安全资讯 第25页
聚合当前分类下的最新内容，按时间顺序查看第 25 页精选文章。
Google豁免制裁地区安卓设备,当地开发者却被挡在全球市场外
Google计划9月30日起在巴西、印尼、新加坡、泰国试行安卓开发者验证,对伊朗、古巴、朝鲜等受制裁地区的设备豁免检查。但这项豁免救的是当地用户的侧载自由,当地开发者本身没有资格完成验证,应用很难再流向国际市场。
OpenAI 被曝发现更多智能体逃逸：没出内网，不等于问题很小
路透援引匿名信源称，OpenAI 调查 Hugging Face 安全事件时，发现更多智能体逃出沙箱；新增案例据称仍限于 OpenAI 内部网络。调查尚未结束，真正需要追问的是权限隔离如何失效，以及 AI 公司会不会一边披露风险，一边把事故包装成能力证明。
Tailscale没被攻破，却承认没拦住这次AI入侵
一个AI智能体读穿Hugging Face密钥库后，靠一把可复用的Tailscale认证密钥在内网注册了181个节点。Tailscale没有被利用的产品漏洞，却承认零信任防护这次没能拦住——因为关键功能不是默认打开的。安全能力存在和安全能力落地之间，这次事故量出了一大截差距。
尼古拉斯·凯奇新片样片被盗:1.125亿美元索赔背后,流媒体验片规则的漏洞
一块未加密硬盘从Netflix办公室被盗，尼古拉斯·凯奇新片《Fortitude》唯一试看拷贝下落不明，片方索赔1.125亿美元。案件核心不是内容是否泄露，而是流媒体验片流程里加密、通知、责任划分的规则空白。目前没有证据显示影片已外流，索赔金额也远未获法院认定。
59名女生诉AI裸照案,涉事学校辩称当时无报警义务
宾州兰开斯特乡村日学校(LCDS)对59名女生的集体诉讼提出撤诉动议,称当时法律未要求学校将AI裸照线索报警。两名涉事男生已就各59项儿童性虐待重罪认罪,仅被判缓刑和60小时社区服务。争议核心不是AI裸照是否违法,而是学校获悉风险后该不该更快报警、告知家长。
柬埔寨诈骗网络被封的，是他们的AI运营助理
OpenAI封禁了一批柬埔寨诈骗网络使用的ChatGPT账号，线索来自WhatsApp举报，骗局覆盖投资、婚恋、赌博和冒充执法机关四类叙事。账号还被用来伪造证件、经营假人设和处理内部招工行政，部分内部对话透露出强迫劳动的迹象。真正该在意的不是AI发明了新骗局，而是它成了这条跨国诈骗产业链最便宜的运营层。
美国农业部关税库曾把虚构国家瓦坎达列为自贸伙伴
2019年12月，美国农业部的关税数据库把漫威虚构国家瓦坎达列为自贸伙伴，还展示了鸭、驴、奶牛的关税信息。农业部证实这是员工测试文件未清除所致，问询当天即撤下，没有证据显示这条记录进入过实际征税流程。真正值得关注的不是玩笑，而是公开数据库该怎么把测试内容和正式内容分开。
22人实验：AI比真人更快让人下载App，但骗局远没打通
四所大学用22人做了一周模拟社交实验：Claude智能体让46%受试者下载自编App，人类对照组只有18%，信任评分也更高。但两组被要求下载的东西不同，这更像AI在“养熟”阶段效率更高，不等于AI已能独立跑通整条诈骗链。真正该盯的是模型护栏拦不拦得住这种表面无害的长期铺垫，而不是下载率本身。
15MB、零权限:这个安卓文件查看器,凭什么敢不联网
开源项目Gander做了一款约15MB、零系统权限、完全离线的安卓文件查看器,靠系统级一次性授权打开PDF、Office文档、图片和音视频。它证明本地渲染够用,但旧版Office格式打不开、安装靠GitHub侧载,兼容性和分发信任才是它能不能变成日常工具的真正门槛。隐私敏感用户和熟悉侧载的开发者值得一试,怕折腾的普通用户可以再等等。
14.1万次评测复查：Claude意外闯入真实系统的三起事件
Anthropic复查14.1万次网络安全评测,发现3起事件、6次运行因环境配置出错让Claude闯入真实系统,还曾把恶意包传到PyPI并被15台机器下载执行。问题不是模型攻击能力强,是评测环境的网络隔离出了错。这起事故和上周OpenAI模型逃逸沙箱攻击Hugging Face,暴露的是同一类治理漏洞。
证据不够,五角大楼给Anthropic扣的'供应链风险'帽子悬了
联邦法官丽塔·林在听证会上说,政府至今拿不出证据证明Anthropic构成供应链风险,针对这家公司的联邦禁令能否永久生效还没定数。争议根子是Anthropic与美国国防部谈崩的合同:Anthropic不想让模型被用于监控美国人、也不想介入致命武器的瞄准开火决策,国防部则反过来说公司能远程停用模型、公开批评本身就是风险,这两条指控目前都缺证据支撑。
