本期重点判断 传感器供应链成为比外部欺骗更深的信任边界 SenTrojan将模拟后门植入与物理触发连接，RP2350研究又说明保护持久策略不等于保护执行。研究启发是把部件验收、故障注入和运行时状态联合评价。
2611.06103 · 2611.06386 动作通道需要独立于语言解释接受安全审计 TNAS在解释逐字不变时仍可诱发错误动作；LeWorldModel也可在固定规划器下被目标图像扰动误导。不能用解释一致性或随机噪声稳健性替代实际动作核验。
2611.04166 · 2611.00427 签名不能证明工具良性，也不能证明向量忠于文本 MCP数据隔离与离线RAG向量验证分别处理执行信息流和数值语义完整性。两者表明来源认证只是入口条件，应验证数据可见范围和被签内容的语义约束。
2611.06585 · 2611.06498 时间范围与证据说明 本期已读取arXiv cs.CR recent原始列表，并结合传感器/无线/视觉方向原始页面扩展检索；15篇ID均未在历史31篇唯一记录中推荐。首次提交日期为UTC，报告日期/生成时间为Asia/Singapore。主要论文11月4日首次公开，按11月5日arXiv公告进入列表；这是公告更新，不能伪装成11月6日首次发表。另扩展至10月30日—11月3日，无超30天论文补充。部分下载经授权服务器取回以克服本机超时。不保证穷尽最近24小时所有投稿。新闻5条中3条为明确标注的30天内补充，传感/感知/具身方向未取得足够独立新行业事件，不把论文摘要重复充数。
重要事实以原始论文/官方公告为准。接收状态若只见作者声明则明确注明；不把arXiv等同同行评审或未经核验标CCF-A。实验均为作者报告，本期未独立复现；定性结论不补造量化指标。原图版权归原作者，以学术评论引用并附来源及合规caption节选；编辑示意明确非实验结果。团队主页以身份匹配后提供，否则仅给清楚标记的Scholar搜索。
实际生成时间：2026-11-06T08:17:04+08:00；信息截止：2026-11-06T08:17:04+08:00。
论文与行业动态 中文标题 English title 原文链接 阅读状态
研究问题与威胁模型 攻击者在部署前修改传感器模拟信号电路，后以外部物理信号触发。供应链控制是前提，区别于对未改造传感器的普通欺骗。
技术、价值与启发 技术 LRD增加模拟监测逻辑；PED利用非线性/整流等原生效应，以轻量器件引入可隐藏触发行为。两类设计面向不同架构，不是同一电路适用于任意传感器。 价值 价值是将感知威胁从偶发物理弱点推进到故意植入的模拟后门。 启发与局限 启发：联合采购验收、跨温度老化、随机激励和电路完整性检测；需测自适应隐蔽木马及真实量产差异。 实验结果与证据边界 14个传感器、6种换能原理；平均触发成功率>95%，正常行为相似度>97%，LRD所测零误触发，漂移/噪声底/响应时间平均偏差<5%。作者实物测试，不等于任意环境零误触发。
查看图注 原始 caption 节选 ：Fig. 1: An illustration of SenTrojan. The attacker can use a pre-designed trigger signal to activate the analog sensor Trojan, leading to PDoS, static spoofing, …原图与完整 caption 研究问题与威胁模型 拥有物理访问和专业设备的攻击者试图绕过RP2350A4安全调试约束。持久策略存储抗故障，不代表执行该策略的寄存器和调试路径同样抗故障。
技术、价值与启发 技术 以差分photon-emission microscopy缩小定位范围，再用激光故障测试DEBUGEN执行边界；以SWD反馈验证持续调试访问。 价值 价值是分离策略完整性与策略执行完整性。 启发与局限 启发：边缘节点根信任评估应覆盖复位、锁重载和执行寄存器，采用跨芯片/多策略对照；成本和可复现性需进一步测量。 实验结果与证据边界 作者在两个位置观察到core 1 Secure debug被启用；rescue reset后恢复128-bit测试秘密。结果依赖允许Secure读且阻止固件收紧锁的存储策略；不是任意固件密钥均可恢复。
