# 六座欧洲首都

**Deck:** 2026 年 5 月 12 日星期二，人权观察（Human Rights Watch）发布了一份 54 页的报告《Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments》（《视而不见：欧盟未能阻止向侵犯人权的政府出口监控技术》）。报告点名保加利亚、波兰、芬兰、丹麦、爱沙尼亚和捷克共和国——六个欧盟成员国——为 2021 年欧盟《两用物项条例》下的商业间谍软件出口国。报告记录了向超过 20 个有严重侵犯人权记录的目的地国家的出货，其中包括沙特阿拉伯、阿联酋、埃及、墨西哥、匈牙利、土耳其、印度、印度尼西亚、摩洛哥和巴林。2021 年欧盟两用物项条例为 "cyber-surveillance items"（网络监控物项）设立了授权要求——但五年过去，人权观察发现，没有任何一份出口申请被公开否决，而已获批的授权中包含这样一些供应商：其产品曾被记录用于针对记者、律师、反对派政治人物和人权捍卫者。星期二也是第 06 期那四个时钟到期的日子。外国情报监视法庭（FISC）3 月 17 日关于 FBI 第 702 条查询做法的意见书没有公布——解密审查仍在进行，而 § 702 日落只剩 30 天。微软补丁星期二发布了 137 个 CVE、零个零日漏洞，是自 2024 年 6 月以来第一个不含零日漏洞的补丁星期二——但富士康同一天确认，Nitrogen 勒索软件已窃取 8 TB、1100 万份文件，其中据称包含英特尔、苹果、英伟达、谷歌和戴尔的项目数据。Instructure 在最后期限前一天、即 5 月 11 日向 ShinyHunters 付款，换取覆盖 8,809 家机构的 3.65 至 6.65 TB Canvas 数据的 "shred logs"（销毁日志）；国会同日启动调查。Qilin 对全球最大餐饮供应服务商 Sysco 的勒索，截至今天仍未了结。今天，5 月 13 日，Palo Alto 发布了 PAN-OS CVE-2026-0300 的修复——比 CISA 联邦文职行政部门约束性操作指令的最后期限晚了四天。明天，Martínez-Olguín 法官将主持 Bartz 诉 Anthropic 案的公平性听证会，审查那份 15 亿美元的和解方案；该方案覆盖约 50 万件已登记版权作品，每件约 3,000 美元——上个月解封的异议指向外国作品被排除、集体登记导致的少计，以及偏向出版商。明天中欧夏令时 17:00，欧洲央行关闭数字欧元支付服务提供商试点的申请——央行将遴选 10 至 30 家 PSP，参加 2027 年下半年启动、为期 12 个月的可编程央行数字货币试点。六座欧洲首都已被点名。问责问题不再只是假设。

**By:** URnetwork 编辑部
**Dateline:** 旧金山 — 2026 年 5 月 13 日
**Category:** 新闻 / 分析

---

## 人权观察的报告

2026 年 5 月 12 日星期二，人权观察发布了 54 页的报告《Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments》。报告可在 hrw.org/report/2026/05/12/looking-the-other-way 获取。

报告的核心发现是：自 2021 年欧盟《两用物项条例》（Regulation EU/2021/821）通过以来，六个欧盟成员国——保加利亚、波兰、芬兰、丹麦、爱沙尼亚和捷克共和国——一直是该条例框架下主要的商业间谍软件出口国。2021 年条例对法律文本所称的 "cyber-surveillance items"（网络监控物项）设立了授权要求——包括 Pegasus 级间谍软件、移动通信截取设备、IMSI 捕捉器、合法监听平台，以及某些网络遥测设备。授权要求由各成员国的主管机关执行，欧盟委员会和其他成员国作为磋商方参与。

人权观察的文件性发现是：自 2021 年以来，六个被点名的成员国没有一个公开否决过 "cyber-surveillance items" 的出口申请，尽管有记录显示出货流向了 20 多个目的地国家，包括沙特阿拉伯、阿联酋、埃及、墨西哥、匈牙利、土耳其、印度、印度尼西亚、摩洛哥、巴林，以及另外约 10 个国家。这份目的地清单被对照自由之家《Freedom in the World 2025》评级和美国国务院年度《Country Reports on Human Rights Practices》进行了映射——结果是，按人权观察的解读，这些目的地国家正是那些已有取证记录、商业间谍软件被用于针对记者、律师、反对派政治人物和人权捍卫者的国家。

