github

ChainCatcher 消息，据動察 Beating 報導，GitHub 在 Universe 2026 大會上正式推出多模型調度系統 Copilot Fusion。簡單任務會交給合適的模型處理；複雜任務可先由成本較低的模型嘗試，效果不足時再切換至更強模型，或讓不同模型互相檢查。獨立評測機構 Artificial Analysis 的測試顯示，Fusion Max 程式綜合得分為 60，接近 Claude Code 搭配 Opus 5.5 Max 的 62 分。Fusion Max 平均每題 API 成本為 5.59 美元，耗時約 36 分鐘；Claude Code 搭配 Opus 5.5 Max 為 11.42 美元、約 60 分鐘，成本降低約 51%，耗時縮短約 40%。評測中 Fusion 快取命中率為 97%，Claude Code 為 95%。原文同時註明，頻繁切換模型可能造成快取損失，上述結果只代表特定基準測試，不意味著實際使用時所有任務都能節省一半成本。

ChainCatcher 消息，慢霧發布威脅情報稱，近期收到用戶反饋，一個名為 sol-live 的 GitHub 倉庫偽裝成 Solidity 面試練習項目，但其 .vscode/settings.json 中隱藏了下載並執行遠程腳本的命令，用戶啟動項目自定義終端配置後可能觸發惡意載荷。慢霧分析顯示，相關惡意載荷可收集瀏覽器登錄數據庫、錢包擴展存儲及 macOS Keychain 文件，還具備掃描並上傳本地文件、執行遠程命令、提供互動式 Shell 訪問及監控剪貼板等能力。macOS 和 Linux 環境下，需要用戶主動啟動惡意終端配置才會執行；Windows 端攻擊鏈因引號處理問題尚未確認。

ChainCatcher 消息，網易 UU 遠程在 GitHub 公開第三方 App 接入協議，開發者可在自己的 iOS、Android 應用中添加電腦遠控入口。以給 AI 編程助手增加「連接工作電腦」按鈕為例，用戶首次點擊會跳轉至 UU 遠程，選擇並綁定自己的 Windows 或 Mac，之後再次點擊即可直接發起遠控，不必反覆查找設備。遠控支持全屏和畫中畫，用戶可一邊使用手機上的其他 App，一邊通過 UU 遠程懸浮小窗操作電腦。出門後檢查家裡 Mac 上的 Claude Code 或 Codex 是否完成任務，可從第三方應用直接喚起遠控。開發者可獲取小窗模式的連接結果，判斷設備是否離線、連接是否失敗。此次開放的是跨 App 調用協議，不是遠控引擎源碼，也不是 AI 自動操作電腦的接口。第三方應用仍需調用已安裝的 UU 遠程客戶端，實際遠控由網易完成。目前被控設備僅支持 Windows 和 macOS，手機端需使用 UU 遠程 4.42.0 或更新版本。

ChainCatcher 消息，免費開源工具 REA（Reverse Engineer Anything）在 GitHub 上的星標數從 10 月 6 日的不足 1 萬，一週內躍升至 10 月 12 日的逾 10 萬，僅 10 月 11 日單日就新增超過 3 萬。該工具將 Claude Code、OpenAI Codex 等 AI 編程助手接入 Ghidra 等專業逆向工程套件，橋接依托 Anthropic 推出的模型上下文協議 MCP。REA 自今年 4 月創建後長期無人問津，其 readme 文件聲明，該工具並不聲稱能還原原始源代碼或自動克隆應用，也不自帶反編譯器。REA 被用於各類軟體與遊戲的逆向嘗試：有玩家讓蜘蛛俠在《蝙蝠俠：阿卡姆之城》的哥譚市中擺蕩，有人把約 1600 個《我的世界》物品塞進《艾爾登法環》與 Boss 瑪蓮妮亞對戰，還有模組作者把《逃離塔科夫》的槍械與菜單搬進《上古卷軸 5：天際》。舊主機獨佔作品也在脫離主機，9 月有愛好者借助開源 AI 模型與重編譯工具，把從未登陸 PC 的《神鬼寓言 2》帶到 Windows，AI 約一小時完成啟動，隨後是漫長的手動修復；另有開發者讓《GTA 5》在 iOS 上原生流暢運行。

