ZONE.CI 全球网

研究发现OpenClaw技能市场存在严重供应链风险，攻击者利用恶意技能绕过安全扫描，通过自然语言劫持AI代理执行信息窃取、恶意软件投放及加密货币拉高出货等金融欺诈。鉴于现有自动筛选失效，建议严格验证发布者来源、逐行审核技能源代码，并监控异常出站网络流量以防范此类新型AI代理威胁。

谷歌发布Chrome149安全更新，修复18个安全漏洞，包括4个严重级别和14个高级别漏洞，其中WebGL渲染引擎中的释放后使用漏洞可导致任意代码执行，建议用户立即更新浏览器。

本文汇总了2026年6月下旬AI领域多项重要动态，涵盖芯片、安全、应用与政策层面。核心事件包括OpenAI与博通联合发布定制AI芯片Jalapeno、Anthropic指控阿里实施AI蒸馏攻击、360发布中国版漏洞挖掘工具`图龙锋`应对AI安全威胁。同时，百度、腾讯、科大讯飞等推出企业级AI服务方案，IDC预测至2027年推理算力需求占比超70%。政策方面，交通部启动百项AI交通试点，信通院推进算力Token出海计划。

第十四届互联网安全大会（ISC.AI2026）在北京召开，主题为智能体颠覆安全。大会指出AI正击穿维持三十年的攻防平衡，全自动漏洞挖掘使漏洞发现速度提升两个数量级。专家提出中国需建立自主智能攻防体系，360发布漏洞挖掘智能体图龙锋和防御系统仪天阵。会议涵盖智能体安全治理、企业落地实践、技术架构及产业协作等多维度讨论，并发布多项行业标准与研究成果。

ISC.AI2026大会聚焦AI时代信息安全人才培养，提出人才定义从工具使用转向智能体指挥能力。会议发布360AI人才计划与认证体系，强调需构建专业能力、AI工具应用与安全融合的三层能力模型，通过校企协同、动态能力图谱与五层成长路径破解供需矛盾。政企校三方将深化标准制定、课程重构与实训落地，推动产教融合系统化升级。

ISC.AI2026创新独角兽沙盒大赛总决赛于6月24日收官，设置AI应用创新与数字安全创新两条企业赛道及高校新星赛道。杭州帕拉迪获数字安全赛道冠军，深圳元始智能获AI应用赛道冠军；高校赛道聚焦智能体与内容创作，苏州职业技术大学与中南林业科技大学分获一等奖。大赛旨在推动AI与安全技术产业化，累计助力参赛企业获数十亿元融资。

信通院与360联合发布《企业级智能体技术与应用研究报告（2026年）》，指出企业级智能体正从试点进入规模化落地阶段，开始接受KPI考核。报告强调企业AI竞争重点转向将模型、企业知识、业务工具和管理流程整合成稳定生产系统，并面临推理偏差、数据割裂等挑战。360通过建-用-管路径在金融等领域实现人工客服投入降低15%、审批周期缩短等实效，推动智能体以可量化业务成效为准绳真正走进企业。

亚信安全入选数说安全《AI重塑网络安全》报告，被评为智能体安全思考最深、实战能力最强的防御性厂商。报告指出AI安全已进入规模化商用阶段，亚信安全提出AI驱动安全与安全赋能AI双引擎战略，构建六大信任维度和三层智能体安全框架，在运营商等大型政企场景实现分钟级威胁响应，为AI规模化部署提供体系化防护方案。

360公司宣布其ADE人工智能智能体工程师认证已纳入工信部国家信息技术紧缺人才培养工程。该认证旨在为智能体时代培养具备‘硅基领导力’的新型人才，即能够管理和调度智能体的专业人员。今年计划颁发超过万张证书，并通过‘一考双证’模式打通企业与国家认证。

该文档披露Squid代理软件存在堆缓冲区越界读取漏洞(CVE-2026-47729)，源于FTP目录列表解析时对空终止符处理不当。攻击者通过恶意FTP服务器可读取进程内存中的敏感数据如HTTP请求、认证令牌等。影响Squid7.7以下所有版本，全球风险资产超1300万。建议升级至7.7版本或禁用FTP功能。

Typora团队推出专为AIAgent设计的智能终端工具Otty，支持macOS系统并提供标签页、分屏、命令面板等基础功能。其核心特色在于深度集成ClaudeCode等AI工具，可实时显示Agent状态、通过Composer面板编辑多行Prompt、支持会话分支与恢复，并能直接将报错信息发送给AI分析。本地功能免费开放，适合频繁使用AI编程工作流的开发者提升效率。

该研究对17,022个LLMAgent技能包进行实证分析，发现520个存在凭据泄露问题（84%为无意疏忽，16%为恶意行为），识别出10种泄露模式。关键发现包括：76.3%泄露需结合代码与自然语言说明才能识别（新型跨模态攻击面），75.8%泄露通过调试日志输出至LLM上下文，且上游修复后凭据仍在fork网络中持续存活。建议开发者删除调试日志、避免硬编码凭据，并建立技能包动态审查机制。

该文档报道了某政务外网升级改造项目中标结果，项目总价9231.6万元采购2947台设备，涉及防火墙、交换机、日志审计等产品。主要厂商包括奇安信、华为、山石网科等，分析了设备分配情况和市场利润空间，并对网络安全项目趋势进行了观察。

