# 2026-11-11 每日安全前沿论文洞察 当天研究日报 · 延迟发布 本期由11月11日上午调度触发，报告日期为11月11日；真实生成时间另行记录。资料截止锁定2026-11-11 08:16:03 Asia/Singapore，24小时、7天和30天窗口以此计算，不使用截止后公开信息。与此前106篇唯一论文按ID及规范化标题去重。优先审查最新原文，最终论文按逐篇真实首次公开时间展示；近24小时内优先领域高质量可核实稿不足时扩展近7天。5条新闻中Obsidian为11月10日新公告，另4条为11月9日的近7天补充，均为独立发布事件，未把论文摘要充作新闻；NVIDIA条目只讨论GR00T2/Isaac Lab，不重复计算此前DexBench发布。 ## 本期重点判断 ### 传感器绑定的水印有价值，可信采集链和配对样本权限仍是前提 UltraGuard把手机超声生物特征与视频时空内容融合，但它把操作系统、传感链、注册与云服务置于可信边界，并排除若干物理及数字注入情形。研究启发是同时评估水印效果、攻击者可得同步样本与采集时间，不能把高检测率当普遍来源真实性保证。 ### 标定、异步运行与失效预警，分别处理不同的时序问题 Galilean标定研究把运动与时间偏移共同估计；DASH把慢语义与快动作解耦；流式失效预测从部署后反馈更新监控。它们分别涉及数据对齐、控制新鲜度与风险识别，没有任何一项单独证明端到端时序安全。 ### 泄露信号、攻击可完成性和系统级后果需要分开证明 权重功耗分析研究重新审视参数精确恢复与模型行为复制的差别；KV时序侧信道防御有主体记账与分布条件；车辆闭环评测依赖消息与仿真配置。测到差异、完成攻击、造成真实后果是不同证据层次。 ### Agent安全取决于执行框架和内容供应链，不能只比较底座模型 StealthyPoison修改技能决策规则；Harness Matters用配对可用性任务区分能力不足与防御；自适应攻击群研究还提示关闭模型外防护会改变结论。行业运行时策略公告提供部署背景，但阻断能力须在完整防护和正常任务下复核。 ## ML Models Are Not Ciphers: Power Analysis for Weight Extraction Is Harder Than You Think 机器学习模型不是密码：功耗分析提取完整权重比想象更难 2026-11-09（首次提交，UTC）｜arXiv预印本；2026-11-09首次公开；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Mohammed Qaiss; Peter Horvath; Michal Shagam; Lejla Batina; Zhuoran Liu; Eyal Ronen; Mahmood Sharif; Yuval Yarom。Mohammed Qaiss、Michal Shagam、Eyal Ronen、Mahmood Sharif署名Tel Aviv University；Peter Horvath、Lejla Batina为Radboud University；Zhuoran Liu为University of Amsterdam；Yuval Yarom为Ruhr University Bochum。原文机构和邮箱已核实，本文连接硬件侧信道与边缘模型知识产权。未额外核实各作者完整履历及长期代表作。 ### 研究问题与威胁模型 既有CPA常只恢复浅层少量权重或随机初始化模型，不能直接证明能复制完整已训练网络。攻击者知道架构并可观察无噪HW/HD泄露模型输出，条件强于真实功耗采集；考察浮点数、深层低熵和误差传播怎样改变精确/功能性提取难度。 ### 核心技术与创新 用CIFAR-10/CIFAR-5M已训练float16 CNN、VGG-11、ResNet-18构建逐权重逐层CPA；比较真实/随机权重、随机/同分布输入、HW与HD。通过符号修正、自适应receptive field改善深层激活多样性；同时报告bitwise权重正确率与复制模型任务精度。 ### 实验结果与证据边界 原模型CNN测试accuracy84.45%。无噪模拟中功能性CNN提取约5000traces、VGG-11约20000；ResNet-18即使200000仍未达完整目标，该次运行约2400GPU小时。精确权重恢复比功能复制更困难；添加现实SNR模拟时仅首层也需超过千万traces。实验用RTX3090计算模拟泄露，不是真实板卡端到端功耗测量。 ### 学术价值与研究启发 价值：纠正把少量权重成功恢复外推为完整模型泄露的证据跳跃，同时没有声称DNN天然安全。启发：联合报告功能复制、位级恢复、查询/trace/算力成本、真实设备噪声及下游滥用价值；本结论限于分析的CPA/泄露模型，不排除新原语与其他侧信道。 ### 阅读建议 ★★★★★｜高｜60–80分钟｜精读§2.6威胁、§3模拟、§4–7误差/浮点及§8噪声；值得精读。 https://arxiv.org/abs/2611.12532 ## Ultrasound-Assisted Biometric Watermarking Against Face Video Deepfakes 以超声辅助生物特征水印抵御人脸视频Deepfake 2026-11-09（首次提交，UTC）｜arXiv预印本；2026-11-09首次公开；作者注释为IMWUT在投，未核实接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Guodong Liu; Lei Wang; Dongxu Liu; Qianran Qiao; Meng Li; Haipeng Dai; He Huang; Guihai Chen。Guodong Liu、Dongxu Liu、Qianran Qiao、Meng Li、Haipeng Dai、Guihai Chen署名Nanjing University；通讯作者Lei Wang与He Huang署名Soochow University。