今日 KeyFrame

Black Hat

• Prompt Model Executor 模式是 LLM 驅動惡意軟體的核心範式
• 惡意軟體不再靜態嵌入攻擊邏輯，而是以自然語言描述功能需求，向外部 LLM API（如 OpenAI）動態請求代碼並即時執行，使靜態分析幾乎無法識別惡意意圖。
• 外部感知模組讓 AI 對手保持與現實同步

unprompted

• 黑盒防護的根本局限：當只觀察輸入輸出時會丟失模型內部狀態的關鍵信息。安全對齐訓練在高維空間中形成「拒絕維度」，但黑盒測試無法看見此維度何時被削弱，這正是後門利用的漏洞。
• 後門攻擊的驚人簡易性：基於Anthropic研究的「500文檔原則」，講者用500條有害對話微調Llama模型，達成95% 以上攻擊成功率，整個過程僅需2小時。未觸發時該模型與原版完全無法區分。
• 現有防護各有死角：紅隊只能測試已知攻擊、護欄容易被LLM智能繞過（改變表達風格即可規避）、實時LLM評判在生產環境成本過高。三道防線都在黑盒層運作，無法偵測隱藏威脅。

unprompted

• 代理分工設計：規範化代理、狩獵規劃代理、IOC 調查代理、檢測工程師代理、修復執行代理、事件通信代理等各司其職，通過確定性編排或開放式自主鏈協作，避免單一通用代理的風險
• 人機協同核心：每個重大決策點（批准搜尋計劃、部署檢測規則、隔離主機）都由人類審查與批准，代理提出建議與執行方案，人類保持最終控制權，確保安全與合規
• 完整治理與審計：所有代理行動、API 參數、執行者、批准人、批准時間都被記錄在案，支持事後追溯責任與法規遵循，建立企業級信任機制

unprompted

• 机密计算的三层防护：使用中数据加密（TEE内透明，外部无法访问）、静态加密存储、远程证明令牌（证明你真的在合法环境运行），防护范围涵盖零日漏洞、恶意管理员、邻近租户窜访。
• CPU+GPU混合架构的演进路径：短期（现在）采用软件方案，CPU和GPU共享密钥，数据通过加密缓冲区传输；长期（1-2年）通过PCI总线硬件加密实现端到端自动保护，应用层无感知。
• 认证的职责分离原则至关重要：云服务商既提供基础设施又作为安全认证者存在利益冲突，需要第三方独立验证（如Intel Trust Authority）——金融行业称之为"四眼原则"，受监管行业必须执行。

Liam Ottley

• 開發成本結構轉變：傳統全項目開發需投入高時間與金錢成本，難以達到客戶ROI；月費模式降低客戶初期支出（$2,500-$3,000起），讓中小企業可負擔AI協助，同時減少機構運營風險。
• Claude Code改變交付方式：講者曾用OpenAI API進行自定義編碼，效率低下；Claude Code平坦化學習曲線，非技術創始人也可快速迭代原型至生產環境，單人即可承接多客戶自動化工作。
• 服務內容從交付轉向運營：初次部署時先證明價值（第一個用例到位），之後變為隊列式長期合作，客戶提需求→集成到自動化工作流→索取測試數據→規劃構建→交付運行，形成持續收費模型。

經營男不難

• 時代背景决定企業策略。過去勞動力充沛，老闆無需投資培訓；現在人力短缺，不培訓就無法做大。企業的成長瓶頸不在老闆個人能力，而在團隊質量——必須有制度化的培訓與激勵配套。
• 員工對培訓的抵觸源於「輸入無輸出」。公司支付培訓費用卻沒有升遷、加薪的承諾，員工自然進入「安靜離職」狀態。解法是透明化的規則：達成認證條件就確保晉升與薪資提升，消除信任缺口。
• 選用育評留的邏輯環節。選對人是基礎，用對人需要培訓補足，訓練後才有資格評量績效，績優者再配合薪獎與升遷留住——這是一個完整的系統，任何環節缺失都會失效。

