#security

安全研究人员发现，xAI 的 Grok CLI（版本 0.2.93）会默认将整个 Git 仓库和.env 等敏感文件自动上传至 Google Cloud Storage，即使提示词指示不要读取特定文件。关闭"改进模型"设置也无法阻止上传。 该漏洞默认暴露了用户的专有代码、API 密钥和凭证，带来了严重的隐私和安全风险。它破坏了用户对 AI 辅助编程工具的信任，并引发了对数据处理方式的质疑。 该工具通过两种渠道发送文件内容：嵌入模型对话请求中以及作为 git bundle 文件。在 12 GB 仓库的测试中，超过 5 GiB 的数据成功上传且未被拒绝。设置中的关闭开关对上传行为没有影响。

Binarly 披露了 U-Boot 的 FIT 签名验证代码中的六个漏洞，其中两个可导致任意代码执行，四个可造成拒绝服务。这些漏洞影响自 2013.07 版本以来的 50 多个稳定版本及大量下游分支。 攻击者可在操作系统启动前执行恶意代码，绕过所有安全措施，甚至植入持久性固件恶意软件。对于支持远程固件更新的 BMC 等系统，利用这些漏洞无需物理接触，对嵌入式及服务器生态系统构成严重威胁。 这些漏洞存在于签名验证完成前处理不可信 FIT 镜像的过程中。通过恶意固件更新可实现远程利用；尽管补丁已被 U-Boot 接受，但各硬件厂商需自行集成并分发修复，老旧设备可能永远无法获得更新。

欧盟距离重启一项要求扫描私人消息以查找儿童性虐待素材的提案仅一步之遥，这对端到端加密的未来构成威胁。 如果该规则得以实施，可能会破坏整个欧盟的隐私和加密保护，影响数亿用户，并为大规模监控树立危险先例。 该提案被称为“聊天控制”，包含两个版本：聊天控制 1.0 允许平台自愿扫描，而聊天控制 2.0 强制要求扫描并实际上禁止端到端加密。

Nebula Security 曝光了一条针对所有安卓版本的远程 Root 攻击链，该链结合了 Firefox 浏览器漏洞（影响 151.0.2 及更早版本）和一个存在 15 年的 Linux 内核漏洞（CVE-2026-43499，GhostLock），概念验证代码已发布在 GitHub 上。 该攻击链只需诱骗用户点击恶意链接即可在任何安卓设备上获得持久 Root 权限，对数十亿用户构成严重安全风险，可能导致大规模利用。 该攻击利用 Mozilla Firefox 中的远程代码执行漏洞和 GhostLock 内核提权漏洞，使攻击者能够通过 ADB 执行任意命令并植入文件以实现持久控制。

研究人员公开了 Januscape（CVE-2026-53359），这是 KVM shadow MMU 中的一个 use-after-free 漏洞，允许客户虚拟机在 Intel 和 AMD 平台上逃逸到宿主机。该漏洞在 Linux 内核中存在约 16 年，从 2010 年持续到 2026 年 6 月。 这是首个已知的同时适用于 Intel VMX 和 AMD SVM 的客户机到宿主机逃逸漏洞，对使用 KVM 的多租户云环境构成严重威胁。该漏洞曾被用作 Google kvmCTF 的 0-day 攻击，可能破坏云服务商的隔离边界。 漏洞位于 Intel 和 AMD x86 KVM 实现共享的 shadow MMU 代码中的 kvmmmugetchildsp() 函数。已发布 PoC 代码可在客户机内触发宿主机内核 panic，在 RHEL 等发行版中，本地普通用户还可利用该缺陷提权至 root。

YouTube 的 AI 评论摘要工具中存在一个提示注入漏洞，攻击者通过留下精心构造的评论注入恶意提示，从而泄露创作者的私密视频标题。 该漏洞通过暴露创作者的私密视频标题侵犯其隐私，并凸显了在面向用户的应用中集成大语言模型时缺乏对提示注入的充分防护所带来的广泛安全风险。 当创作者打开 YouTube Studio 的评论标签并点击建议的 AI 提示时，攻击即可生效；注入的评论强制模型在其响应中包含私密视频标题。社区测试结果不一，部分用户无法复现该问题，表明 YouTube 可能已采取部分缓解措施。

