挪威安全研究員 Tom Jøran Sønstebyseter Rønning 指控 Microsoft Edge 瀏覽器存在嚴重安全風險，該瀏覽器會將用戶保存的所有帳戶密碼，在未經加密的情況下以「明文」（Plain Text）形式駐留在電腦系統記憶體（RAM）中。沒想到 Microsoft 回覆指︰「非漏洞、屬預期設計」。

據《Internet Storm Center》報告指出，該研究員針對 Edge 147.0.3912.98 版本的測試顯示，瀏覽器在啟動瞬間會自動解密所有已存密碼，並將其存放於程序的記憶體中。即便用戶在該次執行期間完全沒有瀏覽相關網站，這些明文資料亦會持續駐留，不會被系統清除。

研究員強調，此類設計在現今主流瀏覽器中極為罕見。以同為 Chromium 核心的 Google Chrome 為例，系統僅會在用戶主動要求「自動填寫」或查看密碼時，才對特定條目進行解密，並在完成操作後立即清除記憶體內的明文紀錄。此外，Chrome 亦設有「應用程式綁定加密」機制，將解密權限鎖定於認證後的特定程序，防護等級明顯較高。

針對此項發現，Microsoft 在回應研究員時明確表示，這並非 Bug，而是刻意為之的功能。官方解釋，該設計是為了優化用戶登入時的效能體驗，讓系統能更快速地調用資料，屬於預期內的功能表現。

Microsoft 進一步補充，若要觸發此類資料外洩，前提是攻擊者已獲取該裝置的本機存取權限或已植入惡意程式，因此建議用戶應專注於及時更新系統修補程式，並避免執行來源不明的檔案。

然而，Microsoft 的解釋受到全球安全專家討伐。攻擊者只需透過簡單的「記憶體傾印」（Memory Dump）操作即可大量竊取密碼，尤其在共享電腦的多人環境下，風險更會倍增。該研究員已於 GitHub 發布測試工具供公眾自查，只要使用簡單功能即可取得瀏覽器存放的密碼。

安全專家呼籲用家立即刪除 Edge 瀏覽器內儲存的所有密碼紀錄，停用 Edge 並轉用其他更安全的瀏覽器。用家們要團結起來，迫使 Microsoft 承認錯誤，向 Microsoft 說不。

專有軟件唔係應該比較安全？

用得window仲學人講咩安全

唔藍畫面已經要偷笑

作為老人家，將密碼寫响紙上邊，唔出奇

專有軟件（閉源）唔係應該比較安全咩？

直頭禁用windows啦，安全專家

啱啱睇到

有時真係忍唔住笑

given enough eyeballs all bugs are shallow
舉個例 學生作文 一個老師睇完 可以圈到8成錯誤
兩個老師睇完可以搵到9成5錯誤
三個老師 四個老師 ...
只要有足夠老師批改過篇文就可以完全文法通順 用詞洽當

未有ai年代就係
有左ai掉返轉
https://www.techbang.com/posts/129027-linux-kernel-cuts-old-drivers-ai-bugs

2026年啦～用 e-ley 啦～屌！

Linux 爆發「Dirty Frag」嚴重漏洞
近八年所有 Linux 版本無一倖免
https://www.hkepc.com/25700/Linux_%E7%88%86%E7%99%BCDirty_Frag%E5%9A%B4%E9%87%8D%E6%BC%8F%E6%B4%9E_%E8%BF%91%E5%85%AB%E5%B9%B4%E6%89%80%E6%9C%89_Linux_%E7%89%88%E6%9C%AC%E7%84%A1%E4%B8%80%E5%80%96%E5%85%8D
open source剝光豬比人任睇喺AI年代係有反效果
linux應該有排爆
close source反而可以內部用AI掃bug慢慢fix

紅字會唔會諗多咗？
close source啲公司正常都只係為賺錢
正常都唔會浪費資源做呢啲零回報嘅野

d大公司用mythos fix左好多啦

Sell緊AI服務嗰啲大公司？

關AI咩事?
AI可以改文 人都可以改文
重點係夠多人批改篇文就可以搵晒所有問題出黎
你唔open source一係internal自己睇 一係搵一兩間code audit睇 點可能搵得晒D問題

Linux社群夠多人未?
最近d linux 漏洞勁多年都冇人發現,比ai挖返出黎

巴打點睇TLS implementation?
https://en.wikipedia.org/wiki/Comparison_of_TLS_implementations#Overview
九成都係開源
得M$嘅Schannel同BSAFE係專有軟件（閉源）
而server大部份都係用緊openssl（開源）
呢個時代嘅互聯網會唔會好唔安全？

