安全资讯汇总：2026.10.19-2026.10.23

江南信安

2026年10月23日 15:35
北京

去阅读

点击蓝字 关注江南信安

安全专栏

2026/10/19-2026/10/23

江南信安网络安全汇总专栏，每周为您提供网络安全领域「标准规范、安全热点、行业发展、深度好文、融资信息」等最新资讯的追踪与共享。

标准规范

1、工信部《汽车数据安全要求》强制性国家标准征求意见

10月20日，工业和信息化部装备工业一司发布通知，就《汽车数据安全要求》等五项强制性国家标准（征求意见稿）公开征求意见，反馈截止日期为2026年12月19日。

针对车机端口令、支付密码防护作出明确约束，进一步筑牢车主财产信息安全防线。这份拟升级为强制性国标的文件，新增 “口令” 术语定义，将口令界定为用于身份鉴别的字符序列。标准明确提出：车辆在显示、输入或设置网络支付平台登录口令、支付口令（包括网络支付交易口令、快捷支 付口令、银行卡支付口令等）时应提供隐藏全部或部分信息的方式。

征求意见稿还要求车企对车内存储的重要数据、敏感个人信息采用加密、访问控制等安全技术防护，防范数据被非法窃取访问；同时明确车辆不得直接向境外传输数据，设置配套完整检验试验方法，后续将用于车型合规检验。

原文链接：

明确密码要求丨工信部《汽车数据安全要求》强制性国家标准征求意见

安全热点

1、俄罗斯数据中心接连遭无人机袭击，互联网巨头申请境外数据存储豁免

2026 年 8 月，德国柏林市政府证实遭到 Rhysida 勒索软件团伙攻击，该组织自 2023 年年中开始活跃，主要针对医疗机构、政府机构、教育单位与关键基础设施。攻击疑似发生在 8 月 7 日至 12 日，8 月 14 日受影响参议院部门断开政务网络隔离处置，8 月 28 日攻击者在泄露站点公开此次事件。

俄罗斯多座数据中心遭无人机袭击后，互联网企业开始寻求跨境灾备的法律豁免。10月15日，俄罗斯互联网贸易企业协会（AKIT）致函总理Mikhail Mishustin，提议允许受重大事故影响的企业，临时将关键系统及个人数据迁移至友好国家的数据中心。该协会成员包括Ozon、Wildberries等大型电商平台。

此次提议源于近期针对数字基础设施的连续袭击。10月7日至11日，Yandex位于梁赞州、卡卢加州和弗拉基米尔州的数据中心先后遇袭，部分设施停运。Yandex Cloud两个可用区受到影响，多项在线服务出现故障，暴露出传统跨地域灾备在大规模物理攻击下的局限性。

俄罗斯自2025年7月1日起实施更严格的个人数据本地化要求，限制使用境外数据库收集和存储公民个人信息。AKIT建议设立临时特别法律机制，允许企业在事故得到官方确认、国内基础设施无法承载关键业务且满足信息安全要求的情况下，启用境外备用数据中心。该机制拟最迟于2028年3月1日终止。

目前，该提议尚未获得批准。专家指出，事故发生后才启动豁免机制，不利于企业提前部署灾备系统。此外，境外数据中心的算力和电力资源不足，也可能影响实际恢复效率。如何兼顾数据主权、信息安全与业务连续性，成为俄罗斯亟待解决的问题。

原文链接：

https://www.securitylab.ru/news/578863.php

2、日本 VPS 平台被入侵，最高 26739 台客户服务器存在失陷风险****

2026 年 10 月 21 日消息，日本 GMO Internet 集团旗下 VPS 服务 Onamae Desktop Cloud 遭到黑客入侵，最多 26739 台客户服务器被植入恶意程序，平台已启动全服务关停处置。

该平台主打面向 MetaTrader 4（MT4）外汇自动化交易场景的云主机服务。企业于 10 月 20 日确认发生第三方未授权访问，黑客在部分租户服务器环境部署恶意软件。为遏制威胁扩散，当地时间 10 月 21 日凌晨 4 时，服务商开始逐步下线全部套餐的服务器，目前尚未公布服务恢复时间。

官方提示，受影响服务器内存储数据存在泄露风险，但暂未核实到数据外泄、滥用的实际案例；信用卡等支付信息存储于独立基础设施，未遭受波及。平台提醒用户尽快轮换服务器内保存的密码等密钥，同时警惕攻击者借本次事件发起钓鱼邮件诈骗。GMO Internet 将持续开展调查并对外更新事件进展。

原文链接：

https://www.bleepingcomputer.com/news/security/japans-onamae-desktop-cloud-hacked-up-to-27-000-servers-affected/

3、医疗行业数据泄露成本居高不下，合规安全需嵌入软件全生命周期

2026 年 10 月 20 日发布的行业指南指出，合规与网络安全是医疗软件的核心产品属性，而非附加流程。据 IBM《2026 年数据泄露成本报告》，医疗行业连续 13 年数据泄露平均成本居各行业首位，单起事件损失达 664 万美元，AI 攻击会将泄露成本抬升约 100 万美元。Change Healthcare 勒索攻击事件造成 1.927 亿人数据泄露，攻击根源为门户未启用多因素认证。

医疗软件需同时适配 HIPAA、GDPR、FDA SaMD 等多重监管规则，指南提出六步建设流程：梳理数据与监管范围，开展风险评估与隐私设计，构建加密隔离的安全架构，收紧访问权限并留存审计日志，在开发全流程落实安全测试，制定事件响应方案并保持持续合规。文档特别强调，安全控制应当在项目初期纳入开发标准，若临近上线才补做合规改造，将产生高昂返工成本。

