应用进行大规模分析，识别601个可能受影响应用，并在498个可测试应用中成功伪造投递；作者提出OS级修复建议，获Google等多个CVE与致谢。
核心总结
移动操作系统依赖包元数据管理应用生命周期和权限，但通常只对代码签名和沙箱严格校验，隐含信任元数据为良性配置。本文提出PHANTOM攻击，利用畸形安装元数据，在不执行任何代码的情况下破坏移动系统可用性。它使用长字符串注入、重复标签构造、签名链膨胀和间接资源引用四种原语，触发资源耗尽、IPC缓冲区溢出和未处理异常，且效果可在启动重新解析元数据时复现。作者在Android和iOS上测试979个配置字段，发现65个可利用攻击向量，可导致服务中断到需恢复出厂或DFU刷机的持久启动循环，并获得5个CVE。
核心总结
苹果的严格代码签名和应用分发控制催生了通过Ad Hoc预置机制进行未授权应用安装的灰色市场。本文首次系统研究了该市场，重点分析了其在中国的一体化服务运作。研究发现了多层证书流通模型和常见的签名工具技巧，并揭示大部分分发的应用是合法应用的修改版，利用动态库注入实现定制功能，这削弱了应用和系统的安全保护。
核心总结
Android设计层漏洞长期受到关注，但学术上缺乏系统化整理；新兴移动OS（如OpenHarmony）虽不一定复用Android代码，却可能继承其设计缺陷。本文综述116篇工业界和学术界Android文献，提取56个独特设计层漏洞，并为每个漏洞总结可复用的审计方法。作者将这些方法应用于OpenHarmony，发现其受其中24个漏洞影响，包括隐私泄露、隐蔽提权和系统可靠性破坏。研究说明Android设计级漏洞会在新兴移动OS中重演，需在系统设计阶段预防。
核心总结
现代GPU应用因依赖C/C++等不安全语言而易受内存损坏错误影响，但现有方案或依赖非商用硬件，或性能开销过高。本文提出了CuSafe，一种可在商用NVIDIA GPU上部署的新型GPU sanitizer。它采用混合元数据方案并引入栈时代跟踪等机制，能够同时高效检测空间和时间内存错误。在包含大语言模型在内的程序测试中，CuSafe仅带来约13%的平均性能下降。
核心总结
PHP近期启动了堆内存加固计划，旨在阻止流行堆利用技术或限制利用空间，但其实际效果尚缺乏系统研究。本文首次评估这些防护措施，发现它们虽能防御当前一代利用，但面对自适应攻击者仍可被绕过。作者不仅定位了导致特定缓解被绕过的缺陷，还提出了一套针对越界写和释放后写原语的新型利用策略，该策略对PHP内建对象具有通用性，甚至只需单字节越界写即可工作。在开启全部防护的环境中针对5个真实漏洞的测试表明，新防护能防住多数漏洞，但本文策略可使它们重新可利用；相关缺陷已在负责任披露后修复。
核心总结
不安全的Rust代码对于与C/C++库互操作是必要的，但可能导致内存安全违规。清理器可以捕获此类错误，但会引入不必要的检查。本文提出SafeFFI，一种优化Rust二进制文件内存安全检测的系统。它将检查集中在安全与不安全代码的边界，将内存安全执行从清理器交给Rust类型系统。SafeFFI显著减少了检查数量，同时仍能检测到所有已知漏洞。
核心总结
该论文提出了首个针对底层控制器的、使用物理触发器的后门攻击BADCONTROL。攻击通过污染操作数据植入漏洞，该漏洞可由环境中的外部信号（如自动驾驶中的特定驾驶动作）激活。BADCONTROL通过投影梯度上升解决约束优化问题来修改数据，最大化受控系统在目标频率的响应。研究同时提出了两种防御方法。在自适应巡航控制和车道保持控制场景的实验中，该后门能以极高的成功率（如100%碰撞率）导致车辆失控，其隐蔽性远高于现有的自动驾驶车辆误报框架。
核心总结
实时嵌入式系统广泛用于无人机和自动驾驶等信息物理系统，易受控制流劫持与数据攻击，但传统 CFI/DFI 开销过大，而控制流认证（CFA）检测延迟难满足实时约束。论文提出 ARTO，首个将控制流认证与数据流保护结合的执行完整性证明方案，力求在实时限制内提供强安全。ARTO 通过证明者侧路径分段和基于哈希的验证结果缓存，以极低运行时成本提供部分上下文敏感保护，并把完整上下文敏感检测外包给远端验证者。它还实现基于等价类的数据流保护，将内存读的地址目标检查与关键变量值检查结合，强于现有操作完整性执行。在机器人车辆自动驾驶上的评估表明，ARTO 能缓解控制流和数据攻击且运行时开销满足实时限制，并优于现有 CFA 和操作完整性执行方法。
核心总结
本文针对工业机械臂的运动安全，提出了“轨迹完整性”这一新安全属性，确保机械臂的运动符合预期路径。为实现此属性，设计了TAT，一个最小侵入式的远程证明框架。TAT利用时间运动事件图捕获运动语义，并结合事件和关节测量来验证实际运动。在开源机械臂平台上的原型评估表明，TAT的内存开销最高2.30%，执行时间开销仅0.14%，在不同运动参数修改下的证明有效性得到了验证。
