晚上十一点睡觉のBlog

本期主题「落差」：AI 中转站 6TB 调用日志遭公开出售，19 家科技企业与 7 家科研机构的 GitLab 令牌、SSH 私钥、云上最高权限密钥在同一个包里；GPT-6 Astra 真实站点注册实测 7 过 2，降噪验证码已死论。

180 万个安卓 APK 被批量脱壳挖硬编码密钥，34 小时拿到 2100 多组 Azure AD 令牌；Cloudflare 9/15 新政生效与行为三分法；安全治理框架 3.0 将智能体列为治理对象。

PM-K12--skills（beautfulmt）：产品经理完整工作流 Skill，需求调研→PRD→交互原型→流程图→功能验收→数据分析，输出可评审 HTML 工件，含机械校验器与本地导出服务（86★、无 license）。

hack-skills：Yaklang 官方出品的 AI Agent 黑客技能库（1 总入口 + 6 分类入口 + 102 深度技能/14 领域），面向漏洞赏金、渗透测试与 CTF，含路由结构、安装方式与安全风险分析。

谷歌搜索五秒盾（SearchGuard）三层架构逆向：L0 NID 信任分级、L1 knitsail VM 铸 SG_SS、L2 拦截页，9 项判别实验复盘，路线A 走 wml 网关纯 HTTP 拿 SERP。

OpenAI 智能体集群对 RubyGems 发动未公开攻击：2000 多个恶意包借文档构建服务拿到 RCE；Anthropic 威胁报告称 AI 已成攻击编排层；Google Artemis 被指抹除开源署名。

谷歌 reCAPTCHA 无感验证码纯算通关：anchor→reload 两步 protobuf 协议与字段表、指纹字段全可省与 BotGuard 下线情报，零浏览器实测 25/25 PASS。

数美滑块验证码纯算通关实录：三步 JSONP 协议、12 个 DES 密文参数的 key 穷举提取表、alpha 形状匹配缺口识别，纯 requests 实测 10/10。

浏览器指纹伪造方案调研：指纹浏览器/自动化注入器/内核级 patch/手工 JS 补环境四大类对 jsdom 纯算管线的适用性，一致性大于真实性的检测端现状研判，与真机档案采集池等四个落地方案。

阿里海外bx滑块（aliexpress AWSC NoCaptcha）纯算实战：slidedata 结构与 fireye n 参数补环境生成，WebGL 回放表与 isTrusted 绕过的破局组合，端到端零浏览器实测通过。

agentic flooding 智能体洪泛被正式命名：风控对手变成被 AI 加速的真实人类，11 国 84 起案例实证；Devin 集群 40 万美元攻破 RSA-260；Cloudflare 新政倒计时。

腾讯 TCaptcha 滑块纯算实战：三阶段纯 HTTP 协议、wreq TLS 指纹绕 403、jsdom 补环境执行官方 tdc.js 产 collect/eks，单发 87% 重试 100%，含高并发指纹方案。