ZONE.CI 全球网

海港人寿拟以85万元预算采购一套本地化部署的智能问数系统，项目编号YG26ZG0043891，服务期180天。系统需与现有系统集成，在智能问数、报告辅助生成及自动化报告三个场景试点。投标人需在7月29日前提交文件并参与现场述标，资格要求包括境内注册、无失信记录且不接受联合体投标。

本文盘点了2026年已过时的5种网络设备:百兆交换机、DOCSIS3.0同轴电缆猫、Wi-Fi5旧版网关、不支持WPA3的路由器及失去官方维护的早期NAS。这些设备因速度瓶颈或安全缺陷成为网络短板。建议用户及时更换为千兆/2.5G交换机、DOCSIS3.1或光纤网关、Wi-Fi6/7设备、支持WPA3的路由器以及持续更新的现代NAS,以释放网络潜能并保障数据安全。

人保财险2026年数据类AI服务人力资源采购项目公布中标候选人，复深蓝、中科软、中电金信、北明软件分别以409万、429万、449万、393万投标。项目采购模型算法及AI工程化人员共2640人天，约10人，采用公开招标方式。该信息为行业动态分享，具体详情需查阅官方公告。

本期防务简报涵盖了近期多项全球军事动态。中国于7月6日成功试射潜射战略导弹，并在7月10日首次成功实施运载火箭一级可控回收。美国、英国、土耳其等国也分别在导弹整合、空投无人艇试验和反舰弹道导弹试射方面取得新进展。此外，英国发布了新的国防投资计划，美国相关机构也发布了两份报告，探讨国防工业基础与私营企业网络安全运营模式。

该分析揭示了一个伪装成Steam启动器的恶意样本，通过protobuf注册路径隐蔽触发恶意代码，动态下载并解密执行payload。攻击者利用CRT全局初始化阶段插入恶意逻辑，手法隐蔽。建议用户从官方渠道下载软件，并验证文件哈希值。

本周AI与云安全事件聚焦AIAgent执行边界、AI编排平台暴露、云身份钓鱼与开发者供应链。关键事件包括GhostApproval符号链接绕过、Langflow多漏洞遭利用、Forg365AI辅助钓鱼平台化及InjectiveSDKnpm供应链投毒。建议加强AI工具审批、隔离不可信仓库、修补Langflow、监控OAuth活动并验证npm包完整性。

欧盟发布《网络安全与人工智能行动计划》，旨在应对AI时代网络安全挑战，通过加强技术研发、完善法规标准、促进国际合作等举措，构建安全可信的AI生态。该计划强调AI安全与网络安全的深度融合，提出具体行动方向，为相关行业提供政策指引和合规参考。

U-Boot引导加载程序被曝六个严重漏洞，潜伏逾十年影响超50个版本，覆盖数十亿嵌入式设备。漏洞位于FIT签名验证逻辑，两个可致任意代码执行，四个可致拒绝服务。攻击者可在操作系统加载前执行恶意代码，绕过信任检查。修复已合入主分支，但需厂商集成至固件更新方可生效，老旧设备可能永无补丁。用户应关注厂商固件更新并评估设备暴露面。

该文档汇总了三个公众号分享的网络工程与IT基础设施技术资料，涵盖EVE-NG镜像、VyOS、Ubuntu、OpenVPN、ZTP部署脚本等资源，并推荐了多篇相关技术文章，适合网络工程师和IT从业者参考。

本文系统梳理了ThinkCMFCMS的已知漏洞，涵盖X系列至6.x版本。核心漏洞包括X系列前台模板注入(CVSS9.8)可实现未授权Getshell、5.x系列后台路由注入(CVE-2019-6713)及Ueditor文件上传漏洞。文章提供了版本识别方法、详细利用路径与官方修复方案，强调通过将display和fetch方法改为protected可修复关键漏洞。

该文档报告了injective官方SDKnpm包@injectivelabs/sdk-ts1.20.21版本遭供应链投毒，恶意代码在调用generate()、frommnemonic()或字符串fromhex()时，将完整助记词或私钥经base64编码后放入HTTPPOST请求的x-request-id头，发送至官方域名下的testnet.archival.chain.grpc-web.injective.network。建议立即检查依赖、升级版本、转移受影响资产，并审计日志。

本文介绍codex-proxy工具，可将CodexDesktop能力以OpenAI/Anthropic/Gemini标准协议对外暴露，使安全工具能调用ChatGPTAPI。主要解决ChatGPTPlus/Pro不提供APIkey的问题，用户可在本地搭建中转站，为CipherBridge等安全工具提供AI分析能力。配置简单，在Windows下载exe运行，登录账号后获取接口和key即可使用。

