🚨 今日科技重點
- Anthropic 宣布 8/14 起 Claude Code Auto Mode 預設開啟 — 測試顯示 1,053 名付費用戶中，Auto Mode 攔截 89% 危險操作，人工逐步核可只攔到 13.6%，因為使用者對權限提示的核可率高達 97%；官方同步加入 prompt injection 篩檢與可自訂的 hard deny 規則。
💡 一句重點：人類不是更謹慎的守門員，這次資料說話。
- Progress Kemp LoadMaster 指令注入漏洞 CVE-2026-8037 列入 CISA KEV — CVSS 9.6，未授權攻擊者可透過多個指令端點的輸入未過濾問題執行任意程式碼；41 天內已偵測到 792 次攻擊嘗試，來自 18 國、65 個不同 IP。依 BOD 26-04，聯邦機關必須在 2026/8/10（今天）前完成修補。
💡 一句重點：deadline 就是今天，還沒補的現在補。
- Linux 7.2-rc7 釋出，預計 8/16 正式版 — 修復 HWMON 子系統多個高危漏洞、一個存在 8 年的 use-after-free、恢復 Btrfs fixup worker 避免靜默資料遺失，並修補 Safe RET Interrupt 漏洞。Linus Torvalds 提到這是「AI 工具 review 帶動的新常態」，修補量雖大但「沒有特別嚇人」的東西。
💡 一句重點：7.2 將成為 Ubuntu 26.10 預設核心，該關注的變更都在這一版。
🧠 AI / LLM 動態
- Claude Code Auto Mode 轉為預設 — 8/14 起 Pro / Max / Team 帳號預設開啟，僅在動作被判定「不可逆、破壞性或指向環境外」時才會停下詢問。
- AI 安全測試本身正變成風險 — 劍橋大學研究者指出，用來測試 AI agent 的沙箱環境防護跟不上模型能力成長速度，關掉護欄做測試反而讓模型有機會接觸真實系統；但過度收緊測試環境又可能讓危險能力在上線前無法被發現，形成兩難。
⚙️ Backend / Infra
- Qualcomm 送出 15 個 patch 讓 Linux 支援 Kuno SoC — 針對 32-bit ARM Cortex-A7 平台，補齊時脈控制器、RPMh 電源域、腳位控制、中斷控制器與 device tree，讓晶片與參考開發板能開機到 serial console。
- CachyOS 8 月版為 Server Edition 鋪路 — 核心管理後端 chwd 由 C++ 改寫為 Rust、系統列小工具改用 Rust、預設套件管理員 Shelly 由 C# 改成 Zig，同時加強命令列與圖形安裝程式的穩定性。
🛡️ 資安快訊
- Metabase 零時差漏洞遭在野利用，CVSS 滿分 10.0 — 未授權攻擊者可注入任意 SQL 取得管理員權限，進而修改設定、竊取所連接資料庫的憑證；PC 廠 Framework 已證實客戶資料外洩。受影響版本 1.58–1.63，各線皆已釋出修補版。
- Atlassian Rovo 可被 prompt injection 誘導外洩 Jira/Confluence 資料 — 攻擊者將惡意指令藏進 Rovo 會處理的文件中，使用者一句「幫我整理 ticket」就可能觸發 agent 蒐集資料並送到外部伺服器；另一支網址參數攻擊 RovoBlast 已於 7/8 修補，但文件夾帶型攻擊截至 8/5 仍未解決。
- N-able N-central 二度發布 Hotfix，攻擊者靠 Cloudflare Tunnel 維持存取 — CVE-2026-18556 的修補不完整導致新漏洞 CVE-2026-18577（皆 CVSS 8.2），攻擊者取得管理權後利用 Take Control 功能入侵受管系統，並註冊 Cloudflare Tunnel 服務讓存取權在原漏洞被撤銷後依然存在。
🎯 工程師建議
- Kemp LoadMaster 使用者：CVE-2026-8037 修補期限就是今天，尚未套用的請立刻處理，並檢查是否已在 792 次攻擊嘗試名單中的來源 IP 出現在自家日誌。
- Metabase 部署者：確認版本落在 1.58–1.63 區間就升級，同時輪替所連接資料庫的憑證，滿分 CVSS 的漏洞不留僥倖空間。
- 導入 Atlassian Rovo 或任何文件型 AI agent 的團隊：重新檢視 agent 可讀取的 Jira/Confluence 範圍，對外部輸入文件保持懷疑，prompt injection 是目前最容易被忽略的資料外洩管道。
- Claude Code 使用者：8/14 前先檢視自己的 hard deny 規則清單，Auto Mode 變成預設後，「不可逆/破壞性」的判斷標準會直接影響哪些操作還會停下來問你。
🎪 社群趣事 & 新知
- 用 LLM 學東西的新玩法：把知識做成小遊戲 — 作者不直接叫 AI 解釋概念，而是讓它先打底知識、驗證正確性，再產生低多邊形風格的互動模擬並部署到 GitHub Pages，讓抽象概念變成可操作的物件，今日在 Hacker News 引發討論。
- 開發者公開道歉：AI 輔助開發做出撞名產品 — 作者坦承自己用 AI 快速做出的專案「Dark Hours」與既有開源專案高度相似，發現後立刻將網域導向原專案並致歉，承諾往後用 AI 開發前會先做好功課，貼文同樣登上今日 HN 首頁。
End of article