ZONE.CI 全球网

CTIExpert是专为ClaudeCode设计的开源CTI与OSINT分析技能，默认无需API密钥。v2.7版采用双层架构与AEAD工作流，支持域名、IP、钱包等多目标自动化调查。它将真实分析师工作流、误报控制与证据分级嵌入AI，可输出HTML等结构化报告，为安全人员提供了极具实战价值的AI情报调查方案。

成都信息工程大学网安学院实践队在武侯区得胜社区开展反诈宣传，针对青少年和老年人分别采用趣味课堂和案例剖析，协助安装反诈APP，提升防范意识，未来将继续服务社会。

中国密码学会密评联委会发布生成式人工智能系统密码应用指引1.0版，作为密码应用基本要求的重要扩展，破解AI在基础设施与数据流转中的密码难题。指引建议采用SM系列国密算法结合可信执行环境等技术，构建技术可控与责任可溯的安全生态，为开发方提供合规实践参考。

2026年8月7日公安部发布《公安机关网络空间安全监督检查办法》，自10月1日起施行。该办法共23条，明确了监督检查对象、方式、内容及机制，强调联合检查以减少企业负担，并规范了执法程序与法律责任。相关企业需关注合规要求，加强网络安全、数据安全及个人信息保护义务的履行。

本文介绍一款名为UploadRanger的文件上传漏洞检测工具。其具备智能扫描上传点、代理抓包、请求重放、自动化爆破及支持两百六十余种绕过技术与多类型载荷生成等功能。建议安全人员通过Python环境快速部署该工具，以提升文件上传漏洞的自动化发现与绕过测试效率。

该办法是公安部发布的部门规章，旨在规范公安机关对网络运营者、数据处理者等履行网络安全、数据安全、信息安全义务的监督检查。它明确了检查对象、重点内容、线上巡查与现场检查程序、委托技术支持规则及法律责任，强调依法科学管理、减少企业负担，并自2026年10月1日起施行。

本文为中国电信安全网关产品线发布的第12期人人都要学大脑系列内容，旨在提升员工安全意识与技能。文档包含排版与推荐阅读链接，但未提供具体技术细节或可操作建议，属于内部安全培训宣传材料。

2026年HVV攻防演练中，天穹安全团队分析了三个典型高对抗样本，包括CobaltStrike、Perl白利用和红队工具。攻击链呈现高度模块化，普遍采用多层加密、内存执行、反调试反沙箱及痕迹清除技术。通信链路使用mTLS双向加密，流量隐蔽性增强。样本针对金融、能源、航空及政务云等战略领域进行深度行业化社工定制。建议使用天穹沙箱进行样本风险鉴定。

微软CEO纳德拉警告企业勿将业务全押于单一AI大模型。此举会导致企业数据与记忆被供应商绑定，将核心思考能力外包，面临高昂迁移成本与锁定风险。建议企业将模型与上下文、记忆解耦，自行保留AI调用元数据，仅将大模型作可替换的推理引擎，以此沉淀企业自身能力，掌控核心业务逻辑。

本文详细解析了XSS和CSRF两种Web漏洞的原理、攻击方式及防御措施。XSS通过在页面注入脚本偷取用户凭证，CSRF则借用已登录状态发起恶意请求。文章结合银行系统场景，提供了检测方法、防御组合拳（输入过滤、输出转义、Token、二次验证等）以及开发、测试、运维人员的检查清单，强调关键操作需加防伪标识。

该文档揭露菲律宾AtinIto联盟实为美西方资金支持的混合型非国家行为体,通过民间组织伪装在南海进行侵权挑衅与认知战.核心成员来自政治NGO与工会,资金链涉及NED及欧洲援助,行动与美国妙手项目协同.建议警惕其未来在南海的作秀式侵权活动.

