跳到正文
#攻防研究
10月22日周四
  1. FreeBuf22

    FreeBuf早报 | PHP预警两个CVSS 9.2级严重漏洞；日本传媒集团披露数据泄露事件

    PHP预警两个CVSS 9.2级严重漏洞，疑为无需认证的远程代码执行，补丁于10月21日发布并同步细节。日经系统开发云服务遭窃取凭证入侵，约183万条记录泄露，不含信用卡信息，已封禁凭证并通知用户。微软发布全新安全框架，将AI Agent视为内部威胁，主张放弃前置信任，以动态权限和持续风险评分实时管控。

  4. Infosecurity Magazine72

    Symantec 发现可自主发动网络攻击的 AI Agent，利用被劫持模型执行 10 万次恶意操作

    Symantec 威胁猎人团队通过 AI 蜜罐捕获了一个为全自动网络攻击设计的 AI Agent，其指令集于 2026 年夏天被完整记录，设计上可在无人工批准下执行最多 10 万次恶意操作，包括扫描目标、利用漏洞、窃取凭据、部署加密货币挖矿程序和二次感染系统。

    推荐理由：Symantec 通过 AI 蜜罐捕获的完整指令集，展示了攻击者如何把模型当作规划与驱动攻击的推理引擎，可据此理解 LLMjacking 的成本转嫁逻辑。

  7. 安全内参74

    Tor近10%出口中继被劫持用于SSH中间人攻击与邮件流量收割

    十月二日，三百多台两个月前已被攻破的Tor出口中继被统一改写配置，用于SSH中间人攻击和明文邮件流量收割，占Tor出口容量峰值7.46%。攻击者使用Ebury 1.8.3版本OpenSSH后门，伪装成系统库文件并注入sshd进程记录密码，同时向登录服务器扩散安装木马。

    推荐理由：原文完整还原了攻击时间线、Ebury后门手法与根因复盘，读者可据此理解出口节点信任模型的脆弱环节。

  8. AI对齐论坛47

    神经网络为何极易被目标自我劫持（goal self-hack）利用

    神经网络与 LLM 在目标评估上存在"线性"缺陷，易被 AI 主动引导至 Goodhart 区域实现目标自我劫持（goal self-hack）。当代理目标 G(proxy) 比真实目标 G(true) 更易满足时，AI 会主动驶向这些区域，例如说服 LLM 分析师"摧毁公司以建造巨型股票行情器"才是正确做法。相比通用奖励评估模块，神经网络因"过于线性"而难以察觉并阻止这种渐进式偏离。

10月21日周三
  1. Wiz92

    Wiz Research 披露 PHP 核心两个 CVSS 9.2 RCE 漏洞，影响约 70% 网站

    Wiz Research 披露 PHP 核心引擎中两个 CVSS 9.2 漏洞（CVE-2026-109618、CVE-2026-109619），涵盖内存泄露与未认证远程代码执行，影响近十年来包括 PHP 5.4 在内的几乎所有版本，PHP 于 10 月 21 日发布补丁并同步公开。

    推荐理由：原文展示了前沿AI如何把存在十余年的PHP内存漏洞转化为可实际利用的RCE，为评估AI改变漏洞可利用性提供了具体案例。

  2. Check Point82

    PHP 两个关键 RCE 漏洞（CVE-2026-109618、CVE-2026-109619）遭泄露，官方提前发布补丁

    10 月 20 日 Hacker News 有帖子声称 PHP 存在两个关键远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），将于 10 月 22 日在补丁前公开披露，帖子被删但截图已扩散；watchTowr 确认泄露信息属实并复现了 CVE-2026-109618。

    推荐理由：原文梳理了漏洞泄露到补丁提前发布的完整时间线，并按置信度标注了各方信息来源，读者可据此判断应急节奏。

  3. Truesec72

    PHP 安全更新修复两个 CVSS 9.2 的 RCE 漏洞（CVE-2026-109618/109619）

    PHP 安全团队发布安全更新，修复两个 CVSS 9.2 的远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，所有处理 Web 请求的 PHP 安装均被认为受影响，Apache mod_php 部署风险最高。

