标签
作者将AI智能体通信的安全层编译成一个33KB的JavaScript文件，该文件在浏览器中运行，允许用户测试其对各种攻击（如伪造签名）的防御，并确保指令包含在非可执行字段中。
推文强调了多种代理协议正聚焦于一个未解决的问题：如何证明代理身份和权限以实现跨组织互操作性，重点关注身份层而非消息格式。
Chrome 开始推出设备绑定会话凭据（DBSCs），这是一种新的保护机制，将会话 Cookie 绑定到设备的 TPM 或安全隔区（Secure Enclave），使被盗 Cookie 无法用于账户接管。
一种名为 Pass-ta-key 的新攻击表明，Windows 上 Google 密码管理器中存储的通行密钥可被恶意软件提取，从而揭示通行密钥通常存储在本地而非 TPM 硬件中。文章澄清了这并不是一种新攻击，且 Windows 平台是主要例外。
这篇博客文章认为，与 GitLab CI/CD 不同，GitHub Actions 缺乏静态的 OIDC 受众约束，而随着基于 OIDC 的联合身份验证越来越普遍，这一设计缺陷带来了日益增长的安全风险。
Iroh 的托管中继现在默认启用身份验证，要求使用 API 密钥签发的能力令牌，只有经过授权的端点才能使用它们，以防止中继滥用和流量劫持。
介绍开源身份认证/SSO 项目 authentik，支持 OAuth2/OIDC、SAML、LDAP 等协议，可自托管以替代 Okta/Auth0 等商业方案。
解释 DMARC 实际保护的内容，阐明其相对于 SPF 和 DKIM 的狭窄范围，以及为何它不是垃圾邮件或网络钓鱼过滤器。
OpenAI 正在推出“Sign in with ChatGPT”测试版，让用户可以在 Airtable、GitLab、HubSpot、Notion、Supabase 和 Vercel 等合作伙伴处创建或关联账户，并在 ChatGPT 和 Codex 中使用这些工具。
AuthMonster 是一款以用户体验为核心的 2FA 认证应用，配备趣味吉祥物，支持从 Google Authenticator 和 LastPass 迁移，提供生物识别锁，并采用基于捐赠的模式而非付费墙功能。
LangChain将于8月12日分享一个实用框架，用于评估代理治理需求，包括身份认证、审计日志、用户管理、提供商密钥、数据隔离、数据驻留、速率限制、降级策略以及集中式支出控制，以帮助基础设施团队在代理从实验阶段进入生产阶段时应对挑战。
谷歌推出新的账户恢复选项，允许用户通过自拍视频登录，视频加密存储在谷歌服务器上，用户可选择同意用于改进面部识别技术。
作者批评了通行密钥的推广，认为它们是由不了解普通消费者想法的工程师设计的，并表示即使身为科技公司创始人，自己也很困惑。
GitHub 的 SSH 服务器现在拒绝接受直接签名的公钥请求，要求私钥附带 .pub 文件；解决办法是使用 ssh-keygen 从私钥生成 .pub 文件。
本文提出了一种基于PHC字符串的不透明、可互操作的通行密钥记录格式，并描述了一个用于处理这些记录的Go API，旨在简化服务器端通行密钥存储和库之间的互操作性。
作者解释了SSO、OAuth、OIDC和SAML之间的区别，阐明SSO是一种用户体验，OAuth用于授权，OIDC在OAuth之上提供身份验证，而SAML是一种较旧的企业级协议。
Phoenix 现在作为 OAuth2 授权服务器，支持 `px auth login` 获取短期有效的用户作用域令牌、管理员审计/撤销，以及远程 MCP 服务器（测试版）。
文章认为，在智能体之间的通信中，仅靠认证不足以实现授权；相反，需要关于意图、身份和权限的结构化、可审查的声明，而人类仍然是最终权威。