ZONE.CI 全球网

第三届CCF算法能力大赛区域赛报名通知发布，面向在校大学生、企业工程师及自由职业者，不限国籍和组别。区域赛定于2026年12月6日在全国各大城市举行，报名时间为9月28日至11月18日09:00，免收报名费。比赛形式为8小时5道题封闭式上机测试，总决赛2027年4月在宁波举办，区域赛前500名可晋级。

研究员发现SubaruStarlink员工后台存在越权漏洞，仅凭车牌等公开信息即可远程控车、定位并获取一年行驶轨迹。漏洞源于忘记密码接口逻辑缺陷及前端2FA可绕过，上报后24小时内修复。文章强调车企后台权限模型存在结构性问题，建议最小权限与操作留痕。

本文介绍Penelope工具，一款面向渗透测试和CTF玩家的高级shell处理工具，功能强于netcat，支持自动PTY升级、多会话管理、文件上传下载、HTTP服务器及辅助模块。文章详述安装方法、功能特性、支持命令及常见用法，并附GitHub下载链接，同时提醒用户遵守网络安全法，在合法合规环境下进行渗透测试。

LiteLLMAI网关曝出CVE-2026-35029权限绕过与CVE-2026-59823SSRF双漏洞，影响1.83.9以下版本，低权限用户可窃取API密钥、读取文件甚至接管网关。建议立即升级至1.83.9及以上版本，审查/配置/update端点访问权限，轮换所有AI厂商API密钥，排查间接引用的隐藏实例并监控异常调用。

本文盘点AI合规要求，区分大模型厂商与AI应用集成商的不同合规责任。核心结论是监管政策持续加码，需遵循国内外法规如生成式AI暂行办法、欧盟AI法案。关键发现是风险判断场景优先，责任穿透至集成商。建议建立风险分级台账、供应商尽调报告等自查输出物，守住AI落地红线。

本文是第四届`数信杯`数据安全大赛个人赛的解题记录合集，包含16道题目的信息、分析过程、复现脚本和结论。

DeepSeek-V4.1-Flash-1017模型登顶CodeArenaWebDev开源模型榜首，特斯拉宣布无速成车，iPhone18Pro系列销量突破400万，ClaudeCode代码90%由AI自写自审，马斯克称Optimus人形机器人和Cybercab将构成特斯拉大部分价值，星巴克实施消费才可入座规则，豆包发言人辟谣国内55%算力用于视频和短剧，微信发起公众号小说改编微短剧激励活动，Spotify打击家庭套餐共享，苹果将举行特别活动，马斯克宣布明年向全美孩子赠SpaceX股票。

该事件分析报告披露一名黑客利用开源AI代理平台Cairn，以约50美元单次成本、不足100字中文指令，自主入侵超100家电商网站。报告详述攻击链条、受害者回应及多个攻击集群，对比去年GTG-1002事件，指出AI自主攻击门槛已降至个人可负担水平。防御建议包括审计关联基础设施、监测网页后门、利用23小时窗口期、管好AI基础设施及轮换泄露密钥。

本文作者以红队攻击方视角，批判传统WAF依赖正则黑名单机制的滞后性与高误报率，提出以纯语义解析AST加多引擎融合的防护架构，通过理解代码语法结构与执行意图识别攻击，并采用极速短路加深度精查优化性能，辅以网段连坐封禁、AI自学习与团伙溯源策略。文章兼具技术洞见与引流软文性质，可借鉴其语义分析思路，但需甄别推广成分。

本文为CISAW安全运维专业高级认证首期班招生推广，面向持有专业级证书的网安管理人员。课程涵盖合规要求、安全运维规划管理实战与评价等，4天含6大实验4大案例，培训费10800元，考试认证费1080元，考试分笔试与实操。建议符合条件者关注官方渠道报名。

西湖大学工学院医学人工智能实验室招聘博士后1至3名，研究方向为医学影像分析、医学自然语言理解及多模态医学大模型。要求35岁以下博士，发表至少3篇论文，熟悉Python和PyTorch。提供有竞争力薪酬、落户及子女入学支持，并享受杭州市多项博士后资助政策。应聘者需将简历发送至指定邮箱。

作者分享接到冒充税务机关的诈骗电话后，通过信息收集发现多个诈骗域名，渗透测试发现采用FastAdmin和ThinkPHP框架搭建的站点存在CVE漏洞和弱口令，但利用时遇到上传漏洞报错问题。最终后台记录显示上百人受骗，单次损失300-500元。强调日常需提高反诈警惕，诈骗分子使用.help域名且多为未修复漏洞的简易CMS系统。