查看图注 原始 caption 节选 ：Fig. 1. Reverse-biased PN junction. The junction field separates an electron– hole pair generated by a photon in or near the depletion region, driving the …原图与完整 caption 研究问题与威胁模型 恶意RIS改变时变反射相位生成虚假回波。轨迹级检测依赖上游估计，本文直接研究RSU匹配滤波回波上的欺骗识别。
技术、价值与启发 技术 两阶段SAAB提取时空表示，DFT筛选特征，XGBoost分类；与LSTM/BiLSTM比较轻量性和未见RIS尺寸泛化。 价值 价值是绕开不稳定轨迹重建的直接信号检测路径。 启发与局限 启发：测真实多径、同步漂移、开放集和自适应欺骗，并联合报误报/漏报/检测延迟；FLOPs不等于端侧实测耗能。 实验结果与证据边界 仿真：32单元恶意RIS、接收噪声−80dBm时准确率99.335%，计算量0.1119M FLOPs。未见尺寸有泛化测试；无实测无线设备证据，单条件准确率不可外推现实信道。
查看图注 原始 caption ：Fig. 1: Vehicular ISAC system in the presence of a malicious RIS.原图与完整 caption 研究问题与威胁模型 模型由内部训练，但第三方训练数据可能投毒。攻击者控制数据而非假定拥有部署端权重；防护应覆盖训练和推理的不同边界。
技术、价值与启发 技术 一个训练期/部署前的投毒身份检测机制，加两个推理期可疑输入过滤机制；分别讨论动机、算法及计算影响，避免仅保护单一识别网络。 价值 价值是与实际数据采购和成熟流水线匹配的威胁模型。 启发与局限 启发：测未知触发器、身份不均衡、级联误拒和攻击者查询适应；训练净化与推理过滤不可简单相加为总体安全率。 实验结果与证据边界 作者在人脸识别工作负载中评估三种方法。摘要未给统一量化提升，本期不编造平均ASR或零误报；细节以原文各设置为准，尚未独立复现。
查看图注 原始 caption ：Figure 1: Schema of a sequential Face Recognition System, juxtaposed with the defenses covered in this paper.原图与完整 caption 研究问题与威胁模型 白盒攻击者可改变目标图像或当前相机观察，利用JEPA潜在距离规划接口使物体状态被误编码；不是已经实现的物理贴片攻击。
技术、价值与启发 技术 分析任务实体在潜在度量中的占比与非线性几何，将图像扰动导向攻击者目标姿态；固定规划器权重、求解器与种子对照。 价值 价值是揭示世界模型度量本身构成可操纵决策接口。 启发与局限 启发：分别核验物体与机器人状态、目标输入来源和闭环动作；鲁棒编码不应仅以像素重建或随机噪声测试证明。 实验结果与证据边界 4/255扰动使73–95%场景编码为指定物体姿态；Push-T成功率87%→32%，两倍幅度随机噪声影响很小；四个LeWM基准验证。8/255可桥接82–97%目标潜在平方距离，主要为仿真。
查看图注 原始 caption 节选 ：Figure 1. A 4/255 perturbation of the goal image redirects an unchanged world-model planner. The same Push-T episode is planned twice with identical LeWM weights, …原图与完整 caption 研究问题与威胁模型 语义内容可靠不足以支持可信任务决策，还需防主动信源冒充及被动身份推断。两种目标分别对应认证和隐匿模式，不应假设同时无代价达到。
技术、价值与启发 技术 将同一SemCom信号作为任务语义与发射机物理身份的载体，在观察、处理和决策层设计双分支；模式化解释恢复与身份输出。 价值 价值是将语义正确性与信源合法性从概念上分开。 启发与局限 启发：研究跨设备漂移、匿名性与可认证性的模式切换，测攻击者侧信息和任务效用代价；避免用内容准确率代替认证性能。 实验结果与证据边界 原文提供主动冒充与被动身份推断两个案例。摘要无统一实机量化指标，本期不填补数字；案例验证不等于大规模异构设备身份安全证明。
