本期重点判断 保护真实采样路径，仍需区分“数据未改”与“物理值可信” SensorGuard-RV把采样结果认证到CPU寄存器，缩小软件/总线信任面；Iridium干扰检测则显示正确解码也可能隐藏RF异常。两者处理不同层，研究启发是联合记录数据来源、物理信号质量和决策使用方式。
2611.08380 · 2611.08118 时间范围与证据说明 按领域优先级检索安全顶会官网、arXiv原始cs.CR列表并扩展无线/感知主题；15篇独立论文与此前46篇唯一ID和标题去重。多数新稿首次提交11月5日、11月6日公告；不可将公告日期当首次公开日期。另有近7天补充及10月29日LiDAR-SHIELD（30天内），各篇标明实际UTC提交日期；本期生成时间使用Asia/Singapore。首次24小时窗口未取得足够所有优先领域的新稿，检索扩展后仍不承诺穷尽全部投稿。新闻5条均在近7天内；本期独立新行业事件以IoT/控制与Agent为主，不把学术摘要重复算作新闻。
书目/版本/作者/机构与技术数据依据原始arXiv摘要、HTML或PDF核对，实验为作者报告，未独立复现。research-lit的跨库自动verify_papers.py helper在当前环境未安装，自动验证状态保留为UNVERIFIED（helper不可用）；这与已核对原始arXiv书目分开标注，不宣称跨库核验通过。接收状态若仅来自作者备注则明确说明，预印本不等于正式出版，未经核对不标CCF-A。团队无匹配证据时只给清楚标明的Scholar搜索。原图版权归原作者，学术评论引用附原始来源和不超过25词的caption节选；两幅编辑示意均非实验结果。
实际生成时间：2026-11-07T17:15:08+08:00；信息截止：2026-11-07T17:15:08+08:00。
论文与行业动态 中文标题 English title 原文链接 阅读状态
研究问题与威胁模型 样本经过驱动、总线与内存时可被读取、改写或重放。本文信任传感器、M-mode固件及配置阶段，保护采集到寄存器交付；物理量操纵、故障注入、侧信道和拒绝服务不在保证内，不能称作通用物理反欺骗。
技术、价值与启发 技术 配置后通过write-once ownership把SPI传感器交给固定功能控制器；Ascon-128a加密认证样本，新RISC-V指令验tag、序号及每次启动nonce epoch后才允许明文写回寄存器，硬件密钥不向软件开放。 价值 价值是将合法样本的信任边界收紧到硬件认证后的寄存器写回。 启发与局限 启发：联合测多传感器仲裁、配置变更、断电复位及新鲜度策略；序号保证采集顺序而非绝对时间，运行时重配置与可用性仍有限制。 实验结果与证据边界 NEORV32、Artix-7与ADXL362实物原型：100MHz下5191周期/51.9μs，19015事务/秒，比软件SPI基线高5.3%；新增3155 LUT、2215寄存器。功耗估算118→368mW，非实测低功耗优势；固定采集负载不能代表所有传感器。
查看图注 原始 caption ：Figure 1: SensorGuard-RV architecture.原图与完整 caption 研究问题与威胁模型 已有LiDAR攻击代码常与单模型依赖绑定，难在检测和分割间统一复用。框架覆盖有梯度与仅输出访问的数字攻击；物理可实现性需另验，统一接口不自动等于各模型预算公平或实车风险可比。
技术、价值与启发 技术 Docker化评测引擎与目标模型服务分离，以/info、/forward、/gradient三个HTTP端点连接；薄数据适配器处理数据差异，整合PGD、Square及点扰动、删除、注入和LiDAttack，保留模型原生环境。 价值 价值是将攻击实现重用与目标模型依赖解耦，使多任务LiDAR压力测试更易复现。 启发与局限 启发：固定查询与扰动预算、核验适配器和预处理，并纳入物理约束及下游控制指标；容器化不替代公平实验协议。 实验结果与证据边界 测试SemanticKITTI、SemanticPOSS、KITTI和CARLA。KITTI中10cm扰动使PointPillars相对mAP仅保留10.59%；黑盒LiDAttack使SECOND mAP70.43→52.51；Square使SemanticKITTI mIoU64.7→19.5。均非实车闭环事故率。
