Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →17 papers
标题：一种面向威胁的 AppSec 形式化与运作架构：集成 SAST、DAST、SCA、运行时遥测和 ATT&CK 情报，以实现基于可利用风险的优先级排序
标题：一种面向威胁的 AppSec 形式化与运作架构：集成 SAST、DAST、SCA、运行时遥测和 ATT&CK 情报，以实现基于可利用风险的优先级排序 摘要：现代应用的攻击面随着微服务、API、容器以及持续集成和持续交付流水线的采用而大幅扩展。尽管 Static Application Security Testing（SAST）、Dynamic Application Security Testing（DAST）和 Software Composition Analysis（SCA）等应用安全工具已被广泛使用，但这些机制往往独立运行，产生大量缺乏操作上下文的告警。因此，安全团队在基于真实利用可能性来优先处理漏洞方面面临困难。本文提出一种面向威胁的应用安全形式化与运作架构，将 SAST、DAST 和 SCA 的结果与通过网络传感器以及基于 eBPF 的监控在运行时收集的执行遥测相结合。所提架构使用受贝叶斯模型启发的概率相关方法来估计已识别漏洞的可利用风险，将来自运行时观测事件的经验性证据纳入其中，并将这些证据与 MITRE ATT&CK 框架对齐。我们从数学上形式化了可利用风险的概念，并展示了如何组合多种证据来源以减少误报并改进修复优先级排序。实验实现部署于 Kubernetes 环境，并集成到 CI/CD 流水线中，使用了业界广泛采用的工具，包括 Semgrep、OWASP ZAP、OWASP Dependency-Check、Falco 和 Suricata。我们在一组存在漏洞的应用上评估了该方法，并观察到在可被利用漏洞识别的准确性方面显著提升。实验结果表明，相较于独立方法中 0.67–0.63 的 F1-score，集成模型达到了 0.85，同时误报减少了 37.4%，漏洞分诊的平均时间也有所下降。我们讨论了该概率模型的局限性、对 DevSecOps 实践的运作影响，以及可能的扩展方向，包括与 EPSS 等利用指标的集成以及用于自适应优先级排序的机器学习辅助分析。所提出的架构表明，静态分析、动态测试、依赖分析与运维遥测之间的相关性，是缩小漏洞检测与真实利用检测之间差距的一条有前景的路径。
Read paper →AppSec标题：基于证据的AppSec：一个形式化且可扩展的框架，用于基于威胁建模和持续混合分析的应用安全编排
标题：基于证据的AppSec：一个形式化且可扩展的框架，用于基于威胁建模和持续混合分析的应用安全编排 摘要：由于对分布式架构、微服务、公开API以及复杂的开源依赖链的日益依赖，应用安全已成为现代网络安全的核心组成部分。当代系统的攻击面与组件之间的互联程度成比例增长，这使得仅孤立分析漏洞的传统方法显得不足。在当代DevSecOps环境中，静态分析（SAST）、动态分析（DAST）和软件组成分析（SCA）等工具会产生大量告警，且常常表现出较高的误报率和不恰当的风险优先级排序。本文提出一个名为EO-AppSec（Evidence-Oriented Application Security，面向证据的应用安全）的正式框架，它将多种安全证据来源整合到一个统一的概率模型中，以实现漏洞优先级排序。我们使用贝叶斯推断结合上下文化的CVSS度量以及由有向图表示的组件依赖建模，对该问题进行了形式化。该框架关联SAST、DAST和SCA工具的结果，以及运行时遥测，以估计漏洞被利用的概率并计算条件风险评分。所提出的架构集成了CI/CD流水线和云原生基础设施，包括Kubernetes环境以及基于eBPF的可观测性平台和现代遥测技术栈。我们在一个包含47个应用程序、约320万行代码的工业环境中评估了该系统，并将其与基于孤立分析的传统方法进行了比较。结果表明，漏洞优先级排序的准确性显著提高（0.89），误报减少了42.3%，同时平均修复时间从14.2天降至8.7天。我们讨论了对软件安全治理以及与当代安全框架集成的实际影响，包括NIST Secure Software Development Framework以及DevSecOps流水线中的现代安全实践。我们还分析了方法学上的局限性，以及对纳入人工智能组件和大语言模型的现代应用环境的影响。结果表明，基于证据的编排为减少运行噪声并提升工业规模AppSec项目的有效性提供了一条可行路径。
