企业如何控制AI大模型的应用风险；AI部署场景下的web漏洞可借鉴攻防思路 | FreeBuf热门电台精选集第十六期

📢本期热门电台抢先看：1.聊聊企业如何控制AI大模型的应用风险🤖2.大家在使用AI SaaS时，都怎样做避免泄露公司保密信息？🔑3.AI部署场景下的web漏洞有啥攻防思路可借鉴么？🔐—————————

硬编码后门：NVIDIA高危漏洞可致AI系统完全沦陷

NVIDIA紧急发布Isaac Launchable软件安全更新，修复三个可能让攻击者完全控制受影响系统的关键漏洞。这家GPU巨头披露的CVE-2025-33222、CVE-2025-33223和CV

认证噩梦：新型MacSync窃密木马绕过Gatekeeper劫持Mac设备

苹果安全协议与恶意软件开发者之间的攻防战已进入更隐蔽的新阶段。Jamf Threat Labs最新报告显示，日益活跃的MacSync Stealer窃密木马近期完成重大设计升级，摒弃依赖用户操作失误的

一场“智变”：当AI不仅要防“外敌”，还要防“自己”

从每分钟拦截上千次恶意诱导，到为百万终端构建“云上保险柜”，安全正从一个被动的成本部门，转变为驱动AI规模化落地的核心引擎。“下次咱们论坛能不能找个更大的场地？”2025年底的上海世博中心，火山引擎冬

内鬼威胁：黑客重金收买企业内部人员绕过安全防护

Part01黑客转向内鬼策略Check Point Research（CPR）最新研究表明，网络犯罪分子正在改变入侵企业的方式。他们不再仅依赖密码猜测或系统漏洞利用，而是开始重金收买企业内部员工充当内

n8n工作流自动化平台曝高危漏洞：数万实例面临任意代码执行风险

n8n工作流自动化平台近日披露一个高危安全漏洞，在特定条件下成功利用该漏洞可能导致任意代码执行。该漏洞被追踪为CVE-2025-68613，CVSS评分为9.9分（满分10分）。根据npm统计数据显示

直播预告 | 攻防演练季应急自救指南——0Day/NDay来袭，传统防护失效下该如何破局？

攻防演练季已至，您的系统是否做好了准备？随着0Day/NDay漏洞频繁爆发，传统安全防护手段面临严峻挑战：漏洞修复往往伴随业务中断，新型攻击特征提取滞后，而传统RASP方案又常因资源占用过高、影响业务

新型"谎言循环"攻击利用AI安全对话框实现远程代码执行

一项新发现的攻击技术通过武器化人工智能代码助手的固有安全特性，暴露了其关键弱点。这种被称为"谎言循环"（Lies-in-the-Loop）的攻击手段，利用了用户对审批对话框的信任——这些对话框本应防止

Linux内核POSIX CPU计时器实现中的释放后使用漏洞PoC利用代码公开

Part01漏洞概况安全研究人员已公开针对（CVE-2025-38352）的概念验证（PoC）利用代码，该漏洞是Linux内核POSIX CPU计时器实现中存在的一个竞态条件问题。攻击者可利用此漏洞触

百万级在线SRC资产监控平台上线！

之前推出过的资源超全、功能实打实的聚合信息平台，这次进行了四大板块的功能升级。除了原有的文档视频资源更加丰富之外，还新增了三大板块内容：src监控模块、web指纹识别模块、资源共享模块。新增内容01

北方阴影：揭秘朝鲜错综复杂的网络基础设施体系

一项最新联合调查揭露了支撑朝鲜最臭名昭著网络行动的复杂重叠基础设施。Hunt.io与Acronis威胁研究团队的研究人员联手绘制了朝鲜民主主义人民共和国（DPRK）的网络作战架构，揭示出一个间谍活动、

隐秘劫持者：新型Cellik安卓远控木马将合法Google Play应用变为监控工具

网络安全公司iVerify最新报告披露，网络犯罪市场出现一款名为Cellik的新型安卓远程访问木马（RAT），该恶意软件通过寄生在合法应用中的方式，为攻击者提供"交钥匙"式智能手机劫持方案。这款恶意软

黑客滥用"设备代码"绕过安全防护劫持微软365账户

网络犯罪分子发现了一种将企业安全协议反制为攻击工具的新方法，他们武器化微软的合法认证功能来窃取用户账户。Proofpoint威胁研究团队的最新报告详细介绍了"设备代码钓鱼"攻击的激增情况，这种技术通过

110毫秒的真相：亚马逊如何利用"延迟"捕获朝鲜间谍

电子商务与科技巨头亚马逊近日披露了其主动打击朝鲜黑客行动的努力。此前有大量证据表明，这些黑客组织一直在利用亚利桑那州的所谓"笔记本电脑农场"作为渗透美国企业的跳板。他们伪装成合法求职者获取远程职位，进

