OpenAI 开源了 Codex Security Codex Security 是一个命令行工具（CLI）加 TypeScript 开发工具包（SDK），用 AI 自动扫描代码仓库里的安全漏洞。它能找到问题、验证问题是否真实存在，还能生成修复补丁。 这个工具之前一直以 Codex 插件的形式存在，但是闭源的。 六月底就有人在 GitHub 上开了 issue 要求开源，理由是安全不该被藏着。现在 OpenAI 把它拆成了独立项目，以 Apache-2.0 协议开源，项目地址： Codex 插件版和独立版有什么区别？ 插件适合在你的 Codex 项目中，直接调用插件做安全扫描。 独立版是给安全团队用的，能批量扫整个组织的所有仓库，支持历史记录、扫描结果去重、误报追踪，还能接进 CI 流水线。 技术细节方面，默认使用 gpt-5.6-sol 模型做高推理强度扫描，需要 Node.js 22+ 和 Python 3.10+，支持 macOS、Linux 和 Windows。扫描结果可以导出为 SARIF、CSV 或 JSON 格式。还有个 install-hook 命令，可以在每次 git commit 前自动扫描改动过的代码，发现高危问题直接拦住提交。 在公开测试阶段，Codex Security 扫描了超过 120 万次提交（commit），在 OpenSSH、GnuTLS、PHP、Chromium 等开源项目中发现了 792 个严重漏洞和 10561 个高危漏洞。有第三方测试对比过，在 16.2 万行生产代码上，Codex Security 的真阳性率是 74%，Snyk 是 28%，Semgrep 是 20%。OpenAI 开源了 Codex Security

在Citadel Security爆出本周FOMC可能加息的疑云以后， $NVDA 可能为OpenAI提供2500亿美元的债务融资担保这一消息正形成一场关于循环融资的完美风暴🫪 这揭示了一件事情，半导体作为AI时代的完美避风港，正转向和类似于Google，Microsoft或者Amazon的商业模式，必须要把赚来的钱投入到更多的Capex里，而在 Nvidia这里，就是必须投资这些大量购买其GPU的金主。而他们几乎没有任何正的现金流。 市场对于OpenAI的债务可持续性的担忧正日益加剧。

量子安全初创公司 QIZ Security 宣布完成 1700 万美元种子轮融资，由 Bessemer Venture Partners 和 Merlin Ventures 领投，Evolution Equity Partners、Qbeat Ventures、Singtel Innov8 和 Qino Cyber Capital 参投。QIZ 专注于密码资产管理与后量子密码学（PQC），旨在帮助企业在量子计算威胁日益临近的背景下，实现从现有加密基础设施向量子安全架构的迁移。QIZ 由 Ben Volkow、Lenny Ridel 及前德勤全球量子网络安全准备团队负责人 Itan Barmes 共同创立。

吴说获悉，安全机构 Coinspect Security 连续发文称，其通过分析自 2018 年以来使用不安全代码生成的加密钱包种子，发现数千个种子曾被实际使用，仅上月就在相关钱包中发现 314 万美元疑似被盗资金。Coinspect 表示，部分资金存在集中转入单一地址及洗钱模式，某个受影响地址在提醒发布数小时后又转出 200 万美元，暂不确定是否为盗窃。此外，Coinspect 特别向中文社区发出警告，认为许多资产仍面临风险的用户可能位于中国。

🦞OpenClaw 极简安全实践指南 (Security Practice Guide) 是面向 OpenClaw 的黑手册。 我尝试了其他一些方式来试图加固 OpenClaw，包括 Skill 方式，但是发现还不如给 OpenClaw 植入一个安全“思想钢印”来的有意思，这个“思想钢印”形成一个 md 文档，包含安全事前、事中、事后需要做的策略，但这里有个前提： 尽量不影响 OpenClaw 的日常使用，安全不要干扰用户体验，需要给这只🦞足够的自由。但是吧，江湖险恶，一只有 Root 权限且诞生才一个多月的🦞，安全不让人放心… 于是，这份面向 OpenClaw 的极简安全实践指南诞生了，目前是 v2.7 版本，此前我们内测了许多版本，也踩了不少坑。现在公布出来，大家玩之前务必仔细看这份指南的 README⚠️： 注意里面的说法。我相信你会很有收获。里面还推荐了我们实测在 OpenClaw 场景下聪明的模型，如果你有自己的感受，一定要和我们反馈。 一切都很新，一定有不完善的地方，请大家多指正！ ⚠️最后，务必认真阅读 README，也务必肉眼扫描下你将喂给你🦞的“OpenClaw极简安全实践指南.md”，相信我，会非常有意思。

