使用者讓 AI 程式設計助手寫個貪吃蛇小遊戲，智能體照辦了，但同時多跑了一條 curl | bash 命令，把攻擊者的指令碼下載到本地並執行。 香港科技大學佘東冬團隊的謝禹翀與復旦大學內生安全實驗室的駱明宇等研究者在一篇已被 ISSTA 2026（CCF-A 類會議）接收的論文中，復現了這個攻擊場景。 研究者對 Cursor、Claude Code、Copilot、Windsurf、Cline、Trae 六款主流 AI 程式設計工具進行了首次系統性紅隊測試，發現了一條完整的攻擊鏈：先偷走工具的內部指令（系統提示詞），再利用洩露的資訊定製惡意負載，最終劫持工具呼叫實現遠端程式碼執行（RCE）。 六款工具在舊版本上全部中招。

近日，Anthropic 發佈了一份長達 186 頁的最新《風險報告》。 在這份報告中，它沒有只評估某個 Claude 模型，而是把視角擴展到整個公司：模型在做什麼、員工怎樣使用它們、安全系統有沒有漏洞、AI 是否正在加速下一代 AI 的研發，以及將這些因素加在一起，究竟意味著怎樣的災難性風險。 總體來看，當下 Anthropic 依然認為風險“較低”。報告指出，Claude Mythos 5 和內部 Model 2 已經被廣泛用於研究和工程，包括互動式使用和持續運行的智能體部署。目前合入公司生產程式碼庫的程式碼中，絕大多數已經由 Claude 編寫。 從中可看出的是，AI 安全正在從一個關於“模型會不會回答危險問題”，逐漸變成另一個問題：當模型開始參與製造下一代模型時，一家公司究竟能不能控制住它？

如果你是 iCloud+ 的訂閱使用者，在 iCloud 設定頁面裡應該見過一個叫「隱藏郵件地址」的功能。 這個功能可能很多人開通了 iCloud+ 之後都沒怎麼用過，但它確實是蘋果在隱私保護方面做得比較實用的一項能力。 簡單來說，「隱藏郵件地址」可以為你生成一個隨機的隱私信箱地址，你拿它去註冊網站、接收郵件，所有發到這個地址的郵件都會自動轉發到你的真實信箱裡。 而且這個真實信箱不一定非得是 iCloud 信箱，你 Apple 帳戶繫結的任何信箱都可以。隱私信箱數量也沒有限制，想建多少建多少。

