ZONE.CI 全球网

台军为应对解放军快速突击上陆能力，转而采用小型滞空弹药进行不对称作战，通过分析解放军装备弱点与滞空弹药特点，提出具体战术构想，强调小型滞空弹药在弥补传统火力间隙、提升滩岸火歼成功率方面的作用。

商务部和科技部修订《中国禁止出口限制出口技术目录》，拟增列人工智能、生物医药和光伏关键技术，以确保技术安全可控，并鼓励开源开放和合作共享。修订充分考虑产业发展情况，针对人工智能、生物医药和光伏技术实施出口前登记的临时管理措施，以防范技术失控和不当扩散风险，同时保障正常国际技术交流合作。

德国基民盟海尔布隆地方组织邮箱遭黑客入侵，约6500名联系人收到伪装成活动邀请或信息变更通知的钓鱼邮件，收件人包括总理默茨等敏感领域人士。警方正调查此事，尚不清楚是否造成实际损失，已提醒收件人勿回复邮件或点击链接。此事件凸显钓鱼攻击对政治领域人员的威胁，建议加强邮箱安全防护与员工安全意识培训。

2026年10月16日ShinyHunters声称泄露韩国国防部1TB数据，含组织表、用户表及告警截图，暴露陆海空编制、防谍系统及MCPTT架构，但存在防谍司令部已解散的时间线矛盾与历史叫卖雷同疑点；建议立即比对样本锁定失陷系统、轮换凭据并监测暗网动态。

文档展示Python中Pickle和PyYAML两种反序列化漏洞的利用方式，通过构造恶意序列化数据实现远程代码执行，属于威胁情报分析内容，对安全防护具有参考价值。

文章通过一位家长视角讲述211信息安全专业女儿秋招求职不顺的经历，分析网安行业缺人说法与实际招聘的差异，指出岗位统计口径、企业预算及实战经验是关键。建议求职者将证书与目标岗位匹配、整理可解释的项目材料、选择具体AI安全方向，并强调学历决定入场券、实战决定位置。

本文通过海外工业企业ERP物料重复采购案例，揭示浪费链为找不到物料、重复录入、买错报废。解决方案是数据清洗加语义检索，关键在前期数月现场调研与业务链分析。建议先算清浪费账再决定是否做AI，从易见效场景起步，效果需客户确认。

本文探讨智能体资产发现与管理问题，指出智能体扩散速度远超资产管理能力，传统手段失效。提出主动探测、被动分析、平台侧对接三种发现方法及交叉验证分级，建立可信台账。强调分类分级、责任人确权与版本快照追踪，为AI供应链安全治理提供可操作框架。

该周报汇总近期网络安全态势，涵盖数据安全、AI安全与网络安全三大板块。数据安全方面，云服务商遭勒索攻击影响数百机构，GitHub仓库被植入恶意工作流窃取凭证，多家企业用户信息泄露。AI安全领域涉及服务宕机、办公合规争议、工控攻击风险及黑产工具扩张。网络安全板块包括银行合规处罚、僵尸网络、工控系统物理攻击及跨境执法等典型事件，全景呈现近期网安态势。

新修订国防动员法于2026年10月1日施行，第六十条将网络安全从电信子项单列为独立国防勤务类别，新增为第4类单位。企业安全团队需落实6件事：确权确认单位是否在清单内、核心系统资产定级、数据安全制度落地、应急预案与平战转换演练、人员与供应链安全责任、对接属地上报链路。法律将网络安全防护从可压缩IT开支变为刚性履责支出，既是压力也是行业结构性机会。

《渗透测试与红队实战指南》是一本系统性的渗透测试与红队实战指南，介绍了侦察、权限提升的攻击链，并包含大量实战案例。

天懋信息作为专网安全领军企业，凭借AI技术创新实力入选2026年中国网络安全市场全景图，被评为视频专网安全、物联网安全、网络资产测绘与暴露面管理、网络入侵检测与防御、网络行为管理与审计、终端检测与响应、风险评估等多个细分领域典型厂商代表。公司将持续深化专网AI智能体在主动安全监管体系的场景化落地，构建高效自主智能的网络安全防护体系。

本文通报Windows内核驱动mskssrv.sys存在本地提权漏洞CVE-2026-83834，攻击者可利用UAF与TOCTOU竞态实现内核代码执行，影响多个Windows版本，POC已公开，建议用户升级至官方安全版本。

