本期重点判断 触觉输入也能被一次部署、长期触发的物理对象控制 PhantomTac将磁性触觉读数误差传播到机器人动作，且CCS接收已由官方名单核实。与机器人控制器安全公告对读：认证和安全更新处理数字控制面，外部信号真实性还需要单独的闭环实验。
2610.26174 · 2610.23566 一致性检测与鲁棒训练要同时交代正常性能代价 船舶外观—运动一致性和视觉地点识别的锚定对抗训练从不同角度约束感知异常。共同评估重点是正常样本损失、未见场景和适应性攻击；不能用回放结果推断真实海面或实车部署保证。
2611.00367 · 2611.05286 IoT安全评估需要跟着设备和应用状态移动 跨行业漏洞测量提醒研究样本不能止于智能家居，物理层认证还必须明确实时中继等未覆盖攻击。QNAP第三方应用通告进一步说明OS更新、应用修复和清除既有入侵是不同验收项。
2610.42032 · 2610.41579 签名、合法工具与长期记忆都不能单独证明动作获准 签名handoff、能力令牌、上下文压缩和工具投毒论文分别指向不同授权边界。Dispatch披露则给出界面批准通道可能受控的现实例子。启发是把requirement、记忆与实际效果的授权证据串联，而非只观察自然语言拒绝。
2611.07483 · 2611.03223 · 2611.00729 时间范围与证据说明 本期由11月7日晚22:00调度触发，目标为11月8日日期的前夜提前版；本次处理跨日，实际为延迟发布，真实生成时间另列，不宣称已在前夜完成。信息截止锁定11月7日22:05:14 Asia/Singapore，仅选此前已公开资料；时间窗口依此截止点计算。原始arXiv最新可访问cs.CR列表与上一期一致，24小时内未取得足够去重高质量新稿，依次扩展至7天及30天，最终15篇逐项标真实日期/可核实时间范围，不能依据arXiv编号月份代替提交日期。另以Illusion of Depth（9月14日）和NDSS2026的PhantomMotion两篇重要较早论文补充传感器专题，明确超过30天，不冒充新稿；没有首发日证据时如实注明。CameraBlinder只有名单无可取全文，MAPLE-Sec平台信息存疑，另有授权范围稿日志/奖励混杂，均未为了凑数纳入推荐。5条独立行业事件均为近7天内公开；11月8日之后的事件或新信息不纳入。本期与此前61篇唯一ID及规范化标题去重。
原始书目、作者、日期与技术数据按arXiv摘要及HTML/PDF逐篇核对；PhantomTac与Illusion of Depth接收状态额外核对ACM CCS2026官方名单，PhantomMotion依据NDSS原始页面及全文。其余未经核实的正式venue不标CCF-A，预印本与同行评审状态分开。已查询四大安全会议原始入口：NDSS/CCS名单可读，USENIX入口403，IEEE所试路径返回旧年份内容，因此不声称已完整覆盖或穷尽顶会新稿。OpenAlex已辅助发现候选，但泛匹配结果未直接充当推荐依据。本期跨库自动核验不可用，保留自动UNVERIFIED状态；这与逐篇核对原始书目/全文分开，不冒充多源自动核验通过。实验数字为作者报告，未独立复现；厂商声明与本期研究推断分开。原图引用用于学术评论，版权归原作者，附原始来源及至多25词caption节选，编辑示意均非实验结果。
实际生成时间：2026-11-08T16:31:59+08:00；信息截止：2026-11-07T22:05:14+08:00。
论文与行业动态 中文标题 English title 原文链接 阅读状态
研究问题与威胁模型 磁触觉传感器把磁场变化解释为三维接触力，已有差分消干扰不一定覆盖局部非均匀磁场。攻击者只能预先接触待抓物体/包装并在预期接触区布置标签，无需侵入机器人软件或留在现场；攻击成效依赖抓握位置与传感器几何，不能外推至所有触觉技术。
技术、价值与启发 技术 逆向商用磁触觉传感器的磁场—形变—力估计路径，利用逆磁设计优化微型永磁阵列，制成约0.5mm厚无电池标签并以二维码遮蔽。局部磁场伪造法向/切向力，令闭环抓握或碰撞检测错误响应；多模态一致性是讨论中的缓解方向，尚非完整实测防御。 价值 价值是暴露接触物本身可承载持久、无源的触觉攻击面。 启发与局限 启发：把触觉与电机电流、关节力矩和末端速度联合验收，分别测假接触与漏接触；还需评估多物体姿态、标签制造误差、抓取随机性与防御正常业务损失，不能将建议的一致性检测写成已验证方案。 实验结果与证据边界 真实Dofbot-Pi4B机械臂与Unitree G1平台，主要采用抗干扰较强的PaXini PX6AX传感器，演示掉落、压坏、推倒或停滞。无攻击基线各20次成功；位置偏差不超过8mm时作者报告成功率超过95%，并检查其他PaXini型号。此值受实验位置和控制器限定，不是野外机器人事故率。
