Signal 协议后量子棘轮：PQXDH 集成实现量子抵抗前向保密
在 Signal 的双棘轮协议中集成 PQXDH 混合后量子密钥协商，实现量子抵抗的前向保密，同时保持现有部署的兼容性。提供工程参数和落地指南。
阅读全文 →
←所有分类
ai-security
机器智能
Signal 双棘轮协议中集成混合后量子密钥协商：实现量子抵抗前向保密
探讨Signal如何通过PQXDH将后量子Kyber集成到Double Ratchet中，提供量子安全的forward secrecy，同时确保现有部署兼容。包括工程参数和监控要点。
阅读全文 →
工程化自动化 SBOM 生成与漏洞扫描工作流：开源项目网络弹性法案合规实践
针对欧盟网络弹性法案（CRA），开源项目需构建自动化 SBOM 生成、漏洞扫描及报告管道，提供可操作的参数配置与监控策略。
阅读全文 →
工程化 CRDT 同步访问规则与 E2E 加密：离线协作编辑的无中心一致性
探讨 Keyhive 项目中 CRDT 与 E2E 加密的集成，实现离线协作编辑的安全访问控制，确保跨设备一致性而无需中心认证。
阅读全文 →
逆向工程SAP GUI脚本漏洞：JLR与Harrods黑客攻击中的认证绕过与命令注入
剖析SAP GUI脚本漏洞在JLR和Harrods攻击中的应用，包括认证绕过机制、命令注入技巧及规避技术，并给出可落地防护措施。
阅读全文 →
Broadcom VMware零日漏洞披露失败的技术根源与响应机制工程化缺陷
分析CVE-2025-41244零日漏洞的技术成因，揭示Broadcom安全响应机制在漏洞披露延迟、风险评估与公告完整性方面的系统性工程缺陷。
阅读全文 →
Broadcom未及时披露VMware零日漏洞的技术原因与安全响应机制失效分析
分析CVE-2025-41244长达一年的零日利用未被Broadcom及时披露的技术原因，揭示安全响应机制在工程实践层面的系统性失效。
阅读全文 →
Google CDC文件传输协议的零信任安全架构解析
深入分析Google CDC文件传输工具如何实现BeyondCorp零信任安全架构，包括端到端加密、基于身份的访问控制和持续信任评估机制。
阅读全文 →
Google CDC文件传输协议的安全握手与差分同步机制
深入分析Google CDC文件传输协议的安全架构，探讨基于FastCDC的差分同步算法和零信任认证机制，为企业级大规模文件传输提供安全最佳实践。
阅读全文 →
zlib Huffman 表畸形利用：触发 deflate 解码器缓冲区溢出实现代码执行
探讨如何通过构造畸形 Huffman 表触发 zlib deflate 解码器的缓冲区溢出，实现代码执行。提供工程参数、监控要点与防护策略。
阅读全文 →
OAuth2 Proxy 中实现令牌内省端点与声明映射：安全头转发与基于角色的微服务访问
在 OAuth2 Proxy 中配置令牌内省端点和声明映射，实现安全头转发，支持微服务中的基于角色访问控制。提供工程参数和监控要点。
阅读全文 →
使用 Seccomp-BPF 限制 AI Agent 文件 I/O 操作的内核级沙箱
面向 AI Agent 的文件访问安全，给出 Seccomp-BPF 配置文件示例、参数调优与监控策略，实现轻量级内核过滤而非完整容器化。
阅读全文 →
Greptile 使用 seccomp 过滤器和命名空间实现 AI 代理的内核级隔离
探讨 Greptile 在 AI 代理代码执行中采用内核级沙箱的安全实践，包括 seccomp 系统调用过滤和命名空间隔离，以防止权限提升和系统危害。
阅读全文 →
在 Kubernetes 中部署 oauth2-proxy 作为 Sidecar：集成 OIDC 与 Google/Azure 提供者，实现安全会话与 JWT 转发
本文探讨如何将 oauth2-proxy 部署为 Kubernetes 应用的 sidecar，支持 OIDC 认证集成 Google 和 Azure 提供者。通过加密 cookies 管理安全会话，向上游服务转发 JWT claims，并处理 token 验证与撤销，提供可落地的配置参数和监控要点。
