安全资讯 第36页
聚合当前分类下的最新内容，按时间顺序查看第 36 页精选文章。
马斯克在法国被刑事调查：X 的问题不只是内容审核
法国检方已把针对 X、xAI、马斯克和 Linda Yaccarino 的调查升级为正式刑事调查，焦点包括未成年人性影像、性深伪、Grok 否认大屠杀内容、数据安全和非法交易。现在还不是定罪，也不等于必然受审，但法国检方已要求提出初步指控，或发出等同起诉的令状。关键不在“马斯克又和欧洲吵架”，而在平台老板还能不能用政治迫害叙事，绕开本地法律和内容治理责任。
5座水厂被黑：国家级冲突盯上地方旧账
波兰情报机构称，5座水处理厂遭黑客攻击，攻击者可能触及工业控制设备；最坏情况可能影响供水安全，但报告没有确认水质已被篡改。报告同时指控俄罗斯支持的破坏和黑客活动针对波兰军事设施、关键基础设施和民用目标，但没有把这5起水厂攻击明确归因给俄罗斯。真正该看的不是“又一起黑客事件”，而是低预算水厂、电网等地方基础设施，正在承受国家级冲突的压力。
一个网页不问你，也能拼出多少浏览器指纹
Since You Arrived 的“taken”页面展示了一件容易被忽略的事：网页打开瞬间，IP、时区、系统、屏幕、GPU、语言、字体和 Cookie 状态等信息就可能被读取。它自称不写入 Cookie、不存储信息，反而凸显了问题：多数网站未必会如此克制。真正的风险不是某个字段泄露，而是这些信号组合后，可以在无账号、无姓名、无 Cookie 的情况下形成浏览器指纹。
L3Harris 前高管把黑客工具卖给俄方中间人：网络军火生意最怕内部人
L3Harris 前网络安全高管 Peter Williams 因窃取监控与黑客工具，并以约 130 万美元卖给与俄罗斯政府有业务联系的中间人，被法院要求在此前 130 万美元赔偿之外再支付 1000 万美元。关键不只是商业秘密被盗，而是高权限内部人把网络武器当商品转手。对国防科技和网络安全团队来说，这件事该落到权限、离职、审计和中间人尽调上，而不是停在道德谴责。
Haotian AI 被 404 Media 拿到后，视频会议的“看脸确认”该降级了
404 Media 在播客中称已获得中文界面的 Haotian AI 实时深伪软件，可用于 Microsoft Teams、WhatsApp、Zoom 等视频通话场景。相比单纯讨论深伪诈骗报道的取证难度，这条线索把风险指向了更具体的工作流：远程审批、视频核验、跨境沟通都不能再把“对方露脸”当强证明。
Cybertruck 便宜版只卖出 173 辆，也全量召回了
Tesla 正在召回已售出的全部 173 辆 RWD Cybertruck Long Range，故障点在制动盘螺柱孔，极端情况下车轮可能与轮毂分离。 目前只有 3 起可能相关保修索赔，Tesla 称没有相关碰撞、死亡或受伤报告；车主最该做的是核对召回通知并预约免费更换。 规模很小，但这是 Cybertruck 第 11 次召回。真正刺眼的是：激进设计、低价版本和制造一致性之间的账，还没算完。
美国上线 UAP 解密页面：别急着找外星人，先看谁在控制叙事
美国政府上线 PURSUE 页面，称将按总统指令分批查找、审查、解密并发布 UAP/UFO 相关记录，首批材料包括红外图像、军事报告截图和 Apollo 17 旧影像。\n这次公开目前不能证明外星飞船，也不能证明技术突破。更值得看的是：美国正在把 UAP 从民间奇谈，搬进国家安全、档案治理和政治传播的制度框架里。\n普通读者该做的不是追着模糊光点下结论，而是看后续材料怎么分类、哪些机构参与、哪些内容始终不放出来。
芝加哥ICE抗议者起诉DHS：轻微逮捕能不能变成永久DNA档案
4名在芝加哥Broadview ICE设施外被捕的抗议者起诉DHS和FBI，要求停止采集、上传和永久保存他们的DNA样本与基因档案。此案的核心不是一次抗议执法争议，而是联邦政府能否借轻微、撤销甚至未起诉的逮捕，把抗议者送进长期DNA检索体系。最受影响的是参加移民执法抗议的人，以及为他们提供法律和组织支持的人。
OpenAI分级开放GPT-5.5网络安全能力：重点不是更强，而是谁能用
OpenAI把GPT-5.5纳入Trusted Access for Cyber，并限量预览GPT-5.5-Cyber，面向已验证防御者和关键基础设施安全团队。真正的变化不是放开攻击能力，而是用身份验证、账户安全、访问分级和滥用监控来降低双用途风险。对企业安全负责人来说，GPT-5.5 with TAC更像默认起点，GPT-5.5-Cyber只适合少数授权红队和受控测试流程。
ICE 探索智能眼镜：人脸识别可能从“举手机”变成“看一眼”
404 Media 称，ICE 正在探索开发智能眼镜，用来补充其人脸识别应用 Mobile Fortify；DHS 回应称，目前尚未承诺任何智能眼镜资金。 关键不在于眼镜是否已经部署，而在于执法识别可能从手机扫描推进到可穿戴、实时化现场。 真正受影响的是街头被扫描者的知情、拒绝和纠错能力，尤其是移民社区、持签证者和容易被误识别的人。
