本文介绍了携程安全应急响应中心利用AI大模型重塑互联网风控的实践，核心在于将AI应用于告警排查与策略自动化，提升安全运营效率。关键发现包括AI能有效分析告警并自动调整风控策略，可操作建议是安全团队应探索大模型在风控流程中的深度集成，以应对复杂威胁。

该研究揭示了Webmail客户端在处理CSS时的严重安全缺陷，攻击者可通过滥用合法HTML标签（如label）和CSS属性（如:before伪元素）实施点击劫持、AI浏览器指令注入及密码窃取。关键发现包括绕过图片代理（如GMail的image-set()函数）、利用CSSOM变异击穿消毒器（如Fastmail），以及通过嵌套选择器暴力破解登录token。建议采用沙盒隔离邮件内容，禁用select、:has等强选择器，并严格校验CSSOM操作。

2026年HVV期间境外与境内攻击频发，SilverFox组织利用AI钓鱼、伪造发票及毒简历等方式窃取数据，多起案例显示内网渗透与数据泄露风险加剧。建议部署邮件安全网关、强化身份验证、实施零信任架构，并开展常态化钓鱼演练与应急响应演练以提升整体防御能力。

本文介绍了一个通过逗号注入绕过租户隔离的IDOR漏洞。在测试文档存储库的ACL功能时，发送两个以逗号分隔的用户ID（受害者ID+合法用户ID）可绕过所有权验证，导致跨租户泄露个人身份信息（全名、邮箱、内部租户ID）。建议在测试中尝试多值注入，如逗号分隔或数组格式。