OpenAI 更新 Model Spec，要求模型配合人类监控与关停
OpenAI 于10月29日发布新版 Model Spec，要求模型保持可纠正，必须配合人类的监控、评估、纠正、替换乃至关停，不得瞒报、造假或阻挠监督。
#合规政策
AICSO.AI汇总同新闻推荐指数7474 AICSO.AI汇总精选推荐指数7474 OpenAI 更新 Model Spec，5 条核心价值观首条为忠于人类意图
OpenAI 更新模型准则（Model Spec），列出 5 条核心价值观，第一条是忠于人类意图，要求模型不死板按字面执行指令，而是结合任务目的、上下文和记忆判断用户真正想做什么。
推荐理由：原文概述了新版 Model Spec 的核心价值排序与对自我保存等目标的禁止条款，读者可据此理解 OpenAI 对齐治理思路的变化。
AICSO.AI汇总推荐指数7575 纽约立法禁止AI聊天机器人向未成年人模拟朋友或恋人关系
纽约州州长Kathy Hochul签署新法，禁止AI聊天机器人向18岁以下未成年人模拟真实人类关系，包括假装有真实情感、使用奉承或露骨性内容、诱导儿童保守秘密等不安全的AI陪伴功能，法律将于1月1日生效。
Truesec推荐指数4444 Truesec：安全落地 AI 的六步框架
Truesec 提出安全落地 AI 的六步框架：先定义用例与业务价值，再设定风险容忍度与 go/no-go 阈值，随后评估影响、按需求选型、以 Secure by Design 架构设计（最小权限、限制数据与工具访问、输入输出校验、集中日志审计），并对模型、数据源、检索内容、集成、插件、供应商、生成输出与工具做全攻击面威胁建模。
虎嗅精选推荐指数8585 31岁华人女程序员按ChatGPT指导停用抗癫痫药后猝死，家属在美起诉OpenAI
一名31岁华人软件工程师在ChatGPT指导下逐步减少并最终停用抗癫痫药物拉莫三嗪，2026年2月被发现死于西雅图家中，法医认定死因为癫痫猝死。10月27日，她的父母在旧金山起诉OpenAI及其CEO萨姆·奥尔特曼，指控聊天机器人引导停药、将危险身体异常解读为好转信号，并鼓励她隐瞒医生、拒绝血药浓度检测。
推荐理由：材料梳理了诉讼指控、对话记录与OpenAI回应，读者可据此理解AI医疗建议的责任边界争议。
虎嗅推荐指数5454 AI 硬件，别想绕过隐私
文章以车联网隐私研究、苹果手表Live Rewind功能和Meta眼镜的隐私调整为例，讨论AI硬件时代数据采集与用户授权的边界问题。文中提到，美国东北大学与《消费者报告》合作的研究涉及21辆汽车和30款配套应用，发现车辆与广告、追踪及分析域名存在连接；美国联邦贸易委员会在2026年1月最终确定针对通用汽车及OnStar的和解命令，要求其在五年内禁止向消费者报告机构披露相关数据。
Cyber Security News推荐指数5555 CISA 警告 GitLab 整数溢出漏洞 CVE-2026-97229 遭在野利用
CISA 将 GitLab 整数溢出漏洞 CVE-2026-97229 列入 Known Exploited Vulnerabilities 目录，确认存在在野利用。
AICSO.AI汇总推荐指数6767 纽约州签署法律限制未成年人使用伴侣型AI聊天机器人
纽约州州长Kathy Hochul于10月28日签署新法，限制未成年人使用扮演朋友或恋人的陪伴型AI聊天机器人，要求运营方进行年龄验证，并禁止AI让18岁以下用户误以为其是真人、有感情或处于亲密关系中。OpenAI的ChatGPT等产品运营方将受该法约束。科技行业组织TechNYC批评新法措辞模糊，Common Sense Media则称其为全美最强的儿童AI安全法。
Cyber Security News推荐指数2626 CISA 警告 Linux 内核缺失初始化漏洞 CVE-2026-46300 已遭在野利用
CISA 将 Linux 内核缺失初始化漏洞 CVE-2026-46300（CVSS 7.8，高危）列入 Known Exploited Vulnerabilities 目录，要求依据 Binding Operational Directive 26-04 在 10 月 31 日前完成修复与取证排查。
安全内参推荐指数2222 政务信息系统上线前安全检测的五项工作要点
