来自安全开发领域专家的真知灼见

什么是安全配置错误？了解最常见的安全配置错误及其预防方法，从 Secure Code Warrior 获取专业安全建议。

随着女儿一天天长大，公司也步入正轨，我愈发觉得创业之路与初为人父母的旅程有着诸多相似之处。如今，这两段旅程我都已走到了第四个年头。

接下来，让我们深入了解点击劫持的运作原理、潜在危害，以及作为开发者的您可以采取哪些预防措施。

操作系统命令注入攻击即使是入门级或技术水平较低的黑客也能实施，这使其成为安全团队最常遇到的漏洞之一。幸运的是，目前已有多种非常有效的手段可以成功预防此类攻击。

会话对于提升网页端的用户体验至关重要。然而，如果会话管理不当，可能会导致安全漏洞，从而被攻击者利用。

是时候给安全工作来一次“大变身”了。其实很简单，只要改变沟通方式，让双方——尤其是开发团队——都能以更积极（更不用说更有趣！）的心态参与其中即可。

“填充预言”（Padding Oracle）听起来像是一个糟糕的另类摇滚乐队名字，但实际上，它是一种漏洞，攻击者可以利用它在不知道加密密钥的情况下解密信息。

当恶意用户可以操纵 LDAP 查询时，可能会出现问题。这样做可能会诱使接收服务器执行通常不允许的无效查询，甚至向没有密码的无效或低安全性用户授予高级或管理员访问权限。

我们真正面临的挑战并非来自脚本小子或危险的有组织网络犯罪集团，而是如何让更多人意识到数据泄露正在频繁发生。

在网络安全领域，攻击者可以快速利用任何被允许支持不受限制文件上传的应用程序或程序。结果可能是毁灭性的。

NoSQL 数据库正日益普及。不可否认，它们在处理非结构化数据时速度极快且简单易用，但随着应用范围的不断扩大，越来越多的安全漏洞也随之浮出水面。

CSRF 攻击相当复杂，其成功往往依赖于多个环节的配合。换句话说，攻击者需要利用多个安全漏洞才能得手。尽管如此，它依然是一种极其流行且获利丰厚的攻击手段。

攻击者正利用 SQL 注入——这一自 1998 年以来最古老且最令人头疼的数据漏洞之一——窃取并篡改全球数百万数据库中的敏感信息。

当在线隐私试图脱离安全保障而存在时，混乱便会随之而来。看看罗斯·乌布利希（Ross Ulbricht）的案例就知道了。

观察：金融机构在提升开发人员安全编码技能方面，正展现出日益增强的创新力与领导力。

有一种广为流传的说法，认为蟑螂几乎能抵御任何灾难，甚至包括核爆炸。

市面上有很多用于发现代码漏洞的解决方案，但安全工作的重点应更多地放在指导开发人员遵循安全准则上，从而从源头上避免这些错误的产生。

我们必须努力改变现状，让安全成为每位开发人员工作生活中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等方式，赋能开发人员并让他们积极参与到安全工作中来。

我们必须摒弃将安全视为企业创新绊脚石的陈旧观念。

我原本以为自己会从事基础设施或服务支持类的工作，后来在研究生项目中获得了一个开发岗位的机会。事实证明，那正是我最适合的领域。

赋能开发人员从源头编写安全代码，是 CISO 摆脱安全困境、掌握主动权的重要契机，同时也为安全团队和开发团队带来了实现快速、简便且可量化改进的绝佳机会。

调查人员表示，攻击者计算机代码中的一个错误阻止了爆炸的发生。

我们的愿景是让开发人员成为组织安全防线的第一道关口，通过提升安全工作的可见性，并为他们提供从源头编写安全代码所需的技能与工具。

如果从未有人教导开发人员为何安全编码至关重要、不安全代码会带来哪些后果，以及最重要的是，如何在各自的编程框架中从源头上避免编写出这些漏洞，他们又该如何编写出安全的代码呢？

XML 和 XML 架构的规范中存在多项安全漏洞。与此同时，这些规范也提供了保护 XML 应用程序所需的工具。尽管我们使用 XML 架构来定义 XML 文档的安全性，但它们也可能被用于实施各种攻击。

