34万星系统破防！360漏洞挖掘智能体揪出OpenClaw新高危漏洞
近日，360数字安全集团依托自主研发的360多智能体协同漏洞挖掘系统（简称：360漏洞挖掘智能体），在GitHub斩获34万星的OpenClaw平台中成功发现一处高危漏洞——MEDIA协议Prompt
阅读全文俄APT组织利用DarkSword漏洞工具包针对iPhone用户发起钓鱼攻击
Part01攻击活动技术分析与俄罗斯有关联的APT组织TA446（又名SEABORGIUM、ColdRiver、Callisto和Star Blizzard）正在针对iOS设备发起鱼叉式钓鱼攻击，使用
阅读全文Jira Work Management存储型XSS漏洞可导致组织完全沦陷
Atlassian 生态系统中这款流行的协作工具被企业广泛用于项目跟踪、审批管理和日常任务处理。近期，Snapsec 安全研究人员在该平台发现了一个严重的存储型跨站脚本（XSS）漏洞。研究团队通过利用
阅读全文AI Agent颠覆传统安全模型，受控即跳过杀伤链直接攻击
2025年9月，Anthropic披露某国家背景的威胁组织利用AI编程Agent对30个全球目标实施自主网络间谍活动。该AI独立完成80-90%的战术操作，包括侦察、编写漏洞利用代码以及以机器速度尝试
阅读全文伊朗黑客组织入侵FBI局长邮箱，并对史赛克发动数据擦除攻击
与伊朗有关联的黑客组织成功入侵美国联邦调查局（FBI）局长Kash Patel的个人邮箱账户，并将大量照片和其他文件泄露至互联网。实施此次入侵的Handala Hack Team在其网站上宣称，Pat
阅读全文Langflow关键RCE漏洞曝光即遭利用，CISA紧急敦促企业修复
Langflow近期爆出关键远程代码执行（RCE）漏洞 CVE-2026-33017 ，漏洞披露后数小时内就遭到攻击者利用。因此，美国网络安全和基础设施安全局（CISA）紧急将其正式标记为需立刻修复的
阅读全文AI正颠覆传统企业安全工作模式
Part01当AI将运营假设转化为压力会发生什么传统企业安全运营模型遵循固定周期：通过定期扫描发现问题，安全团队对结果进行分类，再通过工单流程进行修复。这种近乎标准操作流程的模式虽然存在责任机制，但往
阅读全文CISA警告F5 BIG-IP漏洞正遭攻击者积极利用
美国网络安全和基础设施安全局（CISA）已将新披露的F5 BIG-IP系统漏洞纳入其已知已利用漏洞（KEV）目录，警告该漏洞正在真实攻击中被积极利用。该漏洞编号为CVE-2025-53521，于202
阅读全文Anthropic泄露新一代Claude Mythos模型，网络安全市场再遭冲击
Part01配置错误曝光新模型Anthropic PBC 内容管理系统的一处配置错误意外泄露了其正在测试的新型大语言模型 Claude Mythos。该公司周四向《财富》杂志证实，工程师已完成该模型的
阅读全文Coruna漏洞工具包升级攻击框架，威胁数百万未打补丁的iOS设备
卡巴斯基研究人员发现，Coruna iOS漏洞利用工具包使用了2023年Triangulation行动中相同内核漏洞的更新版本。虽然早期证据未能明确关联两者，但代码相似性现在暗示了它们之间可能存在联系
阅读全文ClawHub漏洞可致恶意skill登顶；Claude Code允许AI自主选择操作权限 | FreeBuf周报
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🧑🔧ClawHub漏洞使攻击者可操纵排名使恶意skills登顶🤖
阅读全文OpenAI重金悬赏AI滥用漏洞，50%复现即算有效
OpenAI宣布启动一项公共安全漏洞赏金计划（Safety Bug Bounty），旨在识别其产品中存在的AI滥用行为和安全风险。该计划托管于Bugcrowd平台，标志着该公司在应对传统安全漏洞范畴之
阅读全文Claude浏览器扩展漏洞允许通过任意网站实现零点击XSS提示注入
网络安全研究人员披露了Anthropic公司Claude谷歌浏览器扩展中存在的一个漏洞，攻击者只需诱使用户访问特定网页即可触发恶意提示注入。Part01漏洞原理分析Koi Security研究员Ore
阅读全文新型开源供应链攻击，虚假npm安装日志暗藏RAT木马
