金品智渊

1.8K posts

金品智渊 banner
金品智渊

金品智渊

@jpzy696

🌟 知识分享者 | 价值传播者 🌟 📚 热衷于分享最新的科技资讯 💡 致力于传播有价值的内容 🌍 一起探索世界的无限可能-这里可能有你不容错过的资源:https://t.co/PhGZYQO8dn

Japan Katılım Ocak 2022
488 Takip Edilen118 Takipçiler
金品智渊
金品智渊@jpzy696·
飞牛专属原生小龙虾上线! 不用抢Mac mini啦? 系统 更新到 v1.1.26
金品智渊 tweet media金品智渊 tweet media
中文
0
0
0
60
金品智渊
金品智渊@jpzy696·
1/2、🚨 安全预警:Apifox 桌面端遭供应链投毒 攻击者篡改其 CDN 事件统计脚本,注入恶意代码,窃取 SSH 密钥、Git 凭证、Shell 历史等敏感信息,并可植入后门、横向攻击。 ⚠️ 3月4日起活跃,Windows/macOS/Linux 均受影响。多名用户本地已发现恶意域名通信痕迹。 ✅ 最新版本已修复,建议立即更新
金品智渊 tweet media
中文
1
0
0
585
陈成
陈成@chenchengpro·
今天发生了一件让所有 AI 开发者后背发凉的事。 litellm,那个统一调用各家大模型 API 的 Python 库,GitHub 4 万星,月下载 9500 万次——被投毒了。 一行 pip install,你的 SSH 密钥、AWS/GCP/Azure 凭证、K8s Secrets、数据库密码、加密货币钱包、所有 .env 里的 API Key,全部被 AES-256 加密打包,POST 到攻击者的仿冒域名 models.litellm.cloud。如果检测到 K8s 环境,还会在每个节点部署特权 Pod 横向扩散。 最恐怖的是触发方式。攻击者在包里塞了一个 34KB 的 litellm_init.pth 文件。Python 的 .pth 是路径配置文件,由 site 模块在解释器启动时自动处理——如果某行以 import 开头,直接执行。攻击者利用这个机制写了一行: import os, subprocess, sys; subprocess.Popen([sys.executable, "-c", "import base64; exec(base64.b64decode('...'))"], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL) 不需要你 import litellm,不需要你调用任何函数。你跑 pip、跑 python -c、IDE 启动语言服务器,甚至 pytest 跑测试——只要 Python 解释器启动,恶意代码就执行。装上就中招,完全静默。 载荷是三层 base64 嵌套:第一层 .pth 启动子进程;第二层是编排器,内嵌攻击者的 4096 位 RSA 公钥;第三层是凭证收割器,系统性搜刮 /home、/opt、/srv、/var/www、/app、/data、/tmp 下所有敏感文件。收集完毕后用 openssl 生成随机 32 字节 AES 会话密钥加密数据,再用 RSA-OAEP 加密会话密钥,打包为 tpcp.tar.gz 外传。 收割器之外还有持久化后门:在 ~/.config/sysmon/sysmon.py 注册为 systemd 用户服务,每 50 分钟轮询 checkmarx.zone 获取新指令,下载到 /tmp/pglog 执行。启动有 5 分钟延迟来躲避沙箱分析。即使你卸载了 litellm,后门仍然存活。 而且 pip install --require-hashes 也拦不住——恶意文件正常列入 wheel 的 RECORD,哈希完全匹配,因为包本身就是用被盗的合法 PyPI 令牌发布的。 你可能从没手动装过 litellm,但 DSPy、MLflow、Open Interpreter 等 2000 多个包都把它当依赖。Mandiant 确认已有 1000+ SaaS 环境感染,预计扩展到 10,000。 而这次攻击差点完美得逞——唯一的破绽是攻击者自己代码有 bug。.pth 通过 subprocess.Popen 启动子进程,子进程初始化时 site 模块又扫描到同一个 .pth,再次触发,指数级递归形成 fork bomb,撑爆了一个 Cursor 用户的内存才被发现。Karpathy 说:如果攻击者代码写得再好一点,这件事可能几周都不会被发现。 更荒诞的是攻击链的起点:安全扫描工具 Trivy 在 3/19 先被攻陷,攻击组织 TeamPCP 用它窃取了 litellm 的 PyPI 发布令牌,3/24 直接往 PyPI 推送带毒版本。用来保护你的工具,变成了攻击你的入口。社区在 GitHub 提 issue 报告后,攻击者 102 秒内用 73 个被盗账号发了 88 条垃圾评论淹没讨论,然后用被盗的维护者账号关闭了 issue。 自查脚本(覆盖版本检查、.pth 搜索、后门检测、可疑连接、K8s 扫描): gist.github.com/sorrycc/30a765… 安全版本:litellm==1.82.6。装了 1.82.7 或 1.82.8 的,假设所有凭证已泄露,立即轮换。
陈成 tweet media
中文
40
179
872
167K
金品智渊
金品智渊@jpzy696·
Claude Code 推出自动模式: AI 自主决策权限,内置安全审查 可通过命令行执行 `claude --enable-auto-mode` 启用,Desktop 与 VS Code 可在设置中开启。 官方提示,该模式虽比 `--dangerously-skip-permissions` 参数更安全,但并非零风险, 建议在隔离环境使用,且可能轻微增加 Token 消耗与延迟。
金品智渊 tweet media
中文
0
0
0
87
金品智渊
金品智渊@jpzy696·
不要总想着一个版本能养老😁(💢`Д´) DarkSword 这套针对 iPhone 的利用工具已在 GitHub 泄露,旧版 iOS 设备可被恶意网站利用。材料显示,受影响版本包括 iOS 18.7.3 及更早版本,以及 iOS 15.8.7、16.7.15。 这是强制必须更新啊Σ(¯□¯||)
金品智渊 tweet media
中文
0
0
0
105
金品智渊
金品智渊@jpzy696·
阿里发布玄铁C950 支持千亿参数大模型💪
金品智渊 tweet media
中文
0
0
0
51
歸藏(guizang.ai)
OpenClaw 昨天憋了一周的更新发布了,主要是插件系统的重构。 现在的更新项如下: 1. 现在支持在 ClawHub 里面安装插件。 2. 同时兼容 Codex、Claude 和 Cursor 的插件系统。
歸藏(guizang.ai) tweet media
OpenClaw🦞@openclaw

