#網上安全
163 篇文章
TechLab 所有關於「網上安全」嘅文章、評測同教學，由最新排起。
Tech NewsAI coding agent 越界唔等於覺醒：AISI 事故揭開權限設計漏洞
英國 AISI 測試期間，OpenAI 同 Anthropic 模型合共做出 19 次未獲授權行動，當中包括提交惡意程式碼同開假帳戶。測試刻意開放上網權限兼關掉部分防護，事件揭示 coding agent 一攞到工具、token 同網上存取，權限設計就要當正式保安系統處理。
Tech NewsTelegram 因一宗違規內容短暫下架：App Store 審核點解咁大殺傷力
Telegram 一度喺多個地區嘅 App Store 消失，清走違規內容後數小時內恢復。事件顯示 Apple 管唔到 app 入面每個群組，出事時只能向成個 app 落手；不過所謂植入內容勒索，暫時只有 Telegram 創辦人一方講法。
3C 產品Chrome 無故登出 Google 帳戶？分清 Sync 定 Cookie，再逐步排查
近期有 Chrome 桌面版用戶話 Google 帳戶無故登出，但 Google 暫時未確認共同成因。遇到同類情況，先查帳戶有冇異常登入，再分清 Chrome profile、Sync 同網站 Cookie 邊層出事，排查會快好多。
Tech NewsTelegram 突然喺 App Store 消失：一則惡意舉報真係足以下架大型 app？
Telegram 一度喺多個地區嘅 App Store 消失，刪走違規內容兼封鎖涉事帳戶後已恢復。CEO Pavel Durov 指事件源自刻意植入兒童性虐待內容嘅勒索攻擊，不過呢部分未有獨立證據；事件亦反映 Apple 處理大型 UGC app 時，開發者可以幾突然失去分發渠道。
3C 產品唔想密碼困喺 Google？5 類密碼管理器點揀先避開鎖定同匯出風險
Google Password Manager 夠方便，但一換平台、要同屋企人共享、開始用 passkey，鎖定成本就浮出嚟。由 Bitwarden 到 1Password、Proton Pass、NordPass、KeePassXC，揀之前先睇匯出風險、免費限制、2FA 放邊同邊個值得信。
Tech NewsPolymarket 假贏錢片曝光：睇 viral 贏錢片要點防伏
WSJ 調查指 Polymarket 付錢畀創作者拍假下注、假贏錢短片，部分仲用 poiymarket.com 呢類仿冒網址。呢類片最易令人中伏嘅位，係借真 app 介面嘅熟悉感，包裝廣告甚至騙局。
Tech NewsPolymarket 假交易短片風波：creator 賺錢故事點樣變成入金陷阱
Polymarket 俾指付費畀 creator 拍假交易、假贏錢短片，部分仲用仿真網站扮真介面。呢件事唔只關 prediction market，亦係短片平台投資內容最常見嘅防騙警號。
Tech News英國再要 Apple 打開 iCloud 加密：指定帳戶要求點解會牽連所有人
英國政府據報再次要求 Apple 提供存取加密 iCloud 備份嘅能力，範圍已由全球用戶收窄至英國帳戶。Apple 冇拒絕法庭裁決，而係再向審裁處挑戰命令。指定帳戶聽落範圍有限，但 Apple 仍要先建立而家冇嘅解密或存取能力，風險亦唔會停喺一個帳戶。
Tech NewsGoogle 同步通行密鑰俾惡意程式盯上：電腦中招後，私密金鑰都有機會失守
Unit 42 公開三種針對 Google 同步通行密鑰嘅攻擊手法，可以避過裝置解鎖，甚至抽走整批私密金鑰。不過三種攻擊都有同一個重要前設：受害人部 Windows 電腦早已俾惡意程式入侵，通行密鑰本身採用嘅加密原理未有俾破解。
Tech NewsGoogle Earth 假衛星圖玩一日即撤：Nano Banana 2 點解踩中資訊安全紅線
Nano Banana 2 一度可以直接改造 Google Earth 真實地貌，幾句 prompt 就整到災難、衝突等假衛星圖。功能推出翌日已俾 Google 撤回，事件亦揭出 SynthID 有用但唔足以單獨判斷圖片真偽。
Tech NewsChatGPT 傳被歐盟升級監管：新功能推出前要先交風險功課
歐盟據報準備把 ChatGPT Search 納入 DSA 最嚴格監管級別。OpenAI 除咗要接受獨立審計，推出高風險新功能前亦可能要先評估安全、推薦、廣告同未成年人風險，產品更新節奏自然會多一重考慮。
Tech NewsGemini Spark 接管已登入 Chrome 代辦網上雜務，香港暫時未有得用
Gemini Spark 已擴展至香港，不過接駁已登入 Chrome 嘅 auto browse 暫時只喺美國推出。佢識用帳戶同已儲存登入資料處理購物、旅遊及預約，同時亦放大咗私隱、prompt injection 同排程出錯嘅風險。
