ZONE.CI 全球网

NUWA是一个AI驱动的人物情报平台，提供人脸搜索、语义搜索和深度调研功能，整合互联网公开数据生成人物档案。平台强调结果基于概率模型且仅供参考，标准搜索免费而深度调研和人脸搜索需消耗积分。文档包含功能演示和订阅方式说明。

CNNVD通报2026年5月29日至6月15日期间共收录201个重要人工智能漏洞，涉及MLflow、OpenClaw、HermesAgent等11个超危、73个高危及117个中危漏洞。漏洞类型包括敏感信息泄露、权限绕过和远程命令执行，厂商已发布补丁修复。建议用户及时更新至安全版本。

该报告探讨AIAgent时代Web3安全边界的演变，指出链上操作主体从人类转向AIAgent导致安全风险从私钥、合约漏洞扩展至模型目标、记忆、工具、支付与身份等跨层复合攻击面。报告以Grok与BankrBot事件为例，说明攻击者可通过污染Agent的理解、记忆或工具链造成资产损失，并提出需从保护密钥升级为保护意图与约束执行。报告还梳理了Cobo、Coinbase、OKX、Binance、SlowMist、KYA与ERC8004等项目的防御方案，并给出Agent只能提议、私钥远离Agent、动作可追溯等安全

ChocoPoC事件披露攻击者通过伪装成漏洞PoC的代码仓库向安全研究员投递Python远程访问木马，利用安全行业在漏洞披露后急于寻找PoC验证的心理。攻击通过依赖链植入恶意代码，精准击中安全工作的日常流程。建议将陌生PoC视为不可信代码、建立独立沙箱验证、限制网络出站、审查依赖链、保护研究凭据并将研究机纳入安全监控。

暗网分析师报道称StansberryResearch（美国金融投资研究公司）数据在暗网泄露。该公司提供30多种付费订阅简报，涵盖股票、加密货币、贵金属等投资策略，年费从199美元到33000美元不等。泄露事件可能影响其订阅用户信息安全，建议相关用户关注并采取防护措施。

GM/T0031-2025《安全电子签章密码技术规范》在GB/T38540-2020基础上进行了重要升级，核心变化包括：电子印章数据结构版本从v4升级至v5，新增timeStamp可选字段为签名值提供可信时间戳；在生成流程中新增制章者证书有效性验证步骤；验证流程细化了证书失效判定逻辑，增加了制章时间有效性和时间戳验证。该规范通过PKI公钥密码技术、数字签名和时间戳机制，确保电子印章和电子签章的真实性、完整性和不可否认性，为电子签名法的实施提供了更完善的技术保障。

该文档介绍了一个完全本地化的漏洞研究流水线local-vuln-research-pipeline，以14B参数代码模型Qwen2.5-Coder为核心，采用代码图谱与LLM混合架构，通过穷举式source-to-sink路径枚举进行自动化漏洞挖掘。系统已在LinuxKernel、VSCode等大型项目上验证，支持多种语言和漏洞类型，推荐配置为RTX4070TiSUPER等本地硬件。对于拥有充足算力的安全团队，该工具提供了不依赖云服务的系统性漏洞挖掘方案。

奇安信披露LiteLLM两高危漏洞：CVE-2026-35029因/config/update接口缺失角色校验，低权限用户可任意文件读取、接管管理员并远程代码执行；CVE-2026-59823经user\\_config参数SSRF窃取上游APIKey。蜜罐已现利用特征，建议升级至1.83.9及以上、轮换凭据、收敛暴露面并纳入常规安全评估。

本期通报显示2026年5月18日至28日共收录114个重要AI漏洞，涉及MLflow、HermesAgent等平台，包含12个超危、37个高危漏洞。主要风险包括访问控制缺失、资源管理错误等，攻击者可利用漏洞执行任意命令或导致拒绝服务。报告提供了各漏洞的官方修复补丁链接。

NUWA是一个AI驱动的人物情报平台，提供人脸搜索、语义搜索和深度调研功能，整合互联网公开数据生成人物档案。平台强调结果基于概率模型且仅供参考，标准搜索免费而深度调研和人脸搜索需消耗积分。文档包含功能演示和订阅方式说明。

CNNVD通报2026年5月29日至6月15日期间共收录201个重要人工智能漏洞，涉及MLflow、OpenClaw、HermesAgent等11个超危、73个高危及117个中危漏洞。漏洞类型包括敏感信息泄露、权限绕过和远程命令执行，厂商已发布补丁修复。建议用户及时更新至安全版本。

本期CNNVD通报显示2026年5月29日至6月15日共收录201个重要人工智能漏洞，涉及MLflow、OpenClaw、HermesAgent等11个超危、73个高危和117个中危漏洞。关键案例包括MLflow凭据泄露、OpenClaw授权绕过和HermesAgent命令执行漏洞，厂商均已发布补丁修复。报告提供了漏洞统计数据和具体修复链接，为AI系统安全维护提供及时预警和应对参考。

