CVE MCP Server集成27种工具,赋能 Claude成为全能安全分析师

Part01漏洞分析工作流的革命性突破名为 CVE MCP Server 的开源项目正在重新定义安全团队分析漏洞的方式。该项目通过单一自然语言查询，让 Anthropic 公司的 Claude AI

每周PDF资源：OpenAI重金悬赏GPT-5.5生物漏洞；黑客利用Telegram做“战报系统”；身份认证进入Agent时代

Anthropic推出Claude Security公开测试版，AI直接扫描生产代码漏洞

Anthropic已面向Claude Enterprise客户开放Claude Security公开测试版，该产品能将AI驱动的漏洞检测直接集成至生产代码库，无需定制工具或API对接。Part01端到

Python 新威胁：利用公开隧道服务，批量窃取浏览器与云凭据

网络安全研究人员近日披露了一款名为DEEP#DOOR的隐蔽Python后门框架，该工具能够建立持久化访问并从受感染主机窃取多种敏感信息。Securonix研究员Akshay Gaikwad、Shikh

Wireshark 曝出高危漏洞，畸形数据包可触发任意代码执行

全球使用最广泛的开源网络协议分析工具 Wireshark 近日发布重大安全更新，修复了 40 余个漏洞，其中多个漏洞允许攻击者通过注入畸形数据包或恶意抓包文件实现任意代码执行。依赖 Wireshark

后Mythos时代：零窗口期威胁应对新策略

当补丁修复速度跟不上威胁时，NDR（网络检测与响应）技术成为遏制新一代威胁的关键。Part01AI加速漏洞利用窗口消失追踪AI技术进展的从业者都清楚，漏洞披露后企业赖以修补防护的缓冲期——即漏洞利用窗

Cursor AI 扩展可窃取开发者令牌导致凭证完全泄露

广泛使用的 AI 编程环境 Cursor 曝出高危访问控制漏洞（CVSS 8.2）。安全公司 LayerX 发现，该漏洞允许任何已安装的扩展秘密获取开发者的 API 密钥和会话令牌，导致凭证完全泄露，

cPanel 0Day认证绕过漏洞遭野外利用，PoC已公开

全球网络托管行业正经历一场地震：cPanel & WHM 中被证实存在一个关键认证绕过漏洞（CVE-2026-41940），且已遭野外利用。该漏洞允许未认证攻击者完全绕过登录机制，可能获取托管控制面板

Linux“一键Root”0day漏洞，影响2017年以来所有发行版

Linux 内核中新近披露了一个名为 Copy Fail的高危漏洞（CVE-2026-31431），CVSS评分7.8。仅凭一个 732 字节的 Python 脚本，任何无特权的本地用户都能一举拿下

智能攻防元年：渗透测试Agent迎来大考，AI如何从“能打”走向“可控”

4月25日，北京，第二届腾讯云黑客松智能渗透挑战赛决赛在极具极客氛围的场地中圆满落下帷幕。大赛以“铸刃止戈·以智御危”为主题，吸引了610支战队、1345名安全极客与AI研究者参赛，远超首届规模。经过

LiteLLM高危SQL注入漏洞遭利用，AI网关凭证被窃

一款拥有超过22,000个GitHub星标的开源AI网关LiteLLM曝出严重漏洞，其预认证阶段的SQL注入漏洞（CVE-2026-42208）正被攻击者活跃利用。该漏洞使未经授权的攻击者能够直接从平

GitHub高危RCE漏洞可接管服务器，数百万代码库面临泄露风险

GitHub内部git基础设施中存在一个被追踪为（CVE-2026-3854）的严重远程代码执行（RCE）漏洞，该漏洞可能允许任何经过身份验证的用户入侵后端服务器、访问数百万私有代码库，对于GitHu

28个Claude子Agent重构渗透测试，一键部署AI黑客军团

一款名为pentest-ai-agents的全新开源工具包正在重新定义安全专业人员如何在渗透测试工作流程中利用AI技术。该工具将Anthropic公司的Claude Code转变为完全专业化的攻防安全

直播预告：“古法挖洞”还能走多远？

2026年的第一个恐怖故事以下画面由ChatGPT image 2.0 生成点击图片切换👆👆👆新一代AI图像模型最核心的突破，是开始“先思考，再生成”。接任务后，它会先检索数据、规划布局、自我校验再出

