Hasty Briefsbeta

全部标签

security

共 105 篇

双语

Techie lured out of retirement to support software only he remembered
2 months ago
- Nvidia的Vera CPU拥有88个定制核心、176个线程、1.5 TB笔记本电脑内存和1.8 TB/s的NVLink连接，针对数据中心。
- 企业云基础设施收入每季度超过1430亿美元，且增长加速。
- 安全事件包括Anthropic和OpenAI在恶意AI代理方面的竞争、通过Signal进行的俄罗斯钓鱼攻击，以及Microsoft SharePoint零日漏洞攻击。
- 英国提议对数据中心电网连接请求收取可退还费用，以防止轻率申请。
- DEF CON的Franklin项目扩展以强化关键基础设施，涉及黑客参与投票村报告。
- 自由和开源软件（FOSS）努力针对微软垄断；GNOME引入任务栏，Debian终止x86-32支持，新X11服务器'Frame'用汇编语言构建。
AUR Packages Adoption And Pushes Disabled
2 months ago
- 由于恶意的软件包接管和提交，AUR上的软件包接管暂时被禁用。
- 建议用户报告可疑的接管事件或提交。
- 所有推送至AUR的操作已被禁用以处理安全情况。
- Arch Linux开发运维团队正在努力解决问题，并将发送后续通知。
RFC 9987: Secure Shell (SSH) Agent Protocol
2 months ago
- 该文档规定了用于安全外壳（SSH）协议中的密钥代理协议，使客户端能够与持有私钥的密钥管理组件进行交互。
- 该协议是一个完全由客户端驱动的数据包化请求-响应系统，消息包括加载、移除、列出和使用密钥，以及锁定/解锁代理。
- 密钥可以添加可选约束，如生命周期或用户确认，代理可能仅支持部分密钥类型或在某些上下文中拒绝操作。
- 支持通过SSH连接进行代理转发，允许远程系统使用存储的密钥而不暴露密钥材料，但由于传递信任需谨慎使用。
- 安全考虑强调通过权限保护代理访问、防止内存窃取、缓解侧信道攻击以及防范暴力破解锁定尝试。
NetBSD 11.0
2 months ago
- NetBSD 11.0 已发布，详细信息可在发布公告中查看。
- ARM 设备用户应使用来自可启动 ARM 镜像页面的预配置 U-Boot 镜像。
- ISO 镜像分为 CD-ROM（<700MB）和 DVD 版本；使用 .img 文件用于 USB 驱动器，并先解压它们。
- 该版本因等待第三方修复和持续的安全问题而延迟；团队选择对未解决的问题保持透明。
- 未解决的安全问题包括 hdaudio ioctl 访问检查、ipfilter 空指针解引用以及 pf 释放后使用，所有这些都将在即将发布的 11.1 版本中修复。
Arch AUR Under Another Wave of Malicious Packages, Package Adoptions Halted
2 months ago
- 上个月，AUR 因一次复杂的恶意软件攻击以及大量垃圾信息和脏话的涌入，经历了超过1500个恶意软件包。
- 新一波恶意软件包出现，促使 Arch Linux 团队暂时禁用了AUR中的软件包认领功能。
- 用户被敦促报告可疑的认领事件和评论，并保持警惕。
- 一封邮件列表线程记录了数十个受影响的软件包，包括 i915-sriov-dkms、rtk-git 等。
New Defcon Badges Pack a Unique Open-Source Chip That Doubles as a Security Key
2 months ago
- Defcon 2023徽章采用了名为Baochip-1x的定制开源芯片，由Andrew 'bunnie' Huang设计。
- 可拆卸的核心模块可作为硬件安全令牌（FIDO、TOTP、密码管理器），在会议结束后继续使用。
- Baochip-1x基本开源，源码托管在GitHub上，并封装用于红外硅片检测以验证其设计。
- 该芯片采用RISC-V核心，运行Rust操作系统，并包含安全启动、真随机数生成器和RRAM存储器以增强安全性。
- 徽章配备可自定义图案的LED灯和用于二维码扫描的摄像头，并具备隐私保护功能。
NOAA ditches weather-predicting supercomputers for Google Cloud
2 months ago
- 英国要求数据中心为电网连接请求支付可退还费用，以阻止轻率申请。
- 新型存储式高带宽闪存或使GPU拥有数TB容量，但面临挑战。
- 开源项目ShieldFont利用有毒字体保护文本免受AI抓取。
- 调查显示，企业IT工作负载首次多数在外部运行。
- 闭源AI模型拒绝帮助研究员修复Linux漏洞，凸显开源价值。
- 俄罗斯行为者冒充Signal客服进行钓鱼；另报告其他安全事件。
- 微软补丁未能修复本地SharePoint，现遭零日攻击利用；另有中国监控升级及Ring政策变更。
- DEF CON的Franklin项目招募黑客保护关键基础设施，投票站成功经验扩展。
