ZONE.CI 全球网

本文档介绍大模型安全测试工具garak的搭建配置流程，包括使用llama.cpp部署本地模型、安装garak工具、配置参数及执行安全测试。文档详细说明了流式与非流式返回的处理方案，以及通过配置文件或自定义Generator插件对接非标准接口的方法。同时指出使用带思考过程的模型可能导致测试结果为空的问题，建议使用无思考过程的instruct模型。

俄关联组织UAC-0099使用新型ASHVEIN远控木马攻击乌克兰政府人员，该木马能提取浏览器凭据、截屏、检索文件，通过HTML隐蔽指令和GitHub备用渠道接收任务。文章指出这是持续获取入口、筛选目标并移交的前端作业系统，四年更换十余种工具，目标覆盖乌克兰政府、防务、边防和物流等领域。对我风险主要来自手法迁移，驻外机构、物流企业等可能成为目标，建议关注非浏览器进程读取凭据库等组合信号，并核查身份令牌、VPN会话等环境。

本文记录在鸿蒙PC上从源码编译安装openHiTLS0.4.0的完整流程，涵盖环境配置、CMake构建、ELF签名及运行验证，并提供一键构建脚本与项目集成示例，为鸿蒙原生安全库开发提供可操作参考。

中通安全应急响应中心发布通知，因双十一业务高峰，于2026年10月19日至11月14日暂停外部授权测试及漏洞收录。期间未经授权的测试将被视为违规，可能面临取消奖励、账号封禁等处置，严重者保留追责权利。暂停期结束后恢复正常收录，建议白帽子遵守规定，保障业务安全稳定。

本文探讨DDoS防护的就绪状态本质是可见性问题，强调需持续验证流量是否真正经过防护路径，而非仅依赖采购和配置。提出三项每日自检：流量宣告、连接健康与流量到达，并建议监控流量缺席而非仅关注激增。文章介绍Imperva的Connectivity仪表盘、GRE隧道性能监控及PoP流量监控等方案，以实现持续验证防护有效性，提升应急响应效率。

本文复现了针对NordicnRF51系列芯片PALL读保护的绕过攻击，通过标准SWD调试口结合GDB单步执行与寄存器修改，借壳CR0中已有load指令逐字节抽取受保护Flash固件，实验约54分钟完整提取256KB镜像。文章指出PALL仅阻止直接读Flash，但调试口无法关闭，寄存器读写与单步执行仍可用，构成攻击面。建议评估威胁模型时需考虑调试口暴露风险，产线应关注SWD焊盘暴露问题，选型时需确认调试口能否彻底关闭。

华云安凭借攻击面管理技术积累，入选数说安全发布的2026年中国网络安全市场全景图三大细分领域，包括网络资产测绘与暴露面管理、漏洞扫描与漏洞管理及入侵与攻击模拟。文章强调其在CTEM框架下的全链能力，依托灵洞Ai.Vul等产品构建AI+云原生安全平台，已服务多行业客户，并获IDC领导者等认可。

本文为区块链私钥安全系列首篇，系统分析托管与非托管方案、热冷钱包及运营密钥分类，强调私钥分类应结合业务权限与使用频率。对比链上多签、智能合约多签、链下审批及MPC等签名机制优劣，指出托管平台APIKey应纳入高敏感凭据管理，不同授权机制可叠加使用，不能仅凭采用多签或MPC判断系统安全性。

文档报道亚洲诚信TrustAsia通过2026年国家级专精特新小巨人企业复核，展示其在数字证书、CT日志运营、物联网安全等领域的专业能力，并介绍CaaS证书管理服务及后量子密码等前沿技术布局。

CipherBridgev6.0是一款面向渗透测试与逆向工程师的可视化解密开源框架，支持自动识别加解密链路、BypassHook绕过加密校验，与BurpSuite联动，降低加密流量调试与逆向分析门槛，具备AI智能分析功能。

本文为泰若星环安全团队对知名AI自主渗透测试系统ARTEX的风险审计报告，覆盖v0.3.7与v0.3.15版本。审计发现多个严重风险，包括未授权接管（数据库异常时密码被覆盖）、未授权爆破、未授权代理及未认证DoS等外部可直接触发的问题。报告提供具体POC与复现脚本，并强调仅限授权环境使用。

本文介绍Zack-BypassWeb工具，可一键生成适配冰蝎4.1的六种Webshell，内置15种以上免杀技术，规避主流安全产品查杀。工具提供桌面级GUI，支持三档免杀等级和8种WAF伪装页面。文章含免责声明及下载引导，属红队工具推广内容，建议在虚拟机中安全测试。