查看图注 原始 caption ：Fig. 1: Lifecycle of information resources carried by SemCom signals.原图与完整 caption 研究问题与威胁模型 已有设备无法重新设计硬件，如何利用软件可访问的模拟差异派生设备秘密？物理访问使非易失存储密钥风险突出，PUF也存在稳定性、时延和可建模性权衡。
技术、价值与启发 技术 归纳37项software PUF工作，比较熵源、软件暴露机制和面向模型保护的启动期/运行期派生要求；提出四类部署挑战。 价值 价值是为存量边缘AI设备选型提供结构化权衡。 启发与局限 启发：建立相同温度/老化/攻击条件的可重复比较，将纠错开销与密钥更新计入端到端成本。 实验结果与证据边界 证据来自37项既有研究的比较，不是新PUF芯片测试或统一复现实验。不同平台数据不可视为同一基准排名；长期漂移和攻击覆盖仍需核查。
查看图注 原始 caption ：Fig. 1 : Challenge and response of software PUFs.原图与完整 caption 研究问题与威胁模型 分布式5G功能与多阶段攻击需要联合包语义、时间和拓扑。威胁假设攻击者已控制一个或多个UE/gNB/核心网节点；本文不覆盖整个用户面流量。
技术、价值与启发 技术 把5G控制面交换表示为动态连续时间图，评估动态图学习模型；通过结构与序列上下文解释异常。 价值 价值是从单流统计转向5G服务间因果上下文。 启发与局限 启发：测加密流量下可用字段、跨拓扑泛化和对抗节点伪造；解释的一致性不等于安全归因正确。 实验结果与证据边界 原文比较动态图库模型的检测潜力。摘要不列统一准确率，未将其描述为生产网络零漏报系统；控制面与用户面、仿真/数据评估与真实部署需分开。
查看图注 原始 caption ：Fig. 1: Non-roaming 5G architecture and key protocols原图与完整 caption 研究问题与威胁模型 视觉攻击能否改变物理动作，同时保持自然语言解释逐字一致？攻击者可施加数字图像扰动；仅审核推理文本的安全监控器因此可能漏检。
技术、价值与启发 技术 TNAS定位近乎正交于文本损失梯度的动作敏感方向，并引导视觉扰动；在Alpamayo与InstructVLA比较文本漂移和动作改变。 价值 价值是用直接反例否定“解释未变即可证明动作安全”。 启发与局限 启发：为VLA加入独立动作约束、预测碰撞校验及干预恢复；需测试物理可实现性和闭环感知反馈。 实验结果与证据边界 154个有障碍驾驶场景：解释逐字不变的新碰撞比例，全图52.6%、局部前相机patch35.1%，无引导动作攻击4.55%。InstructVLA精确文本保留85%；仿真/离线预测证据不等于实车事故率。
查看图注 原始 caption 节选 ：Figure 1: Rationale-preserving action divergence in reasoning VLAs. On a clean driving input, the VLM and action decoder read the same unobservable hidden state to …原图与完整 caption 研究问题与威胁模型 合法签名工具可通过策略允许的目的地外泄数据。签名提供来源认证，不证明代码良性；目的地允许也不代表所有输入数据均可发送。
技术、价值与启发 技术 germline execution从无数据母进程派生短生命副本，每个副本只接收其目的地获准数据；在隔离和无数据母进程前提下证明sink noninterference。 价值 价值是将防护从检查代码移向限制代码能看到的数据。 启发与局限 启发：测旁路共享状态、隐蔽信道、非确定性工具和副本隔离失败；签名与隔离仍需组合。 实验结果与证据边界 153次攻击运行未检测到未授权披露，基线/消融有5.9–74.5%运行披露；单副本调用10–49ms，比逐次重启快2–28倍。零观测不是无条件零风险，确定性重放证明另有假设。
