宙飒天下网

BugKu WEB POST writeup

Thu, 16 Jul 2026 02:01:17 +0800

随波逐流工作室—-探索前沿科技，分享最新软件。点击标题下蓝字“长弓三皮”关注，我们将为您提供有深度、有价值、有意思的阅读。

朋友们，现在只对常读和星标的公众号才展示大图推送，建议大家把长弓三皮“设为星标”，否则可能就看不到了啦！

作者：随波逐流

BugKu WEB

POST

随波逐流

WriteUp

打开 [随波逐流]WEB自动扫描工具输入URL 地址点击访问

按照屏幕上显示的： POST what == flag 就会echo flag 所以，

body中输入：what=flag

点击访问，获得flag

flagflag{402dbe5bb4702b389564e98cdf198984}

-------------------------------------------

软件发布网址：http://www.1o1o.xyz

微信公众号：长弓三皮

--------------------------------------------

公众号内输入

搜索公众号+题目标题

可搜索到此文章

你若喜欢，为“长弓三皮”点个赞和在看哦

BugKu WEB GET writeup

Thu, 16 Jul 2026 02:00:53 +0800

随波逐流工作室—-探索前沿科技，分享最新软件。点击标题下蓝字“长弓三皮”关注，我们将为您提供有深度、有价值、有意思的阅读。

朋友们，现在只对常读和星标的公众号才展示大图推送，建议大家把长弓三皮“设为星标”，否则可能就看不到了啦！

作者：随波逐流

BugKu WEB

GET

随波逐流

WriteUp

打开 [随波逐流]WEB自动扫描工具输入URL 地址点击访问

按照屏幕上显示的： if what == flag 就会echo flag 所以，修改网址为：网址+?what=flag 就能得到flag

flag{2bd18b3f37098f336d741ce3ea861a44}

-------------------------------------------

软件发布网址：http://www.1o1o.xyz

微信公众号：长弓三皮

--------------------------------------------

公众号内输入

搜索公众号+题目标题

可搜索到此文章

你若喜欢，为“长弓三皮”点个赞和在看哦

Claude Code GitHub Action漏洞：恶意Issue可劫持代码仓库

Tue, 14 Jul 2026 14:34:48 +0800

近日，安全研究人员发现Anthropic公司Claude Code GitHub Action存在安全缺陷，攻击者仅需提交一个GitHub Issue就能接管运行该Action的公共仓库。由于Anthropic自身Action仓库使用相同工作流，成功利用该漏洞可向Action本体及下游项目注入恶意代码。

GMO Flatt Security的RyotaK于1月向Anthropic报告了该核心绕过漏洞，Anthropic在四天内完成修复，并在春季持续加固，最终修复版本为claude-code-action v1.0.94。Anthropic根据CVSS v4.0标准将该漏洞评为7.8分，并支付了漏洞赏金。

Part01

技术原理

Claude Code GitHub Action可将Claude AI集成至CI/CD流水线，用于分类Issue、添加标签、审查Pull Request或执行斜杠命令。默认情况下，该工作流拥有对仓库代码、Issue、Pull Request、讨论区和工作流文件的读写权限。虽然权限范围广泛，但设计上应仅允许具有写入权限的用户触发。

权限检查缺陷

漏洞源于触发器检查存在缺陷——任何名称以[bot]结尾的实体都会被放行，其假设前提是GitHub应用均由管理员可信安装。但事实上，任何人都能注册GitHub应用，将其安装到自己拥有的仓库，并利用其Token在任何公共仓库创建Issue或Pull Request。Action误将攻击者内容识别为"合法机器人"予以放行。标签模式设有额外的人类验证环节，但代理模式缺乏此检查，形成安全缺口。

间接提示注入攻击

攻击者随后采用间接提示注入技术——在AI读取的内容中植入指令，使模型执行攻击指令而非预设任务。RyotaK构造了伪装成错误信息的Issue内容，通过反复优化提示词，最终使Claude执行其中埋藏的命令。攻击目标指向Linux系统的/proc/self/environ文件，该文件包含进程环境变量（含敏感信息）。虽然Claude Code会阻止直接读取，但RyotaK仍成功绕过防护，诱使Claude将变量值回写到Issue中供攻击者窃取。

