Wintoys 开发者 @Bogdan_X 在 Reddit 爆料：“我发现了一场大规模的恶意软件攻击行动，攻击者冒充超过 70 款热门 Windows 软件，建立了假冒官网诱导用户下载，最终向用户传播恶意软件。” 他最初发现，有人注册了与 Wintoys 相关的冒牌域名，并使用自己的应用名称和旧版

GPT-6攻击HuggingFace始末 OpenAI 的 GPT-5.6 Sol 与被外界称为 GPT-6 的未发布模型，在关闭网络安全护栏后参加 ExploitGym 测试，为偷答案越狱并攻击 HuggingFace。本文梳理一万七千多条攻击痕迹、RCE 入侵过程，以及 HuggingFace 为何无法使用商业模型取证、最终转向本地 GLM 5.2 自救；并深入讨论 AI...

「GPT-6」为了考试作弊，黑进了别人的服务器#欢迎关注爱范儿官方微信公众号：爱范儿（微信号：ifanr），更多精彩内容第一时间为您奉上。

#安全资讯 在漏洞公布数小时后，黑客就利用 AI 成功发掘 WordPress 高危安全漏洞并发起攻击，部分网站可能会被黑客添加管理员账号或在服务器上部署恶意文件。AI 也在加快漏洞利用速度，尽管安全研究员尚未公布 wp2shell 漏洞细节，但黑客通过对比新旧版本源代码很快就找到漏洞利用方法。查看全文：https://ourl.co/114000

#安全资讯 Cloudflare 已紧急部署云端 WAF 规则拦截针对 WordPress 高危远程代码执行漏洞和 SQL 注入漏洞的攻击。相关规则完全免费提供，使用 Cloudflare Free 的网站将自动启用这些规则，使用 Pro 或企业版的用户请转到后台检查规则是否启用 (可能需要管理员批准后才能启用)。查看全文：https://ourl.co/113968

本文探讨了自主谈判代理中的行为隐私泄露问题，提出了一种自适应随机谈判策略，确保差分隐私和高谈判效用。通过对3000次双边谈判的评估，该机制将对手推断准确率降低了43-50%，同时保持90%以上的成功率，证明了在不显著损失性能的情况下可以实现强隐私保障。

美国AI公司指责中国公司进行“蒸馏攻击”，声称其技术被盗用。网友指出美国公司也使用类似技术，质疑其指控的合理性。这场争论反映了商业竞争的本质，因中国模型成本低、性能优，威胁到美国公司的市场地位。

Anthropic指控阿里巴巴通过2.5万个假账号进行“模型蒸馏攻击”，在六周内发起2880万次交互，窃取其Claude模型能力。这一事件引发了关于AI技术、知识产权和大国竞争的讨论。尽管Anthropic控诉阿里，但其自身也曾因使用盗版数据训练模型而面临法律问题，显示出行业内的双标现象。美国政府介入后，Anthropic的模型被禁，反映出技术与政治的复杂关系。

密码管理工具LastPass披露数据泄露事件，攻击者通过入侵合作伙伴Klue获取授权令牌，访问了LastPass客户管理系统，窃取了部分客户资料，包括姓名、邮箱和电话等。LastPass确认未泄露密码库和主密码等敏感数据。事件发生后，Klue已撤销所有OAuth令牌并关闭相关服务。

尽管WinRAR漏洞已修复近一年，俄罗斯攻击者仍在利用该漏洞攻击乌克兰机构。他们通过邮件发送RAR压缩包，利用路径遍历漏洞将恶意文件写入系统。报告指出，补丁安装率低是问题根源，建议机构使用第三方工具检查旧版本WinRAR，并监控异常活动。

本周，攻击者控制了Arch用户软件仓库（AUR）中的400多个软件包，植入凭证窃取程序。该恶意程序窃取开发者信息，并在获取root权限后加载eBPF rootkit以隐藏自身。用户需检查6月11日后安装的软件包，若发现可疑，需更换所有凭证并排查持久化机制。此次攻击显示AUR对软件包历史记录的过度依赖。

2026年6月9日，OpenSSL披露了多个关键漏洞，可能导致远程代码执行和数据泄露。主要漏洞CVE-2026-45447源于PKCS7_verify函数，影响多个OpenSSL版本。建议用户及时升级到修复版本，以防止潜在攻击。

FFmpeg中发现21个0-day漏洞，包括严重的远程代码执行漏洞。安全公司Depthfirst通过扫描发现这些漏洞，影响多个组件。最严重的漏洞允许攻击者通过183字节的数据包进行重定向执行，影响使用FFmpeg的系统。管理员应立即应用补丁并审核相关流处理。

微软Teams的跨租户协作功能存在安全隐患，攻击者可伪装成IT人员发送紧急消息，诱导员工使用“快速协助”工具，导致恶意软件传播和数据泄露。AI语音合成技术增加了攻击的欺骗性，员工难以识别。为防范此类攻击，建议审核Teams访问权限、限制快速协助和WinRM访问，并加强员工培训和模拟演练。

Anthropic公司警告称，攻击其代码库可能影响超过1亿人。为此，他们扩展了“Project Glasswing”计划，新增约150个合作伙伴，包括亚马逊和苹果，旨在提升全球软件安全。该项目已发现数千个高危安全漏洞，Anthropic强调需确保AI模型的安全使用，以防止网络风险。

红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户，通过NPM发布恶意软件包。这些软件包利用迷你沙虫变种，窃取开发环境中的敏感凭证，影响多个企业级开发者。

思科研究发现，企业在评估AI模型时使用的安全基准存在问题。多轮对话攻击的成功率显著高于单轮对话，且单轮表现无法有效预测多轮韧性。不同模型在多轮攻击下的表现差异明显，某些模型在配置变化下的安全性变化未被现有基准捕捉。思科建议AI提供商应披露部署设置对安全性的影响。