文件名加个点即 RCE:微软 Copilot 安全控制被尾点绕过
wunderwuzzi23 · x · 2026-10-21
安全研究员 wunderwuzzi23 披露 Visual Studio Copilot 与 SSMS 中的远程代码执行漏洞:在配置文件名末尾加一个尾点(.)即可绕过 Copilot 的安全控制,触发 RCE。
转发者 @7urb01 点评此技巧巧妙,并猜测其他让 agent 做文件 IO 的产品如果走 win32 文件系统 API,可能存在类似问题。
「安全」频道最新
- Center for AI Safety 发布《机器学习安全导论》课程大纲 — ArtificialOther · 2026-10-21
- Ben Goertzel提出超级智能「基础驱力」通用框架：看它改什么、护什么 — bengoertzel · 2026-10-21
- 美国政府新门户 America.gov 上线:整合 2.9 万网站并支持 AI 举报欺诈 — soleio · 2026-10-21
- 开源工具 EvilWAF：传输层 MITM 代理绕过现代 WAF 行为检测 — godfrey_rono · 2026-10-21
- AI 安全研究者 Manheim 访谈存档：能力错配而非意识觉醒才是真风险 — davidmanheim · 2026-10-21
- Domingos 断言：按 GDPR 口径 LLM 预训练在欧洲属违法 — pmddomingos · 2026-10-21