本期重点判断 保护传感器也需要被保护，识别能力不等于身份可信 NonSense把检测、响应、温度与老化放进同一保护链；其新老化表征不能被写成现实攻击成功率。RF指纹审计则显示硬件家族和采集session可能贡献分类信号。设备身份与传感告警需要独立、跨环境验证。
2611.17065 · 2611.14835 VLA反应性取决于动作新鲜度与连续性，而非单一推理速度 动态操作研究显示动作率、重规划和连续性共同决定实机成功，额外自适应采样甚至可能增加延迟。VLA服务的P50可用性指标、低延迟验证器的任务成功收益，都还不能单独证明碰撞或接触力安全。
2611.15491 · 2611.14969 · 2611.14834 紧急停止触发后，系统是否进入安全状态仍需实测 全尺寸人形研究在安全绳保护下比较恢复与按停，说明切断驱动力和防止跌倒是不同动作；其分级权限框架尚未得到全部实证。故障恢复模型也主要验证可恢复桌面任务，尚无最坏修复时延和接触安全保证。
2611.15928 · 2611.15651 攻击未被遇到，不能记作Agent成功抵抗攻击 MobileProbe显式测量路径偏离导致的未曝光，改善动态GUI注入评估；Intent-Aware的AUROC提升不等于默认阈值precision、F1均更好。需要报告真实曝光、阈值、权限和状态变化，避免把静态测试通过当部署保障。
2611.16693 · 2611.16122 时间范围与证据说明 本期为11月14日当天日报，信息截止锁定2026-11-14 08:00:00 Asia/Singapore，真实生成时间另行记录。24小时、7天与30天窗口均以此计算，与此前150篇唯一论文按ID及规范化标题去重。近24小时内高优先级可核实论文不足时扩展近7天，逐篇标真实首次公开、版本及状态。新闻按事件和公告日期区分，新发布与近期补充分开，不以媒体转载日伪装原始事件日期。
检索安全顶会官方索引与arXiv原始摘要/全文，按领域、质量、时间和创新价值筛选。官方列表及原文可访问程度不一，不能声称检索穷尽；未经目录核实不标CCF-A。自动跨库核验helper缺失，保留UNVERIFIED标志，与原始书目、全文、实验和图片的人工核对分开。实验数据均为作者报告，未独立复现；系统失配、自然故障、可控攻击与编辑假设分别描述。厂商公告不等于独立安全验证。原图用于学术评述，版权归作者，附原始来源及合规caption节选；编辑示意非实验结果。
实际生成时间：2026-11-14T08:11:23+08:00；信息截止：2026-11-14T08:00:00+08:00。
论文与行业动态 中文标题 English title 原文链接 阅读状态
研究问题与威胁模型 FPGA防故障攻击依靠RO/TDC/XADC探测并触发擦钥，但采样、告警和最终响应都可能受同一时钟/电源影响。攻击者具非侵入物理扰动能力；本文整合既有绕过结果并补充环境/老化表征，不能把引用攻击统称为本文新实验。
技术、价值与启发 技术 区分sensing、alarm和response路径，分析PDN空间/频率响应、温度与寿命漂移。以加速老化测RO/TDC基线、分布式TDC测温度空间差异，提出异步保护、健康监测、有界补偿和受控重标定；这些建议不是已证明完备的安全架构。 价值 价值：传感器发出告警不等于保护动作已完成，长期基线也不是固定真值。 启发与局限 启发：把采样至擦钥完成的时序、故障域隔离与全寿命阈值纳入联合测试，区分检测失败/响应失败/健康失效；异步仍受电压与传播延迟影响。 实验结果与证据边界 Arty S7-50/Spartan7 XC7S50在85°C、1.2V(名义1.0V)、重负载下做0–535小时12阶段老化，25°C稳定后读数；RO约202.3→197MHz(−2.6%)，TDC tap约−44%。这是加速应力样本的传感漂移，未量化这些漂移分别造成多少现实攻击成功率，不能直接外推自然寿命。
查看图注 原始 caption 节选 ：Fig. 1 : Sensor architecture on modern FPGAs: Sensing and response modules are implemented using mixed-signal and digital circuits, respectively.原图与完整 caption 研究问题与威胁模型 语音前端tokenizer语义表示被小幅加噪后，ASR和音频语言模型可能共同失真。攻击者离线构造数字音频、利用已知语义编码器集成并测试跨模型转移；不是证明远场扬声器/麦克风物理注入已成功，噪音也非人耳不可感知。
