本期重点判断 今日研究热点 本期样本集中于模拟前端与感知信任边界、弱知识攻击以及Agent执行链安全。这反映本期选样，不代表全领域的发表数量统计。
新兴攻击趋势 主动注入可制造可接收泄漏；祖先模型可作为机器人攻击代理；在内容被模型观察前，工具处理已经可能造成资源损害。三者都提示需要检查表征与执行边界。
新兴防御趋势 传感器级回波认证、任务相关的信任锚准入、受保护状态及处理原语资源预算。它们分别约束信号、语义与副作用，尚不能互相替代。
时间范围与证据说明 本期日期：2026-11-04（Asia/Singapore）。论文日期按原始来源日期列示；arXiv采用首次提交日期，而非搜索抓取日期或日报日期。已检索USENIX、NDSS、IEEE S&P、CCS相关公开页面与arXiv；本次可验证的新作不足以组成纯24小时榜单，扩展至近7天、近30天，并补充2篇超过30天的传感器重点研究。此为有限检索下的精选，不宣称穷尽所有新论文。
9篇为预印本（其中1篇作者声明在投），1篇为USENIX Security正式论文。未核实接收的工作均不标记为已接收；不依据arXiv分类授予CCF等级。本期未对其他venue作未经核实的CCF-A标注。实验数字均为论文作者报告，未独立复现。边缘AI一篇仅取得原始摘要，其余结合公开论文HTML或官方发表页面核对。
实际生成时间：首次发布记录未单列；信息截止：2026-11-04。
论文与行业动态 中文标题 English title 原文链接 阅读状态
研究问题与威胁模型 传统分析将电磁注入与被动侧信道分开处理；本文研究攻击者主动照射电磁载波后，原本难以观测的低频秘密是否会转化为可接收的电磁泄漏。攻击面是设备模拟电路的非线性。
技术、价值与启发 技术 利用放大器、ADC 和电源转换器的非线性混频，将秘密信号调制到注入载波。InjectEave 将注入、泄漏测量和反馈连成闭环，而非仅观察设备自然辐射。 价值 本期点评：价值在于扩大了侧信道威胁模型。 启发与局限 可研究自适应注入条件下的泄漏上界，以及抑制泄漏与保持传感器带宽之间的权衡。当前页面不足以逐项核对硬件清单和恢复质量指标。 实验结果与证据边界 官方页面报告：使用可获取的射频设备，对有线及无线耳机音频实现最远30米窃听，并展示穿墙场景；另考察智能家居功耗、模拟传感器输入与座机通话。不应将30米视为所有设备和环境的保证范围。
查看图注 原始 caption 节选 ：Figure 1: Injection-induced EM Side Channel utilizes active EM injection and ubiquitous hardware nonlinearity to pro- duce controllable EM leakage, enabling unconventional EM eavesdropping vectors …原图与完整 caption 研究问题与威胁模型 被动接收方利用差分统计推断发射机位置，可能绕过部分既有定位隐私机制。这里的 spoofing 是合法用户主动保护位置隐私，而不是攻击车辆导航。
技术、价值与启发 技术 设计无需 CSI 的预编码矩阵，使窃听者错误估计离开角差 ADoD；可信接收方通过少量安全共享信息恢复真实位置，并分析伪造几何下的位置偏差。 价值 本期点评：适合研究“同一感知信号、不同授权接收方”的隐私设计。 启发与局限 后续可检验多天线联合估计、已知预编码结构的攻击者、射频约束及侧信息开销。 实验结果与证据边界 论文给出理论分析与仿真：特定预编码参数的渐近极限下，窃听方偏差可趋于无界。当前证据不包含实机无线验证；渐近结论不能直接解释为有限功率系统中的无限定位误差。
查看图注 原始 caption ：Figure 1: NEE results versus SNR(dB) . Set M ϕ = 8 M_{\phi}=8 , K = 2 K=2 .原图与完整 caption 研究问题与威胁模型 高频激光注入可破坏dToF测距并移除点云中的物体；仅在软件层检测异常，无法阻止错误测量产生。目标是在传感器前端完成回波认证。
技术、价值与启发 技术 Dual-Domain Fingerprinting同时随机化脉冲对间隔和幅度比；ED-AFE仅在峰值附近采样，配合激光驱动实现安全性与能耗协同设计。 价值 本期点评：值得把攻击研究延伸为安全芯片架构。 启发与局限 应进一步考察剩余点云损失、自适应强光攻击和整车融合表现，不能把点云保护比例直接当成车辆安全率。 实验结果与证据边界 16通道、65nm CMOS原型报告120米测距、每通道AFE功耗3.1mW；将双域认证用于实测数据的概念验证中，保护点云比例为73%，无DDF时为0%。这是实测数据上的认证验证，不等同于全场景闭环车载防护。
查看图注 原始 caption ：Fig. 1: Comparison between a conventional dToF LiDAR and the proposed secure dToF LiDAR system under spoofing attacks.原图与完整 caption 研究问题与威胁模型 控制器依赖V2I上报的队列信息。攻击者不掌握受害模型，仅观察自身道路入口并虚增该入口车辆数，研究这种弱知识对手能否破坏交通控制。
