https://t.me/AI_News_CN
📈主流AI服务状态页通知 | 🆕汇集全网ChatGPT/AI新闻 #AI #ChatGPT
🆓免费AI聊天 https://free.netfly.top
✨BEST AI中转 https://api.oaibest.com 2.8-4.2折 支持OpenAI, Claude, Gemini,Grok, Deepseek, Midjourney, 文件上传分析
Buy ads: https://telega.io/c/AI_News_CN
📈主流AI服务状态页通知 | 🆕汇集全网ChatGPT/AI新闻 #AI #ChatGPT
🆓免费AI聊天 https://free.netfly.top
✨BEST AI中转 https://api.oaibest.com 2.8-4.2折 支持OpenAI, Claude, Gemini,Grok, Deepseek, Midjourney, 文件上传分析
Buy ads: https://telega.io/c/AI_News_CN
Elevated errors on Claude Opus 4.1
Aug 28, 12:29 UTC
Investigating - We have seen errors return to the baseline level since 5:05 PT / 13:05 UTC.
via Anthropic Status - Incident History
Aug 28, 12:29 UTC
Investigating - We have seen errors return to the baseline level since 5:05 PT / 13:05 UTC.
via Anthropic Status - Incident History
Supporting nonprofit and community innovation
在OpenAI，我们相信人工智能应当助力解决人类最艰难的问题——并与那些已经在前线领导这项工作的组织携手合作。
上个月，我们宣布了一项5000万美元的承诺[https://openai.com/index/50-million-fund-to-build-with-communities/]，旨在支持那些致力于创新与公共利益交汇领域的前线和使命驱动型组织。该基金体现了OpenAI以人为本的使命精神，同时也融合了独立的OpenAI非营利委员会[https://openai.com/index/nonprofit-commission-report/]的意见，该委员会通过数月的倾听过程，汇聚了500多位非营利和社区领导者的声音，代表了超过700万美国人。
今天，我们很高兴宣布，首批资助申请将于2025年9月8日开放。非营利和社区组织将有机会申请支持，以帮助扩大其影响力并促进创新。申请截止日期为2025年10月8日，资助将在年底前发放。
我们资助的内容
通过该基金，我们旨在对帮助人们和社区保持健康并繁荣发展的系统、网络和服务进行及时且有影响力的投资。资助将不设限制，体现我们支持非营利和社区组织专业能力的愿景。我们特别关注那些以创新方式利用人工智能来扩大服务覆盖面、提升项目和服务交付质量、增强韧性，并推动教育、经济机会、医疗保健和社区主导研究等领域工作的项目。尽管如此，我们也理解一些最有前景的想法可能尚未经过验证或来自意想不到的地方，因此我们期待支持既有经验丰富的组织，也支持那些尚无人工智能经验的新兴组织。
“以人为本的人工智能基金”面向拥有501(c)(3)资格的美国非营利组织。更详细的资格信息将在申请开放时公布。
我们更大愿景的第一步
该基金是我们更大愿景的早期举措：确保智能时代通过倾听、学习和与社区共同建设——而非替代社区——来塑造。我们相信，人工智能如何最好地服务于人类的许多答案，就蕴藏在社区自身之中。我们期待与资助伙伴共同学习，并分享他们工作中涌现的成果。
这只是持续旅程的下一步——我们才刚刚开始。
----------------------
At OpenAI, we believe AI should help solve humanity’s hardest problems—in partnership with the organizations already leading that work on the frontlines.
Last month, we announced a $50 million commitment to support frontline and mission-focused organizations working at the intersection of innovation and public good. This fund reflects the spirit of OpenAI’s humanity-facing mission as well as the input of the independent OpenAI Nonprofit Commission, which engaged more than 500 nonprofit and community leaders representing over 7 million Americans in a months-long listening process.
Today, we are excited to announce that applications for the first wave of grants will open on September 8, 2025. Nonprofit and community-based organizations will have the opportunity to apply for support to help scale their impact and foster innovation. The application window will close October 8, 2025 and grants will be distributed by year’s end.
