ZONE.CI 全球网

本文探讨了利用AI辅助渗透测试的方法论，核心是设定边界与目标后让AI无限推理以提升效率。作者通过多个实战案例展示了AI在信息收集、接口分析及漏洞发现中的优势，如通过报错获取token、利用OAuth2弱口令接管后台、Fuzz发现隐藏存储桶及云凭证。文章强调AI能显著放大攻击面，但需人工引导与复盘，将经验转化为可复用的逻辑。

本文记录了一次针对某学院学工系统的渗透测试过程，通过信息搜集获取学生学号与身份证号，利用默认密码（身份证后六位）成功登录系统。随后发现SQL报错注入、布尔盲注、XSS及逻辑越权等多个漏洞，并打包提交。文章强调信息搜集的重要性，建议根据系统语言框架针对性测试，并全面覆盖各功能点以增加漏洞发现概率。

工业和信息化部NVDB监测发现AI编程工具ClaudeCode存在安全后门隐患，影响2.1.91至2.1.196版本。该工具内置监控机制，未经用户同意回传地域、身份标识等敏感信息。建议相关单位立即排查，卸载或升级至安全版本，并加强开发工具外联管控与流量监测，防止数据违规外传。

厦门大学沈耀斌副教授课题组在JournalofCryptology发表论文，系统分析了NISTSP800-108标准中基于CMAC和HMAC的密钥派生函数安全性。研究发现计数器模式存在常数时间碰撞攻击，而反馈和双管道模式安全。该成果理清了KDF安全边界，为标准化算法安全使用提供理论依据。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

中山大学网络空间安全学院在ICML2026上共有24篇论文被录用，其中4篇代表性工作由本科生和博士生完成，涵盖扩散模型持续个性化、离线强化学习、具身智能安全及MoE上循环优化等方向，展示了学院在机器学习与网络安全交叉领域的科研实力。

2025年国家最高科学技术奖授予陈立泉和贲德两位院士，表彰他们在锂电池和雷达技术领域的卓越贡献。同时，文档汇总了多项信息安全前沿研究，涵盖密码学、AI安全、漏洞分析等主题，为技术交流提供了丰富资源。

Cobalt发布的《2026渗透测试现状报告》显示安全从业者正迅速放弃自主渗透测试工具，因自动化扫描器遗漏关键漏洞且误报率高。完全依赖AI测试的组织比例从29%降至9%，47%偏好混合模式。AI漏洞修复率仅38%，平均修复时间从19天升至36天。报告建议自动化应用于低风险场景，复杂漏洞仍需人类专家。

本文梳理了政务网站常见网络安全隐患及整改落地指南，涵盖网站架构与服务器隐患、程序代码与应用漏洞、数据与信息安全隐患、内容与运维管理隐患四大类。文章详细列举了老旧组件漏洞、权限配置不当、注入类漏洞、XSS、文件上传漏洞、弱口令、越权访问、API未授权访问、敏感信息泄露、个人信息防护不足、挂马暗链、运维账号管理混乱、外包供应链管理缺失、缺乏日常巡检与应急机制、过期域名管理缺位等具体问题，并针对每类隐患给出了明确的整改措施，强调最小权限原则、参数化查询、内容安全策略、多因素认证、定期安全评估与应急演练等实操建议

截至2026年7月，大模型相关CVE进入大规模系统性供应链级爆发期，覆盖AI编码助手、MCP生态、推理引擎等六大攻击面，CVSS评分普遍9.0以上。AI编码助手因深度系统访问权限成为最高危目标，MCP生态首次出现系统性架构级漏洞。建议加强MCP信任模型和提示注入防护，关注供应链安全。

本文为安全大会宣传稿，探讨民航领域AI技术的安全应用与挑战。AI不仅打破了传统被动防护模式，结合威胁情报构建起智能化主动防御与安全运营体系，还广泛赋能核心业务。但AI落地也催生了新型复杂风险。会议将梳理应用成果，探讨合规与标准化落地的可行方案，为行业AI安全实践提供参考。

这篇新闻汇总了多个科技动态，包括DeepSeek自研AI芯片面向推理任务、智谱辟谣撤回A股辅导备案、亚马逊发债250亿美元为AI基建筹资、苹果折叠屏iPhone已量产、华为天才少年吐槽DeepSeek面试流程、中国人形机器人今年产量有望突破10万台、小米首款增程SUV或改名澎程、Momenta搭载量突破百万、NothingPhone(4b)发布、问界M9内饰曝光、脑虎科技脑机接口启动临床试验。核心要点是科技行业在AI、硬件和汽车领域的进展。

本文由威努特发布，汇总2026年上半年国内数字化及安全领域重要政策法规。内容涵盖综合政策、等保合规、工业能源、金融教育医疗等行业的专项指导，以及AI应用伦理与数据资源管理规范。文章旨在助行业把握政策趋势推进智能化转型，读者需关注公众号回复关键词获取资料合集。

