ZONE.CI 全球网

本期信息安全漏洞周报收录了国家信息安全漏洞共享平台(CNVD)及国家信息安全漏洞库(CNNVD)发布的最新安全漏洞信息。报告建议相关用户和组织及时关注官方发布的补丁和修复方案，采取相应安全措施以确保信息系统安全稳定。

文章提供6个步骤深度清理电脑C盘垃圾，强调避免使用第三方清理工具，通过系统自带功能或手动操作释放空间，包括磁盘清理、临时文件删除、大文件查找等，可有效缓解C盘爆红问题。

本文分析了AI浏览器扩展(如ClaudeforChrome)的安全风险,指出其权限链可能被恶意扩展利用,导致数据泄露或业务干扰。核心问题在于用户交互验证不足,需区分真实用户与模拟交互。建议个人用户清理扩展、收紧AI连接范围、保留人工确认;企业应将AI扩展纳入SaaS治理,定义权限清单和审计流程。安全设计需同时验证动作发起者、代理权限和任务确认机制。

面对AI工业化量产攻击带来的万倍级攻防成本劣势，政企安全需从漏洞合规转向代价制衡范式。核心是通过无特征行为建模识别伪装攻击，依托全链路留痕取证抬高攻击成本。建议企业优化预算结构，将三至五成资金投入行为感知与溯源能力建设，采用轻量化无侵入架构快速落地实战防御，构建从自主防御到监管闭环的威慑体系。

Cisco披露UAT-11795团伙利用仿冒Zoom等安装包投放恶意程序窃取凭据。文章指出风险源于用户压力下脱离官方渠道下载，而非厂商被攻破。建议企业建立官方软件目录与统一分发机制，将下载转为受管流程，鼓励误装后及时上报，通过优化流程替代单纯意识说教以守住终端安全底线。

unit42发现了一个名为TuxBotv3Evolution的新型物联网僵尸网络框架，其开发过程借助了大型语言模型（LLM）。该框架由C语言编写的机器人代理和Go语言编写的命令与控制（C2）服务器组成，支持多种架构，并通过暴力破解等方式感染设备以实施DDoS攻击。分析显示，由于LLM辅助开发引入的错误，该版本部分功能存在缺陷，但开发者可能已发布修复后的完整版本，这使其潜在威胁不容忽视。

本文详细分析了SSRF漏洞在云环境中的利用与防御，核心攻击链包括发现SSRF、访问元数据服务窃取临时凭证、横向移动与权限提升。防御措施包括升级IMDSv2、最小权限原则、请求过滤和监控告警。

曹县警方跨六省市破获特大侵犯公民个人信息案，抓获三十余人涉案超四千万元。该案揭露充场工作室、通信公司内鬼与猫池团伙勾结的黑灰产链条，不法分子以兼职为名骗取身份信息实名认证电话卡，批量注册网络账号贩卖给诈骗团伙。建议企业强化内部数据管控，公众应警惕兼职陷阱保护个人信息。

该文档介绍了一个名为rpt-skill的ClaudeCode工具，用于实战漏洞挖掘和护网红队授权测试。它提供双模工作流，集成22类攻击playbook、305个payload、WAF绕过方法等知识库，并支持MCP工具集成以调用浏览器自动化、Frida等能力。文档强调工具仅用于授权测试，并提供网盘下载链接。

2026年Q1全国AI辅助诈骗案件同比暴增3倍，涉案超50亿元，其中AI换脸拟声诈骗立案超1200起。东南亚电诈园区引入AI精聊系统、换脸定制（450美元）及专属大模型（18万美元），效率提升5-10倍。全球AI伪造内容两年翻16倍，需警惕技术滥用。

近期爆出重大数据泄露情报，某平台关联了7.6亿领英、5.6亿脸书及2.3亿推特等社交媒体数据，涵盖邮箱、手机号、薪水等高敏感字段，被指可用于外贸EDM营销。同时，美国数字安全服务商Aura遭ShinyHunters攻陷，泄露90万条含客服聊天记录在内的12GB用户数据。此类大规模泄露事件暴露出严重的数据安全风险，建议相关企业和用户立即排查潜在影响并加强隐私保护。

该文档笔记记录了密码重置功能中的HostHeaderPoisoning攻击方法，通过修改重置请求的Host头为攻击者控制的服务器，若重置链接基于该头构建，用户点击后攻击者可截获重置令牌，属于Web安全漏洞分析。

