ZONE.CI 全球网

本文记录了使用CodexAI工具对网盘系统进行安全审计的完整实战过程。通过导入三个代码仓库和现有安全报告，Codex在一天内完成了代码阅读、漏洞验证、新漏洞挖掘和报告生成，共发现19个漏洞（3严重4高危8中危4低危）。关键发现包括JWT签名绕过、硬编码密钥、无认证提权等严重漏洞，并通过三层验证排除了XSS风险。文章提供了AI辅助审计的具体操作步骤，展示了将传统一周工作量压缩至一天的高效方法。

暗网毒枭Speedstepper运营DreamMarket毒品交易平台至2019年隐匿，2022年因区块链分析暴露身份，2023年通过需KYC认证服务商兑换金条并邮寄至德国家中，累计洗钱超200万美元，最终于2026年被德美联合执法抓获。案例警示加密货币交易链上永久可查，Tor网络仅保护隐私但KYC环节易暴露身份，暗网犯罪可能因低级操作失误导致功亏一篑。

2025年开源软件供应链投毒威胁加剧，全年识别投毒包超5.9万个，npm占比87%，攻击目标向IDE插件、AI工具链等新生态蔓延。攻击手法呈现定向精准狩猎、蠕虫式传播（如Shai-Hulud事件）及窃取加密钱包、云凭据等高价值资产三大趋势，其中TrustWallet损失逾850万美元。报告提出全流程自动化检测、强化终端管控、建立开源资产台账等治理建议。

本文探讨了在人工智能（AI）时代，人类手中所拥有的「底牌」。文章指出，当机器几乎可以胜任所有工作时，真正稀缺且具有价值的并非具体的岗位，而是那些机器难以复制的人类特质与关系。核心要点包括：1\\.责任与信任：当前法律和制度框架下，人类是唯一能为结果签字并承担责任的实体，但这一壁垒可能随技术发展而改变。2\\.人际关系与体验：人与人之间的真实关系，如心理咨询、现场芭蕾等「关系性商品」，其价值在于由真人提供。从进化角度看，对真人互动的偏好可能被强化。3\\.财富分配模式：AI的发展更像「电」还是「

该文档报道了多项科技前沿动态：宇树G1机器人登顶6200米火山并计划挑战珠峰；AlphaFold之父从谷歌跳槽至Anthropic，反映AI人才竞争加剧；特斯拉Cybercab参数曝光但自动驾驶能力存疑；智谱GLM-5.2在网页设计AI评测中超越Claude模型；挪威拟禁止小学生使用生成式AI以保护基础教育。这些事件体现了机器人技术、AI研发与伦理监管等领域的最新进展。

国家金融监督管理总局发布指导意见，要求银行业保险业金融机构推动人工智能应用合规透明可信赖，加强分类分级管理，从治理架构、开发应用、数据治理、算力建设、风险管理等8方面提出32项具体措施，涵盖高风险应用准入管理、数据安全防护、伦理审查等关键环节。

该文档系统介绍了跨国人员背景调查的方法论，强调需先判断目标国家的公共记录系统类型（分四类），再执行通用核查步骤（反向图像搜索、LinkedIn验证、本地语言搜索等）。针对英、欧、澳等特定国家提供了具体查询平台（如英国公司注册处、OFAC制裁名单），并指出对记录受限地区需委托本地调查员。文档包含可操作建议如使用DeepL翻译法律文件，但未提供完整调查员筛选渠道。

白帽黑客发现FIFA系统存在严重越权漏洞，利用普通经纪人账户绕过前端限制，因后端API未校验权限，直接获取世界杯转播控制与比分修改等核心权限。因FIFA缺乏漏洞披露渠道，最终由CISA协助修复。此事件暴露仅依赖前端控制的普遍风险，建议必须在服务器端对所有API实施强制权限校验。

本文从上帝视角系统梳理了2019至2026年LLM架构演进，指出Transformer架构在位置编码、归一化、残差连接、FFN和注意力机制等核心组件上的创新空间已基本饱和。作者通过分析67个开源模型发现，架构优化对模型能力的提升边际效应递减，开源与闭源模型差距持续缩小。文章提出当前AI发展面临ScalingLaw瓶颈，并探讨了多模态与世界模型等未来方向，认为单纯依赖Transformer架构优化已难突破现有天花板。

国际足联后台系统被曝存在高危漏洞，攻击者通过普通经纪人注册即可利用权限校验缺失的API接口入侵核心转播控制系统，能够篡改全球世界杯直播画面甚至替换为任意视频。该漏洞利用门槛极低，研究员上报后国际足联已在数小时内完成修复。

该文档披露了一起技术黄牛团伙利用自制抢票软件在0.8秒内完成注册登录抢购全流程，通过绕过图形验证码、伪造设备ID等技术手段非法抢购演唱会门票和限量球鞋，涉案金额达3.27亿元。案件详细描述了从软件开发、系统运维到下游分销的完整犯罪链条，最终主犯李某等8人因非法获取计算机信息系统数据罪被判处有期徒刑并追缴违法所得。

文档报道了AI领域两大核心人才JohnJumper和NoamShazeer在72小时内相继离开谷歌，分别加入Anthropic和OpenAI的事件。文章分析了谷歌留不住顶尖科学家的深层原因，包括大公司层级官僚束缚创新，而初创公司能提供更灵活的科研环境。关键发现指出AI竞争正转向生命科学领域，Anthropic、OpenAI和谷歌均已布局生物医药研发。可操作建议关注AI与生物医学结合带来的行业变革机遇。

