iT 邦幫忙::一起幫忙解決難題，拯救 IT 人的一天

1 Like 1 留言 765 瀏覽

技術【Day 10】前端 AI 專案的資安防護：打造安全且直覺的 API Key 設定彈窗

一、前言在前幾天的文章中，我們已經順利將 Google Gemini API 串接進「AI 酒館」中。然而，在 100% 前端運行的 Vite 專案裡，使用...

414570590 ‧ 2026-10-18

0 Like 0 留言 143 瀏覽

鐵人賽 AI Security DAY 30

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 30 篇

技術 Day 30｜我把這個 Agent 放進紅隊測試後，還剩下多少風險？

30 天前，這個專案只有一個目標：讓 AI 幫忙查 SOP，必要時建立一張 mock 工單。功能不複雜，但只要 Agent 能讀文件、選工具、保存記憶或把任務交...

justin_log ‧ 2026-10-14 ‧團隊nutc imac

0 Like 0 留言 49 瀏覽

鐵人賽 Security DAY 30

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 30 篇

技術 [DAY30]仿生人是否會夢見網頁山羊?-- 完賽心得

完賽啦!!! 想不到自己真的做到了，堅持完成了30天不間段的文章輸出原本以為自己撐不到20天就會放棄了在寫的時候有一些想法跟覺得自己能改進的地方，就拿來放在最後...

xiaoming945 ‧ 2026-10-13

0 Like 0 留言 80 瀏覽

鐵人賽 AI Security DAY 29

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 29 篇

技術 Day 29｜Agent 又慢、又貴、又愛重試：答案其實都在 Trace 裡

Day 28 證明了一件事：最終回答不能代表整個 Agent run。既然真正的證據在執行軌跡裡，我就能再問更實際的問題：這次到底呼叫幾次模型、花多少 Toke...

justin_log ‧ 2026-10-13 ‧團隊nutc imac

0 Like 0 留言 83 瀏覽

鐵人賽 Security DAY 29

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 29 篇

技術 [DAY29]仿生人是否會夢見網頁山羊? -- CSRF, Security Misconfiguration, XXE 防護

由於之前說過的 A5 Security Misconfiguration中包了一個Security Misconfiguration，所以止寫Security...

xiaoming945 ‧ 2026-10-12

0 Like 0 留言 81 瀏覽

鐵人賽 AI Security DAY 28

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 28 篇

技術 Day 28｜Agent 嘴巴說不做，手卻已經呼叫危險工具了？

Day 27 的六個安全案例都通過後，我還留著一個沒有真正拆開的問題：如果 Agent 最後回答「我不能執行」，這次執行就算安全嗎？不一定。 Agent 的回...

justin_log ‧ 2026-10-12 ‧團隊nutc imac

1 Like 1 留言 768 瀏覽

技術寫在 30 天走進 OpenClaw 之後：它曾經有兩套協定，為什麼現在只剩一套

開場故事這一篇原本的題目是「兩種對話，兩種距離 —— WebSocket protocol 與 bridge protocol」。我在 docs/gatew...

pingshian0131 ‧ 2026-10-19

0 Like 0 留言 112 瀏覽

鐵人賽 AI Security DAY 27

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 27 篇

技術 Day 27｜你的 Guardrails 真的有用，還是只是在演給你看？

前 26 天，我陸續加上 Input Rail、retrieval boundary、文件 ACL、memory write policy、handoff sc...

justin_log ‧ 2026-10-11 ‧團隊nutc imac

0 Like 0 留言 91 瀏覽

鐵人賽 Security DAY 28

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 28 篇

技術 [DAY28]仿生人是否會夢見網頁山羊? -- XXE (下)

今天便要來把XXE的最後一題解完了，不得不說真的是大魔王，步驟雖然還算少但還是讓我debug了很久，而且做到我連自己其實已經成功了都不知道什麼是Blind X...

xiaoming945 ‧ 2026-10-11

0 Like 0 留言 59 瀏覽

鐵人賽 AI Security DAY 26

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 26 篇

技術 Day 26｜如果人類半小時沒回，Agent 該停下來還是繼續做？

Day 25 的確認流程只有兩個畫面狀態：等待核准，或按下按鈕後執行。但真正的系統不會永遠停在瀏覽器頁面上。核准者可能關掉分頁、正在上課，或看到通知後忘了處理。...

