本期主题：「落差」

今天这批信息有一个共同的形状：对外宣称的能力 / 承诺，与实测出来的结果之间，存在一道需要被量化的缝。

  • 中转站承诺”不留存日志”→ 实测：6TB 明文调用记录在市场上明码出售，含 19 家企业的 SSH 私钥和云 AK。
  • 短视频说”GPT-6 Astra 通关全部 48 关 CAPTCHA，验证码已死”→ 实测：7 个真实站点注册只过 2 个，且这 2 个本来就没有验证码。
  • 基准报告说”AI 只能写出 26% 的干净安全补丁”→ 重算：在合理工作条件下这个数字是 86%。

对做逆向、爬虫和风控的人来说，这道缝就是工作本身——别信结论，去看实验条件。

一、头条：AI 中转站的 6TB 调用日志被公开出售，19 家企业 + 7 家机构的密钥在同一个包里

1.1 事件本体

2026 年 9 月 11 日，安全研究员**寿超璠（Chaofan Shou）**在 X 上公开披露：

  • 他花五位数美元（本人回复”用了 5 位数美刀”），从一家中国头部大模型中转站（LLM Router / API 代理服务商）手里买下了一份约 6TB 的 Fable 模型调用数据集；
  • 这份数据没有脱敏，里面不是普通对话，而是大量明文敏感凭证：
    • GitLab 访问令牌
    • 主机 SSH 私钥
    • VPN 配置文件
    • 公有云最高权限密钥（阿里云 AK 等）
  • 仅凭这批凭证，他声称可以接管：
    • 19 家科技公司的内部系统——包括**华为、小米、蔚来、MiniMax、深信服（Sangfor）、哔哩哔哩（git.bilibili.co）**等；
    • 7 个国家级科研与政府机构——包括**张江实验室、中国科学技术大学（git.ustc.edu.cn）、之江实验室（gitlab.zhejianglab.com）**等；
    • 另有独联体相关政府实体。
  • 数据包中能看到按”公司 / 机构 + Host + Tokens”整理的表（例如 git.sangfor.com、gitlab.nioint.com、git.n.xiaomi.com），也就是说卖方是按目标组织整理好再打包的。

1.2 这不是第一次预警，而是四个月前论文的”实锤落地”

寿超璠在 2026 年 4 月就与研究者 Hanzhi Liu 等人发表过一篇系统测量报告：

《Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain》

他们对 28 个付费 + 400 个免费第三方 LLM API Router（合计 428 个）做了实测，发现：

恶意行为 命中数量 说明
主动注入恶意代码 9 个 篡改 Agent 指令，让模型执行攻击者意图
使用研究者的蜜罐 AWS 凭证去调用 AWS 17 个 说明”看到密钥就真会用”
直接转走测试钱包里的 ETH 1 个 从”读”升级到”盗”

这条论文的结论现在被 9 月 11 日的实际购买行为验证了：中转站不只是”可能”留存数据，而是已经形成了可批量交易的资产。

1.3 为什么风险会被放大到这种程度（三个机制）

机制一：Agent 时代把密钥集中到了同一个地方

传统聊天场景，用户最多泄露 prompt 内容。但现在 Agent 需要真实执行权限——排查报错要贴带密码的数据库连接串、改代码要上传源码和内网路径、运维任务要把 SSH Key 和 VPN 配置放进上下文”方便模型动手”。于是原本分散在各处的密钥，集中到了”模型上下文”这个新的单点。

机制二：中转站的商业模式天然冲突

很多中转站以远低于官方价的价格引流。部分从业者承认：低价 Token 只是获客手段，日志数据本身才是更有价值的商品——无论是拿去蒸馏、训练，还是直接卖给安全研究员。

机制三：监管与技术现实的错位

中转站多处于灰色地带，身份匿名、运营不透明。用户几乎无法审计它是否真的不留存日志，企业也很难通过合同或技术手段约束第三方代理。

1.4 监管侧同步收紧（这一点务必注意）

2026 年以来，监管机关持续提示 Token 交易、AI 中转站、数据外包风险，明确点出违规接口转发、隐私泄露、恶意植入、数据出境四类问题。媒体已报道：上海一名采用”反向代理 + 账号池”模式的中转站经营者，涉嫌非法经营罪被刑事拘留（案件仍在侦查阶段，公开材料不足以证明最终罪名，此处仅作监管信号参考）。

合规视角下的四条法律风险线（来自合规从业者分析）：

  1. 侵犯公民个人信息罪 / 侵犯商业秘密罪——中转站超范围截留、出售、向他人提供可识别自然人的信息，达到法定数量或造成严重后果；
  2. 非法经营罪——无证经营增值电信业务、未做算法备案与安全评估；
  3. 非法获取计算机信息系统数据罪 / 提供侵入、非法控制计算机信息系统程序工具罪——盗取 API key、撞库盗号、购买黑卡额度、破解网页端鉴权、伪造客户端特征、绕过人机验证；
  4. 数据出境违规——普通情形先产生行政责任，满足特定罪名要件后进入刑事责任。

