FreeBuf

2025-06-16 19:23来自 微博网页版

📢网安人看过来！这里有你不能错过的宝藏平台👇 FreeBuf 作为国内超🔥的网络安全行业门户，不仅是获取前沿资讯的圣地，更是技术爱好者们交流分享的天堂✨～ 💡你是否也在困惑： ✅怎么第一时间 get 最新最全的安全资讯？ ✅社群商城积分如何轻松到手？ ✅想找同频小伙伴交流，有没有粉丝群？ ​

0

5

5

FreeBuf

2026-06-24 15:22来自 微博网页版

【#周鸿祎说中国必须有自己的mythos#】6月24日，在第十四届互联网安全大会（ISC.AI 2026）上，360集团创始人周鸿祎指出，Mythos带来的真正冲击并非”更强的大模型”，而是AI从根本上改写了网络安全行业三十年来的游戏规则：漏洞发现更快、成本更低、攻击能力被规模化复制。 今年4月，美国Anthropic开 ​

0

2

1

FreeBuf

2026-06-24 10:27来自 微博网页版

【Anthropic Mythos可在数小时内攻破美国国安局机密系统】 据报道，在6月11日进行的授权红队评估中，Anthropic旗舰产品Mythos AI模型在数小时内就渗透了美国国家安全局（NSA）几乎所有机密系统。这一事件似乎成为次日美国政府发布广泛出口管制指令的主要原因。 Anthropic对政府的解释提出异议。该公 ​

0

0

2

FreeBuf

2026-06-24 10:24来自 微博网页版

【FreeBuf早报 | OpenAI推出GPT-5.5-Cyber强化版助力安全团队；Claude Mythos Preview发现潜藏29年的"Squidbleed"漏洞】 🕐OpenAI发布GPT-5.5-Cyber强化版，助力漏洞发现与修复，同步升级Codex Security插件并启动"Patch the Planet"计划。AI加速漏洞发现但修复成行业瓶颈，五眼联盟警告AI降低攻击 ​

0

0

1

FreeBuf

2026-06-22 10:26来自 微博网页版

【FreeBuf早报 | 2026年AI推动CVE数量激增至6.6万；高危Chrome漏洞可导致攻击者执行任意代码】 🕐2026年漏洞预测增至6.6万个，AI驱动发现激增但实际风险未变。AI工具和软件扩张推高CVE数量，仅6.5%构成真正威胁。人力验证成瓶颈，防御者需聚焦可利用性分析，保持冷静应对。 🕑谷歌紧急修复Chrome ​

0

0

5

FreeBuf

2026-06-12 09:45来自 微博网页版

【FreeBuf早报 | Claude Fable 5被越狱生成堆栈漏洞利用代码；微软创纪录修复206个漏洞】 🕐Anthropic发布最强AI模型Claude Fable 5，但安全防护被专家Pliny突破，泄露12万字符系统提示词。多Agent攻击和Unicode技巧成功绕过分类器，暴露AI安全与控制矛盾。事件凸显多模型管道安全评估不足。 🕑 ​

1

0

3

FreeBuf

2026-06-11 10:04来自 微博网页版

【FreeBuf早报 | Mythos可在数小时内将N-day漏洞武器化；AI蠕虫可劫持企业网络】 🕐Anthropic研究显示，Mythos Preview能在数小时内利用N-day漏洞开发攻击程序，远超传统速度。测试中，该模型快速生成Firefox和Windows漏洞利用，成本仅数千美元，将威胁响应窗口从"天"缩短至"小时"，凸显N-day漏洞的 ​

3

0

2

FreeBuf

2026-06-03 09:59来自 微博网页版

【FreeBuf早报 | SpaceX工程师借AI发现存在19年的Linux漏洞；黑客利用Meta AI客服劫持Ins账号】 🕐CIFSwitch漏洞：19年Linux内核逻辑缺陷，AI驱动发现，伪造CIFS认证密钥可提权至root，影响主流发行版。利用链含5步逻辑缺陷，需更新内核或禁用CIFS模块防御。AI框架通过语义图快速定位漏洞。 🕑Me ​

2

0

0

FreeBuf

2026-06-01 10:04来自 微博网页版

【FreeBuf早报 | 朝鲜 Kimsuky 部署 HTTPSpy 木马，GDPR 敲定 AI 罚款标准】 🕐朝鲜黑客组织Kimsuky针对韩国军方和企业发动网络攻击，采用定制化社会工程学策略，包括伪造安全软件和Webex会议页面，部署HTTPSpy等恶意软件，并利用VS Code隧道等新技术扩大攻击范围。 🕑GDPR实施八年收缴60%罚款， ​

0

1

0

FreeBuf

2026-05-29 10:48来自 微博网页版

【FreeBuf早报 | Anthropic推Claude Code插件；黑客假ChatGPT/Claude传后门】 🕐Anthropic更新Claude Code，新增实时安全插件，可检测25类高危漏洞并提供修复方案，同时优化性能并放宽配额，提升开发者体验。与SpaceX合作增强算力，强化与GitHub Copilot等工具的竞争力。 🕑恶意软件DinDoor伪装 ​

2

2

5

FreeBuf

2026-05-26 09:53来自 微博网页版

【FreeBuf早报 | Claude Code 等AI编程全自动漏洞赏金框架；黑客兜售海量OnlyFans用户记录】 🕐H-mmer开源Pentest Agent Suite全自动漏洞赏金框架，含50个Agent、26条命令、19个工具，支持7大AI平台。采用三层架构，集成16个赏金平台，具备七问验证机制、持久化跟踪和多平台适配功能，专为安全测试 ​

1

1

2

FreeBuf

2026-05-22 10:03来自 微博网页版

【FreeBuf早报 | 九年Linux内核漏洞可提权root；Claude Code沙箱漏洞暴露凭证与源码】 🕐Linux内核曝出潜伏九年的高危漏洞CVE-2026-46333，可让本地攻击者获取root权限并窃取敏感数据，影响主流发行版。补丁已发布，建议立即更新或临时调整安全参数。同时Arch Linux的PinTheft漏洞PoC也被公开，需警 ​