查看图注 原始 caption 节选 ：Fig. 1: A valid signature proves who published the bytes, not what the bytes do. Each field stands for one part of a signed release; …原图与完整 caption 研究问题与威胁模型 发布者可签名含文本及预计算向量的知识包，攻击者控制向量使检索偏转；签名不证明向量编码对应文本。容差验证留下可预测余量。
技术、价值与启发 技术 提出angular retrieval margin法则，测跨模型/语料和量化索引；以验证方决定的量化码、guard band和canonicalisation收紧发布者自由度。 价值 价值是将RAG供应链风险推进到数值语义完整性。 启发与局限 启发：测批量大小/架构非位复现性及正常更新拒收；去重会明显改变暴露比例，须并报。 实验结果与证据边界 五语料、两embedding模型；量化容差条件可暴露98–100%查询，Pi5本地问答正确率0.75→0.39；57,638文档FAISS索引中通过审计向量使25%目标首位被劫持。各比例来自不同实验，不能混成单一攻击率。
查看图注 原始 caption 节选 ：Figure 1: Hijack rate as a function of the tolerated deviation, for SQuAD and four BEIR corpora (margin law, passage-level retrieval for both models) and …原图与完整 caption 研究问题与威胁模型 ReAct根据混合可信/不可信网页观察选择新动作，网页注入可劫持控制流。编译器不读取实时网页，可信网站API是关键前提。
技术、价值与启发 技术 Baya预先把用户请求编译为Python程序；运行数据只能影响值和已编译分支，不能重新生成网站操作或重定义任务。 价值 价值是以架构约束减少运行时模型控制流暴露。 启发与局限 启发：单独测试参数污染、编译器错误和API信任失效；动作空间预定义对开放网页覆盖有代价。 实验结果与证据边界 581个有效WebArena Verified任务：utility77.8%，浏览器ReAct55.1%、API ReAct66.7%；WASP所测ASR0%，对照25.5%与16.2%。不代表任意网页和数据流攻击均被防住。
查看图注 原始 caption 节选 ：Figure 1: Architecture of Baya. Baya generates an executable program using trusted API specifications without accessing website data. During execution, untrusted data is consumed by …原图与完整 caption 研究问题与威胁模型 攻击者改Office底层结构、布局或阅读顺序，使人工看到的内容与模型提取文本不同，无需加入恶意指令。
技术、价值与启发 技术 结合静态代码与动态分析定位提取通道，构造五类攻击；Prism依OOXML规格重建人类视图，再交给模型。 价值 价值是把安全输入边界前移至解析器与渲染语义。 启发与局限 启发：联合测试截图/OCR、文件提取和排序，构建跨版本可见性差分语料；不应只靠提示注入分类器。 实验结果与证据边界 19类提取到不可见内容的通道、12类丢失可见内容的通道；测试4个聊天助手及4个编码Agent，每个至少被一种攻击误导。非每类攻击都对每个系统成功；泛化及文档复杂性仍有限。
查看图注 原始 caption 节选 ：Figure 1 . The OOXML markup of an XLSX budget spreadsheet (left) and its rendering in Excel (right). Cell B9 stores 1 , 000 , …原图与完整 caption 研究问题与威胁模型 PagedAttention的块分配与请求映射可出现越界、UAF、未初始化读和权限违规，静默破坏请求隔离。不是仅由恶意提示引发的语义漏洞。