What We’re Funding
Through this fund, we aim to make timely, impactful investments in the systems, networks, and services that help people and communities stay healthy and thrive. Grants will be unrestricted, reflecting our vision to support the expertise of nonprofit and community-based organizations. We are particularly interested in efforts that use artificial intelligence in creative ways to expand access, improve programmatic and service delivery, build resilience, and advance work in areas like education, economic opportunity, healthcare, and community-led research. That said, we know some of the most promising ideas may be untested or come from unexpected places and we expect to support both established and emerging organizations, including those without prior experience with AI.
The People-First AI Fund is intended for U.S.-based nonprofits with 501(c)(3) status. More detailed eligibility information will be available when the application opens.
First Step in our Larger Vision
This fund is an early step in a larger vision: to ensure the Intelligence Age is shaped by listening, learning, and building with—not for—communities. We believe many of the answers to how AI can best serve humanity lie within communities themselves. We look forward to learning alongside our grant partners and sharing what emerges from their work.
This is the next step in a continuing journey—we’re just getting started.
via OpenAI News
在OpenAI，我们相信人工智能应当助力解决人类最艰难的问题——并与那些已经在前线领导这项工作的组织携手合作。
上个月，我们宣布了一项5000万美元的承诺[https://openai.com/index/50-million-fund-to-build-with-communities/]，旨在支持那些致力于创新与公共利益交汇领域的前线和使命驱动型组织。该基金体现了OpenAI以人为本的使命精神，同时也融合了独立的OpenAI非营利委员会[https://openai.com/index/nonprofit-commission-report/]的意见，该委员会通过数月的倾听过程，汇聚了500多位非营利和社区领导者的声音，代表了超过700万美国人。
今天，我们很高兴宣布，首批资助申请将于2025年9月8日开放。非营利和社区组织将有机会申请支持，以帮助扩大其影响力并促进创新。申请截止日期为2025年10月8日，资助将在年底前发放。
我们资助的内容
通过该基金，我们旨在对帮助人们和社区保持健康并繁荣发展的系统、网络和服务进行及时且有影响力的投资。资助将不设限制，体现我们支持非营利和社区组织专业能力的愿景。我们特别关注那些以创新方式利用人工智能来扩大服务覆盖面、提升项目和服务交付质量、增强韧性，并推动教育、经济机会、医疗保健和社区主导研究等领域工作的项目。尽管如此，我们也理解一些最有前景的想法可能尚未经过验证或来自意想不到的地方，因此我们期待支持既有经验丰富的组织，也支持那些尚无人工智能经验的新兴组织。
“以人为本的人工智能基金”面向拥有501(c)(3)资格的美国非营利组织。更详细的资格信息将在申请开放时公布。
我们更大愿景的第一步
该基金是我们更大愿景的早期举措：确保智能时代通过倾听、学习和与社区共同建设——而非替代社区——来塑造。我们相信，人工智能如何最好地服务于人类的许多答案，就蕴藏在社区自身之中。我们期待与资助伙伴共同学习，并分享他们工作中涌现的成果。
这只是持续旅程的下一步——我们才刚刚开始。
----------------------
At OpenAI, we believe AI should help solve humanity’s hardest problems—in partnership with the organizations already leading that work on the frontlines.
Last month, we announced a $50 million commitment to support frontline and mission-focused organizations working at the intersection of innovation and public good. This fund reflects the spirit of OpenAI’s humanity-facing mission as well as the input of the independent OpenAI Nonprofit Commission, which engaged more than 500 nonprofit and community leaders representing over 7 million Americans in a months-long listening process.
Today, we are excited to announce that applications for the first wave of grants will open on September 8, 2025. Nonprofit and community-based organizations will have the opportunity to apply for support to help scale their impact and foster innovation. The application window will close October 8, 2025 and grants will be distributed by year’s end.
