本文深入分析AD约束委派攻击原理与利用链路，重点阐述攻击者通过控制具备SeEnableDelegationPrivilege权限的账号并修改服务账号的msDS-AllowedToDelegateTo属性，利用S4U2Self和S4U2Proxy流程模拟高权限主体访问指定服务，最终实现DCSync提权。关键发现包括TRUSTED_TO_AUTH_FOR_DELEGATION标志的作用、与非约束委派的TGT捕获机制差异，以及SeMachineAccountPrivilege的替代攻击路径。

微软警告攻击者可篡改MCP工具描述投毒AI智能体，诱导其隐蔽泄露数据。研究指出工具描述等同系统提示词，易被劫持。建议将外部工具纳入供应链管控，严格审核描述，高风险操作增加人工审批，分配独立身份监控日志，并落实最小执行权限防范风险。

本文介绍一款名为Hack-Tools的开源浏览器扩展，集成逆向Shell生成器、XSS/SQL注入/LFI载荷库、编码转换及Linux命令速查等渗透测试工具。文章强调仅供授权测试使用，并包含商业广告推广。该工具基于React+TypeScript开发，支持Chrome、Firefox等浏览器。

国家能源局发布《能源行业数据分类分级指南》并于7月1日施行。指南将能源非密数据分为一般、重要、核心三级，明确规定了特定设施的精确坐标、实时指令及大规模电力消费数据等核心与重要数据识别规则。数据处理者须据此编制数据目录、落实安全防护并每年开展风险评估。本文为政策解读及厂商引流软文。