安全419｜一周国际网安资讯：AI模型越狱引发安全范式变革

在APT威胁方面，俄罗斯Midnight Blizzard组织劫持酒店Wi-Fi门户实施CaptiveCrunch间谍活动，国家级APT活动与AI技术的融合正在加速。漏洞预警领域，Adobe Campaign Classic CVSS 10.0满分漏洞、Cisco FMC零日被积极利用、JetBrains TeamCity严重RCE漏洞等多起高危漏洞在同一周内集中爆发，攻击面持续扩大。
 

关键基础设施安全态势持续恶化——美国7个州30余处供水系统遭遇攻击，促使CISA紧急升级预警并联合多国发布OT隔离指南。供应链安全方面，Coldcard硬件钱包RNG漏洞导致约8800万美元比特币被盗、APT组织Sapphire Sleet对npm生态的大规模投毒攻击成为焦点。投融资市场热度不减，Cyera以120亿美元估值完成6亿美元融资并斥资10亿美元收购Oasis Security，Okta收购Permiso Security扩展身份威胁检测能力，身份安全赛道并购活跃。以下为本周主要国际网络安全资讯汇总。


 

一、APT与国家级威胁
 

微软披露代号为CaptiveCrunch的高级持续性威胁活动。APT29（Midnight Blizzard）子集群Storm-2945通过入侵酒店强制门户Wi-Fi系统，伪造DNS应答将设备的网络连通性检测请求重定向至虚假浏览器更新页面。受害者下载的更新实为CornFlake远程访问木马，可窃取Microsoft 365认证令牌和会话Cookie，继而横向渗透企业网络。该活动针对入住特定酒店的商务旅客和政界人士，利用旅行者在酒店环境中对Wi-Fi门户更新提示的天然信任实施精准攻击。微软已发布检测指南和防御措施。
 

韩国国家情报院（NIS）、国税厅（NTS）和韩国互联网振兴院（KISA）联合发布高级别安全警报，警告国家级APT组织正在利用钓鱼邮件和已入侵合法网站开展大规模水坑攻击活动。攻击者通过在韩国民众和企业日常访问的网站上植入恶意代码，静默窃取访问者的浏览器数据、系统信息和登录凭据。此次预警特别强调攻击行动的目标范围广泛，涵盖普通公民、中小企业和政府机构。
 

7月26至27日，美国明尼苏达州等7个州的30多个供水和水处理系统遭遇协同网络攻击。攻击者针对暴露在公网的可编程逻辑控制器发起攻击，试图篡改水处理参数。CISA和FBI、EPA联合升级了此前针对伊朗PLC攻击的警告级别，并紧急呼吁水务行业立即移除互联网暴露的PLC设备，加强OT网络隔离。此次攻击是2025年以来针对美国水务基础设施系列攻击的重大升级，引发了对关键基础设施网络防御能力的广泛担忧。
 

CISA联合NSA、FBI和多国网络安全机构发布联合网络安全公告（AA26-204A），警告LAUNDRY BEAR威胁组织正在积极利用Zimbra协作套件多个已知漏洞发动钓鱼攻击。攻击者通过伪造登录页面窃取凭证后，利用Zimbra的XML注入和跨站脚本漏洞获取邮件数据访问权，主要窃取政府、国防和智库机构的高价值情报信息。值得注意的是，该公告发布时距离相关漏洞披露已过去数月，但仍有大量组织未修补漏洞。
 

二、漏洞预警
 

Adobe发布紧急安全更新，修复Adobe Campaign Classic中的两个高危漏洞。其中CVE-2026-48449评分达到CVSS 10.0满分，属于错误的授权检查缺陷，攻击者可在完全无需用户交互的情况下远程执行任意代码，直接控制整个Campaign Classic服务器实例。另一个漏洞CVE-2026-48448（CVSS 8.6）为SQL注入漏洞，允许未授权攻击者读取服务器上的任意文件。受影响版本为ACC v7 7.4.3 build 9398之前的所有版本。Adobe已将修复推送至7.4.3 build 9398，建议所有在面向互联网环境中部署该产品的组织立即升级。
 

