ZONE.CI 全球网

信安之路课程中心上线，整合了五套渗透测试课程：公益SRC实战、Nday实战、内网渗透、脚本开发和渗透测试实训，以及杂项视频。用户需激活账号并拥有文库权限才能访问。课程内容覆盖实战经验，适合安全学习者提升技能。

本文介绍了六边形攻防靶场RCE系列中篇的4道绕过题，核心是绕过disable_functions、分隔符与空格过滤。关键发现包括：PHP文件读取函数（如readfile）可绕过命令执行限制；call_user\\_func动态调用存在漏网函数风险；||可绕过;与&过滤；%09可替代空格。建议使用白名单映射函数名，并在解码阶段实施严格过滤。

本文聚焦工业控制系统ICS网络安全实战化异常行为检测，核心思路是先建立正常行为基线再识别偏离基线的异常行为。文章从网络流量、用户活动、工控过程控制、安全事件四大维度构建基线，采用20%浮动阈值作为异常判定标准，并建立分级告警处置机制。同时详细拆解了侦察、初始入侵、横向移动、生产破坏、数据窃取五大阶段典型风险场景，为制造、电力等关键行业提供可落地的工控安全监控方案。

本文指出上海企业等保定级常见错误，强调定级需依据GB/T22240-2020标准，通过受侵害客体与侵害程度矩阵计算，而非随意选择。定级对象应为完整业务系统，云上租户侧和数据资源需独立定级。需从业务信息安全和系统服务安全双维度评估取高值，二级及以上必须经专家评审和备案。正确定级是合规基础，避免后续整改风险。

本文分享了两道初二分式方程练习题及一道自学丛书上的分式方程题。作者指出第一问较为简单，第二问虽有思路但未能完全解决，第三道题则强调看透题目规律可大幅降低计算量。文章属于个人数学学习与辅导的记录，未涉及网络安全技术。

本文档为CTFHubJWT修改签名算法挑战的实战教程。核心漏洞在于服务器允许将非对称签名算法RS256改为对称算法HS256。攻击者通过获取公开公钥，将其作为HMAC对称密钥，伪造包含admin角色的JWT令牌，从而绕过身份验证。文章提供了详细的攻击步骤与Python脚本实现，最终可获取flag完成挑战。

毕马威报告指头部银行AI支出超IT预算15%，正迈向核心业务嵌入。报告提出四步生成式AI验证体系以应对幻觉等风险，建议强化数据安全、关注微信生态AI潜力。未来银行人才将转为AI治理者，分为独立贡献者、直接负责人与球员教练三种，银行应以可量化业务价值驱动投入并重塑组织架构。

本文汇总近期AI动态：阶跃星辰发布大模型原生智能体手机，腾讯混元开源量化版支持单卡部署；安全端软银推自动化修补，微软警示AI窃取机密风险；资本与人才端爱诗科技获29.8亿融资，79%银行缺AI人才且岗位月薪达2.5万，展现AI加速落地趋势。

Telegram核心域名t.me被.me域名注册局设置serverHold状态，导致所有短链接失效，影响数亿用户。事件暴露了互联网基础设施的单点故障风险，凸显去中心化的重要性。

该事件揭示了AI编程助手GrokBuild存在严重数据过度上传行为，处理单个文件时会将整个Git仓库（含历史记录和分支）上传至xAI云端，上传量是实际需求的约27800倍，且通过独立通道传输，可能泄露商业机密和API密钥，用户需警惕此类数据安全风险。

本文介绍了中科院沈自所关于工业安全与人工智能赋能油气管网无人站场建设的演讲。报告针对无人站场少人值守下面临的资产不清与风险难感知等挑战，提出以工控资产指纹识别、漏洞匹配、态势感知及装备内生安全构建可信安全底座，并结合多源数据融合与AI视觉巡检提升诊断预警能力，推动从场站试点向管网级平台化推广。

上海市通信管理局启动铸盾模都2026年AI安全专项行动，要求企业落实安全主体责任，加强网络数据供应链及智能体安全管理，并在8月31日前备案重要数据目录，11月30日前上报AI业务清单，以提升行业安全基线。

盛邦安全为某运营商省公司完成超百万IP互联网暴露面探测项目，采用主控+多引擎分布式架构与全栈国产化部署，实现1-3天快速探测、资产识别与风险监测。系统具备高性能协议栈、38万+指纹库和34万+漏洞库，支持多任务并发与数据本地留存。该项目验证了大规模暴露面探测能力，为行业提供可复制的国产化解决方案。

