安全资讯汇总：2026.10.5-2026.10.9
江南信安
2026年10月9日 16:54
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
点击蓝字 关注江南信安
安全专栏
2026/10/5-2026/10/9
江南信安网络安全汇总专栏，每周为您提供网络安全领域「标准规范、安全热点、行业发展、深度好文、融资信息」等最新资讯的追踪与共享。
标准规范
1、商用密码标准研究院最新通知！
商用密码标准研究院（ICCS）依据《公钥密码算法提交要求》对收到的公钥密码算法提案组织了形式审查，现公布进入第一轮评估的84个候选公钥密码算法名单，预计于2027年6月完成第一轮评估。欢迎各界积极参与算法公开评议。
原文链接：
安全热点
1、GitHub应用私钥大规模泄漏 关键基础设施面临严重威胁
2026 年 8 月，德国柏林市政府证实遭到 Rhysida 勒索软件团伙攻击，该组织自 2023 年年中开始活跃，主要针对医疗机构、政府机构、教育单位与关键基础设施。攻击疑似发生在 8 月 7 日至 12 日，8 月 14 日受影响参议院部门断开政务网络隔离处置，8 月 28 日攻击者在泄露站点公开此次事件。
GitGuardian 的研究显示，大量 GitHub App 的 RSA 私钥因开发者失误被提交至公开代码仓库，共计发现 474 枚仍可正常鉴权的有效私钥，分属 440 个不同应用，波及数百家机构。GitHub App 私钥用于签发 JWT 令牌，该类凭证没有自动过期机制，除非管理员手动删除，泄露多年的密钥依旧保持可用状态。
在受影响密钥中，72% 具备仓库内容访问权限，207 个应用拥有写权限，44 个具备组织完整管理员权限，攻击者可窃取私有代码、修改仓库配置、投放恶意脚本，引发供应链风险。本次事件波及美国 CDC、Sierra Nevada、Civica、BuildBuddy 等机构。其中 CDC 泄露密钥可访问关联 Azure 云环境，BuildBuddy 密钥一旦被利用可污染下游源代码，Crusher.dev 项目停止维护后其泄露密钥长期有效。
研究团队开展负责任披露，大部分受影响主体已完成密钥轮换与处置，暂未发现部分目标存在实际被入侵痕迹。报告建议各单位立即审计、清理闲置 GitHub App，部署密钥自动扫描，落实密钥轮换机制，限制应用仅可访问指定仓库，降低机器身份泄露带来的安全风险。
原文链接：
https://securityonline.info/github-app-private-keys-leak/
2、美国防部重大数据泄露：数百万军人敏感信息被窃取****
美国五角大楼人事管理系统近日发生数据泄露，大量现役和退役军人的社会安全号码及其他个人信息遭曝光，引发国家安全专家对反情报风险的担忧。
美国国防部一名官员于周一（28日）向美媒CNN表示，此次数据泄露涉及276万名“在世人员”和29.4万名“已故人员”。其中，“在世人员”可能包括现役和退役国防人员及其家属。
此前25日，这起事件被媒体初次曝光。据媒体披露，美国国防人力数据中心（DMDC）在致受影响人员的通知信中说：“2026年7月16日，我们发现DMDC文件共享系统存在一个安全漏洞，该漏洞使未经授权的用户能够访问文件。DMDC立即更新文件共享系统并修补漏洞，随后恢复了系统运行。”
原文链接：
3、某国全国公民身份数据全部泄露：因人口系统遭异常访问
丹麦政府近日表示，正在调查一起数据泄露事件，未经授权的用户获取了国家人口登记系统的数据，约880万人受到影响。
据悉，攻击者利用一家未公开名称的丹麦国内企业对丹麦中央个人登记系统（CPR）的合法访问权限，获取了姓名、地址和CPR编号等信息。CPR编号大致相当于美国的社会保障号码和中国的身份证号。
丹麦中央个人登记系统共存储约1100万人的信息，包括丹麦现有居民、已移居海外人员以及已故人员。而丹麦目前人口略高于600万。
丹麦高等教育和科学大臣Christina Egelund在一份声明中表示：“这是一起极其严重的事件。”她说，已下令对该系统开展全面安全审查。未来几天，丹麦数字安全热线也将延长服务时间，每天上午8时至午夜提供服务。
原文链接：
行业动态
1、国家密码管理局关于征集国家密码科学基金第三批项目指南建议的通知****
为更好服务国家重大战略需求，推动我国密码基础理论研究及前沿探索，增强密码领域原始创新能力，根据《国家密码科学基金管理办法（试行）》等相关规定，现面向全国征集国家密码科学基金第三批项目指南建议。
