ZONE.CI 全球网

7-Zip漏洞CVE-2026-14266源于XZ分块数据不当处理导致堆缓冲区溢出，攻击者可通过恶意归档文件或网页利用该漏洞执行任意代码，但需要用户交互。漏洞已在7-Zip26.02版本修复，建议用户立即更新并警惕可疑压缩文件。

卡巴斯基发现名为GoSerpent的恶意软件自2025年底起针对东南亚政府和外交机构进行间谍活动,旨在长期访问和情报收集。该恶意软件基于Go语言,通过加密连接与C2服务器通信,支持部署多种工具如ThumbcacheService和Mimikatz进行数据窃取和凭证倾倒。攻击者还使用了StowawayRAT等进阶工具,活动与TetrisPhantom组织存在关联。建议相关机构加强网络监控和端点防护。

PUMA框架通过检测推理过程中的语义冗余来为长思考模型踩刹车，避免在答案已形成后继续无意义思考。实验表明该方法平均减少26.2%token且保持准确率，可迁移到代码生成与多模态推理，并能将停机信号内化进模型。核心创新在于不只看答案稳定性，而是判断推理是否还在产生新语义信息。

GrokBuild是SpaceXAI推出的开源终端AI编程Agent，采用Apache2.0协议。它支持读代码、改文件、跑命令、搜索网页和管理长任务，提供全屏TUI、无头命令和ACP三种使用模式。技术亮点包括可组装的Agent定义、会话持久化、子Agent并行调查、权限判断与内核沙箱双层安全，以及Skill、MCP、插件和Hook扩展层。建议先从workspace沙箱试用中等规模仓库，再考虑接入CI或多Agent工作流。

文章提供6个步骤深度清理电脑C盘垃圾，强调避免使用第三方清理工具，通过系统自带功能或手动操作释放空间，包括磁盘清理、临时文件删除、大文件查找等，可有效缓解C盘爆红问题。

本期信息安全漏洞周报收录了国家信息安全漏洞共享平台(CNVD)及国家信息安全漏洞库(CNNVD)发布的最新安全漏洞信息。报告建议相关用户和组织及时关注官方发布的补丁和修复方案，采取相应安全措施以确保信息系统安全稳定。

本文分析了AI浏览器扩展(如ClaudeforChrome)的安全风险,指出其权限链可能被恶意扩展利用,导致数据泄露或业务干扰。核心问题在于用户交互验证不足,需区分真实用户与模拟交互。建议个人用户清理扩展、收紧AI连接范围、保留人工确认;企业应将AI扩展纳入SaaS治理,定义权限清单和审计流程。安全设计需同时验证动作发起者、代理权限和任务确认机制。

面对AI工业化量产攻击带来的万倍级攻防成本劣势，政企安全需从漏洞合规转向代价制衡范式。核心是通过无特征行为建模识别伪装攻击，依托全链路留痕取证抬高攻击成本。建议企业优化预算结构，将三至五成资金投入行为感知与溯源能力建设，采用轻量化无侵入架构快速落地实战防御，构建从自主防御到监管闭环的威慑体系。

Cisco披露UAT-11795团伙利用仿冒Zoom等安装包投放恶意程序窃取凭据。文章指出风险源于用户压力下脱离官方渠道下载，而非厂商被攻破。建议企业建立官方软件目录与统一分发机制，将下载转为受管流程，鼓励误装后及时上报，通过优化流程替代单纯意识说教以守住终端安全底线。

本文详细分析了SSRF漏洞在云环境中的利用与防御，核心攻击链包括发现SSRF、访问元数据服务窃取临时凭证、横向移动与权限提升。防御措施包括升级IMDSv2、最小权限原则、请求过滤和监控告警。

unit42发现了一个名为TuxBotv3Evolution的新型物联网僵尸网络框架，其开发过程借助了大型语言模型（LLM）。该框架由C语言编写的机器人代理和Go语言编写的命令与控制（C2）服务器组成，支持多种架构，并通过暴力破解等方式感染设备以实施DDoS攻击。分析显示，由于LLM辅助开发引入的错误，该版本部分功能存在缺陷，但开发者可能已发布修复后的完整版本，这使其潜在威胁不容忽视。

该文档介绍了一个名为rpt-skill的ClaudeCode工具，用于实战漏洞挖掘和护网红队授权测试。它提供双模工作流，集成22类攻击playbook、305个payload、WAF绕过方法等知识库，并支持MCP工具集成以调用浏览器自动化、Frida等能力。文档强调工具仅用于授权测试，并提供网盘下载链接。

