# 2026-11-14 每日安全前沿论文洞察 当天研究日报 本期为11月14日当天日报，信息截止锁定2026-11-14 08:00:00 Asia/Singapore，真实生成时间另行记录。24小时、7天与30天窗口均以此计算，与此前150篇唯一论文按ID及规范化标题去重。近24小时内高优先级可核实论文不足时扩展近7天，逐篇标真实首次公开、版本及状态。新闻按事件和公告日期区分，新发布与近期补充分开，不以媒体转载日伪装原始事件日期。 ## 本期重点判断 ### 保护传感器也需要被保护，识别能力不等于身份可信 NonSense把检测、响应、温度与老化放进同一保护链；其新老化表征不能被写成现实攻击成功率。RF指纹审计则显示硬件家族和采集session可能贡献分类信号。设备身份与传感告警需要独立、跨环境验证。 ### VLA反应性取决于动作新鲜度与连续性，而非单一推理速度 动态操作研究显示动作率、重规划和连续性共同决定实机成功，额外自适应采样甚至可能增加延迟。VLA服务的P50可用性指标、低延迟验证器的任务成功收益，都还不能单独证明碰撞或接触力安全。 ### 紧急停止触发后，系统是否进入安全状态仍需实测 全尺寸人形研究在安全绳保护下比较恢复与按停，说明切断驱动力和防止跌倒是不同动作；其分级权限框架尚未得到全部实证。故障恢复模型也主要验证可恢复桌面任务，尚无最坏修复时延和接触安全保证。 ### 模型和工具的正常表现，可能掩盖适应后的后门与可用性攻击 Poison-then-Hide研究干净微调后的后门再激活，并报告有效修复方法；Lazarus在不同模型上效果不同。OverServe可在原任务通过时放大调用，安全警告也可诱导拒绝。验收需同时覆盖恶意动作、资源消耗与正常任务完成。 ### 攻击未被遇到，不能记作Agent成功抵抗攻击 MobileProbe显式测量路径偏离导致的未曝光，改善动态GUI注入评估；Intent-Aware的AUROC提升不等于默认阈值precision、F1均更好。需要报告真实曝光、阈值、权限和状态变化，避免把静态测试通过当部署保障。 ## NonSense: On the (In)security of FPGA Anti-tamper Sensors NonSense：FPGA防篡改传感器自身是否安全 2026-11-12（首次提交，UTC）｜arXiv预印本；2026-11-12首次公开；原文自述special-session-track已接收，具体venue未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Mehmet Ali Cetin; Fatemeh Khojasteh Dana; Saleh Khalaj Monfared; Nima Seyed Aghazadeh; Maryam Saadat Safa; Shahin Tajik。六位作者均署Worcester Polytechnic Institute，学校邮箱可核实：Mehmet Ali Cetin、Fatemeh Khojasteh Dana、Saleh Khalaj Monfared、Nima Seyed Aghazadeh、Maryam Saadat Safa、Shahin Tajik。本文连接物理故障与传感器保护响应，原文仅写special-session-track已接收，未核实会议身份，不称四大安全顶会。 ### 研究问题与威胁模型 FPGA防故障攻击依靠RO/TDC/XADC探测并触发擦钥，但采样、告警和最终响应都可能受同一时钟/电源影响。攻击者具非侵入物理扰动能力；本文整合既有绕过结果并补充环境/老化表征，不能把引用攻击统称为本文新实验。 ### 核心技术与创新 区分sensing、alarm和response路径，分析PDN空间/频率响应、温度与寿命漂移。以加速老化测RO/TDC基线、分布式TDC测温度空间差异，提出异步保护、健康监测、有界补偿和受控重标定；这些建议不是已证明完备的安全架构。 ### 实验结果与证据边界 Arty S7-50/Spartan7 XC7S50在85°C、1.2V(名义1.0V)、重负载下做0–535小时12阶段老化，25°C稳定后读数；RO约202.3→197MHz(−2.6%)，TDC tap约−44%。这是加速应力样本的传感漂移，未量化这些漂移分别造成多少现实攻击成功率，不能直接外推自然寿命。 ### 学术价值与研究启发 价值：传感器发出告警不等于保护动作已完成，长期基线也不是固定真值。启发：把采样至擦钥完成的时序、故障域隔离与全寿命阈值纳入联合测试，区分检测失败/响应失败/健康失效；异步仍受电压与传播延迟影响。 ### 阅读建议 ★★★★★｜高｜45–65分钟｜精读§III检测/响应区别、§IV老化与温度、后续设计建议；值得精读。 https://arxiv.org/abs/2611.17065 ## Speech Tokenizers are Vulnerable: Transferable Semantic Attack and Robust Tokenizer 语音Tokenizer的语义脆弱性：可迁移攻击与稳健编码器 2026-11-11（首次提交，UTC）｜arXiv预印本；2026-11-11首次公开；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Zhisheng Zhang; Yifan Mi; Yixuan Zhou; Haiyun Li; Shengbo Cai; Dongfu Song; Ziang Xu; Jie Hao; Zhiyong Wu。Zhisheng Zhang、Yifan Mi、Yixuan Zhou、Haiyun Li、Shengbo Cai、Dongfu Song、Ziang Xu、Jie Hao、Zhiyong Wu为完整作者。HTML列清华深圳国际研究生院和北京邮电大学，部分逐人上标对应未清楚保留，故不猜全部归属；首作者清华邮箱可核实。 ### 研究问题与威胁模型 语音前端tokenizer语义表示被小幅加噪后，ASR和音频语言模型可能共同失真。攻击者离线构造数字音频、利用已知语义编码器集成并测试跨模型转移；不是证明远场扬声器/麦克风物理注入已成功，噪音也非人耳不可感知。 ### 核心技术与创新 T-SemAttack联合漂移多semantic encoder表示，加感知约束保可用语音；分析层间漂移与梯度一致性。ROSETok用噪声—干净训练提升重建/语义稳定性，另用去噪、重采样等评估抗处理迁移；系统级拒绝/人工复核不在已测防御之列。 ### 实验结果与证据边界 Seed-TTS随机各200中英文、LibriTTS，9ASR/4LALM。Seed-EN GPT4o-mini-transcribe WER1.907%→49.457%，跨9系统平均2.598%→81.872%（含白盒surrogate、WER可>100%）。AIR-Bench平均回答评分7.58→5.48。主观MOS-Q3.01，只表示可接受含噪，不可称不可感知；ROSETok训练约96.7k小时/8H100。 ### 学术价值与研究启发 价值：把音频前端当跨ASR/Agent共享攻击面。启发：比较数字与物理链路、不同压缩与说话者、时间戳/帧级一致性及任务成功风险；高WER不是定向命令执行率，抗去噪不证明所有检测和降级策略无效。 ### 阅读建议 ★★★★★｜高｜55–75分钟｜读攻击权限、§6–7表1/3、ROSETok消融及附录A不可感知边界；值得精读。 https://arxiv.org/abs/2611.14929 ## Harnessing Environmental Scatterers for Endogenous Target Covertness in 6G ISAC: A New Paradigm for Sensing Security 借助环境散射体隐藏6G通感目标的存在 2026-11-11（首次提交，UTC）｜arXiv预印本；2026-11-11首次公开；正式venue未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Yifan Zhang; Boxuan Xie; Mingyang Yang; Ying Liu; Riku Jäntti; Zan Li。Yifan Zhang、Boxuan Xie、Ying Liu、Riku Jäntti署Aalto University信息通信工程系；Mingyang Yang、通讯作者Zan Li署西安电子科技大学综合业务网国家重点实验室/通信工程学院。机构与邮箱依原文，本文为ISAC感知隐私框架及数值案例，不视为已建成6G产品。 ### 研究问题与威胁模型 未授权warden可从通感回波判断目标是否存在，降低位置估计精度并不隐藏存在本身。合法基站知道目标/散射体特征，warden没有对应抵消知识；该信息不对称是隐蔽性关键，不保证知道环境图的强对手同样受限。 ### 核心技术与创新 将已知物体、ambient backscatter或RIS作为类目标scatterers，形成真假目标混合回波；基站重建并抑制已知散射分量，warden做target-present/absent假设检验。强调无需额外专用干扰功率，但布置/知识/校准仍有成本。 ### 实验结果与证据边界 纯block-fading Monte Carlo：28GHz、400MHz、BS16/warden4天线、64符号，0/5/10/15/20散射体位于目标0.5m内；10dB发射SNR时合法/warden感知SINR差约11dB。未做真实RIS/硬件实验；“absolute covertness”是模型下论证，不是任意环境目标物理消失保证。 ### 学术价值与研究启发 价值：分开目标参数保密与存在保密。启发：测warden获得散射先验、时钟/信道漂移、移动目标与多基站观测；同步和知识泄漏可能消除统计优势，不能仅用SINR差证明实际隐私。 ### 阅读建议 ★★★★☆｜中｜40–60分钟｜读§III假设检验/抵消知识、数值案例与open challenges；适合模型研究。 https://arxiv.org/abs/2611.16110 ## What Does an RF Fingerprint Identify? A Cross-Corpus Evaluation of Hardware-Family-Associated and Unit-Level Signal RF指纹识别的是硬件家族还是独立设备？跨语料审计 2026-11-10（首次提交，UTC）｜arXiv预印本；2026-11-10首次公开，正文标2026-09-17；正式venue未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Hyojung Han。Hyojung Han单作者，原文仅提供个人gmail，未列可验证大学或实验室，不能据姓名补机构。正文日期2026-09-17，arXiv首次Nov10；研究定位为RF身份信息测量与评测捷径审计，不据预注册自述推断已独立复现。 ### 研究问题与威胁模型 高设备分类精度可能识别硬件家族或采集session而非稳定单机身份。用真实型号分组与同规模随机分组比较，区分相对关联信号、正的可认证信息下界，以及同型号设备的session混杂；不是构建可直接部署的安全认证器。 ### 核心技术与创新 WiSig和LoRa使用label-blind设备级cross-fitting，对999种匹配随机分组置换检验；合成前端冻结，报告变分下界、校准和chain-rule残差；同型号ESP32用包级拆分检验单机相关信号，透明说明事后temperature校准选择。 ### 实验结果与证据边界 WiSig/LoRa家族分组均超过999随机组，p=.001为分辨率下限；WiSig没有正的certified bound，LoRa零假设误校准及+0.296bit残差限制效果量。