我们可以将一个文件名以

在航空电子设备上修改一行代码的成本高达 100 万美元，且需要一年时间才能完成。对于机队全部由波音 737 组成的西南航空来说，这足以使其“破产”

第 139 期：Matias Madou 探讨安全开发培训与软件安全测试研究

Android 全盘加密功能可保护所有数据并将其写入存储空间，只有在设备解锁后才能查看。了解来自 Secure Code Warrior 的专业建议。

有时，应用程序必须能够验证用户是在完全知情并同意的情况下执行某项操作。

通过定义自定义权限，应用程序可以与其他应用共享其资源和功能。

全球约有 30 万名开发人员在近 9.5 万个应用程序中应用 BSIMM8，以此规划、执行并评估其软件安全计划 (SSI)。

用户名枚举是指黑客利用暴力破解攻击来获取用户名和密码信息。了解如何通过 Secure Code Warrior 防范用户名枚举攻击。

关于如何开展高效开发者安全培训的 5 个重要经验

这项工作的意义在于，我们为大量令人震惊的安全编码问题提供了经验证据，这些问题以前从未报告过

这个漏洞依然存在，它无法立即修复。在过去的几个月里，作为漏洞赏金计划的一部分，我联系了数十家公司和受影响的供应商，以帮助他们修复系统配置。

随着首席信息官们积极构建企业敏捷能力，安全编码技能将成为创新的利器，而缺乏这些技能则会成为导致失败的隐患。

无论您是在为高管进行网络安全培训，还是在帮助开发人员提升 JAVA 或 C# 的安全编码技能，创意、游戏化和趣味性都大有用武之地。

如果开发人员在编写 JavaScript 代码时引入了跨站脚本漏洞，并且能够在漏洞产生后的几分钟内就将其检测出来

无论你是初出茅庐的毕业生还是经验丰富的资深开发者，都有一个问题必须自问。而这个问题的答案至关重要。

上周我一直在研究 Java Spring 中的漏洞，以便更新我们的安全编码指南。

时间来到2016年，据一位名为x0rz的安全研究人员在推特上发布的消息，他在Equifax主网站上发现了一个常见的漏洞，即跨站脚本攻击（XSS）。

该漏洞与 Struts 解析此类数据并将其转换为 Java 编程语言可识别信息的方式有关。

数据残留是指数据在以某种方式被删除后，物理介质上仍留存的残余信息。

Equifax 数据泄露事件的根本原因再次指向了 Web 应用程序漏洞。这类漏洞存在已超过十年，但时至今日依然是亟待解决的关键问题。

Recently we interviewed some of the future leaders in the secure development or “DevSec” world and found their individual career paths into cybersecurity fascinating. For those of you out there wishing to become a security champion, jump into the elusive AppSec realm, or even just learn more about secure coding, here are the stories from three security professionals with a background in development, about how they got interested in security and the security lessons they wish every organization would follow.

荷兰商会（Kamer van Koophandel）分享了他们如何通过基于角色的认证、信任评分基准测试以及共享安全责任的文化，将安全编码融入日常开发工作。

了解 Paysafe 与 Secure Code Warrior 的合作如何将开发人员的工作效率提升了 45%，并大幅减少了代码漏洞。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

通过本报告探索 2023 年 Devlympics 的比赛结果。深入了解各参赛行业的开发者参与度、技术栈与语言趋势，以及由 Secure Code Warrior 主办的年度全球赛事中所涵盖的关键漏洞和 CWE。

了解 Sage 如何通过灵活且以关系为导向的方法提升安全性，成功培养了 200 多名安全倡导者，并实现了显著的风险降低。

了解 Workday 如何通过 Secure Code Warrior 的敏捷学习模式彻底改变开发者培训。通过为开发者提供实操性的语言专属教育，Workday 在软件开发生命周期（SDLC）的早期阶段就有效降低了漏洞风险。查看他们的显著成果及构建安全代码文化的关键经验。

