AI 硬件，别想绕过隐私
文章以车联网隐私研究、苹果手表Live Rewind功能和Meta眼镜的隐私调整为例，讨论AI硬件时代数据采集与用户授权的边界问题。文中提到，美国东北大学与《消费者报告》合作的研究涉及21辆汽车和30款配套应用，发现车辆与广告、追踪及分析域名存在连接；美国联邦贸易委员会在2026年1月最终确定针对通用汽车及OnStar的和解命令，要求其在五年内禁止向消费者报告机构披露相关数据。
#隐私保护
虎嗅推荐指数5454 Infosecurity Magazine精选推荐指数7373 NIK C2 恶意软件可盗用受害者 OpenAI API key 发起 AI 请求
Cisco Talos 于 10 月 29 日披露名为 NIK C2 的 AI 增强型 C2 框架，其 Go 语言 implant 内置 OpenAI 客户端，可在被入侵会话内直接将窃取数据发送给 OpenAI 分析。
推荐理由：原文揭示了恶意软件直接复用受害者 OpenAI API key 的新型手法，读者可据此理解 AI 基础设施被滥用后归因与计费层面的新风险。
Cyber Security News推荐指数4444 黑客声称入侵 Wagyu.xyz，研究者发现数千条 Monero 交易记录
黑客声称入侵加密货币跨链兑换平台 Wagyu.xyz，Hudson Rock 旗下 Infostealers 团队审阅疑似泄露数据集，发现 38,628 条订单记录与 10。
安全内参推荐指数4848 哥伦比亚大学因310万师生数据泄露赔偿1.07亿元
哥伦比亚大学就2025年6月遭政治动机网络攻击导致约310万师生职工及申请者数据泄露事件，同意支付1610万美元（约合人民币1.07亿元）和解集体诉讼。受影响人员可申请两年信用监控服务及约100美元赔偿金，或凭证明申请最高8500美元实际损失补偿。校方已与CrowdStrike合作恢复系统，加强网络分段管理并部署端点检测与响应（EDR）工具。
Infosecurity Magazine推荐指数2525 ICO 就家暴受害者住址泄露事件谴责 Staffordshire Police
英国信息专员办公室（ICO）于 10 月 28 日对 Staffordshire Police 发出谴责，因该警局在 2024 年 3 月向施暴者“P”送达 Domestic Violence Protection Notice（DVPN）时，错误地写入了受害者此前并不为施暴者所知的家庭住址。
TechCrunch推荐指数5555 Bluesky 屏蔽 DHS 员工泄露数据链接，政府通过 ZeroFox 发出下架通知
美国国土安全部（DHS）登录系统遭黑客入侵，超过 40,000 条员工与探员账号记录被获取，包含 CBP、ICE 等机构人员的姓名与工作联系方式。非营利组织 DDoSecrets 公开了该数据集，Bluesky 随后将指向 DDoSecrets 的链接标记为恶意并屏蔽访问，称其违反社区准则，但选择屏蔽链接而非删除帖子。
天融信推荐指数4545 天融信专家接受央视采访：被破坏的二维码可能被 AI 复原，遮盖应达 90% 以上
天融信科技集团助理总裁王媛媛接受央视采访指出，被遮挡的二维码可能被 AI 图片工具复原并正常扫码，前提是遮挡未覆盖中间的核心数据区；若核心数据被彻底覆盖，AI 无法修复。她建议对收款码、快递单等含个人隐私的二维码，尽可能将整张二维码 90% 以上的区域打上马赛克，以防 AI 通过还原或扩图能力恢复信息。
Cyber Security News推荐指数4141 黑客泄露 41,000 名 DHS 员工记录，暴露卧底 ICE 特工身份
DDoSecrets 以 "Icepick" 之名公布了覆盖 41,000 多名美国国土安全部（DHS）员工及承包商的记录，涉及姓名、电话、办公室、职位与主管，以及 55,000 多个权限组，其中约 10,000 条与 ICE 相关，部分权限组含 "CUC" 字样，被法庭记录关联至卧底行动。
Hacker News推荐指数3535 以色列广告技术公司 Discover-Tech 被指与疑似 Starlink 用户追踪活动有关
以色列广告技术公司 Discover-Tech 被指与一项针对 Starlink 用户的疑似监控活动有关，其在 100 多个国家竞标 Starlink 相关广告位报价最高，研究人员怀疑此举意在定位用户位置或为进一步监控提供便利，但现有发现并未证明有人实际被追踪。
Hacker News推荐指数6060 DHS记录大规模泄露，涉及41000名员工及卧底ICE探员
