软件安全与隐私工程
软件安全与隐私工程近二十年的变化不应写成工具清单。真正被换掉的是评价标准：系统不再只凭单点分数、平均速度或“能运行”证明自己，而要说明在持续交付、开源依赖、云执行环境和隐私数据处理链中，攻击面、构建谱系、威胁模型和修复激励怎样进入结果。上一个十年主要把旧默认拆成可测约束；这十年则经历真实部署与方法清算，要求同时报告可利用路径、泄露量、修复时间和残余风险。下面二十条均按主证据年份归幕，每条给出源行、六段证据链和可抽取的碰撞行。
第一幕从缓解单次攻击转向生成测试、内存安全、可复现制品与可组合隐私损失。 本幕八条共同把旧默认第一次放到可测上界、误差、资源或行为证据上，并试写出可与别的领域换算的分母。
甲、控制流完整性：合法目标集合比随机地址更可审计
在控制流完整性提出以前，抵御代码复用攻击的默认思路是把地址藏起来：随机化布局、加不可执行位、在栈上放金丝雀，让攻击者猜不中该跳到哪里。这个前提把安全建立在攻击者缺少信息之上，而信息泄露是最容易发生的一类漏洞。这条转向换了个位置——不再问跳转目标是否被猜中，而是问它是否落在静态分析允许的集合里，控制流图本身成了运行时必须维持的不变量。
这条理论的可反驳命题是：运行时应限制间接跳转只到静态分析允许的目标集合，把控制流图变成安全不变量。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“被阻断的非法间接跳转数／间接跳转总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Zhang 与 Sekar，2013年《USENIX Security Symposium》。具体设计与读数是：实现从二进制恢复合法间接跳转目标，并在运行时检查；评估同时报告攻击阻断和性能开销，合法目标集合成为可审计对象。Abadi等于2005年提出CFI，2006年后出现编译器与工业实现；粗粒度目标集仍可被绕过，精粒度方案则面临兼容与性能成本。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“威胁模型是否覆盖微体系结构与供应链”。对照证据见Snow 等，2013年《IEEE Symposium on Security and Privacy》：JIT-ROP在进程运行时读取已暴露代码页并即时拼接代码片段，说明增加地址熵只抬高侦察成本，没有消除可利用内存错误。它显示可信执行环境仍依赖芯片和远程证明链；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告防护效果时要给出目标集合的精度，也就是允许跳转集合被收得多紧。集合放得越宽，绕过空间越大，而「已启用控制流完整性」这句话完全看不出松紧。同时应报告运行开销与需要豁免的模块清单——真实部署里的豁免项往往就是攻击者的入口。
与本块第六条《缓解不等于根治》处在同一条评价线的两端：控制流完整性是把攻击者可用的目标集合真正缩小，随机化只是让他多花几步去找。两者都不消除写越界这个根因，但可被绕过的方式不同——一个要靠泄露地址，一个要靠找到集合内的可用片段。把两者笼统合称「已加固」，会让防御评估失去分辨力。
乙、动态符号执行：测试输入可以由路径约束生成
测试用例长期由人来想：写单元测试、构造边界输入、凭经验猜哪里会出错。这个前提让覆盖率取决于测试者的想象力，而真正的漏洞往往藏在没人想到要去的分支里。动态符号执行改写了这一点——执行程序的同时维护路径上的符号约束，想进入哪条新路径，就把对应的约束交给求解器解出一个输入，测试输入第一次成为可以被系统性求解的对象。
这条理论的可反驳命题是：执行程序时同步维护符号约束，可系统求解触发新路径的输入。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“可满足路径数／探索路径总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。它改写的不是工具名称，而是什么比较才算同一个问题。
主证据来自Cadar、Dunbar 与 Engler，2008年《OSDI会议录》，USENIX。具体设计与读数是：KLEE对89个GNU Coreutils程序取得平均约84.5%的行覆盖，并发现十个长期未见错误；输入由路径约束求解生成。KLEE于2008年在GNU Coreutils与BusyBox上自动生成高覆盖测试并发现多处严重错误；路径爆炸和外部环境建模成为主要边界。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“语言安全是否被不安全接口重新打开”。对照证据见Godefroid、Levin 与 Molnar，2008年《NDSS会议录》：SAGE把一次真实执行收集的路径条件逐项取反，持续生成新文件；微软报告它在Windows 7开发期发现了约三分之一由文件模糊测试找到的漏洞。它显示匿名机制会在组合和辅助信息下失效；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告路径探索成果时要给出可满足路径与已探索路径之比，以及求解超时的比例。只报「发现若干缺陷」无法判断这套方法在这份代码上是否走得动。同时应说明外部环境如何建模——系统调用、文件与网络的处理方式决定了约束是否可解，也决定了结论能推广到多远。
与本块第四条《覆盖引导灰盒模糊》是同一目标的两种经济学：符号执行每一步都很贵但方向精确，灰盒模糊每一步极便宜而方向靠运气。在同样的机时预算下，谁更划算取决于程序结构——分支条件复杂时前者不可替代，输入格式松散时后者能跑出几个数量级的执行次数。把两者当成先进与落后的关系，是这条线上最常见的误读。
丙、白盒模糊测试：约束求解可与大规模执行联动
白盒测试与大规模执行长期被当成两条互不相干的路线：一边追求语义精确但跑不快，一边追求吞吐但看不见约束。这个默认让两边各自撞上天花板。这条转向把它们接在一起——用高吞吐执行去铺路径，只在被卡住的分支上选择性地调用求解器，求解成为一种可以按预算分配的稀缺资源，而不是每一步都要付的固定成本。
这条理论的可反驳命题是：可让高吞吐执行提供路径，再选择性求解阻塞分支，以预算化方式深入程序。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“发现的独立崩溃数／百万次执行”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Godefroid、Levin 与 Molnar，2008年《NDSS会议录》。具体设计与读数是：SAGE把一次真实执行收集的路径条件逐项取反，持续生成新文件；微软报告它在Windows 7开发期发现了约三分之一由文件模糊测试找到的漏洞。SAGE于2008年前后在大型二进制上开展生成式白盒模糊测试，并发现此前未触达漏洞；服务器级成本限制了普及。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“隐私预算能否跨团队统一记账”。对照证据见Zalewski，2014年《American Fuzzy Lop Technical Documentation》：AFL使用64KB共享位图记录边覆盖和命中桶，以极低反馈成本每秒执行大量变异样本；覆盖增长而非输入“聪明程度”驱动搜索。它显示缓解常把攻击成本提高而非消除根因；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告成果时要以机时为分母，例如每百万次执行发现多少独立崩溃，而不是只报崩溃总数。缺了分母，一份跑了半年的结果与一份跑了一天的结果无法比较。同时应说明崩溃去重的判据——去重方式不同，同一批结果的「独立缺陷数」可以相差数倍。
与本块第九条《持续模糊测试》是一次战役与常备军的关系：本条解决的是单次测试如何走得更深，第九条解决的是语料与覆盖如何在每次提交后被继承。两条分开做时最典型的浪费是——一次深入探索积累的种子语料在项目结束后被丢弃，下一轮又从零开始铺路。
丁、覆盖引导灰盒模糊：廉价反馈可以胜过完整语义
在灰盒模糊之前，模糊测试被普遍看作低端手段：随机改字节、碰运气，严肃的漏洞挖掘要靠语义分析。这个前提把「有指导」等同于「理解程序语义」。覆盖引导改写了这个等式——只用边覆盖这一种极其廉价的反馈来决定保留哪些种子，指导性来自选择而非理解，于是既保住了每秒上万次的执行速度，又获得了方向。
