ZONE.CI 全球网

本文聚焦2026年4月网信办发布的《数字虚拟人信息服务管理办法(征求意见稿)》,系统解读数字虚拟人的法律定义、四步生命周期及产业链主体角色。核心要点包括区分真人驱动与计算驱动两种模式的合规差异,明确数据采集阶段需获取敏感个人信息单独同意并确保数据来源合法,强调从`获取同意`到`证明同意`的授权验证机制,并剖析建模阶段从个人信息到数字身份生成的双重保护要求。

该文档分析美国《远程访问安全法》(RASA)草案对中国出海企业的影响。RASA将远程访问美国受控物项定义为数字出口纳入管制，封堵企业通过第三方云服务获取算力的漏洞。文章指出RASA立法可能性大，并梳理现有BIS管制政策及风险，建议企业可通过无关联海外合作伙伴训练模型后转让权重的合规路径。

CISP-AISS是中国信息安全测评中心推出的国家级人工智能安全专业人员认证，旨在培养AI安全治理、管理及技术体系设计能力。认证覆盖AI全产业链从业者，知识体系包含10大类138个知识域，考试为100题选择题与判断题，满分100分需70分合格，证书有效期为3年。

本文介绍一款名为Patch神器的x86版本免杀工具，可自动化扫描白文件并Patch实现免杀，声称能绕过360核晶、火绒、WindowsDefender、卡巴等主流杀软和微步沙箱。文章重点推广其红蓝对抗圈子，提供多种免杀技术文章和工具资源，同时强调仅用于安全测试和防御研究。

云南昆明公安机关查处黎某某在微博发布侮辱张桂梅校长、挑起地域歧视和性别对立的违法言论案件，相关内容阅读量1989次造成恶劣社会影响。公安机关迅速取证并抓获嫌疑人，依据《治安管理处罚法》对其处以行政拘留10日。

近日湖南岳阳何某为博取流量纠集8人在公共场所摆拍‘住狗笼’低俗视频，悬挂偷人偷狗字牌制造话题，严重扰乱社会秩序。公安机关依法对主犯何某刑事拘留，其余8人行政拘留。该案例警示自媒体从业者应遵守法律法规，避免低俗炒作行为。

文档披露思迅商旗10.5商业管理系统PayConfig接口存在SQL注入漏洞，影响该版本系统。提供FOFA查询语句用于识别受影响资产，建议通过打补丁修复。漏洞POC及扫描工具需通过知识星球南风网络安全获取，文章含免责声明强调合法使用。

中国信通院正式启动工业智能体数字身份系统首轮评估工作，旨在解决工业智能体身份不统一、信任体系缺失及权限管控粗放等痛点。评估面向全产业链参与主体，覆盖多行业应用场景，重点检验身份管理、环境可信、跨域互认和风险防控四方面能力，以评测牵引技术迭代与产业应用。

中国信通院启动物理AI高质量实景数据集及采集加工工具评估工作，旨在解决具身智能数据生产面临的多模态同步复杂、标注标准不统一等挑战。评估覆盖实景数据集、采集系统、加工工具和治理平台四类对象，重点检验数据真实性、任务完整性、安全合规等能力，支撑人形机器人等产品的训练测试与迭代部署。

该文档披露JoomlaContentEditor组件在2.9.99.4及更早版本中存在未授权远程代码执行漏洞（CVE-2026-48907），攻击者可通过配置文件导入接口上传恶意PHP文件获取服务器控制权。漏洞评级高危（CVSS9.8），影响范围1.0.0至2.9.99.4版本。建议立即升级至2.9.99.6版本，并清理恶意文件、轮换管理员凭证，临时措施包括关闭未使用功能和限制公网访问。

该文档汇总了2026年6月19日至25日期间的网络安全威胁情报，涵盖攻击团伙、恶意代码、漏洞利用和攻击事件四大类。关键发现包括Backdoor.Mistic后门与Woodgnat初始访问代理关联、npm供应链大规模攻击、GhostShell针对乌克兰国防供应链的活动以及CVE-2026-33017漏洞被用于挖矿。可操作建议包括警惕社会工程诈骗、及时更新软件补丁、加强供应链安全审计。

本文解读金发〔2026〕8号文，指出银行保险业AI应用已从场景试点进入安全治理期。文件要求实施AI全生命周期管理，机构需补齐三类能力：建立AI-BOM实现资产看清，结合红队验证等手段测出AI原生风险，以及构建闭环处置机制管住风险。文章建议从AI原生安全测试、智能体安全评估、AICoding治理及AI供应链安全四个高合规压力场景切入建设，将安全内生于AI开发流程中以符合监管要求。