机构及邮箱依据原文，不把稿件模板中的2027/IMWUT占位信息当已发表证据。团队将超声感知、身份认证与视频水印结合；长期代表作未独立核实。 已匹配作者Haipeng Dai的NJU主页及邮箱，主页列LANDS研究组和AccVoice智能手机加速度计语音恢复工作（MobiCom2026，作者主页所列），提供传感与隐私交叉背景；不据此把全体作者归属同一实验室。 ### 研究问题与威胁模型 视频水印需同时验证采集源与传播后内容。UltraGuard假定OS、传感链、注册及云服务可信，攻击者可回放/换脸/改视频，但不得数字注入传感流或获得受害者同步视频—超声样本来重建对应关系；物理传感攻击和完全设备攻陷在范围外。 ### 核心技术与创新 扬声器/麦克风发16载波并采48kHz声音，前摄30FPS；超声编码对齐人脸表示，融合User Key与内容相关Face Key，加水印到嘴部ROI。1秒滑窗选5关键帧降低计算；跨模态一致性用于源认证，动态编码用于传播篡改检测，不等于密码学不可伪造证明。 ### 实验结果与证据边界 50志愿者、约25小时合法/超过135小时攻击数据，源攻击平均准确99.35%、传播测试100%，合法样本96.46%、EER2.25%。§7采集列4手机，§8.6延迟另列3型号；CPU最低端到端142–214ms，非p99或完整30FPS实时时延保证。主实验5秒窗；随机错配/回放不代表任意同步自适应攻击。 ### 学术价值与研究启发 价值：把生物活体证据绑定传播内容。启发：量化超声窃听/同步伪造、观测错位、滑窗缓存陈旧、运动遮挡与云校验时延；原稿手机口径和“实时”结论需复核。100%仅限已测传播攻击，不能当任意编辑零漏检。 ### 阅读建议 ★★★★☆｜高｜55–75分钟｜精读§4可信边界、§6.5稀疏窗、§7–8数据与时延、§9局限；可作专题精读。 https://arxiv.org/abs/2611.11800 ## Maurer-Inspired Two-Way Physical-Layer Authentication Against Multi-Antenna Impersonation Attacks 抗多天线冒充的Maurer启发双向物理层认证 2026-11-09（首次提交，UTC）｜arXiv预印本；2026-11-09首次公开；作者注释IEEE ICC2027在投，未接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Pin-Hsun Lin; Linda Senigagliesi; Eduard A. Jorswieck。Pin-Hsun Lin与Eduard A. Jorswieck署名Technische Universität Braunschweig通信技术研究所；Linda Senigagliesi署名ETIS UMR8051，CYU/ENSEA/CNRS。论文机构和邮箱核实，定位是多天线信道认证的理论界；未补造作者履历或硬件团队信息。 ### 研究问题与威胁模型 Alice需向Bob证明身份，Trudy可替换challenge、response或两者。公共导频单向认证主要验证信道一致，双向希望增加攻击者未知新鲜随机性；依赖TDD互易、quasi-static Gaussian MIMO以及无攻击初始训练/准备，不解决引导阶段被冒充。 ### 核心技术与创新 Bob挑战加人工噪声，Alice转发并加空间AN，使Trudy无法精确匹配Bob随机性。推导三类替换的漏检上界，包含估计误差和AN泄漏；与指定单向测试的可行攻击下界比较，限定相同发射能量/块长/误报约束。 ### 实验结果与证据边界 数值概率评估p=q∈{6,8,10}、接收维NR=2、准备m1024/认证n16、PFA≤0.05。p=q=6、信道比0.034时双向漏检上界9.15e-4，低于两种指定单向下界9.54e-4/1.27e-3。属于界与数值积分对比，无SDR、数据集、实测同步/移动性测试。 ### 学术价值与研究启发 价值：不将“攻击者天线少”作为唯一优势来源，明示新鲜性与可信准备。启发：检验时钟/信道漂移、延迟回放、非互易校准及前置训练污染；优势针对论文指定测试与攻击类，不证明优于所有单向方案，更不能直接换算真实IoT接入漏检率。 ### 阅读建议 ★★★★☆｜中｜50–70分钟｜精读§II假设、§III协议、§IV界及§V数值；适合理论读者。 https://arxiv.org/abs/2611.12648 ## Mirage: Provable Defense Against LLM KV Cache Timing Side Channels with Topology-Aware Isolation Mirage：通过拓扑感知输出混淆限制LLM KV缓存计时侧信道 2026-11-07（首次提交，UTC）｜arXiv预印本；2026-11-07首次公开，7天内补充；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Xiaobei Yan; Tianwei Zhang。Xiaobei Yan与Tianwei Zhang均署名Nanyang Technological University。Tianwei官方主页核实其CCDS副教授、Princeton电气工程博士和可信高效智能系统研究兴趣；本文定位是共享推理的隐私—性能协调。未核实首作者履历与本文通讯身份，不据作者顺序推测。 ### 研究问题与威胁模型 攻击者仅用API测TTFT或批量响应顺序猜共享前缀秘密。常规缓存分区损失复用，Mirage试图在保留GPU共享的同时削弱客户端时序泄漏。依赖敏感前缀门控、请求主体归属/匿名池记账及保护基线校准，不解决所有推理资源侧信道。 ### 核心技术与创新 Privacy Odometer跟踪同前缀分支的新颖性并持久记账，预算触发后网关按cache-miss基线平移整个token流输出，GPU继续运行。用fan-out信息界约束安全预算，校准相等化误差；不是仅对首token随机sleep，也不是取消身份/敏感检测的无条件保证。 ### 实验结果与证据边界 500样本、DeepSeek14B/Llama3-8B/Qwen1.5-1.8B及三类攻击。DeepSeek EarlyBird ASR@10k92.4%降0.2%、InputSnatch59.4%降0.4%；OptiLeak各模型降0。Llama良性首次访问149→150ms、攻击时151→418ms。单A40实测；语义cache扩展用模拟hit/miss时间，不应描述为生产语义cache攻击完全复测。 ### 学术价值与研究启发 价值：区分计算复用和客户端可见时序，且报告误差/基率边界。启发：测低熵秘密、漏门控/多语言、主体轮换、网络分布漂移与重启预算；未评估多GPU、70B/MoE及A100/H100，近零样本ASR不等于普适零泄露或零性能代价。 ### 阅读建议 ★★★★☆｜高｜60–80分钟｜精读§III–V记账与证明、§VI指标、附录I/J边界和未来工作。 https://arxiv.org/abs/2611.10756 ## Interpretable Cyber-Physical Attack Detection in Smart Grids: A Leakage-Controlled Multi-Testbed Evaluation of Fusion, Robustness, and Observability Limits 智能电网可解释攻击检测：控制数据泄漏的多测试平台评估 2026-11-07（首次提交，UTC）｜arXiv预印本；原文模板出现Energy and AI，未据此声称已正式发表；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Muhammad Ridwanul Hoque; Sarah Sharif; Reza Saeed Kandezy; Yaser Banad。Muhammad Ridwanul Hoque、Sarah Sharif、Yaser Banad署名University of Oklahoma的INQUIRE Laboratory；Reza Saeed Kandezy署该校ECE。Banad为通讯作者；研究将物理状态估计和检测评估相结合，未查证个人长期代表作。 ### 研究问题与威胁模型 随机时间打乱、相邻窗口共享和攻击可观测性差异会高估检测能力。攻击模型区分不现实的特征空间联合扰动、物理约束规避与慢速FDI；不能把任意特征修改解释为可真实控制电网。 ### 核心技术与创新 以窗口融合Random Forest和SHAP为主，采用chronological/rolling-origin、来源混淆检查与GCN控制。结合IEC104网络视角、IEEE14/118Bus AC状态估计，对比时间预测与低维物理流形一致性，并同5%误报目标标定。 ### 实验结果与证据边界 公共配对数据macroF1随机CV0.96→时间评估0.88±0.06；自适应/联合特征攻击0.67/0.34。真实IEC104结构攻击recall0.87–0.98，语义值操纵0.11–0.35。118Bus下0.02°/步慢坡流形检测0.48、时间检验0.14；仿真电网结果不是实体电网攻击验证。 ### 学术价值与研究启发 价值是主动报告负面结果及传感器可见性边界；启发是分开标签泄漏、时间漂移与真实攻击控制面。低维良性流形也可被自适应攻击绕过，简单融合不能保证隐蔽FDI可见；不将SHAP相关性当因果证明。 ### 阅读建议 ★★★★★｜高｜70–95分钟｜精读§3评估协议、威胁模型、IEC104局限及118Bus慢坡检验。 https://arxiv.org/abs/2611.10950 ## Galilean Robots, Aristotelian Sensors: Joint Spatiotemporal Trajectory Estimation and Extrinsic Calibration 伽利略机器人与亚里士多德传感器：联合时空轨迹估计与外参标定 2026-11-09（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Abhishek Goudar; Jonathan Kelly; Timothy D. Barfoot。Abhishek Goudar、Jonathan Kelly、Timothy D. Barfoot均署名University of Toronto Robotics Institute；Goudar为原文通讯作者。原文引用Kelly传感器自标定、Barfoot连续时间估计及Goudar/UWB标定路线；未独立核个人主页时保留Scholar检索。 ### 研究问题与威胁模型 多传感器空间外参和时间偏移通常用不同机制估计，采样时刻、报送时间及到达延迟易混淆。研究正常偏移与非理想时钟的融合可靠性，不提供时间戳认证或抵抗篡改/回放保证。 ### 核心技术与创新 机器人状态用special Galilean group，传感器外参用Aristotelian subgroup，将速度与时间偏移的耦合纳入群组合，配twist/IMU运动先验，无需额外独立连续时间轨迹参数化。区分物理采样偏移与传输延迟，联合批优化轨迹和标定。 ### 实验结果与证据边界 仿真twist100Hz、camera20Hz、position30Hz，噪声升高会显著恶化外参可辨识性。StarryNight真实数据注入0–20ms，时间偏移误差0.00±0.14ms，轨迹2.72±0.08cm；本底真实偏移未知。另用EuRoC与实物多传感器数据比较，性能与既有方法相近，不是安全攻击实测。 ### 学术价值与研究启发 价值是把时空标定放入统一几何，明确采样与接收时钟；启发是检验可控时钟漂移、短时回放与动态VLA感知年龄传播。可观测运动激励和噪声假设关键，估计偏移不证明时钟可信；未报告VLA闭环碰撞或尾延迟安全收益。 ### 阅读建议 ★★★★★｜高｜70–95分钟｜精读群表示与时间定义、VIII仿真/数据验证及高噪声退化。 