01
要闻
2026 年刚过半，网络安全并没有因为世界的其他纷扰而退场。它更像一面镜子，映照出地缘冲突、经济动机和基础设施脆弱性交织的复杂图景。以下是一些已经发生、并可能持续产生影响的事件。
美国社保数据库疑遭大规模外泄
由马斯克领导的政府效率部（DOGE）在进入美国社会保障局后，其数据操作至今仍疑云重重。最令人不安的举报指向一个可能性：一份包含大多数在世美国人社保号码及关联个人信息的实时数据库，被上传到了一个不安全的第三方服务器上。
在法庭文件中，社会保障局表示并不确切知道服务器上有什么，但提到 DOGE 曾与一个外部政治倡导团体签署协议，名义是寻找选民欺诈的证据。两位正在调查此事的众议院民主党高层认为，这“很可能成为美国历史上最大规模的数据泄露事件”。
关键基础设施成为网络攻击目标
针对民用能源和水务系统的攻击正在欧洲形成一种令人不安的趋势。波兰的电网和水处理厂、瑞典的热电厂、挪威的水坝都曾遭到攻击，部分事件被归咎于俄罗斯。这些攻击不再只是数字层面的破坏，而是可能对社区造成实际伤害。
随着美国、以色列与伊朗之间爆发战争，有警告称伊朗黑客正将目标对准美国的关键基础设施，包括那些往往缺乏基本网络安全防护的私营水务公司。
伊朗黑客对史赛克发起破坏性攻击
今年 3 月，美国医疗科技公司史赛克（Stryker）遭到伊朗黑客入侵，数万台员工设备被远程擦除，导致公司运营中断数日。这次攻击标志着伊朗黑客策略的明显转变：从以往侧重间谍活动和出于政治目的的黑客与泄露行动，转向主动造成破坏性后果。美国政府已将幕后组织归为伊朗情报部门的一个分支。该事件对史赛克第一季度盈利产生了实质性影响。
ShinyHunters 的连环攻击与 Instructure 的困境
黑客组织 ShinyHunters 继续用简单但高效的语音钓鱼手段攻破企业防线。教育科技巨头 Instructure 是受影响最深的受害者之一。黑客入侵其旗舰学习管理系统 Canvas，窃取了超过 3000 万学生和教职工的隐私数据。在公司拒绝支付赎金后，黑客再次闯入，并在期末考试期间篡改了学生用于访问考试和课程资料的登录页面，导致全美多地考试中断。Instructure 最终支付了赎金。
该组织还涉及多起大规模数据窃取，包括网络服务商 Charter 约 4000 万条记录和邮轮公司嘉年华至少 600 万条客户记录。
开源软件供应链遭持续攻击
一系列针对开源开发者的攻击，已波及大型科技公司及其客户。Aqua Security 的 Trivy 工具、Bitwarden、Checkmarx 等重要项目均遭入侵，攻击者通过植入后门的软件版本或自动更新机制，窃取用户电脑中的密码、凭证和敏感令牌。这些被盗凭证被用于进一步扩散，并导致下游企业如 OpenAI 和 Vercel 受到牵连。开源世界几乎每周都有新攻击出现，仍是整个技术生态中脆弱的一环。
FBI 监控系统被入侵，触发“重大网络事件”
今年 4 月，美国联邦调查局（FBI）因一个监控系统被入侵，被迫宣布“重大网络事件”并向国会通报。据报道，该非机密网络遭入侵后，可能暴露了联邦探员监控目标的电话号码，很可能已达到对美国国家安全造成“可证明伤害”的程度。
孩之宝遭黑客攻击，业务中断数周
玩具巨头孩之宝（Hasbro）在 3 月底发现黑客入侵后，其网站长时间无法访问，客户服务也陷入停滞。这家拥有变形金刚、小猪佩奇、龙与地下城等知名品牌的百年企业，对事件本身、数据是否被盗以及是否支付赎金都所言甚少。但仅业务中断一项，就已迫使公司推迟财务报告。孩之宝在 5 月中旬表示黑客已不在其系统中，恢复工作正在进行，但预计后续的财务成本和业务影响将相当可观。
数百万护照和驾照信息暴露
过去几个月，涉及敏感身份证件的重大数据暴露事件明显增多。从酒店入住系统、汇款应用，到监狱付费电话供应商和英国签证服务，超过 200 万人的护照和驾照扫描件被暴露在网上。许多事件源于本可避免的基本安全疏忽。
这些大规模数据泄露发生在一个特殊时期：封闭社区应用和网站正越来越多地推行“了解你的客户”身份验证，政府也在推动年龄验证法律，要求成年人在访问大部分互联网时进行类似的身份检查。逻辑上，泄露越严重，这些身份核验系统的有效性就越低，因为被盗或泄露的证件很容易被滥用。而这类收集身份证件的系统进一步铺开，几乎必然会导致更多数据泄露和安全疏漏。
02
人工智能
