安全资讯 第2页
聚合当前分类下的最新内容，按时间顺序查看第 2 页精选文章。
美国最高法院限制地理围栏令：不是禁用，是把“先搜人群”关进令状里
美国最高法院以 6:3 裁定，执法部门调取手机历史地理围栏位置数据，适用第四修正案保护，必须有搜查令、可能原因和更窄的数据请求。它没有全面禁止地理围栏令，但把“先圈一群人、再找嫌疑人”的取证方式从灰区拖回了宪法审查。真正的战场会转向令状范围、平台数据存储，以及执法机构会不会绕路取数。
一封离谱 DMCA，怎么把 Pollen 旧账从 Google 搜索里擦掉了
Pragmatic Engineer 作者称，自己 2022 年关于 Pollen 倒闭内幕的原创文章，被一封明显可疑的 DMCA 投诉从 Google 搜索结果中移除。投诉称文章抄袭《纽约邮报》1998/1999 年一篇无关旧文，但两文没有共同句子。真正要盯的不是 Pollen 旧案复盘，而是版权投诉机制如何被声誉清洗产业低成本利用，变成搜索层面的删史工具。
年龄验证的后果：互联网正在从匿名发言走向默认归因
美国多州、欧洲部分国家和澳大利亚正在引入或推动网络年龄验证规则，名义是保护未成年人。真正要看的不是“验不验年龄”，而是账号、发言和现实身份会不会被接成一套默认管道。对隐私读者和平台从业者来说，关键变量是数据留不留、账号绑不绑、用途会不会外溢。
Zanagrams：免费字谜小游戏，先看清它的边界
Zanagrams 以 Show HN 形式发布，定位是免费的每日文字谜题网站。目前能确认的关键信息，主要来自它的隐私政策和使用条款。它值得看的不只是好不好玩，而是免费、隐私、版权和服务承诺这些小字写得够不够清楚。
特斯拉FSD被事故和监管追问：AI故事讲得再大，也要回答谁负责
特斯拉FSD（Supervised）正被得州致命事故、2023年致命事故和NHTSA调查一起推到台前；目前不能断定系统责任，但责任边界已经成了核心问题。Waymo、Lyft把竞争重新拉回多传感器、安全证据和运营规模，特斯拉的纯视觉路线正在接受商业化可信度测试。车主、购车者和投资观察者接下来要看三件事：调查结论、低能见度响应、平台是否愿意接入。
欧盟“Chat Control”再起波澜：儿童保护之外，加密与匿名通信正被推到谈判桌上
欧盟围绕“Chat Control”的通信扫描规则在周五理事会会议和6月29日三方谈判前出现新动向，前欧洲议员 Patrick Breyer 警告称，临时规则可能被重新推动，永久规则也可能纳入更强扫描和年龄验证义务。真正的争议不在儿童保护目标本身，而在欧盟是否正用程序绕行和技术义务扩大化，削弱加密通信、匿名通信与司法授权边界。
10万台 Flock 摄像头之后，美国城市把监控外包给了谁
Flock 的 AI 车牌识别摄像头已在美国铺到超过 10 万台，但它能查的不止车牌，还能按车辆外观、贴纸、损伤等特征检索。争议不在摄像头能不能破案，而在城市正把实时监控能力交给低门槛、弱约束、扩散很快的商业系统。接下来最该盯的不是新摄像头数量，而是数据共享、留存期限、审计权限和退出条款。
美国 KIDS Act 拟快速表决：儿童安全会不会变成全网年龄审查
美国国会准备近期快速表决 KIDS Act，这是一揽子儿童网络安全法案，包含新版 KOSA、SAFE BOTS Act、SCREEN Act 等内容。争议点不是保护未成年人要不要做，而是“知道或本应知道”这类责任标准，可能把平台推向年龄判断、预防性删帖和私密通信限制。普通用户可能被要求交出更多身份信息，平台合规团队则要在年龄估算、内容审核和加密保护之间承担更高成本。
Codex 还缺一道硬边界：AI 代理不能只靠“别乱看”
OpenAI Codex 仓库的 Issue #2847 仍处于 open 状态，用户请求加入 repo-local `.codexignore` 和全局 ignore 机制，用来禁止代理读取或发送敏感文件。它不是泄露事故，也不能证明 Codex 会上传所有文件；它暴露的是 AI 编程代理的权限边界还不够可验证。对开发者和技术团队来说，问题已经很具体：能不能让代理进真实项目，取决于它有没有硬规则挡住 `.env`、私钥和云配置。
把浏览器关进 LXC：Linux 桌面安全别再假装没事
一篇技术文章演示了在 Arch Linux 上用非特权 LXC 跑 X11 图形应用，把 Firefox、Electron IM 这类高风险程序从宿主 home 目录旁边挪开。关键不在“LXC 能不能跑 GUI”，而在用户是否愿意用配置复杂度，换更小的本机数据暴露面。它不是绝对沙箱：X11、音频和 GPU 每转发一个 socket，墙上就多一个洞。
别只盯 8.8.8.8：公共 DNS 选的是谁替你看门
