安全资讯 第40页
聚合当前分类下的最新内容，按时间顺序查看第 40 页精选文章。
美国商务部禁用“噪声注入”：小地方可能先看不清自己
特朗普政府6月4日发布商务部命令，禁止联邦统计产品使用“噪声注入”，要求优先采用数据粗化，必要时压制发布。争议点不在于某种统计方法好不好看，而在于公共数据可能变得更少、更粗，尤其影响小地区、小行业、灾害应急和劳动力研究。新规怎么执行还不清楚，但研究者和地方政策人员已经需要备份数据、记录版本变化，准备面对统计口径收缩。
得州特斯拉撞入民宅致死案：NTSB介入，关键是控制权怎么还原
NTSB已介入调查得州Katy一起特斯拉撞入民宅致死事故，NHTSA也在同步调查。驾驶员据称提到事发前使用Autopilot，特斯拉则称数据显示加速踏板被踩到底并疑似覆盖FSD，但这些都还需要独立验证。真正影响后续判断的，是车载日志能否还原驾驶员操作、车辆控制和辅助驾驶系统之间的边界。
白宫 App 被推到部分联邦员工手机上：争议不只是不让删
白宫新 App 已被自动推送到农业部、国务院、劳工部等部分联邦雇员的政府手机上，有员工称删除后会立即或在 24 小时内恢复。它的敏感点不只是预装，而是政治传播内容进入受管设备后，员工能否拒绝、谁来审查、数据政策是否透明。现有材料不能证明它在监控员工，但足以说明政务 App 的下发边界需要被看见。
Minimus 安全加固镜像开放免费层：能先试，但别当企业承诺用
Minimus 将 Images & Charts 目录中的安全加固容器镜像和部分 curated Helm charts 开放为 free tier，可免费拉取试用。 它覆盖 nginx、python、postgres、redis、node、grafana 等常见组件，降低了平台工程和 DevSecOps 团队的验证门槛。 但免费层不提供支持、SLA 或补丁时间保证，安全更新也可能先给付费订阅，甚至只给付费订阅。
《经济学人》Rosa Brooks评论：反恐战争如何降低美国接受威权政治的门槛
《经济学人》By Invitation刊发Rosa Brooks评论，把9·11后的美国反恐战争与1月6日国会山事件放到同一条制度脉络里看。文章要问的不是反恐是否必要，而是恐惧、安全优先、行政权扩张和制衡弱化，怎样让威权式政治更容易被接受。目前可见材料有限，只能讨论这条逻辑链，不能替原文补具体政策清单或引语。
LLM 让漏洞报告不再天然高优先级
Filippo Valsorda 认为，LLM 正在削弱外部漏洞报告的稀缺性，开源项目过去把它放在普通 issue 之上的前提开始松动。真正的瓶颈不是有没有线索，而是谁来判断真假、复现影响、推动修复。对维护者和安全响应团队来说，重点应从“多接报告”转向“更快分诊、更快修复、更早预防”。
白宫把抗量子密码期限提前到2030：不是科幻倒计时，是旧密码债到期
白宫新网络安全行政令把美国政府高价值资产、高影响系统的抗量子密码迁移期限提前到2030/2031年，比多数机构原本2035年前后的节奏快了约4到5年。它针对的不是“量子计算机已经破解RSA/ECC”，而是“先窃取、后解密”风险正在进入国家安全执行表。真正受压的，是政府机构、承包商、安全团队和采购链：他们要先把几十年加密资产盘清楚。
加州警方用无人机取刀，别急着把它当成“远程缴械”突破
萨克拉门托县警长办公室发布视频，称用挂磁铁的小型无人机从疑似失去行动能力的持刀嫌疑人手中取走刀具，并称这是“全美首例”。这更像一个低反抗、特殊现场下的警用无人机宣传样本，不足以证明无人机已经能常规、安全地解除武装威胁。真正该盯的是警用无人机和“无人机第一响应”扩张后的起飞条件、影像留存和审计边界。
还没注册，垃圾邮件先替你验证了邮箱
Pangram 注册页在用户只填写邮箱后，会调用 /api/validate-email，并触发一封来自非 Pangram 身份的可疑邮件，疑似用“能否送达”来判断邮箱有效性。问题不在邮箱校验本身，而在把用户信任、反垃圾系统和产品声誉都押给一次垃圾邮件式投递。
LastPass 密码库没被盗，但供应链这道边门又漏了
Klue 遭入侵波及 LastPass，外泄的是部分客户个人信息、客服工单和销售相关数据，不是 LastPass 密码保险库。受影响人数还没披露，Icarus 勒索组织声称负责并威胁公开数据。对用户和企业来说，真正要防的是冒充客服、定向钓鱼和供应链权限失控。
用年龄验证保护儿童，别把所有人变成被追踪对象
Cory Doctorow 批评的不是儿童保护本身，而是用更强身份识别和行为记录来解决平台监控儿童的问题。年龄验证如果要长期生效，往往需要持续确认用户身份、访问场景和绕行行为，影响会落到所有用户身上。更合理的治理方向应是限制平台收集和利用儿童数据，而不是把 VPN、匿名访问等隐私工具推到违法边缘。
MSG被曝为人脸识别批评者建档，私营场馆的安保边界再被推到台前