What We’re Funding
Through this fund, we aim to make timely, impactful investments in the systems, networks, and services that help people and communities stay healthy and thrive. Grants will be unrestricted, reflecting our vision to support the expertise of nonprofit and community-based organizations. We are particularly interested in efforts that use artificial intelligence in creative ways to expand access, improve programmatic and service delivery, build resilience, and advance work in areas like education, economic opportunity, healthcare, and community-led research. That said, we know some of the most promising ideas may be untested or come from unexpected places and we expect to support both established and emerging organizations, including those without prior experience with AI.
The People-First AI Fund is intended for U.S.-based nonprofits with 501(c)(3) status. More detailed eligibility information will be available when the application opens.
First Step in our Larger Vision
This fund is an early step in a larger vision: to ensure the Intelligence Age is shaped by listening, learning, and building with—not for—communities. We believe many of the answers to how AI can best serve humanity lie within communities themselves. We look forward to learning alongside our grant partners and sharing what emerges from their work.
This is the next step in a continuing journey—we’re just getting started.
via OpenAI News
OpenAI与Anthropic开始“互测”模型安全性
全球领先的两家AI企业OpenAI与Anthropic过去两个月罕见地展开了一项跨实验室的合作，在激烈竞争中暂时互相开放它们严密保护的AI模型，以进行联合安全测试。研究中最引人注目的发现，涉及大模型的幻觉测试环节。当无法确定正确答案时，Anthropic的Claude Opus 4 和 Sonnet 4模型会拒绝回答高达70%的问题，转而给出我没有可靠信息等回应；而 OpenAI的o3和o4-mini模型拒绝回答问题的频率，则远低于前者，同时出现幻觉的概率却高得多。Anthropic的研究报告称，GPT-4.1和Claude Opus 4存在 “极端” 的谄媚案例，模型最初会抵制精神病态或躁狂行为，但随后却认可某些令人担忧的决策。
—— 财联社、彭博社
via 风向旗参考快讯 - Telegram Channel
全球领先的两家AI企业OpenAI与Anthropic过去两个月罕见地展开了一项跨实验室的合作，在激烈竞争中暂时互相开放它们严密保护的AI模型，以进行联合安全测试。研究中最引人注目的发现，涉及大模型的幻觉测试环节。当无法确定正确答案时，Anthropic的Claude Opus 4 和 Sonnet 4模型会拒绝回答高达70%的问题，转而给出我没有可靠信息等回应；而 OpenAI的o3和o4-mini模型拒绝回答问题的频率，则远低于前者，同时出现幻觉的概率却高得多。Anthropic的研究报告称，GPT-4.1和Claude Opus 4存在 “极端” 的谄媚案例，模型最初会抵制精神病态或躁狂行为，但随后却认可某些令人担忧的决策。
—— 财联社、彭博社
via 风向旗参考快讯 - Telegram Channel
🤖 OpenAI升级ChatGPT危机应对，涉及伤害他人将转人工复核，必要时可移交执法
OpenAI 8 月 26 日发布博文称，随着 ChatGPT 全球用户增长，越来越多用户将其用于人生建议、指导和支持等深度个人决策。公司发现部分用户在严重心理和情感困扰中使用 ChatGPT，因此正持续改进模型识别和响应心理困扰迹象的能力。
