Common Vulnerabilities And Exposures
PulseAugur coverage of Common Vulnerabilities And Exposures — every cluster mentioning Common Vulnerabilities And Exposures across labs, papers, and developer communities, ranked by signal.
2 天有情绪数据
-
OWASP LLM Top 10 风险排名与实际事件数据吻合度较低
arXiv 上的一项新分析通过将其专家驱动的风险排名与大规模真实 LLM 安全事件语料库进行比较，调查了 OWASP LLM 应用 Top 10 的鲁棒性。研究发现，专家排名与事件数据之间的一致性较弱，Cohen's \u03ba \u2248 0.20。尽管如此，专家排名被证明是鲁棒的，并且真实性检查表明与留出数据有很强的相关性。这项研究是两位工作组成员的探索性分析，不代表 OWASP 的官方发布。
-
需要人工智能来对抗人工智能生成的网络威胁，给基础设施带来压力
日益复杂的网络安全威胁，包括人工智能生成的漏洞利用，正在给网络基础设施带来压力。这需要利用人工智能来防御这些高级攻击，正如连续工作日面临的挑战以及系统承受的压力所强调的那样，尤其是在Windows补丁星期二前后。
-
安全社区就漏洞发现归功于AI展开辩论
安全社区正在辩论如何将使用AI和大语言模型（LLM）发现的漏洞归功于相关方。具体来说，在通用漏洞披露（CVE）条目中，是应该归功于AI模型本身、提示模型的个人，还是两者都归功，存在疑问。
-
AI工具被怀疑用于大规模披露Linux内核漏洞
Linux内核项目在过去三天内披露了442个漏洞，报告的CVE数量显著增加。尽管尚未证实，但据推测这些漏洞是使用AI工具发现的。Anthropic的Glasswing和OpenAI的Daybreak等项目的先进网络安全模型最近已提供给顶级安全公司和研究人员，有助于识别大型开源项目中的错误。
-
Anthropic 提出 AI 越狱严重性等级，以 CVE 为模型
Anthropic 推出了一项名为“网络越狱严重性”（CJS）的新框架，旨在像 CVE 对软件漏洞进行分级一样，对 AI 越狱的危险性进行分类。该系统从 CJS-0（信息性）到 CJS-4（危急性）不等，根据能力提升、应用范围、武器化难易程度和可发现性来评估越狱。Anthropic 正在就此草案征求行业反馈，旨在标准化开发者和政府之间关于 AI 风险的沟通，并已启动 HackerOne 项目，供研究人员提交在其 Claude Fabl…
-
BERT 模型在网络安全研究中用于 CVE 到 CWE 映射的比较
一篇新的研究论文探讨了不同 BERT 模型在将常见漏洞和暴露 (CVE) 映射到常见弱点枚举 (CWE) 类别方面的有效性。该研究使用 BERT Base、SecureBERT 和 CySecBERT 比较了多类别和多标签分类方法。结果表明，多类别训练通常能获得更高的宏观 F1 分数，尽管在标签空间较小时差距会缩小。研究还表明，CWE 分类法的结构对分类错误有显著影响，其影响程度超过了编码器的选择。
-
新的安全管道审计了8,764台MCP服务器，发现了漏洞
为了解决针对MCP服务器提交的大量CVE问题，开发了一个名为Sentinel的新安全审计管道。该管道采用多层方法，包括静态分析、行为分析、带有对抗性输入的活动探测以及使用gVisor进行沙箱化，以在服务器上架前识别漏洞。对8,764台服务器的初步扫描发现了诸如泄露的环境变量、硬编码的API密钥以及未经授权的系统访问尝试等问题，目标是为MCP生态系统建立安全基线。
-
AVE澄清：AI代理弱点分类类似CWE，而非CVE
作者澄清，AVE（Agent Vulnerability Enumeration，代理漏洞枚举）更类似于CWE（Common Weakness Enumeration，通用弱点枚举），而不是CVE（Common Vulnerabilities and Exposures，通用漏洞披露）。与识别特定软件版本中具体缺陷的CVE不同，AVE记录描述的是AI代理弱点的行为类别，例如通过描述操纵进行的工具投毒。这一区别很重要，因为AVE处理的是…