核心总结
有意电磁干扰攻击因其能破坏或控制广泛的安全关键应用，对信息物理系统日益普遍且具有破坏性。现有研究往往针对特定设备，缺乏统一的模型化理解。本文分析了80多个IEMI攻击与防御实例，提供了一个建模对手如何实现IEMI耦合和样本操纵的分析框架，旨在推动该领域从经验性发现转向理论分析和主动防御策略，并开源了研究数据库。
核心总结
在基于云的端点审计中，云可能不可信或被攻击者破坏，从而操纵因果分析结果。为应对此风险，本文提出VCAUSE，一个高效可验证的因果分析系统。它集成了图累加器和可验证溯源图两种认证数据结构，支持对溯源图节点的查询及其因果关联组件的识别进行验证。形式化分析和实验评估表明，VCAUSE能在端点和云上以极低的计算开销实现安全可验证的因果分析。
核心总结
近年针对开源软件的安全事件显著增加，但现有防御主要分析源代码，忽略定义软件构建、安装和执行方式的配置文件。论文深入研究 Python 配置文件安全风险，覆盖五种常用格式和项目生命周期，聚焦利用配置将依赖解析静默重定向至攻击者基础设施或劫持良性命令的攻击。作者设计自动化框架，识别出 39 个在现实使用场景下可被利用的配置字段，并发现现有多数恶意软件检测工具无法检测这些风险。为缓解风险，开发 ConfigScoper，检查安全相关字段并结合多种漏洞检测器识别潜在恶意行为。对 GitHub 上数百万开源 Python 项目的测量显示可被利用风险已存在于真实项目，并已向相关方负责任披露。
核心总结
虚拟化安全 VBS 是现代 Windows 桌面防御的基石，其虚拟化安全内核可对特权攻击者提供强安全保证，但本文提出一种仅依赖软件的“Download More RAM”内存别名攻击，无需物理接触即可破坏这些保证。在运行常见消费级 DIMM 的系统上，该攻击可实现任意内存读写，使特权用户攻破操作系统各级，包括安全内核、HVCI 及其提供的所有防御。作者进一步针对 VBS 保护进程、Windows Defender、杀毒与 EDR 软件以及游戏反作弊开展案例攻击。微软已为该发现分配 CVE-2026-23670 并发布部分缓解补丁，该工作质疑了此类系统的关键信任假设。
核心总结
进程内系统调用拦截器可在无上下文切换和 IPC 开销的情况下扩展或监控应用功能，但当嵌入不可信应用时，现有方案要么不提供隔离，要么对监控器的隔离编程环境施加严重限制，难以支持复杂真实用例。本文提出 Secpoline 拦截平台，通过隔离多程序加载和新颖的元监控器设计，让进程内监控器在不牺牲隔离的前提下支持任意拦截器功能，并实现首个完全自包含的进程内沙箱以强化隔离原语。评估表明，Secpoline 在保持最先进安全进程内拦截器效率的同时，提供了更具表达力的编程环境；作者实现了无需内核模块的 Falco 入侵检测引擎，并将 ProxySQL sidecar 嵌入应用进程，使其吞吐提升约 50%。
核心总结
能力操作系统已存在六十年，但学界缺乏系统比较其设计方面的方法，甚至对其能力机制的目的缺乏共识。本文给出了能力操作系统的定义和一组特征，用于描述和区分不同系统。作者将这些特征应用于经典能力系统，提出了过去六十年间出现的基本设计方法分类体系。基于此，论文讨论了该领域的未来研究方向和构建纯对象能力系统所面临的开放挑战。
核心总结
基于 microVM 的容器在公有云中日益部署，以结合容器效率与强隔离，但本文发现该架构引入了一类新的资源计费漏洞，导致客户实际消耗的物理资源与宿主机记账不一致。作者提出资源记账分析框架，检查内存和存储子系统中的记账不一致，识别出三种易利用的攻击向量：通过共享文件映射逃避可写内存记账、通过私有文件映射逃避只读内存记账、以及通过未监控文件路径实现无界磁盘消耗。作者将其组合为 FREE 攻击，可自由膨胀内存和存储使用并逃避资源计费；在 AWS、Azure、阿里云上的评估表明，攻击者账单可降至原价的 42.12%（Kata）和 41.93%（Firecracker），同时可使同宿租户内存带宽下降 57.1%、I/O 吞吐损失 67.06%。
核心总结
行级安全和文档级安全等细粒度访问控制广泛部署于数据库，用于限制多用户共享物理索引结构中的数据访问，其实现常采用后过滤：不可信查询先运行于全部数据，随后再删去私有结果。已有工作表明该方式存在旁路，可测试某选定值是否存在于未见数据中，但难以高效恢复完整记录或文本文档等高熵数据。本文利用范围、前缀和合取谓词等富查询接口，将存在性泄露放大为重建攻击：在 PostgreSQL 中利用 RLS 计时旁路和 SQL 查询枚举未知属性值乃至完整记录；在 Elasticsearch/OpenSearch 中利用 DLS 评分和前缀扩展旁路恢复索引词项，甚至通过 n-gram 近似恢复文本。结果表明，细粒度访问控制旁路必须在富谓词场景下评估，成员测试可被扩展为高熵记录的大规模重建。
