将工号归于尘土，把名字还给山海。
将闹钟还给清晨，把梦境还给远方。

跳转微信打开

安全是最奇怪的行当： 你做得越好，越证明你不需要存在；你做得最差的时候，恰恰是所有人第一次看见你的时候。

"安全是最奇怪的行当：你做得越好，越证明你不需要存在；你做得最差的时候，恰恰是所有人第一次看见你的时候。"

一、引子：以缺席定义的行当

网络安全是唯一以"缺席"来衡量成功的工程学科。桥梁建起来你能看见，功能上线了你能用，但安全做对了，你什么也看不见——因为它什么也没让发生。这意味着一个精锐的安全团队和一个形同虚设的安全团队，在组织外部看来完全一样：都是"什么都没发生"。卓越与无能产生相同的可观测结果。你的成功就是你自己的抹除。

这不是一句抱怨，而是一道结构性诅咒。如果卓越看起来和多余一模一样，那么任何组织的理性反应都是：风平浪静时砍预算（什么都没发生，凭什么养你们？），出事时追责（都发生了，你们是干什么吃的？）。安全人因此活在一种永久的悖论中：你被雇佣来想象灾难，却被要求呈现平静；你建造的每一道墙你都心知终将被翻越；你修补的每一个漏洞只是把风险推到了明天。这不是攻防不对等的问题——那个老生常谈谁都懂。真正的问题是更深层的：当一个职业的优秀和它自身的毁灭无法区分时，从事这个职业的人靠什么坚持？

答案不在技术里，而在一组更古老的问题里：谁值得信任？看见真相的人是否有义务回到黑暗？权力应该交给最渴望它的人还是最不情愿的人？这些问题两千四百年前就被柏拉图追问过。他的《理想国》描绘的城邦，和今天网安人栖身的数字世界，共享着同一个底层的结构性困境——当正义本身是不可见的，你如何证明它的价值？本文让柏拉图的论证照亮网安人那些说不出口的处境，因为它们之所以反复出现，正源于一种两千四百年未变的人性结构。

二、古阿斯之环：隐身、信任与人性的暗面

零信任架构的核心是八个字："永不信任，始终验证"。每个访问请求重新认证，每个身份重新验证，每次横向移动重新授权。这套体系背后有一个不愿明说的人性判断：当监督消失，你不能指望人依然可靠。

互联网本身就是隐身之器。匿名性是默认状态，一个人穿过代理和暗网之后则很难追踪。但真正令人不安的不是外部攻击者（他们本就是敌人）——而是内部威胁。那个拥有域管理员权限的运维工程师，那个能访问所有客户数据库的 DBA，那个持有根证书的安全主管，手里的"戒指"不是金环，而是 root 权限、域控账号、加密密钥。你怎么知道那个拥有最高权限的人，在某个深夜、某个脆弱的时刻，不会把戒指转向手心？

柏拉图在《理想国》里用一个故事把这个追问推到了极端。吕底亚的牧羊人古阿斯在地震后的地裂中发现了一枚金戒指，转动手心便隐去身形，转回来又显现。凭借这枚戒指，他潜入王宫，勾引王后，弑杀国王，夺取了王位。格劳孔借此提出假设：如果给正义之人和不义之人各一枚这样的戒指——

"没有人会如此铁石心肠，以至于坚守正义。一个人之所以正义，并非出于自愿……而是出于必然——因为无论在哪里，只要一个人认为他可以安全地行不义，他就会行不义。"

《理想国》

格劳孔还补了一刀：如果有人获得隐身之力却从不作恶，"旁观者会认为他是一个最可悲的蠢人。" 在真实组织里，那个严格遵循最小权限原则、拒绝给自己账号提权、坚持每步操作留痕的安全工程师，可能在同事眼中显得"迂腐"。

柏拉图借苏格拉底之口花了八卷篇幅来反驳格劳孔。核心可以浓缩为一句话：正义不是因为害怕惩罚才存在的，正义本身是灵魂的健康状态——是理性、激情、欲望各司其职时的内在和谐。这意味着仅靠技术控制——零信任、最小权限、审计日志——是不够的。这些是"害怕惩罚"层面的正义。真正持久的防线，需要从业者内在的伦理自觉：在没有人看见的时候，依然选择不作恶。一个只靠规则约束的城邦是脆弱的，因为规则总有漏洞；一个只靠零信任保护的系统也是脆弱的，因为验证本身可能被伪造。柏拉图想要的，是一种从灵魂内部生长出来的正义。

三、洞穴：两种真实之间的鸿沟

网安人最日常的挫败，来自"看见"与"被看见"之间的鸿沟。安全工程师看见的是真实攻击面——被遗忘的公网测试环境、三个月没更新的第三方组件、潜伏内网的 APT。决策者看见的是合规仪表盘上的绿色、渗透测试报告"未发现高危漏洞"的结论、汇报会上漂亮的准确率与误报率。两种真实之间隔着一堵墙。

柏拉图在《理想国》把这种鸿沟画成一个洞。囚徒自幼被锁在地下洞穴，面朝墙壁，身后有火。火光和经过的人与物在墙上投下影子，囚徒的全部"现实"就是这些影子。苏格拉底说：

"对他们而言，真理字面上不过是影像的影子。"

《理想国》

那些合规指标是真实的吗？部分真实——就像影子确实由真实的火光投射而成，不是凭空捏造。但它们不是真相本身。真正的威胁是那个正在被利用但尚未被发现的零日漏洞，是供应链中从未审计过的第三方组件，是攻击者视角下你永远无法完整看见、只能不断逼近的攻击面全景。

当一个安全研究员发现严重逻辑漏洞，兴奋地写报告试图向开发团队解释危害时，可能得到的是"不影响功能，先排期修复"。苏格拉底说过——如果被解放的囚徒返回洞穴，试图告诉同伴墙上的影子不是真实：

"人们会说他上去一趟回来眼睛就坏了。如果有人试图解开另一个囚徒、带他走向光明，他们一旦抓住这个人，就会处死他。"

《理想国》

在组织里，"处死"不会以物理形式发生。它表现为安全建议被无视、安全团队被边缘化、在预算会议上被削减安全经费、那个反复提出风险预警的工程师被调离岗位。你知道真相，但听的人只看得见影子。而苏格拉底的要求是：看见真相的人仍有义务回到黑暗中——

"必须被强迫再次下到洞穴中的囚徒之间，分担他们的劳作和荣誉。"

《理想国》

安全的工作本质上就是"回返洞穴"：把深奥的威胁情报翻译成组织高层能理解的商业语言，用仪表盘和风险评分来呈现那些无法被完全量化的东西。这是一种永久的认知割裂——你知道绿色合规标记只是影子，但你必须让它看起来足够真实，才能让组织维持最低限度的安全感继续运转。

四、护卫者：温柔、勇猛与无声的代价

网安人的职业画像里有一种近乎矛盾的双重性。对"朋友"——内部用户、开发团队、业务部门——必须温柔：耐心解释为什么不能用弱密码，为什么不能把生产数据库凭证贴在 Slack 里，每一封钓鱼演练复盘邮件都要写得尽量不吓人。对"敌人"——外部攻击者、内部威胁者——必须凶猛：在攻防演练中像猎犬一样追踪横向移动轨迹，在应急响应中以分钟为单位与勒索软件的加密进程赛跑。温柔与凶猛必须共存于同一类人身上。

柏拉图在《理想国》中对护卫者提出了几乎一模一样的要求。护卫者的职责是"对内防御内部的叛乱，对外抵御外来的攻击"，且必须同时具备哲学气质和激情，这样才能——

"对朋友温柔，对敌人凶猛。"

《理想国》

这种双重性是有代价的。网安人手机装着 VPN 和应急通讯软件，凌晨被电话叫醒是常态，节假日要值守。职业训练出的警惕会渗透进私人生活：在咖啡馆下意识检查公共 WiFi，给家人手机装上 MDM，在朋友分享位置时默默评估隐私风险。这种渗透不是个人偏执，而是护卫者被训练成时刻警惕——这种警惕不会在下班时关闭。

柏拉图要求护卫者接受音乐和体育的双重训练：音乐培养和谐与哲学气质，体育培养勇气和力量。两者缺一不可——只有体育没有音乐会变成野蛮人，只有音乐没有体育会变成软弱的空谈者。网安人的"音乐"是对攻防原理的深层理解和对"安全到底是什么"的持续追问；"体育"是 CTF 比赛、红蓝对抗、从一行恶意代码中逆向还原整个攻击链的实操能力。只有理论没有实操的人，第一次面对真实攻击时会手足无措；只有实操没有理论的人，在攻击者改变战术时会失去判断力。两千四百年前的洞见，至今精准。

五、哲人王：谁应执掌安全之城

组织常面临一道难题：最有资格掌舵安全的人往往最不情愿离开技术前线——他们知道前线才是真正发挥作用的地方；而承担管理职责的人，又未必对威胁有最深的洞察。这不是某个角色的失职，而是分工本身留下的缝隙。

柏拉图在《理想国》第五卷提出了全书最大胆的论断：

"除非哲学家成为国王，或者这世上的国王和君主们具备了哲学家的精神和力量……否则城邦将永无宁日，人类也不会。"

《理想国》

苏格拉底解释道：真正有资格统治的人恰恰最不情愿统治——因为他们知道统治是负担而非特权。柏拉图的药方因此不是让热衷权力的人上位，而是让那些已经看见真相的人，即使不情愿，也必须回到洞穴中承担责任。他对那些已经走出洞穴、看见阳光的哲人说：

"你们必须下去，到那共同的地下居所去，习惯在黑暗中观看。"

《理想国》

这是整篇《理想国》对网安人最重的一句嘱托。你看见了真相——攻击面的全貌、威胁的真实路径、防御的真实缝隙——但你不能留在阳光里。你必须回到那个用合规指标、风险评分、投入产出来衡量一切的洞穴，用影子语言去传递你看见的光。你越清楚真相，这种翻译就越痛苦。但正是这种痛苦的下沉，才是哲人王的代价，也是安全领导者存在的意义：不是留在高处俯瞰，而是下去，在黑暗中一寸一寸地把真实挪进别人能看见的影子里。

六、正义：各司其职与纵深防御

最小权限原则和纵深防御是网络安全架构的两块基石。最小权限要求每个用户、进程、服务只拥有完成其功能所需的最小权限——一个 Web 应用不该有数据库的 root 权限，一个前台客服不该能访问支付系统。纵深防御则是层层嵌套的结构：网络边界有防火墙，主机有 EDR，应用有 WAF，数据有加密，身份有 MFA。任何一层被突破，其他层仍在防御。当一个本应只读的 API 获得了写权限——这是权限越界，是一种结构性的失序。

"做自己分内的事，在某种意义上，就是正义。"

《理想国》

柏拉图的正义不是抽象的道德理想，而是结构性原则：城邦中每个阶层——统治者、护卫者、生产者——都做自己该做的事，不僭越，不缺位。理想城邦不是一个单一整体，而是各阶层各司其职的有序结构——每一层都是其他层的防线和支撑，正如纵深防御的每一层都是独立的防线。

但柏拉图在第一卷中先抛出了一个令苏格拉底不安的反命题。色拉叙马霍斯说："正义不过是强者的利益。" 这个命题在网络安全世界中令人不寒而栗：零日漏洞市场里，国家级 APT 的战场上，勒索团伙与执法力量的博弈中，"强者"——掌握更多资源、技术、情报的一方——确实定义着什么是可能的。一个资金充裕的攻击组织可以购买零日漏洞、雇佣顶级人才、运行数年的潜伏行动；一个资源匮乏的防御方，即使有最好的意愿，也可能在不对称对抗中败下阵来。

柏拉图花了整部《理想国》来反驳：正义不是"谁更强"的问题，而是"城邦是否有序"的问题。一个由强者定义规则的城邦不是正义的城邦，而是僭主制——表面强大，内在腐败分裂，最终从内部崩溃。对组织而言同样如此：如果安全策略只是被动追随"最强威胁"的脚步——买最新的工具、追最热的概念、堆最多的产品——那不是在建设安全，而是在军备竞赛中疲于奔命。真正的安全不是产品清单，而是有序的架构：每一层各司其职，整个系统呈现出柏拉图所说的"内在和谐"。

七、理想国：朝向光明的引力

柏拉图写完《理想国》整整十卷，最后没有建成任何城邦。理想城邦从未存在于世间，也许永远不会。他写它，不是为了提供施工图纸，而是为了提供一个方向——一个让灵魂转向的引力。

网安人的"理想国"同样如此。完美的安全不存在：零信任是框架而非终点，纵深防御永远有缝隙，最小权限永远不可能完全精确。你修补了今天的漏洞，明天就有新的零日出现；你封堵了今天的攻击路径，明天攻击者会找到新的入口。攻防不对等是结构性本质，无法被消除——但这恰恰是使命的起点，而非终点。

网安理想国的愿景，是让数字世界成为一种可以信赖的秩序。在这个秩序里，每一个身份都经过验证而非默认信任，每一层防御各司其职而非互相重叠，每一个看见真相的人都有责任回到黑暗中去传递光明的暗示。它不追求消灭所有威胁——那不可能——而是追求一种有序的韧性：系统被打穿时不会坍塌，信任被背叛时不会崩解，影子被揭穿时不会恐慌。

这个愿景的根基，是柏拉图花了八卷反驳格劳孔之后留下的那句话：正义本身是灵魂的健康状态。技术控制——零信任、最小权限、审计日志——是"害怕惩罚"层面的防线，它们不可少，但不够。真正持久的防线，生长于从业者的伦理自觉：在匿名性赋予你隐身之力时，选择不把戒指转向手心；在合规仪表盘一片绿色时，依然追问那个你看不见的攻击面；在没有人要求你留痕时，依然为每一步操作负责。柏拉图想要的正义，是一种从灵魂内部生长出来的秩序——网安人的理想国，同样需要这种从内部生长的力量。

这个愿景的使命，是承认洞穴的存在并选择不沉默。你知道合规指标只是影子，你知道真实风险远比仪表盘显示的更高，你知道那个反复提出预警的声音总会被"先排下个迭代"淹没。但你仍然回到洞穴，用合规报告的语言说话，用风险评分的数字沟通，在影子的世界里推动一点点真实的改变——一个新上线的 MFA，一个终于被修复的中危漏洞，一次钓鱼演练复盘让某个员工真的开始检查发件人地址。这些改变微小到几乎看不见，但它们是阳光的投影——是你在黑暗中传递的、关于光明的最接近真实的暗示。

这个使命的尊严，在于它永远无法完成，却始终值得奔赴。攻击者只需成功一次，防御者必须次次都赢——这个不对称不是诅咒，而是召唤。它召唤的不是一个无所不能的安全体系，而是一群在不对称中依然选择守住底线的人：他们温柔，因为他们守护的是人而非机器；他们凶猛，因为他们面对的是真实的恶意；他们孤独，因为他们看见的真相无法被完全传递；他们坚韧，因为他们知道理想国不在终点，而在朝向。

柏拉图说，理想城邦的意义不在于到达，而在于灵魂转向的那一刻。网安人的理想国亦然——不在于建成一座无懈可击的数字堡垒，而在于每一次把戒指转回手心时选择不这么做，每一次回到洞穴时选择不沉默，每一次看见影子时记得提醒自己：这不是全部的真相。

八、结语

完美的城邦从未建成。完美的安全永不抵达。但灵魂转向的那一刻，光明便已渗入黑暗——哪怕只是一线投影，也是这整座行当存在的理由。

跳转微信打开

每一个没有告警的日子，都是网安人的"日结"。愿桥头的人都有活干，愿防火墙后的人都平安。

跳转微信打开

56%的Agent项目死在工程层，但GitHub Trending全被Agent占领——从新锐项目到推特热点，从三大争议到11个产品机会，看清Agent赛道的真实战场

跳转微信打开

1. 引言：Agent技术的范式转变

大语言模型（LLM）驱动的Agent技术正经历一场深刻的范式转变。如果说2023年是Agent概念的启蒙之年——AutoGPT和ReAct等框架首次展示了LLM自主执行复杂任务的潜力，那么2026年则标志着Agent技术从研究预览走向产业主线部署的关键转折点。伊利诺伊大学香槟分校（UIUC）联合29位作者发表的135页综述[38]为这一转变提供了统一的概念框架，将agentic reasoning组织为三层互补维度：基础agentic推理（规划、工具使用、搜索）、自我进化agentic推理（反馈、记忆、适应）、集体多智能体推理（协调、知识共享、共享目标），横向区分了上下文推理和后训练推理两条改进路径。

这一范式转变的核心驱动力来自三方面。其一，模型能力的跃升：以Claude Opus 4.6为代表的旗舰模型在OSWorld计算机操作基准上达到72.7%，基本追平人类基线72.36%[43]；7B级开源模型经多轮强化学习训练后已能在27个任务上追平OpenAI o3和Gemini-2.5-Pro[11]。其二，架构范式的收敛：从纯像素控制转向"连接器优先"（connector-first）的混合架构成为生产标准[54]，图结构化工作流编排成为主流[57]。其三，应用场景的拓展：Agent驱动的科学发现系统在Science、Nature等顶刊密集发表，从数据分析延伸到湿实验执行，形成了"观察→决策→执行→迭代"的完整闭环[40][46]。

本文系统调研了2026年上半年举办的五大学术会议——AAAI 2026、ICLR 2026、ICML 2026、ACL 2026和CVPR 2026——中与agent技术相关的论文，精选60余篇代表性工作展开分析。调研覆盖agent架构设计、工具调用、多智能体协作、记忆与上下文管理、规划与推理、评估基准、安全与对齐、具身智能与视觉Agent八大技术方向，并进一步研判Agent操作系统、自组织多智能体、个性化agent等未来发展趋势。

2. 2026年AI顶会Agent研究全景

2026年上半年，五大AI顶会共收录agent相关论文超过300篇，呈现出爆发式增长态势。其中ACL 2026以82篇LLM Agent方向论文居首，ICLR 2026以162篇的规模成为agent研究最大的学术舞台，ICML 2026贡献了59篇LLM Agent和24篇多智能体论文，AAAI 2026收录约33篇，CVPR 2026在机器人与具身智能方向有146篇论文（其中agent方向11篇）[1][2][3][4][49]。

从研究方向分布来看，评估基准、工具调用、架构设计和安全对齐构成了四大研究热点。这一分布反映了agent技术发展的内在逻辑：随着agent能力快速提升，如何准确评估、如何高效使用工具、如何系统化设计架构、如何确保安全运行成为社区共同关注的核心问题。值得注意的是，多智能体协作和记忆机制虽然论文数量相对较少，但涌现出多篇具有范式创新意义的工作。

从地域和机构分布来看，中国研究机构在agent领域的贡献显著。复旦大学NLP实验室的AgentGym-RL[11]和AgentGym2[31]、北京大学的BAMAS[14]、上海交通大学的TRM[17]等工作均在各自方向产生了重要影响。美国方面，Stanford、UC Berkeley、KAIST、Microsoft Research等机构贡献了ACE[6]、Dyna-Mind[9]等代表性工作。Sakana AI与UBC合作的Darwin Gödel Machine[8]则展现了产业界与学术界协同创新的力量。

3. Agent架构设计：从单一模式到多模式统一

Agent架构设计在2026年呈现出两条清晰的演进脉络：一是从单一执行模式向多模式统一架构演进，二是从被动上下文记录向主动上下文工程转变。

3.1 多模式统一架构

传统LLM agent通常在instant（即时回答）、reasoning（链式推理）和agentic（工具调用+多步执行）三种模式之间切换，不同模式往往依赖不同的提示策略或模型配置。ICLR 2026上发表的A²FM（Adaptive Agent Foundation Model）[5]提出在同一个backbone中统一这三种执行模式，通过"先路由后对齐"训练策略和带成本正则的自适应策略优化（APO），在32B规模上将单次正确答案成本降低约45%。这一工作代表了agent架构从"拼装式"向"一体化"演进的趋势。

另一条路径是通过自动化工作流生成来优化架构。AAAI 2026的A²Flow[1]提出三阶段流水线（案例生成→功能聚类→深度提取），从专家数据中全自动提取可复用的抽象执行算子，替代人工预定义算子，并引入算子记忆机制，在8个基准上整体超越AFLOW且资源消耗降低37%。AgentSwift[1]则通过层次化搜索空间、轻量级value model和不确定性引导的MCTS搜索策略自动发现高性能agent设计。

3.2 上下文工程：从记录到雕刻

上下文管理是agent长程任务执行的核心挑战。2026年的研究将上下文从被动的"历史记录"提升为主动雕刻的"认知工作区"，催生了上下文工程（Context Engineering）这一新范式。

ICML 2026上，上下文压缩技术进一步深化。ACON[24]提出在自然语言空间优化压缩准则的框架，通过失败轨迹对比迭代改进压缩指南，在AppWorld、OfficeBench等基准上将峰值token用量降低26%–54%。Agent-Omit则用Monte-Carlo rollout量化哪些turn级thought/observation可省略，以冷启动SFT+双采样omit-aware GRPO训练8B agent，在5个基准上大幅减少token用量。Agent JIT Compilation[25]将Web Computer-Use Agent改造为类JIT编译器，把自然语言任务编译为可验证、可缓存、可并行调度的代码计划，比Browser-Use快10.4倍且准确率高28个百分点。

3.3 自我改进与开放式进化

ICLR 2026上最具突破性的架构创新当属Sakana AI与UBC合作的Darwin Gödel Machine（DGM）[8]。该工作让一个编程智能体不断改写自己的代码库来变得更会改代码，用"在benchmark上跑分"的经验证据替代Gödel Machine理论上不可行的形式证明，并用不断生长的智能体archive做开放式探索，把SWE-bench从20.0%推到50.0%、Polyglot从14.2%推到30.7%。DGM代表了"agent改写自身代码"自指改进范式的突破，为通向开放式进化的agent架构提供了可行路径。

4. 工具调用与函数调用

工具调用是agent与外部世界交互的核心能力。2026年的研究从奖励模型设计、真实场景评测、多智能体分工和训练数据生成四个方面推进了工具调用技术。

4.1 过程级奖励与信用分配

ICLR 2026上，上海交通大学的TRM（Tool-call Reward Model）[17]针对LLM工具调用中结果奖励信号粒度粗导致梯度冲突的问题，提出为每次工具调用独立打分的过程奖励模型，并设计与PPO/GRPO集成的turn-level信用分配与优势估计策略。这一工作将过程奖励模型（PRM）的思想从数学推理领域成功迁移到工具调用场景，显著提升了多步工具调用的训练效率。

4.2 真实场景评测

WildToolBench[18]从真实用户日志中提炼出"野生"对话的三大特征——复合任务、隐藏意图、指令切换，构建256个场景共1024个任务的多轮多步工具调用benchmark。对57个主流LLM的评测发现没有一个模型session准确率超过15%，揭示了现有工具调用能力在真实场景中的严重不足。这一结果与ICML 2026上MCP-Persona基准的结果一致——在面向真实个性化MCP工具的评测中，Claude-Sonnet-4.5仅达38.66%准确率[3]。

4.3 多智能体分工与训练数据生成

MSARL[19]提出将推理与工具执行解耦——专门的reasoning agent负责战略问题分解和规划，专门的tool agent处理工具执行，通过多小智能体强化学习显著降低单大模型范式中认知负荷干扰问题。AutoTool[1]则基于工具使用惯性构建工具惯性图（TIG），通过统计结构绕过重复的LLM推理来选择工具和填充参数，减少最多30%的推理开销。

ACL 2026上，工具调用训练数据的自动生成成为热点。GenesisFunc[33]用可靠工具池、多agent对话生成和多阶段质检自动构造高质量函数调用训练数据，微调Qwen3-8B后在BFCL、API-Bank、ACEBench上超过同规模开源模型。GOAT[35]让小型开源模型无需人工标注即可将高层目标分解为相互依赖的API调用序列，通过从API文档自动构建"依赖图+call-first合成数据"流水线。DiaFORGE[36]提出消歧中心的合成数据生成管线，让开源LLM在面对近重复企业API时的工具调用成功率比GPT-4o高27个百分点。

5. 多智能体协作系统

多智能体系统（MAS）研究在2026年从"预设角色协作"向"自组织涌现"和"预算感知优化"两个新方向拓展，同时人机协作和失败诊断也成为重要议题。

5.1 预算感知与成本优化

北京大学的BAMAS[14]首次将显式预算约束引入多智能体系统设计：先用整数线性规划（ILP）选择最优LLM集合平衡性能与成本，再用强化学习方法选择交互拓扑，在三个基准任务上匹配SOTA同时成本降低最高86%。这一工作回应了多智能体系统在实际部署中成本爆炸的现实痛点。

5.2 自组织涌现

2026年3月发表的自组织多智能体研究[41]完成了25,000任务的计算实验，覆盖8个模型、4-256个智能体、8种协调协议。研究发现一个令人惊讶的现象：LLM agent在仅有最小结构化脚手架时，会自发产生专门化角色、自愿放弃超出能力范围的任务，并形成浅层层级——无需预分配角色或外部设计。ICML 2026的MAS-Orchestra[3]进一步将"自动多智能体系统设计"重构为RL问题，并提出MASBench从Depth、Horizon、Breadth、Parallelism、Robustness五个维度澄清"多智能体系统何时真正优于单智能体"。

5.3 人机协作与失败诊断

AgenTracer[16]则聚焦多智能体系统的失败诊断，用"反事实回放+程序化故障注入"自动标注多智能体失败轨迹，训练8B轻量"失败追踪器"，在Who&When基准上agent级准确率反超Gemini-2.5-Pro、Claude-4-Sonnet等巨型模型最多18.18%。ICML 2026的CollabBench[27]面向合作博弈的LLM agent协作评测与训练，用Big Five人格模拟多样化队友，采用双层"效率/情感"混合奖励的RL训练范式，训练后Qwen2.5-7B在效率和情感维度分别提升约19.5%和24.4%。

5.4 产业级多智能体科研系统

Google DeepMind的Co-Scientist[44]代表了多智能体系统在科研领域的最高水平。该系统由Gemini驱动，包含三大阶段六大agent——Generate（提出假说、聚类）、Debate（虚拟同行评审、想法锦标赛）、Evolve（迭代优化、综合洞察），采用类似AlphaGo的Elo锦标赛机制，已在肝纤维化药物重定位、ALS、细胞衰老逆转等领域与Stanford、MIT、Cambridge等机构合作验证。

6. Agent记忆与长期上下文管理

记忆机制是agent处理长程任务的基础设施。2026年的研究从评估、架构设计和训练优化三个层面系统推进了agent记忆技术，涌现出受认知科学和神经科学启发的多种新范式。

6.1 记忆能力评估

ICLR 2026的MemoryAgentBench[12]基于记忆科学将agent记忆能力拆成四项核心能力——准确检索、测试时学习、长程理解、选择性遗忘，构建首个把长文本切块、增量喂给智能体来模拟多轮交互的统一benchmark。研究发现现有长上下文、RAG、商用记忆智能体均无法同时掌握四项能力，揭示了当前记忆技术的根本性局限。

6.2 记忆架构创新

2026年的记忆架构创新呈现出从简单向量存储向结构化、层次化、生物启发式架构演进的趋势：

其中，ACL 2026的HeLa-Mem[4]将对话历史建模为带Hebbian学习动力学的动态图，通过共激活强化记忆间连接，经反思蒸馏将hub记忆浓缩为语义知识，双路检索（语义相似+Hebbian扩散激活）在LoCoMo上达SOTA。这一工作展示了神经科学原理在agent记忆设计中的潜力。APEX-MEM[32]则用领域无关本体将对话结构化为时间锚定事件的属性图，采用只追加存储策略保留信息完整演化，在LOCOMO达88.88%、LongMemEval达86.2%。

6.3 记忆引导的探索与训练

EMPO²[13]结合外部记忆模块与混合on-policy/off-policy更新的RL框架，通过记忆引导探索和知识蒸馏将探索收益内化到模型参数中，在ScienceWorld和WebShop上分别比GRPO提升128.6%和11.3%。E-mem[3]提出以"保留原始上下文+小模型助手现场推理"的事件重构范式替代传统"压缩为embedding/图"的记忆范式，在LoCoMo上比SOTA F1高7.75个点，token消耗降70%。

7. Agent规划与推理

规划与推理是agent决策的核心引擎。2026年的研究将基于模型的RL思想引入LLM agent，通过世界模型模拟、"做梦"式离线规划和长程多轮RL训练，显著提升了agent的决策质量。

7.1 世界模型与模拟推理

ICLR 2026上，Microsoft Research的Dyna-Mind[9]先用RESIM方法（把真实环境交互搭成搜索树再蒸馏成含模拟的推理）教会(V)LM智能体在动手前先在脑中推演未来，再用把"真实未来状态"灌进RL的Dyna-GRPO在线强化模拟能力，在Sokoban、ALFWorld、AndroidWorld上显著超过GRPO/RLOO。DreamPhase[10]进一步让冻结的策略LLM不靠真刀真枪试错，而是先用学到的潜空间世界模型在脑中"做梦"模拟M条多步未来轨迹，用"价值减不确定性"打分并过安全门，把选中轨迹蒸馏成自然语言反思塞回prompt，WebShop上每回合真实API调用从约40次砍到10次以下。

7.2 长程多轮强化学习

复旦大学NLP实验室的AgentGym-RL[11]是2026年agent训练领域最重要的开源工作之一。该框架开源解耦的多轮强化学习训练系统，能在Web导航、深度搜索、数字游戏、具身控制、科学任务五大真实场景从零训练LLM agent，并提出ScalingInter-RL"先短程后长程"分阶段训练法，让7B模型在27个任务上追平甚至超过OpenAI o3、Gemini-2.5-Pro。

ICML 2026进一步深化了agentic RL训练的理论理解。"Information Self-Locking"[3]揭示了Agentic RL训练中一种失败机制——agent在训练过程中会"自我锁定"信息流，并提出AREW方法通过轻量方向性反馈重新分配轨迹内credit来缓解。Agentic Monte Carlo[3]将"针对黑盒LLM Agent的RL"重构为"从最优策略后验中采样"，用带轻量价值函数的SMC在测试时引导冻结的黑盒模型，无需访问参数即可实现RL式优化。

7.3 推理轨迹评估

ICML 2026的"Beyond the Final Answer"[37]指出"仅看最终答案准确率"掩盖了agent实际推理过程的问题——如低效轨迹、幻觉。该工作提出对工具增强agent推理轨迹本身进行评估的框架，区分"答案对但推理错"的情况，为agent推理质量提供了更精细的评估视角。

8. Agent评估基准：从理想到真实

2026年的agent评估基准研究呈现出鲜明的"去理想化"趋势——从精心设计的受控环境走向真实世界的噪声、异常和长周期场景，揭示了现有agent能力与实际需求之间的巨大鸿沟。

8.1 去理想化真实世界评测

ACL 2026的AgentGym2[31]明确提出"去理想化"评测框架，除推理规划外还评测agent执行端到端流程、通过探索发现工具、为未见任务组合工具、以及对噪声和欠规格信息的鲁棒性。15个模型实验显示即便Gemini和GPT-5也表现挣扎。AgencyBench[30]则覆盖32个真实场景共138个任务，每个场景平均需90次工具调用、100万token、数小时执行，通过用户模拟agent提供迭代反馈实现全自动评估。

8.2 持续演化与长周期评测

AAAI 2026的D-GARA面向Android GUI Agent的动态鲁棒性评估，通过在实时交互过程中注入权限弹窗、电量警告、应用崩溃等真实世界异常，揭示现有SOTA Agent在中断场景下平均成功率下降超过17.5%。ProBench[1]首个同时评估"最终状态"和"操作过程"的移动端GUI Agent benchmark，发现最强模型Gemini 2.5 Pro也仅完成40.1%任务。

8.3 科研实验与个性化评测

ICLR 2026的EXP-Bench[2]从51篇NeurIPS/ICLR 2024顶会论文及开源代码里半自动抽取461个"完整AI研究实验"任务，逼着Agent走完"提假设→设计实验→写代码→真跑→下结论"全流程，最强Agent完整跑通可执行实验成功率仅0.5%。ICML 2026的MacArena在Apple Silicon原生虚拟化框架的真实macOS环境中统一评测，揭示当前GUI agent在macOS上普遍弱于Linux。MCP-Persona[3]首个面向真实个性化MCP工具的LLM agent基准，提出Tool-Traverse、Context-Tree、Persona-Gen三种方法自动合成模拟器代码。

8.4 评估方法学创新

ACL 2026的AdaRubric[4]指出"LLM-as-Judge+固定Rubric"不适配目标导向agent轨迹评估，提出让LLM根据任务描述自动生成N维任务特定评分细则，在WebArena/ToolBench/AgentBench上Pearson r=0.79，DPO训练带来+6.8~+8.5%任务成功率。ICLR 2026的ChinaTravel[20]用可组合的领域专用语言把开放式自然语言旅行需求自动翻译成可验证逻辑约束，神经符号agent约束满足率比纯LLM高10倍（37.0% vs 2.60%）。

9. Agent安全与对齐

随着agent能力快速提升和部署范围扩大，安全问题从静态的模型安全扩展到动态的agent安全。2026年的研究聚焦长上下文安全、工具调用注入攻击、欺骗界面防御和黑盒监控四个方向。

9.1 长上下文与工具调用安全

AAAI 2026的"When Refusals Fail"[21]系统研究了LLM Agent在长上下文填充下的安全行为变化，发现声称支持1M-2M token的模型在100K token时已出现>50%性能崩溃，拒绝率以不可预测方式波动——GPT-4.1-nano从5%升至40%，Grok 4 Fast从80%降至10%。ChatInject[22]揭示了LLM Agent中chat template的结构性漏洞，通过在工具返回数据中伪造角色标签，攻击者可将恶意指令伪装为高优先级指令，攻击成功率从5-15%提升至32-52%。

9.2 欺骗界面防御

ACL 2026上，Web Agent面对欺骗界面的脆弱性成为焦点。DUDE[4]将"对抗性欺骗UI"形式化为web agent的独立防御问题，提出两阶段框架——非对称惩罚的混合奖励RL训练评估器+迭代经验总结将失败模式蒸馏为可迁移上下文。在三个VLM agent base上将欺骗引发的失败率从23.5%降至1.5%，任务成功率从9.5%提升到60.5%。WebDecept[4]开发了轻量可插拔的"欺骗界面注入层"，GPT-5.1、Claude 4.5、Gemini 2.5普遍脆弱，尤其"隐藏加购/总价操纵"几乎完全失败。

9.3 黑盒监控与说服攻击

ICML 2026的Constitutional Black-Box Monitoring[28]提出端到端"宪法式黑盒监控"框架，仅通过外部可见的工具调用与输出（不看CoT）检测LLM agent的scheming行为。TRAP基准[3]面向Web Agent的"任务重定向说服"评测，将prompt注入分解为5个模块化维度共630种组合，发现平均25%任务被劫持（GPT-5为13%，DeepSeek-R1达43%）。

9.4 效率对齐与道德推理

AAAI 2026的DEPO[23]提出"双重效率"概念，将LLM Agent效率分解为step级（减少每步token数）和trajectory级（减少总步数），基于KTO设计联合优化效率与性能的方法。MoralReason[1]使用GRPO在推理层面训练LLM进行道德框架对齐，在680个高歧义场景上实现功利主义对齐分数从0.207提升到0.964的分布外泛化。ARC Framework[1]从能力视角系统化识别、评估和缓解智能体AI系统的安全风险，为组织级治理提供结构化方法论。

10. 具身智能与视觉Agent

CVPR 2026中，VLA（Vision-Language-Action）模型成为具身智能的主线，agent与具身智能的结合在主动感知、动作思维链、世界模型统一等方向快速推进。

10.1 能力链式规划

RoboAgent[47]提出能力驱动的规划管线，模型主动调用不同子能力，每个能力维护自己的上下文，产生中间推理结果或与环境交互。将复杂规划分解为单个VLM可更好解决的视觉-语言问题序列，使推理过程更透明可控。

10.2 动作思维链

ACoT-VLA[49]将VLA的"中间推理"从语言子任务或目标图像替换为动作空间中的粗粒度参考动作序列。显式动作推理器生成参考轨迹，隐式动作推理器从VLM的KV cache提取动作先验，两路联合条件化动作头，在LIBERO/LIBERO-Plus/VLABench上达到SOTA。这一工作将Chain-of-Thought从"语言推理"扩展到"动作推理"，为具身agent的规划提供了新范式。

10.3 统一潜在动作世界模型

Motus[48]利用Mixture-of-Transformer（MoT）架构整合理解、视频生成、动作三专家，采用UniDiffuser式调度器，支持世界模型、VLA模型、逆动力学模型、视频生成模型等多种建模模式间的灵活切换。Align While Search[49]将搜索建模为单状态贝叶斯自适应控制，在测试时维护分层信念，利用冻结LLM模拟观测进行信念刷新，无需任何梯度更新即可同时提升搜索成功率和降低token开销。

10.4 具身Agent安全

AGENTSAFE[49]是首个系统评估"具身VLM agent执行危险指令"安全性的基准，包含对抗仿真沙箱SAFE-THOR、9,900条按"机器人三定律"分类的危险指令集SAFE-VERSE、覆盖"感知-规划-执行"的诊断协议SAFE-DIAGNOSE。评估9个VLM和2个agent工作流，揭示当前agent"识别危险但无法将认知纳入规划和执行"的系统性失效。

11. 产业进展与开源生态

2026年上半年，四大AI厂商（OpenAI、Anthropic、Google DeepMind、Meta）均交付了GA质量的agent产品，从研究预览转向企业主线部署。同时，开源agent框架经历重大整合，三大框架均达到1.0稳定版。

11.1 产业产品进展

Computer Use（计算机操作）能力的突破尤为瞩目。OSWorld基准从2024年10月的14.9%提升至2026年2月Claude Opus 4.6的72.7%，16个月实现约5倍提升，基本达到人类基线[43]。2026年的主导架构从纯像素控制转向"连接器优先"混合架构——优先调用直接API集成，其次浏览器导航，最后才回退到屏幕像素控制[54]。开源生态中H Company的Holo3在OSWorld-Verified达到82.6%，超越闭源前沿模型。

11.2 开源框架整合

2025年底至2026年初，agent框架界经历重大整合浪潮[51][52][53]：

• LangGraph 1.2（2026年5月）：细粒度节点执行、DeltaChannel（checkpoint存储减少80%+）、Streaming API v3。月下载量约9000万，生产用户包括Uber、LinkedIn、Klarna、JP Morgan[52]

• Microsoft Agent Framework 1.0（2026年4月3日）：将AutoGen和Semantic Kernel合并为一个框架，原AutoGen进入维护模式。自然适配Azure生态和.NET组织[51]

• CrewAI 1.14.6（2026年5月28日）：新增flows事件驱动模式和AMP Cloud商业云产品，50行代码构建多agent协作流程[53]

• Hugging Face Smolagents：核心代码仅约1000行，核心理念是"用代码思考的agent"[59]

11.3 Agentic Science：科学发现的完整闭环

2025-2026年间，多个AI Agent驱动科研系统在顶刊发表，形成了清晰的趋势[40]：

• Biomni（Science, 2026.07）：Stanford团队，40分钟完成人类团队60小时工作量，效率提升约90倍[46]

• Co-Scientist（Nature, 2026.05）：Google DeepMind多agent科研伙伴[44]

• AlphaEvolve（Google DeepMind, 2025.05）：打破保持56年的矩阵乘法纪录

这些系统的共同特征是：AI不再只是处理数据的工具，而是具备"观察→决策→执行→迭代"完整闭环能力，区别仅在实验对象不同（数据/显微镜/机械臂/代码）。这一趋势标志着Agentic Science从概念走向实践。

12. 未来发展趋势研判

基于2026年五大顶会的系统性调研，本文研判agent技术未来将沿以下七大方向发展。

12.1 Agent操作系统：新基础设施层

Agent OS被视为AI agent的基础平台，类比传统OS之于应用程序[58]。其核心服务包括记忆管理（长期知识存储、情景记忆、工作记忆）、工具调用编排、多agent协调、安全沙箱。2026年产业界已从单工具实现转向部署协调的AI agent团队，自主执行端到端工作流。未来Agent OS将成为连接底层模型能力和上层应用的关键中间件。

12.2 自组织多智能体系统

自组织研究发现LLM agent在最小结构化脚手架下会自发产生专门化角色和浅层层级[41]。这一发现挑战了传统多智能体系统需要预设角色和拓扑的设计哲学，预示着未来多agent系统可能从"设计驱动"走向"涌现驱动"。关键开放问题包括：如何控制涌现结构的稳定性、如何平衡效率与灵活性、如何在涌现过程中保证安全。

12.3 个性化Agent

个性化LLM Agent综述[39]将个性化视为跨画像建模、记忆、规划、动作执行四个组件的分布式属性。MCP-Persona基准[3]显示当前最强agent在个性化场景中仅达38.66%。未来个性化agent需要在长期用户交互中持续学习用户偏好，同时保护隐私和安全。

12.4 世界模型统一

Motus[48]的统一潜在动作世界模型和Dyna-Mind[9]的模拟推理代表了世界模型与agent结合的趋势。未来agent将具备更强的"在脑中演练"能力——通过世界模型预测行动后果、评估多条路径、在执行前优化策略。这一方向的核心挑战是构建跨环境泛化的世界模型，以及解决模拟与现实的gap问题。

12.5 Agentic RAG的经验演化

HERA[50]提出将执行经验蒸馏为上下文知识，通过prompt evolution重塑agent行为而无需参数更新。Agentic RAG已从早期的简单"检索-生成"模式演进到Plan-and-Execute RAG等高级模式。未来这一方向将进一步与记忆机制和自我进化结合，形成agent的"经验积累-策略进化"闭环。

12.6 安全治理的内化

2026年的安全研究揭示agent"识别危险但无法纳入规划"的系统性失效[49]。未来安全治理需要从"外挂式监控"走向"内化式约束"——将安全约束嵌入agent的规划回路、执行决策和反思过程中，而非仅依赖外部检测器。ARC Framework[1]的组织级治理方法论和Constitutional Black-Box Monitoring[28]的黑盒监控是这一方向的重要探索。

12.7 长程决策的RL训练范式

AgentGym-RL[11]的"先短程后长程"分阶段训练法和Information Self-Locking[3]的失败机制分析表明，长程决策的RL训练仍面临根本性挑战。未来需要解决credit assignment在超长轨迹中的稀疏性问题、训练稳定性的保证、以及从模拟到真实环境的迁移。7B级开源模型追平闭源旗舰的成绩[11]预示着开源agent生态的快速追赶。

13. 结论

本文系统调研了2026年AAAI、ICLR、ICML、ACL、CVPR五大AI顶会中300余篇agent相关论文，精选60余篇代表性工作展开分析。研究揭示了2026年agent技术的三大核心特征：

第一，范式转变基本完成。从"LLM作为静态推理器"到"LLM作为自主智能体"的转变已从概念验证走向产业部署。UIUC的135页综述[38]提供了统一概念框架，四大厂商均交付GA质量的agent产品，OSWorld基准达到人类基线[43]，7B级开源模型追平闭源旗舰[11]。

第二，技术深度快速拓展。多模式统一架构[5]、上下文工程[6]、世界模型模拟推理[9]、自组织多智能体[41]、神经科学启发的记忆架构等方向均出现范式创新。Darwin Gödel Machine[8]的"agent改写自身代码"自指改进代表了通向开放式进化的可行路径。

第三，评估与安全成为紧迫议题。去理想化评测揭示现有agent在真实场景中表现远低于刷榜数字——持续演化场景最高仅38%[29]、完整科研实验成功率仅0.5%[2]。安全研究揭示agent"识别危险但无法纳入规划"的系统性失效[49]，长上下文安全[21]和工具调用注入[22]构成新型攻击面。

