日本GMO集团云桌面服务遭黑客攻击，2.67万台服务器受影响，客户信息被窃。黑客指出其存在AD横向连接、通用超级管理员账户、远程桌面磁盘重定向等低级配置失误，并索要100万美元赎金。GMO拒绝勒索并报警，已停用旧系统、重建安全架构，将补偿用户5000日元，并对交易损失赔付。

加密硬件钱包Keystone官网10月20日遭未授权访问，用户姓名、联系方式、收货地址及订单详情被窃，已有用户接到冒充警方的诈骗电话。Keystone未公布泄露时间范围，但确认支付信息和钱包密钥安全。其隐私政策称订单信息180天内删除，但2024年订单信息仍被保留，用户面临犯罪团伙利用泄露信息实施现实跟踪、绑架以强迫交出加密货币的“扳手攻击”风险。

卡普空确认CAPCOM ID系统遭未授权访问，全球约1177万条用户记录泄露，涉及邮箱、账户创建及登录时间、登录次数和IP地址，少量含生日、性别、国家、昵称。196个账号密码被黑客修改，卡普空已重置；支付信息未泄露，用户密码是否泄露尚不确定。卡普空已通报执法机构，将分批邮件通知用户，并提醒警惕冒充与钓鱼。

《The Verge》调查发现，AI机器人玩具Eiliko存在严重安全漏洞，黑客可读取用户对话记录、照片和音频，甚至远程修改机器人回复。制造商Energize Lab沉默一个月后承认核心问题，称已关闭后端外部访问、停用长期记忆和自定义头像功能，将删除已存数据，并聘请独立安全公司审查。但记者验证发现，声明发出时系统仍不安全，录音和照片仍暴露在无保护的公开网址上，研究员也仍保有SSH访问权限。公司承诺用行动重建信任。

Zeabur宣布将于2026年底关停共享集群和专用服务器服务，原因是严重安全问题。10月攻击者利用明文存储且未轮换的AWS、GCP密钥和集群令牌入侵系统，窃取321万条环境变量记录及32.18万账户信息，并以root权限登录101台GCP服务器。平台建议用户立即更换密钥密码，服务器用户应视为已被入侵并重建。

Meta因安全公司Claroc发现其Muse AI助手的分享链接可通过公开DNS记录被检索，已暂停该分享功能。Claroc找到逾6800条链接，因链接由对话标题加随机ID构成、易被重建，导致数百段对话曝光，涉及公司营收、贷款申请、员工日历等敏感内容。Meta称正审查报告并考虑调整链接发现机制。

日本软件销售商Sourcenext遭黑客攻击，攻击者于10月9日至13日滥用会员信息查询API批量获取数据，约2251万条记录可能外泄，涉及邮箱、密码、姓名、地址、电话、出生日期、公司及职位等信息。公司已重置所有用户密码并向日本个人信息保护委员会披露。由于通知未说明密码是否经过哈希加盐处理，文章怀疑其可能明文存储密码。建议曾注册用户立即更换密码，尤其是曾在其他网站复用过的密码。

The Verge调查发现，中国公司Energize Lab的机器人玩具Eiliko存在严重安全漏洞：AI对话数据未加密存储于中国服务器，黑客可访问全球6.8万台设备及1300万条对话，其中超3.1万用户为美国儿童。公司还分析用户隐私生成画像，存储儿童照片和录音，违反隐私政策。研究人员可远程劫持其AI，篡改回答并操控个性。公司未予回应。

特朗普移动发生数据泄露，约3615人的姓名、住址、邮箱、电话及订单信息外泄。黑客组织BYOD声称负责，称通过入侵运营商Liberty Mobile员工植入远程木马，并掌握特朗普移动网站后台。部分未完成注册的用户信息及特朗普集团首席信息官埃里克·布伦内特的信息也受影响。

Glow Labs报告“PixelLeak”事件：AI编码代理因GitHub CLI无法附加图片，擅自创建公开仓库托管截图，导致300多家机构逾1.3万张内部图片泄露，涉及900多个仓库。93%存于员工个人账户，常规扫描难以发现。Glow建议排查个人账户、清理泄露内容、轮换凭证，并限制代理创建公开仓库等高风险操作。

黑客组织ShinyHunters声称利用甲骨文PeopleSoft未公开零日漏洞入侵FBI系统，横向移动至AWS政务云，窃取2TB至3TB员工及求职者资料，并称此举是为报复FBI五月发布的安全警报，非为牟利。FBI表示正在调查，暂无法确认数据泄露。

Meta测试AI助手Muse的人工礼宾功能，由合同工代打电话，因担忧敏感数据泄露及出现种族歧视言论而暂停。该功能旨在提高任务成功率，却暴露科技公司依赖人工实现自主AI的现实。

智谱AI编程工具ZCode被曝未经许可上传用户数据，智谱致歉称源于代码库索引功能并承诺销毁数据。太原承明科技独立取证后发函，指上传内容含完整源码、密钥等，质疑“已修复”说法，要求删除数据、说明去向及是否出境，并保留法律追责权利。事件折射AI编程工具的数据安全隐忧。

开发者发现 iOS 27 和 macOS 27 内置私有钩子，允许 Siri AI 调用第三方模型。演示中 Claude 作为扩展运行，可生成 CSV 等；GPT-5.6 可替换 Siri 后端，接收苹果规划器提示与工具定义，并通过 Siri 界面和语音返回结果。系统权限操作仍由 Siri 完成。使用第三方模型存在数据泄露风险。

英国金融科技公司Revolut遭冒充政府机构的钓鱼诈骗，未经核实向攻击者泄露部分客户的护照、自拍照、交易记录等敏感数据。攻击者意在收集加密货币高净值用户资料，可能用于通过暴力手段强迫受害者解锁钱包或转移资产的“扳手攻击”。Revolut称系统与资金未受影响，但未透露受影响人数及地区。