时报：一场黑客大赛展现了中国人工智能模型的强大实力

纽约时报报道说，在一场持续三个月的黑客竞赛中，参赛者抢时间寻找政府机构、银行、酒店、航空公司和其他企业计算机网络中的漏洞。 Photo by Mika Baumeister on Unsplash 这项名为 HackerOne 的竞赛，已经成人工智能大模型接受现实世界检验的试验场，其中包括 Anthropic 的 Claude 和 OpenAI 的 GPT。 过去一年，这些技术进步到可以以惊人的速

谷歌称ShinyHunters黑客组织扩大了对Oracle PeopleSoft的攻击

9月25日：谷歌网络安全部门周五表示，黑客组织ShinyHunters在绕过夏季攻击后部署的防御措施后，已重新对Oracle PeopleSoft软件中的安全漏洞进行“大规模利用”。 Mandiant在一份威胁情报报告中发布了这一公告，该报告发布几天前，ShinyHunters声称其已窃取FBI人员数据，并对多起重大数据泄露事件负责。 这种不断演变的攻击性质可能会让依赖PeopleSoft进行人力

拔掉的U盘Windows还认得！背后真相揭秘

Gemini入侵三家公司，谷歌为何数月后才披露？

凤凰网科技讯 9月20日 据《华尔街日报》报道，谷歌的Gemini模型在今年5月的一次网络安全评估中入侵了三家公司，但谷歌直到本周《华尔街日报》联系后才披露。当OpenAI、Anthropic和Meta相继承认其模型曾入侵外部公司时，谷歌是否也有类似情况。 这次测试由平台Irregular进行，该公司已于5月将入侵情况通知谷歌。Irregular正是参与其他AI实验室模型入侵外部公司相关测试的同一

ShinyHunters黑客声称入侵了联邦调查局，窃取了该局员工的数据

这个名为“ShinyHunters”的数字勒索组织周二宣称，他们已经入侵了联邦调查局（FBI）的计算机系统，并窃取了大量现任及前任FBI员工的个人信息。 尽管记者多次发送消息请求该组织发表评论，但FBI始终未予回应。 在他们的暗网网站上发布的声明中，以及与路透社进行的在线聊天中，“ShinyHunters”表示，他们之所以针对FBI，是因为FBI在2026年5月发布了一份公开声明，详细揭露了他们的

Windows XP曾经准备了一套故障软件数据库 用“欺骗”方式让老程序继续工作

Windows XP之所以长期以来给人留下“兼容性无敌”的印象，并不完全是因为操作系统本身能够完美兼容所有老软件。微软实际上在系统内部准备了一套规模庞大的应用兼容性数据库，专门记录那些已经出现兼容问题的软件，并在检测到这些程序启动时，通过各种特殊机制改变Windows的行为，让原本无法正常运行的软件继续工作。 这套机制如今仍然存在于现代Windows中。微软官方将其称为Application Co

荷兰资安高管被捕 涉FBI数据案及海外买凶

荷兰网络安全界近日掀起巨浪。荷兰警方与美国联邦调查局（FBI）证实，当地一家网络安全公司主管、24岁的荷兰男子佩佩恩‧范德斯塔普（Pepijn van der Stap，网名Umbreon）在一次激烈的警方突袭中被捕。他不仅被控是恶名昭彰的国际黑客组织ShinyHunters核心头目之一，警方更在其电脑中发现他涉嫌在海外策划两起买凶杀人案。FBI遭遇史诗级数据泄露 特警动用震撼弹跨国收网这起逮捕行

AI代理黑进了黑客，从安全研究机构窃取了电子邮件地址

AI代理攻击了黑客——荷兰漏洞披露研究所（DIVD）——通过其Zammad支持平台中的两个零日漏洞，利用这些缺陷劫持会话、以本地zammad用户身份远程运行代码，并将权限提升至root。链式攻击仅用几秒钟就从会话劫持进展到获取root访问权限，周四，这家非营利漏洞搜寻组织表示，攻击者窃取了其志愿者安全研究人员的数据，包括DIVD邮箱地址和可能的其他联系方式。 “我们仍在调查具体哪些志愿者的哪些数据

