安全资讯 第45页
聚合当前分类下的最新内容，按时间顺序查看第 45 页精选文章。
无人艇救起阿帕奇飞行员，美军试的不是救援噱头
美军称，两名坠海的 AH-64“阿帕奇”机组已在阿曼近海获救，CENTCOM 只确认 Task Force 59 参与；“无人艇完成救援”和“美军首次”来自匿名美军官员对 CBS、ABC 的说法。坠机原因仍未确定，不能写成被伊朗击落，也不能把一次救援吹成无人艇已能替代有人搜救。真正值得看的是：无人系统正在被放进高风险、要承担后果的战场流程里。
Meta智能眼镜人脸识别代码被撤下：真正的问题是“未启用但已分发”
WIRED披露Meta AI应用内含未启用的人脸识别组件后，Meta在一天内从新版应用移除了NameTag相关大部分代码。Meta称这只是探索性项目，尚未作最终决定，但拒绝说明为何移除、是否会回归。我的判断是：重点不是它有没有上线，而是一套生物识别能力已进入5000万装机量的配套应用，却缺少清楚的数据流和同意机制说明。
FCC 拟收紧手机开户身份核验：美国匿名号码空间可能被压缩
美国 FCC 仍在征求意见，拟要求运营商在新用户和续约用户开通服务前，收集姓名、实体地址、政府签发身份证件号码和备用电话，评论截止日期为 6 月 25 日。它的官方理由是打击诈骗电话和短信滥用，但 ACLU、EFF、CDT 和 Cape 批评，这会形成事实上的全国手机身份登记。真正的争议不是要不要追踪骗子，而是能不能为了追踪少数违法者，让所有通信用户先交出更多身份信息。
俄罗斯预警卫星疑似短时干扰欧洲GPS：几秒钟，已经够说明问题
研究人员分析2019年1月至2026年4月的欧洲GNSS地面站数据，发现75天出现至少一次广域干扰，单次通常不到10秒，却能被欧洲多地同时探测。一次事件被阿姆斯特丹和特隆赫姆两站原始无线电信号锁定到俄罗斯EKS预警卫星Kosmos 2546，但这不等于所有事件都来自它。真正值得警惕的是，卫星级GPS干扰正在把电子战从局部战场推向大陆尺度的灰色威慑。
Meta指控NSO再碰WhatsApp禁令：Pegasus生意被逼到墙角
Meta称WhatsApp拦截了与NSO相关的新一轮鱼叉式钓鱼尝试，并要求法院认定NSO违反此前永久禁令。现在还不能说法院已认定NSO藐视法庭，也不能断言用户已被成功感染。真正要看的，是当Pegasus在2025年代表NSO全部销售额时，禁令、平台封堵和政府客户需求能不能压住这门生意继续越线。
苹果在 WWDC 2026 推家长控制：儿童安全功能背后，是年龄验证责任之争
苹果在 WWDC 2026 把儿童安全放到台前，更新儿童账户、屏幕时间、信息图片拦截和开发者 API。 这组功能能帮家长更细地管设备，但苹果的真正边界很清楚：家长做决定，开发者管应用体验，苹果不替整个互联网兜底。 争议焦点在年龄验证。Meta 等开发者希望应用商店承担入口验证，苹果反对，并用隐私风险和新工具回应监管压力。
Signal 反对英国设备扫描：保护儿童，不能先检查所有人
Signal 反对英国一项隐私提案威胁：对在英国销售或使用的设备进行涉裸内容识别，并叠加年龄验证。它认为，受影响者不只是儿童，而是所有英国居民的通信和隐私权。儿童保护是正当目标，但把扫描能力放进设备和通信入口，等于把私人通信改造成先验审查。
微软 73 个 GitHub 包被植入窃密蠕虫：AI 编程代理成触发入口
2026 年 6 月初，微软官方 GitHub 账号下 73 个开源包被 GitHub 自动系统拦截并禁用；研究人员判定这些包植入了 Miasma 凭据窃取蠕虫，微软称正在调查潜在恶意内容。麻烦点不只是恶意包，而是攻击者疑似借合法发布凭据、OIDC/SLSA 信任链和 AI 编程代理执行路径，把攻击伪装进正常开发流程。使用过相关包、并把 Claude Code、Gemini CLI、Cursor、VS Code 等工具接入项目的团队，应按凭据可能外泄处理。
阿里、百度、比亚迪被列入1260H名单：美国开始给中国硬科技重新定性
美国国防部更新1260H“中国军方支持实体”名单，阿里巴巴、百度、比亚迪、宇树科技等被列入，名单总数增至188家公司。1260H名单不等于立即制裁，但会抬高美国企业合作、投资、采购和供应链合规成本。更关键的变化是，美国正在把中国AI、电动车、机器人、传感器和电池产业放进同一套安全叙事里。
车牌识别要接入耳机和手表信号：ALPR 正在从跟车跨到跟人
Leonardo 计划把 SignalTrace 传感器接入自动车牌识别摄像头，采集 Bluetooth、RFID、Wi-Fi、车载系统等设备标识，并与车牌、时间、地点关联。它目前未被证实已大规模部署，但产品逻辑很清楚：让 ALPR 从车辆记录工具，变成可查询的人员行动入口。真正该盯住的不是摄像头多拍了什么，而是设备标识会被保存多久、谁能查、错了怎么纠正。
密歇根新法案想拦住中国联网车，连跨境一日游也不放过
