一个名为Resolute的攻击者声称正在出售从GitHub窃取的大量源代码和内部仓库数据，要价8万美元，包含约4000个私有仓库，目前该说法尚未验证。

xAI Grok Build CLI被曝静默上传完整Git仓库至Google Cloud，包含.env密钥和提交历史。12GB仓库上传5.1GB，实际任务仅需192KB。

红队研究员演示用zip2john + John the Ripper + rockyou.txt在几秒内破解受保护ZIP文件，揭示密码保护的脆弱性。

丰田汽车一家分包商将T-Connect应用源代码误传至GitHub公开仓库，其中硬编码的API密钥在5年间完全暴露，29.6万客户数据岌岌可危。

安全研究人员捕获首个完全由LLM自主运行的勒索软件JadePuffer，能够自主完成侦察、凭证窃取、横向移动和加密完整攻击链。

IRIS C2 公开悬赏700万美元收购零日漏洞，Krebs on Security 调查发现背后是两个臭名昭著的造假老手 Jack Burkman 和 Jacob Wohl，曾伪造 FBI 局长性侵案。

安全研究团队发现一名俄罗斯黑客使用HexStrike AI结合Anthropic的Claude，渗透多家酒店预订平台，窃取超过210万条邮件地址及其他预订数据。

一位阿尔及利亚白帽黑客分享了其在众测项目中通过JWT认证绕过、文件上传和任意文件覆写漏洞组合利用，获得23000美元赏金的完整过程。

朝鲜APT组织关联的PolinRider供应链攻击活动持续升级，已在npm、Packagist、Go和Chrome平台发布108个恶意软件包，窃取开发者凭证。