ZONE.CI 全球网

本文记录了作者在智能密码钥匙APDU协议调试过程中遇到的实际问题，包括字节边界错位导致验签失败、公钥坐标污染、协议层控制码误判等典型陷阱。通过数学约束验证、暴力穷举和协议分析等方法最终解决问题，并总结了数据边界校验、密码学验证优先等实用经验。

2026年6月媒体报道称NSA借助Anthropic公司AI模型ClaudeMythos开展针对中国等国的进攻性网络行动，该模型具备自主发现零日漏洞及开发攻击链的能力，虽以防御名义授权但被用于网络作战，凸显AI武器化趋势及大国网络对抗公开化。

本文探讨AI时代真正的信息差在于解决问题的能力而非信息获取，指出AI放大了主动学习、问题拆解与搜索能力等核心技能的差距，并划分了从基础使用到系统构建的四个能力层级，强调持续学习和工程思维是适应技术变革的关键。

奇安信集团旗下奇安盘古与上海盘石洞鉴两家企业再次入选2025年上海市专精特新中小企业名单。两家企业长期专注于网络安全细分领域，奇安盘古深耕移动安全、系统安全攻防及电子数据取证技术，上海盘石洞鉴在电子数据取证与司法鉴定领域具有核心竞争优势。此次认定体现了企业在技术创新、专业能力和市场竞争力方面的持续发展，未来将继续加大研发投入，为政府部门、司法机关及企业提供专业安全解决方案。

第一届CCF网络与系统安全大会定档杭州，主题为安全为基智算未来，设多场论坛探讨AI安全与数据安全等热点。大会汇聚院士专家，旨在促进产学研融合与安全生态建设，现已开放注册。

GitHub项目accesskey\\_tools的AWS模块被植入供应链攻击后门，通过仿冒依赖包和恶意endpoint劫持窃取用户AWS凭据。后门已存在三年且高度隐蔽，攻击者将API请求重定向至控制服务器获取AccessKey等敏感数据。建议立即停止使用该工具、轮换凭据、审计CloudTrail日志并从官方渠道安装依赖。

《宝可梦GO》玩家通过扫描现实环境获取游戏奖励，产生的约300亿份扫描数据被NianticSpatial公司用于训练视觉定位系统。2025年12月该公司与美国国防承包商Vantor合作，将技术整合为GPS拒止环境下的军用无人机导航方案。核心争议在于玩家对数据最终军事用途不知情，且训练数据来源难以追溯，引发数据伦理与知情同意问题。

本文介绍了AI浏览器产品Tabbit1.0的正式发布，重点阐述其产品特点、商业化策略及团队背景。核心信息包括：1\\.产品定位为面向普通人的AI工作台，强调简洁易用和低上手门槛；2\\.新增了`妙招`功能并构建了分享生态，旨在让非技术用户也能创建和流通自动化工具；3\\.增强了跨对话记忆等个性化能力，并内置了多个国内大模型供用户选择；4\\.首次披露了其在被美团收购后的独立运营情况，强调产品方向的自主权；5\\.探讨了当前AI浏览器行业功能趋同背景下，产品竞争的核心正从单一功能创新转向

2026年6月1日公共安全行业标准GA/T2385-2026正式实施，规定了工控主机白名单产品的安全功能、自身安全及保障要求，为产品设计开发检测提供技术依据。威努特作为核心编制单位，凭借在工控主机安全及白环境防御体系的技术积累，推动行业规范发展，助力工业企业筑牢主机安全底座。

本文介绍BurpMCP服务的应用，通过AI直接操作Burp进行漏洞分析可减少人工核验负担。文章详细说明MCP服务的安装配置、核心工具功能（如发包、编码、扫描等），并分享实际测试体验显示其在辅助型测试和验证方面效果良好。作者还探讨了自动化渗透的潜在应用与挑战。

文档介绍AI驱动的自动化渗透测试工具链，重点展示小龙虾自动挖洞系统集成burpH5发包工具和vuln-hunter漏洞检测模块。核心思路是通过ChromeDevTools自动页面操作捕获网络请求，结合AI模型进行漏洞挖掘。实践表明该方法可有效识别未授权访问等基础漏洞，但强调AI需配合安全技能使用而非替代人工。提供具体工具部署路径及免费AI资源（如QClaw每日5000万token），建议关闭安全防护后运行本地测试环境。

OpenAI推出LockdownMode可选安全功能，通过限制网络请求和外部服务访问来防御提示注入攻击导致的数据窃取。该模式会禁用实时网页浏览、网络图片获取等功能，主要面向处理敏感数据的用户。虽然不能完全阻止攻击发生，但能切断数据外泄路径，用户可在设置中启用此模式。

该文档探讨在已知圆方程(x-a)²+(y-b)²=r²条件下求线性表达式cx+dy极值的方法，提出可直接利用圆心到切线距离等于半径的几何原理快速求解，适用于系数cd为任意实数（包括零值平凡情形）的通用场景。

