【安全/科技】互联网情报资讯08.23

【安全情报】丰田再发生数据泄露事件（来源：hackernews 发布时间：2024-08-22）

丰田美国分公司遭遇严重数据泄露，黑客在论坛上宣称盗取了高达240GB的敏感数据，包括员工和客户的个人信息、合同及财务资料。丰田官方已证实数据泄露的真实性。尽管具体泄露时间和攻击手段未被披露，但据BleepingComputer调查，相关文件至少可追溯至2022年12月25日，暗示攻击者可能侵入了备份服务器。丰田声称此次泄露影响有限，并非系统性问题，并正在积极与受影响者沟通提供支持。值得注意的是，这并非丰田首次发生数据泄露，在2023年一年内就至少发生了两起类似事件，包括子公司丰田金融服务公司受到勒索软件攻击和云环境配置错误导致的信息外泄。

主题标签：“丰田”、“数据泄露”、“黑客攻击”

分析研判：丰田频发的数据泄露事件凸显了其在数据安全管理方面的不足，对公司的信誉和客户信任造成了重大打击。此次240GB数据的泄露不仅暴露了丰田在内部控制上的缺陷，也反映出在数据保护技术上的脆弱性。连续的安全事件表明，丰田需要从根本上重新评估和加强其网络安全策略，特别是在数据访问、存储和备份方面。此外，丰田应考虑实施更为严格的安全协议，包括定期的安全审计、员工安全培训以及及时的软件和系统更新。对于客户而言，丰田应提供透明的信息，及时通报事件进展，并为受影响的个人提供必要的支持，如信用监控服务，以减轻数据泄露可能带来的个人风险。

【安全情报】新型恶意软件爆发，主要针对中韩用户（来源：GoUpSec 发布时间：2024-08-21）

一种名为UULoader的新型恶意软件被网络安全研究团队Cyberint发现，该软件难以被检测，主要针对中国和韩国用户。UULoader通过伪装成合法程序的恶意安装包传播，常以微软柜文件格式分发，包含被剥离文件头的可执行文件，从而躲避传统安全检测。该恶意软件可加载如Gh0st RAT和Mimikatz等工具，执行信息传播、诈骗、窃取加密货币等违法活动。UULoader的代码含有中文字符串，暗示开发者可能为中文母语者。攻击者还利用Visual Basic脚本和诱饵文件作为混淆策略，使攻击更隐蔽。

主题标签：“UULoader”、“Cyberint”、“恶意软件”

分析研判：UULoader恶意软件的出现和活动特点表明，网络攻击者正变得更加狡猾和精准，针对特定国家或语言用户群体的攻击日益增多。这种趋势要求目标用户群体提高网络安全意识，采取更加严格的预防措施。我国用户应特别注意从可信来源下载软件，避免点击不明链接和附件，定期更新操作系统和安全软件，以减少被恶意软件侵害的风险。企业和网络安全专家需要合作，加强对新型恶意软件行为的分析和研究，提升对复杂攻击链的识别和响应能力。

【安全情报】黑客可以利用macOS上的Microsoft Teams窃取数据（来源：hackread 发布时间：2024-08-20）

Cisco Talos在Microsoft的macOS应用程序中发现了八个安全漏洞，这些漏洞利用了系统透明度、同意和控制（TCC）框架的弱点。TCC框架本应通过要求明确用户同意来保护数据和系统资源，但黑客能够绕过这一安全措施，无需用户同意即可访问敏感信息。这些漏洞主要涉及库注入或Dylib劫持，允许攻击者通过合法应用程序的权限执行恶意代码。特别是，Microsoft Teams拥有禁用库验证的权限，这为攻击者提供了利用点。攻击者通过诱导用户打开恶意附件或点击危险链接，将恶意库注入应用程序进程，窃取权限并访问敏感数据。目前，Microsoft已更新四个受影响的应用程序，减少了这些风险。

主题标签：“Cisco Talos”、“Microsoft Teams”、“macOS”

