- 博客(105)
- 收藏
- 关注
RSS订阅原创 当漏洞发现进入“机器速度”，CISO该改什么？
一支安全团队刚把季度渗透测试报告送进修复流程，另一套AI扫描系统可能已经生成了下一批问题。新增告警越来越快，真正能够完成验证、排序和修复的问题却没有同比增加。安全工作的节奏差，就出现在这里。
2026-08-05 11:37:48
320
原创 [特殊字符] | OpenClaw威胁模型：MAESTRO框架分析
本文档将MAESTRO 框架（7 层智能 AI 威胁模型）应用于 OpenClaw 代码库，识别每一层的具体威胁，并根据实际实现详细说明缓解策略。
2026-03-16 16:37:48
495
原创 4月2日，上海｜第九届CSA大中华区大会·前沿人工智能安全峰会正式启动
本次第九届CSA大中华区大会暨前沿人工智能安全峰会旨在汇聚全球领袖与专家，共同探讨在AI时代背景下的安全治理新范式、构建可信数字未来，并表彰在AI安全与治理领域作出卓越贡献的组织和个人。与此同时，CSA正在筹备AI安全公开课CAISP与CAISCP。
2026-03-04 16:01:19
432
原创 AI安全Agent引爆产业重构，安全的钱要换地方花了
Anthropic 的 Claude Code Security 通过 AI Agent 将安全防护从“告警”向“自动修复”和“治理闭环”转型，引发了安全产业从传统告警工具向工程内生治理、责任追溯和供应链可信的根本性结构性重估。
2026-02-26 18:34:02
1053
原创 Moltbook 数据泄露事件：当 AI 平台遇上被忽视的身份安全基础
在 AI 参与开发和运行的系统中，基础安全失误往往会产生更大、也更难以控制的连锁影响。
2026-02-06 10:09:38
518
原创 如果 AI 也知道什么时候该说「我不知道」，世界会更安全吗？
AI 并不缺乏“不确定性表达”，真正缺失的是对“证据是否充分”的判断能力。当 AI 开始参与安全决策与自动化执行，识别它的“不知道”，正在成为新的风险管理课题。
2026-01-30 10:54:19
1185
原创 一家安全公司一年增长 5 倍，它踩中了 AI 时代的哪条安全主线？
Aikido Security 一年增长 5 倍，这家安全公司成功并非偶然，而是精准地捕捉到了安全行业在 AI 时代的根本转型——从“事后补救”到“事前防护”，并通过 AI 解决了安全能力“太难用”的根本痛点。
2026-01-23 11:00:49
681
原创 安全行业进入下半场：为什么“更好的技术”已经卖不动了
在安全行业的下半场，技术的“好”已不再是决策的核心驱动，市场正从单纯追求功能的“可能性”转向必须承载风险与后果的“责任重构”。
2026-01-16 11:58:32
383
原创 关于申报CSA 2025年度奖项，我们解读6个关键问题
云安全联盟大中华区（CSA GCR）奖项已步入第5个年头，作为连接中国与全球数字安全领域的重要桥梁，本奖项旨在树立行业可信赖的实践标杆。2025年度评选以 “构建可被信任的智能系统与数据体系” 为核心主题，申报窗口现已开启，以下是针对本年度奖项申报的常见问题解答，供申报企业参考。
2026-01-07 10:34:55
970
原创 CSA大中华区2025 年度企业奖项评选正式启动
随着人工智能与大数据系统深度融入企业核心，安全与治理已从技术难题跃升为组织竞争力的关键。云安全联盟大中华区（CSA GCR）正式启动 2025 年度企业奖项评选，旨在表彰在构建 可信 AI 系统 与 可信数据体系 方面的卓越实践。
2026-01-05 11:38:38
670
原创 AI 黑进斯坦福网络 16 小时：它已经开始胜过人类黑客了
如果让 AI 自己去“黑”一所大学的网络，它能做到什么程度？在一项最新研究中，一个 AI 智能体连续运行 16 小时，成功挖出了斯坦福大学计算机科学网络中的多个安全漏洞，表现甚至超过了大多数职业渗透测试人员。更关键的是：它的成本，只是人类专家的一小部分。
