新型零点击攻击，通过主流AI Agent利用MCP静默窃取数据
一种名为"Shadow Escape"的新型零点击攻击利用模型上下文协议（MCP），通过ChatGPT、Claude和Gemini等流行AI Agent静默窃取敏感数据。Operant公司发现的这一漏
阅读全文60多国签署《联合国打击网络犯罪公约》
全球首部旨在预防和打击网络犯罪的国际公约《联合国打击网络犯罪公约》近日在越南河内开放签署，并将在纽约联合国总部持续接受签署至2026年12月31日。《联合国打击网络犯罪公约》于2024年12月经联合国
阅读全文腾讯云、腾讯研究院、Gartner联合发布《企业级智能体产业落地研究报告》，筑牢智能体应用安全基座「附下载链接」
近日，腾讯云、腾讯研究院联合国际权威研究机构Gartner，共同发布《企业级智能体产业落地研究报告》。报告系统提出智能体落地场景评估方法、深入剖析落地挑战，并结合腾讯云安全的核心能力，为企业构建“高可
阅读全文OpenAI Atlas浏览器漏洞允许向ChatGPT注入恶意代码
OpenAI新推出的ChatGPT Atlas浏览器存在严重漏洞，攻击者可借此向ChatGPT内存注入恶意指令，并在用户系统上执行远程代码。Part01漏洞概况网络安全公司LayerX发现，该漏洞利用
阅读全文Apache Tomcat曝三大安全漏洞，最严重可致远程代码执行
Apache软件基金会已发布多个安全补丁，修复影响Tomcat 9、10和11版本的三个新披露漏洞——CVE-2025-55752、CVE-2025-55754和CVE-2025-61795。其中最严
阅读全文微软Copilot被用于窃取OAuth令牌，AI Agent成为攻击者帮凶
一种名为CoPhish的复杂钓鱼技术正利用Microsoft Copilot Studio诱骗用户授予攻击者对其Microsoft Entra ID账户的未授权访问权限。Datadog安全实验室披露，
阅读全文阿里云安全携手月之暗面共筑AI基础设施“免疫系统”
有人在用AI重塑生产力，也有人在用AI破解安全防线。当算力成为“新石油”，GPU成为“兵家必争”，一场围绕AI基础设施的攻防战，正从底层资源蔓延至模型心智。在本期《安全记》栏目中，阿里云智能集团云安全
阅读全文朝鲜攻击者组织Lazarus针对无人机行业发起窃密攻击
朝鲜国家背景的黑客组织Lazarus（APT38）近期发起代号"DreamJob"的网络间谍行动，专门针对欧洲无人机技术研发企业。自2025年3月下旬起，攻击者已成功入侵中欧和东南欧地区三家国防相关机
阅读全文Pwn2Own大赛：黑客利用73个0Day漏洞斩获102万美元奖金
近日，Pwn2Own爱尔兰站2025赛事圆满落幕。研究人员通过在不同设备中发现73个独特的0Day漏洞展现了他们的技术实力。本次由Zero Day Initiative（ZDI）主办的比赛共发放高达1
阅读全文OpenAI首款AI浏览器Atlas上线仅一周即被恶意提示词攻破
Part01漏洞机制解析OpenAI新推出的ChatGPT Atlas浏览器旨在融合AI助手与网页导航功能，但目前存在严重安全缺陷：攻击者可将恶意指令伪装成无害URL实现系统越狱。该漏洞利用浏览器的多
阅读全文70余万台BIND 9实例受缓存投毒漏洞影响，PoC已公开（CVE-2025-40778）
BIND 9 解析器曝出高危漏洞（CVE-2025-40778），攻击者可利用该漏洞实施缓存投毒攻击，将互联网流量重定向至恶意网站。互联网扫描公司 Censys 发现，全球超过 706,000 个暴露
阅读全文黑客正积极利用Windows Server Update Services远程代码执行漏洞
美国网络安全与基础设施安全局（CISA）向全球组织发出警告，微软Windows Server Update Services（WSUS）中存在一个正被积极利用的关键远程代码执行（RCE）漏洞。该漏洞编
阅读全文AI浪潮下，初级程序员的出路在哪里？
AI敲代码的速度和精度已经远超人类新手，自动化工具不断替代重复劳动。根据行业报告，初级前端、基础测试、部分CRUD后端开发等岗位的需求正在明显收缩。技术迭代本是常态，但这一次的AI浪潮，来得比想象中更
阅读全文FreeBuf周报 | 无印良品因遭勒索攻击暂停线上销售；Linux-PAM漏洞PoC利用代码公开
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！🚢无印良品因物流合作伙伴遭勒索攻击暂停线上销售💻Linux-PAM
阅读全文三星Galaxy S25的0Day漏洞遭利用，可远程操控摄像头并追踪定位
