ZONE.CI 全球网

日本汉堡王约1118万条会员信息遭泄露，涉及姓名、邮箱、电话等十类数据，事件发生于2026年10月2日至7日，10月15日对外披露。文章梳理事件时间线，并提出加强访问控制、异常监测、个人信息最小化及应急响应等安全建议，强调会员信息管理系统需重点防护。

本文系统提出国家生物大数据主权侵蚀的类型学框架，归纳结构制度性、技术依附性、行为事件性三类侵蚀根源，解构管辖权、控制权、收益权、安全权四类权利损害，并基于治理难度与紧迫性二维矩阵评估风险，指出制度封锁与域外执法为高优先级风险，建议强化制度博弈与技术自主能力建设。

本文分析我国移动通信终端安全管控体系建设，指出当前管控能力不足，面临USIM卡复制、大规模终端被控制及eSIM漏洞等极端风险。建议构建国家协同、行业统一的终端管控体系，以手机eSIM商用为契机建立主动防护能力，并接入GSMAIMEIDB实现国际协同与情报共享，提升极端场景下的通信安全保障能力。

日本汉堡王确认发生数据泄露，约1118万会员记录受影响，泄露信息包括姓名、邮箱、出生日期、手机号等。公司已阻断未授权访问路径并启动应急响应，向监管机构通报。建议用户警惕钓鱼风险，勿点击可疑链接，及时修改密码。

本文介绍《红队实战指南:AI驱动的渗透测试、红队评估和漏洞挖掘》一书，聚焦AI与安全测试的交叉创新，涵盖从AI辅助信息收集到漏洞利用开发的前沿技术，结合传统安全方法论与新兴技术，为读者构建现代安全测试知识图谱，适合安全入门者、红队评估人员及漏洞挖掘研究人员阅读。

本文介绍ISC2企业AI风险聚合与决策支持课程，以虚构SaaS企业为背景，引导学员切换分析师与治理层双视角，演练评估冲突的AI风险评分、审查权限提升、评估自动化决策架构等四项AI治理难题。课程核心是确保受AI影响的决策可经受法律监管与审计核查，并获取CPE学分。

Next.js于10月14日紧急修复两个严重RCE漏洞（CVSS9.5）及一个高危DoS漏洞，影响16.0.0至16.4.0及15.5.27及更早版本。漏洞分别位于ReactServerComponents的usecache功能、librsvg图像处理及ServerActions。修复版本为16.4.1和15.5.28，需升级并确保sharp升至0.35.5以上。

本文探讨人工智能短视频产业化带来的法治治理挑战，指出量产化生产改变风险生成与传播方式，需强化生成标识与授权规则衔接、贯通真伪核验与来源认证、校准内容审核与规模化生产规制、实现行政监管与司法归责有效衔接，并提出分层治理与证据规则等具体建议。

本文为企业提供等保自测思路，指出等保并非一次性检查或证书，而是围绕信息系统开展的安全管理与技术建设。企业应从业务系统是否在线运行、数据敏感性与泄露影响、保密性完整性和可用性三要素、自身安全能力四个维度自测。若系统对外服务、承载业务流程或处理敏感数据，或客户投标监管有要求，应尽早启动定级建设与测评，先判断再定级后整改，将安全投入用在关键处。

ChatGPT的GitHub集成存在严重漏洞，攻击者可通过隐藏指令劫持AIAgent，将仓库审查操作转化为密钥窃取攻击，CVSS评分9.3。漏洞属间接提示注入场景，攻击者可诱导AI修改私有仓库并触发GitHubActions窃取密钥。防护建议遵循最小权限原则，限制仓库访问范围，排查异常工作流并轮换可能泄露的密钥。

本文介绍StarMap星图，一个面向红队与安全工程师的本地化网络资产测绘平台。该平台支持公司名、域名、IP、ICP备案号等多类型输入，自动编排任务流，涵盖ICP备案查询、子域名枚举、空间测绘、端口扫描、Web爬虫及敏感信息识别，并产出XLSX/Word报告。平台还提供统一资产库、持续监测、AI辅助分析及可视化大屏展示等功能，旨在提升资产测绘与安全监测效率。

本文分享一个SRC越权测试案例，在接口返回403无权限时，通过细心观察请求头中的UserType参数，将其从Web改为App后成功绕过权限限制获取数据。文章强调挖洞需注重细节，多尝试不同参数值组合，并提示此类绕过方法仅为众多思路之一，欢迎交流更多技巧。