Part01攻击概述安全研究人员发现一场精心策划的新型软件供应链攻击正通过 npm 包注册表针对开发者，攻击者利用虚假安装日志掩盖恶意活动。这项被命名为"幽灵行动"（Ghost campaign）的攻
阅读全文思科安全防火墙漏洞可导致攻击者以root权限远程执行代码
思科发布紧急安全公告，披露其安全防火墙管理中心（Secure Firewall Management Center，FMC）软件存在一个高危漏洞。该严重漏洞允许未经身份验证的远程攻击者以完整 root
阅读全文ClawHub漏洞可操纵排名，恶意skill登顶引发供应链攻击
Part01漏洞概述安全研究团队在OpenClaw智能体生态系统的公共skills注册平台ClawHub中发现了一个关键漏洞。该漏洞允许攻击者人为虚增恶意skills的下载量，从而绕过安全检查并操纵搜
阅读全文黑客伪造OpenClaw代币赠礼，GitHub开发者钱包遭清空
参与OpenClaw项目的软件开发人员正成为一场旨在清空其数字钱包的危险钓鱼活动的最新目标。安全研究公司OX Security最新发现，攻击者利用GitHub自身通知系统，将毫无戒心的用户诱导至欺诈网
阅读全文恶意LiteLLM版本与TeamPCP供应链攻击相关联
威胁组织TeamPCP疑似通过Trivy CI/CD漏洞入侵了LiteLLM的1.82.7和1.82.8版本。LiteLLM作为月下载量超9500万次的工具，可帮助开发者通过单一API路由大语言模型请
阅读全文DarkSword漏洞利用工具遭泄露，超2.7亿iPhone面临风险
DarkSword漏洞利用链的泄露使多达2.7亿部iPhone面临风险，攻击者可通过Safari浏览器在用户无感知且无需交互的情况下窃取数据。研究人员表示该漏洞利用工具自2025年底就已活跃。全球iP
阅读全文全球顶流“龙虾OpenClaw”席卷而来，国内40+安全厂商集体打出“安全牌”
🦞当“数字员工”开始操作你的电脑，谁来为它的行为负责？如果你还没听说过OpenClaw（中文昵称“龙虾AI”），那你可能已经错过了技术圈今年最火爆的话题。这个被誉为“真正能做事的AI”的开源智能体框架
阅读全文Anthropic为Claude Code解锁自动模式，AI可自主选择操作权限
Part01AI自主化趋势Anthropic PBC正在为其广受欢迎的人工智能编码工具Claude Code解除限制，推出名为"自动模式"的新功能，允许AI自主决定可使用哪些操作权限。这一发布加速了A
阅读全文首份Gartner守护型Agent市场指南的五大核心洞见
2026年2月25日，Gartner发布首份《守护型Agent市场指南》，标志着这一新兴领域的重要里程碑。该指南将守护型Agent定义为"监督AI Agent的系统，确保其行为符合目标与边界"。企业安
阅读全文全球逾51.1万台停止更新的微软IIS服务器暴露在互联网上
Part01过时系统构成重大攻击面2026年3月23日，Shadowserver基金会在例行网络扫描中发现超过51.1万台已终止支持（EOL）的微软Internet Information Servi
阅读全文XDR+威胁情报10天精准猎杀朝鲜IT冒牌员工
朝鲜IT冒牌员工计划已成为跨行业重大威胁。尽管最佳实践强调招聘阶段的防范措施，但一旦这类人员入职，往往难以察觉。近期案例证明，行为分析、威胁情报等多维度信息融合正成为关键防御手段。LevelBlue
阅读全文谷歌云发布AI驱动安全战略：整合Wiz技术并升级威胁情报能力
谷歌云今日宣布大幅扩展其网络安全产品组合，核心聚焦于AI驱动安全（agentic AI）与深度威胁情报整合。在旧金山举行的RSAC大会上，谷歌展示了这套旨在以机器速度应对日益自动化、复杂化网络威胁的统
阅读全文30美元IP-KVM设备漏洞可让攻击者获得企业网络BIOS级控制权
Part01漏洞概述研究人员近期安全评估发现，四款主流低价IP-KVM设备存在九个高危漏洞。Eclypsium披露的这些漏洞可使攻击者获得对连接系统的完整BIOS级控制权，完全绕过操作系统安全控制及终
阅读全文LAPSUS$黑客组织宣称窃取阿斯利康核心数据，含源代码与云配置
臭名昭著的黑客组织 LAPSUS$ 近日再度现身，宣称对跨国制药与生物技术公司阿斯利康（AstraZeneca）的重大数据泄露事件负责。目前，该威胁组织正试图出售一个 3GB 的压缩内部数据包，此举可
阅读全文