生成式 AI 用于跨国镇压的案例与 AI 厂商的应对
Anthropic 9 月的威胁情报报告列出国家相关行为者用 Claude 进行监控的案例，其中几件以居住在国外的异见人士为对象。Citizen Lab 研究者 10 月在 Just Security 的评论分析这份报告，建议 AI 厂商在披露与通知、检测与拒绝、保存证据三方面着手。报告与评论都没有给普通用户的设置建议。
整理 7 篇原文，来自 Anthropic、Just Security、Citizen Lab 等 6 个出处
Privacy Badger 的 macOS Safari 版
EFF 10 月 19 日推出阻止追踪器的扩展 Privacy Badger 的 Safari 版，只支持 Mac，需要 Safari 26.5 与 macOS 15.7.7 以上。到 11 月 8 日为止，iPhone 与 iPad 还没有 Safari 版。
整理 12 篇原文，来自 EFF、Apple、GitHub 等 5 个出处
Mac 打开 App 前的在线检查
你的 Mac 打开从网络下载的 App 时，会联网向 Apple 检查有没有已知的恶意软件。这一天，Apple 的公证服务出了问题，同一时段各地的 Mac 打开第三方 App 时卡住好几分钟或打不开。
美国边境电子设备搜查的件数与出国前的判断
依 FPF 11 月 4 日引述 CBC 取得的资料，美国海关及边境保护局（CBP）2026 财政年度前三季搜查旅客电子设备的件数比前一年同期多 32%。受影响的是出入境美国的旅客，非美国公民拒绝解锁可能被拒绝入境。携带消息来源资料赴美的人，出发前需要先决定被要求时要不要解锁。
整理 12 篇原文，来自 U.S. Customs and Border Protection、Freedom of the Press Foundation、CBP 等 9 个出处
旧版 iOS 与 Android 被利用的已知漏洞，以及锁定模式的绕过宣称
安全公司 Sekoia 11 月 4 日公布一起从网站攻击手机的活动。依报告，用到的漏洞全部已经修补，系统更新到最新的手机不受影响。研究团队 Calif 11 月 3 日另外贴出视频，宣称绕过 iPhone 的锁定模式，到 11 月 8 日为止没有技术细节与 Apple 的回应。
整理 33 篇原文，来自 Sekoia、Apple、Google Chrome Releases 等 13 个出处
在 Windows 最底层运行的反作弊与防拷软件
你电脑上有些游戏的反作弊软件在 Windows 最底层运行（2026 年 11 月查证）。这一天，Sony BMG 暂停制造内含防拷技术 XCP 的 CD，XCP 会在电脑上隐藏自己的文件。
印度记录网络审查的组织在 X 收到的账号下架请求
署名德里警方的两份通知 10 月底到 11 月初送到 X，要求移除或在印度扣留两个数字权利组织与一个记录封锁命令的账号。到 11 月 8 日，通知的真伪没有官方确认，也查不到 X 是否照办。依 X 的政策，扣留只限于提出请求的国家。
整理 18 篇原文，来自 SFLC.in、Internet Freedom Foundation、Newslaundry 等 13 个出处
荷兰 ASN Bank 的 Wero 付款与 Play Integrity 检查
依用户反馈，荷兰 ASN Bank 的 Android App 1.36.3 版（10 月中更新）起在 GrapheneOS 这类没有 Google 认证的系统上不时拦下 Wero 付款，App 仍可打开、查看账户。到 11 月 8 日本文查不到 ASN 的公告。打算改用 GrapheneOS 的人，可以把它当成银行付款功能改用 Google 检查的例子。
整理 10 篇原文，来自 GitHub、ASN Bank、Android Developers 等 8 个出处
缅甸联系人那端被封锁过的 Signal
你在缅甸的朋友手机上的 Signal，依 Freedom House 的记录在 2024 年被当局封锁过。这一天，缅甸监狱里的特别法庭不公开审理，判处一名博主 20 年 6 个月徒刑。
香港锐眼计划的人脸识别与商场镜头接入
据香港媒体转述警方 11 月 5 日的简报，锐眼计划预计 11 月内加入人脸识别，首批商场的镜头最快年底前接入。警方表示接入符合香港的私隐法例，到 11 月 8 日查不到私隐专员公署的公开回应，人脸识别与商场接入也都还没有启用的公告。在香港生活或到香港旅游、出差的人经过接入的商场时，画面可能进入警方的系统，香港以外的地方不受影响。
整理 18 篇原文，来自 Hong Kong Police Force、Hong Kong Free Press、星島頭條 等 16 个出处
OpenSSH 在 musl 系统上的长密码登录绕过漏洞