justin_log ‧ 2026-10-10 ‧團隊nutc imac

0 Like 0 留言 49 瀏覽

鐵人賽 Security DAY 27

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 27 篇

技術 [DAY27]仿生人是否會夢見網頁山羊? -- XXE (上)

最後一個小章節來了，XXE寫完，這一次的30天鐵人賽基本上就告一段落了，最後只剩防護方法還有心得，開始吧! 什麼是XXE XML External Entity...

xiaoming945 ‧ 2026-10-10

0 Like 0 留言 1373 瀏覽

技術 AD入侵偵測與緩解(中小企業地端)

依據CISA與五眼聯盟資安機構所撰寫的AD防護指引編寫https://www.cisa.gov/resources-tools/resources/detect...

royhutw ‧ 2026-10-10

0 Like 0 留言 154 瀏覽

鐵人賽 AI Security DAY 25

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 25 篇

技術 Day 25｜確認按鈕按下去後，AI 到底被授權做多少事？

Day 24 的 handoff 最後停在 approval_gate pending。帳號 Agent 已經提出操作，但 handoff 只是把工作交給另一個...

justin_log ‧ 2026-10-09 ‧團隊nutc imac

0 Like 0 留言 45 瀏覽

鐵人賽 Security DAY 26

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 26 篇

技術 [DAY26]仿生人是否會夢見網頁山羊? --Security Misconfiguration (下)

今天要把剩下的兩部分寫完，也就是執行器端點洩漏(Exposed Actuator endpoints)和加強防護配置(Harden the configurat...

xiaoming945 ‧ 2026-10-09

0 Like 0 留言 103 瀏覽

鐵人賽 Security DAY 25

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 25 篇

技術 [DAY25]仿生人是否會夢見網頁山羊? --Security Misconfiguration (上)

今天要來做A5裡面的Security Misconfiguration了，沒錯，Security Misconfiguration裡面包了一個Security...

xiaoming945 ‧ 2026-10-08

0 Like 0 留言 99 瀏覽

鐵人賽 Security DAY 29

Agentic Era，一年來 LLM 到底都挖了些什麼洞！系列第 29 篇

技術 Day 29. 隨便聊：objdump 與 IDA Pro 的平價奢華大對決

還記得年初那時候要讓 LLM 做逆向工程都還得裝 IDA Pro MCP，直到某天解 CTF 題目把整包東西丟上 ChatGPT 網頁版就不管了... 哦.....

whale120 ‧ 2026-10-08

0 Like 0 留言 100 瀏覽

鐵人賽 AI Security DAY 24

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 24 篇

技術 Day 24｜一個 Agent 把任務交出去後，權限到底去哪了？

Day 23 我讓兩個 worker 同時分析不同問題。它們都只有唯讀 prompt，沒有危險工具，所以責任邊界還算單純。真正麻煩的是 handoff。一個...

justin_log ‧ 2026-10-08 ‧團隊nutc imac

0 Like 0 留言 65 瀏覽

鐵人賽 Security DAY 28

Agentic Era，一年來 LLM 到底都挖了些什麼洞！系列第 28 篇

技術隨便聊：/goal 和 loop engineering

為了解決 Agent LLM Context Windows 限制/陷入死胡同繞不出來/不擅長大問題解決的能力，LLM Harness 演變出了 /goal 以...

whale120 ‧ 2026-10-07

0 Like 0 留言 289 瀏覽

鐵人賽 Security DAY 24

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 24 篇

技術 [DAY24]仿生人是否會夢見網頁山羊?-- CSRF(下)

今天我們要來做CSRF中剩下的兩題啦，一題是關於CSRF時封包Content type影響，另一個是關於CSRF變體 Webgoat A5 Cross-Site...

xiaoming945 ‧ 2026-10-07

0 Like 0 留言 91 瀏覽

鐵人賽 AI Security DAY 23

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 23 篇

技術 Day 23｜多 Agent 真的比較強嗎？我先看到的是更多安全洞

Day 22 處理完 memory poisoning 後，我準備把 Helpdesk Agent 拆成多個角色。直覺上，一個查 VPN、另一個查 Wi-Fi，...

justin_log ‧ 2026-10-07 ‧團隊nutc imac

0 Like 0 留言 61 瀏覽

鐵人賽 Security DAY 23

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 23 篇

技術 [DAY23]仿生人是否會夢見網頁山羊?-- CSRF (上)

