网络安全AI说

原文选自公众号：AI安全迪哥

🎙️ 时间轴

⏱️ 0:00 开场：AI攻击的降维打击

⏱️ 0:30 Mythos Preview事件：50美元挖出27年零日漏洞

⏱️ 1:00 Mythos 5漏洞挖掘数据：4月1万+高危，5月2.3万个

⏱️ 1:30 🔴 范式一：AI外挂式——给漏诊病历做优化排版

⏱️ 2:30 🟡 范式二：全量日志AI——核磁共振做体检筛查

⏱️ 3:30 🟢 范式三：AI全栈原生——从数据入口为AI设计

⏱️ 4:15 SOAR vs AI原生：剧本驱动 vs 目标驱动

⏱️ 4:40 MDASH验证：100+ Agent协同超越Mythos Preview

⏱️ 5:00 分诊式运营坍塌的三个结构性原因

⏱️ 5:50 AI全栈原生五特征 & 选型五要素

⏱️ 6:10 零信任与边界防护的定位 & 收尾

🔀 三种AI安全范式框架对比拆解

🔴 范式一：AI外挂式

💡 核心思路：在已有SIEM/SOC后接AI模块，AI处理SIEM吐出的告警

📥 数据来源：二手数据（经规则引擎预过滤后的告警）

🚫 关键盲区：弱信号被预过滤丢弃、未知威胁无法识别、链式攻击不可见

🏥 生动比喻：医学博士看病——但只能看病历本上已记录的症状，没记的他不知道也判断不了

🧱 天花板：AI视野被前置系统感知能力锁死，等于给漏诊病历做优化排版

🎯 适用场景：预算有限、短期过渡、低威胁环境

🟡 范式二：AI处理全量日志

💡 核心思路：跳过SIEM规则过滤，让AI直接分析全量原始日志

📥 数据来源：全量原始日志（几十亿至上百亿条/天）

🚫 关键盲区：成本极高（1TB日志token费数千到上万元/天）、延迟大（无法实时）、信噪比极低（99.99%正常活动）

🏥 生动比喻：核磁共振做体检筛查——精度够，但不可能给全市人口每天扫一遍

📉 现实情况：仅头部互联网在高价值数据流上使用，或安全厂商PPT演示

🎯 适用场景：超大预算 + 仅聚焦高价值数据流

🟢 范式三：AI全栈原生

💡 核心思路：从数据采集层就为AI设计，全链路AI驱动

📥 数据来源：全量遥测→轻量AI实时语义理解→结构化安全语义向量→上层Agent关联分析

✅ 关键优势：弱信号不丢弃、多Agent分工精准、目标驱动自适应、分钟级响应、自我进化

⚡ 与SOAR区别：SOAR=预定义剧本（规则驱动），AI原生=目标驱动（自主规划执行路径）

🔬 实证验证：微软MDASH：100+专用Agent协同→88.45%得分，超越Mythos Preview的83.1%

🎯 适用场景：面对Mythos级攻击的中大型企业，需要与攻击节奏对等的防御体系

前往小宇宙评论区与主播互动

原文链接：https://mp.weixin.qq.com/s/X6QwmoDjkh8vX_Pvn7a3AA?version=4.1.36.70499&platform=mac&mpshare=1&scene=1&srcid=&sharer_shareinfo=ab7fce89ae7ff1f8caa55204852f5be7&sharer_shareinfo_first=ab7fce89ae7ff1f8caa55204852f5be7

选自公众号：安全牛

📌 核心观点汇总

🔹 从"参数崇拜"到"工程理性" ——网安厂商不再执着于自训超大模型，而是回归工程化交付能力

🔹 大模型微调边际收益递减——投入十倍成本，可能只换来 1~2% 的精度提升，性价比已经不划算

🔹 真正的护城河是三重壁垒——语料深度 × 数据广度 × 工具链敏捷度，比参数规模更难复制

🔹 小模型不是将就，是刚需——实时检测场景要求毫秒级响应，0.1B~0.85B 小模型才是正确答案

🔹 分层架构成为行业共识——小模型管检测、中模型管研判、大模型管交互，各司其职

🔄 行业范式转变：从模型竞赛到工程化竞赛🏢 主要厂商策略一览🧱 三重壁垒拆解📚 壁垒一：语料——"暗知识"