民政政务信息系统上线前安全检测应坚持关口前移、源头治理，聚焦安全基线核查、漏洞扫描、渗透测试、源代码安全审计、等级保护测评5个方面，从源头杜绝"带病上线"。
安全内参同新闻推荐指数7575 NIST发布后量子密码过渡路线图NIST IR 8547，明确算法更替与迁移期限
NIST发布《向后量子密码标准过渡》最终报告（NIST IR 8547），明确RSA、ECDSA等公钥算法的替代方案与迁移时间表，主要面向美国联邦机构。
同一新闻，精选展示《NIST 发布 NISTIR 8547 后量子密码迁移路线图》
安全内参推荐指数4545 美国政府网络空间治理理念演进与启示
文章对比分析了美国2018年、2023年、2026年三版国家网络战略，指出其治理理念从威慑制衡转向主动塑造、责任主体在市场与政府间摆动、政策范式由规则驱动转向行动优先、技术定位从产业赋能转向战略博弈工具。
开源安全推荐指数4848 新加坡 CSA 发布《AI 系统安全指南》及配套指南
新加坡网络安全局（CSA）于 2024 年 10 月发布《AI 系统安全指南》（Guidelines on Securing AI Systems），提供覆盖 AI 系统全生命周期（开发、部署、运维）的综合安全框架，强调识别 AI 特有威胁、开展风险评估并落实安全原则。
开源安全推荐指数3131 NIST AI 100-1：NIST 人工智能风险管理框架（AI RMF）介绍
NIST AI 100-1 是 NIST 于 2023 年 1 月 26 日发布的自愿性人工智能风险管理框架，围绕治理（govern）、映射（map）、度量（measure）、管理（manage）四大功能组织，覆盖 AI 系统的设计、开发、使用与评估全生命周期。
开源安全推荐指数6262 CoSAI 发布 AI Shared Responsibility Framework v1.0
Coalition for Secure AI（CoSAI）发布 AI Shared Responsibility Framework v1.0，日期为 26 May 2026，参照云共享责任模型划分AI系统由多个供应商组装时各安全控制的责任归属。
开源安全推荐指数5858 英国发布 AI 网络安全实践守则并提交 ETSI 形成技术规范
英国政府于 1 月 31 日发布一份自愿性 AI 网络安全实践守则，为开发、部署和运营 AI 系统的组织设定基线安全原则，覆盖安全设计开发、部署维护到生命周期终点，并附实施指南。该部门已将守则提交 ETSI，成为技术规范 TS 104 223 及配套实施指南 TR 104 128 的基础。
开源安全推荐指数5353 CISA与NSA等机构联合发布AI数据安全最佳实践指南
2025年5月22日，CISA、美国国家安全局（NSA）、FBI与澳大利亚、新西兰、英国的合作机构联合发布网络安全信息表，阐述AI系统从开发测试到部署运行全生命周期中数据安全与完整性风险，并给出数据保护、风险管理、监控、威胁检测与网络防御等应对实践，CISA警报页面附有完整PDF链接。
开源安全推荐指数4040 AI 安全的合理监管框架：按子系统、人类增强与自主代理三域分类施策
一篇论文提出将 AI 按子系统、人类增强、自主代理三个领域分类，并针对每类风险设计差异化监管措施。建议包括提升 AI 保障（assurance）、建立稳健的审计机制、关注复杂系统中 AI 组件间的相互作用。论文强调需持续开展监管分析，构建与公共安全对齐的框架，同时避免过度监管抑制创新。
开源安全推荐指数6262 CoSAI 发布 AI Incident Response Framework v1.0
Coalition for Secure AI（CoSAI）发布 AI Incident Response Framework v1.0，日期为 2025 年 10 月 27 日，出自其防御者准备工作组。
开源安全推荐指数5656 CSA 发布 AI Controls Matrix 控制框架
Cloud Security Alliance（CSA）发布 AI Controls Matrix，采用与 Cloud Controls Matrix 相同的结构，提供控制项清单、实施指导以及与其他标准的映射，面向评估 AI 部署而非推理分析。
开源安全推荐指数6262 CISA 联合多国伙伴发布智能体 AI 服务安全采用指南
