一周回顾：Chrome 沙盒逃逸 0 天修复，Microsoft 向 Security Copilot 添加新的 AI 代理
快速阅读: 据《帮助网络安全》最新报道，上周科技新闻概要包括微软推出AI安全代理、谷歌修复Chrome漏洞、网络保险局限性、多款浏览器漏洞修复等。同时涉及安全工具成本、隐私保护、生物识别数据管理及全球网络安全趋势。
上周的一些有趣新闻、文章、访谈和视频的概述如下：
– **微软推出新一代AI代理，应对网络钓鱼、漏洞修复和警报疲劳**
微软正在将其新一代AI代理引入“安全协作者”，旨在帮助企业应对网络钓鱼、数据保护和身份管理等耗时的安全挑战。
– **谷歌修复国家级攻击者利用的Chrome沙箱绕过零日漏洞（CVE-2025-2783）**
谷歌正通过推送Chrome v134.0.6998.178版本，修复这一允许攻击者绕过Chrome沙箱保护的漏洞。
– **网络保险并非总能如预期般保护企业**
多数企业认为网络保险会在遭遇攻击后减轻财务负担，但许多政策存在不足，部分索赔甚至被拒或覆盖范围低于预期。CISO需提前了解相关风险。
– **英国国家网络安全中心为域名和DNS注册商提供安全指导**
英国国家网络安全中心（NCSC）发布针对域名注册商和DNS服务运营商的安全指导。
– **安全工具膨胀的隐性成本及如何解决**
Gigamon总裁兼CEO Shane Buckley在Help Net Security的访谈中指出，面对更紧缩的预算和扩展的安全堆栈，工具膨胀已成为CISO的首要任务。
– **关键Firefox、Tor浏览器沙箱逃逸漏洞已修复（CVE-2025-2857）**
Firefox开发人员在修复Chrome漏洞后，也发现了自身存在的类似问题并进行了修复。
– **深入解析《终极网络安全职业指南》**
网络安全专家兼开放技术学院教授Kim Crawley在Help Net Security的访谈中，详细解读了她的新作《终极网络安全职业指南》。
– **CrushFTP：尽快修补关键漏洞！（CVE-2025-2825）**
CrushFTP修复了一个关键漏洞，该漏洞可能允许远程未认证攻击者访问易受攻击的互联网服务器及其数据。
– **评论：大型语言模型安全开发者的操作手册**
各行业对大型语言模型的采用让安全团队面临追赶压力，许多组织在整合GenAI时未充分理解安全影响。
– **如果你认为自己不会受到网络钓鱼尝试的影响，那你就错了！**
安全顾问Troy Hunt透露，他自己也曾被精心设计的网络钓鱼邮件欺骗，导致其Mailchimp账户被盗。
– **Malwoverview：威胁狩猎的第一响应工具**
Malwoverview是一款开源工具，专为对恶意软件样本、URL、IP地址等进行初步筛选而设计。
– **Ingress-nginx漏洞可能导致Kubernetes集群接管**
Wiz研究人员发现了一系列影响Kubernetes（ingress-nginx）控制器的关键漏洞，这些漏洞可能被攻击者利用以接管整个集群。
– **Finders Keypers：开源AWS KMS密钥使用查找器**
Finders Keypers是一款开源工具，用于分析当前AWS KMS密钥的使用情况，支持客户管理和AWS托管的密钥。
– **关键Next.js授权绕过漏洞使Web应用面临妥协（CVE-2025-29927）**
Next.js框架中的漏洞可被攻击者利用，绕过授权检查，未经授权访问敏感页面。
– **vCISO学院：将MSP和MSSP转变为网络安全强者**
尽管超过94%的服务提供商认识到对虚拟CISO服务的需求增长，但仍有超过25%的提供商缺乏相关专业知识。
– **与FamousSparrow APT组织有关的中国APT组织重新出现，能力增强**
ESET调查发现，一家美国金融服务领域的贸易集团网络遭到了来自APT组织的可疑活动。
– **敌人也有好处：RansomHub和竞争对手团伙共享EDRKillShifter工具**
勒索软件领域的重大变化表明，RansomHub已开始与其他勒索软件组织共享其工具。
– **你的数据是如何出现在暗网上的？**
暗网是一个匿名化的网络空间，但它与深网不同，用户需警惕个人信息的泄露。
– **保护你的个人信息免受数据经纪人的侵害**
数据经纪人常在未经用户同意的情况下买卖个人信息，这已成为一种商业模式。
– **如何管理和保护你的生物识别数据**
随着生物识别技术的普及，用户需更加警惕敏感数据的收集与存储。
– **当前招聘的网络安全职位：2025年3月25日**
本周提供了涵盖网络安全领域多种技能水平的职位信息。
– **白皮书：2025年的安全之声**
IDC的调查揭示了全球900位安全领导者对未来安全趋势的看法。
– **报告：财富500强员工关联账户泄露**
Enzoic研究团队发现，超过三百万个与员工关联的账户在过去三年中遭到泄露。
– **本月的信息安全产品：2025年3月**
包括1Kosmos、Alloy、Cloudflare、Cytex等多家公司在过去一个月内发布的创新产品。
– **OT系统是全球权力斗争的战略目标**
Waterfall Security数据显示，针对工业控制系统（OT）的网络攻击增幅有所放缓。
– **云服务提供商未能兑现安全承诺**
根据Arctic Wolf的数据，44%的CISO因安全问题更换了云服务提供商。
(以上内容均由Ai生成)