该研究揭示GPU的RFMRowhammer防御机制存在计时泄漏风险。攻击者利用RFM刷新和阻塞导致的访存延迟变化，可在共享GPU或SoC上构建隐蔽信道、侧信道及拒绝服务攻击。实验在NVIDIAGPU和Jetson平台上验证了高带宽通信、应用指纹识别和性能拖慢等攻击效果，表明安全机制本身可能成为新的攻击面。

烟台银行发布大模型算力服务器采购项目招标公告，项目编号JH2026-0609号。潜在投标人需在2026年7月30日前于山东隽泓项目管理有限公司获取招标文件，并于8月13日14时30分前递交投标文件。投标人须为中国境内注册的独立法人，具备相关资质且不接受联合体投标。

本文分享了一份关于面向Skills的上下文工程与CodeBuddySpec-Coding结合实战的PPT，内容涉及AI智能体开发与安全。文章主体为图片形式，并附带了包含大量人工智能治理、大模型安全评估、智能体威胁防御及相关合规标准的文件下载链接，适合AI与安全领域的从业者参考学习。

本文汇总了2026年7月20日至24日期间多项网络安全赛事通知，包括西湖论剑、天网杯、ISG竞赛等，以及强网杯平台租用、网络攻防靶场租赁等招标中标公告，为安全从业者提供活动与采购信息参考。

本文介绍了GB/T47863-2026标准，该标准为生成式人工智能技术应用的社会影响提供合规管理指南，并附有大量相关文件下载链接，旨在帮助服务提供者遵循法规。

第九届西湖论剑数据要素与数据安全创新实践征集活动因申报单位内部审批耗时，组委会决定将截止日期由7月24日延至8月21日。现已有政务、金融等50余家单位参与。其他要求与流程不变，入选案例将在9月大会发布。建议有意愿的单位抓紧通过官网提交真实且具创新的材料，遇疑问可联系组委会咨询。

海康威视发布2026半年度报告，营收达468.23亿元，同比增长11.97%，归母净利润78.96亿元，同比增长39.57%。业绩增长源于坚持技术创新、深化人工智能融合及优化供应链管理，主业产品收入占比超70%。本文仅为财务数据简述，无实质安全技术内容，对安全从业者参考价值有限。

本文解读习近平在二零二六世界人工智能大会的主旨讲话，提出构建全球AI治理体系四点意见：开放共赢驱动创新、强化风险确保安全可控、包容并蓄促进文明互鉴、和衷共济完善全球治理。文章指出我国正加快AI综合立法，推动成立世界人工智能合作组织并援助全球南方，以中国方案促进技术普惠与安全发展。

该文档复现了Linux内核XFSReflink本地权限提升漏洞CVE-2026-64600。漏洞源于xfs文件系统数据fork映射在ILOCK周期后未重新采样，影响4.11至7.2-rc4之间的多个内核版本。攻击者需具备本地普通用户权限，且系统使用reflink=1的XFS文件系统。建议立即升级内核或采取临时缓解措施，如限制本地访问和禁用reflink功能。

本文分析模型蒸馏争议进入第二阶段，焦点从技术定性转向学习权与控制权分配。核心分歧在于谁有权授权蒸馏，美国正通过H.R.8283法案将私人服务条款公法化，使违反条款可能触发制裁。开放权重公开信反对控制边界无限扩张，主张区分合法蒸馏与不法挪用。争议深层标的是AI生态中的教师地位，即模型成为下游开发默认起点的能力。

韩国BNK金融集团宣布下半年组织调整以强化区域产业支持与数字化应对。控股公司新设区域经济研究及ESG战略团队深耕地方发展；重点增设AX推进团队统筹全集团人工智能转型与业务创新，并组建数字资产推进团队应对市场与制度变化。旗下银行亦同步设立产业金融等专项团队。此次调整凸显传统金融在AI与数字资产领域的战略布局。

东北大学谛听团队发布2025工业控制网络安全态势白皮书，梳理了当年出台的网络安全政策法规，分析了勒索软件、供应链攻击等典型安全事件。报告指出工控漏洞数量较2024年显著增长，高危漏洞占比上升至约70%。通过联网OT设备暴露分析和蜜罐观测数据揭示全球OT通信机制风险，并展望工业互联网安全向AI原生与自适应防御发展的趋势。

该文档介绍了国家标准GB/T41400-2026《网络安全技术工业控制系统网络安全防护能力成熟度模型》的发布信息，该标准由全国网安标委制定，旨在为工业控制系统网络安全防护能力提供成熟度评估模型，适用于相关组织的安全建设与评估。