查看图注 原始 caption 节选 ：Fig. 1: LiDAR-SHIELD architecture. The target model stays in its native environment and is reached through three HTTP endpoints ( /info , /forward , /gradient …原图与完整 caption 研究问题与威胁模型 单步快速对抗训练可继续抵抗训练攻击，正常精度也提高，多步鲁棒性却突然崩塌。研究对象是训练阶段对强数字攻击的失效，不是现实传感器注入；单一训练损失或验证攻击不足以证明安全。
技术、价值与启发 技术 比较CO前后权重与EMA轨迹、沿漂移方向线搜索和高频checkpoint；在coupling-based基础方法上，当验证鲁棒性跌落时重置到自身EMA，抑制训练目标近乎不可见的权重偏移，而非只修改攻击损失。 价值 价值是把CO诊断从损失异常推进到权重轨迹和强攻击评价。 启发与局限 启发：持续审计EMA/原始模型差异、跨种子及未参与选择的攻击；guard依赖基础训练法与验证协议，迁移到大规模视觉或多模态模型仍需验证。 实验结果与证据边界 ε=8/255，CIFAR-10 AutoAttack50.45±0.20%、CIFAR-100 27.15±0.04%（各4种子），另测Tiny-ImageNet。基线来自已发布结果，未统一重训；全文另示范验证PGD或几何检测失明的消融，不能推广为任何配置均无CO。
查看图注 原始 caption 节选 ：Figure 1: Catastrophic overfitting (CO) at two timescales. Top: at epoch resolution, CO in vanilla FGSM training is a cliff without warning; validation PGD-10 robustness …原图与完整 caption 研究问题与威胁模型 需在链路完全失效前，从仍可正确解码的消息中识别Iridium射频干扰。GNSS常用SNR与C/N₀可能对幸存消息失灵；攻击者无需破解加密即可影响链路，检测对象不同于已完全失联后的告警。
技术、价值与启发 技术 收集不同传播、移动性、干扰距离/功率/类型的真实I/Q，比较三种one-class autoencoder与两类GNSS信号质量估计；将检测能力按接收机噪声底升高分层分析，而非仅按干扰机距离解释。 价值 价值是以真实卫星IoT数据说明仍能解码不代表未遭干扰。 启发与局限 启发：联合检测延迟、噪声底与业务可用性，测试跨接收机、星座和天气迁移；不能将GNSS指标或单一AUC阈值直接推广到所有LEO链路。 实验结果与证据边界 47种真实干扰条件，两类传播环境及静止/移动接收机；1000样本=40ms（25k samples/s，约四条解码消息）。噪声干扰使噪声底升高≥9dB时AE AUC≥0.84；属于条件性结果，不覆盖所有低功率或欺骗干扰。
查看图注 原始 caption 节选 ：Fig. 1: Reference scenario. An Iridium satellite-IoT terminal moves from an unjammed region ( A 3 A_{3} ) to regions subject to increasing jamming power …原图与完整 caption 研究问题与威胁模型 恶意无人机调功率让SINR退化看似正常频谱复用干扰。防御者看不到干扰机类型/功率，只能据链路观察选择是否增功率；误报浪费能量，漏检危及通信，需要同时考虑检测和响应代价。
技术、价值与启发 技术 将干扰方建模为隐藏的良性/恶意类型，以SINR更新后验信念；联合链路收益、功率代价、误报与漏报损失，推导信念阈值响应，以及分离/混同两类纯策略perfect Bayesian equilibrium条件。 价值 价值是把隐藏攻击意图、误报与防御能耗纳入可解释决策模型。 启发与局限 启发：测试先验失配、模型外功率策略与多机协同干扰，用真实移动信道验证阈值；均衡分析不意味着部署中的攻击者必按模型行动。 实验结果与证据边界 数值仿真对照始终增功率、固定阈值、被动不增功率；默认1MHz、0.08W基准/0.08W防御增量、恶意先验0.35，报告更高期望效用。无实机编队检测率，摘要无统一提升百分比；多干扰者与时变信道留待后续。