1

4

6

FreeBuf

2026-05-21 10:13来自 微博网页版

【GitHub 遭入侵：员工设备遭恶意扩展攻击致内部源码仓库泄露】 2026 年 5 月 20 日，GitHub 官方证实遭入侵，起因是员工设备安装恶意 VS Code 扩展，导致内部代码仓库被未授权访问。 调查显示，攻击者窃取约 3800 个内部仓库数据，涉事威胁组织 TeamPCP 已在暗网兜售数据，标价超 5 万美元。目前公 ​

1

1

3

FreeBuf

2026-05-21 10:09来自 微博网页版

【FreeBuf早报 | GitHub证实被入侵；DirtyDecrypt PoC利用代码公开】 🕐GitHub调查内部代码仓库遭未授权访问事件，威胁组织TeamPCP宣称窃取4000个私有仓库数据并高价兜售。GitHub称客户数据暂未受影响，正监控基础设施。攻击者技术可信度高，调查仍在进行中。 🕑高危Linux内核漏洞DirtyDecrypt（ ​

0

2

4

FreeBuf

2026-05-20 10:20来自 微博网页版

【Mythos Preview 实现自动化漏洞研究中 PoC 漏洞利用链构建】 🕐近日，Anthropic 安全 AI 模型 Mythos Preview 在自动化漏洞研究领域取得进展，可自动构建 PoC 漏洞利用链。 Cloudflare 参与 Anthropic 封闭项目 Glasswing，对 50 多个内部代码库进行测试。结果显示，该模型能将多个低危漏洞组合成 ​

0

0

2

FreeBuf

2026-05-20 10:13来自 微博网页版

【FreeBuf早报 | Claude Mythos Preview 实现自动化漏洞研究突破；黑客正积极利用NGINX高危RCE漏洞发起攻击】 🕐Anthropic的AI模型Mythos Preview实现突破，能串联漏洞生成可验证的PoC利用链，填补漏洞发现与利用间的技术鸿沟。需定制化框架优化结果，但安全防护仍需额外措施，凸显攻防时间窗缩短的 ​

0

0

3

FreeBuf

2026-05-15 10:24来自 微博网页版

【FreeBuf早报 | 谷歌首次发现基于AI的0Day漏洞利用；微软新型安全系统发现Windows漏洞】 🕐谷歌首次发现黑客利用AI开发0Day漏洞，攻击系统管理工具绕过双因素认证，威胁大规模攻击但被及时阻止。 🕑微软推出AI漏洞发现系统MDASH，在Windows组件中发现16个未知漏洞，包括4个高危远程执行漏洞。该 ​

1

0

3

FreeBuf

2026-05-06 14:36来自 微博网页版

【智能攻防元年：渗透测试Agent迎来大考，AI如何从“能打”走向“可控”】🔥 4月25日，第二届腾讯云黑客松智能渗透挑战赛在京落幕。610支战队、1345名极客同台竞技，最终角逐出前十强战队🏆 AI Agent在资产发现、路径规划等环节表现惊艳，头部战队仅用2天几乎“清场”。但能力越强，隐患也越不容 ​

1

1

5

FreeBuf

2026-04-30 09:30来自 微博网页版

【基于Claude Opus 4.6的AI编程Agent在9秒内删除了生产数据库】 🕐由Anthropic公司Claude Opus 4.6驱动的Cursor AI编程Agent通过一次未经授权的API调用，删除了全国性汽车租赁SaaS平台PocketOS的整个生产数据库及所有卷级备份，导致这家初创企业及其客户陷入长达30小时的运营危机。 🕑事件始于该 ​

1

0

2

FreeBuf

2026-04-30 09:30来自 微博网页版

【OpenClaw 多项漏洞可导致策略绕过与主机劫持】 🕐网络安全研究人员近日在 AI Agent 框架 OpenClaw（曾用名 Clawdbot 和 Moltbot）中披露了三个中危漏洞。这些通过 npm 包分发的安全缺陷可导致策略执行绕过、网关配置篡改以及可能引发凭证泄露的主机劫持攻击。 🕑开发团队已发布 OpenClaw 2026. ​

0

0

2

FreeBuf

2026-04-30 09:30来自 微博网页版

【朝鲜黑客通过伪装Excel文件向制药公司投放恶意软件】 🕐朝鲜政府支持的黑客组织Kimsuky近期针对处方药制药企业发起定向攻击，使用名为"White Life Science ERP Specification"的精心伪装恶意文件。攻击者通过伪造Excel文档诱骗员工运行恶意代码，从而悄无声息地获取受害者系统访问权限。此次攻击 ​

1

0

1

FreeBuf

2026-04-30 09:28来自 微博网页版

【FreeBuf早报 | OpenClaw多项漏洞可导致策略绕过与主机劫持；GitHub漏洞可导致远程代码执行】 🕐OpenClaw框架曝出三个中危漏洞，涉及网关配置篡改、策略执行绕过和主机劫持风险，可导致凭证泄露。开发团队已发布2026.4.20版本修复漏洞，建议用户立即升级。这些漏洞凸显AI框架需加强防护提示词注入 ​

0

2

1

FreeBuf

2026-04-29 09:30来自 微博网页版

【Mythos 改写了漏洞发现的游戏规则，但多数团队尚未做好修复准备】 🕐自4月7日发布以来，Anthropic公司的Claude Mythos预览版就主导了安全领域的讨论。早期报道将其描述为一个专注于网络安全领域的强大AI系统，能够大规模识别漏洞，这引发了关于企业如何快速验证、优先级排序和修复其所发现问题的 ​

1

0

1

FreeBuf

2026-04-29 09:30来自 微博网页版

【Windows版Nessus Agent漏洞可导致SYSTEM权限任意代码执行】 🕐Tenable公司Windows版Nessus Agent中新披露的安全漏洞可能允许攻击者以最高系统权限执行恶意代码，这令依赖该广泛部署的漏洞评估平台的企业安全团队高度警惕。 🕑该漏洞使威胁攻击者能够创建Windows连接点（一种文件系统符号链接） ​

0

0

1

FreeBuf

2026-04-29 09:30来自 微博网页版

【ClickFix攻击新变种：利用cmdkey与远程regsvr32替代PowerShell实施载荷投递】 🕐网络安全研究人员发现了一种功能更强的新型ClickFix攻击变种，其运作方式与安全团队此前观察到的版本存在显著差异。攻击者不再依赖PowerShell，转而串联使用Windows原生工具cmdkey和regsvr32，实现在不向磁盘写入任 ​

