SecWiki周刊（第634期）
本期关键字：AI Agent、渗透测试、智能体安全、大模型、知识工程、Webshell、水坑攻击、DDoS、网络安全图谱、具身智能。2026/04/20-2026/04/26安全技术[Web安全] A
阅读全文幽灵比特告诉你，为什么有了WAF你还需要RASP ？
2026 年 4 月，Black Hat Asia。安全研究员 Zhihui Chen 与 Xinyu Bai 在台上演示了一个让全场寂静的攻击场景：一个看似无害的 Unicode 字符串「爻」(U+
阅读全文利用任意物理读写驱动来加载自己的驱动
早期许多漏洞驱动未对MmMapIoSpace施加严格的用户态访问限制，导致攻击者可借此读写物理内存（如利用 PFN 页表可直接将物理内存转换为虚拟内存）。为此，Windows 后续封堵了这一利用路径，
阅读全文单个Git Push就能攻陷GitHub？CVE-2026-3854高危漏洞曝光
2026年3月4日，Wiz安全研究团队向GitHub提交了一份震撼的漏洞报告——一个编号为CVE-2026-3854的严重命令注入漏洞，让攻击者只需执行一次简单的git push操作，就能在GitHu
阅读全文月薪3W定向培养！看雪安卓高级研修班『2026春季班』火热招生中
有问必答，知无不言，言无不尽，用心服务！更有职业推介服务，全方位简历指导/服务就业！1、开学大礼包现在购课，开学礼包升级3W班高研网课开学大礼包：orange pi 5 3588S 云手机套装*包含香
阅读全文SHA与SM3哈希算法对比
点击上方蓝字谈思实验室获取更多汽车网络安全资讯01SHA注意，安全强度不是单独指哈希函数的安全强度，而是对应功能要实现对应强度所采用的哈希函数；大致步骤：一个数据包会划分为n个512bit的数据块，不
阅读全文首位演讲嘉宾公布！中国船舶科学研究中心上海分部（绿色技术）主任确认出席Green Ship APAC 2026
点击上方蓝字谈思实验室获取更多汽车网络安全资讯当全球航运业站在净零排放的历史关口，绿色船舶，已从“未来趋势”变为“当下选择”。国际海事组织（IMO）明确提出2050年前后实现净零排放，欧盟将航运业纳入
阅读全文绿盟云原生靶场：体系化教学，让客户安全人才培养更高效
// 随着云原生、容器化技术在企业广泛落地，业务架构与安全风险发生根本性变化，传统靶场已无法覆盖容器、K8s、微服务等新型攻击场景，企业亟需贴近真实业务的云原生攻防演练环境，支撑教学实训、安全人
阅读全文Claude Mythos Preview 模型能力解析：大模型攻防实测与企业应对建议
本文为绿盟科技针对 AI 威胁的安全研究报告，聚焦 Anthropic 发布的 Claude Mythos Preview 模型。该模型具备自主 0day 漏洞挖掘与全链路网络攻击能力，性能显著优于同
阅读全文【公益译文】2026年国际AI安全报告（六）
往期推荐：2026年国际AI安全报告（五）3.3.技术保障和监控在AI开发和使用的不同阶段，企业会采用各种技术保障措施，包括在模型开发过程中应用的技术，使系统更加稳健。保障措施大致可分为三类：开发更安
阅读全文Atomic BOFs：BOF 执行的原子化测试框架
原文链接作者https://rastamouse.me/atomic-bofs/crystal-palacetl;dr受 Red Canary 的 Atomic Red Team 启发，'Atomic
阅读全文DSCourier：通过 WinGet COM API 武器化 DSC 实现 EDR 规避执行
原文链接作者https://dylansec.com/DSCourier/Dylan Davis & Matthew Schramm简介将 Windows 包管理器 (WinGet) 作为离地攻击二进
阅读全文今日（2026年4月29日）热点网络安全漏洞动态
日期：2026-04-29 威胁等级：High 来源：GitHub · Google Chrome · SecurityOnline一、概要2026年4月28-29日热度显著上升的漏洞包括
阅读全文【免费领】HW护网行动经典面试题总结（含答案）
点击蓝字/关注我们今日福利HW护网经典面试题解析 挑战HW兼职超高日薪之必读宝典覆盖历年HW护网行动面试常考真题限时福利，请及时领取哦 ~该资料内容较多，以下为节选的部分目录：长按识别下方二维码，回复
阅读全文蔓灵花组织使用NUITKA打包的python样本进行投递
