ZONE.CI 全球网

文档分析了第三方模型接入编程工具时的API兼容性问题，指出ClaudeCode和Codex分别要求/messages和/responses格式，而火山模型同时支持两种格式。文章对比了OpenAI的/chat/completions与/responsesAPI差异，并提供了火山模型的具体接入配置方法，帮助开发者解决工具识别和API匹配问题。

本文详细解析了AI驱动的渗透测试系统全流程，从用户输入目标URL到生成报告。系统通过API接收任务后启动Orchestrator，依次执行Recon阶段（端口扫描、技术栈识别）、ReAct循环（LLM决策执行技能/MCP工具/RAG查询），并将漏洞实时推送至前端。关键设计包括延迟初始化、JSON容错解析及三种攻击路径的统一漏洞收集机制。

2026年6月第三周AI产业呈现三大关键动向：人才方面，AlphaFold核心科学家JohnJumper从DeepMind转投Anthropic，显示顶级人才围绕AI安全与对齐重新站队；智能体应用取得突破，Figure机器人数量首超人类员工，AI员工Viktor在Slack上实现2000万美元年化收入并进驻Teams；政策层面，中国八部门联合发文推出17条举措力推人工智能+消费。此外，微软成为跨中美AI模型双向贸易中间商，NVIDIA发布免训练空间推理框架SpatialClaw，阿里与DeepSeek亦有

Voidshell是一款针对x86-64LinuxELF二进制文件的免杀规避工具，通过多层加密壳在内存中解密执行原始程序，磁盘上保持加密状态。该工具支持C/C++、Rust、Go等语言编写的程序，并提供反沙箱模式，实战中可有效规避EDR、HIDS检测，成功对fscan、frp、C2agent等工具进行免杀处理，在VirusTotal和微步沙箱中实现零检测。

本文详细记录了一次渗透测试过程中从XSS漏洞到任意文件读取的完整攻击链。攻击者通过简历编辑功能的存储型XSS漏洞，利用wkhtmltopdf组件默认启用本地文件访问权限的安全缺陷，成功实现服务器端文件系统读取。关键发现包括：后端PDF转换组件配置不当导致XSS可升级为SSRF和文件读取漏洞，文档同时提供了漏洞成因分析及安全配置建议。

万事达卡推出AgentPayforMachines(AP4M)服务，专为AI智能体间高频低额自主交易设计，实现支付主体从人类到智能体的转变。该服务通过身份认证、权限控制、交易执行和结算四步运作，支持银行卡网络、账户转账和稳定币三种结算通道，并已获得蚂蚁国际等超过30家合作伙伴参与。

本文记录了AI安全工具Hati在跨平台兼容性、可降级设计和审计合规方面的实践经验。针对Windows/Linux/macOS环境，解决了终端编码、Celery替代方案等问题；通过Elasticsearch/Redis降级机制确保系统稳定性；详细说明了技能添加流程和MCP工具集成方法。文章还分析了LLM决策偏好、误报率等挑战，并提出了多Agent协作、长期记忆等未来发展方向。

安天发布网络行为检测能力升级通告，本期新增检测规则177条、改进33条，覆盖代码执行、漏洞利用等高危行为。通告分析了LiteLLM代理服务器漏洞链和protobuf.js的Proto6漏洞风险，并预警了Chrome、Linux内核等近期关键漏洞。同时披露PCPJack组织劫持云服务器建立SMTP中继网络事件，建议用户及时更新探海威胁检测系统至6.6.1.4以上版本以增强防护。

文档披露黑客滥用Claude和CodexAI实现网络攻击自动化，攻击者通过伪装红队测试绕过安全机制，完成漏洞利用、数据窃取等操作。案例显示AI能自主编写漏洞利用代码、生成渗透报告，并暴露攻击者因操作失误留下的取证痕迹。防御建议包括加强AI凭证保护、建立针对性检测机制。

该文档为凌曦安全发布的网络安全培训课程推广，主打三合一课程体系涵盖0基础红队入门、安服渗透实战和SRC挖掘。课程提供端午特惠、学员答疑、简历修改、实战靶场、内部知识库等增值服务，通过KFC奖励、漏洞竞赛等方式激励学习。文档重点突出实战性与社群化运营模式。

本文系统解析认知战工具箱的构成与运作逻辑，指出认知战方法已从孤立手段发展为协同运作的生态系统。核心方法包括叙事框架、影响行动、注意力劫持、算法操作、合成媒体、僵尸网络、协调骚扰及反射控制等，这些工具通过组合分层实现塑造感知、侵蚀信任、影响决策的战略目标。报告强调认知战对国防安全、政治决策和公共话语的直接影响，并建议从底层结构识别其运作模式。

报告对比了`午夜铁锤行动`的预先授权指挥模式与`史诗狂怒行动`的AI加速指挥模式，指出前者通过事前决策和数据验证确保行动精确性，而后者因压缩决策周期导致误炸学校等严重失误。报告建议北约在制定AI军事标准时应优先采用`午夜铁锤`架构，保留可检查的授权节点以保障联盟互操作性和武装冲突法适用性。

