这些APP被通报！

窗口乱跳转、过度索取权限 这些APP被通报

记者6月26日从工业和信息化部获悉，依据相关法律法规，工业和信息化部对APP、SDK（第三方软件开发工具包）违法违规收集使用个人信息等问题开展治理。近期，经组织第三方检测机构进行抽查，共发现57款APP及SDK存在侵害用户权益行为。

据悉，上述APP及SDK应按有关规定进行整改，整改落实不到位的，工业和信息化部将依法依规组织开展相关处置工作。

美国顶尖红队竟是一台AI机器人；

聊天机器人"Xbow"登顶HackerOne排行榜

人工智能（AI）的表现已经超越人类红队成员。在HackerOne平台上，一个名为"Xbow"的AI聊天机器人目前位居美国安全行业声誉排行榜首位。该平台通过漏洞赏金计划连接企业与道德黑客，Xbow在识别和报告企业软件漏洞方面的表现显著优于其他99名黑客。运营该机器人的公司表示，这在漏洞赏金历史上尚属首次。

这一进展既展示了AI在网络安全领域的飞速进步，也暴露出攻击者同样可以轻松扩展这种技术。"不幸的是，在这种情况下人工智能的应用更有利于攻击者而非防御者，因为大型组织仍需人工验证关键服务的补丁，这一过程目前仍难以自动化。"Beauceron Security的David Shipley表示。

发现超1000个安全漏洞

Xbow是一款完全自主的AI渗透测试工具，其创造者表示它"运作方式与人类渗透测试员相似"，能在几小时内完成全面测试。据其官网显示，该工具通过了75%的Web安全基准测试，能准确发现并利用漏洞。

Xbow向HackerOne提交了近1060个漏洞，包括：

• 远程代码执行
• 信息泄露
• 缓存中毒
• SQL注入
• XML外部实体
• 路径遍历
• 服务端请求伪造(SSRF)
• 跨站脚本
• 密钥暴露

该工具还发现了Palo Alto公司GlobalProtect VPN平台中一个此前未知的漏洞，影响超过2000台主机。在最近90天提交的漏洞中，54个被归类为严重，242个为高危，524个为中危。目前已有130个漏洞得到修复，303个进入分类处理阶段。

值得注意的是，约45%的漏洞仍在等待解决。Xbow安全主管Nico Waisman表示，这凸显了"对现网目标提交漏洞的数量和影响"。该公司首先使用PortSwigger等平台进行"夺旗"挑战测试，随后建立模拟真实场景的基准测试，最终让AI通过访问源代码进行白盒渗透测试。

防御者需转变策略

尽管Xbow正以惊人速度超越人类红队成员，专家认为防御者在应对AI攻击方面仍有很长的路要走。Info-Tech研究集团技术顾问Erik Avakian指出："黑客正快速采用新工具，使他们能够更迅速、更精准地发动攻击。"

自动化系统不仅能发起大规模攻击，还能制作高度逼真的虚假内容，包括语音、视频和电子邮件，"模糊了真实与虚假的界限"。Avakian强调："安全团队不再只是对抗键盘后的个人，而是在与一个能够近乎实时扫描、利用和适应的系统或团队作战。"

Beauceron的Shipley警告，自动化漏洞发现可能带来危险："进一步加快漏洞发现和利用将导致更多数据泄露、勒索软件事件和关键基础设施中断。"他认为，防御者本已疲于应对软件补丁需求，这一发展将使形势"雪上加霜"。

Avakian建议组织需要：

1. 与具备机器速度检测响应能力的合作伙伴合作
2. 建立完善的安全路线图和风险协议
3. 加强团队培训

"了解这些新技术工作原理及攻击者使用方式的团队，将能更快速、更自信地做出响应。"Avakian总结道，"这种转变不是即将到来——它已经发生。"

文章来源 ：新华社、freebuf

精彩推荐

乘风破浪|华盟信安线下网络安全就业班招生中！

【Web精英班·开班】HW加油站，快来充电！

‍

始于猎艳，终于诈骗！带你了解“约炮”APP

‍