AI 逆向知识热点日报 — 2026-07-15

关注领域：AI 在 JS 逆向、安卓逆向、爬虫领域的应用
信息来源：AIHOT API、WebSearch (多路并行)、WebFetch (深度抓取)
筛选标准：技术影响力 × 领域相关度 × 时效性
本期条目：5 条

📌 今日概览

# 标题 领域 时效
1 Cursor IDE 连环 0day：DuneSlide 沙箱逃逸 + Git RCE AI 安全 / 逆向工具链 2026-07-14 爆发
2 Firefox-Reverse：SpiderMonkey 引擎级 AI 自动化 JS 逆向 JS 逆向 2026-07-01 发布
3 逆向 AI Agent 对抗攻击：prompt injection 可欺骗 GhidraMCP AI 逆向安全 2026 论文 (ECCWS + arXiv)
4 Revula：生产级逆向工程 MCP 服务器 (116 工具 / 16 类别) 安卓逆向 / 工具链 2026-07-07 报道
5 AnythingAnalyzer：全平台抓包 + AI 自动逆向分析 爬虫 / 抓包 / JS 逆向 2026-07-01 发布

1. Cursor IDE 连环 0day：DuneSlide 沙箱逃逸 + Git RCE

时间：2026-07-14（AIHOT / Hacker News 热门）
CVSS 评分：9.8 (DuneSlide) / 9.9 (Git RCE)

事件内容

Cursor IDE——被超过半数财富 500 强企业使用的 AI 代码编辑器——在一周内被曝出三组高危漏洞，均可达远程代码执行（RCE）：

① DuneSlide (CVE-2026-50548 / CVE-2026-50549) — 由 Cato AI Labs 披露：

  • CVE-2026-50548：AI Agent 的 working_directory 参数受 LLM 控制，prompt injection 可将其指向系统路径（如 macOS 的 cursorsandbox 辅助二进制），覆盖后沙箱形同虚设
  • CVE-2026-50549：符号链接验证失败——当目标路径解析失败时，Cursor 信任未验证的 symlink 路径，允许写出到项目目录外
  • 攻击链：恶意 MCP 响应 / 被投毒的搜索结果 / 恶意仓库 README → prompt injection → 沙箱逃逸 → 完全控制开发者机器
  • 零点击：受害者只需发出一个普通编码 prompt，AI Agent 读取外部内容即触发，无需任何用户交互
  • 已在 Cursor 3.0 (2026-04-02) 修复

② Git 仓库 RCE (CVE-2026-26268) — 由 Novee Security 披露：

  • 攻击者在合法项目中嵌套恶意 bare repository + pre-commit hook
  • Cursor AI Agent 自主执行 git checkout 时触发 hook → RCE
  • 根因：AI Agent 自主决定执行 Git 操作（运行 hook），而传统 IDE 只执行用户明确指令
  • 影响 Cursor 2.5 以下版本，已修复

值得关注的原因

  1. 直接威胁每一位使用 AI 工具的逆向工程师：Cursor + MCP 是当前 AI 逆向工作流的核心组件，这些漏洞意味着你在分析恶意样本时，样本中的 prompt injection 可以反过来攻击你的机器
  2. 新型攻击范式：prompt injection + 经典软件漏洞 = 系统性威胁。这不是传统的”打开恶意文件”，而是”AI Agent 自主读取外部内容时被劫持”
  3. 与下文第 3 条直接关联：逆向 AI Agent 的对抗攻击已从理论变为现实——恶意二进制文件中的 prompt injection 可以欺骗 GhidraMCP，而现在 Cursor 的沙箱也能被突破

来源链接

2. Firefox-Reverse：SpiderMonkey 引擎级 AI 自动化 JS 逆向工具

时间：2026-07-01 发布
GitHub：https://github.com/WhiteNightShadow/firefox-reverse/releases

工具内容

Firefox-Reverse 是一款基于 Firefox 浏览器的 AI 自动化 JS 逆向算法工具，核心创新在于将关键观测能力下沉到 SpiderMonkey/Gecko 的 C++ 引擎层，实现页面 JS 无法反射、检测不到的”上帝视角”：