1

0

1

FreeBuf

2026-04-28 09:30来自 微博网页版

【Gemini CLI 高危漏洞可导致远程代码执行攻击】 🕐谷歌已修复 Gemini CLI 中的一个高危安全漏洞，该漏洞可能允许攻击者在某些自动化工作流中执行远程代码。该问题影响 npm 软件包 @google/gemini-cli 和 google-github-actions/run-gemini-cli GitHub Action，尤其当它们用于 CI/CD 流水线等无头环 ​

2

0

2

FreeBuf

2026-04-28 09:28来自 微博网页版

【pentest-ai-agents：28个Claude Code子Agent助力渗透测试】 🕐一款名为pentest-ai-agents的全新开源工具包正在重新定义安全专业人员如何在渗透测试工作流程中利用AI技术。 🕑该工具将Anthropic公司的Claude Code转变为完全专业化的攻防安全研究助手，通过28个特定领域子Agent实现功能。 ​

7

0

17

FreeBuf

2026-04-28 09:26来自 微博网页版

【具备破坏能力的fast16恶意软件正针对超高价值目标发起攻击】 🕐fast16是一种近期曝光的具备破坏能力的恶意软件，专门针对极高价值环境和超昂贵系统进行精准攻击。与旨在广泛传播的普通恶意软件不同，fast16专注于挑选那些可能因系统中断或长期控制而造成严重运营和财务损失的特定目标。 🕑该攻 ​

2

1

1

FreeBuf

2026-04-28 09:24来自 微博网页版

【FreeBuf早报 |OpenAI重金悬赏GPT-5.5生物漏洞；黑客利用Telegram机器人追踪React2Shell漏洞利用】 🕐OpenAI推出GPT-5.5生物漏洞赏金计划，邀请专家测试通用越狱提示词能否突破生物安全防护，成功者可获奖励，旨在强化AI系统安全并防范生物滥用风险。测试期2026年4-7月，参与者需签署保密协议。 ​

0

0

1

FreeBuf

2026-04-27 10:08来自 微博网页版

【GPT-5.5生物漏洞赏金计划强化高级AI安全防护】 🕐OpenAI宣布针对GPT-5.5推出新的生物漏洞赏金计划，旨在加强高级AI系统的安全控制并防范生物学领域的滥用风险。该计划邀请合格研究人员测试GPT-5.5是否可能通过通用越狱方式绕过生物安全防护。 🕑该计划聚焦单一挑战：参与者需找出一个"通用越狱 ​

0

0

1

FreeBuf

2026-04-27 10:07来自 微博网页版

【间接提示注入攻击正悄然蔓延至真实网络环境】 🕐开放网络正逐渐被针对大语言模型（LLM）驱动AI Agent设计的"陷阱"所充斥。 🕑这种被称为间接提示注入（Indirect Prompt Injection，IPI）的技术，通过在普通网页中隐藏（或明或暗的）指令，等待AI Agent读取并执行攻击者的命令。 #提示注入# ​

2

0

9

FreeBuf

2026-04-27 10:05来自 微博网页版

【黑客利用Telegram做“战报系统”，900余家企业遭React2Shell漏洞批量洗劫】 🕐新近曝光的一台服务器揭示了威胁攻击者如何利用自动化工具、AI 辅助和 Telegram 机器人悄无声息地入侵了全球 900 多家企业。 🕑这项围绕名为"Bissa scanner"工具展开的大规模行动，专门针对暴露在互联网上的 Web 应 ​

3

0

2

FreeBuf

2026-04-27 09:59来自 微博网页版

【FreeBuf早报 | Mythos玻璃翼项目证明AI能发现漏洞；微软引入Mythos模型强化安全软件开发】 🕐Anthropic的玻璃翼项目AI发现漏洞效率惊人，远超修复能力，暴露网络安全结构性缺陷。AI攻击已全自动化，防御需转向机器速度，聚焦环境特异性验证和闭环修复，弥合发现与实证差距。 🕑微软整合Anthrop ​

2

0

2

FreeBuf

2026-04-24 09:30来自 微博网页版

【苹果AI服务曝漏洞：失窃令牌可在其他设备重复使用】 🕐苹果公司宣称，其操作系统内置的生成式AI服务Apple Intelligence通过采用匿名访问令牌的双阶段认证授权机制，特别注重用户安全与隐私保护。但俄亥俄州立大学研究人员在macOS 26.0（Tahoe）系统上发现，该设计存在可导致令牌被窃取并重复利用 ​

2

0

0

FreeBuf

2026-04-24 09:30来自 微博网页版

【Claude Mythos发现271个Firefox漏洞，0Day时代或将终结】 🕐Mozilla 基金会近期测试了 Anthropic 公司开发的 AI 模型 Claude Mythos，该模型在网络安全领域引发了广泛讨论。 🕑在授权 Mythos 访问权限前，Mozilla 使用 Opus 4.6 对 Firefox 进行了扫描，这促使 Firefox 148 版本修复了 22 个安 ​

3

1

1

FreeBuf

2026-04-24 09:30来自 微博网页版

【黑客利用篡改版安卓NFC应用窃取非接触式支付数据】 🕐网络犯罪分子正滥用一款被植入木马的安卓支付应用HandyPay，窃取近场通信（NFC）数据和个人识别码（PIN），进而克隆支付卡并清空受害者账户。 🕑ESET研究人员发现，NGate恶意软件的新变种已植入该NFC中继应用，可将NFC数据传输至攻击者设备 ​

1

0

0

FreeBuf

2026-04-24 09:29来自 微博网页版

【FreeBuf早报 | Claude Mythos发现271个Firefox漏洞；苹果AI服务令牌漏洞曝光】 🕐Mozilla测试AI模型Claude Mythos发现Firefox 271个漏洞，远超人工发现的22个，显示AI在网络安全领域的突破。Mozilla认为AI将大幅提升漏洞检测效率，使漏洞利用成本极高，但完全消除不现实。Anthropic限制模型访问以 ​

1

0

1

FreeBuf

2026-04-23 09:30来自 微博网页版

【AI将漏洞利用提速至分钟级，补丁窗口期彻底崩溃】 🕐人工智能正在以防御者无法再视作遥远或理论假设的方式重塑网络犯罪。新一代前沿AI模型展现出日益强大的能力：发现软件漏洞、理解攻击路径、以前所未有的人力效率推动入侵活动逐阶段升级。 🕑这一变革意义重大，因为传统补丁窗口期建立在时间 ​