该文档介绍Z2O安全攻防推出的网络安全学习圈子，提供从0到1的系统化学习路径，包括30+周任务路线图、SRC漏洞挖掘专项知识库、实战技巧及激励机制。核心服务涵盖WEB安全、内网渗透、代码审计等领域，通过作业反馈、答疑群和资源库帮助学员提升实战能力，并设有红包奖励机制增强学习动力。

鄂尔多斯某煤矿企业官网因存在高危文件上传漏洞且未配备安全防护措施，被植入恶意代码导致手机访问时跳转色情网站。网信办调查发现其违反《网络安全法》日志留存规定，依法给予行政警告处罚。文章指出企业需配齐WAF等基础防护、定期漏洞扫描、明确安全责任人，并提醒用户注意网址异常跳转风险。

根据美国证券交易委员会文件，特斯拉CEO马斯克于6月16日行使3.04亿股期权，行权价23.34美元，按404.66美元市价计算账面收益约1160亿美元。该股权属于2018年零底薪激励计划，需锁仓至2028年且需持续任职方可解锁。此方案将高管收益与公司长期业绩深度绑定，为科技公司激励结构提供参考范本。

CyberStrikeAI项目管理功能升级，新增攻击路径可视化页面，将原本表格形式的事实清单转换为交互式有向图展示。该功能通过节点表示事实、边表示关系，支持攻击路径和完整关系两种视图模式，提供置信度可视化与手动连边编辑能力。系统要求Agent在渗透过程中实时写入事实并建立关系链接，实现跨会话的知识沉淀与团队协作，提升渗透测试的认知效率与可复现性。

LeakDetector是一款面向红队渗透测试的自动化信息泄露侦察工具，通过Bing搜索引擎语法结合Playwright浏览器自动化技术，可高效发现配置错误或漏洞暴露的敏感信息。工具采用六层侦察策略（P1-P6）覆盖API配置、文件泄露、后台入口等场景，具备智能抗反爬和内容分析能力，支持自动生成可视化审计报告。项目提供实战级Dork语法示例和下载地址，但未开源。

本文记录腾讯开源知识库平台WeKnora的实际部署与排障过程，重点分析17篇文档解析成功却无法检索的根本原因——知识库未配置embedding模型导致向量化失败。文章详细阐述WeKnora的复合检索、多租户设计和安全特性，并提供企业级知识库建设场景与选型建议，最后强调排查时需关注chunk\\_count字段而非仅依赖解析状态。

该文档深入分析了唐尼·琼斯船舶有限公司作为美军印太战区关键后勤服务商的战略角色，揭示其通过澳大利亚运营与香港离岸结算的双轨架构，持续中标全球船舶保障和远征合同，已从常规物资供应商升级为具备战区开启能力的第四方防务物流商。报告指出其在美军分布式海上作战中的底层支撑价值，并建议对这类商业后勤网络进行持续开源情报监测以评估地缘风险。

乌克兰国防部推出TrophyLab俄军武器数字共享平台，将战场缴获装备转化为技术数据库。平台收录115个样本、79个技术分类及225份逆向研究报告，涵盖高超音速导弹、无人机等核心资产。通过严格审核向盟友提供武器蓝图、零部件清单及线下样本调拨，实现从情报捕获到反制研发的闭环，提升西方防务系统的反制效率。

该文档披露了Linux内核RxGK子系统中的CVE-2026-31635本地权限提升漏洞（DirtyCBC），核心问题在于rxgk_verify_response()存在反向边界检查错误，导致超大认证器被放行，且rxgk_decrypt_skb()在AEAD解密时未检查COW保护，解密操作发生在HMAC校验前，攻击者可通过交错SGL污染SUID文件的页缓存并注入ELFshellcode获取root权限。影响Fedora、Arch等默认启用CONFIG\\_RXGK的系统，建议用户通过检查内核配置及版本

本文探讨AI技术对安全行业特别是渗透测试领域的影响，指出AI已能高效处理基础漏洞扫描和报告生成等任务，但人类从业者在业务逻辑理解、非常规攻击路径设计、风险沟通和信任建立方面仍具优势。文章建议安全人员应掌握AI工具使用、连接安全与业务需求，并快速适应新技术以保持竞争力。

本期工业网络安全周报涵盖了政策法规、漏洞预警和近期安全事件等多个方面。政策上，美国白宫发布了NSPM-12备忘录以加强国家安全系统的网络安全治理。漏洞方面，披露了RockwellAutomation、Cisco、PaloAltoNetworks等多个厂商产品的高危漏洞，其中一些已被积极利用。安全事件方面，意大利亚得里亚港务局、俄罗斯Astral公司、澳大利亚MackaySugar等多个关键基础设施运营商遭遇了勒索软件攻击或网络袭击，导致业务中断。此外，医疗和零售行业也接连发生数据泄露和网络攻击事件。

中国信通院发布2026智能体十大关键词，涵盖基础设施、互联协作、工程化、学习进化、记忆、技能、产品创新、支付协议、可信性和全栈评估。这些关键词反映了智能体技术从单体运行向群体协同、从概念验证向规模化应用的发展趋势，重点包括标准化基础设施构建、动态学习能力提升、安全可控机制完善以及实用导向的评估体系建立。

本文为科技部发布的新一代人工智能国家科技重大专项2026年度第一批公开项目申报指南通知，详细说明了项目组织申报流程、推荐单位资格、申报单位条件及具体申报方式。通知要求申报单位通过国家科技管理信息系统提交材料，项目负责人需具备高级职称或博士学位，且存在多项限项规定。申报时间为2026年6月23日至7月17日，强调科研诚信和联合攻关。