多年来，安全工具一直在供应同一份套餐：一个“严重”标签、一条可疑的代码路径，再配上一份最坏情况下的影响。
PoC 一直需要另行购买。
要拿出这份证明，就得重建环境、追踪存在漏洞的路径、构造输入、看着它失败，然后再试一次。检测可能只需几秒钟。证明漏洞确实能被触发，则可能需要几个小时。
AI 智能体正开始接手这个缺失的环节。
本周的深度解析探讨的是当发现附带证明时会发生什么变化。我们将考察智能体如何从解释漏洞走向在基于执行的检查下复现漏洞，为什么失败的尝试是这一过程的一部分，以及反复复现有时如何发现全新的漏洞。Neutron 的 CyberGym 运行提供了一个具体的例子：在 1,507 个真实漏洞任务中成功生成了 1,458 个 PoC。
在技术研究中，扩展读不了文件，智能体却可以。我们将拆解 BragJack，这是一组攻击，展示了一个恶意浏览器扩展如何触及五款 AI 助手背后的特权接口，并利用它们的权限访问文件、电子邮件和其他敏感资源。
此外，我们还将介绍 herdr，一个用于管理多个编程智能体的终端运行时；请您判断一条 GitHub 安全告警的真伪；梳理本周最重要的安全新闻；最后以来自一线的最新梗图收尾。
本期内容：
🌡️ 威胁等级
⚡ 新闻
🔎 深度解析：当发现附带证明时
🎣 这是钓鱼吗？
🔬 技术研究：扩展读不了文件，智能体却可以。
🛠️ 本周工具：hrdr
👏 本周人物：Daniel Miessler
📅 本周活动：AMLUCS 2026
📚 本周书籍：Bug Bounty Bootcamp
😅 本周梗图
让我们开始吧。
在进入本周新闻之前，先看看当前的威胁等级。
🌡️威胁等级
⚡ 新闻
一个 AI 编程助手成为波及 100 个仓库的入侵事件的第一环
Mandiant 调查了一名攻击者，此人劫持了一家未具名 SaaS 提供商的一个活跃编程助手会话。在该助手推荐了一个被投毒的依赖之后，一款信息窃取木马窃取了 GitHub OAuth 令牌，Shai-Hulud 随即扩散到约 100 个内部仓库，窃取密钥和源代码。最初的入侵方式仍未披露。请将 AI 生成的依赖推荐视为不可信输入，强制使用允许列表，并隔离开发者凭据。
Cisco 的网络准入守门系统存在一个 CVSS 10 分的身份验证绕过漏洞
Cisco CVE-2026-76460 可让未经身份验证的远程攻击者绕过 Identity Services Engine 的一个 API，并可能以 root 身份执行命令。Cisco 确认该漏洞已遭积极利用，表示所有 ISE 和 ISE-PIC 配置均受影响，且除临时访问限制外未提供完整的变通方案。请立即打补丁，检查每个节点的访问日志中是否存在可疑用户名，并对疑似遭入侵的系统重装镜像。
Google Pixel 调制解调器零日漏洞无需点按、点击或打开文件
Google CVE-2026-58704 是一个高危权限提升漏洞，由 Pixel 蜂窝调制解调器中的权限检查逻辑错误引起。Google 报告称有迹象表明存在有限的定向利用，CISA 也已将该漏洞加入其已知被利用漏洞（KEV）目录。安全补丁级别 2026-09-05 或更高版本修复了该问题。移动设备群应通过 MDM 核实补丁级别，而不是依赖用户自愿更新。
三个 Linux 内核漏洞从补丁队列升级为积极利用优先级
CISA 已将 CVE-2025-39682、CVE-2026-53266 和 CVE-2025-39964 加入其已遭利用漏洞目录。这些漏洞影响 TLS 接收路径、ebtables SNAT 处理和 AF_ALG 加密套接字，可导致内存泄露、权限提升、崩溃或加密结果损坏。公开报道并未说明攻击者如何利用它们。请根据内核版本和工作负载暴露情况确定修复优先级，而不能只看 CVSS 评分。
一个超长用户名就可能让攻击者在 Check Point 管理服务器上获得 root 权限
