ZONE.CI 全球网

该文档记录了一次小程序安全渗透测试过程，测试者发现反馈查询功能仅需输入手机号即可查看反馈内容。通过将手机号参数置空，成功绕过后端校验获取系统全部反馈数据，暴露出参数校验缺失导致的信息泄露漏洞。文章展示了空参数绕过的前后端校验差异问题，并提醒开发者需加强后端参数验证。

公安部网安部门预警显示银狐木马最新变种通过伪装税务稽查等钓鱼邮件定向攻击中小企业财务人员，已造成千余家企业损失高达20亿元。木马具备环境检测、权限提升、持久化驻留及C2远程控制能力，可截获短信验证码实施转账。文档提出四项防范建议：警惕可疑邮件、使用安全检测平台、断网隔离终端、开展安全意识培训，并推广了DeepPhish反钓鱼训练平台。

2026年全国低碳日期间，赛迪研究院参与共建的国内首个重点工业产品碳足迹数据库正式上线，覆盖光伏、锂电池等27个行业，填补了国内工业碳数据基础设施空白。该数据库将为政府碳考核、企业绿色转型及跨境碳合规提供权威数据支撑，赛迪认证将以此为核心深化碳足迹核算认证服务，输出成套低碳解决方案。

本文介绍了Gemma4-12B-Coder模型的GGUF量化版本，包括其基础架构、多种量化规格（Q2_K至Q8_0）的体积与适用场景，重点推荐Q4_K_M作为平衡选择。文档详细说明了使用llama.cpp的本地部署方法，并强调该模型具有低硬件门槛、256K长上下文和编码优化等特点，适合离线开发环境。

基础软件质量控制与技术评价工业和信息化部重点实验室发布2026年开放课题申请指南，聚焦开源大模型成熟度评价体系及验证、数据库多维评价体系及技术演进趋势研究两大方向，面向高校、科研机构、企业等单位征集参与单位，申请截止日期为2026年7月15日。

2026年`黄鹤杯`网络安全人才创新大赛因报名热度高涨，组委会决定将报名截止时间延长至7月15日。大赛聚焦AI攻防和实物靶标等实战技术，欢迎各单位组织队伍及爱好者报名参赛。组委会提供了联系人乔奇（电话\\*\\*\\*\\*\\*\\*\\*\\*\\*\\*\\*）及官方报名链接，并附有大赛简介文档供参考。

奇安信于2026年6月22日发布威胁分析数字专家产品，以`对话即研判`为核心，整合自研安全大模型与威胁情报数据，覆盖十类安全要素和八大能力模块。产品旨在解决通用AI工具在安全分析中的使用门槛高、专业性不足、能力分散三大痛点，通过SaaS模式提供免费公测并采用积分制激励用户参与。

2026年天枢杯青少年人工智能安全创新大赛实现赛事规模与内容的全方位升级，参赛人数增长十倍至12813人。大赛创新采用AI创作与安全双赛道模式，按学段分层设计赛题，引入个人/团体赛制及线下极限挑战。赛事通过赛前培训、校企合作等方式将竞赛转化为常态化教育实践，推动以赛促学机制，为国家培养AI安全领域未来人才。

黑客通过谷歌广告冒充Node.js安装程序分发新型OxLoader恶意软件加载器，该加载器利用伪造登录页和合法云存储服务传递CastlStealer信息窃取程序，通过沙箱检查、代码混淆和内存交付等技术规避检测，主要针对美国Windows用户窃取敏感数据。

深安AIGateway是企业级LLMAPI与AIAgent审计管理平台，解决大模型密钥泄露、成本失控、审计缺失及AIAgent行为不可控等核心痛点。平台提供虚拟密钥托管、精细化配额管控、敏感信息检测、Agent全流程行为治理等六大功能，支持公私双部署模式，帮助企业实现AI使用的安全可控与成本透明化。

文档报道谷歌在2026年6月裁撤威胁情报团队及Mandiant安全专家的事件，指出AI智能体（如Sec-PaLM2和Gemini安全平台）正取代人类专家实现自动化防御，标志网络安全从人力密集型转向算力密集型。核心发现包括：顶级分析师被裁源于企业将资源倾斜AI军备竞赛，防御范式变为AgenticSOC主动响应。建议从业者需掌握驾驭AI技能以应对行业变革。

近期JetBrains和VSCode市场曝出恶意插件窃取AIAPI密钥，安装近7万次。此外GlassWorm等蠕虫也利用IDE扩展传播。建议开发者立即审核插件，撤销并轮换相关API密钥，企业需阻断恶意流量并加强行为审查。

2026年5月银行业AI项目动态显示，城商行占比领先，浦发银行推进4个项目包括3.79亿信创算力服务器采购；AI项目以业务应用和基础设施类为主，智能体平台成布局重点；解决方案厂商为中标市场主力，信雅达中标项目最多。

