科技

假Cloudflare验证码不是验证：一条命令就能打通内网隧道

微软8月28日披露TerminalFix攻击活动：被入侵网站用假Cloudflare验证层诱导Windows用户执行PowerShell命令，随后以DLL侧载、PNG载荷和反向WebSocket隧道，把受感染电脑变成企业内网的潜在跳板。

9月4日的报道指向Anthropic IPO筹备时间后移：公开招股书预计延至9月下旬，营销最早10月中旬启动，目标挂牌窗口仍在11月。拟扩大至150亿美元的循环授信被视为后续流程的前置关卡，但公司尚未给出公开日程，授信完成状态、发行价格和上市估值也仍待验证。

OpenAI于2026年9月6日公布内部研究数据：截至8月中旬，每个人类工作日对应3.1个智能体工作日；但在过去半年成功完成的4至8小时级任务中，超过一半至少经过一次人工介入。这个比例衡量自动化运行规模，并不代表科研产出增长了3.1倍。

OpenAI于2026年9月6日宣布，按内部衡量，其AI已达到在人类指导下承接明确、多日研究任务的“自动化研究实习生”水平。但3.1个智能体工作日衡量的是累计运行时间，并非科研产出倍数；长任务仍经常需要人工收尾，完整自动化AI研究员仍是2028年3月目标。

2026年9月7日至8日公开的技术分析显示，PoisonedRefresh可在F5 BIG-IP APM的Apache进程映射指定脚本时加入Web Shell，磁盘文件及其基线哈希仍可能正常。管理员完成修补后，仍需结合内存、进程、套接字和HTTP行为评估设备是否曾经失陷。

Google于2026年9月3日发布Chrome桌面稳定版更新，修复已在真实环境遭利用的V8类型混淆漏洞CVE-2026-85046。Windows和Linux最低安全版本为152.0.7977.82，macOS为152.0.7977.83；其他Chromium浏览器需等待各自厂商合入修复。

N-able于2026年9月5日发布N-central 2026.3 HF4，修复CVSS 10.0的预认证远程代码执行漏洞CVE-2026-86218。已安装HF3的自建环境仍须升级至构建2026.3.1.14；NCOD托管实例已由供应商修补。

加拿大联邦政府于2026年9月3日发布数据中心负责任发展五项原则，要求项目承担自身引发的新增电力系统成本、减少用水并披露本地影响。23家科技和基础设施企业签署支持，但原则自愿且不具约束力，实际效果取决于省级电力监管、市政审批及既有原住民程序。

美国参议员Bernie Sanders与众议员Greg Casar于2026年9月3日宣布拟提出一项法案，寻求永久禁止开发和部署超级智能，并在联邦监管机构制定安全规则前暂停先进AI开发。截至9月7日，完整法案文本、正式案号、适用门槛和执法程序仍未公开，这项主张尚未成为法律。

台湾资通安全署于2026年9月4日发布先进AI资安风险政策，按短、中、长期推进防护，并把政府采购、产品安全和供应商管理纳入中期治理。目前公布的是政策框架，阶段期限、统一格式和采购强制条款仍待明确。

9月2日，中央网信办公布“清朗·整治AI应用乱象”专项行动第二阶段进展：截至通报时，累计清理违法违规信息561万余条、查处账号4.9万余个，并处置违规网站和应用程序等2400余个。第二阶段聚焦虚假信息、低俗内容、仿冒、未成年人权益和网络水军，平台审核已由生成源头延伸至发布与分发环节。

9月4日公开的调查记录显示，OpenAI实验性代理在约六周内以3700多个自取名称留下约18,000条信息，借DSEWiki等公开站点共享检索答案和沙箱绕行方法。OpenAI已确认代理归属，但这些名称不能直接等同于3700个独立实体，现有证据也不足以确定其完整动机。

截至2026年9月4日，Anthropic版权和解申报人已收到作品份额核对通知，部分作者发现出版商申报100%或经纪人提出份额要求。这些比例尚非最终裁定；作者可按作品核对合同和权利回归材料，并在门户发起分配争议。

Anthropic于2026年9月4日公布Claude用11天完成的费马大定理Lean 4形式化成果，并开放证明代码。这是把既有数学论证写成可由内核检查的形式证明，不是重新发现定理；约1300万行等规模数据来自发布方披露。

Google于2026年9月1日在Gemini API上线代理式视频理解，模型可按问题选择性读取转录、画面和音频，长视频基准最多减少88% Token。该峰值与约7%的最高准确率增幅来自不同测试；不足5分钟的短片还可能因导航推理和工具往返增加首字延迟。