本文预警Next.js图片优化接口存在的RCE漏洞CVE-2026-96889，根因是依赖链中librsvg的释放后使用问题，影响10.0.0至15.5.27及16.0.1至16.4.0版本，修复版本为15.5.28和16.4.1。攻击无需认证且默认配置即可触发，但获取执行权需特定环境。建议受影响用户立即升级修复版本。

本文复盘CVE-2025-52488漏洞，攻击链利用全角反斜杠绕过过滤，经Unicode归一化还原为反斜杠，结合Path.Combine的绝对路径覆盖特性，构造UNC路径触发SMB外联，导致NTLM哈希泄露。漏洞影响DNN6.0.0至10.0.0，补丁为10.0.1。检测需阻断出站445端口并审计NTLM外联，修复应遵循先归一化再校验原则。

黑客利用泄露的ConnectwiseSkyKick凭证入侵微软365租户，导致云备份服务中断，已有162个租户遭未授权登录。攻击者通过应用身份凭证获取MicrosoftGraph令牌，并篡改应用添加长期密钥实现持久驻留。亨特雷斯建议禁用相关应用并审查日志。

2026年10月韩国多家银行遭AI代理攻击，攻击者使用ARTEXAI渗透测试套件结合Claude代理实现全流程自动化入侵，影响约89万个账户，造成470万美元直接损失及2300万美元罚款。攻击仅用8天完成，较典型APT缩短73%。检测需基于行为分析识别AI扫描特征，防御需部署AI感知WAF、速率限制及欺骗技术。

福建水投数字科技公开招聘信息安全岗1人，限应届生，报名时间为2026年10月16日至25日，需通过邮件或BOSS直聘投递简历。招聘流程含笔试面试等环节，薪资福利优厚。文末附网络安全攻防实验室推广内容，宣传付费会员服务。

本文深度解析汽车网络安全TARA方法，指出智能网联汽车代码量大、攻击面广，超六成安全漏洞源于开发阶段设计缺陷。TARA作为ISO/SAE21434核心方法，通过七步流程实现安全左移，在研发设计阶段识别风险并输出网络安全目标与需求，指导正向开发。建议OEM和供应商将TARA内化到研发流程，从合规驱动转向风险驱动。

暗网哨兵报道国内人体器官捐献管理数据库疑似泄露事件，发帖者声称获取相关机构数据库并首次公开。涉及机构管理、捐献者个人资料、医疗检测记录、实验室项目及业务申请材料等多类敏感数据，可能引发医疗健康信息安全与个人隐私保护问题。文章强调信息真实性待核实，需关注数据泄露风险。

本期工业网络安全周报涵盖政策法规、漏洞预警与安全事件。政策方面，英国扩大AI网络防御试点，美国NSA发布OT零信任指引。漏洞方面，西门子、施耐德、罗克韦尔等发布多项ICS公告修复严重漏洞。事件方面，法国超市冷藏系统遭攻击致食品损失，多起勒索软件组织攻击制造业企业。建议运营方加强资产清单管理、漏洞修补与暴露面收敛。

Skyticket旅行平台遭黑客攻击致6140名用户信用卡信息泄露，泄露数据包括卡号、持卡人姓名及有效期，不涉及安全码。事件源于2017至2018年间信用卡信息存储于自有服务器，迁移至支付服务商时日志未删除。目前未发现信息被滥用，平台已联系信用卡公司监控可疑交易，建议用户检查账单并变更信用卡信息。

本文介绍hxbaiV2，一个LLM驱动的自主安全交战引擎，支持平台基准解题、实战漏洞挖掘与白盒代码审计。核心机制包括波次循环、全局调度、持久记忆、知识前置、裁决三闸、多模型角色与出口数据化，通过事件溯源状态图与交战情报库实现跨任务累积。项目已开源，适合安全研究场景，建议关注其架构设计与多模型容灾机制。

文档为赛博研究院的机构简介，介绍其作为上海市级民办非企业机构，定位为数字经济时代的战略科技智库，承担多项政府支撑职能并组织专业会议，文末附联系方式。内容属机构宣传性质，无技术深度。

文章探讨舆论中沉默的力量，指出喧嚣廉价而沉默稀缺，通过薛之谦自黑冷处理、华为被制裁时闷头研发等案例，说明沉默不是认输而是超常表达，时间会替真相说话，建议在舆论中该说时说、该沉默时沉默。