Back in Black (Hat): Here’s What Stole the Show

Jay Radcliffe 在 Black Hat 2011 上演示入侵胰岛素泵后，医疗设备安全引发热议。作者强调 FDA 立场：医疗器械网络安全是厂商与使用机构共同的责任。使用机构应确保设备（如运行 Windows 的设备）有可执行的更新机制，并明确维护责任部门，可关注 HIMSS 医疗设备安全工作组与 FDA 指导草案。

Bugcrowd 推出 Savant Forge，将模糊测试与符号执行相结合并持续集成到 CI/CD 流水线，为每个缺陷提供可工作的漏洞利用用例、优先级评分与回归测试以降低误报；配套的 Savant Runtime 跟踪生产环境实际运行的第三方组件，误报减少 80%，支撑 SBOM 合规。

NetSPI 在 Black Hat 与 DEF CON 的研究表明，z/OS Unix 是常被忽视的大型机攻击面，认证用户可经多条路径获得 APF 授权代码执行与 UID 0 权限。

NetSPI 团队回顾 Black Hat USA 2024 四大主题：500 美元开源激光硬件攻击工具引发关注，EASM 搭配 CAASM 推进 CTEM 落地成为热点，两场演讲与 DEF CON 32 的三场技术分享展示了研究实力。

GrammaTech 客座文章指出 DevSecOps 的盲区：即使 SAST（如 CodeSonar）、自动化测试与 MR 卡点齐备，也少有人从攻击者视角审视技术栈；渗透测试思维正是补齐这一缺口的关键。

API 用量激增而安全投入滞后：2023 版 OWASP API Security Top 10 中 BOLA 与失效身份验证仍居前列；作者强调 API 应作为独立对象测试，自动化扫描覆盖不足时需人工渗透测试补位。