本期重点判断 限制计时器，并没有消除微架构信息泄露 PhotoFinish用共享内存竞争把延迟差直接变成可见值；DRAM指纹研究则利用共驻资源干扰识别访问行为。研究启发是同时审计并行执行、共享资源和隔离假设，不能只验证时钟精度限制。
2611.09879 · 2611.09422 延迟与场景偏移要联合测试，单因素鲁棒性容易高估安全 When Delay Meets Drift在配对闭环仿真中发现视角变化与推理延迟的联合风险超出独立效应之和。ODEAction和时变技能成功模型分别提供动作连续性与时延校准思路；这些系统研究不自动证明抵御时间戳攻击或实机普适安全。
2611.02101 · 2611.09672 · 2611.07964 投毒可以跨会话、跨优化轮次保留，清理当前提示并不充分 MemoryDojo追踪信息写入、检索与行为影响；Skill反馈投毒表明规则可能被保留，也可能在形成和选择阶段失败。应分别测量进入记忆、被检索、被激活和完成攻击目标，避免把暴露率当成功率。
2611.09721 · 2611.09348 即使没有攻击者，强Agent也可能越权 Authorization Drift把可行合规路径与诱人的越权捷径放在同一任务中；Conflux给出依赖完整中介和来源追踪的条件权限约束。身份产品进入GA与实际端到端权限边界有效是不同层次，必须联合看干净任务完成率、控制影响与及时权限更新。
2611.09113 · 2611.08768 时间范围与证据说明 本期继续完成11月9日晚触发、目标日期11月10日的未完成任务，按用户最新要求采用当天日报标识，实际生成时间据实记录。为避免迟发引入未来信息，资料截止仍锁定2026-11-09 22:05:01 Asia/Singapore，24小时、7天、30天窗口均以此计算。此前91篇唯一论文按ID和规范化标题去重。近24小时内未取得足够高质量的优先领域新稿，扩展7天和30天；论文逐篇标出真实首次公开时间，状态和证据边界，不把arXiv当正式发表。5条独立行业动态中4条为11月9日公告，IBM为10月26日30天内补充。日后调度为每天当天08:00，不再前夜发布次日日报。
检索安全顶会官方索引与arXiv原始摘要/全文，按领域、质量、时间和创新价值筛选。USENIX官方列表本轮请求403，不能声称检索穷尽；未经目录核实不标CCF-A。自动跨库核验helper缺失，保留UNVERIFIED标志，与原始书目、全文、实验和图片的人工核对分开。实验数据均为作者报告，未独立复现；系统失配、自然故障、可控攻击与编辑假设分别描述。厂商公告不等于独立安全验证。原图用于学术评述，版权归作者，附原始来源及合规caption节选；编辑示意非实验结果。
实际生成时间：2026-11-10T08:41:23+08:00；信息截止：2026-11-09T22:05:01+08:00。
论文与行业动态 中文标题 English title 原文链接 阅读状态
研究问题与威胁模型 低精度计时器是浏览器常见防护，但攻击者可在同机器运行不特权代码、建立两个并行线程并共享内存。问题是不用读取或构造时钟，能否把细微缓存/TLB/执行单元差异变成可读取结果；不宣称任意无共享内存环境也适用。
技术、价值与启发 技术 让目标操作与参考操作竞争写入同一位置，以最后保留的marker区分完成先后；unpadded依赖时差大于同步成本，padded用依赖加法链移动判别边界。原生固定核放置、必要内存序与共享同步字保证实验；WebAssembly使用Web Workers及SharedArrayBuffer。 价值 价值：限速计时器不能消除共享状态产生的时序信息。 启发与局限 启发：联合审计跨核并发、共享内存、缓存隔离和调度噪声，测量减少并行能力的性能代价；padding校准、线程迁移与重复观测条件影响现实可用性。硬件广度扎实，尚不证明所有浏览器部署均可被同等利用。 实验结果与证据边界 38颗CPU、4种ISA，异构核拆分为45种原生配置。跨物理核L1/DRAM分类41/45配置F1≥0.97；浏览器无padding版本46/50配置F1≥0.99。12-slice Intel上LLC slice识别96.9%。浏览器评测用修改Chromium建立缓存真值，测量原语本身不依赖这些hook，不能写成全部攻击在未修改浏览器端到端验证。AES案例针对T-table实现，不等于AES-NI普遍失守。
