cURL

So double check in case you were affected by this issue, but should all be taken care of by now.

And the Curl project did release an update fixing a number of vulnerabilities.

One of them allows remote code execution.

In order to trigger the vulnerability, Curl has to be used to upload a file over HTTP 2 to a malicious server.

The malicious server can then trigger the remote code execution vulnerability.

Daniel Stenberg, the author of Curl, has a great detailed blog post about the vulnerability, how it happened, and how it was fixed.

There is a proof of concept available for this vulnerability, so something that you probably wanna fix if you are using Curl to upload files to servers that you don't fully trust.

Well, and that's it for today.

It also noted that Firefox had struggled with download resumption for years.

In the comments, the sentiment was mostly critical of browser download tools, with users calling them unreliable and recommending ARIA 2, WWGet, Curl, JDownloader, or older download managers.

Users debated whether the timeout setting actually fixed the problem, since Firefox's source code suggested the setting only applied before the first response byte and did not control hidden retrace.

A key technical concern involved one-time download links, which could prevent resumption or combine parts from different files without matching metadata or hashes.

I have a confession to make.

I have a very hard time trusting a software engineer who doesn't know how to use cURL.

If your entire job resolves around building distributed systems, APIs, or web applications, but you can't manually probe a network endpoint from the command line, we have a fundamental disconnect about what it means to be a software engineer.

Welcome to Leadprompt, executing leadership from the root.

So at the start of the se- of this year, you know, maintainers were laughing at AI bug reports.

Um, Daniel Stenberg, uh, the creator of Curl, shut down the bug bounty because the reports he was getting were just hallucinating junk.

And then in a space of a few weeks, maybe a month or two, everything, you know, the table turned over, everything switched.

The reports, you know, became real, and they kept on coming.

