博客
关于 AI 的记录 —— 它如何运作、在哪里有用,以及我们在开发中学到的东西。
最新文章
OpenAI、Slack、Meta 和 GitHub 底下是同一个图像库。攻破它只花了模型三个小时研究人员把 libheif 中的堆溢出,变成了在 OpenAI、Slack、Meta 和 GitHub Enterprise 上的远程代码执行。打补丁是容易的那部分;前沿模型只用三个小时就写出可用利用程序,才是防守方该读两遍的地方。安全
没有人攻破 Revolut。有人用偷来的政府邮箱,向它寄了一份警方公文约 680 名 Revolut 客户的护照、人脸验证自拍和账户流水,被冒充意大利警方长达五个月的犯罪者拿走。Revolut 的系统没有被攻破,被攻破的是回应执法机关请求的那套流程。安全
谁能进网络,由思科的身份引擎说了算。一个不带认证的请求,直接跳过了这道提问CVE-2026-76460 是 Cisco Identity Services Engine 上的认证绕过漏洞,CVSS 10.0,已遭在野利用,没有缓解措施,CISA 给出了三天的修复期限。在 ISE 上失守 root,意味着同时交出决定其他所有人能访问什么的规则,以及本该记录这一切的日志。安全
一个被劫持的编码助手把蠕虫撒进了100个代码仓库。Mandiant 说,出问题的不是模型Google 旗下 Mandiant 发布了一份2026年真实 AI 安全事件的案例集,其中包括一起编码助手会话被劫持、Shai-Hulud 蠕虫扩散到约100个内部仓库的事故。贯穿全书的一点是:智能体已经成了一个拥有特权的身份,并且正在被当作身份来攻击。安全
CISA 给 ScreenConnect 定的期限两天前就到了。上千个实例仍暴露在外CVE-2026-84869 是 ConnectWise ScreenConnect 中一个 CVSS 9.9 的授权缺陷,攻击者自8月下旬起借它在相连端点之间扩散。联邦机构的修补期限已过,Shadowserver 仍数出一千多个暴露在互联网上的实例。安全
正在被利用的 Pixel 零日不是内存安全漏洞。别扭之处正在于此谷歌 9 月的 Pixel Update Bulletin 修复了 CVE-2026-58704,这是蜂窝调制解调器中的一个权限绕过漏洞,谷歌称有迹象显示它正遭到"有限的定向利用"。它被评为 High,只出现在 Pixel 专属公告里,而且属于逻辑错误——正是谷歌的 Rust 基带加固工作碰不到的那一类。安全
LiteSpeed 修补了共享主机上的一次 root 越权。但它没有给这个漏洞编号LiteSpeed Web Server Enterprise 6.3.7 悄悄修复了一个可让单个托管账户拿到共享服务器 root 权限的漏洞,被击穿的正是整个共享主机模式所依赖的隔离。没有 CVE,没有严重性评分,也没有关于是否遭利用的说明——出面示警的是 cPanel。安全
思科邮件网关以解析敌意邮件为业。如今一封信就能拿下 rootCVE-2026-76461 让未经认证的攻击者只需发一封邮件,就能在 Cisco Secure Email Gateway 上以 root 权限执行命令。该漏洞已遭在野利用,没有缓解措施,而这台设备的暴露并非配置失误——那本就是产品的职责。安全
GitLab 的满分 10.0 已被补上。被读走的密钥没有CVE-2026-85706 让未经认证的攻击者可以读取自托管 GitLab 服务器上的任意文件,补丁发布次日 CISA 就将其列为已遭在野利用。升级能止住读取,却对已经被拿走的凭据无能为力。安全