DIG AI：犯罪组织与恐怖分子正在利用不受监管的暗网AI助手

Part012025年第四季度暗网AI犯罪激增Resecurity最新报告显示，2025年第四季度Tor网络上DIG AI的犯罪使用量激增，这种可扩展的非法活动为2026年重大赛事埋下安全隐患。研究人

每周PDF资源：Gemini AI安全性与红队报告；大模型双向隐私授权；红蓝对抗常见技战法；容器镜像瘦身指南；安全开发手册

攻击者利用PuTTY工具实现横向渗透与数据窃取双重目的

网络安全研究人员发现，攻击者正日益滥用流行的PuTTY SSH客户端工具，在已攻陷的网络中实施隐蔽的横向移动和数据窃取活动，仅留下可供调查人员追踪的细微取证痕迹。Part01取证突破口：Windows

Linux内核首个Rust漏洞CVE-2025-68260曝光

Linux 内核近日修复了编号为 CVE-2025-68260 的漏洞——这是主线内核中首个正式分配给 Rust 代码的 CVE。Greg Kroah-Hartman 报告了该问题，该漏洞影响用 Ru

FreeBuf周报 | 2025年Chrome浏览器八大0Day漏洞；攻击者利用React2Shell漏洞部署Linux后门

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🌐2025年Chrome浏览器0Day漏洞全面分析：八大高危漏洞遭

朝鲜黑客2025年窃取20.2亿美元加密货币，占全球总量近六成

与朝鲜有关联的黑客组织成为2025年全球加密货币盗窃激增的主要推手。数据显示，从1月初至12月初，全球被盗加密货币总额超过34亿美元，其中至少有20.2亿美元与朝鲜黑客有关。区块链分析公司Chaina

OpenAI发布GPT-5.2-Codex：显著提升智能编程与漏洞检测能力

OpenAI近日推出专为智能编程和网络安全任务优化的GPT-5.2-Codex模型，该版本在处理复杂软件工程和漏洞检测方面取得重大突破。Part01性能表现全面超越前代在SWE-Bench Pro基准

BugTrace-AI：基于人工智能的渗透测试工具，可检测潜在漏洞

BugTrace-AI 是一款开源套件，利用生成式人工智能（AI）来增强漏洞检测能力。该平台作为一站式Web安全分析解决方案推出，将静态应用安全测试（SAST）和动态应用安全测试（DAST）与AI驱动

流行Node.js库曝严重漏洞，可致Windows系统遭受RCE攻击

数千名开发者使用的流行Node.js库systeminformation近日曝出严重安全漏洞（CVE-2025-68154），攻击者可利用该漏洞在Windows系统上执行恶意代码。所有5.27.13及

2025年Chrome浏览器0Day漏洞全面分析：八大高危漏洞遭利用

2025年全年，谷歌紧急修复了影响Chrome浏览器的八个遭主动利用的0Day高危漏洞，这些漏洞平均CVSS评分达8.5分，已被列入美国网络安全和基础设施安全局（CISA）已知被利用漏洞目录，全球数十

从安全高管到创业先锋；中层安全主管离职潮 | 2025网安行业优质播客精选集⑫

01 从安全高管到创业先锋四位CISO的转型之路本期节目：本期播客围绕四位首席信息安全官（CISO）如何转型为创业公司创始人展开，探讨了他们创业的动因、面临的挑战、经验教训以及角色转变的心路历程。每位

暗网Omertà Market上线仅两周，即因真实服务器IP泄露被迫关停

Part01平台崛起与迅速陨落暗网生态始终在新平台涌现与突然关闭之间动态变化，这种波动往往源于其承诺的匿名性本身。2025年11月21日，名为Omertà Market的新平台登场，自诩为稳定与安全的

大语言模型正加速勒索软件运营：功能工具与RaaS的融合

大语言模型（LLMs）与勒索软件运营的整合标志着网络犯罪格局的关键转变，这种技术更多是作为强大的运营加速器而非根本性变革。该技术显著降低了犯罪门槛，使低技术水平的攻击者也能构建功能性工具和复杂的勒索软

安全工具开发圈子：这里有可参考的源码、可测试的靶场和免费的FOFA搜索

最近我们把圈子里的资源整理到了 250 多个，并且还在每周更新。这里所有的真实源码、系统教程、实战靶场，都开放给进来的每一位师傅直接使用。更重要的是，这里提供了一个环境，让即使不懂开发的朋友，也能试着

攻击者利用React2Shell漏洞部署Linux后门程序，日本成重点攻击目标

根据Palo Alto Networks Unit 42和NTT Security的研究发现，威胁行为者正在利用名为React2Shell的安全漏洞传播KSwapDoor和ZnDoor等恶意软件家族。

谷歌宣布关闭暗网报告服务，坦言无法提供实质性补救措施

对于担忧个人数据是否在互联网上"裸奔"的用户而言，谷歌暗网报告（Dark Web Report）长期扮演着便捷监控工具的角色。这项最初仅面向付费Google One订阅用户的专属功能，去年已慷慨开放给