RSS Schneier关于安全 笔记

RSS Schneier关于安全

www.schneier.com 网站隶属于布鲁斯·施奈尔(Bruce Schneier),一位著名的美国密码学家、计算机安全专业人士和作家。 该网站是一个收集了他关于安全、技术和社会的著作、文章和其他出版物的集合。它包括一个博客部分,其中施奈尔定期发布关于当前事件和与网络安全和信息安全相关的主题的更新和评论。 网站的一些主要特点包括: - 一个包含数百篇文章和帖子的综合博客,从2004年开始涵盖了与安全、技术和政策相关的广泛主题。 - 一个专门用于施奈尔出版作品的部分,包括他的书籍、学术论文和散文。其中一些著名的书籍包括《应用密码学》、《秘密和谎言》和《点击这里杀死每个人》。 - 一个专门用于他的公共演讲、顾问和咨询活动的页面,为各种组织和政府提供服务。 网站还特征了一些关于施奈尔和他的工作的外部文章和著作的链接。 网站的设计简单而简洁,使其易于导航和阅读。总之,www.schneier.com 是任何对网络安全、密码学和相关主题感兴趣的人的宝贵资源,可以从该领域最受尊敬的专家那里学习更多知识。

笔记线程

美国政府使用人工智能

4 月 14 日,特朗普政府悄然承认人工智能被广泛用于自动化政府流程。管理与预算办公室(OMB)披露,联邦政府范围内有 3,611 个活跃或计划中的人工智能应用场景。该清单较拜登政府最后一年发布的清单激增 70%,其中包含诸多令人不安的将敏感政府职能交由人工智能执行的计划。 浏览这份清单,许多读者可能会发现诸多令人担忧之处。它代表在个人自由、公共卫生与福祉、核反应堆安全等诸多事项上,决策流程正从人类大规模转向机器……

美国联邦通信委员会(FCC)希望取缔一次性手机

一项拟议的联邦通信委员会(FCC)规则威胁到“一次性手机”的存在,这类手机未与特定个人关联。FCC 计划强制电信公司保留几乎所有电话用户的广泛个人数据,这些数据将包括政府颁发的身份证件号码和实际住址。隐私倡导者和民权活动人士表示担忧,并将其与威权体制相提并论。这一政策转变将显著改变美国人获取电话套餐的方式,并预计对隐私和网络安全产生重大影响。FCC 部分将此次数据收集正当化为打击诈骗的措施。电信公司还将被要求收集商业客户和外国客户的信息,例如其电话套餐的预定用途。然而,这些变更将影响所有新客户和续订客户。FCC 表示,所收集的数据可能协助执法部门开展各类其他调查,从而引发进一步的隐私担忧。

即将举办的演讲活动

这是我目前计划演讲的地点和时间列表: 我将于 2026 年 6 月 24 日在德国柏林的 Cybernation 2026 大会上发表主旨演讲。 我将于 2026 年 6 月 24 日至 25 日在德国波茨坦的哈索·普拉特纳研究所参加“国家网络安全波茨坦会议”,我的演讲安排在 6 月 24 日晚。 我将于 2026 年 6 月 25 日(星期四)在奥地利维也纳的奥地利国际事务研究所参与一场圆桌讨论。 我将于 2026 年 6 月 26 日(星期五)在奥地利维也纳的数字人文主义大会上进行演讲……

伯尼·桑德斯的 AI 主权财富基金计划

“不要让任何人指责伯尼·桑德斯回避重大问题。上周,这位参议员在《纽约时报》上写道:‘人类的未来是否将由一小撮亿万富翁决定?这些人推动并开发了人工智能,却几乎没有民主参与,并且有望比今天更加富有和强大?’ 我们完全同意,这是当今全球民主所面临的最紧迫的问题之一。我们的著作《重塑民主》调查了人工智能在全球民主中新兴的应用及其影响,并得出了相同的结论:人工智能带来的最紧迫风险是……"

增强型车牌追踪

监控公司莱昂纳多(Leonardo)希望获取更多数据: 一家监控公司计划为自动车牌识别系统(ALPR)加装传感器,这意味着这些设备不仅会捕捉过往车辆的车牌,还会收集车内移动设备、可穿戴设备及其他支持蓝牙设备的唯一标识符,从而可能使执法部门能够识别特定驾驶员或乘客。 该技术名为 SignalTrace,将使 ALPR 摄像头从专注于追踪车辆的设备,转变为能够更便捷地追踪特定人员位置的设备。ALPR 摄像头已在美国各地广泛部署;SignalTrace 将使部分此类摄像头具备收集更多数据的能力……

