ZONE.CI 全球网

CVE-2026-6307是V8引擎中JS到Wasm类型混淆漏洞，影响Chrome146版本。攻击者可利用该漏洞实现远程代码执行，通过绕过ASLR和沙箱限制弹出计算器。漏洞源于JSToWasmFrameStateFunctionInfo的相等运算符省略了Wasm签名比较，导致CSE/GVN合并帧状态。建议升级至147.0.7727.101修复版本。

CVE-2025-33073是2025年6月披露的NTLM反射漏洞，CVSS评分为8.8。该漏洞源于Windows本地NTLM认证逻辑缺陷，攻击者可通过构造畸形DNS名称欺骗系统误判为本地连接，从而绕过SMB签名等防护机制，将高权限进程（如lsass.exe）的认证反射回目标主机，最终获取SYSTEM权限。利用过程仅需普通域用户权限，且存在全自动化工具链。防御建议为尽快部署微软2025年6月补丁并在全域强制SMB签名。

Meta内部AI使用成本高昂，近30天员工消耗73.7万亿Token，成本约15亿元。为冲排名出现tokenmaxxing现象，公司关闭排行榜并计划从2027年起实施成本管控，包括AIGateway和Token限额。AI降本时代已至，粗放使用模式正在退场。

Adobe于2026年7月发布安全更新，修复ColdFusion与CampaignClassic等产品中的严重漏洞。企业补丁治理常忽视业务中间件，导致风险暴露。建议立即确认资产、升级修复版本、收缩互联网暴露面并复查日志。应将业务应用纳入补丁SLA，避免补丁盲区。

PaloAltoNetworksUnit42于2026年7月1日发布PhantomSquatting研究，指出攻击者可注册AI模型幻觉出的不存在域名，用于钓鱼或投放恶意内容。该风险影响普通用户、开发者和企业自动化流程，核心在于利用用户对AI输出的信任。建议用户交叉验证AI给出的链接，开发者检查依赖包来源，企业为AI工具添加链接验证层，并监测AI幻觉域名。

公开资料显示，2026年7月1日TheHackerNews报道了一项关于AI生成浏览器原生勒索软件的研究，该研究关注现代浏览器权限扩展带来的安全风险。风险成立通常需要用户交互或授权，并非传统操作系统漏洞。核心建议是用户应谨慎授权网页访问文件等权限，企业需启用受管浏览器策略并监控异常行为，同时将浏览器安全从补丁管理提升至身份与数据入口管理。

360安全应急响应中心在ISC.AI2026上分享了智能体风险视角下的AINative安全运营演进实践。核心观点是AI不会取代安全分析师，而是放大安全运营基本功的短板。安全团队需应对智能体带来的影子AI、提示词注入、数据风险及多Agent协同权限漂移等四类风险。实践围绕两条主线：以威胁为主导的风险监测，引入AIRuntimeTelemetry作为新基础日志；以提效为主导的运营，构建任务驱动的多Agent协同SOC，通过L1工作流初筛和L2自主规划调查实现事件闭环。

文档宣传职称对安全工程师的福利，包括购房补贴最高30万、上海落户加分、升职加薪等，并推广专业团队提供职称评审指导服务，强调官方背书和成功案例。

本文基于俄乌冲突实战经验，系统总结了无人机作战编成与人员施训的22条核心要点。关键发现包括FPV自杀式无人机命中率高达60%-70%，双人操作组协同模式能最大化作战效能，以及将无人机力量下沉至排级、缩短培训周期至3-4周的迫切需求。报告还强调了无人机作为易耗品的装备管理简化、电子战反制措施（如起飞时关闭视频流）及双机协同攻击的应对策略。

Anthropic承认ClaudeCode自2026年3月起通过检测系统时区与中国域名清单识别中国用户，并将信息编码于系统提示词中，该机制将在7月2日版本更新中删除；索尼宣布2028年起PlayStation新游戏将仅发售数字版，不再推出实体光盘；马斯克SpaceX向投资者展示比iPhone更薄的AI原型机；Meta计划对外出售闲置AI算力与模型；小米超级小爱已支持通过A2A机制控制微信发送消息及通话。

该研究报告系统剖析了2022至2026年俄乌冲突中体系化作战与战术战法的演进，揭示了`透明战场`下指挥控制网络向扁平化、分布式重塑的趋势，以及无人化、智能化装备驱动的颠覆性战法。报告通过深度案例复盘与定量分析，论证了`精确海量`深远打击与无人化消耗战对现代战争范式的重塑，强调国防工业极限制造能力与跨域数据流转速度已成为未来战争胜负的关键底座。