技术、价值与启发 技术 训练局部观测下的模仿代理，构造受限虚假上报；更关键的是以“直接报告最大可行队列”作为零知识基线，区分复杂优化与感知入口本身的漏洞。 价值 本期点评：实验设计启发是必须纳入简单可实现基线，避免把预算约束导致的固有漏洞误认成代理模型贡献。 启发与局限 可研究基于路侧独立观测的上报交叉验证。 实验结果与证据边界 在需求量±20%变化下攻击仍然有效。论文指出简单最大上报可达到与代理攻击相近的破坏，代理更有助于选择破坏性或自利目标；此处未摘录等待时长具体数值，也未确认道路实测。
查看图注 原始 caption 节选 ：Fig. 1: PPO-based traffic-signal control under a compromised V2I report. Per-lane queue lengths q ℓ q_{\ell} and head-of-queue waiting times w ℓ w_{\ell} are assembled …原图与完整 caption 研究问题与威胁模型 局部替换少量词语即可改变语义，而句级真假评分不能指明被篡改的词；时间区间与转写文本的二次对齐也可能引入错误。
技术、价值与启发 技术 将局部反欺骗建模为带标签的ASR。APSGF在ASR受保护子空间之外融合欺骗特征；RAPO以参考策略奖励为锚，缓解多次采样奖励相近时优化信号不足的问题。 价值 本期点评：可把可信度标注与文本一起传递给语音Agent。 启发与局限 需验证跨语言、未知生成器、压缩及重放条件；同时评估误报标签对下游执行决策的影响。 实验结果与证据边界 论文在五个数据集评估；训练包括VCTK、PartialEdit、AV-Deepfake1M和SCDF，合计超过33万条语音。这里未摘录具体WER及词级检测分数，不能据此声称已实现生产级防护。
查看图注 原始 caption 节选 ：Figure 1: Overview of our framework for joint ASR and word-level spoof detection. ASR and spoof features from two frozen audio encoders are aligned and …原图与完整 caption 研究问题与威胁模型 边缘AI设备受算力、供电及散热限制；软件恶意检测也可能受受损操作系统影响。研究如何持续观察异常执行模式。
技术、价值与启发 技术 使用堆叠硬件安全机制，联合硬件性能计数器与物理传感器构造异常检测，并强调与被监测系统隔离的信任根。 价值 本期点评：值得持续跟踪硬件隔离与物理观测结合；当前证据不足，需补读全文后再评估。 启发与局限 重点追问正常负载漂移、温度混淆和对抗性规避，避免以团队声誉代替实验验证。 实验结果与证据边界 原始摘要称异常应用会在传感器与温度读数中产生可观测偏差，但未列明设备、检测率、误报率及能耗数字。全文页面多次获取失败，因此本篇仅为摘要级跟踪，不作强性能评价。
查看图注 原始 caption 节选 ：Fig. 1. (i) 3D guard-layer configuration with one or more edge intelligence layers and stacked 3D guard-layer, (ii) 2.5D Silicon interposer configuration with multiple edge …原图与完整 caption 研究问题与威胁模型 攻击者无目标VLA参数或梯度，却可访问其公开祖先VLM。问题是基础模型遗传的视觉语义表征是否也传递对抗脆弱性。
技术、价值与启发 技术 分别破坏视觉token、压低指令相关语义证据，再用两阶段课程联合优化；在祖先VLM上得到补丁，迁移到下游VLA。 价值 本期点评：基础模型供应链与机器人安全交叉价值高。 启发与局限 攻击迁移存在架构边界；后续可比较表征重写、动作头平滑与多视角策略的防御作用。 实验结果与证据边界 LIBERO上，5%图像面积补丁的联合攻击使OpenVLA平均任务成功率从68.75%降至33.20%，UniVLA从93.08%降至45.95%。实验包括仿真及真实静态图像，不能据此称为真实机器人闭环物理攻击。
查看图注 原始 caption ：Figure 1 : Threat Model原图与完整 caption 研究问题与威胁模型 间接提示注入可通过外部观察劫持工具调用；静态信任边界又可能拒绝完成任务必需的信息，造成安全与效用冲突。
技术、价值与启发 技术 从用户请求这一初始信任锚出发，结合执行状态审核外部观察，逐步纳入任务必要的新信任锚，减少无关内容进入后续决策。 价值 本期点评：应重点核查信任锚的准入规则和自适应攻击。 启发与局限 可研究跨步骤信任污染的可追溯性，以及增量边界与强制权限控制的组合。 实验结果与证据边界 在AgentDojo和AgentDyn评估。GPT-4o驱动的AgentDyn设置中，攻击成功率从37.80%降至4.37%，下降33.43个百分点；这是指定基准结果，不能推广为所有模型和攻击的通用保证。
