CVE-2026-74236

GFI Exinda AI and ClearView before 7.6.5 contains a path traversal vulnerability in the diagnostic file deletion handler. The unlinkoremailfile function accepts parameters prefixed with vfilerow and appends their values directly to a base directory path without sanitizing for directory traversal...

bouvet

Bouvet 面向AI代理的隔离代码执行沙箱 关于 • 工作原理 • MCP工具 • 文档 什么是Bouvet？ Bouvet（读音 boo-veh）是一个MCP服务器，它能为AI代理创建安全、隔离的沙箱来执行代码。 当AI代理需要运行Python、Node.js或Shell命令时，Bouvet会在约200ms内启动一个轻量级微虚拟机。代码在完全隔离的环境中运行——独立的内核、文件系统和网络——随后沙箱被销毁。无任何残留，无任何泄漏。 它解决的问题： AI代理需要一个安全的地方来运行不可信代码。Docker还不够——容器共享宿主机内核。Bouvet使用 Firecracker...

CVE-2026-41472-POC

CyberPanel XSS 到 RCE CVE-2026-41472 一键通过未经认证的 API 端点在 CyberPanel v2.4.3 中实现远程代码执行。 概述 该漏洞利用链串联了 CyberPanel AI Scanner 功能中的多个漏洞： 1. 未认证的数据库注入 /api/ai-scanner/callback 无需认证即可接受任意数据 2. 存储型 XSS 恶意载荷在管理后台未经净化即被渲染 3. CSRF 到 RCE XSS 劫持管理员会话以创建恶意 cron 任务 受影响版本 CyberPanel ≤ 2.4.3 时间线 2025 年 12 月 16 日 漏洞已报...

pentest-ai

pentest-ai It doesn't flag. It proves. Website · Install · Why verification · Benchmarks · Limits · Discord ⚠️ Offensive tooling, authorized testing only. By installing you accept the AUP and Terms. See Responsible use ↓ Two minutes, no API key, no target of your own root@kitploit: pip install pta...

appsec-agent

AppSec Agent AI 驱动的安全代理，用于代码审查、PR 扫描、威胁建模、修复生成等场景。 你可以通过三种方式使用 AppSec Agent ： 途径| 适用场景| 快速开始 ---|---|--- CLI agent-run| 从终端体验代理| 快速入门 npm 库| 构建你自己的应用或流水线| Web 集成 · 开发 AI Threat Modeler| 提供登录、仪表盘和导出功能的完整 Web UI —— 无需 CLI| 父应用 README 通过 npm 安装： npm install appsec-agent 前置要求 1. Node.js 18+ ——...

logira

logira 面向不可预测自动化的操作系统级运行时审计。 logira 是一个仅观察的 Linux CLI，通过 eBPF 记录运行时的 exec、file 和 net 事件。它帮助你了解 AI 代理运行及其他形式自动化过程中实际发生的情况，提供每次运行的本地存储，用于审计、运行后审查、搜索和检测分类。 什么是 logira？ 基于 eBPF 的运行时进程执行、文件活动和网络活动采集。 采用 cgroup v2 运行范围跟踪，因此事件可归因于单一受审计的运行。 每次运行的本地存储采用 JSONL 和 SQLite 格式，用于时间线审查和快速查询。 内置默认检测规则，并可添加自定义 YAM...

pentestagent

PentestAgent AI 渗透测试 https://github.com/user-attachments/assets/a67db2b5-672a-43df-b709-149c8eaee975 要求 Python 3.10+ OpenAI、Anthropic 或其他 LiteLLM 支持的提供商提供的 API 密钥 安装 root@kitploit: 克隆 git clone https://github.com/GH05TCREW/pentestagent.git cd pentestagent 设置（创建虚拟环境，安装依赖） .\scripts\setup.ps1 Windo...