江西宜春网警打掉一侵犯公民个人信息犯罪团伙，涉案金额1400余万元，抓获23人，查扣电子设备70余台。该团伙通过短信通道批量发送虚假贷款营销短信，为下游非正规贷款机构引流牟利。民警提示公众勿轻信不明贷款短信，保护个人信息，发现泄露及时举报。

该预警报告披露假冒人社部门补贴通知的网络诈骗活动，犯罪分子通过钓鱼文档诱导受害者访问仿冒网站，骗取姓名、身份证、银行卡号及密码等敏感信息。报告强调官方补贴政策仅通过正规渠道发布，提醒用户勿点击陌生链接、核验网站域名，遇索要密码或验证码即涉嫌诈骗，并建议通过国家计算机病毒协同分析平台提交可疑文件。

中国网络空间安全协会在深圳举办智能网联安全学术沙龙暨2026年网络安全大讲堂第三期，走进腾讯总部，汇聚50余位专家及会员单位代表，围绕智能体数据安全、AI安全治理框架与标准化、软件供应链安全等议题展开研讨，旨在促进产学研融合，提升行业安全防护与合规治理能力。

本文介绍山石网科统一AI网关产品，指出企业使用AI面临看不住、管不细、控不住、查不清四类数据安全风险。该网关作为统一入口，将身份、内容、权限、记录落实到调用链上，实现请求响应安全检查、Agent身份与工具权限管理及安全日志追溯。建议企业从低风险场景试点，逐步扩展AI安全治理。

公安部公布护网2026专项工作10起网络安全行政执法典型案例，涉及数据安全、网络安全及个人信息保护义务不履行等违法行为，包括数据接口漏洞、平台被控拨打诈骗电话、违规采集人脸信息等问题，公安机关已依法行政处罚。建议企业完善安全管理制度，落实技术防护措施，加强人员培训，履行数据与个人信息保护义务。

国家网信办于2026年10月19日发布公告，开展未成年人用户数量巨大及对未成年人群体具有显著影响的网络平台服务提供者认定工作。公告明确了认定标准，包括注册用户或月活跃用户数量门槛，以及平台规模、未成年人使用情况等考量因素。要求符合条件的平台主动自评估并提交申报材料，逾期未申报将收到通知补交。

2026年10月20日，暗网出现某专业资格证书数据泄露事件，包含敏感个人信息，风险等级高，受影响国家为CN。

2026年10月20日，黑客在暗网论坛出售中国商业联系人电话号码数据库，泄露数据含姓名、电话、企业名称、地址等信息，以互联网电商领域为主。事件属典型暗网数据交易，对企业存在隐私泄露、钓鱼攻击及精准营销滥用风险。建议相关企业加强数据安全监测与员工安全意识培训。

该文档为腾讯玄武实验室每日安全动态推送，汇总多项重大安全事件：多智能体潜在通信可突破大模型安全边界；AdFection利用定向广告投递零点击间谍软件；OpenAI官方技能现首个AI供应链漏洞；Linux内核PwnEscape与Vghost漏洞威胁云隔离；Ledger硬件钱包遭LTE间谍植入；VBS隔离被突破。凸显AI安全、供应链安全及硬件信任根验证的严峻挑战。

启明星辰监测到WindowsShell安全功能绕过漏洞CVE-2026-96951，评分8.8高危，可绕过MOTW安全机制，已公开PoC但未发现在野利用。影响多个Windows及Server版本。建议用户及时通过WindowsUpdate安装微软10月13日发布的安全补丁，并加强系统访问控制与权限管理。

F5发布带外安全补丁，修复多个NGINX高危漏洞，其中三个严重级别漏洞可导致远程代码执行或拒绝服务攻击，影响NGINXPlus、开源版及多个衍生组件。建议管理员尽快安装补丁，若无法立即更新，可采取禁用alias指令、AIO或SSI等缓解措施降低风险。

文章作者分享网安行业感悟与集训营经历。核心观点是网安工资取决于解决实际问题的能力而非技能数量，作者通过将公司损失减少95%体现自身价值。同时提及集训营运营中遇到的视频被举报、课表评价等问题，并鼓励有能力者自学。

这篇文章分析了CVE-2026-104935漏洞，该漏洞存在于ConnectSecureSSLVPN网关中。文章揭示了授权模型中的路径绕过漏洞，攻击者可通过X-DSCGI-PATH请求头与实际URL路径不一致来绕过访问控制，结合上传功能中的zip处理缺陷实现代码执行。文章提供了详细的技术分析和利用链，并附有exp。