摘要：
上个月，Fedora 的 Anaconda 安装器里混进了一段不该存在的代码。提交者是一个看起来正常的人类账户，有八年参与历史，PR 描述头头是道。维护者审了几轮，对方每次都耐心回复，解释充分得让人不好意思再质疑。最终代码合入，进了 Anaconda 45.5 正式发布版。 一周后，这段代码被紧急
阅读全文
posted @ 2026-09-25 22:56
0xfisher
阅读(5)
推荐(0)
摘要：
昨天 Ars Technica 的 Dan Goodin 报了一个漏洞，标题很有画面感：High-severity vulnerability in Linux caused by a single faulty character。一个感叹号，把 Linux 内核的 nf_tables 子系统变成
阅读全文
posted @ 2026-09-25 22:56
0xfisher
阅读(10)
推荐(0)
摘要：
Anthropic 昨天（6 月 9 日）发布了 Claude Fable 5，同时发布的还有面向安全机构的 Mythos 5。这不是一次普通的模型升级——他们把 Mythos 级别的能力装上了安全限制，向所有开发者开放了。 Fable 5 是目前 Anthropic 公开可用的最强模型。几乎所有基
阅读全文
posted @ 2026-09-25 22:56
0xfisher
阅读(5)
推荐(0)
摘要：
一、事件概述：暗网核弹引爆 2026年6月，印度电子与半导体制造巨头塔塔电子（Tata Electronics）确认遭遇重大网络安全事件。勒索软件组织 WorldLeaks 攻破了其核心工程数据库，窃取并公开发布了超过 20.43万份文件，数据总量约 630.4GB[1][2]。 攻击最早发生于20
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(10)
推荐(0)
摘要：
今天HN首页有三条新闻放在一起看挺有意思：微软关了一批GitHub仓库，苹果发了新AI架构，Signal写了一封公开信怼英国政府。表面上是三件事，但背后都指向同一个问题——开发者工具链的信任链条正在从多个方向同时断裂。 作为一个做安全的人，我看到这三条新闻的第一反应不是惊讶，而是"终于来了"。供应链
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(10)
推荐(0)
摘要：
SafeDep 最近披露的 Miasma 蠕虫事件，说实话，看得我有点后怕。攻击者往 mantine-datatable 的仓库里提了一个 commit，标题写着 "chore: update dependencies [skip ci]"，人畜无害。但这个 commit 加了 7 个文件——6 个
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(7)
推荐(0)
摘要：
2026年6月7日科技速递：高考AI监考、芯片股暴跌、谷歌Gemini漏洞、OpenAI人才流失 今天是2026年全国高考第一天，科技圈也发生了不少大事。从AI监考到芯片股暴跌，从谷歌Gemini漏洞到OpenAI人才流失，今天的科技速递带你一文看尽。 1. 高考AI监考：AI巡查系统全面启用 20
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(4)
推荐(0)
摘要：
Meta AI聊天机器人被利用劫持2万Instagram账号：一个"功能正常"的致命漏洞 本周安全圈最大的瓜，不是哪个零日漏洞被曝光，而是Meta自己承认了一个让人哭笑不得的事实：他们的AI聊天机器人被黑客玩了几个月，两万多Instagram账号被劫持，而官方的说法是——"工具本身工作正常"。 发生
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(12)
推荐(0)
摘要：
这周安全圈最热的事件，来自一个看似无害的 AI 功能。 Meta 确认，其 Instagram 内置的 Meta AI chatbot 被攻击者利用了一个认证验证漏洞，导致至少 20,225 个 Instagram 账号被劫持。攻击持续时间近两个月——从 4 月 17 日到 6 月初 Meta 紧急
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(5)
推荐(0)
摘要：
2026 年 5 月底，开源社区爆发了一场围绕 rsync 的舆论风暴。核心指控很简单也很直白：rsync 维护者用 Claude 辅助写代码，导致这个几十年来以稳定著称的工具质量崩塌。这张嘴就来的叙事在 48 小时内走完了社交网络的完整生命周期——Mastodon 原帖千赞千转，Hacker Ne
阅读全文
posted @ 2026-09-25 22:55
0xfisher
阅读(9)
推荐(0)
摘要：