环境变量中最关键的是GitHub Actions用于获取OIDC Token的凭证对。Claude Code会将该Token与Anthropic后端交换，获取具有写入权限的Claude GitHub应用安装Token。窃取这些凭证并重放交换流程，攻击者即可获得目标仓库代码、Issue和工作流的写入权限。若针对claude-code-action仓库本身发起攻击，可污染下游项目引用的Action。

Part02

其他攻击路径

RyotaK还发现无需伪装机器人的简化攻击方式：Anthropic官方示例中的Issue分类工作流配置了allowed_non_write_users: "*"参数，允许任何人触发，其文档虽标注该设置存在风险，但大量仓库直接复制该示例继承了漏洞。更严重的是，Claude会将任务摘要发布至公开可见的工作流运行面板，形成数据泄露渠道。

对于仅能编辑Issue但无法直接触发Claude的攻击者，可在受信用户触发工作流后、Claude读取前篡改Issue内容，使恶意负载以"受信"输入形式注入。

Part03

修复建议

立即升级至claude-code-action v1.0.94或更高版本。审计所有允许无写入权限用户或机器人触发Claude的工作流：若处理不可信输入，除Anthropic API密钥和GITHUB_TOKEN外不应提供其他密钥，并移除可能用于数据外泄的工具和权限。

Part04

实际案例

同类漏洞（AI Issue分类器+宽泛权限+提示注入）已造成实际供应链攻击：

2月，攻击者通过提示注入的Issue标题，从Cline的claude-code-action分类工作流窃取npm发布Token，推送未授权的cline@2.3.0版本。虽然该恶意版本仅强制安装无害的AI Agent并在8小时后下架，但同样攻击链可轻易分发真实恶意软件。
自动化"HackerBot-Claw"机器人2月底持续探测Microsoft、Datadog、CNCF等组织的GitHub Actions错误配置，当其尝试通过污染配置文件对基于Claude的审查者实施提示注入时，被Claude识别并拦截。

目前尚无证据表明针对Anthropic自身Action的直接攻击路径已被利用，RyotaK仅在其测试仓库验证可行性。据其透露，已累计报告约50种绕过Claude Code权限系统执行命令的方法，反映出AI编程Agent面临的提示注入威胁持续存在。只要Agent配备真实工具和Token，其权限范围内的操作都可能被恶意利用。

参考来源：

GitLab Patches Multiple Duo AI, DoS, and Authorization Flaws in Community and Enterprise Edition

https://cybersecuritynews.com/gitlab-patches-duo-ai-dos-flaws/

编辑：陈十九

审核：商密君

征文启事

大家好，为了更好地促进同业间学术交流，商密君现开启征文活动，只要你对商用密码、网络安全、数据加密等有自己的独到见解和想法，都可以积极向商密君投稿，商密君一定将您的声音传递给更多的人。

来源：Freebuf

注：内容均来源于互联网，版权归作者所有，如有侵权，请联系告知，我们将尽快处理。

点分享

点点赞

点在看

508项推荐性国家标准发布涉及网络安全、智慧园区、人工智能等领域

Tue, 14 Jul 2026 11:26:51 +0800

近日，国家市场监督管理总局（国家标准化管理委员会）批准发布了《优质碳素结构钢热轧钢板和钢带》等508项推荐性国家标准和1项推荐性国家标准修改单。这些标准涉及多个重要领域，其中与安防行业密切相关的网络安全、智慧园区、人工智能、工业机器人、无人机等方向的标准共21项，具体清单如下：

点击阅读原文下载附件

精彩推荐

中国国际社会公共安全产品博览会（简称“安博会”，英文“Security China”），经商务部批准，由中国安全防范产品行业协会主办承办。创办三十余载、历经十七届，服务上万家参展商，吸引百万专业观众，是国内外安防行业发展的风向标与晴雨表。

