逆向 Claude Code 请求签名：cch 是怎么算出来的
Claude Code 的神秘请求头 使用 Claude Code 时，每次向 Anthropic API 发出的请求都会包含一个特殊的 system 块： 这不是 system prompt，而是被伪装成文本的请求元数据。其中 cch 字段是请求完整性校验值——算错了，API 直接返回错误；算对了，fast mode 等功能才
标签: 安全
清除筛选
axios 供应链攻击：维护者账号遭劫持，恶意版本植入远程控制木马
攻击概述 2026 年 3 月 31 日，安全机构 StepSecurity 发现 JavaScript 生态中下载量最大的 HTTP 客户端库 axios 遭遇供应链攻击。攻击者劫持了 axios 首席维护者的 npm 账号（jasonsaayman），手动发布了两个恶意版本——[email protected] 和 [email protected]——分别投放到 1.x…
苹果锁定模式近四年零攻破记录
苹果发言人向 TechCrunch 确认：自 2022 年推出"锁定模式"（Lockdown Mode）以来，没有任何开启该功能的 Apple 设备被雇佣型间谍软件成功入侵。 cover 独立验证 这一结论并非苹果单方面宣称。Amnesty International 的安全实验室和多伦多大学 Citizen Lab 均独立进行了研究，未发现任何 iPhon…
ICAO 紧急限制航班充电宝：每人最多 2 个，机上禁充
cover 3 月 27 日，国际民航组织（ICAO）宣布对航班充电宝使用实施限制：每位旅客最多携带 2 个充电宝，飞行途中禁止充电。新规作为机上设备使用要求的一部分，周五起立即生效。 这是 ICAO 针对客舱锂电池安全问题的首次全球性量化限制。与以往走 193 个成员国逐步审批的标准程序不同，此次规定绕过常规流程直接生效，反映出监管层对锂电池热失控风险的紧…
Android 17 后量子加密落地：系统可信根的量子抗性升级
Android 17 PQC 封面图 背景：量子威胁已非"将来时" 量子计算对现有公钥密码体系（RSA、ECC）的潜在威胁，正在从理论走向现实。NIST 在 2024 年正式发布了后量子加密（PQC）标准，包括模块-格密码算法 ML-DSA（Module-Lattice Digital Signature Algorithm），标志着全球加密体系进入迁移周期…
Apifox 承认遭遇供应链攻击后，开发团队现在最该做的是全面轮替凭证
近期围绕 Apifox 的供应链攻击事件，官方终于给出了一份正式安全公告。 根据公告内容，Apifox 公网 SaaS 版桌面客户端在运行过程中动态加载的一个外部 JavaScript 文件遭到恶意篡改，因此形成了供应链攻击风险。公告给出的受影响时间窗口是 2026 年 3 月 4 日至 3 月 22 日，并明确指出私有化版本不受这次事件影响，SaaS We…
Apifox 桌面端被曝遭供应链投毒，恶意脚本可窃取 SSH 密钥与 Git 凭证
Apifox 桌面端被曝遭遇一次供应链投毒。按公开还原分析，问题不在用户自己导入了什么接口文档，而在桌面端加载的一段 CDN 事件统计脚本被篡改；一旦代码在 Electron 环境里跑起来，拿到的就是开发机上的敏感信息。 研究者 phith0n 公开的恶意载荷还原代码显示，这段脚本会先收集设备指纹、系统信息、用户名、主机名，并尝试读取 Apifox 本地登录…
GrapheneOS 拒绝把操作系统做成身份核验入口
GrapheneOS 公开表示，其操作系统会继续向全球任何用户开放使用，不要求个人信息、身份证明或注册账号；相关服务也会继续在国际范围内提供。如果因为当地监管要求，导致 GrapheneOS 设备无法在某些地区销售，它也接受这个结果。 GrapheneOS 官方视觉图 这条表态有分量，关键不在语气强硬，而在它把边界说得很直白：基础操作系统不该先变成身份核验入…
OpenAI 开始给内部编码代理配“监工”，数千万轨迹里未见最高风险失调
OpenAI 内部编码代理监控系统配图 OpenAI 最近公开了一套它们内部已经在运行的编码代理监控系统。 按官方说法，这套系统会在一次代理交互结束后 30 分钟内回看完整轨迹，范围包括对话、工具调用、动作，以及模型的思考链，重点筛查两类问题：一类是是否偏离用户原始意图，另一类是是否触碰内部安全、合规和权限边界。 这件事之所以值得看，不只是因为它披露了一组看…