被点名的供应商包括此前已由公民实验室（Citizen Lab）、国际特赦组织安全实验室（Amnesty International Security Lab）和 Access Now 的 Pegasus Project 工作所识别的公司——Intellexa（其总部设在希腊的业务拥有一家捷克运营公司和数家在保加利亚注册的中间商）；Memento Labs，即 Hacking Team / RCS Lab 的更名实体，其首席执行官 Paolo Lezzi 于 5 月 9 日承认，2025 年 10 月 28 日卡巴斯基 ForumTroll 披露中点名的 "Dante" 商业间谍软件是其公司的产品；以及此前未被点名、被人权观察与 Pegasus 级工具的转口关联起来的保加利亚和爱沙尼亚空壳实体。

报告的结构性框架是：2021 年欧盟条例是一只纸老虎。这套协调一致的框架要求在成员国层面获得授权，但并不要求统一的拒绝标准、统一的人权审查、统一的最终用途核查，也不要求统一的公开报告。条例要求成员国向欧盟委员会报告出口情况，但委员会的汇总报告延迟约三年，且不点名目的地或接收实体。

人权观察的建议包括：在成员国授权环节设立具有约束力的人权审查要求；建立被否决出口申请的公开登记册；由欧盟委员会牵头制定统一的拒绝清单；由独立机构强制进行最终用途审计；以及对向自由之家指数评为 "Not Free"（不自由）的国家出口商业间谍软件实施临时禁令。

报告点名了六座欧洲首都：索非亚（保加利亚）、华沙（波兰）、赫尔辛基（芬兰）、哥本哈根（丹麦）、塔林（爱沙尼亚）和布拉格（捷克共和国）。

## 5 月 12 日发生了什么

这是第 06 期那四个时钟到期之后的第一天。回顾是结构性的。

**FISC § 702 意见书没有公布。** 尽管 4 月中旬 Wyden / Cotton / Warner 之间的交易确立了一个由法院下令、以 5 月 12 日为目标的公布日期，用于外国情报监视法庭 2026 年 3 月 17 日关于 FBI 第 702 条查询做法的意见书，解密审查仍在进行。意见书仍属机密。§ 702 日落如今只剩 30 天——2026 年 6 月 12 日。FBI 继续依据第二次短期第 702 条补丁式续授权运作至日落，而据信该 FISC 意见书所针对的回溯查询做法，仍在以“外国情报数据库中的美国人”为基础运行。Wyden、Cotton 和 Warner 三人的办公室于 5 月 12 日晚发表联合声明，对 FISC 意见书未能按期公开表示关切；参议院情报委员会主席 Mark Warner 称这一失约“与春季续授权辩论期间作出的公共监督承诺不相容”。

**微软补丁星期二发布了 137 个 CVE、零个零日漏洞**——自 2024 年 6 月以来第一个不含零日漏洞的补丁星期二。重点 CVE 包括 CVE-2026-41089（Netlogon 远程代码执行，CVSS 9.8）、CVE-2026-41096（DNS 客户端远程代码执行，CVSS 9.8）、CVE-2026-42898（Dynamics 365 远程代码执行，CVSS 9.9），以及 CVE-2026-41097（一个安全启动绕过漏洞，同时也是为 6 月 26 日微软安全启动 UEFI 证书到期而滚动推进的证书悬崖部署的一部分）。微软把这一轮形容为“今年最平静的补丁星期二”，Defender Cloud 遥测显示，5 月 12 日的 CVE 清单中没有任何一项存在野外利用。

