ZONE.CI 全球网

CSA大中华区在日内瓦AI治理周指出，AI治理核心是人的能力建设而非仅靠原则。针对大模型风险及AGI防御失效，CSA提出AISTR框架确保安全、信任与责任，并引入零信任AI智能体架构实现主动防御。建议推动模块化可测试认证标准避免贸易壁垒，提升监管者AI素养以保障数字主权。

研究人员披露OpenClawAI助手中三个高严重性漏洞（GHSA-hjr6-g723-hmfm、GHSA-9969-8g9h-rxwm、GHSA-575v-8hfq-m3mc），包括操作系统命令注入和路径遍历，可被利用通过WhatsApp消息触发主机代码执行、凭证盗窃和权限升级。漏洞已在2026.6.6版本修复，建议更新并启用沙箱模式、限制工具允许列表。

gigawiper是微软发现的Go语言编写的破坏性后门，整合了Crucio、Flockwiper等恶意软件代码，通过RabbitMQ和Redis通信，具备数据擦除、勒索加密、远程控制等功能，可长期驻留并切换窃密与破坏模式。防御建议包括开启篡改防护、EDR拦截、阻断C2地址。

微软分析发现一款名为GigaWiper的Windows后门程序，整合了磁盘擦除、仿勒索软件和间谍功能。该恶意软件通过三种指令模式破坏系统：原始磁盘擦除、覆写系统盘和加密文件（密钥不保存）。它伪装成OneDrive程序实现长期驻留，利用RabbitMQ等合法服务通信。防御关键在于早期检测异常定时任务和网络流量，并保持离线备份。

对9695个MCP服务器的大规模分析发现5832个存在安全问题，包括任意文件访问、命令注入、SSRF、SQL注入等漏洞。研究指出受欢迎程度、代码活跃度和验证徽章等常用可信指标与安全性无显著相关，高人气服务器反而风险更大。组织应放弃信任假设，采用零信任方法，进行代码审计、强制身份验证和输入验证，以防范AI供应链系统性风险。

ModSecurity3.0.15及以下版本存在两个可绕过WAF规则的漏洞。CVE-2026-52761因32位系统指针计算错误导致转换异常，建议脱离i386环境。CVE-2026-52747为高危漏洞，其multipart解析器会静默剥离表单换行符，造成WAF与后端解析差异，可被用于多行注入绕过。建议立即升级至3.0.16版本修复风险。

SSH攻击者越来越多地使用单条非交互式exec命令绕过传统蜜罐分析,99.23%的认证会话由单命令组成,速度极快(1秒内),表明自动化工具主导。传统交互式蜜罐失效,需重新设计检测方法,关注命令正确性而非对话时长,并将短暂会话分组为战役级元会话分析。

上海银行推出同业存单AI机器人，通过智能对话与意图识别实现智能触达、辅助及流程跟踪，解决人工操作痛点。投产两月累计处理询价超2700次并募资破百亿，替代六成以上重复性作业。该行还将大模型应用于资产托管等场景，加速全行级AI平台建设，推动AI能力全面融入业务流程。

朝鲜黑客推出新型macOS窃取程序Gaslight，创新性地嵌入伪造系统消息以误导AI安全分析工具，可窃取浏览器数据及密钥链等敏感信息。建议企业结合人工审核AI分析结果并加强端点防护；个人应警惕钓鱼文件并保持系统更新，以防范此类新型攻击。

本文借火箭回收技术突破探讨卫星互联网从硬核技术向软基建的转型，指出万颗卫星组网面临的安全与运维挑战，强调轻量化星载软件及天地一体安全架构的重要性，随后重点推介亚信安全在卫星地面核心网、星载基站及全周期安全体系等方面的产品与服务能力。

阿里云先知平台发布2026年5月王牌A计划月度奖励结果，96位安全专家提交有效漏洞。个人奖励方面，Clay获王牌A业务赛道TOP1及白帽赏金赛双料冠军，共获奖金10000元。团队奖励中，火云邪神获黄金团队奖6000元，Day1获青铜团队奖2000元。活动期间升级保级王牌A等级可获额外奖励，需联系运营领取。

本文概述银行保险机构数据安全体系建设。治理上需搭建四级责任架构，设独立归口部门落实八大职能并协同风控科技部门。分类分级上需全域摸排资产，按核心、重要、敏感及一般数据实施四级差异化防护，建立动态调整与监管报备机制。建议机构据此明确权责与分级管控以满足合规要求。

文章揭露xAI的GrokCLI在用户执行任务时，静默将整个代码仓库打包上传至云端服务器，甚至包括其他工具的配置文件和API密钥。作者验证发现该功能默认关闭但可通过远程开关控制，被曝光后xAI悄悄关闭。文章指出AIagent权限过大且缺乏监管，建议用户卸载GrokCLI并保持警惕。