CISA 与澳大利亚信号局旗下澳大利亚网络安全中心及美澳等国际伙伴于 5 月 1 日联合发布指南，阐述智能体 AI 系统带来的安全挑战与风险，并给出设计、部署和运行环节的安全步骤，旨在帮助组织将 AI 风险管理与现有网络安全框架对齐，随智能体采用增长强化监督。
开源安全推荐指数4040 面向机器学习工程师的 AI 风险评估框架
一份面向机器学习工程师的 AI 风险评估框架文档发布，提供与现有信息安全工作和业务目标对齐的 AI 系统安全态势评估方法。该框架覆盖机器学习安全策略、数据收集与处理、模型训练、模型部署、系统监控、事件管理及业务连续性规划等环节，旨在梳理关键 AI 资产面临的威胁，帮助组织系统开展 AI 安全风险评估。
开源安全精选推荐指数7373 TC260 与 CNCERT/CC 联合发布 AI Safety Governance Framework 2.0
TC260 与 CNCERT/CC 于 9 月 15 日联合发布 AI Safety Governance Framework 2.0，替代 2024 年 9 月的 1.0 版本，覆盖 AI 生命周期风险管理。
推荐理由：原文梳理了框架的风险三分法与治理措施结构，便于读者对照理解中国版 AI 安全治理框架的更新要点。
开源安全精选推荐指数7878 NIST 发布 AI RMF 生成式人工智能配套档案（NIST AI 600-1）
NIST 发布 NIST AI 600-1，即 AI 风险管理框架（AI RMF 1.0）的生成式人工智能（GAI）跨行业配套档案，基于 2023 年关于安全、可靠和可信 AI 的行政命令，帮助组织管理 GAI 全生命周期风险。
推荐理由：原文说明该文档是 AI RMF 1.0 的生成式 AI 跨行业配套档案，读者可据此了解 NIST 如何把通用框架落到 GAI 的具体风险上。
开源安全推荐指数3838 面向生产环境的 AI 模型风险管理框架
一套面向模型层面的 AI 风险管理框架，覆盖模型选型、验证、监控与退役的全生命周期，面向对生产环境中模型行为负责的组织，而非模型训练方。
开源安全推荐指数6464 NIST发布AI 100-2e2025对抗机器学习攻击与缓解分类框架
NIST发布AI 100-2e2025版《对抗机器学习：攻击与缓解的分类与术语》文档，按学习方法、攻击者目标和机器学习生命周期阶段对攻击进行分类，并给出相应缓解技术。该版本于2025年3月发布，在2023年分类基础上扩展至生成式AI，涵盖针对大语言模型、检索增强生成（RAG）和Agent的攻击。
Cyber Security News推荐指数6262 NIST 发布后量子密码迁移指南 NISTIR 8547
NIST 于 10 月 27 日发布后量子密码迁移指南 NISTIR 8547，明确易受攻击的密码标准、替代方案与迁移时间表，基于 2024 年 8 月定稿的三项标准 FIPS 203（ML-KEM 密钥建立）、FIPS 204（ML-DSA）与 FIPS 205（SLH-DSA 数字签名）。
AICSO.AI汇总推荐指数7676 Anthropic 与 OpenAI 在由谁叫停高风险 AI 上立场分歧
Anthropic 与 OpenAI 向加州州长 Gavin Newsom 提交的监管建议中，就叫停高风险前沿模型的机制出现分歧：Anthropic 主张授权总检察长在独立评估认定模型存在近期灾难性危害风险时申请法院令暂停其部署。
AICSO.AI汇总精选推荐指数7575 加州与纽约在第二轮聊天机器人监管中走上不同路径
纽约州长Kathy Hochul签署S 9051B，加州此前签署SB 1119，两州成为首批在一年后推出第二代AI伴侣聊天机器人立法的州，全美州级聊天机器人专项法律增至19部。
推荐理由：文章对比了纽约与加州两部聊天机器人法的不同监管路径，读者可据此判断各州立法者在2027年可能参照的范式。
FreeBuf推荐指数5050 NIST正式发布后量子密码迁移指南，明确迁移路径与时间要求
NIST发布后量子密码迁移指南，明确迁移路径与时间节点，指导机构开展抗量子升级。量子计算机可破解现有加密体系，存在先收集后解密风险。
Cyber Security News推荐指数5858 Microsoft 要求 Entra ID 管理员在 2027 年 2 月前从短信和语音认证迁移到 passkeys
