时光机：Microsoft Word for Windows 1.1a

自动化代码扫描工具（Fortify、Checkmarx、Veracode 等）虽满足 PCI DSS 6.3.2 要求，但会漏掉人工审计才能发现的认证与授权类漏洞；误报过多的报告还容易让开发人员放弃修复，合规不等于安全。

NetSPI 回应客户「如何按 PCI 要求做代码审计」：目前并无覆盖全部 PCI 条款的统一清单，可将 OWASP Top 10（2010）作为主线，映射防火墙、存储保护、传输加密等要求；但磁道数据仅可授权前加密存储等细节不在 OWASP 范围内，需单独核查。

Trail of Bits 测试手册新增 Rust 安全测试章节：涵盖 Miri 未定义行为检测、属性测试、Clippy 与变异测试、内存清零、Kani 模型检查及依赖审查，并发布 Claude Code 插件 rust-review 用于自动化安全评审。

Rust 提升嵌入式系统的内存安全性，可消除整类漏洞，但逻辑、硬件与密码学缺陷仍需严格的安全测试把关。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。

NetSPI 剖析 .NET 厚客户端应用中明文密码在内存暴露的问题：即使使用 SecureString，NetworkCredential 在发送 WebRequest 时仍会通过 InternalGetPassword 还原明文密码。作者建议改用可变的字符/字节数组并固定内存位置，给出更安全的登录实现代码。