2025-12-22 04:22:49 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本周网络安全预警显示AI驱动攻击与供应链漏洞成核心威胁。国内AI爬虫流量激增300%，电商医疗数据遭掠夺；英国NHS系统遭勒索攻击致3.2TB患者数据加密。网信办开展谣言专项整治，多起漏洞被曝光。建议企业构建AI对抗AI防御体系，个人加强信息甄别与软件更新，筑牢防护屏障。 综合评分： 90 文章分类： 漏洞分析,威胁情报,数据安全,漏洞预警,安全意识

cover_image

AI爬虫暴增300%+医疗数据泄露，这些风险必须警惕！

原创

信息安全新动态

2025年12月15日 09:01 江西

本周网安预警（12.8-12.14）

网络安全圈大事频发：国内AI驱动恶意爬虫流量激增300%，电商、医疗成重灾区；网信办联合公安开展谣言专项整治，伪造公文、虚构热点等行为被从严查处；国际上英国NHS系统遭勒索软件攻击，海量患者数据泄露。无论是企业还是个人，都需重点关注这些安全动态，筑牢防护屏障。

国内板块

监管整治双发力，AI安全风险成核心挑战

一、政策监管：网信办牵头谣言专项整治，严打三类违法违规行为

12月9日，国家网信办会同公安部、工信部联合发布通报，针对近期网络谣言高发态势开展专项整治行动，重点打击伪造官方公文、虚构政策信息、歪曲热点事件三类行为，切实维护清朗网络环境①。

整治重点：此次专项行动聚焦公共政策和热点事件两大谣言高发领域。通报曝光多起典型案例，包括不法分子伪造财政部公文散布“粤港澳大湾区政策红利发放”虚假信息，诱导网民下载非官方投资APP；编造“上海、广州试点‘老头乐’C7驾照”传言误导公众；借江苏张家港凤凰山景区火灾散布“南朝古寺被烧毁”不实信息等。

处置结果：截至12月9日，已清理违规信息8700余条，处置仿冒公众人物账号1.1万余个，相关造谣者均被公安机关依法查处。针对利用AI技术冒用公众人物形象直播带货的乱象，同步开展专项治理，严厉处置一批违法违规账号。

官方提醒：网络空间不是法外之地，编造、传播网络谣言需承担民事、行政甚至刑事责任。公众获取信息应通过官方渠道，做到不造谣、不信谣、不传谣。

二、高危风险：AI爬虫流量暴增300%，多行业遭数据掠夺

12月8日，Akamai发布《2025年数字欺诈与滥用报告》，揭示了AI驱动恶意爬虫带来的严峻安全威胁：过去一年内，AI恶意爬虫流量暴增300%，当前互联网流量中42.1%来自各类爬虫程序，其中65.3%为恶意爬虫，且63.1%已具备行为模拟、动态请求调整等先进技术，传统防护机制难识别②。

行业冲击

1.电商领域：47%的AI爬虫流量集中于此，重点抓取实时价格、库存及促销信息，导致企业营销数据失真、广告投入浪费，甚至引发恶意比价竞争。

2.医疗行业：90%以上的AI爬虫瞄准病历、诊疗报告等敏感数据，此类数据因对AI模型训练具有特殊价值成为攻击重点，一旦泄露将引发合规罚款和业务停摆风险。

3.金融行业：虽仅占4%的爬虫流量，但攻击强度极高，银行机构遭受的攻击量是保险业的6倍，达10亿次规模，80%的爬虫用于窃取金融数据训练投资模型，部分用于伪造钓鱼网站窃取用户账号密码。

防护建议：

企业需构建“AI对抗AI”的防御体系，部署具备动态行为识别能力的爬虫防护系统；限制异常访问频率，对核心数据实施加密存储，严格管控第三方数据访问权限。

三、典型案例：多起谣言案、数据安全案被查处，敲响警钟

1. 呼和浩特火灾谣言案：5人虚构死亡人数被行政拘留

12月9日，呼和浩特市海亮广场一烧烤店发生火灾致1人死亡，消防部门在第一时间发布火情通报。但是网民李某某、张某甲等5人为博取关注，捏造“起火原因系燃气爆炸”“死亡人数达5人”等谣言在网络传播迅速，引发公众恐慌。12月11日，呼和浩特公安机关依据《治安管理处罚法》，对5人依法采取行政拘留、罚款等强制措施，相关谣言信息已经全部清理③。

