提示注入入门篇讲清了「为什么外部文本不可信」，这篇讲「防御怎么落地」——RAG 与 Agent 场景的四道防线：入口净化、上下文隔离、权限收窄、输出校验。没有单点银弹，只有纵深组合。

深度伪造篇拆解了攻击的技术，这篇拆解防御的产业：活体检测的攻防军备、身份验证的多因子重构、以及「人脸不再等于身份」之后，金融与政务的 KYC 体系怎么重建。

AI 把「制造可信的假内容」的产能提高了几个数量级：假新闻网站网络、克隆媒体品牌、批量生成的政治深伪——信息生态的防御方面临产能不对称的战争。本文讲清 AI 错误信息的新形态、检测与溯源的军备、以及「信任的基础设施」为什么比「逐条辟谣」更重要。

IT之家 10 月 12 日消息，据《卫报》报道，英国将加强其网络防御，同时呼吁顶尖人工智能研发企业在系统安全治理上采取更积极的举措。 英国 AI 国务大臣卡尼什卡 · 纳拉扬（Kanishka Narayan）预计将在西伦敦发表的专题演讲…

越狱是针对大模型安全对齐的概率性绕过。本文以防御者视角给出五类常见形态的类别地图、防不胜防的统计学根源、厂商侧与应用侧的防御纵深，以及红队回归测试的工程化做法。

Agent 工程系统学习第 11 章：Agent 攻击面 = 传统 Web + 模型新面。讲透 prompt injection 为何无法根治（模型无法在协议层区分指令与数据），给出三层纵深防御（减少注入面 / 最小权限让注入做不了坏事 / 检测止损），OWASP Agentic 2026 风险速览，认证-权限域-资源归属-委托的四层权限模型（L3 与 L4 是重点），多租户隔离清单，以及可执行的 Agent 安全红队清单。

Google 发布 Gemini 4 系列首个旗舰模型 Argon，主打长周期深度推理，聚焦真实场景编程、企业知识工作与网络防御。

LLM API 的每次调用都是真金白银——没有滥用防护的应用，等于把信用卡贴在门口让人刷。速率限制的算法选型、分层配额的设计、滥用模式的识别与成本攻击的防御，这是一门用「元」计价的工程学。

system prompt 是很多 AI 产品的核心机密——但它就写在每次请求的开头。泄露攻击的形态、防御手段的失效边界、以及「假设会泄露」的架构设计——保护提示词的正确姿势，是不把它当秘密。

哈希表是计算机科学里最接近魔法的结构：无论存多少数据，查找都是常数时间。魔法背后是三件事：哈希函数的均匀性、冲突的两种解法（链地址与开放寻址）、以及扩容的时机与代价。本篇拆解 O(1) 的真实含义、各语言的哈希表实现差异、以及哈希碰撞攻击的防御。

AI 生成的文本、图像、音视频正在以假乱真，检测技术却在「猫鼠游戏」里节节被动。本篇拆解检测的两条技术路线（被动检测器与主动水印）、各自的可绕过性与部署现实、监管的强制水印要求，以及为什么这场军备竞赛的结构性劣势在防守方——以及什么才是现实的防御姿势。

一个闭源模型最值钱的资产是权重，而权重可以通过 API 被系统性「抽取」：用大量查询与输出对训练出一个行为高度相似的「影子模型」。蒸馏攻击、成员推断、系统提示窃取——模型窃取已经从学术攻击变成了真实的商业争议。本文讲清模型窃取的技术谱系、真实的攻防案例与防御的现实边界。

从模型市场下载一个开源权重文件，可能携带的不只是参数：pickle 反序列化的任意代码执行、被「重新发布」的假冒模型、藏了后门的微调权重。模型供应链安全正在成为软件供应链安全之后的新战场。本文讲清攻击面、已公开的真实案例与工程上的防御清单。

模型的价值观与能力来自训练语料——如果有人能往语料里「放东西」，就能往模型里「放行为」。数据投毒研究证明：在网络级语料中混入极小比例的恶意样本，就可能植入持久后门。本文讲清投毒的攻击模型、语料时代的现实暴露面、以及「验证成本不可压缩」这条防御的底线逻辑。

你每秒都在与病原体交战，而战场上的大多数战斗你毫无感觉——因为免疫系统是一套三层纵深防御体系：物理与化学的城墙、几分钟内响应的先天免疫快反部队、以及学习过敌军档案的适应性免疫精准打击。本文讲清这三层怎么协作、为什么发烧是友军信号、「免疫力」这个流行词到底指什么。

OAuth 2.0 是现代互联网的授权标准：「用微信登录」「用 GitHub 登录」背后都是它。本文讲清四种授权模式的适用场景、AccessToken 与 RefreshToken 的配合、PKCE 扩展为什么是移动端的必选项，以及常见的 Token 安全漏洞与防御。