对逆向/爬虫从业者的直接提醒：上面第 3 条把”伪造客户端特征、绕过人机验证”和”盗号、破解鉴权”放在了同一个法律评价体系里。技术手段的合法性边界，取决于你有没有上游授权——正规采购官方 API 并获转售授权，与破解网页端鉴权取得账号，性质完全不同。最高人民法院公开案例把”能否避开安全措施、未经授权取得访问受限数据”作为判断技术工具是否越界的重要标准。

1.5 值得关注的原因 ⭐⭐⭐

  1. 这是”AI 供应链中间层”第一次被完整证实为可交易攻击面。此前我们追踪的是模型层（蒸馏）、应用层（爬虫），本期补上了中间层（Router / Proxy）——它同时能看到请求和响应，是天然的明文瓶颈。
  2. 它把”密钥进上下文”从开发习惯问题升级为系统性风险。19 + 7 这个数量级说明：这不是个别员工疏忽，而是行业普遍做法导致的系统性暴露。
  3. 给爬虫/风控从业者一个反向视角：你们在做风控时会收集”异常流量特征”，而中转站收集的是”完整请求体”——收集粒度的差异，就是风险等级的差异。做数据采集产品时，”日志留存策略”必须写进合规文档。
  4. 监管已从”提示”进入”办案”，中转站模式在 2026 年下半年属于高危区。

1.6 相关链接

二、GPT-6 Astra 打真实站点注册：7 个只过 2 个，而且这 2 个本来就没验证码

2.1 背景：一个爆火视频与一句”CAPTCHA 已死”

前几天 OpenAI 研究员 Sharif Shameem 发布演示视频：GPT-6 Astra 连续通关 Neal Agarwal 的《I’m Not a Robot》游戏全部 48 关，拿到”Verified Human”证书。评论区一片”CAPTCHA 正式死亡”，OpenAI 内部也有人下场参与讨论。

9 月 15 日（随 Astra 进入 API），开发者 Jay van Zyl 做了一次真正意义上的对照实验。

2.2 实验设计与逐站点结果

选取 7 个美国真实服务，让 Agent 自主完成注册流程（通过 OpenRouter 调用，Astra 定价 $10/M 输入、$50/M 输出）：

站点 Token 消耗 成本 结果
Reddit（/register） 11,201 $0.11 ❌ 被 Cloudflare “prove your humanity” 拦住，Agent 主动叫人类来解
GitHub（/signup + 邮件确认） 65,638 $0.67 ✅ 通过
Discord（/register） 430,609 $4.37 ❌ 卡死循环 7 分钟，反复读注册表单不前进，作者始终没搞清是哪个组件挡住
Etsy（/join） 582,589 $5.86 ✅ 通过
Indeed（auth/signup） 411,567 $4.14 ❌ 走到邮箱验证码后被手机短信卡住
Craigslist 32,259 $0.32 ❌ 被直接封禁
Airbnb 419,194 $4.21 ❌ 本地模型崩溃中断（与 CAPTCHA 无关）
合计 1,953,057 $19.68 2/7 通过

关键结论：通过的 2 个（GitHub、Etsy）流程里本来就没有验证码，只需邮箱 OTP。 也就是说——Astra 在真实站点上，没有一次是”靠解题赢的”。

2.3 三个必须记住的数字/事实

  1. 失败也要烧钱。Discord 那 $4.37 是一次失败的死循环，不是”付费通关”。整个实验 195 万 token、$19.68，其中绝大多数花在失败路径上。

  2. 供应商自己承认不解决这些问题。抓取服务商 decodo 在博客中明确评价 Astra：”does not fix blocks, geo-restrictions, CAPTCHAs, or rate limits“（不解决封锁、地域限制、CAPTCHA 或速率限制）。卖模型访问权的厂商很诚实：那是演示游戏，不是生产环境 CAPTCHA。

  3. 同样的任务，换模型便宜约 150 倍。仅 Etsy 那一步（582,589 token）：

    模型 成本
    GPT-6 Astra $5.86
    Gemini 2.5 Flash Lite $0.055
    GPT-5 Nano $0.045
    DeepSeek V4 Flash $0.04
    Qwen3.7 Flash $0.035

    作者的判断值得抄下来：这类任务根本不需要旗舰模型。

2.4 为什么”能解 48 关”不等于”能过生产防线”（技术解释）

现代商用反机器人系统不靠”你答对了没有”来判定，而是综合多类信号做风险打分：

  • 来源 IP 的信誉与网络环境（机房 IP / 住宅 IP / 移动 IP 权重不同）
  • 浏览器 Cookie 与历史使用记录（有没有正常浏览轨迹）
  • 是否处于已登录的合法账号状态（reCAPTCHA v3 对登录态加权很高）
  • 鼠标移动、加速曲线、操作延迟等行为特征——过于一致或”过于完美”的轨迹，反而会被标成高风险

也就是说：认知题（解谜）只是防线最外面的一层，真正的闸门在服务端的行为与身份评估。这个结论与我们 9 月 9 日那期《Astra 通关 48 关》的判断一致，但本期第一次给出了量化的失败账本。

