安全资讯 第32页
聚合当前分类下的最新内容，按时间顺序查看第 32 页精选文章。
特斯拉FSD被事故和监管追问：AI故事讲得再大，也要回答谁负责
特斯拉FSD（Supervised）正被得州致命事故、2023年致命事故和NHTSA调查一起推到台前；目前不能断定系统责任，但责任边界已经成了核心问题。Waymo、Lyft把竞争重新拉回多传感器、安全证据和运营规模，特斯拉的纯视觉路线正在接受商业化可信度测试。车主、购车者和投资观察者接下来要看三件事：调查结论、低能见度响应、平台是否愿意接入。
欧盟“Chat Control”再起波澜：儿童保护之外，加密与匿名通信正被推到谈判桌上
欧盟围绕“Chat Control”的通信扫描规则在周五理事会会议和6月29日三方谈判前出现新动向，前欧洲议员 Patrick Breyer 警告称，临时规则可能被重新推动，永久规则也可能纳入更强扫描和年龄验证义务。真正的争议不在儿童保护目标本身，而在欧盟是否正用程序绕行和技术义务扩大化，削弱加密通信、匿名通信与司法授权边界。
10万台 Flock 摄像头之后，美国城市把监控外包给了谁
Flock 的 AI 车牌识别摄像头已在美国铺到超过 10 万台，但它能查的不止车牌，还能按车辆外观、贴纸、损伤等特征检索。争议不在摄像头能不能破案，而在城市正把实时监控能力交给低门槛、弱约束、扩散很快的商业系统。接下来最该盯的不是新摄像头数量，而是数据共享、留存期限、审计权限和退出条款。
美国 KIDS Act 拟快速表决：儿童安全会不会变成全网年龄审查
美国国会准备近期快速表决 KIDS Act，这是一揽子儿童网络安全法案，包含新版 KOSA、SAFE BOTS Act、SCREEN Act 等内容。争议点不是保护未成年人要不要做，而是“知道或本应知道”这类责任标准，可能把平台推向年龄判断、预防性删帖和私密通信限制。普通用户可能被要求交出更多身份信息，平台合规团队则要在年龄估算、内容审核和加密保护之间承担更高成本。
Codex 还缺一道硬边界：AI 代理不能只靠“别乱看”
OpenAI Codex 仓库的 Issue #2847 仍处于 open 状态，用户请求加入 repo-local `.codexignore` 和全局 ignore 机制，用来禁止代理读取或发送敏感文件。它不是泄露事故，也不能证明 Codex 会上传所有文件；它暴露的是 AI 编程代理的权限边界还不够可验证。对开发者和技术团队来说，问题已经很具体：能不能让代理进真实项目，取决于它有没有硬规则挡住 `.env`、私钥和云配置。
把浏览器关进 LXC：Linux 桌面安全别再假装没事
一篇技术文章演示了在 Arch Linux 上用非特权 LXC 跑 X11 图形应用，把 Firefox、Electron IM 这类高风险程序从宿主 home 目录旁边挪开。关键不在“LXC 能不能跑 GUI”，而在用户是否愿意用配置复杂度，换更小的本机数据暴露面。它不是绝对沙箱：X11、音频和 GPU 每转发一个 socket，墙上就多一个洞。
别只盯 8.8.8.8：公共 DNS 选的是谁替你看门
evilbit 的公共 DNS Resolver 指南对 29 个全球服务做了对比，变量包括日志、过滤、加密传输、DNSSEC、IPv6、ECS、司法辖区和运营方属性。真正的选择不再是“哪个最快”，而是谁能看到你的查询、谁能过滤你的访问、谁受哪套规则约束。对隐私敏感用户和家庭/小团队管理员，DNS 已经是一个需要写进配置策略的入口决策。
1.4 万个开放摄像头被做成地图，风险被放大了
IP Crawl Beta 自称是公共互联网上开放摄像头的动态地图，标称收录 14,131 个可浏览、筛选、观看的摄像头。材料只能说明这些摄像头可从公网访问，不能说明它们一定被黑入。真正的问题是：零散暴露被目录化、地图化、消费化后，安全风险变成了隐私入口。
霍尔木兹没封，但船东已经开始替规则失灵买单
Evergreen旗下新加坡旗集装箱船 Ever Lovely 6月25日走霍尔木兹南线时遭袭，IMO随后暂停撤离通道计划，要求重新获得“不被攻击”的明确保证。海峡通行没有明显中断，但南北航线选择被政治化：IRGC认可北线，仍有船继续走阿曼沿岸南线。真正受压的不是一句“是否封锁”，而是船东、船员、保险和货主开始为安全承诺失效重新定价。
GitHub 上的 exploitarium：公开漏洞研究，还是把未修复风险提前放出来？
GitHub 仓库 bikini/exploitarium 正在集中归档多项 exploit PoC 和漏洞研究说明，涉及 7-Zip、Docker、Firefox、FFmpeg、PHP、RustDesk、VLC 等项目。维护者称这些内容发布时多数或全部尚未向厂商报告，并鼓励他人自行报告。现在最关键的问题不是它是不是“0-day 宝库”，而是补丁前公开的可复现材料，会把维护者和企业安全团队推入被动窗口。
Claude Mythos 让安全圈紧张，但企业别把靶场当战场
