ZONE.CI 全球网

本文分析反开源情报对印度安全战略的威胁，指出对手利用虚假信息和AI技术操纵公开数据。文章建议印度采取双管齐下策略：设立专门验证机构，加强多源情报融合与人力情报核实，应用区块链与AI取证技术，并建立全社会韧性及红队演练机制，以应对信息战与认知战挑战。

原力灵机发布Ferrata多智能体混合作业系统，为PhysicalAI提供安全作业框架。系统通过三层任务处理机制：标准自动化处理高频任务、具身模型处理复杂长尾任务、人工接管极端异常，确保机器人在仓储物流等场景稳定运行。该系统与Atomix合并后可直接接入成熟仓储网络，通过经济飞轮带动数据飞轮，在创造ROI的同时积累真实作业数据推动模型迭代，目标实现年内千台机器人规模化部署。

本文分析ADCS中ESC6漏洞的成因与利用方法，指出CA服务器开启EDITF\\_ATTRIBUTESUBJECTALTNAME2标志会导致SAN字段被恶意篡改。攻击者可通过Certipy工具枚举漏洞CA、伪造管理员UPN申请证书、获取TGT票据后接管域控。文中对比ESC6（CA全局属性漏洞）与ESC1（证书模板漏洞）的本质差异，并给出完整渗透测试流程。

FortinetFortiSandbox存在严重命令注入漏洞CVE-2026-25089，CVSS评分9.1，允许未认证攻击者通过恶意JSON输入在管理界面执行任意命令。影响版本包括5.0.0-5.0.5和4.4.0-4.4.8等，建议立即升级至5.0.6/4.4.9以上版本，并限制管理界面公网访问以降低风险。

美国政府依据《2018年出口管制改革法》对Anthropic两款AI模型实施全球封禁，要求跨境传输需许可证。Anthropic称管制过度，涉事漏洞范围窄且已通过安全测试，事件可能影响其IPO及全球化布局。分析认为此类出口管制或成美国管控高端大模型的常态工具。

PhantomCtx是一种新型EDR逃避工具，通过劫持激活上下文实现将任意DLL加载到已签名可执行文件中。该方法无需特定易受攻击的二进制文件，只要目标程序通过IAT导入DLL即可生效，在测试中成功绕过ElasticCloudXDR检测。工具提供GitHub下载链接并附带多个免杀工具资源，但声明仅限合法安全测试使用。

研究者披露FIFA世界杯后台存在高危越权漏洞。通过公开注册账号进入Entra租户后，因后端API未校验角色，成功绕过前端拦截访问流媒体配置、RTMP推流入口及实时赛事数据面板。根因在于服务端授权缺失及权限边界混乱。建议企业必须实施服务端强制鉴权，严格区分身份认证与授权，并完善外部账号权限隔离与安全披露渠道。

本文介绍在域控开启Schannel限制（禁止PKINIT）环境下，通过ESC10结合RBCD的链式利用手法。关键步骤包括：利用弱映射机制修改用户UPN获取域控证书，通过Schannel认证后操作msDS-AllowedToActOnBehalfOfOtherIdentity属性配置RBCD，最终通过S4U2Self+S4U2Proxy链获取Administrator权限。技术核心在于绕过PKINIT限制实现权限提升。

公安部网安局通报境外恶意IP地址威胁，涉及法国、德国等9个国家，主要威胁类型为后门程序（如DarkKomet、NjRAT）和僵尸网络（如Mirai、Gafgyt），可实施远程控制、数据窃取和DDoS攻击。建议单位排查网络流量记录、更新防护规则拦截恶意地址，并向公安机关报告配合溯源。

文档内容显示为不完整或格式异常，主要包含图片占位符及零散短语如`刷擦边小视频也能通杀edu``凌曦安全`等，无法提取有效技术内容或核心观点。

本文记录了一次众测中发现的任意用户修改密码漏洞，攻击者仅需获取目标用户的账号和手机号即可绕过验证码机制，通过固定ID值永久修改用户密码。文章详细描述了通过Fofa资产发现、JS文件分析、FindSomething插件配合URL批量测试发现注册接口，并利用信息泄露接口获取用户联系方式完成漏洞验证的全过程。作者强调漏洞危害性并提醒渗透需授权。

本文系统阐述了AI工程领域新兴的HarnessEngineering概念，指出AI工程重心正从优化模型回答转向治理Agent行为。核心观点认为Agent在真实工程中的失败多源于缺乏项目级隐性知识与环境约束，而非模型能力不足。HarnessEngineering通过构建包含规则、文档、测试、工具、可观测性及反馈机制的综合环境，旨在让Agent更可靠地执行任务、自我验证并避免重复犯错，从而将人类工程师从低价值监督中解放，转向更高层次的设计与决策。