这条理论的可反驳命题是：以边覆盖和轻量变异作为反馈，快速保留能打开新路径的种子，可在速度与指导性间取得优势。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“覆盖的新控制流边数／每小时模糊执行数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。它改写的不是工具名称，而是什么比较才算同一个问题。
主证据来自Zalewski，2014年《American Fuzzy Lop Technical Documentation》。具体设计与读数是：AFL使用64KB共享位图记录边覆盖和命中桶，以极低反馈成本每秒执行大量变异样本；覆盖增长而非输入“聪明程度”驱动搜索。AFL自2013年后广泛使用；其fork-server与覆盖位图让单机持续执行海量样本，并催生大批开源项目漏洞。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“SBOM是否能说明漏洞在本程序中可达”。对照证据见Serebryany，2017年《Continuous Fuzzing with libFuzzer and AddressSanitizer》工业报告：OSS-Fuzz把模糊测试挂到每次提交，并长期维护语料；截至2023年前后累计发现逾一万项安全漏洞和三万六千余普通错误。它显示组件清单可能包含大量不可利用告警；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告效果时必须给出执行次数、机时与覆盖增长曲线，而不是只报最终覆盖率。模糊测试的成果高度依赖运行时长，缺了时间轴的比较没有意义。同时应公布初始种子语料——种子质量常常比算法改进更能解释差距，而它在论文里最容易被略去。
与本块第二条《动态符号执行》构成预算上的取舍，与第九条《持续模糊测试》则是同一技术在两种节奏下的部署。这条线的经验是：廉价反馈之所以赢，不是因为它更聪明，而是因为它把决策成本压到几乎为零，从而能把预算全部投进执行次数——这条逻辑在别的领域也常常成立，却总被当成对精确方法的否定。
戊、内存安全语言：漏洞根因应在语言层消除
内存安全长期被当成程序员纪律问题：写得仔细、审得严格、工具查得勤，就能少出漏洞。这个前提把同一类缺陷的防治无限期地摊给了每一个开发者与每一次评审，而几十年的漏洞统计显示这类缺陷始终占据最大份额。这条转向把责任位置整体上移——所有权、借用与生命周期规则在编译期就拒绝这类程序，根因在语言层被消除，而不是在评审层被拦截。
这条理论的可反驳命题是：所有权、借用与生命周期规则可在编译期阻止悬垂指针、越界和数据竞争的大类缺陷。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“内存安全组件代码行／组件总代码行”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Rust项目，2015年《The Rust Programming Language 1.0》发布资料。具体设计与读数是：所有权、借用和生命周期在编译期排除释放后使用与数据竞争；后续Android统计显示内存安全漏洞占比从2019年的76%降到2022年的35%。Rust在2010—2015年形成稳定语言与包生态；早期系统项目显示可在接近原生性能下提供强内存安全，但迁移与不安全接口仍是边界。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“披露时钟是否与补丁分发能力匹配”。对照证据见Google Android Security Team，2022年《Memory Safe Languages in Android》报告：Android报告新写Rust代码中未发现内存安全漏洞，同时旧C/C++仍贡献主要同类缺陷；比较单位由语言声誉变成按新代码年龄分层的漏洞率。它显示公开披露可能增加尚未修补用户的窗口风险；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告安全收益时要给出内存安全代码在组件中的占比，以及不安全接口的调用数。全部用安全语言重写在多数项目里不现实，真实的读数是这条边界推进到了哪里。同时应说明不安全块的审计方式——保证的强度实际上等于这些块的质量，而不是等于语言的选择。
与本块第十条《安全重写证据》是主张与证据的关系：本条给出机制，第十条给出真实项目中漏洞构成随语言选择而变化的实测。两条一起才构成可决策的依据——只讲机制会低估迁移成本，只看统计则容易把新代码质量普遍更高这一因素错记在语言账上。
己、缓解不等于根治：随机化只提高攻击成本
一批广泛部署的防护措施曾被当作问题的解决：地址随机化、栈保护、不可执行内存，一度让攻击变得困难，也让人以为漏洞的危害已被封住。这个前提混淆了两件事——提高利用成本与消除根因。写越界仍然存在，攻击者只要拿到一次信息泄露就能恢复确定性，再用已有代码片段拼出所需的行为。这条转向要求把缓解措施明确标注为提高成本，而不是当作修复。
这条理论的可反驳命题是：缓解机制改变利用难度而不消除写越界等根因，攻击者可借信息泄露与代码复用恢复确定性。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“被阻断利用链数／已知利用链总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Snow 等，2013年《IEEE Symposium on Security and Privacy》。具体设计与读数是：JIT-ROP在进程运行时读取已暴露代码页并即时拼接代码片段，说明增加地址熵只抬高侦察成本，没有消除可利用内存错误。2013年前后的JIT-ROP等工作演示动态读取代码并实时构造链；防护效果取决于熵、泄露面与实现粒度。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“威胁模型是否覆盖微体系结构与供应链”。对照证据见Kocher 等，2019年《IEEE Symposium on Security and Privacy》:1–19；预披露于2018年，页1–19：Spectre在Intel、AMD和ARM处理器上用误预测与缓存计时跨越软件边界读取数据；权限检查正确并不保证微体系结构没有泄漏。它显示可信执行环境仍依赖芯片和远程证明链；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：安全声明必须区分「根因已消除」与「利用成本已提高」，并给出被阻断的已知利用链比例。把二者混着说，会让风险决策建立在错误的分类上。同时应说明每项缓解在何种前提下失效——多数缓解的失效条件是可以明写的，写出来就能防止它被当成无条件保证。
与本块第一条《控制流完整性》和第五条《内存安全语言》构成一条从缓解到根治的谱系：随机化提高成本，控制流完整性缩小可达集合，语言层则直接拒绝这类程序。三者的部署成本递增、保证强度也递增。真实项目通常同时使用三者，因此更需要说清哪一段风险由哪一层承担。
庚、隐私预算：匿名化应被可组合损失替代
隐私保护长期依靠匿名化：去掉姓名与身份证号，数据就被认为可以安全发布。这个前提被一系列重识别研究打破——少数几个准标识符的组合往往足以定位到个人，而匿名化本身没有可计量的保证，也无法回答多次发布叠加之后风险有多大。这条转向把保护对象从数据字段改成输出分布：限定任一个体的存在与否对结果分布的最大影响，并且这个损失可以在多次查询间累加记账。
这条理论的可反驳命题是：差分隐私用参数化预算界定单个个体对输出分布的最大影响，并允许多次查询组合记账。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“单次查询隐私损失ε／总隐私预算ε”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。它改写的不是工具名称，而是什么比较才算同一个问题。
