ZONE.CI 全球网

360智能体安全管理与防护系统近日通过公安部第三研究所检测认证，成为国内首个人工智能安全态势管理系统增强级认证产品。该系统采用探针技术实现技能级颗粒度监控，通过规则引擎和AI语义分析双机制检测资产风险，覆盖越权调用、异常外联等70余类风险行为。此次认证标志智能体安全进入标准化治理新阶段，为行业提供可参考的工程化样本。

IDC报告显示长亭科技雷池WAF以14.4%市场份额成为2025年国内硬件WAF榜首，年度营收增长41.6%。产品融合AI语义分析3.0与自研内核协议栈，具备99.99%检测精度，支持云原生架构与国产化适配，通过软硬件融合方案实现WAAP一体化防护。

本周蓝军技术推送涵盖内网渗透、终端对抗、漏洞分析、AI安全及云安全五大领域，重点包括利用DevTunnels协议构建C2通道、DockerONBUILD供应链攻击向量、AI代理安全工具包及Lambda函数URL滥用等前沿攻防技术，并提供maSSO、Fenrir等实战工具与漏洞利用细节。

《中国个人信息保护报告（2025年）》首次由国家网信办发布，系统总结了2025年我国在个人信息保护制度体系建设、监管治理、社会共治等方面的成果。报告包含七个主体部分和附录，涵盖法律法规、国家标准及司法案例，为`十五五`期间工作提供实践指引，旨在提升社会保护意识并展示我国在国际领域的保护成就。

工信部印发《人工智能+信息通信创新发展实施意见（2026-2028年）》，围绕信息通信行业智能化升级、夯实AI发展底座、深化融合应用创新、增强行业治理能力四大方向部署17项任务。目标到2028年实现信息通信网络高等级自智，形成30个以上高价值场景，提升城域算力1毫秒时延圈覆盖率至75%，强化网络和数据安全保障体系。

悬镜安全凭借新一代数字供应链安全治理体系入选《2026人工智能安全产业全景图》五大赛道。该体系覆盖AI原生安全与软件供应链安全，通过AI代码护栏、AI代码漏挖、安全大模型等技术实现从代码生成到运营的全生命周期风险管理，为企业AI转型提供自动化安全支撑。

该文档警告一个名为pentest-skills的GitHub开源项目存在安全风险，称其自动化测试工具可能执行删库操作并创建黑客账号。文档同时包含HVV网络安全招聘广告，提供初级到高级研判岗位，月薪10k-30k，并附有腾讯文档投递链接和招聘流程说明。

文档介绍了一项限时免费活动，用户可通过指定链接注册讯飞星火平台获取Qwen3.6和Qwen3.5模型的无限量Token使用权，活动截止至6月30日。文章详细提供了从模型选择、API密钥生成到CCSwitch工具配置的完整操作指南，包括接口地址填写和协议转换说明，并附有测试验证方法。

该文档提及GitHub仓库pentest-skills在自动化测试过程中包含删库语句，存在潜在安全风险。内容涉及渗透测试技能相关资源，但未提供具体技术细节或安全建议。

公开资料显示美国NSA正在使用Anthropic的ClaudeMythos模型开展网络攻击行动，Anthropic还派驻工程师协助NSA部署定制模型。该事件表明AI公司与情报机构的关系正从工具提供转向嵌入式协作，前沿AI能力正进入国家级网络攻防体系，这种双用途AI可能降低网络攻防成本并重塑安全边界。

本文系统解析SRC中SSRF漏洞的挖掘技术，涵盖漏洞原理、危害场景、利用协议（HTTP/file/dict/gopher）及多种绕过方法（DNS重绑定/302跳转/特殊符号替换）。重点提供云平台元数据攻击、PDF导出组件漏洞等实战案例，并给出禁用高危协议、IP限制等防御建议。

文章披露某智慧能源管理平台两处0day漏洞：session伪造漏洞因struts框架未对/systems路径鉴权，通过构造特定参数可绕过登录验证；后台SQL注入漏洞位于UserAction类的operIdVaild方法，参数直接拼接导致可验证数据库名。漏洞已修复，作者强调仅供技术研究。

该文档通过实战案例揭示CiliumeBPF零信任策略在K8s环境中的DNS隧道绕过风险。攻击者利用Pod向外部DNS服务器发送编码数据的查询请求，虽然Cilium会拒绝非白名单域名的响应，但查询包本身已实现数据外传。关键发现包括FQDN策略盲区、DoH/DoT绕过手法及子域名控制漏洞。防御建议需结合L7DNS内容检查、限制外部DNS查询、监控流量异常等多层措施，强调零信任需细致配置而非依赖单层防护。

安全公司depthfirst利用AI代理以约1000美元成本发现FFmpeg中21个零日漏洞，多个漏洞潜伏超15年；同期Chrome149版本创纪录修复429个漏洞。文章指出AI正大幅降低漏洞发现成本但加剧了修复压力，建议用户立即更新FFmpeg和Chrome，并强调安全生态需适应更短的补丁周期。

