ZONE.CI 全球网

本文介绍了AES加密的六种常见模式ECB、CBC、CFB、CTR、GCM和XTS的原理、优缺点及适用场景。ECB不安全因相同明文产生相同密文；CBC通过IV提升安全性但需填充；CFB将块密码转为流密码无需填充；CTR支持并行处理；GCM在CTR基础上增加完整性校验；XTS专用于磁盘加密。文章提供了模式选择参考图，强调需根据具体场景选择最佳模式。

「AutoEEA2026第二届下一代汽车电子电气架构峰会」于7月8-9日在上海举行。会议聚焦中央计算与区域控制架构、AI赋能、智能配电系统升级及舱驾一体化安全验证等议题。来自国创中心、航盛电子、西门子工业软件、上海交通大学、北汽研究总院等单位的专家学者，分享了加速国产芯片量产、AIOS产品实践、模型驱动开发、大模型赋能自动驾驶、`芯片-EEA-软件-数据`四层技术框架、全球市场趋势及车载48V-12V双向DC变换器等前沿成果，为产业创新演进提供了方向。

该文档宣传RoboSec沿沪宁具身智能网络安全沙龙活动，定于下周二举办，聚焦汽车网络安全议题。活动汇集特斯拉、理想、博世等众多车企与供应商专家，旨在促进行业交流。文章还列出相关技术文章链接，如汽车数据安全合规、AUTOSAR信息安全等，为从业者提供学习资源。

国家能源局发布《能源行业数据分类分级指南（2026年版）》，旨在规范能源行业数据处理活动，加强数据分类分级管理。指南明确了数据分类维度（能源品种、活动等）和分级规则（一般、重要、核心三级），并详细规定了重要数据与核心数据的识别标准，如特定能源基础设施的精确地理坐标、实时指令数据及电力消费数据规模。数据处理者需据此识别数据、建立安全制度、采取技术措施并定期评估风险。

本文提出T-Trace方法，通过分析多源系统日志关联性构建APT攻击溯源图。该方法利用张量分解技术定位日志社群并计算显著性评分提取事件，有效缓解依赖爆炸问题。实验表明，与现有方法相比，T-Trace在构建溯源图时能减少90%时间成本，准确率达92%，事件识别准确率提升38%，可实际应用于APT溯源。

四叶草安全成立AI应用实验室，以双轨逻辑推进体系化落地。一是大模型安全治理，通过防火墙与评估系统保障合规；二是AI实战赋能，提升APT研判、漏洞防御与安全运营效率，探索自动化渗透测试。实验室作为统筹中枢整合碎片化探索，未来将深化智能运营与攻防验证建设。

奇安信发布AI加特林，一款全流程自动化渗透测试智能体，内置四大核心智能体和六类专业子智能体，实现端到端无人值守作业。它通过自然语言交互、定制浏览器攻克业务逻辑漏洞，具备动态进化能力，已在19个行业落地。该产品将渗透周期从数天缩短至T+1天，解决传统渗透测试高成本、低效率、覆盖难的问题。建议企业部署以提升安全防御能力。

本文报道了北京八中与奇安信集团签约共建青少年人工智能安全培养基地的成果。该基地依托校企协同，构建教学、实践、科研与竞赛一体化体系，提升学生AI安全素养。此举为西城区乃至全国探索AI时代校企共育安全人才提供了可借鉴的样本，强调了在AI教育中筑牢安全与数据底线的重要性。

亚信安全发布智能安服体系，应对2026年AI驱动的网络攻击新常态。文章指出传统防御在AI攻击面前存在规则滞后、人海战术失效等系统性困境。该体系以人机协同为核心，通过外部攻击面管理、MDR托管检测与响应等服务，实现80%标准化任务自动化，20%高阶对抗专家介入。实战案例显示勒索风险降低80%，员工安全意识提升90%，并完成多次国家级重保零事故。

本文剖析生成式大模型认知偏见沿数据至交互全链条的成因与多维风险，指出其引发个体决策失准、群体极化及意识形态安全威胁。针对现有治理重判别式模型、隐性偏见检测不足及协同缺失等痛点，提出技术、法律与政策三维协同治理框架，建议发展生成式模型偏见对齐技术、建立隐性偏见测评基准并推动一体化治理。

奇安信CERT发布用友U8cloudXChangeServletSQL注入漏洞(QVD-2026-38848)安全风险通告。该漏洞影响多个版本，攻击者无需登录即可通过恶意XML请求注入SQL语句，可能导致任意命令执行和服务器控制权限获取。官方已发布补丁，建议用户立即更新或采取限制接口访问等临时缓解措施。

启明星辰发布天镜AI-PTS自动化渗透测试系统，采用双引擎架构和多智能体协同，解决漏洞发现与验证断层问题。系统支持无害化和实战化两种模式，通过环境自适应解析、载荷智能变形等技术提升漏洞利用效率，已在政府、金融、能源等行业验证，可有效降低攻击面并支持合规审计。

