安全资讯 第29页
聚合当前分类下的最新内容，按时间顺序查看第 29 页精选文章。
食品召回次数其实在降,受污染产品却几乎翻倍
2026年第一季度,FDA食品召回事件数环比降了10.3%,但受影响产品单位数却逼近5740万件,USDA召回量也创下二十多年来第三高。真正该盯的不是召回变多了,而是一次原料污染能顺着高度集中的供应链,在被发现前就扩散成跨州、跨品牌的超级召回。
大陪审团拒绝起诉拆摄像头男子,Flock 的麻烦才刚开始
俄亥俄一男子被控拆毁 Flock 车牌摄像头,大陪审团拒绝起诉,重罪指控随之撤销——这只是程序性结果,不是法院判无罪。真正的火药桶是 Flock 的数据模式:车牌加车辆特征跨辖区共享,警方滥用记录已破百起,查询却不需要搜查令。
窃听有年报，黑客工具没有：参议员怀登要求GAO审查FBI间谍软件
参议员罗恩·怀登致信GAO，要求审查FBI、DEA、HSI和特勤局使用黑客工具及间谍软件的方式；这只是一份审查请求，尚无滥用证据或政策变化。真正的缺口在于：窃听有法定年度报告，黑客工具用了近三十年却从未有过同等级别的公开披露。审查还会核实工具采购保管、漏洞披露流程，以及搜查令中是否说明了误伤风险。
同批被点名的十余家金融巨头，为什么只有Apollo认了
Apollo Global Management向加州总检察长备案，承认7月遭社会工程学攻击致姓名、住址、社会安全号码被窃。这轮攻击一个月前已被Google点名警告，而在同批被路透列为目标的十余家私募和金融巨头中，Apollo目前是唯一公开确认被攻破的一家，其余多数沉默或否认。
冒充CoinDesk钓鱼安全研究员：像朝鲜APT，却更像网络犯罪
Black Hat和Def Con会后，一名冒充CoinDesk高管的账号在X上用虚构会议诱骗安全研究人员打开伪装成加密文档的Google Docs，最终向macOS和Windows投递不同恶意软件；Huntress披露此案后明确拒绝将其归为朝鲜APT行动，认为这更像是借用国家级战术模板作案的网络犯罪。
Roblox儿童安全测试没过关,澳大利亚逼出一份法院可执行的承诺
澳大利亚eSafety实测发现,Roblox仍允许成年人未经同意联系16岁以下儿童,好友关系和资料默认公开且无法设为不可见。Roblox已签署一份可由法院执行的整改承诺,包括默认私密、禁止陌生成年人联系、完善举报机制和引入第三方审计,但落地时间表尚未公开。家长现在能做的,是自己去检查孩子账户的隐私设置,不必等整改上线。
一条YC招聘启事,藏着一家自称90%命中率的'去匿名'公司
YC孙公司Sixtyfour开出六千到一万美元月薪招软件工程实习生，看似普通，实则在为一套宣称能把匿名网名反查回真实身份、命中率超九成的引擎扩充团队。这套能力的准确率、合规护栏和商业规模，目前几乎全靠公司自己一张嘴。
900万张脸暴露公网,人肉搜索公司却说这不算'泄露'
人肉搜索服务ClarityCheck把一个存有约900万份人脸文件、总量450GB的亚马逊云存储桶暴露在公网上,任何人无需密码即可访问,其中包含儿童照片。公司事后拒绝使用'公开暴露'这个说法,理由是访问需要知道一个未被搜索引擎收录的URL——这恰恰暴露了整个人肉搜索行业长期依赖的'隐蔽当安全'逻辑有多脆弱。
Comcast路由器能'感应'到你，但它没敢说清数据到底存多久
Comcast公开说明其WiFi Motion功能不用摄像头、不记录精确位置，App里只留7天运动记录，试图平息隐私争议。但官方条款里同时写着：执法调查、诉讼或法院传票下可披露这些数据，且不承诺提前通知用户，这才是回应里真正没解决的问题。
带Grok水印的骚扰图,撕开X内容治理的两张脸
404 Media记者发现一种新型AI骚扰图像subtlefakes：只对明星真实照片做细微改动,几乎无法用常识辨伪,已在X上被认证账号靠曝光量分成大量变现。更值得追问的是,部分图片带有X自家AI工具Grok的水印,而X写在纸面上的48小时下架承诺,并未挡住这些账号持续获利。
把坏指令加密一下,Grok的安全护栏就失灵了