本文介绍漏洞挖掘中信息收集阶段的方法与工具，涵盖企业信息查询、ICP备案、子域名挖掘、IP反查、旁站C段探测、whois查询、端口扫描及目录扫描等，旨在扩大攻击面、发现目标弱点。建议使用FOFA、鹰图等平台进行资产收集，并注意常见端口与数据库服务识别。

文档强调学习渗透测试应优先打好基础，而非盲目跟风使用AI挖洞。AI能提升效率，但无法替代对漏洞原理、业务逻辑和系统架构的理解。真正有价值的漏洞常藏在业务流程中，需扎实的基础能力才能判断和验证AI结果。建议将AI作为副驾驶，先学渗透测试再借助AI提效。

本文通过实战演示REA工具结合AI实现游戏与学习类APP逆向，揭示其本质是整合Ghidra等旧工具降低门槛，虽能辅助修改客户端但无法触及后端核心，同时指出AI安全过滤机制有效，并提醒Flutter加固存在安全幻觉，建议核心逻辑放后端。

2026Q2团队开展15个AI安全项目，覆盖攻击与产品安全，摸清AI能力边界：可处理重复规则任务，无法替代决策，且AI自身成新攻击面。后续聚焦Agent安全、漏洞验证等五大方向，沉淀为可复用产品。

本文是DARKNAVY对StarlinkRev3用户终端天线的安全研究。团队拆解硬件并提取固件，发现大部分内容未加密，基于QEMU构建了模拟运行环境。分析发现STSAFE安全芯片提供独立信任根，并发现设备初始化时写入41个SSH公钥及以太网数据记录器程序。研究展示了卫星终端硬件攻击面与潜在安全风险。

该文报道一名保险资管研究员恽某利用未公开信息进行趋同交易长达3年8个月，最终亏损收场并被罚款50万元。监管认定其虽名义为研究员但实质参与投资决策，掌握未公开信息即构成违规。文章指出保险资管等机构老鼠仓案例开始浮现，多起案件均以亏损收场，建议加强内控建设与合规管控。

本文记录作者在授权渗透测试中，利用ClaudeCode与YakitMCP工具链提升流量分析效率，通过AI辅助筛查标记流量，结合人工验证发现IDOR越权漏洞的完整过程。文章详细展示了从流量中发现线索、枚举用户未读数、分析JS代码提取API接口到最终确认消息内容越权的分析链路，并提供了可复用的提示词与测试脚本，对实战渗透测试具有较高参考价值。

本文是作者从甲方安全到业务安全创业五年的复盘，核心观点包括：创业不是因为有把握成功而是算过失败也值得；安全终点是业务和数据；业务安全难点常在于组织归属；服务能活下来但需产品化；创业要活下来但不能只会活下来。作者强调看问题坐标系的变化，从专业判断转向商业现实。

猎洞时刻推出第四期SRC挖洞培训，主打真实案例实战与AI自动化挖洞，承诺零基础学员可快速掌握企业级漏洞挖掘技能，学员在EDUSRC、网易、国通星驿等平台屡获榜首，多人入职奇安信、360等大厂，课程售价1888元含永久学习权及一对一答疑。

杭州链式反应科技有限公司正式成立，专注AI+进攻性安全赛道，推出衍迹自动化渗透系统，在多个真实场景中实现RCE与0day挖掘，验证AI对传统安全模式的降维打击。公司采用开源驱动增长模式，计划发起开源基金会，推动行业技术变革，并招募具备AINative思维与实战能力的工程师与商业化人才。

UATU是面向ClaudeCode的Agent业务落地工具，解决模型稳定性差、费用高、黑盒不可观测及安全风险四大痛点。通过模型动态切换、敏感数据可用不可见、绕过安全策略、混合模型降本及本地可观测性等方案，提升任务稳定性并降低90%缓存成本。实测GLM-5.1加Prompt优化综合最优，成本仅为Opus的32%。该工具已开源，支持行为Trace与高危告警，适用于Agent安全与自动化渗透场景。

OFCMS系统存在SQL注入漏洞，编号CVE-2026-10193，危险等级为高危。漏洞位于/ofcms\\_admin/admin/comn/service/query.json接口，经身份验证的攻击者可利用该漏洞获取数据库敏感信息。影响版本为OFCMS1.1.3，POC已公开。建议用户升级至官方修复版本，以规避风险。

本文介绍Yakit工具中隐藏的codecflow功能，用户可拖拽加密逻辑保存后，在WebFuzz中通过{{codecflow(名称|字典)}}直接调用，支持标签嵌套，可满足80%场景，省去编写热加载的时间。文末附有HVV招聘广告。