ZONE.CI 全球网

本文记录了一次渗透测试实战，在企管系统发票管理处发现存储型XSS漏洞，输入普通JS载荷可直接执行。通过注册第二个测试账号验证存在IDOR漏洞，成功越权修改其他用户发票数据，实现XSS危害升级。案例展示了漏洞组合利用的扩散风险。

德国CISPA研究团队首次系统审计大模型影子API黑市，发现近半数接口存在模型造假问题。研究表明187篇顶会论文使用虚假API导致实验数据失真，影子API在推理能力上比官方暴跌40%、医疗法律领域准确率骤降47%，且安全护栏严重失效。研究提出LLMmap指纹识别、MET统计测试和元数据侦测三大利器进行鉴伪，并给出四步审计法和科研防伪声明两套解决方案。

AIVA品牌与火山引擎合作提出AI定义汽车理念，通过需求、架构、功能、学习四方面前置实现从智能汽车到AI汽车的转变。核心在于让AI作为底层基座参与车辆定义，实现从人适应车到车适应人的交互变革，使汽车成为能感知状态、主动服务的物理AI伙伴。首款概念车OriginConcept已亮相，量产车型ME7计划于2026年上市。

中央网信办通报30款App违规收集个人信息问题，CNNVD发布第23期漏洞周报披露1610个安全漏洞，微软修复211个安全漏洞含4个超危漏洞。OraclePeopleSoft遭零日漏洞攻击导致数据泄露，日本能源企业遗失存储设备影响1.09亿用户。安全报告显示九成负责人担忧AI代码风险，11国联合打击勒索病毒混币服务。

文档汇总了2026年6月12日科技领域多项重要动态，包括SpaceX以750亿美元创史上最大IPO、Meta开始剥离Manus业务、苹果确认开发触控屏MacBook、Google投入5000万美元培训技术工人，以及阿里巴巴钉钉管理层调整等关键企业事件。

理想汽车企业安全负责人熊海潇将于2026年6月25日分享智能体安全落地实践，重点解析AI如何重构SecOps底层逻辑。内容涵盖通过统一数据底座实现安全状态闭环、智能体在漏洞治理和入侵响应中的自动化编排，以及企业级治理中如何在效率释放与风险可控间建立信任机制，包括使用过程可见性、权限边界控制和能力来源可信等关键方案。

本文深度解析ClaudeCode的记忆机制设计，指出LLM本质无状态，传统方案（滑动窗口、对话摘要、向量检索、分层存储）存在信息丢失、检索不准、维护成本高等问题。ClaudeCode采用静态层（CLAUDE.md声明式指令）与动态层（自动学习偏好）的双层架构，通过Markdown文件实现长期记忆管理，支持跨会话持久化与类型化存储，相比向量数据库方案更直观可控。文章从源码层面剖析六层CLAUDE.md设计逻辑与自学习闭环，为Agent记忆系统提供可借鉴的工程实践原则。

该文档记录了针对某内网靶场的完整渗透测试过程，涉及环境搭建、指纹识别、弱口令利用、数据库操作、密码重置、后台getshell、绕过disable\\_functions及内网渗透初探。关键步骤包括通过MySQL弱口令获取数据库权限、利用Joomla后台模板编辑写入Webshell、使用蚁剑插件绕过函数限制执行系统命令。文档结尾附有安全培训广告及知识库推广内容。

本文系统总结商用密码应用安全性评估能力验证考试核心考点，重点解析SM4分组密码算法的七种工作模式特征、推断方法及安全风险（如CTR模式计数器重叠攻击、CBC模式PaddingOracle漏洞），详细说明SM3\\_HMAC正确实现方式与常见错误，强调密码算法在完整性保护中的规范应用。文档涵盖密码产品接口、密钥管理、量化评估等实操要点，为密码安全测评提供明确技术指导。

该文档为360SRC与看雪学苑联合主办的`智弈`AI智能体攻防实战沙龙招募公告，聚焦2026年AI安全前沿趋势。沙龙重点探讨AI智能体越权攻击、供应链安全、自动化漏洞挖掘等实战议题，要求投稿内容具备原创性、可复现性及数据支撑。活动设具体议题提交规范与截止时间，旨在构建AI安全实战技术交流平台。

近日，名为TheGentlemen的勒索软件组织引发全球关注，截至2026年4月已声称攻陷478个受害者。其恶意软件具备蠕虫式自我复制能力，支持–spread参数在内网传播，–wipe参数可擦除恢复痕迹。该组织由前勒索软件附属成员创立，采用90%高分成吸引攻击者，并要求提交1GB真实数据作为投名状。企业需及时修补漏洞、加强EDR能力并定期隔离备份以应对威胁。

伊朗法尔斯通讯社声明将马斯克旗下星链地面站列为军事打击目标，指控其在美国对伊军事行动中提供通信支持。文档分析星链从民用网络演变为军事工具的过程，包括为美军无人机提供指挥链路，并探讨国际法对双重用途基础设施的界定困境。伊朗此次行动延续了其将美国科技企业资产列为打击目标的策略，同时通过纳入阿联酋股东设施向海湾国家施压。

