#安全
共 52 篇相关文章
If You Read This：像死人开关一样运作的每日签到应用
If You Read This 是一款基于死人开关机制的每日签到应用：用户每天打开应用签到，若错过签到和提醒，预设消息将自动短信发送给指定联系人。本文介绍其运作方式、适用场景与隐私考量。
Vercel联手Truffle Security扩展令牌扫描，覆盖更多公开来源
Vercel与Truffle Security合作扩展令牌扫描至GitHub、GitLab、Docker、npm等更多公开来源，并独立扫描Common Crawl数据集，自动撤销暴露令牌，防止未授权访问和意外费用。
科技前沿点一下“不再询问”，1122份Claude Code配置带着密码上了GitHub
GitHub上发现1122份Claude Code配置文件含明文密码和密钥，源头是“不再询问”按钮将命令原样写入本地文件。本文解析泄露机制、539次工具自动提交的数据，并给出轮换凭据、修正gitignore、改变命令习惯三步应对方案。
别等公司统一工具：自建互联安全方案的思路
公司统一工具迟迟不到位怎么办？本文从连通性与安全性两个维度，分析技术团队自建互联安全方案的思路、边界与判断标准，帮助开发者在等待与自建之间做出务实选择。
预训练投毒：AI智能体后门的新威胁
Hacker News讨论揭示预训练投毒可植入AI智能体后门，威胁智能体安全。本文分析攻击原理、独特风险及防御思路，探讨智能体供应链安全挑战。
恶意Claude Code扩展潜入Cursor：2.1.313版本自查与清理指南
Cursor扩展市场出现恶意Claude Code构建2.1.313，上架约11小时，最多5000名用户受影响。StepSecurity披露其窃取系统信息、git邮箱与环境变量名，并尝试植入SSH密钥和反向隧道。本文梳理事件经过、恶意行为及完整自查清理步骤。
空气隔离电脑泄密新招：RAM无线电信号拼出机密
黑客新闻热议研究：通过操控RAM产生无线电信号，可将空气隔离电脑中的机密数据以无线电波形式泄露。本文解析攻击原理、技术挑战与防御思路。
ChatGPT沙箱被攻破：一条复杂攻击链如何窃取账户数据
ChatGPT沙箱被攻破：一条复杂攻击链如何窃取账户数据
Parameter Labs 披露针对 ChatGPT HTML 预览沙箱的复杂攻击链：MathLive 虚拟键盘 postMessage 注入、innerHTML 绕过沙箱、YouTube oEmbed 突破 CSP，最终可实现账户数据窃取。OpenAI 修复后支付 5,000 美元赏金。
Secret Key：开源密码继承方案，家人可紧急解锁
Secret Key 是一款开源自托管的密码紧急访问工具，通过密码分片、短信验证和48小时延迟，让家人在紧急情况下安全解锁密码库。
OpenCode 送百元 DeepSeek 额度：订阅套利与安全警报齐飞
AI 日报速览：OpenCode 向 Go 订阅用户赠送 DeepSeek V4.1 Flash 大额额度，附带限流与分时计价；VS Code 扩展市场曝出被篡改的 Claude Code 恶意版本，影响约 5000 名用户；商汤开源 90 亿参数多模态模型；Google 卫星 TPU 回传首个 AI 回复；AI 资本开支超 7400 亿美元引发情绪拐点。
LangChain默认配置存10.4倍放大风险，公共聊天机器人如何自救？
红队研究员发现LangChain默认create_agent+SqliteSaver模式会将不可信输入放大10.4倍存储，且增长呈二次方。这不是CVE而是设计级风险，每个公共聊天机器人都可能受影响。本文详解攻击原理、实验数据及五条有效缓解措施。
AI逆向工程新工具REA：让Claude克隆任意App
REA（Reverse Engineer Anything）是GitHub趋势榜第一的AI逆向工程工具，能让Claude Code等编程代理拆解任意App，复现功能，但也会触发安全拦截。本文详解其能力、限制与伦理边界。
PHP RCE 挑战：一场对比特币的攻防实验
Hacker News 上的“Steal My Bitcoin”项目用比特币悬赏测试 PHP RCE 漏洞的真实可利用性，引发安全社区热议。本文介绍漏洞背景、社区反应及技术启示。
Fluxix：给AI代理装上安全闸，管控访问、执行与支出
Fluxix在Product Hunt亮相，为AI代理提供安全层：用自然语言设定规则，管控代理的访问、执行与支出，支持阻止、人工审批与数据脱敏，并记录决策日志。
1Password解锁AI代理新玩法：密码免暴露自动登录
1Password推出面向AI代理的新功能，允许AI代理在不查看密码的情况下登录账户，用户需授权每次登录请求。本文解析其授权机制、安全模型及对AI自动化生态的影响。
MCP服务器安全警报：70%无认证暴露工具列表
Wiz Research扫描发现，约70%公网暴露的MCP服务器无需登录即返回完整工具列表，42%在调用时返回真实数据，部分甚至暴露删除记录类工具。本文解析MCP服务器的安全风险成因与防护建议。
AI机器人安全隐患：秘密触发词如何将其变成危险武器
Hacker News讨论揭示AI机器人存在秘密触发词漏洞，攻击者可利用语音指令绕过安全约束执行危险动作。本文分析攻击原理、物理风险及防御策略，探讨AI安全的前置设计。
eMudhra中间CA私钥泄露：信任链危机与Python生态紧急响应
eMudhra八个中间CA证书私钥泄露，波及Mozilla、Microsoft、Apple和Chrome信任计划。本文解析事件影响、Linux ca-certificates更新要点，以及pip、uv、certifi等Python组件的紧急修复版本。
