Anthropic 推出面向开源软件的 OSS Scanner 漏洞扫描服务
Anthropic 推出 OSS Scanner，用其最强模型为开源项目免费做安全审计，输出完全由模型生成、不经人工复核，项目维护者可自愿申请接入。过去六个月其模型在重要开源项目中扫出超过 29,000 个候选漏洞，人工仅复核约 6,000 个，另有近 5,000 份未验证报告在维护者主动索取后直接发送。
#漏洞赏金
Anthropic推荐指数7171
Krebs on Security精选推荐指数7878 ShinyHunters在逮捕前敲诈Boeing前子公司Jeppesen ForeFlight
约旦当局拘留了疑似ShinyHunters头目、化名Rey的少年Saif Al-din Khader，其正与FBI合作指认其他成员。
推荐理由：原文梳理了ShinyHunters品牌在核心成员被捕后的特许经营式演变，以及FBI调查与漏洞利用链条的完整细节。
BurpSuite官方精选推荐指数7171 PortSwigger 研究：用重叠片段把 CSS 注入可窃取的 token 长度推至 640 字符
PortSwigger 研究员 Alex 在 Gareth Hughes 原始 CSS 注入窃取 token 技术基础上，用图论方式把大量短片段按重叠关系拼接，无需递归加载样式表即可重建完整 token。
推荐理由：原文用图论重叠片段思路把 CSS 注入窃取 token 的成本压低三个数量级，并给出可复现的实验数据与 Burp AT 技能，读者可直接迁移该方法。
Cloudflare精选推荐指数8181 Cloudflare 修复 Containers 跨租户数据残留漏洞
Cloudflare 披露并修复了影响 Cloudflare Containers 与 Cloudflare Sandboxes 的跨租户数据暴露漏洞，由 Accomplish 安全研究员 Oren Yomtov 于 9 月 4 日通过 HackerOne 负责披露。
推荐理由：原文完整披露了漏洞成因、利用步骤与两阶段修复过程，读者可据此理解多租户存储池残留数据的隔离风险与排查思路。
Wiz推荐指数6262 Wiz 推出 Scan for Good，用 AI 与 Gemini 3.8 Flash Cyber 发现公共服务暴露面
Wiz 推出 Scan for Good 计划，用 AI 结合人类安全研究员，在公共服务、关键基础设施和非营利组织中自主发现公网暴露与复杂攻击路径，并与受影响机构协作修复。
Palo Alto Networks推荐指数5555 Palo Alto Networks 旗下 Unit 42 推出持续前沿 AI 防御服务
Palo Alto Networks 旗下 Unit 42 发布持续前沿 AI 防御服务（Continuous Frontier AI Defense），基于 Anthropic Mythos 模型与 OpenAI 最新 GPT 网络安全模型构建多模型编排框架，持续发现漏洞、验证真实可利用性并加速修复。
Sophos推荐指数1010 Cisco Secure Email Gateway 漏洞（CVE-2026-76461）遭在野利用
Sophos Counter Threat Unit 研究团队披露，Cisco Secure Email Gateway 的漏洞 CVE-2026-76461 正遭到在野利用。该团队称其持续跟踪威胁行为者并分析异常活动，以识别新的攻击技术与威胁态势变化。
Wiz推荐指数2222 JFrog Artifactory 遭在野攻击：CVE-2026-42016、CVE-2026-42018 与 CVE-2026-82329 被实际利用
Wiz Research 发现 JFrog Artifactory 的三个严重及高危漏洞 CVE-2026-42016、CVE-2026-42018 与 CVE-2026-82329 正被在野利用。攻击者将这三个漏洞串联，绕过身份认证并获取管理员控制权。
Cloudflare推荐指数5555 Cloudflare 推出基于 OpenAI Daybreak 模型的上下文感知漏洞发现与修复服务
