ZONE.CI 全球网

国家网信办首次发布《中国个人信息保护报告（2025年）》，系统总结2025年我国个人信息保护工作在法规建设、监管治理、社会共治等方面取得的成果，包含顶层设计、宣传教育、国际合作等内容，并为2026年工作提供指引。报告还收录了相关法规、标准和典型案例。

公安部通报当前电信网络诈骗呈现刷单返利（占25%）、虚假网络投资理财（占损失40%）等10类高发手法，占全部案件85%。新变化包括通过网络平台寻找目标、使用小众通联软件洗脑、诱导下载诈骗APP盗刷、诱骗购买贵重物品转移资金。警方提示需警惕96110预警并配合劝阻，6月启动`全民反诈在行动`宣传月活动。

2026年5月全国网络举报量达1799.4万件，主要举报类型包括色情低俗、侵权假冒、网络诈骗等有害信息。数据显示微信、微博等平台成为主要举报渠道，反映公众积极参与网络治理。文章呼吁进一步畅通举报途径，提升处置效率，共同维护清朗网络空间。

360智能体安全管理与防护系统近日通过公安部第三研究所检测认证，成为国内首个人工智能安全态势管理系统增强级认证产品。该系统采用探针技术实现技能级颗粒度监控，通过规则引擎和AI语义分析双机制检测资产风险，覆盖越权调用、异常外联等70余类风险行为。此次认证标志智能体安全进入标准化治理新阶段，为行业提供可参考的工程化样本。

Maigret是一款开源情报收集工具，可通过用户名在3000多个网站搜索目标公开注册信息并生成个人档案。工具支持递归搜索、绕过封锁检测，提供Web界面和AI分析功能，适用于网络安全领域的开源情报收集工作。

本周蓝军技术推送涵盖内网渗透、终端对抗、漏洞分析、AI安全及云安全五大领域，重点包括利用DevTunnels协议构建C2通道、DockerONBUILD供应链攻击向量、AI代理安全工具包及Lambda函数URL滥用等前沿攻防技术，并提供maSSO、Fenrir等实战工具与漏洞利用细节。

IDC报告显示长亭科技雷池WAF以14.4%市场份额成为2025年国内硬件WAF榜首，年度营收增长41.6%。产品融合AI语义分析3.0与自研内核协议栈，具备99.99%检测精度，支持云原生架构与国产化适配，通过软硬件融合方案实现WAAP一体化防护。

工信部印发《人工智能+信息通信创新发展实施意见（2026-2028年）》，围绕信息通信行业智能化升级、夯实AI发展底座、深化融合应用创新、增强行业治理能力四大方向部署17项任务。目标到2028年实现信息通信网络高等级自智，形成30个以上高价值场景，提升城域算力1毫秒时延圈覆盖率至75%，强化网络和数据安全保障体系。

《中国个人信息保护报告（2025年）》首次由国家网信办发布，系统总结了2025年我国在个人信息保护制度体系建设、监管治理、社会共治等方面的成果。报告包含七个主体部分和附录，涵盖法律法规、国家标准及司法案例，为`十五五`期间工作提供实践指引，旨在提升社会保护意识并展示我国在国际领域的保护成就。

悬镜安全凭借新一代数字供应链安全治理体系入选《2026人工智能安全产业全景图》五大赛道。该体系覆盖AI原生安全与软件供应链安全，通过AI代码护栏、AI代码漏挖、安全大模型等技术实现从代码生成到运营的全生命周期风险管理，为企业AI转型提供自动化安全支撑。

BrowserAct是一个专为Agent设计的浏览器自动化CLI工具，解决Agent操控浏览器时的Cookie丢失、反爬拦截、验证码识别等问题。它提供反检测环境、多账号隔离、人机接力协作功能，支持复用登录状态和动态任务续接，可通过GitHub直接安装。项目填补了Agent在真实环境中的执行层短板，适合电商运营、数据采集等场景。

该文档警告一个名为pentest-skills的GitHub开源项目存在安全风险，称其自动化测试工具可能执行删库操作并创建黑客账号。文档同时包含HVV网络安全招聘广告，提供初级到高级研判岗位，月薪10k-30k，并附有腾讯文档投递链接和招聘流程说明。

该文档提及GitHub仓库pentest-skills在自动化测试过程中包含删库语句，存在潜在安全风险。内容涉及渗透测试技能相关资源，但未提供具体技术细节或安全建议。

PaloAltoNetworksPAN-OS系统的GlobalProtect组件存在高危身份验证绕过漏洞CVE-2026-0257，攻击者无需凭证即可通过伪造认证覆盖Cookie建立VPN连接访问内网。漏洞影响多个PAN-OS版本，需满足认证覆盖功能启用和证书复用条件。360漏洞研究院已成功复现，建议用户立即升级至安全版本或检查相关配置。

