https://vipread.com 信息安全相关知识库－专业的信息安全IT文档分享平台，知识总结，经验分享，汇集优质文档资料的交流平台 https://vipread.com https://vipread.com zh-cn Mon, 20 Jul 2026 07:00:32 +0000 https://vipread.com/library/topic/4125 <a href='https://vipread.com/library/topic/4125'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>《攻击者视角下的业务智能体渗透》由平安Hamber团队出品，聚焦大模型与智能体在金融科技场景中的新型攻击面。报告系统梳理提示词注入、工具滥用、身份伪装、MCP越权、知识库污染、XSS/SSRF/命令执行等10+实战手法，演示如何通过一次“查薪资”诱导智能体泄露他人工资、伪造token调用未公开接口、上传恶意MCP插件横向移动并获取内网shell。作者提出“智能体应用扫描-画像-决策”闭环渗透框架，结合CVE实例与平安众测数据，输出可落地的风险矩阵及加固方案，助力企业从设计、部署到运营全生命周期守护数字员工安全。</p> https://vipread.com/library/topic/4125 Wed, 26 Nov 2025 14:10:41 +0000 https://vipread.com/library/topic/4126 <a href='https://vipread.com/library/topic/4126'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>《企业内部的渗透测试自动化探索》由平安科技廖汇铭分享，提出“API 资产中心 → 标准化用例 → AI 漏洞研判”三位一体自动化平台：通过流量镜像、语义打标、路径折叠去重，5 分钟完成 10 万级 API 分类（准确率 92-95%）；基于标签自动生成水平越权、SQL 注入、支付绕过等 200+ 标准化用例，分布式执行器 1 小时完成千接口测试；AI 研判智能体引入正向-反向双提示与证据链校验，越权误报降低 80%，整体自动化覆盖率 45.9%，漏洞发现占比 38.3%，实现渗透测试从“手工经验”到“可持续工程体系”的跃迁。</p> https://vipread.com/library/topic/4126 Wed, 26 Nov 2025 14:12:10 +0000 https://vipread.com/library/topic/4127 <a href='https://vipread.com/library/topic/4127'>本文链接</a><br /><br /><img src='/static/uimages/https://archive1.vipread.com/covers/2025/11/topic/2_1764334661_b5d13c69.jpg'><br /><p>《轻装上阵：Javassist聚焦代码审计关键点实践》提出用字节码操作库Javassist突破传统正则与SAST瓶颈，精准提取Spring等框架的路由映射、方法参数与注解语义，自动识别Runtime.exec、ScriptEngine.eval等敏感sink；结合参数签名分析，复现JDBC任意文件写入等CVE，实现无源码、低成本的蓝军快速审计。工具已集成路由提取、sink定位、参数校验三大模块，可作为轻量级辅助手段，显著提升代码审计效率。</p> https://vipread.com/library/topic/4127 Wed, 26 Nov 2025 14:13:30 +0000 https://vipread.com/library/topic/4128 <a href='https://vipread.com/library/topic/4128'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>《构筑智能化攻防格局》提出“三位一体”安全实验室战略：以渗透测试、威胁情报、安全研究为支柱，通过领域专家制、流程固化与知识标准化，打造可复制的安全底座；引入AI智能体，实现威胁情报秒级研判、漏洞自动收集-分析-复现、渗透测试Multi-Agent报告生成，已把Tomcat CVE-2025-53506从披露到POC验证压缩至小时级。报告给出AI工具化→平台化→自主化三阶段路线图，目标让攻防策略随威胁动态自进化，为企业构建持续演化的智能安全中枢。</p> https://vipread.com/library/topic/4128 Wed, 26 Nov 2025 14:15:44 +0000 https://vipread.com/library/topic/4148 <a href='https://vipread.com/library/topic/4148'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>《SOAR落地实践》介绍平安科技5年来将“安全编排、自动化与响应”平台化的经验：以“自动炒菜机”理念把钓鱼研判、IP封堵、离职终端策略加固、资产富化与电话告警5大高频场景压缩至分钟级闭环，实现无人值守T+5分钟处置。分享给出SOAR选型关键——APP生态、剧本丰富度、总拥有成本与同行业案例，并剖析剧本设计、白名单校验、审批节点与重拨机制等落地细节，为准备建设或优化SOAR的团队提供可直接复用的参考模板。</p> https://vipread.com/library/topic/4148 Sun, 18 Jan 2026 13:55:23 +0000 https://vipread.com/library/topic/4149 <a href='https://vipread.com/library/topic/4149'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>《码力·智能开发与安全一体化平台》由长亭科技推出，以"AI+安全"双引擎破解企业AI编码困局：IDE智能辅助实现代码生成-审计-修复闭环，AI员工全自动完成需求到提交；内置SAST/SCA/AI审计三层防护，误报率&lt;5%，支持DeepSeek等主流模型私有化部署。独创第四代自主规划Agent架构，1400倍上下文压缩、环境驱动执行与动态任务分解，让80万行代码审计从"被动扫描"升级为"主动探索"；配套安全/质量/合规/业务逻辑四维模板与Skill热插拔体系，已服务蔚来、贝壳等企业，AI代码占比超30%，实现"代码生而安全"的新型开发范式。