axios

ChainCatcher 消息，OpenAI 發文表示，近期在一次行業範圍安全事件中，發現其使用的第三方開發庫 Axios 存在潛在安全問題。經排查，未發現用戶數據被訪問、系統遭入侵或軟體被篡改的證據。出於謹慎考量，OpenAI 已啟動安全加固措施，重點加強 macOS 應用的認證機制，以防範惡意方偽造官方應用進行分發。OpenAI 同時提醒所有 macOS 用戶儘快更新至最新版本應用，通過應用內更新或官方渠道下載，以降低潛在風險。

ChainCatcher 消息，攻擊者竊取了 JavaScript 最流行 HTTP 客戶端庫 Axios 首席維護者的 npm 存取令牌，並利用該令牌發布了兩個包含跨平台遠端存取木馬（RAT）的惡意版本（axios@1.14.1 和 axios@0.3.4），目標覆蓋 macOS、Windows 及 Linux 系統。惡意包在 npm 註冊表上存活約 3 小時後被移除。據安全公司 Wiz 數據，Axios 每週下載量超 1 億次，存在於約 80% 的雲和程式碼環境中。安全公司 Huntress 在惡意包上線 89 秒後即檢測到首批感染，並在暴露窗口期內確認至少 135 個系統遭到入侵。值得注意的是，Axios 專案此前已部署了 OIDC 可信發布機制和 SLSA 溯源證明等現代安全措施，但攻擊者完全繞過了這些防線。調查發現，專案在配置 OIDC 的同時仍保留了傳統長期有效的 NPM_TOKEN，而 npm 在兩者共存時預設優先使用傳統令牌，使得攻擊者無需突破 OIDC 即可完成發布。

ChainCatcher 消息，慢霧創始人余弦發布安全提醒稱：我們基本確定，如果用戶的 OpenClaw 為最新版本 3.28，有可能會引入帶毒的 axios，請注意排查。此外相關 Skills 也可能依賴 axios 導致間接被投毒。由於 axios 使用實在廣泛，有條件可進行全盤排查。

ChainCatcher 消息，据市場消息，Socket 偵測到 npm 核心包 axios 的 1.14.1 版本遭遇活躍的供應鏈攻擊。攻擊者通過注入一個惡意依賴包，向 axios 植入惡意代碼。建議使用 axios 的開發者立即固定版本，並審查項目鎖定文件。

ChainCatcher 消息，据 AXIOS 報導，美國總統特朗普週一將簽署行政令。

ChainCatcher 消息，据 Axios 報導，美國參議員伊麗莎白·沃倫（Elizabeth Warren）致信特朗普政府的加密與人工智慧事務主管大衛·薩克斯（David Sacks），要求其公開潛在利益衝突的信息，並披露政策制定過程的透明度。沃倫質疑，隨著政府深度支持區塊鏈行業，政策制定者可能從中獲利。她特別指出，薩克斯曾是 Craft Ventures 的合夥人，該公司投資了 Bitwise，而 Bitwise 10 指數基金的前五大資產（BTC、ETH、SOL、XRP、ADA）正是特朗普政府計劃納入戰略儲備的資產。特朗普宣布戰略比特幣儲備後，市場短暫上漲 3000 億美元，隨後因政府不額外購入資產的聲明大跌。沃倫要求薩克斯公開其財務報告，證明其已退出相關投資，並披露政策制定者是否在公告前有相關交易。

ChainCatcher 消息，据 AXIOS 報導，美國白宮呼籲社會對人工智慧政策提供意見。

ChainCatcher 消息，据 AXIOS 報導，特朗普正在考慮任命一位人工智慧部長，以協調聯邦政策和政府對新興技術的使用。

Chain Carcher 消息，据 Axios 報導，FTX 已與總部位於美國的加密貨幣交易所 Kraken 就潛在的救援交易進行了接洽。Axios 表示，談判的細節尚不清楚，可能會繼續，也可能會破裂，並補充說 FTX 和 Kraken 均拒絕置評。（來源鏈接）

ChainCatcher 消息，据 Axios 援引消息人士報導，馬斯克已指示 Twitter 工程師進行 Vine 重啟，可能在年底前準備就緒。据悉，Twitter 于 2016 年關閉了這款循環視頻應用。昨日，馬斯克發起"將 Vine 帶回來？"的用戶投票，截至發文時贊成反對之比約為 7:3。（Axios）