ZONE.CI 全球网

该文档介绍了一款原创U盘管理软件，具备USB存储设备启用/禁用、记录U盘插拔时间及文件操作（如拷贝）功能，并能通过摄像头每隔3秒拍照记录操作者。作者计划未来增加AI数据窃取行为识别和钉钉/飞书/邮件告警功能，预计一周后开放下载。

2026年世界杯期间监测发现66,128个相关域名被抢注，其中62%在5月后集中注册，99%注册期限仅1年显示短期投机性质。21%域名可追溯至10个注册人邮箱，73%通过同一注册商和名称服务器完成，呈现明显批量注册特征。域名命名意图分析显示博彩类占比最高，其次为赛事直播和应用下载，存在显著钓鱼与品牌侵权风险。

上海浦东发展银行2026年AI红蓝攻防服务项目采购公告，要求供应商提供涵盖大模型资产梳理、内容安全评估、模型安全检测、框架组件安全评估和应用安全评估的全流程AI安全服务。项目分为准备、实施、修复和复测四个阶段，投标人需具备银行业大模型安全测评相关案例经验。资金来源为企业自筹，开标时间为2026年7月1日。

该文档为2026年天津市职工职业技能大赛暨全国大赛天津选拔赛的预通知，宣布将举办人工智能训练师等6个工种的竞赛，大赛按国家职业标准高级工要求组织（理论30%+实操70%），面向各类企事业单位在职职工（不含院校教师及往届冠军），6-7月进行基层选拔，8月10日前完成报名，8-9月开展市级选拔赛。

SekaiCTF2026将于6月27日至29日举行，涵盖密码学、逆向、PWN、Web和区块链等类别。冠军奖金3339美元及BinaryNinja许可证。建议安全爱好者前往官网自主报名，争夺奖励并提升技能。

文档详细分析libssh2库CVE-2026-55200漏洞，该漏洞因未检查SSH数据包长度字段导致整数溢出，可能引发远程代码执行。研究提供算术验证器、恶意SSH服务器脚本及本地RCE利用框架，验证通过控制packet\\_length=0xffffffff可实现19字节异常分配。文档包含完整PoC代码、修复方案及多平台测试指南，具备较高实操价值。

文档披露CVE-2026-41089WindowsNetlogon漏洞，攻击者通过发送特制CLDAP数据包触发LSASS进程的528字节堆栈缓冲区溢出，导致域控制器重启或潜在远程代码执行。漏洞根因是NetpLogonPutUnicode函数存在字节/WCHAR计数混淆，允许超长用户名溢出缓冲区。提供PoC脚本验证漏洞并建议及时修补。

本文强调UPS巡检对数据安全的关键作用，指出电池老化、元件劣化、参数漂移和散热问题是主要隐患。文档详细列出了日常、月度和季度的巡检频率及具体检查项目（如状态指示灯、电压测量、电池放电测试），并明确人员资质要求与必须立即处理的告警类型（如电池故障、过载）。核心建议是通过定期预防性维护避免断电导致业务中断，而非故障后补救。

文档内容主要为界面导航元素与占位符图片，包含小说阅读器入口及地区时间信息，未提供实质性技术内容或可操作建议。

本文介绍奇安信官方智能威胁分析平台，提供漏洞情报检索、安全事件处理思路、流量分析等功能，支持AI对话交互。文档属产品推广性质，引导用户通过后台回复关键词获取平台地址。

本文以电影《给阿嬷的情书》与AI文案事件为引，探讨AI时代网络安全中‘人’的价值。众智维科技提出AI不应替代而应赋能安全专家，通过‘红鲸’与‘灵枢’双平台实现人机协同，将AI算力与专家经验结合，在攻防演练、应急响应等场景中提升效率与温度，守护数字信任。

JFrog于2026年6月22日披露FFmpegMagicYUV解码器中的高危漏洞CVE-2026-8461（PixelSmash），该堆越界写漏洞可导致崩溃及远程代码执行，影响视频播放器、媒体服务器、NAS和云转码服务等自动处理媒体文件的应用。FFmpeg8.1.2版本已修复漏洞，建议企业盘点FFmpeg使用点、升级版本、隔离媒体处理服务并限制自动预览不可信文件。

《中国个人信息保护报告（2025年）》系统总结我国个人信息保护在法治建设、监管治理、社会共治等方面的成果，指出法规体系持续完善，专项治理成效显著，社会协同防护格局成型，公众意识提升，国际合作深化，为十五五时期工作提供行动指引。

LastPass披露攻击者通过第三方平台Klue被盗的OAuth令牌访问了其Salesforce环境中的客户联系信息和CRM数据，但强调密码库和核心系统未受影响。事件凸显第三方SaaS集成中OAuth令牌管理的供应链风险，攻击者可能利用CRM数据实施精准钓鱼。建议企业盘点集成应用、限制授权范围、建立令牌轮换机制，并将销售客服系统纳入安全治理。