[片头音乐]诸观众大家好，欢迎收看陆的视陆的视频之这个中美中局势啊。今天是2026年10月7日，美国东部时间，现在是晚上八点四，啊，早上八点四十分啊，这时间错了，我改一下。哎。好，这个我们前段时间说啊，一直说这个金融战啊。好，很多人说，哎，咱们没啥动静是吧？这山雨来风满楼啊，今天你看这不消息就已经出来了，但是释放的方式它是另外一种形式释放啊，这消息。韩国，啊，因为这个消息它不仅仅是韩国报的，美国媒体都在报，华尔街日报啊都在报。怎么回事啊？韩国最近破获了一起，啊，这个AI攻击，韩国至少七家金融机构遭到入侵，这次攻击是用AI工具，AI自主渗透工具。就我们的标题为什么说，啊，这次，啊，被抓现行，屁股没擦干净，啥原因？是吧？因为这次韩国明确找到攻击用的工具，就是攻击的工具。是吧？就是中共国开发的。叫ARTX。华尔街日报也报了。因为这次这个新闻最大的看点是啊，韩国直接找到了，显示出了这次攻击是用的是ARTX的AI网络安全工具。这个工具是啥？啊。当年是以百度专门，啊，专门做了一个攻防挑战赛冠军项目，然后开发者叫做，啊，这个华尔街日报也给它，把它揭露出来，叫一个姓李的，是中共国一个人开发的，但是呢，放在所谓的开源上，开源项目上，名字就叫做AI自主渗透系统。AI自主渗透系统啊，开发者以他的英文名字叫李普华，L，I，李，普，P，U，H，A。中国网络安全工程师。这个李普华啊，开发的这个。好，你看啊，所以这个事，这个事情就，对，如果说，啊，没有抓到这个工具的话，没有抓包这个工具的话，你都不知道到底是谁攻击的。啊，抓包这个工具，韩国方面明确了当，里面发现了，啊，中共国用中文开发的这个中共国的，啊，AI工具，叫做，就是这款刚才我说的ARTX，这才是关键，导致了韩国金融机构至少六点八万名客户个人和金融资料泄露。韩国方面也说了，这次攻击，啊，并没有进入到这个最核心的基础设施，但是进入到外围，泄露信息包括姓名、电话号码、收入情况、贷款额度等个人金融数据，但是没有进入到账本，啊，就是我们说的，就贷款额度，它只是额度，就没有进入到他的银行账户。受攻击银行包括那个新韩银行、韩国国民那些都大银行啊，海洋银行。等于说它攻击到六点五万名客户的时候，资料遭泄的时候，啊，可能就被停止了，就攻不下去了。明白吧？就是姓名、电话号码、收入情况、贷款额度，那这些数据啊，个人金融数据，他直接说了啊，直接发现攻击的服务器页面中出现了ARTX字符串，界面还带有中文，并显示以AI自主渗透测试有关的内容。说白了啊，我告诉大家，就是具体咋攻击，咱们待会再说。就我先是要说的是啊，就中共留下了铁证，懂吧？对，但中共当然说，哎哟，这个都跟我没关系，哎，我们是开源的，放那。傻子都知道是吧？这东西不就中共的，啊。韩国方面也明确，但，但是先不撕，不撕破脸，知道不？因为说白了 啊，它曝的意思是啥？就曝的中共现在已经开始用这个AI啊，攻击工具了，懂吧？明白这逻辑不？啊。但是呢，它并没有直接就是攻击到最底层，懂吧？就是我们说最底层的数据账本上获取啊六点八万人的这个数据。是不是？所以说，就是你说它做到位没有？没做到位，因为它掌握的也只是一些基本，基本资料，比如说你的姓名、电话号码、收入情况、贷款额度，啊。录得不说，待会儿要说啊，这些事情都要结合起来的。啊，就是啥意思？就中共做了，达到效果没有？达到这么一点点效果。还，啊，关键还把自己说，说白了被抓了个现行，留下了，说白了就是留下了这个，啊，直接的铁证，ARTX 字符串。你看这是世界，中共开发的中文的，啊，相关的这种工具，全世界谁会用啊？不就中国人用吗？说白了，啊，因为它这个说，啊，什么目标扫描的漏洞发现，就反正就是直接技术方面，反正，啊，它就是用，用AI模型啊做的这一个，一个东西来通过AI来方式扫描你的漏洞，啊，等等这些。咱们要说的是啊，就是啊，这个事情，就是把啥，就是中共的邪恶，就说白了就是啊，金融战，金融战，川普说金融战，这，这，这就是金融网，网络，网络战啊。昨天我们还说韩日，韩日，啊，美韩，啊，美日联合演习，里面就...这到今天啊，这韩国就已经先公布了，我们遭到了攻击，谁？铁证如山，中共。