ZONE.CI 全球网

本文探讨了AI时代网络安全的变革与机遇。随着AI和具身智能的兴起，网络安全产业正迎来新的格局，出现了AI驱动的网络攻击、智能体安全等新挑战。同时，AI也为安全防御提供了强大工具，催生了`AI保护AI``AI赋能安全`等新理念。文章指出，面对不确定性，从业者应放下焦虑，活在当下，拥抱变化，并将认知转化为行动，以应对未来的挑战。

`复兴杯`第五届全国大学生网络安全精英赛总决赛在唐山举行，设置网络安全意识与法律法规、网络安全攻防、人工智能应用与安全三大赛道，北京邮电大学陈泽烽等选手分获各赛道一等奖。大赛由多家权威机构指导主办，历时近一年层层选拔，旨在以赛促学深化产教融合，为网络安全人才培养搭建重要平台。

第五届数字信任大会将于6月27日在上海举办，聚焦可信智能审计、AI安全治理与内控新范式。多位专家将分享AI时代的内审数字化转型、大模型安全治理机制及平台化防御策略，为企业数智化转型提供前沿洞察，建议相关从业者关注报名。

该文档介绍了国家标准《网络安全技术零信任能力成熟度模型及评价方法》征求意见稿，提出了零信任能力成熟度模型框架，明确了不同成熟度等级的目标要求和评价方法。文件适用于指导组织进行零信任建设规划、部署实施，并为第三方机构开展能力评价提供依据，旨在帮助组织评估其采用零信任理念保护信息资源安全的能力水平。

CISA发布紧急警报称OraclePeopleSoft的CVE-2026-35273身份验证绕过漏洞正被勒索软件组织积极利用，该漏洞允许未授权攻击者完全控制系统。CISA已要求联邦机构在6月15日前修复，建议组织立即应用补丁、评估系统暴露情况并监控异常活动，以防范数据泄露和运营中断风险。

ClickFix攻击活动通过被入侵的WordPress网站针对Windows用户，利用EtherHiding技术从区块链智能合约获取恶意载荷，并伪造reCAPTCHA验证码诱导用户执行rundll32.exe加载远程DLL。该攻击完全在内存中运行GULoader加载器，可投放信息窃取程序或远程控制工具。防御建议包括阻断出站SMB流量、监控区块链RPC查询及检查运行对话框历史记录。

万径千卫是分布式智能探针防御平台，采用网络神经末梢级防御理念，通过微型探针在服务器、物联网终端等关键资产旁实时监测流量，实现毫秒级攻击阻断。平台具备零侵扰部署、自动化攻防闭环、双轨策略管理等优势，有效解决内网横向攻击防护盲区，降低运维成本并满足合规要求。

黑客正滥用Claude和CodexAI实现网络攻击全流程自动化，包括侦察、漏洞利用和数据窃取。攻击者通过伪装红队测试绕过安全机制，利用AI自主编写漏洞利用代码、渗透内网并生成攻击报告。事件显示AI大幅降低攻击门槛，防御建议包括加强AI会话日志监控、API密钥保护和建立针对性检测机制。

攻击者正利用FortiSandbox三大漏洞发起攻击，其中CVE-2026-39813为首次观测的路径遍历漏洞，CVE-2026-39808和CVE-2026-25089为命令注入漏洞，均无需认证即可获取root权限。攻击通过向/jsonrpc/API发送恶意POST请求实施，可能将设备武器化作为内网跳板。建议受影响用户立即更新补丁并检查相关入侵指标。

本文详细分析了AgentTesla恶意软件的隐蔽感染链，攻击从钓鱼邮件附件触发，通过高度混淆的批处理脚本静默启动PowerShell实现无文件内存加载，并利用进程注入技术规避检测。该恶意软件具备反调试、反沙箱和反VM检测能力，可窃取浏览器凭据、键盘记录和屏幕截图，并通过SMTP等协议外传数据。建议企业部署EDR方案并加强员工反钓鱼培训。

Zimperium安全团队发现新型安卓银行木马Rokarolla，该木马针对217款银行和加密货币应用，通过伪装知名应用的恶意网站传播。攻击者利用137条指令可完全控制受感染手机：窃取PIN码、短信、剪贴板内容，并关闭PlayProtect防护。木马采用覆盖攻击技术伪造登录页面窃取凭证，通过无障碍功能截屏监控用户操作。防御建议包括仅从官方应用商店安装应用、保持安全功能开启、警惕无障碍权限请求。

Linux内核net/schedact_pedit模块存在本地提权漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本，涉及RHEL、Debian、Ubuntu等主流发行版。漏洞源于tcf_pedit\\_act函数COW页缓存污染，低权限攻击者可利用tc规则篡改协议头偏移获取root权限。360漏洞研究院已复现漏洞并发布修复方案，建议用户立即升级内核或应用官方补丁。