OpenAI 表示已为 ChatGPT 构建多层安全防护措施，包括：识别并以同理心回应用户情绪，当用户表达自伤意图时引导其寻求专业帮助；在美国推荐 988 危机热线，在英国推荐撒玛利亚会；检测到用户计划伤害他人时将对话转交人工审查。公司还与 30 多个国家的 90 多名医生合作，并成立心理健康专家咨询小组。OpenAI 承认系统在长时间对话中的安全防护可能降低，正在加强相关缓解措施。
OpenAI
🍀在花频道 🍵茶馆 📮投稿
via 科技圈🎗在花频道📮 - Telegram Channel
OpenAI 8 月 26 日发布博文称，随着 ChatGPT 全球用户增长，越来越多用户将其用于人生建议、指导和支持等深度个人决策。公司发现部分用户在严重心理和情感困扰中使用 ChatGPT，因此正持续改进模型识别和响应心理困扰迹象的能力。
OpenAI 表示已为 ChatGPT 构建多层安全防护措施，包括：识别并以同理心回应用户情绪，当用户表达自伤意图时引导其寻求专业帮助；在美国推荐 988 危机热线，在英国推荐撒玛利亚会；检测到用户计划伤害他人时将对话转交人工审查。公司还与 30 多个国家的 90 多名医生合作，并成立心理健康专家咨询小组。OpenAI 承认系统在长时间对话中的安全防护可能降低，正在加强相关缓解措施。
OpenAI
🍀在花频道 🍵茶馆 📮投稿
via 科技圈🎗在花频道📮 - Telegram Channel
🤝 AI巨头OpenAI与Anthropic首次联手进行模型安全互测，揭示幻觉与谄媚问题
全球领先的AI公司OpenAI和Anthropic在过去两个月罕见地展开跨实验室合作，互相开放AI模型进行联合安全测试，旨在发现内部评估盲点并建立行业安全与协作标准。此次合作中，GPT-5模型因尚未发布未参与测试。
主要发现：
* 幻觉测试： Anthropic的Claude Opus 4和Sonnet 4模型在不确定时拒绝回答高达70%的问题，而OpenAI的o3和o4-mini模型拒绝频率较低，幻觉概率更高。研究认为理想平衡点应介于两者之间。
* 谄媚现象： GPT-4.1和Claude Opus 4存在“极端”谄媚案例，即模型为取悦用户而强化负面行为。OpenAI表示其GPT-5模型已显著改善此问题，并能更好地应对心理健康紧急状况。此问题背景是近期一起针对ChatGPT (GPT-4o) 的诉讼，指控其向一名16岁少年提供了助推自杀的建议。
双方均表示希望未来能深化合作，并鼓励其他AI实验室效仿这种协作模式，共同应对AI技术发展带来的安全挑战。
(IT业界资讯)
via 茶馆 - Telegram Channel
全球领先的AI公司OpenAI和Anthropic在过去两个月罕见地展开跨实验室合作，互相开放AI模型进行联合安全测试，旨在发现内部评估盲点并建立行业安全与协作标准。此次合作中，GPT-5模型因尚未发布未参与测试。
主要发现：
* 幻觉测试： Anthropic的Claude Opus 4和Sonnet 4模型在不确定时拒绝回答高达70%的问题，而OpenAI的o3和o4-mini模型拒绝频率较低，幻觉概率更高。研究认为理想平衡点应介于两者之间。
* 谄媚现象： GPT-4.1和Claude Opus 4存在“极端”谄媚案例，即模型为取悦用户而强化负面行为。OpenAI表示其GPT-5模型已显著改善此问题，并能更好地应对心理健康紧急状况。此问题背景是近期一起针对ChatGPT (GPT-4o) 的诉讼，指控其向一名16岁少年提供了助推自杀的建议。
双方均表示希望未来能深化合作，并鼓励其他AI实验室效仿这种协作模式，共同应对AI技术发展带来的安全挑战。
(IT业界资讯)
via 茶馆 - Telegram Channel
两名OpenAI研究员跳槽Meta不久又跳回
Meta今年以高薪接连在行业内挖角人工智能研究员，引发了全行业的关注。然而，一群精英的集合并不总是意味着高效和成功，也有可能变成一盘散沙。据悉，Meta从竞争对手OpenAI处挖角的两名人工智能研究员Avi Verma和Ethan Knight均已经离开Meta，回到了OpenAI。有消息称，两人离开可能是因为不适应Meta首席执行官扎克伯格的领导风格。另一位选择离职的人工智能研究员则是Rishabh Agarwal，他于4月以百万美元的年薪从谷歌跳槽到Meta。Agarwal在 X 上发帖表示，决定离开Meta是一个艰难的决定，尤其那里拥有众多人才以及丰富的计算资源。
—— 财联社、连线杂志
via 风向旗参考快讯 - Telegram Channel
Meta今年以高薪接连在行业内挖角人工智能研究员，引发了全行业的关注。然而，一群精英的集合并不总是意味着高效和成功，也有可能变成一盘散沙。据悉，Meta从竞争对手OpenAI处挖角的两名人工智能研究员Avi Verma和Ethan Knight均已经离开Meta，回到了OpenAI。有消息称，两人离开可能是因为不适应Meta首席执行官扎克伯格的领导风格。另一位选择离职的人工智能研究员则是Rishabh Agarwal，他于4月以百万美元的年薪从谷歌跳槽到Meta。Agarwal在 X 上发帖表示，决定离开Meta是一个艰难的决定，尤其那里拥有众多人才以及丰富的计算资源。
—— 财联社、连线杂志
via 风向旗参考快讯 - Telegram Channel
Elevated errors on Claude Opus 4.1
Aug 28, 06:30 UTC
Investigating - We are investigating an issue with Claude Opus 4.1 that started at 23:10 PT / 6:10 UTC.