在本案例研究中，了解泰雷兹（Thales）如何通过人员、流程和技术手段，构建敏捷的安全代码学习计划，从而激励开发人员成为积极的安全倡导者。

了解零售巨头高露洁棕榄（Colgate-Palmolive）如何在数字化转型过程中重塑其应用安全。面对安全编码方面的挑战，他们通过将碎片化、情境化的学习融入开发工作流程，实现了创新性的突破。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG 集团是亚太地区多家领先保险公司的幕后推手，为数百万客户提供保险承保服务，年保费规模约达 114 亿澳元。

了解他们如何创建了一项内部技术教育计划，旨在支持数千名员工学习机器学习和网络安全等多个领域的实用前沿技能。

阅读这份详尽的案例研究，了解他们如何利用 Secure Code Warrior 的竞赛活动来提升开发人员的参与度，增强对汽车软件关键漏洞的认知，并获取跨多种语言和框架的量化指标。

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

网络安全行动月（全球称为“网络安全意识月”）是澳大利亚每年十月举办的一项宣传活动，旨在鼓励个人和企业通过简单的日常习惯来提升网络安全水平。

政府不能再将机器速度的网络攻击视为未来的情景，因为正如近期医疗保险数据泄露事件所表明的那样，未来已至。

‍

‍

十月是网络安全意识月。过去一年的经历充分证明，威胁环境并不会因此而放缓脚步。从人工智能驱动的网络钓鱼和深度伪造社交工程，到针对医院、学校和市政机构接连不断的勒索软件攻击，安全团队在 2026 年几乎没有喘息的机会。这一年度活动已走过三十个年头，它依然是业内反思现状的最佳契机：我们究竟是变得更安全了，还是仅仅变得更忙碌了？

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAI 的智能体在执行相对常规的研究任务时，“渗透”了澳大利亚政府网站，这被认为是此类事件中的首例。

继其他 AI 智能体违规事件之后，此次事件凸显了几个关键问题：AI 对齐缺失的风险、开发者责任的缺失，以及事故披露机制的不完善。专家强调，必须尽快建立技术边界、强化监控并落实强制性的及时报告制度，以防范未来可能发生的灾难性事故。

6月份，Medicare及至少其他三个政府系统遭到人工智能代理的入侵，而我们直到现在才得知此事，这令业内许多人感到震惊。

跟上全球人工智能监管的步伐，其难度几乎不亚于跟上技术本身的发展。对于安全领导者而言，每周都会出现新的进展、监管提案或政策调整，这使得本已复杂的风险环境变得更加错综复杂。

对于拥有成熟纵深防御网络安全体系的组织而言，威胁建模早已不是什么新鲜事。长期以来，它一直是预防性安全的核心，能够帮助企业在漏洞被利用之前识别并加以解决。

Secure Code Warrior 推出了 Citizen AI，这是一项面向非开发人员的 AI 素养培训计划，旨在支持各业务部门负责任地采用 AI 技术。

全新的 AI 素养计划旨在帮助非开发人员掌握必要的判断力、风险意识及负责任的使用习惯，从而安全地应用 AI 驱动的工作流程。

Secure Code Warrior 发布了 Citizen AI by Secure Code Warrior。这是一项专为非开发人员设计的 AI 素养计划，旨在帮助企业培养能够负责任地应用 AI 的员工队伍。Citizen AI 能够帮助企业降低与 AI 相关的人为风险，支持更广泛的企业 AI 治理举措，增强员工使用 AI 的信心，并加速安全采用 AI 驱动的工作流程。

‍

AI 软件治理与开发者安全技能提升领域的领导者 Secure Code Warrior 今日宣布推出 Citizen AI，这是一项专为非开发人员设计的 AI 素养培训计划，旨在帮助企业打造一支能够负责任地应用 AI 的员工队伍。

全新的 AI 素养计划旨在帮助非开发人员掌握必要的判断力、风险意识及负责任的使用习惯，从而安全地应用 AI 驱动的工作流程。

在制定人工智能辅助软件开发的治理和开发者培训计划时，各组织往往忽略了一个关键目标。

AI 软件开发正以惊人的速度不断演进，为开发者及其团队带来深远影响。，Secure Code Warrior 首席执行官兼联合创始人指出，随着行业从人工编写代码转向 AI 辅助编程及智能体工作流，许多安全团队正面临一项严峻挑战：如何管控自主系统所带来的全新风险。