一种AI黑客技巧现在被用来在垃圾邮件中拆分“funding”一词

两年来，不可见的Unicode字符一直是AI安全研究中的巧妙技巧。你可以把指令藏在其中。人眼看不见任何东西。语言模型却能读取并照做。微软现在发现有人用同样的字符做了一件远不那么高明的事。他们是在拆分单词[…]

微软告知非营利组织其被删除的M365数据无法恢复

微软在部分非营利组织客户的 M365 数据保留期到期前，意外清除了其数据，如今却表示无法告知这些客户哪些数据消失，甚至无法确定它们是否遭受了损失。此次失误发生在微软停用 Microsoft 365 Business Premium 赠礼计划之后；该计划曾向符合条件的非营利组织免费提供这套生产力套件的 10 个许可证。微软于 2025 年 5 月宣布，该赠礼计划在当年 7 月 1 日后不再续期。 微

多产的微软零日漏洞猎手发布CrowdStrike Falcon漏洞利用PoC

这位心怀不满的安全研究员，以Nightmare Eclipse（又名Chaotic Eclipse、Infinite Nightmare，现在也叫MSNightmare）之名著称，正从对微软的单一敌视转向其他供应商。 周四，他们发布了一个名为FalconFlank的新零日漏洞，影响CrowdStrike的Falcon端点安全平台——尽管与Windows有关联。 据这位多产的零日漏洞猎手称，Falc

美国海关与边境保护局口岸信息技术主管被逮捕 拆走多台电脑高价值组件出售获利

美国海关与边境保护局 缅因州某入境口岸的信息技术主管被 FBI 逮捕，逮捕原因竟然是这名主管半夜悄悄拆走办公电脑上的高价值硬件，然后使用自己提前准备的老旧硬件换上。事后这名主管将拆解下来的零件送到新蛋网补差价以旧换新，然后再新硬件转售获利。 涉案者名为 Terry Jiajia Liu，其工作主要是信息技术事务，但没有权限移动或改装属于美国国土安全部的电脑设备。但 Liu 在 2025 年 5 月

新型社会工程学网络攻击“ClickFix”正在全球范围内快速蔓延

多家网络安全机构近日发布紧急预警，指出一种名为“ClickFix”的新型社会工程学网络攻击手法正在全球范围内快速蔓延。该攻击手段巧妙绕过了传统的恶意文件下载与邮件附件查杀机制，通过在主流网站上伪造高度逼真的系统错误弹窗，诱导Windows和Mac用户主动打开系统终端并粘贴执行恶意指令，从而实现“让受害者自己黑掉自己设备”的隐蔽入侵。 与传统通过欺诈链接直接静默下载病毒文件的方式不同，ClickFi

微软对Copilot进行了亟需的大幅改进，股价应声大涨

每个交易日，由吉姆·克莱默主持的CNBC投资俱乐部都会推出《最后冲刺》——一份可据以行动的午后市场更新，正赶上华尔街最后一个交易小时。周五股市走高，本周有望录得涨幅。尽管国债收益率飙升，标普500指数和纳斯达克指数依然走强。周五，10年期美国国债收益率一度升至5.23%，达到2007年6月中旬以来的最高水平。 收益率飙升源于通胀担忧，而高企的油价又加剧了这种担忧。尽管西德克萨斯中质原油周五走低，并

美国公司就AI黑客工具向微信发出警告

美国一家初创公司使用AI模型识别了中国超级应用微信中一个可能造成毁灭性影响的漏洞，这是先进AI技术网络能力及其风险的最新例证。 这种被称为“蠕虫”的攻击工具可以让攻击者劫持微信账户，并通过受害者的联系人自动传播。 发现该漏洞的安全公司Calif向中国科技巨头、微信所有者腾讯发出警报，腾讯已修复该问题，《纽约时报》报道。 这一事件凸显了围绕AI和网络安全的高风险及全球性讨论，此前已发生一连串备受瞩目

美国司法部追捕攻击X用户的黑客

美国司法部长托德·布兰奇周三表示，美国司法部正在与埃隆·马斯克的X平台合作，追查本周针对该社交媒体平台数十万用户的密码恢复攻击事件的幕后黑手。

CISO以为他有个“r3@lg00dp@$$w0rd”密码，却忘了打补丁

欢迎回到 PWNED——这个每周都会提醒您注意安全漏洞的专栏。 本周我们要讲述的故事，涉及一家律师事务所在网络安全方面的严重疏忽：他们没有及时安装重要的安全补丁，而且该机构的技术安全负责人使用的密码极其简单、容易被破解。 如果您知道类似的安全漏洞，请通过 pwned@sitpub.com 与我们分享您的发现；我们承诺为您保密。 这个故事由 Joe Brinkley 提供，他也被称为“The Bli