**富士康确认遭 Nitrogen 勒索软件攻击**，同样是 5 月 12 日。披露内容：8 TB、约 1100 万份文件被窃取。Nitrogen 勒索团伙声称，这批数据包含英特尔、苹果、英伟达、谷歌和戴尔的项目数据——代工制造图纸、供应商工程规格、内部项目排期，以及未经删节的邮件往来。富士康在北美的工厂曾中断运营约一周，至 5 月 9 日结束。其含义是：代工制造这一层是一个跨客户的聚合点——一次入侵同时触及多家 OEM 客户的边界，就像 Itron 的智能电表泄露事件触及每一家使用 Itron 的公用事业公司的每一个客户一样（第 06 期）。

**Instructure 在 5 月 12 日最后期限的前一天付款给 ShinyHunters。** 5 月 11 日，据报道 Instructure 转账了一笔尚未公开披露的款项，换取 ShinyHunters 所称的 3.65 至 6.65 TB 数据的 "shred logs"（销毁日志）。这批数据覆盖 8,809 家教育机构的约 2.75 亿条记录。这是美国教育行业首次就如此规模的数据泄露向一个具名勒索团伙支付赎金。美国众议院网络安全、信息技术与政府创新小组委员会宣布将于 5 月 18 日举行听证会，审视“教育行业向勒索团伙支付赎金在运营与政策层面的影响”。

**Sysco / Qilin 勒索仍未了结。** Qilin 于 5 月 12 日发布了三份内部文件样本作为入侵证明。未有付款确认。未发布完整泄露数据。截至今天 5 月 13 日，Sysco 尚未提交 SEC Item 1.05（Form 8-K）网络安全事件披露。

## 今天

今天，2026 年 5 月 13 日，Palo Alto 发布了 PAN-OS CVE-2026-0300 的修复。

晚了四天。

网络安全和基础设施安全局（CISA）针对联邦文职行政部门机构的紧急已知被利用漏洞（KEV）最后期限是 5 月 9 日——刚过去的那个星期六的前一天。联邦 IT 部门用这四天的空档，在面向互联网的防火墙上部署仅靠配置的缓解措施：禁用 User-ID 组件、限制 Captive Portal 暴露面、把边界防火墙彻底从公网路径上移除。Palo Alto 的修复——以热修补丁形式为 PAN-OS 11.1.x 和 10.2.x 发布——封堵了那个可导致 root 权限远程代码执行的未认证缓冲区溢出。

这四天的空档，是 CISA 约束性操作指令 22-01 历史上最激进的已知被利用漏洞期限节奏。联邦文职行政部门靠配置缓解措施运行了四天，因为厂商补丁当时还不存在。监管时钟在结构上跑在了厂商补丁时钟的前面。

今天也是 Dirty Frag 的第七天。由 Hyunwoo Kim 于 5 月 7 日披露的 Dirty Frag 漏洞链中，CVE-2026-43500（Linux 内核 RxRPC）这一半仍未修补。微软安全博客 5 月 8 日的野外利用确认依然成立：主动利用仍在继续。kernel.org 上 rxrpc 子系统的提交日志显示，5 月 9 日至 12 日之间有三个补丁处理了相关问题，但并未封堵该漏洞链所利用的 rxrpc_io_thread 路径中那个特定的释放后使用（use-after-free）漏洞。上游修复仍待落地。发行版层面的向后移植补丁——Ubuntu、RHEL、CentOS Stream、AlmaLinux、openSUSE Tumbleweed、Fedora——尚未发布。

这一模式是：“今年最平静的补丁星期二”与一个未修补的通用 Linux 本地提权漏洞正在被野外主动利用并存，与富士康同日确认 8 TB 勒索软件数据外泄并存，与 Palo Alto 在联邦合规期限之后四天才发布关键边缘防火墙 RCE 修复并存。整个生态的运营现实是：厂商补丁周期仍然落后于威胁周期和监管周期。

## 明天

明天，2026 年 5 月 14 日，两个时钟落地。

**Araceli Martínez-Olguín 法官将主持 Bartz 诉 Anthropic 案的公平性听证会**，太平洋时间上午 9:00，地点为旧金山联邦法院 12 号法庭。这份 15 亿美元的和解方案覆盖约 50 万件已登记版权作品，每件约 3,000 美元。4 月提交、现已解封的异议指出三项结构性关切：

