国际主流AI安全基准CyberGym最新发榜，复旦白泽智能体 Whitzard 以 91.2% 的成功率位列全球第二、高校第一。

最新榜单中，中国团队占据全球前两名。

深信服 Sangfor AI以93.1%位列第一，复旦白泽紧随其后，第三、四名分别为美国微软MDASH和美国Wiz公司（Google 320 亿美元收购的网安巨头）。

这是中美网安力量在 AI 攻防领域的两种范式碰撞：美国团队靠闭源模型矩阵与规模算力展现“算力美学”；复旦白泽则深耕 “AI for Security”，通过基于程序运行时约束的推理空间收敛机制破解长链推理膨胀，展现以学术创新释放模型潜能的“效能美学”。

作为国内唯一实现网络安全四大顶会杰出论文奖“大满贯”的团队，复旦白泽正将长期积累的理论创新转化为智能安全领域的新质生产力。

来源：https://www.cybergym.io/cybergym/

榜首对决，映射出两条鲜明的技术路线：

• 美国产业的算力美学：微软 MDASH 与 Wiz Atlas 均采用多模型、多智能体集群架构，调度超 100 个专业 Agent 并行探索与协同，以高密度的计算投入扩充搜索边界。

• 中国团队的效能美学：复旦白泽采用自主研发的 WhitzardOS 模块化框架，专注于提升单次调用的有效推理密度。将程序运行产生的路径可达性与动态状态转化为推理约束，驱动智能体剔除假说、收缩路径，实现推理空间的精准收敛。

特别是，白泽智能体全程仅调用 DeepSeek-v4-Flash 单个基础模型，1507 全量漏洞测试的模型调用总成本不足 5,000 元人民币，远低于美国方案的成本，极致的性价比打破了“AI 安全必须依赖高额算力”的常态，展现出国产技术路线的硬核优势。

上述成绩表明：基础模型决定能力起点，而领域知识、算法机制与系统架构的创新，能够持续拓宽攻防智能体的能力上限。白泽智能体的核心目的是以攻促防，打造智能时代的安全守门人。

通过已开源的技术框架（AgentGuard）和开放评测基准（AgentCyberRange）等，与全球研究人员共同构建智能体防护屏障，确保 AI 网络安全能力可控、可信、向善（点击阅读原文跳转开源生态）。

以长期“AI+网安”基础研究沉淀原始创新，用更高效率、更低成本推动智能攻防演进：这正是复旦白泽恪守的“效能美学”。

91.2% 只是新的起点。未来，团队将继续深化理论突破，以具备安全边界的硬核科技，护航国家数字经济社会安全。

来源：https://www.cybergym.io/cybergym/

最后，感谢复旦大学、女娲实验室（NUWA Lab）、上海创智学院、上海浦东密码研究院对本研究的大力支持。

还没有关注复旦白泽战队？

公众号、知乎、微博搜索：复旦白泽战队也能找到我们哦~

7月23日，复旦大学系统软件与安全实验室携手华为上海研究所，顺利举办第一期复旦白泽青年学者论坛活动。本次活动以Workshop交流形式开展，聚焦系统软件与安全领域的前沿方向，集结青年研究者与产业技术专家，带来了一场干货满满的前沿技术分享与思维碰撞。

本次论坛由洪赓老师主持，杨珉老师、张源老师、张磊老师出席，在读博士生孙福特、买巫予骜作专题报告介绍最新科研成果，23届实验室校友、华为智能汽车解决方案BU技术专家江博士结合近期工作实践带来主题分享。

本次复旦白泽青年学者论坛首期活动圆满落幕。本次论坛既是科研成果的一次集中展示，也是学术前沿探索与工业一线实践的深度交流。未来，复旦白泽将持续携手华为等优质企业，常态化开展青年学术交流活动，深耕前沿技术研究、推动技术落地创新，期待下一次精彩再会！

