對話摘要 2026-08-25
description: 1 note(s) today. name: ‘2026-08-25’
🔐 每日安全審查 2026-08-25
✅ 正常項目（14項）： • QwenPaw 版本：2.1.0 已是最新 stable（pip LATEST 2.1.0；GitHub 最新 stable v2.1.0，僅有 v2.1.1-beta.1/beta.2 預發布，無需升級） • Patch 完整性：secret_redaction.py（agents/utils/）、task_tracker.py（last_event_at + _is_stale 900s 邏輯）、progressive_disclosure.py 均存在，未被覆蓋 • 審計日誌：最近 24h 無 governance deny / 攻擊跡象（僅 Governance started 與 /deny 指令註冊，無真實阻斷） • Host 防護：fail2ban active ✅、dnf-automatic.timer enabled ✅ • 外部暴露：ss -tlnp 僅 22/tcp（SSH）、51820/udp（wg-easy）、443/udp（amneziawg）、22000/syncthing，符合預期，無新增 Web 端口 • 容器健康：68 運行容器全 Up/healthy，無 restarting/unhealthy/crash loop（已排除 3x-ui/cadvisor/openhands 手動停用） • 特權容器：全部 HostConfig.Privileged=false，無 privileged 風險 • Web 端口映射：無容器將 Web port 映射至 0.0.0.0 host（僅 AdGuard 127.0.0.1:53、syncthing/wg 等預期，符合「嚴禁 Web Port 映射 Host」） • Cloudflare Tunnel：oracle-ampere-tunnel healthy，4 條連線（fra08×2、fra19、fra21，client 2026.8.1，origin 130.61.181.87） • Cloudflare Access：抽查 28 個 Access apps，全數 policy include login_method 0abce3f9（Authentik OIDC），無繞過 IdP 的 policy • DNS：benhoweb.com / shinggo.xyz / myip.blog 三 zone 皆 active，無可疑新 record（shinggo.xyz modified 2026-06-21 後無異動） • 核心依賴：cryptography 48.0.1 / urllib3 2.7.0 / aiohttp 3.14.3 均非已知高危版本（詳見下） • DB/緩存：pg-main PostgreSQL 18.4 正常，Dockhand 76 容器 5 有更新但 12 檢查錯誤屬通知模式，自身 healthy
⚠️ 發現問題：
- 【低】Sandbox LSM 探測失敗：cat /sys/kernel/security/lsm 無此文件（容器內 /sys 未暴露 host LSM，無法確認 landlock）— 建議：host 執行 cat /sys/kernel/security/lsm 驗證 host 層 landlock/appArmor 狀態，若確無 landlock 屬 Oracle OL9 預設，不影響容器隔離但記錄為資訊項
- 【低】cryptography 48.0.1 落後最新：pip LATEST 50.0.0（49.0.0/50.0.0 修復 CVE-2026-69248/69249 等），當前 48.0.1 於 Snyk DB 顯示 0 高危，但建議排程升級至 50.0.0（需測 qwenpaw 相容）— 行動：pip install —upgrade cryptography==50.0.0 後重啟 qwenpaw 驗證
- 【資訊】Host SSH 配置無法驗證：sshd_config / sshd -T 需 root 權限，opc 無權讀取 — 建議：下次有 sudo 權限時確認 PasswordAuthentication no / PermitRootLogin no
- 【資訊】依賴更新待查：fastmcp 3.4.6 / olw 0.7.0-synto / crawl4ai 0.9.2 / alist lrcfix-20260805 為當前部署版本，未發現緊急 CVE，建議月度比對 GitHub releases
💡 建議總結： 今日無高危異常，建議照舊。優先處理：1) 排程升級 cryptography 至 50.0.0；2) 有 sudo 時驗證 SSH 配置與 LSM 狀態。其餘正常，無需緊急處置。
- memory/2026-08-25/memory-slimming-archive-20250825.md