ZONE.CI 全球网

GitLabCE/EE存在高危整数溢出漏洞CVE-2026-97229，攻击者可通过特制正则表达式在CI/CD配置中触发RCE，以git用户身份执行任意命令。影响19.2至19.4部分版本，官方已发布修复版本，建议用户立即升级并采取限制公共项目访问等临时缓解措施。

周济院士在2026年上海新一代智能制造发展论坛上作主旨报告，强调新一代智能制造是第四次工业革命的核心技术，以自主为核心特性，分两步走推进数智化转型与智能化升级，未来十年实现制造业全面升级，并指出中国具备综合优势，应抓住历史机遇实现跨越发展。

豆包手机助手SAEP协议公示期结束，153款App拒绝授予屏幕自动化权限，其中阿里系与腾讯系合计88款占57.5%。事件反映AIAgent与移动互联网生态的正面碰撞，核心矛盾在于入口控制权之争。AI助手跨应用办事能力需生态协同，合规关和生态关比模型能力关更难跨越，用户效率渴望与控制焦虑持续拉锯。

本文介绍在实战攻防中，当目标Web应用服务器安装D盾并开启防护时，webshell无法正常连接或执行命令的问题。作者通过让agent安装特定skill，使用命令修改哥斯拉的payload代码，实现BypassD盾的命令执行和文件浏览防护。通过观察D盾日志确认记录了webshell的命令执行POST请求但未拦截，Bypass成功。文章仅供技术交流，skill需从星球内部获取。

博通收购VMware后授权模式改变导致续约成本暴涨，美国Topgolf公司面临400%费用增幅，选择迁移至VergeIO平台。约1.2万台虚拟机在6个月内完成迁移，综合基础设施成本节省超1130万美元。迁移过程涉及硬件替换、架构重构及生态适配等挑战。此案例表明企业应重新评估虚拟化供应商绑定风险，主动规划架构转型以降低长期成本。

Discord安全机器人DoubleCounter遭针对性基础设施攻击，攻击者利用Metabase漏洞获取云凭证，劫持机器人并复制约12GB数据库，导致约2800万DiscordID、2700万IP记录及100万邮箱等数据泄露。攻击持续近6小时，响应人员通过撤销凭证、关闭旧服务器等措施遏制。建议加强云凭证管理、及时修补漏洞并监控异常访问。

F5发布安全公告修复三个NGINX漏洞，包括内存损坏和远程代码执行风险，影响NGINXOpenSource和NGINXPlus，提供升级和配置变通方案。

本文分析胡塞武装12年未被消灭反而实力增强的原因，批评西方双重标准与沙特联军无差别轰炸，指出大国控局能力衰退，强调武力霸权无法征服人心，主张中国武器出口应作为和平压舱石，倡导人类命运共同体理念。

本文介绍6款主流网络模拟器：CiscoPacketTracer适合入门教学，华为eNSP适合华为认证学习，H3CHCL匹配H3C设备用户，GNS3、EVE-NG和PNETLab适合复杂组网与多厂商互联实验。建议根据学习阶段和厂商设备选择工具，模拟器不能完全替代真实设备，需注意版本兼容性与授权要求。

介绍了EduSRC猎洞工具crazyedusrc的功能和使用方法，该工具是一款Chrome扩展，可快速检测高校资产中的高危漏洞，并提供详细的攻击面分类和资产测绘功能。同时，文档中还介绍了相关的培训课程和内部圈子信息。

本文科普英伟达RTX显卡技术，解释RTX代表光线追踪与AI图形处理技术体系，核心包括RTCore加速光线追踪使游戏画面更真实，以及TensorCore支持DLSS等AI功能提升性能。文章强调选购显卡不能只看RTX前缀，需结合具体型号、游戏需求、显存和预算综合判断，并给出针对不同使用场景的选购建议。

文章报道2026年10月15日DeepSeek服务中断4小时事件，对话服务与V4ProAPI、V4.1FlashAPI集体中断，近三月可用率99.48%对应宕机超11小时。文章批评用户对单一AI服务过度依赖，缺乏备用方案，并给出三条建议：多接备用API、增加降级逻辑、本地保存prompt，以提升业务韧性。

这份基于406家企业的调研报告揭示企业AI转型呈金字塔结构，仅9.1%进入融合期；数据泄露是最大风险，57.4%企业因安全顾虑不敢放开使用AI；治理制度缺失普遍，33%企业无AI安全制度；企业最需可落地案例与模板，统一AI安全平台成刚需。建议制度先行、封堵数据外流通道、分层交付方案。

