arXiv cs.AI· Ruozhao Yang, Minglang Li, Jiongchi Yu, Xinfeng Li, Xiaofei Xie·· 14 小时前AI 评分34
JANUS：自动合成跨层防御以抵御 Web 反序列化攻击
JANUS: Synthesizing Cross-Layer Defenses Against Web Deserialization Attacks
AI 导读
JANUS 是一个红蓝对抗框架，可从已知漏洞出发自动合成跨层防御策略，在隔离离线环境中迭代优化部署专属策略。在 6 个 Java 和 PHP 应用的 16 个漏洞部署上，JANUS 将留出攻击成功率降至 6.2%（基线为 18.8%-55.0%），完全缓解 16 个部署中的 13 个，同时保留 98.4% 的良性功能测试，针对性 P95 延迟仅增加 6.9%。
正文 · AI 翻译
摘要：不安全的反序列化会将不可信数据转化为攻击者控制的执行，而单个漏洞可能引入多种利用变体，从而绕过针对已知利用方式定制的防御。现有防御通常只在单一执行点生效，对完整攻击的可见性有限。跨层组合多种控制措施可提供互补保护，但要协调这些措施以保留合法功能，并使其适应新变体，需要大量专家投入。
我们提出 JANUS，一个用于自动化跨层防御合成的红蓝对抗框架。从已知利用出发，\sys 在隔离的离线环境中迭代细化针对具体部署的策略。黑盒攻击者仅利用外部可观测的反馈，探测当前策略以寻找利用变体。防御方将每个已验证变体归纳为与安全相关的效果，使用反事实重放将互补覆盖与冗余执行区分开，并跨层联合选择控制措施及其作用范围。每个候选策略都会针对累积的利用和良性工作流进行验证。
我们在六个 Java 和 PHP 应用的十六个漏洞部署上，针对网关、应用、系统和跨层防御评估 JANUS。JANUS 将留出攻击成功率降至 6.2%，而基线为 18.8-55.0%；完全缓解了 16 个部署中的 13 个，并在针对性 P95 延迟增加 6.9% 的情况下保留了 98.4% 的良性功能测试。
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI）；软件工程（cs.SE） |
| 引用为： | arXiv:2610.35532 [cs.CR] |
| （或 arXiv:2610.35532v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.35532 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Ruozhao Yang [查看电子邮件]
[v1]
2026年10月26日星期一 14:47:24 UTC（626 KB）
来源：arXiv cs.AI · arxiv.org