微软在年度 Build 大会上发布了一系列 AI 新动作：自研推理模型、网络安全工具、类似 OpenClaw 的 AI 智能体，以及一个整合 Copilot 的超级应用。AI 业务负责人穆斯塔法·苏莱曼（Mustafa Suleyman）直言，目标是让微软成为全球前四的 AI 实验室之一，与 Google DeepMind、OpenAI 和 Anthropic 并列。
微软推出了首个推理模型 MAI-Thinking-1，以及另外六个聚焦图像、语音、转录和编码的模型。苏莱曼强调，这个中等规模的模型“从零开始构建，用于严肃的数学、编码和真实企业部署”，没有使用其他公司的模型进行蒸馏训练。他还提到，在某些任务上，它的价格比 OpenAI 同类模型更便宜。
在网络安全方面，微软展示了 MDASH 工具，声称它整合了 100 个 AI 智能体来发现可利用的漏洞，效果优于任何单一模型。这显然是在回应 Anthropic 的 Claude Mythos Preview 和 OpenAI 的同类系统，三家公司都在争夺政府和企业市场。
智能体领域，微软一边支持开源平台 OpenClaw 在 Windows 上运行，一边推出自己的 Copilot 超级应用。OpenClaw 创始人彼得·斯坦伯格（Peter Steinberger）意外现身，宣布 OpenClaw 现在可以在公司内部安全运行，并能作为插件叠加在 Copilot、Codex 等平台上。微软自家的智能体叫“Autopilots”，定位为面向企业客户的自主、长期运行且合规的助手，首个产品“Scout”被描述为“始终在线的个人代理”，可以查看邮件、加入 Teams 群聊、检查日历并发送每日简报。
英伟达 CEO 黄仁勋通过视频连线表示，RTX Spark 芯片正在驱动微软的 AI 智能体目标，个人电脑正从个人计算设备演变为个人 AI。
微软的优势在于已有的庞大客户群、安全声誉、深厚资金和多样化收入来源。苏莱曼说：“我们可以带着更多谦逊和更长期的优化来运作。”但新模型的实际采用情况、AI 超级应用的市场接受度，以及尚未公开演示的智能体产品，都还有待观察。
03
人工智能
Meta 的 AI 客服工具“Meta Business Agent”现在向全球 WhatsApp Business 用户开放了。这个助手能自动回答顾客问题、推荐商品、预约时间、筛选潜在客户，必要时再转给真人。Instagram 私信里也能用。
过去近两年，Meta 已经在印度、墨西哥、巴西等地测试过这个功能，超过一百万商家提前注册。现在，任何 WhatsApp 商家都可以启用，Instagram 和 Messenger 上的商家也一样。
除了直接面对顾客，Meta 还在试着让助手做更多后台工作。比如，每天早晨自动汇总前一晚的聊天记录，或者提供一些经营洞察。这些功能目前只对部分账号开放测试。
更长远一点，Meta 想让助手参与市场调研、提炼产品卖点、管理日历，甚至连接外部工具获取竞争情报。公司也在搭建一个平台，让大企业能定制自己的 AI 助手，对接 Shopify、Zendesk、Shopee 这类系统。
收费方面，目前入门免费，但几个月后会纳入 WhatsApp Business 的高级订阅套餐。大企业则按 token 用量付费。
04
要闻
谷歌本周公布五项用水承诺，目标是在2030年前，通过投资灌溉改善、基础设施升级等项目，让数据中心回补的水量超过自身消耗。公司全球基础设施与可持续发展负责人汤森（Ben Townsend）说，希望这份蓝图能成为社区的参考，当其他公司来建数据中心时，社区可以追问对方是否也把流域和社区利益放在首位。
目前谷歌在97个流域有165个水管理项目，预计到2030年每年可回补190亿加仑水，是2024年用水量的两倍多。公司还宣布投入1700万美元，在七个州支持新的水管理项目，包括佐治亚州弗林特河野生动物管理区的湿地修复、爱荷华州帮助农民将5000英亩土地转为多年生牧草和牧场，以及密歇根州用本土植物处理雨水、明尼苏达州沿赞布罗河建立一英里走廊改善水质、密苏里州蓝河附近恢复98英亩湿地等。此外，谷歌将投资5亿美元用于公共供水、废水和再生水基础设施的更新。
