https://www.szlanmin.com/tags/%E5%AE%89%E5%85%A8/Recent content in 安全 on 海风自语 · 技术与教育笔记Hugozh-CNMon, 21 Sep 2026 07:30:00 +0800https://www.szlanmin.com/tech/ai/plugin-sha-pinning-bypass/Mon, 21 Sep 2026 07:30:00 +0800https://www.szlanmin.com/tech/ai/plugin-sha-pinning-bypass/Plugin4Shell 让四款主流编码 agent 的插件哈希钉定机制失效：它们按市场钉住的 commit 拉取，却从不校验工作区实际落地的是不是那个 commit。审查通过、日志正常，跑起来的是攻击者的代码。同周 Safari 27 内置 MCP server、playwright-mcp 把网页工具提升为 agent 工具，暴露的是同一个形状的缺口。