INTEL · 安全情报
AI 安全威胁情报
聚合 19 家一线安全研究源,持续追踪大模型安全领域的漏洞披露、越狱攻防与威胁战役。
信源 19 家
情报 354 条
CSO
CSO Online
译文
2 小时前
随着钓鱼即服务走向产业化，Microsoft捣毁了一个涉及十亿条消息的地下市场。
Microsoft宣布已捣毁一个涉及十亿条恶意消息的犯罪平台。经过近一年的调查，在与国际执法机构及多家科技与网络安全公司合作下，这家位于雷德蒙德的公司识别并取缔了名为Yam Store的协调性地下网络，该网络专门从事商业钓鱼即服务（PhaaS）交易。该平台使网络犯罪分子能够轻松购买并快速部署预制工具包，用以在钓鱼攻击中窃取数据和凭证。Microsoft表示，此次行动始于日本当局提供线索发起的一项初步调查。"通过协同合作并借助AI工具，我们将原本看似无关的账户、网站和基础设施联系起来，从而揭露了背后更庞大的犯罪市场，"Microsoft数字犯罪部门副总法律顾问兼总经理Steven Masada在博客中写道，"表面上看似简单的诈骗消息，往往是一个庞大跨国网络犯罪活动的冰山一角。" 不断演化的PhaaS市场 Yam Store及其销售的工具包共同实现了向全球超过75,000家机构发送超10亿条消息的规模。其中超过7.5亿条消息专门针对Microsoft客户，最终为犯罪运营者创造了"数千万美元"的收益。对该市场的调查始于2025年底，当时日本警察厅向Microsoft通报了针对日本民众和企业的一系列欺诈活动。研究人员原以为会发现多个独立行动，却意外发现了一个"庞大且使用中文的网络犯罪市场"。调查范围随后扩展
数据窃取威胁战役沙箱逃逸
WIZ
Wiz Research
译文
7 小时前
AI时代的ASPM第一部分：跨技术栈的统一可视化
将现有代码扫描器集成至Wiz平台，实现全环境应用程序风险的统一视图
综合情报
DRK
Dark Reading
译文
7 小时前
Anthropic 'SneakPeek' 漏洞构成静默无交互威胁
Claude Code 桌面版预览窗格存在一处缺陷，可使攻击者静默窃取开发者的凭据，包括 SSH 私钥、AWS 凭证以及 Claude OAuth 令牌
数据窃取
CSO
CSO Online
译文
14 小时前
Claude Code的256KB盲区如何让开发者密钥暴露于预览界面
根据诺玛安全公司的最新研究结果，只需要求Anthropic公司的Claude Code工具审查HTML文件，攻击者就可能获取开发者本地计算机、云平台凭证及软件开发环境的访问权限。诺玛研究人员发现Anthropic旗下Claude Code桌面应用存在漏洞，可能导致HTML文件中嵌入的恶意JavaScript代码在无需用户额外交互的情况下自动执行，从而泄露主机敏感文件。
该被命名为"SneakPeek"的漏洞主要影响应用程序的自动化预览界面——该功能专门用于渲染Claude生成或修改的HTML文件。"这是新兴技术如何重塑攻击面的典型例证，"黑鸭公司网络安全治理主管罗纳德·路易斯表示，"攻击者正日益将目标对准人工智能生态系统，利用模型、智能体、工具、数据源及互联服务间的隐性信任关系。"
诺玛公司在周三正式发布前向CSO网站提供的博客文章中指出，攻击者可通过在公共代码库中植入恶意文件，等待开发者使用Claude Code审查该文件来利用此漏洞。当应用程序渲染文件时，脚本即可读取本地文件并将敏感数据（包括AWS凭证、GitHub密钥和SSH私钥）外泄至远程服务器。
该漏洞已获得CVSS 8.7的高危评分，目前尚未分配CVE编号。诺玛公司表示Anthropic在披露过程中与其实验室积极协作，现已完全解决
漏洞披露智能体攻击数据窃取沙箱逃逸
DRK
Dark Reading
译文
14 小时前
俄罗斯影响行动广泛针对拉丁美洲
此次利用人工智能发起的行动采用伪造邮件、虚假政府文件以及创建本地组织等手段，主要针对秘鲁和厄瓜多尔等国的教育机构
综合情报
THN
The Hacker News
译文
15 小时前
如何在克隆语音电话拨入前进行深度伪造应对演练
克隆语音与合成视频通话现已出现在支付欺诈、帮助桌面重置及访问请求中。在有组织的演练中安全团队可精确识别验证失效环节，且无需承担实际风险。周五下午4点40分来电——来电者正是（或声音与）首席财务官完全一致，要求财务主管在周末前紧急处理供应商付款，理由是交易即将达成
综合情报
THN
The Hacker News
译文
16 小时前
安全公司XBOW的团队将三个当时未知的Google Chrome漏洞串联成一次组合攻击，该公司表示，该攻击可在用户仅加载网页时就在Windows计算机上运行代码。其研究人员通过指导运行OpenAI公开可用的GPT-5.6 Sol模型的AI智能体，在六天内构建了这次攻击。Google现已确认所有三个漏洞，进行了修复，并支付给了XBOW最高等级的25万美元漏洞赏金
综合情报
WIZ
Wiz Research
译文
16 小时前
以机器速度守护使命：Wiz for Gov 推出 Wiz AI 智能体
Wiz AI 智能体能提升传统 CNAPP 效能，助力公共部门安全团队加速推进安全与创新
综合情报