标签: 安全
全部带「安全」标签的文章。
Fable 5.2 写代码拿了 49.1%，Anthropic 却亲手按住了它写 GPU 内核的本事
Anthropic 11 月 9 日发布 Fable 5.2 和 Mythos 5.2，两个名字背后是同一个模型。Fable 5.2 写代码拿了 49.1%、价格降了两成，但它里面的分类器会拦下高危网络安全请求和多数研究生物学请求，交给旧模型回答；训练里，Anthropic 还把加速器内核优化和语言模型架构压到了 Opus 5.5 大致相当的水平。为了防滥用而设的回退，恰好把请求交给更容易被注入攻破的旧模型：Fable 5.2 自己回答被攻破的概率是 2.05%，换成 Opus 4.8 回答就到了 5.17%。
你装技能之前真读过它的指令文件吗？31,132 个技能里 26.1% 带着漏洞
一项 2025 年 12 月的大规模研究用研究框架 SkillScan 扫了两个技能市场清洗后的 31,132 个技能：26.1% 至少命中一种问题模式，5.2% 含高等级模式。但 5.2% 是按模式预先定级的代理指标，不是逐个判定恶意——风险最高的 87 个里人工复查只有 23 个有明确恶意迹象。作者自己的把关顺序是先读指令文件、再逐个看脚本、最后用 NVIDIA 的 SkillSpector 扫一遍，文中按它的计分代码讲清了分数是怎么算的。
你的手机真的隐私安全么？一通公安电话让他卸掉 Telegram
一位开发者顺着朋友接到的一通公安电话，查到手机里出厂预装的联通 DM 组件 SystemHelper：它把过去 24 小时用过哪些应用、每个应用用了多久、分应用的流量和每小时的定位点，拼成一份带着 IMEI 和 ICCID 的档案，发往中国联通的服务器。VPN 能挡住什么、挡不住什么，这份档案拼起来能看出什么，你自己怎么查、查到之后怎么处理。
蠕虫用三个开发者的账号推了恶意代码，git 日志却说那就是他们本人
一个叫 PolinRider 的蠕虫在一个团队的仓库里待了 28 天，用 3 个开发者自己的账号强推了 10 个仓库的 139 个分支，每一笔伪造提交都原样留着作者的名字、提交信息和日期。它怎么藏在配置文件行尾的几百个空格后面，怎么从以太坊和 BNB 智能链的交易记录里读命令服务器的地址，怎么骑着 npm 和 CI 构建走，还有第一天就能拦住它的三项检查和那些无聊的防范。
1,122 份 Claude Code 配置文件里，存着 1,379 个真的密码
Apiiro 在 GitHub 上按文件名搜 .claude/settings.local.json，搜出 104,185 份，其中 1,122 份存着 1,379 个真的密码，全是明文——因为点下「以后别问了」，批准过的整句命令会被存进项目文件，命令里带了密码就一起存了。保护为什么只停在你自己的电脑上，密钥扫描为什么漏掉写在命令里的密码，还有清理的正确顺序：先换密码，再清历史。
没设密码的 Alpine 账号，输 300 个字的密码就能登进去
Alpine 上密码栏位里只有一个星号的账号，本来输什么密码都进不去。musl 在 2012 年的两个决定，撞上 OpenSSH 2016 年借盐值的修法，让 257 到 1,024 个字的任意密码都能登进星号账号。这篇把三件事怎么撞在一起讲清，哪些机器最危险、哪些不受影响，以及为什么查这个洞要看包版本，而不是看 ssh -V 显示的版本号。