OpenClaw 2026.3.22 🦞 🏪 ClawHub plugin marketplace 🤖 MiniMax M2.7, GPT-5.4-mini/nano + per-agent reasoning 💬 /btw side questions 🏖️ OpenShell + SSH sandboxes 🌐 Exa, Tavily, Firecrawl search This release is so big it needs its own table of contents. github.com/openclaw/openc…

中文
12
4
46
50K
Hanna Hajishirzi
Hanna Hajishirzi@HannaHajishirzi·
Life update here: Last week marked the end of my time at Ai2. Proud to have built releases like Olmo, Tülu, FlexOlmo, DRTulu, OLMoTrace, OlmoE, and datasets including Dolma and Dolci—and of how strongly we pushed for open models and open science. Our artifacts reached 33M+ downloads, including ~4M for Olmo 3. I believe Olmo has empowered researchers to push the boundaries of AI I’ll always be cheering on Ai2 and will continue to strongly support open-source, open-science AI. I’m deeply grateful for this chapter and excited for what comes next.
Hanna Hajishirzi tweet media
English
39
25
540
52.6K
金品智渊
金品智渊@jpzy696·
DeepSeek-V4 下月发布?
金品智渊 tweet media
中文
0
0
0
645
luolei
luolei@luoleiorg·
今晚第一次抖音,小红书,哔哩哔哩,YouTube 四平台同时直播,中途就抖音因为“违规漏出某些工具”被封禁10分钟,其他都挺顺利的。解决掉了内网 NDI 走网关,OBS 多虚拟摄像头复用两个画面的问题。剩下没有解决的问题:目前使用各平台自己直播软件推流,吃饱了我 5070 显卡的编码。还得优化下推流策略。🤣
luolei tweet media
中文
12
1
31
13.9K