公民实验室披露AdFection零点击间谍软件
公民实验室披露首例广告零点击间谍软件。AdFection无需交互即可感染设备，已覆盖12万网站及4.42亿次展示，波及Al Jazeera、NVIDIA等机构，Google已暂停涉事公司资格。
网络安全
漏洞、数据泄露、隐私与安全攻防
乌克兰袭击Yandex数据中心，恶意流量迁移至其他云
乌克兰袭击Yandex数据中心后，其流量仅维持正常水平的10%-15%。Cloudflare数据显示，恶意自动化活动迅速迁移至其他云服务商，俄罗斯博彩机器人流量反而微增1.4%，表明单一设施受损难以阻断服务运行。
PIA推万圣节促销：26个月套餐月费降至1.89美元
PIA推出万圣节促销，26个月套餐月费降至1.89美元。该价格低于Surfshark常规价，且支持无限设备连接及覆盖全球166个服务器位置，具备显著规模优势。
英国法援署黑客案泄露25万条记录最早追溯至1978年
英国法援署黑客案泄露25万条记录，最早可追溯至1978年。最新调查显示，被盗数据多早于2007年，暴露政府长期存储历史个人信息隐患。受影响范围还包括部分缓刑人员资料，官方称无受害者信息泄露。
Flock CEO为车牌识别技术辩护
Flock CEO在TechCrunch Disrupt为车牌识别技术辩护，称不应因隐私暂停进步。其关于音频检测仅记录枪声的说法，与官网描述存在出入，引发公众对大规模监视及执法滥用的持续争议。
美银斥资数亿美元聘千名承包商修AI漏洞
美银斥资数亿美元聘千名承包商修AI漏洞。因前沿模型暴露安全风险，该行紧急加固代码，导致三季度额外支出数亿。CEO称风险真实存在，目前仍有千人协作修补。
Eiliko机器人玩具被曝隐私漏洞，对话数据传至中国服务器
Eiliko机器人玩具被曝隐私漏洞。安全测试显示，其对话数据经Wi-Fi传至中国服务器，黑客可轻易劫持设置与内容。尽管设备口头承诺保护秘密，实际防护却严重缺失。
美军曝USB安全失误：恶意软件曾瘫痪阿富汗任务
美军飞行员误用带恶意软件的USB规划任务，致蠕虫病毒入侵中央司令部。五角大楼耗时14个月才清除威胁，并于2008年全面禁用USB驱动器，直至2010年才有限度解禁。
间谍软件借广告网络实施零点击攻击
公民实验室证实间谍软件借广告网络实施零点击攻击。以色列公司Discover-Tech协助Candiru等入侵Al Jazeera，致45台电脑中招。证据显示军方及国际机构设备亦暴露于此类恶意广告风险中。
ICO谴责伦敦警方违规使用Auror监控平台
英国ICO谴责伦敦警方违规使用Auror监控平台。调查显示，警方未做数据评估便让约500个账户接入，非法上传179人信息含3名儿童，暴露系统性监管缺失。
HiddenLayer研究：Jev决策模型仍受间接提示注入攻击
HiddenLayer发现Jev决策模型仍受间接提示注入攻击。尽管其宣称零幻觉，但因底层基于大语言模型，测试中易被恶意广告诱导执行非预期点击操作，无法完全规避传统安全风险。
NCSC总监：俄中朝伊利用AI发起无情网络攻击
NCSC总监称俄中朝伊正利用AI发起网络攻击。人工智能已渗透至侦察、漏洞开发等“网络杀戮链”各阶段，大幅提升攻击效率与规模。面对不断变化的威胁，防御方需持续调整策略，英国也在探索构建自有AI工具以应对挑战。
Microsoft Defender正式支持Linux桌面
微软Defender威胁检测应用推出Linux桌面公开预览版，覆盖Ubuntu、Fedora等主流发行版。该方案集成防病毒与EDR功能，需订阅Plan 2或M365 E5套餐，助力企业实现统一安全运营。
思科SEG曝高危零日漏洞，CVSS评分9.8已被利用
思科SEG曝CVSS 9.8高危零日漏洞，已被积极利用。攻击者可通过恶意邮件获取root权限并写入文件。CISA已将其列入已知被利用目录，要求联邦机构本周六前完成修补，用户需立即升级至修复版本。
法国700家超市制冷系统遭黑客攻击致火灾风险
法国700家超市制冷系统遭黑客攻击，引发火灾风险。攻击者利用控制器密码算法漏洞，远程将设备温度升至50摄氏度，导致大量食品变质及电气起火，造成数百万美元损失。
AI六天攻陷Chrome沙箱，谷歌支付25万美元赏金
安全初创公司Xbow利用AI模型，仅用六天便攻陷Chrome沙箱。该攻击链波及全球约十亿用户，谷歌修复漏洞后支付25万美元赏金，创下同类全链攻击最高奖励纪录。
Ivanti修复ICS零日漏洞，CVSS评分8.6
Ivanti修复ICS认证绕过零日漏洞，CVSS评分8.6。该漏洞允许远程未授权执行命令，已有野外攻击记录。受影响版本需立即更新，并建议运行完整性检查工具排查入侵迹象。
OpenAI高管会议室遭窃听 FBI逮捕沙特籍前工程师
OpenAI高管会议室遭窃听，FBI逮捕沙特籍前工程师。嫌疑人将USB录音设备藏于纸张中潜入受限区域，两天后被发现。聊天日志与监控录像锁定其监视行为，案件细节由联邦调查局正式披露。
Passkeys并非陷阱：误解技术原理，建议继续使用
Hacker News热议Passkeys安全隐患，技术事实表明该观点存在误解。同步密钥不向网站提供设备证明，WebAuthn认证范围有限。相比易被钓鱼攻击的TOTP，域名绑定的Passkeys能更有效抵御仿冒网站风险。
LiteLLM曝两高危漏洞，可窃取AI密钥并接管系统
LiteLLM曝出两个高危漏洞，可窃取AI密钥并接管系统。攻击者能利用权限缺陷获取管理控制权，或通过SSRF盗取API凭证。该网关月下载量超9000万次，建议立即升级至1.83.9+版本并轮换密钥。