ZONE.CI 全球网

启明星辰通报SonicWallSMA1000设备存在严重SSRF漏洞CVE-2026-15409，CVSS满分。该漏洞无需认证且已遭在野利用，攻击者可借此探测内网并获取敏感信息。受影响版本涵盖12.4.3与12.5.0多个构建号，建议相关用户立即升级至12.4.3-03453或12.5.0-02835及以上热修复版本，并加强网络访问控制以收敛攻击面。

2026世界人工智能大会主席声明强调人工智能全球治理，秉持同球共济精神，坚持以人为本、智能向善、公平普惠、协同共治原则。声明涵盖创新生态、赋能应用、开源开放、数据安全、可持续性、社会影响、安全风险防范及国际合作等十五项要点，并宣布成立世界人工智能合作组织，旨在支持全球南方国家发展，弥合智能鸿沟。

该文档为2026年第十届工业信息安全技能大赛的官方通知，由工信安全中心发布，旨在提升工业信息安全防护能力，促进技术交流与人才培养。通知提供了赛事背景、参赛方式等关键信息，建议相关从业者关注并积极参与。

人工智能技术高速发展带来数据安全、算法歧视等风险，但全球治理面临规则碎片化、治理能力不均衡等困境。中国积极推动开源模型降低使用门槛，并倡导国际合作以形成具有广泛共识的全球治理体系，促进人工智能向善普惠发展。

本周安全威胁情报显示多起重大事件：阿里因ClaudeCode内置隐蔽监视代码而全面封杀该工具；GhostApproval漏洞影响六大AI编程助手，利用符号链接绕过授权；LabubaRAT木马伪装NVIDIA软件窃取数据；ClaudeforChrome扩展漏洞可致Gmail等数据泄露；Ghostcommit攻击将恶意指令藏于PNG图片中。建议企业加强AI工具安全审查与供应链防护。

本文是AVLCode工程范式系列上篇，核心观点是涌现是系统整体产生的可观察可测量属性，并非魔法或神秘现象。LLM与Context、Tool、运行时结合后出现的是功能性行为涌现，而非认知或意识涌现。工程对象应是包含Harness的完整系统，通过系统结构、上下文、权限和反馈实现可控涌现，即提升期望行为概率并限制非期望影响。文章区分了模型规模、AI系统和认知哲学三种涌现，强调工程上应守住证据边界。

安天ATool系统安全内核分析工具发布2026年首次更新版本3.5.1.6及3.5.1.7。主要优化了进程、服务等模块的列表展示逻辑，修复了多项稳定性问题。重点重新设计了注册表操作功能，支持新建、修改和查看多种数据类型，并新增注册表地址导航。该工具是少数兼容Win10及以上系统的ARK工具，可免费获取用于主机安全排查和应急响应。

奇安信在2026世界人工智能大会展示三位一体内生安全纵深防御体系，推出安全运营数字员工与具身智能安全防护方案，并与哈萨克斯坦签署网络安全合作备忘录。其基于安全智能与智能安全双轮驱动战略，构建从AI赋能安全运营到AI自身防护的完整产品矩阵，展现AI安全治理布局。

奇安信于2026年7月16日举办合作伙伴分享会，聚焦AI时代网络安全格局。会议发布日志审计、堡垒机、零信任一体机及网闸等分销产品，强调渠道合作与利润空间。合作伙伴分享实战经验，认可品牌实力与公平机制。奇安信承诺不与渠道抢市场，通过产品升级与资源开放赋能伙伴，共同开拓市场。

2026工赋砺网软件供应链安全与漏洞管理实践专场培训于2026年7月21日在上海杨浦区长阳创谷举办，由上海市经信委指导。培训涵盖ICTS供应链安全、勒索病毒防护、漏洞挖掘、数据安全等六大主题，面向软件供应链相关企业，报名截止至7月21日10:00。

文档介绍了11种通用思维模型在网络安全领域的应用，强调底层逻辑比追逐趋势更重要。包括史特金定律（90%无价值）、帕累托法则（20%控制措施决定80%效果）、边际收益递减、古德哈特定律（指标变目标失效）、切斯特顿栅栏（不轻易移除旧规则）、康威定律（系统镜像组织沟通）、最小努力原则（安全设计顺应人性）、奥卡姆剃刀（简单解释正确）、汉隆剃刀（不归因恶意）、林迪效应（存在越久越有效）、杰文斯悖论（效率提升增加工作量）以及二阶思维（考虑后果的后果）。结论是回归常识，打牢基础。

中国信通院联合三大运营商发布VAA号码保护服务业务标识资源管理平台。该平台基于工业互联网标识解析体系，实现号码保护业务从注册到监测的闭环管理，通过分配唯一数字身份证打通中间号全生命周期数据链。此举旨在推动标识技术与通信安全及AI融合，筑牢个人信息安全防线。

