Manus代码遭越狱，季逸超本人回应：“团队一直有开源传统”

近日，推特用户jianxliao发布推文称成功“越狱”了Manus AI的代码，据其透露，他只是简单地要求Manus提供"/opt/.manus/"目录下的文件，系统便直接提供了沙盒运行时代码，并揭示了Manus使用Claude Sonnet模型、配备29个工具且使用了browser_use开源项目等技术细节。Manus联合创始人兼首席科学家季逸超在原推文下迅速回应:“实际上，这并不复杂--沙盒对每个用户都是直接可访问的。并强调，团队一直有开源传统，将在不久的将来开源不少“好东西”。

参考链接：
https://blog.csdn.net/csdnnews/article/details/146179635?spm=1000.2115.3001.5927

小心！AI 辅助的虚假 GitHub 存储库窃取敏感数据，包括登录凭据

据观察，一种复杂的恶意软件活动利用人工智能创建欺骗性 GitHub 存储库并分发 SmartLoader 有效负载，最终部署一种危险的信息窃取恶意软件——Lumma Stealer。这种活动借助 GitHub 的可信声誉，成功绕过安全防御，通过 AI 生成的文档和战略性混淆脚本针对寻求游戏模组、破解软件和加密货币工具的用户。

参考链接：
https://cybersecuritynews.com/ai-assisted-fake-github-repositories-steal-sensitive-data/

朝鲜 Lazarus 黑客通过 npm Lazarus 组织发起供应链攻击

近日，Socket 研究团队在 npm（Node 包管理器）上发现六个与朝鲜黑客组织 Lazarus 有关的恶意包，这些程序包累计被下载了 330 次，旨在窃取账户凭据、部署后门并提取敏感的加密货币信息。该组织以向 npm 等软件注册表推送恶意软件包而闻名，通常能够通过这种方式获得有价值网络的初始访问权限，类似的活动也在 GitHub 和 Python 包索引（PyPI）上被发现，Lazarus 利用此访问权限进行大规模破纪录的攻击。

参考链接：
https://www.bleepingcomputer.com/news/security/north-korean-lazarus-hackers-infect-hundreds-via-npm-packages/

恶意软件通过拼写错误 Go 软件包感染 Linux 和 macOS

软件供应链安全解决方案提供商 Socket 的网络安全研究人员发现了一个令人担忧的新趋势：黑客正越来越多地将目标瞄准使用 Go 编程语言的开发人员。这些攻击者采用一种被称为“拼写错误”的技术，分发伪装成合法 Go 包的恶意软件。这些伪造的包旨在在 Linux 和 macOS 系统上安装隐藏的恶意软件加载程序。

参考链接：
https://hackread.com/malware-infects-linux-macos-typosquatted-go-packages/