首页红队揭示了超出预期的惊人发现
许多企业在错误的安全假设下运行，直到接受专业的对抗性测试。
在近三十年的进攻性安全评估过程中，我亲眼目睹了组织的信心是如何在现实的威胁角色战术挑战下烟消云散的。红队的参与并不只是简单地评估防御，而是展示技术娴熟的对手在广泛的交战规则下可以实现的全方位访问，其中包括数字、社交和物理攻击载体。我们的行动经常会发现管理层从未想象过的灾难性安全漏洞。
通过全面测试，我的团队获得了令人震惊的访问权限，其中包括
- 制造设备的工业控制系统
- 加密签名基础设施
- 财务和薪酬系统
- 专有知识产权库
- 核心银行平台
- 实体安全监控网络
- 行政通信
- 医疗诊断设备和受保护数据
- 敏感文件库
- 连接到企业 VPN 的辅助住宅
- 完整的活动目录凭证数据库
我们已经在内部部署和云环境之间轻松实现了攻击转换。矛盾的是，规模较大的组织往往更容易成为攻击目标--其广阔的攻击面带来了防御挑战，仅靠安全预算是无法应对的。这反映了进攻和防御之间的根本不对称。这些漏洞并不是假设的情况--它们代表着实实在在的风险，影响着更多的企业，而不是认识到它们的暴露程度。
建立初始访问
入侵源于立足点--提供第一个切入点的攻击载体。我们将其分为四大类：
1.社会工程学策略
虽然有效，但我们认为社交工程是技术含量最低的方法。虽然我们已经看到攻击者成功地
- 冒充高管授权欺诈交易
- 利用人工智能合成的声音来规避身份验证程序 这些方法更多的是利用人性，而不是技术技能。
2.凭证攻击技术
即使在今天，密码喷涂也显示出可怕的有效性。我们经常使用基本的凭据组合成功实施攻击，例如："Summer2025!
- "Summer2025!(可能由 0.1% 的用户在没有适当控制的情况下选择）
- "Summertime2025！"(对于需要较长口令的组织而言）这些攻击利用获取的用户名来对抗薄弱但允许的密码策略。
3.多因素身份验证绕过
虽然多因素身份验证在安全方面取得了重大进展，但不完善的实施也会造成以下漏洞：
- 通知疲劳利用
- 条件访问规则弱点
- 休眠状态的注册流程 在一次合作中，我们使用从被泄露的电子邮件中发现的一个已有半年历史的注册链接注册了流氓设备。
4.技术漏洞利用
自定义应用程序特别容易受到以下攻击
- 注入攻击（SQL、命令等）
- 目录遍历漏洞
- 逻辑错误导致权限升级
- 反序列化漏洞 遗留的第三方组件在未打补丁时经常会带来远程代码执行风险。
合规性现实差距
传统的安全审计往往提供虚假的信心。红队行动揭示了以下两者之间的明显差异：
- 复选框合规性
- 真正的防御效果
许多客户提交了全面的渗透测试报告，展示了理论上的漏洞--直到我们实现了从未经验证的外部位置开始的实质性入侵。对于建立安全成熟度的组织而言，全面的漏洞评估比有针对性的红队演习更有价值。
利用人工智能提高攻击能力
虽然人类的专业知识在攻击性安全领域仍然不可替代，但人工智能通过以下方式增强了我们的能力：
- 快速漏洞利用原型开发
- 攻击面分析自动化
- 社交工程中令人信服的语音合成
- 高级网络钓鱼内容生成 在漏洞悬赏平台上排名靠前的自主攻击型人工智能的出现标志着一种变革性的转变。
协作缓解威胁
尽管我们在参与过程中扮演着敌对角色，但我们仍然非常尊重防御团队。这种不平衡仍然十分明显--防御者必须保持高度警惕，而攻击者只需一次成功的尝试。我们的报告有意强调
- 观察到的安全优势
- 全面的漏洞链
- 潜在的业务影响 我们的使命是以教育和改进为中心，而不是曝光。
结束语
专业的对抗性评估迫使企业面对令人不安的安全真相。合规认证的背后往往隐藏着
- 脆弱的系统
- 配置错误
- 未认识到的风险
当我们揭示关键漏洞时，我们的目的不是批评，而是在真正的攻击者来袭之前加强防御。在网络安全领域，客观的现实检查是理论安全与操作弹性之间的重要桥梁。
相关文章
DeepMind首席执行官哈西里斯：我每天睡六个小时，通常在凌晨1点左右感到精力充沛。
Fortune 最近刊登了对谷歌 DeepMind 首席执行官 Demis Hassabis 的采访，揭示了他对休息和生产力的非传统方法。Hassabis 透露，他睡眠时间非常少，将清醒时间划分为两个不同的工作阶段。关于他的睡眠习惯，Hassabis 表示：“我目标睡六小时，但我的习惯非同寻常。我可以在白天有效运作。”他强调，睡眠少于六小时会对大脑健康产生负面影响。Hassabis 于 2010 年联合创立了 DeepMind（后被谷歌收购），并因其在蛋白质结构预测方面的开创性工作荣获 20
尽管营收未达预期，OpenAI与Anthropic仍在争夺市场份额
