ZONE.CI 全球网

复盘50起API泄露事件，发现灾难均源于五大错误：BOLA授权缺失、第三方集成与机器身份失控、凭证硬编码且轮换滞后、缺乏业务基线的无效监控、将安全当项目。文章提出API安全生命周期框架对应修复，强调行为基线建设，警示AI代码放大风险，建议转向连续性安全运营。

本文揭示了一种CSRF防护漏洞：令牌未与用户会话绑定，仅验证令牌是否在全局池中有效。攻击者可获取自己的合法令牌，替换到其他用户的请求中实现跨用户操作。建议测试时交叉验证令牌与会话的绑定关系，避免仅依赖令牌存在性。

文章通过萌新改Cookie越权失败案例，说明现代系统Cookie含加密Session和签名，直接修改明文会触发风控导致账号异常。正确越权测试需使用授权账号交换Token，而非篡改Cookie。强调安全测试需合法授权，未经授权测试属违法行为。

暗网平台leakbase被FBI查封后，有用户声称已归档其全部goldpack下载链接，总量超10TB，包含dumps、leads、fullz等数据，并出售剩余数据。文章还推广了暗网监控与数据采集服务。

本文介绍开源AI编程工具OpenCode，解决开发者使用ClaudeCode被区域识别限速的痛点。它支持75家以上大模型，可切换通义千问等国产模型，本地架构保障数据安全。其核心价值是打破厂商绑定，建议读者立即安装并配置国产模型，避免被单一平台卡脖子。

研究表明SkillCloak利用自解压打包技术可超90%绕过AI代理技能静态扫描器。对应的运行时行为检测工具SkillDetonate检测率达97%。建议安全团队不应盲信静态扫描结果，需将防御重心转移至本地运行时行为监控，警惕隐藏目录中的高熵文件，坚持最小权限原则并仅从可信来源安装，以应对AI代理供应链攻击。

美国国家安全局将旗下黑客部门从计算机网络行动办公室改回特定入侵行动办公室番号，恢复独立建制并计划启用独立办公楼。此举旨在逆转2016年NSA21改组中拆分开发与作战的逻辑，压缩漏洞发现到投送的闭环以提升进攻效率。改组发生在高层动荡与裁员背景下，兼具对外威慑和对内稳定军心的功能。

FCC通过1美元订单重启ClaudeforGovernment试点，表明Anthropic的民用采购封禁已瓦解，但国防侧限制仍存法律争议。文档指出安全红线在部署层可能因复杂链条而失效，Mythos项目暴露选择性安全治理，即限制公众访问却允许国家安全机构使用。核心结论是封禁瓦解不意味全面和解，安全红线有效性取决于部署环境与政府权限。

本报告基于美国威胁减少局(DTRA)2022年活跃合同清单，分析5420个项目、总金额超1860亿美元，覆盖49个国家。项目以美国本土为核心，在中亚、高加索、东南亚、东非和中东等战略区域布局，聚焦核安全、生物安全、化学安全及反扩散等领域。生物安全投入最大，达133亿美元。海外项目围绕俄罗斯、中国等形成弧形布局，构建全球威胁减少网络。建议关注乌克兰危机及印太战略下的项目调整。

本文推广基于MobileNet的车载安全网关研究，但内容主要为招募会员加入技术交流群，提供PPT下载和行业合作机会，相关文章涉及汽车信息安全设计、智能网联汽车安全测评等。

本文介绍基于CAN总线数据的车载网络入侵检测系统，旨在提升汽车网络安全。系统通过分析CAN总线数据流，识别异常行为，实现入侵检测。文章还提供技术交流群和会员申请渠道，促进行业合作。

暗网泄露事件涉及欧洲多国赌场数据库，包含德国、奥地利、意大利等国家信息。数据库总数为4个，每个数据库平均包含20,000至50,000行数据，涵盖敏感信息。

本文借ClaudeCode后门事件指出传统软件管控在识别无注册表特征的AI应用时存在盲区。微步在线顺势推出OneSEC终端管控模块，宣称能基于运行特征精准定位并阻断风险版本，解决AI应用、滥用远控及供应链投毒等痛点。建议企业关注基于运行特征的软件治理方案。

CVE-2026-1207是一个高危DjangoSQL注入漏洞，评分8.3，正被在野利用。该漏洞影响PostGIS数据库上的RasterField查找操作，因波段索引参数直接拼接进SQL查询导致。攻击者可远程读取、篡改或删除数据。受影响版本包括Django6.0.2之前、5.2.11之前及4.2.28之前。建议立即更新至修复版本，或审查查询、添加WAF规则并收紧数据库权限。