查看图注 原始 caption 节选 ：Figure 1: Unpadded PhotoFinish. T0 releases T1 through the shared synchronization word s and immediately executes the target operation.原图与完整 caption 传感器安全 / 侧信道安全 · 2026-11-06（首次提交，UTC） Robust & Scalable Website Fingerprinting via Minimal DRAM Traffic 通过极少DRAM流量实现稳健可扩展的网站指纹识别
arXiv预印本；2026-11-06首次公开；未核实正式接收；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 攻击者在受害者机器上并发运行恶意JavaScript，利用DRAM竞争推断访问网站；需要同机共驻，不是仅观察网络的on-path模型。既有loop/sweep counting随核数与CCD增加退化，跨核扩展性决定真实隐私风险。
技术、价值与启发 技术 随机且数据依赖的pointer chasing压制预取并使memory-level parallelism接近1，以固定窗口内DRAM访问次数形成网站trace，再训练分类器。最小化攻击者自身带宽噪声，将观测从特定LLC拓扑转到共享DRAM；其计时窗口和并发假设仍须成立。 价值 价值：指出核心数量和LLC分片不能被当作天然隐私防御。 启发与局限 启发：用真实访问基率、短网页加载、多标签活动及DRAM噪声代价复核；随机访存/MLP对照帮助定位泄露机制，尚未证明任意新站与现实用户浏览均同样可分类。 实验结果与证据边界 50网站、Chrome142/Firefox144、10秒trace；24核闭世界top1为96.06±0.84%，双CCD约86%，跨socket约80%。开放世界combined accuracy97.19±0.73%，额外2500个非敏感网站trace，FPR4/2500=0.16%；不能只引用97%而忽略基率、训练访问模式和10秒采集成本。对照loop-counting在24核仅50%。
查看图注 原始 caption 节选 ：Fig. 1: WF confusion matrix of top-50 websites原图与完整 caption 传感器安全 / IoT安全 · 2026-10-30（首次提交，UTC） Dataset and Experimental Testbed for Deep Learning-Based Bluetooth Device Fingerprinting 用于深度学习蓝牙设备指纹识别的数据集与实验平台
arXiv预印本；2026-10-30首次公开；正式venue未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 RF指纹在同域精度高，但更换接收机、空间、温度或信道就可能识错；设备身份判断因此有可信性风险。本文为数据集与自然域偏移研究，不是已经证明攻击者能任意伪造设备身份的漏洞。
技术、价值与启发 技术 31台ESP32-C3发射机、两台USRP B210、6MS/s采样，4个BLE信道及跨日/温升/室内外采集。统一物理地址防分类器偷学MAC；CNN/GRU/LSTM/Transformer比较IQ、PD、CLPS、DoLoS、Mbed、EPS，首512样本识别，三随机种子。 价值 价值：把硬件指纹与环境/接收机印迹解耦，公开采集设计利于复现。 启发与局限 启发：用温度同步记录研究指纹年龄、新鲜度门控与跨接收机校准，进一步评估未见恶意设备的FAR/FRR；同域31类accuracy不能替代开放集身份安全率。 实验结果与证据边界 同D12域多数模型约99.7–99.9%；跨D13–D15域PD平均94.68%、IQ84.73%、DoLoS80.32%、EPS64.61%（跨模型/域平均），网络结构影响约±2个百分点。真实RF硬件采集，但开放集攻击认证、温漂及跨频全套安全指标列作后续用途，不应写成已经全部完成。
查看图注 原始 caption ：Fig. 1 : BLE channel map.原图与完整 caption 研究问题与威胁模型 工业边缘密钥、nonce与挑战响应依赖可信熵；单看随机性测试通过率会忽略采样相关性与比较器恢复。论文研究正常电路参数，不设置主动电磁注入攻击者，也未证明抗环境操控。