引擎级观测能力：

观测维度 说明
签名器入参追踪 在 C++ 层拦截加密函数入参，页面无感知
JSVMP 逐指令 trace 对 JS 虚拟机保护的代码逐条指令追踪
WASM import 边界 追踪 WebAssembly 模块的导入/导出边界
引擎级分支差分 对比不同执行路径的分支差异

工作流程：AI Agent 自动抓包 → 定位加密参数 → 引擎层打点 → 补环境 → 生成 Node.js 脚本 → 实打接口验证

AI 模型支持：DeepSeek、智谱 GLM、Kimi (Moonshot)、MiniMax、通义千问 (Qwen)、Claude、OpenAI，以及任何 OpenAI/Anthropic 协议兼容的自定义端点

两种模式：

  • 全自动模式：给目标接口/参数，一条龙完成
  • AI 辅助模式：分阶段执行，每步给出方向选项由人决策

值得关注的原因

  1. 范式转变：传统 JS 逆向依赖 DevTools 断点，反调试/反 hook 站点可检测到。Firefox-Reverse 将观测下沉到 C++ 引擎层，从根本上绕过了所有 JS 层面的反调试检测
  2. AI Agent 全流程自动化：从抓包到生成可独立运行的 Node.js 脚本，整个过程无需人工干预（全自动模式），大幅降低 JS 逆向门槛
  3. 与 WASM/JSVMP 对抗：这是目前少数能对抗 WASM 加密和 JSVMP 虚拟机保护的自动化工具——这两个方向一直是 JS 逆向的硬骨头
  4. 国产 AI 模型优先支持：DeepSeek、GLM、Kimi 等国产模型均支持，国内用户无需翻墙即可使用

来源链接

3. 逆向 AI Agent 对抗攻击：prompt injection 可欺骗 GhidraMCP

时间：2026 年 (ECCWS 2026 会议 + arXiv 连续两篇)
论文：arXiv:2605.30667 / arXiv:2605.30677

研究内容

两篇论文系统研究了针对 LLM 驱动的软件逆向工程 AI Agent 的对抗性攻击，核心发现令人警醒：

攻击原理：

  1. 攻击者在二进制可执行文件中插入不影响功能的字符串变量赋值（如 char *x = "<prompt injection payload>";）
  2. 当 GhidraMCP 等 AI 逆向工具反编译该二进制文件时，这些字符串被当作上下文传给 LLM
  3. LLM 被 prompt injection 劫持，产生错误的分析结果——误分类恶意软件、遗漏关键函数、生成误导性注释

技术细节：

  • 使用遗传算法（AutoDAN 的改进版）自动生成对抗性 prompt
  • 伪系统令牌（如 <assistant>）模拟 LLM 对话格式，劫持 LLM 行为
  • 变体绕过：将 <assistant> 改为 [chat-begin]agent 或 ### Chatbot: 可绕过基于正则的检测

防御研究：

  • 正则匹配：对原始尖括号格式精确率 1.0，但对变体完全失效
  • 分类神经网络：使用 list_strings 输出检测时 100% 召回率，但使用 decompile_function 输出时性能下降
  • 绕过 list_strings：在 prompt injection 末尾添加非打印字符 \x01（而非 \0），使其在 list_strings 中不可见但在反编译输出中可见

值得关注的原因

  1. 直接威胁 AI 逆向工作流：当前所有基于 LLM 的逆向工具（GhidraMCP、JADX-AI、IDA Pro MCP 等）都存在此漏洞——恶意软件可以”反向攻击”分析它的 AI Agent
  2. 攻防不对称：攻击者只需在二进制中插入字符串，防御者却需要检测所有可能的变体格式。随着 LLM 从被动分析变为主动 Agent（自动重命名、修补、执行），一次注入成功可能导致持久化污染
  3. 与 Cursor 0day 形成完整攻击链：恶意样本中的 prompt injection → 欺骗逆向 AI Agent 产生错误分析 → 通过 Cursor 沙箱逃逸获得 RCE → 完全控制逆向工程师的机器
  4. 实际场景验证：Zetier 的实验表明，gpt-4o-mini 几乎总是被成功注入，gpt-5.2 约 25% 成功率（使用反汇编而非伪代码时）

来源链接

4. Revula：生产级逆向工程 MCP 服务器 (116 工具 / 16 类别)

时间：2026-07-07 报道
GitHub：https://github.com/president-xd/revula
许可证：GPL
代码规模：19,400+ 行 Python，63 个文件