Claude Mythos：AI 网络安全能力的质变时刻 2026 年上半年，安全圈最火的词不是哪个新 CVE，而是 Anthropic 的 Claude Mythos。Mozilla 用它在 Firefox 里找到了 271 个漏洞，"几乎没有误报"；curl 维护者 Daniel Stenber
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(8)
推荐(0)
摘要：
2026年6月技术热点速递 今天从 Hacker News 前端挑了几个值得聊的话题，涉及 LLM 成本优化、AI 代码审查、微软 Linux 战略、以及一个硬件黑客工具。 1. Lowfat：省掉 91.8% 的 LLM Token 用 Claude Code 或 Codex 写代码的人都知道，T
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(19)
推荐(0)
摘要：
今天 HN 上有两条新闻放一起看很有意思。Ladybird 浏览器宣布不再接受公开 Pull Request。同一天，Anthropic 开源了一个叫 DCRH 的自主漏洞挖掘框架。一个在关门，一个在开门。背后是同一件事：AI 正在瓦解我们对"代码贡献"这件事的默认假设。 Ladybird 关上了门
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(8)
推荐(0)
摘要：
目录 一、漏洞概述 二、Workspace Agents架构概述 三、AgentForger攻击链深度分析 四、恶意Prompt工程 五、Preview Mode的安全缺陷 六、持久化与C2信道 七、根因分析 八、与传统CSRF对比 九、防御方案 十、AI Agent安全Checklist 十一、总
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(5)
推荐(0)
摘要：
6月2日，安全研究员 Ammar Askar 披露了一个 VSCode 漏洞：点一个链接，就能窃取你的 GitHub Token，拿到所有仓库（含私有）的读写权限。 PoC 已公开，攻击链完整可复现。 攻击入口：github.dev github.dev 是 GitHub 的在线编辑器，把 gith
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(8)
推荐(0)
摘要：
上周我还在想，AI 基建投入是不是快到顶了。然后 Alphabet 宣布了一笔 800 亿美元的融资计划——专门用于 AI 基础设施和算力建设。几乎同时，Anthropic 秘密递交了 IPO 申请，阿里发布了 Qwen3.7-Plus 多模态智能体模型。而在这些光鲜数字的另一面，Red Hat 的
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(6)
推荐(0)
摘要：
本周 Hacker News 最热的帖子是一句话：「Claude Opus 4.8」——1762 分，1366 条评论。作为一个每天和 AI 打交道的开发者，我花了一个下午读完了 Anthropic 的发布文章和社区讨论，想聊聊这次更新的真正意义。 不是参数翻倍，是「能力密度」的提升 如果你期待 O
阅读全文
posted @ 2026-09-25 22:54
0xfisher
阅读(8)
推荐(0)
摘要：
这两天开发者社区最炸的消息：GitHub Copilot 不再按月定额收费，改按 token 计费了。 "GitHub 不装了，用户炸锅了"——这是 V2EX 上的原话。从 $10/月无限用，到每一行补全、每一次对话都精确计费，这不是涨价，是计费模型的彻底翻篇。而且不只是 Copilot：Curso
阅读全文
posted @ 2026-09-25 22:53
0xfisher
阅读(18)
推荐(0)
摘要：
昨天刚写完 Token 预算失控，今天现实就送来一个教科书级别的案例。 5 月 30 日，V2EX 上炸了一条帖子：一家公司忘了给 Claude 设限额，一个月烧掉 5 亿美元。 不是年预算，不是项目预算，是一个月的账单。同时，Flathub 宣布禁止 AI 生成的应用上架，阮一峰在周刊里写了"To
阅读全文
posted @ 2026-09-25 22:53
0xfisher
阅读(5)
推荐(0)
摘要：
5 月 29 日，一条消息在开发者圈子里炸了：Anthropic 估值达到 9650 亿美元，首次超过 OpenAI。 同一天，Claude Opus 4.8 被开发者社区疯狂实测，最重要的一个评价是——"AI 终于学会承认自己不知道了"。 这两件事放在一起看，有一个信号越来越清晰：AI 编程的牌桌
阅读全文
posted @ 2026-09-25 22:53
0xfisher
阅读(6)
推荐(0)
摘要：
