登录社区云，与社区用户共同成长
邀请您加入社区
火狐浏览器的代码库，此前已经被好几代大模型翻过几轮。OpenAI 在 11 月 5 日的官方博文里说，新模型又从中找出 81 个此前未被公开的高危漏洞，并给出了可复现的证据，Mozilla 已经开始推
本文分享了在第十三届山东省网络安全技能大赛中，利用AI辅助CTF解题的实战经验。作者基于Mac Silicon架构，采用oMLX推理框架与Qwen3.8-Flash-Next模型（4-bit量化），结合Pi Agent、提示词优化与外部工具，实现120 token/s的吞吐量，最终完成17道题目。文章系统阐述了模型选型、推理框架、量化策略、提示词工程及人机协同等关键环节，强调AI可显著提升解题效率
本文分享了在第十三届山东省网络安全技能大赛中，利用AI辅助CTF解题的实战经验。作者基于Mac Silicon架构，采用oMLX推理框架与Qwen3.8-Flash-Next模型（4-bit量化），结合Pi Agent、优化提示词与并发处理，实现120 token/s吞吐量，最终完成17道题目。文章系统阐述了模型选型、推理框架、量化策略、提示词工程及人机协同等关键环节，强调AI可显著提升解题效率，
本文分享了在第十三届山东省网络安全技能大赛中，利用AI辅助CTF解题的实战经验。作者基于Mac Silicon架构，采用oMLX推理框架与Qwen3.8-Flash-Next模型（4-bit量化），结合Pi Agent、优化提示词与外部工具，实现120 token/s吞吐量，最终完成17道题目。文章系统阐述了模型选择、推理框架、量化策略、提示词优化及人机协同等关键环节，强调AI虽能显著提升效率，但
本文分享了在第十三届山东省网络安全技能大赛中，利用AI辅助CTF解题的实战经验。作者基于Mac Silicon架构，采用oMLX + Qwen3.8-Flash-Next + Pi Agent的组合，通过模型量化、提示词优化、并发处理与外部工具协同，实现120 token/s的吞吐量，最终完成17/20题（含多道高难度题）。文章强调：AI可显著提升解题效率，但安全研判仍需人类主导，关键在于人机协同
本文带你了解腾讯 WorkBuddy 智能体在漏洞挖掘中的实战用法，完整拆解 AI 辅助挖洞全流程：资产梳理、接口抓取、漏洞初筛、报告生成。同时点明 AI 的能力边界，强调合规挖洞、人工复核的重要性，梳理挖洞必备的 8 大基础知识，教你走通 SRC 漏洞变现这条路，文末附带全套网安学习资料。
CTF-RE-TOOL v1.7.3一个基于 Electron 的 CTF 逆向 AI 解题工作台（Windows 桌面应用）。把「静态分析 → 动态 Hook → 算法还原 → 本地验证」串成一条 AI 可自主驱动的流水线，并通过 MCP 实时接入 IDA / JEB / Burp，内置 11 个逆向方法论技能（Skills）与可检索的结构化知识库（Wiki）。AI 工具循环（Tool-Use）
网络安全学习路径复杂，本文详细解读360大佬整理的“2026年网络安全学习路线图”，旨在帮助新手系统掌握网络基础、操作系统原理、漏洞利用、安全工具实践等核心技能。文章强调理解原理优先于工具操作，并推荐通过CTF平台、个人实验室等实战环境提升能力。同时，路线图也涵盖了云安全、逆向分析等进阶领域，为读者提供从入门到精深的完整学习框架。网络安全领域日新月异，许多初入者面对庞大的知识体系往往无从下手。想成
的热度一直居高不下，凭借 AI 智能体自主执行任务、可扩展 Skills 生态的特点火遍各大圈子。越来越多人开始把它用到实际工作里，连网络安全圈也有人。今天就从实操思路出发，拆分为 5 个步骤，带大家理清 AI 辅助漏洞挖掘的完整基础流程。那零基础小白，能不能依靠 WorkBuddy 入门漏洞挖掘？完整的实操路线该如何规划？网上也有不少人晒出成果，靠着这套思路拿到可观的赏金。但这里必须提前说明，审
这段时间，身边聊"AI 挖洞"的人明显多了起来。原因不难理解：漏洞挖掘这件事里，最磨人的从来不是"判断"，而是"筛查"——资产要一个个测绘、端口要一个个探、报告要一份份整理。这些活儿恰好是 AI Agent 最擅长的。WorkBuddy 这类智能体工具火起来之后，已经有不少安全圈的朋友把它接进了自己的挖洞流程。，把它当成一个方向，比当成一个承诺更靠谱。