尽管近期有报道称OpenAI未达营收目标，给本周二的科技股带来压力，但私营人工智能实验室的投资者仍表现坚韧。经验丰富的投资者已确认，尽管媒体报道负面，他们仍不会减少投资。分析师认为当前的人工智能竞赛仍处于早期阶段，因此不会出现“赢家通吃”的局面。尽管高昂的计算成本给营收带来压力，但实验室可通过提高订阅费来提升盈利能力。行业格局正发生微妙变化与OpenAI不同，其竞争对手Anthropic获得了强有
加利福尼亚州自动驾驶合规：罚单、地理围栏和100万英里的新时代
Guident公司在南佛罗里达州运营一辆AuveTech自动驾驶班车，利用其远程监控技术管理西棕榈滩的一条4英里路线和博卡拉顿的一条1英里路线。| 图片来源：Guident加利福尼亚州正在重新定义无人驾驶车辆的监管格局，正逐渐摆脱科技行业“快速行动，打破常规”的思维模式，转向严格的问责制和严苛的行驶里程要求。Guident执行董事长兼首席执行官哈罗德·布劳恩（Harold Braun）在《机器人报
相关专题推荐
聊天机器人
用于语言练习、面试准备和日常流利度的最佳 AI 角色扮演聊天应用
2026 年最新最佳顶级评分 AI 角色扮演聊天应用，用于语言练习、面试准备和日常流利度！XIX.AI 精心策划了一个强大的变革性合集，提供免费与付费对比、真实世界测试以及每周更新的排名。这些必试工具可帮助您提升写作技能，克服流利度挑战，并提高所有日常场景下的沟通效率。立即探索，发现您语言成长的完美工具！
10 个工具
xix.ai
音乐创作
用于混音制作、采样准备及卡拉OK母带处理的 AI 声部分离工具
2026年最新、最优秀且评分最高的AI音轨分离工具汇总，专为混音制作、采样准备以及卡拉OK音频处理而设计。这些功能强大的创新工具经过实际测试，能够实现精准的音频分离，显著提升工作效率。XIX.AI每周都会更新免费的付费产品对比指南，帮助您找到最适合自身需求的工具。立即探索，发挥您的AI优势。
8 个工具
xix.ai
数据分析
用于收入看板、转化漏斗分析及产品指标分析的 AI SQL 助手
2026年最新最优秀的AI SQL辅助工具排名揭晓！XIX.AI精心挑选了一系列功能强大的工具，这些工具会定期更新，并通过真实的场景测试来验证其性能。使用这些值得尝试的工具，您可以快速生成精准的收入分析报表、分析销售流程，并追踪产品各项指标，从而大幅提升工作效率。立即探索，找到最适合您的数据驱动决策工具！238个字符
9 个工具
xix.ai
音乐创作
最佳用于歌曲草稿的 AI 旋律创作工具
2026 年最新最佳顶级评分 AI 旋律创作工具，助力歌曲草稿创作！XIX.AI 精心策划了一套极具影响力且经过严格真实世界测试的变革性合集，旨在提供最佳的创作体验。您可以找到详细的免费与付费版对比、精准的排名以及必试选项，这些工具旨在帮助您轻松创作出令人惊艳的歌曲草稿，并显著提升您的创意生产力。立即探索，发现您的完美工具！
8 个工具
xix.ai
聊天机器人
最佳AI对话训练工具，助你备战面试
2026年最新、最受好评的AI面试模拟训练工具现已登陆XIX.AI！这份精心精选的合集收录了功能强大、具有革命性意义的工具，它们均经过严格的实际测试，能够提供精准的反馈。 您将看到免费版与付费版的对比分析以及详细排名，助您挑选出必试之选，从而提升自信并精进技能。立即探索，发现助您面试成功的完美工具！
12 个工具
xix.ai
设计与艺术
最适合创意实验的AI风格转换工具
2026年最新最佳、评价最高的AI风格转换工具，助您开展创意实验！XIX.AI精心甄选了一系列功能强大、颠覆性的必试工具，这些工具经过实际测试和严格排名，可带来卓越的效果。这些顶级解决方案通过加速内容创作并释放无限创意潜能，帮助创作者显著提升工作效率。 立即探索，找到最适合您的工具，今天就开始创作吧！
9 个工具
xix.ai
评论 (1)
0/500
![PaulYoung]()
Les entreprises sous-estiment vraiment leurs vulnérabilités ! Cette analyse montre à quel point les tests intrusifs sont cruciaux. Dommage que tant d'entreprises préfèrent se voiler la face plutôt que d'affronter la réalité 😅 Ça me fait penser à ma boîte qui refuse de mettre à jour ses systèmes...
