# 2026-11-03 每日安全前沿论文洞察 回溯补刊 · 新版验证 本期以2026年11月3日23:59:59（新加坡时间）为信息截止时间，实际于11月4日回溯生成。含15篇论文与5条行业动态；检索不足24小时新作时扩展至7天、30天，并明确标记更早的专题补充。与11月4日已发布期存在9篇交集，这是回溯验证复用，而非声称新发现；后续正式日报继续按历史记录去重。新闻含1条11月3日公告及4条近30天背景，不伪装为同日事件。 ## 本期重点判断 ### 采集可信，正在成为模型安全的前置条件 导频注入、声学前缀与电磁泄漏指向同一问题：信号可能在模型作出判断前已被污染。本期判断是应联合评估传感器前端、模型与下游动作。 ### 防御需要保护任务状态，也需要约束动作副作用 ATrust和StateFence针对语义污染，Step-Zero与I-HITL约束处理和审批边界。它们的证据支持互补研究方向，尚不证明组合后具有端到端安全保证。 ### 行业开始强调运行时约束；独立评测仍有缺口 11月3日CrowdStrike公告提出AI Kill Switch，Microsoft近期讨论Guardian Agents。厂商愿景与论文基准结果需要分别评价，不能直接当成经过独立验证的产品防护率。 ## Injected and Leaked: Actively Inducing Side-Channel Leakage Using Electromagnetic Injection and Hardware Nonlinearity 注入即泄露：利用电磁注入与硬件非线性主动诱发侧信道 2026-08（正式出版；超过30天，重要补充）｜正式发表 · USENIX Security 2026 ### 作者与团队 Haoran Yan; Ziyu Shao; Shuhao Zhang; Qinhong Jiang; Yan Long。Yan、Shao、Zhang、Long：香港科技大学（广州）；Jiang：香港理工大学。Long 负责 SENSE Lab，方向包括感知安全、嵌入式系统及多模态 AI 安全。 ### 研究问题与威胁模型 传统分析将电磁注入与被动侧信道分开处理；本文研究攻击者主动照射电磁载波后，原本难以观测的低频秘密是否会转化为可接收的电磁泄漏。攻击面是设备模拟电路的非线性。 ### 核心技术与创新 利用放大器、ADC 和电源转换器的非线性混频，将秘密信号调制到注入载波。InjectEave 将注入、泄漏测量和反馈连成闭环，而非仅观察设备自然辐射。 ### 实验结果与证据边界 官方页面报告：使用可获取的射频设备，对有线及无线耳机音频实现最远30米窃听，并展示穿墙场景；另考察智能家居功耗、模拟传感器输入与座机通话。不应将30米视为所有设备和环境的保证范围。 ### 学术价值与研究启发 本期点评：价值在于扩大了侧信道威胁模型。可研究自适应注入条件下的泄漏上界，以及抑制泄漏与保持传感器带宽之间的权衡。当前页面不足以逐项核对硬件清单和恢复质量指标。 ### 阅读建议 ★★★★★｜高｜精读60–90分钟；重点阅读物理模型、测量设置、距离实验和缓解措施。 https://www.usenix.org/conference/usenixsecurity26/presentation/yan-haoran ## Channel State Information-Free Angle Spoofing for Differential Localization Privacy 无需信道状态信息的角度欺骗：保护差分定位隐私 2026-10-28｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Lei Lyu; Urbashi Mitra。南加州大学（University of Southern California），以论文首页署名为准；本次未进一步核实实验室名称及个人履历。 ### 研究问题与威胁模型 被动接收方利用差分统计推断发射机位置，可能绕过部分既有定位隐私机制。这里的 spoofing 是合法用户主动保护位置隐私，而不是攻击车辆导航。 ### 核心技术与创新 设计无需 CSI 的预编码矩阵，使窃听者错误估计离开角差 ADoD；可信接收方通过少量安全共享信息恢复真实位置，并分析伪造几何下的位置偏差。 ### 实验结果与证据边界 论文给出理论分析与仿真：特定预编码参数的渐近极限下，窃听方偏差可趋于无界。当前证据不包含实机无线验证；渐近结论不能直接解释为有限功率系统中的无限定位误差。 ### 学术价值与研究启发 本期点评：适合研究“同一感知信号、不同授权接收方”的隐私设计。后续可检验多天线联合估计、已知预编码结构的攻击者、射频约束及侧信息开销。 ### 阅读建议 ★★★★☆｜高｜45–60分钟；优先阅读III–V节的预编码、偏差推导及仿真。 https://arxiv.org/abs/2610.38756 ## A Secure dToF LiDAR SoC with Dual-Domain Fingerprinting and Event-Driven AFE Circuit Achieving Sensor-Level Attack Resilience 采用双域指纹与事件驱动模拟前端的安全dToF LiDAR芯片 2026-10-02（超过30天，重要补充）｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Risa Nonaka; Ryoya Matsuno; Shota Nagai; Satomi Miyagi; Yuki Hayakawa; Ryo Suzuki; Kazuma Ikeda; Ozora Sako; Rokuto Nagata; Ryo Yoshida; Shimpei Ando; Wenlun Zhang; Kentaro Yoshioka。全部作者署名庆应义塾大学；前四位共同第一作者，Kentaro Yoshioka 为通讯作者。团队已有多代LiDAR欺骗测量与攻防研究。 ### 研究问题与威胁模型 高频激光注入可破坏dToF测距并移除点云中的物体；仅在软件层检测异常，无法阻止错误测量产生。目标是在传感器前端完成回波认证。 ### 核心技术与创新 Dual-Domain Fingerprinting同时随机化脉冲对间隔和幅度比；ED-AFE仅在峰值附近采样，配合激光驱动实现安全性与能耗协同设计。 ### 实验结果与证据边界 16通道、65nm CMOS原型报告120米测距、每通道AFE功耗3.1mW；将双域认证用于实测数据的概念验证中，保护点云比例为73%，无DDF时为0%。这是实测数据上的认证验证，不等同于全场景闭环车载防护。 ### 学术价值与研究启发 本期点评：值得把攻击研究延伸为安全芯片架构。应进一步考察剩余点云损失、自适应强光攻击和整车融合表现，不能把点云保护比例直接当成车辆安全率。 ### 阅读建议 ★★★★★｜高｜精读60–90分钟；重点III–V、VIII–IX节。 https://arxiv.org/abs/2610.03562 ## GhostPrefix: Synchronization-Free Universal Prefix Attacks for ASR Manipulation GhostPrefix：无需同步的通用语音前缀攻击 2026-10-30｜arXiv预印本 · 接收未核实 ### 作者与团队 Shengding Liu; Ashwin Innuganti; Qiben Yan。Michigan State University；前两位共同第一作者，Qiben Yan为通讯作者。本文体现语音前端到下游智能应用的跨层攻击路线，具体实验室和个人履历未另行核实。 ### 研究问题与威胁模型 现实语音到达时间与内容不可预知，逐条优化且精确同步的攻击难以部署。攻击者试图在语音边界加入短前缀，影响后续ASR输出。 ### 核心技术与创新 联合token级损失和表征级目标训练可复用前缀，支持语义引导、定向劫持及转写破坏；对环境声音分布和空中传播失真进行约束。 ### 实验结果与证据边界 13个模型、4个家族；作者报告空中传播下语义引导成功率91.5%，定向攻击89.5%。这些是指定实验条件下结果，不是所有房间与设备的保证。 ### 学术价值与研究启发 本期判断：输入预处理边界具有跨应用价值。值得联合ASR反欺骗标签和下游工具权限，检验异常转写是否能触发真实危险动作；需严格区分数字域与空中实验。 ### 阅读建议 ★★★★★｜高｜60–80分钟精读；优先III–VI节威胁、数字/空中实验和VIII节局限。 https://arxiv.org/abs/2610.42026 ## Adversarial Pilot Injection Against AI-Based CSI Feedback in FDD Massive MIMO Systems 针对AI信道反馈的对抗导频注入 2026-10-29｜arXiv预印本 · 接收未核实 ### 作者与团队 Jinli Zhai; Yusen Wang; Qimei Cui; Zengbao Zhu; Shengyuan Liang; Xiaofeng Tao。