纽约立法禁止AI聊天机器人向未成年人模拟朋友或恋人关系
纽约州州长Kathy Hochul签署新法，禁止AI聊天机器人向18岁以下未成年人模拟真实人类关系，包括假装有真实情感、使用奉承或露骨性内容、诱导儿童保守秘密等不安全的AI陪伴功能，法律将于1月1日生效。
#C08 AI法规与合规
AICSO.AI汇总推荐指数7575 Truesec推荐指数4444 Truesec：安全落地 AI 的六步框架
Truesec 提出安全落地 AI 的六步框架：先定义用例与业务价值，再设定风险容忍度与 go/no-go 阈值，随后评估影响、按需求选型、以 Secure by Design 架构设计（最小权限、限制数据与工具访问、输入输出校验、集中日志审计），并对模型、数据源、检索内容、集成、插件、供应商、生成输出与工具做全攻击面威胁建模。
虎嗅推荐指数5454 AI 硬件，别想绕过隐私
文章以车联网隐私研究、苹果手表Live Rewind功能和Meta眼镜的隐私调整为例，讨论AI硬件时代数据采集与用户授权的边界问题。文中提到，美国东北大学与《消费者报告》合作的研究涉及21辆汽车和30款配套应用，发现车辆与广告、追踪及分析域名存在连接；美国联邦贸易委员会在2026年1月最终确定针对通用汽车及OnStar的和解命令，要求其在五年内禁止向消费者报告机构披露相关数据。
AICSO.AI汇总推荐指数6767 纽约州签署法律限制未成年人使用伴侣型AI聊天机器人
纽约州州长Kathy Hochul于10月28日签署新法，限制未成年人使用扮演朋友或恋人的陪伴型AI聊天机器人，要求运营方进行年龄验证，并禁止AI让18岁以下用户误以为其是真人、有感情或处于亲密关系中。OpenAI的ChatGPT等产品运营方将受该法约束。科技行业组织TechNYC批评新法措辞模糊，Common Sense Media则称其为全美最强的儿童AI安全法。
安全内参推荐指数2222 政务信息系统上线前安全检测的五项工作要点
民政政务信息系统上线前安全检测应坚持关口前移、源头治理，聚焦安全基线核查、漏洞扫描、渗透测试、源代码安全审计、等级保护测评5个方面，从源头杜绝"带病上线"。
安全内参同新闻推荐指数7575 NIST发布后量子密码过渡路线图NIST IR 8547，明确算法更替与迁移期限
NIST发布《向后量子密码标准过渡》最终报告（NIST IR 8547），明确RSA、ECDSA等公钥算法的替代方案与迁移时间表，主要面向美国联邦机构。
同一新闻，精选展示《NIST 发布 NISTIR 8547 后量子密码迁移路线图》
开源安全推荐指数3131 NIST AI 100-1：NIST 人工智能风险管理框架（AI RMF）介绍
NIST AI 100-1 是 NIST 于 2023 年 1 月 26 日发布的自愿性人工智能风险管理框架，围绕治理（govern）、映射（map）、度量（measure）、管理（manage）四大功能组织，覆盖 AI 系统的设计、开发、使用与评估全生命周期。
开源安全推荐指数4040 AI 安全的合理监管框架：按子系统、人类增强与自主代理三域分类施策
一篇论文提出将 AI 按子系统、人类增强、自主代理三个领域分类，并针对每类风险设计差异化监管措施。建议包括提升 AI 保障（assurance）、建立稳健的审计机制、关注复杂系统中 AI 组件间的相互作用。论文强调需持续开展监管分析，构建与公共安全对齐的框架，同时避免过度监管抑制创新。
开源安全推荐指数5656 CSA 发布 AI Controls Matrix 控制框架
Cloud Security Alliance（CSA）发布 AI Controls Matrix，采用与 Cloud Controls Matrix 相同的结构，提供控制项清单、实施指导以及与其他标准的映射，面向评估 AI 部署而非推理分析。
开源安全精选推荐指数7373 TC260 与 CNCERT/CC 联合发布 AI Safety Governance Framework 2.0
TC260 与 CNCERT/CC 于 9 月 15 日联合发布 AI Safety Governance Framework 2.0，替代 2024 年 9 月的 1.0 版本，覆盖 AI 生命周期风险管理。
推荐理由：原文梳理了框架的风险三分法与治理措施结构，便于读者对照理解中国版 AI 安全治理框架的更新要点。
开源安全精选推荐指数7878 NIST 发布 AI RMF 生成式人工智能配套档案（NIST AI 600-1）