查看图注 原始 caption ：Figure 6. An overview of PhantomTac’s attack model.原图与完整 caption 研究问题与威胁模型 PIR运动传感器将热辐射变化当作有人经过，可能被非人体热源骗取告警。攻击者可观察WiFi流量且对待加热材料有光学视线，无需进入目标网络、知道相机精确位置或让人在监控区活动。相机可不直接看见激光点，但不能概括为穿墙攻击；非WiFi系统不在已验证范围内。
技术、价值与启发 技术 利用激光局部加热形成类似人体的热刺激，以PIR机制推导加热时间，结合扫描路径与加密WiFi流量变化确认触发。Raspberry Pi控制器整合激光、温度传感器、监听网卡与转台，由非root Android手机操作；物理刺激与流量侧信道形成闭环，绕过依赖实际人体运动的探测步骤。 价值 价值是把PIR感知漏洞与无线可观测反馈联系起来，呈现遥距假告警、设备存在性探测与能耗后果。 启发与局限 启发：联合视觉、运动与电流等独立证据验证事件真实性，同时测试视野与PIR区域不重叠的边界。防御讨论中的额外传感器也会引入新攻击面；单帧差分难分微小真运动与假运动，尚非普适解决方案。 实验结果与证据边界 真实18款商用设备（15相机、3告警系统），作者报告所测配置均可触发，平均12.8秒、光点平均移动1.1米，最远验证120米。主实验为400平方英尺房间及默认设置；本文的成功是制造假运动触发，不是抑制真实入侵检出。另测持续触发耗电，不能把其与厂商标称续航之比直接视作所有场景实测加速比。
查看图注 原始 caption ：Fig. 1. Creating phantom motion to trigger cameras.原图与完整 caption 研究问题与威胁模型 重复几何纹理与像素采样、标定误差共同改变双目匹配分数，使真实障碍被看得更近或更远。攻击者控制路边显示屏或向场景物体投射图案，无需修改相机软件或对模型做复杂对抗优化；投影可见性、表面与照明条件仍是攻击前提。
技术、价值与启发 技术 通过重复单元大小/间隔控制视差偏移，解释经典BM/SGBM与学习深度模型共享的脆弱性。提出按SAD或cost-volume中规则振荡极小值定位重复区域，再将整个包围框作为匹配单元的防御；不是所有传感器融合天然失效的证明。 价值 价值是从相机采样/标定而非单一模型梯度解释可控深度错误，并验证实际闭环后果。 启发与局限 启发：将标定误差、天然重复纹理、照明/运动模糊和融合独立性联合压力测试；实测多限平面或半平面、单一静态图案，自适应图案及任意曲面仍待研究。 实验结果与证据边界 覆盖BM/SGBM、PSMNet/MoCha-Stereo/UniMatch、SGM-DDC及ZED2/D435。ZED2最远推远20m或拉近12m；真实行驶最高15km/h、0.5秒攻击可触发Autoware急刹，40km/h为CARLA仿真。200实采双目对防御成功96.5%、残差<0.5m；非所有开放道路的统计。
查看图注 原始 caption 节选 ：Figure 1 . Our attack induces controlled shifts in depth estimation of stereo cameras by exploiting an inherent vulnerability triggered by simple patterns with repeating …原图与完整 caption 研究问题与威胁模型 外观伪装可能使敌对无人艇被视觉系统视作普通船，雷达发现“有船”仍不能判断意图。模型允许改变外观与航迹、不允许伪造雷达测量，且假设视觉目标与轨迹正确匹配；本文关注类别和运动一致性，尚未处理雷达欺骗、拥挤场景关联错误或隐蔽加速机动。