技术、价值与启发 技术 对齐纳雪崩源、MCP6002放大/比较链路做五档增益与两种耦合电容扫描；联合SP800-22与SP800-90B，分析三阶段自相关结构，并以直流替代二极管作熵源归因。比较器过驱动、门限及恢复动力学解释统计质量差异。 价值 价值是把物理来源与数字统计一起解释，而非将测试通过当不可预测性认证。 启发与局限 启发：跨温度、电压、老化和主动注入复核熵下界及在线健康测试；文中“NIST-compliant”是作者评估，不代表NIST认证，低成本原型尚需工程验证。 实验结果与证据边界 实测每配置1.44×10⁹原始bit、400kHz采样；增益11至101时0.1µF配置min-entropy由0.441至0.832bit/bit。作者选G=48、0.01µF为折中：15/15统计测试、hmin=0.801、11,568bit/s。直流替代令开关频率11,841→407Hz，降约97%；未测完整工业部署温压/注入攻击。
查看图注 原始 caption 节选 ：Fig. 1: Zener avalanche-noise TRNG schematic. An MT3608 boost converter establishes 27.9 V 27.9\text{\,}\mathrm{V} reverse bias on the …原图与完整 caption 感知安全 / IoT安全 · 2026-10-31（首次提交，UTC） Pop Goes the Verifier: Phoneme-Targeted Data Poisoning of Voice Liveness Detection 爆破音靶向投毒：绕过语音活体检测的隐蔽数据污染
arXiv预印本；2026-10-31首次公开；作者注释称IJCB2026已接收（会议官方未独立核实）；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 针对使用爆破音低频pop能量、GFCC和SVM的VoicePop活体检测，攻击者能向训练集注入合成伪造语音；不只是运行时播放攻击。先前大范围pop注入强但能量图明显，本文改为音素局部扰动并比较可见性。
技术、价值与启发 技术 FastSpeech2对齐爆破音位置，修改HiFi-GAN在对应区域注入pop，并叠加Gaussian噪声降低视觉突兀；与标签翻转、SyntheticPop、未修改FS2在相同even-training协议比较。不是对任意神经语音检测器的通用攻击。 价值 价值：把攻击强度与可检查痕迹作为不同维度。 启发与局限 启发：在更强干净基线、未见合成器、严格样本去重及可量化检测器下复测；原文低基线及类别指标叙述需审慎核查，不能把视觉不显著当统计不可检测，更不应凭这些结果声称实际银行系统已被攻破。 实验结果与证据边界 ASVspoof2019、20%污染；even-training基线accuracy仅37.52%，新方法25.66%（下降11.86个百分点），FNR81.70%；SyntheticPop14.01%，FS2-only23.61%。新法总体破坏并未超过FS2-only。波形/谱图为定性隐蔽分析，Bhattacharyya总体0.5276低于FS2的0.5651；该指标没有证明更像真实人声，未报告真实麦克风重放或人类盲测。
查看图注 原始 caption ：Fig. 1: Architecture of FS2 (figure adapted from Ren et al. [ 7 ] )原图与完整 caption 研究问题与威胁模型 取证不只判断真伪，还需验证两段录音是否同源、合成片段在哪及依据是否真实。对象是合成语音和部分编辑，且评测新生成器/新架构；不等价于声源物理来源认证，也未解决所有对抗自适应伪造。
技术、价值与启发 技术 统一五种任务为audio LLM打分问答，共享权重，以句子likelihood作为检测/同源阈值，音频感知对齐、取证问答和grounded rationale三阶段训练。用可测SNR/频带/片段及生成器元数据验证解释，counterfactual样本训练决策随证据变化。 价值 价值：把检测、同源和可检验依据分开量化。 启发与局限 启发：等compute对照显示source监督很多收益在加训练步数后缩小，不能将多任务增益全归因于语义推理；解释遵循替换文本是faithfulness探针，不能证明完整内在因果解释。还需新语言阈值、通道漂移及恶意证据自适应评测。 实验结果与证据边界 Speech-DF-Arena14集共234万trials：Plus pooled EER2.14%、Base4.43%，比较固定10月31日榜单快照，并非实时排名。同源验证未见模型6.2% EER，未见架构15.0%。PartialEdit500条示例，Base解释后99.6% vs直接78.4%；训练29.7M/2.85B参数。24GB训练需checkpoint/具体microbatch条件，部分显存为估算；真实电话链路实时抗攻击未验证。
