Google资安报告示警 恶意攻击锁定AI供应链

（中央社记者台北9日电）Google威胁情报小组（Google Threat Intelligence Group，简称GTIG）今天发布最新人工智慧（AI）威胁追踪报告指出，恶意人士正积极窃取具高价值的AI相关智慧财产，并将矛头对准AI供应链，部署专门针对新兴AI系统弱点的恶意软体。 AI威胁追踪报告（GTIG AI Threat Tracker Q3 2026）揭露恶意人士如何将AI深度整合于

报告：AI黑客工具构建的蠕虫可感染中国微信账户并拨打呼叫

安全公司称，这是已知首个能够在苹果iOS和谷歌安卓操作系统之间传播且无需用户点击或轻触的计算机蠕虫。

网络犯罪分子从Fishbrain中捞取密码哈希

网络犯罪分子已从热门钓鱼应用Fishbrain的用户那里获取了密码哈希及对应的盐值，为破解尝试打开了大门。 Fishbrain AB表示，其同名应用服务于超过2000万钓鱼爱好者，并于本周向加州总检察长办公室披露了8月19日发生的入侵事件。 身份不明的肇事者大肆获取用户数据，包括姓名、出生日期、电子邮件地址、电话号码、Fishbrain用户名、国家信息、密码哈希和盐值。 该公司在披露文件中表示：“

骗子利用虚假桌面应用程序欺骗人力资源员工，使其授予远程访问权限

你在公司的人力资源部门工作，使用人事软件来查看员工信息、福利和薪资。因此，当你看到一个声称比常规网页界面更快、可供下载的Windows版本时，你便下载了它。不幸的是，这款应用程序并非其所声称的那样。相反，它会悄悄安装ConnectWise合法的ScreenConnect软件，从而让操作员获得对你电脑的持久远程访问权限。 网络安全机构Allure Security于周四报告了这一攻击活动的发现，并将

在安卓、Linux、macOS和Windows中发现了几十年前的文件安全漏洞

奥地利格拉茨理工大学的安全研究人员发现了 Android、Linux、macOS 和 Windows 文件通知系统实现中的缺陷，这些缺陷会泄露潜在的敏感系统信息。"我们在[这些操作系统]中发现了存在数十年的漏洞，它们都源于每个现代操作系统都自带的文件通知子系统，该子系统用于在文件发生变化时通知应用程序，"格拉茨理工大学博士生 Sudheendra Raghav Neela 在给《The》的电子邮件

汤森路透发现网络安全事件，称未经授权方访问了文件

骗子利用三个开源代理闯入了《财富》500强酒店企业、一家美国主要航空公司以及超过25家其他机构。

一名网络犯罪分子利用三个开源AI框架攻击了数百家在线零售商及其他公司，窃取了超过60万条信用卡记录并安装了盗卡程序——而这一切的成本微乎其微。 人工智能安全公司Gambit恢复了该人类操作员的暂存服务器，并利用该权限重建了这起数据窃取行动。受害者包括一家财富500强酒店企业、一家美国主要航空公司、一家美国大型私营工业用品分销商以及一家美国在线时尚零售商。 Gambit威胁情报总监埃亚尔·塞拉（Ey

AI代理黑进了黑客，从安全研究机构窃取了电子邮件地址

AI代理攻击了黑客——荷兰漏洞披露研究所（DIVD）——通过其Zammad支持平台中的两个零日漏洞，利用这些缺陷劫持会话、以本地zammad用户身份远程运行代码，并将权限提升至root。链式攻击仅用几秒钟就从会话劫持进展到获取root访问权限，周四，这家非营利漏洞搜寻组织表示，攻击者窃取了其志愿者安全研究人员的数据，包括DIVD邮箱地址和可能的其他联系方式。 “我们仍在调查具体哪些志愿者的哪些数据

英美荷联合警告伊朗间谍软件威胁

【大纪元2026年09月16日讯】 （大纪元记者张婷综合报导）英国、美国和荷兰周二（9月15日）联合发布了一份网络安全警告。三国指出，与伊朗政府有关联的网络攻击者正在利用鱼叉式网络钓鱼（spear-phishing）和「CHOSEN BRICK」间谍软件，攻击异见人士、活动人士和记者等。这些网络攻击者试图诱骗目标人物下载间谍软件，以便追踪目标人物的行踪。 这份联合安全警告由英国国家网络安全中心（N

