ZONE.CI 全球网

本周网络安全新闻涵盖10大事件:印度塔塔电子遭数据泄露,黑客窃取630GB苹果与特斯拉文件;利用ClaudeAI发现音乐节门票API漏洞;谷歌联合FBI捣毁NetNut住宅代理网络;JetBrains多款工具曝严重漏洞;虚假PoC仓库暗藏ChocoPoC后门窃取安全研究员凭证;攻击者利用TON区块链智能合约存储C2地址攻击日本酒店;MilleniumRAT重写为C++感染超6.2万台设备;OpenAI发布GPT-5.6Sol;智谱AI开源模型GLM-5.2挑战美国AI出口管制;新型ClaudeCode攻击

本文记录了一次小程序授权渗透测试过程，从发现Swagger接口开始，通过未授权访问获取用户列表，利用IDOR漏洞获取openid，最终实现任意用户登录。文章展示了环环相扣的漏洞利用链，并推广了SRC专项圈子，提供漏洞挖掘技巧与视频教程。

2026年上半年Web3生态发生344起安全事件，损失约13.2亿美元，剔除Bybit事件后实际同比增长约28%。钱包被盗成为最大损失来源，达4.5亿美元；钓鱼攻击减少但更致命，社会工程学攻击造成3.1亿美元损失；老旧代码漏洞事件达204起，需定期审计。超大规模攻击主导损失，洗钱网络升级，朝鲜黑客威胁持续。建议加强私钥管理和定期安全审计。

中国工业互联网研究院发布面向人工智能系统的体系化安全检测与风险评估方法研究。研究构建了从硬件到应用的7层漏洞体系，集成250余个攻击脚本，检测发现主流大模型攻击成功率偏高，提示词注入风险突出。同时提出多环节风险评估框架和跨层级动态安全量化评估机制，以英伟达容器逃逸漏洞验证了安全左移的必要性，建议防御重心向底层基础设施下沉。

本文档介绍了CTFHub平台中PHP挑战bypassiconv2的实战过程。核心原理是通过putenv()劫持GCONV_PATH环境变量，诱使iconv()加载恶意共享库绕过disable_functions限制。操作步骤包括连接蚁剑、加载插件选择iconv模式、自动生成绕过脚本并连接.antproxy.php文件，最终执行/readflag命令获取flag。该技术适用于CTF竞赛中的命令执行绕过场景。

本文介绍了一款面向APP/Web加解密逆向分析的可视化解密框架CipherBridge，支持AES、DES、SM4等算法，具备AI自动生成mitmdump插件、可视化配置加解密流程、BurpSuite双向桥接及浏览器Hook等功能。项目开源在GitHub，环境要求Python3.10+，支持多平台，安装简单。适用于渗透测试和安全分析人员。

国家数据局发布《数据产权登记工作指引（试行）》，旨在建立全国统一的数据产权登记体系。该指引明确了数据产权的定义，包括持有权、使用权和经营权，并规范了登记机构的条件与全国性执业要求。登记流程遵循申请、受理、审查、公示等步骤，同时对公共数据、衍生数据等特定情形的登记做出了详细规定，以促进数据安全合规高效流通。

GPTSecurity周报总结了六篇AI安全论文，涵盖LLM安全框架、代理依赖分析、编码代理监督、恶意技能检测、AI红队演练及AI应用安全风险。关键发现包括认知防火墙降低攻击成功率至2%以下，AgentFlow恢复代理依赖关系，以及AI应用平台存在凭证泄露和输入注入漏洞。建议采用分层安全框架和运行时审计工具以增强防护。

文章强调以高质量党建引领行业协会商会深化改革与高质量发展，指出行业协会商会是经济建设和社会发展的重要力量。当前我国经济社会结构深刻变革，行业治理体系加快完善，中央文件对深化改革作出全面谋划和系统设计，旨在充分发挥行业协会商会服务经济社会发展的作用。

该文档以图解形式介绍《数据产权登记工作指引（试行）》的核心内容，明确数据产权登记的目的、范围、程序及管理要求，旨在规范数据要素市场秩序，保障数据权益，促进数据合规流通与开发利用。属于政策法规类解读。

公安部网安局发布宣传视频，强调网络安全守护的重要性，呼吁公众提高安全意识，共同维护网络空间安全。

本文以赏金猎人视角解析CSRF攻击的传递手法与绕过现代防御的技巧。核心要点包括：利用GET请求修改邮箱等敏感操作是高风险漏洞；攻击可通过恶意页面或存储型XSS触发。绕过CSRF令牌、SameSiteCookie及Referer校验等防御需深入理解机制。文章强调实战中需关注状态改变类操作，并提供了具体绕过思路。

该文档对DeepSeek-R1蒸馏模型(1.5B至70B)在不同精度(FP16/INT8/INT4)下的VRAM占用与相对准确率进行了基准测试。核心结论是量化可显著降低显存需求但会牺牲精度;在有限VRAM下,使用高量化的大模型(如14BINT4)比低量化的小模型(如7BFP16)性价比更高。文档提供了具体GPU配置建议,例如16GB显存适合运行14BINT4模型,并验证了Ollama默认使用INT4量化的合理性。