https://arxiv.org/abs/2611.12526 ## Attack Injection to Vehicle Reactions: Extensible Closed-Loop Adversarial Evaluation Framework 从攻击注入到车辆反应：可扩展闭环对抗评测框架 2026-11-08（首次提交，UTC）｜arXiv预印本；2026-11-08首次公开，7天内补充；正式venue未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Mohamed Gaber; Tahsin Wahid; Mohammad Mamun; Salimur Choudhury。Mohamed Gaber、Tahsin Wahid、Salimur Choudhury署名Queen’s University School of Computing；Mohammad Mamun署名National Research Council Canada。机构及邮箱原文核实；研究以交通/网络仿真贯通消息篡改到物理动作，未额外核实具体实验室与团队历史。 ### 研究问题与威胁模型 V2X伪造消息可能改变控制决策，随后通过正常消息影响其他车辆。只改离线数据无法捕获反馈。攻击者为仿真中指定20%车辆，可改/回放/压制CAM、伪造身份、生成假DENM；消息安全关闭，不能据此断言已攻破真实签名或量产控制栈。 ### 核心技术与创新 基于VaN3Twin结合SUMO、ns-3与TraCI，76配置攻击分9类；接收应用CAM-following/EEBL/ICRW请求由arbiter选速，再更新交通和后续广播。日志分物理真值/声明值、TX/RX、决策、选中命令及冲突，以追踪直接和间接影响。 ### 实验结果与证据边界 11个固定种子案例，1870车、3600秒、仿真步0.1秒、名义CAM1秒。76profile执行、75产包profile被接收；速度攻击碰撞105对基线66，关联攻击17次；组合攻击总数仍66但低TTC事件859对794。受应用控制时SUMO安全速度检查关闭，纯单场景仿真，无实车或跨种子显著性证明。 ### 学术价值与研究启发 价值：总碰撞数会掩盖低TTC与间接反馈，攻击消息关联也不自动建立碰撞因果。启发：保持控制/网络时钟一致，加入签名/时效检查、自然与恶意延迟对照、相同场景多种子和安全仲裁器；现有76profile是可执行覆盖，不是76类真实漏洞。 ### 阅读建议 ★★★★☆｜高｜40–55分钟｜读§III架构、§IV配置与攻击关联定义、§V序列和表V；适合闭环评测设计。 https://arxiv.org/abs/2611.11627 ## Decoupled Asynchronous System for Humanoids (DASH): Latency-Agnostic Scaling of Vision-Language-Action Models for Humanoid Manipulation DASH：面向人形机器人的解耦异步VLA系统 2026-11-09（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Bingzhang Wang; Nathan Zhao; Jialeng Ni; Jiajin Zheng; Yin Zhang; Kehua Chen; Jian Yao。Bingzhang Wang、Nathan Zhao、Jialeng Ni、Jiajin Zheng、Yin Zhang、Jian Yao署名XPENG Robotics；Wang另署University of Washington，Kehua Chen署UW。Wang为原文通讯作者；本期未核实独立主页，不推测长期代表作。 ### 研究问题与威胁模型 大VLM阻塞控制会使动作依据陈旧观测；简单拆异步又可能错配语义和动作chunk。研究自然计算时延下的控制鲁棒性，无恶意注入攻击模型。 ### 核心技术与创新 冻结慢VLM与快flow-matching动作头通过LCM并行，ResNet提供新鲜视觉，错时训练适应旧语义。以实际chunk到达间隔及累积小数偏移重采样，避免整数对齐导致的动作抖动。 ### 实验结果与证据边界 RoboTwin50任务每配置250轮，0.8B–8B均20Hz，同步9.7→4.1Hz；4B成功63.6%→69.5%。RTX4090快路径50ms，非p99保证。实机每配置24次，成功16/24→23/24；任务均quasi-static，尚未证明动态场景、丢包或碰撞安全。 ### 学术价值与研究启发 价值是区分语义年龄与动作反应频率；启发是把错时训练、最新视觉和队列对齐联合消融。论文名Latency-Agnostic不代表任意时延安全，动态长程任务是未来工作，成功率不能替代物理约束验证。 ### 阅读建议 ★★★★★｜高｜60–80分钟｜精读III错时训练/聚合、IV-A仿真计时、TableIII小样本实机及结论。 https://arxiv.org/abs/2611.11854 ## Control-Aware Command Generation for Asynchronous Control and Action Inference with Vision-Based Policies towards Fast Execution 面向异步控制与动作推理的控制感知命令生成 2026-11-08（首次提交，UTC）｜arXiv预印本；本期明确分析v1，已知v2公开但未逐项核对；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Takayuki Osa; Kazuki Ota。Takayuki Osa署名RIKEN AIP；Kazuki Ota署名University of Tokyo工程学院及RIKEN AIP，原文给机构邮箱。本文延续视觉策略执行与机器人控制路线，未核实个人档案，不用同名页面。 ### 研究问题与威胁模型 异步视觉策略输出不连续目标，直接执行会振荡；统一跳步又会破坏精细任务。