evilbit 的公共 DNS Resolver 指南对 29 个全球服务做了对比，变量包括日志、过滤、加密传输、DNSSEC、IPv6、ECS、司法辖区和运营方属性。真正的选择不再是“哪个最快”，而是谁能看到你的查询、谁能过滤你的访问、谁受哪套规则约束。对隐私敏感用户和家庭/小团队管理员，DNS 已经是一个需要写进配置策略的入口决策。
1.4 万个开放摄像头被做成地图，风险被放大了
IP Crawl Beta 自称是公共互联网上开放摄像头的动态地图，标称收录 14,131 个可浏览、筛选、观看的摄像头。材料只能说明这些摄像头可从公网访问，不能说明它们一定被黑入。真正的问题是：零散暴露被目录化、地图化、消费化后，安全风险变成了隐私入口。
霍尔木兹没封，但船东已经开始替规则失灵买单
Evergreen旗下新加坡旗集装箱船 Ever Lovely 6月25日走霍尔木兹南线时遭袭，IMO随后暂停撤离通道计划，要求重新获得“不被攻击”的明确保证。海峡通行没有明显中断，但南北航线选择被政治化：IRGC认可北线，仍有船继续走阿曼沿岸南线。真正受压的不是一句“是否封锁”，而是船东、船员、保险和货主开始为安全承诺失效重新定价。
GitHub 上的 exploitarium：公开漏洞研究，还是把未修复风险提前放出来？
GitHub 仓库 bikini/exploitarium 正在集中归档多项 exploit PoC 和漏洞研究说明，涉及 7-Zip、Docker、Firefox、FFmpeg、PHP、RustDesk、VLC 等项目。维护者称这些内容发布时多数或全部尚未向厂商报告，并鼓励他人自行报告。现在最关键的问题不是它是不是“0-day 宝库”，而是补丁前公开的可复现材料，会把维护者和企业安全团队推入被动窗口。
Claude Mythos 让安全圈紧张，但企业别把靶场当战场
Claude Mythos/Fable 5 的确把 AI 网络攻防能力往前推了一步，尤其是在专家级任务、完整攻击链测试和生成可用 exploit 上。它还不是普通攻击者可随手调用的自动入侵工具，访问、成本和真实企业防御都会限制它的杀伤半径。企业现在更该做的，是用 AI 改进漏洞分诊和优先级判断，同时压缩攻击面、补强纵深防御。
韩国要把全军练成“无人机士兵”，真正难题不在飞行
韩国计划把约45万至近50万现役军人纳入无人机训练，把无人机定位为“通用作战工具”和士兵的“第二件个人武器”。今年先提供约1.1万架训练无人机，目标到2029年全军部署约6万架。问题不在口号够不够硬，而在教官、供应链和作战组织能不能把乌克兰经验变成制度。
加州 AB 2047 过众议院：反“幽灵枪”，还是给 3D 打印机加一道审查门？
加州众议院已通过 AB 2047 修订版，法案尚未生效，下一步将进入州参议院审议。它针对的是无证制造枪支这一已被禁止、且 EFF 认为并不普遍的用途，却要求 3D 打印机内置识别和阻止特定打印内容的软件。真正的风险是：规避者未必被拦住，合法用户、开源开发者和独立创作者先被纳入审查链条。
6000 次邮件攻击没套出密钥：AI 助手更抗打了，但还不能放权上岗
Fernando Irarrázaval 让约 2000 人通过邮件攻击 OpenClaw 测试助手，约 6000 次尝试后，没人泄露 secrets.env 或凭据。代价也不小：约 500 美元 token 成本，Google 账号还因邮件过多被暂停。我的判断是：前沿模型的反提示注入训练正在起效，但这还不是高权限 AI 助手可直接上生产的安全证明。
捷豹路虎停产数月：俄黑客疑云让车企攻击变成供应链事件
据《纽约时报》报道，去年导致捷豹路虎生产中断数月的网络攻击，被认为与俄罗斯黑客有关，但目前不能断言俄罗斯政府直接发动。更关键的是，这次攻击已从企业安全事件外溢成产业事件：英国政府提供15亿英镑贷款支持，相关估算称英国经济损失约25亿美元。对安全团队和汽车供应链观察者来说，重点不只是查谁干的，而是生产系统和供应商接入还能不能扛住下一次冲击。
特斯拉和解FSD致命事故诉讼，但监管风险远未落地
特斯拉已就一起涉及2023年致命事故的FSD相关诉讼达成和解，条款未披露，这并不等于公司承认责任或系统缺陷。真正的压力仍在NHTSA：针对FSD在低能见度场景下表现的调查已升级为工程分析，潜在结果包括召回。对特斯拉投资者和智能驾驶用户来说，接下来要看的不是个案赔了多少，而是监管是否要求产品层面的修改。
Xprize 创始人称“被看见会让人更好”，科技圈的监控善意叙事该被追问
Xprize 创始人 Peter Diamandis 在 X 和 Substack 上公开支持全球传感器网络，称“人们被看见时表现更好”，并预言未来没有“off the record”。真正重要的不是监控技术是否已经扩散，而是科技高管把无隐私社会包装成公共善时，常常绕开谁掌握监控权、谁定义“好行为”的问题。