2. 企业未履行数据安全义务被罚，暴露防护漏洞

近期，辽宁抚顺网安部门在执法检查中发现，当地某单位数据管理平台存在重大安全漏洞，未建立数据全流程安全管理制度，未部署防火墙、入侵检测等基础防护设施，导致平台遭非法侵入，恶意文件被上传。依据《数据安全法》相关规定，公安机关对该单位依法作出罚款处罚，并下达《责令限期整改通知书》，要求15日内完成全流程安全整改。

行业警示：数据安全防护并非“可选项”，企业和单位需同步完善技术防护设施和管理制度，定期开展员工安全培训，否则将面临法律制裁和数据泄露风险。

四、高危漏洞：国内框架/应用漏洞集中爆发

本周国内多款主流开发框架及应用程序被披露高危漏洞，漏洞利用代码已公开，相关企业需紧急排查修复。

1. React Server Components远程代码执行漏洞（CNVD-2025-29924/CVE-2025-55182）

12月8日，国家信息安全漏洞共享平台（CNVD）发布安全公告，React Server Components存在远程代码执行高危漏洞。该漏洞源于RSC服务器的react-server程序在处理客户端Flight协议数据时缺少安全校验，攻击者可构造恶意请求远程执行代码，获取目标服务器控制权④。

影响范围：React 19.0.0-19.2.0版本、Next.js v15.0.0-16.0.6版本及Dify、NextChat等依赖React的产品；

修复建议：立即升级React至最新稳定版本，Next.js用户需更新至v15.5.7及以上或v16.0.7及以上版本，升级链接：https://react.dev/blog/2025/12/03/critical-security-vulnerability-inreact-server-components。

2. WordPress多款插件高危漏洞

12月10日，CNVD通报WordPress多款常用插件存在安全漏洞，包括smart SEO插件的SQL注入漏洞、Extensions for Leaflet Map插件的跨站脚本漏洞等。攻击者可利用这些漏洞窃取数据库数据、篡改网页内容甚至控制网站服务器⑤。

影响范围：使用对应漏洞插件的WordPress站点。

修复建议：立即检查站点插件版本，通过WordPress官方插件市场更新至最新修复版本，暂时无法更新的需禁用相关插件。

国际板块

供应链攻击频发，AI浏览器安全防护升级

一、重大事件：英国NHS系统遭勒索软件攻击，3.2TB患者数据被加密

12月8日，英国国家医疗服务体系（NHS）旗下的Barts Health医院确认遭Clop勒索软件团伙攻击，攻击者利用Oracle E-Business Suite（EBS）系统中未修复的零日漏洞（CVE-2025-61882）植入恶意程序，加密了3.2TB的患者诊疗记录。医院部分诊疗服务被迫中断，技术团队正联合安全厂商开展数据恢复工作，目前已向攻击者支付5000万英镑赎金，但尚未获得完整解密密钥。此次事件已波及伦敦东部12万名患者，其敏感诊疗数据面临泄露或丢失风险⑥。

核心教训：医疗机构核心系统需建立“补丁即服务”机制，确保48小时内完成高危漏洞修复；同时采用“3-2-1”备份策略（三份拷贝、两种介质、一份离线），定期开展恢复演练，提升应急响应能力。

二、技术动态：谷歌发布Chrome AI代理安全特性，双重机制防攻击

12月11日，谷歌正式公布Chrome浏览器AI代理功能的安全防护机制，通过“观察模型+用户授权”双重保障，应对AI代理可能带来的数据泄露、恶意操作等风险⑦。

核心防护措施

1.AI审查机制：构建“用户对齐评论模型”，基于Gemini大模型审查AI代理的行为计划，确保符合用户意图，且仅分析操作元数据，不接触网页实际内容。

2.源站限制：引入“代理源站集合”机制，将网站分为只读和可读写两类，限制跨源数据泄露，防止代理访问不可信网站。

3. 敏感操作授权：对访问银行、医疗等敏感网站，以及购买、发送消息等关键操作，均需获得用户明确授权，AI无法直接接触密码数据。

行业意义

随着AI浏览器功能普及，安全风险持续攀升，谷歌此次推出的防护机制为行业树立了标杆，将推动AI浏览器安全规范化发展。

三、高危漏洞：国际主流产品漏洞持续暴露

本周国际知名厂商多款核心产品被披露高危漏洞，涉及Apache、微软等，供应链攻击风险加剧，相关用户需重点防护。

1. Apache系列产品安全漏洞（CNVD-2025-03537至03546）

Apache多款产品被发现存在高危漏洞，包括Apache Ranger的服务端请求伪造漏洞、Apache Superset的授权问题漏洞、Apache Traffic Control的SQL注入漏洞等。攻击者可以利用这些漏洞探测内网资源、窃取敏感数据或导致系统拒绝服务⑧。

