待验证50% 置信事件精确时间
在演示中，豆包按照提示词执行后不仅确认了URL预览功能存在SSRF漏洞，还验证出任意文件读取问题
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/9
首次发现
有效期至：2027/1/7
来源
涉及实体
相关事实
待验证SSRF利用中常被检测的危险协议包括file://（读取本地文件）、dict://（探测端口开放状态）、ftp://（有时可绕过过滤）67% 相似待验证XZ Utils 后门的恶意代码隐藏在测试用二进制文件中，通过修改后的 m4 构建脚本在编译时提取注入，并通过劫持 RSA_public_decrypt 函数检查特定公钥65% 相似待验证WebFetch 等联网能力会引入提示词注入、SSRF 及敏感数据泄露等安全风险64% 相似待验证Hook技术同样的原理也被用于拦截XHR请求、监控Cookie读写、追踪加密函数调用等安全研究场景64% 相似待验证2023年研究人员演示将恶意指令藏匿于网页不可见文本区域，成功劫持基于GPT-4的浏览器Agent执行未授权操作63% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/991173API
curl https://kongchang.com/api/v1/knowledge/claims/991173MCP
get_claim(id=991173)