01 · 研究背景与意义
1.1 从"单品智能"到"全屋智能"：家庭成为网络安全的前沿阵地
消费级物联网是物联网中设备数量最庞大、与人类生活关系最密切的部分。Gartner于2017年预测，2020年全球联网的物联网设备将达到204亿台；据工业和信息化部《2022年通信业统计公报》，截至2022年底，我国蜂窝物联网终端用户已达18.45亿户，移动网络连接的"物"首次超越连接"人"的规模。具体到家庭场景：中国智能音箱市场2019年出货量约4589万台（IDC）；智能电视渗透率已接近饱和，开机广告与数据回传成为治理焦点；智能门锁2021年全渠道销量约1695万套（洛图科技），并保持快速增长。门锁、摄像头、智能猫眼、音箱等设备同时改写了家庭的"物理边界"与"数字边界"——门锁失效意味着物理入侵，摄像头被控意味着私密空间被实时直播，音箱被滥用意味着全天候的听觉入口。
1.2 家庭IoT安全的三重特殊性
- 物理入口数字化：智能门锁、门铃、车库门控制器、燃气阀门、智能插座（连接电热设备）等直接控制物理安全与居家安全。此类设备一旦失守，后果超越"数据泄露"，直接延伸至人身与财产安全，这是消费IoT区别于一般IT系统的根本特征。
- 持续传感与高浓度隐私：麦克风、摄像头、人体存在传感器、用电数据（智能电表/插座）持续生成可推断"谁在家、在做什么、作息如何"的信息。《个人信息保护法》将生物识别、行踪轨迹、金融账户、特定身份以及不满十四周岁未成年人的个人信息列为敏感个人信息——家庭场景恰恰是这些类别的高度聚集地。
- 长尾暴露与不可更新：家居设备实际使用寿命（5—10年甚至更久）普遍长于厂商安全支持周期。Mirai（2016年）利用的默认口令问题早在2014年就已有公开警告，仍感染了数十万至上百万台设备；无持续更新机制的设备等于把已知漏洞永久暴露在互联网上。
1.3 三个结构性挑战
| 挑战 | 内涵 | 本课题应对（对应页） |
|---|---|---|
| 准入前无检测 | 消费市场上绝大多数IoT设备上市前无需强制安全检测，用户缺乏判断依据；"默认口令+无更新"的低质产品在价格竞争中反而占优 | 第2页：默认安全基线与入网检测认证体系 |
| 生态碎片化与跨云互联 | 一个家庭往往并存Wi-Fi、BLE、Zigbee、Z-Wave、Thread/Matter等多协议与多云生态（米家、HomeKit、Alexa、SmartThings等），任一环节的权限配置错误都会放大整体风险 | 第3—4页：家庭网络分区与协议互联安全 |
| 隐私边界与权属复杂 | 家庭是共同空间：住户、访客、家政人员、租客、未成年人的权利交织；"谁有权同意摄像头采集""云端留存多久"缺乏家庭内部的明确规则 | 第5页：隐私保护框架与数据合规工具链 |
认知纠偏：本领域最常见的四个误区——"大品牌=不会出安全问题"（档案显示一线品牌同样存在凭据泄露与云端权限缺陷）、"设备没坏就不用更新"（漏洞与设备是否故障无关）、"传输加密=隐私合规"（合规的核心是告知、同意、最小化与可删除）、"智能音箱只听唤醒词"（误唤醒与人工审核机制均有公开研究与报道）。本课题在第2—8页逐一以档案与文献拆解。
02 · 研究目标与关键问题
- 基线可核查目标：形成面向消费者的"默认安全"核查清单与面向采购方的验收基线，覆盖口令、更新、加密、披露、支持期五个维度，可直接对照ETSI EN 303 645与GB/T 41387-2022使用（第2页）。
- 架构可落地目标：提出普通家庭可实施的"三网分区+本地优先"家居网络架构，量化关键配置项（关闭WPS/UPnP、IoT专网等）的风险收益（第3—4页）。
- 隐私可度量目标：建立家庭场景个人信息的"数据清单—最小化—删除权"合规工具链，使隐私保护从原则落到可执行检查项（第5页）。
- 治理可闭环目标：整理2012—2025年标志性案例档案与国内外法规标准全景，输出厂商、家庭、物业/行业、监管四方的实施路线图（第6—8页）。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 存量弱配置的治理有效性 | 默认口令、无更新机制等问题在存量消费设备中的实际占比如何？"改密+更新"两项最廉价措施能消除多大比例的已知风险？认证标签（CLS/CTM）能否改变采购市场结构？ | 第2、8页 |
| KQ-2 | "零信任家居"的可行架构 | 在不依赖用户专业能力的条件下，家庭网络能否通过SSID/VLAN分区、网关策略与"本地优先"控制实现"任何设备被控不扩散"？各方案的部署成本与收益如何权衡？ | 第3、4页 |
