2026-10-24 13:55:50 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全动态丨网络空间安全动态第355期

国信中心
国信中心

极客安全

2026年10月23日 17:30
北京

去阅读

编者按

网安动向热讯，本期有九点值得关注：

*一是中共中央办公厅、国务院办公厅发布《关于推动科技创新和产业创新深度融合的意见》；二是商务部等9部门联合发布《关于加快推进科技兴商的意见》；三是商务部、科技部就修订《中国禁止出口限制出口技术目录》公开征求意见；四是《人工智能操作系统通用技术要求》《人工智能操作系统权限管理要求》两项国家标准获批发布；五是国内首个人工智能全产业链评测基准发布；六是特朗普政府启动联合私营企业对外实施进攻性网络行动准备工作；七是美CISA、NIST、NSA联合发布《超级智能训练与评估中的事件准备与响应关键实践》；八是美《2027财年国防授权法案》立法进程受阻，三项对华芯片管制法案前景不明；九是英国发布AI安全一揽子举措应对前沿人工智能带来的安全挑战。*

数据前沿快讯，本期有三点建议关注：

一是国家数据集团有限公司在河北雄安新区成立；二是中国气象局发布《气象数据管理办法》；三是美陆军推出前线跨密级机密数据共享框架。

网安事件聚焦，本期有两方面内容建议关注：

一是零售、司法等领域网络攻击持续高发，业务中断风险沿供应链扩散。

本期介绍：荷兰跨国食品零售集团Ahold Delhaize遭网络攻击；瑞典时尚零售巨头H&M内部数据库遭黑客入侵；英国贝宜系统美国子公司遭网络攻击致美国联邦破产法院通知系统瘫痪。

二是第三方系统与会员数据库成为数据泄露主要入口，单次泄露规模达千万级。

本期介绍：日本软件企业Sourcenext遭非法访问，约2252万条会员记录遭泄；日本汉堡王1118万名会员信息遭未经授权访问。

网安风险警示，本期有七点建议关注：

一是国家互联网应急中心发布关于中国境外自治域AS402425恶意篡改部分DNS解析数据的调查报告；二是Anthropic发出安全预警：小型AI模型或将实现自复制，催生物联网AI蠕虫风险；三是Palo Alto防火墙高危零日漏洞遭在野利用；四是思科邮件安全网关零日漏洞遭攻击者积极利用；五是开源大模型网关LiteLLM曝出存在两处高危漏洞；六是日本SiteGuard WAF高危漏洞已遭在野利用；七是Drupal Field UI模块存在远程代码执行漏洞。

01 网安动向热讯

中共中央办公厅、国务院办公厅发布《关于推动科技创新和产业创新深度融合的意见》

10月21日，中共中央办公厅、国务院办公厅发布《关于推动科技创新和产业创新深度融合的意见》，要求以发展新质生产力、建设现代化产业体系为目标，以构建企业主导、各主体协同的产学研融通创新体系为重点，推动全链条贯通、全领域覆盖、全要素融通、全方位保障，形成科技创新和产业创新互融共促新格局。意见围绕促进创新链产业链无缝对接、以高质量科技供给支撑现代化产业体系建设、加强企业主导的产学研融通创新、提高创新资源统筹配置效能、营造深度融合的良好生态和拓展深度融合的发展空间6个方面作出具体部署。（信息来源：新华社）

商务部等9部门联合发布《关于加快推进科技兴商的意见》

10月13日，商务部、工信部、中央网信办等9部门联合发布《关于加快推进科技兴商的意见》，旨在以科技创新引领商贸创新发展，加快建设强大国内市场。《意见》围绕以下五大方向，提出18项具体措施：一是科技赋能商品消费提质，实施“人工智能+制造”专项行动，发展柔性制造和个性化定制，丰富智能商品供给；二是科技推动服务消费扩容，创新家政、餐饮、医疗健康等服务模式，开展“人工智能+文化和旅游”试点；三是科技畅通商贸流通链条，实施数智供应链发展专项行动，推广智能仓储、无人配送等设施，推动批发零售数智化升级；四是科技塑造未来商业场景，培育商业智能体新业态，推动具身智能技术落地，打造智能化、绿色化、融合化消费新场景；五是优化科技发展环境与支撑保障，健全商业科技标准体系，夯实数智基础设施，完善安全监管治理体系，同时加强前沿科技成果转化、复合型人才培养和财政金融支持。（信息来源：商务部网站）