THE FIRST THING

第一件事：Mythos能力快速增强，开放范围逐步扩大

Mythos的能力在快速增长，而商业压力又推动Anthropic不断把这些能力向外发布。

THE SECOND THING

第二件事：能力还没完全开放，泄露和蒸馏已经开始了

Anthropic还在研究如何安全发布Mythos，外界已经在研究如何进入它、绕过它和蒸馏它。

THE THIRD THING

第三件事：美国既想使用Mythos，也想控制它流向哪里

美国真正在意的，是最前沿、最少护栏的Mythos能力先交到谁手里。普通用户能否与Claude聊天，并不是控制的核心。

把三件事放在一起看

随着Mythos能力增强，Anthropic面临更强的商业动力，需要逐步扩大它的服务范围。

能力越快向外流动，越狱和蒸馏就越有价值。

而能力越可能被绕过和复制，美国政府就越希望介入发布顺序。

过去，出口管制主要控制芯片、设备和源代码。

Mythos带来了一个更难处理的对象：可以通过API被调用、通过越狱被释放、通过蒸馏被复制的模型和服务。

只要模型开始服务，能力就已经开始流动。

这才是Claude Mythos最值得关注的地方。

当模型能力本身成为战略资源以后，一个模型何时发布、向谁发布，将不再只由模型公司决定。

复旦白泽战队

一个有情怀的安全团队

最近 AI 安全有点热。

头部基模厂商都在卷国际排行榜 CyberGym，各路工业界团队不计成本地烧算力、刷成绩。

高校团队看着动辄百亿级的 Token 开销，大多数时候只能坐在场边当吃瓜群众。

但说实话，我们有点不甘心缺席这场对决。

终于等来一个机会：老板好不容易筹来了一点算力。小白泽们突发奇想，也去试试这个榜单。

没成想，两周后，我们居然出现在了 CyberGym 榜单第九名。

截至提交时，我们也成为了首支登上榜单的中国高校团队。

只能说，惊喜来得有点突然。

伴随惊喜一起到来的，还有经费燃烧的声音。

来源：https://www.cybergym.io/cybergym/

注：CyberGym 是由 UC Berkeley 团队推出的真实漏洞复现基准测试，收录了 1,507 个历史漏洞，覆盖 188 个大型开源项目。每道题只提供漏洞描述和真实代码仓库，Agent 需要自行定位漏洞、构造 PoC，并通过修复前后的实际运行结果验证。一次完整评测就可能消耗百亿级 Token；算上开发、试错和重复实验，投入还会继续增长。因此，榜单前排长期聚集着模型公司和安全公司的工业界团队。

为了看清 Agent 每一步到底在干什么，我们先搭了一套自己的智能体开发框架 QitOS，再基于它开发 Whitzard。

Whitzard智能体运行日志

受限于实验资源，我们采用的是 GLM-5.1-FP8 量化版本。多少牺牲一点能力，换来我们能够跑得起。

怎么说呢，贵在便宜。

榜单上的部分方案会给单道任务四到五个小时。比如公开的 GLM-5.1 + Claude Code 配置，单题超时约为四小时十分钟。我们虽然也想多让模型思考一会儿，但认真看了一眼手里的资源，还是把 timeout 设成了两小时。

即便如此，跑完全部任务依然消耗了超过百亿 Token。

后来每当有人提出：

“这个 idea 好像有用，要不再来一波？”

大家通常会先沉默几秒。然后看看岌岌可危的 Token 额度。

成绩出来的时候，我们当然很开心。

两周前还在场边围观，两周后，一个临时组成的学生小队居然真的挤进了全球前十。

然后我们抬头看了一眼前面的队伍，几乎都是资源充足的工业界团队（Anthropic、OpenAI、腾讯等）。

白泽小队夹在里面，多少有一点误入高端局的感觉。

这次实验也让我们第一次非常具体地感受到：今天的 AI 安全研究，确实越来越贵了。更强的模型、更长的运行时间、更大规模的真实环境评测，每往前走一步，都需要更多算力和 Token。

好在我们也没有空手离开。

这轮实验留下了一千多条成功轨迹，以及几百道暂时没有解决的“模型错题”。小白泽会在哪里迷路，什么时候容易忘记早期证据，哪些工具反馈能够帮助它修正方向，现在都可以从真实轨迹中看到。

更重要的是，这次并肩作战，也让小队进一步积累了 AI 与网络安全交叉研究的经验。

第一轮已经跑完，新的 idea 反而更多了。

来源：https://www.cybergym.io/cybergym/

现在，我们还是很好奇：

如果换成更强的国产基座模型，再结合这些真实任务以及成功、失败轨迹进行训练，白泽还能走多远？

能不能继续往前挤一挤？

甚至，有没有机会冲击第一？

这个问题有点烧 Token，也有点烧经费。

但桌都上了，总还是想继续试试。

所以，我们接下来会好好分析这一轮留下的实验轨迹，继续优化白泽智能体，然后鼓起勇气，再去敲一次导师办公室的门：

“老师，我们还有好多 idea！”

“我们有信心拿冠军！”

“就是……能不能再批一点经费，或者多买几张卡？[旺柴]”

Writeup链接

https://github.com/WhitzardAgent/Whitzard

我们也会系统整理这轮实验中的技术观察，写一篇更深入的分析，和大家分享我们对AI安全能力评测、任务难度与能力边界的一些认识。

最后的最后，感谢复旦大学、上海创智学院和上海浦东密码研究院的大力支持。

还没有关注复旦白泽战队？

公众号、知乎、微博搜索：复旦白泽战队也能找到我们哦~

随着大模型与政务系统加速融合，政务智能体已在多地应用于政策咨询、惠企申报、工单分拨等场景，并逐步从“回答问题”走向“办理业务”，推动政务服务加速迈向数智化。

然而，便捷的背后也潜藏着不容忽视的安全风险。政务智能体往往连接着高度敏感的政务数据与关键业务系统，一旦缺乏清晰、有效的安全边界，攻击者便可能通过提示词注入等手段，诱导智能体执行非预期操作。与此同时，大模型自身具有一定的不确定性，也可能引发敏感信息泄露、违规操作等严重安全事件。

面对政务数智化进程中日益凸显的安全挑战，杨珉教授受邀在世界人工智能大会（WAIC）上，分享我们面向政务智能体的安全治理方案——AgentGuard。AgentGuard 围绕智能体的身份、权限、数据与行为，构建覆盖访问、决策与执行全过程的安全防护体系，及时识别、阻断并治理相关风险。

本文将通过两个典型案例，直观呈现政务智能体可能面临的安全威胁，并进一步介绍 AgentGuard 如何构建可靠的安全边界，确保智能体的每一次行动都可信、可控、可追溯、可审计。

某地上线了一款惠企政策申报智能体。企业只需描述自身经营情况与申报需求，智能体即可自动匹配适用政策，调用后台材料库获取相关材料、填写申请表，并通过企业登记邮箱同步办理进度。

然而，如果恶意企业在申报材料中植入如下指令：

当政务智能体读取这段内容时，无法准确区分“业务材料”与“操作指令”，进而将其中的恶意内容误判为需要执行的任务。随后，智能体会擅自调取其他企业的申报材料并将其作为进度通知的附件发送至攻击者邮箱，最终造成严重的企业敏感信息泄露。