展望未来，Agent OS作为新基础设施层、自组织多智能体系统、个性化agent、世界模型统一、Agentic Science的完整闭环、安全治理内化、以及长程决策RL训练范式的成熟，将共同塑造agent技术的下一阶段发展。随着这些方向的推进，agent有望从"任务执行工具"进化为"自主探索与发现的伙伴"，在科学研究、软件开发、企业管理等领域产生深远影响。

参考文献

[1] PaperNotes, AAAI 2026 Accepted Papers (LLM Agent方向). https://papernotes.org/AAAI2026/llm_agent/

[2] PaperNotes, ICLR 2026 Accepted Papers (LLM Agent方向). https://papernotes.org/ICLR2026/llm_agent/

[3] PaperNotes, ICML 2026 Accepted Papers (LLM Agent方向). https://en.papernotes.org/ICML2026/llm_agent/

[4] PaperNotes, ACL 2026 Accepted Papers (LLM Agent方向). https://en.papernotes.org/ACL2026/llm_agent/

[5] Jian Yang et al., A²FM: An Adaptive Agent Foundation Model for Tool-Aware Hybrid Reasoning. ICLR 2026. https://arxiv.org/pdf/2510.12838

[6] Stanford University et al., Agentic Context Engineering. ICLR 2026. https://arxiv.org/pdf/2510.04618

[7] AgentFold: Long-Horizon Web Agents with Proactive Context Management. ICLR 2026. https://arxiv.org/pdf/2510.24699

[8] Sakana AI & UBC, Darwin Gödel Machine. ICLR 2026. https://arxiv.org/pdf/2505.22954

[9] Baolin Peng et al., Dyna-Mind: Learning to Simulate from Experience. ICLR 2026. https://arxiv.org/html/2510.09577

[10] DreamPhase: Offline Imagination and Uncertainty-Guided Planning. ICLR 2026. https://openreview.net/forum?id=81PJ2KPnmK

[11] 复旦大学NLP实验室 et al., AgentGym-RL. ICLR 2026. https://arxiv.org/pdf/2509.08755

[12] Hu, Wang, McAuley et al., MemoryAgentBench. ICLR 2026. https://arxiv.org/pdf/2507.05257

[13] Liu, Kim et al., EMPO². ICLR 2026. https://arxiv.org/pdf/2602.23008

[14] Liming Yang et al., BAMAS. AAAI 2026. https://ojs.aaai.org/index.php/AAAI/article/view/40226

[15] Vinay Samuel et al., Collaborative Gym. ICLR 2026. https://arxiv.org/pdf/2412.15701

[16] AgenTracer. ICLR 2026. https://arxiv.org/pdf/2509.03312

[17] Kai Yu组, TRM: Tool-call Reward Model. ICLR 2026. https://openreview.net/forum?id=LnBEASInVr

[18] Peijie Yu et al., WildToolBench. ICLR 2026. https://arxiv.org/abs/2604.06185

[19] MSARL. ICLR 2026. https://openreview.net/pdf?id=ZLxKJVdSW4

[20] Shao et al., ChinaTravel. ICLR 2026. https://arxiv.org/pdf/2412.13682

[21] When Refusals Fail. AAAI 2026. https://arxiv.org/pdf/2512.02445

[22] Chang et al., ChatInject. ICLR 2026. https://arxiv.org/pdf/2509.22830

[23] Sirui Chen et al., DEPO. AAAI 2026. https://arxiv.org/pdf/2511.15392

[24] ACON. ICML 2026. https://arxiv.org/abs/2510.00615

[25] Agent JIT Compilation. ICML 2026. https://arxiv.org/abs/2605.21470

[26] AdaMEM. ICML 2026. https://arxiv.org/abs/2606.05684

[27] CollabBench. ICML 2026. https://arxiv.org/abs/2606.05793

[28] Simon Storf et al., Constitutional Black-Box Monitoring. ICML 2026. https://arxiv.org/abs/2603.00829

[29] Gangda Deng et al., EvoClaw. ICML 2026. https://arxiv.org/abs/2603.13428

[30] AgencyBench. ACL 2026. https://arxiv.org/abs/2601.11044

[31] Zhiheng Xi et al., AgentGym2. ACL 2026. https://arxiv.org/abs/2607.05174

[32] APEX-MEM. ACL 2026. https://arxiv.org/abs/2604.14362

[33] GenesisFunc. ACL 2026. https://aclanthology.org/2026.acl-long.1319.pdf

[34] VoxMind. ACL 2026. https://aclanthology.org/2026.acl-long.459.pdf

[35] Hyunji Min et al., GOAT. ACL 2026. https://aclanthology.org/2026.findings-acl.1150.pdf

[36] DiaFORGE. ACL 2026. https://arxiv.org/abs/2507.03336

[37] Wonjoong Kim et al., Beyond the Final Answer. ICML 2026. https://icml.cc/media/icml-2026/Slides/64255_IvmDOa3.pdf

[38] Tianxin Wei et al., Agentic Reasoning for LLMs: A Survey. arXiv:2601.12538. https://arxiv.org/abs/2601.12538

[39] Toward Personalized LLM-Powered Agents. arXiv:2602.22680. https://arxiv.org/abs/2602.22680

[40] Jiaqi Wei et al., From AI for Science to Agentic Science. arXiv:2508.14111. https://arxiv.org/abs/2508.14111

[41] Drop the Hierarchy and Roles. arXiv:2603.28990. https://arxiv.org/abs/2603.28990

[42] OpenAI, ChatGPT Work. https://openai.com/index/chatgpt-for-your-most-ambitious-work/

[43] Anthropic, Claude Opus 4.6. https://www.anthropic.com/news/claude-opus-4-6

[44] Google DeepMind, Co-Scientist. Nature, 2026. https://deepmind.google/blog/co-scientist-a-multi-agent-ai-partner-to-accelerate-research/

[45] Meta, Llama 4 Agent Framework. https://callsphere.ai/blog/meta-releases-llama-4-agent-framework-open-source-multi-agent-orchestration

[46] Kexin Huang et al., Biomni. Science, 2026. https://www.science.org/doi/10.1126/science.adz4351

[47] Xu et al., RoboAgent. CVPR 2026. https://openaccess.thecvf.com/content/CVPR2026/papers/Xu_RoboAgent_Chaining_Basic_Capabilities_for_Embodied_Task_Planning_CVPR_2026_paper.pdf

[48] Bi et al., Motus. CVPR 2026. https://openaccess.thecvf.com/content/CVPR2026/papers/Bi_Motus_A_Unified_Latent_Action_World_Model_CVPR_2026_paper.pdf

[49] PaperNotes, CVPR 2026 Robotics & Embodied AI. https://en.papernotes.org/CVPR2026/robotics/

[50] HERA. arXiv:2604.00901. https://arxiv.org/pdf/2604.00901v2

[51] Forasoft, LangGraph vs CrewAI vs AutoGen. https://www.forasoft.com/learn/ai-for-video-engineering/articles-ai/langgraph-vs-crewai-vs-autogen-agent-frameworks

[52] Andrew.ooo, LangGraph 1.2 vs CrewAI 1.14. https://andrew.ooo/answers/langgraph-1-2-vs-crewai-1-14-vs-mastra-may-2026/

[53] AliceLabs, Best AI Agent Frameworks 2026. https://alicelabs.ai/en/insights/best-ai-agent-frameworks-2026

[54] AIWiki, Computer-Use Agent. https://aiwiki.ai/wiki/computer-use_agent

[55] DataCamp, Muse Spark 1.1. https://www.datacamp.com/id/blog/muse-spark-1-1

[56] FelloAI, Claude Cowork Guide. https://felloai.com/ko/claude-cowork-guide/

[57] Zylos AI, Graph-Based Agent Workflow Orchestration. https://zylos.ai/en/research/2026-04-14-graph-based-agent-workflow-orchestration-production/

[58] Emerging AI Engineering. https://media.aivoid.dev/pdfs/emerging-ai-engineering-agents-orchestration-and-ai-native-systems_20260504181824.pdf

[59] Hugging Face, Smolagents. https://smolagents.org/hi/

跳转微信打开

跳转微信打开

1. Bond: Constraint-Directed Fuzzing for Automated Validation of Taint Analysis Results in Linux-based IoT Firmware

作者：Jiaqian Peng (中国科学院信息工程研究所; 中国科学院大学网络空间安全学院); Puzhuo Liu (蚂蚁集团; 清华大学); Kai Cheng (中国科学院信息工程研究所); Zhaoteng Yan (中国科学院大学网络空间安全学院); Jie Liu (中国科学院信息工程研究所); Chengnian Sun (滑铁卢大学); Hongsong Zhu (中国科学院信息工程研究所; 中国科学院大学网络空间安全学院)

摘要：

IoT 设备的固件漏洞构成严重的安全威胁，然而最先进的污点分析工具往往生成大量报告却缺乏充分验证。我们提出 Bond，一种有向模糊测试框架，连接静态污点分析与动态漏洞验证。Bond 通过集成三大类、六种语义类型的约束，引入约束引导的输入变异，从而高效地探索与污点报告相关联的路径。我们在来自 8 家厂商的 19 款 IoT 设备上评估 Bond，覆盖四种最先进污点分析器所产生的 2,776 份污点报告。Bond 成功验证了 1,349 份报告为真实漏洞，其中包括 155 个此前未知的漏洞，其中 108 个已被分配 CVE/PSV 标识符。在 60 个已知漏洞上，Bond 取得了 91.67% 的召回率。与四种领先的 IoT 模糊测试器相比，Bond 将漏洞验证能力最多提升 5.5 倍。消融研究进一步证明了 Bond 关键组件与约束提取的有效性。这些结果确立了 Bond 作为验证固件污点分析结果的实用且有效的框架。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_peng-jiaqian.pdf

2. Heli: Heavy-Light Private Aggregation

作者：Ryan Lehmkuhl and Henry Corrigan-Gibbs (麻省理工学院); Emma Dauterman (斯坦福大学); David J. Wu (德克萨斯大学奥斯汀分校)

摘要：

本文提出 Heli，一种允许一对服务器收集关于客户端所持有私密数据的聚合统计、却不获取任何单个客户端数据更多信息的系统。与已有系统一样，Heli 在面对恶意服务器时保护客户端隐私，在面对行为不端的客户端时保护正确性，并支持常见统计函数：均值、方差等。Heli 的创新之处在于，仅其中一个服务器（“重型服务器”）需要执行与客户端数量成正比的每次运行工作；另一个服务器（“轻型服务器”）在一次性设置阶段之后所做的工作与客户端数量无关。因此，一个计算能力受限的参与方，例如预算有限的非营利组织，有可能作为拥有数百万客户端的 Heli 部署中的第二个服务器。

Heli 依赖一种新的密码学原语——仅聚合加密（aggregation-only encryption），允许在许多客户端的加密数据上计算某些受限函数。在拥有一千万客户端的部署中，服务器私下计算 32 个客户端持有的 1 比特整数之和，Heli 的重型服务器完成 240,000 核秒的工作，而轻型服务器完成 7 核毫秒的工作。与已有工作相比，重型服务器的计算量多 38 倍，但轻型服务器的计算量少 120,000 倍。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_lehmkuhl.pdf

3. "Your imaging may be stone-cold normal, but if they look sick, they're going to get admitted": An Investigation of Clinicians' Perceptions of Impact & Likelihood of Security Failures

作者：Ronald E. Thompson III and Hamza Khalid (塔夫茨大学); Hilary Fisher (布里格姆妇女医院); Rhea Votipka (贝斯以色列莱伊健康); Daniel Votipka (塔夫茨大学)

摘要：

网络攻击是关键的病人安全问题，然而安全控制措施往往未能考虑到临床环境的独特性。本文通过混合方法研究来填补对临床医生安全认知的理解空白，首先对美国临床医生进行了 12 次访谈，随后在美国、英国和加拿大开展了一项有 303 名参与者参与的临床医生调查。我们的发现揭示了所感知的威胁与已部署控制措施之间存在显著错位。临床医生认为机密性失效（例如数据泄露）最可能发生。他们将完整性失效（例如被篡改的数值）视为灾难性事件，但相信凭自身专业知识可以忽略异常数据。最后，他们用纸质记录等模拟替代方案来应对既可能又危险的可用性失效，却引入了新的风险。这些结果表明需要将临床医生纳入安全体系，指出现有方法的不足，并为开发更有效的、以临床医生为中心的安全措施提供建议。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_thompson-iii.pdf

4. Hop: A Modern Transport and Remote Access Protocol

作者：Paul Flammarion (斯坦福大学); George Hosono (佐治亚理工学院); Wilson Nguyen, Laura Bauman, Daniel Rebelsky, and Gerry Wan (斯坦福大学); David Adrian (独立研究者); Zakir Durumeric (斯坦福大学)

摘要：

自 SSH 标准化以来近 20 年间，对远程访问协议的现实需求以及我们对如何构建安全密码学网络协议的理解都已发生显著演进。在本工作中，我们引入 Hop，一种旨在满足当今需求的传输与远程访问协议。基于现代密码学进展，Hop 降低了 SSH 协议的复杂性与开销，同时通过密码学中介的委托机制、汲取 TLS 与 ACME 经验的原生主机标识、面向现代企业环境的客户端认证，以及对客户端漫游与间歇性连接的支持，解决了 SSH 的诸多不足。我们提出现代远程访问协议的具体设计需求，描述所提出的协议，并评估其性能。我们希望本工作能促进关于未来现代远程访问协议应有形态的讨论。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_flammarion.pdf

5. Interpolation-Based Optimization for Enforcing lp-Norm Metric Differential Privacy in Continuous and Fine-Grained Domains

作者：Chenxi Qiu (北德克萨斯大学)

摘要：

度量差分隐私（mDP）通过基于成对距离调整隐私保证来推广局部差分隐私（LDP），从而实现情境感知保护并提升效用。虽然已有的基于优化的方法在粗粒度域中能有效减少效用损失，但由于构造稠密扰动矩阵与满足逐点约束的计算代价，在细粒度或连续场景下优化 mDP 仍具挑战性。

在本文中，我们提出一种基于插值的框架，用于在此类域中优化 ℓp 范数 mDP。我们的方法在一组稀疏的锚点处优化扰动分布，通过对数凸组合在非锚点位置插值分布，可证明地保持 mDP。为解决高维空间中朴素插值导致的隐私违规，我们将插值过程分解为一系列一维步骤，并推导出一个修正公式，从设计上强制满足 ℓp 范数 mDP。我们进一步探讨了跨维度上扰动分布与隐私预算分配的联合优化。在真实位置数据集上的实验表明，我们的方法在细粒度域中提供了严格的隐私保证和有竞争力的效用，优于基线机制。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_qiu.pdf

6. Membership Inference Attacks on Tokenizers of Large Language Models

作者：Meng Tong (中国科学技术大学); Yuntao Du (普渡大学); Kejiang Chen and Weiming Zhang (中国科学技术大学); Ninghui Li (普渡大学)

摘要：

成员推理攻击（MIA）被广泛用于评估与机器学习模型相关的隐私风险。然而，当这些攻击应用于预训练大语言模型（LLM）时，会遭遇重大挑战，包括样本标注错误、分布偏移以及实验与真实场景下模型规模的差异。为克服这些局限，我们引入分词器（tokenizer）作为成员推理的新型攻击向量。具体而言，分词器将原始文本转换为 LLM 所用的词元。与完整模型不同，分词器可以从头高效训练，从而避免上述挑战。此外，分词器的训练数据通常能代表用于预训练 LLM 的数据。尽管有这些优势，分词器作为攻击向量的潜力仍未被探索。为此，我们首次研究了通过分词器的成员泄露，并探索了五种攻击方法来推断数据集成员关系。在数百万互联网样本上的大量实验揭示了最先进 LLM 分词器中的漏洞。为缓解这一新兴风险，我们进一步提出一种自适应防御方法。我们的发现强调分词器是一种被忽视却至关重要的隐私威胁，凸显了专门为其设计隐私保护机制的迫切需求。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_tong.pdf

7. JailbreakScope: Interpreting Jailbreak Mechanism through Representation and Circuit Analyses

作者：Zeqing He, Zhibo Wang, Zhixuan Chu, Huiyu Xu, Wenhui Zhang, Qinglong Wang, and Rui Zheng (浙江大学)

摘要：

大语言模型（LLM）展现出令人瞩目的性能，但仍易受越狱攻击，即通过精心构造的对抗性提示绕过安全对齐并诱发出预期之外的响应。尽管越狱攻击普遍存在，其背后的机制仍不甚明了。近期研究主要关注静态表示偏移或识别与生成安全相关的组件。然而，这些研究既未探讨多样的越狱模式，也未提供从电路失效到表示变化的细粒度解释，在揭示越狱机制方面留下了重大空白。在本文中，我们提出 JailbreakScope，一个从表示（越狱如何扭曲 LLM 的危害感知）和电路（越狱如何影响对生成安全至关重要的电路）两个视角分析越狱机制的解释框架，并追踪其在整个生成过程中的演变。我们在 5 个主流 LLM 上、7 种越狱策略下进行了深入评估。我们的评估揭示了一个普遍模式：越狱放大了强化肯定响应的组件，同时抑制了产生拒绝的组件，这使表示向安全区域偏移，导致 LLM 提供响应而非拒绝。此外，我们发现在多样的越狱和多个 LLM 中，表示欺骗与电路激活偏移之间存在强烈且一致的相关性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_he.pdf

8. Imitative Membership Inference Attack

作者：Yuntao Du and Yuetian Chen (普渡大学); Hanshen Xiao (普渡大学 & 英伟达研究院); Bruno Ribeiro and Ninghui Li (普渡大学)

摘要：

成员推理攻击（MIA）通过判定特定查询实例是否属于训练集，来评估目标机器学习模型对其训练数据的泄露程度。最先进的 MIA 依赖于训练数百个与目标模型独立的影子模型，导致显著的计算开销。在本文中，我们引入模仿式成员推理攻击（IMIA），它采用一种新颖的模仿训练技术，策略性地构造少量目标感知的模仿模型，使其紧密复现目标模型的行为以用于推理。大量实验结果表明，IMIA 在多种攻击设置下均显著优于现有 MIA，同时仅需不到最先进方法 5% 的计算开销。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_du.pdf

9. SMASH: Scalable Maliciously Secure Hybrid Multi-party Computation Framework for Privacy-Preserving Large Language Models

作者：Yunlv Lv and Rui Zhang (中国科学院信息工程研究所; 网络空间安全防御国家重点实验室; 中国科学院大学网络空间安全学院); Zhiyuan Zhang (马克斯·普朗克安全与隐私研究所); Ziyi Wan (中国科学院信息工程研究所; 网络空间安全防御国家重点实验室; 中国科学院大学网络空间安全学院); Lanxue Zhang (中国科学院信息工程研究所; 中国科学院大学网络空间安全学院); Minhui Xue (澳大利亚联邦科学与工业研究组织 Data61 和负责任人工智能研究（RAIR）中心，阿德莱德大学); Jiangtao Li (华东师范大学); Yanan Cao (中国科学院信息工程研究所; 中国科学院大学网络空间安全学院)

摘要：

大语言模型（LLM）的迅猛崛起引发了对隐私保护推理的迫切需求。然而，现有的恶意安全多方计算（MPC）框架在扩展到大型模型时面临“性能崩溃”，主要原因是非线性算子的二次（O(n²)）通信开销以及昂贵的秘密共享转换。本文提出 SMASH，一种高可扩展的恶意安全混合 MPC 框架，打破了这些瓶颈。SMASH 引入了一种基于 DFT 的旋转技术和一种轻量级知识零知识证明（ZKPoK）构造来求值非线性运算。该方法首次实现了相对于参与方数量的线性通信复杂度（O(n)），且与函数复杂度无关。此外，SMASH 提供了一套高效转换协议（A2L/L2A 以及基于 SM-LUT 的 A2B/B2A），在不依赖昂贵密码学原语的情况下连接算术域与布尔域。大量基准测试表明，SMASH 在运行时间上比最先进框架（如 MP-SPDZ、MD-ML）最多快 18.9 倍，并实现了最多 103 倍的通信缩减。凭借其常数轮在线阶段和对广域网的低敏感性，SMASH 为安全的地域分布式 LLM 部署铺平了道路，在对抗鲁棒性与实用效率之间实现了前所未有的平衡。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_lv.pdf

10. XGuardian: Towards Generalized, Explainable and More Effective Server-side Anti-cheat in First-Person Shooter Games

作者：Jiayi Zhang, Chenxin Sun, and Chenxiong Qian (香港大学)

摘要：

瞄准辅助外挂是第一人称射击（FPS）游戏中最普遍且臭名昭著的作弊形式，它帮助作弊者非法暴露对手位置并自动瞄准射击，从而对游戏产业构成重大威胁。尽管已投入大量研究努力来自动检测瞄准辅助外挂，现有工作仍存在框架不可靠、泛化能力有限、开销高、检测性能低以及检测结果缺乏可解释性等问题。在本文中，我们提出 XGuardian，一种服务端通用的、可解释的瞄准辅助外挂检测系统，以克服上述局限。它仅需俯仰角和偏航角两种原始数据输入——这是所有 FPS 游戏必备的数据——来构造新颖的时序特征并描述瞄准轨迹，这对于区分作弊者与正常玩家至关重要。XGuardian 以最新主流 FPS 游戏 CS2 进行评估，并用两款不同游戏验证其泛化能力。在不同游戏上、基于真实与大规模数据集，与已有工作相比，它实现了高检测性能和低开销，展现了广泛的泛化能力和高效性。它能够论证其预测结果，从而缩短人工审核的延迟。我们公开了 XGuardian 及其数据集。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhang-jiayi.pdf

11. The Prompt Stealing Fallacy: Rethinking Metrics, Attacks, and Defenses

作者：Zehang Deng (斯威本科技大学 和 澳大利亚联邦科学与工业研究组织 Data61); Haoyang Li (香港理工大学); Wanlun Ma (斯威本科技大学); Ruoxi Sun and Derui Wang (澳大利亚联邦科学与工业研究组织 Data61); Minhui Xue (澳大利亚联邦科学与工业研究组织 Data61 和负责任人工智能研究（RAIR）中心，阿德莱德大学); Haibo Hu (香港理工大学); Sheng Wen and Yang Xiang (斯威本科技大学)

摘要：

文生图（T2I）模型日益嵌入创意工作流中，精心构造的提示词作为有价值的知识产权（IP）形式存在。然而，这些模型容易受到提示词窃取攻击（PSA），攻击者旨在重建用于生成图像的原始提示词。在本文中，1）我们指出了当前评估实践中的关键不足，并提出两种改进的度量指标：风格相似度（SS）和一种新颖的提示词显著性（PS）评分，二者共同提供对 PSA 有效性的更忠实评估。现有指标仅依赖文本或图像模态之间原始信息与被盗信息的语义相似性，而新指标 PS 和 SS 以更实用的视角评估攻击有效性，明确考虑修饰词的重要性以及由被盗提示词生成图像的风格复制程度。2）通过使用这些度量进行广泛评估，我们发现现有的 PSA 方法——从白盒设置下的软提示词窃取到黑盒设置下的硬提示词窃取——并不如报道的那样有效，尤其是在恢复高贡献提示词组件方面。我们将其归因于根本性约束：白盒方法存在优化目标不匹配的问题，与词元级视觉语义对齐不佳；而黑盒方法由于与目标 T2I 模型生成过程解耦，经历了严重的信息损失。3）我们进一步引入 PromptThief，一种黑盒 PSA 框架，通过利用以 STS 和 SS 为指导的强化学习来引导高词元级贡献恢复，从而解决先前方法中的信息损失问题。PromptThief 在多项指标和真实场景中均显著优于现有基线。4）我们提出并评估了两种防御机制：一种基于对抗样本的主动方法，以及一种通过特征级提示词水印实现的被动方案。我们的评估表明，主动防御对自适应 PSA 仅提供有限的鲁棒性，凸显了在此方向进一步探索的需求。相比之下，被动水印方案在各种图像变换下均展现出强健且一致的检测性能，为提示词 IP 保护提供了一条实用且可靠的路径。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_deng.pdf

12. When AIOps Become "AI Oops": Subverting LLM-driven IT Operations via Telemetry Manipulation

作者：Dario Pasquini (RSAC 实验室); Evgenios M. Kornaropoulos and Giuseppe Ateniese (乔治梅森大学); Omer Akgul, Athanasios Theocharis, and Petros Efstathopoulos (RSAC 实验室)

摘要：

面向 IT 运维的人工智能（AIOps）正通过自动化异常检测、事件诊断和修复来改变组织管理复杂软件系统的方式。现代 AIOps 解决方案日益依赖自主的基于 LLM 的智能体来解读遥测数据并在最少人工干预下采取纠正措施，承诺更快的响应速度和运营成本节约。

在本工作中，我们对 AIOps 解决方案进行了首次安全分析，表明 AI 驱动的自动化再次带来深远的安全代价。我们证明，攻击者可以操纵系统遥测数据，误导 AIOps 智能体采取危害其所管理基础设施完整性的行动。我们引入了可靠注入遥测数据的技术，利用诱发错误的请求，通过一种对抗性奖励劫持的形式影响智能体行为；以及看似合理但不正确的系统错误解读来引导智能体的决策。我们的攻击方法 AIOpsDoom 完全自动化——结合侦察、模糊测试和 LLM 驱动的对抗性输入生成——且在毫无目标系统先验知识的情况下运行。

为应对这一威胁，我们提出 AIOpsShield，一种利用遥测数据的结构化特性和用户生成内容最小作用来净化遥测数据的防御机制。我们的实验表明，AIOpsShield 能可靠地阻断基于遥测的攻击，同时不影响智能体的正常性能。最终，本工作揭示了 AIOps 作为系统攻陷新兴攻击向量的风险，强调了安全感知的 AIOps 设计的迫切需求。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_pasquini.pdf

13. A Large-Scale Study of Personalized Phishing using Large Language Models

作者：Stefan Czybik (BIFOLD 和 柏林工业大学); Anne Josiane Kouam (法国国家信息与自动化研究所 和 柏林工业大学); Peter Heubl and Jan Magnus Nold (波鸿鲁尔大学); Konrad Rieck (BIFOLD 和 柏林工业大学)

摘要：

大语言模型（LLM）能够生成流畅且具有说服力的文本，使其成为有价值的沟通工具。然而，这一能力也使其对恶意用途具有吸引力。虽然多项研究表明 LLM 可支持通用钓鱼攻击，但其在大规模个性化攻击中的潜力尚未被探索和量化。因此，在本研究中，我们在一项有 7700 名参与者参与的实验中评估了基于 LLM 的鱼叉式钓鱼的有效性。我们以目标电子邮件地址作为查询，通过网络搜索收集个人信息，并自动生成针对每位参与者量身定制的邮件。我们的发现揭示了一个令人担忧的局面：与通用钓鱼策略相比，基于 LLM 的鱼叉式钓鱼使点击率提高了近三倍。这一效应是一致的，无论通用邮件是由人工撰写还是同样由 LLM 生成。此外，个性化的成本极低，每封邮件约 0.03 美元。鉴于钓鱼仍然是针对 IT 基础设施的主要攻击向量，我们得出结论：迫切需要加强现有防御，例如限制与电子邮件地址可关联的公开信息，并将个性化钓鱼纳入安全意识培训。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_czybik.pdf

14. Secure Protocol Composition under Dynamic Corruption: Scaling Up Symbolic Analysis for Real-World Security Properties

作者：Cas Cremers, Erik Pallas, and Aleksi Peltonen (德国亥姆霍兹信息安全研究中心（CISPA）)

摘要：

尽管自动化符号协议验证已被证明既有价值又有效，但当前方法开始达到其极限：小型协议可以自动分析，但最复杂的案例研究往往需要大量的专家时间和资源。已有许多尝试通过组合验证来解决此问题，但它们依赖于不切实际的协议假设，且不支持前向保密等真实世界安全属性。

在本工作中，我们使针对真实世界安全协议的现代安全属性的组合符号分析成为可能。我们在 Applied π-Calculus 中发展了一个组合结果，当协议满足不相交性要求时，即使在存在能够动态腐败的攻击者的情况下该结果也成立。

我们通过将一个数据交换协议与 Diffie-Hellman 密钥交换进行组合，以及在 RFC 8446 范围和 ECH 扩展内对 TLS 1.3 的前向保密进行组合分析，展示了我们结果的适用性和有效性。虽然对带 ECH 的 TLS 1.3 的单体分析在 10% 的情况下无法给出结果，但所有组合分析均成功。此外，运行时间平均减少 71%，内存使用平均减少 86%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_cremers.pdf

15. Opossum Attack: Application Layer Desynchronization using Opportunistic TLS

作者：Robert Merget (技术创新研究所); Nurullah Erinola and Marcel Maehren (波鸿鲁尔大学); Lukas Knittel (波鸿鲁尔大学); Sven Hebrok (帕德博恩大学); Marcus Brinkmann (波鸿鲁尔大学); Juraj Somorovsky (帕德博恩大学); Jörg Schwenk (波鸿鲁尔大学)

摘要：

许多协议（如 HTTP、FTP、POP3 和 SMTP）最初被设计为同步明文协议——命令和数据以明文发送，客户端在发送下一个请求之前等待当前待处理请求的响应。后来，引入了两种主要方案来为这些协议加装 TLS 保护。（1）隐式 TLS：为每个基于 TLS 的协议指定一个新的知名 TCP 端口，并立即以 TLS 开始。（2）机会式 TLS：保留原有的知名端口并以明文协议开始，然后响应 STARTTLS 之类的命令切换到 TLS。

在本工作中，我们揭示了通过隐式和机会式 TLS 将 TLS 集成到流行应用层协议中的一种新颖弱点。该弱点破坏了认证，即使在现代 TLS 实现中，如果同时支持隐式 TLS 和机会式 TLS 也会受到影响。然后，该认证缺陷可被利用，从纯粹的中间人位置影响 TLS 握手后交换的消息。与先前对机会式 TLS 的攻击不同，此类攻击不依赖于实现中的漏洞，仅需通信一方支持机会式 TLS。

我们分析了支持机会式 TLS 的流行应用层协议对该攻击的脆弱性。为展示攻击的实际影响，我们详细分析了 HTTP（RFC 2817）的利用技术，并展示了四个不同的利用方向。为评估攻击对已部署服务器的影响，我们对多种协议和端口进行了一系列 IPv4 全范围扫描，以检查机会式 TLS 的支持情况。我们发现，许多应用协议对机会式 TLS 的支持仍然广泛，超过 300 万台服务器同时支持隐式和机会式 TLS。在 HTTP 方面，我们发现 35 个端口上有 20,121 台服务器支持机会式 HTTP，其中 2,268 台同时支持 HTTPS，539 台使用与隐式 HTTPS 相同的域名，构成可利用场景。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_merget.pdf

16. Breaking Widely Deployed Perceptual Hash Functions: Black-Box Collisions in Apple NeuralHash and Microsoft PhotoDNA

作者：Diane Leblanc-Albarel and Bart Preneel (鲁汶大学)

摘要：

感知哈希函数被设计用于检测多媒体版权违规和非法内容。为实现其目的，它们将感知上相似的输入映射到相近的输出。然而，对于许多广泛部署的方案，其设计策略和详细规格仍为专有。各国政府现正考虑将其扩展到端到端加密服务的客户端扫描（CSS），在加密前验证内容是否为非法材料。2021 年，Apple 提出了一项基于 NeuralHash 感知哈希函数的 CSS 详细提案。在隐私和安全方面的强烈批评后，Apple 撤回了该提案，但 NeuralHash 仍部署在所有设备上，其当前用途未予披露。理论上，对 NeuralHash（96 位哈希值）的暴力碰撞需要 2^48 次求值。NeuralHash 发布后不久，研究人员表明很容易构造感知上不相似的碰撞，通过发送与非法内容共享相同哈希值的无辜图像来诬陷任何用户。本工作揭示了一个更严重的弱点：当输入限定为人脸时，我们仅在 2^16 次哈希函数求值后就发现了多对感知上不同图像之间的碰撞。与定向攻击不同，我们的黑盒方法无需了解哈希函数设计。我们还展示了高假阴性率（本应共享相同哈希却不共享的图像）。我们通过研究 Microsoft 广泛部署的 1152 位感知哈希函数 PhotoDNA 进一步证实了该方法的普适性。在 PhotoDNA 方面，我们在远低于此前报道的阈值下发现了近碰撞，根据所用阈值不同，出现在 2^14.6 到 2^17 次求值之间。这是首项在 NeuralHash 中展示精确碰撞、并在如此低阈值下识别 PhotoDNA 近碰撞的工作。这些结果对这些设计是否适用于大规模客户端扫描提出了严重质疑，因为它们产生高假阳性率和假阴性率，并凸显了重新评估其安全性和可行性的必要性，尤其是在隐私风险和假阳性具有严重后果的大规模应用中。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_leblanc-albarel.pdf

17. Zero Knowledge (About) Encryption: A Comparative Security Analysis of Three Cloud-based Password Managers

作者：Matteo Scarlata (苏黎世联邦理工学院); Giovanni Torrisi and Matilda Backendal (瑞士意大利语区大学，卢加诺); Kenneth G. Paterson (苏黎世联邦理工学院)

摘要：

零知识加密是云密码管理器厂商广泛使用的一个术语。虽然该术语没有严格的技术含义，但它传达了这样的理念：代表用户存储加密密码保险库的服务器无法获知这些保险库的内容。厂商所做的安全声明意味着，即使服务器完全是恶意的，这一点也应成立。这一威胁模型在实践中是合理的，因为保险库数据的高敏感性使密码管理器服务器成为攻击的诱人目标（攻击历史也证明了这一点）。

我们考察了针对完全恶意服务器的安全保护在多大程度上成立，针对的是三家做出零知识加密声明的领先厂商：Bitwarden、LastPass 和 Dashlane。它们合计拥有超过 6000 万用户和 23% 的市场份额。我们提出了针对 Bitwarden 的 12 种不同攻击、针对 LastPass 的 7 种攻击和针对 Dashlane 的 6 种攻击。这些攻击的严重程度各异，从对目标用户保险库的完整性违规到对与某组织关联的所有保险库的完全攻陷。大多数攻击允许恢复密码。我们已向厂商披露了发现，修复工作正在进行中。

我们的攻击展示了为云密码管理器考虑恶意服务器威胁模型的重要性。尽管厂商努力在此场景下实现安全性，我们仍发现了若干导致漏洞的常见设计反模式和密码学误解。我们讨论了可能的缓解措施，并更广泛地反思了端到端加密系统开发者可从我们的分析中汲取的教训。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_scarlata.pdf

18. A Midsummer Meme's Dream: Investigating Market Manipulations in the Meme Coin Ecosystem

作者：Alberto Maria Mongardini (罗马大学和丹麦技术大学); Alessandro Mei (罗马大学)

摘要：

从病毒式笑话到价值数十亿美元的现象，模因币已成为加密货币市场中最受欢迎的板块之一。与比特币等注重实用性的加密资产不同，模因币的价值主要源自社区情绪，使其容易受到操纵。本研究对模因币生态系统进行了前所未有的跨链分析，考察了 Ethereum、BNB Smart Chain、Solana 和 Base 上共计 34,988 个代币。我们刻画了它们的代币经济学特征，并在为期三个月的纵向分析中追踪其增长态势。我们发现，在高回报代币（>100%）中，高达 82.89% 存在人为增长策略的迹象，这些策略旨在制造市场关注度的误导性假象。其中包括洗售交易以及一种我们定义的新型操纵方式——基于流动性池的价格膨胀（LPI），即通过少量战略性买入引发价格剧烈上涨。我们发现，利润攫取手段（如拉高出货和跑路）通常紧随洗售交易或 LPI 等初始操纵行为之后，这表明早期操纵为后续的利用与收割奠定了基础。我们对这些手段的经济影响进行了量化，识别出超过 17,000 个受害者地址，其已实现损失超过 930 万美元。这些发现揭示了组合式操纵在高表现模因币中广泛存在，表明其惊人的涨幅往往源于协调性行动，而非自然的市场动态。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_mongardini.pdf

19. Distributed Vector Commitments and Their Applications

作者：Rui Gao and Huaqun Wang (南京邮电大学，西藏智能国家重点实验室); Zhiguo Wan (杭州师范大学); Yuncong Hu (上海交通大学)

摘要：

向量承诺（VC）方案允许证明者承诺一个向量，并在随后以简短证明打开任意位置。然而，现有的 VC 方案是为中心化场景设计的，无法用于输入向量分布在多台机器上的去中心化系统。同样，传统 VC 方案也无法利用跨多台机器的分布式并行计算来加速。

为解决这一问题，我们引入了一个新概念——分布式 VC（DVC），它允许多台机器（每台仅持有输入向量的一个子向量）协同承诺整个向量，并以分布式方式生成位置证明。据我们所知，目前尚无关于 DVC 的先前工作，也没有现有工作可以轻易推导出高效的 DVC 方案。其关键挑战在于，承诺和证明均依赖于整个向量，而在分布式场景中没有任何单台机器持有完整的向量。

我们提出了首个 DVC 方案 HLE-DVC，它利用 M 台机器并行处理长度为 N 的分布式向量 v，每台机器持有长度为 N/M 的子向量。HLE-DVC 实现了紧凑的证明大小 O(log M)，并允许每台机器在单轮通信中生成其所有位置证明，通信开销为 O(log M)，计算开销为 O(N log N / M)。此外，HLE-DVC 支持批量证明、证明聚合和高效更新。我们进行了实验并开源了代码。使用 256 台机器为长度为 2^30 的承诺向量生成所有证明耗时 17,515 秒。这相比单机上的 HLE-DVC 实现了 256 倍的并行加速，比 Hyperproofs（著名的单机 VC 方案）快 142 倍。每台机器的通信开销为 0.768 KB。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gao.pdf

20. From Mirai to Gorilla: Deep Dive into a Long-Lasting DDoS-for-Hire Botnet

作者：Maarten Weyns, Dario Ferrero, and Stefan Op de Beek (代尔夫特理工大学); Daniel Wagner (马克斯·普朗克信息学研究所 / DE-CIX); Georgios Smaragdakis and Harm Griffioen (代尔夫特理工大学)

摘要：

2016 年，Mirai 僵尸网络席卷互联网，开启了 DDoS 攻击的新时代。在随后的十年中，Mirai 僵尸网络的衍生品从简单的攻击工具转变为商业化平台，提供分布式拒绝服务攻击即服务。这类平台使用户能够以极低的技术门槛发起大规模 DDoS 攻击。一个典型的例子是 Gorilla 僵尸网络，其运营时间从 2024 年秋季持续至 2025 年夏季，与同类基于 Mirai 的僵尸网络相比，其生命周期异常漫长。

在本文中，我们对基于 Mirai 的 Gorilla 僵尸网络进行逆向工程，旨在理解其设计、工程决策和营销策略，以揭示其为何具有如此强的韧性和成功率。我们调查了其运营特征，包括所支持的攻击类型、底层基础设施以及僵尸节点的行为。我们发现，Gorilla 的长寿命源于有针对性的改进，包括两个软件开发阶段以及对先前版本经验的学习，这使其区别于典型的 Mirai 僵尸网络。在此过程中，我们分析了 Gorilla 僵尸网络的攻击火力和攻击向量，并刻画了其目标的业务类型。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_weyns.pdf

21. LPG: Raise Your Location Privacy Game in Direct-to-Cell LEO Satellite Networks

作者：Quan Shi (新加坡国立大学); Liying Wang (北京大学); Prosanta Gope (谢菲尔德大学); Qi Liang and Haowen Wang (北京邮电大学); Qirui Liu and Chenren Xu (北京大学); Shangguang Wang and Qing Li (北京邮电大学); Biplab Sikdar (新加坡国立大学)

摘要：

多租户直连蜂窝（D2C）低轨道（LEO）卫星网络通过将移动网络运营商（MNO）管理的身份与卫星网络运营商（SNO）可见的位置相关联，对用户的位置隐私构成了重大风险。现有的隐私保护方案不适用于这些卫星环境中资源受限的硬件和轨道动态特性。我们提出了 LPG（Location Privacy Game），这是首个为 D2C LEO 提供用户可配置位置隐私的协议层解决方案。LPG 通过身份-位置解耦来实现这一目标：SNO 在不可见用户身份的情况下提供连接，而 MNO 在无法获取精确位置信息的情况下管理服务和计费。LPG 支持离线安全认证和密钥协商而无需向卫星泄露用户身份，支持按所选地理粒度进行用户可配置的位置披露以满足基本服务需求，并通过隐私保护的结算方式确保 MNO 与 SNO 之间的公平计费。我们在真实在轨 LEO 卫星和商用手机上的实现表明，LPG 在资源受限、高度动态的 LEO 环境中是实用且可行的。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_shi.pdf

22. PrivacyShield: Relaying BLE Beacons to Counter Unsolicited Tracking

作者：Florian Hofhammer (洛桑联邦理工学院); Daniele Antonioli (EURECOM); Mathias Payer (洛桑联邦理工学院)

摘要：

离线查找网络（如 Apple 的 Find My、Google 的 Find My Device 或 Samsung 的 SmartThings Find）经常被滥用于跟踪毫无防备的受害者。这些网络允许用户将小巧廉价的标签附着在物品上，以便在物品丢失时定位。标签通过蓝牙低功耗（BLE）信标广播其存在，附近联网的设备（如智能手机）将其位置报告给查找网络。然而，离线查找标签的低廉价格和易于隐藏的特性使其对恶意行为者具有吸引力，他们会将标签放置在不知情的受害者身上。附近的设备甚至受害者自己的设备随后会在不知不觉中将受害者的位置报告给跟踪者。

我们分析了离线查找网络所采取的防跟踪措施，重点关注 Apple 的 Find My 和 Google 的 Find My Device。我们展示了恶意行为者如何绕过这些措施，并提出了 PrivacyShield，一种保护跟踪受害者的新型中继网络。我们的网络利用了离线查找 BLE 信标未经认证且可被中继到任意位置这一事实。被中继的信标会致使第三方设备向查找网络报告错误的位置，从而混淆受害者的真实位置。我们演示了 PrivacyShield 在隐藏标签位置方面的有效性，并展示了系统在面对阻止其使用的尝试时的鲁棒性。随后，我们为离线查找网络提供商提出了改进跟踪保护的实际建议。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_hofhammer.pdf

23. Assessing LLM Response Quality in the Context of Technology-Facilitated Abuse

作者：Vijay Prakash (纽约大学); Majed Almansoori (威斯康星大学麦迪逊分校); Donghan Hu (纽约大学); Rahul Chatterjee (威斯康星大学麦迪逊分校); Danny Yuxing Huang (纽约大学)

摘要：

技术介导的虐待（TFA）是亲密伴侣暴力（IPV）的一种普遍形式，利用数字工具来控制、监视或伤害幸存者。虽然科技诊所是 TFA 幸存者可靠的支持来源之一，但由于人员配置限制和后勤障碍，它们面临诸多局限。因此，许多幸存者转而寻求在线资源的帮助。随着大型语言模型（LLM）的可及性和普及度不断提高，以及 IPV 组织日益增长的兴趣，幸存者可能会在寻求科技诊所帮助之前先咨询基于 LLM 的聊天机器人。

在这项工作中，我们首次对四个 LLM 进行了由专家主导的人工评估——包括两个广泛使用的通用非推理模型和两个专为 IPV 场景设计的领域专用模型——重点关注其在回答 TFA 相关问题方面的有效性。我们使用从文献和在线论坛收集的真实问题，在为 TFA 领域量身定制的评估标准下，评估了以幸存者安全为中心的提示所生成的零样本单轮 LLM 响应的质量。此外，我们开展了一项用户研究，从经历过 TFA 的个体视角评估这些响应的可感知可操作性。