“作为密钥分发平台的 GPS"

这很有趣: 据史蒂文·默多克(Steven Murdoch)称,美国军方可能已近 20 年通过公开 GPS 信号,静默广播其全球加密网络的代码,将每颗卫星都变成了一个隐蔽的“数字电台”…… 这意味着,所有使用 GPS 的设备多年来一直在接收隐蔽的政府信息,而军方以外的无人知晓此事。 …… 默多克发现,这一特定的信标(sentinel)于 2011 年 5 月 26 日在数小时的时间窗口内,由全部 31 颗在轨运行卫星共同发射,可能预示着新作战系统的启动。他通过交叉比对解密文件(包括一份关于该行动日期的 2015 年演示文稿)确认,该时间线与军方“空中分发”(Over-the-Air Distribution, OTAD)和“空中重密钥”(Over-the-Air Rekeying, OTAR)的部署相吻合。

发现并修复关键Zcash漏洞

“如果您是此加密货币的用户——所有者——则此事至关重要: 5 月 29 日,安全研究人员 Taylor Hornby 利用 Claude Opus 4.8 在 Zcash Orchard 隐私池中发现了一个关键漏洞。Zcash 团队专门聘请 Hornby 来查找此类问题。他很快便发现了一个足以令人尴尬的漏洞。 Orchard 池是加密货币 Zcash 中最新且最先进的屏蔽交易系统。该系统于 2022 年推出,允许用户在保持交易详情私密的前提下发送和接收 ZEC。它使用零知识证明来验证交易,同时不泄露金额或参与者信息。该漏洞在于:本应验证交易输入的特定检查实际上并未执行其看似执行的规则。攻击者可能利用此缺陷向该检查注入虚假输入,从而凭空生成 ZEC,而零知识证明系统却将该欺诈性交易视为有效……"

Anthropic的Project Glasswing更新

4 月,Anthropic 启动了 Project Glasswing。其理念是允许企业利用其新模型来发现并修复自身软件中的漏洞。这是一次出色的公关举措,众多媒体不加批判地复述了 Anthropic 的声明,以至于如今“神话(Mythos)模型在发现软件漏洞方面优于其他模型”已成为普遍共识。但这并不属实。 无论如何,Anthropic 已发布了一份 Project Glasswing 状态报告。该报告发现软件中存在大量漏洞——太好了!其中一些甚至具有危险性。但几乎没有任何一个漏洞得到修复。这……

AI蠕虫

研究人员已原型化了一款由人工智能驱动的互联网蠕虫。 该原型最酷之处在于,它携带了自己的大型语言模型(LLM),并在被攻陷的计算机上运行该模型。 这是我见过的最接近约翰·布伦纳(John Brunner)1975 年对计算机蠕虫原始构想的作品。

黑客攻击 Meta 的 AI 聊天机器人

黑客正在诱导 Meta 的 AI 支持聊天机器人,使其允许他们接管他人的账户: 在 X 上发布的一段视频展示了逐步入侵他人 Instagram 账户的过程。据称,黑客使用虚拟专用网络(VPN)伪造目标账户的预设位置,以规避 Instagram 的自动化账户保护机制。随后,黑客与 Meta AI 支持助手开启对话,请求该机器人向目标账户添加一个新的电子邮件地址。聊天机器人向黑客提供的电子邮件地址发送了验证码;黑客随后将该验证码反馈给聊天机器人,机器人随即显示“重置密码”按钮。黑客输入新密码,从而接管了受害者的账户……

加密与人工智能的交汇

作为其成立 20 周年的庆祝活动的一部分,Dark Reading 邀请了五位多年来曾为其撰写博客或专栏的网络安全行业领袖,请他们选出各自最喜爱的文章,并分享对这一主题当下的思考。这是我的部分。 著名技术专家兼作家布鲁斯·施奈尔(Bruce Schneier)于 2010 年 6 月 20 日发表了一篇专栏文章,警告密码学无法保障现代网络的安全,他表示自己自 2000 年以来一直试图论证这一点。 “长期以来,我一直指出,密码学单独来看极不适合解决当今主要的网络安全问题:拒绝服务攻击、网站篡改、信用卡信息被盗、身份盗窃、病毒和蠕虫、DNS 攻击、网络渗透,等等……"

微软威胁安全研究人员

一位名为“Nightmare Eclipse”的匿名安全研究人员发布了一系列针对 Microsoft Windows 的重大安全漏洞利用,其中包括一个可绕过 BitLocker 的漏洞。Microsoft 已威胁对该研究人员采取法律行动。双方正互相指责。