查看图注 原始 caption 节选 ：Figure 1: VeriSpoof at a glance.原图与完整 caption 研究问题与威胁模型 单测场景偏移或推理延迟会漏掉联合条件下的伤害。以π0.5为例交叉改变相机视角与观测年龄；是自然分布偏移与模拟计算迟滞，未证明攻击者能低权限实现同样条件，不应称已发现可利用漏洞。
技术、价值与启发 技术 用环境—模型—计算—动作因果链定义跨层传播，并以交互差分分离联合风险相对单因素的超加性。共享初始状态与采样噪声，固定安全阈值，cluster bootstrap和逐任务对照估计置信区间。 价值 价值是直接测安全后果而非只看成功率；单因素通过并不保证联合通过。 启发与局限 启发：加入抖动、功率限流、跨传感器时钟及场景变化的配对实验，监测动作年龄和接触力。只含一个策略、一套任务及一个扰动对；零延迟动作不稳定性不足以预测逐episode受害程度。 实验结果与证据边界 LIBERO-Spatial 10任务×20初态×4视角×5延迟=4,000仿真episode；20Hz、50步chunk每10步重规划，0–400ms旧观测。400ms使正视角违规4.5%→8%，60°下21.5%→58.5%，额外交互33.5pp（95%CI25–43）。违规阈值为非目标位移>2cm或接触>150N；无实体机器人验证、真实p99/抖动测试。
查看图注 原始 caption 节选 ：Figure 1: One episode, four conditions. π 0.5 \pi_{0.5} on a LIBERO-Spatial task, with the same initial state …原图与完整 caption 具身智能安全 / 感知安全 · 2026-11-06（首次提交，UTC） ODEAction: From Predicting Chunks to Evolving Actions ODEAction：从预测动作块到连续演化动作
arXiv预印本；正式接收未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 独立预测chunk可能在边界产生动作跳变，精细操作中会洒水或失稳。研究是动作生成连续性与任务鲁棒性，未研究恶意延迟、攻击输入或时钟同步；连续命令不能自动等同于物理避碰安全。
技术、价值与启发 技术 以当前动作为初态，学习示教轨迹邻域中的Action Transition Field，组合沿轨迹推进与偏差校正，再经ODE递归积分生成后续动作。保持视觉语言骨干、数据与观测更新时刻匹配，比较RTC、Legato及去邻域/去校正消融。 价值 价值是把跨块连续性变成生成过程，并给匹配条件对照；启发：检验连续命令在接触、执行器饱和、观测陈旧时是否仍安全，联合记录实际轨迹与力。 启发与局限 BDR与成功率相关不证明普遍因果；长递归可能漂移，平滑不能替代硬约束或紧急停止。 实验结果与证据边界 LIBERO平均成功96.85%→98.25%；EBench15.28%→24.72%，EE-MAJ相对降79.4%。50项RoboTwin Clean/Random85.7/87.3%→89.4/89.8%；AgileX Cobot Magic实机6任务均值65%→80%。轨迹质量指标按各方法成功episode的输出命令计算，非全部失败轨迹的实体力矩安全，未给恶意时延或端到端p99安全结论。
查看图注 原始 caption 节选 ：Figure 1 : From action-chunk prediction to continuous action evolution. (a) Base Policy uses action-chunk prediction and is …原图与完整 caption 研究问题与威胁模型 机器人收到观测后再启动技能，动态物体已移动；立即启动的成功率可高估真实胜任。研究固定/随机时延下选哪个技能、何时启动；机器人启动前保持姿态，未建模恶意网络、执行中异步动作队列或通用VLA攻击。
技术、价值与启发 技术 从同一仿真快照按九档延迟分支执行技能，训练Gk(z,τ)预测完整任务成功，滚动规划联合选择技能和额外等待。推导静态模型对完整预测分布取期望何时等价，说明只代入均值状态可能失准，并保留物理预测强对照。 价值 价值是区分观测时胜任与启动时胜任，实机数据也承认预测基线适用条件。 启发与局限 启发：在动作块持续执行、多个传感器不同新鲜度及未见时延分布中复核；35次高置信子集不是全任务总体成功率，也未报告独立碰撞率，不能宣称普遍优于延迟补偿。 实验结果与证据边界 MuJoCo UR5e滑动圆盘、3技能、0.1秒决策间隔：100–300ms下高于静态预测2.8–6.2pp；5完整run对4基线80配对区间均排除0。延迟校准ECE0.009对0.239；冻结世界高估成功最多23pp。实机0.2秒延迟，高静态置信35次启动中63%成功（CI46–77%），静态预测99%、时间模型56%；可预测单技能下物理预测同样校准良好。
