ZONE.CI 全球网

点星是一套端到端AI自动化代码安全审计系统，能够通过语义级理解自主挖掘传统工具难以发现的深层漏洞（如零权限RCE），并完成从发现到验证的全流程。系统采用漏洞猎人挑战赛机制，通过公开漏洞哈希表和奖金悬赏接受社区检验，但出于安全考量暂不公开技术实现细节。

公安部网安局公布5起打击银狐木马病毒典型案例，揭示该病毒通过钓鱼邮件、漏洞利用等方式传播，危害企业数据安全。案例显示银狐木马会窃取敏感信息、加密文件勒索，警方已抓获多名嫌疑人并查封涉案资产。建议企业安装杀毒软件、定期更新系统、加强员工安全意识培训，发现中毒立即断网并报警。

本文详细介绍了如何利用AI辅助工具优化漏洞报告撰写，通过四维提升法（攻击链具象化、业务影响量化、攻击链串联、修复方案具体化）和六套实战话术模板，将中低危漏洞报告提升至高危/严重级别，从而提高SRC漏洞赏金通过率和金额。文章强调真实漏洞场景结合AI润色，并给出三条黄金法则确保报告合规性。

文档报道了工信部部长李乐成在杭州调研新兴产业和未来产业的情况。他强调要深入学习贯彻习近平总书记指示精神，推动科技与产业创新融合，加快现代化产业体系建设。调研涉及算力中心、脑机接口、智能眼镜等关键技术，提出要加强产学研融合、应用牵引和安全管理，培育科技型企业，并做好防汛应急通信保障工作。

本文介绍pscan作为红队内网渗透工具，基于fscan二次开发实现免杀绕过，通过参数混淆、模块重命名等技术规避检测。工具集成内网存活探测、端口扫描、弱口令爆破、POC漏洞检测和后渗透利用功能，提供WebUI管理和多种扫描模式，支持凭据复用、哈希传递等高级攻击手法。

本文针对点击劫持攻击提出服务器端防御方案，指出前端框架破解脚本易被绕过，推荐采用X-Frame-Options和CSP双重防护机制。详细解析了X-Frame-Options的deny、sameorigin、allow-from三种模式及兼容性局限，重点介绍CSP的frame-ancestors指令实现更灵活的嵌套控制，并提供禁止嵌套、同源嵌套、指定域名白名单等实战配置示例。强调应将CSP作为主流防御方案，并结合X-Frame-Options形成多层防护体系。

格尔软件股东上海云鑫拟于2026年7月8日至10月7日通过大宗交易与集中竞价方式减持不超过公司总股本3%的股份，若全部完成持股比例将降至6.51%左右，预计套现约1.14亿元。公司2025年营收同比下滑31.80%，归母净利润亏损0.60亿至0.90亿元，主要因下游客户信息安全预算收紧及投资收益减少。格尔软件作为国内PKI领域头部企业，目前面临业绩压力与股东持续减持的双重挑战。

本文详细解析熵密杯CTF竞赛中公钥密码赛道的协同签名技术，重点介绍基于SM2算法的两方协同签名专利方案。文章涵盖技术定义、密钥分片机制、交互流程、安全特性，并系统分析竞赛中常见的四类漏洞（随机数复用、分片泄露、中间点篡改、公式简化）及对应攻击手法。最后提供专项备赛路线，包括ECC基础巩固、交互协议记忆、方程组求解训练和真题复盘。

文档披露天地伟业Easy7系统的queryDataByTypeEx接口存在SQL注入漏洞，提供了漏洞描述、影响版本及FOFA查询语句，包含漏洞复现步骤和POC获取渠道（需加入付费知识星球），最后给出打补丁的整改建议。

国家网信办、工信部、公安部联合印发《实施网络安全标识的产品目录(第一批)》及消费类网联摄像头实施规则，明确消费类网联摄像头网络安全标识采用自愿备案原则，标识包含生产者、型号、能力等级(基础级至领先级对应一至三星)、有效期(3年)及备案信息码等要素，并详细规定了检测依据、备案流程、违规处罚及标识使用规范。

AztecConnectRollupProcessor合约因EscapeHatch机制存在信任边界缺陷和zkSNARK电路缺失等式约束门，导致攻击者绕过权限检查提交伪造证明，盗取1158ETH等资产约222万美元。根本原因是Solidity层未独立校验资金归属与提款额度，且电路允许内部见证与公共输入不一致。建议在智能合约层增加业务逻辑校验并在电路设计时严格约束数据一致性。

2026年6月18日渝融云安全科技吉安公司正式入驻吉安市行政中心大楼，标志着公司深耕区域市场、贴近政务客户的重要进展。文档指出公司将通过缩短服务距离实现网络安全零时差响应，依托企安保等核心产品为当地数字化建设提供安全支撑，并承诺以更高标准担当政企安全伙伴角色。