XBOW安全团队研究员利用AI模型GPT-5.6Sol在六天内构建了完整的Chrome利用链，组合利用三个0day漏洞攻破Chrome所有防护层，获谷歌25万美元赏金。AI负责搜索代码、测试攻击想法和撰写利用初稿，人类负责选择目标和决策。相比传统方法大幅缩短时间，成本约4万美元。

国防部发言人强调解放军在台岛周边演训旨在震慑`台独`和外部干涉，维护台海安全，并指出歼灭`台独`与保护台湾同胞安全并行不悖，同时强调台湾同胞应做好两岸统一的准备以减少损失。

本文分析全球人工智能治理正从共识走向制度建构，面临机制碎片化、大国阵营化、智能鸿沟扩大等挑战。中国提出开放共赢、强化风险意识等系统方案，主张通过世界人工智能合作组织等机制推动安全评测互认、开源能力建设，弥合数智鸿沟，将共识转化为可运行机制，把握制度建设窗口期。

火绒安全宣布自2026年10月起正式将Windows1126H2（x64及Arm64架构）纳入维护支持范围，提供漏洞修复服务。建议用户升级前备份数据、安装最新版火绒软件、开启系统更新及漏洞修复功能，并持续跟进微软系统更新以优化兼容策略，保障终端安全防护有效性。

本文解析Agent项目token爆炸问题的面试应对框架。核心观点：token爆炸分超窗口报错、模型变笨、成本高三种症状，需先定义再定位。治理方案分层：源头瘦身（工具返回结构化、代码过滤）、可恢复外置（落文件留路径）、清理旧工具结果、结构化摘要压缩、子agent隔离、稳定前缀吃满KV-cache。强调压缩会丢信息、子agent总成本更高、清理历史会打破缓存等取舍，需用真实数据支撑优化效果。

本文介绍百度安全团队开源的OpenRASP-IAST灰盒安全扫描工具，该工具结合运行时代理分析与自动化模糊测试，可精准检测SQL注入、命令注入、目录遍历等十大Web漏洞，误报率低。文章详细阐述了其Preprocessor、Scanner、Monitor三大核心模块架构、插件机制、部署方式及动态速率调整等高级特性。工具支持多目标扫描与云端管理，适合已获授权的安全测试场景。但文末含广告推广内容，需注意甄别。

银狐C2追踪连续三天静止，derp数据管线窗口未滑动，产生投放真休眠与采集盲区两种假设，当前倾向真休眠但置信度中等。官方与厂商侧零新增披露，二次传播噪声达高峰，需甄别旧闻。建议维持存量30天回撞排查不放松，并关注10月2日新增样本哈希入库。

本文针对非网络安全专业能否入行的问题给出肯定答案，指出行业不卡专业但需补基础，强调兴趣比专业更重要，并建议从安全运维或等保测评切入，考取证书、积累实战作品，做好薪资预期。

该论文研究端侧大模型部署中的模型窃取风险，将现有TEE与混淆算法保护方案抽象为四类混淆算子并刻画安全边界，提出Collapse攻击方法成功攻破8个先进防御方案，平均任务准确率达89.97%。防御方面引入新的乘性混淆算子，以约5.6%额外开销将攻击效果显著降低约27.4个百分点，为端侧模型保护提供参考。

本文介绍《人工智能安全治理框架3.0》，该框架延续风险分类、技术应对、综合治理思路，提出五项治理原则，将AI安全风险分为内生、应用和衍生三大类，并提出技术应对与综合治理措施，覆盖研发部署运行使用全过程，推动AI安全可控发展。

文章提出AI时代蜜网将从传统辅助检测工具转变为抵御AI黑客的关键基础设施，核心价值在于主动欺骗攻击者使其暴露行为，形成诱捕、延迟、识别、溯源、反制五步闭环，建议安全体系同时具备墙、网、陷阱三种能力，用AI驱动欺骗防御体系。

该文档披露了针对伊拉克关键基础设施的APT攻击活动BlinderTunnel，攻击者伪装成迪拜机场招聘流程，通过恶意VisualStudio工程植入后门，利用.csproj设计时构建、AppDomainManager劫持和DLL侧加载三步执行链落地ShelbyLoaderv2，C2流量绕道GitHub，并使用Chisel隧道进行内网横向移动。攻击模块化且具备持久化能力，展示了高隐蔽性的定向攻击手法。