来自中国的两支道德黑客团队在俄罗斯最大的网络安全节上参加了 Standoff 11 网络战!

第 23 篇 · S9·下：成本与 Token 治理、安全 HITL、并发限流、部署运维 + 生产级实操

本篇是 S9 收官：在前两篇的边界与观测之上，补齐生产系统的四块拼图：成本治理（token 是新的资源账单）、安全（Agent 能动手，HITL 审批与注入防护）、并发限流（防打爆 LLM 配额）、部署运维（状态外置/灰度/数据飞轮）。最后给出生产级实操：给 ReAct Agent 套一层"三层上限 + 重试退避 + 错误回灌 + 全链路 trace"的最小 Harness 外壳，以及 LLM-as-judge 与模型路由两个可复制 Prompt 模板。

r3kapig：校园明星 CTF 战队的奇幻养成之旅

采访、撰写：浅黑科技当我还是个一推就倒的小学生时，一次偶然，被同学拉进了《哈利波特》的魔法世界。我惊奇的发现，就算不是魔法家庭的孩子，只要有天赋和兴趣，一样能够进入霍格沃茨魔法...

记录一次Spring Framework 漏洞修复的过程

摘要：针对Spring Boot 2.6.13项目在阿里云漏洞扫描中发现的Spring Framework目录遍历漏洞（CVE-2024-38819），首先分析了漏洞成因，确认5.3.23版本存在风险。解决方案包括升级Spring Boot至2.7.18（对应Spring Framework 5.3.41）或6.0+版本，但后者需JDK17支持。临时方案通过配置HttpFirewall限制特殊字符，最终借助阿里云防护服务暂时解决问题。建议长期解决方案仍需升级至安全版本（Spring Boot 6.1.14或

赛宁网安-r3kapig联合战队冲击DEF CON CTF 2022总决赛

赛宁网安天虞实验室与r3kapig组成“赛宁网安-r3kapig”联合战队， 向DEF CON CTF 2022冠军宝座发起挑战，决赛将于北京时间8月13日周五凌晨01:00正式打响。

Standoff 12 网络演习

2022 年，Positive Technologies 公司对自身进行了有效网络安全概念的测试，进入了对这一概念的质量进行全球评估的阶段，并启动了一项新型计划，以查找信息系统中的漏洞：该公司首次呼吁独立研究人员实施自己定义为不可接受的事件之一--从公司账户中转移资金。早些时候，我们已经开始让独立研究人员团队以新的形式参与测试我们基础设施的耐久性，不仅让他们发现一些漏洞，还让他们尝试实现最危险、企业最无法接受的事件，最终保证这些事件不可能发生。在现实生活中用于保护自己的基础架构的信息保护措施。

TCTF 2019收官：r3kapig战队问鼎国际赛冠军

【TechWeb】6月9日消息，第三届腾讯信息安全争霸赛（TencentCaptureTheFlag，简称TCTF）今日在上海收官，本届大赛云集了全球8个国家和地区的12支顶级战队，历经30个小时的鏖战，最终中国的r3kapig战队荣获冠军，获得直通世界顶级黑客大赛DEFCONCTF全球最后一张入场券。 据了解，在比赛最...

深耕配电智能化升级 多场景项目落地筑牢电力运维安全防线

针对行业共性难题，智能化改造方案聚焦环境智能调控、设备在线监测、自动安全管控三大核心维度，搭建一体化智能变电站辅助监控系统，通过全域感知设备、智能调控终端、集成化管理平台，实现配电设备运行状态、机房环境参数的24小时不间断采集、分析、预警与自主调控，彻底革新传统人工值守、定期巡检的老旧运维模式。一体化解决方案，打造智慧运维标杆场景。未来，将持续深耕电力智能化领域，持续优化智能监测、环境调控、自主巡检一体化技术体系，适配更多电力运维场景，助力电力基础设施数字化升级，为电网安全、高效、智慧化运行持续赋能。

Fastjson 高危 RCE（CVE-2026-16723）：如何用观测云快速发现并完成修复

本文针对 Fastjson 高危 RCE 漏洞 CVE‑2026‑16723，剖析其影响与利用条件，指出 Maven 静态排查的局限。观测云依托 ddtrace 运行时数据，完成漏洞检测定位告警修复闭环，提供升级、应急防护、迁移 fastjson2 处置方案。

