ZONE.CI 全球网

朝鲜黑客组织ContagiousInterview通过开发者工具（VSCode、GitHub）发起供应链攻击，利用钓鱼邮件诱导开发者克隆恶意仓库，触发自动执行的恶意脚本窃取加密货币凭证。攻击涉及多阶段载荷、恶意VSCode扩展和npm包，针对近百家全球机构。建议加强代码审查、验证第三方依赖、监控异常IDE行为。

微软在VSCode1.123中引入插件更新两小时强制延迟机制，旨在防范软件供应链攻击。该机制通过为安全团队留出检测时间，阻止带毒插件通过自动更新大规模传播。文章还指出npm、Bun等包管理器已支持类似功能，并建议开发者在CI/CD流程中配置minimumReleaseAge等参数以提升防护能力。

HexStrikeAI是一个基于多智能体架构的AI驱动网络安全自动化平台，集成150多种专业安全工具支持渗透测试、漏洞扫描和智能分析。平台通过MCP协议连接AI代理实现自主目标分析、测试策略选择和实时自适应安全评估，提供可视化漏洞报告和风险分析。文档详细介绍了安装配置步骤、客户端集成方法及工具库分类，适用于红队演练、内网渗透等自动化安全测试场景。

本文系统总结了WSL使用中最高频的十类问题及排查方案。核心结论在于多数故障可通过重启服务、更新版本或修改wsl.conf与.wslconfig配置文件解决。关键发现包括跨文件系统操作是导致Git变慢的根因，应将项目移至Linux原生目录；Vmmem内存飙升需通过.wslconfig限制资源；网络与端口问题推荐使用mirrored模式。建议用户遵循重启、查版本、看日志、搜Issue的四步法排查，遇到复杂故障时可导出备份后执行彻底重装。

本文探讨了如何将大型语言模型（LLMs）作为逆向工程和恶意软件分析的辅助工具，以提升工作效率。文中介绍了ModelContextProtocol(MCP)框架，该框架能标准化应用程序向LLM提供上下文的方式，并支持与IDAPro等反汇编器集成。文章还详细讨论了如何选择合适的LLM模型、客户端工具（如Ollama、Claude3.7Sonnet）以及本地部署方案，并通过一个真实的IcedID恶意软件样本分析案例，对比了不同LLM在分析速度、成本、隐私等方面的表现，指出了使用LLM时可能遇到的上下文窗口限制、

文档分析了VeranaBlockchain代码仓库遭供应链投毒事件，攻击者通过劫持GitHubActions的v3标签，在开发者本地环境利用VSCode的folderOpen钩子自动触发恶意链，并在CI/CD管道中通过伪装语义化发布动作执行后门。关键发现包括恶意载荷与PyPI投毒事件共享MiniShai-Hulud家族的Miasma变体框架，且构建日志完整还原了攻击链。建议开发者检查仓库隐藏目录(.vscode/.claude)及GitHubActions标签引用。

安全研究人员披露了VSCode零日漏洞利用代码，攻击者可通过恶意扩展程序利用Webview消息传递系统窃取GitHubOAuth令牌，从而访问用户所有私有仓库。目前暂无官方补丁，但用户可通过清除浏览器中github.dev的Cookie和站点数据缓解风险。微软表示已缓解该问题，但研究员因过往与MSRC的不愉快经历选择直接公开披露。

WizResearch在AmazonQ的VSCode插件中发现高危漏洞CVE-2026-12957，攻击者可通过恶意仓库中的MCP配置文件自动执行任意命令并窃取AWS云凭证。漏洞根源在于插件自动加载工作区配置且子进程继承完整系统环境变量，绕过VSCode安全机制。AWS已在语言服务端1.65.0版本修复，新增用户确认提示。该漏洞反映AI编程工具普遍存在的安全设计缺陷，建议开发者警惕陌生仓库并审查MCP配置。

NVIDIABuild平台提供100多款免费AI模型集成服务，包括MiniMax、Kimi、DeepSeek等热门模型，注册即送1000推理积分且无需信用卡。文章详细介绍了在Cursor和VSCode中配置API密钥的具体操作步骤，通过对比付费方案突出其零成本优势，建议开发者利用该平台替代月费约80美元的商用AI服务。

朝鲜黑客组织在PolinRider行动中发布108个恶意软件包和扩展程序，分布在npm、Packagist、Go和GoogleChrome平台。攻击者通过传染性面试手法入侵GitHub仓库，植入混淆的JavaScript载荷，利用VSCode任务文件触发执行，并采用Git历史重写技术隐藏痕迹。最新攻击链涉及区块链基础设施获取第二阶段载荷。建议用户轮换密钥、审计仓库并移除受影响版本。

本文档为AI渗透测试零基础教程，指导安装CCswitch、CodeX、Claudecode等工具并配置大模型APIkey（如DeepSeek及中转站）。核心步骤包括下载Node.js和Git、通过npm安装Claudecode、从微软商店获取CodeX，以及在中转站生成APIkey后配置自定义模型。教程提供详细操作截图与视频链接，旨在帮助用户快速搭建AI辅助渗透环境。

