KDZONE 情報站

全球最大加密貨幣交易平臺Binance公開約63.4億美元加密資產遭竊事件的初步調查，揭露駭客透過假求職面試植入惡意程式，再利用內部AI工具控制其他工程師電腦，取得容器部署權限，進而入侵錢包簽章服務轉走加密資產。 攻擊最早可追溯至今年6月，一名錢包維運工程師為了安裝AI程式開發工具，從搜尋結果下載遭變造的Homebrew安裝程式。Binance資安團隊雖然偵測異常，更換裝置並重設相關憑證，但該名工程師的職務及同事資訊已遭駭客取得。

透過漏洞、弱密碼或惡意程式感染大量設備，進而建立殭屍網路，是駭客常見的攻擊手法，但由設備供應商在產品出廠前便主動植入惡意程式，則是相當特殊的案例。Google近期揭露的XCPE殭屍網路便屬於此類，後門直接預載於Android設備韌體，使設備從交付使用者時便已遭到控制，也讓一般使用者難以透過更新或移除應用程式自行清除。

日前揭露的Linux核心TCP漏洞CVE-2026-98432，不僅影響各Linux發行版，也涵蓋基於Linux平臺的其他產品，儲存廠商NetApp便於11月2日發布公告，指出旗下多款儲存產品受此漏洞影響，包括AFF、ASA及FAS系列儲存設備的BMC控制器與Service Processor處理器，E系列儲存設備的SANtricity OS，StorageGRID系列儲存設備，

11月2日Google發布每月Android例行更新，一口氣修補216個資安漏洞，這些弱點有119個存在於安卓核心元件，其餘97個存在於第三方元件，用戶應留意裝置製造商的公告，以便新版韌體推出後即時套用。

日本飲料製造商三得利（Suntory）的母公司三得利控股，以及三得利健康本週公告，集團使用的外部雲端服務遭第三方未授權存取，攻擊者下載了部分包含員工、合作夥伴及客戶個資的檔案，逾10萬人的個資因此外洩。 三得利是在10月28日偵測到外部雲端服務異常活動，第一時間將該未授權存取阻斷，採取必要措施防止損害擴大，並著手調查。

廣獲使用的遠端桌面存取軟體TeamViewer於10月27日修補可能導致反向攻擊的高風險漏洞，漏洞編號CVE-2026-111585，CVSS嚴重性評分達8.8分。不同於一般遠端存取工具漏洞多是造成控制端攻擊受控端的情境，這個漏洞允許受控端反過來攻擊發起連線的控制端電腦，問題源自遠端畫面解壓縮處理程序的整數溢位，攻擊者可利用受控端傳送特製畫面資料，使控制端配置的記憶體緩衝區不足，進而造成堆積緩衝區溢位。

11月3日美國網路安全與基礎設施安全局（CISA）更新已遭利用的漏洞名單（KEV），原因是他們已掌握新漏洞遭積極利用的證據，該漏洞就是上週公布的CVE-2026-119977，此為檢查時間與使用時間（TOCTOU）競爭條件漏洞，存在於WordPress核心，美

AI新創Anthropic周一（11/2）發表FlashProve，這是一套利用零知識證明（Zero-Knowledge Proof）技術開發的開源系統，可透過密碼學驗證AI回答是否確實來自指定模型，以偵測服務供應商是否私下替換模型，或遭駭客竄改輸出內容，同時不必公開模型權重等商業機密。Anthropic已公開相關技術報告、程式碼及形式化驗證工具，供外界研究與改進。

Google於11月3日發布Chrome 157大改版，針對電腦版與Android版總計修復213個資安弱點，其中有7個被評為重大等級，涉及Dawn、ANGLE、WebGL、Prerender、Geometry及Core等元件。

蘋果（Apple）周二（11/3）宣布，隨著iOS 27.3、iPadOS 27.3及macOS 27.3測試版推出，所有開發者都可以自家App整合Siri AI，讓第三方App能透過自然語言理解、個人情境及螢幕內容辨識等能力，協助使用者完成訂單查詢、餐廳預訂及購物等操作。蘋果同時推出Skills機制，讓Siri AI能組合多項操作，執行更複雜的任務。

面對美國大型學區陸續限制學生使用生成式AI，Google周二（11/3）宣布，將引導式學習（Guided Learning）功能整合至Google搜尋與Google Classroom，試圖以不同於直接提供答案的AI教學方式，爭取教育界接受。同時，Google將讓學校自行決定是否開放相關服務，但由於學校無法選擇只使用不含AI功能的傳統Google搜尋，也引發拒絕AI就無法使用Google搜尋的爭議。

