从渗透测试到持续安全：Pixels 的转型之路

在全球监管趋严、多地已将智能合约独立审计纳入牌照要求的背景下，CertiK 宣布加入 Linux 基金会旗下 LF Decentralized Trust，把形式化验证与企业级安全经验注入开源区块链基础设施，推动行业标准建设。

延续 Azure 托管标识提权研究：汇总从 Azure Portal、CLI、VM 托管标识、Automation RunAs 账户与 Cloud Shell 收集 OAuth Bearer Token 的方法，并新增 MicroBurst 脚本调用 REST API 枚举资源或提权。

在对线上应用开展攻击性测试前应先敲定的事项：范围、时机、速率、允许的操作，以及哪些问题应留给预发布环境去回答。

持续安全案例：Borg 与 Banana Gun 两年多的「前置安全」（FDS）合作——随产品与基础设施演进连续开展攻击性测试，而非一年一次的固定渗透。

Trail of Bits 指出，1Password 这份有缺陷的基准测试歪曲了 AI 补丁质量：将错误修复的提示词和未测试的试验轮次都计入了 26% 干净修复率的头条数字，并发布了两个 agent skills 用于生成更高质量的修复。

SaaS 威胁更新：UNC6040（ShinyHunters/Scattered Spider）以凭据攻击与 OAuth 钓鱼为主；疑似国家级的 UNC6395 借 Salesloft 波及 700+ 客户。