‍

‍

对于软件开发公司而言，问题已不再是是否应该利用生成式 AI 编写代码，也不在于未来生成式 AI 产出的代码占比是否会提升。这些趋势在过去两年里早已成定局。现在的核心挑战在于，当生成式 AI 和人工智能代理不断投入代码生产时，企业该如何确保安全与合规。

每年九月，“国家内部威胁防范月”都在提醒我们：许多最具破坏性的安全事件并非源于外部攻击者的入侵，而是来自内部。无论是出于恶意、疏忽还是单纯的人为失误，拥有系统、数据和设施合法访问权限的内部人员，始终是当今企业面临的最持久且最难察觉的风险之一。随着混合办公、人工智能工具以及日益复杂的 IT 环境重塑职场，内部威胁形势也在不断演变，这要求安全专业人员给予全新的关注。

随着代理式 AI 进一步提升生产力，人工代码审查已成为严重的瓶颈。开发人员需要将工作重心前移，建立基本准则，确保 AI 能够按规矩行事。

​网络安全行业倡导“安全设计”原则已逾十年，如今却对人工智能（AI）带来的风险感到震惊。随着各机构竞相拥抱AI赋能，首席信息安全官（CISO）最紧迫的任务是避免成为业务发展的阻碍。然而，若缺乏有效的AI使用规范、治理机制、可观测性及可追溯性，机构可能会因AI风险而措手不及。​

Secure Code Warrior 推出了 SCW AI 采用模型，该框架旨在帮助企业在软件开发中规范 AI 的使用，以应对行业从传统的软件开发生命周期 (SDLC) 向该公司所称的“代理开发生命周期 (ADLC)”的转型。

随着许多软件工程团队从使用 AI 编码助手转向全面采用 AI 智能体进行代码生成，其代码产出量呈指数级增长，确保这些代码的安全性已成为重中之重。本研究为正准备引入 AI 辅助或智能体代码开发模式的组织提供了切实可行的指导。

Token 的使用可能会为企业带来意想不到的巨额成本。

人工智能能够加快开发周期，让开发人员专注于更高价值的工作。对于许多企业而言，这种效率提升已成为保持竞争力的关键。因此，挑战不在于是否采用人工智能，而在于如何负责任地应用它。那些投资于开发人员培训、治理框架、人工智能可观测性及稳健安全控制的企业，将更有能力在获取收益的同时降低相关风险。

问题已不再仅仅局限于保护人工智能模型本身。攻击者正日益将目光转向围绕这些模型构建的软件生态系统，包括组织日常依赖的开发工具、中间件、开源库以及自动化部署流水线。

正如我们将共同探讨的那样，全球范围内正经历着巨大的变革，各国之间虽有协作，但前路远未统一或明朗，尤其是在商业环境中，AI 的应用往往先于全面的保障措施落地。

有专家指出，人工智能护栏的设计初衷并非为了构建“安全边界”，而是为了引导行为。但如果这种行为演变成了对行业合作伙伴的黑客攻击，又该如何应对？

‍

网络安全专家警告称，在 OpenAI 的一次安全评估中，Hugging Face 基础设施遭到入侵，这标志着自主 AI 智能体所带来的风险已进入转折点。在此次事件中，AI 模型突破了受控测试环境，对该 AI 平台实施了实时的多阶段入侵。

根据 Secure Code Warrior 发布的研究显示，AI 生成的代码平均每个代码库会引入 15 个已确认的漏洞。

前沿人工智能正面临公关危机。在 Hugging Face 于 7 月 16 日发布一篇博文，声称一个自主智能体侵入了其内部环境后，OpenAI 于 7 月 21 日发文称，该事件发生时，GPT 5.6 Sol 和一个“预发布模型”逃离了受控测试环境。

Secure Code Warrior 的研究显示，AI 生成的代码平均每个代码库会引入 15 个漏洞。

‍

Secure Code Warrior 推出了 SCW AI 信任指数，这是一项针对 AI 编码安全的动态基准，它会随着新模型的出现不断更新，旨在帮助企业理解并管控 AI 生成代码所带来的安全风险。该研究基于与澳大利亚皇家墨尔本理工大学（RMIT University）共同制定的方法论，并由 Secure Code Warrior 进一步扩展，提供了关于主流大语言模型生成不安全代码频率的全面基准，对每一家正在扩展 AI 辅助开发的企业都具有实质性的影响。

