0x00 前言
每年全球有成百上千场安全会议，但真正专注云安全实战的，却屈指可数。而fwd:cloudsec[1]，就是其中少有的、由社区主导、内容高度聚焦的高质量会议。
今年的 fwd:cloudsec 2025 于 6 月 30 日至 7 月 1 日在美国丹佛举行，来自 AWS、Google、WIZ、CrowdStrike、Datadog 等一线厂牌的攻防专家们齐聚一堂，分享最新研究与实战经验。
fwd:cloudsec 是一个专注于云安全领域的非营利性会议，由 Forward CloudSec Association 组织举办，旨在为真实的云安全从业者提供一个独立、实践导向的平台。
若您无法参加会议，也不用担心。Cybr 已经整理了43 场会议演讲的详细摘要，内容包括：
快速理解的高层概览； 关键要点和可执行见解； 技术实现细节及具体示例； 用于深入学习的完整演讲记录； 原始 YouTube 演讲的直接链接。
0x01 演讲内容概览
类别一：AI/ML 安全
AI 与安全的交叉成为热门话题，共有 7 场演讲：
攻破 AI Agents：利用预设提示模板接管 Amazon Bedrock Agents 通过提示格式绕过 AI 安全控制 “AI 即服务”中的日志记录挑战 双面间谍：揭露 AI Agent 平台中的隐藏威胁 和误报说再见：构建值得信赖的 IaC 分析 AI 微软如何应对云驱动的深度伪造威胁 驯服 LLM，用于检测云审计日志中的异常
类别二：身份与访问管理 IAM
IAM 仍然是云安全中最棘手的问题，这一主题的演讲数量最多，共有 15 场演讲：
ECS-cape：劫持 Amazon ECS 中的 IAM 权限 快乐小云：用微软云和身份数据“画画” I SPy：重新思考 Entra ID 的研究，发掘获取全局管理员的新路径 IAM Roles Anywhere + Let’s Encrypt：让人人都能用 无 IP 也能搞事：绕过 IAP 进行数据外泄 不那么秘密：GitHub Actions Secrets 的隐藏风险 Workload Identity 实践：将 SPIFFE 用在生产环境 为现代 Entra 环境重构 ROADRecon 保护远程 MCP 服务器 在 Office 365 中保持隐秘 AWS IAM 的双面性 虚假的安全感：防御如何变成漏洞 信任问题：这些 JSON 文件到底代表什么？ 如果能用水晶球预测 IAM 会问什么？ 当你的云伙伴背叛你：云中信任关系被攻破
类别三：威胁狩猎与检测
专注于识别与发现威胁，共有 3 场演讲：
发现不可见：设备环境中的威胁狩猎 猎人心法：一年云端威胁狩猎经验总结 “资源未找到”？搞懂 GCP 错误码用于应急响应和检测
类别四：攻击技术与漏洞
理解攻击者的视角，共有 3 场演讲：
防守者讨厌这招：用一个“怪招”搞定易受攻击的 SaaS 应用 一次打三家 CSP：一个漏洞带来的好、坏与丑 whoAMI：发现并利用 AMI 名称混淆大规模攻击
类别五：云架构与基础设施
实战指南与架构经验，共有 13 场演讲：
超越三巨头：掌握 Oracle Cloud 在多云环境下的安全实践 大型 AWS 环境中实施出口控制的挑战 数据边界策略实践：SCP 与 RCP 的落地经验 “我没注册这个”：解读 Google Artifact Registry 的真实内容 引入 GRC 工程：开启 AWS 合规新纪元 邀请者威胁：新型云部署模型下的安全管理 企业合并收购期间，如何保障云环境安全 日志没你想的有用：解析 IaC 中的身份归属 ML 和 LLMOps 部署安全：平台架构师的引入经验 GPU 共享安全：Fly.io[2] 的经验总结 好的、坏的和漏洞百出的 GCP 租户项目解析 这工作不是我报名的：从零构建生产级 AWS 环境 你不是 Netflix：如何正确借鉴大会演讲内容
其它：开场与闭幕（2 场演讲）
作为大会的收尾，为与会者提供背景与幕后花絮。我特别喜欢这种透明感。
0x02 总结
很多大会的演讲其实都很有料，但说实话，大多数人根本挤不出 20 分钟去一场场点开看。更尴尬的是——你压根不知道讲的内容是不是你关心的方向。
我们找到了这份 fwd:cloudsec 2025 的演讲资料，希望能帮你快速判断哪些值得点开深入看，哪些可以先跳过，节省时间、直奔干货。
如果你觉得这份整理对你有帮助，也欢迎转发给朋友一起看，让更多人少踩坑、多吸收点实战知识！
fwd:cloudsec: https://fwdcloudsec.org/conference/north-america/
[2]Fly.io: http://Fly.io
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...