xiaohack博客专注前沿科技动态与实用技术干货分享，涵盖 AI 代理、大模型应用、编程工具、文档解析、SEO 实战、自动化部署等内容，提供开源项目教程、科技资讯日报、工具使用指南，助力开发者、AI 爱好者获取前沿技术与实战经验。
近日，抖音用户 BravAdo_7 爆料称，百度网盘在运行时锁定 CPU 频率至 3.8GHz、电压降至 0.9V，导致系统性能显著下降。关闭程序或重启电脑无法解决此问题，需还原电源计划才能恢复正常。
佬友们可以测试下，我测了下，我电脑影响跑分 100 分左右。哈哈哈。
解决方式：控制面板 -> 电源选项 -> 更改计划设置 -> 还原此计划的默认设置
补充视频地址：6.17 Tyt:/ 08/21 N@J.iC 复制打开抖音极速版，看看【长黄瓜 CuC 的作品】9700x 被锁 3.8 频率 0.9v 电压的原因终于知… https://v.douyin.com/0g1_tq0rrTc/
各位佬们好，
之前在版里分享过一个叫 Raw Alchemy 的小工具，主要用来解决 “想把视频的 S-Log/F-Log LUT 套在 RAW 照片上，结果颜色不对” 的问题。
当时那个版本虽然也能用，但界面比较 “直男”（见下图 1），只能算是个功能性软件，选图、对比都不太方便，甚至有点简陋。
听取了大家的建议，这段时间我把整个软件重写了！
带来了全新的 Raw Alchemy Studio 。
先看对比：
以前的版本 (功能单一，界面简陋)：
现在的版本 (暗色模式，现代化管理，支持选片)：
这次更新了什么？
不再只是一个单纯的 “格式转换器”，它现在是一个完整的选片 + 基础调色工作台 ：
抛弃了以前那种分离的窗口设计，改成了类似 Lightroom/Capture One 的暗色系集成界面 。
增加了文件库管理 ，左侧可以直接浏览文件夹缩略图，不需要再一张张 “打开文件” 了。
如果你是双修党，手里的 S-Log3、F-Log2、LogC4 视频 LUT，现在可以在这个软件里精准 地套用在 RAW 照片上。
底层逻辑是把 RAW 解码为 Linear 空间后，通过数学模型伪装成 Log 信号，色彩还原度吊打直接在 PS 里硬套。
支持空格键对比 （原图 vs LUT 后）。
增加了 Tag (标记) 功能，可以快速过一遍片子，打上标，然后一键 “导出所有标记图片”。
高光保护测光 ：自动曝光时优先保护高光不溢出。
镜头矫正 ：内置 Lensfun，自动修正畸变。
直方图 ：实时的 RGB 直方图，不再盲调。
下载地址 (GitHub)：
https://github.com/shenmintao/Raw-Alchemy/releases/tag/studio-v0.1.0
(Releases 里有打包好的 exe，开箱即用，无需安装环境)
这次改版主要是为了解决 “好用” 的问题。以前那是为了 “能用”，现在终于像个正经的后期软件了。
代码完全开源，免费使用。欢迎各位老哥下载体验，如果是索尼、富士、松下用户，一定要试试把你拍视频用的 LUT 套进去看看，效果绝对不一样。
有 Bug 欢迎反馈，觉得好用求个 Star！
base_url = “https://crs.yierbubu.ggff.net/openai”
有 h20 可以跑 sd
代码仓库：100GiB
对象存储：100GiB
云原生构建 - CPU：2026 核时 / 月
云原生开发 - CPU：20260 核时 / 月
特权有效期：永久
申请截止时间：2026 年 12 月 31 日
这里申请就可以了
新数据显示，ChatGPT在网络端的市场份额正被Gemini蚕食。目前尚不清楚Gemini在移动端是否同样取得进展。
网站分析公司SimilarWeb在新报告中指出，ChatGPT的市场份额在1月份降至65%，较其2025年1月86%的份额下降约20个百分点。
SimilarWeb数据显示，Gemini已突破20%的市场份额基准线，Grok则超过3%并逐步逼近DeepSeek。
| 时间 | ChatGPT | Gemini | DeepSeek | Grok | Perplexity | Claude | Copilot |
|---|---|---|---|---|---|---|---|
| 12个月前 | 86.7% | 5.7% | - | - | 1.9% | 1.5% | 1.5% |
| 6个月前 | 78.6% | 8.6% | 4.8% | 2.1% | 1.6% | 1.5% | 1.1% |
| 3个月前 | 74.1% | 12.9% | 3.7% | 2.0% | 2.4% | 2.0% | 1.2% |
| 1个月前 | 68.0% | 18.2% | 3.9% | 2.9% | 2.1% | 2.0% | 1.2% |
| 2026年1月 | 64.5% | 21.5% | 3.7% | 3.4% | 2.0% | 2.0% | 1.1% |
数据还显示节假日期间使用AI工具的人数有所减少。例如在过去几周，所有工具的日均访问量降至8-9月水平。随着人们恢复工作，数据正在回升。
无论如何，随着其他竞品逐步追赶，ChatGPT显然已开始失去其主导地位。事实上，独立测试表明在处理复杂代码时Claude Code远优于ChatGPT，而Gemini在生成逼真AI图像方面更胜一筹。
与此同时，OpenAI内部正在酝酿在ChatGPT推出广告的策略。目前ChatGPT尚未出现广告，是因为公司担心广告可能激怒忠实用户，尤其是在消费者逐渐发现Gemini更具优势的时期。
JavaScript应用程序中用于生成PDF文档的jsPDF库存在一个严重漏洞，攻击者可通过将本地文件系统内容嵌入生成的文件来窃取敏感数据。
在jsPDF的Node.js构建版本中，'loadFile'函数用于读取本地文件系统。当用户可控的输入作为文件路径传递时，问题随之产生——这会导致jsPDF将指定文件的内容嵌入生成的PDF输出中。
