ZONE.CI 全球网

本期暗网快讯汇总10起主要数据泄露事件，涉及哥伦比亚司法部门、斯里兰卡陆军、英国梅赛德斯等多国政府与企业敏感数据。威胁行为者通过暗网渠道兜售或公开数据库，建议相关机构加强数据安全防护，持续监控暗网威胁情报并及时响应潜在泄露风险。

该研究报告系统梳理了美军微波武器发展现状，指出其已从实验室验证进入军种原型阶段，技术重点转向波形敏捷化与平台小型化，主要应用于反无人机群及要地防护等战术场景，并分析了其对抗防护、法律约束及对华影响。

该报告分析全球太空对抗态势，聚焦美军太空作战理论演进、新型作战平台及商业航天军事化应用，提出我军应构建攻防兼备的太空力量体系。核心建议包括发展分布式天基网络、强化非对称制衡能力，并通过国际军控博弈维护太空安全。报告结合兵棋推演与实战化案例，强调跨域协同与自主可控技术路径。

本报告以俄乌战争为背景分析俄军训练经验教训，指出战争初期暴露出战术协同、单兵素养等短板，促使俄军转向风暴突击分队战术并成立无人系统部队。报告详细阐述了斯沃德态势感知系统应用、各兵种训练转型及动员体制问题，最后提出构建多域作战体系、融合无人机训练等战略启示，为现代军事训练提供参考。

本文深入分析了乌克兰战争中适应速度作为一种核心战斗力的体现，并揭示了现代战争中自下而上的快速创新模式如何优于传统的自上而下采购逻辑。文章强调，战场经验与技术研发的实时反馈机制已成为战略优势的关键，而数据、人工智能和电子战等能力更是作战基础的核心。作者认为，欧洲及北约应从中吸取教训，加速国防体系的变革，以适应未来战场的动态需求。

俄乌冲突中无人机已成为战场神经系统的核心组成部分，通过侦察、目标定位、火力修正和打击评估等功能将有限兵力与战场实际连接。报告指出无人机战争高度依赖电子战环境、人工智能与数据整合、多领域协同及劳动密集型维护体系，强调欧洲和北约需构建包含情报、电子战、防空、数据架构和训练的多层次基础设施而非单纯采购硬件。

本研究针对多旋翼飞行器氢基混合动力推进系统进行建模与优化，通过将2kW质子交换膜燃料电池与12s锂聚合物电池集成，采用NSGA-II算法多目标优化，结果表明氢电架构相比燃烧系统具有更高续航、更低排放和更好可扩展性，适用于长航时无人机应用。

2025年7月美国海军战争学院调查显示，尽管存在临时限制政策，教职员工与学生已广泛使用生成式AI（以ChatGPT为主），多数持积极态度并认为AI素养是关键技能，但普遍存在对AI幻觉、数据安全、学术诚信及批判性思维弱化的担忧，同时指出当前缺乏系统培训与清晰政策指导。

GitHub为npm推出分阶段发布功能，要求包维护者完成双重验证并手动审批后才能公开发布软件包，有效防御供应链攻击。同时新增三项安装来源限制参数（--allow-file、--allow-remote、--allow-directory），配合现有--allow-git参数可对非官方仓库安装来源设置白名单权限。该更新针对近期频发的开源生态攻击事件，建议开发者升级npm至11.15.0以上版本并搭配OIDC可信发布模式使用。

LiteSpeedcPanel插件存在高危漏洞CVE-2026-48172（CVSS10.0），因权限分配错误导致任意cPanel用户账号可调用lsws.redisable函数获取root权限执行恶意脚本。影响2.3至2.4.4版本，2.4.5已修复。官方证实漏洞遭野外利用，提供grep命令排查入侵痕迹，建议升级至WHM插件5.3.1.0或卸载用户端插件。

富滇银行2026年AI智能尽调报告助手采购项目招标控制价150万元，旨在建设信贷业务智能尽调报告平台，实现与新信贷系统集成、数据自动归集、AI分析模型及结构化知识库构建，项目周期270天，要求投标人具备相关资质且不接受联合体投标。

江南农商银行AI赋能企微展业与数字化营销项目由珍岛信息技术（上海）股份有限公司中标，金额245万元。项目将基于企业微信会话存档数据，通过AI技术实现精准营销、智能服务、高效管理、智能风控与合规催收等功能，服务周期为合同签订后6个月内完成。

网络安全研究人员发现Laravel-lang旗下多个PHP程序包遭供应链攻击，黑客通过篡改git标签植入跨平台凭据窃取木马。恶意代码被写入自动加载配置，在主流PHP框架启动时自动执行，可窃取云元数据、浏览器数据、密码管理器、加密钱包等15类敏感信息，加密后回传至恶意服务器并自毁痕迹。

