ZONE.CI 全球网

国内首个AI智能体安全标准《智能体部署使用安全指引》发布，覆盖评估、准备、部署、使用、停用五大阶段全生命周期安全要求，强调最小权限、敏感信息保护、高风险操作管控等实操清单。目前为指导性文件，但预示未来强制标准趋势，企业应提前合规部署。

Linux内核FUSE子系统存在本地提权漏洞CVE-2026-31694，攻击者可通过控制目录项溢出页缓存获取root权限。漏洞源于fuse_add_dirent_to_cache()函数未校验目录项是否超过单页容量，导致4KiB页系统上可溢出篡改SUID二进制文件。修复方案为拒绝超出单页容量的条目，并建议限制FUSE功能使用范围。

WordPress插件漏洞正被大规模武器化，攻击者利用未授权文件上传、RCE、SSRF及反序列化漏洞部署webshell，获取持久化远程访问权限。全球组织已受影响，应急响应需默认系统已遭入侵，立即隔离服务器、审查日志并清除恶意代码。建议立即应用供应商补丁，禁用或移除受影响插件，并强化Web服务器安全配置。

XWikiPlatform存在目录遍历漏洞(CVE-2026-34151)，影响使用Jetty12+部署的版本。攻击者可通过双重URL编码的…%252f序列绕过路径限制，读取系统配置文件等敏感信息。影响版本为XWikiPlatform<17.10.5及18.0.0-rc-1至18.2.0。建议升级至17.10.5或18.2.0以上版本，或迁移至Tomcat等不受影响的应用服务器。

作者在北京旅行时回忆起上海工作经历，通过偶遇不同背景的人（台湾姐姐、大学老师、退休长辈）感悟到人与人之间的连接和城市生活的相似性。旅行让人重新认识世界和自己。

本文复盘了针对某大厂自研大模型的实战测试，展示了如何通过提示词注入（如劫持扮演、DAN攻击、忽略指令）让模型输出XSS负载。测试发现普通脚本标签被前端拦截，但利用onerror属性的图片标签成功触发弹窗并外带Cookie。文章指出提示词注入可扩展为传统Web漏洞链，并建议在模型层面强化输出过滤与上下文审查以遏制此类风险。

一项名为进程参数投毒的新型Windows进程注入技术被公开，它通过将恶意载荷隐藏在进程启动参数中，成功绕过了四款主流EDR产品的检测。该方法利用进程环境块（PEB）存储载荷，并通过修改主线程指令指针执行代码，避开了传统注入技术常用的API调用。防御者应监控异常的进程启动参数和线程上下文变更，以检测此类攻击。

Linux内核FUSE子系统存在CVE-2026-31694漏洞，本地攻击者可通过恶意FUSE服务器返回超大的目录条目，导致内存溢出并破坏SUID二进制文件，从而获取root权限。该漏洞影响使用4KiB页面大小的系统，攻击者需具备FUSE挂载能力。修复方法为拒绝超出单个页面大小的目录条目，建议管理员限制FUSE使用并移除fusermount3的setuid位以降低风险。

本文详细分析了第二届软件系统安全赛决赛中StudentManagement题目的漏洞利用过程。程序存在未初始化内存漏洞，导致悬空指针和任意地址读写。作者通过堆风水布局，利用malloc\\_consolidate合并fastbinchunk，成功泄露堆地址、libc地址和栈地址。文章提供了完整的利用步骤和exp代码，展示了如何通过精心构造的堆操作实现信息泄露和潜在的控制流劫持。

AIWAN是智能IP广域网，通过AI路由器、IPv6+技术和智能体协同，实现网络从‘傻传数据’到‘聪明调度’的升级。它解决AI时代大模型训练、自动驾驶等场景对低延迟、高可靠性的需求，支持存算分离、跨数据中心协同和数据安全流通。未来分三步发展，目标是实现L4级自智网络，成为AI时代的数字底座。

红帽披露HPLIP漏洞CVE-2026-14544，CVSS评分9.8，可导致远程任意代码执行。漏洞源于hpcups组件整数溢出，影响RedHatEnterpriseLinux6至10等版本。建议及时安装HPLIP更新，或限制打印服务访问权限，必要时卸载hplip软件包。

该文档披露了两个高危漏洞:CVE-2026-43499是Linux内核rtmutex子系统中存在15年的Stack-UAF漏洞,影响所有未打补丁的发行版,可用于容器逃逸和本地提权;CVE-2026-10702是FirefoxJIT编译器的类型混淆漏洞,允许远程代码执行。两者可链式利用实现从浏览器到内核的全链路RCE。建议立即更新系统并限制对恶意页面的访问。

独立研究员VictorFresko从入侵ISP路由器入手,发现并利用MediaTek内核0day漏洞实现远程代码执行.过程涉及CVE-2025-13942等漏洞,通过构建任意读写原语覆盖函数指针获得内核shell.该案例被收录进Linux内核利用资源合集,展示了从现实设备出发的漏洞发现路径,鼓励在合法环境中实践学习.