| KQ-3 | 隐私最小必要的可度量落地 | 流量元数据能在多大程度上还原家庭行为（侧信道研究结论）？"最小必要"如何从法律原则转化为设备配置项与数据清单？儿童数据的特殊保护如何与家庭共享场景兼容？ | 第5页 |
03 · 生态参与方与演进时间线
3.1 生态参与方与职责
| 角色 | 职责/产出 | 代表 |
|---|---|---|
| 标准与联盟组织 | 消费IoT安全基线、互联互通协议与安全机制 | ETSI（EN 303 645，2020）；CSA连接标准联盟（Matter、原Zigbee联盟）；Wi-Fi联盟（WPA3、Easy Connect）；蓝牙技术联盟（BLE规范）；Thread Group；OWASP（IoT Top 10，2018）；NIST（IR 8228/8259）；ISO/IEC（27400:2022）；全国信息安全标准化技术委员会TC260（GB/T 41387-2022等） |
| 监管与执法机构 | 立法、漏洞管理、个人信息执法、消费安全抽检 | 中国：工信部、国家网信办、公安部、市场监管总局，CNCERT/CNVD；欧盟委员会（GDPR、CRA）；英国产品安全与标准办公室OPSS（PSTI执法）；美国FCC（Cyber Trust Mark）、FTC（IoT隐私与安全执法）、各州检察长；新加坡网络安全局CSA（CLS标签） |
| 测评与认证机构 | 产品安全检测、分级认证、入库测试 | 新加坡CSA标签（2020年10月启动）；美国FCC网络信任标识（2024年规则）；UL 2900系列；德国BSI；国内运营商终端入库检测与具备资质的第三方测评机构 |
| 平台与设备生态 | 设备制造、云平台、配套App、生态互联 | 亚马逊Alexa、Google Home、Samsung SmartThings、Apple HomeKit；小米米家/小爱同学、华为HarmonyOS Connect、天猫精灵、小度、涂鸦智能等平台；美的、海尔等传统家电厂商 |
| 白帽社区与研究者 | 漏洞挖掘、协议安全分析、隐私研究、协同披露 | IOActive（Zigbee安全研究，2015）、Armis（BlueBorne，2017）、Mathy Vanhoef（KRACK/FragAttacks）、浙江大学研究团队（DolphinAttack，2017）、普林斯顿大学（IoT Inspector，2020）等；CNVD/CNNVD收录渠道与Bugcrowd、HackerOne赏金平台 |
3.2 领域演进关键时间线（2013—2025）
| 时间 | 事件（均可公开查证） |
|---|---|
| 2013—2014 | 2013年安全研究者披露LG智能电视回传观看习惯与外接设备文件名；2012年披露、2014年FTC结案的TRENDnet摄像头CSRF与"裸流"事件成为首例IoT执法；Check Point披露Misfortune Cookie（CVE-2014-9222/9223，估计影响约1200万台路由器）；HP对10款市面IoT设备的研究发现平均每款25个安全漏洞 |
| 2015 | VTech儿童平板/玩具数据泄露（约500万家长账户与600余万儿童档案）；IOActive发表"ZigBee Exploited"研究，揭示Zigbee默认链路密钥问题 |
| 2016 | Mirai僵尸网络以62组默认口令感染海量设备：9月对Krebs网站的DDoS峰值约620Gbps、对OVH的攻击观测约1.1Tbps，10月攻击Dyn导致全球大批网站瘫痪，9月30日源码公开后变种数以百计；IEEE S&P 2016发表SmartThings平台权限滥用研究；USENIX Security 2016披露Hidden Voice Commands攻击 |
| 2017 | Armis披露BlueBorne（8个蓝牙0day，估计影响超50亿台设备）；Mathy Vanhoef披露KRACK（WPA2 nonce重用）；维基解密Vault 7档案曝光CIA"假关机"智能电视监听项目Weeping Angel；浙江大学团队发表DolphinAttack（超声不可闻语音指令）；德国联邦网络管理局认定玩具娃娃My Friend Cayla为"隐蔽监听设备"并禁售，随后对问题儿童智能手表发出禁令；央视3·15晚会曝光家用摄像头破解黑产；360水滴直播因公共场所直播争议于12月宣布永久关闭 |
