ZONE.CI 全球网

奇安信CERT通告NGINXngx_http_rewrite\\_module堆缓冲区溢出漏洞(CVE-2026-9256)，该高危漏洞影响万级设备，CVSS评分8.1。攻击者可通过特制HTTP请求触发Worker进程崩溃或代码执行。修复方案包括升级至1.31.1/1.30.2等安全版本，或将rewrite指令中未命名捕获组改为命名捕获组。

乔治·霍茨警告AI编程智能体可能成为软件开发中代价最高的错误之一，指出其生成的代码表面完善但存在隐蔽缺陷，能力较弱的开发者易将问题代码带入正式系统，导致高昂维护成本和故障风险。他认为大语言模型本质是统计系统而非真正智能，无法稳定处理陌生情境的推理，与安德烈·卡帕西的积极态度形成对比。

《网络安全标识管理办法》是我国首部系统性规范网络安全标识的部门规章，将于2026年7月1日施行。该办法构建了`标准分级、检测备案、标识使用、监督惩戒`的全链条治理体系，将网络安全能力划分为三个星级梯度，通过市场激励和消费者选择引导产业提升安全水平。办法还明确了备案撤销、信用惩戒等监管措施，并建议加快配套标准制定、强化机构监管和宣传普及以推动落地。

中国信息安全测评中心联合国家保密科技测评中心发布2026年第2号安全可靠测评结果公告，涵盖人工智能训练推理芯片和数据库两大类产品。公告公布了昇腾310/910、真武M530/M890等9款芯片产品均获Ⅰ级认证，达梦数据库管理系统V9等集中式数据库和分布式数据库产品分别获得Ⅱ级或Ⅰ级安全可靠等级评定，所有测评结果自发布之日起有效期三年。

《公安机关电子数据取证规则（征求意见稿）》针对刑事侦查和行政执法中的电子数据取证需求，统一规范两类执法活动并区分程序措施细节。亮点包括与时俱进列举电子数据类型、细化取证措施方法、吸纳成熟经验确保数据安全传输、审慎适用特定措施契合比例原则。规则新增电子数据勘验、密码处置等措施，强调最小必要原则和严格审批制度，提升执法规范化水平。

本文详细分析了开源通讯软件中viewonce图片的调用逻辑，通过Fridahook技术追踪MTProto协议传输、消息解密及图片处理全流程。关键发现包括：viewonce图片以加密形式存储在cache目录，使用AES-CTR模式解密，密钥文件结构为32字节key+16字节iv。可操作建议包括hookEncryptedFileInputStream.read方法获取明文数据，以及通过拼接解密后的字节流重建图片文件。

公安部网安局公布5起网络谣言典型案例，涉及虚假摆拍绑架、诱骗至境外、学生怀孕、AI伪造景区坍塌和企业爆炸等谣言。违法行为人为博取流量故意编造传播虚假信息，严重扰乱公共秩序，目前涉案人员均被依法行政处罚或采取刑事强制措施。文档明确引用《治安管理处罚法》和《刑法》相关条款，警示网络非法外之地，提醒网民不造谣不信谣不传谣。

文章揭示AI投毒通过数据与模型污染操纵大模型输出，形成黑色产业链，建议加强技术防御如数字水印、完善法律法规、提升用户AI素养以交叉验证信息，警惕认知污染风险。

7-Zip26.00版本存在高危堆缓冲区溢出漏洞CVE-2026-48095，攻击者通过构造恶意NTFS归档文件可触发虚表劫持实现任意代码执行。该漏洞影响所有26.00及之前版本，具有文件扩展名无关的攻击特性，用户打开恶意文件即可触发。建议立即升级至v26.01修复版本并避免打开不可信归档文件。

Socket公司发现名为TrapDoor的跨生态系统供应链攻击，通过npm、PyPI和Crates.io分发34个恶意包的384个版本，针对加密和AI开发者窃取凭据、钱包密钥等数据。攻击利用postinstall钩子、build.rs脚本和导入时执行机制，并首次使用.cursorrules文件欺骗AI工具执行恶意指令。建议开发者检查依赖包来源并使用安全扫描工具。

PromptArmor报告指出微软Microsoft365CopilotCowork智能体存在间接提示词注入安全风险，攻击者可通过恶意技能文件操纵AI获取SharePoint与OneDrive文件预认证下载链接，并经由Teams消息外泄。测试显示该攻击在自动和指定模型模式下均成功，且定时执行功能会放大风险。建议加强技能文件审核与权限管控。

360数字安全集团联合多家机构在长沙召开《人工智能智能体工程师岗位能力要求》团体标准编制研讨会，旨在解决AI智能体人才岗位边界模糊、培养脱节等问题。会议推出NITE专业技能证书+ADE认证的一考双证体系，聚焦岗位能力框架建设、课程体系优化及评价规范制定，推动产教融合形成人才培养闭环生态。

越南两个部委系统发生严重数据泄露，数百万用户数据受影响。尽管机构已部署SOC安全平台，但未能检测到攻击，暴露了合格网络安全人才短缺和管理层风险认知薄弱的问题。建议加强专业人才培养并提升管理层安全意识，以避免类似事件重演。