資安漏洞情報業者VulnCheck近日揭露針對Node-RED重大漏洞CVE-2026-58115的攻擊活動。研究人員透過誘捕系統發現，攻擊者利用這項漏洞嘗試下載並執行Linux惡意程式，後續還觀測到試圖部署網頁後門、以便持續執行遠端命令的攻擊手法。

Google威脅情報團隊（GTIG）近日揭露XCPE殭屍網路瓦解行動，這個殭屍網路控制全球超過130萬臺機上盒。Google調查發現，Android裝置製造商Videostrong Technology Co.涉嫌刻意在裝置韌體預載後門程式，並向犯罪合作夥伴販售裝置存取權限，協助部署對方開發的惡意模組。這些合作夥伴利用受感染裝置從事廣告詐欺，或將裝置變成常駐代理網路節點，替第三方轉送流量。

比利時資安業者Aikido Security今年9月先後併購波蘭資安業者Cyberly及比利時資安業者OutKept，並整合兩家公司的技術，於10月20日宣布推出員工資安平臺Noon，將原本以應用程式、程式碼及雲端安全為主的業務擴展至企業員工防護。

Google旗下Mandiant公布2026年多起大型語言模型（LLM）資源遭盜用事件的調查結果，這類攻擊稱為LLMJacking。部分攻擊者利用遭竊的雲端存取憑證及API金鑰，未經授權大量使用企業的AI模型服務，部分受害企業因此單日產生超過10萬美元的雲端使用費用。

臺灣多家電商技術服務業者接連傳出資安事件，繼10月中旬91APP公布遭駭事件後，又有多家業者傳出資安事件與相關疑慮，1shop公告其研判「訂單成立通知信」遭竊取，進入11月後，多家使用Cyberbiz及meepShop服務的品牌也陸續發布資安及防詐公告，提及訂單異常讀取或可能遭未經授權取得，實際事件情況與影響範圍仍待釐清。

提供身分驗證與使用者管理服務的WorkOS於11月2日指出，該公司在10月30日發現內部銷售團隊使用的應用程式遭到未經授權存取，攻擊者取得部分客戶關係管理系統（CRM）及客戶支援資料。WorkOS表示，目前尚未發現WorkOS應用程式資料遭到存取的跡象，也沒有證據顯示正式環境服務遭到入侵或受到影響。

微軟.NET團隊公布實驗成果，展示將AI代理技能（Agent Skills）封裝進NuGet套件的做法，讓函式庫開發者發布新版本時，可一併提供對應的使用指引。AI程式開發代理可透過相關工具取得技能內容，掌握新版API的使用方式，減少依賴模型既有知識或自行分析程式庫的需求。

新加坡航空向媒體證實，受到Amadeus訂位系統資安事件影響，約4.6萬筆旅客訂位紀錄可能外洩，包括姓名、訂位代號等資料。 新航表示，遭到第三方未授權存取的資料主要是搭乘新航的旅客姓名、訂位代號、飛行段及艙等等資訊。其中有620筆資料還另外包含電子郵件、電話號碼、旅行文件和KrisFlyer常客計畫會員編號。

Called FlashProve, the system would let anyone check that an AI response really came from the model it claims to be from.

State tries to obtain broadband funds despite rejecting Trump admin condition.

The years-long wait for access to the grid and new turbines is causing data center builders to turn to an unusual, less efficient and less environmentally friendly solution: once-discarded jet engines.

Cybersecurity focused Ballistic Ventures is seeking to raise $360 million for a new flagship fund and another $130 million for a separate investment vehicle.

Article URL: https://arxiv.org/abs/2605.29713 Comments URL: https://news.ycombinator.com/item?id=50358582 Points: 273 # Comments: 47

Article URL: https://webkit.org/blog/18541/introducing-adaptive-dark-mode/ Comments URL: https://news.ycombinator.com/item?id=50358562 Points: 260 # Comments: 165

Article URL: https://asia.nikkei.com/business/technology/artificial-intelligence/us-tech-giants-hidden-ai-debt-swells-90-to-3.2tn-in-6-months Comments URL: https://news.ycombinator.com/item?id=50358422 Points: 276 # Comments: 122

Palantir delivered such a huge third-quarter earnings report on Monday that its press release even bragged that the numbers were “crushing consensus expectations.” Yet, retail investors were lukewarm on the company on Tuesday, with the stock trading slightly down. Tha…

Russia tries to fix exposed digital infrastructure as data center war backfires.