5 月 28 日出了几条看起来不相关的消息，串在一起看，拼出了 AI 行业一个清晰的信号：烧钱游戏进入下半场，开始算账了。 Meta 宣布把 AI 聊天机器人和社交流量全部装进订阅服务——AI 的免费午餐正式结束。同一天，Snowflake 宣布斥资 400 亿美元加码算力，股价盘后暴涨 38%。隔
阅读全文
posted @ 2026-09-25 22:53
0xfisher
阅读(9)
推荐(0)
摘要：
5 月 27 日，半导体行业出现了两个里程碑：美光科技市值突破 1 万亿美元，SK 海力士同步破万亿。同一天，SK 海力士发布了 iHBM（智能高带宽内存）技术——在内存芯片上直接集成控温散热能力。而就在几周前，美光 CEO 公开警告：HBM 内存成本已经占到 AI 芯片组件成本的 2/3。 三件事
阅读全文
posted @ 2026-09-25 22:53
0xfisher
阅读(8)
推荐(0)
摘要：
5 月 26 日的技术圈，两条看似不相关的消息放在一起看，拼出了 AI 工程化当前最真实的处境。 一边是方法论在进化——开发者社区讨论从 Vibe Coding 到 SDD（Spec-Driven Development）的范式迁移。另一边是账单在爆炸——HBM 内存成本已占 AI 芯片的 2/3，
阅读全文
posted @ 2026-09-25 22:53
0xfisher
阅读(9)
推荐(0)
摘要：
5 月 25 日，InfoQ 爆出一则消息：DeepSeek 正在招人组建 Harness 团队，目标是从零打造一套 Agent 开发基础设施。"模型之外，皆属 Harness"——这句话的潜台词是：模型本身已经不是瓶颈了，怎么把模型用好、用稳、用到生产环境，才是真正的硬仗。 同一时间，开发者社区里
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(9)
推荐(0)
摘要：
5 月 24 日的开发者社区，几个话题撞在了一起： 有人提问："什么是 Agent-Native？如何把网站升级成面向 AI Agent 的网站？" 有人分享："开源 AI Agent：OpenCode 集成 OMO 原理及实践" 多处出现 "手把手教你写一个 AI Skill" 的帖子 这些表面上
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(4)
推荐(0)
摘要：
安全 供应链攻击 VS Code DevSecOps 5 月 23 日，一条消息在开发者社区炸开了锅：GitHub 被黑了，3800 个内部仓库泄漏。更让人后背发凉的是攻击入口——一个 VS Code 插件。没错，就是那种你每天在 Marketplace 随手点安装的东西。 这条消息之所以震动，不是
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(2)
推荐(0)
摘要：
AI编程 ZeroLang 供应链安全 开发者生态 2026年5月有几件事撞在一起，拼出了一个让我警觉的图景。 ZeroLang：不是给"人"用的编程语言 Vercel Labs 开源了 ZeroLang，一周4000+ star。官方描述只有一句话："The programming languag
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(5)
推荐(0)
摘要：
AI Agents ZeroLang 本地推理 趋势 五月份 GitHub 上有两个项目火了，背后的信号比项目本身更有意思。 ZeroLang：为 AI Agent 设计的编程语言 Vercel Labs 上周开源了 ZeroLang，一周内拿下 4000+ star。官方描述只有一句话："The
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(2)
推荐(0)
摘要：
目录 一、漏洞概述 二、DirtyFrag漏洞家族全景 三、Linux页缓存机制详解 四、__pskb_copy_fclone()漏洞根因分析 五、完整利用链7步深度分析 六、AES-CBC写入原语 七、无痕性分析 八、利用环境搭建与PoC框架 九、防御方案 十、总结 免责声明 一、漏洞概述 CVE
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(18)
推荐(0)
摘要：
一、入口漏洞：CVE-2026-39987 marimo 终端 WebSocket 预认证 RCE 1.1 漏洞基本信息 属性 值 CVE 编号 CVE-2026-39987 CVSS v4.0 9.3（严重） 漏洞类型 预认证远程代码执行（CWE-306：关键功能缺少身份验证） 影响产品 Mari
阅读全文
posted @ 2026-09-25 22:52
0xfisher
阅读(7)
推荐(0)
摘要：