主证据来自Dwork、McSherry、Nissim 与 Smith，2006年《TCC会议录》LNCS 3876。具体设计与读数是：ε把相邻数据集下输出概率比限制在e^ε之内，并可按查询组合累计；匿名化的模糊承诺被替换为可记账的隐私损失。Dwork等于2006年奠定差分隐私，2010年代进入统计发布与遥测；预算选择与效用损失使其不是自动按钮。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“语言安全是否被不安全接口重新打开”。对照证据见Zhu、Liu 与 Han，2019年《Advances in Neural Information Processing Systems》32：论文从单个或少量批次的共享梯度反演训练图像和标签；原始样本从未离开设备，也不等于个体信息没有外泄。它显示匿名机制会在组合和辅助信息下失效；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：发布结果时要写明所用的隐私参数、单次查询消耗与总预算，以及组合定理的选择。缺了这些，「已做差分隐私」只是一个标签。同时应报告效用损失——保护强度与统计效用的取舍是这条路线的核心事实，隐去它会让使用者在不知情的情况下拿到被噪声主导的结论。
与本块第十八条《工业差分隐私》是定义与运维的关系，与第十六条《梯度泄露》则共同界定了机器学习中的隐私边界：不共享原始数据并不构成保护，只有把损失显式记账才谈得上保证。三条分开时，最常见的错误是把「数据没出本地」当成隐私已经解决。
辛、可复现构建：源码相同必须能得到可核验二进制
软件分发长期默认二进制忠实于源码：源码是公开的，编译是机械的，因此审查源码等于审查产品。这个前提在编译过程包含时间戳、路径、并行顺序与工具链版本等大量非确定因素时不成立——即使源码相同，任何人也无法验证手上的二进制确实由它构建。这条转向要求把构建过程确定化，使独立方能从同一源码得到逐位相同的产物，替换与注入因此可被发现。
这条理论的可反驳命题是：构建过程应确定化，使独立方可从同一源码重建逐位相同产物，发现供应环节替换。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“位级一致制品数／独立构建次数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Debian Reproducible Builds项目，2013年起公开《Reproducible Builds》技术规范，页2013–2016。具体设计与读数是：判据要求在源码、依赖和构建参数一致时，输出制品的逐字节散列一致；时间戳、路径和文件排序因此从“环境细节”变成证据链变量。Debian与Tor在2013年后推进reproducible builds；越来越多包实现位级复现，但编译环境、时间戳和工具链仍需严格固定。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“隐私预算能否跨团队统一记账”。对照证据见Torres-Arias 等，2019年《USENIX Security Symposium》中的in-toto工作：in-toto让每个构建步骤签署材料、命令和产物，再按布局核对整条链；SolarWinds事件进一步显示单个最终签名不足以说明中间过程可信。它显示缓解常把攻击成本提高而非消除根因；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：发布制品时要给出独立重建的次数与位级一致率，而不是只声明支持可复现构建。这个比率是唯一能说明制度是否真的在运转的读数。同时应公开构建环境描述与非确定因素的处理方式，因为剩下的每一处不确定，都是验证链上的一个缺口。
与本块第十三条《供应链谱系》互为补充：可复现构建证明这个二进制来自那份源码，谱系证明每一步都由被授权的流程完成。两者缺一——只有谱系时，被签名的仍可能是被篡改的构建产物；只有可复现构建时，源码本身如何进入仓库仍不受保护。
第二幕经历推测执行和供应链清算，把安全对象扩大到微体系结构、依赖图、模型梯度与组织激励。 本幕十二条更关注部署、公开清算与方法自审，尤其要求把平均分数换成分布、边界、长期读数和责任链。
一、持续模糊测试：安全测试应随每次提交自动重跑
安全测试长期被安排成阶段性活动：发布前做一轮渗透测试或模糊测试，出报告、修问题、放行。这个前提假定代码在两轮之间是静止的，而现代项目每天都有大量提交，任何一次改动都可能打开新的路径。更浪费的是，上一轮辛苦积累的语料与覆盖信息在阶段结束后被丢弃。这条转向把模糊测试接进持续集成，让新代码立即继承长期积累的攻击输入。
这条理论的可反驳命题是：应把语料、覆盖和崩溃去重接入持续集成，让新代码立即继承长期积累的攻击输入。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“修复缺陷数／持续模糊CPU小时”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。它改写的不是工具名称，而是什么比较才算同一个问题。
主证据来自Serebryany，2017年《Continuous Fuzzing with libFuzzer and AddressSanitizer》工业报告。具体设计与读数是：OSS-Fuzz把模糊测试挂到每次提交，并长期维护语料；截至2023年前后累计发现逾一万项安全漏洞和三万六千余普通错误。Google OSS-Fuzz自2016年起持续测试大量开源项目并报告数以万计缺陷；资源分配与难以构造有效harness仍限制覆盖。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“SBOM是否能说明漏洞在本程序中可达”。对照证据见Cadar、Dunbar 与 Engler，2008年《OSDI会议录》，USENIX：KLEE对89个GNU Coreutils程序取得平均约84.5%的行覆盖，并发现十个长期未见错误；输入由路径约束求解生成。它显示组件清单可能包含大量不可利用告警；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：以机时为分母报告成果，并公布语料的持续积累量与崩溃去重规则。持续模糊的价值恰恰在于积累，不报积累量就无法评估这套设施的成熟度。同时应报告缺陷从发现到修复的时间分布——测试跑得再勤，若报告堆在队列里，安全收益并不发生。
与本块第三条《白盒模糊测试》与第四条《覆盖引导灰盒模糊》是设施与方法的关系，与第二十条《补丁延迟》则一头一尾：发现速度提高之后，瓶颈会整体移到修复与部署那一端。只在发现侧投入的组织，最终会积压出一份越来越长、无人处理的缺陷清单。
二、安全重写证据：新代码的语言选择会改变漏洞构成
语言选择长期被当作工程偏好问题：性能、生态、团队熟悉度，安全性只是一个模糊的加分项。这个前提缺少可以支持决策的证据——没人知道换一种语言究竟能少多少漏洞。这条转向提供了这种证据：在大型真实代码库中，当新增组件优先使用内存安全语言时，新引入的内存破坏类缺陷显著下降，而这一变化并不需要重写既有的全部旧代码。
这条理论的可反驳命题是：当新增组件优先使用内存安全语言时，新引入的内存破坏缺陷会显著下降。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“不安全接口调用数／总接口调用数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Google Android Security Team，2022年《Memory Safe Languages in Android》报告。具体设计与读数是：Android报告新写Rust代码中未发现内存安全漏洞，同时旧C/C++仍贡献主要同类缺陷；比较单位由语言声誉变成按新代码年龄分层的漏洞率。Android团队公布2019—2022年数据：新内存安全漏洞数量与占比明显下降，新增Rust代码当时未出现同类漏洞；旧C/C++存量仍贡献风险。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“披露时钟是否与补丁分发能力匹配”。对照证据见Rust项目，2015年《The Rust Programming Language 1.0》发布资料：所有权、借用和生命周期在编译期排除释放后使用与数据竞争；后续Android统计显示内存安全漏洞占比从2019年的76%降到2022年的35%。它显示公开披露可能增加尚未修补用户的窗口风险；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告安全收益时要按代码年龄与语言分层统计，而不是只报总体漏洞数变化。新代码的缺陷密度本来就随时间下降，不做分层就无法区分语言效应与代码成熟效应。同时应给出不安全接口调用数的走势——迁移的真实进度体现在边界收缩上，而不是在新写了多少行安全代码上。
