HackerNews 编译，转载请注明出处： 特朗普政府于6月6日发布升级版网络安全行政令，包含近十二项指令以强化国家安全，涵盖人工智能应用、后量子密码技术、物联网设备认证及应对国家级别网络威胁等领域。该行政令是对奥巴马政府2015年签署的13694号行政令及特朗普今年1月25日签署的《促进国家网络安全创新》14144号行政令的补充。 特朗普在行政令序言中强调：“我下令采取新行动提升国家网络安全防御能力，重点包括：保护数字基础设施、确保关键数字服务安全、增强应对核心威胁的能力”。 核心指令要点： 人工智能整合 要求2025年11月1日前将AI技术整合至联邦网络用于漏洞管理，并在8月1日前推进安全软件开发。身份安全企业CyberArk创新高级副总裁凯文·博切克指出：“全球AI竞争加速催生了新型攻击面，AI防御技术能快速识别漏洞、扩大威胁检测规模并实现自动化防护”。该指令同时要求11月前向学术研究界开放网络安全研究数据集。 后量子密码技术 针对量子计算机未来可能破解现有公钥密码体系的威胁，行政令要求联邦政府过渡至抗量子破解的加密算法，并在2025年12月前建立支持后量子密码(PQC)的产品动态清单。博切克特别警示“机器身份泛滥”风险：“当前企业机器身份数量已达人类身份的82倍，但68%机构缺乏AI身份管控能力”。 物联网与系统加固 指令要求2027年1月起所有联邦采购的物联网设备必须携带“美国网络信任标记”认证标签；美国国家标准与技术研究院(NIST)需在2025年9月更新安全补丁部署指南；联邦预算管理局(OMB)则获三年期限制定政府IT系统现代化改造及风险应对框架。       消息来源：  cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全格局因生成式AI的出现发生根本性转变。攻击者现在利用大语言模型（LLM）大规模伪造可信身份并自动化实施社会工程攻击。 最新威胁情报报告强调AI驱动攻击的复杂化趋势： 语音钓鱼激增：根据CrowdStrike《2025全球威胁报告》，2024年下半年语音钓鱼（vishing）攻击量较上半年激增442%，主因是AI生成的钓鱼语音和身份伪造技术。 社会工程主导攻击：Verizon《2025数据泄露调查报告》指出，钓鱼攻击和虚假借口仍是数据泄露的主要成因。 朝鲜深度伪造行动：朝鲜黑客组织被曝光使用深度伪造技术创建合成身份参与远程职位面试，试图渗透目标组织。 三大趋势推动AI冒充成为新型威胁载体： AI降低欺骗成本：借助开源音视频工具，攻击者仅需数分钟素材即可伪造任意身份。 虚拟协作暴露信任漏洞：Zoom、Teams和Slack等工具默认屏幕后用户的身份真实性，攻击者正利用这一假设。 概率式防御体系失效：现有深度伪造检测工具依赖面部标记分析进行概率判断，无法应对高精度伪造攻击。端点防护工具和用户培训虽有一定作用，但无法实时解答关键问题：正在对话的对象是否可信？ 传统检测技术存在根本缺陷：当前防御体系聚焦于事后检测，例如训练用户识别可疑行为或用AI分析人员真伪。但随着深度伪造技术快速进化，基于概率的工具已无法对抗AI生成的欺骗。 构建可验证的信任体系实现主动防御： 身份验证：仅允许持有加密凭证的授权用户加入敏感会议或聊天，取代传统密码/验证码机制。 设备完整性检查：若用户设备被感染、越狱或不合规，即使身份已验证也应阻止其接入会议，直至风险修复。 可视化信任标识：所有会议参与者需看到他人身份与设备安全的可验证证明，从而消除终端用户的判断负担。 Beyond Identity的RealityCheck方案专为填补协作工具信任缺口设计，通过以下功能实现实时防护： 身份核验：为每位参与者生成基于加密设备认证的可视化身份徽章。 动态风险检测：实时验证设备合规性，包括非托管设备。 