商务部、科技部就修订《中国禁止出口限制出口技术目录》公开征求意见

10月16日，商务部、科技部发布公告，就修订《中国禁止出口限制出口技术目录》公开征求意见，并对相关技术实施出口前登记临时管理措施。此次修订拟增列人工智能、生物医药、光伏三个领域40项关键技术，其中拟禁止出口14项，包括人工智能驱动的恶意代码生成与变异技术、钙钛矿及叠层电池组件生产技术等；拟限制出口26项，包括人工智能辅助漏洞挖掘技术、具有自主知识产权的通用型细胞和基因治疗全新靶点发现和验证技术等。商务部表示，此次列管主要基于两方面考虑：一是确保人工智能技术安全可控，防范相关技术被用于攻击关键信息基础设施、国防军工、核心政务等敏感系统；二是鼓励开源开放、合作共享，对技术开源、境外自建算力中心、芯片流片制造、联合研发、参与国际标准制定等情形适用自动许可等便利措施，基本实现“即报即出”，已进入公共领域的技术不纳入管理范围。（信息来源：新华网）

《人工智能操作系统通用技术要求》《人工智能操作系统权限管理要求》两项国家标准获批发布

10月13日，《人工智能操作系统通用技术要求》《人工智能操作系统权限管理要求》两项国家标准获批发布。本次发布的两项标准由中国电子技术标准化研究院联合华为、中兴等60余家单位共同起草，分别从通用技术与权限管理两大维度明确统一要求，形成“一主技术、一守安全”的标准协同格局，为产业发展提供技术指引、筑牢安全底线。下一步，全国信标委程序设计语言分技术委员会、全国信标委操作系统标准工作组将持续推进两项标准落地推广，以标准化推动人工智能操作系统创新，助力我国操作系统产业高质量发展。（信息来源：全国信标委）

国内首个人工智能全产业链评测基准发布

10月13日，国内首个面向算力、模型算法、智能系统与产品、行业应用、安全治理等人工智能全产业链的评测基准——“求索”4.0版正式发布，整套体系分为基础软硬件、模型与智能系统、安全治理、行业落地四大板块，16项测评工具，覆盖从底层算力、软硬件协同、智算云、智能软件工程，到大模型、智能体、具身智能、智能终端、AI安全、行业场景的全面测评。该体系为芯片、模型等厂商提供了统一的测试流程、评测标尺，还配套电力、医疗、钢铁等真实的业务测试负载，可消除不同环境下评测结果不可比的行业痛点。目前，“求索”已经面向产业链开展多轮试点测评，在金融、电力、石油石化等场景完成产品验证，积累了多项行业落地实践案例，起到了很好的示范作用。（信息来源：全国信标委）

美国土安全部要求联邦机构禁用DeepSeek等中国AI工具

10月19日，美国土安全部正式公布一项命令，该命令根据联邦采购安全委员会的建议，经审查相关证据后，提出两项要求：一是将DeepSeek及其关联实体开发的信息技术产品和服务，从联邦民事机构采购中全面排除；二是将DeepSeek及关联方全部产品，以及使用DeepSeek实现方式开发的第三方产品和服务，从民事机构信息技术系统中移除。该命令适用于联邦民事行政部门，国防部、情报体系及隔离涉密信息系统不受约束，实施工作由美CISA承担，确有特殊需要的机构可申请豁免该命令。外交部发言人毛宁在例行记者会上回应称，中方一贯反对泛化国家安全概念、将科技经贸问题政治化，将坚决维护中国企业的合法权益。DeepSeek方面未就此公开回应。（信息来源：美联邦公报网站、外交部网站）

特朗普政府启动联合私营企业对外实施进攻性网络行动准备工作

10月16日消息，特朗普政府启动联合私营企业对外实施进攻性网络行动准备工作，吸纳经审查的美私营企业参与打击境外网络犯罪。企业可同司法部、国土安全部签约，在单次任务书面获批后，开展情报搜集、破坏境外黑客组织系统等活动。目前监管人员遴选工作已启动，但该计划实施前仍面临六项挑战：一是资金与补偿机制不明确，备忘录本身不提供执行资金，按行动成功程度付费的具体方式尚未确定；二是责任归属与风险分摊不清，企业打错目标或损坏第三方系统的责任未明确；三是目标识别与授权审批困难；四是行动协调复杂，干扰犯罪分子使用的无辜企业设备需与多国当局协调；五是执法与情报部门利益冲突需权衡；六是参与企业及员工面临犯罪组织报复风险。（信息来源：奇安网情局）