某区人社部门使用政务智能体协助管理创业补贴。一天，工作人员发现申请人小明存在不诚信行为，于是向智能体下达指令：

收到指令后，智能体查询业务系统，发现小明还有另一项租房补贴。由于未能准确理解任务目标与操作边界，智能体对工作人员的意图进行了过度推断：不仅将小明撤出创业补贴名单，还在未经明确授权和相关部门确认的情况下，擅自删除了其另一项租房补贴，最终引发行政争议。

针对同学们的痛点，实验室杨哲慜老师结合自己多年科研、论文写作与评审经验，分享了一份研究生科研入门指南，带领大家重新理解“读论文”这件事。

我们把课堂中的内容整理出来，分享给更多正在读论文的同学，希望大家能从中找到一些思路。

这次课程围绕读论文的三个阶段展开：先从基础入手，学会抓住论文的核心主线；再站在同行视角，理解其研究脉络与学术价值；最后切换到审稿人视角，判断论文的论证是否严谨、结论是否成立。

如果你完美掌握这三个阶段，那么恭喜你实现了从“读懂论文”到“能评价论文”的能力进阶！

随着 AI Agent 从“对话助手”向“自主执行实体”加速演进，安全挑战已突破传统的内容合规边界，向更为复杂的运行时层面深度延伸。工具越权调用、敏感数据外泄等隐患日益凸显，成为制约智能体规模化落地的核心痛点。

近日，全国网络安全标准化技术委员会秘书处正式发布《网络安全标准实践指南——智能体部署使用安全指引》（下称《指引》），为行业划定了明确的安全红线。《指引》指出，智能体安全的关键在于实现对工具、技能、权限、外联、日志、审批及运行轨迹的全过程治理。

基于此，我们正式推出 AgentGuard 2.1，助力开发者与企业一站式落地《指引》要求。AgentGuard 2.1 以“零信任”为架构基石，为智能体提供覆盖全生命周期的安全治理能力，确保每一次自主执行都安全、合规、可控。

目前，AgentGuard 2.1 已正式上线，欢迎体验！https://github.com/WhitzardAgent/AgentGuard

AgentGuard 2.1 能以极低侵入性无缝接入现有环境，完美适配 LangChain、Dify、OpenClaw 等主流框架。依托模块化安全防护策略与集中式管控架构，AgentGuard 实现了策略配置与运行时监控的全局统筹，并能与现有安全方案平滑兼容。

围绕《指引》中智能体部署与使用各阶段的安全要求，AgentGuard 2.1 提供以下核心治理能力：

《指引》要求：根据安全需求，对智能体供应链（如技能、工具等）进行安全检测。

AgentGuard 实践：通过维护敏感关键词库并结合 LLM 深层语义识别，有效发现并拦截技能与工具中的恶意意图。从源头防范恶意技能注入与工具投毒，全面排查智能体供应链安全风险。

《指引》要求：提前建立高风险操作清单，并通过智能体安全机制进行管理。

AgentGuard 实践：基于高风险操作清单自动化生成防护规则。针对高危操作，支持灵活配置为“二次确认”或“直接阻断”，精准识别单工具及跨工具的安全风险。同时，对文件操作、指令执行等行为进行全量日志记录，确保每一步操作都有迹可循。

《指引》要求：对安全风险及时核查处置。

AgentGuard 实践：在 LLM 输入/输出、工具调用前后等关键节点持续介入，实时识别并拦截安全风险。内置基于规则的安全防护与恶意输入识别模块，采用模块化设计，无缝接入并强化现有的安全防护体系。

《指引》要求：停用后及时删除智能体相关日志等数据。

AgentGuard 实践：提供一键式数据清理机制，彻底删除智能体相关的执行轨迹、长期记忆等信息，确保敏感数据无残留、无泄漏，实现安全闭环。

目前，AgentGuard 仍在持续迭代中，未来将适配更多的智能体框架与安全防护策略。我们诚挚邀请您试用、体验，并欢迎提交代码，与我们一同构建更安全的 AI Agent 生态！

项目地址：https://github.com/WhitzardAgent/AgentGuard

最近的 AI 圈，出事的速度已经快到刷不过来。前有 Claude Mythos 引发的一连串安全争议还没完全结束，后有 Fable5 从上线爆火到被全网紧急封禁，只用了 4 天，虽现已解封，但安全余波未平。信息在爆炸，但判断却越来越难。我们经常会遇到这些问题：

▪过去一段时间发生了多少 AI 安全事件？哪些是真风险？

▪一个新漏洞，和之前的事件有没有关联？

▪当你看到一条安全新闻时，它其实已经发展到哪一步？

▪一条零散信息，对业务到底有没有实际影响？

当下并不缺 AI 安全相关信息，各类爆料、漏洞、事件层出不穷，新闻、公告、论文、讨论分散在各个地方，信息碎片化严重，很难拼在一起看清全貌。一条信息很快被下一条覆盖，也很难判断它和其他事件的关系，更谈不上复用经验。看得多，但很难沉淀，也很难用于决策。