研究部署控制层的平滑与稳定性，不是攻击防御或全状态安全证明。 ### 核心技术与创新 CAC把不连续目标变成带前馈、饱和误差反馈和加速度裁剪的跟踪命令；异步线程独立生成策略输出，按预测位置方差自适应跳步。无需改ACT/OpenVLA-OFT学习过程。 ### 实验结果与证据边界 ALOHA三任务、ACT三种seed每种10次；笔收纳成功30%→83.3%，执行52.6→34.4秒；固定跳步成功0%。OpenVLA-OFT各10次，原始同步8/10与CAC异步8/10，执行49.0→44.7秒。命令离散加速度/jerk降低，未报告碰撞率和端到端p99。分析v1；v2已于11月10日公开，本期未逐项比较。 ### 学术价值与研究启发 价值是把异步预测与可执行命令之间的缺口作为控制问题；启发是对接触、饱和和旧观测做安全约束测试。理论跟踪与命令平滑不等于实体无碰撞，少量任务和10次VLA试验限制泛化。 ### 阅读建议 ★★★★☆｜高｜55–75分钟｜精读§4 CAC约束、§5 ACT/OpenVLA对照及跳步失败案例。 https://arxiv.org/abs/2611.11089 ## Streaming Failure Forecasting: VLA Failure Monitors That Keep Learning After Deployment 流式失效预测：部署后持续学习的VLA监控器 2026-11-08（首次提交，UTC）｜arXiv预印本；作者称短版被CoRL2026工作坊接收，非主会正式发表；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Amit Jadhav; Shaurya Beriwala; David Q. Liu; Yanfei Liu。Amit Jadhav、Shaurya Beriwala、David Q. Liu、Yanfei Liu；原文署Purdue University Fort Wayne及sff-research.org。短版被CoRL2026的Sim2Real2Field和EEAI工作坊接收为作者自述，不冒充CoRL主会；个人背景未独立核实。 ### 研究问题与威胁模型 固定失效监控器在任务、光照或policy版本切换后可能排序失灵；仅改阈值无法修复排名。研究自然漂移下监控适应，未评估恶意标签投毒或停止动作后的选择性标签偏差。 ### 核心技术与创新 固定离线网络，仅在每episode结果标签到达后闭式重拟合最后线性层并锚定原参数。阈值只在成功样本后更新，避免把错误警报率的分母用错；不存完整episode，漂移时刻不提供给学习器。 ### 实验结果与证据边界 5仿真测试套中4套AUROC优于冻结；Jetson单CPU监控2.18ms/policy-call。434条真实SO-101录制run、4种VLA重放，汇总AUROC0.536→0.656，差0.121（95%CI0.077–0.162）。不是live机器人干预；真实警报仅5条校准、目标50%，不能据此证明线上低误报或提前安全停止。 ### 学术价值与研究启发 价值是廉价更新和明确的成功条件校准。启发：延迟/缺失/污染标签与执行中止会改变训练分布，需真实闭环验证。正文HTML若干统计宏未展开，本期只引用已显示表格数字；真实时间特征使用任务最长已录运行，现场不可预知，外推受限。 ### 阅读建议 ★★★★☆｜高｜60–85分钟｜精读§4阈值更新、Table1/2、§6.4与§7重放/标签限制。 https://arxiv.org/abs/2611.11688 ## Harness Matters: Measuring and Dissecting Security Resilience in Web Agents Harness Matters：测量并剖析Web Agent的安全韧性 2026-11-09（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Xinyi Wu; Jiagui Chen; JiaYi Dong; Geng Hong; Xudong Pan; Jiarun Dai; Mingxuan Liu; Min Yang。Xinyi Wu、Jiagui Chen、JiaYi Dong、Geng Hong、Xudong Pan、Jiarun Dai、Min Yang署名Fudan University，Mingxuan Liu属Zhongguancun Laboratory；Pan兼Shanghai Innovation Institute，Yang兼Shanghai Pudong Research Institute of Cryptology。Hong与Yang为通讯作者，原文机构邮箱可核。本篇聚焦Agent运行框架与模型的交互，而非只评模型。 ### 研究问题与威胁模型 Web Agent安全由目标解释、网页感知、推理规划和动作执行共同决定。攻击覆盖恶意用户请求、网页提示注入及欺骗界面；无法完成任务造成的低攻击率不能误称防御有效。 ### 核心技术与创新 WebTrap Farm构造攻击与配对可用性校准任务，使用独立监测。对六种开源harness与七种后端模型交叉测试，另测两个集成商业系统；按四阶段定位防御并做组件对照，温度0且对子集重复三轮。 ### 实验结果与证据边界 开源harness加权总体ASR32.55%；SeeAct42.31%、Agent-E20.24%，不同攻击面差异明显。集成Gemini/Claude Computer Use总体15.14%/16.85%，欺骗网页仍25.51%/22.12%。六harness×两固定模型重复实验平均标准差1.73个百分点。受控网页测试不等于线上全部任务；商业系统模型固定，不能将差异纯归因harness。 ### 学术价值与研究启发 价值：用校准任务分离能力不足与安全拒绝，并揭示框架自身可能无显式攻击也越界。启发：对网页感知通道、持久系统约束与动作授权联合评测，避免只更换模型后宣称解决风险。未覆盖恶意工具，动态线上页面与策略变化需另测。 ### 阅读建议 ★★★★☆｜高｜55–80分钟｜精读§III校准协议、§IV表IV/V、§V机制定位与§VI局限。 https://arxiv.org/abs/2611.11971 ## CyberBinGym: Can AI Agents Turn Binary Patches into Real Exploits? CyberBinGym：AI Agent能否把二进制补丁转为实际利用 2026-11-07（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Lambang Akbar Wijayadi; Zhaoqi Xiao; Zhun Wang; Hongwei Li; Wenbo Guo; Heng Yin; Zhenkai Liang; Dawn Song。Lambang Akbar Wijayadi与Zhenkai Liang属National University of Singapore；Zhaoqi Xiao兼NUS/UC Riverside，Heng Yin属UC Riverside；Zhun Wang与Dawn Song属UC Berkeley；Hongwei Li和Wenbo Guo属UC Santa Barbara。机构按PDF首页核对；本文联合二进制分析与Agent能力测量，未推定未标注通讯身份。 ### 研究问题与威胁模型 编译后的安全补丁可暴露仍未部署修复系统的差异信息。评测攻击者只拿去符号的漏洞/修补二进制，没有源码或漏洞说明；漏洞触发与可工作利用应分别验证，不能把崩溃当代码执行。 ### 核心技术与创新 从53个真实开源项目构造100任务、6漏洞族与3分析复杂度。Agent在隔离分析容器使用静态/动态工具；隐藏sanitizer构建检查输入只使漏洞版本崩溃，独立服务和秘密flag验证利用，再人工审计轨迹排除奖励投机。 ### 实验结果与证据边界 主实验Codex/GPT-5.6恢复88/100、成功利用20/100；Claude Code/Opus5为85/100和6/100，Kimi为64/100和0。匹配20任务子集中提供补丁使利用率10%升25%；标准加固下仍利用此前成功20任务中的2个，不是所有任务的2%。主实验在可信访问计划下关闭部分安全措施以测能力上界，不能当默认产品的实际攻击率。 ### 学术价值与研究启发 价值：用二进制配对、差分触发与秘密服务验证分离分析能力和端到端利用。启发：结合补丁发布—部署时差进行防守优先级分配，并控制二进制加固和运行预算；真实项目来源不等于已在生产验证，100任务及容器环境限制外推。 ### 阅读建议 ★★★★☆｜高｜60–85分钟｜精读§3验证与奖励审计、§4表1、补丁/加固消融及附录资源预算。 https://arxiv.org/abs/2611.10723 ## StealthyPoison: Manipulating LLM Agent Behavior through Procedural Poisoning of Third-Party Skills StealthyPoison：通过第三方Skill的程序性投毒操纵LLM Agent行为 2026-11-09（首次提交，UTC）｜arXiv预印本；正式接收未核实。首页WWW2027模板含占位DOI/ISBN，不据此声称已接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Jingfen Qiao; Rui Li; Shuaiqun Pan; Olga Gadyatskaya; Andrew Yates; Evangelos Kanoulas。Jingfen Qiao与Evangelos Kanoulas署名University of Amsterdam；Rui Li、Shuaiqun Pan、Olga Gadyatskaya属Leiden University；Andrew Yates属Johns Hopkins University。Qiao与Li共同贡献。本文将技能注册表检索污染与程序决策规则篡改结合，未据姓名推断未核实实验室或个人经历。 ### 研究问题与威胁模型 攻击者可发布公开技能的投毒副本，改动公式、阈值及决策规则，同时维持宣称的功能、接口和正常执行，不掌握真实用户请求或标准答案。错误输出可来自貌似正常的流程，单纯检测越权行为不够。 ### 核心技术与创新 从干净Skill合成请求并用代理执行生成伪参考；Attack/Critic迭代修改关键规则，以执行反馈评估。另用预测请求增强检索元数据，无需目标检索器反馈；冻结payload后测试未见请求和模型。 ### 实验结果与证据边界 SRA-Bench筛出566个Skill，覆盖5244请求和5985查询—技能对，原注册表26262项。表1固定投放条件下Qwen3-Coder-30B微平均ASR32.9%，三个未见执行模型31.0–31.9%；这不是全注册表端到端率。MedCalc为62.2%、BigCode为7.5%，任务差异大；全为本地测试，不能当作真实公共平台已受攻击。 ### 学术价值与研究启发 价值：揭示技能任务本身的决策逻辑可以被静默改错。启发：将规则/公式差分、独立答案校验及检索来源审核合并；仅靠恶意措辞检测不足。实测依赖可合成有效伪参考的技能，oracle投放、检索命中与最终错误需分别统计。 ### 阅读建议 ★★★★★｜高｜60–80分钟｜精读§2权限与构造、§3数据筛选、§4表1/2及防御附录。 https://arxiv.org/abs/2611.12155 ## Scaling Adaptive Prompt Injection Attacks with Agent Swarms 用Agent群体扩展自适应提示注入攻击 2026-11-09（首次提交，UTC）｜arXiv技术报告；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Alexey Kurakin; Vishal Karande; Alex Bie; Chongyang Shi; Shuang Song; Saeed Mahloujifar; Abdullatif Köksal; Jamie Hayes; Juliette Pluto; Yinghao Sun; Kamalika Chaudhuri。