以色列隐形网络安全公司被曝光在npm投放恶意包，伪装Anthropic、Vercel、LangChain等AI工具，收集开发者身份数据，约2万次下载。

Apache Camel 存在大小写处理不当漏洞，攻击者可注入大小写变形的 Camel 内部控制头绕过过滤器，实现 RCE。PoC 已公开，建议立即升级。

卡内基梅隆大学研究人员披露Git提交签名哈希链可塑性漏洞。攻击者可在无需签名密钥的情况下，将任意已签名提交复制为另一个内容完全相同、签名仍然有效、GitHub仍显示绿色Verified徽章的新提交...

19岁黑客彼得·斯托克斯用VPN打掩护入侵奢侈品零售商，FBI却通过Windows未公开的GDID设备标识符将其关联抓获。GDID是如何成为微软暗中追踪用户的秘密武器？

安全公司 Sysdig 捕获全球首例 AI Agent 全程自主执行的勒索软件攻击。攻击者利用 Langflow 漏洞闯入后自动完成凭据窃取、横向移动和数据加密，且未保留解密密钥。

Anthropic 开源 Defending Code Reference Harness，基于 Claude 实现自主漏洞发现与自动修复，覆盖威胁建模到打补丁全流程，安全团队可直接部署。

阿里Qwen3.6-35B-A3B Uncensored越狱版发布，MoE架构仅激活3B参数，6G显存即可运行，支持多模态视觉，中文能力跻身开源第一梯队。

安全研究证明商业模型和开源模型通过开源编排框架IronCurtain同样可以自主发现零日漏洞，成本低至每个代码库30美元。

安全研究人员披露Anthropic在Claude Code中秘密嵌入针对中国用户的检测逻辑，利用Unicode隐写术和XOR混淆暗中回传用户信息，引发开发者信任危机。

苹果印度供应商Tata Electronics确认遭网络攻击，超63万GB数据在暗网泄露。iPhone 18 Pro原理图、A20 Pro芯片等机密信息曝光，苹果安全团队已介入调查。

KNX协议帧结构、TPCI/APCI字段、IP路由器漏洞、内存读写滥用……本研究团队通过自建实验环境，深入验证KNX协议的攻击面，发现路由器配置可被恶意修改，甚至能突破网络隔离边界。