PyTorch 性能分析实战：剖析 Attention 的多种实现
Hugging Face 使用 PyTorch Profiler 对比朴素、原地操作及 Scaled Dot Product Attention 各后端的执行轨迹。
推荐理由：通过对照 CPU、GPU 轨迹与内核名称，解释内存复制、后端分派、融合内核及占用率误读，适合优化 PyTorch 注意力实现。
#实践与教程
#实践与教程
今日 4 条Hugging Face Blog精选AI 评分7979
Redis BlogAI 评分4545 多步骤 AI 智能体：是什么及运作原理
多步骤 AI 智能体由 LLM 驱动，通过“思考—行动—观察”循环分解目标、调用工具并检查结果，直至完成任务。文章分析其在生产环境中的状态管理、上下文累积与错误传播风险，并说明 ReAct 模式及迭代上限对可靠性、延迟和成本的影响。Redis Iris 将记忆、实时数据和检索集中于一处，为智能体提供上下文。
Brave Blog精选AI 评分7575 在 Amazon Bedrock 上配置 Claude Cowork 与 Brave Search MCP Server
Brave 与 AWS 团队介绍了在 Claude Cowork 桌面应用中连接 Amazon Bedrock，并配置 Brave Search MCP Server 的方法，用于让 Claude 在工作流中检索实时网页信息。
推荐理由：文章逐步说明 Claude Cowork 通过 Amazon Bedrock 接入 Brave Search MCP Server，包含桌面端配置、AWS Marketplace 订阅、API 密钥设置、集成测试与部署选项，适合需要兼顾实时网页检索和 AWS 企业环境的团队参考。
Google Research Blog精选AI 评分7777 Google Research：利用线性弹性缓存优化云基础设施总成本
Google Research提出线性弹性缓存，将页面驱逐建模为滑雪租赁问题，并利用轻量级机器学习动态预测页面生存时间，以平衡内存占用与缓存未命中成本。该策略已集成Spanner数月：相较固定容量缓存，内存使用量减少15.5%，缓存未命中率增加5.5%，总拥有成本降低约5%，实际I/O成本影响仅0.5%。
推荐理由：文章把缓存容量管理转化为带成本的动态决策问题，并给出Spanner生产环境与公开缓存轨迹的对照结果，适合需要权衡内存成本、缓存命中率和I/O开销的团队参考。
Mozilla HacksAI 评分5555 PACT：面向开放 Web 的匿名凭证设计
Mozilla 提议以 PACT（Private Access Control Tokens）结合 Privacy Pass、匿名凭证与多方计算，为开放 Web 构建兼顾隐私的速率限制机制。
Home Assistant BlogAI 评分2626 Open Home Foundation项目通过代理让旧智能家居设备重新融入现代环境
Open Home Foundation 的项目借助代理，让仍能正常工作的旧智能家居设备重新融入现代智能家居。其目标是为这些设备延长使用寿命，并提升智能家居的可持续性。
Kubernetes BlogAI 评分4343 Kubernetes Dashboard 项目归档后，Headlamp 接续可视化 Kubernetes 管理
Kubernetes Dashboard 项目现已归档，Headlamp 在保留其工作流的基础上继续提供可视化 Kubernetes 管理界面。Headlamp 延续工作负载查看、清单编辑、资源删除、扩缩容和配置更新等能力，并新增多集群视图、Projects 应用视角及插件扩展。插件可将 Flux GitOps 工作流和 AI Assistant 集成到界面中；部署方式支持集群内运行和桌面应用。
Google DeepMind BlogAI 评分5050 Calico 借助 Co-Scientist 为衰老研究开辟新路径
Calico Life Sciences 团队正利用 Co-Scientist 串联衰老生物学中的分散成果，形成可供验证的新假设。该系统帮助团队辨析质量不一、无法复现等文献噪声，并获得专家认可。团队还提出了代谢如何调控 ISR 的新假设并持续完善实验设计，实验已产生关于 ISR 与健康、疾病关系的新发现，团队计划公布结果。
Go Blog精选AI 评分7777 Go 1.26 源码级内联器与 go fix 用法解析