Zafran披露Dify平台存在四个安全漏洞（统称DifyTap），其中两个为严重级别，可能导致跨租户数据泄露，包括私有AI对话记录、文档预览和内部API访问。Dify1.14.2版本已修复其中三项漏洞。文章建议企业立即升级版本、审计AI会话权限、限制敏感数据输入，并建立涵盖租户隔离、文件访问控制和插件权限收敛的AI平台安全基线。

腾讯安全应急响应中心发起仲夏有约众测，面向微信、微信支付及腾讯地图征集RCE与大量敏感数据泄露漏洞，单洞最高奖12万。活动期为6月下旬至7月初，需提前报备。测试严禁内网渗透、拒绝服务攻击及下载数据，越权获取限十组，白帽需严守安全规范。

斯坦福报告显示中国已建成成熟的本土AI人才管道，DeepSeek研发团队形成核心固定+外围轮换的双轨制模式，过半核心人才无海外经历，同时有美国经历的人才回流持续支撑中国AI创新，表明美国单纯依靠限制政策的竞争战略已与现实脱节。

FortiBleed事件揭示攻击者通过八年持续利用FortiOS漏洞及设计缺陷，获取8.6万台防火墙管理员凭证，利用GPU算力租赁平台暴力破解哈希，创建伪造账户进行内网横向移动。核心威胁在于攻击者将安全基础设施作为首要跳板（Pattern53模式），通过合法身份而非零日漏洞绕过检测。建议立即检查未授权账户、启用MFA、限制公网暴露管理界面。

2026年3月，代号Teampcp的黑客组织利用AI工具（如Claude、GPT-4o）发动全球供应链攻击，渗透GitHubActions、npm、PyPI等10余个分发渠道，劫持Trivy、Litellm等数十个项目，甚至入侵微软内部仓库。攻击以凭据窃取、权限劫持、供应链投毒为核心，AI赋能使武器迭代周期缩短至2-3周，3个月内完成五代进化，并将核心框架开源导致威胁扩散。事件暴露传统检测体系失效，需加强CI/CD、发布权限、开发者工具链的信任链防护。

本文详细介绍了在Kali系统中安装配置HermesAgentAI渗透测试工具的完整流程，包括依赖安装、模型选择、API密钥配置及QQ机器人集成。通过DVWA靶场演示了该工具自动化进行SQL注入测试的实际效果，展示了其从漏洞探测到报告生成的全流程自动化能力。文章还提供了快速起步指南和技能包安装建议，帮助用户快速上手这一能够替代重复性手工操作的安全工具。

本文系统阐述LoopEngineering这一AI编程新范式，核心是构建自主循环系统使AI从单次响应工具升级为长期自治代理。重点对比其与ReAct范式的本质差异，提出五阶段循环机制和双层架构模型，并详细解析在CodeBuddy中通过/goal条件驱动、/loop时间驱动和Automations三种实现方式。文章强调状态外置、对抗验证等关键设计原则，为AI系统架构提供可操作的工程实践指南。

文档披露了名为Glassworm的恶意软件利用IDE插件供应链窃取开发者机密，其通过不可见Unicode字符隐藏恶意逻辑，并采用基于区块链、BitTorrentDHT等多渠道去中心化C2架构增强隐蔽性。文章指出IDE插件生态系统因审查机制不足已成为AI凭证窃取主要攻击面，同时提及伪造AI助手和恶意NXConsole扩展等协同攻击活动，建议组织采取插件白名单、轮换API密钥、应用最小权限等缓解措施。

本文详细记录了针对内网域渗透靶场2.0的完整攻击链，涵盖从外网Weblogic漏洞利用CVE-2020-2551获取初始权限，通过ICMP隧道突破防火墙限制，利用MS17-010漏洞横向移动至内网Win7主机，最终通过MSSQL弱口令和CVE-2021-42287/42278组合漏洞攻陷域控。文中重点分析了双网卡环境下的路由问题、文件传输限制的解决方案，并总结了隧道工具配置、权限维持及凭证窃取等实战技巧。

亚信安全在IDC2025下半年中国安全软件市场报告中，身份安全连续九年市场份额第一，终端安全位列第二。其AI智能体身份安全产品实现全域身份纳管、动态鉴权、意图驱动访问控制和全链路审计；终端安全产品AISTrustOne构建一体化防御体系。报告体现了公司在核心赛道的技术积淀与市场领跑优势，为企业数字化转型提供安全支撑。

印度代工巨头塔塔电子发生重大数据泄露事件，勒索组织WorldLeaks声称窃取超630GB数据，包含苹果、特斯拉的工厂设计图纸和规格文件等商业机密。涉事企业已启动调查，事件凸显供应链安全脆弱性，供应商成为网络攻击新突破口。