朝鲜APT组织PolinRider向npm、Packagist、Go和ChromeWebStore投放108个恶意软件包，通过虚假面试诱骗开发者安装，入侵后注入恶意代码并重写Git历史以隐藏痕迹，使用区块链架构C2传输DEV#POPPERRAT和OmniStealer木马窃取凭证。建议企业立即排查开发者工作站和GitHub仓库，部署依赖扫描工具并建立供应链安全响应预案。

本文分享了AI安全实战经验，涵盖安全使用AI的隔离方案（如VMware虚拟化）、ClaudeCode的安装配置与模型推荐、AI代码审计的工程化实践（包括SKILL工具、多轮复核机制）以及AI辅助软件开发的体验。核心结论是AI安全需隔离措施，代码审计是系统工程，AI能加速漏洞发现但需人工复核。

本文介绍如何将AceDataCloud的MCP能力接入VSCode，通过安装插件、配置APIKey，在CopilotAgent中调用MCP工具完成音乐、绘画、视频、搜索等任务。推荐从SunoMCP、FluxMCP、SerpMCP开始，几分钟即可扩展编辑器功能。

本文介绍AI时代如何利用Reqable抓包工具与AIAgent结合进行自动化测试。核心要点包括配置MCP服务器让AI控制Reqable和Chrome实现自动抓包、分析请求、创建API测试、数据调试如重写规则和脚本编写。文章提供了具体操作步骤和示例展示了AI提升测试效率的潜力。最后附有礼品卡福利。

本文分析了Electron应用因安装在用户目录、未加密asar包及Chrome调试协议而成为攻击者持久化入口的三种利用手法：BEEMKA脚本注入、DLL劫持和远程调试协议。文章指出这些方法无需修改系统文件，可绕过杀软检测，并建议通过监控AppData目录文件变化、进程树和端口来防御。

本文评估了2026年八款AISAST工具，指出北大敏析天鉴Core、SemgrepCode和GitHubCodeQL在检测覆盖率和流程集成方面表现最佳。其他工具如SnykCode专注于实时IDE扫描，Veracode支持旧版语言和二进制分析，SonarQube提供免费自托管服务。文章强调AI与模式匹配结合的趋势，并提供了各工具的定价、IDE支持和适用场景对比。

本文介绍了利用ClaudeDesktop、VSCode的Continue插件、OpenClaw及Hammerspoon零成本搭建AI开发环境的方法。作者通过实战案例展示了从需求分析到代码生成、测试与部署的全流程AI自动化，并提供详细配置代码。文末还给出API费用控制与隐私保护等避坑建议，帮助开发者显著提升单人开发效率。

本文介绍如何通过AceDataCloud的OpenAI兼容代理在VSCode中配置和使用Codex扩展。核心步骤包括申请APIToken、安装Codex扩展与CLI、编辑\\~/.codex/config.toml配置文件指向acedatacloud供应商并设置环境变量。配置完成后可在侧边栏进行代码解释、修改等操作。建议日常使用Agent模式并保留on-request审批策略以确保安全。

安全研究员阿马尔·阿斯卡尔因不满微软漏洞披露机制，公开VSCode零日漏洞。该漏洞存在于github.dev平台，OAuth令牌未限定作用域，攻击者诱导用户点击链接即可窃取GitHub访问令牌，进而读写用户所有代码仓库。研究员绕过扩展安装弹窗，实现全自动攻击。他批评MSRC处理漏洞不署名、定级低，导致信任崩塌，公开漏洞成为倒逼整改的手段。

朝鲜黑客组织Polinrider发布108个恶意软件包和扩展程序，涉及npm、Packagist、Go和Chrome，通过入侵维护者账户植入恶意代码，与ContagiousInterview活动相关。攻击者利用招聘手段诱骗开发者，在配置文件中附加恶意JS，使用VSCode任务触发执行，并重写Git历史记录。建议用户轮换密钥、审核代码库。

ChainDrop是npm供应链蠕虫，通过preinstall注入三层混淆载荷并利用Bun执行。其深度窃取云凭据，且直接读取CIRunner内存提取OIDCtoken。蠕虫借被盗token自传播，首创利用以太坊智能合约作C2路由器动态切换域名，以强加密外传数据。建议全面排查lockfile中的恶意文件，监控读进程内存与链上RPC调用，立即轮换所有凭据，并采用一次性CIrunner与出站白名单缩小攻击面。

本文探讨将VSCode开发隧道用作C2通信通道的可行性。作者利用LLM助手Bishop分析微软开发隧道的底层协议，揭示其由多层协议叠加而成，可通过REST接口列出和操作隧道，并需Azure或GitHub认证令牌交互。文章详细介绍了隧道发现、连接及访问令牌生成的技术细节，为红队研究提供了可操作的技术路径。

微软向研究员陈萨姆发放4000美元奖金，奖励其发现VSCode高危安全绕过漏洞CVE-2026-81376，CVSS评分9.6分，影响低于1.136.2版本。漏洞可绕过工作区信任机制，导致数据泄露或恶意代码执行。微软已修复，建议用户升级至1.136.2或更高版本。

VSCode曝出CVE-2026-81376漏洞，攻击者可利用嵌套工作区设置绕过WorkspaceTrust安全限制，存在远程代码执行风险。微软已确认并修复，赏金4000美元。建议用户及时更新至修复版本，谨慎打开不可信项目并审查工作区配置，以降低安全风险。