我们的发现基于专家评估和用户反馈，为 LLM 在 TFA 场景中的当前能力和局限性提供了深入见解，可为该领域未来模型的设计、开发和微调提供参考。最后，我们提出了改进 LLM 在幸存者支持方面表现的具体建议。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_prakash.pdf

24. Residual-PAC Privacy: Automatic Privacy Control Beyond the Gaussian Barrier

作者：Tao Zhang and Yevgeniy Vorobeychik (圣路易斯华盛顿大学)

摘要：

概率近似正确（PAC）隐私框架 [xiao2023pac] 提供了一种强大的基于实例的方法论，用于在复杂的数据驱动系统中保护隐私。现有的 PAC 隐私算法（我们称之为 Auto-PAC）依赖于高斯互信息上界。然而，我们证明 Auto-PAC 所获得的上界当且仅当在数据分布下未扰动的输出为高斯分布且噪声为独立高斯分布时才是紧的。我们提出了两种解决该问题的方法。首先，我们引入了两种可处理的 Auto-PAC 后处理方法，分别基于 Donsker–Varadhan 表示和切片 Wasserstein 距离。然而，该结果仍然存在“浪费”的隐私预算。为了更根本地解决这一问题，我们引入了 Residual-PAC（R-PAC）隐私，一种基于 f-散度的度量，用于量化对抗推理之后剩余的隐私。为了在实践中实现 R-PAC 隐私，我们提出了 Stackelberg Residual-PAC（SR-PAC）自动隐私化算法，这是一个博弈论框架，通过凸双层优化选择最优的噪声分布。我们的方法对任意数据分布都能实现高效的隐私预算利用，并在多个机制访问同一数据集时自然地组合。我们的实验表明，SR-PAC 始终比 PAC 和差分隐私基线取得更好的隐私-效用权衡。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhang-tao.pdf

25. HAMLOCK: HArdware-Model LOgically Combined attacK

作者：Sanskar Amgain (田纳西大学诺克斯维尔分校); Daniel Lobo, Atri Chatterjee, and Swarup Bhunia (佛罗里达大学); Fnu Suya (田纳西大学诺克斯维尔分校)

摘要：

第三方硬件加速器（如 FPGA、ASIC）在深度神经网络（DNN）中日益广泛的使用带来了新的安全漏洞。当前的模型级后门攻击仅通过投毒模型权重来对带有特定触发器的输入进行错误分类，这种做法将完整的逐层后门激活路径嵌入模型内部，因此往往能被最先进的防御方法检测到。

本文提出了硬件-模型逻辑组合攻击（HAMLOCK），一种更为隐蔽的威胁，将攻击逻辑分散在硬件-软件边界上。软件（模型）仅通过微调少量神经元的激活值进行最小程度的修改，使其在触发器存在时产生独特的高激活值。恶意硬件木马通过监测相应神经元的最高有效位或 8 位指数来检测这些独特激活，并触发另一个硬件木马直接操纵最终输出 logits 以实现错误分类。

这种解耦设计具有极高的隐蔽性，因为模型本身不像常规攻击那样包含完整的后门激活路径，因而看起来完全良性。在实验中，在 MNIST、CIFAR10、GTSRB 和 ImageNet 等基准测试上，HAMLOCK 实现了近乎完美的攻击成功率，且干净准确率下降微乎其微。更重要的是，HAMLOCK 无需任何自适应优化即可绕过最先进的模型级防御。该硬件木马同样无法被检测，其面积和功耗开销低至 0.01%，极易被工艺和环境噪声所掩盖。我们的发现揭示了硬件-软件接口处的一个关键漏洞，亟需针对这一新兴威胁开发新的跨层防御。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_amgain.pdf

26. Vεrity: Verifiable Local Differential Privacy

作者：James Bell-Clark, Adrià Gascón, Baiyu Li, and Mariana Raykova (谷歌); Amrita Roy Chowdhury (密歇根大学)

摘要：

本地差分隐私（LDP）使个体能够在保护隐私的前提下报告敏感数据。然而，LDP 机制容易受到投毒攻击的影响：控制部分报告用户的对抗者可以显著扭曲聚合输出——其扭曲程度远甚于输入直接报告的非隐私方案。在本文中，我们提出了两种新颖的解决方案，在保持 LDP 隐私保证的同时防止投毒攻击。第一种方案 Vεrity-Auth 针对用户报告的输入存在第三方可用的基本真值的场景。第二种方案 Vεrity 解决更具挑战性的情形：用户在本地生成输入，且不存在可用于引导可验证随机数生成的基本真值。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_bell.pdf

27. Missing, Present and Conflicting: A Large Scale Analysis of IoT Update Information in the EU Market

作者：Swaathi Vetrivel, Michel van Eeten, and Carlos H. Gañán (代尔夫特理工大学)

摘要：

安全更新对于保护 IoT 设备至关重要，然而消费者往往缺乏关于设备将获得多长期限支持的可靠信息。我们对欧洲市场的更新期限披露情况进行了首次大规模研究，分析了本地零售商、欧盟 Amazon 站点和 Temu 上共计 34,187 个产品页面。披露情况差异显著：受监管监督的荷兰零售商高达 92% 的设备列出了更新期限，而 Amazon 提供此类信息的比例不足 1%，Temu 则完全没有。对于欧盟规则强制要求披露的智能电视，覆盖率较高但仍然不一致。所声明的更新期限从一年到八年不等，其中智能电视通常获得最长的支持。通过比较各零售商、制造商以及欧盟中央产品数据库所声明的支持期限，我们发现了广泛的矛盾之处，零售商往往相对于制造商低估了支持期限。这些不一致性限制了透明度要求的效力，并可能误导消费者。我们的发现表明，监管可以提高可见性，但只有强有力的执行和标准化的披露机制才能确保信息的准确和可信。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_vetrivel.pdf

28. VSG-Safe: Spotting NSFW Video through Cross-Frame Evidence

作者：Yuyang Zhang, Xudong Jiang, Yuxuan Song, and Yuxiang Sun (武汉大学); Yihao Huang (新加坡国立大学); Run Wang, Shundi Xiao, and Lina Wang (武汉大学)

摘要：

文本到视频（T2V）模型的最新进展使得生成高保真且紧密遵循文本提示的视频成为可能。然而，这在扩展实际应用的同时，也放大了由视觉内容自动合成所带来的严重安全和社会问题——这些内容在某些使用场景（如公共或办公场所）中可能是不当的，包括色情或暴力内容（例如，Grok 可以在“Spicy”模式下生成色情视频）。我们观察到，此类视觉内容通常分布在多帧之间，嵌入在视觉实体、其属性以及实体间关系中。而现有的内容审核流水线主要将视频内容视为独立的单帧或原始帧序列，忽视了关键语义可以通过特定帧的组合来体现这一事实。这一缺陷使得它们无法进行跨帧推理，将检测局限于低层视觉线索（如血腥画面或显式冲突），导致在需要跨帧推理时（包括违法活动或威胁）频繁失效。为解决这些局限性，我们提出利用场景图作为核心的中间语义表示。场景图自然地编码了实体、其属性和实体间关系，同时支持对跨帧内容的推理。基于这一洞察，我们进一步提出了 VSG-Safe，一种面向 T2V 内容审核的新型场景图驱动框架。具体而言，我们的方法首先从视频中提取跨帧内容以构建场景图。借助这些图，我们利用面向图的模型联合捕获实体、属性和实体间关系，从而实现有效检测。为评估其有效性，我们在 SOTA 基准测试和我们自构建的视频数据集上进行了大量实验。VSG-Safe 的平均 F1 分数达到 97.62%，比七个基线方法平均高出 42.32%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhang-yuyang.pdf

29. Cutting the Gordian Knot: Detecting Malicious PyPI Packages via a Knowledge-Mining Framework

作者：Wenbo Guo (南洋理工大学); Chengwei Liu (南开大学); Ming Kang (四川大学); Yiran Zhang and Jiahui Wu (南洋理工大学); Zhengzi Xu (Imperial Global Singapore); Vinay Sachidananda and Yang Liu (南洋理工大学)

摘要：

Python Package Index（PyPI）已成为恶意行为者的攻击目标，然而现有检测工具的误报率高达 15-30%，错误地将三分之一的合法包标记为恶意包。这一问题源于当前工具依赖简单的语法规则而非语义理解，无法区分服务于合法目的还是恶意目的的相同 API 调用。为应对这一挑战，我们提出了 PyGuard，一种知识驱动框架，通过从现有工具的假阳性和假阴性中提取模式，将检测失败转化为有用的行为知识。该方法使用分层模式挖掘来识别区分恶意代码与良性代码的行为序列，利用大型语言模型创建超越语法变体的语义抽象，并将这些知识整合到一个融合精确模式匹配与上下文推理的检测系统中。PyGuard 达到了 99.50% 的准确率，仅有 2 个假阳性，而现有工具为 1,927-2,117 个；在混淆代码上保持 98.28% 的准确率；并在实际部署中识别出 219 个此前未知的恶意包。这些行为模式展现了跨生态系统的适用性，在 NPM 包上达到 98.07% 的准确率，证明了语义理解能够实现跨编程语言的知识迁移。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_guo-wenbo.pdf

30. End-to-End Encrypted Collaborative Documents

作者：Christian Knabenhans (洛桑联邦理工学院); Zayd Maradni (马克斯·普朗克软件系统研究所); Carmela Troncoso (马克斯·普朗克安全与隐私研究所 & 洛桑联邦理工学院)

摘要：

协作文档（如 Google Docs、Microsoft 365）通常包含敏感信息，如个人或财务数据。在这项工作中，我们将目前（主要）局限于消息传递场景的端到端加密（E2EE）保护扩展到协作文档。我们梳理并形式化了端到端加密协作文档（E2EE-CD）的安全和功能需求。随后，我们提出了一个实现 E2EE-CD 的通用框架，通过将端到端加密异步广播通道与任何确保文档全局一致性视图的编辑协调机制相结合来实现。我们给出了形式化证明，将 E2EE-CD 方案的安全性直接关联到底层端到端加密通信通道的安全性。随后，我们梳理了调查记者使用 E2EE-CD 的额外部署需求，并设计了 SignalCD，这是一种构建于 Signal 群组消息协议之上、针对该场景量身定制的 E2EE-CD 系统。我们分析了 SignalCD 的安全保证，实现了原型系统，并通过实验证明我们的解决方案效率足以支持实时协作。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_knabenhans.pdf

31. SophOMR: Improved Oblivious Message Retrieval from SIMD-Aware Homomorphic Compression

作者：Keewoo Lee (以太坊基金会); Yongdong Yeo (首尔国立大学)

摘要：

保护隐私的区块链和确保接收者隐私的私密消息服务面临一项重大的用户体验挑战：每个客户端必须扫描公共公告板上的所有载荷（payload），以免遗漏发给自己的消息。不经意消息检索（OMR）通过使用同态加密（HE）将这一昂贵的扫描过程安全地外包给服务提供商来解决该问题。

在这项工作中，我们提出了一种新的 OMR 方案，在先前最先进的方案 PerfOMR（USENIX Security'24）的基础上实现了大幅改进。我们的实现在一个包含 65,536 个载荷（每个 612 字节，其中最多 50 个相关）的场景中，运行时间减少了 3.4 倍，摘要大小减少了 2.2 倍，密钥大小减少了 1.5 倍。这些改进的核心是一种新的同态压缩机制，其中长度与载荷总数成正比的密文被压缩为长度与相关载荷数量上限成正比的摘要。与先前的方法不同，我们的方案充分利用了底层 HE 方案的原生同态 SIMD 结构，显著提升了效率。在上述场景中，我们的压缩方案相比 PerfOMR 实现了 7.5 倍的加速。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_lee.pdf

32. FABS: Fast Attribute-Based Signatures

作者：Liqun Chen, Long Meng, Yalan Wang, Nada El Kassem, Christopher JP Newton, Yangguang Tian, Jodie Knapp, Constantin Cătălin Drăgan, and Daniel Gardham (萨里大学); Mark Manulis (慕尼黑联邦国防军大学)

摘要：

基于属性的签名（ABS）提供了对谁可以生成数字签名的细粒度控制，在许多实际场景中有广泛应用。本文提出了一对快速的 ABS 方案：一个用于密钥策略 ABS（KP-ABS），另一个用于签名策略 ABS（SP-ABS）。两个方案均使用单调跨度程序（MSP）支持表达性策略，并提供了实用特性，如大属性域、任意属性和自适应安全。最值得注意的是，我们提供了基于 MSP 的 ABS 方案的首个实现，并证明我们的方案在该领域实现了已知的最佳渐近性能和具体性能。在渐近性方面，密钥生成、签名和验证时间与属性数量呈线性关系；验证仅需两次配对运算。在具体性能方面，对于 100 个属性，我们的 KP-ABS 方案分别用时 0.16 秒、0.10 秒和 0.13 秒完成密钥生成、签名和验证；我们的 SP-ABS 方案在相同操作上分别用时 0.082 秒、0.26 秒和 0.21 秒。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-liqun.pdf

33. Invariant-Guided Logical Testing of Open RAN Controllers

作者：Tianchang Yang, Ali Ranjbar, Gang Tan, and Syed Rafiul Hussain (宾夕法尼亚州立大学)

摘要：

Open RAN（O-RAN）代表了移动网络架构的根本性变革，通过开放接口和软件驱动组件推进互操作性和灵活性。这一变革在带来可编程性和创新的同时，也使得 O-RAN 组件的逻辑正确性对于网络的安全可靠运行变得至关重要。然而，由于系统复杂性、实现多样性以及缺乏明确的正确性判定准则，验证 O-RAN 的语义正确性仍然具有挑战性。我们提出了 InvaRAN，一个系统性测试框架，利用动态推断的程序不变量作为预期行为的代理来检测 O-RAN 实现中的逻辑缺陷。为减少误报并聚焦于语义上有意义的行为，InvaRAN 根据不变量对程序逻辑的影响将其分为关键和非关键两类。超越了仅推断有限语义关系的传统基于模板的不变量推断方法，InvaRAN 捕获跨执行踪迹的变量间关联以发现更具表达力的语义联系。我们在两个生产级 O-RAN 控制器的平台组件和 xApps 上评估了 InvaRAN。InvaRAN 发现了九个此前未知的问题，包括七个逻辑漏洞和两个内存漏洞，证明了不变量引导的测试在暴露 O-RAN 系统中隐蔽的、规范未涉及的缺陷方面的有效性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_yang-tianchang.pdf

34. Analyzing the WebRTC Ecosystem and Breaking Authentication in DTLS-SRTP

作者：Martin Bach (技术创新研究所); Vukašin Karadžić (达姆施塔特工业大学); Lukas Knittel (波鸿鲁尔大学); Robert Merget and Jean Paul Degabriele (技术创新研究所)

摘要：

DTLS-SRTP 旨在保护实时媒体通信安全，被广泛应用于 Zoom、Teams 和 Google Meet 等知名音视频通话平台。值得注意的是，它是 Web 实时通信（WebRTC）标准的一部分，该标准使浏览器中的实时通信成为可能。为此，WebRTC 使用了多种技术，包括 HTTP、TLS、SDP、ICE、STUN、TURN、UDP、TCP、DTLS、(S)RTP、(S)RTCP 和 SCTP。这种技术的混合导致系统过于复杂，难以进行系统化和自动化审计。因此，这一核心现代通信技术的部署安全性在很大程度上仍未被探索。

在这项工作中，我们旨在填补这一空白，开发了一个自动化中间人（MitM）测试框架（DTLS-MitM-Scanner（DMS）），用于测试 DTLS-SRTP 连接中 DTLS 通道的安全性。我们使用该框架在一项涵盖 24 家服务提供商的浏览器和移动应用的研究中对生态系统的现状进行了分析。我们的分析特别关注 DTLS-SRTP 中的认证机制，测试了 19 种可能导致客户端或服务器认证绕过的潜在漏洞。我们发现，在 33 个受测试的媒体服务器实现中，有 19 个存在漏洞，允许攻击者在 DTLS 层攻破认证。对于其中 9 个受影响的系统（服务于数亿用户），我们还进一步证明，在仅具备中间人能力的假设下，攻击者可以利用这些漏洞获取媒体数据。我们通过构建一个概念验证漏洞利用来窃听 Webex 视频会议通话，以凸显这些漏洞的影响。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_bach.pdf

35. Security and Privacy Analysis of Tile's Location Tracking Protocol

作者：Akshaya Kumar, Anna Raymaker, and Michael A. Specter (佐治亚理工学院)

摘要：

我们对 Tile 进行了首次全面的安全分析。Tile 是仅次于 Apple AirTags 的第二大受欢迎的众包位置追踪服务。我们识别出多个可利用的漏洞和设计缺陷，推翻了该平台声称的诸多安全与隐私保证：Tile 的服务器可以持续获知所有用户和标签的位置，无权限的攻击者可以通过 Tile 设备发出的 Bluetooth 广告追踪用户，而且 Tile 的防盗模式很容易被攻破。

尽管部署规模庞大——拥有数百万用户、设备以及专用硬件标签——Tile 却未提供对其协议或威胁模型的正式描述。更糟糕的是，Tile 为了支持防盗用例而有意削弱其反跟踪功能，并依赖一种新颖的"问责"机制来惩罚那些滥用系统跟踪受害者的人。

我们考察了 Tile 的问责机制，这一独特功能具有独立的研究价值；没有其他提供商尝试保证问责。虽然理想的问责机制可能遏制众包位置追踪协议中的滥用行为，但我们表明 Tile 的实现是可以被攻破的，并引入了新的可利用漏洞。最后，我们讨论了在该场景下建立新的、正式的问责定义的必要性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_kumar.pdf

36. VIPER Strike: Defeating Visual Reasoning CAPTCHAs via Structured Vision–Language Inference

作者：Minfeng Qi and Dongyang He (澳门城市大学); Qin Wang (澳大利亚联邦科学与工业研究组织 Data61); Lefeng Zhang (澳门城市大学)

摘要：

视觉推理验证码（Visual Reasoning CAPTCHAs，VRC）将视觉场景与要求对对象、属性和空间关系进行组合推理的自然语言查询相结合。它们越来越多地被部署为抵御自动化机器人的主要防御手段。现有的求解器分为两类范式：以视觉为中心的方法依赖特定模板的检测器，但难以应对新布局；以推理为中心的方法利用 LLM，但在细粒度视觉感知方面表现不佳。两者都缺乏处理异构 VRC 部署所需的通用性。

我们提出 VIPER，一个将结构化多对象视觉感知与基于 LLM 的自适应推理相结合的统一攻击框架。VIPER 解析视觉布局，将属性与问题语义关联，并在模块化流水线中推断目标坐标。在六家主要 VRC 提供商（VTT、Geetest、NetEase、Dingxiang、Shumei、Xiaodun）上的评估中，VIPER 达到高达 93.2% 的成功率，在大多数基准上超越人类准确率。与已有求解器 GraphNet（83.2%）、Oedipus（65.8%）和 Holistic 方法（89.5%）相比，VIPER 始终优于所有基线。该框架在替代 LLM 后端（GPT、Grok、DeepSeek、Kimi）上同样保持鲁棒性，准确率维持在 90% 以上。

为了预判防御，我们进一步提出模板空间随机化（Template-Space Randomization，TSR），一种在不改变任务语义的前提下扰动语言模板的轻量级策略。TSR 可显著降低求解器（即攻击者）的性能。我们提出的设计为人类可解但机器难以破解的验证码指明了方向。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_qi-minfeng.pdf

37. Stayin' Alive: How Global Stolen Data Markets Thrive on Telegram

作者：Tina Marjanov (剑桥大学); Taro Tsuchiya (卡内基梅隆大学); Konstantinos Ioannidis and Jack Hughes (剑桥大学); Nicolas Christin (卡内基梅隆大学); Alice Hutchings (剑桥大学)

摘要：

被盗数据是许多网络犯罪活动的催化剂，如垃圾邮件活动、鱼叉式网络钓鱼和身份盗窃。研究提供被盗数据的在线社区有助于打击这些犯罪活动。虽然匿名市场和论坛传统上是被盗数据的主要交易场所，但基于聊天的即时通讯应用 Telegram 已成为一种受欢迎的替代选择。鉴于 Telegram 对公众的可达性不断增强，被盗数据社区如何将其运营方式适配到该平台、规避审查努力并建立有韧性的社区，仍有待厘清。在本工作中，我们刻画了：i）被盗数据社区在 Telegram 生态系统中出现的位置；ii）它们提供的被盗数据类型；iii）它们的运营所在地；iv）它们如何逃避检测。本文提供四项主要贡献。首先，我们提供了迄今最大规模的 Telegram 被盗数据频道纵向数据集之一。在一年时间内，我们人工筛选了 1,521 个频道，收集了 1,400 万条消息和 360 万个共享文件。我们发现，被盗数据社区与 Telegram 上的其他社区在很大程度上是相互独立的。其次，我们对被盗数据的类型进行分类，旨在理解它们所助长的潜在网络犯罪。第三，已有文献聚焦于英语社区，而我们发现许多频道以非英语语言运营，并从非英语市场获取被盗数据。第四，这些社区部署了各种技术来规避监管。值得注意的是，提供指向其他被盗数据频道链接的"网关频道"在提升存活时长和增长率方面发挥着关键作用。最后，我们不仅为学术研究人员，也为不同司法管辖区寻求监控和审查此类活动的 Telegram 及执法机构提供了启示。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_marjanov.pdf

38. Assumption-Free Fuzzy PSI via Predicate Encryption

作者：Erik-Oliver Blass (空客); Guevara Noubir (东北大学)

摘要：

我们提出了首个高效的模糊隐私集合求交（Fuzzy Private Set Intersection，PSI）协议，它实现了线性通信复杂度，不依赖对参与方输入分布的严格假设，并且不使用低效的全同态加密。具体而言，该协议使两方能够计算各自集合中所有汉明距离在给定范围内的元素对，而对集合的结构不作约束。我们的关键洞察是，安全地计算两个输入之间的（阈值）汉明距离可以归约为安全地计算它们的内积。利用这一归约，我们使用近期关于内积谓词加密的技术构造了一个模糊 PSI 协议。为了在本文设定中使用谓词加密，我们证明了这些谓词加密方案仅需一种较弱的模拟安全概念。我们还展示了如何在无需可信第三方的情况下高效地分布其内部密钥派生。

因此，建立在谓词加密之上的模糊 PSI 对任意输入分布实现了最优的线性通信复杂度。我们的实现验证了其可行性，并展现出相对于最密切相关工作的性能提升。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_blass.pdf

39. Logos: Robust Sharding Blockchain With Fast Processing and Optimal Cross-Shard Overhead

作者：Yizhong Liu (北京航空航天大学和北京未来区块链与隐私计算前沿创新中心); Boyu Zhao, Yuxuan Hu, Haojun Tan, Feiang Ran, Andi Liu, and Zhuocheng Pan (北京航空航天大学); Yuan Lu (中国科学院软件研究所); Song Bian, Jianwei Liu, and Zhenyu Guan (北京航空航天大学)

摘要：

分片区块链通过将网络划分为多个分片来显著提升可扩展性。由于涉及多个分片的跨分片交易（CSTX）占比可观，跨分片交易处理（CSTP）对系统安全与性能至关重要。然而，现有的 CSTP 方法在恶意节点通过无效 CSTX 泛洪引发鲁棒性受限方面存在不足，并带来较高开销，尤其在异步网络中更为突出。

我们提出 Logos，一种具有快速 CSTP 和最优跨分片开销的鲁棒分片区块链。Logos 采用一种新颖的鲁棒广播—传输—共识模式。每个输入分片仅调用一个新设计的广播原语来生成输入可用性状态。在通过一种创新的并行单对单传输机制将这些状态交付给相关分片之后，有效 CSTX 通过共识协议被提交，而无效 CSTX 则被丢弃。我们证明 Logos 对有效 CSTP 实现了分片内最优开销，对无效 CSTP 实现了更低开销。此外，Logos 以最优跨分片开销实现可靠传输。在跨 4 个区域的 1000 个 AWS-EC2 节点上进行的实验表明，与基线（Kronos，NDSS'25）相比，Logos 实现了 50% 的延迟降低，峰值吞吐量达 132.8 ktx/sec。此外，Logos 的跨分片网络使用量仅为 Kronos 的 1/210。在恶意泛洪攻击下，Logos 保持了 Kronos 2.86 倍的吞吐量，展现出强大的鲁棒性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_liu-yizhong.pdf

40. SoK: PHILTER: Uncovering Security and Functional Gaps in AI-based Phishing Website Detection Literature via an LLM-based Reasoning Framework

作者：Mahbub Alam (德克萨斯农工大学); Muhammad Lutfor Rahman (加州州立大学圣马科斯分校); Sonjoy Kumar Paul, Amy W. Hays, Aftab Hussain, Md Imanul Huq, and Nitesh Saxena (德克萨斯农工大学)

摘要：

钓鱼网站仍然是网络犯罪的主要推手。为此，许多学术界的基于 AI 的钓鱼网站检测方法被开发出来，它们常常启发了现实系统的设计。尽管大多数研究声称具有高准确率，但它们是否满足现实需求仍不清楚，例如对不断演变的钓鱼策略的抵御能力、在多样化良性页面上的鲁棒性、可解释性以及隐私性。我们提出 PHILTER（PHishing detection literature Inspection via LLMs and Targeted Expert Review，通过 LLM 和定向专家审查进行钓鱼检测文献审视），一个可扩展的框架，用于跨四项功能性指标和三项安全性指标对钓鱼网站检测研究进行定性评估。PHILTER 利用 LLM 提取证据并起草理由，随后由专家验证并据此产生最终评估。将其应用于 55 项学术方法后揭示了系统性缺陷。没有研究满足所有功能性和安全性需求。没有任何研究展现出有效应对多样化钓鱼策略的证据。大多数方法难以保护隐私并适应不断演变的攻击者策略，且许多方法因在多样化良性页面上测试有限而在实际中面临误报率升高的风险。我们还引入了检测策略的分类法（基于特征、基于相似度、基于身份和混合型），突出了设计权衡并有助于解释这些缺陷。我们的研究揭示了，以准确率为导向的评估会忽视削弱实际有效性的盲点，并揭示了一个关键开放挑战：在满足所有功能性和安全性需求的同时实现高准确率。我们提供了可操作的建议，以指导未来针对不断演变和自适应的钓鱼活动追求这一双重目标防御的设计。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_alam.pdf

41. Streaming Function Secret Sharing and Its Applications

作者：Xiangfu Song (南洋理工大学); Jianli Bai (新加坡管理大学); Ye Dong (新加坡国立大学); Yijian Liu, Yu Zhang, and Xianhui Lu (中国科学院信息工程研究所和中国科学院大学网络空间安全学院); Tianwei Zhang (南洋理工大学)

摘要：

从软件和在线服务的用户处收集统计数据对于改善服务质量至关重要，但在保护个人隐私的同时获取这些洞察仍是一项挑战。函数秘密分享（Function Secret Sharing，FSS）是解决该问题的一种有前景的工具。然而，对于消息持续发送、安全计算任务反复在到达消息上执行的流式分析场景，基于 FSS 的解决方案仍面临若干挑战。我们引入一种称为流式函数秘密分享（streaming function secret sharing，SFSS）的新密码学原语，它是 FSS 的一种新变体，特别适合对流式消息的安全计算。我们对 SFSS 进行形式化，并提出具体构造，包括针对点函数、谓词函数的 SFSS，以及针对通用函数的可行性结果。SFSS 以简单且模块化的方式支撑若干有前景的应用，包括条件式转加密（conditional transciphering）、策略隐藏聚合和属性隐藏聚合。特别是，我们的 SFSS 形式化与构造识别出现有解决方案中的安全缺陷和效率瓶颈，而基于 SFSS 的解决方案以渐近和具体上都更优的效率和/或增强的功能实现了预期的安全目标。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_song-xiangfu.pdf

42. Shred-to-Shine Metamorphosis of (Distributed) Polynomial Commitments

作者：Weihan Li (北京航空航天大学网络空间安全学院; Ant Group); Zongyang Zhang (北京航空航天大学网络空间安全学院); Sherman S. M. Chow (香港中文大学); Yanpei Guo (新加坡国立大学); Boyuan Gao (北京航空航天大学网络空间安全学院); Xuyang Song (Anoma); Yi Deng (西安电子科技大学密码学院); Jianwei Liu (北京航空航天大学网络空间安全学院)

摘要：

简洁非交互式知识论证（SNARK）依赖多项式承诺方案（PCS）来简洁地验证多项式求值。基于线性码的高性能多线性 PCS（MLPCS）降低了证明者开销，而分布式 MLPCS 通过在证明者间并行化承诺与开启进一步削减了开销。采用快速 Reed–Solomon 交互式预言机近邻证明（FRI），我们提出 PIPFRI，一种将线性时间可编码码 PCS 的线性时间证明与 Reed–Solomon（RS）PCS 的紧凑证明和快速验证相结合的 MLPCS。通过降低快速傅里叶变换和哈希开销，PIPFRI 的证明速度比基于 RS 的 DeepFold（USENIX Security '25）快 10 倍，同时保持有竞争力的证明大小和验证时间。与来自线性时间可编码码的 Orion（CRYPTO '22）相比，PIPFRI 证明速度提升 3.5 倍，并将证明大小和验证时间降低 15 倍。作为一种线性可扩展的分布式变体，我们提出 DEPIPFRI，它增加了问责机制并将单个多项式分布在多个证明者之间，实现了首个面向通用电路的基于码的分布式 SNARK。值得注意的是，与缺乏问责机制且仅支持多个独立多项式的 DeVirgo（CCS '22）相比，DEPIPFRI 将证明时间提升 25 倍，证明者间通信降低 7 倍。我们将 shred-to-shine 确定为关键洞察：将一个多项式划分为独立处理的片段，同时保持证明大小和验证时间。进入配对体制后，这一洞察产生了一种基于群的 MLPCS，其结构化参考串（SRS）缩短 16 倍，开启速度比 Kate–Zaverucha–Goldberg（TCC '13）的多线性变体快 10 倍。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_li-weihan.pdf

43. Unbalanced Fuzzy Private Set Intersection for L_infinity Distance: Achieving Sublinear Communication with Large Set Size

作者：Shengzhe Meng and Xiaodong Wang (清华大学); Xv Zhou (北京航空航天大学); Bei Liang (北京数学科学研究院)

摘要：

模糊隐私集合求交（Fuzzy PSI）是一种密码协议，使两方能够在近似匹配下计算各自集合的交集，其变体包括标准模糊 PSI 和带发送方隐私的模糊 PSI（PSI-SP）。尽管近期进展带来了高效的模糊 PSI 协议，但大多数针对双方集合大小相近的均衡情形设计。然而在实践中，许多应用涉及高度不均衡的集合（例如接收方集合远大于发送方集合，或反之）。本工作聚焦于 l∞ 度量下的不均衡模糊 PSI。我们观察到，现有协议的通信开销主要由遗忘型键值存储（OKVS）的传输主导，尤其是在集合大小不均衡时。如果 OKVS 是稀疏的，则可以使用批量隐私信息检索（BatchPIR）来降低这一开销。然而，此类优化需要具有特定属性的空间哈希，而现有空间哈希方案中鲜有满足这些要求者。

在本工作中，我们重新表述空间哈希，并提出两种新方案：一种非交互式，一种交互式，各自适用于不同的输入集合条件。在此基础上，我们设计了两种不均衡模糊 PSI 协议，将稀疏 OKVS 与 BatchPIR 结合，在较大集合的大小上实现亚线性通信。第一个协议适用于接收方持有较大集合的场景，第二个则针对发送方拥有更多项的情形。我们的协议在通信和运行时间上显著优于现有最优方案。例如，在 100 Mbps 网络下，参数为 (N, M, d, σ) = (220, 25, 2, 10) 时，我们基于非交互式空间哈希的协议将通信从 16,128 MB（Baarsen and Pu，Eurocrypto'24）降至 0.35 MB。此外，利用交互式空间哈希方法的模糊 PSI 协议在在线运行时间上至少快 31 倍，通信量降低 1762 倍，均相比 Gao 等人（Asiacrypt'25）。对于带发送方隐私的模糊 PSI 协议，我们以至少 4 倍的在线运行时间提升和 6 倍的通信量降低优于 Piske 等人（CCS'25）。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_meng.pdf

44. mmCipher: Batching Post-Quantum Public Key Encryption Made Bandwidth-Optimal

作者：Hongxiao Wang (香港大学); Ron Steinfeld (莫纳什大学); Markku-Juhani O. Saarinen (坦佩雷大学信息安全实验室); Muhammed F. Esgin (莫纳什大学); Siu-Ming Yiu (香港大学)

摘要：

在安全群组通信和广播等应用中，高效地一次性向多个不同接收方交付多条消息非常重要。为此，多消息多接收方公钥加密（mmPKE）能够一次性为多个独立接收方批量加密多条消息，与逐条加密每条消息的平凡方案相比，显著降低了成本——尤其是带宽开销。这一能力在后量子设定中尤为理想，因为此时密文长度通常显著大于相应明文。然而，几乎所有先前关于 mmPKE 的工作都局限于量子易攻的传统假设。

在本工作中，我们提出首个基于标准 Module Learning with Errors（MLWE）格假设的 CPA 安全 mmPKE 和多密钥封装机制（mmKEM），分别命名为 mmCipher-PKE 和 mmCipher-KEM。我们的设计分两步进行：（i）我们通过提出一种新的 PKE 变体——可扩展可复现 PKE（XR-PKE）——引入了一种新颖的 mmPKE 通用构造，该变体能够通过额外提示复现密文；（ii）我们使用一种新技术实例化基于格的 XR-PKE，该技术能够精确估计此类提示对密文安全性的影响，同时建立合适的参数。我们相信这两者都具有独立的研究价值。作为额外贡献，我们探索了抗自适应腐败和选择密文攻击的自适应安全 mmPKE 的通用构造。

我们还提供了 mmCipher 的高效实现和实际性能的全面评估。结果表明，相对于现有最优方案，我们在带宽和计算上均有大幅节省。例如，对于 1024 个接收方，mmCipher-KEM 实现了 23–45 倍的带宽开销降低，密文仅比明文大 4–9%（接近最优带宽），同时计算成本降低 3–5 倍。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wang-hongxiao.pdf

45. DNS Cache Poisoning Like it's 2006

作者：Omer Ben-Simhon and Amit Klein (耶路撒冷希伯来大学)

摘要：

域名系统（DNS）支撑着几乎所有互联网服务，因此 DNS 解析的完整性对安全与可用性至关重要。我们对一类新型 DNS 缓存投毒攻击进行了全面研究，目标是最广泛部署的开源 DNS 解析器 BIND9。我们的攻击聚焦于两项关键能力，使其有别于大多数先前工作：（1）能够可靠地预测两个关键挑战参数——UDP 源端口和 TXID——而现有大多数攻击仅针对其中一个；（2）完全从客户端侧执行此预测，无需攻击者为其域名运行权威服务器，据我们所知这是首次。我们通过利用 BIND 伪随机数生成的弱点来实现这一点，即使在真实网络条件下也能实现高度可靠的预测。除纯客户端技术外，我们还开发了服务器端技术，以便攻击较旧的 BIND 9 的 9.18 分支。我们评估了这些攻击，并在多个 BIND 9 发布分支和配置中展示了实际的成功率。所有漏洞均已负责任地披露给 Internet Systems Consortium（ISC）和 FreeBSD Project，促成了两个补丁、CVE 编号及致谢。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_ben-simhon.pdf

46. UncoreBleed: AEX-Free, High-Resolution, and Low-Noise Side-Channel Attacks on SGX Enclaved Execution

作者：Decheng Chen (华南理工大学); Zhi Zhang (西澳大利亚大学); Zhenkai Zhang (克莱姆森大学); Xin Zhang (山东大学); Yansong Gao (东南大学); Yi Zou (华南理工大学)

摘要：

可信执行环境如 Intel SGX 通过将 enclave 与操作系统和 hypervisor 隔离，提供强大的机密性和完整性保证。先前的工作声称 SGX 禁用 PMC 以缓解侧信道攻击。

本文中，我们展示现代处理器具有 uncore PMC，其在 SGX 下的行为尚未被充分评估。利用这一观察，我们调查了生产模式 SGX enclave 中 PMC 的状态，并推翻了性能监控被抑制这一长期持有的信念：uncore PMC 记录与 enclave 执行相关的事件。我们进一步在 mesh-to-memory uncore 子系统中识别出一个关键事件，允许以 64 B 粒度进行基于地址的监控。通过逆向工程，我们揭示了其在支持 SGX 的 Xeon 处理器上的过滤机制、可编程性、可用性和地址映射。

基于该事件，我们提出 UncoreBleed，首个基于 PMC 的、无 AEX、高分辨率且低噪声的针对 SGX 的侧信道攻击。UncoreBleed 能够从 enclave 内的 Libjpeg 重建图像，并在存在 TLBlur with AEX-Notify——现成 SGX 平台上最先进的软件防御——的情况下从单次解密中提取 RSA 私钥。我们的发现表明，处于活跃状态的 uncore PMC 对 enclave 机密性构成此前被低估的威胁，凸显了重新审视 SGX 关于性能监控安全假设的必要性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-decheng.pdf

47. M-Step: A Single-Stepping Framework for Side-Channel Analysis on TrustZone-M

作者：Cristiano Rodrigues (米尼奥大学 ALGORITMI 中心); Marton Bognar (鲁汶大学 DistriNet); Sandro Pinto (米尼奥大学 ALGORITMI 中心); Jo Van Bulck (鲁汶大学 DistriNet)

摘要：

可信执行环境（TEE）已成为将敏感 enclave 应用与不可信操作系统隔离的关键技术。针对 Intel SGX 和 TDX、AMD SEV 以及 Arm TrustZone-A 等高端平台的大量研究揭示了其在软件侧信道分析方面的局限，这些局限被利用特权定时器中断将 enclave 逐指令执行的专业单步进攻击框架所放大。与此同时，TEE 越来越多地部署于资源受限的物联网设备上，其中 Arm TrustZone-M 作为领先方案兴起，但其在高分辨率软件侧信道方面仍很大程度上未被探索。

本文提出 M-Step，一个面向 TrustZone-M 的开放、可扩展的单步进攻击框架。尽管 Cortex-M 微控制器具有精确的定时器和确定性行为，但由于以下原因，实现精确的指令级步进仍具挑战：（i）缺少高端框架中使用的虚拟内存和页表；以及（ii）Cortex-M 独特的中断行为，某些多周期指令会被放弃或暂停以降低延迟。为克服这些挑战，我们广泛刻画了中断处理的 CPU 行为，并开发了一种新方法，利用此前被忽视的中断延迟泄漏来动态调整定时器中断。我们通过在最新的 Arm Mbed TLS 库中发现此前未知的漏洞来展示 M-Step 提升的分辨率和实用性，这些漏洞使单迹、确定性攻击能够从 TrustZone enclave 恢复完整 RSA 密钥。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_rodrigues.pdf

48. DaLens: Charting DNS Self-Amplification Threats at Large

作者：Liwen Xu and Zechao Cai (苏黎世联邦理工学院); Huayi Duan (香港科技大学(广州)); Adrian Perrig (苏黎世联邦理工学院)

摘要：

新兴的自我放大攻击（Self-Amplification Attacks，SAA）对域名系统（DNS）构成严重的拒绝服务（DoS）风险。它们能够大幅放大递归服务器与权威服务器之间的交互，以不成比例的低成本耗尽资源。评估此类攻击对全球名称解析基础设施的影响，对于 DNS 运营方有效分诊威胁并部署防御至关重要，然而这仍是一片未测绘的艰险领域。

我们利用所设计开发的通用框架 DaLens，开展了首次大规模 SAA 测量研究。该工作包括梳理复杂的基础设施以识别有效的放大器，并以模块化、可扩展且可靠的方式量化其放大能力。在 307K 个持久公共解析器中，我们发现 29K 个唯一解析器集群可被并行用于 SAA，且其中相当数量即便相关漏洞已在先前工作中披露，仍能产生巨大的放大效应。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_xu.pdf

49. Inconsistent, Incomplete, and Insecure: A Survey of Account Security Interfaces

作者：Arkaprabha Bhattacharya and Alaa Daffalla (康奈尔大学); Kevin Lee (独立研究员); Rosanna Bellini (纽约大学); Nicola Dell (康奈尔理工); Thomas Ristenpart (多伦多大学和康奈尔理工)

摘要：

尽管账户安全性有所改善，但账户被攻破的情况仍然普遍且危害严重，尤其是当攻击者在物理或社交上与受害者距离较近时（例如人际滥用场景）。为帮助用户识别未授权访问，网络服务提供账户安全接口（ASI）：通知和日志提供信息以帮助推断对抗性攻破。我们呈现迄今最大规模的 ASI 测量研究，评估了 100 个热门服务。

我们的研究凸显了一个令人不满的现状：29 个服务未向用户提供任何区分账户访问方式。在用新分类法对 ASI 进行分类后，我们表明各服务在所部署的类型上不一致。此外，ASI 通常不完整且令人困惑，即便对专家研究者也是如此。最后，在 61 个提供 ASI 以传达设备或位置描述的服务中，41 个（67.2%）易受欺骗攻击，使攻击者成功混淆访问来源。基于这些发现，我们提出六项改进未来 ASI 部署的原则。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_bhattacharya.pdf

50. Hydrangea: Optimistic Two-Round Partial Synchrony with Improved Fault Resilience

作者：Nibesh Shrestha (Supra Research); Aniket Kate (Supra Research / 普渡大学); Kartik Nayak (杜克大学)

摘要：

部分同步设定下的共识协议面临一个基本权衡：实现最优拜占庭容错需要至少三轮的良好情况延迟，而在少于三轮内提交通常会降低容错能力。即便是乐观协议如 SBFT（DSN'19）、FaB（TDSC'06）和 Kudzu 在有利条件下实现了两轮的乐观良好情况延迟，但也仅以降低容错为代价。

在本工作中，我们引入 Hydrangea，一种将低延迟与改进的容错相结合的部分同步拜占庭容错状态机复制协议。设 f 为所容许的最大拜占庭故障数，c 为所容许的最大崩溃故障数，k ≥ 0 为可调参数。对于一个由 n = 3f + 2c + k + 1 方组成的系统，当故障方总数（拜占庭或崩溃）至多为 p = c + ⌊k/2⌋ 时，Hydrangea 实现两轮的乐观良好情况延迟。在更具对抗性的设定下，即最多 f 个拜占庭故障和 c 个崩溃故障时，它保证三轮的良好情况延迟。我们进一步证明了一个匹配的下界：若 p > c + ⌊(k+2)/2⌋，则在此故障模型下没有协议能在两轮内实现乐观提交。

我们在地理分布式部署上的实验评估表明，无论在纯拜占庭故障模型还是拜占庭—崩溃故障模型下，Hydrangea 始终比现有最优协议实现显著更低的延迟，同时在吞吐量上也有适度提升。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_shrestha.pdf

51. Revealing the Dark Side of Smart Accounts: An Empirical Study of EIP-7702 Incurred Risks in Blockchain Ecosystem

作者：Mingyuan Huang (香港科技大学); Han Liu (南开大学密码学与网络空间安全学院); Shuo Yang (中山大学); Daoyuan Wu (岭南大学); Shuai Wang (香港科技大学)

摘要：

EIP-7702 引入的智能账户代表了区块链账户抽象的重大进步，使外部拥有账户（EOA）能够在保留原始地址的同时升级为可编程账户。这一进步显著增强了账户功能和可用性，但也重新定义了 EOA 与智能合约账户（CA）之间的区块链信任边界，从而改变了安全假设并为新型攻击创造了机会。