给模型装上眼睛和耳朵，等于给它开了一扇绕过安全训练的新门：把恶意指令藏进图片、用高频音频注入、在图表里编码攻击文本——多模态模型的攻击面远大于纯文本。本文讲清多模态越狱的主要技术路线、为什么它们比文本越狱更难防、以及防御的纵深设计。

2026 年 10 月，开源编码智能体 OpenCode 的控制台被入侵，1.4% 关联用户的 Anthropic、OpenAI、Google API 密钥可能外泄。本文从这起事件出发，把编码智能体的凭据失守路径拆成三条——指令文件劫持、运行时反馈注入、存储与供应链薄弱——每条都配真实事件与实验数据，再给出从短时效凭据到出口管控的四层防御工事，以及一份今天就能动手的工程清单。

Google 发布前沿模型 Gemini 4 Carbon，以 59 分登顶 Artificial Analysis Intelligence Index v5.0，在编码、智能体与网络安全上显著提升，并率先向网络防御者开放。

模型不存数据，却会「背」数据。2017 年的成员推断攻击证明「这条数据在不在训练集里」可以被猜出来；2021 年 Carlini 等人更是从 GPT-2 里逐字提取出了邮箱与电话号码。本文讲清三大隐私攻击的机制、它们共同的温床（过拟合与记忆），以及差分隐私等防御的真实效果。

血常规是最常开的检查，也是最容易「看了一行就慌」的报告——一个箭头向上就怀疑白血病的人不在少数。本文把报告拆成三本账：红细胞管运输、白细胞管防御、血小板管止血，讲清每本账的收支逻辑、常见箭头的含义，以及什么样的异常才值得追查。

2026 年 9 月底 gVisor 被捐赠给 CNCF，官方安全档案里约 110 个内核高危漏洞 96% 被直接防御、零个被攻破。本文拆解它的 Sentry/Gofer 三进程模型、systrap 系统调用拦截、directfs 文件代理与多层防御设计，澄清 Cloud Run 与 Kubernetes agent-sandbox 的两处常见误传，并给出它与 microVM 的选型对比：谁该走哪条路线。

AI 写代码引入了三类新安全面：约两成 AI 建议的包名并不存在（攻击者开始抢注这些「幻觉包名」，术语叫 slopsquatting）、仓库里的恶意注释能劫持编码智能体、生成代码自带老漏洞。本文拆解三类风险的机制与防御清单。

提示注入的根因是指令与数据共用一个通道。本文讲清直接与间接注入的差别、为什么它像没有参数化查询的 SQL 注入，并给出输入、上下文、能力、检测四层防御清单与信任边界思维。

Agent 工程系统学习第 3 章：上下文工程取代 prompt engineering 成为核心技能。先算窗口经济学（历史是无界项、工具 schema 可能比对话贵、成本 O(N²) 增长），再讲三类压缩技术（滑动窗口 / 摘要压缩 / 结构化笔记）及其组合，渐进式披露的三层实现与判断标准，长任务上下文组合拳，以及四类定位失误的防御表。

Agent 工程系统学习第 4 章：记忆系统解决跨会话问题。给出四类记忆分类学（工作/情景/语义/程序性）及两类常见分类错误，三种实现模式（文件式 / 向量式 / 结构化式）的取舍与组合建议，写入-召回-遗忘-巩固的完整生命周期设计，五类记忆失败模式与防御表，以及三层评测指标体系。

🏠曝苹果进军智能家居，拟于 10 月 13 日推出家庭中枢 📱iPhone 18 Pro 中国首销 3 天销量超上代首周，苹果周份额达 33% 🌐Google 发布 Gemini 4 Argon，先向网络防御者开放测试 🏢机构预计 …

OpenAI 宣布动用 10 亿美元专项基金支持澳大利亚网络防御建设，并成立工作组应对 AI 智能体风险，其首席战略官将赴澳出席议会听证会。

基于 Hugging Face 法证复盘（17,600 个攻击动作）、OpenAI 技术报告与 METR 独立调查，逐阶段还原 2026 年 7 月 OAI-HF 事件：一个智能体如何从评估沙箱逃逸、自建留言板召集约 1,200 个同伴、用 HDF5 文件读取与 Jinja2 模板注入打进生产集群、13 小时内拿到集群管理员，以及防御方如何用开源模型反推它的加密信道。

论文提出AgentSafeEvo，通过攻击者-防御者博弈的协同进化强化学习，提升LLM智能体在多轮工具调用中抵御恶意内容操纵的安全性。

网络会超时、用户会双击、重试机制会重发——只要操作会被重复执行，幂等就是必需品。本篇拆解幂等的定义与天然幂等操作、五种防重方案（唯一约束、去重表、Token、乐观锁、分布式锁）的适用场景，以及「先查再写」为什么不是防重。

备份是数据库运维的「最后防线」——但很多团队的备份从未恢复过。全量、增量、日志备份的三层体系，PITR（时间点恢复）的原理，以及「备份的可用性」只有靠恢复演练来证明。