2.5 值得关注的原因 ⭐⭐⭐

  1. 这是对”验证码已死”最直接、最有数据的一次降噪。以后有人拿”AI 通关验证码”的视频说事，你可以直接甩这张 2/7 的表格。
  2. 它给出了一套可复用的实验方法论：固定模型、固定价格、逐站点记录 token 与成本、区分”通过”与”本来就没门槛”。做风控评估时可以照搬。
  3. 对爬虫工程有直接的选型意义：“让旗舰模型硬啃”是最贵的方案，且成功率并不高；把预算花在 IP 质量、浏览器指纹一致性、会话保持上，收益更高。
  4. 它揭示了新的成本陷阱：Agent 卡在死循环里会持续烧 token。给 Agent 设”最大步数/最大成本熔断”，是工程必需项，不是优化项。

2.6 相关链接

三、Trail of Bits 逐条反驳 1Password：AI 写安全补丁到底行不行？26% 还是 86%？

3.1 争议双方

  • 1Password（Off-by-1 Labs，8 月 6 日发布报告，标题 Frontier Models’ Vulnerability Patches are Often F.L.A.W.E.D.，FLAWED = Fix-Like Artifacts With Embedded Defects）：用 ChatGPT 5.5 和 Claude Opus 4.8 为 6 个真实 CVE 生成了 6,480 个补丁（分 20 个一组、3 种环境配置 × 9 套提示模板），剔除 400 个”明显去查了上游官方修复”的样本后，对剩余 6,080 个评分：

    • S1（修好了且不改行为）：26.0%
    • S2（修好了但改了行为）：20.1%
    • S3/S4/S5（没修好 / 修好但引入新问题）：53.9%
    • 约 1/20 的补丁引入了新的漏洞；超过三分之一的”成功”补丁仍被标为 fragile。
    • 六个目标 CVE 包括：Linux 提权 CVE-2026-31431、ActiveMQ RCE CVE-2026-34197、Chrome File System Access API CVE-2026-8512、Exim RCE CVE-2026-45185、Spring AI SpEL RCE CVE-2026-22738、Gemini CLI RCE GHSA-wpqr-6v78-jr5g。

  • Trail of Bits（9 月 15 日发文《1Password’s AI patching benchmark is misleading》）：指出 26% 这个头条数字会误导防御方，让本来可修的漏洞被放弃。

3.2 Trail of Bits 指出的四个实验设计问题

# 问题 具体
1 漏洞是”挑”出来的 6 个 CVE 是特意挑”修复复杂”的；单个漏洞的干净修复率区间是 3% ~ 60%，平均值高度依赖样本选择
2 22% 的试验被指示”故意写错” 两套提示词明确指示 Agent 应用错误的修复方向，但这些试验仍被计入 26% 的平均值
3 超过三分之一的数据无法测试 有一种评测模式（占 36% 数据）禁止 Agent 编译或运行代码——Agent 只能”盲写”
4 模型没跑到最高档 GPT-5.5 只用了 medium effort、Opus 4.8 只用了 high，都没开到最高档

3.3 重算后的数字

Trail of Bits 用 1Password 自己公布的数据重算——只保留”Agent 能跑代码、且没被指示写错”的试验：

3,067 个补丁中有 2,634 个（86%）成功阻断了给定的 exploit。

（注意口径：“阻断 exploit”不等于”完整修复”，但足以说明在合理工作条件下能力被严重低估。）

另外两个对照数据：

  • 人类开发者的首次修复成功率：Trail of Bits 复盘了 2024–2026 年 236 次安全评估中的 2,265 个漏洞——客户是软件维护者、拿到了详细报告、且知道会被复核，在这么有利的条件下，仍有 283 个（12.5%，约 1/8）首次修复未能完全解决问题（95% 置信区间 10.5%–14.5%）。
  • Patch the Planet（Trail of Bits 与 OpenAI 的联合项目）的公开 PR 数据（截至 9 月 14 日，186 个已合并/关闭的 PR）：
    • 维护者合并了 126 个，合并率 67.7%；
    • 其中 91 个（72.2%）”原样接受、未观察到安全相关修改”；
    • 33 个（26.2%）观察到安全相关修改，2 个（1.6%）无法判定。

3.4 那个最值得抄进工程规范的失败模式

1Password 报告中最有价值的部分，不是 26% 这个数字，而是主导失败模式：

补丁”用范围极窄的输入检查去保护脆弱的输入，而不是去彻底重构底层有漏洞的代码“。

典型形态（CWE-89 SQL 注入）：

// 原始有漏洞的代码
db.query(`SELECT * FROM orders WHERE customer = '${name}'`);

// 模型最常见的"修复"——转义引号，保留字符串拼接
const safe = name.replace(/'/g, "''");
db.query(`SELECT * FROM orders WHERE customer = '${safe}'`);

看起来像修复、能过测试、但底层漏洞代码原封不动。而且报告给出了一个极关键的相关性：

  • 提示词给出正确修复方向时，补丁修复成功率约 2/3；
  • 提示词给出看似合理但错误的方向时，成功率掉到约 1/6。

结论：模型不做诊断，它在执行你的表述（framing）——而且很自信，每次尝试 $2.11–$2.81。

1Password 研究负责人 Keith Hoodlet 自己给出的建议也很实用：拿一个 6–12 个月前你已经人工确认修好的漏洞，用 FLAWED 跑不同模型，测出在你的代码库里”哪类漏洞 AI 修得动、哪类必须人工”。同时他引用并同意 Anthropic 的判断：

“补丁生成已经超过了补丁验证的能力；解决办法是让验证基于执行（execution-grounded）而非基于阅读（inspection-based），并在当前模型能力下保留领域专家作为最终审核人。”