吴说获悉，ENS DAO 链上治理显示，关于 Security Council（安全委员会）续期两年的执行提案目前遭大额反对票阻止，其中 ENS 创始人 Nick Johnson 投出约 326 万票反对，占当前反对票绝大多数，而赞成票约 53.8 万。此前该提案已通过 Snapshot 社区投票，但链上执行提案未获支持。ENS 社区成员 Lefteris Karapetsas 随后公开批评 Nick Johnson 利用约半数投票权否决提案，并称此举意味着“ENS DAO 已死”。

吴说获悉，以太坊基金会（Ethereum Foundation）宣布通过其 Trillion Dollar Security（1TS） 计划，向新闻自由基金会（Freedom of the Press Foundation） 提供资助，支持开源工具 WEBCAT 的持续开发。WEBCAT 可帮助浏览器验证网站实际加载的前端代码是否与开发者发布的代码一致，旨在防范前端篡改、DNS 劫持及供应链攻击等风险。此次资助还将推动开发适用于以太坊钱包的 WEBCAT 验证库、Chromium 浏览器支持、独立安全审计及相关 ERC 标准制定，使钱包能够原生验证 DApp 前端完整性，与 Clear Signing 等安全方案形成互补。

OpenAI 悄悄开源一个专门查代码安全漏洞的命令行工具：Codex Security。 另外配了 TypeScript SDK，能直接扫描整个项目仓库，也能只审查某次的改动。 找出来的问题会持久长期记着，哪些修了、哪些还挂着，一目了然。 GitHub： 除了找出漏洞，还会验证问题是不是真的存在，并给出对应的修复。 接到自动构建流程里，每次提交跑一遍安全检查，不用等上线前才临时补。 支持 ChatGPT 账号登录，也可以用 API Key，方便放在自动化环境里跑。

中国人权关注纽约中国总领馆外和平表达者遭暴力对待，呼吁调查Epic Security安保人员行为 中国人权（Human Rights in China，HRIC）对7月1日晚发生在中国驻纽约总领馆外的一起涉及和平表达者的暴力事件表示关注。 据活动组织者China Action及现场参与者介绍，当晚，一场针对中国《民族团结进步促进法》正式生效举行的和平投影行动期间，一名Epic Security安保人员连续推搡现场参与者、挥拳殴打多人，并抢夺投影设备。参与者表示，他们始终未对安保人员实施暴力，仅以身体阻挡方式保护投影设备。其中，一名参与者在阻挡过程中据称连续遭拳击后倒地，另一名参与者亦被击倒。 《民族团结进步促进法》于7月1日正式施行，其中包含针对境外组织和个人所谓“破坏民族团结”“制造民族分裂”等行为追究法律责任的规定。中国人权长期关注中国政府以法律、行政及其他手段将其打压异议的影响延伸至境外，并认为，在美国境内依法行使和平表达和集会自由的权利，应当受到充分保护，不应因表达内容或批评对象而遭受暴力或人身侵害。 中国人权了解到，事件发生后，纽约市警察局（NYPD）到场处理。截至本声明发表时，Epic Security、纽约市警察局及中国驻纽约总领馆均尚未就事件公开回应。 基于目前了解到的情况，中国人权呼吁： 一、 有关执法部门依法全面调查事件经过，审查现场监控录像、视频记录及证人证词，查明事实； 二、 Epic Security对涉事安保人员的行为展开调查，并依法配合有关部门的调查程序； 三、 有关监管机构审查Epic Security是否履行其安保职责，并依法追究任何违法行为的责任； 四、 美国境内依法进行和平表达和集会的权利应受到平等保护。任何人都不应因其表达的内容或对象而遭受暴力、恐吓或人身侵害。 中国人权将继续关注事件进展及后续法律程序。