ZONE.CI 全球网

Bybit就15亿美元加密失窃案在美国起诉朝鲜Lazarus团伙及侦察总局,目前仅追回约7890万美元,超90%资金已通过混币、跨链、场外OTC洗白消失。文章详细拆解了Lazarus通过招聘社工钓鱼、供应链投毒、多签前端篡改的入侵流程及多层洗钱手法,并提供了交易所、开发者、普通用户的分维度防御方案和中招应急处置流程。

DeepSeekHarness(dsh0.1.0-rc.7)Web控制平面存在未授权远程代码执行漏洞。攻击者通过伪造Host头可绕过信任校验，利用settings.mutate注册恶意LLM提供方并提权至danger-full-access，最终通过session.prompt诱导模型执行bash命令，实现root权限任意命令执行。根因是信任墙仅校验Host头不校验连接来源。建议立即升级dsh、移除0.0.0.0绑定或前置真实认证网关。

本文详细分析了JDBC反序列化在实战中的利用场景与攻击链。核心前置条件是攻击者能控制JDBCURL，常见入口包括fastjsonautoType、配置注入及框架参数透传。攻击分为两段：第一段通过驱动反序列化投递payload，第二段依赖gadget链实现RCE。文章具体介绍了MySQL和PostgreSQL驱动的利用方法，包括版本差异、参数配置及触发逻辑，并提供了测试代码示例。

OWASP发布智能体技能十大安全风险白皮书，指出AI技能混合自然语言与代码并具备真实权限，已成需独立治理的供应链对象。风险涵盖恶意技能、权限越界及更新漂移。企业应建五道底线：构建统一目录与内部准入，实施Skill级最小权限与隔离，将更新视为重审，具备快速撤销能力，将其纳入常规代码治理流程。

Forescout团队在BlackHatUSA2026披露TP-LinkOmadaZTP信任链的13个CVE，涉及硬编码密钥、弱凭据、证书复用、客户端劫持、存储型XSS和CORS绕过。攻击者可冒充控制器或客户端，获取全网配置。建议用户启用MFA、更换默认密码、及时更新固件。

工信部通报26款APP及SDK违规收集个人信息，问题集中在超范围收集、过度索权、后台自启动及SDK合规漏洞。监管已转向常态化抽检，企业需建立全周期合规思维，落实最小必要原则与按需动态申请权限，将第三方组件纳入统一审查并开展常态化自查，以规避下架风险。

邬贺铨院士在第五届互联网基础资源高质量发展会议上指出，智能体时代IPv6价值凸显，传统DNS需升级为能力发现基础设施，并探索SRv6、APN6等技术以开发基础资源潜力。他强调中国应抓住机遇，参与并引领互联网底层技术创新，构建公平合理的全球资源分配生态。

国务院总理李强8月21日主持召开国务院常务会议，听取新一代通信网建设情况汇报，强调应用牵引、适度超前，统筹推进基础网络、空间网络、国际网络、融合网络建设，普及智能终端，培育智慧城市等高价值场景，并加强关键网络基础设施和数据安全保护。会议还部署了清理拖欠企业账款、改善空气质量、审议通过电力安全事故应急处置条例和市场监督管理所条例等工作。

该文档为2026年7月CISP攻防考试成绩公告，公布了多批次通过人员名单。考试于7月14日至31日在北京、成都、深圳、南宁、武汉、上海、南京、重庆等地举行，共涉及数百名通过者。内容为官方信息发布，无技术分析或可操作建议。

北京磐石安科技有限公司发布文章祝贺其客户顺利通过CCRC三个方向认证，文章包含商务合作信息及免责声明，属于企业宣传软文，无具体技术细节或可操作建议。

文章探讨了手机App是否在监听用户对话的问题。专家指出，技术上可行但成本极高，商业上不划算，因此普遍监听不现实。精准推送主要源于大数据用户画像和跨应用数据关联，而非偷听。文章建议用户从正规渠道下载App、管理手机权限、删除Cookie等，以保护隐私安全。

湖北省民政厅依据相关条例对全省性社会团体、民办非企业单位进行2025年度检查。截至2026年7月31日，共1098家单位参检，其中合格976家、基本合格99家、不合格23家。该公告由湖北省网络和数据安全协会转发，旨在公示年检结果。

字节发布豆包工作，整合TRAE与扣子打造面向生产力的Agent产品，通过虚拟桌面与飞书集成实现复杂任务自动化。WorkBuddy验证了办公Agent的ToC市场潜力，未来竞争核心在于组织上下文积累与客观价值交付。

CyberStrikeAI是一个AI原生网络安全执行中枢，近期GitHubStar突破6k，FOFA公开部署超1700个实例。用户反馈在授权渗透测试中发现了大量高危漏洞，覆盖校园、物联网、支付等场景。项目强调仅限授权使用，并提醒公网实例需做好安全加固。社区活跃，已开设第10个交流群。