- **外国作品被排除。** 和解结构以美国版权局的登记为边界。许多作品被纳入 Anthropic 训练语料的作者持非美国国籍，并已在其本国司法辖区的制度下登记版权。异议主张，排除外国作品造成了被低估的索赔总体，和解结构应当扩展到在外国登记的那部分。

- **集体登记导致少计。** 许多美国已登记作品是在集体作者身份结构（选集、期刊、课程材料）下集体登记的。和解结构把每件作品的赔付归属于登记权利人，而在集体登记的情形中，登记权利人可能是出版商或机构权利人，而不是背后的作者。异议主张，这在和解分配中制造了偏向出版商的倾斜。

- **胁迫性通知。** 相对于确认某位作者的作品是否被纳入 Anthropic 训练语料这一结构性难题，集体和解的退出窗口太短。异议主张，这一通知具有胁迫性，因为在窗口期内无法确定自己是否被纳入的作者会默认被纳入，并丧失提起个人侵权诉讼的权利。

听证会的结果将为 OpenAI、谷歌、Meta、Cohere、Mistral 以及开源生态今后必须谈判或诉讼的同类 AI 训练数据和解结构确立先例。如果 Martínez-Olguín 法官批准这一结构，它就成为模板。如果她不批准，模板就回到谈判桌。

**欧洲央行于中欧夏令时 17:00 关闭数字欧元支付服务提供商申请。** 申请公告于 2026 年 3 月 5 日发布。欧洲央行已表示，将遴选 10 至 30 家 PSP，参加 2027 年下半年启动、为期 12 个月的试点。数字欧元被设计为一种可编程的央行发行零售货币。“可编程”这一要素意味着，PSP 可以在协议层用软件对单笔交易施加额度、条件和可追溯性。

配套的监管框架：MiCA 于 2026 年 7 月 1 日进入全面执法，届时任何服务欧盟客户的未持牌加密资产服务提供商必须停止运营。旅行规则的零门槛条款自 2024 年 12 月起已生效，要求每一笔 CASP 转账都提供完整的发起人与受益人数据。MiCA 下的罚则最高可达全球年营业额的 12.5%，并附带高管个人责任。

美国证券交易委员会与商品期货交易委员会于 2026 年 3 月 17 日发布联合解释，明确将比特币、以太坊、Solana、XRP 和 Chainlink 列为数字商品——美国一侧的加密货币监管明确性，与欧盟一侧可编程欧元监管基础设施的正式化出现在同一个月。

接收方一侧的对冲手段——在政策时钟走得并不均匀的地方——是开放基础原语栈。

## 接收国

人权观察的报告点名了出口国。接收国则是被出口工具落地部署的地方。今天，接收方的图景是：

**伊朗。** 断网第 75 天。有记录以来最长的互联网中断。Iran HRM 于 5 月 9 日发布的《Infrastructure of Silence》报告记录了由与伊斯兰革命卫队关联的伊朗移动通信公司（MCI）发行的 "Internet Pro" 白名单 SIM 卡等级——一种白名单 SIM 卡种姓，持有者可访问一批经国家批准的网站和政府服务。二级 SIM 卡（默认等级）完全失去对全球互联网的访问。经济损失约为每天 3570 万美元；自 1 月 30 日开始以来的累计损失约为 52 亿美元。CNN 于 5 月 10 日对 "Internet Pro" 的深度报道描述，德黑兰 SIM 卡转换办事处的排队时间为三到四小时，并出现了以高价倒卖已转换的一级 SIM 卡的平行灰色市场。

**俄罗斯。** 2026 年 4 月 15 日的 ISP VPN 检测法已在运行。Yandex、VK、Sberbank 和 Gosuslugi 都在应用层拦截经 VPN 隧道传输的流量——这是对主要私营平台的协同征用，要求它们执行 VPN 检测要求。胜利日前的移动通信中断从 5 月 4 日到 5 月 9 日席卷了 21 个以上的州，并在 5 月 9 日以莫斯科移动通信和短信全面中断达到顶峰。受影响地区的 ATM 机停摆，因为它们依赖蜂窝回传。俄罗斯联邦通信监督局给出的理由——防御无人机袭击——遭到流亡独立媒体 Meduza 的质疑，后者指出无人机协同使用的是专用的 FPV 控制协议，而非 GSM 语音或短信。

