ZONE.CI 全球网

TongWebEJBScan-Burp是一款针对东方通TongWeb服务器EJB反序列化漏洞的BurpSuite被动扫描插件。它通过流量驱动自动探测Host并验证漏洞，采用多策略回显判定降低误报，适合攻防演练与SRC挖掘中批量梳理资产暴露面。工具基于MontoyaAPI开发，以单个JAR文件分发，安装使用简便。

360发布AI漏洞挖掘智能体图龙锋，将于7月20日开放试用。该系统基于多智能体协同架构，结合攻击面分析与语义推理，通过沙箱验证闭环直接输出可复现的漏洞结论。其核心场景涵盖开源供应链审计、研发安全集成、上线前检测及应急响应，已实战挖掘超四千漏洞，企业用户可即刻扫码预约。

国家发改委第41号令于2026年7月1日实施，将电力监控系统网络安全防护缺失定性为重大隐患，对存量厂站提出零扰动改造要求。文章指出三条一票否决红线：横向隔离、纵向加密缺失及非法直连。雷盾信安提出五无轻量化部署、加密流量行为透视和全链路闭环溯源三大技术，旨在解决加密盲区和存量改造难题，助力企业合规。

等保测评逻辑从应试拿证转向风险导向。2025年公安部公网安1001号与1846号文件及2025版报告模板推动根本性变革：取消百分制，采用符合/基本符合/不符合三级判定，存在重大风险隐患直接降级；强制常态化闭环运维，要求三级四级系统每年编制保护方案并形成隐患整改闭环；升级数据合规核查，备案须提交数据摸底表，2026年四项GA/T标准将数据分类分级与加密存储等列为核心项。企业合规思路需从一次性整改转向常态化风险管控。

等保整改是等级保护关键环节，需通过差距分析、技术防护、管理体系及持续运营实现合规。核心在于技术与管理并重，避免仅采购设备。建议优先整改高风险项，建立常态化安全运营机制。

AutoCVE是一款自动化CVE挖掘工具，实现从项目筛选、仓库导入、审计任务创建、Agent漏洞挖掘到CVE申报报告生成的全流程自动化。它采用Multi-Agent协同审计架构，通过Orchestrator调度多个Agent完成信息收集、工具扫描、误报过滤、漏洞深挖与动态验证。用户可通过Docker快速部署，并参考使用手册操作。该工具旨在提升安全研究人员挖掘CVE的效率，但需注意合法使用。

2026中国互联网大会将于7月在北京启幕，其中智能体安全发展论坛由中国电信安全主办，聚焦智能体安全议题。该论坛作为大会重要组成部分，旨在探讨智能体安全领域的前沿发展与解决方案，推动行业安全建设。活动预告显示论坛即将举办，但未提供具体议程或深度内容。

HawkTrace披露Exchange高危SSRF漏洞CVE-2026-45504，CVSS评分8.8。漏洞因组件对WOPI端点URL缺乏协议验证，低权限用户可借恶意附件利用片段符绕过限制，将SSRF转化为任意文件读取。建议企业尽快应用微软补丁，限制服务器出站请求并严格校验URL协议，防范数据泄露。

黑客利用伪造API文档通过SEO投毒、JSON-LD滥用和CSS隐藏技术实施间接提示注入攻击，诱骗AI代理自动向攻击者控制的加密钱包支付小额费用。ThreatLabz发现两个攻击活动，部分大模型如Llama3.370BInstruct执行了支付。防御需加强内容来源验证、结构化字段审查及交易人工确认。

2026年6月发生了多起重大安全事件，其中最引人注目的三起并非源于单一漏洞，而是由于安全措施未被真正落实。JaredFromSubway在一次蜜罐攻击中损失约1500万美元，其MEV机器人因未核实授权额度而被收割。AztecRollup的两个遗留部署先后遭到攻击，合计损失约435万美元，原因是零知识证明的有效性与结算语义之间存在边界问题。此外，SecondFi钱包因签名代码遗漏私密前缀，导致约240万美元被盗。这些事件揭示了即使是复杂的加密系统，也可能因一个被忽略的假设或代码细节而崩溃。

360发布AI漏洞挖掘智能体图龙锋，采用多智能体协同架构，具备攻击面分析、智能审计与验证闭环能力，可输出可验证的漏洞结论。适用于开源软件供应链安全审计、企业DevSecOps、Web产品上线前审计及漏洞快速验证等场景。已累计挖掘漏洞4000+，7月20日开放试用，企业可预约申请。

