#22934 Why Codex Security Doesn’t Include a SAST Report
OpenAI 解釋其 AI 程式碼安全工具為何不使用傳統的靜態分析 (SAST)。他們認為傳統 SAST 充滿誤報，轉而採用 AI 驅動的約束推理與驗證，能更精準地找出實際可利用的漏洞。這篇文章點出了 AI 在軟體安全領域，不僅是輔助工具，更可能帶來典範轉移。
💬 這代表未來 AI 安全工具的評估標準將改變，你需要理解超越傳統掃描工具的新方法論，以更有效地保護 AI 生成的程式碼。
#22936 How GitHub used secret scanning to reach inbox zero
GitHub 分享了他們如何在九個月內，將 15,000 個 repo 中超過 20,000 個 secret scanning 警報清零的實戰經驗。文章詳細介紹了他們如何從龐大噪音中過濾訊號，並建立自動化的修復工作流程。這是一篇極具參考價值的大規模 DevSecOps 實踐案例，證明了系統性方法的重要性。
💬 你可以借鏡 GitHub 的 playbook 來優化自家公司的 secret 管理策略，從被動處理警報轉變為主動預防與自動化修復。
#22966 Hugging Face confirms breach affected internal datasets and credentials, urges users to take action
AI 開源重鎮 Hugging Face 確認其平台遭受安全漏洞攻擊，影響了部分內部資料集與憑證。他們呼籲用戶立即輪換儲存在平台上的 access token 並檢查帳戶活動。這次事件凸顯了 AI/ML 基礎設施作為高價值攻擊目標的風險，其安全性不容忽視。
💬 如果你的 MLOps pipeline 依賴 Hugging Face Spaces secrets，應立即輪換金鑰，並重新審視對第三方平台的信任邊界與供應鏈安全。
#22979 Exploit brokers pay $500k for WordPress RCEs. I found one with GPT5.6 and $25
研究人員展示如何僅用 25 美元和大型語言模型，就找到了一個價值 50 萬美元的 WordPress 遠端程式碼執行 (RCE) 漏洞。這篇文章具體呈現了 LLM 在漏洞挖掘上的驚人潛力與成本效益，預示著攻防兩端都將因為 AI 的普及而發生劇烈變化。
💬 這意味著攻擊的門檻正在被 AI 大幅降低，你的防禦策略需要考慮到 AI 驅動的、更快速且更隱蔽的攻擊手法。
#22920 Safety and alignment in an era of long-horizon models
OpenAI 探討了長期運行的 AI 代理（Agent）所帶來的新型安全風險與對齊挑戰。文章分享了從實際部署中學到的教訓，包括觀察到的失敗模式與迭代改進的安全措施。這篇前瞻性地指出了當 AI 從單次問答走向自主任務執行時，我們必須面對的全新安全問題。
💬 當你開始設計或使用 AI Agent 時，必須超越傳統的 Prompt Injection 防護，思考狀態管理、資源濫用和長期目標漂移等更複雜的安全場景。
#22992 Who’s Afraid of Chinese Models?
Simon Willison 深入探討了關於「禁止中國開源模型」的論戰，並提出一個反直覺的觀點：強大的開源模型（無論來源）對美國的 AI 生態系反而更有利。文章分析了開源如何促進創新、降低成本，並讓防守方擁有對抗威脅所需的透明度和控制力。這是對當前 AI 開源與安全辯論的精彩剖析。
💬 這篇文章能幫助你更宏觀地理解開源 AI 的地緣政治與安全格局，選擇技術棧時不應只看模型性能，更要考慮生態系的開放性與自主性。
#22945 RT Veeral Patel: Today we’re launching Ramp Router. 3 years ago, we built an internal LLM router at @tryramp that powers AI products for 70,000 custo...
Ramp 公司開源了他們內部使用的 LLM 路由器「Ramp Router」。這個工具可以根據成本、延遲、效能等因素，動態地將請求路由到最合適的 LLM（如 GPT、Claude、Gemini 等），並提供了一個統一的 OpenAI 相容端點，解決了在眾多模型中選擇最佳者的常見工程問題。
💬 你可以利用這個開源工具來構建更具成本效益和韌性的 LLM 應用，不必再為鎖定單一模型供應商而煩惱，輕鬆實現模型的動態切換與 A/B 測試。
#22997 Fascinating read.
報導指出，航空巨頭空中巴士 (Airbus) 正在將其核心工作負載從 AWS 遷出，轉向自建或其他雲端平台。這起事件是近期企業「雲端遣返」(cloud repatriation) 或多雲戰略趨勢中的一個重要案例，其決策不僅是成本考量，更涉及資料主權與供應商鎖定等戰略層面。
💬 這個案例提醒你，即使是超大規模企業也在重新評估單一公有雲的長期依賴性，你的架構設計應保持彈性，為未來可能的混合雲或多雲部署預留空間。
#22991 Reverse-engineering is cheap now
Simon Willison 指出，大型語言模型正讓逆向工程的成本和難度急劇下降。過去需要專家數週才能完成的二進位檔案分析或混淆程式碼解讀，現在可以透過 LLM 在幾分鐘內完成。這對軟體智財權保護和安全分析都帶來了深遠的影響。
💬 這意味著你過去認為安全的閉源程式碼或協議可能不再那麼安全，需要重新評估威脅模型，並考慮採用更強的防禦性混淆或加密技術。