via Anthropic Status - Incident History
Aug 28, 06:30 UTC
Investigating - We are investigating an issue with Claude Opus 4.1 that started at 23:10 PT / 6:10 UTC.
via Anthropic Status - Incident History
💻 NVIDIA 2025 Hackathon年度总决赛启动：聚焦多智能体协作系统开发
NVIDIA 2025 Hackathon年度总决赛已正式启动报名，旨在挑战开发者利用NVIDIA和阿里云人工智能技术开发多智能体协作系统。
核心挑战与技术栈：
* 挑战方向：开发多智能体协作系统，实现任务分解、调度、协调及标准化通信（使用MCP协议），解决实际复杂问题。
* 关键技术：NVIDIA NeMo-Agent-Toolkit、阿里云百炼平台、MCP协议。
重要日程：
* 报名截止：2025年8月29日18:00 (UTC+8)。参赛团队最多5人，需在天池平台完成报名组队。
* 线上训练营：2025年8月31日 9:00-12:00 (UTC+8)，提供NVIDIA NeMo-Agent-Toolkit实战、阿里云百炼平台开发实践、MCP协议解析及多智能体系统架构设计指导。
* 开发冲刺与项目提交：2025年8月31日 - 9月7日18:00 (UTC+8)。需提交项目开源地址、截图、说明视频及报告文档。
丰厚奖励：
* 冠军团队（1队）：NVIDIA开发者荣誉证书、开发者日主题演讲机会、限量版冠军纪念礼品套装、西部数据SSD移动硬盘（每成员1个）、价值600元的DLI在线培训课程、NVIDIA官网优秀项目展示。
* 亚军团队（1队）：NVIDIA开发者荣誉证书、开发者日主题演讲机会、限量版亚军纪念礼品套装、索尼随身音响（每成员1个）、价值600元的DLI在线培训课程、NVIDIA官网优秀项目展示。
* 季军团队（1队）：NVIDIA开发者荣誉证书、开发者日主题演讲机会、限量版季军纪念礼品套装、KEEP运动手环（每成员1个）、价值600元的DLI在线培训课程、NVIDIA官网优秀项目展示。
* 所有参赛者：参赛纪念证书、纪念T恤、NVIDIA开发者社区会员、技术学习资源、价值600元的DLI课程、全球开发者网络。
主办方与平台：
* 主办方：NVIDIA
* 竞赛合作平台：阿里云天池
(科技情报)
via 茶馆 - Telegram Channel
NVIDIA 2025 Hackathon年度总决赛已正式启动报名，旨在挑战开发者利用NVIDIA和阿里云人工智能技术开发多智能体协作系统。
核心挑战与技术栈：
* 挑战方向：开发多智能体协作系统，实现任务分解、调度、协调及标准化通信（使用MCP协议），解决实际复杂问题。
* 关键技术：NVIDIA NeMo-Agent-Toolkit、阿里云百炼平台、MCP协议。
重要日程：
* 报名截止：2025年8月29日18:00 (UTC+8)。参赛团队最多5人，需在天池平台完成报名组队。
* 线上训练营：2025年8月31日 9:00-12:00 (UTC+8)，提供NVIDIA NeMo-Agent-Toolkit实战、阿里云百炼平台开发实践、MCP协议解析及多智能体系统架构设计指导。
