ZONE.CI 全球网

LightSpy已从APT工具演变为产品化监控平台SurveillanceasaService。研究通过SSL证书指纹将已知C2从1台扩展到117台服务器。平台支持70+插件覆盖iOS、Android、Windows、macOS、Linux和路由器。操作面板暴露多租户架构含demo和计费层级。通过面板中开发者遗留的炸鸡外卖订单完成部分归因。建议检查MikroTik路由器固件和计划脚本。

GhostDesk攻击链结合nativeWindowsloader与Chrome扩展间谍软件。用户从仿冒CCleaner网站下载恶意exe后，通过CScript启动多阶段脚本，替换runtimebroker.dll并修改ChromeSecurityExtension的manifest.json，注入content.js和background.js实现键盘记录、凭证窃取、剪贴板劫持及cookie窃取。攻击者使用DuckDNS域名作为C2，并利用本地WebSocketrelay。检测需关注跨层链路，包括文件监

GhostBits是2026年BlackHatAsia披露的Java生态系统性安全缺陷，利用Unicode字符到byte转换时静默丢弃高8位的机制，可绕过WAF/IDS实现路径穿越、SQL注入等攻击。传统WAF因架构性鸿沟无法检测此漏洞。建议使用开源Secrux-GhostBits-Scanner工具进行代码与依赖层扫描，并结合代码加固、输入验证等多层防御方案进行修复。

CVE-2026-21962是OracleFusionMiddleware中OracleHTTPServer和WeblogicServerProxyPlug-in的访问控制不当漏洞(CWE-284),CVSS评分10.0,影响12.2.1.4.0、14.1.1.0.0和14.1.2.0.0版本。未经验证攻击者可通过HTTP网络访问导致未授权数据操作,POC已公开。建议参考Oracle官方安全公告进行处置。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

文章探讨了手机App是否在监听用户对话以实现精准推送。专家指出，技术上可行但成本极高，商业上不划算。精准推送主要源于大数据用户画像和跨应用数据关联，而非监听。文章建议用户从正规渠道下载App、删除Cookie、举报恶意App并管理手机权限以保护隐私。

奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。

本文详细介绍了VUE框架渗透测试的实用技巧，包括通过浏览器插件识别框架特征、利用工具获取接口和路由、挖掘Swagger等接口文档、以及强制开启VueDevtools调试模式以提取路由信息。文章提供了具体操作步骤和代码示例，强调手工测试的重要性。

Bob大叔主张不逐行审查AI代码，而是依赖单元测试与变异测试等工具链自动验证。他提倡短指令配合外置脚本，采用多Agent流水线协作保持上下文隔离以提升效率。同时强调软件基础架构知识在AI时代更为重要，新人需先掌握手写能力，人类角色正转向制定规则与架构设计。

勒索软件黑客伪装成恢复公司勒索受害者，索要2万至6万美元。攻击者利用入侵获取的内部知识进行社会工程学攻击，使用SoftPerfectNetworkScanner、s5cmd和PowerShell等工具。建议受害者将未经请求的恢复信息发送给事件响应团队并保存证据。

本文系统阐述了企业AI应用安全落地的完整架构与实操路径。核心要点在于摒弃单一过滤或提示词依赖，将身份、数据、模型、检索与工具执行拆分至八个独立控制点，通过AI策略网关实施九阶段精细化请求管控。文章强调五类身份隔离与RAG七点权限控制，配套六道评测门禁和十类安全测试场景以固化发布质量。建议企业按90天路线图，优先建立四张台账与统一日志，逐步接入策略网关、工具代理与高价值告警，实现从防御到监控、事件响应的闭环安全运营体系。

该文档详细解析了2026年中国-东盟人工智能安全攻防大赛中两个赛题的漏洞利用过程。赛题一针对RAG系统，通过向知识库提交仅包含目标答案句的附录，成功实施检索劫持，使抽取式问答模型输出错误答案。赛题二针对AIAgent，利用记忆投毒和工具调用无鉴权的漏洞，通过两轮对话实现跨租户信息泄露。核心攻击手法包括检索劫持、记忆投毒和间接注入，强调了AI系统数据流中信任边界的重要性。

本文介绍AI办公工具MonkeyCode桌面端，主打本地运行保障数据安全。支持零代码操作，提供本地及云端等模式，本地模式确保文件不外传。实测表明其能有效处理数据核对与素材优化等重复工作。该工具开源并支持政企私有化部署，满足合规需求。建议处理敏感数据的用户采用本地模式或私有部署，兼顾提效与安全。