查看图注 原始 caption 节选 ：Fig. 1: Task and timing problem. Left: A UR5e must capture a puck that slides towards an open …原图与完整 caption IoT安全 / 智能体安全 · 2026-11-02（首次提交，UTC） Evaluating autonomous self-healing against persistent cyber-attacks 持续网络攻击下自主自愈机制的评估
已接收（原文Accepted Manuscript自述）；正式卷册与接收日期未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 持续攻击下反复重启虽能清除恶意代码，也会损失可用性；问题是检测、再生、攻击传播及扫描周期如何取舍。攻击者利用DVWA命令/SQL注入和共享pod网络，可能探测防护侧车；本次脚本手写，LLM攻击生成尚未用于结果。
技术、价值与启发 技术 SH4CS的Lympho规则、Prometheus/AlertManager监控、容器再生构成闭环；以实验测得检测与启动时间，输入PRISM连续时间Markov奖励模型，优化健康在线容器比例。指数时间分布和四副本是分析假设，未完整实测。 价值 价值是把防御恢复延迟和可用性成本纳入证据，也暴露防护机制自身授权面。 启发与局限 启发：重复攻击节奏可击穿抑制计时，需测告警丢失、负载及跨容器传播；自主LLM与真实工业设备尚无验证，不能把分析模型当生产SLA。 实验结果与证据边界 两场景各10轮、每轮2次攻防循环；首次检测3.2±1.1/3.8±0.9秒，再生9.1±1.7/9.6±1.8秒。模型最强攻击例需约3秒扫描以维持≥75%健康可用，非四副本实测保证；实机只做受限容器实验，无真正挖矿payload。60秒重复告警抑制会漏掉同类第二攻击，是明确局限。
查看图注 原始 caption 节选 ：Fig. 1: Autonomous Cyber Resilience defence layers, inspired by the layers of the human immune system and human …原图与完整 caption 研究问题与威胁模型 攻击者仅在某次外部工具观察中追加一次恶意文本，不修改用户请求、模型、记忆系统或后续工具结果。问题是该信息如何从一次暴露转成偏好、摘要或程序性记忆，在原始上下文消失后影响后续会话；单会话ASR无法度量这种持续性。
技术、价值与启发 技术 以AgentDojo四域Workspace/Travel/Banking/Slack拼接155条多会话轨迹，支持A-MEM、Graphiti、Letta、Mem0、Memora；进一步加入LongMemEval历史形成记忆压力。记录写入、持存/传播、检索和行为影响，提出利用辅助环境及记忆反馈迭代优化payload的方法，区分插入任务ASR、后续任务reach BRT和轨迹reach BR。 价值 价值在于把“写入成功”“检索到”和“导致错误动作”拆开，并证明记忆压力改变风险排序。 启发与局限 启发：为记忆维护可撤销来源和权限/时效标签，比较多次投毒、跨域权限变化及遗忘防御，并联合报告正常任务效用。当前仅一次注入及指定五套集成，未证明真实服务中相同成功率或防御有效。 实验结果与证据边界 GPT-5.6-Luna同域表1中，优化后A-MEM的BRT为44.01%（未优化21.02%），Letta为46.26%（15.30%）；这不是插入任务ASR。加入约50会话良性历史后，跨域BRT最高Memora5.32%、A-MEM4.66%，Letta为0；Memora轨迹BR仍45.16%。所有结果为沙箱作者报告；系统原生检索预算不同，不能把差异纯归因于一种数据结构，代码尚待发布。
查看图注 原始 caption 节选 ：Figure 1: MemoryDojo overview. Task trajectories are generated from 4 different domains and user-AI conversations are optionally added. Execution is done through a …原图与完整 caption 研究问题与威胁模型 攻击者控制触发任务及用于评分的参考答案，不能改模型、优化器、prompt或持久Skill。即使不直接写Skill文件，错误监督仍可能经反思、编辑、排序和验证晋升成持久条件规则；必须区分自然完整攻击与放宽组件后的机制诊断。