核心总结
嵌入式设备面临不断扩大的威胁，应用软件、操作系统内核和外设漏洞都可能破坏设备完整性，而现有计算机体系结构防御最多只考虑其中两个威胁向量。本文提出一种新颖的能力架构，结合适用于构建不可信操作系统的令牌能力方法与无需修改外设即可防护恶意设备的设计。作者围绕传统硬件组件在 FPGA 上实现并评估了该能力架构，并基于 Zephyr 提出了无运行期软件 TCB 的软实时操作系统。该系统将 Zephyr 子系统分解为小型且互相隔离的组件，所有运行期子系统（包括调度器、分配器和 DMA 驱动）以及所有外设都完全不可信，为未来安全关键嵌入式设备更严格的 security-by-design 提供了基础。
核心总结
该论文针对现代软件系统中复杂行为容易出错的问题，提出了一种新的缺陷预言：不一致的防御性处理，用于LLM驱动的缺陷审计。作者观察到真实系统中包含大量防御性代码，开发者在安全敏感上下文中主动应用防御性处理以防止缺陷，而这些处理的不一致可能指示缺陷。为此设计了BugAuditor框架，首先定位代码库中的防御性代码片段，然后推理代码以推断其安全意图和底层防御模式，最后应用推断的模式审计代码库并报告同一安全敏感行为在不同上下文中的不一致防御处理。在Linux内核上的评估表明，BugAuditor有效挖掘出被现有方法遗漏的项目特定知识，检测到54个长期潜伏的缺陷，包括资源泄漏、信息泄漏和无效指针解引用；截至目前，20个缺陷已在最新版本中确认并修复，两个获得CVE编号。
核心总结
该论文指出自适应策略选择是提高模糊测试有效性的有前途方向，但现有基于学习的方法在实践中往往无法超越随机选择，其根本原因是架构不匹配而非算法限制。作者通过实证研究发现策略有效性在分钟级时间尺度上变化，而现有循环架构需要数十分钟的学习周期，这种数量级差距阻碍了及时适应。为此提出TrioFuzz，一种新的模糊测试引擎，通过三层线程架构将学习与执行解耦：集中学习线程聚合来自并行执行线程的反馈，将适应周期压缩到一分钟以内。TrioFuzz集成了与先前工作相同的学习算法，隔离了架构贡献与算法因素。消融研究表明，学习算法在所提架构下表现显著优于其原始循环内实现；值得注意的是，原生MOpt表现不佳，但在TrioFuzz架构下成为最佳表现者。在FuzzBench和OSS-Fuzz上的评估表明，TrioFuzz在9个FuzzBench目标中的7个和10个OSS-Fuzz项目中的8个上实现了最高覆盖率，在Magma上比AFL++多触发17%的漏洞，并在6个真实项目中发现了19个新CVE。
核心总结
对整体式固件进行模糊测试是一个活跃的研究领域，但评估改进时常用的指标存在问题，导致需要基于缺陷的可靠基准。本文设计并构建了FirmReBugger，一个用于公平评估固件模糊测试器的基准框架。它提出使用缺陷预言作为基准，并创建了FirmBench，一组包含313个软件缺陷预言的多样化真实世界二进制目标。利用该框架评估了9个最先进的模糊测试器。
核心总结
该论文关注覆盖率引导的灰盒模糊测试（CGF）中，现有技术依赖通用变异器，缺乏精确操作相关输入字节以满足复杂约束的能力。作者分析发现LLM可以通过生成定制变异器更准确地解决分支约束，这些变异器使模糊测试器能够对到达目标分支的输入进行局部且可重用的修改，产生精确变异以满足目标约束。为此提出Bulbasaur，一个分支引导的在线LLM驱动变异器生成框架。Bulbasaur采用硬边界引导的分支选择来识别关键分支，持续收集和组织相关静态和动态上下文以支持高质量变异器生成，并采用高效自适应策略在模糊测试期间应用生成的变异器。在FuzzBench和UniFuzz基准上的评估表明，Bulbasaur相比最先进的模糊测试器，行覆盖率和分支覆盖率分别提高了23.18%和24.46%，发现了所有基线遗漏的21个漏洞，并在OSS-Fuzz上识别出15个先前未知的漏洞，全部获得CVE编号。
核心总结
该论文关注Windows远程服务作为关键攻击面，在共享服务主机模型（svchost.exe）下，单个资源耗尽漏洞可引发同驻服务的命运共享故障。然而大多数漏洞发现仍以崩溃为中心，对不会立即引发异常的静默、长时程资源泄漏（如内存/句柄耗尽）视而不见，且闭源Windows生态系统限制了源码级消毒器的适用性。作者提出REDOSPECTOR，一个用于在 opaque Windows二进制中发现面向资源的拒绝服务（DoS）漏洞的模糊测试框架。REDOSPECTOR结合了（1）通过拦截原生ntdll堆例程的轻量级进程内钩子遥测，（2）基于放大的预言，通过重复执行和增长趋势分析识别持久泄漏，以及（3）混合种子生成管道，利用静态二进制分析和LLM到达深层协议状态。在Windows 11（24H2）和Windows Server Preview的最新版本上评估，REDOSPECTOR在核心服务（包括MSMQ、远程桌面网关和CDP）中发现了19个漏洞，导致12个分配的CVE。微软确认了CDP中的七个预认证DoS问题并进行了架构调整，表明REDOSPECTOR能暴露逃避常规模糊测试的资源管理缺陷。