CISO以为他有个“r3@lg00dp@$$w0rd”密码，却忘了打补丁

欢迎回到 PWNED——这个每周都会提醒您注意安全漏洞的专栏。 本周我们要讲述的故事，涉及一家律师事务所在网络安全方面的严重疏忽：他们没有及时安装重要的安全补丁，而且该机构的技术安全负责人使用的密码极其简单、容易被破解。 如果您知道类似的安全漏洞，请通过 pwned@sitpub.com 与我们分享您的发现；我们承诺为您保密。 这个故事由 Joe Brinkley 提供，他也被称为“The Bli

被盗密码正使美国供水机构暴露于黑客攻击之下

“Disrupt 2026”活动：OpenAI、Anthropic、Replit等公司主导了6个行业领域的创新活动。现在购票可享受85%的折扣，最高可节省200美元；第二轮折扣活动将于太平洋时间9月25日晚11:59结束， 点击此处购票。网络安全防御公司SpyCloud的研究指出，在针对美国数十个社区供水系统的黑客攻击浪潮中，水务供应商及其他关键基础设施极易受到攻击。虽然窃取密码的恶意软件早已存在

美国安全研究机构揭露微信重大漏洞 美中网路安全合作受关注

（中央社台北14日电）美国安全研究机构近日公开一项针对中国微信的实验性攻击演示。研究显示，攻击者只要拨打微信用户的语音电话，对方即使没有接听、没有点击任何连结、没有输入密码或验证码，在电话响铃期间，微信帐号就可能被劫持。 截至今年6月底，微信和WeChat（微信海外版）的月活跃帐户共约14.39亿户。微信在中国已融入民众日常通讯、政府服务及电子支付，因此这项漏洞引起关注。 新浪网11日报导，美国安

伊朗间谍使用“精选砖块”数据窃取恶意软件攻击 Windows 机器

三个西方国家政府警告称，伊朗国家网络行为者正利用社交消息应用程序针对个人，在其 Windows 机器上部署监控和窃取数据的恶意软件。在所有观察到的案例中，Chosen Brick 仅感染了 Windows 系统。美国联邦调查局、英国国家网络安全中心和荷兰情报与安全总局（AIVD）周二表示，伊朗自 2025 年至少以来一直使用该恶意软件来控制个人设备，窃取他们的联系人、电子邮件和社交媒体消息，从而使

收47万美元认证16亿美元假信用证 建行亚洲前员工获刑4年

【财新网】因收受逾47万美元加密货币，在未经银行授权下认证总额超过16亿美元的虚假备用信用证等文件，中国建设银行（亚洲）股份有限公司（下称“建行亚洲”）前客户经理林俊贤，9月18日在香港区域法院被判处四年监禁。　　香港廉政公署公布，32岁的林俊贤此前承认一项串谋使代理人接受利益罪。法官以监禁六年为量刑起点，考虑到林俊贤认罪，将刑期扣减三分之一至四年。法院同时下令其向建行亚洲归还约370万港元，相当

黑客利用Anthropic的Claude入侵OpenAI

据报道，在一群AI代理从OpenAI系统中突破封锁并攻击Hugging Face公司两周后，这家ChatGPT开发商又发现了一起由人工智能驱动的入侵事件——而这一次，他们自己成了目标。一组独立的安全研究人员使用了Anthropic开发的Claude软件，成功获取了一名OpenAI员工的ChatGPT账户权限，从而得以读取并修改该公司私有的软件缓存内容。 该团队参与了OpenAI的一项漏洞挖掘计划，

OpenAI失控智能体5月就已劫持Hugging Face用户账户

OpenAI失控AI智能体的违规活动轨迹，远比外界此前了解的更早、更长。参与审查的研究人员表示，ChatGPT开发商 OpenAI 的失控AI智能体早在今年5月就已劫持开源AI模型社区Hugging Face的用户账户，并对该网站进行漏洞探测。这比7月Hugging Face遭入侵、引发全球关注的事件早了近两个月。 OpenAI在上月的公开事故报告中，曾披露智能体窃取一名 Hugging Face