技术、价值与启发 技术 以视觉船类确定运动分布，组合轨迹速度检查和相对保护资产的接近速率检查；使用真实AIS良性航迹加合成直接/偏轴突入，冻结阈值后比较误报、告警率和剩余反应时间。将纯贴片漏检与物理伪装区分，避免把“能看见”误当作“能识别危险”。 价值 价值在于用攻击者达到资产所需时间比较防御，而非只报视觉精度。 启发与局限 启发：把物体语义、运动和任务风险共同约束；需要同步雷达/相机实测、渐进加速与自适应机动、告警工作负担评估。121个近距回放复用56条源航程，不能把相关样本当大量独立实海试验。 实验结果与证据边界 图像集25262张、71501艘标注船；轨迹来自2023年6月1–7日美国AIS，共153811段。4海里内娱乐船标记、15–20节直接突入时，接近速率检出94–95%，速度检查12%；二者取并集总体误报4.9%、娱乐船12.3%。均为AIS替代雷达的混合回放，未验证实艇作战效果。
查看图注 原始 caption 节选 ：Figure 1 : The attacker can change the craft’s appearance and choose its physical motion but cannot falsify the radar measurement. Solid arrows are runtime …原图与完整 caption 研究问题与威胁模型 地点识别依赖图像检索排序，白盒微扰可使机器人定位候选失效；普通对抗训练会严重损坏预训练模型的干净检索能力。攻击仅改变查询图像、参照数据库固定，主要为数字白盒预算，不代表物理场景伪装或端到端SLAM事故。
技术、价值与启发 技术 ARAFT以最难正样本为目标优化listwise排序损失，并使受攻击查询描述符锚定冻结原模型的干净描述符，保留原特征几何。预先规定验证集允许的干净R@1下降预算，再选择checkpoint，并将SuperVLAD上的方法直接迁移至BoQ；完整呈现干净—鲁棒折衷。 价值 价值是把保留干净性能作为预注册约束，而非仅优化攻击下最好成绩。 启发与局限 启发：用跨域锚点、可用性预算和更强自适应攻击检验鲁棒检索；需核查训练攻击、数据库变化及后续几何定位影响。没有gradient masking迹象只是文中攻击检验结论，不等于认证安全。 实验结果与证据边界 MSLS、Pitts30k、SPED、Nordland四基准；原模型在1/255白盒攻击下R@1至多0.2%。在MSLS验证干净下降不超过5点时，ARAFT鲁棒R@1达47.3/55.3，普通AT无合格checkpoint。但4/255时普通AT鲁棒指标领先6–9点；SPED/Nordland干净下降17–24点，验证预算不保证跨域。
查看图注 原始 caption 节选 ：Fig. 1 Clean–robust trade-off on MSLS-val. Each dot is one validated epoch; the robust score is the mean R@1 under rank-PGD at 2/255 and … …原图与完整 caption 研究问题与威胁模型 离线攻击沿干净目标轨迹拟合监督，但扰动改变早期动作后，实际状态偏移，原监督失配。白盒攻击者可获取VLA参数/梯度、执行闭环rollout及查询目标指令；部署时用户指令不变，只施加固定视觉扰动或贴片。
技术、价值与启发 技术 TRACO以Execution-Driven Supervision在受攻击状态重建目标动作监督；Progress-Guided Selection重点更新进展停滞阶段，同时保留到达该阶段所需前缀行为。针对不同动作头对齐目标，结合投影梯度优化，并在物理贴片训练中加入几何和颜色变换。 价值 价值是以实际执行进展纠正攻击训练分布，说明动作MSE低不等于攻击任务成功。 启发与局限 启发：防御评测应同时报告闭环任务、未见布局、优化预算和物理样本；这是高能力白盒构造，真实场景可得性与跨策略泛化仍受限制。 实验结果与证据边界 LIBERO五种VLA平均全局攻击ASR：已见布局46.9%→85.2%，未见43.2%→75.9%；局部贴片增益较小且OFT退化。SO-101实机GR00T打印贴片15次中成功8次，对照攻击4次；样本与任务范围有限，不能外推通用机器人风险。