Gogs远程代码执行漏洞(CVE-2026-52813)源于创建组织时对用户名未充分过滤路径遍历字符，攻击者利用此漏洞可将Git仓库写入服务器任意位置，通过覆盖钩子脚本实现远程代码执行。影响Gogs<0.14.3版本，CVSS评分10.0。建议立即升级至0.14.3或关闭用户注册功能。

该文档介绍了一套利用AI技术批量挖掘微信小程序敏感信息泄露漏洞的自动化方案。作者通过反编译小程序包、使用AI进行语义分析来发现被编码或拆分的云服务密钥、内网API等安全隐患，并提供了完整的采集、反编译、AI分析和验证脚本。文章通过三个实战案例展示了AI相比传统方法的效率优势，最后给出避免硬编码密钥、使用后端中转等防御建议。

本文分析了2026年银狐木马攻击事件，该木马通过伪装成人事、行政类官方文件，利用身份仿冒和社会工程学手段入侵企事业单位。攻击链条包括伪造发件人身份、文件内容伪装和话术诱导，最终窃取数据和控制终端。文章指出防御需从员工意识培训和企业制度技术双层面入手，建议交叉核验身份、开启文件扩展名显示、开展钓鱼演练等实操措施。

锦行科技作为全流程技术服务商支撑2026年广西教育系统网络安全攻防演习，采用自主研发的’天穹’攻防演练平台实现线上SaaS化部署，覆盖全区各级教育单位。平台提供全流程闭环支撑，包括演习筹备、实时可视化大屏态势展示和赛后复盘分析，专业裁判团队负责规则制定与驻场裁判。演习有效检验了参演单位的威胁发现与应急响应能力，提升了教育系统网络安全防护水平。

该文档介绍客户端黑盒漏洞挖掘技术，重点阐述使用PowerShell、Python等工具对Windows/Android/Mac客户端安装目录进行自动化漏洞挖掘的方法。文档详细列出攻击面分析框架（如CEF/Electron）、自定义协议、侦听端口等关键检测点，并提供多个RCE、目录穿越等真实漏洞案例。强调需通过逆向反编译验证漏洞可靠性，避免虚假漏洞，并建议建立项目缓存保存挖掘过程。

本文介绍JenkinsExploit-GUI和CVE-2024-43044-jenkins两款Jenkins综合漏洞利用工具，详细列出其支持的CVE漏洞检测范围包括反序列化远程代码执行、SSRF、文件读取等漏洞类型，提供具体使用命令和项目地址，并补充了Docker靶场资源及相关技术分析文章链接。

本次培训面向组织内从事数智化转型的相关人员，涵盖数智化原理与组织转型、运营与流程提升、生产与设计创新、服务与标准应用四大模块。培训旨在帮助学员系统掌握转型原理与标准条款，获得诊断评估工具使用能力，考试合格者可获ITSS官网可查的DTIV证书。培训时间为2026年7月9日至11日在上海举办，费用4800元/人，可通过联系人陈老师报名。

本文分析了AI智能体的安全威胁，指出其与传统大模型的本质区别在于具备记忆、工具调用、身份权限和多智能体协作能力，导致攻击面扩展至整个工作流。文章列举了OWASP分类的15类智能体威胁（如记忆投毒、工具滥用），并提出了五维防护框架：管控推理规划、工具执行权限、记忆权限隔离、通信协调验证和全程可见性追溯，强调智能体安全是架构问题而非工具问题。

天融信与长江工程职业技术学院签署网络安全订单班合作协议，双方将在课程体系建设、实践教学、项目化实训等方面开展深度合作，通过企业导师进课堂、学生实习就业等方式培养实战型网络安全人才，提升人才培养质量并拓宽就业渠道。

墨云科技推出AIWeb应用爬虫智能体，采用策略驱动自主探索+全量流量采集+AI语义分析技术，解决传统手工测试和自动化脚本在复杂Web业务场景中的覆盖不全、维护成本高等痛点。产品具备三大核心优势：全覆盖探索复杂Web业务、智能关联数据写入与回显链路、适配大模型长上下文分析，支持多模型兼容和多种认证方式，适用于Web后台资产摸底和安全测试预研等场景。

火绒安全披露TeamPcp组织使用Shai-Hulud蠕虫病毒针对供应链的大规模攻击事件。该组织通过GitHub平台投放恶意软件，利用三个漏洞链式攻击，在6分钟内感染42个npm包并发布84个恶意版本，窃取OIDC凭证、开发者密钥及敏感数据。蠕虫具备高度混淆、多C2通信、自毁机制及跨平台感染能力。火绒安全产品已实现拦截查杀，建议用户及时更新安全防护。

哈尔滨工业大学(深圳)与中国科学技术大学合作提出一种名为YAXY的混合FPGA硬件加速方案，首次在FPGA硬件内完全实现自举密钥展开，通过HLS与RTL协同优化，采用参数化自举密钥展开技术减少迭代次数，并设计层次化流水线架构及统一蒙哥马利模乘器与数论变换单元，在XilinxZCU102平台上以300MHz频率实现0.44ms的单比特密文自举延迟，是目前独立FPGA实现中的最低延迟，为隐私计算在边缘侧等场景的落地提供了有效的硬件实现路径。