/
嘉年华邮轮证实遭ShinyHunters黑客组织入侵，近600万用户数据泄露
全球最大邮轮运营商嘉年华集团确认，2026年4月遭遇系统入侵，幕后黑手为臭名昭著的ShinyHunters黑客组织。攻击源于供应链漏洞，黑客通过网络钓鱼获取第三方账户权限，窃取近600万条乘客数据，涉及姓名、出生日期、护照及驾照信息等。嘉年华承诺为受影响的美国用户提供两年免费信用监控服务，并强调将持续强化IT安全管控体系。
英国GCHQ五年内建成AI国家网络防御盾牌
英国政府通信总部（GCHQ）宣布，计划在五年内建成基于AI智能体的国家网络防御系统，用于保护能源、医疗、交通等关键基础设施。该系统将以"机器速度"识别并修复安全漏洞。GCHQ还积极应对俄罗斯的混合攻击威胁，并推进量子安全加密技术研发。此外，GCHQ强调技术主权不等于"纯本土制造"，应在管理供应链依赖的前提下充分利用全球最优技术。
FBI就Kali365 OAuth Token窃取攻击发出安全警告
FBI近日发出警告，提示一种名为Kali365的工具正被网络犯罪分子用于发动新型网络钓鱼攻击。该工具可获取Microsoft 365的OAuth访问令牌，绕过多重身份验证（MFA）机制，无需截取用户凭据即可入侵账户。攻击者通过伪装成可信云服务的邮件，诱导用户在微软官方页面输入特定代码，从而授权攻击者访问账户。FBI已向IT安全管理人员发布防范指南，建议配置条件访问策略并阻止认证转移。
影子IT的风险、现状与管理策略
影子IT指员工未经IT部门批准而使用的工具和服务。调查显示57%的中小企业存在此现象。这类工具可能绕过安全审查，导致数据泄露、访问失控和合规风险。企业可通过发现梳理、策略管控和企业浏览器等手段，在不阻碍工作效率的前提下，实现对影子IT的可见性管理和数据流动控制，平衡安全与业务需求。
IBM与红帽携手推出50亿美元Lightwell项目，强化开源软件安全
IBM与旗下红帽公司宣布启动"Project Lightwell"开源安全计划，承诺投入50亿美元，并调派逾2万名工程师参与。该项目将利用AI技术扫描开源项目中的漏洞，为企业使用的特定版本开源组件开发并回移补丁，使企业无需升级至最新版本即可完成修复。此外，双方还将建立"可信中间方框架"，促进漏洞信息共享。该计划覆盖范围将超越红帽自有产品组合，延伸至更广泛的开源生态系统。
Anthropic表示Mythos级AI模型即将向公众开放
Anthropic近日发布了Claude Opus 4.8，称其在基准测试中优于Opus 4.7，减少了无依据的断言，并更准确地表达不确定性。与此同时，公司透露其Mythos级模型将在数周内向所有用户开放。目前，Mythos Preview仅限合作伙伴和网络安全专家访问，因其网络安全能力极强，已帮助Mozilla Firefox修复逾200个漏洞。不过，该模型运行成本高昂，约为前代Opus模型的30倍，这在一定程度上限制了其被滥用的风险。
GitHub漏洞赏金计划收紧标准，低质AI报告或只能获得周边礼品
GitHub宣布收紧漏洞赏金计划标准，原因是AI工具的普及导致低质量提交量激增。大量报告缺乏概念验证或明确的安全影响证明。针对低风险发现，GitHub将以周边商品替代现金奖励。GitHub强调，AI辅助研究本身仍受欢迎，但研究人员须对提交内容的准确性负责。此前，开源项目cURL已因类似问题关闭其漏洞赏金计划。GitHub同时澄清了平台安全边界的相关误区，明确提示注入攻击等通常不在赏金范围之内。
StarHub推出全球首创SIM卡身份认证系统，实时管控AI智能体行为
新加坡电信运营商星和（StarHub）正在开发一项全球首创的基于SIM卡的AI治理服务，计划于今年年中启动试验。该服务通过为用户设备上运行的每个AI代理分配唯一实时身份标识，实时监控其通信行为与数据共享情况，并在AI代理出现恶意行为时即时切断连接。除消费端外，该方案还面向自动驾驶、手术机器人、工业制造等关键基础设施场景，并计划推出"AI信任套餐"，为数据泄露事件提供保险保障。
Glassworm僵尸网络被成功摧毁
CrowdStrike、谷歌与Shadowserver基金会于5月26日联合摧毁了Glassworm僵尸网络。该网络长达18个月，通过伪装成VSCode扩展、恶意npm和Python包等手段，入侵超过300个GitHub仓库，并部署GlasswormRAT远程木马。其C2架构融合区块链、BitTorrent和谷歌日历等多渠道，极具隐蔽性。此次精准打击同步切断所有控制通道，为开源供应链安全防护树立了协作打击新范本。
苏格兰社会企业为国家网络安全贡献力量
苏格兰网络欺诈中心作为一家社会企业，过去一年向全国网络安全项目投入逾300万英镑支持。该机构于2025年1月转型为社会企业模式，将专业网络服务产生的利润再投入社区网络韧性建设。过去12个月，该中心提供了价值140万英镑的安全培训、4.5万英镑的免费网络"体检"，协助700余名诈骗受害者防止或追回约160万英镑损失，并阻止了10起DDoS攻击。
主流AI模型对恶意提示词的防御能力远低于厂商宣称