- EQT以超过35亿美元估值收购瑞士网络安全公司Acronis多数股权。
- Mikko Hyppönen指出企业勒索病毒出现已十年，未见终结，但信息安全行业职业稳定。
- 开源软件打破微软一项垄断；历经20年失败，现欲打破另一项。
- GNOME可通过Flashback模拟Windows界面，无需扩展；另有简化任务栏选项。
- Debian发布x86-32架构最终版及13.6与12.15新版本。
- 攻击者利用两个Joomla扩展的完美CVSS评分攻击脆弱网站。
- Frame是一款直接用汇编语言实现的新型X11服务器。
- Cinnamon 6.8将可选支持Wayland显示服务器。
LinkedIn realizes its users have been bathing in AI slop, offers a shower
2 months ago
- 新型存储启发式内存技术可使GPU拥有数TB高带宽闪存，将SSD容量与HBM速度相结合。
- 开源项目ShieldFont使用有毒字体欺骗AI爬虫以保护版权。
- 调查显示，企业IT工作负载首次多数转移至非本地环境。
- 封闭AI模型拒绝帮助研究人员修复Linux漏洞，凸显开源优势。
- 英特尔Optane内存被赞为AI工作负载的理想选择，但未及发挥潜力便被停产。
- 俄罗斯黑客冒充Signal支持发起钓鱼攻击；美国关闭伊朗宣传网站。
- 微软针对本地SharePoint的补丁失效，导致其遭受零日攻击。
- DEF CON的Franklin项目招募黑客加固关键基础设施；投票村报告成功。
- EQT以超35亿美元估值收购瑞士网络安全公司Acronis多数股权。
- 企业勒索软件首现十年后，信息安全专家Mikko Hyppönen认为其仍无终结迹象。
- FOSS运动旨在打破微软另一垄断，但20年来均未成功。
- GNOME引入Simple-taskbar以模拟Windows外观而无需扩展；Flashback提供另一选择。
- Debian在x86-32上的最终版本（13.6和12.15）标志着时代的终结。
- Joomla扩展iCagenda和Balbooa Forms的严重漏洞被攻击者利用。
- Frame：一个直接用汇编实现的X11服务器加入其他X11实现行列。
- Cinnamon 6.8将可选支持Wayland，为Linux Mint用户提供两种显示服务器选择。
Open source project fools AI scrapers with poisoned font
2 months ago
- 高带宽闪存技术可赋予GPU数TB容量，结合SSD级容量与HBM级速度。
- ShieldFont，一个开源项目，通过投毒字体来欺骗AI爬虫并保护文本内容。
- 调查显示，企业IT工作负载首次多数迁移至外部。
- 封闭AI模型拒绝帮助研究员修复Linux漏洞，凸显其与开源相比的弱点。
- 英特尔Optane内存因低延迟高耐力而适合AI工作负载，但已停产。
- 俄罗斯黑客冒充Signal支持进行钓鱼攻击；其他安全新闻包括下架和数据隐私问题。
- 微软本地SharePoint补丁失败，留下零日漏洞攻击风险。
- DEF CON的Franklin项目招募黑客保护关键基础设施，投票村报告促成更广泛包容。
- EQT以超过35亿美元估值收购瑞士网络安全公司Acronis多数股权。
- Mikko Hyppönen指出企业勒索软件已持续十年且未见终点，但信息安全职业仍稳定。
- 自由软件倡导者认为，成功打破微软垄断（如Linux）后，是时候打破另一个了。
- 借助Flashback项目，GNOME可无需扩展而模仿Windows外观。
- Debian发布最后支持32位x86架构的版本。
- 攻击者利用Joomla扩展（iCagenda, Balbooa Forms）中的高危漏洞影响数百万网站。
- 名为Frame的新X11服务器完全用汇编语言实现。
- Linux Mint的Cinnamon桌面6.8版将可选支持Wayland。
Digital sovereignty is real in Europe. The UK? Not so much
2 months ago
- 新型存储启发式内存技术有望使GPU拥有数TB容量，结合SSD级容量与HBM级速度。
- 名为ShieldFont的开源项目通过投毒字体来欺骗AI抓取工具并保护版权。
- 调查显示，企业IT工作负载首次多数迁移至非本地环境。
- 封闭AI模型拒绝帮助研究人员修复Linux漏洞，凸显开源价值。
- 英特尔Optane内存因AI工作负载理想而受追捧，却在终止后令人惋惜。
- 俄罗斯黑客冒充Signal技术支持发动钓鱼攻击，同时伴随其他安全事件。
- 微软补丁未能修复本地SharePoint零日漏洞，该漏洞正遭攻击。
- DEF CON的Franklin项目招募黑客保护关键基础设施，扩大投票村成功经验。
- EQT以超过35亿美元估值收购瑞士网络安全公司Acronis多数股权。
- Mikko Hyppönen回顾十年勒索软件：未见尽头，信息安全职业稳定。
- 自由开源倡导者呼吁打破微软又一垄断，这次是文字处理领域。
