ZONE.CI 全球网

某系统因前端JS漏洞导致200万条学生信息泄露，包括姓名、身份证号等敏感数据，攻击者通过构造特定请求即可获取。作者通过分析前端脚本，发现了存储型XSS、信息泄露等漏洞，并详细描述了漏洞利用过程。文章强调合法渗透测试的重要性，并提醒读者遵守法律法规。

四川省第四届网信行业技能竞赛网络与信息安全管理员赛项决赛结果公示，竞赛于2026年9月28日举行，由四川省人社厅和省委网信办主办，100余名选手参赛，涵盖政务、电力、金融、通信等领域。公示期为2个工作日，有异议可书面反馈组委会。

商务部等9部门联合发布《关于加快推进科技兴商的意见》，以科技兴商为主线提出18条举措，涵盖科技赋能商品消费提质、推动服务消费扩容、畅通商贸流通链条及塑造未来商业场景，并从标准、基础设施、安全监管等六方面优化发展环境。

CrowdStrike研究显示，约515种直接绕过LLM安全分类器的方法全部失败，但通过将有害任务拆解为多个正常软件开发请求，再由未装分类器的小模型重组结果，10类攻击场景中9类成功生成可运行攻击代码。核心风险在于单次请求安全审查无法覆盖跨请求组合风险，需关注请求序列整体含义、多模型协同威胁建模及跨模型知识迁移。

本文深入解析钻石票据与蓝宝石票据两种Kerberos伪造技术，对比黄金白银票据，阐述其通过修改真实TGT的PAC或窃取高权限PAC实现隐蔽提权，并给出Rubeus实战命令、检测重点及防御建议，强调保护krbtgt密钥与监控S4U异常。

安徽省举办2026年网络与信息安全职业技能大赛暨安网杯攻防比武大赛，600余名选手、191支战队参赛，分网络安全管理员与信息安全测试员两大赛项。大赛组委会公示获奖名单后正式公布各赛项获奖情况，旨在以赛促学、以赛促教，提升安徽省网络安全供给能力，推动网络安全高质量发展。

第三届CCF算法能力大赛区域赛报名通知发布，面向在校大学生、企业工程师及自由职业者，不限国籍和组别。区域赛定于2026年12月6日在全国各大城市举行，报名时间为9月28日至11月18日09:00，免收报名费。比赛形式为8小时5道题封闭式上机测试，总决赛2027年4月在宁波举办，区域赛前500名可晋级。

研究员发现SubaruStarlink员工后台存在越权漏洞，仅凭车牌等公开信息即可远程控车、定位并获取一年行驶轨迹。漏洞源于忘记密码接口逻辑缺陷及前端2FA可绕过，上报后24小时内修复。文章强调车企后台权限模型存在结构性问题，建议最小权限与操作留痕。

本文介绍Penelope工具，一款面向渗透测试和CTF玩家的高级shell处理工具，功能强于netcat，支持自动PTY升级、多会话管理、文件上传下载、HTTP服务器及辅助模块。文章详述安装方法、功能特性、支持命令及常见用法，并附GitHub下载链接，同时提醒用户遵守网络安全法，在合法合规环境下进行渗透测试。

LiteLLMAI网关曝出CVE-2026-35029权限绕过与CVE-2026-59823SSRF双漏洞，影响1.83.9以下版本，低权限用户可窃取API密钥、读取文件甚至接管网关。建议立即升级至1.83.9及以上版本，审查/配置/update端点访问权限，轮换所有AI厂商API密钥，排查间接引用的隐藏实例并监控异常调用。

本文盘点AI合规要求，区分大模型厂商与AI应用集成商的不同合规责任。核心结论是监管政策持续加码，需遵循国内外法规如生成式AI暂行办法、欧盟AI法案。关键发现是风险判断场景优先，责任穿透至集成商。建议建立风险分级台账、供应商尽调报告等自查输出物，守住AI落地红线。

本文是第四届`数信杯`数据安全大赛个人赛的解题记录合集，包含16道题目的信息、分析过程、复现脚本和结论。

DeepSeek-V4.1-Flash-1017模型登顶CodeArenaWebDev开源模型榜首，特斯拉宣布无速成车，iPhone18Pro系列销量突破400万，ClaudeCode代码90%由AI自写自审，马斯克称Optimus人形机器人和Cybercab将构成特斯拉大部分价值，星巴克实施消费才可入座规则，豆包发言人辟谣国内55%算力用于视频和短剧，微信发起公众号小说改编微短剧激励活动，Spotify打击家庭套餐共享，苹果将举行特别活动，马斯克宣布明年向全美孩子赠SpaceX股票。