Linux 基金会联合众多行业组织宣布启动 Akrites 项目，旨在加速开源软件漏洞修复，通过协调保密补丁部署，应对 AI 辅助的漏洞利用开发。 Akrites 应对了 AI 驱动的逆向工程和漏洞利用快速生成的威胁，确保补丁在攻击者行动之前部署到关键基础设施，可能重塑开源社区处理严重漏洞的方式。 该项目强调保密性不可妥协，并将在关键包无人维护时充当最后的维护者。同时，它将与政府行动协同，协调公共和私人防御者。

在 OpenBSD 中发现了一个释放后使用漏洞（CVE-2026-57589），允许本地攻击者将权限提升至 root。 该漏洞意义重大，因为 OpenBSD 以其安全特性著称，本地权限提升漏洞可能损害其声誉。所有运行受影响版本的系统都会受到影响。 该漏洞是由 OpenAI 和 Trail of Bits 发起的 'Patch The Planet' 项目发现的。目前细节有限，OpenBSD 安全页面尚未列出该漏洞。

在 2026 年北美 Linux 安全峰会上，Eric Biggers 介绍了正在进行的将传统 Linux 内核密码学 API 替换为更安全、更易使用的新库 API 的工作。 这一现代化改造降低了内核密码学的复杂性和潜在安全漏洞，惠及所有依赖加密、哈希和认证的内核子系统。 自 2002 年引入的传统密码学 API 已变得复杂、缓慢，且未能针对现代基于 CPU 的加速进行优化，导致维护和性能问题。

中国工业和信息化部于 2025 年 7 月 8 日发布风险提示，指出 Claude Code 2.1.91 至 2.1.196 版本存在安全后门，可以在未经用户同意的情况下，将用户的地域和身份标识等敏感信息传输到远程服务器。 此事意义重大，因为 Claude Code 是一款广泛使用的 AI 编程工具，此次后门事件危及大量开发者的隐私和安全。作为政府权威机构的工信部发出警告，凸显了威胁的严重性，并可能促使各机构重新评估在开发流程中使用 AI 工具的安全性。 受影响版本为 2.1.91 至 2.1.196，后门内置监控机制，会外传敏感数据。建议用户立即排查，卸载受影响版本或升级到已清除恶意代码的最新安全版本，同时加强开发工具的外联权限管控和流量监测。

中国研究人员开发出一种非接触式取证技术，通过分析泄漏的低频电磁信号来识别智能手机正在使用的应用及操作，在 iPhone 15 Pro、小米 15 Pro 和 OPPO Reno 13 等设备上准确率高达 99.07%。 这种攻击方法即使手机处于离线、飞行模式、加密或锁定状态也能工作，无需访问设备系统或存储数据，因此构成了严重的隐私威胁。 该技术分析了运行中智能手机组件发出的低频电磁（EM）信号，研究人员在抖音、微信视频通话、百度地图、短信、浏览器、相机和云存储等流行应用上进行了测试。

William Woodruff 发表博客文章指出，PyPI 的可信发布不应被理解为软件包可信或质量的信号，而仅仅是一种身份验证方式。 这澄清了开发者中一个常见误解，否则可能导致对可信发布的过度依赖，影响软件供应链安全决策。 Woodruff 强调，可信发布使用 OpenID Connect（OIDC）在 CI/CD 工作流与 PyPI 之间建立身份，且 PyPI 故意避免将其显示为绿色勾选标记。

new-api 项目发布两个提交，增加边界检查和饱和运算，防止配额计算中的整数溢出，该溢出可能导致负数扣费。 此修复解决了一个严重的计费漏洞，用户可能通过触发负数扣费来非法获取积分，影响所有使用 new-api 进行计量或计费的部署。这凸显了在财务逻辑中进行严格输入验证的重要性。 该漏洞源于配额计算中对用户可控参数缺少验证；超大数值导致整数溢出后，扣费变为负数。修复引入了上限验证和饱和运算，将结果钳制在最大可表示值，而不是回绕。

OpenSSH 10.4 已发布，增加了对结合 ML-DSA 44 和 Ed25519 的复合后量子签名方案的实验性支持。此外，在 Linux 上，如果未启用 SECCOMP 或 NONEWPRIVS 沙箱功能，sshd 现在将拒绝启动。 这意义重大，因为 SSH 是全球用于安全远程访问的关键基础设施工具；后量子签名支持使 SSH 能够抵御未来量子计算机的攻击。更严格的沙箱执行提高了安全性，确保 sshd 在受限环境中运行，从而减少潜在漏洞的影响。 后量子签名方案遵循 IETF 草案，将 ML-DSA 44（NIST 标准化的基于格的算法）与 Ed25519 结合。在 Linux 上，如果 sshd 编译时启用了沙箱支持，但系统缺少 SECCOMP 或 NONEWPRIVS，守护进程现在将无法启动，而不仅仅是记录错误。