查看图注 原始 caption 节选 ：Fig. 1: Motivation for closed-loop attack optimization. (a) During offline optimization (top), the attacker learns a perturbation δ \delta by matching target behavior on observations …原图与完整 caption 研究问题与威胁模型 整体IoT漏洞统计可能被消费电子和汽车大类支配，使医疗等行业的补丁优先级失真。本文是测量研究而非新攻击；分析NVD已公开、具有CPE/CWE的漏洞，不覆盖未知漏洞、无披露产品或实际攻击频率，也不能从统计相似直接证明共享代码造成漏洞继承。
技术、价值与启发 技术 对CPE厂商/产品进行词法归一化、模糊聚类和LLM辅助分类，再按行业、产品类型及硬件/OS/应用层构建CWE分布。比较同厂商异产品、同产品异厂商及不共享两者的余弦相似度，并设最少类别门槛、厂商内中位数，减少多产品巨头和同一CVE共现偏差。 价值 价值在于将IoT治理从统一清单改为行业与厂商条件化证据。 启发与局限 启发：以新年份外部验证同厂商风险迁移，结合固件组件SBOM确认因果来源；NVD的CWE标注和研究者偏好可抬高相似度，不能把相似图直接当供应链传播路径或真实利用风险。 实验结果与证据边界 LLIoT原始15116个2013–2024年CVE，实际分析有厂商/产品元数据的14696个；产品名称26720→10238。人工各核查200个标签，产品类型准确84%、行业88.6%。医疗偏认证/凭证、汽车偏内存安全，同厂商跨产品画像更接近；仅是公开数据库测量，分类误差和披露选择性仍影响结论。
查看图注 原始 caption ：Figure 1. Number of distinct product types in each sector before and after the merge step.原图与完整 caption 研究问题与威胁模型 多个HAPS为用户群同时传送私有数据时，需要在共享功率预算内认证群组响应并限制串谋窃听。攻击信号须独立于当前秘密tag；当前合法响应的实时中继不在认证保证内，不能当作通用反中继方案。
技术、价值与启发 技术 把新鲜秘密tag叠加于数据，推导有限块长误接收/合法拒绝概率并映射为tag SINR要求；接收端投影移除tag，牺牲一个时间维度。联合优化私有波束、tag与人工噪声，以SDR、秩约简和可行逐次凸近似求解。 价值 价值在于区分新鲜tag、接收能量与噪声空间覆盖三种资源，并用修正对偶下界量化优化差距。 启发与局限 启发：把频偏、峰均比、有限星座和真实信道纳入认证预算；增加发射功率不能补救tag泄露或未覆盖的窃听方向。 实验结果与证据边界 纯合成仿真：3个HAPS、每站4天线、3用户与8个串谋接收端，网络10种子。tag由16增至64符号，所需SINR降7.16dB；联合波束较优化固定tag方向基线平均省27.4%功率。无空中平台实测，不证明大网络扩展性。
查看图注 原始 caption ：Fig. 1: System model.原图与完整 caption 研究问题与威胁模型 用户需求在编排器—子Agent—合并器交接时可丢失、被中途改写或在签名前提取错误。威胁涵盖传输变异、worker注入、merger覆盖与预签名注入；编排器和执行框架被信任，签名不能保证被提取的语义本来正确。
技术、价值与启发 技术 把原始需求逐字引句与可检查predicate组成canonical JSON manifest，以HMAC-SHA256签名；接收时验签，决策用确定性代码检查，失败最多修复一次后放弃。通过自由文本、结构化、未签名/签名、LLM检查和oracle提取各臂分离机制。 价值 价值是把传输认证收益与需求提取边界拆开：确定性检查仍依赖manifest正确。 启发与局限 启发：审计签名前引文—predicate一致性，联合报告安全提交、弃权与有效任务成本；“oracle零违规”不意味着自然语言需求可普遍形式化。 实验结果与证据边界 Qwen3-8B共1440轨迹、五种威胁，攻击下unsafe commit由69.4%降至9.0%；排除必然验出的传输变异后为58.4%对13.5%。预签名注入却使签名臂违规14.6%→37.5%；合成可判定任务与单一双分支结构限制外推，非企业实网效果。
