ZONE.CI 全球网

本文分析了Kerberos协议中PAC签名无效时Windows域控制器的降级行为漏洞。当PAC签名验证失败时，域控在跨林信任场景下会忽略签名错误，直接使用AD中的组成员身份重建令牌。攻击者可通过构造恶意PAC并禁用SID过滤，将低权限用户提升为域管理员。文章详细阐述了Skipjack攻击路径，并提供了防御建议：启用SID过滤、禁用PAC签名降级、监控Kerberos日志。

本文详细分析了Go语言中for-select循环在通道关闭时的行为隐患及解决方案。当通道关闭后，接收操作会立即返回零值而非阻塞，导致循环空转、日志刷屏或CPU飙升。关键修复方案包括使用ok模式判断通道状态、将已关闭通道置为nil以禁用对应case、优先使用for-range处理单通道场景，并强调了发送到已关闭通道会panic的注意事项。

本文介绍开源学习工具GetIt，它能将PDF文档解析为知识图谱并支持3D场景、2D动画等可视化展示，提供对话问答、闪卡、选择题及费曼模式四种练习方式，通过本地部署保障数据隐私，但仅支持文本型PDF且Windows版存在安全拦截提示。

2026年6月，微软GitHub上数十个开源项目遭黑客入侵，攻击者向Azure云服务及AI开发工具等组件注入恶意代码，旨在窃取开发者密码及敏感凭据。微软已紧急下线相关仓库并展开调查，部分仓库经复核后恢复。安全研究指出此为针对大型科技企业的软件供应链攻击，可能影响广泛开发者群体。

法国政府加密通讯平台Tchap于2026年6月遭黑客通过社会工程攻击入侵，攻击者利用被劫持的合法账号访问平台，可能泄露用户分享的个人数据。官方确认加密聊天记录未泄露，但攻击者声称获取了大量文档、消息记录及用户信息，并指出平台存在无需令牌即可下载文件的架构缺陷。事件凸显政府通讯平台需加强账号安全管理和访问控制。

2026年6月日本北海道医疗中心因委托废弃物处理公司销毁的硬盘被网上拍卖，导致至少18.69万患者及工作人员个人信息泄露，涉及电子病历、姓名地址等敏感数据，可能影响51万人。机构已回收硬盘并报案追究刑责，目前未确认信息滥用但存在重大安全风险。

一种新型浏览器内浏览器网络钓鱼攻击利用伪造的OAuth登录窗口窃取Microsoft365凭证，该攻击通过可定制化弹窗模拟真实系统对话框并具备反分析能力。研究发现此类攻击可绕过传统多因素认证，建议组织结合用户培训、条件访问策略及直接输入官网地址等方式进行防御。

丹麦制药巨头诺和诺德披露临床试验数据泄露事件，攻击者获取了匿名化患者数据（如试验参与情况、健康指标）及医护人员个人信息。公司已隔离受影响系统并开展调查，核心业务未中断，同时提醒医护人员防范钓鱼攻击。

2026年4月11日Abrigo公司遭遇数据泄露，攻击者窃取Salesforce中存储的超过175万条记录，包含71万余个唯一邮箱地址及用户名、电话、员工详情等。Abrigo拒绝支付赎金后，团伙于4月15日公开数据，压缩文件61.2MB（解压后499MB）。

文档针对Go语言处理大CSV文件导入数据库的性能问题，提出分阶段并发处理方案。核心方案将流程拆解为读取CSV、数据清洗、批量入库三阶段，通过固定数量worker、有缓冲channel和批量插入控制资源消耗。关键实践包括设置连接池参数（最大12连接）、每批500行入库、使用ONCONFLICT更新重复数据，并强调需监控读取/入库速率比来定位瓶颈。

本文介绍如何利用ChatGPT辅助Python编程学习，涵盖三种核心方式：通过AI讲解知识点、提供代码示例、调试错误代码。文章以删除列表偶数的实战案例展示AI精准定位问题并给出修正方案的能力，同时推荐作者以ChatGPT为教学工具的Python入门书籍，强调AI可提升学习效率。

本文针对AI驱动漏洞扫描器面临的间接提示注入风险，提出将扫描器视为`已被攻陷的队友`的核心防御思想，并围绕权限控制给出四条关键实践原则：实施最小权限原则限制扫描器仅访问必要模块；创建专用测试账户与真实管理员身份彻底隔离；将访问控制逻辑上移至服务端进行二次鉴权而非依赖模型自律；将所有用户生成内容视为潜在注入载体进行严格清洗与脱敏处理，从而构建扎实的权限围栏。

恶意LNK文件伪装成求职简历针对企业员工进行定向攻击，结合社会工程学诱骗用户打开文件。攻击采用多阶段载荷投放，通过计划任务持久化，并利用DLL侧加载执行Xctdoor后门。文档提供了检测指标如检查公共目录下的脚本文件和异常计划任务，以及缓解措施包括禁用不受信任位置的LNK执行和启用PowerShell日志记录。

