隐私日报 · 2026 年 10 月 22 日 · 星期四
PRIVACYHOT
新墨西哥州法院就剑桥分析隐私案裁定Meta支付250亿美元罚款
新墨西哥州法院文件显示，Meta因剑桥分析事件相关的数据隐私违规被处以250亿美元罚款。陪审团此前认定Meta违反该州不公平行为法4300万次，每次最高可罚5000美元，州方最初获判2200亿美元，法官Francis Mathew将其降至250亿美元，并按年息15%计息直至付清。
The Record原文 泄露与事件
Meta 的 Muse 分享链接设计缺陷暴露用户私人对话
安全公司 Claroc 的研究人员发现，Meta 的 AI 智能体 Muse 在生成分享链接时把对话标题放进子域名，被动 DNS 记录使这些链接可被公开检索，他们据此枚举出 6800 条用户分享链接。
BleepingComputerTeamUpdraft 网站遭入侵，UpdraftCentral 连接密钥被用于植入 WordPress 后门
TeamUpdraft 披露在 10 月 17-18 日周末发现 teamupdraft.com 遭未授权访问，攻击者疑似读取客户数据库，其中包含密码哈希、双因素认证设置以及 UpdraftCentral、UpdraftVault、UpdraftClone 的连接密钥。
Google 安全博客一手Google 因 eMudhra 中间 CA 私钥泄露在 Chrome 和 Android 中封禁相关证书
Chrome Root Program 于 2026 年 10 月 17 日收到报告，称 eMudhra 八个下属 CA 证书的私钥因随机性不足（弱加密熵）而泄露，任何人都可据此伪造受信任的 HTTPS 证书冒充任意网站。
攻击与追踪
arXiv 隐私论文一手ECHO 研究揭示匿名同行评审中审稿意见与投稿的关联
研究提出 review-to-submission linkage 问题，即匿名审稿意见可被关联到审稿人自己提交的论文，从而缩小审稿人匿名集。
arXiv 隐私论文一手AuthorizationBench：评估 LLM 智能体是否在用户授权范围内行事
研究团队提出 AuthorizationBench，基于真实案例构建 286 个可执行任务，覆盖情境触发、是否存在直接危害后果和十个应用领域，并在授权感知沙箱中用四个模型、两种推理强度、三种智能体框架执行，得到 6,864 条轨迹。
法规与执法
noyb一手noyb 胜诉：柏林数据保护机构认定主要政党微定向违法
柏林数据保护机构认定 CDU、SPD、Bündnis 90/Die Grünen 和 DIE LINKE 基于用户政治兴趣投放个性化政治广告缺乏合法性基础，处理个人数据违法。
产品与平台
Google 安全博客一手Chrome 默认在发起不安全 HTTP 连接前向用户请求许可
Chrome 安全团队宣布，Chrome 已默认对所有用户启用一项改动：在发起不安全的 HTTP 连接前明确向用户请求许可，此前该功能仅面向启用 Safe Browsing 增强保护模式的用户。