核心总结
现代C/C++缺陷检测依赖模糊测试和软件清理器，但主流清理器互操作性有限，导致需要多次运行测试。本文提出CombiSan，一个为模糊测试优化的清理器，可同时检测地址、未初始化内存和其他未定义行为问题。它采用统一的影子内存设计，并延迟分析所有聚合问题。评估显示，CombiSan在检测到新缺陷的同时，模糊测试速度比顺序测试快1.7倍。
核心总结
微信等超级应用内嵌的小程序因灵活便捷而迅速流行，并通过底层 API 提供丰富功能，但这种紧密集成带来严重安全风险：小程序常继承宿主超级应用从移动操作系统获得的权限，可能绕过关键安全检查，因此亟需针对小程序的更细粒度访问控制。本文提出 PERMSCOPE，一个系统化框架，用于检测和分析小程序 API 中缺失的作用域检查，揭示 Android 权限被隐式继承并在小程序 API 中被行使（即缺少“请求并检查”原语）的情形。作者对四款主流超级应用的实证分析发现，有 183 个（8.85%）API 未在小程序 API 层得到恰当保护。文章讨论了该问题背后的挑战，并呼吁超级应用开发者在小程序 API 边界实施细粒度访问控制，以增强移动超级应用生态的可信度。
核心总结
桌面软件更新是修补漏洞的主要机制，但更新过程本身引入了新的攻击面。本文提出UpdSight，一个通过模拟中间人攻击来测试更新安全性的黑盒框架。它对85个广泛使用的桌面应用进行了评估，发现了22个可利用的漏洞，包括降级、清单操纵等，其中16个已得到供应商确认。研究揭示了诸如未签名清单和弱回滚检查等反复出现的设计缺陷。
核心总结
时序信道允许攻击者通过分析程序执行时间来提取秘密。常数时间准则通过数据/控制流线性化来防御，但重写后的代码内存开销通常很大。本文提出VeCT，一个基于编译器的代码重写器，利用向量扩展在保持常数时间保证的同时提高性能。通过对AVX-512指令的安全使用规则分析，VeCT消除了不必要的数据加载并启用向量化。在AES等应用上，VeCT将重写代码的开销降低了高达98.9%。
核心总结
本文针对多标签动态污点分析性能低下的问题，提出了通过软硬件协同设计的框架MULCOTAINT。该框架通过协处理器架构将污点分析与正常执行解耦，并解决了将污点计算设计为向量化计算、用页表管理污点标签等多项挑战。使用32个程序进行的评估表明，MULCOTAINT具有高性能和可接受的内存使用，并能进行详细的漏洞分析。其性能显著优于TaintRabbit、PANDA等软件方案和HardTaint、RAFT等硬件方案。
核心总结
Rust 凭借编译期内存安全保障成为主流系统编程语言，但这些保证并不覆盖 unsafe Rust，开发者可能绕过编译器检查而引入内存安全漏洞；现有静态分析器较为碎片化，往往只针对特定编码模式或 bug 类别，未对不安全性的根因进行建模。本文提出 CULPA，一个通用的 Rust 内存安全 bug 检测器，其核心思想是检测这类 bug 的根因——unsafe 上下文中安全需求的违反：它先将标准库文档中的安全需求转化为机器可执行谓词，再构造符合安全要求的内存段，最后收集所有安全相关保护措施构建 Requirement Graph，通过图遍历判断 unsafe 块内的违反是否可被触发。CULPA 覆盖了此前四个静态分析器处理的所有 bug 类别，并能发现其范围之外的漏洞；在排名前 1000 的 Rust 包上评估，共发现 55 个此前未知的（零日）内存安全 bug，其中 29 个已被开发者确认，并获得 5 个 RustSec ID 和 1 个 CVE ID，多数漏洞被四个最先进的 Rust 静态分析器和一个基于 LLM 的工具漏掉。
核心总结
符号链接是操作系统层面支持四十余年的文件系统特性，已深度集成于整个软件栈，但其高度灵活性允许引用文件系统中几乎任意位置并支持复杂解析行为，导致开发者普遍误解，进而造成广泛误用，成为文件处理软件中任意文件写入和代码执行等严重漏洞的主要来源。本文首次系统研究符号链接被错误处理的方式及其重大安全风险，重点分析编程语言标准库如何不当使用符号链接相关系统调用，以及这种误用和误解如何传播到下游应用，导致各种不当的路径校验。为进一步验证这些不当路径校验能否在真实世界被利用，作者设计并实现了五种路径校验绕过方案和三种任意写方法。在 85 个项目上的评估共发现 16 个任意文件写入漏洞，其中两个被分配高危 CVE；文章还展示了这些漏洞在真实场景中的严重影响并提出多种缓解策略，相关问题已负责任地披露给受影响厂商。
核心总结
