今日网安速递｜AI 攻防重塑安全格局，多起重大漏洞与数据泄露事件集中爆发

原创

十二主神
十二主神

十二主神

2026年11月6日 09:30
江西

去阅读

网络安全观察2026年11月6日 · 每日行业动态

智能时代，网络安全攻防进入新战场

今天值得关注的信息不少：世界互联网大会乌镇峰会聚焦 AI 时代网络安全协同治理；Debian/Ubuntu、Zyxel、Xen 等基础组件接连爆出高危漏洞；新航、国泰等多家亚洲航司因第三方供应商事件面临乘客数据泄露；AI 大模型\"劫持攻击\"让企业单案损失超百万美元。

01 · 政策与监管

监管持续加码：数据安全从\"事后追责\"走向\"全流程闭环\"

●乌镇峰会网络安全论坛：探讨 AI 时代全球协同防御新范式

11 月 4 日，2026 世界互联网大会乌镇峰会\"网络安全技术发展与国际合作论坛\"举行，主题为\"智能时代：网络安全协同与全球合作新范式\"。来自埃塞俄比亚、加纳、泰国、阿联酋等多国网络安全机构负责人参与讨论，CNCERT 分享了 AI 赋能协同防御的最新实践，倡导探索人工智能安全跨境协同合作新范式。

●《促进网信企业高质量发展行动计划（2026-2030 年）》发布

行动计划明确支持网信企业科创板、创业板上市，强化数据安全合规体系建设，完善数据出境安全评估制度，并鼓励设立数据跨境服务中心，为安全产业发展注入政策红利。

●《数据安全技术 电子产品信息清除技术要求》强制性国标发布

中央网信办提出并归口的这项强制性国家标准要求所有进入回收、转售或报废环节的电子产品，必须采用\"数字覆写\"或\"块擦除\"等技术实现不可逆的物理级数据清除，2027 年 1 月 1 日起正式实施。二手 3C 交易的隐私隐患有望得到制度性解决。

●84 款 App 因违规收集个人信息被通报

国家网络安全通报中心依据三部委 2026 年个人信息保护系列专项行动要求，通报了 84 款存在违法违规收集使用个人信息问题的移动应用，覆盖医院、机场、证券、公交等多个民生场景的小程序与服务号。

●爬取 385 万条医院数据：获利 1.08 万，赔偿 150 万

最高检披露典型案例：针对\"非法窃取个人信息公益损害大、实际获利少\"的追责难题，检察机关结合信息敏感程度、数据应用价值等因素认定公益损害赔偿金额。违法成本远超获利，监管信号明确。

本周高危漏洞集中披露，企业需尽快自查

02 · 漏洞预警

基础组件连环告急：这四个漏洞建议立即排查

●Debian / Ubuntu APT 中间人漏洞高危

CVE-2026-109518：攻击者可通过中间人方式篡改 HTTP 流量，在下载重试机制触发时替换合法软件包，导致恶意代码以 root 权限执行。Debian 和 Ubuntu 服务器应尽快升级 apt。

●Zyxel GS1900 交换机零日漏洞高危 · 已被利用

CVE-2026-107441：越界写入缺陷，未经身份验证的攻击者可通过特制 HTTP 请求执行操作系统命令。该零日漏洞已被用于攻击近 1000 台交换机，请立即升级 10 月固件并更换管理员密码。

●Xen 虚拟机逃逸漏洞高危

CVE-2026-102703 / 102704：影响 4.6 及以上所有版本，恶意虚拟机可越权读写同一宿主机上其他任意虚拟机的内存，对多租户云环境构成严重威胁。

●Chrome + 高通 Adreno GPU 组合攻击安卓设备中高危 · APT 活动

安全公司 Sekoia 披露：攻击者利用 Chrome 漏洞（CVE-2026-3910）在浏览器内执行代码，再借助高通 Adreno GPU 驱动漏洞（CVE-2025-27038）突破沙盒，随后投放窃取 Cookie、登录凭据和 Wi-Fi 密码的恶意软件\"AndroSnitch\"。该活动被归因于与俄对外情报局关联的 APT29，主要针对外交人员，用户无需点击链接即可中招。请及时更新 Chrome 至 146+ 版本。

