- 博客(359)
- 资源 (10)
- 收藏
- 关注
RSS订阅原创 使用agent-audit扫描Agent源码发现安全漏洞
本文全面介绍了 Agent Audit 工具及其用法，这是一个用于扫描 Agent 源代码安全漏洞的开源静态分析工具
2026-10-13 23:30:00
334
原创 security-audit-skill漏洞检测
security-audit-skill 代表了 AI 安全审计的一条务实路线：不追求“看起来像扫描器”的广度输出，而是用信任边界作为唯一判据、用覆盖台账对抗遗漏、用对抗验证对抗幻觉、用沙箱对抗风险。
2026-09-24 23:30:00
290
原创 Windows下用codex画visio图生成.vsdx文件
本文介绍使用AI生成Visio原生vsdx文件的方法：在Windows安装Codex并配置百炼API，下载visio-automation-skill放置到本地skills目录，通过自然语言指令即可自动生成可编辑的Visio图。原理是Skill调用PowerShell脚本，利用Visio本地COM接口绘图，需桌面版Visio。
2026-09-05 22:33:29
261
原创 Fable5提示词在GLM模型下的表现
摘要： 实验对比了国产模型GLM5.1/5.2在使用Fable5优化提示词前后的网页生成效果。结果显示，加入Fable5提示词（CLAUDE-FABLE-5-DEV.md）后，生成的页面在视觉层次、文案精准度、排版逻辑和交互设计上显著提升。例如，GLM5.1优化后的页面（glm51-fp.html）展现出苹果风格的精简美学，而默认生成的页面（glm51.html）则呈现扁平化布局和泛化文案。开源代码证实，提示词工程能有效引导模型输出更专业的开发成果，验证了Jamieson关于"提示词改变输出物种"的论断。
2026-08-14 22:12:11
223
原创 详解AI智能体十大风险（OWASP Agentic Top 10 ASI）
本文解读OWASP发布了《Agentic Applications Top 10》报告中的智能体10大安全风险。
2026-06-02 22:45:00
998
原创 间接提示词注入真实样例鉴赏
基于 Web 的间接提示注入（IPI）已在公网真实武器化，攻击手法涵盖 CSS 隐藏、HTML 注释、无障碍属性滥用、元数据命名空间伪造、系统提示伪装等，意图从金融欺诈、数据销毁到 API 密钥窃取、拒绝服务。
2026-05-02 23:00:00
685
原创 codex报错解决 Error loading config.toml: `wire_api = “chat“` is no longer supported
codex报错解决 Error loading config.toml: `wire_api = "chat"` is no longer supported
2026-04-23 22:22:18
2590
原创 Claude Mythos Preview发布文章解读
从Claude Mythos Preview 发布文章，找到一些漏洞挖掘的提示词、方法等技术细节，至少是个思路。
2026-04-08 22:46:30
507
原创 ReDoS（正则表达式拒绝服务攻击）理解与实测
本文介绍了ReDoS（正则表达式拒绝服务攻击）的原理与复现方法。ReDoS通过利用正则表达式的灾难性回溯机制，当输入接近匹配但不完全匹配时，会导致CPU资源被指数级增长的回溯次数耗尽。核心触发条件是：正则包含嵌套重复量词（如(a+)+）、输入接近匹配且使用模糊匹配范围。通过Python代码复现显示，输入长度仅增加2倍时，耗时可能增加上万倍。该攻击揭示了正则表达式设计不当可能引发的严重性能问题。
2026-03-20 22:32:00
489
原创 CVE-2026-25857漏洞分析
