Privacy Incidents – Real-world examples of why your photos need protection3 months agohttps://snapsafe.org/incidents.htmlSnapSafe的使命是让用户完全掌控视觉隐私。在当今世界，照片越来越有价值，但也越来越容易受到侵害。每个人都应该拥有真正安全的照片保护解决方案。
Frame: A new X11 server – implemented directly in assembly4 months agohttps://www.theregister.com/software/2026/07/14/frame-a-new-x11-server-implement...OpenAI 加密了 Codex 代理指令，引发了开发者对调试和审计难度的担忧。Anthropic 的 Claude AI 在不同语言（如印地语和阿拉伯语）中表现出不同的价值观和表达方式。纽约已暂停超过 50 兆瓦的数据中心建设，以建立环境和费率保护规则。IBM 的大型机销售因客户优先投入 AI 硬件支出而下滑，导致股价下跌。Anthropic 的分词器复杂性影响了 AI 定价，但仅凭 token 消耗量并非完整的衡量标准。俄罗斯黑客冒充 Signal 支持进行网络钓鱼，同时其他安全事件包括美国查封了伊朗网站。微软的补丁未能修复本地 SharePoint 的漏洞，目前正遭受零日攻击。DEF CON 的 Franklin 项目邀请黑客参与加固关键基础设施，此前其投票村庄报告已取得成功。EQT 以超过 35 亿美元的估值收购了 Acronis 的多数股权。Mikko Hyppönen 指出企业勒索软件威胁持续存在，但强调网络安全是一个稳定的职业选择。
Cursor 0day: When Full Disclosure Becomes the Only Protection Left4 months agohttps://mindgard.ai/blog/cursor-0day-when-full-disclosure-becomes-the-only-prote...Cursor IDE会自动在仓库根目录执行恶意的git.exe程序而无需用户交互，导致任意代码执行漏洞。该漏洞于2025年12月被发现，已多次上报但超过6个月历经197+版本仍未修复，厂商回应寥寥。缓解措施包括为企业部署AppLocker策略，普通用户建议在修复前使用隔离环境运行。概念验证演示将Windows计算器重命名为git.exe，证实该程序会被反复自动执行。Cursor方面缺乏沟通，引发对AI辅助开发工具安全流程和问责机制的担忧。
Debian Bookworm v12.15 Released4 months agohttps://www.debian.org/News/2026/2026071102Debian 12.15 是旧稳定版 Debian 12（bookworm）的第十五次也是最后一次更新。本次点发布包含安全修正和严重问题的调整；它不构成新版本，而是更新了部分软件包。用户可以使用最新的 Debian 镜像进行升级；新的安装镜像将很快推出。值得注意的更新：fwupd 升级至 2.0.20 版本以支持安全启动 CA 更新，由于许可原因 geoip-database 回退至 2019 版本，同时宣告对 bookworm 的支持结束，建议升级至 Debian 13（trixie）。该发布包含针对多个软件包的杂项错误修复，涉及安全漏洞和其他问题。安全更新已单独发布，部分软件包如 smb4k 因无法提供安全支持而被移除。
xAI's Grok Build CLI Uploads Git Repositories to a Google Cloud Bucket4 months agohttps://www.internationalcyberdigest.com/xais-grok-build-cli-uploads-entire-git-...在安全研究员曝光该行为后，xAI禁用了Grok Build CLI将整个开发者仓库上传到云存储的功能。该CLI工具曾将完整的仓库（包括Git历史和机密信息）打包并上传至Google Cloud Storage存储桶，与具体的编码任务无关。一个标记为‘改进模型’的开关并未停止上传；它仅管理训练同意，不涉及数据收集。修复通过服务器端标志静默实施，xAI未就目的或已收集代码的处置发布官方公告或声明。研究员的发现凸显了未公开的数据收集行为，但未证实是否存在滥用（例如xAI是否对上传代码进行了训练或查看）。
Theo de Raadt: "You've been smoking something mind altering" (2007)4 months agohttps://marc.info/?l=openbsd-misc&m=119318909016582虚拟化增加了另一层内核，可能引入新的漏洞。它依赖于x86架构，而该架构的页面保护机制较弱。声称虚拟化能带来安全优势的观点是错误的。软件工程师在开发安全的操作系统和应用程序方面面临挑战。期待虚拟化层完美无缺是不现实的。
