tl;dr sec #349：AI 时代的漏洞与利用、包管理器沙箱化、AI 沙箱测试

XBOW 提出先让智能体以各角色登录并绘制权限边界，再据此判定 IDOR 结果，以降低误报；PortSwigger 为 Turbo Intruder 加入 HTTP/3 支持，Wi-Fi 下单机可发超过 10 万请求/秒，是同环境下 HTTP/1.1 的三倍以上。Aikido 在 gocommunity-io/dockerd、kreuzwenker/docker 两个 Terraform provider 及两个 Go 模块中发现 Graphalgo 恶意代码，仅在两个 Terraform 变量的 SHA256 哈希匹配硬编码值时才解密运行 Go RAT，并通过 Slack 和 Arbitrum Sepolia 上的以太坊智能合约接收加密指令，其 Slack 频道显示自 2026 年 7 月以来仅 18 台主机受感染。