文章总结： 本周安全热点聚焦于AI安全与多个高危漏洞。英伟达推出NemoClaw以应对OpenClaw的安全风险，但后者仍存在提示词注入等问题。DarkSword利用6个iOS漏洞（含4个0Day）窃取用户数据，同时微软Edge、Splunk及联发科芯片也曝出高危漏洞。此外，黑客攻击战术正从Windows转向macOS，并利用微软部署服务漏洞进行攻击。
综合评分： 85
文章分类： 网络安全,AI安全,漏洞分析,恶意软件,应用安全
英伟达发布“安全版龙虾”NemoClaw；DarkSword串联六漏洞攻破iOS | FreeBuf周报
FreeBuf
2026年3月21日 18:04
上海
各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、一周好文，保证大家不错过本周的每一个重点！
💽英伟达发布“安全版龙虾”NemoClaw
🍎DarkSword串联六漏洞攻破iOS，窃取四国用户敏感数据
🤖OpenClaw AI Agent漏洞可导致提示词注入攻击与数据窃取
🛡️Agentic AI重塑安全验证，终结割裂防御实现持续智能防护
🪆俄黑客组织利用微软Edge漏洞攻击乌克兰，部署DRILLAPP后门窃密
🧑💻从Windows转向macOS：ClickFix攻击利用ChatGPT诱饵升级战术
🖥️微软禁用Windows自动部署功能，应对高危RCE漏洞
☕星巴克数据泄露事件影响889名员工
💻Splunk高危RCE漏洞可致服务器被完全控制
📱联发科芯片高危漏洞：攻击者可在45秒内窃取安卓手机PIN码
#
英伟达发布“安全版龙虾”NemoClaw
英伟达推出NemoClaw平台解决OpenClaw安全漏洞，集成OpenShell防护机制，支持边缘AI本地处理。黄仁勋称OpenClaw是Agentic AI的关键基础设施，企业需制定相关战略。NemoClaw开源且硬件无关，但依赖英伟达优化，安全性和可信度仍是挑战。
DarkSword串联六漏洞攻破iOS，窃取四国用户敏感数据
DarkSword是复杂iOS漏洞利用工具，串联6个漏洞（含4个0Day）控制iPhone 18.4-18.7系统，窃取敏感数据。攻击链始于JavaScriptCore漏洞，绕过苹果安全机制，被用于沙特、土耳其等国定向攻击。建议立即更新iOS或启用锁定模式防护。
OpenClaw AI Agent漏洞可导致提示词注入攻击与数据窃取
#
中国警告开源AI代理OpenClaw存在严重安全隐患，包括提示词注入攻击导致数据泄露、恶意模块执行任意命令等风险，建议加强网络控制和隔离措施，防范关键行业数据泄露和系统瘫痪。
#
Agentic AI重塑安全验证，终结割裂防御实现持续智能防护
#
#
#
企业安全验证存在工具割裂、视角单一的结构性缺陷，需融合攻击者、防御者、风险三大视角。Agentic AI通过自主协同验证和实时安全数据织物，实现持续精准的威胁评估，推动安全验证从碎片化向统一智能平台演进。
#
#
#
俄黑客组织利用微软Edge漏洞攻击乌克兰，部署DRILLAPP后门窃密
乌克兰遭疑似俄罗斯黑客组织攻击，使用DRILLAPP恶意软件通过浏览器后门窃取数据，利用司法慈善诱饵和调试协议规避检测，针对特定国家时区，技术手段持续升级。
从Windows转向macOS：ClickFix攻击利用ChatGPT诱饵升级战术
ClickFix攻击转向macOS，利用ChatGPT诱饵升级社会工程手段，部署MacSync等窃取程序，从简单终端欺骗发展为模块化内存攻击，窃取敏感数据并绕过防护机制，威胁日益隐蔽高效。
微软禁用Windows自动部署功能，应对高危RCE漏洞
微软将分两阶段禁用Windows部署服务的无人值守功能，因高危漏洞CVE-2026-0386允许攻击者拦截配置文件执行恶意代码。建议管理员立即更新系统并迁移至替代方案，2026年4月后将默认禁用该功能。
星巴克数据泄露事件影响889名员工
星巴克员工门户遭钓鱼攻击，889名员工个人信息泄露，含社保号、银行账号等。公司已加强安全措施并提供24个月身份保护服务。
Splunk高危RCE漏洞可致服务器被完全控制
#
#
#
#
Splunk Enterprise和Cloud平台存在高危RCE漏洞（CVE-2026-20163），CVSS 8.0，攻击者可利用edit_cmd权限通过REST API执行任意命令。受影响版本包括10.0.0-10.0.3等，建议立即升级或移除edit_cmd权限。
联发科芯片高危漏洞：攻击者可在45秒内窃取安卓手机PIN码
#
#
#
#
联发科Dimensity 7300芯片Boot ROM存在硬件级漏洞，攻击者可45秒内窃取PIN码和加密钱包助记词，影响全球25%安卓设备。漏洞无法彻底修复，建议敏感数据转移至专用硬件钱包。
本周好文推荐指数
#
从OpenClaw看AI“数字员工”的十大威胁与检测
#
#
智能体（AI Agent）正从对话机器人进化为能独立操作的数字员工，但OpenClaw等项目暴露了80多个安全漏洞，27.2%公网实例存在高危风险。OWASP定义的十大风险包括目标劫持、工具滥用、供应链污染等，需通过输入净化、权限最小化、行为审计等措施防范。智能体安全需从漏洞扫描升级为行为监控，限制权限并引入人工审批。
#
API安全漏洞挖掘指南：40种真实世界漏洞模型
#
#
API安全漏洞指南：详解40种常见漏洞类型，涵盖认证、授权、数据暴露等6大类，包括越权、注入、资源滥用等，帮助安全人员系统化检测API接口风险，提升漏洞挖掘效率。
CISO的龙虾时刻：24小时无感排查实战指南
#
#
#
2026年AI工具”龙虾”暗藏安全风险，企业需隐形排查：不惊动员工，通过端点痕迹、网络日志和资产关联三层证据链静默评估风险，按等级处置（CRITICAL立即阻断，HIGH重定向），最终建立长效监控机制。
#
#
#
推荐阅读
电报讨论
#
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：FreeBuf 《英伟达发布“安全版龙虾”NemoClaw；DarkSword串联六漏洞攻破iOS | FreeBuf周报》