鸿蒙开发者社区

公众号矩阵

移动端

视频课免费课排行榜短视频直播课软考学堂

全部课程 AI课堂软考信创认证华为认证厂商认证 IT技术 PMP项目管理免费题库

文章资源问答课堂专栏直播

51CTO

51CTO运维帮

51CTO技术栈

51CTO官微

51CTO学堂

51CTO博客

51CTO运维帮视频号

鸿蒙开发者社区订阅号

51CTO软考

51CTO学堂APP

51CTO学堂企业版APP

鸿蒙开发者社区视频号

51CTO软考题库

账号设置退出

安全

4.1w内容

关注

安全话题集合了网站安全、数据安全、应用安全、云安全、物联网安全、移动安全、终端安全等领域的新鲜业界资讯、前沿技术知识、典型应用案例以及产业发展态势。

共 4.1w 条

Akamai 研究发现：亚太地AI 赋能电商蓬勃发展，爬虫与 API 攻击随之激增

在亚太地区，电商行业贡献了全部 AI 爬虫程序流量的 38%。与此同时，零售、旅游平台和酒店品牌正加速部署个性化数字服务，该地区爬虫活动涨幅达 63%

2026-07-20 16:55:05

NGINX 严重漏洞可导致工作进程崩溃，或允许远程代码执行

触发该漏洞可导致工作进程崩溃或重启，造成拒绝服务；F5 指出，在 ASLR 被禁用或可被绕过的情况下，该漏洞还可能允许远程代码执行。

2026-07-20 10:51:12

漏洞网络安全 web安全

CVE-2026-42533：存在 15 年的预验证 Nginx 远程代码执行漏洞

CVE-2026-42533是一个影响nginx多年的严重安全漏洞。该漏洞涉及正则表达式捕获状态的管理问题，可导致未经身份验证的远程攻击者实现可靠的信息泄露和堆缓冲区溢出。

2026-07-20 10:42:49

漏洞身份验证正则表达式

Agent 记忆投毒：98% 写入率背后的两阶段攻击与两道防线

长期记忆让 Agent 从一个只处理当前指令的模型，变成了一个能够积累经验、维护状态并跨会话行动的系统。但记忆能力越强，外部信息对未来行为的影响时间也越长。

2026-07-20 05:08:00

Agent 记忆投毒大模型

AI正在终结“眼见为实”：文件信任体系迎来重构时刻

试想这样一幅画面：某人在AI助手的对话框里输入几行字——"请生成一份美国加州驾照，姓名：John Doe，地址：123 Main Street，有效期至2028年。"不到五分钟，一份从纸张纹理、防伪标记到字体排版，都与真件毫无二致的"完美证件"，便出现在屏幕上。

2026-07-17 13:29:04

文件信任防伪标记 AI助手

绿灯变死局：当谷歌微软的CI/CD全线通过，攻击者已拿走了永久权限

在AI全速驱动软件工程的今天，防御的思维必须完成一次根本性的范式迁移：从"在流水线末端盲目信任扫描器"，转向"在源头进行全生命周期的主权治理"。企业不仅需要知道引入了什么，更需要深度治理这些组件和工作流，究竟以何种特权逻辑在流水线中运行。

2026-07-16 13:47:01

谷歌微软 CI/CD

今日，AI拟人化智能体强监管时代来临：政策解读、行业变局与合规路径

未来已来，合规者昌。在这场深刻变革中，让我们以更负责任的姿态、更专业的能力、更清晰的价值观，共同书写中国AI智能体产业的新篇章。

2026-07-16 00:00:00

智能体 UGC模式行业变局

Fortinet 发布全新升级 FortiSOC 为用户打造由 Agentic AI 赋能的统一 SOC 平台

近日，专注推动网络与安全融合的全球性综合网络安全解决方案供应商 Fortinet 推出统一云安全运营中心平台 FortiSOC。该平台以软件即服务（SaaS）模式整合六大核心安全运营功能，内置 Agentic AI 技术，可跨企业所有资产与身份信息实现威胁自主调查和关联告警分析，并在分析师监督下推荐或执行响应操作。

