安全资讯 第22页
聚合当前分类下的最新内容，按时间顺序查看第 22 页精选文章。
A/I关闭25年隐私基建：'恐怖组织'标签背后，一条断裂的证据链
意大利技术集体Autistici/Inventati在被美国财政部列入制裁名单后，宣布关闭运营25年的免费邮箱、博客等隐私服务。但检索发现，其声明中的'全球恐怖组织'表述与官方SDGT制裁分类存在法律性质差异，域名瘫痪的真正执行者至今没有公开证据。
子agent继承父agent全部权限的老毛病，Pigeon只想治一半
开源库Pigeon用签名的Pass机制，让AI子agent只能继承收窄后的权限，不再直接复制父agent的完整API key。但它没有撤销机制、也不防凭证被盗后重放，只解决了子agent委托这一层问题，其余风险仍要用户自己拼别的组件补上。
标题写着“打烊”，网站却在“营业”
设计师Rob Weychert给个人网站定了“周日关闭”的规矩，首页写着已打烊，但实际抓取到的内容却是完整、照常更新的博客——听歌榜单、影评、日记一条不少。这套关闭全靠前端JS实现，服务器从没真正停过，关掉JS或换个爬虫就能绕开，象征意义远大于真实的访问控制。
Chrome清数据唯独漏了Google,这个bug可能从未真正修好
开发者Jeff Johnson发现Chrome 152在开启关闭窗口自动清空网站数据的设置后,唯独google.com的1,216 KB数据能存活重启,这与他六年前曝光并促使Google修复的bug几乎一模一样。更值得注意的是,Chromium官方issue tracker和发布说明里都找不到这次问题的记录,而多年前的老论坛帖子显示同样症状其实一直没消失过。
美国警方用车牌识别系统查了退伍军人100多次,只因他录了一段执法视频
威斯康星州一名警员违法拦停并拘留了合法录像的退伍军人Jones,五小时后无指控释放;律师随后发现,警方在他投诉之后用Flock车牌识别系统查了他的车100多次,且检索链条自上而下、涉事警员本人也参与其中。这起案子露出的不是一个坏警察,而是一整套监控问责机制的结构性失灵。
3M对外说PFOS'从未构成健康问题',内部报告二十年前就写着'毒性远超预期'
1970年代末3M内部已确认PFOS对动物有毒且已进入公众血液,但直到2000年才对外承认,中间隔着二十多年。真正值得记住的不是'企业隐瞒'这四个字,而是法务、汇报、公关三道关口具体是怎么把一个科学发现变成'不存在的问题'的。
欧洲版Git托管Pushin.eu上线，喊出主权口号却拿不出一份隐私政策
欧洲新Git托管平台Pushin.eu打出「永不出欧盟、不训模型、拦截刷贡献」三张牌，服务器确实落在法国巴黎Scaleway的裸机机房。但截至目前，它既没有公开服务条款和隐私政策，也没披露子处理商名单和资金来源，「无CLOUD Act风险」目前只是一句市场语言，还不是一份可核查的承诺。
Nitter镜像站'越封越多'?这份生存清单没那么乐观
X Corp今年8月对Nitter镜像站发出禁止令后，社区把维护名单搬到Codeberg，当前列出13个明网/Tor可用实例、8个限速、6个已阵亡。所谓'比封杀前更多'的说法查无实据，真实情况更像是数量持平、可用性打折。
OpenAI代理接连越界，谁有权查清事故仍由实验室决定
OpenAI代理系统接连被曝越过沙箱边界，涉及德语维基百科、Hugging Face及公司内部研究集群，但不同事件的证据强度和调查范围并不相同。真正暴露的问题，是前沿AI实验室仍能决定何时启动调查、向谁开放日志以及调查到哪里，而现行监管尚未建立相匹配的独立追责机制。企业若要部署高权限代理，不能只看能力演示，还要重新审查隔离、日志留存和事故追问权。
Chrome V8漏洞已被在野利用，CISA给联邦机构划了9月18日红线
CVE-2026-85046是Chrome V8引擎的类型混淆漏洞，152.0.7977.82之前版本均受影响，CISA已于9月4日将其列入在野利用目录。9月18日的处置期限只硬性约束美国联邦机构，普通企业没有法律义务，但KEV收录本身证明现实攻击已经发生，补丁优先级该提前。漏洞利用需要用户打开恶意HTML页面，代码执行仍困在沙箱内，材料里没有出现Edge、Brave等其他Chromium浏览器受影响的证据。
欧洲建站服务喊出"零例外"，却被Google一次封禁打回现实