曹县警方跨六省市破获特大侵犯公民个人信息案，抓获三十余人涉案超四千万元。该案揭露充场工作室、通信公司内鬼与猫池团伙勾结的黑灰产链条，不法分子以兼职为名骗取身份信息实名认证电话卡，批量注册网络账号贩卖给诈骗团伙。建议企业强化内部数据管控，公众应警惕兼职陷阱保护个人信息。

2026年Q1全国AI辅助诈骗案件同比暴增3倍，涉案超50亿元，其中AI换脸拟声诈骗立案超1200起。东南亚电诈园区引入AI精聊系统、换脸定制（450美元）及专属大模型（18万美元），效率提升5-10倍。全球AI伪造内容两年翻16倍，需警惕技术滥用。

近期爆出重大数据泄露情报，某平台关联了7.6亿领英、5.6亿脸书及2.3亿推特等社交媒体数据，涵盖邮箱、手机号、薪水等高敏感字段，被指可用于外贸EDM营销。同时，美国数字安全服务商Aura遭ShinyHunters攻陷，泄露90万条含客服聊天记录在内的12GB用户数据。此类大规模泄露事件暴露出严重的数据安全风险，建议相关企业和用户立即排查潜在影响并加强隐私保护。

该文档笔记记录了密码重置功能中的HostHeaderPoisoning攻击方法，通过修改重置请求的Host头为攻击者控制的服务器，若重置链接基于该头构建，用户点击后攻击者可截获重置令牌，属于Web安全漏洞分析。

该研究揭示GPU的RFMRowhammer防御机制存在计时泄漏风险。攻击者利用RFM刷新和阻塞导致的访存延迟变化，可在共享GPU或SoC上构建隐蔽信道、侧信道及拒绝服务攻击。实验在NVIDIAGPU和Jetson平台上验证了高带宽通信、应用指纹识别和性能拖慢等攻击效果，表明安全机制本身可能成为新的攻击面。

烟台银行发布大模型算力服务器采购项目招标公告，项目编号JH2026-0609号。潜在投标人需在2026年7月30日前于山东隽泓项目管理有限公司获取招标文件，并于8月13日14时30分前递交投标文件。投标人须为中国境内注册的独立法人，具备相关资质且不接受联合体投标。

本文介绍了GB/T47863-2026标准，该标准为生成式人工智能技术应用的社会影响提供合规管理指南，并附有大量相关文件下载链接，旨在帮助服务提供者遵循法规。

本文分享了一份关于面向Skills的上下文工程与CodeBuddySpec-Coding结合实战的PPT，内容涉及AI智能体开发与安全。文章主体为图片形式，并附带了包含大量人工智能治理、大模型安全评估、智能体威胁防御及相关合规标准的文件下载链接，适合AI与安全领域的从业者参考学习。

本文详细介绍了使用爱思助手刷机的完整步骤，包括连接电脑、下载固件、备份数据、授权AppleID、开始刷机及恢复数据。强调不要保留资料，要勾选自动激活，并建议备份数据以防丢失。操作简单，适合新手小白。

本文汇总了2026年7月20日至24日期间多项网络安全赛事通知，包括西湖论剑、天网杯、ISG竞赛等，以及强网杯平台租用、网络攻防靶场租赁等招标中标公告，为安全从业者提供活动与采购信息参考。

第九届西湖论剑数据要素与数据安全创新实践征集活动因申报单位内部审批耗时，组委会决定将截止日期由7月24日延至8月21日。现已有政务、金融等50余家单位参与。其他要求与流程不变，入选案例将在9月大会发布。建议有意愿的单位抓紧通过官网提交真实且具创新的材料，遇疑问可联系组委会咨询。

海康威视发布2026半年度报告，营收达468.23亿元，同比增长11.97%，归母净利润78.96亿元，同比增长39.57%。业绩增长源于坚持技术创新、深化人工智能融合及优化供应链管理，主业产品收入占比超70%。本文仅为财务数据简述，无实质安全技术内容，对安全从业者参考价值有限。

该文档复现了Linux内核XFSReflink本地权限提升漏洞CVE-2026-64600。漏洞源于xfs文件系统数据fork映射在ILOCK周期后未重新采样，影响4.11至7.2-rc4之间的多个内核版本。攻击者需具备本地普通用户权限，且系统使用reflink=1的XFS文件系统。建议立即升级内核或采取临时缓解措施，如限制本地访问和禁用reflink功能。