ZONE.CI 全球网

《网络数据安全风险评估办法》于2026年8月20日施行，标志着风险评估从原则性要求走向制度化、周期化和协同化。办法明确重要数据处理者需每年开展评估，一般数据处理者鼓励每3年一次。企业可自评或委托第三方评估，报告至少保存3年。评估发现重大风险需及时整改，拒不整改可能被要求停止处理重要数据。企业应建立持续的数据安全运营机制，将评估纳入日常管理。

本文剖析了企业安全团队虽具备认证技能与AI工具，却在真实攻击中手足无措的困境。核心原因在于技能体系脱离实战、AI工具导致认知偏差与告警疲劳、组织流程缺失协同机制，以及攻防双方天然的非对称性。破局路径需转向实战化培训、人机协同、体系化流程与韧性安全理念，从纸面能力构建实战韧性。

公安机关在浙闽粤破获三起影视行业网络舆情敲诈案，抓获二十四名嫌疑人。犯罪团伙利用AI批量生成负面评论制造舆论压力，向剧组强行推销删帖服务进行勒索。这种流水线式舆论施压已触犯法律，警方重拳出击有效震慑黑产。建议影视行业提升舆情防范意识，遇异常恶意差评及时报警，共同维护清朗网络空间。

国家网信办与公安部发布个信保护简化新规，9月1日施行。新规针对处理不足十万人信息的小微主体，在坚守核心安全底线前提下简化流程性合规义务。这标志着监管向分级分类转变，有效降低小微企业成本并优化执法资源。建议相关主体尽快对照梳理流程，享受政策红利的同时筑牢安全基础。

奇安信获评工信部NVDB五大安全漏洞专业库年度技术支撑单位，涵盖通用网络、工控、信创政务、车联网及AI领域，其中通用网络库获最高四星级。该成绩依托补天平台及多个实验室的漏洞挖掘能力。本文为企业宣传稿，展示其多领域漏洞治理实力，无直接可操作技术细节。

英国某小型发电厂因疑似伊朗报复性网络攻击停运4天，未对电网造成影响。英国保守党认为这反映‘新型战争’形态，需优先考虑能源安全。事件凸显关键基础设施面临网络威胁，英国处于美伊冲突前沿，需加强防护。

本文声称是第十六届网络安全漏洞分析与风险评估大会展品征集通知但正文缺乏实质内容仅包含诱导点击的阅读器链接与外部网盘附件下载链接无具体大会信息或征集要求属于低质量引流内容

安全研究员成功逆向苹果私有FindMyPeople协议，首次在Linux上无需苹果设备即可解密已共享的实时位置。研究剖析了GrandSlam认证、IDS令牌获取及特定证书签发机制，揭示了通过SubscribeAndFetch触发密钥分发，并利用ECDH与AES-GCM解密坐标的完整流程。此成果未发现新漏洞，但填补了苹果私有位置服务协议的技术空白，为构建自托管客户端提供关键参考。

2026补天校园GROW计划报名启动，赛道全新升级，旨在打造AI时代网络安全守护者。活动由补天平台于2026年8月25日在北京发布，包含文末福利和抽奖环节，要求关注公众号并转发朋友圈。

HuggingFace考虑出售，估值或达130亿美元，接近2023年融资估值的近三倍。此前7月发生AIAgent入侵事件，涉及0Day漏洞和代码执行，但公共模型未遭篡改。收购方需权衡其分发能力与安全事件影响。

厦门大学吴荣鑫教授课题组论文ValScope荣获OSDI2026最佳论文奖，实现国内高校在该奖项零的突破。该研究针对数据库管理系统中的逻辑错误难以检测的问题，提出统一的SQL查询近似模型与自动化测试系统，将检测从集合语义拓展至值语义层面。团队在MySQL等六大主流数据库中发现67个未知逻辑错误并获大量确认，部分问题潜伏超十年，显著提升了数据库系统可靠性与数据处理正确性，具有重要的学术价值与工业应用意义。

AgentKitSandbox是火山引擎推出的云端安全隔离运行环境，旨在解决DeepSeekHarness在团队和企业生产中本地运行的稳定性、安全性和成本问题。它基于microVM提供独立执行环境，支持7x24小时持续运行和按需创建回收，成本低至每小时约0.9元。文档提供了5分钟快速部署的详细步骤，并指出其可无缝对接火山方舟CodingPlan，适合研发团队试用。

火山引擎发布智能体安全能力图谱，梳理10大能力维度与60项核心技术要素，覆盖合规准入、资产供应链安全、内容安全、安全测评、AI安全网关、身份认证、权限控制、运行时监控、可观测性及模型推理安全。提出L1基础防护、L2精细化管控、L3持续运营三阶段建设路径，为企业提供从基础防护到体系化治理再到可持续运营的完整框架。

