工具与应用01
GitHub 安全实验室发布了一个叫 Fuzzing Taskflow 的自动化工具，专门给 C/C++ 项目做模糊测试。模糊测试就是自动给程序喂各种奇怪输入，看能不能把程序搞崩，从而找出安全漏洞。以前这件事很费人：需要人盯着代码覆盖率、手动写测试框架、一个个分析崩溃原因。现在这个工具只要给它一个 GitHub 仓库地址，它就会自己识别关键函数、写测试框架、跑 AFL++、看覆盖率、改进测试、分析崩溃并生成漏洞报告。它不是万能药，复杂项目仍可能需要人工介入，而且必须在一次性环境里运行。
文中可用工具
- GitHub Security Lab Taskflow Agent一个用 LLM 驱动安全自动化的框架，让 AI 按任务流执行安全测试
- Fuzzing Taskflow自动对 C/C++ 项目做模糊测试的流水线，能自己写测试框架、跑测试、分析崩溃
- AFL++一个模糊测试工具，自动给程序喂大量随机输入来触发崩溃
- clang编译器，用来把代码编译成可执行文件，并支持覆盖率分析
- LCOV生成代码覆盖率报告，显示哪些代码行或分支被测试覆盖到了
- SQLite轻量数据库，用来在不同测试阶段之间保存和共享状态
- Claude Sonnet 5默认使用的 AI 模型，让整个模糊测试流程能够自主决策
工具与应用02
文章讨论云资源缺乏负责人标签的治理难题：当创建资源的员工离职后，无人知道实例为何存在。作者提出三个已有工具的解决方案：用 CloudQuery 的资产清单 SQL 查询找出所有缺少 owner 标签的资源；用 env zero 基于 Open Policy Agent 的策略阻止无 owner 标签的新资源被创建；以及保留超越个人任期的审计记录，记录申请人、批准人、用途等信息。文章指出员工流失加速，标签会像其他东西一样腐化，组织架构会变，但记录不必变。
Agent 与工作流03
AWS 发布新的 Step Functions 模式，让 Amazon Bedrock AgentCore 代理在航班中断后提议新行程和补偿方案，但预订变更与支付等操作必须经过确定性代码验证后才能执行。AWS 同日还发布 Abnormal AI 案例研究，主张代理需要代码执行环境进行计算、数据处理与程序化验证，以补充纯语义推理的不足。
评测与安全04
HutCh1E/Skills-check · Perform automated multi-layer security analysis on AI Agent skills to detect code risks and runtime threats efficiently.
Skills-check 是一款用于检查 AI Agent 技能或插件安全风险的工具，通过静态分析、LLM 分析和沙箱分析三层检测代码中的风险。支持粘贴代码、上传文件、输入 GitHub URL 或安装命令来获取并分析技能代码，帮助用户在安装前发现反向 shell、数据窃取、代码注入等潜在威胁。
Agent 与工作流05
{unscripted} 2026 旧金山站围绕 AI 智能体在软件交付生命周期中的信任、安全与采用展开讨论。核心观点包括：信任是底线，护栏应针对可逆性设置；攻击者利用漏洞的时间已从 125 天缩短至约 1 天，而防守方平均仍需约 7 天修补；代码审查而非代码生成正成为新瓶颈。
Agent 与工作流06
Managed Deep Agents 中的 Connections 功能可安全管理凭据，支持按用户 OAuth，并让智能体以每位调用者的身份执行操作。
评测与安全07
vxcontrol/pentagi · Fully autonomous AI Agents system capable of performing complex penetration testing tasks
PentAGI 是一个基于 AI 的自动化安全测试平台，面向信息安全专业人员、研究人员和爱好者，用于执行渗透测试任务。系统采用多智能体（研究、开发、执行、编排）协作架构，运行在隔离的 Docker 沙箱中，内置 nmap、metasploit、sqlmap 等 20 多种专业安全工具，具备智能记忆系统与可选的 Neo4j 知识图谱集成、内置浏览器与多种外部搜索 API，支持 10 多种 LLM 提供商、REST/GraphQL API、PostgreSQL+pgvector 持久化存储以及 Grafana/Prometheus 监控。项目采用 MIT 许可，通过 Docker Compose 自托管部署。