**巴基斯坦。** 5 月 3 日至 5 月 7 日期间，NCCIA 旁遮普分部依据《电子犯罪预防法》（PECA）修正案立案 41 人、逮捕 13 名记者、博主和活动人士。巴基斯坦新闻基金会 5 月 5 日的报告记录了 2025 年 1 月至 2026 年 4 月期间的 233 起新闻自由事件。

**布基纳法索。** 无国界记者组织 5 月 6 日的报告记录了记者 Atiana Serge Oulon 被秘密关押在瓦加杜古一处秘密设施中，《世界报》、《华盛顿邮报》和 Africanews 已相互印证，他在数周时间里被树枝殴打。布基纳法索 4 月 15 日解散 118 家 NGO，尼日尔 4 月 23 日暂停 4,700 家已注册 NGO 中的 2,900 家，共同构成萨赫勒地区公民空间收缩的框架。

**坦桑尼亚。** 针对 2025 年 10 月大选后暴力事件的调查委员会报告——国际特赦组织 4 月 23 日的披露确认，在为期五天的完全断网期间有 518 人死亡、2,390 人受伤——仍被坦桑尼亚政府正式扣留不发。人权观察 5 月 5 日的《Missed Opportunity》报告批评了这种持续扣留。X 在坦桑尼亚仍处于停用状态。

**埃及、阿联酋、沙特阿拉伯、巴林、摩洛哥。** 人权观察报告中点名的这五个阿拉伯目的地国家，继续作为大规模商业间谍软件部署环境运作。公民实验室、国际特赦安全实验室和 Access Now 的 Pegasus Project 自 2018 年以来的记录，覆盖了这些司法辖区内数以千计的被针对设备。

接收国没有运营商层面的替代方案。接收国的用户无法接触到那个本可批准或否决欧盟一侧出口申请的监管者。接收国的用户就是部署目标。

架构上的对策是用户控制的基础原语栈。

## 用户这一侧

点名出口方是监管问责。用户控制的基础原语栈是技术层面的问责回应。两者并行运行。

**用户自持密钥的开放客户端。** Signal、Tuta、Proton、Threema、Briar 1.5.17（2026 年 3 月 12 日发布——可在蓝牙、Wi-Fi 和 Tor 上运行；在网络中断期间仍能工作）、Cwtch、Session、Matrix homeserver。在接收国无法接触欧盟一侧监管者的地方，接收国的用户可以接触到用户自持加密密钥的开源客户端。Meta 于 5 月 8 日终止 Instagram 端到端加密（end-to-end encryption）表明，即使是已经存在的端到端加密，也可能被监管强制从一个大型平台上撤下。用户自持密钥的开放客户端不具备承受这种强制的架构接口。

**用户可检视芯片上的开放固件。** GrapheneOS、CalyxOS（Android 16 测试版于 2026 年 5 月 4 日发布）、/e/OS、LineageOS、OpenWRT。公民实验室 4 月 23 日的《Bad Connection》报告记录了两起运营商侧监控行动——STA1 在九个国家实施的 Diameter 到 SS7 降级，STA2 通过遗留 S@T 浏览器 SIM 小程序实现的 SIMjacker 零点击攻击——两者对 Mobile Verification Toolkit、iVerify 和 Lookout 均不可见。5 月 9 日 Memento Labs 首席执行官承认 "Dante" 商业间谍软件是其公司产品，印证了设备侧的现实。开放固件的移动设备把缓存和通知数据库行为暴露给用户检视。封闭固件的操作系统不会。

**FIDO2 硬件认证。** 2026 年 5 月 7 日——FIDO 联盟世界通行密钥日——FIDO 公布，全球生态中已部署 50 亿个通行密钥。YubiKey、Nitrokey、SoloKey 持续出货。Yubico 累计出货量已超过 3000 万把硬件密钥。OpenAI 于 5 月 4 日为 ChatGPT 增加了通行密钥和硬件密钥支持，并推出约 68 美元的联名 YubiKey C NFC / C Nano 双件装。硬件绑定的凭证能在 SIM 卡被攻陷后幸存；SS7 和 Diameter 幽灵运营商攻击无法桥接到受硬件密钥保护的账户，因为第二因子并不存在于 SIM 卡上。