Read paper →AppSec标题：基于证据的 AppSec：一种形式化且可扩展的应用安全编排框架，基于威胁建模与连续混合分析
标题：基于证据的 AppSec：一种形式化且可扩展的应用安全编排框架，基于威胁建模与连续混合分析 摘要：由于对分布式架构、微服务、公开 API 以及复杂的开源依赖链的日益依赖，应用安全已成为现代网络安全的核心组成部分。当代系统的攻击面随着组件之间的互联程度成比例增长，这使得将漏洞孤立分析的传统方法已显不足。在当代 DevSecOps 环境中，静态分析（SAST）、动态分析（DAST）和软件组成分析（SCA）等工具会产生大量告警，且常常表现出较高的误报率和不恰当的风险优先级排序。本文提出一个名为 EO-AppSec（Evidence-Oriented Application Security）的形式化框架，该框架将多种安全证据源集成到统一的概率模型中，用于漏洞优先级排序。我们使用结合情境化 CVSS 指标和以有向图表示的组件依赖建模的贝叶斯推断对该问题进行形式化。该框架关联 SAST、DAST 和 SCA 工具的结果，以及运行时遥测数据，以估计漏洞被利用的概率并计算条件风险分数。所提出的架构集成了 CI/CD 流水线和 cloud-native 基础设施，包括 Kubernetes 环境以及基于 eBPF 的可观测性平台和现代遥测栈。我们在一个包含 47 个应用程序、约 320 万行代码的工业环境中对该系统进行了评估，并将其与基于孤立分析的传统方法进行了比较。结果表明，漏洞优先级排序的准确率显著提升（0.89），误报减少了 42.3%，平均修复时间从 14.2 天缩短至 8.7 天。我们讨论了该方法对软件安全治理的实际影响，以及与当代安全框架的集成，包括 NIST Secure Software Development Framework 和 DevSecOps 流水线中的现代安全实践。我们还分析了方法学局限性，以及在现代应用中包含人工智能组件和大语言模型时的相关影响。结果表明，基于证据的编排为减少运营噪声并提升工业规模 AppSec 项目的有效性提供了一条可行路径。
Read paper →AppSec标题：一种基于在 DevSecOps 生命周期中集成 SAST、DAST、SCA 和 Threat Intelligence 的定量与操作化 Application Security 架构
标题：一种基于在 DevSecOps 生命周期中集成 SAST、DAST、SCA 和 Threat Intelligence 的定量与操作化 Application Security 架构 摘要：应用安全（Application Security – AppSec）已成为现代数字环境中风险管理的核心组成部分。基于微服务、暴露 API、容器以及持续交付流水线的架构日益普及，显著扩大了组织的攻击面。尽管各种安全分析工具已被广泛采用，许多组织仍然难以根据真实的利用风险来优先排序漏洞。静态分析（SAST）、动态分析（DAST）以及软件组成分析（SCA）工具往往会产生大量结果，其中许多具有较低的运行影响或较高的误报率。本文提出一种面向风险的 AppSec 项目的定量架构，通过将 SAST、DAST 和 SCA 的结果与外部威胁情报源进行整合。我们提出了一个形式化的优先级排序模型，该模型基于一个风险函数，结合 CVSS 评分、公开 exploit 证据、应用暴露上下文以及与 MITRE ATT&CK 框架技术的映射。所提出的架构集成到 DevSecOps 流水线中，并通过 DefectDojo 等管理平台使用漏洞关联与归一化机制。我们在由 42 个真实应用组成的集合上对该方法进行了实证评估，这些应用使用 Java、Python 和 Node.js 开发。结果表明，重复漏洞显著减少，误报率降低，平均修复时间（MTTR）显著改善。观察到 MTTR 降低了 63%，在扫描器关联之后，结果数量减少了 44.7%。我们还表明，纳入威胁情报——包括公开 exploit 的存在以及对对手活动的观察——能够改善修复优先级排序，并将资源导向实际可利用的漏洞。结果表明，当与 DevSecOps 生命周期集成时，风险驱动的 AppSec 项目能够在降低攻击面和提高安全团队运营效率方面带来可衡量的收益。
