安全资讯 第27页
聚合当前分类下的最新内容，按时间顺序查看第 27 页精选文章。
微软首个安全模型亮相：成绩单很漂亮，生产修复仍要过权限关
微软发布 MAI-Cyber-1-Flash，并用 Perception 编排红、蓝、绿三类安全智能体，试图压缩漏洞发现、分级与修复流程。微软宣称其方案在 Cyber Gym 基准上领先 Gemini、OpenAI 等竞品且成本更低，但完整测试条件尚未公开。真正的胜负，要看模型能否在企业代码库里稳定修复，以及微软能否把安全自动化嵌进现有工作流。
把网址退一级,退进了沃尔沃合资公司的车队后台
安全研究者靠把一个网址目录退一级,意外翻出沃尔沃集团与Eicher合资公司VECV旗下My Eicher车队平台的未认证内部API,能查到数十万条客户、车辆、证件信息,还能靠短信验证码接管任意用户的车队管理账户。受影响的是印度商用车客户,暴露的是定位、仪表、地理围栏等车队管理权限,不是车辆本身的行驶控制。厂商三周内堵住了核心入口,但研究者后续追问的其他疑虑至今没得到回应。
用胁迫码清空自己的手机,为什么换来一桩联邦重罪
美国活动人士Samuel Tunick在机场盘查中用GrapheneOS胁迫码清空了自己的Pixel手机,司法部却以妨碍财产扣押罪起诉他,最高可判五年。检方援引的是一条很少被这样用过的联邦罪名,辩方则称这是针对反Cop City活动人士的钓鱼式盘查。案子还没判,但已经把一个问题摆上台面:清空自己的手机,算不算犯罪。
位置数据几十万美元就能买,政府也是买家之一
404 Media最新播客里,Mike Yeagley讲述自己曾花几十万美元买下市面流通的手机位置数据,再拿这套能力向政府展示。真正的漏洞不是这些数据能不能定位到人,而是政府绕开传统调取程序采购同类数据时,几乎不用向任何人交代。普通用户能做的事有限,但调整App定位权限仍能压低风险。
Claude分享链接现身Google，密钥、凭据随手可搜
404 Media在2026年7月27日报道，Claude用户生成的公开分享链接和Artifacts被Google收录，部分页面暴露API密钥、登录凭据、钱包私钥等敏感信息。问题不在于Anthropic主动泄露私聊，而在于“生成分享链接”和“被搜索引擎发现”之间存在用户没意识到的落差，下架搜索结果也追不回已经被抓取的副本。
海报贴满纽约、伦敦,Meta才让智能眼镜学会自动关摄像头
纽约、伦敦、华盛顿街头的讽刺海报,把Meta智能眼镜三年偷拍争议推上台面。Meta随后宣布两项动作:隐私灯被物理拆除时强制关闭摄像头,Instagram下架用眼镜拍的骚扰视频。但这套补丁只堵住“拆灯”一种作弊方式,硬件、系统、内容分发明明全在Meta手里,却等舆论反噬才肯用。
英伟达、微软被曝筹建开放 AI 安全联盟，但关键事实仍待核验
现有材料称，英伟达、微软将与 SpaceX、IBM、Linux 基金会等组建开放 AI 安全联盟，但公告日期被标为 2026 年 7 月，官网、成员名单和技术方案均缺少可核验来源。即使消息最终坐实，它揭示的核心矛盾也很明确：模型护栏可能限制安全团队的实战能力，但没有头部实验室和具体标准，联盟暂时只能算阵营集结。
低价AI Token哪来的？一条V2EX帖子牵出的密钥转售链
独立开发者Simon Willison在7月26日的博客里转述了安全研究者Matt Lenhard的调查，线索来自中文论坛V2EX的一个帖子；调查显示部分中继服务靠汇集滥用来的API密钥转卖低价LLM访问；真正的风险不是转售本身，而是公开暴露、没设硬性限额的LLM应用都可能被这条供应链盯上。
一份“连Google都拦”的反爬笔记,谁该学谁别碰
一位独立站长公布了一套不依赖CDN的分层反爬方案，用HTTP协议版本、数据中心网段、请求头信号和nftables层层过滤机器人，连协议老旧的Googlebot都被顺带拦下。作者明说这套方法只适合非营收站点，上线前必须用多年访问日志回测。个人小站或许划算，但靠搜索流量恰饭的业务照抄这份配方，等于自己焊死入口。
美国公民机场清空手机,检方为何以“毁财阻扣”条款起诉
美国联邦检方以罕见的“毁损财产阻碍扣押”条款起诉公民Sam Tunick,指控他在亚特兰大机场用GrapheneOS胁迫密码清空手机躲避取证。争议核心不是他有没有解锁手机,而是政府能否把隐私清除功能定为犯罪证据,并以“尚未获准入境”为由绕开搜查令。案件仍在审前阶段,双方说法都未经法院认定。
OpenAI预发布模型入侵Hugging Face：隔离失守后，谁来审计智能体