该论文提出PDM方案，使云租户能够独立检测和缓解微架构攻击，而无需云服务商的帮助。PDM基于一个有趣的观察：使用流行的FLUSH+RELOAD攻击技术探测受害应用内存空间实际上可以用于检测。该方案通过选择性触发混淆和内存加密技术实现高效的租户级缓解，并解决了不涉及驱逐的攻击（如Spectre）、无需源码或二进制插桩、良性噪声干扰以及准确性、延迟和开销权衡等关键挑战。实验表明，PDM能以高精度（如AWS Fargate上≥98.63% TPR）及时（7ms提前量）、高效（≤2.47%开销）且鲁棒地检测和缓解多种微架构攻击。
核心总结
本文推翻了长期以来认为Intel SGX禁用性能监控计数器以缓解侧信道攻击的观点。研究者发现现代处理器的非核心PMC在生产模式SGX飞地中仍能记录与执行相关的事件。通过逆向工程，他们揭示了mesh-to-memory子系统中一个关键事件的过滤机制和可编程性，构建了首个基于PMC、无需AEX、高分辨率且低噪声的SGX侧信道攻击UncoreBleed。该攻击在现有最强软件防御TLBlur下仍能成功重建图像和提取RSA私钥，表明活跃的非核心PMC对飞地机密性构成严重威胁。
核心总结
Arm TrustZone-M（TZ-M）通过将执行划分为安全和非安全状态为小型嵌入式系统提供硬件隔离，但任一状态中的内存漏洞仍可被利用进行控制流劫持。现有嵌入式CFI研究存在局限：许多忽略安全状态、未能保护TZ-M状态转换期间的控制流事件，或带来过高性能开销。本文提出XCFI，一种面向TZ-M的全面CFI机制，采用32位控制流标识符（CID）在安全和非安全状态统一实施细粒度CFI，覆盖间接分支、返回、异常等所有控制流事件，并首次将CFI执行扩展到TZ-M跨状态控制流事件。XCFI为所有TZ-M执行上下文提供全面控制流保护，仅带来适度运行时开销。
核心总结
该论文研究 IoT 设备通过空中下载（OTA）进行固件更新的安全实践，指出厂商常降低更新频率并在设备达到生命周期终点前停止支持，但此前工作未解释厂商为何难以维持长期更新。作者访谈了 30 家 IoT 厂商并调查了 100 多名从业者，从厂商视角审视 OTA 实践。研究发现，OTA 失败源于多层级供应链中责任碎片化、独立于安全需求决定支持时长的经济约束，以及组件生命周期与部署周期之间的结构性错配。这些组织与经济因素造成系统性的安全维护障碍，单靠技术方案难以解决，作者据此提出可持续更新实践的政策干预建议。
核心总结
安全团队依赖自动化来应对漏洞披露和补丁部署，但真实修复流程受维护窗口、分阶段发布、爆炸半径限制、审批门禁和最小权限等变更管理策略约束。现有脚本化剧本安全但僵化，LLM驱动的智能体灵活却常违反策略，导致中断和合规风险。本文提出PatchWeaver，结合持续刷新的Kubernetes资产依赖图、将组织变更规则编码为可执行谓词的ChangeSpec类型化策略接口，以及基于发布的决策层，在执行前预测候选修复计划的进展和违规风险。其核心洞察是短视执行会陷入约束陷阱，因此通过短视界模拟检测陷阱并在现实偏离预测时重新规划。在四个Kubernetes修复工作负载上，相比强工具链基线，PatchWeaver将步骤级违规降低52.5%，事件级违规降低52.2%；相比LLM智能体基线，步骤违规降低79.1%，最坏情况事件违规降低3.1倍；在10类攻击压力测试中总漏报率为0.33%，平均驻留时间0.84秒。
核心总结
并发对现代软件系统的性能和可扩展性不可或缺，但并发缺陷难以检测和复现；针对操作系统内核的受控并发测试通常依赖自定义虚拟机或侵入式内核补丁等外部强制机制，开销大且可维护性和可扩展性差。本文提出SECT，首个内核原生并发模糊测试框架，将调度视为一等探索机制。SECT引入具有时间隔离调度的受控并发测试调度器，通过eBPF将可编程调度策略直接嵌入内核调度路径，无需定制虚拟机或大幅修改内核核心，并提供抢占安全的插桩机制在关键内核事件注入调度点，采用两阶段模糊测试工作流联合探索顺序和并发行为。评估显示SECT相比最先进的内核并发模糊测试器多覆盖38%的分支，减少57%开销，缺陷暴露速度提升11.4倍，并在Linux内核中发现8个此前未知的并发相关缺陷，其中5个已被开发者确认和修复。
核心总结
IoT固件漏洞威胁严重，但静态污点分析工具产生的报告常难以验证。本文提出Bond，一个结合静态污点分析和动态漏洞验证的定向模糊测试框架。它通过整合三类约束和六种语义类型，实现了约束引导的输入变异，高效探索污点报告关联的路径。在19个设备上的评估中，Bond成功验证了1349份报告为真实漏洞，包括155个未知漏洞，性能优于现有IoT模糊测试器。
核心总结
