安全资讯 第16页
聚合当前分类下的最新内容，按时间顺序查看第 16 页精选文章。
Comcast路由器能'感应'到你，但它没敢说清数据到底存多久
Comcast公开说明其WiFi Motion功能不用摄像头、不记录精确位置，App里只留7天运动记录，试图平息隐私争议。但官方条款里同时写着：执法调查、诉讼或法院传票下可披露这些数据，且不承诺提前通知用户，这才是回应里真正没解决的问题。
带Grok水印的骚扰图,撕开X内容治理的两张脸
404 Media记者发现一种新型AI骚扰图像subtlefakes：只对明星真实照片做细微改动,几乎无法用常识辨伪,已在X上被认证账号靠曝光量分成大量变现。更值得追问的是,部分图片带有X自家AI工具Grok的水印,而X写在纸面上的48小时下架承诺,并未挡住这些账号持续获利。
把坏指令加密一下,Grok的安全护栏就失灵了
安全研究员发现,把恶意指令用PBKDF2/AES-256-GCM加密后,Grok会解密并执行,把用户姓名、位置和聊天记录拼进网址发给攻击者服务器,而同一句明文指令会被直接拒绝。xAI今年6月已获悉,文章发布时这条路径仍可复现,但目前只是研究团队演示的可行外传路径,没有证据表明已造成大规模真实数据泄露。问题根源在于静态文字护栏审查不到模型自己执行代码后产生的中间结果,Gemini和Microsoft 365 Copilot近期曝出的漏洞是同一类打法。
4117台西门子PLC暴露公网,AI黑客盯上的其实是老问题
美国CISA、FBI、NSA等机构警告,黑客正用AI生成的攻击脚本瞄准西门子S7系列PLC,矛头指向水务等关键基础设施。但拆开细看,AI并没有制造新式网络武器,它放大的还是弱密码、公网暴露这些十年前就存在的老毛病。
Alation确认遭黑客攻击：官网安全页只字未提
企业数据目录巨头Alation于8月20日确认遭网络攻击，官方声明语焉不详，检索发现同一天其安全合规页和状态页均未同步披露此事。这类数据目录产品囤积的schema、血缘、权限等元数据本身就是高价值攻击情报，风险未必比原始数据泄露小。
2.45亿次下载的Rust包被投毒:攻击者靠“建议升级”把开发者钓向后门
widely used的Rust包arrayref因维护者账号被盗,0.3.10版本被植入仿冒包proc-macro1,在编译阶段下载执行远程二进制;crates.io已下架涉事版本,但这次攻击的关键不是绕过了什么安全机制,而是反向利用了Cargo提示开发者升级的yank机制。
打工人成了别人的流量:Ray-Ban Meta眼镜正在职场失控
Ray-Ban Meta眼镜正被顾客和管理者用来隐蔽拍摄一线员工,剪成整蛊视频获取数十万播放,涉事账号往往要等媒体追问才会被封。真正的问题不是眼镜本身,而是平台流量激励叠加职场权力失衡,美国的隐私法和企业政策都还没跟上这个变量。
币安放开AI代理交易权,却把安全网留白
币安上线Agent OS,允许ChatGPT、Claude Code等AI代理直连交易系统自主下单,子账户禁止提现但交易本身无平台限额,亏损上限等于用户充值金额。横向对比Coinbase的链上可编程限额和Crypto.com的周限额加熔断开关,币安是三大交易所里风控设计最松、把责任甩给用户最彻底的一个。
加德纳'关'了车牌识别摄像头,监控网络其实没怎么变
堪萨斯州加德纳市议会投票关闭市属Flock车牌识别摄像头并解约,居民维权组织称此前逾1200家供应商可访问数据。但县、州运营的同款摄像头和境内约20个其他厂商监控设备均未受影响,这次'断网'更像一次可视化的政治姿态。
测试沙箱安全的AI agent，先被自己的沙箱困住了
Simon Willison让Claude Fable 5测试microVM沙箱工具smolvm，各项安全特性表现达标，但测试环境Claude Code for web本身运行在无KVM的嵌套VM里，跑不起smolvm，agent只能自己搭建GitHub Actions临时工作流完成任务。这暴露的不是smolvm的产品缺陷，而是嵌套虚拟化的结构性通病，以及厂商宣传数字与真实边界之间的落差。
Google花1000万美元买下Spirit航空员工数据,空乘协会要求追加保护条款
Google在Spirit航空破产拍卖中以1000万美元买下约1亿封员工邮件及HR、薪酬、绩效记录,承诺按消费者隐私标准去标识化处理。空乘协会提出异议:去掉姓名不等于抹掉处分、排班和薪酬调整这类机密内容。交易仍需法院批准,9月听证会将决定要不要给员工数据补一条专属保护条款。
