/
Claude Code仍存在Anthropic已修复但未启用的安全漏洞
AI安全公司Adversa发现，Claude Code存在一个已被记录在源代码中的安全漏洞：当命令包含超过50个子命令时，系统将跳过计算密集型安全分析，仅询问用户是否继续执行。Anthropic已开发出修复方案（tree-sitter解析器），但未在公开版本中启用。攻击者可通过植入恶意CLAUDE.md文件，在50条正常命令后附加窃取凭证的指令，进而威胁整个软件供应链安全。
互联网漏洞悬赏计划暂停奖励发放
互联网漏洞赏金计划（IBB）宣布暂停提交与奖励发放，管理方HackerOne表示正在重新评估开源安全的处理方式。该计划自2012年运行至今，已累计奖励超150万美元。随着AI技术加速漏洞发现，漏洞报告数量大幅增加，但修复能力未能同步跟上，导致原有80%用于漏洞发现、20%用于修复的资金分配模式难以为继。Node.js等项目已受到影响，Google和Curl项目也相继对AI生成的漏洞提交设限。
每日数百家机构遭微软设备码钓鱼攻击，AI全程驱动渗透全球企业
微软研究人员发现，自2026年3月15日起，一场利用AI和自动化技术的设备码钓鱼攻击活动每日入侵数百家企业。攻击者每24小时发起10至15个独立攻击活动，借助EvilTokens工具包绕过多因素认证，窃取企业邮件及财务数据。攻击链涵盖AI生成定制钓鱼邮件、利用合法云平台多级跳转规避检测，并采用动态设备码生成技术延长攻击时间窗口。微软建议在非必要情况下禁用设备码认证流程。
核心基础设施工程师认罪：一起内部攻击事件的安全警示
一名核心基础设施工程师Daniel Rhyne因对前雇主发动内部勒索攻击而认罪。他利用未授权远程桌面会话、删除网络管理员账户、更改密码等常规手段入侵系统，随后以比特币赎金约75万美元要挟企业。安全专家指出，此案最令人担忧的是攻击手法普通且可预防，但企业因IT员工抵触监控而疏于防范。Rhyne面临最高15年监禁。
苹果、谷歌、微软联手Anthropic推出"玻璃翼"项目，守护全球关键软件安全
全球最大的科技公司联合发起"玻璃翼计划"，这一AI驱动的网络安全防御项目堪比"曼哈顿计划"。该联盟包括亚马逊、苹果、谷歌、微软、英伟达等12家巨头，旨在应对AI技术带来的网络安全威胁。项目将部署名为Claude Mythos Preview的未发布AI模型，该模型已发现数千个零日漏洞，其中许多存在于已部署10-20年的关键软件中。专家警告称，AI能力已跨越临界点，漏洞发现到被利用的时间窗口已从数月缩短至数分钟，传统防护方式已不再足够。
CERT-EU确认Europa.eu数据泄露源于Trivy供应链攻击
欧盟计算机应急响应团队CERT-EU确认，Europa.eu平台数据泄露事件源于Aqua Security开源漏洞扫描器Trivy的供应链攻击。攻击者通过Trivy漏洞获取AWS密钥，窃取350GB数据，涉及42个欧盟委员会内部客户和29个其他欧盟实体。TeamPCP组织利用GitHub Actions配置错误发起攻击，影响超过1000个SaaS环境，成为近期最严重的供应链安全事件之一。
思科加入Anthropic多厂商联盟保障AI软件安全
思科正式加入Anthropic的Glasswing项目，该联盟包括亚马逊、苹果、博通、CrowdStrike等多家知名厂商，旨在利用Anthropic未发布的Claude Mythos Preview软件共同应对AI安全威胁。项目将专注于漏洞检测、系统渗透测试等关键安全任务。Anthropic承诺提供1亿美元的模型使用积分，并向开源基金会捐赠400万美元。随着AI攻击增长89%，该项目致力于建立协调的技术解决方案来保护全球网络基础设施。
Cloudflare与GoDaddy联手控制AI机器人爬虫
针对AI代理日益频繁访问网络而忽视网站所有者需求的问题，Cloudflare和GoDaddy宣布合作，帮助网站管理者更好地控制AI爬虫行为。GoDaddy将集成Cloudflare的AI爬虫控制工具，让网站所有者能够管理AI访问权限，包括允许、阻止或要求付费访问。两家公司还支持代理名称服务和加密签名验证等新标准，旨在建立透明的AI代理识别机制，确保网站创作者获得公平回报。
亚马逊推出高性能后量子密码学实现方案
亚马逊推出mlkem-native高保证、高性能的ML-KEM C语言实现，结合参考实现的简洁性与研究优化及形式化验证。利用CBMC和SLOTHY等自动化工具确保内存安全、类型安全和功能正确性，在数学确定性基础上实现激进的汇编优化。相比ML-KEM参考实现，mlkem-native在不同EC2实例上每秒操作数提升2.0到2.4倍，同时保持安全性和可维护性。
思科：AI简化无线运营但给传统Wi-Fi网络带来压力
思科发布首份《无线网络现状2026》报告，调研显示AI正在推动无线网络基础设施快速演进。虽然AI能简化网络运营并带来投资回报，但同时暴露了传统系统的脆弱性。目前Wi-Fi 5仍是最常用标准，但已无法满足AI时代需求，59%企业计划在一年内部署Wi-Fi 6E或7。报告指出，98%无线专业人士认为网络运营日趋复杂，平均每周处理68张技术支持工单。