这份《从架构分析到实测：LLM自动渗透测试实证研究》用扎实的数据打破了“多智能体一定强”、“RAG一定是标配”的神话。它提醒我们：在AI安全落地过程中，不要为了复杂而复杂。回归模型特性，精炼架构设计，做好记忆管理，才是AutoPT走向真正实战的破局之道。论文链接：https://arxiv.org/pdf/2604.05719开源代码：https://github.com/simon-p-j-r/
2025 年 5 月，独立安全研究员 Sean Heelan 做了一件让整个安全圈震动的事。他用 OpenAI 的 o3 模型，在 Linux 内核 SMB 实现中找到了一个远程零日漏洞，编号 CVE-2025-37899。没有脚手架，没有智能体框架，没有工具调用，就是把约 12000 行代码喂给 o3 ，让它检查 100 遍。o3 不仅找到了 Heelan 自己已知的一个漏洞，还在更大代码量的测
智能体由网关生成JSON（正文、附件图片OCR、QR码、文档附件解析）交大模型，输出分类、置信度、分析重点；链接侧：新注册域名打时间差，情报库与黑名单逻辑滞后，部分新URL发送前关闭DNS解析并加干扰设计，沙箱亦曾被绕过。钓鱼邮件的防护是流水线工程，逐层可验证才可交付。本文面向企业安全工程师，按检测流水线拆解钓鱼邮件绕过传统网关的技术归因与补位架构，口径为FangMail公开资料。针对Exchan
AutoCVE是一个由国人开发者larlarua打造的AI漏洞挖掘平台，通过五个专项Agent（Recon、Scan、Triage、Finding、Verification）协同工作，实现从目标筛选到CVE提交的自动化流程。项目已成功挖掘并提交30个安全漏洞，涵盖多种类型如SSRF、鉴权绕过等，充分展示AI在网络安全领域的实战能力。AutoCVE提供三种审计模式，支持交互式追问和可视化追踪，帮助用
首月重点打牢底层基础，熟悉计算机原理、网络协议、Linux操作系统，搭建虚拟机实验环境，掌握Python编程。第二月进入Web安全核心内容，理解各类漏洞原理，学习渗透测试流程，掌握Nmap、Burp Suite等工具，并在靶场环境中动手练习。第三月巩固系统权限、各类漏洞深度原理，了解防御知识，融会贯通前述知识，完成综合靶场实验，制定后续提升计划。文章强调学习网络安全技术有边界，所有测试仅限自己搭建
最终评测跑完 22 个批次、466 场有效对局后，积分榜呈现出相当明显的分层：OpenAI 的 GPT-5.6 Sol（跑在 OpenAI Codex 上）以 78.6 分位列第一，Anthropic 的 Claude Opus 5（跑在 Claude Code 上）以 73.8 分位列第二，紧随其后的是智谱的开源模型 GLM-5.3（68.5 分，跑在 OpenCode 上），其余模型的分数则分
CkSKILLS是一个基于通用Agent的漏洞挖掘方法论项目，旨在解决传统工具在垂直安全领域痛点，如方法论分散、覆盖不全、执行不按专家流程等。它通过将顶尖SRC研究员的方法论拆解成系统级提示词AGENTS.md和专项技能库，使通用Agent（如Claude Code、Codex）能够按专家流程执行“收集→建模→验证→成稿”。CkSKILLS包含20个专项技能，涵盖侦察、Web漏洞、移动端、AI与二
AutoHunter 是一个多 Agent 协同的自动化漏洞挖掘系统。你把一台机器交给它当作 7×24 小时不停歇的挖洞平台，自己只做「人工复审员」——AI 初审去掉垃圾洞后，你几分钟内完成调级 / 通过 / 打回 / 编辑 / 标记提交。Collector：从 FOFA 持续产出目标，探活、预筛、评分、归属标注后入队。Worker：每个目标一个 Worker，LLM 自主侦察 + 调用真实工具链
OpenAI利用AI Agent成功挖掘Linux内核948个漏洞，展现出惊人的漏洞发现和利用能力。AI通过侦察、分析、验证和攻击等步骤，在短时间内找到大量高危漏洞，甚至发现了人类未知的攻击技术。这引发了对网络安全的新挑战，但也促使OpenAI等组织以公益方式帮助修复漏洞，共同应对AI带来的安全威胁。对于程序员和网络安全爱好者来说，了解AI的攻防技术至关重要。大模型智能｜分享来源 | 量子位作者