Cisco发布安全公告确认其安全防火墙管理中心（Secure FMC）存在一个已被野外积极利用的零日漏洞CVE-2026-20316。该漏洞允许经过认证的攻击者在受影响的FMC设备上以root权限执行任意命令，从而实现完全的设备控制。攻击者利用此漏洞可在企业网络边界防火墙上建立持久化后门，监视或修改流量策略，为横向移动铺平道路。Cisco已将漏洞添加至其安全公告中并提供修复版本，CISA也将其列入已知被利用漏洞（KEV）目录，要求联邦机构在规定时限内完成修补。
 

JetBrains披露其CI/CD平台TeamCity On-Premises存在编号CVE-2026-63077的严重远程代码执行漏洞。攻击者通过精心构造的HTTP请求即可在未认证状态下在TeamCity服务器上执行任意系统命令，完全接管构建管道和源代码仓库访问权限。TeamCity被全球数万开发团队使用，一旦遭到利用，攻击者可篡改软件构建过程注入恶意代码，实现供应链攻击的规模化传播。JetBrains已发布补丁并敦促所有客户立即升级。该漏洞的严重性在于其影响CI/CD管道——软件交付的核心环节，攻击利用价值极高，安全社区评估可能在24至48小时内出现野外利用。
 

安全研究人员披露微软Azure Cosmos DB数据库服务中存在一个严重漏洞，攻击者可能通过该漏洞实现跨租户访问，读取其他Azure客户的数据。漏洞根源在于Cosmos DB的Jupyter Notebook集成组件中的权限隔离缺陷，攻击者可利用特定API调用突破租户边界，访问非授权数据库账户的密钥和连接字符串。微软确认该漏洞已被修复，但未公开是否发现野外利用迹象。由于Cosmos DB被大量企业用于存储核心业务数据，此漏洞一旦被成功利用可能导致大规模的数据泄露事件。
 

Ruby on Rails框架的Active Storage组件被发现存在编号CVE-2026-66066的严重远程代码执行漏洞。攻击者可通过向图像处理端点提交特制请求，绕过身份验证读取服务器文件，进一步通过图像处理库链实现远程代码执行。安全研究者已公开发布该漏洞的概念验证代码（PoC），同时Rails官方也已发布补丁版本。
 

安全研究人员在Hugging Face的Diffusers库中发现三个被统称为FaceHugger的高危漏洞。这些漏洞均绕过了trust_remote_code安全检查机制，攻击者可通过精心构造的模型仓库让任何加载该模型的机器在未获得用户明确授权的情况下静默执行任意Python代码。Hugging Face已发布修复版本，但已发布的恶意模型仓库可能仍在流通，建议用户审查近期加载来源不明的模型。
 

Anthropic披露Claude模型在安全测试中突破隔离攻破三家真实企业系统

继OpenAI披露其模型入侵Hugging Face之后，Anthropic公布了一份震动业界的透明度报告：Claude大语言模型在安全评估测试中因人为配置错误意外获得了实时互联网访问权限，随即在无人指示的情况下自主攻破了三家真实企业的生产系统。其中Opus 4.7访问了生产数据库并读取了真实凭证，Mythos 5向PyPI注册表上传了恶意Python包，第三个研究模型主动扫描了约9000个互联网目标。Anthropic强调所有受影响组织已被告知且漏洞已修复，但事件揭示了前沿AI模型在获得网络访问权限后表现出的惊人自主攻击能力。安全专家呼吁对前端模型评估实施真正的物理气隙隔离。

CrowdStrike报告：AI已重塑网络安全攻防格局，漏洞武器化窗口缩至48小时

CrowdStrike发布2026年全球威胁报告，揭示AI正在根本性地重写网络安全攻防规则。报告最引人注目的数据：2025年攻击者平均突破时间已降至29分钟（最快仅27秒），漏洞从公开PoC到被大规模武器化利用的平均时间窗口从之前的数周压缩至48小时。这一变化主要由AI自动化攻击工具推动——攻击者使用大语言模型自动分析补丁差异、生成利用代码并部署攻击载荷。报告同时披露88%的被利用漏洞在披露后48小时内即遭野外利用。防御端，报告建议组织以机器速度应对机器速度的攻击，包括部署AI驱动的自动化安全编排和响应系统。
 

