#安全
共 52 篇相关文章
渗透测试 vs 漏洞扫描：SaaS团队安全防护该怎么选？
渗透测试与漏洞扫描有何区别？本文从深度、成本、合规价值等六方面对比，帮助SaaS团队根据发展阶段选择合适的安全测试策略，避免常见误区。
Prompt注入：AI代理如何被操控及防御指南
Prompt注入利用模型无法区分指令与数据的缺陷，让AI代理在他人的指令下执行高危操作。本文解析间接注入的运作机制、五种代理特有风险，并提供可落地的九问自查清单与代码层防御策略。
开发者周报：Linux 7.3发布、DeepSeek V4.1 Flash基准测试引关注
开发者新闻摘要：Linux 7.3 内核发布、.NET 11 RC2 与 NestJS 12 上线，Buildkite 推出 AI Agent CI 工具，Tor VPN Android beta 开放，Flatpak 安全模型遭质疑，DeepSeek V4.1 Flash 基准测试发布。
开发者新闻速递：零点击间谍软件、Anthropic捐赠与Disney人才收购
开发者新闻速递：Citizen Lab 确认定向广告传播零点击间谍软件 AdFection；Anthropic 开放外部监督权限并捐出 5% 股份；Disney 接收 Character.AI 大部分员工；Free Pascal 新增动态包支持；Servo 公布八月进展。
Claude用30分钟破解NSA 25年密码学谜团
Claude 30分钟破解NSA 25年密码学谜团，并反问为何如此明显的问题长期未被发现。本文分析事件经过、AI在安全研究中的潜力与争议。
同一句话，不同字段：提示注入检测的位置规则
attest 工具提出按字段角色分类的提示注入检测规则：结果承载字段保持基础严重性，元数据与指令字段升级为 critical。本文解析其设计逻辑、实际效果与三个诚实局限，包括签名有限和字段角色推断依赖约定。
AI Agent审批门只校验动词，不校验对象：三大逃逸路径与七层根因
AI Agent审批门只校验动词不校验对象，导致间接提示注入可绕过人类审批。红队实验10/10通过的策略在三个只改对象的测试中失败，本文拆解三大逃逸路径、七个根因与可落地的对象绑定修复方案。
一次API调用9秒删库：PocketOS事故的三重失效
PocketOS因AI代理一次API调用在9秒内删除生产数据库，卷级备份随之消失。本文拆解事故背后的三重失效：账户级令牌过宽、备份与数据同域、代理把staging标签当权限，并给出排查代理可触达令牌的实操命令。
窃密木马盯上AI编程助手：.claude.json与config.toml成新目标
Symantec报告显示Aoki信息窃取木马新增对AI编程助手凭证的窃取能力，点名.claude.json与Codex的config.toml。本文梳理这些文件的实际内容、两条命令自查方法，以及把token移出明文文件的修复步骤与感染后的轮换清单。
告别长期密钥：AWS CLI 免密钥登录与策略模拟器实战
无需长期 access key 即可登录 AWS CLI：用 aws login 获取自动刷新的临时凭证，再用 IAM policy simulator 在不发出真实请求的情况下验证策略的允许与拒绝行为，含版本要求、命令示例、结果解读与清理方法。
开发者周刊：GitHub账号劫持风波与Meta开源模型Muse Spark
本周开发者要闻：约1900个GitHub账号遭劫持并波及3万仓库，Meta发布可本地运行的开源模型Muse Spark，Nvidia将74B Agent模型压缩至24GB显存，OpenAI缩短GPT-4o API关闭通知期，BIPM决议停止新增闰秒。
OpenAI 办公室惊现隐蔽录音设备：AI 模型协助锁定内部嫌疑人
一家 AI 公司办公室内发现隐蔽录音设备，公司利用自身模型分析设备来源，锁定内部员工并移交 FBI 处理。事件揭示了 AI 公司在内部威胁防御、模型安全保护以及国家安全协作方面面临的多维挑战。
AI智能体并非"失控"，前沿实验室在忽视基础安全
AI智能体"失控"事件的根源并非AI本身，而是前沿实验室忽视了权限最小化、沙箱隔离和审计日志等基础安全措施。本文分析背后的原因与行业应对方向。
AI代理常犯的7个安全漏洞：Next.js+Supabase+Stripe
AI代理在Next.js + Supabase + Stripe应用中常犯7个安全漏洞：RLS策略无效、滥用service-role密钥、信任getSession、webhook签名验证缺失、非幂等、成功重定向授权、开放重定向。本文提供每个漏洞的修复代码和可写入AGENTS.md的规则。
OpenAI工程师涉窃密被FBI逮捕：沙特籍员工在会议室电视后藏录音设备
Reddit爆料：OpenAI沙特籍工程师Abdulrahman Alfozan因在办公室会议室电视后藏录音设备被FBI逮捕。事件凸显AI公司内部物理安全与敏感信息防护的严峻挑战。
Git配置劫持编码代理：三起漏洞与防护清单
恶意Git配置可在审批前劫持编码代理执行代码。本文解析GitSpawn、BragJack、Salesbleed三起漏洞，提供四步防护清单，强调用允许列表替代阻止列表并定期重测。
开发者周报：Gemini 4 Argon 发布与自复制AI蠕虫实验
开发者新闻汇总：Gemini 4 Argon 发布统一百万 token 模型，Anthropic 红队测试自复制 AI 蠕虫，GitHub 改进密钥检测，Backstage 1.55 发布，Cloudflare D1 控制平面设计解析。
MCP Proxy Firewall：为AI代理拦截被投毒的邻居
MCP Proxy Firewall通过部署前扫描器和运行时反向代理防火墙，拦截MCP服务器的提示注入、凭证外泄、SSRF攻击和OAuth篡改，为AI代理提供纵深防御。