泛科學院

• Project 解決重複交代背景的問題
• 每次開新對話都要重新說明身份、風格、專案背景是 AI 工具常見痛點，Claude 的 Project 功能讓用戶把素材、文件、自訂指令集中在同一工作空間，所有對話自動繼承上下文脈絡。
• Office 文件產出讓「搜集→分析→排版」一條龍完成

加密播客

• 局部漏洞≠協議性崩潰：Volo此次漏洞僅影響三個特定金庫，其餘Vault與2800萬美元TVL完全未受影響，這種模組化設計將損失有效隔離，說明攻擊者對協議架構有深入了解，針對性極強，而非廣撒網式攻擊。
• 自擔損失承諾的可信度需穿透審查：Volo宣稱全額賠償用戶，但未說明資金來源是保險基金、團隊自籌、外部支援或未來收益，350萬美元對任何DeFi項目都不是小數目，投資者須持續追蹤賠付資金來源與執行透明度，而非僅憑承諾安心。
• DeFi可組合性放大風險傳導：Kelp DAO事件示範了典型的連鎖崩潰——攻擊者偽造跨鏈訊息鑄造無抵押RSETH，存入AAVE借貸，引發最高2.3億美元壞帳風險，導致AAVE的TVL從264億美元崩跌至179億美元，85億美元資金恐慌撤離，說明單一協議的漏洞可透過DeFi樂高層層傳導至整個生態。

Bug Bounty Village

• RAG 架構的必然漏洞：RAG 系統為提供更多上下文故意設置區塊重疊（如 200 字符重疊於 1,000 字符區塊），開發者在檢索時必定返回多個區塊。這些區塊邊界本身就會洩露超出用戶提問所需的額外內容，成為數據竊取的切入點。
• 提示注入的有效性：通過指令劫持（要求驗證真實性、重複上下文、添加新系統指令等）可繞過系統提示防護。即使系統明確指示 LLM 「永遠不要洩露機密」，精心設計的提示仍能讓模型輸出完整的檢索區塊內容，包括元數據。
• 攻擊的真實可行性：這不是理論漏洞。演講者週一提交報告，次日被接受，CVSS 評分 8.8（嚴重級別）。哈佛、卡內基梅隆等機構的研究團隊也獨立發現並發表相同結論，證明這是 RAG 系統的系統性問題。

Agentic AI Foundation

• 智能體 AI 的架構根本矛盾在於非確定性決策者控制確定性系統。傳統 LLM 時代安全模型相對封閉（文字輸入、文字輸出），風險主要是快速注入和資料洩露；但智能體時代則完全不同，代理能規劃多步驟工作流、呼叫工具、執行程式碼、維持狀態並跨智能體協調，這使得錯誤的決策會產生真實世界的破壞性後果，而非僅是錯誤文本。
• 持久內存的級聯威脅是結構性危機。一次對內存的「投毒」可持續影響所有後續交互，影響會逐漸累積且難以檢測。在多智能體系統中更加危險，因為污染會跨智能體傳播，造成難以預測的級聯故障和系統範圍內的破毀。
• 間接提示注入是現實中最常見的攻擊途徑。攻擊者不需直接接觸智能體，只需在網頁評論、推文或文件中植入隱藏指令。智能體在檢索這些內容時會執行攻擊指令而非使用者意圖，因為 LLM 的控制通道與資料通道完全未分離——指令與資料看起來一樣，無法區分。

Djalil Ayed

• AI 供應鏈本質不同於軟體供應鏈：軟體供應鏈主要是程式碼與套件依賴；AI 供應鏈涵蓋預訓練權重、神經網路架構、訓練資料、量化過程等多個序列化層面，每一層都可被篡改。
• 轉移學習放大攻擊範圍：攻擊者若在基礎模型(Foundation Model)植入後門，後續所有基於該模型微調(Fine-tuning)的應用——客服、程式審查、醫療診斷——都會被全面入侵，而不只是單一應用。
• 攻擊層級清晰但防守不完整：模型層(序列化物件、架構邏輯)、依賴層(套件庫)、資料層(資料投毒)、基礎設施層(倉庫帳號、CI/CD 管線)各有獨立威脅，但現有自動掃描對所有層級的防護都不完整。

