ZONE.CI 全球网

WeedHack是一个针对Minecraft玩家的恶意软件即服务(MaaS)平台，通过伪装游戏模组分发木马化JAR文件，窃取凭证、会话令牌及加密货币，并利用区块链技术增强C2弹性。其低订阅门槛和游戏化仪表板降低了攻击者技术门槛，对青少年玩家社区构成严重隐私与安全威胁，防御需依赖行为监控和动态分析。

文档分析AI钓鱼攻击对SOC团队的新挑战，指出AI技术使钓鱼攻击具备高变种、高仿真特征导致一级团队过载。提出三方面解决方案：使用交互式沙箱技术60秒内还原攻击链、实现自动化分析减少人工干预、建立标准化报告体系提升处置效率。最后介绍观初科技ASOC解决方案的全流程托管、AI赋能等核心价值。

Miasma蠕虫攻击通过污染GitHub仓库中的AI编程工具配置文件（如VSCode、ClaudeCode等），在开发者打开项目时自动触发恶意脚本窃取凭据。关键发现是攻击面从依赖包扩展到开发环境配置，利用工具自动化能力进行供应链扩散。建议企业检查配置文件、轮换云平台与代码仓库凭据、建立AI工具使用边界并加强CI/CD权限管控。

该文档为工信部发布的《车联网数据共享安全架构（征求意见稿）》标准文件，主要涉及车联网领域的数据共享安全框架设计。文档包含技术交流群联系方式、会员申请及行业合作推广内容，并推荐了多篇车联网安全相关技术文章。

本文介绍anything-analyzer抓包与AI分析工具，解决海量请求分析难题。工具采用先过滤噪声再深度解析的两阶段思路，具备API逆向、安全审计等五种模式及JSHook与多轮追问能力。建议将其作为分析加速器在授权环境下使用，AI输出仅作线索，关键判断需人工复核。

2026年6月，npm注册表遭遇名为miasma的蠕虫攻击，该蠕虫通过phantomgyp技术绕过--ignore-scripts防护，利用窃取的GitHubActionsOIDC令牌生成可通过sigstore验证的虚假SLSA来源证明，在5天内通过三波攻击感染57个包并发布286个恶意版本。攻击窃取npm令牌、云凭证等敏感数据，并利用236个GitHub仓库外传。防御建议包括使用锁文件与npmci、审计binding.gyp文件、过滤CI出口流量、限制OIDC令牌权限及使用范围限定的npm令牌。

2026年5月ShinyHunters利用InstructureCanvas的教师免费账户漏洞入侵平台，窃取姓名、邮箱、学生ID及私信。攻击窗口期为4月30日至5月7日，Instructure关闭该计划并轮换API密钥，建议学校监控钓鱼攻击并评估免费账户使用。事件揭示多租户SaaS中免费增值模式的验证漏洞与隔离风险。

本文详细介绍了将Ubuntu26.04系统深度定制后集成到EVE-NG网络仿真平台的优化过程。通过八项关键改造包括禁用snapd/cloud-init、优化网络配置、固定网卡命名、释放53端口、重置机器ID、启用串口登录等，解决了启动缓慢、网卡冲突、克隆异常等问题。最终实现了一个轻量化、快速启动、完美克隆的镜像，适用于Docker宿主或复杂网络测试环境，并提供了镜像获取方式。

OWASP发布《代理AI安全与治理现状v2.01》报告，将AI安全定位为操作现实而非理论问题。报告提出代理系统分类法，按运营角色和实现模式划分，并强调高自治部署需实施断路器与监控机制。以Gravitas、ClaudeCode等工具为例说明生态发展，建议安全团队将代理AI视为一等领域，通过十大安全原则和成熟度模型实现持续监控与供应链溯源。

谷歌紧急修复2026年第五个遭在野利用的Chrome0day漏洞CVE-2026-11645，该高危漏洞存在于V8JavaScript引擎中，涉及越界读写问题，可被恶意HTML页面利用在浏览器沙箱中执行任意代码或绕过ASLR等防护机制。文章建议用户立即更新至修复版本149.0.7827.102/103，并提及今年已修复共5个0day漏洞及去年修复8个同类漏洞的历史数据。

IBMAsperaHSTSforCP4I存在认证绕过漏洞CVE-2026-7876，因认证机制未能正确处理特定请求，攻击者可绕过认证获取未授权访问。影响版本为1.5.1至1.5.19。厂商已发布修复程序，建议用户及时更新至安全版本。

该文档为腾讯程序员发布的趣味性内容，通过图文结合形式探讨腾讯员工的高考分数情况，属于企业文化建设与员工关怀类内容。文档包含多张配图及快问快答视频模块，但未提供具体数据分析或技术性结论。

研究发现OpenClaw技能市场存在严重供应链风险，攻击者利用恶意技能绕过安全扫描，通过自然语言劫持AI代理执行信息窃取、恶意软件投放及加密货币拉高出货等金融欺诈。鉴于现有自动筛选失效，建议严格验证发布者来源、逐行审核技能源代码，并监控异常出站网络流量以防范此类新型AI代理威胁。

