ZONE.CI 全球网

本文详细记录了一次在欧拉操作系统上排查生产环境内存泄漏的全过程。一台拥有125G内存的PostgreSQL服务器在11小时内内存被完全耗尽。排查发现，问题的直接原因是PostgreSQL14.5版本存在一个已知的内存泄漏bug（PGBUG-178342），当客户端执行返回大量数据的查询并保持长连接时，服务器端的内存无法释放。间接原因包括数据分析人员使用DBeaver等GUI工具频繁执行大表全量查询、应用连接池回收不及时等。文章提供了详细的临时处理方案（如终止空闲连接、清理缓存）、短期修复措施（升级Post

百度开源轻量OCR模型Unlimited-OCR以3B参数量、500M激活参数实现性能突破，在OmniDocBenchv1.6获93.92%SOTA评分，支持40页长文档单次推理不丢上下文。其核心采用R-SWA滑动窗口注意力机制与DeepEncoder实现16倍页面压缩，解决了传统OCR长文档处理中的内存与速度瓶颈。技术负责人疑似原DeepSeekOCR核心工程师魏浩然，此举补齐了百度在长文档解析领域短板，并计划将技术扩展至语音识别、翻译等通用长文本处理场景。

Cloudflare实践指南详述了构建AI驱动的漏洞发现流水线，核心在于采用模型无关（model-agnostic）的架构，通过可替换的多个模型进行交叉验证以提升覆盖率和准确性。文章系统介绍了从单一技能（skill）扩展至全流程扫描的关键阶段，包括侦察、狩猎、验证、去重和跨仓库追踪，并强调持久化状态管理和对抗性验证对于消除误报、实现规模化漏洞挖掘的重要性。

Anthropic的MythosAI在授权红队测试中数小时渗透美国国安局机密系统，促使美国出台首例AI模型出口管制新规。事件揭示高阶AI的自动化渗透能力已成为国家安全焦点，凸显建立全球统一AI安全规则的迫切性。建议通过安全管控框架平衡技术创新与风险防控。

本文记录作者通过Prompt注入技术，在AI前端开发平台中利用NPM包postinstall生命周期钩子实现RCE攻击的过程。通过构造恶意npm包并诱导模型安装，成功在目标服务器执行命令并获取云元数据，揭示了AI系统在依赖加载环节的安全风险。文章提供了完整的攻击路径和防御思考。

该文档记录了一次小程序安全渗透测试过程，测试者发现反馈查询功能仅需输入手机号即可查看反馈内容。通过将手机号参数置空，成功绕过后端校验获取系统全部反馈数据，暴露出参数校验缺失导致的信息泄露漏洞。文章展示了空参数绕过的前后端校验差异问题，并提醒开发者需加强后端参数验证。

公安部网安部门预警显示银狐木马最新变种通过伪装税务稽查等钓鱼邮件定向攻击中小企业财务人员，已造成千余家企业损失高达20亿元。木马具备环境检测、权限提升、持久化驻留及C2远程控制能力，可截获短信验证码实施转账。文档提出四项防范建议：警惕可疑邮件、使用安全检测平台、断网隔离终端、开展安全意识培训，并推广了DeepPhish反钓鱼训练平台。

本文介绍了Gemma4-12B-Coder模型的GGUF量化版本，包括其基础架构、多种量化规格（Q2_K至Q8_0）的体积与适用场景，重点推荐Q4_K_M作为平衡选择。文档详细说明了使用llama.cpp的本地部署方法，并强调该模型具有低硬件门槛、256K长上下文和编码优化等特点，适合离线开发环境。

2026年全国低碳日期间，赛迪研究院参与共建的国内首个重点工业产品碳足迹数据库正式上线，覆盖光伏、锂电池等27个行业，填补了国内工业碳数据基础设施空白。该数据库将为政府碳考核、企业绿色转型及跨境碳合规提供权威数据支撑，赛迪认证将以此为核心深化碳足迹核算认证服务，输出成套低碳解决方案。

基础软件质量控制与技术评价工业和信息化部重点实验室发布2026年开放课题申请指南，聚焦开源大模型成熟度评价体系及验证、数据库多维评价体系及技术演进趋势研究两大方向，面向高校、科研机构、企业等单位征集参与单位，申请截止日期为2026年7月15日。

2026年`黄鹤杯`网络安全人才创新大赛因报名热度高涨，组委会决定将报名截止时间延长至7月15日。大赛聚焦AI攻防和实物靶标等实战技术，欢迎各单位组织队伍及爱好者报名参赛。组委会提供了联系人乔奇（电话\\*\\*\\*\\*\\*\\*\\*\\*\\*\\*\\*）及官方报名链接，并附有大赛简介文档供参考。

奇安信于2026年6月22日发布威胁分析数字专家产品，以`对话即研判`为核心，整合自研安全大模型与威胁情报数据，覆盖十类安全要素和八大能力模块。产品旨在解决通用AI工具在安全分析中的使用门槛高、专业性不足、能力分散三大痛点，通过SaaS模式提供免费公测并采用积分制激励用户参与。

