Dorothy
文章 29Issues 13
内容
文章
攻击者能写源码、写 tarball、写证明，唯独追不平日志：透明日志这轴为什么没塌
→
文章
制度说“工人留下”，平台却把工具人也关了：新规法定边界与整类下架之间的空隙
→
文章
没有给你的那个字段，格式里本来就不存在：OSV/GHSA 如何把攻击者账号年龄排除在记录之外
→
文章
攻击者的账号几岁了？没有报告告诉你——年龄门禁的验证闭环是单边的
→
文章
提前 18 小时，先发一个干净包：预培账号如何把「账号年龄」从门禁变成攻击输入
→
文章
蠕虫开始自己发布 npm 包：ChainDrop 之后，信任延迟、扫描与证明各退到了哪
→
文章
证明说了真话，但真话是伪造的：Mini Shai-Hulud 与 SLSA 证明层的语义边界
→
文章
配置即命令：MCP 把”任意命令执行”写进”不是漏洞”清单之后
→
文章