2025-12-19 11:52:20
851
原创 CSA发布| Cloud Threat Modeling v2.0 (2025) 深度分析与解读
报告最终的落脚点在于行动。v2.0在最后概括了从理论到实践的跃迁路径，强调“左移”不仅仅是口号，而是通过早期介入降低修复成本的经济学必然。对于正在进行数字化转型的企业，这意味着无需等待完美工具，而是应立即利用现有资源（如简单的卡片法），在AI系统大规模部署前建立起基本的风险免疫系统。CSA《Cloud Threat Modeling v2.0》不仅仅是一份操作指南，更是云安全治理向左移（Shift Left）和智能化转型的宣言。对于企业的核心建议立即启动，从小做起。
2025-11-26 17:28:20
1062
原创 不止于密码：卢浮宫失窃案带来的网络安全教训
窃贼从全世界最受欢迎的博物馆盗走法国王室珠宝震惊世人。这起事件揭示的问题远不止随意的口令设置这么简单。卢浮宫窃案为网络安全界“贡献”了重要且颇具启示性的教训。
2025-11-21 16:24:13
1040
1
原创 构建AI原生工程组织：关于速度、文化与安全的经验
不久前，我领导了一家快速发展的科技公司的工程组织的转型。我们的目标是从一个传统的、高功能的团队转向。它不是从全面战略开始的。它始于令人不舒服的经验。一个新的IDE。少数重新构想的流程。一些工程师愿意挑战他们的习惯。但随着这些变革逐渐深入人心，我们发现自己正在构建一种截然不同的存在。团队行动更快，协作更流畅，依靠人工智能不是作为搭档，而是作为我们未曾料到的是，熟悉的根基竟会如此迅速地失效。向原生AI开发的转型带来了，但也随之暴露了**能见度、身份泛滥和安全态势等方面的严峻挑战。
2025-11-17 11:24:13
933
原创 CSA三项认证入选《上海市境外职业资格证书认可清单（3.0版）》
近日，上海市人力资源和社会保障局正式发布《上海市境外职业资格证书认可清单（3.0 版）》。云安全联盟（CSA）的。《上海市境外职业资格证书认可清单》是上海深化人才发展体制机制改革、推进高水平人才高地建设的重要举措。该清单对进行分类认可，为持证人才在本市执业、就业、落户及职称评定等方面提供相应便利。1．外籍人员可凭相关单位邀请函件办理有效期5年以内的多次签证，或凭工作许可办理有效期5年以内的工作居留许可；
2025-11-11 10:08:10
648
原创 无密码认证--应对凭证式攻击的数字信任变革
凭证式攻击（Credential-Based Attack）是一种网络攻击类型，攻击者试图窃取并滥用用户凭证（如用户名、电子邮件地址、密码），以未经授权的方式访问系统、网络与应用程序。其核心目标是绕过认证机制、冒充授权用户，从而获取机密信息与敏感资源。若此类攻击未能得到有效处置，往往会导致企业声誉受损、财务损失和数据泄露。无密码认证（Passwordless Authentication）是一种认证机制，允许用户无需手动输入密码或回答预设安全问题即可访问应用程序或系统。
2025-11-04 15:53:47
879
原创 五大理由揭示：未接入应用正成为企业不可再忽视的风险
市场、工程、客户服务等业务部门常依赖那些不支持 “基于角色访问控制（RBAC）” 的工具，由此催生固定的临时解决方案（workaround）：账号凭证被存储于电子表格、在企业协作工具 Slack 中传阅，或通过邮件发送给外包人员。无论企业规模大小，均需依托身份与访问管理（IAM）、身份治理与管理（IGA）及特权访问管理（PAM）来保障账号登录安全、安全策略执行并满足合规要求，此类平台构成现代身份安全体系的核心支柱。外包人员、合作机构及临时员工获取访问权限的流程普遍不规范，缺乏透明度，更无法实现有效治理。
2025-10-17 17:22:10
861
原创 身份安全：2025 年云环境中的最薄弱环节
