该文档详细介绍了利用AI工具（如Claude）辅助挖掘某教育行业小程序（edusrc）中微信小程序session_key泄露导致的任意用户登录漏洞。作者通过信息收集、拦截登录请求获取session_key等参数，发现参数长度异常后反编译小程序源码，利用AI分析加密逻辑，成功伪造管理员身份登录后台，并进一步获取了全校3万余名学生的手机号及身份证信息，最终将危害扩大。文章还推广了付费安全知识库和漏洞挖掘圈子。

中国AI安全团队MopMonk（扫地僧）在2026年6月底凭借73.1%的漏洞挖掘成功率进入CyberGym全球前七，超越Google、Meta等团队。其技术核心包括采用上海MiniMaxM3大模型、精细化的漏洞记忆管理系统以及多代理协同探索机制。该事件表明中国在AI安全领域已具备国际竞争力，且AI安全竞争正从模型参数转向工程落地能力。

CredSpy利用微软公开API实现Microsoft账户认证方式的无认证枚举，可精准探测密码、FIDO2及证书等类型与优先级。红队借此定制钓鱼策略，防御者能排查弱密码账户。建议通过pipx快速安装并在授权下批量探测，企业应定期审计以推动无密码认证落地。

KslDump技术利用微软Defender的KslD.sys驱动漏洞，通过注册表篡改和物理内存读取绕过WindowsPPL保护，窃取LSASS凭证。攻击链完全使用微软签名组件，无需外部驱动或漏洞利用。微软拒绝修复此问题，旧版驱动仍存在于系统中。建议删除旧版驱动、启用CredentialGuard和HVCI，并监控KslD服务异常。