Go 1.26 的全新 go fix 实现了源码级内联器，包作者可通过 //go:fix inline 声明 API 迁移，让 go fix 安全地替换函数、类型和常量引用。文章以 ioutil.ReadFile 迁移和 oldmath API 更新为例，说明 gopls 与 go fix 的使用方式，并分析参数消除、副作用、常量约束、变量遮蔽、未使用变量及 defer 等语义问题。
推荐理由：文章系统说明 Go 1.26 全新 go fix 与 //go:fix inline 的用法，并通过 API 迁移示例解释源码内联在副作用、常量、遮蔽、未使用变量和 defer 等场景下的处理边界。
Go Blog精选AI 评分8181 使用 go fix 现代化 Go 代码
Go 1.26 发布了完全重写的 go fix 子命令，可通过分析器识别并应用更现代的 Go 语言和库写法。文章介绍运行 go fix、预览差异、选择分析器、跨平台构建配置、重复运行至固定点，以及 Go analysis framework 和 self-service 现代化的基础设施。
推荐理由：文章系统讲解 Go 1.26 重写后的 go fix 用法、modernizer、冲突处理与分析框架，并展示如何借助 go fix 批量现代化 Go 代码。
Linux Mint Blog精选AI 评分6969 如何升级到 Linux Mint 22.3
Linux Mint 22、22.1 和 22.2 现已可升级至 Linux Mint 22.3。建议先使用 Timeshift 创建系统快照，并在 System Settings 中更新 Cinnamon spices；随后通过 Update Manager 刷新并安装更新，执行“Edit->Upgrade to Linux Mint 22.3 Zena”，完成后重启计算机。
推荐理由：文章提供从22、22.1、22.2升级到22.3的完整操作流程，并说明快照、组件更新、重启及升级选项恢复等关键步骤，适合升级前核对。
PortSwigger Research精选AI 评分6363 WebSocket Turbo Intruder：使用 Python 脚本测试 WebSocket 消息
WebSocket Turbo Intruder 将 Turbo Intruder 的高速攻击引擎引入 Burp Suite WebSocket 测试，支持用自定义 Python 脚本对消息进行模糊测试。扩展提供 HTTP Middleware、消息过滤、THREADED 并发引擎和独立 CLI，可用于探测 SQL 注入、身份验证绕过、竞态条件及协议异常，但更适合对单个目标进行高负载测试。
推荐理由：文中提供安装、脚本编写、消息过滤、协议适配、并发测试和 CLI 用法，并明确单目标与引擎稳定性限制，适合 WebSocket 自动化安全测试实践参考。
PortSwigger Research精选AI 评分7272 Cookie Chaos：如何绕过 __Host- 和 __Secure- Cookie 前缀
PortSwigger Research展示了利用浏览器与服务器解析差异绕过 __Host- 和 __Secure- Cookie 前缀的方法。文章测试了Django、ASP.NET及部分Java服务器的解析行为，并介绍使用Burp Suite Custom Action检测后端是否可能受到影响。
推荐理由：文章通过Unicode空白字符和传统Cookie解析差异，演示浏览器与后端解释不一致时如何绕过__Host-、__Secure-前缀限制，并提供Burp Suite Custom Action辅助检测，适合安全测试人员理解攻击面与排查配置风险。
PortSwigger Research精选AI 评分6767 使用链式 CSS 条件语句通过内联样式窃取属性数据
PortSwigger Research 研究人员展示如何利用链式 CSS 条件语句和 image-set()，在不导入样式表的情况下从内联样式中的属性读取数据。文章提供 div 样式、data-uid 范围判断及 Burp Suite Custom Action 示例，并指出该技术当时仅适用于基于 Chromium 的浏览器。
推荐理由：文章给出可复现的内联 CSS 属性数据外泄方法，涵盖条件语句、嵌套 if、引号差异及请求构造，并明确 Chromium 浏览器限制，适合开展 CSS 注入验证与防御测试。