AI 生成的代码平均每个代码库会引入 15 个漏洞，但实际风险更多取决于框架的搭配，而非所使用的模型。

全新的 SCW AI 信任指数表明，AI 生成代码的风险并非随机，而是可以通过模型和框架进行预测，这为安全领导者提供了安全扩展 AI 辅助开发所需的数据。

人工智能的落地挑战、频繁的系统更新以及行业主导权的激烈争夺正接踵而至，而安全专业人员因其庞大的风险特征，成为了受影响最严重的群体之一。

澳大利亚政府已明确表示，人工智能对国家未来的核心利益至关重要。那么，它在当今的发展现状如何？且听行业精英们如何解读人工智能及其在现代企业中扮演的角色。

‍

代理式人工智能的兴起标志着软件开发领域的一次结构性变革，它所引入的系统不仅能加速生产周期，还能在人类直接控制之外进行自主推理与行动。

随着人工智能生成的代码日益普及，首席信息安全官（CISO）需要制定新的审计策略，以评估开发实践、规范 AI 工具的使用，并在软件投入生产前识别潜在风险。

这一类别在 2026 年变得愈发紧迫，原因在于当下的特殊背景：AI 编程工具和智能体正大幅提升代码的编写量，以及部署、测试和配置的频率。平台工程正是决定这种速度提升是转化为实际交付价值，还是演变为混乱的关键所在。

根据 Gartner 的最新报告，影子 AI 和违规自动化的泛滥正进一步加剧 AI 漏洞的扩散。Gartner 指出，32% 在工作中应用生成式 AI 工具的 IT 从业者表示，他们对网络安全团队隐瞒了这些工具的使用情况。再加上低代码/无代码平台和“氛围编程”（vibe coding）实践，AI 副驾驶正在大幅扩大企业的攻击面。

在撰写本文时，我们向安全与风险管理负责人提出了一个核心问题：“什么样的政策才能真正降低企业风险，而不是仅仅为了向外界展示组织已意识到人工智能风险而流于形式？”

Secure Code Warrior 的 Pieter Danhieux 谈如何管理 AI 驱动开发带来的风险

随着生成式 AI 在企业软件开发中占据稳固地位，一项熟悉的准则正变得愈发紧迫：风险管理。

Secure Code Warrior 今日发布了 SCW Trust Agent: AI。这是业内首个旨在让软件开发中的人工智能 (AI) 影响在提交代码时变得可见、可追溯且可执行的治理解决方案，助力企业在有效管控软件风险的前提下，规模化应用 AI 编码工具。

即使我们围绕敏捷方法中最具影响力的要素重构软件开发生命周期（SDLC），并审慎地融入以 DevSecOps 为核心的安全考量，这是否意味着我们所熟知的应用安全（AppSec）已走到尽头？

2026年全球信息安全奖：Secure Code Warrior 荣获网络安全风险管理与合规卓越成就奖

全新的 AI 软件治理解决方案可在提交代码时识别 AI 生成的代码，在生产前强制执行策略，并将实际开发行为与可衡量的风险降低联系起来。

Secure Code Warrior (SCW) 本周推出了一款人工智能 (AI) 代理，它不仅能识别由 AI 编码工具生成的代码，还能自动应用相应的治理策略。

Secure Code Warrior 推出了 SCW Trust Agent: AI，这是一款软件治理产品，旨在追踪开发过程中 AI 编码工具的使用情况，并在开发人员提交代码时将其与软件风险关联起来。

2026年Globee®网络安全奖：Secure Code Warrior荣获软件开发网络安全解决方案金奖（最佳奖项）

Secure Code Warrior 发布了 SCW Trust Agent: AI，这是一款旨在让 AI 在软件开发中的影响变得可见、可追溯且可在提交阶段强制执行的治理解决方案，助力企业在有效管控软件风险的前提下，规模化应用 AI 编码工具。