公开资料显示美国NSA正在使用Anthropic的ClaudeMythos模型开展网络攻击行动，Anthropic还派驻工程师协助NSA部署定制模型。该事件表明AI公司与情报机构的关系正从工具提供转向嵌入式协作，前沿AI能力正进入国家级网络攻防体系，这种双用途AI可能降低网络攻防成本并重塑安全边界。

本文系统解析SRC中SSRF漏洞的挖掘技术，涵盖漏洞原理、危害场景、利用协议（HTTP/file/dict/gopher）及多种绕过方法（DNS重绑定/302跳转/特殊符号替换）。重点提供云平台元数据攻击、PDF导出组件漏洞等实战案例，并给出禁用高危协议、IP限制等防御建议。

文章披露某智慧能源管理平台两处0day漏洞：session伪造漏洞因struts框架未对/systems路径鉴权，通过构造特定参数可绕过登录验证；后台SQL注入漏洞位于UserAction类的operIdVaild方法，参数直接拼接导致可验证数据库名。漏洞已修复，作者强调仅供技术研究。

该文档通过实战案例揭示CiliumeBPF零信任策略在K8s环境中的DNS隧道绕过风险。攻击者利用Pod向外部DNS服务器发送编码数据的查询请求，虽然Cilium会拒绝非白名单域名的响应，但查询包本身已实现数据外传。关键发现包括FQDN策略盲区、DoH/DoT绕过手法及子域名控制漏洞。防御建议需结合L7DNS内容检查、限制外部DNS查询、监控流量异常等多层措施，强调零信任需细致配置而非依赖单层防护。

安全公司depthfirst利用AI代理以约1000美元成本发现FFmpeg中21个零日漏洞，多个漏洞潜伏超15年；同期Chrome149版本创纪录修复429个漏洞。文章指出AI正大幅降低漏洞发现成本但加剧了修复压力，建议用户立即更新FFmpeg和Chrome，并强调安全生态需适应更短的补丁周期。

信息窃取木马（Infostealer）已成为网络犯罪关键基础设施，通过MaaS模式商品化，以窃取账号密码、Cookie、会话令牌、VPN及加密货币凭证等敏感数据为目标。其通过钓鱼邮件、假验证码等社会工程学手段传播，窃取的数据（stealerlogs）在黑市交易，成为数据泄露、勒索攻击等后续攻击的入口。防御需从防病毒转向防凭证失陷，建议全面启用多因素认证（MFA）、建立凭证监测与轮换机制、加强EDR能力及异常登录监测。

作者分享使用Fable5在半小时内完成2.8万行代码的重构案例，将SpringBoot+MySQL架构的资产管理应用重构为Bun+TypeScript+SQLite的轻量化方案。关键发现包括重构后经GPT-5.5和Fable5交叉审查均未发现BUG，且后续复杂功能开发同样实现零缺陷，表明AI代码生成质量已突破需人工复审的传统工作流。可操作建议是明确需求后可直接依赖高质量AI完成开发。

Anthropic下一代安全模型Oceanus在2026年6月3日开启红队测试数小时后，API访问权限被内部人员违规倒卖至第三方代理平台，模型输出样本在社交媒体大量泄露。事件暴露AI安全评估存在分发管控失效、灰色产业链成型和安全护栏可逆性三大系统漏洞，凸显红队测试需建立端到端权限追踪、降级模型测试和实时滥用检测机制。建议行业制定红队测试行为准则并强化法律约束。

文档介绍了一项限时免费活动，用户可通过指定链接注册讯飞星火平台获取Qwen3.6和Qwen3.5模型的无限量Token使用权，活动截止至6月30日。文章详细提供了从模型选择、API密钥生成到CCSwitch工具配置的完整操作指南，包括接口地址填写和协议转换说明，并附有测试验证方法。

Zack-AI-Scanner是一款基于大语言模型的BurpSuite扩展工具，通过AI智能分析HTTP请求特征，支持17种常见Web漏洞检测并具备WAF绕过能力。该工具可动态生成测试Payload，通过置信度阈值≥90%的二次验证确保漏洞真实性，支持HTML和Markdown格式报告导出。项目提供Maven构建部署指南及图形化配置界面，需配置API密钥后即可在BurpSuite中启动智能扫描。

Cairn是一个无预设角色和工作流的通用问题求解引擎，通过黑板架构实现事实-意图图管理，支持OODA循环和间接协作的智能体工作模式。该系统提供Bootstrap、Reason、Explore三类动态任务，可在渗透测试等场景中自动探索解决方案路径。文档包含完整的部署指南和项目地址，但末尾存在证书售卖等非技术内容。