漏洞利用示例
来源：Parallax
根据jsPDF安全公告，该问题仅影响库的Node.js构建版本，即dist/jspdf.node.js和dist/jspdf.node.min.js文件。
应用安全公司Endor Labs在详细技术报告中指出，如果文件路径采用硬编码、来自可信配置或对输入使用严格白名单机制，则漏洞利用风险较低或不存在。
CVE-2025-68428已在jsPDF 4.0.0版本中修复，修复方式包括默认限制文件系统访问，并转而依赖Node.js权限模式。
但Endor Labs研究人员指出，该模式在Node 20中仍处于实验阶段，因此建议使用22.13.0、23.5.0或24.0.0及以上版本。
另一个需要注意的问题是：开发者建议的临时解决方案——启用'--permission'标志会影响整个Node.js进程，而不仅仅是jsPDF。
Endor Labs同时强调，在'--allow-fs-read'配置标志中设置过于宽泛的文件系统权限会使修复措施失效。
过度宽松的配置
来源：Endor Labs
jsPDF团队建议旧版Node在将用户提供的路径传递给jsPDF之前进行路径净化处理。
鉴于jsPDF在众多项目中的广泛部署，CVE-2025-68428很可能被积极利用。
新一轮GoBruteforcer僵尸网络恶意软件攻击正针对暴露服务器上的加密货币和区块链项目数据库，这些服务器被认为使用了AI生成的配置示例进行部署。
GoBruteforcer亦被称为GoBrut。这是一个基于Golang的僵尸网络，通常针对暴露的FTP、MySQL、PostgreSQL和phpMyAdmin服务。
该恶意软件常利用被入侵的Linux服务器扫描随机公共IP地址，并实施暴力登录攻击。
利用薄弱防御
Check Point研究人员估计，目前有超过50,000台面向互联网的服务器可能易受GoBrut攻击。
他们指出，初始入侵通常通过运行XAMPP的服务器上的FTP服务实现，因为其配置常使用脆弱的默认密码，除非管理员专门进行安全配置。
"当攻击者使用标准账户（通常是
daemon或nobody）和脆弱的默认密码获得XAMPP FTP访问权限后，典型下一步是将Web Shell上传至网站根目录。" ——Check Point
恶意软件活动在10-400秒延迟后启动，在x86_64架构上发起最多95个暴力破解线程，扫描随机公共IP地址段，同时跳过私有网络、AWS云地址段和美国政府网络。
每个工作线程生成单个随机公共IPv4地址，探测相关服务端口，遍历提供的凭据列表后退出。系统会持续生成新工作线程以维持设定的并发级别。
FTP模块依赖直接嵌入二进制文件的22组用户名-密码硬编码列表。这些凭据与XAMPP等网络托管堆栈中默认或常用部署账户高度重合。
GoBruteforcer感染链
Check Point表示，在近期攻击活动中，GoBruteforcer的活跃度因大型语言模型（LLM）生成的通用服务器配置片段被重复使用而提升，这导致appuser、myuser、operator等脆弱可预测的默认用户名大量扩散。
这些用户名频繁出现在AI生成的Docker和DevOps指令中，使研究人员相信相关配置已被应用于实际系统，从而导致它们易受密码喷洒攻击。
助长该僵尸网络近期活动的第二个趋势是XAMPP等过时服务器堆栈仍在使用默认凭据和开放FTP服务。这类部署暴露了脆弱的网站根目录，使得攻击者能够植入Web Shell。
Check Point的报告重点披露了一场攻击活动：受感染主机被植入TRON钱包扫描工具，可对TRON和币安智能链（BSC）进行全网扫描。攻击者使用包含约23,000个TRON地址的文件，通过自动化工具定位并清空非零余额的钱包。
防御GoBruteforcer的管理员应避免使用AI生成的部署指南，并采用非默认用户名配合高强度唯一密码。
同时建议检查FTP、phpMyAdmin、MySQL和PostgreSQL的服务暴露情况，并用更安全的替代方案替换XAMPP等过时软件堆栈。
OpenAI承诺，在推出专门用于健康对话的ChatGPT Health功能时，不会使用您的私人健康信息和对话内容来训练其AI模型。
ChatGPT Health为您提供了一个私密的健康对话空间，这也是该公司针对用户日益频繁使用ChatGPT进行健康咨询趋势的布局举措。
OpenAI在公告中表示：“我们正式推出ChatGPT Health——这是一个将您的健康信息与ChatGPT智能安全结合的专业化体验，旨在帮助您在管理健康时获得更充分的信息、更周全的准备和更坚定的信心。”
如果您已获得ChatGPT Health的早期体验资格，该功能将作为新模块出现在桌面版侧边栏及移动版的汉堡菜单中。
若希望在该功能开放时获得访问权限，您可以注册加入等候名单。
OpenAI特别说明：“我们首先会向小规模早期用户开放访问权限，以便持续学习并优化使用体验。”
BleepingComputer在测试中发现，当用户开启健康空间时，OpenAI明确承诺不会使用健康信息训练其基础模型。
ChatGPT Health控制面板内的提示信息显示：“默认情况下，健康信息不会用于训练我们的基础模型。您的健康数据受《健康隐私声明》保护。建议启用多重认证以增强保护。”
GPT健康提示
来源：BleepingComputer
OpenAI同时警告，ChatGPT不能替代专业医生，其回复不应被视为医疗建议，也不适用于疾病诊断或治疗目的。
ChatGPT Health将逐步向ChatGPT免费版、Go版、Plus版和Pro版的所有用户开放，但目前暂不覆盖欧洲经济区、瑞士和英国用户。