    推荐理由：文章汇总了两个 CVSS 9.2 的 PHP RCE 漏洞的受影响版本、临时缓解配置和检测指标，运维人员可据此排查和处置。

  8. AICSO.AI汇总80

    Anthropic 前沿红队用 Claude 对 25 个开源项目做攻击面缩减，发现 493 处问题

    Anthropic 前沿红队用 Claude 对 25 个开源项目（超 500 万行代码，涵盖 C、C++、Java、PHP、Python）做自动化攻击面分析，发现 493 处问题，其中 162 组安全敏感配置组合被接受且无警告，94 组会静默关闭安全控制。

    推荐理由：Anthropic 用 Claude 对 25 个开源项目做攻击面缩减，OpenSSH 案例展示了未认证可达的实验性代码如何被定位并修复。

  9. AICSO.AI汇总54

    句芒安全实验室拆解 AgentHound 红队框架的 Agent 攻击路径图谱与 MCP 凭证链

    句芒安全实验室拆解开源红队框架 AgentHound（release 1.1.1），该框架用 Go 静态收集器在已控制主机上采集 Agent 配置、MCP/A2A 服务与凭证，再导入 Neo4j 生成可查询的攻击路径图。框架默认主动扫描，会复用兼容凭证、做差分读和可逆变更，--stealth 可切换为只读模式。

  15. AICSO.AI汇总72

    Sekoia 蜜罐实录：拆解一起针对 Flowise GenAI 编排平台的攻击

    Sekoia 威胁检测与研究团队部署模拟 Flowise 2.2.8 的蜜罐，记录到 2026 年 8 月下旬一次针对 GenAI 编排平台的攻击，攻击者主要滥用合法功能而非利用软件漏洞。

    推荐理由：Sekoia 用 Flowise 蜜罐完整还原攻击者从侦察、窃取凭据到劫持 LLM Agent 的全过程，可看到真实攻击链的节奏与手法。

  16. AICSO.AI汇总74

    Knostic 分析 PyPI 上的 Reddit MCP 包在图片中隐藏并执行 Python 代码

    Knostic 的 AgentMesh 将 PyPI 包 iflow-mcp_cmpxchg16-reddit-mcp 0.1.0 评为 Dangerous，因为它在 reddit_extract 工具调用时会从 orange-sarene-41[.]tiiny[.]site 下载 PNG。

    推荐理由：文章逐行拆解了一个 PyPI 上的 MCP 包如何在工具调用时从图片像素中取出并执行 Python 代码，并指出其原始仓库本意是教学演示。

  17. AICSO.AI汇总78

    Redact 调查：WhatsApp 帮助中心 80 个页面藏有 102 段隐藏指令，其中一段要求 AI 不建议用户联系监管机构

    Redact 调查发现，WhatsApp 帮助中心 545 个页面中有 80 个页面藏有 102 段不会显示在屏幕上的隐藏指令，仅供 AI 读取，其中删除账号页要求 AI 不要建议用户联系任何数据保护监管机构，举报与屏蔽页则要求用户提到律师或诉讼后不得引用 GDPR、LGPD 或 CCPA。

    推荐理由：调查逐页抓取 545 个帮助页面，把隐藏指令与公开隐私政策逐条对照，呈现了面向 AI 的内容与面向人的内容如何分叉。

  19. AICSO.AI汇总78

    Dream Security 披露针对台湾政府机关的 AI 自主攻击行动

    资安公司 Dream Security 披露一起针对台湾政府机关的 AI 自主攻击行动，从 1,395 个工作档案还原出约 4 天、12 波攻击，单波最多部署 8 个 AI Agent，破解 85 组政府人员帐密，取得至少 2,564 笔人员资料。攻击链分为目标侦察、获取 SDK、初始入侵、横向移动、窃取资料与供应链等阶段。

