【苹果AI服务曝漏洞：失窃令牌可在其他设备重复使用】

🕐苹果公司宣称，其操作系统内置的生成式AI服务Apple Intelligence通过采用匿名访问令牌的双阶段认证授权机制，特别注重用户安全与隐私保护。但俄亥俄州立大学研究人员在macOS 26.0（Tahoe）系统上发现，该设计存在可导致令牌被窃取并重复利用的安全漏洞。

🕑该系统通过私有云计算（PCC）框架将复杂请求卸载至云端服务器处理，采用Privacy Pass协议下的两种凭证：设备首先向身份验证服务证明其苹果硬件真实性，获取长期有效的令牌授予令牌（TGT）；随后用TGT兑换批量单次使用的一次性令牌（OTT）来授权AI请求。为保护隐私，流量经由Oblivious HTTP（OHTTP）中继代理传输，可向苹果隐藏IP地址等元数据。

#苹果# #AI# #令牌#

🍃更多详情参见：http://t.cn/AXx9KcVx