本文整理了200条网络安全基础知识点，涵盖安全三要素、Web漏洞、协议攻防、渗透测试与业务安全，适合入门学习、面试备考及工作查漏补缺。配套提供从零开始的系统学习路线，包含理论、渗透、操作系统、网络基础、数据库及Web渗透实战内容，助力零基础者1个月内掌握核心技能，迈向渗透测试、安全分析等岗位。附赠282G精选资料包，含视频教程、书籍、工具源码及面试经验，助你高效进阶网络安全领域。
AI大模型攻击面这个方向大家肯定比较关注，但今年观察到的情况与以往有所不同。提示词注入漏洞明显减少：2025年的比赛中还能看到大量提示词注入类漏洞，但今年几次攻防比赛下来发现，这类漏洞出现频率明显降低，挖掘难度也越来越高。主要原因是目前针对提示词注入已经出现了相对成熟的防护方案，例如在大模型调用链路中增加安全中间层，对用户提交的prompt和模型的输出结果进行安全检测与分析，从而大幅降低提示词注入
摘要： 微软于 2026 年 10 月通过消息中心通告宣布，将在 Teams 中引入基于人工智能的语境感知钓鱼检测，重点覆盖外部首次接触会话，并在质量验证期以静默方式运行。这一动作的技术意义不在于增加了一类过滤规则，而在于检测依据从可枚举的指标转向会话行为的整体推断：当攻击者不再发送恶意链接或附件，仅凭冒充身份与请求话术完成诱导时，以域名、文件哈希与发件信誉为支点的传统检测失去着力点。本文以该通告
03 CAI（双栖安全框架）：9.5k stars，内置红队、蓝队、紫队、取证、逆向、Wi-Fi、代码审计等 35+ 专业 Agent，自带双层 Prompt 注入防护（约 535 行正则），支持 300+ 模型。05 CTF-Solver（战队工具库）：韩国顶级战队维护，覆盖 web、pwn、reverse、crypto、forensics、misc 绝大多数题型，把各品类常用打法脚本化模块化—
CTF-Dojo 将 658 道公开题目转成可执行环境，CTF-Forge 负责生成 Dockerfile、docker-compose.yml 和 challenge.json。轨迹采集阶段再加入 writeup、runtime augmentation 和两个教师，从 1,006 条成功轨迹中筛出 486 条训练数据。三个 Qwen3 模型经过 SFT 后都得到提升，其中 32B 的平均 Pa
内容涵盖网络安全理论知识、渗透测试基础、操作系统基础、计算机网络基础、数据库基础操作、Web渗透等核心技能，并强调合法合规学习。✅阶段 4｜计算机网络基础（一周）所有网络攻击的底层根基OSI 七层模型、TCP/IP、HTTP、ARP 协议、数据转发原理，DDOS、协议攻击、CVE 漏洞复现，不懂网络，漏洞永远学不透彻。✅阶段 2｜渗透测试基础（一周）入门渗透的核心基础渗透测试流程、信息搜集、Goo
OneFour是一款专业免费的WHOIS查询工具，全面支持1436个顶级域名后缀，包括通用域名(.com/.net)、国家代码(.cn/.jp)、新顶级域名(.app/.xyz)及中文域名(.中国)。它为域名投资者、安全研究人员、跨国企业等提供多语言支持、移动端适配和隐私保护功能，支持IP反查等特色服务。无需注册即可使用，覆盖几乎所有公开注册的域名后缀，是查询全球域名信息的首选工具。
本人现在本科大三，个人比较喜欢网络安全攻防渗透，我十分感兴趣，但是目前的大趋势都是相对来说人工智能的nlp和cv都比较好就业和高薪资，我该选择什么方向？作为一个过来的人说一下，必须网络安全。我之前做人工智能，现在已经在做网络安全了。，要么根本不成熟，很难创造价值，要么成熟的已经杀成红海了。但网络安全行业完全不是那么回事，从企业到政府，普遍投入还不够。但是数字化的转型却极为迅猛，各种机构，各个行业都
最近一直在考虑如何结合kill chain检测APT攻击。出发点是因为尽管APT是一种特殊、高级攻击手段，但是它还是会具有攻击的common feature，只要可以把握住共同特征，就能进行检测。而kill chain就是个非常好的common feature描述。在预研期间看到了一些觉得比较好的工作，这里和各位师傅一起分享下。如题所述，这篇文章是介绍如何如kill-chain的角度检测APT攻击
web安全
——web安全
联系我们（工作时间：8:30-22:00）
400-660-0108 kefu@csdn.net
北京朝阳AI社区
openEuler 社区