本文基于对美国50家AI公司的研究，提出安全行业正从`卖工具`转向`卖AI数字员工`的核心趋势。关键发现包括：客户更愿为解决问题而非展示风险付费；大模型平台将吞噬浅层安全能力；创业公司机会在于深度执行层如调查闭环、漏洞修复。可操作建议涉及中国市场应优先聚焦合规、运营缺人等场景，避免直接复制美国模式。

伯克利上线AI漏洞发现排行榜AgenticVulnerabilityCoverageMap，每日更新收录AI发现的CVE漏洞。国内玄武实验室在平均严重程度排名第一，该榜单从漏洞类型覆盖维度评估AI能力，推动行业从Demo展示转向实际成果验证。但统计仅限公开CVE数据，未包含CNVD报送等非公开漏洞，需理性参考排名。

该文档是Windows端Codex智能助手的详细配置指南，涵盖微软商店替代安装方法、API密钥配置、插件解锁技巧及常见应用场景。重点介绍了通过CodexPlusPlus工具恢复API模式完整功能，并演示了画图修正、计划模式编程、科研文档生成和自动化任务设置等实用功能，提供可操作的具体步骤和问题解决方案。

《网络数据安全风险评估办法》由国家网信办、工信部、公安部联合发布，自2026年8月20日起施行。办法要求重要数据处理者每年开展风险评估，一般数据处理者至少每3年一次，明确评估机构资质要求、报告编制规范及报送流程。规定监管部门可对违规行为责令整改，并建立风险信息共享机制。文档后附天唯科技企业服务介绍。

《网络数据安全风险评估办法》由国家网信办、工信部、公安部联合发布，自2026年8月20日起实施。办法要求重要数据处理者每年开展风险评估，一般数据处理者至少每3年一次。明确评估机制、机构认证、报告报送及监管要求，旨在完善数据安全管理体系，保障数据开发利用安全。

该通知发布针对消费类网联摄像头的网络安全标识规则。涉及基于安全能力的三个等级，详述了标识样式、检测标准及3年有效期的备案流程。它要求生产者自愿申请标识，三星级需第三方渗透测试，以提升产品安全合规与市场信任。

Gitea容器镜像仓库存在未授权访问漏洞CVE-2026-27771，影响1.26.2之前版本。攻击者可通过registrytoken接口获取私有镜像信息导致源码、密钥等敏感数据泄露。厂商已发布补丁，建议立即升级至1.26.2版本并轮换已泄露凭证。

该文档系统分析了登录模块存在的18种逻辑漏洞利用方法，包括弱口令爆破、验证码绕过、Session固定攻击、OAuth第三方登录漏洞等。文章针对每种漏洞提供了具体的测试手法与修复建议，强调登录模块作为系统第一道防线的关键性，并指出逻辑漏洞挖掘需要独立思考能力。文档同时声明仅限于学术研究用途。

VueCrack是一款基于ManifestV3的Chromium扩展工具，专为红队场景设计，用于审计Vue.js应用的前端路由和验证访问控制。该工具通过运行时接管VueRouter，自动检测框架、提取完整路由结构、劫持路由守卫与跳转API，并支持梭哈模式以兼容动态加载场景。核心功能包括路由守卫失效处理、Meta字段改写及反检测机制，帮助快速定位前端鉴权漏洞。

CipherBridge是一款面向APP/Web加解密逆向分析与渗透测试的可视化框架，基于mitmproxy实现流量代理层的自动化加解密拦截、Hook注入、AI辅助分析及BurpSuite联动。支持AES、SM4、RSA等国密与国际算法，提供可视化插件构建器和代码生成器，可显著简化移动端与Web端加密通信的逆向流程，适用于安全工程师进行高效渗透测试。

报告指出2026年中国白酒市场处于深度调整期，行业营收利润走弱且分化加剧，头部名酒韧性较强而中小酒企面临压力。核心变化包括政策转向鼓励、消费理性化、95后及女性成为新消费主力、渠道全域融合等。发展路径建议摒弃低价内卷，转向价值深耕与海外市场拓展。

研究显示AI已能自主完成网络钓鱼攻击全流程，OpenAI的OperatorAgent仅需少量干预即可实现目标信息收集、恶意脚本编写和钓鱼邮件发送。微软2025年数字防御报告指出，AI生成的钓鱼邮件点击率高达54%，较传统邮件提升4.5倍，且攻击成本降低超90%，基于规则的拦截效率下降超50%。文档建议企业通过常态化反钓鱼训练（如deepphish平台）提升员工安全意识，以应对AI驱动的钓鱼威胁。

山东省社会组织总会与大数据协会在鼎夏智能举办AI转型专题交流，指出社会组织面临人少事多、数据分散等痛点，需构建组织级AI能力。鼎夏智能提出FDE陪跑式服务模式，通过业务专家与技术团队联合进驻，以敏捷开发解决工具碎片化、工程化能力弱等问题，已在招标管理智能体等项目验证。会议达成建立协同推进体系、启动AI赋能培育计划、建立常态化协作机制三项共识。