Read paper →AppSec标题：一种基于正式威胁建模、SAST/DAST/SCA 集成以及 DevSecOps 环境中运行时遥测的定量 Application Security 架构
标题：一种基于正式威胁建模、SAST/DAST/SCA 集成以及 DevSecOps 环境中运行时遥测的定量 Application Security 架构 摘要：对 Web 应用、API 和基于微服务的架构日益增长的依赖，显著扩大了现代系统的攻击面。近期事件报告表明，暴露于互联网的应用程序被利用仍然是最常见的入侵向量之一，攻击者通常利用已知的库漏洞、输入验证缺陷或不当配置。尽管静态分析（SAST）、动态分析（DAST）以及软件组成分析（SCA）等应用安全工具已广泛用于 DevSecOps 管道，但这些机制通常以碎片化方式运行，且缺乏一种能够估计系统残余风险的定量框架。本文提出一种集成式 Application Security 架构，基于正式威胁建模、多源分析结果聚合以及运行时实时遥测的引入。我们将漏洞优先级排序问题形式化为一个加权残余风险最小化过程，其中每个漏洞都依据可利用性概率、潜在影响和运行上下文等指标进行评估。所提出的架构将静态、动态和依赖关系分析工具与安全可观测性机制相集成，包括运行时行为检测和持续事件采集。我们在一个由故意设计为存在漏洞的应用程序和运行于容器化基础设施中的真实微服务组成的环境中，对该方法进行了实验评估。结果表明，该方法在识别实际可利用漏洞方面能力显著提升，平均召回率提高至 91.3%，且相较于孤立方法，平均检测时间（MTTD）降低了 63.4%。观察到的计算开销保持在 20% 以下，符合现代 CI/CD 管道的运行要求。此外，我们讨论了其对企业级 AppSec 项目的影响，强调代码分析、运营监控与威胁情报之间集成的重要性。所提出的架构表明，将正式建模与运行时遥测相结合，可为情境化漏洞优先级排序以及有效降低当代软件系统中的残余风险提供坚实基础。
Read paper →AppSec标题: 基于形式化威胁建模、SAST/DAST/SCA 集成与运行时遥测的 DevSecOps 环境下定量化 Application Security 架构
标题: 基于形式化威胁建模、SAST/DAST/SCA 集成与运行时遥测的 DevSecOps 环境下定量化 Application Security 架构 摘要: Web 应用、API 以及基于微服务的架构日益增长的依赖，显著扩大了现代系统的攻击面。近期事件报告表明，针对互联网暴露应用的利用仍然是最常见的入侵向量之一，且往往通过利用库中的已知漏洞、输入验证缺陷或配置不当来实现。尽管静态分析（SAST）、动态分析（DAST）以及软件成分分析（SCA）等应用安全工具已在 DevSecOps 流水线中得到广泛使用，但这些机制通常以碎片化方式运行，缺乏能够估计系统残余风险的定量化框架。本文提出一种集成式 Application Security 架构，基于形式化威胁建模、多源分析结果聚合以及实时执行遥测的纳入。我们将漏洞优先级排序问题形式化为一个加权残余风险最小化过程，其中每个漏洞都依据可利用性概率、潜在影响和运行上下文等指标进行评估。所提出的架构将静态、动态和依赖项分析工具与安全可观测性机制相集成，包括运行时行为检测和持续事件采集。我们在由故意构造漏洞的应用和运行于容器化基础设施上的真实微服务组成的环境中，对该方法进行了实验评估。结果表明，该方法在识别实际可利用漏洞方面能力显著提升，平均召回率提高至 91.3%，并且与孤立式方法相比，平均检测时间（MTTD）降低了 63.4%。观察到的计算开销保持在 20% 以下，符合现代 CI/CD 流水线的运行要求。此外，我们讨论了其对企业级 AppSec 项目的影响，强调代码分析、运行监控与威胁情报之间集成的重要性。所提出的架构表明，将形式化建模与运行时遥测相结合，能够为漏洞的上下文化优先级排序以及现代软件系统中残余风险的有效降低提供坚实基础。
Read paper →AppSec标题：基于混合分析、定量威胁建模和风险驱动编排的持续 AppSec 形式化架构