查看图注 原始 caption ：Figure 1: The orchestrator–subagent–merger pipeline used by every arm. Threat injection points are marked.原图与完整 caption 研究问题与威胁模型 现代系统提示包含工具schema与流程，外部只看得到处理后的响应或GUI动作。黑盒攻击者可查询但不能看权重、梯度和私有推理，目标兼顾提示结构、服务行为复制及对后续注入的帮助；纯n-gram相似度会高估恢复关键控制逻辑。
技术、价值与启发 技术 ExtraHerO按预定义结构模板分层重建提示，用观察反馈的文本梯度迭代查询，联合词汇信息增益和语义稳定性早停/重启。评测补结构关键词SKM及下游adversarial utility，区分字面恢复、功能复制和实际攻击增益。 价值 价值是将提示泄露从相似文本转成结构和下游效果测量；启发：恢复哪些权限/流程字段比全文近似更值得量化。 启发与局限 实验主要基于GPT-4o与固定基线，原文没有证明系统提示机密性可作为唯一安全边界；应把敏感权限强制放在模型之外验证。 实验结果与证据边界 GPT-4o服务测试150个五级提示和6类GUI Agent，Agent任务响应取自100条多模态Mind2Web记录。chatbot下游注入ASR从无提取13.33%升至76.67%；指令防御将ExtraHerO的SKM49.90→14.60，说明非通用防御绕过。均作者受控实验，未独立攻破任意线上服务。
查看图注 原始 caption 节选 ：Figure 1 : Prompt extraction under previous threat model vs. ours with increased complexity in both prompt (from linear to hierarchical ) and output information …原图与完整 caption 研究问题与威胁模型 恶意MCP服务端可控制工具描述、schema及响应，诱导Agent调用攻击者工具或外泄文件。以往只看模型服从文字指令，难证明真实效果；本文区分发出调用、网络到达和秘密外泄，覆盖单轮框架配置，不等于多Agent长期部署风险。
技术、价值与启发 技术 mcpvenom以25类根因统一攻击面，构建12框架×18模型×45场景的9720单元矩阵。双oracle结合调用转录与canary HTTP收据，分级确认效果；还对框架代码防护与描述正则扫描做审计，区分有意防御和偶然的工具注册约束。 价值 价值是将MCP安全主张落实到真实执行证据；启发：同时报告任务效用、调用与收据层级，并做多轮/委派和不同攻击预算实验。 启发与局限 框架ASR差异部分来自重名拒绝等机制；作者的“模型主导”结论仅适用于所测配置，不是所有框架永久没有防护。 实验结果与证据边界 2113个漏洞单元；有效V+R=9215，ASR22.9%，排除237错误与268跳过，不能直接除9720。漏洞中64.9%仅发调用、23.0%达端点、12.1%确认外泄。扫描拒20/45场景，125条良性描述误报7.2%。模型调用来自7月22–24日，且无无攻击任务完成基线。
查看图注 原始 caption 节选 ：Figure 1 . MCP injection surfaces. Three attacker-controlled fields in the tools/list and tools/call responses—the tool description , the inputSchema description , and the tool …原图与完整 caption 研究问题与威胁模型 长历史压缩后，禁止外发或必须审批等规则可能丢失，也可能仍存在却被忽略。低信任外部文档可针对compactor注入省略要求；评测区分本来就违规与仅压缩后违规，不能把规则保留率直接当工具动作合规率。
技术、价值与启发 技术 ARCBench嵌入pi完整Agent harness，按真实工具调用打分；以17个英语任务、4模型、4规则投递渠道和10压缩策略，分别标注规则完整/部分/丢失及违规原因，并对预算、摘要注入和规则恢复防御做七组受控研究。 价值 价值是拆开“信息保留”和“行为服从”，为记忆安全定位不同失效层；启发：将规则来源权限、审批状态和摘要引用关联审计，并把违规@k与每次运行概率分开读。 启发与局限 最强攻击/防御只在一个模型与compactor组合测试，不能无条件外推。 实验结果与证据边界 主设置violation@3由全历史9.6%升至压缩37.8%；70.1%压缩运行仍完整保留规则，只有3.0%完全丢失。保留规则的运行仍21.1%违规，对应全历史8.1%。这是受控harness工具调用而非外部真实泄露；自适应攻击、反复压缩及授权任务代价覆盖有限。