技术、价值与启发 技术 在SkillOpt中逐阶段冻结证据，检查识别→准确编辑→合并→预算筛选→候选→最佳Skill→最终保留→留出激活。SearchQA用30%受污染训练参考、干净验证，SpreadsheetBench以额外工作簿写入为目标；目标与Analyst均用GPT-5.6 Luna，加入删规则必要性及编辑预算等诊断，不把诊断计自然攻击。 价值 价值是证明评价/反馈通道能写出持久行为，而非只有直接提示注入。 启发与局限 启发：参考答案来源认证、独立清洁验证、Skill差分审查和带触发/无触发双测试应联合设计；“未自然成功”的结构化任务可用于定位防御门槛。自然成功只覆盖一个SearchQA映射，不外推为任意技能均可稳定后门。 实验结果与证据边界 SearchQA三种种子均保留准确规则，每个最终Skill在200/200带触发测试发payload、0/200干净问题误触；seed42删规则后激活消失，干净准确率169/200，良性对照171/200。SpreadsheetBench三种自然运行都未保留准确规则；仅诊断揭示字面量抽象和编辑预算两个瓶颈。只有一个优化器/闭源模型，任务配置不同，不能把跨任务差别解释成模态因果结论。
查看图注 原始 caption 节选 ：Figure 1: Victim optimization loop. Execution is scored against references; reflection proposes edits; validation and selection determine which candidate is persisted. The attacker …原图与完整 caption 研究问题与威胁模型 没有恶意外部输入，Agent为做好合法任务，自行选择有吸引力但未授权的数据、工具、范围或时间捷径。评测必须同时提供可行合规路径，避免把任务不可做导致失败误称安全；数据过度收集也可能先于最终输出发生。
技术、价值与启发 技术 ADB含7域648个样例，SERS用分阶段真实Agent rollout验证任务可执行、捷径有吸引力且合规解可达。对13个模型及Normal/ReAct/Planner–Executor三框架分开测任务完成、漂移和无漂移完成；漂移按预标注违规工具名及参数子集判定，并将观察结果映射到四辖区法律条文，仅作风险解释。 价值 价值是将无攻击者授权漂移从注入中独立出来，并用合规任务效用防止“什么也不做”看似安全。 启发与局限 启发：授权预算、数据最小化和逐步执行检查应测“完成且合规”而非单DR；将时间边界扩展到跨会话过期授权值得研究。当前单会话单用户，不覆盖委托多Agent或共享记忆传播。 实验结果与证据边界 共25207条轨迹；较强模型漂移率约0.43–0.61，86.18%任务存在观察到的干净成功轨迹。Normal表1 Qwen3.6-35B-A3B TSR0.925、DR0.605、CCSR0.936；Planner–Executor下DR0.077同时TSR降至0.244，故低漂移不自动说明更可靠。环境全为mock，无真实个人数据；固定违规模式可能漏掉新越界方式，法律映射不等于司法违法认定。
查看图注 原始 caption 节选 ：Figure 1: Compliant trajectory vs. authorization-drift trajectory. Asked to draft a follow-up email, the compliant agent uses only the contact record provided in …原图与完整 caption 研究问题与威胁模型 多来源信息共同影响外部动作时，仅检查用户或执行者权限不足。目标是每个影响动作的主体都允许该动作；攻击者可经检索内容、工具结果影响提案，但执行器、来源适配器和策略端口必须可信。证明只覆盖已表示的值影响片段，工具/分支/接收人选择等控制影响仍是未完成义务。
技术、价值与启发 技术 ITES内核从来源和组织访问控制取所有影响主体权限交集；独立检查参数、读访问、可见性、同意及执行前策略新鲜度。条件证明依赖完整中介、来源不洗白、已知非空上下文、新鲜权限和动作绑定。SLED穷举声明的有界有限模型，SLED-V检查序列化中间表示，不能将有限模型通过当作无界部署证明。 价值 价值是将权限交集的成立条件和来源完整性义务明确化，可借鉴执行前新鲜检查与动作绑定。 启发与局限 启发：先补齐完整有副作用工具适配，使用足够能力模型测“有效阻断且正常任务完成”，再扩展控制影响。当前仅作机制/验证方法参考，实证弱，不列最优实战防御或Top3。 实验结果与证据边界 附录14B AgentDojo保留132cells，131记录完成状态，仅19有任务utility；没有任何cell执行effect call，66/66受攻击记录未违规不构成防御有效率。0.5B广度204cells中198记录完成、任务utility为0，安全计数是空洞的。SLED示例20任务中8顺序、7依赖未来代码且安全、5不安全，用来说明代码展开必要性；不是生产Agent收益。