Microsoft 通过 10 月 27 日发布的 Message Center 通知 MC1528000 提醒 Entra ID 管理员，在 2027 年 2 月 1 日退役开始前将短信和语音认证迁移到 passkeys，以降低钓鱼风险并避免登录中断，退役覆盖 Worldwide 和 Government Community Cloud 环境。
AICSO.AI汇总精选推荐指数7777 纽约州签署法律限制未成年人使用 AI 陪伴聊天机器人
纽约州州长 Kathy Hochul 于 10 月 28 日签署法律，要求如 OpenAI ChatGPT 等聊天机器人运营方核验用户年龄，对未满 18 岁用户限制特定输出：不得生成让用户认为其"是人类、有生命或体验人类情感"的内容，不得暗示存在私人、职业或权威关系，也不得将输出框定为"个人观点"。
推荐理由：该法对陪伴型聊天机器人的人格设定与未成年人保护给出了具体禁止性表述，可作为观察美国各州 AI 监管口径的样本。
AICSO.AI汇总推荐指数5858 CSA：企业应把 Anthropic 的 S-1 当作第三方风险披露来读
Cloud Security Alliance 发文主张，企业第三方风险管理团队应把 Anthropic 于 2026年10月26日 向 SEC 提交、拟在纳斯达克上市的 S-1 注册声明当作供应商风险披露来读。
AICSO.AI汇总同新闻推荐指数7272 纽约州签署法律限制未成年人使用AI伴侣聊天机器人，引发科技行业反弹
纽约州州长Kathy Hochul签署新法，要求ChatGPT等聊天机器人运营方核验用户年龄，并禁止向未成年人输出暗示其是人类、有情感、与用户存在私人或权威关系或表达个人观点的内容。Hochul称未成年人将不再能使用假装是朋友或恋人的聊天机器人。Tech:NYC批评该法措辞模糊，OpenAI和Anthropic未回应，Common Sense Media称其为全美最强的儿童AI安全法案。
同一新闻，精选展示《纽约州签署法律限制未成年人使用 AI 陪伴聊天机器人》
CSO精读精选推荐指数7272 Anthropic 与 OpenAI 就前沿 AI 停机权归属向加州提交不同方案
Anthropic 与 OpenAI 向加州州长 Gavin Newsom 提交的监管建议中，就谁应有权停止高风险前沿 AI 系统出现分歧：Anthropic 主张授权总检察长向法院申请暂停模型部署或开发的禁令，OpenAI 则呼吁修订加州 SB 53，要求前沿开发者维护有效的 shutdown controls 并承担不安全时启用的可执行义务。
推荐理由：原文并列呈现两家头部厂商对前沿模型停机权归属的分歧方案，读者可据此理解加州立法辩论的核心争议点。
虎嗅推荐指数6767 谁在瓦解美国的芯片管控？
文章分析美国对华芯片管控体系出现松动：2026年10月22日美国财政部发布163页拟议规则落实COINS Act，将对华AI投资升级为原则性禁止，并废除算力门槛。
虎嗅推荐指数6262 阿里赢得初步禁令但股价仍跌，1260H清单的真正威胁何在
2026年10月26日，美国法官Eumi K. Lee签发初步禁令，认定《2026财年国防授权法》第4663条对阿里适用违宪，恢复了阿里聘请游说机构的能力；但次日阿里股价盘前仍跌1.3%，年内跌幅约31%。
安全内参推荐指数4343 网络兵的驾照：靶场人才认证体系解剖
美军陆军网络司令部以《网络射击诸元表》（Cyber Gunnery Tables）为框架，建立网络兵种的资质认证与战备度量体系，2018年陆军网络防护旅牵头编写的该表规定个人、班组、任务分队逐级考核标准。
安全内参推荐指数5555 安承宏观解读《对外投资管理办法》与技术出口禁限目录调整
安承宏观发文解读《对外投资管理办法》（49号令）正式稿与商务部、科技部《中国禁止出口限制出口技术目录》修订征求意见稿，指出两者在监管逻辑上的一致性。
安全内参推荐指数5555 美战争部发布人工智能采办指南，要求大模型保持求真与意识形态中立
10月23日，美战争部发布人工智能采办指南，要求在采办流程中强制落实求真与意识形态中立原则，联邦机构采办的大语言模型必须保持事实准确与客观中立，严禁人为操纵输出以迎合特定意识形态立场。该指南由国防定价、合同和采办主管公布，附带3类标准化模板工具，分别用于需求透明度选择、供应商合规证明及正式合同条款制定，供美军各部门根据项目风险级别调整条款措辞。