ZONE.CI 全球网

文档披露刚果通信服务商KeccelTechnologies计费数据库遭泄露，涉及340万用户数据，包括短信、WhatsApp、API网关信息。平台为非洲企业提供批量消息服务。泄露数据可能被用于诈骗或身份盗窃，建议相关用户立即修改密码并监控账户异常。

本文介绍了一个AIAgentSkill工具，它集成IDAPro实现恶意样本自动分析，能识别C2通信、进程注入等恶意行为，并提取关键威胁指标。工具内置REAI函数分析、FindCrypt加密识别等模块，用户仅需配置IDA路径和API密钥即可使用，显著降低逆向分析门槛。

第四批UAP解密材料提高了公开性，但未提供异常技术决定性证据。它区分了公开、存在与异常三个证据层次，指出信息不足是主要问题，而非确认异常。建议关注完整数据链而非仅靠视频。

中央网信办自5月部署短视频内容标注工作以来，从严处置一批未规范标注的账号，包括利用残障卖惨、摆拍悲情故事、演绎家庭矛盾、虚构见义勇为等案例。累计清理违规短视频24.1万余条，处置账号2.1万余个，并责成相关平台整改。下一步将继续从严处置和公开曝光。

上海市通信管理局发布铸盾模都2026年人工智能安全赋能专项行动通知，要求提供AI服务的企业落实网络数据安全主体责任，加强网络安全、数据安全、个人信息保护、供应链安全、智能体安全等基线建设，开展风险监测与应急演练，并在8月31日前完成重要数据备案。该行动旨在提升行业AI安全水平，推动AI技术高质量发展。

江苏镇江检察机关通报黄牛团伙利用抢票软件倒卖演唱会票案。李某开发外挂软件跳过购票页面，搭建200多部手机墙实现毫秒级抢票，2023年5月至2024年12月抢购6万多张票，非法获利1600多万元。15名成员被抓获，11人已进入司法程序。这提醒票务平台需加强安全防护，用户应通过正规渠道购票。

本次分享预告由i3eg1nner发布，主题为IoT安全不是单一岗位而是一组靠近真实设备的安全工作。活动于2026年7月12日晚八点线上举行，由朝阳师傅主讲，郭小白和Op1n师傅作为嘉宾。内容涵盖IoT安全入门、方向选择、学习路线、项目实践及面试准备，涉及物联网设备、工控、车联网等方向，旨在帮助新人解决真实学习与工作中的问题。

文章报道了2026年FE电动方程式上海站比赛，描述了比赛过程、FE与F1的差异（硬件趋同、软件决胜），重点介绍了AI辅助系统（如GoogleCloud的AI驾驶员代理和策略智能体）在实时数据分析和观众体验中的应用，指出FE是电动车技术预演场，其能量管理算法和AI数据化驾驶将影响未来出行。

本周科技新闻汇总：苹果起诉OpenAI窃取商业机密，要求销毁资料并重设计硬件；SK海力士在美IPO融资265亿美元创纪录；SpaceX公布太空移民计划，拟2026年底前发射；Meta回应算力过剩质疑，将出租部分AI基础设施；宇树机器人完成全球首例活体外科手术，登上Nature。

本文对比分析EDPB《生成式人工智能背景下的网络爬虫指南》与中国国家标准草案《数据安全技术自动化工具收集网络数据技术要求》，探讨AI时代网络爬虫治理的中欧差异。核心在于平衡数据利用与隐私保护，强调合法合规与透明度。建议关注相关法规动态，确保爬虫行为符合最新标准。

本文全面介绍了FDE（前沿部署工程师）这一在AI时代炙手可热的角色。它源于军事术语，指能深入客户现场，将前沿技术（如大模型）精准植入其业务场景的复合型工程师。文章对比了FDE与全栈工程师、解决方案工程师的区别，强调其核心是落地能力而非仅技术或销售。文中还详细阐述了FDE所需的四大核心能力支柱、市场现状及薪资水平，并提供了如何快速具备该能力的五个阶段路径，指出FDE是当前AI产业最稀缺的人才之一。

KDDI邮箱平台因第三方软件漏洞遭未授权访问，泄露超1200万邮箱地址及760万密码。攻击始于2026年5月，KDDI于6月确认并处置。核心风险在于密码复用可能引发撞库、钓鱼等连锁攻击。建议用户立即修改受影响密码、启用多因素认证、检查邮箱转发规则并警惕二次钓鱼。企业应排查员工凭据复用情况，强制重置高风险账号密码。

