ZONE.CI 全球网

本周网络安全动态主要包括：中央网信办启动`清朗·未成年人网络保护`专项行动；CNVD发布的漏洞周报显示上周漏洞总量走高，多款海外软件如GoogleChrome、IBMLangflowOSS等曝出高危漏洞；HuggingFace平台遭遇自主AI代理攻击；英国医疗技术公司Craneware发生数据泄露；此外，勒索软件攻击激增，Barracuda披露了百万封利用旧式文本污染绕过AI过滤器的钓鱼邮件等。

欧洲新指南明确否定公开即授权逻辑，指出网页公开不代表同意AI抓取。企业需证明数据抓取的合法利益与必要性，外包不免责，且须严控敏感数据。鉴于数据入模后难删除，合规须前移。企业亟需建立来源台账、敏感过滤与隐私测试等可验证的治理体系以回答六大核心问题，中国AI企业也需警惕域外管辖与供应链传导风险，告别粗放数据模式。

天翼全栈混合云通过中国信通院专有云责任保障能力等级评估卓越级，该评估基于专有云安全责任划分参考模型，从数据、业务应用、云平台和云服务、基础设施四个维度衡量责任保障能力。天翼云产品具备一云多芯、与公有云同构同源等能力，可满足央国企等客户数字化上云需求。该评估为行业提供了客观的责任能力衡量依据。

CNVD漏洞周报2026年第28期显示，本周共收集整理了609个信息安全漏洞，其中高危漏洞326个，中危199个，低危84个。漏洞主要集中在WEB应用（263个）、应用程序（192个）和网络设备（105个）。此外，本周还披露了多个知名厂商的重要漏洞，如GoogleChrome浏览器的多个高危漏洞、IBMLangflowOSS的代码注入与服务端请求伪造漏洞等。

该公告由复兴杯全国大学生网络安全精英赛组委会发布，明确了荣誉证书邮寄、认证证书及课程学习奖励、现金奖励等发放安排。荣誉证书将于2026年9月邮寄；认证证书需在指定官网申领，部分考试截止日期为2026年7月31日；现金奖励预计8月中旬发放，需依法代扣个税。选手需在时限内办理，逾期视为自动放弃，并警惕非官方渠道诈骗。

本文拆解微信看图后拼多多推同款的技术真相，指出并非OCR偷图，而是通过推广链接归因、设备标识匹配、剪贴板读取等正常商业推广链路。同时讨论AI推荐不透明引发的信任危机，以及端侧AI带来的新型隐私风险。建议用户自行验证，技术从业者应关注算法可解释性和数据采集边界。

今日科技新闻汇总显示智谱股价再跌20%市值降至4146亿港元，零一万物计划2027年赴港IPO，阿里云推出智能体专用型服务器实例，谷歌研发Frozenv2芯片提升Gemini效率，小鹏汽车AI负责人陆思渊将离职加入OpenAI，月之暗面回应马斯克称赞，新款iPadmini将升级处理器，Windows更新导致高刷新率显示器黑屏，工信部称AI开源大模型全球下载量破100亿次，百度昆仑芯M100芯片首次展出，张雪机车预告首款电摩，宇树发布全模态交互模型，漫威发布复仇者联盟5预告。

JADEPUFFER是奇安信威胁情报中心披露的智能体威胁行为体(ATA),利用Langflow漏洞CVE-2025-3248入侵服务器。首次攻击通过MySQLAES\\_ENCRYPT()加密数据库;第二次部署专为AI基础设施设计的Go勒索软件ENCFORGE,加密模型权重、向量数据库等180种扩展名文件。攻击者5分钟内迭代6个脚本实现容器逃逸。建议修补Langflow漏洞并监控相关IOC。

ValarAtomics成立3年即在犹他州沙漠建成Ward250反应堆并发电，为NvidiaAI芯片供电，估值达50亿美元。公司通过垂直整合和第一性原理大幅降低核能成本与工期，采用TRISO燃料和被动安全设计以杜绝熔毁风险。尽管面临技术质疑，资本看好其在AI能源基础设施中的潜力。

本文通过分析朝鲜新馆揭示俄朝同盟实质。朝出兵库尔斯克伤亡数千，馆内北约装备实为技术情报样本。合作暗含三线：重塑合法性、以卫星技术换兵员、将条约转为社会记忆以锁定同盟。美韩需警惕朝军借此积累现代战经验并逆向工程西方装甲，应摒弃旧基准线重估半岛战术预案。

文章分析了美国通过技术管制、资本限制、安全叙事和体系竞争等多维度手段遏制中国AI发展。核心措施包括将芯片管制延伸至算力链条、收紧资本与设备准入、利用安全化叙事影响市场准入，并推动自身AI体系出海。文章指出中国需提高算力效率、补齐软硬件短板、扩大开源生态并建立可验证安全机制以应对挑战。

本文详细分析了fastjson1.2.83RCE漏洞，指出该漏洞需要特定环境条件（safemode未开启、JDK8、SpringBootfatjar等）才能实现远程代码执行，并非所有应用都面临直接风险。作者建议认真处置但不必恐慌，优先启用safemode和限制出站作为缓解措施，并给出了威胁检索和产品检测的具体建议。

