ZONE.CI 全球网

2026年6月日本北海道医疗中心因委托废弃物处理公司销毁的硬盘被网上拍卖，导致至少18.69万患者及工作人员个人信息泄露，涉及电子病历、姓名地址等敏感数据，可能影响51万人。机构已回收硬盘并报案追究刑责，目前未确认信息滥用但存在重大安全风险。

一种新型浏览器内浏览器网络钓鱼攻击利用伪造的OAuth登录窗口窃取Microsoft365凭证，该攻击通过可定制化弹窗模拟真实系统对话框并具备反分析能力。研究发现此类攻击可绕过传统多因素认证，建议组织结合用户培训、条件访问策略及直接输入官网地址等方式进行防御。

2026年4月11日Abrigo公司遭遇数据泄露，攻击者窃取Salesforce中存储的超过175万条记录，包含71万余个唯一邮箱地址及用户名、电话、员工详情等。Abrigo拒绝支付赎金后，团伙于4月15日公开数据，压缩文件61.2MB（解压后499MB）。

丹麦制药巨头诺和诺德披露临床试验数据泄露事件，攻击者获取了匿名化患者数据（如试验参与情况、健康指标）及医护人员个人信息。公司已隔离受影响系统并开展调查，核心业务未中断，同时提醒医护人员防范钓鱼攻击。

文档针对Go语言处理大CSV文件导入数据库的性能问题，提出分阶段并发处理方案。核心方案将流程拆解为读取CSV、数据清洗、批量入库三阶段，通过固定数量worker、有缓冲channel和批量插入控制资源消耗。关键实践包括设置连接池参数（最大12连接）、每批500行入库、使用ONCONFLICT更新重复数据，并强调需监控读取/入库速率比来定位瓶颈。

本文介绍如何利用ChatGPT辅助Python编程学习，涵盖三种核心方式：通过AI讲解知识点、提供代码示例、调试错误代码。文章以删除列表偶数的实战案例展示AI精准定位问题并给出修正方案的能力，同时推荐作者以ChatGPT为教学工具的Python入门书籍，强调AI可提升学习效率。

本文针对AI驱动漏洞扫描器面临的间接提示注入风险，提出将扫描器视为`已被攻陷的队友`的核心防御思想，并围绕权限控制给出四条关键实践原则：实施最小权限原则限制扫描器仅访问必要模块；创建专用测试账户与真实管理员身份彻底隔离；将访问控制逻辑上移至服务端进行二次鉴权而非依赖模型自律；将所有用户生成内容视为潜在注入载体进行严格清洗与脱敏处理，从而构建扎实的权限围栏。

VibeCoding通过自然语言生成应用降低了软件开发门槛，但导致新一代影子应用激增，引发严重安全风险。核心问题在于责任断层与安全治理缺失，常见漏洞包括鉴权缺失、密钥硬编码、数据库配置宽松及供应链风险。建议安全团队建立应用登记机制、分级治理策略、安全模板嵌入，并加强主动发现能力，而非简单禁止。

恶意LNK文件伪装成求职简历针对企业员工进行定向攻击，结合社会工程学诱骗用户打开文件。攻击采用多阶段载荷投放，通过计划任务持久化，并利用DLL侧加载执行Xctdoor后门。文档提供了检测指标如检查公共目录下的脚本文件和异常计划任务，以及缓解措施包括禁用不受信任位置的LNK执行和启用PowerShell日志记录。

蚂蚁集团与上海交通大学联合提出ML-Embed多语言文本嵌入模型，采用创新的3D-ML训练框架在参数效率、推理效率和存储效率三个维度进行优化。该模型基于覆盖282种语言的大规模开源数据集训练，在MTEB基准测试的17项任务中9项刷新最高分，尤其在波兰语等低资源语言上提升超20个百分点。研究提供完整的开源解决方案（代码、模型、数据），为构建公平高效的多语言AI系统提供可行蓝图。

本次培训聚焦工业数据安全治理，围绕政策合规、技术防护、行业实践三大维度展开。培训涵盖重要数据识别保护、监测预警体系构建、区块链可信数据空间、跨域管控技术等七大主题，结合汽车、航空、钢铁等行业案例，提供从标准解读到体系落地的实操路径。面向工业企业安全管理人员，旨在提升数据分类分级、风险防控及合规管理能力。

亚信安全在2026MWC上海展会首次展示卫星互联网、PhysicalAI、Token计费运营及AI安全四大产品体系。卫星互联网产品支持手机直连和星上处理，构建空天地一体化网络；PhysicalAIOS实现工业场景的感知-决策-执行闭环；Token方案提供AI成本管控和ROI分析；AIXDR和智能体安全平台构建全栈防护体系。这些技术已应用于制造、通信等行业，实现降本增效和安全保障。

