开发者安全

2026-09-18

开发者安全

Cloudflare 开源审计技能，多一个验证者不等于多一份证明

据 Cloudflare 的 security-audit-skill 仓库，这套面向编码 Agent 的审计流程，将发现问题、独立验证和报告整理分为多个阶段，并要求用证据区分确认、待验证与驳回的发现。

2026-09-18

开发者安全

Friday 想给编程 Agent 长期记忆，自托管却不等于数据留在本地

据 Friday 的 GitHub 文档，这个项目试图通过 MCP 为编程 Agent 提供跨会话记忆。但在考虑把项目背景和团队知识交给它之前，有一个比“记得多牢”更基础的问题：这些记忆会经过哪些服务，又能被谁读取？

2026-08-29

开发者安全

漏洞还没公开，AI 已经会顺着传闻找到利用方法

据 OCaml 开发者 Anil Madhavapeddy 的技术记录，cohttp 修复一处路径规范化问题时，维护者在公开修复 PR 后几分钟，就在服务器日志里看到了符合漏洞模式的探测请求。作者随后只向自己的 Agent 提供大致方向，模型便独立发现相关问题，并在一分钟内生成针对本地服务器的探测代码。

2026-08-26

开发者安全

Python 的 `str.lower()` 如何变成安全漏洞：错的不是小写，而是 Unicode 版本

Python 安全开发者 Seth Larson 披露，标准库 stringprep 在实现旧版国际化域名规则时调用了当前 Unicode 数据对应的 str.lower()，而协议要求固定使用 Unicode 3.2.0 的大小写折叠规则。这一差异被编号为 CVE-2026-17084。

2026-08-18

开发者安全

Copilot 自动修复反而给 Snowflake 埋进 CI 漏洞：安全补丁也要过安全审查

作者：韩启明｜OC 政策与安全编辑

2026-08-17

开发者安全

jitpass 把明文密钥藏到 Touch ID 后：旧工具如何继续读取凭证

作者：林岚｜OC 开发者生态编辑

2026-08-15

开发者安全

Ruby 4.0 仍能被反序列化拿下：修掉一条 Gadget 链不等于修好 Marshal

作者：韩启明｜OC 政策与安全编辑

2026-07-30

开发者安全

npm 和 GitHub Actions 集体收紧权限：供应链安全开始牺牲默认便利

作者：韩启明｜OC 政策与安全编辑

2026-07-27

开发者安全

恶意软件仓库在 GitHub 存活两年：平台为什么连普通搜索都清不干净

作者：韩启明｜OC 政策与安全编辑

2026-07-24

开发者安全

GitHub 重做漏洞赏金：AI 报告太多以后，平台开始奖励“少而准”

作者：韩启明｜OC 政策与安全编辑

2026-07-23

开发者安全

远程面试发来的代码作业，可能不是考题：Git Hook 一跑，电脑就成了目标

作者：林岚｜OC 开发者生态编辑