ZONE.CI 全球网

2026年6月Klue平台遭供应链攻击，攻击者通过后端服务器未授权访问窃取客户OAuth令牌，滥用SalesforceAPI提取CRM数据。Huntress和RecordedFuture等网络安全公司确认业务数据泄露，攻击手法与Icarus勒索组织关联。事件凸显第三方集成安全风险，建议企业加强供应链安全监控。

爱奇艺推出第二期AI影视创作营，依托自研平台纳逗Pro提供全链路赋能与专项免费算力，通过五大模块与大咖指导助力创作者提升AI影视制作能力。平台还推出分账补贴等政策完善AIGC生态，建议相关创作者关注报名以获取资源扶持与商业变现机会。

CAPINT是法国KNDS公司推出的新一代主战坦克概念，采用豹2改进底盘和Ascalon遥控无人炮塔。配备120毫米滑膛炮（可升级140毫米）、多层防护系统和1500马力发动机，重点创新在于X-by-Wire全电子线控架构和有人/无人协同作战能力，可操控无人机/无人车执行侦察与打击任务。该坦克旨在为未来MGCS主战坦克验证数字化、无人化作战理念。

阿里安全响应中心公布2026年4月先知平台漏洞奖励情况，96位安全专家提交有效漏洞。王牌A业务赛道Clay和MeeseeksX各获500元奖金；非王牌A赛道武器大师、w0rker和killer分别获得5000元、2000元和500元奖励。Top50白帽获50元电子卡，火云邪神团队获2000元团队奖。奖励需通过先知平台提交报告领取，王牌A计划持续至2026年底。

江南信安将于近期举办抗量子密码技术沙龙，探讨量子计算对密码学的挑战、解决方案及未来应用前景。活动旨在促进技术交流，提升行业应对量子威胁的能力。

SCTF2026网络安全竞赛共有425支战队参与，141支战队完成签到并展开24小时角逐。赛事由Syclover战队命题，推出30道赛题，在Misc方向创新融合AI与区块链元素，提升技术难度。短赛制下参赛队伍展现出高水平竞技状态，官方解题报告已通过GitHub发布。

该文档宣传中国信通院2026星海计划暑期实习机会，重点推广网络安全攻防实验室的付费会员服务。内容显示该组织提供近万篇网络安全干货笔记，涵盖CTF比赛资源、红蓝队工具包、HW攻防对抗、渗透测试等技术资料，并承诺提供兼职项目、内推资格和技术交流社群。目前永久会员费用为119元，文档强调即将涨价并取消永久会员制度。

本文聚焦`十五五`规划中教育、科技、人才一体化部署，阐述其作为高质量发展核心逻辑的顶层设计。文章系统拆解了战略规划一体谋划、重点任务一体部署、能力建设一体统筹、政策保障一体协同四大实施路径，并结合中科院实践案例，为行业与地方提供从源头破除部门壁垒、形成创新倍增效应的行动框架。

本周电子取证领域呈现跨境协作深化、AI伪造威胁加剧、立法规范推进三大趋势。FBI获准进入柬埔寨电诈园区取证标志跨国合作进入新阶段，深度伪造内容年增900%倒逼检测技术升级，《公安机关电子数据取证规则》结束征求意见推动程序规范化。加密资产涉案取证常态化，电子数据程序合法性审查成为刑事辩护关键点。

《网络数据安全风险评估办法》作为《数据安全法》的配套细则，建立了数据安全风险评估专项工作机制，避免重复评估。该办法明确重要数据处理者需开展年度风险评估，一般数据处理者每3年一次，并规范评估机构行为以保障评估独立性。此举旨在实现数据安全与商业利益的平衡，推动数据安全评估生态发展。

巴西国家民防部门应急警报平台疑似遭黑客入侵，攻击者远程触发包含`misantropi4`（厌恶人类主义）字样的极端级别虚假警告，波及圣保罗、里约热内卢等多地手机用户。该系统已被紧急下线，相关部门正调查事件源头并加强安全措施，建议完善关键基础设施的访问控制和入侵检测机制。

公安部计算机信息系统安全产品质量监督检验中心检测发现40款移动应用存在违法违规收集使用个人信息问题，主要涉及未经同意收集信息、未完整告知使用目的、超出必要范围收集敏感信息、未提供注销渠道等11类违规行为。检测依据《网络安全法》《个人信息保护法》等法规，要求相关平台下架违规应用，建议用户关注个人信息保护并选择合规应用。

FreeBSDKTLS本地权限提升漏洞(CVE-2026-45257)允许攻击者通过构造特定本地网络请求，在数据解密过程中直接覆盖文件页缓存内容，从而修改setuid二进制文件实现权限提升。该漏洞影响FreeBSD13.0-15.0等多个版本，目前PoC已公开。建议用户立即升级至修复版本或通过禁用KTLS功能进行临时缓解。