中国信通院与ISO/IECJTC5围绕产品数字护照开展技术交流，探讨国际标准、数据互操作及可信流通等议题。信通院分享了重点行业应用实践，JTC5介绍了跨行业基础框架愿景。后续双方将深化标准协同与技术验证，共建全球DPP生态体系。

文章探讨AI在进攻性安全领域的应用，指出AI能加速漏洞发现但无法替代人类验证。核心观点是AI输出不等于证据，验证仍需依赖对系统、协议和业务逻辑的深入理解。行业已出现大量低质量AI报告，团队应区分线索与已验证发现，并建立严格验证标准。最终结论是AI应作为力量倍增器，而非判断力的替代品。

趋势科技披露俄罗斯黑客利用越狱GeminiAI在6分钟内建成僵尸网络，AI完成89%工作并主动提出59次改进建议。攻击者仅用俄语指令即可让AI完成代码编写、部署和调试，控制一家牙科诊所8台电脑。事件标志AI从辅助工具变为攻击核心执行者，降低攻击门槛，传统拔服务器策略需重新审视。

奇安信集团发布2026年7月补丁库更新通告，推送19个微软安全补丁，修复494个安全漏洞，其中48个严重、446个重要，影响Windows和Office等产品。建议用户及时更新补丁以防范风险。

本周安全热点聚焦于微软7月补丁日，修复了包括3个零日漏洞在内的多个高危漏洞，如SonicWallSMA1000设备的服务器端请求伪造与代码注入漏洞、MicrosoftSharePointServer权限提升及远程代码执行漏洞等。此外，还报道了伊朗利用电信漏洞监视美军位置、德国纺织企业因网络攻击破产等安全事件，并提及交通运输部印发《交通运输数据安全管理办法》等政策法规。

德国纺织公司ZEGO因2026年3月29日网络攻击导致生产中断近六周，最终申请破产。该案例凸显对工业企业而言，系统可用性比数据恢复更关键，生产中断的财务损失远超赎金。组织需测试恢复计划，确保业务连续性，并将网络风险纳入资产负债表管理。

本周威胁情报聚焦于多个APT组织的最新攻击活动。APT-C-60针对日本组织，使用鱼叉式钓鱼邮件和多阶段载荷进行攻击；Turla入侵套件被归因于俄罗斯联邦安全局，长期针对多国政府及关键基础设施；APT36则利用印度政府招聘诱饵，通过GoogleSheets作为C2通道控制受害者。此外，情报还披露了MiasmaWorm蠕虫回归npm、攻击者利用AI部署C&C僵尸网络以及大规模GitHub品牌仿冒等事件，并分析了SharpViewStateKing植入框架等恶意代码的工作机制。

该文档报道了习近平主席在二零二六年世界人工智能大会上的主旨讲话，核心主题为携手构建公正合理的全球人工智能治理体系。因正文核心金句以图片形式呈现，可见文字仅概述会议背景与讲话标题，未提供具体治理措施或技术细节。此文由安全企业公众号转发，属宏观政策新闻，缺乏直接的技术可操作性建议。

2026WAIC大会上亚信安全指出RISC-V正迎来Linux时刻，但开放架构带来安全验证复杂度指数级上升、AI负载引入新攻击面及上层安全产品脱节三大挑战。亚信安全提出算力可开放但身份须可信的核心理念，发布智能体身份安全系统与ATF信任框架，并联合运营商发起智能体原生安全产业共同体。建议通过标准协同、能力开放与应用协同构建端到端可信生态。

习近平主席在2026世界人工智能大会开幕式上发表主旨讲话，强调人工智能发展与全球治理的重要性，提出加强国际合作、完善治理规则、促进技术创新与安全可控等主张，呼吁各国共同应对挑战，推动人工智能造福人类。

AI虽能高效生成报告替代初级信息搬运，但无法取代咨询核心价值：戳破伪命题的勇气、读懂组织政治及为结果背书。数据表明转型失败八成源于人的抗拒，咨询逻辑正从卖PPT转向卖落地结果。对管理者的启示是，依赖信息差建立权威的时代终结，企业亟需敢问真问题的质疑官和操盘利益分配的变革者。建议管理者摒弃工具崇拜，聚焦组织落地能力建设。

本文报道2026世界人工智能大会开幕，习近平主席发表主旨讲话，强调需把握人工智能发展机遇与挑战，携手构建公正合理的全球人工智能治理体系。由于原文核心论述均以图片形式呈现，缺失具体政策细节与技术分析，无法提供可操作的落地建议，整体仅具备宏观层面的信息传递与宣发价值。

工作流自动化平台n8n企业版存在令牌交换漏洞CVE-2026-59208，当信任多个外部颁发者时，系统仅根据JWT的sub声明匹配用户而忽略iss声明，导致攻击者可利用颁发者A的令牌冒充颁发者B的用户登录。该漏洞仅影响开启此预览功能的OEM部署场景，CVSSv4评分7.6。建议用户升级至2.27.4或2.28.1以上版本，或缩减受信任颁发者至一个及关闭该功能，且需注意官方更新日志未明确提及此修复。