标题：基于混合分析、定量威胁建模和风险驱动编排的持续 AppSec 形式化架构 摘要：现代软件生态系统日益复杂——由微服务、公开暴露的 API、开源依赖以及高度自动化的 CI/CD 流水线构成——显著扩大了应用程序的攻击面。诸如 Log4Shell（CVE-2021-44228）以及反复出现的注入和访问控制不当等漏洞表明，传统应用安全（AppSec）方法在面对自适应对手时仍然不足。本文提出一种集成式持续 AppSec 架构，将静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）和定量威胁建模相结合，并通过风险驱动的编排机制加以耦合。我们将漏洞优先级排序问题形式化为一个受操作约束的多目标优化问题，将风险建模为 R = P(E) × I，其中 P(E) 是基于威胁情报估计的利用概率，I 是通过 CVSS 指标和资产关键性度量的影响。我们在一个 DevSecOps 流水线上实现了原型，并与 GitHub Actions、SonarQube、OWASP ZAP 和 dependabot 集成，在 47 个真实开源应用中进行了评估。结果表明，与传统的非风险驱动流水线相比，该方案在平均修复时间（MTTR）上降低了 38.7%，关键漏洞检测率提高了 24.3%，并将错误优先级排序的误报率降低了 41.2%。其核心贡献在于对优先级排序的数学形式化以及持续的运行时集成，为安全态势改进提供了可度量的保证。结果表明，将定量模型纳入 AppSec 工具编排中，是提升现代开发环境安全成熟度的重要进展。
Read paper →AppSec一种基于混合分析、定量威胁建模与风险导向编排的持续化应用安全形式化架构
一种基于混合分析、定量威胁建模与风险导向编排的持续化应用安全形式化架构 由微服务、公开暴露的API、开源依赖以及高度自动化的CI/CD流水线构成的现代软件生态系统日益复杂，显著扩大了应用程序的攻击面。诸如Log4Shell（CVE-2021-44228）等漏洞，以及反复出现的注入缺陷和访问控制不当问题表明，传统的应用安全（AppSec）方法在面对具有适应性的对手时仍然不足。本文提出一种集成的持续化AppSec架构，将静态分析（SAST）、动态分析（DAST）、软件成分分析（SCA）以及定量威胁建模相结合，并通过一个风险导向的编排机制进行耦合。我们将漏洞优先级排序问题形式化为在操作约束下的多目标优化问题，并将风险建模为 R = P(E) × I，其中 P(E) 表示基于威胁情报估计的利用概率，I 表示通过CVSS指标和资产关键性度量的影响。我们在一个DevSecOps流水线上实现了原型系统，并集成GitHub Actions、SonarQube、OWASP ZAP和dependabot，在47个真实开源应用上进行了评估。结果表明，与传统的非风险导向流水线相比，该方法使平均修复时间（MTTR）降低了38.7%，关键漏洞检测率提高了24.3%，且被错误优先化的误报减少了41.2%。本研究的核心贡献在于漏洞优先级排序的数学形式化以及持续化的运营集成，从而为安全态势改进提供可量化的保证。结果表明，在AppSec工具编排中引入定量模型，是提升现代开发环境安全成熟度的重要进展。
Read paper →AppSec一种形式化基础的持续应用安全架构：DevSecOps流水线中的威胁建模、混合分析与风险定量优先级排序
TITLE: 一种形式化基础的持续应用安全架构：DevSecOps流水线中的威胁建模、混合分析与风险定量优先级排序 ABSTRACT: 由分布式架构、微服务、第三方依赖以及持续交付周期所表征的软件生态系统复杂性的不断增长，显著扩大了现代应用程序的攻击面。Verizon Data Breach Investigations Report（DBIR）的最新报告表明，超过43%的安全泄露利用了Web应用中的漏洞，而国家漏洞数据库（NVD）在2023年记录了超过28,000个CVE，其中许多与可远程利用的缺陷相关。在本研究中，我们从形式化与系统化的视角研究应用安全（AppSec）问题，提出一种用于DevSecOps流水线中持续检测、优先排序与缓解漏洞的集成架构。我们的方法结合了静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）以及基于CVSS和组织情境化指标的概率风险建模。我们提出了一个基于函数 R(v) = P_e(v) · I(v) · C(v) 的漏洞优先级数学模型，其中 P_e 表示被利用的概率，I 表示技术影响，C 表示情境关键性。我们在42个开源应用和8个真实企业系统上评估了该方法，总计3.2百万行代码。结果表明，与仅基于SAST的传统流水线相比，该方法使平均修复时间（MTTR）降低37.4%，关键漏洞检测率提高29.1%，并将误报率降低41.8%。所提出的架构在构建时间上仅带来8.6%的平均开销，保持了运行可行性。我们得出结论：形式化导向的混合技术集成结合情境化的定量优先级排序，能够显著提升高频开发环境中AppSec项目的整体有效性。
