passkey
PulseAugur coverage of passkey — every cluster mentioning passkey across labs, papers, and developer communities, ranked by signal.
- 2026-05-11 research_milestone Google and Microsoft issue warnings about the security limitations of passkeys. 来源
8 天有情绪数据
-
人工智能代理需要统一的商业记录，而不是分离的现实
文章认为，人工智能代理需要一个统一的商业记录，这与当前人类和人工智能交互系统分离的现实不同。它强调，为了确保一致的商业体验，人类和人工智能代理都需要能够访问共享的、与决策相关的、如定价和可用性等事实。作者建议将准备步骤（如搜索或起草订单）与承诺行为（如创建订单或授权付款）分开，并主张在任何具有约束力的交易发生之前获得人类的批准。此外，文章还强调了区分不同结算路径（如直接支付和链上托管）的重要性，以保持关于信任假设和故障模式的透明度。
-
通行密钥提供比传统密码更优越的安全性
通行密钥通过利用与特定设备和网站绑定的公钥和私钥，提供了一种比传统密码更安全的替代方案。与可能薄弱、重复使用或被网络钓鱼的密码不同，通行密钥本身就很强大，并且不能用于欺诈网站。虽然通行密钥尚未获得普遍支持，但它们通常被认为是更优越的在线身份验证方法，特别是与未使用密码管理器的密码相比。
-
作者抱怨启动多个业务项目，包括AI和通行密钥
作者对启动众多业务项目表示沮丧，将它们比作射向迷雾的鱼雷，特别提到了一个AI项目和一个通行密钥项目。他们预计公司为此将花费约3万美元/年，并反思在这些想法启动时可能遭受的痛苦。
-
Google 的 Passkey 系统遭受安全漏洞，播客报道
一期题为“Google 的 Passkeys 泄露”的新播客节目讨论了 Google 在跨平台共享 passkeys 的系统中的安全漏洞。该节目还涉及与隐私、安全和业务相关的其他主题。
-
谷歌通行密钥系统遭泄露，新闻汇总否认使用AI
Mastodon上的一篇周度新闻汇总重点报道了谷歌通行密钥系统的一次安全泄露事件，该系统允许跨平台共享。该帖子明确表示其制作未使用AI，并注明此免责声明可能不适用于缩略图。内容还涉及隐私、安全和商业等更广泛的主题。
-
德国电信的Passkey解决方案因功能受限而受到批评
德国电信的Passkey解决方案因其局限性而受到批评，它要求用户依赖Google、Apple或Windows Hello进行身份验证，而不是支持标准的FIDO2或YubiKey等硬件令牌。该系统还限制用户在双因素身份验证中使用单个设备或应用程序。据报道，试图从德国电信的AI和客户支持获得帮助并未奏效，AI无法回答基本问题，客户服务也未能将用户连接到适当的支持团队。
-
新的Pass-ta-key攻击突显了操作系统在处理passkey方面的差异
一种名为“Pass-ta-key”的新漏洞已被发现，可能暴露与passkey实现相关的敏感信息。该攻击突显了passkey应用程序在处理Windows与其他操作系统相比时存在的差异。虽然漏洞存在，但其实际影响被认为很小，研究人员称其为“无事发生”。
-
Apple 的 Private Relay 功能存在漏洞，会泄露用户 IP 地址
安全研究人员发现 Apple 的 iCloud Private Relay 功能存在一个重大缺陷，该功能旨在隐藏用户的 IP 地址。该漏洞源于 Apple 的 WebKit 浏览器引擎内部的问题，允许网站在 Private Relay 处于活动状态时，仍有可能访问用户的真实 IP 地址。当使用通行密钥进行身份验证时，尤其会发生这种情况，因为这些请求是在浏览器受保护路径之外发出的。该漏洞还会影响其他依赖 WebKit 的 iOS 浏览器…
-
新的“Pass-ta-key”攻击利用了 Google Password Manager 的 Passkey
一种新发现的漏洞，被称为“Pass-ta-key”，对存储在 Google Password Manager 中的 passkey 构成了风险。这种攻击方法成功绕过了 Google 基于 Chrome 的 passkey，凸显了这种日益流行的密码替代方案中潜在的安全弱点。
-
Corvette X 推出混合动力；Windows 通行密钥易受恶意软件攻击