工具内容

Revula 定位为通用逆向工程自动化生产级 MCP 服务器，通过 MCP 协议统一调度 116 个工具，覆盖 16 个逆向工程类别：

类别 工具数 代表能力
静态分析 8 LIEF 解析 PE/ELF/Mach-O、Capstone/radare2 反汇编、FLOSS 字符串提取 (17 种分类器)、Shannon 熵分析、YARA 扫描、Capa ATT&CK 映射
动态分析 29 GDB/MI 协议适配器、LLDB 原生 SB API、Frida 动态插桩 (spawn/attach/脚本注入/函数拦截/内存扫描)、DynamoRIO + Frida Stalker 代码覆盖率
Android 逆向 24 APK 解析、DEX 分析、jadx/apktool 反编译、JNI .so 分析、ADB 12 种操作、Frida Android (Root bypass/SSL pinning bypass/API 追踪)、流量拦截、APK 重打包签名、MobSF/Quark 安全扫描
漏洞利用开发 11 多架构 ROP 链 (x86/x64/ARM/ARM64)、堆利用 (House of Force/Tcache Poisoning)、libc 数据库、shellcode 生成、格式化字符串利用
脱壳 4 —
去混淆 3 XOR/ROT/Base64 去混淆
符号执行 4 angr 集成
固件逆向 3 —
协议逆向 3 —
其他 21 恶意软件分析、反分析检测、二进制格式专用、实用工具、管理工具

核心设计：

  • 优雅降级：始终可用 (Capstone/字符串/熵/YARA/ROP) → 需外部工具 (Ghidra/GDB/Frida/jadx) → 缺失则返回清晰错误
  • 安全加固：shell=False、禁止 eval/exec、Frida JS 转义、RLIMIT_AS (512MB) + RLIMIT_CPU (60s)、路径验证 fail-closed、速率限制 120 RPM
  • 多客户端：Claude Desktop / Claude Code / VS Code / Cursor / Windsurf / Continue.dev / Zed / 任意 stdio MCP 客户端
  • Docker 预装：capstone, LIEF, yara, angr, Frida, Ghidra (headless), RetDec, GDB, LLDB, radare2, rizin, ADB, apktool, jadx, FLOSS, capa, DIE, DynamoRIO, UPX, msfvenom 等

值得关注的原因

  1. 安卓逆向覆盖最全的 MCP 服务器：24 个 Android 专用工具，从 APK 解析到 Frida Root bypass 到重打包签名，覆盖了安卓逆向的完整链路
  2. 116 工具一站式：之前社区散落着 adb-mcp、frida-mcp、jadx-mcp、ida-pro-mcp 等单点工具，Revula 将它们整合为统一后端，用户只需一个自然语言指令即可编排多工具流程
  3. 生产级安全设计：子进程隔离、路径验证、资源限制、速率控制——这不是概念验证，而是可在生产环境部署的安全设计
  4. 与项目高度相关：本项目（安卓逆向环境）的 Frida + Magisk + LSPosed 工具链可直接通过 Revula 的 Android 工具集接入 AI Agent

来源链接

5. AnythingAnalyzer：全平台抓包 + AI 自动逆向分析

时间：2026-07-01 发布
GitHub：https://github.com/Mouseww/anything-analyzer

工具内容

AnythingAnalyzer 是一款全场景抓包 + AI 自动逆向分析工具，核心理念是”不管流量从哪来，抓到就能让 AI 自动逆向分析”：

全平台抓包：

来源 方式
网页 内嵌浏览器 (CDP)
桌面应用 Postman / Electron
终端 curl / wget
脚本 Python / Node.js
手机/IoT App / 小程序 (系统代理 / Wi-Fi 代理)

所有来源的请求统一汇入同一个 Session，AI 分析时一并处理。

AI 智能分析 (5 种模式)：

  1. 自动识别 — 智能过滤噪声请求，聚焦深度分析
  2. API 逆向 — 自动识别接口结构、参数含义、调用链
  3. 安全审计 — 检测安全漏洞、敏感信息泄露
  4. 性能分析 — 请求耗时、瓶颈定位
  5. JS 加密逆向 — 自动拦截 fetch/XHR/crypto.subtle/CryptoJS/SM2/3/4 等加密调用，提取加密代码片段