-
CISA维护网络安全漏洞的CVE列表
美国网络安全和基础设施安全局（CISA）维护着一个名为通用漏洞披露（CVE）的标准化列表。该目录记录了在软件和硬件中发现的已公开披露的网络安全缺陷。
-
AI 将零日漏洞利用时间缩短至 8 小时
人工智能正在显著加速软件漏洞的利用，从 CVE 公布到实际利用的平均时间现已缩短至短短 8 小时。零日漏洞时钟追踪到的这一快速时间线，凸显了网络安全专业人士面临日益严峻的威胁态势。这一趋势表明需要更快的补丁和防御机制，以应对漏洞利用的开发和部署速度。
-
基于系统调用的HIDS泛化到未见过的CVEs结果喜忧参半
研究人员探索了基于系统调用的主机入侵检测系统（HIDS）的泛化能力。他们研究了在特定通用漏洞披露（CVEs）的正常行为上训练的HIDS，这些CVEs共享同一通用弱点枚举（CWE）类别，是否能够检测同一类别中未见过的CVEs。研究发现，虽然CWE级别的泛化对于某些弱点家族是可行的，但并非普遍适用，并且很大程度上受到正常行为配置文件的广度影响，而不仅仅是CWE标签。
-
微软利用人工智能简化创纪录的周二补丁日安全更新
微软的 6 月份周二补丁日更新解决了创纪录的 206 个 CVE 问题，人工智能在简化该过程方面发挥了作用。该公司正在利用人工智能来加强其安全漏洞管理，使传统上枯燥乏味的周二补丁日更加高效。
-
VLLM AI推理引擎存在36个未修复漏洞
VLLM，一个开源AI推理引擎，存在大量漏洞，报告了36个CVE。其中14个被归类为关键或高危，一个最高CVSS评分为10。绝大多数（83%）漏洞仍未修复，构成相当大的安全风险。
-
人工智能使漏洞发现工业化，给网络安全修复带来压力
传统的网络安全方法侧重于识别和修复漏洞，但由于发现的缺陷数量庞大，这种方法正变得不可持续。人工智能正在加速漏洞的发现，其速度超过了修复能力，并凸显了像CVSS这样的评分系统的局限性。需要从仅仅计算漏洞数量转向证明和管理实际的业务风险，并考虑系统暴露和业务影响等因素。
-
开源软件饱受大量 CVE 披露之苦
本周，多个开源软件项目披露了多项漏洞。这些披露凸显了影响开源生态系统各种组件的普遍性问题。这种情况强调了在广泛使用的软件中维护安全所面临的持续挑战。
-
Ubiquiti 修补关键漏洞；FreeBSD 获安全荣誉
本周安全新闻重点是 Ubiquiti 发布公告，详细说明了针对六个安全漏洞的修复，其中两个被评为关键漏洞。另外，FreeBSD 因其强大的安全实践而获得认可，跻身拥有良好安全记录的操作系统之列。
-
关键的 7-Zip 漏洞可能导致数百万台机器的代码执行
在广泛使用的开源文件归档实用程序 7-Zip 中发现了一个关键安全漏洞，其 CVE 评级为 8.8。此漏洞允许通过打开一个特制存档来执行任意代码，即使不解压其内容。该漏洞影响了包括 Windows 和 Linux 发行版在内的各种操作系统上的数亿台机器，并影响了许多集成 7-Zip 库的第三方应用程序。
-
提示工程指南详述从公告中提取结构化数据
本教程详述了一种从非结构化文本中提取结构化数据的方法，特别关注网络安全公告。它概述了使用 OpenAI API、用于模式定义和验证的 Pydantic 以及用于重试逻辑的 `tenacity` 库的过程。该指南涵盖了系统提示设计、少样本示例以及处理歧义字段，以可靠地将 CVE ID、受影响的产品和修复步骤等信息解析为 JSON 格式。
-
AI 工具 MOAK 可自主利用新的安全漏洞
MOAK，又称 Mother of All KEVs，是一款新推出的、由 AI 驱动的工具，旨在快速利用新发现的安全漏洞。这款代理工作流能够在其一经发布就自主识别并利用 CVE，从而为安全专业人士提供对潜在 AI 驱动的利用风险的即时洞察。
-
AI 安全工具可能从训练数据中产生虚假的漏洞
用于 AI 辅助漏洞发现的大型语言模型可能会将其训练数据中的信息错误地呈现为新发现。这是因为大型语言模型无法区分回忆已知漏洞的信息和推理新代码。为了解决这个问题，研究人员提出了一种验证工作流程，该流程包括将 AI 生成的发现与 NVD 等公共数据库进行核对，并检查代码的 Git 历史记录，以确定该漏洞是否曾被披露或修补。