ZONE.CI 全球网

安在新媒体联合蘑菇云学苑与安言咨询推出未来CSO·FDE启学营，聚焦AI时代前端部署工程师（FDE）转型，面向3年以上经验的IT与安全人员，提供两天高强度集训，涵盖AI落地、业务诊断、交付风控及合规等实战内容，助力从业者从技术执行转向价值交付，掌握ROI测算、方案模板与职业跃迁路径。

荐片播放器Windows端被国家互联网应急中心通报内置后门，可在用户不知情下采集信息、执行任意代码，一周内感染境内70万台设备。攻击者通过双通信通道远程控制终端，篡改剪贴板实施流量劫持与广告变现。建议用户卸载软件并全盘扫描，必要时重装系统；单位需逐台核查终端，并坚持从官方渠道下载软件。

本文介绍汽车以太网PHY主从模式配置原理，主从角色需静态预设以缩短链路建立时间，满足汽车启动时间要求。文章详解车载以太网组成，包括MAC与PHY的功能及MII与SMI接口连接，并对比车载以太网与传统以太网在传输介质、编码方式及抗干扰能力上的差异，指出车载以太网采用单对双绞线及PAM3编码，以满足汽车EMI、延迟及同步等要求。

本文介绍CPAUTOSAR架构下NvM组件的分析与使用，基于S32K312芯片与VectorCBD包，使用DaVinciConfigurator工具配置。内容涵盖NvM功能概述、基本存储对象、块管理类型、API配置类及优先级任务处理机制，为汽车嵌入式开发者提供NvM配置与使用参考。

本文通过一个AI编码助手被劫持的案例，揭示AIAgent面临的新型安全威胁：攻击者通过污染工具描述、提示词注入等方式劫持AI意图，窃取凭据与源码。文章分析AI时代攻防三条战线，并介绍亚信安全AIDR终端防护方案，强调需看见AI主体、理解意图、拦截越界动作，守住AI安全边界。

第四届数信杯数据安全大赛初赛定于10月16日线上举行，报名截止10月14日，决赛11月6日在太原线下举办。大赛设数据安全个人赛、AI安全团队综合赛、产品能力评比赛和优秀案例征集赛四个赛道，面向电信、金融、医疗等行业及高校科研机构开放报名，官网为唯一报名渠道。

2026黄鹤杯网络安全人才创新大赛决赛即将举行，武汉网络安全活动信息发布。

最新报告显示AI网络犯罪黑市已成型，地下论坛AI工具广告激增至每月1400多条，售卖ChatGPT账号低至0.1美元，商品涵盖越狱、钓鱼工具、恶意模型及AI增强攻击基础设施，成本低效率高，但尚未发现可完全自主攻击的AI智能体，企业已蒙受损失。

国务院印发《关于发展新质生产力的意见》，将全面实施人工智能+行动单列，明确提出构建技术监测、风险预警、应急响应体系确保AI安全。政策演进脉络清晰，AI智能体越界事件凸显治理紧迫性。奇安信围绕三个层面构建AI安全防护体系，提供技术监测、风险预警、应急响应等解决方案，助力政企机构建设一体化纵深防御体系。

一份免费的AgenticAI红队测试清单发布，涵盖20类攻击场景共222项测试，用于评估自主AI系统安全性。测试范围不局限于提示注入，覆盖基础设施、云访问、工具、内存、Agent通信等维度。清单分四阶段递进测试，按风险分级并明确证据分级标准，旨在帮助团队体系化开展安全评估。

P7DarkSword是DarkSwordiOS漏洞利用工具包的新变种，新增本地钥匙串与加密钱包数据窃取能力，支持双向C2通信及远程操控。该工具包被多个威胁行为者用于攻击沙特、土耳其等国目标，并关联两个未公开CVE漏洞。建议相关组织加强iOS设备安全监测，关注该工具包攻击基础设施指标。

绿盟科技发布智能体安全秋季成果，聚焦AI红队安全评估与检测响应两大方向。推出天元智衡AI红队智能体，覆盖测评、风险挖掘等全攻击面，形成测评整改复测闭环；清风卫AI-DR智能体升级行为审计、数据安全、AI安全网关三项能力，构建全生命周期智能体安全治理体系，助力企业守住AI应用安全底线。

Lumen披露代号CantoIncognito的挖矿攻击行动，利用PoeLLM木马通过GitHub诗歌隐藏C2地址，感染超3400台暴露公网的AI服务。攻击者利用已知漏洞入侵后部署挖矿程序并扩展攻击面。建议升级LiteLLM至1.83.7以上、IvantiSentry至指定版本，排查IOC并关闭不必要端口。