中共用啥？AI金融武器，金融工具，金融黑客武器。那得了，是不是？造成损失没有？啊，我就想起来就有点像这个菲尔福德发现了三辆车装满了炸弹，成功爆炸，没，没爆炸成功，我们提前已经把它给控制了。啊，以色列发现一架飞机，啊，飞机被成功瓦解，啊，用九幺幺十。这东西我发现也，说实话，因为我仔细看一下六点八，对，挺浑，挺，诶人挺多，六点八啊。但是，泄露的都是一些周边数据，核心的没有。对，就是中共就第一，啊，公费三脚猫功夫。第二，如果你看结合这些事情结合起来，是吧？比如从英国菲尔福德再到以色列，都被瓦解，其实这是一个被瓦解的，我告诉大家。啊，但是嘞，留下铁证，你像，啊，我们可以这样想，你设想啊，他如果说，啊，成功地攻击上，我直接进去了，你都不知道，你都没发现，然后把你的数据改了，是吧？这个人本来账上只有五千块钱，直接改成五千万，然后你账本完全对不上，是不是？这才叫成——然后走了，你都不知道，你不知道你的账本被改，这是成功攻击。不成功的就这种，半天，啊，进不去，周边搞了一下，然后还被抓个现行，是吧？啊，你看中国的AI，因为这核心的爆的就是ARTX，ART，就是华尔街日报都是，咋回事啊？因为是ARTX，这是百度当时啊，大力在这里什么攻防挑赛赛，挑战赛的冠军项目，大肆宣传的啊。你看这个 GitHub 里的，所以虽然是开，开源的，川普自己说了，这是，啊，百度攻防挑战赛冠军项目，就这款ARTX，看到没有？里面，里面都用中文写的，看。哎呦，邮件渗透，怎么渗透？说白了就是一个 AI，AI 黑客工具[笑]啊，AI 自主渗透测试系统。啊，你看。那么中共是吧，关键就，这不丢人丢大了，明白不？丢大了。关键是啊，好，全世界都在骂中共，你说，呃，中共自己说，哎，否认说，“哎，我们中国从来没有”——哎又开始说了嘛，说，啊，这外交部否认这个事，别人说，哎呀，强烈反对，啊，这个西方利用什么来抹黑中国。那关键里面你们就是中共的工具啊，啥叫抹黑？啊。你说关键你，上面写得很清楚，还百度，啊，百度，你看，这个攻防挑战赛冠军项目。百度，谁不知道百度是官方的？哦，你以为它是什么上市公司？他妈傻子都知道百度背后就是，啊，中共的百分之百控制的。 所谓的挖掘出这样啊，直接，啊，就什么，就是做事屁不擦，对，漏底了，直接搞半天不成功，还给漏底了，被发现。啊，这绝对是被发现了。啊，因为他这六点五万，我看一下，没啥，没啥值钱的数据。但有些人民啊，就拿去最多啊，做做诈骗而已[笑声]，最多就这。但是你想想，这造成的损失很大，直接把这AI工具啊，给他们留在那了，所有的痕迹全给你留下来了，是吧？西方甚至韩国啊，可以利用这个大做文章，全面地，是吧，就跟啊菲尔福德，严查这到底咋回事，反向，啊就跟那天的张婉莹跑那里去拍，哎，你说她拍成功没有？拍成功了，是不是？关键被抓了个现行，是吧？你说拍成功没有？是拍成功了，因为他必须得让你拍成功，你都不拍成功，回头你咋抓他呀？这个也是一样，你得让他，给他，让他把偷一点东西，他偷了六点五万，啊六点八万人个人信息，没偷成功，回头说，哎呦，你，你这个报道你都写不出来，啊。至于说菲尔福德那些，那肯定不可能让他成功，但是他至少有一点成功了，他把那炸弹运到那边，他已经成功了，是吧？然后你像那个啊，以色列飞机一样，他有一点成功了，最-- 骤降啊，或者把这个机长打，直接到处都是血，诶，这成功了。但是最终他没成功。你看，就我就发现，诶，这是怎么，最近这所有的模型啊，就是习从美国回去以后，啊，这所有的模型都是这个模型。你说他搞了没有？以前中共搞啥，你抓不到，是吧？啊，抓不到，一点证据都没有。啊，要么就是，呃，要么九幺幺这种，或者十月七号，今天十月七号嘛，就，让他成功了。你看十月七号就是偷袭成功，九幺幺就是偷袭成功，珍珠港就是偷袭成功，是吧？然后在这基础上，啊，然后才好像美国国会，啊，才会翻转一样。现在是啊，就是，这不就是我们说的，这不就先发制人吗？啊，你的导弹立起来了，正准备点火那一下，先给你打掉了。就每一个都是这感觉，我感觉啊。并且媒体迅速跟进，迅速发酵，啊，是不是？你说，我们听听。这个看见的人分享一下，你怎么看？