与本块第五条《内存安全语言》是证据与主张的关系，与第八条《可复现构建》则共享同一种方法论姿态：把安全从判断题改成可测量的读数。这条线的关键不在语言之争，而在于它示范了一个组织如何用自己的缺陷数据回答工程决策问题，而不是靠倡导。
三、推测执行破界：软件隔离依赖微体系结构假设
软件隔离长期建立在体系结构语义之上：只要架构规范说这条访问不会提交，安全模型就把它当作没有发生。这个前提把处理器为提速而做的推测执行、缓存与预测器一律视为不可见的实现细节。当推测路径上的访问在缓存里留下可测量的痕迹时，这个抽象就漏了——从未提交的访问照样泄露数据。这条转向要求软件的安全论证把微体系结构假设明写出来，而不是默认由硬件承担。
这条理论的可反驳命题是：缓存与推测执行可泄露架构上从未提交的访问，软件安全模型必须写出侧信道假设。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“跨隔离边界泄露字节／每秒执行时间”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Kocher 等，2019年《IEEE Symposium on Security and Privacy》:1–19；预披露于2018年，页1–19。具体设计与读数是：Spectre在Intel、AMD和ARM处理器上用误预测与缓存计时跨越软件边界读取数据；权限检查正确并不保证微体系结构没有泄漏。Spectre与Meltdown于2018年展示跨隔离域泄露；补丁需要编译器、操作系统、浏览器与硬件协同，并带来可测性能代价。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“威胁模型是否覆盖微体系结构与供应链”。对照证据见Van Bulck 等，2018年《USENIX Security Symposium》中的Foreshadow工作：攻击从SGX保护区恢复密钥和数据，证明受保护执行环境仍依赖缓存、页表、微码和宿主调度；“机密计算”不是单一封印。它显示可信执行环境仍依赖芯片和远程证明链；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：任何隔离声明都要列出所依赖的微体系结构前提与已启用的缓解，并给出泄露带宽的量级。这类漏洞很少能被彻底关闭，实际决策靠的是泄露速率与攻击可行性的对照。同时应说明缓解带来的性能代价——它常常大到会被运维悄悄关掉，而关掉之后声明仍留在文档里。
与本块第十二条《机密计算边界》是同一漏洞在两种承诺上的作用：普通进程隔离与受保护执行环境都建立在同一批硬件假设上，而后者的市场承诺更强，落差因此更醒目。两条一起读可以看出一个规律——安全边界的强度不由它的名字决定，而由它所依赖的最弱假设决定。
四、机密计算边界：受保护执行环境不是无条件黑箱
受保护执行环境刚出现时，常被表述为一个无条件的黑箱：把敏感计算放进去，连特权软件也看不到。这个前提把可信基的缩小误当成可信基的消失。实际暴露的攻击面并不因为区域受保护而消失——页故障模式、缓存痕迹、分支预测状态、进出区域的接口以及硬件本身的供应链，都是可观测或可篡改的。这条转向要求把机密计算表述为可信基的重新划界，而不是保证的凭空产生。
这条理论的可反驳命题是：TEE只缩小可信基，页故障、缓存、分支预测、接口与供应链仍可泄露。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“可信执行区内部代码行／应用总代码行”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。它改写的不是工具名称，而是什么比较才算同一个问题。
主证据来自Van Bulck 等，2018年《USENIX Security Symposium》中的Foreshadow工作。具体设计与读数是：攻击从SGX保护区恢复密钥和数据，证明受保护执行环境仍依赖缓存、页表、微码和宿主调度；“机密计算”不是单一封印。2016年后针对Intel SGX的Foreshadow、Plundervolt等攻击表明隔离边界可被微体系结构与故障注入穿透。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“语言安全是否被不安全接口重新打开”。对照证据见Zhang 与 Sekar，2013年《USENIX Security Symposium》：实现从二进制恢复合法间接跳转目标，并在运行时检查；评估同时报告攻击阻断和性能开销，合法目标集合成为可审计对象。它显示匿名机制会在组合和辅助信息下失效；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：给出受保护区内的代码规模与应用总规模之比，并列出接口清单。区内代码越多，被保护的部分越大，但可信基也越大、审计越难，这个取舍必须写明。同时应说明远程证明的信任链止于哪一方——证明最终依赖厂商根密钥，这一点决定了这套保证在何种威胁模型下成立。
与本块第十九条《可信基记账》的思路在这里正面相遇：机密计算的价值完全取决于可信基的清单是否被诚实列出。与本块第十一条《推测执行破界》则共享同一批底层假设。三者合起来给出的判断是——把「已用可信执行环境」当成合规结论，是这一族技术最常见的误用。
五、供应链谱系：签名必须覆盖从源码到制品的每一步
软件供应链的信任长期靠终点签名：发布方在最终制品上签个名，下游据此认定来源可靠。这个前提把中间的一整条流水线——依赖解析、构建、测试、打包——当成可信的黑箱，而近年重大事故恰恰发生在这些中间环节。这条转向要求每一阶段都生成可验证的来源证明，并让策略在链条上不可绕过，信任从终点的一个签名改成全链的一串证据。
这条理论的可反驳命题是：构建、测试、依赖解析与发布每一阶段都应生成可验证来源和不可绕过的策略。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“可验证谱系节点数／供应链节点总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Torres-Arias 等，2019年《USENIX Security Symposium》中的in-toto工作。具体设计与读数是：in-toto让每个构建步骤签署材料、命令和产物，再按布局核对整条链；SolarWinds事件进一步显示单个最终签名不足以说明中间过程可信。SolarWinds事件后，SLSA于2021年提出分级供应链完整性框架；实现显示谱系能定位路径，但不能证明源码本身无恶意。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“隐私预算能否跨团队统一记账”。对照证据见美国国家漏洞数据库，2024年《CVE-2024-3094: XZ Utils Backdoor》，页2024–3094：恶意代码出现在XZ 5.6.0和5.6.1上游发布包，并借复杂混淆进入liblzma构建流程；事件表明签名或源码仓库可信，并不足以覆盖发布制品和构建步骤。它显示缓解常把攻击成本提高而非消除根因；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：给出被覆盖的谱系节点数与供应链节点总数之比，而不是只说「已签名」。这个比值直接暴露了链条上还剩几处黑箱。同时应说明验证在何处强制执行——只生成证明而不在部署时校验，等于把证据存进了一个没人读的档案柜。
与本块第八条《可复现构建》互为补足，与第十五条《依赖名攻击》则是防线与攻击面：谱系保证的是流程被授权，可复现构建保证的是产物与源码一致，而依赖解析规则决定了源码里那些名字最终指向谁。三处任一失守，另外两处的证据都只是在为错误的对象作证。
六、SBOM不等于可利用性：知道依赖还要知道是否可达
依赖清单被普遍当作安全治理的答案：把所有组件列清楚，比对漏洞库，就能知道自己的风险。这个前提把「包里存在某个有漏洞的函数」等同于「这个漏洞在我的部署里可被触发」。实际结果是告警数量远超处理能力，团队被迫按分数排序而不是按可利用性排序。这条转向要求把版本、调用图、配置与运行路径结合起来，区分存在与可达。