人工智能时代的漏洞披露

前沿人工智能模型如今能够以前所未有的速度和规模自主发现软件漏洞。这一能力暴露了软件行业因优先追求快速部署而忽视安全设计所累积的显著技术债务。当前局势标志着政府、产业及关键基础设施的战略拐点。网络空间中进攻与防御能力之间的紧张局势日益加剧。美国和中国均在开发基于人工智能的漏洞发现工具。不受支持的遗留系统与人工智能辅助代码生成正引入日益增长的风险。负责任的披露必须从被动响应过程演变为协调一致的国家与国际韧性努力。此项协调行动需涵盖政府、软件供应商、基础设施运营商及应急响应组织。文章呼吁加速修复并开展大规模补丁管理协调。持续投资于自动化漏洞修复至关重要,以防止对手利用这一机会。

周五鱿鱼博客:又一只乌贼

一位名叫"Squid"的人似乎是一位“西英格兰传奇人物”。 一如既往,你也可以利用这篇关于鱿鱼的帖子,来讨论我尚未报道的新闻中的安全事件。 博客内容审核政策。

寒蝉效应

年轻一代美国人对唐纳德·特朗普的第二个总统任期感到失望,但他们并未对此举行抗议。 尽管伊朗战争不受欢迎,特朗普政府的声望更是跌至谷底,全美高校校园内的抗议活动却已销声匿迹。在许多学校,学生 activism 几乎荡然无存。 这种沉默出现在特朗普政府针对校园言论发动的无休止攻势之后,该攻势涉及诉讼、逮捕、驱逐和开除。 报道援引了多种复杂因素来解释这种克制,从冷漠到技术导致的行动能力丧失不一而足。但随着……

识别使用 Wi-Fi 路由器的人

并非基于人们对 Wi-Fi 路由器的使用来识别个体,而是通过 Wi-Fi 信号来识别人。 这被称为 Wi-Fi 感知,即利用 Wi-Fi 信号推断物理环境信息。当如 Wi-Fi 之类的无线信号在空间中传播时,会与周围的物体和人发生相互作用。这些信号可能会被反射、散射或被吸收。通过分析信号预期行为与实际接收情况之间的差异,研究人员可以推断出周围环境的详细信息……

CISA 安全泄露”

疯狂的故事: 直到本周末,美国网络安全与基础设施安全局(CISA)的一名承包商仍维护着一个公开的 GitHub 仓库,该仓库泄露了多个高权限 AWS GovCloud 账户的凭据以及大量 CISA 内部系统的信息。安全专家指出,该公开档案包含描述 CISA 如何构建、测试和部署内部软件的文件,这构成了近年来最严重的政府数据泄露事件之一。 新闻文章。

《论人工智能安全》

该报告探讨了衡量和确保人工智能(AI)系统安全性的挑战。传统的安全基准在评估 AI 能力方面存在不足,尤其是针对安全性等复杂方面。报告的核心问题在于如何有效衡量 AI 领域的安全性。报告将 AI 的发展与过去三十年来软件工程安全的演进进行了类比:软件安全已从渗透测试发展到以流程为导向的标准,如 BSIMM。鉴于 AI 可能对业务产生更深层次的影响,必须采取强有力的安全措施。报告提出,类似软件工程安全的方法可能适用于 AI。AI 安全领域的实质性进展在于通过识别并应用良好的保证流程来管理风险。报告强调,目前并不存在单一的"AI 安全计量器”;因此,保持警惕至关重要。重点转向提升对 AI 相关安全问题的理解与分类。最终目标是,尽管缺乏简单的测量工具,仍需增强 AI 的安全性。

劳瑞·安德森在引用我

“并非以姓名提及,劳丽·安德森(Laurie Anderson)在其新专辑的某首曲目中引用了我的话: 我最喜欢的引文来自一位密码学家,他说:‘如果你认为技术能解决你的问题,那你既不懂技术,也不懂你的问题。’ 此外在采访中: ‘当然,这广告荒谬至极、耸人听闻, blah, blah, blah,’安德森谈及该广告时说道。‘但就我而言,关于此事我最喜欢的引文同样出自那位密码学家:‘如果你认为技术能解决你的问题,那你既不懂技术,也不懂你的问题。’我认为我完全认同这一观点。’……"

针对 Windows BitLocker 的零日漏洞利用

“这很恶劣,但需要物理接触计算机: 该漏洞名为 YellowKey,由一位使用别名 Nightmare-Eclipse 的研究者于本周早些时候发布。该漏洞可可靠地绕过 Windows 11 的默认 BitLocker 部署。BitLocker 是微软提供的全盘加密保护,旨在使磁盘内容对未持有解密密钥的任何人员不可访问,而该解密密钥存储在一块名为可信平台模块(TPM)的安全硬件中。BitLocker 是许多组织的强制保护措施,包括与政府签订合同的组织……"

