ZONE.CI 全球网

安全牛发布新一代自动化渗透测试指南，指出传统人工与静态扫描存在周期长、误报高等痛点。基于大模型与多智能体协同的平台正加速演进，具备资产测绘、纵深验证等核心能力。报告对比了国内主流厂商产品，建议企业结合实战需求选型并关注AI供应链测试方向。

本期安全牛览聚焦多项网络安全与AI监管动态:欧盟AI法案正式执法,要求通用大模型与AI生成内容强制标识透明度;中国自动驾驶强制性国标发布,补齐车联网全生命周期安全规范;Shai-Hulud蠕虫投毒超1280个npm包窃取密钥;GooglePasskey存在多重绕过缺陷;新型深度伪造检测系统可实时识别视频会议欺诈。全球网络犯罪年损失超1.24万亿美元,企业需加强终端防护与合规建设。

TencentOS安全团队朱雀实验室开发的科维斯AI首次公开亮相，发现并验证了潜伏18年的Linux内核提权与容器逃逸漏洞SCTPhantom(CVE-2026-64564)。该漏洞位于SCTP协议栈，为Use-After-Free类型，影响自v2.6.25起的所有版本。科维斯AI通过多Agent协同与AgentHarness框架，实现了从漏洞发现、稳定利用构建到跨发行版迁移的全链路自动化研究，并在Debian、Ubuntu等环境完成提权验证。

盛邦安全发布自主研发的RayTokenAI网关，解决企业AI大模型选型、计量和审计三大困局。该产品实现800余种大模型统一管理，部署时间从数周压缩至5分钟，敏感内容拦截毫秒级响应，全栈适配国产模型并支持离线场景。RayToken已完成全周期商业化验证，在金融、政务等领域实现AI安全治理的可视化与可控化，为中国AI基础设施补上关键一环。

河南商丘网警查处某学校未履行网络安全保护义务案，该校网络服务器开放高危端口，未采取防护措施和留存日志，存在数据泄露风险。依据网络安全法，学校被行政处罚并责令整改。网警建议关闭非必要端口、加密通信、加强日志管理和安全培训。

这篇分析揭示了谷歌同步Passkey在终端被攻陷后的三大攻击链：Pass-ta-key利用可导出的身份密钥伪造设备签名；SilverPass-ta-key通过替换用户验证密钥绕过MFA；GoldenPass-ta-key则直接窃取主密钥SDS解密所有私钥。研究指出依赖方需严格校验UV标志位，并建议改进密钥管理流程。

APT团伙利用虚假面试针对Mac开发者进行精准攻击，通过恶意Xcode项目投毒，使用AppleScript下载器、重置TCC权限、劫持Dock应用及强制签名覆盖等手法绕过安全机制，最终窃取加密货币凭证和SSH密钥。建议开发者警惕可疑面试邀约，使用专业安全工具加强防护。

该文档曝光巴基斯坦通过旅行社JaiyanaTravelandTourism及网络，利用宗教身份招募印度教与锡克教徒构建间谍网络，涉及卡塔普尔走廊滥用、太阳能摄像头监控等手法。全印17个邦已抓获457名关联人员。分析指出中巴情报合作存在风险，传统嫌疑人画像失效，需转向行为模式识别。

Linux内核SCTP协议存在本地权限提升漏洞CVE-2026-64564，代号SCTPhantom，风险高。攻击者可利用UAF实现提权或容器逃逸。影响2.6.25及以上版本。建议升级内核或禁用SCTP模块。

工信部正式公布2025年工业互联网链网协同典型案例名单，包含十七类共四十个案例。案例覆盖石化、钢铁等五大重点领域，分为技术引领与应用普及两类，集中展示了依托人工智能、5G及工业大数据打通上下游研发生产安全运维全流程的创新实践，旨在促进产业链与工业互联网深度协同融合发展。

第六届全国密码科普竞赛于2026年7月23日在北京圆满落幕，由国密局指导、密码学会主办。580支团队参赛，202件作品获奖，涵盖长征密码史与量子密码等前沿技术，有效提升了全社会密码安全意识，推动密码事业高质量发展。