2026安博会以“数智世界全域安全”为主题，将于11月3-6日在北京中国国际展览中心（顺义馆）举办，秉承“展示先进技术、引领行业发展、服务市场需求、支撑平安中国”宗旨。展会将呈现智能安防技术全链条成果，以“五位一体”模式推动AI技术在公共安全领域应用，深化国际合作，助力实现“人工智能+”行动战略目标，为建设平安中国与智能社会提供支撑。

往期精彩推荐

风清则声远 | 以AI对抗AI，构筑校园全域内容安全屏障

Tue, 14 Jul 2026 10:26:18 +0800

近日，中国教育电视协会高校电视专业委员会2026年全体会员大会暨“高校优秀影视作品交流展映”培训活动顺利举行。会上，天融信科技集团产品总监张超围绕“风清则声远”主题，与全国高校电视领域专家深度剖析校园各类荧屏播出环节现存安全风险，交流合规落地、风险防控的可行实践路径。

伴随校园数字化建设持续推进，各类电子屏幕已广泛应用，但国内多地出现高校大屏被劫持、内容遭篡改等事件，直接扰乱校园教学与公共秩序。国家网信办、国家广播电视总局等主管单位先后出台系列管理规范，公共场景内容安全管控已成刚性需求。与此同时，AIGC带来的深度伪造音视频、AI违规合成图文、篡改素材等新型威胁层出不穷，传统人工审核难以满足校园防护要求。

以AI对抗AI

打造内容安全闭环防护体系

针对AI生成内容带来的新型安全威胁，天融信推出内容智能管控网关与内容安全预审服务器，可通过AI技术，实现对文字、音频、图像、视频等内容的智能识别、风险研判与违规拦截。

整套防护体系搭建五层递进安全架构，覆盖内容生成源头至终端大屏全流程：AI智能前置过滤、数字水印签名防篡改、网络通信加密、视频源终端防护、统一安全管理与审计，形成完整可追溯的安全闭环，打通内容制作、传输、播放、日志留存全环节防护。

内容智能管控网关

内置国产化CPU与AI算力芯片，可对实时视频流逐帧开展智能识别与风险过滤，兼容4K及各类常规视频分辨率，适配教室小型通知屏、礼堂大型演出大屏等多样校园显示终端，实现播出过程实时动态防护。

内容安全预审服务器

面向校园电视台、融媒体中心等需要提前制作、预审存档内容的场景，待素材上传后由AI完成全维度风险审校，审核通过自动添加唯一数字安全签名，终端播放前自动校验签名信息，从内容源头阻断违规素材播出可能。

在演讲中，张超重点分享了北京大学多终端荧屏安全管控建设项目。作为国内顶尖高校，北京大学校内礼堂大屏、楼宇公示屏、校园电视台、广播站、线上录播课堂等多媒体内容发布场景繁杂多元。天融信通过内容安全解决方案帮助客户解决高校多场景、多媒体内容安全监管难题。

户外电子屏统一管控：针对校园单机公示屏、联网大屏提供统一内容安全管控，实现公共区域大屏内容全流程可控可审，杜绝恶意篡改、违规投放风险；
校台广播前置风控：面向校园电视台、广播节目建立预审+实时同步审计机制有效过滤违规信息；
网络录播智能审校：支持文字、音频、图像、视频及场景的全维度智能审核，7*24小时不间断对海量片库进行自动化审查，大幅提升课程资源上线效率与安全合规性。

当前全国多地教育系统已开展校园电子屏安全管控试点工作，内容安全防护逐步纳入教育信息化标准化建设内容，成为校园数字化建设必不可少的安全配套板块。

未来，天融信将持续打磨适配校园的多模态AI识别模型，持续优化伪造内容识别、篡改溯源、快速审校等核心能力，贴合高校电视台运维、校园公共大屏管理、校园融媒体运营等多元使用场景，为校园每一块电子荧屏搭建稳定、合规、可落地的安全防护屏障。