本文分享了一个EDUSRC漏洞挖掘案例，从信息收集开始，通过登录框测试发现用户名枚举漏洞，利用插件绕过前端路由守卫进入后台，发现任意文件读取、SQL注入等漏洞，并尝试利用AI工具辅助测试上传点和未授权访问。文章强调后台测试比前台更高效，并推广了作者的付费安全圈子、知识库和工具。

该论文研究LLMAgent技能包的安全问题，提出SkillCloak攻击框架可绕过现有静态扫描器，绕过率超96%；同时提出SkillDetonate动态检测框架，通过沙箱执行和行为分析有效识别恶意技能。研究表明静态审计不可靠，需转向动态行为分析。

中国知识产权报报道了武汉网络安全协会在知识产权方面的工作成果，展示了协会在网络安全领域的积极贡献。同时，文档还提到了黄鹤杯网络安全人才创新大赛等活动的相关信息。

该文档由公安部微信公众号发布，核心内容为深化网络空间安全综合治理以服务经济社会高质量发展。文章总结了我国以三法两条例为核心的网络安全法律体系，并介绍了公安机关网安部门在互联网安全管理、净网专项行动及护网专项工作方面的具体举措与成效，包括打击网络水军、网络暴力、仿冒网站等违法犯罪活动，以及推进等级保护和数据安全保护。

工信部发布《智能网联汽车组合驾驶辅助系统安全要求》强制性国标，2027年1月实施。标准针对三类辅助驾驶系统提出安全要求，涵盖功能、数据记录、人机交互等维度，构建多层级评价体系。相比国际法规，更契合中国复杂路况，强化驾驶员状态检测等要求。建议车企加快合规布局，关注准入管理与测试验证。

金信润天联合湖北汽车工业学院开展汽车信息化实训与就业讲座，实训围绕智能网联汽车网络安全，学生通过搭建环境排查漏洞完成安全加固。讲座推出IT精英夏令营涵盖网络安全等方向，旨在提升学生实操与就业竞争力。

360发布首份企业智能体安全运营指南白皮书，针对大模型平台关停自建智能体及新规实施背景，提出智能体作为数字员工需身份权限审计。白皮书归纳风险为看不见控不住管不好追不回四类，并给出看见风险管住行为协同提效方法论，配套仪天阵和AI安全卫士产品实现闭环。

本文警示网安学习者切勿越过非法篡改系统、搭建翻墙工具及忽视弱密码等法律红线。建议从业者建立绝对授权意识，使用DVWA等合规靶场练手；将技术思维从攻破转向防御与加固；并通过参与SRC与CTF比赛实现技术正向变现与职业转化。

本文深入探讨了AI技术给网络安全攻防领域带来的系统性变革。文章分析了AI对企业、安全人员及行业生态的深远影响，指出AI不仅是工具升级，更促使攻防规则、基础设施与职业分工重构。对于企业而言，挑战在于流程重写以适应AI带来的高效问题发现能力；对于安全人员，核心能力正从工具操作转向理解业务、验证AI结果和承担责任；而行业则面临产品化竞争加速和工具生态重构。结论强调，AI放大了知识的重要性，未来攻防的关键在于人能否清晰定义问题并严格验证结果，而非单纯依赖模型能力。

补天平台2026年9月将在成都举办白帽黑客城市沙龙，现启动议题征集与志愿者招募。沙龙核心聚焦AI安全，涵盖大模型漏洞挖掘、Agent安全等方向，并接收Web安全与红蓝攻防议题。投稿需提供未公开的PDF格式PPT，9月5日截稿，入选讲师可获差旅报销与官方认证。

本文为大会宣传软文，预告网商银行威胁运营智能化实践。针对AI与攻击边界模糊痛点，该行采用大模型结合自研Agent方案，通过多Agent协同架构实现人机协同的自动化研判处置，并建立包含监控审计与回滚的治理框架，为金融安全运营智能化提供可复用思路。

本文介绍威努特政务级数据备份与恢复系统，针对政务数据面临的数据复杂度高、业务连续性要求严苛及勒索攻击加剧等挑战，提出以CDP持续数据保护为核心的六维解决方案，涵盖全数据源适配、防勒索加固、业务容灾双引擎、合规内控及智能运维能力，旨在为数字政府构建合规可靠的数据安全底座与业务连续性保障平台。

本文指出安全团队过度依赖资产与漏洞可视化管理，却忽视攻击者完整执行链路。核心观点是风险产生于资产、漏洞与对手攻击流程的交集，防御应从识别暴露面转向理解并阻断攻击执行链路。文章强调环境可防御性比可视能力更重要，AI无法替代攻击流程情报提供的上下文。建议安全团队以攻击者视角评估防护缺口，优先阻断攻击流程而非仅修复理论风险。