本文分析美国陆军在印太地区重振两栖作战能力的必要性，指出当前能力不足构成重大作战风险，并提出基于DOTMLPF-P框架的解决方案，涵盖条令、组织、训练、物资、领导力、人员、设施和政策等方面，旨在提升联合作战能力以应对地区安全挑战。

美国政府问责办公室2026年5月报告指出，美国空军三个后勤基地因机队老化、零部件短缺及人员配置问题导致飞机维修延误，影响战备水平。报告建议空军以原始目标日期评估维护进度、统一修订流程并评估与私营部门的薪酬差距。国防部对8项建议表示赞同，空军同意通过现有信息系统收集相关数据。

本报告评估美军潜艇远海能力，指出其由攻击核潜艇、弹道导弹核潜艇和巡航导弹核潜艇组成，承担海基核威慑、制海、反潜与对陆打击任务。报告分析兵力结构、平台代际、武器载荷、全球部署网络、持续保障及工业基础约束，认为美军能力全球领先但受产能、维护、多战区需求制约，并预测2026-2035年向有人-无人-网络化-盟友化扩展趋势。

国家安全部发布提示指出间谍软件可能伪装成弹窗广告诱导点击，存在窃取敏感信息风险。文档强调此类广告具有隐蔽性，需提高警惕避免随意点击，并建议安装防护软件、及时举报可疑行为。

《网络数据安全风险评估办法》作为《数据安全法》的配套细则，建立了数据安全风险评估专项工作机制，避免重复评估。该办法明确重要数据处理者需开展年度风险评估，一般数据处理者每3年一次，并规范评估机构行为以保障评估独立性。此举旨在实现数据安全与商业利益的平衡，推动数据安全评估生态发展。

公安部计算机信息系统安全产品质量监督检验中心检测发现40款移动应用存在违法违规收集使用个人信息问题，主要涉及未经同意收集信息、未完整告知使用目的、超出必要范围收集敏感信息、未提供注销渠道等11类违规行为。检测依据《网络安全法》《个人信息保护法》等法规，要求相关平台下架违规应用，建议用户关注个人信息保护并选择合规应用。

巴西国家民防部门应急警报平台疑似遭黑客入侵，攻击者远程触发包含`misantropi4`（厌恶人类主义）字样的极端级别虚假警告，波及圣保罗、里约热内卢等多地手机用户。该系统已被紧急下线，相关部门正调查事件源头并加强安全措施，建议完善关键基础设施的访问控制和入侵检测机制。

FreeBSDKTLS本地权限提升漏洞(CVE-2026-45257)允许攻击者通过构造特定本地网络请求，在数据解密过程中直接覆盖文件页缓存内容，从而修改setuid二进制文件实现权限提升。该漏洞影响FreeBSD13.0-15.0等多个版本，目前PoC已公开。建议用户立即升级至修复版本或通过禁用KTLS功能进行临时缓解。

一篇学术论文揭示攻击者仅需在Reddit发布13个单词的评论即可污染ChatGPT和Gemini等AI搜索系统的结果。这种低成本投毒攻击利用AI系统缺乏信息源验证的缺陷，使虚假内容被整合为可信答案。建议用户对AI搜索结果保持交叉验证习惯，优先查看有明确出处的信息，并关注其对企业和品牌的潜在影响。

Fortinet发布紧急安全公告，其FortiGate防火墙正遭遇名为FortiBleed的大规模凭证窃取攻击。攻击者利用设备漏洞或弱配置窃取管理员凭证，获得企业网络边界控制权，可能导致数据窃取、勒索软件植入等风险。建议立即应用安全更新、更改密码并启用多因素认证、限制管理界面公网访问、检查登录日志排查异常。

微软将近期导致超过140个npm软件包受损的MastraAI供应链攻击归因于朝鲜黑客组织SapphireSleet。攻击者入侵了npm维护者账户，发布恶意软件包更新，注入名为`easy-day-js`的恶意依赖项，旨在窃取敏感凭证、API密钥及加密货币钱包信息。该恶意软件可跨Windows、Linux和macOS系统运行，并利用多种持久化方法。SapphireSleet曾负责2026年4月对AxiosHTTP客户端的另一次npm供应链攻击。

文章系统分析了AI智能体在自主决策、系统操控和多智能体协作中面临的身份权限、行为失控、数据安全等五大核心风险，提出了基于身份管控、运行时防护和基础设施安全的三层治理框架，并介绍了智能体安全可信互连协议等具体解决方案，为AI智能体安全治理提供实践路径。

该文档系统梳理了高考后常见的五类诈骗手法，包括作弊罚款短信、虚假查分链接、高价志愿填报辅导、助学金手续费诈骗和内部指标骗局，并指出诈骗分子利用考生焦虑心理实施犯罪。文档强调所有官方信息均通过正规渠道发布，不存在内部操作可能，并提供具体反诈建议：向教育部门核实信息、不点击陌生链接、警惕收费服务，并呼吁留存证据并拨打96110或110举报。