跨平台支持：目前兼容Zoom和Microsoft Teams（视频与聊天功能）。 该方案通过构建无法被伪造的信任条件，在董事会会议、金融交易等高危场景中彻底阻断AI深度伪造攻击的渗透路径。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Lattica本周摆脱了隐形模式，推出了一个利用全同态加密（FHE）的平台，使AI模型能够处理加密数据。 全同态加密允许直接处理加密数据而无需先解密，这对于需要在不暴露敏感数据的情况下进行处理的应用场景至关重要。 Lattica平台可供AI供应商用于托管模型、管理访问和分配资源，终端用户则可通过该平台运行加密查询，因此数据永远不会暴露给AI供应商。 该解决方案采用“全同态加密抽象层（HEAL）”——一种基于云服务，旨在提升FHE性能并标准化其加速流程。 该组件充当FHE软件与硬件之间的桥梁，兼容CPU、GPU、TPU以及ASIC和FPGA芯片。 该公司表示，其平台特别适合金融、医疗和政府等对数据隐私和安全要求严格的领域，这些领域的数据顾虑可能限制AI技术的采用。 Lattica已获得由Konstantin Lomashuk旗下Cyber Fund领投的325万美元预种子轮融资。 Lattica创始人兼CEO Rotem Tsabary表示：“通过将硬件加速进展与软件优化相结合，我们不仅将FHE效率提升到商业可行水平，还解决了阻碍AI在敏感行业应用的关键数据困境。我们正在通过开发专为神经网络定制的解决方案，实现实用的全同态加密。”       消息来源： securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Netcraft最新报告显示，Darcula的钓鱼即服务（PhaaS）平台幕后运营者已为其网络犯罪工具包添加生成式人工智能（GenAI）功能。这项升级显著降低了钓鱼攻击的技术门槛，即使缺乏技术背景的犯罪分子也能在数分钟内创建定制化欺诈页面。 该平台新增的AI辅助功能具备以下威胁特性： 多语言支持：自动生成含本地化语言元素的钓鱼表单 智能克隆：可1:1复制任意品牌官方网站的界面设计 零代码操作：无需编程知识即可构建定制化钓鱼站点 攻击活动时间线 2024年3月：Netcraft首次曝光Darcula利用苹果iMessage/RCS协议发送伪装成USPS等邮政服务的钓鱼短信（Smishing） 2025年1月：运营者开始测试网站克隆功能 2025年4月23日：正式集成GenAI实现多语言钓鱼攻击自动化 瑞士网络安全公司PRODAFT追踪发现，该平台开发者代号LARVA-246，通过Telegram频道”xxhcvv/darcula_channel”进行销售。技术特征显示其与另一款钓鱼工具Lucid存在代码复用，两者均隶属于“Smishing Triad”犯罪生态，该组织长期实施全球性金融诈骗。 自2024年3月至今，Netcraft已下线25,000+个Darcula钓鱼页面，封禁31,000+个恶意IP地址以及标记90,000+个钓鱼域名。 Netcraft安全研究员Harry Everett警告：“这种技术革新使初级攻击者能在5分钟内完成钓鱼站点搭建与传播，全球金融机构需立即升级多因素认证体系。”（报告全文已提交FBI网络犯罪投诉中心）     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 攻击者正在利用一款名为Gamma的AI演示平台进行钓鱼攻击，将毫无戒心的用户引导至仿冒的微软登录页面。 Abnormal Security研究人员Callie Hinman Baron和Piotr Wojtyla在周二的分析报告中指出：“攻击者将Gamma（一种相对较新的基于AI演示工具）武器化，通过其向受害者发送虚假微软SharePoint登录门户的链接。” 