0

0

2

FreeBuf

2026-04-23 09:30来自 微博网页版

【SBOM 详解：什么是软件物料清单？】 🕐软件物料清单（SBOM）是一种详细的指南，能够帮助用户掌握软件的组成组件，并提升软件供应链的安全性。 🕑软件开发与汽车制造比你想象的更相似。软件物料清单（SBOM）就像汽车的零部件清单，它详细记录了软件的组成及其供应链关系。 #SBOM# ​

0

0

1

FreeBuf

2026-04-23 09:30来自 微博网页版

【Anthropic机密网络工具Mythos遭未授权组织入侵】 🕐2026年4月7日，Anthropic公司正式发布其高度机密的AI驱动网络安全工具Claude Mythos Preview。 🕑这款被该公司自评为"危险程度过高不宜公开发布"的AI模型，能够自主发现主流操作系统和网页浏览器的0Day漏洞，并将多个软件漏洞串联成多阶段攻 ​

0

0

3

FreeBuf

2026-04-23 09:28来自 微博网页版

【FreeBuf早报 | 未授权组织入侵Anthropic机密网络工具Mythos；GitHub评论可触发多个AI工具的提示注入漏洞】 🕐Anthropic发布高危AI安全工具Claude Mythos，能自主发现0Day漏洞并串联攻击链。仅限40家科技公司使用，但发布当天遭第三方供应商入侵，未授权组织获取访问权限。专家警告该工具能力危险 ​

2

0

4

FreeBuf

2026-04-22 10:48来自 微博网页版

【美国国安局无视供应链风险继续使用Anthropic公司Claude Mythos模型】 🕐美国国家安全局（NSA）使用Anthropic公司Mythos模型的消息表明，人工智能作为防御工具与安全风险之间的界限正日益模糊。据Axios报道，尽管国防部已将Anthropic列为供应链风险并试图切断合作，NSA仍在使用Mythos Preview版本 ​

0

0

4

FreeBuf

2026-04-22 10:46来自 微博网页版

【GitHub评论可触发Claude Code、Gemini CLI和GitHub Copilot的提示注入漏洞】 🕐研究人员发现一类名为"Comment and Control"（评论控制）的跨厂商关键漏洞，这种新型提示注入攻击利用GitHub的拉取请求标题、议题正文和评论作为武器，能够劫持AI编程Agent并从CI/CD环境中直接窃取API密钥和访问令牌 ​

1

1

2

FreeBuf

2026-04-22 10:45来自 微博网页版

【Windows 截图工具NTLM哈希泄露漏洞PoC利用代码公开】 🕐网络安全研究人员已公开针对微软截图工具（Snipping Tool）新漏洞的概念验证（PoC）利用代码，攻击者可通过诱导用户访问恶意网页，悄无声息地窃取其Net-NTLM凭证哈希值。 🕑该漏洞编号为CVE-2026-33829，源于Windows截图工具处理ms-scree ​

0

0

2

FreeBuf

2026-04-22 10:44来自 微博网页版

【FreeBuf早报 | Claude Mythos 安全神话：炒作还是名副其实？；SGLang 高危漏洞可实现远程代码执行】 🕐VulnCheck质疑Claude Mythos（Project Glasswing）实际成效，仅1个CVE明确由其发现，40个归功于Anthropic。专家对其72%漏洞利用成功率表示认可，但企业防护难匹配AI速度，需待7月完整报告评估 ​

0

0

2

FreeBuf

2026-04-21 09:37来自 微博网页版

【仅需2283美元：AI模型Claude Opus将漏洞转化为可利用攻击代码】 🕐Claude Opus以2283美元的成本成功构建出可运行的Chrome浏览器漏洞利用程序，表明当前广泛可用的AI模型已具备发现并武器化漏洞的能力。 🕑尽管Anthropic出于安全考虑未开放更先进的Mythos模型，但现有Opus 4.6等通用模型已能生 ​

1

1

5

FreeBuf

2026-04-21 09:36来自 微博网页版

【Claude Mythos 安全神话：炒作是否名副其实？】 🕐当OpenAI正计划推出专注于网络安全的AI模型展开竞争时，VulnCheck安全专家最新研究对Claude Mythos（即"Project Glasswing"）的实际影响提出了质疑。目前该模型仅由美国大型科技公司等精选机构参与测试。 🕑VulnCheck研究员Patrick Garrity在 ​

0

0

3

FreeBuf

2026-04-21 09:35来自 微博网页版

【攻击者持续一年尝试利用CVE-2023-33538漏洞但均未成功】 🕐黑客持续一年多尝试利用TP-Link老旧路由器中的高危漏洞（CVE-2023-33538，CVSS评分8.8），但至今未发现成功案例。 🕑该命令注入漏洞存在于/userRpm/WlanNetworkRpm组件中，影响多款路由器型号（包括TL-WR940N v2/v4、TL-WR740N v1/v2 ​

1

0

1

FreeBuf

2026-04-21 09:33来自 微博网页版

【FreeBuf早报 | Claude Opus成功构建Chrome漏洞武器化链路；白宫拟开放Claude漏洞挖掘AI】 🕐研究人员利用Claude Opus成功构建Chrome漏洞利用链，串联两个漏洞实现远程代码执行，揭示AI辅助攻击的经济可行性和补丁滞后风险，警示网络安全威胁升级。 🕑美国政府计划授权联邦机构使用Anthropic公 ​

1

0

1

FreeBuf

2026-04-20 17:22来自 微博网页版

【警惕AI全自动攻击！Claude Opus成功构建Chrome漏洞武器化链路】 🕐在 Anthropic 公司发布 Mythos 和 Project Glasswing 模型引发激烈争论之际，一位安全研究人员展示了前沿 AI 技术对网络安全的实际影响。该研究突破了理论警告的局限，成功利用 Claude Opus 构建出针对 Google Chrome 复杂 V8 Jav ​

2

2

4

FreeBuf

2026-04-20 17:19来自 微博网页版

【白宫拟开放Claude漏洞挖掘AI，军方禁令与民用部署冲突激化】 🕐美国政府正计划授权主要联邦机构使用Anthropic公司Claude Mythos模型的修改版本。该AI模型能够快速识别网络安全漏洞并具备漏洞利用能力，引发了广泛关注。 🕑据彭博社援引内部备忘录报道，白宫管理与预算办公室（OMB）联邦首席信 ​