Read paper →AppSec标题：面向持续应用安全的形式化基础架构：DevSecOps 管道中的威胁建模、混合分析与风险定量优先级排序
标题：面向持续应用安全的形式化基础架构：DevSecOps 管道中的威胁建模、混合分析与风险定量优先级排序 摘要：软件生态系统的复杂性日益增长，其特征包括分布式架构、微服务、第三方依赖以及持续交付周期，这显著扩大了现代应用程序的攻击面。Verizon Data Breach Investigations Report（DBIR）的最新报告指出，超过 43% 的泄露利用了 Web 应用程序中的漏洞，而 NVD 在 2023 年记录了超过 28,000 个 CVE，其中许多与可远程利用的缺陷相关。本文从形式化和系统化视角研究应用安全（AppSec）问题，提出了一种用于 DevSecOps 管道中漏洞持续检测、优先级排序与缓解的集成架构。我们的方法结合了静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）以及基于 CVSS 和组织上下文指标的概率风险建模。我们引入了一个基于函数 $R(v) = P_e(v) \cdot I(v) \cdot C(v)$ 的漏洞优先级排序数学模型，其中 $P_e$ 表示利用概率，$I$ 表示技术影响，$C$ 表示上下文关键性。我们在 42 个开源应用和 8 个真实企业系统上评估了该方法，总计 320 万行代码。结果表明，与仅基于 SAST 的传统管道相比，该方法将平均修复时间（MTTR）降低了 37.4%，将关键漏洞检出率提高了 29.1%，并将误报率降低了 41.8%。所提出的架构在构建时间上带来平均 8.6% 的开销，同时保持了运营可行性。我们得出结论：将形式化导向的混合技术与情境化的定量优先级排序相结合，可显著提升高开发频率环境中 AppSec 项目的有效性。
Read paper →AppSec基于证据的AppSec：用于DevSecOps流水线中持续漏洞分析的形式化且可扩展框架
TITLE: 基于证据的AppSec：用于DevSecOps流水线中持续漏洞分析的形式化且可扩展框架 ABSTRACT: 应用安全（Application Security – AppSec）已成为当代数字生态系统中的主要风险向量之一，这一趋势由微服务架构的广泛采用、持续集成以及开源依赖的大量使用所推动。诸如 Log4Shell (CVE-2021-44228) 和 Spring4Shell (CVE-2022-22965) 等被大规模利用的漏洞，揭示了传统静态分析（SAST）、动态分析（DAST）以及软件成分分析（SCA）方法在结构上的局限性。在本文中，我们提出一种面向持续AppSec的形式化、证据驱动框架，称为 EASE（Evidence-Aware Security Enforcement），该框架集成了增量式静态分析、数据流形式化建模以及基于运行遥测数据的概率化风险优先级排序。 我们的方法结合了一个风险数学模型 $R(v) = P_e(v) \cdot I(v) \cdot E(v)$，其中 $P_e$ 表示通过统计学习估计的漏洞被利用概率，$I$ 表示上下文影响，$E$ 表示通过运行时数据测量的动态暴露度。我们在真实的 CI/CD 流水线中实现了该框架，这些流水线包含 312 个代码仓库（Java、Python 和 Node.js），总计 4800 万行代码。 实验结果表明，与传统 SAST 工具相比，误报率平均降低 37.4%，平均修复时间（MTTR）减少 42.1%，并且能够提前检测到随后被归类为关键级别的 91% 漏洞（CVSS ≥ 9.0）。此外，与完整扫描相比，增量分析将执行时间减少了 58%。 本文的贡献包括：(i) 对 DevSecOps 环境中漏洞优先级排序问题的严格形式化；(ii) 具有正确性保证的高效增量分析算法；以及 (iii) 一项大规模实证评估，证明了在准确性和性能方面的显著提升。所提出的框架为基于真实风险的 AppSec 建立了定量基础，使应用安全更加接近以证据为导向的软件工程实践。
