ZONE.CI 全球网

国家标准化管理委员会近日下达25项网络安全推荐性国家标准计划，由全国网络安全标准化技术委员会归口，其中包括《网络安全技术JSON密码使用语法规范》等标准项目。该举措旨在推进网络安全领域标准化建设，为相关技术应用提供规范依据，对行业合规发展具有指导意义。

AnthropicOSSScanner发现curl8.12.0至8.22.0存在HTTP/2上传释放后重用漏洞CVE-2026-92392，可致客户端远程代码执行。攻击需证书校验通过且上传约135KB文件，利用难度较高但影响广泛。建议立即升级至8.23.0或对应分支版本，无法升级时禁用HTTP/2并排查含libcurl的组件及上传场景。

本文报道PaloAltoPAN-OS管理接口存在严重RCE漏洞CVE-2026-0322，影响10.2至12.2版本线，认证攻击者可以root权限执行任意代码。CISA在公告发布当日将其列入KEV目录，确认存在在野利用。官方已发布多分支热修，无已知workaround，建议收敛管理口暴露面并升级修复。

本文系统阐述AI系统自身安全的重要性、主要风险与防护实践。指出AI系统已成为核心资产，面临数据投毒、对抗样本、提示词注入、供应链后门及智能体劫持等威胁。提出全生命周期安全、纵深防御、最小权限、红队评测与合规治理等思路，并给出数据、模型、运行、供应链、智能体等具体防护措施及落地路线图，强调员工共同参与保障AI安全。

美国陆军网络司令部司令尤班克在陆军协会会议上宣布将倍增远征网络与电磁战营级部队数量，新营将是第11网络营的翻版，未来几个月内启动组建，一年内实现初步作战能力。第11网络营绰号利维坦，是美国陆军首个可扩展远征能力部队，专注于网络空间和电子战资产，目前正为南方边境联合特遣部队执行任务，并与第780军事情报旅合作开发无人机技术。

本文报道了安卓与iOS安全工具的最新动态：LSPosed发布DexSQL工具，可用SQL查询APK/DEX数据；KernelSU/LSPosed作者GitHub账号恢复；APatch适配澎湃4.0；ElevenAI逆向IDE发布；StikDebug更新。文章还提供了各工具版本信息与安全提醒，建议用户仅在自己的设备上折腾，注意风险。

PaloAltoNetworks发布安全更新，修复高危PAN-OS远程代码执行零日漏洞CVE-2026-0322，该漏洞已被攻击者利用，影响管理接口，允许已认证攻击者以root权限执行代码。漏洞评分8.6，影响PA系列及VM系列防火墙等。建议仅允许受信任IP访问管理接口，并升级至修复版本。CISA已将其列入已知利用漏洞目录。

该文档汇总了2026年10月16日多条国际安全与科技情报，涵盖马来西亚深化对华合作打击网络诈骗、韩国启用军事AI基地、英国MI5列举威胁、乌克兰袭击俄数据中心、Anthropic强化模型蒸馏防护、特朗普调整AI监管架构、科学家呼吁建立国际AI监管机构、美国多州起诉OpenAI等事件，涉及网络安全、AI安全治理、地缘冲突与数据基础设施防护等议题。

本文阐述零信任并非非黑即白的标准答案，而是防护理念的演进方向，通过信任粒度不断细化来持续收敛风险。文章将零信任分为三个层级：信任整个网段、信任身份主体、信任单次访问，并指出企业无需追求一步到位的纯正架构，而应逐步推进，每一步都有实际效果。

这篇文章系统总结了OSS存储桶的常见安全漏洞，包括Bucket遍历、桶名爆破、任意文件上传覆盖、Bucket接管、AccessKey泄露及策略配置可写等类型，分析了各类漏洞成因与利用方法，并给出了权限最小化、及时清理域名绑定、避免敏感信息泄露等修复建议，强调云安全核心在于权限配置纪律。

柬埔寨宣布全面清剿电诈园区，调查793处地点，实际清剿624处，拘留近3万人，遣返5.8万外国人，其中2.2万人确认参与诈骗。15名高官及执法人员被捕，反腐机构介入。犯罪团伙转向碎片化流动作案，监测需转向人员流、设备流和资金流。

