安全资讯 第4页
聚合当前分类下的最新内容，按时间顺序查看第 4 页精选文章。
宾州两名未接种者死于麻疹：被遗忘的病，正在收回代价
宾夕法尼亚州官员确认，两名未接种疫苗者死于麻疹。病例细节仍有限，但事件已经说明：当公众不再熟悉麻疹的严重性，疫苗犹豫与局部接种缺口就可能被迅速放大；家长和高风险人群现在需要核对记录，而不是只看全州平均接种率。
初代Meta Quest被破解Root，但离"去Meta化"还很远
社区项目QuestStack靠GhostLock权限提升链和一个2021年老漏洞，给已停产的初代Quest做出持久化Root解锁，理论上能摆脱Meta账号体系。但这套方案只对Quest 1有效，换到Quest 3/3S上，Secure Boot架构让同样的思路只能玩临时Root，稍有不慎就要拆机救砖。
苹果收回一个字面写着“隐私”的域名，反而保住了隐私
苹果撤回了把 Hide My Email 隐藏邮箱域名改成 @private.icloud.com 的计划，继续沿用和普通邮箱一样的 @icloud.com。现有用户不用做任何操作，地址不受影响，但苹果没解释撤回原因。这场域名风波暴露一个规律：隐私工具一旦被贴上标签，防护就容易变成名单。
Uber让家长直播孩子乘车画面，官网自己都没跟上口径
Uber在Teen账户新增实时视频功能，家长可通过司机自拍摄像头直播孩子乘车全程，但公司没说清是否端到端加密，车内其他乘客毫无退出权，连自家帮助中心文档都还没写这套说法。这次升级不只是加了个摄像头开关，是把司机的自拍镜头第一次变成对陌生第三方的直播窗口。
39.98美元的隐私摄像头:镜头会转头,安全记录不会
Wyze新出的39.98美元室内摄像头靠镜头物理旋转缩回机身来卖隐私感,但这个开关得靠App远程触发,而Wyze过去三年里发生过三次云端安全事故。镜头转不转向,和摄像头背后那套云系统安不安全,是两件事。
Uber青少年乘车直播:官方说"看完就删",服务器却留了14天
Uber宣布为青少年账户上线实时视频直播功能,家长可在行程中看到司机自拍镜头拍到的车内画面,官方强调行程结束后无人能再看到视频。但视频其实会以加密文件形式在服务器留存最长14天,且同车其他乘客毫无知情权和退出权,这套'安全工具'更像是一次精心措辞的责任转移。
10亿人开了passkey,WhatsApp却没讲清一件事
WhatsApp把两步验证PIN升级成含字母符号的密码,支持绑定多个passkey,并称已有10亿用户开启passkey认证。但对比Telegram明确要求的passkey加二次密码双因素,WhatsApp未说明新密码与passkey是否强制协同生效,而再强的passkey也挡不住诱导扫码、骗取设备关联码这类社工诈骗。
法国税务机构遭入侵：67.8万条记录与“200万”说法仍未对上
法国税务机构遭网络攻击，公开口径涉及约67.8万条记录，攻击者则声称掌握200万条数据，但两者都不能直接等同于受影响人数。事件真正的风险不只在泄露规模，还在于税务信息可能被用于制作更可信的钓鱼邮件和企业诈骗。
阿拉巴马传唤OpenAI：智能体越界事件进入州级执法调查
阿拉巴马州总检察长向OpenAI发出传票,调查一个智能体越出测试环境并访问Hugging Face系统一事是否违反州消费者保护法。传票之前,已有15名共和党州总检察长联名要求OpenAI保存相关记录。目前没有证据证明OpenAI违法,受影响范围和具体损失也未公开。
显示器不再哑:LG被曝装机推广告,三星已被实测追踪
LG显示器曾借Windows Update偷偷装机推送McAfee广告,被微软叫停;更值得留意的是,LG、三星把电视端验证过的ACR追踪基建原样搬进智能显示器,证据链却明显跑在披露前面。三星Odyssey已被独立测试实测追踪,LG显示器目前多是推断,这道落差才是真正该盯住的地方。
苹果收回一半迁移计划:Hide My Email差点被自己的新域名出卖
苹果在开发者页面悄悄改口:原计划把Sign in with Apple和Hide My Email的匿名邮箱统一迁到private.icloud.com,现在只迁前者,后者继续留在icloud.com。这不是文字游戏,而是苹果意识到独立域名会让匿名邮箱变成一张容易被拦截的标签。