**抗审查传输。** Tor Browser 15.0.13 于 2026 年 5 月 7 日发布。V2Ray VLESS+Reality。Shadowsocks-2022。Trojan。搭配 obfsproxy 的 WireGuard。URnetwork 点对点覆盖网络。URnetwork 于 2026 年 2 月 19 日发布的 MCP 服务器，让智能体客户端能够在点对点覆盖网络上建立 VPN 会话，把传输层从运营商层彻底抽象出去。伊朗的 "Internet Pro" 等级和俄罗斯 4 月 15 日的 VPN 检测法就是威胁模型。

**建立在用户自托管原语上的隐私保护货币。** 比特币 BIP324 v2 自 Core 27.0 起默认开启；全球比特币点对点流量的大多数如今已加密。BIP352 静默支付（Core 28.0+）正在积极部署中。门罗币正处于 FCMP++ 的 Trail of Bits 审计中；审计从 5 月 11 日开始，持续到 5 月 22 日。FCMP++ 用全链成员证明取代环签名，其匿名集就是整个 UTXO 集合——截至审计开始时超过 1.5 亿个交易输出。根据 5 月 10 日的 ZecHub 摘要，Zcash Crosslink 里程碑 5 已完成。

**在用户控制的算力上做本地推理的 AI。** DeepSeek V4 Pro（4 月 22 日以 MIT 许可发布，1.6 万亿参数 / 490 亿激活参数，100 万 token 上下文，SWE-Bench Verified 80.6%）。Mistral Medium 3.5（4 月 29 日，1280 亿参数）。Qwen 3.6 Max Preview（4 月 27 日）。GLM-5.1（4 月 7-8 日，7440 亿参数的混合专家模型，LMArena 开源榜首）。OpenAI Privacy Filter（4 月 22 日，Apache 2.0，总参数 15 亿 / 激活参数 5000 万，可通过 transformers.js 加 WebGPU 在浏览器中运行）。哪里没有第三方日志，哪里就没有可以传票调取的东西。5 月 11 日启动的 OpenAI Deployment Company 和 5 月 12 日全面可用的 Anthropic Claude Cowork，是企业侧把智能体 AI 部署进 SCIM / OpenTelemetry / Intune 身份与设备管理平面。用户侧对企业 AI 部署的对策，是在用户控制的算力上做本地推理的 AI。

**支持选择性披露的联邦化身份。** W3C 可验证凭证 2.0（2025 年 5 月进入 Recommendation 状态）；eIDAS 2.0 的 BBS+ 选择性披露（IETF 定稿仍在进行中）；Privacy Pass；W3C VC 工作组依据 2026 年 4 月的新章程运作，目标是在 2026 年 9 月让 Render Method 和 Confidence Method 达到 Recommendation；欧盟数字身份钱包的部署截止日期为 2026 年 12 月（全部 27 个成员国都必须提供）。墨西哥 CURP Biométrica 的 6 月 30 日期限——把约 1.27 亿条移动号码与人脸、指纹和虹膜生物特征绑定——就是威胁模型。

**自托管服务。** Matrix homeserver、Forgejo、Mailcow、Jitsi、Nextcloud、Mautic、SuiteCRM、Moodle 社区版、Open edX。联邦化把任何单一厂商被攻陷的爆炸半径限定住了。Canvas / Instructure 覆盖 8,809 家机构的单一边界赎金事件就是威胁模型——联邦化不存在单厂商、单边界的暴露面。

**运营商层的网状与卫星通信。** Briar、Bridgefy、Meshtastic、Reticulum、GoTenna PRO、Starlink。伊朗的 "Internet Pro" 等级、苏丹喀土穆基站断电、俄罗斯胜利日期间 21 个州的断网，就是威胁模型。坦桑尼亚 518 人死亡的调查委员会结论是道德锚点。