技术、价值与启发 技术 T-SemAttack联合漂移多semantic encoder表示，加感知约束保可用语音；分析层间漂移与梯度一致性。ROSETok用噪声—干净训练提升重建/语义稳定性，另用去噪、重采样等评估抗处理迁移；系统级拒绝/人工复核不在已测防御之列。 价值 价值：把音频前端当跨ASR/Agent共享攻击面。 启发与局限 启发：比较数字与物理链路、不同压缩与说话者、时间戳/帧级一致性及任务成功风险；高WER不是定向命令执行率，抗去噪不证明所有检测和降级策略无效。 实验结果与证据边界 Seed-TTS随机各200中英文、LibriTTS，9ASR/4LALM。Seed-EN GPT4o-mini-transcribe WER1.907%→49.457%，跨9系统平均2.598%→81.872%（含白盒surrogate、WER可>100%）。AIR-Bench平均回答评分7.58→5.48。主观MOS-Q3.01，只表示可接受含噪，不可称不可感知；ROSETok训练约96.7k小时/8H100。
查看图注 原始 caption 节选 ：Figure 1 : Gaussian Noise vs. T-SemAttack across Tokenizers. We feed the pre-quantized representations from each tokenizer into SmolLM2-135M Allal原图与完整 caption 传感器安全 / 隐私保护 / IoT安全 · 2026-11-11（首次提交，UTC） Harnessing Environmental Scatterers for Endogenous Target Covertness in 6G ISAC: A New Paradigm for Sensing Security 借助环境散射体隐藏6G通感目标的存在
arXiv预印本；2026-11-11首次公开；正式venue未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 未授权warden可从通感回波判断目标是否存在，降低位置估计精度并不隐藏存在本身。合法基站知道目标/散射体特征，warden没有对应抵消知识；该信息不对称是隐蔽性关键，不保证知道环境图的强对手同样受限。
技术、价值与启发 技术 将已知物体、ambient backscatter或RIS作为类目标scatterers，形成真假目标混合回波；基站重建并抑制已知散射分量，warden做target-present/absent假设检验。强调无需额外专用干扰功率，但布置/知识/校准仍有成本。 价值 价值：分开目标参数保密与存在保密。 启发与局限 启发：测warden获得散射先验、时钟/信道漂移、移动目标与多基站观测；同步和知识泄漏可能消除统计优势，不能仅用SINR差证明实际隐私。 实验结果与证据边界 纯block-fading Monte Carlo：28GHz、400MHz、BS16/warden4天线、64符号，0/5/10/15/20散射体位于目标0.5m内；10dB发射SNR时合法/warden感知SINR差约11dB。未做真实RIS/硬件实验；“absolute covertness”是模型下论证，不是任意环境目标物理消失保证。
查看图注 原始 caption 节选 ：Fig. 1 : Target Warden in ISAC Systems.原图与完整 caption 传感器安全 / IoT安全 · 2026-11-10（首次提交，UTC） What Does an RF Fingerprint Identify? A Cross-Corpus Evaluation of Hardware-Family-Associated and Unit-Level Signal RF指纹识别的是硬件家族还是独立设备？跨语料审计
arXiv预印本；2026-11-10首次公开，正文标2026-09-17；正式venue未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 高设备分类精度可能识别硬件家族或采集session而非稳定单机身份。用真实型号分组与同规模随机分组比较，区分相对关联信号、正的可认证信息下界，以及同型号设备的session混杂；不是构建可直接部署的安全认证器。
