ZONE.CI 全球网

国家广播电视总局监管中心公开招标网络安全攻防演习专业技术服务，预算149万元，服务期限为合同签订后一年内完成。采购需求包括为2026年度广播电视行业网络安全攻防演习提供技术支撑和平台运维，攻击队攻击时间不超过15天。投标人需满足政府采购法规定资格，不接受联合体投标，文件获取截止时间为2026年6月18日。

该通知由上海市互联网业联合会发布，涉及2026年上海市网络与信息安全管理员（数据安全管理员）社会化职业技能评价的具体操作事项，旨在规范职业技能评价流程。

2026西湖论剑大会第九届数据要素与数据安全创新实践征集活动以`数智驱动未来·安全筑基创新`为主题，面向全国征集AI与数据安全结合、动态数据安全运营、数据要素技术应用等方向的创新案例。案例需具备实际应用效果且符合法规要求，申报截止2026年7月24日，入选案例将获证书及大会展示机会，并可推荐至相关赛事。

2026年第九届浦东新区网络安全大赛由公安部三所下属非营利机构海盾培训中心主办，面向网络安全从业者及爱好者开展竞赛选拔。简章包含大赛时间地点、参赛对象要求、报名流程等基本信息，并附有相关职业与专业说明文档供参考。

`复兴杯`第五届全国大学生网络安全精英赛总决赛在唐山举行，设置网络安全意识与法律法规、网络安全攻防、人工智能应用与安全三大赛道。北京邮电大学陈泽烽等选手分获各赛道一等奖，赛事通过以赛促学模式推动产教融合，为网络安全人才培养搭建重要平台。大赛同期举办《网络安全法》产教融合研讨会，促进行业交流与人才培养体系建设。

本文记录了蓝桥杯网络安全赛道国赛中guard\\_vm题目的解题过程，通过分析虚拟机架构发现其采用3字节固定长度指令集，并存在内存偏移访问陷阱。关键步骤包括解析指令集操作码、提取加密字节码数组，并使用Z3求解器逆向计算得到flag。文档提供了完整的Python脚本实现逆向求解逻辑。

该文档详细介绍了如何通过CCSwitch工具统一管理多个AI模型，并逐步指导安装ClaudeCode以接入DeepSeek-v4模型。内容涵盖NodeJS与Git环境配置、CCSwitch的模型集中管理与快速切换功能、ClaudeCode的终端与VSCode插件两种使用方式，并提供了实际生成简历网页的完整操作示例。文档重点解决了多模型平台切换繁琐、配置分散等痛点，强调通过本地工具实现开发效率提升。

本文介绍一款ICP企业备案查询工具，支持网站及APP等多种备案类型的批量查询与JSON输出，可按企业名一键生成多Sheet的Excel报告，便利资产摸底。文末含CTF课程与帮会推广，适合红队信息收集与日常安全运营使用。

作者发现Stripe支付平台的手续费减免接口存在并发逻辑漏洞，通过TurboIntruder工具发送30次请求即可重复获取20,000美元优惠额度，实际获得600,000美元减免（远超单次限额）。漏洞无需竞态条件，仅需有效fdo\\_ID即可重复调用接口。文章提供攻击请求示例和脚本代码，属于高价值业务逻辑漏洞。

文档分析了旧版SecureCRTSSH登录Ubuntu26时终端显示OSC控制序列乱码的问题，指出这是Ubuntu24.04+默认启用终端ShellIntegration所致。提供了服务端解决方案：通过修改\\~/.bashrc或创建/etc/profile.d/99-disable-osc3008.sh文件清理PROMPT_COMMAND环境变量，并说明pam_systemd.so导致的残留OSC序列可通过修改PAM配置或设置TERM=dumb临时解决。

OpenAI工程师RyanLopopolo提出HarnessEngineering方法，核心是通过管理Agent的上下文和工具实现代码自动化生成。团队禁止手写代码后人均PR从每周3.5个提升至70个，工程师角色转向系统设计、规则制定和业务决策。关键发现包括代码变为一次性产物、SPEC成为核心资产，以及信任建立需通过自动化反馈机制。可操作建议是将开发重点从代码实现转向需求明确化和验收标准细化。

某头部数据科技公司招聘三年级数据法务岗位，职责为前沿数据业务提供全方位法律支持。任职要求包括3年数据法律经验、熟悉境内外数据AI相关法规、英文工作能力及通过法律职业资格考试。工作地点上海，提供职业成长和可观涨薪，需通过邮件联系内推。

本文详细剖析了AI驱动的渗透测试系统从用户输入到生成报告的完整工作流程，包括API接收、Orchestrator调度、信息收集、ReAct决策循环三大攻击路径执行等核心环节。系统通过LLM动态决策选择工具调用、技能攻击或RAG查询方式，结合MCP客户端在KaliVM执行扫描，并实时通过WebSocket推送漏洞发现进度。文档提供了具体代码锚点与容错机制设计，具备完整的技术复现指导价值。