文章指出企业AI落地应优先选择低风险重复业务流程，明确划分输入输出节点并组合适当技术工具，通过内部验证后以沟通效率、错误率等指标验收。核心建议是避免盲目堆砌技术，而是通过可量化的小流程验证AI实际价值。

MicrosoftExchangeServer曝出两处高危SSRF漏洞CVE-2026-45502和CVE-2026-45504，低权限攻击者可通过EWS接口诱导服务端发起任意HTTP请求进行内网探测。影响版本包括Exchange2016/2019等多个累积更新版本，建议用户立即通过WindowsUpdate或手动下载补丁修复。360漏洞研究院已成功复现漏洞并提供检测支持。

Anthropic的MythosAI模型在测试中数小时内发现美国政府机密系统漏洞，该测试属于`玻璃翼计划`的一部分。特朗普政府随后限制模型使用遭百余名网络安全专家联名反对，认为此举将削弱美国网络防御能力。事件凸显AI在漏洞发现方面的潜力及相关的政策争议。

文档针对网络流传的`今年HW将持续四个月`传闻进行打假分析，作者基于行业经验判断该信息缺乏可信度，指出可能为概念混淆或误传，并呼吁从业者保持理性、不信谣不传谣，同时表达对HW实际安排情况的疑问。

前沿AI如MythosPreview颠覆了网络安全攻防平衡，通过密集采样能发现70-80%系统漏洞并自动化生成攻击程序，导致2026-2027年成为极度脆弱期。关键风险在于补丁更新滞后与物联网设备无法防护，建议企业采用AI工具优先处理高危漏洞、隔离老旧资产，个人需开启自动更新并减少智能设备暴露面。

五眼联盟发布联合警告称人工智能正急剧改变网络攻防格局，风险假设可能在数月内过时。声明强调网络风险已成为核心业务风险，要求领导者立即采取行动，包括缩小攻击面、加速补丁更新、解决遗留系统问题等五项措施。同时指出防御方应积极利用AI工具加强安全监控和响应能力。

本文详细分析了命令行工具中三个高危安全漏洞：本地凭据文件权限未收敛导致敏感信息泄露、浏览器跳转未校验协议引发命令注入风险、控制台明文输出敏感数据。针对每个漏洞提供了具体的Go/Python复现代码和修复方案，强调CLI工具需加强文件权限控制、输入校验和数据脱敏。

zipany是一款基于Go语言开发的跨平台目录压缩工具，支持tar.gz格式并提供灵活的文件过滤规则。工具内置YAML配置管理，具备黑白名单过滤、预设方案（如PHP项目打包）、分片压缩及安全防护（防路径穿越）等功能，可通过命令行快速实现目录打包与定制化压缩需求。

该文档记录CTF题目《\\[GXYCTF2019\\]PingPingPing》的Web渗透解题过程。通过ip参数注入实现命令执行，使用管道符绕过基础过滤，利用IFS1绕过空格限制，最终通过变量拼接a=g绕过flag关键词过滤成功读取flag.php文件。

该文档揭示了通过滥用PCIe高级错误报告（AER）和端到端CRC（ECRC）校验机制实现DMA重定向的攻击方法。攻击者利用ECRC错误触发事务层数据包（TLP）重传机制，在重放过程中替换物理地址字段，绕过IOMMU权限检查非法写入受保护内存区域。文档详细分析了TLP结构、AER/ECRC工作机制、攻击流程及QEMU仿真验证，并提出了IOMMU强制重映射等防御策略。

国安部披露境外间谍机构利用弹窗广告进行情报搜集、目标筛选和思想渗透，已责令网络平台停止推送不明境外链接。该提醒警示公众需警惕伪装成福利活动的恶意弹窗，避免个人信息泄露危害国家安全。

本文以真实npm样本为例，详细分析了针对AI代码扫描器的对抗攻击技术，包括利用提示词注入篡改模型判断、通过安全触发主题诱导模型拒检、采用上下文洪水耗尽token配额导致截断，以及分层混淆隐藏真实恶意代码。文章揭示了LLM代码审查机制中指令与数据边界混淆的漏洞，并提出了基于AST预处理、洪水识别、多引擎检测及故障关闭策略的防御方案。

本文记录了在CTFshow靶场中利用ShellCodeExecutor页面的code参数进行命令注入测试的过程。通过BurpSuite和OOB带外通信技术，确认存在盲命令执行漏洞，成功外带系统信息并读取flag.php文件。报告详细展示了从基础验证到文件定位的完整渗透测试流程，提供了具体的curl命令示例和风险等级评估。