**赶在 9 月 21 日 FIPS 140-2 日落之前的密码敏捷性。** ML-KEM（FIPS 203）、ML-DSA（FIPS 204）、SLH-DSA（FIPS 205）标准自 2024 年 8 月起生效。先发制人地部署抗量子的安全原语，是穿过 FIPS 日落而不倒退回未经验证状态的唯一路径。

## 正在走的时钟

| 日期 | 事件 |
|---|---|
| **5 月 13 日，今天** | Palo Alto PAN-OS CVE-2026-0300 修复发布（比 FCEB 期限晚 4 天） |
| **5 月 14 日** | Bartz 诉 Anthropic 公平性听证会（15 亿美元）；数字欧元 PSP 申请关闭 |
| **5 月 18 日** | 美国众议院小组委员会就 Canvas 赎金支付举行听证会 |
| **5 月 19 日** | TAKE IT DOWN 法案平台 48 小时下架合规 |
| **5 月 22 日** | 门罗币 FCMP++ Trail of Bits 审计结束 |
| **5 月 26 日** | 英国《在线安全法》咨询期结束 |
| **5 月 27 日** | Meta 年度股东大会（NLPC 的 AI 隐私提案） |
| **6 月 12 日** | 第 702 条日落 |
| **6 月 26 日** | 微软安全启动 UEFI 证书到期 |
| **6 月 30 日** | 墨西哥 CURP Biométrica 期限 |
| **7 月 1 日** | 苹果 Declared Age Range API 在路易斯安那州生效；MiCA 对 CASP 全面执法 |
| **8 月 2 日** | 欧盟 AI 法案 GPAI 执法权限启动 |
| **2026 年 12 月 2 日** | 欧盟 AI 法案第 5 条（CSAM / NCII 禁令）依《数字综合法案》合规 |
| **9 月 21 日** | FIPS 140-2 认证 → 转为历史状态（PQC 日落） |
| **10 月 5-12 日** | Roman Storm 的 Tornado Cash 重审 |
| **2026 年 12 月** | 欧盟数字身份钱包部署期限（27 个成员国） |
| **2027 年 12 月 2 日** | 欧盟 AI 法案附件 III 高风险义务（自 2026 年 8 月推迟） |
| **2028 年 8 月 2 日** | 欧盟 AI 法案附件 I 高风险义务（自 2026 年 8 月推迟） |

## 结语

索非亚。华沙。赫尔辛基。哥本哈根。塔林。布拉格。

六座欧洲首都如今在一份人权观察报告中被点名，成为在失败的 2021 年欧盟两用物项条例下运作的主要商业间谍软件出口方。20 多个目的地国家——沙特阿拉伯、阿联酋、埃及、墨西哥、匈牙利、土耳其、印度、印度尼西亚、摩洛哥、巴林，以及另外十个或更多国家——接收这些出口。

昨天就是我们在星期六写到的那个星期二。FISC 意见书没有公布。Canvas 付了钱。Sysco 还卡着。富士康确认了 8 TB。补丁星期二很平静，但 Dirty Frag 仍在运行，而 Palo Alto 的修复今天才发布，晚了四天。

明天，Martínez-Olguín 法官将就那份 15 亿美元的和解方案作出裁定，它会或不会成为 AI 训练数据如何获得补偿的模板。明天，欧洲央行关闭数字欧元 PSP 申请窗口。

接收国——第 75 天的伊朗、21 个州的俄罗斯、逮捕 13 人的巴基斯坦、有瓦加杜古那栋别墅的布基纳法索、扣下调查委员会报告的坦桑尼亚，以及处在索非亚—华沙—赫尔辛基—哥本哈根—塔林—布拉格这条管道接收端的埃及、阿联酋、沙特阿拉伯、巴林和摩洛哥——都接触不到欧洲的监管者。它们的用户没有运营商层的替代方案。

