安全资讯 第10页
聚合当前分类下的最新内容，按时间顺序查看第 10 页精选文章。
Flock认错了，但案件编号不是搜查令
Flock CEO公开承认公司在ALPR滥用问题上“搞错了”，宣布把异常搜索检测和强制案件编号变成硬性要求，2026年底前落地。但案件编号只能证明警员声称查案，不能证明搜索合法，真正的司法门槛——搜查令——依然缺席。
苹果间谍软件警报搬上iPhone锁屏,110国疑似目标收到新提醒
苹果本周四向110个国家和地区的疑似目标推送间谍软件警报,首次直接显示在iPhone锁屏上;这类机制2021年上线,累计已覆盖超过150个国家和地区;警报只说明检测到攻击迹象,不代表设备已经失陷,记者、活动人士收到后该做的是核验、求助、别乱重置设备。
揪出Flock滥用警察的,从来不是Flock自己的工具
Flock宣布收紧车牌识别数据留存并强制推行审计工具Audit Assistance，声称能揭穿警员滥用，但公司对该工具原理的说法自相矛盾，且过去被曝光的滥用案例几乎全部由州审计、州调查局等外部机构揪出，并非这套工具主动查出。这更像一次公关自证，而不是真正的问责机制。
Flock能锁住跟踪前任的警察,锁不住警局的沉默
Flock把原本可选的“异常行为检测”工具变成强制项,试图堵住警员用车牌追踪系统跟踪前任、伴侣的漏洞。但专家指出,审查是否启动、结果是否公开,权力仍握在警局自己手里,技术补丁碰不到这一层。
乌克兰无人机在演习中重创美军装甲旅：540亿美元买不来适应速度
2026年德国“联合决心”演习中，乌克兰无人机手让美军大量坦克和步战车被判定摧毁，但没有真实战损和人员伤亡。美军随后用分散、隐蔽和电子战降低损失，说明坦克并未失效，真正承压的是密集装甲突击。五角大楼拟申请逾540亿美元采购无人机及反无人机系统，成败却取决于基层部队能否把装备练成习惯。
白宫说放行私企反击黑客,但CFAA可能还没同意
特朗普政府一份备忘录被解读为“史上首次授权私企黑客反击海外犯罪团伙”,但对照现行的CFAA和CISA 2015,私营公司自主反击在美国法律里一直是被明文排除的。这更像是把政府-企业协作灰色地带正式化,而不是真的发了一张网络讨伐令。
美国政府把网络反击权，部分交给私企
特朗普政府批准新计划：司法部、国土安全部监督私营网络安全公司，代表联邦政府监视、破坏境外犯罪网络。企业须证明技术资质，缴纳至少100万美元保证金，且只能针对不受外国政府指挥的犯罪团伙——但这条边界现实中很难核实。执行主体从政府变成商业公司，控制权仍留在DOJ和DHS手里，误判的代价却要企业自己扛。
他在诉状里悄悄给AI留了张纸条
康涅狄格州一起诉讼里，原告用3磅白字在诉状中藏了操纵AI的指令，结果被人工审查发现，法官为此写了14页裁决。这起案子靠人眼截获，却顺手暴露了法律AI行业至今没人能公开证明自己能防住这类攻击。
WhatsApp的AI防诈骗,离“已上线”还差一个beta
Meta在WhatsApp内测一个叫Scam Alert的诈骗提醒功能,但据独立报道,它目前仍是测试版、默认关闭,只针对陌生联系人在设备本地跑模型,离标题里“已新增”的完成时还有距离。放到Google Messages、Apple Messages两个已经默认开启的同类功能旁边看,WhatsApp这次更像迟到的补课。
白宫放行私企打网络战？备忘录里先写了一句“不许反击”
白宫8月12日发布备忘录，首次允许经审查的私营公司在联邦监督下对跨国网络犯罪团伙实施监控与破坏性行动，但明确排除公司自主“反击”，行动须由司法部和国土安全部联合审批。这更像是政府把攻击性网络能力外包给私营技术承包商执行，而不是给企业发了一张自由裁量的攻击许可证，其法律根基和执行细节都还没搭稳。
一条XOR指令，撬开AMD芯片最深的锁
安全研究者xoreaxeaxeax发布项目skitter-creek-bath-salts，称通过改写内存控制器的DRAM地址转换寄存器，一行XOR即可绕过AMD芯片的PSP、SMM、C6锁和微码签名验证。该手法目前只在已停产多年的AMD Family 16h上被验证，缺乏第三方复现，能否扩展到新一代AMD芯片、Intel或ARM平台仍是未知数。
