ZONE.CI 全球网

斗象科技入选上海市AI+制造服务商能力图谱，同时入选AIforSecurity与SecurityforAI两大方向，旗下三大核心产品被收录，成为五家AI安全专业服务商之一。公司围绕AI+安全与安全+AI推进全栈自研，构筑面向新型工业化的AI安全能力矩阵，已服务汽车制造、电子制造、高端装备等头部企业，为制造业智能化转型筑牢安全底座。

观安信息参编的《城市全域数字化转型标准体系研究报告》及两项技术文件正式发布，报告确立基础通用、数字底座、转型应用、建设管理、安全保障五大标准方向，两项技术文件分别提供城市可信数据空间运行服务指引和人工智能公共服务平台总体要求，观安信息累计参与标准编制近200项，将持续深耕标准制定工作。

中国共产党第二十届中央委员会第五次全体会议总结了过去一年的工作，审议通过了全面从严治党若干重大问题的决定，并部署了新时代党的建设新的伟大工程。会议强调，全面从严治党是新时代管党治党、兴党强党的根本要求，全党必须持之以恒推进全面从严治党，确保党始终成为中国特色社会主义事业的坚强领导核心。

文章指出企业不应仅按CVSS评分安排漏洞修复顺序，需结合资产暴露、利用条件与业务影响综合研判风险。AI正加速漏洞发现与攻击自动化，安全应急窗口缩短至小时级。企业应建立从资产梳理、优先级排序到处置复核的风险闭环机制，并介绍了安恒信息X安全数字员工产品以提升响应效率。

该文档为武汉网络安全领域行业周报，聚焦中国网谷建设进展、国家信息化十五五规划印发及湖北新型工业化网络安全专项行动等政策动态，并报道天融信、奇安信、绿盟科技等企业安全产品与方案，涵盖AI安全运营、银狐木马防护及安全托管运营标准发布等内容，反映行业安全建设与合规发展趋势。

本文介绍ISC2面向会员免费推出的职业行为准则实战速成课程，旨在帮助安全从业者将准则条文转化为日常工作决策依据。课程采用轻量化录播形式，结合风险沟通、问题上报等真实业务场景，提供30-60-90天行动规划，完成可累计CPE学分，强调将职业准则落地为职业习惯。

文章指出2026年AI挖洞的核心瓶颈并非模型能力不足，而是缺乏可靠的停止机制。通过真实案例说明Agent无法区分找到与编造，存在认识论、工程学与经济学三重失效。基准分数掩盖了开放搜索空间下完成标准缺失的问题。建议从外部工程化停止条件，包括覆盖率台账、证伪机制、预算曲线与不可绕过的实证门，强调停止是治理问题而非模型能力问题。

本文讲述DeepSeek因logo被网友戏称为蓝色大肥鱼，并衍生出拟人化角色鲸鱼娘。网友通过插件将AI接入QQ等平台，进行互动、创作表情包和周边，形成社区文化。文章引用庄子濠梁之辩，探讨人与AI的情感连接，认为鱼之乐实为人之乐。

本文借鉴军事地形分析OAKOC框架，提出用网络地形视角审视防御，强调识别关键地形、接近路线等结构，结合网络空间测绘与国家标准，指导防御者先理解网络结构再行动，并需持续更新地形认知。

本文系统阐述OAuth2.0四种授权许可机制原理，重点分析常见安全漏洞，包括CSRF攻击、XSS攻击、授权码失窃、重定向URL篡改及登录流程设计缺陷，并给出安全加固建议，如使用state参数防CSRF、精确校验重定向URI、授权码一次性销毁等，对开发与安全测试人员具有实践参考价值。

本文研究了SonoffZigBee网关的安全问题，发现两处CVE漏洞，涉及调试口访问控制和云端通信安全，并提出了相应的防御建议。

本文源码级拆解SpringBoot4.1新增的InetAddressFilter组件，用于防护SSRF攻击。文章指出传统URL字符串黑名单防护因进制变形、DNS重绑定等手段必然失守，正确防护应在DNS解析后TCP连接前校验真实IP。深入分析externalAddresses()实现原理、specialPurpose()中25条CIDR清单及阿里云元数据地址默认拦截逻辑，并揭示negate()不等价于externalAddresses()的反直觉陷阱。

本文为CTF题目ciscn_2019_n\\_1的解题writeup，属于PWN类型栈溢出利用。通过checksec和IDA分析发现gets函数存在栈溢出漏洞，可覆盖浮点数变量v2为11.28125，从而执行system(cat/flag)获取flag。文章提供了完整exp脚本，步骤清晰，可操作性强，对CTF学习者具有参考价值。