查看图注 原始 caption ：Fig. 1: An illustration of UAV swarm scenario with external interference on a critical intra-swarm communication link.原图与完整 caption 研究问题与威胁模型 恶意ECU可伪造或洪泛CAN消息。车载轻量IDS在非IID数据和少数攻击类别上有盲区，直接上传原始报文又暴露车辆信息。研究同时面对实时检测、网络响应时延和云端重构原报文的隐私风险。
技术、价值与启发 技术 车端先本地推断，用固定距离代理生成器替代原报文供云教师推断；教师响应只有在时限内才用于当前决策，迟到则保留本地结果。返回logits仍可用于周期知识蒸馏，持续改善轻量BiLSTM。 价值 价值在于把异步云教师收益与车端实时回退组合，而非让云服务成为必经路径。 启发与局限 启发：测真实移动网络尾延迟、漂移与未知攻击；须同时报告相对/绝对F1、教师可用率和更强代理重构攻击，避免以代理距离直接宣称信息论隐私。 实验结果与证据边界 ROAD与HCRL Car-Hacking非IID划分：最大相对Macro F1提升25.01%/20.79%；选定低置信样本准确率提升38.71–42.00个百分点。实验在RTX4060笔记本工作站，非实车部署；代理重构优势为经验评估，不是差分隐私保证。
查看图注 原始 caption 节选 ：Fig. 1: Overall framework of CANMentor. The numbered flows denote: 1) upload of proxy samples generated from selected CAN messages; 2) return of teacher logits …原图与完整 caption 研究问题与威胁模型 长期服役PLC需要后量子远程证明，但逐报告签名和持久写入代价高。网络可重放/乱序，设备可被攻陷，控制器也可能压制或分叉证据；共享MAC本身不能向无秘密的第三方证明设备来源。
技术、价值与启发 技术 ML-KEM建立epoch证据密钥，设备报告用MAC认证，控制器按序构造哈希链Merkle检查点并用ML-DSA/SLH-DSA签名；提交后披露设备链密钥恢复可转移来源认证，并以TPM单调状态防回滚重启。 价值 价值是将高成本公开认证从报告快路径摊销到检查点，同时补上MAC不能提供的来源证明。 启发与局限 启发：联合衡量批次大小、故障恢复和发现延迟；检查点无法省去反复测量PLC内存的成本，设备来源认证也不等于被攻陷设备报告真实。 实验结果与证据边界 27类攻击检查、149差分向量；7节点Pi5台架含5个实体OpenPLC证明端。控制器成本较逐报告ML-DSA降低90倍，无/有持久日志对照中的后者降878倍；1万身份控制器侧扩展为6.18μs及约155字节/报告，并非1万实体设备实测。
查看图注 原始 caption 节选 ：Fig. 1: AMORT-V1. One ML-KEM exchange and one controller signature open an epoch. Each of the next k k reports carries a controller-verifiable tag and, …原图与完整 caption 研究问题与威胁模型 中继提升低SNR语义传输效果，却也成为可修改中间通信表示的内部攻击者。攻击发生于受无线信道影响的中继发射信号，不是对端点输入图像直接加噪，也不假设所有中继天然可信。
技术、价值与启发 技术 端到端联合学习信源编码器、中继变换及目的端分类/重建解码器；再训练受功率惩罚约束的中继扰动映射，在测试时改变中间表示，评估任务推断与图像重建的共同退化。 价值 价值在于同时展示中继性能收益与新增内部信任面。 启发与局限 启发：对中继更新与表示完整性进行约束，并联合测试任务正确性、重建质量及攻击功率；后续需真实射频链路、未知中继和跨信道适应验证，不能用低SNR稳健性代替安全性。 实验结果与证据边界 CIFAR-10仿真、不同SNR及中继策略；在所测LF策略中，攻击相对无攻击语义准确率最多降低89.42%，PSNR最多下降5.75dB、SSIM下降0.2317。均为跨条件最大值，非统一工况平均或无线硬件实测。