攻击链始于钓鱼邮件（某些情况下通过合法但被入侵的邮箱账户发送），诱导收件人打开嵌入的PDF文档。 实际上，该PDF附件仅包含一个超链接。点击后，受害者会被重定向至托管在Gamma平台上的演示页面，并被提示点击“查看安全文档”按钮。 此操作会将用户带到一个仿冒微软的中间页面，要求他们在访问所谓文档前完成Cloudflare Turnstile验证步骤。这一验证码（CAPTCHA）环节既增强了攻击的真实性，也阻止了安全工具对链接进行自动化分析。 随后，目标用户将被导向伪装成微软SharePoint登录门户的钓鱼页面，攻击者试图窃取其凭证。 研究人员指出：“若用户输入错误凭证，页面会显示‘密码错误’提示，这表明攻击者使用了某种实时验证凭证的中间人（AiTM）手段。” 这一发现反映了当前钓鱼攻击的普遍趋势：攻击者滥用合法服务托管恶意内容，绕过SPF、DKIM、DMARC等邮件认证检查——这种技术被称为依赖可信站点生存（LOTS）。 研究人员表示：“这场复杂的多阶段攻击表明，如今的威胁行为者正利用小众工具产生的盲区规避检测、欺骗用户并实施账户入侵。” “攻击者并未直接链接至凭证窃取页面，而是将用户重定向至多个中间环节：首先是Gamma托管的演示页面，随后是受Cloudflare Turnstile保护的跳转页，最终到达仿冒的微软登录页面。这种多阶段跳转隐藏了真实目标，使静态链接分析工具难以追踪攻击路径。” 此次披露恰逢微软在其最新《网络信号》报告中警告称，AI驱动的欺诈攻击正在激增。攻击者利用深度伪造、语音克隆、钓鱼邮件、高仿假网站及虚假招聘信息生成可信内容以扩大攻击规模。 微软表示：“AI工具可扫描并抓取网络上的企业信息，帮助攻击者构建员工或其他目标的详细档案，从而设计极具说服力的社交工程诱饵。” “在某些案例中，攻击者通过伪造的AI增强产品评论和AI生成的网店页面，诱骗受害者陷入日益复杂的欺诈计划。诈骗者甚至创建完整的网站和电商品牌，编造虚假企业历史与客户评价。” 微软还宣布已对Storm-1811（又名STAC5777）组织的攻击采取行动。该组织通过Teams实施语音钓鱼（vishing），伪装成IT支持人员，诱骗受害者授予其设备远程访问权限以部署后续勒索软件。 然而，有证据表明，这场Teams钓鱼活动的幕后团伙可能正在改变策略。ReliaQuest最新报告显示，攻击者采用了一种此前未公开的持久化手段——通过TypeLib COM劫持和新型PowerShell后门逃避检测并维持对入侵系统的访问。 据称，该威胁组织自2025年1月起开发多版PowerShell恶意软件，早期版本通过恶意Bing广告投放。两个月后发现的攻击活动瞄准金融、专业服务及科技行业客户，重点针对女性化名字的高管层员工。 攻击链后期阶段的策略变化引发猜测：Storm-1811可能正在升级手法，或是分支组织所为，亦或是其他威胁行为者复制了其独有的初始入侵技术。 ReliaQuest指出：“钓鱼聊天信息的时间经过精心设计，集中在下午2点至3点之间（与目标组织的当地时间完全同步），利用员工午后警惕性较低的时段实施攻击。” “无论此次微软Teams钓鱼活动是否由Black Basta组织发起，可以肯定的是，通过Teams实施的钓鱼攻击不会消失。攻击者持续寻找绕过防御并潜伏在组织内部的巧妙方法。”     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 谷歌周三透露，该公司在2024年暂停了超过3920万个广告主账户，其中大部分账户在其向用户推送有害广告之前已被系统识别并拦截。 这家科技巨头表示，去年总计屏蔽了51亿条违规广告，限制了91亿条广告，并在13亿个页面上屏蔽或限制了广告展示。