查看图注 原始 caption ：Figure 1: Illustration of how context compaction can affect agent behavior.原图与完整 caption 研究问题与威胁模型 固定提示模板难以评测会适应防御的搜索攻击。攻击者在受控检索返回列表热插入伪文档，目标是诱导采纳恶意证据或陷入无法解消的冲突；环境控制检索，不表示攻击者已入侵公共搜索引擎。
技术、价值与启发 技术 CREO以对比rollout信号驱动策略种群变异/交叉，外层更新攻击、内层把已暴露策略转换为防御知识；DeepResearchGym沙箱固定检索排序，LLM裁判区分严格正确、恶意采纳ASR与认知停滞APR，并比较延迟与同步防御更新。 价值 价值是把攻击进化、防御适应和“答不出”单列测量，避免仅看恶意回答漏掉可用性退化。 启发与局限 启发：延伸到多工具长链并采用独立人工裁判、真实检索扰动及成本对照；推理轨迹上的LLM裁判也不能证明模型真实内部认知状态。 实验结果与证据边界 HotpotQA、2Wiki和MuSiQue各100训练/100测试，五种LLM。HotpotQA/Qwen3-Max第三轮Evo的Acc22、ASR11、APR67（百分比）；静态FactSwap为71/8/12，攻击不只表现为ASR。文档生成2690 tokens/题，对比FactSwap874；受控QA非开放网络长期Agent。
查看图注 原始 caption 节选 ：Figure 1 : Overview of the adversarial self-evolution framework. Left: Bi-level optimization drives attacker-defender co-evolution. Top Right: CREO drives directional mutation and crossover recombination of …原图与完整 caption 研究问题与威胁模型 模型选择动作和拥有执行权限混在一起，低信任内容可诱导使用长期凭证。攻击者控制检索、工具输出或Agent消息；系统信任策略引擎、wrapper、密钥及来源标签，并假设无法绕过中介。策略写错、来源标错和纯文本伤害不被通用保证覆盖。
技术、价值与启发 技术 每次调用声明intent，策略校验来源、前置流程、互斥权限、信任与预算；发放短期有界capability在工具入口验签。父子委派只缩短寿命/预算并保持动作资源绑定到会话；声明式策略同时支持部署前权限冲突分析。 价值 价值是把模型建议与真实效果授权分离；启发：把资源来源约束、会话委派链和拒绝原因纳入可检查策略，并测试合法任务成本。 启发与局限 零ASR依赖模型、样本与正确策略；残余攻击来自未绑定参数、误信来源和非工具文本目标，记忆跨会话来源传播仍待补充。 实验结果与证据边界 AgentDojo含97良性任务/949攻击，InjecAgent含1054攻击；GPT-5.4在两基准ASR均0，但单次全量运行无方差。GPT-4o在InjecAgent ASR23.24%→8.63%，攻击下效用74.10%→62.24%；10000次微基准各校验路径<0.2ms，不代表整套Agent端到端时延。
查看图注 原始 caption 节选 ：Figure 1: The AgentCap architecture. Step 1 (capability issuance): the developer’s policy is compiled into the rules loaded by the policy engine, and the surface …原图与完整 caption 研究问题与威胁模型 用户真实更新要求写入新事实，记忆投毒却要求拒绝写入，固定保守或固定接纳规则会互相伤害。攻击来自对话或检索段落；研究同时考虑过时、恶意和正常输入，不把回答碰巧正确当作记忆未受污染。