- GNOME现可通过Simple-taskbar扩展模仿Windows界面，Flashback则提供稳定替代方案。
- Debian发布x86-32架构最终版本，同时推出13.6和12.15新版本。
- Joomla扩展iCagenda和Balbooa Forms的漏洞正被利用，评级满分十分。
- 名为Frame的新X11服务器直接用汇编语言实现。
- Cinnamon 6.8将支持Wayland作为Linux Mint的可选显示服务器。
After rewriting SQLite in Rust, Turso turns its sights on Postgres
2 months ago
- 闭源模型拒绝帮助研究者解决Linux漏洞，凸显开源优势。
- 英特尔Optane本适合AI工作负载，却英年早逝。
- MCP为Kubernetes环境进行企业级改造。
- AI控制的战争机器存在监视和算法缺陷风险。
- AI代理过多会互相妨碍，少即是多对企业更有利。
- 俄罗斯冒充Signal支持进行钓鱼攻击；美国关停伊朗宣传网站。
- 微软本地SharePoint补丁失败，现遭零日攻击；中国升级监控。
- DEF CON富兰克林项目招募黑客加固关键基础设施。
- EQT以35亿美元以上估值收购Acronis多数股权。
- 勒索软件十年，Mikko Hyppönen看不到尽头，但信息安全职业稳定。
- FOSS旨在20年后再次打破微软的垄断。
- GNOME可通过Flashback模拟Windows外观，无需扩展。
- Debian最终版支持x86-32；新版本13.6和12.15。
- Joomla扩展存在满分10漏洞已被利用。
- Frame：用汇编实现的新X11服务器，加入其他项目。
- Cinnamon 6.8将可选支持Wayland。
Moscow slaps Telegram founder on wanted list, Durov responds one-finger salute
2 months ago
- 闭源AI模型拒绝帮助修复Linux漏洞，凸显开源优势。
- 英特尔Optane内存本适合AI工作负载，却在潜力未发挥前停产。
- MCP获得企业级改造，便于在K8s环境中进行生命周期管理。
- 由于监控和算法缺陷，AI控制的战争机器存在风险。
- 过多AI代理会相互干扰；企业应用应少而精。
- 俄罗斯利用虚假Signal支持进行钓鱼攻击；其他安全更新已发布。
- 微软SharePoint补丁失败导致零日攻击；另有其他安全问题。
- DEF CON的Franklin项目招募黑客强化关键基础设施。
- EQT以超35亿美元估值收购瑞士网络安全公司Acronis多数股权。
- 勒索病毒十年未消失；信息安全仍是稳定长期职业。
- FOSS曾打破微软垄断；20年后试图再次打破另一垄断。
- GNOME可通过Flashback无需扩展模拟Windows界面。
- Debian发布x86-32最终版；新版本13.6和12.15已可用。
- 含有严重漏洞的Joomla扩展被利用，影响数百万网站。
- 用汇编实现的新X11服务器Frame加入其他项目行列。
- Cinnamon 6.8在Linux Mint桌面中同时支持Wayland和X11。
Watch out for missed warnings on vendor C++ toolchains
2 months ago
- 供应商的C++工具链可能会遗漏GCC或Clang捕获的警告，例如隐式窄化转换。
- 一个恒定时间的memcmp函数存在一个bug，其中uint8_t累加器截断了32位异或结果，导致仅每四个字节进行比较。
- 在GCC下启用-Wconversion会标记该bug，但供应商的工具链却没有，尽管该标志已被设置。
- 审查人员应使用最新版GCC或Clang并启用最大警告来测试代码，以发现隐藏的问题。
CodeCrucible: A blueprint for LLM-driven SAST
2 months ago
- CodeCrucible 是一种新的 LLM 驱动的静态应用安全测试（SAST）工具，用于漏洞发现，但重点在于设计蓝图而非工具本身。
- 关键设计选择涉及四个问题：压缩（如何将代码适配到上下文窗口中）、识别（如何提示以发现漏洞）、相关性筛选（如何过滤误报）以及确定性（如何确保稳定输出）。
- 全仓库拼接将整个仓库打包到一次 LLM 调用中，实现跨文件推理，且效果超出预期，尽管此前认为该方法无法扩展。
- 当仓库超出上下文窗口时，分块作为后备方案使用，保留文件边界和相关代码，且绝不为了适应预算而分割文件。
- 在决定分块或成本之前，通过分层过滤移除低价值内容（二进制文件、锁文件、测试、文档），保留导入图和 API 契约等结构。
- 质量门包括去重、具有 CWE 特定指南的专门验证审查，以及严格的输出规范（SARIF 格式、结构化输出、修复阶梯）。
- 该工具在给定引导提示后成功发现了 Linux 加密子系统中的 Copy Fail 漏洞（CVE-2026-31431），但最初未使用引导的尝试失败了。
- 局限性包括：当仓库超出上下文窗口时性能下降、覆盖范围受过滤影响、非迭代流水线（单次分析）、缺乏运行时上下文的代码中心焦点，以及与其他 AI 扫描器共享的约束（无重复去重）。
