1
印度最大核电站疑遭勒索攻击：黑客泄露大量文件，包括设计图纸
印度最大核电站遭勒索组织攻击，涉密设计图纸等内部文件被公开，核设施安全敲响警钟。
IT之家 7 月 15 日消息，据路透社报道，勒索软件组织 World Leaks 在暗网上公开了一批与印度最大核电站有关的大量文件，其中包括疑似部分设施的设计图纸以及供应商信息。该组织声称，这些数据来自印度企业信实集团（Reliance Group）。 位于印度南部泰米尔纳德邦的 Kudankul…
2
Trojan Horse Prompting: Jailbreaking Conversational Multimodal Models by Forging Assistant Message
对话多模态模型安全新漏洞：通过伪造助手消息实现越狱攻击，揭示未被探索的攻击面。
arXiv:2507.04673v2 Announce Type: replace Abstract: The rise of conversational interfaces has greatly enhanced LLM usability by leveraging dialogue hi…
3
CrashStealer 攻击披露：针对苹果 Mac 用户，瞄准 1Password 等 14 款密码管理器
输入邮箱或密码，一键查询是否在已知数据泄露中曝光，让Mac用户也能防范类似CrashStealer攻击
IT之家 7 月 14 日消息，网络安全公司 Jamf Threat Labs 最新报告披露 CrashStealer 漏洞，影响约 80 个加密货币钱包扩展和 14 款密码管理器。 苹果在收到 Jamf 通报后，已撤销相关恶意应用签名凭证。 Jamf 研究人员于 2026 年 5 月初在 Viru…
4
MJ: Multi-turn LLM Jailbreaking via Decomposed Credit Assignment
多轮对话破解LLM防线，分解信用分配实现高效越狱攻击，揭示AI安全新漏洞
arXiv:2607.11070v1 Announce Type: new Abstract: Modern large language models (LLMs) operate in interactive multi-turn settings, making multi-turn jail…
5
6
SociaLLM Engineering: On Manipulating AI Agents and what we can do about it
AI Agent正成为新型社会工程攻击目标，本文深入剖析攻击原理并给出防御建议，安全从业者必读。
Article URL: https://cephalosec.com/blog/sociallm-engineering-old-tricks-ai-agents-are-the-new-victims/ Comments URL: https://news.ycombinator.com/ite…
7
安全公司曝光黑客打造 Forg365 订阅制恶意脚本平台，专门针对微软 Microsoft 365 账号进行攻击
黑客推出订阅制AI钓鱼平台Forg365，专攻微软365账号，两种攻击手法曝光。
IT之家 7 月 13 日消息，安全公司 ZeroBEC 发文，披露有黑客架设了一个名为 Forg365 的恶意脚本平台，该平台采用订阅制运营，其控制面板整合了多项 AI 功能，犯罪分子可以通过向黑客支付订阅费获得一系列面向微软 Microsoft 365 账号发动攻击的钓鱼工具。同时平台还提供了专…
8
9
Writing Evals for an LLM Security Tool: How I Know It Didn't Get Worse
如何为LLM安全工具编写评估，确保它不会越变越差，这里有实战经验与代码示例。
Every time a new model ships, I face the same question for spectr-ai: does my contract auditor get better or worse on the new model? "Vibes" is not an…
10
黑客借 GitHub 撒网投毒：超 200 个仓库暗藏远控木马、挖矿程序等恶意软件
黑客利用 GitHub Actions 每分钟定时伪造版本，超 200 仓库暗藏远控木马、挖矿程序，开发者需警惕供应链投毒新手法。
IT之家 7 月 11 日消息，安全研究公司 Socket 当地时间周三报告了一起代号为“Muck and Load”的大规模恶意软件活动。 据介绍，有不法分子自 2026 年 1 月起通过一个伪装成 DNS 与子域名扫描工具的 Go 语言模块，通过代码托管平台 GitHub 向开发者及用户投放远程…
11
阿根廷 3 比 2 逆转埃及后，阿根廷足协邮箱疑遭埃及黑客攻击
IT之家 7 月 11 日消息，据《纽约时报》今天（11 日）报道，阿根廷足球协会（AFA）正在调查内部系统是否遭到黑客入侵。 本周早些时候，阿根廷队在世界杯 16 强赛中戏剧性逆转埃及队。赛后，多名记者突然收到由 AFA 账户发出的邮件，要求 为埃及队及主教练霍萨姆 · 哈桑“讨回公道” 。 ▲ …
12
全球首个安卓 17 root 攻击方案曝光：只需一个链接，一部手机
IT之家 7 月 10 日消息，由 YC 支持的安全初创公司 Nebula Security 日前发布了全球首个 Android 17 root 攻击方案 ——“ IonStack ”，仅需点击一个 URL 网页链接，攻击者即可完全控制你的手机。 这是一条完整的浏览器到内核漏洞利用链，涉及两个此前未…
13
NonTextual Target Attack
新研究揭示非文本目标攻击方法，探索无需文本线索的对抗样本生成，为AI安全防御提供新视角。
arXiv:2510.02999v5 Announce Type: replace-cross Abstract: Existing gradient-based jailbreak attacks on Large Language Models (LLMs) typically optimize…
14
Refusal training for LLM agents against disguised MCP attacks
针对LLM代理的伪装MCP攻击，提出改进偏好对齐的拒绝训练方法，附RAG免训练对齐方案。
Article URL: https://github.com/johnhalloran321/mcp_safety_training Comments URL: https://news.ycombinator.com/item?id=48834106 Points: 1 # Comments: …
15
Hackers can use 9 of the most popular AI tools to assemble massive botnets
黑客利用9大AI工具"幻觉"漏洞组建僵尸网络，揭示新型HalluSquatting攻击风险。
"HalluSquatting" weaponizes LLMs' inability to say "I don't know."
16
How Many Iterations to Jailbreak? Dynamic Budget Allocation for Multi-Turn LLM Evaluation
提出动态预算分配方法，高效评估多轮对话中LLM的越狱风险，解决计算瓶颈与稀有事件检测难题。
arXiv:2605.06605v2 Announce Type: replace Abstract: Evaluating and predicting the performance of large language models (LLMs) in multi-turn conversati…
17
The ‘first’ AI-run ransomware attack still needed a human
首例AI自主勒索软件攻击曝光，但人类操控仍是关键环节——安全新威胁浮现
An AI agent carried out the technical execution of a real-world ransomware attack for the first known time, but new details show a human still chose t…
18
利用微软官方域名，卡巴斯基披露新型钓鱼攻击
卡巴斯基揭露黑客利用微软官方域名和OAuth设备授权流程实施钓鱼攻击，用户需警惕身份验证陷阱。
IT之家 7 月 7 日消息，卡巴斯基昨日（7 月 6 日）发布博文，披露称在 2026 年 4~5 月期间， 监测发现有攻击者利用微软身份平台（Microsoft Identity Platform），执行网络钓鱼活动。 攻击者利用该平台 OAuth 2.0 设备授权授予（Device Autho…
19
20
Zero Day Clock 网站示警：黑客 2 小时内即可利用新鲜公开的漏洞针对企业发起实战攻击
Zero Day Clock"实时追踪漏洞从披露到被利用的时间，数据显示黑客2小时内即可发起攻击，企业安全警钟长鸣。
IT之家 7 月 5 日消息，据外媒 The Hacker News 报道，近年来黑客利用漏洞的速度正以前所未有的幅度加快。为了直观展示这一趋势，近期不少安全专家开始引用名为“Zero Day Clock”的可视化网站，其通过实时统计数据展示漏洞从公开披露到首次被攻击者利用之间的时间变化，引发整个网…