在主备复制中，共识延迟受限于备份节点重放主节点所提议交易的时间；主节点已经执行过交易，因此掌握未来访问模式这一最优重放所需信息。本文提出Ira框架，通过随交易批次发送紧凑提示来加速备份重放，并以以太坊为案例提出具体协议Ira-L以改进以太坊区块执行的缓存管理。Ira-L的主节点提供提示，包括以太坊区块中使用的键工作集和每键一字节元数据以指示读取的表，备份节点利用这些提示高效重放区块。作者在两周的以太坊区块（100,800个区块、2400万笔交易）上评估Ira-L，提示生成给主节点执行增加10.9%开销；在备份端，提示驱动的预取使聚合重放速度在单预取线程下提升5.2倍，在16线程下提升23.6倍，每区块中位数增加47 KB压缩元数据（约占区块负载5%）。
核心总结
瞄准辅助作弊是FPS游戏中最普遍的作弊形式。现有检测方法存在框架不可靠、泛化性有限、开销大、缺乏可解释性等问题。本文提出XGuardian，一个基于服务器的通用且可解释的检测系统。它仅使用俯仰和偏航角原始数据构建时间特征来描述瞄准轨迹，从而在CS2等主流游戏上实现了高性能、低开销和高泛化性的检测，并能解释其判断依据。
核心总结
多用户混合现实（MR）应用通过客户端计算并广播状态更新来降低延迟，并允许上传自定义化身和3D资产，这隐式假设客户端可信。然而恶意用户可滥用该信任访问不应可见的信息、注入虚假更新、绕过审核与安全功能或上传恶意内容。本文首次系统分析多用户MR应用中客户端信任带来的安全风险，建模用户与虚拟对象的表示和同步方式，推导安全交互不变量，并提出基于运行时插桩和恶意用户生成化身的测试方法。作者在20个跨平台、跨用例的热门多用户MR应用上验证，发现视频/音频监控、虚拟对象篡改、安全功能绕过、服务中断/拒绝服务以及其他用户冒充五类攻击。结果表明，单个恶意用户即可破坏其他用户的隐私、安全与安全保护。
核心总结
第三方在线支付系统如支付宝和 PSPB 是现代电商关键基础设施，但其安全依赖通信信道完全可信这一不现实假设，此前研究仅发现孤立漏洞，缺乏系统的支付协议形式化安全分析。本文为六种第三方支付协议建立形式化安全模型，覆盖三大支付场景和两家主流支付服务商。分析揭示一个根本设计缺陷：当商户客户端、商户服务器或支付系统之间的信道完整性被破坏时，订单篡改攻击即可实施。作者在 Android 上验证该威胁，超过 20% 的受测商户应用可通过隐式 Intent 劫持篡改订单。为缓解威胁，他们提出用户侧订单认证，用每用户—商户密钥对将用户同意与订单语义密码学绑定，形式化验证表明其在弱信道假设下可抵御已识别攻击。
核心总结
论文针对漏洞检测与补丁之间的“响应空窗期”使Web应用暴露于RCE、命令注入和SSRF等高危利用的问题，指出现有代码修复常破坏功能，全局运行时策略又误报过多。作者提出Kintsugi，一个自动化运行时遏制系统，针对在OS层表现为系统调用行为偏离的Web利用提供临时保护。其流程为：通过正常与恶意请求的差分系统调用分析定位少量漏洞相关函数；利用LLM精确划定导致恶意行为的代码片段边界并设置策略触发点；再根据正常请求执行画像生成确定性的最小权限系统调用白名单，并通过eBPF和cgroups在内核层动态执行。在27个真实CVE（PHP、Python、Java）上，Kintsugi能中和多种利用及其变体且保留原功能，平均响应时间7.6分钟；对目标API平均延迟开销9.2%，对并发非漏洞流量影响很小，平均吞吐仅下降2.21%。
核心总结
该研究系统性地揭示并分析了区块链系统中一类被称为“地址误用”的风险，包括合约账户误用和外部所有账户误用两类。研究构建了大规模数据集，结合启发式规则、交易模式分析和符号执行，在以太坊和BSC上识别出65,340个高风险地址实例，关联的资产损失超过5.748亿美元。研究还发现了两个此前未公开的攻击向量，提供了攻击者利用用户地址误用牟利的实际证据。
核心总结
针对现有PyPI恶意软件检测工具误报率高的问题，本研究提出PyGuard知识挖掘框架。它通过从现有工具的检测失败案例中提取行为模式，并利用大语言模型进行语义抽象，从而区分具有相同API调用但用途不同的代码。实验表明，PyGuard在保持极高准确性的同时，将误报数降低至仅2个，并能有效检测混淆代码，在NPM生态系统中也展现了良好的跨语言适用性。
核心总结
该研究针对Java应用中安全敏感API误用导致的漏洞问题，提出VulGenie框架。该框架利用已确认的安全补丁作为种子，通过攻击-防御交叉分析提取精确的API安全规则。它设计了修改行为依赖补丁图来处理噪声补丁，并采用自适应的偏差引导静态分析以平衡精度和性能。在150个近期Java安全补丁上评估，VulGenie提取了198条高精度规则，发现了177条CodeQL未覆盖的规则，并在十个流行Java应用上检测到46个零日漏洞。
核心总结