2026年天枢杯青少年人工智能安全创新大赛实现赛事规模与内容的全方位升级，参赛人数增长十倍至12813人。大赛创新采用AI创作与安全双赛道模式，按学段分层设计赛题，引入个人/团体赛制及线下极限挑战。赛事通过赛前培训、校企合作等方式将竞赛转化为常态化教育实践，推动以赛促学机制，为国家培养AI安全领域未来人才。

黑客通过谷歌广告冒充Node.js安装程序分发新型OxLoader恶意软件加载器，该加载器利用伪造登录页和合法云存储服务传递CastlStealer信息窃取程序，通过沙箱检查、代码混淆和内存交付等技术规避检测，主要针对美国Windows用户窃取敏感数据。

深安AIGateway是企业级LLMAPI与AIAgent审计管理平台，解决大模型密钥泄露、成本失控、审计缺失及AIAgent行为不可控等核心痛点。平台提供虚拟密钥托管、精细化配额管控、敏感信息检测、Agent全流程行为治理等六大功能，支持公私双部署模式，帮助企业实现AI使用的安全可控与成本透明化。

文档报道谷歌在2026年6月裁撤威胁情报团队及Mandiant安全专家的事件，指出AI智能体（如Sec-PaLM2和Gemini安全平台）正取代人类专家实现自动化防御，标志网络安全从人力密集型转向算力密集型。核心发现包括：顶级分析师被裁源于企业将资源倾斜AI军备竞赛，防御范式变为AgenticSOC主动响应。建议从业者需掌握驾驭AI技能以应对行业变革。

近期JetBrains和VSCode市场曝出恶意插件窃取AIAPI密钥，安装近7万次。此外GlassWorm等蠕虫也利用IDE扩展传播。建议开发者立即审核插件，撤销并轮换相关API密钥，企业需阻断恶意流量并加强行为审查。

2026年5月银行业AI项目动态显示，城商行占比领先，浦发银行推进4个项目包括3.79亿信创算力服务器采购；AI项目以业务应用和基础设施类为主，智能体平台成布局重点；解决方案厂商为中标市场主力，信雅达中标项目最多。

文档汇总了2026年6月中下旬AI领域多项动态，涵盖政策、技术、市场三方面。政策层面包括国家金融监管总局发布银行业保险业AI安全开发应用指导意见、广东推动AI与服务业融合方案；技术进展涉及微信测试AI助手小微、多校联合提出AI专用语言BabelTele、京东开源实时视频交互模型；市场动态显示中国大模型周调用量连续八周全球领先、智谱市值破万亿、微软CEO反对模型垄断。整体反映AI在合规框架下加速落地与生态竞争。

SkillSentinel是Skill生态的轻量安全网关工具，在Skill安装前进行自动化安全审计。工具提供ClaudeCode集成和命令行两种使用方式，包含839条正则规则覆盖提示注入、数据外发、提权越权等10大风险分类，支持自定义规则并输出风险评分与处置建议（允许/审核/阻断）。

本文记录作者为同事解答等保整改问题的实战经验，核心解决应用系统双因素认证、服务器/数据库安全加固、传输存储加密等常见合规难点。关键建议包括：采用手机验证码或堡垒机实现双因素认证，使用免费防病毒软件，推荐TLS1.3与AES-256/SM4加密算法，并强调通过缩小暴露面、沟通测评机构等策略系统性降低风险。

本文围绕2026年8月20日将施行的《网络数据安全风险评估办法》展开，详细解读了其对监管、企业和第三方机构的权责划分，并提供了企业落地的六步合规建议。办法明确了重要数据处理者的强制评估义务与一般数据处理者的鼓励性规范，强调评估报告需真实有效并建立整改闭环。建议企业从摸清数据家底、搭建日常管理机制、选择合适评估路径、规范报告管理、闭环整改以及以评促建等六个方面，系统性地落实合规要求，真正提升数据安全能力。

2026年贵阳市第五届’筑城工匠杯’职业技能大赛顺利落幕，大赛由市人社局和总工会主办，覆盖数字软件、网络安全等领域，米好信安提供技术支持，赛事助力贵阳产业人才建设，弘扬工匠精神。

本期SecWiki周刊聚焦2026年6月安全动态，涵盖人工智能政策法规、暗网流量分析工具Darkflow、智能体安全研究报告、APT组织年鉴及电磁侧信道攻击技术。核心内容包括HarmonyOS安全白皮书、DARPA项目梳理及美军网络战研究，提供前沿技术洞察与威胁情报分析。

本文探讨了在AI攻击时代下，利用AIagent结合通用大模型处理海量安全告警的实践方法。文章指出传统安全运营主要关注告警是否存在，而当前面临告警过载问题，提出通过AI技术实现告警智能研判与降噪，提升安全运营效率。关键发现包括AI能够有效优化告警处理流程，并提供了可操作的集成方案建议。