Nekogram 被指在发布版中嵌入未公开代码，涉账号与手机号关联信息

4月2日，俄罗斯媒体 SOTA 报道称，一名分析 Nekogram 发布版代码的 IT 研究者指控，这款第三方 Telegram 客户端在未公开的 Extra.java 中加入了额外逻辑，可能通过对 @nekonotificationbot 的 inline query 发送“账号与手机号的关联信息”以及多账号关联数据。

第三方 Telegram 客户端 Nekogram 在 GitHub 上出现新的安全指控。Issue #336 的发布者称，其对官方发布 APK 的逆向分析显示，客户端可能会在正常使用过程中收集账号对应的手机号与 user ID，并通过 inline bot 请求发送给 @nekonotificationbot。该帖还点名样本为 Nekogram-12.5.2-6597-arm64-v8a.apk，并附上反编译代码、常量解混淆结果及视频链接。
sota
issues

原来是老朋友

https://t.me/fangliye_archive/2

#security
没修干净， zip.vim 打开一个zip文件时可能触发任意写入。请继续升级吧（

研究介绍脱离 Bun 二进制伪造 Claude Code 请求签名，可开启快速模式等

Claude Code 向 Anthropic API 发送请求时会带有专有头部，例如 `cch` 是请求完整性校验值，错误时请求会被拒绝。文章称，`cch` 并非由 JavaScript 计算，而是由 Claude Code 自带的私有 Bun 运行时在原生 fetch 中完成：当请求命中特定条件时，运行时会对包含 cch=00000 占位符的完整 JSON 请求体计算 xxHash64`，再将结果写回请求体；`cc_version 末尾的 3 位后缀则由首条用户消息中的指定字符与内置盐值、版本号经 SHA-256 计算得出。

据此可实现不依赖 Bun 的 Python PoC，并开启快速模式等。该签名更像计费归因与功能门控机制，而非强访问控制。

a10k.co

🌸 在花频道｜茶馆讨论｜投稿通道

感觉这一系列文章很能说明 Microslop 这些年来稳定性方面问题的原因
https://isolveproblems.substack.com/p/how-microsoft-vaporized-a-trillion

延伸阅读：mimo的大佬说openclaw的上下文管理很烂

https://x.com/_LuoFuli/status/2040825059342721520

推荐一个 enshittification 这个词的发明者 Cory Doctorow 的演讲：
https://www.youtube.com/watch?v=rimtaSgGz_4

作者之前的经典文章：
https://pluralistic.net/2023/01/21/potemkin-ai/

除了深度地介绍这些公司变💩的经典步骤（取悦用户 > 取悦投资者 > 将所有人都利润榨干归自己所有）之外，他还谈到互联网公司的垄断问题：

他们只需要砸钱就能称霸市场，把竞争对手一个个吞并，直到他们有了足够的资金和统一的意志去操控法律，让自己可以肆无忌惮地压榨我们，还把我们任何自卫的举动（逆向工程、爬虫抓取数据）都定为犯罪。

至于操作法律那一步，相信最近 Meta 游说加州的 AB 1043 法律是很好的例子；我认为其在中国的等价做法是被政府收编以及滥用律师函和诉讼，你们脑中可能已经浮现南山必胜客和华而不实为所欲为的丰功伟绩了，还有微信最近经典的「不让用户读取聊天记录是为了用户的安全」然后下架所有项目，就是 Cory 说的「还把我们任何自卫的举动都定为犯罪」

放纵这些企业的垄断行为对整个互联网和全社会的自由和发展都有害；推进立法改革的同时，多用点 fediverse 和 self-host 吧，也可以去逆向一下自家的智能家居添加开源 Home Assistant 支持

还记得 19 年左右的时候我下决心删了微信，以砍掉了之前所有的人脉为代价跳出了这个对我控制最深的平台，现在仅使用 self-host 的 E2EE 服务和家人沟通；我不指望所有人都有能和我一样的条件和魄力去这么做，但我还是想说这并非不可能完成，虽然我切断了和一些同学和老朋友的联系，但现在和家人聊天再也不用担心审查问题，而且我在更开放的平台上也还是结识了更多的人，说不定还包括正在读这条推文的你，我认为这是我做出最好的决定之一，让我夜里得以安眠

还 tm 上电视了…

央视把api token也翻译成词元了...