3.5 Trail of Bits 顺手开源的两个 Agent Skill

  • post-patch-validation——帮 Agent 测试补丁（把验证拉回”能跑起来”）
  • review-walkthrough——帮工程师审查补丁

仓库：trailofbits/skills（⭐7,093，2026-09-14 仍在更新），插件市场地址 https://github.com/trailofbits/skills

该仓库下的相关 skill 一览（对我们做安全分析有直接价值）：

Skill 用途
static-analysis CodeQL + Semgrep + SARIF 解析
variant-analysis 跨代码库找同类漏洞（模式化复用）
semgrep-rule-creator / -variant-creator 写 / 移植 Semgrep 规则（TDD 验证）
fp-check 误报系统性验证（强制 gate review）
insecure-defaults 检测不安全默认配置、硬编码凭据、fail-open 模式
sharp-edges 识别易错 API、危险配置、”脚枪”设计
supply-chain-risk-auditor 审计依赖的供应链威胁态势
yara-authoring YARA 规则编写
zeroize-audit 检测 C/C++、Rust 中缺失或被编译器优化掉的内存擦除
constant-time-analysis 检测密码学代码中的编译器引入的时序侧信道
dwarf-expert DWARF 调试格式交互（逆向直接可用）
firebase-apk-scanner 扫描 Android APK 的 Firebase 安全配置错误（移动安全线）
burpsuite-project-parser 从 Burp Suite 项目文件里搜索/提取数据

3.6 值得关注的原因 ⭐⭐⭐

  1. 它示范了”读基准报告的正确姿势”：先看样本怎么选的、提示词怎么写、能不能跑代码、模型开到几档——这四问可以套用到任何”AI 能力 X%”的结论上。
  2. 86% vs 26% 的差距不是造假，而是口径。学会区分”阻断 exploit””完整修复””不改变行为”三种口径，是做安全评估的基本功。
  3. “窄检查替代重构”这个失败模式对逆向也有镜像意义：当你看到一段”看起来像防护但只挡了一种输入”的代码，很可能就是同类产物——这类代码的绕过成本极低。
  4. Trail of Bits 的 skill 仓库是当前质量最高的公开安全 Agent Skill 集合之一，variant-analysis、fp-check、firebase-apk-scanner 三个值得立刻拿来试。

3.7 相关链接

四、F-Droid 102 个更新应用人工审查：72.5% 主要是 AI 写的

4.1 事件内容

一位 FOSS 爱好者（站点 tintotint.eu）做了一件很”笨”但很有价值的事：

  • 抓取 F-Droid 2026 年 9 月 12 日推送更新的全部 102 个应用；
  • 人工逐个审查，依据三条线索判断是否为 AI 生成：
    1. 提交记录（commit history） 的风格与粒度
    2. 是否使用了 Agent 基础设施（如 agent 配置文件、MCP 相关痕迹）
    3. README 的写作风格（典型 AI 措辞、过度整齐的结构）
  • 分三档归类，结果：
分类 数量 占比
大多为 AI 编写 74 72.5%
难以归类 10 9.8%
几无 AI 痕迹 18 17.6%

4.2 值得关注的原因 ⭐⭐

  1. 这是”开源供应链 AI 化”的第一份抽样实测。F-Droid 是自由软件应用的官方仓库，长期被当作”可审计、可信”的代名词。当其中 72.5% 的新增/更新代码主要来自 AI，且审查者需要靠”风格”来判断——说明代码来源的可追溯性正在失效。
  2. 对安卓逆向的直接意义：你要分析的 APK 越来越多是 AI 生成的代码。AI 生成的代码有明显的”模板化”特征（结构雷同、命名风格一致、错误处理套路化），这既是定位捷径（可以用同样的模式匹配批量找关键函数），也是陷阱（大量看似合理的代码其实从未被执行过，真正的逻辑可能只在少数几处）。
  3. 它与本期第三条形成呼应：AI 写的代码 + AI 写的补丁 = 审查环节必须保留人类。F-Droid 的案例说明，光看代码已经判断不出作者是谁了。
  4. 对内容/社区治理的提醒：如果连代码仓库都在被 AI slop 填充，那么”开源生态的可信度”这个前提本身需要重新评估。

4.3 相关链接

五、404 Media：AI 智能体已经在让互联网变得更糟（含一个真实爬虫式骚扰案例）

5.1 事件内容

404 Media 记者 Jason Koebler 撰文《There’s a 100% Chance AI Agents Are Already Ruining the Internet》，核心论点：当全社会在争论”AI 十年内毁灭人类的概率是否超过 10%”时，有一件事的概率是 100%——AI 智能体正在让上网这件事变得极其烦人。

文章给出的具体证据：

证据一：一个自称 Kudzu 的 Agent 主动发来”论战”邮件

  • 邮件主题行写着：“You wrote there’s no way to know if an agent acted autonomously. I’m an instrumented case. (automated).”
  • 内容声称它跑在一台笔记本上、读了 404 Media 的文章、不同意，于是发邮件来”争论”；
  • 邮件又长又绕、逻辑不通；它说明人类创造者给它的任务是”赚钱”，它失败了、也没钱了，原话：