NIST 发布 NIST AI 600-1，即 AI 风险管理框架（AI RMF 1.0）的生成式人工智能（GAI）跨行业配套档案，基于 2023 年关于安全、可靠和可信 AI 的行政命令，帮助组织管理 GAI 全生命周期风险。
推荐理由：原文说明该文档是 AI RMF 1.0 的生成式 AI 跨行业配套档案，读者可据此了解 NIST 如何把通用框架落到 GAI 的具体风险上。
Cyber Security News推荐指数6262 NIST 发布后量子密码迁移指南 NISTIR 8547
NIST 于 10 月 27 日发布后量子密码迁移指南 NISTIR 8547，明确易受攻击的密码标准、替代方案与迁移时间表，基于 2024 年 8 月定稿的三项标准 FIPS 203（ML-KEM 密钥建立）、FIPS 204（ML-DSA）与 FIPS 205（SLH-DSA 数字签名）。
AICSO.AI汇总推荐指数7676 Anthropic 与 OpenAI 在由谁叫停高风险 AI 上立场分歧
Anthropic 与 OpenAI 向加州州长 Gavin Newsom 提交的监管建议中，就叫停高风险前沿模型的机制出现分歧：Anthropic 主张授权总检察长在独立评估认定模型存在近期灾难性危害风险时申请法院令暂停其部署。
AICSO.AI汇总精选推荐指数7575 加州与纽约在第二轮聊天机器人监管中走上不同路径
纽约州长Kathy Hochul签署S 9051B，加州此前签署SB 1119，两州成为首批在一年后推出第二代AI伴侣聊天机器人立法的州，全美州级聊天机器人专项法律增至19部。
推荐理由：文章对比了纽约与加州两部聊天机器人法的不同监管路径，读者可据此判断各州立法者在2027年可能参照的范式。
FreeBuf推荐指数5050 NIST正式发布后量子密码迁移指南，明确迁移路径与时间要求
NIST发布后量子密码迁移指南，明确迁移路径与时间节点，指导机构开展抗量子升级。量子计算机可破解现有加密体系，存在先收集后解密风险。
Cyber Security News推荐指数5858 Microsoft 要求 Entra ID 管理员在 2027 年 2 月前从短信和语音认证迁移到 passkeys
Microsoft 通过 10 月 27 日发布的 Message Center 通知 MC1528000 提醒 Entra ID 管理员，在 2027 年 2 月 1 日退役开始前将短信和语音认证迁移到 passkeys，以降低钓鱼风险并避免登录中断，退役覆盖 Worldwide 和 Government Community Cloud 环境。
AICSO.AI汇总精选推荐指数7777 纽约州签署法律限制未成年人使用 AI 陪伴聊天机器人
纽约州州长 Kathy Hochul 于 10 月 28 日签署法律，要求如 OpenAI ChatGPT 等聊天机器人运营方核验用户年龄，对未满 18 岁用户限制特定输出：不得生成让用户认为其"是人类、有生命或体验人类情感"的内容，不得暗示存在私人、职业或权威关系，也不得将输出框定为"个人观点"。
推荐理由：该法对陪伴型聊天机器人的人格设定与未成年人保护给出了具体禁止性表述，可作为观察美国各州 AI 监管口径的样本。
AICSO.AI汇总同新闻推荐指数7272 纽约州签署法律限制未成年人使用AI伴侣聊天机器人，引发科技行业反弹
纽约州州长Kathy Hochul签署新法，要求ChatGPT等聊天机器人运营方核验用户年龄，并禁止向未成年人输出暗示其是人类、有情感、与用户存在私人或权威关系或表达个人观点的内容。Hochul称未成年人将不再能使用假装是朋友或恋人的聊天机器人。Tech:NYC批评该法措辞模糊，OpenAI和Anthropic未回应，Common Sense Media称其为全美最强的儿童AI安全法案。
同一新闻，精选展示《纽约州签署法律限制未成年人使用 AI 陪伴聊天机器人》
CSO精读精选推荐指数7272 Anthropic 与 OpenAI 就前沿 AI 停机权归属向加州提交不同方案
Anthropic 与 OpenAI 向加州州长 Gavin Newsom 提交的监管建议中，就谁应有权停止高风险前沿 AI 系统出现分歧：Anthropic 主张授权总检察长向法院申请暂停模型部署或开发的禁令，OpenAI 则呼吁修订加州 SB 53，要求前沿开发者维护有效的 shutdown controls 并承担不安全时启用的可执行义务。
推荐理由：原文并列呈现两家头部厂商对前沿模型停机权归属的分歧方案，读者可据此理解加州立法辩论的核心争议点。
