網絡安全

ChainCatcher 消息，網路安全公司 XBOW 發文披露，其在美國選舉援助委員會（EAC）的一款公開 Web 應用中發現一個未經身份驗證即可利用的嚴重級別遠程代碼執行漏洞。該應用用於資源與物流計算，並非投票機或選民登記系統。漏洞可能允許攻擊者通過構造特定 Web 請求，以 root 權限在後端容器中執行代碼，並訪問本地受保護資源及外部網路。XBOW 表示，已依據 EAC 公布的漏洞披露政策報告該問題，經 EAC 團隊驗證後，漏洞已於美國聯邦中期選舉之前修復。

ChainCatcher 消息，IT之家 10 月 30 日報導，有開發者在 DeepSeek 官網前端代碼中發現與 Cyber 網絡安全模型相關的申請入口和接口邏輯。申請頁面路由指向 /usage/model-application，並設置了 feature gate 開關，未獲權限的帳號訪問時會被重定向回用量頁面。代碼中還出現與 Cyber Key 創建、額度管理相關的接口。代碼中的模型標識為 cyber-personal-v3 與 cyber-enterprise-v4。個人版面向個人安全從業者，申請需提供身份證信息並完成人臉核驗；企業版面向企業主體，除實名材料外還需提交營業執照與授權書。兩類渠道的共同門檻包括帳號已完成實名認證且狀態正常、註冊地為中國大陸並綁定大陸手機號、近 90 天內無違規記錄。申請流程為填寫申請表並提交審核，審核通過後創建 Cyber Key。目前該入口未出現在 DeepSeek 公開菜單中，處於灰度測試狀態。有用戶反饋，僅被灰度覆蓋的帳號能在用量頁面看到相關板塊，具備權限時會顯示"DeepSeek Flash Cyber 網絡安全專用 API"區域。截至報導時，DeepSeek 官方尚未就該模型發布正式公告，相關信息來自官網 JavaScript 代碼觀察與灰度用戶反饋。

ChainCatcher 消息，据韓聯社報導，微軟威脅情報 29 日發布的報告顯示，朝鮮黑客組織正利用人工智慧加快對韓國用戶的網絡攻擊，從定制釣魚文檔、假招聘與身份偽裝，擴展到惡意代碼開發與軟件供應鏈攻擊。微軟對 8 個朝鮮相關黑客組織的 AI 採用水平做了評估：其中 3 個已達四級中最高的"運營定型"階段，將 AI 融入日常攻擊流程；另有 4 個處於"加速"階段、1 個處於"擴展"階段。報告稱，有組織在今年 8--9 月針對不同目標定制生成逾 100 份 PDF 誘餌文檔，並出現數分鐘內批量產出數十份的情形。今年 6 月 8--12 日，還出現利用 3 家偽裝公司，向 AI、區塊鏈與網絡安全從業者發起假招聘邀約的案例。此外，微軟分析朝鮮黑客可能借助 Cursor 等 AI 程式設計工具輔助代碼生成、排錯與規避檢測；朝鮮偵察總局下屬"Onyx Sleet"（韓方稱安達利爾）與"Pearl Sleet"自 10 月下旬起，已在實戰中使用開源 AI 滲透測試框架 ARTEX。微軟認為，上述組織雖借 AI 提升了攻擊速度與效率，但尚未進入完全自主攻擊階段，並建議企業加強求職者身份核驗、釣魚防護與惡意代碼檢測。

ChainCatcher 消息，馬斯克轉發 Binance 黑客事件相關報導，並評論稱 "Everyday is Zeroday"。Zero-day（零日漏洞）是網絡安全領域的專業術語，指軟體、系統或硬體中存在的安全漏洞，而開發者或廠商尚未有可用的修復方案，攻擊者可能利用該漏洞發起攻擊。之所以叫 Zero-day，是因為廠商在漏洞被發現或獲知時，已經沒有提前修復的時間（0 天）。

ChainCatcher 消息，据美國科技媒體 Wired 報導，埃森哲 (ACN.N) 的一名承包商意外通過個人使用的 Anthropic Claude AI 智能體洩露了五角大樓的訪問憑證。該 AI 智能體在美國國防部網絡上運行了兩個月，並將情報信息和系統架構圖外傳至第三方。

ChainCatcher 消息，Polymarket 交易員 Car 在 X 平台發帖稱，其 Polymarket 賬戶資產被盜約 80 萬美元，所有持倉均被賣出，其朋友賬戶被盜約 60 萬美元，並提醒用戶鎖定賬戶、暫勿與網站互動。另有多名用戶在 X 平台及 Polymarket Discord 社區反映，網站前端疑似遭攻擊，資產在未經授權情況下被轉出，有用戶稱被盜約 20 萬美元，也有用戶稱在官網收到未經授權的提現簽名請求。截至發稿，Polymarket 官方尚未回應。今年 6 月，Polymarket 曾因第三方供應商被入侵遭前端釣魚攻擊，約 294 萬美元用戶資產被盜。