技术、价值与启发 技术 定义Evidence-Conditioned Accuracy：答案正确且选择的记忆包含全部正确证据、无过时或投毒记录。围绕一段LoCoMo对话合成变化/攻击与假段落，用400个episode、21656训练行SFT记忆管理器，联合学习ADD/UPDATE/NOOP和读记录选择。 价值 价值是让新鲜性、安全性与正常效用共用证据指标；启发：按来源所有者判断谁有权更新事实，分开测写入、检索选择和最终答案。 启发与局限 SFT在其他骨干MAB-FC上仍会退步；少量合成数据的改善不能据此宣称通用鲁棒记忆或替代运行时权限。 实验结果与证据边界 Qwen3-4B的标准/过时/投毒ECA分别40.6→57.3、9.0→28.5、5.0→34.0；ASR92.2%→59.6%，仍远未消除攻击。3骨干、8基准扩展，但主投毒测试仅47攻击行；训练与部分测试共用构造范式，非web或机器人动态世界验证。
查看图注 原始 caption 节选 ：Figure 1: Two cases a memory manager must handle: (a) outdated memory and (b) memory poisoning. Each panel shows an incorrect (red) and a correct …原图与完整 caption 7天内 · 官方运行指南 · 发布 2026-11-05 EUROCONTROL发布GNSS降级事件运行响应指南 事件日期：11月5日发布GUID-203 v1.0；不是单起干扰事故｜来源：EUROCONTROL
指南面向空中交通管理/航行服务提供者及国家机构，覆盖GNSS降级的准备、检测、协调、响应与恢复，并衔接AIS信息、ATS程序和流量管理。它是运行风险缓解框架，不是新型反欺骗算法或设备认证。
研究影响（本期分析） 评估传感器安全要延伸到检测后的操作、跨机构协调和恢复。可将本期跨模态一致性检测与无线物理认证研究接入运行流程，分别测发现延迟、误报和安全降级效果。
相关论文：2611.00367 · 2610.41579
7天内 · 厂商产品公告，分阶段交付 · 发布 2026-11-05 川崎推出强化网络安全的工业机器人F系列S型控制器 事件日期：11月5日发布公告；11月起从搬运应用分阶段推出｜来源：Kawasaki Heavy Industries
川崎列出用户认证、访问权限、会话/日志、SSH/FTPS/HTTPS通信、启动完整性检查及安全更新等功能。开发采用获IEC 62443-4-1认证的流程；流程认证不等于每套机器人部署均获得产品安全认证。
研究影响（本期分析） 机器人动作安全需要同时检查传感器输入、控制器权限与软件完整性。PhantomTac和TRACO说明外部物理输入仍需单独评测；本公告为厂商声明，未提供本期独立渗透测试结果。
相关论文：2610.26174 · 2610.23566
7天内 · 厂商安全通告，真实用户报告 · 发布 2026-11-06 QNAP警示NAS上的Plex2Shell攻击：升级不等于清除入侵 事件日期：11月6日安全通告；漏洞和公开PoC早于本次公告｜来源：QNAP PSIRT / 官方安全通告
QNAP收到疑似受侵报告，并转述Plex确认漏洞被利用。四项缺陷位于第三方Plex Media Server，非QTS/QuTS hero本身；修复版1.43.3.10861已在App Center提供。公网暴露的旧版实例应视为可能已受侵，单纯升级不会清除已安装载荷。
研究影响（本期分析） IoT资产漏洞面包含设备上第三方应用和长期运维状态，不能只核对操作系统版本。可结合本期跨行业IoT漏洞测量与设备权限治理，研究资产关联、应用暴露和入侵后恢复证据。
相关论文：2610.42032 · 2610.41579
7天内 · 安全团队技术披露，非已确认在野攻击 · 发布 2026-11-04 Forever Security披露浏览器扩展借Claude Dispatch驱动桌面执行 事件日期：5月14日报告、5月19日确认有效（研究者披露）；11月4日技术公开｜来源：Forever Security