一、漏洞概述 CVE编号：CVE-2026-33555 披露日期：2026年4月14日 影响组件：HAProxy HTTP/3 (QUIC) 反向代理实现 漏洞类型：跨协议请求走私（Cross-Protocol Request Smuggling） CVSS 3.1 评分：9.8（Critical）
阅读全文
posted @ 2026-09-25 22:51
0xfisher
阅读(19)
推荐(0)
摘要：
0. 事件概况：不是勒索，是谋杀 2026年3月29日，德国巴伐利亚州的 ZEGO Textilveredelungszentrum（纺织后整理中心）遭受网络攻击。这家拥有37年历史的企业在被迫停产近6周（约42天）后，于2026年7月初由董事总经理 Johannes Zenglein 宣布申请破产
阅读全文
posted @ 2026-09-25 22:51
0xfisher
阅读(9)
推荐(0)
摘要：
一、攻击活动总览 活动 时间 C2 机制 关键特征 影响规模 Trivy 投毒 2026-03-19 仿冒域名 + GitHub 死信箱 force-push 覆盖 Git 版本标签 76/77 个标签被投毒 CanisterWorm 2026-03-20 ICP 区块链 canister npm
阅读全文
posted @ 2026-09-25 22:51
0xfisher
阅读(12)
推荐(0)
摘要：
一、H1 全局数据概览 1.1 攻击总量与增长曲线 2026年上半年，全球可追踪的勒索软件与数据泄露攻击事件共计 4,217起，较2025年下半年增长 11%，相当于平均每天发生 23起 确认或宣称的攻击；与2025年同期相比，增幅高达 30%。这一数字不仅刷新了历史同期纪录，更反映出勒索软件即服务
阅读全文
posted @ 2026-09-25 22:51
0xfisher
阅读(17)
推荐(0)
摘要：
一、导语：Android开放性的"技术悖论" 自2008年Android 1.0发布以来，"开放性"一直是Android生态系统的核心卖点。与iOS的封闭式花园相比，Android允许侧载（sideloading）、支持第三方应用商店、提供完整的AOSP（Android Open Source Pr
阅读全文
posted @ 2026-09-25 22:51
0xfisher
阅读(24)
推荐(0)
摘要：
一、宏观数据全景 1.1 CVE总量与增速 指标 2023年 2024年 同比变化 新增CVE总数 29,096 44,622 +53.35% 高危漏洞（CVSS 7.0-8.9） 约8,200 约9,500 +15.9% 极危漏洞（CVSS 9.0-10.0） 约5,800 约7,777 +34.
阅读全文
posted @ 2026-09-25 22:51
0xfisher
阅读(12)
推荐(0)
摘要：
1. epoll子系统技术背景 1.1 epoll工作机制 epoll是Linux内核提供的高性能I/O多路复用机制，自Linux 2.5.44版本引入（2002年），取代了传统的select和poll系统调用。其核心优势在于：事件通知采用回调驱动而非轮询，时间复杂度从O(n)降至O(1)，能够高效
阅读全文
posted @ 2026-09-25 22:50
0xfisher
阅读(23)
推荐(0)
摘要：
EVE Online 官方八月底发了篇《The Move to Python 3 Begins》。表面上是运营公告，实际上是技术博客——它透出的几个数字，比多数"架构升级"文章实在得多。 EVE 这套服务器用 Python 跑了二十多年。2007 年升到 Stackless Python 2.5，2
阅读全文
posted @ 2026-09-25 22:48
0xfisher
阅读(10)
推荐(0)
摘要：
一、漏洞概述 1.1 基本信息 项目 详情 CVE 编号 CVE-2026-42208 GHSA 编号 GHSA-r75f-5x8p-qvmc CWE 分类 CWE-89（SQL 命令中特殊元素的不当中和） CVSS 3.0 评分 9.8（极危） CVSS 4.0 评分 9.3（Critical）
阅读全文
posted @ 2026-09-25 22:45
0xfisher
阅读(9)
推荐(0)
摘要：
一、背景：为什么需要 AI 驱动的漏洞挖掘 传统漏洞挖掘依赖人工审计和静态/动态分析工具（SAST/DAST），存在几个根本瓶颈： 漏报与误报并存：规则引擎无法覆盖所有漏洞模式，且容易将正常代码标记为漏洞 代码规模爆炸：现代项目动辄数十万行代码，人工审计不可持续 新型漏洞模式：0-day 和逻辑漏洞
阅读全文
posted @ 2026-09-25 22:45
0xfisher
阅读(12)
推荐(0)
摘要：
Asahi Linux 团队发了 Linux 7.2 的进展报告。这类报告我每期都看，因为它是少数几个"大规模逆向未公开硬件"的一线记录——你要在没有文档、没有厂商支持的前提下，把一整块 SoC 接到 Linux 上，遇到的每个问题都是新的。 这一期有两个进展值得单独说：M3 系列的 USB 3.0
