ZONE.CI 全球网

中国证券业协会与中国证券投资基金业协会于2026年8月28日联合发布《证券公司交易信息系统接入管理规范（试行）》，自发布之日起施行。规范共五章33条，明确证券公司实施交易信息系统接入的资质条件、客户范围，要求满足组织管理、合规风控与信息技术要求，并对接入的私募基金管理人及其产品、交易信息系统提出具体要求，强调系统运行安全稳健及灾难应对能力符合监管规定。

澳大利亚警方在珀斯逮捕两名涉嫌参与黑客组织TeamPCP的成员，该组织被指针对OpenAI等科技巨头及开源项目发动供应链攻击，窃取超过50万组凭证并勒索赎金。调查始于2026年4月，警方查获大量被盗数据。此事件凸显软件供应链安全风险，建议企业加强开源依赖审查与凭证管理。

本文分析以伪造学术简历为诱饵的无文件攻击链，投递vshellRAT，针对大陆学术圈。攻击全程无文件落地，使用商品化工具，无持久化与泄密实锤。建议从邮件网关、终端EDR与网络IOC三处防御，并加强人员培训。

本周网络安全呈现漏洞高危化、事件规模化、制度精细化三重特征。Keycloak、Nacos、Next.js及RedisTLS等高危漏洞集中披露，攻击链指向身份认证绕过与远程代码执行。ShinyHunters与Akira等组织活跃，Carhartt约1290万账户、曼彻斯特机场集团约870万客户数据遭泄露。政策方面，国防动员法新增数据安全规定，国家数据局推动公共数据授权运营，工信部明确增强重点领域安全水平。建议及时升级修复漏洞、收敛暴露面、强化数据平台防护。

HuggingFace旗下PollenRobotics推出399美元双足机器鸭Microduck，预装7种强化学习策略，软件栈Apache2.0全开源但硬件图纸闭源，定位为低成本强化学习与sim-to-real实物平台；与ReachyMini形成行动与交互互补的具身智能布局，叠加Nvidia约129亿美元收购传闻，这只鸭子或成Nvidia生态最便宜的用户获取工具。

湖南金盾获得公安部第三研究所颁发的数据安全风险评估证书，该资质符合2026年8月20日施行的《网络数据安全风险评估办法》。公司具备等保测评、商用密码评估等全方位资质，可提供合规检测、数据安全、安全运营三大核心服务，助力政企客户实现数据合规与数字化经营。

该文档预告了第二届大学生人工智能安全竞赛颁奖典礼将于2026年8月30日在上海举行，由天融信等机构承办。活动旨在展示青年在AI安全领域的创新与实践，强调以青春力量筑牢AI安全防线。文档主要作为活动宣传，未提供具体技术细节或可操作建议。

AI大模型企业等保难点在于将等保2.0要求正确映射到AI系统架构，流程与传统系统一致但各环节判断依据不同。多数对外服务AI平台定级为三级，备案需关注属地口径，建设整改聚焦模型训练、数据处理、API服务、云上部署四场景，测评后需持续合规，周期约3个月，建议借助懂AI架构的服务方一站式陪跑。

本文详述模块伪装与调用栈欺骗两种免杀技术。模块伪装将shellcode写入合法DLL的.text段，使内存属性为mem\\_image，绕过EDR内存扫描。调用栈欺骗伪造调用栈回溯，规避检测。组合使用可有效规避内存扫描与调用栈回溯。建议选择冷门DLL、手动映射避免LDR登记，并注意完整性校验。

本文介绍程国根老师开发的高联一试自动出卷Skill（R5.2版），系统能自动完成候选题生成、解答、筛选、校验和PDF排版。当前存在难度控制不准、参考解答跳步、原创性检查不足等问题，作者计划建立测试群收集反馈并最终开源。

2026年半年报显示18家网安上市公司均谈及AI，但仅天融信、安恒、绿盟、永信至诚、启明星辰5家披露可量化收入或订单，且口径不一、不可直接加总；AI收入分为保护大模型的SecurityforAI与赋能产品的AIforSecurity两类，二季度18家公司收入合计仍下降8%，AI尚未成为行业第二增长曲线，建议后续单独跟踪AI收入的定义、确认进度与收入质量。

泄露文件揭示鲍曼大学第四部门为俄军GRU系统化培养网络战人才，覆盖密码学、恶意软件编写、信息战等课程，约250名学生分三专业方向，毕业生直接输送至APT28与Sandworm等GRU网络战单位。文件经元数据与内容交叉验证真实性，暴露俄军事网络人才流水线全貌。

