eMudhra 中间 CA 私钥泄露拆解：八个小于 256 的整数如何动摇证书信任链
印度证书机构 eMudhra 的八张中间 CA 私钥，任何人都能在笔记本电脑上瞬间恢复：八张 P-384 私钥全部是小于 256 的整数，安全研究者 Scott Helme 从公开证书出发逐一验证，每张都在一秒内还原。10 月 17 日研究者向四大根程序报告，当天晚些时候 Chrome 与 Firefox 完成封锁，10 月 20 日 Mozilla 公开披…
标签: 安全
清除筛选
NIST 椭圆曲线种子悬案告破：Claude 用半小时解开 28 年前的 srand48 时间戳
2026 年 10 月 15 日 UTC 01:07:51，一条悬赏认领记录出现在 Filippo Valsorda 三年前发起的 NIST 椭圆曲线种子悬赏页面上。认领人是一支 Anthropic 团队，他们没有按传闻中的思路去找那句「英文俏皮话」，而是让 Claude 从零推断这些种子是怎么生成的。答案揭开时，密码学界攒了近三十年的猜测集体作废：这些种子…
Bitwarden 商店版切换商业许可：GPLv3 构建保留在 GitHub，双轨并行
2026 年 10 月 9 日，Bitwarden 在官方论坛发帖确认：从下一个版本开始，上架各大应用商店的 Bitwarden 客户端将换成商业许可构建，GPLv3 开源构建继续在 GitHub 上更新，两条线并行。官方在帖子中列了四条不变：源码继续公开、可以继续 fork、自托管政策不变、免费计划永久保留。 这个公告在 Hacker News 上一天内拿…
REA：一个 MCP 把 Hopper、Ghidra、IDA 接给 AI 编码智能体做逆向工程
逆向工程这件事，工具链的成熟度远超大多数人的想象：Hopper、Ghidra、IDA Pro 三款反汇编器能把一个 stripped binary 拆成函数列表、控制流图和伪代码。但这条工具链有一个共同的缺口——它们都是给人用的。交互靠 GUI，操作靠鼠标点选，输出是屏幕上的一段高亮汇编。当编码智能体（Claude Code、Codex、Cursor 这类）…
C2PA 照片签名被攻破：把整个文件排除出哈希，时间戳照样有效
一张彩票的照片，带完整的 C2PA 内容签名和受信任时间戳，显示它在开奖前几小时就拍下了「中奖号码」。验证工具显示签名有效、时间戳有效、照片未篡改。唯一的破绽：号码是开奖之后 P 上去的。这不是假设，是安全研究者 David Buchanan（网名 retr0id）10 月 2 日发布的演示，也是目前对「照片溯源标准」最直接的一次证伪。Lobsters 上这…
Google 把 gVisor 捐给 CNCF：AI Agent 沙箱底座走向中立治理
gVisor 要搬进 CNCF 了。Google 在 10 月 2 日的官方公告里确认了这个决定：项目连同名称和商标一起捐给云原生计算基金会，走 Kubernetes 八年前走过的路。2018 年开源以来一直是"Google 全资项目"的 gVisor，第一次有了脱离单一公司治理的时间表。 gVisor 的隔离模型：在用户态实现一套独立的应用内核 时间线：9…
九大 AI 聊天服务隐私审计：你的对话正在进入广告追踪系统
你的 AI 对话，正在进入广告追踪系统 九家主流 AI 聊天服务的隐私审计显示：每一家都接入了第三方广告或追踪服务，六家网页版会把对话衍生出的链接、标题、提示词甚至截图交给这些第三方，且这些数据常常与持久用户标识一同传输。这项名为 "Prompt like a Butterfly, Sting like a Tracker" 的研究来自马德里 IMDEA 网…
NVIDIA OpenShell 技术解读：内核级沙箱加形式化验证，管住能碰生产数据的 AI Agent
让 AI Agent 干活，就要给它文件读写、包安装、API 调用和凭据；给了这些，它就站在你的数据、密钥和网络旁边。这是当前 Agent 工程化最直接的一组矛盾。NVIDIA 开源的 OpenShell 把自己定位成「自主 AI Agent 集群的安全、私有运行时」：用声明式政策声明每个 Agent 能碰什么，然后在内核层强制执行。项目用 Rust 编写，…