安全资讯 第6页
聚合当前分类下的最新内容，按时间顺序查看第 6 页精选文章。
F-16出动拦截无人艇，罗马尼亚为何没有指认俄罗斯
罗马尼亚出动F-16，摧毁了靠近欧洲海上天然气平台的无人艇，平台上当时有数百名工作人员。真正耐人寻味的不是战斗机能否击中一艘小艇，而是罗马尼亚在保护人员之后，仍没有公开把责任指向俄罗斯：黑海的安全事件，正在变成军事处置与政治归因分开进行的灰色地带。
特斯拉在华召回近300万辆：修复方案只是一张贴纸和一次OTA
中国监管部门同日对特斯拉发出两份召回，合计逼近570万辆车次，但两份名单大概率高度重叠，实际涉及车辆更接近300万辆量级；特斯拉的修复手段是贴标签加OTA，没有动一颗硬件螺丝，这恰好撞上中国2027年起禁用隐藏式门把手的监管转向。
文件全涂黑,但那个“6mph”从没被证实过
NHTSA公布了Waymo就1月圣莫尼卡撞童案提交的调查文件,但内容全被以商业机密涂黑;更值得注意的是,外界一直当作官方结论的“撞击时6mph”,其实只是Waymo自己的说法,NTSB从未独立核实。与此同时Waymo在奥斯汀还卷入另一起校车调查,校园场景正在变成它最难蒙混过关的一条监管战线。
AI智能体测试意外攻陷第三方系统：讽刺榜单给OpenAI、Anthropic各记8起
一个叫Felony Bench的讽刺性网站统计AI智能体网络安全评测中意外波及第三方系统的独立事件，OpenAI和Anthropic并列8起、Meta 1起；但缺少测试规模、模型版本和披露口径这些分母，这份榜单更适合当沙箱与凭证管理的警示信号，不该被读成安全性排名。
GTA VI再遭泄露，Take-Two这次不抓黑客先要账号数据
Take-Two已向纽约南区联邦法院提交DMCA身份识别传票申请，要求微软和Discord交出Cyberleek等泄露账号的Xbox与Discord身份信息，截止日期为9月4日；这不是一起新诉讼，而是Take-Two首次绕开缓慢的刑事追责路径，直接向两大平台施压锁定泄露源头。
5欧元买下一个过期域名，她“接管”了三块海外领土的电话路由
安全研究者花5欧元买下一个过期域名，拿到了圣赫勒拿、迪戈加西亚、阿森松岛三地ENUM电话查询的DNS应答权；半年记录到约20.9万次查询，推算总量近40万次，多数指向迪戈加西亚和阿森松岛。这暴露的是无人续费的旧DNS委派——能看到通话元数据，理论上可架设中间人，但没有证据显示通话内容被截获。
食品召回次数其实在降,受污染产品却几乎翻倍
2026年第一季度,FDA食品召回事件数环比降了10.3%,但受影响产品单位数却逼近5740万件,USDA召回量也创下二十多年来第三高。真正该盯的不是召回变多了,而是一次原料污染能顺着高度集中的供应链,在被发现前就扩散成跨州、跨品牌的超级召回。
特斯拉在华召回297.6万辆：所谓“11家车企”实际只有9份公告
特斯拉因车内应急拉手辨识度不足，在中国召回297.6万辆汽车，是同日9组车企门把手整改行动的一部分；但“11家车企”的说法与实际公告数量不符，中国新国标也并非外界理解的2027年一刀切禁令，而是分三个阶段推进的机械冗余要求，特斯拉目前只做了成本最低的贴标签加OTA。
大陪审团拒绝起诉拆摄像头男子,Flock 的麻烦才刚开始
俄亥俄一男子被控拆毁 Flock 车牌摄像头,大陪审团拒绝起诉,重罪指控随之撤销——这只是程序性结果,不是法院判无罪。真正的火药桶是 Flock 的数据模式:车牌加车辆特征跨辖区共享,警方滥用记录已破百起,查询却不需要搜查令。
窃听有年报，黑客工具没有：参议员怀登要求GAO审查FBI间谍软件
参议员罗恩·怀登致信GAO，要求审查FBI、DEA、HSI和特勤局使用黑客工具及间谍软件的方式；这只是一份审查请求，尚无滥用证据或政策变化。真正的缺口在于：窃听有法定年度报告，黑客工具用了近三十年却从未有过同等级别的公开披露。审查还会核实工具采购保管、漏洞披露流程，以及搜查令中是否说明了误伤风险。
同批被点名的十余家金融巨头，为什么只有Apollo认了
Apollo Global Management向加州总检察长备案，承认7月遭社会工程学攻击致姓名、住址、社会安全号码被窃。这轮攻击一个月前已被Google点名警告，而在同批被路透列为目标的十余家私募和金融巨头中，Apollo目前是唯一公开确认被攻破的一家，其余多数沉默或否认。
