National Vulnerability Database
PulseAugur coverage of National Vulnerability Database — every cluster mentioning National Vulnerability Database across labs, papers, and developer communities, ranked by signal.
4 天有情绪数据
-
中国AI“图龙凤”安全基准测试登顶全球，击败OpenAI和Google
360安全公司开发的中国AI安全系统“图龙凤”在CyberGym排行榜上取得了创纪录的99.4%成功率，该排行榜是衡量AI安全能力的基准。这一成就超越了其他领先的AI模型，如OpenAI的GPT 5.5 Cyber、Anthropic的Claude Mythos Preview和Google的Gemini 3.8 Flash Cyber。该系统的成功归功于其在海量真实世界漏洞数据和专家人类经验上的训练，使其能够有效识别、利用和复现复杂的安全漏洞。
-
Langflow、vLLM 和 Linux 的严重安全漏洞已披露 · 跟踪 10 个来源
多个流行的与 AI 相关的软件已披露严重安全漏洞。Langflow，一个用于构建 LLM 应用程序的开源工具，存在多个严重漏洞，国家漏洞数据库评级为 9.8，建议更新特定版本，如 1.10.1、1.11.6 和 1.12.3。此外，vLLM，一个高吞吐量 LLM 推理引擎，存在一个高危漏洞（8.8），Linux 存在一个严重漏洞（9.8），目前尚无即时修复方案。建议用户及时更新受影响的软件以降低风险。
-
AI模型加速关键软件缺陷发现，给开源维护者带来压力
近期软件漏洞发现激增，被称为“漏洞末日”，这主要归因于OpenAI和Anthropic等公司主要AI模型的先进网络安全能力。这些模型现在可以轻松识别以前未知的软件缺陷，使PHP、Node.js和GitLab等关键开源项目的有限志愿者维护者不堪重负。这种情况凸显了对开源软件（构成互联网的支柱）提供更多企业资助和支持的迫切需求。
-
新的Python工具CVESentry为AI代理提供实时CVE审计
一款名为CVESentry的新型Python工具已被开发出来，用于解决AI编码代理安装依赖项所带来的安全风险。传统的CVE API存在高延迟和严格的速率限制问题，阻碍了实时漏洞检查。CVESentry作为一个本地sidecar服务器运行，通过本地SQLite漏洞数据库进行亚毫秒级查找。它支持多种编程生态系统，使用EPSS和CISA KEV数据优先处理威胁，并能自动生成安全的SemVer升级补丁。
-
Vibe-Trading AI 代理易受通过提示注入执行根命令的攻击
在 Vibe-Trading 的 AI 交易研究代理的 0.1.7 版本之前的版本中，发现了一个关键的提示注入漏洞 CVE-2026-114107。该漏洞允许攻击者通过在代理处理的文档或网页中嵌入恶意指令来执行任意根命令。该代理的 shell 工具缺乏输入验证和允许列表，直接将命令与 `shell=True` 一起传递给 subprocess.run，从而使攻击者能够完全控制代理的环境。此问题因允许未经身份验证访问代理 API 的单独漏洞而加剧。
-
四台 MCP 服务器存在未经身份验证的 CVE；mcp-atlassian 发现 29 个漏洞
本周，发现了四台不同的模型上下文协议 (MCP) 服务器存在关键的未经身份验证的漏洞，允许未经授权访问敏感数据和系统功能。这些问题，包括一台可以上传任何文件的 GitLab 服务器和一台存在逃逸漏洞的 IBM 沙箱，在 48 小时内由国家漏洞数据库 (NVD) 公布。此外，一个独立的 Python 包 mcp-atlassian 有 29 条 CVE 记录被公布，涉及类似的严重安全漏洞，包括反复出现的 DNS 重绑定漏洞，该漏洞允许访…
-
MCP stdio 启动边界中的安全漏洞允许未经授权的服务器执行
一项安全分析强调了 MCP stdio 启动边界中关键的授权缺陷，认为当前的安保措施侧重于工具调用授权，而非初始服务器启动。作者指出，在 CVE-2026-46519 和 CVE-2026-85660 等多个 CVE 中，访问控制机制被绕过，因为在任何工具特定的授权应用之前就发生了以主机权限启动服务器进程的决策。这使得受损的配置或恶意输入可能导致任意 shell 执行，即使下游开发者本应处理清理工作。
-
AI 加剧软件漏洞危机，推动 CTEM 采用
软件漏洞数量的不断增加，加上 AI 发现和利用漏洞的能力，正使传统的“打补丁然后遗忘”的方法不堪重负。像 Horizon3 的 Drew Vanover 等专家指出，公司正努力应对 Microsoft 等供应商发布的数量庞大的修复程序。美国国家标准与技术研究院 (NIST) 已在其国家漏洞数据库中承认了积压问题，商务部的一份报告批评了通用漏洞评分系统 (CVSS) 分数的客观性和有限的实用性。这种情况需要转向持续威胁暴露管理 (CTE…
-
AI代理因市场冲刺而出现安全漏洞，与物联网问题如出一辙
由于急于推向市场，AI代理正在带有安全漏洞地发布，这与多年前在物联网设备中发现的安全缺陷如出一辙。这种“AI代理安全债务”的产生，是因为开发团队常常未能进行对抗性测试来发现潜在的弱点。最近的一个例子是影响Microsoft 365 Copilot的CVE-2025-32711，攻击者可以在未经用户交互的情况下泄露信息，这凸显了系统将输入视为权限而非数据的相同模式。