APT-C-08 蔓灵花APT-C-08（蔓灵花）组织（亦称 BITTER）是长期活跃于南亚方向、具备较强网络攻击能力的境外 APT 组织，自 2013 年起持续开展高级持续性威胁攻击活动。该组织攻
阅读全文火绒在线 你的节日安全我包了
HUORONG火绒安全成立于2011年，是一家专注、纯粹的安全公司，致力于在终端安全领域为用户提供专业的产品和专注的服务，并持续对外赋能反病毒引擎等相关自主研发技术。多年来，火绒安全产品凭借“专业、干
阅读全文火绒小问答--「个人版」近期top问题解答
尊敬的用户您好！针对部分用户使用PPPoE拨号上网时，开启火绒ARP防护功能后出现断网、无法联网的问题，特此为您说明原因及解决办法：01使用拨号上网时打开火绒的ARP防护检测会导致断网且无法连接由于W
阅读全文诚邀渠道合作伙伴共启新征程
随着业务的不断扩展和市场需求的增长，火绒安全寻求更多优秀的合作伙伴加入我们的行列。我们特别开启了渠道伙伴招募计划，期待与更多志同道合的伙伴一起把握行业趋势，共同开拓市场潜力，携手共创网络安全的美好未来
阅读全文一个人，两个AI，0代码，把墨西哥政府打成筛子
2025年12月的深夜，一名攻击者与两个大模型，仅凭自然语言命令，在不到两个月的时间里，接连突破墨西哥联邦、州、市三级共9个政府机构，窃取数亿公民隐私数据，甚至搭建出可实时查询政府系统的公开接口，伪造
阅读全文安全简讯（2026.04.29）
1. VECT 2.0勒索软件缺陷：大文件被永久销毁4月28日，研究人员警告称，VECT 2.0勒索软件在处理加密随机数的方式上存在严重缺陷，导致较大的文件在加密过程中被永久销毁，而非真正被加密。VE
阅读全文【漏洞通告】LiteLLM Proxy API SQL 注入漏洞(CVE-2026-42208)
一、漏洞概述漏洞名称LiteLLM Proxy API SQL 注入漏洞CVE IDCVE-2026-42208漏洞类型SQL 注入漏洞发现时间2026-4-29漏洞评分9.1漏洞等级严重攻击向量
阅读全文关一个开十个，新售卖平台breachboard上线
因为shinyhunter那些事，很多相关域名在被申请使用，最新发现一个名为 BreachBoard 的新非法论坛上线，目前，它被用于交易被窃取的数据以及宣布近期企业入侵事件，可以加入检测，真假与运营
阅读全文美国网络司令部正在打造自己的人工智能网络战剧本
2026年4月28日，美国网络司令部打算测试并用上目前最强的人工智能模型，不管政治因素，也不看模型是哪个国家做的。这是该司令部首席AI官接受采访时说的。美国网络司令部正在搭建一套基础设施，能让不同厂商
阅读全文每日安全动态推送(26/4/29)
• 史上最大规模的ECC攻击，赢得1个比特币 - 安全内参 | 决策者的网络安全知识库https://www.secrss.com/articles/89793本文核心亮点在于独立研究员 Gianc
阅读全文上海隧道新加坡公司发生数据泄露，甲方暂停数字系统访问权限
关注我们带你读懂网络安全上海隧道新加坡公司发生数据泄露，其承包的地铁站、新生水厂建设项目相关数据泄露，目前尚未发现被公开；地铁站/水厂的主管部门回应称，已暂停该公司对项目相关数字系统的访问权限。前情回
阅读全文美国空军部发布人工智能和数据战略以加速提升军事优势
编者按：美国空军部4月20日发布《美国空军部人工智能战略》和《美国空军部数据战略》，明确将数据和人工智能从“辅助功能”提升为“战略优势的基础”，旨在确保美空军部在复杂安全环境下保持敏捷并领先于不断演变
阅读全文CVE-2024-38812 深度分析：从堆风水到远程代码执行
VMware vCenter Server DCERPC 堆溢出漏洞完整利用过程整整三天，心态崩了无数次，又重拾信心再来。WEB安服仔对二进制的第一次尝试，冲！一、漏洞背景2024年，VMware v
阅读全文视频服务 Vimeo 确认 Anodot 泄露事件导致用户数据暴露
高危漏洞 紧急修复指南 RCE Patch Vimeo 近日披露，在数据分析异常检测公司 Anodot 近期遭遇泄露事件后，部分 Vimeo 客户和用户的数据被未经授权访问。推测e该视频平台表示
阅读全文AI靶场安全实战系列：训练数据投毒——利用标签翻转实现内容审核定向漏判
摘要：上一篇《RAG知识源投毒——利用PDF隐藏文字劫持AI客服》展示了攻击者如何通过污染知识库来劫持AI输出。本文延续对AI供应链安全的探讨，聚焦于另一种隐蔽的训练数据投毒攻击——标签翻转。随着AI
阅读全文