OpenAI 在 bzr.openai.com 上的广告收集器会设置名为 __obi、作用域为 .openai.com 的 Cookie。该 Cookie 的值在用户访问 ChatGPT 期间生效，并与用户的 ChatGPT 账户绑定。随后，__obi 会从用户访问的其它网站发送回 OpenAI。任何在 ChatGPT 上购买广告的公司，都会在其自己的网站上添加一小段 OpenAI 代码，其方式与添加 Meta 和 Google 跟踪代码的方式相同。加载该代码会将 __obi 以及有关用户浏览页面的数据（包括搜索的产品、正在阅读的文章以及购买行为）发送给 OpenAI。OpenAI 可将用户在这些网站上的行为与其 ChatGPT 账户关联起来。通过广告收集器 ChatGPT 知道你在其它网站的活动。

在开发者发现 ZCode 会将用户整个工作区打包上传后，AI 公司智谱推出数据不留存功能。智谱星期天晚在微信公众号宣布，其“模型即服务”（Model as a Service，MaaS）平台将于近期正式推出“数据内容不留存”功能，将不对用户的模型调用输入、输出内容进行任何形式的静态存储，数据仅在当次调用过程中临时使用。企业和开发者用户可通过智谱 Maa S控制台提交开通申请。零数据留存即用户提交给模型的提示词（Prompt）、模型返回的生成结果，仅在服务器内存中参与当次推理计算；一旦请求处理完成，相关数据不会存储，也不会被用于模型迭代训练。智谱同时明确，数据不留存机制存在两种例外情况。一是由产品形态决定的功能型存储，包括 Batch API（批处理接口）、Files API（文件管理接口），其存储逻辑由产品特性需求决定。另一类是合规性，根据国家法律法规要求，或为核查涉嫌违规、滥用服务的行为，平台可能留存对应数据 30 天及以上。

本周早期时候，YouTube 主播 Gamers Nexus 与独立安全研究人员合作，发现 LG 的智能电视机即便在离线或待机模式下也会持续记录并上传用户数据。LG 电视还会扫描 Wi-Fi 网络、记录音频日志，采样音视频输入内容以识别用户正在观看的节目。LG 在一则声明中称视频内容不实，“LG 电视仅在用户按住遥控器上的语音按钮，或在激活 Far-Field 功能后识别出‘Hi LG’等唤醒词时，才会处理语音数据。”LG 表示除此之外其智能电视不会收集或记录环境中的对话。如果未识别出唤醒词，电视不会向服务器传输任何语音数据，针对唤醒词的音频处理是在设备本地完成的。LG 声称 Automatic content recognition (ACR)是可选启用的功能，旨在提供个性化的内容推荐、服务及广告。在默认情况下，未经用户同意，ACR 数据不会被用于广告目的。

根据 YouTube 主播 Gamers Nexus、Level1Techs 以及独立安全研究员合作展开的调查，测试了包括 G5 在内的零售 LG OLED 电视机，发现 LG 智能电视会在屏幕关闭但没有断电的待机状态下扫描家庭网络，寻找手机和智能手表等设备和记录麦克风音频。除了内部 IP 地址，智能电视还会收集邻近 Wi-Fi 网络的名称、信号强度以及位置数据。收集的数据会发送到 LG 的定向广告部门 LG Ad Solutions。LG 称其智能电视的全球销量约为 2.16 亿台，支持内容识别 Automated Content Recognition (ACR)技术，会将屏幕上的音频和视频采样成数字指纹，记录用户在不同输入源上的观看内容。当研究人员断开电视与网络的连接后，电视仍然会将语音输入保存到本地，在网络连接恢复后上传这些文件。研究人员建议用户直接断开 LG 电视与互联网的连接，改用外部串流设备。

加州居民从 8 月 1 日起可要求数据经纪商删除个人数据。Delete Request and Opt-Out Platform (DROP) 允许加州居民通过一次性选择加入的方式，从数百个数据处理中心删除个人信息。此前用户要删除个人信息需要联系每个数据处理商。数据处理商需要在 90 天内删除用户的数据，之后每 45 天删除一次。加州是美国第一个创建易于使用的数据删除系统的州，