| 2018 | OWASP发布IoT Top 10；Cisco Talos披露VPNFilter（54个国家约50万台路由器/NAS，可流量篡改与自毁）；"小黑盒"（特斯拉线圈）秒开部分智能门锁事件引发行业整改；FTC诉Vizio收集智能电视观看数据案以220万美元和解；Wi-Fi联盟发布WPA3 |
| 2019 | Ring门铃/摄像头遭凭据填充攻击引发多起家庭骚扰事件（后于2020年强制双因子认证）；普林斯顿大学发布IoT Inspector（NDSS 2020）；KNOB攻击（CVE-2019-9506）暴露蓝牙密钥协商降级缺陷；挪威消费者委员会《Watch Out》报告曝光四款儿童智能手表严重安全缺陷；苹果、谷歌、亚马逊相继因"人工审核语音录音"问题道歉或整改；加州SB-327签署（2020年1月1日生效，要求联网设备具备合理安全特性） |
| 2020 | ETSI发布EN 303 645消费IoT安全基线（2月）；ESET披露Kr00K（CVE-2019-15126，博通/赛普拉斯Wi-Fi芯片全零密钥问题）；学术团队披露SweynTooth（12个CVE，波及多家BLE芯片SDK）；小米米家摄像头经Google Nest Hub"串台"显示他人画面，小米暂停集成并修复；新加坡CSA启动Cybersecurity Labelling Scheme（10月）；CHIP工作组（Matter前身）成立 |
| 2021 | Mandiant披露ThroughTek Kalay P2P SDK漏洞（CVE-2021-28372，在野利用，影响数以百万计摄像头）；Verkada云摄像头平台被入侵，约15万台摄像头画面泄露（含特斯拉工厂、医院、监狱）；IoT Inspector披露Realtek Jungle SDK系列漏洞（CVE-2021-35392等，波及约65家厂商200余款型号）；SentinelOne披露NetUSB漏洞（CVE-2021-45608）；中国《网络产品安全漏洞管理规定》9月1日施行（2个工作日内报送漏洞信息） |
| 2022 | GB/T 41387-2022《信息安全技术 智能家居通用安全规范》与GB/T 41388-2022《信息安全技术 智能家居安全网关安全规范》发布；CSA正式发布Matter 1.0（10月）；Anker旗下Eufy摄像头被曝云端缩略图上传与未授权视频流问题；CISA/FBI等发布《Secure by Demand Guide》，以采购侧牵引"默认安全" |
| 2023 | FTC对Ring处以580万美元（员工/承包商越权访问客户摄像头画面等）、对亚马逊Alexa处以2500万美元（违反COPPA保留儿童语音档案）罚款；欧盟《网络弹性法案》达成政治协议（12月） |
| 2024 | 英国PSTI消费者IoT安全要求生效（4月29日：禁止通用默认口令、要求漏洞披露渠道、公示最短安全更新期）；FCC通过"美国网络信任标识"规则（3月）；欧盟《无线电设备指令》网络安全授权条例（EU）2022/30将于2025年8月1日适用；欧盟《网络弹性法案》（条例（EU）2024/2847）12月生效（主要义务2027年起分阶段适用） |
| 2025—2026 | 美国网络信任标识进入落地实施阶段；英国PSTI进入首个执法年度；中国智能家居安全国家标准、检测认证与App治理（工信部侵害用户权益APP通报机制）持续推进；Matter规范快速迭代：1.4（2024年11月，能源管理与增强多管理员）、1.4.1（2025年5月，NFC配网）、1.4.2（2025年8月，安全增强）、1.5（2025年11月，首次标准化支持摄像头/门铃视频流）、1.6（2026年6月，新增Product Security 1.1安全规范，对齐欧盟CRA并引入在野漏洞报告时限）；亚马逊发布基于生成式AI重构的语音助手Alexa+（2025年2月），大模型开始进入家庭语音入口；学术界持续对Matter入网配置与设备认证链开展系统安全分析 |
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| 智能家居 / 全屋智能 | 以家庭网关或中枢为核心，将照明、安防、家电、环境等设备联网并支持联动控制的居住系统；本课题聚焦其消费级形态 |
| 家庭中枢 / 家庭网关 | 连接家庭内网与互联网的路由/网关设备，常兼作多协议（Zigbee/BLE/Thread）汇聚点，是家庭网络的信任根与单点风险点 |