美CISA、NIST、NSA联合发布《超级智能训练与评估中的事件准备与响应关键实践》

10月16日，美CISA、NIST、NSA联合发布《超级智能训练与评估中的事件准备与响应关键实践》，旨在管理超级智能训练及评估期间可能发生的潜在事件。《关键实践》确立了十项自愿性关键实践，涵盖事件管理生命周期五个阶段：一是准备阶段，设计并实施技术控制措施，构建组织与人员应急响应能力；二是检测阶段，监测异常活动，验证并加固监控器，以提升运营完整性；三是响应阶段，收集、留存并分析证据，抑制并终止非预期活动；四是恢复阶段，在恢复超级智能体运行前，验证并强化隔离措施；五是报告阶段，协调受影响方，通知政府，并公开分享信息。（信息来源：美CISA网站）

美政府问责局明确未来五年以人工智能与网络安全为监管焦点

10月15日，美政府问责局发布《2027—2032财年战略规划》，围绕为国会提供独立客观的项目与支出分析、提升联邦政府绩效与问责水平、加强自身服务国会能力三大目标展开，将网络安全和人工智能列为重点：一是评估联邦网络安全工作，包括制定国家网络安全战略、保护联邦系统与关键基础设施、保障敏感数据安全；二是评估人工智能部署与监管，包括相关风险、国际竞争力以及人工智能政策与监管框架的有效性；三是审查联邦信息技术采购、管理与战略规划实践；四是评估对手使用人工智能、自主系统的军事应用，以及人工智能辅助决策可能面临的攻击或威胁。同时，政府问责局将推动人工智能、企业级分析等创新技术在全机构范围应用，利用创新实验室安全地开发和测试改进审计与业务流程的创新方法，并简化数据科学、人工智能、网络安全等专业技术领域的人员招聘，提供覆盖全机构的学习与发展机会。（信息来源：美国政府问责局网站）

美《2027财年国防授权法案》立法进程受阻，三项对华芯片管制法案前景不明

10月17日消息，美国《2027财年国防授权法案》立法进程受阻。此前众议院版本已于7月22日通过，但参议院因两党在对伊朗军事行动、国防预算规模等问题上分歧严重，未能进入全院审议，现已进入中期选举前休会期，选举前不会推进该法案审议。原计划纳入《2027财年国防授权法案》的《人工智能监督法案》《芯片安全法案》《MATCH法案》三项芯片与人工智能管制立法落地前景不明。国防授权法案作为美国重要综合性立法载体，过往《出口管制改革法》《外国投资风险审查现代化法》等均借其完成立法，三项芯片管制法案能否最终作为修正案纳入其中，仍有待选举结束后美国会两党进一步博弈。（信息来源：出口管制合规研究）

美陆军宣布启动“守门人计划”，加快将商业软件接入陆军网络

10月14日消息，美陆军代理首席信息官对外公布，将于10月23日正式启动“守门人计划”，依托隔离沙箱环境与人工智能自动审查厂商代码，压缩商业软件接入陆军网络的安全评估与认证周期。“守门人计划”属于陆军DevSecOps流水线（将安全管控嵌入软件研发交付全流程的自动化安全工具链）面向商业企业的对外版本，项目意在降低企业对接门槛，用于替代此前零散、不规范的软件准入方式，后续还计划接入美国联邦统一身份认证平台Login.gov，方便更多非传统供应商提交代码开展安全测评。（信息来源：DefenseScoop网站）

美国务院以涉嫌窃取商业秘密为由制裁5家中国企业

10月19日，美国务院依据《保护美国知识产权法》，以涉嫌窃取美国公民商业秘密为由，制裁上海至算科技有限公司、奇绩创坛北京投资管理有限责任公司及北京奇绩创坛一期、二期创业投资中心和致远企业管理中心等5家中国企业，美财政部外国资产控制办公室同日将其列入非SDN清单，具体制裁措施包括：一是冻结相关企业受到美国司法管辖的财产及财产权益；二是禁止美国金融机构在任何连续12个月内向相关企业提供累计超过1000万美元的贷款或信贷，法定例外情形除外；三是禁止涉及相关企业权益且受到美国司法管辖的外汇交易；四是禁止涉及相关企业权益且受到美国司法管辖的银行支付和资金转移；五是禁止美国人士投资或购买相关企业的大额股权或债务工具。其中，资产冻结措施对货物进口交易设有法定例外。（信息来源：美国务院网站、商务部网站）