许多企业在错误的安全假设下运行，直到接受专业的对抗性测试。
在近三十年的进攻性安全评估过程中，我亲眼目睹了组织的信心是如何在现实的威胁角色战术挑战下烟消云散的。红队的参与并不只是简单地评估防御，而是展示技术娴熟的对手在广泛的交战规则下可以实现的全方位访问，其中包括数字、社交和物理攻击载体。我们的行动经常会发现管理层从未想象过的灾难性安全漏洞。
通过全面测试，我的团队获得了令人震惊的访问权限，其中包括
- 制造设备的工业控制系统
- 加密签名基础设施
- 财务和薪酬系统
- 专有知识产权库
- 核心银行平台
- 实体安全监控网络
- 行政通信
- 医疗诊断设备和受保护数据
- 敏感文件库
- 连接到企业 VPN 的辅助住宅
- 完整的活动目录凭证数据库
我们已经在内部部署和云环境之间轻松实现了攻击转换。矛盾的是，规模较大的组织往往更容易成为攻击目标--其广阔的攻击面带来了防御挑战，仅靠安全预算是无法应对的。这反映了进攻和防御之间的根本不对称。这些漏洞并不是假设的情况--它们代表着实实在在的风险，影响着更多的企业，而不是认识到它们的暴露程度。
建立初始访问
入侵源于立足点--提供第一个切入点的攻击载体。我们将其分为四大类：
1.社会工程学策略
虽然有效，但我们认为社交工程是技术含量最低的方法。虽然我们已经看到攻击者成功地
- 冒充高管授权欺诈交易
- 利用人工智能合成的声音来规避身份验证程序 这些方法更多的是利用人性，而不是技术技能。
2.凭证攻击技术
即使在今天，密码喷涂也显示出可怕的有效性。我们经常使用基本的凭据组合成功实施攻击，例如："Summer2025!
- "Summer2025!(可能由 0.1% 的用户在没有适当控制的情况下选择）
- "Summertime2025！"(对于需要较长口令的组织而言）这些攻击利用获取的用户名来对抗薄弱但允许的密码策略。
3.多因素身份验证绕过
虽然多因素身份验证在安全方面取得了重大进展，但不完善的实施也会造成以下漏洞：
- 通知疲劳利用
- 条件访问规则弱点
- 休眠状态的注册流程 在一次合作中，我们使用从被泄露的电子邮件中发现的一个已有半年历史的注册链接注册了流氓设备。
4.技术漏洞利用
自定义应用程序特别容易受到以下攻击
- 注入攻击（SQL、命令等）
- 目录遍历漏洞
- 逻辑错误导致权限升级
- 反序列化漏洞 遗留的第三方组件在未打补丁时经常会带来远程代码执行风险。
合规性现实差距
传统的安全审计往往提供虚假的信心。红队行动揭示了以下两者之间的明显差异：
- 复选框合规性
- 真正的防御效果
许多客户提交了全面的渗透测试报告，展示了理论上的漏洞--直到我们实现了从未经验证的外部位置开始的实质性入侵。对于建立安全成熟度的组织而言，全面的漏洞评估比有针对性的红队演习更有价值。
利用人工智能提高攻击能力
虽然人类的专业知识在攻击性安全领域仍然不可替代，但人工智能通过以下方式增强了我们的能力：
- 快速漏洞利用原型开发
- 攻击面分析自动化
- 社交工程中令人信服的语音合成
- 高级网络钓鱼内容生成 在漏洞悬赏平台上排名靠前的自主攻击型人工智能的出现标志着一种变革性的转变。
协作缓解威胁
尽管我们在参与过程中扮演着敌对角色，但我们仍然非常尊重防御团队。这种不平衡仍然十分明显--防御者必须保持高度警惕，而攻击者只需一次成功的尝试。我们的报告有意强调
- 观察到的安全优势
- 全面的漏洞链
- 潜在的业务影响 我们的使命是以教育和改进为中心，而不是曝光。
结束语
专业的对抗性评估迫使企业面对令人不安的安全真相。合规认证的背后往往隐藏着
- 脆弱的系统
- 配置错误
- 未认识到的风险
当我们揭示关键漏洞时，我们的目的不是批评，而是在真正的攻击者来袭之前加强防御。在网络安全领域，客观的现实检查是理论安全与操作弹性之间的重要桥梁。
DeepMind首席执行官哈西里斯：我每天睡六个小时，通常在凌晨1点左右感到精力充沛。
Fortune 最近刊登了对谷歌 DeepMind 首席执行官 Demis Hassabis 的采访，揭示了他对休息和生产力的非传统方法。Hassabis 透露，他睡眠时间非常少，将清醒时间划分为两个不同的工作阶段。关于他的睡眠习惯，Hassabis 表示：“我目标睡六小时，但我的习惯非同寻常。我可以在白天有效运作。”他强调，睡眠少于六小时会对大脑健康产生负面影响。Hassabis 于 2010 年联合创立了 DeepMind（后被谷歌收购），并因其在蛋白质结构预测方面的开创性工作荣获 20