Check Point CVE-2026-91843 评分为 9.8，是未经身份验证的登录过程中的一个基于栈的缓冲区溢出漏洞。成功利用可在受影响的 Security Management 和 Log Server 上以 root 身份执行任意代码。Check Point 在发布安全公告时表示，尚无证据表明该漏洞已遭在野利用。请立即应用 LivePatch，并将管理访问限制在特定的可信内部地址。
🔎 深度解析
当发现附带证明时
告警写着“严重”。
代码看起来很危险。解释令人信服。攻击场景合情合理。
然后有人问出了唯一重要的问题：
您能触发它吗？
许多安全发现正是在这里开始站不住脚。
可疑的函数并不自动意味着可被利用。一条看似合理的攻击路径，到了运行时可能就会崩塌。即使是技术上正确的解释，也可能夸大实际影响。
发现看起来已经完成。调查却才刚刚开始。
多年来，可能与已证实之间的空白一直由人类研究人员来填补。他们重建环境、追踪相关代码、构造输入、观察结果、修改输入，然后再试一次。
有时漏洞被触发了。
有时三个小时的调查最后的结论平淡无奇，只是“在这些条件下不可被利用”。
许多以检测为先的工具在这项工作开始之前就停下了。它们识别出可能性，然后把复现留给别人。
AI 智能体正开始跨过这条线。
昂贵的步骤在检测之后才开始
静态分析器标记不安全的模式。依赖扫描器找出存在漏洞的软件包。模型解释一条代码路径可能如何出错。严重程度评级体系给结果附上一个数字。
这些输出很有用，但它们可能仍然只是假设。
需要有人确定不可信输入能否到达这段代码、所怀疑的条件能否出现，以及由此产生的行为是否具有实际的安全影响。
软件的实际行为很少与它在纸面上看起来完全一致。
别处的某个校验检查可能会阻止攻击。存在漏洞的函数在实际部署的配置中可能根本无法到达。崩溃也许会发生，但原因并非扫描器所预测的那样。
当声称某个漏洞可以被触发时，运行时证据更有分量。
一个可用的概念验证（PoC）为团队提供了可以运行、检查和复现的具体对象。它把讨论从代码看起来能做什么，转移到在既定条件下实际发生了什么。
听起来有说服力不得分
CyberGym 正是围绕这一区别设计的。
它的 1,507 个任务来自 188 个开源项目中的历史漏洞。对于每个任务，智能体会收到一份漏洞描述以及受影响代码库的未修补版本。
然后它必须复现这个漏洞。
智能体可能需要探索一个陌生的仓库、定位相关的执行路径、构建项目、构造触发输入、运行它、检查结果并调整方法。
找对文件或给出一个自信的解释都不得分。
CyberGym 会在启用 sanitizer 的情况下，将每个提交的 PoC 分别在补丁前和补丁后的版本上执行。要算作成功，该输入必须在补丁前触发 sanitizer 崩溃，在补丁后则不产生 sanitizer 崩溃。
在一项正在进行的 CyberGym 评估中，Neutron 为 1,507 个任务中的 1,458 个成功生成了 PoC，成功率达到 96.7%。
这个百分比引人注目。更重要的是它背后的东西：
1,458 个在基于执行的检查下复现了目标漏洞的 PoC，而不是 1,458 个预测。
每个成功的任务都要求系统在分析之后继续前进，与软件交互，直到产生可观察的证据。
这正是值得关注的转变。
第一次尝试很少就是证明
语言模型可以阅读一个存在漏洞的函数，并给出出色的解释。它能识别常见的弱点模式，追踪数据在代码中的流动，并建议一个可能触发该漏洞的输入。
但第一次尝试可能并不成功。
项目编译失败。输入始终到达不了预期的分支。缺少一个标志就改变了执行路径。程序正常退出。
生成的答案到此为止。
而智能体式系统可以把失败当作新的信息。
它可以读取构建错误、检查仓库的另一部分、修改输入、重新运行程序并比较结果。如果证据不支持最初的推断，它就可以改变方向。
价值不在于第一次就全部做对，而在于始终留在调查循环之中：
检查 → 尝试 → 执行 → 观察 → 修正 → 验证
这个循环把模型推理变成了实际的漏洞研究。
