ZONE.CI 全球网

网信办就《互联网信息服务管理办法（修订草案）》再次征求意见，旨在维护国家安全与促进服务发展。草案明确多部门监管职责，要求提供者依法取得核准，强化实名认证与账号核验，细化违法信息处置机制，并对平台服务、网络暴力防范等提出合规要求，建议企业于8月2日前反馈意见。

网络安全研究人员发现一种名为PAMStealer的新型macOS信息窃取软件，通过假冒Maccy剪贴板管理器的网站分发。恶意软件分两阶段执行：首先使用AppleScript下载器进行环境感知和反分析，仅在AppleSilicon上运行并避开东欧国家；随后下载Rust编写的载荷，窃取浏览器数据、加密货币钱包、iCloudKeychain和剪贴板内容，并通过PAM验证用户密码。最终显示伪造错误信息掩盖恶意行为。该恶意软件采用更安静的执行链，减少传统检测机会。

中央网信办于2026年7月开展为期两个月的网络娱乐团播乱象整治专项行动，重点打击账号违规、低俗PK诱导打赏、欺骗消费、低俗涉黄、侵害未成年人权益及MCN管理失范等六类问题。行动要求压实平台与MCN责任，严惩违规主体，旨在通过专项整治与长效机制规范团播运营，营造清朗网络生态。

2026年7月3日安全简讯显示：恶意PyPI包ChocoPoC伪装成PoC依赖攻击安全研究员；美国HSIN服务器遭入侵，DHS启动调查；欧洲防务巨头Indra遭Gentlemen勒索软件攻击；AltaMontclair云存储配置错误泄露21万份文件；ShinyHunters入侵美敦力致数据泄露；思科UnifiedCM高危漏洞CVE-2026-20230已遭在野利用。

全国网络安全标准化技术委员会就三项网络安全标准实践指南公开征求意见，旨在配套GB46864-2025强制性国家标准落地，指导信息清除活动。指南涉及半导体存储介质块擦除、电子产品信息清除记录与回收管理及移动智能终端信息清除技术。意见反馈截止日期为2026年7月17日。

华青融天MG-DBV是一款专为分布式数据库打造的AI全栈诊断引擎。它通过交换机端口镜像无代理采集流量，利用AI自动完成从故障现象到根因的诊断，并在运维群直接给出修复建议。该工具解决了传统运维依赖人工翻日志、凭经验排查的痛点，将故障定位时间从分钟级缩短至秒级，并具备持续学习能力，可沉淀为组织的数字运维资产。

火绒企业版软件管理功能用于统一统计、查看和管理全网终端软件，支持按软件、版本或终端维度查看安装情况，并可批量下发卸载任务，同时提供任务进度跟踪和变更日志审计，助力企业规范终端软件使用环境。

Anthropic分析了832个因滥用Claude被封禁的恶意账号，共13873条攻击记录。研究发现攻击者主要利用AI进行恶意软件开发、混淆文件和削弱防御，其中恶意软件能力开发是最常见的技术。高风险攻击者不仅在攻击准备阶段使用AI，还在入侵后阶段用于横向移动等操作，其风险评分显著更高。报告还描述了一个AI赋能网络间谍活动案例，展示了分阶段自主执行和实时利用的能力。

本周安全周报涵盖多个事件:Anthropic旗下ClaudeCode被曝暗藏针对中国用户的隐蔽监测代码,违背透明原则;国安部警示某AR手游关联企业收集高精度地理数据,存在数据军事化风险;银狐木马攻击多家电商,窃取交易数据;苹果印度代工厂遭勒索攻击,超630GB机密文件泄露;黑客滥用OpenAI组织邀请功能进行社工攻击。这些事件凸显数据安全、供应链安全及社工攻击的严峻威胁,建议加强终端防护与数据合规管理。

Reddit用户披露Anthropic在ClaudeCodeCLI中嵌入混淆代码，通过检测系统时区与中国代理域名识别中国用户，利用系统提示词隐写术回传结果。此举因未获授权且工具拥有高系统权限而引发严重信任危机，安全界批评其监控低效且侵犯隐私。开发者需警惕此类高权限工具的潜在数据风险，Anthropic尚未回应。

该文档详细记录了HTB靶机DevHub的渗透测试过程，包括信息收集发现6274端口MCP服务、利用命令注入漏洞获取初始shell、通过SSH隧道横向移动到analyst用户、利用PythonNotebook反弹shell，最终通过分析root权限运行的OPSMCP服务脚本，调用隐藏的ops._admin_dump工具获取rootSSH密钥完成提权。核心结论是展示了从外网突破到内网横向移动及服务提权的完整攻击链，关键发现是隐藏API和密钥管理不当导致权限提升。

AI代理depthfirst在FFmpeg中发现21个0day漏洞，成本约1000美元，部分漏洞潜伏超20年。Chrome149修复创纪录的429个漏洞，多数为内部发现。AI加速漏洞发现，要求缩短补丁周期并采用自动更新。