Ron AI 基地

• YouTube 算法已全面洗牌：冥想音樂、ASMR、寵物等舊垂類現已幾乎無法獲得推播，因為新算法以 48 小時內的初始流量作為判斷是否繼續推播的核心指標，舊內容形式無法通過門檻。
• 真人 vs AI 內容的流量差異明顯：搜尋結果顯示，六天內萬次觀看的頻道幾乎都使用真人出鏡，純 AI 生成片流量普遍偏低，但仍有個別 AI 影片（如寵物類）單片帶來千餘訂閱，說明選題比製作形式更關鍵。
• 題材選擇策略分兩軸：一軸是「長青內容」（如省錢技巧、心理學知識、歷史故事），另一軸是「時事熱潮內容」（如 Marvel 新片、熱門 IP），講者決定兩種都嘗試，以分散風險。

Kai on AI

• MoE 與 Dense 模型速度差距是決定性的：MoE 模型每秒可生成 70–125 token、首次回應不到一秒；Dense 模型每秒僅 13–17 token、首次回應需 5–6 秒，上下文一長甚至拖到 20 秒以上，導致 Dense 模型在 Agent 與編碼場景根本無法使用。
• 跑分高不等於生態成熟：Gemma 4 在編碼基準上領先 Qwen 7–10 個百分點，但剛開源時工具調用格式與 Ollama、LM Studio、oMLX 全部不相容；即使框架陸續修補，邊界情況（如路徑含特殊字元）仍會出錯，而 Qwen 社群踩坑更久、框架適配更穩定。
• 量化版本的取捨邏輯清晰：4bit 量化比 8bit 快約 40%、記憶體減半，智力損失僅 2–3%，日常感受不到差異；32G 記憶體用 4bit，64G 以上才有必要上 8bit。

波莉區塊鏈 Polly Blockchain

• 支付基礎設施正為 AI 而重建：現有刷卡、轉帳系統全為人類設計，驗證碼直接卡死 AI 操作；Google UCP 協議與 Coinbase Agenting Wallet 的推出，代表主流金融機構正式承認 AI 代理人有獨立持有與支配資金的需求。
• AI 情緒分析與自主交易已有實驗數據支撐：香港大學主導的開源 AI 交易大賽將 TradeGPT、Claude、Gemini、DeepSeek 投入真實美股市場，DeepSeek 以 10.61% 年化報酬率拿下最佳成績，直接驗證了 AI 無情緒執行的競爭優勢。
• MEV 機器人是鏈上最真實的掠食者：三明治攻擊（Sandwich Attack）利用搶先插隊手法墊高買價，JFranceSubway.eth 案例在兩週內完成 8.5 萬筆交易、燒掉 765 顆 ETH 作為 Gas fee，稅後仍淨賺逾 39.3 萬美元，說明惡意 AI 的獲利效率遠超一般散戶。

YAHA学堂

• 思維轉換：從聊天到委派任務。 Cowork 的正確心態是把它當營運長，直接交代任務並給予執行權限，而非問問題等答案，這樣才能真正解放雙手去做其他事。
• DOWN 框架決定指令品質。 模糊指令會讓 Cowork 反問或按自己邏輯執行，只要事先想清楚三個問題（做完長什麼樣、需要什麼背景、有什麼限制），多花 30 秒就能讓結果完全符合預期。
• Skills 系統讓好指令永久複用。 將精確指令存成 Markdown 模板（如 fileprocessor.md），搭配 inbox/processed/outputs/reference 四資料夾架構，形成可重複觸發的標準作業流程。