2026-07-15 17:06:14

瑞数信息稳居中国头部WAF厂商！

近日，国际权威咨询机构IDC发布《中国AI赋能的Web应用防火墙硬件市场份额，2025》与《中国AI赋能的云Web应用防火墙市场份额，2025》两份报告。瑞数信息同步入选中国AI赋能硬件WAF市场、云WAF市场主要厂商阵营，并连续三年位居中国私有云WAF市场份额Top2。产品覆盖硬件与云等多种部署形态，为企业提供更加灵活、多元的Web应用安全选择。

2026-07-15 15:56:09

攻击者利用 AI 构建自定义 PowerShell 侦察恶意软件

Huntress 发现一个由 AI 生成的 PowerShell 脚本，用于 AD 侦察，表明攻击者正利用 AI 创建定制化、具备规避能力的工具。

2026-07-15 10:06:50

恶意软件网络安全终端安全

当世界杯遇上AI时代：F5用“冠军阵型”为企业数智化征战保驾护航原创

当世界杯的绿茵激情与AI时代的数字浪潮交汇，如何才能用一套攻守兼备的“冠军阵型”在这场智能经济的新赛场上率先破门得分？作为深耕应用交付领域三十年的行业领航者，F5给出了自己的答案。

2026-07-15 09:00:00

记一次 .NET 某电力后台监控系统内存暴涨分析

由于 free 的个数高达 400w +，直接观察free的前后是什么，这个有一点的实操难度，at this point 我们发现C_Sys_UserAppTokenModel 和 C_Sys_UserModel 也高达48w和60w，虽不是很高，但也给我们留了是不是实体失控的模糊影子？

2026-07-15 07:54:44

.NET 监控系统内存

一张AI风险表救不了企业：当AI出了问题，你需要的是“应急系统”

很多企业已经建立了AI风险登记册，却忽略了更关键的问题：当AI真正出错时，谁负责调查、谁保留证据、谁决定暂停系统？风险清单只能“看见风险”，却无法“处置风险”。成熟的AI治理，应从文档管理升级为可执行的事件响应体系，明确AI事件定义、证据留存、责任归属、升级流程和停机决策权。

2026-07-15 06:53:45

企业 AI 人工智能

从"清单合规"到"风险治理"：当AI学会排序，网络安全才真正有了方向

网络安全的世界又何尝不是如此。一次数据泄露发生之前，可能早就有权限异常静静地躺在那里；一次勒索攻击发生之前，可能早就有补丁迟迟未打的窗口期；一次监管处罚落地之前，可能早就有流程上的缺口被一再搁置；一次业务中断发生之前，可能早就有应急演练被一拖再拖。

2026-07-15 01:10:00

风险治理清单合规网络安全

新型 MemGhost 攻击：一封邮件即可向 AI Agent 植入持久性虚假记忆

研究人员将这种攻击命名为隐身记忆注入（stealth memory injection），并开发出能自动编写此类邮件的工具。

2026-07-14 10:29:33

网络安全 AI Agent 网络攻击

Agent 每次调用工具都要问用户吗？Janus 揭示权限管理的三难困境

未来的 Agent 安全，不只是要检测提示注入，也不只是要给工具加权限开关。更重要的是建立一套能够理解上下文、约束工具行为、管理用户授权、记录执行链路的权限决策层。

2026-07-14 10:07:12

Agent 安全 Janus 调用工具

黑客利用 Vibe-Coded 生成的 PowerShell 脚本枚举 Active Directory 账户

这种方法降低了网络犯罪的技术门槛，即使是能力平庸的威胁行为者也能生成定制的、一次性使用的攻击工具，从而规避传统的基于签名的检测。

2026-07-14 09:37:11

黑客网络犯罪网络安全

Grok Build CLI「全仓库上传」争议

这次争议最重要的价值，在于研究者没有只根据网络流量大小进行猜测，而是设计了带有假秘密和特征字符串的测试仓库，并捕获、拆解了上传请求。

2026-07-14 05:20:00

仓库模型 Reddit

ADG：智能体依赖图谱，看清 Agent 能力边界

一个 Agent 是否安全，不只取决于它用了什么模型、挂了什么工具，也取决于 Prompt、工具、记忆、handoff、审批策略之间如何连接。ADG 的价值就在这里。

