Anthropic 呼吁全球放缓前沿 AI 开发，警告递归自我改进风险
Anthropic 工程师季度代码产出变化 6 月 4 日，Anthropic 在官网发布了一份题为《When AI Builds Itself》的长篇报告，由联合创始人 Jack Clark 和内部研究所负责人 Marina Favaro 联合署名。报告首次披露了一批此前从未公开的内部运营数据，核心结论是：AI 正在加速参与自身的开发过程，最快可能在两年内…
标签: 安全
清除筛选
NGINX 曝严重 RCE 漏洞：潜伏代码库 18 年，全球数亿服务器面临风险
2026 年 5 月 13 日，安全研究机构 depthfirst 与 F5 联合披露了 NGINX 中一个编号为 CVE-2026-42945 的严重漏洞，CVSS v4.0 评分达 9.2。该漏洞属于堆缓冲区溢出类型，存在于 ngxhttprewritemodule 模块中，最早可追溯至 2008 年引入的代码逻辑，在代码库中潜伏长达 18 年。Dept…
TanStack npm 供应链攻击复盘：Pwn Request + 缓存投毒 + OIDC 内存提取的完整攻击链
2026 年 5 月 11 日 19:20–19:26 UTC，攻击者向 42 个 @tanstack/ npm 包发布 84 个恶意版本。攻击链组合利用了 GitHub Actions 的三个机制——pullrequesttarget Pwn Request、Actions 缓存投毒、以及从 runner 内存提取 OIDC token——在不窃取任何 n…
Dirty Frag：Linux 内核零拷贝路径本地提权漏洞
Dirty Frag 漏洞示意图 韩国安全研究员 Hyunwoo Kim（@v4bel）公开披露了一个被命名为"Dirty Frag"的 Linux 内核本地权限提升漏洞，允许普通用户无需密码即可获得 root 权限。PoC 已在 GitHub 公开，Ubuntu、RHEL、Fedora、openSUSE 等所有主流发行版目前均无可用补丁。 漏洞原理 Dir…
Microsoft Edge 被曝会话期间明文保存所有密码于内存
挪威安全研究员 Tom Jøran Sønstebyseter Rønning 发现，Microsoft Edge 启动时会将所有已保存的密码解密并以明文形式加载到进程内存，在整个会话期间持续保留——即使用户从未访问需要这些凭证的网站。微软回应称此行为是"by design"（有意为之）。 发现过程 Rønning 在 X 上发布了 proof-of-con…
PyPI 包 lightning 遭供应链攻击，800 万月下载量的 ML 框架暴露开发者凭证
2026年4月30日，深度学习框架 PyTorch Lightning 的 PyPI 包 lightning 的 2.6.2 和 2.6.3 版本被植入恶意代码，import lightning 即触发窃取行为。月下载量约 800 万的包被劫持，波及大量 ML 训练管线和 CI 环境。 事件时间线 UTC 12:45 — lightning 2.6.2 发布…
GitHub 内部 git 基础设施远程代码执行漏洞 CVE-2026-3854 详解
Wiz Research 在 GitHub 内部 git 基础设施中发现了一个严重的远程代码执行漏洞（CVE-2026-3854），攻击者仅需一个标准 git push 命令即可在 GitHub Enterprise Server（GHES）或 GitHub.com 的后端服务器上执行任意代码。 GitHub 在收到报告后 6 小时内修复了 GitHub.c…
Bitwarden CLI npm包遭供应链攻击，恶意版本窃取GitHub令牌和SSH密钥
安全研究人员发现 Bitwarden CLI 的 npm 软件包 @bitwarden/[email protected] 遭遇供应链攻击，包内被植入恶意代码。这是 2026 年又一起针对知名开源项目的 CI/CD 管道攻击事件。 攻击详情 根据 Socket 研究团队的披露，攻击者通过入侵 Bitwarden CI/CD 管道中的 GitHub Action 注入恶…