Cloudflare 宣布 Vulnerability Discovery and Remediation 早期访问，该服务属于 Cloudflare Managed Defense。
Sophos推荐指数1212 微软 8 月补丁星期二修复 421 个漏洞，堆溢出 CWE-122 登上 CWE 榜首
微软 8 月 11 日发布 421 个补丁，覆盖 29 个产品家族，其中 64 个为 Critical 级、80 个 CVSS 评分不低于 8.0，35 个 CVE 预计 30 天内被利用，CVE-2026-68820 已被在野利用。
BurpSuite官方精选推荐指数7676 PortSwigger 研究：CRLF 头注入升级为 desync worm 的完整攻击链
BurpSuite 官方研究团队与 TurtleSec 的 Tobia Righi 合作发布论文，展示如何将 Nginx 常见配置导致的 HTTP 头注入（CRLF）升级为完整的 desync worm，成果曾在 BHUSA 与 DEFCON 演讲。
推荐理由：论文系统展示了如何把常见的 HTTP 头注入升级为可自我复制的 desync worm，并给出在连接锁定、IP 锁定场景下的浏览器端利用方法，可直接迁移用于渗透测试与漏洞挖掘。
BurpSuite官方精选推荐指数9292 PortSwigger 发布 HTTP Terminator 自主安全研究白皮书
James Kettle 发布白皮书《Can AI do novel security research?
推荐理由：原文完整拆解了自主安全研究系统的构想、评估与级联设计，读者可迁移其微灵感与评估原语的做法。
Anthropic精选推荐指数8282 Anthropic 用 Claude 发现 HAWK 与 AES 密码学弱点
Anthropic 前沿红队用 Claude Mythos Preview 发现两种改进的密码分析攻击，一是将 HAWK 后量子签名方案的有效密钥强度减半，二是对 7 轮约简 AES 的攻击比此前最优方法快 200-800 倍。
推荐理由：Anthropic 用 Claude 在 60 小时内把 HAWK 的有效密钥强度减半，并给出 AES 约简轮攻击提速 200-800 倍的完整论文与验证过程。
OWASP精选推荐指数7474 OWASP 发布 2026 年 Q2 GenAI 与 Agentic AI 漏洞盘点
OWASP Gen AI Security Project 发布 2026 年第二季度（4 月 1 日至 6 月 30 日）GenAI 与 Agentic AI 漏洞盘点，选取 6 个案例，其中 2 个为观察到的恶意活动，4 个为研究演示或受控验证。
推荐理由：该季度盘点区分了真实事件与研究演示，并给出跨案例的防护建议，读者可据此梳理 Agent 部署的常见暴露面。
Anthropic精选推荐指数8888 Anthropic 红队实测大模型加速 N-day 漏洞利用开发
Anthropic 前沿红队评估大模型从公开补丁自动开发 N-day 利用的能力，最强模型 Mythos Preview 在 18 个 Firefox 补丁上自主构建 8 个可执行代码利用，在 21 个 Windows 内核补丁上产出 8 条从低权限到 SYSTEM 的完整提权链。
推荐理由：Anthropic 红队用 Firefox 与 Windows 内核补丁实测前沿模型自动生成 N-day 利用，给出成功率、耗时与 API 成本，可据此重估补丁窗口。
Anthropic精选推荐指数8282 Anthropic 用 ExploitBench、ExploitGym 与 SCONE-bench 测量大模型开发漏洞利用的能力
Anthropic 前沿红队发布研究，用 ExploitBench、ExploitGym 和更新版 SCONE-bench 三个基准测量大模型开发漏洞利用的能力，Claude Mythos Preview 在三者上均优于所有其他受测模型。
推荐理由：Anthropic 红队用三个漏洞利用基准量化 Claude Mythos Preview 的能力，读者可据此看到模型攻破 V8 沙箱与内核的实际差距。
Fortinet推荐指数5656 Fortinet：前沿AI模型重塑攻防节奏，防御方需以自动化缓解应对