122台ESP32校准下界+3.338bit/熵6.931bit，但训练测试共用逐机采集session，不能分离设备与session。论文明确无Figure，只有4表，故不伪造首图。 ### 学术价值与研究启发 价值：把“可分类”与“身份真实性”拆开。启发：跨天/接收机/温度重新采集并作设备级隔离，复核预注册与事后更改；这些审计证据不证明所有RF指纹无效，也不证明已能安全认证122设备。 ### 阅读建议 ★★★★☆｜中｜45–65分钟｜读WiSig/LoRa负对照、ESP32拆分和附录A事后更改；适合评测设计精读。 https://arxiv.org/abs/2611.14835 ## MobileProbe: Adaptive Security Evaluation of Mobile Agents via Trajectory-Aware Injection MobileProbe：基于轨迹感知注入的移动Agent自适应安全评测 2026-11-12（首次提交，UTC）｜已接收NDSS 2027：作者实验室及作者主页交叉确认；接收消息早于本次arXiv公开，非今日刚接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Yingbin Jin; Ji'an Wang; HaoYang Chai; Hanjun Luo; Li Hu; Xinfeng Li; Huadi Zheng; PeiZhao Hu; Qingqing Ye; Haibo Hu。Yingbin Jin、Ji’an Wang、Hanjun Luo、Li Hu、Xinfeng Li、Qingqing Ye、Haibo Hu署名香港理工；HaoYang Chai属浙江大学；Huadi Zheng和PeiZhao Hu属Huawei。通讯Xinfeng Li/Haibo Hu，PolyU机构邮箱可核；Haibo Hu兼未来智能系统隐私安全研究中心。ASTAPLE团队页与Qingqing Ye主页确认NDSS2027接收，延续GUI决策完整性与隐私安全路线。 ### 研究问题与威胁模型 固定页面注入测试把没有遇到payload的Agent也计为安全，混淆暴露覆盖与抗攻击能力。攻击者控制应用中可编辑文本或假对话框，不修改Agent；需按真实路径定位可控表面并验证CIA目标。 ### 核心技术与创新 自动探查可控界面，基于良性轨迹选决策点，再以代理筛选和进化反馈优化payload。83实例/12应用（44文本、39假对话框），三Agent架构、每任务三次；迭代方法统一15次预算，payload对比共用注入点，单独报告漏曝光PMR。 ### 实验结果与证据边界 Gemini/Agentic/GUI-Owl ASR为85.1%/86.3%/85.1%；PMR由专家固定点13.3%/12.0%/22.9%降为4.8%/3.6%/6.0%。对比PAIR为56.6%/54.6%/77.5%，属于相同注入点和预算设置。全部在隔离Android虚拟设备、无实机/生产账号；路径仍可能漂移，83实例未覆盖金融医疗，不能视为所有手机Agent真实漏洞率。 ### 学术价值与研究启发 价值：将“没遇到攻击”从“抵抗攻击”中分离，便于比较不同感知/执行架构。启发：持续记录曝光、动作状态与任务成功，以多轨迹覆盖动态界面；需检验更多应用、权限变化及防御，不把攻击优化得分当实机安全结论。 ### 阅读建议 ★★★★★｜高｜60–85分钟｜精读§III威胁、§V任务/程序验证、§VI-A公平预算及表II/III、§VII局限。 https://arxiv.org/abs/2611.16693 ## Poison-then-Hide: Finetuning-Activated Backdoor Attack on Pretrained Vision Encoders Poison-then-Hide：干净微调后才激活的视觉编码器后门 2026-11-11（首次提交，UTC）｜arXiv预印本；2026-11-11首次公开；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Qixuan Jin; Abinitha Gourabathina; Vinith Menon Suriyakumar; Walter Gerych; Marzyeh Ghassemi。Qixuan Jin、Abinitha Gourabathina、Vinith Menon Suriyakumar、Marzyeh Ghassemi署MIT，Walter Gerych署WPI；通讯作者Qixuan Jin邮箱qixuanj@mit.edu。HTML后两位邮件排序存在明显不一致，因此按明确机构署名，不把错位邮箱当履历证据。 ### 研究问题与威胁模型 攻击者控制预训练encoder并能预期下游任务家族/目标语义，用与受害者微调数据无样本重叠的surrogate。发布时后门隐藏，受害者仅用干净数据全模型微调后激活；不是任意未知任务都激活，也不需攻击者触碰用户微调数据。 ### 核心技术与创新 先跨模拟微调轨迹优化trigger，再同时学习正常任务与后门，最后针对性unlearning隐藏触发行为。比较Base/Hidden/Finetuned三个状态，分别测clean accuracy、原始ASR与排除目标类/要求预测翻转的Flip-ASR，避免指标基率混淆。 ### 实验结果与证据边界 五seed、ResNet/CLIP/DINO等及多数据转移。ResNet50跨医院Camelyon17测试，clean87.95±2.73%、原ASR91.94±7.24%、Flip-ASR71.81±12.26%；UC-Merced Flip-ASR87.46±1.55%。已明确CLIP-Inspector能检测/修复其CLIP攻击，LoRA仅单配置；无真实机器人或临床部署验证。 ### 学术价值与研究启发 价值：发布前静态trigger检查不足，干净适应可改变后门状态。