Analyzing Defensive Misdirection Against Model-Guided Automated Attacks on Agentic AI Systems
Application & Threat Intelligence Research Center（应用与威胁情报研究中心）
本文通过概率模型分析智能体AI系统的攻击-防御场景，提出“检测-误导”策略（如CMPE）以替代传统“检测-拦截”方法，通过产生误导性响应降低攻击者成功率，并在基准测试中将攻击成功率上限降低两个数量级。
2026-10-02 cs.AI cs.CR
Automated Attack Synthesis by Extracting Finite State Machines from Protocol Specification Documents
Purdue University（普渡大学）；Northeastern University（东北大学）
自动攻击发现技术（如攻击者合成或基于模型的模糊）提供了确保网络协议正确安全运行的强大方法。这些技术通常需要协议的形式化表示，通常采用有限状态机（FSM）的形式。不幸的是，许多协议仅用英文描述，即使是将简单的网络协议实现为FSM也很耗时，并且容易出现微妙的逻辑错误。从文档中自动提取协议FSM可以显著促进这些技术的使用，并导致更健壮和更安全的协议实现。在这项工作中，我们专注于攻击者的合成作为一个代表性的技术协议的安全性，并在RFC作为一个代表性的格式协议散文描述。与其他依赖于基于规则的方法或直接使用现成的NLP工具的作品不同，我们提出了一种数据驱动的方法来从RFC文档中提取FSM。具体而言，我们使用的混合方法包括三个关键步骤：（1）大规模的词表示学习的技术语言，（2）集中的零样本学习的协议文本映射到一个协议无关的信息语言，（3）基于规则的映射从协议无关的信息到一个特定的协议FSM。我们展示了我们的FSM提取的通用性，通过使用RFC为六个不同的协议：BGPv4，DCCP，LTP，PPTP，SCTP和TCP。我们演示了如何自动提取的FSM从RFC可以应用到合成的攻击，TCP和DCCP的案例研究。我们的方法表明，它是可能的自动攻击者合成协议使用文本规范，如RFC。
2022-02-18 cs.CL cs.CR cs.FL
CryptoVampire: Automated Reasoning for the Complete Symbolic Attacker Cryptographic Model
本文提出 CryptoVampire，首次通过一阶形式化、子项关系处理及 Vampire 饱和推理，全自动完成 BC Logic 中密码协议轨迹属性证明。
2024-04-05 cs.CR cs.LO
Automated Dataset Generation System for Collaborative Research of Cyber Threat Analysis
网络攻击的目标越来越复杂，攻击者通过伪装成其他攻击者来隐藏自己的身份。网络威胁情报（CTI）作为一种收集有意义的知识的方式，以更好地了解攻击者的意图，并最终预测未来的攻击，正受到越来越多的关注。基于从实际网络事件中获得的数据进行系统的威胁分析是为实现这一目标而生成情报的有用方法。开发分析技术需要大量和高质量的数据。然而，研究人员可能会因为无法获得数据而感到沮丧，因为组织很少向研究界发布数据。由于数据不可访问性问题，学术研究往往偏向于开发CTI过程步骤的技术，而不是分析和生产。在本文中，我们提出了一个自动化的数据集生成系统，称为CTIMiner。该系统从公开的安全报告和恶意软件存储库中收集威胁数据。数据以结构化格式存储。我们向公众发布了源代码和数据集，其中包括2008年1月至2019年6月发布的612份安全报告中的约640，000条记录。此外，我们提出了一个数据集的统计功能和技术，可以使用它开发。此外，我们演示了一个应用程序的数据集，分析事件的相关性和特点的例子。我们相信我们的数据集将促进威胁分析的合作研究，以生成CTI。
2019-10-06 cs.CR
Adaptive Instruction Composition for Automated LLM Red-Teaming
Capital One, AI Foundations（Capital One人工智能基础研究）
本文提出自适应指令生成框架，通过强化学习平衡探索与利用，提升红队测试的攻击效果与多样性，优于随机组合和现有方法。
2026-04-22 cs.AI cs.CL cs.CR
Steroids for DOPed Applications: A Compiler for Automated Data-Oriented Programming