该报告探讨AIAgent时代Web3安全边界的演变，指出链上操作主体从人类转向AIAgent导致安全风险从私钥、合约漏洞扩展至模型目标、记忆、工具、支付与身份等跨层复合攻击面。报告以Grok与BankrBot事件为例，说明攻击者可通过污染Agent的理解、记忆或工具链造成资产损失，并提出需从保护密钥升级为保护意图与约束执行。报告还梳理了Cobo、Coinbase、OKX、Binance、SlowMist、KYA与ERC8004等项目的防御方案，并给出Agent只能提议、私钥远离Agent、动作可追溯等安全

ChocoPoC事件披露攻击者通过伪装成漏洞PoC的代码仓库向安全研究员投递Python远程访问木马，利用安全行业在漏洞披露后急于寻找PoC验证的心理。攻击通过依赖链植入恶意代码，精准击中安全工作的日常流程。建议将陌生PoC视为不可信代码、建立独立沙箱验证、限制网络出站、审查依赖链、保护研究凭据并将研究机纳入安全监控。

该文档分析了基于ChromiumFileSystemAccessAPI的浏览器原生勒索攻击风险，由AI生成样本触发。攻击者通过伪装成AI工具诱导用户授权文件夹访问，从而在浏览器内加密或破坏文件，无需安装恶意软件。研究指出AI可能帮助攻击者发现非传统攻击路径，并提供了企业安全运营建议，包括浏览器权限管理、EDR监控异常文件行为等。

暗网分析师报道称StansberryResearch（美国金融投资研究公司）数据在暗网泄露。该公司提供30多种付费订阅简报，涵盖股票、加密货币、贵金属等投资策略，年费从199美元到33000美元不等。泄露事件可能影响其订阅用户信息安全，建议相关用户关注并采取防护措施。

GM/T0031-2025《安全电子签章密码技术规范》在GB/T38540-2020基础上进行了重要升级，核心变化包括：电子印章数据结构版本从v4升级至v5，新增timeStamp可选字段为签名值提供可信时间戳；在生成流程中新增制章者证书有效性验证步骤；验证流程细化了证书失效判定逻辑，增加了制章时间有效性和时间戳验证。该规范通过PKI公钥密码技术、数字签名和时间戳机制，确保电子印章和电子签章的真实性、完整性和不可否认性，为电子签名法的实施提供了更完善的技术保障。

该文档介绍了一个完全本地化的漏洞研究流水线local-vuln-research-pipeline，以14B参数代码模型Qwen2.5-Coder为核心，采用代码图谱与LLM混合架构，通过穷举式source-to-sink路径枚举进行自动化漏洞挖掘。系统已在LinuxKernel、VSCode等大型项目上验证，支持多种语言和漏洞类型，推荐配置为RTX4070TiSUPER等本地硬件。对于拥有充足算力的安全团队，该工具提供了不依赖云服务的系统性漏洞挖掘方案。

CheckPointResearch追踪的Lazarus组织OperationDreamJob行动最新变体，针对全球国防行业，利用零日漏洞CVE-2026-68820和CVE-2025-49113，通过DLL侧加载和木马化PDF查看器分发恶意软件，部署FudModulerootkit和Troy后门。关键发现包括漏洞已修复但攻击仍在持续，建议及时打补丁并加强钓鱼防护。

暗网分析师披露了2019年泄露的美国情报机构承包商数据库，包含政府实体和供应商信息，如圣劳伦斯海道开发公司和运输安全管理局的数据。该事件提醒相关机构需加强数据安全防护，检查历史泄露数据是否涉及自身，并采取补救措施。

本文介绍了BlackHatUSA2026上关于编译后V8字节码恶意软件静态反混淆的研究。攻击者利用V8字节码格式绕过检测，作者以加密货币窃密木马jsceal为例，展示了通过扩展view8反编译器并构建四阶段反混淆流水线（字符串解码、控制流反扁平化、代理与运算包装剥离、LLM辅助重命名）成功恢复恶意代码完整能力。工具已开源，为恶意软件分析师提供了有效方法论。

CheckPoint披露一项攻击技术：可滥用微软Defender自带的合法签名驱动BTR.sys在内核态执行任意文件与注册表操作，影响Windows7至1125H2，无需漏洞或外部驱动即可在重启黄金窗口删除WdFilter.sys等安全组件；利用前置条件是攻击者已具SeLoadDriverPrivilege管理员权限，微软判定不符合修复标准且无补丁计划，目前未见野外滥用证据。建议收紧该权限分配，并基于Sysmon事件15、13、23等指标建立检测能力。

2026年5月18日至28日CNNVD收录114个重要AI漏洞，含12个超危、37个高危漏洞，涉及MLflow、HermesAgent、AutoGPT等平台。漏洞类型包括访问控制错误、权限缺失和资源管理错误，可导致任意命令执行或系统拒绝服务。建议用户及时参考厂商提供的补丁链接进行安全更新。

本期通报显示2026年5月18日至28日共收录114个重要AI漏洞，涉及MLflow、HermesAgent等平台，包含12个超危、37个高危漏洞。主要风险包括访问控制缺失、资源管理错误等，攻击者可利用漏洞执行任意命令或导致拒绝服务。报告提供了各漏洞的官方修复补丁链接。

NUWA是一个AI驱动的人物情报平台，提供人脸搜索、语义搜索和深度调研功能，整合互联网公开数据生成人物档案。平台强调结果基于概率模型且仅供参考，标准搜索免费而深度调研和人脸搜索需消耗积分。文档包含功能演示和订阅方式说明。