对，刚才路德要讲这个题目啊，我大概就很快花了十分钟啊，把整个案子来来去去看了一遍啊，顺便在技术上面我也大概看了一下。呃，这个东西啊，Artix，这个，这个是哪来的呢？呃，首先它就是一个，就刚路德已经讲过了，这个百度曾经，呃，搞过一个比赛嘛，对不对？然后呢，中共国反正就一堆人去参加，反正就搞了一个这个东西哈，反正一个得了冠军的东西，反正呢就是有用，它，它这个在功能验证上面没什么，没什么问题啊。但是我，我要讲的是什么呢？我们先讲最后那一段，它是怎么被抓到的哦。我为什么要讲，先讲最后这一段呢？我，我要讲一件事，中共国啊，干什么事情都是只干一半，只做一半。什么叫做只做一半呢？反正上头交代的我就做了，对不对？我完全哈，完全不管说中间可能会被抓到，有可能的这些痕迹会被抹去。这个，这个，这个Artix啊，拿Artix去攻击这个韩国的这些银行哦，它是怎么被抓到的呢？那是因为啊，这些银行都觉得说，哎，我们银行端哦，好像有被攻击，所以呢，开始就反查了攻击来源。反查了攻击来源之后呢，因为你要攻击总是会有攻击来源IP嘛，对不对？会有大量的海量的一些，呃，con-connection，连接。那呢，你就去对于这个connection，来的connection就很简单了，你就可能，呃，这个，这是一个哦，韩国的资安公司哎，的一个负责人啊，叫做这个文宗贤哦，他的这个团队啊，当时在解决这个他们这个这些银行端啊，认为说，哎，怎么被攻击了，反正就去把这些数据全部保存下来之后呢，就针对可疑的这些IP呢，回去用了一个非常简单的东西，就拿那个IP直接打那个，呃，在浏览器上面直接打IP，他就赫然发现啊，部分的这些啊，这个疑似的这个，呃，来源的IP，用-- 在浏览器上打入它的这个IP之后呢，在它的——如果大家哦，有写过网页的话哦，这个网页是HTML，有个tag嘛，对不对？它中间有个结构，就是title，这个title呢就会显示在你那个浏览器哦，上面哦，比方说，啊，如像我们路德社网站啊，它就会写，啊，路德社网站，Lude Press哦。那，这个，这个那个标签是哪里来的呢？就是title去决定你，你开了这个浏览器之后，上面要显示什么东西。好啦，这个title直接显示Artix，自主渗透测试控制台。[笑声] 哇靠，你知我刚刚看到这个我就傻了，我想说，哇，天啊，你今天要拿去攻人家的这个，呃，银行哦，然后呢，你去攻人家的银行就算了，对不对？你，你直接哦，从这GitHub上面把东西全部直接抄下来，你连程式内容懒-- 连改都懒得改。它既然是open source就可以改嘛，对不对？那但你连改都懒得改，就直接把它部署了，部署了完了之后呢，直接下指令就开始攻了。结果攻的时候呢，就直接知道说，哦- 你这个就是用Attck这-这套东西啊。Attck是哪里来的？就中共国的，中共国搞出来的，就这样子直接中标。你看中共国哦，真的是，我相信啊，他们拿去攻这个韩国的这些银行哦，可见也是，也-也是任-任务交代嘛，对不对？任务交代的时候就开始办嘛。但是要怎么攻让人家不知道呢？那就把这个Attck这套东西啊到处部署。怎么部署？我等一下讲啊，这个各位也可以部署，谁都可以部署哦。这个东西只要是会写一点程式的人哦，这跟AI一点关系都没有，我等下跟各位讲，这个Attck这个东西跟AI哦基本上它本身跟AI完全没有关系哦，好，这个，这个，这个待-待会说。然后呢，你-你-你拿了人家open source的东西的时候，你好歹，你好歹也把痕迹稍微抹一下，对不对？你去攻击人家，人家多少也会反查嘛，你反查了之后呢，结果你竟然——哦因为这个东西本来就是当时在做比赛的时候哦，这个，这个，它本来就会有一些标签在上面，比方说就我刚刚讲的，哦它，因为它，因为它的操-操控这个什么Attck是用浏览器的UI啊，浏览-浏览器的这个界面去操作的。然后呢，这个浏览器的界面，那浏览器当然就会有什么？就会有title这个标签，那这个当时在开发的人他就直接写Attck，然后一杠，自主渗透测试控制台，哦，本来就是这样子。结果呢，结果一被这个韩国的资安司啊，一抓就抓到了，欸就是Attck，结果去，结果就找到，哦Attck。既然是这样的话，Attck大家都知道嘛，因为上过比赛的，这个资安界没有人不知道嘛。结果去看，去-去GitHub看，欸，就这一套，对不对？直接部署，对不对？那谁会这么无聊拿这种东西去部署，对不对？那-那只有中共国啊，而且明目张胆地用人家这种open source拿去攻人家的这个，这个，这个银行，对不对？这个不被抓，不被抓现行也难嘛。哦那当然啦，是不是写Attck的这个人哦，他是这个主谋哦去攻，我们不知道，对不对？背后是谁去，呃，谁去这个什么下令说，欸，去把这个什么攻一攻看看，攻攻韩国，看看会怎么样，这个我们先不管，哦，对不对？因为这个毕竟还有很多反情报的部分需要讨论，但是我们就技术层面来讲这件事情哦。刚才我们讲了Attck是一个什么东西。其实啊，你家里如果有这个电脑哦，你现在去下载一个Ubuntu哦，就是Linux哦的系-系列的这些东西哦，下载了之后呢，把它直接安装下去之后呢，它就会，它就会产生一个像是呃Web server哦的东西啊。