漏洞与攻击分析

Linux Sudo权限提升漏洞（CVE-2025-32463）

美国网络安全和基础设施安全局（CISA）警告称，攻击者正在积极利用Linux sudo包中的一个关键漏洞，该漏洞允许在Linux操作系统上以root权限执行命令。该漏洞影响sudo版本1.9.14至1.9.17，严重性评分为9.3/10。

即使未列入sudoers列表，本地攻击者也可利用-R（–chroot）选项以root身份运行任意命令。该漏洞自2023年6月版本1.9.14发布以来就存在，研究人员于2024年7月4日发布了概念验证漏洞利用。

VMware产品漏洞利用

UNC5174中国黑客组织利用VMware产品中的零日漏洞（CVE-2025-41244）入侵政府和组织。该组织自2023年10月以来一直使用此漏洞攻击高价值目标，并在获得访问权限后修补漏洞以防止其他组织利用。

物理攻击突破可信执行环境

研究人员展示了如何通过物理攻击突破Intel和AMD的可信执行环境安全模型。攻击利用了加密实现的弱点，其中“相同明文写入相同地址始终产生相同密文”，暴露了硬件供应链中的安全风险。

国家数字身份系统安全担忧

英国数字ID提案

评论者对新提出的英国通用“数字ID”系统表示严重担忧，指出：

• 集中化数据库将连接生活的各个方面（居住、住房、工作、医疗、教育、旅行）
• 英国在大型公共IT项目方面记录糟糕
• 数据安全和隐私风险
• 可能外包给Palantir等私营公司

瑞士电子ID投票结果

瑞士以50.4%对49.6%的微弱优势通过了电子/数字身份证提案。

AI安全与经济风险

AI泡沫与经济风险

评论引用了Cory Doctorow的《真正的AI经济末日即将来临》，指出AI收入无法覆盖支出，AI泡沫破裂可能对经济产生严重影响。图灵奖得主Rich Sutton最近评论称，无论规模多大，LLMs都是死胡同，因为它们只是模仿人类语言。

递归神经网络挑战

讨论指出，当前LLMs的基本缺陷是它们是前馈网络，无法扩展。解决方案是构建反馈循环（递归），让网络可以重新评估输出阶段与输入的关系，但这在人工神经网络中极难稳定实现。

中国黑客活动

多个中国APT组织持续攻击关键基础设施：

• Phantom Taurus组织入侵外交部Microsoft Exchange服务器
• RedNovember在四天内攻击了全球至少60个组织
• Naikon组织瞄准东盟国家外交部和电信公司

这些攻击利用了各种企业网络设备中的漏洞，包括Check Point安全网关和Ivelli设备中的漏洞。