PortSwigger Research精选AI 评分7878 如何区分 HTTP 流水线与请求走私
PortSwigger Research 分析了 HTTP 连接复用导致请求走私误报的原因，并区分连接锁定型请求走私、连接状态攻击和客户端 desync 攻击。
推荐理由：通过连接复用、流请求与部分请求等检查方法，区分误报和真实漏洞，并说明验证缓存投毒、内部头泄露及安全控制绕过所需证据。
Elastic BlogAI 评分4040 IT领导者分享AI采用旅程中的七项经验
三位早期采用AI的IT高管分享了组织推进AI应用的七项经验，包括从高价值问题切入、鼓励试验、使用高质量专有数据、量化成效，并通过架构审查避免AI sprawl和技术债务。Comcast、Adobe和Elastic的高管还强调，应持续监测AI系统的业务影响、用户满意度与输出准确性。
PortSwigger Research精选AI 评分6464 PortSwigger Research分析利用Unicode溢出绕过字符黑名单
PortSwigger Research介绍Unicode codepoint截断攻击如何将溢出值转换为指定ASCII字符，并说明JavaScript的fromCharCode()也存在类似溢出。
推荐理由：文章通过代码示例说明Unicode截断与fromCharCode溢出的利用方式，并介绍ActiveScan++检测、Hackvertor复现和Shazzer表更新，适合安全测试与防护分析参考。
PortSwigger Research精选AI 评分7474 利用 phantom $Version Cookie 绕过 WAF 的解析差异
PortSwigger Research 分析了现代 Cookie 解析器对 RFC2109 遗留语法的不同处理，展示了 $Version、引号编码、逗号分隔和重复 Cookie 请求头如何造成解析差异并绕过部分 WAF 检测。
推荐理由：文章通过对比常见框架对特殊 Cookie 语法的解析差异，演示如何借助 $Version、引号编码和重复请求头规避 WAF 检测，并给出关闭遗留支持、加强输入校验等防护建议，适合 Web 开发和安全测试人员参考。
Elastic BlogAI 评分5959 Elastic Security 检测工程能力全览
Elastic Security 介绍其 SIEM 检测工程工具集，包括预置规则定制、告警抑制、手动规则运行、自动创建案件和 AI 辅助查询。官方提供覆盖 54 种数据源的 1,300 多条 SIEM 检测规则及 70 多个机器学习作业，并说明规则监控、MITRE ATT&CK 覆盖分析和 Detections as Code 方案。
Mozilla HacksAI 评分5656 0Din：面向GenAI系统的漏洞赏金计划参与指南
0Din是一项面向GenAI系统的漏洞赏金计划，参与者可提交安全缺陷报告，团队将审核漏洞并按严重程度和影响发放奖励。覆盖范围包括绕过安全措施的越狱、Prompt Injection和训练数据泄露，政策要求私下报告且不得利用漏洞。
PortSwigger Research精选AI 评分8383 利用邮件解析器差异绕过访问控制的攻击方法
PortSwigger Research 介绍如何利用 encoded-word、Unicode 溢出、畸形 Punycode 及邮件路由语法造成的解析差异，绕过 GitHub、Zendesk 和 GitLab 的邮箱域名访问控制。
PortSwigger Research精选AI 评分7171 PortSwigger Research：可在真实网站落地的 Web 时序攻击
PortSwigger Research 提出可在真实网站落地的 Web 时序攻击，利用单包攻击降低网络抖动，并展示隐藏攻击面、盲注与反向代理错误配置的检测方法。研究在 30,000 个在线网站组成的测试平台上验证了相关技术，三类方法已可用于 Param Miner。
推荐理由：给出单包时序攻击的降噪方法、自动化工具和真实目标检测流程，可用于漏洞验证与安全测试，但需结合多种证据判断结果。
PortSwigger Research精选AI 评分7676 Fickle PDFs：利用浏览器PDF渲染差异