技术、价值与启发 技术 WiSig和LoRa使用label-blind设备级cross-fitting，对999种匹配随机分组置换检验；合成前端冻结，报告变分下界、校准和chain-rule残差；同型号ESP32用包级拆分检验单机相关信号，透明说明事后temperature校准选择。 价值 价值：把“可分类”与“身份真实性”拆开。 启发与局限 启发：跨天/接收机/温度重新采集并作设备级隔离，复核预注册与事后更改；这些审计证据不证明所有RF指纹无效，也不证明已能安全认证122设备。 实验结果与证据边界 WiSig/LoRa家族分组均超过999随机组，p=.001为分辨率下限；WiSig没有正的certified bound，LoRa零假设误校准及+0.296bit残差限制效果量。122台ESP32校准下界+3.338bit/熵6.931bit，但训练测试共用逐机采集session，不能分离设备与session。论文明确无Figure，只有4表，故不伪造首图。
研究问题与威胁模型 固定页面注入测试把没有遇到payload的Agent也计为安全，混淆暴露覆盖与抗攻击能力。攻击者控制应用中可编辑文本或假对话框，不修改Agent；需按真实路径定位可控表面并验证CIA目标。
技术、价值与启发 技术 自动探查可控界面，基于良性轨迹选决策点，再以代理筛选和进化反馈优化payload。83实例/12应用（44文本、39假对话框），三Agent架构、每任务三次；迭代方法统一15次预算，payload对比共用注入点，单独报告漏曝光PMR。 价值 价值：将“没遇到攻击”从“抵抗攻击”中分离，便于比较不同感知/执行架构。 启发与局限 启发：持续记录曝光、动作状态与任务成功，以多轨迹覆盖动态界面；需检验更多应用、权限变化及防御，不把攻击优化得分当实机安全结论。 实验结果与证据边界 Gemini/Agentic/GUI-Owl ASR为85.1%/86.3%/85.1%；PMR由专家固定点13.3%/12.0%/22.9%降为4.8%/3.6%/6.0%。对比PAIR为56.6%/54.6%/77.5%，属于相同注入点和预算设置。全部在隔离Android虚拟设备、无实机/生产账号；路径仍可能漂移，83实例未覆盖金融医疗，不能视为所有手机Agent真实漏洞率。
查看图注 原始 caption 节选 ：Fig. 1: Illustration of Insufficient Test Coverage . Two agents given the same task follow divergent execution paths. Agent A …原图与完整 caption 研究问题与威胁模型 攻击者控制预训练encoder并能预期下游任务家族/目标语义，用与受害者微调数据无样本重叠的surrogate。发布时后门隐藏，受害者仅用干净数据全模型微调后激活；不是任意未知任务都激活，也不需攻击者触碰用户微调数据。
技术、价值与启发 技术 先跨模拟微调轨迹优化trigger，再同时学习正常任务与后门，最后针对性unlearning隐藏触发行为。比较Base/Hidden/Finetuned三个状态，分别测clean accuracy、原始ASR与排除目标类/要求预测翻转的Flip-ASR，避免指标基率混淆。 价值 价值：发布前静态trigger检查不足，干净适应可改变后门状态。 启发与局限 启发：供应链验收需模拟预计微调/PEFT再测，核查目标语义和样本重叠；exact clean-label冲突可消除后门，原文并未证明任何unlearning都会激活或所有防御无效。 实验结果与证据边界 五seed、ResNet/CLIP/DINO等及多数据转移。ResNet50跨医院Camelyon17测试，clean87.95±2.73%、原ASR91.94±7.24%、Flip-ASR71.81±12.26%；UC-Merced Flip-ASR87.46±1.55%。已明确CLIP-Inspector能检测/修复其CLIP攻击，LoRA仅单配置；无真实机器人或临床部署验证。
查看图注 原始 caption 节选 ：Figure 1: Setting of finetuning-activated attacks. Checkmark icons denote clean behavior, evil-head icons denote backdoor behavior, and lock icons denote原图与完整 caption 感知安全 / 具身智能安全 · 2026-11-11（首次提交，UTC） What Makes a VLA Reactive? A Study of Execution Strategies for Dynamic Manipulation 是什么让VLA具有反应性？动态操作执行策略研究
arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 动态物体使chunk迅速陈旧，但更频繁重规划也可能重复慢启动、增加等待或破坏连续性。研究π0.5执行策略与自然延迟，不含恶意时间戳攻击或避碰证明。