工业厂房项目安全生产动画结合延时摄影的实操经验

安全文明生产的警示教育动画，用于大型厂房建设，完全可以和施工延时摄影相结合，实拍记录建设成果，三维安全生产动画推演隐患，二者相辅相成，长沙尚格影视结合星邦重工新工厂项目，讲下这套组合方案怎么做。

深耕内网安全协同：BeeWorks赋能企业数字化办公升级

同时，平台开放千余组API、SDK接口，支持AD/LDAP组织同步、SSO单点登录，可深度打通OA、ERP、MES、CRM等核心业务系统，实现业务消息、流程审批、数据信息的统一聚合，真正达成“沟通联动业务、数据全域贯通”的办公效果，大幅提升企业整体办公效率。相较于传统内网工具单一的加密模式，BeeWorks新增精细化终端防泄密能力，通过消息水印、防截屏录屏、阅后即焚、文件权限锁定、外网禁止打开等功能，精准管控图纸、财报、涉密文件等核心资料的流转权限，杜绝随意转发、下载、外泄问题。，已然成为核心刚需。

无人机避障安全走廊与备份轨迹

备份轨迹 = 在这些预验证的凸约束内，生成一条可执行的安全路径。核心思想：如果机器人的状态（位置）在每一时刻都落在对应的凸区域内，那么它就是绝对安全的（因为这些区域已经验证过与所有障碍物无交集）。凸区域 凸区域 凸区域 凸区域 凸区域。时间轴: t0 ──→ t1 ──→ t2 ──→ t3 ──→ …备份轨迹: ──────→ SafeSpot (沿安全走廊滑行/停止)主轨迹: S ──────────────→ G (可能因障碍中断)

2026‑08‑29 AI产业深度解读｜智能体走向持久运行、AI安全纵深防御、国产算力生态再升级

梳理8月29日对AI研发人员高价值产业动态：覆盖智能体技术迭代、AI安全与对齐、算力基础设施、开发工具链四大方向；包含Meta XR智能体测试工具、OpenAI沙箱事件5大教训、Anthropic自主对齐技术、全国算力互联互通节点、腾讯混元Hy4开源、Gemini专业语音转录模型；每条附带工程视角解读、收益与现实约束；适合智能体开发、算力规划、大模型应用开发者。关键词：持久智能体；AI安全；算力互联互通；腾讯混元Hy4；语音转写；AI开发工具；

游戏业务对抗 CC 攻击实战手册：拨开业务层攻击迷雾，搭建游戏全链路安全防护体系

游戏安全防护，早已不是单纯对抗大流量 DDoS。业务层 CC 攻击、脚本爬虫、批量作弊，正在成为游戏运营的主要威胁。有效的防护思路，是构建一套分层的全链路防御体系，结合接入隐藏、多维风险识别、AI 模型、业务柔性处置，而不是依赖单一手段。选择适配游戏业务特性的防护方案，才能在抵御黑产攻击的同时，保障千万玩家流畅稳定的游戏体验。

第8章：计算机网络中的安全 — 知识要点与架构

角色身份作用Alice发送方发起安全通信的一方Bob接收方接收安全通信的一方Trudy入侵者（intruder）企图破坏安全通信的第三方窃听：监听并记录信道上传输的控制报文和数据报文修改、插入或删除报文或报文内容该报文的确源自Alice（源鉴别）该报文在传输途中未被篡改典型应用场景：OSPF 链路状态路由选择 — 路由器需确认接收的链路状态报文来自声称的路由器且未被动过手脚。属性说明全称前身SSL（Secure Sockets Layer）版本 3，由 Netscape 设计标准化。

2026‑08‑28 AI产业深度解读｜生成视频模型迭代、AI安全全线收紧、国产大模型生态加速落地

梳理8月28日对AI研发人员高价值产业动态：覆盖Gemini Omni 1.1 Flash视频生成模型、Midjourney V8.2图像编辑、16家巨头联名呼吁AI网络安全、OpenAI智能体沙箱逃逸事件、英伟达反垄断与营收预测、国产大模型日均调用破500万亿、“中国版OpenRouter”发布；每条附带工程视角解读、收益与现实约束；适合生成式AI开发、Agent安全、算力规划、大模型应用开发者。关键词AI安全；智能体沙箱；英伟达算力；国产大模型；AI网关；