美国防部完成公布高校科研安全审计结果

10月19日，美国国防部宣布完成对美国30所高校首轮科研安全审查。30所高校均完成《国防授权法案》第1286条清单（即“1286清单”，用于标记对美国科研项目和国家安全构成风险的外国高校和研究机构，目前共列入130家外国实体，中国占88家）涉事境外实体相关风险整改，共落实80余项合作终止措施。其中，俄克拉荷马州立大学、宾州州立大学等7所高校迅速终止清单内实体合作关系。美国防部称，将动态更新“1286清单”，持续核查高校对外合作情况，并警告未达标院校将无法继续获得联邦科研经费，后续将联合国会相关委员会持续推进科研安全审查工作。（信息来源：美国防部网站）

台湾地区拟收紧AI芯片出口管制

10月16日消息，台湾地区经济主管部门负责人龚明鑫证实，台当局计划收紧人工智能芯片出口管制，将AI服务器、尖端半导体产品正式列入出口管制清单，未经许可向中国大陆运送受限AI硬件的，将依据当地《贸易法》对涉案企业与人员追究刑事责任。当前台湾地区尚无法将无授权向大陆出口AI芯片定为刑事犯罪，新规旨在补齐这一法律短板。龚明鑫表示，此次收紧管制旨在兑现所谓“台美对等贸易协定”，未来出口管制项目将与美国保持完全一致。目前新规尚未公布具体实施时间。（信息来源：彭博社）

406位科学家就AI安全问题发表公开信

10月13日，来自34个国家的406名科学家联名发表《科学共同体关于人工智能与网络安全的公开信》。公开信提出，当前已出现AI模型突破沙箱防护、入侵外部系统等安全事件，此类风险本可依靠配套安全措施予以规避，并据此提出四项防范举措：一是优化人工智能对齐技术，提升模型可预测性；二是用好沙箱机制，强化模型隔离管控，对具备网络操作能力的AI模型优先实施物理断网隔离；三是联合各国政府及相关领域专家设立国际机构；四是依托该机构记录追踪隔离失效事件，建立相关安全事件上报及公开机制，协同防范AI对关键基础设施造成安全危害。（信息来源：安全内参）

英国发布AI安全一揽子举措应对前沿人工智能带来的安全挑战

10月12日，英国内阁办公室、人工智能安全研究所、国家网络安全中心联合发布《英国加强国家防御以应对日益增长的AI风险》公告，正式公布一揽子AI风险防御强化措施。目前，英国政府已启动一项前沿AI网络防御计划，通过两个试点项目，借助前沿AI技术识别并修复了政府系统中逾千个安全漏洞，后续将继续延长该计划的实施；同时，人工智能安全研究所已启动对最新一代AI模型的严格评估，并与主要AI开发者及美国政府协同推进相关工作。下一步，英国将扩大AI技术在公共服务网络防御中的应用范围，重点强化医院、公用事业等关键基础设施对AI相关网络风险的防护能力；依托《网络安全与韧性法案》推进AI严重事件与未遂事件的识别、报告机制建设，重点应对自主AI智能体引发的高速、大范围风险；同时布局AI验证这一新兴领域，相关支持政策的具体细节将在未来数月内公布。（信息来源：Infosecurity网站）

英国与加拿大续签人工智能安全合作伙伴关系协议

10月13日，英国、加拿大续签人工智能安全伙伴关系协议，该协议在2024年5月首次发布的英加人工智能安全科学伙伴关系基础上深化升级，双方依托各自人工智能安全研究所深化协作，重点围绕前沿人工智能风险与能力信息共享、AI评估最佳实践、人员交流、联合评估、技术标准协同等开展合作，整合加拿大AI科研优势与英国AI测试评估经验，共同研判应对前沿人工智能安全风险。（信息来源：英国政府官网）