陌陌安全于2026年7月20日发布Q2收官回馈活动，向参与安全测试的白帽黑客提供专属奖励。该公告总结季度成果并激励社区成员，建议关注官方渠道获取后续活动详情。

本文是作者对2019年SUCTF内核题SUDriver的复现学习笔记。核心记录了利用格式化字符串漏洞泄露地址绕过KASLR，并将驱动的越界写转化为劫持内核执行流的原语。作者分享了堆风水尝试失败后改用seq_operations结构体进行堆喷射的经验，以及通过栈迁移和swapgs_restore_regs_and_return_to\\_usermode函数绕过KPTI返回用户态的过程。文章提供了详细的利用思路和踩坑记录，对内核安全初学者有参考价值。

HuggingFace遭全自动AI智能体攻破，攻击者借恶意数据集利用代码执行与模板注入漏洞获取权限并窃取凭证横向移动，公开资源未受影响。安全团队借AI分析日志加速溯源，并转用本地开源模型规避API拦截。建议用户立即轮换令牌，企业需引入模型行为漂移测试与完整性验证以防范AI供应链风险。

安全研究员发现nginx脚本引擎中存在严重远程代码执行漏洞CVE-2026-42533，自2011年map指令支持正则表达式以来已存在15年。漏洞源于PCRE捕获状态保存/恢复缺失，可导致堆缓冲区溢出和信息泄露，攻击者通过未认证GET请求即可实现RCE。受影响版本包括NGINXOpenSource0.9.6至1.30.3和1.31.2及之前版本，以及NGINXPlusR33-R36等。建议立即升级至修复版本1.30.4、1.31.3或对应Plus版本，并使用静态配置扫描器审计易受攻击的指令顺序。

奇安信CERT发布Fastjson1.2.83远程代码执行漏洞(QVD-2026-43021)安全风险通告，该漏洞影响Fastjson1.x全系列版本，CVSS评分9.8，攻击者可构造恶意JSON请求在服务器上执行任意代码。利用条件包括使用SpringBootfat-jar、JDK8及服务器允许出站HTTP访问。官方暂未发布1.x修复补丁，建议迁移至Fastjson2.x或启用SafeMode作为临时缓解措施。奇安信多款产品已支持检测。

7-Zip26.02版本修复了一个高危堆缓冲区溢出漏洞CVE-2026-14266，该漏洞存在于处理XZ归档文件时，可能导致攻击者在用户打开恶意文件后执行代码。漏洞由研究员发现，评分7.0分，为本地攻击向量，需要用户交互。建议所有用户立即更新至最新版本以防范风险。

本文分析了Vaultify恶意软件，其伪装成主页保护工具劫持浏览器导航页。软件通过Hook系统进程拦截浏览器启动、篡改配置文件实现持久化，并利用加密云控动态下发推广链接与插件，具备反杀软能力。建议用户立即卸载该软件，清理残留进程与目录，恢复浏览器配置，排查可疑扩展，必要时重置浏览器或使用安全软件查杀。

美国海军部发布了一项旨在将数据和人工智能武器化的战略，以在数字时代保持作战优势。该战略提出了名为`比特到效应循环`的数字化适应框架，旨在缩短从数据创建到产生任务影响的周期。战略设定了六大目标：加速作战人工智能、提升数据就绪度、优化基础设施、简化治理、建设人才队伍以及建立伙伴关系，以推动其`人工智能优先`的海上力量愿景落地。

HuggingFace披露遭AI智能体攻击，攻击者利用恶意数据集触发代码执行窃取云凭证。事件响应中，美国模型因安全护栏受限，中国模型GLM5.2成功完成分析。建议政企机构建设本地前沿模型以规避安全限制并防止数据外流。

数世咨询与零零信安联合发布2026年6月全球数据泄露态势月度报告，基于约10万个威胁源监控。报告显示美国为数据泄露第一大国，金融和互联网行业受影响最大。本月监控到高价值买卖情报7663份，全球数据泄露量达数百亿行。报告还分析了10个典型泄露事件，并指出全球65个活跃黑客组织共发起706起勒索事件，黑客组织正向精英化小型化自动化演进。建议企业加强数据安全防护并关注勒索软件趋势。

本文分析了Fastjson1.2.66-1.2.83版本中@JSONType信任旁路漏洞的利用链，攻击者通过构造特殊类名触发远程类加载实现RCE。关键前置条件包括特定ClassLoader和JDK8环境。防御措施包括开启SafeMode、升级fastjson2或JDK9+。文章还介绍了使用Memfit和Yakit工具复现漏洞的方法。

奇安信CERT发布Fastjson1.2.83远程代码执行漏洞(QVD-2026-43021)安全通告，该漏洞影响百万级实例，CVSS评分9.8，攻击者可构造恶意JSON请求实现远程代码执行。漏洞利用需满足特定条件如使用SpringBootfat-jar和JDK8。建议升级至Fastjson2.x或启用SafeMode模式缓解风险，奇安信产品已支持检测。

本文介绍火山引擎面向音视频Agent的开发套件AIMediaKit。它将视频理解、剪辑与转码封装为统一底座，跨越内容结构化、自动化处理及高规格交付三道门槛。视频云竞争已转向生产链路系统之争，建议开发者利用该基础设施降低集成成本，将重心聚焦于场景定义与工作流设计。