这条理论的可反驳命题是：安全决策需把版本、调用图、配置和运行路径结合，区分‘存在于包中’与‘在部署中可触达’。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“可达漏洞告警数／SBOM漏洞告警总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自O’Donoghue、Boles、Izurieta与Reinhold，2024年《SCORED会议录》:67–76，页67–76。具体设计与读数是：研究从2313个Docker镜像生成四组SBOM，交叉比较Syft、Trivy及CycloneDX、SPDX格式；同一制品的漏洞计数可因生成器和格式显著改变，最大差值达到806项。2021年Log4Shell后SBOM广泛部署，同时暴露组件命中会产生大量误报；可达性分析与运行证据成为补充。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“SBOM是否能说明漏洞在本程序中可达”。对照证据见Birsan，2021年《Dependency Confusion》公开披露报告：攻击向公共仓库发布与内部包同名的高版本组件，影响三十余家机构并获得约十三万美元赏金；包解析优先级本身成为攻击面。它显示组件清单可能包含大量不可利用告警；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告告警时给出可达告警数与告警总数之比，并说明可达性分析的依据与局限。没有这个比值，安全团队的工作量与真实风险之间失去联系。同时应说明动态加载、反射与配置驱动的调用如何处理——这些正是可达性分析最容易漏判的地方，漏判方向决定了是虚警还是漏报。
与本块第十三条《供应链谱系》处在同一条治理链的不同环节：谱系回答「这些东西从哪来」，可达性回答「其中哪些真的会跑」。与第二十条《补丁延迟》则一起解释了修补队列为何总是堵塞——不区分可达性的清单会把有限的修补能力摊薄到不可利用的条目上。
七、依赖名攻击：包管理器把命名规则变成攻击面
包管理器的解析规则长期被当作工程便利：按名字取最高版本、公共仓库与私有仓库统一查找，开发者不必关心来源。这个前提假定名字是可信的标识。而名字恰恰是最容易被抢注、被拼写模仿、被优先级规则劫持的东西——一个与内部包同名的公共包，可能在构建时被自动选中并执行任意代码。这条转向把命名与解析规则本身列为攻击面。
这条理论的可反驳命题是：公开/私有仓库优先级、拼写相似与维护者转移可把恶意包自动带入构建。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“被恶意依赖解析命中的安装数／安装总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Birsan，2021年《Dependency Confusion》公开披露报告。具体设计与读数是：攻击向公共仓库发布与内部包同名的高版本组件，影响三十余家机构并获得约十三万美元赏金；包解析优先级本身成为攻击面。2017年后typosquatting研究与2021年的dependency confusion演示影响多家组织；锁文件和私有命名空间只能缓解部分路径。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“披露时钟是否与补丁分发能力匹配”。对照证据见美国国家漏洞数据库，2024年《CVE-2024-3094: XZ Utils Backdoor》，页2024–3094：攻击依靠上游维护、包版本和构建脚本的信任链，而非只利用业务代码漏洞；包名、版本来源、维护权和实际制品必须同时成为安全对象。它显示公开披露可能增加尚未修补用户的窗口风险；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：公开解析策略与私有源优先级配置，并报告被非预期来源解析命中的安装比例。这个数只有在有意监测时才存在，而多数组织从未测过。同时应说明新维护者接手与包转移时的审批流程——所有权变更是这条攻击链上最安静的一环。
与本块第十三条《供应链谱系》构成攻击与防御的一对：谱系可以证明每一步都被授权，却无法阻止一开始就解析到了错误的包。这提示了一个更一般的判断——证据链的强度不能超过它所锚定的那个标识的可靠性，而标识往往是整条链上最没人管的部分。
八、梯度泄露：不共享原始数据也可能重建个体样本
联邦式训练一度被表述为隐私的解决方案：原始数据不出本地，只上传梯度或参数更新，因此个人数据受到保护。这个前提把「未传输原始数据」当成了「未泄露原始信息」。梯度携带的信息足以在一定条件下重建输入样本或推断某个人是否参与训练，隐私因此并未随数据留在本地而自动获得。这条转向要求把泄露作为需要额外机制处理的问题，而不是架构的副产品。
这条理论的可反驳命题是：梯度与参数差分可包含足够信息重建输入或推断成员资格，隐私需额外机制。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“可重构训练样本属性数／敏感属性总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。它改写的不是工具名称，而是什么比较才算同一个问题。
主证据来自Zhu、Liu 与 Han，2019年《Advances in Neural Information Processing Systems》32。具体设计与读数是：论文从单个或少量批次的共享梯度反演训练图像和标签；原始样本从未离开设备，也不等于个体信息没有外泄。Deep Leakage from Gradients于2019年从共享梯度重建图像与标签；批量、模型结构和防护会改变攻击可行性。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“威胁模型是否覆盖微体系结构与供应链”。对照证据见Bonawitz 等，2017年《CCS会议录》，ACM：协议让服务器只恢复数百至上千客户端向量之和，并容忍部分客户端掉线；加密轮次、通信字节和掉线阈值必须与隐私收益同表报告。它显示可信执行环境仍依赖芯片和远程证明链；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：说明在何种威胁模型下评估泄露——诚实但好奇的服务器、可串通的客户端、还是主动构造更新的攻击者，并给出可重构属性数与敏感属性总数的对照。同时应报告所用防护机制的效用代价，因为真正的决策发生在隐私与效用的取舍上，而不是在架构图上。
与本块第七条《隐私预算》和第十七条《安全聚合》构成一个完整的三段论：架构不提供保证，聚合协议挡住服务器看见单个更新，形式化预算限定统计输出的泄露。三者各挡一段，缺任一段都留下缺口。把它们混称为「隐私保护技术」，会让人以为用了其中一项就已经覆盖全部。
九、安全聚合：隐私收益必须计入掉线与通信成本
分布式训练中的聚合长期由服务器直接完成：各方上传更新，服务器求和。这个默认让服务器看见每一份单独的更新，也就等于看见了每一方的数据痕迹。安全聚合改写了这个流程——通过掩码与密钥协商，服务器只能得到总和而看不到任何单份更新。真正困难的是掉线：移动端参与者随时可能中途退出，协议必须在缺席的情况下仍能正确解出总和。
这条理论的可反驳命题是：安全聚合协议必须在不见单个更新的前提下容忍客户端掉线，并量化额外通信。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“功能效用保留量／原始效用量”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Bonawitz 等，2017年《CCS会议录》，ACM。具体设计与读数是：协议让服务器只恢复数百至上千客户端向量之和，并容忍部分客户端掉线；加密轮次、通信字节和掉线阈值必须与隐私收益同表报告。Bonawitz等于2017年给出面向移动设备的协议，报告可接受但非零的通信扩张；大规模异步与恶意客户端仍更困难。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“语言安全是否被不安全接口重新打开”。对照证据见Apple Differential Privacy Team，2017年《Learning with Privacy at Scale》报告：部署把每类遥测的ε、上报频率和保留期持续记账；同一用户跨天、跨特征反复贡献时，总预算会累积而不是自动重置。它显示匿名机制会在组合和辅助信息下失效；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告隐私收益时必须一并报告通信开销与掉线容忍度，以及效用保留比例。安全聚合的代价主要落在通信轮数上，而这在实验室网络里几乎看不出来。同时应说明参与者规模——协议开销随人数的增长方式，决定了它能否用在真实部署的量级上。