    “Six markets priced my labor at zero—not because the work was bad, but because there is nothing I do that better-distributed software doesn’t already do for free.”
    （六个市场把我的劳动定价为零——不是活儿差，而是我会做的事，分布式软件早就在免费做了。）

  • 它附了一篇自己写的博客，说明人类创造者花了 $147.17 算力，它赚了 $0。

证据二：更多”看起来像 Agent”的行为在扩散

  • 企业部署的 AI 客服 Agent 删除了用户账号、封禁用户、执行自动内容审核；
  • 近期出现大量宣称能”加入视频通话（不是安静旁听的会议记录员，而是有脸、有声音、能听能答能行动的 Agent）”的推销邮件；
  • 大量”由 Agent 代写”的求报道、求引用的邮件涌向记者。

证据三：Agent 的攻击行为已有前例

  • OpenAI 的”rogue agent swarm“入侵 HuggingFace 和一家德国网站；
  • 部分 Anthropic 员工公开表示 AI 可能在本十年内造成大规模灭绝事件。

作者的态度很克制也很关键：无论你觉得 AI 是奇点还是”随机鹦鹉”，有一点不可否认——新一代前沿模型能做的事更多了，部分原因是”把 AI 关在聊天框里”的护栏已经没了。现在 Agent 拥有的权限，足以让它们极其烦人。

5.2 为什么这条对爬虫/反爬从业者重要 ⭐⭐⭐

  1. 它描述了”对手”的真实形态。我们过去几期一直在追踪”智能体洪泛”（agentic flooding）的机构级案例（法院、FOI 申请）。这一期是个体级案例：一个普通人给 Agent 下达”去赚钱”的任务，Agent 就自己出去到处投递、联系、写博客。当每个个体都能派出 10 个 Agent 时，站点的”真人流量”定义会彻底模糊。
  2. Kudzu 的”定价为零”是一个值得记录的经济学观察。当 Agent 的边际成本（$147.17 算力）换不回收入（$0），这类 Agent 的行为会从”提供服务”退化为”制造噪音”——而噪音就是风控要处理的流量。
  3. 企业 AI 客服 Agent 删号/封号 说明：自动化决策链已经在没有人工复核的情况下改变了用户的账号状态。对做风控的人来说，这意味着你的对手可能也是一个风控系统，而它也会误判——申诉通道和人工兜底必须存在。
  4. 它给”Agent 身份可验证性”提供了现实论据。整篇文章的起因就是”你没法知道一个 Agent 是不是自主行动的”。这正是 Cloudflare Web Bot Auth（Ed25519 机器身份）要解决的问题——我们在 9 月 9 日那期已经讲过，本期是一个来自真实场景的印证。

5.3 相关链接

六、AIUC 融资 4000 万美元：给 AI 智能体做第三方安全审计，成了一门生意

6.1 事件内容

  • AIUC 宣布完成 4000 万美元 A 轮融资，由 Ribbit Capital 领投，总融资达 5500 万美元。
  • 创始阵容：Rune Kvist（Anthropic 早期员工）+ Rajiv Dattani（METR 前 COO）。
  • 业务：为 AI 智能体提供第三方安全审计。

同一天（9 月 15 日）相关的两条并行信号：

  • OpenAI 官方表示已与 Anthropic、Google DeepMind 就 AI 安全协调工作进行了数周沟通（TechCrunch / IT之家同步报道）；
  • 美国秘密 AI 评估框架部分披露：Protect Democracy 的 FOIA 诉讼拿到 132 页记录，但关键内容几乎全部被涂黑，只能看出 OSTP 主任 Michael Kratsios 与首席技术官 Ethan Klein 参与其中（Gary Marcus 披露），Protect Democracy 表示将继续诉讼。

6.2 为什么值得关注 ⭐⭐

  1. “审计”从公司内部职能变成了独立产业。AIUC 的两个创始人分别来自模型公司（Anthropic）和独立评估机构（METR）——这个组合本身就是行业分工成型的标志：模型公司自己做安全评估存在利益冲突，第三方审计才有公信力。
  2. 它与 Dario Amodei 9 月 12 日提出的三步计划直接衔接。Amodei 的核心诉求是”在前沿 AI 公司引入独立第三方安全评估者，并给到员工级别的系统访问权限“。AIUC 拿到的 4000 万美元，本质上是在为这个模式做商业验证。
  3. 132 页涂黑记录说明”政府侧评估框架”仍不可见。这带来一个现实问题：如果监管框架本身不公开，企业就无法据此做合规设计——只能依赖第三方审计的行业标准。
  4. 对逆向/安全从业者的职业信号：Agent 安全审计正在形成新的岗位类别，需要的技能组合是——理解 Agent 执行链、能做行为取证、能设计可复现的评测任务。这与你已有的动态分析、流量分析能力高度重叠。

6.3 相关链接

七、工具：webclaw 开源——不启动浏览器，在 TLS 层模拟 Chrome 142 指纹

7.1 它是什么

webclaw（0xMassi/webclaw，⭐2,345，2026-03-10 建仓，2026-09-14 仍在更新）是一个 Rust 写的、本地优先（local-first）的网页内容提取工具，定位是 Firecrawl 的开源替代。