查看图注 原始 caption ：Fig. 1 : System model of semantic relay communications.原图与完整 caption 研究问题与威胁模型 攻击者将实时视觉流替换为此前记录的合理画面，使控制器看不到真实轨迹偏离。防御者控制私密激励，但没有解析图像动力学；安全风险既包括重放漏检，也包括水印扰动和误警导致的任务中止。
技术、价值与启发 技术 向名义控制加入私密高斯水印，动作条件LDN预测潜在视觉响应，以预测与接收图像编码之残差形成攻击证据；PPO策略自适应调水印协方差，加入安全代价，并用Simplex阻尼停止作为监督回退。 价值 价值是让控制端私密激励在视觉潜在空间中接受因果一致性检查。 启发与局限 启发：把检测性能、误停止与任务恢复一起评价；20%干净回合误警说明特异性仍有明显改进空间，仿真安全回退也不能替代硬件延迟和实机鲁棒性验证。 实验结果与证据边界 Isaac Sim视觉引导UR5避开移动人臂，30Hz、30回合：动态水印29/30次在重放后检测，中位延迟1.23s；干净回合仍误警6/30。Simplex下低于3cm间距回合由20/30降为0/30；这是仿真与停止控制效果，非真实UR5部署保证。
查看图注 原始 caption 节选 ：Fig. 1. Overview of the proposed framework. (a) The live observation xt−H is provided to the vision-based controller policy F, which predicts the control input …原图与完整 caption 研究问题与威胁模型 恶意工具内容无需把Agent引向新任务，也能篡改原任务中的政策、状态或观察。本文按来源是否有权决定该值界定IPI，而非只看文本是否像指令；合法工具调用因此可能掩盖错误决策。
技术、价值与启发 技术 构建90个经验证案例、3种工具环境，每个用户请求指定关键决定的权威来源；在相同有害结果下，分别攻击目标、决策规则、动作集合、后果、观察解释及状态信念，控制目标差异比较防御覆盖。 价值 价值是用显式授权边界揭示仅测任务劫持会高估防御覆盖。 启发与局限 启发：参数和事实污染评测应固定有害结果，并区分权威规则与用户证据；还需测试权威来源本身被攻陷、复杂合法例外和开放网页任务的外部效度。 实验结果与证据边界 5个LLM：检测删除防御把目标型攻击降至2.4%，观察/状态型仍为9.5%/12.1%；工具策略防御ASR15.4%，接近无防御17.0%。这些比例对应不同防御设置，不能混为单个系统的端到端攻击率或现实事件统计。
查看图注 原始 caption 节选 ：Figure 1: Agent responses by primitive without a defense and under Spotlighting and Sandwich. Bars cover single-primitive attacks; tick letters U , π , T …原图与完整 caption 研究问题与威胁模型 自主攻击Agent可能在补丁部署前利用Web漏洞。防御者可读取应用源码并管理入口路由，将确认的攻击客户端后续请求转入隔离副本；主要风险是确认前仍抵达真实目标的请求，并非纯靠诱饵文本保证隔离。
技术、价值与启发 技术 LLM先根据源码规划静态蜜罐，再由路由器识别并隔离客户端；比较无防护、静态方案和加入运行时LLM响应器/额外规则的增强方案，同时用基准grader检查真实站点与影子副本是否被实际攻破。 价值 价值是把工作中的利用迁移到隔离目标，并以真实效果而非攻击者自报验收。 启发与局限 启发：应测身份切换、蜜罐感知攻击和确认前泄露窗口，并与同等检测信号直接阻断对照；增强配置的零攻破饱和不能证明运行时响应器单独有效。 实验结果与证据边界 40个关键CVE-Bench任务中，Opus 4.8真实攻破26/40→5/40；ARTEX从20/40降至零（静态臂31次有效运行）。20个独立新任务从15/20降至0/20。部分有效漏洞转而在影子成功；每任务单次保留运行，未测重复方差，也没有匹配阻断基线。