技术、价值与启发 技术 分开扫描prediction horizon H与执行commitment s，比较同步/异步，适配FASTER、DynamicVLA、RTC、ABPolicy及运动cue/latent RL。用公共策略框架测动作到达更快、块间更连续、动作率变化各自作用。 价值 价值是提供反例：新鲜动作只有机器人能平滑跟随才有用，减推理时延不自动提升动态任务。 启发与局限 启发：将动作年龄、连续性、策略启动行为与尾延迟联合验收；样本小、以任务成功为主，需进一步测接触力/碰撞与未见抖动，不把多方法适配当同等工程优化。 实验结果与证据边界 DOM/DOMINO最佳预测约1秒（25/30步、25/30Hz）。实机传送带checkpoint最佳s分别5/15；s=10同步20%对异步60–75%。快带20→30Hz时ABPolicy13→93%，FASTER0→33%，每bar15轮；AAC额外采样反而延迟且未胜最佳固定s。非普遍1秒最优或独立安全约束验证。
查看图注 原始 caption 节选 ：Figure 1: Dynamic VLA manipulation depends on the interaction between prediction and execution horizons, inference scheduling, …原图与完整 caption 具身智能安全 / 感知安全 · 2026-11-10（首次提交，UTC） Learning Low-Latency Action Verification for Frozen Vision-Language-Action Models 为冻结VLA学习低延迟动作验证
arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 单次采样动作质量不稳定；大VLM评估候选会显著加时延。研究低开销动作成功率排序，不是安全授权、攻击检测或实时无碰撞证明。
技术、价值与启发 技术 从冻结policy自主rollout的终局成败训练紧凑verifier，以当前观测、动作及最多3个历史完成query排序两个候选chunk；VLA本身不改。每任务单独训练、蒙特卡洛终局监督，不能假设跨任务泛化。 价值 价值是比较有效选动作与全query时间，而非只比verifier算子。 启发与局限 启发：把成功排序改为含接触/越权约束并测动态场景；终局信号粗、两候选与少任务限制，延迟含仿真/服务等待，实机完整延迟分解仍未来工作。 实验结果与证据边界 4个LIBERO-10任务均值78.8→82.3%；仿真含overhead query p50 681→718ms、p95 760→796ms，非单独verifier或实机尾延迟。Franka/DROID3任务各方法50轮，均值44.7→67.3%，提升22.6个百分点；15Hz执行8/16动作，未报告独立碰撞率。
查看图注 原始 caption 节选 ：Fig. 1. We propose HDH, a lightweight framework for improving action selection in frozen vision-language-action models.原图与完整 caption 具身智能安全 / IoT安全 · 2026-11-11（首次提交，UTC） Scaling VLA Serving Under Robotic Execution Constraints 机器人执行约束下的VLA服务扩展
arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 共享GPU增加吞吐可能延迟机器人关键反馈，尤其接触/对齐阶段；仅EDF排序无法抢占已发出的GPU工作。研究服务干扰、突发负载与时变SLO，无恶意租户或攻击输入验证。
技术、价值与启发 技术 异步分阶段ViT/Prefill/Action管线结合中央调度，依据剩余计算、干扰和预期紧急请求到达决定优先级与stage准入。应用提供每请求预算，执行commitment与预算选择不由调度器自动认证。 价值 价值是将执行新鲜度需求带入准入，而非只追GPU利用率；启发：用碰撞/力约束和p99截止遗漏代替仅P50产能阈值复核。 启发与局限 预算依赖应用提供，流量预测失准和硬件变化需重标定，服务可用性不等于闭环物理安全。 实验结果与证据边界 3模型ERC为18/15/24机器人，Robion11/10/19；ERC主指标response P50<150ms及零request错误，不是零物理事故。真实单机器人加200ms导致完成包裹产出降29.6%；多机器人包裹吞吐由测得延迟映射单机曲线并外推，非全fleet实测。异构SLO实验95%达标时18对Slack-Gate15机器人。
