开源大模型LangChain披露了一个严重级别的序列化注入漏洞（CVE-2025-68664），这一漏洞由Cyata Security的安全研究员Yarden Porat发现，在序列化/反序列化流程中存在”lc”键转义缺失，攻击者可通过提示词注入等手段导致环境变量泄露、任意对象实例化乃至远程代码执行。该漏洞影响LangChain Core 0.3.81版本前及1.0.0-1.2.5版本范围内的全部部署，官方已在12月24日发布补丁版本1.2.5及0.3.81，并同步收紧默认安全策略。

Strix代表了网络安全测试领域的范式转变——从以人工为中心的渗透方法向多Agent协作自动化模式的演进。该工具通过LLM驱动的自主智能体实现完整的漏洞生命周期管理（侦察、利用、验证），相比传统手工渗透和被动扫描工具展现出显著的成本优势（成本降低70%以上）和时间效率优势（测试周期从数周缩短至数小时）。然而，其局限性同样明显：零日漏洞利用成功率仅10-12%，业务逻辑漏洞检测能力严重不足，且多Agent系统固有的安全风险（提示注入、Agent间信任滥用）需要结构化治理框架。

随着大语言模型（LLM）与生成式人工智能（GenAI）在企业级应用中的广泛渗透，传统基于确定性逻辑的软件安全范式已难以应对模型反演、数据投毒及提示词注入等新型随机性威胁。Google于2023年推出的安全AI框架（Secure AI Framework, SAIF）提出了一套系统化的防御架构，旨在将传统网络安全（Cybersecurity）的最佳实践与人工智能系统的特殊性相结合。本文将从架构设计的视角，深入剖析SAIF的六大核心支柱、生态协同机制及演进路径，为构建企业级AI安全体系提供理论与实践参考。

本报告基于人工智能AI关键链路从AI助手 (Assistants)、代理 (Agents)、工具 (Tools)、模型 (Models) 和 存储 (Storage) 构成的五大核心攻击面，并针对性地提出了安全风险、防御架构和解决方案。

Apache OFBiz 是一款用于企业流程自动化的开源产品。它包括ERP、CRM、电子商务、供应链管理和制造资源计划的框架组件和业务应用程序。 Apache OFBiz 在 18.12.10 版本之前存在远程代码执行漏洞。由于 xml-RPC 已经不再维护，经过身份认证的攻击者可以利用 xml-RPC 进行远程代码执行利用，从而控制服务器。

适用于任何使用人工智能 (AI) 的系统提供商的指南，无论这些系统是从头开始创建的，还是构建在其他人提供的工具和服务之上的。

Google Android 14输入法信息泄露漏洞，由于侧通道信息泄露，有一种可能无需查询权限即可确定应用程序是否安装的方法。这可能会导致本地信息泄露，而无需额外的执行权限。利用该漏洞不需要用户交互。

随着生成式人工智能模型的兴起，威胁格局发生了巨大变化。如今又有黑客制造了一个名为 FraudGPT 的恶意 AI 工具，专门用于攻击目的，例如制作鱼叉式网络钓鱼电子邮件、创建破解工具、梳理等。该工具目前在各种暗网市场和 Telegram 平台上出售，据称“能够生成多种网络攻击代码”，“不到一周已经有逾 3000 名买家下单”。

一个以打击中东地区目标而闻名的威胁行为者再次进化了其安卓间谍软件，并增强了功能，使其能够更加隐蔽和持久，同时以看似无害的应用程序更新来掩人耳目。 报告显示该间谍软件已是新的变种 在…

乌克兰主要的执法和反间谍机构周四披露了据称参与黑客入侵的五个人的真实身份，他们被认为是一个名为Gamaredon的网络间谍组织，并将这些成员与俄罗斯联邦安全局联系起来。 乌克兰安全…