安全资讯 第38页
聚合当前分类下的最新内容，按时间顺序查看第 38 页精选文章。
声波扑灭了厨房小火，但还不能替代住宅喷淋
Sonic Fire Tech在加州演示了用AI传感器触发次声波，扑灭一场受控厨房油火。它证明声波灭火有商业化苗头，但还没有证明能承担住宅喷淋的生命安全功能。关键问题不是能不能灭一团小火，而是能否通过公开、完整、可审查的全尺度火灾验证。
信用卡没露完整卡号，也可能被支付系统拼出一条路
一位作者复盘了虚拟信用卡被盗刷：电商账号被盗后，攻击者利用页面可见的前6后4卡号、有效期、3D Secure信息和支付网关错误回显，补全卡信息并通过免3D商户扣款。问题不在PCI DSS被攻破，而在最低合规、差异化反馈和免3D交易叠在一起，给自动化测试留下了路。普通用户要少存卡、低额度、异常短信后立刻停卡；支付和风控团队要盯住错误回显、验证接口和免3D商户的联动风险。
Flock 摄像头被套上垃圾袋：监控技术最难的不是安装，是退出
俄亥俄州代顿市用黑色垃圾袋遮住 Flock 车牌识别摄像头，原因不是设备坏了，而是市方在移除前要先确认数据是否还在采集、是否外流、合同能不能立刻终止。和此前误报逮捕令、多州设备遭破坏相比，这条线索把 Flock 争议从“技术是否可信”推进到“城市是否还握有控制权”。
警员用车牌识别系统追踪前任，真正的问题是权限太顺手
美国司法研究所梳理媒体报道发现，近年全美至少14起警员涉嫌滥用自动车牌识别系统，追踪伴侣、前任或陌生人，多数发生在2024年以来。它不是官方全量统计，只能说明被媒体看见的部分，但已经暴露出一个硬问题：持续记录公众行动轨迹的系统，太容易被基层执法者拿来满足私人欲望。对城市采购者和隐私关注者来说，重点不再是“装不装摄像头”，而是权限、留痕、审批和数据保留怎么被写进制度。
Trump Mobile T1 还没发货，预购地址可能先漏了
Trump Mobile 的 T1 Phone 原本被说成接近发货，但 The Verge 报道称，其预购数据库被指存在漏洞，邮箱、电话和邮寄地址可能可被外部查询。更刺眼的是，漏洞线索还露出一个更冷的商业现实：所谓 59 万预购缺乏可靠依据，目前被指可见的独立客户约 1 万、订单约 3 万。
Linux 高危漏洞 Copy Fail 披露：麻烦不在远程入侵，而在好用且难看见
Copy Fail（CVE-2026-31431）影响的是几乎所有 2017 年以来发布的 Linux 发行版，效果是本地普通用户提权，不是远程无交互入侵。它的麻烦在于 Theori 称利用脚本可跨发行版工作，且部分依赖磁盘校验和的监控工具可能看不到异常。Theori 研究人员使用 Xint Code 辅助扫描 Linux crypto 子系统，这说明 AI 已经进入真实漏洞研究流程，但主语仍然是研究人员。
Ubuntu 被 DDoS 打到失声：补丁未必断，安全公告先卡住了
Ubuntu 和 Canonical 多项基础设施离线超过一天，公开说法指向持续跨境攻击，更像 DDoS，而不是数据泄露。真正麻烦的不是所有更新都停了：镜像站仍可用，但安全公告、CVE 接口和官方说明在关键漏洞披露后变得不可靠，这才是管理员最难受的地方。
GitHub 的信任账又厚了一页：从 CoreAI 到 TeamPCP，问题已经不只是宕机
GitHub 确认约 3800 个自有仓库受 TeamPCP 供应链攻击影响，入口是一名开发者安装了被投毒的 VSCode 扩展，目前没有客户代码泄露的确认。它补强了一个更现实的判断：离开 GitHub 的理由不再只是 Copilot 训练争议或微软组织调整，而是开发链条的信任成本正在上升。
CopyFail 之后，Linux 用户该少装点新东西
CopyFail 暴露的麻烦不只在本地提权漏洞本身，而在补丁流转和用户反应之间的空窗期。后续又出现 Copy Fail 2、Dirty Frag 等内核相关漏洞提醒，风险边界从“快打补丁”扩展到“少引入新软件和新依赖”。安全补丁要装，非必要新包要等，这才是漏洞密集期里更现实的防守姿势。
普列谢茨克被无人机盯上后，俄罗斯开始模糊发射时间表
俄方称普列谢茨克航天发射场近期遭遇无人机威胁，随后把 NOTAM 发射预警窗口拉长、重叠、混合，外界更难预测军用与通信卫星发射节奏。关键变化不在保密技巧，而在战场逻辑：卫星网络成了通信神经，发射场也会被拖进目标链条。对商业航天和军用太空基础设施观察者来说，接下来要看的不是口号，而是韧性、补网速度和公开情报下的暴露成本。
702条只续45天：美国监控改革又被国会拖后了
