Seebug Paper

作者：Bingxin Xu, Yuzhang Shang, Binghui Wang, Emilio Ferrara 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.14323v1 摘要 视觉-语言-动作（VLA）模型正日益部署于安全关键型机器人应用中，但其安全漏洞尚未得到充分研究。我们发现现代VLA系统存在一个根本性安全缺陷：动作分块与增...

作者：Isabel Straw、Akhil Polamarasetty、Mustafa Jaafar 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.12593v1 摘要 随着医疗技术的互联性日益增强，依赖植入式或可穿戴医疗设备的人际暴力（IPV）受害者成为一个极易受伤害的群体。尽管医疗技术创新和“居家健康”生态系统发展迅速，但医疗设备网络...

作者：Zhihao Dou、Dongfei Cui、Weida Wang等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.14054v1 摘要：拆分学习（Split Learning, SL）提供了一种协同模型训练框架，允许参与者共享同一数据集同时保留独特的特征集，从而保障数据隐私。然而，拆分学习易受后门攻击的影响——恶意客户端会通过微妙...

作者：Zhiqiang Wang、Yizhong Ding、Zilong Xiao等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.06177v1 摘要 PHP在Web开发中的主导地位受到安全挑战的影响：静态分析缺乏语义深度，导致误报率高；动态分析计算成本高昂；自动漏洞定位存在粒度粗糙、上下文不准确的问题。此外，缺乏大规模PHP漏洞数据集...

作者：Xiaonan Liu、Zhihao Li、Xiao Lan等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.09129v1 摘要 夺旗赛（CTF）在现代网络安全领域占据核心地位，是培养安全人才、评估源于真实漏洞的攻防技术的主要平台。尽管大型语言模型（LLM）近年来取得了显著进展，但现有基于LLM的智能体在高难度密码学CTF挑战中仍...

作者：Ruiqi Li、Zhiqiang Wang、Yunhao Yao、Xiang-Yang Li 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2601.07395v1 摘要 为了规范基于大型语言模型（LLM）的智能体与其环境之间的交互，模型上下文协议（MCP）应运而生并得到了广泛应用。然而，集成外部工具扩大了攻击面，使智能体面临工具投毒攻击的...

作者：Tianwei Lan, Farid Nait-Abdesselam 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.21404v1 摘要 安卓恶意软件在规模和复杂性上的快速增长，推动了机器学习（ML）技术在可扩展、高精度恶意软件检测中的广泛应用。尽管这些模型效果显著，但仍易受对抗攻击——攻击者通过精心设计的特征级扰动，在保留恶意功能...

作者：Yifan Yao, Baojuan Wang, Jinhao Duan等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.21371v1 摘要 基于聊天的网络犯罪已成为一种普遍存在的威胁，攻击者利用实时消息平台实施诈骗，这类诈骗依赖于建立信任、欺骗和心理操控。传统的防御机制基于静态规则或浅层内容过滤，难以识别这些对话式威胁——尤其是...

作者：Kiddo 原文链接：https://kiddo-pwn.github.io/blog/2025-11-30/writing-sync-popping-cron 引言 9 月，在为 Pwn2Own Ireland 2025 做准备时，我翻遍了 Synology NAS 的 N-day 漏洞寻找灵感。DEVCORE 传奇团队在 Pwn2Own 2024 上公布的 Synology Bee...

作者：DeepSeek-AI 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/pdf/2501.12948 摘要 通用推理是人工智能领域一项长期且艰巨的挑战。近年来，以大型语言模型（LLMs）（Brown 等人，2020；OpenAI，2023）和思维链提示（Wei 等人，2022b）为代表的突破性进展，在基础推理任务上取得了显著成功。然而，这种成功高度依赖大...

作者：陈广 原文链接：https://blog.chain0x0.com/blog/%E6%B5%8F%E8%A7%88%E5%99%A8%E5%AE%89%E5%85%A8%E7%AE%80%E5%8D%95%E8%AE%B0%E5%BD%95 序言 在src漏洞挖掘中总是遇到高版本chrome浏览器的问题，网上经常看到poc或者exp，但是无法在本地实现复现，本文将记录学习过程，探讨在不...

作者：Lichao Wu, Sasha Behrouzi, Mohamadreza Rostami等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.21008v2 摘要 混合专家（Mixture-of-Experts, MoE）架构通过对每个输入仅激活参数的稀疏子集，在降低计算成本的同时实现了最先进的性能，推动了大语言模型（Large L...

作者：知道创宇404实验室 2025年全球网络安全漏洞呈现 “总量激增、风险集中、攻击链复杂” 的显著特征，成为网络安全攻防的关键转折年。MITRE官方CVE数据库显示，全年新增CVE 48185条，刷新历史峰值。更关键的是，漏洞从公开到出现大规模在野利用的平均间隔由32天缩短至5天，全年零点击、AI原生、供应链RCE漏洞集中爆发，波及操作系统、AI框架、企业ERP、边界设备等核心环节，影响...

作者：Toqeer Ali Syed, Mohammad Riyaz Belgaum, Salman Jan等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.23480v1 摘要 软件供应链攻击正日益聚焦于受信任的开发和交付流程，传统的构建后完整性机制已不再适用。现有的SLSA、SBOM和in toto等框架主要用于提供溯源和可追溯性，但...

作者：知道创宇404实验室 在走通之前的fuzz方案后，开始对另一款IoT设备的goahead服务进行fuzz，步骤思路跟之前一样，唯一的区别是，全程尝试让AI作为主力，我们作为AI的辅助和操纵者。 准备工作 我使用的AI工具为Gemini cli + VSCode。因为Gemini需要访问到IDA，因此还需要在当前目录编写一个GEMINI.md文件，内容为： 你可以使用用户电脑上的IDA ...

作者：Savvy Sharma, George Petrovic, Sarthak Kaushik 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.21048v1 摘要 医疗人工智能（AI）需要大规模、多样化的数据集，但严格的隐私保护和监管约束阻碍了机构间的原始数据共享。联邦学习（FL）通过在数据所在位置进行训练、仅交换模型更新来缓解这一问...

作者：Justin W. Lin, Eliot Krzysztof Jones等 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.09882 摘要 我们首次在真实企业环境中对人工智能代理与人类网络安全专业人员进行了全面评估。我们在一个包含12个子网、约8000台主机的大型大学网络中，对10名网络安全专业人员、6个现有人工智能代理以及我们新开...

作者：Reachal Wang, Yuqi Jia, Neil Zhenqiang Gong 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.09321v2 摘要 提示注入攻击旨在污染大型语言模型（LLM）的输入数据，误导其执行攻击者指定的任务而非预期任务。在许多应用场景和智能体中，输入数据来源于多个源，每个源贡献整体输入的一个片段。在这些...

作者：Kuldeep Singh Yadav, Lalan Kumar 译者：知道创宇404实验室翻译组 原文链接：https://arxiv.org/html/2512.09311v1 摘要 可疑度评估对于复杂环境下的主动威胁检测和公共安全保障至关重要。本文提出了一个大规模标注数据集USE50k，以及一个计算高效的基于视觉的实时可疑度分析框架。USE50k数据集包含65,500张图像，采集...

作者：知道创宇积极防御实验室 1. 背景 根据创宇安全智脑监测，近期披露的React2shell漏洞正在被积极利用。React 是一个用于构建用户界面的 JavaScript 库，其中React Server Components（RSC）中的 react-server 相关包（如 react-server-dom-webpack 等），该组件由于在处理 Flight 协议数据时存在不安全的...