Apple起诉OpenAI 前员工利用零日漏洞窃取机密文件

诉讼概况

Apple于2026年7月13日在美国加州北部地区法院正式对OpenAI提起诉讼，指控其前雇员刘畅（Chang Liu）利用一项“罕见、此前未知的认证漏洞”在离职后继续访问Apple内部网络，批量下载涉及未发布硬件设计、工程演示和技术规格的机密文件。Apple称该漏洞属于零日漏洞，已在发现后完成修补，并在得知安全事件后立即撤销了刘的网络权限。

漏洞与攻击手法

• 漏洞性质：零日认证漏洞，允许持有旧凭证的用户绕过登录校验直接访问公司云存储。
• 利用方式：刘畅在离职后仍保留Apple发放的工作笔记本，借助该设备的登录凭证持续访问内部文件库。期间他还利用前同事彭玉婷（Yu‑Ting Peng）在Apple的账号进行跨账号访问。
• 数据范围：数十份包含硬件原型图、内部项目计划和技术细节的文档，被认为涉及Apple未来产品的关键竞争情报。

“LOL，我发现还能访问网络存储，真是太好玩了。”——刘畅在被指控时的内部邮件截屏（已匿名处理）。

法律与商业影响

• 诉讼目标：Apple请求法院判决OpenAI赔偿损失，并要求对相关机密信息进行禁令性保护，防止进一步泄露。
• 行业关注：此案揭示了AI企业在人才争夺战中可能面临的知识产权风险，也提醒大型科技公司在员工离职后必须实施彻底的账号注销和权限回收流程。
• OpenAI回应：OpenAI官方声明称“对其他公司的商业机密没有兴趣”，并表示将积极配合法院程序，维护公司声誉。

安全治理的启示

1. 离职员工访问控制：企业应在员工离职的第一时间冻结其所有内部凭证，包括VPN、远程桌面和云存储访问权限。
2. 零日漏洞快速响应：建立内部漏洞披露渠道，及时修补未公开的安全缺陷，防止被恶意利用。
3. 跨公司招聘审查：在高价值人才招聘时，需评估其可能携带的机密信息风险，并在合同中加入严格的保密条款。

结语

Apple与OpenAI的这场法律纠纷不仅是一场商业机密的争夺，更是一场关于企业数据安全治理的行业警示。随着AI研发竞争加剧，如何在人才流动与知识产权保护之间取得平衡，将成为各大科技公司必须面对的长期课题。