ZONE.CI 全球网

本文介绍程国根老师开发的高联一试自动出卷Skill（R5.2版），系统能自动完成候选题生成、解答、筛选、校验和PDF排版。当前存在难度控制不准、参考解答跳步、原创性检查不足等问题，作者计划建立测试群收集反馈并最终开源。

2026年半年报显示18家网安上市公司均谈及AI，但仅天融信、安恒、绿盟、永信至诚、启明星辰5家披露可量化收入或订单，且口径不一、不可直接加总；AI收入分为保护大模型的SecurityforAI与赋能产品的AIforSecurity两类，二季度18家公司收入合计仍下降8%，AI尚未成为行业第二增长曲线，建议后续单独跟踪AI收入的定义、确认进度与收入质量。

泄露文件揭示鲍曼大学第四部门为俄军GRU系统化培养网络战人才，覆盖密码学、恶意软件编写、信息战等课程，约250名学生分三专业方向，毕业生直接输送至APT28与Sandworm等GRU网络战单位。文件经元数据与内容交叉验证真实性，暴露俄军事网络人才流水线全貌。

该文分享发表于IEEETVT的科研成果：提出APS-POMDP与APS-MA-A3C算法，解耦状态预测与策略优化，先无扰动训练基础策略，再以PGD对抗训练GRU预测网络重构真实状态，规避端到端对抗训练的信用分配错乱与过拟合，增强多AUV目标跟踪对观测扰动的鲁棒性；基于真实海流地形的仿真表明其在对抗扰动、噪声及观测缺失下均优于现有算法，局限是未考虑动作层扰动且缺实测验证。

OpenAI宣布终止与Cursor的合作，原因是Cursor被SpaceX收购后，OpenAI基于马斯克旗下公司违反合同的历史，无法信任其合规使用模型。此举也与OpenAI即将推出的Astra模型有关，该模型在网络安全方面达到关键级能力，促使OpenAI收紧分发渠道。事件凸显模型访问权正成为商业竞争武器，开发者需注意工具与模型解耦以降低风险。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

Nacos3.0.0至3.2.3版本存在严重鉴权作用域错配漏洞，因@Secured注解默认值导致用户/角色/权限管理接口落入未鉴权作用域。未认证攻击者可通过8848端口创建用户、绑定角色并授予全量权限，实现服务端完全接管。官方已在3.2.4版本修复，建议立即升级或开启鉴权开关并限制网络访问。

谷歌发布史上最严安卓应用瘦身令，强制要求应用内存占用封顶、代码压缩混淆覆盖率至少25%，并引入内存限制器。此举源于AI数据中心对内存芯片产能的虹吸效应，导致手机硬件成本高企，只能以软补硬。新规将于2027年生效，违规应用将遭降权或限制更新，利好用户但提高开发者门槛。

本文介绍一种针对容器镜像暗门指纹的联动检测技战法,通过静态层深度解析、容器启动行为动态关联和K8s集群日志联动三层检测逻辑,可在1分钟内精准告警恶意容器,误报率低于3%。实战验证检出率100%,处置效率提升94%,有效拦截红队无文件容器潜伏攻击。建议部署时需配置镜像白名单并定期更新威胁指纹库。

这份报告研究AIagentharness安全风险与纵深防御设计，提出harness是连接概率性智能与确定性执行的信任边界，风险根植于数据控制歧义、委托权威与持久化传播三对张力。报告提出九层模型与攻击面生命周期矩阵，系统解构提示注入、工具投毒、记忆中毒等攻击机理，并给出可落地的纵深防御参考架构。

银狐团伙仿冒DeepSeek等AI品牌构建钓鱼站，以5天周期轮换样本，利用SetupFactory框架与白加黑技术（DLL尾部拼接签名）欺骗证书，载荷托管至火山引擎TOS。攻击者滥用Cloudflare隧道及伪装安全软件安装包，结合DGA域名与多平台C2，呈现跨家族同源特征。建议企业将volces.com纳入审查，按行为与基础设施检测，并关注com.cn仿冒域名。

本文系统阐述Electron应用安全加固最佳实践，覆盖上下文隔离与Node集成管控、CSP策略、防RCE攻击、敏感数据加密及依赖审计五大维度。核心结论是关闭nodeIntegration并开启sandbox与contextIsolation，通过contextBridge白名单桥接IPC，配置严格CSP拦截XSS，规范命令调用防注入，加密存储本地敏感数据，并定期审计依赖漏洞。所有配置可直接用于生产环境，满足企业级安全合规要求。