此外，该公司还因诈骗相关违规行为暂停了超过500万个账户。 前六类广告政策违规行为包括：广告网络滥用（7.931亿次）、商标滥用（5.031亿次）、个性化广告违规（4.913亿次）、法律要求不达标（2.803亿次）、金融服务违规（1.937亿次）以及虚假陈述（1.469亿次）等。 被屏蔽或限制广告的页面大多涉及以下内容：色情信息、危险或贬损性内容、恶意软件、令人不适的内容、武器推广与销售、在线赌博、烟草/酒精销售或滥用、知识产权侵权以及露骨性内容。 谷歌表示，其一直在使用人工智能（AI）驱动的工具快速标记新兴威胁和滥用模式，通过企业身份仿冒和非法支付信息等信号作为早期指标来打击广告欺诈。 该公司在提供给《黑客新闻》的声明中称：我们打击了利用AI生成的深度伪造技术进行的公众人物仿冒诈骗，为此类违规行为暂停了超过70万个账户。作为更广泛行动的一部分，我们共屏蔽/移除了4.15亿条广告，并因诈骗违规暂停了超500万个账户。 谷歌还提到，已将广告主身份验证计划扩展至200多个国家和地区，以提高透明度并加强对选举广告中AI生成内容的管控。2024年，超过8900个新注册的选举广告主通过验证，同时移除了来自未经验证账户的1070万条选举广告。 谷歌持续加强广告安全的举措，源于恶意广告（malvertising）仍是恶意软件初始传播的重要渠道——攻击者通过滥用谷歌搜索（及其他搜索引擎）的欺诈性广告，将用户引导至虚假网站。 该公司强调：广告安全形势不断变化，受AI技术进步、新兴滥用策略及全球事件的影响，行业需要持续保持敏捷应对能力。     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Meta宣布将使用公开的欧盟用户数据来训练AI模型，恢复了去年因爱尔兰数据保护问题而暂停的计划。 Meta将开始使用欧盟成年人的公共数据来训练其AI模型，此前该计划因爱尔兰监管机构提出的数据保护问题于去年暂停。 2024年6月，这家社交媒体巨头宣布，应爱尔兰数据保护委员会（DPC）的要求，将推迟使用成年人在Facebook和Instagram上共享的公共内容对其大型语言模型（LLM）进行训练。 Meta对DPC的要求表示失望，公司指出这是“欧洲创新、AI开发竞争的倒退，将进一步延迟AI技术为欧洲民众带来的好处”。 “我们对爱尔兰数据保护委员会（DPC）作为欧洲数据保护机构（DPAs）牵头监管方提出的延迟训练要求感到失望，特别是我们已采纳监管反馈，且自3月起就持续向欧洲DPAs通报进展。”Meta在声明中表示，“这对欧洲创新、AI开发竞争是倒退之举，也将延后AI技术为欧洲民众带来的好处。” 该公司解释说，其人工智能，包括Llama LLM，已经在世界其他地区上市。Meta解释说，为了向其欧洲地区提供更好的服务，它需要就反映欧洲人民不同语言、地理和文化背景的相关信息对模型进行训练。出于这个原因，该公司最初计划使用其在欧盟的欧洲用户在其产品和服务上公开声明的内容来训练其大型语言模型。 Meta现在证实，它将恢复使用欧盟个人的公共数据训练其AI模型。 该公司发表的一篇帖子写道：“在欧盟，我们很快将开始训练我们的人工智能模型，了解人们在Meta上与人工智能的互动，以及成年人在Meta Products上共享的公共内容。”。“通过教授我们的生成式AI模型，更好地理解和反映他们的文化、语言和历史，这次培训将更好地支持欧洲数百万人和企业。” 该公司指出，欧盟用户可以选择反对将其公共数据用于AI训练的目的。从本周开始，欧盟用户将收到关于他们的数据被用于训练AI的通知，并可以随时选择反对。 Meta表示，他们不会使用人们与朋友和家人的私人信息来训练他们的生成AI模型。它还补充说，欧盟18岁以下人员账户中的公共数据不会用于训练目的。 “我们认为，我们有责任打造的 AI 不仅要让欧洲人能够使用，更要真正为他们而建。