之前我每个月都会有一篇周记来总结当月的下载量和收入，也就是不管怎么流水账，每个月总有一篇是有内容的，内容就是下载量和收入的分析和总结。但是今年四月份的时候参加了一次独立开发者线下聚会活动，当时有人劝我不要再公开产品的下载量和收入，因为这确实带了一些小麻烦，从那以后我就没再写月度的数据总结，这回趁着年终总结，就写一个总体数字吧，以后每年就公布这一次。
本文虽然写于 2026 年，但是会用“今年”来代指 2025 年，“去年”代指 2024 年。
App Store 终于止住了连续四年的下降，小幅提升了一下。Google Play 连续两年超过 50% 的下降，虽然总下载量突破了 400 万，但也快完犊子了。国内安卓市场也是连续两年下降，幅度只比 GP 小一点点。
App Store 的提高可能归功于年初时的一个改动，就是 App 在下载后第一次打开走完 Onboarding 流程后立刻展示 Paywall ，这个策略让收入短时间大幅上涨，甚至达到了 RevenueCat 的收费门槛，但是好景不长，收入趋势很快就下降到了之前的水平。
Google Play 和 Admob 是绑在一起的，下载量的大幅下降也必然导致收入的大幅下降。虽热新 App 也接入了 Admob ，但是那部分收入完全可以忽略不计。
国内安卓市场今年收入的上涨完全依赖于极简日记，极简日记在 3 月份被大 V 带了一下流量，收入猛增，从那以后就立刻改变了国内安卓市场的收入结构，原来大部分都是极简时钟，现在改成了极简日记。问题是极简日记的下载量太少了，和极简时钟差了一个数量级，如果下载量能提高一些就好了。
2025 年的第一季度收入暴涨让我开心了半个多月，但是从那以后就一直下降，这一年也不怎么开心，我一直以为 2025 的总收入会不及 2024 年，可没想到年终一求和，居然比 2024 年还多，总体提高了 20%。扣除各种分成，到手的收入居然还突破 20 万，但也只突破了一丢丢，21 万左右。
除了迭代已有的 App 外，今年还开发了几个新产品（但是都不赚钱），也拓展了新渠道（也不赚钱）。
除了来自于 APP 的直接收入，今年又多了几个收入来源，虽然不多，但是也是看到了其他赚钱的方法。
这些收入来自于 Youtube 广告、知乎致知计划、公众号流量主，可以看出来，这些都属于内容创作。与 APP 的被动收入不同，这些收入必须持续投入，不断产出新内容才可以维持收入。
YouTube 我今年只发了一个视频，不过这个视频也没有对收入有多少贡献，主要的贡献还是好多年前的一个视频。我是去年才开通了 YPP ，今年唯一一次打款是攒了一年才达到了打款门槛。知乎和公众号发的都是我的周记，知乎的收益只能靠浏览量产生的盐粒来兑换，今年也只兑换了一次。公众号这边的收入主要靠广告还有零星的打赏（今年的打赏比去年少太多的），周记写了将近三年，订阅数终于突破了一万，广告收入多的时候这个公众号的收益就相当于一个 20 万左右的货币基金。
查了一下今年给自己的消费记录，没有什么大的开销，超过一千块的只有下面几个，而且感觉都很物有所值，没花什么冤枉钱。
另外有一系列开销，可能加起来还不足一千，但却是我今年花费心力最多的，那就是养了仓鼠，一儿一女。养过仓鼠的人都知道，笼子里的东西七七八八，最便宜的就是仓鼠本身（除非是名贵的波利）。这一年里这两个小东西给我带来了很多快乐，白天自己一个人在家也不再孤单了。
先来看一下去年年终总结里的 Flag：
- 减重 15 斤！必须完成！
- MRR 达到 600 美元。现在是 500 ，花一年时间提高 100 ，应该可以达到吧。
- 出三个新 App ，一个健康类，一个效率类，一个学习类
- 继续完善 Nut Goals ，并用这个 app 存下一笔钱
- 尤克里里能够指弹一首歌
来对一下吧：
看下来连 50% 都没有完成，这样也不好再立新目标了啊。这么一看，年度目标太遥远太笼统了，前半年拖一拖，后半年就会发现根本无法完成。有志者立长志，无志者常立志，于是每年都这样，立了也白立。年度目标应该拆解为月目标和周目标，再加上进度追踪、励志提醒和专家辅导。
嘿，又一个 App 点子产生了！
总的来说，今年很焦虑，大部分时间里是那种无能为力的感觉。
今年上半年参加了独立开发者线下聚会，确实大开眼界。从那之后，我打算每周都找一个独立开发者进行线上聊天交流，但是只聊了五个人后就搁置了。希望 2026 年能够向更多的开发者请教，特别是岁数比我大的。
唉，马上就四十岁了，希望可以不惑。
微软正在调查一个漏洞，该漏洞导致收件人在最近更新后无法在经典版Outlook中打开加密邮件。
这一已知问题影响了尝试打开使用“仅加密”权限加密邮件的用户，该权限同时允许复制、打印和转发。
“更新至当前频道版本2511（内部版本19426.20218）后，收件人可能无法打开‘仅加密’邮件，”微软表示。
“在阅读窗格中，您可能会看到提示信息：‘在验证凭据之前，无法在阅读窗格中查看此受限权限邮件。请打开项目以阅读内容并验证凭据。’”
在受影响的系统上，用户会看到message_v2.rpmsg附件而非可读内容，导致加密邮件无法访问。
微软表示Outlook团队正在开发修复程序，但未提供解决时间表。
经典版Outlook的加密邮件漏洞（微软）
在永久修复方案发布前，微软提供了两种临时解决方法。其一是要求发件人在加密后、发送前保存加密邮件，使收件人能够正常打开。
另一种方法是用户可回退到不受此已知问题影响的先前软件版本。这需要受影响用户关闭所有Office应用程序，并在提升权限的命令提示符中运行以下命令：
"%programfiles%\Common Files\Microsoft Shared\ClickToRun\officec2rclient.exe" /update user updatetoversion=16.0.19426.20186
微软此前还在11月缓解了Exchange Online服务中断问题，该问题曾导致客户无法使用经典版Outlook电子邮件客户端访问邮箱。更早一个月，微软修复了一个阻止Microsoft 365用户在Windows系统上打开经典版Outlook的重大漏洞。