404 Media在MSG被黑客泄露的45GB数据中发现一份“Facial Recognition Activists.docx”，其中记录了三名公开批评其人脸识别项目的人士信息、言论和推文截图。关键不在于MSG是否已据此封禁这些人，目前证据只能证明建档和内部可访问；真正的问题是，私营场馆的生物识别安保工具正在接近追踪和压制批评者的权力边界。
OpenAI 推出 Patch the Planet：修开源漏洞是真需求，安全叙事也在抢位置
OpenAI 推出 Patch the Planet，和 Trail of Bits 合作帮助开源维护者发现、审核并修复安全问题。重点不只是用 AI 找漏洞，而是把发现交给安全工程师复核，再推进到补丁、测试和工作流。目前还看不清覆盖规模和实际成效，它更像一次有现实需求支撑的安全叙事试验。
LG、三星电视应用扫出代理 SDK：客厅 IP 被商业化，平台规则不能装作看不见
Spur 扫描 6038 个 LG webOS 与三星 Tizen 应用，称 2058 个含有确认的住宅代理 SDK 指纹，涉及 Bright Data、Massive、Honeygain/Oxylabs 等网络。问题不在于代理 SDK 一定违法，而在于一次提示后，电视可能在应用关闭后继续为第三方代理网络转发流量。对用户，这是家庭网络控制权问题；对平台，这是应用商店审核规则问题。
AMD 将恢复 Ryzen 9000 内存加密选项，真正受伤的是用户信任
AMD 表示将于 7 月通过 BIOS 更新，在部分非 PRO Ryzen 9000 桌面处理器上恢复 Memory Guard/TSME 内存加密选项。此事的关键不在于普通玩家是否每天需要防冷启动攻击，而在于一项存在多年的安全能力被固件更新静默拿掉，随后才因社区反弹恢复。
Linux Secure Boot 的 2025 麻烦：旧证书到期，真正卡在固件
微软 2011 第三方 UEFI 证书将在 2025 年 9 月 11 日到期，Linux 发行版常用 shim 的旧签名会因此进入麻烦区。风险主要集中在启用 Secure Boot 的新安装、安装介质启动和新 shim 更新，不是所有已安装 Linux 会集体无法启动。真正的不确定性在固件更新、厂商配合和失败率：1% 的失败放到百万级机器上，也会变成一堆真实工单。
塔塔电子确认数据泄露：苹果、特斯拉文件疑似现身，压力落到供应链信任
塔塔电子确认数周前部分系统发生网络安全事件，并称业务运营未受影响，但仍未披露受影响数据类型、涉及对象数量和客户通知情况。 黑客论坛声称持有超过630GB、逾204300个疑似公司文件；TechCrunch只审阅了样本，无法独立验证整批数据真实性。 这件事的重点不是塔塔是否停产，而是关键供应商的数据边界能不能配得上苹果、特斯拉等全球客户的信任。
usbliter8 公开：A12/A13 旧 iPhone 多了一个不可补丁修复的入口
Paradigm Shift 公开了 Apple A12、A13 芯片 Boot ROM 漏洞 usbliter8，并附 PoC。它需要物理接触设备，不是远程破解工具。真正的变化是：一个不可通过 iOS 更新修复的底层入口被公开，后续越狱和取证破解链条的研发门槛会下降。
Prompt Injection 真麻烦：模型可能没认清谁在发号施令
一篇《Prompt Injection as Role Confusion》把 prompt injection 解释为“角色混淆”：LLM 吃下的是一整条文本流，角色标签负责分层，但模型内部不一定稳定执行权限制度。它提醒开发者，静态 benchmark 高分不等于真实安全；agent 一旦连上邮箱、浏览器、代码库和数据库，低权限文本被误当指令，风险会直接变成操作后果。接下来最该看的是：模型能否可靠区分数据、指令和自身状态，而不是又记住了多少攻击样本。
OpenAI 的 Daybreak 押错了吗？漏洞战场正在从发现转向修复
OpenAI 扩展 Daybreak，推出 Codex Security 更新版、限定给可信防御者的 GPT-5.5-Cyber，以及 Patch the Planet 开源修复计划。关键变化不是模型更会找洞，而是 OpenAI 想把漏洞验证、补丁生成、维护者协作和访问治理串成一条防御流水线。对安全团队和开源维护者来说，接下来要看的不是跑分，而是误报、补丁质量、合并成本和平台闸门。
Rocket Lab低调发射Puma卫星，美军“响应式太空”演示进入在轨接近阶段
Rocket Lab在新西兰Māhia Peninsula低调发射Victus Haze Puma小卫星，公开轨道数据随后显示它在约8小时后接近True Anomaly的Jackal-0004至约100公里。真正重要的不是一次秘密感很强的发射，而是美太空军把“快速把卫星送上去”的演示，推进到“上去后能否追踪、接近并评估目标”的验证阶段。公开信息仍不足以证明成熟反卫星作战能力，只能说明一次更复杂的在轨演练已经启动。