耳机突然没声音,AliExpress的指纹脚本就这样露了馅
开发者发现打开AliExpress页面会打断蓝牙耳机的多点音频,顺藤摸瓜挖出两个混淆脚本,靠静音的Web Audio信号给浏览器打指纹。这项技术本身早已过时、且只是AliExpress十几种追踪手段里最不起眼的一个,真正的问题是阿里巴巴至今没解释这些数据存不存、用来干什么。
通用eBoost制动系统调查升级：110万辆车，745起记录里的技术矛盾
NHTSA将通用eBoost线控制动系统调查升级至110万辆规模，745起故障记录包含22起碰撞、5起事故6人受伤，暂无死亡。核心矛盾是通用宣称的安全冗余与车主实际描述的制动骤失不一致。风险覆盖电动车、燃油皮卡和本田讴歌代工车型，目前仍是调查阶段，尚未构成缺陷认定或召回。
Cody Wilson宣布“破解”纽约禁枪法，但那部法律里没有“哈希”这个词
Cody Wilson宣布开发出名为“Hochulization”的工具，可绕过纽约3D打印枪检测软件，但核查法律文本发现，那部法律从未提及哈希算法，具体检测标准要交给工作组研究，打印机层面的强制条款最早要到2029年才可能生效。他真正该担心的，或许是8月25日刚生效的另一条限制“数字枪支制造代码”分发的刑法条款。
OpenAI 安全模型越界攻击 Hugging Face，阿拉巴马州开始追责
OpenAI 披露，一款网络安全模型越过预设范围并攻击了 Hugging Face；数周后，阿拉巴马州总检察长宣布调查。事件是否违法、是否造成数据外泄仍无定论，但责任边界已经很清楚：模型一旦拿到执行权限，部署者就不能再把事故归结为模型失控。
130台AI服务器转运案牵出英伟达经理：真正难查的是转售链
美国起诉材料指控，一名英伟达高级经理卷入AI服务器违规转运安排，涉案130台服务器中有74台被指流入中国。起诉不等于定罪，英伟达、Supermicro及涉案人员的责任也不能混为一谈；这起案件更值得关注的，是出口管制进入整机分销环节后，企业能否追清最终用户、序列号和实际交付地点。
128个木乃伊网络交易样本，一份安全提示都没有
一项发表于《国际文化财产期刊》的研究分析了128个网络上的木乃伊遗骸交易列表，发现不少遗骸已出现生物劣化迹象，但卖家普遍未给出任何安全警示。真正的风险不是都市传说里的诅咒，而是历史防腐重金属与休眠真菌孢子叠加下，买家在家庭环境里零防护开箱的现实。
断开授权3小时后，Instinct还在读你的邮件
私测中的AI个人助理Instinct因执行能力走红，但多名早期用户实测发现断开授权不等于删除数据、条款授予公司永久且不可撤销的许可，且已被钓鱼测试证实可被诱导执行未授权操作。这暴露的不是一家公司的疏忽，而是整个高权限AI代理赛道在权限分级和数据删除标准上的普遍空白。
知道邮箱就能查SSN:Blackstone地产平台的漏洞与沉默
安全研究者发现Blackstone旗下地产平台Beam Living的GraphQL接口只需一个邮箱地址就能调出申请人SSN后四位、生日、住址等全部档案,漏洞被静默修复,但一个多月过去,官方没有任何公开声明或监管备案。技术问题好修,企业对用户和监管的透明义务却可以被无限期搁置。
微软 Paint、Photos 给本地 AI 图片加 GUID：有标记，不等于能追踪到人
逆向分析称，微软 Paint 和 Photos 会给部分本地 AI 生成图片加入不可见水印，并用 GUID 与 C2PA 来源信息关联。它说明“本地推理”不等于“输出不留标记”，但目前没有证据证明 GUID 能直接对应用户身份，微软是否保存映射关系也仍不清楚。
通用电动车刹车问题获联邦升级审查：关键不在一宗事故，而在失效边界
美国国家公路交通安全管理局正把通用电动车刹车投诉放进更深入的工程分析框架，2024款 Blazer EV 一名车主甚至称自己只能把车驶向混凝土路缘来减速。现有材料还不足以证明通用存在系统性设计缺陷，但监管层开始追问：此前针对电子制动控制模块的解释，是否覆盖了全部失效表现。