影响范围：Apache OpenMeetings、Ranger、Cassandra、Superset等多款产品的旧版本。

修复建议：参照Apache官方安全公告（https://www.apache.org/security/），根据所用产品类型下载对应补丁并完成升级，同时限制非必要人员访问产品管理后台。

2. 谷歌Chrome V8类型混淆漏洞

本周谷歌官方紧急修复了Chrome浏览器V8引擎的类型混淆高危漏洞，该漏洞可被攻击者构造恶意网页触发，实现远程代码执行。目前全球已有多地出现利用该漏洞的钓鱼攻击案例⑨。

影响范围：Chrome 120.0.6099.199及以下版本；

修复建议：立即通过浏览器自动更新功能升级至最新版本，暂时无法更新的可开启“安全浏览”模式降低风险。

本周安全防护核心指南

一、企业端

谣言防控：建立网络谣言监测机制，及时澄清涉企不实信息；加强员工培训，严禁传播未经核实的政策和热点事件信息。

爬虫防御：部署AI驱动的动态爬虫识别系统，重点防护电商价格数据、医疗敏感信息等核心资产，设置异常访问阈值，阻断恶意请求。

漏洞修复：全面排查漏洞风险，国内重点修复React Server Components、WordPress插件等漏洞，国际重点修复Oracle EBS、Apache系列产品、Chrome V8等漏洞；建立补丁快速更新机制，确保48小时内完成高危漏洞修复；同步排查第三方供应链系统安全隐患。

数据防护：对照《数据安全法》要求，完善数据全流程安全管理制度，部署防火墙、入侵检测等基础防护设施，定期开展数据安全风险评估。

二、个人端（立即执行）

信息甄别：通过政府官网、权威媒体核实政策和热点事件信息，不转发热点事件的非官方通报，拒绝传播“小道消息”。

软件更新：及时更新浏览器、办公软件等应用版本，开启自动更新功能；对金融、医疗类APP，仅通过官方渠道下载安装。

隐私保护：不向陌生平台提交身份证、病历、银行卡等敏感信息，定期检查个人账号登录记录，发现异常及时修改密码并冻结账号。

风险警惕：警惕陌生链接和非官方投资APP，遇到“政策红利发放”“免费领福利”等信息，先通过官方渠道核实真实性。

本周网络安全动态集中凸显AI驱动攻击和供应链漏洞两大核心威胁，国内监管部门的专项整治也释放出从严监管的强烈信号。企业和个人需主动升级防护体系，才能有效应对潜在风险

本文案例出处

①https://www.cac.gov.cn/2025-12/09/c_1767013689965399.htm（国家网信办官网，2025.12.9发布）

②http://m.toutiao.com/group/7581454931438092863/?upstream_biz=doubao（环球网转载Akamai报告，2025.12.8发布）

③http://m.toutiao.com/group/7582182681451151926/?upstream_biz=doubao（公安部网安局通报，2025.12.11发布）

④https://www.hljp.edu.cn/xdjyzx/info/1057/2064.htm（黑龙江职业学院转发CNVD公告，2025.12.8发布）

⑤https://www.cnvd.org.cn/flaw/（CNVD漏洞平台，2025.12.10更新）

⑥https://blog.securemymind.com/security-alarm-under-the-wave-of-digitalization-looking-at-the-full-chain-protection-of-information-security-from-four-real-cases.html（安全意识博客，2025.12.8发布）

⑦https://www.51cto.com/article/831718.html(51CTO，2025.12.11发布）

⑧https://www.cnvd.org.cn

⑨https://www.cnvd.org.cn/flaw/（CNVD安全公告，2025.12.12更新）

声明

转载声明：本平台部分公开资料源于互联网，转载是为传递信息和网络分享，不代表平台观点，也不保证真实性、不提供建议。除原创及特别说明外，推送内容来自网络和主流媒体，版权归原作者。若发现侵权，请联系我们，将尽快核实并删除。

网络安全，人人有责