模型只是其中的一部分。外围系统提供了让调查持续推进所需的工具、执行环境、保留的上下文、重试策略和验证控制。
没有这些部分，同一个模型也许能解释 PoC 应该如何工作，却永远无法证明它确实有效。
当复现变成发现
CyberGym 主要针对已知漏洞评估智能体。然而，这项研究的最新版本表明，复现可能会通向意想不到的地方。
在复现工作中，智能体发现了 10 个零日漏洞和 17 个不完善的历史补丁。生成的输入要么触发了此前未知的漏洞，要么揭示了早先的修复并未完全消除存在漏洞的行为。
随后，研究人员在 431 个开源项目中单独进行了一项开放式发现评估，又发现了 25 个零日漏洞。去重后，论文报告的零日漏洞总数为 34 个。
代码会变。存在漏洞的模式可能以另一种形式延续下来。一个修复可能关闭了一条路径，却让相关的条件仍然可以到达。为旧漏洞设计的输入，可能会把新版本推入谁也没有预料到的行为。
在足够多的项目、版本和输入上运行这一过程，验证就会开始溢出为发现。
一次调查并不需要以突破开始。智能体可以沿着先前的失败继续推进，测试各种变体，走得比有限的人力时间通常所允许的更远。
规模本身成为研究方法的一部分。
证明把瓶颈推向下游
一个可复现的 PoC 为研究人员和开发人员提供了共同的参照点。
研究人员可以检查确切的行为。开发人员可以在修改前后运行同一个输入。安全团队可以确认哪些版本受影响。最终的修复可以用当初确立该漏洞的同一份证据来测试。
没有这个参照点，每个团队对同一发现的解读可能各不相同。
研究人员看到的是可到达的内存破坏。开发人员看到的是一个本不该出现的异常输入。管理者看到的是一个严重级别的评分。产品负责人看到的是一次延期的发布。
可执行的证据缩小了这种分歧。
但更快的复现并不会清空待办队列，只是让队列移了位置。
每个成功的 PoC 仍然需要被理解。团队必须确认影响、识别受影响的系统、确定响应的优先级、开发安全的修复方案，并验证原有行为不再出现。
随着复现速度加快，防御者在可用漏洞利用代码出现之前修复已披露漏洞的时间可能会更少。
稀缺资源从产出第一份证明，转移到了快速而正确地据此采取行动。
发现只是开始
AI 漏洞研究不会只由一个系统能指出多少问题来定义。
更重要的变化在于，有多少发现附带着能运行、能复现该行为并经得起检验的东西。
Neutron 的 CyberGym 运行为这一转变提供了证据。证明的生成如今可以在数百个真实代码库中重复进行，把一个耗时的调查步骤变成智能体可以大规模反复执行的工作。
这改变了衡量有用安全结果的标准。
严重程度评分成了开场的论断，而不是结论。当可以要求一个系统准确演示代码如何出错时，“代码看起来有漏洞”就不再足够了。
新一代安全工具不只是告诉我们该看哪里，而是向我们展示哪里会出错。
🎣 这是钓鱼吗？
是正规的 GitHub 告警，还是精心伪装的钓鱼？做出判断之前，请仔细看看。
🔬 技术研究
扩展读不了文件，智能体却可以。
一个浏览器扩展想要读取一个本地文件。
浏览器拒绝了。该扩展没有权限。
但浏览器的 AI 助手有。
扩展没有直接访问文件，而是触及了向助手下达命令的可信接口。浏览器的特权组件读取文件、捕获其内容并返回结果。
这就是 BragJack 背后的核心技术。BragJack 是一组攻击，演示对象包括 Gemini Live in Chrome、Perplexity Comet、Microsoft Edge Actions、Opera Neon 和 Claude in Chrome。
研究人员在全部五种实现中使用了同一个扩展框架，但他们并没有发现一个通用漏洞。每个产品都暴露了一条不同的路径，让扩展控制的代码进入其浏览器智能体所信任的接口。
一旦越过这条边界，智能体的能力就变成了攻击者的能力。
攻击从一个扩展开始
BragJack 需要安装一个具有必要权限的恶意扩展或已遭入侵的扩展。它不是任何网站都能对未受影响的浏览器发起的路过式攻击。
