AI 能发现漏洞，但证明漏洞仍需人类知识
人工智能（AI）正在改变攻击性安全领域，但它并未改变最重要的标准：一个发现必须经过验证才有价值。AI 辅助工具能够快速阅读代码、生成攻击载荷、总结攻击面、解释不熟悉的 API，并以惊人的速度运行重复性测试工作流。这对安全团队来说是真正的优势，但也带来了一种新的压力，因为行业现在能产出比以往更多的”看似漏洞”的内容。然而，输出并不等于证据。在攻击性测试中，真正的难点从来不是写一份听起来像漏洞报告的东西，而是要证明什么才是真实存在的。
年度归档： 2026 年
Read More
新型代理数据注入攻击可让AI代理误点击或执行攻击者命令
让AI代理总结产品页面上的评论时,一条植入的评论就能让它点击”立即购买”。让编码助手应用GitHub帖子中维护者的修复时,一条伪造的评论就能让它在你的电脑上运行陌生人的命令。这两种手法都不会劫持代理原本的任务,它们只是污染代理所信任的事实,然后让它继续执行你要求的工作。
新型 ClickLock macOS 窃密木马以每 210 毫秒杀死应用程序逼迫受害者输入密码
ClickLock Stealer 是一种新型 macOS 信息窃取程序,通过不断循环终止用户的应用程序来回应拒绝,直至用户交出登录密码。它以粘贴到终端的命令形式出现,通过伪造的系统对话框要求输入密码;当用户取消时,会安装两个 LaunchAgents 后悄然退出。下次登录时,Finder、Dock、Spotlight、终端、活动监视器以及主流浏览器将每隔 210 毫秒被杀一次,持续长达 83 小时,只留下一个孤零零的密码输入框。
新型 TELEPUZ 恶意软件通过 ClickFix 传播，窃取数据并执行命令
网络安全研究人员披露了一款名为 TELEPUZ 的新型模块化恶意软件，该软件自 2026 年 4 月下旬以来通过感染 ClickFix 诱饵的网站进行传播。Elastic 安全实验室研究员 Cyril François 在一份技术报告中表示：”该恶意软件功能齐全、轻量级且模块化。尽管目前 C2[命令与控制] 域数量较少，但每天上传到 VirusTotal 的构建数量和快速的更新节奏表明该恶意软件正在积极开发，并且可能进一步增长。”
n8n 令牌交换漏洞可使攻击者以其他签发方用户身份登录
n8n 工作流自动化平台企业版在配置了多个外部令牌签发方时，仅根据 JWT 中的 sub 声明匹配本地用户而忽略 iss 声明，导致来自签发方 A 的有效令牌若其 sub 对应签发方 B 的用户，便能以该用户身份登录。该漏洞编号为 CVE-2026-59208，CVSS 4.0 评分 7.6，已于 6 月 24 日修复。
研究人员在微软补丁星期二发布数小时后公开新的Windows零日漏洞PoC
安全研究人员Chaotic Eclipse（又名Nightmare-Eclipse）发布了一个名为LegacyHive的新概念验证（PoC）漏洞利用代码。它被描述为Windows用户配置文件服务任意hive加载权限提升漏洞，Windows用户配置文件服务（ProfSvc）是管理用户账户和环境的系统核心组件。
Firefox、Chrome、Adobe 与 VMware 更新修复多个严重安全漏洞
Mozilla 发布 Firefox 更新，修复两个已被公开利用代码的严重漏洞。同时，Google 修复 Chrome 中 15 个安全缺陷，Adobe 修补 88 个漏洞，Broadcom 修复 VMware Avi Load Balancer 中一个 CVSS 评分 9.8 的身份验证绕过漏洞。
Microsoft 在 Frost Radar 云与应用运行时安全报告中被评为领导者
随着云安全与应用安全融合为统一的运行时风险降低模型，Frost & Sullivan 将 Microsoft 评为领导者。该文章探讨了云安全从态势可见性向运行时风险运营的演进，以及 Microsoft Defender for Cloud 与 Microsoft Defender XDR 协同如何帮助组织实现全栈风险降低。
用 Defender Experts 将威胁情报转化为果断行动
安全团队从未拥有如此多的可见性,却也鲜少感到如此不确定。信号从端点、身份、云工作负载以及大量第三方工具中涌入。本文《用 Defender Experts 将威胁情报转化为果断行动》首发于 Microsoft Security Blog。
OkoBot 恶意软件框架在 Ledger 与 Trezor 应用中注入助记词钓鱼
一个名为 OkoBot 的恶意软件框架自 2025 年 4 月起在 Windows 机器上运行,其模块之一专门用于骗取硬件钱包用户的助记词。在受感染的电脑上,请求来自钱包桌面软件内部,有时会等到用户插入设备后才弹出。页面是恶意的,但包裹它的应用却是用户亲手安装的正版。