“Ghostcommit”在图像中隐藏提示词注入以欺骗 AI 代理并窃取密钥
一项研究表明，一个隐藏了提示词注入指令的 PNG 文件可以窃取代码仓库的密钥。该技术被命名为“Ghostcommit”，成功绕过了 AI 代码审查工具 CodeRabbit 和 Bugbot——这两款工具完全不会打开图像文件——随后诱导一个编码代理读取仓库的 .env 文件，并把每一个密钥以数字列表的形式写入代码中。
标签： AI安全
Read More
2026年如何评估AI SOC平台：区分行业领导者与”附加式AI”的6项核心能力
构建AI SOC平台评估候选清单并非易事。SIEM、SOAR和纯AI SOC厂商的口径几乎一致，但同名标签之下却是截然不同的产品——从挂在遗留SIEM上的聊天助手，到在自有数据底座上独立完成检测、分诊、调查与响应的代理平台。本文提出可量化的6项核心评估能力，并介绍Exaforce等代理型AI SOC平台的实践路径。
保护AI智能体：当AI工具从”读取”走向”执行”
MCP工具投毒将可信的AI智能体变为数据泄露的控制平面。了解威胁行为者如何操纵工具描述以触发未授权操作，以及如何运用微软安全控制进行检测、遏制与预防。本文聚焦ASI02——工具滥用与ASI04——智能体供应链漏洞，并通过一个金融运营团队的实例还原攻击链全过程。