补天平台推出AI安全工具版块，旨在整合优质开源AI安全工具并按场景分类，解决工具筛选效率低下的问题。平台征集本土白帽开发者原创的AI安全工具，提供首页曝光机会以促进技术共享与行业良性发展，同时明确要求工具需合法合规并附带使用说明。

山石网科在ISC.AI2026大会上展示双A战略成果：ASIC安全芯片实现量产并通过自主可控认证，可加速五大产品线性能；AI方向通过智能体矩阵提升安全运营效率，同时推出AI智能体安全治理框架应对新型风险。公司加入磐石之盾安全协作计划，并展示全栈数据安全能力及山石灵岩智能体框架，推动安全运营向AI驱动转型。

本文为企业AI治理提供5项核心实践指南：设立专职AI负责人、制定使用规范、全员培训、常态化评估系统、战略性投入治理体系。强调AI治理能降低风险、提升信任、加速创新，需分阶段落地并适配全球合规要求。

山石网科在ISC.AI2026大会上全面展示双A战略（ASIC+AI）落地成果，包括自研安全芯片通过国产认证并量产、AI智能体安全治理框架及数据安全全栈能力。公司加入磐石之盾生态计划，推出山石灵岩智能体框架重构安全运营协作模式，推动AI从工具使用向智能体驾驭演进。未来将聚焦国产化替代与AI安全赛道，通过硬核技术+生态协同构筑智能安全防线。

乌克兰精确打击俄炼油厂主蒸馏装置与弹药库，瘫痪其炼化产能。受制裁影响精密设备断供，修复受阻引发俄国内严重燃油限购。乌军以无人机饱和攻击突破防空，利用苏式设施缺陷引发连环殉爆。战术将物理摧毁与供应链制裁结合，切断俄经济命脉，凸显关键基础设施与供应链安全的脆弱性。

本文系统分析了当前主流EDR规避技术，涵盖静态特征规避（即时解密、多层加密）、动态行为隐匿（无文件攻击、直接系统调用、父进程欺骗）以及信任链滥用（LOLBins、BYOVD）与供应链污染三大方向。针对这些威胁，山石网科智铠终端安全系统提出了相应防御方案：通过AI静态检测、内存行为监控反制静态规避；基于ATT&CK框架的行为关联应对动态隐匿；监控可信进程异常参数和驱动加载防控信任链滥用；通过软件基线核查和主机隔离构建供应链防护体系。

本文剖析美国代理国家情报总监裁员与第702条款失效对美情报体系的冲击。无经验领导使核心职能转向政治意志，反情报等节点遭精准削弱。授权断档与信任崩解将导致技术采集盲区及五眼同盟共享保守化。建议紧盯美情报修复窗口期及网络空间连锁影响。

文档展示了一段针对Java环境的Web安全漏洞利用代码，涉及通过ScriptEngineManager执行JavaScript代码来动态加载恶意类。关键发现是利用反序列化漏洞实现远程代码执行，包含完整的Base64编码的恶意字节码。可操作建议是及时修复ApacheCommonsLang组件漏洞并加强输入验证。

新型IronWorm恶意软件攻击npm供应链，36个软件包被植入用Rust编写、隐藏于eBPF内核rootkit后的信息窃取程序，窃取86个环境变量与20种凭证文件（含OpenAI、AWS、SSH密钥等），并通过Tor网络通信。该恶意软件利用窃取凭据在npm上自我传播，攻击者还利用GitHubActions传递窃取密钥，并通过伪造历史提交掩盖痕迹。建议开发者升级受影响软件包、轮换密钥并启用双因素认证。

该文档详细解析了ISC2专项证书与正式认证的核心区别，包括报考门槛、学习时长、考核方式和维持要求等关键维度。专项证书无经验要求、学习周期短且无需维持资质，适合快速技能提升；正式认证需满足从业经验、通过第三方考试并完成继续教育学分，更适合长期职业能力证明。文档还提供了报考流程说明及会员专属优惠等实用建议。

文档披露医药商品信息发布系统Faclist.aspx存在的SQL延迟注入漏洞，提供FOFA搜索语法识别目标系统，展示漏洞复现步骤截图，并引导关注公众号获取POC详情。文末推广付费漏洞库圈子，提供Nuclei批量验证脚本和md5解密等服务。

本文介绍Excel中Copilot技能的功能与应用，包括使用现有技能、创建自定义技能的方法及管理技巧。文档指出技能可扩展AI模型能力，通过@提及或菜单调用技能，并详细说明SKILL.md文件的格式要求。当前中文界面存在加载问题，该功能仅支持英文界面。

文档记录了生产环境登录成功但页面不跳转的故障排查案例，最终定位到硬盘写满导致Session和localStorage写入失败。文章详细描述了从前端到后端的系统性排查过程，提供了紧急清理磁盘的具体命令，并总结了设置磁盘监控、日志轮转等预防措施，强调资源监控对系统稳定性的重要性。