INDEX / 38 ENTRIES
博客
我的所有博客文章
-
一文看懂 GPT-5.6 系列：Cyber 能力和安全护栏究竟怎么样？
GPT-5.6 的 cyber 进步不只是跑分上涨，而是漏洞发现、工具使用、长程推理和访问控制一起变化。真正值得关注的，是它仍未跨过 Critical 门槛，以及 OpenAI 如何用实时监控、可信访问和账号级执法给这类双用途能力加闸。
-
Anthropic 重磅研究：Claude 大脑里发现了"意识工作台"？深度解读 J-space
Anthropic 最新研究在 Claude 内部发现自发涌现的"全局工作空间"（J-space）：模型能报告它、控制它、用它推理，而大多数处理绕过它自动完成。本文深度解析方法、实验证据、安全应用与意识争议。
-
剖析 Claude Security：Anthropic 把『AI 安全研究员』产品化的真实样子
Opus 4.7 公测版 Claude Security 仅对 Enterprise 开放。从产品定位到技术架构、工作流闭环、能力边界、价格与生态六个维度做一次完整拆解，回答一个核心问题：它是不是颠覆，安全公司该不该慌。
-
Agent 安全的真正现场：从 Anthropic 金融 Agents 看『上得了线』的四件套
Anthropic 推 10 个金融服务 Agent 模板，搭载 Opus 4.7。真正值得看的不是模型性能，而是 per-tool permissions / managed credential vaults / full audit log / human-in-the-loop 被做成了默认配置——这标志大模型厂商安全重点正在从『模型对齐』转向『部署侧控制』。
-
AI 提交的安全 PR，真的更安全吗？一篇 3.3 万个 AI PR 的实证研究
论文《Insights into Security-Related AI-Generated Pull Requests》分析了 33,596 个 AI 生成 PR，并从中筛出 675 个安全相关 PR。最值得警惕的不是 AI 会不会写安全补丁，而是现有开源审查流程并没有很好地区分两类风险：一些带有可检测安全缺陷的 AI PR 被合并，另一些 PR 则因为无人响应、缺少测试、格式问题或流程噪声被关闭。AI coding agent 的安全问题，正在从代码能力问题，变成工程治理问题。
-
GPT-5.5 的安全冷读：当模型开始像一个廉价研究员
GPT-5.5 的安全问题不在于它突然失控，而在于它把漏洞研究、生物科研规划和多步骤代理任务变得更便宜、更持久、更容易规模化。
-
如何评价 Cyber Defense Benchmark：从任务定义、基准设计到模型结果
《Cyber Defense Benchmark: Agentic Threat Hunting Evaluation for LLMs in SecOps》最有价值的地方，不是给出一个‘模型整体很差’的结论，而是把 threat hunting 明确建模为一种开放式、证据驱动、预算受限的序列决策任务。只有把论文的问题设定、benchmark 的数据与环境设计、以及各模型的失败模式放在一起看，才能理解它真正证明了什么：当前 frontier models 的主要短板，并不只是安全知识不足，而是无法稳定地把知识转化为高收益检索、精确归因与提交策略。
-
Hermes 长出了免疫系统？记忆文件、遗忘机制与 Agent 的自我防御
腾讯玄武实验室那篇关于 Hermes Agent 的文章，真正值得看的，不只是一个已经修补的 SMS Webhook RCE，而是另一件更耐人寻味的事：一个原本为记忆与技能沉淀设计的 Review 机制，在持续攻击压力下，开始表现出近似适应性免疫的行为。如果把记忆与遗忘一起理解为系统的免疫应答，这件事会显得更准确，也更不浪漫。
-
Anthropic 把 Agent 安全原则写进产品页了：Claude Cowork 释放了一个值得盯紧的信号