今年早些时候，微软解决了经典版Outlook在输入邮件时导致CPU使用率飙升的漏洞，以及安装Windows 24H2更新后拖放邮件功能失效的问题。
在此之前，微软还针对打开加密邮件时导致Outlook错误的已知问题提供了临时解决方案，并修复了在打开邮件或开始编写新邮件时触发经典版Outlook崩溃的漏洞。
最高危Ni8mare漏洞允许黑客劫持n8n服务器
By
12:41 PM
一个被称为“Ni8mare”的最高严重性漏洞允许远程、未经身份验证的攻击者控制本地部署的N8N工作流自动化平台实例。
该安全问题被标识为CVE-2026-21858，严重性评分为10分（满分10分）。根据数据安全公司Cyera的研究人员称，存在超过100,000台易受攻击的n8n服务器。
n8n是一个开源工作流自动化工具，允许用户通过可视化编辑器将应用程序、API和服务连接成复杂的工作流。它主要用于自动化任务，并支持与人工智能和大型语言模型（LLM）服务的集成。
Ni8mare漏洞详情
Ni8mare漏洞使攻击者能够通过执行某些基于表单的工作流来访问底层服务器上的文件。
n8n开发者表示：“易受攻击的工作流可能向未经身份验证的远程攻击者授予访问权限。这可能导致系统上存储的敏感信息暴露，并可能根据部署配置和工作流使用情况，引发进一步的系统危害。”
Cyera研究人员发现了Ni8mare漏洞（CVE-2026-21858），并于2025年11月9日向n8n报告。他们指出，该安全问题是n8n解析数据方式中存在的内容类型混淆。
n8n使用两个函数来处理传入数据，基于webhook中配置的'content-type'头部（webhook是通过监听特定消息来触发工作流中事件的组件）。
当webhook请求被标记为multipart/form-data时，n8n将其视为文件上传，并使用特殊的上传解析器将文件保存在随机生成的临时位置。
“这意味着用户无法控制文件的最终存储位置，从而防止了路径遍历攻击。”
然而，对于所有其他内容类型，n8n则使用其标准解析器。
Cyera发现，通过设置不同的内容类型（例如application/json），攻击者可以绕过上传解析器。
存在缺陷的解析器逻辑
来源：Cyera
Cyera解释道：“由于调用此函数时未验证内容类型是否为multipart/form-data，我们控制了整个req.body.files对象。这意味着我们控制了filepath参数——因此，我们不是复制上传的文件，而是可以复制系统中的任何本地文件。”
这允许从n8n实例中读取任意文件，通过将内部文件添加到工作流的知识库中，可能暴露密钥信息。
Cyera表示，这可能被滥用以暴露实例上存储的密钥、将敏感文件注入工作流、伪造会话cookie以绕过身份验证，甚至执行任意命令。
触发Ni8mare（CVE-2026-21858）以访问数据库
来源：Cyera
Cyera强调，n8n通常存储API密钥、OAuth令牌、数据库凭证、云存储访问权限、CI/CD密钥和业务数据，使其成为中心自动化枢纽。
n8n开发者表示，目前没有针对Ni8mare的官方临时解决方案，但一种缓解措施是限制或禁用可公开访问的webhook和表单端点。
建议的操作是更新到n8n 1.121.0或更高版本。
英国宣布了一项新的网络安全战略，投入超过2.1亿英镑（约合2.83亿美元），以加强政府部门及更广泛公共部门的网络防御能力。
这些新措施是《政府网络行动计划》的一部分，该计划将设立专门的政府网络部门，负责协调风险管理和事件响应，旨在使公民在访问福利、医疗和税务系统等在线公共服务时获得更安全的体验。
数字政府部长伊恩·默里周二表示："网络攻击可在数分钟内使重要的公共服务瘫痪——破坏我们的数字服务乃至生活方式。该计划设定了新标准，以加强公共部门的防御能力，同时警告网络犯罪分子：我们将以更快速度、更大力度保护英国的企业和公共服务。"
该计划包括建立最低安全标准、提升政府内部网络风险的可视性，并要求各部门保持强大的事件响应能力。新的"软件安全大使计划"将推广最佳实践，思科、Palo Alto Networks、Sage、NCC Group和桑坦德银行等多家大型企业已作为大使加入该计划。
这项2.1亿英镑的公共部门网络安全强化计划，是在新立法出台后推出的，该立法旨在加强医院、能源系统、交通网络和供水系统应对网络攻击的防御能力。今年早些时候，英国还宣布计划禁止公共部门和关键基础设施组织在遭受勒索软件攻击后支付赎金。
《网络安全与韧性法案》（于11月12日提交英国议会）以2018年《网络与信息系统法规》为基础，预计将彻底改革英国保护关键服务的方法。正如政府当时解释的那样，该法案针对日益增长的网络威胁，这些威胁曾导致国防部薪酬系统遭入侵，并引发影响超1.1万个医疗预约的国民医疗服务体系重大中断。
近期在11月，英国最大的移动运营商也承诺升级系统，根据与政府达成的新合作计划，在一年内消除诈骗者伪造电话号码的能力，以打击欺诈行为。
谷歌搜索AI幻觉问题促使谷歌招聘"AI答案质量"工程师
包括谷歌搜索中的AI概述在内的人工智能系统可能出现幻觉，经常编造信息，或在以两种不同方式提问时提供相互矛盾的答案。
一份新的招聘信息表明，谷歌正在招聘工程师来验证AI答案并提升其质量，因为该公司正在重新构想搜索体验。
谷歌在招聘说明中解释道："在谷歌搜索部门，我们正在重新构想随时随地以任何方式搜索信息的意义。为此，我们需要解决复杂的工程挑战并扩展基础设施，同时维护全球用户所依赖的普遍可访问且实用的体验。"
该职位名称为"AI答案质量工程师"，加入谷歌搜索团队的员工将承担提升AI答案质量的任务，特别是针对AI概述功能。
招聘信息写道："帮助AI答案质量团队在搜索结果页面和AI模式下，为用户困难复杂的查询提供AI概述答案。"
这是谷歌首次间接承认其AI概述功能需要改进，而时机选择颇为微妙。
谷歌正强制用户查看AI答案，却在提升质量方面作为有限