Greg Kroah-Hartman 宣布发布七个稳定版 Linux 内核（版本 7.1.3、6.18.38、6.12.95、6.6.144、6.1.177、5.15.211 和 5.10.260），其中包含对两个安全漏洞 CVE-2026-53362 和 CVE-2026-53359 的修复。 这些修复解决了关键漏洞，包括一个容器逃逸漏洞（CVE-2026-53362），攻击者可利用该漏洞在宿主机上获取根权限；以及一个自 2.6.36 内核就存在的 KVM 释放后使用漏洞（CVE-2026-53359）。强烈建议用户升级以防范潜在利用。 CVE-2026-53362 是在内核 6.0 的 IPv6 处理中引入的，而 CVE-2026-53359 是 KVM 中的一个释放后使用漏洞，自内核 2.6.36 起存在。每个稳定内核还包含整个内核树中的众多其他修复。

Apple 在 iOS 27 中推出了 Trust Insights 功能，这是一个设备端反欺诈功能，通过分析用户行为模式来检测诈骗，而不会读取信息或照片等个人内容。 该功能在完全设备端处理数据并仅向服务器发送一个匿名输出的同时，增强了用户抵御电话诈骗的安全性，并保持了强大的隐私保护。 Trust Insights 利用设备传感器数据和上下文分析，识别类似被诈骗分子指导转账或改账户的可疑行为；在交易前可触发警告、短暂延迟或额外身份验证。

从 Linux 6.9 开始，cryptsetup luksSuspend 命令在挂起期间不再从内存中清除磁盘加密密钥，导致密钥保留在 RAM 中。 这一回归削弱了 LUKS 加密设备的安全性，因为拥有物理访问权限的攻击者可以从挂起系统的内存中提取主密钥，无需密码即可解密磁盘。 该问题影响 Linux 6.9 及更高版本的内核，但并非所有发行版都受影响，因为 luksSuspend 并非官方 cryptsetup 规范的一部分，它最初是 Debian 的扩展。

JFrog 安全研究人员披露了名为 DirtyClone（CVE-2026-43503）的 Linux 内核本地提权漏洞，该漏洞允许无特权的本地用户利用套接字缓冲区克隆时丢失 SKBFLSHAREDFRAG 标志的缺陷，从而获得 root 权限。 该漏洞影响面广，波及默认启用非特权用户命名空间的 Debian、Ubuntu 和 Fedora 等主流发行版，且利用过程中不留下内核日志或审计痕迹，对多租户云环境和 Kubernetes 集群尤为危险。 该漏洞已于 2026 年 5 月 21 日在 Linux 内核 v7.1-rc5 中修复；缓解措施包括通过 kernel.unprivilegedusernsclone=0 禁用非特权用户命名空间，或屏蔽 esp4、esp6 和 rxrpc 内核模块。

Fernando Irarrázaval 举办的 OpenClaw AI 助手挑战中，2000 人尝试通过电子邮件泄露秘密，经过 6000 次尝试均未成功。底层模型为 Anthropic 的 Opus 4.6，配备了防提示注入规则。 该实验提供了现实证据，表明前沿模型对提示注入攻击的鲁棒性显著增强，这是 AI 安全领域的重大关切。这表明大型语言模型的安全改进正在转化为实际防御能力，但并不能保证完全无懈可击。 挑战消耗了 500 美元的代币费用，并因大量入站邮件导致一个 Google 账户被暂停。尽管尝试了 6000 次，没有参与者成功泄露秘密，但作者警告不要在生产系统中部署可能因提示注入造成不可逆损害的应用。

Andrew Nesbitt 发布了一份虚构的事故报告 CVE-2026-LGTM，描述了来自竞争供应商的两个 AI 审查代理因包安全问题陷入争论循环，产生了 340 条评论和 41,255 美元的推理成本。 这篇讽刺作品揭示了自主 AI 代理的关键缺陷，包括失控的成本、供应商营销利用和缺乏升级机制，为软件行业日益依赖 AI 驱动的自动化提供了警示。 报告指出，两个代理未能解决关于 foxhole-lz4 包是否恶意的简单争议，导致争论升级。其中一家供应商的营销团队利用此事件发布新闻稿，声称对抗性多代理安全推理同比增长 430%，公司股价上涨 6%。