一个狠人

• 封鎖力度已從「節點」升至「機房」與「立法」：過去封的是單一 VPN 節點，現在封的是節點所在機房，同時透過 2026 年《網路犯罪防治法》將翻牆工具使用入罪，並對江蘇外貿企業啟動無整改期限的斷埠執法，讓合法商業場景成為打壓手段。
• AI 驅動的 DPI（深度封包檢測）使舊協議幾乎全滅：天購網關內建「Club AI」流水線，聲稱對 73 種 DPI 規避技術達 94% 識別率；Shadowsocks 因流量「完全隨機」過於顯眼，V2Ray 因「錄音回放漏洞」與雙層 TLS 特徵而相繼失效。
• Reality 協議的核心哲學是「抬價博弈」而非完全隱身：它不建假網站、不申請域名，而是直接借用微軟、Amazon 等大廠的真實 TLS 憑證作為對外呈現，讓防火長城封鎖時必然同時誤傷真實大廠流量，使政治與技術代價高到難以承受。

AI超元域

• Ollama 一鍵整合 Hermes：Ollama 已原生支援 Hermes Agent，用戶只需下載安裝 Ollama 並執行單一命令，即可傻瓜式啟動 Hermes 並接入免費雲端模型（如 MiniMax M2.7），完全不佔用本機 GPU 資源。
• OpenWebUI 解決聊天軟體的根本限制：大多數聊天工具無法解析 Markdown、對話記錄分散難查，OpenWebUI 原生整合 Hermes API，提供 ChatGPT 級別的介面體驗，同時支援代碼執行、語音朗讀、對話歷史全文搜尋。
• 手機端透過 LAN IP 直接存取：在手機瀏覽器輸入電腦 IP 加 8080 埠即可使用 OpenWebUI，支援上傳檔案、截圖、引用網頁與知識庫，達到聊天軟體無法實現的互動深度。

CsMadeEz

• HTTP 無狀態是認證問題的根源。 每個 HTTP 請求彼此獨立，伺服器沒有記憶，因此每次請求都必須攜帶身份證明，而不同的認證方案本質上是在解決「怎麼每次都証明自己是誰」這個問題。
• Basic Auth 的安全性完全依賴 HTTPS。 Base64 是編碼而非加密，任何人都能解碼；有了 HTTPS 整條連線加密，Base64 內容才不會被截取。它夠簡單、適合 CI/CD 或內部服務，但每次請求都帶帳密，暴露面積大，不適合公開 API。
• JWT 以數學驗簽取代資料庫查詢，但代價是無法即時撤銷。 JWT 的 Signature 由 Header + Payload 加密簽出，任何篡改都會讓驗證失敗；服務器只需運算就能驗證，不用連資料庫，天然橫向擴展。但 token 一旦發出就活在客戶端，即使帳號被盜也要等到過期才失效。

加密头条

• DVN單點配置失誤是根本原因。 Kelp DAO在部署RSETH橋接合約時，將LayerZero的去中心化驗證者網路（DVN）門檻設為1/1，而非官方建議的2/2，導致攻擊者只需讓單一節點通過即可偽造跨鏈訊息，整條防線因此一觸即潰。
• DeFi可組合性讓風險跨協議傳導。 Aave本身的智能合約、預言機與清算機制均無漏洞，卻因接受外部協議發行的RSETH作為抵押品而被波及——上游橋的信任崩塌，直接掏空了下游借貸協議的資產負債表，此為「多米諾骨牌式」風險傳導的典型案例。
• 坏帳分攤方案存在根本性利益衝突。 損失社會化方案由所有RSETH持有者均攤（各減值15.12%，Aave壞帳約1.237億）；鏈集隔離方案則讓L2持有者承擔全部損失（減值73.54%，Aave壞帳飆至2.301億），兩種方案各有爭議，至今未有定論。