中新赛克发布DATA+AI战略，通过知识蒸馏和数智分身技术解决AI落地难题。其双引擎架构（DI数据引擎+AI智能引擎）实现多模态数据融合，在销售、质检、外审、研发、安全五大场景落地岗位AI应用。采用现场交付工程师模式确保最后一公里实施，为企业提供轻量化、可迭代的转型路径。

国家网络与信息安全信息通报中心发现一款伪装成公安机关服务的恶意APP`公安一网通办`，通过社会工程学手段诱导下载，内置木马可窃取支付信息并远程控制设备。防范建议包括：仅通过正规渠道下载应用、核对开发者信息、审慎授权手机权限、及时卸载异常应用并报案。

汇丰银行与谷歌云达成AI合作，计划两年内开发超200个AI应用案例，预计每个项目可带来超1亿美元收益。合作将利用Gemini模型及DeepMind团队技术，同时银行任命首席AI官并评估AI应用可能导致裁员2万个岗位，但CEO强调人力资源仍为核心。

本文作者分享了从Warp终端切换到cmux的体验，重点介绍了cmux的分层结构（Window→Workspace→Pane→Surface→Panel）如何优化AIAgent工作流，包括多任务分屏管理、原生通知系统和上下文保持功能，最终推荐macOS用户尝试这款专为CodingAgent设计的终端工具。

西安电子科技大学密码学院与ISN全国重点实验室联合团队在AI赋能密码分析领域取得突破，其论文被Eurocrypt2026接收。该研究创新性地将神经网络与自动化搜索结合，提升了积分分析效率，并在分组密码算法SKINNY上实现了密钥恢复攻击轮数的显著提升，标志着AI在密码分析中从工具辅助迈向方法创新。

该文档探讨利用刷擦边小视频作为社会工程学攻击手段渗透教育机构系统的可能性，涉及安全意识与实战经验分享，但具体技术细节与可操作建议缺失。

南京大学研究团队对GitHub上16个AI代码审查工具开展实证研究，分析2.2万条评论发现：37.1%配置工具未实际使用；Hunk级别工具采纳率（6.5%-19.2%）高于File级别（0.9%-4.2%），但远低于人类审查（60%）；评论简洁性、代码片段包含度是影响采纳的关键因素，AI工具对经验不足开发者更有效。研究强调工具设计和提示工程对提升AI代码审查有效性的重要性。

该文档为网络安全领域的短文，主要呼吁读者利用低成本方法挖掘漏洞，并提示漏洞资源正在减少需尽快行动。内容缺乏具体技术细节或可操作建议，仅通过图片和煽动性语言引导查看历史文章。

本文探讨智能制造中MES系统面临硬件故障、系统异常、资源不足等风险及传统双机热备方案的局限性，提出威努特超融合系统通过故障自愈、资源池化、多副本机制实现高可用性，为MES系统提供可配置、可验证的完整解决方案。

文章指出等级保护测评机构需优先确保自身安全合规，根据GB/T36959-2026新规，处理三级及以上系统敏感数据的业务管理系统须符合三级等保要求并采用密码技术保护数据。监管重点从资质审查转向能力建设，测评机构需建立数据分类分级、密码应用及安全运营体系，实现从`测别人`到`先管好自己`的生态升级。

该文档为宁盾科技发布的2026年端午节放假通知，主要内容涉及企业假期安排及相关提醒。作为数字身份基础设施相关企业的行政公告，其核心信息为放假时间节点及假期前后的工作衔接说明。

Linux内核net/sched模块的act_pedit组件存在高危本地权限提升漏洞CVE-2026-46331，影响v5.18至v7.1-rc7内核版本。漏洞源于tcf_pedit_act()函数计算写时复制范围时未考虑运行时头部偏移，攻击者可通过非特权用户配合CAP_NET_ADMIN权限构造恶意tc规则篡改内存页缓存获取root权限。建议立即升级内核至v7.1-rc7或应用补丁899ee91156e57784090c5565e4f31bd7dbffbc5a，并限制CAP_NET\\_ADMIN权

本文系统拆解了针对LLMAgent的六步攻击链：从系统提示泄露侦察开始，通过间接提示注入实现初始访问，利用记忆投毒进行持久化，借助角色冒充提升权限，通过工具链串联横向移动，最终采用自然语言摘要实现数据渗出。关键发现显示攻击者可利用AI信任特性绕过安全机制，防护建议包括系统提示加固、工具权限隔离和多层检测。