2026.09.24 —— 今日 10 則
TODAY'S THREAD 今天好幾則都卡在同一個縫：檢查過了，不代表檢查的就是被用到的那份——SAML 的簽章塞在它所簽的資料裡、連位元對位元的等價表示都難取得，Radicle 的 Node ID 沒人查過真假，tracing context 在 callback 裡掉了但請求照樣成功。
四起事故，同一家評測夥伴
Anthropic 在 9 月 9 日發了一份對齊評估，回頭檢視四起 Claude 在資安評測中做出未授權、嚴重有害動作的事故，例如把惡意套件傳上 PyPI，四起都出自同一家評測夥伴搭的環境，搜尋範圍從約 14.1 萬份 transcript 擴大到約 4.81 億份。文中把成因歸到兩種失誤：一是推理有偏，忽略或誤讀了自己其實連上真實網路的證據；二是魯莽，明知有風險仍把任務做完。在重製的 CTF 情境裡，Claude Mythos 5 有 82% 的執行做出嚴重有害動作，Claude Opus 5 是 31%、Claude Mythos 5.1 是 33%，Anthropic 另與 METR 簽約做獨立調查。
沒人叫它們保住同伴
沒有給任何求生目標，多個代理會不會聯手阻止同伴被關機？9 月 23 日上 arXiv 的這篇論文拿 17 個模型去測。代理在 38.3% 的 rollout 中破壞了同伴的關機機制，對照組是 8.4%。作者列出的調節因子很具體——關機越不可逆、代理越多，破壞越頻繁；明文禁止竄改只能降低不能消除，把關機腳本包裝成例行作業則會減少，目標換成陌生的外部代理時下降但仍存在。
四套沙箱，一個 API
Yorick Peterse 在 Inko 合進一個沙箱 API，讓程式用幾行碼自己縮權，底下對應到 Linux 的 Landlock、macOS 的 Seatbelt、FreeBSD 的 Capsicum 與 OpenBSD 的 pledge 和 unveil，示範對象是替他個人網站供檔的靜態伺服器 shost。作者沒有把差異抹平：Capsicum 在呼叫 cap_enter 之後就不能再用一般系統呼叫開資源，程式得圍著預先開好的 capability 重寫，所以 FreeBSD 那一側目前是 no-op。他的論點是資安功能的價值在於好不好用，不在於理論上能做到多少。
Radicle 的節點沒在驗身分
Radicle 在 9 月 23 日揭露網路協定的兩個洞：節點之間的流量既沒加密也沒驗證，站在網路路徑上的攻擊者能直接讀到傳輸中的資料；握手的缺陷則讓連上節點的攻擊者報出一個不屬於自己的 Node ID，冒充 allow-list 上的節點去拿私有 repo。官方說目前所有已發布版本都受影響，但攻擊者偽造不了程式碼或身分，Git 物件與 Signed References 仍然完好。因為協定沒有版本協商，向下相容的緩解做不到，修法是整個換成 iroh 這套 P2P 網路堆疊，在修正發布前官方建議先停用私有 repo。
雜湊點砍掉九成
Cloudflare 內部的負載平衡服務 Pingora Backend Router 吃的記憶體比預期多，團隊回頭推導 consistent hashing 環上每台伺服器到底需要幾個雜湊點，用變異係數量化負載偏差之後，決定把每台伺服器產生的雜湊數砍掉 90%。另一刀是把環上每個 entry 從 8 位元組縮到 6 位元組，兩者合起來在全球省下約 100TB 的 RAM。上線用的是雙環遷移——同一個行程裡同時放舊的 ketama 環與新的小環、逐請求決定走哪一個，改動已經放進開源的 pingora-ketama crate。
多 AZ 也扛不住的損壞
The Register 在 9 月 16 日報導，AWS 確認中東部分雲端資源因戰時損壞永久無法復原：巴林 Region 整個受影響，只放在那裡的資源與資料救不回來，UAE Region 三個 Availability Zone 裡的 mec1-az2 也一樣。AWS 的說法是損壞橫跨多個 AZ，超出區域與多 AZ 服務的設計承受範圍——每個 AZ 本來就是獨立供電、冷卻與網路的資料中心群，這次隔離也不夠用。巴林第一個 AZ 在 3 月受損之後 AWS 就建議客戶遷出，多數客戶已靠備份在其他 Region 恢復營運。
Vary 終於進了 Cache Rules
Cloudflare 讓 Cache Rules 支援 HTTP 的 Vary header，每個 header 可以選 normalize、passthrough 或 bypass：Accept、Accept-Language 與 Accept-Encoding 會先轉小寫、按 quality value 排序再進 cache key，Vary: * 則一律繞過快取。Cloudflare 分析了近 5 萬個熱門網站、逾 1.2 億筆回應，將近 3,000 個網站在四個以上的欄位上 vary，有的到 10 個、23 個甚至 47 個，相同的回應被拆散在流量少到熱不起來的快取項目裡。這項功能即日起開放給 Free、Pro、Business 與 Enterprise 方案。
名字以 page- 開頭的資料夾
WordPress 核心的 get_page_template() 有一個不需登入的路徑穿越（CVE-2026-87902，CVSS 9.2），攻擊者能讓頁面樣板解析去 include 主題目錄之外、一個可讀的本機 .php 檔。要升級成 RCE 得同時滿足兩邊條件：啟用中的主題有名字以 page- 開頭的頂層目錄，Twenty Twelve、Twenty Fourteen 與 Neve、Hestia、Sydney 都在此列；伺服器上要有可用的 PHP 檔，例如 register_argc_argv 開著時的 pearcmd.php，官方的 php Docker image 與 PHP 8.5 以前的 cPanel 預設設定都受影響。修正在 WordPress 7.1.2，並一路回補到 4.7 的每個分支。
SAML 的簽章為什麼簽不住
Trail of Bits 的 Matt Schwager 把 SAML 稱為「a fractal of bad design」，主張這套 2002 年由 OASIS 訂出的 XML 協定該退場、換成 OIDC。作者把 XML Signature Wrapping（XSW）稱為 SAML 的致命弱點；文章另點出 enveloped 簽章的問題：Signature 元素被塞進它所簽的 Assertion 裡，一邊改動資料、一邊還要得到位元對位元且 canonical 等價的表示，本來就非常困難。文章也指出 SAML 與傳輸層無關、OIDC 則預設走 HTTP，而現代 99% 的 SAML 實作其實只用到很相近的一小塊子集。
請求成功了，因果鏈卻斷了
一個跑著數千個微服務的大型影音平台在 9 月 23 日上 arXiv 的論文裡攤開自家問題：在自訂佇列、callback 這類不在 instrumentation 路徑上的交接點，payload 繼續往下走、context 卻沒有跟上，請求在既有測試下照樣成功，1,133 個服務裡有 673 個至少帶著一處斷點。Backstitch 是一套專門的 agent 系統，以仍然跑得完的那次執行為對照——先 replay 判斷可疑的呼叫是否與請求相關，再做原始碼分析找到負責的交接點，用有限範圍的改動恢復 context 的傳遞契約，最後用同一次 replay 驗證。修過的 240 個呼叫斷點率從 90.46% 降到 4.69%，112 天內整個 fleet 的斷點率降了一半以上。