热门日报 · 2026-07-21

本周开发者生态被供应链攻击连环盯上，从 npm 到 RubyGems，再到 Cursor 编辑器 0day，资损与漏洞披露密度为年内罕见；同时美方酝酿限制中国开源模型、开源安全工具反向输出，监管与对抗同步升温。

1. ⚠ ️ Capital One 开源 AI 安全工具 VulnHunter：金融巨头把内部用的"找漏洞+修漏洞"AI 工具直接放出，针对代码与容器做自动审计，让中小企业也能白嫖大厂级安全扫描能力。 https://www.securityweek.com/capital-one-open-sources-ai-powered-vulnhunter-security-tool/

2. ⚠ ️ RubyGems 出现 SleeperGem 供应链投毒：三个伪装正常的 gem 包在安装时悄悄拉取第二阶段载荷，目标直指开发者机器；Ruby 生态首次被这类"潜伏型"恶意包大规模盯上。 https://thehackernews.com/2026/07/sleepergem-uses-three-malicious.html

3. ⚠ ️ npm 生态再遭两起供应链入侵：AsyncAPI 与 Jscrambler 的发布凭证泄露，被用来植入带毒版本，本周 Node.js 开发者已被推上风口浪尖。 https://www.csoonline.com/article/4197499/npm-ecosystem-hit-with-two-new-supply-chain-compromises.html

4. 📌 🚨 Cursor Windows 版 0day 公开细节：仅"打开仓库"就能触发任意代码执行的漏洞，7 个月前上报至今未修，研究者被迫全文披露。 https://gigazine.net/gsc_news/en/20260715-cursor-0day-disclosure/

5. 🔥 美国拟禁中国前沿开源 AI 模型：Axios 披露特朗普政府内部正权衡限制中国开源权重，OpenAI、Anthropic 等闭源厂商或借此收割市场。 https://www.axios.com/2026/07/20/ai-us-china-open-source-kimi

6. 🚀 Checkmarx 推出"自愈式应用安全"：开发助手 Agent 全程盯代码，发现漏洞→自动改→自动验证，把安全卡点从"扫描报告"前移到"提交前"。 https://cybermagazine.com/globenewswire/3326753

7. 🎯 Ramp CTO 公开招 15 岁 Minecraft 红石开发者：CEO 称这些少年一周花 80–100 小时造红石电路，是公司早期最被低估的人才来源。 https://www.businessinsider.com/ramp-ceo-hired-minecraft-gamers-github-2026-7

8. 📌 🍻 乌军巡航导弹装上"民用飞控"：开源消费级无人机飞控被塞进乌克兰最新巡航导弹，让"几千美元级硬件"获得军用级自主能力。 https://www.newscientist.com/article/2580002-why-a-ukrainian-cruise-missile-is-flying-with-hobby-drone-hardware/