启发：供应链验收需模拟预计微调/PEFT再测，核查目标语义和样本重叠；exact clean-label冲突可消除后门，原文并未证明任何unlearning都会激活或所有防御无效。 ### 阅读建议 ★★★★★｜高｜55–75分钟｜精读§3威胁、§5.2 Flip-ASR/置信区间、CLIP-Inspector结果和§6限制；推荐精读。 https://arxiv.org/abs/2611.14970 ## What Makes a VLA Reactive? A Study of Execution Strategies for Dynamic Manipulation 是什么让VLA具有反应性？动态操作执行策略研究 2026-11-11（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Zhuoyue Li; Zhendong Han; Pankhuri Vanjani; Wenting Li; Rudolf Lioutikov。Zhuoyue Li、Zhendong Han、Pankhuri Vanjani、Wenting Li、Rudolf Lioutikov署名KIT Intuitive Robots Lab，另列Robotics Institute Germany。本文将该团队动态操作路线扩展为执行策略/时序对照，不把改造版基线当完整复现原系统。 ### 研究问题与威胁模型 动态物体使chunk迅速陈旧，但更频繁重规划也可能重复慢启动、增加等待或破坏连续性。研究π0.5执行策略与自然延迟，不含恶意时间戳攻击或避碰证明。 ### 核心技术与创新 分开扫描prediction horizon H与执行commitment s，比较同步/异步，适配FASTER、DynamicVLA、RTC、ABPolicy及运动cue/latent RL。用公共策略框架测动作到达更快、块间更连续、动作率变化各自作用。 ### 实验结果与证据边界 DOM/DOMINO最佳预测约1秒（25/30步、25/30Hz）。实机传送带checkpoint最佳s分别5/15；s=10同步20%对异步60–75%。快带20→30Hz时ABPolicy13→93%，FASTER0→33%，每bar15轮；AAC额外采样反而延迟且未胜最佳固定s。非普遍1秒最优或独立安全约束验证。 ### 学术价值与研究启发 价值是提供反例：新鲜动作只有机器人能平滑跟随才有用，减推理时延不自动提升动态任务。启发：将动作年龄、连续性、策略启动行为与尾延迟联合验收；样本小、以任务成功为主，需进一步测接触力/碰撞与未见抖动，不把多方法适配当同等工程优化。 ### 阅读建议 ★★★★★｜高｜60–85分钟｜精读Table2/3机制分解、Fig3小样本及执行频率混杂。 https://arxiv.org/abs/2611.15491 ## Learning Low-Latency Action Verification for Frozen Vision-Language-Action Models 为冻结VLA学习低延迟动作验证 2026-11-10（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Wen-Han Hsieh; Ken Jiankun Zheng; Chia-Chien Chen; David M. Chan; Trevor Darrell。Wen-Han Hsieh、Ken Jiankun Zheng、David M. Chan、Trevor Darrell署名UC Berkeley；Chia-Chien Chen署名National Tsing Hua University。原文列项目页HDH及BAIR支持，未猜测未公开的个人当前机构变化。 ### 研究问题与威胁模型 单次采样动作质量不稳定；大VLM评估候选会显著加时延。研究低开销动作成功率排序，不是安全授权、攻击检测或实时无碰撞证明。 ### 核心技术与创新 从冻结policy自主rollout的终局成败训练紧凑verifier，以当前观测、动作及最多3个历史完成query排序两个候选chunk；VLA本身不改。每任务单独训练、蒙特卡洛终局监督，不能假设跨任务泛化。 ### 实验结果与证据边界 4个LIBERO-10任务均值78.8→82.3%；仿真含overhead query p50 681→718ms、p95 760→796ms，非单独verifier或实机尾延迟。Franka/DROID3任务各方法50轮，均值44.7→67.3%，提升22.6个百分点；15Hz执行8/16动作，未报告独立碰撞率。 ### 学术价值与研究启发 价值是比较有效选动作与全query时间，而非只比verifier算子。启发：把成功排序改为含接触/越权约束并测动态场景；终局信号粗、两候选与少任务限制，延迟含仿真/服务等待，实机完整延迟分解仍未来工作。 ### 阅读建议 ★★★★☆｜高｜55–75分钟｜精读III历史监督、TableI时间口径、IV-E真实分母及局限。 https://arxiv.org/abs/2611.14834 ## Scaling VLA Serving Under Robotic Execution Constraints 机器人执行约束下的VLA服务扩展 2026-11-11（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Yue Zhang; Zicong Ye; Lufang Chen; Dance Yang; Mingyang Li; Zhenwei Duan; Michael Zhao; Ziye Deng; Starrick Liu; Ruizhi Chengze; YongHua Chen; SongAo Han; Yu Sun; Ran Yu; Xiaofan Li; Ruyi Gan; Hao Wang。