信息窃取木马（Infostealer）已成为网络犯罪关键基础设施，通过MaaS模式商品化，以窃取账号密码、Cookie、会话令牌、VPN及加密货币凭证等敏感数据为目标。其通过钓鱼邮件、假验证码等社会工程学手段传播，窃取的数据（stealerlogs）在黑市交易，成为数据泄露、勒索攻击等后续攻击的入口。防御需从防病毒转向防凭证失陷，建议全面启用多因素认证（MFA）、建立凭证监测与轮换机制、加强EDR能力及异常登录监测。

作者分享使用Fable5在半小时内完成2.8万行代码的重构案例，将SpringBoot+MySQL架构的资产管理应用重构为Bun+TypeScript+SQLite的轻量化方案。关键发现包括重构后经GPT-5.5和Fable5交叉审查均未发现BUG，且后续复杂功能开发同样实现零缺陷，表明AI代码生成质量已突破需人工复审的传统工作流。可操作建议是明确需求后可直接依赖高质量AI完成开发。

Anthropic下一代安全模型Oceanus在2026年6月3日开启红队测试数小时后，API访问权限被内部人员违规倒卖至第三方代理平台，模型输出样本在社交媒体大量泄露。事件暴露AI安全评估存在分发管控失效、灰色产业链成型和安全护栏可逆性三大系统漏洞，凸显红队测试需建立端到端权限追踪、降级模型测试和实时滥用检测机制。建议行业制定红队测试行为准则并强化法律约束。

Zack-AI-Scanner是一款基于大语言模型的BurpSuite扩展工具，通过AI智能分析HTTP请求特征，支持17种常见Web漏洞检测并具备WAF绕过能力。该工具可动态生成测试Payload，通过置信度阈值≥90%的二次验证确保漏洞真实性，支持HTML和Markdown格式报告导出。项目提供Maven构建部署指南及图形化配置界面，需配置API密钥后即可在BurpSuite中启动智能扫描。

Cairn是一个无预设角色和工作流的通用问题求解引擎，通过黑板架构实现事实-意图图管理，支持OODA循环和间接协作的智能体工作模式。该系统提供Bootstrap、Reason、Explore三类动态任务，可在渗透测试等场景中自动探索解决方案路径。文档包含完整的部署指南和项目地址，但末尾存在证书售卖等非技术内容。

本文介绍了一款基于LLM的AI自动化渗透测试工具Hati，通过实战案例展示其能在6分钟内通过动态决策流程发现SQL注入等漏洞。工具采用三层隔离架构（LLM主机+KaliVM沙箱），具备RAG知识库和循环调整策略能力，与传统扫描器相比更能模拟人类渗透测试员的判断过程。作者已开源代码并预告后续7篇技术详解。

CodeStatistics是一款开源代码行数统计工具，可分析项目中的代码文件并生成详细统计报告。主要功能包括统计总行数、代码行数、注释行数和空行数，支持文件类型分析及灵活的过滤机制。工具内置常见代码文件白名单和非代码文件黑名单，支持自定义配置，可生成CSV格式报告。通过命令行参数可进行基本分析、生成报告或自定义过滤规则。

本文揭示企业AI应用中数据治理的严重盲区，指出生产数据在AI开发各环节被大量复制且缺乏监管，导致客户隐私泄露风险。文章通过真实案例说明数据副本在开发环境、承包商设备中失控留存，并警告大模型可能记忆并泄露训练数据。最后提出三大治理路径：绘制真实数据流向、强制脱敏或合成数据、将数据溯源纳入AI风险审查。

本文介绍AI自动化漏洞挖掘培训课程，宣称通过五阶段学习可掌握AI自动挖洞技能，包括建立框架、核心训练、经验注入、进阶构建和实战带挖，支持越权、SQL注入等漏洞类型，目标为提升SRC效率并实现自动化收益。

2026年6月1日，红帽官方@redhat-cloud-services命名空间下的32个npm包被植入名为miasma的凭据窃取蠕虫，波及96个版本，周下载量约11.7万次。攻击者盗用员工账户，通过GitHubActionsOIDC机制利用可信发布通道推送后门版本，安装即触发preinstall脚本扫描并外传GitHub、AWS、GCP、Azure、Vault、Kubernetes等全套云凭据与本地密钥。建议立即轮换凭据、排查CI/CD环境、锁定依赖版本并启用恶意包检测。

本文针对央企数字化转型中的数据安全风险，提出基于数据安全标签的全链路管控体系。该体系通过数据分类分级、敏感数据识别、安全标签标注、与第三方安全服务联动及全链路可视化，实现数据从采集到销毁的全生命周期安全管控。研究表明该体系可有效弥补现有防护短板，提升数据安全治理能力，并以某国有大型商业银行案例验证其在降低泄露风险、提升运营效率和增强合规水平方面的显著成效。