VibeCoding通过自然语言生成应用降低了软件开发门槛，但导致新一代影子应用激增，引发严重安全风险。核心问题在于责任断层与安全治理缺失，常见漏洞包括鉴权缺失、密钥硬编码、数据库配置宽松及供应链风险。建议安全团队建立应用登记机制、分级治理策略、安全模板嵌入，并加强主动发现能力，而非简单禁止。

蚂蚁集团与上海交通大学联合提出ML-Embed多语言文本嵌入模型，采用创新的3D-ML训练框架在参数效率、推理效率和存储效率三个维度进行优化。该模型基于覆盖282种语言的大规模开源数据集训练，在MTEB基准测试的17项任务中9项刷新最高分，尤其在波兰语等低资源语言上提升超20个百分点。研究提供完整的开源解决方案（代码、模型、数据），为构建公平高效的多语言AI系统提供可行蓝图。

本文系统解析了DCMM评估工作中涉及的组织架构与岗位职责，指出评估需要决策层、统筹层、执行层和协同层四类角色协同发力。核心要点包括：高层管理者提供战略支持，数据归口部门统筹协调，技术岗位负责专业能力建设，业务部门需深度参与数据价值转化。建议企业提前建立责任矩阵、梳理材料清单、明确访谈机制并形成整改台账，将评估转化为可持续的数据管理能力建设机制。

本次培训聚焦工业数据安全治理，围绕政策合规、技术防护、行业实践三大维度展开。培训涵盖重要数据识别保护、监测预警体系构建、区块链可信数据空间、跨域管控技术等七大主题，结合汽车、航空、钢铁等行业案例，提供从标准解读到体系落地的实操路径。面向工业企业安全管理人员，旨在提升数据分类分级、风险防控及合规管理能力。

漏洞盒子平台发布公告规范AI辅助漏洞报告提交，鼓励合理使用AI工具提升效率但强调必须经过人工验证。报告需提供漏洞影响说明、详细复现步骤、可验证POC、关键截图等证据，平台将对未经人工复现或证据不足的无效报告予以驳回，并对持续违规提交账号采取警告、限制权限甚至封禁等措施。

亚信安全在2026MWC上海展会首次展示卫星互联网、PhysicalAI、Token计费运营及AI安全四大产品体系。卫星互联网产品支持手机直连和星上处理，构建空天地一体化网络；PhysicalAIOS实现工业场景的感知-决策-执行闭环；Token方案提供AI成本管控和ROI分析；AIXDR和智能体安全平台构建全栈防护体系。这些技术已应用于制造、通信等行业，实现降本增效和安全保障。

文章指出企业AI落地应优先选择低风险重复业务流程，明确划分输入输出节点并组合适当技术工具，通过内部验证后以沟通效率、错误率等指标验收。核心建议是避免盲目堆砌技术，而是通过可量化的小流程验证AI实际价值。

Anthropic的MythosAI模型在测试中数小时内发现美国政府机密系统漏洞，该测试属于`玻璃翼计划`的一部分。特朗普政府随后限制模型使用遭百余名网络安全专家联名反对，认为此举将削弱美国网络防御能力。事件凸显AI在漏洞发现方面的潜力及相关的政策争议。

MicrosoftExchangeServer曝出两处高危SSRF漏洞CVE-2026-45502和CVE-2026-45504，低权限攻击者可通过EWS接口诱导服务端发起任意HTTP请求进行内网探测。影响版本包括Exchange2016/2019等多个累积更新版本，建议用户立即通过WindowsUpdate或手动下载补丁修复。360漏洞研究院已成功复现漏洞并提供检测支持。

前沿AI如MythosPreview颠覆了网络安全攻防平衡，通过密集采样能发现70-80%系统漏洞并自动化生成攻击程序，导致2026-2027年成为极度脆弱期。关键风险在于补丁更新滞后与物联网设备无法防护，建议企业采用AI工具优先处理高危漏洞、隔离老旧资产，个人需开启自动更新并减少智能设备暴露面。

文档针对网络流传的`今年HW将持续四个月`传闻进行打假分析，作者基于行业经验判断该信息缺乏可信度，指出可能为概念混淆或误传，并呼吁从业者保持理性、不信谣不传谣，同时表达对HW实际安排情况的疑问。

本文详细分析了命令行工具中三个高危安全漏洞：本地凭据文件权限未收敛导致敏感信息泄露、浏览器跳转未校验协议引发命令注入风险、控制台明文输出敏感数据。针对每个漏洞提供了具体的Go/Python复现代码和修复方案，强调CLI工具需加强文件权限控制、输入校验和数据脱敏。