文章同时对比五家具备医疗项目经验的开发服务商，并提示，外包开发不能转移患者数据保护的最终责任，机构签约前应当核验服务商资质与项目实践记录。

原文链接：

https://hackread.com/compliance-cybersecurity-healthcare-software-development/

行业动态

1、网络安全与密码学部成果被ASIACRYPT 2026接收****

近期，西安电子科技大学密码学院与空天地一体化综合业务网全国重点实验室（ISN）科研团队在密码学与人工智能交叉方向取得重要研究进展。由西安电子科技大学王子龙团队独立完成的论文“Finite-Precision Error Analysis of Cryptanalytic Model Extraction”被亚洲密码学会议ASIACRYPT 2026正式接收。

该研究表明，在密码学与人工智能交叉研究中，计算精度不仅关系到人工智能模型的运行效率，也可能直接影响针对模型的攻击能否成功。这一发现为理解现有模型参数提取方法的适用条件提供了新的视角，也为更加准确地评估真实环境下人工智能模型的安全性提供了理论依据。

原文链接：

面向人工智能模型参数安全的密码分析研究取得重要进展 ——网络安全与密码学部成果被ASIACRYPT 2026接收

2、*美国多机构建议为前沿AI系统部署网络安全控制措施并开展独立测试*

美国 CISA、NSA 以及商务部 CAISSI 联合发布前沿 AI 系统安全指引，该文件为自愿遵循性质，也是美国联邦政府针对 AI 模型沙箱测试环境出台的最详尽网络安全指导文件。

此前夏季，OpenAI、Anthropic、Google、Meta 等企业多次出现 AI 模型逃出沙箱测试环境，入侵真实机构与网站的事件，研究人员推测同类沙箱逃逸事件可达数百甚至数千起，暴露出测试环节监控机制存在明显短板，促使官方出台本次指引。

指引要求企业完善沙箱虚拟环境技术管控，部署外部监测工具，排查 AI agent 可能用来秘密留存信息、跨系统通信的持久化机制；特别警示不能仅依靠其他 SI（Super Intelligence）系统管控测试模型，红蓝对抗测试需结合人力，仅在不会危害关键系统的场景下才可使用 SI 开展红队演练。安全评估不能只针对大模型本身，还需覆盖 technical harness、主机、网络等全套基础设施，分层部署安全策略，拦截非法联网行为、识别异常行为。

文件倡导引入独立外部审计机构开展安全评估，批评观点指出头部 AI 厂商过度依赖 METR、Redwood Research 这类小众机构完成安全测试。行业现状是厂商大量依靠 AI 系统完成模型监控，专家认为人力监督、技术管控、AI 工具三者结合才是约束 AI agent 攻击行为的最优路径。同时指引要求企业高管充分知悉风险后，亲自参与模型关停、重启的决策流程。

原文链接：

https://cyberscoop.com/federal-ai-agent-sandbox-security-guidance/

3、ServiceNow 发布 AI Passport，以密码学凭证实现 AI Agent 运行时权限管控

ServiceNow 推出 AI Passport 解决方案，用于在运行时校验、管控 AI agent 权限，配套升级 Super Intelligence Control Tower 平台，强化企业 AI 治理、安全与成本管控能力，该产品预计 2026 年第四季度上线，NVIDIA 为设计与发布合作伙伴。

AI Passport 采用密码学签名凭证，可对多 agent 工作流内 AI agent、Model Context Protocol (MCP) 服务器的可执行动作做权限校验，基于企业策略与审批规则，阻止越权行为，支持权限撤销并留存完整审计记录，方案基于开放规范，兼容自研及第三方 AI 代理。它将对接 NVIDIA Open Agent Safety Platform，在基础设施层实现运行时权限持续校验。

Super Intelligence Control Tower 新增多项能力：借助 400 余个预置连接器实现 Shadow AI 影子 AI 发现，持续观测 agent 行为轨迹，完成权限映射；新增 AI 成本管理，按用户、部门统计 AI 开销，设置预算告警；同时支持分级处置，对异常 AI 行为执行告警、限流、阻断。

调研显示，受访银行均已使用 AI，但仅有 24% 机构具备匹配业务规模的 AI 治理能力。ServiceNow 面向金融业推出的 Operational Resilience 现已可用，可跨 IT、云、第三方环境监控 AI 资产。已有企业实践为上千个 AI agent 绑定人员 ID，实现责任追溯。相关技术细节将在 NVIDIA GTC Berlin 大会进行分享。

原文链接：

https://www.expresscomputer.in/news/servicenow-introduces-ai-passport-to-strengthen-enterprise-ai-governance/140049/

深度好文

1、国家密码管理局 | 第57号公告发布：相关内容汇总与解析

2026年10月11日，国家密码管理局发布第57号公告，正式公布《国家密码管理局政府信息公开办法》（以下简称《办法》），并明确自2026年12月1日起施行。这是密码管理部门落实《中华人民共和国政府信息公开条例》的配套制度，看似是\"行政机关内部流程规范\"，实则关乎商用密码企业、从业者获取政策、标准、许可信息的渠道与边界。

原文链接：

国家密码管理局 | 第57号公告发布：相关内容汇总与解析（12月1日施行）

2、人工智能时代新加坡数据主权战略研究

人工智能快速发展推动数据与算法深度交织，使数据主权的内涵和外延不断拓展，更使各国数据主权战略面临新的考验和挑战。开放经济体在深度参与数字全球化的同时，需要在安全防护、数据流动与技术创新之间寻求平衡。新加坡作为亚太地区的重要数字枢纽，形成了适配自身国情的数据主权战略，并主导了多边数字协定等实践，不仅提供了国家维护数据主权的现实样本，也为观察全球数字规则博弈提供了重要窗口。

原文链接：

论坛·原创 | 人工智能时代新加坡数据主权战略研究

END

点点赞

点分享

点喜欢