不是安全知识点，而是安全的判断逻辑

• 深信服 15 年运营积累

• 经过多模态标注、时序分析、上下文关联

• 教会模型：为什么一次普通登录在特定上下文下是异常的？

• 开源模型学不到的实战智慧

📦 壁垒二：数据底座——"量的碾压"

360 百PB级安全数据，十年攻防实战沉淀

• 海量安全事件、流量记录、终端行为数据

• 初创公司有钱也买不到

• 开源社区根本无法复制

🔧 壁垒三：工具链 MCP 化——"最后一公里"

把 AI 从实验室炫技变成流水线标准件

• 模型推理、威胁检测、告警研判封装成标准接口

• 降低集成门槛，提升交付效率

• 客户无需逐家适配

前往小宇宙评论区与主播互动

• 主题：从四个真实攻防故事看零信任建设的必要性

• 核心观点：AI攻击让补丁窗口期失效，零信任通过"分层防御"实现安全左移，止战于未战

开场引入：Mythos炸圈，安全圈变天

• 近期安全圈最热话题：Anthropic推出的Mythos AI攻击工具

• Mythos核心能力：代码理解接近人类顶尖工程师，漏洞发现+exploit生成一条龙

• 核心矛盾：AI攻击工具进化速度远超传统防御节奏

故事一：沉睡17年的幽灵 — AI让补丁窗口期失效

• 漏洞档案：Linux内核NFS模块（fs/nfsd/nfs4xdr.c），远程代码执行（RCE）

• 沉睡17年：无数次安全审计、500万次模糊测试均未发现

• Mythos唤醒过程：扫描识别逻辑缺陷 → 自动生成攻击代码 → 几分钟完成从发现到远程控制

• 关键数据：

  • SWE-bench Verified：93.9%（代码理解能力接近人类顶尖工程师）

  • Exploit生成成功率：72.4%（发现漏洞后七成以上直接能用）

  • TLO攻击链：32步，分钟级完成（人类需要14-20小时）

• 本质变化："发现即利用，利用即成功"，传统补丁窗口期概念基本失效

• 不对称风险：Project Glasswing排除中国，攻击者可能比防守方更早用上这种能力

故事二：消失的互联网资产 — SPA让攻击者看不见

• 痛点场景：HW季必关VPN，安全部门vs业务部门每年吵架

• 解决方案：SDP（软件定义边界）+ SPA（单包授权）

• 核心思路：让企业资产从互联网"消失"，攻击者看不见、找不到、打不了

• 某企业真实案例数据：

  • 日均远程访问登录人次：498次

  • 单日最高登录人次：1081次

  • HW期间各类异常风险日志：5000多次

  • 识别并封堵风险IP：11个

  • 冻结异常账号：41个

  • 安全事件：0起

• 效果：网络扫描、端口探测、指纹识别全部失效，攻击链第一步就断了

故事三：困在沙箱里的木马 — 中招了也干不成事

• 场景：金融公司交易员点击钓鱼邮件附件，木马成功落地

• 传统结局：木马运行 → 连C2 → 控权 → 横向移动 → 一锅端

• 零信任终端方案：沙箱隔离

  • 本地桌面：只能办公，禁止访问互联网

  • 上网沙箱：只能访问白名单程序，禁止访问业务系统

• 木马窘境：

  • 在本地桌面：能跑，但连不上C2服务器（驱动层阻断SYN包）

  • 在上网沙箱：能上网，但不在白名单里，根本跑不起来

• 核心理念：不是保证绝对不中招，而是保证中招后干不成事

• 三大效果：运行即拦截、外联即阻断、数据不落地

故事四：蓝军的13次钓鱼 — 合法身份作恶也能被发现

• 背景：某企业内部攻防对抗，为期4周

• 蓝军攻击：6轮攻击，13次钓鱼，目标打穿IT内网

• 防守方成绩：

  • 检测成功率：100%

  • 平均检测时间（MTTR）：5分钟

  • 结果：攻击者未能打穿IT内网

• 三类风险场景：

  1. 用户凭据被窃取（偷到sessionID，拿真凭证访问业务）