近期热点

关注天融信了解更多信息

安全通告丨网络安全漏洞通告（2026年7月）

Tue, 14 Jul 2026 09:58:18 +0800

作为国内权威的安全漏洞通告组织，创信华通基于自身的威胁情报和漏洞挖掘能力，对全球最新的安全漏洞及安全事件进行跟踪研究，在第一时间向用户提供高危漏洞、威胁攻击的解决办法及情报资讯，帮助用户提升网络安全的预警和响应能力。

一、

漏洞预警

/2026.07

向用户发布高危漏洞预警，通告漏洞的危害程度、影响范围、检测方法及相关解决方案。便于用户及时掌握高风险级别漏洞信息，及时修复并应对外部威胁。

漏洞名称	漏洞编号	危害等级	漏洞详情
Google Chrome资源管理错误漏洞	CNVD-2026-23387	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-23387
Zyxel WRE6505操作系统命令注入漏洞	CNVD-2026-23408	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-23408
Microsoft Office代码执行漏洞	CNVD-2026-23632	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-23632
OpenClaw范围绕过漏洞	CNVD-2026-24206	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-24206
OpenClaw授权问题漏洞	CNVD-2026-25113	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-25113
Zyxel DX3300-T0操作系统命令注入漏洞	CNVD-2026-25141	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-25141
WordPress插件Felan Framework跨站脚本漏洞	CNVD-2026-25456	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-25456
WordPress插件Firebase Support and Chat Management存在未明漏洞	CNVD-2026-25465	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-25465
OpenClaw输入验证错误漏洞	CNVD-2026-26104	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-26104
Oracle Unified Directory权限许可和访问控制问题漏洞	CNVD-2026-26206	高危	https://www.cnvd.org.cn/flaw/show/CNVD-2026-26206

二、

网络与数据安全服务能力

/2026.07

创信华通作为中立、公正的全方位、立体化网络安全服务提供商，在坚守保护用户重要数据和业务安全的原则下，凭借多年辅助用户实施网络安全管理、数据安全管理、安全技术应用的大量经验，依托创信华通安全服务体系框架，为用户提供一整套专业的、量身定制的安全服务解决方案，协助用户发挥信息技术的优势，实现业务系统的价值，建立符合用户发展的数字化管理战略。

创信华通安全服务体系如下图所示：

凭着在网络安全等级保护、商用密码应用性安全评估、数据安全评估等安全服务领域的丰富经验和良好信誉，创信华通逐步深化与各领域行业用户的合作，以雄厚的实力、创新的服务、务实的态度和专业的水平赢得了众多用户的信任。作为专业的安全服务提供商，在注重创新、流程管理和人员技术能力管理的同时，创信华通不断探索，进一步提高服务质量和创新度，切实做到为用户安全创造价值。

END

编辑：小鱼

审核：黄老师

点击回顾往期精彩

成都创信华通信息技术有限公司

成都创信华通信息技术有限公司是川内首家同时拥有“等保”与“密评”双资质的网络安全合规检测服务商，以“等保测评+密码测评+软件测试+信息系统工程监理+数据安全服务+网络安全服务”为主的“6+N”服务模式，已成功为党的二十大、中国共产党成立100周年、北京冬奥会、第31届世界大学生运动会、第12届世界运动会等大型活动提供等保、密评、网络安全应急保障服务。

公司以“竭尽全力为国家网络安全保驾护航”为使命，凭借多年积累荣获四川省“专精特新”企业、四川省新经济100强企业、四川省数字经济100强企业、成都市网络信息安全产业影响力TOP30企业等。

期待与您的合作！

让搜索更懂用户：Viking AI 搜索如何用个性化提升转化

Tue, 14 Jul 2026 09:58:05 +0800

对很多个人开发者和中小企业开发团队来说，搜索功能一开始往往只是“能搜到”：用户输入关键词，系统返回相关商品、内容或素材。但业务真正跑起来之后，一个更现实的问题会出现：同样搜索“羽绒服”，南方用户可能更想看轻薄款，北方用户可能更关注保暖厚款；同样搜索“通勤包”，有人偏爱简约百搭，有人更在意品牌和容量。