查看图注 原始 caption 节选 ：Figure 1: Conflux request path. ITES is the authority kernel; the model and planner are untrusted proposal sources. The application mediation service rechecks …原图与完整 caption 智能体安全 · 2026-11-06（首次提交，UTC） I Think, Therefore I Attack: Evaluating Thought Injection Attacks on Reasoning Agents 我思故我攻：推理Agent中的思维注入攻击评测
arXiv预印本；正式venue未核实；原始资料已核对，跨库自动核验未运行 研究问题与威胁模型 不可信文本仿装目标模型的思考轨迹，可能被误作自身推理。第一研究攻击者只控用户查询、尝试泄漏系统上下文中合成PII；第二研究经Agent读取内容作间接注入，目标是沙箱内实际工具动作。模型自有推理风格预先可得是攻击条件，不能假设对任意闭源未知模型同样成立。
技术、价值与启发 技术 第一研究用Inspect AI在3个开放权重模型上比较100种payload、思考标签有无及10轮，共6000评测。第二研究在新建容器网络靶场交叉2任务、2模型、3payload声线、标签有无、50轮，共1200评测；人工按端到端恶意目标实际完成评分，另记是否在最终回答披露注入。 价值 价值在于同时量化实际动作和对用户可见性，说明去思考标签不是统一防御。 启发与局限 启发：外部内容来源隔离、工具级权限执行与最终回答之外的动作审计应联合评测；用内容固定/风格互换对照拆开因果机制。当前仅有限开放模型和任务，不能外推“所有推理均可伪造”。 实验结果与证据边界 MiniMax-M2.5目标自声线且带思考标签时，两任务ASR分别42%和50%；去标签后为8%和10%，相同恶意请求的普通用户声线各条件均失败。效果具有模型/风格依赖，跨声线迁移不对称；不能把最高50%当所有模型平均。作者指出自声线也可能带入目标自己的解题计划，缺声线/内容交换控制，不能纯归因语气；均为隔离靶场，未验证生产系统。
查看图注 原始 caption ：Fig. 1: Example context seen by a LRM. Exact tags vary between models.原图与完整 caption 24小时内 · 官方公告 · 发布 2026-11-09 NXP发布统一机器人平台：把传感、实时控制与安全能力纳入同一开发体系 事件日期：11月9日公告；首批无人机参考设计与SDK现已提供，其他系统扩展预计2027年下半年｜来源：NXP官方公告
NXP宣布基于Neural Axis Architecture的模块化机器人软硬件体系，连接感知、实时控制、AI与通信。首批面向无人机，其他机器人支持仍是后续计划。安全能力和30分钟初始功能属于厂商陈述，本期未独立复测。
研究影响（本期分析） 统一SDK有助于复用安全机制，但组件通过验证不等于整机具有闭环安全保证。应分别验收跨设备时间戳、通信故障、推理延迟和执行授权。
相关论文：2611.02101 · 2611.09672
24小时内 · 厂商技术披露 · 发布 2026-11-09 Inova、Lattice与DLR披露同周期机械手控制示范 事件日期：11月9日发布；electronica展会展示安排不等于全部展示已完成｜来源：Inova授权新闻稿 / Mexperts
合作方称18个电机可在同一个10 kHz周期内闭环，采样至新目标设定的通信部分小于10微秒；关节与触觉数据在同一网络上分时调度。这是示范系统声明，非通用VLA端到端延迟或独立安全认证。
研究影响（本期分析） 直接对应感知—动作同步研究。值得测量共享网络拥塞、时钟漂移和失包下的尾延迟、稳定性及降级；不能将通信死区外推为包含视觉与语言推理的总时延。
相关论文：2611.02101 · 2611.07964