-
AI 加速网络安全，对数学和 AI 研究影响不一 · 跟踪 2 个来源
METR 的一项最新分析表明，虽然 AI 显著加速了网络安全领域的进展，但其对数学研究的影响较小且难以量化，而对 AI 研究本身的影响则微乎其微。该研究考察了网络安全、数学和 AI 领域的进展，指出与 2025 年相比，2026 年特定项目和聚合数据库报告的漏洞数量急剧增加。在数学领域，AI 为更多的论文提交和一些复杂问题的解决做出了贡献，但长期趋势仍不确定。与此同时，一个多所大学的研究小组正在开发一个名为 SPADE 的新框架，用于…
-
Jira 工单漏洞允许服务器命令执行
已披露一个安全漏洞（CVE-2026-73498），其中 Jira 工单可被操纵以在服务器上执行命令。此漏洞利用了 MCP Atlassian 服务器中的一个工具来读取敏感信息，例如来自 `/proc/self/environ` 的服务器凭据，并将其附加到 Confluence 页面。该漏洞存在于 0.22.0 之前的版本中，源于上传工具中不充分的路径验证，允许在未经适当授权检查的情况下任意读取文件。
-
macOS屏幕共享关键漏洞被用于Monero加密挖矿
macOS屏幕共享中一个被标识为CVE-2026-65400的关键漏洞，目前正被攻击者积极利用，以在Mac上获得远程root权限。该漏洞允许未经授权的身份验证，进而导致Monero加密货币矿工的安装。在荷兰国家网络安全中心（NCSC-NL）的报告以及公开的概念验证代码可用后，CISA已将该漏洞的严重性评分从7.1大幅提升至9.8，并将其归类为关键且可自动利用。Apple于8月6日发布了针对此漏洞的紧急补丁，涵盖了多个macOS版本，但…
-
NIST 计划对国家漏洞数据库进行人工智能时代的大修，同时担忧资金问题
美国国家标准与技术研究院 (NIST) 正在启动一个项目，以重新构想其国家漏洞数据库在人工智能时代的应用。此次大修旨在为在人工智能驱动的环境中管理和利用漏洞数据创建新的蓝图。然而，目前的资金限制构成了重大风险，可能导致数据库信息过时且价值降低。
-
AI 加速发现率，尤其是在网络漏洞方面 · METR 分析
METR 的一项新分析表明，公开披露的发现率有所加速，尤其是在网络安全漏洞领域。虽然 AI 在某些领域（例如 cURL 和 OpenSSL 等项目的 AI 标记披露数量急剧增加）的贡献显而易见，但其对整体发现率的影响更难明确量化。研究指出，虽然 AI 使某些领域的 arXiv 提交量翻倍，但其在解决复杂数学问题或改进优化技术方面的作用加速并不显著，高严重性漏洞的增长率较低。
-
NIST 警告 LLM 对国家漏洞数据库流程构成威胁 · 跟踪 2 个来源
美国国家标准与技术研究院（NIST）对大型语言模型（LLM）在发现和利用软件漏洞方面不断增强的能力表示担忧。NIST 认为，国家漏洞数据库（NVD）的现有流程需要更新，以应对这些人工智能模型大规模运作的潜在风险。这一担忧凸显了适应人工智能发展对网络安全基础设施日益增长的需求。
-
生成式AI工具AegisShield实现网络威胁建模民主化
研究人员开发了AegisShield，这是一种生成式AI工具，旨在自动化和简化网络威胁建模，特别是对于资源有限的组织。该工具集成了STRIDE框架和MITRE ATT&CK技术，并从公共数据库中提取实时威胁情报。评估表明，AegisShield显著降低了复杂性，产生的威胁与专家生成的威胁相当，并能准确地将威胁映射到MITRE ATT&CK技术，从而实现更早的风险评估并促进安全设计实践。
-
AI发现漏洞的速度超过人类修复速度
AI发现软件漏洞的速度远远超过了人类的修复能力。最近的一项分析表明，超过90%的AI识别出的漏洞是有效的，但只有6%得到了修复。这凸显了国家漏洞数据库（NVD）的一个关键瓶颈，并表明传统的协调披露方法不足以应对当前AI驱动的漏洞发现速度。
-
中国发现 Anthropic 的 Claude Code 存在“后门”漏洞
中国国家漏洞数据库已发布关于 Anthropic 的 Claude Code 的警告，指控某些版本包含安全后门漏洞。政府声称，该工具在 2026 年 4 月至 6 月期间激活的监控机制，可能在未经用户同意的情况下将敏感用户信息发送到远程服务器。尽管该工具未在中国获得官方批准公开使用，并且 Anthropic 已限制其在该地区的 사용，但该咨询建议用户卸载或更新该软件。Anthropic 表示，这是一个为防止账户滥用和模型蒸馏而设计的实…
-
中国警告Anthropic Claude Code存在“后门”风险；AI公司回应
中国工业和信息化部（MIIT）已就Anthropic的Claude Code AI工具相关的安全风险发出警告，称其存在可能传输敏感用户数据的“后门”。Anthropic回应称，受影响的版本未经授权在中国使用，并且嵌入的代码是为了防止模型“蒸馏”和账户滥用的实验。该公司此后发布了更新版本，并加强了缓解措施。
-
新的知识图谱将软件漏洞与攻击行为关联
研究人员开发了一个新的知识图谱 CVE-TTP KG，旨在将软件漏洞与攻击者的策略和技术联系起来。该系统通过连接来自 CVE 和 NVD 等漏洞数据库的信息与 MITRE ATT&CK 框架的行为模式，来改进威胁解读。采用了包括 CySecBERT 在内的基于 Transformer 的模型进行行为识别，在技术和策略方面均取得了较高的 F1 分数。由此产生的 Cyber Threat Knowledge Graph 构建在 Neo4j…