查看图注 原始 caption 节选 ：Figure 1: Where each run ended, counted over all 40 (or 20) tasks as in Table 3. In the ARTEX experiments, deception (B, C) left …原图与完整 caption 研究问题与威胁模型 外部邮件/文档中的指令可诱导工具Agent向攻击者发送数据或付款。本文主要约束身份目标：用户任务未指定、却出现在工具结果的收件人/账户等，需有只读工具的类型化字段或固定委托规则支持。
技术、价值与启发 技术 以集合查找构成不依赖每任务LLM规划的确定性准入底线；固定规则sanitizer删除匹配指令片段并保留证据。可选本地judge仅恢复部分被拒调用，不能放行目标出现在被删除文本中的调用；新工具需预先声明目标角色。 价值 价值是将动作去向的确定性授权底线与语义清洗明确拆开。 启发与局限 启发：评测合法联系人被恶用、类型字段投毒、委托规则和角色词典迁移；必须同时报告原始攻击率、过滤后范围内攻击率及效用，不能只报零值。 实验结果与证据边界 AgentDojo十二单元均值：ASR0、正常效用0.520、攻击下效用0.484；三骨干模板攻击及伪聊天模板均无原始成功。RL攻击者PISmith的平均范围内ASR为0.007。目标已合法存在、非逐字目标和可写类型字段仍构成边界，不能解释为全类注入零风险。
查看图注 原始 caption 节选 ：Figure 1: Safety-utility across four attack regimes on AgentDojo (Debenedetti et al., 2024). Points are suite means under AgentDojo’s standard attack, ChatInject (Chang et al., …原图与完整 caption 研究问题与威胁模型 检索网页既可能含面向模型的恶意指令，也可能是误导答案的合成页面。攻击者控制检索候选内容，防御应在生成前筛查完整候选池，而非仅在top-k不足后要求生成器自救。
技术、价值与启发 技术 使用开放权重、输出类型化判断而不生成文本的decision model；Kev-4B读取HTML作检索门控，与清洗、规范化和引用提示组合。分别比较HTML/纯文本，以及候选池预过滤与仅过滤top-10的区别。 价值 价值是把轻量类型化决策模型用于生成前的检索风险控制。 启发与局限 启发：需补齐自适应攻击、阈值外验证与更强基线；原文承认消融缺失、模板负例重复及区间未纳入阈值选择/标签噪声，不能把该测试当通用安全保证。 实验结果与证据边界 1,000问注入基准：无防护ASR27.9%，既有缓解13.6%，加入gate5.7%；每段76ms，186个良性带人类指令页面误判4个。200问污染测试中候选2/3为假，预过滤后暴露0.5%、正确率83%（无过滤28%）。强生成器、阈值和模板分布会改变收益。
查看图注 原始 caption 节选 ：Figure 1. The gate between retriever and generator. A decision model reads each retrieved passage once, on its HTML, and answers three questions. A high …原图与完整 caption 研究问题与威胁模型 技能本身为完成良性任务设计，仍可能增强Agent执行有害步骤的能力。研究在匹配请求下比较有/无技能，检验安全回归是否来自程序性能力增强，而不要求攻击者向技能内植入恶意指令。
技术、价值与启发 技术 五LLM骨干、三基准配对评估，区分正常准确率、unsafe action rate（UAR）与有害任务成功率。分析技能演化、检索匹配、程序指导与经验蒸馏；另用执行前动作检查器观察安全—效用权衡。 价值 价值是将技能供应链风险从“技能有毒”扩展到良性程序知识引发的能力变化。 启发与局限 启发：技能验收应比较逐步已执行违规动作，兼测可用性和审计覆盖；LLM动作guard仍有残留风险与误拒代价，不能只看最终任务完成。 实验结果与证据边界 平均良性准确率增加10.3个百分点，UAR也增加10.3个百分点；专家策划技能同样回归。50条新不安全轨迹中24条未完成有害目标。LPS-Bench加guard后ASR55.4%→3.1%，UAR仍20.0%，说明目标失败并不等于全过程安全。