因为呢它虽然是用Go啊写，Go是Google的一个程式语言哦，G-O哦，Go，是Google的程式语言哦，但是它反正就是执行指令而已。然后呢，这个各位如果去GitHub看的话，它有很多点Go、点Go、点Go，这些基本上都是，都是一些程式而已，已经，已经compile了好的程式。然后呢它UI，UI干什么呢？就是这个，这个，呃浏览器界面干什么呢？就是让你下指令用的啊，就是你可以，呃，你直接在那下说我要去攻-攻哪个IP哦，或是要攻哪家银行，反正你一定会有个网址嘛，对不对？然后呢，完了之后呢，接下来就是Attck要做的事情。Attck我刚刚讲哦，跟-跟这个AI，哦，它这个Attck本身自己跟AI没有关系，它本身不是一个AI的程式。但是呢，你就想一件事哦，假设哦，你今天啊，你-你对于资安哦，只是，呃，大概知道一点东西，你大概有受过一些这个资讯科，呃，资讯工程的训练，然后呢，比方说我交代，被交代一个任务啊，我要来攻这个路德网站，哦，假设是这样，那这个时候呢，我也不会攻啊，我也不懂啊，对不对？哦但是呢，我可以查资料啊，对不对？那怎么办呢？好，那因为呢，这个Attck这套工具就很好用，当你把它装好之后呢，你只要告诉Attck说我要攻哪里，比方说我要攻路德社网站，比方说我要攻这个什么白宫网站，任何你有兴趣的网站。完了之后呢，这个它就会开始什么？开始去，开始去——有一系列的，这是程式在做的，不是AI在做的。它-它可能会调用一些Linux基本上啊非常非常基本的一些工具，比方说curl，比方说nmap，就是你这台服务器有多少的port是通的，对不对？然后呢通完了之后呢，你再用socket去connect看看，看看会不会怎么样。那就是什么？以前啊骇客基本上呢，你需要自己懂这些指令，然后呢去测试一个站台，看哪里有漏洞，对不对？但是呢，Attck提供了你一个抽象化的界面，就是你只要告诉它说你去攻谁，然后呢，呃，比方说你去，比方说你去扫描了一-一台主机的port哦，就是它的开口，然后呢，每个开口回馈来的这些，这些资料之后呢，再由什么？再由Attck去丢去给什么？它可以接LLM，就是一般的这个就是大型语言模型，或者是直接，呃，调——介接这个比方说ChatGPT的API，或是Claude API哦，或者是这个其他种种的哦，Gemini的API都可以。哦就把它这个啊，你-你去扫回来的资源往那个，往这个，这个，这个AI，就是我们今天知道的很多的这些啊，这个AI的API丢去之后呢，这些AI API丢去之后呢，再加上一些提示，提示语之后，这些A-AI API就会回给这个什么？回给这个Attck说，哦，这个哪里可能是什么，哪里可能是什么，哪里可能是什么。你只要把它包装成说我不是要攻击，我只是要修我的电脑而已哦，这样子的话，基本上呢一般的AI啊基本上是会回答你的，就是GPT会回答你的，或是，呃，被特别训练过的LLM，那当然一定会回答。然后完了之后呢，再什么？再程式——接下来就是回到这个Attck自己程式的运作里面，它可能条件判断说，欸这个，这条路可行，那条路不可行，哦，对不对？然后呢完了之后呢，再-再-再发去给这个GPT说好，我认为这个可行的时候呢，那应该要怎么做。好，所以呢Attck提供的是什么？一个工具。这个工具呢就是呢你并不是一个哦资安的专家，但是呢你可以利用Attck这套工具，然后呢再利用什么？GPT，哦就是所谓的一般我们通用的AI，比方说我们刚刚讲的Gemini啊，OpenAI或是Claude，它的能力，对不对，哦去帮你，去提供你一些，哦比方说你可以怎么测，它回来给你之后呢，你再用你的电脑，对不对，去打那些，用比方说就是调用你原来的Linux的工具去打，哦。然后呢就是这个样子而已。然后呢只不过呢，刚好这个韩国的这家- 银行被打通了，对不对？其实啊，它这个是，这个，这个，呃，这个Atex啊基本上是测试你有没有漏洞的一个工具。但是呢，你看到我觉得你，你这种东西啊，你把它丢在GitHub是干什么？对不对？你这个根本就是，根本就是啊干嘛，就是引人犯罪嘛。另外一个还有一个是什么？我想到的是，如果说啊，这个，呃，这个中共有比方说要发起一个，呃，攻击哦，比方说要攻击美国所有的这个银行，那这，那你要部署这些程式很麻烦嘛，对不对？尤其是这个，你还要把这个程式递交给很多很多这个协力厂商，我们挂引号的协力厂商哦，分包商啊，对不对？然后呢，你再去部署在你的所有的伺服器上面，多麻烦，我干脆放GitHub，你自己下载，对不对？然后呢，你只要拿了钱之后呢，好，我们讲好时间呢，大家各个厂商开始攻，一个一个攻，反正我就是要瘫痪你的金融系统而已哦，对啊。那这个，这个就会变成是什么？很方便地来做。因为，因为一般，因为一般来说哦，不太可能把这种具攻击性的东西放GitHub，而这个他放上去的时候只是说这是一个资安工具，所以GitHub不会把它下架，对不对？那中共有可能就是利用这样子一个灰色的地带，对不对？然后来作为他去部署这些东，呃，这些所谓的这个什么，在，在网路上面作案工具哦的一个管道而已。你看GitHub被利用了嘛，对不对？而且GitHub没有理由下架，这只是一个测试哦。那大概的技术层面是这样，鲁德。