Claude Mythos/Fable 5 的确把 AI 网络攻防能力往前推了一步，尤其是在专家级任务、完整攻击链测试和生成可用 exploit 上。它还不是普通攻击者可随手调用的自动入侵工具，访问、成本和真实企业防御都会限制它的杀伤半径。企业现在更该做的，是用 AI 改进漏洞分诊和优先级判断，同时压缩攻击面、补强纵深防御。
韩国要把全军练成“无人机士兵”，真正难题不在飞行
韩国计划把约45万至近50万现役军人纳入无人机训练，把无人机定位为“通用作战工具”和士兵的“第二件个人武器”。今年先提供约1.1万架训练无人机，目标到2029年全军部署约6万架。问题不在口号够不够硬，而在教官、供应链和作战组织能不能把乌克兰经验变成制度。
加州 AB 2047 过众议院：反“幽灵枪”，还是给 3D 打印机加一道审查门？
加州众议院已通过 AB 2047 修订版，法案尚未生效，下一步将进入州参议院审议。它针对的是无证制造枪支这一已被禁止、且 EFF 认为并不普遍的用途，却要求 3D 打印机内置识别和阻止特定打印内容的软件。真正的风险是：规避者未必被拦住，合法用户、开源开发者和独立创作者先被纳入审查链条。
6000 次邮件攻击没套出密钥：AI 助手更抗打了，但还不能放权上岗
Fernando Irarrázaval 让约 2000 人通过邮件攻击 OpenClaw 测试助手，约 6000 次尝试后，没人泄露 secrets.env 或凭据。代价也不小：约 500 美元 token 成本，Google 账号还因邮件过多被暂停。我的判断是：前沿模型的反提示注入训练正在起效，但这还不是高权限 AI 助手可直接上生产的安全证明。
捷豹路虎停产数月：俄黑客疑云让车企攻击变成供应链事件
据《纽约时报》报道，去年导致捷豹路虎生产中断数月的网络攻击，被认为与俄罗斯黑客有关，但目前不能断言俄罗斯政府直接发动。更关键的是，这次攻击已从企业安全事件外溢成产业事件：英国政府提供15亿英镑贷款支持，相关估算称英国经济损失约25亿美元。对安全团队和汽车供应链观察者来说，重点不只是查谁干的，而是生产系统和供应商接入还能不能扛住下一次冲击。
特斯拉和解FSD致命事故诉讼，但监管风险远未落地
特斯拉已就一起涉及2023年致命事故的FSD相关诉讼达成和解，条款未披露，这并不等于公司承认责任或系统缺陷。真正的压力仍在NHTSA：针对FSD在低能见度场景下表现的调查已升级为工程分析，潜在结果包括召回。对特斯拉投资者和智能驾驶用户来说，接下来要看的不是个案赔了多少，而是监管是否要求产品层面的修改。
Xprize 创始人称“被看见会让人更好”，科技圈的监控善意叙事该被追问
Xprize 创始人 Peter Diamandis 在 X 和 Substack 上公开支持全球传感器网络，称“人们被看见时表现更好”，并预言未来没有“off the record”。真正重要的不是监控技术是否已经扩散，而是科技高管把无隐私社会包装成公共善时，常常绕开谁掌握监控权、谁定义“好行为”的问题。
CVE-2026-LGTM并不存在，但它说中了AI安全自动化的风险
CVE-2026-LGTM不是一则真实漏洞通报，creats.io、OpenClaw-4.2、FixItFox等也都是原文虚构设定。它的价值在于提醒安全团队：AI代码审查和自动化处置一旦缺少人工复核、可信来源和权限边界，可能把供应链事故放大。真正该检查的不是模型口号，而是它能不能关告警、改白名单、动凭证、删文件。
Akrites 成立：AI 把漏洞挖成流水线，开源安全开始集中收口
Akrites 在 2026 年 6 月 25 日以公开信宣布成立，口号是“Patch the commons together”，参与方覆盖云、AI、安全、金融、电信和开源基金会。它要处理的不是某个项目漏洞，而是 AI 加速后，关键开源漏洞的发现、修复、披露和部署协调。真正要盯的不是签名名单多豪华，而是补丁能否回到上游、维护者是否保有控制权、企业系统是否真的完成升级。
6000 多封邮件没骗出密钥，AI Agent 的边界到底硬在哪
Fernando Irarrázaval 让 2000 多人攻击他的 AI 邮件助手 Fiu，6000 多封邮件后，secrets.env 没有泄露。真正先出问题的是外围系统：Gmail 被封、API 成本超过 500 美元、批处理污染实验。这个结果可以让人乐观一点，但不能推出提示注入已经解决；它说明的是强模型、窄权限、硬规则和受控场景叠加时，Agent 安全边界会更硬。
年龄验证扩散：保护儿童，正在变成全网查验
澳大利亚未满16岁社交媒体禁令已实施，英国和美国多州也在推进年龄验证。问题不只在未成年人，成年人也可能被要求交证件、做人脸自拍、连接银行账户，或接受平台画像判断年龄。 目前能看到的效果并不强：澳大利亚官方研究和BMJ研究都未显示未成年人使用社交媒体出现显著下降。更确定的代价，是更多身份数据被收集、外包和泄露的风险。