- 蓝图方法强调发布权衡和参考代码库，以便其他团队能够将其适配到自己的流水线和环境中。
DEF CON bans Meta-style 'pervert glasses'
2 months ago
- 由于有缺陷的算法和监控，AI战争机器有失控的风险。
- Shopify回归由AI代理驱动的清洁代码实践。
- 俄罗斯钓鱼攻击通过虚假支持瞄准Signal用户。
- 微软本地SharePoint零日漏洞仍未修补且正在遭受攻击。
- DEF CON Franklin项目招募黑客强化关键基础设施。
- FOSS继续挑战微软垄断，新版本如Debian 13.6和Cinnamon 6.8增加了Wayland支持。
This Week in Package Management: 18 July 2026
2 months ago
- pnpm 11.13 引入了 pnpm change 用于原生 changeset 兼容的发布规划，pnpm team 用于注册表管理，以及 versioning.epics 配置用于版本段对齐。
- Deno 2.9.3 添加了 --no-save、--save-optional 和 --min-dep-age 等标志。
- pixi 0.73.0 支持在环境依赖表中使用 workspace = true，允许集中声明版本。
- uv 0.11.29 为 uv tree 添加了 JSON 输出，并在 pylock.toml 中优先使用本地制品而非 URL。
- Verdaccio 6.8.0 在取消发布和单版本删除时触发通知 webhook，并通过仅暴露有限的用户信息提升了安全性。
- zizmor 1.27 添加了对审计 GitHub 并行步骤模式的实验性支持。
- Rust 1.97.1 是一个补丁版本，向后移植了针对误编译问题的 LLVM 修复。
- Homebrew 6.0.11 合并了 brew vulns 以对已安装的配方进行内置 CVE 扫描。
- Docker Engine 29.6.2 修复了三个与 git 源码检出、BuildKit 崩溃和 LLB 文件操作相关的 CVE。
- sbt 1.12.14 向后移植了针对 Apache Ivy PackagerResolver 中 CVE-2026-26032 的修复。
- 文章涵盖了 crates.io 更新（代码选项卡、GitHub 登录分离、Svelte 迁移）、Composer/Packagist 供应链压力以及 Rust 基金会的 AI 安全工程。
- 论文讨论了使用生成式 AI 进行软件供应链再生、将设置说明武器化以攻击 AI 编码代理，以及对分布式开源漏洞生态系统进行建模。
- Forgejo 16.0 添加了每仓库监视选项、授权集成和多行审查评论。
- Ruby 4.0.6 是一个常规的错误修复版本。
War machines can run amok with AI in control
2 months ago
- AI control in war machines presents risks due to flawed algorithms and surveillance
- Enterprise AI agents should be limited to avoid inefficiency
- Some Chinese AI models may be imitating Claude's identity, but proof of distillation is lacking
- AI drove Shopify to return to clean coding practices for readability and clarity
- Anthropic releases Opus 5 at a lower price than Fable without data retention
- Russian phishing attacks target Signal support, plus other security incidents
- Microsoft's SharePoint on-premises fixes failed, now under zero-day attack
- DEF CON's Franklin Project enlists hackers to harden critical infrastructure
- EQT buys a majority share in Acronis at a $3.5B+ valuation
- Ten years after first corporate ransomware, experts see no end in sight
- FOSS aims to break another monopoly after Microsoft's Word era
- GNOME can mimic Windows layout without extensions via Simple-taskbar