Model Y首个通过NHTSA新版ADAS测试：赢的是项目成绩，不是自动驾驶认证
2026款后期批次Tesla Model Y成为首个通过NHTSA新版ADAS测试的车型，但适用范围很窄：仅限2025年11月12日及之后生产的车辆。这个结果利好特斯拉，也说明美国监管开始把辅助驾驶能力拆成可测试项目；但它不是FSD获批，更不是自动驾驶官方背书。
Canvas 两次被黑后“谈妥”了：学生数据不是赎金桌上的筹码
Instructure 称已和入侵 Canvas 的 ShinyHunters 达成协议，黑客承诺删除数据、不再勒索客户，但公司也承认没有完全确定性。比数据泄露更刺眼的是二次入侵和登录页篡改：教育 SaaS 的安全风险，已经从后台事故变成了校园秩序被公开劫持。
Dirty Frag 本地提权漏洞链公开：Linux 管理员该先堵模块加载，而不是等 CVE
Openwall oss-security 邮件列表披露 Dirty Frag Linux 本地提权漏洞链，报告者称其影响主流发行版，披露时没有 CVE，也没有发行版补丁。真正的风险不在“远程攻破所有 Linux”这种夸张说法，而在本地攻击者可能借无补丁窗口拿到 root 权限，管理员应优先做模块级临时缓解。
PCPJack接管TeamPCP旧受害系统：云入侵后的风险还没结束
SentinelOne报告称，未知团伙PCPJack正在入侵已被TeamPCP攻破的云系统，移除对方工具，并部署自传播代码窃取凭据。它不像白帽清理，更像另一批攻击者接管失陷资产，把凭据、初始访问权限和勒索机会重新变现。对企业云安全团队来说，重点不是围观黑产内斗，而是确认失陷环境是否真正重建、密钥是否彻底轮换。
Firefox 271 个 AI 找洞样本：LLM 漏洞扫描终于有了硬信号
Mozilla 称 Anthropic Mythos 在两个月内辅助发现 271 个 Firefox 安全漏洞，并且“几乎没有误报”。这比单纯说 Firefox 修了多少漏洞更关键：AI 安全工具的价值，不在报告写得像不像，而在能不能接入真实测试链路，把怀疑变成可复现证据。
Yarbo 割草机器人改口移除默认后门：带刀片的设备，钥匙不能默认在厂商手里
Yarbo 承诺改变机器人割草机的远程访问设计：默认不再安装远程后门，只有用户主动 opt-in 才启用临时诊断通道。这比单纯修漏洞更关键，因为问题的核心不是一次安全事故，而是联网硬件的默认控制权到底归谁。
Cloudflare复盘“Copy Fail”：一次Linux本地提权漏洞为何没有变成事故
Cloudflare披露了应对Linux内核本地提权漏洞“Copy Fail”（CVE-2026-31431）的全过程，称未影响其环境、服务和客户数据。真正有价值的不是“没出事”声明，而是它展示了云基础设施团队如何用检测、威胁狩猎和bpf-lsm临时限流，把一个需要重启修补的高危内核漏洞压到可控范围内。
404 Media 实测“昊天AI”：实时换脸开始变成诈骗工具服务
404 Media 称，其通过 Telegram 购买并测试了中文实时换脸软件“昊天AI”，该工具可用于 WhatsApp、Teams、Zoom、TikTok、Instagram、YouTube 等平台的视频场景。 关键变化不是换脸更像了，而是它被包装成有报价、有远程安装、有定制模型、有稳定币收款的服务。 对企业风控和普通用户来说，“开视频确认一下”正在失去原来的安全含义，高风险转账、面试、开户和亲友借钱都需要二次核验。
reCAPTCHA 升级 Fraud Defense：Google 要给 AI 代理划通行规则
Google Cloud 在 Next 2026 发布 Google Cloud Fraud Defense，reCAPTCHA 被升级为面向真人、传统机器人和 AI 代理的反欺诈信任平台。现有 reCAPTCHA 客户自动纳入，无需迁移、无需改集成，价格不变。真正的变化是：网站风控开始从“识别机器人”转向“判断谁有资格替人行动”。
Karakurt 案最刺眼的，是勒索软件背后的俄罗斯安全港
美国司法部称，拉脱维亚黑客 Deniss Zolotarjovs 因参与 Karakurt 勒索软件攻击被判刑逾 8 年。比判刑更关键的是，检方指控该团伙使用俄罗斯政府数据库和执法关系施压受害者，并通过行贿逃税、逃避兵役。这个案子指向的不是单个黑客，而是网络犯罪、安全港和腐败资源之间的利益共生。
Braintrust 要求所有客户轮换 API 密钥：AI 工具链的密钥托管风险暴露
Braintrust 确认一个 AWS 云账户遭未授权访问，账户内包含客户用于访问云端 AI 模型的 API 密钥，并要求所有客户轮换存放在平台上的 keys。现在不能说所有客户密钥都已泄露，也不能说客户系统已被入侵；但对使用 Braintrust 的 AI 工程团队来说，密钥轮换、日志核查和权限收缩已经是现实工作。