分析研判：这次发现的漏洞凸显了即使在具有高级安全措施的操作系统中，应用程序的特定权限设置仍可能成为攻击者的突破口。Microsoft Teams的特定权限，设计用于提高便利性，却意外地成为了安全风险。这提示了软件开发者在设计应用程序时，需要在用户体验和安全性之间找到平衡点。同时，这也提醒用户和企业，定期更新软件是防止安全漏洞的关键措施之一。此外，用户应提高警惕，避免点击不明链接或打开可疑附件，同时使用信誉良好的安全解决方案和保持安全的浏览习惯，以降低受到恶意软件攻击的风险。

【安全情报】黑客利用Xeon Sender发起大规模短信钓鱼攻击（来源：FreeBuf 发布时间：2024-08-20）

安全研究员Alex Delamotte发现，恶意行为者利用名为Xeon Sender的云攻击工具，通过滥用合法的软件即服务（SaaS）平台，如亚马逊通知服务（SNS）、Nexmo、Plivo等，进行大规模的短信钓鱼和垃圾邮件活动。该工具允许攻击者使用服务提供商的有效凭证发送信息，而无需利用任何固有系统弱点。Xeon Sender通过Telegram和黑客论坛传播，提供了一个命令行界面，攻击者可与所选服务提供商的API通信，协调垃圾短信群发攻击。工具还具备电话号码验证、生成和有效性检查等功能，增加了其在攻击中的实用性。

主题标签：“Xeon Sender”、“Alex Delamotte”、“短信钓鱼攻击”

分析研判：Xeon Sender的发现揭示了网络钓鱼攻击的新趋势，即攻击者通过合法渠道滥用API服务进行恶意活动。这种攻击方式的隐蔽性强，因为使用的是服务提供商的有效凭证，给传统的安全监控带来了挑战。由于Xeon Sender依赖合法API，因此其行为可能不会触发常规安全防护措施，要求企业和安全团队采取更先进的监控策略和技术，以识别和阻止此类攻击。此外，服务提供商需要加强对API使用情况的监控，及时发现并制止滥用行为。企业和用户也应提高警觉，对来源不明的短信保持警惕，尤其是那些包含可疑链接或请求敏感信息的短信。

【科技情报】AI成为“耗电大户”（来源：jiqizhixin 发布时间：2024-08-22）

人工智能技术的快速发展导致能源消耗急剧增加，引发能源危机的担忧。科技巨头如Google、Meta、亚马逊和微软等正在建设超大规模数据中心，其电力需求达到千兆瓦级别。例如，ChatGPT等生成式AI的单次查询能耗是传统AI功能的10倍。市场调研公司Tirias Research预测，到2028年，美国数据中心的能源消耗将大幅增加，AI能耗可能占到数据中心总能耗的19%，约4%的全美电网总发电量。为应对这一挑战，一些公司开始采用小型模块化反应堆（SMR）为数据中心供电，同时，芯片制造商也在研发低功耗芯片，以及采用3D堆叠晶体管等新技术，以提高性能同时降低能耗。

主题标签：“Tirias Research”、“AI”、“能耗”

分析研判：AI技术对能源的巨大需求推动了对新能源和芯片创新的探索。一方面，数据中心的能源消耗增长促使企业寻求更清洁、高效的能源解决方案，如转向天然气和可再生能源，以及采用SMR等。另一方面，芯片制造商通过研发新型混合CPU/GPU芯片、改进散热技术和采用3D堆叠晶体管，致力于提高芯片的能效比。此外，数据中心架构的创新，如整体水冷系统，也为节能减排提供了新思路。尽管存在能源危机的担忧，但历史表明，技术进步和创新能够满足不断增长的需求。

【科技情报】OpenAI允许公司个性化定制AI模型（来源：wallstreetcn 发布时间：2024-08-21）

OpenAI近期宣布推出针对企业客户的个性化定制服务，允许企业利用自身数据对OpenAI目前最强大的AI模型GPT-4o进行微调。这是OpenAI旗舰模型首次提供微调功能，标志着AI模型研发公司在企业客户争夺中的竞争激烈化。微调服务将帮助企业提升AI投资的收益，通过特定数据集的优化，使模型在特定任务或领域内表现更佳。OpenAI强调数据隐私与安全，确保客户数据不会被共享或用于其他目的。此外，OpenAI还提供了分层安全措施，防止模型被滥用。微调训练预计需一到两小时，初期仅支持文本数据。GPT-4o微调在9月23日前为每个组织免费提供100万个训练token，而GPT-4o mini则提供200万个。