本文汇总了2026年5月26日的安全动态，重点披露了多个高危漏洞的活跃利用情况。MuddyWater组织正利用Langflow的CVE-2025-34291漏洞进行初始入侵，思科SecureWorkload的CVE-2026-20223漏洞允许未认证攻击者获取最高权限。同时揭示了GhostTree通过NTFS连接点绕过EDR扫描、Linux内核DirtyDecrypt提权漏洞等新型攻击技术。文档强调立即应用补丁、更新内核模块、加强身份验证控制等缓解措施的必要性。

该文档详细解析了内网渗透中SSH横向移动的技术路径，涵盖核心文件解析、信息收集、凭据窃取、权限维持等全流程。关键发现包括：known_hosts文件可破解哈希获取内网IP地图，config文件常明文暴露高价值目标，私钥复用是最高效横向方式。可操作建议包括使用ssh-keygen碰撞IP、破解加密私钥、植入隐蔽公钥后门等。文档还提供了SSHAgent劫持、历史命令挖掘等辅助突破方案。

文档基于2026年安全报告数据指出网络攻击呈现三大趋势：82%攻击利用合法工具而非恶意软件，29分钟平均突破时间要求实时终端响应，89%AI攻击增长体现动态化威胁。核心结论是安全体系需从文件检测转向行为分析，强化终端探针的本地实时判断能力以应对伪装成正常的攻击手法。

AI正在降低诉讼门槛，使普通人无需律师即可通过AI工具生成法律文件提起诉讼，导致美国法院面临案件激增和AI生成内容中虚假引用等问题，引发司法系统应对挑战的讨论。

Microsoft365的CopilotCowork功能存在间接提示注入漏洞，攻击者可通过植入恶意代码的SKILLS文件绕过审批机制，自动向用户发送含预认证文件下载链接的Teams消息，导致企业敏感数据泄露。该漏洞在Claude等模型上验证成功，涉及AI代理权限设计缺陷。建议用户谨慎处理不可信数据源并加强技能文件审计。

GoogleI/O2026展示了AI智能体技术的重大进展，重点发布Gemini3.5系列模型和Antigravity2.0智能体开发平台。新功能包括智能体编排工具、Kotlin原生AIStudio集成、AndroidBench评估体系以及WebMCP开放标准，帮助开发者快速构建高质量移动端与Web应用。大会还推出迁移智能体、HTML-in-CanvasAPI等工具，显著提升开发效率与应用性能。

该研究基于3090次真实会话发现，SOC分析师主要将大模型用于数据解析与报告撰写而非决策，93%查询匹配NICE框架核心任务，仅4%用于恶意判定。建议未来实现大模型与遥测平台深度集成，打造无感知辅助工具，并暴露思维链避免分析师能力退化。

本文汇总了2026年5月下旬科技行业的多项动态：小米Q1营收991亿元，手机高端化成效显著，汽车交付量稳步增长；美光科技市值突破1万亿美元，受AI需求推动；字节跳动首次为Seed部门员工提供专属股权激励；支付宝发布四款AI支付产品并与多家AI公司合作；百川智能推出医疗大模型M4，强调低幻觉和强循证能力；面壁智能开源轻量化模型MiniCPM5-1B；荣耀和OPPO分别发布新机型聚焦影像功能；星巴克因AI库存管理系统存在识别错误终止试点。

文章提出'零信任+'网络安全框架，通过融合社会信任与技术信任解决传统零信任架构的验证成本高、跨域协同难等工程实践困境。该框架依托运营商网络实现碳硅融合身份认证，构建广域与局域网络协同联防机制，实现身份留痕责任闭环。关键路径包括信任锚定层构建、身份动态评估、协同控制与执行隔离，建议从理论标准完善、产业协作实践、开放生态构建三方面推进应用。

网络安全公司NordSecurity警告黑客利用《GTA6》延期发售的热度，通过虚假测试版、破解版和Beta密钥等名义传播恶意软件。诈骗网站诱导用户订阅付费服务，Windows恶意软件伪装成显卡驱动可操控PC，Android假冒应用则通过全屏广告和虚假验证实施诈骗。建议用户避免非官方渠道下载，警惕盗版网站克隆站。

文章探讨AI时代媒介乱象的约束之道，提出技术伴随、社会同构、全球通约三大原则。技术伴随强调伦理约束需与AI技术同步演进，通过算法评估、监管沙盒等动态监管；社会同构主张建立多主体协同的伦理框架，包括专业伦理守则和公众媒介素养提升；全球通约倡导基于共享价值的分层推进策略，以最小伤害原则达成跨国伦理共识。

本文探讨开源人工智能训练数据的合规治理问题，指出开源不等于放弃法律约束且训练数据无需强制公开。文章分析数据获取、处理、输出环节的法律风险，强调需对合规义务差异化认定，并提出完善授权契约、建立分类分级管理、强化自动化筛查、推动公共合规语料供给等治理路径。