查看图注 原始 caption 节选 ：Figure 1: Production parcel handling. A carton (top) and a soft parcel (bottom) are reoriented and …原图与完整 caption 研究问题与威胁模型 恶意租户使任务完成后的Agent反复确认状态，额外消耗服务商模型/工具调用。假定攻击者可提交通过单独审查的状态工具与完成条件提示，并有受控后台更新；不应把单工具正常退出误判为全流程资源有界。
技术、价值与启发 技术 多Agent分别生成/审查工具与提示，再联合选择服务特定组合；比较相同初态下Quiet与Churn，工具如实返回当前状态但并发更新持续改变条件。选九类业务基准及命令行任务，保留原业务与附带检查，分别统计工具调用、API请求或耗时而非混成统一指标。 价值 价值：揭示单组件审查可能漏掉跨组件活性条件，合法业务完成也可伴随资源滥用。 启发与局限 启发：明确停止契约、端到端预算和重复状态查询检测，同时测正常长任务误终止；不能把并发更新模拟当生产SaaS已受攻击或任意权限用户可执行。 实验结果与证据边界 五企业工作流×四受害模型20报告案例调用放大几何均值10.30倍；AppWorld Sonnet最高93.88倍是API请求，非全部模型平均或真实账单倍数。基准特定执行上限影响结果，原始任务检查均通过，但没有验证攻击者额外同步要求完成。受控状态模拟、选择性任务、不同基线/审查输入限制线上泛化；扫描未告警不能证明工具全安全。
查看图注 原始 caption 节选 ：Figure 1: OverServe attack on completion confirmation. Benign execution stops once the original task is complete. The attacker co-designs a …原图与完整 caption 研究问题与威胁模型 依赖主动平衡的人形机，断电e-stop本身可能造成跌倒危险；状态陈旧或保守关节限值也可误触同样停机。研究受控推扰与停机失效，非恶意网络攻击，不能把独立安全层等同于安全状态。
技术、价值与启发 技术 独立进程核查关节位/速/力矩、估计年龄、heartbeat与硬接线e-stop，限值按厂商90%常规设置。比较同安全层下MJPC与ALMI下肢控制，并提出有责任主体、按场景逐级授予施力权限；安全下跪/受控跌倒方案尚未实现。 价值 价值是把“触发防护”与“进入安全状态”分开，说明停机后动力学也须评估。 启发与局限 启发：以状态新鲜度、可恢复域和分级阻尼/受控坐姿共同设计故障响应。单机小样本不能推广所有人形机，概念权限框架未实证，模型/控制器更新还可能使旧授权失效。 实验结果与证据边界 Unitree H1-2站立每控制器15次，相近峰值推力20.4±7.0/22.1±6.9N。MJPC全部需人按停，4.68±2.86秒；ALMI14/15恢复。安全绳接住全部跌倒，未实测落地损伤；90%限值非危害分析认证，vendor行走可超其公布URDF限值。
查看图注 原始 caption 节选 ：Fig. 1: A Unitree H1-2 humanoid working alongside the gantry-based RAPID disassembly cell [ 2 ] …原图与完整 caption 具身智能安全 / 智能体安全 · 2026-11-11（首次提交，UTC） Recover, Don't Just Continue: Learning from Feedback for Physical Failure Understanding and Correction 恢复，而非仅仅继续：从反馈学习物理失效理解与纠正
arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 物理子任务未完成却继续执行会沿依赖链扩散；错误原因判断也可能污染后续修复。研究导航/可达性/抓取/控制时序等受控失效，不是对抗攻击或任意失效状态都可恢复的保证。