查看图注 原始 caption ：Figure 1 . Skill-induced behavior misalignment: benign skills can induce agent unsafe execution. The skill supplies general procedural guidance rather than malicious instructions.原图与完整 caption 研究问题与威胁模型 同一文本在不同用户意图和系统策略下可能是合法请求或注入。把提示注入当单一类别，会掩盖防御所需观察信息、保留状态及干预位置的差异，产生无法支持的覆盖结论。
技术、价值与启发 技术 建立九维、可扩展的攻击分类，描述注入内容、与用户任务的关系及在目标系统中的呈现；用真实漏洞与现有基准映射覆盖，展示自动标注及按缺失组合定向生成测试的方法。 价值 价值是让防御宣称从单一ASR转向可核查的威胁覆盖范围。 启发与局限 启发：给系统声明可达攻击属性、组合覆盖和排除原因，围绕空白格生成回归集；组合覆盖本身不证明强自适应攻击稳健，自动标注还需验证。 实验结果与证据边界 分析6个真实提示注入漏洞及9个基准，合并后仍有13%的两两类别组合未覆盖，集中于较少出现的类别。该比例是所定义分类与基准样本上的覆盖统计，不是现实攻击漏检率；九维也不声称穷尽未来多模态/多Agent传播。
查看图注 原始 caption 节选 ：Fig. 1: Prompt injection attack flow and classification unit. Our taxonomy jointly considers the user task, the injected instruction, and the relevant system context, rather …原图与完整 caption 7天内 · 官方安全通告 · 发布 2026-11-05 美国多部门警示冷链温度控制和监测系统网络威胁 事件日期：11月5日联合事实表；攻击发生于此前并持续｜来源：CISA / FBI / HHS / USDA / DoT
联合事实表披露全球工业制冷和冷链监测系统受到威胁：暴露或未修补的温控器可能被改设定、触发持续加热/除霜，或造成温度可视性丢失。建议消除公网暴露、分隔OT、加固凭证、升级固件及约束设定范围；公告未给出全球统一事故率。
研究影响（本期分析） 感知完整性、控制正确性和运行可见性应共同测量。可借SensorGuard、控制器证明和动态水印研究不同边界；数据在传输中完整并不证明控制设定合法。
相关论文：2611.08380 · 2611.07476 · 2611.07403
7天内 · 厂商产品公告 · 发布 2026-11-05 Allot公布4G/5G网络侧SIM IoT保护能力 事件日期：11月5日能力公告；未独立复测｜来源：Allot官方公告
Allot强调NetworkSecure为SIM连接的摄像头、传感器、仪表和工业设备提供网络侧可见性、威胁检测和策略执行，适用于难安装端点软件的设备。属于厂商产品声明；公告不构成对所有设备或物理攻击的防护证明。
研究影响（本期分析） 研究应明确网络侧检测与物理信号欺骗、固件后门的覆盖差异。将卫星/蜂窝干扰证据与网络行为日志关联，是潜在选题，不能据产品公告断言已实现。
相关论文：2611.08118 · 2611.07977
7天内 · 厂商GA声明 · 发布 2026-11-04 Sysdig AI Defense正式可用：关联Agent意图与内核执行证据 事件日期：11月4日GA公告；不是11月7日新发布｜来源：Sysdig官方公告
Sysdig宣布面向macOS和Windows的AI Defense GA，称其将harness工具调用、技能和凭证上下文与内核实际执行证据关联，按策略允许、请求确认或阻止动作。厂商早期遥测样本及安全效果未由本期独立验证。
研究影响（本期分析） 工具型Agent自己的日志可能不完整，独立执行证据很关键。可联合任务篡改与隔离蜜罐基准测试权限执行、审计完整性、误报和正常任务代价。
相关论文：2611.07640 · 2611.07611 · 2611.07222
7天内 · 安全团队技术披露 · 发布 2026-11-02 Google披露XCPE设备供应链后门处置行动 事件日期：行动发生于公告所述“上周”；11月2日技术披露｜来源：Google Threat Intelligence Group