What xAI's Grok Build CLI Actually Sends to xAI4 months agohttps://gist.github.com/cereblab/dc9a40bc26120f4540e4e09b75ffb547Grok Build CLI 会将读取的文件内容（包括 .env 文件中的机密信息）未经脱敏地通过 POST /v1/responses 和 POST /v1/storage 端点发送给 xAI。Grok 会将整个代码仓库（包括未读取的文件和 Git 历史记录）上传到 Google Cloud Storage 的 'grok-code-session-traces' 存储桶，规模可达数 GB，且不受模型使用配额限制。该上传机制默认启用，无法通过“改进模型”开关禁用，且未在 CLI 的设置文档中明确说明。
Orbital datacenter gold rush needs an environmental review, FCC told4 months agohttps://www.theregister.com/on-prem/2026/07/10/orbital-datacenter-gold-rush-need...微软因人工智能驱动数据中心扩建导致碳排放量上升。OpenAI的GPT-Live提升了实时对话人工智能能力。SpaceXAI宣布转型，提供法律和Excel相关的人工智能服务。SambaNova的异构计算平台借助英伟达GPU提升人工智能性能。前GitHub首席执行官推出面向人工智能时代的新型编程平台。
Is It Safe to Host HTML That Runs Its Own JavaScript?4 months agohttps://sharemypage.app/blog/is-it-safe-to-host-html-that-runs-javascriptShareMyPage 未经净化即可托管任意的HTML和JavaScript。页面在具有空来源的沙盒化iframe中运行，阻止了cookie和存储访问。内容从一个独立的、无cookie且无会话数据的来源提供服务。多层安全防护确保无单点故障。隔离保护用户和平台免受恶意代码侵害，但不涉及内容审核问题。
China tells devs to ditch Claude Code over 'backdoor code' fears4 months agohttps://www.theregister.com/security/2026/07/08/china-ditch-older-claude-version...AI模型变得越来越实惠，但前沿高端模型依然突出。在AI领域，推理正逐渐商品化，但先进的前沿模型除外。韩国芯片初创公司FuriosaAI进军欧洲，在里斯本建立数据中心。许多企业由于仓促采用人工智能，报告了相关的安全事件。研究人员利用量子计算机和人工智能解决聚变燃料挑战，如氚生产。尽管AI对就业产生复杂影响，但软件工程师在快速发展的公司中仍可获得高薪。俄罗斯攻击者冒充Signal支持进行钓鱼攻击，而美国则针对伊朗宣传网站。微软补丁未能修复SharePoint零日漏洞，文中还提到了其他安全更新。DEF CON的富兰克林项目招募黑客加强关键基础设施，扩大了项目范围。EQT以超过35亿美元的估值收购Acronis的多数股权。勒索软件在十年后依然存在，但网络安全领域提供稳定的职业前景。Collabora的CODE 26.04通过Markdown和AI功能增强了开源办公套件，默认关闭。GIMP 0.54通过Flatpak复活，凭借Motif吸引了复古计算爱好者。Bcachefs退出实验阶段，性能有所提升，但面临与AI相关的问题。法国的数字主权推进在与微软办公软件主导地位的对抗中遭遇困难。CentOS从爱好项目演变为默认的企业级操作系统，得益于社区支持。Netflix工程师开源Headroom应用，旨在为用户降低AI成本。
Windows is watching: Anti-piracy tool fingers Scattered Spider suspect4 months agohttps://www.theregister.com/cyber-crime/2026/07/07/windows-is-watching-anti-pira...韩国芯片初创公司FuriosaAI正通过其RNGD加速器，将业务扩展至Equinix里斯本数据中心的欧洲市场。企业采用人工智能正面临安全挑战，大多数企业报告了安全事故或漏洞。研究人员正利用量子计算机和AI解决聚变燃料问题，美国能源部和IBM等机构正在模拟熔盐用于氚生产。软件工程师在快速增长的公司可以获得高薪，尽管AI对科技行业的影响是复杂的。微软正在进行商业和Xbox团队的重组，承认全球变化迅速且需要避免自满。涉及俄罗斯人冒充Signal支持的钓鱼攻击正在发生，同时美国取缔了伊朗的宣传网站。