03 · 安全事件

第三方供应链与\"老 vulnerability\"依然是最大软肋

●Amadeus 供应商事件波及多家亚洲航司

受第三方旅游科技供应商 Amadeus 网络安全事件影响，新加坡航空（约 4.6 万条预订记录）、国泰航空（约 5.3 万笔预订）、日本航空（约 9.2 万名乘客资料）等相继披露数据存在泄露风险。Amadeus 确认支付信息未泄露，但供应链\"一损俱损\"的教训再次上演。

●DreamHost 遭数月潜伏攻击

网站托管商 DreamHost 确认，黑客自 8 月起利用文件管理器漏洞窃取会话令牌，攻击持续数月未被发现，客户邮箱内容与登录凭据失窃。该公司拥有约 40 万付费客户，受影响比例虽低于一成，但检测延迟值得所有企业警醒。

●Google Calendar 钓鱼绕过 MFA

\"Operation CloudFire\"钓鱼活动利用伪造的日历邀请、Google 官方重定向链接与反向代理登录页，实时中继多因素认证流程实现会话劫持。MFA 不是免死金牌，抗钓鱼验证（FIDO2/Passkey）才是。

●游戏启动器与医疗冷库也中招

《胜利女神：NIKE》PC 启动器遭第三方篡改投毒，可窃取密码、Cookie 与加密货币数据，官方已推送修复并公开致歉；法国血液机构 EFS 的外包冷库承包商遭攻击，血浆存储温度设定被篡改——联网工控设备正在成为新攻击面。

图 3：当攻击进入\"执行时代\"，防御也要\"智能原生\"

04 · AI 攻防新趋势

决策权向机器转移：\"以 AI 对抗 AI\"成为行业共识

攻击侧已经进入\"执行时代\"。加拿大网络安全中心披露，黑客组织 Storm-0940 借助智能体 AI 框架 ARTEX 攻击数百家组织，从选定目标到获得云系统特权访问用时不到三小时——攻击的组织方式正从\"人工编排\"转向\"智能体自主协同\"。

防御侧开始用\"魔法打败魔法\"。盛邦安全董事长权小文在乌镇峰会分享的\"以 AI 对抗 AI\"实战方案显示：通过反测绘、反扫描构建防护\"伪装罩\"，收拢攻击面，打断漏洞利用链路，针对主流大模型驱动的攻击场景防御有效率可达 94%。

企业自身的 AI 资产也成为靶标。谷歌 Mandiant 团队发布报告警示\"大模型劫持\"（LLM Jacking）攻击激增：犯罪团伙窃取企业大模型 API 密钥后疯狂盗用算力，有受害企业单日损失超 10 万美元、累计损失达百万美元；近一个月已有 Railway、OpenCode、Warp 等 9 起 AI 平台失陷事件。AI 密钥的管控优先级，必须提上来。

行业观察：美银 CIO 调查显示，受访企业预计 2027 年网络安全预算同比增长约 7%，高于整体软件支出增速。AI 驱动的威胁演进正在把边缘安全、平台化服务推向舞台中央——安全行业正在从\"卖设备\"走向\"卖智能\"。

05 · 安全提醒

给企业和个人的一份今日行动清单

• 运维同学：今天就把 Debian/Ubuntu 的 apt 升级、Zyxel 交换机固件检查列入待办，这是本周最高优先级；
• 云平台用户：排查 Xen 版本与多租户隔离策略，关注官方修复公告；
• 安全负责人：审计企业大模型 API 密钥的使用与账单，启用最小权限与用量告警；
• 所有用户：把 Chrome 更新到最新版，安卓设备不要使用过旧版本浏览器；
• HR & IT：对员工做一次\"日历钓鱼\"专题提醒——看到陌生日历邀请，先核实再点击。

一句话总结今天的行业图景：AI 在攻防两端同时按下加速键，供应链和第三方信任链依旧是最脆弱的环节，而监管正在用\"全流程闭环\"倒逼企业把安全做进业务里。

• • •