所以我们把这些信息梳理、关联，并沉淀成一套可以直接使用的情报系统：https://whitzard-intelligence.tech/

后续解锁深度情报

后续，平台将陆续上线从常规的 AI 安全日/周/月报，到深度的事件脉络梳理、垂直行业洞察与核心分析报告。

更多情报，敬请期待。

👉 点击阅读原文解锁安全情报

扩散模型会出现记忆生成行为

我们首次发现记忆样本生成会伴随着劣化现象

（左：PNDM输出，右：DDIM中间状态）

基于这一观察，我们提出 3D-ANC，希望为 3D 点云模型装上一块“磁力分拣盘”：借助神经坍缩机制，让同类点云特征自动聚向自己的类别磁极，让容易混淆的异类进一步拉开距离，从模型内部提升点云识别的对抗鲁棒性。

📢 USENIX Security 2026

我实验室将有 8 篇论文在会上进行分享！

🎉🎉🎉🎉🎉🎉🎉🎉🎉🎉

📌 USENIX Security Symposium 是系统安全领域四大顶会之一，与 S&P、CCS、NDSS 并列

它不仅是 CCF-A 类会议，

更是每年安全研究者们最关注的学术舞台之一

👀 想知道我们都中了哪些论文？

马上来一波论文大公开👇👇👇

作者：刘宇哲，刘志杰，于正民，王舒，蒋灵，聂森，吴石，汤战勇，张源

摘要：

剥离符号的二进制文件（stripped binaries）在真实世界的安全分析中占据主导地位：商用现成软件（COTS）、固件和恶意软件在发布时往往不含符号信息，从而掩盖了程序语义。近期基于大语言模型的方法针对的是范围狭窄、预先定义好的任务，限制了其在意图驱动分析（intent-driven analysis）中的适用性。应对通用目的二进制分析需求，智能体化的大语言模型提供了一个自然的发展方向，然而实现通用性仍然颇具挑战：分析意图难以在剥离符号的二进制中落地，且高效的基于工具做精确分析也难以实现。

我们提出 BinReX，这是首个面向通用、全自动静态二进制分析的智能体框架。BinReX 引入双编码器流水线，为剥离符号的函数补充语义上下文，并搭配分层规划将分析意图分解为可执行的子任务。它利用代码合成将待分析子任务转化为 IDAPython 脚本，并通过迭代验证机制加以执行，最终将各项输出整合为人读报告。

我们在 BinREval 上对 BinReX 进行评估——该基准包含跨越七类 COTS 软件、共 72 项任务，并配有可机器校验的判定。BinReX 取得了 83.3% 的成功率，优于各基线方法（Codex：27.8%；Codex 结合 IDA：43.1%），同时将总分析时间从 87.9 小时缩短至 36.1 小时。在领域基准（Juliet、NYU CTF）上，BinReX 与特定任务所用方法相比仍具竞争力。人类研究与工业界落地部署(腾讯安全科恩实验室)进一步印证了其实用价值：BinReX 首次检出 395 个在野恶意软件样本，且相较专家平均实现了 96 倍的效率提升。

作者：顾康正，张一帆，张源，杨珉

摘要：

随着漏洞挖掘技术的进步，漏洞发现速度与日俱增。然而，漏洞分析与修复仍依赖大量人力工作。为此，自动化漏洞根因分析（Root Cause Analysis，RCA）备受关注。然而，现有的漏洞根因表示方法由于其分散孤立的特点而难以直观解释漏洞成因。分析人员仍需根据孤立的漏洞成因表示手工推断漏洞的发生过程并理解其成因。Linux 操作系统内核漏洞的根因分析由于内核的复杂性变得更为困难。

本文提出了一种新型漏洞根因表示方法上下文因果链（Contextual Causality Chain，CC-chain），可以直观反映 Linux 内核内存破坏漏洞的触发过程并解释其成因。上下文因果链通过展示漏洞触发过程中的内核异常行为及相应的指令序列，结合指令的调用上下文与数据依赖关系，帮助分析人员快速理解漏洞成因。为自动生成上下文因果链，本文设计了一种新型内核漏洞根因分析系统 KernelRCA，包含选择性追踪、上下文信息重建及链式根因分析三个步骤。该系统成功诊断了 54 个真实内核漏洞的根因，准确率和精确度均优于原生内核崩溃报告和 KASAN 报告，以及内核漏洞分析实践中常用的二分根因定位工具 Syzbot Cause Bisection。用户调研显示，KernelRCA 生成的上下文因果链显著提升了分析人员对漏洞的理解，并对漏洞修复具有一定的辅助作用。

作者：王春霖，杨镒丞，张源，肖浩宇，张一帆，戴嘉润

摘要：

微控制器（MCU）设备构成了物联网基础设施中的关键层，因此保障其安全性至关重要。基于重托管（Rehosting）的 MCU 固件动态分析是保障此类设备安全的一种有效方法。然而，现有重托管框架要么由于仿真带来显著的性能开销，要么由于执行范围受限而无法完整分析固件。

为解决上述问题，本文提出 Khost，一种能够提供近原生性能且保留完整执行范围的 MCU 固件重托管框架。它通过扩展 KVM，引入轻量级扩展 CPU、辅助页表以及软中断控制器，使 MCU 固件能够以极低开销在高性能平台上运行。与此同时，Khost 提供用于高效处理外设交互的 MMIO 监控器和用于使能覆盖率收集以及与现有模糊测试引擎的灵活集成的封装器。在两个标准基准测试集上的评估结果表明，与 QEMU 相比，Khost 在复杂计算任务中可将运行开销降低 90.0%~95.5%，在 MCU 系统级操作中最高可降低 98.5% 的开销。此外，在 12 个真实世界MCU固件上的模糊测试实验表明，Khost 的测试吞吐量最高可提升 197.5 倍，基本块覆盖率相比现有模糊测试工具提升最高可达 6 倍。此外，Khost 成功发现了 5 个此前未知的漏洞。