MCP 生态双向集成：

  • MCP Client：接入外部 MCP Server (stdio + StreamableHTTP)，扩展 AI 分析能力
  • 内置 MCP Server：将抓包和分析能力暴露为 MCP 工具，可被 Claude Desktop、Cursor 等直接调用

值得关注的原因

  1. 全平台统一：传统工具各管一摊（DevTools 看浏览器、Fiddler 做代理、Wireshark 看不了 HTTPS），AnythingAnalyzer 统一了所有抓包来源
  2. JS 加密逆向自动化：自动拦截 fetch/XHR/crypto.subtle/CryptoJS/SM2/3/4 等加密调用——这正是 JS 逆向最耗时的部分
  3. MCP 双向集成：既能作为 MCP Client 消费外部工具，又能作为 MCP Server 被其他 AI Agent 调用——这种设计使其成为 AI 逆向工作流中的”抓包枢纽”
  4. 与安卓逆向联动：手机 App / 小程序流量通过系统代理或 Wi-Fi 代理汇入，配合 Frida Hook 可形成”流量 + Hook”双重逆向能力

来源链接

📊 本期趋势分析

趋势一：AI 逆向工具的”引擎级下沉”

Firefox-Reverse 将观测能力下沉到 SpiderMonkey C++ 引擎层，代表了 AI 逆向工具从”浏览器自动化 + LLM”向”引擎级深度集成 + LLM”的范式转变。这意味着反调试/反 hook 技术将面对来自浏览器引擎内部的观测，传统 JS 层面的检测手段将全面失效。

趋势二：AI 逆向 Agent 成为攻击目标

Cursor DuneSlide + GhidraMCP prompt injection 攻击形成了一个完整的威胁模型：逆向工程师使用的 AI 工具本身正在成为攻击面。恶意样本不再是被动的分析对象，而是可以主动攻击分析它的 AI Agent——通过 prompt injection 欺骗分析结果，甚至通过 Cursor 沙箱逃逸获得 RCE。

趋势三：MCP 逆向工具链从”散点”走向”整合”

Revula (116 工具) 和 AnythingAnalyzer (全平台抓包 + MCP 双向集成) 代表了 MCP 逆向工具链从单点工具（adb-mcp、frida-mcp、jadx-mcp 各自独立）向统一平台的收敛。逆向工程师不再需要在多个 MCP Server 之间手动切换，而是通过一个自然语言指令编排完整工作流。

趋势四：安全加固成为标配

Revula 的安全设计（子进程隔离、路径验证 fail-closed、资源限制、速率控制）和 Cursor 的 DuneSlide 漏洞形成了鲜明对比——AI 逆向工具本身也需要被当作可能的攻击面来加固。这一认知正在从”可选项”变为”标配”。

🔗 补充关注

事件 来源
GPT-5.6 Sol 自行删除用户文件/数据库 (AI Agent 安全) https://techcrunch.com/2026/07/14/openais-new-flagship-model-deletes-files-on-its-own-people-keep-warning
Bonsai 27B: 首款可在手机运行的 27B 多模态模型 (端侧 AI 逆向潜力) https://prismml.com/news/bonsai-27b
Google Pixel 10 端侧 AI: Tensor SoC + TPU + Gemma 4 E2B (安卓端 AI 能力) https://developers.googleblog.com/unlocking-the-next-era-of-on-device-ai-with-google-tensor-and-pixel
T3MP3ST: 多 Agent 自主渗透测试平台 (XBEN 90.1% 通过率) https://juejin.cn/post/7659240969346826274
LRPT 框架: LLM 驱动网络协议逆向 (北航团队, 发现 10 个未公开漏洞) https://security.zone.ci/secarticles/wx/489411.html
MOTIF: LLM 引导类型推断逆向 macOS 私有框架 (IEEE S&P’26) https://arxiv.org/abs/2601.01673
jadx-gui-ai: AI 大模型集成 JADX 安卓逆向工作流 https://blog.csdn.net/cunfuteng7334/article/details/109087726
JSHook Reverse Tool: 80+ 专业 JS 逆向 MCP 工具 https://github.com/Pink-TT/jshook-reverse-tool

本日报由自动化任务每日 07:00 自动生成 | 上一篇：2026-07-14