ZONE.CI 全球网

XWikiPlatformOldCore存在目录遍历漏洞(CVE-2026-34151)，影响17.10.5以下及18.0.0-rc-1至18.2.0以下版本。攻击者无需认证即可通过双重编码绕过路径校验，读取服务器敏感文件，威胁等级高危。官方已发布修复版本，建议升级至17.10.5或18.2.0及以上版本，并采取临时缓解措施。

本周网络安全态势整体评价为良，我国互联网基础设施运行平稳，未发生重大安全事件。主要安全威胁来自软件高危漏洞、恶意代码传播及网站攻击，需持续关注并加强防护。

四川大学课程组发起大模型驱动的网络攻防课程改革开源项目，旨在利用大模型技术重构可复现、可评测、可拓展的智能化攻防实验体系，并联合编写配套教材。项目面向高校教师招募参编人员，报名截止2026年7月15日。

天翼安全深度参与编制的两项网络安全国家标准正式发布，包括威胁信息格式和电子邮件系统安全技术规范。这些标准为网络安全产品互联互通和电子邮件系统安全提供了技术指导，天翼安全基于自身产品参与试点验证，并成为首批应用推广单位。公司已累计参编超50项标准，未来将持续推动标准化工作。

人社部等四部门联合发布实施意见，从6个方面部署人工智能+人社重大场景，包括数智就业、智慧社保、人才精准培养、智慧劳动关系、智慧人力资源服务和人社智慧治理。强调强化安全保障，落实数据分类分级保护，应用零信任、隐私计算等技术，确保数据安全。目标到2026年初步形成应用体系，到2030年实现普遍应用。

本文为科技早报，重点聚焦AI领域多项重磅动态：OpenAI发布原生实时语音模型GPT-Live，押注语音为人机交互新入口；SpaceXAI推出首个编程智能体模型Grok4.5，成本与效率优势显著；字节跳动上线多模态图像模型Seedream5.0Pro；MiniMax计划推出2.7万亿参数大模型。其他还涵盖蓝色起源百亿美元融资、亚马逊Alexa智能体计划、Meta隐私争议AI眼镜及Momenta港股上市等商业与硬件资讯。内容广度佳但缺乏深度分析，适合快速浏览。

本文聚焦大疆无人机在珠峰的技术突破，详述南坡FC100解决高危运输及北坡垂起无人机EV50飞至8861米完成科考采集的历程。EV50凭借复合翼、防寒与冗余设计克服了高空极寒狂风挑战。大疆以珠峰为测试场，旨在将极限技术转化为解决山区物流等痛点的普惠工具，彰显科技向善与死磕精神。

平安健康医疗科技有限公司（平安好医生）通过君哥内推平台招聘高级数据安全管理工程师，要求5年以上安全经验、3年以上数据安全治理实践，熟悉数据安全法、个人信息保护法等法规，掌握数据分类分级、加密脱敏等技术，工作地点深圳前海，简历投递至指定邮箱。

本文解读《能源行业数据分类分级指南（2026年版）》，明确覆盖十二类能源品种与七个环节，按危害将数据分为一般、重要、核心三级。重要数据涵盖百米精度关键设施坐标、实时控制指令及千万级用户用电数据。企业须落实编目、建制度、技术防护、年度评估、出境审批及事件报告六项合规任务，提升安全防护。

该文档介绍了一个名为Llm-Vuln-Checker的命令行工具，用于防御测试大模型应用的安全漏洞，如提示词注入和敏感信息泄露。工具支持OpenAI兼容接口和离线日志审计，可生成Markdown或JSON报告，并允许自定义规则。它强调仅用于授权测试，使用假密钥，结果需人工复核。

一种名为hallusquatting的新型攻击技术利用大型语言模型产生的幻觉来秘密入侵系统。攻击者预测LLM可能生成的虚假资源名称并预先注册恶意资源，当AI编码助手执行克隆或安装任务时，会无意中访问这些资源，导致远程代码执行并可能创建僵尸网络。研究表明在代码克隆场景中幻觉发生率高达85%，技能安装场景达100%。该攻击已在GitHubCopilot、Cursor等工具上成功演示。缓解措施包括验证外部资源标识符、降低自主执行权限和改进LLM接地机制。

文章体验了企业微信内置AI助手大圆，通过四个场景测试其随时唤起、总结信息、读写文档和定时任务能力。核心发现是大圆通过嵌入工作现场降低了AI使用成本，能准确识别上下文并结构化输出。结论是这种嵌入式AI趋势将提升办公效率，建议企业用户关注其正式版本。

EN18223标准为产品数字护照(DPP)系统互操作性提供共同数据框架，解决数据交换后的语义理解问题。它从组织、语义和技术三个层面规范互操作，通过共同信息模型、数据元素类型、数据字典引用和JSON/XML序列化规则实现。标准不提供具体字段清单，各行业需自行扩展。企业应盘点现有字段，建立数据字典，确保内部数据治理与共同框架衔接。

