安全资讯 第38页
聚合当前分类下的最新内容，按时间顺序查看第 38 页精选文章。
欧洲数字身份钱包，别把守门权交给 Google 和 Apple
欧洲多国推进数字身份钱包，部分实现依赖 Google Play Integrity API 和 Apple 设备证明服务。问题不在数字身份证本身，而在公共身份入口可能被平台认证规则卡住。最受影响的是去 Google 化 Android 用户，以及要为政府钱包做适配的开发者和采购方。
美国悬赏1000万美元追查Signal、WhatsApp钓鱼行动：加密没被破，人被绕过了
美国国务院通过Rewards for Justice项目悬赏最高1000万美元，征集俄罗斯关联网络组织UNC5792、UNC4221成员身份或位置线索。关键不在Signal、WhatsApp端到端加密被攻破，而在攻击者用钓鱼消息诱导高价值目标绑定设备、交出备份恢复密钥。
疑似 iPhone 18 Pro 资料上暗网：苹果这次漏的不是外观，是供应链边界
据路透报道，苹果关键供应商 Tata Electronics 数据泄露后，疑似 iPhone 18 Pro 跌落测试照片、零部件清单和供应商信息出现在暗网上。外观照片未必指向最终量产机，真正敏感的是组件、板图、芯片资料和供应商关系。苹果扩大印度制造带来产能弹性，也把保密压力推到了更多供应链节点上。
低剂量辐射证据够硬吗？核能监管最该重算的一笔账
Works in Progress 的文章重新审视切尔诺贝利、福岛、三里岛和台湾钴-60公寓案例，重点不是证明低剂量辐射无害，而是质疑现有证据是否足以支撑严苛核能监管。核事故的真实伤害不能抹掉，但低剂量、长期暴露与癌症之间的证据链，比公众想象中更不稳。真正受影响的是能源政策、核电成本、事故疏散和公共健康风险评估。
美国最高法院给地理围栏令划线：警方批量调手机位置数据属于搜查
美国最高法院以 6 比 3 裁定，警方通过地理围栏令向科技公司索取特定区域、特定时间内手机位置数据，属于第四修正案意义上的搜查。这个判决没有全面禁止地理围栏令，但把它拉回宪法审查轨道，削弱了“数据在第三方公司手里就不算隐私”的执法逻辑。
太空冲突还没开打，美国智库先推演了一个难题：什么时候该回应
米切尔航空航天研究所组织约50名军方、政府、产业和学界专家，推演太空危机场景，并建议美国及盟友提前界定敌对行为和响应门槛。重点不在剧本有多惊险，而在GPS干扰、激光照射、网络攻击和卫星近距离机动正在把太空安全推入灰色地带。归因不清、门槛含混，可能让决策者在该反应时迟疑，也可能在误判中升级。
AI健康助手还没坐稳，美国议员先盯上了数据转卖
美国议员计划在未来几周推出新版《健康与位置数据保护法案》，重点禁止企业把健康和位置数据卖给数据经纪商。新版提案明确覆盖用户输入ChatGPT、Claude、Grok等AI系统的敏感信息，但并不是全面禁止AI处理健康数据。真正的分水岭是：AI医疗产品可以要数据，但不能把最私密的数据变成转卖生意。
WhatsApp 开放用户名预留：能少给手机号，但还不是匿名社交
WhatsApp 已开始在部分国家开放用户名预留，正式功能将在今年晚些时候上线；用户名长度为 3 到 35 个字符，可在 Settings > Account > Username 设置、关闭或更改。 这套机制的重点不是“终于能取名”，而是 WhatsApp 仍把手机号留作账号底座：注册还要手机号，用户名不可搜索，还能加 username key。 对普通用户，它更像隐私门闩；对企业和创作者，它能统一入口，但获客效率不会像开放搜索那样直接。
一封离谱 DMCA，怎么把 Pollen 旧账从 Google 搜索里擦掉了
Pragmatic Engineer 作者称，自己 2022 年关于 Pollen 倒闭内幕的原创文章，被一封明显可疑的 DMCA 投诉从 Google 搜索结果中移除。投诉称文章抄袭《纽约邮报》1998/1999 年一篇无关旧文，但两文没有共同句子。真正要盯的不是 Pollen 旧案复盘，而是版权投诉机制如何被声誉清洗产业低成本利用，变成搜索层面的删史工具。
年龄验证的后果：互联网正在从匿名发言走向默认归因
美国多州、欧洲部分国家和澳大利亚正在引入或推动网络年龄验证规则，名义是保护未成年人。真正要看的不是“验不验年龄”，而是账号、发言和现实身份会不会被接成一套默认管道。对隐私读者和平台从业者来说，关键变量是数据留不留、账号绑不绑、用途会不会外溢。
Zanagrams：免费字谜小游戏，先看清它的边界
Zanagrams 以 Show HN 形式发布，定位是免费的每日文字谜题网站。目前能确认的关键信息，主要来自它的隐私政策和使用条款。它值得看的不只是好不好玩，而是免费、隐私、版权和服务承诺这些小字写得够不够清楚。