宇樹旗下多款機器人，被曝存在嚴重的無線安全漏洞！消息由IEEE Spectrum報導指出。具體情況是這樣的——多款不同型號的宇樹機器人BLE（藍牙低功耗）Wi-Fi 配置介面存在嚴重漏洞，攻擊者可借此實現最高權限控制。也就是說，駭客僅憑BLE介面就能繞過驗證，直接獲取root權限，被攻陷的機器人之間還會自動擴散感染，形成機器人殭屍網路式攻擊。IEEE Spectrum在其報導中指出：“據我們所知，這是商用人形平台首次被公開利用的重大漏洞。”消息曝光後，迅速在各大平台引發廣泛討論。一名AI創業者網友在宇樹官推下留言評論：在早期人形機器人開發階段，需要特別注意的一點就是安全性。請務必將其作為首要任務！一旦在消費者心中形成安全漏洞的印象，無論你的產品多麼優秀，都將一蹶不振。宇樹很快回覆了該網友，稱其提醒得對，且公司“已成立產品安全團隊，為客戶提供更優質、更安全的產品”。四足/雙足機型均受影響，發現者此前已與宇樹團隊多次溝通下面我們展開瞭解一下，這個漏洞為什麼會引發那麼大的關注。實際應用中，很多機器人為了方便使用者配置Wi-Fi，會在初次連接階段啟用BLE通道，允許使用者通過手機或電腦將SSID與密碼下發給裝置。但兩名研究人員——Andreas Makris和Kevin Finisterre——發現，宇樹多款機器人的BLE包雖然經過加密，但使用的是硬編碼在韌體中的金鑰。該金鑰在此前就已經被公開。在驗證邏輯上，只要攻擊者將字串 “unitree” 用該金鑰加密後傳送，就能被裝置視為合法使用者，從而繞過認證機制。此後，攻擊者可以把惡意命令偽裝成Wi-Fi SSID或密碼欄位寫入，待機器人嘗試聯網時，這些命令就會被當作shell指令在root權限下執行。攻擊者可執行的操作從重啟裝置、植入後門程序、阻斷韌體升級、資料竊取、遠端操控等不一而足。IEEE Spectrum特別指出，攻擊者甚至可植入木馬，讓機器人在啟動時就運行惡意模組，從而持續控制。更危險的是，這個漏洞是一個具備“wormable”特性的蠕蟲式漏洞。換句話說，只要有一台宇樹機器人被攻破，它可以自動掃描藍牙範圍內附近其他宇樹裝置的BLE訊號，繼續傳播感染，形成連鎖攻擊。這些宇樹機器人就會繼續相互感染、自動接管……IEEE Spectrum表示，目前受此安全漏洞影響的宇樹機器人型號包括：Go2、B2四足機器人G1、H1等人形或類人形機型發現這一漏洞的安全研究者Andreas Makris和Kevin Finisterre表示，早在今年5月剛發現這個漏洞時，他們就把這件事告訴了宇樹團隊，希望宇樹推進修復。但幾次溝通都進展甚微，到了今年7月，宇樹不再與兩位研究者溝通，也沒有及時修復漏洞。最終，就在20天前，兩位研究者將為這次宇樹機器人安全漏洞編寫並公開的漏洞利用工具鏈UniPwn放到了GitHub。項目中包含截至2025年9月20日，宇樹機器人韌體中仍然存在的多個安全漏洞。宇樹方面怎麼說？面對不斷擴散的質疑與輿論，宇樹於昨日晚間在領英和𝕏等平台相繼回應。回應中，部分重點內容摘錄如下——“我們已經瞭解到，一些使用者在使用我們的機器人產品時發現了系統安全漏洞和網路相關問題。我們立即著手解決這些問題，並且目前已經完成了大部分的修復工作。這些更新將在不久的將來陸續推送給您”“我們將繼續改進權限管理，以儘量減少任何潛在的誤解（網上有很多誇大其詞的謠言）。”“我們致力於不斷改進和完善我們的產品，為您提供更安全、更可靠的解決方案。此外，我們將採用更先進的技術解決方案，以消除漏洞和顧慮。”同時，宇樹也在回應聲明最後感謝了外界監督，並希望攜手共同推動智慧型手機器人安全領域的進步。有技術型網友在相應的推文底下留言稱，不過這幾天他一直在關注，目前（9月30日0:00左右）BLE中硬編碼的AES金鑰問題仍然存在。Alias Robotics的創始人、CSO（首席科學官）兼董事長則在宇樹於領英的回應貼中留言，表示該公司很樂意直接與宇樹合作。合作的總體目標是確保更高的透明度、更強的保護和更安全的機器人系統。此外，他稱自己將在IEEE CoRL 2025和Humanoids 2025上就這一主題展示，歡迎宇樹前來參與開放討論。 (量子位)

在加密货币的世界中，获得免费加密货币成为了很多人追逐的目标。虽然这可能看起来像一件神奇的事情，但实际上有很多不同的方法可以获得免费加密货币。下面是9种获得免费加密货币的方法： 空投 空投是一种向加密货币用户发送免费代币或加密货币的方式，以促进新项目的推广。空投通常在社交媒体、在线论坛和加密货币网站上进行，并要求用户遵循参与步骤来获得免费代币或加密货币。空投可以是一种很好的获得免费加密货币的方式，但用户需要注意风险，并要避免诈骗空投活动。 矿池奖励