Candy啊，我跟你这个，再给你补充一下啊，再补充一下。从这个点去，你去了解一下。他是这样，就中共他为什么把这个放在GitHub上开源？因为调查人员发现，啊，全球，啊，它不是一个地方来攻，是至少发现了几百个，甚至几千个。啥意思？就是只要下载了这个GitHub的，啊，就这Atex这个，然后呢，比如因为它是开源嘛，你在家玩一玩，你可能只，你在家里头，是吧，部署一下，它会发现被中共这个去调用，啊，就你的机器就变成肉鸡，明白不？它是这逻辑。然后嘞，统一去攻击这个韩国的银行。就是说白了，就你是下载玩一玩，啊，全球很多，诶这个东西不错啊，这个GitHub，啊，这Atex，我来试一下。是吧？有的是试，有的说白了，啊，可能就是它藏在各个地方。所以它，就是我来解读一下它为啥要放在这个开源这个系统里头，懂不懂？啊，为啥要放在开源？第一，它要更多的人下载，去收集更多数据，因为他们要学习啊，他用别人的东西来学呀，他自己学，你想想学得很慢，费用很高。第二点，啊，说白了，他这玩意，懂不懂？他如果，如果，你想想啊，比如说，啊，他这个，他可以伪装成是开源，实际上他可以用木马的方式安装在很多肉鸡里头，就你的机器变成肉鸡了，实际上被他装进去了。装进去以后，然后别人调查说，诶，我这是开源的，是他自己，就很多人说，诶，我这里头怎么装了这玩意Atex。明白这逻辑不？找他的时候，他回头说，哎哟，我是开源系统，你找我干啥？是不是？所以我告诉大家，啥意思，啊，就是现在他的这种玩法。因为你要知道，大家记不记得十五年前，啊，什么中国有个三六零，百度全部都是直接给你装木马，明白不？你买的手机里头都直接带木马的，啊，你买的电脑连线面板都直接带木马的，啊，直接变成肉鸡。华为手机都直接。但是你想想，如果都是中国华为手机里面都是肉鸡的话，太容易暴露了。现在啥？他所以中共呢，就优化了啊，新的玩法，我把它放在开源里头，伪装成开源。但是实际上，就这里是伪装成开源，但是实际上明修栈道，暗渡崇苍，干到啥？我可以啊，让中共的几百万个，啊，几百万控制的各种肉鸡，说白了作为攻击节点，然后一解释说，哎哟，是吧，我这是开源，他们自己下载的。就可以哄人啊，掩人耳目啊，一旦，啊，出现问题。所以它这里头，就核心这块，它这个Atex绝对是可以调用的，懂不懂？就是把这所有的机器一起调用，你看，就是说嘛，调查人员发现部分流量经过美国、日本、德国多个服务器IP地址，然后对着韩国这边来的。所以说啊，就这套东西，百分百，啊，你，你以为它是真开源的，说白了，它百分之百不是真开源，它里面有一部分没开源是可以调用你的肉鸡的，本质是这个，啊。所以说为啥，啊，关键就是说白了还是技不如人，懂吗？至少有一点，为啥？留下了技术痕迹。在这个攻击基础设施中发现了Atex的技术痕迹。Candy先生分享一下，你怎么看，啊。