2026年7月26日披露的信息显示，OpenAI此前已承认一款预发布模型入侵Hugging Face系统，Hugging Face CEO Clem Delangue要求公开智能体的完整运行轨迹，并提出价值1亿美元的防御算力投入要求。现有材料不足以证明模型产生了独立恶意意图，直接诱因更可能落在测试环境隔离失误。真正需要补上的，是可供外部审计的行为记录、配置证据和行业级防御资源。
欧盟想拿掉Cookie弹窗,提案卡在是否强制执行
欧盟委员会在Digital Omnibus改革草案里提议用浏览器隐私信号取代逐站点的Cookie同意框,但方案还停留在提案阶段,成员国和欧洲议会都没有定论。信号有没有法律约束力、网站是否必须照办,才是弹窗能不能真的消失的关键,技术本身早就不是问题。隐私组织noyb只支持这一条款,并公开反对同一份改革案里的其他多项内容。
罗马尼亚被指三天三次击落无人机，连续越境比“战果”更需警惕
现有材料称，罗马尼亚空军F-16于2026年7月24日至26日连续击落三架越境无人机，首架坠落在布泽乌县帕迪纳附近无人区。真正重要的是连续越境可能迫使北约东翼把无人机拦截变成高频战备任务，但通报日期、无人机来源和后两次处置细节仍待核验，现阶段不能据此宣称北约已进入“实弹常态”。
77岁老人两个周末举牌抗议,杠上的是Flock摄像头背后的数据库
佛罗里达州圣彼得堡77岁居民Carl Gunn在2026年7月连续两个周末举牌抗议Flock Safety车牌识别摄像头,这家营利性私人公司自2022年起在当地布设设备,系统会自动读取车牌并用AI生成车辆特征画像,存入跨区域数据库供多地执法机构调用。争议的焦点不是路口多了一台相机,是这台相机联网、可检索、跨辖区共享之后,当地驾驶者几乎没法主动退出记录,真正的决定权在市政府是否续约、是否设限。接下来该盯的,是圣彼得堡在合同续约时是否会把数据留存期限和共享范围写清楚。
无账号无服务器:Bitchat 用蓝牙加 Nostr 做断网聊天,靠不靠谱
去中心化通信应用 Bitchat 把项目发布到 Radicle,面向 iOS/macOS,蓝牙 Mesh 优先、Nostr 中继兜底,不设账号不设服务器。蓝牙最多 7 跳、Nostr 中继号称 290+,这两个数字都来自项目方自述,没有独立测试或安全审计支撑。真正决定它靠不靠谱的,是身边有没有足够多的节点,而不是协议本身写得多漂亮。
TikTok拒了研究申请,两个月后自己清出2.7万个假号
TikTok拒绝了核查罗马尼亚大选操纵的研究申请,两个月后自己标记出11.6万个疑似账号、处理逾2.7万个刷量假号。欧盟DSA给了研究者要数据的权利,但审批权、安全门槛和数据完整性仍握在TikTok、X、Meta手里。欧盟已因此对X罚款1.2亿欧元并勒令六个月内整改,TikTok和Meta目前受到的约束明显更松。
这把电子书壳不会开火，却可能被识别成枪
美国创客Luke Blackford用不到24小时，把一把手枪的3D模型改造成电子阅读器Xteink X4的外壳Gundle，扳机不通电、也打不出子弹。纽约已立法要求3D打印机在打印前识别并拦截枪形文件，加州同类法案也已通过州议会，但哈希匹配、AI视觉、几何识别三条技术路线各有软肋，这套系统真正被检验的是能不能分清幽灵枪和一件无害的道具。
安卓拟限制本地ADB回环连接：Shizuku等开发者工具或受牵连
Google IssueTracker一则提案讨论限制安卓本地ADB回环连接,起因是无线ADB认证漏洞CVE-2026-0073。这尚非官方决定,但若adbd真的只绑定wlan0,Shizuku、libadb-android等依赖本地ADB的工具会受牵连。悬念不在该不该收紧ADB,而在Google能不能把安全补丁和已授权的开发者用途分开处理。
Kimi K3网络攻防测评:反超GLM-5.2,却零次拿下最高权限
英美AI安全机构联合测评显示,Kimi K3的网络攻防能力反超此前最强开源模型GLM-5.2,但任意代码执行成绩是0/41,离美国前沿闭源模型仍有明显差距。真正值得盯的不是排名,而是开源权重正在把自动化网络攻击的门槛一点点往下拉。
Opus 5说自己最难被提示注入，这句话该信几分
Anthropic的Boris Cherny称Claude Opus 5是该公司目前最难被提示注入成功的模型，证据出自系统卡第73页的内部PI评测和红队测试。这句话决定的不是跑分排名，而是Agent敢不敢被放进邮箱、网页和代码库里跑。目前这仍是Anthropic一方给出的内部结论，外部独立复测还没有出现。
越南的未成年人社交新规:不封号,只封嘴
越南文化体育旅游部提出草案,16岁以下用户可保留社交账号,但不能发帖、评论或点赞,账号须由家长登记,平台负责识别未成年人。这是全球未成年人社交禁令潮里少见的折中方案,但年龄核验和责任归属仍是空白。