ZONE.CI 全球网

TeamPCP组织在2025-2026年发起全球软件供应链攻击，通过污染开源安全工具、AI框架和企业SDK等高信任度组件，系统性击穿DevSecOps信任体系。攻击覆盖600+软件包、50万台设备，造成超10亿美元损失。关键发现包括利用Trivy扫描器投毒、CanisterWorm蠕虫扩散、MiniShai-Hulud攻击框架开源化等。建议强化供应链源头验证、实施最小权限原则、建立多因素认证机制。

中央网信办通报30款App违规收集个人信息问题，CNNVD发布第23期漏洞周报披露1610个安全漏洞，微软修复211个安全漏洞含4个超危漏洞。OraclePeopleSoft遭零日漏洞攻击导致数据泄露，日本能源企业遗失存储设备影响1.09亿用户。安全报告显示九成负责人担忧AI代码风险，11国联合打击勒索病毒混币服务。

理想汽车企业安全负责人熊海潇将于2026年6月25日分享智能体安全落地实践，重点解析AI如何重构SecOps底层逻辑。内容涵盖通过统一数据底座实现安全状态闭环、智能体在漏洞治理和入侵响应中的自动化编排，以及企业级治理中如何在效率释放与风险可控间建立信任机制，包括使用过程可见性、权限边界控制和能力来源可信等关键方案。

本文深度解析ClaudeCode的记忆机制设计，指出LLM本质无状态，传统方案（滑动窗口、对话摘要、向量检索、分层存储）存在信息丢失、检索不准、维护成本高等问题。ClaudeCode采用静态层（CLAUDE.md声明式指令）与动态层（自动学习偏好）的双层架构，通过Markdown文件实现长期记忆管理，支持跨会话持久化与类型化存储，相比向量数据库方案更直观可控。文章从源码层面剖析六层CLAUDE.md设计逻辑与自学习闭环，为Agent记忆系统提供可借鉴的工程实践原则。

该文档记录了针对某内网靶场的完整渗透测试过程，涉及环境搭建、指纹识别、弱口令利用、数据库操作、密码重置、后台getshell、绕过disable\\_functions及内网渗透初探。关键步骤包括通过MySQL弱口令获取数据库权限、利用Joomla后台模板编辑写入Webshell、使用蚁剑插件绕过函数限制执行系统命令。文档结尾附有安全培训广告及知识库推广内容。

本文系统总结商用密码应用安全性评估能力验证考试核心考点，重点解析SM4分组密码算法的七种工作模式特征、推断方法及安全风险（如CTR模式计数器重叠攻击、CBC模式PaddingOracle漏洞），详细说明SM3\\_HMAC正确实现方式与常见错误，强调密码算法在完整性保护中的规范应用。文档涵盖密码产品接口、密钥管理、量化评估等实操要点，为密码安全测评提供明确技术指导。

本周威胁情报披露多起高级持续性威胁活动，包括蔓灵花组织利用钓鱼网站投递VBS脚本、Kimsuky通过鱼叉邮件渗透企业、VSCode扩展潜伏DPRK后门等。关键发现显示攻击者持续利用未修补漏洞（如WinRARCVE-2025-8088）、滥用云服务（Dropbox、Azure）及AI热点进行社会工程攻击，并出现针对开发者供应链的PyPI恶意包和GitHub账户入侵事件。建议及时更新补丁、加强邮件过滤与代码仓库安全审核。

该文档为360SRC与看雪学苑联合主办的`智弈`AI智能体攻防实战沙龙招募公告，聚焦2026年AI安全前沿趋势。沙龙重点探讨AI智能体越权攻击、供应链安全、自动化漏洞挖掘等实战议题，要求投稿内容具备原创性、可复现性及数据支撑。活动设具体议题提交规范与截止时间，旨在构建AI安全实战技术交流平台。

近日，名为TheGentlemen的勒索软件组织引发全球关注，截至2026年4月已声称攻陷478个受害者。其恶意软件具备蠕虫式自我复制能力，支持–spread参数在内网传播，–wipe参数可擦除恢复痕迹。该组织由前勒索软件附属成员创立，采用90%高分成吸引攻击者，并要求提交1GB真实数据作为投名状。企业需及时修补漏洞、加强EDR能力并定期隔离备份以应对威胁。

Langflow开源低代码平台存在高危路径遍历漏洞CVE-2026-5027（CVSS8.8），攻击者通过未认证请求即可实现任意文件写入和远程代码执行。公开暴露的7000余个实例中多数位于北美，攻击活动已确认在野利用。维护者已在Langflow1.9.0版本修复漏洞，建议用户立即更新至最新版本。

伊朗法尔斯通讯社声明将马斯克旗下星链地面站列为军事打击目标，指控其在美国对伊军事行动中提供通信支持。文档分析星链从民用网络演变为军事工具的过程，包括为美军无人机提供指挥链路，并探讨国际法对双重用途基础设施的界定困境。伊朗此次行动延续了其将美国科技企业资产列为打击目标的策略，同时通过纳入阿联酋股东设施向海湾国家施压。