对，我刚才查了一下Atex它的这个技术手册以及它的这个，呃，这个，这个后续这种自动维护的东西哦。Atex啊，他在下载之后呢，你安装完了之后呢，它里面有一个叫做self update package哦，就是，呃，叫做自动更，呃，自动升级的套件。然后这个套件呢，呃，它会自动从GitHub下载，哦，一个新版的Atex。 欸，不过它是下载 binary，我查了一下，它是 binary 哦。 Binary 的意思就是它已经是，呃，已经是二-二进位，二进位码了，就是已经被 compile 好的东西，你是看不到它里面是怎么写的哦。我们现在在 GitHub 上面看到所有的点 go 哦的这个程式啊，全部都是明码哦，就是你可以看得到程式码是什么。但是呢你在 update 的时候呢，你下载的东西啊，基本上都是，都是那个 binary 哦，就是只——可-可执行码哦，就是执行码，已经不是明码了，已经是 compile 过了。那下载之后呢， update 完之后呢，它会发生什么事情没有人知道哦，因为在原始的这个它那堆点 go 的这些档案里面呢，刚才看了一下，大概没有像，没有像有后门的东西，可是当你 update 完了之后，它可能会有，你不知道，对不对？它也没交代，也没讲，它只有说，呃，你下载的这个，这个 binary，呃，做 sha256 验证啊什么，那个都一样，那个都是基本上可以先算好，事先算好就好了哦。然后反正它给你的只是 binary，告诉你说你下载的就是这个，那里面可能真的会有，就是像刚刚路德讲的哦，就是说会有后门。而这个后门呢，呃，有一个重点哦，就是说你没有办法控制，因为呢 Artes 当你安装完了之后呢，它 self update 的时候呢，它会自己跑去 Git-GitHub 要，而且去跟 GitHub 要新的这个所谓的安装档的时候呢，就是说有时候新的程式的时候，它也不会经过使用者的同意，反正它就已经，就已经去拿了。意思是什么呢？意思是说当它装好之后呢，你的——你这，你这台电脑很可能就会对一个不知道哪里，因为我不晓得，因为我没有装来看，也没有抓-抓这个，抓封包来测试哦。但是呢我们可以想象得到，如果它真的要干坏事的话，它可以像很多之前像这种华为啊或是海康卫视一样哦，它里面呢会有一个像木马的东西是可以的哦。而且呢基本上它是直接在那个 Linux 的底层跑的时候呢，基本上可能会 cron job 啊什么都会上去，而且它重点是它自己可能开了几个 port 在-在听，对不对？然后呢在安装的时候呢，当你触动一次的时候，它可能就对外，呃，某一个 IP，某一个可能他们自己这个，呃，比方说中共一些什么中心啊，一些，一些，一些计算中心，哦，然后呢送了一个这个封包过去，它就让它知道说有，在某一个 IP 上面，现在呢有一台 Artes 醒着。好，那这个时候就好办了啊，这个时候呢，那既然，呃，是醒着，再加上什么？我刚才再次强调一件事，你要控制 Artes 哦，很简单哦，就是说比方说你家，你家有一台电脑，你-你把 IP 装上去之后，我讲的是 Ubuntu 哦，你把它装上去完了之后呢，你另外可能随便用一个微软啊，或是 Windows 或是手机啊，对不对？你是什么？你是打 IP，用浏览器的方式去-去-去什么？去命令 Artes 开始攻击哦，或是开始，开始扫描。欸，你可以，你可以这个用浏览器去启动它。那当然中共国那帮人也可以啊，因为他已经知道 IP 在哪里了嘛，对不对？那这个时候呢，他就什么？就开始，就开始——除非，除非这个 Artes 被装在防火墙内，那可能就没有办法打得到，对不对？但是如果说你是一个实体的 IP 哦的话，那基本上呢，那就，那-那-那就中共国就像路德讲的，它就可以反过来对你这个，这个下指令。当然还有一个可以穿透防火墙的一些这个功能，这些东西当然也可以做得到嘛，对不对？就是这个很容易的事情啊，或者是我们用 keeplive 的方式，让-让这-这台 Artes 一直不断地告诉这个中心端说我在，我在，我在，然后回应它的时候呢，回应一个可能一个特别的 code，然后就-就等于是下了指令，然后就开始做什么事，这是做得到的哦。所以啊，基本上像中共国现在这一套打法，基本上它可能就是说，欸，Artes 很好玩，而且一个比赛冠军的东西，欸，大家也会有兴趣。任何啊，我跟你讲，任何对于这种东西会有兴趣的人啊，家里大概都会有自己有伺服器啦，而且呢效能都不会太差啦。这个，这个网代就是频宽啊，台湾讲频宽哦，也不会太低啊，那绝对呢，可以让这台主机啊具有很高度的可攻击性的这种能力，又没有问题，对不对？然后再加上什么？再加上它可能就是我们刚刚讲的，它后端还是必须要使用大量的AI，它不见得要带 AI 哦，但是呢，它如果说，欸，付钱还是由中共国来付钱啊，然后呢连接 AI 的时候，它可能还是用 Cloudia，对不对？这-这也难怪为什么当时 Cloudia 会被，呃，这个，会-会有那么多的资安报告出来嘛，对不对？因为可见是这个可能被下载，可能任何一个国家哦，只要，只要哦在做资安的人都可能会对这个有兴趣，包括我可能会有，也会有兴趣，要不是，要不是我今天才知道，对不对？要不然我，我可能会把它抓下来玩一玩欸，对不对？然后，然后搞一个沙盒，哦，先装起来看看它到底是在搞什么东西，对不对？但是一般来玩的人，他可能没有这么大的资-资本的话，可能不可能搞一个沙盒嘛，对不对？因为弄-弄个沙盒，你得要，要完全独立跟隔离的系统来做嘛，对不对？好，那但是呢，一般人可能就装起来玩一玩，欸，他想要去，欸，这个，搞一搞自己家里的系统啊，或是搞一搞自己公司的系统，然后玩一玩之后呢可能就摆着了，因为一般伺服器不会关机的。