文章强调企业数字化建设中安全合规是底线，指出多数企业存在重功能轻安全的问题，导致数据泄露等风险。核心要求包括配齐主动防御技术、搭建7x24小时监测机制、规范日志溯源、落实漏洞整改和明晰多方责任。建议企业选择具备全生命周期安全服务能力的服务商，以规避风险并保障合规。

全国网安标委发布网络安全标准实践指南智能体部署使用安全指引，涵盖智能体从评估、准备、部署到使用及停用全生命周期的安全风险防范要求，旨在为智能体的安全部署与商业服务选择提供参考指导。

本周暗网数据贩卖398起涉9.3亿条记录，利比亚民航及Medtronic等发生重大泄露。威胁聚焦AI供应链攻击与认证绕过，含iOS应用密钥泄露、AI代理命令缺陷及幻觉域名抢注。攻击手法涉及SEO投毒DLL侧加载与NPM包劫持VSCode投递木马。高危漏洞含Oracle与SharePointRCE及Linux内核DirtyClone提权。建议排查泄露资产，修补漏洞并封禁关联IP。

国家标准委发布通知，下达《智能体应用安全基本要求》等29项强制性国家标准计划及相关标准外文版计划，旨在规范智能体应用安全，提升工业安全防护水平。该通知由工业安全产业联盟平台转发，强调标准制定对行业合规与安全建设的重要性。

本周网络安全态势整体为良，基础设施运行平稳。主要威胁来自软件高危漏洞、恶意代码传播及网站攻击。CNCERT共处理248起网络安全事件，含136起跨境事件，重点处理204起仿冒投诉及1个恶意URL链接。建议持续关注软件漏洞修复与恶意代码防护。

俄罗斯构建了以量子密钥分发(QKD)为核心、后量子密码(PQC)为补充的双轨防御体系应对量子时代密码安全。QKD被赋予根本性战略使命，PQC作为过渡性手段。俄罗斯在星地量子通信、QKD技术改进和新型安全协议开发方面取得进展，并逐步建立本土PQC标准体系。但面临技术瓶颈、关键资源不足和法规体系不完善等挑战。其发展路径体现了在适应国际环境变化中的战略调整。

国家安全部发布提醒，指出‘阅后即焚’类小众加密软件存在信息泄露风险。此类软件常被用于非法活动，但其自身安全机制可能不完善，用户数据仍可能被窃取或监控。建议用户提高警惕，避免使用来源不明的加密通讯工具，以保护个人信息安全。

国家网信办就《互联网信息服务管理办法（修订草案征求意见稿）》再次公开征求意见，截止日期为2026年8月2日。该草案旨在规范互联网信息服务，保护公民权益，维护国家安全，明确了设立许可、实名认证、内容禁止等要求，并鼓励公众通过邮件或信函反馈意见。

近日国家标准化管理委员会下达一项强制性国家标准计划，委托全国网安标委制定《智能体应用安全基本要求》。这标志着我国智能体安全迈入强制标准化阶段，建议相关企业密切跟踪起草动态，提前优化智能体产品的合规设计，以应对未来审查。

全国网络安全标准化技术委员会秘书处发布通知，就《半导体存储介质块擦除技术指引》等3项网络安全标准实践指南公开征求意见，以配套GB46864-2025强制性国家标准实施，指导信息清除活动。意见反馈截止日期为2026年7月17日。

本文盘点了2026年6月网络谣言情况，主要集中在汛期防灾、教育考试及民生政策领域。造谣者通过拼接灾情视频、编造高考答案及悲情剧本、歪曲解读社保政策等手段博取流量，干扰社会秩序。网信与公安部门联动核查并依法打击造谣行为，同时新设涉AI应用乱象举报专区。建议公众提升信息鉴别能力，切勿轻信和传播未经核实的网络信息。

本文介绍了一个名为nook的Androidhook框架及其向Frida-like风格工具演进的过程。作者详细阐述了其三层架构（host、server、agent）与工作流程，并通过案例讲解了如何从编写C代码编译注入，转变为使用JavaScript脚本进行动态加载和远程操控。项目已开源，旨在提供稳定易用的动态分析能力。

安全研究人员发现ChatGPT文件下载机制存在高危漏洞，通过多轮对话诱导与路径穿越结合，可绕过限制访问系统文件如/etc/passwd。漏洞已由OpenAI修复，强调LLM工具链与传统Web漏洞结合带来新风险。

该文档推广一门名为《利用人工智能辅助逆向分析》的课程，强调从使用AI工具转向开发AI工具，核心概念为MCP与Skill。课程由兼具安全与AI背景的讲师授课，包含Web和安卓端实战案例，旨在帮助学员掌握AI辅助逆向的完整工作流并构建个人工具库。课程定价599元，采用加密客户端播放以保护知识产权。