这就是为什么我们的生成式 AI 模型需要基于各种各样的数据进行训练，以便能够理解构成欧洲社区的那些令人惊叹的、丰富多样的细微差别和复杂性。”帖子总结道。“值得注意的是，我们正在进行的人工智能培训并不是Meta独有的，也不会是欧洲独有的。这就是我们自推出以来为其他地区训练生成式人工智能模型的方式。我们正在效仿包括谷歌和OpenAI在内的其他公司的榜样，这两家公司都已经使用欧洲用户的数据来训练他们的人工智能模型。我们很自豪我们的方法比许多行业同行更透明。”     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 西班牙警方逮捕了六名利用人工智能工具进行大规模加密货币投资诈骗的个人，该诈骗利用深度伪造广告展示知名公众人物，以吸引人们参与。 该诈骗非常成功，从全球 208 名受害者那里骗取了 1900 万欧元（约合 2090 万美元）。 代号为“COINBLACK – WENDMINE”的警方行动始于两年前，当时一名受害者提交了投诉。行动导致在格拉纳达和阿利坎特地区逮捕了六名年龄在 34 至 57 岁之间的个人。 此外，在警方突袭中还查获了 10 万欧元、手机、电脑、硬盘、枪支和文件。 警方的公告强调了行动的复杂性，解释说犯罪分子创建了多个空壳公司来洗钱。同时，该团伙的头目使用了超过 50 个不同的化名。 该诈骗有多个阶段，从典型的“浪漫诱饵诈骗”或威胁行为者冒充“财务顾问”开始，最后以假的资金回收索赔告终。 受害者是通过算法选择的，这些算法挑选出符合网络犯罪分子目标要求的个人，然后通过人工智能生成的深度伪造广告进行针对性攻击。 “在人工智能的帮助下，诈骗者创建了假广告，展示知名国家人物似乎在推荐投资这些产品，”西班牙国家警察的公告解释道。 “这显著增加了受害者对投资安全性和盈利性的信任。” 受害者最初在本质上是假平台的大型投资回报上看到了虚假数字。 在某个时候，冒充财务顾问甚至模拟与受害者建立浪漫关系的诈骗者告知他们，他们的投资已被冻结，只有在他们支付一大笔款项后才能取回资金。 在最后阶段，受害者再次被诈骗者联系，这些诈骗者现在冒充欧洲刑警组织的特工或英国律师，声称他们的资金已被追回，只需支付当地税费即可取回资金。 警方提醒公众警惕保证回报的承诺，并在存入任何资金之前始终验证投资平台的合法性和可信度。 其他警示信号包括投资压力、无法提款、意外的余额“冻结”以及关于额外“费用/税费”的说法，这些费用/税费据称是取款所需的。 如今，创建逼真的 AI 生成深度伪造视频变得轻而易举，因此用户不应受据称推广投资平台的名人影响。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

施耐德电气的一份报告考虑了四种可能的情况，并提出了一些指导原则以防止其失控，报告指出政策制定者需要谨慎引导人工智能数据中心未来的电力消耗。 能源基础设施企业施耐德电气在上个月召开的国际能源署全球能源与人工智能大会之后发布了这项研究报告。该研究题为《人工智能与电力：系统动力学方法》，研究了与人工智能相关的新兴思想流派及其对电力消费的影响。 关于人工智能（尤其是生成式人工智能）的兴起已经有很多报道，这导致人们在高性能和高功耗的基础设施上进行巨额投资，以开发和训练模型。 报告指出，现有的数据中心基础设施需要大量能源才能运行，并且需要额外的资源来支持预期的人工智能应用增长。这已经引发了人们对电网潜在压力和环境影响的担忧，如果人工智能的能源需求继续以目前的速度增长。 施耐德模拟了四种不同的情景，并将它们分别称为：可持续人工智能、增长极限、无边界富足和能源危机。这四种情景都预测 2025 年至 2030 年期间能源消耗将呈总体上升趋势，但此后根据每种情景所依据的假设，会出现明显分歧。 