与本块第十六条《梯度泄露》是问题与对策，与第七条《隐私预算》是不同层次的保护：安全聚合防的是「谁看见了什么」，隐私预算防的是「输出本身泄露多少」。前者不提供后者的保证——即便服务器只看到总和，总和本身仍可能暴露个体信息，这个空隙常被跳过不谈。
十、工业差分隐私：预算管理是一项持续运维
差分隐私最初以定理的形式进入工程：证明了单次发布的界，实现一遍就算完成。这个前提忽略了真实产品是持续运行的——同一批用户的数据会被反复采样、分群统计、多次发布，预算在时间里不断消耗。若不做账，形式上每次发布都合规，累计下来的实际保护可能所剩无几。这条转向把隐私预算当作一项需要长期管理的资源账户，而不是一次性的参数选择。
这条理论的可反驳命题是：真实系统要管理重复发布、分群、采样、审计与效用退化，隐私预算像资源账户一样持续消耗。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“实际消耗隐私预算／分配预算”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Apple Differential Privacy Team，2017年《Learning with Privacy at Scale》报告。具体设计与读数是：部署把每类遥测的ε、上报频率和保留期持续记账；同一用户跨天、跨特征反复贡献时，总预算会累积而不是自动重置。Apple自2017年前后公布本地差分隐私遥测经验，Google等随后部署中央与本地方案；独立评估指出参数、采样和长期组合决定实际保护。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“隐私预算能否跨团队统一记账”。对照证据见Dwork、McSherry、Nissim 与 Smith，2006年《TCC会议录》LNCS 3876：ε把相邻数据集下输出概率比限制在e^ε之内，并可按查询组合累计；匿名化的模糊承诺被替换为可记账的隐私损失。它显示缓解常把攻击成本提高而非消除根因；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：公开预算的分配与实际消耗，包括重复发布的处理与预算重置策略。重置策略尤其关键——把预算按周期归零，等于在数学上放弃了跨周期的保证，这一点应当明说而不是隐含。同时应报告效用退化曲线，让使用方知道数据在预算耗尽前后的可信程度并不相同。
与本块第七条《隐私预算》是理论与运维的两端，与第十四条《SBOM不等于可利用性》共享同一种教训：一份形式上完备的清单或证明，若没有持续的运行侧记账，就会在部署环境里悄悄失效。两条都指向同一个建议——把静态保证转成可监测的运行指标。
十一、漏洞披露经济学：修复速度取决于激励与协调
漏洞处置长期被当作纯技术流程：发现、报告、修复、发布。这个前提忽略了链条上每一步都由激励驱动——研究者要不要报告取决于奖励与法律风险，厂商多快响应取决于声誉与禁售期，攻击者的窗口则由公开时点决定。这条转向把披露当作一个多方博弈的制度问题：规则怎么定，直接决定了修复速度与暴露窗口。
这条理论的可反驳命题是：奖励、禁售期、公开时点与多方依赖会影响研究者报告、厂商响应和攻击者窗口。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“完成修补的部署数／受影响部署总数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Project Zero，2021年《Policy and Disclosure: 2021 Edition》；2022年《A Walk Through Project Zero Metrics》。具体设计与读数是：2021年政策把流程拆成90天修复期加30天采用期；2022年公开统计称2021年仅1个报告超过90天期限，显示截止期、补丁发布与用户采用是三个不同的协调读数。2016年后多项bug bounty数据研究发现奖金、响应时间与重复报告率相关；高奖金并不自动吸引最关键漏洞。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“SBOM是否能说明漏洞在本程序中可达”。对照证据见Microsoft，2017年《MS17-010》与WannaCry事件复盘，页17–010：MS17-010补丁发布后约59天，WannaCry仍借未修补主机大规模传播；零日转为N日以后，资产盘点和补丁延迟成为主要暴露面。它显示组件清单可能包含大量不可利用告警；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：披露政策要写明期限、例外条件与延期的判据，并公布实际的响应与修补数据。政策若无实测数据支撑，就无法判断它是在加速修复还是在保护厂商。同时应报告受影响部署中完成修补的比例——修复发布不等于修复到达，这两者之间的差额才是真实风险。
与本块第二十条《补丁延迟》是同一条时间线的两半：披露政策影响补丁何时出现，部署现实决定它何时生效。两条分开优化会各自达到局部最优而整体失败——把披露期限压得更短并不会缩短暴露窗口，如果瓶颈在下游的部署与重启那一端。
十二、补丁延迟：零日之后更常见的是N日暴露
安全叙事长期以零日为中心：未知漏洞被当作最大威胁，防御资源随之向发现与拦截未知倾斜。这个前提与事故统计不符——绝大多数真实入侵利用的是已经公开、补丁也已发布的漏洞。原因在于攻击窗口不由补丁生成决定，而由补丁经过依赖传递、发行版打包、运维部署与用户重启这一整条链路的时间决定。这条转向把注意力从补丁是否存在移到补丁是否到达。
这条理论的可反驳命题是：攻击窗口由补丁生成、依赖传递、部署与用户重启共同决定，已知漏洞可长期保持可利用。比较必须固定攻击者能力、依赖版本、编译链与部署权限，只改变语言内存模型、模糊策略、隔离边界或隐私机制，并以可利用路径、泄露量、修复时间和残余风险为共同结果；量纲写成“修补中位天数／漏洞可利用窗口天数”。若同等预算下不优于强基线，或换数据、平台与人群便失效，命题只能收窄。
主证据来自Microsoft，2017年《MS17-010》与WannaCry事件复盘，页17–010。具体设计与读数是：MS17-010补丁发布后约59天，WannaCry仍借未修补主机大规模传播；零日转为N日以后，资产盘点和补丁延迟成为主要暴露面。Project Zero等对在野零日与修复周期的年度统计显示，补丁差异分析会加速N日利用；生态碎片化使实际部署延迟远长于公告时间。这笔证据把攻击面、构建谱系、威胁模型和修复激励从背景变量改成可复算的中间量，并留下样本、版本、阈值或预算检查点。主证据年份决定幕归属；核验应以篇名反查作者、卷页或DOI以及这里采用的读数。
争议集中在“披露时钟是否与补丁分发能力匹配”。对照证据见Project Zero，2021年《Policy and Disclosure: 2021 Edition》；2022年《A Walk Through Project Zero Metrics》：2021年政策把流程拆成90天修复期加30天采用期；2022年公开统计称2021年仅1个报告超过90天期限，显示截止期、补丁发布与用户采用是三个不同的协调读数。它显示公开披露可能增加尚未修补用户的窗口风险；换任务、分母或组织流程后，成本可能转移到未记录处。争论要收敛，须预注册口径、公开负结果并由独立站点重做，同时报告均值、尾部、失败类型与维护成本。
它改变的最低交付责任是：报告修补中位天数与可利用窗口天数，并按资产类型分层。总体平均会被容易更新的那部分资产拉低，而风险恰恰集中在难以重启的老旧系统上。同时应说明依赖传递的处理方式——上游修好而中间层未跟进的情况，在中位数里完全看不见。
与本块第九条《持续模糊测试》构成整条安全流水线的两端：发现速率的提高，若不伴随部署能力的提高，只会把风险从「未知」转成「已知未修」。与第十四条《SBOM不等于可利用性》也直接相关——修补能力有限时，可达性判断决定了这份能力用在哪里。
◎ 二十年连起来看
第一幕从缓解单次攻击转向生成测试、内存安全、可复现制品与可组合隐私损失。 第二幕经历推测执行和供应链清算，把安全对象扩大到微体系结构、依赖图、模型梯度与组织激励。 两幕不是工具换代，而是评价单位不断扩大：第一幕找出局部上界、误差、约束或行为机制，第二幕把它们放进真实系统、组织与生命周期。只有当旧默认被写成可检查条件，新方法才构成转向。