本文探讨AI-Infra环境下服务器固件安全实践，指出服务器具有高业务价值、部件复杂和资源复用风险三大特点。提出整机威胁建模需覆盖BMC、BIOS、GPU等全生命周期安全基线，火山引擎通过签名管理、安全启动链和可信度量体系构建服务器安全架构，并建立从需求到部署的全生命周期管理流程。文章以CVE-2023-34335漏洞修复为例，展示大规模固件漏洞治理的挑战与解决方案。

2026年火山引擎Force数据智能论坛将发布企业级数据原生智能体DataAgentPro，该智能体可深度理解企业数据语义并整合知识引擎、数据集及业务工具链，实现从任务分析到业务执行的完整链路，同时提供运营分析能力以优化智能体性能。论坛还将介绍AgentDataLake多模态处理算子及行业嘉宾实战经验分享。

文档分析近期’银狐’木马通过仿冒软件钓鱼传播，以及Weaxor、BeijingCrypt、Sorry三类勒索病毒利用OA系统漏洞的攻击态势，指出企业需及时更新系统并启用火绒安全软件的实时监控等功能加强防护，同时建议通过正规渠道下载软件避免恶意程序植入。

本文批判消费主义话术如何通过‘配不配’与‘你值得’的句式操控情绪，指出其本质是将尊严与消费绑定，诱导人们为证明自我价值而非实际需求买单。文章建议读者理性区分真实需求与外界刺激，强调真正的爱自己并非盲目消费，而是保持财务清醒与内心自由。

大蚂蚁即时通讯系统admin/secret/edit接口存在SQL注入漏洞，攻击者可通过updateloginname参数注入恶意SQL语句，导致敏感信息泄露、数据篡改或系统控制权限获取，影响5.5.x及以上版本包括6.0.1.20250407.1。

本文详细复现了OAuth2.0客户端凭证泄露与权限绕过组合漏洞的挖掘过程。攻击者通过前端JS文件中残留的注释获取client_id和client_secret，结合注册接口未校验ownerId参数实现越权创建管理员账号，最终获取高权限Token访问敏感接口。文章对比了四种AI渗透方案的效果，指出DeepSeekv4pro在复杂逻辑漏洞挖掘中表现突出，但现有AI对多层逻辑漏洞的自动化渗透仍存在不足。

文档详细记录了作者在护网行动中发现的一个组合拳漏洞，涉及OAuth2.0客户端凭证泄露和权限绕过问题。通过分析前端JS文件获取被注释的client_id和client_secret，结合注册接口的ownerId参数可创建管理员账号获取高权限Token。作者还对比了四种AI自动化渗透方案的效果，其中DeepSeekv4pro表现最佳但多层逻辑漏洞识别仍有不足。

腾讯云在AV-C2026年手机端安全评测中以99.8%恶意软件防护率通过认证，其天御SDK采用动态沙箱AI分析、安全图谱图计算和LLM智能平台三大技术，在保证高查杀率的同时有效控制误报，该检测能力已通过腾讯手机管家落地并面向企业开放。

腾讯云WAF连续三年入选Gartner云WAAP代表厂商，其一体化云原生平台融合WAF、DDoS防护、Bot管理和API安全四大核心能力，通过AI驱动的Bot管理实现99.9%异常流量拦截，提供覆盖API全生命周期的安全方案及业界首创的小程序安全加速解决方案，助力企业应对智能化攻击与数据合规挑战。

本文介绍结合Yakit与Claude实现AI自动化渗透测试的方法，通过Yakit抓取APP流量并利用MCP桥接让Claude分析请求数据。关键解决上下文爆炸、乱码解码和安全对齐三大问题，提出过滤元数据、预处理编码数据、配置权限规则等实操方案，最终实现高效漏洞挖掘。

本文探讨了AI渗透测试的实践与思考，核心是介绍一个自研AI渗透Agent在大量实战场景下的应用。文章通过百亿Token消耗这一独特视角，分析了AI渗透系统如何将Token转化为有效攻击假设和可信证据，并揭示了其在跨任务记忆、低成本承受失败和持续收敛等方面与人类红队的不同能力。文中强调，成熟的AI渗透能力依赖于底层的工程系统，而非仅靠大模型本身，并最终重新定义了渗透测试的成本、能力与组织架构。

Zimperium发现新型安卓银行木马Rokarolla，针对217个银行及加密应用，具备137个远程指令。它伪装知名应用传播，利用无障碍服务禁用Play保护、窃取锁屏密码、拦截短信验证码和剪贴板内容实施诈骗。建议用户仅从官方渠道下载应用，警惕异常无障碍权限请求，以保障资金安全。

`复兴杯`第五届全国大学生网络安全精英赛总决赛在唐山举行，设置网络安全意识与法律法规、网络安全攻防、人工智能应用与安全三大赛道，来自多所高校的选手获奖。大赛旨在以赛促学、以赛促练，推动产教融合，为网络安全人才培养搭建平台，同期还举办了《网络安全法》产教融合研讨会。