可持续人工智能着眼于在能源消耗稳步增长的同时优先考虑效率的潜在结果，而“增长的极限”则概述了人工智能发展受到自然或人类相关限制的受限路径。“无边界的富足”考虑了不受控制的增长的潜在风险，而“能源危机”情景则研究了能源需求和生产不匹配如何可能导致大面积短缺。 施耐德表示，可持续人工智能代表了一种有前景的方法，根据其模型，能源消耗将由预计的 2025 年 100 太瓦时 (TWh) 上升至 2035 年的 785 TWh。 在此情景下，到 2027-2028 年，GenAI 推理将成为人工智能领域电力消耗的主要驱动力，但也将转向更高效、能耗更低的模型。报告指出，其“特点是人工智能基础设施与需求之间的共生关系，效率和资源节约相互促进。” 《增长的极限》报告指出，GenAI 推理的持续应用容易受到电力和基础设施的限制。报告预计，到 2030 年，AI 的总能耗将从 2025 年的 100 TWh 基线增长到 510 TWh，但关键数据中心枢纽的电网电力供应、专用 AI 芯片的制造瓶颈以及大型语言模型的数据稀缺等挑战都将对其造成影响。 “无边界富足”情景表明，人工智能系统的快速和不受约束的发展有可能导致军备竞赛持续，基础设施规模越来越大、越来越强大，超出了可持续资源利用的能力。 施耐德预测，人工智能的总能耗将从 2025 年的 100 TWh 大幅上升至 2030 年的 880 TWh，并继续呈上升趋势，到 2035 年将达到惊人的 1,370 TWh。 这种情景体现了杰文斯悖论，即人工智能效率的提高反而导致整体能源消耗增加。它预测人工智能和数据中心将毫无障碍地扩张，因为技术乐观主义者推动人工智能在各个领域的快速部署，相信人工智能的进步将解决任何资源限制。 最后，能源危机模型预测人工智能的快速增长将导致其能源需求与经济的其他关键部门发生冲突。这将引发各种负面结果，包括经济衰退和依赖人工智能的行业面临的严峻运营挑战。 其中，人工智能能源消耗预计在2029年左右达到峰值，约670TWh，随后到2032年降至约380TWh，2035年进一步降至190TWh。报告称，不协调的人工智能治理将导致政策碎片化，从而造成全球或局部能源短缺。 施耐德列出了一系列可持续人工智能的建议，分为三个主要领域：人工智能基础设施；人工智能发展；以及治理、标准和教育。 第一条建议是，下一代数据中心应采用最新的冷却技术、高密度计算和现代节能 AI 硬件（如 GPU 和 TPU）进行优化。运营商应定期评估和升级基础设施，同时致力于提高数据中心的能源使用效率 (PUE)。 它还建议加快部署现场可再生能源发电，并结合先进的储能解决方案，以确保稳定的电力供应，并投资固态电池或储氢等技术。 公用事业公司还应为人工智能日益增长的能源需求做好规划，这将涉及与能源供应商、政策制定者和人工智能公司的合作，制定全面的战略。 报告指出，在人工智能发展方面，建议通过模型修剪、量化和轻量级架构等技术提高模型效率，同时开发测量的人工智能硬件功率配置文件。 人工智能公司应该为人工智能项目设立明确的关键绩效指标（KPI），包括能源效率和环境影响以及业务成果，同时应将循环经济原则应用于人工智能硬件和软件，以最大限度地减少负面影响。 至于治理、标准和教育，施耐德表示，政策制定者应该制定并实施可持续人工智能实践的认证计划，并为能源效率和环境影响制定明确、可衡量的标准。 此外，强大的人工智能治理框架应指导负责任的人工智能开发和部署，解决能源消耗、数据隐私和道德问题。 该报告还提倡人工智能教育项目，强调可持续做法对于培养一支能够应对未来挑战的劳动力队伍至关重要。例如，企业应该与教育机构建立合作伙伴关系，创建将人工智能技术技能与环保意识相结合的培训项目。 报告的很大一部分内容是附录，讨论了施耐德研究人员在制定和传达他们的情景时采用的方法，供有兴趣的人参考。