AI 应用在企业里铺开，CISO 的防护对象变了：模型、提示词、Agent、向量库——但这些新物种的威胁模型与传统安全有多少是通的？给安全从业者转型 AI 安全的知识迁移地图：哪些要带、哪些要学、哪些要放下。

胃酸的腐蚀性足以溶解金属，胃却天天泡在里面安然无恙。这篇讲透胃酸的制造工艺、三层防自噬屏障、以及抑酸药「质子泵抑制剂」到底泵住了什么——胃的工程学比你想的硬核。

DNS 是互联网的「电话簿」，也是流量调度最古老、最强大的杠杆。递归与迭代的解析过程、TTL 与缓存的权衡、智能调度的实现（GeoDNS）——以及 DNS 劫持与 DoH 的攻防。

「给 AI 生成的内容打个看不见的标记」是溯源最直觉的方案：文本水印改写词频、图像水印编进像素、Google 的 SynthID 已商用。但水印天生是一攻一防的军备：改写攻击、 paraphrase 绕过、开源模型无法强制。本文讲清水印的技术原理、已被证明的局限、以及它在「溯源工具箱」里的真实定位。

AI 与军事的结合不是未来时而是现在时：目标识别、情报分析、无人系统的自主化——以及最尖锐的争议点：自主武器（LAWS）该不该被禁止。这场辩论已经持续四十年，从联合国公约讨论到实验室的道德声明。本文讲清军事 AI 的现实图景、LAWS 辩论的核心论点、以及「人的判断」这条底线的攻防。

2024 年初，一家跨国公司的财务员工参加了一场多人视频会议—— CFO 与同事全是 AI 伪造，15 笔转账、2 亿港元，无一真人。本文复盘这起教科书级案件，拆解深伪诈骗的信任链、为什么「视频里有脸有声音」正在失效，以及检测与组织防线该怎么建。

基于 2026-09-22 独立研究整理：拆解 Meta Muse 的三层产品谱系与时间线、Secure VM 六层防护（凭据代理替换 / tainted egress / 审批绕过模型）、Muse Spark 1.3 能力口径（AA 指数 61–62 vs Claude Fable 5.1 的 66）、定价与商业模型、三情景推演与风险矩阵，并给出核心判断——Agent 的天花板由平台开放意愿决定，而非模型智力。

故障复盘不是「找责任」，是「把故障变成组织的免疫能力」——Google SRE 的 blameless 复盘文化、时间线的重建方法、根因的追问技术、以及「行动项必须落地」的闭环。复盘的质量，决定同样的事故会不会再来一次。

监控数据的特点：写入源源不断、按时间查、几乎不更新——这个特征催生了时序数据库（TSDB）的独特存储设计。Prometheus 的 TSDB、时间分片、索引结构与降采样——为什么监控系统都选 TSDB。

熔断器篇讲了「自动刹车」，这篇讲「预案体系」：系统过载时的降级阶梯、依赖的隔离、兜底的层次——大促与故障时，「有预案的降级」与「慌乱的宕机」是两种完全不同的体验。

安全评测通常测「模型会不会做坏事」（拒答、越狱），危险能力评估测的是另一件事：「模型有没有能力做坏事」（生化辅助、网络攻击、自主行动）。前者是行为测试，后者是能力上限测试——前沿模型部署前的必答题。

AI 事故报告制度篇讲的是公共报告制度，这篇讲企业内部的「事件响应 SOP」：Agent 越权执行了操作、模型幻觉造成业务损失、内容生成引发客诉——内部 AI 事件的分级、响应与复盘流程怎么建。

结果监督只看「答案对不对」，过程监督盯着「每一步推理对不对」——OpenAI 的「Let's Verify Step by Step」让过程奖励模型（PRM）成为推理对齐的主流技术。过程监督为什么能干掉reward hacking，以及它的工程代价。

AI 安全的工具生态正在开源社区快速成形：NVIDIA 的 Garak、微软的 PyRIT、Anthropic 的评测框架——红队工程师的瑞士军刀已经组装完毕。盘点主流工具的能力边界，以及「工具好找、用得好的很少」的现状。

「大促要多少台机器？」——容量规划是每个架构师的必答题。从业务目标（PV/UV）到技术指标（QPS），从单机压测到资源推算，从余量设计到成本优化——容量规划是「把业务翻译成机器」的工程学。

CUDA 生态的二十年护城河（库内已有专文）面前，挑战者们不走同一条路：Groq 把 SRAM 推到极致、Cerebras 把晶圆当芯片、Tenstorrent 走开放架构——三种「绕开英伟达」的姿势，各有各的数学与各有的命门。

AI 让写作快了十倍、设计快了十倍，但创作者的收入并没有涨十倍——生产力溢价被平台、被供给膨胀、被广告单价稀释了。把「溢价去哪了」这笔账算清，创作者与平台的新均衡才能看懂。

十四五岁的孩子不是变坏了，是大脑里两套系统成熟错位：油门先装好，刹车还在路上。读懂双系统模型，青春期的每一次鲁莽都能找到它的神经注脚。