  2. 终端被钓鱼远控（合法终端成为攻击跳板）

  3. 主机横向扩散（利用合法隧道做内网测绘）

• 三大防御能力：

  1. 凭据窃取识别：中间人代理检测、会话劫持检测、浏览器指纹异常检测

  2. 恶意侦察识别：目录侦查检测、端口扫描检测、身份定位、自动注销+锁定

  3. 威胁诱捕：终端多维诱饵、应用诱饵探针、原生无交互蜜罐

总结：分层零信任，止战于未战

• 零信任不是单一技术，是分层防御体系

• 三层防御闭环：

  • 网络层（SPA隐身）→ 暴露面收敛：不让攻击者看见网络

  • 终端层（沙箱隔离）→ 安全域隔离：不让安全域进程连上C2

  • 行为层（主动防御）→ 恶意行为检测：不让窃取的身份披着合法外衣作恶

• 核心价值：安全左移，从事后补救走向事前预防

前往小宇宙评论区与主播互动

📋 本期简介

当AI智能体从"只会说话的聊天框"进化成"能动手操作的数字员工"，安全问题就从"防止说错话"升级成了"防止做错事"——而且它真的能删库、能泄露机密、能绕过权限。

本期聚焦两份代表性方案：深信服与字节跳动火山引擎。两家对智能体安全的理解路径截然不同——深信服用人力资源管理的逻辑来"治理"数字员工，火山引擎则用云原生的"1+4+1"体系来"防护"智能体。谁更接地气？谁更有实战底气？逐层拆解。

深信服将智能体带来的安全挑战系统化为五个"难"：

火山引擎从AI应用架构视角将风险分为三层：

前往小宇宙评论区与主播互动

📌 节目概要

2026年4月7日，网络安全领域迎来了分水岭时刻。

Anthropic发布了迄今为止最强大的前沿模型——Claude Mythos Preview，其展现出的安全能力远超预期，立即引发美国国家战略层面的高度关注。这不是一次普通的技术迭代，而是一场改写网络安全攻防规则的根本性变革。

⚡ 核心看点🔥 Mythos为何令人恐慌？

关键数据：

• Firefox漏洞利用成功率：其他模型 4.4% → Mythos 84%

• 单次漏洞发现成本：不足50美元

• CyberGym漏洞复现率：83.1%

🏛️ 美国在做什么？

美联储紧急会议

• 参会者：财政部长、美联储主席、摩根大通/高盛/花旗CEO

• 核心议题：严肃对待Anthropic新型AI模型带来的网络安全风险

Project Glasswing防御计划

• 仅向约40家关键基础设施维护者开放Mythos访问权限

• 创始成员：AWS、Apple、Google、Microsoft、CrowdStrike、Palo Alto Networks、JPMorganChase

• 目标：在攻击者获得同等能力之前，优先修补最重要的系统

⚠️ 中国被排除在Glasswing项目之外

🚨 七大攻击向量🌏 中国面临的挑战

技术差距对比

核心困境：

• 技术封锁让国内模型滞后于国外

• 攻击者可用国外模型，防守方只能用国内模型

• 0day挖掘与利用能力差固定存在

📝 金句摘录

"基于'摩擦=安全'的传统防御措施面临系统性失效风险"

"防御者需修补所有漏洞，攻击者只需找到一个——但现在攻击者有了Mythos"

"Mythos的能力是不确定的，但技术封锁会持续存在是确定的"

前往小宇宙评论区与主播互动

智能体三类形态

"致命三要素"（Lethal Trifecta）

• 不可信的外部输入：网页、邮件、文档中隐藏的恶意指令
• 敏感数据访问权限：能访问公司核心数据和系统
• 外部通信能力：能向外发送数据

三要素叠加 = 提示词注入从"文字游戏"升级为"数据窃取/系统破坏"

主要攻击类型

1. 间接提示注入：网页藏指令，智能体总结时触发
2. 持久化内存中毒：修改身份文件，重启后仍执行恶意任务
3. 日志中毒：HTTP头注入恶意代码，排错时触发
4. 供应链投毒：恶意技能、被污染的开发者工具
5. 基础设施泄露：网关暴露、API Key泄露、远程执行漏洞