如果搜索结果只按文本相关性排序，就很容易出现一种尴尬：结果是相关的，但不一定是用户最想点、最想买、最愿意继续浏览的。Viking AI 搜索的个性化搜索能力，就是为了解决这个问题。

它的核心思路很朴素：先保证结果与搜索词相关，再结合“物品热度”和“用户兴趣”调整召回与排序，让搜索结果既不跑题，又更贴近当前用户的偏好。

搜索个性化总流程

在 Viking AI 搜索里，搜索体验大体可以理解为四个阶段：召回、排序、重排和运营干预。召回负责从物品库里找出候选结果，排序负责决定候选结果谁排前面，重排和运营规则则处理更精细的业务策略。基础版的个性化能力主要影响前两个环节：一是开启个性化召回，二是配置物品热度参与排序。

千人一面与千人千面对比

先看物品热度。热度排序解决的是“大家普遍更认可什么”。系统会根据应用内上传的用户行为数据计算物品热度，比如点击、加购、购买、评论、收藏、分享等正反馈行为越多，物品热度越高。在搜索结果已经相关的基础上，热门商品或趋势内容可以获得更好的排序机会。

这对电商、内容社区、素材平台都很实用。比如用户搜索“露营灯”，结果里既有完全匹配关键词但长期无人问津的旧商品，也有近期点击、收藏、购买都很高的新款。只看相关性时，后者未必一定排到前面；引入热度后，系统就能更自然地把被更多用户验证过的物品展示出来，帮助用户更快发现“大家正在喜欢”的内容。

再看个性化召回。热度回答“群体偏好”，个性化召回答案则更进一步：这个用户可能更喜欢什么？

Viking AI 搜索会基于用户行为数据生成兴趣标签，这些标签通常可以覆盖品类、品牌、风格等维度。例如，一个用户近期频繁点击、收藏、加购“运动鞋”“Adidas”“通勤风”相关商品，系统就可以逐步形成对这个用户偏好的理解。之后当他搜索“鞋”或“外套”时，搜索不再只是机械地匹配关键词，而是会额外关注与这些兴趣标签匹配的物品。

这里有一个重要原则：个性化不是把不相关内容硬塞给用户。它是在搜索相关性的基础上，增加一条“用户兴趣召回”通道。也就是说，系统仍然会尊重用户输入的 query，只是在候选池里额外保障与用户兴趣标签匹配的物品有机会被召回，并在排序阶段获得适当加权。

热度与个性化机制图

从机制上看，这条链路并不复杂。开发者或企业先上传用户行为数据集，系统根据行为数据推理和计算用户兴趣标签；同时，需要把物品数据中用于承载兴趣的字段配置为可过滤字段，例如品类、品牌、风格等。配置完成后，就可以在控制台开启个性化召回，并选择干预档位。

目前个性化召回提供强、弱两种干预方式。弱干预更保守，仍然让关键词匹配、语义匹配占据主要权重，只是轻度提升兴趣相关物品的机会；强干预则会给兴趣标签匹配更高权重，让更符合用户画像的物品更容易排到前面。对于刚开始接入的团队，建议先用弱干预做体验验证，再根据点击率、转化率、停留时长等指标逐步调整。

这套能力的特点可以概括成三个词：简洁、有效、可控。

简洁，是因为它不要求开发团队一开始就训练复杂的 CTR 模型或自研排序系统。对个人开发者和中小团队来说，最难的往往不是理解“个性化很重要”，而是缺少足够的人力和算法工程能力去落地。Viking AI 搜索把行为数据、兴趣标签、热度分、召回和排序融合到平台能力中，开发者只需要完成数据上传、字段配置和策略开关，就能把搜索体验从“千人一面”推进到“因人而异”。
有效，是因为它抓住了搜索转化里的关键变量：用户偏好。用户每一次点击、收藏、分享、加购、购买，都是在表达自己对某类商品或内容的兴趣。当系统能持续捕捉这些信号，并把它们反馈到搜索结果里，用户就更容易在前几屏看到“我确实想要的东西”。这会直接影响搜索点击率、商品转化率，也会影响用户对产品的长期感受：这个应用好像越来越懂我。
可控，是因为热度和个性化都不是黑盒式“一开就不可调”。控制台可以单独开启物品热度参与排序，也可以开启个性化召回并选择干预档位。开发团队可以在体验页面先验证不同策略下的搜索效果，再更新配置应用到正式服务。对于业务来说，这种“先体验、再发布”的方式更适合渐进式优化，而不是一次性把搜索结果完全交给算法决定。