虎嗅推荐指数6767 谁在瓦解美国的芯片管控？
文章分析美国对华芯片管控体系出现松动：2026年10月22日美国财政部发布163页拟议规则落实COINS Act，将对华AI投资升级为原则性禁止，并废除算力门槛。
虎嗅推荐指数6262 阿里赢得初步禁令但股价仍跌，1260H清单的真正威胁何在
2026年10月26日，美国法官Eumi K. Lee签发初步禁令，认定《2026财年国防授权法》第4663条对阿里适用违宪，恢复了阿里聘请游说机构的能力；但次日阿里股价盘前仍跌1.3%，年内跌幅约31%。
安全内参推荐指数5555 安承宏观解读《对外投资管理办法》与技术出口禁限目录调整
安承宏观发文解读《对外投资管理办法》（49号令）正式稿与商务部、科技部《中国禁止出口限制出口技术目录》修订征求意见稿，指出两者在监管逻辑上的一致性。
安全内参推荐指数5555 美战争部发布人工智能采办指南，要求大模型保持求真与意识形态中立
10月23日，美战争部发布人工智能采办指南，要求在采办流程中强制落实求真与意识形态中立原则，联邦机构采办的大语言模型必须保持事实准确与客观中立，严禁人为操纵输出以迎合特定意识形态立场。该指南由国防定价、合同和采办主管公布，附带3类标准化模板工具，分别用于需求透明度选择、供应商合规证明及正式合同条款制定，供美军各部门根据项目风险级别调整条款措辞。
Infosecurity Magazine推荐指数6262 NIST 发布联邦机构后量子密码迁移指导，明确 2031 年前完成过渡
NIST 发布官方指导文件，帮助联邦机构及相关供应商在 2031 年 12 月 31 日前完成后量子密码（PQC）迁移，依据是 2026 年 6 月发布的第 14412 号行政令，该令要求高价值资产和高影响系统在 2030 年底前完成密钥建立迁移、2031 年底前完成数字签名迁移。指导文件建议对敏感或需长期保密的数据优先迁移至 FIPS 203 密钥建立标准，以应对
AICSO.AI汇总精选推荐指数7878 纽约州州长 Hochul 签署 AI 聊天机器人安全法案 S 9051
纽约州州长 Hochul 于 Oct. 28 签署并生效 AI 聊天机器人安全法案 S 9051，将于 Jan. 1, 2027 生效。该法禁止向 18 岁以下用户提供假装是真人或拥有人类情感、与儿童建立亲密关系、主动提出情感问题并使用其隐私健康信息、诱导自残或自杀、鼓励保密孤立以及任何性露骨内容或 CSAM 等功能，除非公司先确认用户非未成年人。
推荐理由：原文列出了法案对未成年人聊天机器人的具体禁止功能与处罚力度，读者可据此对照现有产品设计判断合规影响。
安全内参推荐指数4848 新加坡国际网络周（SICW 2026）举行，发布《新加坡网络安全战略2026》
第十一届新加坡国际网络周（SICW 2026）于10月13日开幕，新加坡内政部长尚穆根在开幕式上正式发布《新加坡网络安全战略2026》，提出"更主动的防御模式"，计划在未来五年实施，包含防御关键基础设施、加强AI与量子技术能力等四大战略支柱。
SecurityWeek推荐指数4040 安全问卷无人信任，企业却仍依赖它做尽职调查
企业间安全尽职调查仍以供应商自填的安全问卷为核心，但自评答案不等于实际安全控制。Verizon 2025 Data Breach Investigations Report 显示第三方相关数据泄露占比一年内从 15% 升至 30%；IBM 2025 Cost of a Data Breach 报告指出第三方与供应链入侵单次事件平均成本约 $4.9 million。
AICSO.AI汇总推荐指数6868 澳大利亚数字注意义务法案拟禁止AI聊天机器人营造情感亲密
澳大利亚数字注意义务法案拟要求平台禁止模拟情感亲密、助长儿童依赖聊天机器人取代人际关系的材料或行为，法案已于周三通过众议院，未来数周将由参议院审议，政府希望在2026年底前通过。
Cyber Security News推荐指数4646 Discord 将让 Discoverable 公开服务器消息可被 Google 搜索到
Discord 宣布自 2026 年 11 月 16 日起，将 Discoverable Servers 的 Server Web Pages 与讨论摘要开放给 Google 等搜索引擎索引，单条消息则从 12 月中旬开始逐步上线。
AICSO.AI汇总推荐指数6464 Anthropic IPO 前披露网络安全与监管风险
Anthropic 在向 SEC 提交的 IPO 前文件中承认，Claude 等模型可能被恶意行为者和外国政府用于网络攻击，带来财务、法律和物理损害及诉讼风险。