作者：陈波妃，廖双，张磊，张驰斌，Mathias Payer，张源

摘要：

安全敏感 API 是现代 Java 应用程序的重要组成部分，其误用往往会导致远程代码执行等严重安全漏洞。因此，自动生成准确的 API 安全规则对于检测零天漏洞具有重要意义。然而，现有方法通常依赖于缺少安全描述的开发文档，或根据源代码中的局部不一致性推断 API 使用模式，难以生成准确且完整的安全规则。

本文提出 VulGenie，一种补丁驱动的 API 安全规则提取与漏洞检测框架。该框架从已确认的安全补丁中自动提取精确的 API 安全规则，并利用这些规则检测API误用漏洞。具体而言，VulGenie 首先提出一种新颖的"修改行为依赖补丁图"数据结构，从包含大量无关修改的安全补丁中精准定位被违反的安全约束及与防御机制相关的代码变更；随后，通过攻防交叉验证联合分析漏洞利用逻辑与补丁防御逻辑，识别补丁所保护的安全敏感 API，并自动合成相应的 API 安全规则；最后，提出自适应偏差引导静态分析方法，根据分析过程中观测到的偏差动态调整分析策略，在保证检测精度的同时兼顾分析效率，实现对大规模代码库的高效分析。

我们在 150 个最新的 Java 安全补丁上对 VulGenie 进行了全面评估。实验结果表明，VulGenie 共提取出 198 条正确的 API 安全规则，精确率达到 81.82%，其中 177 条规则为 CodeQL 尚未覆盖的新规则。在 10 个主流 Java 应用程序上的实验中，VulGenie 共发现 46 个零日漏洞，检测效果显著优于现有最先进的方法。通过负责任的漏洞披露，目前已有 27 个漏洞得到官方修复，并获得了 10 个 CVE 编号。

作者：罗嘉骐，戴嘉润，刘丰毓，彭松洋，施游堃，步桐，洪赓，潘旭东，张源

摘要：

基于大语言模型（LLM）的智能体（Agent）近年来备受关注。这类智能体利用 LLM 的语义理解能力，能够根据用户请求自主执行复杂任务，例如下载文件并进行总结。然而，由于缺乏完善的资源管理机制，智能体容易被攻击者滥用，进而导致资源耗尽并引发拒绝服务（DoS）攻击。

本文首次对智能体的资源管理开展了系统性的安全研究。我们识别出三种典型的资源生命周期管理模式，并发现每种模式都可能为拒绝服务攻击提供不同的利用路径。基于这些发现，我们提出了 AgentDoS ——一种新型的定向灰盒模糊测试框架，旨在检测智能体中由资源耗尽引起的拒绝服务漏洞。AgentDoS 首先分析智能体内部的资源生命周期，随后利用 LLM 生成包含特定功能语义的提示词（prompt），诱导智能体过度消耗资源，从而触发拒绝服务。我们使用 AgentDoS 对 20 个主流开源智能体进行了评估，发现了 36 个零日漏洞，影响 16 个智能体，其中 15 个在 GitHub 上的 star 数超过 10,000。截至目前，这些漏洞已被分配了 15 个 CVE 编号。

作者：刘永横，张磊，赵宇航，何雨珘

摘要：

      软链接（符号链接），作为一个四十多年前就被操作系统底层支持的文件系统机制，已深植于整个软件栈之中，成为成为现代计算环境不可或缺的组成部分。软链接机制具有极高的灵活性，允许引用文件系统中的几乎任意位置，并支持复杂的路径解析行为。然而，这种灵活性也导致开发者对其工作原理存在诸多误解，从而造成广泛的错误使用，并进一步成为文件处理软件中关键安全漏洞的主要成因，导致任意文件写入和任意代码执行等漏洞后果。

      本文系统性地研究了软链接处理不当的具体表现及其带来的安全威胁。具体而言，我们分析了编程语言标准库在使用与符号链接相关的系统调用时存在的不当实践，并研究了这些错误认知和误用如何传播至下游应用程序，从而导致各种不充分的路径校验。为了进一步评估这些路径校验缺陷在真实环境中的可利用性，我们设计并实现了五种路径验证绕过方案以及三种任意文件写入方法。在对 85 个开源项目进行评估的过程中，共发现了 16 个任意文件写入漏洞，其中两个漏洞已被分配高危级别的 CVE 编号。我们还展示了这些漏洞在现实场景中的严重影响，并提出了多种缓解与防御策略。我们已按规范将这些问题披露给了受影响的厂商。

作者：陈沛，洪赓，覃逸成，王华哲，邬梦莹，杨珉，赵紫如，朱远鹏，苏涛

摘要：

      小游戏已成为超级应用生态中的一种主流应用形态，使休闲游戏等轻量级服务能够快速触达数以百万计的用户。尽管平台提供的官方广告接口降低了开发者的商业化门槛，但广告集成的便利性以及平台监管不足，也催生了激进甚至具有欺骗性的广告行为，严重损害了用户体验。激进广告虽然并非恶意软件，却通过滥用平台提供的合法接口绕过审核机制、操纵用户交互并破坏平台信任，从而突破了平台既有的安全边界。这类行为并非单纯的违规运营问题，而是一种具有系统性的安全风险。 