本文是CAPEv2恶意软件自动化分析沙箱的安装指南，详细介绍了其作为CuckooSandbox活跃分支的架构、核心服务功能、硬件前置要求及关键安装注意事项，为安全研究人员部署该开源沙箱提供实操指导。

BurpAPIFinder是一款专为渗透测试设计的BurpSuite插件，能自动从代理流量中提取前端接口路径并识别敏感信息。插件支持多模式路径提取、106条攻防指纹规则匹配、智能路径补全探测、可视化结果筛选及带凭证自动复测功能，可显著提升渗透测试中接口资产梳理、敏感信息泄漏排查、未授权漏洞检测等场景的效率。文档提供了详细的安装步骤和实战场景说明，强调需在授权测试中合规使用。

本文系统阐述了AI安全网关作为企业AI时代核心安全基座的必要性，分析了数据泄露、合规审计、工具分散和内容风险四大挑战。提出了统一接入实现集中管控、安全防护构建纵深防御、数据安全确保可信环境的三维解决方案，并给出分层架构设计和分阶段实施路径，强调技术与管理双轮驱动是构建可信AI环境的关键。

本文详细分析了一个通过服务端原型链污染实现远程代码执行的安全漏洞案例。攻击者从修改地址功能入手，发现JSON数据未经过滤直接合并到服务端对象，通过注入__proto__属性污染Object.prototype。结合管理面板的维护任务功能，利用被污染的execArgv属性在子进程执行时注入恶意命令，最终实现RCE并成功删除目标文件。案例展示了原型污染与业务逻辑结合的实际危害，提供了完整的攻击链分析。

微软披露其OpFauxSign行动端掉FoxTempest黑产团伙的MSaaS服务，该团伙通过窃取身份信息滥用微软ArtifactSigning服务，为恶意软件提供72小时有效期的合法签名，并构建自动化签名平台。攻击链涉及SEO投毒、签名加载器投放及勒索软件分发，凸显零信任架构和基于行为检测的必要性。

上海网警破获15起网约车抢单外挂和出租车计价器作弊案件，抓获73名涉案人员。案件包括李某某非法售卖可破解平台的自动抢单软件600余单，以及李某等人通过改装计价器虚增里程获利3万余元。犯罪嫌疑人分别因涉嫌提供侵入计算机信息系统程序工具罪和破坏计算机信息系统罪被采取刑事强制措施。警方提示此类行为严重违法，将持续严厉打击以维护出行市场秩序。

本文介绍使用Hermes工具简化Metasploit载荷特征修改流程以实现安全软件逃逸，涵盖反编译、特征替换、删除冗余代码、重新打包及创建可复用技能等关键步骤，最终通过火绒杀毒和在线扫描平台测试验证了逃逸效果。

本文介绍了一种基于DeepSeekV4Pro的AI辅助渗透测试新方法，通过XML报错盲注技术绕过WAF关键字检测，在2小时内以1.4元成本成功提取目标系统19个数据库名称。文章详细阐述了利用XML解析崩溃触发HTTP500/200响应区分的布尔盲注原理，并提供了通过ClaudeCode桥接DeepSeekAPI的实战配置方案。最后针对此类攻击提出了WAF监控异常XML行为、参数化查询等防御建议。

微软在投资Anthropic后内部推广ClaudeCode，但因按Token计费导致成本失控，半年后叫停该工具并转向自家CopilotCLI。Uber同样因ClaudeCode在4个月内烧光全年AI预算，暴露AI工具采用率与成本呈非线性增长的问题。文章指出Token经济学存在单价下降但总成本飙升的悖论，建议企业在部署AI前需谨慎评估实际成本与财务回报的平衡。

本文详细披露了GoogleCloud生产环境中一个从调试端点信息泄露演变为完整RCE的攻击链。研究员通过cloudcrmipfrontend-pa.googleapis.com端点泄露内部protobuf定义，利用StubbyRPC机制绕过安全策略，最终通过GenericStubbyTypedTask实现远程代码执行。该漏洞被评定为P0/S0最高级别，获得148,337美元奖金，揭示了Google安全模型中Stubby调用链的核心风险。

GhostTree是一种利用NTFS连接点创建路径递归循环的技术，通过构造二叉树结构产生指数级路径爆炸，使EDR文件夹扫描陷入无限递归而失效。研究证实该技术可有效隐藏恶意软件，微软认为属于检测规避而非安全漏洞。文档提供了监控连接点创建、分析文件访问模式等防御建议，并指出需从签名扫描转向行为分析。

NGINXngx_http_rewrite\\_module存在堆缓冲区溢出漏洞(CVE-2026-42945)，攻击者可通过构造HTTP请求实现远程代码执行。影响版本包括1.0.0-1.30.0等多个NGINX系列产品，目前POC已公开。建议用户立即升级至官方安全版本。