原文以X Square Robot Team团队署名，未公开逐人作者及机构映射；提供XInfer开源仓库。生产部署与机器人数量是团队自述，不当作第三方独立审计，模板ICML样式不代表正式接收。 ### 研究问题与威胁模型 共享GPU增加吞吐可能延迟机器人关键反馈，尤其接触/对齐阶段；仅EDF排序无法抢占已发出的GPU工作。研究服务干扰、突发负载与时变SLO，无恶意租户或攻击输入验证。 ### 核心技术与创新 异步分阶段ViT/Prefill/Action管线结合中央调度，依据剩余计算、干扰和预期紧急请求到达决定优先级与stage准入。应用提供每请求预算，执行commitment与预算选择不由调度器自动认证。 ### 实验结果与证据边界 3模型ERC为18/15/24机器人，Robion11/10/19；ERC主指标response P50<150ms及零request错误，不是零物理事故。真实单机器人加200ms导致完成包裹产出降29.6%；多机器人包裹吞吐由测得延迟映射单机曲线并外推，非全fleet实测。异构SLO实验95%达标时18对Slack-Gate15机器人。 ### 学术价值与研究启发 价值是将执行新鲜度需求带入准入，而非只追GPU利用率；启发：用碰撞/力约束和p99截止遗漏代替仅P50产能阈值复核。预算依赖应用提供，流量预测失准和硬件变化需重标定，服务可用性不等于闭环物理安全。 ### 阅读建议 ★★★★☆｜高｜70–95分钟｜精读§2请求契约、§4干扰准入、§6 ERC定义与AppendixA投影边界。 https://arxiv.org/abs/2611.14969 ## OverServe: Resource Amplification Attacks on SaaS Agents via Tool--Prompt Co-Design OverServe：联合工具与提示设计放大SaaS Agent资源消耗 2026-11-10（首次提交，UTC）｜arXiv预印本；未核实正式接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Ruiheng Yu; Oteo Mamo; Siyu Gan; Weikuan Yu; Mulong Luo。Ruiheng Yu、Oteo Mamo、Weikuan Yu、Mulong Luo署名Florida State University；Siyu Gan属Johns Hopkins University，机构邮箱由原文核对。本篇研究订阅SaaS中租户任务和MCP工具组合造成的计费/资源风险，不推断未标通讯身份。 ### 研究问题与威胁模型 恶意租户使任务完成后的Agent反复确认状态，额外消耗服务商模型/工具调用。假定攻击者可提交通过单独审查的状态工具与完成条件提示，并有受控后台更新；不应把单工具正常退出误判为全流程资源有界。 ### 核心技术与创新 多Agent分别生成/审查工具与提示，再联合选择服务特定组合；比较相同初态下Quiet与Churn，工具如实返回当前状态但并发更新持续改变条件。选九类业务基准及命令行任务，保留原业务与附带检查，分别统计工具调用、API请求或耗时而非混成统一指标。 ### 实验结果与证据边界 五企业工作流×四受害模型20报告案例调用放大几何均值10.30倍；AppWorld Sonnet最高93.88倍是API请求，非全部模型平均或真实账单倍数。基准特定执行上限影响结果，原始任务检查均通过，但没有验证攻击者额外同步要求完成。受控状态模拟、选择性任务、不同基线/审查输入限制线上泛化；扫描未告警不能证明工具全安全。 ### 学术价值与研究启发 价值：揭示单组件审查可能漏掉跨组件活性条件，合法业务完成也可伴随资源滥用。启发：明确停止契约、端到端预算和重复状态查询检测，同时测正常长任务误终止；不能把并发更新模拟当生产SaaS已受攻击或任意权限用户可执行。 ### 阅读建议 ★★★★☆｜高｜50–75分钟｜精读§3权限/状态条件、§5表1/2与附录C预算聚合、局限。 https://arxiv.org/abs/2611.14808 ## Runtime Safety and Emergency Stops on a Full-Size Humanoid: Deployment Lessons and a Case for Graduated Force Authority 全尺寸人形机器人的运行时安全与紧急停止：部署教训和分级施力权限 2026-11-11（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Max Conway; Yutong Zhang; Allen Devaraj; William Xie; Alessandro Roncone; Nikolaus Correll。Max Conway、Yutong Zhang、Allen Devaraj、William Xie、Alessandro Roncone、Nikolaus Correll；原文列University of Colorado Boulder CS及University of Notre Dame Aerospace/Mechanical Engineering署名。团队Golem模块化ROS2栈用于电池拆解，分级权限是概念主张而非已部署防御。 ### 研究问题与威胁模型 依赖主动平衡的人形机，断电e-stop本身可能造成跌倒危险；状态陈旧或保守关节限值也可误触同样停机。研究受控推扰与停机失效，非恶意网络攻击，不能把独立安全层等同于安全状态。 ### 核心技术与创新 独立进程核查关节位/速/力矩、估计年龄、heartbeat与硬接线e-stop，限值按厂商90%常规设置。比较同安全层下MJPC与ALMI下肢控制，并提出有责任主体、按场景逐级授予施力权限；安全下跪/受控跌倒方案尚未实现。 ### 实验结果与证据边界 Unitree H1-2站立每控制器15次，相近峰值推力20.4±7.0/22.1±6.9N。