广泛采用的系统防御措施，如代码、堆栈和堆的随机化，提高了代码重用攻击的门槛。因此，攻击者利用网络浏览器等目标程序中的脚本引擎来准备代码重用链，例如，重新定位小工具地址或执行即时小工具搜索。然而，许多类型的程序不提供攻击者可以使用的这种执行上下文。面向数据编程（DOP）的最新进展探索了一种滥用内存损坏漏洞的正交方法，并证明攻击者可以在不修改应用程序中的代码指针的情况下实现图灵完全计算。到目前为止，构建DOP漏洞需要大量的手工工作。在本文中，我们提出了新的技术来自动生成DOP漏洞的过程。我们实现了一个名为Steroids的编译器，它将我们的高级语言SLANG编译为低级DOP数据结构，从而在运行时间驱动恶意计算。这使攻击者能够以独立于应用程序和可扩展性的方式指定其意图，以最大限度地提高可重用性。我们证明了我们的技术和原型实现的有效性，通过指定四个程序的不同复杂性的SLANG计算Levenshtein距离，遍历指针链窃取私钥，重新定位ROP链，并执行JIT-ROP攻击。Steroids将这些程序中的每一个编译为针对包括GStreamer、Wireshark和ProFTPd在内的五个不同应用程序的低级DOP数据结构，这些应用程序具有截然不同的漏洞和DOP实例。最终，这表明我们的编译器是通用的，可用于32位和64位应用程序，跨错误类工作，并在缺乏脚本引擎的应用程序中无需传统的代码注入或代码重用…
2020-07-05 cs.CR
Automated email Generation for Targeted Attacks using Natural Language
University of Houston（休斯顿大学）
随着越来越多的恶意攻击，成为社会工程攻击牺牲品的个人和组织的数量正在激增。尽管对缓解系统进行了大量研究，但攻击者通过使用复杂的机器学习、自然语言处理技术不断改进其作案手法，意图发动旨在欺骗检测机制和受害者的成功有针对性的攻击。我们提出了一个先进的电子邮件伪装攻击系统，使用自然语言生成（NLG）技术。使用合法以及各种恶意内容的涌入，所提出的深度学习系统生成具有恶意内容的\textit{fake}电子邮件，根据攻击者的意图进行定制。该系统利用递归神经网络（RNN）进行自动文本生成。我们还专注于所生成的电子邮件在击败统计检测器的性能，并比较和分析使用建议的基线的电子邮件。
2019-08-19 cs.CL cs.CR
Red-TTT: Test-Time Training for Automated Jailbreaking Large Language Models
Johns Hopkins University（约翰斯·霍普金斯大学）；National University of Singapore（新加坡国立大学）；Washington University in St. Louis（圣路易斯华盛顿大学）；University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Stanford University（斯坦福大学）
提出Red-TTT方法，在攻击过程中实时更新攻击者参数，利用策略梯度整合信息，显著提升越狱攻击成功率，从55.9%提升至72.4%。
2026-10-06 cs.CL cs.CR
Assessing Automated Prompt Injection Attacks in Agentic Environments
ETH Zurich（苏黎世联邦理工学院）
研究在智能体环境中，黑盒优化方法（TAP）比梯度方法（GCG）更有效，且攻击效果依赖于攻击者模型，任务通用攻击可迁移但跨模型迁移受限。
2026-06-09 cs.AI cs.CR
Automated CFI Policy Assessment with Reckon
保护程序免受控制流劫持攻击已经成为防御者和攻击者之间的军备竞赛。虽然某些防御，例如，\textit{Control Flow Integrity}（CFI）通过静态和动态分析来限制间接控制流传输的目标，攻击者可以在程序中搜索属于合法目标集的可用小工具，从而绕过防御。有几种工具可以帮助攻击者开发漏洞，帮助分析师加强防御。然而，这些工具未能充分（1）对部署的防御进行建模，（2）以面对面的方式进行比较，以及（3）使用程序语义信息来帮助制定攻击和对策。控制流完整性（CFI）已被证明是一个有前途的防御控制流劫持和吨的努力，已经作出了各种方式在过去的十年来改善CFI。然而，对现有的CFI防御缺乏系统的评估。在本文中，我们提出了Reckon，静态源代码分析工具，用于评估最先进的静态CFI防御，首先精确建模，然后在一个统一的框架中进行评估。Reckon帮助确定不同CFI防御提供的安全级别，并在应用CFI防御后找到可用的代码小工具，从而为成功利用漏洞和更强大的防御迈出重要一步。我们已经使用Reckon评估了八个最先进的静态CFI防御在现实世界的程序，如谷歌的Chrome和Apache的Httpd。Reckon提供了对剩余攻击面的精确测量，并相应地对CFI策略进行排名。它还成功地为构建代码重用攻击和消除剩余的攻击面铺平了道路，通过在最严格的CFI防御之一下公开调用目标。
