ZONE.CI 全球网

本周安全威胁严峻，多个高危漏洞被利用。Linux内核BadEpoll漏洞(CVE-2026-46242)允许本地用户秒获root权限，影响广泛。OracleEBSPayments组件存在CVSS9.8认证绕过漏洞，已在野利用。GitHub上出现伪装成PoC的ChocoPoC木马，针对安全研究员。CitrixNetScaler、SimpleHelp远程工具等也曝出严重漏洞。日本企业遭集中攻击，Nidec被勒索200万美元，Aflac泄露438万客户数据。建议企业立即修补关键漏洞，审查PoC代码来源，并加强纵

该研究揭示了AI编程智能体在执行Shell命令时普遍存在的安全漏洞GuardFall。研究测试了10款主流开源智能体，发现它们因依赖正则匹配过滤危险操作而存在架构性缺陷，仅Continue有效防御了攻击。文章分析了五种绕过类和四种失败模式，并提出了Continue的防御设计作为可移植方案。

印度裔商人斯里瓦斯塔瓦伪造中情局特工身份，利用真实的政界合影与政治捐款建立表层可信度，成功渗透印尼国防采购核心圈并获取多项军购意向书，同时操控逾五千万美元资金流转购入豪宅。该案暴露出身份核查失效、国防采购文件审查松散及社交网络被工具化等系统性漏洞。目前FBI与印尼反洗钱机构均在调查。建议国防采购方严格核实DSCA授权与ITAR注册等技术指标，避免陷入基于社交关系的认知陷阱。

本文描述了一次针对某校系统的渗透测试过程，通过弱口令尝试和接口遍历发现管理员token，利用该token成功下载大量用户身份信息，造成数据泄露。测试中使用了AI辅助分析接口，但存在误报。文章强调了信息泄露的风险，并指出通过指纹识别发现其他类似漏洞站点。

AI应用高风险发现率是传统软件的2.7倍，修复率仅38.4%，修复时间从19天升至36天。近半数高危漏洞来自提示注入等AI特有攻击面，传统安全工具无法覆盖。自动化渗透测试在AI安全领域失效，混合模式成为趋势。精英组织与落后组织修复效率相差25倍。建议将LLM渗透测试作为独立学科，建立程序化安全机制，管控影子AI，并弥合领导者与实践者之间的认知鸿沟。

2026年6月苹果印度代工厂塔塔电子遭勒索攻击致630GB机密数据泄露，暴露供应链安全三大缺口：终端防护薄弱、内部权限管控失效、数据外发监控缺失。文章以该事件为引，介绍安恒信息办公智盾产品在终端准入、权限管控、数据防泄漏等方面的解决方案，强调供应链安全取决于最薄弱环节。

安恒信息旗下弗兰科信息在2026全球数字经济大会上，其通用安全通道双重后量子认证系统获第二届商用密码创新应用大赛优胜奖。该系统采用后置签名机制，实现零改造、全防护的后量子迁移，解决改造成本高、防护缺口明显、兼容性不足的痛点，为关键信息基础设施提供低成本升级路径。

2026密码安全论坛暨第四届熵密杯密码安全挑战赛颁奖仪式将于2026年7月26日在济南舜耕国际会展中心举办。论坛由中国密码学会指导、国家信息技术安全研究中心主办，不收取会议费，报名截止7月23日。食宿交通自理，提供推荐酒店。诚邀密码领域专家及从业人员参会。

山东省多部门联合举办铸网-2026工业互联网网络安全职业技能竞赛暨攻防演练，旨在提升工业互联网安全防护能力。竞赛设职工组和学生组，以团队形式参赛，分为线上初赛（理论+CTF）和现场决赛（个人赛及攻防演练）。攻防演练涵盖火力发电工控安全与AI智能体安全场景。报名截止8月5日，获奖团队及个人将获证书与奖金。

本文公布了2026年第23届信息安全与对抗技术竞赛线上挑战赛总决赛获奖名单。赛事涵盖破阵夺旗、无限擂台与数据安全，分大学生、研究生及数据安全三大赛区。官方提供了百度网盘链接与文件密码，下载截止至7月10日，建议相关选手及时下载留存，证书领取事宜需关注官网后续通知。

2026年天山固网工会杯巴州网络安全技能竞赛初赛于6月30日线上举行，85名选手晋级总决赛，其中职工组60人学生组25人。总决赛将于7月10日在新疆科技学院线下进行，采用靶场实战形式考核多项技能。

第三届雄安未来之城场景汇雄安网络安全技术应用大赛决赛于7月5日成功举办，主题为智创网安新生态共筑数字新屏障。大赛吸引212个项目参赛，93项晋级决赛，聚焦人工智能安全、物联网安全、互联网安全三大赛道，展示了大模型安全、车联网防护、量子加密等创新技术。大赛旨在推动网络安全技术创新与产业落地，促进成果转化，打造可复制的雄安范式。