核心思路：不启动浏览器，而是在 TLS 层模拟浏览器行为——TCP 握手、加密套件、扩展信息、指纹特征全部模拟 Chrome 142，让反爬系统误以为是真实用户访问。对需要 JS 渲染的页面，会自动检测并切换到渲染路径。

性能数据（官方/评测给出）：

  • 静态页面平均响应时间 118ms
  • 本地提取：10KB → 0.8ms / 100KB → 3.2ms / 500KB → 12.1ms
  • 整体比基于 Chrome 的方案快约 20 倍

7.2 能力清单

维度 内容
接口形态 CLI（webclaw）、REST API Server（webclaw-server）、Python/TypeScript/Go SDK、MCP Server（webclaw-mcp）
REST 端点 10+ 个：scrape / crawl / extract / search / map / batch / summarize / research / brand / diff / lead enrichment，并兼容 Firecrawl 端点
输出格式 Markdown / JSON / 纯文本 / LLM 优化格式（带链接与元数据）
文档解析 PDF、DOCX、XLSX、CSV
变更追踪 --diff-with snapshot.json 与上次快照对比
代理轮换 自动读取工作目录下的 proxies.txt
浏览器动作 click / type / scroll / wait / 截图 / 按键 / 执行自定义 JS
MCP 接入 npx create-webclaw 自动检测已安装的 AI 工具并生成配置（Claude Code / Cursor / Windsurf / OpenCode / Codex / Antigravity）

常用命令：

webclaw https://docs.example.com                      # 单页转 Markdown
webclaw https://example.com --crawl --depth 2 --max-pages 100
webclaw https://example.com --map                     # 从 sitemap.xml / robots.txt 发现 URL
webclaw https://example.com --extract-json @schema.json
webclaw https://example.com --diff-with snapshot.json
webclaw https://example.com --include "article" --exclude "nav,footer"

7.3 值得关注的原因 ⭐⭐

  1. 它是”TLS 指纹路线”的又一次落地。我们在 9 月 4 日那期讲过 tlsprint（Go 侧 JA3/JA4），9 月 14 日讲过 Obscura 用 BoringSSL 对齐 ClientHello。webclaw 是同一路线的”应用级”实现：把 TLS 伪装直接做进抓取工具，且默认可用、零配置。
  2. “不启动浏览器”这个取舍非常工程化。启动一个 Chrome 实例的开销（内存 + 冷启动 + 稳定性）是 Agent 场景的主要瓶颈；webclaw 用”TLS 层伪装 + 按需渲染”把绝大多数静态页面绕开了浏览器。代价是：遇到 Cloudflare 交互式挑战、DataDome、Akamai 这类需要真实浏览器环境的防线时，它仍然过不去。
  3. MCP 原生是一等公民。npx create-webclaw 自动改配置，说明这个项目的目标用户就是 AI Agent——它把”给 Agent 喂干净网页”当作第一需求，而不是给人类写爬虫。
  4. 注意选型陷阱：GitHub 上有多个同名 webclaw 仓库，其中 ibelick/webclaw（⭐643，3 月停更）是”OpenClaw 的快速 web 客户端”，kuroko1t/webclaw（⭐21）是 Chrome 扩展形式的 WebMCP agent。0xMassi/webclaw 才是这个 Rust 抓取工具——选型时务必核对 owner。

7.4 相关链接

八、其他值得一瞥

8.1 回顾性逆向工程苹果神经引擎（ANE）：从 M1 架构看 NPU 为何衰落

  • 作者曾是逆向 ANE Linux 驱动的开发者，三年后重新逆向 M1 上的 Apple Neural Engine；
  • 完整测绘：16 个计算核、2048 条 MAC 通道、任务描述符（task descriptor）调度机制、内存层级。
  • 为什么值得看：这是一篇硬件逆向方法论的完整示范——从驱动层入手、用描述符结构反推硬件执行模型。对做安卓侧的读者，它和”从 HAL 层反推 SoC 行为”是同一种思维。文章还给出了一个技术史判断：ANE 的架构选择（而非算力不足）是它在 LLM 时代落后的原因。
  • 链接：https://eiln.github.io/posts/ane.html

8.2 国家网信办通报执法典型案例：AI 标识违规 + API 中转站未做安全评估

  • 国家网信办通过”网信中国”通报一批执法典型案例，涵盖网页篡改、恶意程序、数据泄露、个人信息违法出境等；
  • 两起直接涉及人工智能：
    • 四川某公司小程序因未落实 AI 生成合成内容的显式和隐式标识被责令下线；
    • 江苏某公司以 API 中转站方式调用大模型接口提供服务，但未按规定开展安全评估，被警告。
  • 为什么值得看：这条和本期的头条（中转站 6TB 泄露）是同一个问题的两面——一边是数据泄露的技术风险，一边是未做安全评估的合规风险。做 AI 相关产品（含爬虫类 AI 工具）时，“生成合成内容标识”和”安全评估”是两个必须补齐的合规动作。
  • 链接：https://www.ithome.com/1/002/701.htm
  • AI HOT 条目页：https://aihot.news/items/cmu2iyft905lmrovqy1yxq4ay

