Grok Build Uploaded Entire Git Repositories to xAI Storage, Not Just Files It Read
xAI's Grok Build coding CLI was uploading entire Git repositories, full commit history and all, to a Google Cloud Storag
2026-07-15 归档
今日共收录 995 条安全情报，包含 81 个 CVE，528 篇安全通告，以及 87 篇研究论文。
← 返回归档列表Alba: The Dawn of Scalable Bridges for Blockchains.
本文提出了一种名为 Alba 的可扩展区块链桥接方案，旨在解决现有跨链桥在高吞吐量、低延迟和安全性方面的权衡问题。研究背景在于当前区块链桥多采用中继或公证人机制，受限于单链性能瓶颈，难以支持大规模资产转移。Alba 引入了一种新的架构，通过
On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance.
该论文针对自动驾驶车辆在高速度、远距离场景下LiDAR欺骗攻击的现实可行性展开研究。现有LiDAR欺骗攻击研究往往假设攻击者处于理想位置、无遮挡、目标静止等条件，忽视了真实道路环境中车辆高速行驶、距离远、多路径反射、大气衰减等物理因素对攻击
Speculation at Fault: Modeling and Testing Microarchitectural Leakage of CPU Exceptions.
该论文聚焦于CPU异常处理过程中的微架构信息泄漏问题。异常是现代处理器安全机制的关键组成部分，用于实现虚拟内存、系统调用隔离等功能，但它们的微架构实现可能被攻击者利用，通过侧信道泄漏秘密数据。作者首先对异常导致的微架构泄漏进行系统性建模，涵
Fourteen Years in the Life: A Root Server's Perspective on DNS Resolver Security.
该论文基于一台DNS根服务器14年（2007-2020年）的查询日志，对DNS解析器的安全实践进行了大规模纵向研究。研究聚焦于解析器在向权威服务器发送查询时是否遵循安全最佳实践，特别是源端口随机化和事务标识符（TXID）随机化，这些是防范D
How to Bind Anonymous Credentials to Humans.
本文提出了一种将匿名凭证绑定到人类的方法。匿名凭证允许用户在不泄露身份的情况下证明某些属性（如年龄、成员资格），但如何确保凭证确实属于一个真实的人类而非自动化程序是一个关键挑战。现有的匿名凭证系统通常依赖密钥管理，但密钥可能被共享或被盗。作
Defending Against Membership Inference Attacks on Iteratively Pruned Deep Neural Networks.
模型剪枝是深度学习中常用的压缩技术，迭代式剪枝能在保持较低效用损失的同时实现更好的压缩效果。然而，本文分析表明迭代剪枝显著增加了模型的记忆化程度，使得剪枝后的模型更容易受到成员推断攻击的威胁。现有的大多数成员推断防御方法都是针对原始未剪枝模
MicroNova: Folding-Based Arguments with Efficient (On-Chain) Verification.
MicroNova 是一种基于折叠的递归论证系统，旨在高效证明形如 y = F^(ℓ)(x) 的增量计算，其中 F 可以是使用 R1CS 约束系统编码的非确定性计算。与现有折叠论证相比，MicroNova 的关键创新在于其验证者在资源受限环
Breaching Security Keys without Root: FIDO2 Deception Attacks via Overlays exploiting Limited Display Authenticators.
本论文重新审视了FIDO2硬件安全密钥的安全性，这些密钥广泛用于双因素认证（2FA）和无密码系统中。传统观点认为只要密码或第二因素设备之一未被攻破，账户就是安全的。然而，作者挑战了这一假设，开发了一个名为FIDOLA（FIDO2 Decep
Watch Out! Simple Horizontal Class Backdoor Can Trivially Evade Defense.
本文揭示了一种新型的深度学习后门攻击——水平类后门（Horizontal Class Backdoor, HCB），与现有的垂直类后门（Vertical Class Backdoor, VCB）截然不同。在VCB攻击中，植入的后门通过特定触
SUB-PLAY: Adversarial Policies against Partially Observed Multi-Agent Reinforcement Learning Systems.
多智能体强化学习（MARL）在无人机集群控制、机器人协同操作等领域的广泛应用前景，但其部署过程中存在的安全威胁尚未得到充分研究。已有工作主要聚焦于完全可观测环境下的双人竞争场景，攻击者能够利用受害者的漏洞生成对抗策略，例如将超人类水平的围棋
Was This You? Investigating the Design Considerations for Suspicious Login Notifications.
论文针对在线平台向用户发送的可疑登录通知（suspicious login notifications）的设计问题展开研究。尽管这类通知被广泛用于检测和防范账户劫持，但用户如何与它们互动以及如何优化其设计尚未被充分探讨。作者首先收集并分析了
Poster: Unmasking Label Errors: A need for Robust Cybersecurity Benchmarks.
本文指出网络安全机器学习基准数据集中普遍存在的标签错误问题，并以威胁情报（CTI）领域为例，构建了改进版数据集 D-LADDER++（基于公开的 LADDER 数据集经人工修正标签错误后得到）。作者使用开源模型 Microsoft Phi-
Practical Key-Extraction Attacks in Leading MPC Wallets.
本文研究了领先的多方计算（MPC）钱包（包括Coinbase、Binance、Zengo、BitGo、Fireblocks等）中的实际密钥提取攻击。MPC技术目前被广泛用于保护价值数千亿美元的加密货币钱包，服务于数千家金融机构和数亿终端用户
"Employees Who Don't Accept the Time Security Takes Are Not Aware Enough": The CISO View of Human-Centred Security.
该论文从CISO（首席信息安全官）的视角出发，探讨以人为中心的安全（Human-Centred Security）实践中的核心矛盾：员工常常抱怨安全措施占用时间，而CISO则认为员工对所需安全时间的接受度不足。研究通过质性方法（如访谈）收集
CHAOS: Exploiting Station Time Synchronization in 802.11 Networks.
本文研究802.11无线网络中站节点时间同步机制的安全漏洞。作者提出一种名为CHAOS的攻击方法，利用时间同步协议（如802.11中的TSF）的缺陷，使攻击者能够操纵无线站点的时间参考，从而引发同步偏差。该攻击可能导致网络计时错误、拒绝服务
FacturaScripts: Path traversal in UploadedFile::move() via getClientOriginalName() — arbitrary file write outside MyFiles/ leading to RCE
## Summary `FacturaScripts\Core\UploadedFile::move($destiny, $destinyName)` concatenates `$destiny` and `$destinyName`
TidGi Desktop Remote Code Execution via Malicious TiddlyWiki Repository Import — Tiddler Startup Module Auto-Execution
## Description TidGi Desktop through 0.13.0 contains a critical remote code execution vulnerability exploitable via a s
TsDProxy: X-Forwarded-For header injection allows IP spoofing in proxied requests to backend services
## Description The HTTP reverse proxy handler in tsdproxy does not strip the X-Forwarded-For (or X-Real-IP) header from
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150
CVE-2025-15150
无人机开源飞控 PX4-Autopilot堆栈溢出漏洞 CVE-2025-15150