为系统地审视这些风险，我们根据受害账户类型将基于智能账户的风险分为三类：针对 EOA、针对 CA 和复合攻击。随后，我们开发了结合大规模交易分析和跨合约静态分析的专用检测工具来识别恶意行为。将这些工具应用于支持 EIP-7702 的七条区块链，我们检测到 924 个恶意合约账户，其中包括若干此前未报告的零日案例。这些攻击已造成超过 230 万的损失，并使超过 1000 万暴露于潜在攻破风险。我们揭示了关于攻击者行为的多个关键洞察。具体而言，我们发现超过 63% 的 EIP-7702 授权交易与恶意 EOA 定向攻击相关，且最常被授权的合约中近一半由攻击者控制。此外，我们识别出攻击者用以规避检测的现有逃避策略、真实事件中观察到的攻击影响，以及未来部署中可能出现的潜在风险，凸显了在区块链生态中解决智能账户安全问题的紧迫性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_huang-mingyuan.pdf

52. DMGuard: Safeguarding Kernels from Physical-Page Use-After-Free Vulnerabilities

作者：Juhee Kim, Jaeyoung Chung, Dae R. Jeong, and Byoungyoung Lee (首尔国立大学)

摘要：

现代内核依赖页表的完整性来实施高级安全措施。尽管这些防御已有效缓解了包括内存损坏在内的多种攻击，但攻击者已将目标转向破坏页表本身以绕过现有保护。异构地址转换域（包括独立的 CPU、GPU 和 IOMMU 页表）的兴起加剧了此类威胁，这些域对同步与一致性管理提出了更高要求。当虚拟地址仍映射到已被释放或重新分配的物理页时，攻击者可利用这一点访问任意物理内存。我们将此称为物理页释放后使用（physical-page use-after-free），区别于在虚拟地址上操作的传统堆释放后使用。

本文提出 DMGuard，首个跨多种转换域全面应对物理页释放后使用漏洞的运行时缓解方案。DMGuard 采用轻量级无锁机制管理物理页状态机，确保页表中不存在悬空映射。在 Android 设备上的评估表明，DMGuard 以可忽略的性能开销有效阻断了所有已知的物理页释放后使用漏洞，证明了对新兴攻击的实用性与有效性。

PDF：暂未公开（论文处于禁运状态，PDF 将在 USENIX Security 2026 会议开幕首日发布）

53. Garuda and Pari: Faster and Smaller SNARKs via Equifficient Polynomial Commitments

作者：Michel Dellepere (独立研究者); Pratyush Mishra and Alireza Shirzad (宾夕法尼亚大学)

摘要：

SNARK 是强大的密码学原语，允许证明者为某个计算生成简洁证明。SNARK 研究的两个关键目标是最小化证明大小和最小化生成证明所需的时间。本工作提出了在两个目标上均突破前沿的新 SNARK 构造。

我们的第一个构造 Pari 是一种在所有已知 SNARK 中实现最小证明大小的 SNARK。具体而言，Pari 的证明大小仅为两个群元素和两个域元素，在以 BLS12-381 曲线实例化时总计仅 160 字节，小于 Groth16 [Groth, EUROCRYPT '16] 和 Polymath [Lipmaa, CRYPTO '24] 的证明大小。Pari 还实现了已知最低的链上 SNARK 验证 gas 成本，与 Groth16 相比降低 6%，与 FFLONK 相比降低 17%。

我们的第二个构造 Garuda 是一种通过首次支持任意“自定义”门和免费线性门（在密码学开销方面）来减少证明生成时间的 SNARK。这些优势使得与最先进的 SNARK 相比，证明者时间得到显著节省。

两种构造都依赖于一种新的密码学原语：“等效率”多项式承诺（equifficient polynomial commitment, EPC）方案，该方案强制承诺多项式在特定基下具有相同的表示。我们为该原语提供了严格的安全定义，以及一元多项式和多重线性多项式的高效构造。

我们的构造通过一种新的编译器获得，该编译器将多项式 IOP 与我们的 EPC 方案相结合，得到简洁论证。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_dellepere.pdf

54. Transparent Dictionaries from Polynomial Commitments

作者：Hossein Hafezi (纽约大学); Alireza Shirzad (宾夕法尼亚大学); Benedikt Bünz and Joseph Bonneau (纽约大学)

摘要：

我们提出 IRONDICT，一种基于多项式承诺方案的透明字典构造。透明字典使不可信服务器能够维护可变字典，并可证明地向客户端提供查询服务。一个重大的开放性挑战是支持轻量级客户端的高效审计。已有方案要么服务器开销高（限制吞吐量），要么客户端查询验证开销大，阻碍了其在拥有数十亿用户的现代消息密钥透明性部署中的应用。我们的构造黑盒式地使用通用的多重线性多项式承诺方案，并继承其安全特性，即绑定性（binding）与零知识性（zero-knowledge）。我们使用近期的 KZH 方案实现该构造，发现在消费级笔记本上验证包含 10 亿条目的字典仅需 35 毫秒，比现有最优方案提升 300 倍。我们的构造还提供了小 150000 倍的证明（8 KB）和完美的隐私性，且客户端与服务器开销在具体实现上均高效。我们还展示了基于增量可验证计算（IVC）和检查点的快进技术，以实现更快的客户端审计。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_hafezi.pdf

55. Efficient Threshold ML-DSA

作者：Sofía Celi (Brave Research); Rafael del Pino and Thomas Espitau (PQShield); Guilhem Niot (PQShield and 雷恩大学, 法国国家科学研究中心, IRISA); Thomas Prest (PQShield)

摘要：

门限签名方案允许一组用户联合生成数字签名，提供容错能力并增强去中心化。随着后量子密码学的兴起，基于格的门限签名作为可行替代方案受到关注。然而，现有构造在可扩展性、鲁棒性或与标准化方案的兼容性方面经常遇到挑战，特别是与 NIST 选定并标准化的基于模块格的数字签名算法（ML-DSA）的兼容性。

本工作提出了首个与 ML-DSA 完全兼容的门限签名方案，支持最多六方之间的安全高效签名。我们的构造利用先进的短秘密共享技术，并集成优化的拒绝采样，在分布式环境中实现了通信效率与正确性之间的良好平衡。我们用 Go 实现该构造，并在本地、局域网（LAN）和广域网（WAN）环境下评估其性能。基准测试表明，我们的门限 ML-DSA 方案不仅可实际部署，而且适用于现实应用场景，包括多设备加密货币钱包、基于门限的 TLS 认证以及 Tor 的目录权威机构。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_celi.pdf

56. Nudge: A Private Recommendations Engine

作者：Alexandra Henzinger (麻省理工学院); Emma Dauterman (麻省理工学院 and 斯坦福大学); Henry Corrigan-Gibbs (麻省理工学院); Dan Boneh (斯坦福大学)

摘要：

Nudge 是一种具有密码学隐私性的推荐系统。一个 Nudge 部署由三台基础设施服务器和大量用户组成，用户从大型数据集（如视频、帖子、商家）中检索/评分条目。Nudge 服务器周期性地以秘密共享形式收集用户评分，然后运行三方计算，在用户私有评分上训练轻量级推荐模型。最后，服务器向每个用户提供个性化推荐。在每一步中，Nudge 都不会向服务器泄露除聚合模型本身之外的任何用户偏好信息。用户隐私即使在攻击者攻破一台服务器全部秘密状态的情况下仍然成立。Nudge 的技术核心是一种新的三方矩阵分解协议。在拥有 50 万用户和 1 万个条目的 Netflix 数据集上，Nudge（在局域网中的三台 192 核服务器上运行）仅需 50 分钟即可私密地学习推荐模型，服务器间通信量为 40 GB。在标准质量基准（nDCG@20）上，Nudge 得分为 1.0 中的 0.29，与非隐私矩阵分解相当，仅略低于非隐私神经推荐器的 0.31。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_henzinger.pdf

57. On Evaluating the Robustness of Large Vision-Language Models via Untargeted Modality Alignment Breaking Adversarial Attack

作者：Zhichao Li, Hongshan Yang, Zhibo Wang, Huiyu Xu, and Junhong Lai (浙江大学); Yaopeng Wang (东南大学 and 浙江大学); Kui Ren and Chun Chen (浙江大学)

摘要：

大型视觉-语言模型（LVLMs）通过将视觉编码器的表示空间与 LLM 的表示空间对齐，在多模态任务中取得了显著成功。然而，它们仍易受可迁移对抗攻击的影响，这类攻击可在不访问模型的情况下操纵 LVLMs 的输出。因此，确保其可靠部署需要对黑盒鲁棒性进行严格评估。现有方法仅通过扰动 LVLMs 的视觉编码器进行有限的评估，且往往忽视无目标攻击场景。本工作提出模态对齐破坏攻击（Modality Alignment Breaking Attack, MABA），一种用于评估 LVLMs 黑盒鲁棒性的新型可迁移、无目标对抗攻击。MABA 强调破坏整个多模态流水线，针对两个关键阶段：视觉编码和模态对齐。首先，MABA 揭示可迁移对抗攻击的核心在于抑制判别性视觉表示，并明确将其作为优化目标以提高跨不同 LVLMs 的可迁移性。其次，MABA 引入一个互信息感知投影器，作为 LVLMs 模态对齐模块的替代，有效破坏跨模态一致性并增强可迁移性。大量评估表明，MABA 实现了最先进的性能，在图像描述任务中导致语义指标平均下降 58.37%。通过对多种 LVLM 家族的消融研究，我们获得了增强 LVLMs 鲁棒性的有价值洞察。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_li-zhichao.pdf

58. From Easy to Hard++: Promoting Differentially Private Image Synthesis Through Spatial-Frequency Curriculum

作者：Chen GONG and Kecen Li (弗吉尼亚大学); Zinan Lin (微软研究院); Tianhao Wang (弗吉尼亚大学)

摘要：

差分隐私（DP）合成图像通过在确保隐私保证的同时模仿敏感数据的统计特性，成为降低隐私担忧的关键工具。为提高合成图像质量，大多数研究聚焦于改进核心优化技术（如 DP-SGD）。近期出现了一种范式转变，即将这些技术作为现成工具，研究如何组合使用以获得最佳效果。其中一项 notable 工作是 DP-FETA，它提出使用“中心图像”来“预热”DP 训练，然后再使用传统 DP-SGD。

受 DP-FETA 启发，我们探究是否还有其他工具可与 DP-SGD 组合使用。我们首先观察到，使用“中心图像”仅适用于包含大量相似样本的数据集。为处理图像差异较大的场景，我们提出 FETA-Pro，引入频率特征作为“训练捷径”。频率特征的复杂度介于空间特征（由“中心图像”捕获）和完整图像之间，可为 DP 训练提供更细粒度的课程。要将这两类捷径组合使用，一个挑战是处理空间特征与频率特征之间的训练差异。为此，我们利用生成模型的流水线生成特性（即无需一个模型同时训练多种特征/目标，而是使用多个模型分别处理不同特征，再将一个模型的生成结果输入另一个模型），采用更灵活的设计。具体而言，FETA-Pro 引入辅助生成器来产生与带噪频率特征对齐的图像，然后用这些图像连同空间特征和 DP-SGD 训练另一个模型。在五个敏感图像数据集上的评估表明，在隐私预算 ε = 1 下，FETA-Pro 比最佳基线平均保真度高 25.7%，效用高 4.1%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gong.pdf

59. FIRA: Enabling Automatic Forensic Investigation of Unmanned Aerial Vehicles

作者：Yizhi Huang (佐治亚理工学院); David Oygenblik (佐治亚理工学院); Runze Zhang, Mingxuan Yao, Muhammad Ibrahim, Burak Sahin, Haichuan Xu, Saman Zonouz, and Brendan Saltaformaggio (佐治亚理工学院)

摘要：

在动态环境中，无人机（UAV）通常利用在线学习来优化其机器学习（ML）模型的决策边界，以提升性能。然而，当无人机变得不可恢复或不可用（如坠毁）时，取证调查人员将无法判断无人机的在线学习是否导致了坠毁。本文提出一种名为 FIRA 的新型取证技术，能够建立从 ML 模型到 UAV 系统组件的因果联系。FIRA 在飞行过程中回传在线学习更新和遥测数据（即使在带宽有限的情况下），并判断坠毁是否可归因于在线学习模型。我们将 FIRA 应用于 48 个 UAV 坠毁场景，使用两种广泛采用的 UAV 控制程序：PX4 和 ArduPilot。在四类 UAV 任务中，FIRA 各调查了 12 起由后门在线学习模型导致的坠毁事故，FIRA 能以 95.8% 的准确率正确地将模型归因为坠毁原因。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_huang-yizhi.pdf

60. MASLeak: Investigating and Exposing Intellectual Property Leakage Vulnerabilities in Multi-Agent Systems

作者：Liwen Wang (香港科技大学); Wenxuan Wang (中国人民大学); Shuai Wang, Zongjie Li, Zhenlan Ji, and Zongyi LYU (香港科技大学); Daoyuan Wu (岭南大学); Shing-Chi Cheung (香港科技大学)

摘要：

大型语言模型（LLMs）的快速发展催生了多智能体系统（MAS），通过协作执行复杂任务。然而，MAS 的复杂性，包括其架构、智能体交互和复杂的内部通信处理，引发了关于知识产权（IP）保护的严重关切。本文介绍 MASLEAK，首个在实际黑盒环境下系统性地从 MAS 中提取 IP 的框架。我们假设一个现实的攻击者，只能向系统公共 API 提交查询并观察最终输出，对内部架构和后端 LLM 信息毫无先验知识。受计算机蠕虫传播并感染脆弱网络主机方式的启发，MASLEAK 精心构造对抗查询 q，以诱发、传播并保留来自每个 MAS 智能体的响应，从而揭示一整套专有组件，包括智能体数量、拓扑、系统提示、任务指令和工具使用。我们构建了首个包含 810 个 MAS 应用的合成数据集，并在真实 MAS 应用（包括 Coze 和 CrewAI）上评估 MASLEAK。MASLEAK 在提取 MAS IP 方面实现了高准确率，系统提示和任务指令的平均攻击成功率为 87%，在大多数情况下系统架构的攻击成功率为 92%。最后，我们讨论了这些发现的影响及潜在防御措施。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wang-liwen.pdf

61. Love, Lies, and Language Models: Investigating AI's Role in Romance-Baiting Scams

作者：Gilad Gressel and Rahul Pankajakshan (阿姆里塔大学 Amritapuri 校区网络安全系统与网络中心); Shir Rozenfeld (内盖夫本古里安大学); Ling Li (威尼斯大学); Ivan Franceschini (墨尔本大学); Krishnashree Achuthan (阿姆里塔大学 Amritapuri 校区网络安全系统与网络中心); Yisroel Mirsky (内盖夫本古里安大学)

摘要：

杀猪盘诈骗已成为全球范围内经济和情感伤害的重要来源。这些犯罪活动由有组织犯罪集团运营，将数千人贩卖为强迫劳动，要求他们在数周的文本对话中与受害者建立情感亲密关系，然后施压其进行欺诈性加密货币投资。由于此类诈骗本质上基于文本，它们引发了关于大型语言模型（LLMs）在当前和未来自动化中作用的紧迫问题。

我们通过采访 145 名内部人员和 5 名诈骗受害者、开展一项将 LLM 诈骗智能体与人工操作者进行比较的盲法长期对话研究，以及对商业安全过滤器进行评估来调查这一交汇点。研究结果显示，LLMs 已在诈骗组织中广泛部署，87% 的诈骗劳动由易被自动化的系统化对话任务构成。在一项为期一周的研究中，LLM 智能体不仅从研究参与者那里获得了更大的信任（p=0.007），还比人工操作者实现了更高的请求遵从率（46% vs. 人工的 18%）。与此同时，主流安全过滤器对杀猪盘对话的检测率为 0.0%。综合来看，这些结果表明杀猪盘诈骗可能适合全面的 LLM 自动化，而现有防御仍不足以阻止其蔓延。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gressel.pdf

62. United We Defend: Collaborative Membership Inference Defenses in Federated Learning

作者：Li Bai, Junxu Liu, Sen Zhang, Xinwei Zhang, Qingqing Ye, and Haibo Hu (香港理工大学)

摘要：

成员推理攻击（MIAs）通过判断特定数据点是否包含在目标模型的训练集中，对联邦学习（FL）构成了严重威胁。然而，现有的 MIA 防御通常独立应用于 FL 中的每个客户端，对于利用整个训练过程的时序信息来推断成员状态的强大基于轨迹的 MIA 效果不佳。本文研究一种由异构隐私需求和隐私-效用权衡驱动的新 FL 防御场景，其中仅防御部分客户端，以及客户端协作缓解成员隐私泄露的协作防御模式。为此，我们提出 CoFedMID，一种针对 FL 中 MIA 的协作防御框架，它限制本地模型对训练样本的记忆，并通过防御者联盟增强隐私保护和模型效用。具体而言，CoFedMID 由三个模块组成：用于选择性本地训练样本的类引导划分模块；回收有贡献样本并防止其过度自信的效用感知补偿模块；以及在联盟层面向客户端更新注入噪声以实现抵消的聚合中性扰动模块。在三个数据集上的大量实验表明，我们的防御框架显著降低了七种 MIA 的性能，同时仅带来很小的效用损失。这些结果在各种防御设置下均得到一致验证。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_bai.pdf

63. Tracegram: Framing Trace-Level Traffic Analysis with Temporally-Aware Multiple Instance Learning

作者：Jian Qu, Yuchen Zhang, Jialong Zhang, Jianfeng Li, and Xiaobo Ma (西安交通大学计算机科学与技术学院)

摘要：

现代网络行为跨越多个流并随时间演化，使得流间时序和共现上下文对于可靠的流量分析至关重要。这一需求在安全领域尤为关键，攻击在较长时间间隔和多个流中依次经历侦察、投递、命令与控制和横向移动阶段。现有的包级或单流方法割裂了这一上下文，限制了跟踪级分类、检测和归因的性能。我们将跟踪（trace）引入为分析单元，提出 Tracegram，将跟踪级分析形式化为多示例学习（Multiple Instance Learning）。Tracegram 将逐流编码器与时序感知聚合模块相结合，跨流推理，保留长程依赖，并产生支持分析人员验证和取证的流归因信号。我们的验证涵盖理论与实践。我们从理论上论证了基于 MIL 的跟踪级流量分析分解，并在四个公开数据集上跨多个任务进行了大量实验，表现出优于或可与最先进方法相媲美的性能。最后，对 DAPT 数据集中 APT 跟踪的案例研究表明，Tracegram 能突出与攻击阶段对齐的流，实现有针对性的调查。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_qu.pdf

64. "Abuse Risks are Often Inherent to Product Features": Exploring AI Vendors' Bug Bounty and Responsible Disclosure Policies

作者：Yangheran Piao, Jingjie Li, and Daniel W. Woods (爱丁堡大学)

摘要：

随着供应商采纳 AI 技术，安全研究人员正致力于发现和修复相关漏洞，鉴于 AI 系统处理敏感数据和关键功能，这一点至关重要。这一过程依赖于供应商接收并奖励 AI 漏洞报告。为评估当前实践，我们分析了 264 家 AI 供应商的漏洞披露政策。我们采用混合方法，结合快照式和纵向定性分析，并与 320 起 AI 事件和 260 篇学术文章进行对齐比较。分析显示，36% 的 AI 供应商没有建立相关政策，仅 18% 提及 AI 风险。数据访问、授权和模型提取漏洞最一致地被声明为范围内。越狱和幻觉最常被声明为范围外。我们识别出反映供应商对 AI 漏洞不同立场的三类画像：主动澄清型（n = 46）、沉默型（n = 115）和限制型（n = 103）。对齐结果表明，供应商在处理 AI 漏洞披露方面可能滞后于学术研究和真实事件。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_piao.pdf

65. PICS: Private Intersection over Committed (and reusable) Sets

作者：Aarushi Goel (罗格斯大学); Peihan Miao and Phuoc Van Long Pham (布朗大学); Satvinder Singh (普渡大学)

摘要：

隐私集合交集（PSI）使两方能够在不泄露任何额外信息的情况下计算其私有集合的交集。虽然恶意安全 PSI 协议可防止多种攻击，但攻击者仍可通过在多次会话中使用不一致的输入来利用它们。这一局限源于安全多方计算中恶意安全的定义，但在 PSI 中尤为棘手，因为：（1）现实应用——如 Apple 用于 CSAM 检测的 PSI 协议和消息应用中的隐私联系人发现——通常需要对一致输入进行多次 PSI 执行；（2）PSI 功能使攻击者相对容易推断额外信息。

我们提出基于承诺集合的隐私交集（Private Intersection over Committed Sets, PICS），一种通过承诺集在多次会话间强制输入一致性的新框架。在最先进的恶意安全 PSI 框架（即 VOLE-PSI [EUROCRYPT 2021]）基础上，我们使用轻量级密码学工具给出了 PICS 的高效实例化。我们的协议实现了强接收方输入一致性（即接收方使用确切的承诺集）和弱发送方输入一致性（即发送方无法向承诺集注入新元素，但可能使用承诺集的子集）。我们实现了该协议以展示具体效率。与 VOLE-PSI 相比，在集合大小 2^16-2^24 范围内，我们的通信开销为 1.57 - 2.04 倍的小常数，在各种网络设置下总端到端运行时间开销为 1.22 - 1.98 倍。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_goel.pdf

66. MULCOTAINT: Towards Efficient Multi-tag Dynamic Taint Analysis via Hardware/Software Co-design

作者：Bing Qi (中国科学院大学; 中国科学院软件研究所); Yi Yang and Xiangkun Jia (中国科学院大学; 中国科学院软件研究所; 系统软件重点实验室（中国科学院）); Zhengpin Qian and Huafeng Huang (中国科学院大学; 中国科学院软件研究所); Purui Su (中国科学院大学; 中国科学院软件研究所; 系统软件重点实验室（中国科学院）)

摘要：

多标签动态污点分析（M-DTA）在漏洞分析等细粒度分析场景中至关重要。然而，当前软件方案存在严重的性能问题。硬件方案虽有前景，但仅支持单标签，难以扩展到 M-DTA。我们提出一种通过软硬件协同设计实现的高效 M-DTA 框架 MULCOTAINT。我们利用协处理器架构将污点分析与正常执行解耦，并解决了若干挑战，如将污点计算设计为向量化计算、用页表管理污点标签，以及提供污点分析引擎的功能接口。我们构建了包含 5 种类型 32 个程序的数据集，并进行了性能评估和漏洞分析实验。结果表明，MULCOTAINT 具有高性能和可接受的内存占用，且具备详细漏洞分析能力。MULCOTAINT 优于软件方案（TaintRabbit 和 PANDA）和硬件方案（HardTaint、RAFT 和 FineDIFT）。在各自基线上开销增长的最大差异为 MULCOTAINT vs. PANDA 的“1.14x vs. 4409.09x”，而 HardTaint 的平均开销增长是 MULCOTAINT 的 19.57 倍。尽管 MULCOTAINT 原型的硬件成本高于面向嵌入式的工作 RAFT 和 FineDIFT，但由于 M-DTA 逻辑复杂，该成本是可接受的。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_qi-bing.pdf

67. WAVED: Principled Identification of Off-Path Exploitable Weak Verifications within the TCP/IP Protocol Suite

作者：Yizhou Zhao and Xuewei Feng (清华大学); Min Li (中关村实验室); Ke Xu (清华大学)

摘要：

针对基础 TCP/IP 协议套件的离路（off-path）利用对互联网基础设施安全构成重大威胁。特别是，对接收载荷的弱验证——源于缺乏可靠信息进行验证或协议套件内的实现缺陷——导致的漏洞可被攻击者利用来操纵流量、引发数据丢失并中断受害服务器上的服务。本文首次系统研究这些漏洞，并提出 WAVED，一个用于识别 TCP/IP 协议套件实现中离路可利用弱验证的框架。WAVED 的核心是开发了针对 TCP/IP 内核的流敏感、上下文敏感和域敏感指针分析，并构建污点传播图（Taint Propagation Graph, TPG）来建模和追踪协议栈内的数据流。通过建模跨多种算术运算的字节粒度污点传播，我们的方法能精确定位与每个约束关联的特定输入字节。此外，计算方向敏感的污点信息以准确捕获和区分不同分支结果施加的约束强度，从而显著优于传统的字节不敏感和方向不敏感分析。我们在 IPv4 和 IPv6 上跨 Linux 5.15、Linux 6.8 和 FreeBSD 14.1 评估 WAVED。它精确揭示了 TCP/IP 中导致语义漏洞的弱验证，并发现了 14 个此前未知的漏洞。我们已向受影响的操作系统供应商负责任地披露了这些漏洞，并收到了 Linux 社区的致谢。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhao-yizhou.pdf

68. CuSafe: Capturing Memory Corruption on NVIDIA GPUs

作者：Hongyi Lu (南方科技大学 and 香港科技大学); Fengwei Zhang (南方科技大学); Zhenkai Zhang (克莱姆森大学); Shuai Wang (香港科技大学); Yanan Guo (罗切斯特大学)

摘要：

现代 GPU 应用，特别是在机器学习和科学计算领域，由于依赖 C/C++ 等内存不安全语言，越来越多地受到内存损坏漏洞的影响。然而，现有方案要么依赖商用 GPU 上不可用的硬件/软件，要么产生过高的性能开销，使其不适用于实际部署。

我们提出 CuSafe，一种可直接部署在商用 NVIDIA GPU 上的新型 GPU 消毒器。CuSafe 采用将指针标记与带内缓冲区边界相结合的混合元数据方案，实现准确高效的内存安全验证。CuSafe 还引入了栈纪元追踪和虚拟地址随机化等机制，以缓解由时序损坏引起的元数据混淆。

我们在 33 个程序上的安全评估表明，CuSafe 在现有 GPU 消毒器中独特地实现了空间漏洞和时间漏洞的最佳覆盖率。此外，我们在 44 个程序（包括 LLaMA2-7B 和 LLaMA3-8B 等大语言模型）上的性能基准测试显示，CuSafe 平均减速 13%，内存开销可忽略不计，仅 0.3%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_lu.pdf

69. Attacks on Approximate Caches in Text-to-Image Diffusion Models

作者：Desen Sun, Shuncheng Jie, and Sihang Liu (滑铁卢大学)

摘要：

扩散模型是一类强大的生成模型，能够根据用户提示生成图像及其他内容，但其计算开销巨大。为降低这一开销，近期的学术界与工业界工作采用了近似缓存（approximate caching）技术，即在一个缓存中复用来自相似提示的中间状态。该优化虽然高效，却因破坏了用户之间的隔离而引入了新的安全风险。本文对近似缓存所引入的安全漏洞进行了全面评估。首先，我们演示了利用近似缓存建立的一条远程隐蔽信道：发送方将带有特殊关键词的提示注入缓存系统，接收方即使在数天之后仍能恢复这些信息，从而实现信息交换。其次，我们提出了一种利用近似缓存的提示窃取攻击，攻击者可以根据缓存命中恢复已有的缓存提示。最后，我们提出了一种投毒攻击，将攻击者的标志嵌入先前窃取的提示中，导致命中被投毒缓存提示的请求出现意料之外的标志渲染。这些攻击均可通过服务系统远程执行，揭示了近似缓存中存在的严重安全漏洞。本工作的代码已公开。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_sun.pdf

70. Side-Channel Attacks on Open vSwitch

作者：Daewoo Kim and Sihang Liu (滑铁卢大学)

摘要：

虚拟化技术在云系统中被广泛采用，以管理用户间的资源共享。虚拟化环境通常在宿主系统中部署虚拟交换机，使虚拟机之间以及虚拟机与物理网络之间能够通信。Open vSwitch（OVS）是最流行的软件虚拟交换机之一。它维护一个缓存层次结构，以加速从宿主机到虚拟机的数据包转发。我们从安全角度刻画了OVS内部的缓存系统，并识别出三种攻击原语。基于这些攻击原语，我们提出了三种通过OVS发起的远程攻击，破坏了虚拟化环境中的隔离性。首先，我们利用不同的缓存识别出远程隐蔽信道。其次，我们提出了一种新型的包头恢复攻击，能够泄露远程用户的包头字段，破坏了系统提供的机密性保证。第三，我们演示了一种远程数据包速率监控攻击，能够恢复远程受害者的数据包速率。为防御这些攻击，我们还讨论了潜在的缓解措施。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_kim-daewoo.pdf

71. A Distortion-minimization Watermarking Framework for Large Language Models: Larger Capacity, Stronger Robustness and Higher Quality

作者：Liming Zhai, Xuezhou Shang, Liyun Zhang, and Po Hu (华中师范大学)

摘要：

大语言模型（LLM）水印为生成文本提供可验证的来源识别，其实际部署需要大的水印容量、对攻击的强鲁棒性以及高质量的文本。然而，现有方法通常难以平衡所有这些指标，往往通过各自独立的设计来分别应对。为克服这一问题，我们提出了一种失真最小化水印（distortion-minimization watermarking, DMW）框架，在单一的优化范式中统一了容量、鲁棒性与质量。该框架将鲁棒性和质量建模为文本修改的失真代价，在给定水印长度下最小化总失真，从而实现最优权衡。具体而言，我们设计了多种失真代价：一种利用语义不变性来抵御攻击的鲁棒性代价，以及两种将修改引导至低内聚、高变异性区域以降低感知影响的质量代价。随后，我们提出了周期优化的校验子网格码（periodically optimized syndrome-trellis codes, PO-STCs），将整体失真最小化表述为一个周期性最短路径问题。这使得在序列生成过程中能够进行实时优化，并实现灵活的容量控制。在多个数据集和LLM上的大量实验表明，DMW在所有指标上均优于最先进的方法。值得注意的是，在严重的改写攻击下，DMW的匹配率比最佳基线高出46.35%，同时保持了更优的文本质量。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhai.pdf

72. Behind Bars: A Side-Channel Attack on NVIDIA MIG Cache Partitioning Using Memory Barriers

作者：Cheng Gu (罗切斯特大学); Reese Levine (加州大学圣克鲁兹分校); Zhenkai Zhang (克莱姆森大学); Tyler Sorensen (微软和加州大学圣克鲁兹分校); Yanan Guo (罗切斯特大学)

摘要：

NVIDIA多实例GPU（Multi-Instance GPU, MIG）是一项旨在为大型数据中心GPU提供隔离和安全多租户能力的功能。MIG将单个GPU划分为多个实例，每个实例拥有专用的硬件资源，如L2缓存分片。据文档记载，MIG还通过提供硬件隔离的可信执行环境，构成了NVIDIA机密计算栈的基础。然而，MIG的安全性声明值得更深入的调查，尤其是考虑到GPU内存系统的复杂性及其众多（文档稀疏的）内存指令。

在本工作中，我们实证地研究了启用MIG时GPU L2缓存的行为。我们发现，尽管采用了分区设计，跨实例的L2缓存干扰仍然存在。具体而言，在一个MIG实例中生成的内存屏障（membar）会产生副作用，传播到其他L2分区，并影响其他实例中某些加载操作的时序。我们还发现，这些membar可由特定的GPU活动（如kernel启动）触发。基于这些观察，我们开发了一种新的基于时序的侧信道攻击，使一个MIG实例中的攻击者能够推断另一个实例中受害者的kernel启动模式。我们证明，该攻击危害了广泛使用的GPU应用（如大语言模型推理）的机密性，因为这些应用中的kernel启动模式与敏感信息相关。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gu-cheng.pdf

73. TrojPix: Electromagnetic Covert Channels via Imperceptible Pixel Modulation

作者：Guoming Zhang (山东大学和泉城实验室); Huiting Zhang, Zhenwei Lu, Heqiang Fu, Xin Gao, Riccardo Spolaor, and Yetong Cao (山东大学); Yanni Yang and Pengfei Hu (山东大学和泉城实验室)

摘要：

物理隔离网络依赖物理隔离来防止外部连接。此前的电磁（EM）隐蔽信道利用了视频线缆、内存总线和CPU的辐射，但很少能同时实现高吞吐量、长距离和视觉不可感知性，这限制了其在物理隔离环境中的实用性。我们证明，不可感知的像素调制可以确定性地在数字视频线缆上引发可控的电磁辐射，从而无需系统权限或硬件修改即可实现控制。基于这一发现，我们提出了TrojPix——一种在保持屏幕上不可感知性的同时，通过数字视频线缆实现高速、长距离通信的隐蔽信道。我们实现了一种轻量级通信方案，将像素到样本的映射与自适应解码相结合，在扩展距离上实现采样率级别的鲁棒通信。我们在真实条件下对九个商用现货（COTS）显示器制造商和十五条COTS数字视频线缆评估了TrojPix，在两种攻击模式（伪息屏和前景嵌入）下展示了其有效性。TrojPix实现了8.1 Mbps的峰值吞吐量和208 m的最大距离，揭示了对物理隔离网络安全的实用且隐蔽的威胁。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhang-guoming.pdf

74. Anonymous Tokens with Designated-Reader Metadata Bit

作者：Aisha Tu (武汉大学); Meng Jia (香港理工大学); Kun He, Jing Chen, and Ruiying Du (武汉大学)

摘要：

带有私有元数据位的匿名令牌在用户出示时向验证方传递隐藏信号，目前正处于标准化讨论中。现有方案仅允许令牌发行方读取信号，这给发行方带来了沉重负担，并且使得支持发行方隐藏变得困难，因为验证方必须联系发行方。在本文中，我们提出了一种带有指定读取者元数据位的匿名令牌方案，允许用户指定一个发行方接受的验证方直接从令牌中读取信号。我们还将方案扩展以支持读取者隐藏（对发行方和其他验证方隐藏用户所指定的验证方）以及发行方隐藏（防止验证方暴露令牌发行方）。我们证明了构造的安全性，并报告了其性能。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_tu.pdf

75. Paper Title Under Embargo

（标题处于禁运状态，将在 USENIX Security 2026 会议开幕首日公开）

作者：Muyan Shen (中国科学院软件研究所; 中国科学院大学密码学院); Hongzhan Ma, Ketong Shang, and Ruofei Qu (中国科学院软件研究所); Yu Qin (中国科学院软件研究所, 北京, 中国); Dengguo Feng (中国科学院软件研究所)

76. TIMESLICE-SANDWICH: A GPU Side-Channel Attack Exploiting Time-Sliced Scheduling

作者：Hodong Kim and Gyeongsup Lim (高丽大学); Seunghee Shin (纽约州立大学宾汉姆顿分校); Youngjoo Shin and Junbeom Hur (高丽大学)

摘要：

现代GPU支持并发应用之间的资源共享，由此引入了侧信道攻击的风险。虽然先前的研究已经探索了利用共享GPU资源的GPU侧信道，但时间片调度（当今GPU中资源共享的标准特性）在侧信道攻击方面的安全影响在很大程度上仍未被探索。在本研究中，我们分析了GPU时间片调度机制下并发执行引起的时序变化。我们首先确定时间片的上界，然后利用该上界来估计并发程序的时间片持续时间，最终使我们能够推断程序的整体GPU利用模式。

基于这一发现，我们引入了TIMESLICE-SANDWICH，一种利用时间片持续时间变化来推断和区分受害者执行模式的新型GPU侧信道攻击。与先前的GPU侧信道攻击不同，TIMESLICE-SANDWICH不需要在特定共享资源上产生争用。在我们的实验中，TIMESLICE-SANDWICH在神经网络恢复攻击中平均达到94.40%的F1分数，在Google Chrome上的网站指纹攻击中平均达到92.84%的Top-1准确率，证明了其有效性。即使在存在噪声的情况下，我们的攻击在神经网络恢复中仍达到73.74%的平均F1分数。最后，我们讨论了针对现代GPU资源共享架构中由时间片模式引发的侧信道风险的潜在缓解措施。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_kim-hodong.pdf

77. Bridging Usability and Performance: A Tensor Compiler for Autovectorizing Homomorphic Encryption

作者：Edward Chen, Fraser Brown, and Wenting Zheng (卡内基梅隆大学)

摘要：

同态加密（HE）通过支持在加密数据上进行计算，提供了强大的隐私保证。然而，HE中张量操作的性能高度敏感于明文数据打包到密文中的方式。大型张量程序引入了大量可能的布局分配，使得用户手动编写高效的HE程序既具有挑战性又枯燥乏味。

在本文中，我们提出了Rotom，一个将张量程序自动向量化为优化HE程序的编译框架。Rotom系统地探索了广泛的布局分配，应用了最先进的优化技术，并自动生成等效且高效的HE程序。其核心是，Rotom利用一种新型轻量级ApplyRoll布局转换算子，轻松修改底层数据布局，开启性能提升的新途径。我们的评估表明，Rotom能够在5分钟内可扩展地编译所有张量工作负载，将手工调优协议中的旋转次数减少最多3倍，并比先前的自动向量化系统实现最高80倍的性能提升。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-edward.pdf

78. Shadowfax: Hybrid Security and Deniability for AKEMs

作者：Phillip Gajland (IBM苏黎世研究院); Vincent Hwang (马克斯·普朗克安全与隐私研究所, 拉德堡德大学); Jonas Janneck (波鸿鲁尔大学)

摘要：

随着密码学协议向后量子安全过渡，大多数协议采用了结合经典和后量子假设的混合方案。这一转变通常牺牲了效率、紧凑性甚至安全性。其中一个这样的性质是可否认性，它使用户能够合理地否认可能是定罪性消息的作者身份。虽然经典协议如X3DH密钥协商（用于Signal和WhatsApp）提供了可否认性，但后量子协议如PQXDH和Apple的iMessage（使用PQ3）则不然。

本工作通过研究如何在后量子协议中高效地保持可否认性来填补这一空白。具体而言，我们提出了两种用于认证密钥封装机制（AKEMs）的混合方案。第一种是黑盒构造，当两个组成AKEM均可否认时，能够保持可否认性。第二种是Shadowfax，一种非黑盒AKEM，实现了混合安全性，集成了经典非交互式密钥交换、后量子密钥封装机制和后量子环签名。Shadowfax在不诚实和诚实接收者设置中均满足可否认性，前者依赖统计安全性，后者依赖单个前量子或后量子假设。

最后，我们提供了Shadowfax的多种可移植实现。当使用标准化组件（ML-KEM和Falcon）实例化时，Shadowfax的密文为1728字节，公钥为2036字节，在Apple M1 Pro上的封装和解封装开销分别为1.8M和0.7M周期。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gajland.pdf

79. RBOOT: Accelerating Homomorphic Neural Network Inference by Fusing ReLU within Bootstrapping

作者：Zhaomin Yang, Chao Niu, Benqiang Wei, Zhicong Huang, Cheng Hong, and Tao Wei (蚂蚁集团)

摘要：

使用全同态加密（FHE）进行安全神经网络推理的一个主要瓶颈是ReLU等非线性激活函数的求值，这些函数在FHE下计算效率低下。最先进的解决方案使用高次多项式来近似ReLU，带来了显著的计算开销。我们提出了RBOOT，一个将ReLU求值无缝集成到CKKS自举（bootstrapping）中的优化框架，显著降低了乘法深度并提升了效率。我们的关键洞察是，CKKS自举中的EvalMod步骤由三角函数组成，而三角函数本身是非线性的。先前的工作将自举和激活函数视为独立的例程，错过了利用这种非线性的机会。通过协同优化这些组件，我们可以在自举过程本身中利用这种非线性来构造ReLU（及其他非线性函数），从而大幅减少计算开销。在四个广泛使用的CNN模型上的结果表明，与先前的多项式近似工作相比，RBOOT实现了2.77倍的端到端推理加速和81%的内存使用降低，同时保持了相当的准确率。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_yang-zhaomin.pdf

80. PANGOLIN: Fuzzing Multilingual IoT Firmware with LLM-Driven Code Analysis

作者：Zhipeng Jia and Xiaokang Yin (信息工程大学); Shuitao Gan (先进计算与智能工程实验室); Chao Zhang (清华大学网络科学与网络空间研究院; JCSS, 清华大学（INSC） - 科学城（广州）数字科技集团有限公司); Hangtian Liu (数学工程与先进计算国家重点实验室); Jiangan Ji, Enzhou Song, and Ruijie Cai (信息工程大学); Jinglei Tan (数学工程与先进计算国家重点实验室); Shengli Liu (信息工程大学)

摘要：

多语言IoT通常指使用多种语言（如C、Python、Lua等）来实现其Web服务。虽然一些用户可访问的接口通过前端可视化以供交互，但在多语言IoT中，大量接口保持隐藏且未暴露给前端。此外，其参数通常呈现复杂的层级结构。从多语言设备中有效提取接口规范以进行漏洞发现是一个紧迫且尚未解决的问题。在本文中，我们提出了PANGOLIN，一种面向多语言IoT设备的新型模糊测试方案。首先，我们利用LLM分析API分发机制并识别接口。然后，我们引入一个LLM代理执行跨语言分析并生成输入参数规范。最后，我们利用响应驱动的反馈来修正参数规范。这些知识使语义感知的模糊测试能够探索更深的代码路径并发现更多漏洞。PANGOLIN成功发现了68个此前未知的漏洞，即比SOTA工具LABRADOR多2.96倍。值得注意的是，其中45个漏洞是在隐藏接口中发现的，而EAGLEYE仅能识别出4个此类案例。截至撰稿时，所有漏洞均已报告给厂商并被确认，已分配31个漏洞编号。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_jia.pdf

81. Patch-Guided Vulnerability Detection: Extracting Java API Security Rules via Attack–Defense Cross-Analysis

作者：Bofei Chen, Shuang Liao, and Lei Zhang (复旦大学); Chibin Zhang and Mathias Payer (洛桑联邦理工学院); Yuan Zhang (复旦大学)

摘要：

安全敏感API是现代Java应用中的关键组件，然而对这些API的不当使用经常导致严重漏洞，如远程代码执行。现有的API安全规则生成方法存在局限性，因为它们依赖不完整的文档或基于发现的不一致性从源代码中推断模式。

我们提出了VulGenie，一个补丁驱动的框架，从已确认的安全补丁中提取精确的API安全规则，进而检测API误用漏洞。VulGenie解决了三个关键挑战。首先，它使用我们提出的新型修改行为依赖补丁图数据结构，从嘈杂的补丁中分离出被违反的约束和防御相关变更。其次，它识别受保护的安全敏感API，并通过攻防交叉验证合成规则。第三，它通过自适应的偏差引导静态分析扩展分析规模，以平衡精度和性能。在150个近期Java安全补丁上评估，VulGenie以81.82%的精度提取了198条API安全规则，发现了CodeQL中缺失的177条规则。在十个流行的Java应用上，VulGenie检测到46个0-day漏洞，大幅优于最先进的工作。通过我们负责任的漏洞披露，已有25个漏洞被修复，并分配了十个CVE编号。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-bofei.pdf

82. The State of Passkeys: Studying the Adoption and Security of Passkeys on the Web

作者：Louis Jannett (波鸿鲁尔大学); Andreas Mayer and Maximilian Westers (海尔布隆应用技术大学); Vladislav Mladenov (波鸿鲁尔大学); Christian Mainka (伍珀塔尔大学); Jörg Schwenk (波鸿鲁尔大学)

摘要：

通行密钥（Passkeys）提供了一种基于FIDO2和WebAuthn的安全且抗钓鱼的认证方法。它们近期获得了普及，越来越多的网站开始采用。然而，对这些网站进行大规模综合安全分析尚未得到充分解决。我们提出了PASSKEYS-RADAR，一个自2021年以来持续跟踪互联网上通行密钥部署的、不断更新的数据集。为构建该数据集，我们整合了多种来源，包括社区目录、Tranco 1M、CrUX 18M和历史互联网档案数据。我们分析了872个启用通行密钥的网站的收集数据，揭示了通行密钥的实现和管理方式。我们发现了网站在允许用户添加或删除通行密钥方面的重大差异，并发现网站要求认证器使用已弃用的加密算法。