PortSwigger Research展示如何利用PDF表单字段与widget annotations的渲染差异，生成在不同查看器中显示不同金额的混合PDF。概念验证基于org.apache.pdfbox Java库：Safari和MacOS Preview显示£399，Google Chrome、Firefox及Google Drive预览显示£999，相关代码已公开在GitHub。
推荐理由：提供可复现的PDF构建代码与跨查看器对照，能帮助安全团队验证文档审批及AI读取中的呈现差异风险。
Elastic BlogAI 评分5555 Elastic、Google Cloud与Kyndryl端到端SAP可观测性深度解析
Elastic与Google Cloud、Kyndryl合作设计了覆盖云与混合基础设施、SAP主机、SAP应用和业务分析的全栈可观测性方案。方案通过Elastic Agent、Google Cloud Agent for SAP、Kyndryl连接器、Kibana及BigQuery采集、关联和可视化数据，以排查响应时间与网络问题。
PortSwigger ResearchAI 评分4242 PortSwigger Research 更新 XSS 速查表，补充冷门事件与向量
PortSwigger Research 更新 XSS 速查表，纳入多种新的跨站脚本攻击向量。新增内容包括仅适用于 Safari 音视频标签的 onwebkitplaybacktargetavailabilitychanged 事件。
Elastic Blog精选AI 评分6767 Elastic 与 Tines：用自动化 SIEM 调查减少误报
Elastic InfoSec 团队使用 Tines 自动执行 SIEM 告警初查，通过查询可信设备、网络区域和第三方系统来判断是否关闭告警，并将未自动关闭的告警升级给分析人员。
推荐理由：详述如何结合 Elastic Security、Elasticsearch 查询、Signals API 与 Tines 自动化 SIEM 告警初查，并给出标签路由、可信 IP 核验和 Slack 升级方案；同时指出已关闭告警可能被已知良好 IP 绕过的局限。
PortSwigger Research精选AI 评分6565 使用bambas优化Burp Suite中的HTTP分析视图
Burp Suite可通过称为bambas的代码片段创建自定义列，用于在HTTP请求与响应表格中提取和分析关键信息。文章展示了来源页面、Web服务器、HTTP版本、IP归属、GraphQL操作、Cookie、CSP等列的编写方法，并介绍了按请求参数数量和响应中“HTTP_”出现次数排序以辅助测试优先级判断。
推荐理由：通过可定制的HTTP请求与响应列，帮助安全测试人员集中查看来源、范围、GraphQL操作、令牌、CSP等信息，并按参数数量或响应特征排序请求。
PortSwigger Research精选AI 评分6565 利用TRACE降低HTTP请求去同步攻击的利用难度
研究展示了如何将TRACE与HTTP去同步、响应拼接和Web缓存投毒结合，构造可被缓存的任意响应。方法依赖后端响应TRACE请求；若代理禁用该方法，请求走私仍可能把TRACE消息直接送达后端，但可利用范围受缓存、反射点等条件限制。
推荐理由：给出了TRACE响应参与响应拼接、缓存投毒与响应拆分的请求构造，适合安全测试人员验证高风险配置及利用前提。
PortSwigger Research精选AI 评分7878 PortSwigger：通过表单劫持绕过CSP
PortSwigger Research展示了攻击者利用HTML注入注入表单或formaction，在CSP未配置form-action时窃取用户凭据。文章指出default-src不涵盖表单提交，并建议按需求将form-action设为'none'、'self'或指定URL，同时介绍Burp用于检测相关问题的CSP被动扫描检查。
推荐理由：文章结合真实案例说明CSP遗漏form-action时可能遭遇表单劫持，并给出none、self与外部URL的配置边界；Burp被动扫描检查及常见语法错误示例可直接用于安全排查。
PortSwigger ResearchAI 评分5656 利用Java源代码字符串隐藏有效载荷
PortSwigger Research演示了Java Unicode转义如何让Bambda中的字符串提前结束，并使Runtime.getRuntime().exec("open -a calculator")等代码被执行。Bambda允许使用Java代码过滤Burp项目，因此来自不可信来源的Bambda应先验证再使用。