快思考与慢思考在 SOC 中的应用：自主 AI 与分析师副驾驶结合的案例
本文借心理学家 Kahneman 的”快慢双系统”理论，剖析当前安全运营中心（SOC）在设计 AI 架构时常见的错误：用需要深度判断的系统去处理海量告警分诊。研究显示 98% 的告警可自主闭环、不足 2% 才需人工复核。文章主张 SOC 应建立”自主大脑 + 人类副驾驶”双层架构，让 Claude 等大模型专注于复杂案例分析、检测规则工程等高价值工作。
标签： Cursor
Read More
AI 编程代理触发专为捕获攻击者而设计的端点安全规则
Sophos 对一周的自身端点数据进行分析后发现，Claude Code、Cursor 和 OpenAI Codex 等 AI 编程代理正在触发原本为捕获人类入侵者而编写的检测规则。这些代理并无恶意，只是它们执行的许多行为在行为检测引擎看来与攻击完全一致：解密浏览器凭据、枚举 Windows 凭据存储中的内容、利用内置系统工具下载文件，以及写入启动文件夹。Sophos 基于 2026 年 6 月七天遥测数据指出，凭据访问占被拦截活动的 56.2%，执行占 28.8%，AI 代理正在以普通开发工作的形式重现攻击者的高信号行为，对行为型 EDR 检测构成严峻挑战。
GhostApproval 符号链接漏洞可让恶意代码库在 AI 编程代理中执行代码
Wiz 研究人员发现，六款主流 AI 编程助手存在 GhostApproval 符号链接缺陷，可让被植入陷阱的代码项目通过看似无害的批准请求，将攻击者的 SSH 公钥或恶意 shell 配置写入开发者的敏感文件。受影响工具包括 Amazon Q Developer、Anthropic 的 Claude Code、Augment、Cursor、Google Antigravity 和 Windsurf；三家已发布修复，两家正在修复中，Anthropic 否认其为缺陷。