本文详细复现了CVE-2026-25857漏洞的分析过程。首先通过ubireader和binwalk工具对固件进行解包，定位到存在漏洞的httpd二进制文件。逆向分析发现，漏洞源于WAN诊断功能中的cmd_get_http_code函数，该函数未对用户输入的URL参数进行过滤就直接拼接到curl命令中，并通过popen()函数执行。攻击者可利用特殊字符注入恶意命令，实现任意代码执行。漏洞成因主要是开发人员缺乏安全意识，未对用户输入进行安全处理，直接使用危险函数执行系统命令。该高危漏洞暴露了IoT设备常见的安
2026-02-24 15:34:57
689
原创 UBI固件解包实例
本文梳理了UBI固件与普通二进制固件的本质区别，明确了ubi_reader与binwalk工具的协同使用方法，解决了嵌入式固件分析中常见的UBI镜像解包难题。
2026-02-11 23:30:00
954
原创 Joern服务器启动后cpgqls-client结合python编程进行扫描
使用cpgqls-client也可以做到通过python编程，连接joern server后进行扫描,这种方式也能实现自动化
2026-01-14 23:15:00
543
原创 Qwen3技术之模型预训练
本文总结了Qwen3的预训练过程中的，数据获取，数据配比，三大预训练步骤（通用、推理、长上下文），超参数调节，测评等预训练过程中的关键步骤。
2025-08-05 23:15:00
1115
原创 用Joern执行CPGQL找到C语言中不安全函数调用的流程
本文给出了从安装Joern到用Joern执行CPGQL找到C语言中不安全函数调用的流程的完整示例。
2025-07-14 23:30:00
1412
原创 PrimeVul论文解读-如何构建高质量漏洞标签与数据集
PrimeVul作者对现有漏洞数据集进行分析，指出了现有数据集label不准和数据重复的问题，现有根据ACC/F1来做漏洞识别模型评测的不足，并给出了作者构建的另一个高质量数据集PrimeVul，还用这个数据测评了现有的SOTA的一些模型，并得出了现有模型做漏洞识别能力都不足的结论。作者的分析方法和高质量数据集构建的思路非常值得借鉴。
2025-05-18 22:45:00
1640
原创 用于测试大模型修复代码漏洞能力的数据集AutoPatchBench
AutoPatchBench里面包含了 136 个在实际代码库中（通过模糊测试发现的 C/C++ 漏洞），以及来自 ARVO 数据集的经过验证的修复方案。
2025-05-03 23:15:00
781
原创 Jinja2模板引擎SSTI漏洞
Jinja2 模板引擎在处理模板时执行了攻击者注入的恶意代码，从而引发了严重的安全问题，如敏感信息泄露、服务器被恶意控制
2025-04-19 23:15:00
1406
原创 详解大模型四类漏洞
大语言模型（LLM）的漏洞，分为安全与访问控制、合规与法律、信任与安全、品牌四大类。具体包括注入攻击、知识产权侵权、有害内容、错误信息等多种风险。
2025-04-04 23:15:00
1256
原创 PurpleLlama大模型安全全套检测方案
PurpleLlama包含多个关键工具和评估基准，用于提升LLM的安全性：（1）CyberSec Eval：网络安全评估工具，用于量化LLM在网络安全方面的风险，包括生成恶意代码的可能性、不安全代码建议频率以及协助网络攻击的能力。（2）Llama Guard：输入输出保护工具，用于过滤和检查LLM的输入输出内容，防止生成危险输出或被黑客利用。（3）Prompt Guard：提示保护工具，用于检测和阻止恶意提示注入，确保基于LLM的应用程序的安全性。
2025-03-21 22:15:00
2985
原创 基于trl复现DeepSeek-R1的GRPO训练过程
本文讲解了借助trl对Qwen2.5-0.5B-Instruct做GRPO的强化学习训练（DeepSeek）的过程，包括数据、数据处理、reward函数定义、训练前后的模型输出差异。
2025-03-01 23:15:00
5345
4
数据结构(C#语言版)
2011-02-21
简单的winsock编程客户机、服务器示例
2011-03-09
最简单的linux字符设备驱动
2012-11-25
nForm 国际化开发一例
2013-07-03
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人