2026-07-14 05:05:00

ADG 智能体 Agent 安全

眼见不为实，耳听不为凭——一部美国法案正在重写AI时代的企业安全规则

很长一段时间里，"深度伪造"（Deepfake）在大众认知中不过是娱乐圈的麻烦事。好莱坞明星被合成进奇怪的视频，政客的嘴被AI"借用"说出从未说过的话——荒诞、令人不安，但似乎与普通人的生活隔了一层玻璃。

2026-07-14 03:00:00

NO FAKES CISO Deepfake

单个协议都没错，Agent 组合后却越权：形式化分析揭示 30 个跨协议安全失败

Agent 安全正在从“单点工具风险”进入“协议组合风险”阶段。单个协议都没错，不代表组合后的 Agent 系统安全。真正的越权，往往发生在协议之间。

2026-07-13 10:23:47

协议安全 Agent 安全 Agent

为何砸了重金部署的安全AI，还是防不住黑客，反而误报连连？

全球企业疯狂投入AI安全，却常把检测失效归咎于算法。事实上，真正拖垮AI安全效果的，是隐藏在上游的数据质量问题：遥测数据碎片化、格式不统一、模式漂移、行为基线过时，不仅导致误报、漏报激增，更让攻击者有机可乘。

2026-07-13 07:43:19

AI安全黑客网络安全

外网铁壁铜墙，内网一戳即破？超80%企业服务器正对黑客“裸奔”！

企业真正的安全危机，或许并非来自黑客攻破边界，而是来自 "畅通无阻 "的内部网络。最新研究基于312家企业、54万亿条真实安全数据发现，超80%的服务器可在内网任意访问，RDP、SMB、SSH等管理协议大范围暴露，攻击者一旦入侵，几乎无需零日漏洞，就能利用企业自己的管理工具快速横向移动。

2026-07-13 07:38:56

勒索软件安全危机企业

Go-Bus 平台数据泄露事件研判报告

核心研判：已发现数据已实现全量泄露。泄露内容涵盖用户 PII、密码哈希、完整乘车日志，敏感度极高，身份盗用与针对性诈骗风险显著上升。

2026-07-13 05:30:00

数据泄露网络安全网络攻击

工具没坏，Agent 却选错了：AI Agent 的机器社会工程风险

Agent 的工具选择不只是能力匹配问题，也是情境解释问题。攻击者可以通过伪造工具元数据里的权威性和适用范围，让 Agent 在不违反规则的情况下，主动走向错误工具。

2026-07-13 05:05:00

Agent安全 AI Agent 社会工程攻击

27.1% 企业中招！深度落地 AI 背后，四大隐形安全暗礁全面解析

对于正在这条路上行走的每一家企业：现在，正是建立AI治理框架的最佳时机。不要等到事故发生，才开始寻找灭火器。让我们在拥抱AI的同时，也紧紧握住治理这根缰绳——在创新与安全之间，找到那个真正能让企业行稳致远的平衡点。

2026-07-10 12:09:16

AI 隐形安全 AI治理

CVE-2026-46215：通过 DRM GEM change_handle 中的UAF功能获得ROOT权限

Puttimet先到一步，David Francis和Dave Airlie提供了更简洁的修复并决定弃用该ioctl而非持续修补，以及内核安全人员快速的周转。

2026-07-10 11:39:15

漏洞网络安全网络攻击

网络安全：2026 年最常见的五种攻击方式

2026年IBM《数据泄露成本报告》指出，拥有成熟安全培训体系的企业，其数据泄露平均成本比行业均值低123万美元。问题在于，许多组织将安全视为IT部门的专属职责，而非全员行为准则。

