本文记录了作者对某教育局系统的安全测试过程，结合手工挖掘与AI工具辅助发现多个高危漏洞。手工测试通过弱口令进入后台发现大量身份证信息泄露，AI测试则识别出未授权访问等额外漏洞。文章强调人机协同效率优势，并提醒需严格约束AI行为避免风险。

本文记录了通过AI工具（DeepSeek与Claude组合）在黑盒测试中发现某ERP系统CVSS9.8分RCE0day漏洞的全过程。AI从公开情报定位攻击面，自主探测到反序列化入口，通过WAF绕过实现RCE验证。关键发现包括：AI在信息收集环节表现高效，但需分层使用模型；框架会限制模型自主性。可操作建议为采用极简架构让模型自主决策，预告6月初将发布实战化渗透工具aiscan。

招商证券胡琛博士将分享AI时代开发安全体系演进经验，重点介绍安全左移从单点建设到AI原生全周期管理的实践路径，探讨如何在VibeCoding模式下平衡安全与效率，并针对AI智能体安全防护提出攻击检测与管控方案。

作者分享了一次在渗透测试中被溯源的经历，使用阿里云临时服务器复现漏洞后周三被追踪到。分析认为可能因网上个人信息过多导致标识性强，建议注销闲置账号并使用无痕浏览器规范操作。