ZONE.CI 全球网

思维世纪发布大模型安全测评系统，该系统为企业级大模型安全检测产品，覆盖文本问答、多模态内容、模型行为及基础设施全链路安全测试。核心能力包括问答安全检测（如提示词注入、越狱攻击）、多模态安全检测（图片、音频、视频）、基础设施漏洞扫描及合规报告生成，旨在通过自动化测试与LLM评估提升检测效率，满足企业合规与业务安全需求。

本文系统介绍了AUTOSAR架构下的汽车OTA升级技术，涵盖FOTA/SOTA分类、云端-终端架构及ECU层面的Bootloader实现方案。详细解析了五种Bootloader升级设计方法（如SB更新CB、RAM+Flash等）和四种OTA升级类型（全量、差分、原地、AB面），重点探讨了内存管理、安全验证等关键技术要点。

本文详细介绍了ECU在线刷写的两种主要方式：通过OBD接口的Bootloader刷写和OTA无线升级。重点解析了Bootloader的层次结构（Primary/Secondary）、FlashDriver在RAM中的安全执行机制，以及完整的刷写流程三个阶段：预编程准备（安全解锁、关闭DTC）、主流程（下载FlashDriver、擦除Flash、下载APP）和完成后处理。文档强调了主机厂对刷写流程的标准化要求及安全设计考量。

奇瑞汽车成为国内首批通过AUTOSQS汽车软件（含AI）质量安全管理体系认证的整车企业，该标准是2024年实施的全球首个汽车软件质量安全融合标准。奇瑞在智能驾驶等核心模块建立AI模型训练与风险管控体系，为行业规模化推广积累经验，将提升中国品牌全球技术话语权。

该文档宣布2026年亚太绿色船舶与能效管理峰会将于7月8-9日在上海举办，聚焦船舶绿色低碳转型。核心内容包括甲醇/乙醇等替代燃料技术、能效管理、智能船舶网络安全等议题，旨在推动政策到实际部署的转化。会议面向造船企业、船级社、设备供应商等产业链决策者，提供技术交流与商务对接平台。

本文介绍database\\_scan工具，该工具用于自动化扫描数据库中的敏感信息，支持MySQL、PostgreSQL等多种数据库类型，提供字段名和内容检索模式，可输出表格或Excel结果，适用于内网渗透测试中的敏感数据提取。

上周国内外网络安全领域动态频繁。国内方面，《公安机关电子数据取证规则》等多项政策法规及行业标准发布；同时，`银狐`木马大规模感染、`网络开盒`泄露公民信息等安全事件敲响警钟，工信部也通报了31款侵害用户权益的APP。国际上，微软推出AI漏洞搜寻系统MDASH，美国陆军测试下一代战场网络NGC2，NIST推进后量子签名算法标准化，太空数据中心安全风险也引发关注。

该文档由蚁景网络安全发布，标题提及一键接管目标机器获取权限，但具体技术内容被图片遮挡无法获取。文档可能涉及系统入侵相关技术，但缺乏可验证的实质性技术细节或操作说明。

《智能体规范应用与创新发展实施意见》系统部署了智能体治理架构、应用场景和产业生态，明确了智能体技术边界并构建四层安全防护体系。文件提出分类分级治理机制，覆盖科学研究、产业发展等五大应用场景，通过开源创新、产业协作等维度推进生态建设，为智能体有序发展提供制度保障。

观安信息提出全栈式AI智能体安全体系，以安全态势运营智能体为核心，整合大模型防护、数据治理和主动防御能力，解决传统安全运营中告警疲劳、分析效率低等痛点。该体系具备自动值守、智能研判、威胁狩猎等核心功能，推动安全运营从人工驱动转向智能体主导的新范式。

本周网络安全资讯涵盖政策法规、安全事件与技术动态三大领域。政策方面，国家数据局召开数据基础设施建设现场会并发布多项工作要点，全国网安标委推出AI伦理安全指引。安全事件包括GitHub因员工设备感染导致4000个私有仓库被窃取，ClaudeMythosPreview首月发现超万0Day漏洞。威胁预警涉及银狐木马通过高仿真钓鱼网站传播，31款App因违规收集个人信息被通报。技术动态包括等保测评流程优化研究和Cloudflare裁员20%转向AI安全战略。

工业和信息化部深入开展树立和践行正确政绩观学习教育督导工作，通过建立部领导重点联系指导、督导组驻点督导、工作专班日常指导督导的三位一体督导体系，压实各级党组织责任。部党组成员以上率下，分赴多家直属单位调研指导，强调深化理论学习、深入检视问题、狠抓整改落实，要求将学习教育成果转化为推动事业高质量发展的实效，切实服务国家战略。

OWASPMCPTop102025中文版发布，概述了模型上下文协议（MCP）框架在AI系统中的关键安全风险，包括模型错误绑定、上下文欺骗、提示状态操纵等十大漏洞类型。该报告为AI开发者和安全人员提供安全设计、实施和审计的具体建议，帮助构建情境感知和抗攻击的AI系统，并随技术发展持续更新。