华顺信安在数世咨询发布的2026年数字安全专精百强榜单中获评网络空间测绘单项冠军，凭借千亿级数据积累和FOFA、Goby等产品链形成实战化能力，覆盖公网暴露面侦测与内网穿透，实现从漏洞发现到攻击面收敛的安全闭环，并在政府、金融等高要求行业得到验证。

本文探讨全栈AI中断言系统的工程化设计，强调将任务分解为可观测、可回滚、可复用的流程。核心观点包括：自动化流程需具备风险中断机制（如登录态异常时停止）、所有操作仅生成草稿箱内容、外部素材仅借鉴结构不复制原文。建议团队从低风险场景（如选题生成）逐步推广，并明确AI不替代事实性内容的最终人工审核。

Laravel框架存在CRLF注入漏洞CVE-2026-48019（CVSS8.9分），攻击者可在密码重置页面的邮箱字段注入%0d%0a换行符添加Bcc密送地址，利用SymfonyMailer组件缺陷悄无声息获取用户密码重置邮件。官方已在v12.60.0/v13.10.0版本通过str\\_replace过滤换行符修复，建议受影响用户及时更新补丁。

福州市总工会办公室发布金融领域数据安全职工技能竞赛活动方案，旨在提升从业人员数据安全防护能力。该方案包含竞赛组织形式、技能考核重点及奖励机制等内容，强调通过实战演练加强金融行业数据安全管理水平。

文档分享了EDU系统中发现的SQL注入与越权漏洞挖掘案例。通过学生账号登录教务系统，在学籍导出功能处发现布尔盲注漏洞可获取数据库信息；另在申请模块通过参数遍历实现越权访问。作者强调漏洞已修复，需合法授权使用。

2026年6月，朝鲜KimsukyAPT组织发起精准钓鱼攻击，伪装成客户以个人信息泄露核查为由，通过5轮邮件互动建立信任，最终投递恶意LNK文件。该文件伪装成办公文档，利用PowerShell执行，通过Dropbox或自建C2窃取数据，并采用多层加密、反检测技术。建议企业加固邮件网关、监控终端行为，个人需警惕陌生附件与误报案话术。

奇安信入选2026Gartner中国安全技术成熟度曲线十大领域，涵盖AI安全测试、数据态势管理及云安全等。报告指出产业向AI驱动转型，奇安信以实战攻防与全栈AI安全双轮驱动，推出AI红蓝队工具、大模型卫士及数据安全平台，构建全栈防护体系，引领产业智能化升级。

OpenBSD修复了PPP协议栈中已存在27年的认证绕过漏洞，该漏洞源于sppp_pap_input函数中bcmp比较逻辑缺陷，攻击者可通过设置PAP数据帧长度字段为0绕过身份验证，并可能造成内核堆越界读取。漏洞影响1999年7月至2026年6月14日所有版本，修复方案采用长度预检查机制阻止零长度绕过并消除内存读取问题。

该报告系统分析了AI大模型安全风险态势与防护方案，指出AI安全已进入风险集中暴露阶段，企业面临业务攻击与监管违规双重风险。报告提出六大核心风险及AI原生安全理念，构建五层安全架构，建议企业采取渐进式建设路径。同时介绍了绿盟科技、天融信等厂商的一体化防护方案，为AI安全治理提供实践参考。

国家网络安全通报中心发布境外恶意网址与IP预警，涉及后门程序和僵尸网络攻击；公安部公布打击银狐木马典型案例，提醒用户防范钓鱼攻击。MIT调研显示AI存在高等级风险，现行治理存在网络安全短板。美国智库推动AIBOM标准化以提升AI供应链透明度。此外，FIFA世界杯系统漏洞、心脏监测数据泄露等安全事件凸显网络威胁多样性。

2026年6月，黑客组织shadowbyt3$声称通过第三方人力资源管理平台TinyPulse漏洞入侵任天堂内部系统，窃取约859MB敏感数据并勒索200万美元。泄露内容涵盖员工身份信息、财务文件（含W-9税务表单及银行对账单）、内部工作记录及沟通数据，可能引发二次身份盗窃与金融欺诈。此事件凸显第三方SaaS平台的供应链安全风险，但事件真实性仍待官方核实。

文档披露AWSWickr合规云存在严重安全漏洞，包括未剥离的生产二进制文件暴露完整符号表、FIPS模块采用PartialRELRO导致28个GOT.PLT条目可写、TLS配置禁用EMS扩展引发三重复握手攻击风险，以及硬编码美国情报界秘密网络端点。这些缺陷可能被武器化实现端到端解密，直接威胁美军战场通信与情报共享安全。建议使用方重新评估系统安全性并要求AWS紧急修补。