天融信发布AI智能体安全评估服务，针对智能体面临的劫持与越狱等风险，提出九维评估框架与39项检查项。服务覆盖执行环境、提示词安全及数据隐私等维度，并针对三大主流智能体提供专项检测，助力企业实现风险评估、落地整改与合规管控，应对AI应用衍生安全隐患。

本文为工联安全大讲堂第三十八期课程预告，主题为工业软件供应链安全治理。课程由资深专家黄琦主讲，旨在提升从业人员相关知识与技术能力，核心探讨风险排查定位、治理体系构建及AI安全应用三大议题。读者可通过腾讯会议参与直播与互动答疑，适合关注供应链安全的专业人士学习。

文章标题提及计算机专业可考取多种证书，但正文内容缺失，仅展示标题与作者信息，无具体证书介绍或建议。

小红书安全响应中心发布公告规范AI辅助漏洞报告提交，要求报告必须经过人工验证并提供完整复现证据。明确AI生成无效报告的情形包括无有效证据、内容与实际情况不符、无法复现等。违规处置规则：累计3份无效报告忽略，5份或警示后继续提交封禁账号，严重违规直接永久封禁。旨在维护公平专业的安全研究生态。

iOS27beta5延迟发布，可能因加入新功能而非严重BUG。测试周期将进入周更，正式版临近。建议主力机勿盲目升级测试版，避免耗电、兼容问题。用户可期待新特性。

北京边界无限科技发布安全岗位招聘，包括销售经理、KA大客户经理、交付运维工程师和售前技术支持等职位，工作地点北京、深圳、成都。同时推广网络安全攻防实验室付费帮会，永久会员119元，提供攻防资源、CTF资料、内推机会等。求职者可投递简历，安全爱好者可考虑加入帮会获取资源。

迪普科技2026上半年成绩单，内容包含多张图片，但缺乏具体文字信息，无法提取核心要点或可操作建议。

本文为科技资讯速递，涵盖：鸿蒙智行辟谣未下架竹知了；苹果申请禁令防OpenAI获取机密；小红书封禁十万涉毒动画等违规账号；中国发布首部L3与L4自动驾驶国标；长鑫存储迈入LPDDR6量产阶段；腾讯混元发布上下文感知语音模型；马斯克单月财富缩水超两万亿元。本文为快讯汇总，无深度分析与操作建议。

微步在线宣布其AI安全运营平台Flocks已同步接入DeepSeek-V4-Flash正式版，该版本于7月31日上线，重点强化了Agent能力并在安全领域表现良好。Flocks旨在帮助安全人员将零散工作串成可复用、可持续的执行闭环，文档提供了开源地址和使用文档链接。

文档围绕史诗级Linux漏洞和内部员工数据泄露两大安全话题展开讨论。安全团队需接受漏洞常态，建立大纵深动态防御体系，而非追求无漏洞系统。针对内部数据泄露，建议先联合HR与法务收集完整证据链，再考虑报警，避免打草惊蛇。同时指出乙方安服与甲方真实需求存在脱节。

报告揭示日本通过外务省、JF等机构体系，以文化外交、教育交流及动漫产业为掩护，长期对14-35岁中国青少年实施高隐蔽性认知影响，形成政府引导与商业渗透双轨机制。数据显示日本在青少年群体中好感度显著高于成年群体，存在历史议题弱化风险。建议增强中国叙事供给能力，区分自然文化吸引与有组织渗透，避免阻断正常交流，重点提升青少年对本国文化的认同与批判性思维。

第四届全国大学生开源情报数据采集与分析挑战专项由中文信息学会开源情报技术专委会主办，面向全国高校学生，旨在提升开源情报分析能力。竞赛分为初级和终极挑战，涉及数据采集、规则制作和报告撰写。提供八爪鱼和金箍棒等工具支持。建议学生组队参与，利用教学资源提升实战技能。

Windows预读文件（Prefetch）是系统加速机制，但成为电子取证中记录程序执行历史的关键证据源。即使程序被删除，其PF文件仍可能留存，对分析用户行为和追踪恶意软件具有重要价值。

本文档系统介绍了iOS数据加密体系，涵盖文件加密、钥匙串、安全隔区等核心机制，强调其多层次保护用户数据安全。关键发现包括硬件加密与软件加密协同工作，可操作建议为开发者需遵循Apple安全最佳实践以增强应用防护。