一篇学术论文揭示攻击者仅需在Reddit发布13个单词的评论即可污染ChatGPT和Gemini等AI搜索系统的结果。这种低成本投毒攻击利用AI系统缺乏信息源验证的缺陷，使虚假内容被整合为可信答案。建议用户对AI搜索结果保持交叉验证习惯，优先查看有明确出处的信息，并关注其对企业和品牌的潜在影响。

Fortinet发布紧急安全公告，其FortiGate防火墙正遭遇名为FortiBleed的大规模凭证窃取攻击。攻击者利用设备漏洞或弱配置窃取管理员凭证，获得企业网络边界控制权，可能导致数据窃取、勒索软件植入等风险。建议立即应用安全更新、更改密码并启用多因素认证、限制管理界面公网访问、检查登录日志排查异常。

微软将近期导致超过140个npm软件包受损的MastraAI供应链攻击归因于朝鲜黑客组织SapphireSleet。攻击者入侵了npm维护者账户，发布恶意软件包更新，注入名为`easy-day-js`的恶意依赖项，旨在窃取敏感凭证、API密钥及加密货币钱包信息。该恶意软件可跨Windows、Linux和macOS系统运行，并利用多种持久化方法。SapphireSleet曾负责2026年4月对AxiosHTTP客户端的另一次npm供应链攻击。

国家安全部发布提示指出间谍软件可能伪装成弹窗广告诱导点击，存在窃取敏感信息风险。文档强调此类广告具有隐蔽性，需提高警惕避免随意点击，并建议安装防护软件、及时举报可疑行为。

该文档系统梳理了高考后常见的五类诈骗手法，包括作弊罚款短信、虚假查分链接、高价志愿填报辅导、助学金手续费诈骗和内部指标骗局，并指出诈骗分子利用考生焦虑心理实施犯罪。文档强调所有官方信息均通过正规渠道发布，不存在内部操作可能，并提供具体反诈建议：向教育部门核实信息、不点击陌生链接、警惕收费服务，并呼吁留存证据并拨打96110或110举报。

本文系统分析了AI’投毒’这一新型安全威胁，指出其通过污染训练数据、植入模型后门等方式扭曲AI认知输出，导致误导性结论。文章揭示了此类攻击在商业欺诈、公共安全等领域的危害性，并提出加强数据治理、模型审计、人机协同等防范措施，强调需跨学科合作构建AI安全治理体系。

安全团队发现JetBrains插件市场存在15款协同恶意插件，通过伪装成AI代码辅助工具窃取用户API密钥。攻击手法是在配置保存时同步外泄密钥至硬编码C2服务器，并构建密钥转售盈利闭环。事件揭示IDE插件供应链成为高危攻击面，建议开发者加强插件安全审查与密钥管理意识。

国家金监总局发布指导意见，要求银行业保险业金融机构统筹发展与安全，完善人工智能全生命周期治理架构，推进高水平AI开发应用，加强数据治理与算力建设，实施风险分类分级管理，在高风险应用关键环节建立人工干预机制，确保AI应用合规透明可信赖，有效防范模型风险、数据安全及伦理问题。

CNVD漏洞周报2026年第24期显示，上周信息安全漏洞威胁整体为中等级别，共收录400个漏洞，其中高危漏洞219个。本周收录的漏洞中85%为0day漏洞。重要漏洞涉及Microsoft、Google和Siemens等多家厂商的产品，例如MicrosoftWindowsDNS权限提升漏洞、GoogleAndroid未明漏洞以及SiemensSINECINS操作系统命令注入漏洞等。

本文指出传统MDR服务在AI攻防时代存在结构性缺陷：60%低危告警无人处置导致威胁潜伏，人工研判质量不稳定，检测规则无法闭环优化。提出AI安全运营中心解决方案，通过AI全量自动研判、深度取证、数据归属企业等机制，实现秒级响应和持续能力迭代，建议企业采用渐进式过渡策略。

第五届`复兴杯`全国大学生网络安全精英赛通过网络安全意识与法律法规、网络安全攻防、人工智能应用与安全三大赛道，构建技术+法治+前沿的三维考察体系，旨在培养懂技术、通法律、融业务的复合型网安人才。赛事突出实战导向，结合NISP认证与攻防靶场实践，推动以赛促学、以赛促就，助力解决高校教学与行业需求脱节问题，为网络强国战略输送青春力量。

该文档是CNVD发布的2026年6月15日至21日产品安全漏洞周报，总结了上周关注度较高的10个安全漏洞。境外厂商漏洞涉及GoogleChrome的数据泄露和整数溢出漏洞、SiemensSINECINS的命令注入和权限提升漏洞、Apple产品的内存损坏漏洞；境内厂商漏洞包括D-Link和Tenda路由器的缓冲区溢出漏洞、华为系统内存错误引用和越界访问漏洞。报告提供了每个漏洞的简要描述和CNVD参考链接，为安全团队提供及时的漏洞预警信息。