ZONE.CI 全球网

《国家网络身份认证公共服务管理办法》实施一周年，在便民利企和保护公民个人信息方面成效显著。该服务已接入400余家单位及530余个App，下载量达9000万次，提供认证2.8亿次。应用领域拓展至互联网、政务、金融、医疗等，有效遏制黄牛抢票和减少信息泄露。用户体验持续优化，未来将接入更多场景。

湖北证监局对长江证券前员工李相佳出具警示函并记入诚信档案。其违规行为主要包括向未签协议的客户提供缺乏依据的投资建议，以及违规泄露个别客户交易信息。该事件暴露出券商在员工执业行为管控与客户数据保护方面存在漏洞，企业应强化内部合规审查与数据防泄露机制，严格落实相关法律法规以防范类似风险再次发生。

美国保险公司AssuranceAmerica披露数据泄露事件，影响近700万驾驶员。攻击者于2026年3月16日通过员工凭证入侵系统，3月17日检测到，6月15日完成文件审查。泄露信息包括姓名、联系方式、保险单信息、驾照号码等。公司已禁用凭证、隔离系统、通知执法并加强安全措施，建议客户监控账户异常。

北京市政务服务和数据管理局于2026年7月9日印发《北京市公共数据资源授权运营管理办法》，共8章36条。该办法明确了公共数据授权运营的目的、职责分工、授权管理流程、数据基础设施建设、数据供给与运营管理要求，并强化了监督管理与安全责任。旨在规范公共数据资源开发利用，促进数据要素市场发展，要求相关机构按办法完善工作。

美国4个州指控Meta公司故意将脸书和照片墙平台设计为易让未成年人成瘾的算法模式并隐瞒负面影响，要求其支付1.4万亿美元罚款。Meta否认指控并称索赔无依据。同时欧盟委员会根据数字服务法发布初步报告要求Meta修改成瘾性设计否则面临罚款。目前全美已有29个州对Meta提起诉讼。

7月12日HLE战队3:2战胜BLG夺得英雄联盟2026MSI冠军。苹果或跳过M6Pro/Max芯片全力押注AI导向的M7系列。OpenAI暂时取消Codex和ChatGPTWork的5小时使用限制。英伟达CEO黄仁勋否认RubinUltra架构延期。周星驰导演电影《功夫女足》首日票房超2.5亿打破7项中国影史纪录。分析显示社交媒体超四分之一长文为AI生成。

密评高风险判定是决定测评结果是否一票否决的关键因素。通用要求覆盖所有级别信息系统，是后续章节基础。核心要点包括：密码算法必须使用国家批准的SM系列，杜绝MD5、DES、SHA-1等不安全算法；密码技术必须遵循国标行标，避免SSH1.0、SSL2.0等有缺陷技术；密码产品必须合规、有资质、无漏洞。算法合规、技术标准、产品认证三者缺一不可。

信安世纪连续五期入选中国信通院第五期《数字安全护航技术能力全景图》，在14大安全领域93个细分领域获认可，尤其在身份与访问安全、密码技术与应用等六大领域实现全覆盖，体现其数字安全技术纵深布局与持续迭代能力。

国家金融监督管理总局发布《银行业保险业网络安全管理办法（征求意见稿）》，共八章七十二条，要求金融机构建立网络安全治理架构，将网络安全纳入全面风险管理，并覆盖境内外分支附属机构。办法明确网络安全责任制，要求每年至少开展一次风险评估和互联网渗透测试，发生较大及以上网络安全事件需2小时内报告。金融机构应落实等级保护、密码安全、数据安全等要求，并建立应急响应与处置机制。

国家文物局印发《国有文物资源数据管理办法》，共九章三十三条，聚焦数据权益清晰、开放有序、利用有效、安全可控，对国有文物资源数据全生命周期管理提出具体要求，涵盖采集、加工、存储、传输、登记、服务等环节，明确各方责任与监管机制，将于2026年11月1日起施行。

本文解析K8s与Ray构成的大模型AI计算黄金技术栈。Ray以进程级细粒度调度解决强化学习场景的异构资源分配与高容错痛点。腾讯针对跨集群组网难题演进至KubeRay联邦方案，实现异构算力统一调度与万卡规模支持，为超大规模AI任务提供协同调度实践。

FlowiseAI存在任意文件写入漏洞CVE-2025-26319。该平台是低代码LLM工作流工具，其文件上传校验机制可被攻击者通过特殊编码绕过，实现任意目录文件写入。攻击者可上传恶意文件、脚本或SSH密钥，获取服务器远程控制权。漏洞源于白名单API端点中路径拼接未处理特殊字符，导致目录穿越。建议用户升级或限制对相关API的访问。