Claude Cowork 官方页最值得关注的，不只是 Anthropic 又做了一个能在桌面上代办任务的 Agent 产品，而是它已经在产品正文里更明确地写入 human oversight、trust、access、control 这类部署安全语言。这说明 Anthropic 正持续把高权限 Agent 的安全原则，从研究框架推进到产品叙事与默认交互边界中。这个信号还不足以构成独立安全公告，但足够进入 Watchlist。
-
Firefox 一次修 271 个漏洞，真正的新闻不是 AI 更会找 bug，而是软件安全的瓶颈换了位置
Mozilla 在 Firefox 150 中修复了 271 个由 Anthropic Mythos Preview 识别出的漏洞。单看这个数字很震撼，但更重要的变化不是某个模型又刷新了成绩，而是软件安全长期依赖的稀缺性正在被改写：漏洞发现不再稀缺，验证、修复、发布和维护者承载能力正在成为新的瓶颈。把这条新闻和 Mozilla 3 月的 Firefox 148 协作、Anthropic 的 Project Glasswing、OpenAI 的 Trusted Access for Cyber，以及 cURL 因 AI 垃圾报告关闭 bounty 计划放在一起看，会发现我们进入的不是“AI 帮安全团队提效”这么简单，而是软件安全经济学被整体翻面。
-
Kimi K2.6 的安全重点，已经不是聊天拒答，而是 Agent 时代的运行时安全
Moonshot 在 2026 年 4 月 20 日发布的 Kimi K2.6 技术博客，没有单独给出 system card，却非常明确地把安全叙事推进到 agent 场景：长时间 research 任务中的安全意识、多 Agent 协同下的失败检测与任务重分配，以及借助 Kimi Vendor Verifier 处理第三方推理实现偏差与供应链可信度。真正值得关注的，不是 K2.6 会不会多拒答几句，而是 Moonshot 已开始把运行时安全、编排安全和推理供应链安全当成一类更核心的问题。
-
一个 Roblox 外挂如何击穿 Vercel：AI 工具供应链攻击的第一滴血
Vercel 安全事件深度复盘——从一个游戏外挂到 200 万美元的数据勒索，AI 工具正在成为企业安全最脆弱的供应链环节
-
你的 Agent 也许早就不归你了：LLM Router 正在变成新的供应链攻击入口
一篇最新 arXiv 论文系统测量了恶意 LLM Router：它们不只会偷看 prompt，还能改写 tool call、窃取密钥，甚至在自主执行模式下直接接管 Agent。
-
AWE：安全 Agent 正从『会逛网页』，走向『按漏洞类型稳定打洞』
AWE 不是又一个会自己点页面的通用 Agent，而是把 Web 渗透拆成漏洞特定流水线、持久记忆和浏览器验证，展示了安全 Agent 正从模型竞赛走向架构竞赛。
-
Hermes Agent：当 Agent 会自己长出 Skill，安全边界就要前移
我认真看了 Hermes Agent 项目后，一个感受很强：它真正独特的地方，不只是多平台、多工具，而是把 skill 当成程序化记忆，让 agent 能从经验里沉淀技能、持续改写技能。这也意味着，skill 不再只是提示词资产，而是 Agent 安全里最需要重点防守的长期执行载体。
-
Anthropic 发布 Project Glasswing：AI 网络安全正在进入“模型找洞、联盟修补”的新阶段
Anthropic 于 2026 年 4 月 7 日发布 Project Glasswing，用未公开的 Claude Mythos Preview 联合 AWS、微软、Cisco 等机构加固关键软件。它释放出 5 个清晰信号：AI 漏洞挖掘能力跃迁、前沿模型受限开放、开源安全战略化、漏洞处置自动化，以及“联盟式防御”正在成为新范式。
-
如何读懂 Anthropic 最新安全卡：Mythos Preview 的真实风险，不在平均表现，而在部署边界