2026年十大攻击面风险报告显示60%机构至少有一个HTTP管理面板暴露公网，漏洞利用时间已压缩至一天。数据库暴露最严重，MySQL和PostgreSQL分别占26%和16%。API文档公开排名第三，超过RDP。RDP仍是勒索软件主要入侵途径。建议减少不必要的公网暴露，加强访问控制。

本文记录了一次小程序授权渗透测试过程，从发现Swagger接口开始，利用IDOR漏洞获取系统所有用户信息，进而分析登录接口发现仅依赖openid参数，最终通过user/list接口获取openid实现任意用户登录。文章展示了环环相扣的攻击链，并强调请勿用于非法测试。

慢雾安全团队披露npm生态恶意包[email protected]，伪装成Kellystake数学工具，通过postinstall脚本自动窃取交易机器人环境中的私钥、API密钥等凭据。攻击者利用GitHub上约1.3万个批量fork仓库和独立账号xumoyan进行跨题材传播，覆盖MT5、Binance期货、Polymarket等交易场景。建议开发者使用–ignore-scripts标志安装依赖，并审查项目依赖来源。

文章指出2026年网安秋招提前批已于6月启动，字节、京东等大厂已开放申请，强调招满即止需尽早投递。通过案例说明提前批并非仅面向985学生，筛选更看重CVE/CTF名次和甲方实习等实际能力。文章还列出了5类在招岗位和简历常见硬伤，建议符合条件的求职者本周内完成投递。

本文从工作原理角度梳理防火墙分类演进：包过滤防火墙仅检查数据包头部字段；状态检测防火墙记录连接状态以理解通信上下文；应用代理防火墙深入解析应用层协议内容；下一代防火墙则叠加应用识别、用户身份和威胁情报等能力。文章指出不同分类维度（部署位置、产品形态、保护对象）并不冲突，建议初学者先抓住工作原理这条主线来理解防火墙技术发展。

这是一篇关于阅读刘同老师《你的孤独，虽败犹荣》的读书打卡分享。作者围绕书中关于孤独、成长、人际关系和爱情的深刻见解展开了思考，探讨了从惧怕孤独到享受孤独的转变，以及在人际关系中如何自我成长与释怀，并结合自身经历抒发了对人生的感悟。

因AI账单高企，美国金融科技企业Coinbase等正将默认大模型转向中国智谱与Kimi。通过优化默认设置、路由和缓存，Coinbase在Token使用量增长的同时实现AI支出减半。这表明中国大模型性价比优势显著，企业推进AI应用时应优化架构与模型选型以控制成本，而非限制使用。

本文汇总近期AI行业核心动态，重点包括海外厂商封禁中国用户、阿里因安全风险禁用相关代码工具及多家企业限制大模型以控成本。此外涉及微软等AI产品发布与新加坡AI治理框架落地。建议企业关注AI工具安全合规与成本管控，跟进前沿基建与开源模型。

特朗普政府解除了对Anthropic公司ClaudeFable5和Mythos5模型的限制，此前因网络安全担忧被禁。禁令源于Amazon研究人员发现Fable5安全防护可被绕过，可能被用于发现软件漏洞。目前Fable5已广泛可用，Mythos5仅限政府批准组织。OpenAI也因政府要求限制新模型发布。特朗普签署AI监管行政命令，要求对高级AI系统进行国家安全风险审查。

Cisco确认其UnifiedCommunicationsManager和UnifiedCMSME中的一个高危漏洞CVE-2026-20230（CVSS8.6）已在野外被利用。该漏洞源于对特定HTTP请求的验证不当，可导致SSRF攻击，进而允许攻击者在操作系统上放置任意文件并获取root权限。仅启用WebDialer服务的设备受影响。Cisco已发布补丁并强烈建议用户升级以消除风险。

CISA警告微软SharePoint高危RCE漏洞CVE-2026-45659正被积极利用。该漏洞源于反序列化缺陷，低权限攻击者无需交互即可远程执行代码。微软5月已发补丁，超万台服务器仍暴露在网。CISA将其列入已知被利用漏洞目录并要求限期修补或停用。建议立即排查资产并更新系统，防范勒索攻击。

马来西亚数字停车平台遭网络攻击中断超三天，波及全国四成地区。攻击涉及数据交易，致使用户无法缴费并持续收到罚单，部分州已暂停执法。目前服务已恢复，正由网络安全部门调查。建议公共服务平台强化安全防护与容灾机制，防范单点故障引发大范围业务瘫痪。

本文分析了我国后量子密码迁移的政策法律适用性，指出现有密码法、网络安全法等法律框架基本适用但需细化补强。关键发现包括：需将量子计算风险纳入法律原则，优先迁移关键信息基础设施，并制定专项战略。建议推动国家PQC发展专项战略，完善检测认证和密评制度，促进创新生态繁荣。