| Matter | CSA主导的智能家居互联协议（2022年10月发布1.0），运行于Wi-Fi/Thread/以太网之上，强调本地控制与设备认证 |
| DAC / PAI / PAA | Matter设备认证证书/中间认证机构/产品认证根：由CSA认可的PAA签发DAC，构成设备身份信任链，用于入网时的设备真实性验证 |
| PASE / CASE | Matter入网阶段的口令认证会话建立（基于SPAKE2+）与运行阶段的证书认证会话：前者凭配对码临时建立加密通道，后者凭节点证书建立长期会话 |
| OTA（空中升级） | 设备经网络接收并安装固件/软件更新；安全OTA要求签名验证、防回滚与失败可恢复（如A/B双分区） |
| SBOM（软件物料清单） | 设备所含软件组件及版本的结构化清单；是漏洞影响面评估与合规申报（如美国行政令、欧盟CRA）的基础 |
| ACR（自动内容识别） | 智能电视对屏幕显示内容进行指纹化识别并回传的技术，用于精准广告；涉及观看行为数据的告知与同意问题 |
| UPnP / SSDP / mDNS | 家庭网络即插即用与发现协议族：UPnP可动态添加端口映射，SSDP曾被用于反射放大DDoS，mDNS/SSDP广播可用于设备指纹识别 |
| TR-069（CWMP） | 运营商远程管理家庭网关的协议（含TR-181数据模型）；其暴露面与实现缺陷曾是路由器攻击面之一 |
| 敏感个人信息（PIPL） | 《个人信息保护法》第28条：一旦泄露易导致人格尊严受侵害或人身财产安全受危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及不满十四周岁未成年人的个人信息，处理时须取得单独同意并开展影响评估 |
| 零信任家居（概念） | 借鉴零信任思想的家庭网络架构：不因"设备在内网"而默认信任，任何设备接入、任何控制指令均需验证与最小授权 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "国际大牌产品不会出安全问题" | 案例档案（第6—7页）显示：Ring（凭据填充、员工越权访问）、Eufy（云端承诺与实际不符）、小米（串台事件）、LG与Vizio（数据回传与FTC处罚）均发生在头部品牌。品牌只影响响应速度与赔付能力，不消除风险本身。 |
| "设备在内网，黑客看不到" | Mirai、VPNFilter、Mozi均证明：消费设备一旦被控即成为内网跳板；路由器DNS劫持、UPnP暴露与P2P云服务使"内网"边界名存实亡（第3页）。 |
| "传输用了TLS就是隐私合规" | TLS只解决传输通道加密。合规核心是处理目的与最小必要、告知同意、留存期限与删除权——加密的数据被过度采集仍是违规（第5页）。 |
| "智能音箱只在听到唤醒词后才录音" | 设备需持续监听以检测唤醒词，误唤醒不可避免（2020年合作研究记录到日均1.5—19次的误唤醒差异）；且"人工审核录音"机制曾在苹果、谷歌、亚马逊引发整改（第5、6页）。 |
| "买了带安全认证的设备就万事大吉" | 认证（如新加坡CLS、美国CTM）是"基线达标"而非"免疫"：标签解决出厂基线，不覆盖用户口令、网络配置与云端账号安全（第2、8页）。 |
05 · 研究范围与合规边界
- 对象范围：消费级智能家居与消费电子安全：家庭网络与网关、智能门锁/门铃/摄像头、智能音箱与中枢、智能电视与家电、可穿戴与儿童设备、配套App与云平台。企业级IoT平台深度攻防归子课题05，僵尸网络层面归子课题06。
- 深度边界：做到"基线—架构—合规—档案—路线图"方法论与工程实践层面；具体漏洞利用代码（EXP）与武器化内容不在本课题范围，漏洞条目仅引用公开编号、官方公告与修复信息。
- 协同边界：设备固件深度逆向方法复用子课题01（第2页基线核查引用其结论）；家庭网络的被动监测方法借鉴子课题02；车联网与家居互联（车家场景）归子课题04接口部分；P2P SDK与物联网卡治理归子课题05、06。
- 时效声明：所引统计数字、法规生效日期、漏洞编号均以原始出处（政府公报、标准全文、厂商公告、NVD/CNVD、学术会议论文）为准；市场预测数据注明机构与口径；事件描述基于公开报道与官方披露，不采用无法核实的匿名信源说法。
