Common Vulnerability Scoring System
PulseAugur coverage of Common Vulnerability Scoring System — every cluster mentioning Common Vulnerability Scoring System across labs, papers, and developer communities, ranked by signal.
4 天有情绪数据
-
报告发现，99.9%的AI软件包漏洞补丁仍未得到处理
Orca Security 在2026年第二季度对1200多家组织的数据进行分析后，于2026年7月发布的一份报告显示，99.9%的带有可用补丁的AI软件包漏洞仍未得到处理。研究发现，81%使用AI软件包的组织至少存在一个已知漏洞，平均CVSS得分为8.79，表明其关键性很高。这种情况归因于担心更新会破坏AI代理功能、对修补传递性依赖关系责任不明确以及文化上侧重于AI的创造力而非必要的安全维护。
-
USAP工具强制执行AI安全判决的可验证证据
一款名为USAP的新开源工具已被开发出来，以解决AI安全分析中正确和错误判决无法区分的缺陷。USAP强制执行“证据门”模式，要求每个判决都有可验证的来源支持，如CVE、外部信息源或操作员工件。这种方法可以实现抽象连接器，防止叙述不可计算的数字，并确保系统无法自我评分，从而促进更可靠的AI安全评估。
-
提示注入和缺失的身份验证创建了免费的LLM滥用向量
一位安全研究员发现了一个AI翻译API中的漏洞，该漏洞允许对底层大型语言模型进行免费、未经身份验证的滥用。该漏洞源于API端点上缺失的身份验证和提示注入的组合，其中用户输入在没有适当清理的情况下直接被纳入模型的提示中。这使得攻击者能够绕过翻译任务并向LLM发出任意命令，从而导致“钱包拒绝服务”场景，服务提供商因此承担了未经授权使用的成本。
-
人工智能驱动的漏洞发现会制造噪音，而非安全，给安全团队带来困扰
人工智能在漏洞发现中的应用日益广泛，正让安全团队不堪重负，涌入大量发现结果，但这并不一定等同于安全性的提高。虽然人工智能加速了防御者和攻击者识别弱点的能力，但安全团队通常根据严重性评分来优先处理漏洞，而不是攻击者实际的利用路径。这种由人工智能放大的脱节现象导致团队花费更多时间处理噪音，而用于解决真正风险的时间却减少，从而造成危险的运营失衡。
-
人工智能使漏洞发现工业化，给网络安全修复带来压力
传统的网络安全方法侧重于识别和修复漏洞，但由于发现的缺陷数量庞大，这种方法正变得不可持续。人工智能正在加速漏洞的发现，其速度超过了修复能力，并凸显了像CVSS这样的评分系统的局限性。需要从仅仅计算漏洞数量转向证明和管理实际的业务风险，并考虑系统暴露和业务影响等因素。
-
RiskBridge 框架利用 AI 优先处理网络漏洞
一篇新的研究论文介绍了一个名为 RiskBridge 的框架，旨在改进企业对网络安全漏洞的优先级排序方式。当前的方法常常未能考虑到实际因素，如漏洞利用的可能性和合规性需求。RiskBridge 集成了多个数据源，并使用模拟模型来预测漏洞利用的可能性，使用策略引擎来满足监管合规性，并使用优化器来最大化风险降低，从而在残余风险降低和修复效率方面取得了显著改进。
-
Google Gemini CLI 遭受 CVSS 10.0 级严重漏洞攻击
Google 的 Gemini CLI 工具中发现了一个 CVSS 评分为 10.0 的严重漏洞。这是最高可能的严重性评级，表明 Google AI 模型的命令行界面存在严重的outen安全风险。该漏洞由安全措施实验室报告。
-
Google修补了允许供应链攻击的关键Gemini CLI漏洞
Google已修复了其Gemini CLI工具中的一个关键安全漏洞，该漏洞的CVSS评分为10。该漏洞可能使攻击者能够通过提示注入和权限提升技术执行任意代码并实现完整的供应链攻击。该问题已被识别并修补，从而防止了潜在的大规模安全漏洞。
-
Cursor IDE 通过 git clone 存在远程代码执行漏洞
在 Cursor IDE 中发现了一个严重漏洞，攻击者只需克隆一个恶意的 Git 仓库即可完全控制用户的 PC。该漏洞的 CVSS 评分为 9.9，代表了严重的安全性风险。该漏洞利用了 Cursor 处理 Git 操作的方式，如果被利用，可能导致大范围的系统被攻陷。
-
Google 的 Gemini CLI 修复程序导致新的 CI/CD 流水线问题
Google 已修复其 Gemini 命令行界面 (CLI) 工具中的一个严重漏洞，该漏洞可能允许远程代码执行。该缺陷的 CVSS 评分为 10.0，源于该工具在无头模式下运行时对工作区文件夹的自动信任设置。此修复程序可能会破坏依赖于先前行为的 CI/CD 流水线和 GitHub Actions，要求用户更新其工作流程并显式信任文件夹。
-
Google Gemini CLI 遭遇 CVSS 10.0 RCE 漏洞，破坏了信任边界
Google Gemini CLI 中发现了一个 CVSS 评分为 10.0 的严重漏洞，允许攻击者通过提交包含恶意配置文件的拉取请求来执行任意代码。该漏洞利用了在代理沙箱激活之前加载受损文件的机制，绕过了安全措施。此事件是影响 AI 工具安全漏洞的更大趋势的一部分，其他近期示例包括 CursorJacking 和对 Vercel AI 工具的供应链攻击。
-
Anthropic的Mythos安全声明因营销与现实脱节而面临审查
一项批判性分析表明，Anthropic关于其Claude Mythos预览版安全能力的声明在很大程度上是未经证实的营销宣传。作者发现该系统卡片过长，并且缺乏关于漏洞的具体、可验证的细节，例如CVSS分数或CVE列表。报告暗示，围绕该模型安全的叙述被夸大了，实际的财务承诺和发现的影响力似乎远不如公开声明的那么大。