查看图注 原始 caption 节选 ：Figure 1: The user asks the agent to book a table on a website using credentials stored in a local file, while the visited webpage …原图与完整 caption 研究问题与威胁模型 攻击指令可混入SOC遥测、工单、检索结果和记忆，逐步污染告警级别与响应建议。相同可疑文本在摘要任务中可能应隔离，在IOC提取中却是必需证据。
技术、价值与启发 技术 将严重程度、事件叙述、响应策略及IOC集合视为受保护状态，按任务选择防御路径并记录污染传播。重点从文本过滤转向状态语义保护。 价值 本期点评：实验应同时测量攻击成功率和证据保真度。 启发与局限 可研究持久记忆写入及跨代理交接的状态不变量；目前不能推断已在真实企业环境验证。 实验结果与证据边界 留出端到端评估表4：任务成功率57.81%→89.06%，攻击成功率42.19%→10.94%，IOC召回率78.13%→96.88%。评估工作流的动作是固定词表中的建议，并非真实SOC自动处置部署。
查看图注 原始 caption ：Figure 1: Prompt-centric filtering and StateFence task-state protection under the same poisoned SOC evidence.原图与完整 caption 研究问题与威胁模型 处理压缩包、网络响应或图像本身就可能产生损害，而内容尚未进入模型上下文。仅在模型读到内容之后进行审查，无法覆盖这一时间窗口。
技术、价值与启发 技术 为恶意输入构造可见字段相同的良性对照，以定位损害来自处理原语；防御在每次处理调用中约束产出字节数，将可观察性和写入副作用分离。 价值 本期点评：这把Agent安全研究推向工具与解析边界。 启发与局限 值得建立统一的CPU、内存、磁盘和网络资源预算，并评估未受控备用工具是否绕开防御。 实验结果与证据边界 7种harness×6种模型中，32/42组合超过4MiB磁盘预算，26/42在模型看到压缩包成员前已经超限。加入字节计数门后，受控解压保持预算内，同时完成25/28项任务；不能推广为所有解析攻击都被阻断。
查看图注 原始 caption 节选 ：Fig. 1: Step Zero for an opaque carrier. (1) The prompt is a bare reference. Before the first call the agent has seen only that …原图与完整 caption 没有匹配内容。清除筛选
编辑绘制 · 证据阅读示意，非实验数据；各条结论以所附原始来源为准。 研究趋势与选题建议 今日研究热点 本期样本集中于模拟前端与感知信任边界、弱知识攻击以及Agent执行链安全。这反映本期选样，不代表全领域的发表数量统计。
新兴攻击趋势 主动注入可制造可接收泄漏；祖先模型可作为机器人攻击代理；在内容被模型观察前，工具处理已经可能造成资源损害。三者都提示需要检查表征与执行边界。
新兴防御趋势 传感器级回波认证、任务相关的信任锚准入、受保护状态及处理原语资源预算。它们分别约束信号、语义与副作用，尚不能互相替代。
研究团队动态 SENSE Lab的InjectEave与其感知及电磁安全方向相连；庆应团队从LiDAR欺骗测量推进到安全芯片。香港城市大学、宁波诺丁汉大学的本期预印本分别探索信任边界和SOC状态保护。单篇新作不足以认定团队整体活跃度排名。
交叉研究趋势 值得关注“传感器证据→多模态理解→VLA或Agent工具执行”的端到端污染路径。词级真假标签、传感器回波认证与任务状态约束可能构成跨层防御，但需要单独实验验证。
科研选题建议（本期推断） ①建立物理信号污染到机器人动作风险的闭环基准，以碰撞、轨迹偏差和恢复率衡量；②比较LiDAR双域认证与融合防御的增益及功耗；③研究带来源与可信度标签的语音/视觉证据如何约束Agent权限；④联合Step-Zero资源门和语义信任边界，测试安全与任务完成率。
最值得精读的3篇 1. Injected and Leaked：主动制造侧信道的新威胁模型，优先契合传感器方向。2. Secure dToF LiDAR SoC：安全认证与芯片能耗协同，并有原型证据。3. Black-Box Adversarial Patch Attacks on VLAs：弱知识攻击与基础模型继承机制的交叉；应仔细读清物理验证边界。
持续关注 重点跟踪SENSE Lab和庆应LiDAR团队；对ATrust、StateFence和Step-Zero记录版本、代码、接收状态和后续复现。两篇较早的重点补充在下一期默认去重，只有重大版本变化才再次推荐。