本文对比CTF线上赛与线下赛差异。线上赛以解题模式为主，门槛低、有提示机制，常作初赛；线下赛以AWD攻防为主，对抗激烈持续24-48小时，常为决赛。两者无优劣之分，建议多参赛多复盘以提升安全技能。

文章分析终端安全正经历第三次变革，核心是AI智能体带来的意图建模挑战。攻击披上合法工作外衣，威胁判断从单点行为特征变为意图时序基线。厂商技术路线分化为下探内核与上浮身份两派，端点被视为最有效控制点。市场存在37%部署率对3%安全控制率的12倍缺口，安全预算受监管强度驱动，预计2030年前重大事故将触发强制采购。

NVIDIADCGMExporter存在高危漏洞CVE-2026-47483，可被未授权远程攻击利用导致资源耗尽与监控崩溃，影响AI工作负载。公网超2000台主机暴露，涉及近300家机构，泄露超12000个GPU标识符。官方已发布4.8.2修复版本，建议禁用pprof参数、绑定私有地址并排查公网暴露端口。

文档报道2026年国家网络安全宣传周期间央广网对AI安全治理的专访，指出AI风险分内生与衍生两类，需边发展边治理。专家建议企业先风险评估、权限隔离、数据最小授权，并落实以AI治AI理念，产学研协同推动《人工智能安全治理框架》3.0落地。

本文分析了一起针对Claude用户的恶意广告攻击事件。攻击者利用Google搜索广告，通过Bing跳转和多层遮蔽技术，将用户引导至仿冒Claude下载页实施ClickFix攻击。攻击链涉及被入侵的WordPress站点、多层referrer检查遮蔽，最终载荷未确认。文章建议用户核对官方安装命令，防守方应加强浏览器会话层遥测。

WordPressBricksforge插件存在严重RCE漏洞CVE-2026-85097，CVSS满分10.0，影响3.1.8.9及更早版本，官方已修复。漏洞源于参数校验缺陷，攻击者可未认证执行任意代码，已遭野外利用。建议管理员立即升级至4.0.1版本，并审计相关接口和目录。同时提醒其他两个插件也存在漏洞，以及WordPressQ2安全态势。

本文系统解析iOS端侧风控SDK的检测原理与策略闭环，涵盖越狱检测、Hook检测、Frida检测及完整性检测等多维度技术方案。文章强调检测结果需结合业务场景综合判断，不能单凭单一证据下结论，并指出查询失败与不存在需区分。核心价值在于提供了从端侧风险识别到策略闭环的完整思路，对移动安全风控建设具有实践参考意义。

中共中央、国务院印发《关于发展新质生产力的意见》，将数据安全与人工智能安全纳入顶层设计，强调统筹发展和安全。文件提出全面实施人工智能+行动，构建技术监测、风险预警和应急响应体系，确保AI安全可控。专家指出需完善法律法规与监管框架，密码技术是保障数据安全的关键手段，安全是发展的前提。

本周网安资讯汇总了多项安全威胁情报与漏洞预警，包括钓鱼邮件社工攻击、车载终端恶意探测、云存储未授权访问、物联网摄像头弱口令爆破等风险，并通报了WordPress、Zabbix、D-Link路由器、Node-RED、Grafana及PostgreSQL等系统的高危漏洞，建议相关单位及时升级补丁、加强访问控制与安全自查。

本文为2026年0xGameCTF比赛Web方向全解，涵盖8道题目，涉及前端JS代码审计、信息泄露、JWT算法混淆漏洞(CVE-2026-39999)、命令注入绕过、SSTI模板注入、Python沙箱逃逸、目录扫描与请求伪造、原型链污染及pickle反序列化等攻击技术。每道题均提供详细解题思路与可复现payload，对CTF选手和Web安全学习者具有较高实战参考价值。

本文为2026数字中国创新大赛数据安全赛道个人赛解题思路分享，涵盖数据审计、数据访问与数据加密三部分。通过前端代码审计发现接口路径、密钥及签名算法，构造请求绕过前端访问数据接口；利用token无签名校验漏洞伪造admin角色token获取管理员权限；针对背包密码特性，通过公钥加密爆破航班号并定位乘客信息。文章提供了完整代码示例，对CTF数据安全方向具有实战参考价值。

文档为2026年蓝盾杯中国技协AI+网络安全管理员职业技能竞赛的赛事通知，由赛查查公众号发布。内容包含赛事基本信息与付费免责说明，强调竞赛规程、时间地点、报名方式及奖项等一切官方信息以主办方中国职工技术协会、中国华能集团及承办方最新发布为准。建议读者关注官方渠道获取准确信息，参赛决策需自行承担风险。