至顶网网络与安全频道 02月06日 综合消息: 2020 年 2 月 5 日 – 网络安全解决方案提供商Check Point 软件技术有限公司(纳斯达克股票代码:CHKP)的威胁情报部门 Check Point Research 今天披露了一些漏洞,它们可被黑客用于接管智能电灯及其控制器,进而将勒索软件或其他恶意软件传播到商用和家用网络。
Check Point 研究人员展示了攻击者如何利用物联网(智能电灯泡及其控桥)对家庭、企业乃至智慧城市中的传统计算机网络发起攻击。研究人员重点研究了市场领先的飞利浦 Hue 智能电灯泡和桥接器,并发现一些漏洞 (CVE-2020-6007) 允许他们使用 ZigBee 低功耗无线协议(用于控制各种物联网设备)中的远程利用程序侵入网络。
2017 年对 ZigBee 控制智能电灯泡安全性的一项分析显示,研究人员能够控制网端 Hue 电灯泡,并安装恶意固件。由于设计限制,厂商只能修复传播漏洞,因此攻击者仍可接管目标的 Hue 电灯泡。利用这一遗留漏洞,我们的研究人员决定更进一步,使用 Hue 电灯泡作为平台来接管电灯泡的控制桥接器,并最终攻击目标的计算机网络。攻击场景如下:
1.黑客控制电灯泡的颜色或亮度,让用户误以为电灯泡出现故障。该电灯泡在用户的控制应用中显示为“无法访问”,因此用户将尝试对其进行“重置”。
2.重置电灯泡的唯一方法是将它从应用中删除,然后命令控制桥接器重新发现电灯泡。
3.控制桥接器发现受攻击的电灯泡,用户将其重新添加到网络中。
4.然后,装有更新固件的黑客控制电灯泡使用 ZigBee 协议漏洞向控制桥接器发送大量数据,以触发堆缓冲区溢出。此外,这些数据还允许黑客在控制桥接器上安装恶意软件,进而连接到目标商用或家用网络。
5.恶意软件连接回黑客。借助已知漏洞(例如 EternalBlue),黑客通过控制桥接器侵入目标 IP 网络,以传播勒索软件或间谍软件。
Check Point Research 发言人表示:“许多人都知道,物联网设备可能带来安全风险,但这项研究表明,即使是最不起眼的设备(例如电灯泡)也会被黑客用于接管网络或植入恶意软件。因此,组织和个人必须使用最新修补程序更新设备,并将其与网络上的其他设备隔离开,以限制恶意软件的潜在传播,从而保护自身免遭可能出现的攻击。在当今复杂的第五代攻击环境中,我们不能忽视任何联网设备的安全性。”
这项研究在特拉维夫大学 Check Point 信息安全研究所 (CPIIS) 的帮助下完成,并于 2019 年 11 月与飞利浦和 Signify(飞利浦品牌的母公司)共同披露。Signify 确认其产品存在漏洞,并在随后开发了修补程序(固件 1935144040),该补丁已通过自动方式进行了相关产品升级。Check Point建议该产品用户检查自动升级设置,以确保产品升级至最新固件。
“我们承诺将尽一切可能确保我们的产品是种安全,同时保护用户的隐私不受侵犯。我们衷心感谢Check Point的发现以及后续安全方面的合作,这使我们能够及时推出必要的补丁从而避免了我们用户可能面对的风险。”George Yianni,飞利浦 Hue公司技术总监。
Check Point 率先提供整合安全解决方案,以强化并保护物联网设备固件。凭借最近收购的技术,Check Point 可支持组织使用设备自带运行时保护功能规避其面临的潜在设备级攻击。
好文章,需要你的鼓励
来自香港科技大学和MiniMax的研究团队开发了SynLogic,一个可合成35种逻辑推理任务的框架与数据集,填补了AI逻辑训练资源缺口。研究表明,在SynLogic上进行强化学习训练显著提升了模型逻辑推理能力,32B模型在BBEH测试中超越了DeepSeek-R1-Distill模型6个百分点。更值得注意的是,将SynLogic与数学和编程数据混合训练不仅提高了这些领域的学习效率,还增强了模型的泛化能力,表明逻辑推理是构建通用AI推理能力的重要基础。
这项研究揭示了大型语言模型的惊人能力:只需两个特殊训练的向量,冻结的语言模型就能在一次计算中生成数百个准确词汇,而非传统的逐词生成。研究者发现,这种能力要求特定的输入排列方式,且生成速度比自回归方法快约279倍。这一发现不仅展示了语言模型未被充分探索的并行生成潜力,还为快速文本重建开辟了新方向。
腾讯混元团队提出的"ConciseR"是一种通过两阶段强化学习实现大模型简洁推理的新方法。研究遵循"先走后跑"原则,先确保模型具备准确推理能力,再优化输出简洁性。第一阶段通过改进的群体相对策略优化(GRPO++)提升推理能力,第二阶段通过长度感知的群体相对策略优化(L-GRPO)减少输出长度。实验结果显示,该方法在AIME、MATH-500等多个基准测试中既减少了输出长度(平均20%以上),又保持或提高了准确率,展现出高效率-高准确率的理想平衡。
这项由香港科技大学团队开展的研究首次全面评估了压缩对大语言模型Agent能力的影响。研究发现,虽然4位量化能较好地保留工作流生成和工具使用能力(仅下降1%-3%),但在实际应用中性能下降达10%-15%。团队提出的ACBench基准测试横跨工具使用、工作流生成、长文本理解和实际应用四大能力,评估了不同压缩方法对15种模型的影响。结果显示,AWQ量化效果最佳,蒸馏模型在Agent任务上表现不佳,大型模型对压缩更具韧性。研究还提出ERank等创新分析方法,为实际部署提供了切实指导。