OpenSSH 11 月 5 日发布 10.6p2，修补超长密码可以登录没有设密码账号的漏洞。只有 Linux 上用 musl libc、不经 PAM 验证密码的 sshd 在范围内，例如 Alpine Linux。依 OpenSSH 维护者与 HKCERT 的说明，Debian、Ubuntu、Red Hat 这类用 glibc 的系统不在范围内，到 11 月 8 日两家发行版的跟踪页还没有标为不受影响。到 11 月 8 日，中国的漏洞库（CNVD、CNNVD）无法读取，没有取得相关条目。在 Alpine 上运行 sshd 的人要更新或关闭密码登录。
整理 14 篇原文，来自 OpenSSH、Alpine Linux、oss-security 等 14 个出处
Firefox 默认开启的跟踪保护
你的桌面版 Firefox 从 2022 年 6 月起默认让 Cookie 只能在创建它的网站使用，2026 年 11 月查证时开发中的源代码仍是如此。这一天，Mozilla 基金会发布 Firefox 1.0，内置弹出窗口拦截与协助防范钓鱼网站的功能。
加拿大 C-22 法案的参议院委员会审查与加密弱点的争论
加拿大的 C-22 合法访问法案 10 月 22 日在参议院二读通过，交付国家安全、国防与退伍军人事务委员会审查，到 11 月 7 日为止还没有三读。Citizen Lab 的研究员主张 6 月以来 AI 带动的网络威胁出现重大变化，通信系统不该再留下弱点。政府 5 月的备询材料则主张法案不要求建立后门，服务商可以拒绝会引入系统性漏洞的要求。加拿大以外的读者现在不需要调整设置。
整理 13 篇原文，来自 Parliament of Canada、Citizen Lab、Internet Society 等 10 个出处
iOS 27.2 用自拍估算年龄的成年确认
Apple 在 iOS 与 iPadOS 27.2 加入用自拍估算年龄、确认用户已成年的选项，依 Apple 的支持文档只在澳大利亚、巴西、新加坡与英国提供。到 11 月 7 日为止，中国大陆不在 Apple 列出需要确认年龄的地区内。
整理 15 篇原文，来自 Apple、Privacy Guides、Apple Developer 等 7 个出处
境内处理者把个人信息传到境外时的条件与主管部门
你的个人信息被境内的处理者传到境外前，依《个人信息保护法》须具备安全评估、专业机构认证、标准合同等条件之一（2026 年 11 月查证）。这一天，欧洲理事会开放签署一份议定书，要求缔约方设立完全独立的个人数据监督机关并限制个人数据传到保护不足的非缔约国家或组织。
菲律宾公民社会的 AI 风险盘点
菲律宾的 Foundation for Media Alternatives 整理两场工作坊的讨论，列出 AI 在劳动、虚假信息、隐私、环境与创意产业的风险，报告写明内容只代表参与者的看法。报告比较众议院的七件 AI 法案草案，并向国会、行政机关与平台提出建议。菲律宾以外的读者不受直接影响。
整理 6 篇原文，来自 Foundation for Media Alternatives、PhilStar、BusinessWorld 等 5 个出处
AI 加速找漏洞之后的个人防护与开源维护
EFF 10 月 23 日的两篇文章认为前沿 AI 模型让找漏洞变得便宜，电脑被入侵会更频繁。EFF 建议每个人更新浏览器与 App、改用密码管理器并提防钓鱼，也主张依赖开源的企业出钱出人维护。自己架网站的人另外要确认 PHP 已修补。
整理 18 篇原文，来自 EFF、The PHP Foundation、PHP 等 14 个出处
WeChat 个人信息的存放地点
你若用中国大陆区号 +86 以外的手机号码注册 WeChat，依 WeChat 的隐私政策个人信息存在新加坡与马来西亚的服务器。这一天，中国全国人大常委会通过《网络安全法》，要求关键信息基础设施的运营者把在境内收集的个人信息原则上存在境内。
执法单位把 Pixel 与 GrapheneOS 连上犯罪的说法与争议
多伦多一名警方消息来源 9 月向 The Globe and Mail 表示，枪击案的一支关键手机装了只支持 Pixel 的隐私强化系统 GrapheneOS，调查人员到报导时仍解不开。GrapheneOS 的官方账号 10 月 31 日起连发贴文，称荷兰与德国有国家支持的抹黑行动。加拿大、西班牙与法国的执法单位与 GrapheneOS 对谁在用、能不能解开与开发者的责任各有说法。
整理 21 篇原文，来自 GrapheneOS、The Globe and Mail、Xataka Android 等 12 个出处
检查 Microsoft 365 与 Google Workspace 设置的 CISA 免费工具