谷歌发布Chrome149安全更新，修复18个安全漏洞，包括4个严重级别和14个高级别漏洞，其中WebGL渲染引擎中的释放后使用漏洞可导致任意代码执行，建议用户立即更新浏览器。

江苏银行依托智慧小苏大模型平台构建信贷审查智能体，实现授信业务全流程智能化。贷前环节通过行业化尽调要素矩阵自动生成框架，将报告人工填写字段从990项压缩至90项，完成时间从2-3天缩短至2小时；贷中运用OCR和多模态技术实现合同质检、印章真伪鉴别，识别成功率从84%提升至96%；贷后通过机器学习整合预警信号生成检查清单，形成闭环管理。目前已在62个应用场景落地，日均处理超3000笔业务。

本文汇总了2026年6月下旬AI领域多项重要动态，涵盖芯片、安全、应用与政策层面。核心事件包括OpenAI与博通联合发布定制AI芯片Jalapeno、Anthropic指控阿里实施AI蒸馏攻击、360发布中国版漏洞挖掘工具`图龙锋`应对AI安全威胁。同时，百度、腾讯、科大讯飞等推出企业级AI服务方案，IDC预测至2027年推理算力需求占比超70%。政策方面，交通部启动百项AI交通试点，信通院推进算力Token出海计划。

第十四届互联网安全大会（ISC.AI2026）在北京召开，主题为智能体颠覆安全。大会指出AI正击穿维持三十年的攻防平衡，全自动漏洞挖掘使漏洞发现速度提升两个数量级。专家提出中国需建立自主智能攻防体系，360发布漏洞挖掘智能体图龙锋和防御系统仪天阵。会议涵盖智能体安全治理、企业落地实践、技术架构及产业协作等多维度讨论，并发布多项行业标准与研究成果。

ISC.AI2026大会聚焦AI时代信息安全人才培养，提出人才定义从工具使用转向智能体指挥能力。会议发布360AI人才计划与认证体系，强调需构建专业能力、AI工具应用与安全融合的三层能力模型，通过校企协同、动态能力图谱与五层成长路径破解供需矛盾。政企校三方将深化标准制定、课程重构与实训落地，推动产教融合系统化升级。

ISC.AI2026创新独角兽沙盒大赛总决赛于6月24日收官，设置AI应用创新与数字安全创新两条企业赛道及高校新星赛道。杭州帕拉迪获数字安全赛道冠军，深圳元始智能获AI应用赛道冠军；高校赛道聚焦智能体与内容创作，苏州职业技术大学与中南林业科技大学分获一等奖。大赛旨在推动AI与安全技术产业化，累计助力参赛企业获数十亿元融资。

信通院与360联合发布《企业级智能体技术与应用研究报告（2026年）》，指出企业级智能体正从试点进入规模化落地阶段，开始接受KPI考核。报告强调企业AI竞争重点转向将模型、企业知识、业务工具和管理流程整合成稳定生产系统，并面临推理偏差、数据割裂等挑战。360通过建-用-管路径在金融等领域实现人工客服投入降低15%、审批周期缩短等实效，推动智能体以可量化业务成效为准绳真正走进企业。

亚信安全入选数说安全《AI重塑网络安全》报告，被评为智能体安全思考最深、实战能力最强的防御性厂商。报告指出AI安全已进入规模化商用阶段，亚信安全提出AI驱动安全与安全赋能AI双引擎战略，构建六大信任维度和三层智能体安全框架，在运营商等大型政企场景实现分钟级威胁响应，为AI规模化部署提供体系化防护方案。

360公司宣布其ADE人工智能智能体工程师认证已纳入工信部国家信息技术紧缺人才培养工程。该认证旨在为智能体时代培养具备‘硅基领导力’的新型人才，即能够管理和调度智能体的专业人员。今年计划颁发超过万张证书，并通过‘一考双证’模式打通企业与国家认证。

Typora团队推出专为AIAgent设计的智能终端工具Otty，支持macOS系统并提供标签页、分屏、命令面板等基础功能。其核心特色在于深度集成ClaudeCode等AI工具，可实时显示Agent状态、通过Composer面板编辑多行Prompt、支持会话分支与恢复，并能直接将报错信息发送给AI分析。本地功能免费开放，适合频繁使用AI编程工作流的开发者提升效率。

该文档披露Squid代理软件存在堆缓冲区越界读取漏洞(CVE-2026-47729)，源于FTP目录列表解析时对空终止符处理不当。攻击者通过恶意FTP服务器可读取进程内存中的敏感数据如HTTP请求、认证令牌等。影响Squid7.7以下所有版本，全球风险资产超1300万。建议升级至7.7版本或禁用FTP功能。

Gogs远程代码执行漏洞(CVE-2026-52813)源于创建组织时对用户名未充分过滤路径遍历字符，攻击者利用此漏洞可将Git仓库写入服务器任意位置，通过覆盖钩子脚本实现远程代码执行。影响Gogs<0.14.3版本，CVSS评分10.0。建议立即升级至0.14.3或关闭用户注册功能。