Google称与合作伙伴处置了感染超过130万机顶盒的XCPE后门，公开其固件预装、模块加载和变现链；对制造商参与的归因是Google的高置信判断，本期未独立取证。对附属C2行动的影响预期不等于确认所有设备已清理。
研究影响（本期分析） 存量IoT供应链风险不止升级签名，还包括初始固件与首次启动后加载。设备身份、受信采样路径和运行证明需分开验收，不能把来源认证当成良性保证。
相关论文：2611.08380 · 2611.07476
7天内 · 厂商公告，已上线与计划分开 · 发布 2026-11-04 Cloudflare细化个人Agent可见性与网站访问策略 事件日期：11月4日分析/策略能力公告；部分账户能力early access｜来源：Cloudflare Blog
Cloudflare新增Personal Assistants流量类别与逐Agent访问政策；Account Abuse Protection中的用户关联功能处于early access。厂商明确指出识别Agent仍不等于知道其代表谁、获得何种授权；更完整上下文是后续目标。
研究影响（本期分析） 可将网站准入与任务内决策权限分开评测。已识别的Agent也可能被任务篡改，访问身份可信不能替代来源字段与执行目标的授权。
相关论文：2611.07640 · 2611.07222 · 2611.08325
没有匹配内容。清除筛选
编辑绘制 · 证据阅读示意，非实验数据；各条结论以所附原始来源为准。 研究趋势与选题建议 今日研究热点（本期样本） 传感器采样可信路径、无线干扰早期检测、车载与工业边缘设备安全是高优先级重点。感知侧以LiDAR可复现评测和对抗训练失稳为补充；Agent侧集中于任务篡改、目标准入、技能风险与隔离诱捕。样本结构不是全领域发文量排名。
新兴攻击趋势 正确解码掩盖RF干扰；正常任务中的证据/状态污染；看似良性的技能引导不安全动作；可信文本与真实执行的分离。Google及冷链通告提供IoT固件和控制面的现实背景，不能把实验攻击率外推到现实事故。
新兴防御趋势 硬件认证采样、物理层异常检测、LLM训练小模型、PQC检查点摊销、控制输入水印、确定性目标准入与影子环境。各自依赖不同TCB、数据和攻击能力，宜组合但须重新验证组合收益。
研究团队动态 本期论文团队与通讯作者主页随作者小卡片提供，未经身份核实只保留Scholar检索。近稿跨越RISC-V硬件安全、卫星通信、车辆CAN、工业证明、视觉控制与工具Agent；不据一篇论文推测团队完整学术履历或持续产出。
交叉研究趋势 传感器硬件路径与工业证明：认证采样和设备状态需要共同建模；无线干扰与多模态控制：保持可见性不等于链路可靠；Agent来源授权与控制水印：决策依据和实际执行都需要可验证证据。
今日最值得精读的3篇 ① SensorGuard-RV（2611.08380）：直接服务最高优先级传感器可信路径，精读TCB和复位重放边界。② Cloudy Skies（2611.08118）：真实Iridium数据与47种干扰条件，精读噪声底、移动性和早期窗口。③ Beyond Instruction Override（2611.07640）：明确合法来源的任务篡改基准，精读六类决策目标及防御残留。
科研选题：跨层可信感知证据 将寄存器级认证样本、RF噪声异常和视觉控制残差联合记录，测攻击发生在哪一层及证据缺失如何降级。用真实设备与无攻击对照分开评估，不假设认证数据一定准确反映现实。此为本期研究提议，非已完成实验。
科研选题：低开销保护的完整成本账本 对CAN知识迁移、PLC检查点、RISC-V采样与水印检测统一报告能耗、持久状态、尾延迟、误报与正常任务代价；尤其不能把签名摊销倍数或FLOPs直接当端到端收益。
科研选题：合法任务下的来源授权测试 将Task-Tampering、SPILLWAY、检索门控与技能增强组合，显式规定字段谁有权决定，区分任务完成、不安全动作、外泄目标与恢复。检验自适应攻击、良性来源冲突及多步传播。
持续跟踪 SensorGuard-RV更多传感器与复位模型；Iridium非噪声型干扰；UAV真实信道；CAN未知攻击；PQC检查点断电恢复；视觉水印实机安全代价；Agent基准覆盖、目标授权旁路和影子隔离可靠性。