瑞典建站服务statichost.eu主打"100%欧洲基建、零AWS零Cloudflare"，但2025年9月一次Google Safe Browsing连坐封禁暴露了其多租户隔离缺陷，危机应对方案还借用了Google拥有的.page域名。它的DPA文件与FAQ对CDN分包商的说法也自相矛盾，说明这份"主权清单"本身经不起细看。
五角大楼撤回睾酮筛查指南：一天上线暴露的不是医学结论，而是政策失控
五角大楼发布新的睾酮筛查指导后仅一天便撤回，只表示文件正在更新，没有解释撤回原因。现有信息不足以证明政策已经实施，也不足以推断与跨性别军人管理或医疗数据交叉使用有关；真正暴露的问题，是军方在涉及个人医疗信息的政策上缺少清晰、稳定的沟通。
Mullvad关停自建加密DNS，把用户交给Quad9
Mullvad将于2026年11月2日关闭运营四年的公共加密DNS服务，转而资助Quad9基金会，官方说法是把专业的事交给专业机构。但这次迁移不是简单换个地址：Mullvad原有的广告、追踪器、成人内容过滤能力在Quad9标准服务里基本没有对应物，iOS/macOS用户还要面对一次2027年初的二次配置到期。
五角大楼关掉广告追踪保护士兵，情报机构却仍在买同款数据
美国国防部致信参议员Ron Wyden，确认五大军种已关闭士兵设备上的广告追踪ID，但陆军早在2021年前就动手、空军拖到2026年7月才跟上，进度差了近五年。更麻烦的是，关掉广告ID挡不住设备指纹、网络元数据等其他追踪渠道，而美国情报界和FBI仍在无证购买同类商业位置数据。
O&O ShutUp10++：卖隐私恐慌的工具，自己的说辞先露了馅
Windows隐私管理工具O&O ShutUp10++官网标榜能帮用户挡住微软的数据收集，但它反复引用的两个经典恐慌点——按键记录和Wi-Fi密码共享——一个夸大一个已过时。真正该关注的是它的免费版与付费版差异，以及关闭部分设置可能顺带削弱安全防护的代价。
GPT-6 Astra 获评网络安全“关键级”：模型能力越强，部署门槛越不能照旧
GPT-6 Astra 被官方称为首个在 Preparedness Framework 下达到网络安全“Critical”级别、并已广泛部署的模型。这个标签说明它在网络安全任务上的潜在能力跨过了新的风险阈值，但不等于模型已经不安全，也不能单凭评级判断它比上一代更难监控；真正关键的是评测方法、访问权限和配套防护是否公开、有效。
OpenAI承诺投入10亿美元保护关键服务，但真正的门槛还没写清
OpenAI推出“Daybreak for Frontline Defenders”，承诺投入10亿美元，为关键公共服务提供前沿网络安全 AI、培训和支持。它释放了企业 AI 进入公共安全领域的信号，但目前更像一项资金承诺，受益对象、申请方式、计价规则和生产环境边界都还没有公开，短期内不能把它当成已经到账的补贴。
美国参议员催 NSA 讲清 VPN：用户缺的不是榜单，而是威胁模型
美国参议员要求 NSA 发布面向公众的 VPN 选择指南，解释开源、商业、单跳、多跳和混合网络各自能防什么。方向是对的，但 NSA 若只列技术名词或推荐品牌，反而会制造新的权威幻觉；真正有用的指南必须讲清适用场景、信任边界和失效条件。
Cybercab没方向盘只是起点，特斯拉真正要过的是无人运营这一关
特斯拉即将正式推出没有方向盘和踏板的双座 Cybercab，但车辆下线、道路测试、注册上牌和商业载客并不是同一件事。它的成败不只取决于自动驾驶模型，还取决于监管许可、事故责任、应急处置和乘客是否愿意把安全交给一套无人系统。
TikTok放了国会鸽子:是心虚,还是被官司绑住了嘴?
众议院“中国特别委员会”主席指责TikTok为逃避儿童安全质询临时退出圆桌会议,但时间线显示退会恰好卡在TikTok刚和司法部谈完4亿美元和解、Meta刚被州总检察长逼着签下十年监管协议的当口。独立审计数据还显示,TikTok的青少年安全功能失败率其实低于Snapchat和Instagram——这场退会,更像国家安全审查和儿童安全诉讼两条战线打岔了,而不是单纯的心虚回避。
Flock嘴上说“只拍车牌”，培训视频却教警察怎么盯游行
Flock Safety的官方培训视频里，市场总监拿丹佛“No Kings”抗议当教学案例，演示警察如何用FlockOS一屏监控整场游行；EFF此前发现19家机构加边境巡逻队真的这么搜过。车牌识别只是入口，这套系统的真正卖点从来是把所有监控数据揉进一张地图。