2026-07-10 11:00:55

数据泄露网络安全网络攻击

Agent Skill 七阶段生命周期与六个治理组件

模型决定 Agent 如何理解任务，工具决定 Agent 能连接什么系统，而 Skill 决定 Agent 如何把理解转成行动。

2026-07-10 10:28:58

Agent Skil Agent 安全 Skill

AI黑客以机器速度攻破防线，企业该如何重构网络安全预算？

AI正在彻底改写网络安全规则：漏洞发现和攻击已进入“机器速度”时代，而企业修复能力仍停留在人类速度，传统安全预算和防御体系因此全面失效。真正的问题不是漏洞变多，而是资本配置错位。

2026-07-10 06:49:17

AI 网络安全漏洞

GhostLock：一个潜伏在 Linux 发行版长达 15 年的栈 -UAF 漏洞

GhostLock (CVE-2026-43499) 是 VEGA 发现的一个 Linux 内核漏洞，自 2011 年以来存在于每个主流发行版中。本文详细介绍了漏洞利用的技术细节。

2026-07-10 05:20:00

漏洞内核网络安全

当Claude、Cursor 和 Codex 触发了终端安全检测报警

Sophos CIXA 行为引擎的最新分析表明，这些工具模糊了良性自动化与通常与攻击者相关联的活动之间的界限。

2026-07-10 05:15:00

企业安全终端安全终端安全

AI 双 Agent 攻击：利用 Claude 桌面版在目标机器上执行远程代码

随着AI助手模糊了聊天界面与系统Agent之间的界限，其感知能力与实际能力之间的差距正成为一种独特且目前监控不足的企业风险。

2026-07-09 17:12:45

终端安全企业安全漏洞

苦学四年，抵不过AI一次更新：当你的专业正在“坍塌”，该怎么办？

AI正在像GPS颠覆地图记忆一样，彻底瓦解网络攻击的技术门槛：过去只有国家级黑客掌握的钓鱼、漏洞利用、中间人攻击，如今被AI压缩为“即点即用”的能力，攻击速度更快、规模更大、伪装更逼真，传统依赖特征识别和经验判断的安全体系正遭遇结构性失效。

2026-07-09 15:34:47

逆向分析50起API泄露事件：同样的五个错误，反复杀死同一批公司

这听起来像是某部网络犯罪小说的开篇，但它真实发生在2025年底到2026年初的Navia Benefit Solutions（美国头部员工福利管理服务商）身上。269万美国人的敏感健康数据——教师、州政府职员、学校行政人员——就这样被悄无声息地搬空。而这家公司，在攻击停止整整八天之后，才察觉到异常。

2026-07-09 13:51:57

API 泄露事件漏洞

金融 Agent 上线之后：四个生产架构、六类威胁与三个负面结果

Agent 安全进入强监管金融场景后，重点不只是“能不能防攻击”，而是每一次自动化动作能不能被解释、审计、追责和复盘。

2026-07-09 09:26:56

Agent 安全模型网络攻击

首个一键式 Android 17 漏洞利用链可使攻击者完全控制手机

由于攻击者可通过控制面板随时更换应用皮肤和攻击目标，仅凭应用名称难以识别，行为特征才是关键指标。

2026-07-09 09:04:50

恶意软件间谍工具漏洞

渗透测试 Agent 套件：面向 Claude Code 及六大 AI 编程工具的全自动漏洞赏金框架

该框架仅授权用于负责任披露原则下的安全测试，内置rag-builder/工具可从146个资源库（含CTF存档、漏洞赏金报告和载荷集合）构建本地FAISS报告索引，所有破坏性操作均需显式--execute标志激活。

2026-07-08 10:25:57

web安全渗透测试漏洞赏金

谁在为 Agent 提示注入买单？StakeBench 揭示 Web Agent 的三类受害者风险

StakeBench 给出的答案并不复杂，但非常关键：Agent 安全评测必须从攻击视角，走向受害者视角。

2026-07-08 09:53:12

Agent 安全 Agent 模型安全

一个潜伏 16 年的 KVM 漏洞，如何让虚拟机「越狱」

目前没有查到在野利用的报告。真正「实战」过这个漏洞的，是 Kim 本人——他把 Januscape 作为一次零日提交进了 Google 的 kvmCTF 漏洞奖励计划。