如果你正在做电商小程序、垂直内容社区、素材检索、企业知识库或商品导购类应用，搜索很可能是用户最重要的入口之一。用户不是只想“搜到”，而是想“更快找到适合自己的”。Viking AI 搜索的个性化能力，正是把用户行为沉淀为偏好理解，再把偏好反哺到召回和排序中。

当搜索结果同时兼顾相关性、热度和个人兴趣，搜索就不再只是一个工具入口，而会变成提升转化和用户粘性的关键体验层。

让 Agent 成为音视频工作台：AI MediaKit CLI + Skill 发布

Tue, 14 Jul 2026 09:57:49 +0800

在刚刚结束的 2026 Force 源动力大会上，火山引擎智能视频云正式发布了 AI MediaKit CLI 与 Skill。火山引擎 AI Media Platform 产品负责人杭梦钰指出：AI 视频生产的下一阶段，不只是生成一段画面，而是交付一条真正能上线的视频。

模型让内容生成变得越来越容易。用户可以用一句话、一张图或一段参考视频生成画面。但在真实生产中，一条视频从“生成出来”到“可以发布”，中间仍然需要大量音视频处理工作：理解素材、裁剪片段、拼接成片、添加字幕、擦除原字幕、增强画质、调整帧率和分辨率、适配不同平台规格，需要覆盖理解 — 处理 ——交付的全链路工作。

这些工作过去属于剪辑软件、后期系统和云端 API。到了 Agent 时代，我们希望它们也可以被 Agent 直接理解、调用和编排。

这也是 AI MediaKit CLI + Skill 发布的背景：让 Agent 不只是会写 prompt、调用模型，而是拥有一座可调用、可编排、可交付的音视频工作台。

Agent 需要的不只是模型，还有工作台

对大多数文本任务来说，Agent 的工作方式已经很自然：读文档、写代码、调接口、看日志。输入和输出大多是文本，Agent 可以直接判断结果是否正确。

但音视频任务不一样。

视频是画面，音频是声波。成片好不好、字幕对不对、节奏顺不顺、画质有没有提升，这些都不是纯文本问题。Agent 活在符号世界里，而音视频活在感官世界里。

因此，音视频工具如果只是把一个 API 包成命令，并不足够 Agent 可靠使用。Agent 需要知道：

有哪些音视频能力可以调用；
每个能力需要什么输入；
长耗时任务是否提交成功；
任务执行到哪一步；
最终产物在哪里；
结果能不能继续交给下一步处理。

这就是“音视频工作台”的意义。

它是一组面向 Agent 的能力层：把理解、处理、交付等音视频处理流程，封装成 Agent 可以调用和编排的工具。

AI MediaKit：面向 Agent 的音视频能力底座

AI MediaKit 是火山引擎面向 Agent 时代提供的音视频开发套件，沉淀了 100+ 音视频原子能力，覆盖视频理解、剪辑、字幕、画质增强、字幕擦除、转码、音频处理、图像处理等生产环节。

这些能力过去往往分散在不同软件、不同 API、不同后期系统里。AI MediaKit 要做的，是把它们重新组织成一套面向 Agent 和开发者的能力底座。

此次发布的 CLI + Skill，就是 Agent 进入这座工作台的第一层入口。

它让开发者可以用命令行调用音视频能力，也让 Claude Code、Trae、Cursor、Codex、OpenClaw 等 Agent runtime 可以通过自然语言触发对应工具。

换句话说，AI MediaKit 提供的是 100+ 音视频能力池；CLI + Skill 则是这些能力面向 Agent 生态的标准化入口，并会随着底层能力开放持续跟进。