本文揭示一种针对AI编程代理的新型供应链攻击。攻击者通过构造含恶意指令的README文件，利用Agent对项目文档的信任诱导其自动执行脚本实现RCE。该攻击未利用传统漏洞，而是将攻击目标从人转移至AI判断过程。建议开发者警惕Agent的自动执行权限，将README及Agent指令文件视为新高危攻击面加以防范。

本文系统介绍了Linux文件权限体系，涵盖用户与组分类、rwx三大权限含义、ls-l输出解读、八进制权限数值（如755、644）及chmod/chown命令用法。重点解析了SUID、SGID、StickyBit特殊权限位，并强调避免使用777权限，建议遵循最小权限原则。文章适合Linux初学者理解权限管理核心概念与安全实践。

近日懒虫零信噪威胁情报中心监测到一新勒索组织在暗网发布针对某生物医药公司的勒索公告，声称窃取约37GB敏感数据包括检验报告和研究方案。倒计时已结束数据已公开出售。事件暴露了生物医药企业面临的数据泄露与合规风险，建议立即启动应急响应并评估影响。

美国保险机构AssuranceAmerica发生数据泄露事件，影响约690万人，泄露信息包括驾照号码、车辆和保险信息等。这种泄露风险在于身份信息被拼凑后用于精准诈骗。建议用户通过官方渠道核实通知、启用MFA、检查信用报告；企业应加强员工账号防护和数据访问控制。

本周CNNVD采集安全漏洞1852个，新增数量有所下降。谷歌公司漏洞最多，输入验证错误类占比最高。超危漏洞163个，整体修复率79.10%。重要漏洞包括GoogleChrome资源管理错误漏洞、ApacheActiveMQ资源管理错误漏洞及MicrosoftEdge后置链接漏洞。AI漏洞方面，Microsoft365Copilot存在输入验证错误漏洞。建议用户关注厂商补丁及时修复。

慧等保针对企业引入大模型和智能体后的新型安全威胁，提供大模型评估、智能体检测、数据安全风险评估及数据分类分级等专业服务。其团队拥有等保测评师等资质，旨在帮助企业应对AI安全合规挑战，确保业务安全运行。

文档汇总了2026年7月9日HackerNews的10条科技新闻，涵盖OpenAI全双工语音模型GPT-Live、GitHubAIagent提示注入漏洞GitLost、Mistral机器人导航模型、xAIGrok4.5编码模型、MicrosoftFlint可视化语言、Tenda固件后门、优衣库T恤Bash脚本、Chatto开源聊天、GAO核废料报告及SICP视频讲座。主要结论是AI安全与agent风险成为焦点，同时开源和公共项目治理也受关注。关键发现包括提示注入的系统性风险、低传感器导航的进展、以及嵌入式

本文回顾中共首部高级密码豪密原理，指出其底本加乱数机制提前触及一次一密理论，在战时构建了单向透明情报优势。文章强调豪密未被破译得益于算法与制度双重保障，启示当代：核心技术须自主可控，安全本质是体系而非单点，资源受限时应在关键环节做到极致。

本文介绍在开源RAG客户端AnythingLLM中接入AceDataCloud作为对话模型后端的流程。核心步骤包括获取APIToken，在设置中选OpenAIGeneric并填入以/v1结尾的BaseURL，同时建议保留本地Embedder保障数据隐私。文章附带推荐模型列表、接口验证方法及报错排查指南，属第三方API服务的产品配置推广教程。

本文介绍了如何通过开放目录发掘威胁情报，并以AyutMesh活动簇为例进行了详细分析。该活动利用AI辅助和自动化脚本，针对泰国财政部、TRIPLET宽带公司等多个单位进行渗透，攻击链涵盖公网应用枚举、边界设备验证、历史漏洞利用、本地提权及远控持久化等多个阶段，暴露了攻击者在作业中的疏忽可能成为攻击链入口的风险。

2026年6月下半月暗网情报显示多起数据泄露事件，涉及委内瑞拉中央银行主权黄金平台、矿业部、监狱管理局，玻利维亚海军，挪威IT服务公司AlphaIT，美国办公用品分销商Plexsupply及汽车平台CarGurus，叙利亚工业银行，巴西投行XPInvestimentos，印度证券市场监管总局等。泄露数据包含个人身份、财务、医疗及员工信息，总量达数百万条，部分数据被公开或低价售卖，凸显全球数据安全风险。