CISA警告F5 BIG-IP漏洞正遭攻击者积极利用
美国网络安全和基础设施安全局（CISA）已将新披露的F5 BIG-IP系统漏洞纳入其已知已利用漏洞（KEV）目录，警告该漏洞正在真实攻击中被积极利用。该漏洞编号为CVE-2025-53521，于202
阅读全文Anthropic泄露新一代Claude Mythos模型，网络安全市场再遭冲击
Part01配置错误曝光新模型Anthropic PBC 内容管理系统的一处配置错误意外泄露了其正在测试的新型大语言模型 Claude Mythos。该公司周四向《财富》杂志证实，工程师已完成该模型的
阅读全文Coruna漏洞工具包升级攻击框架，威胁数百万未打补丁的iOS设备
卡巴斯基研究人员发现，Coruna iOS漏洞利用工具包使用了2023年Triangulation行动中相同内核漏洞的更新版本。虽然早期证据未能明确关联两者，但代码相似性现在暗示了它们之间可能存在联系
阅读全文ClawHub漏洞可致恶意skill登顶；Claude Code允许AI自主选择操作权限 | FreeBuf周报
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🧑🔧ClawHub漏洞使攻击者可操纵排名使恶意skills登顶🤖
阅读全文OpenAI重金悬赏AI滥用漏洞，50%复现即算有效
OpenAI宣布启动一项公共安全漏洞赏金计划（Safety Bug Bounty），旨在识别其产品中存在的AI滥用行为和安全风险。该计划托管于Bugcrowd平台，标志着该公司在应对传统安全漏洞范畴之
阅读全文Claude浏览器扩展漏洞允许通过任意网站实现零点击XSS提示注入
网络安全研究人员披露了Anthropic公司Claude谷歌浏览器扩展中存在的一个漏洞，攻击者只需诱使用户访问特定网页即可触发恶意提示注入。Part01漏洞原理分析Koi Security研究员Ore
阅读全文新型开源供应链攻击，虚假npm安装日志暗藏RAT木马
Part01攻击概述安全研究人员发现一场精心策划的新型软件供应链攻击正通过 npm 包注册表针对开发者，攻击者利用虚假安装日志掩盖恶意活动。这项被命名为"幽灵行动"（Ghost campaign）的攻
阅读全文思科安全防火墙漏洞可导致攻击者以root权限远程执行代码
思科发布紧急安全公告，披露其安全防火墙管理中心（Secure Firewall Management Center，FMC）软件存在一个高危漏洞。该严重漏洞允许未经身份验证的远程攻击者以完整 root
阅读全文ClawHub漏洞可操纵排名，恶意skill登顶引发供应链攻击
Part01漏洞概述安全研究团队在OpenClaw智能体生态系统的公共skills注册平台ClawHub中发现了一个关键漏洞。该漏洞允许攻击者人为虚增恶意skills的下载量，从而绕过安全检查并操纵搜
阅读全文黑客伪造OpenClaw代币赠礼，GitHub开发者钱包遭清空
参与OpenClaw项目的软件开发人员正成为一场旨在清空其数字钱包的危险钓鱼活动的最新目标。安全研究公司OX Security最新发现，攻击者利用GitHub自身通知系统，将毫无戒心的用户诱导至欺诈网
阅读全文恶意LiteLLM版本与TeamPCP供应链攻击相关联
威胁组织TeamPCP疑似通过Trivy CI/CD漏洞入侵了LiteLLM的1.82.7和1.82.8版本。LiteLLM作为月下载量超9500万次的工具，可帮助开发者通过单一API路由大语言模型请
阅读全文DarkSword漏洞利用工具遭泄露，超2.7亿iPhone面临风险
DarkSword漏洞利用链的泄露使多达2.7亿部iPhone面临风险，攻击者可通过Safari浏览器在用户无感知且无需交互的情况下窃取数据。研究人员表示该漏洞利用工具自2025年底就已活跃。全球iP
阅读全文全球顶流“龙虾OpenClaw”席卷而来，国内40+安全厂商集体打出“安全牌”
🦞当“数字员工”开始操作你的电脑，谁来为它的行为负责？如果你还没听说过OpenClaw（中文昵称“龙虾AI”），那你可能已经错过了技术圈今年最火爆的话题。这个被誉为“真正能做事的AI”的开源智能体框架
