360漏洞挖掘智能体最新发现Flowise平台13个0day漏洞，AI基础设施安全再敲警钟
360漏洞挖掘智能体在Flowise平台发现13个0day漏洞，涉及身份认证、权限控制等核心安全问题。Flowise被企业广泛用于AI基础设施，接入OpenAI等主流模型，公网实例超3万。漏洞已上报CNNVD并通知项目方，8个确认，部分修复。AI平台安全盲区亟待防御性体检。
先说个有意思的事：360的漏洞挖掘智能体最近在Flowise——一个全球用得挺广的开源AI应用搭建平台——一口气挖出了13个0day漏洞，全跟身份认证、权限控制、跨组织访问这些核心安全问题有关。要是真被利用，攻击者能偷走企业的AI模型密钥、篡改业务数据，甚至直接干扰系统跑起来。目前这些漏洞已经上报给国家信息安全漏洞库（CNNVD），也同步通知了项目方，其中8个已确认，部分已经修好了。
360漏洞挖掘智能体发现Flowise平台0day漏洞报告。图源 360
Flowise可不是什么小众玩具——GitHub上星标超过5.3万，而且正被越来越多企业当成AI基础设施来用。2025年8月被企业软件巨头Workday收购后，Flowise已经被塞进了HR、财务这类核心业务场景的AI Agent体系里，处理过上百万次的聊天和工作流，能对接OpenAI、Claude、Gemini、DeepSeek、Ollama一溜主流模型，通过API或嵌入组件快速集成到企业系统中。
问题来了：一个全球企业都在用的AI应用底座，安全风险已经从开源社区的小打小闹升级成企业级威胁。这次挖出来的漏洞，集中爆在身份认证、权限校验、跨组织访问控制这些地方。Flowise本身连着大模型、知识库、数据库和业务系统，而互联网测绘数据表明公网上能看到的实例已经超过3万个——一旦被攻破，风险会沿着AI工作流一路扩散，对政企用户的影响不可小觑。
值得留意的是，Flowise过去两年已经修了大约77个漏洞，经历过安全厂商、社区开发者、AI工具的多轮审计。可360的智能体一上来就自动批量揪出13个0day，这说明什么？说明AI平台里那些复杂的业务流程和权限链路，仍然藏着传统静态扫描和人工审计很难覆盖的深层盲区。这不是个例。同类安全问题在不同AI项目里正反复上演——之前360智能体已经在OpenClaw及其10款衍生产品中发现了23个漏洞。
从智能体产品到开发框架，再到AI应用平台，AI正从单一工具走向平台化，安全盲区也在同步冒头。面对这个趋势，360漏洞挖掘智能体的检测范围已经扩到AI应用平台，成了AI生态的“防御性体检”工具。
眼下，AI漏洞挖掘能力的军事化应用已经引起全球警觉。有报道说，Anthropic的Claude Mythos模型展现出的漏洞发现和利用能力，已经被美国国家安全机构盯上了。AI漏洞挖掘正在从实验室走向真实攻防——一旦被武器化，防御侧的压力会前所未有地大。
话说回来，从智能体产品、开发框架到应用平台，AI系统正快速嵌入企业生产环境，涉及的数据资产、模型能力和业务流程都在持续膨胀。底层平台如果出问题，影响面远超单一应用本身。行业共识是：AI生态急需一套“防御性体检”。而360智能体走的正是防御路线——发现漏洞、上报、推动修复。到目前为止，这个智能体已经累计发现了一千多个漏洞，覆盖传统基础软件和AI生态多个领域。
最后提个醒：已经把AI平台接入生产环境的政企用户，建议尽快对自己的AI应用基础设施做一轮安全评估。AI攻防正在升级，自动化安全审计能力的建设得赶紧提速——不是“要不要”，而是“必须做”。
千寻位置发布潜龙时空服务器升级版iStationPro，实现全栈自研与一体化设计，降低站点建设运维成本，应用覆盖智慧城市、交通、能源等领域。基于全球超万座组网经验，已服务国内及欧美市场，月调用量突破1.2万亿次。
康迪科技战略投资的信储新能源获施耐德电气2026年度解决方案经销商授权，覆盖UPS、制冷等产品，面向数据中心及通信基站。此举补齐了康迪在人工智能数据中心备用电源与储能领域上游硬件供应链的关键一环。AI算力需求爆发驱动智能算力高速扩容，能源保障能力成为行业核心竞争力。