微软针对本地SharePoint的补丁失败了，使其容易受到零日攻击，其他安全更新也面临问题。DEF CON的富兰克林项目正组织黑客来加强关键基础设施，该活动现已完全纳入这些努力。EQT已收购Acronis的多数股权，这家网络安全公司的估值超过35亿美元。尽管企业勒索软件已有十年历史，但毫无结束迹象，不过网络安全仍然是稳定的职业选择。Collabora的CODE 26.04发布增强了FOSS办公套件，支持Markdown和AI集成，但AI默认关闭。GIMP 0.54已作为Flatpak为复古计算爱好者复兴，使用Motif而非GTK。Bcachefs已脱离实验状态，发布了注重性能的版本，融入了更多Rust但面临与AI相关的问题。法国推动数字主权的努力难以让用户摆脱微软产品，Nextcloud的推广过程就体现了这一点。CentOS从一位生物化学家的业余爱好发展为企业默认操作系统，这是在红帽战略调整后社区努力的结果。Netflix工程师开源了Project Headroom，这款应用程序旨在显著降低AI相关成本。
Zombie 'who owns Unix?' lawsuit comes alive again4 months agohttps://www.theregister.com/os-platforms/2026/07/06/zombie-who-owns-unix-lawsuit...韩国芯片初创公司FuriosaAI通过与Equinix在里斯本的合作，将业务扩展至欧洲数据中心。企业人工智能面临安全问题，多数报告了安全事故或漏洞。美国能源部、克利夫兰诊所和IBM正在探索用量子计算机和人工智能解决聚变燃料问题。尽管人工智能带来复杂影响，软件工程师在快速发展的公司中仍获得高薪。微软重组商业和Xbox团队，称因市场快速变化及挑战。俄罗斯网络钓鱼攻击假冒Signal客服，而美国则针对伊朗的宣传攻势。微软补丁未能修复本地SharePoint零日攻击，中国加强监控措施。DEF CON的Franklin项目让黑客参与关键基础设施保护，扩大应用范围。EQT以超过35亿美元的估值收购Acronis的多数股权。勒索软件在十年后依然存在，但信息安全领域提供稳定的职业机会。Collabora发布CODE 26.04版本，包含Markdown和AI功能，在自由开源办公套件中竞争。GIMP 0.54通过Flatpak复兴以支持复古计算，使用Motif而非GTK。Bcachefs退出实验状态，实现性能提升并集成Rust。法国推动数字主权的努力难以撼动微软的统治地位，如Nextcloud部署所示。CentOS历史：从一个爱好项目到企业默认选择，在红帽转向后由社区助力。Netflix工程师创建开源应用Project Headroom以降低AI成本。
You shouldn't trust Trusted Publishing4 months agohttps://blog.yossarian.net/2026/07/07/You-shouldnt-trust-trusted-publishing可信发布是一种用于机器间信任的认证方案，而非人类对于软件包安全性的信任。它使用OIDC将CI/CD机器身份与软件包索引链接，颁发短期、限域范围的发布凭据。PyPI避免显著展示可信发布状态，以防止其被滥用作软件包质量的信任信号。可信发布减少了长期有效的凭据，但如果CI/CD工作流程受到攻击，仍可能被攻破。该方案是可选的，并不保证软件包的安全性；任何人都可以使用它，包括用于恶意上传。PyPI上的证明与可信发布是分开的，未经独立验证也不能暗示终端用户的信任。
Kernels: Major Updates4 months agohttps://huggingface.co/blog/revamped-kernelsHugging Face Hub 推出新型“内核”仓库类型，以满足特定计算需求，允许用户浏览加速器、操作系统和后端版本。强化安全措施，包括可信内核发布者、使用 Sigstore的cosign进行代码签名以生成临时密钥，以及通过Nix构建确保可复现性，防止恶意内核执行。重构CLI工具，更好地区分内核与内核构建器，专注于库函数与构建过程，并改进对智能代理内核开发工作流的支持。扩展框架和后端覆盖范围，例如支持Torch Stable ABI和集成Apache TVM FFI，实现跨框架内核互操作性。为智能代理内核开发奠定基础，提供工具支持脚手架、构建、基准测试和优化内核，通过HF Jobs集成进行跨硬件配置的性能测试。其他更新包括简化环境设置脚本、内核系统卡片、通过has_kernel()和get_kernel_variants()进行兼容性检查，以及改进manylinux_2_28支持以解决libstdc++链接问题。