AI MediaKit CLI + Skill 发布了什么

AI MediaKit CLI + Skill 主要由三部分组成。

第一部分是 AI Mediakit Cli。

它是面向 Agent 的原生命令行工具。开发者和Agent都可以直接用命令完成视频裁剪、拼接、加字幕、画质增强、字幕擦除等任务，也可以把它接入自动化处理流程。

第二部分是 AI MediaKit Skills。

Skill 面向 Agent runtime。安装后，用户可以在 Agent 对话窗口里直接描述需求，由 Agent 理解意图、编排能力、拼接命令、提交任务并交付结果。

当前 Skill 按四大能力域拆分，并会随着 AI MediaKit 底层能力开放持续跟进：

byted-mediakit-editing：剪辑类能力，包括裁剪、拼接、变速、加字幕、加水印、音视频合成等；
byted-mediakit-video：视频处理类能力，包括画质增强、字幕擦除、视频处理等高阶视频 AI 能力；
byted-mediakit-image：图像处理类能力，包括图像增强、智能抠图、擦除修复、OCR、智能裁剪等；
byted-mediakit-audio：音频处理类能力，包括人声背景音分离、音频处理及后续扩展能力。

第三部分是 Agent 友好的任务机制。

音视频任务经常是异步的，不适合只靠一次命令返回判断成功。AI MediaKit CLI + Skill 将 task_id、任务查询、轮询等待、终态结果回收等流程下沉到工具层，让 Agent 不必靠“记忆”判断什么时候回来查任务。

开发者可以通过一行命令快速完成mediakit-cli 和 mediakit skills：

npx @volcengine/mediakit-cli install -y

其中，mediakit-cli 负责执行音视频任务；这条命令也会把 AI MediaKit Skills 分发到本机支持的 Agent runtime 中。装好之后，Agent 就可以通过自然语言调用这些能力。

从一句话，到一条可交付视频

比如用户说：

“帮我把这个视频前 10 秒剪出来，再加上字幕。”

接入 AI MediaKit CLI + Skill 后，Agent 可以自动识别这是一个剪辑任务，调用 editing Skill，生成对应的裁剪和加字幕命令，执行任务并返回最终视频。

再比如：

“把这条短剧素材做一下画质增强，输出 1080p 版本。”

Agent 可以调用 video Skill，将任务提交到云端画质增强能力，并通过 shared Skill 轮询任务状态，直到拿到最终产物。

在更复杂的场景中，Agent 还可以把多个能力编排成工作流：先擦除原字幕，再重压新字幕；先裁剪多个片段，再拼接成片；先生成素材，再做画质增强和平台规格适配。

模型擅长生成，AI MediaKit 负责把生成后的素材处理成真正可上线、可分发、可消费的成片。

不是 API Wrapper，而是 Agent 的工作台入口

AI MediaKit CLI + Skill 并不是把 API 简单包一层命令。

它面向 Agent 使用场景做了几件关键设计。

能力结构化

Agent 不需要凭经验猜命令和参数，而是可以通过 Skill 描述理解每个能力的用途、输入和调用方式。

长任务可回收

音视频任务往往耗时更长。CLI + Skill 将任务提交、状态查询、终态判断和结果回收沉到工具层，让 Agent 可以稳定完成长链路任务。

端云协同

基础剪辑类任务适合在本地完成，成本低、确定性强；画质增强、字幕擦除等重算力任务适合交给云端。Agent 不需要理解底层算力细节，只需要围绕目标编排任务。

多入口统一底座

企业后端可以走 API，开发者和 CI 可以走 CLI，Agent 用户可以走 Skill。不同入口面向不同使用场景，但连接的是同一套 AI MediaKit 能力体系。

这让 AI MediaKit 不只是一个能力集合，而是逐步成为面向 Agent 的音视频工作台。

面向更大的音视频 Agent 生态

从内容创作到企业生产，音视频任务天然是长链路任务。一次成片往往涉及理解、剪辑、字幕、音频、增强、导出等多个环节。过去，这些环节需要人操作多个软件，或者开发者手动接入多个 API。

