本文记录作者通过Prompt注入技术，在AI前端开发平台中利用NPM包postinstall生命周期钩子实现RCE攻击的过程。通过构造恶意npm包并诱导模型安装，成功在目标服务器执行命令并获取云元数据，揭示了AI系统在依赖加载环节的安全风险。文章提供了完整的攻击路径和防御思考。

该文档记录了一次小程序安全渗透测试过程，测试者发现反馈查询功能仅需输入手机号即可查看反馈内容。通过将手机号参数置空，成功绕过后端校验获取系统全部反馈数据，暴露出参数校验缺失导致的信息泄露漏洞。文章展示了空参数绕过的前后端校验差异问题，并提醒开发者需加强后端参数验证。

公安部网安部门预警显示银狐木马最新变种通过伪装税务稽查等钓鱼邮件定向攻击中小企业财务人员，已造成千余家企业损失高达20亿元。木马具备环境检测、权限提升、持久化驻留及C2远程控制能力，可截获短信验证码实施转账。文档提出四项防范建议：警惕可疑邮件、使用安全检测平台、断网隔离终端、开展安全意识培训，并推广了DeepPhish反钓鱼训练平台。

2026年全国低碳日期间，赛迪研究院参与共建的国内首个重点工业产品碳足迹数据库正式上线，覆盖光伏、锂电池等27个行业，填补了国内工业碳数据基础设施空白。该数据库将为政府碳考核、企业绿色转型及跨境碳合规提供权威数据支撑，赛迪认证将以此为核心深化碳足迹核算认证服务，输出成套低碳解决方案。