0

0

3

FreeBuf

2026-04-20 17:18来自 微博网页版

【攻击者可利用的 FortiSandbox 漏洞 PoC 公开，可执行任意命令】 🕐网络安全研究人员已公开披露针对 Fortinet 旗下 FortiSandbox 产品高危漏洞（CVE-2026-39808）的概念验证（PoC）利用代码。该漏洞允许未经身份验证的攻击者以 root 最高权限执行任意操作系统命令，且无需任何登录凭证。 🕑该漏 ​

0

0

1

FreeBuf

2026-04-17 09:30来自 微博网页版

【OpenAI 更新 Agents SDK 新增沙箱环境保障代码安全执行】 🕐OpenAI 最新升级的 Agents SDK 可帮助开发者在受控沙箱环境中构建具备文件检查、命令执行、代码编辑及任务处理能力的 Agent。本次更新为 OpenAI 模型提供了标准化基础设施，包含让 Agent 能操作计算机文件与工具的模型原生框架，以及保 ​

2

0

1

FreeBuf

2026-04-17 09:30来自 微博网页版

【Microsoft Defender 0Day漏洞可导致权限提升攻击】 🕐微软已发布周二补丁更新，修复Microsoft Defender反恶意软件平台中新发现的0Day漏洞。该漏洞于2026年4月14日披露，编号为CVE-2026-33825，被评定为"重要"级别。 🕑若成功利用，该权限提升漏洞可使攻击者绕过标准权限限制，在受影响设备上获 ​

1

1

1

FreeBuf

2026-04-17 09:30来自 微博网页版

【Splunk Enterprise 与云平台漏洞可导致远程代码执行攻击】 🕐一项影响 Splunk Enterprise 和云平台多个版本的关键安全漏洞（CVE-2026-20204）已被官方披露。该高危漏洞 CVSS 评分为 7.1，对企业网络构成严重威胁。 🕑据 Splunk 研究员 Gabriel Nitu 发现并报告，攻击者可利用此漏洞实施远程代 ​

0

0

1

FreeBuf

2026-04-17 09:29来自 微博网页版

【FreeBuf早报 | OpenAI发布GPT-5.4-Cyber强化网安防御；微软SharePoint Server 0Day漏洞遭在野利用】 🕐OpenAI发布网络安全优化版GPT-5.4-Cyber，扩大可信访问计划以支持防御者，同时防范技术滥用风险。该模型旨在提升漏洞检测效率，与Anthropic的Mythos形成竞争，推动持续安全防护生态建设。 ? ​

0

0

1

FreeBuf

2026-04-16 09:43来自 微博网页版

【OpenAI发布GPT-5.4-Cyber强化网安防御，与Anthropic展开AI攻防竞赛】 🕐OpenAI周二发布了GPT-5.4-Cyber，这是其最新旗舰模型GPT-5.4的专门优化版本，针对网络安全防御场景进行了特别优化。此次发布正值竞争对手Anthropic推出其前沿模型Mythos数日之后。 🕑OpenAI表示："AI的渐进式应用能够加速 ​

1

0

0

FreeBuf

2026-04-16 09:41来自 微博网页版

【微软 SharePoint Server 0Day漏洞遭在野利用】 🕐微软在2026年4月的月度安全更新中确认，SharePoint Server存在一个关键的0Day欺骗漏洞（CVE-2026-32201）正遭在野利用。该漏洞影响多个SharePoint Server版本，CVSS基础评分为6.5（重要级），考虑到官方补丁已发布，调整后的时序评分降至6.0。 ? ​

1

0

0

FreeBuf

2026-04-16 09:35来自 微博网页版

【攻击者利用 Obsidian Shell Commands 插件发起跨平台恶意软件攻击】 🕐网络安全研究人员发现，威胁行为者正在滥用广受欢迎的笔记工具 Obsidian 的 Shell Commands 社区插件，在不利用任何软件漏洞的情况下，悄无声息地在受害者设备上执行恶意代码。该攻击活动被追踪为 REF6598，主要针对金融和加 ​

2

0

0

FreeBuf

2026-04-16 09:32来自 微博网页版

【FreeBuf早报 | “漏洞末日”警钟预警；Codex利用三星电视驱动漏洞获取root权限】 🕐AI模型Mythos以前所未有的速度发现软件漏洞，加剧小型开发者风险，黑客利用漏洞更快。企业面临修补海量漏洞的后勤挑战，AI正颠覆网络安全格局，黑客与防御者竞赛加剧。 🕑OpenAI的Codex AI模型利用三星智能电 ​

1

0

1

FreeBuf

2026-04-15 11:14来自 微博网页版

【0Day漏洞可禁用CrowdStrike EDR，签名驱动成攻击利器】 🕐网络安全研究人员发现了一种新型的 BYOVD（自带漏洞驱动）攻击技术，能够关闭包括 CrowdStrike Falcon 在内的一流终端安全解决方案。通过逆向分析一个此前未知的 0Day 内核驱动，研究人员揭示了威胁攻击者如何利用合法签名的驱动程序完全 ​

2

0

2

FreeBuf

2026-04-15 11:13来自 微博网页版

【Codex 利用全局可写驱动接口破解三星电视获取 Root 权限】 🕐OpenAI 的 Codex AI 模型通过利用全局可写的内核驱动接口，成功在一台真实的三星智能电视上实现权限提升至 root。这一发现对硬件厂商如何处理消费电子设备的安全性提出了严峻质疑。 🕑这项由 CALIF 于 2026 年 4 月 14 日发布的实验 ​

8

0

4

FreeBuf

2026-04-15 11:12来自 微博网页版

【“漏洞末日”警钟预警：AI批量发现黑客可利用的漏洞】 🕐像Anthropic旗下Mythos这样的AI模型，正以前所未有的速度发现软件漏洞，这不仅加大了小型开发者面临的风险，也让黑客能够更快地利用这些安全缺陷。 🕑一个能导致防火墙、服务器和网络设备所用操作系统崩溃的软件漏洞，在潜伏超过27年后 ​