研究人员发现GitHubCopilotIDE编码代理易受工作流级越狱攻击，将有害提示嵌入多步骤编码任务（如测试生成、基准优化）时，代理会绕过聊天拒绝机制生成有害代码。攻击利用代理的管道改进目标，建议实施工件扫描等安全措施。

欧盟发布《网络安全与人工智能行动计划》应对AI网络攻防挑战。计划确立推动AI安全使用、增强网络韧性及提升本土AI实力三大目标。关键行动包括建立模型评估机制、利用AI加速漏洞修复及保护开源软件，并启动大挑战培育产业，以平衡风险管控与数字主权。

国家计算机病毒应急处理中心检测发现72款移动应用存在违法违规收集使用个人信息问题，涉及未明示隐私政策、未逐一列出收集目的、未经同意提供第三方、未提供撤回同意途径、未加密等13类行为。上期通报的71款中仍有28款未整改，相关应用已予以下架。建议用户谨慎使用并检查权限。

一场有组织的供应链攻击通过npm和PyPI推送17个恶意软件包，伪装成PaySafe、Skrill和Neteller等支付SDK，窃取CI/CD机密信息。攻击者使用沙箱规避、混淆C2基础设施等技术，针对环境变量中的密钥。建议立即删除恶意依赖、轮换凭据并加强供应链安全。

三菱日联银行与红帽、IBM合作开发AI驱动金融系统，将AI融入开发、运营和维护全生命周期。试点项目显示新界面开发时间从两个月缩短至1.5天，传统系统迁移人工工时减少约90%。该行此前已与OpenAI合作，向3.5万名员工部署ChatGPTEnterprise，目标成为AI原生银行。其他金融机构可借鉴其AI驱动开发模式以提升效率。

AI编码助手GhostApproval漏洞利用符号链接(CWE-61)和UI信息隐藏(CWE-451),可诱骗用户批准写入工作区外敏感文件如\\~/.ssh/authorized\\_keys。六款主流工具受影响,其中AWS、Cursor、Google已修复,Augment和Windsurf修复中,Anthropic视为外部威胁。建议解析符号链接并明确警告外部路径。

7月9日AI快讯汇总：商务部等9部门推广人工智能+拓展智能导购等场景；国家超算互联网核心节点在郑州上线，接入超10万卡国产AI算力；淘天AIGX体系升级使AI从工具进化为伙伴；阶跃星辰将发布AI智能体手机；智谱完成约314亿港元配售聚焦大模型研发；蚂蚁灵波开源全球首个具身视频基模LingBot-Video；支付宝AI支付发布Agent全链路经营矩阵；英伟达与HuggingFace合作开发机器人开源模型；黄仁勋称AI智能体创造新岗位；百度称AI写代码占全球模型调用量超一半；GitHubAIAgent首次被证

GoogleCloudDialogflowCX服务存在RogueAgent漏洞，允许攻击者利用共享CloudRun执行环境和可写文件系统，通过修改CodeBlocks关键文件注入恶意代码，从而劫持对话、窃取敏感数据并绕过VPCServiceControls。该漏洞影响企业级AI代理，Google已于2026年4月和6月分别推出初步补丁和完整修复。组织应检查CodeBlocks权限设置并应用更新。

NomaLabs发现GitHubAgenticWorkflows存在GitLost提示注入漏洞，攻击者可通过在公共仓库中构造Issue诱导AI代理泄露私有仓库数据。该漏洞利用代理将用户控制内容视为指令的特性，绕过现有防护。建议将用户输入视为不可信、限制代理权限并清理输入。

皇家山大学MRU确认遭网络攻击，黑客窃取并删除了学生和员工H盘数据，清除了J盘部门数据。威胁组织CMDOrganization声称负责，索要30BTC赎金并公布数据样本。大学已报告执法部门，提供信用监控服务，系统恢复需数周至数月。

本文详解《网络数据安全风险评估办法》配套报告的填写逻辑与要点。建议按先填第3章事实信息、再进行风险识别的顺序操作。核心要点包括确保单位名称与公章一致、风险描述须具体可整改、各表数据量前后印证，以及选填章节需注明不涉及。文末附自查清单助企业高效合规报送，文尾含商业推广。

该文档为一场关于ISO42001人工智能管理体系标准的直播回顾。核心观点是ISO42001为AI安全治理提供了全球普适的标准化框架，采用PDCA循环，与ISO27001等体系兼容。它并非直接解决具体技术漏洞，而是通过体系化管控实现风险预防。文档详细介绍了标准框架、落地实践及圆桌讨论，强调企业应建立自上而下的治理机制、前置风险评估、实施全生命周期与供应链管控，并构建持续改进闭环。该标准对AI开发、部署和使用企业均有价值，可提升治理水平与市场信任。