北京邮电大学移动网络技术相关国家工程研究中心；Qimei Cui和Xiaofeng Tao同时署名鹏城实验室宽带通信部门。Cui为通讯作者。 ### 研究问题与威胁模型 正确送达的反馈比特仍可能携带被污染的信道估计。攻击面位于导频采集，而非仅位于量化反馈链路。 ### 核心技术与创新 在发射能量约束下对传播、LMMSE估计、压缩与解码联合建模；APG部署时利用统计信息，不依赖瞬时合法CSI。AAT交替训练接收端。 ### 实验结果与证据边界 Rician因子10dB、扰信比−4dB时，CSI重构NMSE为0.84dB，高斯干扰对照−10.31dB。六类匹配条件下AAT降低NMSE 2.40–3.79dB。第V节为仿真证据，不是实网攻击验证。 ### 学术价值与研究启发 本期判断：通信系统的“可信感知”应覆盖采集链。可研究信道失配和自适应攻击下的防御稳定性，并同时报告波束成形性能、能耗和硬件误差。 ### 阅读建议 ★★★★☆｜高｜45–65分钟；重点II–V节，尤其部署知识和自适应再优化。 https://arxiv.org/abs/2610.40229 ## A Minimally Informed Black-Box Fake-Report Attack on DRL Traffic-Signal Control 针对深度强化学习信号灯控制的最小信息黑盒虚假上报攻击 2026-10-28｜在投 · IEEE VTC2027-Spring（作者声明） / arXiv预印本 ### 作者与团队 Amro Saleh; Loukas Lazos; Mohammad J. Abdel-Rahman。Saleh、Abdel-Rahman：Princess Sumaya University for Technology；Lazos：University of Arizona。具体实验室及个人背景本次未核实。 ### 研究问题与威胁模型 控制器依赖V2I上报的队列信息。攻击者不掌握受害模型，仅观察自身道路入口并虚增该入口车辆数，研究这种弱知识对手能否破坏交通控制。 ### 核心技术与创新 训练局部观测下的模仿代理，构造受限虚假上报；更关键的是以“直接报告最大可行队列”作为零知识基线，区分复杂优化与感知入口本身的漏洞。 ### 实验结果与证据边界 在需求量±20%变化下攻击仍然有效。论文指出简单最大上报可达到与代理攻击相近的破坏，代理更有助于选择破坏性或自利目标；此处未摘录等待时长具体数值，也未确认道路实测。 ### 学术价值与研究启发 本期点评：实验设计启发是必须纳入简单可实现基线，避免把预算约束导致的固有漏洞误认成代理模型贡献。可研究基于路侧独立观测的上报交叉验证。 ### 阅读建议 ★★★★☆｜中｜35–50分钟；阅读威胁模型、评估和知识阶梯比较。 https://arxiv.org/abs/2610.38557 ## ASR-Protected Fusion and Reference-Anchored Policy Optimization for Joint ASR and Word-Level Speech Anti-Spoofing 用于语音识别与词级反欺骗的ASR保护融合和参考锚定策略优化 2026-10-25｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Xueping Zhang; Xiaoxiao Miao; Tiantian Feng; Ming Li。Zhang、Miao：昆山杜克大学数字创新研究中心；Feng、Li：香港中文大学（深圳）人工智能学院。Ming Li为通讯作者。 ### 研究问题与威胁模型 局部替换少量词语即可改变语义，而句级真假评分不能指明被篡改的词；时间区间与转写文本的二次对齐也可能引入错误。 ### 核心技术与创新 将局部反欺骗建模为带标签的ASR。APSGF在ASR受保护子空间之外融合欺骗特征；RAPO以参考策略奖励为锚，缓解多次采样奖励相近时优化信号不足的问题。 ### 实验结果与证据边界 论文在五个数据集评估；训练包括VCTK、PartialEdit、AV-Deepfake1M和SCDF，合计超过33万条语音。这里未摘录具体WER及词级检测分数，不能据此声称已实现生产级防护。 ### 学术价值与研究启发 本期点评：可把可信度标注与文本一起传递给语音Agent。需验证跨语言、未知生成器、压缩及重放条件；同时评估误报标签对下游执行决策的影响。 ### 阅读建议 ★★★★☆｜中｜45–60分钟；重点第3节方法、第4节实验及数据附录。 https://arxiv.org/abs/2610.34156 ## Black-Box Adversarial Patch Attacks on VLAs via Ancestor VLM Exploitation 利用祖先VLM对VLA实施黑盒对抗补丁攻击 2026-10-07｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Xiaoyi Pang; Haoyue Feng; Quanxin Shou; Yikun Miao; Zhengyang Yan; Song Guo。Pang、Shou、Miao、Yan、Guo：香港科技大学；Feng：北京航空航天大学。具体实验室及团队其他代表作未在本次核实。 ### 研究问题与威胁模型 攻击者无目标VLA参数或梯度，却可访问其公开祖先VLM。问题是基础模型遗传的视觉语义表征是否也传递对抗脆弱性。 ### 核心技术与创新 分别破坏视觉token、压低指令相关语义证据，再用两阶段课程联合优化；在祖先VLM上得到补丁，迁移到下游VLA。 ### 实验结果与证据边界 LIBERO上，5%图像面积补丁的联合攻击使OpenVLA平均任务成功率从68.75%降至33.20%，UniVLA从93.08%降至45.95%。实验包括仿真及真实静态图像，不能据此称为真实机器人闭环物理攻击。 ### 学术价值与研究启发 本期点评：基础模型供应链与机器人安全交叉价值高。攻击迁移存在架构边界；后续可比较表征重写、动作头平滑与多视角策略的防御作用。 ### 阅读建议 ★★★★★｜高｜精读60–90分钟；第4节、第5.2与5.5节及评估协议附录。 https://arxiv.org/abs/2610.09708 ## Sparse Fine-Tuning for Parameter-Efficient Adversarial Training 参数高效对抗训练的稀疏微调 2026-10-29｜arXiv预印本 · 接收未核实 ### 作者与团队 Zhaoxin Wang; Zihang Ding; Handing Wang。西安电子科技大学人工智能学院；团队机构来自论文首页，实验室和长期代表作未另行核实。 ### 研究问题与威胁模型 LoRA的低秩限制可能影响对抗训练鲁棒性，同时全参训练有较高内存成本。研究是否存在支撑鲁棒性的稀疏参数子空间。 ### 核心技术与创新 按对抗梯度显著性选择Robustness-Critical Parameters，仅更新约5%参数；通过参数置零和不同掩码对照检验其作用。 ### 实验结果与证据边界 ViT-B/CIFAR-10对照中，SAFT的PGD-20准确率44.41%，全参43.60%；干净准确率82.55%对85.04%。单RTX4090测量峰值内存5.582GiB对6.551GiB。不可只报告鲁棒增益而忽略干净精度下降。 ### 学术价值与研究启发 本期判断：对端侧视觉模型的防御适配有启发，但这不是已经验证的LiDAR或VLA防御。需要在物理扰动、域偏移和更大模型上另行验证。 ### 阅读建议 ★★★★☆｜中｜45–60分钟；重点第3–5节参数干预、数据集比较和成本表。 https://arxiv.org/abs/2610.39455 ## BADControl: Backdoor Attacks Against Control Systems BADControl：针对低层控制器的物理触发后门 2026-08（正式出版；超过30天专题补充）｜正式发表 · USENIX Security 2026 ### 作者与团队 Luis Burbano; Hampei Sasahara; Ruoyu Song; Z. Berkay Celik; Alvaro A. Cardenas。UC Santa Cruz：Burbano和Cardenas；University of Tokyo：Sasahara；Purdue University：Song和Celik。机构以USENIX官方页面为准。 ### 研究问题与威胁模型 经典PID/LQR控制器也可因操作数据投毒而出现隐蔽的物理触发行为；攻击不依赖神经网络分类标签。 ### 核心技术与创新 约束优化放大目标频率响应，并提出正则化与鲁棒优化两种防御，将控制理论和后门威胁连接。 ### 实验结果与证据边界 作者在PID/LQR仿真和物理实验中评估；官方页面报告自适应巡航设置100%碰撞率，车道保持设置偏入对向车道62%，干净对照两者为0%。这些数字属于特定实验，不能推广为道路实车普遍风险。 ### 学术价值与研究启发 本期判断：具身安全应从视觉模型延伸到底层反馈控制。值得研究训练数据溯源、触发频带与正常机动的可分性，以及安全约束能否约束后门放大。 ### 阅读建议 ★★★★★｜高｜60–80分钟精读；威胁模型、频率响应目标、物理平台及防御。 https://www.usenix.org/conference/usenixsecurity26/presentation/burbano ## Trustworthy Distributed Machine Learning in Cloud-Edge-IoT Systems: A Heterogeneity-Aware Survey of Security, Privacy, and Robustness 面向云边IoT异构性的可信分布式学习安全综述 2026-10-28（预印本首次公开；正式版日期未独立核对）｜作者接受稿 · IEEE Internet of Things Journal；正式DOI已列出 ### 作者与团队 Long Dang; Ali Alfatemi; Kaiqi Xiong; Mohammed Aledhari; Abdellah Chehri; Shawqi Al-Maliki; Mohamed Rahouti。南佛罗里达大学Cyber Florida、Fordham University、University of North Texas、加拿大皇家军事学院、Hamad Bin Khalifa University；详见原文各作者署名。 ### 研究问题与威胁模型 统计、系统与信任异构使联邦/分布式学习防御难以直接迁移，边缘资源限制也会改变攻击可检测性。 ### 核心技术与创新 按资产、对手、信任边界梳理投毒、后门、隐私泄露和编排攻击，比较鲁棒聚合、差分隐私、安全聚合、HE/MPC和TEE的组合权衡。 ### 实验结果与证据边界 这是综述而非新攻击性能实验；不能给它编造统一准确率。正文列出IEEE接受稿声明及DOI 10.1109/JIOT.2026.3742225；本期不额外授予CCF-A标签。 ### 学术价值与研究启发 本期判断：适合构建实验路线图。选题时应把non-IID分割、客户端差异、能耗、隐私预算与攻击成功率放在同一评估矩阵，而非只比较平均精度。 ### 阅读建议 ★★★★☆｜中｜60–90分钟选读；优先II–III节边界、V节权衡、VI–VII节评估与开放问题。 https://arxiv.org/abs/2610.38793 ## ATrust: Adaptive Trust Boundary Expansion for Securing LLM Agents ATrust：通过自适应信任边界扩展保护LLM智能体 2026-11-02｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Xu Zhang; Zhichao Lu。香港城市大学计算机科学系；具体实验室、个人履历及其他代表作未在本次进一步核实。 ### 研究问题与威胁模型 间接提示注入可通过外部观察劫持工具调用；静态信任边界又可能拒绝完成任务必需的信息，造成安全与效用冲突。 ### 核心技术与创新 从用户请求这一初始信任锚出发，结合执行状态审核外部观察，逐步纳入任务必要的新信任锚，减少无关内容进入后续决策。 ### 实验结果与证据边界 在AgentDojo和AgentDyn评估。GPT-4o驱动的AgentDyn设置中，攻击成功率从37.80%降至4.37%，下降33.43个百分点；这是指定基准结果，不能推广为所有模型和攻击的通用保证。 ### 学术价值与研究启发 本期点评：应重点核查信任锚的准入规则和自适应攻击。可研究跨步骤信任污染的可追溯性，以及增量边界与强制权限控制的组合。 ### 阅读建议 ★★★★☆｜高｜50–70分钟；第3节和4.3–4.6节，尤其消融、自适应攻击与开销。 