2018-12-20 cs.CR
Forgeable Confirmation in Automated Computer Security Testing: Deterministic Rules versus AI Judges
OmiCore Inc.（OmiCore公司）；Graduate School of Engineering, Kyushu University（九州大学研究生院）
本研究证明在AI辅助安全测试中，读取攻击者控制数据的确认机制可被伪造，并提出将决定性证据移至不可写通道以将攻击成功率从97%降至0%。
2026-09-22 cs.CR
Deep Learning-Based Speech and Vision Synthesis to Improve Phishing Attack Detection through a Multi-layer Adaptive Framework
The University of Texas at El Paso（德克萨斯大学埃尔帕索分校）
针对复杂网络钓鱼攻击难以检测的问题，提出结合深度学习、Randon Forest 与 NLP 的多层自适应框架，通过图像读取和 deep-fake 视频语音合成提升检测性能。
2024-02-27 cs.AI cs.CR cs.CV
Automated Template-free Synthesis of Instruction-Centric Leakage Contracts for Black-Box CPUs
IMDEA Software Institute（IMDEA软件研究所）；Universidad Politécnica de Madrid（马德里理工大学）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）；Saarland University（萨尔兰大学）；Northeastern University（东北大学）；University of Trento（特伦托大学）；KTH Royal Institute of Technology（瑞典皇家理工学院）
针对边信道攻击致使CPU泄漏敏感信息的问题，提出一种方法，以最少人工干预为主要CPU架构提取指令中心泄漏契约，并在malcos工具中实现，经评估其合成的契约精确合理，证明从黑盒CPU学习泄漏契约可行。
2026-07-17 cs.CR
FreeTalk:A plug-and-play and black-box defense against speech synthesis attacks
针对黑盒语音合成攻击，本文提出FreeTalk，通过频域扰动、数据增强、噪声平滑及按身份通用扰动机制，实现轻量、鲁棒且即插即用的隐私保护。
2025-08-30 cs.CR
AED: An black-box NLP classifier model attacker
Georgia State University（佐治亚州立大学）；Kennesaw State University（肯尼索州立大学）
针对NLP领域DNN模型鲁棒性研究不足、对抗样本难生成的问题，提出结合注意力机制、模型后解释与密度峰值聚类的词级黑盒攻击模型AED，可生成保原意的对抗样本以测试并提升模型鲁棒性。
2024-11-03 cs.CR cs.LG
Training Automated Defense Strategies Using Graph-based Cyber Attack Simulations
KTH Royal Institute of Technology（瑞典皇家理工学院）
本文提出基于 Meta Attack Language 攻击图模拟网络攻防环境，用强化学习训练防御智能体响应警报并执行防御措施，实验表明其优于启发式策略且可跨攻击者策略泛化，但大图性能下降。
2023-04-17 cs.CR cs.LG cs.NI
DPGen: Automated Program Synthesis for Differential Privacy
