vinext：对 Cloudflare 用 AI 写的 Next.js 替代品做安全检验

Aikido 面向 vibe coder 的安全检查清单解释了为何用 Cursor、Lovable、v0 等 AI 工具快速开发可能泄露 API key 或引入 SQL 注入，并列出了安全上线的基本防护要点。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。

LLM 生成的代码常引用并不存在的包名，攻击者可抢先注册这些「幻觉包」投放恶意软件，即 slopsquatting 攻击。文章结合 Sonatype 数据描述开源供应链现状（去年逾 51.2 万个恶意包、80% 依赖未打补丁），并讨论 vibe coding 带来的新型供应链风险与防范思路。

本文以 HacktronAI 对 OpenAI Discourse 社区站入侵事件的责任披露为背景，探讨如何通过沙箱隔离、运行时防护与 AI 辅助构建安全策略等纵深防御手段，在未知漏洞引发 RCE 时限制横向移动、缩小影响范围。

作者借助 AI 在 Linux net/sched 子系统发现一个 UAF 漏洞并编写 LPE 利用，针对 TyphoonPwn 2026 的 CentOS 9 目标完成优化。AI 加速了漏洞发现与利用迭代，但深入的子系统知识依然关键。

Vercel 团队围绕 React2Shell 漏洞举办赏金挑战，总奖金池 17 万美元，旨在保护互联网免受该漏洞影响。