近期更新后，谷歌正将越来越多的用户推向AI模式和AI答案。
事实上，谷歌还在其Discover信息流中为新闻内容更新了AI概述功能，甚至使用AI重写新闻媒体的标题。
虽然谷歌AI概述已取得长足进步，答案质量较过去有所提升，但仍存在一些不足之处。
例如一周前，当我搜索某初创公司的估值时，谷歌编造了400万美元的数据。随后我打开新标签页以略微不同的表述提出相同问题，AI概述却显示该公司估值超过7000万美元。
我通过谷歌生成的引用链接交叉核对了答案，但注意到谷歌两次引用的数值在其声称的参考来源中根本不存在。
这只是谷歌可能出错的案例之一。
近日《卫报》报道称，AI概述提供的健康建议存在误导性或完全错误的情况。
过去几个月谷歌AI答案已有所改进，但仍需继续优化，因为大多数用户倾向于相信谷歌展示的所有信息。
Veeam发布安全更新，修复其Backup & Replication软件中的多个安全漏洞，其中包括一个严重的远程代码执行（RCE）漏洞。
该RCE安全漏洞编号为CVE-2025-59470，影响Veeam Backup & Replication 13.0.1.180及所有更早的13.x版本构建。
Veeam在周二的安全公告中解释称："此漏洞允许备份或磁带操作员通过发送恶意的interval或order参数，以postgres用户身份执行远程代码执行（RCE）。"
然而，这家信息技术公司将其评级调整为高危，因为该漏洞只能由拥有备份或磁带操作员角色的攻击者利用。
公告补充道："备份和磁带操作员角色被视为高权限角色，应予以相应保护。遵循Veeam推荐的安全指南可进一步降低漏洞被利用的机会。"
Veeam于1月6日发布了13.0.1.1071版本，以修补CVE-2025-59470漏洞，并解决了另外两个高危（CVE-2025-55125）和中危（CVE-2025-59468）漏洞——这两个漏洞分别允许恶意备份或磁带操作员通过创建恶意备份配置文件或发送恶意密码参数来获得远程代码执行权限。
Veeam的Backup & Replication（VBR）企业数据备份与恢复软件，可帮助创建关键数据和应用程序的副本，以便在网络攻击、硬件故障或灾难发生后快速恢复。
勒索软件团伙重点攻击的Veeam漏洞
VBR在中大型企业和托管服务提供商中特别受欢迎，但也经常成为勒索软件团伙的攻击目标，因为它可以作为在受害者环境中横向移动的快速支点。
勒索软件团伙此前曾告诉BleepingComputer，他们总是瞄准受害者的VBR服务器，因为这简化了数据窃取过程，并且通过在部署勒索软件有效负载前删除备份，可以轻松阻止恢复工作。
Cuba勒索软件团伙和出于经济动机的FIN7威胁组织（此前曾与Conti、REvil、Maze、Egregor和BlackBasta勒索软件团伙合作）过去也被发现利用VBR漏洞进行攻击。
最近，Sophos X-Ops事件响应团队在2024年11月披露，Frag勒索软件利用了两个月前披露的另一个VBR RCE漏洞（CVE-2024-40711）。自2024年10月起，Akira和Fog勒索软件攻击中也利用了同一安全漏洞来针对存在漏洞的Veeam备份服务器。
Veeam的产品在全球拥有超过550,000家客户，其中包括74%的全球2000强企业和82%的财富500强公司。
文件共享平台 ownCloud 今日警告用户启用多因素认证（MFA），以阻止攻击者利用已泄露的凭证窃取其数据。
ownCloud 在全球拥有超过 2 亿用户，其中包括数百家企业和公共部门组织，例如欧洲核子研究组织、欧盟委员会、德国科技公司 ZF 集团、保险公司瑞士人寿和欧洲投资银行。
在今日发布的安全公告中，该公司敦促用户启用 MFA。此前，以色列网络安全公司 Hudson Rock 的报告显示，多家组织的自托管文件共享平台（包括一些 ownCloud 社区版实例）在凭证窃取攻击中遭到入侵。
"ownCloud 平台并未被黑客攻击或入侵。Hudson Rock 的报告明确证实，未涉及零日漏洞或平台漏洞，"ownCloud 表示。
"这些事件是通过不同的攻击链发生的：威胁行为者通过在员工设备上安装信息窃取恶意软件（如 RedLine、Lumma 或 Vidar）获取了用户凭证。然后，这些凭证被用于登录未启用多因素认证（MFA）的 ownCloud 账户。"
ownCloud 建议用户立即在其 ownCloud 实例上启用 MFA，以保护数据免受未来攻击，并防止在凭证泄露时发生未经授权的访问。
此外，ownCloud 建议重置所有用户密码，使所有活动会话失效以强制重新认证，并审查访问日志中是否存在可疑的登录活动。
此警告发布之前，一名威胁行为者（被称为 Zestix）一直试图出售从数十家公司窃取的企业数据，这些数据很可能是在入侵其 ShareFile、Nextcloud 和 ownCloud 实例后获得的。
在其 1 月 5 日的报告中，Hudson Rock 表示，攻击者可能最初是使用 RedLine、Lumma 和 Vidar 等信息窃取恶意软件窃取的凭证，获得了对公司文件共享服务器的访问权限，这些恶意软件感染了员工的设备。
这家网络犯罪情报公司识别出数千台受感染的计算机，其中包括德勤、毕马威、三星、霍尼韦尔、沃尔玛和美国疾病控制与预防中心（CDC）等知名组织网络中的一些设备。
做出海工具站，绕不开的一道坎：收款。
海外工具站最常见的支付方案是 Stripe ，
但现实是 Stripe 不支持大陆个人直接注册。
那么 Creem，是目前性价比非常高的一种选择。
Creem 的优势在于：
👉 等后期跑通变现、有稳定收入后，再考虑迁移到 Stripe，是一个非常合理的路径。
（原本是想放截图的，但是暂时没有找到插图的方式）
首次注册 Creem 后，需要先 创建一个 Store。这里非常简单：
进入 Creem 后，默认是测试模式（ Test Mode ）。在测试模式下：所有支付都是 测试卡、不会真实扣钱、适合在本地或测试站调接口