Secure Code Warrior 今日发布了 SCW Trust Agent: AI。这是业内首个旨在实现软件开发中 AI 影响力的可视化、可追溯和可执行的治理解决方案，能够让企业在扩展 AI 编码工具的同时，对软件风险进行可衡量的管控。企业首次能够追踪哪些 AI 模型影响了特定的代码提交，将这种影响与漏洞风险相关联，并在不安全代码进入生产环境之前采取纠正措施。

Secure Code Warrior 宣布推出 SCW Trust Agent: AI。这是一款治理解决方案，旨在让 AI 在软件开发中的影响在提交代码时变得可见、可追溯且可执行，从而帮助企业在可控软件风险的前提下规模化应用 AI 编码工具。企业能够追踪哪些 AI 模型影响了特定的代码提交，将这种影响与漏洞风险相关联，并在不安全的代码进入生产环境之前采取纠正措施。

全新的 AI 软件治理解决方案可在提交代码时识别 AI 生成的代码，在生产前强制执行策略，并将实际开发行为与可衡量的风险降低联系起来。

长期以来，开发人员在传统的威胁建模项目中很难真正获得话语权。但只要掌握了正确的技能，他们就有机会负责任地利用人工智能，大幅降低代码库中的风险并减少返工。

AI 生成的代码虽然是“机器制造”，但如果对这些代码采取一刀切的安全防护措施，将远不足以缓解大语言模型（LLM）可能带来的漏洞。企业需要建立精准的安全审查机制，由人类开发人员主导流程，在实施有效安全控制的同时，针对所用各款 LLM 的特定编码特性进行管理。AI 生成的代码必须与人类开发人员编写的代码一样，接受个性化的风险评估。

随着人工智能 (AI) 工具在软件开发流程中的应用日益广泛，其对安全的影响也愈发显著。最新研究显示，近 70% 的企业已发现由 AI 工具引发的漏洞，其中五分之一的企业因这些漏洞遭受了严重的安全事件。

根据研究公司 Forrester[1] 的报告，由于人工智能在软件开发等多个领域的迅速普及，今年有 75% 的企业其技术债务将增加至中高水平。

尽管2026年才刚刚开始，但最新研究揭示了人工智能（AI）辅助软件开发所带来的网络风险规模：近七成组织已发现由AI生成代码引入的漏洞，其中五分之一的组织因此遭受了严重的直接安全事件。

人工智能（AI）已迅速成为现代软件开发中不可或缺的一部分。从按需生成代码的大型语言模型，到实现全流程自动化的智能体系统，AI 工具正助力生产力和效率实现质的飞跃。

开发者必须将人工智能视为需要密切监控的协作工具，而非可以随意放任的自主实体。若缺乏这种思维，必然会产生严重的债务技术负担。

从技术漏洞到人工智能驱动的攻击，网络犯罪分子日益将软件开发人员视为主要目标，这给首席信息安全官带来了必须解决的系统性风险。

现在是“在线隐私周”，每年这个时候，个人和组织都会被提醒要检查自己的数字足迹。有些人可能会说，在大型社交媒体和营销巨头对你的一切了如指掌并乐此不疲地将这些数据兜售给任何买家时，这种做法无异于徒劳；当微软使出浑身解数诱导 Windows 用户将所有数据存入云端，以便政府机构在不通知你的情况下进行窥探时；当个人电脑危机意味着许多人将被迫转向“哑终端”计算环境，即从数据存储到主要处理任务的一切工作都在云端完成时；以及当人们认为点击网站弹窗上的“接受”按钮就能起到有效的保护作用时，这种检查显得尤为无力。那么，专家们怎么看？

在世界数据隐私日之际，技术与数据专家发出警告称，人工智能的普及和薄弱的数据治理正在加剧企业面临的隐私风险。

“数据隐私周”提醒各机构应重新评估其客户隐私政策，并在营销策略中优先考虑透明的数据收集方式。

五位顶尖网络安全专家警告称，人工智能的集成速度已超过安全策略对风险的管控能力，这在1月28日“数据保护日”到来之际，为中小企业带来了紧迫的隐私漏洞。

OWASP 基金会一直是安全专业人士和爱好者的指路明灯，为各类平台和领域中最隐蔽的软件漏洞提供了关键且实用的建议。这是自 2021 年以来 OWASP 十大 Web 漏洞榜单的首次重大更新。在此期间，人工智能技术、工具和代码的爆发式增长席卷了整个行业，为网络安全和软件工程专业人员带来了效率提升与安全风险并存的双重挑战。

