那些没有人会去测试的系统 — Hacker News 中文摘要
来源：blog.christianperone.com — 128 分 · by perone
📋 概述
作者重述 2020 年疫情期间的一段经历：他在一个巴西联邦系统里发现漏洞，凭此可以取到任意巴西公民的整套档案——身份证、CPF、护照、出生地、父母姓名、驾照、住址、电话号码，甚至能看出一个人是否处于证人保护计划中。他没有导出任何数据，而是打电话找到负责机构说明情况；对方起初难以置信，几小时后回电确认，并很快修复。六年后再提这件事，是因为大模型正以惊人的速度进入安全领域，而这类系统依旧没人测试。
🔑 核心要点
- 漏洞让他可以取到任意巴西公民的完整档案，涉及两亿多人。
- 档案包含身份证、CPF、护照、驾照、住址与电话等信息。
- 甚至能看出一个人是否处于证人保护计划中。
- 他没有导出任何数据，而是直接打电话给负责机构。
- 机构起初难以置信，确认后很快修复。
- 重提旧事的动机是：大模型进入安全领域，这类系统仍无人测试。
💡 金句
When the person picked up my call, I identified myself and told him what I had found and what access I had.
👍 0
👎 0
← 返回 Hacker News 首页