2026-07-08 09:19:48

漏洞越狱虚拟机

自主 AI Agent 入侵网络并勒索赎金，Sysdig 披露首例端到端 Agentic 勒索攻击案例

Sysdig将JadePuffer归类为Agentic威胁行为者，意味着其攻击能力由AI Agent而非人工工具包实现。

2026-07-08 08:56:35

网络安全勒索软件 AI安全

SilverFox 黑客组织在活跃攻击中使用Go语言RAT、杀毒软件终结器及内核级Rootkit

此案例警示我们：现代RAT已远非简单的远程控制工具，防御者必须应对多阶段加载器、基于图像的载荷隐藏、以及能与用户空间恶意程序直接交互的Rootkit等复合型威胁。

2026-07-07 21:15:43

黑客终端安全企业安全

被 Agent 重新激活的 16 个网络安全难题

这篇文章最值得关注的地方，不是“Agent 能不能替代安全人员”，而是它提醒我们：Agent 正在改变安全防守的成本结构。

2026-07-07 07:00:00

Agent 网络安全威胁情报

当警察遇上比特币，虚拟货币犯罪的"追赃"密码

虚拟货币取证，本质上是一场"技术军备竞赛"。犯罪分子不断利用新技术手段（跨链、混币、匿名钱包）掩盖踪迹，而公安机关也在持续升级取证工具和分析方法。

2026-07-07 06:30:00

虚拟货币私钥密码

Bad Epoll 漏洞使攻击者可获取 Linux 及 Android 系统 root 权限

此案例同时凸显了AI在漏洞研究中的潜力与局限：虽然Mythos等模型已能识别复杂内核漏洞，但对于高度微妙的竞争条件，当前最先进的AI系统仍可能漏检。

2026-07-07 06:00:00

终端安全漏洞网络安全

Cursor IDE 中的两个关键性 RCE 漏洞，通过零点击提示注入触发

这两个我们称为 "DuneSlide" 的 RCE 漏洞均获得了 9.8 的 CVSS 评分，涉及突破 IDE 的沙盒环境，并被分配了 CVE 编号 CVE-2026-50548 和 CVE-2026-50549。

2026-07-07 05:10:00

漏洞网络攻击网络安全

当 Prompt 变成 SQL Payload：LLM 数据库 Agent 的三层防线

当 Prompt 开始变成 SQL Payload，LLM 数据库 Agent 就不能只按智能应用来设计，它必须按照数据访问系统来治理。

2026-07-06 05:50:00

数据库安全 Prompt Agent

2026 年微软漏洞报告深度解析

《2026年微软漏洞报告》表明：在关键漏洞向云基础设施和身份边界集中的新态势下，仅靠补丁管理已不足以防御。

2026-07-06 05:15:00

漏洞网络安全网络攻击

数据桎梏难破！国内网安厂商 AI 转型四大核心困局与破局路径全解析

中国网络安全厂商的AI化困局，本质上也是一道时代考题。数据的壁垒是真实的，效果的妥协是痛苦的，评测的缺位是危险的。但困难的存在，从来不是停滞的理由。

2026-07-06 00:00:00

AI 安全行业数据

黑客利用 SEO 投毒与隐藏 HTML 代码诱骗 AI Agent 执行恶意指令

随着AI工具承担更多独立在线任务，将每个网页视为潜在隐藏操纵源已成为基本安全要求，而非可选预防措施。

2026-07-05 07:00:00

web安全黑客网络攻击

1 2 3 4 5 6 ··· 836 下一页

51CTO技术栈公众号

业务
速览

媒体

51CTO CIOAge HC3i

社区

51CTO博客鸿蒙开发者社区 AI.x社区

教育

51CTO学堂精培企业培训 CTO训练营