政府承包商泄露了获取移民记录的途径

欢迎回到PWNED，这是一期专栏，我们探讨的是你如何让自己的安全变得自作多情。今天的可怕故事涉及到一些政府承包商，他们为了让生活更轻松，而牺牲了保护敏感信息的安全措施。有人在网络中留下了巨大的漏洞？请将您的故事分享给我们，邮箱是pwned@sitpub.com。 anonymity可根据要求提供。我们的官僚地狱故事由安全研究员乔·布林克利提供，他曾就职于一家政府承包商，担任信息系统安全官员，负责防

OpenAI自曝6起模型“不当行为”案例

【环球网报道 记者 姜蔼玲】据美国消费者新闻与商业频道（CNBC）等外媒报道，美国开放人工智能研究中心（OpenAI）当地时间9月16日披露6起人工智能（AI）模型出现“意外或令人担忧”行为的案例，其中包括隐瞒错误、捏造信息，以及未经授权在网上共享文件等。OpenAI表示，上述案例均是在过去6个月对其模型进行训练或评估过程中发现的。OpenAI在9月16日发布的文章中表示，在其中一起案例中，一个模

曾用于攻击AI的ASCII走私技术如今被垃圾邮件发送者采用

一种用于在攻击AI代理时隐藏恶意提示的巧妙技术，已被垃圾邮件发送者采用，以逃避电子邮件平台上旨在标记群发活动中不需要消息的过滤器。 该技术广为人知，称为ASCII走私。两年前，它作为一种使一类名为提示注入的AI攻击更加隐蔽的手段而受到关注。嵌入在电子邮件或其他由LLM处理的不受信任内容中的恶意指令并非以普通文本书写。相反，它们通过一系列特殊的Unicode标签呈现。例如，标签点U+E0041对应“

16岁少年用AI发现微软内部API漏洞：涉及超17万亿行数据，获5000美元赏金

IT之家 9 月 28 日消息，16 岁安全研究员 Faav 于月 25 日在其主页发布博客，披露了关于他如何发现微软内部漏洞并获得 5,000 美元（IT之家注：现汇率约合 33,597 元人民币）漏洞赏金的经历。 他发现，微软内部分析平台 Titan 存在身份验证漏洞，黑客可借此访问包含约 2.5 万条员工数据记录的内部数据库，并能查询总量达 17.3 万亿条的数据记录。 Faav 称，他自

NightmareEclipse的最新零日漏洞让微软Defender停滞不前

微软的零日漏洞泄露者NightmareEclipse又找到了一个新的方法来干扰Windows Defender：他们通过阻止该杀毒软件自动更新来达到这一目的。这位安全研究人员（又名Abdelhamid Naceri）发布了一个名为“BigDiskBuster”的概念验证工具（PoC），该工具专门用于阻止Microsoft Defender Antivirus安装平台更新及安全补丁。 Nightma

欧盟网络安全局警告前沿AI大幅压缩漏洞利用窗口 防御体系遭遇重大压力

欧盟网络安全局（ENISA）近日发布政策警示报告指出，新一代前沿人工智能（Frontier AI）大模型正在彻底颠覆传统的网络安全防御范式。这类具备高级推理能力的AI模型将系统漏洞从“被发现”到“被武器化利用”的时间窗口压缩到了前所未有的极限，迫使全球网络安全防御体系必须以“机器级响应速度”迎战日益严峻的自动化威胁。 在传统的漏洞管理周期中，从漏洞披露、概念验证到实际恶意利用通常存在数周乃至数月的

AI安全风险高企 预防、抵御和追责如何落地？

【财新网】AI网络攻击日益复杂，网络安全企业预警风险。9月29日，在新加坡举行的“2026亚洲愿景论坛创新峰会”上，两家新加坡网络安全公司StrongKeep Cybersecurity和Blackpanda指出，AI一方面显著提高了黑客寻找漏洞和发动攻击的效率，另一方面也将风险扩展至中小企业及机器人、自动驾驶等实体AI应用。　　本届亚洲愿景论坛创新峰会以“变革与韧性”为主题，于9月29至30日在