该事件分析报告披露一名黑客利用开源AI代理平台Cairn，以约50美元单次成本、不足100字中文指令，自主入侵超100家电商网站。报告详述攻击链条、受害者回应及多个攻击集群，对比去年GTG-1002事件，指出AI自主攻击门槛已降至个人可负担水平。防御建议包括审计关联基础设施、监测网页后门、利用23小时窗口期、管好AI基础设施及轮换泄露密钥。

本文作者以红队攻击方视角，批判传统WAF依赖正则黑名单机制的滞后性与高误报率，提出以纯语义解析AST加多引擎融合的防护架构，通过理解代码语法结构与执行意图识别攻击，并采用极速短路加深度精查优化性能，辅以网段连坐封禁、AI自学习与团伙溯源策略。文章兼具技术洞见与引流软文性质，可借鉴其语义分析思路，但需甄别推广成分。

本文为CISAW安全运维专业高级认证首期班招生推广，面向持有专业级证书的网安管理人员。课程涵盖合规要求、安全运维规划管理实战与评价等，4天含6大实验4大案例，培训费10800元，考试认证费1080元，考试分笔试与实操。建议符合条件者关注官方渠道报名。

西湖大学工学院医学人工智能实验室招聘博士后1至3名，研究方向为医学影像分析、医学自然语言理解及多模态医学大模型。要求35岁以下博士，发表至少3篇论文，熟悉Python和PyTorch。提供有竞争力薪酬、落户及子女入学支持，并享受杭州市多项博士后资助政策。应聘者需将简历发送至指定邮箱。

作者分享接到冒充税务机关的诈骗电话后，通过信息收集发现多个诈骗域名，渗透测试发现采用FastAdmin和ThinkPHP框架搭建的站点存在CVE漏洞和弱口令，但利用时遇到上传漏洞报错问题。最终后台记录显示上百人受骗，单次损失300-500元。强调日常需提高反诈警惕，诈骗分子使用.help域名且多为未修复漏洞的简易CMS系统。

江西宜春网警打掉一侵犯公民个人信息犯罪团伙，涉案金额1400余万元，抓获23人，查扣电子设备70余台。该团伙通过短信通道批量发送虚假贷款营销短信，为下游非正规贷款机构引流牟利。民警提示公众勿轻信不明贷款短信，保护个人信息，发现泄露及时举报。

该预警报告披露假冒人社部门补贴通知的网络诈骗活动，犯罪分子通过钓鱼文档诱导受害者访问仿冒网站，骗取姓名、身份证、银行卡号及密码等敏感信息。报告强调官方补贴政策仅通过正规渠道发布，提醒用户勿点击陌生链接、核验网站域名，遇索要密码或验证码即涉嫌诈骗，并建议通过国家计算机病毒协同分析平台提交可疑文件。

中国网络空间安全协会在深圳举办智能网联安全学术沙龙暨2026年网络安全大讲堂第三期，走进腾讯总部，汇聚50余位专家及会员单位代表，围绕智能体数据安全、AI安全治理框架与标准化、软件供应链安全等议题展开研讨，旨在促进产学研融合，提升行业安全防护与合规治理能力。

本文介绍山石网科统一AI网关产品，指出企业使用AI面临看不住、管不细、控不住、查不清四类数据安全风险。该网关作为统一入口，将身份、内容、权限、记录落实到调用链上，实现请求响应安全检查、Agent身份与工具权限管理及安全日志追溯。建议企业从低风险场景试点，逐步扩展AI安全治理。

公安部公布护网2026专项工作10起网络安全行政执法典型案例，涉及数据安全、网络安全及个人信息保护义务不履行等违法行为，包括数据接口漏洞、平台被控拨打诈骗电话、违规采集人脸信息等问题，公安机关已依法行政处罚。建议企业完善安全管理制度，落实技术防护措施，加强人员培训，履行数据与个人信息保护义务。

国家网信办于2026年10月19日发布公告，开展未成年人用户数量巨大及对未成年人群体具有显著影响的网络平台服务提供者认定工作。公告明确了认定标准，包括注册用户或月活跃用户数量门槛，以及平台规模、未成年人使用情况等考量因素。要求符合条件的平台主动自评估并提交申报材料，逾期未申报将收到通知补交。

2026年10月20日，暗网出现某专业资格证书数据泄露事件，包含敏感个人信息，风险等级高，受影响国家为CN。