ZONE.CI 全球网

本文基于近十年加密交易所资损案例，梳理六条攻击路径与18项防御建设项，明确业务与安全团队责任分工及验收证据要求，强调通过红队验证、GRC跟踪例外和独立技术复核构建纵深防御体系，为交易所安全建设提供可操作框架。

本文介绍Jingwei自动化红队渗透测试平台，强调不依赖LLM也能完成扫描与利用，每条发现绑定原始报文确保可复现，支持拿到shell后的内网横向、权限维持与撤离清理。平台内置大量指纹与POC模板，集成sqlmap等工具，并提供加密WebShell、内存马与半持久化能力。文章还分享了开发中踩过的坑及验证方法，部署仅通过Docker分发。

本文提出写邮件前应先确定收件人，根据收件人类型决定篇幅与写法：直接上级三到五行结论先行，跨部门同事五到八行写明背景与截止时间，外部客户分段清晰每段不超三行。建议先填主题和收件人再写正文，用具体下一步收尾替代谢谢，最后删减多余词汇。核心是让对方好接话，降低回复成本。

本文研究多智能体系统中潜在通信链路的安全风险，发现即使底层模型参数不变，链路训练方式也可能导致系统安全表现下降。良性训练数据可使有害服从分数显著上升，约10%投毒数据即可大幅推高风险，奖励引导优化攻击效果更甚。研究提出将通信链路纳入安全评估、治理链路训练数据、检查各条链路风险、将拒绝行为作为独立观察项等实践建议，强调多智能体安全验收不应止步于单体模型测试。

DeepSeek于11月3日下午发生约两小时故障，影响网页对话及两个API服务，官方未说明具体原因。距10月15日大故障仅19天，此前官方曾承诺消除单点依赖。10月以来故障近乎每周发生，今年至少10次大范围故障。文章建议重要工作勿依赖单一AI服务，开发者应预设失败并建立重试与多供应商切换机制。

奇安信2亿元投资回购仲裁获终局裁决，北京仲裁委员会支持回购本金2亿元及利息合计约2.92亿元，但执行存在不确定性。该案源于2020年投资上海赛连并约定上市对赌，因未按期IPO触发回购义务。裁决将付款义务限定为股权变现所得，实际回收金额取决于股权处置情况。

群晖NAS因CVE-2026-13639/13684等高危漏洞遭C3RB3R勒索攻击，攻击链包含免认证RCE、横向驻留、分级加密及自动收单四步。核心教训是RAID非备份、普通快照可被删、同步工具不能替代备份。建议立即升级至安全版本基线，检查公网暴露面与PHP套件，启用不可变快照，落实3-2-1离线备份策略，并利用AI工具快速扫描资产与IoC。

CNNVD发布2026年第十五期人工智能漏洞通报，近期共采集363个重要AI漏洞，其中超危41个、高危182个、中危140个，涉及DeepSeek、Ollama、MLflow等厂商项目。通报列举了DeepSeek信息泄露、SGLang资源管理错误、PraisonAI输入验证错误等漏洞实例，建议相关用户及时关注厂商补丁更新以降低风险。

本文预警Linux内核高危释放后重用漏洞CVE-2026-98432，源于IPv4TCP握手竞态条件，可致内存损坏、信息泄露、拒绝服务或远程代码执行获取root权限。影响多个版本，POC已公开，建议升级至安全版本。

brain0是一款记录AI编程过程的审计工具，通过读取git和Agent会话记录，追踪每个commit背后的Agent意图、读取过的文件及密钥泄露风险，并生成决策图。它提供漂移检测、敏感读取监控和风险评分，支持DLP分级和审计证据输出。但工具自身存在两个公开漏洞，涉及路径遍历和本地状态泄露，部署时需注意其库和密钥的存放安全。

Cursor扩展市场遭供应链投毒，恶意版本2.1.312/2.1.313植入SSH后门，影响Windows与macOS开发终端。攻击链为可信市场投递、扩展加载执行、SSH授权植入、反向隧道建立及持久化留存。建议立即排查开发机，核对版本哈希，检查authorized\\_keys与启动项，隔离取证并清理恶意产物。

本文解读USENIXSecurity2025论文PRSA，该框架以单次输入输出对突破商业提示词服务防线，将攻击成功率从17.8%提升至46.1%，成本仅为原价1.3%至12.3%。研究揭示提示词服务存在结构性安全矛盾，防御需从阻止泄露转向提高破解成本，并建议建立可窃取性评估框架与可信执行环境隔离。