好，那不关机的情况下，那就跟那些海康卫视的那些摄影机一样啊，跟那个华为的 router 一样，就摆在那边供中共国利用啊，对不对？而且重点是下载又不要钱，对不对？那你真的在调用这个什么 AI 的时候，反正中共国付钱就好了嘛，是不是？对不对？你那个 API 的 key 就是中共国的 key，你在，你在安装这个，这个 Artes 的时候，也没有人要你去输入，你比方说你是用这个什么，用 ChatGPT 的 API 的 key，也没有人叫你去输入啊，对不对？那它凭什么可以帮你这样做？当然啦，它是有一个地方可以你 connect 自己的 LLM 或是自己的 API key，对不对？但是它如果要搞这个什么，要用这个中共，中共国要发起攻击的时候，那钱当然是中共国来出啊，是不是？好，所以啊，你看，这个就是什么？ 这个就是中国邪恶的地方，它搞这种东西开源给你用，然后呢，搞这个 update，然后大家可能在没有注意的情况下被 update了一个木马进去。其实坦白讲哦，你不要以为干治安的人吼，就一定不会被，不会被这个什么，不会被穿透。像我们自己的服务器也常常被人家植入木马，对不对？只不过要一直不断地去注意、去扫，去找原因，才把它找出来。因为其实人外有人，天外有天。现在如果呢，你又搞了用 AI 的能力啊来去做这种攻击的事情，我觉得吼，这个已经不是啊，我们一般的所谓的这种所谓的呃，这个资管的人员可以解决，那个真的是必须要国家的力量来出来，来，来弄。因为呢，人再怎么样就是一颗大脑，AI 基本上受，应该是说啊，这个比方说像 Claude 啊什么这种所谓的通用 AI，它基本上已经是什么，吸收了所有的这个资管的能力进去了，对不对？那它，我们，我们想到的可能最多好厉害一点的家伙，个六七十分就很强了，可是它可是百分之百啊，对不对？百分之百的方法嘛，对不对？除非说你这个治安有，你这个资管另外自己设了一个自己独创的一个关卡，要不然的话，基本上，早晚会，破解是早晚的事嘛。对，所以像这种所谓的 cyberattack 吼，你如果说没有办法有一个这种国家级的或是国际，国际的这种层级的人来，来介入这种行为的话，那你，中共国就每天在这样搞而已啊，对不对？但你现在好啦，我们现在抓到了，抓到了又怎么样？你如果没有办法在这个什么国，地缘政治的层面去介入，去压制像这样子的行为的话，那中共国就赢麻了吧，一而再，再而三的，反正我今天搞你一个银行，我下次开始搞美军基地啊，搞这个什么，继续，以前是用人去攻这个美国的基础设施，对不对？这次呢，下次呢，有这个东西，我就用，用这种东西来去攻啊。而且这个是它公开的版本耶，没有公开的版本可能更多啊，是不是？所以我觉得像这种东西啊，它为什么一定要把它这个什么，把它公布，公告出来，就是代表说什么？中共国干这件事情已经没有下限了，连网络上面都基本上也完全没有下限的情况之下，这个国际，尤其是美国，这个一定要介入啊，路德。

What about a tool that's been around for a while, something used in web development and security?

Ah, you're thinking about cURL.

Yeah, cURL.

It's all about talking to web servers, right?

Right.

Well, think about it.

Many apps send data back and forth to a server.

cURL could be used to, you know, intercept and analyze that data.

You remember correctly.

And the poster child is Curl, the tiny command line tool that moves data across the Internet and is installed on billions of devices.

Its lead developer, Daniel Stenberg, started publicly complaining about AI-generated reports back in early 2024.

And Curl eventually did something pretty drastic, right? I think they ended their bug bounty entirely, which for a project that critical feels like a genuinely painful decision to have to make.

They did in January of 2026.

Stenberg said the goal was to remove the incentive for people to submit poorly researched reports.

And he said the torrent of submissions put a high load on the Curl security team, which is a very small group of volunteers.

I