WIRED报道，一个自称Department of Peace的组织获取了美国国土安全部（DHS）及其下属机构的记录，透明组织Distributed Denial of Secrets（DDoSecrets）已将该档案以Icepick为名发布，涉及超过41000名员工或承包商，数据更新至2026年8月19日。
TechCrunch推荐指数6262 黑客泄露美国国土安全部逾 4 万名员工人事数据，含 CBP 与 ICE 特工信息
一名化名 Department of Peace 的黑客入侵美国国土安全部（DHS）的 Okta 单点登录系统，泄露了超过 40,000 名员工的姓名、职位、邮箱、手机号和办公地点等个人信息，其中约 21,000 条属于 CBP、10,000 条属于 ICE 及其 HSI 单位、近 1,000 条属于 CISA，约占 DHS 约 220,000 名员工的五分之一。
Infosecurity Magazine推荐指数3838 能源巨头 Engie 通知客户：第三方营销平台遭入侵致数据泄露
法国能源巨头 Engie 通知客户，其合作伙伴使用的第三方营销平台被威胁行为者入侵，可能泄露客户全名、邮箱、电话、PCE/PDL 能源供应唯一标识、客户 ID 与合同号等个人数据，Engie 确认自身 IT 系统未被攻破且不涉及银行数据。
Cyber Security News推荐指数3838 Sony 遭大规模数据泄露，258 万 So-net 与 Plala 用户数据外泄
Sony Network Communications 于 10 月 27 日确认其成员数据库遭未授权访问，泄露 2,585,481 条客户记录，涉及 So-net 与 plala（S Course）互联网服务，含姓名、电话、邮箱、用户 ID、出生日期等，另有 54,401 个邮箱账号凭据及 16 条银行账户记录外泄。
AICSO.AI汇总精选推荐指数7272 Cloudflare Workers AI缓存漏洞致GLM-5.3回答混入他人数据155次
Cloudflare公布Workers AI数据外泄调查结果，8月27日至9月9日期间GLM-5.3共有155次回答混入其他客户数据，9月9日完成修复，其他模型未受影响，也未发现蓄意利用的证据。
推荐理由：原文说明了KV缓存容量与输入上限不匹配导致跨客户数据泄漏的具体成因，读者可据此理解推理服务缓存配置的风险点。
Cyber Security News推荐指数4646 Discord 将让 Discoverable 公开服务器消息可被 Google 搜索到
Discord 宣布自 2026 年 11 月 16 日起，将 Discoverable Servers 的 Server Web Pages 与讨论摘要开放给 Google 等搜索引擎索引，单条消息则从 12 月中旬开始逐步上线。
cve.now推荐指数5555 CVE-2026-116691：MLflow CrewAI autologging 将 LLM 供应商 API 密钥明文写入 trace span
CVE-2026-116691 披露 MLflow 的 CrewAI autologging 集成存在凭据泄露漏洞：mlflow.crewai.autolog() 会将 LLM 供应商 API 密钥以明文形式记录进 trace 数据。
Hacker News推荐指数6060 Qubes OS 作者详解如何将数字生活划分为安全域
Qubes OS 作者撰文介绍自己如何在 Qubes OS 上用轻量级 AppVM 把数字生活划分为多个安全域，包括 work、personal、red 等基础域以及 qubes-dev、vault 等专用域，并为每个域设定不同的网络访问策略，如 work 域仅能访问工作邮件服务器、vault 域完全无网络。
Cyber Security News推荐指数6262 以色列广告技术公司 Discover-Tech 被指利用在线广告追踪 Starlink 用户
据 Reuters 10 月 27 日报道，以色列广告公司 Discover-Tech 被指利用在线广告追踪 SpaceX Starlink 卫星互联网用户。
Cyber Security News同新闻推荐指数7474 Xint 研究者利用 OpenAI API 会话压缩缺陷提取 GPT-5.6 隐藏推理轨迹
安全研究团队 Xint 发现 OpenAI API 存在缺陷，可通过会话压缩功能（compaction）读取 GPT-5.6 系列模型的隐藏推理轨迹，绕过了 OpenAI 于 2026 年 8 月引入的防护。
同一新闻，精选展示《Xint披露OpenAI API推理轨迹泄露漏洞，绕过8月修复》