微步在线发布全球首个多AIAgent渗透平台RedAgents，集成ArtexPro、衍迹、燕巡、CyberStrikeAI等多款企业级与开源AI红队Agent，支持SaaS化并行调用与能力交叉验证，承诺数据零留存与白名单授权范围。平台旨在将渗透测试从长周期大考变为短周期测验，帮助企业持续获得先进AI攻防能力，已开放小范围测试申请。

本文介绍proxytunnel工具，可将任意TCP连接伪装成HTTPS请求，通过HTTP代理的CONNECT方法实现内网穿透。文章通过三个实例展示基础用法、带代理认证及配置为SSH的ProxyCommand，实现通过代理访问内网设备。该工具为纯客户端，无需服务端，代理日志仅显示443连接记录，隐蔽性较好。文章实用性强，命令示例清晰，可操作性强。

该文为情感心理类短文，指出出众者易招人非议，狭隘者常抱怨世人，人际中微妙恶意多源于嫉妒，与自身好坏无关，建议大胆离开令人不舒服的关系。内容简短，属一般性感悟分享，无技术价值。

WhoisXMLAPI分析2026年9月超1230万新注册域名，恶意域名占比升至26.6%，.cn注册量激增63.6%，.ru因强制认证下降，Top5注册商GMO扩大领先优势。报告揭示勒索软件、浏览器恶意软件及针对中俄特定目标的间谍活动，建议企业加强域名监控与威胁情报应用。

美军启动120天子午线计划，由防务部门首席技术官统筹，MITRE执行，跨界专家参与，研判人工智能、自主系统、定向能、机器人、生物技术五大领域，覆盖地下至地月全域空间，输出能力缺口清单与技术优先级，并与自主作战司令部形成研判到落地的闭环。该模式强调快速迭代与全域统筹，但存在利益关联与短期研判局限，对我国国防建设具有借鉴意义。

该报告系统剖析美军反无人机能力建设，指出其正由军种分散装备补缺转向联合统管、低成本规模化、战场与本土一体的国家级体系工程。报告从威胁演变、战略谋划、组织体制、装备技术、经费采办及实战检验等维度展开，揭示授权滞后、产能不足等结构性矛盾，并提出顶层统筹、装备发展等对我启示。

银狐攻击组织投毒云端调度进入时间窗时代，夜间攻击命中返回360官网，安全团队已打击1930个仿冒域名。文章揭示该组织利用时间窗机制提升攻击隐蔽性，建议加强夜间监控与域名仿冒识别，提升应急响应能力。

某教务管理系统存在SQL注入漏洞，参数未过滤直接拼接至SQL语句，无需登录即可触发，可能导致敏感数据泄露。建议对输入参数进行严格过滤和参数化查询，修复漏洞并加强安全审计。

中央网信办等四部门联合开展为期2个月的网络涉军不当营销和炒作信息专项整治，重点处置10类违规行为，包括虚假营销、错误解读政策、售卖军品、AI编造虚假信息等，要求压实平台主体责任，建立审核机制，鼓励社会举报，以维护军队形象和清朗网络空间。

本文分享免费网络安全AIAgent技能库资源，涵盖通用安全、代码审计、安全运营、逆向分析四大类，提供多个GitHub仓库链接，包括渗透测试、漏洞审计、日志分析、移动逆向等方向，并附法律声明，仅供安全学习和授权测试使用。

文章讽刺职场中滥用AI的`ai哥`现象，指出其将AI当作炫耀工具而非实际应用，并分析用AI后产生的能力跃升幻觉。强调AI是基础设施而非护城河，真正竞争力在于思考与判断力。建议理性使用AI，避免依赖或排斥，将决策权握在自己手中。

暗网付费帖子解锁(第三十四期)
原创
bigeye\_sec

bigeye\_sec
大眼睛网络安全
2026年10月15日 19:20

山东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
暗网付费帖

KGBRAT是一款基于NjRAT代码的MaaS模式Windows木马，月租150美元，宣称可绕过Defender。其功能涵盖凭据窃取、键盘记录、远程控制、勒索及心理恐吓。攻击链通过伪装ChromeUpdate计划任务持久化。建议用户检查计划任务、部署行为型EDR，监控异常进程链与出站连接，而非仅依赖查杀。

文档介绍风电行业信息系统网络安全等级保护测评技术规范NB/T11972-2026的新增及增强项，内容涉及等保测评在风电领域的应用要求，但正文内容极为简短，缺乏具体技术细节与操作建议，仅可作为行业标准存在的提示性信息。