本文档为CTFHub平台JWT敏感信息泄露题目的实战指南，通过解码JWT的Header和Payload部分获取flag。核心步骤包括登录靶场、截获数据包、解码JWT三部分中的前两部分，拼接得到flag。操作性强，适合CTF入门练习。

浑象是面向AI安全Agent的评测基座，通过动态Flag注入、原生MCP协议集成、支持Windows/AD域环境等设计，解决传统靶场语料污染与交互瓶颈，提供150+题目与自动化接口，旨在构建闭环评估生态，鼓励社区共建。

本文针对HVV2026场景下HTTPS环境无流量解密条件时的内存马排查方法。核心思路是确定TLS终止点，将观测点置于TLS之后，通过访问行为、文件变化和JVM运行时三条证据线收集信息，并在SIEM中关联分析。文章通过实验展示了从流量异常如POSTfavicon.ico发现可疑行为，并利用Arthas等工具对JVM进行组件枚举和类分析以确认内存马。关键发现包括伪装注册名的Filter和异常类加载组合。可操作建议是优先确定TLS终止点，再按证据线逐步排查，并注意证据收集的完整性和准确性。

邮储银行最新AI进展显示已落地超370个大模型应用场景，日均调用超600万次，token超百亿。已上线AI算力管理平台，计划年底实现1000个场景。AI覆盖科技支撑、客户营销、经营管理、信贷全流程等领域，智能体应用广泛。银行正制定十五五IT规划，目标构建AI原生数字生态银行。

该文档为中国船级社船舶网络安全指南第六部分，详细阐述了产品网络安全检验与评估流程，包括图纸资料提交要求、安全能力验证方法、测试项目与用例、测试工具及网络连接测试等核心内容。文档提供了具体的测试方法如身份绕过、权限提升测试，并明确了高风险漏洞的缓解措施举证要求，具有较强可操作性。

2026年7月11日发布的数据泄露情报显示，美国移民律师事务所LawOfficesUS、俄罗斯民宿平台azur.ru及医疗EDI清算所Infinedi发生重大数据泄露，涉及1.5TB客户移民档案、员工财务数据及医疗账单信息，包含护照、SSN、银行流水等高度敏感信息。情报指出这些数据可用于店铺注册、人脸识别绕过及B2B获客，但需警惕其非法用途。

该文档预告了2026年7月12日晚8点由朝阳师傅主讲的IoT安全分享活动，主题为IoT安全是靠近真实设备的安全工作，嘉宾郭小白和Op1n师傅将补充学术与就业讨论，活动通过腾讯会议进行，并提供微信群加入方式。

本文介绍了实现人工智能的本地化方案，强调使用本地LLM和MCP服务器进行AI赋能逆向工程。作者推荐Claude、Codex、Qwen等模型，并指出手动逆向流程是基础。文章还推广了付费星球用于记录Agent本地化与MCP利用，并提供了微信邀请减免优惠。

本文系统梳理了机器学习与大型语言模型场景下的隐私攻击与数据泄露领域，涵盖成员推理攻击、模型反转攻击、训练数据提取等核心攻击方法及差分隐私等防御技术，提供了攻击分类体系与评估框架，适用于AI安全研究人员和隐私工程师参考。

文章讨论海淀某校2026初一下期末新定义数学题，涉及t-关联点概念。作者认为题目难度高，考场上性价比低，建议战略放弃。新定义题型考验建系与空间想象能力，提前学习解析几何有助但有限。作者分享与女儿cby共同解题的亲子互动，强调青春期教育需耐心陪伴。

该文档指出2026年网络安全行业两极分化严重，AI虽引发担忧但实战型人才仍稀缺。作者以运维转行网安的个人经历为例，强调网安岗位技术壁垒高、经验越久越吃香、薪资高于运维且工作节奏更健康。文章核心目的是推广一套网络安全学习路线，属于软文广告性质，缺乏深度技术分析。

本文针对HVV期间HTTPS资产无流量解密和RASP的场景，提出将观测点移至TLS终止之后，通过访问行为、文件变化和JVM运行时三条证据线进行关联分析。核心结论是流量异常仅能报出异常，JVM排查才能完成定性。可操作建议包括先确认TLS终止点，再按三条线收集证据，最后在SIEM中关联。