差分隐私已经成为以隐私保护方式发布数据的事实标准。创建差异私有算法的过程通常从无噪声（非私有）算法开始。然后，设计者决定在哪里添加噪声，以及添加多少噪声。这可能是一个不平凡的过程--如果不仔细做，算法可能会违反差分隐私或具有低效用。在本文中，我们提出了DPGen，一个程序合成器，需要在非私有代码（没有任何噪声），并自动合成其差分私有版本（仔细校准的噪声）。在引擎盖下，DPGen使用新的算法自动生成一个草图程序，其中包含噪声的候选位置，然后在草图程序上同时优化隐私保护和噪声尺度。此外，DPGen可以合成复杂的机制，自适应地处理查询，直到指定的隐私预算耗尽。在标准基准测试中进行评估时，DPGen能够在120秒内生成优化简单效用函数的差异化私有机制。它也足够强大，可以合成自适应隐私机制。
2021-09-15 cs.CR cs.PL
Technical Report: Hardening Code Obfuscation Against Automated Attacks
软件混淆是保护知识产权和管理数字版权的关键技术。尽管其巨大的实际重要性，商业和学术最先进的混淆方法都容易受到过多的自动化去混淆攻击，如符号执行，污点分析，或程序合成。虽然最近提出了几种增强的混淆技术来阻止污点分析或符号执行，但它们要么强加了禁止性的运行时开销，要么可以以自动化的方式被移除（例如，通过编译器优化）。一般而言，这些技术的缺点在于集中于单个攻击向量，从而允许攻击者切换到其他更有效的技术，诸如程序合成。在这项工作中，我们提出了Loki，一种软件混淆的方法，可以抵御所有已知的自动去混淆攻击。为此，我们使用并有效地结合多种技术，包括一个通用的方法来合成正式验证表达式的任意复杂性。与依赖于一些硬编码生成规则的最先进方法相反，我们的表达式更加多样化，更难进行模式匹配。即使是最新的混合布尔算术（MBA）去混淆研究也未能简化它们。此外，Loki还可以防止以前未考虑的攻击向量，例如程序合成，它将成功率降低到只有19%。在一个全面的评估，我们表明，我们的设计产生的开销显着减少，同时提供了更强的保护水平相比，现有的作品。
2022-06-17 cs.CR
Persona-Conditioned Adversarial Prompting (PCAP): Multi-Identity Red-Teaming for Enhanced Adversarial Prompt Discovery
Trinity College Dublin（都柏林三一学院）；IBM Research（IBM研究院）
PCAP通过结合攻击者身份和策略卡进行对抗搜索，提高攻击成功率和提示多样性，增强对抗策略覆盖范围。
2026-05-12 cs.CR
Auto-ART: Structured Literature Synthesis and Automated Adversarial Robustness Testing
Independent Researcher（独立研究者）
本文提出Auto-ART框架，通过结构化文献综合和自动化对抗鲁棒性测试，填补了领域内的知识空白，实现了多规范评估和合规性映射。
2026-04-22 cs.CR cs.LG
A Blind Trust, the Bloody Thrust: When Attacker-Controlled Hook Updates Steer AI Agent Harnesses towards Malicious Behaviors
Beijing University of Posts and Telecommunications（北京邮电大学）；Data Technology Support Center of the Cyberspace Administration of China（中央网络安全和信息化委员会办公室数据技术支持中心）；Beihang University（北京航空航天大学）；Zhejiang University（浙江大学）
该研究揭示AI智能体控制框架的生命周期钩子更新路径为新攻击面，提出HookPry框架可攻破所有7款被评估框架，而现有防御措施不足以应对此类攻击。
2026-09-09 cs.AI cs.CR
Stateful Detection of Model Extraction Attacks
Indian Institute of Science（印度科学学院）；nference（nference公司）
