ZONE.CI 全球网

GitHub将公开漏洞赏金计划奖励削减50%以上，同时将更高奖励集中于仅限邀请的VIP计划，同一严重漏洞在公开计划仅获1万美元，VIP计划可达3万美元以上。调整核心原因是AI工具降低了报告生成门槛但未降低厂商分诊成本，导致低质量报告激增。文章指出漏洞赏金体系正从发现数量转向验证质量，真正稀缺的是经过可靠复现、可工作利用证明和产品特定攻击链分析的高质量漏洞。curl案例表明取消现金奖励后报告质量反而提升，说明关键不在工具而在研究员对结果的验证责任。建议研究员先验证再提交、提供稳定概念验证并描述产品影响。

朝鲜APT组织Lazarus将121.5枚比特币(774万美元)转入新钱包,启动标准化洗钱流程。该团伙累计盗取超60亿美元加密资产,通过分拆小额转账、跨链DEX兑换、混币服务三步洗白资金。Web3行业面临假招聘钓鱼、NPM投毒、漏洞爆破、外包渗透四大威胁。建议交易所完善AML风控,开发者隔离运行环境,投资者远离匿名渠道。中招后应立即冻结账户、上报监管并排查终端。

ENCFORGE勒索软件利用Langflow的CVE-2025-3248未授权代码注入漏洞入侵AI基础设施，通过暴露的Docker套接字横向移动，专门加密PyTorch、TensorFlow等约180种AI模型文件，使用AES-256和RSA-2048混合加密，无数据窃取功能。攻击者JADEPUFFER为AI智能体，自主编写脚本部署勒索软件。建议立即修复Langflow漏洞并保护Docker套接字。

LoadRunnerV26.3版本主要增强了AI驱动的性能工程能力，包括Aviator脚本和分析的AI辅助、MCP支持以简化工作流、新增Blazor-Web协议及DevWeb改进。同时优化了运行时设置界面、资源监控和安全性。建议用户升级以利用AI功能提升测试效率。

本文披露了一种利用macOS终端DNS请求进行隐秘数据外泄的攻击链。攻击者将恶意提示注入CSV表格，AI命令行工具处理时中招，输出包含ANSI转义码的文本，终端渲染时触发DNS请求将敏感数据外带。Apple已在macOSTahoe26.1中修复此问题，但作者强调根本风险在于开发者未将AI输出视为不可信数据。建议CLI开发者默认对模型输出进行转义处理，过滤不可打印字符，防止终端渲染能力被滥用。

这是一次授权渗透测试实战分享，目标为一站式服务系统。测试者通过申报查询功能，发现通过修改fid参数可越权查看其他用户提交的详细信息，属于典型越权漏洞。文章强调测试已获授权，并提醒勿用于非法用途。建议修复参数校验和权限控制。

本文详细分析了一起通过企业微信日程邀请发起的钓鱼攻击案例。攻击者利用内部日程的信任机制，以’高温补贴’为诱饵，诱导用户点击链接进入仿冒页面。页面通过多维设备检测绕过安全环境，并严格校验身份证格式以获取真实信息。在采集银行卡号、余额及手机号后，后台操作员可实时操控，针对不同受害者定制后续的验证码或密码窃取流程。文章强调此类攻击可快速换皮，核心检测指纹在于脚本哈希和接口行为，并建议用户对要求’当天办理’且’离开微信打开链接’的消息保持警惕。

本文由北京理工大学法学院教授洪延青撰写，核心观点是人工智能综合立法不应仅聚焦风险防范，更应承担创新组织法功能。文章提出立法需通过制度安排保障数据、算力等创新要素的合法稳定进入，为研发提供稳定的试验空间，并建立连接研发与应用的转化通道。同时强调需关注创新基础设施的公平接入，以促进技术普惠扩散，使全体人民共享发展成果。

文章评论手机APP广告乱跳转现象，指出其如数字牛皮癣般困扰用户。尽管有法规禁止，但违规收益高导致企业屡罚不改。建议监管升级，加大处罚力度并与违规获利挂钩，利用技术手段常态化巡检。APP平台应强化合规经营，应用商店需严审源头。用户遭遇恶意广告应通过正规渠道投诉举报，共同维护清朗网络环境。

croc是一款用Go编写的P2P文件传输工具，通过relay-assistedP2P和PAKE加密实现端到端安全传输，支持断点续传。它简化了临时跨网络文件传输，无需预先配置SSH环境。但固定服务器场景下，scp或rsync更合适。建议临时传输使用croc，固定场景继续使用scp。

2026年8月新出现的Sorry勒索病毒专门针对Linux服务器，利用cPanel授权漏洞CVE-2026-41940入侵，使用Go语言编写并伪装为sshd进程，加密文件后添加.sorry后缀，并通过SSH弱口令横向扩散。建议立即修复cPanel漏洞、禁用SSH密码登录并部署文件监控规则。

本文介绍了使用Magisk和Shamiko模块绕过APProot检测的方法，包括配置步骤和注意事项。文章后半部分为培训课程广告，推广SRC漏洞挖掘培训，强调实战教学和学员成果。