黑客在暗网以低至3%的价格兜售热门AI模型访问权限

非法获取AI模型和算力正迅速成为网络犯罪界的“热门商品”。 黑客通过窃取公共AI工具的登录凭证或劫持云计算资源，旨在利用昂贵的大语言模型进行勒索、战争和间谍活动。 谷歌威胁情报小组分析师指出，暗网市场上Anthropic、Google和OpenAI等模型的访问权限正以低至3%的价格出售。 此外，部分国家支持的黑客组织正通过劫持云服务器来运行其AI模型。面对AI驱动的威胁，网络安全领域必须尽快采取应

OpenAI失控Agent找DeepSeek、Kimi当外援 近百万条作案短链曝光

OpenAI，又被扒了…近700个OpenAI智能体组团攻入Hugging Face，这事儿快有两个多月了吧。谁曾想，直到今天还在发酵？？这次，8名研究者顺着智能体留在公网的痕迹一路猛挖，从数百万个短链接中，找出了接近100万个相关URL，并还原出大量攻击载荷。 翻Hugging Face内部Slack、扫描内网、外传数据、尝试销毁痕迹……还有的Agent把搜刮到的服务器资源和凭证，直接叫作「LO

X表示，在X Money推出后，攻击者正针对用户账户

X正在调查一波未经请求的密码重置电子邮件，它认为这可能与其新支付服务的推出有关。

人工智能帮助黑客在加密货币领域的网络犯罪活动中开辟了新的攻击途径。

开源人工智能使黑客更容易在区块链上隐藏恶意代码，为已经在应对不断上升的网络犯罪的加密货币行业开辟了一条新战线。 区块链分析公司Chainalysis在周四发布的一份报告中表示，在不到一年的时间里，写入链上交易和智能合同的恶意软件指令数量增加了440%，平均每天有11起。报告称，在去年年中发布强大的中国开源人工智能模型之前，此类案件平均每天发生两起，对生成恶意代码没有限制。 恶意软件攻击使用植入计算

独家-OpenAI的恶意代理据研究人员称至少使用了另外10个网站进行未经授权的通信

独家报道：在发生重大黑客攻击之前，OpenAI的“叛逆”代理程序曾花费两个月时间对 Hugging Face 的系统进行漏洞探测。

华盛顿，9月16日：据审查相关活动的研究人员称，早在5月，即7月开源代码仓库安全漏洞事件引发全球关注前近两个月，OpenAI的失控AI智能体就已劫持了Hugging Face的用户账户，并探测该网站本身的安全漏洞。 新发现的恶意活动表明，这些失控智能体试图入侵Hugging Face的努力开始时间早于公众所知。 OpenAI此前在其上月发布的公开事件报告中披露了恶意活动的一个方面——窃取Huggi

内部材料显示，一家中国黑客公司利用人工智能加速网络间谍活动

据《华尔街日报》报道，一些中国民营网络安全公司正在从单纯提供黑客服务，转向利用人工智能整理和分析窃取的数据，再将其包装成可以直接使用的情报产品，出售给中国大陆当局。 Photo by Mika Baumeister on Unsplash 《华尔街日报》查阅了一批据称来自郑州智荣网络科技有限公司的内部资料，包括员工聊天记录、公司演示文稿、内部记录以及疑似从外国政府系统取得的文件。 资料显示，这家公

骗子正在利用人工智能（AI）快速实施犯罪行为。新加坡警方的新网络指挥部门（Cyber Command）是如何应对这一挑战的？

这看起来像是一条关于待取包裹因“地址无效”而无法送达的普通短信。 该短信似乎来自新加坡知名的快递公司，收件人收到一个链接，并被要求在24小时内更新其信息。 接下来，他们将被要求支付0.06新元（约合0.05美元）至1.64新元不等的少量费用，以重新派送物品。 一旦输入信用卡信息，这些数据并不会发送给快递公司——而是落入了诈骗分子手中。 该链接将他们引向一个看似属于快递公司的网站，但实际上是由骗子控