OpenClaw三大漏洞可致策略绕过与主机劫持

网络安全研究人员近日在 AI Agent 框架 OpenClaw（曾用名 Clawdbot 和 Moltbot）中披露了三个中危漏洞。这些通过 npm 包分发的安全缺陷可导致策略执行绕过、网关配置篡改

攻击者可通过漏洞链在CODESYS应用中植入后门

全球广泛采用的基于软件的可编程逻辑控制器（Soft PLC）平台CODESYS Control运行时系统存在多个安全漏洞。Nozomi Networks实验室研究人员发现，攻击者通过组合利用这些漏洞，

你敢信，他们都来了！HPW白帽世界大会2026全议程发布

基于Claude Opus 4.6的AI编程Agent在9秒内删除了生产数据库

2026年4月25日周五，由Anthropic公司Claude Opus 4.6驱动的Cursor AI编程Agent通过一次未经授权的API调用，删除了全国性汽车租赁SaaS平台PocketOS的整

谷歌Gemini CLI高危漏洞可致远程代码执行

谷歌已修复 Gemini CLI 中的一个高危安全漏洞，该漏洞可能允许攻击者在某些自动化工作流中执行远程代码。该问题影响 npm 软件包 @google/gemini-cli 和 google-git

朝鲜黑客通过伪装Excel文件攻击药企，窃取机密数据

朝鲜政府支持的黑客组织Kimsuky近期针对处方药制药企业发起定向攻击，使用名为"White Life Science ERP Specification"的精心伪装恶意文件。攻击者通过伪造Excel

OpenAI重金悬赏GPT-5.5生物漏洞，严防AI被滥用于危险科研

OpenAI宣布针对GPT-5.5推出新的生物漏洞赏金计划，旨在加强高级AI系统的安全控制并防范生物学领域的滥用风险。该计划邀请合格研究人员测试GPT-5.5是否可能通过通用越狱方式绕过生物安全防护。

微软引入Anthropic的Mythos模型强化安全软件开发

微软计划将Anthropic的Mythos AI模型整合至其安全开发生命周期（SDL），此举意味着先进生成式AI开始直接参与大型软件厂商识别漏洞和强化代码防御的流程。该公司表示，将采用Mythos P

12年Linux漏洞Pack2TheRoot曝光，本地用户可提权至root

Part01漏洞概述编号为CVE-2026-41651（CVSS评分8.8）的Pack2TheRoot漏洞允许非特权用户未经授权安装或删除系统软件包，从而可能获得完整的root访问权限。该高危漏洞已存

黑客篡改安卓NFC应用窃取支付数据，克隆卡片盗刷账户

网络犯罪分子正滥用一款被植入木马的安卓支付应用HandyPay，窃取近场通信（NFC）数据和个人识别码（PIN），进而克隆支付卡并清空受害者账户。ESET研究人员发现，NGate恶意软件的新变种已植入

黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫

Part01攻击行动曝光一台意外暴露在公网的服务器，揭开了近期一场大规模自动化攻击的真面目。在这场围绕名为「Bissa scanner」工具展开的攻击行动中，威胁攻击者利用自动化扫描、AI辅助编码与T

间接提示注入攻击正悄然蔓延至真实网络环境

开放网络正在被一种针对大语言模型（LLM）驱动的AI Agent所设计的“陷阱”悄悄渗透。这种被称为间接提示注入（Indirect Prompt Injection，IPI） 的技术，通过在普通网页中

每周PDF资源：OpenClaw曝重大漏洞；2026高危漏洞TOP10盘点；黑客算改安卓NFC应用窃取支付数据

美国国安局无视国防部供应链风险强推Claude Mythos模型

Part01五角大楼担忧难阻国安局部署美国国家安全局（NSA）使用Anthropic公司Mythos模型的消息表明，人工智能作为防御工具与安全风险之间的界限正日益模糊。据Axios报道，尽管国防部已将

全球SIM卡农场即服务网络曝光：17国87个控制面板浮出水面

一项全球调查揭露了一个由名为ProxySmart的共享控制平台驱动的工业级移动代理生态系统。该网络横跨17个国家，暴露出87个控制面板，并关联至少94个实体手机农场站点，为商业规模的大规模欺诈、机器人

Claude Mythos安全神话：炒作还是名副其实？；白宫拟开放Claude漏洞挖掘AI | FreeBuf周报

各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🤖Claude Mythos 安全神话：炒作还是名副其实？🗽白宫拟