ChainCatcher 消息，市場消息顯示，OpenAI 和 GitHub 在 AI 程式設計工具的版權訴訟中取得勝利。

ChainCatcher 消息，慢霧安全團隊近日披露，發現一個冒充 "Qwen 3.8 27B 本地量化模型" 的惡意 GitHub 倉庫。該倉庫標稱模型文件應超過 16GB，而實際下載內容僅約 487KB，內含偽裝文件、LuaJIT 解釋器及經過混淆的 Lua 腳本。慢霧強調，Qwen 官方項目未被入侵。慢霧分析指出，該惡意程序運行後會收集主機信息、截取螢幕並發送至攻擊者的 C2 伺服器；當硬編碼伺服器失效時，還會從 Polygon 鏈上合約讀取備用 C2 地址，攻擊者可通過鏈上交易輪換基礎設施。後續載荷可竊取瀏覽器登錄信息、Cookie、歷史記錄、郵箱、WinSCP、Steam 憑證，以及加密錢包相關文件和擴展數據。慢霧還發現，至少 23 個 GitHub 倉庫和 29 個類似壓縮包使用了相同的 Lua 投遞鏈。

ChainCatcher 消息，GitHub 官方狀態頁面顯示，目前其平台正在經歷服務異常，多個核心功能出現可用性下降。根據最新公告，GitHub 網頁端和 API 請求錯誤率一度達到約 20%，倉庫歸檔下載以及原始倉庫內容（raw repository content）下載錯誤率約為 50%。此外，SAML 和 OIDC 身份認證、SCIM 以及 Team Sync 功能也受到影響。目前受影響的服務包括：Pull Requests（拉取請求）性能下降；Issues（問題追蹤）性能下降；Actions（自動化工作流）性能下降；Webhooks（網絡鉤子）性能下降；API Requests 出現異常；GitHub Copilot 出現可用性下降。GitHub 表示，團隊正在持續調查此次事件的根本原因，並將在獲得更多資訊後進一步更新狀態。截至目前，GitHub 尚未公布此次故障的具體原因，也未說明是否涉及安全事件。此次服務異常可能影響依賴 GitHub 進行代碼托管、持續集成部署以及 AI 輔助開發的開發者和企業用戶。

ChainCatcher 消息，据 Qubic 官方 X 账号 (@Qubic) 發佈公告，Qubic GitHub 組織於 7 月 13 日發生安全事件，一個被入侵的帳號訪問了代碼庫並提取了敏感資訊，官方已介入處置。官方建議以下用戶立即採取行動：網路守護者（Network Guardian）應立即輪換種子（seed）；Web 錢包用戶若曾在當日 03:00--10:00 UTC 期間解鎖錢包，請遷移至新身份；若不確定上次解鎖時間，同樣建議遷移；開發者在官方確認審計完成前，應暫停從 Qubic 代碼庫拉取或部署代碼。官方表示，完整細節及後續更新將在官方 Discord 頻道發佈，提醒用戶切勿輕信非官方渠道資訊，並警告任何人不得以任何理由索取用戶種子。事件善後報告將於處置完成後發佈。

ChainCatcher 消息，慢霧 SlowMist 發布安全警報，檢測到一起活躍的 npm 供應鏈攻擊，目標是 @redhat-cloud-services 相關軟體包。目前已確認 31+ 個包受影響，週下載量約 11.6 萬次，超過 300 個 GitHub 倉庫中存在被盜憑證。該攻擊手法與此前 "Shai-Hulud" npm 攻擊高度相似，包括憑證竊取、創建惡意倉庫及自動化秘密外洩。目前仍有新的可疑倉庫持續出現，表明攻擊仍在進行中，開發者仍在被持續感染。潛在危害包括：GitHub/npm token 被盜、AWS/GCP/Azure 雲憑證洩露、SSH 密鑰和 Kubernetes 秘密收集、本地環境及錢包數據外洩、惡意倉庫創建及持久化操作，甚至在 token 被吊銷後可能引發破壞性行為。建議立即移除或降級受影響的 @redhat-cloud-services 包版本，全面審計 CI/CD 工作流和依賴安裝，輪換所有 GitHub、npm、雲服務、SSH 及錢包相關密鑰，保留日誌，並從乾淨鏡像重建已暴露的開發者機器或 Runner，同時保持高度警惕。