阅读全文Anthropic为Claude Code解锁自动模式，AI可自主选择操作权限
Part01AI自主化趋势Anthropic PBC正在为其广受欢迎的人工智能编码工具Claude Code解除限制，推出名为"自动模式"的新功能，允许AI自主决定可使用哪些操作权限。这一发布加速了A
阅读全文首份Gartner守护型Agent市场指南的五大核心洞见
2026年2月25日，Gartner发布首份《守护型Agent市场指南》，标志着这一新兴领域的重要里程碑。该指南将守护型Agent定义为"监督AI Agent的系统，确保其行为符合目标与边界"。企业安
阅读全文全球逾51.1万台停止更新的微软IIS服务器暴露在互联网上
Part01过时系统构成重大攻击面2026年3月23日，Shadowserver基金会在例行网络扫描中发现超过51.1万台已终止支持（EOL）的微软Internet Information Servi
阅读全文XDR+威胁情报10天精准猎杀朝鲜IT冒牌员工
朝鲜IT冒牌员工计划已成为跨行业重大威胁。尽管最佳实践强调招聘阶段的防范措施，但一旦这类人员入职，往往难以察觉。近期案例证明，行为分析、威胁情报等多维度信息融合正成为关键防御手段。LevelBlue
阅读全文谷歌云发布AI驱动安全战略：整合Wiz技术并升级威胁情报能力
谷歌云今日宣布大幅扩展其网络安全产品组合，核心聚焦于AI驱动安全（agentic AI）与深度威胁情报整合。在旧金山举行的RSAC大会上，谷歌展示了这套旨在以机器速度应对日益自动化、复杂化网络威胁的统
阅读全文30美元IP-KVM设备漏洞可让攻击者获得企业网络BIOS级控制权
Part01漏洞概述研究人员近期安全评估发现，四款主流低价IP-KVM设备存在九个高危漏洞。Eclypsium披露的这些漏洞可使攻击者获得对连接系统的完整BIOS级控制权，完全绕过操作系统安全控制及终
阅读全文LAPSUS$黑客组织宣称窃取阿斯利康核心数据，含源代码与云配置
臭名昭著的黑客组织 LAPSUS$ 近日再度现身，宣称对跨国制药与生物技术公司阿斯利康（AstraZeneca）的重大数据泄露事件负责。目前，该威胁组织正试图出售一个 3GB 的压缩内部数据包，此举可
阅读全文AI 重塑代码安全，Gitee CodePecker 新品发布会预约开启
全球 AST（应用安全测试）市场持续扩张，中国增速领跑全球，代码安全技术正处于关键转折点。传统 SAST 工具依赖人工编写的静态规则，对业务逻辑层面的漏洞几乎无能为力；纯 LLM 审计方案虽具备语义理
阅读全文AI Agent运行安全亟待监控，防护体系建设成核心挑战
AI Agent 已悄然进驻企业网络，接手员工的部分工作——编写代码、起草邮件、检索文件、连接内部系统。但有时它们也会酿成重大失误。Meta曾有员工让AI助手管理收件箱，结果遭其清空所有邮件；亚马逊某
阅读全文SCW Trust Agent：让AI代码贡献“有迹可循”，实现软件风险可量化控制
Secure Code Warrior公司近日发布了SCW Trust Agent: AI治理解决方案，该方案旨在提交代码时可视化、可归因且可强制执行AI对软件开发的影响，使企业能够在使用AI编码工具
阅读全文RSAC 2026前瞻：当AI热潮遭遇安全运营
Part01AI应用现状普及度高但深度不足本周在旧金山举行的RSAC 2026网络安全大会将成为一场以人工智能为主题的盛会。尽管"AI将改变一切"的论调不绝于耳，但现实情况是：安全主管们正被要求在控制
阅读全文开源漏扫工具Trivy遭供应链攻击植入恶意软件
近日，攻击者已入侵广受欢迎的开源漏洞扫描工具Trivy，在官方版本及数千个CI/CD工作流使用的GitHub Actions中植入了凭证窃取恶意软件。若受影响项目和组织未立即轮换密钥，此次入侵可能引发
阅读全文AI驱动的渗透测试工具Apex，以黑盒模式攻击应用程序发现漏洞
Part01AI渗透测试Agent ApexApex是一款自主运行的AI驱动渗透测试Agent，专为针对实时应用程序的黑盒测试模式设计。该工具无需访问源代码、提示或预定义的攻击路径，就能以现代软件开发
阅读全文