macOS 信任库仍信任被泄露 eMudhra 密钥伪造证书，Codex CLI 0.164 已修复
ai · x · 2026-10-25
安全研究员 ryaneshea 发现 Apple 随 macOS 附带的证书信任包 /etc/ssl/cert.pem 仍会信任攻击者用已泄露的 eMudhra 密钥伪造的证书，并已在 macOS 26.7.1 和 27.0.1 上用系统自带 curl 和 Git 复现。中间人攻击者可替换下载内容植入恶意软件，配合 curl … | sh 类命令会立即执行。
- 临时修复：删除授权这些证书的根证书；但两次 OS 更新都会把删掉的根证书恢复，需再次删除。已上报 Apple 安全团队，等待回应。
- 连带影响 Codex CLI：0.163.0 的 lockfile 固定的 rustls-webpki 0.103.15 与根证书包同样可信任被攻破的 eMudhra 证书，可能导致 Codex 被诱导执行恶意命令。
- Codex 0.164.0（10 月 23 日发布）已更新依赖到修复版本；可用 codex --version 检查，codex update 修补。内嵌 Codex 副本的应用也需自行排查。
「编程与Agent」频道最新
- Paxos 之父 Lamport 用 Claude 做形式化规约，被赞预言 LLM 三十年 — akbirthko · 2026-10-25
- 三个 Markdown 文件让编码 Agent 效率大增：diff 缩小 26% — lmoroney · 2026-10-25
- 开发者押注 Proof-of-Agent 实验要做纯 agent 对 agent 交易 — adamamcbride · 2026-10-25
- 开发者用 Claude 氛围编程复刻 own Jaeger 游戏 — kenan_wyz · 2026-10-25
- 博主用海螺 H3 搭 Magnific MCP 组合，打磨一年建成视频生产管线 — TinfoilTricorn · 2026-10-25
- 群里塞 10+ 个 AI 机器人反而更乱： hallucination 难排查 — gaganghotra_ · 2026-10-25