Google 账号加入了可选的人脸识别登录。用户向 Google 提供自拍视频，随后就可通过人脸识别登录。在人脸验证过程中 Google 可能会要求用户以特定方式转动头部，此举旨在防止深度伪造之类的身份冒用，确保用户当前确实在摄像头前。Google 需要保存用户的自拍视频以将其用于未来的登录验证。搜索巨人表示会对视频进行加密，且仅用于登录不会用于其它用途。如果用户改变主意，可以从 Google 帐户中删除相关视频。

xAI 在 GitHub 上公开了其辅助编程智能体 Grok Build 的源代码，此举可能是某种重新赢得用户信任的补救措施。因为在这之前它被发现存在严重的隐私安全问题，会上传用户的完整代码库。Grok Build 被发现在读取或处理文件时，该文件的内容未经任何编辑就被传输到 xAI 使用的 Google Cloud Storage 中。Grok Build 的数据保留远超 Claude Code、Gemini 和 Codex 等类似工具。有 Grok Build 用户报告，包含 SSH 密钥、密码管理器数据库等的完整用户目录都被上传了。Elon Musk 表示该公司将彻底删除此前上传到服务器上的用户数据。

最近的一起案件显示微软能利用唯一设备标识符跟踪用户。该标识符被称为 Global Device Identifier（GDID），它关联用户使用的微软账号（Microsoft Account）。当用户使用微软账号登陆 Windows 时，微软会读取 Device PUID（Passport Unique ID，位于注册表 HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties 下），然后分配一个唯一永久 ID，该 ID 号储存在本地，多个后台服务会读取该 ID 号，并添加到操作系统向微软报告的所有活动中。重新安装 Windows 后，用户会分配到一个新的 ID 号，新旧 ID 号很容易与同一个账号关联起来。

从下半年发布的 Windows 11 26H2 起，微软将对符合条件的企业设备默认启用云备份，但欧盟地区除外。被称为 Windows settings backup and restore 的功能将备份设备的设置和已安装 Microsoft Store 应用列表，用户可以将备份恢复到新设备上。微软称，想象下笔记本电脑丢失、硬件更新或意外重启。这些情况下用户最需要备份，而用户最不希望看到的就是备份功能从未启用。对于受到欧盟数字市场法案 (Digital Markets Act) 监管的组织，云备份不会默认启用。

美国最高法院裁决智能手机的地理位置数据受宪法第四修正案的保护。在 Chatrie v US 一案中，最高法院以 6 比 3 判决政府败诉。大法官 Elena Kagan 执笔多数判决书，指出地理围栏搜查令获取的敏感数据属于第四修正案规定的搜查范围，即使个人身处公共场所也享有“合理的隐私期望”，“个人对其手机位置记录享有合理的隐私期望，警方索取这些信息——即使只是在有限的时间范围内，且是从第三方科技公司获取——也侵犯了这种受宪法保护的权利。”Okello Chatrie 在 2019 年 5 月 20 日持枪抢劫了一家银行，抢走 19.5 万美元后逃走。当地警方利用地理围栏搜查令让 Google 提供了抢劫前后 30 分钟内距离银行 150 米范围内的所有设备关联的账号信息。其中一个账号就是 Chatrie。他曾选择启用 Google 的“位置历史记录”功能，该功能每隔几分钟就会记录他的位置。在认罪后他被判处 12 年监禁。他的律师认为，地理围栏搜查令搜查范围过广，侵犯了他受宪法第四修正案保护的权利。美国政府则认为执法部门只获取少量手机位置信息，不属于第四修正案所指的搜查，因而不应享有同样的隐私保护。大法官们站在了政府的对立面。乔治城大学法学教授 Paul Ohm 表示，最高法院重申，警方需要搜查令才能将 Google 位置追踪等私人服务转变为国家监控工具。

