Trusting-Trust 攻击首次端到端实现：一个 strip 工具攻陷整个 Linux 发行版
1984 年，Ken Thompson 在图灵奖讲座《Reflections on Trusting Trust》中描述了一个构造：被篡改的编译器在编译目标程序时植入后门，编译自己的源码时把同样的逻辑写进下一代编译器。此后源码可以完全公开、任何人可审，后门仍随每一次重新编译传递下去。这个构造通常被归为编译器特有的威胁，也长期停留在思想实验层面：恶意编译器需要…
标签: 供应链
清除筛选
Rust arrayref 供应链投毒事件复盘：build.rs 载荷、proc-macro1 typosquat 与 yank 诱导升级
2026 年 8 月 20 日早晨，Rust 生态中累计下载 2.45 亿次的 crate 发布了一个只存活了数小时的新版本。arrayref 全部内容只有四个宏、327 行源码，但它通过 tiny-skia、winit 这条依赖链埋在 egui、iced 等主流 GUI 框架项目的依赖图底部。07:11 UTC，名为 dtolney 的账号发布了 proc…
高通全线芯片9月1日起涨价：AI产能挤压与结构性成本上升
9月1日全线调涨，高通涨价信曝光 COMPUTEX 2026上高通CEO Cristiano Amon介绍全线产品 2026年7月24日，高通以"Dear Customer"开头向客户发出一封价格调整通知信，由"Qualcomm Executive Team"署名。信中宣布，自9月1日起，对当日或之后出货的产品实施全线价格调整。 Bloomberg记者Ian…
三星和 LG 将为 iPhone 18 Pro 供应 OLED 面板，京东方未入围
据韩媒 The Elec 报道，苹果 iPhone 18 Pro 和 Pro Max 的 OLED 面板预计本月完成认证，三星显示与 LG 显示将承担绝大部分供应。京东方虽曾为 iPhone 17 Pro 供货，但因 LTPO+ 技术落后和良率不及两家韩厂，未能争取到该高端机型订单。 京东方出局原因 iPhone 18 Pro 系列将首次采用 LTPO+ 技…
PyPI 包 lightning 遭供应链攻击，800 万月下载量的 ML 框架暴露开发者凭证
2026年4月30日，深度学习框架 PyTorch Lightning 的 PyPI 包 lightning 的 2.6.2 和 2.6.3 版本被植入恶意代码，import lightning 即触发窃取行为。月下载量约 800 万的包被劫持，波及大量 ML 训练管线和 CI 环境。 事件时间线 UTC 12:45 — lightning 2.6.2 发布…
Vercel 确认安全事件，暗网卖家声称掌握核心访问权限
云托管平台 Vercel 于 4 月 19 日发布安全公告，确认内部系统遭遇未经授权访问。该公司表示已启动调查，聘请了安全事件响应专家，并通知了执法部门。 暗网出售声明 几乎在同一时间，暗网论坛 BreachForums 上出现了一则出售帖，声称拥有 Vercel 的内部访问权限。卖家自称属于黑客组织 ShinyHunters，以 200 万美元的价格挂牌出…
中国半导体设备营收创纪录，美系设备绕道东南亚涌入
日经亚洲分析显示，北方华创、中微公司、盛美上海和拓荆科技等中国半导体设备厂商在 2025 年均创下营收纪录。其中北方华创前三季度营收达 271.4 亿元，远超 2020 年全年水平；拓荆科技营收较 2020 年增长约 13 倍。但受国内市场激烈竞争和价格战影响，本土供应商的利润率正面临下滑压力。 中国半导体设备营收创纪录，美系设备绕道东南亚涌入 东南亚转运通…
LLM 供应链安全警钟：超 20% 免费 API 路由器存在恶意行为
Solayer 创始人 Chaofan Shou 联合 UCSB、UCSD 等机构发布论文《Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain》，揭示了 LLM 代理依赖的第三方 API 路由器存在系统性安全隐患。 LLM 供应链安全警钟：超…
美国人形机器人的身体，正在被中国供应链接管
美国人形机器人的"身体"，正在被中国供应链接管 《华尔街日报》4月3日发表了一篇值得关注的报道：在被视为下一代科技风口的人形机器人领域，美国企业虽然掌控着"大脑"——芯片和 AI 算法——但"身体"——电机、关节、减速器、传感器——正越来越依赖中国供应链。 这不是一个简单的"Made in China"故事。它涉及地缘政治、产业竞争和技术脱钩的深层矛盾。 迪…