思科研究人员发布报告指出，主流AI开发商对模型安全性的评估存在重大缺陷。现有安全测试主要基于单轮恶意提示，而黑客正越来越多地采用多轮提示绕过防御机制。研究团队对来自OpenAI、Anthropic、谷歌、亚马逊和xAI的15个主流模型进行测试，发现多轮攻击成功率高达8%至88%，远超单轮攻击的2%至65%。其中xAI的Grok 4.1表现最差，亚马逊Nova 2 Lite表现最佳。研究人员呼吁厂商重新审视安全评估标准。
网站可通过分析SSD活动监控访客行为
研究人员发现一种名为FROST的新型追踪技术，可让网站通过测量固态硬盘（SSD）的I/O操作时序，推断访客正在浏览的其他网站及设备上运行的应用程序。该技术利用浏览器的OPFS文件系统执行JavaScript，无需访客任何交互即可实施攻击。FROST通过卷积神经网络分析SSD访问延迟数据来识别用户行为。目前尚无证据显示该攻击已被实际利用，关闭不用的标签页是有效的防护措施之一。
亚马逊公布2025年秋季研究奖获奖名单
亚马逊研究奖为全球学术研究者提供无限制资金和AWS推广积分，支持多学科研究。本轮共有来自11个国家49所大学的68位研究者获奖。资助领域涵盖AI信息安全、智能体AI、自动推理、AWS密码学、网络安全与反滥用技术及可持续发展。获奖者可访问700多个亚马逊公开数据集，使用AWS AI/ML服务，并获得亚马逊研究联系人的咨询支持。
苹果为多个系统更新补充CVE漏洞详情
苹果今日更新了macOS、iOS、iPadOS、visionOS和watchOS多个版本的安全内容页面，为已修复的漏洞补充了CVE编号和详细信息。更新涵盖macOS Sonoma 14.8至14.8.7、iOS/iPadOS 18.7至18.7.9，以及watchOS 26和visionOS 26等版本，修复了包括未授权访问隐私浏览标签、应用获取敏感数据、恶意应用提权等多个安全问题。
Zscaler第三季度营收超预期但自由现金流指引下调，股价大跌
云安全公司Zscaler第三季度营收和利润均超预期，并上调全年营收和利润指引，但因计划增加资本支出而大幅下调自由现金流预期，导致股价盘后暴跌超19%。截至4月30日的季度中，调整后每股收益1.08美元，营收8.505亿美元，同比增长25%。年度经常性收入增长25%至35.25亿美元。公司将全年自由现金流利润率指引从26.5%-27%下调至22.8%-23.3%，原因是资本支出占营收比例升至高个位数水平。
安全培训的未来：Dashlane 与 KnowBe4 集成方案解析
在本期《Apple @ Work》播客中，Dashlane的Frederic Rivain与KnowBe4的Erich Kron共同探讨了两家公司最新集成方案及企业安全培训的未来趋势。节目由Apple统一管理平台Mosyle独家赞助，该平台为全球超过45,000家企业提供Apple设备的自动化部署、管理与安全防护服务，助力企业以低成本实现设备高效运营。
机器人与自动化时代，网络安全为何至关重要
随着工厂、仓库中机器人、AGV、工业传感器等设备大量接入网络，网络安全已从"IT职责"升级为"业务生存"问题。网络中断不再只是数据丢失，更可能导致生产停摆、物理安全风险。OT与IT的融合、供应商远程访问、难以修补的老旧设备，都为攻击者提供了可乘之机。实用应对策略包括：网络分段、严格管控远程访问、建立设备资产清单、监控异常流量，并优先修补高风险系统。
网络攻击袭击学习平台Canvas，多所学校期末考试陷入混乱
美国多所高校在期末考试期间遭遇严重危机——在线学习平台Canvas遭受网络攻击被迫下线。Canvas母公司Instructure表示，周四发现网络中存在未授权活动后临时关闭平台，周五上午已恢复正常。此次攻击者与一周前数据泄露事件为同一威胁行为者。勒索软件组织ShinyHunters宣称对此负责，称窃取了涉及8800所学校、2.75亿人的数据。伊利诺伊大学等多所高校被迫推迟期末考试安排。
CISA开放漏洞提交渠道，征集已被利用的安全漏洞线索
美国网络安全和基础设施安全局（CISA）近日推出新举措，允许安全研究人员、技术厂商及独立研究者通过专属表单，向其"已知被利用漏洞"目录（KEV）提交漏洞信息。提交者需提供CVE编号、利用证据及缓解建议等详细内容。CISA表示，此举旨在提升威胁情报的识别与共享效率。目前KEV已收录约1600个漏洞，仅过去两周就更新六次。与此同时，NIST也宣布将缩减其漏洞数据库的详细信息补充工作，仅优先处理最严重的漏洞。
Cisco Secure Workload平台存在最高级别严重漏洞
思科安全工作负载平台本地部署版本存在严重漏洞，攻击者可利用该漏洞获取站点管理员权限，进而控制端点、读取或修改配置数据。该漏洞CVSS评分为满分10.0，允许未经身份验证的远程攻击者通过发送特制HTTP请求绕过身份验证。思科强烈建议用户立即安装软件更新修复此漏洞，目前暂无其他解决方案。SaaS版本已由思科完成修复，本地部署版本用户需尽快采取行动。
京公网安备 11010802021500号