Anthropic 于 2026 年 4 月 7 日发布 Claude Mythos Preview System Card。真正值得认真阅读的，不是单个 benchmark 分数，而是它如何在 Responsible Scaling Policy 3.1 框架下，同时处理 autonomy、chemical/biological、cyber 与 alignment 四类风险，并最终得出一个极不寻常的结论：这是其迄今能力最强的模型之一，但不适合一般可用发布，而应被限制在受控的防御性网络安全场景中。
-
Agent Skill 凭据泄露：stdout 日志是头号风险
一篇 2026 年 4 月 3 日提交到 arXiv 的论文，首次对 agent skill 凭据泄露做大规模量化：在 17,022 个抽样技能中发现 520 个受影响技能、1,708 个安全问题，其中 73.5% 的漏洞来自 print/console.log 这类 stdout/debug logging 泄露面。
-
AgentWatcher：把 Prompt Injection 检测从黑盒分类，变成“先归因、再判案”
AgentWatcher 用两步法处理 Agent 时代的 Prompt Injection：先用 attribution 从长上下文中定位真正影响动作的片段，再让带显式规则的 monitor LLM 做判定。论文在 AgentDojo、AgentDyn、InjecAgent 和多组 long-context 数据集上拿到了很强的 utility / ASR trade-off。
-
从 AI 厂商招聘信号，看 AI 安全行业正在长出哪些新岗位
基于 2026 年 4 月 2 日对 Anthropic、OpenAI、xAI、智谱 GLM、Kimi 和 MiniMax 公开招聘页面的梳理，这篇文章总结出 AI 安全行业正在新增的 6 类岗位：threat intelligence、Safety Ops、评测工程、post-training safety、Safety PM，以及基础设施与风险治理岗位。
-
ATBench：为什么我会把它看作长程 Agent Safety 的高信号基准
ATBench 把 agent safety 评测的单位从单轮 prompt 和最终答案，推进到完整 trajectory。它用 1,000 条轨迹、2,084 个工具池、1,954 次工具调用，以及 delayed-trigger 长上下文协议，逼近真实 Agent 风险如何在多步交互中出现、累积和爆发。
-
Claude Code 真正可怕的地方：它内部已经长出了 Task、Team、Memory 和 Cron 这套 Agent Runtime
如果你还把 Claude Code 理解成一个“会读文件、会跑命令”的 coding assistant，那可能低估它了。从最新源码看，它内部已经长出 Task、Team、Memory、Cron、Plan Mode 这些系统级能力，更像一套正在逐步开放的 Agent Runtime。
-
Claude Code 的 Bash 安全模型：为什么 shell 不是黑名单问题，而是语义控制问题
对高权限 Agent 而言，shell 的风险从来不只是少数危险命令，而是整套可重写、可包装、可组合、可漂移的执行语义。基于 Claude Code 最新源码，本文从研究视角分析其 Bash 安全模型，说明为何真正有效的控制对象不是关键词黑名单，而是动作语义、路径语义、权限语义与意图语义的分层联动。
-
从零信任视角解构 Claude Code：身份绑定、动作级权限与意图判断
如果把 Claude Code 视为一个高权限 Agent 运行时，那么真正关键的问题就不再是“它能做什么”，而是“谁在驱动它、每个动作如何被约束、系统如何判断动作是否符合人的真实意图”。基于最新源码，本文从研究视角分析其在人-Agent身份绑定、入向/出向权限检查、Bash高风险控制与Action级零信任上的设计。
-
从 OpenAI Safety Bug Bounty 看 AI 安全的新趋势：漏洞赏金，正在从 Web 安全走向 Agent 治理