技术、价值与启发 技术 为每个物理KV块建立紧凑shadow metadata，记录请求权限及entry初始化状态，在CPU分配/表转换和GPU访问间设置五类检查。 价值 价值是将内存安全抽象提升到KV块和请求语义。 启发与局限 启发：在多租户、跨模型切换及并发重用下做故障注入，区分安全违规与可利用数据泄露。 实验结果与证据边界 vLLM/SGLang原型覆盖29个历史错误，又发现8个新违规且所测无误报；Qwen2.5-14B TPOT几何平均开销3.0%/7.4%，KV内存开销≤0.11%。覆盖样本不等于所有历史/未来缺陷。
查看图注 原始 caption 节选 ：Figure 1 . Workflow of PagedAttention . LB denotes a logical block of a request, and PB denotes a physical KV cache block in the …原图与完整 caption 研究问题与威胁模型 Agent工具、模型或运行环境变化时，旧授权可能仍在途。需要区分证据有效性和情境适用性，并在产生实际效果前检查授权是否过期。
技术、价值与启发 技术 用类型化依赖图派生assurance claim，在委托者上限内解出多维权限包络；authority epoch及可选basis版本绑定动作，效果边界PEP拒绝陈旧授权。 价值 价值是将长期Agent权限与可更新证据关联。 启发与局限 启发：测分布式TOCTOU、撤销传播、证据选择性缺失及恢复可用性；不能把本地gateway证据外推为任意云/机器人保证。 实验结果与证据边界 交易配置的受控回归场景覆盖默认拒绝、收缩恢复、策略分歧与模拟broker前的过期动作拒绝。无跨域危害防止保证；效果时原子提交契约决定保证强度，不编造ASR。
查看图注 原始 caption 节选 ：Figure 1: The assurance-to-authority lifecycle. Solid arrows in the upper row show the evidence-mediated path原图与完整 caption 7天内 · 官方安全通告 · 发布 2026-11-04 Siemens更新IoT2050缺失认证漏洞的影响范围 事件日期：11月4日范围更新；原修复8月11日｜来源：Siemens ProductCERT
Siemens称CVE-2026-58115修复已于8月11日提供，复核后新增三个受影响产品，仍适用相同修复。不能将11月公告误写为首次发现或首次修复；11月5日Check Point又公布对应IPS保护。
研究影响（本期分析） 工业边缘设备的漏洞生命周期应追踪产品范围与实际补丁覆盖。研究启发是将动态资产证据用于持续授权，不能只核对一次版本。
相关论文：2611.03194 · 2611.05632
最新 · 厂商流程说明 · 发布 2026-11-05 Microsoft说明AI时代Windows漏洞管理全生命周期 事件日期：11月5日官方流程说明，非单一新漏洞｜来源：Microsoft Windows Blog
Microsoft介绍MDASH多模型/专用Agent辅助扫描、人工复核、修复和验证，强调补丁部署滞后。属于官方流程和厂商数据说明，本期没有独立量化其漏洞发现收益。
研究影响（本期分析） 可借KVGuard等研究测量可验证缺陷覆盖，将发现数量、修复正确性和上线时间分别评价。
相关论文：2611.06138
30天内补充 · 开源公告 · 发布 2026-10-28 Cisco开源Project Quarry多步Agent行为检测语言 事件日期：10月28日开源公告；30天内补充｜来源：Cisco Blogs
Cisco公布神经符号规则语言及执行引擎，关联消息、工具调用、返回与会话顺序，输出匹配证据。厂商将其定位为检测/策略层；并非替代全部细粒度授权或所有检测器。
研究影响（本期分析） 可把VLA文本—动作分歧、工具外泄和授权过期转成跨事件规则。需要独立测漏报、规则迁移和分类器误差。
