Google／官方：暫停開源漏洞獎勵計劃產品漏洞提交——指自動化提交激增、絕大多數無效；供應鏈報告與既有個案照常處理；承諾二零二七年首季交更新
Google 漏洞獎勵計劃團隊宣布，自十月一日起暫停接收「開源軟件漏洞獎勵計劃」（OSS VRP）的產品漏洞提交，原因是自動化提交大幅增加，而當中絕大多數並不成立。供應鏈類報告及十月一日前已提交的個案不受影響，Google 承諾於二零二七年第一季交代計劃更新。 TechCrunch 與 Tom's Hardware 均...
Horizon3／官方：Anthropic Mythos 揭 Rejetto HFS 致命洞——CVE-2026-61500 以可逆 Math.random 偽造管理員會話並可遠端執行；CVSS 約九點八；須升級三點二點一
資安公司 Horizon3 於二〇二六年九月三十日公開技術披露，指其在 Anthropic「Project Glasswing」計畫下，以 Claude Mythos 模型驅動漏洞研究管線，於開源檔案分享伺服器 Rejetto HTTP File Server（HFS）發現可導致管理員會話偽造與遠端程式碼執行的致命缺陷...
OpenAI／官方：搗破協調式模型蒸餾行動——核心群組歸因月之暗面；七月高峰一萬六千次請求、逾一點五萬用戶叢集
OpenAI 於二零二六年九月三十日發表安全通報，指已識別並搗破一場旨在抽取其模型「受保護推理」的協調式行動；最早活動見於七月第一週，符合「對抗式蒸餾」特徵。來源真實性已驗證。公司將核心活動叢集歸因於與月之暗面（Moonshot AI，Kimi 開發商）有關的人士，並指七月二十四至二十五日曾出現約一萬六千次相關抽取模式...
路透／Google／歐盟：Google 就 DMA 安卓 AI 互通與搜尋數據共享裁決向普通法院上訴——指匿名不足危及私隱；安卓安全防護被削弱；歐委會稱已具穩健保障；DuckDuckGo 撐歐盟
路透社九月二十九日報道，Alphabet 旗下 Google 已就歐盟執行《數碼市場法》（DMA）的兩項約束性規格裁決，向設於盧森堡的歐盟普通法院提出挑戰。公司競爭事務高級總監 Oliver Bethell 指，裁決將迫使 Google 在匿名化不足的情況下分享用戶私人搜尋紀錄，並削弱 Android 上關鍵安全防護。...
OpenAI／官方：自複製提示注入如蠕蟲——電郵／檔案系統／Slack 多跳可傳播，僅限訓練評測模擬
OpenAI 於二〇二六年九月二十五日在 Alignment 錯位行為報告庫更新披露：以 GPT-Red 自我對抗訓練框架，證實存在可自我複製的提示注入（self-replicating prompt injection），行為類似電腦蠕蟲——惡意指令可經電郵、檔案系統、程式註解或 Slack 多跳路徑，誘使代理把同...
Cloudflare／官方：Turnstile Spin 讓 AI 代理一鍵裝好網站防機器人——修復漏驗、可從其他 CAPTCHA 遷移
Cloudflare 於二〇二六年九月二十五日宣布推出 Turnstile Spin：由開發者慣用的 AI 編碼代理，在本機程式庫內一次完成防機器人元件的前後端安裝、修復漏驗，以及由其他 CAPTCHA 方案遷移。來源真實性已驗證。 一級事實來自 Cloudflare Blog 官方長文；Turnstile 平日約處理...
The Register／VulnCheck：Glasswing 關聯 CVE 累積二百二十五——野外確認利用僅 Ghost 一宗
VulnCheck 研究員 Patrick Garrity 追蹤與 Anthropic 或 Project Glasswing 相關的公開 CVE 已累積至二百二十五宗，但對照已知野外利用清單後，確認遭實戰利用的僅 Ghost 內容管理系統關鍵 SQL 注入漏洞一宗，佔比低於百分之零點五。The Register 於二...
WIRED：別再空談 AI 減速——現成聊天機械人已引爆漏洞發現海嘯
《WIRED》九月十九日資安專欄指出，業界空談前沿 AI 減速之際，現成聊天機械人與開權重模型已令漏洞發現量接近翻倍：二零二六年截至當周錄得逾六萬六千條 CVE，去年同期約三萬三千條。Microsoft 九月修補約九百七十四項創新高，Oracle、Chrome、Mozilla 同期亦現補丁洪峰。專家提醒發現可隨算力擴張...