[CVE-2025-7775] 桌面级 AI 超级计算机与自动化网络攻击

Bishop Fox 详解 Citrix NetScaler ADC 与 Gateway 的未认证越界内存读取漏洞（CVE-2023-6549）：攻击者可读取设备进程内存、泄露此前的 HTTP 请求体，建议按 Citrix 公告 CTX584986 尽快升级。

Barrett Darnell 讲述 Bishop Fox 的 CAST 团队如何研判 Citrix 的 11 个 CVE 威胁波：确认客户管理接口未暴露后，将 CVE-2020-8193 认证绕过漏洞降级，并向客户提供定制化的暴露评估与修复建议。

XBOW 推出自主暴露管理（Autonomous Exposure Management）：以攻击者视角、无需源码与凭据，对企业整个外部应用资产并行发起测试，为每个发现附上可复现的利用证据。企业自有应用数量往往是渗透测试覆盖量的 3–10 倍，未被测试的应用并非低风险；AI 让软件产出与漏洞发现同时变便宜，证明可利用性成为把漏洞队列转化为处置决策的关键环节。

一位渗透测试员实测发现：Claude 会拒绝编写 LSASS 转储工具，而本地运行的 DeepSeek 及去审查版 Qwen 模型可轻松生成可用的 XOR 加密 minidumper，表明借助本地 AI 绕过 EDR 已相当容易。

Bugcrowd 推出 Savant Forge，将模糊测试与符号执行相结合并持续集成到 CI/CD 流水线，为每个缺陷提供可工作的漏洞利用用例、优先级评分与回归测试以降低误报；配套的 Savant Runtime 跟踪生产环境实际运行的第三方组件，误报减少 80%，支撑 SBOM 合规。

YesWeHack 分析了 AI 渗透测试的三大安全顾虑——测试范围控制、危害避免与测试可追溯性，并介绍其 Agentic Pentest 产品如何通过设计良好的 AI 执行框架（harness）逐一化解，使 AI 能够安全地发现真实攻击路径。