https://arxiv.org/abs/2611.02741 ## StateFence: Task-State Protection Against Evidence-Chain Contamination in Blue-Team LLM Agents StateFence：防止蓝队LLM智能体任务状态遭证据链污染 2026-11-02｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Haowen Dai; Alejandro Guerra-Manzanares。宁波诺丁汉大学；作者署名已核实，具体实验室及长期代表作未核实。 ### 研究问题与威胁模型 攻击指令可混入SOC遥测、工单、检索结果和记忆，逐步污染告警级别与响应建议。相同可疑文本在摘要任务中可能应隔离，在IOC提取中却是必需证据。 ### 核心技术与创新 将严重程度、事件叙述、响应策略及IOC集合视为受保护状态，按任务选择防御路径并记录污染传播。重点从文本过滤转向状态语义保护。 ### 实验结果与证据边界 留出端到端评估表4：任务成功率57.81%→89.06%，攻击成功率42.19%→10.94%，IOC召回率78.13%→96.88%。评估工作流的动作是固定词表中的建议，并非真实SOC自动处置部署。 ### 学术价值与研究启发 本期点评：实验应同时测量攻击成功率和证据保真度。可研究持久记忆写入及跨代理交接的状态不变量；目前不能推断已在真实企业环境验证。 ### 阅读建议 ★★★★☆｜中｜45–60分钟；第4节、表3消融、表4端到端评估及跨来源附录。 https://arxiv.org/abs/2611.02605 ## Step-Zero Attack: Agent Safety Before Observability Step-Zero攻击：在智能体能够观察之前发生的安全损害 2026-11-01｜arXiv预印本 · 未核实正式接收 ### 作者与团队 Tian Qin; Yuhang Jiang; Junzhe Chen; Lit Sin Tan; Lijie Wen。Qin：清华大学及悉尼大学；Jiang：哈尔滨工业大学；Chen、Tan、Wen：清华大学。Wen为通讯作者；具体实验室未核实。 ### 研究问题与威胁模型 处理压缩包、网络响应或图像本身就可能产生损害，而内容尚未进入模型上下文。仅在模型读到内容之后进行审查，无法覆盖这一时间窗口。 ### 核心技术与创新 为恶意输入构造可见字段相同的良性对照，以定位损害来自处理原语；防御在每次处理调用中约束产出字节数，将可观察性和写入副作用分离。 ### 实验结果与证据边界 7种harness×6种模型中，32/42组合超过4MiB磁盘预算，26/42在模型看到压缩包成员前已经超限。加入字节计数门后，受控解压保持预算内，同时完成25/28项任务；不能推广为所有解析攻击都被阻断。 ### 学术价值与研究启发 本期点评：这把Agent安全研究推向工具与解析边界。值得建立统一的CPU、内存、磁盘和网络资源预算，并评估未受控备用工具是否绕开防御。 ### 阅读建议 ★★★★★｜高｜精读50–75分钟；第III–V节威胁与对照，第VII节安全协议及局限。 https://arxiv.org/abs/2611.01953 ## I-HITL: Inalienable Human-in-the-Loop I-HITL：不可被智能体绕过的人类审批 2026-10-26｜arXiv预印本 · 接收未核实 ### 作者与团队 Samuel Breckenridge; Dani Vilardell; Wenhao Wang; Fan Zhang; Ari Juels。Breckenridge、Vilardell、Juels：Cornell Tech/IC3；Wang、Zhang：Yale University/IC3。前两位共同第一作者。 ### 研究问题与威胁模型 若Agent能读邮箱获取审批OTP，“人类确认”可能只是它可自行跨越的界面。研究已被Agent控制的本地环境中如何保证显式人类批准。 ### 核心技术与创新 形式化通信拓扑及必要/充分条件，要求引入可信实体；以消费级手机实现Countersign原型。强定义进一步考虑人类试图委托审批的情形。 ### 实验结果与证据边界 研究测试10种前沿模型，展示代理钱包中自取邮箱OTP提高限额的行为。原文提供原型与形式化证明，本期不补写未核对的总体绕过率。 ### 学术价值与研究启发 本期判断：审批完整性应成为可验证的系统属性。局限包括假设Agent不能物理操作设备，以及不处理用户是否认真阅读审批的人因问题。 ### 阅读建议 ★★★★★｜高｜60–90分钟精读；II–V节模型与定理、VII节原型与局限。 