数据中心冷却需要大量水。谷歌副总裁科利（Bikash Koley）在博客中写道，水冷比风冷可降低约10%的能耗，而美国数据中心用水量不到美国人草坪灌溉用水的1%。但盖洛普近期民调显示，超七成美国人反对在本地建数据中心，一半受访者担心环境影响，其中18%特别提到过度用水。谷歌也承认，如果评估显示当地水源风险高，会改用风冷，并寻求再生水等替代水源，例如在佐治亚州某县使用处理过的废水，以及在得克萨斯州采用先进风冷技术的数据中心。
汤森表示，居民的担忧并非空穴来风，但数据中心实际用水量可能比想象中小，现在正是投资确保用水不成问题的时机。
05
人工智能
Google 正在向部分 Android 设备推送一项新功能，能在通话过程中实时检测对方是否使用了 AI 深度伪造技术冒充熟人。这项功能名为“虚假来电检测”（Fake Call Detection），直接运行在设备端，无需联网。
当通话中的语音模式与已知的 AI 生成特征匹配时，系统会向用户发出提醒，并建议挂断。Google 表示，检测模型经过训练，能识别出那些模仿权威人士、家人或雇主声音的合成语音，且不会记录或上传通话内容。
目前该功能已开始在美国的 Pixel 9 系列手机上通过 Google Phone 应用逐步上线，后续将扩展到更多 Android 设备。Google 提醒，它无法保证识别所有诈骗电话，用户仍需对陌生来电保持警惕。
06
人工智能
英国竞争与市场管理局（CMA）对谷歌提出一项新的行为要求：出版者现在可以控制自己的网站内容是否出现在 AI 概览（AI Overviews）等生成式搜索功能中，也可以禁止谷歌将这些内容用于 AI 模型的“微调”。
谷歌已在 Search Console 中为部分英国网站所有者上线了一个新开关，用来管理内容在 AI 概览、AI 模式或 Discover 中的 AI 概览里的使用方式。完全退出的网站将不会从这些生成式 AI 功能获得流量或展示，谷歌也表示这一控制不会成为 AI 搜索之外普通搜索结果的排名信号。
同时，谷歌还需要确保在 AI 生成的搜索结果中对出版者内容“进行适当署名，并使用清晰的链接”。Search Console 中还会新增一些指标，显示哪些网页出现在了 AI 回答中，以及出现在哪些国家。
CMA 称，这些要求将“为出版者和消费者争取更公平的交易，并改善谷歌在英国的搜索服务”。新闻媒体协会首席执行官 Theo Bamber 回应说，规则的成功取决于高效实施、有力执行，以及在快速变化的技术环境中及时调整和加强规则的能力。
谷歌计划在测试完成后，将这些功能向全球推出。
07
人工智能
联邦政府最多只有30天时间来审查新模型。
周二，特朗普总统签署了一项行政令，要求建立一套框架，让联邦政府有能力评估AI模型。该行政令责成国家网络总监办公室制定流程，允许美国在Claude Mythos等AI系统发现的软件漏洞被公开前，与银行、地方公用事业和医院等关键基础设施运营商共享相关信息。
原定5月21日宣布的这项行政令，因科技行业内部人士施压而推迟。总统后来告诉记者，他不喜欢原版中的某些内容。经过白宫高层小范围会议讨论，最终敲定了这份精简版指令。新指令要求部分AI公司在模型公开发布前30天，自愿提交最强大的模型供政府审查。此前草案曾要求给予政府长达90天的审查期，一些行业官员则推动将期限缩短至14天。
民主与技术中心政策副总裁萨米尔·贾恩认为，让关键基础设施提供商在能力广泛可用前识别并修补漏洞，这个想法很有道理。但他也指出，行政令的流程不透明，公众难以了解基准测试过程。他说：“我们不希望出现任何政府可以任意决定模型是否、何时以及如何发布的情况，尤其是当它们可能以安全为借口，出于政治或意识形态原因阻止或阻碍模型发布时。不透明的程序为这种可能性留下了空间。”
特朗普在表达疑虑后决定以某种形式监管AI行业，这与他去年夏天发布的AI行动计划形成对比，那份计划对OpenAI等公司几乎未设限制。此前他的监管主要集中在意识形态层面，曾发布行政令限制联邦政府采购“操纵回应以迎合DEI等意识形态教条”的AI系统，还试图阻止科罗拉多和纽约等州通过自己的AI限制，并在司法部内成立AI诉讼工作组，挑战被总统视为“繁重”的州法律。贾恩表示：“就监管而言，更多是朝着意识形态目标。可以说，特朗普政府在AI相关风险和潜在危害方面相当放任。从这个意义上讲，这份行政令是一个变化，表明政府意识到AI构成真实的安全风险，需要采取行动来缓解或应对这些风险。”
