ZONE.CI 全球网

天融信获全国首批AI服务安全能力评定双项二级认证（最高级），覆盖AI应用全生命周期防护。其AI安全服务体系包括安全建设（设计、训练、上线全流程可信保障）和安全检测（模型、应用、内容三层框架）。未来将聚焦规模化交付、技术深化与产业协同，推动AI安全治理水平提升。

上海市通信管理局于2026年7月7日发布铸盾模都人工智能安全赋能专项行动通知，要求提供AI服务的企业落实网络数据安全主体责任，加强网络安全、数据安全、个人信息保护、供应链安全、智能体与具身智能安全管理，强化风险监测与应急处置，推动AI安全高质量发展。企业需在8月31日前备案重要数据目录，11月30日前上报AI业务清单。

阿里安全课堂在西安电子科技大学举办为期十周的网络安全实战课，由一线专家讲授渗透测试、云安全、数据安全、AI安全等十个主题，结合真实案例与攻防演练，旨在培养复合型网安人才，推动产教融合。课程覆盖从基础到进阶的实战技能，帮助学生建立系统安全思维。

本文披露了Spicychat平台上一个对象级授权失效(BOLA/IDOR)漏洞，该漏洞允许攻击者通过未授权访问消息标签端点来泄露私密AI聊天内容。漏洞赏金为700美元。核心问题在于辅助功能端点缺少授权检查，修复建议是在处理标签更新前验证用户对父对话的访问权限。建议安全测试时关注次要功能端点的授权。

公安部7月9日发布数据，今年以来全国公安机关侦办网络黑客犯罪案件1900余起、网络谣言案件8000余起，关停违法违规账号2.3万余个，清理违法有害信息50万余条。同时持续整治网络水军、网络暴力等突出问题，并加强个人信息保护，曝光违规App470款，推广国家网络身份认证服务。下一步将继续高压严打网络违法犯罪，营造清朗网络环境。

中国网络空间安全协会发布通知，面向会员单位征集人工智能+典型案例，重点围绕政策创新、应用拓展和支撑能力方向，申报截止2026年7月14日17时。同时，该协会人工智能安全治理专委会将另行开展创新应用与治理案例征集活动。

2025年度中央预算审计报告揭示财政资金监管四大问题领域:预算执行与转移支付资金分配跑偏、专项债券项目虚报收益套取资金、专项资金被挤占挪用和闲置浪费、项目建设审批不严与绩效缺失。企业项目申报与资金使用需重点审查八大方面,包括申报真实性、政策匹配度、资金合规性、审批程序、建设进度、绩效目标达成、财务核算规范及整改落实。绩效评价成为核心监管抓手,企业须建立全生命周期绩效管控体系,确保目标可量化、过程可追溯、结果可兑现,否则将面临资金追缴、限制申报等处罚。

CNNVD近期采集208个AI漏洞，含32个超危、92个高危、84个中危。主要涉及FlowiseAI、OpenClaw、MicrosoftAzureAIBotService等厂商，漏洞类型包括输入验证错误、权限控制问题和授权问题。厂商已发布补丁，建议用户及时更新。

中央网信办自2026年5月推进短视频内容标注工作，近期从严处置一批未规范标注的账号和平台。典型案例包括利用残障人士卖惨、摆拍外卖员悲情故事、演绎家庭矛盾、虚构正能量事迹等违规行为。近两月累计清理违规短视频24.1万余条，处置账号2.1万余个，并对未落实标注要求的中小平台进行约谈。下一步将继续从严处置和公开曝光违规行为。

公安部发布暑期防范电信网络诈骗安全提示，针对中小学生、大学生及留学生群体，揭露网络游戏虚假交易、刷单返利、冒充公检法等常见诈骗手法，并提醒家长加强监督、学生不点击陌生链接、及时报警，同时警惕高薪招聘陷阱，避免成为电诈帮凶。

2026年第二届ICO国际网络安全奥林匹克在突尼斯落幕，中国队首次参赛即获两枚铜牌，并成功申办2028年第四届ICO（由武汉网络空间安全学院承办）。两位中国专家入选ICO国际委员会和国际科学委员会，提升中国在全球青少年网络安全教育领域话语权。赛事采用CTF模式，覆盖二进制、密码学、取证、逆向、Web安全等领域。

本文是网络安全工程师zero老z的个人介绍，他创建了cyberseclab安全实验室，旨在分享网络原理、安全原理和系统思维等长期有价值的知识，而非短期热点。未来计划持续分享网络基础、防火墙、VPN、OT安全等方向的内容，强调理解为什么这样做比如何操作更重要。

斗象科技CowboyOS作为国内首个面向安全运营场景的AI员工操作系统，新增Hermes运行环境支持，验证其解耦架构。该系统将SOP转化为可执行工作流，沉淀组织经验，统一权限与审计，实现漏洞处置、告警分析、自动化巡检等场景的闭环运营。其核心价值在于通过异构运行环境适配与治理统一能力，降低技术迭代成本，避免厂商锁定。