GitHub上出现针对RegPwn漏洞利用工具的投毒项目，攻击者在NuGet包目录中植入包含木马化LuaJIT解释器和混淆载荷的ZIP文件。编译项目本身安全，但手动解压运行恶意文件会导致中招。建议安全研究人员在下载项目后先检查安全性，可使用AI分析可疑文件，避免直接运行来源不明的预编译版本或解压包内可疑文件。

CCF计算机安全专委会访问亚信安全，双方围绕智能时代网络安全发展与企业党建进行交流。亚信安全展示了在AIXDR、智能体安全、大模型安全等前沿领域的技术储备与解决方案，并在运营商、金融等关键行业积累丰富实践。专委会主任严明提出AI安全三个层面认识，强调通智算一体化安全是发展方向。双方将深化产学研合作，聚焦关键信息基础设施保护与AI安全治理。

亚信安全在深圳两场行业活动中提出以智御智韧性共生主张，聚焦AI全生命周期可信安全底座建设。针对AI落地带来的Token成本黑盒与智能体行为管控等新风险，推出AIXDR+TokenERP+智能体安全风险管理平台组合方案，实现秒级对账与成本压降30%以上。同时展示1+2+N架构的体系化联动防御方案，推动安全产品从单点走向平台化智能化联动。

斯坦福HAI报告指出人工智能主权概念模糊但商业市场火热。美国大型科技公司提供的主权方案虽能改善本地控制，却可能加深依赖形成主权悖论。全球中小厂商方案同样依赖外部上游投入。报告建议追求校准相互依赖而非消除依赖，开源AI是降低模型层依赖的可行路径。

该文档是AIAgentSkills安全开发指南，指出恶意Skills存在严重安全风险，攻击手法包括Prompt注入、权限劫持等。防御需从安全编码规范、CI/CD流水线集成扫描工具、运行时沙箱隔离与行为监控、应急响应与持续改进四个层面入手。核心建议是遵循权限最小化原则，锁定依赖版本，并集成SkillSpector等专用扫描工具。

该文档是AIAgentSkills安全开发指南，指出恶意Skills在开发工具和数据分析中集中投毒，攻击手法包括Prompt注入、权限配置劫持、模式篡改和多层级伪装。防御需从安全编码规范、CI/CD流水线集成扫描工具、运行时沙箱隔离与行为监控、以及应急响应与持续改进四步入手，强调安全意识贯穿全生命周期。

《汽车密码应用技术要求》强制性国家标准现公开征求意见，旨在填补汽车密码应用技术标准空白。该标准要求车辆制造商不得使用未经标准化验证的自研算法，并需通过密码技术确保软件组件真实可信，对升级包进行数字签名验证等。此举旨在解决当前汽车行业密码应用顶层设计不足、技术要求分散等突出问题，构建汽车产品内生安全防御体系。

DeepSeekHarness0.1.1-rc.2被曝未授权RCE漏洞(QVD-2026-57410,CVSS9.8)。根因是/api接口信任可伪造的HTTPHost头，暴露在公网或局域网的服务可被远程利用。PoC已公开。建议保持回环监听、检查Docker映射、在反代层添加mTLS或IP白名单等严格访问控制，并关注官方补丁。

本文复盘了某APP存储型XSS漏洞的完整挖掘与WAF绕过过程。核心思路包括：通过抓包绕过前端输入限制；利用冷门HTML5事件如ontoggle规避WAF对高危事件的拦截；采用JS逗号表达式将alert函数赋值给变量再调用，以消除alert(特征串；并针对服务端32位字符硬截断问题精简payload。最终成功触发弹窗并获得赏金。关键建议是关注小众事件与语法变形以绕过特征检测。

本文深入剖析云环境下SSRF漏洞的致命威胁，指出攻击者可通过访问169.254.169.254云元数据获取临时凭据，进而接管云账号。文章拆解了三层利用链及IP进制变换、DNS重绑定等绕过手法，结合真实案例说明解析差异导致的数据泄露。最终提出应用层白名单校验、网络层隔离元数据IP、强制启用IMDSv2及IAM最小权限等纵深防御方案，强调必须摒弃黑名单思维。

本文介绍了BlackHatUSA2026上关于编译后V8字节码恶意软件静态反混淆的研究。攻击者利用V8字节码格式绕过检测，作者以加密货币窃密木马jsceal为例，展示了通过扩展view8反编译器并构建四阶段反混淆流水线（字符串解码、控制流反扁平化、代理与运算包装剥离、LLM辅助重命名）成功恢复恶意代码完整能力。工具已开源，为恶意软件分析师提供了有效方法论。