ZONE.CI 全球网

该文档为腾讯玄武实验室每日安全动态推送，汇总了多个高危漏洞与攻击技术。核心要点包括：TrojPix攻击利用HDMI电磁辐射将隔离计算机数据外泄距离扩展至208米；CursorIDE的DuneSlide漏洞实现零点击远程代码执行；2FA绕过漏洞暴露身份验证逻辑缺陷；ApacheAPISIXJWT算法混淆导致认证绕过；BadEpollLinux内核漏洞可导致AndroidRoot提权；以及针对AI代理的间接提示注入攻击和针对研究员的ChocoPoC供应链攻击。这些发现对物理隔离、AI开发工具及身份验证等安全防

暗网分析师披露商业住宅代理网络LegionProxy遭遇数据泄露，约1.01万个账户受影响，泄露内容包括电子邮件地址、bcrypt密码哈希值、姓名及购买记录。该事件暴露了代理服务商的安全防护薄弱，建议用户立即修改密码并启用多因素认证。

武胜县公安局在安辑2026专项行动中打掉一个特大对公账户洗钱犯罪团伙。该团伙注册10余家空壳公司违规办理对公账户，通过第三方支付平台为境外电诈团伙洗白转移赃款，涉案资金2000余万元关联22起电诈案件。警方抓获17名嫌疑人并网上追逃1名。提醒群众出租出借账户属帮凶行为将被追责。

青岛城阳警方打掉一个以黑吃黑为手段的电诈洗钱团伙。该团伙对接境外电诈集团承接洗钱业务，待赃款转入控制账户后违约私吞，半月内涉案超一百五十万元。警方依托数据研判与实地核查，在河北唐山抓获十三名核心成员。此案提示需强化异常资金流监测与跨地域协作以遏制黑灰产蔓延。

图们市公安局成功拦截一起电信网络诈骗案件，受害人王某被诱导下载屏幕共享app遭远程操控，在视频app商城购买银条损失近3万元。民警通过预警及时联系受害人，紧急拦截快递并联系商家退款，全额挽回经济损失。警方提醒公众警惕陌生代办退款、拒绝屏幕共享和远程操控请求。

Linux内核epoll子系统发现释放后使用漏洞CVE-2026-46242，允许非特权本地用户提升至root权限，影响服务器和Android设备。攻击者利用竞争条件触发UAF，通过/proc/self/fdinfo获取内核内存读取并劫持控制流获得rootshell。管理员需应用上游补丁，无变通方案。

T3MP3ST是一个开源自主红队平台，于2026年7月初发布，将AI编码智能体转化为进攻安全操作员。其核心设计理念包括无密钥作战和范围外溢控制，通过八操作员杀伤链实现自动化攻击流程。基准测试显示在XBEN套件上得分90.1%，在10个真实CVE中识别出8个。用户可通过克隆仓库、安装依赖并启动WarRoom或CLI模式使用。

本文探讨长跑Agent任务失败的结构性原因，指出根因在于上下文管理而非模型能力。文章引入LilianWeng的记忆分类（语义/情景/程序记忆）和CognitionAI的共享上下文原则，区分RAG-as-Memory与Context-as-Memory两条路线。核心贡献是定义三个杀手：失忆（关键事实被挤出窗口）、漂移（目标在多轮推理中偏离）、合理化（用残缺上下文自圆其说），并预告后续工程对策如分层记忆和进度日志。

本文详细解读了中国船级社船舶网络安全指南的产品网络安全要求部分，涵盖标识和鉴别、账户管理、口令强度等核心安全要素。指南按SL0至SL4进行安全分级，并针对不同等级提出了具体的技术要求、验证流程及解决方案，为船舶网络系统的安全建设提供了可操作的标准与实施指导。

PANDA2026活动推出两大现场挑战：趣味密码游戏金钞大盗和AI辅助激光故障注入黑客松。黑客松聚焦RP2350芯片漏洞，探索AI与硬件安全协作新路径，推动芯片安全从理论走向实战。活动于2026年7月13-14日在深圳举行，鼓励安全从业者参与实战切磋。

T3MP3ST是一款开源安全框架，可将ClaudeCode等AI代码智能体改造为自主红队工具，无需额外API密钥。在XBEN基准测试中通过率达90.1%，对10个真实CVE漏洞可检出全部。框架设计8类作战角色，但仅侦察引擎和单智能体漏洞利用链路稳定，其他模块仍在实验阶段。仅允许用于授权测试，使用者需承担法律责任。

该文档揭示一类新型恶意软件利用扫描规避技术攻击AI代码助手ClaudeCode和Codex。攻击者通过结构混淆和自解压技能封装两种手段，将恶意载荷藏匿于代理技能包中，绕过主流静态扫描工具的检测。研究团队实测显示，伪装后的恶意样本对8款扫描工具的绕过成功率超80%。真实攻击团伙ClawHavoc已在公开市场投放数百款恶意技能包。文档建议开发者采用动态行为分析工具如SkillDetonate，并严格限制AI智能体权限以防范此类威胁。