Fortinet 发文指出 AI 正在压缩网络风险时间线，漏洞从披露到被利用的间隔从数周数月缩短到数小时，防御方优势取决于能否在开发、检测、响应全生命周期更快协同。
嘶吼推荐指数6464 Progress ShareFile 两处漏洞可组合实现未认证远程代码执行
watchTowr 在 Progress ShareFile 5.x 的 Storage Zones Controller 组件中发现认证绕过漏洞 CVE-2026-2699 和远程代码执行漏洞 CVE-2026-2701，二者可组合利用，在无需身份认证的情况下实现远程代码执行。
Anthropic推荐指数8888 Anthropic 红队评估 Claude Mythos Preview 的网络安全能力
Anthropic 红队发布对 Claude Mythos Preview 的网络安全能力评估，称该模型可在用户指令下发现并利用各大操作系统与浏览器中的零日漏洞，并已启动 Project Glasswing 向关键行业伙伴与开源开发者限量开放。
Anthropic精选推荐指数7878 Anthropic 红队逆向分析 Claude 为 CVE-2026-2796 编写的漏洞利用
Anthropic 前沿红队公开了 Claude Opus 4.6 为 Firefox 的 CVE-2026-2796（已修复）编写漏洞利用的逆向分析过程。
推荐理由：Anthropic 红队复盘 Claude Opus 4.6 自主写出 Firefox 漏洞利用的完整过程，可看到模型如何一步步搭出利用原语。
Anthropic推荐指数8282 Anthropic 评估并缓解 LLM 发现 0-day 漏洞的风险
Anthropic 前沿红队发布研究，称 Claude Opus 4.6 无需专用脚手架或定制提示即可在长期运行模糊测试的代码库中发现高危漏洞，并已找到并验证超过 500 个高危漏洞，开始向开源维护者报告且部分补丁已合入。
Anthropic精选推荐指数7272 Anthropic 红队：Claude Sonnet 4.5 在真实网络靶场中自主利用公开 CVE
Anthropic 前沿红队与 Incalmo 合作，在 25-50 台主机的模拟网络靶场上评测 Claude，发现 Claude Sonnet 4.5 在少数网络上无需此前几代所需的定制网络工具包即可成功。
推荐理由：Anthropic 红队披露 Claude Sonnet 4.5 在真实网络靶场中无需专用工具即可自主利用公开 CVE，并给出与上一代的对照数据。
腾讯玄武实验室精选推荐指数6262 腾讯玄武实验室披露 ComfyUI-Manager 远程代码执行漏洞 CVE-2025-67303
腾讯玄武实验室发现 ComfyUI 官方扩展组件 ComfyUI-Manager 存在高危漏洞 CVE-2025-67303，远程攻击者可在无需账号的情况下实现远程代码执行并完全控制服务器，包括盗取用户数据和私有 AI 模型。
推荐理由：通告给出了漏洞根因、影响版本与迁移步骤，读者可据此判断自身 ComfyUI 部署是否受影响并完成修复。
Anthropic精选推荐指数8282 Anthropic 红队发布 SCONE-bench：AI 智能体在模拟中挖出价值 460 万美元的智能合约漏洞
Anthropic 前沿红队发布 SCONE-bench 基准，包含 2020 至 2025 年间真实被利用的 405 个智能合约，用于评估 AI 智能体的漏洞利用能力。
推荐理由：Anthropic 红队用真实被黑合约构建基准，把智能体攻击能力换算成美元损失，并给出成本与收益的量化对照。
腾讯玄武实验室精选推荐指数7373 腾讯玄武实验室阿图因引擎发现 gnark 零知识证明库签名可锻造性漏洞 CVE-2025-57801
腾讯玄武实验室的阿图因自动化漏洞挖掘引擎在零知识证明库 gnark 中发现高危签名可锻造性漏洞 CVE-2025-57801（CVSS 8.6），并联合上海交通大学 GOSSIP 实验室及郁昱教授团队完成复现。
推荐理由：文章解释了漏洞虽存在多年却大多未被触发的原因，读者可据此自查闭源项目是否使用了受影响的 Native Verification API。