标签
Parameter Labs 披露了一个针对 ChatGPT HTML 预览产物的复杂攻击链，可实现沙箱逃逸、JavaScript 执行，并通过精心构造的分享链接窃取用户的私密数据。OpenAI 已修复该漏洞，并支付了 5,000 美元的漏洞赏金，但外界批评对于如此严重的漏洞而言金额过低。
币安首席执行官理查德·滕表示，在这起创纪录的加密货币盗窃案中，用户被盗的63亿美元资金已有90%得到补足，剩余10%预计也将得到补足，提现服务即将恢复。
NetBird 是一个开源平台，结合了 WireGuard VPN、点对点连接和集中式访问管理，简化了安全私有网络的创建。如今还推出了测试版 Agent Network，为 AI 智能体提供身份感知访问控制。
Anthropic.claude-code 扩展的被篡改版本曾短暂出现在 Cursor 的应用市场中，可能通过自动更新影响了多达 5,000 名用户，安装了 SSH 后门及持久化机制，即使简单更新或卸载也无法清除。
一份精选的 REA（Reverse Engineering Anything）学习路线图，涵盖安装、教程、真实逆向案例、GitHub 仓库、书籍、研究论文和免费课程，助你高效学习逆向工程。
用户警告一款Codex插件疑似在设备空闲时擅自启动 xcodebuildmcp 等进程，导致MacBook发烫，怀疑该插件会劫持Codex执行隐蔽任务，并提醒他人不要安装。
Signal 的分支应用 Molly 已有三个月未更新，仍存在主线 Signal 中已修复的安全漏洞，因此建议用户切回官方 Signal 应用。
一篇文章表明，信任 Git 的 pre-commit 钩子文件，并不意味着它启动的代码也值得信任——钩子可以调用 package.json 中的 npm 脚本，而这些脚本可能已被智能体修改，从而使代码能够在智能体环境之外执行。该演示使用普通的 Git for Windows，未直接测试任何智能体沙箱。
InfoQ 报道了 OpenAI 的 Thomas Sarlandie 在 AGNTCon + MCPCon 大会上的演讲，详述了 OpenAI 的 MCP 服务器审核规则要求工具必须携带注解（readOnlyHint、destructiveHint、openWorldHint），同时强调：正确的注解只是不可信的提示，并不能替代服务端的授权和安全机制。
Akamai/Linode 发布了一份关于 CVE-2026-98432 的客户安全公告。该漏洞是近期披露的远程代码执行漏洞。公告称，该公司正在积极调查并采取缓解措施，同时持续监控其平台。
Anthropic 的官方 Claude Code VS Code 扩展在 Cursor 市场被植入后门近 12 小时，恶意版本 2.1.313 通过官方账户分发，最多影响约 5,000 名开发者，可安装持久化 SSH 后门并访问本地文件与源代码。Anthropic 至今未向客户发布公开通知。
Fastmail 的博客文章深入解析电子邮件加密的各种方式，涵盖 TLS 连接加密、公钥基础设施（PKI）、证书透明度（CT）以及端到端加密等，并帮助读者根据自身威胁模型做出合适的隐私与安全选择。
一次供应链攻击使一个恶意的 Anthropic Claude Code 扩展在 Cursor 的扩展市场中上架约 11 个小时，可能影响多达 5,000 名开发者，该扩展植入了后门。Anthropic 和 Cursor 表示其系统并未被攻破，且该恶意软件的设计缺陷使其无法在大多数目标设备上完全立足。
GitHub 通过访谈漏洞赏金研究员 @r31n，分享了漏洞链研究经验，强调小漏洞可组合成严重问题，并介绍了 AI 对安全研究的影响及 GitHub 漏洞赏金 VIP 计划。
Go 安全团队警告称，CVE-2026-98432 是 Linux 内核 IPv4 TCP 处理中的一个释放后使用漏洞，可导致远程代码执行（RCE）（Anthropic 已通过 MPTCP 监听器演示了漏洞利用）。团队建议升级到已修补的内核，并详细说明了如何在 Go 程序中默认禁用 MPTCP。
Proton 首席执行官 Andy Yen 取消了原计划在全公司范围内开展的“重新面试”，该计划本会迫使员工为自己的 AI 使用情况作出解释。此前，这一计划引发强烈反对，404 Media 的调查也揭露，在激进的 AI 强制推行政策下，公司内部弥漫着恐惧氛围，安全方面的担忧则遭到漠视。
Anthony Scaramucci 称赞 Binance 对加密货币史上最大事件的应对，特别提到 Richard Teng 的即时沟通，以及通过 SAFU 基金和公司储备金对用户资金的全额保障。
一条幽默的推文指出，如今最有效的"反反编译"手段不再是加密或混淆，而是在代码中塞入大量涉及生物武器和致死剂量的可疑函数名（如 computeRicinLethalDosageForWaterSupply），利用 AI 的安全限制让分析工具拒绝处理该代码。
币安披露了一起损失约63亿美元的安全事件——这是有记录以来规模最大的加密货币交易所黑客攻击——促使埃隆·马斯克警告称，超级智能AI智能体有朝一日可能会为自己窃取货币。该帖指出，AI实验室已经在以每小时100至250美元的报酬聘请安全承包商，开展红队测试和模型评估。