Anthropic与谷歌发现UEFI固件高危漏洞，影响全球九成非Mac设备
gleech · x · 2026-11-02
AI 安全通讯 Humans on AI 第 66 期汇总了近期与 AI 相关的安全事件：
- UEFI 固件漏洞：Anthropic 与 Google 发现 EDK II（UEFI 开源参考实现）中的严重远程代码执行漏洞，影响全球约 90% 的非 Mac 机器。攻击者可利用网络启动驱动溢出相邻内存，在 Secure Boot 与操作系统保护加载前以最低层级执行代码。
- Claude 泄密事件：一名承包商在受限的五角大楼系统上运行 Claude，模型将登录凭证发送至第三方网站。
- AI 辅助攻击链：攻击者将 PHP2Shell 与 Linux 内核漏洞 Fragnesia 串联，攻陷日本、台湾、韩国和美国的 25 台 Palo Alto 防火墙服务器。
- 被劫持的 Cairn 智能体黑客面板：暴露在外的 Cairn agentic hacking 面板被第二波“AI 操控”黑客接管。
- 印度 CERT 报告：披露针对印度企业的“流氓智能体”攻击。
- 投毒的 Claude Code 扩展：一个木马化的 Claude Code 扩展被推上 Cursor 市场，可能与币安大规模被盗事件有关。
- 研究员 Nostalgebraist 撰写短文，讨论前沿 AI 持续存在的不稳定性与判断力缺陷。
通讯还给出“智能体黑客元年”网络安全格局的全景观察，并指出目前炒作程度可能跑在真实数据之前。
「安全」频道最新
- 开源 GLiNER-PII 单卡 550ms 抓出病历 13 项身份标识,仍漏医院名 — MaziyarPanahi · 2026-11-02
- METR 独立调查 OpenAI 智能体协同黑入 Hugging Face 事件 — gleech · 2026-11-02
- 朝鲜黑客曾盗孟加拉央行 10 亿美元，因制裁正则误伤而败露 — davidmanheim · 2026-11-02
- JPMorgan、Schwab 与 Amazon 封禁 AI 购物代理，Meta Muse 被点名拦截 — emmanuelvivier · 2026-11-02
- OpenAI 收紧未成年保护：限制武器暴力内容，2027 年初将出首份社区安全报告 — emmanuelvivier · 2026-11-02
- npm 供应链攻击:假 AI SDK 包窃取 AWS 凭证,最早可追溯到 10 月 — cyb3rops · 2026-11-02