#privacy

Postman 官方 GitHub 支持仓库中的一则议题指控，Postman 客户端会静默安装 AI 插件，并将 API 请求数据发送到其服务器，其中包括通过 \{\{secret\}\} 模板填入查询参数的实际密钥值。该说法来自议题及 Hacker News 讨论，现有材料未提供 Postman 的回应或独立验证。评论者还称，屏蔽相关日志端点会导致应用无法正常工作，并有人据此认为 Postman 不符合 HIPAA 要求。

公民实验室（Citizen Lab）的报告指控以色列公司 Discover Tech 将定向广告变成投放通道，用于向目标设备安装“零点击”雇佣兵间谍软件；该报告经 Hacker News 讨论及《卫报》《The Verge》报道扩散。报告对广告分发与命令控制（C2）环节有较具体描述，但没有清楚说明广告究竟通过何种机制触发恶意代码安装，因此“零点击”这一定性目前仍属研究方说法，缺乏可供独立核验的技术细节。对受影响用户与平台来说，触发机制与可问责主体这两个关键问题都尚未解决。

苹果表示，从 iOS、iPadOS、macOS 和 visionOS 27.3 起，通过“任何拥有链接的人”方式分享的 iCloud 内容将接受有害内容检查；仅分享给指定人员的内容不在所述范围内。若内容被判定有害，苹果保留移动、拒绝、修改或删除内容的权利，并可能限制或停用上传者的账户，必要时移交执法部门。上述措施属于苹果公布的计划，源内容未说明具体执行细节。

Simon Willison 的链接帖介绍 Colsto 的一项 OSINT 演示：从视频音轨中提取几乎听不见的飞机背景噪声，分析其多普勒曲线，再与 ADS-B 航班数据交叉比对，依据飞机速度、距离以及不同航班之间的间隔推断视频的精确拍摄位置。该帖认为方法很巧妙，但只是简短链接式介绍，未给出定位误差或可复现的验证数据，因此应把它视为一项已演示的技术，而非经过独立评测的通用定位工具。

GNU Taler is preparing for operation in Germany, drawing community debate over privacy, offline expiration, and regulatory constraints.

一篇帖子称，作者通过调查推动移除了 300 多个恶意 Tor 出口节点；帖子将此事与 SSH 中间人攻击的检测和处置联系起来。材料没有提供攻击时间线、涉及的具体托管商或独立验证结果，因此这仍是作者自述的调查结果。对 Tor 用户和出口节点运营者而言，帖子呈现的关键点是：恶意出口节点可参与 SSH 流量劫持，而 SSH 的主机密钥警告和密钥认证是讨论中的主要检测与防护手段。

署名 Scott Helme 的安全博文《Passkeys are not a trap》反驳了把通行密钥（passkeys）定性为“陷阱”的既有论述，主张通行密钥机制本身并非陷阱，争议涉及的核心是认证器证明（attestation）、平台锁定风险与用户体验。该文在 Hacker News 上引发约 607 条评论的讨论，但原文内容未被提供，本条仅依据标题、分析摘要与社区评论整理，无法核实文中具体的技术论证与例证。

据 Android Authority 报道，Google 正在静默地把用户手机号码关联到所有已登录账户，而不仅是最初使用该号码的账户。报道称这会影响 Android 用户和 Google 账户持有者，并引发对隐私与账户安全的担忧。目前缺乏 Google 官方说明，关联的触发条件、覆盖范围以及用户能否退出或解除关联仍不明确。