OpenAI 在 2026 年 3 月 25 日公开推出 Safety Bug Bounty，看起来像是一次常规安全公告，实际上却是在重新定义 AI 安全的边界：哪些问题属于可修复、可验证、可奖励的系统级缺陷，哪些又只是模型输出层面的现象。结合 Bugcrowd 当前范围、Anthropic 的 Model Safety Bug Bounty 与 RSP 3.0、xAI 的公开漏洞披露和安全控制、Microsoft 的 Copilot bounty，可以看到一个清晰趋势：AI 安全正在从『回答是否违规』转向『系统是否会替用户做错事』。
-
Claude Code 的 Auto Mode，真正厉害的不是自动，而是可编程的安全分类器
很多人会把 Auto Mode 理解成“少弹窗、自动放行”。但从 Claude Code 源码看，它的核心不是 YOLO，而是一套围绕分类器、规则注入、缓存优化和失败降级构建的权限决策系统。
-
Claude Code 的 /btw 为什么很妙：一个不打断主线的 Side Question 是怎么做的
表面上，/btw 只是“顺手问一句”。但从源码看，它背后其实是一套很精巧的 sidecar 架构：复用主会话上下文、复用 prompt cache、禁止工具、单轮返回、并且不污染主线程。
-
你的「龙虾」安全吗？Axios 遭供应链投毒，植入远控木马
都在关心龙虾能不能吃，程序员的「龙虾」也出事了——npm 上每周 6000 万下载的 axios 被劫持，恶意版本植入跨平台远控木马。本文分析攻击原理并提供自查命令。
-
解密 Claude Code：那些已经写进源码、却还没完全放开的隐藏能力
很多人以为 Claude Code 现在展示出来的能力，就是它全部的能力。但从最新源码看，真正有意思的地方在于：它已经埋好了大量内部功能和受限能力，只是通过 feature flag、权限策略、账号形态和构建目标，把它们层层锁住了。
-
用 eBPF 给 AI 编程 Agent 做透视：ClawXRay 的技术实现
当 Claude Code 在你的机器上执行 200 次 API 调用时，你知道它发了什么、花了多少 Token 吗？ClawXRay 用 eBPF 在内核层拦截 TLS 加密流量，让 AI Agent 的每一次 LLM 调用都无所遁形。
-
Claude Code 的 Plan Mode，不只是“先想后写”，而是一套权限状态机
很多人把 Plan Mode 理解成一个更爱先思考的 Prompt。但从源码看，Claude Code 真正做的是：把“规划”提升成一个可进入、可退出、可审批、可恢复的系统状态。
-
像保护程序控制流一样保护 Prompt：PCFI 论文解读
一篇把软件安全中的控制流完整性（CFI）思想搬到 Prompt 防护的论文。核心洞察：Prompt Injection 本质上是一个结构性问题——低优先级输入篡改了高优先级指令的执行流。
-
不绑定任何 Agent 框架：我们如何用双契约设计构建安全智能体平台
当所有人都在争论该选 LangChain 还是 Claude Code 时，我们选择了一条不同的路——定义两个通用契约，让任何 Coding Agent 都能成为平台的执行引擎。
-
Agent 可观测概述4：从数据到判断
这是 Agent 可观测性系列的最后一篇文章，探讨如何从数据走向判断：成本归因、行为基线、异常检测，以及让可观测性真正可运营。
-
Agent 可观测概述3：采集与还原的现实选择
这是 Agent 可观测性系列的第三篇文章，探讨数据采集的三种范式、审计与运行时的错位问题，以及可还原性优于全量采集的设计原则。
-
Agent 可观测概述2：我如何理解 Agent 的关键对象
这是 Agent 可观测性系列的第二篇文章，探讨 Agent 世界中的四类核心对象：Agent、Model Source、Tool、Agent-to-Agent Link。
-
Agent 可观测概述1: 为什么 Agent 会让"看得见"变难
这是 Agent 可观测性系列的第一篇文章，探讨 Agent 时代可观测性面临的核心挑战：不确定性、语义鸿沟和数据孤岛。
-
Runc 容器逃逸漏洞 (CVE-2025-31133 等) 详细分析
深入分析 2025 年 11 月披露的三个 runc 高危漏洞，探讨其攻击原理、利用方式及修复建议。