2026年4月7日
Gemma 4 VS Qwen 3.5 本地部署测评
上周 Google 隆重推出了 Gemma4 开源模型，号称史上最强开源模型（据说对标的是当前最火热的 Qwen3.5），于是骨哥迫不及待的在本地部署并进行了一系列测试，让我们一起来看看结果吧。 测试...
求知若饥，虚心若愚。
2026年3月26日
用报废车零件运行特斯拉Model 3 的电脑
特斯拉运营着一个漏洞悬赏项目 (bug bounty program)，邀请研究人员寻找其车辆中的安全漏洞。为了参与，我需要实际的硬件，于是我开始在eBay上寻找特斯拉Model 3的零件。我的目标是...
2026年3月26日
【CVE-2026-26123】微软身份认证器 DeepLink 漏洞
当你的身份验证应用成为最薄弱一环：一个无主深层链接如何泄露数百万微软账户 概述 微软身份验证器用于安全引导用户登录或通过二维码启用双因素认证 (2FA) 的 ms-msa:// 深层链接，实际上并未被...
2026年3月23日
AI辅助漏洞挖掘：四种方法的实测与挫败
我测试了四种AI辅助查找漏洞的方法，持续约一周。找到了真实的漏洞——20分钟内在一个目标中确认了14个漏洞。同时也浪费了时间在一种毫无成果的方法上。 AI确实能找到漏洞——这是真的。但它找到的哪些漏洞...
2026年3月18日
他用那一瞬间的电压波动，干碎微软13年安全神话！
2026年RE//verse安全大会现场，一个名叫Markus Gaasedelen的男人，当着全世界的面，按下了一个按钮。 下一秒，那台被微软吹了13年、号称“永远不会被破解”的Xbox One，屏...
2026年3月18日
LinkedIn(领英)最新高危（8.1）漏洞披露
一个从未被清理的静态字段、一个缺少锚点的正则表达式，再加上一处无人校验的协议漏洞——这三者叠加，竟能让两次普通的广告点击操作，直接导致用户的领英账号会话被完全接管。 本文将详细介绍国外白帽在领英And...
2026年3月12日
PageJack实战：CVE-2022-0995漏洞利用详解
PageJack 是一种 Linux 内核利用技术，可用于在页分配器中制造释放后使用 (UAF) 漏洞。在本文中，我们将提供一个详细的示例，展示如何利用此技术来利用 2022 年的一个 Linux 内...
2026年3月12日
四分钟诱骗Comet AI浏览器陷入网络钓鱼诈骗
并非为你浏览，而是“冒充你”浏览 直到最近，大多数“智能体AI”还被限制在AI供应商的安全门之后。它们可以看到开放的、“匿名的”互联网，但仍然撞上了“最后一英里”的墙，无法访问有门的“个人”网络，即我...
2026年3月11日
大海捞针：LLMs如何革新漏洞挖掘新范式
引言 我在过去几周报告了一系列安全问题。其中一小部分漏洞现已修复并以安全公告形式披露。所有这些漏洞都是100%使用LLMs（大语言模型） 发现的，没有进行任何手动源代码审查。我发现这些漏洞的项目相当知...
2026年3月10日
“恶意软件就在你身边”：警惕假冒OpenClaw安装程序！
摘要 信息窃取软件仍然是攻击公开暴露系统的主要初始入侵媒介，例如2024年的 Snowflake 客户数据库泄露事件，以及2026年一家罗马尼亚石油管道运营商的入侵事件。本篇博客详细调查了在2026年...