灰度安全创始人曹静深耕网络安全行业近20年，于2021年创立实战化安全运营企业。公司核心产品’先知·智能风险评估系统’通过模拟攻击手段检验企业安全防御体系，精准排查防护盲区并提供整改方案。2026年获千万元级融资，将重点推进产品AI智能化升级与人才储备。曹静强调创业者需具备持续学习能力与专注态度。

本文介绍CISSP认证作为网络安全领域黄金标准的价值，强调其全球认可度和在中国多省市政策支持。文章提供2026年6月和8月的英文培训课程安排及考试保障措施，包括180天有效期和免费补考机会。

中国互联网协会近期发布《安全应急大模型》等10项团体标准，同时全国网络安全标委会推出10项国家标准，完善行业规范体系。安全情报显示AI安全工具持续优化，可提升风险发现效率；网络攻击呈现隐蔽化趋势，需强化内网管控；家庭路由器、开源供应链及企业数据平台存在安全风险。漏洞预警涉及操作系统、Web服务器、终端防护等组件的安全更新，建议及时加固。

华立科技因服务器配置不当导致1890万条用户数据在公网暴露，涉及微信UnionID、手机号、游戏行为及位置信息。泄露数据可能被用于精准诈骗与社会工程学攻击，目前服务器已下线。建议企业加强数据存储安全措施，用户需警惕钓鱼风险。

美国特朗普政府拟推出《促进先进人工智能创新与安全》行政命令，建立以自愿合作为核心的前沿AI安全框架。草案提出30-60日内实施多项措施：包括制定涉密基准测试流程界定`受覆盖前沿模型`、建立AI网络安全信息交换中心协调漏洞管理、强化联邦系统网络防御，并明确拒绝强制审批机制以平衡创新与安全。

威胁行为者声称出售3.4亿条OnlyFans用户记录，但调查发现数据实为整合Twitter等平台历史泄露与公开信息拼凑而成，并非直接入侵所得。样本数据显示不完整记录与占位值，支付卡信息真实性存疑，但关联隐私仍可能引发钓鱼、勒索等安全风险。事件反映地下产业通过旧数据构建可检索身份数据库的趋势。

国家网络与信息安全信息通报中心通报npm遭供应链投毒攻击，攻击者通过篡改维护者账户投放300余个恶意包，窃取GitHubToken、云密钥等敏感信息并具备蠕虫式传播能力。影响echarts-for-react、@antv系列等热门开源项目。处置建议包括隔离设备、排查依赖文件、清理残留痕迹、更换敏感凭证及提升依赖安装安全意识。

TrapDoor供应链攻击活动通过npm、PyPI和Crates.io平台部署34个恶意包，伪装成开发工具针对加密和AI领域开发者。攻击窃取SSH密钥、加密货币钱包及AWS凭证，并利用GitHub提交恶意配置针对AI编码助手。恶意载荷建立systemd服务等持久化机制，中位检测时间仅5分27秒。

谷歌公开了Chromium浏览器中一个存在42个月未修复的高危漏洞的PoC利用代码，该漏洞位于BrowserFetchAPI，攻击者可通过恶意网页创建永不终止的后台任务，将用户浏览器变为僵尸网络节点。漏洞允许建立隐蔽C2通信通道，即使关闭浏览器也可能持续存在，潜在危害包括DDoS攻击、流量代理和用户行为监控。目前受影响浏览器包括Chrome、Edge等基于Chromium的产品，建议通过禁用ServiceWorker或部署浏览器隔离技术进行缓解。

盛邦安全RayWAF成功中标招商局集团2026年WEB应用防火墙集中采购项目，将为集团提供全周期安全服务。产品具备全栈国产化适配、高性能防护、多维Web安全防护和灵活部署等核心优势，满足央企高标准合规要求。该公司拥有15年应用安全经验，服务3000多家客户，具有国家级资质。

WantToCry勒索软件通过扫描暴露的SMB服务端口并进行暴力破解，实现无需本地恶意代码执行的远程加密攻击。Sophos研究发现攻击者利用认证后的SMB会话直接读取文件、在本地加密后回传覆盖原数据，从而绕过传统终端防护检测。该攻击主要针对单一暴露设备，赎金金额固定为600美元，建议企业加强SMB服务安全配置与网络隔离。

CNVD漏洞周报2026年第20期显示，上周信息安全漏洞威胁整体评价为中，共收录632个漏洞，其中高危285个、中危289个、低危58个。本周收录的漏洞中有83%为0day漏洞，并通报了多起涉及重要行业单位的漏洞事件。漏洞主要集中在WEB应用（282个）和应用程序（195个），同时披露了Google、Microsoft、Mozilla、Adobe等多家厂商产品的多个高危安全漏洞，并提醒用户及时下载补丁更新。