ZONE.CI 全球网

本文作者作为网络安全应届生，在入职前夕回顾职业选择历程。从大二确立红队目标到收获多个offer，最终基于现金积累与平台title的考量，放弃红队选择互联网大厂。文章探讨了职业规划中的视野局限、平台选择与个人成长，强调在不确定时选择非歪路并付诸行动的重要性。

本文发布新一代人工智能国家科技重大专项2026年度第一批公开项目申报指南，明确项目申报流程、资格要求和时间节点。申报单位需通过国家科技管理信息系统提交材料，项目负责人须具备高级职称或博士学位，且存在多项限项规定。指南强调科研诚信，要求覆盖全部考核指标，申报截止时间为2026年7月17日。

亿赛通成功中标运达股份终端数据安全项目，该项目聚焦企业终端数据安全防护，体现了亿赛通在数据安全领域的技术实力与市场认可度。

研究人员披露Squid代理中存在堆越界读漏洞CVE-2026-47729（Squidbleed），可泄露用户明文HTTP请求如凭据会话令牌。漏洞源于1997年FTP解析代码缺陷，攻击需代理访问权限且仅影响明文流量。修复方案为升级至Squid7.7或禁用FTP服务，CVSS评分6.5。

该通知公布2026年度国家科学技术学术著作出版基金项目申报指南，资助范围涵盖自然科学领域学术专著、基础理论著作和应用技术著作，重点支持基础研究、新质生产力、现代化基础设施等方向。申报时间为2026年6月10日至7月13日，要求完成60%以上未出版书稿，通过在线系统提交材料并经专家评审确定资助项目。

中国密码学会开展2026年博士学位论文激励计划，旨在推动密码学领域创新与青年人才培养。参选者需为2023年6月至2026年7月获得博士学位的会员，论文须在基础理论或关键技术方面成果显著且不涉密。推荐渠道包括高校、分支机构等，需于2026年8月10日前提交推荐表、论文全文及证明材料等电子与纸质材料，通过评审后公示并颁发证书。

本周网安市场监测显示全球融资活跃，AI安全与智能体安全成为焦点，共11起融资事件总金额超2.5亿美元，其中TwentyTechnologies获1亿美元B轮融资。政策方面，《网络数据安全风险评估办法》将于8月施行，金融AI安全开发指导意见强化全生命周期管理。国内上市公司东方中科、吉大正元披露股东减持，三未信安完成子公司收购。

安全研究员JustinO’Leary发现谷歌Kubernetes操作器ConfigConnector存在严重漏洞ConfigConfusion，允许攻击者绕过GCP身份管理控制获取组织级完全控制权。谷歌最初将漏洞评级为P1/S1但后续以`按预期工作`为由拒绝修复和赏金，引发争议。该漏洞利用混淆代理机制，仅需三行YAML代码即可在五秒内完成权限提升，类似问题曾在GoogleCloudRun/Composer中出现。

本文详细解析SM3哈希算法的长度扩展攻击漏洞，攻击者仅凭截获的hash值和密钥长度即可伪造消息认证。通过图解展示攻击者如何利用SM3的Merkle-Damgård结构特性，在不知道密钥的情况下成功添加&admin=true权限提升字段。文档给出具体攻击步骤演示，并推荐使用HMAC-SM3、密钥后置等五种防御方案，强调避免直接使用裸哈希进行消息认证。

本文探讨AI时代安全运营挑战与认知升级。作者指出大模型降低攻击成本使传统检测响应面临困境，强调安全本质是解决组织与成本问题。价值感知受多因素影响，无绝对最优解。建议突破单一技术视角，若环境长期不匹配，主动更换环境也是一种有效破局策略。

本文介绍WordCopilot在文档翻译中的应用，能实现单段落或全文精准翻译，自动保持原文格式并生成中英对照排版。操作步骤包括选中段落输入指令或发送全文翻译需求，Copilot自动处理并保留原文结构。该工具简化双语文档制作流程，避免传统翻译的格式错乱和术语错误问题，提升办公效率。

《网络数据安全风险评估办法》由国家网信办联合工信部、公安部制定，将于2026年8月20日施行。办法明确了重要数据处理者需每年开展风险评估，一般数据处理者建议每3年评估一次。规定评估机构需通过认证且不得转委托，重要数据评估报告需在20个工作日内报送主管部门。对违规行为将依法处理，并建立风险信息共享和协同处置机制。

文档宣布国家级HVV（护网行动）招聘进入尾声，仅限中高级职位（中级/高级研判），月薪20k-30k。核心信息包括腾讯文档投递链接、筛选流程（简历初筛、厂商考试与面试）。建议符合条件的候选人尽快通过指定渠道投递。