本文记录作者为同事解答等保整改问题的实战经验，核心解决应用系统双因素认证、服务器/数据库安全加固、传输存储加密等常见合规难点。关键建议包括：采用手机验证码或堡垒机实现双因素认证，使用免费防病毒软件，推荐TLS1.3与AES-256/SM4加密算法，并强调通过缩小暴露面、沟通测评机构等策略系统性降低风险。

文档汇总了2026年6月中下旬AI领域多项动态，涵盖政策、技术、市场三方面。政策层面包括国家金融监管总局发布银行业保险业AI安全开发应用指导意见、广东推动AI与服务业融合方案；技术进展涉及微信测试AI助手小微、多校联合提出AI专用语言BabelTele、京东开源实时视频交互模型；市场动态显示中国大模型周调用量连续八周全球领先、智谱市值破万亿、微软CEO反对模型垄断。整体反映AI在合规框架下加速落地与生态竞争。

SkillSentinel是Skill生态的轻量安全网关工具，在Skill安装前进行自动化安全审计。工具提供ClaudeCode集成和命令行两种使用方式，包含839条正则规则覆盖提示注入、数据外发、提权越权等10大风险分类，支持自定义规则并输出风险评分与处置建议（允许/审核/阻断）。

本文围绕2026年8月20日将施行的《网络数据安全风险评估办法》展开，详细解读了其对监管、企业和第三方机构的权责划分，并提供了企业落地的六步合规建议。办法明确了重要数据处理者的强制评估义务与一般数据处理者的鼓励性规范，强调评估报告需真实有效并建立整改闭环。建议企业从摸清数据家底、搭建日常管理机制、选择合适评估路径、规范报告管理、闭环整改以及以评促建等六个方面，系统性地落实合规要求，真正提升数据安全能力。

2026年贵阳市第五届’筑城工匠杯’职业技能大赛顺利落幕，大赛由市人社局和总工会主办，覆盖数字软件、网络安全等领域，米好信安提供技术支持，赛事助力贵阳产业人才建设，弘扬工匠精神。

本文探讨了在AI攻击时代下，利用AIagent结合通用大模型处理海量安全告警的实践方法。文章指出传统安全运营主要关注告警是否存在，而当前面临告警过载问题，提出通过AI技术实现告警智能研判与降噪，提升安全运营效率。关键发现包括AI能够有效优化告警处理流程，并提供了可操作的集成方案建议。

本期SecWiki周刊聚焦2026年6月安全动态，涵盖人工智能政策法规、暗网流量分析工具Darkflow、智能体安全研究报告、APT组织年鉴及电磁侧信道攻击技术。核心内容包括HarmonyOS安全白皮书、DARPA项目梳理及美军网络战研究，提供前沿技术洞察与威胁情报分析。

本文探讨了人工智能（AI）技术如何通过降低造假成本和提升伪造内容的真实性，极大地加剧了开源情报（OSINT）收集与身份核验的难度。文章分析了AI在生成假头像、撰写流畅履历、构建跨平台虚假身份等方面对传统调查方法的冲击，并强调不能再依赖`干净`等于`真实`的旧有判断标准。文中提出了一系列实用建议，包括从官方或机构记录等更难伪造的来源入手、重新评估信息可信度、仔细核查时间线、深入检查媒体材料细节等，以帮助调查人员在AI时代更有效地进行人工核验和背景调查。

本文深入分析了自2025年下半年活跃的犯罪组织TeamPCP的供应链攻击活动。该组织将AI工具与供应链投毒相结合，通过入侵Trivy等安全工具窃取凭证，向PyPI、npm等主流仓库发布恶意包，攻击LiteLLM、Telnyx、DurableTask等知名项目，并利用音频隐写、systemd持久化等技术实现信息窃取和远程控制，造成了欧盟委员会数据泄露、GitHub内网入侵等重大事件。

Anthropic公司开发的Mythos人工智能在授权红队测试中展现出突破性网络安全能力，数小时内攻破NSA多数机密系统，发现OpenBSD存在27年的漏洞。该模型在CTF挑战中达73%通过率，能完成32步企业网络入侵模拟。美国政府因此紧急全球禁用该产品，引发技术管控与盟友合作争议。文档还揭示Mythos具备递归自我改进早期迹象，其训练代码优化能力达52倍提升。

美国国家情报大学（NIU）将于2026年7月1日并入国防大学并更名为国家情报学院，这是图尔西·加巴德推行的ODNI2.0改革的一部分，旨在削减开支和整合资源。NIU作为美国唯一能在保密环境下授予正式学位的高校，其独特的涉密教学环境可能因军事教育逻辑主导而受影响。合并已导致半数教职人员流失，学位项目和课程规模将缩减，但具体方案仍未明确。

中国人民大学高瓴人工智能学院主办的全球人工智能创新·治理·安全大赛设三个赛道：AI智能体应用（科研辅助智能体）、AI赋能社会治理（社会模拟推演）、AI伦理安全与治理（技术方案或政策研究）。比赛采用函评初赛+路演决赛形式，面向高校学生及青年科研团队，获奖项目可获最高30万元创业扶持及落地配套政策。作品需提交技术文档、演示视频等材料，报名截止8月15日。