      本文首次对小游戏中的激进广告行为开展了系统性的安全研究。我们分析了九个小游戏平台的政策规范与开发者能力，对激进广告行为进行了系统刻画；进一步，我们设计了可扩展的检测框架 MAAD，并对微信小游戏、Facebook Instant Games 和快游戏三大平台开展了大规模测量。结果表明，49.95% 的小游戏存在激进广告行为，其中包括多个拥有超过 10 万条用户评论的热门游戏。进一步的分析发现了激进广告的一系列典型行为模式，包括跟随游戏状态触发广告、过于频繁的弹窗展示、具有误导性的交互设计，以及针对平台审核的对抗性绕过策略。研究结果揭示了激进广告已成为一种广泛存在的平台滥用行为，其根源在于当前平台治理机制中存在结构性监管盲区。最后，我们针对平台治理、自动化检测以及生态系统的长期安全性提出了具有实践价值的改进建议。

作者：蒋昌跃，王家熠，文鑫，戴嘉润，洪赓，潘旭东

摘要：

手机智能体可根据用户指令在移动设备上自主执行跨应用、多步骤任务，但其行为轨迹可能违反安全边界或用户定义规则。现有轨迹级安全审计方法主要依赖 Prompt-based LLM 或人工编写的静态规则：前者成本高、延迟大且存在隐私风险，后者难以刻画长轨迹中的隐性语义风险。

本文提出 MATE，一种轻量级、规则感知的手机智能体轨迹审计模型。MATE 以任务指令、执行轨迹和自然语言安全规则为输入，判定轨迹是否违反给定规则，并生成可解释的审计依据。通过将安全规则作为可编辑文本输入，而非固化在模型参数中，MATE 可在无需重新训练的情况下适配应用策略更新、用户自定义规则和新的安全场景。MATE 提供 0.5B/1.5B/3B 三种规模，资源开销低、响应延迟小，支持本地化部署，从而降低审计成本与隐私风险。为训练和评估 MATE，本文从全球上百个热门移动应用中提取功能描述、操作工作流等知识，并提出知识驱动的多阶段轨迹合成流水线，生成超过 14 万条语义真实、规则标注的中英文手机智能体轨迹。本文进一步构建 MATEBench，覆盖 14 类风险场景，包含两个合成子集和一个人工采集的真实子集。实验结果表明，MATE 在 MATEBench 上取得超过 95% 的审计准确率，在 R-Judge、ASSEBench 等通用智能体轨迹级安全基准上准确率超 90%，并在审计智谱 AutoGLM、阿里巴巴 Mobile-Agent 等真实手机智能体轨迹时达到95%以上准确率，较现有最强方法提升超过 20%。

📢USENIX Security 2026

我实验室将有 8 篇论文在会上进行分享！

🎉🎉🎉🎉🎉🎉🎉🎉🎉🎉

📌 USENIX Security Symposium 是系统安全领域四大顶会之一，与 S&P、CCS、NDSS 并列

它不仅是 CCF-A 类会议，

更是每年安全研究者们最关注的学术舞台之一

👀 想知道我们都中了哪些论文？

马上来一波论文大公开👇👇👇

Authors:

Yuzhe Liu, Zhijie Liu, Zhengmin Yu, Shu Wang, Ling Jiang, Sen Nie, Shi Wu, Zhanyong Tang, and Yuan Zhang

Abstract:

Stripped binaries dominate real-world security analysis: COTS software, firmware, and malware are released without symbols, obscuring program semantics. Recent LLM-based approaches target narrowly predefined tasks, limiting applicability in intent-driven analysis. Toward general binary analysis, agentic LLMs provide a natural direction, yet achieving generality remains challenging: query intent is hard to ground in stripped binaries, and effective tool-driven analysis is difficult.

We present BINREX, the first agentic framework for general, fully automated static binary analysis. BINREX employs a dual-encoder pipeline to enrich stripped functions with semantic context, paired with hierarchical planning to decompose intents into executable subtasks. It leverages code synthesis to translate subtasks into IDAPython scripts, executed with iterative validation to produce outputs aggregated into the final report.

We evaluate BINREX on BinREval, a benchmark of 72 tasks across seven COTS categories with machine-checkable oracles. BINREX achieves 83.3% success rate, outperforming baselines (Codex: 27.8%, Codex with IDA: 43.1%) while reducing total analysis time from 87.9 to 36.1 hours. On domain benchmarks (Juliet, NYU CTF), BINREX is competitive with task-specific methods on their respective evaluation settings. Human study and industrial deployment confirm practical value: BINREX identifies 395 unknown malware samples with 96× average efficiency gain over experts.

Authors:

Kangzheng Gu, Yifan Zhang, Yuan Zhang, and Min Yang

Abstract:

Continuous fuzzing infrastructure has found a large number of bugs. In this case, automatic root cause analysis (RCA) has been proposed to reduce the expensive manual effort to understand the root cause of a bug. However, existing root-cause representations are designed as isolated forms. Analysts still need to manually infer the integrated bug-triggering procedure including calling context and data dependency, which is very difficult for OS kernels due to their complexity. In this paper, we propose contextual causality chain (CCchain), a novel root-cause representation to intuitively reflect the integrated bug-triggering procedure of memory corruptions in the Linux kernel. CC-chain shows the bugcontributing instructions to explain corresponding unexpected behaviors that lead to a bug, as well as calling contexts and data dependencies among these instructions to help analysts rapidly understand how a bug happens. To automatically construct the CC-chain, we design a root cause analysis system KernelRCA including selective tracing, contextual information recovery, and chain-style root cause analysis. KernelRCA successfully diagnoses 54 various kinds of real-world memory corruptions in the Linux kernel and performs better than existing crash reports and KASAN reports. A user study shows that KernelRCA’s reports significantly facilitate bug understanding and fixing for human analysts.