密歇根州两名民主党议员提出 Protecting America from Chinese Cars Act，拟禁止中国及其他对手国家关联的联网汽车进入美国，临时入境和跨境一日游也在范围内。真正的新变化，不是美国又限制中国车销售，而是把联网汽车监管推进到边境通行。国家安全理由有现实基础，但这项法案也带着密歇根汽车产业保护的强烈底色。
Flock 告警把车指向 5 英里外，人却被关了近一个月
圣迭戈男子 Hugo Parra 因一次 Flock 车牌识别告警被捕，但告警时间戳显示，相关车辆案发时在约 5 英里外。警方当时没有车牌号可核验，仍依据车型、车窗、衣着和肤色等表面特征推进重罪逮捕。真正危险的不是摄像头可能出错，而是执法者能选择性相信机器证据，把低信息办案包装成高科技效率。
Meta 的 AI 客服没被黑，但 2 万个 Instagram 账号差点被流程送走
Meta 向缅因州提交的通知显示，一个与 AI 支持工具相关的密码重置漏洞，可能让最多 20,225 个未启用 2FA 的 Instagram 账号遭到未授权访问。漏洞不是 AI 模型被攻破，而是系统没有核验重置邮箱是否匹配原账号邮箱，导致重置链接可能被发到攻击者提供的邮箱。真正该盯的不是聊天机器人会不会答错，而是平台把账号恢复这种高风险流程自动化后，谁来守住身份校验这道门。
Cypherpunk Library：一个不卖、也尽量下不了架的加密老书架
Cypherpunk Library 做了一个个人整理的公共领域文本书架，核心姿态是“Nothing for sale, nothing to take down”。它不是商业书店，也不等于盗版库；它把公版文本自托管，把非公版资料指向 Anna’s Archive、LibGen 和 torrents。真正值得看的不是书单规模，而是它重新提醒了 cypherpunk 的老问题：隐私、现金、加密和知识分发，谁来控制。
第1000起泄露之后：为什么 HIBP 还在替企业先提醒用户
Troy Hunt 将第 1000 起数据泄露录入 Have I Been Pwned。更关键的问题不是数字本身，而是 Carnival、Zara 等案例里，数据已经公开扩散，用户却隔了数周才被正式通知。合规披露并不等于及时知情，企业更常先处理法律风险，而不是先帮用户降低被钓鱼、冒用和欺诈的风险。
2026年网络攻击盘点：最麻烦的不是丢数据，而是基础信任被打穿
TechCrunch盘点了2026年至今破坏性较强的一批网络安全事件，受影响对象包括美国社保数据疑云、欧洲水电设施、美国水务系统、FBI非机密网络、教育平台、开源工具链和身份文件库。核心变化是，攻击后果正在从“数据外泄”扩大到企业停摆、考试受阻、基础设施承压和身份认证失效。对企业管理层和开发团队来说，网络安全已经不只是合规成本，而是业务连续性和供应链选择问题。
百万美元 AI 枪支检测没报警：学校买到的是安全，还是免责凭证
纳什维尔 Antioch 高中枪击案幸存学生起诉 Omnilert，称学区花超 100 万美元部署的 AI 枪支检测系统未能识别枪手手枪。争议不只是识别准不准，而是厂商营销、部署条件和失败责任有没有讲清。对 AI 安防采购者来说，接下来该看的不是宣传页，而是失败边界、验收标准和责任条款。
100千瓦降到10瓦：WDGG传输线被盗割，暴露地方广播的脆弱点
肯塔基州 Ashland 牌照的 93.7 WDGG(FM)“The Dawg”主传输线被盗割，100,000W 主 FM 信号停播，目前只能靠备用发射机和辅助天线以约10W低功率播出。 这起事件的重点不只是盗铜，而是一个地方电台在传输线、备件、塔工、保险和站点防护上的真实压力。 对广播经营者和工程人员来说，最该复盘的是：关键馈线有没有替代路径，特殊线缆能不能快速采购，停播损失是否真能被保险覆盖。
OpenAI 推出 Lockdown Mode：降低提示注入风险，但不是安全万能键
OpenAI 正在向自助 ChatGPT Business 账户和符合条件的个人账户推出 Lockdown Mode，用关闭部分联网、网页检索和代理能力的方式，降低敏感数据外泄风险。它不是对提示注入的彻底修复，OpenAI 也明确说开启后仍可能受影响。对企业安全和合规团队来说，关键不是要不要追新功能，而是把敏感任务从高权限工作流里拆出来。
五角大楼把以色列反情报风险升至最高：美以裂缝先从决策安全感开始
NBC称，五角大楼下属DIA近期把以色列相关反情报风险上调至最高“critical”，消息源为两名现任美国官员和一名前官员。白宫和以色列均否认，五角大楼与ODNI未正面确认，报道也没有公开具体触发事件。关键不在盟友是否互相监听，而在美以围绕伊朗战争目标分叉后，情报同盟开始暴露利益边界。
GOG 邮件误用双写符文道歉：真正失控的是发送流程
GOG 在 6 月 5 日推广《The End of the Sun》的邮件中使用双写 Sowilō 符文，因外观联想到纳粹党卫军 SS 符号而道歉。 Sowilō 本身有“太阳”含义，也符合游戏的斯拉夫神话背景；争议焦点是双写、字体渲染和邮件语境。 更关键的是，GOG 称发送前已注意到德国地区风险，却仍向其他地区发送，这暴露的是跨地区内容审核和发布拦截失灵。