XBOW 自动挖出美国选举援助委员会关键 RCE,选前已修复
moyix · x · 2026-10-29
AI 安全测试公司 XBOW 披露：其自主渗透测试 agent 在美国选举援助委员会（EAC）一个公开的选举资源/后勤计算器 Web 应用中，发现未认证的严重级远程代码执行漏洞。攻击者可通过特制请求以 root 身份在后端容器内执行代码，并具备本地受保护资源访问与外联网络能力。
要点：
- 该应用是行政后勤工具，并非投票机或选民登记系统，但说明选举安全覆盖整个行政工具生态。
- XBOW 团队按 EAC 公开的漏洞披露政策上报，经官方验证后已在 2026 年 11 月 3 日中期选举前修复。
- 团队将真实漏洞赏金项目作为 XBOW 的 QA 流程，强调生产环境的栈、认证与业务逻辑是合成 benchmark 难以复现的。
- 案例展示了持久化安全测试的价值：不因无望目标或误导性的 HTTP 500 而放弃。
「编程与Agent」频道最新
- 用 Claude 把旧小米手机改造成纯离线 MP3 播放器 — PeanutGrinderZ_2091 · 2026-10-29
- 10 个开源仓库给编码 Agent 画代码地图:知识图谱+语义搜索 — victor_explore · 2026-10-29
- Snaptrude 发布建筑设计 Agent:可从地块做到施工级 LOD 400 模型 — EXM7777 · 2026-10-29
- DecisionRAG 用决策模型替代检索器，超越 8B reranker 13.8 个点 — omarsar0 · 2026-10-29
- 博主实测 Claude 驱动 Remotion:5 分钟把图表 Logo 变动画视频 — TawohAwa · 2026-10-29
- Meta Muse 生态上线 1Password for Agents，AI 智能体有了专属密码管理 — xeophon · 2026-10-29