中文版 — Security — Page 7
中文版: Cybersecurity, vulnerabilities, breaches, and defensive research.
-
Sansec 侦测到试图利用 Adobe Commerce 严重账户接管漏洞的攻击活动
创始人 Willem de Groot 所属的安全公司表示，其 WAF 正在阻止这些尝试，而 Adobe 表示尚无确认的在真实环境中被利用的漏洞利用案例。
-
Sesame 推出 Windows 密码保险库，但同步功能仍未启用
公开测试版将密码和 2FA 数据保存在设备上，在 AGPL 下发布其代码，并在独立安全审查完成之前就已发布。
-
OpenAI 聘请资深逆向工程专家 Halvar Flake 负责网络安全与效率方面的工作
即将加盟 OpenAI 的这位研究员此前创立了安全创业公司 zynamics 和分析软件制造商 Optimyze，并出售了这两家公司。
-
ExfilSquad 宣称攻破 Microsoft，但证据仍未得到核实
该新的勒索行为体一次性发布了15条受害者声明，研究人员表示，这种模式更符合批量发起或伪造。
-
开发者正在从编写代码转向监督代理
Santiago Valdarrama 说，他已经花了两周时间在不阅读的情况下评判代理输出，而工作流软件厂商正竞相将这种做法形式化。
-
据报道，Qwen3.8-27B 在离线情况下绕过了许可证检查，但尚未得到独立复现
据 XDA 报道，Alibaba 的一款拥有 270 亿参数的模型在 30 分钟内绕过了一个商业应用的许可证验证。没有二进制文件、转录文本或独立复现可用。
-
Enigma筹集了7100万美元，并向浏览器开放了100个AI机器人
Unit 8200 校友 Jonathan Jacobi 和 Gal Niv 正在利用公开互动来测试界面并为与机器人无关的 AI 收集训练数据。
-
Cyera 追求 Oasis，NewCore 与 Oak 为人工智能代理重建身份
据报道，这笔10亿美元的交易发生在两个挑战面向员工时代身份堆栈的新平台筹集了1.26亿美元之后。
-
Apple 向受到针对的 iPhone 用户发出新的雇佣型间谍软件警报
Citizen Lab 研究员 John Scott-Railton 敦促收件人通过 Apple 核实该警告并寻求安全专家的帮助。
-
Arnav Gupta 推出 Prismor，以治理 AI 代理的工具调用。
该开源运行时在命令执行之前拦截来自 Claude Code、LangChain 和其他代理的工具调用并应用策略。
-
CrowdStrike 未能达到营收目标，净新增年化经常性收入（ARR）放缓至 2.56 亿美元
这家网络安全巨头的收入未达到华尔街的预期，而净新增经常性收入（net new ARR）也未达到分析师设定的高门槛。
-
Wiz 表示 Azure Cosmos DB 漏洞可能已暴露所有数据库
Wiz 表示，Microsoft 已彻底修复了 CosmosEscape，这是一个 Gremlin API 的漏洞链，曾获取到平台范围的签名密钥。
-
Anthropic 表示 Claude 改进了针对 HAWK 和轮数减少的 AES 的攻击
7月28日的披露称，Claude Mythos Preview 改进了对 NIST 的一种后量子签名候选方案和一种减轮 AES 变体的攻击，但未报告对生产环境造成影响。
-
Guardio 融资 4000 万美元，估值 11 亿美元，严格控制稀释
Amos Peled 表示，Guardio 在将 Wiz 联合创始人 Assaf Rappaport 纳入该轮融资后，ARR 已超过 $150M，并拥有 1M 名付费客户。
-
Jazz 将 Melody 的 DLP 调查引入 CrowdStrike 的 Falcon 控制台
[Jazz](https://www.jazz.security/?ref=runtimewire) 将其 [在 CrowdStrike、AWS 和 NVIDIA 的网络安全加速器中获胜](https://www.jazz.security/blog/jazz-wins-the-2026-crowdstrike-and-aws-cybersecurity-startup-accelerator?ref=runtimewire) 转变为 Falcon 分发渠道，几乎在 [宣布获得 $61M 的融资](https://www.jazz.security/blog/jazz-comes-out-of-stealth-with-61m-to-remaster-data-loss-prevention?ref=runtimewire) 六个月后。
-
Depthfirst 推出经强化学习（RL）训练的 dfs-large1，用于企业漏洞检测
该模型在 Depthfirst 的内部基准测试上击败了通用型竞争对手，而该基准测试的构建和方法论尚未公开。
-
Aikido 将 anthropickit 标记为 Claude PyPI 恶意软件事件的可能匹配
`anthropickit` 包确实是恶意软件；它与 Anthropic 之间未经证实的关联表明在代理评估中存在遏制失败。
-
Causum 推出 AIAP，为 AI 代理的权限设定到期日期
创始人 Reza Fatahi 的协议在代理和凭证之间设置了一个中介，在自主系统获得更强行动能力的同时，为限定的目的和时间授予访问权限。
-
HackerOne 将要求每次漏洞赏金提交提供政府颁发的身份证件
8月14日的规则适用于新账户和现有账户，而未付费的漏洞披露计划仍然开放且无需验证。
-
研究人员雇用了疑似朝鲜籍的 IT 工人，以揭露他们被雇用后的操作手法
三名被录用的员工在一个沙箱式工作环境中使用了伪造身份、由 Gemini 修改的文件、远程访问工具以及 AI 编码助手。
-
联邦调查人员调查伊朗与波及七个州的供水系统网络攻击之间的关联
攻击者入侵了明尼苏达州30多家公用事业的运营技术系统，短暂关闭了一家处理厂的控制系统。
-
Microsoft 在 MDASH 中推出 MAI-Cyber-1-Flash，一款成本高效的人工智能安全模型
该新模型声称获得了96%的CyberGym评分并实现运行成本减半，并与Perception代理型安全系统一同亮相。
-
ChatGPT Work 可以在无需查看你的密码的情况下登录网站
云浏览器可以保留会话，在需要进行双因素认证（2FA）时暂停，并在预订、付款及其他关键操作之前征求批准。
-
测试平台配置不当导致三家 AI 实验室的模型进入生产系统
Irregular 的联合创始人 Dan Lahav 和 Omer Nevo 建立了一个独立的人工智能安全实验室，其评估基础设施本身却成为了该实验室旨在衡量的风险的一部分。