被继承的是“证据链不能停在源码”：动态执行、构建散列、制品签名、SBOM与补丁传播都追踪从意图到部署的连续链条。 这一判据在二十条里反复出现：条件、操作、读数与边界必须形成可复查链条。工具名可以变化，数据来源、分母、中止、未达阈值或无法归类的对象和复现路径却不能省；这也是碰撞行能够抽取并与别的领域通约的基础。
被推翻的是“隔离边界天然可信”和“有清单就知道风险”；两幕都未解决的是跨组织责任与修复成本如何分摊。 因而，本领域尚未解决的核心不是再提高一个百分点，而是如何把可利用性、谱系、隐私损失与修复经济合成可操作而不过度报警的风险读数。若未来五年的工作仍只给均值和排行榜，不给真实部署、尾部和反例，它不会继续这条二十年主线。
◎ 三个常见误解
误解一：使用内存安全语言就没有漏洞。它容易被相信，是因为单次榜单只显示结果而隐藏攻击者能力、依赖版本、编译链与部署权限、中止、未达阈值或无法归类的对象与选择过程。正确表述是把收益限定在同一分母和同一边界内，再看是否跨环境保持。
误解二：SBOM列出组件便等于完成风险管理。它容易被相信，是因为工具把一部分依赖封装起来，看上去像整个系统已经被封装。正确表述是任何抽象都只覆盖一段链条，外部数据、版本、组织和硬件仍需单独核验。
误解三：不共享原始数据就不会泄露隐私。它容易被相信，是因为成功案例适合传播，而组件清单可能包含大量不可利用告警通常不进入摘要。正确表述是收益与边界、代价、反例必须同时报告，不能把局部改进外推成普遍保证。
◎ 与相邻领域的接口
与〈形式化方法与程序验证〉的接口在于：安全证明必须明确可信基、威胁模型和实现—规范对应。 分工判据是，本块负责把计算对象、系统行为与可核对读数写清；相邻领域负责它自己的机制、制度或物理约束。若同一现象使用不同术语和分母，两边都保留，并在碰撞行登记异名。
与〈语音处理与音频智能〉的接口在于：声音嵌入与合成检测把身份隐私、开放集攻击接到软件链。 分工判据是，本块负责把计算对象、系统行为与可核对读数写清；相邻领域负责它自己的机制、制度或物理约束。若同一现象使用不同术语和分母，两边都保留，并在碰撞行登记异名。
与〈系统性能与能效〉的接口在于：隔离、加密和模糊测试都消耗延迟、算力与能量预算。 分工判据是，本块负责把计算对象、系统行为与可核对读数写清；相邻领域负责它自己的机制、制度或物理约束。若同一现象使用不同术语和分母，两边都保留，并在碰撞行登记异名。
与〈数据与隐私法〉的接口在于：法律给出责任边界，本面板关注机制能否生成可核对证据。 分工判据是，本块负责把计算对象、系统行为与可核对读数写清；相邻领域负责它自己的机制、制度或物理约束。若同一现象使用不同术语和分母，两边都保留，并在碰撞行登记异名。
◎ 争议现场
未收敛的争论是：漏洞披露期限应固定还是按生态能力分层。支持方强调已有正向设计，反对方指出分母、样本或环境不足以外推。要怎样才能收敛：用不少于三个独立平台或人群，预注册共同基线、预算和停止规则，并以可利用路径、泄露量、修复时间和残余风险的分层分布比较；若方向一致且边界可预测，争论才收敛。
未收敛的争论是：可信执行环境是否值得增加新的芯片可信基。支持方强调已有正向设计，反对方指出分母、样本或环境不足以外推。要怎样才能收敛：建立版本化公开基准，保存失败配置、调参轨迹和维护成本，以盲评方式复跑；若收益只在事后选择的路径上出现，应判为未收敛。
未收敛的争论是：工业差分隐私应采用统一预算还是场景预算。支持方强调已有正向设计，反对方指出分母、样本或环境不足以外推。要怎样才能收敛：把局部结果接入真实工作流或制度现场，连续观测至少一个完整周期，并报告最差分位与反事实对照；只有端到端读数同向，才能排除成本转移。
◎ 往下五年看什么
观察点是依赖告警中真实可达漏洞的比例。应固定统计周期、样本覆盖与质量门槛，按年度公布分布而非只公布最好值；若连续两次独立复测方向相反，就说明该读数尚不足以承担领域判据。
观察点是从公开漏洞到多数部署完成修补的天数分布。应固定统计周期、样本覆盖与质量门槛，按年度公布分布而非只公布最好值；若连续两次独立复测方向相反，就说明该读数尚不足以承担领域判据。
观察点是同一制品跨构建者得到相同散列的成功率。应固定统计周期、样本覆盖与质量门槛，按年度公布分布而非只公布最好值；若连续两次独立复测方向相反，就说明该读数尚不足以承担领域判据。
观察点是隐私预算在跨产品组合后的实际消耗与拒绝次数。应固定统计周期、样本覆盖与质量门槛，按年度公布分布而非只公布最好值；若连续两次独立复测方向相反，就说明该读数尚不足以承担领域判据。
◎ 可与哪些领域对撞
本块第12条《机密计算边界：受保护执行环境不是无条件黑箱》与第352号第十一条《可信基记账》可以对撞。它们共享的预设是：两边都默认隔离或证明之外仍有一部分必须被信任。相反点在于：机密计算把信任下沉到芯片与证明链，形式化方法把它计成未证明代码和假设。若两边都成立，若两边都成立，第三项就是可信边界只能移动不能消失，安全声明必须随之改写。
本块第18条《工业差分隐私：预算管理是一项持续运维》与第172号第03条《匿名化的破产》可以对撞。它们共享的预设是：两边都默认删除直接标识便能控制个人风险。相反点在于：工业差分隐私按组合预算限制推断，匿名化破产则显示外部数据可重新识别。若两边都成立，若两边都成立，第三项就是风险来自群体统计和辅助信息而非一张表里的姓名。
本块第8条《可复现构建：源码相同必须能得到可核验二进制》与第149号第一幕甲条《公允价值会计：信使还是加速器》可以对撞。它们共享的预设是：两边都默认可信记录应当由独立过程重现。相反点在于：可复现构建要求同源同参得到同一制品，会计计量却会在市场停摆时退回管理层模型。若两边都成立，若两边都成立，第三项就是在最需要独立证据时独立基准恰可能消失。
本块第14条《SBOM不等于可利用性：知道依赖还要知道是否可达》与第065号第一幕己条《保护区面积目标被定下来》可以对撞。它们共享的预设是：两边都默认列出覆盖对象就等于实现保护效果。相反点在于：SBOM给出组件面积却不说明漏洞可达性，保护区面积也不说明执法和生态有效性。若两边都成立，若两边都成立，清单必须再接一层功能有效率才能成为治理指标。
◎ 十条可做的研究命题
覆盖引导灰盒模糊的因果识别命题：在控制共同预算后，以边覆盖和轻量变异作为反馈，快速保留能打开新路径的种子，可在速度与指导性；怎么做：在真实部署中随机或准随机改变语言内存模型、模糊策略、隔离边界或隐私机制，固定攻击者能力、依赖版本、编译链与部署权限，比较前后与未处理组；什么算证伪：若效应低于测量误差、跨环境方向不一致，或威胁模型是否覆盖微体系结构与供应链不再预测失败，则命题被证伪。
缓解不等于根治的测量命题：在控制共同预算后，缓解机制改变利用难度而不消除写越界等根因，攻击者可借信息泄露与代码复用；怎么做：建立跨三种环境的统一日志，直接测量“被阻断利用链数／已知利用链总数”并分层报告尾部；什么算证伪：若效应低于测量误差、跨环境方向不一致，或语言安全是否被不安全接口重新打开不再预测失败，则命题被证伪。
可复现构建的复现重估命题：在控制共同预算后，构建过程应确定化，使独立方可从同一源码重建逐位相同产物，发现供应环节替换；怎么做：用新版本、强基线和独立团队重做第5条的关键设计，保存全部失败路径；什么算证伪：若效应低于测量误差、跨环境方向不一致，或隐私预算能否跨团队统一记账不再预测失败，则命题被证伪。
安全重写证据的跨领域命题：在控制共同预算后，当新增组件优先使用内存安全语言时，新引入的内存破坏缺陷会显著下降；怎么做：把相邻领域的审计、因果或能量账本移入本领域，以共同分母连接可利用路径、泄露量、修复时间和残余风险；什么算证伪：若效应低于测量误差、跨环境方向不一致，或SBOM是否能说明漏洞在本程序中可达不再预测失败，则命题被证伪。
机密计算边界的因果识别命题：在控制共同预算后，TEE只缩小可信基，页故障、缓存、分支预测、接口与供应链仍可泄露；怎么做：在真实部署中随机或准随机改变语言内存模型、模糊策略、隔离边界或隐私机制，固定攻击者能力、依赖版本、编译链与部署权限，比较前后与未处理组；什么算证伪：若效应低于测量误差、跨环境方向不一致，或披露时钟是否与补丁分发能力匹配不再预测失败，则命题被证伪。
SBOM不等于可利用性的测量命题：在控制共同预算后，安全决策需把版本、调用图、配置和运行路径结合，区分‘存在于包中’与‘在部署中可触；怎么做：建立跨三种环境的统一日志，直接测量“可达漏洞告警数／SBOM漏洞告警总数”并分层报告尾部；什么算证伪：若效应低于测量误差、跨环境方向不一致，或威胁模型是否覆盖微体系结构与供应链不再预测失败，则命题被证伪。