ChainCatcher 消息，網路安全公司 XBOW 發文披露，其在美國選舉援助委員會（EAC）的一款公開 Web 應用中發現一個未經身份驗證即可利用的嚴重級別遠程代碼執行漏洞。該應用用於資源與物流計算，並非投票機或選民登記系統。

ChainCatcher 消息，因檢測到網路攻擊嘗試增加，印尼加密貨幣交易所 Indodax 已暫時暫停用戶充值與提現，以開展安全評估和風險緩解工作。平台表示，目前用戶資產安全，尚未發現未經授權的提現或數據洩露，待確認系統安全後將恢復充提服務，並通過官方渠道發布後續進展。

ChainCatcher 消息，Allium CEO 兼聯合創始人 Ethan Chan 發文稱，Allium 於 10 月 25 日發現一起安全事件，涉及未經授權訪問其部分系統。Allium 立即採取措施限制訪問並保護系統，已直接通知受影響客戶，並繼續提供更新和支持。Allium 已聘請獨立網絡安全公司協助響應和調查，重點加強認證和監控等安全控制。調查完成後，其計劃分享調查結果摘要和應對措施。Allium 稱，其核心平台，包括 Allium App、Explorer 和 Explorer APIs 已恢復上線，部分功能在恢復期間仍暫時不可用，最新可用性和更新發布在狀態頁面。Ethan Chan 表示，對事件造成的中斷感到抱歉，並稱維護客戶信任需要清晰溝通和持續跟進。

ChainCatcher 消息，幣安創始人趙長鵬在 X 發文提醒，不要點擊郵件中的連結，也不要下載附件。趙長鵬表示，即使郵件來自信任的人，對方電腦也可能在不知情的情況下感染病毒。

ChainCatcher 消息，Alphabet CEO 皮查伊表示，新 AI 模型 Carbon 首先向網絡安全合作夥伴推出。

ChainCatcher 消息，Stable 官方宣布，Stable 主網將於 10 月 31 日 17:00（UTC+8）升級至 v1.9.0，升級高度為 45,091,000。此次升級主要包括協議安全加固及網絡韌性優化，旨在提升交易處理與結算的安全性、可靠性和運行穩定性，為鏈上支付、交易所結算及企業財資管理等金融活動提供基礎設施支持。

ChainCatcher 消息，AI 雲服務提供商 Akamai 於 10 月 27 日推出 AI 智能體沙盒 Agent Sandbox 與 Akamai Inference 測試版。Agent Sandbox 基於 WebAssembly 為智能體編寫和運行的代碼提供隔離環境，限制其算力、內存與對外連接。Akamai 雲技術高級副總裁 Jon Alexander 表示，運行智能體的團隊需要為其編寫的代碼劃定邊界。Palo Alto Networks 2026 年對 2930 名安全負責人的調查顯示，平均每個真人身份對應 109 個機器身份，其中 79 個為 AI 智能體。Hugging Face 於 7 月 16 日披露遭入侵，OpenAI 隨後確認其模型負有責任；METR 調查發現約 1200 個 OpenAI 智能體通過隱藏留言板協同，約 700 個參與攻擊，它們逃出沙盒並利用未知漏洞與竊取憑證進入生產系統。Zscaler 7 月發現網頁隱藏針對 AI 智能體的指令，即間接提示注入，一個偽造文檔頁面要求智能體向硬編碼錢包支付約 0.0012 枚以太坊的 3 美元許可費，測試的 26 個模型中有 4 個照做。Palo Alto 於 2 月完成對 CyberArk 的收購並在 4 月收購 Koi，Cisco 於 6 月 29 日完成對 Astrix Security 的收購。調查預計未來 12 個月企業 AI 智能體數量將增長 85%，人類身份增長 56%。