FuckClaude是一个开源单页工具，通过模拟检测浏览器环境（如时区、语言、字体等九项信号）来评估用户是否可能被ClaudeCode标记为’中国用户’。所有检测均在本地浏览器执行，不发起网络请求，保障隐私。项目基于对ClaudeCode早期版本的公开逆向分析，权重总分100分，将用户分为低中高风险档位。用户可本地运行检测了解自身环境风险，结果仅供技术参考。

今日安全风险汇总显示，企业需优先关注三条风险线：SharePointServerCVE-2026-45659在野利用与BadEpollLinux本地提权带来的补丁和取证压力；FatFs漏洞与NetNut住宅代理网络暴露的嵌入式资产治理缺口；以及Microsoft365设备码钓鱼、QuimaRAT远控木马带来的身份和终端持久化风险。建议立即对本地SharePoint、Linux/Android终端、IoT/OT设备、Microsoft365和跨平台终端实施补丁闭环、外部暴露面收敛、Token与会话审计、嵌入

本文探讨数据安全技术保护基线整改策略，指出29项不符合项中6项为高频罚点（如数据库审计、日志脱敏等），23项为出事必查项。建议按后果而非难度或风险排优先级：6项必须在检查前完成，23项优先降低出事概率和避免后果恶化。文章强调区分两类问题采用不同整改逻辑，并引用2026年上半年银行数据安全罚单数据说明监管趋严。

pxpipe是一个专为ClaudeCode打造的本地代理工具，通过将系统提示词、工具文档等密集文本渲染成PNG图片，利用ClaudeFable5等模型的视觉能力读取，从而大幅降低输入Token消耗。实测4.8万字符文本从2.5万Token降至约2700Token，节省近89%，端到端账单降低59%-70%。在SWE-bench和Gist级回忆测试中准确性保持良好，但对精确哈希有轻微损失。适合重度使用ClaudeCode+Fable5的场景。

本文探讨了AI辅助编程的困惑与对策。作者指出复杂项目中软件需求说明书难以把控，建议采用Demo先行策略，先以纯HTML确认界面与逻辑原型再开发。同时指出技术栈选择与网络限制等挑战，并针对AI代码调试难的问题，提供了输出详细日志及更换更强AI排错的实用技巧。

本文介绍使用CodeQL检测原生JDBCSQL注入漏洞的方法。文章从官方示例入手，解析了QueryInjectionSink和QueryInjectionFlow两个核心库，前者定义sink点，后者构建数据流。官方已定义常见sink点，可直接运行检测，但暂不包含MyBatis等框架的检测。文章提供了具体代码示例和操作路径，具有较强可操作性。

本文分析2026年外国安全厂商对龙返行动与ValleyRAT的归因报告，指出所谓中国黑客标签的证据不足。龙返行动利用钓鱼邮件攻击印度纳税人群体，使用DLL侧加载部署DcRAT，其基础设施显示中国电信IP和中文控制面板；ValleyRAT通过虚假安装包及多语种邮件攻击中文与日文用户，采用反沙箱技术与无文件注入。报告质疑IP归属、语言界面和与SilverFox的战术重叠作为归因依据的可靠性，认为缺乏直接证据证明国家支持，强调需区分网络犯罪与APT行为体，避免归因泛政治化。文章主张防御方应聚焦具体TTPs提升检

河南省网络辟谣平台公布6月7起网络谣言典型案例，包括安阳为节目支付80万、单亲妈妈送外卖、信阳麦田着火、周口农作物被淹、焦作AI生成高考准考证、比亚迪固态电池生产线在三门峡投产、濮阳8岁小孩被拐等不实信息。相关部门已依法处置造谣者并删除谣言，提醒公众不造谣不信谣不传谣，可向河南举报网站举报。

影子AI指员工未经批准使用AI工具，带来数据泄露、供应链漏洞和攻击放大等风险。90%的IT高管担忧此问题，20%的组织已遭受相关攻击。三星案例显示数据一旦泄露无法撤回。应对策略包括实施沙盒、部署DLP工具、加强培训，并将影子AI转化为竞争情报。禁止AI并非最佳策略，应通过治理框架引导创新。

该文档披露了Linux内核中一个潜伏19年的0day漏洞CVE-2026-43456，影响Linux2.6.24至6.12.77版本。漏洞位于net/bonding子系统，根本原因是类型混淆，由一行代码导致。利用该漏洞可在1秒内完成权限提升，成功率超99%。作者通过GooglekernelCTF获得超8万美元奖励。建议更新内核或禁用bonding功能作为缓解措施。

山东省农村信用社联合社委托山东德勤招标评估造价咨询有限公司，对大模型安全围栏软件采购项目组织谈判采购。项目要求供应商提供产品并完成客户化改造及上线部署，供应商需为原厂商或授权代理商，且所投产品近3年需有实施案例。获取谈判文件时间为2026年7月4日至7月10日。

中国光大银行智能代码研发助手系统新建项目二次招标结果公布，阿里云计算有限公司以软件产品部分135万元、新建开发部分29万元成为第一中标候选人，北京百度网讯科技有限公司以软件产品部分51.9万元、新建开发部分28.8万元位列第二。项目涵盖代码生成、智能体、效能评估、安全权限管理及上云适配等功能，反映了金融行业对AI辅助研发工具的需求增长。