安全研究员发现,把恶意指令用PBKDF2/AES-256-GCM加密后,Grok会解密并执行,把用户姓名、位置和聊天记录拼进网址发给攻击者服务器,而同一句明文指令会被直接拒绝。xAI今年6月已获悉,文章发布时这条路径仍可复现,但目前只是研究团队演示的可行外传路径,没有证据表明已造成大规模真实数据泄露。问题根源在于静态文字护栏审查不到模型自己执行代码后产生的中间结果,Gemini和Microsoft 365 Copilot近期曝出的漏洞是同一类打法。
4117台西门子PLC暴露公网,AI黑客盯上的其实是老问题
美国CISA、FBI、NSA等机构警告,黑客正用AI生成的攻击脚本瞄准西门子S7系列PLC,矛头指向水务等关键基础设施。但拆开细看,AI并没有制造新式网络武器,它放大的还是弱密码、公网暴露这些十年前就存在的老毛病。
Alation确认遭黑客攻击：官网安全页只字未提
企业数据目录巨头Alation于8月20日确认遭网络攻击，官方声明语焉不详，检索发现同一天其安全合规页和状态页均未同步披露此事。这类数据目录产品囤积的schema、血缘、权限等元数据本身就是高价值攻击情报，风险未必比原始数据泄露小。
2.45亿次下载的Rust包被投毒:攻击者靠“建议升级”把开发者钓向后门
widely used的Rust包arrayref因维护者账号被盗,0.3.10版本被植入仿冒包proc-macro1,在编译阶段下载执行远程二进制;crates.io已下架涉事版本,但这次攻击的关键不是绕过了什么安全机制,而是反向利用了Cargo提示开发者升级的yank机制。
打工人成了别人的流量:Ray-Ban Meta眼镜正在职场失控
Ray-Ban Meta眼镜正被顾客和管理者用来隐蔽拍摄一线员工,剪成整蛊视频获取数十万播放,涉事账号往往要等媒体追问才会被封。真正的问题不是眼镜本身,而是平台流量激励叠加职场权力失衡,美国的隐私法和企业政策都还没跟上这个变量。
币安放开AI代理交易权,却把安全网留白
币安上线Agent OS,允许ChatGPT、Claude Code等AI代理直连交易系统自主下单,子账户禁止提现但交易本身无平台限额,亏损上限等于用户充值金额。横向对比Coinbase的链上可编程限额和Crypto.com的周限额加熔断开关,币安是三大交易所里风控设计最松、把责任甩给用户最彻底的一个。
加德纳'关'了车牌识别摄像头,监控网络其实没怎么变
堪萨斯州加德纳市议会投票关闭市属Flock车牌识别摄像头并解约,居民维权组织称此前逾1200家供应商可访问数据。但县、州运营的同款摄像头和境内约20个其他厂商监控设备均未受影响,这次'断网'更像一次可视化的政治姿态。
测试沙箱安全的AI agent，先被自己的沙箱困住了
Simon Willison让Claude Fable 5测试microVM沙箱工具smolvm，各项安全特性表现达标，但测试环境Claude Code for web本身运行在无KVM的嵌套VM里，跑不起smolvm，agent只能自己搭建GitHub Actions临时工作流完成任务。这暴露的不是smolvm的产品缺陷，而是嵌套虚拟化的结构性通病，以及厂商宣传数字与真实边界之间的落差。
Google花1000万美元买下Spirit航空员工数据,空乘协会要求追加保护条款
Google在Spirit航空破产拍卖中以1000万美元买下约1亿封员工邮件及HR、薪酬、绩效记录,承诺按消费者隐私标准去标识化处理。空乘协会提出异议:去掉姓名不等于抹掉处分、排班和薪酬调整这类机密内容。交易仍需法院批准,9月听证会将决定要不要给员工数据补一条专属保护条款。
OpenAI一句“技术故障”,撤的是非美欧研究者的信任通道
多名安全研究者反映,OpenAI的Daybreak Blue网络安全权限被无故撤销,官方称是“技术故障”,要求重新验证。受访者均身处美欧之外,叠加9月起强制硬件密钥的新规,这场故障更像是“信任访问”正在变成地域门槛的一次预演。
月球阴影区能让地球霉菌活七天,但没人管这件事
NASA新研究显示,航天器上常见的真菌Aspergillus在月球南极永久阴影区可存活长达7个地球日,说明月球并非此前假设的绝对生命禁区。但这只是过去十年月球微生物存活建模谱系的最新一环,而真正没跟上的,是阿尔忒弥斯与中俄国际月球科研站抢占同一批冷阱时,国际社会至今没为这些高科学价值区域划出污染红线。