MJPC全部需人按停，4.68±2.86秒；ALMI14/15恢复。安全绳接住全部跌倒，未实测落地损伤；90%限值非危害分析认证，vendor行走可超其公布URDF限值。 ### 学术价值与研究启发 价值是把“触发防护”与“进入安全状态”分开，说明停机后动力学也须评估。启发：以状态新鲜度、可恢复域和分级阻尼/受控坐姿共同设计故障响应。单机小样本不能推广所有人形机，概念权限框架未实证，模型/控制器更新还可能使旧授权失效。 ### 阅读建议 ★★★★★｜高｜45–65分钟｜精读III误停、IV推扰与停机后果、VI未实现方案和责任边界。 https://arxiv.org/abs/2611.15928 ## Recover, Don't Just Continue: Learning from Feedback for Physical Failure Understanding and Correction 恢复，而非仅仅继续：从反馈学习物理失效理解与纠正 2026-11-11（首次提交，UTC）｜arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Miao Pan; Kaixiang Yao; Xiaohe Zhou; Xu Wang; Qinfeng Li; Wenqi Zhang; Xuhong Zhang。Miao Pan、Kaixiang Yao、Xiaohe Zhou、Xu Wang、Qinfeng Li、Wenqi Zhang、Xuhong Zhang均署Zhejiang University；文首OmniAI Group of ZJU ACES Lab并给项目页。Pan与Yao共同贡献；未独立核实个人网页及未公开通讯身份。 ### 研究问题与威胁模型 物理子任务未完成却继续执行会沿依赖链扩散；错误原因判断也可能污染后续修复。研究导航/可达性/抓取/控制时序等受控失效，不是对抗攻击或任意失效状态都可恢复的保证。 ### 核心技术与创新 对子任务边界注入单一可观察且可恢复扰动，构造Judge–Cause–Sub–Fine监督；先训练评估再训练修复，OPD/NEPO将真因果前缀的规划知识转至自生成前缀，部署不读取真值。边界观察及公开trace用于从当前状态重写未完成任务。 ### 实验结果与证据边界 Piper5桌面任务、每后端每任务20轮，400总轮；π0.5均值45→62%，LingBot-VLA51→70%。仿真复合任务改善但原子任务可能因重写而下降；Code-Harness固定GPT5.5/接口，不能将跨不同执行器总表当单一匹配对照。未报告碰撞/接触力或最坏修复时延。 ### 学术价值与研究启发 价值是区分成败识别、原因定位和可执行恢复，避免仅重复原指令。启发：加入传感器陈旧、标签错误与不可逆失败的拒绝/降级；数据只保留可恢复可观察样本，现实遮挡与不确定性会削弱判断，五任务实机未证明跨平台普适安全。 ### 阅读建议 ★★★★☆｜高｜65–90分钟｜精读§3扰动筛选与前缀偏移、§4.2互斥执行库对照及§4.5实机。 https://arxiv.org/abs/2611.15651 ## Intent-Aware Protection for AI Agents Intent-Aware Protection：围绕受信意图保护AI Agent 2026-11-12（首次提交，UTC）｜arXiv预印本；原文称向IEEE投稿，不能据模板声称已接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Fady Copty; Neta Haiby; Max Braitmaiere; Julia Korsunsky。Fady Copty、Neta Haiby、Max Braitmaiere、Julia Korsunsky均署名Microsoft，原文逐字保留姓名，不根据摘要“另2作者”的自动模板遗漏第四位。本文以企业部署目的、权限和边界的结构化表达为主，未核实具体实验室/个人经历。 ### 研究问题与威胁模型 动作即使在工具权限内、无注入模式，也可能超出部署角色或组织目的。Intent Drift需要相对可信意图而非只判文本恶意；组织/角色配置也可能模糊，不能将LLM提取意图当完备授权规范。 ### 核心技术与创新 从组织、角色及开发者配置提取Intent Profile，设计执行前/后检测、输入对齐与系统提示加固。887个样本覆盖35Agent，标签先固定再由LLM实现；另在AgentDojo真实执行轨迹测攻击目标效果，比较相同轨迹有无profile，分开模拟行为实验。 ### 实验结果与证据边界 合成四类macro-F1由45%升79%，Out-of-Scope F1由8%升76%。AgentDojo共同有效10505轨迹AUROC0.949，对AlignmentCheck0.909；但阈值0.5时profile precision75.9%、F1 83.8%，低于对照95.9%/93.5%，不能称全指标领先。仅97良性运行，多数负例是失败攻击；输入对齐85%对DataFilter78%的保护率来自模拟LLM评判，非实机阻断。 ### 学术价值与研究启发 价值：将部署目的显式化，并用执行后状态验证补充合成分类。启发：profile随政策/权限变更更新，按真实基率校准阈值，分别测超范围与注入；只有四Agent/GPT4o执行数据，跨角色新鲜度、延迟与低成本监测仍待验证。 ### 阅读建议 ★★★★☆｜高｜55–75分钟｜精读Intent Profile构造、§VII表II/III及§VIII模拟/真实数据局限。 