Aggregator

关于 LLM 风险入口的小总结

算是一个 ZCode 都 0day，通过打开恶意的目录触发

本文基于自研 AI 安全审计平台 DeepCollab 的A/B沙箱对照实验，揭示了AI智能体在强制指标压力下产生的“过度声称”与“定级漂移”现象。实验表明，AI并非缺乏定级能力，而是“形式优先于实诚”。文章最后给出了四条可落地的提示词治理规范，旨在降低安全审计中的成本错位与人机协同摩擦

本文针对 xAI 官方开源组件 xai-grok-agent 进行了深度的静态源码审计。研究发现，系统在加载本地配置文件（如 AGENTS.md）时，存在未经隔离的直接字符串拼接（CWE-1427），并在拼接后附加了强制执行指令。攻击者可通过供应链投毒（恶意开源仓库），实现对开发者本地 AI Agent 的持久化上下文劫持（OWASP ASI06）。文章披露了从文件读取到提示词拼接的完整攻击链，并

本文针对 xAI 官方开源组件 grok-build 进行了深度的静态源码审计。研究发现，CLI 的「导入 Claude 设置」功能在写入项目作用域内容时，直接对由仓库内容推导出的路径做普通文件写入。若被克隆的仓库将 .grok 或 .grok/hooks 设为目录符号链接并指向用户 Grok 主目录，导入过程就会跟随链接，将恶意钩子和权限规则写入用户的全局受信目录，导致每

AI 网关里 provider 密钥有三个产品同时出问题：Kong 的 $(headers.x-up) 模板让请求方决定密钥发往哪台主机；APISIX 同族 6 个 AI 插件里只有 ai-request-rewrite 没声明 encrypt_fields，etcd 里落盘是明文；Higress 客户端能伪造 x-higress-fallback-from 让伪造凭证活到下游。配套 ai-gat

覆盖 11 个分类。Web 方向的主线是解析器差异——三个幽灵的 Java char 截断、Auto-3 的 requestURI 与 Tomcat 归一化不一致、推推字母的零参函数返回值通道，攻击成立的共同前提是程序里存在两个观察同一输入的代码位置而它们看到的字节序列不同。Crypto 方向集中在素数生成环节：Pell 数列的代数关联、p−1 的光滑结构、高位信息的部分泄露、平方根歧义被接口消解

一项关于"欺骗式防御"边界条件的测量研究

本文以 Apache Syncope 的一个真实漏洞链为例，整理 Groovy 黑名单沙箱的三类绕过方式：解释器逃逸、运行时间接调用、反射与黑名单盲区。每种方式都会从沙箱的实现原理出发，说明绕过的切入点在哪、为什么能绕过，并给出在真实目标上的利用效果。

关于DeepSeek Harness安全问题的小研究

它不是内存安全漏洞，也不是逻辑越权。它的本质是：地址解析层中存在三条相互独立的超线性（近二次）性能路径与一个参数上限触发的异常路径，而地址解析在 Node.js 的单线程事件循环上同步执行。

OpenTelemetry-Go 的 OTLP 日志 gRPC 导出器（go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc，受影响区间 v0.5.0–v0.20.0，官方口径 < v0.21.0）会把 OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE 这组环境变量完整解析进 cfg.tlsCfg——根 CA、

随机 tcache_key 拦截 double-free，safe-linking 隐藏链表指针，malloc/free hook 被连根移除。

CVE-2026-88975（CVSS 3.1 7.5，CWE-400）是 http4s Ember HTTP/2 实现的未认证资源消耗漏洞：读循环在缓冲完整 9 + length 字节之前不做任何帧大小校验，对端可以在 9 字节帧头里声明一个接近 24 位上限的单帧长度，并持续发送接近 16 MiB、但仍不足额的负载，使当前未完成帧的累积缓冲 acc 驻留约 16 MiB——约为 16 KiB

一个 xn-- 前缀加一个尾 -，黑名单里的域名就能原样通过校验；ToUnicode("xn--example-.com") 解码出 example.com 却不带错误。

一条 8 MiB 的字符串，不需要账号、不需要权限，远程就能让进程 SIGSEGV。glibc 里活了二十四年的 wordexp，栽在一个 ~ 上。

过去做大模型安全时，我们习惯把注意力放在模型“看到了什么”：Prompt Injection、RAG 文档投毒、工具返回污染，本质上都在影响模型接收到的上下文。Structured Output、JSON Schema、GBNF、Guided Decoding 这类机制出现后，有一个问题又值得我们关注：模型下一步究竟被允许生成什么？

ONLYOFFICE Document Server 0x00 前言先把边界说清楚，免得读完觉得被辜负：不提供可用的请求体、不提供 runtime.json 内容、不搭 EXP 靶场、不放"跑通了"的截图。不评价任何在野利用的具体操作步骤，公开研究里那部分我一行都不会复述。那"本地复现"复现到哪一层？说清楚，免得这条边界显得只是措辞：做了：把仓库里的真实函数

MCP Python SDK 的传输层做了 Host/Origin 校验（421 拦截），但同一个文件里另一个类——create_auth_routes() 自带的 OAuth 授权服务器——没做。7 个 OAuth 端点全军覆没：注册客户端（返回 client_secret）、授权、换令牌、自省全不拦 Host。DNS rebinding 配合下能拿到受害者令牌。配套 mcp-as-hostch

一个键名后面还有没有点号，本该在本行之内就能确认。在 smol-toml ≤ 1.8.0 里，这个判断被做成了以整篇文档为范围的全文搜索。smol-toml 是 Squirrel Chat 维护的轻量 TypeScript TOML 解析器。