原文链接：
国家密码管理局关于征集国家密码科学基金第三批项目指南建议的通知
2、*PwC 调研：对抗性 AI 成为企业网络安全最大准备缺口*
普华永道（PwC）10 月 1 日发布《2027 全球数字信任洞察》报告，调研覆盖 71 个国家共 3934 位业务及技术负责人。调研显示，对抗性 AI 攻击是当前企业网络安全最大准备短板，52% 受访者认为该领域存在最严重防护缺口。
企业在 AI 风险管理的权责划分尚未形成统一模式，29% 认为应由 CIO、CTO 负责，26% 倾向设置独立 AI 岗位，仅 17% 划归 CISO 安全部门；仅有 33% 的企业已经设立首席 AI 官等专职 AI 岗位。基础数据防护同样不足，仅 49% 企业完整落地数据分级，48% 部署数据防泄漏 DLP 策略。
预算层面，84% 安全与财务负责人预计网络安全预算将会上涨，58% 将 AI 列为网络安全预算前五大优先事项。企业重点工作包括负责任 AI 治理（42%）、平台加固（38%）、供应链安全（35%），同时积极运用 AI 开展威胁检测、欺诈识别、钓鱼处置等防御工作。
人才短缺阻碍 AI 安全落地，44% CISO 表示，AI 监督与治理相关技能不足，是扩大 AI 智能代理权限的首要障碍。报告建议企业夯实数据管控基础，明确 AI 风险责任归属，并借助 AI 赋能安全人员培训，弥补技能短板。
原文链接：
https://www.infosecurity-magazine.com/news/mitigating-adversarial-ai-top/
3、美国组建超级智能工作组：聚焦技术融合下 AI 与量子领域网络安全挑战
美国白宫宣布成立Super Intelligence Force（SIF，超级智能工作组），由国家情报总监 Jay Clayton 牵头，联合联邦贸易委员会、国防部等机构，对接关键基础设施运营商、AI 企业及社会机构，向总统及白宫办公厅主任汇报，需在 120 天内研判新兴技术带来的机遇与风险。
当前量子计算、机器人、生物技术与 AI 加速融合，AI 已经进化为国家层面的认知基础设施，具备自主能力的 agentic AI 可高速完成推理、访问数据、执行操作，在提升防御能力的同时，也可被对手用于社会工程、漏洞挖掘，扩大网络攻击面。文章提出，安全不能后置，要从架构层面落实零信任，对 AI 代理、自动化进程做好身份与权限校验。
量子与 AI 将双向赋能，但高性能量子计算机可破解现有公钥密码体系，美国需要同步推进后量子密码迁移与量子技术创新。报告强调，美国技术优势源于政产学研协同，政府无法独立完成技术创新，SIF 应当打破部门壁垒，打通实验室成果产业化路径。
技术竞争不再比拼单项突破，而是比拼技术整合生态。除算力提升外，美国需要补齐人才、采购、数字基础设施，在创新与安全之间取得平衡，以此维护自身技术领先地位。
原文链接：
https://techcrunch.com/2026/09/29/america-gov-gets-really-weird-when-you-ask-it-about-minecraft-but-its-not-a-glitch/
深度好文
1、用上数据安全智能体≠高枕无忧，这几项能力必须具备
近年来，随着大语言模型技术的快速发展，\"数据安全智能体\"正成为数据安全领域的热门概念。从API安全审计到敏感数据防护，从威胁检测到合规运营，越来越多的企业开始部署数据安全智能体，试图用AI的自主决策能力替代传统规则式安全设备的被动响应。然而，用上数据安全智能体，真的就能高枕无忧了吗？答案显然是否定的。
原文链接：
2、人工智能系统安全风险评估与持续治理
随着大语言模型能力的快速突破和智能体技术的规模化部署，人工智能（AI）正从生成内容加速迈向自主规划与执行。Gartner于2025年8月发布预测，到2026年年底，40%的企业应用将集成任务专用型AI智能体。与此同时，AI系统深度嵌入关键业务流程，也把软件基础设施、模型机制、数据与工具权限纳入同一条风险链。这些风险既包括传统软件漏洞与配置错误，也包括模型缺陷和脆弱性、提示词注入等攻击技术，以及智能体权限滥用、执行失控所造成的安全事件与业务风险。以下从基础设施、模型和智能体三个层面，分析安全评估面临的挑战，并提出持续治理路径。
原文链接：
END
点点赞
点分享
点喜欢
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论