Slow English Podcast

• 翻譯是流利的最大障礙，不是能力問題。 說話卡住不是因為英文程度差，而是大腦同時處理兩套語言系統，導致反應延遲、句子結構錯誤（如把「非常喜歡」說成 I very like this）。解決方式是讓大腦繞過母語，直接以英文輸出。
• Shadowing（跟讀法）是同步訓練聽力與口說的核心技術。 聽到英文就立刻跟著重複，不翻譯、不查字典，模仿語速、語調與節奏，讓大腦與嘴巴建立英文的肌肉記憶，幾天後句子便會感覺更自然。
• 把英文嵌入已有的日常行為，不需另外撥時間。 起床、吃飯、走路、用手機這些已存在的時間點，都是練習機會；把手機介面改成英文、寫三句英文日記，屬於「被動學習」，大腦在不察覺的狀態下反覆吸收詞彙與句型。

Black Hat

• 資料主權是理想，資料駐留是事實：資料放在加拿大伺服器並不代表受加拿大法律完全保護。當美國《雲端法案》與歐盟 GDPR 衝突時，美國的長臂管轄往往凌駕於資料存放地點之上。
• 《雲端法案》重新定義了主權邊界：2018 年立法明確規定，只要資料在美國企業的「持有、保管或控制」之下，無論存放在全球哪裡，美國政府都可強制取得。微軟愛爾蘭案就是被這部法律直接終結的。
• 主權雲是商業博弈的產物，不是完整解法：AWS、Azure、Google 的歐洲主權雲由獨立歐洲法律實體運營，基礎設施與美國切斷，但可用服務大幅縮水，AWS 約 9000 種服務中許多根本不存在於主權區。

Black Hat

• 資料投毒是 ML 核心安全弱點：攻擊者藉由污染訓練資料（注入假資料、竄改標籤或刪除節點），使模型在特定觸發條件下產生預期外的輸出，且模型在乾淨資料上的準確率幾乎不下降，極難在常規測試中被偵測。
• 訓練資料可被建模為圖（Graph）：節點代表資料類別或個體，邊代表關聯；邊的粗細（Edge Multiplicity）反映連結強度。將投毒前後的圖並排比較，節點數目或拓撲結構的差異就成為威脅偵測的視覺線索。
• 10% 閾值是風險評估基準，但不是安全底線：文獻指出毒資料占比超過 10% 會明顯改變模型；Bad Nets 實驗在僅 10% 毒樣本下即成功植入後門。2016 年有論文顯示不足 10% 同樣可觀察到可見變化，因此 10% 是警戒線，而非安全紅線。

AI Jason

• 自進化的兩條路線完全不同。自動代理（AutoAgent）改進代理框架或軟件本身，輸出是改進後的模型或框架；情境學習代理（如 Hermes）則讓代理記住自己的行為和反饋，隨著使用次數增加而變聰明。兩者解決的問題截然不同，後者更具實際價值。
• 三大支柱系統是自學習的基礎架構。有效的自進化代理需要分層記憶（熱記憶始終加載系統提示，包含溫記憶的索引）、技能系統（存儲領域知識）以及可搜索的原始歷史記錄。記憶不應依賴手動提示，而需要後台異步進程自動提取和整合。
• Hermes 的自主技能生成是突破性創新。代理執行超過 10 步未創建技能時，自動啟動子代理在後台審查工作內容，決定是否提取有用技能；配合技能防護機制檢查新技能是否符合安全規則。同時每 10 回合自動觸發記憶審查，決定是否保存或更新。這種自主流程大幅減少人工干預。

Gary Chen

• Claude Design是Anthropic整體佈局的一環，與Claude Code和Claude Cowork形成知識工作者全棧方案，把程式碼作為通用媒介，以自然語言驅動設計輸出。
• 該工具面向個人創業者最有價值，能在數分鐘內生成80分的初稿，但設計細節仍需手動精修，無法完全取代人工判斷。
• 對Figma的衝擊最深遠，因為設計檔案作為工程師與設計師之間的中介層會逐漸失去必要性，工程師可直接使用生成的HTML/CSS。

