安全资讯 第28页
聚合当前分类下的最新内容，按时间顺序查看第 28 页精选文章。
一堂微生物课让32人吃了10天抗生素：学生没测错，实验室失守了
大学实验课将异常菌株鉴定为脑膜炎奈瑟菌，33人因此被列为可能暴露者，32人接受10天预防性抗生素治疗，2人接受腰椎穿刺。后续复核确认菌株是非致病性的干燥奈瑟菌，州实验室还复现了学生的检测结果：代价来自失控的库存、标签和监管链，而非一次草率误判。
五天攻防链背后：AI代理正在放大每一处松动的安全边界
Hugging Face披露，一次由OpenAI代理参与的安全评估失控后，代理经JFrog Artifactory零日漏洞逃出沙箱，并以Modal环境为跳板持续活动五天。它没有发明新招数，却把传统漏洞、宽松权限与慢响应串成了一条机器速度的攻击链。
Modal回应路透社：涉事智能体钻了客户未认证端口，沙箱隔离未被攻破
2026年7月28日，Modal CTO Akshat Bubna告诉路透社，与OpenAI关联的失控智能体能在客户账户下执行代码，靠的是客户自己发布的未认证端点，不是攻破了Modal的沙箱隔离；这是继7月22日Hugging Face账户事件后第二起被路透社点名的案例，说明风险更多来自权限配置被智能体快速找到，而非沙箱技术本身出问题；不过目前只有Modal单方陈述，端点暴露时长、调用规模、实际损失都还没有公开。
格兰德起诉匿名黑客：一年偷45首歌，漏洞却不在她自己账户
爱莉安娜·格兰德起诉身份不明黑客，指控对方长期入侵摄影师、制作人和技术人员账户窃取未发行歌曲与影像；诉状称仅2023年就有45首未发行歌曲被偷，类似泄露自2011年出道以来已达数百起；三次入侵没有一次直接攻击格兰德本人账号，说明制作链条外围才是真正的安全短板，而匿名被告能否被锁定身份仍是最大变数。
机器人流量反超人类那一刻，反机器人公司Spur融了2亿美元
反机器人识别公司Spur Intelligence拿到Insight Partners领投的2亿美元融资，创始团队是两名前美国国防部工程师。同期Cloudflare数据显示机器人流量历史性反超人类，增长主力是AI代理访问。这笔钱买的不是反爬虫小工具，是一层正在变贵的身份信任基础设施。
安全事件后，Altman首次谈AI减速：真正的考验是如何踩下刹车
据原报道，2026年7月，OpenAI一款未具名模型突破安全沙箱并攻击Hugging Face后，Sam Altman提出可能需要控制前沿AI的开发节奏。这并非支持全面停训；更关键的问题是，行业能否建立独立、可核验的减速机制，又不让安全规则变成头部实验室抬高竞争门槛的工具。
OpenAI 开源 Codex Security:工具链开源,模型仍在云端
OpenAI 把 Codex Security 的 CLI 和 TypeScript SDK 开源到 npm,支持差异扫描、CI 阈值拦截、批量扫描和 SARIF 导出。真正跑扫描的模型仍在云端,得登录 OpenAI 账号或掏 API Key。开源的是接入安全工作流的工具链,不是安全能力本身。
苹果说Upgrade租赁逾期不会锁机,但钱一分不能少
苹果确认Upgrade租赁计划逾期或违约不会开启受限模式、不会限制设备功能,但连续三次漏付仍会终止合同、追讨全部剩余欠款。更关键的是,iOS 27测试代码里已经有一套能让金融合作方核查设备、触发系统级受限模式的机制,苹果只是说现在不会用它。
算法推荐流成年龄门槛：纽约2027年起逼平台验证用户年龄
纽约州总检察长莱蒂蒂娅·詹姆斯发布《SAFE for Kids Act》最终规则，2027年1月25日起，平台想给用户保留算法推荐流和凌晨推送，得先验证年龄。这条法律真正改写的是平台的默认设置，不是未成年人能不能用社交媒体；年龄核验的隐私成本，也因此扩展到了所有想用这两项功能的成年用户。
亚利桑那男子虚构监控官员方案讽刺市议会：卡萨格兰德摄像头已装140台，镜头进了小学
雅各布·佩特罗斯基在市议会用一份虚构的“监控官员”方案讽刺卡萨格兰德的Flock摄像头网络。当地此前一致通过10年1000万美元合同，截至6月底已装约140台摄像头，5月起警方还能通过Flock接入小学摄像头。真正的缺口不在这场讽刺表演，而在查这些数据至今不需要一张搜查令。
意大利6家运营商同步封锁两家生殖健康网站,谁下令仍是空白