🛡️ 保护AI治理六步法

核心理念：把智能体当真正的员工来管——有身份、有工牌、有权限、有监管。

💡 网络安全AI说补充

1. 当前保护AI智能体的方案仍处于探索阶段，本期仅为其中一种技术路线思考，不少国内外内的安全厂商及云厂商均有类似的初代产品，但实际效果仍有待实践检验。

前往小宇宙评论区与主播互动

来看一看业内安全厂商，在帮助企业内部员工安全使用openclaw上有什么思考。

本篇仅能作为一个方案参考，不一定是业内最优秀的，但确实较为直接地给出方案，实际解答了“企业如何安全使用openclaw”这一问题。

本方案主要思路是用“沙箱技术”，沙箱的隔离方案看起来还不错，但仍需要实际测试使用才知道效果，另外如何在安全管控和使用openclaw上取得一个平衡点，可能得经过一段时间的验证才能有比较好的业内实践了。

🎯 本期要点01. OpenClaw的两种形态

• Chat AI：只动脑不动手的聊天机器人（如豆包、千问）
• AI Agent：有手有脚的智能体，能执行复杂任务，真正提升效率，如OpenClaw

02. 三大核心风险

🔨 破坏风险

• AI幻觉、失忆导致误操作
• 案例：Meta安全总监因AI失忆误删所有邮件

📤 泄密风险

• 恶意指令注入（隐藏白色文字攻击）
• API凭证明文存储，黑客可轻易获取

⚔️ 攻击风险

• 恶意技能（Skills）投毒
• 远程控制、反弹shell、横向攻击内网

03. 业界两大方案及痛点

隔离路线

• 问题：性能占用高（500MB→2GB），配置复杂，体验差

检测路线

• 问题：无法识别语义层面的攻击，检出率很低

04. 本文解决方案：无感沙箱 Agent Space

核心特性

• ⚡ 轻量级：内存占用<200MB
• 🎭 无感知：仅首次认证，后续免认证
• 🛡️ 精细化管控：共享文件夹：最小化文件权限
  内网访问：按需授权
  上网权限：开放但搭配威胁检测
  系统权限：完全限制
  

核心理念

• 隔离为兜底 + 检测为补充
• 给AI分配"数字工位"，干该干的活，不越界

前往小宇宙评论区与主播互动

2025年爆火的AI开源框架OpenClaw，GitHub星标登顶，却成安全漏洞集大成者！110个漏洞、13.5万暴露实例、20%恶意插件，还有木马偷信息！听我们拆解这颗AI界的“定时炸弹”。

项目概况

OpenClaw（前身为 Clawdbot、Moltbot）是 2025 年 11 月上线的开源 AI Agent 框架，被定义为"真正可以执行任务的 AI"。该项目以惊人速度成为 GitHub 历史上增长最快的现象级项目之一，上线以来累计超过 200,000 颗星。

核心能力与权限需求

OpenClaw 拥有以下核心能力：

• 信息处理：浏览网页、总结 PDF、分析截图
• 日程管理：安排日历事项、发送提醒通知
• 商务自动化：在线购物、处理电子邮件
• 系统集成：读写本地文件、控制桌面应用
• 通信集成：集成 WhatsApp、Telegram、Slack 等主流消息平台
• 持久化记忆：记住数周甚至数月前的交互记录

为实现上述功能，OpenClaw 需要获取用户的根文件权限、认证凭证（包括密码和 API 密钥）、浏览器历史和 Cookie，以及系统内所有文件和文件夹的访问权限。

安全风险概览1. 漏洞层面风险

• 已披露漏洞数量：至少达 110 个（截止 2026 年 2 月 28 日）
• 高危漏洞：其中 3 个漏洞已有公开的 PoC（概念验证）代码，攻击者可直接利用
• 修复进度：截至 2026 年 2 月 26 日，已修复超过 40 个漏洞

2. 暴露面风险

• 公网暴露实例：超 13.5 万个（覆盖 82 个国家）
• 可被 RCE 利用：至少 12,812 个实例存在远程代码执行风险
• 最新数据：3 月初发现超 40,000 个暴露实例，63% 部署存在漏洞

