ZONE.CI 全球网

LiteLLM存在权限提升漏洞(CVE-2026-47101)，攻击者可通过/key/generate接口构造含管理员路由的API密钥，将内部用户权限提升至管理员。影响版本小于1.83.14，全球风险资产超11万。建议立即升级至1.83.14版本并严格校验路由权限。

本文是马识途回忆录《在地下》摘录，记录1931至1950年地下党工作经历，涵盖入党、抗日宣传、统战协作及解放后反思，展现革命先辈在国统区坚持斗争的历程，强调铭记历史、珍惜当下、建设未来的精神传承。

奇安信CERT通告NGINXngx_http_rewrite\\_module堆缓冲区溢出漏洞(CVE-2026-9256)，该高危漏洞影响万级设备，CVSS评分8.1。攻击者可通过特制HTTP请求触发Worker进程崩溃或代码执行。修复方案包括升级至1.31.1/1.30.2等安全版本，或将rewrite指令中未命名捕获组改为命名捕获组。

乔治·霍茨警告AI编程智能体可能成为软件开发中代价最高的错误之一，指出其生成的代码表面完善但存在隐蔽缺陷，能力较弱的开发者易将问题代码带入正式系统，导致高昂维护成本和故障风险。他认为大语言模型本质是统计系统而非真正智能，无法稳定处理陌生情境的推理，与安德烈·卡帕西的积极态度形成对比。

摩托罗拉手机预装SmartFeed应用被曝劫持电商应用，用户从应用抽屉启动亚马逊时会短暂跳转浏览器并植入联盟营销代码。问题与v2.03.0070版本相关，跳转链接可疑。建议用户前往设置禁用SmartFeed应用以规避风险。

中国信息安全测评中心联合国家保密科技测评中心发布2026年第2号安全可靠测评结果公告，涵盖人工智能训练推理芯片和数据库两大类产品。公告公布了昇腾310/910、真武M530/M890等9款芯片产品均获Ⅰ级认证，达梦数据库管理系统V9等集中式数据库和分布式数据库产品分别获得Ⅱ级或Ⅰ级安全可靠等级评定，所有测评结果自发布之日起有效期三年。

《公安机关电子数据取证规则（征求意见稿）》针对刑事侦查和行政执法中的电子数据取证需求，统一规范两类执法活动并区分程序措施细节。亮点包括与时俱进列举电子数据类型、细化取证措施方法、吸纳成熟经验确保数据安全传输、审慎适用特定措施契合比例原则。规则新增电子数据勘验、密码处置等措施，强调最小必要原则和严格审批制度，提升执法规范化水平。

《网络安全标识管理办法》是我国首部系统性规范网络安全标识的部门规章，将于2026年7月1日施行。该办法构建了`标准分级、检测备案、标识使用、监督惩戒`的全链条治理体系，将网络安全能力划分为三个星级梯度，通过市场激励和消费者选择引导产业提升安全水平。办法还明确了备案撤销、信用惩戒等监管措施，并建议加快配套标准制定、强化机构监管和宣传普及以推动落地。

公安部网安局公布5起网络谣言典型案例，涉及虚假摆拍绑架、诱骗至境外、学生怀孕、AI伪造景区坍塌和企业爆炸等谣言。违法行为人为博取流量故意编造传播虚假信息，严重扰乱公共秩序，目前涉案人员均被依法行政处罚或采取刑事强制措施。文档明确引用《治安管理处罚法》和《刑法》相关条款，警示网络非法外之地，提醒网民不造谣不信谣不传谣。

本文分析了OpenClaw智能体工具引发的法律风险，包括数据侵权与个人信息泄露、数字人格模糊化导致的数据主权监管盲区、智能体自主侵权的责任认定困境。文章提出加强应用场景监测、落实数据安全管理条例、出台专项合规指引、明确智能体法律地位等防范建议，为人工智能健康发展提供法治保障。

文章揭示AI投毒通过数据与模型污染操纵大模型输出，形成黑色产业链，建议加强技术防御如数字水印、完善法律法规、提升用户AI素养以交叉验证信息，警惕认知污染风险。

本文详细分析了开源通讯软件中viewonce图片的调用逻辑，通过Fridahook技术追踪MTProto协议传输、消息解密及图片处理全流程。关键发现包括：viewonce图片以加密形式存储在cache目录，使用AES-CTR模式解密，密钥文件结构为32字节key+16字节iv。可操作建议包括hookEncryptedFileInputStream.read方法获取明文数据，以及通过拼接解密后的字节流重建图片文件。