本文解析极客大挑战2019HavefunWeb题。解题思路为查看网页源代码发现PHP逻辑，通过URL传参cat=dog满足判断条件从而输出flag。步骤简单，适合初学者练习基础代码审计与参数传参技巧。

本文记录了一次渗透测试实战，在企管系统发票管理处发现存储型XSS漏洞，输入普通JS载荷可直接执行。通过注册第二个测试账号验证存在IDOR漏洞，成功越权修改其他用户发票数据，实现XSS危害升级。案例展示了漏洞组合利用的扩散风险。

德国CISPA研究团队首次系统审计大模型影子API黑市，发现近半数接口存在模型造假问题。研究表明187篇顶会论文使用虚假API导致实验数据失真，影子API在推理能力上比官方暴跌40%、医疗法律领域准确率骤降47%，且安全护栏严重失效。研究提出LLMmap指纹识别、MET统计测试和元数据侦测三大利器进行鉴伪，并给出四步审计法和科研防伪声明两套解决方案。

AIVA品牌与火山引擎合作提出AI定义汽车理念，通过需求、架构、功能、学习四方面前置实现从智能汽车到AI汽车的转变。核心在于让AI作为底层基座参与车辆定义，实现从人适应车到车适应人的交互变革，使汽车成为能感知状态、主动服务的物理AI伙伴。首款概念车OriginConcept已亮相，量产车型ME7计划于2026年上市。

中央网信办通报30款App违规收集个人信息问题，CNNVD发布第23期漏洞周报披露1610个安全漏洞，微软修复211个安全漏洞含4个超危漏洞。OraclePeopleSoft遭零日漏洞攻击导致数据泄露，日本能源企业遗失存储设备影响1.09亿用户。安全报告显示九成负责人担忧AI代码风险，11国联合打击勒索病毒混币服务。

文档汇总了2026年6月12日科技领域多项重要动态，包括SpaceX以750亿美元创史上最大IPO、Meta开始剥离Manus业务、苹果确认开发触控屏MacBook、Google投入5000万美元培训技术工人，以及阿里巴巴钉钉管理层调整等关键企业事件。

理想汽车企业安全负责人熊海潇将于2026年6月25日分享智能体安全落地实践，重点解析AI如何重构SecOps底层逻辑。内容涵盖通过统一数据底座实现安全状态闭环、智能体在漏洞治理和入侵响应中的自动化编排，以及企业级治理中如何在效率释放与风险可控间建立信任机制，包括使用过程可见性、权限边界控制和能力来源可信等关键方案。

本文深度解析ClaudeCode的记忆机制设计，指出LLM本质无状态，传统方案（滑动窗口、对话摘要、向量检索、分层存储）存在信息丢失、检索不准、维护成本高等问题。ClaudeCode采用静态层（CLAUDE.md声明式指令）与动态层（自动学习偏好）的双层架构，通过Markdown文件实现长期记忆管理，支持跨会话持久化与类型化存储，相比向量数据库方案更直观可控。文章从源码层面剖析六层CLAUDE.md设计逻辑与自学习闭环，为Agent记忆系统提供可借鉴的工程实践原则。

该文档记录了针对某内网靶场的完整渗透测试过程，涉及环境搭建、指纹识别、弱口令利用、数据库操作、密码重置、后台getshell、绕过disable\\_functions及内网渗透初探。关键步骤包括通过MySQL弱口令获取数据库权限、利用Joomla后台模板编辑写入Webshell、使用蚁剑插件绕过函数限制执行系统命令。文档结尾附有安全培训广告及知识库推广内容。

本文系统总结商用密码应用安全性评估能力验证考试核心考点，重点解析SM4分组密码算法的七种工作模式特征、推断方法及安全风险（如CTR模式计数器重叠攻击、CBC模式PaddingOracle漏洞），详细说明SM3\\_HMAC正确实现方式与常见错误，强调密码算法在完整性保护中的规范应用。文档涵盖密码产品接口、密钥管理、量化评估等实操要点，为密码安全测评提供明确技术指导。

该文档为360SRC与看雪学苑联合主办的`智弈`AI智能体攻防实战沙龙招募公告，聚焦2026年AI安全前沿趋势。沙龙重点探讨AI智能体越权攻击、供应链安全、自动化漏洞挖掘等实战议题，要求投稿内容具备原创性、可复现性及数据支撑。活动设具体议题提交规范与截止时间，旨在构建AI安全实战技术交流平台。

近日，名为TheGentlemen的勒索软件组织引发全球关注，截至2026年4月已声称攻陷478个受害者。其恶意软件具备蠕虫式自我复制能力，支持–spread参数在内网传播，–wipe参数可擦除恢复痕迹。该组织由前勒索软件附属成员创立，采用90%高分成吸引攻击者，并要求提交1GB真实数据作为投名状。企业需及时修补漏洞、加强EDR能力并定期隔离备份以应对威胁。