Flock CEO说认错了,但官方声明里没这句话
Flock Safety CEO公开为警方滥用车牌追踪数据道歉，公布了一份包含默认保留期缩短、强制审计、案件编号等条款的整改清单；但细看会发现，最关键的“7天保留期”只是新默认值而非强制上限，广为流传的“我们这次做错了”一句在官方书面声明里也找不到出处。
AI的加密思维链,被同门模型原样背了出来
论文证明OpenAI、Anthropic、Google加密后返回给客户端的思维链,可以被重放进同家族的弱模型并诱导原样吐出明文,Claude Haiku 4.5最容易得手。三家已确认收到披露、论文称攻击已失效,但目前只有单方陈述,已知补丁只是移除了一个续写功能,离架构级修复还有距离。
LiteLLM遭供应链投毒40分钟，2500家机构凭证疑似泄露
LiteLLM 1.82.7和1.82.8版本2026年3月被植入窃密代码，40分钟窗口内触发大规模凭证外泄，安全公司称波及逾2500家组织、约43.4万条CI/CD流水线。Hudson Rock分析的原始数据文件达195TB，但这不等于195TB全是有效凭证，2500家也不等于全部已被实际入侵。真正的风险点是AI代理站在开发流水线权限中心，上游一旦被投毒，波及半径比普通开源库更大。
电击手套手册自认'可致猝死'，ICE的数千万美元采购还只是一张预测单
404 Media挖出了ICE计划采购的G.L.O.V.E电击手套官方手册，手册自己写明设备可能诱发猝死风险，且建议时长与实际演示视频严重不符。更关键的是，AP报道里'数千万美元'的采购数字，源头只是一份未确认授标的DHS采购预测记录，离真正签约还有距离。
ICE电击手套：2000万美元买来的监管真空
美国移民与海关执法局计划花最多2000万美元采购一款外形普通、电压可达380伏的“电击手套”，2027年3月前交付。厂商自称“人道低感知”装备，但产品手册里的一堆使用禁令，恰恰说明这类装备目前几乎没有独立安全评估和明确监管框架。
Uber Freight称系统正常,黑客却晒出了内部邮件截图
黑客团伙Helix声称窃取了Uber Freight的邮件、云存储和调度账务文件,Uber Freight对路透社说业务未受影响,但拒绝回应细节。这起事件背后是Google一直在追踪的UNC6671伞形团伙,靠打电话骗IT重置密码这种老套手法,今年前五个月已经从各行业勒索超过1000万美元。
微软威胁起诉未果，研究员再曝Windows Defender零日
安全研究员Nightmare Eclipse在遭微软法律威胁数月后，公开了绕过Windows Defender的零日漏洞ShieldBreak，且紧跟在微软本月近500个漏洞的补丁日之后。但所谓“完全绕过”缺乏官方CVE和第三方复现，微软的协调披露政策公信力和AI查漏成色都被摆上台面。
冒充ClaudeBot搞漏洞扫描?数据显示真正被仿冒的其实是Googlebot
网站分析平台Known Agents的最新数据显示,有人伪造AI机器人身份扫描Claude Code、Codex等AI编程工具留下的本地凭证文件,但同一份数据里ClaudeBot被伪装的流量占比四舍五入为0.0%,真正被冒充最多的反而是Googlebot(0.5%)。比起“谁的身份被盗用”,更值得开发者立刻检查的是自己电脑上的.claude.json和.codex/config.toml有没有暴露在外网。
法院认定车牌抓拍构成“搜查”，警方却全身而退
弗吉尼亚州诺福克市一起车牌识别系统的诉讼中，法院首次认定警方检索历史ALPR数据构成第四修正案意义上的“搜查”，却因“善意例外”和“合格豁免”判警方胜诉。这意味着监控技术触碰隐私红线的速度，已经快过法律真正开始追责的速度。
警方情报网监控反Flock摄像头行动,合法倡议被混入拆机教程
美国多地融合中心把反Flock摄像头的合法倡议和网上拆机教程写进同一份情报简报,警报已流转至FBI总部;已知设备破坏仅数十起,规模有限;真正的风险是政治表达被并入执法监控视野。