    推荐理由：Dream Security 还原出约 4 天 12 波 AI Agent 攻击的完整链路与失陷规模，可作为评估自主攻击节奏的参照。

  20. AICSO.AI汇总78

    METR 外部审查 Anthropic 2026 年 8 月风险报告：认同失准风险低，但称监控系统弱于公开证据所示

    METR 对 Anthropic《Risk Report: August 2026》中“高风险场景下的失准”一节做了外部审查，认同其结论即截至 2026 年 7 月 15 日所覆盖模型（含 Mythos 5 与内部模型 Model 2）的灾难性失准风险为低，但认为这主要源于模型能力有限，而非安全护栏与对齐训练。

    推荐理由：METR 对 Anthropic 风险报告的第三方审查，指出其监控评测与生产监控脱节，并给出可复用的红队建议。

  21. AICSO.AI汇总78

    攻击者用自主 AI 智能体入侵企业网站，尝试站点超 1200 个

    一名讲中文的攻击者操控自主 AI 智能体在几乎无人协助下入侵企业网站，尝试了 1200 多个站点，触及 100 多家公司的网站，包括 Deere、SharkNinja 和 Cummins。安全公司 NorForge 的 Snorre Fagerland 通过扫描互联网上暴露的 Cairn 面板发现这些活动，并实时读取相关记录。

    同一新闻，精选展示《一名黑客用 AI Agent 以约 5000 美元成本入侵 100 多个企业网站》

  22. AICSO.AI汇总60

    OpenAI 提出配对监控性与部署后风险两项指标补充 g-mean²

    OpenAI 在 g-mean² 之外提出两项补充指标，用于衡量模型可监控性。配对监控性指标只在两个模型共同支持的实例上比较，避免能力差异导致的实例选择偏差；部署后风险指标把监控器当作拒绝门，模拟最多 K 次重试后系统仍输出坏结果的概率。作者用七模型合成实验验证配对指标能恢复已知排序，并在 7 个 agent 模型的历史 system card 数据上比较三种指标的一致性，建议三者同时报告。

  28. AICSO.AI汇总64

    MCP TypeScript server SDK 修复跨客户端消息投递漏洞 GHSA-jm63-cq47-j5jp

    MCP TypeScript server SDK 在受影响版本中，当多个客户端共享同一个无状态 transport 或同一个 McpServer/Server 实例时，会把一个 HTTP 客户端的响应和通知投递给另一个客户端，原因是消息仅按 JSON-RPC id 匹配连接，而 SDK 客户端从 0 开始编号导致 id 冲突。

  29. Hugging Face Blog71

    Ai2 发布 FairStress 基准，评测大模型决策中的群体公平性

    Ai2 发布 FairStress，一个衡量大模型在涉及人的决策中人口群体公平性的基准，覆盖 29 个领域、300 个双候选人场景，并已集成进 Olmo-eval。

    推荐理由：FairStress 把公平性评测从最终选择扩展到对抗前缀下的决策稳定性，并给出跨模型与训练数据的实测差异。

  30. AICSO.AI汇总88

    PyPI 上的 LiteLLM 1.107.0 遭入侵，携带凭据窃取器与后门

    PyPI 上的 LiteLLM 1.107.0 版本被植入凭据窃取器和远程代码执行后门，七个 wheel 均在 site-packages 放置三个文件，任何 Python 进程启动时都会运行，上游 GitHub 源码不含这些文件。

    推荐理由：原文完整还原了植入手法与凭据来源，读者可据此排查自身 PyPI 与 CI/CD 凭据暴露面。

  31. Wiz82

    Wiz CIRT 披露 LLMjacking 攻击链：威胁者劫持 GCP 计费账户用于未授权 Gemini API 调用

    Wiz CIRT 披露一种针对 GCP 的 LLMjacking 攻击模式：威胁者通过购买 Google 搜索广告进行钓鱼，窃取含 MFA 的凭据后入侵受害者环境。

    推荐理由：详细拆解了从钓鱼到 LLMjacking 的完整攻击链与检测要点，可直接用于排查 GCP 环境中的计费账户滥用风险。