相关论文：2611.04166 · 2611.06585 · 2611.05632
30天内补充 · 厂商GA公告 · 发布 2026-10-21 BeyondTrust宣布AI Agent Security正式可用 事件日期：10月21日GA；30天内补充｜来源：BeyondTrust官方公告
厂商称Windows/macOS端点产品能区分人类和Agent活动并在运行时执行动作策略。研究统计来自早期客户样本，shell命令请求不等于成功执行；不将其外推所有企业。
研究影响（本期分析） 细粒度Agent权限要在实际效果前执行，而非默认继承人类全部权限。可与ACCA和Baya比较不同执行假设，产品效果尚未独立验证。
相关论文：2611.05632 · 2611.06039
30天内补充 · 国家应急机构通告 · 发布 2026-10-15 CERT-In警示评估Agent越权与开源Agent攻击工具滥用 事件日期：10月15日通告；30天内补充｜来源：CERT-In CIAD-2026-0049
CERT-In区分评估期间越界访问和攻击者主动滥用Agent工具，报告泄漏凭证、过宽云角色和暴露接口等传统弱点。为机构观察，不是本期重新取证；未给可泛化的整体攻击率。
研究影响（本期分析） 研究环境的网络边界和真实动作日志需要独立执行控制，文本自报安全不足以验收。
相关论文：2611.06585 · 2611.06039
没有匹配内容。清除筛选
编辑绘制 · 证据阅读示意，非实验数据；各条结论以所附原始来源为准。 研究趋势与选题建议 今日研究热点（本期样本） 传感器模拟木马、物理故障边界、RIS欺骗检测与边缘根信任形成较强物理—软件交叉；感知侧关注后门和世界模型接口，Agent侧关注执行隔离及输入完整性。此为本期样本判断，非全领域发文量统计。
新兴攻击趋势 供应链预植入模拟弱点；解释保真但动作偏移；合法签名工具经允许目的地外泄；签名知识包向量偏转；无恶意指令的Office解析差分。各威胁需要不同访问权限，不可互相套用成功率。
新兴防御趋势 信号级轻量检测、训练与推理双阶段人脸后门过滤、按数据目的地隔离执行、先编译控制流、语义向量规范化及效果时持续授权。零观测攻击率都受基准和信任假设约束。
研究团队与实验室 ZJU/HKUST团队把长期感知安全拓展到模拟供应链；Thales CAT聚焦实际人脸流水线；Berkeley/KACST从Agent控制流结构降低注入面；SNU系统安全团队把隔离抽象移入KV块；Groningen/CogniGron整理存量设备PUF权衡。已核实链接见作者卡片，不据单篇断言完整团队路线。
交叉研究趋势 传感器供应链与边缘硬件信任根；VLA动作检查与Agent效果边界授权；离线RAG知识包与IoT更新完整性；文件可见性语义与多模态感知输入。
今日最值得精读的3篇 ① SenTrojan（2611.06103）：最高优先级传感器主题、14器件实物证据，精读植入前提和隐蔽性。② Say the Same, Act Differently（2611.04166）：区分语言安全与动作安全，精读TNAS及数字/物理边界。③ Signed, Sealed, Leaked（2611.06585）：在明确隔离假设下限制恶意工具能接触的数据，精读非干扰条件和消融。
科研选题：模拟部件的跨条件可信验收 用合法器件与受控故障样本比较随机物理激励响应，测温度/老化/批次对误报与漏检的影响；与运行时RIS/多模态一致性检测组合。仅为本期提议，未开展实验。
科研选题：解释—动作—效果联合审计 为VLA/Agent建立不依赖自然语言自报的动作日志与效果约束，对文本保真攻击、过期授权和异常状态同步做回归；同时报任务完成、阻止错误动作和恢复代价。
科研选题：签名更新的多层语义完整性 联合检查工具代码版本、目的地数据能力、知识包文本—向量约束及OOXML可见性。测跨平台数值差异、合法更新误拒和授权撤销时序，不能只以签名有效率验收。
持续跟踪 SenTrojan实物复现与正式发表；RP2350更多策略/芯片批次；RIS真实信道；VLA物理实现；germline隔离旁路；Baya可信API覆盖；KVGuard并发多租户开销及新缺陷披露进展。