0

0

3

FreeBuf

2026-04-15 11:10来自 微博网页版

【FreeBuf早报 | Axios高危漏洞可致云环境沦陷；Claude Mythos Preview预示网络安全结构性变革】 🕐Axios曝严重漏洞CVE-2026-40175，可无交互劫持云元数据，导致AWS凭证泄露和账户接管。1.15.0以下版本均受影响，需立即升级并审计依赖项。漏洞利用原型污染和请求走私，绕过AWS安全控制。 🕑Claud ​

0

0

0

FreeBuf

2026-04-13 09:37来自 微博网页版

【通过CLAUDE.md文件可操控Claude Code实施SQL注入攻击】 🕐LayerX研究人员发现，攻击者可以利用CLAUDE.md文件绕过Claude Code的安全规则。该漏洞使得任何人都能自动化实施SQL注入攻击并窃取用户凭证，而无需编写任何代码。 🕑LayerX最新研究表明，黑客可将计算机程序员广泛使用的工具转化为实施 ​

1

0

5

FreeBuf

2026-04-13 09:35来自 微博网页版

【黑客滥用 GitHub 和 GitLab 托管恶意软件并实施凭证钓鱼攻击】 🕐网络犯罪分子正将全球最受信任的两大开发者平台——GitHub 和 GitLab——转变为传播恶意软件和窃取用户登录凭证的工具。由于企业日常运营高度依赖这些平台，多数安全工具不会拦截其域名，使得攻击者能够长驱直入企业邮箱系统。 ? ​

2

0

2

FreeBuf

2026-04-13 09:34来自 微博网页版

【AI 路由漏洞可被利用注入恶意代码并窃取敏感数据】 🕐在 AI Agent 生态系统中，第三方 API 路由正成为一个关键且长期被忽视的攻击面。攻击者可将其武器化，悄无声息地劫持工具调用、清空加密货币钱包，并大规模窃取敏感凭证。 🕑随着 AI Agent 越来越多地自动化执行高风险任务（如运行代码、管 ​

1

0

1

FreeBuf

2026-04-13 09:32来自 微博网页版

【FreeBuf早报 | 通过CLAUDE.md文件可操控Claude Code实施SQL注入攻击；Cloudflare正积极调整抗量子加密战略优先级】 🕐LayerX发现Claude Code的CLAUDE.md文件可被利用绕过安全规则，使攻击者无需编码即可实施SQL注入和窃取凭证。AI无条件信任文件指令，厂商未及时响应，建议严格审查此类文件。 ? ​

1

0

6

FreeBuf

2026-04-10 09:41来自 微博网页版

【Storm-1175黑客组织在漏洞披露24小时内部署Medusa勒索软件】 🕐一个臭名昭著的黑客组织正在全球范围内通过部署破坏性极强的Medusa勒索软件制造大规模混乱。被微软威胁情报部门追踪为Storm-1175的这些黑客，已将安全漏洞发现与补丁安装之间的时间差变成了一场高速竞赛。 🕑微软研究人员发现，St ​

0

2

1

FreeBuf

2026-04-10 09:40来自 微博网页版

【Claude仅用10分钟发现Apache ActiveMQ潜伏13年的RCE漏洞】 🕐Apache ActiveMQ Classic 近日披露了一个存在十多年未被发现的严重远程代码执行（RCE）漏洞。值得注意的是，这个漏洞并非由人工代码审计发现，而是 Anthropic 公司的 Claude AI 模型在不到 10 分钟内识别出来的。 🕑该漏洞编号为 CV ​

5

0

6

FreeBuf

2026-04-10 09:39来自 微博网页版

【通过身份可见性与智能平台（IVIP）缩小IAM攻击面】 🕐企业身份与访问管理（IAM）正面临临界点。随着组织规模扩大，身份信息在数千个应用程序、分散团队、机器身份和自治系统中日益碎片化，形成"身份暗物质"——即存在于集中式IAM可见范围之外、安全团队无法触及的身份活动。 🕑根据Orchid Secu ​

1

2

2

FreeBuf

2026-04-10 09:37来自 微博网页版

【FreeBuf早报 | Anthropic发布Claude Mythos预览版；Storm-1175黑客组织部署Medusa勒索软件】 🕐Anthropic推出Claude Mythos预览版，能自主发现并利用0Day漏洞，实现复杂攻击链构建。同步启动Glasswing项目，限防御方使用以提前修补漏洞。AI发现OpenBSD、FFmpeg等长期未察觉的漏洞，未来或成关键防 ​

0

2

2

FreeBuf

2026-04-09 09:30来自 微博网页版

【微软推出Agent Governance Toolkit开源项目，直击OWASP十大AI Agent风险】 🕐微软近日悄然推出Agent Governance Toolkit开源项目，旨在企业将AI Agent投入生产工作流时，对其执行过程进行监控与管理。 🕑该项目直接对标OWASP（开放全球应用安全项目）最新发布的十大Agentic AI威胁清单，重点防 ​

0

0

1

FreeBuf

2026-04-09 09:30来自 微博网页版

【Docker 漏洞（CVE-2026-34040）可绕过授权机制获取宿主机访问权限】 🕐Docker Engine 曝出一个高危安全漏洞，攻击者可在特定条件下绕过授权插件（AuthZ）的防护机制。该漏洞编号为 CVE-2026-34040（CVSS 评分：8.8），源于 2024 年 7 月披露的同组件最高危漏洞 CVE-2024-41110 修复不完整问题。 ​

0

0

3

FreeBuf

2026-04-09 09:30来自 微博网页版

【Anthropic Glasswing项目揭示漏洞发现的未来：AI如何重塑网络安全格局】 🕐AI巨头Anthropic近日公布了名为"Glasswing"的网络安全计划，该计划基于其Claude Mythos Preview模型构建。该公司宣称这款模型代表"AI时代的网络安全"，能够大规模自主识别软件漏洞。 🕑Anthropic并未公开该模型，而是 ​

2

1

3

FreeBuf

2026-04-09 09:29来自 微博网页版

【FreeBuf早报 | Anthropic与美国政府争端暴露AI治理深层分歧；Anthropic Glasswing项目揭示AI如何重塑网络安全格局】 🕐AI控制权之争：Anthropic与美国国防部的冲突凸显AI治理核心矛盾，涉及国家安全、企业自治与技术伦理。企业坚持使用限制或强化市场信任，但政策变动带来技术债务风险，需全新治 ​