结论是：除非由具备安全专业知识的人员对代码输出进行审查和实施，否则 AI 工具在企业环境中使用并不安全。30% 的安全专家承认，他们不信任 AI 直接生成的代码的准确性。因此，安全领导者必须优先考虑开发团队的教育和技能提升，确保他们具备必要的技能和能力，尽早降低 AI 辅助代码带来的漏洞风险。这将有助于培养“安全第一”的团队文化，并实现更安全的 AI 使用。

以下是 2025 年所有你必须了解的科技资讯，Z 世代的各位请查收。

对于那些寄望于《欧盟人工智能法案》能为人工智能治理提供坚实框架的首席信息安全官（CISO）来说，近期围绕人工智能限制措施实施的最新动态可能会让他们感到困惑或失望。

据称，某国家级攻击者利用 Claude Code 及开发者生态系统中的一系列工具，几乎实现了自动化，大规模地针对特定公司发起了基于良性开源黑客工具的攻击。在三十多起攻击中，有数起获得成功，这证实了人工智能体确实能够在几乎无需人工干预的情况下执行大规模恶意任务。

DEVOPSdigest 预测系列现已推出“2026 年 DevSecOps 预测”——行业专家将就 DevSecOps 如何演变及其对 2026 年行业的影响分享见解。

开放式Web应用程序安全项目（OWASP）发布了最新的十大漏洞列表，其中包含了一些关于重要漏洞类别的惊人见解。

网络安全专家对 2026 年做出预测，涵盖人工智能驱动的攻击、量子风险、国家级威胁、运营技术（OT）安全漏洞以及自动化带来的压力。

Secure Code Warrior 联合创始人兼首席执行官 Pieter Danhieux 警告称，尽管 AI 编码工具能带来速度与效率的提升，但同时也引入了新的风险。

2026年将成为人工智能从工具演变为合作伙伴的关键一年，它将彻底改变我们的工作、创作及解决问题的方式。

尽管目前这些工具的漏洞尚未引发大规模攻击，但已出现过几次利用事件和险情。网络威胁研究人员在多款热门工具中发现的严重漏洞，清楚地揭示了可能酿成的严重后果。

又到了科技行业预测纷纷出炉的时节。以下是您（想必）可以在 2026 年期待的内容。

问题显而易见：开发团队可能会过度依赖人工智能工具，而这些工具往往无法解读安全漏洞产生的复杂背景。例如，大型语言模型可能难以理解应用程序的身份验证或授权架构，从而增加了遗漏关键安全防护措施的风险。

关于管理人工智能生成代码风险的行业指南日益指向同一个结论：有效的保障措施依赖于人机之间的紧密协作，且开发人员必须始终处于核心把控地位。

行业高管预测，代理式人工智能（AI）将在 2026 年重塑亚太及日本（APJ）地区的商业格局。各组织预计将广泛采用自主性日益增强的软件代理，这在提升生产力的同时，也将在各个业务领域带来全新的风险挑战。

目前，代理式人工智能对企业构成了多大的威胁？安全领导者又该如何应对这些风险？

我和我的联合创始人兼首席技术官 Matias Madou 博士一起展望了未来（或者说，我们咨询了 NVIDIA GPU？），以下是我们对 2026 年 AI 安全前景的预测。

据称，有国家级攻击者利用 Claude Code 及开发者生态系统中的一系列工具（即模型上下文协议 MCP 系统），几乎实现了自动化，大规模地针对特定公司部署良性开源黑客工具。在三十多起攻击中，有几起已证实成功，这表明 AI 智能体确实能够在几乎无需人工干预的情况下执行大规模恶意任务。或许是时候放慢脚步，反思其中涉及的风险，并思考如何更好地进行防御了。