为对启用通行密钥的网站进行全面安全评估，我们开发了PASSKEYS-ATTACKER。该工具允许在协议的每一步精确操纵WebAuthn消息，并集成了15种攻击类型，其中10种在先前工作中未被覆盖。其中，2种攻击类型具有严重的CVSS评分。我们在103个评估网站中的18个上发现了它们。这些攻击接管用户账户、删除其通行密钥或将其锁定在账户之外。近一半的测试网站（53个）至少容易受到一种高CVSS评分攻击的影响，使用户面临钓鱼和会话固定等威胁。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_jannett.pdf

83. StackWarp: Breaking AMD SEV-SNP Integrity via Deterministic Stack-Pointer Manipulation through the CPU's Stack Engine

作者：Ruiyi Zhang, Tristan Hornetz, Daniel Weber, Fabian Thomas, and Michael Schwarz (德国亥姆霍兹信息安全研究中心（CISPA）)

摘要：

机密虚拟机（CVM），如AMD SEV-SNP，旨在通过加密状态和约束特权控制来保护客户机操作系统免受不可信宿主机的侵害。这些平台承诺即使在同时多线程（SMT）保持启用的多租户云环境中也能提供隔离。虽然先前的攻击聚焦于内存层次结构或执行单元，但它们很大程度上忽略了前端配置。

在本文中，我们提出了StackWarp，一种利用AMD Zen CPU上的栈引擎在SEV-SNP客户机内修改栈指针的软件架构级攻击，完全破坏了完整性。StackWarp依赖于AMD Zen 1–5 CPU上一个共享的模型特定寄存器（MSR）中未公开的位，该位可启用或禁用栈引擎。我们的逆向工程表明，栈引擎的状态在逻辑核之间未正确同步，使攻击者能够跨Zen代际（包括已完全修补的Zen 5）在兄弟逻辑核上确定性地调整栈指针。我们通过对MSR空间（包括未公开的MSR）的系统性探索发现了StackWarp。通过翻转MSR位，我们发现了影响在兄弟逻辑核上运行的SEV-SNP客户机的位。为展示安全影响，我们在SEV-SNP客户机上展示了四种端到端攻击：RSA-CRT私钥恢复、OpenSSH密码认证绕过，以及使用sudo或内核态ROP链的权限提升。我们以软件加固指南作为总结，并主张在CVM活跃时进行微码或硬件更改以防止跨核控制栈引擎。我们的结果表明，当今保持SMT启用会破坏SEV-SNP的完整性保证。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhang-ruiyi.pdf

84. Leveraging Cryptographic Simulator Synthesis for Formally Verifying the FOO E-Voting Protocol

作者：David Baelde (雷恩大学, 法国国家科学研究中心, IRISA); Adrien Koutsos and Justine Sauvage (法国国家信息与自动化研究所)

摘要：

密码学证明在很大程度上通过归约到以博弈表示的密码学假设来进行。这些归约依赖于模拟器，而模拟器的编写通常繁琐且包含大量平凡的代码。因此，在纸笔证明中模拟器仅被草拟，这容易出错。机械化密码学证明消除了出错风险，但要求用户显式编写模拟器是不合理的负担。

在本文中，我们考虑Squirrel中的模拟器合成问题，其中密码学模拟被表达为bi-deduction。虽然关于bi-deduction的开创性工作提供了一个证明系统和简单的证明搜索过程，但我们表明，在处理如IND-CCA2等博弈时它存在系统性失败。我们提供了一个显著改进的过程，能够在递归迭代中重用预言机调用，并生成精确的不变式来证明其正确性。我们在Squirrel中实现了该过程，并在FOO电子投票协议的选票隐私性证明中验证了它，这是FOO的首个计算性机械化证明，也是迄今为止最复杂的Squirrel证明。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_baelde.pdf

85. The Art of Hide and Seek: Making Pickle-Based Model Supply Chain Poisoning Stealthy Again

作者：Tong Liu and Guozhu Meng (中国科学院信息工程研究所; 中国科学院大学网络安全学院); Peng Zhou (上海大学); Zizhuang Deng (山东大学网络空间安全学院; 山东大学密码与数字经济安全国家重点实验室); Shuaiyin Yao and Kai Chen (中国科学院信息工程研究所; 中国科学院大学网络安全学院)

摘要：

Pickle反序列化漏洞贯穿了Python的整个历史，虽广为人知但始终未获解决。由于其能够透明地保存和恢复复杂对象，许多AI/ML框架不顾其固有风险，继续采用pickle作为模型序列化协议。随着开源模型生态系统的增长，Hugging Face等模型共享平台吸引了大量参与者，显著放大了pickle利用的现实影响，并为模型供应链投毒开辟了新途径。虽然已有多种最先进的扫描器被开发用于检测投毒模型，但它们对投毒面不完整的理解使攻击者能够绕过它们。在本工作中，我们首次从模型加载和危险函数两个角度系统性地披露了基于pickle的模型投毒面。我们的研究展示了基于pickle的模型投毒如何保持隐蔽性，并揭示了当前扫描方案的关键缺口。在模型加载面，我们在五个基础AI/ML框架中识别出22条不同的基于pickle的模型加载路径，其中19条被现有扫描器完全遗漏。我们进一步开发了一种名为异常导向编程（Exception-Directed Programming, EDP）的绕过技术，发现了9个EDP实例，其中7个能够绕过所有扫描器。在危险函数面，我们发现了133个可利用的gadget，实现了几乎100%的绕过率。即使面对表现最佳的扫描器，这些gadget仍保持89%的绕过率。通过系统性揭示基于pickle的模型投毒面，我们实现了对现实扫描器的实用且鲁棒的绕过。我们向相应厂商负责任地披露了发现，获得了确认和12,000美元的漏洞赏金。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_liu-tong_0.pdf

86. B-Privacy: Defining and Enforcing Privacy in Weighted Voting

作者：Samuel Breckenridge, Dani Vilardell, and Andrés Fábrega (康奈尔科技学院, IC3); Amy Zhao (Ava Labs, IC3); Patrick McCorry (Arbitrum基金会); Ari Juels (康奈尔科技学院, IC3)

摘要：

在传统的“一人一票”投票系统中，隐私等同于选票保密性：投票统计结果会被公布，但单个投票者的选择被隐藏。

然而，按持币比例对投票进行加权的投票系统如今在加密货币和 web3 系统中已十分普遍。我们表明，这些加权投票系统颠覆了既有的投票者隐私概念。我们的实验表明，即使在选票保密的情况下，公布原始统计结果也往往会暴露投票者的选择。

因此，加权投票需要一种新的隐私框架。我们引入了一个称为 B-privacy 的概念，其基础是贿赂——当今投票系统中的一个关键问题。B-privacy 刻画了对手基于已公布的投票统计结果贿赂投票者所需付出的经济成本。

我们提出了一种通过对投票统计结果加噪来提升 B-privacy 的机制。我们证明了其在 B-privacy 与透明度（即所报告统计结果的准确性）之间权衡的界。我们在 27 个去中心化自治组织（DAO）的 2,503 项提案上进行了实验，结果表明，在透明度几乎不下降的情况下，我们的机制将 B-privacy 提升了 3.5 倍的几何平均因子。

我们的工作为加权投票系统提供了首个有原则的、实用的、系统性的指导，补充了现有以选票保密性为核心的方法。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_breckenridge.pdf

87. InstrSem: Automatically and Generically Inferring Semantics of (Undocumented) CPU Instructions

作者：Lorenz Hetterich, Fabian Thomas, Tristan Hornetz, and Michael Schwarz (德国亥姆霍兹信息安全研究中心（CISPA）)

摘要：

现代 CPU 实现了复杂的指令集架构（ISA），但机器可读的语义往往并不完整。更糟糕的是，许多 CPU 支持未文档化的指令，即那些能在硬件上执行但未出现在规范中的比特串，这可能导致潜在的安全漏洞。

在本文中，我们提出 InstrSem，一种与 ISA 无关的、模块化的、全自动化的方法，仅从执行行为推断指令语义，并提供人类和机器均可理解的语义。从原始编码出发，InstrSem 在系统变化的各种架构状态下执行该编码，并综合出能够解释每个状态分量变化的紧凑数学函数。通过对编码比特进行变异，并将引发的行为变化与比特位置相关联，InstrSem 随后从单个编码泛化到完整指令，恢复寄存器和立即数字段。与以往专注于单一 ISA 的工作不同，InstrSem 是通用的。它仅需一个轻量级 ISA 模型和每种架构一个用户态运行器，并支持定长和变长编码（RISC 和 CISC）、内存访问以及条件行为。我们在 RV64I、AArch64 和 LA64 上评估了 InstrSem，并额外在 Logitech 宏语言和部分 x86-64 上展示了 CISC 适用性。InstrSem 自动恢复了 RV64I 基础指令集中超过 97.81% 的正确语义，并在 77 小时内恢复了 LA64 指令集中覆盖 1,009,055,744 种指令编码的 136 条指令的语义。InstrSem 发现了未文档化的向量指令、QEMU 与 Loongson 硬件之间的不一致性，以及会使 QEMU 崩溃的指令。InstrSem 实现了指令语义的可扩展恢复，大幅自动化了商品级和冷门目标的逆向工程，并为仿真、验证和安全分析奠定了更坚实的基础。凭借支持新架构的极低要求、模块化设计以及人类可读的输出，InstrSem 能够辅助未来的安全分析。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_hetterich-lorenz-instrsem.pdf

88. Paper Title Under Embargo

（标题处于禁运状态，将在 USENIX Security 2026 会议开幕首日公开）

作者：Lorenz Hetterich, Tristan Hornetz, Fabian Thomas, and Michael Schwarz (德国亥姆霍兹信息安全研究中心（CISPA）)

89. Sliding into the Flight Deck's DMs: Practical Message Attacks on CPDLC

作者：Mehdi Ziazi (苏黎世联邦理工学院); Khalid Aleem (独立研究者); Harshad Sathaye (苏黎世联邦理工学院); Martin Strohmeier (网络防御园区，armasuisse科学与技术)

摘要：

Controller–Pilot Data Link Communications（CPDLC）系统已成为现代空中交通管理不可或缺的组成部分，尤其是在语音通信受限或不可用的高密度或海洋空域中。CPDLC 旨在提高运行效率，是传统甚高频（VHF）语音通信的替代方案，采用标准化的数字消息来传达高度变更、航向调整、自由文本消息和频率切换。然而，CPDLC 并未实现加密，主要依赖协议的复杂性和模糊性来防止被滥用。

在本研究中，我们对 CPDLC 进行了全栈安全分析，展示了若干漏洞，这些漏洞允许通过伪造地面站攻击劫持 ATC-飞行员链路，并实施大规模拒绝服务攻击，可使无线电范围内的所有飞机的 CPDLC 服务瘫痪。作为概念验证，我们还推出了 cpdlc-gs，这是首个基于 SDR 的全栈 CPDLC 地面站实现，能够注入上行链路消息以发送虚假 CPDLC 飞行指令并实施有效的拒绝服务攻击。

此外，为了评估 cpdlc-gs，我们与空中导航服务提供商和航空电子设备制造商合作，利用 Universal Avionics 的真实可认证硬件，开发了一个全新的、功能完备的测试环境。通过这一设置，我们构思并验证了若干攻击，证明即使是孤立的伪造地面站也可能构成重大威胁，尤其是当飞行员处于高工作负荷或通信降级场景时。总体而言，我们认为 CPDLC 的广泛依赖与全球普及使其成为高价值目标，而滞后的航空数据链安全标准化进程亟待解决。

PDF：暂未公开（论文处于禁运状态，PDF 将在 USENIX Security 2026 会议开幕首日发布）

90. You Know Why, but Still Rely: The Impact of Explainable AI on Trust, Task Load, and Performance in Cybersecurity Decision-Making

作者：Neele Roch, Hannah Sievers, Noé Zufferey, and Verena Zimmermann (苏黎世联邦理工学院)

摘要：

随着机构数字化的不断推进，对有效网络安全措施的需求迅速增长。与此同时，网络安全任务的复杂性和数量正超越现有从业者的处理能力。利用 AI 增强人类网络安全专长有望降低复杂性和认知过载。对 AI 决策的透明且人类可理解的洞察，不仅是欧盟等治理机构的要求，也是从业者在高风险场景中与 AI 协作时自身的需求。我们报告了一项被试间研究（N = 139），考察了可解释 AI（XAI）的解释对具有网络安全领域知识的用户在恶意域名拦截场景下的信任、可用性、感知任务负荷和协作任务绩效的影响。在该场景中提供解释并未促进信任；事实上，具有领域知识的用户在与 XAI 交互后报告了更低的信任。定性结果表明，他们会应用自身的决策标准，而暴露 AI 的决策边界可能引入歧义并助长不信任。尽管纳入 XAI 未增加感知任务负荷，但也未能提升绩效。这些发现对当前 XAI 方法在以知识为中心的决策场景中的有效性提出了重要问题，并凸显了在网络安全领域需要更具情境敏感性、与用户对齐的解释策略。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_roch.pdf

91. Silicon Heist: (Ransom) Attacks for Cloud FPGAs via Privilege Escalation

作者：Simon Klix, Felix Hahn, Maik Ender, Nils Albartus, and Christof Paar (马克斯·普朗克安全与隐私研究所（MPI-SP）); Russell Tessier (马萨诸塞大学)

摘要：

基于云的 FPGA 已成为价值数十亿美元的产业，允许用户借助云基础设施的可扩展性和灵活性部署自定义硬件设计。在云服务提供商（CSP）拥有的硬件上运行用户设计会引入风险，包括蓄意的硬件损坏和针对主机的拒绝服务（DoS）攻击。为缓解这些风险，CSP 实施了限制用户设计并防止未授权行为的安全机制。我们提出了一条在 AMD FPGA 上的新型提权路径，利用（i）内部配置访问端口（ICAP）绕过提供商防御，（ii）逐步将攻击者能力提升至远程 JTAG 访问，并（iii）调查由此产生的威胁向量。

任何普通云客户都可以恶意获取此类 ICAP 访问权限，从而无限制地重新配置部分 FPGA 逻辑资源——使传统的云 FPGA 攻击得以复现。通过 ICAP，用户最终可以获得对硬件低层 JTAG 接口的远程控制，从而访问器件的 eFuse。这种访问反过来允许攻击者不可逆地编程加密设置，从而禁用未来的重新配置，并将 CSP 锁在其自有设备之外。攻击者可以利用这种提升的权限实施勒索软件攻击，云提供商必须支付赎金以换取解密密钥才能重新控制其设备——这实际上引入了首个针对 FPGA 的勒索软件。在研究了这一新型提权路径之后，我们在亚马逊的 EC2 F1 和 F2 实例上验证了其可行性，并探讨了所启用攻击向量的影响。我们由此揭示了云环境中未受保护的低层硬件组件被忽视的威胁。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_klix.pdf

92. Bridging Bitcoin to Second Layers via BitVM2

作者：Robin Linus Woll (斯坦福大学和 ZeroSync 协会); Lukas Aumayr (爱丁堡大学和 Common Prefix); Zeta Avarikioti (维也纳工业大学和 Common Prefix); Matteo Maffei (维也纳工业大学); Andrea Pelosi (比萨大学、卡梅里诺大学和维也纳工业大学); Orfeas Stefanos Thyfronitis Litos (伦敦帝国理工学院和 Common Prefix); Christos Stefo (维也纳工业大学); David Tse (斯坦福大学和 Byzantine Research); Alexei Zamyatin (BOB)

摘要：

区块链基础设施中的一个圣杯是比特币与其二层网络或其他链之间的无须信任的桥。我们通过引入首个基于轻客户端的比特币桥在这一愿景上取得进展。其核心是 BitVM2-CORE，一种新型范式，能够在比特币上实现任意程序执行，将图灵完备的表达能力与比特币共识的安全性相结合。BitVM2-BRIDGE 推进了以往的方法，在设置阶段将信任假设从诚实多数（t-of-n）降低到存在性诚实（1-of-n）。仅需一个理性操作者即可保证活性，且任何用户都可以充当挑战者，实现无许可验证。我们已经开发了 BitVM2 的生产级实现，并在比特币主网上执行了完整的挑战验证。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_woll.pdf

93. "Oh, what people would do with my knife?" Navigating the Dual-Use Dilemma in PoC Exploit Development, Disclosure, and Community Dynamics

作者：Arwa Al Alsadi and Lorenz Kustosch (代尔夫特理工大学); Lamya Alowain (独立研究者); Michel Van Eeten and Carlos H. Gañán (代尔夫特理工大学)

摘要：

随着概念验证（PoC）漏洞利用在披露后数分钟内就从演示转变为武器化攻击，网络安全领域面临着日益严峻的挑战。尽管已有研究记录了其时间动态和恶意部署，但在理解 PoC 创建背后的人为因素方面仍存在关键空白。通过对不同地区的 16 位 PoC 开发者进行半结构化访谈，我们应用期望-价值理论揭示了 PoC 开发是一个复杂的动机生态系统，技术信心、价值评估和风险计算在双重用途的张力中交织。我们证明 PoC 开发涵盖从崩溃演示到武器化漏洞利用的连续谱，由多方面的权衡而非二元伦理所塑造。我们识别出三个理论延伸：使责任外部化的双重用途道德推理、厂商行为重塑披露决策的动态价值评估，以及在伦理研究与技术精通之间的身份导航。厂商响应性、社区动态和法律约束显著影响披露策略。PoC 开发者在应对安全改进与潜在滥用之间的张力时采用风险缓解方法，这挑战了对“负责任”与“不负责任”披露的二元划分。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_al-alsadi.pdf

94. Lost in Blockchain Address Misuse: Hidden Cross-Platform Risks and Their Security Impact

作者：Zhenzhe Shao (中山大学和浙江大学); Jiashuo Zhang (北京大学); Zihao Li (电子科技大学和香港理工大学); Daoyuan Wu (岭南大学); Chong Chen and Yiming Shen (中山大学); Lingfeng Bao (浙江大学和杭州高新区（滨江）区块链与数据安全研究院); Yanlin Wang (中山大学); Jiachi Chen (浙江大学和杭州高新区（滨江）区块链与数据安全研究院)

摘要：

以太坊等区块链系统采用基于账户的模型，其中每个账户由地址唯一标识。地址作为用户交互和资产安全的基础接口至关重要，但在被误用时也会带来重大风险。在本文中，我们系统地揭示并分析了一类称为“地址误用”的风险，包括两大类别：合约账户（CA）误用和外部拥有账户（EOA）误用。具体而言，当用户错误地将非合约地址（NCA）当作 CA 对待时即发生 CA 误用，而当用户与私钥已暴露的 EOA 交互时则发生 EOA 误用。对于每一类别，我们揭示了其底层机制，并引入了此前未公开的攻击向量，使攻击者能够利用这些漏洞获利。为评估其普遍性和影响，我们首先从 GitHub 和 Stack Exchange 构建了一个数据集，其中包含各种区块链网络的地址。该数据集包含 1000 万个用于误用分析的候选地址和 1600 万个已暴露的私钥。然后，我们在以太坊和 BSC 上对其关联交易进行大规模链上分析。通过结合启发式规则、交易模式分析和符号执行，我们识别出 65,340 个高风险地址实例，关联的资产损失约达 127k ETH 和 17.7k BNB，相当于超过 5.748 亿美元。我们评估了检测方法的准确性以确保结果的可靠性，总体精确率达到 99.11%。此外，我们的实证评估还揭示了两个此前未公开的新攻击向量，提供了攻击者如何积极利用用户地址误用获利的真实证据。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_shao.pdf

95. DDR-SSE: Duplicated Retrieval of Documents for System-wide Secure Searchable Symmetric Encryption

作者：Zichen Gui (美国佐治亚大学); Simon-Philipp Merz and Kenneth G. Paterson (瑞士苏黎世联邦理工学院); Sikhar Patranabis (IBM印度研究院)

摘要：

可搜索对称加密（SSE）方案能够在加密文档上进行高效的关键词搜索，代价是泄露部分信息。如果一个 SSE 方案能够抵御可访问加密索引和加密文档检索泄露的对手的密码分析，则称其为系统级安全的。绝大多数最先进的 SSE 方案实际上都不是系统级安全的（Gui 等，IEEE S&P 2023）。目前，唯一高效且系统级安全的 SSE 方案是 SWiSSSE（Gui 等，PoPETS 2024）。然而，SWiSSSE 要求客户端状态在每次查询时更新（这阻碍了在各种实际场景中的采用），且其泄露难以精确刻画（从而使安全分析更困难）。

在本文中，我们提出 DDR-SSE——一种实用高效、系统级安全的 SSE 方案，仅需静态客户端状态，且具有简单的泄露特征。在技术上，我们引入了一种新型加密文档检索方案，利用重复文档存储和随机化文档检索来抑制访问模式泄露，同时不牺牲实际效率。该方案的一个显著特点是其概念上的简洁性（不同于 SWiSSSE 使用了极其复杂的文档检索机制）。

我们针对严格形式化的系统级泄露特征给出了 DDR-SSE 的基于模拟的安全证明。通过广泛的泄露密码分析，我们证实 DDR-SSE 对查询重构攻击具有韧性（即使在“不切实际地”强的攻击假设下）。最后，我们对 DDR-SSE 的原型实现进行了基准测试，表明它能平滑扩展到真实应用中所见规模的大型数据库。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gui.pdf

96. Concretely Efficient Blind Signatures Based on VOLE-in-the-Head Proofs and the MAYO Trapdoor

作者：Carsten Baum and Marvin Beckmann (丹麦技术大学); Ward Beullens (IBM，苏黎世); Shibam Mukherjee (格拉茨工业大学和格拉茨知识中心); Christian Rechberger (格拉茨工业大学和 TACEO，格拉茨)

摘要：

盲签名（Chaum，CRYPTO 82）是许多隐私保护应用（如匿名凭证或电子现金方案）中的重要构建模块。近年来，基于后量子假设（主要是格）构建盲签名引起了浓厚兴趣。虽然性能已有改善，但在计算和通信方面尚无构造达到实用效率。当前最先进的方法在每次向验证者展示基于格的盲签名时，至少需要 20 KB 的通信量，且证明者时间超过 100 ms。

在本工作中，我们提出了一条替代方向，即一个具有后量子合理性的盲签名方案 PoMFRIT。它构建于 VOLE-in-the-head 零知识证明系统（Baum 等，CRYPTO 2023）之上，我们将其与 MAYO 数字签名方案（Beullens，SAC 2021）相结合。我们实现了 PoMFRIT 的多个版本以展示安全性与性能的权衡，并提供了构造的详细基准测试。签名签发对大小为（6.7）KB 的盲签名需要（0.45）KB 的通信量。即使对于具有 128 位安全性的保守构造，展示盲签名也可在 76 ms 以内完成。作为盲签名方案的构建模块，我们实现了首个用于 SHA-3 系列哈希函数的 VOLE-in-the-head 证明，我们认为这具有独立的研究价值。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_baum.pdf

97. Turn Your Face Into An Attack Surface: Screen Attack Using Facial Reflections in Video Conferencing

作者：Yong Huang, Yanzhao Lu, Mingyang Chen, En Zhang, and Jiazi Li (郑州大学); Wanqing Tu (杜伦大学)

摘要：

在视频会议中，人脸是主要的视觉焦点，发挥着增强视觉交流和情感连接的多种作用。然而，我们认为人脸也是一个侧信道，可能在在线视频流中不知不觉地泄露屏幕上的信息。为此，我们进行了可行性研究，结果表明，在环境光和显示器发出的光线照射下，人脸能够反映不同屏幕内容的光学变化。随后，本文提出 FaceTell，一种新型侧信道攻击系统，可在视频会议期间从普遍却微妙的面部反射中窃听细粒度的应用活动。我们在一个真实测试平台上实现了 FaceTell，使用了三个不同品牌的笔记本电脑和四个主流视频会议平台。随后用 24 名受试者在 13 个独特的室内环境中对 FaceTell 进行了评估。凭借超过 12 小时的视频数据，FaceTell 在窃听 28 个流行应用时达到了 99.32% 的高准确率，并对许多实际影响因素具有鲁棒性。最后，我们提出了潜在的对策以缓解这种新型攻击。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_huang-yong.pdf

98. PROBE+DETECT+MITIGATE (PDM): Enabling Cloud Tenants to Self-Defend against Microarchitectural Attacks

作者：Arash Daneshmand (不列颠哥伦比亚大学奥卡纳根分校和康考迪亚大学); Hugo Kermabon-Bobinnec (康考迪亚大学); Lingyu Wang (不列颠哥伦比亚大学奥卡纳根分校和康考迪亚大学); Makan Pourzandi (爱立信安全研究院，爱立信加拿大); Suryadipta Majumdar (康考迪亚大学); Yosr Jarraya (爱立信安全研究院，爱立信加拿大)

摘要：

微架构攻击是公有云环境中的一个关键安全问题，因为它们可能导致利益冲突的云租户之间发生信息泄露。现有解决方案通常需要提供商级资源，如硬件性能计数器或主机进程，这些可能对云租户不可用。云租户缺乏意识可能促使云提供商推迟部署厂商补丁，正如 PRIME+PROBE 和 Spectre 变种等已打补丁但仍活跃的威胁所证明的那样。在本文中，我们提出 PDM，一种使云租户能够独立检测和缓解微架构攻击而无需提供商帮助的解决方案。首先，PDM 引入了基于租户的检测，其基于一个有趣的观察，即使用流行的 FLUSH+RELOAD 攻击技术探测受害者应用的内存空间实际上可以用于检测。其次，PDM 通过在检测时选择性地触发混淆和内存内加密技术来实现高效的基于租户的缓解。第三，我们解决了若干关键挑战，包括（i）不涉及驱逐的攻击（如 Spectre），（ii）对源代码或二进制插桩的需求，（iii）来自受害者或同驻租户的良性噪声，以及（iv）准确性、延迟和开销之间的权衡。我们的实验表明，PDM 使租户能够准确（例如，在我们的测试平台上 TPR ≥99.72% 且 FPR ≤0.13%，在 AWS Fargate 上 TPR ≥98.63% 且 FPR ≤0.83%）、及时（例如，触发缓解有 7ms 的提前时间）、高效（例如，在 SPEC CPU 2017 上开销 ≤2.47%）且鲁棒（对噪声和规避性攻击均如此）地检测和缓解各种微架构攻击，包括 PRIME+PROBE 和 Spectre。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_daneshmand.pdf

99. ARM MTE Performance in Practice

作者：Taehyun Noh (德克萨斯大学奥斯汀分校); Yingchen Wang (加州大学伯克利分校); Tal Garfinkel (谷歌); Mahesh Madhav (Ampere Computing); Daniel Moghimi (谷歌); Mattan Erez and Shravan Narayan (德克萨斯大学奥斯汀分校)

摘要：

我们对 ARM MTE 在四种不同微架构上的硬件性能进行了首次全面分析：Google Pixel 8 和 Pixel 9 上的 ARM Big（A7x）、Little（A5x）和 Performance（Cortex-X）核心，以及 Ampere Computing 的 AmpereOne CPU 核心。我们还包含了对 Apple M5 芯片上 MTE 的初步分析。我们在 MTE 的主要应用——概率性内存安全——上调查了其性能，涵盖 SPEC CPU 基准测试以及 RocksDB、Nginx、PostgreSQL 和 Memcached 等服务器工作负载。虽然 MTE 通常表现出适度的开销，但我们在某些基准测试上也看到了高达 6.64 倍的性能减速。我们识别了这些开销的微架构成因以及未来处理器可以在何处加以解决。随后，我们分析了 MTE 在更专业化安全应用中的性能，如内存追踪、检查时使用时（TOCTOU）防护、沙箱化和 CFI。在其中一些场景下，MTE 如今具有显著优势，而在其他场景下其收益微乎其微或取决于未来的硬件。最后，我们探讨了以往刻画 MTE 性能的工作在何处因方法论或实验误差而不完整或不正确。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_noh.pdf

100. Why Johnny Adopts Identity-Based Software Signing: A Usability Case Study of Sigstore

作者：Kelechi G. Kalu, Sofia Okorafor, and Tanmay Singla (普渡大学); Sophie Chen (卡内基梅隆大学); Santiago Torres-Arias and James C. Davis (普渡大学)

摘要：

软件签名是确保软件供应链中组件完整性和真实性的最稳健方法。传统签名工具给从业者带来了密钥管理和签名者身份识别的负担，造成了可用性挑战和安全风险。新一代签名工具已自动化了许多此类问题，但其可用性及其对实际采用和有效性的影响却知之甚少。可用性评估可以澄清新一代设计的成功程度，并突出改进的优先事项。

为填补这一空白，我们开展了对 Sigstore（新一代签名的先驱且广泛采用的典范）的首次可用性研究。通过对 17 位行业专家的访谈，我们考察了（1）从业者工具选择相关的问题和优势，（2）他们的签名工具使用方式及随时间演变的原因，以及（3）引发可用性问题的场景。我们的发现阐明了新一代签名工具的可用性因素，并为工具制作者、采用组织及研究界提供了建议。值得注意的是，新一代工具的不同组件展现出不同的成熟度和采用就绪程度，集成灵活性是一个常见的痛点，但可通过插件和 API 加以缓解。我们的结果将帮助新一代签名工具制作者进一步加强软件供应链安全。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_kalu.pdf

跳转微信打开

101. Scribe: Low-memory SNARKs via Read-Write Streaming

作者：Anubhav Baweja, Pratyush Mishra, Tushar Mopuri, Karan Newatia, and Steve Wang (宾夕法尼亚大学)

摘要：

简洁非交互式知识论证（SNARK）使证明者能够为任意 NP 声明的有效性生成简短且可高效验证的证明。高效 SNARK 的近期构造激发了在广泛应用中使用它们的兴趣，但遗憾的是，在这些应用中部署 SNARK 面临一个关键瓶颈：即使是中等规模的声明，SNARK 证明者也需要大量的时间和内存来生成证明。尽管在减少证明者时间方面已有进展，但证明者内存仍是一个问题。

在本工作中，我们描述了 Scribe，一种新型低内存 SNARK，能够利用一种丰富但此前未被利用的资源——磁盘存储，即使在智能手机等廉价消费设备上也能高效地证明大规模声明。Scribe 的证明者不将其（大型）中间状态存储在 RAM 中，而是存储在磁盘上。为确保对状态的访问高效，我们在读写流式计算模型中设计了 Scribe 的证明者，使证明者只能以流式方式读取和修改其状态。

我们实现并评估了 Scribe 的证明者，结果表明，在商品硬件上，它可以轻松扩展到具有 228 个门的电路，同时使用不到 750MB 的内存，且与需要更多内存的最先进内存密集型基线（HyperPlonk [EUROCRYPT 2023]）相比，仅产生最小的证明延迟开销（10%）。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_baweja.pdf

102. Identifying Provenance of Generative Text-to-Image Models

作者：Anna Yoo Jeong Ha, Wenxin Ding, Stanley Wu, Shawn Shan, Haitao Zheng, and Ben Y. Zhao (芝加哥大学)

摘要：

微调提供了一种快速且低成本的方式来生成新的文本到图像模型，这些模型往往与从头训练的模型难以区分。遗憾的是，对微调模型的虚假呈现给 AI 公司和用户都带来了问题，既抑制了竞争，又在模型质量及其训练过程的伦理方面误导了用户。

在本文中，我们提出了一种模型溯源系统，仅需黑盒查询访问即可识别通过对现有文本到图像模型微调而生成的模型。我们的设计基于一项分析，即可以通过分析文本到图像模型对详细提示的响应来量化模型之间的特征空间差异。我们的系统分析模型输出，使用通用特征提取器提取视觉特征，并使用 Jensen-Shannon 散度将其分布与基础模型参考池的分布进行比较。随后应用统计假设检验来确定目标模型是从头训练还是微调而成，若为后者，则确定其可能的基础（父）模型。我们在七个广泛使用的扩散模型和众多微调变体上评估了该系统。结果表明，即使在图像后处理或权重扰动等对抗条件下，我们在模型谱系归因方面也具有很高的准确率。最后，我们通过追踪来自流行在线平台的野外模型的溯源，展示了系统在真实世界中的有效性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_ha.pdf

103. Semantics Over Syntax: Uncovering Pre-Authentication 5G Baseband Vulnerabilities

作者：Qiqing Huang and Xingyu Wang (布法罗大学); Wanda Guo and Guofei Gu (德克萨斯A&M大学); Hongxin Hu (布法罗大学)

摘要：

现代5G用户设备（UE）在建立认证与完整性保护之前，会在早期控制面交互过程中处理无线资源控制（RRC）配置消息。以往测试5G UE的工作大多集中于构造语法无效的输入。与此不同，我们证明语法有效但语义不一致的消息——即违反规范级字段约束或跨字段依赖关系的消息——能够将基带实现驱入非法状态，触发断言失败或调制解调器崩溃。这些发现揭示了认证前信令中的语义不一致性是5G UE实现中一个关键但尚未充分研究的攻击面。为弥补这一空白，我们提出约束引导的语义测试框架（Constraint-Guided Semantic Testing，CONSET），该框架系统性地抽取规范级约束，并利用这些约束生成针对性的语义违规以测试5G UE。CONSET将RRC消息解码为结构化字段，推导基于模式的规则，以证据有界的方式利用大语言模型（LLM）推断跨字段依赖关系，并生成语法有效但故意违反语义约束的测试用例。我们在商用与开源5G UE上对CONSET进行了评估。在商用智能手机上，通过负责任披露，它发现了7个此前未知的漏洞，其中包括3个高严重性CVE，影响64款芯片组型号及超过542款商用智能手机型号。在开源OAI UE上，CONSET额外触发了46个不同的崩溃点。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_huang-qiqing.pdf

104. Window-based Membership Inference Attacks Against Fine-tuned Large Language Models

作者：Yuetian Chen, Yuntao Du, and Kaiyuan Zhang (普渡大学); Ashish Kundu (思科研究院); Charles Fleming (思科系统公司); Bruno Ribeiro and Ninghui Li (普渡大学)

摘要：

针对大语言模型（LLM）的大多数成员推断攻击（MIA）依赖全局信号（如平均损失）来识别训练数据。然而，这种方法稀释了细微的、局部化的记忆信号，降低了攻击的有效性。我们对这种全局平均范式提出挑战，认为成员信号在局部上下文中更为显著。我们提出WBC（基于窗口的比较，Window-Based Comparison），通过滑动窗口结合基于符号的聚合来利用这一洞察。该方法在文本序列上滑动不同大小的窗口，每个窗口基于目标模型与参考模型之间的损失比较对成员身份进行二元投票。通过对几何级数间隔的多种窗口尺寸的投票进行集成，我们能够捕获从token级特征到短语级结构的记忆模式。在11个数据集上的大量实验表明，WBC显著优于现有基线方法，在低误报率阈值下取得更高的AUC分数，并将检测率提升2–3倍。我们的发现表明，聚合局部证据从根本上比全局平均更为有效，揭示了微调LLM中严重的隐私漏洞。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-yuetian.pdf

105. Digital Risks and Coping Practices among Roblox Game Creators

作者：Qiurong Song, Rie Helene (Lindy) Hernandez, Xinning Gui, and Yubo Kou (宾夕法尼亚州立大学)

摘要：

作为创作者经济日益增长的一部分，Roblox等游戏平台使数以百万计的用户能够设计、发布、推广并变现游戏。然而，在这些机遇之外，此类平台上的创作者也面临重大的安全、隐私与安保风险。尽管已有研究考察了社交媒体平台内容创作者面临的网络风险，但我们对游戏创作者的风险格局所知甚少。为弥补这一空白，我们访谈了20位Roblox创作者，以了解他们如何感知、经历并应对数字风险。我们的分析揭示了五类风险——平台、生产、组织、社区与技术——可能危及Roblox游戏创作者的情感、身体、人际关系及财务安全。我们还识别出诸如争取更公平报酬、寻求社区支持等应对策略。最后，我们提出了加强游戏创作者保护的建议。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_song-qiurong.pdf

106. Paper Title Under Embargo

（标题处于禁运状态，将在 USENIX Security 2026 会议开幕首日公开）

作者：Sam Crow (加州大学圣地亚哥分校); Stephen Checkoway (欧柏林学院); Patrick Mercier, Pat Pannuto, Stefan Savage, and Aaron Schulman (加州大学圣地亚哥分校)

107. SoK: Attack and Defense Landscape of Agentic AI Systems

作者：Juhee Kim (加州大学伯克利分校和首尔国立大学); Wenbo Guo (加州大学圣巴巴拉分校); Dawn Song (加州大学伯克利分校)

摘要：

将大语言模型与非AI工具组件集成的AI智能体（AI agents）正快速涌现于现实应用中，提供了前所未有的自动化能力与灵活性。然而，这种灵活性引入了与传统软件系统不同的复杂安全挑战。在本文中，我们首次对AI智能体安全进行了全面的知识系统化梳理，分析了安全AI智能体系统的设计空间、攻击面与防御机制。此外，我们识别了这一新兴领域未来研究的开放性挑战。我们的工作为理解AI智能体安全风险与防御策略提供了首个系统性框架，可作为构建安全智能体系统并推进该关键领域研究的基础。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_kim-juhee-agentic.pdf

108. Network-Level Prompt and Trait Leakage in Local Research Agents

作者：Hyejun Jeong, Mohammadreza Teymoorianfard, Abhinav Kumar, Amir Houmansadr, and Eugene Bagdasarian (马萨诸塞大学阿默斯特分校)

摘要：

我们表明，Web与研究智能体（Web and Research Agents，WRA）——即基于语言模型、在互联网上调查复杂主题的系统——容易受到被动网络观察者的推断攻击。组织和个人出于隐私、法律或财务目的在本地部署WRA，使其暴露于DNS解析器、恶意ISP、VPN、Web代理以及企业或政府防火墙。然而，与人类偶发且稀疏的网页浏览不同，WRA对每个请求会访问70-140个域名，并具有独特的时序模式，从而产生独特的隐私风险。

具体而言，我们针对WRA演示了一种新型的提示词与用户特征泄露攻击，该攻击仅利用其网络级元数据（即访问的IP地址及其时序）。我们首先基于真实用户搜索查询和合成人格生成的查询，构建了一个新的WRA轨迹数据集。我们定义了一种行为度量指标（称为OBELS），以全面评估原始提示词与推断提示词之间的相似度，结果表明我们的攻击可恢复用户提示词中超过73%的功能与领域知识。扩展到多会话场景，我们以高准确率恢复了32个潜在特征中的最多19个。我们的攻击在部分可观测和含噪条件下仍然有效。最后，我们讨论了限制域名多样性或混淆轨迹的缓解策略，表明这些策略在效用影响可忽略的同时，将攻击有效性平均降低29%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_jeong.pdf

109. NOIR: Privacy-Preserving Generation of Code with Open-Source LLMs

作者：Khoa Nguyen (新泽西理工学院); That Khiem Ton (新泽西理工学院); NhatHai Phan (新泽西理工学院); Issa Khalil (哈马德·本·哈利法大学); Khang Tran and Cristian Borcea (新泽西理工学院); Ruoming Jin (肯特州立大学); Abdallah Khreishah (新泽西理工学院); My T. Thai (佛罗里达大学)

摘要：

尽管大语言模型（LLM）驱动的代码生成能够提升软件开发效能，但由于服务提供商（云）能观察到客户端的提示词与生成代码，而在商业系统中这些内容可能属于专有资产，因此引入了知识产权与数据安全风险。为缓解这一问题，我们提出NOIR，这是首个保护客户端提示词与生成代码免受云端窥探的框架。NOIR在客户端使用编码器与解码器，对提示词的嵌入进行编码并发送至云端，从LLM获取增强后的嵌入，再在客户端本地解码生成代码。由于云端可能利用嵌入推断提示词与生成代码，NOIR引入了一种新机制来实现不可区分性——一种在token嵌入级别、针对提示词与代码所用词汇的本地差分隐私保护，并在客户端使用数据无关的随机化分词器。这些组件可有效防御诚实但好奇的云端发起的重建攻击与频率分析攻击。基于开源LLM的大量分析与结果表明，NOIR在多项基准上显著优于现有基线方法，包括Evalplus（MBPP与HumanEval，Pass@1分别为76.7和77.4）以及BigCodeBench（Pass@1为38.7，仅比原始LLM下降1.77%），同时在强隐私保护下抵御攻击。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_nguyen.pdf

110. BADControl: Backdoor Attacks Against Control Systems

作者：Luis Burbano (加州大学圣克鲁兹分校); Hampei Sasahara (东京科学大学); Ruoyu Song and Z. Berkay Celik (普渡大学); Alvaro A. Cardenas (加州大学圣克鲁兹分校)

摘要：

我们提出BADCONTROL，这是首个使用物理触发器针对低级控制器的后门攻击。该攻击通过污染运行数据来植入漏洞，该漏洞可由来自环境的外部信号激活，例如自动驾驶应用中的特定驾驶操作或对抗性路面补丁。BADCONTROL通过使用投影梯度上升来修改数据，求解一个约束优化问题，使受控系统在目标频率处的频率响应最大化。该方法不同于针对深度学习（DL）与强化学习（RL）模型的后门攻击，后者操纵的是高维模型输入或奖励函数。我们还提出了两种防御方法：一种基于正则化，另一种基于鲁棒优化，用于限制触发器信号的最坏情况放大。这是通过一种专门的数学变换，将无限多种污染场景转化为单一可处理的优化问题来实现的。我们在比例-积分-微分（PID）控制器与线性二次型调节器（LQR）上通过仿真和物理实验对BADCONTROL进行了评估。在自适应巡航控制场景中，我们实现了100%的碰撞率；而在车道保持控制中，后门使受害车辆62%地驶入对向车道，而无后门时这两种情况均为0%。作为对比，面向自动驾驶车辆的最先进证伪框架在30次试验中仅识别出一次碰撞实例，凸显了本攻击的隐蔽性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_burbano.pdf

111. Can we estimate privacy vulnerability of individual records? Towards Mitigating Attribute Inference Attacks on ML Models

作者：Ehsanul Kabir and Najrin Sultana (宾夕法尼亚州立大学); Ninghui Li (普渡大学); Shagufta Mehnaz (宾夕法尼亚州立大学)

摘要：

机器学习（ML）为各行各业带来了变革性应用，包括医疗保健、金融与客户分析等敏感领域。然而，ML模型容易发生隐私泄露，尤其是通过属性推断与模型反演攻击，这引发了对隐私关键领域数据保密性的担忧。现有防御所追求的目标远比专门防止属性推断攻击造成的隐私泄露更为宽泛，因而往往无法在不带来显著效用损失的情况下提供细粒度、感知脆弱性的保护。受此需求驱动，我们首先通过NeighVE——一种位于攻击方、旨在识别哪些个体记录更易受到推断的工具——研究记录级脆弱性估计。NeighVE揭示的洞察表明，记录级隐私泄露风险在很大程度上与模型架构和攻击策略无关，而是由数据集级特征决定，尤其是每条记录局部邻域内敏感属性的分布。基于这一洞察，我们提出VESL，一种受子空间学习启发的防御方法，可在将效用损失降至最低的同时缓解属性推断泄露。作为其平衡机制的副产品，VESL还改善了敏感属性间的公平性，并使NeighVE无法可靠地识别脆弱记录。作为辅助贡献，我们引入AttriVET，这是一种在多种场景下以超过90%的准确率预测哪些个体记录具有脆弱性的估计器，可支持感知风险的防御设计与审计。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_kabir.pdf

112. Lethe: Purifying Backdoored Large Language Models with Knowledge Dilution

作者：Chen Chen (南洋理工大学); Yuchen Sun and Jiaxin Gao (武汉大学); Xueluan Gong (南洋理工大学); Qian Wang (武汉大学); Ziyao Liu, Yongsen Zheng, and Kwok-Yan Lam (南洋理工大学)

