ZONE.CI 全球网

本文记录了一次授权渗透测试中发现的IDOR漏洞实战案例。测试人员通过注册企业客户端账号，发现密码重置功能存在横向越权漏洞，可重置其他企业用户密码。文章通过抓包分析展示漏洞利用过程，强调开发过程中不能轻信用户输入参数，需严格校验权限边界。

本文提出构建企业级智能体工作流需理解的7个层次：工作流设计需明确AI嵌入环节与自主性边界；系统设计要连接模型与工具、数据等组件；工具设计需定义清晰能力范围；上下文设计确保信息准确性与可追溯性；可靠性设计处理异常情况；权限设计控制访问与审批流程；评估机制监控全流程性能。强调智能体应融入业务流程而非独立存在，需平衡自动化与人工干预。

RedTail挖矿木马是利用PaloAlto防火墙等多类漏洞传播的恶意软件，植入XMRig变种挖掘门罗币，具有高度隐蔽性。样本分析显示其通过crontab持久化、进程伪装、防火墙规则篡改、端口扫描及漏洞利用进行传播，并采用BPF过滤器精准捕获TCP扫描响应。该木马会消耗系统资源并可能成为后续攻击入口，建议及时修补相关漏洞并监控异常网络连接。

本文介绍WinClaw工作流如何将固定流程任务自动化，通过对话生成或模板创建方式搭建工作流，支持手动执行与定时任务，实现AI自主执行多步骤工作。文章以数据安全方案撰写和教案生成为例演示操作流程，并提到内置8个办公模板可直接使用，帮助用户减少重复劳动。

安全研究员发现OpenClaw存在五个0day漏洞，攻击者可通过修改显示名称冒充白名单用户，绕过信任边界劫持AI代理访问权限。漏洞源于初始化时使用可变字段解析身份的设计缺陷，影响Slack等主流消息平台。建议强制执行基于ID的匹配机制，并利用AI驱动工具进行系统性漏洞检测。

该文档深入分析了Frida框架中JavaHook的底层实现原理，重点解析了frida-java-bridge源码中implementation.set方法的执行流程。文档详细阐述了如何将用户定义的JS钩子函数封装成native函数，并通过ArtMethodMangler.replace方法修改ArtMethod结构体实现方法替换，同时处理了JNI参数转换和Xposed兼容性等关键技术点。

这是看雪学苑推出的安卓高级研修班招生信息，旨在为有一定基础的安卓逆向研究人员提供进阶学习机会。课程分为月薪两万和三万两个独立计划，内容各有侧重，前者偏向工作岗位一线逆向需求，后者聚焦高级调试技巧。学员将获得专属班主任服务、学习资料，并可参与直播答疑和优秀学员作品展示。完成课程后还可获得看雪安卓应用安全能力认证。

悬镜安全原创AI智能体疫苗技术应对AgenticAI时代三大安全威胁：影子AI资产盲区、权限越界和决策黑箱。该技术通过内生自免疫、敏捷自适应和共生自进化三大特性，将安全能力嵌入智能体全生命周期，实现毫秒级威胁阻断、小时级策略迭代和持续进化防护。文章提出本攻快三维协同方案，包括供应链源头治理、AI治理AI内核阻断和安全情报预警机制。

`十五五`规划纲要提出推进国家安全体系现代化，明确网络安全保障、网络空间治理、人工智能风险管理等关键任务。文章总结`十四五`期间政策法规完善、基础设施防护强化、产业创新及反诈成效，指出当前网络安全面临隐蔽复杂挑战，建议从健全法规、加强新技术防护、深化综合治理、培育产业生态四方面提升保障能力，筑牢国家安全屏障。

本文系统阐述了地理信息安全保障体系的构建，指出地理信息安全涵盖保密性、完整性、可用性、可控性四大属性，并划分为内容安全、本体安全、应用安全、供应安全四个层面。文章总结了我国在入口与出口管理、质量管理、分类分级保护及技术装备自主可控等方面的实践，分析了众源测绘、应用防护、核心技术等领域面临的新挑战，最后从顶层设计、体制改革等方面提出完善安全保障体系的建议。

Sophos研究发现黑客利用AI技术自动化EDR规避测试，通过红队框架集成自动化AD控制面板和恶意软件实验室，迭代测试针对Sophos、CrowdStrike等EDR的绕过技术。攻击者使用AI工具生成恶意脚本并建立结构化测试环境，该活动与勒索软件行动相关。建议企业采用漏洞修补、多因素认证等基础防御措施。

青藤WorkClaw企业智能体安全管理平台通过中国信通院智能体内生安全最高等级5级测评，该测评依据AIIA/T0206-2025标准覆盖数据安全、权限管控、行为安全等维度。产品具备全风险闭环防护能力，可有效防范数据泄露、提示词注入等安全风险，并满足等保2.0、数据安全法等合规要求，为企业提供规模化AI落地的安全底座。

2026年5月Canvas平台遭ShinyHunters团伙攻击，暴露第三方供应链安全风险。事件揭示企业需重构供应商风险评估机制，加强免费服务安全防护，完善危机沟通与数据最小化原则。建议关注业务连续性规划、勒索攻击新模式及数据泄露长期次生风险。