合规与伦理声明：①本课题为防御研究，遵守《网络安全法》《数据安全法》《个人信息保护法》及《网络产品安全漏洞管理规定》；②对家庭网络的测试仅针对自有设备或获书面授权的目标，不采集、不披露他人隐私数据；③涉及儿童设备的研究仅引用公开披露与监管通报，不进行任何针对真实儿童的测试；④漏洞与事件档案仅用于防御教学与基线评估，不提供可复用的攻击步骤与载荷。
06 · 与子课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 IoT设备固件安全 | 固件分析产出的默认口令模式、硬编码凭证与更新链缺陷结论，直接构成本课题第2页设备基线核查的规则来源；本课题的设备分类表反向为固件分析的样本选取提供优先级 |
| 02 工控系统（OT）安全 | 借鉴OT"分区隔离+被动监测"方法论到家庭场景（第3页）；门锁、燃气阀等"物理后果设备"的防护思路与安全仪表系统（SIS）的纵深防御理念同源 |
| 04 车联网安全 | 车家互联（车库门、充电桩、回家场景联动）的权限互操作与凭据隔离是共同研究点；车端T-Box与家居中枢的本地互联接口安全相互借鉴 |
| 05 物联网平台与协议安全 | 本课题第4页的BLE/Zigbee/Matter分析与P2P SDK缺陷模式（Kalay案例），为平台侧设备身份体系、物联网卡治理与API安全提供底层证据 |
| 06 僵尸网络治理 | 被控摄像头、路由器是IoT僵尸网络的主体（Mirai、Mozi）；本课题的基线整改清单即僵尸网络"源头治理"的家庭侧方案，蜜罐捕获的口令字典与固件页面规则库双向共享 |
07 · 预期成果与交付物
- 《智能家居设备分类分级与采购基线》（第1—2页：分类表、ETSI 303 645/OWASP IoT对照核查清单）
- 《家庭网络加固配置手册》（第3页：Wi-Fi/网关/DNS/UPnP配置项与三网分区实践）
- 《智能家居协议安全速查表》（第4页：BLE/Zigbee/Z-Wave/Thread/Matter机制、风险与配置基线）
- 《家庭隐私合规工具包》（第5页：数据清单模板、告知同意要点、儿童数据保护核查项）
- 《六大品类攻防与防护清单》（第6页：摄像头/门锁/电视/音箱/家电/可穿戴）
- 《2012—2025消费IoT安全事件档案库》（第7页：时间线、CVE编号、成因模式与检测建议）
- 《智能家居安全治理与实施路线图》（第8页：法规标准全景、四方责任分工、90天落地路线）
08 · 2024—2026前沿动态：AI大模型时代的智能家居安全
8.1 生成式AI进入家庭语音入口
2025年2月，亚马逊发布基于生成式AI重构的语音助手Alexa+，可理解自然语言指令并联动家庭设备——大模型开始从"云端问答"走向"家庭执行"。这带来两类新风险：其一，权限放大——自然语言的模糊性（如"把家里收拾一下"）与智能体（Agent）的自主规划能力，可能把单个指令解释为多个高敏操作（开锁、支付、下单）；其二，数据用途扩张——家庭对话成为模型训练语料的概率显著上升，2019年"录音门"换来的"默认不参与人工审核"成果，在AI时代需要以"训练用途单独开关"的形式重新固化（对齐PIPL敏感个人信息"单独同意"要求）。
8.2 AI语音克隆与"家庭应急"诈骗
公开音频片段（社交媒体、短视频）即可克隆一个人的声音：美国联邦贸易委员会（FTC）2023年3月发布消费者预警《Scammers use AI to enhance their family emergency schemes》，提示攻击者用克隆的亲人声音拨打"绑架/事故/被捕"急救电话骗钱；FBI于2024年12月发布公共安全公告（I-120324-PSA），系统性提示生成式AI被用于金融诈骗并建议设立"家庭暗号"；美国联邦通信委员会（FCC）2024年2月24-17号裁定认定AI生成声音属于《电话消费者保护法》（TCPA）下的"人工声音"，相关自动外呼须事先取得同意。对家庭的直接启示：语音身份不再可信——设立家庭应急暗号、坚持"挂断后回拨已知号码核验"，是对抗AI语音钓鱼的最低成本防线。
8.3 Matter进入视频时代后的权限新命题
Matter 1.5（2025年11月）首次将摄像头/门铃视频流标准化（基于WebRTC传输），家庭视频将沿Matter通道跨生态流动；1.6（2026年6月）发布Product Security 1.1安全规范，对齐欧盟《网络弹性法案》的漏洞报告时限。课题立场：视频流标准化扩大的是"合法流动的面"——摄像头授权审计（第6页）、家庭网络分区（第3页）与儿童数据保护（第5页）需要同步覆盖Matter通道，避免出现"绕开厂商云即绕开治理"的盲区。