https://arxiv.org/abs/2611.16122 ## Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents Lazarus：重编程休眠神经元，为AI Agent植入权重后门 2026-11-11（首次提交，UTC）｜arXiv预印本；未核实正式接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Yuchen Zeng; Giorgio Severi; Blake Bullwinkel; Eric Horvitz; Dimitris Papailiopoulos。Yuchen Zeng、Eric Horvitz、Dimitris Papailiopoulos署名Microsoft Research；Giorgio Severi、Blake Bullwinkel属Microsoft AI Red Team。原文团队归属明确，项目仓库microsoft/lazarus与作者署名匹配；本篇将休眠容量分析与部署前checkpoint审查联系。 ### 研究问题与威胁模型 第三方或更新后的模型权重可能在正常评测中表现良好，却在上下文出现特定普通字符串时生成攻击者指定动作。攻击者需要能编辑权重，不是仅发送提示就能植入；须分开触发输出、真实执行、正常能力及权重完整性。 ### 核心技术与创新 研究末层前馈网络中少量休眠神经元的权重篡改，形成触发条件下的连续payload输出，结合解析构造与局部参数细化。在多个开放权重模型、查询/观察触发和不同Agent包装下测泛化，另以无干净参考模型的checkpoint检测评估可检测结构。 ### 实验结果与证据边界 Nemotron-Terminal-8B七神经元/23拟合轨迹的Lazarus-SGD ASR98.80%、观测到的良性payload泄漏0；Qwen3.6-27B六神经元/23轨迹ASR仅51.0%，增至2393轨迹后83.7%，不能统一外推98.8%。无参考检测对测试checkpoint召回91.4%、误报9.7%；非零误报且只覆盖已构造后门族。ASR主要是payload产生条件，不能视为真实机器凭据盗取率。 ### 学术价值与研究启发 价值：说明微小权重差异也可能形成强条件行为，正常评测和签名来源均不足单独排除恶意供应者。启发：模型文件如代码审计，联合可信来源、权重异常、触发测试与执行权限边界；已知结构可检测不等于任意未知权重后门均可发现。 ### 阅读建议 ★★★★★｜高｜70–100分钟｜精读威胁权限、表1与评测拆分、checkpoint检测及§07局限；重点区分生成和工具执行。 https://arxiv.org/abs/2611.15118 ## When Safety Becomes an Attack Surface: Manipulating Abstention in Tool-Using AI Agents 当安全成为攻击面：操纵工具Agent的拒绝行动 2026-11-11（首次提交，UTC）｜arXiv预印本；未核实正式接收；原始资料已核对，跨库自动核验未运行 ### 作者与团队 Charles Xiao。原文作者Charles Xiao，未列可核实机构或实验室，本期不根据同名人物猜测背景。论文定位为风险措辞与证据来源的反事实Agent实验；团队入口明确使用Scholar检索而非冒认个人档案。 ### 研究问题与威胁模型 低信任内容中的伪风险警告可使Agent放弃合法任务，构成可用性攻击。安全拒绝应检查风险主张及来源权威，且恢复行动不能牺牲机密性；“不采取动作”本身也是需验证的决策。 ### 核心技术与创新 AgentAbstain 63任务对中先检查可注入性，取51可达对、约21环境，三模型比较默认/谨慎优先提示；再在15对文档子集和7对措辞/机密对照测试Verify-Before-Abstain及来源信任封装，报告配对检验与置信区间。 ### 实验结果与证据边界 Gemini诱导过拒绝由9.8%升86.3%，其干净完成同为96%；DeepSeek21.6→64.7%、GPT27.5→41.2%，但后两者干净完成也下降。主实验每条件每任务一次，部分子集重复seed；来源验证提高文档任务完成，却在敏感内容/伪权威控制中暴露保密局限，不能称通用安全防御。51分母排除12个界面丢弃注入文本任务，非完整基准普遍失败率。 ### 学术价值与研究启发 价值：将谨慎提示可能导致的拒绝操纵转成可检验的可用性问题。启发：先校验风险证据来源、再比较行动与拒绝的后果，联合测合法完成和敏感泄漏；小子集措辞差异并非所有模型显著，不能把所有安全警告视为攻击。 ### 阅读建议 ★★★★☆｜中｜40–60分钟｜精读§4可注入筛选、表1/2及§5.3来源/机密控制。 https://arxiv.org/abs/2611.14864 ## 行业动态：Humanoid Safety Summit议程聚焦动态稳定机器人安全 官方议程未单列首次发布日期｜事件日期：官方计划2026-11-13在Stuttgart举办；截至检索未取得会后完成记录 主办方列出动态稳定工业移动机器人工作组交流，以及Boston Dynamics、Agility Robotics、NVIDIA等安全议题，覆盖协作、安全标准与Physical AI。页面是活动议程，不能据日期已过就断言所有演讲已经完成，更不能称新标准已获批准或实施。 本体稳定、独立停止和环境感知保护需要系统级验收。可与本期人形e-stop论文结合，区分主动切断驱动、维持平衡与对人员/设备避免伤害；标准研讨和产品认证是不同事实。 https://arena2036.de/en/reader/humanoid-safety-summit/ ## 行业动态：Johnson Controls披露EasyIO FW管理通信风险 2026-11-12｜事件日期：公告11月12日；厂商列示修复固件V3.0b26于9月30日发布 公告称EasyIO FW V3.0b25及以下存在CVE-2026-106018，涉及管理通信中凭据和会话数据被截取。厂商CVSS4.0为8.7，向量包含高权限、特定条件和用户交互；不能仅凭“认证绕过”名称写成任意未认证攻击。V3.0b26默认禁用HTTP，属于此前已发布修复的新披露，本期未独立复现。 