尽管营收未达预期，OpenAI与Anthropic仍在争夺市场份额
尽管近期有报道称OpenAI未达营收目标，给本周二的科技股带来压力，但私营人工智能实验室的投资者仍表现坚韧。经验丰富的投资者已确认，尽管媒体报道负面，他们仍不会减少投资。分析师认为当前的人工智能竞赛仍处于早期阶段，因此不会出现“赢家通吃”的局面。尽管高昂的计算成本给营收带来压力，但实验室可通过提高订阅费来提升盈利能力。行业格局正发生微妙变化与OpenAI不同，其竞争对手Anthropic获得了强有
加利福尼亚州自动驾驶合规：罚单、地理围栏和100万英里的新时代
Guident公司在南佛罗里达州运营一辆AuveTech自动驾驶班车，利用其远程监控技术管理西棕榈滩的一条4英里路线和博卡拉顿的一条1英里路线。| 图片来源：Guident加利福尼亚州正在重新定义无人驾驶车辆的监管格局，正逐渐摆脱科技行业“快速行动，打破常规”的思维模式，转向严格的问责制和严苛的行驶里程要求。Guident执行董事长兼首席执行官哈罗德·布劳恩（Harold Braun）在《机器人报
2026 年最新最佳顶级评分 AI 角色扮演聊天应用，用于语言练习、面试准备和日常流利度！XIX.AI 精心策划了一个强大的变革性合集，提供免费与付费对比、真实世界测试以及每周更新的排名。这些必试工具可帮助您提升写作技能，克服流利度挑战，并提高所有日常场景下的沟通效率。立即探索，发现您语言成长的完美工具！
10 个工具
xix.ai
2026年最新、最优秀且评分最高的AI音轨分离工具汇总，专为混音制作、采样准备以及卡拉OK音频处理而设计。这些功能强大的创新工具经过实际测试，能够实现精准的音频分离，显著提升工作效率。XIX.AI每周都会更新免费的付费产品对比指南，帮助您找到最适合自身需求的工具。立即探索，发挥您的AI优势。
8 个工具
xix.ai
2026年最新最优秀的AI SQL辅助工具排名揭晓！XIX.AI精心挑选了一系列功能强大的工具，这些工具会定期更新，并通过真实的场景测试来验证其性能。使用这些值得尝试的工具，您可以快速生成精准的收入分析报表、分析销售流程，并追踪产品各项指标，从而大幅提升工作效率。立即探索，找到最适合您的数据驱动决策工具！238个字符
9 个工具
xix.ai
2026 年最新最佳顶级评分 AI 旋律创作工具，助力歌曲草稿创作！XIX.AI 精心策划了一套极具影响力且经过严格真实世界测试的变革性合集，旨在提供最佳的创作体验。您可以找到详细的免费与付费版对比、精准的排名以及必试选项，这些工具旨在帮助您轻松创作出令人惊艳的歌曲草稿，并显著提升您的创意生产力。立即探索，发现您的完美工具！
8 个工具
xix.ai
2026年最新、最受好评的AI面试模拟训练工具现已登陆XIX.AI！这份精心精选的合集收录了功能强大、具有革命性意义的工具，它们均经过严格的实际测试，能够提供精准的反馈。 您将看到免费版与付费版的对比分析以及详细排名，助您挑选出必试之选，从而提升自信并精进技能。立即探索，发现助您面试成功的完美工具！
12 个工具
xix.ai
2026年最新最佳、评价最高的AI风格转换工具，助您开展创意实验！XIX.AI精心甄选了一系列功能强大、颠覆性的必试工具，这些工具经过实际测试和严格排名，可带来卓越的效果。这些顶级解决方案通过加速内容创作并释放无限创意潜能，帮助创作者显著提升工作效率。 立即探索，找到最适合您的工具，今天就开始创作吧！
9 个工具
xix.ai
Les entreprises sous-estiment vraiment leurs vulnérabilités ! Cette analyse montre à quel point les tests intrusifs sont cruciaux. Dommage que tant d'entreprises préfèrent se voiler la face plutôt que d'affronter la réalité 😅 Ça me fait penser à ma boîte qui refuse de mettre à jour ses systèmes...