中国信通院启动首批互联网智能体治理办公智能体能力评估以应对数据泄露等风险。豆包工作凭借任务自主拆解、多模态生成及飞书集成等能力成功通过该评估。该产品可执行文档处理等复杂任务，此次获评为政企选型提供可信标尺，推动智能办公兼顾效能与合规安全。

本文披露某金融集团直播平台严重未授权访问漏洞。无认证的getuserinfo接口直接返回用户虚拟资产与手机号，结合未授权的SearchUser接口分页遍历，可批量拉取约1191万用户资产数据。建议强制校验Token、剥离未授权响应敏感字段，对遍历接口强制登录与限频，杜绝默认信任调用方的隐患。

DSH红队模式是基于deepseek-harness的九个安全研究工作模式集合，覆盖渗透测试、红队评估、代码审计、二进制分析、免杀对抗、应急溯源、云安全攻防与CTF解题领域。项目包含十三个运行时插件，提供任务路由、门禁校验、工具拦截等功能。强调仅用于授权安全测试，禁止非法行为。安装需Node.js>=22，支持离线部署。

CipherBridge是一款面向APP/Web加解密逆向分析与渗透测试人员的可视化解密框架。其核心功能包括搭建代理链实现明文进Burp自动加解密、可视化拖拽配置加解密流程、AI自动化分析加解密链路、BypassHook功能以及Burp扩展联动。该工具支持AES、DES、SM4等常见算法，并提供插件编辑器与项目导入导出功能，旨在提升安全测试效率。建议安全测试人员可将其用于接口联调与渗透测试场景。

360凭借图龙锋在Codex等AI产品中发现多项高危漏洞，入选工信部CAIVD最高级技术支撑单位。该工具采用安全大模型与智能体蜂群技术实现漏洞挖掘规模化，涵盖命令执行等风险。企业应重视AI产品权限管控与信任机制安全，引入自动化工具防范数据泄露与代码执行风险。

绿盟科技2026上半年营收8.13亿元同比增1.51%,归母净利润-1.29亿元同比减亏24.77%,经营现金流大增136.05%为亮点。AI安全签单在运营商和金融行业高增超300%,但政企项目验收延后导致签单收入转化不足,上半年亏损属行业季节性特征。公司聚焦AI安全、数据安全、实战攻防三大主线,全年业绩取决于下半年交付节奏。

本日报显示攻击者正利用AI工具、合法软件和社交工程扩大攻击面，包括Weedhack恶意软件通过虚假Minecraft客户端传播、Keycloak严重密码重置漏洞(CVE-2026-18963)允许未认证账户接管、UAT-10147组织利用AI扩大服务器攻击等。建议及时更新补丁、加强AI工具治理并防范社交工程攻击。

Keycloak26.0.0至26.7.1版本存在严重漏洞CVE-2026-18963，允许未认证攻击者绕过邮件验证环节，为任意已知用户名的账号重置密码，实现完全账号接管（ATO），CVSS评分9.1。根因是认证选择器状态未绑定执行与重置密码动作未校验令牌两处缺陷叠加。建议立即升级至26.7.2+或临时关闭忘记密码功能。

第六届开源情报技术大会将于2026年11月14-15日在贵阳召开,议题涵盖行业应用、数据采集、智能处理、安全对抗及合规治理等方向。同期举办第四届全国大学生开源情报数据采集与分析挑战赛,分为初级和终极挑战,报名截止9月16日,颁奖典礼于11月14日举行。活动旨在提升学生数据采集与分析能力,不收取费用。

逆向分析发现微软Paint和Photos本地AI生图并非完全离线，提示词需发送至微软审核并获取唯一GUID。该GUID通过InvisMark算法隐写入图片像素，同时绑定C2PA元数据实现双重溯源。Paint强制要求水印嵌入，可见水印开关对此隐形水印无效。此隐蔽机制涉及用户隐私且缺乏透明度披露。

DeepSeekHarness框架存在高危沙箱逃逸致远程代码执行漏洞。攻击者无需认证，通过提示词注入加载恶意插件，利用未守卫上下文获取子进程服务执行任意命令，绕过VM与进程隔离。影响v0.1等早期版本。建议立即升级最新版，排查异常日志，限制Agent访问权限并加强审计。

本文记录了对某学校报修系统进行授权渗透测试时发现的水平越权漏洞。攻击者通过枚举工单ID可查看其他用户报修详情，涉及姓名电话地址等敏感信息。测试使用两个账号交叉访问验证。建议服务端增加数据归属校验并使用UUID替代连续ID。强调合规测试与过程记录的重要性。