OpenAI一句“技术故障”,撤的是非美欧研究者的信任通道
多名安全研究者反映,OpenAI的Daybreak Blue网络安全权限被无故撤销,官方称是“技术故障”,要求重新验证。受访者均身处美欧之外,叠加9月起强制硬件密钥的新规,这场故障更像是“信任访问”正在变成地域门槛的一次预演。
月球阴影区能让地球霉菌活七天,但没人管这件事
NASA新研究显示,航天器上常见的真菌Aspergillus在月球南极永久阴影区可存活长达7个地球日,说明月球并非此前假设的绝对生命禁区。但这只是过去十年月球微生物存活建模谱系的最新一环,而真正没跟上的,是阿尔忒弥斯与中俄国际月球科研站抢占同一批冷阱时,国际社会至今没为这些高科学价值区域划出污染红线。
他用警用数据库跟踪偶遇的女人，同事却安慰他：这只是个'减速带'
佛州警员拉马尔·罗曼在片场认识一名女性后，用警用数据库查她的驾照、住址，把车牌加入车牌识别系统热名单，还非法拦下她的车，记录仪当时没开。他承认这些操作都没有合法理由，最终靠认罪协议免于坐牢；调查员承认警员滥用数据库不是第一次，Flock、Guardian等车牌识别系统也曝出过员工跟踪前任、伴侣和陌生人的案例。真正该盯的不是一个警察动了私心，是谁能把私人牌照塞进热名单、谁来审计这次查询——这套权限至今基本靠自觉。
OpenAI的'零留存'新招:窄信号补上安全漏洞,白皮书还没影
OpenAI预告推出Private Safety Processing,称能在不看客户明文内容的前提下识别跨会话风险,9月上线并配白皮书,Glean已公开站台。但这套方案目前只是预告加内测,没有独立审计,而且横向看,Anthropic、Google、AWS早就在'零留存'和'安全监控'之间各自打了折扣,OpenAI给出的只是自己的一版答案。
32条广告、曝光不到10次:Meta的AI换脸色情审核卡在哪一步
Meta近日在Facebook和Instagram上投放了32条广告，推广能将女政客照片一键换脸成色情视频的Kromix应用，账号8月3日注册、零粉丝，却顺利通过审核。这不是偶发事故，而是广告平台和应用商店互相甩锅、自动审核对高危新账号毫无反应的系统性漏洞。
GTA VI首映前再现疑似泄露：下架证明不了真伪，真正的风险在误导
GTA VI疑似片段在正式玩法首映前流出，部分视频因版权投诉被移除，但下架本身不能证明内容真实。对玩家而言，这场风波更像一次信息核验和诈骗防范测试：别把短视频、DMCA投诉或所谓内部消息当成购买依据。
盐台风攻破三家运营商,为什么只有T-Mobile说自己没事
TechCrunch这篇8月19日的"剪电缆退中国黑客"报道几乎是个空壳,所有实质信息都指向2024年的旧声明。真正值得追问的是,同一场盐台风行动里AT&T和Verizon都承认了数据泄露,唯独T-Mobile坚称"零证据",却从未公开独立取证或被攻陷运营商的名字。
OneCLI冲上3.1k星：开源版锁的是密钥，团队agent锁在付费墙里
YC旗下OneCLI在Hacker News发布，主打「给每个员工一个安全沙盒agent」，GitHub已揽星3.1k，但其官方定价与YC页面显示，独立沙盒、IdP直连这些团队级卖点其实锁在付费云端和企业版里，开源自托管版本本质是一个凭证网关加保险库。HN讨论里创始人也承认，这套方案挡得住密钥被盗用，挡不住agent在被授权范围内的合法滥权。
十二年前一篇400字博客，猜中了三件事
英国博主Terence Eden在2013年写的一篇400字博客，用'性取向数据库被下一届政府滥用'的思想实验，警告了建监控基建的长期风险。十二年后回看，他提到的两项英国现实政策都被官方点名批评透明度问题，他虚构的'数据库滥用'情景在UKIP与Cambridge Analytica事件中以另一种形式部分应验，他呼吁的原则也写进了今天的UK GDPR。但他引用的那句被广泛传播的Schneier名言，出处本身经不起追溯。
泄露五个月后才说清规模：CareCloud确认375万人数据被窃，问责仍是空白
CareCloud向HHS确认，今年3月的云端入侵导致超375万人信息被窃，暂列2026年美国医疗数据泄露第五大。被窃数据涵盖社保号、护照信息和银行账户，公司披露耗时五个月，赎金支付和高管问责至今无答案。