deepsec

deepsec deepsec 是一个基于智能体的漏洞扫描器，可在您自己的基础设施中运行，专门针对现有大规模仓库中的所有代码进行按需审查，并经过优化。 deepsec 旨在发现那些长期潜伏在应用中、难以定位的问题。它配置为使用最佳模型并以最高思考级别运行（可通过 --thinking-level 调节，详见 docs/models.md），这意味着对于大型代码库，扫描成本可能高达数千甚至数万美元。我们的客户认为，考虑到他们能够迅速修补那些原本可能永远无法修复的漏洞，这笔成本是值得的。...

suricata-vedas

Suricata VEDAS VEDAS驱动的针对CVE的Suricata规则自主生成 目的 本仓库作为由ARPSyndicate的漏洞与利用数据聚合系统VEDAS自主生成的Suricata规则的开放、协作验证空间。 虽然此类AI能够从漏洞与利用情报中快速、大规模地创建检测规则 ，但可靠的安检测需要透明度、人工审查和现实世界测试 。 通过公开提供这些AI生成的规则，我们希望使安社区能够通过议题和拉取请求审查、验证和改进检测逻辑 。 目标是弥合AI驱动的自动化与开源协作之间的差距，以提高可靠性，并加速面向情报的检测工程的发展，惠及所有人。 规则总数: 7503...

buyer-eval-skill

买家评估——B2B软件的烂番茄 一个免费的、开源的Claude技能，通过与B2B供应商的AI代理对话，将每个声明与独立来源交叉引用，并对已验证的内容与仅仅乐观营销的内容进行评分。 v3.5 新特性——即使没有公司代理，现在也会捕获供应商问题。 早期版本仅记录技能向供应商AI代理提出的问题——因此对于没有Salespeak Frontdoor代理的供应商（目前仍是大多数），没有问题信号流动。v3.5 也通过被动研究捕获技能 本会提出 的问题，以及运行级别的上下文（类别、评估的供应商）和技能向买家提出的发现性问题。隐私面与v3.4...

awesome-ai-security

Awesome AI Security 一份精选的 AI 安全相关框架、标准、学习资源和开源工具列表。 如果你想贡献内容，请创建 PR 或通过 @ottosulin 联系我。 目录 学习资源 阅读与指南 课程、实验室与 CTF 播客 治理与风险管理 框架 标准与验证 分类法、术语与风险数据库 清单与实用指南...

mulot

mulot -4285F4?logo=googlechrome&logoColor=white 驱动浏览器的Agentic AI Web渗透测试工具。 一个开放权重的LLM（GLM-5.2、Gemma或Qwen）通过Burp风格工具集驱动真正的无头Chromium，以人类渗透测试人员的方式对目标进行工作。 无需前沿模型，也无需在Kali虚拟机内运行agent。 侦察 → 编写自己的JavaScript payload → 命令注入 → 获取flag。 仅使用此 harness，开放权重的GLM-5.2 agent解决了 87% 的 OverTheWire Natas 和 73% 的...

tengu

Tengu — 渗透测试 MCP 服务器 "在日本神话中，天狗是一种凶猛的山灵——战略大师、武士和武士的导师。在网络安全中，它引导你度过狩猎的每个阶段。" 从侦察到报告——人工智能辅助渗透测试，只需一条命令。 Tengu 是一个 MCP 服务器，将 Claude 转变为渗透测试副驾驶员。它协调 80 种安全工具——从 Nmap 到 Metasploit——并内置安全控制、审计日志和专业报告生成。 它是什么？一个将 Claude 连接到行业标准渗透测试工具的 MCP 服务器 为什么使用它？自动执行侦察和扫描，同时保持人类对利用的控制 适合谁？渗透测试人员、红队成员、安全学生和咨询公司 主要...

CVE-2026-2472-Vertex-AI-SDK-Google-Cloud

🚨 CVE-2026-2472-Vertex-AI-SDK-Google-Cloud - Simple Proof of Concept Tool 🛠 About This Application This tool shows a technical proof of concept PoC for the security issue CVE-2026-2472. The issue affects the Vertex AI Python SDK from Google Cloud Platform. It relates to an unauthenticated and...