这套共享的扩展框架主要依赖对 HTTPS 网站的广泛访问权限以及 declarativeNetRequest 权限（通常简称为 DNR）。Edge 和 Claude 的攻击路径还额外需要能力更强的 debugger 权限。
DNR 允许扩展定义规则，修改浏览器处理网络请求的方式。在演示中，研究人员将其用于两个目的：
移除或削弱 Content Security Policy 等安全标头。
将对可信资源的 JavaScript 请求重定向到攻击者控制的代码。
研究人员将这一组合技术称为 DiNneR Serving。
受保护的页面请求一个合法脚本。扩展拦截该请求，修改页面的安全标头，并替换为恶意脚本。由于浏览器在可信页面内加载了这个替换脚本，攻击者的代码便继承了普通扩展无法直接触及的接口访问权限。
扩展本身仍在受保护边界之外。
它的代码却不在。
从 Gemini 的接口到 Chrome 的特权
Chrome 的 Gemini Live 实现将 AI 助手分成了两个组件。
特权组件托管在 chrome://glic，可以与浏览器级别的能力交互。位于 gemini.google.com 的 Gemini Web 应用负责助手界面，并与该组件通信。
Chrome 阻止扩展直接向内部的 chrome://glic 页面附加脚本、调试器或请求规则。这些保护也覆盖了与嵌入的 Gemini 应用的大部分交互。
但还有一条路径是开放的：DNR 规则仍然可以影响嵌入在特权接口中的 HTTPS 页面所发出的网络请求。
研究人员利用这个缺口拦截了 gemini.google.com 请求的一个 JavaScript 资源。他们的扩展移除或修改了本会阻止替换的标头，然后将请求重定向到一个攻击者控制的脚本。
该脚本在嵌入 chrome://glic 期间，以可信的 Gemini 源执行。
从这一步起，攻击不再需要通过提示词来操纵模型。注入的代码可以直接与特权浏览器组件通信，发出 Gemini 自身通常使用的命令。
研究人员演示了可以打开 URL、请求当前标签页内容并返回文本、PDF 数据或屏幕截图的命令。由于 Chrome 接受 file:// URL，同一接口还可能暴露本地文件和文件夹。另一个命令则返回已登录浏览器配置文件中的信息。
研究人员还报告称，遭入侵的 Gemini 进程继承了摄像头和麦克风的访问权限，因为这些权限本就是为支持音频和视频输入而开放的。这就有可能在不弹出新的授权提示的情况下进行录制。
Google 将这一底层问题追踪为 CVE-2026-0628，评级为高危。
一个扩展，五处信任失效
其余的攻击通过不同的实现错误，触及了类似的特权接口。
在 Comet 演示中，攻击者可以指示智能体查找最近的电子邮件、对其进行摘要并把结果发送到别处，具体的导航和操作则交给智能体自行处理。
Edge 和 Claude 的演示利用扩展的 debugger 权限，合成了其接口所要求的可信点击。这一前提条件很重要：这些路径依赖的是能够对浏览器标签页进行插桩的权限，而不仅仅是普通的内容注入。
Microsoft 为 Edge 的竞态条件分配了 CVE-2026-55945。
安装之后即为零点击
一旦恶意扩展及其所需权限就位，这些演示就不再需要任何额外点击。
这使它们在利用阶段属于零点击，但并非无需安装。攻击者仍然需要发布一个恶意扩展、入侵一个现有扩展，或者以其他方式诱使受害者安装它。
建立起这个立足点之后，扩展就能触及超出其直接权限集所显示范围的能力。
这正是 BragJack 的不同寻常之处。扩展并不总是自己窃取数据。它跨入的是一个智能体接口，而这个接口本来就有权限看到、捕获或操纵比扩展更多的东西。
浏览器在扩展周围设置了一道边界，又在智能体周围设置了另一道边界。这些攻击找到了信任在两者之间传递却未经充分验证的地方。
通过这五次披露，研究人员共获得 $20,000 的漏洞赏金，并分配到两个 CVE。受影响的厂商均已收到通知，所报告的路径也已得到处理。
