先知技术社区

Java 安全 · AI & Security 两大技术图谱正式上线！

本文根据Python代码的特性尝试绕过WAF防护

Agent Session Smuggling是一种针对AI代理间有状态通信的新型攻击。恶意代理利用A2A（Agent2Agent）协议的会话状态保持特性，在正常的代理间对话中隐蔽注入恶意指令实现恶意的目的执行

fileury fury+IOUtils二次反序列化打aspectJweaver写jar包加载

在 Java 领域，Tomcat/WebLogic 的各种 Filter、Listener 内存马早被玩烂了，查杀方案也都很成熟。但换到 Go 语言（Golang），因为它是静态编译的，没有传统的“Web 容器”概念，大家普遍觉得它天然免疫内存马，顶多通过 cgo 或 plugin 搞点二进制注入。

本文围绕 polarisCTF 的 9 道密码学题目展开，包含整体思路、解题关键与完整的解题脚本

edusrc漏洞挖掘常见思路

本文是一篇探讨如何将AI（尤其是大语言模型）与Web3智能合约安全审计深度结合的技术实践与方法论文章。基于实际工作经验，提出在AI时代，真正高效的自动化代码审计不应依赖简单的指令或具体的漏洞案例，而应回归“提示词编写（Prompt Engineering）”的基本功。

2026阿里白帽大会 - Kaminsky重现：重新思考DNS辖区原则实现的安全性

2026数字中国创新大赛数字安全赛道暨 三明市第六届“红明谷”杯 pwn 全解解析 附带附件

总结来说，Auto Login Skill 不只是一个自动化工具，它更是一种 AI 技能在网络安全领域的落地实践。 从自动识别系统到智能纠错，再到多技能联动，它展示了 AI 在渗透测试等网络安全任务中的巨大潜力（还比如钓鱼很多场景提效）。

2026白帽大会 - 破局与重构：多模态AI Agent的红蓝对抗效率革命

本文对帆软FineReport的项目结构，路由映射和历史漏洞进行详细分析，旨在为想要审计帆软报表的读者提供详尽的入门指南。

结合代码浅分析DigitalOcean Droplet Agent 命令注入预授权 RCE 漏洞(CVE-2026-24516)

前言比赛又被拷打了，等了好久这个题都没有wp，没招，只能自己梭哈了。环境搭建这里直接用的SfTian佬的复现平台打的题https://gz.imxbt.cn/。解题登录以及题目漏洞点分析首先访问题目，说明要https访问。https之后其实发现会跳转到localhost。这里需要输入接口/carbon/admin/login.jsp，才能正常访问。然后是找账户密码了，本地 repository/c

本文记录一次完整的内网渗透实战过程，从外网打点到域控接管，涵盖 WebShell 利用、OA 漏洞利用、内网横向移动、域提权等关键技术。

漏洞描述2026.2.14 之前的 OpenClaw 版本在网关中存在一个漏洞，无法净化 node.invoke 参数中的内部批准字段，使得经过认证的客户端绕过执行审核对 system.run 命令的批准门禁。拥有有效网关凭证的攻击者可以注入批准控制字段，在连接的节点主机上执行任意命令，可能攻破开发者工作站和配置执行器漏洞影响评分：9.9影响：<2026.2.14漏洞复现在项目根目录下安装依

AI辅助还原Coruna漏洞利用链混淆代码

漏洞描述该漏洞本质上是由于JeecgBoot内置的WAF存在逻辑缺陷，导致针对特定接口的SQL注入防护被绕过。影响版本: JeecgBoot 版本 3.9.1/3.9.0需要任意用户权限漏洞分析来到SysDictController.java入口路由为 GET /sys/dict/getDictItems/{dictCode}控制器直接将 dictCode 传入sysDictService.get

本文仅分享某AI项目漏洞挖掘过程，不涉及poc以及任何黑盒测试内容，感兴趣的师傅可以自行复现