开源 React 调试工具 Reactime 仓库被植入后门，22 个分支中 20 个受影响
Deep Woods Security 披露，Codesmith 旗下 Open Source Labs 的开源 React 调试工具 Reactime 仓库被植入后门，22 个分支中有 20 个携带植入物，仅 master 和 dev 干净。
推荐理由：完整还原了 Reactime 仓库被植入后门的攻击链，并给出可自查的 IOC 与检测规则。
#GitHub
Hacker News精选AI 评分8383
Hacker News精选AI 评分7878 Hacktron 披露 HEIF Heist：针对 HEIF/AVIF 图像解码器的一类 RCE 攻击路径
Hacktron 研究团队公布名为 HEIF Heist 的一类远程攻击路径，针对解码攻击者可控 HEIF、HEIC 或 AVIF 图像的服务，可导致内存破坏、数据泄露或远程代码执行。
推荐理由：Hacktron 披露一类针对 HEIF/AVIF 解码器的攻击路径，涉及多家平台，并给出受影响版本与修复建议。
GitHub Blog · AI & ML精选AI 评分6262 GitHub 推出基于 ModernBERT 的通用密钥检测模型
GitHub 发布基于 ModernBERT 的通用密钥检测模型，用上下文判断数据库 URL、Kubernetes Secret manifest 和 Dockerfile 中的密码类值，可在 2 毫秒内评估一批候选密钥，并称可将可拦截的密钥数量提升一倍以上。
推荐理由：GitHub 公开了九季度密钥泄露数据，并说明新分类器如何把防护从人工响应转向推送前拦截。
OpenAI News精选AI 评分6262 OpenAI 公布前沿模型在数学开放问题上的进展
OpenAI 发布内部前沿模型在数学开放问题上的新结果，并在 GitHub 上公开 Lean 证明形式化及相关研究细节。
推荐理由：OpenAI 公开内部前沿模型在数学开放问题上的结果，并放出 Lean 证明形式化与细节，可看模型推理与形式化验证的结合方式。
GitHub Blog · AI & ML精选AI 评分6060 GitHub 发布 ReviewBench：面向 AI 代码审查的开放基准
GitHub 发布 ReviewBench，一个面向 AI 代码审查智能体的离线基准，基于 1.039 亿个 GitHub pull request 的分布特征构建，包含来自 187 个开源仓库、覆盖 19 种语言的 219 个 pull request。
推荐理由：GitHub 公开了代码审查基准的构建方法与评测口径，读者可据此理解 AI 代码审查能力该如何被量化比较。
GitHub Blog · AI & ML精选AI 评分6262 GitHub Security Lab 发布 Fuzzing Taskflow 智能体，自动为 C/C++ 项目做模糊测试
GitHub Security Lab 发布 Fuzzing Taskflow，一个面向 C/C++ 项目的自主模糊测试流水线，只需指向一个 GitHub 仓库，它就会识别入口点、分析构建系统、编写 harness、运行 AFL++、读取覆盖率报告并改进 harness，最后为每个独立缺陷生成漏洞报告。
推荐理由：原文完整披露了 Fuzzing Taskflow 的流水线分层、覆盖率反馈循环与崩溃分诊设计，可迁移到其他安全自动化场景。
已经到底了