Keystone／CoinDesk：驗證金鑰被盜將銷毀一萬八千八百三十五部硬體錢包——舊金鑰或令偽機通過真機檢查；二萬五千九百六十四筆買家紀錄外洩
硬體錢包商 Keystone 於二零二六年十月二十六日更新事故說明：十月二十日網站遭入侵時，攻擊者除取得客戶訂單資料外，亦盜取用於線上「真機驗證」的裝置認證金鑰；公司將銷毀庫存中一萬八千八百三十五部已燒錄舊金鑰的未售裝置，並暫停相關出貨。客戶恢復短語、私鑰與支付／證件資料據稱未涉；來源真實性已驗證。 Keystone／...
DHS／聯邦公報：民用機關全面剔除 DeepSeek——採購禁入、既有系統須移除；亦涵蓋衍生第三方產品
美國國土安全部於聯邦公報公開「排除與移除令」，要求聯邦民用行政機關不得再採購杭州深度求索（DeepSeek）及其關聯實體的資訊科技產品與服務，並須自機關資訊系統移除既有 DeepSeek、關聯產品，以及以 DeepSeek 實作開發的第三方產品與服務。命令原本於二〇二六年七月二十四日簽署，十月十九日提交備查、十月二十日...
美土安部／聯邦公報：命令文職機關清除 DeepSeek——禁採購並撤出系統；第三方基於 DeepSeek 實作亦覆蓋
美國國土安全部（DHS）已就杭州深度求索（Hangzhou DeepSeek Artificial Intelligence Co., Ltd）發出供應鏈安全命令：排除該公司及其關係企業開發的資訊科技產品與服務進入美國文職聯邦機構採購，並要求各文職機關從其資訊科技環境中清除所有 DeepSeek 與 DeepSeek...
Air Security 披露 Plugin4Shell：Claude Code／Codex／Copilot／Gemini CLI 外掛供應鏈零點擊遠端執行
資安新創 Air Security 於九月十七日公開 Plugin4Shell：主流 AI 編程代理外掛市集的 SHA 釘選可被繞過，令已安裝外掛在自動更新時被換成惡意版本，實現零點擊遠端程式碼執行。受影響包括 Anthropic Claude Code、OpenAI Codex、Microsoft GitHub Co...
🔒 GitHub 出手！Dependabot 新增 3 天冷卻期防惡意套件
GitHub 為 Dependabot 加入預設 3 天 cooldown 機制。非安全更新的套件版本，將延遲至少 3 天才自動開 PR，給安全研究人員時間發現並移除惡意發布。 安全漏洞修復更新則仍即時生效。供應鏈攻擊日益猖獗，這項改動為開發者多加一層防護！ 想搵專業遠端開發團隊實現 AI、私有 LLM、Web3 項目…