FreeBuf推荐指数6767 研究人员获取2025款三星智能电视root权限，披露大规模用户追踪行为
网名为log4j的安全研究人员表示，他通过0Day漏洞获取了一台2025款三星智能电视的root shell，发现固件内置自动内容识别（ACR）、地理位置定位、网络映射、定向广告与用户画像构建等追踪功能，以及可跨设备关联活动的AID广告标识符。
安全内参推荐指数3333 AI时代视联网的技术路径与合规应用探索
中国移动研究院提出视联网在AI时代挖掘视觉数据的四条技术路径：依托"云边端一体化"架构实现亿级摄像头合规采集（全国1亿路云物联互联）、自研ULBC超低码率编解码（目标比特率低于3kbps）支撑窄带传输、通过隐私计算实现"数据可用不可见"的价值挖掘、以及大小模型协同的云边端智能调度。全链路遵循最小必要原则与知情同意机制，实现数据可追溯可管控。
安全内参推荐指数5858 反网络暴力法与大型个人信息处理者规定征求意见，聚焦“开盒”源头规制
国家互联网信息办公室于2026年7月29日就《中华人民共和国反网络暴力法（征求意见稿）》公开征求意见，拟将“开盒”列为网络暴力的一种类型；8月7日《大型个人信息处理者个人信息保护规定（征求意见稿）》公布，将规制对象从大型网络平台扩展为大型个人信息处理者。
安全内参推荐指数6565 从Meta PrivacyLib看智能体个人信息保护的运行机制
文章以Meta公开介绍的PrivacyLib为切入点，分析智能体场景下个人信息处理边界如何持续有效。PrivacyLib把隐私规则嵌入后端数据访问客户端库，配合AgentLib将工具调用与会话关联，结合Policy Zones和Agent Observability分别执行用途与流向限制、记录访问轨迹；在强制执行模式下，调用上下文或数据标注任一不满足即阻断写入。
Cyber Security News推荐指数3636 2026 年十大最佳机密计算平台排名与评分
2026 年机密计算平台排名中，Microsoft Azure 以 9.0 分位居第一，AWS（Nitro Enclaves）和 Google Cloud 分别以 8.7 分和 8.6 分位列第二、三名。
Cyber Security News推荐指数6262 研究员获 Samsung Smart TV root 权限，披露多项用户追踪功能
网名 log4j 的安全研究员称通过零日漏洞获取了一台 2025 款 Samsung Smart TV 的 root shell，并用代码截图记录了固件中的追踪功能，包括自动内容识别（ACR）、截图处理、地理位置、网络映射、定向广告服务、用户画像，以及可将电视行为与其他设备关联的广告标识符（AID）。
Cyber Security News推荐指数3838 Claude Code 据报在 Android 手机中发现 214,856 个已删除照片和视频文件
用户 Cooler (@coolerwave) 在 X 上称，将 Google Pixel 连接 MacBook 并让 Claude Code 搜索残留媒体后。
安全内参推荐指数6262 律师解读未成年人网络保护新规征求意见稿：分龄服务、AI认知风险与备案要求
2026年9月18日，国家互联网信息办公室发布《国务院关于保障未成年人健康安全使用网络的规定（征求意见稿）》，反馈截止2026年10月17日。
Cyber Security News推荐指数5555 BlackFog 披露 DarkCore RAT 复用 Gmail、WhatsApp 会话并借受害者 IP 隐藏流量
安全厂商 BlackFog 在威胁狩猎中发现新远程访问木马 DarkCore，其市场宣传（2026 年 8 月 11 日挂牌）称内置浏览器可注入被盗会话 cookie，并将浏览器流量经受感染设备的 IP 转发，使未授权访问看似来自可信连接；卖家还宣传 HVNC 隐藏桌面控制。
Hacker News推荐指数4444 Show HN：AI 模型上线后的版本管理、评估与回退实践
GeekyAnts 在三个已文档化的项目中展示了 AI 模型上线后的版本管理、可重复评估与回退实践，涵盖 Claude Code、Cursor、OpenAI Codex 等编码助手，以及 Google Gemini、Anthropic Claude、OpenRouter、Ollama 自托管等生产模型。
Hacker News精选推荐指数8888 SGLang 披露 PD 分离架构下跨请求 KV cache 泄漏漏洞