作者简介Janakiram MSV不仅是Janakiram & Associates的首席分析师，还是国际信息技术学院的兼职教师。他还是Google Qualified Developer、亚马逊认证解决方案架构师、亚马逊认证开发者、亚马逊认证SysOps管理员以及微软认证Azure专业人员。Jan
1. 对于可变基础设施的思考1.1 kubernetes中的可变与不可变基础设施在云原生逐渐盛行的现在，不可变基础设施的理念已经逐渐深入人心。不可变基础设施最早是由Chad Fowler于2013年提出的，其核心思想为任何基础设施的实例一旦创建之后变成为只读状态，如需要修改和升级，则使用新的实例进行
网络安全已从成本项升级为AI核心基础设施，受益于AI攻击倒逼需求、三大主线（算力防护、AI智能体管控、平台化订阅）驱动及多重政策加持，行业景气度持续走高，2026年国内市场规模有望逼近3000亿元。
星流科技发布企业级全栈AI基础设施战略，推出玄矩AgentNativeServerA1与SerpMindEnterpriseAgentOS。前者针对Agent场景优化，性价比提升45%-55%；后者实现多Agent统一运行与治理。同时发布医疗、政务等行业解决方案，推动企业AI规模化应用。
CMake作为跨平台构建系统生成工具，在IDE中通过File-BasedAPI和Presets实现代码补全与调试支持，成为编辑器理解C++项目的桥梁；在CI/CD中串联配置、构建、测试、安装和打包流程，借助CTest、CPack及Presets规范交付流水线。团队需固定版本、校验下载包、跟踪策略变化，并像管理源代码一样对待CMake配置文件。
美国7月ISM制造业PMI升至55.6%，创逾四年新高，连续第七个月扩张。就业指数重返扩张区间，新订单与生产指数显著增长。AI基础设施建设推动半导体需求持续升温，客户库存偏低预示补库需求，但价格压力仍存。
Go语言凭借高并发与云原生优势，在AI基础设施领域崛起。Ollama、vLLMGateway、LangChainGo等项目分别主导本地模型运行、推理调度与Agent应用，Kubernetes生态的GPU调度器等组件也以Go实现。Go与C++/Rust/Python形成互补，未来在推理工程化中的地位将持续上升。
7月27日，财闻海外资讯传来一则重磅消息：AMD（AMD.O）将在韩国建设人工智能研究中心，同时着手打造一个开放式的AI基础设施生态系统。韩国科学技术信息通信部在同一天宣布，已于23日在旧金山与AMD正式签署了关于AI芯片生态系统合作的谅解备忘录。 AMD计划在韩国设立一个AI卓越中心，这个中心将承
Postman是一套面向API全生命周期的开发与测试平台，可在Mac上发送和调试多种协议请求，管理集合、环境及认证信息，并完成脚本测试、模拟服务、监控、文档发布和团队协作。它适合开发、测试及运维人员使用，提供个人免费方案。
Docker Desktop 是 Docker 官方为 Mac 提供的容器开发环境，集成 Docker Engine、命令行工具、Compose、Build、Kubernetes 与图形化管理界面。
Android Studio 是 Google 面向安卓应用开发提供的官方集成开发环境，基于 IntelliJ IDEA 构建。它整合智能代码编辑、Gradle 构建、界面预览、设备模拟、性能分析、调试测试及 APK 分析等工具。
Postman 是面向 API 全生命周期的开发与协作平台。Windows 桌面版可用于构建和发送 HTTP、GraphQL、gRPC、WebSocket、MQTT 等请求，并提供环境变量、集合、脚本测试、模拟服务、监控、文档及团队工作区等
Docker Desktop 为 Windows 开发者提供集成式容器环境，内置 Docker Engine、命令行工具、Compose、Build 与 Kubernetes 等组件，可在本机完成镜像构建、容器运行、日志查看和资源管理。
Android Studio 是 Google 面向 Android 应用开发提供的官方集成开发环境，以 IntelliJ IDEA 为基础，集成智能代码编辑、Gradle 构建、设备模拟、界面预览、调试测试及性能分析工具，