文档披露WinRAR漏洞CVE-2025-8088自2025年7月曝光后仍被黑客大规模利用，该路径遍历漏洞允许恶意载荷通过压缩包解压时自动写入系统启动项。受影响版本为7.12及以下，因缺乏自动更新机制导致大量用户未修补。建议立即检查WinRAR版本并手动更新至7.13以上以阻断攻击。

甲骨文确认其PeopleSoft人力与薪资管理服务存在严重漏洞，该漏洞无需密码认证即可通过互联网被远程利用，已被ShinyHunters黑客组织用于攻击全球100多家机构（主要涉及美国高校）。漏洞导致数十万条学生敏感信息泄露，甲骨文建议客户立即采取缓解措施但尚未发布补丁。

本文详细解析了UDS协议安全CTF挑战的完整解题过程，涵盖VIN码读取、多级安全访问机制（Level1-5）、内存dump等关键技术点。通过实际CAN总线通信示例展示了ISO-TP多帧传输、Seed-Key认证、会话控制等UDS核心机制，提供了从基础接口识别到高级内存取证的全流程实战经验。

韩国电商巨头Coupang因大规模数据泄露事件被处以6247亿韩元罚款，影响超3700万用户数据，占全国人口72.67%。监管机构指出泄露主因是安全管理体系不足而非复杂攻击，包括未妥善管理身份认证系统及未经授权收集用户活动记录。建议企业加强数据防护体系并严格遵循隐私法规。

美国国防部于2026年6月10日宣布启动网络精通激励薪酬计划，该计划是网络司令部2.0框架的重要组成部分，旨在通过技能激励薪酬和特殊职责津贴两个层次改革网络作战部队薪酬体系。计划将于2026年10月1日生效，通过将薪酬与认证技能掌握程度和艰巨职责直接挂钩，系统性地提升美军网络作战岗位专业技能，吸引、培养和保留网络领域人才。

安全研究员brutecat利用AI驱动的模糊测试流水线，在90天内通过大规模收集API密钥、逆向工程认证机制及集成ClaudeAI进行自动化渗透测试，发现谷歌1500个API中的系统性访问控制缺陷，包括账户接管、数据泄露等高危漏洞，累计获得50万美元赏金，凸显AI在攻防安全中的可扩展性。

本文档针对火绒安全企业版用户，详细说明了异常终端（红色状态）的定义、排查与处理方法。核心内容包括通过控制中心查看终端状态、本地重启设备、检查服务、使用专杀工具及联系技术支持等步骤，并提供了启用管理员密码保护、定期检查异常终端数量等预防建议，旨在帮助企业快速恢复终端安全状态。

国家安全部发布警示称境外间谍情报机关正通过多种手段窃取我国海洋敏感数据，威胁国家安全。文档提醒相关单位和个人加强数据防护意识，采取有效措施防范数据泄露风险。

该文档系统分析了智能体技术在金融领域应用面临的安全风险，涵盖技术攻击、模型能力和治理合规三大维度，并针对支付、投研、信贷等具体场景提出安全治理框架。文章指出智能体在提升金融服务效率的同时，其内生脆弱性可能引发系统性金融风险，建议通过权限收敛、意图保护、决策验证等六项措施构建纵深防御体系。

本文介绍了YakMCP架构演进，通过标准化协议实现AI与安全工具的深度集成。核心转变是从定制化黑盒交互到标准化总线模式，支持动态工具链发现和双向能力开放。Yakit可作为MCP客户端调用外部工具（如IDAPro逆向分析），也可作为服务端将网络测绘、漏洞扫描等安全能力开放给第三方AI。文档详细展示了实战案例和三种传输模式（Stdio/SSE/StreamableHTTP），为构建企业级AI安全工作流提供工程化解决方案。

国家网信办指导重点网站平台制定《整治涉企侵权信息优化营商网络环境自律公约》，要求平台清理侵犯企业家个人权益信息、清除涉企虚假信息、加强榜单管理、优化算法推荐、杜绝涉企负面信息投流行为，从严管理非法牟利账号并取消其营利权限，加强账号处置力度以保护企业和企业家网络合法权益。

上汽集团首届网络安全应急响应竞赛由360数字安全集团提供全程技术支持，通过理论赛、CTF夺旗赛和AWD攻防赛三大模块选拔出30名专业人才组建集团首支应急响应团队。竞赛聚焦汽车行业全链路安全风险，以实战化演练提升应急响应能力，实现了以赛代练、以赛促建的目标，为车企网络安全体系建设奠定人才基础。

TeamPCP是一个自2025年下半年活跃的AI驱动供应链攻击组织，其攻击横跨npm、PyPI、DockerHub等10+分发渠道，通过窃取凭据劫持发布权限进行供应链投毒。该组织利用AnthropicClaude、GPT-4o等AI工具生成恶意代码，使武器迭代周期缩短至2-3周，并开源核心框架引发第三方变种扩散，首次实战击穿SLSABuildLevel3可信发布标准，对开源供应链安全构成严重威胁。

日本九州电力株式会社因物理安全漏洞导致存储1090万客户数据的硬盘丢失。事件发生于4月27日至5月26日间，服务器机柜未上锁致使硬盘失窃，泄露数据包含客户姓名、地址、用电信息等敏感内容。公司已报案并配合监管部门调查，承诺加强物理安全措施并通知受影响客户。