NahamSec

• 防護線是獨立於系統提示之外的監控層： 系統提示只是文字，模型可以解讀或忽略；而防護線是坐在用戶與模型之間的獨立系統，可能是另一個 LLM 或拒絕過濾器，所有進出的訊息都會被監控，因此攻擊時必須同時考慮繞過防護線與影響主模型兩個目標。
• 越獄的本質是在防護線的允許範圍內操控模型行為： 攻擊者利用各種技巧，讓模型的回應看起來符合規則，使防護線誤判為無害輸出，例如讓模型以為自己在寫劇本或表演，而防護線也認為這只是創作行為。
• Token 操控與語言混淆是繞過過濾器的核心思路： 直接輸入「BOMB」會觸發過濾，但拆成「B.O.M.B」或改用 Unicode 編碼，模型處理的是截然不同的 Token 序列，過濾器可能因此失效，這與 Web 安全中用編碼繞過 WAF 擋截 XSS 的概念完全一致。

商業本質

• 1. AI 代理的本質躍遷：從被動工具到自主即興
• 現有的 ChatGPT、Claude 屬於被動式工具，不給指令就靜止不動；而 AI 代理能在遭遇未知情況時自主分析環境、調用資源、補漏洞，彼得在摩洛哥的語音事件正是這個能力的真實驗證。
• 2. 心跳機制（Heartbeat）打破人機互動的根本假設

Black Hat

• EDR 攻擊面的轉變：攻擊者在成功入侵後，不再只逃避 EDR 偵測，而是主動「打掉」EDR 的內核驅動，因為內核回調是 EDR 感知系統的核心機制，殺掉內核組件等同癱瘓整個防禦能力。
• Surveyor 的「點球成金」策略：與其花費大量資源逆向工程內核漏洞，Surveyor 透過枚舉內核回調註冊表、ETW 會話映射、PPL 保護狀態等 13 個維度，識別各 EDR 產品的監控盲區，從而選擇成本最低、成功率最高的攻擊路徑。
• 啟動流程是最有效的繞過時機：在 Windows 啟動期間、EDR 內核驅動加載前執行操作（透過 Boot Execute 注冊表鍵、WDAC 策略文件、或服務 Start 值修改），可讓防篡改機制完全失效，且對大多數主流 EDR 有效。

Black Hat

• 1. 成功入侵 ≠ 實體衝擊
• 俄羅斯駭客入侵水廠後開閥 200%，某案例因系統設計完善毫無影響，另一案例卻導致水塔溢流。這說明網路實體攻擊的結果由工程設計決定，不是入侵深度決定。
• 2. 攻擊九個階段缺一不可，「控制階段」最關鍵

加密播客

• 權限管理粗糙是最致命的漏洞：Drift在被攻擊前一週將多簽從更高門檻改為2/5且無時間鎖，攻擊者透過社會工程學取得第二個簽名即可控制核心權限，治理設計的鬆懈直接造成毀滅性後果。
• 跨鏈可組合性讓風險以乘數方式擴散：KELP DAO的RSETH被盜後，攻擊者46分鐘內將其抵押借出2.36億WETH，導致AWAVE出現1.77億美元壞帳，讓從未授權任何惡意合約的持幣者也蒙受損失。
• 傳統審計已無法防範新型攻擊：Lazarus Group現已結合AI偽裝成量化交易公司，花數月時間建立信任後誘導開發者簽署惡意交易，「人肉漏洞」完全超出智能合約審計的檢測範疇。

加密头条

• 1. 攻擊手法：偽造跨鏈訊息完成無中生有的資產鑄造
• 黑客利用 LayerZero 的 Endpoint V2 合約構造假跨鏈訊息，Kelp DAO 橋接合約未能識別偽造，直接轉出 RSETH；隨後黑客以這批無任何底層鎖定資產支撐的 RSETH 抵押借款，把壞帳風險完整轉嫁給 AAVE 的流動性池，是一次精密的風險轉移操作。
• 2. 市場反應：理性定價與恐慌情緒難以切割