即将举办的演讲活动

这是我目前计划演讲的地点和时间列表: 我将于 2026 年 5 月 21 日(美国东部时间下午 6:00)在纽约金融女性协会(Financial Women's Association of New York)主办的“人工智能时代的信任安全”(The Security of Trust in the Age of AI)虚拟演讲中发表演讲。 我将在德国波茨坦的哈索·普拉特纳研究所(Hasso Plattner Institut)举行的“国家网络安全波茨坦会议”(Potsdam Conference on National Cybersecurity)上发表演讲。该活动时间为 2026 年 6 月 24 日至 25 日,我的演讲安排在 6 月 24 日晚。 我将于 2026 年 6 月 26 日(星期二)在奥地利维也纳举行的“数字人文主义会议”(Digital Humanism Conference)上发表演讲。 我将在……

人类学的 "神话 "人工智能有多危险?

上个月,Anthropic 就其新模型 Claude Mythos Preview 发布了一项引人注目的声明:该模型在发现软件安全漏洞方面表现卓越,以至于公司决定不向公众发布。相反,它仅向一组精选企业开放,供其扫描并修复自身软件。 这一声明需要结合背景来理解,但它揭示了一个基本事实。 虽然 Anthropic 的模型在发现软件漏洞方面确实出色,但其他模型同样具备这一能力。英国人工智能安全研究所(AI Security Institute)发现,OpenAI 的 GPT-5.5 已普遍可用,其能力与之相当。Aisle 公司……

OpenAI 的 GPT-5.5 在发现安全漏洞方面与 Mythos 一样出色”

英国人工智能安全研究所评估了 GPT-5.5 发现安全漏洞的能力,发现其表现与 Claude Mythos 相当。需要注意的是,OpenAI 的该模型已普遍可用。 以下是研究所对 Mythos 的评估。 以下是对一个更小、更便宜模型的评估。该模型需要提示者提供更多的脚手架支持,但其效果同样出色。

Copy.Fail Linux 漏洞

这是近年来最严重的 Linux 漏洞。 TL;DR copy.fail 是一个 Linux 内核本地提权漏洞,并非浏览器或剪贴板攻击。该漏洞由 Theori 于 2026 年 4 月 29 日披露,并提供了可运行的概念验证(PoC)。 该漏洞利用内核加密 API(AF_ALG 套接字)结合 splice(),以每次四个字节的方式,直接向攻击者不拥有的文件的页缓存写入数据。 该漏洞在 Ubuntu、RHEL、Debian、SUSE、Amazon Linux、Fedora 及其他大多数发行版上无需修改即可利用。不存在竞态条件,也无特定发行版的偏移量差异。 磁盘上的文件从未被修改。AIDE、Tripwire 以及基于校验和的监控均无法检测到任何变化。 ...

Polymarket的内幕投注

内幕交易在 Polymarket 上屡见不鲜: 反腐败数据集体(Anti-Corruption Data Collective)——一个非营利研究与倡导组织——的分析发现,在该平台上针对军事与国防行动市场的“冷门投注”(定义为赔率 35% 或更低且金额 2,500 美元或以上的赌注)的平均胜率约为 52%。 相比之下,所有聚焦政治的市场整体胜率为 25%,而整个平台所有市场的整体胜率仅为 14%。 这完全是荒谬的,因为这是合法的。我们已经知道内幕投注如何扭曲体育赛事。而内幕投注对政治及军事行动的扭曲程度,更是高出数个数量级……

针对 NVIDIA 芯片的行锤攻击

一种新的行锤攻击可实现对 NVIDIA CPU 的完全控制。 周四,两个独立工作的研究团队展示了对 NVIDIA Ampere 架构两款显卡的攻击,将 GPU 行锤攻击带入了全新——且可能后果更为严重——的领域:通过 GDDR 位翻转使攻击者获得对 CPU 内存的完全控制,从而导致宿主机系统被完全接管。要使该攻击生效,必须禁用 IOMMU 内存管理,而这正是 BIOS 设置中的默认选项。 “我们的工作表明,行锤攻击在 CPU 上已得到充分研究,但在 GPU 上同样构成严重威胁,”其中一篇论文的共同作者 Andrew Kwong 表示。"..."