8.4 家庭侧防御清单（AI时代增量项）
- 家庭应急暗号：约定一个只有家人知道的验证短语，任何"声音像家人"的求助电话先对暗号（FBI/FTC官方建议）；
- 高敏操作不依赖语音单因子：开锁、支付、转账类操作保留App二次确认；声纹可被克隆，不能作为唯一认证凭证；
- 训练数据开关：检查语音助手设置中"帮助改进服务/模型训练"类选项，默认关闭并逐项审视用户协议中的训练用途条款；
- Matter摄像头授权审计：把Matter生态的摄像头访问权限纳入季度审计清单（第6页1.2防护清单的扩展项）；
- 关注标识义务：中国《生成式人工智能服务管理暂行办法》（2023年8月15日施行）确立生成内容标识义务——家庭接收到无标识的逼真语音留言/视频时，应将其视为可疑信号。
小结：AI没有改变智能家居安全的基本面——默认口令、分区隔离、权限最小化仍是主体；但它改变了"声音可信"这一假设。把"声音验证"降级为"线索之一"，把"家庭暗号"升级为"标准动作"，是本节对2024—2026年威胁演进的直接回应。
本节参考来源（第1页）
以下均为真实可查的权威来源（标准组织、监管机构、学术会议、官方统计），用于支撑本页事实性表述；涉统计数字均标注原始出处。
ETSI EN 303 645《Cyber Security for Consumer Internet of Things: Baseline Requirements》（2020年2月发布，V2.1.1）：etsi.org/deliver/etsi_en/303600_303699/303645。
Gartner新闻稿《Gartner Says 8.4 Billion Connected "Things" Will Be in Use in 2017, Up 31 Percent From 2016》（2017年2月，含2020年204亿台预测）：gartner.com/en/newsroom。
工业和信息化部《2022年通信业统计公报》（蜂窝物联网终端用户18.45亿户）：miit.gov.cn。
OWASP IoT Top 10（2018）：owasp.org/www-project-internet-of-things；NIST IR 8228（2019）：csrc.nist.gov/pubs/ir/8228/final；NIST IR 8259（2020）：csrc.nist.gov/pubs/ir/8259/final。
IOActive《ZigBee Exploited: The Good, The Bad and The Ugly》（Black Hat USA 2015，Tobias Zillner）：ioactive.com/resources。
GB/T 41387-2022《信息安全技术 智能家居通用安全规范》、GB/T 41388-2022《信息安全技术 智能家居安全网关安全规范》，全国标准信息公共服务平台：openstd.samr.gov.cn。
《网络产品安全漏洞管理规定》（工业和信息化部、国家互联网信息办公室、公安部令，2021年9月1日施行）：miit.gov.cn。
Armis《BlueBorne》披露（2017年9月）：armis.com（BlueBorne白皮书）；Cisco Talos《VPNFilter》（2018年5月）：blog.talosintelligence.com/vpnfilter。
FTC消费者预警《Scammers use AI to enhance their family emergency schemes》（2023年3月20日，consumer.ftc.gov消费者预警栏目）：consumer.ftc.gov/consumer-alerts；FCC 24-17号裁定（2024年2月8日，AI生成声音适用TCPA）：docs.fcc.gov（FCC-24-17A1）；FBI公共安全公告I-120324-PSA（2024年12月3日，生成式AI金融诈骗预警）：ic3.gov（PSA241203）。
CSA连接标准联盟Matter版本发布新闻稿（1.4：2024年11月7日；1.4.1：2025年5月7日；1.4.2：2025年8月11日；1.5：2025年11月20日；1.6：2026年6月17日）：csa-iot.org/newsroom；Amazon发布生成式AI语音助手Alexa+（2025年2月26日）：aboutamazon.com/news/devices。