文章总结： 本期安全动态包括：WhatsApp元数据泄露实现设备指纹识别；欧航局服务器遭入侵窃取大量数据；SCCM中继攻击窃取策略机密；Llm4Fuzz与MAGIC分别优化智能合约模糊测试及大模型越狱攻击；FFmpeg存在EXIF堆溢出漏洞；TrojLLM实现黑盒大模型特洛伊攻击。 综合评分： 65 文章分类： 威胁情报,漏洞分析,AI安全

每日安全动态推送(26/1/6)

原创

admin

腾讯玄武实验室

2026年1月6日 10:49 北京

•  WhatsApp元数据泄露可实现设备操作系统指纹识别与定向恶意软件投递 https://cybersecuritynews.com/whatsapp-device-fingerprinting/

本文揭示了WhatsApp多设备加密协议中的元数据泄露问题，攻击者可借此识别用户设备的操作系统类型，从而实现定向恶意软件投递。尽管Meta已采取部分修复措施，但透明度和全面性仍存在不足，是当前网络安全领域的重要警示。

•  欧洲航天局外部服务器遭入侵事件 https://sectoday.tencent.com/event/0JZZd5sBvMLTtVn_1QvF

欧洲航天局（ESA）确认其用于非机密协作工程的外部服务器遭到黑客入侵，攻击者声称已访问其JIRA和Bitbucket服务器长达一周，并窃取了超过200GB的数据，包括源代码、敏感配置文件和内部文档。入侵者使用代号“888”，在黑客论坛上声称出售数据，并要求以Monero加密货币支付。ESA表示受影响的服务器位于其企业网络之外，核心业务未受影响，但专家警告此类事件可能引发供应链攻击等风险。这是ESA继2024年支付劫持事件和2015年SQL注入攻击后的又一次网络安全事件，凸显航天领域基础设施的安全漏洞。

•  通过中继攻击利用SCCM管理点窃取策略机密 https://specterops.io/blog/2025/07/15/id-like-to-speak-to-your-manager-stealing-secrets-with-management-point-relays/

本文揭示了通过SCCM管理点（MP）中继攻击，可绕过默认配置窃取网络访问账户、任务序列和集合策略等敏感信息。其最大亮点在于提出了一种无需依赖操作系统部署（OSD）流程，直接从SCCM数据库提取策略数据的新攻击路径，对当前SCCM安全架构构成重要挑战。

•  Llm4Fuzz：基于大语言模型的智能合约引导模糊测试 https://arxiv.org/html/2401.11108v1

本文提出 Llm4Fuzz，利用大语言模型引导智能合约模糊测试，显著提升了测试效率与漏洞发现能力。其最大亮点在于通过语义分析和历史漏洞模式匹配，精准识别高价值代码区域，从而优化模糊测试策略，是智能合约安全分析领域的重要突破。

•  利用索引梯度优化大语言模型的越狱攻击 https://aclanthology.org/2025.coling-main.305/

本文提出了MAGIC方法，通过利用后缀标记的梯度信息，有效解决了GCG优化过程中的间接效应问题，显著提升了大语言模型越狱攻击的效率。这项研究为对抗性攻击的优化提供了新思路，具有重要的技术价值。

•  FFmpeg 中 EXIF 写入器处理额外 IFD 标签时的堆缓冲区溢出漏洞分析 https://bugs.pwno.io/0014

本文深入剖析了FFmpeg在处理EXIF数据时存在的一个堆缓冲区溢出漏洞，揭示了其在多种常见图像格式中可能引发的安全隐患。文章不仅解释了漏洞成因，还细致展示了FFmpeg内部EXIF解析与写入的机制，是了解多媒体处理安全的一篇高质量技术文章。

•  TrojLLM：一种针对大语言模型的黑盒特洛伊提示攻击 https://openreview.net/pdf?id=ZejTutd7VY

本文首次提出了针对黑盒大语言模型API的Trojan攻击框架TrojLLM，能够在不访问模型参数和梯度的情况下，通过生成通用且隐蔽的触发词实现对输出的恶意操控，揭示了当前LLM服务的重大安全隐患。

* 查看或搜索历史推送内容请访问： https://sectoday.tencent.com/ * 新浪微博账号： 腾讯玄武实验室 https://weibo.com/xuanwulab * 微信公众号： 腾讯玄武实验室

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：腾讯玄武实验室 admin《每日安全动态推送(26/1/6)》