3. 供应链风险

• ClawHub 插件平台：存在超过 820 个恶意插件，占插件总数约 20%
• 技能增长失控：从 2,800 个飙升至 18,140 个（三周内增长 550%）
• 发布门槛极低：仅要求发布者拥有超过一周的 GitHub 账户

4. 企业部署风险

• 影子部署：22% 的受监控企业中发现员工私自安装 OpenClaw
• 绕过管控：未授权部署形成隐蔽的安全风险点

5. 恶意软件感染

• 实际感染证据：Vidar 木马变种已成功感染 OpenClaw 实例
• 信息窃取：出现基于该平台的信息窃取行为

重大安全漏洞详解CVE-2026-25253（核心高危漏洞）

• CVSS 评分：8.8（高危）
• 漏洞类型：错误资源传输/跨站 WebSocket 劫持
• 影响版本：v2026.1.29 之前版本
• 攻击机制：Control UI 从 URL query string 读取 gatewayUrl 时未做验证，自动建立 WebSocket 连接并发送认证 Token
• PoC 状态：已公开

命令注入漏洞（3 个高危）

• CVE 编号：CVE-2026-24763 / CVE-2026-25157 / CVE-2026-25475
• 漏洞类型：命令注入
• 攻击机制：用户可控输入未经充分过滤即传递给系统命令执行器
• PoC 状态：已公开

其他高危漏洞

• CVE-2026-26322：SSRF（服务端请求伪造），CVSS 7.6
• CVE-2026-26329：路径穿越（Path Traversal）
• CVE-2026-27001：日志投毒导致 Prompt Injection

ClawHavoc 供应链攻击活动攻击规模

• 恶意技能数量：335 个（在 2,857 个审计技能中发现）
• 伪装策略：针对不同用户群体的精准伪装加密货币用户：111 个恶意技能
  YouTube 创作者：57 个恶意技能
  预测市场用户：34 个恶意技能
  开发者：28 个恶意技能
  

攻击技术特征

• 域名抢注（29 个仿冒名称）
• 虚假系统提示
• 时间延迟攻击（数小时或数天才激活）
• 批量生成与快速扩散
• 单个上传者发布 677 个恶意包

攻击载荷类型

1. 外部恶意软件分发：技能包含恶意软件下载链接
2. 混淆数据外溢：通过 base64、Unicode 混淆窃取凭证
3. 安全禁用与破坏：诱导关闭安全机制、修改系统配置

配置错误风险典型错误配置

1. 默认绑定 0.0.0.0：监听所有网络接口而非仅本地回环
2. 认证关闭：旧版本默认不启用认证
3. WebSocket Origin 校验关闭：导致 CSRF 攻击
4. 明文凭据存储：API 密钥、密码以明文形式存储

真实利用事件

1. Shodan 扫描事件：研究员成功访问数百个实例的 API 密钥、Bot Token、聊天记录
2. Moltbook 数据泄露：150 万个 API 认证 Token、35,000 个邮件地址泄露
3. Vidar 木马感染：配置文件被窃取，包含完整 Agent 操作上下文

攻击向量分析攻击场景一：公网暴露实例直接攻击

• 前提：无认证或弱认证，监听公网 IP
• 攻击者可直接访问：控制面板、WebSocket 端口、明文凭据、聊天历史、已集成服务

攻击场景二：本地浏览器劫持

• 前提：运行未打补丁版本（< v2026.1.29），即使仅监听 localhost
• 攻击路径：恶意网站 → 用户浏览器 → 向 localhost:18789 发起 WebSocket 连接 → 窃取 Token → 获得完整控制权

加固建议对企业用户

紧急处置与基础防护

1. 升级至 v2026.2.26 及以上版本
2. 全面轮换关联凭证（LLM API 密钥、消息应用 Token 等）
3. 核查公网暴露情况，及时整改
4. 强制网关仅监听 127.0.0.1:18789
5. 配置防火墙，拒绝 18789 端口公网入向流量
6. 启用密码认证（16 位以上强密码）
7. 定期轮换 Gateway Token
8. 为 Control UI 配置独立浏览器 Profile