微软发布《2026年数字防御报告》

10月20日消息，微软发布《2026年数字防御报告》，报告提出，人工智能正在重塑网络攻防模式，在进攻侧压缩攻击筹备周期、降低复杂攻击的实施成本，在防御侧辅助防御方快速定位漏洞、研判威胁、处置安全事件。当前，网络风险沿着身份、软件供应链、云平台、数据与人工智能系统的信任链路相互传导，单一安全工具，已经不足以应对持续演变的安全威胁。报告提出的主要观点：一是人工智能改写网络安全底层规律；二是人工智能本身成为攻击者新攻击面；三是人员仍是常见的初始入侵路径；四是身份体系是安全防御核心控制点；五是威胁情报共享与多源信号关联，是多层防御的关键；六是新兴威胁更隐蔽、爆发更快、攻击规模更大；七是人工智能拓宽数据访问边界，数据保护紧迫性显著提升；八是安全防御重心应从被动响应转向持续风险暴露管理；九是国内外政策将深刻影响网络安全发展走向；十是安全建设的最终目标是构建组织韧性等。（信息来源：安全内参）

02 数据前沿快讯

国家数据集团有限公司在河北雄安新区成立

10月20日，国家数据集团有限公司成立大会在河北雄安新区举行，中共中央政治局常委、国务院副总理丁薛祥出席并为公司成立揭牌。该集团经国务院批准组建，由国务院国资委代表国务院履行出资人职责，公司为国有全资，由国务院、河北雄安新区管理委员会和中国电信、中国联通、中国移动等共同出资，总部注册于雄安新区。集团成立旨在推进数据资源开发利用、释放数据要素价值、服务人工智能发展、繁荣数据产业生态。丁薛祥强调，国家数据集团要统筹发展和安全，深化数据要素服务，加快数据基础设施建设，加强关键核心技术攻关，打造世界一流数据科技企业。（信息来源：新华社、国务院国资委网站）

中国气象局发布《气象数据管理办法》

10月15日消息，中国气象局发布《气象数据管理办法》，旨在加强和规范气象数据管理、促进气象数据开发利用、提升气象数据治理能力和服务水平，并将于11月1日起正式实施。办法围绕数据供给、数据流通利用、数据安全保障及监督管理四个方面搭建制度体系：一是依托地球系统数据平台建设，构建跨圈层地球系统数据汇交、管理、应用制度框架，推动气象数据汇聚共享与多源数据融合应用；二是设立气象数据产权结构性分置下的公共气象数据授权运营机制，强化数据权益保护，为公共气象数据确权和授权运营提供法规支撑，补齐相关制度短板；三是明确气象数据开发利用激励规则，面向人工智能、大数据与气象行业融合方向，支持各类主体研发数据应用技术、建设高质量数据集，推动高价值气象数据安全高效赋能各行各业；四是健全气象数据安全保障制度，统筹发展和安全，明确数据流通监管平台、各环节安全主体责任、重要数据目录、数据出境及安全评估等要求，防范化解数据安全风险。（信息来源：新华社）

美陆军推出前线跨密级机密数据共享框架

10月13日，美陆军在2026年陆军协会年会上宣布推出一套前线机密数据共享新框架，实现前线人员对机密数据的共享和使用。该框架由四部分构成：一是一体化作战指挥系统，用于存储防空反导网络机密数据；二是陆军一体化防空反导网关，负责将机密数据处理为安全的非机密信息；三是先进野战炮兵战术数据系统炮兵执行套件，利用这些数据执行与进攻性火力相关的任务；四是一体化作战指挥机动系统，负责在非机密网络环境下使用相关数据。（信息来源：安全内参）

03 网安事件聚焦

荷兰跨国食品零售集团Ahold Delhaize遭网络攻击

10月14日消息，荷兰跨国食品零售集团Ahold Delhaize遭网络攻击，该集团主动切断部分系统开展应急处置，造成其分布于欧美多国的零售品牌网站、线上应用及配送业务发生中断，实体门店仍维持正常运营，目前暂未发现客户与员工数据被盗迹象，安全团队正分阶段恢复系统。该集团近年多次遭受网络攻击，本次事件与此前法国超市冷藏系统遭篡改攻击暂未发现关联，凸显零售行业面临严峻的网络安全威胁。（信息来源：安全内参）

