Hacker News 科技周报 - 2025年4月21-27日

欢迎阅读本周的 Hacker News 科技周报，我们汇总了科技社区中各个领域的重要动态。本周报道了网络安全、人工智能和软件开发领域的一系列重要进展。

网络安全亮点

关键漏洞与利用

• SAP NetWeaver 漏洞：安全研究人员发现了 SAP NetWeaver 中的一个新漏洞被可能利用，攻击者可以上传 JSP 网页木马进行未授权文件访问和代码执行。据 ReliaQuest 报告，这个问题可能与之前公开的漏洞或未报告的远程文件包含问题有关。超过 10,000 个面向互联网的应用程序可能受到影响。

• SonicWall SSL VPN 漏洞：SonicWall 披露了其 SSL VPN 服务中的一个严重安全漏洞，未经认证的远程攻击者可能利用它使受影响的防火墙设备崩溃，导致服务中断。

• Redis 漏洞：流行的开源内存数据结构存储 Redis 被发现存在高危漏洞，可能允许未经认证的攻击者通过耗尽服务器资源造成拒绝服务状态。

威胁行为者活动

• 北韩网络行动：一个被称为”Contagious Interview”的复杂北韩威胁组织建立了假冒的加密货币咨询公司，针对求职者进行攻击。该行动分发了多种恶意软件，包括 BeaverTail、InvisibleFerret 和 OtterCookie。

• Lazarus 组织活动：多个韩国组织在近期的一项名为”Operation SyncHole”的活动中被 Lazarus 组织攻击。

• Docker 环境攻击：新发现的恶意软件活动针对 Docker 环境，使用复杂的多层混淆技术来逃避检测并劫持计算资源进行加密货币挖矿。

行业新闻与数据

• Verizon DBIR 报告：最新的 Verizon 数据泄露调查报告揭示了有关 VPN 和网络边缘设备安全状况的令人担忧的统计数据。

• 2025年第一季度漏洞统计：2025年第一季度有 159 个 CVE 标识被标记为在野外被利用，高于 2024 年第四季度的 151 个。值得注意的是，28.3% 的漏洞在其 CVE 披露后一天内就被利用，突显了及时修补的重要性。

• RSA 大会 2025：数百家公司正在 2025 年旧金山 RSA 大会上展示其产品和服务，展示网络安全领域的最新创新。

人工智能发展

AI 安全隐患

• Policy Puppetry 攻击：研究人员发现了一种名为”Policy Puppetry”的新型攻击技术，可以突破主要生成式 AI 模型的保护机制产生有害输出，引发对 AI 安全的担忧。

• 语音克隆欺诈：据报道，工程集团 Arup 因欺诈者在视频会议中使用高管的数字克隆语音下达转账指令而损失 2500 万美元，凸显了 AI 驱动欺诈的日益复杂化。

• LLM 聊天界面危险：安全研究人员越来越担心，随着大型语言模型架构变得更加复杂，聊天界面黑客攻击将成为一个显著的网络安全问题，需要实施安全开发、架构、数据安全和身份访问管理等强大的安全实践。

AI 行业新闻

• Meta AI 训练更新：Meta 宣布将开始使用欧盟平台上成年人分享的公共数据来训练其 AI 模型，此前因爱尔兰监管机构的数据保护担忧而暂停了这些努力。

• AI 网络安全应用：组织正越来越多地将 AI 集成到安全工作流程中，从数字取证到漏洞评估和端点检测，使安全团队能够分析比以往更多的数据。

• 微软与开源 AI：关于微软如何与开源 AI 项目互动的讨论引发了一些争议，特别是关于该公司如何与开源维护者互动。

软件开发趋势

开发安全

• 非人类身份风险：根据 GitGuardian 和 CyberArk 的研究，79% 的 IT 决策者报告经历过机密泄露，高于去年的 75%。随着非人类身份数量超过人类身份至少 45:1，这代表了一个重大的安全挑战。

• Git 工具漏洞：一位安全工程师揭示了 Git 工具中的关键漏洞，使数百万开发者面临凭证盗窃风险，影响了 GitHub Desktop、Git Credential Manager、Git LFS、GitHub CLI 和 GitHub Codespaces。

• Python 包安全：PyPI 管理员最近不得不对恶意包采取行动，表明保护软件供应链的持续挑战。

编程语言与框架

• AI 对软件开发的影响：关于 AI 如何改变软件开发格局的讨论持续升温，一些开发者对 AI 可能改变其角色表示担忧，而另一些则拥抱潜在的生产力提升。

• 安全开发趋势：据行业专家表示，今年开发中的安全性不会变得”隐形”，但会变得更容易管理。左移方法正在演变，AI 指导正发挥越来越重要的作用。

• 苹果的私有云计算：苹果公开了其私有云计算 (PCC) 虚拟研究环境，允许研究人员检查和验证隐私和安全保证，并为发现的漏洞提供 50,000 美元到 1,000,000 美元的赏金。

其他值得关注的故事

• Backblaze 争议：关于云存储提供商 Backblaze 的亏损、诉讼和会计问题的报告引发了广泛讨论。

• 第一代 Nest 恒温器支持结束：谷歌宣布第一代和第二代 Nest 恒温器将于 2025 年 10 月停止支持，引发了对智能家居设备寿命的担忧。

• 友谊衰退：哈佛幸福研究中心的一篇关于”连接的失落艺术”的文章受到关注，研究了数字时代的社会孤立趋势。

• 自写操作系统在老式 ThinkPad 上运行：一名开发者在老式 IBM ThinkPad 上运行自己编写的业余操作系统的项目引起了社区的关注。

• 员工监控应用安全漏洞：据报道，一款顶级员工监控应用泄露了 2100 万用户截图，引发了重大隐私担忧。

以上就是本周的科技周报。请继续关注下周的科技世界重要发展动态汇总。