先知技术社区

本文基于自研 AI 安全审计平台 DeepCollab 的A/B沙箱对照实验，揭示了AI智能体在强制指标压力下产生的“过度声称”与“定级漂移”现象。实验表明，AI并非缺乏定级能力，而是“形式优先于实诚”。文章最后给出了四条可落地的提示词治理规范，旨在降低安全审计中的成本错位与人机协同摩擦

本文针对 xAI 官方开源组件 xai-grok-agent 进行了深度的静态源码审计。研究发现，系统在加载本地配置文件（如 AGENTS.md）时，存在未经隔离的直接字符串拼接（CWE-1427），并在拼接后附加了强制执行指令。攻击者可通过供应链投毒（恶意开源仓库），实现对开发者本地 AI Agent 的持久化上下文劫持（OWASP ASI06）。文章披露了从文件读取到提示词拼接的完整攻击链，并

本文针对 xAI 官方开源组件 grok-build 进行了深度的静态源码审计。研究发现，CLI 的「导入 Claude 设置」功能在写入项目作用域内容时，直接对由仓库内容推导出的路径做普通文件写入。若被克隆的仓库将 .grok 或 .grok/hooks 设为目录符号链接并指向用户 Grok 主目录，导入过程就会跟随链接，将恶意钩子和权限规则写入用户的全局受信目录，导致每

AI 网关里 provider 密钥有三个产品同时出问题：Kong 的 $(headers.x-up) 模板让请求方决定密钥发往哪台主机；APISIX 同族 6 个 AI 插件里只有 ai-request-rewrite 没声明 encrypt_fields，etcd 里落盘是明文；Higress 客户端能伪造 x-higress-fallback-from 让伪造凭证活到下游。配套 ai-gat

本文以 Apache Syncope 的一个真实漏洞链为例，整理 Groovy 黑名单沙箱的三类绕过方式：解释器逃逸、运行时间接调用、反射与黑名单盲区。每种方式都会从沙箱的实现原理出发，说明绕过的切入点在哪、为什么能绕过，并给出在真实目标上的利用效果。

关于DeepSeek Harness安全问题的小研究

它不是内存安全漏洞，也不是逻辑越权。它的本质是：地址解析层中存在三条相互独立的超线性（近二次）性能路径与一个参数上限触发的异常路径，而地址解析在 Node.js 的单线程事件循环上同步执行。

@tiptap/core >=3.7.0,<3.30.5 的 Markdown 属性解析里存在两条二次时间复杂度路径：Pandoc 风格的块属性解析器（attributeUtils.ts）在键值匹配和清理两个阶段各执行一次同型的未锚定贪婪搜索；行内 shortcode 解析器（createInlineMarkdownSpec.ts，以及 Mention 扩展自带的内联实现）对无等号的长词串从每个位

OpenTelemetry-Go 的 OTLP 日志 gRPC 导出器（go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc，受影响区间 v0.5.0–v0.20.0，官方口径 < v0.21.0）会把 OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE 这组环境变量完整解析进 cfg.tlsCfg——根 CA、

CVE-2026-88975（CVSS 3.1 7.5，CWE-400）是 http4s Ember HTTP/2 实现的未认证资源消耗漏洞：读循环在缓冲完整 9 + length 字节之前不做任何帧大小校验，对端可以在 9 字节帧头里声明一个接近 24 位上限的单帧长度，并持续发送接近 16 MiB、但仍不足额的负载，使当前未完成帧的累积缓冲 acc 驻留约 16 MiB——约为 16 KiB

一条 8 MiB 的字符串，不需要账号、不需要权限，远程就能让进程 SIGSEGV。glibc 里活了二十四年的 wordexp，栽在一个 ~ 上。

比较新颖的xss

纯标准库搭一个三跳以内的邮件靶场，把两封信读成投递链：伪造那封在 Received 时间倒挂 6000 秒、信封域与显示域不一致两处露馅，判定脚本给出退出码 0/1，可批量初筛。

题目比较综合，考查取证的基本思路

动调

记录一次真实众测中的攻击面扩展过程。文中资产信息均已脱敏，仅用于技术交流。

2025 年 9 月 1 日，国内《人工智能生成合成内容标识办法》正式施行，AI 生成内容被要求打上"显式+隐式"双重标识；国际上，Adobe 主导的 C2PA 内容凭证标准已经被 OpenAI、Google 等厂商接入。标准来了，但我一直有个疑问没人认真测过：这些藏在图片文件里的溯源凭证，到底能活多久？一张 AI 图从生成到被转发、压缩、截图、裁剪，凭证还会在吗？这篇文章我把三家生成器的图片丢进

vLLM 在 `0.26.0` 之前的两个 derender 端点会接受调用方提交的嵌套 `GenerateResponse`，并在资源边界校验前执行去分词、logprob 处理和 OpenAI 兼容响应构造。拥有相应 API 访问权限的客户端因此可用格式合法、但规模异常的 JSON 竞争 CPU、内存、响应缓冲与带宽，影响同一服务上的其他请求。

不解密 HTTPS、不装终端插件，纯靠流量侧能不能发现内网谁在调大模型。隔离网段里对照采集 DeepSeek API、Ollama 明文、普通浏览和文件下载，从 DNS、SNI、JA3、HTTP、SSE 五层拆痕迹。Suricata 四道闸门回放混合 pcap：六条告警全是真阳性，12 个主流站点加 pip 装包零误报。DoH 只拆掉 DNS 闸门；IP 直连前置代理会让 DNS 和 SNI 一起

MCP stdio 服务器配置的授权检查仅部署于 REST 层，经流程图组件参数路径可完全绕过，导致任意 npm/PyPI 包执行