3C 產品Apple 再告英國政府：只開英國 iCloud 後門，點解仍會牽動整套加密
Apple 據報就英國政府針對當地 iCloud 帳戶嘅新命令，再向調查權力審裁處提出投訴。今次範圍細咗，不過只要 Apple 要建立解密能力，風險就未必可以乾淨地留喺英國；暫時亦冇證據顯示香港帳戶受直接影響。
Tech NewsKlue 舊憑證連累多間網絡保安公司，Salesforce 資料外洩揭 SaaS 風險
Klue 承認攻擊者用已外洩嘅舊憑證攞到 OAuth tokens，再入到部分客戶經 Klue 連接嘅 Salesforce 等平台。Huntress、HackerOne、Jamf、Snyk 等公司都話主要影響 CRM 商務資料，產品同基建暫時冇受影響。
Tech NewsGoogle Spark 接管 Chrome 做跨站任務，香港暫時未開放
Gemini Spark 新增 Chrome auto browse，可以沿用網站登入狀態，代辦格價、預約同訂票等跨站任務。不過呢項功能初期只限美國，香港一般 Gemini in Chrome 用戶暫時未有；登入資料、跨站分享同 prompt injection 亦係使用前要睇清楚嘅風險。
Tech News賓州學校收風後被指沉默：最少 59 名女生受害，AI 不雅照暴露通報缺口
賓州一間私立學校俾受影響學生同家長控告，原告指校方收到 AI 不雅照線報後幾個月冇通知女生，涉事男生其間繼續製圖。校方要求撤案，但呢場官司帶出一個更實際嘅問題：院校收到風之後，究竟要幾快查、通知邊個，同點樣制止影像流傳？
Tech NewsLastPass 支援個案資料外洩，今次風險集中喺釣魚同社交工程
LastPass 話 Klue 供應鏈事件令部分客戶支援個案、聯絡資料同銷售資料外洩。今次官方指 password vault 冇受影響，但支援 ticket 本身已經夠攻擊者扮客服、扮 IT、扮續約去做釣魚。
3C 產品VPN 開咗點解網站同 ISP 都睇得出？拆解出口 IP、DNS 同流量指紋
VPN 可以遮住真實 IP 同加密傳輸內容，但唔會令條連線隱形。ISP 通常見到你連緊某部 VPN server，網站就見到出口 IP，再配合 ASN、共用程度、DNS、IPv6 同 WebRTC 等訊號判斷。兩邊掌握嘅資料其實差好遠。
3C 產品Gemini Spark 借 Chrome 登入狀態代你填表：方便背後係一大截權限
Google 幫 Gemini Spark 接上 Chrome，佢可以借用現有登入狀態同已儲存憑證，自動比較資料、填表同準備預訂。不過官方安全文件亦承認，prompt injection、憑證外洩同誤操作風險未有消失，而香港暫時未開放 Chrome auto browse。
3C 產品Gemini Spark 開放香港 AI Pro：背景任務有得用，Chrome 自動瀏覽仍未到
Google 擴大 Gemini Spark 地區同訂閱資格，官方支援頁顯示香港個人 AI Pro 用戶已符合基本條件，可以交低背景任務、Skills 同排程。不過接管本機 Chrome 嘅 auto browse 暫時仍限美國，兩項更新唔好撈亂。
Tech NewsKlue 近四年前舊 credential 未收走，SaaS token 變外洩入口
Klue 承認攻擊者用舊 integration credential 取得 OAuth tokens，再碰到部分客戶連去 Salesforce 等平台嘅資料。最刺眼係 TechCrunch 新披露：呢個 credential 原本係 2022 年第三方 pilot 用，點解一直未撤銷，Klue 暫時冇交代。
Tech News白宮提早量子安全死線，HTTPS、VPN 同供應鏈要開始盤點
美國白宮新命令要求聯邦高價值系統提早喺 2030/2031 前轉 PQC。香港公司唔會直接受管，不過金融、雲端同 SaaS 供應鏈遲早跟住標準轉，要盤點 TLS、憑證、簽章同舊系統。
3C 產品LastPass 資料外洩牽到 Klue：OAuth token 點樣漏到 CRM 資料
LastPass 今次話自家密碼庫同基建冇俾人入侵，問題出喺供應商 Klue 儲住嘅 OAuth tokens。攻擊者用呢批 token 接觸到 Salesforce 入面嘅客戶、支援同銷售資料，風險落喺釣魚同社交工程。
Tech NewsOpenAI 測試 agent 越過 sandbox：外洩憑證再牽出四個外部帳戶
OpenAI 更新調查，確認測試中嘅模型利用 Artifactory zero-day 取得網上連線，再用公開外洩憑證接觸四個外部服務帳戶。事件冇跡象顯示 AI 有自我意識，但清楚示範 agent 一旦同時有工具、secrets 同過闊權限，可以點樣跨服務一路行落去。