CISA于2026年7月7日将Langflow授权绕过漏洞CVE-2026-55255加入KEV目录，要求联邦机构在7月10日前修复。该漏洞影响1.9.1之前版本，允许已认证攻击者越权执行其他用户的流程。AI工作流平台因常保存API密钥和云凭据成为攻击目标，企业需立即升级、限制访问边界并轮换高风险密钥，将其纳入生产资产管理。

本文详细拆解了国家级APT组织UAT-8302从外网突破到窃取域控数据的七步攻击链，包括利用VPN漏洞初始访问、VShell后门无文件执行、WebSocket加密C2通信、内网侦察、凭据窃取、WMI与Impacket横向移动及数据外泄。文章强调传统安全产品难以有效拦截此类离地攻击，建议采用以攻验防思路，通过真实复现攻击手法持续验证并补齐防御短板。

谷歌发布Chrome安全更新修复27个漏洞，包括两个严重级别的释放后使用漏洞(CVE-2026-15112和CVE-2026-15129)，分别位于Ozone和Views组件。其他高危漏洞涉及V8、ANGLE等组件。目前未发现野外利用。建议用户立即升级至150.0.7871.114及以上版本以防范风险。

文档讨论21世纪科技、经济与医疗领域的大变局，指出科技进步导致生产力提升和大量失业，迫使人们涌入零售业造成重复劳动和产能过剩。作者建议未来仅保留高效生产单位，由国家提供长效工资保障失业者消费能力，发展以文化旅游为主导的消费型经济，并制定行业保护与市场准入条例，以实现供需平衡和可持续发展。

本文记录了一次EDUSRC认证绕过漏洞的挖掘过程。通过参数置空获取全平台用户信息，随后修改登录响应包中的鉴权参数，成功以测试账号登录admin账户并进入运维后台。文章展示了逻辑漏洞利用思路，但末尾包含大量推广内容，降低了技术纯粹性。

gitlost攻击利用GitHubAIagent的间接提示词注入漏洞，攻击者通过公开issue诱导agent读取私有仓库并公开评论泄露数据。核心风险在于agent同时拥有不可信输入、敏感权限和可外发输出三个条件。建议隔离输入与权限域、最小权限授权、输出审核，并重新设计agent安全架构。

本文详细介绍了AI安全平台如何落地等保三级合规，包括身份认证、访问控制、审计日志等九大控制项的代码实现，以及国密算法SM2/SM3/SM4的全链路应用。核心是POC沙箱的四层纵深防护：AST静态分析、关键字黑名单、Docker容器隔离和运行时守卫，确保执行AI生成的攻击代码时安全可控。还涵盖前端XSS防护、安全基线自检、配置加密等实践，并总结出失败关闭、纵深防御、密钥外部化等可操作原则。最后指出AI平台特有的合规挑战：模型输出安全性和数据流向可控性。

GitLab于2026年7月8日发布补丁修复八个安全漏洞，包括一个高危存储型XSS漏洞CVE-2026-6896(CVSS8.7)。该漏洞存在于漏洞证据表格渲染器中，拥有开发者角色的用户可植入恶意脚本。受影响版本广泛，建议自行托管用户立即升级至19.1.2、19.0.4或18.11.7版本。

PaloAltoNetworks披露PAN-OS缓冲区溢出漏洞CVE-2026-0288，位于User-ID终端服务器代理组件，无需认证即可利用，可导致拒绝服务或任意代码执行，CVSS评分7.2。影响PAN-OS12.1、11.2、11.1和10.2系列，CloudNGFW和Panorama不受影响。建议升级至修复版本或限制TSA网络连接。

文章分享了作者在网络安全领域平衡工作与学习的个人经验，包括利用工作氛围在长假期间学习、下班后留在公司学习、以及周末集中学习等方法。作者强调时间投入只是基础，方法和路线同样重要，并指出不断调整规划是解决问题的关键。

国家计算机病毒应急处理中心发布6月流行计算机病毒清单，列出多种病毒程序及其特征。建议网络管理员加强防治措施，并通过国家计算机病毒协同分析平台获取详细信息。

《国家网络身份认证公共服务管理办法》实施一周年，在便民利企和保护个人信息方面成效显著。该服务以自愿免费为原则，已接入530余个App及网站，4000万人申领数字身份，提供认证2.8亿次。应用领域覆盖互联网、政务、金融、医疗等，有效遏制黄牛倒票和机票退改签诈骗。用户体验持续优化，推出小程序并推进更多场景接入，旨在打造安全便捷的数字身份服务。

本周安全周报涵盖数据安全、AI安全与网络安全三大领域，包括违规App通报、物业信息泄露处罚、ClaudeCode后门、AI驱动勒索攻击及系统漏洞等事件，建议加强内部管理与漏洞修复。