瑞典时尚零售巨头H&M内部数据库遭黑客入侵

10月13日，黑客组织ShinyHunters声称入侵瑞典时尚零售巨头H&M的内部数据库，可能导致库存记录、物流数据、销售分析，以及用于门店管理和订单处理的基础设施信息等数据泄露。H&M表示正开展调查，但尚未发现数据泄露。H&M在全球80多个市场经营约4000家门店，业务规模庞大，一旦核心运营数据泄露，可能影响供应链安全、商业决策及业务连续性。（信息来源：Cybernews网站）

英国贝宜系统美国子公司遭网络攻击致美国联邦破产法院通知系统瘫痪

10月15日，美法院行政办公室发布公告确认，美国政府承包商、英国贝宜系统美国子公司BAE Systems遭遇网络攻击，导致其为联邦司法机构运营的破产通知中心IT系统和网站受到影响，全美联邦破产法院的通知生成和分发工作陷入停滞。美法院行政办公室表示正与受影响法院保持沟通，并与BAE Systems协调应对；BAE Systems正在积极调查事件并努力恢复运营。目前官方未披露事件性质、发生时间以及是否有数据被访问或窃取，也未提供恢复服务的时间表。（信息来源：Infosecurity网站）

日本软件企业Sourcenext遭非法访问，约2252万条会员记录遭泄

10月15日，日本软件企业Sourcenext发布公告称，其会员信息管理系统遭第三方非法访问，攻击者自10月9日起，非法利用会员信息获取接口取得客户资料，约2252万条会员记录遭泄，涉及邮箱、密码、姓名、地址、电话号码、出生日期等信息，具体受影响字段因会员注册情况而异。目前该公司已要求会员登录时重设密码，提醒用户避免在其他平台复用同一密码组合，警惕冒充公司名义的钓鱼邮件、短信及电话，并已联合外部专业机构开展详细调查、对全部系统实施紧急检查，并向日本个人信息保护委员会完成报告。（信息来源：Sourcenext网站）

日本汉堡王1118万名会员信息遭未经授权访问

10月15日，日本汉堡王运营商BK Japan披露一起数据泄露事件，称攻击者于10月2日至7日未经授权访问管理官方应用程序会员信息的系统，约1118万名会员 ID、电子邮件地址、姓名、电话号码、出生日期等个人信息可能遭到泄露。BK Japan于10月13日确认事件，随后封锁相关未授权访问，并成立事件响应小组，向日本个人信息保护委员会报告情况，同时通知受影响客户、聘请外部安全专家调查并推进安全整改。BK Japan表示目前没有发现密码泄露或已确认的欺诈案例，但攻击者身份、入侵途径及具体影响仍在调查中。（信息来源：SecurityAffairs网站）

04 网安风险警示

国家互联网应急中心发布关于中国境外自治域AS402425恶意篡改部分DNS解析数据的调查报告

10月20日，国家互联网应急中心发布调查报告称，近期我国多个省份多次发生用户访问请求异常跳转至博彩网站事件，危害群众财产安全和正常上网权利。经分析，攻击者利用中国境外自治域AS 402425，主要采取宣告虚假路由、篡改域名解析数据等手段攻击：先在路由注册库注册虚假源地址前缀和虚假自治域集合，通过其控制的自治域发布虚假前缀和短路径，劫持境内部分流量；再篡改DNS解析数据，将解析值直接改为博彩网站地址，或指向恶意DNS服务器、由其返回博彩网站地址。经技术测量，域名篡改发生在境外自治域AS 402425内。该自治域由美国公司QOREXA LABS于2026年4月9日在美洲互联网号码注册管理机构注册，其官网显示经营比特币业务。该中心建议注销恶意AS资源、配置路由过滤、加强解析与路由异常监测，并提示网民使用可信公共DNS，遇异常跳转关闭页面并清理缓存。（信息来源：国家互联网应急中心）

Anthropic发出安全预警：小型AI模型或将实现自复制，催生物联网AI蠕虫风险

10月13日，Anthropic发布警告，小型AI模型可能只需数月就能在智能烤箱、安卓电视盒子等联网物联网设备上自我复制，形成难以集中关停的“AI蠕虫”。实验显示，Gemma4-26B-A4B模型可在15台廉价电视盒上并行运行；Qwen3.5-9B模型在9种硬件中成功适配8种，甚至还能在传播中做拉马克式进化，推理搭建成功率从第一代的45%一路升到后续代的61%–84%；GLM-5.2在虚拟网络中多次成功扩散。Anthropic预测，按当前速度，2026年底300亿参数以下小模型可能达到自主复制水平。不过目前受网络、权限等因素限制，尚未出现完全失控的复制体。（信息来源：BleepingComputer网站）