The five-year-old startup raised a $1.3 billion round led by Bessemer.

Google has introduced the LiteRT Tensor API, a lightweight C++ API that allows developers to build, customize, and optimize machine learning models directly for on-device execution. According to Google, it combines the flexibility of native model authoring with cross-platform por…

The first experimental feature under the tab will allow users to get recommendations based on what they're currently in the mood for.

Lawsuit calls Brave "supplier, dealer, and distributor" of stolen news content.

We talk with Nissan designer Hiren Patel about how vehicle interior designs are changing.

Google will offer schools AI tools that purportedly don't give away the answers.

Article URL: https://github.com/postmanlabs/postman-app-support/issues/14370 Comments URL: https://news.ycombinator.com/item?id=50354960 Points: 506 # Comments: 161

NY gov. pointed to Kennedy's long-standing anti-vaccine work as spurring outbreaks.

Google has cut ties with the company behind the botnet campaign.

At a moment when Anthropic's compute margins should be getting better, they’re getting worse.

Is that water in your spacecraft, or are you just happy to see the delta-V?

Article URL: https://neufangled.com/ Comments URL: https://news.ycombinator.com/item?id=50354358 Points: 354 # Comments: 136

Vitest 5.0 focuses on speed, with reported gains of 8 to 25 percent in most setups and up to 53 percent in VM pools. It adds a vitest doctor command, Browser Mode Trace View, and vi.when. Defaults are stricter: clearMocks is true and unawaited async assertions fail. It requires V…

Schools choosing to restrict AI altogether will no longer be able to access Google Search, as AI features are now integrated into the search engine.

Yesterday's hot paper was Sparks of Weight-Space Programming: LLMs can natively read & write neural network weights by Rikiya Takehi, Jayden Teoh, Alex Zhang, and Omar Khattab. The paper found that frontier models, in particular GPT-6 Astra, can both interpret and modify the raw …

UEFI bootkit BlackX exploits Microsoft's lack of clarity around Secure Boot protections.

Louis Erbkamm built the first prototype in his free time. Now GitHub Copilot helps him maintain it alone. The post Arnis turns any place on Earth into a Minecraft world appeared first on The GitHub Blog .

Meta faces pressure to protect No Kings Instagram on election day.

Apple's new App Store rules will require 18+ ratings for dating apps and AI companions that offer sexual or romantic content.

https://archive.ph/RuwsB https://blog.google/products-and-platforms/products/educatio... Comments URL: https://news.ycombinator.com/item?id=50353192 Points: 329 # Comments: 268

Article URL: https://namespace.so/blog/mac-at-any-scale Comments URL: https://news.ycombinator.com/item?id=50352758 Points: 255 # Comments: 140

My company is pretty paranoid about leaking IP to the frontier labs through prompts, so we've all been diligent about disabling data sharing in Codex/Claude Code/etc. But yesterday my coworkers and I noticed that the setting had been silently reenabled in Codex. None of us knowin…

Critics say EPA is effectively abandoning Clean Air Act enforcement at factory farms.

On Nov. 4, TechCrunch Founder Summit 2026 brings founders and VCs to Boston's SoWa Power Station for practical insights and connections. Register before prices increase at the door.

After pioneering the passenger screen, Mercedes has designs on the windshield.

Secure your TechCrunch Founder Summit pass savings before prices increase tomorrow at 9 a.m. ET. Save up to $100 on your pass, and get a second for free.

Zero Wire on Cloudflare Radar pairs plain-language briefings with global attack telemetry and remediation steps. Triage critical CVEs faster and decide how to protect your infrastructure.

Article URL: https://honnibal.dev/blog/astra-read-write-misleading Comments URL: https://news.ycombinator.com/item?id=50351111 Points: 361 # Comments: 77

資安研究人員Mark Blaszczyk近日揭露Android通訊服務漏洞CVE-2026-58882，將其稱為「SMS of Death」（死亡簡訊）。攻擊者只要知道受害者的電話號碼，就能傳送特製的WAP Push簡訊發動零點擊阻斷服務攻擊，無須使用者開啟訊息或點擊連結，由於這類訊息不會出現在收件匣，受害者也無法辨識寄件者。