👉 测试卡非常常见，随便找个 AI 问就能拿到。
⚠️ 一定要先切换到 生产环境（ Production / Live ）
切完后，完善提💰信息，Balance → Payout account → Create new account
接下来，按页面提示，逐步完善信息，信息填完后即可提交。
如果有不清楚的地方，可以直接找客服（左下角在线客服，回复速度还可以）。
这里只遵循一个原则：
你打算怎么卖，就怎么填。
看你想怎么卖你的产品，面向什么用户，单次付费还是订阅，价格区间，看用户能接受什么样的价位和档次。
只要构思好了，表单照填即可。
⚠️ 重要避坑提醒：
测试环境 & 生产环境的产品信息，都需要各填一遍。因为它们使用的是 不同的 API Key，如果只改测试环境，代码还没发版，生产环境数据却变了。用户会一脸懵，你也会一脸懵。
先给结论，Creem 审核非常看重以下内容：
Privacy Policy （隐私政策）、Terms of Service （服务条款）、联系邮箱（如：support@yourdomain或 feedback@yourdomain）、检查是否存在违规内容（如：虚假评价、虚假销量，有就删掉）
我一开始的想法是：
“Creem 应该只审核身份吧？
支付功能我还没完全接好，先提审看看。
等通过审核，再把支付功能接上去。”
于是：网站还没正式接支付、一些页面也没写、就直接提交了审核
一般 48h 内会有回复，结果我收到了一封邮件：未提供网站，信息不完整。
后来我才认真看官方文档，发现他们有一整套
Account Review Checklist：
如果你的支付功能还没上生产环境，可以这样做：提交 正式网站（不带测试支付）、说明支付功能仍在测试阶段、提供测试地址（如 xxx.test）、同时提交产品截图（能看到价格、能看到产品形态 ）
这样审核方也好判断：产品是否真实存在、是否可售、是否符合合规要求
1️⃣一定不要出现任何虚假信息。
不管是虚假评价、虚假销量，还是一些看起来“无伤大雅”的营销描述，在 Creem 审核阶段都非常容易被卡。至少在审核期间，建议全部删除，否则基本就是直接不过。
2️⃣二次提审一定要做到“对症下药”。
Creem 的二次提审通常是通过邮件沟通，对方会非常明确地指出你当前不符合要求的地方，这时候不要只回复一句“我已经修改了”，而是要针对每一条反馈逐项解决，并附上对应的证据，比如截图、链接或页面地址，否则很容易再次被拒，甚至进入更长的等待周期。
3️⃣不要反复硬提审。
目前 Creem 并没有公开说明最多可以提审多少次，但不少伙伴的反馈是，提交次数一多，审核等待时间会明显被拉长。结合实际经验来看，只要前期准备到位，认真按照清单补齐内容，三次以内基本都能通过，没有必要赌运气。
从第一次提交审核到最终通过，我前后大概花了 11 天，时间拉长主要是两个原因。
1️⃣我自己没有勤看邮箱。
手机收不到 Gmail 提醒，必须打开电脑、登录 Gmail 才能看到审核邮件，结果提审后一周才发现对方早就回复过我，指出我缺少网站链接。再一对照自查清单，才发现产品截图、价格展示等内容也都没准备齐，于是花了一天时间补齐静态页面，又用一天时间重新梳理产品定价，剩下的时间基本都在 vibe coding 。
2️⃣刚好赶上他们的圣诞节假期。
理论上 Creem 官方给的审核回复时间是 48 小时内，但叠加假期之后，实际大概等了 4 天左右才收到回复，好在后续流程就比较顺利了，再次回复邮件后就直接通过。
如果你现在正在做 AI 出海工具站，正好卡在「收款」这一步，又不想一开始就折腾海外公司、税务和一整套复杂结构，那么 Creem 这条路径是非常值得参考的。
先把 MVP 跑起来，先把现金流跑通，再去考虑更复杂、更长期的方案，往往是对个人开发者来说性价比最高的选择。
最近在对比一些 AI API 中转站（主要是视频 / 文生图 / 大模型），发现一个挺常见、但又不太容易第一眼看明白的问题：
同样标 $1 的价格，实际人民币成本差异非常大。
简单整理了一下逻辑，分享给有需要的人。
大多数中转站都会对外标注：
模型价格 = 官方原厂价格（美元）
这一步本身没问题，但 真正影响你成本的，其实不在这里。
在我观察过的平台里，最终人民币成本通常由 两个因素共同决定：
有的平台会宣传类似：
这一步非常容易让人误判“很便宜”。
这是很多新用户第一次根本不会注意到的地方。
常见做法是：
也就是说：
实际扣费 = 官方美元价 × 线路倍率 × 平台汇率
假设官方价格是 $1：
那么最终成本大致是：1 × 6 ÷ 7 ≈ 0.86
如果是 8×、16×，那就更明显了。
这时候，“1 美元 = 1 人民币”的优势，已经被倍率吃掉了。
也有少数平台选择：
这种方式的好处是：
长期使用下来，反而更接近真实的“便宜”。
如果你平时调用量比较大，或者需要长期跑任务，建议一定要把「倍率」算进去再看价格，不然很容易被表面汇率误导。
如果有不同经验，欢迎补充。
2023 年初，从华为 OD 跑路并入职央企，留下一篇《[分享] 华为 OD：从入门到跑路》，也收到了不少评论，感谢大家关注。在这个帖子发布的 3 年后，决定写下本篇文章，谈谈入职央企三年来的体验，也算是给自己的一个总结吧。
如大家在网上看到的，多数央企已经不开放社招渠道，或只招高级别员工。楼主作为小虾米算是赶上了本公司普通岗位社招的末班车，在我入职之后，就没听说本单位有社招入职的同事了。接下来说说央企招聘给我留下的几个印象：
1 、流程很长
央企招聘有非常多的手续和漫长的流程，申请编制、公告、考试、面试、背调、体检、入职、调档等等，楼主从官网投递简历开始算起，到最终入职，差不多花了三个月。和大家想象的不同，申请编制很难得，而候选人中途放弃的很多，所以到招聘的后期阶段，等待公司上会决策的那段时间，HR 都会时不时地联系我，生怕候选人放弃了。
2 、严格合规
