ZONE.CI 全球网

本文详细解析SM3哈希算法基于Merkle-Damgård结构的自定义IV机制及其在长度扩展攻击中的应用。通过具体攻击场景演示，说明攻击者仅需知晓密钥长度和原始token即可伪造消息认证，并推荐使用HMAC-SM3作为防御方案。文档强调所有基于Merkle-Damgård的哈希函数都存在此特性，切勿使用裸哈希进行消息认证。

PCSA将于2026年6月27日第六届数字安全大会发布两项核心成果：一是2026版AIforSecurity系统工程认知罗盘图，旨在解决企业AI安全落地中技术热、认知散、实施乱、成效虚的困境，提供从战略到执行的体系化导航；二是预发布《数字化安全工程导论》教材，该教材由权威机构组织编写，总结行业先进实践经验，旨在指导十五五期间网络与数据安全建设，面向安全决策、管理、技术及运营人员。

本文系统分析了AI时代供应链安全的新挑战，指出AI扩展了传统软件工厂边界并衍生出训练数据投毒、模型权重篡改、代理框架滥用等新型攻击路径。文档提出十大防护实践：建立AI物料清单、加固开发流水线、实施零信任架构、模型加密签名、扫描代理配置、加固RAG链路、防护内存存储、可视化风险及AI红队测试，强调需统一管控模型、数据、工具链以构建可信AI供应链。

本文是《2026年AI指数报告》的第五部分，核心主题是负责任的人工智能（RAI）。文章指出，尽管RAI的基础设施正在发展，但进展不平衡且未能跟上AI部署的速度。报告显示，近年来AI相关事件数量显著增加，例如因模型输出失控引发的公众愤怒、利用深度伪造视频和AI辅助网站进行的诈骗等。同时，文章分析了RAI基准测试的现状，发现前沿模型在通用能力评估上高度一致，但在RAI评估方面却很少公开结果。此外，报告还探讨了组织在实践中对RAI的成熟度、治理结构及面临的挑战，并强调了AI陪伴等新兴交互形式带来的新问题。

该研究对Anthropic的Fable5和Opus4.8模型进行红队测试，使用四种攻击方法在7826条恶意意图基准上进行评估。关键发现：自适应迭代攻击（如TAP）成功率显著高于静态混淆攻击，Opus4.8在儿童安全领域漏洞率达27.6%。防御建议需聚焦语义级实时检测而非字符级过滤。

文章通过真实案例分析了某业务每天60次19秒超时的故障排查过程。关键发现是负载均衡器将TTL值统一改为255导致流量被导向CPU慢速通道，在微突发时产生排队延迟。解决方案采用TTL分治策略：正常业务流量设TTL=127走硬件快通道，异常流量保留TTL=255走慢通道，同时调整应用超时参数和线程池配置。

本文系统分析双因素认证(2FA)的绕过风险，指出攻击者可通过强制浏览、响应篡改、暴力破解等基础漏洞及CSRF、IDOR等高级手法突破认证防线。文章强调2FA仍是防御自动化攻击的有效手段，但企业需转向持续自适应认证体系，结合行为审计与动态风险评估强化安全架构。

原理想汽车销售与服务高级副总裁邹良军于2025年底创立索奇思（深圳）信息科技有限公司，正式进入人工智能赛道。该公司聚焦AI应用软件、智能机器人研发及大数据服务，前期已接触汽车与科技行业客户开展智能培训Agent项目。邹良军拥有华为、荣耀及理想汽车的高管经历，具备丰富的市场营销与渠道管理经验。

AutoEEA2026第二届下一代汽车电子电气架构峰会将于7月8-9日在上海举办，英飞凌科技EEA技术市场负责人将发表主题演讲。会议汇聚奇瑞、比亚迪、特斯拉等180余家车企及供应链企业，聚焦分布式向中央计算架构转型的解决方案，涵盖30余位专家分享、50多家主机厂技术需求对接等核心内容。

文档介绍了2026年蓝队防御领域三大实战认证：OSIR侧重事件响应全流程与8小时实操考试，OSDA聚焦SOC运营和威胁检测技术，CISP-TRE贴合国内政策合规与威胁响应实战。核心结论指出证书是求职、投标、晋升的硬性门槛，建议从业者通过实战认证提升防守能力。文中提供免费试听及讲师团队背景说明。

本文基于《高质量数据集建设指南》系统梳理了数据集全生命周期管理的七大核心环节（需求定义、数据采集、清洗、标注、评估、版本发布、迭代优化），并针对每个环节推荐了相应的开源工具。文章强调了标准化工具链对提升数据质量的重要性，并提供了中国信通院的第三方质量认证服务联系方式。

第一届CCF网络与系统安全大会将于2026年8月21-23日在杭州举办，主题为’安全为基，智算未来’。会议设主论坛和专题论坛，聚焦网络与系统安全、人工智能安全、数据安全等热点议题，旨在促进产学研合作。参会者可通过官网链接或二维码注册。