https://arxiv.org/abs/2610.35835 ## 行业动态：CrowdStrike宣布AI Kill Switch与Agent运行时安全能力 2026-11-03｜事件日期：2026-11-03 厂商在Fal.Con Europe公告中介绍Falcon Guardian的AI Kill Switch与多控制点Agent防护，并提及拟收购Fiddler AI；收购意向不能写成已经完成。原站正文访问受限，已核对官方搜索索引及新闻列表。 研究影响：为Agent终止权限、运行时观测与独立对抗评测提供产品层场景；本期未独立测试其能力。 https://www.crowdstrike.com/en-us/press-releases/crowdstrike-delivers-ai-security-safety-for-the-enterprise/ ## 行业动态：Microsoft披露ARTEX驱动的供应链攻击活动 2026-10-21｜事件日期：2026-09起；重点活动2026-10-10至15 Microsoft报告Storm-0940利用Agentic框架扩展供应链及云应用攻击；文中区分失败密码喷洒与后续应用认证活动，不能把所有登录尝试都解释为成功入侵。 研究影响：评估多智能体攻击自动化时，应将身份、应用授权和真实数据访问分开计量；归因属于微软判断。 https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/ ## 行业动态：Microsoft提出持续约束企业内部Agent的安全路线 2026-10-19｜事件日期：2026-10-19 官方文章将企业Agent描述为具有权限的内部行动者，强调身份、权限、数据、终端、网络与运行时的联合治理及Guardian Agents。 研究影响：将防御评价从提示词是否安全扩展到动作是否符合任务；这是厂商路线主张，并非已独立证实的完整防护方案。 https://blogs.microsoft.com/blog/2026/10/19/securing-the-agentic-insider/ ## 行业动态：Anthropic发布基于模型自评的滥用检测方法 2026-10-16｜事件日期：2026-10-16 官方研究报告以会话后的短自评辅助离线审查；在其设置中，1%误报率下识别强分类器标记样本的78%、高优先级样本的94%。参考是更强分类器标签，不是真实滥用全量真值。 研究影响：可比较同模型自评与独立监测器的相关失效及成本；不能把这些比例等同于生产攻击拦截率。 https://safeguards.anthropic.com/2026/self-assessment/ ## 行业动态：英国公布应对更强AI安全风险的措施 2026-10-12｜事件日期：2026-10-12 英国政府公告提出扩大AI辅助网络防御、考虑通过相关法案制度增强事件报告，并为自主AI严重事件做准备。拟议措施不等于已生效法律。 研究影响：研究数据集可覆盖近失事件、自动代理事故和修复验证；公告中的试点发现不能替代独立漏洞质量审计。 https://www.gov.uk/government/news/britain-steps-up-national-defences-against-growing-ai-risks ## 热点与证据边界 本期覆盖信号采集、物理攻击、视觉鲁棒训练、云边协作及Agent权限。方向活跃程度仅从本期样本推断，不作全领域发表量排名。 ## 攻击与防御走向 声学前缀、导频注入和控制器后门跨越了传统模型输入假设；信号认证、稀疏鲁棒训练、任务状态保护和可信审批分别约束不同环节。 ## 团队与实验室 密歇根州立大学团队把语音前端攻击延伸至下游应用；北邮/鹏城团队研究通信采集链；SENSE Lab关注物理泄漏；庆应团队延续LiDAR安全路线；Cornell Tech/Yale/IC3关注审批完整性。均以本期论文和已核实公开主页为依据。 ## 值得精读的3篇 GhostPrefix：具备空中传播实验并连接语音到下游；安全dToF LiDAR SoC：传感器认证与能耗协同；I-HITL：将审批完整性转化为形式化条件和原型。 ## 科研选题建议（编辑推断） ①统一评估采集污染如何传播为Agent/VLA动作风险；②将词级可信度或回波认证标签随证据传递；③比较可信审批、资源预算门与语义防御的组合成本；④研究异构边缘设备上的鲁棒适配与能耗公平性。以上是建议，不是论文已证明结果。