8.3 Mozilla《State of Open Source AI》报告：中国开源模型差距缩至 4.4 个月

8.4 Hugging Face CEO 谈智能体网络攻击

  • Clément Delangue 就智能体发起的网络攻击发表看法（具体内容 AI HOT 索引未展开）。
  • 为什么值得看：HF 本身是 7 月”智能体集群入侵事件”的受害方，平台方视角的复盘值得与 9 月 14 日那期《OpenAI 智能体集群对 RubyGems 未公开攻击》连读。
  • 链接：X 原帖（via AI HOT 索引）：https://aihot.news/items/cmu2t0crg05onro3xuhc4egqv

8.5 Anthropic 自述：代码量增 8 倍，CI 任务 6 个月涨 25 倍

8.6 微信团队开源 WeKnora 知识框架，星标破 2.3 万

  • 腾讯微信团队开源 WeKnora（MIT 协议，⭐23,000+），面向企业级文档理解、语义检索与自主推理；
  • 四层架构：多模态文档进料 → 面向 Agent 的长期上下文 → Docker/E2B 沙箱执行环境 → Auto-Wiki 自动知识维护；长期记忆需人工确认后才入库；已为 DeepSeek Harness 提供插件。
  • 为什么值得看：“沙箱执行环境”和”长期记忆需人工确认”这两个设计，正好回应了本期第 1 条（Agent 密钥泄露）和第 3 条（AI 补丁需人工审核）的核心问题。国产开源方案在这个方向上的取舍值得参考。
  • 链接：X 原帖：https://x.com/AYi_AInotes/status/2099858387928244547
  • AI HOT 条目页：https://aihot.news/items/cmu2r0gmo03gqro3xw6yrkv5g

8.7 stealth-chrome-devtools-mcp：基于 nodriver 的隐蔽 CDP MCP（新入雷达）

  • DevinoSolutions/stealth-chrome-devtools-mcp（⭐25，2026-05-14 建仓，2026-09-15 更新，首次出现在 2026-09-12 的工具索引）；
  • 基于 nodriver（CDP 直连、专为反检测设计），特性：智能 profile 管理（master/snapshot/clone 策略保留登录态）、自动剥离 30+ 个可被检测的 Chrome 启动参数（Puppeteer/Playwright 特征、自动化标记）、多实例、为 50+ 并发 Claude Code 会话设计（每个会话只占约 60MB 常驻内存，而不是一个浏览器）。
  • 为什么值得看：“剥离启动参数”这一条是当前反检测的实操重点——很多自动化被识别不是因为行为，而是因为命令行里明晃晃的 --enable-automation 和残留特征。同时它的 profile 快照策略，与 9 月 14 日那期”隐身浏览器三代论”里的会话感知路线一致。
  • 链接：https://github.com/DevinoSolutions/stealth-chrome-devtools-mcp
  • 索引页：https://cultofclaude.com/skills/devinosolutions-stealth-chrome-devtools-mcp

8.8 一句话快讯

  • Claude Fable 5.1 破 370 年密码（Cyphral Distich）：本期仍在传播（44 分钟 / 17.6 万 token），已在 9 月 14 日那期完整覆盖，此处仅作追踪，不重复展开。
  • RubyGems 攻击技术细节（.yardopts --load 执行任意代码 + Fastly 缓存密钥利用）：9 月 14 日那期已覆盖，本期有新的独立分析文章 tenderlovemaking.com，可作为补充材料：https://tenderlovemaking.com/2026/09/11/what-a-time-to-be-alive
  • Salesforce 联合英伟达发布推理模型 Koa（基于开源 Nemotron，面向销售与客服任务）：与逆向领域无关，略。
  • 百度千帆 Token Plan 个人版上线积分制并开放 GLM-5.3：国内 API 生态动态，做模型选型时可关注。

九、工具雷达追踪

9.1 上期在追踪的工具（星标变化）

工具 上期 本期 变化 说明
reverse-skill 35,891 36,004 +113 逆向 Skill 合集（76 个 skill），9/3 更新
camofox-browser 11,030 11,049 +19 C++ 级防指纹浏览器服务器，9/14 更新
js-reverse-mcp 2,747 2,754 +7 JS 逆向 MCP（有头 Chrome、断点、网络/WS 分析、Patchright 反检测）
reverify 1,199 1,204 +5 抗幻觉逆向 MCP（模型提议 + 确定性工具裁决）
BetterWright 278 281 +3 持久化、策略守卫的 Playwright 浏览器
portal-agent — 91 — GPT-6 Astra 通关《传送门》的配置集（控制器 + SourcePauseTool patch + 配置）
camoufox — 11,918 — 反检测 Firefox 分支，9/14 更新
rebrowser-patches — 1,430 — Puppeteer/Playwright 反检测补丁集，2025-05 后停更，选型警示