在Pwn2Own Ireland 2025黑客大赛上，Interrupt Labs网络安全研究员Ben R.和Georgi G.通过成功利用三星Galaxy S25中的0Day漏洞，展示了令人瞩目的研
阅读全文赠书福利 | 《云攻击向量：构建有效的网络防御策略》免费送
关注我们丨文末赠书随着企业纷纷将核心业务与数据迁移至云端，云安全这一隐形的“达摩克利斯之剑”也悄然悬于头顶，成为制约企业云战略深入发展的关键因素。云环境的开放性、虚拟化与动态性等特点，也使得云安全面临
阅读全文SquareX揭露新型AI侧边栏欺骗攻击：恶意扩展程序可伪装主流AI浏览器界面
网络安全公司SquareX发布重要研究报告，揭露一类针对AI浏览器的新型攻击手段。这种被称为"AI侧边栏欺骗"的攻击利用恶意浏览器扩展程序，伪装成受信任的AI侧边栏界面，诱使用户执行可能导致凭证窃取、
阅读全文SpaceX 禁用缅甸诈骗中心2500余台Starlink终端设备
SpaceX公司已禁用2500多台与缅甸臭名昭著的诈骗中心相关联的Starlink卫星互联网终端设备。在全球日益关注东南亚地区网络诈骗的背景下，此举彰显了该公司防止技术被滥用的决心。Part01主动打
阅读全文Rust异步TAR库TARmageddon高危漏洞可致远程代码执行
使用Rust编程语言开发项目的开发者，以及运行环境中部署Rust应用程序的IT负责人，需要警惕该编程语言某个库中发现的严重漏洞。Edera安全研究人员表示，他们在流行的Rust库_async-tar_
阅读全文自主AI攻击与网络安全的未来；CISO的十大职业陷阱 | 2025网安行业优质播客精选集⑪
01 自主AI攻击与网络安全的未来攻防天平或将彻底倾斜本期节目：自主AI 正在深刻改变网络安全格局，其攻击能力已实现从扫描到渗透的全流程自动化，且速度和规模远超人类黑客，同时大幅降低攻击门槛；防御方面
阅读全文主流AI Agent存在关键参数注入漏洞，攻击者可实现远程代码执行
三家未公开名称的热门AI Agent平台存在关键参数注入漏洞，攻击者可通过看似无害的提示绕过人工审批防护机制，实现远程代码执行（RCE）。Trail of Bits指出，这些漏洞利用了为提升文件搜索和
阅读全文GitLab 多安全漏洞可致攻击者触发拒绝服务状态
GitLab 已紧急发布社区版（CE）和企业版（EE）的 18.5.1、18.4.3 和 18.3.5 补丁版本，修复多个关键安全漏洞，其中包括数个高危拒绝服务（DoS）漏洞。这些更新修复了允许特制负
阅读全文DudeSuite进阶版：从漏洞验证到抓包重放，让渗透测试更顺畅
很多好用的安全工具，都是先在圈子里被默默认可——DudeSuite 就是其中之一。它以“轻量一体化的单兵渗透利器”在同行间口口相传，集合了重放与爆破、漏洞验证、端口扫描、流量劫持与远程管理等常用功能，
阅读全文无印良品因物流合作伙伴遭勒索攻击暂停线上销售
物流合作商Askul遭勒索攻击导致无印良品暂停线上销售，订单处理、应用服务和网站访问均受影响。日本零售巨头无印良品（Muji）在其物流合作伙伴Askul遭受勒索软件攻击后，暂停了线上销售业务。此次网络
阅读全文TP-Link Omada网关曝高危漏洞，无需认证即可远程执行命令
TP-Link Systems 已发布新版固件，修复其广受欢迎的 Omada 网关系列产品中四个高危漏洞，这些产品包括 ER605、ER7206、ER8411 等在企业和小型商业网络中广泛部署的型号。
阅读全文Microsoft 365 Copilot提示注入漏洞可导致攻击者窃取敏感数据
研究人员发现Microsoft 365 Copilot（M365 Copilot）存在一项复杂漏洞，攻击者可通过间接提示注入攻击窃取租户敏感数据，包括近期电子邮件内容。Part01漏洞利用机制分析该漏
阅读全文从“策略对抗”到“模型对抗”：朴智平台如何重塑金融风控新范式？
当前，金融风控行业正陷入一场与时间赛跑的苦战。随着数字金融的深化发展，欺诈手段正日益隐蔽化、复杂化，当传统风控模型还挣扎在长达1-2个月的迭代周期时，黑产已利用AI技术已将攻击手段的迭代速度提升至“小
阅读全文强推一个永久的攻防演练、渗透攻防知识库
想跳槽面试，翻遍全网找大厂真题，要么是三四年前的旧题，要么零散得凑不成体系，连份能参考的面经都没有；护网演练到关键节点，急需某个漏洞的 POC/EXP，在各个群里 “求资源” 求到半夜，拿到的还是过期
阅读全文AWS服务大规模中断，基础设施故障影响全球企业
Part01全球性服务中断源于AWS基础设施故障亚马逊云服务（AWS）10月20日发生的大规模故障导致全球网站和应用程序出现严重中断，影响范围从美洲延伸至欧洲和亚洲。该公司随后确认问题已得到缓解，多数
阅读全文