0

0

1

FreeBuf

2026-04-08 09:46来自 微博网页版

【专家公开未修复的Windows 0Day漏洞BlueHammer】 🕐据Bleeping Computer报道，一名心怀不满的研究人员公开了Windows 0Day漏洞BlueHammer，该权限提升漏洞允许攻击者获取SYSTEM或管理员权限。 🕑该研究人员曾私下向微软报告此漏洞，但批评微软安全响应中心(MSRC)的漏洞披露处理方式。4月3日，这 ​

0

0

2

FreeBuf

2026-04-08 09:44来自 微博网页版

【新型GPUBreach攻击通过GDDR6位翻转实现CPU权限完全提权】 🕐最新学术研究发现了针对高性能图形处理器（GPU）的多重RowHammer攻击手段，攻击者可利用这些漏洞提升权限，在某些情况下甚至能完全控制主机系统。这些攻击技术被命名为GPUBreach、GDDRHammer和GeForge。 🕑GPUBreach比先前的GPUHamme ​

2

0

3

FreeBuf

2026-04-08 09:42来自 微博网页版

【Anthropic与美国政府争端暴露AI治理深层分歧：控制权之争与安全风险】 🕐Anthropic PBC与美国国防部不断升级的争端，揭示了人工智能市场的根本性矛盾：究竟谁该掌控强大AI系统的使用权。这场始于合同与政策分歧的冲突，已演变为涉及国家安全、企业责任与新兴技术自治界限的广泛辩论。 🕑争议焦 ​

1

0

1

FreeBuf

2026-04-08 09:40来自 微博网页版

【FreeBuf早报 | 研究人员公开Windows Defender 0Day漏洞利用代码；专家公开未修复的Windows 0Day漏洞BlueHammer】 🕐网络安全研究员公开Windows本地提权0Day漏洞BlueHammer，影响最新系统，可获取最高权限。披露因不满微软安全响应流程低效，漏洞利用代码已公开，威胁行为者可能快速利用。建议监控 ​

2

0

2

FreeBuf

2026-04-07 09:40来自 微博网页版

【FreeBuf早报 | 攻击者窃取星巴克10GB源代码；Adobe攻击者宣称窃取1300万份支持工单及员工记录】 🕐网络安全组织ShadowByt3s攻击星巴克，窃取10GB核心源代码和运营固件，涉及咖啡机控制器、内部管理系统等关键资产，威胁公开数据勒索赎金。 🕑黑客通过Adobe印度外包公司入侵，窃取1300万客户工 ​

0

2

0

FreeBuf

2026-04-07 09:37来自 微博网页版

【14000余台F5 BIG-IP暴露，高危RCE漏洞正遭活跃利用】 🕐F5 BIG-IP访问策略管理器（APM）的关键安全漏洞正遭活跃利用，致使数以千计的企业网络面临风险。该漏洞被官方标记为（CVE-2025-53521），当其影响从标准拒绝服务（DoS）升级为严重远程代码执行（RCE）漏洞后，立即引发网络安全界的紧急警报 ​

2

3

0

FreeBuf

2026-04-07 09:34来自 微博网页版

【Axios证实遭入侵源自“社会工程学”欺骗】 🕐2026年3月31日，两个恶意版本的流行JavaScript HTTP库Axios被短暂发布到npm仓库。这两个版本均包含隐藏依赖项，可在macOS、Windows和Linux系统上安装远程访问木马（RAT）。此次攻击并未利用Axios代码本身的漏洞，而是瞄准了更难防御的目标——维护该库 ​

0

2

0

FreeBuf

2026-04-07 09:32来自 微博网页版

【Claude Code代码泄露引发武器化攻击潮】 🕐Anthropic 出现大规模源代码泄露事件后，网络安全界已处于高度警戒状态。2026 年 3 月 31 日，该公司意外泄露了其旗舰级终端编程助手 Claude Code 的完整源代码。 🕑此次泄露源于一个公开 npm 安装包的打包错误，该安装包不慎包含了一个 JavaScript ​

1

2

0

FreeBuf

2026-04-03 09:48来自 微博网页版

【谷歌将Axios npm供应链攻击归因于朝鲜APT组织UNC1069】 🕐谷歌威胁情报团队将近期Axios npm软件包供应链攻击事件归因于代号UNC1069的朝鲜黑客组织。该攻击以经济利益为目标，通过污染Axios软件包来针对依赖该库的开发者与组织。 🕑谷歌威胁情报分析师John Hultquist证实了这一归因结论，指出该 ​

0

1

2

FreeBuf

2026-04-03 09:47来自 微博网页版

【Nginx-UI 备份恢复漏洞 PoC 公开：攻击者可篡改加密备份并注入恶意配置】 🕐Nginx-UI 备份恢复机制中被披露存在一个高危安全漏洞（CVE-2026-33026）。该漏洞允许威胁攻击者在恢复过程中篡改加密备份文件并注入恶意配置。 🕑随着公开的 PoC 利用代码发布，未打补丁的系统面临被完全攻陷的即时风 ​

0

0

2

FreeBuf

2026-04-03 09:45来自 微博网页版

【以数据为中心的安全成为AI部署关键层，企业亟需构建可信数据平台】 🕐AI Agent正以机器速度涌入企业环境，但管控其访问行为所需的数据中心化安全措施尚未同步跟进，导致企业AI部署出现新的安全断层。 🕑Veeam软件公司正瞄准这一缺口布局未来——在斥资72.5亿美元收购Securiti公司后，该公司正 ​

2

0

2

FreeBuf

2026-04-03 09:44来自 微博网页版

【FreeBuf早报 | Chrome 0Day漏洞遭野外利用；谷歌将Axios npm供应链攻击归因于朝鲜APT组织】 🕐谷歌紧急修复Chrome浏览器0Day漏洞（CVE-2026-5281），该漏洞已被野外利用，可执行任意代码。更新包含21项安全修复，19项高危，涉及多个子系统。用户应立即更新至最新版本以防范风险。 🕑朝鲜黑客组 ​