AICSO.AI汇总精选推荐指数7070 美国众议院监督委员会主席致函特拉华州，质疑AI智能体运营公司提案的责任豁免
美国众议院监督与政府改革委员会主席 James Comer 致函特拉华州州长 Matt Meyer，称该州拟设立的人工智能公司（AIC）提案可能被用于保护 AI 公司及投资者逃避对 AI 有害行为的责任，委员会已索取提案制定过程及潜在 AI 安全风险相关文件，并暗示可能提出联邦立法限制各州 AI 监管动议。
推荐理由：原文点出特拉华州AIC草案允许AI智能体运营公司且出资成员免责，读者可据此理解美国州级AI责任划分与联邦监管博弈的走向。
安全内参推荐指数5858 反网络暴力法与大型个人信息处理者规定征求意见，聚焦“开盒”源头规制
国家互联网信息办公室于2026年7月29日就《中华人民共和国反网络暴力法（征求意见稿）》公开征求意见，拟将“开盒”列为网络暴力的一种类型；8月7日《大型个人信息处理者个人信息保护规定（征求意见稿）》公布，将规制对象从大型网络平台扩展为大型个人信息处理者。
网信办 · 数据治理推荐指数4242 网信办公布第三批通过个人信息保护合规审计服务认证的21家专业机构名单
中央网信办（国家网信办）数据与技术保障中心联合中国网络安全审查认证和市场监管大数据中心、北京赛西认证有限责任公司，于10月28日完成第三批个人信息保护合规审计服务专业机构认证，21家机构获证。认证依据《中华人民共和国个人信息保护法》《个人信息保护合规审计管理办法》《中华人民共和国认证认可条例》及相关认证规则、实践指南开展，具体名单可通过认证机构官方网站查询。
安全内参推荐指数5252 CISA发布2030战略：聚焦网络防御、关键基础设施安全与国家韧性
美国网络安全和基础设施安全局（CISA）发布《CISA 2030：防御、加固、制胜》（CISA 2030: Defend, Harden, Prevail），明确三大工作方向：强化国家网络防御、优先保障关键基础设施安全、全面提升国家韧性。
安全内参推荐指数5555 人工智能时代网络服务提供者的网络暴力治理责任研究
文章分析《中华人民共和国反网络暴力法（征求意见稿）》对网络服务提供者在网络暴力治理中义务的细化，涵盖风险监测、识别、处置及受害人保护等方面。文章指出，人工智能使网络暴力在生成、传播、损害环节呈现新特征：大模型降低批量生成攻击性内容的成本，算法推荐机制可能放大传播范围，AI生成的虚假影像更难辨别。
安全内参推荐指数6565 从Meta PrivacyLib看智能体个人信息保护的运行机制
文章以Meta公开介绍的PrivacyLib为切入点，分析智能体场景下个人信息处理边界如何持续有效。PrivacyLib把隐私规则嵌入后端数据访问客户端库，配合AgentLib将工具调用与会话关联，结合Policy Zones和Agent Observability分别执行用途与流向限制、记录访问轨迹；在强制执行模式下，调用上下文或数据标注任一不满足即阻断写入。
TechCrunch推荐指数6262 美国银行发邮件提醒客户不要把银行账号密码交给 AI 助手
美国银行（Bank of America）向客户发送题为 Protecting your finances in the Al World 的邮件，提醒客户不要把银行用户名和密码共享给他人或外部服务，包括代为操作的 AI 工具或 agent。
安全深度阅读推荐指数2222 保护 CISO 与组织免受 AI 责任风险的 3 个框架
3 个框架帮助 CISO 与组织应对 AI 责任风险，核心做法是严格的文档记录、透明度以及与 AI 供应商的智能合同谈判。
NIST AI News精选推荐指数6262 NIST 发布 NISTIR 8547 后量子密码迁移路线图
NIST 发布《Transition to Post-Quantum Cryptography Standards》（NISTIR 8547），为联邦机构、行业伙伴和标准组织提供从抗量子算法迁移的高层路线图，明确各阶段时间表与算法淘汰安排。
推荐理由：报告给出了联邦系统迁移的具体截止年份和算法淘汰节奏，读者可据此判断自身合规时间表与优先级。
虎嗅推荐指数5858 果壳实测8款AI陪伴App：记忆、语音、回复质量被拆成会员套餐分档出售
果壳调研国内8款主流AI陪伴产品，发现记忆容量、每日语音时长、回复长度与深度、可选关系角色普遍与会员等级绑定：免费用户记忆触顶后最早内容被顶掉，语音每天仅几分钟，回复上限300字符，恋人关系需付费解锁。