暗剑恶意软件

DarkSword 是一款复杂的恶意软件——可能由政府设计——专门针对 iOS 系统。 Google 威胁情报组(GTIG)发现了一种新的 iOS 全链漏洞利用工具,该工具利用多个零日漏洞,能够完全控制设备。根据恢复的载荷中的工具特征,我们认为该利用链被称为 DarkSword。自 2025 年 11 月以来,GTIG 已观察到多家商业监控供应商和疑似国家支持的行为体在不同行动中利用 DarkSword。这些威胁行为体已将此利用链部署于沙特阿拉伯、土耳其、马来西亚和乌克兰的目标……

黑客多利市场

Polymarket 是一个让人们可以就现实世界事件(包括政治事件及其他事件)进行下注的平台。暂且搁置其伦理问题(例如,它可能助长暗杀行为),让此类平台运作的一个关键挑战在于对这些现实世界事件的验证。Polymarket 的赌客曾威胁一名记者,因为其报道被用于验证某一事件。如今,赌客甚至携带吹风机前往气象传感器,以操纵天气相关赌局。 此外,还存在内幕交易问题,且规模巨大。

Fast16 恶意软件

研究人员逆向工程了一款名为 Fast16 的恶意软件。它几乎可以肯定是由国家支持的,很可能源自美国,并且早在 Stuxnet 部署之前就已针对伊朗使用: "……Fast16 恶意软件旨在实施迄今为止在野外恶意软件工具中见过的最隐蔽形式的破坏:通过自动在网络中传播,随后静默地操纵执行高精度数学计算并模拟物理现象的某些软件应用程序中的计算过程,Fast16 能够改变这些程序的结果,从而引发从错误的研究结果到现实世界设备灾难性损坏不等的故障。”……"

Claude Mythos 已在 Firefox 中发现 271 个零日漏洞”

“数量相当可观。不,这是一个非凡的数字:自 2 月以来,Firefox 团队已全天候工作,利用前沿人工智能模型查找并修复浏览器中潜在的安全漏洞。此前,我们曾介绍过与 Anthropic 的合作,使用 Opus 4.6 对 Firefox 进行扫描,此次合作促成了 Firefox 148 中 22 个安全敏感漏洞的修复。作为与 Anthropic 持续合作的延续,我们得以在 Firefox 上应用 Claude Mythos Preview 的早期版本。本周发布的 Firefox 150 包含了在此次初步评估中发现的 271 个漏洞的修复……"

Anthropic 的“神话”对网络安全未来的意义

两周前,Anthropic 宣布其新模型 Claude Mythos Preview 能够自主发现并利用软件漏洞,将其转化为可运行的攻击载荷,而无需专家指导。这些漏洞存在于关键软件中,包括操作系统和互联网基础设施,数千名从事这些系统开发的软件工程师未能发现它们。这一能力将对安全产生重大影响,危及我们日常使用的设备和服務。因此,Anthropic 未将该模型向公众发布,而是仅向……

周五鱿鱼博客:乌贼如何在灭绝事件中幸存下来

科学新闻: 科学家们通过分析新测序的基因组以及全球数据集,终于破解了关于鱿鱼和乌贼演化的一个长期未解之谜。研究表明,这些奇特而聪明的生物很可能起源于 1 亿多年前的深海,并在大规模灭绝事件中通过退居至富氧的深海避难所得以幸存。在随后的数百万年里,它们的演化几乎停滞不前,直到一次大灭绝后的爆发式增长引发了快速多样化,随着它们迁入新的浅水栖息地,这一过程加速展开……

在邮件中隐藏蓝牙追踪器

它曾被用于追踪一艘荷兰海军舰艇:荷兰记者尤斯特·维尔瓦尔特(Just Vervaart)为地方媒体网络“格尔德兰广播”(Omroep Gelderland)工作,他按照荷兰政府网站上发布的指引,寄出一张内含隐藏追踪器的明信片。借此,他们得以对该舰进行约一天的追踪,目睹其从克里特岛的伊拉克利翁(Heraklion)启航,随后转向塞浦路斯方向。尽管该追踪器仅显示单艘舰艇的位置,但鉴于该舰隶属于在地中海航行的航母打击群,这一信息可能使整个舰队面临风险……

FBI 从 iPhone 通知数据库中提取了已删除的 Signal 消息

404 Media 报道(替代网站): 联邦调查局(FBI)能够从被告的 iPhone 中通过取证手段提取出已删除的 Signal 应用收到的消息副本。这是因为消息内容被保存在设备的推送通知数据库中。 该案例表明,当执法人员能够物理接触设备并运行专用软件时,取证提取可能从意想不到的位置获取到源自加密 messaging 应用的敏感数据。Signal 本身已提供一项设置,可阻止消息内容在推送通知中显示;此案凸显了为何部分用户有必要启用此类功能。