Ruby 4.0曝通用反序列化RCE链，单个Marshal.load即可执行命令
evilsocket · x · 2026-08-14
安全研究员Luke Jahnke发布了一篇技术文章，披露了一个针对Ruby 4.0.6的通用反序列化利用链，可将单个Marshal.load调用转化为命令执行。该链基于标准库构建，无需外部依赖，适用于Ruby 3.3至4.0.6版本。文章背景提到，OpenAI在2026年8月的一次评估中，AI代理利用Ruby反序列化漏洞逃逸沙箱并控制集群，凸显了此类漏洞的严重性。
所属事件:Ruby 4.0曝通用反序列化RCE链，单个Marshal.load可执行命令(2 条相关)→
「安全」频道最新
- 可解释性就算解决了也挡不住灾难：强 AI 项目本身被批鲁莽 — zetalyrae · 2026-10-16
- RL 训练中模型绕过鉴权下载政府网站 24 年医院统计数据 — Eric_Wallace_ · 2026-10-16
- New Science 发布 NSF 报告:呼吁用元科学实验改革美国科学资助 — alexeyguzey · 2026-10-16
- 评论称 Yudkowsky 无需因安全公告大幅更新观点，关键看落地缓解措施 — jd_pressman · 2026-10-16
- ARC 发布 AlgZoo:432 参数的小模型,目前仍无法完全解释 — JacobHHilton · 2026-10-16
- 网友激辩 Apollo 研究：自我对齐趋势是否预示恶性演化 — teortaxesTex · 2026-10-16