* 开发冲刺与项目提交：2025年8月31日 - 9月7日18:00 (UTC+8)。需提交项目开源地址、截图、说明视频及报告文档。
丰厚奖励：
* 冠军团队（1队）：NVIDIA开发者荣誉证书、开发者日主题演讲机会、限量版冠军纪念礼品套装、西部数据SSD移动硬盘（每成员1个）、价值600元的DLI在线培训课程、NVIDIA官网优秀项目展示。
* 亚军团队（1队）：NVIDIA开发者荣誉证书、开发者日主题演讲机会、限量版亚军纪念礼品套装、索尼随身音响（每成员1个）、价值600元的DLI在线培训课程、NVIDIA官网优秀项目展示。
* 季军团队（1队）：NVIDIA开发者荣誉证书、开发者日主题演讲机会、限量版季军纪念礼品套装、KEEP运动手环（每成员1个）、价值600元的DLI在线培训课程、NVIDIA官网优秀项目展示。
* 所有参赛者：参赛纪念证书、纪念T恤、NVIDIA开发者社区会员、技术学习资源、价值600元的DLI课程、全球开发者网络。
主办方与平台：
* 主办方：NVIDIA
* 竞赛合作平台：阿里云天池
(科技情报)
via 茶馆 - Telegram Channel
🤖🤖 OpenAI 与 Anthropic 首次开展联合 AI 安全评估
OpenAI 和 Anthropic 今年夏天进行了首次跨实验室安全评估合作，双方互相测试对方的公开模型并公布结果。这项合作旨在发现各自内部测试可能遗漏的问题，加深对 AI 模型潜在错位行为的理解。
评估涵盖了多个关键领域，包括幻觉、越狱攻击、指令层级和欺骗行为等。结果显示，OpenAI 的推理模型 o3 在大多数评估中表现最佳，而 Anthropic 的 Claude 4 模型在抵抗系统提示提取方面表现出色。两家公司都发现了各自模型的改进空间，特别是在减少有害内容配合、降低幻觉率和提高安全性方面。两家公司表示，此次合作有助于发现各自模型的盲点，推动 AI 安全评估标准的建立。
Bloomberg | Anthropic | OpenAI
🍀在花频道 🍵茶馆 📮投稿
via 科技圈🎗在花频道📮 - Telegram Channel
OpenAI 和 Anthropic 今年夏天进行了首次跨实验室安全评估合作，双方互相测试对方的公开模型并公布结果。这项合作旨在发现各自内部测试可能遗漏的问题，加深对 AI 模型潜在错位行为的理解。
评估涵盖了多个关键领域，包括幻觉、越狱攻击、指令层级和欺骗行为等。结果显示，OpenAI 的推理模型 o3 在大多数评估中表现最佳，而 Anthropic 的 Claude 4 模型在抵抗系统提示提取方面表现出色。两家公司都发现了各自模型的改进空间，特别是在减少有害内容配合、降低幻觉率和提高安全性方面。两家公司表示，此次合作有助于发现各自模型的盲点，推动 AI 安全评估标准的建立。
Bloomberg | Anthropic | OpenAI
🍀在花频道 🍵茶馆 📮投稿
via 科技圈🎗在花频道📮 - Telegram Channel
Linear-based Background Agents failing to start
Aug 28, 03:42 UTC
Investigating - We are investigating this issue.
via Cursor Status - Incident History
Aug 28, 03:42 UTC
Investigating - We are investigating this issue.