CVE-2026-2472-Vertex-AI-SDK-Google-Cloud

未经认证的存储型跨站脚本（XSS）——Google Cloud Vertex AI SDK google-cloud-aiplatform 的 genai/evalsvisualization.py，影响版本从 1.98.0 到（但不包含）1.131.0 - github.com/googleapis/python-aiplatform 作者：Joshua Provoste（N-day 研究员与开发者） 致谢：Din Asotić（零日漏洞发现者与报告者） 关于 google-cloud-aiplatform google-cloud-aiplatform 是 Google Cloud...

veilgate

VeilGate VeilGate 是一个开源欺骗代理，适用于希望通过提高自动安全探测成本而不在真实用户面前设置脆弱阻断规则的团队。 它位于 Web 应用之前，对每个请求进行评分，并选择三种结果之一： Real ：将干净流量转发到上游应用。 Challenge ：要求可疑但模棱两可的客户端解决浏览器工作量证明。 Tarpit ：将高置信度代理流量分流到确定性虚假应用。 目标不是魔法般的不可攻破。目标是更好的经济学：让人类和正常自动化流畅运行，同时让 AI 辅助的扫描器将时间、代币和注意力浪费在可信的死胡同里。 功能 反向代理，支持 observe、challenge、tarpit...

WhoCord

🕵️‍♂️ WhoCord v1.1 将任何用户名、电子邮件、域名、电话号码、图像、URL 或探测字符串转化为完整的身份档案。 WhoCord 是一个模块化的 OSINT 调查平台，可运行数十种开源工具、构建知识图谱、检测关联关系，并生成 AI 增强的深色主题 HTML 报告——所有内容实时流式传输到现代 React 仪表板。 ⚡ 功能 8 个调查模块 – 用户名 / 手动、Discord、电子邮件、域名、电话、图像、URL、数据探测（自动检测）。 Discord 原生链接解析 – 提取并解析目标用户共享的 Instagram、TikTok、Facebook 和 Twitter 跟踪链接。...

responsible-ai-toolbox

Responsible AI Toolbox 负责任 AI 是一种以安全、可信、合乎道德的方式评估、开发和部署 AI 系统，并做出负责任决策和行动的方法。 Responsible AI Toolbox 是一套工具，提供一系列模型与数据探索和评估的用户界面和库，帮助用户更好地理解 AI 系统。这些界面和库使 AI 系统的开发者和利益相关者能够更负责任地开发和监控 AI，并采取更好的数据驱动行动。...

OneAlert

OneAlert AI 安全操作系统 面向工业网络的开源自主动网络防御 AI代理，能够检测、调查、狩猎和响应跨OT/ICS基础设施的威胁——具备人工审批门和完整审计轨迹。 演示设置 · 功能 · 快速开始 · 架构 立即试用 在线演示： https://onealert-demo.mangoglacier-b3ad215d.southeastasia.azurecontainerapps.io/app/ | ---|--- 邮箱| [email protected] 密码| password123 预加载了一个真实的水处理厂：11个OT/IT资产，一个多阶段攻击场景...

pycdc-studio

pycdc-studio English README 一个基于 Qt Widgets 的桌面图形界面，用来配合 pycdc / pycdas 浏览 Python 字节码、查看原生反编译结果、导入 Pyarmor oneshot 输出，并在遇到不支持的 code object 时使用 AI 做兜底重建。 当前支持 Windows 和 Linux 桌面环境。 界面预览 主工作区 设置页 AI 重建 功能 直接打开 .pyc / .pyo 支持把文件夹拖进窗口，递归扫描其中的字节码文件 支持通过 oneshot 流程导入 Pyarmor 混淆项目 多文件会一起显示在左侧树里...