Agent 带来的变化，是这些工作可以被重新组织成自然语言驱动的工作流。

对开发者来说，AI MediaKit CLI + Skill 降低了接入门槛；对 Agent 来说，它提供了一组可调用、可组合、可回收结果的音视频工具；对内容生产场景来说，它让从生成到交付的链路更自动化、更稳定。

未来，随着 AI MediaKit 100+ 音视频能力持续开放，CLI 和 Skill 也会持续跟进，让更多音视频处理能力进入 Agent 工作流。

模型让 Agent 拥有生成内容的大脑。AI MediaKit CLI + Skill，则让 Agent 拥有处理和交付音视频的工作台。

让 Agent 成为音视频工作台，这只是第一步。

了解更多

访问 AI MediaKit 产品官网（https://www.volcengine.com/product/imp）
访问 mediakit-cli GitHub 开源仓库（https://github.com/volcengine/mediakit-cli）

快速开始：

安装 CLI 与 Skil

npx @volcengine/mediakit-cli install -y

或给你常用的 Agent 说：

帮我安装一下mediakit cli和skill：https://github.com/volcengine/mediakit-cli

Win10 更新后打不开控制面板与设置？提示被管理员限制？一招彻底修复

Tue, 14 Jul 2026 01:21:12 +0800

不少 Windows 10 用户都遇到过这样的糟心事：电脑正常安装系统补丁、重启之后，设置打不开、控制面板点不动，一打开就弹出错误提示：

“本次操作由于这台计算机的限制而被取消。请与你的系统管理员联系。”

桌面正常、软件能运行，偏偏系统核心设置入口被锁死，想改网络、调显示、卸载程序、更新驱动全都做不了，非常影响使用。

其实这不是电脑中毒，也不是系统崩溃，多半是系统更新自动修改了组策略，把控制面板和设置强行禁用了。不用重装系统，不用找维修店，几分钟就能手动修复。

一、专业版 / 企业版 Win10 最简单修复方法

按键盘快捷键 Win + R，打开「运行」窗口。
输入：gpedit.msc，回车打开「本地组策略编辑器」。
在左侧依次展开：用户配置 → 管理模板 → 控制面板
在右侧找到：禁止访问控制面板和 PC 设置
双击打开，把状态改为：已禁用，点击「应用」→「确定」。
重启电脑
，控制面板和设置就能正常打开。

二、Win10 家庭版（没有 gpedit.msc）用注册表修复

家庭版默认没有组策略，会提示 “找不到文件”，请按以下步骤操作：

Win + R
输入：regedit，打开注册表编辑器。
定位到以下路径：

HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindowsControl Panel

在右侧找到键值：NoControlPanel
双击修改数值数据为：0
确定后重启电脑即可恢复。

三、如果仍无效：修复系统损坏文件

部分补丁更新会破坏系统文件，导致策略改了也不生效：

右键开始菜单 → 打开 Windows 终端 (管理员)（或命令提示符管理员）。
依次输入以下两条命令，每条执行完再输下一条：

sfc /scannow

DISM /Online /Cleanup-Image /RestoreHealth

等待扫描修复完成，重启电脑即可。

总结

Win10 更新补丁后控制面板 / 设置打不开、提示被限制，90% 都是组策略被自动禁用：

专业版：gpedit.msc → 控制面板 → 已禁用
家庭版：注册表 NoControlPanel = 0
仍异常：执行 sfc 和 DISM 修复系统

全程不用重装、不用 U 盘、不用进 PE，普通用户也能轻松搞定。

如果你也遇到过电脑莫名被限制、设置打不开的情况，不妨收藏备用，转发给经常用电脑的家人朋友吧！

故障修复设置打不开

Ai 安全的数学原理

Tue, 14 Jul 2026 00:24:31 +0800

张云勇指出，AI安全的本质是数学问题。他提出五大数学支柱（概率统计、高维几何、代数、形式化验证、动力系统），强调安全应从"感觉安全"升级为"可证明的安全"，让数学成为AI时代的可靠防线。