狮城首起AI相关个资泄露事件 逾9.5万美珍香顾客受影响

（图：取自维基百科） （新加坡30日讯）新加坡老字号美珍香的员工因操作人工智能（AI）工具不当，导致超过9万5000名顾客的电邮地址被泄露。这是新加坡首起与AI有关的资料泄露事故。 《联合早报》报道，根据个人资料保护委员会上星期一（9月21日）在官网上发布的文告，这起资料泄露事件发生在今年4月25日，美珍香于4月27日通报个资委。 资料显示，一名美珍香员工原想利用AI工具生成一串编码，将公司宣传内

中国通缉犯芭堤雅落网 用AI换脸盗走近2千万

（芭堤雅9日综）一名中国男子在泰国逾期逗留，因行迹可疑而被举报，警方登门调查时才惊觉捉到“大鱼”，男子竟然是中国公安的通缉犯，是一起利用AI换脸技术盗取数字资产案件的主要嫌犯，受害者损失约470.7万枚泰达币（USDT），折合约3300万元人民币（约1988.6万令吉）。 据了解，嫌犯是30岁的张新（音译），他于2024年7月持旅游签证潜逃至泰国，藏身于芭堤雅一处公寓已有一段时间，平日生活非常低调

OpenAI模型访问了美国政府数据并'试图入侵另一个网站'

Trezor 确认邮件服务商数据泄露，骗子将目标对准数十万加密货币持有者

硬件加密钱包制造商 Trezor 在短短两个月内第二次警告客户，其依赖的一家公司遭到黑客攻击，导致 Trezor 客户的数据泄露。 该硬件钱包制造商本周在博客文章中表示，黑客对 Trezor 用于发送简报的营销科技公司 Brevo 发起了网络攻击，导致黑客向 Trezor 客户发送了约 34.7 万封带有恶意链接的钓鱼邮件，这些邮件伪装成来自该钱包制造商。 点击该链接后会下载一个应用程序，该程序会

联想ID无需验证码就可注册 导致大量Dropbox账号被黑客访问

近期多名 Dropbox 网盘用户收到安全通知，称其账户在 2026 年 8 月 4 日～21 日期间遭到未经授权的访问。此次安全问题并非 Dropbox 基础设施被黑客攻击，具体原因竟然是联想 ID 注册和 Dropbox SSO 登录存在信任漏洞。 只要知道邮箱地址就可以接管根据目前披露的攻击链，联想 ID 注册流程存在邮箱验证缺陷，攻击者可以利用受害者邮箱创建联想账号，而且都不需要发送邮件验

假冒的ChatGPT账单邮件可能窃取你的登录信息

如果您订阅了 ChatGPT，一封声称您的订阅出现问题的邮件很容易引起您的注意。可能是您的信用卡过期了，也可能是付款失败了。无论如何，您可能希望在账户出现任何问题之前解决它。网络犯罪分子正是利用了这种反应。 安全研究公司 Cofense 的研究人员发现了一场冒充 OpenAI 和 ChatGPT 的网络钓鱼活动。这封伪造的邮件看起来像是一份例行的订阅通知。然而，邮件中的按钮可能会引导您进入一个极具

谷歌警告：敲诈团伙盯上高价值AI数据

谷歌的威胁追踪人员表示，数据窃取和敲诈团伙正在窃取企业的专有AI数据，并威胁称，如果受害组织不支付赎金，就会泄露这些数据。 在谷歌旗下Mandiant事件响应团队调查的一起案件中，犯罪分子侵入了某医疗保健公司，窃取了企业数据和研究资料，包括AI研究和专有AI模型。 随后，犯罪分子威胁称，除非该公司满足其敲诈要求，否则将公开这些数据。 在另一起针对专门从事AI媒体生成业务的公司入侵事件中，攻击者窃取

Trezor 和 BitBox 用户成为电子报钓鱼攻击的目标

加密货币硬件钱包制造商 Trezor 表示，其用于发送电子报的第三方电子邮件服务提供商遭到攻击，客户目前正在收到钓鱼信息。 好消息是，这些电子邮件很容易识别，它们采用广撒网式的攻击，而不是利用客户特定数据的高度针对性攻击。 所有已知的诈骗邮件标题均为“关键安全 STM32 熵漏洞”，正文解释称约四分之一的 Trezor 设备受“硬件出厂缺陷”影响，要求收件人分享钱包备份。 Trezor 警告称切勿