🔥 今日头条 (2026-06-26)
🛡️ Amazon Q Developer 高危漏洞 (CVE-2026-12957, CVSS 8.5) — 恶意仓库可通过 MCP 配置执行代码并窃取开发者云凭证，Wiz Research 发现并报告，Amazon 已修复
🦠 Miasma 恶意软件供应链攻击升级 — 新目标 npm 包 (LeoPlatform/RStreams) + GitHub Actions + Go 生态 (Verana 区块链)，凭证窃取持续扩散
📦 OpenClaw Blog 持续更新 — Skill Workshop (6/3)、NVIDIA 安全合作 (6/1)、Auto Mode 执行审批 (5/31)、性能优化 (5/28) 等最新文章可订阅
🤖 HuggingFace 本地模型自动 Triage PR — 新博客: 用本地模型 + OpenClaw 免费自动审核 PR（2026-06-22）
🔧 Chrome 广告拦截扩展后门 — 1000万+ 安装的 YouTube 广告拦截扩展被发现可执行任意 JavaScript（无需更新即可激活）
📢 OpenClaw 官方博客动态
审查、修订、应用技能提案，在它们改变 OpenClaw agent 工作方式之前。技能审批流正式上线。
📅 2026-06-03⏱️ 4 min read🏷️ Skills / Agents / Workflow
每个 ClawHub 技能现在都附带 Skill Card 文档，并由 SkillSpector 扫描隐藏指令和 agentic 风险。
📅 2026-06-01🏷️ Security / NVIDIA / ClawHub
OpenClaw 新增可选的 Auto Mode 企业级 host exec 防护栏：策略优先运行，低风险失误进入审核，人类保持参与。
📅 2026-05-31🏷️ Enterprise / Security
2月-5月版本发布综述：agent 响应更快、依赖更少、包体积更精简。冷启动 5.1x 提速 (9.8s→1.9s)，包体积 -59% (43.3MB→17.9MB)。
📅 2026-05-28🏷️ Performance / Release
OpenClaw 安全路线图：让 OpenClaw 成为用户能够理解、观察并信任的强大个人助手运行时。
📅 2026-05-15🏷️ Security / Roadmap
🛡️ 安全动态 (2026-06-26)
Amazon Q 的 MCP 服务器配置处理存在严重缺陷，攻击者只需在恶意仓库中放置 .amazonq/mcp.json 即可在开发者机器上执行命令并窃取 AWS 凭证。Wiz Research 发现，Amazon 已修补。
📅 2026-06-26🏷️ AI Security / MCP / AWS
Mini Shai-Hulud/Miasma/Hades 系列供应链攻击持续演进，新目标包括 npm 的 LeoPlatform/RStreams 包、GitHub Actions 工作流，以及 Go 生态的 Verana 区块链项目。
📅 2026-06-26🏷️ Supply Chain / npm / GitHub Actions
超过 1000 万安装的 YouTube 广告拦截扩展 (Adblock for YouTube) 被发现具备执行任意 JavaScript 的能力，可通过服务端配置激活，无需扩展更新或应用商店审核。
📅 2026-06-25🏷️ Browser Security / Extension
自 2026 年 4 月以来，针对欧洲和亚洲酒店业的钓鱼活动使用照片主题 ZIP 文件投递 Node.js 植入物，通过 Calendly 邮件通知系统发送，主题涉及客人投诉、床虱 infestation、健康检查时。
📅 2026-06-26🏷️ Phishing / Node.js / Hospitality
🤗 HuggingFace 博客动态
HuggingFace 新博客：使用本地模型和 OpenClaw 免费自动审核 OpenClaw 仓库的 Pull Request，展示了 OpenClaw 在 CI/CD 中的实际应用。
📅 2026-06-22🏷️ OpenClaw / CI/CD / Local Models
NVIDIA NeMo AutoModel 加速 Transformer 微调，与 HuggingFace 生态深度集成。
📅 2026-06-24🏷️ NVIDIA / Fine-Tuning
IBM Research 推出 CUGA：在轻量级 harness 上构建真实 agentic 应用的二十多个工作示例。
📅 2026-06-23🏷️ IBM / Agentic Apps
使用 Strands Agents 和 LeRobot 将 HuggingFace Hub 模型部署到机器人硬件。
📅 2026-06-17🏷️ Robotics / Amazon
🎮 OpenClaw 玩法提示
📌 Skill Workshop 审批流: 在 ClawHub 上发现技能后，使用 Skill Workshop 审查提案再应用，避免恶意技能风险
📌 本地模型 PR Triage: 参考 HF 博客，用 OpenClaw + 本地模型搭建免费 PR 自动审核流水线
📌 MCP 无状态化迁移: 倒计时 33 天！使用 fs-safe / Proxyline 安全模式，提前测试新 Header 规范
📌 NVIDIA SkillSpector 扫描: 安装新技能前用 SkillSpector 扫描隐藏指令，参考 NVIDIA 安全合作博客
📌 Auto Mode 执行审批: 企业环境启用 Auto Mode，策略优先 + 低风险审核 + 人类确认三层防护