美国国会把《外国情报监视法》第702条只延长45天，众议院以261票对111票通过临时方案。最核心的搜查令要求没有写进法案，禁止美联储发行CBDC的条款却被夹带进去。对关注数字隐私和科技合规的人来说，真正的问题不是45天长短，而是监控权力又一次靠程序拖延维持默认状态。
LinkedIn 被指扫描 6278 个 Chrome 扩展，敏感点是绑定实名职业身份
404 Privacy 称，LinkedIn 在 Chrome 中探测用户是否安装特定扩展，作者统计的列表截至 2026 年约 6278 项，相关机制据称至少可追溯到 2017 年。真正的争议不是平台能不能做反欺诈，而是它是否在告知不足的情况下，把浏览器软件清单接到实名职业档案上。对记者、律师、研究者、人权工作者，以及企业安全和合规团队，这比普通设备指纹更难轻描淡写。
Rivian 允许关闭车辆联网：隐私能要，但车会变笨
Rivian 在支持页面说明，车主可以关闭车辆蜂窝连接，阻止数据离开车辆，但不是关闭车内所有数据产生。代价很直接：导航、车道保持辅助、OTA 更新等功能可能受限或失效。对智能汽车车主来说，这不是一个单纯的隐私按钮，而是一张功能账单。
cPanel/WHM 认证绕过漏洞遭利用：共享主机站长该立刻确认三件事
cPanel/WHM 存在 CVE-2026-41940 认证绕过漏洞，攻击者可远程绕过登录进入管理面板；cPanel 称所有受支持版本受影响，并已发布补丁。风险不是“所有网站已被攻陷”，而是共享主机行业大量依赖同一管理入口，一旦面板失守，网站、邮件、数据库配置都可能暴露。使用共享主机或托管服务的站长，现在应确认主机商是否已修补、是否限制过面板访问、是否回查异常登录和配置变更。
北京5月1日起管住无人机销售和存储：重点不是禁飞，是把监管前移
北京5月1日起实施全市无人机管控，范围包括销售、租赁、运输、存储及核心部件，不只是飞行限制。 这条规则的关键变化，是把监管从“飞起来以后”前移到“买、运、放”的环节。 北京本地需求有限，对大疆全球销量直接冲击不大；更该看的是，这套前端管控会不会被其他城市吸收。
Meta在新墨西哥输掉3.75亿美元后，真正危险的是法院要改产品
Meta与新墨西哥州的儿童安全争议，已经从“是否被迫退出当地”的平台威胁，推进到更硬的一步：法院可能要求它修改 Facebook、Instagram 和 WhatsApp 的产品规则。3.75亿美元赔偿不是终点，年龄验证、未成年人加密限制、使用时长上限和推荐系统整改，才是会打到平台商业机制的刀口。
CopyFail 跑进 rootless Podman：漏洞是真的，宿主机 root 没那么容易拿
CVE-2026-31431 CopyFail 已在 rootless Podman 场景中被复现：漏洞能污染页缓存，容器内可以拿到 root，但没有直接变成宿主机 root。这个结果补上了此前披露争议里最缺的一块：受影响的不只是内核版本和发行版补丁节奏，还有 CI runner、构建环境这类天天跑陌生代码的地方。
lightning 2.6.2/2.6.3 被投毒：AI 训练链路的信任账单来了
PyPI 上的 lightning 2.6.2、2.6.3 被植入恶意代码，安装后导入模块即可触发窃密和仓库投毒。风险边界不是所有 PyTorch，而是依赖到这两个版本并执行导入的环境。更刺眼的是，AI 团队把训练效率压在开源依赖树上，却常常没有同等强度的依赖治理。
Mark Klein 与 641A 房间：NSA 争议里真正吓人的，是骨干网接口
2006 年，退休 AT&T 技术员 Mark Klein 向 EFF 提供图纸、文件和声明，把 NSA 疑似接入旧金山 AT&T 骨干网节点的传闻推向法庭。材料能支持的不是“NSA 读完所有通信”，而是在骨干网层面复制或捕获流量的能力与架构。真正的风险在于：危机之后，国家安全权力把临时例外做成了基础设施接口。
OpenAI 给 ChatGPT 配上 YubiKey：账号更安全，也更像保险柜
OpenAI 为 ChatGPT 推出可选的 Advanced Account Security，并与 Yubico 合作支持联名硬件安全密钥。它补强的是账户登录这道门，尤其面向记者、研究人员、民选官员等高风险用户；代价也很硬：密钥丢失后，账户和历史对话可能很难找回。
牙科软件漏洞已修复，但病历不该靠“改编号”就能翻到
Practice by Numbers 修复了患者门户的越权访问漏洞：已登录用户曾可通过修改 URL 里的递增文档编号，查看其他患者文件。 公司称少于 10 名患者受影响，TechCrunch 4 月 13 日通知后，门户下线修复并于 4 月 17 日恢复。 我更在意的是两个基础问题：医疗软件有没有做足访问控制，患者和研究人员发现漏洞后，能不能找到一个正常上报入口。