Langflow开源低代码平台存在高危路径遍历漏洞CVE-2026-5027（CVSS8.8），攻击者通过未认证请求即可实现任意文件写入和远程代码执行。公开暴露的7000余个实例中多数位于北美，攻击活动已确认在野利用。维护者已在Langflow1.9.0版本修复漏洞，建议用户立即更新至最新版本。

文档披露WinRAR漏洞CVE-2025-8088自2025年7月曝光后仍被黑客大规模利用，该路径遍历漏洞允许恶意载荷通过压缩包解压时自动写入系统启动项。受影响版本为7.12及以下，因缺乏自动更新机制导致大量用户未修补。建议立即检查WinRAR版本并手动更新至7.13以上以阻断攻击。

本文详细解析了UDS协议安全CTF挑战的完整解题过程，涵盖VIN码读取、多级安全访问机制（Level1-5）、内存dump等关键技术点。通过实际CAN总线通信示例展示了ISO-TP多帧传输、Seed-Key认证、会话控制等UDS核心机制，提供了从基础接口识别到高级内存取证的全流程实战经验。

韩国电商巨头Coupang因大规模数据泄露事件被处以6247亿韩元罚款，影响超3700万用户数据，占全国人口72.67%。监管机构指出泄露主因是安全管理体系不足而非复杂攻击，包括未妥善管理身份认证系统及未经授权收集用户活动记录。建议企业加强数据防护体系并严格遵循隐私法规。

甲骨文确认其PeopleSoft人力与薪资管理服务存在严重漏洞，该漏洞无需密码认证即可通过互联网被远程利用，已被ShinyHunters黑客组织用于攻击全球100多家机构（主要涉及美国高校）。漏洞导致数十万条学生敏感信息泄露，甲骨文建议客户立即采取缓解措施但尚未发布补丁。

美国国防部于2026年6月10日宣布启动网络精通激励薪酬计划，该计划是网络司令部2.0框架的重要组成部分，旨在通过技能激励薪酬和特殊职责津贴两个层次改革网络作战部队薪酬体系。计划将于2026年10月1日生效，通过将薪酬与认证技能掌握程度和艰巨职责直接挂钩，系统性地提升美军网络作战岗位专业技能，吸引、培养和保留网络领域人才。

本文档针对火绒安全企业版用户，详细说明了异常终端（红色状态）的定义、排查与处理方法。核心内容包括通过控制中心查看终端状态、本地重启设备、检查服务、使用专杀工具及联系技术支持等步骤，并提供了启用管理员密码保护、定期检查异常终端数量等预防建议，旨在帮助企业快速恢复终端安全状态。

安全研究员brutecat利用AI驱动的模糊测试流水线，在90天内通过大规模收集API密钥、逆向工程认证机制及集成ClaudeAI进行自动化渗透测试，发现谷歌1500个API中的系统性访问控制缺陷，包括账户接管、数据泄露等高危漏洞，累计获得50万美元赏金，凸显AI在攻防安全中的可扩展性。

该文档系统分析了智能体技术在金融领域应用面临的安全风险，涵盖技术攻击、模型能力和治理合规三大维度，并针对支付、投研、信贷等具体场景提出安全治理框架。文章指出智能体在提升金融服务效率的同时，其内生脆弱性可能引发系统性金融风险，建议通过权限收敛、意图保护、决策验证等六项措施构建纵深防御体系。

国家网信办指导重点网站平台制定《整治涉企侵权信息优化营商网络环境自律公约》，要求平台清理侵犯企业家个人权益信息、清除涉企虚假信息、加强榜单管理、优化算法推荐、杜绝涉企负面信息投流行为，从严管理非法牟利账号并取消其营利权限，加强账号处置力度以保护企业和企业家网络合法权益。

国家安全部发布警示称境外间谍情报机关正通过多种手段窃取我国海洋敏感数据，威胁国家安全。文档提醒相关单位和个人加强数据防护意识，采取有效措施防范数据泄露风险。

TeamPCP是一个自2025年下半年活跃的AI驱动供应链攻击组织，其攻击横跨npm、PyPI、DockerHub等10+分发渠道，通过窃取凭据劫持发布权限进行供应链投毒。该组织利用AnthropicClaude、GPT-4o等AI工具生成恶意代码，使武器迭代周期缩短至2-3周，并开源核心框架引发第三方变种扩散，首次实战击穿SLSABuildLevel3可信发布标准，对开源供应链安全构成严重威胁。

本文介绍了YakMCP架构演进，通过标准化协议实现AI与安全工具的深度集成。核心转变是从定制化黑盒交互到标准化总线模式，支持动态工具链发现和双向能力开放。Yakit可作为MCP客户端调用外部工具（如IDAPro逆向分析），也可作为服务端将网络测绘、漏洞扫描等安全能力开放给第三方AI。文档详细展示了实战案例和三种传输模式（Stdio/SSE/StreamableHTTP），为构建企业级AI安全工作流提供工程化解决方案。