亚信在2026链博会英伟达展区展示其Token运营平台，通过五可能力实现企业AI成本精细化管理，将AI从成本中心转为价值引擎。平台支持多部署模式，可降低30%-50%AI支出，同时推出PhysicalAI产品体系助力工业制造等高价值场景落地。

国家网信办发布《促进分布式数字身份互通互认应用规定（征求意见稿）》，明确DID由标识符、密钥、可验证凭证等构成，旨在建立跨平台身份认证体系。规定涵盖八大章节43条内容，定义身份链运营方、认证机构等各方职责，鼓励多元主体参与建设。飞天诚信作为行业领军企业，将加大研发投入参与国家区块链网络建设，推动DID在金融、政务等领域的应用落地。

本文解读了《国家网络身份认证公共服务管理办法》中网号与网证的核心定义：网号是与自然人身份信息对应的不含明文的网络身份符号，网证是承载网号及非明文身份信息的认证凭证。文章概述了管理办法的四大内容要点，包括概念申领、应用场景、数据安全责任及未成年人特殊规定，强调自愿使用原则并鼓励互联网平台接入公共服务。

云晓春指出大模型时代网络安全面临四大根本变化：攻击门槛降低且效能提升、防御自动化水平跃升、威胁主体多元化智能化、大模型自身成为新攻击面。技术攻关方向包括大模型原生安全机制、AI自主运营体系和供应链安全建设。建议研究范式向智能体构建、多学科融合和常态化红蓝对抗转型，同时传统静态防御和孤立安全技术价值显著下降。

《网络数据安全风险评估办法》将于2026年8月20日施行，要求重要数据处理者每年开展风险评估，一般数据处理者每3年一次。办法明确评估可自行或委托第三方进行，禁止评估机构转委托及连续3次服务同一客户。通过建立部门协同机制实现一评多用，重要数据处理者需在评估后20个工作日内报送报告。该办法填补了数据安全评估规范空白，推动风险治理从事后补救转向事前预防。

2026年6月17日中国信通院联合产业界召开AI赋能物联网产业发展专题研讨会，聚焦AI与物联网深度融合。会议解读了ITU-TSG20人工智能焦点组的国际标准工作布局，并邀请石化、电力、农业、物流领域企业分享AI落地实践与行业痛点。与会专家形成多项共识，明确将加快关键技术标准研制并积极参与国际标准化，助力我国物联网产业高质量创新发展。

美国总统特朗普签署第14409号行政命令，启动后量子密码强制迁移以应对量子计算威胁。该命令确立双线协调机制，要求联邦机构在30天内指定迁移负责人、90天内提交高价值系统迁移计划，并设定2030年底前完成密钥建立迁移、2031年底前完成数字签名迁移的时间表。同时要求NIST开展试点、修订验证流程，并强制联邦承包商在2030年前遵守后量子密码标准。

美国总统特朗普签署两项行政命令，第14409号命令要求联邦机构在2031年前完成后量子密码迁移并推动全球采用NIST标准，第14411号命令布局量子技术全链条发展，包括研发大型量子计算机、重构供应链及加强人才与风险管控。

Groundsource是一个开放获取的全球洪水事件数据集，包含260万条高分辨率历史洪水记录，覆盖150多个国家2000年至今的每日数据。数据集通过GeminiLLM处理500多万篇新闻报道自动提取时空信息，填补了全球洪水观测空白。文档提供了GEE下载代码和可视化示例，同时指出数据存在时间近期性偏差、空间媒体覆盖不均等局限性。

本文为HackingGroup访谈节目HGTALK第三期预告，邀请车联网安全专家非克于2026年6月28日进行直播对话。非克作为奇车安全战队队长，将从密码安全转型车联网安全的实战经验出发，探讨车联网漏洞挖掘、具身智能安全风险、顶会论文实战逻辑等话题，为安全从业者提供技术洞察与交流平台。

天融信教育于2026年6月成功举办CTF网络安全实战挑战赛，聚焦渗透测试、应急响应、逆向工程等前沿技术领域，通过仿真靶场实战提升学员对抗能力。赛事采用新一代竞赛平台实现自动评分与实时排行，并为优秀学员提供企业项目实战机会，有效推动网安人才培养从知识传授向能力赋能转型。

Joomla!的JCEEditor和SPPageBuilder扩展存在未授权任意文件上传漏洞CVE-2026-48907/48908，攻击者无需认证即可上传恶意脚本实现远程代码执行。影响版本为JCEEditor1.0.0-2.9.99.4和SPPageBuilder1.0.0-6.6.1，建议立即升级至安全版本。360漏洞研究院已复现漏洞并提供检测支持。

该文档为天融信教育2026年公开课第八节直播预告，主题为AI赋能的漏洞挖掘与风险管控。核心指出传统密码策略在AI智能字典爆破面前存在防御短板，强调需采用适配AI时代的新策略保护数字资产。关键发现包括AI能学习用户设密码习惯、国密SM算法应用价值以及AI与传统密码的碰撞分析。可操作建议为参与6月25日19:30直播课程获取具体解决方案。