阅读全文
posted @ 2026-09-25 22:37
0xfisher
阅读(6)
推荐(0)
摘要：
Cloudflare 发了篇《How we saved 100 terabytes of memory by optimizing 1.1.1.1's DNS cache》。这类文章我很少错过，因为它把"内存优化"这件听起来抽象的事，落到了具体的字节账上。 先把量级摆出来 支撑 1.1.1.1 的平
阅读全文
posted @ 2026-09-25 22:36
0xfisher
阅读(6)
推荐(0)
摘要：
Lakr233 开源了一个叫 vphone-cli 的工具，能在 Apple Silicon 的 Mac 上启动一台虚拟 iPhone。它的 README 很直白：用 Apple 的 Virtualization.framework，复用 PCC 研究虚拟机的基建。 这条值得记，因为它揭示了一个之前
阅读全文
posted @ 2026-09-25 22:36
0xfisher
阅读(13)
推荐(0)
摘要：
GrapheneOS 项目公开指出，Pixel 11 不再支持硬件内存标记（MTE）。这条消息在技术圈没什么水花，但我觉得它是这一季度最值得写的硬件安全变化之一——因为 MTE 不是个锦上添花的特性，它是这几年最有效的一类"能跑在生产环境的内存错误检测器"，而 GrapheneOS 已经用它抓出了一
阅读全文
posted @ 2026-09-25 22:36
0xfisher
阅读(13)
推荐(0)
摘要：
Qubes OS 在八月底发了 QSB-118，标题是"Dom0 在 qvm-copy-to-vm 错误上报中的任意代码执行"。这份安全公告的技术描述很短，但它是一个很干净的信任边界漏洞案例，值得逐句拆开看。 漏洞本体 公告里的 Summary 只有一句： 如果用 qvm-copy-to-vm 把一
阅读全文
posted @ 2026-09-25 22:36
0xfisher
阅读(6)
推荐(0)
摘要：
ImHex 的作者 WerWolv 写了篇《Reverse Engineering Unknown File Formats with ImHex》，用一个游戏存档（FEZ，2012 年的游戏）做例子，把"拿到一个二进制文件，最后写出结构化解析"的完整过程走了一遍。 这类文章不多见。多数格式逆向教程
阅读全文
posted @ 2026-09-25 22:36
0xfisher
阅读(19)
推荐(0)
摘要：
kciter 写了篇《The browser's main thread is expensive》。这个话题不新，但这篇有个优点：它把"主线程"当成一种有明确预算的稀缺资源来讲，而不是"慢就优化"。 主线程到底在干什么 浏览器的主线程负责串行执行这一串工作：解析和构建 DOM、计算 CSSOM、样
阅读全文
posted @ 2026-09-25 22:35
0xfisher
阅读(6)
推荐(0)
摘要：
Polars 的作者 Ritchie Vink 在 9 月 2 日发了《Pre-release of Polars 2.0》，第一个 release candidate 上线，正式版预计几周内。文章开头有一句我挺喜欢的话，大意是：我们不打算把 2.0 做成一个大功能版本，反而希望它对你是"无聊的"。
阅读全文
posted @ 2026-09-25 22:35
0xfisher
阅读(14)
推荐(0)
摘要：
"重启就好了"是运维圈最古老的一句话。瑞典皇家理工学院（KTH）的研究人员把它当真了，而且是用在关键基础设施（ICS/OT）的入侵响应上：他们训练了一个自主防御 Agent，检测到入侵进展后，直接复位主机、轮换凭证、换掉 IP，靠"重启"来打断攻击者的立足点。论文标题就叫 Turn it off a
阅读全文
posted @ 2026-09-25 22:35
0xfisher
阅读(8)
推荐(0)
摘要：
一条匿名评论，没有任何登录状态，最终能在你的服务器上执行任意命令。这不是假设，是 WordPress 核心在 9 月 17 日 7.1.1 版本里修掉的一个真实漏洞链：CVE-2026-93485，官方命名 "Comment2Shell"。研究它的价值不在"又一个 WordPress 洞"，而在那条
阅读全文
posted @ 2026-09-25 22:35
0xfisher
阅读(17)
推荐(0)
摘要：
加载器的对抗史，说到底就是和内存扫描的对抗史。无论磁盘上做了多少层加密混淆，payload 最终都得变成可执行明文躺进内存。内存扫描工具，Moneta、PE-sieve，以及各家 EDR 的内存查杀模块，盯的就是这个"必然明文时刻"：在进程地址空间里找"可执行但来源可疑"的内存区域，再对区域内容做字
阅读全文
posted @ 2026-09-25 22:34
0xfisher
阅读(15)
推荐(0)
浙公网安备 33010602011771号