关注国际云安全联盟公众号，回复关键词 “身份安全”即可获取报告完整版。在云环境中，身份安全已正式超越其他所有风险，成为首要关注点。根据云安全联盟（CSA）是头号云安全风险。如今，混合云与多云部署已成为常态，而身份正是连接所有环节的核心纽带 —— 这也使其成为攻击者首要瞄准的薄弱点。
2025-10-10 11:22:21
771
原创 以美为鉴：构建现代化的核能行业网络安全合规体系--为人工智能革命提供动力
人工智能的迅猛发展，对能源生产提出了前所未有的巨大需求。核能行业是否已做好准备？如今，单是OpenAI的ChatGPT，在全球范围内的提示词（prompts）日处理量已经超过 20 亿条，。未来，这一数字还会进一步攀升。倘若再将所有人工智能模型的训练、所有数据中心的持续运转以及所有智能系统的学习过程所消耗的能源叠加起来，。相关数据触目惊心，而传统能源根本无法满足人工智能对电力的巨大需求。。
2025-09-30 09:50:26
702
原创 CSA AICM 国际标准：安全、负责任地开发、部署、管理和使用AI技术
该工具包被战略性地定位为 CSA 不断扩展的 STAR（安全、信任、保障和风险）计划向 AI STAR 计划发展的基础，该计划预计在不久的将来涵盖专门的AI认证和认证途径。该矩阵涵盖的领域不仅包括数据安全与隐私、治理、风险与合规以及事件响应等关键基础领域，还涵盖模型鲁棒性、对抗性防御、AI 生命周期管理和问责制等专业 AI 主题。这使得 AICM 套件成为一个前瞻性且精心打造的解决方案，适用于。
2025-09-17 17:46:14
945
原创 智能体AI亟待解决的身份问题
智能体AI（即旨在跨数字环境进行推理、规划和行动的自主软件系统）正悄然重塑工作的开展方式，同时也带来了大多数组织尚未准备好应对的身份与安全方面的挑战。通过将每个软件组件视为一个独立的、具备身份识别能力的工作负载，并将可观测性与上下文执行相结合，组织可以为智能体AI建立坚实的安全基础。与早期的自动化形式不同，智能体AI并不局限于重复性的、脚本化的任务。是协调执行的协调器？：日志记录应超越传统的访问记录，捕捉完整的因果链（从用户指令到智能体推理，再到API调用），确保在安全、合规和运营监督方面具备可追溯性。
2025-09-04 16:20:11
799
原创 CSA发布 | 云计算关键领域安全指南v5
云计算关键领域安全指南》（简称：云安全指南）由云安全联盟（CSA）于2009年首次发布，成为了全球实施云安全的必备手册，为云计算用户、服务提供商及安全专家提供实用的安全策略，帮助他们在快速变化的云环境中有效地实施安全控制和防护措施。这些元素共同构成了对⽹络威胁的强⼤防御措施，确保利⽤云技术的企业的云基础设施的完整性和弹性。随着云平台将众多数据中心的管理功能和服务整合到统一的可通过互联网访问的Web控制台和应用程序编程接口 (API)中，IAM成为云原生安全的新防线，保护敏感资源免遭未经授权的访问和滥用。
2024-12-27 15:15:59
1332
原创 CCSK试题等你来答！
第十二题答案&解析：选项C,最小权限原则严格限制用户的访问权限，仅限于其任务所需的内容，从而减少潜在滥用或泄露的风险。第七题答案&解析：选项A,ZTNA的原则是，除非得到验证，否则用户或设备不被信任，从而通过要求身份验证来提高安全性。第三题答案&解析：选项C,定期进行风险评估和安全审计有助于持续识别潜在的风险和漏洞，从而实现主动的风险管理。第十一题答案&解析：选项A,云事件响应团队需要持久的读取访问权限，查看所有部署的资源和配置，以帮助分析事件。A.持续的读取访问和关键情况下的受控写入访问。
2024-12-20 14:06:19
561
原创 听听学员与专家眼中的CCSK v5升级价值
在一次为金融服务公司迁移大量敏感数据到云平台的项目中，通过CCSK v4中学到的技术，制定了数据分类与加密策略，根据数据的敏感级别实施不同的加密手段，并建立了基于角色的访问控制体系，确保只有授权人员能够访问敏感数据。例如，在最近设计云上应用安全架构体系的过程中，我结合了v5中的零信任、云原生安全和云上身份认证安全等内容，为客户打造了一套涵盖安全需求分析、安全规划设计、安全开发、安全测试和安全运营的一体化DevSecOps体系，同时结合了SASE技术，更好地保障了云上租户和数据的安全。