本文对区块链EIP-7702提案引入的智能账户安全风险进行了系统性的实证研究。研究者将风险分为针对外部拥有账户、智能合约账户及组合攻击三类，并开发了结合大规模交易分析与跨合约静态分析的检测工具。在七个支持EIP-7702的区块链上，他们发现了924个恶意合约账户，造成超过230万美元损失，暴露了超过1000万美元的潜在风险。研究揭示了攻击者行为模式、规避策略及对现有安全模型的挑战。
核心总结
对抗二维码图像成为隐蔽在线非法推广的新兴威胁，它通过对抗扰动逃避二维码检测器，同时仍可被扫码解码。作者与领先互联网服务商合作，基于实证观察提出AQRI检测框架Adato，优先检查finder pattern区域，并通过跨平台一致性检查识别对抗技术。实验显示Adato取得98.6%精度和97.8%召回，显著优于现有检测器；在2024年9月至2025年3月来自五个国际社交媒体平台的超4000万张图像中识别出68,467个AQRI。分析发现95.78%的AQRI关联到2,079个恶意URL，覆盖七类业务，并揭示重定向链和利用跨平台不一致的间接传播策略，说明该检测方法可增强现有审核流程。
核心总结
多模态大模型正在削弱视觉CAPTCHA的安全保证，论文研究攻击者如何廉价地使用现成模型自动破解CAPTCHA。作者评估7个代表性MLLM在18种真实CAPTCHA任务上的单次准确率、有限重试成功率、端到端延迟和单次破解成本，并通过外部数据集和带会话记忆的自适应攻击设置验证，还分析任务特定提示工程和少样本示例的影响。结果显示，MLLM能以接近人类的成本和延迟可靠解决识别型和低交互CAPTCHA，但细粒度定位、多步空间推理和跨帧一致性任务仍较困难。基于推理轨迹，论文提出防御性指南并加固一种脆弱CAPTCHA，加入细粒度定位和隐式计数后，将最先进MLLM成功率从超过95%降至0%，强调CAPTCHA需要重新设计。
核心总结
安卓密码管理器通常依赖Autofill Framework在原生应用和浏览器中自动填充凭据，但浏览器需将网页DOM转换为Android特定表示，这一翻译层复杂且安全敏感。本文首次系统分析Android自动填充流水线，提出基于差分测试的ADAPT，端到端检查从DOM翻译到密码管理器匹配与填充逻辑。作者在9个密码管理器和5个主流移动浏览器中发现多个严重漏洞，攻击者可向攻击者控制的源泄露凭据、绕过Web隔离并推断用户账户关系。论文给出前置条件、实际流行度评估、缓解措施，并向厂商披露，相关修复正在实施。
核心总结
传统Web因HTTPS普及和浏览器警告大幅缓解MitM攻击，但Android WebView嵌入内容常缺少可视安全指示，且App可细粒度控制传输层安全。本文首次大规模分析189,779个Google Play应用中的WebView HTTP包含情况。尽管Android默认阻止HTTP，仍有33.74%应用显式选择退出；对35,000个应用的动态分析显示69.96%的退出应用还放宽Mixed Content Policy，2,790个观察到活跃HTTP流量。影响严重，包括安装量超千万的高知名度应用面临钓鱼到完整接管攻击，某广告库明文传输广告使数十亿用户暴露于MitM；开发者研究显示问题多由第三方广告库要求和WebView配置误解驱动。
核心总结
未授权抓取会威胁平台与数十亿用户的数据安全和隐私，因此需要系统化的反抓取红队演练来提前发现抓取向量。该报告由 Meta 反抓取组织 Vector Discovery 团队负责人 Malya Jain 分享，其团队管理三支红队开展持续进攻性抓取操作。报告介绍如何建设覆盖静态分析、抓取威胁情报和漏洞赏金整合的反抓取项目，用于识别和缓解未授权抓取路径。作者还通过 Mitigating Unauthorized Scraping Alliance 发布了未授权抓取红队演练最佳实践，为工业界开展相关演练提供方法参考。
核心总结
该论文研究域名和 URL 封禁中的粒度选择问题。封禁粒度过粗可能因共享基础设施而对良性服务造成严重附带损害，粒度过细则容易被攻击者绕过。作者提出一种自动选择最合适封禁粒度（URL、子域名或顶级域）的方法，以最小化附带损害和规避机会。方法核心是两个机器学习分类器，用于识别 URL 租赁型和子域名租赁型顶级域；在人工标注的 10,843 个顶级域数据集上训练评估，F1 超过 0.9。作者实现 BlockMeNot 工具，并在来自六个黑名单和两个威胁交换的 225,355 条域名/URL 上评估：仅 2.6% 的顶级域属于租赁型，却托管了 34.7% 的条目，钓鱼黑名单中高达 71.7%；BlockMeNot 识别出 1,976 个租赁型顶级域，其中 59.3% 不在真值中；只有 37.2% 的黑名单条目处于最优粒度，1.3% 会造成附带损害，61.6% 容易被规避。
核心总结
该论文首次对超级应用生态系统中小程序游戏的攻击性广告行为进行了系统性的安全分析。研究分析了九个平台的策略，并设计了可扩展的检测框架MAAD，在三大平台上进行了大规模测量，发现49.95%的小程序游戏存在攻击性广告行为。研究揭示了这些行为的干扰模式（如特定触发器、过度弹出、误导策略）及其对抗性绕过技术，指出攻击性广告是利用平台执行机制结构性盲点的系统性安全风险。