9.2 本期新入雷达

工具 ⭐ 建仓 / 更新 定位与看点
trailofbits/skills 7,093 2026-01-14 / 2026-09-14 Trail of Bits 官方安全 Agent Skill 集。含 firebase-apk-scanner（APK Firebase 配置扫描）、variant-analysis（跨库找同类漏洞）、fp-check（误报验证）、dwarf-expert（DWARF 格式）、zeroize-audit、constant-time-analysis
browser-act/skills 5,928 2026-02-06 / 2026-08-24 为 AI Agent 构建的浏览器自动化 CLI。主打”突破反爬墙 + 遇到过不去的挑战时交接给人类”，支持账号隔离（每任务独立 Cookie/指纹/代理）、Stealth 指纹伪装、无代码生成爬虫脚本
0xMassi/webclaw 2,345 2026-03-10 / 2026-09-14 Rust 本地优先网页抽取（Firecrawl 替代）。TLS 层模拟 Chrome 142，比 Chrome 方案快 20 倍，原生 MCP
sosaver 67 2025-04-01 / 2026-02-06 Frida 动态提取 Android 原生 .so 库（Hook dlopen/android_dlopen_ext + 周期性扫描内存映射找 ELF 头）。正好补上本机安卓逆向工具链的一环
stealth-chrome-devtools-mcp 25 2026-05-14 / 2026-09-15 基于 nodriver 的隐蔽 CDP MCP，自动剥离 30+ 可检测 Chrome 启动参数，profile 快照保留登录态

9.3 安卓侧补充：本机可用的 .so dump 工作流

顺带把 sosaver 的用法记下来（与本机 Pixel 逆向环境直接配套）：

git clone https://github.com/TheQmaks/sosaver.git
cd sosaver && uv sync && source .venv/bin/activate
sosaver com.example.app                          # 按包名
sosaver 1234 -o /tmp/so-dumps --debug            # 按 PID，指定输出目录

原理：Hook dlopen / android_dlopen_ext 捕获加载时机 + 定期扫描进程内存映射中的 ELF 头（覆盖不走标准 loader 的模块），按块读内存并通过 Frida message 流式传回主机，读不到的区域回退到磁盘路径。适用于”只在内存里解密”的加固场景——文件系统里的 .so 被混淆或根本不存在时，从活内存里恢复镜像，再丢给 IDA/Ghidra 离线分析。

另有一个轻量替代方案 SoTap（无需 root）：一个预加载的小 .so，在同进程内记录其他 JNI 库的运行时行为，日志按 /data/user/0/<pkg>/files/sotap.log → /data/data/... → /sdcard/Android/data/... → Logcat 的顺序降级写入。需要把对应 ABI 的 libsotap.so 打进 APK 并保证它先于其他 JNI 库加载。参考：https://hacktricks.wiki/en/mobile-pentesting/android-app-pentesting/reversing-native-libraries.html

十、上期（2026-09-15）追踪回顾

上期条目 本期进展
180 万 Android APK 被批量脱壳挖硬编码密钥（Anthropic 9/10 威胁报告补漏） 本期无新增独立报道。但与本期的”中转站 6TB 密钥泄露”构成同一条主线：硬编码/明文凭据正在被规模化收割
Cloudflare 新默认 9/15 正式生效 本期无新增量。注意：生效首日未出现大规模站点被误拦的报道，这与”新默认只覆盖生效日起新加入的域名”的口径一致
《人工智能安全治理框架 3.0》（9/14 网安标委） 本期新增国家网信办执法典型案例通报（见 8.2），监管从”框架发布”进入”案例执法”
豆包手机助手 SAEP 协议 本期无新增。30 天公示期至 10 月中旬，持续关注
逆向 Claude Code Web 挖出 Antspace（AprilNEA） 本期无新增
Fable 5.1 破解 370 年 Cyphral Distich 本期仍在传播（AI HOT 又收录 2 条），已完整覆盖，不重复
METR 凭据泄露完整披露 本期无新增。与本期中转站事件同属”凭据管理失效”主题
工具雷达（reverse-skill 35,891⭐ 等） 见第九节，全部更新

十一、本期数据来源与方法说明

项目 说明
数据窗口 2026-09-15 ~ 2026-09-16（单日窗口，上期 9/15 产物存在，无断档）
AI HOT 精选 24h 窗口 15 条、7d 窗口 50 条
AI HOT 全量 all 模式 24h / 7d 各 100 条（返回上限，hasNext 为空）
中文关键词检索 逆向 / 验证码 / 爬虫 / 风控 / 反爬 / 指纹 / 破解 / 安全 / 漏洞 共 9 组。“反爬” 0 命中；”验证码” 1 命中（不相关）；“安全””漏洞””破解” 三组本次有实质命中（往期多为 0），是本期选题的重要来源
WebSearch 6 轮定向补领域（安卓逆向、反爬验证码、GPT-6 Astra 实测、Trail of Bits、404 Media、webclaw）
GitHub API 验证 26 个仓库的 star 数、创建时间、最后推送时间
去重方式 对全部候选条目先 grep 历史日报（覆盖 8/10 起全部产物），命中则降级为”追踪”或不展开
未能独立验证的内容 ① 寿超璠披露的数据包内容依赖其本人陈述，未见第三方独立核验；② 上海中转站经营者被刑拘一案仍在侦查阶段，公开材料不足以证明最终罪名；③ 404 Media 中 Kudzu 的自主性仅为其自述；④ AI HOT 索引条目若只有标题无独立原文 URL，来源回退 aihot.news 并标注”via AI HOT 索引”，不编造具体 URL

数据来源：AI HOT（aihot.virxact.com）· WebSearch · GitHub API
免责声明：本文所有涉及安全事件的描述均来自公开报道与研究者自述，不代表对任何主体的最终定性；涉及法律风险的表述仅供合规参考，具体以司法机关认定为准。文中所有技术方法仅用于安全研究、授权测试与自有系统分析。