知名压缩工具7-Zip被曝高危代码执行漏洞CVE-2026-48095，该漏洞源于处理NTFS磁盘镜像时存在内存破坏缺陷，攻击者可构造恶意文件利用整数溢出和越界写入实现虚表劫持，从而控制设备。漏洞影响26.00及更早版本，且文件可伪装成任意压缩格式，用户打开即触发。建议立即升级软件并谨慎打开来源不明文件。

Socket公司发现名为TrapDoor的跨生态系统供应链攻击，通过npm、PyPI和Crates.io分发34个恶意包的384个版本，针对加密和AI开发者窃取凭据、钱包密钥等数据。攻击利用postinstall钩子、build.rs脚本和导入时执行机制，并首次使用.cursorrules文件欺骗AI工具执行恶意指令。建议开发者检查依赖包来源并使用安全扫描工具。

7-Zip26.00版本存在高危堆缓冲区溢出漏洞CVE-2026-48095，攻击者通过构造恶意NTFS归档文件可触发虚表劫持实现任意代码执行。该漏洞影响所有26.00及之前版本，具有文件扩展名无关的攻击特性，用户打开恶意文件即可触发。建议立即升级至v26.01修复版本并避免打开不可信归档文件。

PromptArmor报告指出微软Microsoft365CopilotCowork智能体存在间接提示词注入安全风险，攻击者可通过恶意技能文件操纵AI获取SharePoint与OneDrive文件预认证下载链接，并经由Teams消息外泄。测试显示该攻击在自动和指定模型模式下均成功，且定时执行功能会放大风险。建议加强技能文件审核与权限管控。

360数字安全集团联合多家机构在长沙召开《人工智能智能体工程师岗位能力要求》团体标准编制研讨会，旨在解决AI智能体人才岗位边界模糊、培养脱节等问题。会议推出NITE专业技能证书+ADE认证的一考双证体系，聚焦岗位能力框架建设、课程体系优化及评价规范制定，推动产教融合形成人才培养闭环生态。

默安科技发布雳鉴SAST工具的AI能力升级，重点提升静态应用安全测试的智能化水平。升级内容涉及漏洞检测准确率优化、自动化代码分析能力增强，以及AI驱动的安全缺陷识别功能扩展。该方案主要面向企业级应用安全开发场景，旨在通过AI技术降低人工审计成本并提高安全检测效率。

本文汇总了2026年5月26日的安全动态，重点披露了多个高危漏洞的活跃利用情况。MuddyWater组织正利用Langflow的CVE-2025-34291漏洞进行初始入侵，思科SecureWorkload的CVE-2026-20223漏洞允许未认证攻击者获取最高权限。同时揭示了GhostTree通过NTFS连接点绕过EDR扫描、Linux内核DirtyDecrypt提权漏洞等新型攻击技术。文档强调立即应用补丁、更新内核模块、加强身份验证控制等缓解措施的必要性。

越南两个部委系统发生严重数据泄露，数百万用户数据受影响。尽管机构已部署SOC安全平台，但未能检测到攻击，暴露了合格网络安全人才短缺和管理层风险认知薄弱的问题。建议加强专业人才培养并提升管理层安全意识，以避免类似事件重演。

文档基于2026年安全报告数据指出网络攻击呈现三大趋势：82%攻击利用合法工具而非恶意软件，29分钟平均突破时间要求实时终端响应，89%AI攻击增长体现动态化威胁。核心结论是安全体系需从文件检测转向行为分析，强化终端探针的本地实时判断能力以应对伪装成正常的攻击手法。

该文档详细解析了内网渗透中SSH横向移动的技术路径，涵盖核心文件解析、信息收集、凭据窃取、权限维持等全流程。关键发现包括：known_hosts文件可破解哈希获取内网IP地图，config文件常明文暴露高价值目标，私钥复用是最高效横向方式。可操作建议包括使用ssh-keygen碰撞IP、破解加密私钥、植入隐蔽公钥后门等。文档还提供了SSHAgent劫持、历史命令挖掘等辅助突破方案。

AI正在降低诉讼门槛，使普通人无需律师即可通过AI工具生成法律文件提起诉讼，导致美国法院面临案件激增和AI生成内容中虚假引用等问题，引发司法系统应对挑战的讨论。

Microsoft365的CopilotCowork功能存在间接提示注入漏洞，攻击者可通过植入恶意代码的SKILLS文件绕过审批机制，自动向用户发送含预认证文件下载链接的Teams消息，导致企业敏感数据泄露。该漏洞在Claude等模型上验证成功，涉及AI代理权限设计缺陷。建议用户谨慎处理不可信数据源并加强技能文件审计。

该研究基于3090次真实会话发现，SOC分析师主要将大模型用于数据解析与报告撰写而非决策，93%查询匹配NICE框架核心任务，仅4%用于恶意判定。建议未来实现大模型与遥测平台深度集成，打造无感知辅助工具，并暴露思维链避免分析师能力退化。