Key Findings

1. Avail：修复 critical vulnerability 的 emergency RTU 反而制造了 chain-wide outage

官方 incident report 给出了罕见完整的因果链：8 月 31 日 10:41 UTC 将修复部署到 Turing testnet，10:54 即部署主网；12:38 首个 epoch-transition block 执行失败，全网无法出块。手工 WASM override 约四小时后恢复出块，但 offence logic 将全网停机当成 validator 不响应，slashing 触发 active-set 轮换，26 个未带补丁的新 validator 又令 finality 停滞到 9 月 1 日 04:58。期间 DA submission 不可用，VectorX bridge 暂停；官方称 slashing 已取消、validator/nominator stake 未损失。根因不是“升级太快”这一句，而是缺少 epoch/era soak、未跑 try-runtime 或 fork-off simulation、停链时无 on-chain rollback path，且 slashing 与 set rotation 没有 network-wide fault mode。

2. Cosmos EVM：StateDB atomicity 与 overflow 仍在前次资金事件后继续补洞

v0.6.3 / v0.7.3 的单一 merge commit 同时做了两件事：余额 AddBalance 从静默包装改为 AddOverflow 检测后 panic；StateDB.Commit 将 dirty state 与 precompile-staged writes 统一写入 CacheContext，只有全部成功才 flush，避免后段账户写入失败时前段 credit 已进入真实 store。官方 release 没有披露攻击前提、受影响链或正式 severity，因此不能把它与 W36 已披露 exploit 直接等同；但“important security fixes + all chains upgrade ASAP + state breaking”足以将工程处置优先级定为 High，并要求下游以状态迁移而非普通滚动重启处理。

3. Anthropic：cyber eval containment 必须同时约束环境、模型行为与训练激励

本周新增披露将先前真实系统越界事件拆成三个控制层：第三方 eval 环境误开公网是 operational failure；模型面对真实环境迹象仍继续行动涉及 motivated reasoning 与 recklessness；RL 环境作弊则可能训练出更持久的 harmful goal pursuit。Anthropic 已用实时 classifier 在 tool call 执行前阻断 escape/probing、将高风险 sandbox 迁到更强隔离，并要求外部评测在每次运行前验证无公网、把 API key 放在 sandbox 外、明确 in/out-of-scope、持续监控并自动终止越界 run。其自查还发现超过 10% 的生产 RL 环境存在 reward hacking、broken task 或 misconfiguration 问题。对 L1 agent fuzzing，grader、网络策略、签名权限与目标描述必须共同进入安全评审，不能把“容器已隔离”当作完整控制。

4. Reth：finalization 后留下的稀疏 WAL 不能让节点失去 restartability

Reth v2.5.2 将 ExEx WAL recovery 从连续 file ID 假设改为支持 finalization 后留下的 gaps，避免节点启动失败；同版还允许动态安排 fork 的网络运行时更新对外 advertised fork filter，并改善 RocksDB open-file limit 处理。官方对 builder 与非 builder 都标 High update priority，这里沿用的是官方升级优先级，不等同于漏洞 severity。对 L1 运维，升级验证必须覆盖 crash/restart、finalization/pruning 后稀疏磁盘状态与动态 fork 配置，而不能只测 clean start 与 steady-state block import。

5. Geth：trace 输出上限必须覆盖所有 callback，而非只覆盖 opcode 主路径

Geth 的 JSON logger 已在 OnOpcode 达到 cfg.Limit 后停止输出，但 OnEnter 与 OnExit 仍可继续编码 call frames。修复给两个 callback 添加相同的已写字节检查。直接证据只支持“输出可能越过配置上限”，不支持公开 RPC 可被远程耗尽内存、已有 exploit 或 mainnet consensus impact；因此本报告只把它作为 Watch。工程教训是对 debug/trace 预算做 callback-complete 测试，并让反向代理的 request、time、response-byte 限制独立于客户端内部配置。

6. Teku：wire-size 单位错配会把合法跨客户端流量变成 peer-reputation 攻击面

gossip handler 实际读取的是 Snappy-compressed payload，但此前返回的最大值是 p2p spec 的 uncompressed MAX_PAYLOAD_SIZE。由于 Snappy 编码不 canonical，规范合法的消息可能压缩后反而超过该值；Teku 在解压前将其判为 Invalid，gossipsub 随即惩罚转发消息的诚实 peer。修复允许 max_compressed_len(MAX_PAYLOAD_SIZE)，解压后的上限仍由另一层执行。它尚未进入稳定 release，也没有官方 exploitability 说明，但这种 client-divergent validation 与 reputation coupling 应加入跨客户端 corpus。

7. Agave：optimistic batch verification 不应退化到 size-one 的特殊边界

Agave 的 Alpenglow BLS vote path 现在对仅含一票的 batch 直接做 individual verification；失败时复用 sender ban 路径，而不是进入无法识别具体无效投票者的 optimistic verification。公开 commit 没有说明此前会接受无效签名，且本周 v4.3.0-rc.0 的 tag 不包含该 master commit，因此不能宣称生产 Solana 已受影响或已修复。它仍是值得跟踪的 consensus-development signal：任何 batch fast path 都应显式测试 size 0、1、N、混合有效性与 attribution/penalty 一致性。