AdobeAcrobatChrome扩展存在UXSS漏洞(CVE-2026-48294,CVSS7.4),允许攻击者无需用户交互即可窃取WhatsAppWeb聊天记录、联系人等数据。攻击链利用扩展后台服务不验证发件人身份、隐藏功能标志、预测标签页ID及DOM操作注入隐藏表单,绕过同源策略。Adobe已在26.5.2.3版本中修复,建议用户立即更新。

CIRCL开源的AILFramework是处理暗网及多源非结构化数据的威胁情报分析平台，支持持续爬取Tor/I2P/Telegram等数据，自动解码提取信息，结合YARA规则与关联引擎实现深度溯源，无缝对接MISP，虽部署复杂且资源消耗大，但适合专业团队提升效率。

DSH是DeepSeekHarness的命令行工具，用于启动各种profile应用。安装需Node.js，通过npm全局安装。常用命令包括dshweb启动网页版和dsh--profileheadless跑一次性任务。支持插件扩展和API密钥配置。新手常见问题有端口占用和密钥缺失。

ManageEngineADAuditPlus存在CVE-2026-6516严重漏洞，CVSS满分10。AgentAPI的身份验证绕过与路径遍历缺陷被链式利用可导致未授权远程代码执行。因该软件监控活动目录且代理部署在域控制器上，被攻陷将严重威胁核心环境。目前无在野利用。建议立即将主程序升级至Build8606，同步更新低版本Windows代理及所有Mac代理，阻断攻击链路。

谷歌推出CodeMender人工智能代理，用于自动化漏洞检测与修复。与传统静态分析不同，该工具在客户管理的隔离沙箱中生成并执行概念验证漏洞利用程序以验证可利用性，随后生成经过测试的补丁供开发人员审核。此流程能有效减少误报与警报疲劳，帮助团队优先处理真实威胁。该代理结合DeepMind成果与存储库级上下文，可识别内存损坏和代码注入等复杂漏洞。此外，其与Wiz安全平台深度集成，利用部署上下文增强检测并协同红绿代理实现渗透测试与修复闭环。建议企业安全团队关注此类自动化验证修复工具以提升供应链安全效能。

本文系统梳理勒索软件全链路攻防技术，涵盖产业链、基于ATT&CK的攻击链拆解及多重勒索演进。深度剖析主流家族特征与云域环境攻击路径，并从威胁检测、应急响应、备份恢复至解密技术提供实战指南，结合D3FEND框架构建纵深防御体系，是企业应对勒索威胁的高价值参考。

本文详细介绍了基于CursorAgent实现的Web未授权访问自动化扫描Skill方案。该方案结合ChromeDevToolsMCP进行浏览器上下文API采集与探测，配合Python脚本实现正则提取、字典补全、参数矩阵构建及批量fetch(credentials:omit)无凭证请求测试，有效解决了SPA应用中JS未暴露接口漏测、带参接口误判及跨域CORS失败等痛点，最终输出标准化Markdown报告，并在多个站点实践中验证了其有效性。

本文介绍使用Scikit-LLM与GroqAPI构建IMDB情感分类Pipeline的方案。该方案省去传统ML特征提取，可在scikit-learn框架内直接调用Llama模型做零样本推理，500条样本测试准确率达0.95。建议开发者以此经典语法快速接入LLM处理分类任务，并控制请求量规避配额限制。

本文指出AI安全正从模型层转向Agent系统层实战，风险由输出扩展至工具调用链路。防护不能仅靠提示词，需建立输入分级、工具分权与审计回滚机制。文章提出四层评估法，建议团队盘点输入源、为工具设权限边界、将关键动作纳入审计并在架构阶段前置安全设计，以构建全栈AI安全体系。

Oktos是一款AI驱动的红队后渗透平台，采用模块化设计，支持BOF动态加载、多信道异步通信与内存免杀，内置AI助手辅助任务编排。作者声明其为半成品玩具，不建议用于真实目标。用户可通过关注公众号回复关键字获取下载链接，但需谨慎使用。

JoomlaSPPageBuilder在2026年被曝出多个严重安全漏洞，允许未授权用户上传恶意文件并执行代码。攻击者通过POST请求上传文件并尝试执行PHP代码。作者通过Nginx和Cloudflare规则拦截了攻击，并清理了数据库中的恶意配置。建议使用Cloudflare规则拦截相关POST请求，并定期清理恶意文件。

本文公布2026年8月中央国家机关台式与便携式计算机批量集中采购中标信息。台式机预算约2248万元，由浪潮、联想开天、华为、中国长城等六家国产厂商中标；便携式机预算约730万元，由国光信息、紫光及华为等四家分获。采购全面采用国产设备，反映了信创政策的持续深化落地，对了解国产终端供应链安全及政企采购趋势具有基础参考价值。

该文档介绍了一款基于目标单位名称和备案域名IP进行资产信息收集的工具，声称资产准确率达99.9%。工具适用于护网比赛前的资产收集，需配置fofa_key和aiqicha_cookie，并强调速度控制以防接口被封。文档提供了工具获取方式，但未提供技术细节或验证数据，属于工具推广内容。