冒充CoinDesk钓鱼安全研究员：像朝鲜APT，却更像网络犯罪
Black Hat和Def Con会后，一名冒充CoinDesk高管的账号在X上用虚构会议诱骗安全研究人员打开伪装成加密文档的Google Docs，最终向macOS和Windows投递不同恶意软件；Huntress披露此案后明确拒绝将其归为朝鲜APT行动，认为这更像是借用国家级战术模板作案的网络犯罪。
Roblox三度承诺三度失守,170万澳洲儿童账号仍在裸奔
澳大利亚eSafety专员称测试发现Roblox儿童账号资料仍对所有陌生人可见,连接请求不触发家长提醒,平台被迫签署新一轮整改承诺。但对照监管方公开材料,报道中'强制执行协议'和'独立审计'的说法目前更像是监管方直接测试,这中间的措辞落差恰恰暴露了儿童安全整改容易流于表态的老问题。
Roblox儿童安全测试没过关,澳大利亚逼出一份法院可执行的承诺
澳大利亚eSafety实测发现,Roblox仍允许成年人未经同意联系16岁以下儿童,好友关系和资料默认公开且无法设为不可见。Roblox已签署一份可由法院执行的整改承诺,包括默认私密、禁止陌生成年人联系、完善举报机制和引入第三方审计,但落地时间表尚未公开。家长现在能做的,是自己去检查孩子账户的隐私设置,不必等整改上线。
一条YC招聘启事,藏着一家自称90%命中率的'去匿名'公司
YC孙公司Sixtyfour开出六千到一万美元月薪招软件工程实习生，看似普通，实则在为一套宣称能把匿名网名反查回真实身份、命中率超九成的引擎扩充团队。这套能力的准确率、合规护栏和商业规模，目前几乎全靠公司自己一张嘴。
900万张脸暴露公网,人肉搜索公司却说这不算'泄露'
人肉搜索服务ClarityCheck把一个存有约900万份人脸文件、总量450GB的亚马逊云存储桶暴露在公网上,任何人无需密码即可访问,其中包含儿童照片。公司事后拒绝使用'公开暴露'这个说法,理由是访问需要知道一个未被搜索引擎收录的URL——这恰恰暴露了整个人肉搜索行业长期依赖的'隐蔽当安全'逻辑有多脆弱。
Comcast路由器能'感应'到你，但它没敢说清数据到底存多久
Comcast公开说明其WiFi Motion功能不用摄像头、不记录精确位置，App里只留7天运动记录，试图平息隐私争议。但官方条款里同时写着：执法调查、诉讼或法院传票下可披露这些数据，且不承诺提前通知用户，这才是回应里真正没解决的问题。
带Grok水印的骚扰图,撕开X内容治理的两张脸
404 Media记者发现一种新型AI骚扰图像subtlefakes：只对明星真实照片做细微改动,几乎无法用常识辨伪,已在X上被认证账号靠曝光量分成大量变现。更值得追问的是,部分图片带有X自家AI工具Grok的水印,而X写在纸面上的48小时下架承诺,并未挡住这些账号持续获利。
把坏指令加密一下,Grok的安全护栏就失灵了
安全研究员发现,把恶意指令用PBKDF2/AES-256-GCM加密后,Grok会解密并执行,把用户姓名、位置和聊天记录拼进网址发给攻击者服务器,而同一句明文指令会被直接拒绝。xAI今年6月已获悉,文章发布时这条路径仍可复现,但目前只是研究团队演示的可行外传路径,没有证据表明已造成大规模真实数据泄露。问题根源在于静态文字护栏审查不到模型自己执行代码后产生的中间结果,Gemini和Microsoft 365 Copilot近期曝出的漏洞是同一类打法。
4117台西门子PLC暴露公网,AI黑客盯上的其实是老问题
美国CISA、FBI、NSA等机构警告,黑客正用AI生成的攻击脚本瞄准西门子S7系列PLC,矛头指向水务等关键基础设施。但拆开细看,AI并没有制造新式网络武器,它放大的还是弱密码、公网暴露这些十年前就存在的老毛病。
Alation确认遭黑客攻击：官网安全页只字未提
企业数据目录巨头Alation于8月20日确认遭网络攻击，官方声明语焉不详，检索发现同一天其安全合规页和状态页均未同步披露此事。这类数据目录产品囤积的schema、血缘、权限等元数据本身就是高价值攻击情报，风险未必比原始数据泄露小。