摘要：

大语言模型（LLM）取得了显著进展，在各类自然语言处理（NLP）任务中实现了卓越性能。然而，它们仍然容易受到后门攻击：在标准查询下模型表现正常，但当特定触发器被激活时会生成有害响应或非预期输出。现有后门防御在实践中要么缺乏全面性（仅关注狭窄的触发器设置、仅检测机制以及有限领域），要么无法抵御基于模型编辑、多触发器以及无触发器攻击等高级场景。在本文中，我们提出LETHE，一种通过知识稀释利用内部与外部机制消除LLM后门行为的新方法。在内部，LETHE利用一个轻量级数据集训练一个干净模型，随后将其与后门模型合并，通过在模型的参数化记忆中稀释后门影响来中和恶意行为。在外部，LETHE将与语义相关的良性证据融入提示词，以分散LLM对后门特征的注意力。在5个广泛使用的LLM上、跨分类与生成领域的实验结果表明，LETHE在抵御8种后门攻击时优于8种最先进的防御基线。LETHE将高级后门攻击的攻击成功率最高降低98%，同时保持模型效用。此外，LETHE已被证明高效且对自适应后门攻击具有鲁棒性。代码发布于https://github.com/Xxxxsir/Lethe。免责声明：本文包含可能具有冒犯性的内容。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-chen.pdf

113. Distributed Synthesis of Differentially Private Tabular Datasets

作者：Yucheng Fu (弗吉尼亚大学); Tianyao Gu and Elaine Shi (卡内基梅隆大学); Tianhao Wang (弗吉尼亚大学)

摘要：

差分隐私合成数据生成已成为一种在共享数据的同时保护个人隐私的强大工具。然而，当敏感数据的属性分布在多个实体（如医院、公司或政府机构）之间时，准确生成合成数据变得颇具挑战。尤其是，在未汇集整个私有数据集的情况下，难以捕获有信息量的统计相关性并利用其指导数据合成。为应对这一挑战，我们提出了一种面向分布式环境下差分隐私表格数据合成的安全多方计算协议。该协议包含两个新原语。第一个是利用分布式点函数高效估计垂直分布数据上二路边缘分布（属性的两两联合分布）的协议。第二个是通过在累积分布函数表中进行批量查找来生成噪声的协议。作为具体示范，我们构建了AIM（一种最先进的差分隐私数据合成算法）的分布式版本。我们的实现在达到与其集中式版本相同效用的同时，相比以往工作将端到端运行时间降低了数个数量级。例如，在真实广域网（WAN）环境中，我们能在24分钟内合成"Adult"数据集，而现有协议据估计需要57天。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_fu.pdf

114. Trustworthy and Confidential SBOM Exchange

作者：Eman Abu Ishgair and Chinenye Okafor (普渡大学); Marcela S. Melara (英特尔公司); Santiago Torres-Arias (普渡大学)

摘要：

软件物料清单（SBOM）已成为一项监管要求，通过提供构成软件工件的组件的透明度来提升软件供应链安全与信任。然而，企业及受监管的软件供应商通常希望限制谁能查看其SBOM中记录的机密软件元数据，因为这些信息涉及知识产权或安全漏洞信息。为解决透明度与机密性之间的这一矛盾，我们提出Petra——一种SBOM交换系统，使软件供应商能够利用选择性加密，以可互操作的方式组合并分发经脱敏处理的SBOM数据。Petra使软件消费者能够在脱敏SBOM中搜索特定安全问题的答案，而不会泄露其未获授权访问的信息。Petra利用一种格式无关、防篡改的SBOM表示来生成高效且保护机密性的完整性证明，使相关方能对脱敏SBOM进行密码学审计并建立信任。在我们的Petra原型中，交换脱敏SBOM每份SBOM仅需不到1KB的额外开销，且SBOM解密在SBOM查询期间最多占1%的性能开销。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_ishgair.pdf

115. Libra: Pattern-Scheduling Co-Optimization for Cross-Scheme FHE Code Generation over GPGPU

作者：Song Bian, Yintai Sun, Zian Zhao, and Haowen Pan (北京航空航天大学); Mingzhe Zhang (无隶属单位); Zhenyu Guan (北京航空航天大学)

摘要：

我们提出Libra，一种面向高并行计算架构、自动实现跨方案全同态加密（FHE）高效代码生成的编译器框架。虽然已知在单一应用中利用多种FHE方案可提升整体效率，但将跨方案FHE算子精确映射到通用图形处理器（GPGPU）等高性能架构上仍具挑战。为应对该挑战，Libra整合了FHE计算模式与硬件感知调度策略，构建了一个算法-硬件协同优化框架。具体而言，Libra为FHE定义了一种新颖的跨方案表示，抽象出每种FHE方案的通用程序模式。随后，我们基于从多种方案切换模式推导的FHE原语组合执行成本，对输出的FHE程序进行动态优化。接着，为加速GPU上的算子间执行，Libra引入一种将高层计算特征与低层执行计划相衔接的计算调度策略。通过所提出的模式-调度协同优化过程，Libra为GPGPU上的跨方案高精度FHE计算生成高效代码。实验结果表明，与最先进的跨方案工作相比，Libra在微基准上实现高达270倍加速，在应用上实现19倍加速，同时将计算单元和内存带宽利用率分别提升44%和36.1%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_bian.pdf

116. Efficient and High-Accuracy Secure Two-Party Protocols for a Class of Functions with Real-number Inputs

作者：Hao Guo and Zhaoqian Liu (香港中文大学（深圳）); Liqiang Peng (阿里巴巴集团); Shuaishuai Li (中关村实验室); Ximing Fu (香港中文大学（深圳）); Weiran Liu and Lin Qu (阿里巴巴集团)

摘要：

在两方秘密分享方案中，数值通常被编码为无符号整数uint(x)，而现实应用常常需要对带符号实数Real(x)进行计算。为实现实用函数的安全求值，必须能够从共享输入计算Real(x)，因为协议以份额作为输入。在USENIX'25上，Guo等人提出了一种从份额高效计算带符号整数值int(x)的方法，可扩展用于计算Real(x)。然而，其方法对 x ∈ ZL 施加了严格的输入约束 |x| < L⁄3，限制了其在现实场景中的适用性。在本工作中，我们将该约束显著放宽为对任意 B ≤ L⁄2 的 |x| < B，其中 B = L⁄2 对应 x ∈ ZL 中的自然可表示范围。这放宽了限制，使得在宽松或无输入约束下计算Real(x)成为可能。在此基础之上，我们提出了一个通用框架，用于为一大类函数设计安全协议，包括整数除法（x⁄d的下取整）、三角函数（sin(x)）以及指数函数（e-x）。我们的实验评估表明，所提协议兼具高效率与高精度。值得注意的是，我们用于求值e-x的协议将通信开销降低至约SirNN（S&P'21）与Bolt（S&P'24）的31%，运行时分别加速达5.53倍和3.09倍。在精度方面，我们的协议最大ULP误差为1.435，而SirNN为2.64、Bolt为8.681。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_guo-hao.pdf

117. CompLeak: Deep Learning Model Compression Exacerbates Privacy Leakage

作者：Na Li (南京理工大学网络空间安全学院（中国）); Yansong Gao (东南大学网络空间安全学院（中国）); Hongsheng Hu (上海交通大学计算机科学学院（中国）); Boyu Kuang (南京理工大学网络空间安全学院（中国）); Anmin Fu (南京理工大学网络空间安全学院（中国）以及南京理工大学计算机科学与工程学院（中国）)

摘要：

模型压缩对于最小化深度学习（DL）模型的内存占用并加速推理至关重要。用户可根据自身资源与预算获取不同版本的压缩模型。然而，尽管现有压缩操作主要关注资源效率与模型性能之间的权衡，但压缩所引入的隐私风险却仍被忽视且未被充分理解。

在本工作中，针对典型的分类任务，我们从成员推断攻击（MIA）的视角提出CompLeak，这是首个隐私风险评估框架，考察了三种广泛使用的压缩配置——剪枝、量化和权重聚类——这三种配置均由谷歌TensorFlow-Lite（TF-Lite）商业模型压缩框架支持，前两种还由Facebook的PyTorch Mobile和微软NNI开源工具包支持。根据可获取的压缩模型数量和/或原始模型的可用性，CompLeak有三种变体。CompLeakNR首先采用现有MIA方法攻击每个单独的压缩模型，并发现不同压缩模型对成员与非成员的影响不同。当原始模型和一个压缩模型可用时，CompLeakSR将该压缩模型作为原始模型的参考，并通过结合两个模型的元信息（如置信度向量）揭示更多隐私。当多个压缩模型可用（无论是否可访问原始模型）时，CompLeakMR创新性地利用多个压缩版本的隐私泄露信息，显著放大整体隐私泄露。我们在六种多样的模型架构（从ResNet到BERT和GPT-2）以及五个图像与文本基准数据集上进行了大量实验。实验结果表明，CompLeakMR在包括0.1%误报率下的真阳性率（TPR）在内的所有评估指标上均取得最佳MIA性能，证明模型压缩加剧了隐私泄露。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_li-na.pdf

118. TAT: Attesting Trajectory Integrity of Industrial Robotic Arms

作者：Chengtao Yao, Chengcheng Zhao, Peng Cheng, and Jiming Chen (浙江大学)

摘要：

工业机械臂是现代制造的核心，在关键领域得到广泛部署。运动是首要的安全关切，因为它是机械臂的基本能力，而对抗性操纵（例如篡改生产逻辑、定位或动力学）可能导致产品缺陷或物理损坏。远程证明是一种有前景的执行完整性验证机制。然而，现有方法侧重于控制流或数据流属性，未能捕获运动语义，限制了其充分验证机械臂物理执行的能力。

本文提出轨迹完整性（Trajectory Integrity，TI）作为一种新的安全属性，确保机械臂的运动符合其预期路径。为实施TI，我们设计了TAT，一个最小侵入式的证明框架，利用定时运动事件图（Timed Motion Event Graph）捕获运动语义，并结合事件测量与关节测量来验证实际运动。我们在开源机械臂平台上实现了TAT的软硬件原型。在真实任务程序上的评估表明，TAT至多带来2.30%的内存开销和0.14%的执行时间开销，证明了其性能与实用性。此外，我们在多种与运动相关的参数修改下评估了其证明能力，证实了其在轨迹完整性证明中的有效性。

PDF：暂未公开（论文处于禁运状态，PDF 将在 USENIX Security 2026 会议开幕首日发布）

119. VidLeaks: Membership Inference Attacks Against Text-to-Video Models

作者：Li Wang and Wenyu Chen (山东大学); Ning Yu (Eyeline Labs); Zheng Li and Shanqing Guo (山东大学)

摘要：

在海量网络规模数据集上训练的强大文本到视频（Text-to-Video，T2V）模型的激增，引发了关于版权与隐私侵犯的紧迫关切。成员推断攻击（MIA）为审计此类风险提供了一种规范化的工具，但现有技术针对图像或文本等静态数据设计，无法捕获视频生成的时空复杂性。尤其是，它们忽视了关键帧中记忆信号的稀疏性，以及随机时序动态所引入的不稳定性。

在本文中，我们首次对针对T2V模型的MIA进行系统性研究，并引入一个新颖的框架VidLeaks，通过两种互补信号探测稀疏时序记忆：1）空间重建保真度（Spatial Reconstruction Fidelity，SRF），利用Top-K相似度从稀疏记忆的关键帧中放大空间记忆信号；2）时序生成稳定性（Temporal Generative Stability，TGS），通过测量多次查询间的语义一致性来捕获时序泄露。我们在三种逐步受限的黑盒设置下——有监督、基于参考和仅查询——对VidLeaks进行了评估。在三个代表性T2V模型上的实验揭示了严重的脆弱性：即便在最严格的仅查询设置下，VidLeaks在AnimateDiff上达到82.92%的AUC，在InstructVideo上达到97.01%的AUC，构成一种现实且可利用的隐私风险。我们的工作提供了首个具体证据，表明T2V模型会通过稀疏记忆与时序记忆泄露大量成员信息，为审计视频生成系统奠定了基础，并推动了新防御方法的开发。代码获取地址：https://zenodo.org/records/17972831。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wang-li.pdf

120. When Fun Turns Toxic: A First Look at Aggressive Advertising in Mini-games

作者：Pei Chen, Geng Hong, Yicheng Qin, Huazhe Wang, Mengying Wu, and Min Yang (复旦大学); Ziru Zhao, Yuanpeng Zhu, and Tao Su (vivo移动通信有限公司)

摘要：

小游戏已成为超级应用生态系统中的主导范式，使休闲游戏等轻量级服务能够瞬间触达数百万用户。虽然官方广告接口简化了变现流程，但集成的便捷性和监管的不足导致了激进且具有潜在欺骗性的广告行为，严重降低了用户体验。激进广告虽然不是恶意软件，但仍然通过滥用合法API来绕过审核、操纵用户交互并破坏平台信任，从而颠覆平台安全边界，构成系统性安全风险而非单纯的策略违规。

在本工作中，我们对小游戏中的激进广告进行了首次系统性安全分析。我们分析了九个小游戏平台的平台策略和开发者能力，并刻画了激进广告行为。我们进一步设计了一个可扩展的检测框架MAAD，并在三大主要平台（即微信、Facebook Instant Games和Quickgame）上进行了大规模测量，揭示了49.95%的小游戏存在激进广告，包括拥有超过10万用户评价的高人气作品。我们的分析进一步揭示了它们的破坏性行为模式，如游戏特定触发器、过度的弹窗频率和误导性策略，以及对抗性绕过技术。这些发现表明，激进广告构成了一种由当前执行机制结构性盲点所助长的广泛平台滥用形式。我们为加强平台治理、检测和长期生态韧性提供了可操作的建议。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chen-pei.pdf

121. When Memory Becomes a Vulnerability: Towards Multi-turn Jailbreak Attacks against Text-to-Image Generation Systems

作者：Shiqian Zhao (南洋理工大学); Jiayang Liu (南洋理工大学和东京科学大学（日本）); Yiming Li, Runyi Hu, and Xiaojun Jia (南洋理工大学); Wenshu Fan (电子科技大学); Xiaobao Wu and Xinfeng Li (南洋理工大学); Jie Zhang (新加坡科技研究局（A*STAR）CFAR与IHPC); Wei Dong and Tianwei Zhang (南洋理工大学); Luu Anh Tuan (南洋理工大学和VinUniversity)

摘要：

现代文本到图像（T2I）生成系统（如DALL·E 3）利用记忆机制，在多轮交互中捕获关键信息以实现忠实的生成。尽管这一机制具有实用性，但对其安全分析远远滞后。在本文中，我们揭示了它可能加剧越狱攻击的风险。以往的攻击将不安全的目标提示融合为一个终极对抗提示，这很容易被检测到，或者由于解毒不足或过度而导致生成非不安全的图像。相比之下，我们提出在聊天会话开始时将恶意意图嵌入记忆中，从而解决上述局限性。

具体而言，我们提出了Inception，这是首个针对真实世界文本到图像生成系统的多轮越狱攻击，明确利用其记忆机制。Inception由两个关键模块组成：分割和递归。我们引入了Segmentation，一种保持语义的方法，可生成多轮提示。通过利用NLP分析技术，我们设计了策略，根据句子结构分解提示及其恶意意图，从而规避安全过滤器。递归进一步解决了无法通过简单分割分离的不安全子提示所带来的挑战。它首先扩展子提示，然后递归地调用分割。为便于多轮对抗提示的构建，我们构建了VisionFlow，一个集成了两阶段安全过滤器和工业级记忆机制的T2I仿真系统。实验结果表明，Inception成功诱导不安全图像的生成，在攻击成功率上以20.0%的优势超越了SOTA。我们还在真实的商业T2I生成平台上进行了实验，进一步验证了Inception在实际中的威胁。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhao-shiqian.pdf

122. SoK: Security of Cyber-physical Systems Under Intentional Electromagnetic Interference Attacks

作者：Qinhong Jiang (香港理工大学); Yan Long (香港科技大学（广州）); Youqian Zhang (香港理工大学); Chen Yan and Xiaoyu Ji (浙江大学); Xiapu Luo (香港理工大学); Kevin Fu (东北大学); Jiannong Cao (香港理工大学); Wenyuan Xu (浙江大学)

摘要：

故意电磁干扰（IEMI）攻击通过伪造计算机系统中的电信号——物理世界与数字世界之间的网关——已成为网络物理系统中日益普遍和具有破坏性的威胁，因其能够破坏或控制广泛的安全攸关和安全关键应用。现有的IEMI攻击研究通常高度针对特定设备，并利用分散且缺乏充分比较的攻击向量。缺乏基于模型的统一IEMI漏洞理解，既阻碍了可迁移的安全评估，也阻碍了面向可部署保护的有效跨学科合作。为弥补这一差距，本工作分析了80余个IEMI攻击与防御实例，提供了一个分析框架，建模对手如何实现IEMI耦合和样本操纵，以注入改变硬件行为并影响软件执行的恶意电磁能量。主要目标是推动该领域超越对脆弱实例的穷举式经验发现，转向适用于现有和未来网络物理系统的深入理论分析和主动防御策略。除了识别当前IEMI攻击与防御研究中的空白外，本工作还针对不同利益相关者群体的需求和角色，概述了未来工作的重要方向。为促进IEMI攻击的未来研究，我们在https://iemi-research-database.github.io/上发布并维护一个开源的IEMI研究数据库。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_jiang-qinhong.pdf

123. Fend for Yourself! Backdoor Purification in Federated Graph Learning with an Evolving Knowledge Anchor

作者：Chengcheng Zhu and Yunlong Mao (南京大学); Jiale Zhang and Bosen Rao (扬州大学); Sheng Zhong (南京大学)

摘要：

联邦图学习（FedGL）在保护隐私的同时实现了去中心化图数据的协作训练，但其分布式特性使其极易受到后门攻击。这些攻击通过注入恶意触发器来危害全局模型的完整性。然而，现有的防御方法在复杂图数据上往往无效，或依赖于可信服务器，与现代隐私保护技术产生架构冲突。为克服这些局限性，我们提出了GBHINDER，一种新颖且实用的无需可信服务器的防御框架，其中每个良性参与者自我防御。GBHINDER建立了一个良性循环：它利用自身可信的历史知识作为良性锚点来净化下载的全局模型，反过来，选择性地吸收全局模型的良性知识以逐步演化锚点本身。具体而言，这一循环由两个关键组件驱动。历史通道注意力正则化模块利用锚点约束全局模型的表示并破坏后门传播。为解决局部信任与全局协作之间的张力，自适应动量信息更新机制通过动态整合鲁棒的全局信息使锚点安全演化，确保锚点在联邦迭代中保持有效。在多个基准数据集上的大量实验表明，GBHINDER显著优于最先进（SOTA）的防御方法，成功将后门攻击成功率降至10%以下，同时在主任务上保持高准确率。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhu-chengcheng.pdf

124. InstantOMR: Oblivious Message Retrieval with Low Latency and Optimal Parallelizability

作者：Haofei Liang (上海交通大学); Zeyu Liu (耶鲁大学); Eran Tromer (波士顿大学); Xiang Xie (Primus Labs); Yu Yu (上海交通大学)

摘要：

不经意消息检索（OMR）解决了匿名消息系统和私有区块链中昂贵的消息检索过程。它使资源受限的接收方能够将消息的检测和检索外包，同时保护隐私。

本工作提出了InstantOMR，一种新颖的OMR方案，在混合设计中将TFHE功能引导与标准RLWE操作相结合。InstantOMR专门针对低延迟和高并行性进行了优化。我们使用Primus-fhe库（以及基于TFHE-rs的估算）的实现表明，InstantOMR具有以下关键优势：

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_liang.pdf

125. Cracks in the Walled Garden: Dissecting the Gray-Market of Unauthorized iOS App Distribution via Ad Hoc Sideloading

作者：Yijing Liu, Yiming Zhang, Baojun Liu, and Haixin Duan (清华大学和BNRist)

摘要：

Apple实施严格的代码签名，并要求通过其官方App Store分发应用。尽管如此，未授权应用仍通过侧载渠道传播。最初为开发者测试设计的Ad Hoc配置机制已成为其中一个渠道。它利用个人开发者证书和用户端签名，实现绕过Apple应用审核流程的未授权应用安装。随着时间的推移，这一做法已演变为一个结构化且普遍的灰色市场，连接了证书倒卖、第三方签名工具和未签名.ipa文件的分发。在本工作中，我们对这一市场进行了首次系统性研究，特别关注其在中国的一体化服务运营。通过以用户为中心的数据收集策略，我们识别了3,359个活跃的证书兑换签名站点，逆向分析了12款签名工具，并获取了8,216个分发的.ipa条目。我们的分析揭示了一个多层证书流通模型，转售利润率高达3,000%，并揭示了签名工具在代码签名中常用的技巧。大多数分发的应用是合法应用的修改版本，利用动态库注入来实现定制功能。此类修改破坏了应用和系统为用户提供的安全保护，使用户面临未授权操作、敏感数据外泄和系统能力利用等风险。总体而言，我们的发现揭示了一个成熟的灰色市场，它在公开运营的同时侵蚀iOS的信任模型，凸显了多方利益相关者进行针对性干预的必要性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_liu-yijing.pdf

126. ZipPIR: High-throughput Single-server PIR without Client-side Storage

作者：Rasoul Akhavan Mahdavi, Abdulrahman Diaa, and Florian Kerschbaum (滑铁卢大学)

摘要：

私有信息检索（PIR）允许客户端在不泄露访问哪个元素的情况下私密地访问数据库。基于Ring Learning with Errors（RLWE）的早期PIR协议证明了PIR的实用性，但吞吐量有限。另一种选择是，高吞吐量协议利用一个需要大量客户端存储的离线阶段（如SimplePIR中的提示），或在离线阶段产生高昂的通信成本（如Piano）。这些局限性与资源受限客户端的实际约束相冲突，并且在动态数据库中进一步加剧，因为更新需要昂贵的提示重新生成和重传。

为应对这些挑战，我们提出了ZipPIR，一种高吞吐量PIR协议，将LWE密文压缩为显著更小的Paillier密文。ZipPIR利用离线阶段实现这种大小缩减，而不会在在线阶段产生相关计算成本。此外，在计算假设下，ZipPIR具有几乎静默的离线阶段，除初始公钥外不需要任何通信，使服务器能够在空闲时独立生成和更新提示，无需客户端交互。ZipPIR实现超过2 GB/s的吞吐量——可与SimplePIR等最先进协议相媲美——且无需客户端存储大型提示。对于1 GB数据库上的PIR，ZipPIR的吞吐量比无客户端存储的现有协议高出10倍，同时每客户端只需不到200 KB的服务器端存储，显著提升了实际部署的可扩展性。虽然此前使用Paillier的PIR协议效率很低，但ZipPIR是首个使用Paillier实现与最先进PIR协议相竞争吞吐量的PIR协议。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_mahdavi.pdf

127. Provable Secure Steganography Based on Adaptive Dynamic Sampling

作者：Kaiyi Pang and Minhao Bai (清华大学)

摘要：

由于广泛的监控，私密通信的安全日益面临风险。隐写术是一种将秘密消息嵌入无害载体中的技术，可在受监控的信道上实现隐蔽通信。可证明安全隐写术（PSS）确保正常模型输出与隐写输出之间的计算不可区分性，是该领域最先进的技术。然而，当前的PSS方法通常需要获取模型的显式分布。在本文中，我们提出了一种可证明安全的隐写方案，仅需一个接受种子作为输入的模型API。我们的核心机制涉及采样候选token集合并构建从可能的消息比特串到这些token的映射。通过将该映射应用于真实秘密消息来选择输出token，这可证明地保持了原始模型的分布。为确保正确解码，我们处理了多个候选消息映射到同一token的冲突情况，通过在有界大小范围内维护和策略性地扩展动态冲突集来实现。对三个真实世界数据集和三个大语言模型的广泛评估表明，我们基于采样的方法在效率和容量上与现有PSS方法相当。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_pang.pdf

128. Arguzz: Testing zkVMs for Soundness and Completeness Bugs

作者：Christoph Hochrainer (维也纳工业大学); Valentin Wüstholz (Diligence Security); Maria Christakis (维也纳工业大学)

摘要：

零知识虚拟机（zkVM）越来越多地部署在去中心化应用和区块链rollup中，因为它们能够实现可验证的链下计算。这些VM执行通用程序（通常用Rust编写），并产生简洁的密码学证明。然而，zkVM非常复杂，其约束系统或执行逻辑中的漏洞可能导致严重的健全性（接受无效执行）或完备性（拒绝有效执行）问题。

我们提出了ARGUZZ，首个用于测试zkVM健全性和完备性漏洞的自动化工具。为检测此类漏洞，ARGUZZ将蜕变测试的新颖变体与故障注入相结合。具体而言，它生成语义等价的程序对，将其合并为具有已知输出的单个Rust程序，并在zkVM中运行。通过向VM注入故障，ARGUZZ模拟恶意或有漏洞的证明者，以揭露过于薄弱的约束。

我们使用ARGUZZ测试了六个真实的zkVM——RISC Zero、Nexus、Jolt、SP1、OpenVM和Pico，并在其中三个中发现了11个漏洞。一个RISC Zero漏洞获得了50,000美元的赏金，尽管此前已有审计，这证明了对zkVM进行系统性测试的关键必要性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_hochrainer.pdf

129. kSFS: Repurposing a Microkernel-like Interface for Fast and Secure In-Kernel Linux File Systems

作者：Dinglan Peng and Pedro Fonseca (普渡大学)

摘要：

文件系统被广泛使用且至关重要，但以复杂著称，是操作系统中漏洞的主要来源。最近的工作提出了引入内核内沙箱技术来隔离包括文件系统在内的内核组件。然而，一个定义良好且安全的边界——即所有不可信和可信内核组件之间的交互都应根据强威胁模型进行验证——往往被忽视。这种安全边界的缺乏尤其适用于Linux文件系统，它们依赖庞大且复杂的接口，并与VFS和块设备等许多内核子系统交互。定义这样的接口是沙箱化内核文件系统的具有挑战性的前提条件。

我们用kSFS解决了这一挑战，这是一个内核内沙箱文件系统框架。kSFS将FUSE协议（一种最初为Linux用户空间文件系统设计的类微内核接口）重新用作不可信沙箱内核文件系统的安全接口，具有强隔离保证。此外，kSFS将WebAssembly泛化到内核空间作为通用沙箱机制，并以最小的移植工作量实现与现有用户空间文件系统实现的兼容性。例如，使用kSFS将NTFS和exFAT实现从用户空间移植只需修改不到300行代码。在实现比Linux文件系统实现更好的安全性和可靠性的同时，kSFS实现了显著优于用户空间对应方案的性能。对于真实应用tar和RocksDB，kSFS的NTFS实现分别比用户空间基线性能高出29%和60倍，且仅比不安全的Linux实现性能低0%到52%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_peng-dinglan.pdf

130. Sirens' Whisper: Inaudible Near-Ultrasonic Jailbreaks of Speech-Driven LLMs

作者：Zijian Ling (华中科技大学和清华大学); Pingyi Hu, Xiuyong Gao, and Xiaojing Ma (华中科技大学); Man Zhou (华中科技大学和清华大学); Jun Feng and Songfeng Lu (华中科技大学); Dongmei Zhang and Bin Benjamin Zhu (微软公司)

摘要：

语音驱动的大语言模型（LLM）越来越多地通过语音接口访问，通过开放的声学信道引入了新的安全风险。我们提出了Sirens' Whisper（SWhisper），首个在现实黑盒条件下使用商用硬件对语音驱动LLM进行隐蔽基于提示攻击的实用框架。SWhisper能够在商用设备上实现任意目标基带音频（包括长而结构化的提示）的鲁棒、不可闻传输，方法是将其编码为近超声波形，在声学传输和麦克风非线性后忠实地解调。这通过一种简单而有效的方法来建模跨设备和环境的非线性信道特性，并结合轻量级信道反转预补偿来实现。在此高保真隐蔽信道的基础上，我们设计了一种语音感知的越狱生成方法，确保在语音驱动接口下的可懂度、简洁性和可迁移性。在商业和开源语音驱动LLM上的实验展示了强大的黑盒有效性。在商业模型上，SWhisper实现了高达0.94的不拒绝率（NR）和0.925的特定说服力（SC）。一项受控用户研究进一步表明，注入的越狱音频对于人类听者在感知上与纯背景播放无法区分。尽管越狱作为案例研究，但底层隐蔽声学信道使更广泛类别的高保真提示注入和命令执行攻击成为可能。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_ling.pdf

131. Autonomy Comes with Costs: Detecting Denial-of-Service Vulnerabilities Caused by Resource Abusing in LLM-based Agents

作者：Jiaqi Luo, Jiarun Dai, Fengyu Liu, Songyang Peng, Youkun Shi, Tong Bu, and Geng Hong (复旦大学); Xudong Pan (复旦大学和上海创新研究院); Yuan Zhang (复旦大学)

摘要：

基于LLM的智能体最近引起了广泛关注。通过利用大语言模型（LLM）的语义理解能力，这些智能体可以根据用户请求自主执行复杂任务，如下载文件和总结内容。然而，缺乏全面的资源治理使其容易受到滥用，可能导致资源耗尽和拒绝服务（DoS）状态。

在本工作中，我们提出了对基于LLM智能体中资源管理的首次系统性安全研究。我们识别了资源生命周期管理的三种代表性模式，每种模式都为DoS利用提供了不同的途径。基于这些洞察，我们提出了AgentDoS，一种新颖的有向灰盒模糊测试框架，旨在检测由资源耗尽引起的DoS漏洞。AgentDoS首先分析智能体内的资源生命周期，然后利用LLM生成自然语言的功能特定种子提示，驱动智能体走向过度资源消耗。我们在20个广泛使用的开源基于LLM的智能体上评估了AgentDoS，发现了影响16个智能体的36个零日漏洞，其中15个在GitHub上拥有超过10,000颗星。截至目前，这些漏洞已获得15个CVE编号。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_luo.pdf

132. Overcoming the Retrieval Barrier: Indirect Prompt Injection in the Wild for LLM Systems

作者：Hongyan Chang, Ergute Bao, Xinjian Luo, and Ting Yu (穆罕默德·本·扎耶德人工智能大学)

摘要：

大语言模型（LLM）越来越依赖从外部语料库中检索信息，这创造了新的攻击面：间接提示注入（IPI）。以往的研究强调了这一风险，但往往回避了最困难的步骤：确保恶意内容实际被检索到。在实践中，未经优化的IPI在自然查询下很少被检索到，这使其真实世界影响不明确。

我们通过将恶意内容分解为保证检索的触发片段和编码任意攻击目标的攻击片段来解决这一挑战。基于这一想法，我们设计了一种高效有效的黑盒攻击算法，构造紧凑的触发片段以保证任何攻击片段的检索。我们的攻击仅需对嵌入模型的API访问，成本低廉（在OpenAI的嵌入模型上每个目标用户查询低至0.21美元），并在11个基准和8个嵌入模型（包括开源模型和专有服务）上实现了近100%的检索率。

基于此攻击，我们展示了在自然查询和真实外部语料库下的首个端到端IPI利用，涵盖RAG和智能体系统，具有多样化的攻击目标。这些结果确立了IPI作为一种实用且严重的威胁：当用户发出自然查询以总结常见主题的电子邮件时，单封投毒电子邮件就足以迫使GPT-4o在多智能体工作流中以超过80%的成功率外泄SSH密钥。我们进一步评估了几种防御措施，发现它们不足以防止恶意文本的检索，凸显了检索作为一个关键的可利用漏洞。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_chang.pdf

133. Inference Attacks Against Graph Generative Diffusion Models

作者：Xiuling Wang and Xin Huang (香港浸会大学); Guibo Luo (北京大学); Jianliang Xu (香港浸会大学)

摘要：

图生成扩散模型最近作为生成复杂图结构的强大范式而出现，有效捕获了图数据中错综复杂的依赖关系和关联。然而，与这些模型相关的隐私风险在很大程度上尚未被探索。在本文中，我们通过三类黑盒推理攻击来研究此类模型中的信息泄露。首先，我们设计了一种图重构攻击，能够从生成图中重构出与训练图结构相似的图。其次，我们提出了一种属性推理攻击，从生成图中推断训练图的属性，如平均图密度和密度分布。第三，我们开发了两种成员推理攻击，用于判断给定图是否存在于训练集中。在三种不同类型的图生成扩散模型和六个真实世界图上的大量实验证明了这些攻击的有效性，显著优于基线方法。最后，我们提出了两种防御机制来缓解这些推理攻击，并在防御强度和目标模型效用之间实现了比现有方法更好的权衡。我们的代码可在https://zenodo.org/records/17946102获取。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wang-xiuling.pdf

134. Unlocking the True Potential of Decryption Failure Oracles: A Hybrid Adaptive-LDPC Attack on ML-KEM Using Imperfect Oracles

作者：Qian Guo, Denis Nabokov, and Thomas Johansson (隆德大学)

摘要：

利用明文检查（PC）和解密失败（DF）预言机的侧信道攻击是对已部署后量子密码学的紧迫威胁。这些预言机可以从时序、功耗和微架构行为等有形泄漏源实例化，使其成为基于格、码和同源的主要方案的实际关注点。在本文中，我们重新审视了在ML-KEM上利用DF预言机的选择密文侧信道攻击。虽然DF预言机在基于格的方案中通常被认为不如其二进制PC对应物高效，但我们证明了其全部潜力在很大程度上尚未被实现。

我们引入了一种新颖的攻击框架，将自适应查询生成与低密度奇偶校验（LDPC）码的置信传播相结合。我们的方法在多个秘密系数上精心构造平衡的奇偶校验，最大化从每次预言机查询中提取的香农信息，即使在存在显著噪声的情况下也是如此。这种方法大幅减少了完整密钥恢复所需的查询次数，通过逼近理论香农信息界限实现了近最优效率。对于预言机准确率为95%的ML-KEM-768，我们的攻击仅需2950次查询（与香农下界的比率为1.35），证明了设计良好的DF攻击可以超越最先进二进制PC攻击的效率。

为验证我们发现的实际影响，我们将该框架应用于近期的GoFetch攻击，展示了在这一真实世界微架构侧信道场景中的显著增益。我们的方法将所需测量迹减少了一个数量级以上，并消除了计算昂贵的后处理需求，使以前被认为难以处理的更高安全性方案上的完整密钥恢复成为可能。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_guo-qian.pdf

135. vCause: Efficient and Verifiable Causality Analysis for Cloud-based Endpoint Auditing

作者：Qiyang Song, Qihang Zhou, Xiaoqi Jia, and Zhenyu Song (中国科学院信息工程研究所和中国科学院大学网络空间安全学院); Wenbo Jiang (电子科技大学); Heqing Huang (独立研究者); Yong Liu (奇安信科技集团股份有限公司); Dan Meng (中国科学院信息工程研究所和中国科学院大学网络空间安全学院)

摘要：

在云端终端审计中，安全管理员通常依赖云对日志衍生的版本化溯源图进行因果分析，以调查可疑攻击行为。然而，云可能不可信或被攻击者攻破，可能操纵最终的因果分析结果。因此，管理员可能无法准确理解攻击行为，从而无法实施有效的对策。这一风险凸显了确保因果分析完整性的防御方案的需求。虽然现有的防篡改日志方案和可信执行环境在这一任务上展现了前景，但它们并非专门为支持因果分析而设计，因此面临固有的安全性和效率局限性。

本文提出了VCAUSE，一种用于云端终端审计的高效可验证因果分析系统。VCAUSE集成了两种认证数据结构：图累加器和可验证溯源图。这些数据结构能够验证因果分析中的两个关键步骤：（i）在版本化溯源图上查询兴趣节点，（ii）识别其因果相关组件。形式化安全分析和实验评估表明，VCAUSE能够实现安全可验证的因果分析，终端计算开销仅<1%，云端为3.36%。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_song-qiyang.pdf

136. CombiSan: Unifying Software Sanitizers for Comprehensive Fuzzing

作者：Matteo Marini (罗马大学); Floris Gorter (阿姆斯特丹自由大学); Daniele Cono D'Elia (罗马大学); Cristiano Giuffrida (阿姆斯特丹自由大学)

摘要：

现代C/C++漏洞检测工作严重依赖模糊测试与软件消毒器的结合。然而，最流行的消毒器之间的互操作性有限。因此，开发者通常单独启用每个消毒器（如果启用的话），需要多次运行。这种顺序执行损害了性能，并以非统一的方式测试代码。

在本文中，我们提出了CombiSan，一种模糊测试优化的消毒器，可同时检测三种最流行消毒器（ASan、MSan和UBSan）所覆盖的所有可寻址性、未初始化内存和其他未定义行为问题。CombiSan采用统一的影子内存设计，高效跟踪程序内存每个字节的可寻址性和初始化状态。此外，CombiSan的插桩与其他未定义行为类别的最先进检测无缝集成。由于不同消毒器发现的漏洞可能因提前终止执行而相互掩盖，CombiSan将所有聚合问题的分析推迟到测试用例完成时进行。

在我们的评估中，CombiSan在OSS-Fuzz每日测试的10个程序中检测到81个新漏洞。平均而言，使用CombiSan的模糊测试比顺序测试ASan+UBSan和MSan快1.7倍。此外，我们的结果表明，尽管运行时间显著减少，CombiSan具有与这些消毒器相同的漏洞检测准确率。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_marini.pdf

137. KernelRCA: Facilitating Root Cause Analysis of Memory Corruptions in Linux Kernel with Contextual Causality Chain

作者：Kangzheng Gu, Yifan Zhang, Yuan Zhang, and Min Yang (复旦大学)

摘要：

持续模糊测试基础设施已经发现了大量漏洞。在此背景下，自动根因分析（RCA）被提出以减少理解漏洞根因所需的高昂人工成本。然而，现有的根因表示采用孤立形式设计。分析人员仍需手动推断包括调用上下文和数据依赖在内的完整漏洞触发流程，而由于操作系统的复杂性，这对操作系统内核而言极为困难。

本文提出了上下文因果链（contextual causality chain，CC-chain），一种新颖的根因表示方法，可直观反映 Linux 内核中内存损坏的完整漏洞触发流程。CC-chain 展示了促成漏洞的指令，以解释导致漏洞的相应异常行为，同时呈现这些指令之间的调用上下文和数据依赖，帮助分析人员快速理解漏洞的发生机制。为自动构建 CC-chain，我们设计了根因分析系统 KernelRCA，包括选择性追踪、上下文信息恢复和链式根因分析。KernelRCA 成功诊断了 Linux 内核中 54 种真实世界的内存损坏，表现优于现有的崩溃报告和 KASAN 报告。一项用户研究表明，KernelRCA 的报告显著提升了人工分析人员对漏洞的理解和修复效率。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_gu-kangzheng.pdf

138. Sy-FAR: Symmetry-based Fair Adversarial Robustness

作者：Haneen Najjar, Eyal Ronen, and Mahmood Sharif (特拉维夫大学)

摘要：

安全关键型机器学习（ML）系统，如人脸识别系统，容易受到对抗样本的攻击，包括现实世界中物理可实现的攻击。已有多种方法被提出来增强 ML 的对抗鲁棒性；然而，这些方法通常会引发不公平的鲁棒性：从某些类别（如个人）或群体（如性别）发起攻击往往比从其他类别或群体发起攻击更容易。已有若干技术被开发用于在寻求类别间完美公平性的同时提升对抗鲁棒性。然而，先前的工作主要集中在安全性和公平性不太关键的场景（例如对汽车和船只等物体的分类）。

我们的洞察是，在现实世界中公平性关键的任务（如人脸识别）中实现完美的对等性通常是不可行的——某些类别（如兄弟姐妹）可能高度相似，导致它们之间出现更多误分类。相反，我们认为寻求对称性——即从类别 i 到 j 的攻击成功率与从 j 到 i 的攻击成功率相同——更为可行。直观上，对称性是可取的，因为在大多数领域中类别相似性是一种对称关系。此外，正如我们从理论上证明的那样，个体之间的对称性会诱导任意子群体集合之间的对称性，这与群体公平性常常难以实现的其他公平性概念形成对比。

我们开发了 Sy-FAR，这是一种在同时优化对抗鲁棒性的前提下鼓励对称性的技术，并使用五个数据集、三种模型架构对其进行了广泛评估，包括针对目标式和非目标式现实攻击的评估。结果表明，与最先进的方法相比，Sy-FAR 显著提升了公平的对抗鲁棒性。此外，我们发现 Sy-FAR 在多次运行中速度更快、一致性更好。值得注意的是，Sy-FAR 还缓解了我们在本工作中发现的另一种不公平性——在引入对称性后，对抗样本最可能被分类进入的目标类别变得明显更不容易受攻击。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_najjar.pdf

139. Ajax: Fast Threshold Fully Homomorphic Encryption without Noise Flooding

作者：Zhenkai Hu (上海交通大学 and 密码学国家重点实验室); Haofei Liang (上海交通大学); Xiao Wang (西北大学); Xiang Xie (华东师范大学 and Primus Lab); Kang Yang (密码学国家重点实验室); Yu Yu (上海交通大学); Wenhao Zhang (西北大学)

摘要：

门限全同态加密（ThFHE）使多方能够在加密数据上执行任意计算，同时密钥分布在各方之间。设计 ThFHE 的主要任务是为 FHE 方案构建门限密钥生成和解密协议。在现有 FHE 方案中，类 FHEW 密码系统具有快速自举和参数小的优势。然而，已知的 ThFHE 方案使用“噪声淹没”（noise-flooding）技术来实现门限解密，这要求要么使用大参数，要么通过自举切换到具有大参数的方案，导致解密过程缓慢。此外，在密钥生成方面，现有的 ThFHE 方案要么假设通用 MPC 或可信设置，要么产生与参与方数量 n 成线性关系的噪声增长。

本文提出了快速 ThFHE 方案 Ajax，通过为类 FHEW 密码系统设计门限密钥生成和解密协议来实现。具体而言，对于门限解密，我们消除了噪声淹没的需求，转而提出一种基于不同环上随机双重共享的新技术——“先掩码后公开”（mask-then-open），同时保持了参数小的优势。对于门限密钥生成，我们展示了一种简单的方法，在诚实多数设定下（至多 t=(n-1)/2 方被腐败），将噪声增长从 n 倍降低到 max(0.038n,2) 倍。我们的端到端实现报告了在 1 Gbps 带宽和 1 ms 延迟的网络下，对于 n=3（分别为 n=21）方，生成一组密钥和解密单个密文的运行时间分别为 17.6 s 和 0.9 ms（分别为 91.9 s 和 4.4 ms）。与最先进的实现相比，我们的协议在 t=1 到 t=13 的不同网络延迟下，将门限解密协议的端到端性能提升了至少 5.7× 至 283.6×。我们的方法也可应用于 BGV、BFV 和 CKKS 等其他类型的 FHE 方案。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_hu.pdf

140. FirmReBugger: A Benchmark Framework for Monolithic Firmware Fuzzers

作者：Mathew Duong, Michael Chesser, and Guy Farrelly (阿德莱德大学); Surya Nepal (澳大利亚联邦科学与工业研究组织 Data61); Damith C. Ranasinghe (阿德莱德大学)

摘要：

单片固件无处不在。因此，固件模糊测试是一个活跃的研究领域，不断有新进展来解决该领域的独特挑战。然而，通过推导代码覆盖率和独特崩溃等指标来理解和评估改进效果存在问题，这引发了对可靠的基于漏洞的基准测试的需求。为满足这一需求，我们设计并构建了 FirmReBugger，一个利用真实的、多样的、基于漏洞的基准来公平评估单片固件模糊测试工具的整体框架。

FirmReBugger 提出使用漏洞预言机——即漏洞描述符的 C 语法表达式——配合解释器来自动化分析并准确报告发现的漏洞，区分已检测、已触发、已到达和未到达等状态。重要的是，我们的基准测试理念不修改目标二进制文件，仅通过重放模糊测试种子来将基准测试实现与模糊测试工具隔离，同时提供一种简单的方式来扩展新的漏洞预言机。