该文档基于ANY.RUN沙箱遥测数据，分析了2026年7月20日至26日期间十大恶意软件（如Vidar、AsyncRAT、XWorm）的威胁态势。信息窃取马和RAT主导榜单，钓鱼是主要感染向量，攻击者滥用LOLBins和合法基础设施。文档提供了每个恶意软件的详细剖析、入侵指标及防御建议，强调需通过邮件过滤、漏洞修补、进程监控和MFA等分层控制措施来应对。

黑客组织ShinyHunters承认对安永数据泄露负责，称通过第三方IT平台实施供应链入侵，窃取员工凭证及含敏感个人与财务信息的客户文件，并下达最后通牒威胁公开数据。安永确认至少1366人受影响并启动信用监控。此事件凸显加强第三方供应链与SaaS凭证安全管理的紧迫性。

本文深入分析Fastjson2小于等于2.0.62版本RCE漏洞。漏洞源于checkAutoType仅凭FNV-1a前缀哈希匹配放行类加载而未校验真实字符串，致攻击者可借此碰撞绕过白名单。利用分两步：先缓存恶意JAR获取文件描述符，再构造碰撞@type触发加载器从fd路径执行恶意类。建议立即升级，实战需用唯一类名规避JVM缓存。

Progress在2026年7月修复了KempLoadMaster的五个漏洞，包括三个命令注入和两个权限提升漏洞，均需已认证账户利用，但可导致设备完全被攻陷。受影响版本包括LoadMasterGAv7.2.63.2及更早版本等。建议立即升级至修复版本，并限制管理界面和API访问权限，审查管理员账户。

本期暗网快讯汇总了多起数据泄露事件，涉及意大利、法国、西班牙、巴基斯坦、印度、美国、巴西、迪拜、埃及等国家和地区的企业、政府及教育机构，泄露内容包括客户数据库、订单记录、公民身份信息、银行KYC数据、加密货币交易所线索及军事系统设计蓝图等。建议相关组织加强安全防护与威胁监控。

该文档介绍了一款2026年发布的Fastjson1.2.x全版本RCE验证工具，覆盖151条链路与版本用例，支持多种攻击链路如direct、cache、autocloseable等，并提供命令回显功能。工具使用Python和Java，可指定目标、命令、链路和版本，并包含本地JAR包校验。文档详细说明了使用方法和参数，是用于安全测试的实用工具。

第九届西湖论剑网络安全技能大赛报名于今日16:00截止，该赛事为网络安全领域重要活动，涉及CTF等竞赛形式，旨在提升网络安全技能与意识。

墨菲安全发现并报送AppleXNU内核NECP子系统中的双重释放漏洞CVE-2026-43778，该漏洞可被本地普通权限应用利用造成内核UAF。Apple已在iOS26.6、macOSTahoe26.6等更新中修复。墨菲安全自研的墨思AIAgent参与了漏洞挖掘与分析，其SCA和SGP产品可协助企业进行风险识别与升级加固。

苹果本周将推送iOS27beta5和iOS26.6.1系统更新。iOS26.6.1为正式版，侧重修复漏洞与优化稳定性；iOS27beta5为测试版，不建议普通用户升级。国行Apple智能最低系统要求为iOS26.6，无需强制升级至iOS27。普通用户建议等待正式版，开发者可尝试测试版。

文档讨论AI在渗透测试中的高效应用，提及安恒AI算力在8小时内从上百家目标中探测数万资产，发现近2万漏洞并获得近百个可GetShell目标。内容强调AI对红蓝对抗的冲击，蓝队面临AI扫描挑战。信息源自比赛参与者，具有一定真实性但需谨慎验证。

本文推介百度安全发起的Agent加攻防能力挑战赛，聚焦AI攻防全链路构建与实践落地。赛事要求提交针对SRC或二进制自动化分析的Agent作品，采用作品评审与靶场实战各占一半的双轨制评分。建议安全研究员结合漏洞发现率等量化指标优化技术方案，于八月十七日前提交作品及文档参赛。

新华三在合肥举办AI产业生态峰会，发布全栈AI基础设施。核心成果包括万卡级超节点、灵犀智算解决方案，以及通过AI防火墙和自主安全运营平台构建的AI安全防护体系。同时联合本土企业成立安徽AI生态联盟，以算网存云安维六位一体能力推动产业落地。

AI生成补丁成功率低，仅46%解决漏洞，且易引入新漏洞。AI在漏洞利用方面优于修补，存在攻防能力不对称。建议开发者将AI生成代码视为提议变更，需人工复核和全程序静态分析验证。