Anthropic 宣布推出 Anthropic Cyber Mission，称这是一项旨在保护关键基础设施和开源软件的新行动。据 The Decoder 报道，该长期项目中的关键基础设施防御计划（CIDP）向电网、水务系统和交通网络的运营方开放 Claude 模型、工程师和威胁分析，CrowdStrike、Palo Alto Networks、Deloitte 和 Rockwell Automation 为创始合作伙伴；另有一款免费的 OSS AI 扫描器将定期检查开源项目，自动标记并解释漏洞。Hitachi 宣布加入该关键基础设施防御计划，称其在能源、交通、工业等关键基础设施领域拥有数字技术与运营经验。
tl;dr sectl;dr sec · 2026年10月8日的 tl;dr sec #349 汇总多项安全动态：XBOW 提出先让智能体以各角色登录并绘制权限边界，再据此判定 IDOR 结果，以降低误报；PortSwigger 为 Turbo Intruder 加入 HTTP/3 支持，Wi-Fi 下单机可发超过 10 万请求/秒，是同环境下 HTTP/1.1 的三倍以上；Aikido 在 gocommunity-io/dockerd、kreuzwenker/docker 两个 Terraform provider 及两个 Go 模块中发现 Gr 相关漏洞。
Anthropic Research、CyberScoop 等 8 个来源Anthropic Research 等 8 个来源 · 8篇报道 · Anthropic 启动长期计划 Anthropic Cyber Mission，聚焦关键基础设施与开源软件两大方向。关键基础设施防御计划（CIDP）向电力、水务、交通等运营技术防御方提供前沿 Claude 模型、驻场工程师与威胁研究，合作方包括 CrowdStrike、Dragos、Palo Alto Networks、Rockwell Automation 等公司。同时推出的 OSS Scanner 是面向开源生态的可选加入漏洞扫描服务，由该公司最强模型免费为加入项目定期扫描；报告完全由模型生成、不经人工复核或分诊，因此可能不准确。Anthropic 称过去六个月用最新模型扫描重要软件项目，发现超过 29,000 个候选漏洞，仅人工复核约 6,000 个，应维护者要求已直接发送近 5,000 份未经人工验证的报告。
AWS SecurityAWS Security · 2篇报道 · AWS 安全团队发布 AI 漏洞分诊 harness 的配置指南，用 steering file 把团队分诊方法论固化为模型每次会话加载的持久指令。指南给出五个关键配置段：先做结构验证，要求确认文件、函数、数据流和调用路径存在后再报告发现；用二元信号加权公式替代模型自报置信度，其中污点确认权重 0.30；解析 IaC 并按控制类型施加乘数，攻击阻断控制可叠加且下限为 0.15；接入 CISA KEV、EPSS 和公开 PoC 信号。
The Hacker NewsThe Hacker News · Picus 指出，智能体渗透测试能通过实际执行漏洞利用证明单个暴露点是否可利用，并验证从初始访问到权限提升、横向移动的完整攻击链。但该方法存在速度与覆盖两大局限：25 万端点规模的完整扫描需数周，而 2026 年披露到利用的平均时间已从 2025 年的 21.5 天缩短至 8 小时；受安全与稳定性限制，真实漏洞利用只能覆盖典型企业约 20% 至 30% 的可利用面。
Google 产品安全团队开发的 AI 智能体 PageBreak 自 2025 年 11 月起在 Google 一方 Web 应用中找出 500 多个 XSS 漏洞，扫描主要由 Gemini 3.1 Pro 和 3.5 Flash 完成，误报近乎为零。其核心机制是确定性验证：每个漏洞假设都交由验证器向运行环境投递真实载荷，确认 JavaScript 执行、文件写入或外发 DNS 后才判定成立。在数百个基于 Google 高保障 Web 框架的应用中仅发现 2 个漏洞，且均位于未完全加固的内部应用或调试端点。该智能体去年 11 月试点、今年 1 月转为正式产品，目标是自主扩展漏洞发现并减少人工投入。已修复漏洞包括 apis.google.com 的缓存投毒、admin.google.com 的 XSS 以及浏览器扩展中的不安全外部握手。
Help Net Security AIHelp Net Security AI · GitHub Security Lab 研究员 Kevin Stubbings 在实验室开源的 Taskflow Agent 之上，构建了面向移动应用的 AI 审计工作流 taskflows，并用其发现并报告了 Android 应用中的 20 多个漏洞。