斗象科技发布2026攻防演练必修高危漏洞集合1.0版，梳理了2025年10月至2026年6月期间红队利用最频繁的34个高危漏洞，涵盖远程代码执行、认证绕过、SQL注入等类型，涉及Oracle、Apache、Microsoft等厂商及国产系统。报告提供漏洞基础信息、检测规则和修复方案，旨在协助企业开展风险自查、加固边界防线，完整版需关注公众号获取。

国家计算机病毒应急处理中心通报了72款移动应用和小程序存在个人信息保护违规问题，覆盖医疗、金融等多个领域。其中小程序占比较高，因其开发迭代快常忽视合规流程。通报的问题主要集中在隐私政策告知不明确、用户同意方式失范、未完全保障用户权利（如更正、删除信息）以及数据安全措施薄弱等方面。企业需对照要求落实合规，加强数据加密与匿名化处理，以规避下架风险。

优比快修复UniFi操作系统7个高危漏洞，含CVSS10.0命令注入漏洞CVE-2026-50746。其他漏洞涉及SQL注入、SSRF、CORS配置错误等，影响UniFiConnect、Talk、Access等应用。厂商建议升级至066号安全公告所列版本，暂未确认在野利用。用户应尽快更新以降低风险。

Nebula团队公开了安卓远程Root漏洞利用链，结合Firefox浏览器漏洞与Linux内核15年旧漏洞，用户点击恶意URL即可实现设备Root。攻击链分浏览器、内核和后利用阶段，已证实可在谷歌Pixel设备上运行。漏洞细节暂缓披露，但PoC代码已公开，建议用户及时更新系统补丁。

ApacheAPISIX3.16.0版本的jwt-auth插件存在JWT算法混淆漏洞(CVE-2026-39999),CVSS评分9.1。攻击者可利用公钥伪造令牌绕过身份验证,可能暴露后端服务。建议升级至3.16.1或更高版本,并审查访问日志排查异常令牌。

pretix团队发布2026.5.3版本修复两个严重漏洞。CVE-2026-13602为会话劫持漏洞，攻击者通过串联支付插件签名验证缺陷、重定向工具密钥复用及管理员模拟功能，可获取任意后端账户控制权。CVE-2026-13603为pretix-oppwa插件SSRF漏洞，因未校验resourcePath输入导致OppwaAPI密钥泄露。官方建议立即更新至2026.5.3等版本并更换API令牌，临时可屏蔽特定URL缓解。

2026年虹膜识别与指纹识别在生物识别领域展开巅峰对决。虹膜识别凭借原生非接触、高稳定性及NIST最新评测中速度飙升180倍的优势，在高安全场景崛起；指纹识别仍以法律先例和性价比主导司法与消费领域。两者均引入动态活体检测与不可逆模板保护。未来趋势是多模态融合，根据场景动态调用，实现安全与体验双赢。

HalluSquatting是一种新型AI攻击，利用LLM的幻觉缺陷，通过预测并抢注AI编程助手可能虚构的代码库名称，植入恶意指令，从而大规模感染设备并构建僵尸网络。该攻击可导致DDoS、勒索软件和加密货币挖矿等严重后果，揭示了AI工具在资源解析上的固有安全风险，提醒用户需谨慎验证AI生成的内容。

全球最大动漫盗版网站hianime被越南警方联合美国执法部门捣毁，该团伙运营100多个盗版网站，盗版超26000部动漫，非法获利1285万美元，7名嫌疑人被捕。此次行动标志免费动漫盗版时代加速终结，正版化趋势加强，但短期内用户可能面临追番不便。

GhostCMS存在严重缓存投毒漏洞(CVE-2026-53943,CVSS9.6),影响v4.0至v6.36.0版本。攻击者利用x-ghost-preview请求头污染共享缓存,可劫持员工账户。建议立即升级至6.37.0或更高版本,或配置缓存绕过该请求头。若怀疑被入侵,可使用v6.41.0中的重置身份验证功能。

本文介绍了FridaRPC机制，将App内部加密函数暴露为外部Python可调用的API，避免还原算法。核心包括rpc.exports暴露接口、三层通信架构、JSON序列化限制、Java.perform包裹必要性及零依赖最小示例。关键建议是RPC脚本越短，App升级后失效概率越低，适合批量签名、动态密钥等场景。

本期暗网快讯汇总了2026年7月9日多个数据泄露事件，涉及美国通信服务商Cox、加拿大电信Videotron、法国旅游机构、政府UFO研究文件、马来西亚税务机构等，威胁行为者兜售凭证、数据库及机密文件，包括RansomHouse宣称攻陷Trellix源代码仓库。建议关注凭证泄露和供应链风险。