本文是AIxCybersecurityChallenge2026初赛的Writeup，由N1bbl3团队分享。内容涵盖三个Crypto题目的解题思路：CardSeed通过爆破种子空间逆向shuffle还原flag；Drift利用近似phi值结合GCD分解RSA模数N；LuckyRand涉及随机数预测。文章详细分析了加密流程、关键弱点并提供了完整解题脚本与运行结果。

本文详细记录了2026年FIC决赛Windows服务器部分的赛后复盘，涵盖系统文件系统类型与版本、SKU编号、WinRM端口及远程访问IP、密码文档快照恢复、Linux虚拟机合同文件MD5、TLS证书指纹、网卡MAC地址及TOTP验证码计算等关键取证步骤，提供了具体操作命令和答案。

本文系统整理了RCE相关攻击面与利用技巧，涵盖命令注入、代码注入、反序列化、文件上传、云原生与供应链场景等，强调AI工具辅助渗透测试时需人工决策，并指出AI本身已成为新攻击面。文档仅供合法授权使用，作者对关键技术点进行了实测验证。

火绒安全在小暑节气发布品牌宣传文章，强调其专注终端安全领域，以专业干净轻巧的产品特点获得用户口碑。企业版产品针对内外网脆弱环节，提升终端管理范围与方式，实现威胁可视化与管理轻便化，旨在保护企业信息安全。文章为品牌推广内容，无具体技术细节或可操作建议。

本文以ClaudeFable5两度遭越狱为引，指出单靠模型内置安全策略不足以应对大模型安全威胁。文章梳理了提示注入、越狱攻击、工具劫持和数据泄露四大攻击面，并提出构建包含输入净化、语义安全检测、工具调用沙箱、推理过程监控及输出审核的五层纵深防御体系。结合Python代码示例展示了各层具体实现方法，并给出了不同业务场景下的性能与安全权衡建议，强调LLM安全需持续红队测试与体系化建设。

2026年7月15日，字节豆包、阿里通义千问、腾讯元宝同步下线智能体功能，与《人工智能拟人化互动服务管理暂行办法》施行日期重合。新规限制拟人化交互、收紧用户自建智能体、强化未成年人保护及数据安全。受影响的是情感类智能体，任务型智能体不受影响。安全视角揭示拟人化AI的隐私风险与情感操控隐患。企业应切割高风险业务、强化审核、数据合规、转型任务型智能体，合规成为行业新起点。

本文以ClaudeFable5两度被越狱事件为背景，系统梳理了LLM安全面试的8个核心问题，涵盖越狱与提示注入的区别、many-shot越狱原理与防御、crescendo渐进攻击、packhunt组合战术、五层纵深防御体系、LlamaGuard3部署要点、agent工具劫持防护以及持续安全评估机制。强调安全对齐是持续攻防博弈，需构建多层防御并定期迭代。

AdobeColdFusion高危漏洞CVE-2026-48282（CVSS10.0）已被攻击者利用，影响ColdFusion2025Update9及之前版本和2023Update20及之前版本。Adobe已于2026年6月30日发布安全更新APSB26-68。企业应尽快拉取资产清单、升级至建议版本，并加强日志审查与网络隔离，避免老系统成为攻击跳板。

公开资料显示攻击者通过MicrosoftTeams语音通话冒充IT支持人员诱导员工安装EtherRAT恶意程序以获取企业终端初始访问。该攻击结合钓鱼邮件与协作工具可信互动利用合法远程管理工具降低戒备。企业应限制Teams外部通信建立可验证IT身份并更新安全培训场景。

CVE-2026-53359Januscape是影响LinuxKVMx86的虚拟机逃逸漏洞，公开PoC可致宿主机崩溃。文章指出虚拟化安全误区：控制台正常不代表隔离安全。多租户云平台应优先检查内核修复、处理不可信VM、评估嵌套虚拟化并安排重启。云安全团队需将底层补丁纳入业务连续性管理。

Anthropic在Claude模型中发现一种称为J-space的内部活动模式，类似人类大脑的全局工作空间，能让模型意识到概念但不一定说出来。研究通过实验验证J-space可被报告、控制并参与推理，可用于检测模型是否在撒谎或隐藏意图。该发现对AI安全有重要意义，但不等同于证明AI有意识。

burp-mcp-bridgev1.1.0是一个开源工具，通过MCP协议将BurpSuite的33个能力（包括26个基础工具和7个高级工具如sqlmap、ddddocr）桥接到AI客户端，弥补了官方mcp-proxy.jar不涉及BApp插件的空白。项目端到端测试成功率达97%，采用MIT许可证，可从GitHub下载使用。

中孚信息成功中标某特种工业单位终端保密检查采购项目，将部署计算机保密安全检查系统及密保卫士系统，构建覆盖敏感数据识别、终端安全检查、风险监测处置的一体化保密管理体系。项目重点解决非密环境违规存储敏感数据及业务网络内敏感数据分布不清等风险问题，并实现产品在业务网场景的落地应用，为后续同类项目积累经验。