悬镜安全首创AI智能体疫苗技术应对AgenticAI时代的新型安全威胁，通过内生自免疫、敏捷自适应和共生自进化三大特性，将安全能力嵌入智能体全生命周期，实现从供应链源头治理到运行时内核阻断的全栈闭环防护，帮助企业以AI速度跑赢AI原生风险。

美国财政部海外资产控制办公室（OFAC）于2026年6月4日宣布制裁伊朗头部加密货币交易所Nobitex，指控其协助处理恐怖活动资金、规避经济制裁并为伊朗伊斯兰革命卫队下属勒索软件团伙提供交易通道。制裁涉及平台创始人及高管，冻结其在美资产并禁止美国实体与其交易。公开数据显示Nobitex处理伊朗过半加密资金流入，本次行动属美国经济雷霆专项行动的一部分。

文档披露新型HTTP/2Bomb拒绝服务攻击，结合HPACK压缩放大（1字节输入可放大至数千字节）和流控停滞两种手法，单台攻击机可在10-18秒内耗尽32GB内存，影响NGINX、Apache等主流Web服务器。提供已修复版本号（如CVE-2026-49975）及临时缓解措施（关闭HTTP/2或部署WAF），强调及时升级和监控资源的重要性。

本文比较了中美两国可信通信国家标准的技术架构与实施效果。美国STIR/SHAKEN标准基于运营商核心网部署，通过数字签名验证来电号码真实性，但存在部署成本高、非IP场景适配不足等局限。中国CHAKEN标准采用端到端架构，主叫终端生成密码令牌、被叫终端独立验证，具备更好的安全性、隐私控制和成本优势。研究显示两国标准在安全边界、隐私保护和部署成本方面存在显著差异。

该办法规范电子认证服务密码使用行为，明确提供电子认证服务需取得国家密码管理局颁发的许可证，并详细规定申请条件、材料提交、审查流程、许可证有效期及变更延续要求。同时要求获证机构履行安全管理义务，进行年度合规评估和安全培训，密码管理部门有权监督检查并对违规行为处以罚款。办法自2026年7月1日起施行，2009年旧版同步废止。

《人工智能应用伦理安全指引1.0》系统构建了AI应用伦理安全框架，提出造福人类等核心理念，识别六大伦理安全影响并确立九大原则。通过通用指引与分场景差异化治理策略，压实开发者、服务提供者和使用者三方责任，强调对弱势群体保护，旨在推动AI技术向价值逻辑转变，实现技术造福人类的愿景。

该文档阐述中国民航局推动低空经济健康有序发展的战略部署，强调需统筹安全与发展关系，提出严控安全风险、完善基础设施、优化法规标准等具体措施。文章指出当前无人机实名登记超380万架，2025年飞行4530万小时，目标十五五期间年飞行量超8000万小时，并需破解监管能力不足、基础设施滞后等瓶颈。

国家广播电视总局于2026年6月1日启动为期2个月的微短剧专项治理，重点整治涉儿童有害内容、软色情擦边、拜金炫富等8类低俗侵权问题。要求省级部门落实属地监管责任，平台开展自查整改，并通过精品创作工程提升内容质量。专项结束后将建立常态化监管机制和完善法规制度。

齐向东在BCS2026大会上指出AI技术加剧网络攻防失衡，攻击方利用Mythos等模型实现分钟级漏洞挖掘和自动化攻击，传统静态防御已失效。他提出三大安全刚需实战安全、数据安全和全栈安全，并强调单纯依赖AI原生安全或提升漏挖能力均不现实，主张通过建设低位产品、中位智能体、高位大模型的三位一体内生安全纵深防御体系来应对AI时代威胁。

宏碁公司确认Wave7网状路由器存在两个CVSS满分漏洞CVE-2026-49200和CVE-2026-49201，影响固件版本T7c_GBL_1.01.000055及更早版本。CVE-2026-49200允许未认证攻击者通过web接口访问日志中的明文登录凭据；CVE-2026-49201因硬编码AES密钥可导致备份文件被篡改注入后门。厂商预计6月底发布修复，建议用户立即通过管理控制台更新固件，并在修复前禁用远程管理或限制可信IP访问。

以色列AI与数据安全公司Cyera近期完成3亿美元融资，估值达120亿美元，累计融资超20亿美元。公司主营基于AI的数据安全平台，帮助企业在云环境中发现和保护敏感信息。文档显示其年度经常性收入超1.5亿美元，但估值达到ARR的80倍，且支出增速高于收入增速。Cyera通过多次收购扩大业务规模，但盈利仍有差距。

文档披露KKfileview<4.4.0-beta存在ZipSlip目录穿越漏洞，攻击者可利用该漏洞向服务器任意目录写入文件进而引发命令执行风险。作者指出现有POC存在破坏性检测缺陷，并提出无损检测方案：通过构造包含特定路径文件的ZIP压缩包，上传后检查demo目录是否成功生成flag.txt文件以验证漏洞存在性。