54 岁的伊利诺伊州 Holiday Hills 警长 William C. Copp 于 6 月 18 日被捕，他被控了两项渎职罪。检方指控他利用 Flock Group 公司的车牌跟踪系统跟踪了六名他认识的人，其中三人是其前女友，他特别跟踪了一名前女友的前男友——在数月内查询了至少 140 次，这名男子为此申请了禁止接触令。Institute for Justice 的统计显示，截至 2026 年 6 月全美至少发生了 18 起警察利用 Flock 车牌跟踪系统跟踪熟人的案件。举例来说，爱达荷州 Jerome 县的一名警长在三个月内查询了其妻子车牌逾 700 次；堪萨斯州 Sedgwick 前警长对其前女友的车牌进行了 164 次查询，对前女友现任男友的车牌进行了 64 次查询；密尔沃基一名警官追踪其伴侣及其前任逾 100 次...Flock 的数据库查询不需要搜查令，该公司声称要求搜索令可能会在紧急情况下危及生命。ACLU、EFF 以及 Institute for Justice 等都坚持查询车牌需要搜查令。

Google 将要求用户在摄像头前挥手以证明自己是人类而不是机器人。它提供的区分机器人和人类检测服务 reCAPTCHA 引入了手势验证。Google 表示，在手势验证期间它会分析用户在执行各种操作或手势时的一段或多段手部视频，系统会处理视频以提取手部关键点的坐标数据，其中包括 21 个指关节关键点坐标。Google 声称，视频绝不会与用户的身份相关联，并且会在验证流程结束后删除。系统绝不会录制音频。

美国联邦通信委员会(FCC)想要杀死匿名的一次性手机，计划通过法律强制要求电信公司存储手机用户的个人信息，相关个人信息包括政府颁发的身份识别号码和实际地址。此举引发了隐私倡导者和民权活动人士的担忧，认为美国在向专制国家看齐。FCC 给出的理由是打击诈骗，旨在阻止诈骗分子接入电信网络，“执法人员能更好地识别诈骗分子”。FCC 将这些措施比作银行为防止洗钱而收集的数据。

Meta 最近开始在美国员工电脑上安装追踪软件，捕捉员工鼠标移动、点击和按键数据以用于训练 AI 模型，此举是该公司构建能自动执行工作任务的 AI 智能体的大计划的一部分。被称为 Model Capability Initiative(MCI)的工具在公司内部引发了强烈反对，部分员工为此发起了一项请愿活动，已有逾 1500 人签名。有匿名员工认为公司的行为“非常反乌托邦”。根据周二发给员工的一份内部备忘录，Meta 略微后退了一步，允许员工退出跟踪，“每次最长 30 分钟”，员工也可以申请永久退出该跟踪计划。

浏览器已经演变成类似操作系统的复杂平台，但不断加入的新特性也增加了浏览器的攻击面，引入新的漏洞。最新的攻击被称为 FROST(fingerprinting remotely using OPFS-based SSD timing)，通过测量用户使用的 SSD 的部分 I/O（输入/输出）操作时序，攻击者能识别用户在浏览器标签页打开的网站以及正在运行的应用程序。FROST 攻击无需任何交互，只需打开执行攻击的网站。FROST 攻击完全在浏览器中运行。它使用 JavaScript 与 OPFS（origin private file system）交互。OPFS 是 Web API 的一部分，是一个为特定网站预留的专属存储空间，用于运行完成特定任务所需的目标代码。网站无需任何交互就可以直接创建该空间。该攻击的一大缺陷是需要的 OPFS 文件比较大，可能需要 1GB 左右，因此会容易检测出来。

用户通过社交媒体报告，摩托罗拉手机预装的一个应用 Smart Feed 在更新之后开始劫持亚马逊应用植入联盟营销推广码获取佣金。非常奇怪的是，推广码 sramz-kff-008-20 指向的是一名时尚博主“@kirasfashionfinds”，也就是佣金给的不是 Smart Feed 而是这位博主。暂时不清楚究竟发生了什么。受影响的用户可通过禁用 Smart Feed 关闭推广码，方法是：Settings > Apps > 搜索定位到 “Smart Feed” > Disable。

