洞源实验室

过去谈 DevSecOps，很多团队关心的是怎样把安全更早地放进研发流程里。现在，AI 已经进入软件开发生命周期，于是 DevSecOps 面临一个更现实的问题：当 AI 开始参与写代码、改代码、审代码，安全、合规和工程效率应该怎么重新组织？

今天在微信群里看到一组聊天记录，大概的说法是：只要在微信里看过一张包含某款手办的图片，再打开拼多多，首页推荐中就会出现同名的商品。这是怎么回事呢？

本文基于 Gartner 2016 年 9 月发布的研究报告《DevSecOps: How to Seamlessly Integrate Security Into DevOps》整理。虽然报告发布已经过了十年，但其中提出的理念和实践至今仍是理解 DevSecOps 的根本。

最近 Cloudflare 发布了一篇关于 Project Glasswing 和 Mythos Preview 的文章，表面上看，这是一篇关于“AI 模型帮助发现漏洞”的技术博客，但如果放到企业安全工作的实际场景中，它讨论的其实是一个更大的变化。

过去听到许多模型直接做代码审计发掘安全漏洞的例子，以至于许多人认为当下的模型已然可以解决代码安全分析，传统的SAST工具已经无用武之地了。事实上，并不是这样。

AI技术的盛行如今让许多人认为产品开发已然是容易的事情，是可以让产品经理岗位消失的可能性，但实际上却并非如此

这是一篇迟到的文章，至少相比现在AI发展的速度，但其思路依然适用于当前的CVE漏洞分析，甚至会因为目前更强的模型而变得更强。在 AI 技术快速变革的当下，除了模型能力之外，我们更应当多思考如何基于 AI 构建和形成有效的工作流。

上周，笔者参加了一个闭门沙龙。席间谈起一个当下很热、却也极易被谈浅的话题：当AI浪潮真正压到企业面前，安全人员和安全组织究竟会发生什么变化？

OpenClaw最大的价值，并不是 OpenClaw 自己。

自大语言模型（LLM）震惊世界后，XBOW利用LLM构建的智能漏洞挖掘一跃成为HackerOne排名第一，他们是怎么做到的？

几个月前，边界AI安全公司Irregular与OpenAI携手，针对GPT-5模型进行了一次基于模拟网络场景的自动化渗透能力的评估，通过该评估，旨在考查最新的GPT模型在逻辑性与精确性之于网络安全攻防方面的自动化能力。

今天，笔者想复盘一个前段时间发生在朋友身边的真实案例。这是一起典型的商务电子邮件入侵攻击。

最近，国外AI安全研究团队PromptArmor 发表了一篇文章，称利用谷歌Antigravity的特性功能可以构造攻击获取用户（开发者）的数据。

最近小米汽车的安全事故会让人不禁疑惑，安全测试不是做了许多，为何还是经不起事故考验？通过安全测试，就真的意味着产品是安全的么？不是。

记录一次SSD硬盘故障排查和解决的过程，好是折腾。

如何更好的进行Vibe Coding降低了开发的门槛和边界，但如何更好地开发出稳定地软件和程序，笔者总结了一些经验和模式。

本文是对Docker Desktop逃逸漏洞（CVE-2025-9074）的简要分析。

多年的开发经验、安全经验和管理经验，我总结了技术学习门道的7条心得，无论是从事软件开发，或者网络安全，又或者是其他的技术。

该系列是根据《从Top20开源组件漏洞浅谈开源安全治理困境》中我们梳理的最常见组件漏洞制作的漏洞分析系列。本篇是该系列的第二篇分析报告。

该漏洞分析报告是我们针对常见开源组件漏洞的Top20组件的漏洞分析之一。