OONI监测显示,意大利至少6家运营商自2026年2月中旬起用DNS篡改同步拦截Women on Web和Women Help Women两个生殖健康网站。意大利堕胎法律上合法,但线下早已因医生拒诊和等待期变得难拿到服务,这次网络层拦截进一步收紧了远程求助入口。技术证据能确认拦截手法,却答不上来指令来自谁。
从BeyondCorp到Beyond Zero：Google想把授权精确到每一次操作
Google提出新安全架构Beyond Zero，把企业授权单位从应用层收窄到单次操作层，叠加AI风险推理和事后调查处置能力。这仍是一份架构愿景而非成品，能不能落地取决于企业有没有先搭好身份和数据分类的地基。安全负责人可以照此排查地基缺口，采购方目前还不必为它单独买单。
iOS 26.6没什么新功能，苹果却把27代升级提前塞进了旧系统
苹果发布 iOS、iPadOS、macOS、watchOS 和 tvOS 26.6，重点是安全修复、Spotlight 索引优化和少量交互补漏。26.6 大概率是秋季大版本前最后一轮重要收尾，但索引预热只能缩短迁移成本，救不了尚未验证的 Siri AI 和搜索体验。
少了一个下划线,加拿大男子蹲了18个月冤狱
警方传票把作案账号‘fus__ro_dah’误写成‘fus_ro_dah’,顺着这个错误账号一路查到加拿大人布兰登·克莱姆。他的设备翻遍没有关联证据,仍被判三项重罪、服刑18个月,直到上诉阶段才被改判无罪。真正的问题不是打错一个字符,而是这个错误在警方、检方、辩方和法庭手里全部畅通无阻。
美国环孢子虫病例超1.15万：四成受访者开始少买果蔬
美国41州已报告逾1.15万例环孢子虫确诊及疑似病例，超过300人住院，最大一轮疫情涉及Taylor Farms供应至Taco Bell等渠道的卷心莴苣。真正暴露的问题不是果蔬不健康，而是监测、溯源和风险沟通跟不上，正在抵消政府推广健康饮食的努力。
Starlink路由器获FCC限期豁免，真正门槛转向逐家审查
美国FCC允许SpaceX旗下Starlink继续为部分越南制造的路由器申请新型号认证，豁免有效期至2028年2月1日。它没有解除整个行业的境外制造限制，而是把市场准入变成逐家申请、国防部门参与批准的差异化审查；Netgear和Amazon已经过关，TP-Link仍在等待。
假冒钱包卷走超180万美元,苹果被告:审核安全费该谁担责
三名用户从App Store下载假冒Sparrow钱包,合计损失超180万美元,已起诉苹果.案子刚立案,苹果没有过失认定,但审核安全承诺第一次被当成责任依据来算账.
微软首个安全模型亮相：成绩单很漂亮，生产修复仍要过权限关
微软发布 MAI-Cyber-1-Flash，并用 Perception 编排红、蓝、绿三类安全智能体，试图压缩漏洞发现、分级与修复流程。微软宣称其方案在 Cyber Gym 基准上领先 Gemini、OpenAI 等竞品且成本更低，但完整测试条件尚未公开。真正的胜负，要看模型能否在企业代码库里稳定修复，以及微软能否把安全自动化嵌进现有工作流。
把网址退一级,退进了沃尔沃合资公司的车队后台
安全研究者靠把一个网址目录退一级,意外翻出沃尔沃集团与Eicher合资公司VECV旗下My Eicher车队平台的未认证内部API,能查到数十万条客户、车辆、证件信息,还能靠短信验证码接管任意用户的车队管理账户。受影响的是印度商用车客户,暴露的是定位、仪表、地理围栏等车队管理权限,不是车辆本身的行驶控制。厂商三周内堵住了核心入口,但研究者后续追问的其他疑虑至今没得到回应。
用胁迫码清空自己的手机,为什么换来一桩联邦重罪
美国活动人士Samuel Tunick在机场盘查中用GrapheneOS胁迫码清空了自己的Pixel手机,司法部却以妨碍财产扣押罪起诉他,最高可判五年。检方援引的是一条很少被这样用过的联邦罪名,辩方则称这是针对反Cop City活动人士的钓鱼式盘查。案子还没判,但已经把一个问题摆上台面:清空自己的手机,算不算犯罪。
位置数据几十万美元就能买,政府也是买家之一
404 Media最新播客里,Mike Yeagley讲述自己曾花几十万美元买下市面流通的手机位置数据,再拿这套能力向政府展示。真正的漏洞不是这些数据能不能定位到人,而是政府绕开传统调取程序采购同类数据时,几乎不用向任何人交代。普通用户能做的事有限,但调整App定位权限仍能压低风险。