阅读全文 →
工程化浏览器扩展的启发式跟踪器阻断：以 Privacy Badger 为例
介绍如何工程化实现浏览器扩展，通过用户交互启发式学习阻断隐藏跟踪器，集成指纹防御和 Do Not Track 执行，避免依赖中心化列表，提供参数配置和监控要点。
阅读全文 →
基于JTAG的Supermicro AST2500 BMC固件提取与恶意软件检测
针对Supermicro AST2500 BMC的供应链感染风险，开发JTAG固件提取和硬件认证协议，实现不可移除恶意软件的检测与隔离，提供工程参数和监控要点。
阅读全文 →
通过 JTAG 逆向 ASPEED AST2500 BMC 固件感染：EEPROM 转储与安全重刷流程
针对 Supermicro 服务器 ASPEED AST2500 BMC 的不可移除 rootkit，提供 JTAG 逆向工程、EEPROM 转储、签名检测及安全重刷的工程化指南，确保数据中心固件安全恢复。
阅读全文 →
使用 c-sigma 和 libsodium 在 C 中构建高效 Sigma 零知识证明
面向高效零知识证明，给出 c-sigma 库与 libsodium 集成的工程化实现、参数配置与应用要点。
阅读全文 →
Metasploit 中 Ruby 模块化开发：动态载荷生成、规避绕过与链式后渗透
探讨 Metasploit 框架下 Ruby 模块的开发，聚焦动态 payload 生成、检测规避技术及异构环境下的后渗透链式操作，提供代码示例和工程参数。
阅读全文 →
SSH3 over HTTP/3 中的安全密钥交换与认证：利用 QUIC 实现前向保密
在高延迟网络中，SSH3 通过 QUIC 头实现高效的安全密钥交换和认证，利用 TLS 1.3 提供前向保密，无需额外 RTT。工程化参数包括握手超时阈值和认证令牌管理要点。
阅读全文 →
实现 GriffonAD 在 Active Directory 配置利用中的模块化部署
探讨 GriffonAD 工具在 AD 渗透测试中的应用，包括枚举、利用路径搜索与命令生成，提供工程化参数与检测规避策略。
阅读全文 →
Cloudflare Workers 中的 WebAssembly 沙箱：能力隔离实现安全边缘计算
利用 WebAssembly 和 WASI 在 Cloudflare Workers 中实现沙箱隔离，缓解代码注入风险，提供最小特权执行的工程参数与监控要点。
阅读全文 →
欧盟 ChatControl 下端到端加密消息应用的客户端 CSAM 扫描管道实现：感知哈希与密钥托管
在欧盟 ChatControl 法规下，探讨端到端加密消息应用中客户端侧 CSAM 检测管道的工程实现，使用感知哈希与密钥托管机制，提供参数配置与监控要点。
阅读全文 →
Unitree 机器人固件中实现安全的 WiFi 隔离和命令验证以阻挡舰队远程接管漏洞
针对 Unitree 机器人舰队同步协议的远程接管漏洞，本文探讨固件级 WiFi 隔离与命令验证的安全实施，包括配置参数、验证流程及监控要点，帮助开发者构建更安全的多机器人系统。
阅读全文 →
PDF伪造检测：提取嵌入签名与元数据时间戳交叉验证的取证实践
在数字取证调查中，提取PDF嵌入式数字签名并交叉验证元数据时间戳是检测文档篡改的关键方法。本文提供工程化参数、工具清单和监控要点，帮助识别伪造迹象。
阅读全文 →
OpenZeppelin 可升级代理与基于角色的访问控制在 Solidity 中的工程实践
面向 DeFi 合约，给出 OpenZeppelin 可升级代理结合 RBAC 的安全实现参数与升级清单。
阅读全文 →
Cloudflare Email Routing 中的边缘 DKIM/SPF 签名验证：实现无后端防伪造投递
探讨 Cloudflare Email Routing 如何通过边缘计算验证 DKIM 和 SPF 签名，阻挡伪造邮件，实现无需后端认证服务器的安全邮件转发。提供配置参数、监控要点与风险缓解策略。
阅读全文 →