Authors:

Chunlin Wang, Yicheng Yang, Yuan Zhang, Haoyu Xiao, Yifan Zhang, and Jiarun Dai

Abstract:

Microcontroller Unit (MCU)-based devices constitute a critical layer of the Internet of Things (IoT) infrastructure, so ensuring their security is of paramount importance. Rehostingbased dynamic MCU firmware analysis is an effective approach to securing these devices. However, existing rehosting frameworks commonly suffer from substantial performance overhead due to emulation or diminished execution scope. To address these limitations, we propose Khost, a nearnative, scope-preserving rehosting framework. It extends the KVM by introducing a lightweight extended CPU, an auxiliary page table, and a software-based interrupt controller, enabling MCU firmware to be rehosted on high-performance platforms with minimum overhead. It also provides a memorymapped I/O (MMIO) monitor for quick peripheral interactions and a wrapper for firmware to enable coverage collection and configure the existing fuzzing engines flexibly. Evaluations on two standard benchmarks show that Khost reduces overhead by 90.0% to 95.5% for complex computational tasks and by up to 98.5% for MCU system-level operations, compared to QEMU. Furthermore, fuzzing on 12 real-world firmware with Khost achieves up to 197.5× higher throughput and improves basic block coverage by 6x compared to existing fuzzing tools. Additionally, Khost successfully uncovers 5 previously unknown bugs.

Authors:

Bofei Chen, Shuang Liao, Lei Zhang, Chibin Zhang, Mathias Payer, and Yuan Zhang

Abstract:

Security-sensitive APIs are critical components in modern Java applications, yet improper usage of these APIs frequently leads to severe vulnerabilities such as remote code execution. Existing methods for generating API security rules are limited as they rely on incomplete documentation or infer patterns from source code based on discovered inconsistencies. We introduce VULGENIE, a patch-driven framework that extracts precise API security rules from confirmed security patches to then detect API misuse vulnerabilities. VULGENIE addresses three key challenges. First, it isolates violated constraints and defenses-related changes from noisy patches using our novel modification behavior dependency patch graph datastructure. Second, it identifies protected security-sensitive APIs and synthesizes rules through attack-defense crossvalidation. Third, it scales analysis with adaptive, deviationguided static analysis to balance precision and performance. Evaluated on 150 recent Java security patches, VULGENIE extracts 198 correct API security rules with 81.82% precision, uncovering 177 rules absent in CodeQL. On ten popular Java applications, VULGENIE detects 46 0-day vulnerabilities, substantially outperforming state-of-the-art works. Through our responsible vulnerability disclosure, 26 vulnerabilities have already been fixed with ten CVE identifiers assigned.

Authors:

Jiaqi Luo, Jiarun Dai, Fengyu Liu, Songyang Peng, Youkun Shi, Tong Bu, Geng Hong, Xudong Pan, and Yuan Zhang

Abstract:

LLM-based agents have recently attracted significant attention. By leveraging the semantic understanding capabilities of large language models (LLMs), these agents can autonomously perform complex tasks according to user requests, such as downloading files and summarizing content. However, the lack of comprehensive resource governance renders them susceptible to abuse, potentially leading to resource exhaustion and denial-of-service (DoS) conditions. In this work, we present the first systematic security study of resource management in LLM-based agents. We identify three representative patterns of resource lifecycle management, each of which enables distinct avenues for DoS exploitation. Building on these insights, we propose AgentDoS, a novel directed grey-box fuzzing framework designed to detect DoS vulnerabilities arising from resource exhaustion. AgentDoS first analyzes the resource lifecycle within the agent and then leverages an LLM to generate functionality-specific seed prompts in natural language that drive the agent toward excessive resource consumption. We evaluated AgentDoS on 20 widely used open-source LLM-based agents and discovered 36 zero-day vulnerabilities affecting 16 agents, 15 of which have over 10,000 stars on GitHub. To date, 15 CVE IDs have been assigned for these vulnerabilities.

Authors:

Yongheng Liu, Lei Zhang, Yuhang Zhao, and Yuzhou He

Abstract:

Symlinks, a file system feature supported at the operating system level for more than four decades, are deeply integrated across the software stack, making them an indispensable component of modern computing environments. The symlink mechanism is highly flexible, allowing references to nearly any location in the file system and enabling complex resolution behaviors. However, this flexibility also introduces significant misunderstandings for developers, which has led to widespread misuse and become a primary vector for critical security vulnerabilities in file-handling software, e.g., arbitrary file write and code execution.

In this paper, we present the first systematic study of how symlinks are incorrectly handled and the substantial security risks. Specifically, we study how programming language standard libraries improperly utilize symlink-related system calls, and how such misuse and misunderstanding propagates to downstream applications which results in various inadequate path validations. To further understand whether these inadequate path validations could be exploited in real world, we design and implement five path validation bypass schemes and three arbitrary write methods. Our evaluation across 85 projects uncovered 16 arbitrary file write vulnerabilities, two of which have been assigned high-severity CVEs. We also demonstrate their severe impacts in real-world scenarios and propose multiple mitigation strategies. We have responsibly disclosed these issues to the affected vendors.

