ZONE.CI 全球网

该研究对五款主流AI代码沙箱进行系统性安全测评，从主机攻击面、信息泄露、纵深防御、CVE历史、补丁节奏和Fuzzing投入六个维度分析三类引擎。关键发现包括：不同引擎在架构维度存在明显分层；下游产品补丁延迟可达471天；microVM与持续公开Fuzzer的组合尚属空缺。研究提出威胁模型限定矩阵，为运营者提供可操作的安全选型框架。

本文档为HVV（护网行动）全国长期招聘公告，核心内容包括招聘流程分三步：简历投递与筛选、岗位匹配与背景调查、人才库储备；薪资结算采用入场预付款+分期付款模式（3个月付40%、6个月结清）；投递方式支持邮箱与企微双渠道，要求简历注明技术方向及实战经验。

美国国家标准与技术研究院（NIST）宣布设立量子制造工程中心（QMEC），计划投资2000万美元以攻克低温系统、激光器等关键部件制造技术，加速量子传感、通信、计算等领域的产业化应用。欧盟理事会批准《人工智能法案》修订法规，新增对生成特定不当内容的禁令并推迟部分规则适用期限。美国商务部解除对AI模型AnthropicFable和Mythos的出口管制。Visa、万事达等机构联合推出美元稳定币OpenUSD。英国央行官员提出代理式AI或需监管改革。日本与印度计划发表AI合作联合声明。此外，美国麻省理工学院研发

runZero研究人员披露了广泛使用的FatFs文件系统库中的七个安全漏洞(CVE-2026-6682至CVE-2026-6688),严重程度从中等到高。这些漏洞影响数百万嵌入式设备,可通过恶意USB驱动器、SD卡或固件更新触发。研究使用AI辅助工具(如GitHubCopilot)自动生成模糊测试工具,发现了此前人工审计遗漏的漏洞。修复因嵌入式生态碎片化而复杂,runZero已公开了发现和概念验证代码。

npm恶意包china\\_airlines伪装Cloudflare验证页面进行定向钓鱼。该包利用混淆JS劫持回调，将用户跳转至钓鱼站点窃取凭证，供应链风险显著。建议企业封禁该包及维护者，利用WAF拦截关联域名，并加强第三方包引入的安全审计与开发者培训，防范批量数据泄露。

意大利破获俄间谍网，前特工利用墙洞死信箱交付援乌防空机密。文章将该手法与俄APT组织利用网络平台构建的数字死信箱相联系，揭示俄方以切断联系的间接结构结合人力与技术情报，对欧洲军工供应链实施全景渗透。建议重点防范公开平台隐写与云存储滥用。

小红书技术团队分享企业级AI个人助理从0到全员覆盖的实践。核心采用AINative项目运作机制，3人3天启动内测，一个月完成全员覆盖。通过SealAIZone专属隔离集群和NEX沙箱解决安全问题，利用Self-GC上下文管理和Auto智能模型路由实现成本优化。LLMWiki三层记忆架构增强Agent能力，SkillHub和CoworkStudio构建生态。关键建议：通过物理隔离和沙箱确保安全，通过智能路由和上下文管理优化成本。

小红书与北大联合开源UltraEP，一种面向大规模MoE模型训练与推理的实时负载均衡方案。它通过在每个microbatch和每层动态复制热点专家，解决了专家并行中因负载不均导致的GPU闲置、通信瓶颈及显存溢出问题。实验表明，UltraEP平均达到理想性能的94.3%，相比业界SOTA框架提升1.49倍，并已成功应用于实际生产环境。该方案为提升MoE训推效率提供了可操作的技术路径。

本文介绍Azure密钥搜寻与提权技术及两款工具。MicroburstSecretsHunter离线扫描数据快速定位密钥并生成脱敏报告；SecretsStalker验证客户端秘密权限，揭示通往订阅接管的提权路径。文章强调订阅接管比全局管理员更具隐蔽性与价值，建议结合BARK利用，为云红队提供高效实战方案。

HackerNews摘要涵盖多项科技新闻：tl;dv会议平台因Firestore集合缺少租户隔离导致18万场会议数据可被任意查询，漏洞修复拖延半年；Docker推出基于microVM的AIAgent沙箱提供更强隔离；Meta开源30B参数本地Agent模型MuseGlimmer；Cactus发布14MB设备端Agent模型Needle2；赏金猎人批评HackerOne平台偏离社区价值；SonicPiv5发布；研究显示出租车司机阿尔茨海默病风险较低；Parametron计算机历史回顾；Squeak6.1发布

HuggingFace旗下PollenRobotics推出399美元双足机器鸭Microduck，预装7种强化学习策略，软件栈Apache2.0全开源但硬件图纸闭源，定位为低成本强化学习与sim-to-real实物平台；与ReachyMini形成行动与交互互补的具身智能布局，叠加Nvidia约129亿美元收购传闻，这只鸭子或成Nvidia生态最便宜的用户获取工具。