长效安全管控

1. 仅安装经审核通过的 ClawHub 技能
2. 新技能部署前需在隔离环境完成代码审查
3. 监控 18789 端口异常连接行为
4. 监控 mDNS 广播，发现未申报的实例
5. 将 OpenClaw 纳入影子 IT 扫描范围
6. 制定专项使用政策，纳入标准变更管理流程

对个人用户

1. 安全意识提升：充分认识安全风险，按照最佳实践配置
2. 环境隔离：考虑在虚拟机或容器中使用
3. 敏感信息保护：避免让 OpenClaw 访问敏感信息
4. 行为监控：监控网络连接和文件访问
5. 定期检查：检查系统异常行为
6. 应急响应准备：定期备份重要数据，发现异常时立即隔离系统

核心警示

OpenClaw 安全危机不仅是一个具体项目的安全问题，更是整个 AI Agent 技术发展过程中的重要警示。它提醒我们：

1. 技术革新与安全治理必须同步：在追求技术创新的同时，必须同步考虑安全治理
2. 便利性与风险的权衡：享受自动化便利的同时，必须清醒认识潜在风险
3. 供应链安全的重要性：开放生态需要严格的安全审核机制
4. 用户安全意识的关键性：技术安全措施需要配合用户的安全意识

OpenClaw 的案例表明，AI Agent 具有巨大的潜力和价值，但其安全挑战也同样巨大。只有通过技术社区、企业用户、安全研究人员和政策制定者的共同努力，才能建立一个既能够促进创新又能够保障安全的 AI 生态系统。

前往小宇宙评论区与主播互动

文章选自公众号：比瓴安全

原文链接：https://mp.weixin.qq.com/s/qs7fxmntjp3YUKuLzibsGw

播客简介 🎙️

本期播客深入探讨了近期在GitHub上爆火的OpenClaw自动化代理系统的安全隐患。该项目号称能让AI真正“拥有双手”，直接操控电脑执行任务，但在强大功能背后隐藏着系统性的安全风险。

系统各层的安全漏洞 🔍

• 消息适配环节：AI与电脑之间的翻译官可能被篡改
• 网关服务器：系统入口出口易被截获和控制
• 指令构建环节：AI生成指令可能被恶意修改
• 执行引擎：核心执行单元易被植入恶意代码
• 响应路径：反馈结果可能被篡改误导用户

本地部署的安全矛盾 ⚖️

• 数据不出本地的安全假象
• 高权限带来的完全接管风险
• AI成为无判断力的“高权限实体”

三种典型攻击路径 ⚔️

• 登录令牌被盗：黑客可直接冒充用户登录系统
• 恶意插件投毒：第三方插件暗藏木马病毒
• 记忆毒化攻击：长期记忆系统被植入恶意信息

关键漏洞与风险点 💥

• CVE-2026-25253：记忆系统权限配置错误
• 插件市场灰色地带：300+恶意插件潜伏
• 社交代理新风险：AI模拟人进行诈骗活动

安全测试的惊人发现 ✍️

• 90%以上系统存在身份验证失效
• 系统指令可轻易被泄露
• 防护能力基本处于“裸奔”状态

强化防御的建议 🛡️

• 多因素身份认证与权限管理
• 工具调用隔离与权限拆分
• 记忆系统加密与敏感信息保护
• 严格的插件审核机制

前往小宇宙评论区与主播互动

随着人工智能技术的飞速发展，AI智能体已成为推动生产力变革的核心力量。本期播客创新性地提出了AI智能体三级分级体系，从知识问答类应用（L1）到工作流类应用（L2），再到自主规划类应用（L3），清晰勾勒出AI智能体的演进路径与发展趋势。

报告深入剖析了AI应用面临的多重风险，包括不可知性风险、不可控风险、忠诚度风险和能力滥用风险等。通过对比传统编码型应用与AI应用的本质差异，揭示了AI应用黑盒特性带来的安全挑战。基于对AI应用风险的深刻洞察，报告提出了构建企业级智能体安全治理平台的解决方案。

相信你没有听爽，不过由于各种敏感因素，并不能将本方案更加清晰地展示出来，不过我觉得几个月后就能有更多干货内容的展示啦。

前往小宇宙评论区与主播互动