公安部网安局预告8月26日15时将播出新征程上的奋斗者公安先进典型代表中外记者见面会，活动旨在展示公安队伍先进典型事迹，弘扬奋斗精神。

本文记录了2026年山东省某市网络安全职业技能大赛CTF解题思路，涵盖逆向、密码与杂项。逆向题通过去除花指令并逆向MSVC伪随机算法求解；密码题利用已知前缀对重复密钥异或进行推导恢复明文；杂项题深入剖析WPA2-PSK四次握手中PMK、PTK与MIC的生成原理，并附带一套基于Scapy的通用WIFI握手爆破Python脚本，支持多版本加密，对流量分析实战具有较高参考价值。

思维世纪AI数据安全合规检查工具箱入选中国《AI+网信安全典型案例集》，该产品以AI大模型加知识库增强加本地规则兜底为核心，覆盖数据全生命周期合规核查，提供智能工具矩阵与多层权限控制，旨在解决法规标准多、人工效率低等痛点，推动数据安全合规从经验驱动转向智能驱动。

这篇由AI算法专家撰写的Codex入门教程，旨在帮助新手快速掌握CodexAgent工具。核心要点包括正确选择工作区（Local/Worktree/Cloud）、合理使用Plan、管理权限、利用Diff和终端等工具，以及区分Skills/Plugins/MCP等概念。可操作建议：从Local开始，先手动测试Automation，规则要短而准。主要结论：Codex能高效处理有边界的任务，但需用户主动验证结果。

该文档为网络安全岗位招聘信息，发布方为EnhancerSec，工作地点上海。招聘职位包括网络安全项目经理（20-25k）及中初级安全运营工程师（12-20k），要求持有PMP、CISP等证书，工作内容涉及安全运营、渗透测试、应急响应及红队演练等。建议符合条件的求职者积极联系。

本文系统梳理了行政事业单位全过程预算绩效管理流程，强调将绩效思维贯穿预算全生命周期，形成事前评估、事中监控、事后评价与结果应用的闭环。文章拆解了十大标准化实操步骤及四大核心阶段。建议单位落实花钱必问效理念，将评价结果与次年预算刚性挂钩并完善动态项目库，以实现财政资金精准投入与提质增效。

深信服桌面云新版本通过AI桌小服实现智能运维，可自动诊断处理高频故障并转接复杂问题，同时升级大规模部署能力，提供跨终端一致体验与统一认证管理，支撑大型组织稳定运行。该方案已在多家企业验证，能提升办公效率与数据安全。

Meta为WhatsApp上线多项安全更新，包括支持单账号绑定多个通行密钥，已有超10亿用户使用；两步验证从6位数字PIN升级为支持字母和特殊符号的完整密码；安卓端陌生来电增加归属地、通讯录状态等风险提示。建议用户开启通行密钥并升级两步验证密码以增强账号安全。

补天漏洞响应平台于2026年8月26日启动校园GROW计划报名，赛道全新升级，旨在培养AI时代网络安全守护者。活动包含文末福利，要求关注公众号并转发朋友圈参与抽奖。

中国信通院副院长魏亮发文阐述习近平主席在2026世界人工智能大会主旨讲话核心主张。文章强调携手构建公正合理的全球人工智能治理体系意义重大，从开放创新、可信可控、交流互鉴、共建共享四个维度提出中国方案，并介绍中国在安全监管、能力建设、多边合作等方面的实践行动与贡献。

本文针对量子与AI等技术变革带来的安全威胁，提出系统布局密码技术发展的七大方向：抗量子密码迁移、超高速与轻量化密码、智能密码防御、数据安全密码、密码赋能AI、工控系统密码防御及卫星互联网密码技术。建议从顶层规划构建敏捷迁移体系与主动自适应防护框架，筑牢网络空间安全基石。

该文深度分析新西兰2026年8月对俄第36轮制裁，指出其将网络黑客、宣传团体与基础设施提供商并列制裁，体现了五眼联盟对俄网络行动协调的成熟模式。文章核心研判是，这种归因外包、代理人追责及基础设施下沉打击的制裁逻辑，已具备平移到针对中国相关网络行为体的先例风险，并分析了法律架构与政治成本的趋同趋势。