Google警告LLMjacking：窃取API密钥致巨额账单
Google威胁情报小组警告，网络犯罪分子正通过窃取API密钥实施“LLMjacking”，劫持AI算力。攻击者利用被盗凭证运行工作负载并转售访问权，可在六分钟内累积超10万美元巨额账单，已形成专业化犯罪生态。
网络安全
漏洞、数据泄露、隐私与安全攻防
虚假银行网站用假暂停通知骗过安全扫描
KELA揭露248个假银行钓鱼域名，利用虚假暂停通知规避安全扫描。攻击者向安全工具展示删除警告，而受害者仍访问仿冒页面。该诈骗网络自5月起托管超300个域名，目前依然活跃。
OpenAI联手Cathedral系统，漏洞奖励提升至四倍
OpenAI联手Cathedral系统测试安全漏洞。关键发现奖励提升至四倍，旨在应对传统防御不足。双方汇聚研究人员优化AI基础设施，并承诺利用前沿模型加强行业协同防御能力。
NCSC警告：AI恶意软件或于2028年攻击英国关键设施
英国NCSC警告，AI恶意软件极可能于2028年攻击关键设施。开源防御工具正被滥用，归因难度加大。政府已拨款数千万英镑，启动DROMOS及“网络盾”计划以强化防御。
Google捣毁130万台安卓设备恶意代理网络
Google捣毁130万台安卓设备恶意代理网络。涉事厂商Videostrong故意预装后门，将用户设备变为僵尸节点出售给犯罪分子。Google已吊销其认证资格并切断控制域名，强化固件安全检查以防类似事件重演。
NCSC警告：2028年英国关键基建面临AI网络攻击
NCSC负责人警告，2028年英国关键基建将遭AI驱动攻击。报告指出，恶意网络活动每年致英损失近200亿美元，且近期已有漏洞被AI发现并用于入侵网站，威胁电力等自动化系统安全。
专家澄清：机场USB充电风险被夸大，做好防护可安全使用
安全专家澄清，机场USB充电风险被夸大，做好防护可安全使用。公共端口存在数据劫持隐患，建议携带移动电源或使用数据拦截器阻断传输，并拒绝陌生设备的信任授权请求。
Node-RED曝满分漏洞，遭利用分发Linux恶意软件
Node-RED曝满分漏洞，遭利用分发Linux恶意软件。VulnCheck披露CVE-2026-58115，攻击者借西门子设备未认证接口植入bot-linux-amd64载荷，源自巴西IP的16次尝试属机会主义扫描。
Google等联盟瓦解XCPE僵尸网络，涉事厂商为Videostrong
Google等联盟瓦解XCPE僵尸网络，涉事方为深圳厂商Videostrong。该公司在安卓电视盒固件中预装后门并出售权限，超380万个IP地址受控，目前Google已切断与其联系。
NIST发布网络安全白皮书助个人创业者
NIST发布网络安全白皮书，助个人创业者构建数字防线。指南基于CSF 2.0框架，用通俗语言提供实操建议与工具包，帮助缺乏专业知识和预算的独立企业主在低投入下降低风险，建立安全基础。
Nvidia Brev平台曝安全漏洞 SSH密钥面临泄露风险
Nvidia Brev平台曝漏洞，SSH密钥面临泄露风险。事件发生于10月4日至20日，官方已轮换受影响密钥并更新实例，暂未发现数据被不当使用。
精工暂停日本在线商店愿望列表功能
因第三方服务商Swym遭恶意代码注入，精工暂停日本三家在线商店愿望列表功能。攻击者曾劫持结账按钮重定向至欺诈页面，存在银行卡信息泄露风险。目前暂未证实客户数据泄露，恢复时间待定。
Linux内核曝高危TCP漏洞：CVSS 9.8，远程未认证可利用
Linux内核曝出高危TCP漏洞，CVSS评分高达9.8。该缺陷允许远程未认证攻击者利用，影响可追溯至4.4版本。目前Ubuntu及RHEL主流发行版尚无正式修复方案，大量服务器面临暴露风险。
Apple发布M6 Mac及首款触摸屏MacBook，Binance遭63亿美元黑客攻击
Apple发布M6芯片Mac及首款触摸屏笔记本，Samsung推出开放式耳机。Binance遭朝鲜黑客攻击，损失63亿美元，涉及10条链。Apple确认iPhone Duo屏幕故障并提供更换服务。
ChatGPT账户劫持漏洞披露：共享链接可执行任意代码
安全团队披露ChatGPT账户劫持漏洞，攻击者借共享链接绕过沙箱执行任意代码。受害者仅需点击链接即可被接管账户、读取隐私。OpenAI已修复该P1级严重问题。
Scribd母公司确认数据泄露：信用卡部分信息遭未授权访问
Scribd母公司确认数据泄露，部分用户信息遭未授权访问。受影响数据含邮箱及信用卡后四位、到期日等，暂无滥用证据。官方已锁定系统并通报执法部门，提醒用户警惕钓鱼诈骗。
Applebee’s修复硬编码凭证漏洞，850万用户数据曾险泄露
Applebee’s修复硬编码凭证漏洞，850万用户数据险泄露。研究员通过AI分析安卓应用源码发现数千个暴露密钥，可直连数据库获取姓名、邮箱等敏感信息。目前官方称未发现未授权访问证据，具体受影响人数仍待确认。
Anthropic Claude VS Code扩展被植入后门
Anthropic Claude VS Code扩展被植入后门。恶意版本2.1.313经Cursor官方账号分发，威胁至多5000名开发者设备安全，主要窃取云端凭证。
勒索团伙用AI辅助攻击，花费超7216美元仍靠弱口令
勒索团伙n0n借AI辅助入侵23个组织，花费超7216美元。尽管利用多种模型编写脚本提升效率，其核心突破手段仍依赖弱口令与被盗凭证，未发现零日漏洞利用证据。
Veracode报告：AI代码漏洞率降至38%，安全性首现显著改善
Veracode报告称AI代码漏洞率降至38%，安全性首现显著改善。Claude Opus 5.5与GPT-6-Sol以73%通过率并列榜首，XSS防护提升是主要驱动力，但复杂推理任务仍有短板。