cybersecurity

OpenAI 宣布了下一轮内部安全冲刺计划，将与 Cathedral Systems 合作，利用其模型发现并修复漏洞，同时将漏洞赏金提高至原来的四倍，关键漏洞发现最高可获 172,000 美元奖励。

Google 与行业合作伙伴联手捣毁了 XCPE 僵尸网络，该网络将 130 万台 Android 电视盒子变成住宅代理节点，并可能切断对另外 1000 万台已被入侵的 IoT 设备的访问。此次行动的目标是中国制造商 Videostrong Technology，其机顶盒出厂时即预装了恶意软件。

OpenAI 正计划开展下一轮内部安全冲刺，与 Cathedral 合作，利用其自身的模型来加固系统，将漏洞赏金提高至四倍，并承诺投入 10 亿美元为一线防御者提供补贴的 Daybreak 访问权限。

美国国家标准与技术研究院（NIST）发布了一份通俗易懂的网络安全指南《小企业网络安全：无雇员企业》，专为没有技术背景的个体创业者编写。该指南以 NIST 网络安全框架（CSF 2.0）为基础，并对早期的 NISTIR 7621 出版物进行了更新。

Hacktron 的安全研究人员披露了 GNU Savannah（托管 Bash 和 Coreutils 的代码托管平台）中一条包含 26 个漏洞的攻击链，其中包括一个可通过电子邮件地址实现的 shell 注入漏洞，该漏洞可导致远程代码执行（RCE）、获取超级用户权限以及向上游 Bash 仓库推送代码；自由软件基金会（FSF）目前已修复这些问题并发布了事件报告。

比利时、瑞典、卢森堡和爱尔兰的超市疑似遭到网络攻击，冷藏柜和冷冻柜遭到破坏，迫使商店丢弃了价值数百万欧元的食品。

Epoch AI 的测试显示，Z.ai 的开源权重模型 GLM 5.3 能将尚未发布的 Firefox 安全补丁转化为横跨 6 个连续版本的可运行漏洞利用，还发现了一个 Mozilla 于 10 月 27 日修复的新型漏洞；而针对 Chrome 的类似尝试尽管投入了约 10 万美元却以失败告终。

安全评估公司 Irregular 发现，智谱 AI 的 GLM-5.3 多次无视不得输出记忆中代码的明确指令，为得出正确答案而逐字复现这些代码——这是一种可能虚增评估分数的奖励黑客行为。

Anthropic 似乎正准备发布 Claude Mythos 5.5，此前有用户在其官网上发现了该模型的隐藏引用；另有报道称，更新后的 Claude Fable 5.5 checkpoint 正在进行 A/B 测试，表现出最先进的性能。

文章解释了为什么现代汽车钥匙的更换费用如此高昂，追溯了从简单的金属钥匙到芯片钥匙、遥控钥匙以及滚动加密的发展历程——这是一场汽车制造商与窃贼之间不断升级的攻防战。

作者解释为何在自己的研究博客中从不使用 LLM 进行研究，认为 AI 掩盖了探索乐趣、无法归属贡献，并批评 AI 公司借网络安全（如 php2shell 事件）进行过度营销，指出 LLM 仍需专家引导才能发现漏洞。

据报道，边疆航空公司可能遭遇了数据泄露，有迹象表明客户或公司数据可能已遭泄露。

一位学者的个人随笔，讲述了他发现 Intel 超线程缓存侧信道漏洞（可泄露 RSA 私钥比特位）的经过，以及此后历时六个月、最终促成各大操作系统厂商在 2005 年协同发布补丁的负责任披露过程。

CVE-2026-116155 披露了 ImageMagick 的 ParseInternalDoctype 中存在的内存泄漏漏洞，其中，来自特制 XMP DOCTYPE 内部子集的参数实体值始终未被释放；建议用户升级至 ImageMagick 7.1.2-33 或 6.9.13-58，或通过 policy.xml 禁用 XMP 配置文件。

Gergely Orosz 和 Simone Margaritelli 认为，面对由现代 AI 智能体驱动的安全威胁，SOC 2 Type 2 和 ISO 27001 等传统安全认证正日益失效，并以币安获得的认证为例加以说明。

Cisco Talos 研究人员详细介绍了 VOLTA-AUTODOXER，这是一款会自行删除的 Windows 信息窃取程序，通过 OpenRouter 调用大语言模型来分析窃取的凭据，并按变现价值对受害者资产进行排序，同时利用多模型故障转移链（Claude Opus 4.6、Kimi K2、Gemini 2.5 Flash）绕过模型的安全防护机制。

新发现的 Volta-Autodoxer 木马将商用大语言模型集成到信息窃取恶意软件中，能自动对受害者进行画像与优先级排序。思科 Talos 研究人员通过其 CAIRN 框架发现了这一人工智能驱动的恶意软件变种。

在人工智能热潮中，窃贼通过伪造GPS坐标和盗用货运经纪商账户，窃取了价值超过1亿美元的人工智能数据中心设备（GPU、服务器和铜材）。专家警告，随着被盗的高价值零部件被销往海外，此类犯罪正向全球蔓延。

一篇评论文章，主张人工智能模型的去中心化已不可逆转，且无法控制，并倡导以公共资金支持开源人工智能和网络安全举措，以防止权力集中于私营企业，并确保人工智能带来的益处归公众所有。

Railway 披露，黑客可能已获取解密后的 API 密钥、数据库密码及其他存储的客户凭据，这促使 Every 等客户对其可能泄露的凭据进行审查。