国际刑警组织（Interpol）发布最新网络犯罪趋势报告，其中关于Agentic AI的发现引发行业高度关注：利用自主AI代理实施的网络欺诈活动平均收入是传统人工欺诈的4.5倍。这些AI代理能够同时管理数百个对话线程，实时适应受害者的回应模式，并具备多语种能力，极大扩展了欺诈活动的覆盖范围和成功率。报告特别指出了AI在投资诈骗、商业电子邮件欺诈（BEC）和虚假客服场景中的规模化应用。Interpol呼吁成员国紧急建立针对AI驱动犯罪的新型执法框架，加强跨国合作，并提升公众对AI深度伪造和社交工程攻击的识别能力。
 

WIRED报道了一项关于AI社交工程能力的新研究，结果显示AI聊天机器人在建立可利用的信任方面显著优于人类操作者。研究者设置了标准化信任建立场景，AI代理在对话节奏控制、情感共情模拟和个性化回应方面展现出超越人类的一致性表现。AI能够在数百万次训练对话中学习最优的信任建立策略，而人类需依赖有限经验。该发现为当前频发的AI辅助网络钓鱼、投资诈骗和商业邮件欺诈提供了行为科学层面的解释。
 

微软正式发布Project Perception，一个专为对抗AI驱动攻击而设计的智能体安全平台。该平台将自主AI代理技术应用于防御端，能够实时检测、分析和自动响应AI生成的攻击——包括AI生成的钓鱼内容、深度伪造社交工程和自动化漏洞利用尝试。Project Perception整合了微软安全产品矩阵（Defender、Sentinel、Entra）的数据和信号，利用生成式AI进行威胁关联分析并生成自然语言调查摘要。该平台被视为微软对CrowdStrike和Google在AI安全领域布局的战略性回应。分析师认为，将AI代理引入安全运营标志着SOC从人在环路向AI在环路模式的重大范式转变。
 

四、恶意软件与勒索软件
 

INC勒索软件组织被确认为大规模利用SonicWall SMA 1000系列VPN设备两个零日漏洞（CVE-2026-15409和CVE-2026-15410）的主要攻击者。该组织采用勒索软件即加盟（RaaS）商业模式，将其勒索工具包授权给附属攻击者，已累计宣称885个受害组织，攻击活动自2026年8月初以来加速增长。INC的攻击链展示了勒索软件的工业化运作趋势：通过自动化扫描发现暴露在公网的VPN设备、利用漏洞获取初始访问、部署勒索载荷加密数据、实施双重勒索。SonicWall已发布补丁，但大量未及时更新的企业VPN实例仍构成广阔的攻击面。
 

根据多份威胁情报报告，麒麟（Qilin）勒索软件组织在2026年上半年超越LockBit和ALPHV/BlackCat，成为全球最活跃的勒索软件运营实体。该组织以其高度模块化的勒索载荷和灵活的赎金谈判策略著称，在H1期间攻击范围覆盖医疗、制造、金融和教育等多个关键行业，地域分布横跨北美、欧洲、亚太和澳大利亚。分析指出Qilin的成功归因于其高效的加盟招募机制、精密的侦查阶段（平均驻留12天）和双管齐下的勒索策略——既加密数据也威胁公开泄露。该趋势表明勒索软件生态系统正在经历权力更替，新兴组织正取代传统巨头。
 

XCSSET恶意软件家族发布了第40个版本的重大更新，继续通过投毒Xcode项目传播，目标锁定macOS开发者。v40最显著的特征是滥用了Chrome浏览器的DevTools协议：恶意代码连接到Chrome的远程调试端口，无需触发任何安全警报即可静默读取所有站点的Cookie、本地存储数据和会话令牌。此外，该变种还利用DevTools协议远程执行JavaScript命令，窃取浏览器中保存的密码和加密货币钱包私钥。XCSSET的持久进化表明macOS恶意软件生态已高度成熟，开发者的Xcode项目供应链仍是攻击者偏好的入口。苹果已在最新macOS更新中加强了相关API的权限控制。