特斯拉FSD被事故和监管追问：AI故事讲得再大，也要回答谁负责
特斯拉FSD（Supervised）正被得州致命事故、2023年致命事故和NHTSA调查一起推到台前；目前不能断定系统责任，但责任边界已经成了核心问题。Waymo、Lyft把竞争重新拉回多传感器、安全证据和运营规模，特斯拉的纯视觉路线正在接受商业化可信度测试。车主、购车者和投资观察者接下来要看三件事：调查结论、低能见度响应、平台是否愿意接入。
欧盟“Chat Control”再起波澜：儿童保护之外，加密与匿名通信正被推到谈判桌上
欧盟围绕“Chat Control”的通信扫描规则在周五理事会会议和6月29日三方谈判前出现新动向，前欧洲议员 Patrick Breyer 警告称，临时规则可能被重新推动，永久规则也可能纳入更强扫描和年龄验证义务。真正的争议不在儿童保护目标本身，而在欧盟是否正用程序绕行和技术义务扩大化，削弱加密通信、匿名通信与司法授权边界。
10万台 Flock 摄像头之后，美国城市把监控外包给了谁
Flock 的 AI 车牌识别摄像头已在美国铺到超过 10 万台，但它能查的不止车牌，还能按车辆外观、贴纸、损伤等特征检索。争议不在摄像头能不能破案，而在城市正把实时监控能力交给低门槛、弱约束、扩散很快的商业系统。接下来最该盯的不是新摄像头数量，而是数据共享、留存期限、审计权限和退出条款。
美国 KIDS Act 拟快速表决：儿童安全会不会变成全网年龄审查
美国国会准备近期快速表决 KIDS Act，这是一揽子儿童网络安全法案，包含新版 KOSA、SAFE BOTS Act、SCREEN Act 等内容。争议点不是保护未成年人要不要做，而是“知道或本应知道”这类责任标准，可能把平台推向年龄判断、预防性删帖和私密通信限制。普通用户可能被要求交出更多身份信息，平台合规团队则要在年龄估算、内容审核和加密保护之间承担更高成本。
Codex 还缺一道硬边界：AI 代理不能只靠“别乱看”
OpenAI Codex 仓库的 Issue #2847 仍处于 open 状态，用户请求加入 repo-local `.codexignore` 和全局 ignore 机制，用来禁止代理读取或发送敏感文件。它不是泄露事故，也不能证明 Codex 会上传所有文件；它暴露的是 AI 编程代理的权限边界还不够可验证。对开发者和技术团队来说，问题已经很具体：能不能让代理进真实项目，取决于它有没有硬规则挡住 `.env`、私钥和云配置。
把浏览器关进 LXC：Linux 桌面安全别再假装没事
一篇技术文章演示了在 Arch Linux 上用非特权 LXC 跑 X11 图形应用，把 Firefox、Electron IM 这类高风险程序从宿主 home 目录旁边挪开。关键不在“LXC 能不能跑 GUI”，而在用户是否愿意用配置复杂度，换更小的本机数据暴露面。它不是绝对沙箱：X11、音频和 GPU 每转发一个 socket，墙上就多一个洞。
别只盯 8.8.8.8：公共 DNS 选的是谁替你看门
evilbit 的公共 DNS Resolver 指南对 29 个全球服务做了对比，变量包括日志、过滤、加密传输、DNSSEC、IPv6、ECS、司法辖区和运营方属性。真正的选择不再是“哪个最快”，而是谁能看到你的查询、谁能过滤你的访问、谁受哪套规则约束。对隐私敏感用户和家庭/小团队管理员，DNS 已经是一个需要写进配置策略的入口决策。
1.4 万个开放摄像头被做成地图，风险被放大了
IP Crawl Beta 自称是公共互联网上开放摄像头的动态地图，标称收录 14,131 个可浏览、筛选、观看的摄像头。材料只能说明这些摄像头可从公网访问，不能说明它们一定被黑入。真正的问题是：零散暴露被目录化、地图化、消费化后，安全风险变成了隐私入口。
霍尔木兹没封，但船东已经开始替规则失灵买单
Evergreen旗下新加坡旗集装箱船 Ever Lovely 6月25日走霍尔木兹南线时遭袭，IMO随后暂停撤离通道计划，要求重新获得“不被攻击”的明确保证。海峡通行没有明显中断，但南北航线选择被政治化：IRGC认可北线，仍有船继续走阿曼沿岸南线。真正受压的不是一句“是否封锁”，而是船东、船员、保险和货主开始为安全承诺失效重新定价。
GitHub 上的 exploitarium：公开漏洞研究，还是把未修复风险提前放出来？
GitHub 仓库 bikini/exploitarium 正在集中归档多项 exploit PoC 和漏洞研究说明，涉及 7-Zip、Docker、Firefox、FFmpeg、PHP、RustDesk、VLC 等项目。维护者称这些内容发布时多数或全部尚未向厂商报告，并鼓励他人自行报告。现在最关键的问题不是它是不是“0-day 宝库”，而是补丁前公开的可复现材料，会把维护者和企业安全团队推入被动窗口。