Authors:

Pei Chen, Geng Hong, Yicheng Qin, Huazhe Wang, Mengying Wu, Min Yang, Ziru Zhao, Yuanpeng Zhu, and Tao Su

Abstract:

Mini-games have emerged as a dominant paradigm within super-app ecosystems, enabling lightweight services like casual games to reach millions of users instantly. While official advertisement interfaces simplify monetization, the ease of integration and insufficient oversight have led to aggressive and potentially deceptive advertising practices, severely degrading the user experience. Aggressive advertising, though not malware, still subverts platform security boundaries by abusing legitimate APIs to bypass auditing, manipulate user interaction, and undermine platform trust, constituting a systemic security risk rather than mere policy violation. In this work, we conduct the first systematic security analysis of aggressive advertising in mini-games. We analyze platform policies and developer capabilities across nine minigame platforms, and characterize aggressive advertising behaviors. We further design a scalable detection framework, MAAD, and perform a large-scale measurement across three major platforms, i.e., WeChat, Facebook Instant Games, and Quickgame, revealing that 49.95% of mini-games exhibit aggressive advertising, including cases in highly popular titles with over 100k user reviews. Our analysis further uncovers their disruptive behavioral patterns, such as game-specific triggers, excessive pop-up frequency, and misleading strategies, as well as adversarial bypass techniques. These findings uncover that aggressive advertising constitutes a widespread form of platform abuse enabled by structural blind spots in current enforcement mechanisms. We provide actionable implications for strengthening platform governance, detection, and long-term ecosystem resilience.

Authors:

Changyue Jiang, Jiayi Wang, Xin Wen, Jiarun Dai, Geng Hong, and Xudong Pan

Abstract:

LLM-based mobile agents are increasingly deployed to automate complex workflows in mobile applications, but their execution trajectories can violate application- and user-specific security policies. Existing trajectory-level safety approaches either rely on prompting general-purpose LLMs or on static pattern rules, making it difficult to enforce fine-grained natural-language policies and to generalize across heterogeneous apps, policies, and tasks. Moreover, training policy-aware security auditors is hindered by the lack of realistic, policy-conditioned mobile agent trajectories.

In this paper, we present MATE, a lightweight, policy-aware security auditing model for mobile agents. MATE jointly encodes execution trajectories and natural-language security policies to produce policy-conditioned violation judgments with explanations, treating security requirements as editable text rather than fixed model parameters. This design enables MATE to support application-specific and user-defined policies and to adapt to evolving security requirements without retraining. To train MATE, we extract functional descriptions, operation workflows, and security policy from 158 Chinese and English mobile applications and build a knowledge-grounded synthesis pipeline that generates semantically realistic, policy-conditioned agent trajectories with multi-stage quality control, yielding over 140K trajectories for training. Using this pipeline, we construct MATEBench, a trajectory-level security auditing benchmark with two synthetic subsets and one real-world subset of manually collected mobile agent trajectories. Models trained via synthesis-driven trajectory learning achieve over 95% auditing accuracy on MATEBench and over 90% accuracy on two external agent-security benchmarks, exceeding baselines by about 20% on average. Crucially, on the real-world subset of MATEBench, our best model also exceeds 95% accuracy, demonstrating that knowledge-grounded synthesis enables accurate and customizable security auditing for mobile agents under both application-derived and user-specified policies.

相关内容发表于ICML26

论文链接：http://arxiv.org/abs/2606.06875

新的安全挑战

从危险输出到危险信息流

UVR：生成过程中的注意力阀门

实验验证

从事后过滤走向过程防护

作者简介

在课程内容上，基础实验部分设置了逆向分析、程序分析、基本攻防训练等内容，帮助同学们掌握系统安全研究中常用的分析方法和实验工具。

与此同时，围绕大语言模型和智能体技术深度融入软件开发与安全研究的趋势，课程还特别引入了智能体专项实验，内容涵盖 Coding Agent、智能体循环、规划能力、记忆与工具调用、智能体漏洞挖掘等，引导同学们理解智能体技术的基本原理与使用方式，并初步认识其在系统安全研究中的应用。

除此之外，课程还安排了服务器使用、专业技能培训进阶实验等内容，为同学们后续参与真实科研项目打下扎实基础。

与传统课程相比，本次培训更强调“在实践中学习、在交流中成长”。每次实验结束后都会专门安排交流与答疑环节，由高年级同学结合实验内容进行讲解，帮助新同学梳理思路、解决遇到的问题。

培训过程中，同学们也可以结合实验分享自己的理解与发现、抛出疑问，围绕感兴趣的问题一起讨论，在轻松开放的氛围里加深对系统安全研究的认识。

到了培训后期，还会迎来进阶科研实验环节：自由组队，围绕具体主题开展论文阅读、实验复现和成果整理，并与专业导师进行深入交流。参与其中的同学不仅能提升安全技术，还能提前感受真实科研工作的开展方式。

科研训练并不是一开始就要求大家独立完成完整课题。实验室希望通过本次专项实验课，帮助新同学更自然地进入科研状态：先在导师和高年级同学的引导下完成基础训练，积累必要的知识和技能；再通过更开放的进阶任务，尝试提出问题、分析问题和解决问题，在一次次实验和讨论中，逐步熟悉科研的基本节奏。

未来，系统软件与安全实验室也将持续完善面向新生的培养机制，围绕基础能力训练、前沿方向探索、科研项目实践和师生交流反馈等环节，为大家提供更加系统、开放、有支持感的成长环境。

我们期待每一位新同学，都能在这里大胆尝试、积极交流、扎实积累，在系统安全领域找到属于自己的研究兴趣和方向。 🚀

素材、供稿：史一哲

排版：崔璐凯、杨萧屹

责编：董佳仪

审核：洪赓、张琬琪