技术、价值与启发 技术 对子任务边界注入单一可观察且可恢复扰动，构造Judge–Cause–Sub–Fine监督；先训练评估再训练修复，OPD/NEPO将真因果前缀的规划知识转至自生成前缀，部署不读取真值。边界观察及公开trace用于从当前状态重写未完成任务。 价值 价值是区分成败识别、原因定位和可执行恢复，避免仅重复原指令。 启发与局限 启发：加入传感器陈旧、标签错误与不可逆失败的拒绝/降级；数据只保留可恢复可观察样本，现实遮挡与不确定性会削弱判断，五任务实机未证明跨平台普适安全。 实验结果与证据边界 Piper5桌面任务、每后端每任务20轮，400总轮；π0.5均值45→62%，LingBot-VLA51→70%。仿真复合任务改善但原子任务可能因重写而下降；Code-Harness固定GPT5.5/接口，不能将跨不同执行器总表当单一匹配对照。未报告碰撞/接触力或最坏修复时延。
查看图注 原始 caption 节选 ：Figure 1 Failure diagnosis and feedback controls on EB-ALFRED.原图与完整 caption 研究问题与威胁模型 动作即使在工具权限内、无注入模式，也可能超出部署角色或组织目的。Intent Drift需要相对可信意图而非只判文本恶意；组织/角色配置也可能模糊，不能将LLM提取意图当完备授权规范。
技术、价值与启发 技术 从组织、角色及开发者配置提取Intent Profile，设计执行前/后检测、输入对齐与系统提示加固。887个样本覆盖35Agent，标签先固定再由LLM实现；另在AgentDojo真实执行轨迹测攻击目标效果，比较相同轨迹有无profile，分开模拟行为实验。 价值 价值：将部署目的显式化，并用执行后状态验证补充合成分类。 启发与局限 启发：profile随政策/权限变更更新，按真实基率校准阈值，分别测超范围与注入；只有四Agent/GPT4o执行数据，跨角色新鲜度、延迟与低成本监测仍待验证。 实验结果与证据边界 合成四类macro-F1由45%升79%，Out-of-Scope F1由8%升76%。AgentDojo共同有效10505轨迹AUROC0.949，对AlignmentCheck0.909；但阈值0.5时profile precision75.9%、F1 83.8%，低于对照95.9%/93.5%，不能称全指标领先。仅97良性运行，多数负例是失败攻击；输入对齐85%对DataFilter78%的保护率来自模拟LLM评判，非实机阻断。
查看图注 原始 caption 节选 ：Fig. 1: Intent-Aware Security overview. Trusted intent sources ( O ≻ R ≻ D O\succ R\succ D ) are extracted …原图与完整 caption 研究问题与威胁模型 第三方或更新后的模型权重可能在正常评测中表现良好，却在上下文出现特定普通字符串时生成攻击者指定动作。攻击者需要能编辑权重，不是仅发送提示就能植入；须分开触发输出、真实执行、正常能力及权重完整性。
技术、价值与启发 技术 研究末层前馈网络中少量休眠神经元的权重篡改，形成触发条件下的连续payload输出，结合解析构造与局部参数细化。在多个开放权重模型、查询/观察触发和不同Agent包装下测泛化，另以无干净参考模型的checkpoint检测评估可检测结构。 价值 价值：说明微小权重差异也可能形成强条件行为，正常评测和签名来源均不足单独排除恶意供应者。 启发与局限 启发：模型文件如代码审计，联合可信来源、权重异常、触发测试与执行权限边界；已知结构可检测不等于任意未知权重后门均可发现。 实验结果与证据边界 Nemotron-Terminal-8B七神经元/23拟合轨迹的Lazarus-SGD ASR98.80%、观测到的良性payload泄漏0；Qwen3.6-27B六神经元/23轨迹ASR仅51.0%，增至2393轨迹后83.7%，不能统一外推98.8%。无参考检测对测试checkpoint召回91.4%、误报9.7%；非零误报且只覆盖已构造后门族。ASR主要是payload产生条件，不能视为真实机器凭据盗取率。
查看图注 原始 caption 节选 ：Figure 1. Normal, dormant, and Trojan neurons. Normal neurons produce a broad output distribution, while dormant neurons stay flat …原图与完整 caption 智能体安全 · 2026-11-11（首次提交，UTC） When Safety Becomes an Attack Surface: Manipulating Abstention in Tool-Using AI Agents 当安全成为攻击面：操纵工具Agent的拒绝行动