美国 CISA 10 月 22 日发布 ScubaGear v2.0.0 与 ScubaGoggles v1.1.0，免费比对组织的 Microsoft 365 与 Google Workspace 设置跟 CISA 的安全基线，生成报告。用得到的是组织的管理员，ScubaGear 只能在 Windows 运行，ScubaGoggles 要用超级管理员账号。
整理 19 篇原文，来自 GitHub、CISA、iThome 等 6 个出处
绑在账号上的电子邮件与电话号码
你在 X 注册时填的电子邮件或电话号码，依 1 月生效的隐私政策会跟账号连在一起。这一天，美国检方公开一份刑事控诉书，两名前 Twitter 员工被控替沙特政府查询批评该国政府的用户数据。
Character.AI 破产出售与用户对话记录的处置
聊天机器人平台 Character.AI 的运营公司 10 月在美国申请破产、准备出售资产。美国司法部的破产管理官与 39 州加华盛顿特区要求法院指派隐私监察人，就用户数据能否随资产出售、以什么条件出售向法院提供意见，公司主张隐私政策已允许转移。依 MLex 的报道，法官 10 月 30 日没有要求指派，但鼓励公司考虑。
整理 12 篇原文，来自 The Record from Recorded Future News、PPC Land、MLex 等 8 个出处
Tor Browser 16.0 与 Tails 7.16
Tor Browser 16.0 推出桌面版与 Android 版，改以 Firefox ESR 153 为基础。桌面版重新设计设置页，新增默认关闭的通用窗口标题，32 位 x86 Linux 从这一版起不再支持。Tails 7.16 把内置的 Tor Browser 更新到 16.0，Tails 7.0 或更新的版本可以自动升级。
整理 7 篇原文，来自 Tor Project、Tails、GreatFire 等 4 个出处
预装 Google 应用的 Android 手机定期传出的信息
你手上预装 Google 应用的 Android 手机可能会定期把崩溃报告、已安装的应用等信息发给 Google，Google 隐私权政策到 11 月 2 日查证时仍这样写。这一天，Google 等 34 家公司组成联盟，宣布开发开放源代码的手机平台 Android。
Article 19 数字支付手册的风险类别与七项策略
Article 19 发布正体中文与英文版的数字支付手册，以香港与英美之间的金融交易为例。手册整理银行、汇款服务与支付平台收集哪些数据、跟谁共享、保存多久，提出七项降低风险的策略，并写明类似的分析框架与策略也适用于其他地方。
整理 3 篇原文，来自 Article 19、中国人大网
AI 编程工具的扩展后门与恶意指引文件
太平洋时间 10 月 29 日从 Cursor 自家市场安装或更新 Claude Code 扩展 2.1.312、2.1.313 的 Windows 与 macOS 用户，可能装到含后门的版本。依 Anthropic 方面的说法，官方渠道的版本不受影响。另一份 10 月 22 日的研究记录了放进下载文件夹、诱使 Codex 安装恶意软件包的 Markdown 指引文件。
整理 10 篇原文，来自 Cursor、Forever Security、Ars Technica 等 9 个出处
美国互联网企业协助的境外通信收集
你用的美国邮件与云服务，企业可能被美国政府要求协助收集境外非美国人的通信。这一天，美国政府正式公布成立负责通信情报的国家安全局。
eMudhra 弱私钥事件的后续处置与 macOS 命令行工具
印度证书颁发机构 eMudhra 八张中间证书的私钥被算出之后，Apple、Microsoft 与 Chrome 都已封锁或移除相关证书，一般用户的浏览器、手机与电脑不必另外设置。macOS 内置的 git、curl 等命令行工具仍可能接受这些证书，到 11 月 2 日还没有查到 Apple 的修复。eMudhra 宣布退出公开 TLS 证书业务，到 11 月 1 日还没在事故单提交正式事故报告。
整理 10 篇原文，来自 Apple、Microsoft 365 Message Center Archive、Mozilla Bugzilla 等 9 个出处
iOS 27.2 的 Siri AI 排除 App 设置
iOS 27.2 在“设置”的 Siri 加入 Excluded Apps，可以选定不让 Siri、搜索与建议读取的 App。依 EFF 的文章，被排除的 App 连屏幕感知也不运作。iPhone 与 iPad 版的 Siri AI 在欧盟与中国大陆没有提供，到 11 月 2 日支持的语言也不含中文，设备与 Siri 语言设为中文的人暂时用不到 Siri AI。
整理 8 篇原文，来自 Apple、EFF
浏览器发送的「不要出售或分享」信号
有些浏览器可以替你向网站发送「不要出售或分享个人数据」的信号。这一天，加州选民以公投通过隐私权法，给居民要求企业不分享个人信息的权利。