主题标签：“OpenAI”、“GPT-4o”、“AI微调”

分析研判：OpenAI的这一举措反映了AI行业在企业级应用领域的竞争加剧，同时也显示了个性化和定制化服务在AI技术发展中的重要性。通过允许企业对AI模型进行微调，OpenAI不仅能够满足企业对特定领域应用的精准需求，还能够通过降低门槛和减少摩擦来吸引更多的企业用户。这一策略可能会对竞争对手如谷歌和微软构成压力，促使他们提供更具竞争力的服务。此外，微调服务的推出也可能加速AI技术的商业化进程，降低企业在AI领域的进入成本，推动AI技术的广泛应用。

【科技情报】波士顿动力技术揭秘（来源：jiqizhixin 发布时间：2024-08-21）

波士顿动力公司近期对其人形机器人Atlas进行了技术更新和经验分享。该公司先是宣布旧版Atlas退役，随后推出了电动版的新Atlas，计划在韩国现代汽车工厂进行试点测试。在机器人领域的技术会议上，工程师Robin Deits分享了Atlas的研发历程和从中学到的经验教训。Deits强调了模型预测控制（MPC）在实现机器人高难度动作中的核心作用，并介绍了如何通过迭代线性化、利用问题结构提高速度等方法优化MPC。同时，他也提到了在机器人动作协调、环境感知和任务执行等方面遇到的挑战。

主题标签：“波士顿动力”、“Atlas”、“MPC”

分析研判：波士顿动力的这次技术分享揭示了其在人形机器人领域的深入研究和面临的技术挑战。通过MPC的应用，Atlas能够完成跑酷、体操等动作，展现了机器人控制技术的先进性。然而，实际应用中机器人的非线性特性和环境的复杂性给控制策略带来了难题。Deits的经验分享表明，尽管局部优化在某些情况下有效，但整体优化和模型复杂性的增加可能是提升机器人性能的关键。此外，如何将MPC与机器学习结合，以提高机器人的自主性和适应性，是波士顿动力未来研究的方向。这些挑战和研究方向不仅对波士顿动力，也对整个机器人行业的发展具有重要意义。

【科技情报】微软更新服务条款：提醒用户谨慎使用AI工具（来源：kejixun 发布时间：2024-08-20）

微软在AI工具准确性问题引发争议后，更新了服务协议，提醒用户谨慎使用其AI服务。新条款将于下月底生效，明确指出AI工具应作为辅助而非专业建议的替代。特别强调了健康聊天机器人的局限性，警告用户过度依赖可能带来风险。微软声明AI服务不旨在替代专业医疗建议或用于疾病诊断、治疗。同时，对Bing的Copilot AI体验的使用进行了限制，禁止未经许可的数据抓取或收集。此外，更新还加强了对AI模型反向工程的限制，并禁止使用微软AI数据创建或训练其他AI服务。

主题标签：“微软”、“AI搜索”、“AI风险”

分析研判：微软此次服务协议的更新是对AI工具准确性争议的直接回应，旨在更明确地界定AI服务的角色和限制，以及管理用户对AI能力的期望。这表明微软认识到AI技术在提供辅助决策时的局限性，尤其是在健康等专业领域，强调了专业人士不可替代的重要性。通过加强数据使用和AI模型反向工程的限制，微软也在保护其技术资产，防止未经授权的使用或复制。这一举措可能对AI行业的其他公司产生影响，促使它们也重新审视和调整自己的服务条款，以应对潜在的责任问题和用户期望管理。同时，这也提醒用户在使用AI服务时需保持警惕，认识到AI目前仍无法完全取代人类的专业判断。

* 来自《QIDIAN》：请开通或登录QIDIAN系统查看详情