AI 测试实战：从功能到安全，三层质量验证体系详解

测试维度关键动作三层体系功能→质量→安全，逐层深入测试集真实提问 + 专家标注 + 难度分级幻觉检测实体、一致性、对抗性三管齐下RAG 测试检索召回率 + 生成引用准确率 + 多轮端到端。

安全筑基，WPS 365政务AI全产品体系首次亮相数博会

在此基础上，此次亮相的WPS Comate组织级智能体产品，深度连接组织数据、内置多项AI技能，原生集成WPS各办公套件，无需切换工具即可实现人机共创，智能体对文档的访问、调用等操作遵循“人机同权”原则，全链路保障文档数据安全。此前，金山办公已与黔东南州开展合作，面向基层公务人员开展AI赋能，该计划正是以黔东南合作为起点，通过培训、认证、实践一体化的服务模式，推动人工智能在政务单位的安全应用，让更多公务人员“会用AI、用好AI、用上智能体”。截至目前，WPS 365的各项AI能力已在政务领域得到深入应用。

国产化 MOVEit 替代：文件传输架构与安全能力深度解读

很多企业在推进MOVEit 替代项目时，不仅要求功能完整对标原有平台，还需要架构自主可控、安全能力补强、支持平滑迁移，而 Ftrans 飞驰云联自研《Ftrans SFT 文件安全传输系统》，是落地MOVEit 替代成熟国产化方案。配套完整迁移实施工具，批量迁移账号、目录权限、传输任务策略。企业开展MOVEit 替代项目时，优先选择具备完整知识产权、全栈信创适配、成熟迁移实施经验的国产 MFT 平台，既能规避海外软件持续存在的安全隐患，又能搭建长期稳定、自主可控的企业文件安全传输底座。

LLM 驱动漏洞传播验证：TransferFuzz-Pro 如何自动调试“继承“来的安全债

TransferFuzz-Pro 的核心思想：利用基础二进制（CVE 报告中的漏洞程序）的已知信息，通过 LLM 自动调试和历史轨迹引导，在目标二进制（复用了漏洞代码的新程序）中高效验证漏洞可触发性。整体流程包含三个模块：①历史轨迹提取——在基础二进制上执行 PoC，提取函数调用序列（FCS）和关键字节轨迹，作为目标二进制的 fuzzing 引导信息；②选项组合生成——LLM 分析目标程序的选项处理代码，模拟人类调试过程，迭代生成到达漏洞函数所需的命令行参数组合；③轨迹引导 Fuzzing。

高速服务区AI视觉全场景方案：安全管控+运营提效+服务升级，土星云边缘算力赋能智慧交通

原生配备 2 路千兆网口、USB3.0、HDMI、RS232、RS485、CAN、GPIO 等丰富工业接口，可直接对接监控摄像头、声光报警器、诱导屏、道闸、广播系统等外设，无需额外加装转换网关；」的三级云边端架构，针对服务区区域分散的特点，采用分区部署边缘节点的模式，每个功能区独立算力闭环，云端统筹全局，兼顾实时性、可靠性与扩展性，同时可充分利旧服务区存量监控设备，改造成本低、落地快。车位周转率、卫生间保洁频次、客流高峰分布、排队时长等服务指标，长期依赖人工统计，数据准确性差、时效性低；

JMF606/607/667H主控量产开卡工具vA.2.03.041.rar

软件介绍:JMF606以及607主控SSD的开卡工具，据说支持667H主控开卡更新记录：[Version 11]Date:[Mar. 06 2013]1. MP Tool version A.2.03.0412. GDP ver 2.02.0183. Support BLOCK_NUM 1024(ex. SanDisk SDTNQFAMA004G), and DIE_NUM select by array.4. Support extend block remapping, default EnExtendBlock=1[Version 10]Date:[Jan. 11 2013]1. MP Tool version A.2.03.0412. sFTLParam value is correct now[Version 09]Date:[Jan. 4 2013]1. GDP Versin 2.02.0172. Support TS 19nm type B [Version 08]Date:[Nov. 22 2012]1. GDP Versin 2.02.0162. GDP fix bug: when no bad block exist, GDP will hang.