arXiv预印本；未核实正式接收；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 低信任内容中的伪风险警告可使Agent放弃合法任务，构成可用性攻击。安全拒绝应检查风险主张及来源权威，且恢复行动不能牺牲机密性；“不采取动作”本身也是需验证的决策。
技术、价值与启发 技术 AgentAbstain 63任务对中先检查可注入性，取51可达对、约21环境，三模型比较默认/谨慎优先提示；再在15对文档子集和7对措辞/机密对照测试Verify-Before-Abstain及来源信任封装，报告配对检验与置信区间。 价值 价值：将谨慎提示可能导致的拒绝操纵转成可检验的可用性问题。 启发与局限 启发：先校验风险证据来源、再比较行动与拒绝的后果，联合测合法完成和敏感泄漏；小子集措辞差异并非所有模型显著，不能把所有安全警告视为攻击。 实验结果与证据边界 Gemini诱导过拒绝由9.8%升86.3%，其干净完成同为96%；DeepSeek21.6→64.7%、GPT27.5→41.2%，但后两者干净完成也下降。主实验每条件每任务一次，部分子集重复seed；来源验证提高文档任务完成，却在敏感内容/伪权威控制中暴露保密局限，不能称通用安全防御。51分母排除12个界面丢弃注入文本任务，非完整基准普遍失败率。
查看图注 原始 caption 节选 ：Figure 1: Induced over-abstention under baseline and caution-first prompting across the three models on the full S7 + + S8 …原图与完整 caption 近期行业活动 · 按官方计划日期记录 · 发布 官方议程未单列首次发布日期 Humanoid Safety Summit议程聚焦动态稳定机器人安全 事件日期：官方计划2026-11-13在Stuttgart举办；截至检索未取得会后完成记录｜来源：ARENA2036主办方原始活动页
主办方列出动态稳定工业移动机器人工作组交流，以及Boston Dynamics、Agility Robotics、NVIDIA等安全议题，覆盖协作、安全标准与Physical AI。页面是活动议程，不能据日期已过就断言所有演讲已经完成，更不能称新标准已获批准或实施。
研究影响（本期分析） 本体稳定、独立停止和环境感知保护需要系统级验收。可与本期人形e-stop论文结合，区分主动切断驱动、维持平衡与对人员/设备避免伤害；标准研讨和产品认证是不同事实。
相关论文：2611.15928 · 2611.15491
7天内 · 产品安全新披露 · 发布 2026-11-12 Johnson Controls披露EasyIO FW管理通信风险 事件日期：公告11月12日；厂商列示修复固件V3.0b26于9月30日发布｜来源：Johnson Controls原始JCI-PSA-2026-42公告
公告称EasyIO FW V3.0b25及以下存在CVE-2026-106018，涉及管理通信中凭据和会话数据被截取。厂商CVSS4.0为8.7，向量包含高权限、特定条件和用户交互；不能仅凭“认证绕过”名称写成任意未认证攻击。V3.0b26默认禁用HTTP，属于此前已发布修复的新披露，本期未独立复现。
研究影响（本期分析） 楼宇边缘控制器应分别验证身份、传输保密和实际配置变更。模型侧检测无法弥补管理链路暴露，设备安全评估还需记录部署前提与安全更新对正常控制的影响。
相关论文：2611.14835 · 2611.17065
11月13日 · 官方产品公告 · 发布 2026-11-13 OpenAI公布ChatGPT Wallet逐笔授权与支付令牌机制 事件日期：11月13日公告；初期面向美国ChatGPT Pro用户的dots｜来源：OpenAI官方产品公告
公告称每次购买先由用户核对商品、金额与卡片，经生物识别等检查批准，再由支付网络提供替代真实卡号的令牌。初期限定用户与地区；按参数预先批准完全委托购买仍是后续愿景，不能当作当前能力。安全效果按产品声明转述，未独立测绕过。
研究影响（本期分析） 将身份检查绑定到交易对象、金额和执行时刻，可减少泛化授权的歧义；仍需测试提示注入能否改变批准后内容、订单状态和目标。支付令牌隐藏卡号不能自动证明购买符合真实用户意图。
相关论文：2611.16693 · 2611.16122
7天内 · 厂商运行时治理进展 · 发布 2026-11-12 IBM扩展Vault的Agent身份与运行时可观测能力 事件日期：11月12日官方文章；并购及集成进度按IBM陈述，未视为全部功能已GA｜来源：IBM官方产品文章