</p> https://vipread.com/library/topic/4149 Fri, 20 Mar 2026 09:39:16 +0000 https://vipread.com/library/topic/4150 <a href='https://vipread.com/library/topic/4150'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>本文档由澳大利亚、美国、加拿大、新西兰及英国等多国国家级网络安全机构联合发布，旨在为政府、关键基础设施及行业企业提供智能体AI（Agentic AI）安全采用的权威指南。智能体AI基于大语言模型，具备自主推理、规划与执行能力，但其高度的自主性与复杂的系统架构显著扩大了攻击面，引入了权限滥用、目标错位、行为不可预测、结构耦合及问责困难等新型安全风险。</p> <p>指南系统梳理了智能体AI在设计、开发、部署与运营全生命周期中的安全挑战，并提出分层防御最佳实践。核心建议包括：严格遵循最小权限与零信任原则，强化细粒度身份管理；实施纵深防御与环境隔离；完善输入验证、第三方组件审查与持续监控机制；在高风险流程中强制保留“人在回路”监督；并通过威胁建模、红队演练与动态评估提升系统韧性。文档强调，组织应将AI安全深度融入现有网络安全框架，仅将其用于低风险任务，采取渐进式部署策略，优先保障系统的可观测性、可逆性与风险可控性，在安全可控的前提下推进技术落地。</p> https://vipread.com/library/topic/4150 Wed, 06 May 2026 07:12:49 +0000 https://vipread.com/library/topic/4151 <a href='https://vipread.com/library/topic/4151'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>本报告《AI重塑网络安全：网络安全智能化产品与市场报告》由数说安全研究院于2026年4月发布，聚焦"AI for Security"领域，系统研究人工智能技术如何赋能网络安全防御、检测、响应与治理。报告明确区分"用AI保护系统"与"保护AI系统自身"的边界，围绕五大核心问题展开：AI如何重塑安全运营工作流、从Copilot到Agent的技术演进路径、产学研最新进展与差距、不同场景下AI能力边界、代表性厂商技术路线差异。 报告基于66家国内厂商问卷、11场深度访谈及国际公开资料，提炼13项关键发现：全球市场规模年均增速19-24%、头部厂商加速分化、数据质量成最大阻碍、工程化壁垒崛起等。市场按威胁检测、安全运营、数据安全等10大场景簇切分，并按Chatbot/Copilot、Agent智能体、内嵌增强三类交付形态梳理能力演进。 报告提供10大维度选型评估框架、30道RFI关键问题清单，并深度画像44家国内外代表厂商，为CISO、SecOps团队、产品负责人及投研机构提供可落地的战略参考与实践路径。</p> https://vipread.com/library/topic/4151 Wed, 06 May 2026 08:50:32 +0000 https://vipread.com/library/topic/4152 <a href='https://vipread.com/library/topic/4152'>本文链接</a><br /><br /><img src='/static/uimages/default.jpg'><br /><p>这份文档《AI辅助漏洞挖掘系统设计指南》系统阐述了一套基于大语言模型的自动化安全测试平台构建方法论。其核心设计哲学是"不束缚AI，只设边界"——不教AI如何做渗透测试，而是为其划定行为禁区与报告标准，充分利用模型自带的海量安全知识。</p> <p>文档提出与传统扫描器截然不同的架构：以单一"核心技能文件"替代繁杂规则库，通过"垃圾洞清单"过滤噪音、"七问验证门"把控报告质量、"速查卡"对抗AI遗忘机制，并采用决策树引导AI动态选择测试路径。系统架构涵盖前端仪表盘、后端调度服务、AI工作引擎及LLM API四层，支持会话生命周期管理、并发控制与实时通信。</p> <p>关键创新在于将"现象"与"漏洞"严格区分——只报可证明的结果（如越权、RCE），不报过程性发现（如配置缺失、信息泄露）。文档还详细设计了安全防护、磁盘监控、自动重连等机制，并提供从零搭建的三阶段路线图，强调核心技能文件的持续迭代是系统竞争力的根本来源。</p> https://vipread.com/library/topic/4152 Tue, 16 Jun 2026 03:59:16 +0000 https://vipread.com/library/topic/4153 <a href='https://vipread.com/library/topic/4153'>本文链接</a><br /><br /><img src='/static/uimages/https://archive1.vipread.com/covers/2026/07/topic/2_1783764835_c078fe19.jpg'><br /><p>一场关于“AI如何真正接管攻防闭环”的深度实践，这是又一个LLM+工具链的Demo，而是一次<strong>从“人指挥AI”到“AI自主求解”的范式跃迁</strong>——来自WgpSec安全团队2026年最新工程化成果：<strong>Alkaid智能体框架及其在真实攻防场景中的落地验证</strong>。</p> <p>这份材料，凝结了三个关键突破：</p> <p>🔹 <strong>第一，直面AI攻防的三大顽疾</strong>： 状态失忆（15轮后路径僵化）、知识幻觉（自编CVE/错PoC）、评测失真（90%通过率背后标准不一）——不是回避问题，而是用架构设计根治它。</p> <p>🔹 <strong>第二，定义AI在攻防中的三级演进</strong>： - Level 1 副驾驶：嵌入现有工具，辅助写报告、生成Payload； - Level 2 半自主：多步规划+人工Checkpoint，如PentestGPT式对话渗透； - <strong>Level 3 全自主★</strong>：给定目标域名或CTF题目，AI自动完成侦察→定位→利用→拿flag全链路——Cairn已在腾讯云挑战赛实现54/54全解。</p> <p>🔹 <strong>第三，用极简架构激发复杂智能</strong>： 摒弃RAG、MCP、微调等“外部依赖”，仅靠<strong>三原语黑板（Fact/Intent/Goal）+ OODA调度 + 自涌现机制</strong>，让攻击链像蚁群信息素一样自然生长。同样的基座模型，架构差异，能力上限天壤之别。</p> <p>特别值得一提的是，Alkaid首次统一实现了<strong>“达成模式”（如拿flag）与“覆盖模式”（如代码审计挖尽漏洞）</strong>——同一套引擎，两种数学级终止判据，既防LLM“自我欺骗”，也保攻击面“滴水不漏”。</p> https://vipread.com/library/topic/4153 Sat, 11 Jul 2026 09:58:50 +0000