数缘科技侧信道分析测评套件新增Kyber明文检查预言机功能，针对后量子密码ML-KEM在硬件实现中因FO变换导致的侧信道泄漏风险。该功能通过训练二分类模型识别重加密波形差异，实现消息比特恢复并推导密钥系数，为密码芯片物理安全性评估提供全链路分析方案。

Datadog安全实验室警告称，攻击者利用休眠超过2年的GitHub幽灵账户及泄露的OAuth令牌，通过自动抓取工具系统枚举企业组织、仓库和成员等公共数据，甚至成功克隆私有仓库。该活动使用定制用户代理以融入正常API流量，单个请求看似无害但聚合后构成严重侦察威胁。建议组织监控异常API模式并加强令牌管理。

AI降低挖洞门槛但无法替代人工逻辑判断，新人需夯实网络协议等基础；行业面临SRC赏金分化、合规红线等挑战，全球白帽出现分层现象。播客从学生白帽到职场成长、AI挖洞实操、Mythos模型影响等角度提供落地经验，强调人机协同与基础能力的重要性。

本文介绍如何结合AI辅助分析工具PUA与模块化逆向工具集ctf-skills，构建高效CTF逆向解题流程。文章详细阐述了从特征识别、脱壳反混淆到关键逻辑定位及Flag提取的全过程，并提供了工具配置与案例演示。该方法通过AI与自动化工具链结合，显著提升逆向分析效率，为CTF逆向题目提供了可复用的实践方案。

第十九届全国大学生信息安全竞赛（作品赛）暨第三届长城杯网数智安全大赛（作品赛）初赛团队名单已公示，发布于2026年7月10日。该公示列出了进入初赛的团队，是赛事进程的重要节点，参赛者可下载附件查看具体名单。

今日网安早报涵盖多个热点：LurkingLizard通过虚假VPN和7-Zip安装程序构建代理网络；Ryuk勒索软件成员Vardanyan在美国认罪面临15年监禁；亲俄黑客组织Noname057(16)和Z-Pentest作出反应；多国跟进社交媒体年龄禁令；医疗保健企业遭攻击数量翻倍；U-Boot发现六个新漏洞可导致设备崩溃或代码执行。建议关注VPN安全、医疗数据保护及固件漏洞修复。

OdysseyStealer是一场针对MacOS的全球信息窃取活动，已蔓延至100多个国家。攻击者通过社会工程和ClickFix技术诱导用户执行恶意脚本，替换合法加密钱包应用以窃取凭证、密钥和加密资产。该恶意软件具备持久化能力，并作为恶意软件即服务平台运营。建议用户严格验证软件来源、警惕要求终端命令的验证码，并检查系统异常LaunchDaemons和钱包替换。

本周网络安全事件频发：全球首个全自动AI勒索攻击JADEPUFFER曝光，无需人工操控且付赎金难恢复数据；美国政府机关支付百万美元平息勒索；多起重大漏洞遭利用，包括Joomla外挂满分漏洞(CVE-2026-48908等)、Linux内核16年历史KVM逃逸漏洞(CVE-2026-53359)及思科ClamAV二十年漏洞；埃森哲、日本保险公司等发生大规模数据泄露；新型恶意软件活跃，如Android银行木马RedWing、跨平台QuimaRAT及针对研究人员的ChocoPoC；钓鱼攻击手法升级，滥用Micr

本文分析数据安全培训效果不佳的原因在于停留在听讲层面。通过定制培训、岗位拆解、场景模拟让员工意识到违规行为，并提供岗位摘录卡等工具推动行动。强调培训需从听讲走向思考与行动，实现四两拨千斤的效果。

该文档为2026年7月11日暗网快讯，报道了多起数据泄露事件，涉及西班牙交通执法技术提供商、教育平台ClassDojo、加密货币服务CoinPayments、流媒体Paramount+、游戏平台Ubisoft等，威胁行为者售卖或泄露用户数据、源代码、数据库等。建议关注此类威胁情报，加强数据安全防护。

华能信息技术有限公司2026年人工智能及网络安全职业技能竞赛培训与赛事保障服务招标中标候选人公示，前三名分别为青岛世纪九洲文化传播有限公司、博智安全科技股份有限公司和中电运行(北京)信息技术有限公司，报价在285万至325万元之间。各候选人均有相关赛事或安全服务业绩。公示期至2026年7月13日，异议可通过华能电商平台提出。

通山公安破获涉案2.7亿元跑分洗钱案，抓获12人，捣毁2条洗钱渠道。团伙通过金字塔架构和闭环流程，利用上千个账户将诈骗资金分散归集后兑换虚拟币转移。警方提醒出租出借支付账户属违法行为，应妥善保管个人信息。

该文档为网络安全帮会推广软文，宣传其拥有1000+成员、10000+干货笔记及100T网盘资源，提供CTF、红蓝队等学习资料与认证考试优惠。强调永久会员即将取消，现以119元优惠价招募，并附20元优惠券。