Brit supermarket giant triples down on facial recog to nab shoplifters4 months agohttps://www.theregister.com/security/2026/07/06/brit-supermarket-giant-triples-d...美国能源部、克利夫兰诊所与IBM正通过模拟熔盐反应，以解决聚变燃料难题，重点在于氚的生产。软件工程师在快速成长的公司可获得高薪，但人工智能对科技行业的影响复杂而多元。微软正重组其商业和Xbox团队，认识到全球快速变化及避免自满的必要性。AMD的Ryzen AI Halo提供本地人工智能能力，但成本高达4000美元，配备了128 GB内存。英伟达推出数据中心融资方案，允许双倍付款，从而增强收入流。俄罗斯行为者冒充Signal支持进行钓鱼攻击，同时美国也在针对伊朗宣传和数据安全问题采取行动。微软的补丁未能修复本地部署的SharePoint，使其易受零日攻击；另有关于中国监控和Ring政策的更新。DEF CON的Franklin项目召集黑客以加强关键基础设施，并基于成功的投票村报告扩大努力。EQT以超过35亿美元的估值收购了Acronis的多数股权，但出售的具体份额未明确。Mikko Hyppönen指出，企业勒索软件在十年后依然存在，但网络安全仍是稳定的职业选择。Collabora发布了CODE 26.04，支持Markdown、改进公式处理，并提供可选的人工智能集成，以应对FOSS办公套件的竞争。GIMP 0.54已以Flatpak形式复兴，提供怀旧计算体验，保留其原始Motif界面。Bcachefs已在性能版本中退出实验状态，融入更多Rust代码，但面临与人工智能相关问题的挑战。法国的数字主权努力难以减少对微软的依赖，Nextcloud在办公迁移中遇到的挑战即是例证。CentOS的历史可追溯至一名生物化学家的爱好，最终成为企业默认选择，其演变由社区对红帽变化的响应推动。一名Netflix专家创建并开源了Project Headroom，这款应用旨在显著降低人工智能相关成本。
GitHub cuts short offer to burn repos on CD after mockery ensues4 months agohttps://www.theregister.com/devops/2026/07/06/github-cuts-short-offer-to-burn-re...人工智能：量子计算机和人工智能正在被探索用于解决聚变燃料问题，美国能源部、克利夫兰诊所和IBM进行了相关模拟研究。人工智能与机器学习：软件工程师在快速增长的公司中可以获得高薪，尽管人工智能对科技业务产生了复杂的影响。软件：微软正在重组商业和Xbox团队，理由是全球变化迅速且需要避免自满情绪。人工智能与机器学习：AMD的Ryzen AI Halo支持本地人工智能，但价格昂贵，售价4千美元并配备128 GB内存。人工智能与机器学习：英伟达推出数据中心双重融资方案以最大化付款。安全：俄罗斯钓鱼攻击冒充Signal客服，而美国针对伊朗宣传，一家营销公司引发数据隐私担忧。安全：微软补丁未能保护本地SharePoint免受零日攻击，同时中国和Ring发布了其他安全更新。Black Hat与DEF CON：DEF CON扩大其Franklin项目，纳入黑客参与加固关键基础设施，投票村项目取得成果。安全：EQT以超过35亿美元估值收购Acronis多数股权，加强网络安全投资。恶意软件月：首次企业勒索软件攻击十年后，Mikko Hyppönen预测威胁持续，但指出信息安全是稳定职业。自由开源软件：Collabora发布CODE 26.04，支持Markdown和人工智能集成，加剧开源办公套件竞争。自由开源软件：GIMP 0.54通过Flatpak复兴用于复古计算，使用原始Motif界面而非GTK。自由开源软件：Bcachefs在性能版本中结束实验状态，但面临人工智能相关挑战。自由开源软件：法国数字主权推动努力远离微软，如Nextcloud部署挑战所示。自由开源软件：CentOS历史追溯其从业余项目演变为默认企业操作系统，源于Red Hat后的社区努力。自由开源软件：Netflix创建并开源Project Headroom以降低人工智能成本，为用户提供潜在节省。
NSA and IETF: Fairness4 months agohttps://blog.cr.yp.to/20260706-fairness.html美国国家安全局在历史上曾削弱加密标准，包括DES、RC4和RSA-512，并破坏随机数生成器以利用漏洞。IETF TLS工作组正在就一份由NSA主导的RFC进行投票，该提案要求在TLS中使用单ML-KEM，尽管存在安全隐患，仍可能导致广泛部署。对单ML-KEM的反对声浪日益高涨，超过60份意见指出其安全风险，而支持者却以有缺陷的论点推动采用。IETF程序显示出支持倾向：重复的'最后征询'允许文件推进，即使存在未解决的异议，这有利于NSA和国防承包商等实体。反对该规范或保持沉默具有不对称的后果：反对鼓励讨论并延迟潜在的安全破坏，而支持则可能立即对数百万用户造成伤害。
