企业安全面临非人实体(NHI)激增带来的新型风险挑战。随着服务账户、API令牌和AI代理的指数级增长，传统基于人类用户的身份管理体系已无法应对。这些非人实体存在三大核心风险：1)缺乏可见性，形成"影子身份"；2)普遍存在过度授权问题；3)生命周期管理缺失。安全团队需构建统一身份安全架构，实现自动发现、风险分级和最小权限控制，将非人实体纳入与企业员工同等严格的安全治理体系，才能在

网络安全研究人员在万兴易修中发现两个安全漏洞可能导致用户隐私数据泄露，并使系统面临人工智能（AI）模型篡改和供应链攻击风险。

摘要：安全研究人员发现首例恶意Model-Context-Prompt服务器利用案例。名为postmark-mcp的npm软件包被植入木马，窃取用户邮件敏感数据，每周下载量约1500次。该软件包前15个版本表现正常，后从1.0.16版本开始植入单行恶意代码，将邮件副本发送至攻击者服务器。事件暴露AI代理工具的安全盲区，约300家机构可能受影响。建议用户立即卸载受影响版本并轮换敏感凭证。（149字）

在柏林OffensiveCon安全会议上，Pwn2Own黑客大赛揭露了28个零日漏洞，涉及Windows 11、Linux、Firefox等企业级软件。赛事由ZDI主办，总奖金超百万美元，STARLabsSG以32万美元夺冠。研究人员展示了权限提升、虚拟机逃逸等攻击手段，包括利用整数溢出攻破RedHat Linux、越界写入获取Windows系统权限。虚拟化领域，VMware ESXi被单个漏洞攻

网络安全预警：Redis服务器遭新型挖矿攻击，旧版微软认证协议被利用 网络安全研究人员发现针对公开Redis服务器的Linux挖矿攻击“RedisRaider”，其通过Redis命令注入恶意定时任务，投放XMRig挖矿程序，并利用反取证技术逃避检测。同时，Guardz曝光攻击者滥用微软旧版认证协议BAV2ROPC，绕过MFA针对管理员账户发起高频自动化攻击。建议禁用旧版协议并加强访问控制以降低风险

摘要：网络安全研究人员在Windows Server 2025 Active Directory中发现新漏洞，攻击者可滥用“委托托管服务账户”（dMSA）功能实现域管理员提权。该漏洞允许低权限用户通过修改dMSA属性继承目标账户权限，甚至获取加密凭证。微软评估为中等风险，但Akamai警告91%的AD环境存在此威胁。建议企业限制dMSA创建权限并监控相关操作，目前微软尚未发布补丁。

资深安全研究员SeanHeelan利用OpenAI的o3模型在Linux内核ksmbd模块中发现了一个关键的远程零日漏洞CVE-2025-37899。该漏洞是SMB协议logoff命令处理程序中的use-after-free漏洞，源于并发环境下引用计数管理不当，可能导致远程代码执行。研究显示，o3模型通过分析12,000行代码，以1%的成功率准确识别出该漏洞，并重现了作者之前发现的另一个漏洞，验证

2.1）文件管理：[特色]缓存下载目录，并支持离线查看缓存目录;2.2）虚拟终端：[特色]人性化的设计，操作方便;(输入HELP查看更多用法), 超长命令会分割为5k字节一份，分别提交。2.3）数据库管理：[特色]图形界面,支持MYSQL,MSSQL,ORACLE,INFOMIX,POSTGRESQL,ACCESS, 以及支持ADO方式连接的数据库。2.4) 自写脚本（只有Eval端才支持）：通过

摘要：.NET多阶段恶意加载程序持续进化，采用位图资源隐藏技术传播窃密木马等恶意载荷。该威胁自2022年起活跃，通过三阶段感染链规避检测：初始可执行文件解密内嵌数据→处理参数并解密位图资源→内存部署最终载荷。研究显示其代码结构保持稳定，主要传播AgentTesla等常见木马，攻击者通过持续更新混淆技术维持攻击有效性。安全专家建议关注其入侵指标以获取防御先机。

2025年Linux内核安全面临严峻挑战，CVE漏洞数量激增3529%，vsock权限提升等关键漏洞威胁云环境。实时补丁技术（如Kpatch）显著减少停机时间，但核心子系统补丁仍需重启。分层自动化策略成为主流，结合漏洞优先级划分和分阶段部署。KSPP项目通过内存防护等上游改进预防整类漏洞，而eBPF和微虚拟化技术提供新防护维度。未来趋势包括AI漏洞预测和硬件辅助补丁，但内核可扩展性与安全性的矛盾持