Cisco IOS XE 零日管理员绕过漏洞防护：零信任认证与运行时监控工程实践
针对 Cisco IOS XE 管理员接口零日认证绕过漏洞，提供零信任认证机制和运行时监控策略的工程实现指南，包括可落地参数和规模化部署要点。
阅读全文 →
GrapheneOS 中 hardened_malloc 的每堆隔离设计：守卫区域、完整性检查与分配器分区
在 GrapheneOS 中，hardened_malloc 通过每堆隔离设计防范堆基攻击，给出守卫区域配置、完整性检查机制与分配器分区参数。
阅读全文 →
利用 MCP 认证绕过实现 AI CLI 中的 RCE：Claude Code 的 token 验证与沙箱防护
探讨 MCP 协议在 Claude Code 等 AI CLI 中的认证绕过漏洞如何导致 RCE，并提供 token 验证、沙箱隔离的工程化参数与实施清单。
阅读全文 →
在 GrapheneOS 中实现 hardened_malloc 的每堆隔离、防护区和完整性检查
探讨 GrapheneOS 中 hardened_malloc 的实现，包括每堆隔离、防护区和完整性检查机制，以缓解资源受限移动设备上的堆利用攻击。提供工程化参数和监控要点。
阅读全文 →
MCP 协议的安全令牌验证与沙箱隔离：防范 AI CLI RCE
基于能力的认证机制和沙箱会话隔离在 MCP 协议中的工程实现，针对 AI CLI 如 Claude Code 和 Gemini 的 RCE 风险提供防御策略。
阅读全文 →
使用SEAL库在Python中实现基础BGV同态加密：简单加乘电路的参数选择
通过SEAL的Python绑定，介绍BGV方案在简单加法和乘法电路上的参数配置与实现，避免噪声深度分析，提供工程化入门指南。
阅读全文 →
实现Claude Code的细粒度HTTP过滤：精确控制AI代理的网络访问权限与目标域名
面向Claude Code AI代理，提供细粒度HTTP过滤的工程化实现方案，涵盖方法、扩展名、头信息与签名的精确控制。
阅读全文 →
Demystifying Lattice-Based FHE: Step-by-Step Simplified Proofs of LWE Hardness and Basic Encryption Schemes
通过简化证明和基本方案，介绍LWE硬度与基于格的全同态加密的核心概念，为工程直觉提供基础。
阅读全文 →
高危场所IMSI捕手干扰缓解协议：联合国安全保障工程剖析
针对IMSI捕手设备在联合国等高影响力场所的蜂窝网络干扰风险，提供工程化取证分析与缓解策略，包括信号异常检测、运营商级监控参数及终端防护清单。
阅读全文 →
Python中CKKS方案的逐步实现：噪声管理和密钥切换
为初学者FHE开发者提供CKKS方案在Python中的实用实现指南，重点处理噪声管理和密钥切换挑战，包括TenSEAL库的使用和参数调优。
阅读全文 →
构建支持后台代理与权限委托的安全 GUI 运行时：基于 Tauri 的进程沙箱与 IPC 通信隔离
面向多代理并发场景，给出基于 Tauri 框架实现 GUI 运行时进程隔离、IPC 安全通信与细粒度权限委托的工程化配置清单与监控要点。
阅读全文 →
为 Claude Code 代理设计安全运行时：进程隔离与权限控制四层防护
详解 Claude Code 代理的四层安全运行时机制：进程隔离、细粒度权限、沙箱执行与资源限制，提供可落地的配置参数与监控清单。
阅读全文 →
在通用CPU上实现Scream流密码的常数时间版本：规避缓存侧信道攻击的工程实践
聚焦Scream流密码在x86通用CPU上的常数时间工程实现，详解如何通过消除数据依赖分支与统一内存访问模式，构建物理安全的密码学原语。
阅读全文 →
利用DNS TXT记录实现图像隐写：编码方案、传输参数与隐蔽信道监控
详解如何利用DNS TXT记录的宽松限制，通过Base64或十六进制编码传输图像，提供可落地的分块策略、超时参数与隐蔽信道检测清单。
阅读全文 →