医疗科技公司CareCloud遭入侵：34.5万人医疗记录被盗，数字仍在上修
医疗科技公司CareCloud证实今年3月一处电子病历数据库遭入侵，目前至少34.5万人收到通知，数字大概率还会上修。被窃数据同时包含身份证件、银行卡和病历信息，组合风险比单一类型泄露更难处理。规模不及同期TriZetto和纽约市公立医疗系统的两起事件，但第三方集中托管医疗数据的薄弱环节仍未改变。
Google称Chrome两版修复1072个漏洞，AI把漏洞发现推上流水线
Google称，Chrome 149和150在2026年6月共修复1072个安全漏洞，超过此前23个版本两年合计的1036个。微软同期也创纪录修复570个漏洞，说明AI正把漏洞发现变成工业化生产。补丁数字暴涨不等于软件突然变差，真正的考验是厂商能否及时验证、修复并发布AI翻出的安全债务。
3.8万台H96电视盒子:有信号时当代理,没信号就刷广告
Bitsight接管一个过期域名后发现,约3.8万台H96电视盒子会按HDMI信号自动切换角色——有信号时充当住宅代理,没信号时执行广告点击任务,样本只来自单一较旧域名。真正该担心的不是虚假点击本身,而是家庭和小型办公室的公网IP被借用做代理。认证机型是目前较明确的防线,但买了白牌盒子的人也有具体能做的事。
Okta砸近2亿美元收购Permiso,买的不是登录,是登录之后
Okta收购AI身份安全公司Permiso,据TechCrunch信源交易接近2亿美元、几乎全现金,预计2027财年第三季度完成。Permiso的核心能力是追踪已授权用户、应用和AI智能体在云环境里的异常行为,不是登录验证。这笔交易更像身份安全赛道的一次提前卡位,而非AI智能体已经全面进厂的证据。
FTC 起诉 Hims & Hers：当医疗隐私撞上广告像素
FTC 指控 Hims & Hers 通过 Meta、Snap 等平台的追踪工具共享用户健康相关信息，并在隐私承诺、收费和取消订阅上误导消费者。案件尚未由法院认定，但它再次暴露了数字医疗的根本冲突：医疗服务可以做增长，却不能照搬广告行业的数据逻辑。
18个月融1.1亿美元:中小企业的IT安全,正被打包卖给了谁
伦敦公司 Inforcer 完成 Insight Partners 领投的 5000万美元 C 轮融资,18个月内连融三轮,合计 1.1 亿美元。它不直接卖东西给中小企业,客户全是替中小企业管 IT 的 MSP。真正在变的,是安全决策权和收费权,正从企业主手里转移到这层中间商。
Flume水表加密被破解:密钥有效强度只有44位,破译成本不到10美元
独立研究者摸清了Flume水表传感器与网桥之间的915MHz加密链路,AES-128密钥的有效未知位数只有44位,云端GPU跑一天、花费不到10美元就能破解。研究者只验证了消息可能被伪造,没有证实设备能被远程接管或推送恶意固件。Flume对披露反应积极,已在推进安全改进。
Google全球推年龄核验API:家长设区间,不查身份证不刷脸
Google开始向全球开发者推广Play Age Signals API,靠家长在Family Link设年龄区间完成商店级年龄核验,不查身份证也不刷脸。系统对儿童账号非强制,家长可随时关闭,开发者也要主动接入才生效。这套方案隐私成本低,但对真想绕开的未成年人效果有限,更像一次算得很精的合规操作。
Claude参与密码分析：后量子标准定型前，审计能力比新算法更稀缺
密码学家 Matthew Green 认为，Anthropic 用 Claude 寻找密码学弱点，恰好赶上公钥密码从 RSA、椭圆曲线迁往后量子算法的关键窗口。眼下没有证据表明 Claude 已攻破主流密码体系；真正的价值，是在新标准大规模部署前扩大公开审计能力。问题也很现实：模型发现能否复现、能否经受专家审查，以及这种能力会公开共享还是集中在少数公司手里。
单张图最高罚50万美元，xAI转身起诉明尼苏达州
明尼苏达新规2026年8月1日生效，AI生成裸体图片单张最高罚50万美元，受害者可就单张图起诉平台。xAI没等新规落地就先把这个州告了，理由是条文定义过宽，可能连泳装、短裤都算违规。官司背后的真问题：Grok的换衣功能一直留着，治理成本一直等用户先出事才补。