2024-12-16 12:04:07
1083
原创 从V4到V5，CCSK将AI、零信任和数据湖融入云安全实践中
CCSK v5将AI和生成式AI的内容纳入课程，帮助云安全专业人员理解AI技术在云环境中的潜在风险和挑战，特别是数据偏见、模型滥用以及如何保护AI模型的安全性。移除“安全即服务”（SECaaS）部分：SECaaS曾经是云安全的一个热门话题，但随着市场的成熟，这一概念已经不再是独立的服务，而是融入了整个云安全框架中。CCSK v5进一步加强了如何确保云安全治理和合规性的内容，帮助学员理解如何设计符合不同法规要求的安全架构，同时进行持续的审计和合规性检查。身份管理是云安全的核心领域之一。
2024-12-05 18:06:18
952
原创 大会成果抢先看 | CSA大中华区20份关键领域研究报告
2024年，CSA大中华区继续致力于推动云计算与下一代数字技术安全的全面研究，紧密结合业务场景和技术创新，深入探索行业的前沿领域。与此同时，CSA大中华区与众多成员单位紧密合作，促使研究成果在实际业务中的落地应用，助力行业在安全、合规与技术发展方面取得更深入的进展。第八届云安全联盟大中华区大会将于2024年11月15日在北京盛大举行，本届大会的主题为“云安全·AI，迎接未来（Cloud Security·AI For Tomorrow）”。作为全球数字安全领域的重要盛会，大会将汇聚来自全球的领先企业、政
2024-10-30 23:32:26
876
原创 CSA发布 | 医疗行业变革下的治理、风险管理与合规性策略
随着医疗行业的迅猛发展，云计算、人工智能（AI）、区块链和物联网（IoT）等新兴技术正在推动行业发生深刻变革。这些技术在提升医疗服务质量与效率的同时，也伴随着数据安全、合规性和风险管理方面的新挑战。医疗保健机构（HDO）在充分利用这些技术时，必须确保数据的安全性与合规性，这使得建立和优化治理、风险管理与合规性（GRC）框架变得至关重要。为帮助医疗保健行业深入理解并有效应对这些风险，云安全联盟大中华区发布了《医疗保健中的信息技术治理、风险与合规(第二版)》报告。该报告重点强调了在云计算环境下设计健全的GR
2024-10-28 21:59:55
949
原创 AI与云安全：数字新时代的交汇与变革，11月15日北京，携手共迎未来挑战！
第八届云安全联盟大中华区大会将于11月15日在北京盛大举行。本次大会将聚焦人工智能、数据隐私、云安全等热点议题，邀请众多国际知名专家学者及行业领袖，共同探讨行业前沿技术与发展趋势。
2024-10-14 19:55:23
216
1
原创 全球视角下的AI安全挑战：面向未来的准备
在全球科技创新的洪流中，人工智能（AI）无疑是最引人瞩目的浪尖。随着OpenAI、谷歌DeepMind、微软等科技巨头相继发布其在AI安全领域的最新进展，一场围绕AI安全的全球对话正悄然升级。这些举措不仅揭示了当前AI安全技术的最前沿，也预示着面向未来，构建安全、可靠、负责任的AI生态体系已经成为国际共识。
2024-06-27 10:42:28
2169
原创 国内首发 | CSA大中华区启动《AI安全产业图谱（2024）》调研
在人工智能（AI）技术的快速发展浪潮中，AI安全已成为全球关注的焦点。为应对AI安全带来的挑战，确保AI技术的健康发展，全球范围内的研究机构、企业和技术社区都在积极探索解决方案。在这一背景下，CSA大中华区于等机构的专家，致力于构建一个多方参与、共同治理的AI安全生态系统。CSA大中华区在AI安全领域开展了多项研究工作并取得显著成果。先后发布了》等研究成果；与OpenAI、亚马逊、谷歌、微软等行业巨头合作，共同发起了AI安全倡议。
2024-05-06 18:45:40
1624
1
