文章总结： 本期涵盖Clawdbot提示注入劫持、AI爬虫及自动驾驶视觉注入等AI安全风险；披露Windows内核提权与电动滑板车默认密钥漏洞；Databricks发布AI红队工具BlackIce；重点预警OracleWebLogic严重RCE漏洞CVE-2026-21962，建议企业立即修复。 综合评分： 85 文章分类： AI安全,漏洞预警,IoT安全,二进制安全,安全工具

每日安全动态推送(26/2/5)

原创

admin admin

腾讯玄武实验室

2026年2月5日 19:08 北京

•  只要安装了Clawdbot，你的电脑就可以被黑客控制 – atum@Tencent https://atum.li/cn/blog/openclaw_risk/

本文深入剖析了 Clawdbot 所带来的系统性安全风险，揭示了其架构层面的根本性漏洞，指出 AI 助手在拥有系统权限的同时，极易被提示词注入攻击劫持，从而导致用户设备被完全控制。这种从理论到实践的全面分析，为 AI 安全领域提供了重要的警示。

•  AI网络爬虫安全白皮书 https://xlab.tencent.com/cn/2026/02/02/ai-browser-crawler-whitepaper/

这篇《AI网络爬虫安全白皮书》首次系统性地揭示了AI服务端浏览器在架构迁移后所面临的新攻击面与安全风险，并提出了以“静态攻击面收敛 + 动态行为隔离”为核心的防御框架。文章结合真实攻击案例与开源防护方案SEChrome，为行业提供了可落地的安全实践。

•  视觉提示注入攻击可劫持自动驾驶汽车与无人机 https://www.cysecurity.news/2026/02/visual-prompt-injection-attacks-can.html

本文揭示了间接提示注入在自动驾驶汽车和无人机中的实际威胁，展示了AI系统如何被环境中的文本指令误导，具有重要的现实安全意义。其最大亮点在于通过实验证明了多语言环境下视觉语言模型的高脆弱性，攻击成功率高达95.5%。

•  由团队最年轻成员主导的Windows本地提权漏洞挖掘：第三部分 https://hackyboiz.github.io/2026/02/01/Libera/whs3-project-part3/En/

本文深入分析了Windows内核驱动中的MSR读写原语漏洞，揭示了攻击者如何通过未验证的用户输入实现本地提权。文章结构清晰，技术细节详实，对安全研究人员和开发者具有重要参考价值。

•  雲端電動滑板車BLE設計存風險，預設金鑰恐解鎖所有車輛 | iThome https://www.ithome.com.tw/news/173671

本文深入剖析了一款電動滑板車在BLE通訊中因預設主控金鑰未更換所導致的嚴重安全漏洞，並結合逆向工程與PoC展示攻擊可行性，揭示物聯網裝置在生命週期末期所面臨的資安風險，具有高度技術價值與現實警示意義。

•  Databricks推出BlackIce AI安全红队工具包 https://sectoday.tencent.com/event/V8LQK5wBnYhVxRrjGgXu

Databricks推出名为BlackIce的开源容器化红队工具包，专为AI安全测试设计。该工具包整合了14个广泛使用的AI安全工具，解决了环境配置复杂、依赖冲突和测试流程碎片化等常见问题。BlackIce通过Docker容器化技术，提供统一的命令行接口，支持静态和动态工具模式，并与MITRE ATLAS和DASF等框架对齐。该工具包旨在简化AI安全研究流程，提升测试效率，助力安全人员更专注于漏洞挖掘。

•  Oracle WebLogic 代理插件远程代码执行漏洞（CVE-2026-21962） https://sectoday.tencent.com/event/O7-QE5wBnYhVxRrjeSwL

CVE-2026-21962 是 Oracle WebLogic 服务器和 HTTP 服务器代理插件中的一个严重远程代码执行漏洞，CVSS 评分为 10.0。该漏洞允许未经身份验证的远程攻击者通过构造的 HTTP 请求绕过安全控制，访问后端系统并执行任意代码。受影响的组件包括 Oracle HTTP Server 和 WebLogic 服务器代理插件，广泛部署于企业网络，尤其在 DMZ 环境中风险极高。攻击者可利用该漏洞实现数据篡改、系统控制甚至横向移动。文章指出，该漏洞源于输入验证和路径规范化逻辑的缺陷，推荐用户尽快通过 Oracle 2026 年 1 月关键补丁更新进行修复，并启用 Web 应用防火墙进行防护。

* 查看或搜索历史推送内容请访问： https://sectoday.tencent.com/ * 新浪微博账号： 腾讯玄武实验室 https://weibo.com/xuanwulab * 微信公众号： 腾讯玄武实验室

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：腾讯玄武实验室 admin admin《每日安全动态推送(26/2/5)》