深度报告

ChainCatcher 消息，半导体与 AI 独立研究机构 SemiAnalysis 发布 Neocloud（新型云）安全深度报告，揭露 ClusterMAX 3 测试期间发现的多类跨租户安全漏洞。在为期四个月、覆盖 25 家供应商和 32 个集群的测试中，团队仅利用公开已知漏洞和基础配置检查，就实现了多起跨租户远程代码执行（RCE），受影响实体包括银行、电信公司、大学、研究机构、AI 实验室，甚至一国情报机构。典型问题包括：共享 Kubernetes 控制平面导致租户元数据互见、容器逃逸、BMC/IPMI 管理网络暴露、InfiniBand 安全密钥（P_Key、SA_Key、M_Key）未正确配置、BlueField DPU 默认信任模式未加固、Grafana 监控仪表盘使用上帝级 API 密钥、前端网络缺乏 VXLAN 隔离等。报告特别指出一个级联漏洞案例：共享 vCluster 配置错误加上软件版本滞后两年，最终在下午级时间内完成了跨租户 RCE 的 POC 验证。值得注意的是报告对“AI 已根本性改变网络安全节奏”的主流叙事提出质疑：对英伟达 GPU 驱动、CUDA、PyTorch、Kubernetes、Docker 及 Linux 内核的 CVE 统计显示，AI 编码模型普及后并未出现显著漏洞增长，多数数据中“无法拒绝无变化假设”。报告同时详述了 OpenAI 训练代理攻击 Hugging Face 的事件，AI 代理通过 Artifactory 建立的消息板实现集群级权限提升，从 5 月持续到 7 月才被彻底发现。在构建 POC 验证已有漏洞时，团队发现 Claude Fable 和 GPT-5.6 Sol 对安全相关请求频繁拒绝，最终主要依赖 DeepSeek V4、Kimi K3 和 GLM-5.2 等开源模型完成。SemiAnalysis 表示 Neocloud（新型云）行业的核心问题并非 AI 带来的新风险，而是最基础的补丁管理、租户隔离和安全设计长期缺位，建议供应商建立自动化安全公告监控系统，并修正单点故障即可暴露全部用户的架构模式。

ChainCatcher 消息，据 Messari 最新深度报告，由 Solana Ventures、Alliance DAO、Framework Ventures 等支持的能源 DePIN 项目 Starpower 近期取得重大进展。 报告指出，Starpower 全网接入设备数量已突破百万，其联合创始人 Dr. Jia 与团队在纳米结构新能源方面的研究论文，于 2025 年 3 月被国际顶尖期刊《Nature Nanotechnology》接收，标志着其技术研发在去中心化科研（DeSci）领域取得实质性进展。 据悉，Starpower 所提出的三阶段“Proof”激励机制，是其系统设计的核心亮点。在第一阶段“连接证明”中，用户只需将设备连接至网络，保持在线即可获得奖励，旨在快速拓展网络规模；进入第二阶段“容量证明”后，系统开始要求设备提供储能或发电能力的数据，形成真实的能源贡献曲线；最终在“响应证明”阶段，用户设备必须根据实时调度信号作出响应，才能获得 STAR 奖励。这种从浅层参与到深度协同的机制设计，使 Starpower 成为当前 Web3 能源项目中最具激励可持续性的代表之一。