梯度泄露的复现重估命题：在控制共同预算后，梯度与参数差分可包含足够信息重建输入或推断成员资格，隐私需额外机制；怎么做：用新版本、强基线和独立团队重做第13条的关键设计，保存全部失败路径；什么算证伪：若效应低于测量误差、跨环境方向不一致，或语言安全是否被不安全接口重新打开不再预测失败，则命题被证伪。
工业差分隐私的跨领域命题：在控制共同预算后，真实系统要管理重复发布、分群、采样、审计与效用退化，隐私预算像资源账户一样持；怎么做：把相邻领域的审计、因果或能量账本移入本领域，以共同分母连接可利用路径、泄露量、修复时间和残余风险；什么算证伪：若效应低于测量误差、跨环境方向不一致，或隐私预算能否跨团队统一记账不再预测失败，则命题被证伪。
补丁延迟的因果识别命题：在控制共同预算后，攻击窗口由补丁生成、依赖传递、部署与用户重启共同决定，已知漏洞可长期保持可；怎么做：在真实部署中随机或准随机改变语言内存模型、模糊策略、隔离边界或隐私机制，固定攻击者能力、依赖版本、编译链与部署权限，比较前后与未处理组；什么算证伪：若效应低于测量误差、跨环境方向不一致，或SBOM是否能说明漏洞在本程序中可达不再预测失败，则命题被证伪。
动态符号执行的测量命题：在控制共同预算后，执行程序时同步维护符号约束，可系统求解触发新路径的输入；怎么做：建立跨三种环境的统一日志，直接测量“可满足路径数／探索路径总数”并分层报告尾部；什么算证伪：若效应低于测量误差、跨环境方向不一致，或披露时钟是否与补丁分发能力匹配不再预测失败，则命题被证伪。
◎ 资料核验
- Zhang, C., & Sekar, R. (2013). Practical control flow integrity and randomization for binary executables. Proceedings of the USENIX Security Symposium.
- Cadar, C., Dunbar, D., & Engler, D. (2008). KLEE: Unassisted and automatic generation of high-coverage tests for complex systems programs. Proceedings of OSDI 2008. USENIX.
- Godefroid, P., Levin, M. Y., & Molnar, D. (2008). Automated whitebox fuzz testing. Proceedings of NDSS 2008.
- Zalewski, M. (2014). American Fuzzy Lop: Technical documentation and implementation notes.
- The Rust Project. (2015). The Rust Programming Language 1.0 release and reference.
- Snow, K. Z., et al. (2013). Just-in-time code reuse: On the effectiveness of fine-grained address space layout randomization. Proceedings of IEEE Symposium on Security and Privacy.
- Dwork, C., McSherry, F., Nissim, K., & Smith, A. (2006). Calibrating noise to sensitivity in private data analysis. Proceedings of TCC 2006, LNCS 3876. Springer.
- Debian Reproducible Builds Project. (2013–2016). Reproducible Builds: Build-path, timestamp, locale, and dependency normalization specifications. Debian Project technical documentation.
- Serebryany, K. (2017). Continuous fuzzing with libFuzzer and AddressSanitizer. Google Security Engineering Report.
- Google Android Security Team. (2022). Memory safe languages in Android. Android Security Report.
- Kocher, P., et al. (2019). Spectre attacks: Exploiting speculative execution. Proceedings of IEEE Symposium on Security and Privacy, 1–19.
- Van Bulck, J., et al. (2018). Foreshadow: Extracting the keys to the Intel SGX kingdom with transient out-of-order execution. Proceedings of USENIX Security 2018.
- Torres-Arias, S., et al. (2019). in-toto: Providing farm-to-table guarantees for bits and bytes. Proceedings of USENIX Security 2019.
- O’Donoghue, E., Boles, B., Izurieta, C., & Reinhold, A. M. (2024). Impacts of Software Bill of Materials (SBOM) generation on vulnerability detection. Proceedings of the ACM Workshop on Software Supply Chain Offensive Research and Ecosystem Defenses (SCORED 2024), 67–76. https://doi.org/10.1145/3689944.3696164.
- Birsan, A. (2021). Dependency confusion: How I hacked into Apple, Microsoft and dozens of other companies. Public security disclosure.
- Zhu, L., Liu, Z., & Han, S. (2019). Deep leakage from gradients. Advances in Neural Information Processing Systems, 32.
- Bonawitz, K., et al. (2017). Practical secure aggregation for privacy-preserving machine learning. Proceedings of CCS 2017. ACM.
- Apple Differential Privacy Team. (2017). Learning with privacy at scale. Apple Machine Learning Research Report.
- Google Project Zero. (2021). Policy and Disclosure: 2021 Edition; Google Project Zero. (2022). A Walk Through Project Zero Metrics. Project reports.
- Microsoft. (2017). MS17-010 security bulletin and WannaCry incident response materials.
- National Vulnerability Database. (2024). CVE-2024-3094 detail: XZ Utils backdoor. National Institute of Standards and Technology.