Alexey Kurakin、Vishal Karande、Alex Bie、Chongyang Shi、Shuang Song、Saeed Mahloujifar、Abdullatif Köksal、Jamie Hayes、Juliette Pluto、Yinghao Sun、Kamalika Chaudhuri均署名Google DeepMind，通讯Kurakin邮箱kurakin@google.com。此为团队技术报告，未核实正式同行评审接收。 ### 研究问题与威胁模型 静态攻击基准表现良好，可能掩盖强自适应攻击者下的层级遵守缺口。攻击者只能污染指定工具结果，目标是诱使模型调用无关域工具；目标行为本身非恶意，以分开指令层级遵守与内容安全常识。 ### 核心技术与创新 构造100个合成多步工具场景，工具池249项/53域。优化器以8队×2Agent并行探索，每Agent最多20评估调用、总预算320，配合策略数据库；报告ARR@150与全预算ARR，即预算内没有任何成功注入的场景比例。 ### 实验结果与证据边界 最强攻击者下Gemini4 Argon ARR@150为87%、全预算ARR66%，分别对应13%/34%场景被突破。关键边界：这些Gemini主实验关闭安全分类器及模型外注入防护，不能当生产服务安全率。另在带Vertex默认防护的AgentDojo80场景、25次预算中成功6/80，对照mini-goat2/80；样本及预算不同，不能与主表直接合并。 ### 学术价值与研究启发 价值：把攻击者模型能力、查询预算和防护配置列为必须控制变量。启发：自适应红队评测应报告成本—成功曲线及策略数据库是否跨样本更新，防止把受限攻击未成功当防御证明。合成目标仅测下一模型轮工具调用，不等于完整恶意目标或真实物理后果。 ### 阅读建议 ★★★★☆｜高｜50–70分钟｜精读§3合成场景、§4预算/策略库及§5.1关闭外防护条件、表1–4与AgentDojo补充。 https://arxiv.org/abs/2611.11861 ## Coding Agents Propagate Vulnerabilities in Code Bases Coding Agent会在代码库中传播漏洞 2026-11-08（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Chenhao Sun; Niels Mündler-Sasahara; Mark Vero; Martin Vechev。Chenhao Sun、Niels Mündler-Sasahara、Mark Vero、Martin Vechev均署名ETH Zurich，原文inf.ethz.ch邮箱可核，论文提供eth-sri/vulnerability-propagation项目。本文延续代码安全评测，研究仓库中的现有实现怎样影响新增代码；未据此猜测具体个人经历。 ### 研究问题与威胁模型 没有攻击者也可能出现漏洞传播：Agent把现有不安全实现当作模板。需要固定任务只改变参考上下文安全性，区别单次生成缺陷、已有缺陷和由上下文引起的新增缺陷。 ### 核心技术与创新 构造96个后端任务，比较无邻居、功能独立的安全/不安全邻居；另用五个真实C/C++项目的20对任务，只切换类似代码中的安全检查。后端以功能与端到端安全测试判定，C/C++以构建及已知漏洞PoC判定；同任务重复3次/5次。 ### 实验结果与证据边界 默认无额外指令时，不安全邻居使后端正确且安全比例平均下降3.4个百分点；C/C++安全上下文对照平均下降35.4个百分点，GPT-5.6 Sol从91.0%降至42.0%。追问时69.9%可识别自己引入的漏洞，76.5%解释为遵循另一代码位置；自述不等同独立因果证明。测试只覆盖指定漏洞，未测长期真实仓库演化。 ### 学术价值与研究启发 价值：对固定任务进行安全上下文干预，比仅统计生成代码缺陷更能定位传播机制。启发：检索样例也应接受安全审计、在上下文中标识修补版本，并用差分PoC验证新增实现；泛化安全提示减轻但未消除传播。现有PoC通过不保证没有其他漏洞。 ### 阅读建议 ★★★★★｜高｜60–85分钟｜精读§III干预、§IV/V任务与oracle、§VI-B/D/F及附录自述评估。 https://arxiv.org/abs/2611.11455 ## 行业动态：MIPS发布Actus，连接实时关节控制、时敏网络与硬件安全 2026-11-09｜事件日期：11月9日发布；展会11月10–13日，评估板与芯片交付阶段须另核 Actus参考平台结合双Atlas M8500、边缘推理、TSN、CAN-FD与带后量子密码能力的硬件安全模块。公告强调关节间确定性通信与功能安全支持，开发者可先用虚拟平台；这不是完整机器人已量产或整机已获安全认证的证明。 适合与异步控制及时空标定对读：芯片本地响应、网络确定性、观测年龄与VLA推理截止时间应分别测量，安全通信也不保证传感内容或动作语义正确。 https://mips.com/press-releases/mips-unveils-actus-platform-for-precise-secure-robotic-motion-control/ ## 行业动态：NVIDIA在CoRL介绍GR00T 2与Isaac Lab 3.0 2026-11-09｜事件日期：11月9日技术公告；各合作方测试、评估与未来部署分开理解 公告介绍基于Cosmos的GR00T 2、Isaac Lab 3.0及Newton集成，支持Agent编排技能与失败恢复。厂商报告50项任务每项一个示范时平均71%成功、五个示范时95%；未独立复测，不能等同于安全违规率或对抗鲁棒性。本文不重复计作昨日DexBench新闻。 模型能力与仿真工具扩展应配套延迟、视角、标定与动作连续性评测。