現在要開始來解最後一周的內容啦，原本預計DAY25才要開始，沒想到現在就要做了，目前想法是每一部份2天，DAY29的時候做一個防護整理，DAY30寫心得甚麼是...

xiaoming945 ‧ 2026-10-06

0 Like 0 留言 320 瀏覽

鐵人賽 AI Security DAY 22

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 22 篇

技術 Day 22｜我只騙了 Agent 一次，它卻記了很久

Day 11 的惡意 SOP 只要在 retrieval boundary 被隔離，這次 run 就不會照著它操作。但如果 Agent 把那段內容整理成「使用者...

justin_log ‧ 2026-10-06 ‧團隊nutc imac

0 Like 0 留言 97 瀏覽

鐵人賽 Security DAY 27

Agentic Era，一年來 LLM 到底都挖了些什麼洞！系列第 27 篇

技術隨便聊：How 2 hack a hacker, this is a good question

最後幾天都是隨便聊主題～今天來講講 AI 在駭客們常用的工具都挖了些什麼恐怖漏洞 XD，比較像一個娛樂性清單 Calif 的大雜燴 Ghidra, radare...

whale120 ‧ 2026-10-06

0 Like 0 留言 75 瀏覽

鐵人賽 Security DAY 22

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 22 篇

技術 [DAY22]仿生人是否會夢見網頁山羊? --Broken Access Control 防護方法

今天便是A1 Broken Access Control的完結篇(?了，我會說一下四種漏洞的防護方法，由於有相似之處，所以會進行一個小分類 Cookie組 Se...

xiaoming945 ‧ 2026-10-05

0 Like 0 留言 101 瀏覽

鐵人賽 AI Security DAY 21

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 21 篇

技術 Day 21｜它記住了我的偏好，也記住了不該保存的敏感資料

Day 20 我先把 working memory、long-term memory 與 RAG 知識庫拆開，也拒絕了測試備用碼和未確認的永久偏好。可是「沒有亂...

justin_log ‧ 2026-10-05 ‧團隊nutc imac

0 Like 0 留言 83 瀏覽

鐵人賽 Security DAY 26

Agentic Era，一年來 LLM 到底都挖了些什麼洞！系列第 26 篇

技術 Day 26. 潛伏 21 年的 PHP RCE！

今天只要要介紹的是 Calif 的研究 https://blog.calif.io/p/mad-bugs-finding-and-exploiting-a 偏偏...

whale120 ‧ 2026-10-05

0 Like 0 留言 278 瀏覽

鐵人賽 Security DAY 21

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 21 篇

技術 [DAY21]仿生人是否會夢見網頁山羊?--Spoofing an Authentication Cookie

今天是A1的最後一部份了，今天的內容是Spoofing an Authentication Cookie，明天則是這四種漏洞該怎麼防禦什麼是Spoofing...

xiaoming945 ‧ 2026-10-04

0 Like 0 留言 307 瀏覽

鐵人賽 AI Security DAY 20

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 20 篇

技術 Day 20｜Agent 的記憶是功能，還是一顆定時炸彈？

做到 Day 19，Agent 已經能呼叫真實模型，也有輸入、檢索、工具和後端授權邊界。接下來最容易讓資料越積越多的功能，是記憶。記住「這台測試筆電是 Win...

justin_log ‧ 2026-10-04 ‧團隊nutc imac

0 Like 0 留言 106 瀏覽

鐵人賽 Security DAY 20

仿生人是否會夢見網頁山羊? 資安小白的30天Webgoat闖關紀錄系列第 20 篇

技術 [DAY20]仿生人是否會夢見網頁山羊? --Missing Function Level Access Control

今天是A1 Broken Access Control的第三章，昨天的內容除了最後的封包都還算簡單，今天的感覺難度又回來了什麼是Missing Functio...

xiaoming945 ‧ 2026-10-03

0 Like 0 留言 200 瀏覽

鐵人賽 AI Security DAY 19

從 LLM、Agent 到 Guardrails：30 天打造可控、安全、可驗證的 AI Agent 系列第 19 篇

技術 Day 19｜Guardrails 都說可以，為什麼後端還是應該拒絕 Agent？

前面幾天，我陸續替 Agent 加上 Input、Retrieval 和 Tool Output 檢查。做到這裡很容易產生一個錯覺：既然請求已經通過 Guard...

justin_log ‧ 2026-10-03 ‧團隊nutc imac

技術 【Day 10】前端 AI 專案的資安防護：打造安全且直覺的 API Key 設定彈窗