SGLang 与 Cloudflare 联合披露 SGLang PD（prefill/decode）分离架构中的跨请求 KV cache 泄漏问题：Cloudflare 在 Workers AI 上部署的 GLM-5.3 于 2026 年 8 月 27 日至 9 月 9 日期间受影响，超出 prefill KV cache 容量的请求可能返回其他用户会话内容。
推荐理由：原文完整拆解了跨请求 KV cache 泄漏的成因、复现方法与修复链路，读者可据此评估自身 PD 分离部署的暴露面。
AICSO.AI汇总推荐指数6868 爱达荷州总检察长加入多州联盟，要求在 Character.AI 母公司破产程序中保护居民数据
爱达荷州总检察长 Raúl Labrador 宣布，该州加入多州总检察长联盟，就 Character Technologies（Character.AI 母公司）的破产程序提交法庭文件，指出该公司在安全与隐私实践上存在严重问题，要求在任何业务或资产出售中保护儿童与消费者。
虎嗅推荐指数4141 当知识不再稀缺：大模型时代企业知识管理的四重风险
大模型时代企业知识管理面临四重新型风险：AI知识广而不深、AI幻觉、核心知识资产外泄，以及AI依赖导致的思考能力退化，知识管理核心矛盾从"获取与流动"转向"验证与可控"。
Cloudflare精选推荐指数8888 Cloudflare 披露 GLM-5.3 Workers AI 跨请求 KV 缓存泄漏事件及 SGLang 修复
Cloudflare 披露，2026 年 8 月 27 日至 9 月 9 日期间，Workers AI 上的 GLM-5.3 模型（@cf/zai-org/glm-5.3）存在跨请求 KV 缓存泄漏问题，共 155 条响应受影响，均为超过 681,280 tokens 的长 prompt，未发现蓄意利用证据。
推荐理由：完整披露了配置与引擎缺陷叠加导致跨租户 KV 缓存泄漏的根因、时间线与修复清单，可迁移性强。
Hacker News推荐指数5656 安全赏金猎人逆向 Samsung 电视 Tizen 系统发现大量用户数据采集
逆向工程师兼安全赏金猎人 log4j 在发现自己 Samsung 电视推送精准广告后，对电视的 Tizen 操作系统进行逆向分析，发现包括数据包日志遥测、音频分类、截图、用于广告追踪的跨设备识别等在内的用户数据采集代码，log4j 在 X 上表示其 2025 款 Samsung 电视广告精准度令人担忧，并称发现了隐私问题。
Hacker News推荐指数4545 密码管理器推荐：Bitwarden 与 1Password 的选择
密码管理器通过为每个网站生成独立随机密码（如 20 位字符串）来防御凭据填充（credential stuffing）攻击，用户只需记住主密码。
Hacker News推荐指数6262 Lightning.ai 披露 2026 年 10 月凭证泄露安全事件，平台暂停访问
Lightning.ai 通报 10 月 15 日 11:00 PM UTC 发现凭证未授权访问事件，10 月 16 日 1:00 AM UTC 起撤销所有用户对平台的访问。
CSO精读推荐指数3838 Meta 因非法共享用户数据被罚 250 亿美元
新墨西哥州法官 Francis Mathew 判处 Meta 因 2010 至 2021 年间违反数据隐私法（含向 Cambridge Analytica 传递数据）支付 250 亿美元罚款，认定其违反该州消费者保护法逾 4300 万次，并在未经同意的情况下向第三方应用开发者开放个人信息。
Cyber Security News推荐指数4444 SBI 通知受近期网络事件影响的客户
印度国家银行（SBI）通过邮件和 WhatsApp 逐一通知在近期网络事件中被识别出信息的客户，称客户账户余额和资金安全，正调查暗网上疑似泄露的个人信息。
AICSO.AI汇总精选推荐指数7272 新罕布什尔州总检察长 Formella 在 Character.AI 破产程序中寻求消费者保护
新罕布什尔州总检察长 John M. Formella 宣布，该州加入由 40 名总检察长组成的两党联盟，就 Character Technologies, Inc.（Character.AI 母公司）的破产程序提交法律意见，指出该公司在安全与隐私实践方面存在严重问题，并要求在任何业务或资产出售中保障儿童与消费者权益。
NVIDIA Blog推荐指数4444 NVIDIA 开放模型助力欧洲公共部门新一批项目落地
NVIDIA 与欧洲多国政府及合作伙伴合作，以 Nemotron 开放模型、NeMo User Sim 等开源工具推动欧洲公共部门 AI 项目落地，同时保留对数据与基础设施的控制权。