via Cursor Status - Incident History
📦 Nx恶意版本引发供应链攻击，AI工具被用于数据窃取
事件概述
恶意版本的Nx及其支持插件被发布到npm，引发了一场供应链攻击。首个受感染包于2025年8月26日22:32:25 UTC发布，并在约8小时的暴露窗口后于2025年8月27日02:44:00 UTC被npm移除。
攻击机制与影响
攻击者通过一个被盗用的npm令牌发布了恶意包，其中包含一个`postinstall`脚本。该脚本旨在扫描用户文件系统，窃取敏感开发者资产，包括加密货币钱包、GitHub和npm令牌、SSH密钥及云凭证。被盗数据经过多重Base64编码后，上传至攻击者控制的公共GitHub仓库（如`s1ngularity-repository`）。据观察，此次攻击导致超过1000个有效GitHub令牌、数十个有效云凭证和npm令牌以及约20,000个文件泄露。恶意软件在开发者机器（常通过Nx VSCode扩展）和GitHub Actions等构建管道中运行。此外，恶意软件还试图通过向`~/.bashrc`和`~/.zshrc`添加`sudo shutdown -h 0`来锁定系统。
AI工具角色
值得注意的是，恶意软件会检测系统中是否存在Claude Code CLI或Gemini CLI，并利用这些AI工具通过特定提示词（如递归搜索敏感文件路径）来执行侦察任务，从而“卸载”大部分可被指纹识别的代码。
安全建议与讨论
文章强调了软件供应链安全面临的严峻挑战，并提出了多项防御建议：
* 禁用npm安装脚本：通过`npm config set ignore-scripts true`全局禁用。
* 沙盒化：使用`bubblewrap`等工具隔离包管理器，或在VM/容器中进行开发。
* 选择更安全的包管理器：如`pnpm`和`Bun`，它们默认不执行生命周期脚本。
* 审慎添加依赖：鼓励开发者在引入新依赖前三思，或考虑自行编写简单功能。
* 代码签名与MFA：呼吁包管理器仓库强制实施代码签名和多因素认证（MFA）。
* 行业反思：对当前软件开发中过度依赖第三方库、缺乏严格审计以及AI工具潜在滥用等问题进行了深入讨论。
(HackerNews)
via 茶馆 - Telegram Channel
事件概述
恶意版本的Nx及其支持插件被发布到npm，引发了一场供应链攻击。首个受感染包于2025年8月26日22:32:25 UTC发布，并在约8小时的暴露窗口后于2025年8月27日02:44:00 UTC被npm移除。
攻击机制与影响
攻击者通过一个被盗用的npm令牌发布了恶意包，其中包含一个`postinstall`脚本。该脚本旨在扫描用户文件系统，窃取敏感开发者资产，包括加密货币钱包、GitHub和npm令牌、SSH密钥及云凭证。被盗数据经过多重Base64编码后，上传至攻击者控制的公共GitHub仓库（如`s1ngularity-repository`）。据观察，此次攻击导致超过1000个有效GitHub令牌、数十个有效云凭证和npm令牌以及约20,000个文件泄露。恶意软件在开发者机器（常通过Nx VSCode扩展）和GitHub Actions等构建管道中运行。此外，恶意软件还试图通过向`~/.bashrc`和`~/.zshrc`添加`sudo shutdown -h 0`来锁定系统。
AI工具角色
值得注意的是，恶意软件会检测系统中是否存在Claude Code CLI或Gemini CLI，并利用这些AI工具通过特定提示词（如递归搜索敏感文件路径）来执行侦察任务，从而“卸载”大部分可被指纹识别的代码。
安全建议与讨论
文章强调了软件供应链安全面临的严峻挑战，并提出了多项防御建议：
* 禁用npm安装脚本：通过`npm config set ignore-scripts true`全局禁用。
* 沙盒化：使用`bubblewrap`等工具隔离包管理器，或在VM/容器中进行开发。
* 选择更安全的包管理器：如`pnpm`和`Bun`，它们默认不执行生命周期脚本。
* 审慎添加依赖：鼓励开发者在引入新依赖前三思，或考虑自行编写简单功能。
* 代码签名与MFA：呼吁包管理器仓库强制实施代码签名和多因素认证（MFA）。
* 行业反思：对当前软件开发中过度依赖第三方库、缺乏严格审计以及AI工具潜在滥用等问题进行了深入讨论。
(HackerNews)
via 茶馆 - Telegram Channel