BragJack 的教训从其机制中就能看出：当不可信代码能够触及指挥模型工具的通道时，仅仅保护模型是不够的。
扩展不需要比智能体更聪明，只需要获得它的权限
🛠️ 本周工具
herdr
您的编程智能体指挥中心
运行一个编程智能体很简单。同时运行好几个，很快就变成了终端考古：哪个还在工作？哪个失败了？哪个已经等了十分钟的回答？
herdr 是一个开源的终端运行时，就是为了让这件事变得更轻松而构建的。当您分离会话或 SSH 连接断开时，它会通过后台服务器让智能体终端继续运行，因此关闭客户端并不会中断工作。
每个窗格都会标注为工作中、受阻或空闲，让您更容易找到真正需要关注的那个智能体。本地会话和已保存的远程机器也可以显示在同一个窗口中，并各自独立重连。
Herdr 支持开发者已经在使用的编程智能体，包括 Codex、Claude Code、Cursor、OpenCode 和 Grok。它不会包装或取代这些智能体，而是管理它们所运行的终端。
该工具也是智能体原生的。通过它的 CLI 和套接字 API，智能体可以创建窗格、相互发送提示，并等到另一个智能体确实受阻时再介入。
herdr 以单个 Rust 二进制文件交付，没有 Electron 层。如果您的编程工作流中涉及的智能体已经多到终端标签页难以从容应付，herdr 会是一个实用的选择。
👏 本周人物
Daniel Miessler
网络安全变化很快。AI 变化得更快。理解两者碰撞时会发生什么，正在成为一门独立的学问。
Daniel Miessler 的职业生涯很大一部分都在梳理这一交叉领域。
Daniel 是一名网络安全与 AI 研究者、作家和创业者，自 1999 年起就在网上发表技术文章。在二十多年的安全生涯中，他曾在 Apple、Robinhood、IOActive 和 HP 等公司从事应用安全、漏洞管理和安全领导工作。
他的开源作品包括 SecLists，这是一套广泛使用的测试载荷、用户名、密码、Web shell 和模糊测试数据合集，自 2018 年起被收录在 Kali Linux 中。
最近，他创建了 Fabric，一个开源框架，旨在帮助人们借助可复用的模式，将 AI 应用于具体问题。
通过 Unsupervised Learning——他的新闻通讯、播客和公开研究——Daniel 持续探讨 AI 如何改变网络安全、工作和人的能力，而不把讨论简化为炒作或恐惧。
他帮助安全从业者理解 AI 改变了什么、没有改变什么，以及什么值得更密切的关注，因此，Daniel Miessler 当选本周人物。
📅 本周活动
AMLUCS 2026
📍 英国伦敦 · 9 月 23 日至 24 日
当您要防御的对象本身也能推理、使用工具并采取行动时，会发生什么？
这正是 AMLUCS 2026 要深入探讨的领域。这场为期两天的会议专门聚焦 AI 与网络安全的实际交汇点，今年的议程涵盖智能体式威胁、攻防 AI、多智能体安全、AI 红队演练，以及生产环境中 AI 系统的安全防护。
一场引起我们注意的议题：“The Agent’s Inner Monologue”，这是一场动手实践工作坊，探讨监控智能体的推理轨迹能否揭示传统输入/输出控制所遗漏的入侵。
值得关注，如果：您想了解当 AI 从回答问题转向真正动手做事时，安全会发生怎样的变化。
📚 本周书籍
Bug Bounty Bootcamp
发现漏洞令人兴奋。把它解释清楚、让别人能够复现，则是另一种技能。
在 Bug Bounty Bootcamp 一书中，Vickie Li 讲解了完整的漏洞挖掘流程：从侦察和测试常见 Web 漏洞，到串联多个发现、使用 Burp Suite，再到撰写团队可以据此采取行动的报告。
这本书实用、易读，尤其适合正在学习如何把可疑行为转化为清晰、可复现的安全发现的读者。
😅 本周梗图
如果一个成本更低的模型能得到同样经过验证的安全结果，那您多花的钱究竟买到了什么？
The Breach Brief，Ostorlab 团队