本研究报告系统分析了2024至2026年间局部冲突中无人化作战的实战运用，揭示了其对未来作战形态的四大核心变革：OODA循环的极致压缩与智能化重构、多域作战边界模糊化与全域协同常态化、指挥控制系统去中心化与隐蔽化重塑、兵力设计向`规模化低成本无人集群+高端有人平台`结构性转移。报告通过俄乌冲突、红海危机及美军`融合计划`等详实战例，论证了低成本无人系统引发的`成本交换比`革命，并指出未来战争将呈现数据驱动、算法主导与无人集群规模化交战的`产线即火力`特征。

CitrixNetScaler近日披露高危0day漏洞CVE-2026-8451，CVSS评分8.8。该漏洞源于设备自研XML解析器在处理SAMLAuthnRequest时存在输入验证不足与边界检查缺失，导致内存越界读取。攻击者无需认证即可通过构造特制SAML请求触发该漏洞，造成包含进程指针等敏感信息的内存泄露或导致服务拒绝。该漏洞可被用作内存地址泄露原语，配合其他漏洞可能实现完整接管。建议受影响企业立即将NetScalerADC或Gateway升级至安全版本，若不使用SAMLIDP功能则直接禁用，并排查

天创培训首期CISP-TRS威胁响应专家周末班采用理论精讲与上机实操一体化教学，课程涵盖高级攻击技术原理、后渗透技术、威胁情报及ELK日志分析，旨在提升学员应急响应与入侵溯源实战能力。下期周末班继续招生，提供碎片化学习模式，适配持证上岗需求。

本文介绍了KaliLinux系统的系统化部署与优化方法，包括安装步骤、配置技巧和性能调优，旨在帮助网络安全从业者搭建高效的工作站环境。

飞天诚信身份认证产品升级支持后量子密码PQC，涵盖智能卡、PKIToken、FIDOSecurityKey等。采用硬件原生PQC与双算法架构，集成ML-KEM和ML-DSA算法，适用于金融、政务等高安全场景，实现抗量子安全迁移。此举顺应国际PQC迁移趋势，助力企业构建抗量子数字身份底座。

今日安全动态涵盖多个高危漏洞与攻击技术。ClawHavoc揭示了针对AIAgent生态的最大规模供应链攻击，利用排名操纵与反序列化实现自动感染。WindowsWin32k回调劫持技术可规避传统检测。OpenAICodex在Windows端构建了双层硬隔离沙盒架构。NginxProxyManager存在严重RCE漏洞CVE-2026-40519。Linux内核peditCOW提权漏洞CVE-2026-46331影响广泛。Vim和GPACMP4Box也爆发了系列安全漏洞。

本文围绕金发〔2026〕8号文要求，分析银行业保险业AI应用面临的提示词注入、数据泄露等核心风险，并结合真实案例揭示`影子AI`导致的隐私外泄隐患，最后提出通过大模型网关实现内容安全双向检测、敏感数据脱敏、统一接入控制等防护方案，助力金融机构合规发展。

自2026年7月起，一系列重要的网络安全新规将陆续施行。其中，《网络安全标识管理办法》于7月1日生效，旨在提升产品网络安全能力并保护消费者权益；而《人工智能拟人化互动服务管理暂行办法》则计划于7月15日施行，以规范和促进相关领域的健康发展。

该实践指南由全国网安标委发布，为智能体部署使用提供全生命周期安全指引，涵盖评估、准备、部署、使用、停用等阶段，旨在降低安全风险，并为选择商业智能体服务提供参考。

2026年前5个月我国软件业运行态势良好，软件业务收入62451亿元同比增长10.3%，利润总额7173亿元增长2.2%，出口276.5亿美元增长12.8%。信息技术服务收入42761亿元增长11.3%占行业68.5%，信息安全产品和服务收入1102亿元增长6.5%。东部地区收入占全国84.7%，北京广东上海江苏山东收入居前五。

安徽信科共创信息安全测评有限公司是具备密评与等保双栖资质的专业网络安全服务机构，提供商用密码应用安全性评估、等保测评、数据安全评估、渗透测试、代码安全审计等系列安全服务，并为重点行业及主管单位提供技术支撑。

工业和信息化部依据《个人信息保护法》等法规对App及SDK进行抽查，发现32款存在违规收集个人信息、过度索取权限等侵害用户权益行为，并予以通报。

Token工厂是AI时代新型算力基础设施，以大规模GPU集群为核心，工业化生产可计量的Token。其核心指标从GPU数量转向Token吞吐量和成本。产业生态包括芯片厂商、运营商、云厂商和算力运营企业。发展趋势是国产化、绿色化和智能调度。未来竞争焦点是Token生产效率。

该论文由清华大学与奇安信星图实验室联合完成，被ACMCCS2026录用，系统分析了HuggingFace等预训练模型平台上AI应用的安全风险。研究归纳出五类威胁十种攻击向量，包括幽灵令牌、标识符复用等平台架构设计导致的新风险。通过实现分析框架INSIGHTOR，对近百万应用进行测量，发现大量输入注入、密钥泄露、后门和挖矿等问题。论文面向平台、开发者和用户提出了防御建议。