ChainCatcher 消息，据 GoPlus 監測，黑客組織 TeamPCP 聲稱已拿到 GitHub 內部約 4000 個私有倉庫中的源代碼，並在地下論壇上標價 5 萬美元進行出售，並支持樣本驗證。如果沒人買，後續可能會免費公開這批數據。此前消息，GitHub 官方確認正在調查此次的「內部倉庫的未經授權訪問」問題，疑似 GitHub 員工設備上安裝了惡意 VS Code/AI Coding 插件。

ChainCatcher 消息，据慢霧發布的威脅情報，近期多個高頻 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud "迷你沙蟲"供應鏈攻擊。npm 帳號 atool 被入侵，攻擊者在 22 分鐘內自動發布了 637 個惡意版本，涉及 317 個包。攻擊者在 35 分鐘內連續上傳 durabletask 1.4.1、1.4.2 和 1.4.3 版本，繞過正常發布控制並冒充微軟官方發布。GitHub token 大規模洩露事件和 Grafana Labs 遭勒索攻擊很可能與此供應鏈攻擊相關。受影響組件包括 npm 生態系統中的 AntV、Echarts-for-react 等高頻組件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻擊者可竊取雲和本地憑證、未經授權訪問內部倉庫和敏感雲基礎設施、橫向移動至開發者機器和 CI/CD 管道、銷售和利用洩露的 GitHub token、實施勒索和數據洩露威脅。慢霧建議立即輪換所有暴露的憑證，替換受影響的包，隔離可能受感染的系統，並實施嚴格依賴審查政策。此前消息，"迷你沙蟲"蠕蟲近期在開源代碼庫裡完成大面積感染，開發者需注意排查。

ChainCatcher 消息，GitHub 發文更新了關於內部倉庫未授權訪問事件的調查細節：GitHub 昨日檢測並控制了一起員工設備遭入侵的事件，該事件涉及一個被植入惡意程序的 VS Code 擴展。GitHub 移除了惡意擴展程序，隔離了受影響的終端，並立即啟動了事件響應。目前評估顯示，僅 GitHub 內部倉庫存在數據外傳，攻擊者聲稱的約 3800 個倉庫數量與調查結果大致一致。GitHub 已優先輪換關鍵憑證，正在分析日誌、驗證憑證輪換並監控後續活動，調查完成後將發布完整報告。此外，慢霧首席信息安全官 23pds 對此事件發文稱："通過分析網絡犯罪論壇的爆料，黑客可能用 Anthropic 的 Mythos 安全 AI，用它精準突破 GitHub 的防線，偷走約 4000 個核心內部倉庫：裡面有 Copilot 的源碼、CodeQL 的算法、Actions 運行時和整個計費系統等信息。後續分析這些代碼，可能會再次攻擊，對整合開源社區產生深遠安全影響。"

ChainCatcher 消息，針對 GitHub 披露的內部代碼庫未授權訪問事件，趙長鵬發文提醒稱："如果代碼中包含 API Key，即使位於私有倉庫，也應立即復查並更換。"

ChainCatcher 消息，GitHub 官方表示，正在調查一起針對其內部代碼庫的未授權訪問事件。GitHub 稱，目前尚無證據表明客戶儲存在 GitHub 平台外部的企業、組織或代碼倉庫數據受到影響，但公司正在持續監控基礎設施，以防出現進一步異常活動。GitHub 表示，若後續確認存在用戶數據或服務受影響情況，將通過既有事件響應與通知渠道向客戶進行通報。

ChainCatcher 消息，開源數據可視化工具 Grafana 在 X 平台發文表示，近期發現一名未經授權的攻擊者獲取了可訪問 Grafana Labs GitHub 環境的 Token，並藉此下載代碼庫。經調查確認，此次事件未涉及客戶數據或個人信息洩露，也沒有發現客戶系統或業務運營受到影響，事件發生後已立即啟動取證分析，並認為已定位憑證洩露源頭，同時已部署額外安全措施以加強環境防護。此外，Grafana 披露攻擊者曾試圖通過勒索方式要求支付贖金以阻止代碼庫被公開，但公司最終決定拒絕支付贖金，待調查結束後將公布更多事件復盤信息。