ZONE.CI 全球网

Langflow开源AI应用构建框架存在严重未认证RCE漏洞CVE-2026-0768，正被攻击者利用窃取OpenAI和AWS密钥等敏感凭证。攻击主要来自俄罗斯，已观测到360次利用尝试。建议用户立即升级至1.11.6版本修复所有已知缺陷。

本文对智能门铃设备进行硬件安全分析，通过串口控制台探测、bootloader固件提取与反汇编，分析启动流程和内存布局。利用逻辑分析仪监听SPI总线获取主镜像并解压。文章详细阐述了ARM启动流程、基地址确定及bootloader主函数分析，为后续固件安全研究提供可操作的方法论。

微软披露银狐组织仿冒知名软件下载站攻击Windows终端：诱饵ZIP每次下载哈希不同，滥用msiexec执行载荷，创建SYSTEM权限计划任务实现驻留，篡改Defender排除项、删卷影副本并外联C2及尝试SMB横向移动，波及国内医疗、制造、政企等多行业；建议管控下载来源、开启篡改保护，基于行为链检测并手动清理持久化项。

畅捷通T+POSSyncService接口存在未授权SQL注入漏洞，攻击者可未授权读取数据库敏感信息，部分接口可实现远程代码执行，风险较高。影响T+13.0及专属云2026特定版本，官方已发布补丁，建议受影响用户尽快修复，也可通过防护设备拦截相关路径请求临时缓解。

本文阐述开源情报分析中通过非面部特征关联人物身份的方法论。核心观点是脸是最不可靠的证据，而鞋子磨损、服装层次、装备佩挂位置、徽章、迷彩图案及个人习惯等细节更具情报价值。文章强调单一线索仅能支持假设，交叉验证才是情报分析底线，并警示业余人肉搜索与专业调查的本质区别。

本文为天御攻防实验室发布的西方APT研究群招募公告，旨在建立专业交流社群，讨论西方网络行动、网络战略、信号情报及归因等话题。入群需认同特定价值观、具备至少五年西方APT研究经验并热爱分享。建议符合条件的同行联系作者进行身份验证后加入。

该报告汇总全球300个无人机相关资源网站，覆盖21个语种、11类资源形态与10个区域，英文资源占比约50%。核心发现包括资源分布不均、媒体强智库散、军事与民用信息链分化、各语种生态成熟度差异显著，并建议对关键判断采用官方一手、敌方叙事与第三方数据三方交叉比对。报告提供结构化清单与使用建议，适合情报监测与产业研究。

SpiderKing7.0是面向Web协议恢复与参数还原场景的逆向工程Skill，从6.0升级为先AutoJudge、再按角色取证、只走已挂载MCP的协议恢复技能。其核心原则是纯协议交付、浏览器仅用于侦察、最终collector优先使用Python。文档提供了安装方式、适用与不适用场景，强调需具备合法授权边界，适合需要可复现、可维护协议采集器的场景。

2026CCS成都网络安全技术交流活动定于9月15日至16日在成都龙之梦大酒店举行，主题为AI向善安全有道，作为国家网络安全宣传周成都系列活动核心部分，报名免费开放。活动围绕漏洞治理、大模型与智能体安全、数据安全等方向展开，邀请院士、专家等参与，旨在推动AI安全生态建设。

中央网信办开展清朗整治AI应用乱象专项行动第二阶段，累计清理违法违规信息561万余条，查处账号4.9万余个，处置违规网站应用2400余个。重点整治AI生成虚假信息、假冒仿冒、侵害未成年人权益等乱象，通报7类典型案例，要求平台强化技术识别与内容审核，推动AI应用健康有序发展。

CNNVD发布2026年第35期信息安全漏洞周报，本周新增安全漏洞2265个，较上周有所下降。谷歌公司漏洞最多达333个，授权问题类漏洞占比最大达15.41%。超危漏洞225个，高危漏洞808个，整体修复率为78.41%。建议用户关注厂商补丁更新，及时修复漏洞以防攻击。

文章分析全球人工智能治理面临机制碎片化、大国立场分化、智能鸿沟扩大、治理滞后于风险演进等结构性矛盾。中国提出系统性方案回应普惠发展、共同安全、综合治理需求，建议从做实多边平台、发挥大国协调、构建分层治理格局、普惠合作弥合鸿沟、文明互鉴促进多元包容、筑牢安全底线六方面推动治理从共识走向行动。

2026年国家网络安全宣传周人工智能安全治理分论坛将于9月15日在济南举行，主题为智能之治向上向善，设置致辞、演讲、成果发布等环节，将发布人工智能应用安全指引等成果。报名截止9月4日，需填写制证信息表并发送至指定邮箱。