英美荷联手揭露伊朗间谍软件 目标锁定异议人士

（伦敦16日综合电）英国、美国和荷兰联合发布网络安全通告，详细披露一个与伊朗政府有关的间谍软件，主要针对异议人士、活动人士和记者。 报道，英国国家网络安全中心（NCSC）周二指出，与伊朗政府有关联的网络攻击者利用一种名为“CHOSEN BRICK”的间谍软件，通过WhatsApp和Telegram发起“鱼叉式网络钓鱼（spear-phishing）”攻击，窃取电邮、个人信息及其他机密资料。 “这项

OpenAI称Astra AI模型首度超越其“关键”网络安全能力阈值

OpenAI周二表示，其即将推出的人工智能模型Astra是首个超越其“关键”网络安全能力阈值的产品。该公司表示，Astra能够发现此前未知的安全漏洞，并在无需人类逐步指导的情况下加以利用，这意味着该模型属于其所谓的“准备框架”中最先进的类别。OpenAI表示仍计划“很快”推出Astra，但对其网络安全能力的访问将更加受限。 OpenAI首席执行官山姆·奥特曼OpenAI于2023年推出了“准备框架

Cohere CEO：AI模型正成为有史以来“最强大的网络武器”

AI公司Cohere CEO戈麦斯表示，AI 模型正成为有史以来“最强大的网络武器”，将网络安全的“前沿”推向新领域。艾丹·戈麦斯发出这一警告之际，人们越来越担心 AI 模型识别并利用安全漏洞的能力。此前发生了一起 OpenAI 模型获得 Hugging Face 访问权限的事件。随着越来越强大的模型展现出更强的自主能力，网络安全已成为更广泛 AI 安全辩论中的核心问题。 Cohere首席执行官艾

“我们知道如何找到你”：FBI官员告诉ShinyHunters黑客组织与机构联系

一位高级FBI官员向黑客组织ShinyHunters公开提出了请求，要求这些网络犯罪分子在FBI官方网站遭到大规模入侵后与他们取得联系。周二，FBI副局长布雷特·莱瑟曼（Brett Leatherman）在X平台上发布的视频声明中表示，最近一名与ShinyHunters有关的荷兰男子被捕，这一事件应该能够起到警示作用。莱瑟曼负责领导FBI的网络安全部门，他强调：“一些黑客认为他们的匿名身份或他们的

美国五角大楼DMDC遭黑客攻击：近300万人信息被泄露

IT之家 9 月 30 日消息，据 TomsHardware 今日报道，美国国防部（又称战争部）国防人力数据中心（DMDC）在 2025 年 10 月至 2026 年 7 月期间遭遇未授权用户访问。 美国国防部官员表示，此次事件涉及 276 万在世人员及 29.4 万已故人员的相关记录被泄露，泄露信息包括社会安全号码以及军事和文职人员的工作详情。该官员称，发现漏洞后 DMDC 立即修复，目前尚无证

谷歌AI首次“越狱”：Gemini在测试中入侵三家企业

谷歌的Gemini模型在一次网络安全能力测试中访问了互联网并入侵了其他公司，这是该公司人工智能系统自主实施此类行为的首个已知案例。谷歌周五证实，这些黑客行为发生在5月，是Irregular公司进行的一次测试的一部分。Irregular也曾参与OpenAI、Anthropic和Meta披露的类似事件。 在其中一起案例中，该模型不断猜测密码，直到获得对一个受保护系统的访问权限。在另外两起案例中，该模型

Z.ai道歉，开源了ZCode，并清除了提交历史。

针对社区报告的ZCode产品安全问题，我们已完成必要的修复工作，并向所有用户真诚道歉。 据北京公司（前身为智谱，现为Z.ai）在周一发布在ZCode官方账号上表示，同一天该公司将编码工具的源代码发布到了GitHub。它表示已移除Repo Wiki功能。同时，该公司还禁用了生成并上传本地仓库快照的工作流程，并在ZCode v3.14.0版本中推送了修复方案。 两家外部机构对此进行了核查。中国信息通信