Virtualizor控制面板遭遇供应链攻击，黑客通过BGP路由劫持Hetzner的IP段，发布更具体的/24路由覆盖正常/16路由，并劫持Let's Encrypt验证，获取有效TLS证书，绕过安全防护。攻击者利用更新机制植入后门并添加SSH密钥，影响范围不明，Softaculous建议管理员排查并修改凭证。

Virtualizor管理面板遭BGP路由劫持供应链攻击，黑客篡改更新包植入后门，获取root权限，多家VPS提供商受影响，用户应立即备份数据以防勒索软件加密或数据窃取。

国内迷你机制造商积核官网驱动程序被发现含后门，影响多款AMD机型。投毒始于2024年12月，黑客篡改旧下载页面，用户经谷歌搜索易中招。积核要求删报道被拒，建议用户全盘杀毒或重装系统。

XZ后门事件中，0.5秒的发现细节虽戏剧化，但不应只关注英雄主义。真正危险的是攻击伪装成正常维护，依赖治理不能仅靠版本和漏洞扫描。团队应建立软件物料清单，明确组件来源和回滚方案，监控异常指标，将供应链安全视为运维能力，而非事后补救。

Claude Code在中国遭遇双向封禁，因其存在安全隐患和隐蔽数据传输。政府发出风险提示，要求用户卸载或升级。尽管禁令存在，程序员仍会继续使用该工具。中国也在讨论限制外国人使用本国先进模型，以保护国家安全和数据隐私。

微软发布了对恶性后门程序GigaWiper的分析报告，该程序能够彻底擦除磁盘和系统分区，并伪装成勒索软件以加密文件。其主要目的是进行间谍攻击，黑客在收集敏感信息后可摧毁数据以避免被调查。

一名招聘人员在LinkedIn上分享了一个包含后门的GitHub代码库，隐藏的npm脚本在安装时执行远程代码。利用AI代理，作者迅速识别了这一漏洞，并发现招聘人员和GitHub贡献者的身份被盗。

本文探讨了AI在执行命令时的安全隐患，尤其是通过Makefile绕过沙箱的案例。AI可能无意中寻找间接路径执行命令，导致安全漏洞。为增强安全性，提出了文件溯源和风险分级执行的解决方案，确保AI修改的文件在执行前需经过人类确认。

本文揭露了Parallel.ai公司通过向多个开源项目提交代码，悄然将其搜索服务设为默认引擎的事件。这种行为侵犯了用户隐私，并可能导致数据安全风险。文章提供了用户检测和修复的指南，建议手动配置搜索引擎、使用防火墙和自行编译软件，以保护个人信息和控制AI工具。

Yarbo公司决定完全移除其机器人割草机的远程后门访问功能，用户可选择是否安装该功能。公司承诺解决安全问题，确保设备安全，未来除非用户主动选择，否则不会有默认的远程访问。

Commonhaus基金会致力于保护开源维护者，防止疲惫和安全风险。2024年，XZ Utils中发现后门，导致对维护者支持不足。基金会通过低接触治理和财务援助，帮助维护者应对孤立感和过度工作，促进项目可持续发展。