本文分享了一起ValleyRAT远程控制木马感染事件的排查思路。作者从防火墙公网IP入手，定位内网主机IP，再通过核心交换机ARP表查询MAC地址，最终在接入交换机端口找到中毒电脑。文章指出中毒原因为点击网页广告，并建议客户部署日志服务器以便后续溯源排查。

文章解读BlackHatUSA2026议题，DEVCORE研究员splitline演示对Julia、Flutter、Go、Python官方构建管道的供应链攻击，利用元数据投毒、缓存污染、IAP绕过及认证逻辑缺陷在语言二进制分发源头植入后门，根因为跨job信任缺失、数据流无完整性校验与Bot重用污染。建议限制非特权job写权限、校验数据流完整性、隔离任务环境并对下载二进制做签名校验与多源交叉验证。

本文科普微信聊天记录作为电子证据的合法取证方法。核心要点包括：原始记录不可删除，需满足真实完整合法三标准；四步取证法：锁定对方身份、保全完整对话、语音双重固化、双向固定转账记录；并列举高频避坑细节及当庭核验流程。文章提供可操作的标准化流程，对普通用户维权具有实用参考价值。

昆明一女子遭遇以办理难民卡白送350万为名的诈骗，骗子要求提供个人信息并帮助取现3万元涉诈赃款。银行工作人员察觉异常后启动警银联动机制，民警当场拦截并发现涉诈APP。该案例警示天降巨款是骗局，跑分洗钱不可碰，需保护个人信息和两卡安全。

文章提出以Wi-FiRTT测距、手机PDR推算与地图约束融合，实现1～3米低成本室内定位替代昂贵工牌。RTT基于802.11mcFTM需3个以上AP，配合滤波与地图匹配防穿墙；给出六步部署、降级路径与隐私合规要点，建议先在一层楼最小验证再扩展。

暗网流出文件揭示鲍曼大学第四部门为GRU输送网络战人才的制度化流水线，约250名学生接受攻防一体训练，毕业生进入APT28第26165单位与Sandworm第74455单位，并识别出Netyksho等GRU军官及金融安全军事情报培养路径，DomainTools以FOCA元数据核验文件真实性。

文章揭露购彩叠加刷单的复合诈骗五阶段套路：社交引流、诱导下载仿冒APP、叠加刷单任务、小额返利铺垫、以补单解冻名义大额收割，并列举石某损失12805元及中宁两人充值逾6万元无法提现案例。强调所有线上售彩平台均非法、开奖不可预测、复合骗局危害更大，建议认准线下持证网点，警惕稳赚不赔话术，遇骗保存证据拨打110。

该文档为公众号苏说安全发布的2026年AI安全报告推广文章，主要内容是引导读者关注公众号并回复特定关键词以获取报告PDF完整版，文章本身未提供任何实质性报告内容或技术分析，属于软文广告性质。

上海闵行网警破获一起以无人机维修为幌子的有偿代破解服务案件，犯罪嫌疑人薛某因提供侵入计算机信息系统程序罪被判处有期徒刑6个月缓刑1年并处罚金。该案警示非法破解无人机系统及违规飞行均属违法行为，需严格遵守相关法律法规。

文章批评普通家庭过度给孩子花钱的教育方式，指出这易养成穷人家的太子爷，反观富裕家庭更注重让孩子体验生活艰辛。真正的教育不是堆砌资源，而是教会孩子创造资源，让孩子看见真实世界并学会自己走路。

本文档为IoVSecurity公众号发布的软文推广，标题涉及基于生成式AI实现软件安全白盒模糊测试自动化，但正文缺乏实质技术内容，主要为技术交流群、会员下载PPT及行业交流群等引流推广信息，并附有多篇智能网联汽车安全相关文章链接。

本文研究面向自动驾驶系统图像分类模型的对抗攻击及防御性能，探讨攻击方法对模型准确性的影响及相应防御策略的有效性，为提升自动驾驶安全性提供技术参考。

北京开出首例AIGC商业秘密罚单，离职员工私自拷贝并破解原单位AI软件，离职后用于竞争业务牟利，被市场监管部门处以10万元罚款。依据反不正当竞争法，AIGC软件作为商业秘密受法律保护。建议企业完善权限分级、日志留痕、离岗审计等保密措施，防范内部泄密风险。