该文分享发表于IEEETVT的科研成果：提出APS-POMDP与APS-MA-A3C算法，解耦状态预测与策略优化，先无扰动训练基础策略，再以PGD对抗训练GRU预测网络重构真实状态，规避端到端对抗训练的信用分配错乱与过拟合，增强多AUV目标跟踪对观测扰动的鲁棒性；基于真实海流地形的仿真表明其在对抗扰动、噪声及观测缺失下均优于现有算法，局限是未考虑动作层扰动且缺实测验证。

OpenAI宣布终止与Cursor的合作，原因是Cursor被SpaceX收购后，OpenAI基于马斯克旗下公司违反合同的历史，无法信任其合规使用模型。此举也与OpenAI即将推出的Astra模型有关，该模型在网络安全方面达到关键级能力，促使OpenAI收紧分发渠道。事件凸显模型访问权正成为商业竞争武器，开发者需注意工具与模型解耦以降低风险。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

Nacos3.0.0至3.2.3版本存在严重鉴权作用域错配漏洞，因@Secured注解默认值导致用户/角色/权限管理接口落入未鉴权作用域。未认证攻击者可通过8848端口创建用户、绑定角色并授予全量权限，实现服务端完全接管。官方已在3.2.4版本修复，建议立即升级或开启鉴权开关并限制网络访问。

谷歌发布史上最严安卓应用瘦身令，强制要求应用内存占用封顶、代码压缩混淆覆盖率至少25%，并引入内存限制器。此举源于AI数据中心对内存芯片产能的虹吸效应，导致手机硬件成本高企，只能以软补硬。新规将于2027年生效，违规应用将遭降权或限制更新，利好用户但提高开发者门槛。

文章详解了攻击者最常用的5种入侵路径:Web打点配合Webshell进入内网、钓鱼邮件控制终端横向移动、供应链攻击通过第三方沦陷间接突破、弱口令或密码复用直接登录、利用未打补丁的公开漏洞。每类路径均配有真实案例,强调攻击者多利用简单手段如默认密码和未打补丁漏洞。核心防御建议包括加强Web安全测试、安全培训、供应商审查、密码管理和漏洞修补流程。

银狐团伙仿冒DeepSeek等AI品牌构建钓鱼站，以5天周期轮换样本，利用SetupFactory框架与白加黑技术（DLL尾部拼接签名）欺骗证书，载荷托管至火山引擎TOS。攻击者滥用Cloudflare隧道及伪装安全软件安装包，结合DGA域名与多平台C2，呈现跨家族同源特征。建议企业将volces.com纳入审查，按行为与基础设施检测，并关注com.cn仿冒域名。

本文系统阐述Electron应用安全加固最佳实践，覆盖上下文隔离与Node集成管控、CSP策略、防RCE攻击、敏感数据加密及依赖审计五大维度。核心结论是关闭nodeIntegration并开启sandbox与contextIsolation，通过contextBridge白名单桥接IPC，配置严格CSP拦截XSS，规范命令调用防注入，加密存储本地敏感数据，并定期审计依赖漏洞。所有配置可直接用于生产环境，满足企业级安全合规要求。

本文分享了一起ValleyRAT远程控制木马感染事件的排查思路。作者从防火墙公网IP入手，定位内网主机IP，再通过核心交换机ARP表查询MAC地址，最终在接入交换机端口找到中毒电脑。文章指出中毒原因为点击网页广告，并建议客户部署日志服务器以便后续溯源排查。

这份报告研究AIagentharness安全风险与纵深防御设计，提出harness是连接概率性智能与确定性执行的信任边界，风险根植于数据控制歧义、委托权威与持久化传播三对张力。报告提出九层模型与攻击面生命周期矩阵，系统解构提示注入、工具投毒、记忆中毒等攻击机理，并给出可落地的纵深防御参考架构。

本文科普微信聊天记录作为电子证据的合法取证方法。核心要点包括：原始记录不可删除，需满足真实完整合法三标准；四步取证法：锁定对方身份、保全完整对话、语音双重固化、双向固定转账记录；并列举高频避坑细节及当庭核验流程。文章提供可操作的标准化流程，对普通用户维权具有实用参考价值。

文章解读BlackHatUSA2026议题，DEVCORE研究员splitline演示对Julia、Flutter、Go、Python官方构建管道的供应链攻击，利用元数据投毒、缓存污染、IAP绕过及认证逻辑缺陷在语言二进制分发源头植入后门，根因为跨job信任缺失、数据流无完整性校验与Bot重用污染。建议限制非特权job写权限、校验数据流完整性、隔离任务环境并对下载二进制做签名校验与多源交叉验证。

昆明一女子遭遇以办理难民卡白送350万为名的诈骗，骗子要求提供个人信息并帮助取现3万元涉诈赃款。银行工作人员察觉异常后启动警银联动机制，民警当场拦截并发现涉诈APP。该案例警示天降巨款是骗局，跑分洗钱不可碰，需保护个人信息和两卡安全。