为 Claude Code GUI 代理实现进程隔离与权限控制：opcode 实践指南
结合 opcode 的 Tauri/Rust 架构与 Claude Code 的 6 层安全模型，提供一份可落地的 GUI 代理安全配置清单，防止数据泄露与越权操作。
阅读全文 →
Android 构建管道中的开发者 ID 验证工程化：签名强制与恶意软件扫描
针对 Android 新开发者验证政策，在构建管道中集成 ID 验证、应用签名强制执行及恶意软件扫描，降低侧载风险，提供工程化参数与监控清单。
阅读全文 →
部署 WebGoat 作为 Spring Boot 漏洞应用模拟 OWASP Top 10 攻击，并在 CI/CD 中集成安全编码培训
介绍如何部署 WebGoat 故意漏洞 Spring Boot 应用，用于模拟 OWASP Top 10 攻击，并集成到 CI/CD 管道中实现自动化漏洞扫描和安全培训。
阅读全文 →
基于 Ruby Central 攻击的 RubyGems 事件响应：自动化篡改检测与 CI/CD 签名验证
针对 Ruby Central 攻击后的 RubyGems 供应链事件，提供工程化响应管道设计，包括自动化 gem 篡改检测、CI/CD 签名验证及审计跟踪策略，确保快速恢复与威胁缓解。
阅读全文 →
实现 RubyGems Gem 签名验证与审计管道：防范供应链攻击的工程实践
面向 RubyGems 生态，详细给出 gem 签名验证的配置步骤、审计工具集成与监控参数，帮助开发者构建安全的依赖管理流程。
阅读全文 →
在 Notion 类系统中实现运行时监控和输入验证，防范 AI 代理的网络搜索工具滥用导致数据外泄
针对类似 Notion 的 AI 代理系统，给出运行时监控和输入验证的工程化实现参数与防范要点，确保网络搜索工具不被滥用导致数据外泄。
阅读全文 →
为 Notion AI 代理构建运行时防护：输入验证与数据防泄露参数清单
面向 Notion AI 代理的 MCP 工具调用，提供一套可立即部署的运行时监控参数与验证清单，防止恶意指令导致的数据外泄。
阅读全文 →
通过本地优先与最小插件原则，构筑 Obsidian 供应链攻击防御体系
详解如何利用 Obsidian 本地优先架构与安全模式，通过插件最小化、网络隔离与审计验证，系统性降低软件供应链攻击风险。
阅读全文 →
为Claude Code后台代理设计进程隔离与细粒度权限控制
面向Claude Code后台代理，提供进程隔离、权限控制、资源限制与审计日志的工程化参数与安全检查清单，防止工具滥用与数据泄露。
阅读全文 →
为 Notion 类 AI 代理设计运行时防护层：拦截恶意提示注入与数据外泄路径
面向 Notion 类 AI 代理，设计运行时防护层，实现输入验证与工具调用审计，拦截恶意提示注入与数据外泄路径。
阅读全文 →
用 Rust 开发内核模块实现运行时信任度量：IMA 集成与 eBPF 钩子
利用 Rust 内核模块结合 IMA 和 eBPF，实现高效的运行时信任跟踪与安全引导验证，提供工程化参数与实现要点。
阅读全文 →
通过恢复密钥工程化 macOS FileVault 加密卷的 SSH 远程访问
探讨在 macOS 恢复模式下启用 SSH 访问，使用恢复密钥解锁 FileVault 加密卷，实现安全与可用性的平衡，而无需完全解密。
阅读全文 →
集成 pnpm 新严格设置：安装时包篡改检测，结合 npm audit 和 Sigstore 阻挡 monorepo 供应链攻击
探讨 pnpm v10 新增的严格构建设置，用于安装时检测包篡改，结合 npm audit 漏洞扫描和 Sigstore 溯源验证，在 monorepo 中构建多层供应链安全防护。
阅读全文 →
tinycolor NPM 包入侵分析：实施 Sigstore 签名、NPM Audit 自动化与依赖来源检查
针对 tinycolor 维护者账户接管事件，分析供应链攻击 postmortem，并提供 Sigstore 签名、NPM Audit 自动化及依赖来源检查的工程化实现。
阅读全文 →