【安全圈】开源AI中转站现高危漏洞 利用缺陷可以伪造任意金额充值

关键词漏洞经营 API 中转站业务的站长请注意：New-API 项目日前出现高危漏洞，借助漏洞可以伪造任意金额充值，使用该项目搭建的 API 中转站应当立即升级到最新版。新版本已经调整 Stripe

当AI学会使用工具：Agentic AI与MCP生态的七大安全风险

当AI学会使用工具：Agentic AI与MCP生态的七大安全风险原创 · 比特波特 · 2026-04-16核心要点Agentic AI 和 MCP 协议正在构建一个全新的技能生态体系，AI 可以调

阿里Qwen被曝将推网络安全版本，安全大模型竞争开始提速

4月17日，星期五，您好！中科汇能与您分享信息安全快讯：01Splunk曝远程代码执行漏洞，日志平台也可能反过来变成攻击入口Splunk近日披露，Enterprise和Cloud Platform多个

某APP的一次渗透

文章转自掌控安全EDU一、前言 最近项目上遇到很多关于渗透测试的资产为App相关的，所以这篇文章主要讲一下App挖掘思路和测试方式，下面的案例均为一两年前在项目上的真实漏洞案例，当然肯定还有其他

25类常见网络安全设备集合：防火墙、EDR、堡垒机、UTM、NGFW、NIDS、HIDS、IPS、IDS、安全网关、蜜罐

当前，企业业务越来越依赖网络：从员工远程办公的 VPN 连接，到客户访问 Web 应用的流量交互，再到核心数据库的日常运维，每一个环节都可能成为网络攻击的突破口。据《2024 年全球网络安全报告》显

每周高级威胁情报解读(2026.04.10~04.16)

2026.04.10~04.16攻击团伙情报APT37 通过 Facebook 发起的有针对性入侵活动APT35组织在“史诗之怒”冲突前对目标进行系统性网络侦察Storm-2755 针对加拿大雇员进行

容易被忽视的越权

容易被忽视的越权正文有问题的接口POST /graphql HTTP/2Host: hackerone.comCookie: yourcookieUser-Agent: Mozilla/5.0 (Wi

Codex Security代码审计初体验

昨天申请并通过了OpenAI的个人认证，加上前段时间以开源贡献者的身份申请了OpenAI和Anthropic的赞助，分别获取了两家的max会员半年，我会写几篇文章，分别分享一下Codex Securi

2026年第一季度疑似伊朗背景的APT组织攻击事件综合分析

2026年第一季度，疑似伊朗背景的APT组织攻击活动呈现多元化、协同化态势，共监测到7个主要活跃组织，分别为MuddyWater（Seedworm）、APT35（Charming Kitten）、AP

重磅！填补威胁信息评价标准空白，安恒信息核心主笔起草国家标准征求意见稿发布

当网络攻击成为常态，威胁信息的质量直接决定了防御的成败。然而长期以来，我国网络安全领域始终缺乏一把衡量威胁信息价值的统一标尺。如今，这一空白正被填补。2026年4月9日，全国网络安全标准化技术委员会（

安恒信息护航四川省卫生健康行业网络安全技能大赛，实战淬炼医疗数字防线

4.10第四届四川省卫生健康行业网络安全技能大赛2026年4月10日，第四届四川省卫生健康行业网络安全技能大赛在中国电信股份有限公司成都分公司圆满落幕。本次大赛由四川省卫生健康委员会主办，四川省卫生健

记一次某事业单位的二杀

课程培训 扫码咨询专注于SRC漏洞挖掘、红蓝对抗、渗透测试、代码审计JS逆向，CNVD和EDUSRC漏洞挖掘，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具

网络安全设计的防御性大模型GPT -5.4-Cybe发布

OpenAI于2026年4月正式发布了专为网络安全设计的防御性大模型——GPT -5.4-Cyber 。这是OpenAI针对紧迫复杂的网络威胁环境，以及应对竞争对手Anthropic推出的神话模型而做

伊朗中部伊斯法罕省遭袭期间，该国境内大量美国制造的通信设备突然失灵、操作系统崩溃

这不仅是一次单纯的设备故障，更揭示了现代冲突中一个令人不安的新范式：一个国家关键基础设施的“神经中枢”，是如何在物理攻击的同时，被预设的“数字开关”精准切断的。🔍 事件概要与关键疑点根据新华社援引伊朗