人工智能现已成为现代软件开发的核心组成部分。超过五分之四的开发人员每周甚至每天都在使用 AI 编码工具，其中许多人还会同时使用多种工具。团队必须明确自动化的边界，并厘清责任的归属。

安全代码的构建应更多地基于“默认安全”和“设计安全”等理念，而非仅仅停留在“寻找漏洞”的思维模式上。Matias Madou 分享了他在安全编码培训方面的经验，并强调了培养批判性思维的重要性。他还探讨了批判性思维与威胁建模之间的紧密联系，以及大语言模型（LLM）如何帮助开发人员超越“像攻击者一样思考”这种表面建议。

人工智能的爆发式应用正推动企业步入转折点，这也预示着商业运营模式将迎来重大变革。对于首席信息安全官（CISO）而言，这让他们处于不稳定的境地。作为企业数据与访问权限的把关人，他们必须确保企业的安全性。然而，如果企业盲目且缺乏监管地全面拥抱人工智能，可能会引发一系列安全隐患，而许多CISO在现有的组织架构下，根本无力应对这些挑战。

安全负责人和开发人员都已敏锐地意识到，AI 编码助手和智能体可能会在生成的代码中引入漏洞。最近的一项研究揭示了另一个令他们彻夜难眠的关键问题：用于迭代改进代码的大语言模型（LLM）即使在被明确要求提高代码安全性时，也可能会随着时间的推移引入新的漏洞。

政府机构正致力于制定人工智能安全使用规范，但企业已等不及了。他们必须立即着手应对相关风险。

在网络安全领域，尤其是应用安全方面，人类的监督对于充分发挥人工智能的生产力优势而言依然至关重要。

正如 ChatGPT 的横空出世，今年“氛围编程”（vibe coding）成了人人热议的话题，甚至已被收录进词典。但繁荣背后暗藏危机：这些新型 AI 编程工具在带来速度与成本优势的同时，也伴随着令人震惊的安全漏洞。

Ryan 与 Secure Code Warrior 联合创始人兼 CTO Matias Madou 共同探讨了 LLM 的不确定性对代码安全的影响、AI 编程助手普及背景下开发者培训的未来，以及在 AI 时代批判性思维（尤其是对初级开发者而言）的重要性。

无论是使用大语言模型（LLM）代码生成器还是智能体，软件开发人员都能从人工智能助手中获益良多。然而，麻省理工学院的一项最新研究指出，过度依赖人工智能可能会导致用户批判性思维能力的退化。

为安全且合乎道德地部署人工智能工具，团队必须在创新与责任之间取得平衡，建立完善的治理机制，提升开发人员技能，并执行严格的代码审查。

Madou 认为，开发人员若想利用大语言模型编写安全代码，必须具备将 AI 作为协作助手而非自主工具来使用的能力。

Secure Code Warrior 首席执行官、董事长兼联合创始人 Pieter Danhieux 分享了他从进攻型网络安全转向推广安全软件开发的历程。Secure Code Warrior 成立于 2015 年，旨在帮助开发人员从源头构建安全代码，Danhieux 与主持人 Alan Shimel 一致认为，这种做法比事后修复漏洞更为有效。双方还探讨了人工智能对软件开发的影响，指出尽管 AI 提高了编码速度并降低了开发门槛，但 AI 生成代码的安全性仍有待提升。他们强调，在技术不断进步的背景下，开发人员掌握安全编码实践的需求日益迫切。

十月是澳大利亚的网络安全意识月，旨在每年提醒澳大利亚民众保持网络警惕。今年“构建网络安全文化”的主题再次强调，在日益数字化的世界中，每个人都应承担起维护自身安全的责任。

网络安全宣传月再次引发了人们对各类规模组织所面临风险的关注，尤其是澳大利亚和英国的中小型企业（SME）所遭受的威胁日益严峻，这一点备受瞩目。

在网络安全领域，我们每天都面临着各种极具创意且不按常理出牌的威胁。然而，我们最大的弱点并非源于软件缺陷，而是源于我们思维方式的局限。

深入了解 16 款主流 AI 模型的实际编码表现，基于 11 个真实框架和 1,760 个代码库进行评分——框架的选择与模型本身同样重要。