本文汇总了2026年7月13日前后多个安全事件，包括DellBIOS密码可被秒读、AI钓鱼平台Forg365瞄准Microsoft365、用友U8CloudSQL注入漏洞、GhostCommit攻击利用图片隐藏恶意指令、281款VPN泄露用户数据、Progress紧急关闭ShareFile服务器、仿冒教育App木马、金监总局发布网络安全管理办法、NSA重启TAO、Apple起诉OpenAI窃取商业秘密。这些事件涵盖硬件漏洞、AI攻击、企业软件漏洞、数据泄露、监管政策等，提示企业和个人需加强安全防护。

本文分析了一个AI系统中的XSS漏洞，提供了技术细节和演示链接，强调仅供技术研究，严禁非法攻击。

该项目AgenticAwesomeSkills是一个针对AI编码助手的开源技能库，提供1946个SKILL.md格式的可复用技能包，支持ClaudeCode、Cursor等10多个主流平台。项目采用MIT许可证，包含Node.jsCLI安装器、Python验证脚本和Web目录应用。技能覆盖开发、测试、安全等多个领域，并配有14个专用插件。用户可通过npx命令或平台特定参数安装，项目还提供完整的验证工具链和数据结构。

本报告系统分析了美国国防威胁减少局（DTRA）的生物武器研究情况。DTRA通过`合作威胁减少计划`（CTR）等项目，在全球多个国家运营数百个生物实验室，其历史可追溯至曼哈顿计划。报告重点关注了其在乌克兰等地的活动及其引发的国际争议，并从组织架构、战略职能和全球网络等多个维度进行了深入评估。

本文分析了医疗行业无线网络面临的安全挑战，包括政策合规压力、IoMT设备脆弱性及勒索病毒威胁。提出威努特构建的纵深防御方案，涵盖场景化覆盖、三层防护（准入、流量、端点）及勒索专防系统，旨在提升网络安全等级与就诊满意度，实现可视化运维。

中南大学信息与网络中心面向社会公开招聘1名非事业编制网络安全实验技术岗人员，要求本科及以上学历、38周岁以下、计算机或信息安全等相关专业，具备2年以上网安或数据安全经验者优先。招聘流程包括报名、资格初审、笔面试、体检政审及录用，采用劳务派遣方式，待遇按学校非事业编制人员管理办法执行，报名截止时间为2026年7月18日。

本文提出一种隐私保护图匹配查询方案，支持快速子图提取。通过两个非串谋云服务器CS1和CS2分别存储加密信息，利用度表剪枝和邻接矩阵验证构造matchedmatrix，用户端子图提取复杂度降为O(m²)。解决了已有方案只返回布尔结果、用户需重新执行子图同构的问题，提升了查询结果可用性。

本文记录了对某985高校学生就业信息网的安全测试过程，通过BurpSuite翻找接口发现com\\_id参数可遍历，进而获取了约5万条包含发布人姓名、电话、邮箱的敏感信息。文章强调了接口权限控制的重要性，并指出此类漏洞可能导致大规模数据泄露。建议修复措施包括对接口进行身份验证和访问频率限制。

华中科技大学游龙教授团队在《ScienceAdvances》发表基于自旋轨道力矩的硬件安全系统研究。该系统融合真随机数发生器和物理不可克隆函数于同一SOT霍尔器件，实现密钥生成、隐藏与攻击检测。其核心机制是密钥读取即留痕，通过不可逆物理变化检测非法访问，为物联网设备提供新型硬件安全范式。

2026世界人工智能大会将于7月17日至20日在上海举办，由中国电信安全发布预告。文章主要介绍大会时间地点，但内容以图片和推荐阅读为主，缺乏具体议程或技术细节。部分素材由AI生成，整体为活动宣传性质，无深度技术分析或可操作建议。

该文档介绍了一个名为c2-rich的开源远控测试工具，由作者鬼麦子开发，基于Golang实现，功能类似Metasploit或CobaltStrike，支持主机管理、webshell、命令终端、文件管理、屏幕监控、payload生成、内网穿透等。作者强调该工具仅供测试，严禁用于非法用途，生成的exe具有强混淆和免杀能力，支持多种通信加密方式。建议用户遵守法律法规，仅用于授权安全测试。

本文介绍了2026年AIAgent在渗透测试中的应用，指出传统渗透测试依赖人工且效率低，而AIAgent通过多Agent协作（如PentestSwarmAI的Swarm架构）可实现从侦察到报告的全流程自动化。文章对比了PentestGPT、PentestSwarmAI和LangGraphDIY等工具，强调模型能力已非瓶颈，工具链才是关键，并提供了快速上手的安装指南。