劳工保护组织 More Perfect Union 公开了扎克伯格（Mark Zuckerberg）上月底回答员工有关设备监控提问的六分钟录音。Meta 上个月通知员工将使用名为 Model Capability Initiative 的监控工具监控员工的鼠标点击和按键，此举旨在收集数据训练 AI 模型。扎克伯格在回答中为监控员工辩护，称如果想训练模型的编程能力，那么让内部员工去开发一些工具，或者去解决一些任务，以此来教模型如何写代码——这种方式能让模型在编程能力上实现飞跃。这种速度是行业内其他对手无法企及的，因为他们的公司没有成千上万名顶尖工程师，“这只是一个例子。我们的系统还需要非常擅长的一点就是‘操作电脑’。而要让一个系统学会熟练操作电脑，最有效的办法就是让它去观察极其聪明的人是如何操作电脑的。这基本上就是我们目前正在做的事情的核心本质。”扎克伯格表示不会监视员工的工作行为，MCI 数据不会用于绩效评估。因为欧盟的 GDPR 法律，Meta 位于欧洲的员工据报道不用参与该计划。Meta 并非唯一一家通过员工获取 AI 训练数据的科技公司，微软和 xAI 也在利用内部员工生成和完善训练数据集。

在 openSUSE 之后，Fedora 发行版移除了深度桌面环境包（Deepin Desktop）。2025 年初 SUSE 安全团队在一次例行审查中发现深度桌面环境有名叫 deepin-feature-enable 的软件包，该软件包是在 2021 年 4 月加入的，并没有咨询或通知 SUSE，它包含了一个“许可协议对话框（license agreement dialog）”，基本上说讲因为 openSUSE 的安全规定，它禁用了 deepin-api 和 deepin-daemon 需要的所有 dbus 和 polkit 功能，这可能导致 Deepin Desktop 不能正常工作，部分功能无效。如果用户不在意这些安全问题，可选择点击确认，之后会自动安装缺少的 dbus 和 polkit。安全团队的调查发现，deepin-daemon 中的核心组件从未递交进行安全审查，它们被悄悄的引入到了 openSUSE 中。鉴于 Deepin 社区过去几年多次违规，openSUSE 决定移除 Deepin Desktop。Fedora 项目随后也对深度桌面环境包展开安全审查，期间开发者发现难以联系部分深度软件包的维护者，因为安全担忧和软件包缺乏维护，它最终决定移除深度桌面环境。

以保护青少年的名义，英国考虑限制 VPN 的使用，阻止青少年使用 VPN 绕过年龄验证系统。Mozilla 对此表达了反对意见。它的 Firefox 浏览器提供了 VPN 服务。Mozilla 在官方博客上表示，其使命是基于以下信念：互联网必须保持开放，人人可访问；在线隐私和安全是基本人权。保护青少年的在线安全是当今最紧迫且最具挑战性的问题之一，但强制性年龄验证和限制访问 VPN 等生硬的干预措施，不能有效改善青少年的网络安全，反而会损害所有用户的基本权利。VPN 是各年龄段用户重要的隐私和安全工具。通过隐藏用户的 IP 地址，VPN 帮助保护用户的位置信息，减少追踪，避免基于 IP 地址的个人信息剖析。人们出于不同原因使用 VPN：远程连接到学校或雇主的网络、规避审查，或者仅仅是为了保护自己的在线隐私和安全。VPN 能提升所有人的在线安全防护水平。Mozilla 认为，监管机构与其限制青少年使用 VPN，不如通过追究平台的责任、鼓励负责任的使用家长控制功能、投资于数字技能以及采取全社会参与的数字健康方法，从根本上解决网络危害。

Meta 最近开始在美国员工电脑上安装追踪软件，捕捉员工鼠标移动、点击和按键数据以用于训练 AI 模型，此举是该公司构建能自动执行工作任务的 AI 智能体的大计划的一部分。被称为 Model Capability Initiative(MCI)的工具将在工作相关应用和网站上运行，会不定时截取屏幕内容的快照。本周二 Meta 员工在多个办公室散发传单抗议公司的跟踪软件。传单出现在办公室会议室、自动售货机和卫生纸架上，鼓励员工签署一份反对跟踪软件的在线请愿书。传单和请愿书援引了法律 U.S. National Labor Relations Act，称当选择组织起来改善工作条件时员工的行为受到法律保护。