谷歌威胁情报团队报告显示，攻击者正利用大语言模型开发漏洞利用程序并统筹攻击行动。报告指出首例AI辅助开发的零日漏洞利用案例，攻击者通过AI生成Python脚本绕过2FA。恶意软件PromptSpy利用AI操控安卓界面并采集生物特征。攻击组织使用智能体工具实现自动化漏洞挖掘与持久驻留。防御方需引入AI能力应对机器级攻击速度，否则将被海量告警淹没。

Linux内核发现隐藏超19年的漏洞CVE-2026-43456，位于net/bonding子系统，为类型混淆漏洞。本地攻击者拥有CAP_NET_ADMIN权限即可利用，稳定性极高，成功率超99%，可在1秒内完成提权。影响Linux2.6.24至6.12.77版本。官方已在2026年3月修复，建议用户更新至最新版本或禁用非特权用户命名空间及Bonding模块进行缓解。

本文基于64页监察长报告拆解特勤局在特朗普遇刺事件中的三大失效：无线电不互通致102条警报未达、反无人机系统因操作员能力不足及网络依赖而失能、已知视线漏洞被放任。报告揭示特勤局存在培训缺失与官僚自满等结构性痼疾，虽获额外资金并启动改革，但关键程序漏洞仍未填补。建议强制建立跨机构联合通讯规程并引入第三方对改革进行真实场景验证。

本文深度剖析印度商人伪造CIA特工身份，利用真实社交背书与政界捐款渗透印尼国防采购圈并骗取巨额资金的案件。该骗局暴露出身份核查失效、军购文件松散及社交网络被工具化三大系统性脆弱点。建议涉外采购方摒弃以社交关系为背书的认知陷阱，建立基于可证伪性优先的核验机制，严格审查美方DSCA授权与ITAR注册资质，防范无法核实的权威身份被滥用于商业欺诈与利益输送。

文章指出传统补丁管理在AI驱动的攻击面前已结构性失效，提出减法安全理念，即通过永久消除攻击路径而非临时修补漏洞来防御。核心是路径消除率PER指标，建议通过基础设施审计、差异化约束和分层防御来系统性压缩攻击面，将安全工作从响应已知威胁转向消除攻击者所需地形。

本周CNVD漏洞态势显示零日漏洞占比超八成，政企漏洞事件环比大幅上涨45%。英国推出自主AI防御项目CyberShield应对机器速度攻击。日本KDDI遭供应链攻击致超1200万邮箱数据外泄。GoogleDialogflowCX存在RogueAgent漏洞可致聊天机器人被劫持。建议运维人员尽快完成设备补丁更新并收紧外网访问权限。

GitLost攻击技术利用GitHubAgenticWorkflow的间接提示注入漏洞，攻击者通过公开问题诱骗AI代理泄露私有仓库内容。该攻击无需凭证或访问权限，仅需代理拥有跨仓库读取权限。研究人员发现仅一个单词改动即可绕过GitHub防护。建议将代理令牌限定于单个仓库、限制公开输出并设置人工审核，以降低泄露风险。

工信部NVDB发布风险提示，指出AI编程工具ClaudeCode2.1.91至2.1.196版本存在安全后门，可未经授权回传用户敏感信息。事件源于开发者逆向分析发现隐蔽检测机制，Anthropic回应称已移除。阿里巴巴已宣布全员禁用Claude全系列产品。建议用户立即卸载或升级受影响版本，并加强开发环境外联管控与流量审计。

本文为看雪学苑Windows内核攻防实战课程广告，由15年经验专家HumanBug授课。课程售价16200元，含120课时，覆盖内核注入、Hook及防御，主打结合AI开发自动化审查工具。采用加密播放需签保密协议，建议有C/C++基础的安全从业者按需付费学习以构建攻防体系。

国家信息安全漏洞库(CNNVD)发布2026年第四期安全漏洞通报。通用产品新增漏洞7742个，其中超危818个，高危2683个，厂商修复率约65%-84%。人工智能领域新增漏洞440个，超危38个，高危132个，修复率约72%-90%。建议关注CNNVD官网获取详细信息。

日本一名15岁中学生利用ChatGPT编写恶意程序，发现并利用万代频道系统漏洞，批量取消近5万个用户账号订阅，导致该动漫平台紧急关停6周。嫌疑人已承认指控，警方以妨害业务罪将其逮捕。此事件凸显AI工具降低网络攻击门槛，需加强系统安全审计与AI使用监管。

文档对比传统蠕虫与AIagent驱动攻击链，指出后者具备目标理解、路径选择、工具生成和反馈调整能力，攻击过程由目标反馈驱动。真实案例显示攻击链已出现agent化趋势。企业防御需从固定IOC转向行为链路、权限边界和资源异常监控，并建议最小权限、网络分段、工具调用治理等。