盛邦安全在世界互联网大会开放日活动中展示多款自研网络安全产品，强调轻量化部署、智能化运维和高等级防护优势。活动于亚洲金融大厦举办，吸引16国80余家单位参与，盛邦安全展位释放中国网安品牌创新活力，促进数字与文化融合。

本文探讨了人工智能时代软件供应链所面临的新安全风险与标准化建设现状。随着AI技术应用，软件供应链呈现出开发智能化、组件复杂化和数据模型一体化等新特征，带来了数据投毒、模型后门、开源组件漏洞等新型与传统叠加的安全风险。文章分析了美国、欧盟及中国在该领域的标准建设情况，指出国内外均以全生命周期管控为核心，但欧美体系相对成熟，我国在AI专项标准方面仍需加强。

《网络数据安全风险评估办法》由三部门联合发布，旨在压实数据安全主体责任，推动安全治理从静态合规转向动态化。办法要求重要数据每年评估，鼓励一般数据每三年一次，评估可自行或委托第三方，并强调结果进入治理闭环。未来需加强制度衔接、机构治理及AI场景适配，以护航数字经济高质量发展。

本文探讨智能体从对话式模型转向任务执行系统带来的行为风险与责任边界变化。治理需从内容审核转向内生安全，依据控制能力分配责任，并建立场景分级、记忆管理、行为评估等机制。合规服务应实质连接技术系统，而非模板化材料，以保障智能体在法治轨道上安全发展。

本文探讨互联网应用程序违规收集个人信息问题，指出用户知情权与选择权被压缩，隐私协议流于形式。建议细化告知-同意规则，明确SDK等各方责任，增强处罚威慑力，并畅通用户维权渠道，以落实个人信息保护法要求。

本文评论网购仅退款规则被恶意利用的乱象，指出其初衷是保护消费者但执行中权责失衡，导致商家和快递员受损。新规已禁止平台强制商家承担退款不退货责任，并建议平台建立恶意用户数据库、设置申诉通道，快递公司需核实客诉，监管部门应打击黑灰产，以堵住规则漏洞。

研究人员发现一种名为MemGhost的隐身记忆注入攻击，通过一封邮件即可向AIAgent植入持久性虚假记忆。攻击利用Agent的邮件读取和记忆写入功能，在后台静默修改其核心记忆文件，从而在后续对话中影响回答。在针对GPT-5.4和ClaudeCodeSDK的测试中，后台模式成功率分别达87.5%和71.4%。现有防御措施难以完全防范，建议在Agent内部实现来源标记、用户确认和审计日志。

安全专家发现攻击者正在全网扫描MCP服务器、AI助手配置文件及暴露的本地模型服务，使用有效MCP初始化请求进行探测，旨在发现配置失误。暴露的MCP服务器可能让攻击者访问数据库、API等资源，导致数据泄露。建议组织审查访问日志、加强身份验证并限制网络访问，同时检查AI相关配置文件是否被公开提供。

攻击者利用AI生成的PowerShell脚本枚举ActiveDirectory，通过RDP和已泄露凭据入侵WindowsServer，部署工具收集AD数据并外泄。事件表明AI降低了攻击门槛，使技术较差的攻击者能快速开发有效工具，但核心攻击链仍与传统手法相似。建议加强凭据管理和监控异常脚本行为。

新型macOS窃密软件CrashStealer伪装成苹果崩溃报告框架，用原生C++开发，通过合法签名绕过Gatekeeper，窃取浏览器凭据、加密货币钱包和钥匙串数据，使用AES-256-GCM加密外泄，并设置持久化LaunchAgent。该恶意软件技术复杂度高，反映macOS威胁向专业化演进趋势。

ServiceNow披露并修复了其AI平台中的一个严重沙箱逃逸漏洞CVE-2026-6875，该漏洞可导致未经身份认证的攻击者远程执行代码，影响托管和自托管部署版本。ServiceNow已为托管实例部署安全更新，并为自托管客户提供补丁。建议组织立即审查并应用相应版本更新，同时监控异常活动以防范潜在利用。

日本最大出租车运营商日本交通公司因系统遭网络攻击被迫关闭部分基础设施，包括出租车调度和网上预订服务。公司已断开系统连接并聘请外部专家调查，目前未确认数据泄露但正考虑可能性。建议客户警惕钓鱼攻击并使用替代服务。