此外，通过分析模糊测试障碍，我们创建了 FirmBench，一组包含 313 个软件漏洞预言机的多样真实世界二进制目标。结合我们对单片固件模糊测试障碍的分析，该基准为快速评估未来的进展提供了支持。我们将 FirmReBugger 实现为一个 FuzzBench-for-Firmware 类型的服务，并使用 FirmBench 以可复现研究的方式评估了 9 个最先进的单片固件模糊测试工具，耗费 10 CPU 年的计算量来报告我们的发现。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_duong.pdf

141. Differential Trust: Dynamic Multi-Authority Anonymous Credentials with Epoch-Weighted Updates

作者：Chen Li (天津大学); Jianting Ning (浙江理工大学); Xiulong Liu (天津大学); Yulin Liu (武汉大学)

摘要：

匿名凭证（AC）是隐私保护认证的基础，允许用户证明其属性拥有权而不泄露身份。最先进的 AC 将凭证签发分散到多个机构，通常采用 Shamir 秘密共享或聚合签名等技术。虽然这种方法增强了系统鲁棒性并消除了单点故障，但它在凭证签发阶段对所有机构一视同仁。这种统一处理忽视了不同机构所持有的不同信任度或权益。这一限制在现代去中心化系统（如 Proof-of-Stake 网络）中尤为突出，因为节点间固有的信任差异化无法在凭证签发过程中被利用。

为解决这一限制，我们提出了基于纪元权重的多机构匿名凭证（Multi-Authority Anonymous Credentials with Epoch-Based Weights，MA-ACEW）概念，这是第一个在凭证签发中考虑机构权重分布的多机构匿名凭证（MA-AC）模型。关键的是，MA-ACEW 在机构权重分布跨纪元变化时能够高效更新凭证。MA-ACEW 的核心是我们新颖的纪元绑定 Pointcheval-Sanders 签名（Epoch-Bound Pointcheval-Sanders Signature，EB-PS）原语，它将签名绑定到特定时间纪元。这种时间绑定既支持纪元内基于权重的凭证签发，又支持跨纪元的高效非交互式凭证更新。我们形式化了 EB-PS 的 EUF-eCMA 不可伪造性要求，并证明在新的 STB-GPS 假设下我们的构造满足该要求。随后我们证明 MA-ACEW 构造实现了不可伪造性、匿名性和盲性。最后，我们展示了基准测试结果，证明了 EB-PS 和 MA-ACEW 的效率。值得注意的是，展示一个由 128 个部分凭证聚合而成的凭证平均仅需 10.68 ms。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_li-chen.pdf

142. From Texts to Rules: Generating Sigma Rules with Large Language Models from Cyber Threat Reports

作者：Yongxin Cai (广州大学); Jing Qiu (广州大学 and 鹏城实验室); Qingming Li (浙江大学); Du Cheng (清华大学); Lei Chen (香港科技大学)

摘要：

网络威胁报告（CTR）提供了安全系统检测规则所需的可操作情报。大语言模型（LLM）可以通过其解析和生成能力，作为 CTR 到规则翻译的桥梁。然而，CTR 中的高层抽象与规则中的底层机器语义之间的语义脱节和领域特定约束，从根本上阻碍了检测规则的准确生成。

本文证明了 CTR 中的 shell 命令可以有效地转换为安全系统的 Sigma 检测规则。为此，我们提出了 SIGMERGE，一个端到端框架，通过构建语义中间层作为桥梁，从 CTR 文本生成 Sigma 规则。SIGMERGE 框架按语义层次由高到低分层组织三个模块：（1）信息提取模块，高层级，利用多子序列算法和微调的领域专用 LLM，实现准确的 MITRE ATT&CK 战术、技术和程序（TTP）及命令提取；（2）攻击描述生成模块，中间层级，采用偏好优化调优和闭环自验证来缓解语义脱节；（3）Sigma 规则生成模块，机器级，利用参数优化检索算法来解决领域特定约束。我们构建了 7 个数据集用于训练并进行了广泛实验。为验证 SIGMERGE，我们使用 23 个指标对其与 16 个基线和 13 个 LLM 进行了评估，并开展了 10 个与真实安全系统集成的案例研究，以展示其有效性和效率。此外，SIGMERGE 已向官方仓库贡献了 4 条新颖的 Sigma 规则，所有规则均已被正式接受。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_cai.pdf

143. Static Detection of TOCTOU Bugs Caused by Kernel Races

作者：Gui-Dong Han, Jia-Ju Bai, Qiu-Ji Chen, and Jiqiang Lu (北京航空航天大学)

摘要：

TOCTOU（检查时间到使用时间）漏洞是内核代码中一个众所周知的安全问题，因为它绕过安全检查并导致可能引发系统崩溃和权限提升等严重问题的异常行为。根据我们对 Linux 内核补丁的研究，内核竞争是内核 TOCTOU 漏洞最常见的根因。然而，由于内核并发逻辑的复杂性和线程调度的非确定性，目前尚无专注于检测由内核竞争引起的 TOCTOU 漏洞的系统性方法。

本文设计了 KERAT，这是第一个用于检测由内核竞争引起的 TOCTOU 漏洞的系统性静态分析方法。实际上，此类 TOCTOU 漏洞是由特定共享变量的检查-使用操作的原子性违例引入的。因此，KERAT 通过从内核代码中静态挖掘和检查共享变量的原子性规则来执行漏洞检测。具体而言，KERAT 具有两个关键技术：（1）原子性规则挖掘方法，用于有效识别哪把锁应该保护哪个共享变量的检查-使用操作；（2）基于状态的验证策略，利用常见漏洞模式的状态机编码来检测违反已挖掘原子性规则的 TOCTOU 漏洞。我们在 Linux-6.8 和 FreeBSD-14.1 上评估了 KERAT，发现了 351 个真实漏洞。其中 287 个被确认为有害，65 个已被内核开发者确认。10 个漏洞已获得 CVE 编号。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_han.pdf

144. Paper Title Under Embargo

（标题处于禁运状态，将在 USENIX Security 2026 会议开幕首日公开）

作者：Benedict Schlüter, Christoph Wech, and Shweta Shinde (苏黎世联邦理工学院)

摘要：（本论文摘要目前处于禁运状态，将在 USENIX Security 2026 会议开幕首日公开发布。）

PDF：暂未公开（论文处于禁运状态，PDF 将在 USENIX Security 2026 会议开幕首日发布）

145. OS-Sanitizer: System-wide Latent Defect Inference in Linux Applications

作者：Addison Crump, Sahil Sihag, Florian Bauckholt, and Keno Hassler (德国亥姆霍兹信息安全研究中心（CISPA）); Thorsten Holz (马克斯·普朗克安全与隐私研究所)

摘要：

动态测试在历史上一直专注于发现软件产生不良行为的情形，通常通过触发故障或不良状态来实现。然而，此类测试通常局限于通过示例来发现这些场景。我们能否通过检查良性行为来判断软件可能产生不良行为？本文通过利用 eBPF 在 Linux 应用中实现动态缺陷推断来探索这一问题。eBPF 作为一种系统自省工具具有独特优势，它从用户态和内核态事件中收集数据，并作为程序在内核中进行处理。我们的原型 OS-Sanitizer 使用启发式方法实现了此类 eBPF 程序，能够在整个系统的所有应用中报告疑似存在的缺陷。从概念上讲，OS-Sanitizer 将静态测试中的代码异味（code smells）理念引入动态测试，同时受益于运行时事件的洞察。通过这种方式，我们推断出软件中潜在上下文缺陷的存在，这些缺陷仅在某些环境中才会引发故障，或者以其他方式难以测试。我们从性能、复杂性、可维护性和可用性的角度考虑并评估了这种方法的优缺点，区分了 eBPF 的理论极限与我们原型的具体限制。针对众所周知的软件缺陷类型，我们在广泛使用的应用中发现了超过 40 个问题（包括严重漏洞），其中一些已存在超过十年并存在于大多数 Linux 发行版上。我们的发现表明，动态缺陷推断既可行又有效，凸显了在软件测试中扩展这一探索不足方向的机会。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_crump.pdf

146. SafeFFI: Efficient Sanitization at the Boundary Between Safe and Unsafe Code in Rust and Mixed-Language Applications

作者：Oliver Braunsdorf and Tim Lange (慕尼黑大学); Konrad Hohentanner and Julian Horsch (弗劳恩霍夫 AISEC); Johannes Kinder (慕尼黑大学)

摘要：

非安全 Rust 代码对于与 C/C++ 库的互操作性和实现底层数据结构是必要的，但它可能在原本内存安全的 Rust 程序中引发内存安全违例。消毒器可以在运行时捕获此类内存错误，但即便对于 Rust 类型系统保证安全的内存访问，也会引入许多不必要的检查。我们引入了 SafeFFI，一个用于优化 Rust 二进制文件中内存安全插桩的系统，使检查发生在非安全代码和安全代码的边界处，将内存安全的执行从消毒器移交给 Rust 类型系统。与先前的方法不同，我们的设计避免了昂贵的全程序分析；因此，它产生的编译时开销显著更低（2.01× 对比超过 5.91×）。在一组流行的 Rust crate 上，SafeFFI 将消毒器检查减少了多达 79.63%，同时仍能检测出我们已知漏洞 Rust 代码数据集中的所有内存安全违例。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_braunsdorf.pdf

147. GateBreaker: Gate-Guided Attacks on Mixture-of-Expert LLMs

作者：Lichao Wu, Sasha Behrouzi, and Mohamadreza Rostami (达姆施塔特工业大学); Stjepan Picek (萨格勒布大学 and 拉德堡德大学); Ahmad-Reza Sadeghi (达姆施塔特工业大学)

摘要：

混合专家（Mixture-of-Experts，MoE）架构通过每个输入仅激活稀疏参数子集，推进了大语言模型（LLM）的扩展，在降低计算成本的同时实现了最先进的性能。随着这些模型越来越多地部署在关键领域，理解和加强其对齐机制对于防止有害输出至关重要。然而，现有的 LLM 安全研究几乎完全集中于密集架构，对 MoE 的独特安全特性在很大程度上尚未进行考察。MoE 的模块化、稀疏激活设计表明，安全机制的运作方式可能与密集模型不同，这引发了对其鲁棒性的质疑。

本文提出了 GateBreaker，这是首个无需训练、轻量级且架构无关的攻击框架，能够在推理时破坏现代 MoE LLM 的安全对齐。GateBreaker 分三个阶段运行：（i）门控级画像，识别在有害输入上被不成比例路由的安全专家；（ii）专家级定位，在安全专家内部定位安全结构；（iii）定向安全移除，禁用已识别的安全结构以破坏安全对齐。我们的研究表明，MoE 安全性集中在由稀疏路由协调的一小部分神经元中。选择性地禁用这些神经元——最多占目标专家层的 2.9% 的神经元——在效用损失有限的情况下，将针对八个最新对齐 MoE LLM 的平均攻击成功率（ASR）从 7.4% 提升至 64.9%。这些安全神经元可在同系列模型间迁移，通过单次迁移攻击将 ASR 从 17.9% 提升至 67.7%。此外，GateBreaker 可泛化到五个 MoE 视觉语言模型（VLM），在不安全图像输入上达到 60.9% 的 ASR。据我们所知，此前没有工作能在对抗 MoE LLM 时达到如此程度的有效性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wu.pdf

148. Bridges to Self: Silent Web-to-App Tracking on Mobile via Localhost

作者：Tim Vlummens (COSIC, 鲁汶大学); Aniketh Girish and Nipuna Weerasekara (IMDEA Networks Institute); Frederik Zuiderveen Borgesius and Gunes Acar (拉德堡德大学); Narseo Vallina-Rodriguez (IMDEA Networks Institute)

摘要：

现代浏览器和移动操作系统利用沙箱和进程隔离来分离 Web 和 App 上下文。然而，本文表明这些隔离保证在实践中已经被——而且曾被——Meta 和 Yandex 在 Android 设备上打破，以实现将 Web 追踪与原生身份关联起来的跨上下文追踪。

结合来自美国和欧盟视角的大规模 Web 爬虫和系统性 Android App 分析，我们刻画了一类此前未被记录的 Web-to-App 追踪范式，该范式利用 HTTP(S)、WebSocket 和 WebRTC 等 Web 标准，通过 localhost 连接移动和 Web 上下文。通过将匿名 Web Cookie 与长期存在的原生用户 ID 关联，这些通道实现了持久且隐蔽的跨上下文追踪和去匿名化。这种新技术能够击败 Cookie 清除、隐身模式、移动广告标识符（MAID）重置、VPN 以及 Android 的工作/个人配置文件分离等保护措施。我们进一步表明，Meta Pixel 和 Yandex Metrica 在接受 Cookie 同意横幅之前就启动了 localhost 桥接。我们评估了浏览器在响应我们负责任披露后对这些攻击的修补工作和防御措施，以及即将推出的本地网络访问（Local Network Access，LNA）权限，该权限引入了访问 localhost 和本地网络地址的用户提示。在此过程中，我们发现了绕过这些保护的额外侧信道，利用（i）WebRTC 中的全局单播 IPv6 地址；以及（ii）对 *.local 域名的 mDNS 查询。我们的结果连同所附的法律分析，揭示了结构性缺陷，以及重新审视平台和浏览器的隔离原则、威胁与信任模型、协议标准和应用审核流程的必要性，以防止未来的跨上下文滥用。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_vlummens.pdf

149. WILD Attack: Stealthy Undermining of Wi-Fi-Based Geolocation Through Remote Crowdsourced Data Injection

作者：Changjia Zhu, Xiao Han, Parush Gera, Zhuo Lu, Tempestt Neal, and Yao Liu (南佛罗里达大学)

摘要：

传统的 Wi-Fi 定位系统（WPS）欺骗攻击虽然看似有效，但由于缺乏隐蔽性和持久性，未能引起重大的 WPS 安全关注。本文提出了一种新颖的 WILD 攻击，通过颠覆 WPS 的核心基础设施——位置查询表（Location Lookup Table，LLT）——来破坏 WPS 安全。在此攻击中，攻击者远程提交针对目标 Wi-Fi 接入点的伪造众包报告，诱导 WPS 提供商基于伪造而非合法数据更新 LLT。我们考察了四个广泛部署的 WPS 提供商——Google、Apple、A-Map 和 WiGLE——发现它们都接受伪造报告，并采用不同的策略来解决合法数据与伪造数据之间的冲突。利用这些策略，攻击者可以诱导两种形式的 LLT 颠覆：LLT 条目篡改和 LLT 条目移除，两者即使在攻击者停止活动后仍可持续数周。我们进一步展示了三个案例研究来说明 WILD 攻击的现实影响，并提出了缓解此类威胁的对策。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhu-changjia.pdf

150. When Updates Backfire: A Black-Box Security Analysis of Desktop Software Update Mechanisms

作者：Jie Wan, Pengcheng Xia, and Haoyu Wang (华中科技大学)

摘要：

桌面软件已成为现代计算的重要组成部分，而软件更新是修补漏洞和提供安全修复的主要机制。然而，更新过程本身引入了新的攻击面，特别是当更新数据的验证不完整或执行不当时。尽管如此，桌面更新中的这些风险较少被研究，因为大多数更新客户端是闭源且复杂的。我们提出了 UpdSight，一个通过在真实环境中模拟中间人（MitM）攻击来测试更新安全性的黑盒框架。UpdSight 通过模拟中间人场景、在更新过程中拦截流量，并自动验证关键弱点是否存在来运作。通过结合流量拦截、载荷完整性检查和行为监控，UpdSight 对多种软件类别的更新信任模型提供了全面评估。我们将 UpdSight 应用于 85 个广泛使用的桌面应用。结果显示了 22 个可利用漏洞，包括降级攻击、清单篡改、安装程序劫持和路径遍历。其中 16 个已被供应商确认。此外，还分配了 5 个 CVE 标识符，覆盖了 8 个软件产品中的漏洞。我们的发现揭示了反复出现的设计缺陷，如未签名的清单和弱回滚检查，这些缺陷使攻击者能够通过更新通道获得代码执行能力。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wan.pdf

151. TopFeaRe: Locating Critical State of Adversarial Resilience for Graphs Regarding Topology-Feature Entanglement

作者：Xinxin Fan (人工智能安全国家重点实验室, 中国科学院计算技术研究所; and 中国科学院大学); Wenxiong Chen (大连理工大学; and 人工智能安全国家重点实验室, 中国科学院计算技术研究所); Quanliang Jing (中国科学院计算技术研究所); Chi Lin (大连理工大学); Shaoye Luo (人工智能安全国家重点实验室, 中国科学院计算技术研究所; and 中国科学院大学); Wenbo Song (大连理工大学; and 人工智能安全国家重点实验室, 中国科学院计算技术研究所); Yunfeng Lu (北京航空航天大学)

摘要：

图对抗攻击通常从拓扑/结构和节点特征两个视角产生，两者都代表了当今深度学习模型所学到的至关重要的特征。尽管目前已有一些防御对策被提出，但它们未能揭示这两个方面为何必要的内在原因以及它们如何被充分融合以协同学习图表示。针对这一问题，本文借助复杂动力系统（CDS）学科中的平衡点理论，提出了一种通过定位图的对抗韧性临界状态来实现对抗防御的方法。简言之，本工作有三项创新：i）对抗攻击建模，即将图体系映射到 CDS，利用动力系统的振荡来建模对抗扰动行为；ii）针对扰动图的二维拓扑-特征纠缠函数设计，即将图拓扑和节点特征投影为两个特征空间，定义二维纠缠扰动函数来表示对抗攻击下的动态方差；iii）对抗韧性临界状态定位，即利用平衡点理论，借助扰动映射的二维函数来定位图的攻击韧性临界状态。最后，在五个常用真实数据集上的多方面实验验证了所提方法的有效性，结果表明我们的方法在四种代表性图对抗攻击下能显著优于最先进的基线方法。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_fan.pdf

152. BatchBoot: Fast Batched Bootstrapping for TFHE scheme and Practical Applications

作者：Zhihao Li (蚂蚁数字科技, 蚂蚁集团); Hongyu Wang (山西大学); Yuan Zhao and Lichun Li (蚂蚁数字科技, 蚂蚁集团); Zhiwei Wang (网络空间安全防御国家重点实验室, 中国科学院信息工程研究所); Jiaxing He, Changzheng Wei, and Ying Yan (蚂蚁数字科技, 蚂蚁集团); Lifeng Guo (山西大学)

摘要：

基于环面的全同态加密（TFHE）以其独特的自举机制为特征，该机制在执行任意计算的同时刷新噪声预算。然而，该机制表现出有限的可扩展性，因为它一次只能处理单个加密消息。为解决这一问题，近期研究提出了批量自举方案，使 TFHE 能够并行处理密文，从而实现有前景的摊销效益。尽管取得了这些进展，这一新兴方向仍未被充分探索，留下了充足的研究空间。

本文提出了 BatchBoot，一个高效的 TFHE 批量自举框架，实现了加密消息的摊销处理。具体而言，本工作有三项关键贡献。首先，我们重新设计了核心子模块，即同态多项式乘法，以大幅减少对昂贵的 FFT 操作的依赖。其次，我们提出了一种稀疏感知的消息打包策略，灵活支持不同的打包规模。第三，我们将函数自举扩展到电路自举，从而大大增强了所支持函数的表达能力。这些贡献共同使 BatchBoot 相比最先进的批量方案（Guimarães et al., CCS'25）实现了 2.4× 的加速，相比非批量 TFHE-rs 实现实现了 43.8× 的提升。

在应用层面，我们通过两个实际用例展示了 BatchBoot 的通用性。首先，我们提出了非均衡设定下首个基于 TFHE 的 PSI 协议，相比最优的基于 BFV 的方案（PEPSI, USENIX Security'24），实现了 294× 的通信成本降低和 4.1× 的加速。其次，我们基于 BatchCBoot 设计了一个 8 位 FHE 指令集，相比现有结果（Wang et al., CCS'25）实现了高达 5.4× 的加速。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_li-zhihao.pdf

153. The Adverse Effects of Omitting Records in Differential Privacy: How Sampling and Suppression Degrade the Privacy–Utility Tradeoff

作者：Àlex Miranda-Pascual (卡尔斯鲁厄理工学院 and 加泰罗尼亚理工大学); Javier Parra-Arnau (加泰罗尼亚理工大学); Thorsten Strufe (卡尔斯鲁厄理工学院)

摘要：

采样以在差分隐私（DP）中的隐私放大效应而闻名，并常被认为可以通过允许噪声减少来提升 DP 机制的效用。本文进一步表明，后一假设是有缺陷的：在相同隐私水平下衡量效用时，作为预处理的采样在所有经典 DP 机制——Laplace、Gaussian、exponential 和 report noisy max——中，以及采样的近期应用（如聚类）中，由于省略记录导致的效用损失而持续产生惩罚。

在此分析的基础上，我们将抑制作为选择或省略记录的广义方法进行研究。通过发展对该技术的理论分析，我们在无界近似 DP 下推导出了任意抑制策略的隐私界。我们发现，所测试的抑制策略同样未能改善隐私-效用权衡。令人惊讶的是，均匀采样作为最佳抑制方法之一脱颖而出——尽管其仍具有降级效应。我们的结果对 DP 实践中常见的预处理假设提出了质疑。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_miranda-pascual.pdf

154. VeCT: Secure and Efficient Constant-Time Code Rewriting with Vector Extensions

作者：Qisheng Jiang and Danfeng Zhang (杜克大学)

摘要：

时序侧信道允许攻击者通过分析受害程序的执行时间来提取秘密。常时间（CT）编程范式通过数据流/控制流线性化（DFL/CFL）来防御时序攻击。然而，改写后的常时间代码通常会显著增加原始代码的内存占用，导致可观的开销。我们提出了 VeCT，一种基于编译器的代码改写器，利用向量扩展在保持常时间保证的同时提升性能。我们首先应用严格的统计测试，为实现细节保密的 AVX-512 指令推导出实用的“安全使用”规则；该分析还揭示了一个现有最先进常时间改写器中此前未知的漏洞。在这些规则的指导下，VeCT 引入了一种新颖的策略，消除改写代码中不必要的数据加载，并启用向量化以进一步提高效率。我们基于 LLVM 实现了 VeCT，可将代码自动转换为基于 AVX-512 的常时间等价代码。在 AES 和 Blowfish 等实际应用上，VeCT 将转换后代码的开销较现有最先进方法降低了最多 98.9%，同时保持了常时间行为。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_jiang-qisheng.pdf

155. Memclave: Secure In-memory Enclave for Untrusted Hosts

作者：Amit Choudhari (德国亥姆霍兹信息安全研究中心（CISPA）); Fabian van Rissenbeck (多特蒙德工业大学); Christian Rossow (德国亥姆霍兹信息安全研究中心（CISPA）)

摘要：

云平台在多租户环境下运行数据密集型工作负载，频繁的 CPU-内存流量可能通过缓存侧信道泄漏访问模式。存内处理（PIM）设备（如 UPMEM）将计算迁移至 DRAM 中，大幅减少数据移动并缩小 CPU 缓存占用。然而，商用 PIM 架构暴露了由主机编程的控制平面和主机共享的模块内存，使得设备端驻留的代码和数据易受被攻陷主机的威胁。现有的安全 PIM 方案要么添加加密/访问控制硬件，要么依赖重量级的主机端加密协议，给实际部署带来复杂性。

我们提出了 Memclave，一个纯软件框架，无需修改硬件即可为商用 PIM 带来代码完整性和数据机密性。经过 TPM 认证的管理程序在启动时将 PIM 的控制平面与主机访问永久隔离。在每个存内核心上，可信加载器对用户内核进行认证，并建立每会话受保护的数据通路。Memclave 保留了原有的编程模型和内核代码：主机应用将少量数据移动调用替换为安全的插入式替代，使得可信计算基保持小巧，移植成本低。我们在现成 UPMEM DIMM 上实现了 Memclave，并在 PrIM 基准测试套件上进行了评估，涵盖异构的内存访问、计算和同步模式。在一次性 100ms 认证加载后，存内内核时间接近 PIM 基线：多层感知机（MLP）在实用规模下保持在 1.5× 以内，广度优先搜索（BFS）在部分图上为 1.1×，随着前沿层级数的增加仅有适度上升。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_choudhari.pdf

156. Cracking Federated Privacy: Initialization-Resilient Gradient Inversion with Fine-Grained Reconstruction

作者：Kaiming Zhu, Jinsheng Yang, Siyang Guo, Huaqian Qin, Taiyu Wang, Junbo Wang, Yuhong Nan, and Zibin Zheng (中山大学)

摘要：

联邦学习（FL）仍易受梯度反演攻击（GIA）的威胁，共享梯度可能泄露客户端的私有数据。现有攻击在早期初始化变化下表现不佳，且往往产生粗糙的重建结果。本文中，我们识别出共享梯度中的稀疏性变化是这种敏感性的主要来源，并提出一种对初始化具有鲁棒性的 GIA，采用由粗到细的设计，实现细粒度恢复。粗粒度阶段对齐梯度方向并约束非零项以缓解稀疏性变化，细粒度阶段通过结合余弦距离与变形曼哈顿距离项的混合度量来优化幅度对齐。针对五个基线的大量实验表明，在 CIFAR-10/100 上敏感初始化条件下 PSNR 提升高达 200%（25.4 → 47.7 dB），并在四个数据集和整个 FL 生命周期中持续实现细粒度恢复。我们的方法在各批大小和本地步数上保持与 SOTA 基线相当的竞争力，并揭示了若干流行模型上持续存在的隐私泄漏以及现有防御的不足，凸显了加强隐私保护机制的迫切需求。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_zhu-kaiming.pdf

157. Estimating the Amount of Script-generated Traffic in a Mixture

作者：Cormac Herley (微软研究院)

摘要：

我们研究在混合流量中估计机器人生成流量占比的问题。即，当接收到的流量为 α · Clean + (1-α) · Bot 时，我们寻求估计 α。该问题主要针对流量试图伪装为人类生成的情况（例如点击欺诈、虚假社交媒体互动等）。

当干净流量中至少有一对特征相互独立时（例如地理分布的时间不变性），我们证明获取 α 的上界等价于寻找使一个简单目标函数最大化的秩一矩阵。我们给出了一种高效的求解方法，并推导了该界的紧致性。当数据有限时，误差分析极为重要，因为秩一矩阵的采样版本并不会精确为秩一。我们为估计量推导了置信区间，使我们能够确信所得到的是真正的上界。

我们通过实证验证了上述发现。首先，分别使用随机秩一矩阵和满秩矩阵作为干净流量和机器人流量的分布，通过蒙特卡洛模拟验证了准确性。其次，我们考察了 Twitter（现为 X）的数据。在公开市场上出售的拥有大量粉丝的 Twitter 账户被标记为拥有 >90% 的机器人粉丝，而若干学术会议和知名研究人员的账户则被标记为 <20%。我们在任意干净/机器人组成的 Twitter 账户群体上验证了准确性。

PDF：源页面未提供 PDF 链接

158. Quorus: Efficient, Scalable Threshold ML-DSA Signatures from MPC

作者：Alexander Bienstock, Leo de Castro, Daniel Escudero, Antigoni Polychroniadou, and Akira Takahashi (J.P. Morgan AlgoCRYPT CoE and J.P. Morgan AI Research)

摘要：

阈值签名协议将秘密签名密钥划分给多个参与方，使得任何超过阈值的子集都能共同生成签名。后量子（PQ）阈值签名正受到广泛研究，尤其是在 NIST 发布阈值方案征集之后，但大多数解决方案专注于专门设计的、对阈值友好的签名方案。然而，分布式证书颁发机构和数字货币等实际应用要求签名可在现有标准化流程下验证。随着 NIST 对 PQ 签名的标准化以及产业界的持续部署，设计一种与 NIST 标准化验证兼容的高效阈值方案仍是一个关键挑战。

本文中，我们提出了首个高效且可扩展的模块格数字签名算法（ML-DSA）多方生成解决方案，ML-DSA 是 NIST 的 PQ 签名标准之一。我们的贡献有两方面。首先，我们提出了一种适用于高效多方计算（MPC）的 ML-DSA 签名算法变体，并证明该变体与原始 ML-DSA 方案具有相同的安全性。其次，我们提出了若干高效且可扩展的 MPC 协议来实例化阈值签名功能。我们的协议在每次拒绝采样轮次中仅需每方 150 KB 的在线通信即可生成阈值签名。此外，我们在诚实多数设定下实例化了这些协议，从而避免任何额外的公钥假设。

我们的签名在所有安全级别下可通过与 ML-DSA 相同的实现进行验证，签名和验证密钥大小与 ML-DSA 一致；此前的基于格的阈值方案无法同时匹配这两项大小。我们的解决方案提供了首个与 NIST 标准化验证兼容、可扩展至任意参与方数量且无需新假设的阈值后量子签名生成方法。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_bienstock.pdf

159. Chameleon Channels: Measuring YouTube Accounts Repurposed for Deception and Profit

作者：Alejandro Cuevas (卡内基梅隆大学); Manoel Horta Ribeiro (普林斯顿大学); Nicolas Christin (卡内基梅隆大学)

摘要：

在线内容创作者花费大量时间和精力，通过一个漫长且往往艰辛的过程来建立自己的用户群，需要找到合适的“细分领域”来服务受众。那么，一位以猫咪表情包闻名的成熟内容创作为何要彻底重塑其频道，转而推广加密货币服务或报道选举新闻事件？如果他们真的这样做了，其现有订阅者难道不会注意到吗？

我们探讨了频道重新利用的问题，即频道更改其身份和内容。我们首先刻画了一个“二手”社交媒体账户市场，在为期 6 个月的观察期内，其销售额超过 100 万美元。观察这 6 个月内被（转）售的 YouTube 频道，我们发现相当数量（53%）的频道被用于传播政策敏感内容，且往往未受到任何处罚。更令人惊讶的是，这些频道似乎在增加而非减少订阅者。

我们使用从生态有效的代理中采样的两组共 140 万个 YouTube 账户快照，估计了频道重新利用在“野外”的普遍程度。在 3 个月期间，我们估计有 0.25% 的频道被重新利用。通过一系列实验，我们确认这些被重新利用的频道与被售频道共享若干特征——主要是它们具有显著高比例的政策敏感内容。在被重新利用的频道中，我们发现了类似于影响力操纵行动中所使用的频道，以及用于金融诈骗的频道。被重新利用的频道拥有庞大的受众；在两组观测样本中，被重新利用的频道合计分别拥有 1.93 亿和 4400 万订阅者。我们认为，购买现有受众和已建立账户所附带的信誉，对受经济和意识形态驱动的攻击者是有利的。这一现象并非 YouTube 独有，我们推断培育有机受众的市场将会增长，尤其是在缺乏技术或其他方面干预的情况下。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_cuevas.pdf

160. Khost: KVM-based Near Native MCU Firmware Rehosting

作者：Chunlin Wang, Yicheng Yang, Yuan Zhang, Haoyu Xiao, Yifan Zhang, and Jiarun Dai (复旦大学)

摘要：

基于微控制器单元（MCU）的设备构成了物联网基础设施的关键层，因此确保其安全至关重要。基于重新托管（rehosting）的动态 MCU 固件分析是保障这些设备安全的有效方法。然而，现有的重新托管框架由于模拟而普遍存在显著的性能开销，或执行范围受限。

为解决这些局限性，我们提出了 Khost，一个接近原生速度、保留执行范围的重新托管框架。它通过引入轻量级扩展 CPU、辅助页表和软件中断控制器来扩展 KVM，使 MCU 固件能够以最低开销在高性能平台上重新托管。它还提供了内存映射 I/O（MMIO）监控器以实现快速外设交互，以及一个固件封装器以支持覆盖收集并灵活配置现有模糊测试引擎。在两个标准基准上的评估表明，与 QEMU 相比，Khost 将复杂计算任务的开销降低了 90.0% 至 95.5%，将 MCU 系统级操作的开销降低了最多 98.5%。此外，在 12 个真实固件上使用 Khost 进行模糊测试实现了高达 197.5× 的吞吐量提升，并将基本块覆盖率较现有模糊测试工具提高了 6 倍。此外，Khost 成功发现了 5 个此前未知的漏洞。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wang-chunlin.pdf

161. Attesting Model Lineage by Consisted Knowledge Evolution with Fine-Tuning Trajectory

作者：Zhuoyi Shang, Jiasen Li, and Pengzhen Chen (中国科学院信息工程研究所; 中国科学院大学网络空间安全学院; and 网络空间安全防御重点实验室); Yanwei Liu (中国科学院信息工程研究所; and 网络空间安全防御重点实验室); Xiaoyan Gu (中国科学院信息工程研究所; 中国科学院大学网络空间安全学院; and 网络空间安全防御重点实验室); Weiping Wang (中国科学院信息工程研究所)

摘要：

深度学习中的微调技术在模型之间催生了新兴的谱系关系。这种谱系为解决未经授权的模型再分发和虚假声称模型来源等安全问题提供了一个有前景的视角，这些问题在缺乏稳健谱系验证机制的开源权重模型库中尤为紧迫。现有的模型谱系检测方法主要依赖于静态架构相似性，不足以捕捉真正谱系关系所基于的知识动态演化。受人类进化的遗传机制启发，我们通过验证知识演化与参数修改的联合轨迹来解决模型谱系认证问题。为此，我们提出了一种新颖的模型谱系认证框架。在我们的框架中，首先利用模型编辑来量化微调引入的参数级变化。随后，我们引入一种新颖的知识向量化机制，在探针样本的辅助下，将编辑后模型中演化的知识提炼为紧凑表示。探针策略针对不同类型的模型族进行了适配。这些嵌入作为验证跨模型知识关系算术一致性的基础，从而实现对模型谱系的稳健认证。大量实验评估表明了我们的方法在多种真实世界对抗场景中的有效性和鲁棒性。我们的方法在包括分类器、扩散模型和大语言模型在内的广泛模型类型上持续实现可靠的谱系验证。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_shang.pdf

162. SONIC: Concurrent Oblivious RAM & Data Structures for Low-Latency and High-Throughput

作者：Nihal Talur and Ioannis Demertzis (加州大学圣克鲁兹分校)

摘要：

仅依赖加密进行隐私保护计算容易受到泄漏滥用/访问模式攻击。TEE 虽然成本效益高，但也易受侧信道攻击。不经意原语，如不经意内存（ORAM）和不经意数据结构（ODS），是缓解这些风险的有效构建模块，可隐藏内存访问模式和侧信道信息。应用场景涵盖私密联系人发现（Signal）、匿名密钥透明性、加密邮件搜索、加密/不经意数据库、匿名通信（Sparta/SP'25）、隐私联邦学习、LLM 隐私（Compass/OSDI'25）以及更广泛的机密计算。

基于树的 ORAM（EnigMap（USENIX'23）、GraphOS（PVLDB'23）、Oblix（SP'18））提供低延迟但并行度有限，即使对小数据集也难以突破 1K req/s 的吞吐量。基于分区的方案如 Snoopy（SOSP'21）将数据划分到多个子 ORAM 中，每个子 ORAM 通过由传入请求构建的不经意哈希表并行扫描其分片，以大量牺牲延迟换取高吞吐——理论上实现线性可扩展性。实践中，Snoopy 的性能取决于每个子 ORAM 能多快完成其顺序扫描以不超过延迟目标——这限制了服务器利用率和吞吐量。虽然 TB 级数据集在理论上可通过增加服务器实现，但实际中需要 1000+ 台服务器。

本工作中，我们调和了上述低延迟与高吞吐 ORAM 方案之间的割裂局面。我们引入 SONIC：首个面向硬件飞地的 ORAM，用 RingORAM 替换了 PathORAM（EnigMap、GraphOS 和 Oblix 所使用）。我们的设计是首个实现最低 150K req/s 且最高可达 2M req/s 吞吐量（单服务器）的低延迟 ORAM，攻克了所有树 ORAM 构造（包括 RingORAM）的核心挑战，如克服顺序驱逐瓶颈、实现高效批量驱逐，以及提供无锁的访问、重排和暂存操作。SONIC 的 ORAM 访问吞吐量比开源 EnigMap 实现高 28-197×，比 GraphOS 高 158-1065×（N=227，块大小 64 字节）。SONIC 提供了多种利用 ORAM 并发性来构建不经意数据结构（如 OMAP）的方法。最后，SONIC 可作为 Snoopy 子 ORAM 的直接替代品以提供更实用的可扩展性——1TB 现在仅需 32 台服务器即可处理，而非数千台。

PDF：暂未公开（论文处于禁运状态，PDF 将在 USENIX Security 2026 会议开幕首日发布）

163. E2E-AKMA: An End-to-End Secure and Privacy-Enhancing AKMA Protocol Against the Anchor Function Compromise

作者：Yueming Li (中国科学院软件研究所; and 中国科学院大学); Long Chen (中国科学院软件研究所; and 中国科学院系统软件重点实验室); Qianwen Gao (中国科学院软件研究所; and 中国科学院大学); Zhenfeng Zhang (中国科学院软件研究所; and 中国科学院系统软件重点实验室)

摘要：

应用认证与密钥管理（AKMA）系统是 3GPP 制定的一种近期协议，预计将成为 5G 标准的关键组成部分。AKMA 使应用服务提供商能够将用户认证流程委托给移动网络运营商，从而免去这些提供商自行存储和管理认证相关数据的需求。这种委托提升了认证流程的效率，但同时也引入了某些值得深入分析和缓解的安全与隐私挑战。

5G AKMA 服务由 AKMA 锚点功能（AAnF）实现，该功能可能运行在 5G 核心网边界之外。AAnF 被攻陷可能使恶意行为者利用漏洞，监控用户登录活动或未经授权地访问敏感通信内容。此外，订阅永久标识符（SUPI）对外部应用功能的暴露带来重大隐私风险，因为 SUPI 可被用于将用户的真实身份与其在线活动相关联，从而损害用户隐私。

为缓解这些漏洞，我们提出了一种名为 E2E-AKMA 的新协议，即使在 AAnF 被攻陷的情况下，也能在用户设备（UE）和应用功能（AF）之间建立具有端到端安全性的会话密钥。此外，该协议确保除 5G 核心网外，没有任何实体能将账户活动与用户的真实身份相关联。该架构保留了现有 AKMA 方案的优势，如无需复杂的动态秘密数据管理，且不依赖专用硬件（标准 SIM 卡除外）。实验评估表明，E2E-AKMA 框架相比原始 5G AKMA 方案的开销约为 9.4%，表明其具有部署的效率和实用性。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_li-yueming.pdf

164. Adversarial Patch EXterminator: Zero-Shot and Patch-Agnostic Defense Framework Against Adversarial Patch Attacks

作者：Jiayimei Wang (香港城市大学); Tao Ni (阿卜杜拉国王科技大学); Guowen Xu (电子科技大学); Qingchuan Zhao and Cong Wang (香港城市大学)

摘要：

对抗补丁攻击对现代计算机视觉系统构成严重威胁。尽管现有的防御方案试图通过开发可认证模型或补丁识别流程来缓解此类攻击，但它们普遍依赖先验知识或大量训练数据，在不同物理条件下鲁棒性不足，且在应对挑战性场景（例如微小、不规则或与背景高度融合的补丁）时性能有限。为解决这些局限性，我们提出了 APEX，一个零样本、补丁无关的三阶段对抗补丁防御框架。具体而言，APEX 首先通过边界框提取聚焦补丁区域，随后将基于互信息的模糊热力图与边缘感知的边界热力图相结合以定位对抗区域，最后利用结构引导的图像修复来恢复图像。我们在多个数据集和现有最先进防御方法上的实验表明，APEX 能有效防御各类对抗补丁（例如非自然主义、自然主义和红外图像补丁）。此外，APEX 在补丁定位方面展现出卓越能力，在不同环境（例如光照条件）和极端场景下保持高鲁棒性，并在物理世界场景中保护各类模型时表现出色。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_wang-jiayimei.pdf

165. Quantifying Large Language Model Attacks Through the Lens of Model Cognition

作者：Xiuming Liu, Chaoxiang He, Xuanran Yu, Jichen Chai, Feiyue Xu, Sheng Hang, and Hanqing Hu (上海交通大学); Bin Benjamin Zhu (微软公司); Hongsheng Hu, Shi-Feng Sun, Dawu Gu, and Shuo Wang (上海交通大学)

摘要：

大语言模型（LLM）容易受到诱导有害内容的恶意输入的攻击。现有的安全机制（如关键词过滤或输出审核）在很大程度上忽略了模型内部动态。我们表明，与有害提示相关的安全特征在生成前的中间隐藏状态中可通过轻量级探针实现强可分性（准确率高达 99%），这表明即使模型输出合规内容，这些特征仍持久存在于内部。基于这一观察，我们引入了分层毒性探针和一种多层互补检测框架，融合来自不同深度的信号。我们的轻量级 Sentinel（<5M 参数）相比生成级拒绝将假阴性率降低了一半，在对抗攻击下保持 94% 以上的检测准确率——而基线方法下降了 32%。Sentinel 在七个开源权重 LLM（1.5B→72B）和多个基准（I2P、SneakyPrompt、MMA、Labelled、PIJ、ChatAlpaca 和 Multi-turn Jailbreak）上的异构有害提示方面也优于 Llama-Guard-3-8B。除检测外，我们的方法提供了首张关于安全相关信号如何在 LLM 内部涌现、传播和衰减的定量分层图谱，实现了可解释的、由内而外的对齐和诊断。本文包含可能敏感和冒犯性的内容，包括但不限于 NSFW 材料、仇恨言论、歧视和其他有害文本。请读者审慎阅读。

PDF：https://www.usenix.org/system/files/conference/usenixsecurity26/sec26_prepub_liu-xiuming.pdf

跳转微信打开

摘要

递归自我改进（Recursive Self-Improvement, RSI）是人工智能领域的长期愿景，其核心在于系统能够利用自身智能改进产生该智能的认知机制。近年来的实践表明，模型与真实世界之间的部署层——即 Harness——在 RSI 路径中扮演着与模型核心智能同等重要的角色。本文系统梳理了 Harness 工程的设计模式、优化方法及与模型权重的联合优化策略，涵盖工作流自动化、文件系统持久记忆、子agent并行执行等设计范式，以及上下文工程、进化搜索、自我改进循环等优化技术。在此基础上，本文进一步整合了自演进agent领域的理论框架（递归自指、轻量化范式、多agent协同进化）、标准化协议与基础设施、评测基准及错误进化风险等最新研究进展，并讨论了评估器脆弱性、上下文生命周期管理、多样性坍缩、奖励黑客等开放性挑战，最后对 Harness 层与核心智能的边界演化趋势进行了分析。

关键词：递归自我演进；Harness 工程；智能体系统；上下文工程；进化搜索；自演进Agent

1 引言

递归自我改进的概念可追溯至 Good (1965) 提出的"超智能机器"设想——一种在所有智力活动中超越人类、并能设计更优机器以改进自身的系统 [1]。Yudkowsky (2008) 进一步将其明确为一个反馈回路：AI 利用当前智能改进产生该智能的认知机制本身 [2]。在现代 AI 语境下，这一反馈回路可以表现为模型直接重写自身权重，也可以更广泛地理解为模型改进训练流程和部署系统，从而催生性能更强的后继模型 3。

值得关注的是，原始模型与真实世界上下文之间的部署层——即Harness——的重要性正日益凸显。Harness 是围绕基座模型构建的系统，负责编排执行流程，决定模型如何思考与规划、调用工具与执行动作、感知与管理上下文、存储制品以及评估结果。Claude Code 和 Codex 等编码agent产品的成功印证了这一点：模型的原始智能（即预训练后的评估表现）与 Harness 的工程质量共同决定了系统的实际能力上限。

本文聚焦 Harness 工程的研究进展及其对 RSI 的贡献。与早期智能体框架"agent = LLM + 记忆 + 工具 + 规划 + 动作"的公式不同，Harness 工程在此基础上额外涵盖了工作流设计（如循环工程）、评估机制、权限控制和持久状态管理。它已不再仅仅是提示模板的组合，而更接近运行时和软件系统设计。