美国国家标准与技术研究院（NIST）宣布设立量子制造工程中心（QMEC），计划投资2000万美元以攻克低温系统、激光器等关键部件制造技术，加速量子传感、通信、计算等领域的产业化应用。欧盟理事会批准《人工智能法案》修订法规，新增对生成特定不当内容的禁令并推迟部分规则适用期限。美国商务部解除对AI模型AnthropicFable和Mythos的出口管制。Visa、万事达等机构联合推出美元稳定币OpenUSD。英国央行官员提出代理式AI或需监管改革。日本与印度计划发表AI合作联合声明。此外，美国麻省理工学院研发

runZero研究人员披露了广泛使用的FatFs文件系统库中的七个安全漏洞(CVE-2026-6682至CVE-2026-6688),严重程度从中等到高。这些漏洞影响数百万嵌入式设备,可通过恶意USB驱动器、SD卡或固件更新触发。研究使用AI辅助工具(如GitHubCopilot)自动生成模糊测试工具,发现了此前人工审计遗漏的漏洞。修复因嵌入式生态碎片化而复杂,runZero已公开了发现和概念验证代码。

npm恶意包china\\_airlines伪装Cloudflare验证页面进行定向钓鱼。该包利用混淆JS劫持回调，将用户跳转至钓鱼站点窃取凭证，供应链风险显著。建议企业封禁该包及维护者，利用WAF拦截关联域名，并加强第三方包引入的安全审计与开发者培训，防范批量数据泄露。

意大利破获俄间谍网，前特工利用墙洞死信箱交付援乌防空机密。文章将该手法与俄APT组织利用网络平台构建的数字死信箱相联系，揭示俄方以切断联系的间接结构结合人力与技术情报，对欧洲军工供应链实施全景渗透。建议重点防范公开平台隐写与云存储滥用。

小红书技术团队分享企业级AI个人助理从0到全员覆盖的实践。核心采用AINative项目运作机制，3人3天启动内测，一个月完成全员覆盖。通过SealAIZone专属隔离集群和NEX沙箱解决安全问题，利用Self-GC上下文管理和Auto智能模型路由实现成本优化。LLMWiki三层记忆架构增强Agent能力，SkillHub和CoworkStudio构建生态。关键建议：通过物理隔离和沙箱确保安全，通过智能路由和上下文管理优化成本。

小红书与北大联合开源UltraEP，一种面向大规模MoE模型训练与推理的实时负载均衡方案。它通过在每个microbatch和每层动态复制热点专家，解决了专家并行中因负载不均导致的GPU闲置、通信瓶颈及显存溢出问题。实验表明，UltraEP平均达到理想性能的94.3%，相比业界SOTA框架提升1.49倍，并已成功应用于实际生产环境。该方案为提升MoE训推效率提供了可操作的技术路径。

本文介绍Azure密钥搜寻与提权技术及两款工具。MicroburstSecretsHunter离线扫描数据快速定位密钥并生成脱敏报告；SecretsStalker验证客户端秘密权限，揭示通往订阅接管的提权路径。文章强调订阅接管比全局管理员更具隐蔽性与价值，建议结合BARK利用，为云红队提供高效实战方案。

Coldcard硬件钱包因固件缺陷导致私钥生成使用弱伪随机数生成器yasmarang，有效熵仅约40bit，攻击者通过离线枚举破解私钥，导致约1.11亿美元比特币被盗。漏洞源于硬件RNG被关闭且降级为软件PRNG，种子可预测。建议用户升级固件至修复版本。

HackerNews摘要涵盖多项科技新闻：tl;dv会议平台因Firestore集合缺少租户隔离导致18万场会议数据可被任意查询，漏洞修复拖延半年；Docker推出基于microVM的AIAgent沙箱提供更强隔离；Meta开源30B参数本地Agent模型MuseGlimmer；Cactus发布14MB设备端Agent模型Needle2；赏金猎人批评HackerOne平台偏离社区价值；SonicPiv5发布；研究显示出租车司机阿尔茨海默病风险较低；Parametron计算机历史回顾；Squeak6.1发布

HuggingFace旗下PollenRobotics推出399美元双足机器鸭Microduck，预装7种强化学习策略，软件栈Apache2.0全开源但硬件图纸闭源，定位为低成本强化学习与sim-to-real实物平台；与ReachyMini形成行动与交互互补的具身智能布局，叠加Nvidia约129亿美元收购传闻，这只鸭子或成Nvidia生态最便宜的用户获取工具。

该研究对五款主流AI代码沙箱进行系统性安全测评，从主机攻击面、信息泄露、纵深防御、CVE历史、补丁节奏和Fuzzing投入六个维度分析三类引擎。关键发现包括：不同引擎在架构维度存在明显分层；下游产品补丁延迟可达471天；microVM与持续公开Fuzzer的组合尚属空缺。研究提出威胁模型限定矩阵，为运营者提供可操作的安全选型框架。

本文档为HVV（护网行动）全国长期招聘公告，核心内容包括招聘流程分三步：简历投递与筛选、岗位匹配与背景调查、人才库储备；薪资结算采用入场预付款+分期付款模式（3个月付40%、6个月结清）；投递方式支持邮箱与企微双渠道，要求简历注明技术方向及实战经验。

美国国家标准与技术研究院（NIST）宣布设立量子制造工程中心（QMEC），计划投资2000万美元以攻克低温系统、激光器等关键部件制造技术，加速量子传感、通信、计算等领域的产业化应用。欧盟理事会批准《人工智能法案》修订法规，新增对生成特定不当内容的禁令并推迟部分规则适用期限。美国商务部解除对AI模型AnthropicFable和Mythos的出口管制。Visa、万事达等机构联合推出美元稳定币OpenUSD。英国央行官员提出代理式AI或需监管改革。日本与印度计划发表AI合作联合声明。此外，美国麻省理工学院研发

runZero研究人员披露了广泛使用的FatFs文件系统库中的七个安全漏洞(CVE-2026-6682至CVE-2026-6688),严重程度从中等到高。这些漏洞影响数百万嵌入式设备,可通过恶意USB驱动器、SD卡或固件更新触发。研究使用AI辅助工具(如GitHubCopilot)自动生成模糊测试工具,发现了此前人工审计遗漏的漏洞。修复因嵌入式生态碎片化而复杂,runZero已公开了发现和概念验证代码。