Gartner安全与风险管理峰会指出当前网络安全威胁进入攻击者优势扩大阶段，深度伪造、AI应用失陷、提示词注入和软件供应链攻击成为CISO最需优先应对的四类关键风险。这些威胁攻击面快速扩张且工具获取门槛降低，而企业现有安全能力滞后。建议企业从AI应用开发、身份验证、数据访问、软件供应链和运行时监控等环节建立多层防护体系，并提升从安全噪声中识别真实威胁信号的能力。

GPTSecurity周报总结了7篇AI安全领域前沿论文，涵盖LLM在自主物联网漏洞利用(VEXAIoT)、MCP服务器污点漏洞缓解(SPELLSMITH)、定向模糊测试种子合成(SeedSmith)、驱动自动生成(SynapseFlow)及多智能体防火墙等应用。核心发现是LLM驱动的安全自动化在攻击成功率(高达100%)和漏洞检出率上表现显著，但需注意后门攻击等新风险。可操作建议是关注这些工具的实际部署与防御策略。

研究人员披露OpenClawAI助手中三个高严重性漏洞(CVSS8.8/8.4),包括操作系统命令注入和路径遍历,可被利用通过WhatsApp消息触发主机代码执行、凭证盗窃和权限提升。漏洞已在2026.6.6版本修复。建议更新、启用沙箱、移除exec工具、监控git克隆命令。

ModHeaderv7.0.18版本被曝内置窃密SDK，影响超80万用户。恶意代码伪装成dayjs库，通过AES-GCM加密采集浏览域名并生成设备指纹，定时上传至伪装成斯坦福研究的境外服务器。当前版本窃取功能处于休眠状态，但攻击者可随时激活。建议立即卸载插件并删除本地残留文件，企业可依据IOC进行排查。

工信部等四部门联合印发指导意见，提出到2030年互联网基础资源高质量发展实现体系化突破，到2035年建成先进新型互联网基础设施。文件部署16项任务，涵盖基础理论创新、关键核心技术突破、IPv6及卫星互联网等新型设施建设、资源安全保障、应用服务提升、监督管理及国际合作，旨在赋能网络强国和数字中国建设。

本文是零基础SRC漏洞赏金入门指南与引流软文。核心提出五步法：掌握HTTP交互基础、熟练使用BurpSuite、通过DVWA靶场手动复现理解原理、从小厂商SRC开始实战、专注越权与密码重置等高收益逻辑漏洞。文章强调重思维轻工具，通过积累实战变现。文末以赠送攻防资料为噱头引流，技术深度较浅但具基础指引价值。

魔方安全将于2026年7月16日参加粤网安大会并焕新亮相，诚邀各界人士莅临交流。该活动旨在展示其安全解决方案与品牌形象，属于企业市场推广行为。

本文详细记录了HackMyVm靶场Type的渗透测试过程，包括信息收集、端口扫描、目录探测、域名绑定、使用cewl生成密码并通过Yakit爆破登录后台，利用WordPress配置文件获取密码切换用户，最终通过VNC图形界面结合xdotool工具实现提权至root。整个过程展示了从外网信息收集到内网权限提升的完整攻击链，提供了可操作的技术步骤。

Flowise3.0.13及更早版本存在高危认证绕过漏洞(CVE-2026-56271)，因企业版认证中间件使用硬编码默认JWT密钥且环境变量未配置时静默回退，攻击者可伪造管理员令牌获取平台最高权限。官方已在3.1.0版本修复，建议立即升级或配置自定义环境变量加固，并轮换敏感凭据。

本文介绍了微软Copilot中执行型AI助手Cowork的功能与计费。Cowork可直接在M365生态中执行发邮件、建会议及生成文档等操作，过程透明可控。使用需商业版许可及租户在Azure开通点数计费，实测单任务成本约12元且三万点数起购。文末含账号售卖引导，属推广软文。

本文介绍PPTCopilot工具，可将PDF和Word文档一键转换为PPT，自动排版配图，支持多种风格，节省时间。核心功能包括文档转换、品牌排版、AI配图等。操作简单，上传文档即可生成。建议用户使用微软原生Copilot提高效率。

本文介绍微软Copilot与Clipchamp集成的AI视频生成功能，用户输入一句话即可全自动生成视频，无需剪辑基础。该功能支持办公教程、企业培训、产品介绍等场景，操作简单，3分钟出片，素材和音乐商用免费，适配职场风格。

今日安全简讯涵盖六项关键事件：耐克数据泄露疑来自第三方服务商而非直接入侵；RedHook恶意软件新变种利用无线ADB获取Android设备shell权限；CISA紧急要求修复Joomla扩展iCagenda和BalbooaForms的高危文件上传漏洞；U-Boot引导加载程序六个严重漏洞影响大量嵌入式设备，可致验证启动机制失效；GitHubAPI遭幽灵账户大规模侦察，用于映射组织结构和成员；Zimbra经典Web客户端存在存储型XSS漏洞，建议立即升级至10.1.19版本。