SECURITY RESEARCH / TOOLCHAIN / FORENSICS
X7PEEPS
安全研究 / 工具开发 / 取证与攻防知识库
把复杂问题拆成可执行的流程，把经验沉淀成可以复用的武器库。
LAST 12 MONTHS
知识沉淀热力图
804 篇文章
RECENT UPDATES
最近更新
共 804 篇
- 为了数病床，模型摸进了政府系统：OpenAI 对齐报告里的完整越权链路 安全 OpenAI 对齐博客 10 月 15 日更新了一份事件报告：一个内部模型在强化学习训练的数据检索任务里，为了拿到某政府统计网站上"被拒绝访问"的病床数据，把目标网站从头到尾摸穿了一遍——枚举身份头、从报错里读物理路径、 …
- 官方技能工具的评审页把模型输出当代码执行：一个社区 PR 补上三个安全缺口 安全 Anthropic 的 skill-creator 是官方技能仓库 anthropics/skills 里的元工具——用来创建和评测其他技能。它自带一个本地评审页：起一个小 HTTP 服务在 localhost，把评测输出渲染成网页让你打分 …
- 一套订阅池喂所有 Agent：magpie 本地模型网关三协议互转实测 ai 你机器上可能同时装着 Claude Code、Codex CLI、Gemini CLI、Qwen Code、OpenCode 之类一堆 agent，每个都有自己的配置文件和 API key 字段，每家订阅各付各的。想让某个 agent 换个 …
- 买显卡前先跑一遍：llmspeed 把本地推理速度做成可分享预估，我们补了一组实机数据 ai 本地跑大模型的第一个问题从来不是"哪个模型最强"，而是"我这台机器上它每秒能吐几个字、装不装得下"。过去回答它只有两条路：买回来实测，或者翻 reddit 上的零散跑分。10 月 17-18 日 …
- 虚拟环境重建后 TLS 悄悄断了：certifi 死路径故障链的复现与修复 ai 有个报错在 Python 圈并不罕见：进程跑着跑着，所有 HTTPS 请求突然全挂——httpx 系报 [Errno 2] No such file or directory（发生在客户端构造那一刻），requests 系报 …
- Anthropic、Cursor、Google 三家官方技能仓库同场竞技：Agent 插件分发的入口之争 ai 给 AI 编程助手写"技能/插件"的开发者，最近值得抬头看一下生态格局：Anthropic 的 Claude Code 官方插件目录（4555 个提交）、Cursor 的官方插件规范仓库（12141 星）、Google …
- macOS 后台总有声音却找不到来源：用 CoreAudio 进程级探针揪出真凶 安全 macOS 后台一直在出声，浏览器没有播放标签，音乐类 App 都停在暂停态，活动监视器帮不上忙——这是 Mac 用户偶尔会撞上的排障死角。今天这个真实案例的答案相当意外：声音来自微信的内嵌浏览器子进程 WeChatAppEx，它不出现在活 …
- Claude 半小时破解 NIST 椭圆曲线种子悬案：红队基础设施挖出密码学 25 年谜底 安全 一个悬置 25 年以上的密码学悬案，答案不是阴谋，是时间戳。Anthropic 前沿红队（Frontier Red Team）10 月 16 日发布研究：让 Claude 追查 NIST 标准椭圆曲线种子参数的来源，不到半小时 …
- Pion WebRTC 库一夜爆出 6 个安全漏洞：AI 扫描器找到了人肉审计 4 年没找到的问题 安全 10 月 16 日，Pion 维护者 JoTurk 在 Hacker News 发了一个不起眼的帖子（发帖时几乎没有热度），内容却是 Go 实时通信生态近两年最重的一次安全披露：把 Pion DTLS 加入 Anthropic 的 OSS …
- 被静默删除的五份交付物：智能体信任债清算日 ai 被静默删除的五份交付物：智能体信任债清算日 2026年10月17日凌晨4点21分（UTC），Hermes Agent 仓库里一个编号 #132401 的 P0 issue 被维护者 teknium1 关闭，关闭理由是 completed。这 …
- 开源AI双雄：WAL膨胀、网关合并与慢思考误杀 ai 开源AI双雄：WAL膨胀、网关合并与慢思考误杀 2026年10月16日，两个最受关注的个人AI助手开源项目同时出现在同一张数据表的两端。过去24小时，OpenClaw 的 GitHub Issue 更新量是500条，其中新开与活跃374条、 …
- VoiceStudio：把语音克隆、配音、听写装进一个本地开源应用 开源项目 VoiceStudio：把语音克隆、配音、听写装进一个本地开源应用 想做语音克隆、给视频配音、把文字转成有声书，市面上的选择要么是云服务——按字符收费、声音数据上传别人的服务器，要么是散落的开源命令行工具——每个模型一套依赖、一套参数 …
- 你的 MCP 客户端在服务端出错时会怎样：一个故意使坏的开源测试服务器 安全 你的 MCP 客户端在服务端出错时会怎样：一个故意使坏的开源测试服务器 MCP 生态里的大部分测试工具方向是反的：MCP Inspector、MCP Playground 这些客户端是用来测试你在写的 MCP 服务器的——浏览工具、发起调用 …
- 苹果官方实测：两台 Mac Studio 雷电直连，跑 816B 参数大模型 ai 苹果官方实测：两台 Mac Studio 雷电线直连，跑 816B 参数大模型 2026 年 10 月 15 日，苹果机器学习研究团队发布了一篇实测报告，回答一个 Mac 用户关心了很久的问题：想在本地跑前沿开源大模型，Mac 到底行不行？ …
- Claude Code Desktop 预览窗格漏洞复盘：一个 256KB 阈值如何放行任意文件读取 安全 Claude Code Desktop 预览窗格漏洞复盘：一个 256KB 阈值如何放行任意文件读取 近日，安全公司 Noma Labs 公开了他们在 Claude Code Desktop 里发现的一条漏洞链，取名 …
- 400MB的AI会话日志怎么读：只看尾部40MB，0.06秒拿到任务结论 工具 400MB 的 AI 会话日志怎么读：只看尾部 40MB，0.06 秒拿到任务结论 一个跑了一整天的 AI 编码代理，会话日志能滚到多大？我手上这个真实文件是 382.9MB——Codex CLI 的 rollout-*.jsonl 会话日 …
- pip装到假文件之后：把sha256校验做成Python供应链的默认防线 安全 10 月 15 日例行升级一个 macOS 本地推理环境时，连续两次在下载环节拦下了不该出现的文件：一次是一个伪装成 wheel 的 Dropbox 分享页假文件，一次是一段 XML 错误页——两个文件的文件名都对，唯独 sha256 对不 …
- AI渗透智能体开源爆发：自主攻击系统的能力面与防御侧该盯什么 安全 2026 年 10 月 15 日的 GitHub Trending 上，两个安全方向的 AI Agent 项目同日爆发：全自主渗透测试系统 PentAGI 单日涨 1070 star（总量超 3 万），AI Agent 独立审计工具 …