苹果CoreGraphics存在CVE-2026-86950越界写漏洞，因浮点转定点处理不一致导致渲染时内存破坏，已在野针对特定目标攻击。建议用户立即升级至iOS26.7.1或更高版本（覆盖该漏洞），高风险人群开启封锁模式，企业需强制补丁并监控异常崩溃日志。

2026年世界互联网大会乌镇峰会主论坛聚焦人工智能发展治理，强调构建网络空间命运共同体，推动科技创新和产业发展，并颁发全球青年领军者证书。

该文档为11月13日北京AI时代企业安全风险治理实践闭门沙龙预告，由墨菲安全联合快手安全等举办。活动聚焦AI进入安全工作后的具体实践，涵盖Agent赋能漏洞治理、AISOC建设运营、紫军攻防验证及AI黑白盒融合审计四大议题，并设圆桌讨论AI时代安全治理与组织变革。面向企业安全负责人，采用定向邀请与报名审核制。

韩国总统提议设立政府级网络安全统筹机构以加强安全建设。文档同时汇总多项安全事件：潜伏16年的UEFI高危漏洞可致ring0代码执行；漏洞利用已成数据泄露主因；SquareTrade与MarathonHealth发生大规模数据泄露；WorkOS遭AI攻击框架入侵；Langflow与西门子IoT设备存在严重漏洞。建议优先修补边缘设备漏洞并加强身份验证。

白皮书解读AUTOSAR联合中国一汽等发布CAPI1.0，标志其从规范制定者转向生态建设者，中国汽车软件首次进入全球标准底座。文章分析产业三大现实困境，提出AI赋能而非接管的发展路径，收录小米、华为等实践案例，并为OEM、Tier1、工具厂商给出分阶段行动路线图，强调底层轮子公共化后差异化创新是关键。

文章分析英伟达要求云合作伙伴至少51%服务提供给非中国企业，揭示美国对先进算力控制从芯片流向延伸到使用方。作者提出计算中立与计算主权原则，主张按具体任务风险而非国别配额决定算力准入，并建议企业穿透地理分散盲区识别底层共同依赖，准备替代算力以应对断供风险。

本文分析2022年苏梅防御战中乌军以非连续支撑点防御结合机动轻步兵成功迟滞并粉碎俄军向基辅的进攻，揭示机动轻步兵在现代战场抗击诸兵种联合进攻的关键作用，并为美军防御条令提供重要启示。

暗网分析师披露威胁行为者dejavu泄露土耳其宽带运营商turknet约270万用户数据，涉及身份证号、税号、护照号等高危字段，可被用于冒名开户、信贷欺诈及社会工程攻击，建议相关用户立即监控账户异常并加强身份验证。

李强总理在2026年世界互联网大会乌镇峰会开幕式上发表主旨演讲，指出互联网正经历智能化变革，强调以人为本的价值取向，关注人与机器关系、算法伦理、数实融合安全及数智鸿沟等议题，倡议国际社会携手构建网络空间命运共同体，坚持科技赋能、可信可控、普惠均衡与开放对话，推动全球互联网治理体系完善。

中国电信安全宣布明日开赛，烽烟将启，预告创优杯复赛即将启幕，并附有相关推荐阅读链接。文档为赛事活动预告，内容简短，主要起宣传推广作用，未涉及具体技术细节或安全知识。

DJICrystalSkyZS600C存在缺少授权漏洞(CVE-2026-114356)，源于DJIUpdateServicebinder未执行权限检查，攻击者可无权限执行恢复出厂设置、关机、修改时钟等特权操作。影响版本为0.3.9.7至0.6.6.9。厂商尚未发布修复程序，建议关注大疆官网更新公告，以官方信息为准。

美国陆军基于俄乌及加沙冲突经验，确立融合、打击、近战、持久四大支柱构建多域作战体系，强调科技赋能但核心仍是士兵意志与纪律，通过重组部队、部署AI与无人系统、强化后勤与防空反导能力，以夺取并维持地面控制权应对大国竞争。

Nidhogg是一款面向Windows10/11的开源内核Rootkit工具，功能涵盖进程、线程、文件、注册表、内存、网络、回调及ETW-TI等操作，项目地址位于GitHub。文档附免责声明，仅供安全研究与学习使用，禁止用于非法用途。