腾讯WorkBuddy定位为Agent时代的上下文操作系统，通过开放生态连接通达信、广发证券等软件伙伴及Plaud、Rokid等硬件伙伴，构建覆盖记忆、任务、工具和权限的调度系统。文章指出AI竞争正从模型能力转向Agent工作系统，WorkBuddy通过Buddy应用、Skill、Expert、Connector等模块，试图建立模型、产品与生态相互推动的数据飞轮，但生态治理与伙伴回报是长期挑战。

中国消费者协会发布提示，提醒消费者理性看待通用生成式AI的参考属性，不宜仅依据AI生成内容决定价格、合同等重大消费事项，应通过官方渠道核实。同时敦促AI服务提供者强化风险提示与信息质量管理，经营者不能以AI自动生成为由逃避责任，需建立责任承接机制。

该通报汇总2026年9月3日六大安全风险：Langflow漏洞CVE-2026-0768遭利用、JFrogArtifactory认证绕过漏洞被攻击、AI评测机构METR密钥被盗致60万美元损失、勒索团伙招募内部人员、免费LLM接口陷阱及Guildma木马邮件传播。建议优先排查相关资产版本与公网暴露面，轮换密钥凭据，收敛管理接口并加强终端与邮件防护。

2026年3月25日暗网出现美国博彩网站BodogLife.com用户数据泄露事件，25,000条记录包含姓名、地址、邮箱、电话等真实个人信息。经分析，数据并非新近泄露而是2008-2013年采集的旧库重发，已在2024年12月传播过。数据属于营销线索库，无账户密码或财务信息，但仍有隐私泄露风险。

本文介绍硅基流动平台生图模型的选择与使用，涵盖免费Kolors模型及收费的Tongyi-MAI/Z-Image-Turbo与Qwen/Qwen-Image-Edit-2509，价格从1毛到3毛每张。文章详解API调用方法、步数与CFG参数基础知识，并提供图片编辑与生图指令示例，适合公众号配图与PPT制作场景，建议按需选择模型。

湖南耒阳在2026年美加墨世界杯期间，公安部门通过多警种联合执法，连续破获5起网络赌球案件，刑事拘留11人、行政拘留29人，涉案金额超1200万元。警方依托网安技术锁定利用境外赌博APP组织赌球的本地团伙，通过合成作战实现精准收网。现已建立常态化巡查打击机制，严防大型赛事期间涉赌违法犯罪。警方提醒公众认清赌球危害，远离非法赌博渠道，发现线索及时举报。

陕西西安破获一起利用AI伪造民警身份实施连环诈骗的案件，嫌疑人李某冒充民警诈骗并租用出租车，司机雷某知情后参与分赃，两人均被采取刑事强制措施。警示公众警惕AI伪造公检法身份诈骗话术，并强调知情参与分赃同样构成共犯。

印尼警方破获19.love.me网站，该平台以成人直播与在线赌博双链复合模式运营。平台采用币进币出机制，用户以真实资金购买数字币参与随机游戏，再通过主播、公会变相兑现，形成完整赌博闭环。4名涉案人员落网，平台管理员位于菲律宾，服务器设于菲律宾并通过更换域名逃避侦查。印尼警方依据刑法第303条、ITE法第27条第1、2款及反洗钱法规对涉案人员追责。建议社交出海企业避免主播参与虚拟币变现，设立参与上限与监测机制，提前布局虚拟币与礼物流转合规规则以防范赌博风险。

本文介绍VueCrack浏览器扩展工具，面向红队人员用于Vue框架网站路由结构分析与安全测试。工具可自动识别Vue.js、提取路由路径、清除VueRouter导航守卫、修改路由meta鉴权信息，支持梭哈模式前置注入拦截导航方法。文章详述技术架构、组件分工与通信机制，并附开源地址及广告推广。

文章分享四个利用AI辅助挖掘EDUSRC漏洞的实战案例，包括SSRF漏洞、任意文件读取、JWT签名未校验导致任意教师身份登录、以及备份文件泄露身份证信息等，并给出具体复现步骤与利用链，展示了AI在漏洞挖掘中的辅助价值，但文章末尾含较多广告推广内容。

本文预警Linux内核io_uring组件高危提权漏洞CVE-2026-52933，评分7.8，源于有符号比较致取消标记失效引发重复释放，影响6.1至7.0等多版本主线及长期支持分支，公开利用链可本地提权至root。建议升级至修复版本或临时禁用io_uring缓解。

能信安亮相第四届网络空间安全天津论坛，首提智能体时代移动应用安全第三维度交互安全，针对传统安全体系无法抵御智能体依托合法权限发起的无漏洞语义交互攻击的痛点，提出移动应用敏感操作可信裁决融合防御方案，倡议构建可信交互行业新标准，为行业安全体系建设提供新思路。