安全加固 - AI 资讯
20万页 智能选型深度横向博弈，紧密跟踪前沿大模型发布与 AI 落地实战应用解析。
Amp 发布依赖前缀修复方案：构建依赖链安全的新标准
Amp 团队发布深度技术文章，揭示 npm/pnpm/Yarn 依赖前缀（如 ^, ~）在供应链攻击中的风险，并推出 Batch Changes 工具实现跨仓库批量修复。文章强调从“宽松范围”转向“精确锁定”的安全策略，提供具体的 CI/CD 配置指南与自动化脚本示例，帮助开发者在保持更新灵活性的同时，有效防御恶意包注入。
GitHub 发布 Commit Push Attribution 功能，终结提交伪造漏洞
GitHub 在公共预览版中推出 Commit Push Attribution（提交归属）功能，将经过身份验证的推作者（Pusher）信息持久化记录至每个提交中。该功能独立于传统的 Author 和 Committer 字段，有效防止攻击者利用低权限账号伪造可信维护者的提交记录。通过新增的“提交者必须匹配推作者”规则条件，GitHub 从根源上阻断了基于元数据篡改的身份冒用攻击，大幅提升了代码审计与安全调查的可信度。
OpenClaw 发布安全中心：722 次修复与 6.7 万技能扫描数据公开
OpenClaw 正式推出统一的安全中心页面，整合了 GitHub、文档及公告中的分散信息。自今年 1 月以来，维护团队已发布 722 次安全修复，确认解决 14 个高危漏洞。项目首次公开包含 67,000+ 条 ClawHub 技能扫描的开放数据集，并展示了从网关认证到文件系统处理的全面加固措施，旨在提升 AI 工具连接的安全性。
Google Workspace Studio 发布多层级代理防御体系，筑牢企业 AI 自动化安全防线
Google 正式在 Google Workspace Studio 中引入多层级代理防御架构，旨在应对智能体（Agent）自动化流程带来的安全风险。通过滥用缓解、身份隔离、管理员控制及运行时保护四层防线，结合 Gemini DLP 与 Studio DLP 技术，有效防止提示词注入与敏感数据泄露。此次更新为企业部署 AI 工作流提供了可落地的安全合规方案，显著降低了企业级 AI 应用的安全边界风险。
GitHub 秘密扫描升级：默认拦截 Anthropic 密钥并新增 Salesforce 支持
GitHub 秘密扫描功能迎来重大安全升级，默认启用对 Anthropic API 密钥的拦截保护，并正式加入 Salesforce 作为秘密扫描合作伙伴。此次更新显著提升了开发者在公共仓库中泄露 AI 模型密钥（如 Anthropic）和云服务凭证（如 Salesforce）时的防御能力，通过 Push Protection 机制自动阻断包含敏感信息的提交，有效降低 AI 工具密钥被滥用风险。
LALAL.AI 全面启用双因素认证 (2FA) 以强化账户安全防线
LALAL.AI 于 2026 年 7 月 3 日宣布全面启用双因素认证 (2FA) 功能，为所有用户提供账户层面的第二道安全防线。该功能基于 TOTP 标准，要求用户在登录时除密码外还需输入来自 Google Authenticator 等应用生成的 6 位动态码。此次更新不仅提升了安全性，还引入了备用码机制以应对设备丢失风险，并针对移动端版本提出了最低版本要求。
Codiga 发布 JavaScript eval 安全最佳实践指南，助力开发者规避高危漏洞
Codiga 官方发布深度技术文章，系统阐述 JavaScript `eval()` 函数的安全风险与防御策略。文章从原理剖析入手，详细列举了代码注入、拒绝服务攻击等常见漏洞场景，并提供了包括静态分析、运行时监控及代码重构在内的全方位安全加固方案，为开发者构建安全的 Web 应用提供权威参考。
Lovable 发布安全补丁：自动修复 TanStack Start 漏洞并强化平台防护
Lovable 发现其底层框架 TanStack Start 存在 CVE-2026-102989 漏洞，可能导致恶意脚本注入。官方宣布已实施防火墙防护，并将自动更新机制集成到开发工作流中。受影响用户无需手动操作，只需在下次编辑或访问安全页面即可免费获得修复，确保构建过程的安全性。
GitHub 秘密扫描新增 Lovable、Supabase 等检测器，强化开源安全防线
GitHub 秘密扫描功能（Secret Scanning）今日正式新增 Lovable Labs、Pydantic Services 和 Supabase 三大服务商的检测器。此次更新旨在通过自动化识别机制，防止开发者在公共仓库中意外泄露 API 密钥、OAuth 令牌等敏感凭证。该功能属于 GitHub 秘密扫描合作伙伴计划的一部分，一旦检测到泄露，系统会自动向密钥持有方发出警报，协助其及时撤销或轮换凭证，从而显著降低开源项目面临的安全风险。
Qoder 发布安全实战指南：构建企业级 AI 代码助手的安全防线
Qoder 正式推出《Qoder Security in Practice》实战指南，针对企业级 AI 代码助手的安全痛点，提供从数据隐私、提示词注入防御到代码审计的全链路解决方案。该指南不仅阐述了 Qoder 如何在实际场景中部署安全策略，还详细列出了开发者应遵循的最佳实践，确保 AI 生成的代码既高效又安全，助力企业构建可信的 AI 开发环境。
Twinny 4.2.7 发布：密钥零泄露与首条生成零等待双重突破
Twinny 4.2.7 带来了两项重大更新：一是引入‘秘密盾牌’（Secret Shield）机制，在代码生成前自动将敏感密钥替换为占位符，确保模型（包括云端 API）永不接触用户凭证；二是优化本地模型加载逻辑，将首次生成的等待时间从 11-17 秒大幅降低至 0.06 秒。此次更新显著提升了开发者的隐私安全与使用体验。