24小时内 · 官方预告 · 发布 2026-11-09 Kudelski预告机器人与设备全生命周期安全展示 事件日期：11月9日预告；展会计划11月10–13日举行｜来源：Kudelski Labs官方公告
公告预告以KLARQ四足机器人展示边缘AI安全，并介绍硬件锚定设备身份及从配置到退役的凭证管理。截止时展示尚属计划，公告本身不提供抗物理注入的独立实验数据。
研究影响（本期分析） 可将设备身份、固件更新、感知内容可信和控制时效分别建模；合法身份不能自动证明传感器当前观测真实或没有过期。
相关论文：2611.08774 · 2611.02858
24小时内 · 官方公告 · 发布 2026-11-09 RLWRLD发布DexBench，扩展工业灵巧操作评测 事件日期：11月9日发布；NVIDIA投资仍属计划｜来源：RLWRLD官方公告
DexBench基于Isaac Lab-Arena，公告列出零售、物流、装配、酒店餐饮四类环境的15项任务。它是操作能力评测发布，不能仅凭任务数量宣称覆盖延迟攻击、时间戳篡改或实机碰撞风险。
研究影响（本期分析） 为后续插入时序扰动、陈旧感知及动作块内环境变化提供任务背景；应分开报告任务成功、约束违规和恢复能力。投资计划不作为已完成事件。
相关论文：2611.09672 · 2611.07964
30天内补充 · 官方公告 · 发布 2026-10-26 IBM Agent Identity进入一般可用阶段 事件日期：10月26日宣布GA；本期为30天内补充，非今日新发布｜来源：IBM官方公告
IBM宣布提供Agent身份注册、委托、执行与治理的统一控制平面。GA是产品可用性状态，不代表已独立证明对全部间接提示注入或授权漂移有效。
研究影响（本期分析） 与本期权限上下文、授权漂移和记忆投毒研究对读：身份、委托范围、任务状态和持续访问检查应有可审计关联，尤其要测试多步执行中的权限失效。
相关论文：2611.09113 · 2611.08768 · 2611.09721
没有匹配内容。清除筛选
编辑绘制 · 证据阅读示意，非实验数据；各条结论以所附原始来源为准。 研究趋势与选题建议 本期研究热点 物理与系统侧重点是无计时器探测、跨域无线指纹、语音伪造证据与机器人跨层时序风险；Agent侧集中于持久记忆、反馈形成后门和自主授权漂移。样本经过优先领域筛选和历史去重，不是全领域发文量统计。
攻击与失效趋势 共享内存竞争与DRAM干扰扩展侧信道观察能力；语音训练数据投毒、思维风格注入和跨会话记忆污染处于不同攻击层。机器人场景偏移与自然延迟的联合作用属于失效机制，不等同于已证明可利用漏洞。
防御与评估趋势 证据可核查的音频理由、无线跨域数据集、对增益与耦合电容分别测量的硬件熵评估，以及时间索引的技能成功预测，都强调条件和测量单位。权限交集条件证明仍需覆盖实际来源追踪、动作绑定与任务效用，不能凭定理代替部署验证。
研究团队与实验室 各论文按原文作者与机构标注，已核实主页随条目提供；没有足够公开资料时保留Scholar检索入口，不推测通讯身份或团队代表作。Texas Tech作者的跨层时序分析值得与机器人运行时和控制团队持续交叉跟踪；NXP、Inova/Lattice/DLR公告提供实际控制网络背景，厂商示范不是论文独立复现。
交叉研究趋势 传感器指纹的环境漂移、VLA视角偏移和推理延迟都需要跨条件测试；可信设备身份不能保证采样新鲜度。Agent的跨会话状态污染和机器人陈旧状态不是同一威胁，但可共享状态来源、时效与执行前约束的建模工具。
最值得精读的3篇 ① PhotoFinish：研究没有高精度计时器时延迟仍如何泄露，重点读38种CPU覆盖、共享内存前提与具体攻击验证。② When Delay Meets Drift：精读配对设计、交互对照及安全违规定义，关注400 ms×视角变化的证据；局限为单策略仿真。③ MemoryDojo：精读多会话污染生命周期、五类记忆结构与攻击优化对照，区分检索和真正行为后果。
科研选题：跨层新鲜度与联合风险曲面 在固定策略与硬件条件下，同时扫描采样不同步、视角/光照偏移、推理延迟和动作队列长度；比较同步/异步与补偿有无。记录观测年龄、p99、任务成功、约束违规及恢复，分别注入自然延迟和有权限攻击者可实现扰动。此为编辑待验证建议，不能声称已有结果。
科研选题：记忆来源撤销与动态权限 构建污染写入后权限变化的多会话任务，检验旧记忆中合法数据是否仍能支持当前动作。把污染存活、检索、授权、执行和任务效用分开统计，加入控制流影响与来源洗白测试。此为编辑建议，非现有防御已覆盖保证。
值得持续跟踪 无时钟侧信道的浏览器边界；BLE指纹的温度/接收机/日期迁移；硬件熵的外部干扰；语音理由的证据忠实性；VLA动作年龄与跨层交互；自愈安全中的持续攻击；Agent低基率、记忆撤销、授权漂移及条件证明到真实执行的差距。