核心总结
现代 Web 生态依赖 CSP、SameSite 等安全策略头进行客户端防御，而这些策略由浏览器执行，因此浏览器在策略执行上的缺陷会直接削弱防御，但已有研究大多忽略了由浏览器用户界面（BUI）交互触发的 bug。本文提出 BUIZZ，首个针对 BUI 级用户交互所触发策略执行 bug 的测试框架：它参考浏览器手册、右键上下文菜单和已知浏览器 bug 收集全面的交互集合，通过 OS 级模拟在测试页面上执行单个交互及其组合，并采用交互前后对比 oracle 在单一浏览器内检测策略执行的不一致，而非跨浏览器差分测试。作者在包括 Chrome 和 Firefox 在内的六款浏览器中发现 35 个安全 bug 和 3 个功能 bug，其中 14 个安全 bug 已被修复，共获得 7 个 CVE 和 14,700 美元漏洞赏金。
核心总结
本文提出PHILTER框架，利用大语言模型和专家评审，系统评估现有AI网络钓鱼网站检测研究的功能和安全缺陷。对55篇学术研究的分析发现，没有任何一项研究能同时满足所有功能和安全要求，多数方法难以应对演变的攻击策略、保护隐私或在多样化正常网页上进行充分测试。研究揭示了以准确率为导向的评估所忽略的盲点，并提供了未来防御设计的改进建议。
核心总结
该论文首次对Passkeys（基于FIDO2和WebAuthn的抗钓鱼认证方法）在互联网上的大规模采用和安全状况进行了系统研究。作者构建了持续更新的PASSKEYS-RADAR数据集，分析了872个启用Passkeys的网站，发现不同网站在管理Passkeys方面存在重大差异，且部分网站请求使用已弃用的加密算法。研究开发了PASSKEYS-ATTACKER工具，发现了15种攻击类型（其中10种为新攻击），在103个评估的网站中，53个网站存在至少一个高危漏洞，可能导致账户接管等严重后果。
核心总结
随着多国强制要求成人内容访问部署年龄验证，相关系统可能将敏感内容访问与身份属性绑定，并因外包给透明度有限的第三方而引入安全风险。本文首次对成人网站部署的、由法规强制要求的年龄验证机制进行探索性安全评估，方法结合生态系统映射、敌手建模和在四个国家的实证测试，覆盖文档验证、生物特征年龄估计、间接信号与网站工作流集成。结果显示，在现实威胁假设下这些机制和集成存在系统性弱点，甚至可被低成本、易获取的攻击攻破。作者最后提出具体指南和设计方向，以缓解当前年龄验证部署暴露的安全与隐私风险。
核心总结
本研究探讨了被盗数据市场如何在Telegram平台上持续存在并繁荣。通过对超过1500个频道的超过一年数据的收集与分析，论文刻画了这些社区在Telegram生态系统中的位置、提供的数据类型、运营地域分布以及规避检测的技术。研究发现，这些社区主要使用非英语运营，并依赖“网关频道”来增强韧性和增长。研究为学术界、平台方及执法机构监控和打击此类活动提供了重要依据。
核心总结
该研究首次大规模调查了欧盟市场中IoT设备更新支持期限信息的披露情况。通过对超过34,000个产品页面的分析，发现信息的披露极不均衡，荷兰零售商因监管合规而披露率高，而亚马逊和Temu则几乎没有。研究指出，不同零售商、制造商和欧盟中心数据库之间的披露信息存在广泛矛盾，这削弱了透明度法规的有效性，并可能误导消费者。
核心总结
针对软件物料清单（SBOM）在透明度与保密性之间的矛盾，该论文提出了一个名为Petra的SBOM交换系统。它允许软件供应商使用选择性加密来组合和分发脱敏的SBOM数据，同时使软件消费者能够在不泄露未授权信息的情况下，搜索脱敏SBOM以回答特定的安全问题。Petra利用格式无关、防篡改的SBOM表示形式生成高效且保密的完整性证明，实现对脱敏SBOM的加密审计和信任建立。
核心总结
开源软件开发生态因其开放性鼓励信任而成为网络钓鱼和供应链攻击的重点目标，攻击者以工业规模生成恶意制品，通过简单变异规避签名检测，并利用社区标注的延迟，造成稀疏、有偏的真实标签和极端类别不平衡。本文提出OctoWatch，一个多模态机器学习系统，在真实运营约束下扩展对大规模恶意源代码仓库的检测，并通过学习到的表示支持分析人员快速转向。该系统融合仓库元数据和文件内容的自然语言表示、用户-仓库交互的结构嵌入以及时间活动统计。在真实数据集（包括大规模密钥暴露攻击、先前威胁情报报告和此前未报告的钓鱼活动）上，该方法在精确率和马修斯相关系数上持续优于基线。在线部署处理超过一千万个新活跃仓库，识别出14,667个未出现在主要开源情报源中的恶意仓库，并发现协调活动集群，其中一个与以太坊区块链上价值590万美元的加密货币交易相关；负责任披露导致数千个恶意仓库被下架。