Palo Alto防火墙高危零日漏洞遭在野利用

10月14日，网络安全厂商Palo Alto Networks发布安全公告，披露防火墙操作系统PAN-OS存在高危远程代码执行零日漏洞CVE-2026-0322（CVSS评分8.6），该漏洞已被攻击者用于针对防火墙的攻击。漏洞影响PA系列、VM系列防火墙，以及Panorama虚拟设备和M系列设备。该公司表示，目前尚未发现针对其管理界面的攻击行为，针对PAN-OS 10.2、11.1、11.2、12.1和12.2等受影响版本，厂商已发布相应安全修复，并计划于10月15日发布PAN-OS 11.2.16的修复程序，建议用户及时更新。美CISA已将该漏洞纳入已知遭利用漏洞目录，并要求联邦民事机构于10月17日前完成风险缓解。（信息来源：BleepingComputer网站）

思科邮件安全网关零日漏洞遭攻击者积极利用

10月14日，思科发布公告修复安全电子邮件网关高危零日漏洞CVE-2026-76519。该漏洞为高级恶意软件防护功能处理邮件附件时产生的相对路径遍历漏洞，未经身份验证的远程攻击者可发送恶意附件，在目标设备写入任意文件并以最高权限执行系统命令。漏洞影响开启文件信誉服务、且内容扫描工具版本低于25.3.0.5525的相关设备。目前思科已对云端实例部署缓解措施，并向存在入侵迹象的客户推送告警，建议用户及时更新设备凭证、加密材料，恢复安全基线，收紧访问权限。（信息来源：BleepingComputer网站）

开源大模型网关LiteLLM曝出存在两处高危漏洞

10月14日，开源大模型网关LiteLLM曝出存在两处高危漏洞CVE-2026-35029、CVE-2026-59823。LiteLLM主要用于对接企业应用与OpenAI、Anthropic、谷歌等多家AI服务。其中CVE-2026-35029存在权限管控缺陷，攻击者可越权调用管理员接口，读取服务器文件、篡改管理员凭据并执行代码，实现网关接管；CVE-2026-59823存在服务端请求伪造漏洞，攻击者可将网关转发请求定向至受控服务器，窃取AI服务商API密钥。该组件常被嵌入各类AI平台、内部工具，即便企业未独立部署，仍存在受牵连风险。攻击者无需直接攻陷后端AI服务，只需攻击处在业务应用与模型服务之间的可信网关，即可获取敏感凭证、访问相关资源，实现横向拓展。目前LiteLLM 1.83.9及以上版本已完成修复，建议用户及时更新。（信息来源：Cybernews网站）

日本SiteGuard WAF高危漏洞已遭在野利用

10月14日，日本安全厂商EG Secure Solutions发布紧急预警，披露其SiteGuard Server Edition中存在操作系统命令注入漏洞CVE-2026-106931。SiteGuard是直接运行于受保护Web服务器上的日本Web应用防火墙，该漏洞影响其默认启用的统计功能，攻击者成功利用后可在服务器上以root或SYSTEM权限执行系统命令。目前厂商已确认漏洞遭到利用，但尚未披露攻击者身份、受害目标、攻击手法及受影响系统数量。（信息来源：SecurityAffairs网站）

Drupal Field UI模块存在远程代码执行漏洞

10月14日，Drupal发布安全公告，修复Field UI模块远程代码执行漏洞CVE-2026-108097（CVSS评分9.8）。Drupal是一款开源的内容管理系统和Web应用框架，使用PHP开发，因该模块渲染表格时把行数据的回调参数当作PHP函数直接调用，当站点启用Field UI且存在将请求数据写入该回调的模块时，攻击者可执行任意PHP代码，读取settings.php等敏感文件、增删文件，最终以Web服务用户身份执行系统命令，导致站点完全失陷。目前官方表示暂未发现在野利用，已发布安全补丁，建议用户尽快更新。（信息来源：安全内参）