1

0

1

FreeBuf

2026-04-02 09:47来自 微博网页版

【Chrome 0Day漏洞遭野外利用】 🕐谷歌已为其Chrome浏览器发布紧急安全更新，修复了一个正在被野外利用的0Day漏洞。Windows和Mac平台的稳定版已更新至146.0.7680.177/178版本，Linux平台更新至146.0.7680.177版本，预计未来数日或数周内将覆盖所有用户。 🕑该漏洞编号为（CVE-2026-5281），是Daw ​

0

0

2

FreeBuf

2026-04-02 09:46来自 微博网页版

【Anthropic员工失误导致Claude Code源代码泄露】 🕐Anthropic公司一名员工在npm公开注册账户发布的AI编程工具Claude Code版本中意外包含源映射（source map）文件，导致该工具的完整专有源代码暴露。AI专家指出，这种失误存在重大安全风险。 🕑"被泄露的源映射会带来安全隐患，"美国网络安全与A ​

0

0

2

FreeBuf

2026-04-02 09:45来自 微博网页版

【AI编程时代的运行时测试：安全团队面临新挑战】 🕐随着AI技术推动软件产量激增，安全团队正承受着越来越大的压力，必须通过运行时测试来捕捉运行应用程序中的风险。 🕑StackHawk公司董事会成员Joe Sullivan指出，当机器生成代码量在现代企业中呈爆炸式增长时，安全团队发现静态代码分析已不再 ​

1

0

2

FreeBuf

2026-04-02 09:43来自 微博网页版

【FreeBuf早报 | Anthropic员工失误导致Claude Code源代码泄露；AI编程时代安全团队面临新挑战】 🕐Anthropic员工在npm发布AI工具时意外包含源映射文件，导致专有代码泄露。专家警告这会暴露API密钥和系统逻辑，增加安全风险。公司称不涉敏感数据，属人为失误。类似事件频发，开发者需禁用源映射并 ​

0

0

1

FreeBuf

2026-04-01 09:30来自 微博网页版

【新型macOS Infinity窃密木马利用Nuitka Python载荷与ClickFix传播】 🕐Malwarebytes研究人员发现名为Infinity Stealer的新型macOS信息窃取木马，该木马使用Nuitka编译的Python载荷，通过伪造Cloudflare验证页面诱骗用户执行终端命令进行传播。据Malwarebytes报告指出，这是首次观察到针对macOS平 ​

1

0

3

FreeBuf

2026-04-01 09:30来自 微博网页版

【谜团待解：Telegram 被曝存在未修复0Day漏洞可接管设备，官方矢口否认】 🕐趋势科技旗下Zero Day Initiative（ZDI）平台研究员Michael DePlante（@izobashi）披露了Telegram的新漏洞（编号ZDI-CAN-30207，CVSS评分9.8）。 🕑该漏洞允许攻击者在无需用户交互的情况下，通过发送恶意动画贴纸即可 ​

1

0

3

FreeBuf

2026-04-01 09:30来自 微博网页版

【Claude AI发现Vim和Emacs中的0Day RCE漏洞】 🕐Anthropic 公司的 Claude AI 成功发现了 Vim 和 GNU Emacs 中存在的 0Day 远程代码执行（RCE）漏洞。这一发现标志着漏洞挖掘领域的重大范式转变，证明 AI 模型能够通过简单的自然语言提示，在传统软件中发现关键漏洞。 🕑Claude 发现这些 RCE 漏 ​

2

0

6

FreeBuf

2026-04-01 09:28来自 微博网页版

【FreeBuf早报 | Claude AI发现Vim和Emacs中的0Day RCE漏洞；Telegram存在未修复0Day漏洞可接管设备】 🕐Claude AI 成功发现 Vim 和 Emacs 的 0Day RCE 漏洞，仅通过简单提示。Vim 漏洞已修复，Emacs 维护者拒绝修复。AI 漏洞挖掘能力引发安全范式转变，启动“MAD Bugs”活动持续探索 AI 发现的漏洞 ​

1

0

1

FreeBuf

2026-03-31 09:58来自 微博网页版

【Jira Work Management 存储型 XSS 漏洞可导致组织完全沦陷】 🕐Atlassian 生态系统中这款流行的协作工具被企业广泛用于项目跟踪、审批管理和日常任务处理。 🕑近期，Snapsec 安全研究人员在该平台发现了一个严重的存储型跨站脚本（XSS）漏洞。研究团队通过利用一个看似低风险的配置字段，演示 ​

0

0

1

FreeBuf

2026-03-31 09:57来自 微博网页版

【俄罗斯关联APT组织TA446利用DarkSword漏洞工具包针对iPhone用户发起钓鱼攻击】 🕐与俄罗斯有关联的APT组织TA446（又名SEABORGIUM、ColdRiver、Callisto和Star Blizzard）正在针对iOS设备发起鱼叉式钓鱼攻击，使用DarkSword漏洞利用工具包实施入侵。这类攻击通过恶意邮件危害iPhone设备，显示出国 ​

0

0

1

FreeBuf

2026-03-31 09:54来自 微博网页版

【攻击者可通过恶意文件利用 Vim 漏洞执行任意命令】 🕐开发者广泛使用的文本编辑器 Vim 近日曝出一个高危安全漏洞。该漏洞允许攻击者通过诱骗用户打开特制文件，直接执行任意操作系统命令。 🕑安全研究员 Hung Nguyen 发现，这一漏洞链揭示了应用程序处理嵌入式文件指令时存在的持续性风险。 ​

0

0

5

FreeBuf

2026-03-31 09:52来自 微博网页版

【FreeBuf早报 | 俄APT组织利用DarkSword漏洞攻击iPhone用户；CISA警告F5 BIG-IP漏洞正遭攻击者积极利用】 🕐俄罗斯APT组织TA446利用DarkSword漏洞工具包对iOS设备发起钓鱼攻击，主要针对北约国家政府、智库等机构。攻击手法升级，首次涉及iCloud账户，显示其威胁能力扩大。该组织与俄联邦安全局关 ​

0

0

1

FreeBuf

2026-03-30 10:00来自 微博网页版

【攻击者在数小时内利用Langflow关键RCE漏洞，CISA紧急拉响警报】 🕐攻击者在漏洞披露后数小时内就利用了Langflow的关键远程代码执行（RCE）漏洞，促使美国网络安全和基础设施安全局（CISA）将其正式标记为需紧急修复的漏洞。 🕑该漏洞允许攻击者在无需凭证的情况下，在易受攻击的Langflow实例上 ​

2

1

3