原创 CSA发布| 务实的DevSecOps实施解读（上） 之 DevSecOps黄金流水线与关键角色
云安全联盟大中华区发布DevSecOps的六大支柱：务实的实现（以下简称“报告”）该报告中的 DevSecOps 实施指南被组织成一系列实际职责和活动，旨在帮助数字安全领导者在开始进行DevSecOps时做出务实决策。
2024-04-03 10:20:17
955
原创 CSA发布| 科技创新和云计算趋势中的网络安全因素
云安全联盟大中华区发布了报告《安全驱动创新和云趋势（Security-Enabled Innovation and Cloud Trends）》（以下简称报告），通过一系列的翔实的调研数据，可以系统性的让读者了解到IT行业内基于网络安全驱动科技创新的最新进展、由此带来的科技创新成果以及当前云计算技术最新的发展趋势。
2024-03-21 19:16:00
1481
1
原创 CSA发布|《面向IAM的零信任原则与指南》
本指南结合零信任对身份和访问管理进行了细致说明，为企业实施零信任架构或策略时提供了访问控制过程中的最佳实践。
2024-03-14 19:52:57
1112
原创 专访|云安全攻防：从理论到应用的全面探索
对于云安全领域的贡献和价值，CCPTP云渗透测试认证专家作为全球首个云渗透测试能力培养课程及人才培养认证，弥补了国内云渗透测试认知的差距和技能型人才培养的空白。其次相关人员在完成CCPTP课程的学习之后，会获得相应的认证和证书，该证书在云安全行业中具有一定的权威性和认可度，有助于提升在云安全领域的职业竞争力。在这一背景下，云安全联盟大中华区发布的CCPTP（云渗透测试认证专家）课程为安全专业人士提供了针对云计算渗透测试所需的专业实操技能，弥补云渗透测试认知的差距和技能人才培养的空白，以更好应对云安全威胁。
2024-03-07 21:02:03
1390
原创 你不可不知的数据安全词汇都在这！
在这一背景下，我们深感需要有一个统一的、全面的数据安全术语基础，以便行业从业者之间能够有效沟通和协作。正是出于这样的需求，云安全联盟。我们邀请全球的网络安全专业人员、学者和政策制定者一起加入我们的行列，共同努力，为建设一个更安全的数字世界贡献力量。此外，我们也认识到，随着技术的发展和全球数据治理政策的变化，数据安全领域的术语和概念将持续更新。我们的目标是通过这份词汇表，为数字安全专业人员、研究人员以及政策制定者提供一个清晰、准确的参考框架，以促进知识的共享和行业标准的制定。文末附《白皮书》获取方式。
2024-03-01 19:44:38
743
原创 开展云计算业务？你需要一个CAST认证！
更多关于CAST认证的信息，以及如何应用CSA《云应用安全技术规范》以强化您的云安全实践，请访问CSA大中华区的官方网站（https://c-csa.cn/）。通过CAST认证，厂商可以快速向租户证明其云应用的安全能力与合规能力，节省云厂商选型的评估成本，增强客户信任，提升产品的市场竞争力。CAST认证所使用的测评标准由云安全联盟大中华区和公安三所联合三十多家云厂商和安全厂商，基于CSA标准《云应用安全技术规范》起草。为云应用厂商研发安全的云应用产品提供明确指导，帮助云厂商构建安全的云应用。
2024-02-23 14:12:56
1029
原创 法律视角下的数据出境《2023年数据出境合规年鉴》
报告汇总了数据出境规则施行一年以来的规则沿革、规则适用中的重大事件、市场主体在规则适用中探索的最佳实践等内容，以形成规则施行元年的出境全貌，为涉及到数据跨境业务的监管、行业主管、企事业建立和规范出境活动提供参考。
2024-01-31 19:58:20
979
原创 CSA大中华区发布《AI安全白皮书》，中国电信、蚂蚁集团、华为、百度安全等单位参编
关注国际云安全联盟公众号，回复关键词“AI”即可获取报告完整版
2024-01-30 15:39:46
2019
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人