Read paper →AppSec基于图导向混合分析与风险定量优先级排序的Application Security（AppSec）形式化可扩展架构
TITLE: 基于图导向混合分析与风险定量优先级排序的Application Security（AppSec）形式化可扩展架构 ABSTRACT: 随着基于微服务的分布式应用以及与大规模开源依赖链的集成日益复杂，攻击面和可被利用漏洞的出现频率显著增加。近期与Log4Shell（CVE-2021-44228）以及不安全反序列化漏洞相关的安全事件表明，仅依赖静态或动态扫描的传统Application Security（AppSec）方法已难以满足需求。本文提出一种形式化且可扩展的AppSec架构，该架构基于图导向的混合分析方法，结合静态分析（SAST）、动态分析（DAST）、软件成分分析（SCA）以及通过语义依赖图和跨过程数据流实现的自动化威胁建模。我们引入一种用于风险定量优先级排序的数学模型，该模型整合了CVSS指标、通过统计学习估计的可利用概率以及调用图中的结构中心性。我们实现了一个分布式原型系统，能够分析超过500万行代码的应用程序，并处理120万个图节点，在CI/CD流水线中平均延迟为38分钟。 我们在42个关键开源项目（包括Apache Struts、Spring PetClinic和NodeGoat）上对系统进行了评估，共计9,317个已知漏洞。与传统SAST工具相比，我们的方法将误报率降低了37.4%，并将真实可利用漏洞路径的检测率提高了28.9%。在受控测试环境中，该优先级机制在两周的Sprint周期内将关键漏洞的修复率提高了41%。结果表明，在统一的图导向模型下对多种技术进行形式化整合能够显著提升精度、可扩展性和操作相关性，从而推动AppSec领域的技术进展，并促进安全在DevSecOps生命周期中的有效集成。
Read paper →AppSec标题：基于图驱动混合分析与定量风险优先级排序的 Application Security（AppSec）正式化可扩展架构
标题：基于图驱动混合分析与定量风险优先级排序的 Application Security（AppSec）正式化可扩展架构 摘要：分布式应用、基于微服务并集成大量 open source 依赖链的日益复杂性，显著扩大了攻击面以及可被利用漏洞的发生频率。近期与 Log4Shell（CVE-2021-44228）以及不安全反序列化漏洞相关的事件表明，传统仅依赖静态或动态单独扫描的 Application Security（AppSec）方法不足以应对当前挑战。本文提出一种正式化且可扩展的 AppSec 架构，基于图驱动的混合分析，结合静态分析（SAST）、动态分析（DAST）、软件成分分析（SCA）以及通过语义依赖图和跨过程数据流图实现的自动化威胁建模。我们引入一种用于定量风险优先级排序的数学模型，整合 CVSS 度量、由统计学习估计的可利用概率以及调用图中的结构中心性。我们实现了一个分布式原型系统，能够分析超过 500 万行代码的应用程序，在 CI/CD pipeline 中处理 120 万个图节点，平均延迟为 38 分钟。 我们在 42 个关键 open source 项目上评估了该系统（包括 Apache Struts、Spring PetClinic 和 NodeGoat），共计 9,317 个已知漏洞。与传统 SAST 工具相比，我们的方法将误报率降低了 37.4%，并将真实可利用数据流的检测率提高了 28.9%。在受控测试环境中，该优先级排序机制使关键漏洞在两周 sprint 周期内的修复率提高了 41%。结果表明，在统一的图驱动模型下正式整合多种技术，可在准确性、可扩展性和运营相关性方面带来显著提升，为 AppSec 的前沿发展以及安全在 DevSecOps 生命周期中的有效集成作出了贡献。
Read paper →AppSec云原生环境中的应用安全工程：2026年的威胁建模、运行时插桩与基于遥测的检测
