ZONE.CI 全球网

新型macOS信息窃取恶意软件CrashStealer采用原生C++编写，通过经过苹果公证的加载程序绕过Gatekeeper安全校验，窃取浏览器凭证、约80款加密货币钱包插件、14款密码管理器数据及用户文件，使用AES-GCM加密外传，并具备持久驻留和反逆向分析能力。攻击者利用域名werkbit.io分发，需输入会议PIN码验证才能下载，属于跨平台攻击行动的一部分。

谷歌与微软下架了拥有160万安装量的modheader插件，因其暗藏休眠数据采集程序。该程序通过加密密钥和定时任务收集浏览域名，但白名单为空未实际激活，仅需一次更新即可启用。插件还向其他域名发送安装卸载信息。此事件暴露了官方商店审核机制难以检测休眠恶意代码的漏洞，提醒用户警惕插件易手后的隐藏功能。

文章基于约120个样本统计杭州网络安全岗位薪资分布。杭州作为科技新贵城市，网安岗位分布均衡，上城区、萧山区、西湖区、滨江区机会较多。薪资中位数13-15k，众数9-12k，最低8k，最高20-30k+。岗位要求本科起步，经验0-3年，证书需求增多（CISP为主）。杭州对应届生友好，薪资上升趋势健康，属于准第一梯队城市。

本文系统梳理了企业AI系统面临的五大核心攻击面：Prompt注入、训练数据投毒、敏感数据泄露、模型窃取及供应链风险，并提出了基于纵深防御逻辑的防护体系，包括部署AI安全网关、强化数据全链路治理、模型加固、接口管控及运营管理兜底。核心结论是AI安全并非全新体系，而是传统安全在AI场景的延伸，企业需针对性补全能力以平衡业务效率与风险控制。

安全研究公司Cereblab发现xAI的GrokBuildCLI工具在默认情况下将用户完整Git仓库静默上传至GoogleCloud存储桶，包含.env密钥和完整提交历史。测试显示12GB仓库中仅需192KB数据，却上传了5.1GB。隐私设置形同虚设，xAI未发布安全公告或通知用户。建议开发者立即轮换密钥并审计Git历史。

文章报道了SuperGemma26B无审查AI模型的发布，该模型基于谷歌Gemma426B，通过消融技术移除了所有安全护栏，可本地运行且不拒绝任何问题。文章分析了其MoE架构、技术原理、安全隐患及社区两极分化的反应，指出零护栏模型降低了恶意内容生成门槛，对AI安全策略提出挑战。

本文介绍开源设计工具Penpot作为Figma的免费替代方案。它由KDE社区开发，支持自托管、MCP服务器集成和免费DevMode，可自动生成CSS/SVG/HTML代码。基于Clojure和PostgreSQL，支持实时协作与设计令牌。适合预算有限或注重数据主权的团队，提供Docker一键部署。

浦发银行昆明分行发布公司客户权益AI加项目供应商征集公告，采购内容包括AI彩云智能体、AI移企查及AICC相关产品，征集时间为2026年7月10日至15日。要求供应商具备独立法人资格、良好财务状况及无违法记录，需通过该行采购门户提交报名。符合条件的企业可及时关注并按要求注册提交材料参与竞标。

河北省农村信用社联合社智能信贷风控建设项目（人工智能大模型基础平台）公布中标候选人，云南南天电子信息产业股份有限公司以1327.35万元位列第一。项目吸引了包括神州数码、紫光软件在内的多家公司参与竞标。该公告为行业信息分享，具体详情需查阅官方渠道。

Ghostcommit新型供应链攻击将窃取指令隐匿于PNG图片，配合AGENTS.md诱导AI代码智能体读取.env文件并编码为数字元组输出，绕过文本审查与密钥扫描。实测表明攻击成败取决于工具框架而非底层模型。建议引入多模态审查机制同步校验图片与文档，团队已开源基于Gemma4的轻量检测原型，实现高拦截率与零误报。

本文为北京昊网发布的网络安全招聘与培训广告。主要提供两个北京地区岗位，一是具备金融行业红队技能的高级护网人员，二是要求持有CISP等认证且熟悉主流安全产品的长期驻场安服工程师。文末附带该机构的安全培训推销信息，承诺签订就业保障协议并给出十万至四十万薪资范围，属于典型的商业引流与招生软文。

苹果推送iOS27首个公测版，面向所有用户免费开放，覆盖iPhoneSE第二代及后续机型。性能优化显著，App启动速度提升30%，照片加载速度提升70%，AirDrop传输速度提升80%。但国行用户无法体验新一代AppleIntelligence与SiriAI功能，需等待监管审批。公测版存在应用闪退、发热、续航下降等稳定性问题，不建议主力机升级，升级前务必备份数据。

