技术研究、标准与历史资料
Google发布白皮书，更新了未来量子计算机破解保护加密货币的256位椭圆曲线离散对数问题（ECDLP-256）所需资源估算，称其可能在少于1,200个逻辑量子比特和9,000万次Toffoli门，或少于1,450个逻辑量子比特和7,000万次Toffoli门的电路上实现。Google建议区块链逐步迁移至抗量子攻击的后量子密码学（PQC），并采用零知识证明验证漏洞估算，以避免公开敏感攻击细节。
推荐理由：白皮书给出了可验证的量子资源估算，并用零知识证明支持负责任披露；其迁移至后量子密码学的建议可为区块链安全规划提供决策依据。
Google Research提出TurboQuant向量量化压缩方法，并介绍其使用的PolarQuant与QJL，分别处理极坐标量化和1比特残差误差。文中称，该方法无需训练或微调即可将KV cache量化至3比特，在长上下文测试中保持模型准确性，并减少至少6倍的键值内存。
推荐理由：文章给出算法机制、理论依据和多类基准结果，并明确量化精度、内存与速度指标，适合评估长上下文和向量搜索压缩方案。
Google Research与Cornell University评估六种LLM回答高温超导专家问题的能力，NotebookLM和基于同一资料库构建的自定义RAG系统总体表现最佳。研究测试访问于2024年12月，使用67个问题、1,726份实验论文和综述文章，发现依赖开放网络资料的模型更容易混淆成熟理论与推测，并暴露出时间、上下文及图像理解方面的不足。
推荐理由：该研究以高温超导问题比较六种LLM，并用专家盲评检验准确性、全面性与证据支持，为科学领域构建可信AI工具提供方法和评估参考。
Google Research与Beth Israel Deaconess Medical Center开展AMIE对话式诊断AI单中心前瞻性可行性研究，100名成人患者完成诊前交互，98人按预约就诊。
推荐理由：这项单中心前瞻性可行性研究提供了真实基层医疗流程中的安全、诊断表现和医患体验证据，同时明确指出缺乏对照比较等限制，适合用于判断后续临床验证的研究设计。
PortSwigger Research 研究人员展示了利用 XML 解析器差异、属性污染、命名空间混淆和 Void Canonicalization，在 Ruby-SAML、php-saml 等 SAML 生态中绕过 XML Signature 验证并实现完整认证绕过的方法。研究还介绍了用于分析解析器差异的开源工具，并列出严格 XSD、仅处理已签名元素及更新 SAML/XML 库等防御措施。
推荐理由：文章系统拆解属性污染、命名空间混淆和 Void Canonicalization 如何造成 SAML 认证绕过，并给出受影响库、修复时间线与防御建议。
PortSwigger研究称，HTTP/1.1固有的请求分离缺陷可被新的请求走私与desync攻击利用，研究中的案例涉及Akamai、Cloudflare和Netlify等基础设施。作者还发布开源工具HTTP Request Smuggler v3.0，用于检测解析差异和目标特有弱点；相关技术与案例在两周内获得超过20万美元漏洞赏金。
推荐理由：文章通过授权测试和多个云基础设施案例，说明HTTP/1.1请求边界模糊会放大解析差异风险，并介绍可系统检测差异的开源工具。对代理链审计、漏洞检测和迁移到上游HTTP/2具有直接参考价值。
PortSwigger 研究人员展示了如何结合往返攻击和命名空间混淆，利用 ruby-saml 在 GitLab Enterprise 中实现未认证管理员访问。
推荐理由：文章通过可复现的攻击链解释 XML 解析差异如何影响 SAML 签名验证，并披露 GitLab 修复版本。对维护 SAML、Ruby 应用及审查跨解析器安全边界的团队具有直接的审计和防护价值。
PortSwigger Research介绍“cookie sandwich”技术：攻击者利用带引号的旧式Cookie及特殊解析规则，诱使部分服务器错误处理Cookie结构，从而可能暴露HttpOnly Cookie。文中以Apache Tomcat和Flask示例说明条件，并分析结合XSS、跟踪端点反射与CORS窃取PHPSESSID的实际过程。
推荐理由：文章通过解析差异和真实案例说明攻击链，适合安全测试人员检查 Cookie 解析、反射行为与跨域配置，降低误把 HttpOnly 视为绝对防护的风险。
PortSwigger Research分析了URL凭据部分在Chrome和Firefox中不可见但仍可影响页面脚本的行为差异。测试发现document.URL会保留凭据，而location不会；Firefox不编码凭据中的单引号，可用于DOM XSS，并可结合锚点username、password属性和DOM Clobbering控制对象。
推荐理由：文章通过浏览器行为差异说明URL凭据可隐藏载荷，并展示其在DOM XSS、锚点username/password控制及DOM Clobbering中的利用方式，适合安全研究与测试人员理解相关机制和限制。
PortSwigger研究不同HTTP服务器、代理和CDN解析 specially crafted URL 的差异，分析由分隔符、编码和点段规范化引发的路径混淆，以及由此实现的任意Web缓存欺骗和投毒。研究还介绍了检测源站与缓存解析行为的方法、Cache-What-Where攻击链和针对缓存欺骗及缓存键混淆的防护建议。
推荐理由：系统梳理缓存与源站解析器差异，并结合检测、利用和防护方法，为Web缓存安全审计与CDN配置提供可操作的研究依据。