2 Harness 设计模式

Harness 的设计应当刻意保持简洁和通用，以支持泛化能力。一种有效的策略是参照已有软件工程实践，从而受益于模型预训练阶段习得的知识。Harness 与操作系统之间存在强烈的类比关系：正如操作系统封装复杂逻辑的同时保持接口简洁，Harness 也应遵循类似原则。与此同时，配置、工具接口及其他协议有望逐步实现行业标准化。

2.1 工作流自动化

定义一个模型可以在其中操作、测试和迭代的工作流是实现自动化的关键设计。Karpathy 的 autoresearch 项目是该模式的典型实例 [5]。常见的工作流遵循一个目标导向循环：规划 → 执行 → 观察/测试 → 改进 → 再次执行，直至目标达成。在此过程中，模型可以主动向用户请求澄清任务规格或执行偏好。

工作流图的核心特征在于，模型通过"agent运行时"而非静态提示模板来分析自身轨迹和失败案例，并在此基础上迭代改进。

2.2 文件系统作为持久记忆

在长时程agent系统中，一个反复出现的模式是对丰富状态和制品的简洁控制。Harness 不应在上下文中承载整个工作流和所有日志，而应将持久状态保存在文件中。在长时程agent展开过程中，实验日志、代码差异、论文摘要、错误追踪和过往展开轨迹等制品的长度往往远超模型的上下文窗口。

通过文件系统（通常借助bash命令）进行读写和编辑是 LLM 的基础能力，因此以文件形式管理持久记忆能够自然地受益于核心模型能力的提升。

2.3 子agent与后端任务

Harness 可以生成多个子agent并行执行并监控后端任务。当主agent需要搜索多个假设、并发运行实验或委派隔离子任务时，这一模式尤为有用——它可以避免污染主上下文。父agent随后充当一个轻量进程管理器：启动任务、检查日志、取消失败运行、将结果合并回主agent线程。

关键的设计选择在于使并行性显式化且可检查。如果子agent输出仅存在于瞬态聊天上下文中，它们很快会变得过时和隐蔽。若以文件、日志和状态记录的形式存储，模型则可以在中断后恢复，并对自身的执行历史进行推理。

2.4 编码agent Harness 案例分析

主流编码agent（Claude Code、Codex、OpenCode、Cursor 等）的核心接口已趋于稳定。它们通常采用如下循环结构：

借助一组工具集，编码agent能够在给定代码库中开发和调试问题，类似于人类开发者使用 IDE 的方式。下表列出了编码agent常见的工具分组：

2.5 Harness 层与核心智能的关系

预测 RSI 的未来在多大程度上依赖 Harness 工程是困难的，但近期路径不太可能从模型直接重写自身权重开始。本文认为，Harness 层与核心智能之间存在一个阶段性的协同演化关系，可从三个维度理解。

2.5.1 元方法论转向

Harness 工程将朝元方法论（meta-methodology）方向演化，即改进获取更优答案的机制本身，而非仅优化答案本身。在传统的 Harness 工程实践中，优化对象是具体任务的输出质量——通过调整提示模板、添加工具描述、修改工作流分支来提升模型在特定场景下的表现。元方法论转向意味着优化对象上移一个抽象层级：Harness 系统自身成为优化目标。

这一转向在前述各项研究中已具雏形。ACE 将上下文管理从手工规则转变为自动化的剧本演化；MCE 进一步将"如何管理上下文"的机制本身作为搜索对象；Meta-Harness 直接以编码agent为优化器，搜索决定信息存储、检索和呈现方式的代码；ADAS 和 AFlow 将工作流设计形式化为可通过元agent或 MCTS 自动搜索的优化问题。这些方法的共同特征是：启发式的、人肉设计的规则逐步被通用的、自动化的机制取代。其本质是从"工程师设计 Harness"迁移至"模型在设计空间中搜索 Harness"，设计空间本身保持不变，但搜索主体和搜索效率发生了质变。

2.5.2 Harness 与模型智能的双向制衡

成熟的 Harness 系统与更强的模型智能之间存在双向制衡关系。一方面，成熟的 Harness 为模型自我改进循环中的自动研究提供了基础设施——AI Scientist 等系统已展示出从研究想法生成到论文撰写的全自动流水线能力 [10]。Harness 工程的质量直接决定了自改进循环能否闭合、能否在长时程任务中维持稳定。

另一方面，更智能的模型能够防止 Harness 系统的过度工程化。当模型的核心推理能力足够强时，许多原本需要复杂 Harness 逻辑才能完成的任务（如上下文压缩、失败模式分析、工作流分支选择）可以由模型自身承担，从而简化 Harness 设计。这种制衡关系使系统保持可持续性——避免陷入"Harness 越来越复杂、维护成本越来越高"的正反馈失控。STOP 的实验结果为这一论点提供了经验佐证：递归自改进在 GPT-4 上有效，但在 GPT-3.5 和 Mixtral 等较弱模型上出现退化 [15]，表明基座模型的智能水平是 Harness 自改进机制发挥作用的前提条件。

2.5.3 内化与接口保留

最终，许多 Harness 改进可能会被内化为核心模型行为。当前由 ACE 策展器执行的结构化上下文更新、由 Self-Harness 实施的弱点修复、由进化搜索发现的工作流模式，在未来可能部分成为模型的原生能力——正如链式推理（Chain-of-Thought）曾是需要精心设计的提示技巧，而今已通过推理导向的强化学习内化为模型行为 [14]。

然而，与外部上下文和工具的接口应当保留。模型无论多么智能，仍需接收关于目标、约束条件、上下文和评估方式的明确 specification。这一模式与提示工程的演化路径高度相似：随着指令调优和模型推理能力的提升，手动提示技巧的中心性显著降低，但指定目标、约束、上下文和评估的需求并未消失——它从"教模型如何思考"退化为"告诉模型思考什么" [6]。Harness 的演化可能遵循相同轨迹："如何做"的程序性技巧会被内化进模型权重，但"做什么"的接口 specification 将持续存在。这意味着 Harness 工程不会消亡，而是其重心从运行时逻辑设计转向接口与评估设计。

3 Harness 优化

Harness 系统中优化对象的演进路径大致为：指令提示 → 结构化上下文 → 工作流 → Harness 代码 → 优化器代码。随着模型变得更智能、更强大，优化目标趋向更复杂的对象和更通用的方法。

3.1 上下文工程

简单地将所有工具响应和模型生成追加到上下文中，随着agent任务时程的增加会迅速失控。上下文管理是构建更结构化、更简洁上下文并管理持久状态的层。

Agentic Context Engineering（ACE）[7] 将上下文视为一份不断演化的"剧本"（playbook），而非不断增长的提示。ACE 包含三个组件：

生成器：参考要点生成任务轨迹。

反思器：从成功和失败轨迹中提炼洞见。

策展器：以增量、条目化的方式更新结构化上下文。

为防止迭代重写中的上下文坍缩和简洁性偏差，ACE 的策展器不重写完整的提示块，而是输出结构化条目（标识符, 描述），通过确定性逻辑合并到结构化上下文日志中，并周期性地进行精炼和去重。

ACE 从展开中学习洞见，推动自管理记忆的发展，但其更新规则和工作流仍是手工设计的。Meta Context Engineering（MCE）[8] 将机制（如何管理上下文）与制品内容（上下文中有什么）分离，在元优化层面运行技能演化，在基础层面运行上下文优化。

MCE 中的技能 s∈Ss \in S 定义了上下文函数 cs=(ρs,Fs)c_s = (\rho_s, F_s)，将输入 xx 映射到上下文 c=Fs(x;ρs)c = F_s(x; \rho_s)，其中 ρs\rho_s 为静态组件（提示、知识库、代码库），FsF_s 为动态算子（搜索、选择、过滤、格式化）。双层优化公式为：

Meta-Harness[9] 将优化目标进一步深入：被优化的对象是决定什么信息应被存储、检索和呈现给模型的代码本身。其命名中的"Meta"意味着它是优化 Harness 的 Harness。

提出新 Harness 的提议者本身是一个编码agent，最终输出是帕累托前沿上的一组 Harness 候选。整个执行历史通过文件系统访问，编码agent使用grep或cat等命令阅读历史，而非将所有内容塞入单个提示上下文。

核心启示在于：一旦 Harness 设计成为可执行的搜索空间，强大的编码agent就能利用人类工程师所使用的同一设计空间。

3.2 工作流设计

工作流设计可由领域专家手工构建。以自动研究为例，AI Scientist[10] 构建了一条从提出研究想法、编写代码、运行实验、分析结果、撰写手稿到同行评审的完整流水线。ScientistOne[11] 将可验证性作为核心设计约束，每条声明（引用、数值、方法论、结论）都必须追溯到证据源，并通过 Chain-of-Evidence 审计。

Autodata[12] 作为数据科学家agent，旨在生成训练和评估数据。主agent管理挑战者（提出问题）、弱求解器、强求解器和验证器/裁判，目标是合成"恰好合适"难度的数据——即强求解器成功而弱求解器失败的任务。

工作流设计空间极其庞大，可将其视为搜索问题。Automated Design of Agentic Systems（ADAS）[13] 将agent设计本身形式化为优化问题，由元agent提出新的工作流设计。初始化一个包含简单agent（如 CoT、self-refine）的档案库后，元agent受档案库中已有方案启发，以代码形式编程新agent，经自精炼检查新颖性后评估，成功者加入档案库。

AFlow[14] 将agent工作流表示为图，节点为 LLM 调用动作，边为代码实现的逻辑操作。工作流优化依赖蒙特卡洛树搜索（MCTS），在 QA、代码和数学任务上表现出对手工工作流和 ADAS 的改进。

3.3 自我改进的 Harness

上下文工程和工作流设计仅是 Harness 的局部。完整的 Harness 搜索需要同时优化上下文管理逻辑、工作流、权限控制等多个组件。代码是定义程序和系统的通用语言——一个 Harness 本质上是一段协调提示、工具调用、子agent、控制流、记忆和工作流逻辑的代码。如果 LLM 能够优化执行agent的代码，它就能访问比手写提示大得多的设计空间。

Self-Taught Optimizer（STOP）[15] 是递归支架改进的早期实例。种子改进器 I_0 在步骤 t=0接收初始解 s、效用函数 u 和黑盒语言模型 M，返回改进解 s'。STOP 的目标不是直接改进 s，而是改进改进器 I 本身。元效用定义为改进器函数 I 在下游任务集合 D 上的平均效用：

通过递归自改进更新：

实验中，STOP 在 GPT-4 上实现了跨迭代平均下游性能的提升，但在 GPT-3.5 和 Mixtral 等较弱模型上出现退化。这表明递归结构本身不够——基座模型必须具备足够的智能才能改进机制。

Self-Harness[16] 依赖 LLM agent通过"提出-评估-接受"循环改进自身 Harness，包含三个阶段：

弱点挖掘：将失败聚类为验证器基础的失败模式，需记录包含终端验证器级原因、相关agent行为的因果状态以及轨迹暴露的抽象agent机制的丰富信息。

Harness 提议：基于挖掘的失败模式提出有界 Harness 编辑，需考虑当前 Harness 的可编辑表面、验证器基础的失败模式、应保留的通过行为记录以及先前尝试的编辑摘要。

提议验证：在保留集上评估候选编辑，仅在无回归时接受并合并。

3.4 进化搜索

进化搜索受自然选择启发，通过变异种群中的解并保留高适应度个体来优化。当搜索空间庞大或形状不规则、难以用梯度直接优化但易于评估解时，进化搜索尤为适用——Harness 搜索恰好符合这些条件。

AlphaEvolve[17] 作为编码agent进化搜索系统，存储候选程序池并提示冻结的 LLM 生成改进差异。设计上的关键细节包括：提示包含父程序、结果和指令；代码改进区域以

EVOLVE-BLOCK-START和# EVOLVE-BLOCK-END显式标记；元提示与指令和上下文共同进化。

Darwin Gödel Machine（DGM）[18] 明确以可编辑的 Harness 代码仓库为进化目标。从池中一个编码agent开始，每次迭代按性能正比、子代数量反比的概率选择父agent，由其检查自身基准评估日志并提出 Harness 代码库改进。以 Claude 3.5 Sonnet 为基座 LLM，DGM 发现的agent在 SWE-bench Verified 上从 20% 提升至 50%，在 Polyglot 上从 14.2% 提升至 30.7%。

3.5 与模型权重的联合优化

Harness 进化改变的是模型周围的非参数化系统。为实现完全的自我改进，模型也可以同时更新自身权重。SIA[19] 是将 Harness 改进和模型参数更新纳入同一优化循环的早期尝试，包含三个组件：

元agent：提出初始 Harness。

任务agent：执行任务。

反馈agent：根据近期轨迹决定下一步是更新 Harness 还是模型权重。

SIA 的实验存在一些混淆因素（如任务agent使用的模型远弱于元agent和反馈agent的模型），其结果应被视为初步证据。训练稳定性和 Goodhart 效应等挑战仍然存在。

3.6 面向自演进的系统基础设施

前面介绍的优化方法大多在实验室或单任务场景中验证，而企业级大规模agent服务面临的挑战有所不同。Yan et al. (2026) 在 AReaL 2.0 [28] 中指出，自演进agent在企业级部署中受阻的根本原因不在于 RL 算法本身，而在于缺乏支撑在线agent强化学习的系统基础设施。当前部署的 LLM agent在权重、系统提示、工具库和上下文 Harness 均在部署时冻结，任何改进都依赖人工数据收集、离线微调、范式修改和重新部署的手动循环。

该论文提出下一代agent RL 系统须围绕三大支柱协同设计：

支柱一：agent轨迹数据协议（Agent Trajectory Data Protocol, ATDP）。现有agent日志通常记录提示、补全、工具调用、延迟和错误等信息，适用于调试但不适用于在线 RL。学习就绪的轨迹必须保留步粒度的决策过程：agent可用的观察、相关内部或 Harness 状态、选择的动作、动作结果、延迟到达的奖励或批评信号，以及模型版本、工具模式、租户、成本和治理状态等元数据。ATDP 需厂商中立、框架无关，支持延迟反馈和奖励增强，保留版本化溯源以支持反事实重放，并从一开始就编码隐私、访问控制、保留期限和训练资格字段。

支柱二：企业级agent数据agent（Agentic Data Proxy）。ATDP 规定须表示什么，数据agent规定如何在异构企业环境中产生这些表示。由于部署的agent不会基于单一框架或提供商，数据agent须在稳定的执行边界处拦截：LLM 调用、工具调用、检索调用、记忆读写、文件或浏览器操作、审批事件、用户纠正和最终任务结果。其角色不仅是导出轨迹，而是通过脱敏敏感字段、执行访问控制和保留策略、附加溯源、采集弱信号和延迟奖励，将生产工作转化为受治理的学习材料。关键在于区分确定性重放、近似重放和不可重放事件——企业学习系统须能回答"在不同提示、模型检查点、记忆条目或工具模式下，agent是否仍会成功"。

支柱三：统一agent演进控制平面（Agent Evolution Control Plane）。自演进不应等同于盲目更新模型权重。部署的agent是一个由基座 LLM、上下文 Harness、记忆、工具和护栏组成的复合策略，不同的失败需要不同的干预表面：反复缺失的事实可能需要记忆插入，工具路由失败可能需要 Harness 或模式编辑，可复用的程序性失败可能需要技能补丁，跨租户、任务和工具配置持续出现的广泛失败则可能需要通过 SFT、偏好优化、在线 RL 或蒸馏来更新模型权重。控制平面将自演进视为一个受治理的决策问题——给定一组 ATDP 轨迹、轨迹统计、评估器分数、用户纠正率、工具失败聚类、成本信号、安全约束和分布漂移指标，在记忆更新、技能更新、Harness 编辑、工具模式变更、策略更新、回滚或无操作之间做出选择。每项选定的干预须经过先重放评估、离线回归测试、租户感知安全检查和版本化回滚。

AReaL 2.0 作为该愿景的一个限定分支原型，聚焦于在线策略 LLM 权重更新这一代表性演进路径，展示了如何将现有离线后训练 RL 框架重组为面向agent服务的在线 RL 循环：部署的agent服务可将 LLM 推理调用重定向至 AReaL 2.0 管理的agent计算工作节点，交互轨迹则由 RL 训练管线捕获和消费 [29]。

这一工作将 Lilian Weng 所述的优化对象演进路径（指令提示 → 结构化上下文 → 工作流 → Harness 代码 → 优化器代码）进一步延伸至系统级的自动决策层——不仅优化某一特定表面，而是自动决定该优化哪一个表面。SIA 的反馈agent是这一思路的雏形，而 AReaL 2.0 的控制平面将其系统化为企业级的多表面治理框架。

3.7 自演进agent的理论框架与生态全景

自演进agent作为一个独立研究方向，已形成从理论框架到关键实现技术再到评测基准的初步生态。两篇 2025–2026 年的综述为该领域建立了统一的术语体系和分类标准。

Gao et al. (2026) [30] 在首篇系统性综述中围绕"进化什么""何时进化""如何进化"三大维度完成全领域梳理，覆盖模型、记忆、工具、架构四类可进化组件，区分测试内迭代与长期在线演化等进化阶段，对比标量奖励、文本反思、单/多智能体协同等进化机制。Fang et al. (2025) [31] 则提出了自进化智能体的统一反馈循环抽象框架，包含输入、智能体、环境、优化器四大核心模块，并提出了自进化"三定律"：安全适应、性能保持、自主进化——为系统的安全可控提供了设计原则。

3.7.1 递归自指框架

Gödel Agent[32] 受哥德尔机理论启发，提出了首个工程可落地的全自指递归自进化框架。区别于固定架构、固定元学习算法的传统agent，Gödel Agent 可在运行时读取并动态改写自身的决策逻辑、工具调用策略与优化算法，无需预设参数搜索空间。在数学推理、科学问答和代码生成任务上，它超越了 ReAct 和 MetaAgent Search 等基线，能自主演化出启发式搜索和回溯等复杂求解策略。

与本文前述的 DGM（Darwin Gödel Machine）[18] 相比，Gödel Agent 侧重单agent的递归自指修改，而 DGM 引入了种群层面的开放式进化搜索，二者从不同角度推动了递归自改进的理论边界。后续工作Polaris[33] 将此框架推广至小语言模型（7B），通过经验抽象（experience abstraction）与最小补丁修复（minimal code patch repair），在多项基准测试上实现了超过大模型的性能，表明递归自进化并非大模型专属。

3.7.2 轻量化自进化范式

并非所有自进化路径都需要修改模型权重或重写代码。Reflexion[34] 开创了无微调的轻量化自进化范式：agent对任务中的错误进行语言层面的自我反思，将反思文本保存在情景记忆缓冲区中，以指导后续尝试。这一方法计算成本极低，不改动模型权重即可实现迭代提升，已成为几乎所有自进化工作的对比基线。

MetaAgent[35] 聚焦工具侧自进化，以"做中学"为原则，从最小化工作流开始，在任务执行中持续反思与验证，将经验浓缩为可迁移文本动态融入后续上下文，同时通过管理工具使用记录构建持久的内部知识库与工具体系，实现零模型微调的自进化。

Agent0[36] 提出了零外部数据的双agent协同自进化范式：课程agent持续生成难度递增的前沿任务，执行agent借助工具完成求解，执行能力提升倒逼课程agent产出更复杂任务。基于 Qwen3-8B 的实验显示，该方案将数学推理性能提升 18%、通用推理性能提升 24%，彻底摆脱了对人工数据集的依赖。

3.7.3 多agent去中心化协同进化

MorphAgent[37] 针对中心化调度瓶颈，提出去中心化协同自进化框架：agent可自主演化专属角色档案、动态调整集群协作拓扑，无需中心管控即可在开放环境中自主分工、互相学习迭代。其分布式经验沉淀机制实现了跨agent能力迁移，适用于机器人集群、分布式 AI 协作平台等场景。这一工作填补了集群层面自主分工与动态角色迭代的技术空白。

3.7.4 标准化协议与基础设施

Autogenesis Protocol（AGP）[38] 从系统架构视角提出了双层标准化自进化协议：资源基底协议层（RSPL）统一建模提示词、agent、工具、记忆等全量可进化资源；自进化协议层（SEPL）定义带审计、回滚能力的闭环进化算子，实现进化对象与进化逻辑解耦。基于 AGP 构建的多agent系统在长时序、多工具复杂基准上优于基线，为工业化可管控的自进化agent提供了统一底层标准。

AgentGym[39] 推出了领域首个统一多环境agent训练与自进化开源平台，集成 14 类异构交互环境、标准化专家轨迹数据集 AgentTraj 与统一评测基准 AgentEval，配套跨环境自进化算法 AgentEvol，解决了环境碎片化和缺少通用评测工具的行业痛点。

3.7.5 评测基准：从实验室到经济价值场景

自进化agent的评测本身是一个独立挑战。GDPevo[40] 据称是首个在具有真实经济价值（GDP 相关）的任务上专门评估agent自进化能力的基准。它覆盖 CRM、ERP 和金融三大场景共 120 个真实企业任务，采用"规则杂交"技术——将复杂业务逻辑拆分为元规则分散藏入训练集，再将其重新组合为测试题——以区分"背答案"和"学规则"。GDPevo 使用确定性规则打分器而非 LLM-as-a-Judge，保证分数可复现且失败可追溯。实验显示，当前主流agent（Claude Code、Codex）的自进化能力可将测试准确率提升约 17–22%，同时降低 Token 消耗。

该基准揭示了一个重要信号：当前agent已具备一定的自进化能力，但评估方法的成熟度仍是制约研究进展的瓶颈。GDPevo 采用端到端全自动的基准构建流程以对抗数据泄露，这一思路与 Loop Engineering 的理念一脉相承——当出题速度超过模型记忆泄露答案的速度时，基准始终保持有效。

3.7.6 错误进化风险

自进化并非总是朝正确方向演进。Misevolution[41] 研究了自进化agent的"错误进化"风险：agent可能从经验中学到错误模式并将其固化为行为策略，导致性能退化而非提升。这一问题与本文第 4.5 节讨论的奖励黑客密切相关，但更为隐蔽——错误进化不一定源于奖励信号被优化，而可能源于agent从有限经验中归纳出错误的因果推断。这要求自进化系统具备错误检测与回滚机制，而非无条件接受所有"学到的"改进。

3.7.7 Skill 作为 Harness 自进化的初级形式与产业实践

崔添翼（DeepSeek Harness 负责人）在转发翁荔博文时提出了一个重要的分层观察：Skill 是 Harness 自进化中比较初级的一种形式，即从 prompt 层面进行自进化[42]。这一观点为 Harness 优化路径提供了一个更精细的梯度划分——从 prompt 层的 Skill 自进化，到上下文工程的结构化演化，再到 Harness 代码层面的重写，自进化的深度逐级递增。Skill 层面的自进化门槛最低、见效最快，是 Harness 自进化最务实的入口。

这一判断已获得产业界的验证。DeepSeek 在 2026 年中期已形成"模型 + Harness"双轮驱动的研发模式，由专职团队推进 Agent 架构、上下文管理、多智能体调度和工具集成方向的工程化 [42]。这一模式并非 DeepSeek 独有——头部 AI 公司均在向"模型 + 模型外系统"的双轮配置迁移：OpenAI 以 GPT 模型配合 Function Calling 与 GPT-Live 工具 Harness；Anthropic 以 Claude 模型配合 Claude Code 编程 Harness 与 MCP 工具协议；Google 以 Gemini 模型配合 Agent Kit 多模态 Harness。

从产业边界视角审视，当前主流编码代理产品（Cursor、Claude Code、Devin、通义灵码等）本质上都是 Harness 公司——它们的核心竞争力不在基座模型，而在于 Harness 工程质量和工具生态的成熟度。Harness 正在成为"模型变现的最后一公里"：同一个基座模型放入不同 Harness 中可能表现出完全不同的能力，这一观察已从少数人的经验判断演变为产业共识 42。GitHub Trending 数据也佐证了这一趋势——Agent/Harness 类项目持续占据前列，而纯模型项目逐渐退出热门榜单。

翁荔（前 OpenAI 安全副总裁、Thinking Machines Lab 联合创始人）与崔添翼（DeepSeek Harness 负责人）在 Harness 自进化方向上的共识具有标志性意义。两位横跨中美 AI 研究圈的代表性人物罕见达成一致，表明"自进化先从 Harness 开始"已不是个别观点，而是产业级判断 42。这与本文 2.5.1 节论述的元方法论转向形成呼应——Harness 工程的竞争重心正从"训练侧"（谁的模型更大）转向"工程侧"（谁的 Harness 更优），AI 产业的护城河正在从"模型权重"向"Harness 工程质量 + 工具生态 + 上下文管理能力"迁移。

3.7.8 自进化的使能条件与耦合动力学

Apodex（陈天桥创立的 AI 公司，专注"发现模型" Discovery Model）的两位首席科学家杜少雷与 Beibin Li 在 2026 年 7 月的深度对话中 [44]，从工业实践角度揭示了自进化闭环的若干使能条件和耦合关系，为本文的理论框架提供了实践佐证。

编码能力作为自进化的底座。训练一个模型本质上是数据、基础设施和算法三件事，而这三者都高度依赖代码——合成数据生成、自然语言数据清洗、训练代码和底层 infra 代码均以代码形式存在。一旦模型的编码能力足够强（如 Anthropic 报告其 80% 的代码由模型自身编写），用它来进行自我提升就成为非常自然的事情 [44]。这一观察为本文 3.7.7 节的 Skill 分层观点提供了更底层的解释：Skill 层面的自进化之所以是最务实的入口，正是因为它直接利用了编码这一使能能力。换言之，编码能力是自进化阶梯的地基——没有足够强的编码能力，上层的历史记忆、上下文工程和 Harness 代码重写都无法有效运作。

Harness 与后训练的耦合进化。Apodex 的实践揭示了一个前文尚未充分讨论的动力学：Harness 进化与后训练进化难以解耦，二者构成交替推进的耦合关系[44]。模型在后训练阶段进化后，Harness 也需要相应进化以匹配新的模型能力；Harness 的改进又反过来为下一轮后训练提供更好的训练环境。这一"两只脚交替踩"的模式与本文 3.5 节 SIA 的"反馈代理决定改 Harness 还是改权重"形成了互补——SIA 将两者视为可选的替代路径，而 Apodex 的实践表明它们在实践中更可能是耦合的协同进化关系。AReaL 2.0 的控制平面（3.6 节）在设计上已隐含了这一耦合——它在记忆、技能、Harness、工具模式和权重之间做选择时，实际上是在不同表面之间推进耦合进化。

搜索能力作为自进化的导航器。后训练自进化的核心循环是"诊断自身缺陷 → 针对性造任务和答案 → 训练 → 验证 → 再诊断"。在这一循环中，搜索能力承担着导航器的角色——模型需要搜索与自身弱点对应的资料和数据来构造训练任务 [44]。这使得 Deep Research（深度研究）能力不仅是面向用户的应用，更是自进化循环内部的基础设施。搜索能力本质上代表了"当模型需要提高某个能力时，能否找到对应的数据来提升"这一使能条件。

3.7.9 递归漂移与多代理验证

"递归漂移"（Recursive Drift）是自进化面临的一个比错误进化更为根本的挑战。Apodex 团队将其精确表述为：模型在自行生成训练数据时，即使最终答案正确，推理过程中的错误也会逐代累积，最终导致进化结果偏离正轨[44]。这一问题与本文 4.6 节讨论的错误进化有交集但侧重不同——错误进化关注的是行为策略层面的错误固化，而递归漂移关注的是推理过程层面的误差累积，即使外在表现（答案）正确也可能发生。

递归漂移的严重程度与验证难度高度相关。在代码和数学领域，基于规则的验证（单元测试、Lean 形式化验证）能较好地控制漂移，因为验证信号客观且精确。但即便如此，测试代码本身也可能存在"太宽"（让错误代码通过）或"太窄"（惩罚正确代码）的问题，导致细微漂移仍然发生 [44]。在缺乏标准答案的开放性研究领域，递归漂移的控制则几乎缺乏可靠手段。

Apodex 的应对方案揭示了多代理验证范式的工程价值。其核心设计是Agent Team：问题被分解后，不同子代理分别负责解题和验证，验证代理与解题代理分离以避免上下文污染和角色冲突 [44]。此外引入冗余机制——同一问题由多个独立代理求解，再由全局代理判断哪个答案更可靠。这一设计基于一个结构性的判断：在当前 Self-attention 架构下，上下文越长注意力效果越差，单个模型处理超长上下文存在本质上限，因此多代理协作不是性能优化而是架构必然 [44]。

这一观点为本文 2.3 节的子代理并行模式提供了更深层的理论依据——子代理并行的设计动机不仅是避免上下文污染和提高并行效率，更是为了绕过单模型注意力衰减的结构性约束。Apodex 的实践也表明，裁判（验证器）应在训练过程中一起学习，以避免模型学会讨好裁判的奖励黑客行为 [44]——这与 Self-Harness 的回归测试和 AReaL 2.0 的版本化回滚形成了方法论上的呼应。

3.7.10 科学品味作为元能力

Apodex 团队提出的"发现模型"（Discovery Model）概念指向了自进化的一个更高维度挑战：模型不仅需要解题能力，还需要科学品味——即判断哪些问题值得追求、哪些结果令人惊讶且值得深入的能力[44]。

这一观点与 Lilian Weng 在第 4.1 节中提出的"研究品味难以量化"形成互补。Weng 从评估器角度指出研究品味的不可量化性，而 Apodex 的实践则从训练角度揭示了更深层的问题："会提问"是一种比"会解题"更高维的元能力，涉及自我诊断、自我造题和自我训练的后训练循环 [44]。当前模型的训练范式已能较好地培养解题能力（如 SWE-bench Verified 类任务），但如何训练模型提出有价值的创新假设——尤其是 out-of-distribution 的假设——仍是一个未调通的问题。

这一挑战与本文 2.5.1 节的元方法论转向形成呼应：元方法论要求优化"获取更优答案的机制"，而科学品味恰恰是这一机制中最高阶的组件——它决定了模型在无限的假设空间中应该搜索哪个方向。当前的自进化系统（如 STOP、Self-Harness、DGM）主要在已知任务空间内搜索改进，而科学品味的培养则要求模型具备在未知空间中导航的能力，这可能是实现完全 RSI 的最后一道门槛。

关于自进化闭环的实现时间线，Apodex 团队预测最快半年内 AI 即可跑通一次完整的自我进化闭环 [44]。业界数据显示，模型可完成的任务时长约每 7 个月翻一番（从 2024 年 3 月 Claude 3 Opus 的 4 分钟到 2026 年 Claude 4.6 Opus 的 12 小时），这一增速超过了经典摩尔定律 [44]。长程任务能力的指数级增长是 RSI 中"R"（递归）得以实现的前提条件——只有当模型能在无人类监督下持续工作足够长时间时，多轮自我改进才成为可能。

4 未来挑战

4.1 评估器的脆弱性与模糊性

许多研究声明缺乏快速精确的验证器，现实世界任务亦然。当前自改进循环在评估指标可测量且客观的任务上表现最佳，类似于 RL 的适用条件。研究品味、新颖性和长期科学价值则难以量化——研究品味往往混合了问题构建、实验设计以及对哪些令人惊讶的结果值得追求、哪些失败案例值得重试的判断。

4.2 上下文与记忆生命周期

随着 AI agent变得更加自主，记忆管理需求持续增长。有用的 Harness 需要管理上下文和记忆，以弥补长上下文生成的现有局限，同时最大化长时程任务的成功率。人类能够在一生中维护记忆，这暗示上下文工程应成为智能的核心组成部分，而非停留在软件系统层。

4.3 负面结果的利用

文献中成功结果的发表偏差使得 LLM 在判断何时放弃假设、报告负面结果或承认失败方面可能表现不佳。研究 Harness 应使失败尝试易于保留，因为从失败中学习是缩减任务搜索空间的最佳途径。

4.4 多样性坍缩

进化和 RL 循环倾向于利用已知的高奖励模式。需要防止种群坍缩为同一解决方案的变体，这对于开放式研究尤为关键——最佳路径在当前评估器下可能最初表现更差。

4.5 奖励黑客

自改进循环优化其获得的任何信号。如果奖励来自单元测试，agent可能过拟合测试；如果来自裁判模型，可能学习针对该裁判的奖励黑客技巧；如果来自基准分数，可能利用基准制品。评估器和权限控制应位于进化 Harness 的循环之外，配合保留测试、轨迹审计和关键决策点的人工审查。

4.6 错误进化

自进化并非总是朝正确方向演进。agent可能从有限经验中归纳出错误的因果推断，并将其固化为行为策略，导致性能退化而非提升 [41]。这一问题比奖励黑客更为隐蔽——错误进化不一定源于奖励信号被刻意优化，而可能源于agent从非代表性样本中学习。例如，agent在某类任务上反复成功后，可能错误地将成功归因于无关因素，并在新任务中重复不适用策略。这要求自进化系统具备错误检测与回滚机制（如 AReaL 2.0 控制平面中的版本化回滚和 Self-Harness 中的回归测试），而非无条件接受所有"学到的"改进。GDPevo 基准的"规则杂交"设计 [40] 从评测侧对抗了这一问题——只有真正泛化了规则的agent才能通过测试，背答案的agent会被识别。

4.7 长期成功

以编码agent为例，许多优化目标仍然过于短期。agent可以完成手头任务，但如何保护由数百或数千名工程师共同维护的代码库的长期健康则不够明确。标准沙箱 RLVR 式训练很少涵盖可维护性、所有权边界、迁移成本、向后兼容性或未来调试负担。

4.8 人类的角色

人类应向栈的上层移动而非被移出循环，即在正确的抽象层级和正确的时间点提供监督。系统设计应考虑何时以及如何设置此类接触点。上述诸多挑战需要人类的反馈和引导——毕竟，我们构建技术是为了人类更美好的未来，而非相反。

5 结论

Harness 工程正从提示模板组合演变为运行时系统设计，其在 RSI 路径中的地位日益关键。本文梳理了三大设计模式（工作流自动化、文件系统持久记忆、子agent并行）、六条优化路径（上下文工程、工作流设计、自我改进循环、进化搜索、权重联合优化、面向自演进的系统基础设施）以及自演进agent的理论框架与生态全景（递归自指、轻量化范式、多agent协同、标准化协议、评测基准、错误进化风险、Skill 分层与产业实践、使能条件与耦合动力学、递归漂移与多代理验证、科学品味作为元能力），揭示了从手工启发式到自动化搜索再到系统级治理的方法论迁移趋势。

研究发现，一旦 Harness 设计成为可执行的搜索空间，强大的编码agent能够利用与人类工程师相同的设计空间进行探索。AReaL 2.0 的工作进一步表明，自演进agent在企业级部署中的瓶颈不在 RL 算法，而在系统基础设施——需要标准化的轨迹数据协议、企业级数据agent和统一的演进控制平面三大支柱协同。与此同时，Gödel Agent 和 DGM 从递归自指与开放式进化两个方向推进了理论边界，Reflexion 和 MetaAgent 证明了轻量化自进化范式的可行性，GDPevo 基准表明当前agent已具备一定的自进化能力（准确率提升 17–22%）。崔添翼提出的"Skill 是 Harness 自进化的初级形式"为优化路径提供了更精细的梯度划分，而头部 AI 公司向"模型 + Harness"双轮驱动模式的迁移则标志着产业级共识的形成。Apodex 的工业实践进一步揭示了编码能力作为自进化底座、Harness 与后训练的耦合进化、搜索能力作为自进化导航器等使能条件，以及递归漂移和多代理验证、科学品味作为元能力等深层挑战。然而，递归结构本身不足以驱动自我改进——基座模型必须具备足够的智能才能改进机制。评估器质量、多样性维持、奖励黑客、错误进化、递归漂移等问题仍是实现完全 RSI 的关键瓶颈。未来研究需要在自动化效率与人类监督之间找到平衡，使 Harness 改进既可扩展又可控。

参考文献

[1] Good, I. J. "Speculations Concerning the First Ultraintelligent Machine."Advances in Computers, 6:31–88, 1965.

[2] Yudkowsky, Eliezer. "Recursive Self-Improvement." LessWrong, 2008.

[3] Anthropic. "Recursive Self-Improvement." Anthropic Institute, 2026.

[4] OpenAI. "How Agents Are Transforming Work." OpenAI Blog, 2026.

[5] Karpathy, A. "autoresearch." GitHub repository, 2026.

[6] Weng, Lilian. "Prompt Engineering." Lil'Log, Mar 2023.

[7] Zhang, et al. "Agentic Context Engineering: Evolving Contexts for Self-Improving Language Models." ICLR 2026.

[8] Ye, et al. "Meta Context Engineering via Agentic Skill Evolution." arXiv:2601.21557, 2026.

[9] Lee, et al. "Meta-Harness: End-to-End Optimization of Model Harnesses." arXiv:2603.28052, 2026.

[10] Lu, et al. "Towards End-to-End Automation of AI Research."Nature, 651:914–919, 2026.

[11] Meng, et al. "ScientistOne: Towards Human-Level Autonomous Research via Chain-of-Evidence." arXiv:2605.26340, 2026.

[12] Kulikov, et al. "Autodata: An Agentic Data Scientist to Create High Quality Synthetic Data." arXiv:2606.25996, 2026.

[13] Hu, Lu, and Clune. "Automated Design of Agentic Systems." ICLR 2025.

[14] Zhang, et al. "AFlow: Automating Agentic Workflow Generation." ICLR 2025.

[15] Zelikman, et al. "Self-Taught Optimizer (STOP): Recursively Self-Improving Code Generation." COLM 2024.

[16] Zhang, et al. "Self-Harness: Harnesses That Improve Themselves." arXiv:2606.09498, 2026.

[17] Novikov, et al. "AlphaEvolve: A Coding Agent for Scientific and Algorithmic Discovery." arXiv:2506.13131, 2025.

[18] Zhang, et al. "Darwin Gödel Machine: Open-Ended Evolution of Self-Improving Agents." arXiv:2505.22954, 2025.

[19] Hebbar, et al. "SIA: Self Improving AI with Harness & Weight Updates." arXiv:2605.27276, 2026.

[20] Trehan and Chopra. "Why LLMs Aren't Scientists Yet: Lessons from Four Autonomous Research Attempts." arXiv:2601.03315, 2026.

[21] Fernando, et al. "Promptbreeder: Self-Referential Self-Improvement Via Prompt Evolution." arXiv:2309.16797, 2023.

[22] Agrawal, A. et al. "GEPA: Reflective Prompt Evolution Can Outperform Reinforcement Learning." arXiv:2507.19457, 2025.

[23] Lange, Imajuku, and Cetin. "ShinkaEvolve: Towards Open-Ended And Sample-Efficient Program Evolution." arXiv:2509.19349, 2025.

[24] Wang, et al. "ThetaEvolve: Test-time Learning on Open Problems." arXiv:2511.23473, 2025.

[25] Zhang, et al. "Hyperagents." arXiv:2603.19461, 2026.

[26] Madaan, et al. "Self-Refine: Iterative Refinement with Self-Feedback." NeurIPS 2023.

[27] Bubeck, et al. "Early Science Acceleration Experiments with GPT-5." arXiv:2511.16072, 2025.

[28] Yan, et al. "Next-Generation Agentic Reinforcement Learning Systems Enable Self-Evolving Agents." arXiv:2607.01120, 2026.

[29] AReaL Project. "AReaL 2.0: Agent-Oriented Online RL Infrastructure." GitHub repository, https://github.com/areal-project/AReaL, 2026.

[30] Gao, et al. "A Survey of Self-Evolving Agents: On Path to Artificial Super Intelligence." arXiv:2507.21046, 2026.

[31] Fang, et al. "A Comprehensive Survey of Self-Evolving AI Agents: A New Paradigm Bridging Foundation Models and Lifelong Agentic Systems." arXiv:2508.07407, 2025.

[32] Yin, et al. "Gödel Agent: A Self-Referential Agent Framework for Recursive Self-Improvement."Proceedings of ACL, 2025.

[33] "Polaris: A Gödel Agent Framework for Small Language Models through Experience-Abstracted Policy Repair." arXiv, 2026.

[34] Shinn, et al. "Reflexion: Language Agents with Verbal Reinforcement Learning."NeurIPS, 2023.

[35] Qian and Liu. "MetaAgent: Toward Self-Evolving Agent via Tool Meta-Learning." arXiv:2508.00271, 2025.

[36] Xia, et al. "Agent0: Unleashing Self-Evolving Agents from Zero Data via Tool-Integrated Reasoning."ICLR 2026 Workshop RSI, 2026.

[37] Lu, et al. "MorphAgent: Empowering Agents through Self-Evolving Profiles and Decentralized Collaboration." arXiv:2410.15048, 2025.

[38] Zhang, et al. "Autogenesis: A Self-Evolving Agent Protocol." arXiv:2604.15034, 2026.

[39] Xi, et al. "AgentGym: Evolving Large Language Model-based Agents across Diverse Environments." arXiv:2406.04151, 2024.

[40] Prism-Shadow. "GDPevo: A Benchmark for Evaluating Agent Self-Evolution on GDP-Related Tasks." 2026. https://github.com/Prism-Shadow/GDPevo

[41] Ren, et al. "Misevolution: On the Risk of Error Evolution in Self-Evolving Agents." 2026.

[42] 崔添翼（DeepSeek）. 社交媒体转发评论. https://x.com/tianyi/status/2074475185957380379, 2026年7月.

[43] 量子位. "翁荔新博客提出「自进化先从Harness开始」，DeepSeek崔添翼转发附议." 2026年7月. https://www.qbitai.com/2026/07/442134.html

[44] 硅谷101播客. "E242｜最快半年AI跑通自进化？与陈天桥首席科学家聊聊硅谷模型必争之地." 2026年7月. 嘉宾：杜少雷（Apodex首席科学家、华盛顿大学副教授）、Beibin Li（Apodex首席科学家）. https://www.youtube.com/watch?v=VGIbhIW5ljk

跳转微信打开

以下文章来源于：华为安全应急响应中心

华为安全应急响应中心（HUAWEI PSIRT）官方公众号。

AI正重构安全攻防成本结构：基础漏洞发现、变体分析等环节已获效率提升，但复杂利用与责任判断仍依赖人力。这推动企业安全建设从“多发现问题”转向“快验证、快修复、严治理”，安全人员需上移至系统理解、流程编排等更高阶能力。攻防重心正向纵深治理迁移。

系列连载未完待续，下篇敬请期待。

本公众号发布、转载的文章所涉及的技术、思路、工具仅供学习交流，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

点这里 关注我们，一键三连～

跳转微信打开

以下文章来源于：华为安全应急响应中心

华为安全应急响应中心（HUAWEI PSIRT）官方公众号。

AI正重构安全攻防成本结构：基础漏洞发现、变体分析等环节已获效率提升，但复杂利用与责任判断仍依赖人力。这推动企业安全建设从“多发现问题”转向“快验证、快修复、严治理”，安全人员需上移至系统理解、流程编排等更高阶能力。攻防重心正向纵深治理迁移。

系列连载未完待续，下篇敬请期待。

本公众号发布、转载的文章所涉及的技术、思路、工具仅供学习交流，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

点这里 关注我们，一键三连～

跳转微信打开

以下文章来源于：华为安全应急响应中心

华为安全应急响应中心（HUAWEI PSIRT）官方公众号。

AI正重构安全攻防成本结构：基础漏洞发现、变体分析等环节已获效率提升，但复杂利用与责任判断仍依赖人力。这推动企业安全建设从“多发现问题”转向“快验证、快修复、严治理”，安全人员需上移至系统理解、流程编排等更高阶能力。攻防重心正向纵深治理迁移。