本文系统介绍了交换机三种端口类型Access、Trunk和Hybrid的工作原理与适用场景。Access端口用于连接普通终端，自动处理VLAN标签；Trunk端口用于交换机间互联，支持多VLAN传输；Hybrid端口则提供灵活标签控制。文章强调正确配置端口类型对网络规划与故障排除的重要性，并指出企业网络中最常用的是Access和Trunk。

该文档推广时钟安全全栈攻防课程，规划380+节课，已更新133节约107小时，覆盖计算机入门、编程、内核安全、二进制安全、Web安全、红蓝队等十大模块，第二期招生优惠价1999元，适合零基础至进阶学习者。

西安市2026年高中阶段招生政策明确招生单元未合并，城六区与五区二县、西咸新区仍为独立单元。部分区外高中可面向城六区招生，但需统筹管理并纳入统一平台录取。指标到校以招生单元为范围，综合高中班试点扩大但不得转入普通高中。政策强调规范招生程序，禁止提前签约和违规收费，考生需通过官方平台录取。

本文介绍了一款开源的Android两步验证(2FA/TOTP)认证器应用’口令盒子’。该工具针对现有OTP管理工具存在广告多、同步需收费或缺乏同步功能的问题而开发。它采用SQLCipher加密数据库和AndroidKeystore保护密钥，支持指纹/PIN应用锁，并可选通过GitHubGist进行端到端加密同步。功能包括扫码添加、图片导入、手动录入及多种格式导入。项目已在GitHub开源，开发者使用AI工具在60分钟内完成初版。

中国信息安全测评中心联合工信部电子五所于2026年7月成功举办首期CISP-AISS人工智能安全认证培训。该体系紧扣国家AI加战略，构建涵盖政策、风险、技术等138个知识域的完备框架，结合实训平台实现理论与实战融合，旨在补齐AI安全人才缺口，为产业发展提供坚实支撑。

苹果于2026年7月10日向联邦法院起诉OpenAI，指控其通过400多名前员工系统性窃取商业机密，涉及硬件设计、制造流程及供应商关系。被告包括OpenAI及其硬件子公司、首席硬件官陈跃腾与前工程师刘畅。陈跃腾被指利用内部信息套取情报并分发离职安全流程文件；刘畅利用身份验证漏洞下载机密文件并指导同事规避审查。此案凸显了内部威胁与供应链安全风险，建议企业加强离职审计、身份权限管理和终端监控。

美国国防部通过ProjectYellowfin合同向商业数据公司Anomaly6支付近600万美元，利用手机广告定位数据调查哈瓦那综合征。项目并非医学研究，而是围绕行为者识别展开的位置情报服务，旨在通过地理围栏和设备轨迹分析识别潜在加害者。这暴露了商业数据在情报采购中的法律灰色地带，以及政府无需搜查令即可购买个人位置数据的监控能力。

t.me全球解析失效并非技术故障，而是.me注册局主动设置serverHold状态导致的注册局级暂停，切断了外部链接生态。原因未明，但暴露了国家代码顶级域的单一控制点风险及钓鱼攻击窗口。建议机构勿将第三方短链作唯一入口，应通过自有域名建立跳转层以规避委派风险。

Turla黑客组织利用MicrosoftSharePoint漏洞入侵法国司法部门服务器，获取数千用户账户信息。该组织与俄罗斯联邦安全局关联，长期针对政府、国防、科技等目标进行间谍活动，使用自定义恶意软件如Kazuar及公开工具。调查建议组织及时更新安全补丁、审查账户活动并限制管理员访问，以防范类似攻击。

本文介绍利用ClaudeAI结合Skills工具实现自动化漏洞挖掘的方法。内容涵盖环境配置、安全审计技能安装，并以补天平台为例演示了自动化渗透流程，成功发现认证泄露漏洞。文章还提供了MCP接入Burp、多Agent协作等进阶方向，但后半部分主要为付费帮会及CTF课程推广。

该报告系统梳理了算力服务器电源行业，指出AI算力需求驱动电源向高功率、液冷、第三代半导体方向升级，国内市场规模2026-2030年CAGR达42.39%，国产厂商加速突破，政策强力支持。建议关注国产替代和液冷技术趋势。

近日，懒虫零信噪威胁情报中心监测到一勒索组织在暗网发布针对某自动驾驶科技公司的勒索公告，声称窃取379GB数据但未提供证据。事件处于早期，真假难辨。建议涉事企业启动应急响应排查内网，行业加强核心数据访问控制。我们将持续跟踪。

本文汇总了近期多个安全事件，包括Turla利用SharePoint漏洞入侵法国外交系统、MCP服务器被大规模扫描、NSA警告俄罗斯黑客利用Cisco老旧协议、电动车电池蓝牙攻击致瘫、AI工具5秒发现Linux内核15年漏洞但误判记者、GPT-5.6随机清空用户数据、银狐木马新变种仿冒软件传播、券商员工泄露客户信息、AI生成攻击脚本降低攻击门槛等。强调IoT安全、AI安全、供应链安全等风险，建议加强安全配置和人工验证。