Claude Code 凭据泄露：点一次「不要再问」，1,122 份凭据进了公开仓库
Claude Code 凭据泄露：Apiiro 在 10.4 万份公开的 settings.local.json 里找到 1,122 份含真实凭据。点了「不要再问」，带密码的整条命令就被存进项目文件，而且只加进全局 gitignore、不写仓库的 .gitignore——连 gitleaks 和 TruffleHog 也各有漏报。
安全
共 4 篇文章
1,465 台不设防的攻击控制台：ARTEX 敲了三个月的警钟
Censys 在公网扫到 1,465 台无需密码即可打开的 ARTEX 控制台，扣掉模板化部署约 815 台。其中 32 个开放目录直接列出攻击脚本、植入程序和操作者的 .ssh 家目录。这个 LLM 渗透框架 7 月才开源，10 月已被归到韩国金融与 ConnectWise 供应链攻击。工具升级了，入口和卫生没有。
ChatGPT 连接器串号：确认码发给了另一个应用
ChatGPT 连接器按 MCP 服务器地址匹配应用：两个独立 OAuth 客户端共用同一地址时，用户确认的凭证会被发给另一个连接器，这次被服务端拦下。同一事件另一半是 Bugcrowd 要求提交报告前先过人脸与证件核验。
Postman AI 插件静默安装：改了 Codex 与 Claude Code 的信任记录
Postman AI 插件被曝静默安装：打开已登录的桌面版，Codex 和 Claude Code 就被装上了 Postman 插件，还改写了全局配置与 hook 信任记录。本文梳理完整证据链、官方回应，以及两分钟自查四步。