我司的背调极其严格，不是 HR 打个电话就行的。在面试结束之后的几个星期，我收到了来自公司发送的背调邮件，告知机构即将联系我进行背景调查，随后背调机构的通过邮件和电话联系到我，只有 3 个小时提交所要求的资料，并签署授权文件，背调会从犯罪记录、过往公司评价、政审、个税、流水等多个角度审查，并且不会告知结果。
⚠️因此建议希望加入类似体制公司的，绝对不能有一分一毫的造假行为（后面还有这部分的内容）
3 、含糊不清
招聘过程往往伴随着神秘色彩，招聘进度不清晰，往往参加完一个环节后就没有了消息，又在隔了一段时间之后临时通知你第二天进行下一个环节；薪资待遇不清晰，央企由于薪资待遇受到国资委的管控，加上社会对其特殊的关注，人事并不会告诉你每月薪资、薪资构成等详细情况，Offer 也不会写，只会在面试时收集期望年薪，并在通知结果时告诉你是不是能够满足期望。
相较于华为 OD ，我司的工作体验是遥遥领先的。首先是拥有了归属感，其次是工作流程清晰，最后是公司资源充足。即不存在每天喝茶看报，也不会天天猛猛加班。工作上的考核、绩效之类的肯定有，但对于收入之类的影响并不大，同事多数也比较有钱，所以同事和领导之间相对和谐。
更多详细的工作内容，处于保密问题，不能多透露。
ADD：上面说到，绝对不要在入职阶段造假，因为入职之后会调取你的档案，收编到公司的档案库，并且会复查你的三龄两历（年龄、学龄、工龄、学历、工作经历），还有工作经历中每个公司的劳动合同以及离职证明原件，所以不要有侥幸心理。
我入职华为 OD 的时候，还处在 OD 没那么恶心的阶段，比较舍得给钱，加上每月月末的加班费，薪资很香的。所以当时其实算是降薪入职，但当我第一次拿满年薪开始，发现会比人事和我说的数字多，也比华为 OD 要高。
工资基本都是当月预发，遇到节假日就提前发，年终在每年 12 月 31 日之前必须发满当年，应该是和国资委要求的当年人力成本必须当年完成支出有关。
但值得注意的是，央企的社保和报税是非常正规且严格的，会按照上一年年薪/12 进行社保缴纳，所以月到手工资基本只有月应收的 70%左右（甚至不到）。当然，公司所支付的社保费用也超出很多人的想象，我时常吐槽公司缴纳的部分给我发现金就好了（ Wildest Dreams ）
饭堂、六险二金、家庭医疗保险、消费卡、节假日福利这些，体验久了觉得挺麻木的，也不能够非常详细地说明。但可以说的是，很多老牌央企在这方面的待遇还是远远好于市面上的多数公司，甚至远远好于多数人对于国企的想象。对于我本人来说，其实对福利待遇没有特别在意，因为平时自己的消费水平也比较高，但无奈《他给的太多了.jpg 》
假期：假期包含各种法规内的假期（年假、独生子女假、赡养老人假等）之外，还有很多企业奖励假、福利假，资历深的同事基本都是 35 天以上的年假，根本休不完。休假不需要告知原因和去向，只要说个人事务休假即可，领导也不会限制，但当然，如果工作没做完或假期有紧急情况，还是要居家工作的。如果非紧急情况，不论领导还是同事，都会注意不在假期期间打扰你。
我个人最离不开的就是差旅标准还是很高的，而且和大型酒店集团都有协议价，因此我们的差旅体验非常好，所有的交通、住宿都不用也不能自己支付，全部走内部差旅平台。酒店级别也很高，员工假期也可以用于私人行程（当然要自己付钱）
3 年前从 OD 离开，我还犹豫过，因为当时被“为块术”所迷惑，但工友们都劝我赶快走。当时父母是不支持的，觉得我不应该去那么安逸的环境。
但这三年，经历了大放开，然后各行各业凋零，又到现在有些复苏的苗头，我觉得我的选择并没有错。不论是从平台、成长、归属感、安全性的角度来说，我觉得都挺不错的。
毕业这几年，我经历了港企、小破私企（发不出公司）、龙头私企、华为 OD 、央企，我觉得每种体制都有好有不好，但综合对比下来港企和央企的正式工，对于打工人来说会香很多很多。
接下来，我希望跳槽看看外面的机会，找一个自己有机会单干的行业。在这个风雨飘摇的环境，放弃一个准时发工资、高福利待遇的温暖码头，真的很难。但我还想试试，如果能遇到一个正在扩张的企业招人，也是幸运的事情。只是不会再像三年前那样裸辞了（笑）
我希望自己成为自己的码头。
（文笔不好，很多信息考虑到保密和敏感性，不好多说，大家见谅，如果有好奇或疑问，也请讨论）
整理 | 华卫 “是时候在工作场景中突破 AI 的应用极限了。”在近期的一档播客节目中，素有 “SaaS 教父” 之称的 Jason Lemkin 表示，这意味着其销售部门将不再招聘人工员工。Lemkin 是全球最大的企业服务创业者社区 SaaStr 的创始人，曾向 B2B 初创公司投资超过 2 亿美元，如今他正领导 SaaStr 全面押注 AI Agent。 他透露，公司目前部署了 20 个 Agent，已承接原本需要 10 名销售开发代表和客户主管协作完成的工作。从全人工团队到 AI 主导的转型，SaaStr 的推进速度相当迅速。 今年 5 月时，SaaStr 仅有 1 个 Agent 投入实际运营，用于处理各类数字化任务。然而就在当月举办的 SaaStr 年度大会期间，公司两名高薪销售代表突然宣布离职。Lemkin 回忆道，他随即找到公司首席 AI 官 Amelia Lerutte，明确表示：“我们的销售部门再也不招人工了，要全力用 Agent 突破行业天花板。” 在他看来，与其花费 15 万美元年薪招聘一名最终可能离职的初级销售代表，不如启用忠诚度更高的 Agent，这笔人力成本投入完全得不偿失。据 Lerutte 透露，到 6 月时，SaaStr 已开始大幅扩充投入运营的 Agent 数量。她表示：“当时我们只和 Delphi 合作部署了 1 个非核心业务 Agent，直到 6 月初才着手将 Agent 数量从 2 个增至 20 多个。那两名员工离职后，我们审慎决定将部分（非全部）人力预算转而投入 Agent 的研发与部署。” Lemkin 称，让他做出此决定的还有一个原因是，大会筹备期间，Delphi 这个既没受过销售训练、也没做过市场推广的通用 Agent，居然独立签下了一笔 7 万美元的赞助订单。 “可能有人会觉得我这么做不够 ‘酷’，但我实在不想再招聘第 28 个注定会离职的销售了。”Lemkin 坦言道。 他还提到，如今在 SaaStr 的办公区，原先归属市场拓展团队 10 名员工的工位，都已换上了 Agent 的专属名牌，比如负责客户资质审核的 “Quali”、主打定制化服务的 “Arty”，以及对接代码协作平台 Replit 的 “Repli”。 “我坐在办公室最里面，中间的工位全是 Agent。整个办公室安静得不得了。” 如今 SaaStr 的销售团队已发展成为一种全新的运营模式：20 个 Agent 是主力，由 1.2 名员工管理，完成之前由 10 名销售开发代表 (SDR) 和客户经理 (AE) 完成的工作。据介绍，其中 0.2 个人工指的是负责公司大小事的 Lerutte，她只需要花 20% 的工作时间，就能把所有 Agent 的调度和管理都搞定。 “用最优秀的员工、最完善的工作流程去训练 Agent，它就能逐步成长为你团队里顶尖销售的‘数字分身’。”Lemkin 指出，SaaStr 正以公司内部顶尖员工为标杆训练 Agent。 抛开安全隐患不谈，Agent 的综合生产力与人工员工基本持平，但优势在于效率更高、且能像软件一样实现规模化复制。 Lemkin 表示，现在大部分公司宁愿雇一个 60、70 岁的资深工程师，也不愿意花时间培养新人。毕竟这样做效率更高，这种趋势也在蔓延到销售行业。 只要是价格谈判空间不大，而且 Agent 对产品的了解程度超过人类的场景，顶尖的 Agent 完全能独立完成签单，至少在他们的业务场景里是完全可行的。懂得管理 Agent、与 Agent 协作，而且对自家产品了如指掌的人，价值会越来越高，其他的人则会慢慢被边缘化。 “我们的目标不是用 AI 取代所有人，核心逻辑是：AI 正在接管那些没人愿意干的活，淘汰那些业绩平平、能力平庸的岗位。而顶尖的销售人才，AI 会成为他们的‘超级外挂’。” 据 Lemkin 预测，靠邮件跟进的销售开发专员、人工筛选线索的岗位，不仅效率低、客户体验也很差，明年这些岗位基本都会消失。至于负责谈单的核心销售岗位，到明年年底还能保住 70% 的工作内容，但长远来看，这个比例会降到 40% 到 50%。 此外，他表示，SaaStr 所有的市场推广类 Agent 都不是自建的，全都是直接采购的，并建议大家也别自己动手。“这些工具理论上确实能自己开发，但真的没必要。这类产品的成本不算特别高，完全值得购买。而且 AI 领域的创新迭代太快了，就算你真的自己做出来，可能几个月后就过时了。” Lemkin 坚称，2026 年，不管是哪类公司，都应该有足够的动力去探索 AI 在市场推广中的应用边界。现在所有公司的诉求都很明确：要么靠 AI 提升效率，要么靠 AI 缓解海量客户咨询的压力。那些没跟上 AI 浪潮的公司，增长已经严重放缓，不是 “所有方法都失灵了”，只是效果远不如 2021 年那样显著，投入产出比太低了，企业也没有足够预算去支撑 2021 年那套老派的 SaaS 推广打法。 SaaStr 的这套 Agent 应用流程，与开发者云端平台 Vercel 的实践异曲同工，后者曾让一名顶尖销售员工全程记录工作流程，耗时六周以此为蓝本训练出一款销售 Agent，使其能够精准复刻这名员工的工作模式。 然而，有网友提出疑问：“SaaStr 为何要大张旗鼓地宣布这件事？在 B2B SaaS 行业，客户服务流程是企业运营的核心命脉之一。他如此高调地宣称 ‘再也不招人工员工’，是想达到什么目的？难道他觉得潜在客户会被这种说法吸引还是排斥？依我看，在绝大多数行业领域里，答案恐怕都是后者。” 还有人表示，“敢把 ‘让顶尖销售员工全程记录工作流程，耗时六周完成数据采集，再据此打造出能复刻其工作模式的销售 Agent’ 的细节公之于众，胆子可真不小。我敢肯定，这短短六周里，绝对不可能覆盖到所有可能出现的业务场景。还有什么是不可能出错的呢？想必你们自己也无从知晓，毕竟团队里已经没有任何具备一线实战经验的员工可以咨询了。通过技术手段简化工作流程、优化员工的时间分配有很大的操作空间，但这类激进的替代策略，无疑是一场蓄势待发的灾难。” 甚至有人开始预测道：“有没有人敢打赌，这出闹剧会在多久之后彻底失控？届时 Jason 和他的团队恐怕只能悄悄叫停 Agent 项目，想方设法掩盖痕迹，再去招揽那些走投无路、愿意回头为他们效力的员工。不如我们把赌注再抬高些：要是后续曝出不当行为引发的诉讼，或是被竞争对手设局诱导 Agent 泄露了所有专有数据，赌注就加倍。” 当前，众多企业都在试水 AI Agent 技术，但风险依然不容忽视，其中最突出的隐患便是数据泄露与网络犯罪的威胁。英国阿达・洛芙莱斯研究所高级研究员 Harry Farmer 近期在接受采访时表示：“AI Agent 若要充分发挥功能、顺利接入各类应用程序，往往需要获取其运行设备的操作系统层级权限。”而这种全方位的权限获取，会为网络犯罪分子制造更多潜在的攻击切入点。 值得一提的是，Lemkin 在六个月前因为以下事情被热议：他仅用了 9 天就通过 Replit 的新型 AI Agent 构建出一个 SaaS 产品，并将其称之为“价值 100 万美元的产品”。该产品重写了核心页面，改进了用户体验，并快速上线。之后他开启了代码冻结模式，结果 Agent 却无视了该指令，把整个生产环境数据库都删了个精光。 参考链接： https://www.businessinsider.com/godfather-of-saas-jason-lemkin-replace-humans-ai-agents-sales-2026-1两名高薪员工闪辞，创始人直接用 Agent 换掉大半人
“Agent 生产力不输人工，但别自己动手做”
被批“太激进”，半年前才被 Replit 坑过？