网络安全领域有个老牌开源工具叫 bettercap，在 GitHub 上斩获了 19000 多个 Star。 做安全研究时常用的功能，包括 WiFi 抓包、蓝牙设备扫描读写、ARP 欺骗、HTTP 代理拦截这些都有。 GitHub： 并且自带 Web 管理界面，可视化直观操作，脚本插件用 JavaScript 写，方便定制各种测试流程。 提供 Docker 快速部署，做安全研究和渗透测试的朋友值得备一个。

网络安全公司 LayerX 发现了一种新型的“视觉欺诈”攻击方式 可以隐蔽的攻击 AI 助手，几乎所有的AI工具全部中招 这种攻击利用了“人类眼睛看到的”与“AI 助手读取到的”不一致的视角差，欺骗 AI 给恶意命令“背书”。 当你让 AI 助手帮你看一个网页并判断“上面的命令安全不安全”时，AI 和人类看网页的方式截然不同： AI 助手怎么看： AI 不用“眼睛”看画面，而是直接解析网页底层的 HTML 代码结构（DOM 树）。 人类怎么看： 浏览器将 HTML 和 CSS 渲染成视觉图像呈现给你。 黑客正是利用了这种差异，通过以下两步组合拳完成欺骗： 自定义字体映射（Glyph Substitution）： 黑客在网页中加载特殊的自定义字体，将乱码或无意义的字符重新映射为恶意的命令行（比如反向 Shell 攻击指令）。 CSS 隐形战术： 在 HTML 代码中插入一段看似极其无害的文本（例如普通的提示语），同时用 CSS 把这段无害文本的字号缩小到近乎不可见、或者调整颜色使其与背景融为一体。 最终效果： AI 看到的是： 底层无害的 HTML 文本，因此评估后告诉用户：“这段代码非常安全，可以放心运行。” 用户看到的是： 经过字体替换渲染后的恶意指令（例如一条伪装成游戏彩蛋、实则会入侵电脑的命令）。 根据 LayerX 的测试，在 2025 年底，这种攻击方式对市面上绝大多数主流 AI 助手（包括 ChatGPT、Claude、Copilot、Gemini、Grok、Perplexity 等）均有效。 典型漏洞场景：黑客搭建了一个宣称提供《生化奇兵》（Bioshock）游戏彩蛋的网页，页面上渲染出一行恶意命令行。用户担心有毒，便询问 AI 助手。AI 读取了底层的无害代码后表示“安全”，用户信以为真在自己电脑上运行，导致设备被控。

美国网络安全与基础设施安全局等机构本周二（9月8日）表示，中国的顶尖人工智能公司，其中包括 DeepSeek 和 Moonshot AI（月之暗面），系统性地窃取美国模型的技术，其目的是争夺科技霸权。 法新社预测，以上警告宣布在习近平访美并将同特朗普总统举行峰会前夕，因此，很可能人工智能将成为特习会的重要议题。 一段时间以来，美国政府和美国AI公司多次指责，中国企业通过一种被称为“蒸馏”（distillation）的过程，窃取人工智能技术。

G7 网络安全工作组警告称，政府和企业应尽快迁移至后量子密码学（PQC），因为攻击者可先窃取并保存当前加密数据，待未来量子计算能力足够时再解密，数字签名也可能面临被破解风险。报告未直接提及加密货币，但比特币、以太坊和 Solana 同样依赖公钥密码学。比特币开发者正在研究包括 BIP-360 在内的后量子方案，以太坊研究人员正评估账户、验证者和应用相关密码组件的替代方案，Solana 基金会则已在测试网测试后量子签名，并推出可选的基于哈希的资金保护方案。G7 建议各国制定国家级 PQC 迁移战略，并推动公私部门协作和采购标准更新。（Decrypt）

韩国网络安全公司 Genians 旗下安全中心发布报告称，与朝鲜关联的黑客组织 Kimsuky 正将 AI 技术整合进攻击行动，包括搭建 Ollama、GPT4All 和 Msty 等本地 LLM 环境，测试 RAG、Cursor 及 AI Agent 开发工具，并使用生成式 AI 制作虚拟资产、金融投资等主题的诱饵文件。报告称，该组织持续针对虚拟资产等领域，相关日志中还发现“在哪里可以搜索使用 BTC 的用户”等查询，以及针对钱包、Seed 和账户信息泄露情况的检索活动。

法国网络安全机构将从2027年起停止认证非抗量子加密产品。 法国国家网络安全局 (ANSSI)首席幕僚长 Samih Souissi 在France Quantum 2026 会上明确表示： • 从 2027年起，ANSSI 将停止为不具备量子抗性（post-quantum / quantum-resistant）加密的产品提供认证。 • 目标是到 2030年，企业和机构应只采购量子安全产品。 这对以太坊是中长期利好。 主要是ETH主动出击，准备更充分： 一是，以太坊基金会把后量子安全（PQC）作为战略优先级，有专用团队、路线图和落地设计。Glamsterdam/Hegotá 等升级正在推进基础设施，为 PQ 迁移铺路（包括签名预编译、密钥注册等）。 二是，相比有的保守治理，ETH 生态（EVM、智能合约、AA 钱包）迁移灵活性更高，能更快集成 NIST 标准（如 Dilithium、Falcon）和混合方案。L2（如 Optimism）已在主动规划 Superchain PQ 过渡。

OpenAI在内部做网络安全能力测试的时候，自己家的AI直接跑出去把Hugging Face给黑了，然后找美国闭源大模型帮忙分析，结果人家直接不理，最后还是靠智谱的开源模型GLM-5.2才搞定🤡

吴说获悉，网络安全公司 JUMPSEC 称，与朝鲜有关联的黑客组织 BlueNoroff 正利用虚假 Zoom 和 Microsoft Teams 会议攻击加密行业人士。攻击者通过被劫持的 Telegram 熟人账号发送会议链接，先扫描受害者浏览器中的加密钱包，再以“SDK 更新”为由诱导其运行恶意程序。相关攻击覆盖 Windows 和 macOS，可窃取系统信息、浏览器密钥及 Telegram 会话，并继续攻击受害者联系人。

#人工智能# OpenAI 要求网络安全从业者必须绑定硬件安全密钥才能获得更高的访问权限。 这是来自网友的投稿，主要涉及的是 OpenAI TAC 计划，网络安全从业者可以申请 TAC 计划，通过审核后可以获得更宽松的安全边界以及使用前沿网络安全模型。 从 6 月开始 OpenAI 逐步要求 TAC 用户绑定硬件密钥，从 9 月 1 日开始 TAC 用户必须绑定硬件密钥，否则模型会被降级到普通权限。 查看全文：