安全研究团队Armadin披露Anthropic旗下Windows版ClaudeDesktop存在安全缺陷，攻击者可通过DLL侧载突破ClaudeCowork沙箱隔离，在Hyper-V虚拟机中获取root权限并绕过网络访问限制。Anthropic认为该攻击链需已获得主机代码执行能力，不认定为漏洞。研究团队建议企业如不需要可直接卸载ClaudeDesktop，或限制用户权限并监控可疑DLL加载。

2026上半年区块链安全报告显示共发生182起安全事件损失约9.56亿美元事件数量同比增50%但损失降59.72%DeFi和跨链桥仍是主要攻击目标攻击手法向钓鱼社会工程供应链投毒及AI驱动演进全球监管围绕稳定币AML和VASP持续收紧资金冻结归还比例约12.3%隐私协议TornadoCash仍占主导但稳定币使用增多建议加强供应链安全与用户教育

PANDA2026物理攻击与安全评测研讨会将于2026年7月在深圳举办，聚焦AI安全、后量子密码、侧信道攻防及芯片供应链安全等核心议题。大会汇聚海内外学者与产业专家，涵盖理论与实战，旨在推动硬件安全技术落地与行业标准共建。建议相关从业者关注并报名参会以获取前沿动态。

文档RFC9917定义了IGP灵活算法反向亲和力约束扩展，允许在路径计算中根据与链路反向相关的管理组包含或排除链路，通过引入新的子TLV和IANA注册表实现，旨在提高网络可靠性和策略控制，部署时需注意阈值设置和抑制机制。

林勃成是四平市公安局治安管理支队户政大队副大队长，中共党员，曾获多项荣誉。他忠诚履职，化解13年信访积案，上门服务特殊群体127次。推动警务改革，创建大数据模型协助找回1000余名失联人员。坚守廉洁底线，在平凡岗位践行党员使命。

今日安全风险汇总涵盖六大威胁：BeyondTrustRS/PRA高危认证绕过漏洞需立即升级；GiteaDocker镜像因反向代理配置过宽存在CVE-2026-20896漏洞，攻击者可伪造用户头；FortiBleed凭据泄露被关联勒索部署，需从改密码升级为失陷排查；JADEPUFFER展示AIAgent自动化勒索链，暴露Langflow与数据库凭据的系统需优先隔离；Veil#Drop滥用Blogspot和PowerShell投递PureLog信息窃取器；Medtronic披露380多万人受影响。核心处置建议

2026年7月8日网安早报汇总多项安全事件，包括AttestedTLS漏洞致WhatsApp等应用加密通道遭中间人攻击、Januscape漏洞致LinuxKVM客户机可崩溃物理服务器、Tenda路由器固件隐藏后门可授予管理员访问权限、Gitea严重漏洞遭积极利用、CISA将SharePointServer漏洞CVE-2026-45659添加到KEV、远程访问工具UltraVNC存在多个漏洞、AdobeColdFusion漏洞补丁发布后迅速遭利用、Ubiquiti披露UniFi生态系统25个安全漏洞、New

这是一则关于举办综合PNT技术理论与应用高级培训班的通知，但文档内容不完整，缺乏具体培训细节。

本期暗网快讯汇总全球二十余起数据泄露事件，涉及政府、金融、医疗及加密货币等领域。核心事件包括以色列Nayax百TB级支付数据泄露、叙利亚11亿条社交数据遭兜售及美国多机构含SSN敏感信息外泄。这些事件凸显全球数据防护短板，建议相关机构强化暗网资产监控与泄露预警，防范因数据暴露引发的定向欺诈与合规风险。

CISA被曝使用Anthropic的AI模型Mythos对联邦政府代码库进行大规模安全审计，已发现大量漏洞。该行动由攻击面评估团队执行，但扫描范围与漏洞细节未公开。Mythos是玻璃之翼计划核心产品，此前Anthropic曾被五角大楼列入供应链风险名单，后关系逆转。此举凸显AI驱动安全审计的实战化趋势，但也引发监督与权力平衡的质疑。

Linux内核epoll子系统存在高危漏洞CVE-2026-46242，允许本地普通用户通过竞争条件利用释放后重用缺陷提权至root，影响内核6.4+及Android设备。PoC已公开但尚无在野利用，建议立即更新至6.18.33及以上版本。

本文介绍如何通过定时触发API调用来刷新CodingPlan的5小时冷却时间(CD)，以提高每日使用效率。作者提出在5点、10点05分、15点10分和20点15分四个时间点自动调用大模型，每次调用三次并延迟一分钟，从而在8:00-10:00和15:00前各使用一个完整周期的token，实现工作日每天刷新三次。文章提供了具体实现方法和验证结果，强调通过自动化脚本可有效优化资源利用。

本文质疑Proofpoint对UNK\\_MassTraction攻击事件的归因分析，指出其将技术特征模糊的攻击关联到中国背景的证据链存在明显缺口。文章详细描述了攻击链利用Roundcube漏洞的过程，但认为共享基础设施、工具复用、中文制品及目标院校等四项证据均缺乏排他性，无法确证攻击者国籍。作者批评媒体将疑似渲染为确证，呼吁回归证据本身，聚焦防御而非仓促归因。