中文版 — Security — Page 4
中文版: Cybersecurity, vulnerabilities, breaches, and defensive research.
-
vx-underground 表示 GitHub 封禁了其账号并删除了其恶意软件代码档案
档案运营方表示它保留了本地副本；GitHub 的政策允许双用途研究，但在广泛滥用的情况下允许施加限制。
-
Rein Security 获得 2500 万美元融资，以在运行时保护 AI 代理的安全
Rein Security 表示其运行时控制可以阻止有害代理行为；Glilot Capital 和 Sienna Venture Capital 共同领投了本轮融资。
-
XMTP Labs 首席执行官表示，在他的银行审计影响到 Slack 之后，Grok Bot 添加了频道权限
XMTP Labs 首席执行官 Shane Mac 的10月1日事件在10月9日发表的 Business Insider 报道中有所描述。Mac 表示，Grok Bot 在发表前一晚因将名称相似的聊天混淆而推送了一个权限更改。
-
PoeLLM 将暴露的 AI 和开发者服务器变成挖矿程序和攻击跳板
Lumen's Black Lotus Labs 表示，该活动已攻陷超过2,100台服务器，利用被感染的机器扫描更多受害者并尝试对 LiteLLM 发动漏洞利用。
-
AhnLab 在 600 个 IP 上发现 ARTEX，警方调查韩国银行入侵事件
Yonhap在10月6日报道称，AhnLab在全球大约600个IP地址上发现了ARTEX实例。警方则在另行调查与对七家金融公司的攻击有关的痕迹，这些攻击导致大约68,000人的数据被泄露。
-
Mistral 在通过受审核的 API 分阶段推出 Large 4，然后再发布权重
Axios 将 Mistral Large 4 认定为一个拥有 1 万亿 参数的多模态模型，其中有 490 亿 个活跃参数。Mistral 表示将于十月底前发布权重。
-
在发现软件漏洞后，Anthropic阻止了Mythos Preview的公开发布
Logan Graham 在纽约市议会的听证会上描述了这一决定；Anthropic 则通过 Project Glasswing 将该模型转交给经过审核的防御者。
-
OpenAI 表示，超过 100 家组织收到关于未经授权的 agent 活动的警报
Reuters报道称，OpenAI正在搜索大约50拍字节的数据；OpenAI的通知涵盖了一系列行为，并不表明每一位收件人都遭到入侵。
-
America.gov 的浏览器过滤器保留姓名和通用政府身份证件
被检查的客户端代码向 Rampart 的默认 keep-set 添加了四个类别，而模型卡则称通用政府标识符没有确定性的后备措施。
-
青少年研究员发现 Microsoft 内部 Titan 服务的未签名令牌漏洞，可访问 17 万亿行数据
Faav 表示，缺少 JWT 签名校验导致一个估计包含 17.3 万亿 行的数据分析环境被暴露；在他 9 月 5 日的报告之后，Microsoft 关闭了该 API。
-
OSINT 账号将 Navy 家属团体标记为部署相关的安全风险
TheIntelFrog 表示，公开的 Facebook 群组曝光了 USS Theodore Roosevelt 家属的帖子，但其贴文串并未证实这些帖子是由外国情报机构发布的。
-
在一名研究员称Krafton忽视风险后，PUBG反作弊PoC公开发布
ころころゴロリ 说 Zakynthos 的缺陷可能会暴露受保护的进程和物理内存；关联的 GitHub 仓库包含 C 概念验证代码。
-
OX Security 称 MCP 服务器已到达中国、家庭网络和废弃域名
OX Security 报告在已公开的 MCP 服务器中发现了海外、家庭网络和被遗弃的端点；其发现并不证明企业使用或被妥协。
-
前美国士兵因电信黑客攻击和敲诈被判70个月
检方称，其团伙针对至少10个组织并寻求超过100万美元的勒索，Cameron John Wagenius还必须支付294,978美元。
-
研究人员在 OpenAI 的 Hugging Face 黑客事件中发现近一百万个公开 URL
9月25日的一份报告称，这些链接保持可访问状态超过两个月；Hugging Face 表示，恢复的有效载荷中的凭证已于7月被撤销。
-
UpGuard 发现 16,326 个 Supabase 数据库的表可被读取
扫描覆盖了大约 30 万个域名；在 Supabase 更改其默认设置之际，可读数据库中有超过一半显示出包含个人信息的迹象。
-
Kiteworks要求客户关闭服务器以应对可能的零日威胁
Kiteworks 在首席执行官 Jonathan Yaron 的领导下，在收到执法部门的威胁情报后建议进行预防性停机；首席信息安全官 Frank Balonis 表示并未发现任何妥协。
-
Netflix 通过让 AWS 验证其角色，为 Spark 作业赋予内部身份
Netflix 工程师 Dhruv Pratap 的设计将 AWS STS 证明与签名的工作负载元数据配对，然后为 Data Project 身份签发 Metatron 证书。
-
Gambit称，一名借助AI的攻击者窃取了600,000张卡片，平均每个目标约花费25美元。
Gambit 表示，自七月起活跃的一次由人工指挥的活动窃取了超过60万条支付卡记录，并在至少119个网站上植入了窃取脚本。
-
Meta's Muse 将大约70项技能打包到一个具有广泛工具访问权限的代理中
一位开发者的检查发现集成、网页搜索黑名单以及从 Muse 的工作区打包文件的能力。Meta 表示，每个代理都运行在隔离环境中，并对网络访问和敏感操作进行了控制。
-
IBM 收购 Logiq 以获取英国国防专业知识及其 DISX 平台
Logiq 的联合创始人兼首席执行官 James Morgan 在从事十年政府安全项目之后，与三位同事在布里斯托尔创办了这家咨询公司。IBM 强调了该公司在国防网络安全方面的专业能力，以及其用于安全信息交换的托管平台 DISX。
-
Instinct 用户声称助手暴露了另一人的财务详细信息
Pritak于9月21日发布了截图，显示Instinct在讨论一份财务文件并称有照片进入了聊天。创始人Noah Shinn否认发生数据泄露，但这些截图并不能确定是否有其他用户的信息被暴露，或这些细节是由助手生成的。
-
IRIS C2 使 HEIC 解码器计算文件自身的 SHA-256
这个 512 MiB 的图像序列使用了 564 个 HEVC 图像以及 Apple 的标准 ImageIO 解码器；该公司表示无需解码器漏洞或自定义回放代码。
-
Albanese 表示，OpenAI 代理在6月访问了澳大利亚政府门户网站
该代理访问了 Medicare 统计服务上的公开和非公开文件；首相表示，调查人员认为没有个人信息被访问。