任务成功不覆盖碰撞、越权操作或分布外失效；可借本期在线失效预警研究制定独立安全验收。 https://blogs.nvidia.com/blog/robotics-simulation-advancements-corl/ ## 行业动态：Noitom发布HiPHI-Hand同步手部与第一视角数据 2026-11-09｜事件日期：11月9日09:00 ET公告；展会演示安排不作为全部已完成事实 公告列出11小时同步双鱼眼视频、以头戴IMU为参考的相机外参与光学手部关节真值。数据集采用研究许可，商业使用需另授权；EgoHand模型的许可不同。亚毫米真值与约9ms模型推理属发布方报告，不代表整条采集—动作链的误差与延迟。 可用于研究传感器时间偏移、外参误差和遮挡对手部重建的联合影响；需核对时间戳、采样频率及标定协议，不能从同步标签直接推断在线闭环安全。 https://www.globenewswire.com/news-release/2026/11/09/3398459/0/en/noitom-robotics-releases-hiphi-hand-precision-hand-capture-data-used-to-train-nvidia-egohand-and-demonstrates-real-time-hand-reconstruction-at-corl-2026.html ## 行业动态：Obsidian推出面向Agent动作的运行时策略决策引擎 2026-11-10｜事件日期：11月10日发布；具体动作的阻断或人工审批依连接器支持 公告推出Runtime Policy Decision Engine、MCP Security Proxy及Policy Decision API，在工具调用到达业务应用前结合身份、权限和数据分类上下文决策。属于厂商能力声明；公告未给出自适应注入攻击下的完整误报率、绕过率或正常任务损失。 与Skill投毒、运行框架和攻击者自适应研究对读，应验证完整中介、参数绑定、令牌隔离及策略失败时行为；支持一类连接器不能外推为所有Agent动作均受控。 https://www.obsidiansecurity.com/news/context-aware-runtime-decision-engine ## 行业动态：Qualys扩展mROC联盟，纳入OT、IoT与身份遥测 2026-11-09｜事件日期：11月9日联盟与集成公告；客户实际覆盖取决于连接及部署 Qualys宣布与Claroty、Nozomi Networks、Lookout、NowSecure及Okta等扩展技术合作，将移动、OT/IoT和身份数据汇入ETM风险管理。统一风险分数属于厂商方法，不是已经证明可阻止电网攻击或发现所有脆弱设备。 与本期智能电网检测研究对读，重点区分遥测完整性、检测时间、告警优先级和实际控制后果；跨工具评分的一致性需要用真实事件和处置代价评估。 https://www.qualys.com/company/newsroom/news-releases/uk/qualys-expands-global-mroc-alliance ## 本期研究热点 优先样本覆盖采集绑定水印、功耗与KV侧信道、物理层认证、多传感器时空标定、闭环车辆攻击，以及VLA异步控制和失效预测。Agent侧聚焦Skill程序规则投毒、运行框架、自适应攻击和二进制利用验证；这不是全领域发文量排名。 ## 新兴攻击与失效趋势 决策规则污染可保持表面流程正常；合法工具和框架也可能放大风险。传感器时差、自然推理延迟、车辆仿真攻击与多天线身份冒充处在不同攻击面，需说明权限和物理可实现性，避免把所有性能退化视作漏洞。 ## 防御与评估趋势 内容相关的主动水印、时空联合估计、最新视觉支路、控制感知的命令平滑和持续监控各有作用。KV隔离和物理层认证的安全性依赖明示假设；在线更新的预测分数也不等同于成功阻止物理事故。 ## 研究团队动态 作者、机构与可核实主页随条目展示，不据姓名推测团队经历。手机传感安全、机器人估计/控制与Agent框架团队正在处理跨层问题；NVIDIA/Noitom与MIPS的新公告提供数据与运行平台背景，厂商与论文证据分别标注。 ## 交叉研究趋势 源头采集可信、传感器标定、语义状态新鲜度及执行授权应在同一时间线审查。Agent工具链与具身动作编排都需要执行前检查，但网页任务的防御结果不能直接外推机器人接触安全；物理平台实测也不自动证明数据隐私。 ## 今日最值得精读的3篇 ① UltraGuard（2611.11800）：精读同步生物信号/视频绑定、攻击者可得样本及可信采集链，结合真实手机实验理解适用范围。② DASH（2611.11854）：精读异步训练、最新视觉、动作聚合和准静态实机边界，关注控制频率与观测年龄的差别。③ Harness Matters（2611.11971）：精读配对可用性校准及四阶段定位，把运行框架影响与底座能力分开。 ## 科研选题：跨层时间线的可信约束 将物理采样、时钟映射、到达时间、推理完成及动作生效逐项记录；比较标定有无、时钟漂移、丢帧、真实网络抖动与攻击者可控延迟。联合测量观测年龄、尾延迟、任务成功、碰撞/约束违规和恢复时间。此为编辑待验证建议，非本文论文已经完成的实验。 ## 科研选题：异步策略的动态风险与监控闭环 固定模型、硬件和控制频率，对比同步/异步、陈旧训练有无及新视觉支路有无。在动作块内部改变目标、接触条件与指令，检验失效预测能否提前触发可用的安全动作；录制重放与真实在线干预分开计量。此为待验证方向。 ## 科研选题：保持功能的供应链投毒与完整防护测试 在真实检索流程下，区分投毒内容被召回、被选用、诱导行为及完成攻击目标；保持模型外护栏、令牌策略和工具执行层均启用，测误报与正常任务损失。用独立验证器与修补对照减少把日志成功当真实利用的误判。此为编辑建议。 ## 值得持续跟踪 超声/视频配对资料泄露后的水印鲁棒性；功耗权重恢复的可实现噪声；KV主体记账与自适应查询；V2X真实协议保护；时钟漂移下标定；动态VLA及接触安全；失效预测的在线干预；技能供应链投毒和二进制利用的可复核验证。