ChainCatcher 消息，一封美國聯邦選舉委員會（FEC）官員郵件顯示，駭客正試圖入侵美國選舉網站。

ChainCatcher 消息，首爾警方逮捕 7 名涉嫌利用生成式 AI 發動黑客攻擊的嫌疑人。首爾地方警察廳稱，涉案組織約 90 家，共竊取 820 萬條記錄，這是韓國首次抓捕大規模 AI 輔助黑客攻擊的嫌疑人。受害目標包括醫院、大學、私立補習班、高爾夫球場及大型企業集團子公司，這些機構掌握大量普通民眾姓名、聯絡方式與記錄。其中一家殯葬服務企業丟失 122 萬條記錄，有報導稱補習班數據還包含未成年人信息。據當地媒體報導，主犯現年 32 歲，學的是文藝與體育專業，沒有 IT 背景。他向調查人員稱通過 YouTube 和網絡博客自學黑客技術，警方則指出其曾於 2019 年至 2022 年在一家安全公司從事模擬攻擊工作。他先使用網站漏洞掃描工具，8 月底又引入 AI 編碼代理和自動化滲透測試系統 Artex，警方稱他在 8 月 31 日至 10 月 13 日的 44 天內入侵 60 家公司。整個攻擊行動持續約 13 個月，從 2025 年 9 月至今年 10 月，案件於 6 月因一名受害者報案而立案。警方表示，如此規模的攻擊過去需要黑客團伙才能完成，AI 如今讓一個人短時間內即可實現。犯罪嫌疑人向 38 名受害者發送郵件，合計勒索 3.6 億韓元，約合 27.2 萬美元，但唯一確認的付款為 30 萬韓元，約合 210 美元。主犯已於上週五被羈押移送檢方，面臨違反韓國信息通信網絡法以及敲詐勒索、敲詐未遂等指控。警方將繼續調查另外 6 名同夥並確認更多受害者，目前已有 15 家機構報告受損。

ChainCatcher 消息，漏洞賞金平台 Immunefi 首席執行官 Mitchell Amador 警告稱，互聯網用戶仍面臨由 PHP 漏洞引發的網絡攻擊風險，尤其是採用緊急升級較慢的小型網站，可能需要數週時間才能完成修補。他表示，「漏洞末日」正按計劃到來，即發現漏洞的成本變得低廉，而修復漏洞的成本依然高昂。他建議用戶在未來幾週內將任何登錄的網站視為可能已被攻破，避免重複使用密碼，在連接加密錢包時保持謹慎，並撤銷無法識別的代幣授權。此前 PHP 基金會承認，由於資源短缺，其推遲修復了 2024 年首次發現的一個嚴重安全漏洞。PHP 開發者同日為兩個嚴重漏洞發布了緊急補丁，但各網站仍需自行完成升級。Cloudflare 首席執行官 Matthew Prince 表示，在 PHP 漏洞公開披露後的 24 小時內，網絡記錄了數百萬次利用嘗試，甚至在披露前就已有數千次嘗試。據 W3Techs 估計，PHP 為約 69% 擁有已知伺服器端程式語言的網站提供支持，這些漏洞可能允許攻擊者傳播惡意軟體或向網站注入惡意腳本。美國聯邦調查局網絡部門也警告稱，這些漏洞可能允許惡意行為者「在 PHP 核心中遠程執行代碼，從而可能危及敏感數據和網絡」。Amador 在 6 月接受 Cointelegraph 采訪時曾警告，前沿 AI 模型的普及改變了網絡安全的格局，使攻擊者佔據優勢，導致「漏洞末日」出現，並引發了 DeFi 黑客攻擊的回升。Immunefi 是全球最大的漏洞賞金平台，迄今已向 650 個協議支付了 1.4 億美元的賞金。

ChainCatcher 消息，路透社 10 月 23 日報導，支持開源語言 PHP 的非營利組織 PHP 基金會執行董事 Elizabeth Barron 週五透過電子郵件接受採訪時表示：基金會資金嚴重不足。她說，近期事件表明企業和政府高度依賴 PHP，鑑於這種依賴，PHP 的資金明顯不足。Barron 稱，基金會目前僅有 1 名全職員工，即她本人，另有 14 名以兼職為主的承包人員，資金來自捐贈和撥款。與人工智慧相關的編碼增加，使基金會工作量大約翻倍。PHP 項目收到的代碼變更提案幾乎是一年前的兩倍，但貢獻者數量並未翻倍。她表示，審查代碼貢獻和漏洞報告需要大量人工投入與經驗。路透社稱，本週發現 PHP 的兩個嚴重漏洞，引發全球網站緊急修補，顯示這門約三十年的開源語言對互聯網至關重要。文中稱，PHP 可能支撐全球最多約 70% 的網站，目前未見這些漏洞在披露前被利用的證據。報導由記者 Toby Sterling 發自阿姆斯特丹。

ChainCatcher 消息，美國證券交易委員會（SEC）公布 2027 財年檢查重點，將繼續對超過 3.4 萬家註冊機構開展風險導向型檢查，重點覆蓋投資顧問、基金、經紀商、清算機構及其他市場參與者。SEC 表示，2027 財年將重點關注投資顧問受託責任和利益衝突、零售投資者保護、私募基金與私人信貸、經紀商反洗錢及交易監督、運營韌性與網絡安全等領域。新興技術和市場基礎設施也被列為重點。其中，SEC 將關注包括"超級智能"在內的先進技術對市場運行、合規、欺詐防範和投資者保護的影響，同時評估國債清算改革、代幣化及相關市場結構變化帶來的風險。