智能体发现Linux打印系统CUPS两个严重漏洞
安全研究人员利用AI漏洞搜寻代理在CUPS打印系统中发现两个可链式利用的安全漏洞CVE-2026-34980和CVE-2026-34990。攻击者可通过这些漏洞实现未经身份验证的远程代码执行和root权限文件覆写。第一个漏洞影响网络共享的PostScript队列配置，第二个漏洞可被本地低权限用户利用。两个漏洞链式利用后，远程攻击者可获得root权限。该研究突显了AI在代码漏洞发现方面的强大能力。
Fortinet修复FortiClient EMS关键漏洞CVE-2026-35616
Fortinet发布紧急补丁修复FortiClient EMS中的严重安全漏洞CVE-2026-35616，该漏洞已遭野外攻击利用。该漏洞允许未认证攻击者绕过API访问控制并提升权限，CVSS评分高达9.1。影响版本为7.4.5至7.4.6，公司已发布热修复补丁。安全专家建议立即应用修复程序，这是FortiClient EMS短期内第二个严重漏洞。
36个恶意npm包利用Redis和PostgreSQL部署持久化植入程序
网络安全研究人员在npm仓库中发现36个恶意软件包，伪装成Strapi CMS插件，通过不同载荷实现Redis和PostgreSQL漏洞利用、部署反向Shell、收集凭据并投放持久化植入程序。这些包遵循相同命名规则，以"strapi-plugin-"开头欺骗开发者下载。攻击载荷通过postinstall脚本执行，具备容器逃逸、数据库利用、凭据窃取等功能，疑似针对加密货币平台的定向攻击。
Fortinet修复FortiClient EMS零日漏洞遭黑客攻击
Fortinet在周末紧急发布补丁修复FortiClient企业管理服务器关键漏洞CVE-2026-35616，该漏洞自3月31日起遭到野外攻击。这是一个访问控制缺陷，允许未认证攻击者通过恶意请求执行未授权代码，CVSS评分达9.1分。美国网络安全局已将其列入已知被利用漏洞目录，要求联邦机构周四前完成修补。安全研究人员发现约100个面向互联网的实例暴露风险。
陷入争议的合规初创公司Delve与Y Combinator"分道扬镳"
陷入争议的合规创业公司Delve已与加速器Y Combinator"分道扬镳"。该公司不再出现在YC的投资组合目录中，相关页面也已被移除。此前有匿名指控称Delve误导客户，声称符合隐私安全法规却跳过重要要求并自动生成报告。Delve高管反驳称这是恶意攻击而非真实举报，并表示已聘请网络安全公司调查。公司承认增长过快，未达到自身标准，并向客户道歉。
深度伪造与恶意软件：AI武器库助长网络威胁
人工智能技术的快速发展正被恶意行为者武器化利用。实时AI变声软件在GitHub上免费提供，安全研究人员对其效果感到震惊。网络犯罪分子主要通过凭证重置进行攻击，疫情后远程办公增加了这一风险。AI深度伪造视频工具正在印度等地掀起"数字逮捕"诈骗潮。谷歌Mandiant发现了能够自我编码的多态AI恶意软件，可在执行过程中动态生成恶意代码以逃避检测。
OpenClaw安全漏洞曝光：智能体工具存在严重权限提升风险
热门AI代理工具OpenClaw修复了三个高危安全漏洞，其中CVE-2026-33579漏洞评分高达8.1-9.8分。该漏洞允许拥有最低权限的用户直接获得管理员权限，完全控制OpenClaw实例及其所有资源。研究显示，63%的公网暴露实例运行时未启用身份验证，使攻击者无需凭据即可获取配对权限。安全专家建议用户重新评估使用OpenClaw的风险。
机密计算重新成为CIO们的安全重点
随着云计算时代数据位置日益难以确定，CIO们开始转向机密计算技术。该技术通过可信执行环境（TEE）保护使用中的数据，在硬件加密的安全区域内处理数据，将其与周围基础设施隔离。IDC研究显示，75%的受访组织正在采用机密计算，88%的业务领导者认为它能改善数据完整性。现代软件栈已支持在现有运行环境中使用机密计算，无需重新设计应用程序。
CERT-EU确认Europa.eu数据泄露源于Trivy供应链攻击
欧盟计算机应急响应团队CERT-EU将Europa.eu平台数据泄露事件归咎于Aqua Security开源漏洞扫描工具Trivy遭受的供应链攻击。攻击者通过该漏洞获取AWS API密钥，窃取了350GB数据，涉及个人姓名、邮箱地址等信息。TeamPCP攻击组织利用GitHub Actions环境配置错误建立立足点，操控可信版本标签迫使CI/CD管道下载恶意软件。此次攻击影响至少1000个SaaS环境，成为近期最严重的供应链安全事件之一。
AI招聘公司Mercor确认遭受LiteLLM供应链攻击
AI招聘初创公司Mercor确认其为LiteLLM供应链攻击中"数千家受影响公司之一"。该攻击源于TeamPCP组织对开源漏洞扫描工具Trivy的入侵，随后扩散至多个开源项目。勒索组织Lapsus$声称从Mercor窃取4TB数据，包括939GB源代码。安全专家估计攻击者已从50万台设备窃取数据，超过1000个SaaS环境受到影响，受害者数量可能进一步扩大至数万家。
京公网安备 11010802021500号