美三大AI巨头联手应对中国公司“蒸馏”模型行为

OpenAI、Anthropic与Google近日通过“前沿模型论坛”（Frontier Model Forum）展开合作，共同打击中国竞争对手通过“对抗性蒸馏”技术提取美方模型数据的行为。据知情人士透露，这种未经授权的模仿行为导致硅谷每年损失数十亿美元利润，并可能引发国家安全风险。OpenAI已向美国国会证实此事，并指控DeepSeek等中国公司通过该手段“搭便车”以获取竞争优势。
目前，这些企业正效仿网络安全行业的做法，共享非法提取行为的特征信息，以增强防御能力并识别违规用户。尽管特朗普政府已表示支持建立相关信息共享中心，但受限于反垄断法规的模糊性，目前的合作规模仍较有限。三大巨头呼吁政府提供更清晰的政策指引，以共同应对来自中国及其他地区的技术克隆挑战，保护其核心知识产权。

来源：彭博社

智谱发布 GLM-5.1：开源 Agent 智能体编程模型性能登顶

智谱正式推出新一代旗舰级 Agent 工程模型 GLM-5.1，并宣布遵循 MIT 协议开源。该模型在 SWE-Bench Pro 等核心编程基准测试中位居开源首位、全球第三，展现出超越前作的复杂任务处理能力。GLM-5.1 专为长时程任务设计，支持长达 8 小时的自主运行，能够通过数千次工具调用与持续策略优化，在数据库优化及 GPU 内核开发等场景中实现显著的性能突破。
目前，GLM-5.1 的模型权重已在 HuggingFace 及 ModelScope 同步上线，开发者可通过 api.z.ai 或 BigModel.cn 进行接入。该模型同时适配 Claude Code 和 OpenClaw 等主流编程框架，为构建高效率的自主 AI 程序员提供了底层支持。

来源：z.ai

亲测好用

Anthropic 发起 Project Glasswing，联合多家机构用 AI 排查关键软件漏洞

Anthropic 发布网络安全计划 Project Glasswing，联合 AWS、Apple、Google、Microsoft、NVIDIA、JPMorganChase 等机构，将未公开模型 Claude Mythos Preview 用于防御性安全工作，并向 40 多家关键软件基础设施相关组织开放接入。

Anthropic 称，该模型在数周内已发现数千个高危零日漏洞，涉及主要操作系统、浏览器及其他重要软件，部分漏洞已完成修补。公司承诺为该项目提供最高 1 亿美元模型使用额度，并向开源安全组织直接捐赠 400 万美元；该模型暂不计划全面开放，Anthropic 计划在 90 天内公开阶段性成果。

Anthropic

🌸 在花频道｜茶馆讨论｜投稿通道

又是 Vite 任意文件读取？

https://github.com/advisories/GHSA-p9ff-h696-f583

CUPS开源打印系统发现远程代码执行漏洞组合

安全研究员 Asim Manizada 及其团队近期披露了 Linux 及 Unix 通用打印系统（CUPS）中的两个高危安全漏洞，编号为 CVE-2026-34980 和 CVE-2026-34990。受影响版本主要为 CUPS 2.4.16。攻击者可通过在网络中提交恶意的打印作业，利用漏洞链实现在未授权情况下的远程代码执行，并进一步获取 root 权限覆盖系统文件。
目前，虽然 CUPS 官方尚未发布修复后的正式软件版本，但相关的漏洞补丁代码已在开源社区提交。由于该系统是多数 Linux 发行版和 Apple 设备的默认打印组件，安全专家建议相关管理人员关注补丁进展，并在受影响的商业或企业网络环境中谨慎配置共享 PostScript 队列，以降低被攻击的风险。

来源：The Register / CVE-2026-34980 / CVE-2026-34990

bluehammer提权:

https://www.cyderes.com/howler-cell/windows-zero-day-bluehammer
https://github.com/Nightmare-Eclipse/BlueHammer

#security CVE-2026-34078
Flatpak < 1.16.4 存在漏洞导致沙箱逃逸。1.16.5 解决了因为这个修复带来的其他问题。
无法升级的缓解措施：禁用 Flatpak Portal 。
https://github.com/flatpak/flatpak/security/advisories/GHSA-cc2q-qc34-jprg