本文为CTFPWN题目jarvisoj_level0的解题记录。题目开启了NX保护，通过IDA分析发现vulnerable_function存在栈溢出漏洞，可利用read函数覆盖返回地址跳转到后门函数callsystem执行system(‘/bin/sh’)。文章提供了详细的栈帧分析和利用SSL连接的完整payload构造方法，可操作性强，适合CTF入门学习。

本文介绍EREBUS攻击，一种针对比特币P2P网络的隐蔽分区攻击，攻击者利用AS拓扑优势，通过影子IP耐心影响目标节点对等决策，最终控制其全部传出连接，实现不可检测的网络分区。文章详述攻击各阶段、评估及对策，指出减小表大小、增加传出连接等有效防御措施。

吉利汽车联合产业链伙伴将于2026年11月20日在宁波举办车载边缘网络通信大会，并启动《车载边缘网络技术白皮书》编制。白皮书将覆盖RCP、10BASE-T1S等多项技术，聚焦六大研究方向，已有超80家单位参与，旨在推动车载边缘网络技术从验证走向产业落地。

本文记录TrailofBits团队在DistrictConJunkyard比赛中攻破两款EOL家庭网络设备的研究。NetgearWGR614v9通过UART获取访问，利用UPnP认证绕过与缓冲区溢出实现远程root；BitdefenderBoxV1通过SPI提取固件，利用未认证降级与命令注入实现持久化控制。文章强调EOL设备因厂商停止更新而更易受攻击，建议用户关注设备支持周期并加强固件安全防护。

本文分享一篇关于多无人机MEC系统调度优化的论文，提出基于混合动作多智能体深度强化学习（HA-MADRL）的协同卸载框架，联合优化无人机轨迹、算力分配与任务迁移，以最小化任务时延。通过Gumbel-Softmax实现离散迁移动作可微建模，采用集中训练分布式执行架构。实验表明该方法收敛快、时延低，能提升边缘算力利用率。

文章分析20家A股网安公司2016-2025年营收数据，显示行业总营收从2022年峰值400.2亿缩至2025年334.8亿，降幅16.3%。仅深信服和迪普科技两家创新高，行业集中度提升，第一名份额从15.9%升至24%，中间层公司收缩最明显，行业进入存量竞争阶段。

该报告研判以无人反无人拦截型UUV/USV反UUV作战运用，指出现役反潜手段难以应对小型自主目标，提出发现移交拦截处置无人协同流程框架，并分析DARPASync项目正交反制思路，研判无人对无人水下对抗发展路径与平台谱系演进方向，为相关领域能力建设提供参考。

Linux内核TCP漏洞CVE-2026-98432被评9.8分，影响Ubuntu、RHEL等发行版。漏洞为TCP握手时的释放后使用竞态条件，Anthropic的AI模型已编写利用程序可远程root执行命令。截至10月29日Ubuntu和RHEL未发布修复，Debian、Oracle、SUSE等已修复。建议用户安装厂商修复内核或更新至最新稳定版本。

本期通报六项安全风险，核心为认证边界被穿透。Linux内核CVE-2026-98432评分9.8，未认证攻击者可越界写内存；思科SSLVPN漏洞已遭在野利用可致设备重启；无印良品应用约2726万条客户信息或外泄；WS\\_FTPServer认证缺陷满分10.0可读管理员凭据；OpenShiftAI网关跨租户注入云凭据。建议按外网可达与无需认证筛选优先处置，升级补丁并加强日志留存。

美国国家情报总监办公室通过经济安全与新兴技术办公室发布市场调研，拟构建经济金融数据融合平台，整合商业、公开及非机密数据，服务经济安全、金融情报、制裁、供应链和外国投资分析。平台要求支持大规模数据摄取、ETL、实体解析、知识图谱及API访问，并强调访问控制与审计。采购对完整方案和组件模块均开放，预计2027至2028年部署，当前仍属非正式招标阶段。

研究认知域作战，包括AI、算法与深度伪造的武器化应用、周边海空局势与国家认知安全防御、脑科学、神经武器与军人心理战备、联合作战、无人化与多域融合架构等多个方面，旨在拆解数字时代心智博弈，提供认知战研究。

该研究扫描Gitee平台725万个公共仓库，发现26400个仍有效的私人凭证，集中于阿里云、DeepSeek、OpenAI等云与AI服务。2025年提交的凭证占近一半，历史提交是主因。建议开发者轮换暴露令牌、清理历史提交并引入自动化扫描。