本文访谈默安科技技术总监刘传兴，指出政企AI应用爆发但普遍重业务轻治理，导致调用链路混乱、工具分散、管控失控等失序问题，根源是安全管控基建滞后。AI失序引发业务中断、算力成本超支、敏感数据泄露等风险，且多源于内部、动态隐蔽。行业共识是通过AI智能网关实现统一入口与集中管控，具备负载均衡、算力精细化管理、全链路审计拦截能力，并适配多部法规。金融能源、政务医疗及安全基础薄弱的中大型企业需求迫切，可按搭建管控入口、完善防护、智能自动治理三步推进建设。

本文为SSRF保姆级教程，系统讲解其原理、常见漏洞位置（远程资源加载、回调代理、解析类入口等）、伪协议利用（HTTP、FILE、DICT、GOPHER、FTP）及防御方案。核心结论是SSRF本质是让服务器成为攻击者代理，需严格限制用户可控URL。建议采用协议白名单、IP白名单、DNS二次校验、禁止重定向及出站网络隔离等防御措施，并注意常见绕过手法。

英国公布AI安全新计划，将前沿AI用于政府系统漏洞排查，试点发现千余个安全隐患，平均修复时间由50天压缩至8天。同时研究智能体事故处置机制，拟依托《网络安全与韧性法案》完善监管，推进模型发布前安全测评及主权AI与硬件计划，降低海外技术依赖，但多项细则仍待落地。

研究员公开六个Linux内核漏洞细节及PoC，其中五个可导致本地权限提升和容器逃逸，一个可致内核崩溃。漏洞位于定时器、信号、内存管理等核心代码，影响多版本内核。已有公开利用代码，暂无在野利用报告。建议管理员立即安装已修补内核，优先处理多租户主机和容器节点。

该报告为蓝军开源情报发布的系列研究，评估美军精确打击与新型武器体系能力，涵盖精确打击体系、智能化导弹、多弹协同、高超音速力量及定向能装备等七篇内容。报告强调区分武器性能与体系效能，关注实战验证、采办衔接及区域影响，提出建立连续档案、明确比较条件等评估建议。

美国司法部与FBI开展孤星联合行动，打击曹县IT人员利用被盗美国身份远程入职70家美国公司、获利约300万美元的阴谋。该行动查获大量设备并逮捕相关人员。文章建议企业筛查工作经历矛盾、拒绝视频通话等危险信号，并参考FBI公告加强招聘审查。

CVE-2026-21589影响Atlassian多款产品，源于共享库路径穿越缺陷，未授权可读取WEB-INF下任意文件，Jira集成Crowd场景可升级为管理员接管。建议立即升级至修复版本，排查日志并轮换凭据，临时下线公网或配置访问限制。

本文解读《公安机关网络空间安全监督检查办法》（公安部令第176号），指出网络安全监督检查对象是责任主体而非单一网络安全部门。文章强调网络安全责任应从部门事务转向组织治理，建立主要负责人领导、各业务和职能部门依法履责、网络安全部门统筹协调的全员责任体系。等级测评报告不能替代持续安全运营，检查应从材料合规走向事实合规，网络安全部门应从做安全转向管安全，推动整个组织共同承担网络安全责任。

本文为网络空间安全协会招新宣传，介绍协会面向全校学生提供CTF技能培训、竞赛组队、就业经验分享及团建活动，分技术、宣传、秘书三部，强调合法合规与零基础入门，并附加入方式。建议感兴趣学生扫码加入以获取学习资源与实战机会。

赛门铁克报告称新版Aoki信息窃取程序正针对AI编码助手凭证发起攻击，目标包括Claude、Codex、Cursor、Gemini等工具的API密钥和令牌，以及ChatGPT、Claude和GitHubCopilot凭证。该恶意软件还能窃取AWS凭证，攻击者可通过转售或LLM劫持变现，凸显AI凭证价值日益提升，开发者需加强防护。

这篇文章介绍PwnEscape漏洞研究，研究团队在Vercel百万美元悬赏挑战中，于Linux网络栈发现guest可控校验和元数据漏洞，可在内核校验IPv4头后重写头部字节，从32字节内存泄露发展为完整KVMguest-to-host逃逸。漏洞编号CVE-2026-99999，被评为Critical，根源在Linux网络栈而非hypervisor。

Apollofish安全风险演练平台V1.10更新，支持多系统运行，用于企业安全意识提升，模拟钓鱼攻击场景，强化网络安全意识。

文档推荐UACMe工具集，用于Windows本地提权UAC绕过，支持多种技术，提供使用语法和项目地址。同时介绍安全团队圈子，包含免杀工具、恶意软件开发课程等内容，并声明仅限合法安全测试使用。