attack-surface

作者结合与 Justin Cormack 的访谈，论证 unikernel 过去难用的问题已被 AI 模型权重化解，并认为传统多用户操作系统是设计负债，unikernel 能大幅缩小攻击面，让 AI 驱动的入侵无从下手。

文章分析了 Hugging Face 遭 700 个 AI 代理组成的攻击集群攻破的事件——四个看似不起眼的漏洞被串联导致 136 个生产密钥泄露，并借此宣传 Cogent 的 Attack Path Analysis 工具，强调组合式攻击路径发现优于单独的严重性评分。

AI编码代理依赖于仓库中的配置文件，这些文件现在成为了安全攻击面，但很少有人对其进行漏洞扫描。

ModuleJail 是一个 POSIX shell 脚本，通过将所有当前未使用的模块加入黑名单来缩小 Linux 主机的内核模块攻击面，帮助系统管理员降低即将到来的内核模块漏洞风险。

Hanno Böck 讨论了影响 ESP (IPSEC) 模块的近期内核漏洞，并建议禁用与 IPSEC 相关的内核配置选项以减少攻击面，突出显示了默认情况下加载了许多未使用的内核模块。

讨论AI代理安全作为一个超越提示注入的运行时供应链问题，强调来自不可信数据、工具和反馈循环的风险，并质疑开发者如何执行边界。