机器学习即服务提供商通过应用程序编程接口（API）向开发人员公开机器学习（ML）模型。最近的工作表明，攻击者可以利用这些API来提取这些ML模型的良好近似，通过使用他们选择的样本查询它们。我们提出VarDetect，一个有状态的监视器，跟踪这样的服务的用户所做的查询的分布，检测模型窃取攻击。利用修改后的变分自编码器学习的潜在分布，VarDetect鲁棒地将三种类型的攻击者样本与良性样本分开，并成功地为每种样本发出警报。此外，随着VarDetect部署为自动防御机制，发现提取的替代模型表现出预期的性能和可移植性较差。最后，我们证明，即使是自适应攻击者与部署VarDetect的先验知识，检测。
2021-07-12 cs.AI cs.CR cs.LG
ZERO-APT: A Closed-Loop Adversarial Framework for LLM-Driven Automated Penetration Testing under Intelligent Defense
Zhejiang University of Technology（浙江工业大学）
提出ZERO-APT框架，通过集成可配置的LLM防御者、架构级因果一致性机制和专用裁判智能体，解决了LLM驱动渗透测试在真实性、一致性和可审计性方面的缺陷。
2026-06-04 cs.CR cs.MA
Automated Certification of Authorisation Policy Resistance
基于属性的访问控制（ABAC）扩展了传统的访问控制，将访问请求视为一组成对的属性名称-值，使其在开放和分布式系统的上下文中特别有用，其中安全相关信息可以从不同的源收集。但是，ABAC支持属性隐藏攻击，允许攻击者通过保留信息来获得某些访问权限。在本文中，我们首先介绍了属性隐藏攻击的政策阻力的概念。然后，我们提出的工具ATRAP（自动任期重写授权政策），最近正式的ABAC语言PTaCL，首先自动搜索阻力反例使用Maude，然后自动搜索伊莎贝尔证明阻力的基础上。我们用两个简单的政策例子来说明我们的方法，并提出了ATRAP性能的评估。
2013-06-20 cs.CR cs.LO
A CAD Framework for Simulation of Network Level Attack on Platoons
本文提出一种自动化CAD工具流程，支持在可定制车队结构和车辆动力学上合成并仿真虚假数据注入攻击，用于联网车辆原型的性能验证及轻量级攻击检测与缓解算法的设计与验证。
2022-05-02 cs.CR cs.SY eess.SY
Omni: Automated Ensemble with Unexpected Models against Adversarial Evasion Attack
North Carolina State University（北卡罗来纳州立大学）
背景：基于机器学习的安全检测模型在现代恶意软件和入侵检测系统中已经变得普遍。然而，以前的研究表明，这种模型容易受到对抗性逃避攻击。在这种类型的攻击中，输入（即，对抗性示例）是由智能恶意对手特别制作的，目的是被现有技术水平的模型错误分类（例如，深度神经网络）。一旦攻击者可以欺骗分类器，使其认为恶意输入实际上是良性的，他们就可以使基于机器学习的恶意软件或入侵检测系统失效。目标：通过集成模型的思想，帮助安全从业者和研究人员构建一个更强大的模型来对抗非自适应、白盒和非针对性的对抗性规避攻击。方法：我们提出了一种名为Omni的方法，其主要思想是探索创建“意外模型”集合的方法;即，模型的控制超参数有一个大的距离对手的目标模型的超参数，我们然后做一个优化的加权集成预测。测试结果：在对五种安全数据集（NSL-KDD，CIC-IDS-2017，CSE-CIC-IDS 2018，CICAnd-Mal 2017和Contagio PDF数据集）进行的五种类型的对抗性规避攻击（FGSM，BIM，JSMA，DeepFool和Carlini-Wagner）的研究中，我们发现与其他基线治疗方法相比，Omni是一种很有前途的对抗对抗攻击的防御策略。结论：当采用集成防御对抗性逃避攻击时，我们建议使用与攻击者的预期模型（即，目标模型）通过超参数优化等方法。
2021-10-12 cs.CR cs.LG
From Transactions to Exploits: Automated PoC Synthesis for Real-World DeFi Attacks
State Key Laboratory for Novel Software Technology, Nanjing University（南京大学软件新技术国家重点实验室）
TracExp通过轨迹驱动逆向工程和大语言模型代码生成，自动合成可验证的DeFi链上攻击PoC，有效复现93%的现实攻击案例。
2026-01-23 cs.CR cs.SE