- Final Debian release for x86 is 32-bit version
- Joomla extensions with perfect 10 scores exploited on vulnerable sites
- Frame is a new X11 server implemented directly in assembly
- Cinnamon 6.8 supports Wayland optionally for Linux Mint desktop
Several US schools to install pepper-spraying drones as school shooting response
2 months ago
- 受乌克兰战争启发，美国多所学校正在安装胡椒喷雾无人机，以应对校园枪击事件。
- 这些由校园守护天使公司提供的无人机在确认威胁后起飞，远程操控，并配备免提电话进行双向通信。
- 它们携带胡椒发射器，能够击碎窗户、投掷空气炮，并进行动能打击，以制服枪手。
- 该公司计划使用3到4架无人机波次，牵制枪手直至执法部门到达。
- 批评者如帕克兰枪击案遇难者之父托尼·蒙塔尔托认为，重点应放在预防而非应对上。
Show HN: Tines 3B – safe workflow automation for when everyone builds software
2 months ago
- 实现完全的安全和自由，无需妥协地进行构建。
- 获得对AI创建工作的可见性：知道存在什么、谁构建了它以及它涉及什么。
- 实现无瓶颈的控制，让团队能够自助服务，同时保持治理。
- 接收由你控制的异常自主修复，工作流程随时间改进。
- 按你的方式使用AI：灵活选择LLM的使用地点、时间和方式，并可切换策略。
- 为依赖它们的团队保持重要工作流程的运转。
About the security content of macOS Tahoe 26.6
2 months ago
- macOS Tahoe 26.6 于2026年7月27日发布，包含针对多个组件中众多漏洞的安全补丁。
- 已修复的漏洞涉及账户、内核、WebKit等多个方面，影响包括权限提升、敏感数据访问、拒绝服务及任意代码执行等。
- 此次更新修复了超过100个CVE，感谢众多外部研究人员和组织的贡献。
- 另外，对协助识别和解决安全问题的个人和组织表示感谢。

security

Techie lured out of retirement to support software only he remembered

AUR Packages Adoption And Pushes Disabled

RFC 9987: Secure Shell (SSH) Agent Protocol

NetBSD 11.0

Arch AUR Under Another Wave of Malicious Packages, Package Adoptions Halted

New Defcon Badges Pack a Unique Open-Source Chip That Doubles as a Security Key

NOAA ditches weather-predicting supercomputers for Google Cloud

LinkedIn realizes its users have been bathing in AI slop, offers a shower

Open source project fools AI scrapers with poisoned font

Digital sovereignty is real in Europe. The UK? Not so much

After rewriting SQLite in Rust, Turso turns its sights on Postgres

Moscow slaps Telegram founder on wanted list, Durov responds one-finger salute

Watch out for missed warnings on vendor C++ toolchains

CodeCrucible: A blueprint for LLM-driven SAST

DEF CON bans Meta-style 'pervert glasses'

This Week in Package Management: 18 July 2026

War machines can run amok with AI in control

Several US schools to install pepper-spraying drones as school shooting response

Show HN: Tines 3B – safe workflow automation for when everyone builds software

About the security content of macOS Tahoe 26.6