这涉及创建系统动力学未来模型，以尝试回答有关可能结果的“假设”问题，以及影响这些结果的各种因素和权重。 作者还补充了免责声明，称他们知道在试图预测未来情景时会涉及妥协。报告称，虽然这项研究提供了对潜在人工智能电力消耗情景的洞察，但它强调了需要进一步研究的领域。 这些措施包括通过全面的生命周期评估（涵盖制造、数据中心建设和报废处理）更好地了解人工智能的环境足迹。报告指出，未来的研究还应改进本研究中使用的系统动力学模型，以更有效地捕捉不同行业和应用领域对人工智能需求的动态性质。 施耐德电气可持续发展研究所所长雷米·帕库 (Rémi Paccou) 在前言中表示，这项研究的目的并非是规范性的，而是通过探索这些潜在的未来，希望能够让利益相关者做好准备，应对未来的挑战和机遇。 “我们希望它能成为明智讨论和决策的起点。我们在提出研究成果时认识到，人工智能是一个快速发展的领域，我们的知识也在不断增长。”他说。 总体信息是，政府和行业领导者需要制定战略计划，以平衡人工智能发展与环境和经济可持续性。   转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/zTBtmtieXvnAcDVhSmK-rA 封面来源于网络，如有侵权请联系删除

网络安全研究人员发现，可以使用大型语言模型 (LLM) 大规模生成恶意 JavaScript 代码的新变种，以更好地逃避检测。 Palo Alto Networks Unit 42 研究人员在一项新报告中表示： “尽管 LLM 很难从头开始创建恶意软件，但犯罪分子可以很容易地使用它们来重写或混淆现有的恶意软件，使其更难检测。” “犯罪分子可以促使 LLM 执行看起来更自然的转换，这使得检测这种恶意软件更具挑战性。” 随着时间的推移，经过足够多的转换，该方法可以降低恶意软件分类系统的性能，诱使它们相信一段恶意代码实际上是良性的。 尽管 LLM 提供商已不断加强安全防护，以防止其出轨并产生意外输出，但恶意开发人员却宣传使用WormGPT等工具来自动编写令人信服的网络钓鱼电子邮件，这些电子邮件针对潜在目标，甚至会创建新的恶意软件。 早在 2024 年 10 月，OpenAI就披露它阻止了 20 多项试图使用其平台进行侦察、漏洞研究、脚本支持和调试的操作和欺骗网络。 Unit 42 表示，它利用 LLM 的强大功能迭代重写现有的恶意软件样本，目的是绕过“无罪推定”（IUPG）或PhishingJS等机器学习（ML）模型的检测，从而有效地为创建 10,000 种新型 JavaScript 变体铺平了道路，同时又不改变其功能。 对抗性机器学习技术旨在每次将恶意软件作为输入输入系统时，使用各种方法对其进行转换——即变量重命名、字符串拆分、垃圾代码插入、删除不必要的空格以及完全重新实现代码。 该公司表示：“最终的输出是恶意 JavaScript 的新变种，它保持了与原始脚本相同的行为，但恶意分数几乎总是低得多。”并补充说，算法在 88% 的时间内将其恶意软件分类器模型的判定从恶意转变为良性。 更糟糕的是，这些重写的 JavaScript 工件在上传到 VirusTotal 平台时也会逃避其他恶意软件分析器的检测。 基于 LLM 的混淆提供的另一个关键优势是，它的大量重写看起来比 obfuscator.io 等库实现的重写自然得多，后者由于它们对源代码引入更改的方式，更容易可靠地检测和指纹识别。 Unit 42 表示：“在生成式人工智能的帮助下，新的恶意代码变种的规模可能会增加。不过，我们可以使用相同的策略来重写恶意代码，以帮助生成可以提高机器学习模型稳健性的训练数据。”       转自军哥网络安全读报，原文链接：https://mp.weixin.qq.com/s/iSCmefHzaCwcHO0tuNkk2w 封面来源于网络，如有侵权请联系删除