威胁警报：云原生网络犯罪组织 TeamPCP

导语：近日，安全研究团队披露了一个名为 TeamPCP（又称 PCPcat、ShellForce、DeadCatx3）的新型网络威胁组织。该组织于2025年12月发起大规模攻击活动，以云原生环境为目标

开箱即用！Chrome渗透神器「功能全拉满」

还在为渗透测试装一堆插件来回切换吗？HackBar、信息收集、指纹识别、XSS、SQL注入、JS审计、Shodan查询……今天给大家推荐一款全能型渗透浏览器插件：黄油曲奇。一个插件 = 一整套渗透工具

Windows Defender LPE 0day 漏洞

RedSun - Windows Defender LPE 0day 漏洞：当 Windows Defender 检测到恶意文件带有云端检测标签时，它可能会将检测到的文件重写回其原始位置，而不仅仅是将

暗网线人消息：如果属实，那将是件大事

如果属实，那将是件大事。黑客组织 RubiconH4ck 声称正在出售 281GB 的美国国家安全局数据，其中包括文档数据和敏感成员信息。

开除速度一定要快！

1v1论文指导！985/211专业对口导师手把手指导至录用！SCI/SSCI/EI/中文核心/毕业论文

先写大论文，还是先发小论文？这是很多研究生和博士生在进入学校之后最先遇到、也最容易纠结的选择题。大论文定下限，小论文定上限。有下限没上限，找工作难；有上限没下限，毕不了业。那么大论文和小论文，怎么选才

综合实战演练（下）——攻击实施与结果分析

一、前言概述本课将继续综合实战演练，包括攻击实施、EDR反应分析、攻击痕迹清理和实验报告撰写，通过实践，将能够理解攻击与防御的对抗关系。二、相关内容2.1 攻击实施与监控2.1.1 部署恶意文件步骤1

Zero-Day的隐性经济体系｜THE COI

01关于第一产业第一类：Zero-Day（第一产业）参照经济体系结构中的定义，第一类对象对应的第一产业特指原始世界的资源，如物理世界中的煤矿或石油。在网络安全产业中，本报告所称“第一类：Zero-Da

网络安全产业观察框架｜THE COI

01框架设想网络安全并非一个单一技术领域，而是一个由资源、技术、机构、需求与制度共同构成的复杂生态系统。随着网络安全能力在全球范围内被持续生产、交易、部署与治理，这一领域已逐渐演化为一个具备清晰分工、

重新理解网络安全第二产业｜THE COI

01关于第二产业第二类：科技制造与价值交付（第二产业）在网络安全产业中，第二类对象对应第二产业，特指将科技能力产品化、工具化、服务化或金融化，并以商业形式交付给最终使用者的产业体系。产业生态不仅涵盖科

网络安全第三方产业参考框架｜THE COI

01关于第三产业第三类：第三方机构（第三产业）本报告所称“第三方机构”，是指那些不直接提供产品或服务，但通过制度化机制有明确态度地输出知识、判断和意见，并形成可被市场采纳、引用和作用于商业决策的结果，

唯一双认可！天融信两款产品首批获信通院OpenClaw类智能体安全权威评估

唯一双认可近日，中国信息通信研究院持续发布OpenClaw类智能体安全防护产品能力评估结果，天融信API安全审计系统和大模型脆弱性扫描与管理系统（大模型漏扫）双双通过测评，天融信也成为网络安全厂商中唯

Openclaw的应用（九）：迁移到Hermes

1、安装/升级命令curl -fsSL https://raw.githubusercontent.com/NousResearch/hermes-agent/main/scripts/install

别只盯着提示词注入，你的系统还有这些漏洞

OWASP出了一份162页的中文安全指南《OWASP AI Exchange》，把攻击面拆成了开发、使用、运行三个阶段。大部分团队只防了提示词注入，但窗户还全开着。AI安全的攻击面，比你以为的大得多大

美国第二大加密货币交易所Kraken 因内部访问事件面临勒索：人为因素威胁的典型案例

摘要2026年4月，美国第二大加密货币交易所Kraken公开承认正遭受犯罪团伙的敲诈勒索，攻击者以泄露包含客户数据的内部系统视频为要挟。本文以这一事件为切入点，系统梳理Kraken在2025年至202

威努特云桌面：破解制造运维难题，筑牢数据安全屏障

背景介绍随着工业4.0深入推进、智能制造需求持续升级，制造企业现有 IT 基础设施正面临严峻挑战。一方面，跨地域协同设计、生产数据实时分析等新型业务场景对计算资源的灵活性和响应速度提出更高要求；另一方