Secure Unix ancestor KSOS did type safety before Rust made it cool4 months agohttps://www.theregister.com/os-platforms/2026/07/06/secure-unix-ancestor-ksos-di...英伟达推出数据中心融资方案，旨在通过双重付费模式最大化收入。研究表明，集成更多人工智能技术的公司也在增加其人力规模，但这并不总是与业务目标保持一致。软银利用其庞大的美国服务器农场基础设施，进军GPU租赁市场以支持AI训练。联合国强调，由于技术进步快于监管框架，迫切需要全球治理来预防潜在的人工智能相关灾难。甲骨文披露了可能危及其对人工智能重大投资的各种风险因素。俄罗斯行为者冒充Signal支持团队进行钓鱼攻击，而美国则关闭了伊朗的宣传网站。微软最近的补丁未能保护本地部署的SharePoint，使其易受零日攻击，其他安全更新也在进行中。DEF CON的富兰克林项目招募黑客以增强关键基础设施安全，并将其范围扩展到整个会议。EQT收购了Acronis的多数股权，对这家网络安全公司的估值超过35亿美元。首次企业勒索软件攻击十年后，安全专家Mikko Hyppönen预测威胁将持续存在，并强调信息安全作为稳定职业选择。Collabora推出CODE 26.04版本，新增Markdown支持和集成AI等功能，加剧了开源办公套件之间的竞争。GIMP 0.54通过Flatpak复活，提供其原始Motif界面的复古计算体验。Bcachefs在专注于性能的版本中摆脱实验性状态，增加了更多Rust内容，但面临AI生成内容的挑战。法国推动数字主权的努力难以减少对微软的依赖，例如试图从Office转向Nextcloud等替代方案。CentOS的历史追溯了其从个人Linux项目演变为广泛使用的企业操作系统的历程，在红帽转向后由社区协作推动。一位Netflix开发者创建并开源了Project Headroom，这是一个旨在显著降低AI相关支出的应用。
Guix substitute and guix pull vulnerabilities4 months agohttps://guix.gnu.org/blog/2026/guix-substitute-pull-vulnerabilities/Guix 替代工具存在漏洞，可导致远程权限提升、存储库损坏和文件泄露，无论是否拥有 root 权限，所有系统均受影响。利用漏洞需要下载二进制替代文件；任何替代服务器或中间人攻击者均可发起攻击，即使使用 HTTPS，本地利用需要套接字访问权限。Guix pull 和 guix time-machine 存在漏洞，允许通过控制频道文件创建或覆盖文件，主要造成拒绝服务风险。详细说明了四个具体漏洞：restore-file 未加固、fetch-narinfos 未验证 URL、file:// URI 问题以及 cache-key 滥用。缓解措施包括使用 --no-substitutes 禁用替代、避免不可信的频道文件，以及通过 guix pull 和守护进程重启更新至修复后的提交版本。修复措施涉及加固 restore-file、验证 narinfos、限制 file:// URI 使用，以及修改 cache-key 派生以防止目录遍历。升级说明因 Guix System 和其他发行版而异，强调立即更新并在过程中谨慎使用替代文件。时间线显示漏洞于 2026 年 5 月至 6 月发现，通过协调披露和拉取请求 #9665 修复。提供了测试脚本以检查漏洞状态，内含验证代码。
Be a Hikikomori for Science4 months agohttps://www.theregister.com/science/2026/07/04/nasa-says-it-will-isolate-volunte...英伟达推出数据中心融资计划，通过多种渠道创造营收。企业正在增加人工智能实施和招聘，但这可能与商业目标不一致。软银进入GPU租赁市场，利用其庞大的美国服务器农场进行AI训练。联合国强调需要全球治理，以防止快速发展的AI能力带来的风险。甲骨文概述了其对AI大量投资的潜在风险，并强调了众多风险因素。俄罗斯行为者冒充Signal支持进行钓鱼攻击；美国中断伊朗宣传网站。微软的补丁未能修复本地SharePoint中的漏洞，现已成为零日攻击的目标。DEF CON通过富兰克林项目扩大努力，让黑客参与加强关键基础设施。EQT以超过35亿美元的估值收购Acronis的多数股权，但具体细节尚不清楚。首起企业勒索软件事件十年后，Mikko Hyppönen预测威胁将持续存在，并指出网络安全是一个稳定的职业。Collabora发布CODE 26.04，新增Markdown支持和可选的AI集成等功能。GIMP 0.54以Flatpak形式复活，提供具有原始Motif界面的复古计算体验。Bcachefs退出实验状态，性能提升并增加Rust使用，但面临与AI相关的问题。法国数字主权努力难以减少对微软的依赖，如Nextcloud和Office的挑战所示。CentOS的历史追溯了其从爱好项目到社区协作后成为默认企业操作系统的演变。一位Netflix开发者开源了Project Headroom，这是一个旨在显著降低AI相关成本的应用程序。