楼宇边缘控制器应分别验证身份、传输保密和实际配置变更。模型侧检测无法弥补管理链路暴露，设备安全评估还需记录部署前提与安全更新对正常控制的影响。 https://tyco.widen.net/s/vjx8pwggnq/jci-psa-2026-42 ## 行业动态：OpenAI公布ChatGPT Wallet逐笔授权与支付令牌机制 2026-11-13｜事件日期：11月13日公告；初期面向美国ChatGPT Pro用户的dots 公告称每次购买先由用户核对商品、金额与卡片，经生物识别等检查批准，再由支付网络提供替代真实卡号的令牌。初期限定用户与地区；按参数预先批准完全委托购买仍是后续愿景，不能当作当前能力。安全效果按产品声明转述，未独立测绕过。 将身份检查绑定到交易对象、金额和执行时刻，可减少泛化授权的歧义；仍需测试提示注入能否改变批准后内容、订单状态和目标。支付令牌隐藏卡号不能自动证明购买符合真实用户意图。 https://openai.com/index/introducing-chatgpt-wallet/ ## 行业动态：IBM扩展Vault的Agent身份与运行时可观测能力 2026-11-12｜事件日期：11月12日官方文章；并购及集成进度按IBM陈述，未视为全部功能已GA IBM结合AuthMind讨论注册、委托、短期凭据、动作审计与风险撤销，强调凭据离开Vault后的使用路径。文章描述正在构建和深入集成的能力，没有提供本期可独立复现的注入阻断率；身份活动图也不等于每个动作均已被正确授权。 可将意图识别、实际权限和跨工具执行放在同一轨迹中测量，比较撤销传播延迟与已生效动作。对有效身份的异常行为应保留正常任务损失、误撤销和故障恢复指标。 https://newsroom.ibm.com/blog-ibm-advances-agent-identity-security-with-new-vault-capabilities ## 行业动态：DeepMind公布AlphaProof Code及Signal验证工件 2026-11-10｜事件日期：原始公告11月10日；11月12日转载不算新发布 研究团队称用Agent生成经Lean检查的证明，验证libsignal编译实现的指定关键安全性质，并公开工件；人类审核形式化规格，两个已修复bug回注作为负对照。该结果不等于整套Signal应用、操作系统或所有物理侧信道均安全，也不将工具自动生成证明等同人工不参与。 可借鉴独立检查器与负对照，把“模型说正确”转为明确规格下可检查结论。迁移到VLA时需补足物理模型、时间界和传感误差假设，不能把纯代码证明直接外推实机闭环安全。 https://deepmind.google/blog/introducing-alphaproof-code/ ## 本期研究热点 去重样本覆盖FPGA保护传感器、RF身份审计、通感隐私、语音前端与视觉后门；具身侧集中于反应式执行、停止、验证、服务和恢复；Agent侧增加轨迹覆盖、意图、权重供应链和可用性。全部新检索稿主要在11月10–12日公开，按7天补充处理，不冒充24小时内发文。 ## 新兴攻击趋势 共享语音Tokenizer可能让扰动跨模型传递，但高WER不等于定向指令执行；视觉编码器可潜伏到干净微调后改变状态；少量权重修改可产生条件payload。工具与提示之间的跨组件循环以及伪安全警告，则把攻击结果扩展到资源消耗和拒绝服务。 ## 新兴防御趋势 生命周期传感校准、适应后供应链测试、可信意图、动作验证和执行连续性均值得跟踪。需以独立检查器、负对照、正常任务代价和实际动作结果约束结论；有效身份、低时延和高任务成功各自只覆盖部分安全链。 ## 研究团队动态 逐篇保留WPI、MIT CSAIL、Aalto及MobileProbe作者等经核实主页；无法核实的履历不补造。产业侧ARENA2036议程关注动态稳定机器人安全，IBM讨论身份到动作可观测，支付产品强调逐笔批准，均与动作授权研究相交但不替代论文复现。 ## 交叉研究趋势 本体状态新鲜度、模型更新、动作队列和权限撤销都有时效边界。传感器告警至擦钥、Agent批准至执行、VLA观测至接触，都可建成带截止时间的因果链；每一环节需要说明同步假设及失效后的安全状态。 ## 今日最值得精读的3篇 ① Poison-then-Hide（2611.14970）：精读五seed、跨数据迁移、适应后Flip-ASR及CLIP-Inspector修复结果，构建模型上线前后双阶段验收。② What Makes a VLA Reactive?（2611.15491）：精读同checkpoint执行策略、实机动作率与连续性对照，辨别时延和可跟随性。③ MobileProbe（2611.16693）：NDSS2027已接收，精读曝光覆盖、轨迹偏移与预算匹配；隔离虚拟设备结果仍需实机验证。 ## 科研选题：安全动作的完成期限 把物理采样、告警、推理结束、审批、动作队列和最终安全状态逐一打点。对人形停止比较断电、阻尼与受控恢复，记录观测年龄、剩余稳定域、接触力和停止距离；不能只记安全按钮已触发。此为编辑待验证方向。 ## 科研选题：动作块中的环境变化与模型适应 先测新鲜度、连续性和算力抖动对VLA闭环的影响，再在干净微调前后重复相同扰动与触发测试。比较自然延迟、攻击者可控时间偏差和模型后门三种机制，报告误动作与正常任务损失，避免混成一种漏洞。此为编辑提出的研究方向。 ## 科研选题：从未曝光到错误拒绝的评测全景 将任务划分为没遇到攻击、遇到且抵抗、发生恶意动作、合法任务被拒绝及资源超预算，分别给分母。用真实低攻击基率校准阈值，保留动态路径和权限变化；不要用AUROC或原任务成功率替代所有安全目标。此为编辑建议。 ## 值得持续跟踪 FPGA检测—响应竞态及老化；RF跨session身份信号；通感存在隐私；可听语音扰动的物理传递；干净适应后的视觉后门；人形安全停机；动态VLA执行与p99时效；恢复误判；移动Agent曝光覆盖；可信意图与权重审计；SaaS预算及安全警告操纵。