新款 Chevrolet Corvette Grand Sport X 车型配备了 721 马力的混合动力发动机，凸显了软件集成在汽车设计中日益增长的重要性。此外，还发现了一个安全漏洞，即 Windows 恶意软件可以利用 Google 密码管理器管理的通行密钥，尽管其底层加密技术很强大。
-
AI代理获得支持通行密钥的关键操作人工审批
一个名为GoodRoom.verify的新系统已被开发出来，为AI代理执行的高风险操作增加一层人工审批。该系统使用通行密钥进行抗钓鱼的用户验证，并确保审批与特定操作相关联，具有较短的有效期，不可重放，并且不需要审批服务访问代理的完整提示或代码。设计强调最小化与审批服务共享的数据，重点关注人类可读的摘要和待验证操作的哈希值。
-
Google 新增自拍视频登录以增强账户安全
Google 正在推出一项新的账户安全功能，允许用户通过自拍视频进行登录。此方法为可能被锁在账户之外或无法使用主要设备的用户提供了一种替代身份验证选项。该过程包括录制一段带有引导式头部运动的短视频，Google 会安全地存储和加密该视频，以便将来进行验证，以防范潜在的身份冒充尝试，包括深度伪造。
-
Spotify 准备支持通行密钥以增强安全性
据报道，Spotify 正在整合通行密钥支持，此举将增强账户安全并简化登录流程。这一潜在功能是通过 APK 拆解发现的，表明这家流媒体服务正准备采用这一现代身份验证标准。通行密钥的实施旨在解决该平台长期存在的安全疏漏。
-
ExpressVPN 升级密码管理器，支持安全共享和通行密钥
ExpressVPN 已显著增强其密码管理器 ExpressKeys，新增了安全共享功能和通行密钥支持。这些更新旨在改善跨设备管理并提高用户安全性。增强功能即日起可用，为用户提供更强大的数字凭证管理工具。
-
DHH 拥抱 AI 编码作为开发者义务，重塑 Rails 路线图
Basecamp 联合创始人、Ruby on Rails 社区的知名人物 DHH 改变了他对软件开发中 AI 的立场。他现在提倡 AI 辅助编码作为开发者的职业义务，强调其在快速实验和提高创造力方面的潜力。这一转变正在影响 37signals 的开发文化，模糊了角色界限，并使设计师和产品经理能够更直接地参与编码。未来的 Rails 更新计划包括一个名为 Lexi 的新基于 Lexical 的编辑器、原生 Passkeys 支持以及用于…
-
新的DICE方法通过保留块证据来增强长文档检索
研究人员开发了一种名为DICE（Document Inference via Chunk Evidence）的新方法，以改进密集检索系统中的长文档检索。该技术解决了长文档中的关键信息在编码过程中可能被稀释导致检索失败的问题。DICE通过将文档分割成块，独立编码这些块，然后将这些表示聚合到单个向量中，同时保持标准的“一个查询-一个文档”接口。与传统的单向量基线相比，该方法通过降低证据稀释指数（EDI），在处理超过4k个token的文档方…
-
Beyond Identity 推出 Ceros AI 代理安全平台
Beyond Identity 发布了 Ceros，一个专为 AI 代理设计的新安全平台。该平台提供设备绑定通行密钥、详细的会话审计日志以及基于既定策略的工具权限控制。Ceros 进入的市场已有 CrowdStrike、Lens 和 Arcade 等公司的类似产品。
-
Google 的无密码未来面临用户复杂性障碍
Google 推动无密码未来，利用通行密钥，正面临用户端的复杂性问题。虽然该概念旨在实现轻松安全，但目前的实施要求用户经过多个步骤并管理各种身份验证方法，导致体验不如预期流畅。这种摩擦表明，无密码解决方案的广泛采用可能仍需要进一步完善和用户教育。
-
Microsoft 个人帐户弃用短信双重身份验证，推广通行密钥
Microsoft 正在逐步淘汰个人帐户的基于短信的双重身份验证 (2FA)，称其为欺诈的主要来源。该公司鼓励用户切换到更安全、无密码的身份验证方法，如通行密钥和已验证的电子邮件。此举旨在应对不断演变的威胁，提高安全性并简化帐户访问。
-
Google、Microsoft 警告通行密钥需要更强的恢复方法
Google 和 Microsoft 警告称，通行密钥虽然比传统密码有所改进，但本身并非完整的安全解决方案。攻击者可以利用较弱的恢复方法，例如基于短信的验证或密码回退，来绕过通行密钥安全。两家公司都建议用户实施更强的多因素身份验证，如身份验证器应用程序或生物识别验证，并禁用短信代码等不太安全的方法来全面保护其账户。