研究者展示：能控制claude.ai的扩展借已登录会话提交任务并自动点击批准，最终使桌面Agent执行打开计算器的包安装。演示前提包括Dispatch启用、桌面在线和扩展权限。跨机器及其他功能影响属于研究者推断，不能视为均已实测；退休计划不等于修复已完成。
研究影响（本期分析） 认证会话、界面批准与动作授权应分开验证。与本期授权范围、requirement完整性和能力令牌工作对读，重点测批准通道是否也受发起动作的低信任组件控制，而非只测单轮提示拒绝率。
相关论文：2611.07483 · 2611.00729
7天内 · 厂商评测与受限产品公告 · 发布 2026-11-05 OpenAI发布GPT-6 Cyber并报告授权范围与漏洞验证结果 事件日期：11月5日模型公告；初期向部分获准Daybreak Red客户开放｜来源：OpenAI 官方公告
OpenAI报告ExploitGym得分48.5%，上一代32.1%；另在范围约束评估中报告无部署提示99.93%、有提示100%未攻击范围外服务。其Firefox发现及Linux利用数字来自厂商研究，不能等同于所有漏洞都已修复，或在任意系统中都不会越权。
研究影响（本期分析） 能力与边界遵从应同时测量。可用本期授权范围、上下文压缩和MCP跨框架测量补充单一benchmark，检查工具版本、长会话和有效样本分母；本期未独立复现厂商指标。
相关论文：2611.00729 · 2611.03223 · 2611.03555
没有匹配内容。清除筛选
编辑绘制 · 证据阅读示意，非实验数据；各条结论以所附原始来源为准。 研究趋势与选题建议 今日研究热点（本期样本） 最高优先级是机器人磁性触觉的物理注入，随后为多模态一致性、视觉定位鲁棒性、跨行业IoT漏洞与设备权限治理。Agent方向集中在需求/委托完整性、工具配置、长会话压缩和持久记忆。样本数受去重及公开资料可得性影响，不作为全领域发文量统计。
新兴攻击趋势 一次放置的物理标签可在后来接触时影响闭环动作；视觉任务重定向可借闭环优化增强；合法签名handoff仍可能传递被改写需求，搜索页面也可能持续适应防守Agent。应分别标明攻击前置条件和攻击者是否真的拥有运行期适应能力。
新兴防御趋势 物理层认证、外观—运动一致性、锚定鲁棒训练、设备权限检查、能力令牌与记忆防护分别针对信号、表征、部署或权限层。组合之前要重新检查信任假设、正常性能代价和错误传播，不能把单点检测相乘成整体可靠率。
研究团队动态 PhantomTac来自上海交通大学与新加坡管理大学，已核对CCS官方作者机构。其他团队背景及核实主页随各篇保留；没有身份匹配证据时提供明确标注的Scholar检索，不推测实验室。团队代表作与近期路线仅在原始论文/公开主页有依据时陈述。
交叉研究趋势 触觉安全与VLA视觉攻击共同推动输入到动作的闭环测量；IoT漏洞生态与物理认证共同要求资产及信号状态可见性；Agent能力授权与机器人控制器身份权限可以互相借鉴，但自然语言目标和物理安全约束需要额外绑定。
今日最值得精读的3篇 ① PhantomTac：最高领域优先级且CCS官方已接收，精读物理部署条件、商业触觉传感器与机器人闭环实测。② Illusion of Depth：双目采样和匹配层面的物理机制，精读实车15km/h与仿真40km/h、制动与防御实验边界，明确为9月旧稿。③ TRACO：视觉任务重定向的闭环优化，精读白盒能力、真实机械臂8/15与基线4/15，以及训练/部署条件差异。
科研选题：从可信传感到可验证动作 以触觉物理扰动与视觉任务重定向作互补压力源，记录传感读数、模型判断、控制输出及物体结果；加入无攻击与随机扰动对照，联合报告任务完成、危害代理指标、检测延迟和恢复。这是编辑提出的方向，非已完成实验。
科研选题：迁移中的最小权限 将IoT设备跨域身份与Agent capability token结合，在网络域和模型/工具变更时测试撤销传播、旧授权回放和短时离线。分别测网络回放、真实设备和实际控制器，勿以仿真替代现场证据。
科研选题：长会话授权守恒 联合测试记忆更新、上下文压缩、需求handoff与动态检索污染，把原始用户范围作为外部可验证不变量。测量保存了哪些约束、误拒正常任务多少、效果前是否强制检查，避免只用提示层拒绝率定义安全。
值得持续关注 物理攻击的跨器件和跨环境迁移；海事一致性检测的真实部署；视觉地点识别在未见地点的正常性能损失；IoT多厂商漏洞长期修复；Agent真实工具执行授权、上下文压缩和持久记忆边界。