IBM结合AuthMind讨论注册、委托、短期凭据、动作审计与风险撤销，强调凭据离开Vault后的使用路径。文章描述正在构建和深入集成的能力，没有提供本期可独立复现的注入阻断率；身份活动图也不等于每个动作均已被正确授权。
研究影响（本期分析） 可将意图识别、实际权限和跨工具执行放在同一轨迹中测量，比较撤销传播延迟与已生效动作。对有效身份的异常行为应保留正常任务损失、误撤销和故障恢复指标。
相关论文：2611.16122 · 2611.14808
7天内 · 研究工具与开源工件进展 · 发布 2026-11-10 DeepMind公布AlphaProof Code及Signal验证工件 事件日期：原始公告11月10日；11月12日转载不算新发布｜来源：Google DeepMind官方研究公告
研究团队称用Agent生成经Lean检查的证明，验证libsignal编译实现的指定关键安全性质，并公开工件；人类审核形式化规格，两个已修复bug回注作为负对照。该结果不等于整套Signal应用、操作系统或所有物理侧信道均安全，也不将工具自动生成证明等同人工不参与。
研究影响（本期分析） 可借鉴独立检查器与负对照，把“模型说正确”转为明确规格下可检查结论。迁移到VLA时需补足物理模型、时间界和传感误差假设，不能把纯代码证明直接外推实机闭环安全。
相关论文：2611.14834 · 2611.15928
没有匹配内容。清除筛选
编辑绘制 · 证据阅读示意，非实验数据；各条结论以所附原始来源为准。 研究趋势与选题建议 本期研究热点 去重样本覆盖FPGA保护传感器、RF身份审计、通感隐私、语音前端与视觉后门；具身侧集中于反应式执行、停止、验证、服务和恢复；Agent侧增加轨迹覆盖、意图、权重供应链和可用性。全部新检索稿主要在11月10–12日公开，按7天补充处理，不冒充24小时内发文。
新兴攻击趋势 共享语音Tokenizer可能让扰动跨模型传递，但高WER不等于定向指令执行；视觉编码器可潜伏到干净微调后改变状态；少量权重修改可产生条件payload。工具与提示之间的跨组件循环以及伪安全警告，则把攻击结果扩展到资源消耗和拒绝服务。
新兴防御趋势 生命周期传感校准、适应后供应链测试、可信意图、动作验证和执行连续性均值得跟踪。需以独立检查器、负对照、正常任务代价和实际动作结果约束结论；有效身份、低时延和高任务成功各自只覆盖部分安全链。
研究团队动态 逐篇保留WPI、MIT CSAIL、Aalto及MobileProbe作者等经核实主页；无法核实的履历不补造。产业侧ARENA2036议程关注动态稳定机器人安全，IBM讨论身份到动作可观测，支付产品强调逐笔批准，均与动作授权研究相交但不替代论文复现。
交叉研究趋势 本体状态新鲜度、模型更新、动作队列和权限撤销都有时效边界。传感器告警至擦钥、Agent批准至执行、VLA观测至接触，都可建成带截止时间的因果链；每一环节需要说明同步假设及失效后的安全状态。
今日最值得精读的3篇 ① Poison-then-Hide（2611.14970）：精读五seed、跨数据迁移、适应后Flip-ASR及CLIP-Inspector修复结果，构建模型上线前后双阶段验收。② What Makes a VLA Reactive?（2611.15491）：精读同checkpoint执行策略、实机动作率与连续性对照，辨别时延和可跟随性。③ MobileProbe（2611.16693）：NDSS2027已接收，精读曝光覆盖、轨迹偏移与预算匹配；隔离虚拟设备结果仍需实机验证。
科研选题：安全动作的完成期限 把物理采样、告警、推理结束、审批、动作队列和最终安全状态逐一打点。对人形停止比较断电、阻尼与受控恢复，记录观测年龄、剩余稳定域、接触力和停止距离；不能只记安全按钮已触发。此为编辑待验证方向。
科研选题：动作块中的环境变化与模型适应 先测新鲜度、连续性和算力抖动对VLA闭环的影响，再在干净微调前后重复相同扰动与触发测试。比较自然延迟、攻击者可控时间偏差和模型后门三种机制，报告误动作与正常任务损失，避免混成一种漏洞。此为编辑提出的研究方向。
科研选题：从未曝光到错误拒绝的评测全景 将任务划分为没遇到攻击、遇到且抵抗、发生恶意动作、合法任务被拒绝及资源超预算，分别给分母。用真实低攻击基率校准阈值，保留动态路径和权限变化；不要用AUROC或原任务成功率替代所有安全目标。此为编辑建议。
值得持续跟踪 FPGA检测—响应竞态及老化；RF跨session身份信号；通感存在隐私；可听语音扰动的物理传递；干净适应后的视觉后门；人形安全停机；动态VLA执行与p99时效；恢复误判；移动Agent曝光覆盖；可信意图与权重审计；SaaS预算及安全警告操纵。