依家最大問題係open source一野剝光豬比人睇
D 漏洞係patch唔切，最新個dirty flag都未patch,就算你日日patch，人地server會唔會日日patch日日reboot
而close source係冇呢個迫切性問題
黎緊個方向都係close source會穩陣d

dirty flag琴日已經patch咗
但佢喺kernel patch之前放個poc出黎呢件事係幾令人憂慮
本身限期有五日，但個fix無意中俾第三方知道之後第三方打破左保密協議，搞到佢要即時放出嚟

好彩嘅係dirty flag同copy fail其實就算無patch, 都可以熄咗受影響嘅kernel modules就得，唔洗reboot system, 咁當然有patch就更好

但問題係而家成個互聯網嘅e-commerce嘅網絡傳輸，加密，認證系統等等都係建基喺open source之上
AI嘅出現會唔會令e-commerce崩潰？

唔係好明，close source 爆 bug d patch 好快出到？
Close source 冇逼切性問題係咩意思？
今次 edge 話 plain text password 唔係 bug ，咁即係可以安心繼續用 edge login web serivce 同儲密碼？

it's not a bug, it's a feature

啱啱先睇到你呢條link
事實同佢報導嘅故事 係完全相反
明顯睇得出佢嘅報導手法係有心誤導讀者

事實唔係AI搵得多漏洞，令佢地fix bux用好多時間
事實係AI製造太多垃圾bug report, 令佢地筋疲力盡
即係人肉DDoS
所以maintainer想delete哂啲舊code因為少人用
即係斬腳指避沙蟲

https://www.tomshardware.com/software/linux/linux-may-be-ending-support-for-older-network-drivers-due-to-influx-of-false-ai-generated-bug-reports-maintenance-has-become-too-burdensome-for-old-largely-unused-systems
The Linux kernel community is currently debating a significant proposal that could see countless legacy network drivers purged from the mainline source code to combat an unsustainable surge in AI-driven bug reports. This development follows a patch series submitted by OG developer Andrew Lunn to the netdev mailing list earlier this week.

Maintaining support for old hardware has always been a “thing” for Linux. However, thanks to AI-wielding “detectives,” the sheer number of reports is forcing a shift in the kernel’s long-standing philosophy. Developers must now choose between addressing countless low-quality or hallucinated reports on systems no one uses or focusing their limited time on modern, high-impact subsystems.


另外curl maintainer都係另一個俾人用AI DDoS攻擊嘅熱門對象
個maintainer經常都出blog post同開talk講佢點俾人用AI DDoS
https://www.theregister.com/security/2025/05/07/curl-takes-action-against-time-wasting-ai-bug-reports/267311

https://www.youtube.com/watch?v=6n2eDcRjSsk

佢仲整咗條AI slop bug report list俾人睇返啲AI點樣DDoS佢個project
https://gist.github.com/bagder/07f7581f6e3d78ef37dfbfc81fd1d1cd

好聽就冇迫切性 唔好聽就當比人搵到漏洞大機會大把時間佢慢慢玩

用得save密碼都係on9黎啦

咁又唔好咁講
個個browser都內置有呢個功能
普通人點會諗到係有問題

mythos咪就係Anthropic claude嘅AI
Anthropic喺度吹奏話佢呢個產品太過強大，所以唔公佈俾public使用
「我有啲產品好撚勁，公開嘅話就世界末日架啦」之後搵班所謂tester同influencer吹奏點樣顛覆電腦安全
淨係開放俾大公司使用

https://www.youtube.com/watch?v=d3Qq-rkp_to


然後呢班有得access mythos嘅人其實就係科水俾Anthropic嘅人
即係自己人

街外有班人就唱反調，話同一招OpenAI喺2019年都已經玩過，同一板斧，又係講咩太強大然後唔公開
同埋Anthropic喺今年2月24內部已經用緊Mythos, 但之後就發生Claude code源代碼泄漏事件，同埋泄漏有關Mythos嘅文件，mythos係咁勁嘅點會咁
同埋分析話佢話搵到OpenBSD個漏洞，原來係用咗1000個agent parallel咁run, 淨係搵呢個bug用嘅運行資源都要成20K $USD
如果用同等嘅資源用其他AI搵漏洞，應該都會搵到類似嘅漏洞
而寫firefox exploit方面，佢聲稱係有84% success rate，但事實係佢個environment嘅firefox係tweat過黎, disable咗sandbox同其他defense settings, security level遠低於firefox default settings.

其實同搭雞棚冇乜分別
呢度同連登軟件台唔同，吹奏AI應該冇錢收