这使得依赖于边界防护和集中式日志的传统安全方法变得更加困难。此外，REST 与 GraphQL API 的大规模采用也增加了对外公开的端点数量。 另一个新兴向量是人工智能模型和大型语言模型在应用中的集成。诸如提示注入（prompt injection）、通过上下文进行数据外泄以及模型操控等漏洞，已成为现代应用新的安全关注点（NIST, 2024）。 在这一背景下，安全社区开始采用更为综合的方法，将以下技术结合起来： • 静态代码分析（SAST） • 动态应用分析（DAST） • 软件组成分析（SCA） • 运行时监控（RASP / eBPF） • 安全可观测性与遥测 这些技术的融合使得既能在开发阶段检测漏洞，也能在生产环境中发现恶意行为。 本文提出了一种以遥测为导向的 AppSec 运营框架，在云原生环境中整合静态分析、威胁建模与运行时监控。该方案旨在缩小安全开发与攻击运营检测之间的差距。 2. 背景与相关工作 应用安全最初源自人工代码审查以及在开发周期末期执行的渗透测试。然而，随着敏捷方法和 CI/CD 流水线的采用，将安全直接集成到开发流程中变得必要。 DevSecOps 的概念正是在这种背景下出现的，它将安全控制集成到自动化的构建和部署流水线中。SAST、DAST 和 SCA 等工具开始在开发过程中自动运行。 SAST 工具与语义分析
Read paper →AppSec一种用于持续应用安全（AppSec）的形式化且可扩展的架构：基于模型引导的静态分析、自适应动态插桩与具有可量化保证的策略验证集成
应用安全是分布式企业环境与云原生环境中网络安全的结构性支柱之一。基于微服务、容器、Kubernetes 以及 CI/CD 流水线的架构整合显著扩大了攻击面，尤其是在公共 API 和服务间集成方面。根据 Verizon Data Breach Investigations Report 2023，大约 49% 的已分析安全事件涉及 Web 应用（VERIZON, 2023）。后续报告在 2025 年之前仍呈现类似趋势，进一步强化了 AppSec 的核心地位。 CISA 的 Known Exploited Vulnerabilities (KEV) 目录记录了关键漏洞的主动利用情况，其中包括广泛使用的库中的缺陷（CISA, 2023）。在 MITRE ATT&CK 框架中，针对暴露应用的利用对应技术 T1190（Exploit Public-Facing Application），而后续的命令执行通常与技术 T1059 相关（MITRE, 2023）。到 2026 年，这些攻击向量与新兴威胁并存，包括与 AI API 相关的风险，以及针对集成于企业应用中的 LLM 的 prompt injection 攻击（OWASP, 2023a）。 此外，Application Security、Cloud-Native Application Protection Platforms (CN
Read paper →AppSec一种基于混合分析、MITRE ATT&CK导向威胁建模与定量风险优先级的形式化可扩展持续AppSec架构
1. 引言
Read paper →AppSec面向大规模微服务环境的应用安全自适应验证与运行时加固框架：形式化建模、算法设计与实证评估
应用程序体系结构已由单体架构演进为以容器化与微服务为核心的分布式系统。Kubernetes、Service Mesh 以及 DevSecOps 流水线的广泛应用，使系统具备高弹性与快速迭代能力，但同时显著扩大了攻击面。根据 Verizon《2023 Data Breach Investigations Report》，超过 43% 的数据泄露事件与应用层漏洞直接相关。OWASP Top 10（2021）指出，A01:2021-Broken Access Control 与 A03:2021-Injection 仍然是高风险类别的主要来源。 典型安全事件包括 CVE-2021-44228（Log4Shell），其利用 Apache Log4j 2 的 JNDI 查找机制触发远程代码执行（Remote Code Execution, RCE），以及 CVE-2023-34362（MOVEit Transfer SQL 注入漏洞），造成大规模敏感数据泄露。这些事件表明，在高度组件化与自动化部署环境下，攻击者可通过公开接口（MITRE ATT&CK 技术 T1190: Exploit Public-Facing Application）建立初始访问，并结合 T1059（Command and Scripting Interpreter）等技术完成后续利用与横向移动。 综合当前工
Read paper →