该文档介绍了GB/T36959-2026《网络安全技术网络安全等级保护测评机构能力要求和评估规范》国家标准，主要规定了网络安全等级保护测评机构应具备的技术能力、管理要求和评估标准。标准涵盖了机构资质条件、人员技术要求、测评过程规范、质量控制体系等核心内容，为测评机构的能力建设与评估提供了明确指导。

Codex存在SQLite诊断日志高频写入缺陷，主要影响~/.codex/logs_2.sqlite及其WAL文件，在流式响应和IDE常驻场景下可能导致SSD年化写入量达640TB。关键原因为TRACE级别日志持续插入和裁剪引发写放大，涉及WebSocket事件和重复telemetry记录。官方已在0.142.0版本通过过滤噪声目标和停止每事件日志记录修复，建议用户升级版本并检查日志文件大小。

360发布的2026年5月勒索软件报告显示全球773个组织遭受双重勒索攻击，近八成中招设备存在防护缺位问题。主要发现包括Sorry家族跨平台攻击、Weaxor和LockBit持续活跃利用漏洞武器化。报告建议企业重点守住暴露面管理、关键资产防护、安全策略生效验证、备份机制和应急预案五道防线。

该文档分析美团《置身团内》文章，指出美团强管控体系导致基层产品经理沦为指令传话筒，数据闲置与AI应用流于表面，过度依赖旧有低价竞争模式难以应对存量市场竞争。文章认为美团需跳出单纯执行逻辑，重建创新与洞察能力以应对行业挑战。

文章提出全栈AI安全能力的核心价值在于将安全专家经验转化为可流程化、可追溯的组织级安全中枢系统，而非简单替代人力。关键能力包括信息归一化、风险初筛、证据链组织和流程推进，适用于权限复核、告警筛选等低风险高重复场景。作者强调需优先关注数据质量、权限治理和接入成本，建议通过影子模式分阶段落地，最终实现安全工作的工程化转型。

OpenAI推出Daybreak网络安全项目，通过GPT-5.5-Cyber专用模型和CodexSecurity工具实现从漏洞发现到修复的全链路自动化。项目覆盖3000万次代码扫描，与30个开源项目合作推出PatchthePlanet计划，并联合五眼联盟等机构提升关键基础设施防御能力。核心目标是推动网络安全从发现时代转向修复时代。

点星是一套端到端AI自动化代码安全审计系统，在14个开源项目中累计发现8451条漏洞，其中包含11条零权限RCE漏洞。该系统通过密码学哈希锁定漏洞清单并设立3万元挑战赛，邀请全球研究者验证其漏洞覆盖率，目前已接收的社区提交均命中既有记录。采用细粒度计数口径反映可独立利用攻击面，在9种语言测试中实现零遗漏，真阳性率达98.6%。

本文介绍红队场景下对Frp工具的二次开发技术，通过修改流量特征和配置文件加载方式实现绕过安全检测，同时增加删除配置和钉钉通知功能防止信息泄露。文章展示实际效果并推广包含多种免杀工具和攻防技术的付费社群，强调技术仅用于合法安全测试。

APT37推出NarwhalRAT远控木马，利用仿微软OTP钓鱼邮件投递诱饵，滥用合法工具实现内存无文件加载，并以pCloud云存储作为死信站隐蔽通信，有效规避传统检测。建议企业部署内存检测型EDR，管控系统脚本权限，审计异常云盘API流量，并强化防钓鱼培训。

点星（DianXing）是一套端到端AI自动化代码安全审计系统，在14个开源项目中单次运行发现8451条可独立利用漏洞，包括11个零权限RCE漏洞。系统通过密码学哈希锁定漏洞描述并发起公开挑战赛，以三万元奖金邀请全球研究者验证其漏洞覆盖率。采用细粒度计数口径反映实际攻击面，在9种语言测试中实现零遗漏，横向对比显示其检出量级远超竞品。

本文提出OT网络安全应从传统基于概率的风险评估转向`可信度`新框架，该框架通过定性判断攻击场景的合理性，聚焦最坏后果、攻击者动机和技术路径分析。文章强调跨学科协作评估、构建具体攻击场景及优先投资降低后果的防御措施（如网络隔离、备份恢复）的实践路径，以应对国家级APT等低频高影响威胁。

北京磐石安科技启动2026年HW选手招募，面向全国招聘红队和蓝队成员，要求具备重保或HW经验。公司提供免费培训、项目支撑及多重福利，承诺1-3个月快速结款。主营业务包括攻防演练、渗透测试、安全培训等，强调项目稳定性和公司资质保障。