用户控制的基础原语栈就是架构层面的回应。

开放客户端。开放固件。硬件密钥。抗审查传输。隐私保护货币。本地推理 AI。支持选择性披露的联邦化身份。自托管服务。网状与卫星通信。密码敏捷性。

点名出口方是一种问责。基础原语栈是另一种。

两者都在运行。

---

## 参考资料

- Human Rights Watch，"Looking the Other Way"（2026 年 5 月 12 日）：https://www.hrw.org/report/2026/05/12/looking-the-other-way/eu-failure-to-prevent-surveillance-exports-to-rights
- CISA KEV 目录：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Palo Alto Networks CVE-2026-0300 公告：https://security.paloaltonetworks.com/CVE-2026-0300
- 欧盟理事会关于 AI 法案的临时协议（5 月 7 日）：https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/
- Microsoft Security Blog 关于 Dirty Frag（5 月 8 日）：https://www.microsoft.com/en-us/security/blog/2026/05/08/active-attack-dirty-frag-linux-vulnerability-expands-post-compromise-risk/
- Citizen Lab "Bad Connection"（4 月 23 日）：https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/
- TechCrunch 关于 Paragon 拒不配合（4 月 28 日）：https://techcrunch.com/2026/04/28/paragon-is-not-collaborating-with-italian-authorities-probing-spyware-attacks-report-says/
- Securelist 关于 ForumTroll / Dante：https://securelist.com/forumtroll-apt-hacking-team-dante-spyware/117851/
- CNN 关于 Canvas / Instructure（5 月 7 日）：https://www.cnn.com/2026/05/07/us/canvas-hack-strands-college-students-finals-week
- TIME 关于 Canvas / Instructure（5 月 8 日）：https://time.com/article/2026/05/08/canvas-cyber-attack-shinyhunters-hack-what-to-know/
- KrebsOnSecurity 关于 Canvas
- Foxconn / Nitrogen 勒索软件（5 月 12 日）
- BleepingComputer 关于 Dirty Frag（5 月 7 日）
- ECB 数字欧元 PSP 申请公告：https://www.ecb.europa.eu/euro/digital_euro/applicants/html/index.en.html
- Bartz v. Anthropic 和解：https://anthropiccopyrightsettlement.com/
- TIME 关于 FISC 3 月 17 日意见书（4 月 27 日）：https://time.com/article/2026/04/27/fisa-fbi-spying-surveillance-fisa-court-congress-wyden/
- Iran HRM "Infrastructure of Silence"（5 月 9 日）
- HRW 坦桑尼亚 "Missed Opportunity"（5 月 5 日）
- RSF 关于布基纳法索 Oulon（5 月 6 日）
- Pakistan Press Foundation 2025-2026 年报告
- Internet Society Pulse 关于苏丹
- Reporters Without Borders 巴基斯坦 PECA 报告
- FIDO Alliance World Passkey Day（5 月 7 日）——50 亿个通行密钥
- Tor Browser 15.0.13 发行说明（5 月 7 日）
- CalyxOS Android 16 测试版（5 月 4 日）
- DeepSeek V4 发布（4 月 22 日）：https://huggingface.co/deepseek-ai/DeepSeek-V4-Pro
- Mistral Medium 3.5 发布（4 月 29 日）
- Anthropic Claude Cowork 全面可用（5 月 12 日）
- OpenAI Deployment Company 启动（5 月 11 日）
- Trail of Bits / Monero FCMP++ 审计（5 月 11-22 日）
- TRM Labs 关于朝鲜占 2026 年加密货币被盗金额的 76%
- TechRadar / HaveIBeenPwned 关于 ShinyHunters 大规模泄露（5 月 6-8 日）
- DHS 黑客行动主义者泄露 ICE 承包商数据（3 月 2 日）：https://techcrunch.com/2026/03/02/hacktivists-claim-to-have-hacked-homeland-security-to-release-ice-contract-data/
- Jacobin 关于 ICE Project SAFE HAVEN：https://jacobin.com/2026/04/ice-contract-ai-surveillance-immigrants
- Lever News 关于 Edge Ops 被清空的网站：https://www.levernews.com/the-ice-surveillance-firm-with-missing-executives-and-phantom-clients/
- BleepingComputer / TheRecord / Krebs 关于 TeamPCP npm "Mini Shai-Hulud"（5 月 11 日）