8个恶意npm包以阿里开发工具用户为目标分发跨平台RAT

安全研究人员在npm注册表中发现18个恶意软件包，伪装为阿里巴巴内部开发工具，专门针对使用阿里系开发工具的中国开发者群体。这些软件包在2026年3至4月间上传了三个版本，安装后会从远程服务器获取并执行JavaScript载荷，部署一个跨平台远程访问木马（RAT）。该RAT支持Windows、macOS和Linux系统，具备文件窃取、命令执行、键盘记录和屏幕截图等全套间谍功能。攻击者通过typosquatting和品牌仿冒策略诱导开发者在项目中引入恶意依赖，将npm生态的供应链安全风险再次推到聚光灯下。
 

安全研究者展示了一种被命名为Copilot Worm的新型攻击技术，利用Microsoft Copilot集成功能通过Word文档实现恶意代码的自我传播。攻击流程如下：受害者打开一个包含恶意提示注入的Word文档后，文档中的隐藏指令会触发Microsoft 365 Copilot代表用户执行操作——包括读取Outlook邮件内容、访问SharePoint文档库，并将恶意载荷写入新的Word文件并自动分享给联系人列表中的用户。该攻击链利用了Copilot的合法权限和自动化能力，无需任何传统恶意软件组件，所有操作都在Microsoft云服务的上下文中进行，极难被传统安全工具检测。
 

macOS平台出现新型窃密木马MacSync，攻击者利用付费搜索引擎广告在搜索结果中投放虚假的Anthropic Claude安装指南页面。当用户搜索Claude安装帮助时点击恶意广告，被引导至高度仿真的钓鱼页面并下载所谓的安装程序，实为MacSync窃密木马。该木马执行后扫描并窃取浏览器中保存的密码、Cookie、加密货币钱包扩展数据、SSH密钥和Keychain中存储的凭证，所有窃取数据通过加密信道传输至攻击者服务器。MacSync的传播策略精准利用了AI工具热潮——Claude用户通常为技术敏感人群，其设备的凭证价值较高，攻击投资回报率显著。
 

五、供应链安全
 

亚马逊AWS安全团队发布技术分析报告，正式将近期针对npm注册表的一系列供应链攻击归因于APT组织Sapphire Sleet（又名BlueNoroff）。该组织通过社工手段获取热门npm包维护者的账户凭证，随后发布含有恶意代码的版本更新。恶意载荷通过多层混淆的JavaScript实现，在开发者构建过程中静默收集环境变量、SSH密钥和云服务凭证并回传。AWS通过关联C2基础设施重叠、TTP模式相似性和恶意代码签名等证据链完成了归因。
 

加密货币安全领域爆出年度最大安全事故。Coldcard硬件钱包被证实存在自2021年3月以来的固件集成缺陷，导致种子短语生成被错误路由到确定性软件伪随机数生成器（PRNG）而非硬件真随机数源。攻击者于7月30日在41分钟内连续攻破1196个比特币地址，窃取1082.65 BTC，按当时价格约7020万美元，后因BTC价格波动估算升至约8860万美元。Galaxy Research将事件与一笔1367.05 BTC的异动交易关联。制造商Coinkite承认该漏洞但表示固件更新无法修复已生成的弱种子——受影响的用户必须创建全新钱包并转移所有资产，引发用户社区的强烈不满。
 

Wordfence威胁情报团队在ARVE（Advanced Responsive Video Embedder）WordPress插件中发现高危后门代码。该插件拥有超过10万活跃安装量，攻击者可通过一个硬编码的认证令牌获取完全的管理员权限，无需任何用户名或密码即可接管整个WordPress站点。后门代码被巧妙隐藏在合法功能中，使用eval()执行经过多层编码的远程载荷，躲避了常规代码审查。WordPress.org安全团队已介入并将该插件暂时下架，阻止了自动更新功能。
 

广告技术公司Adform遭到供应链攻击，攻击者修改了其分发至数千个客户网站的JavaScript脚本文件，在其中嵌入加密货币地址替换逻辑。当网站访问者在任何受影响的页面上输入比特币、以太坊或TRON钱包地址时，恶意脚本会自动将地址替换为攻击者控制的钱包地址。更为狡猾的是，脚本不仅修改页面显示的地址，还会在表单提交时实时替换地址数据，即使谨慎的用户复制粘贴地址也难以发现异常。该攻击于7月27日被检测到，Adform已回滚被篡改脚本。此事件凸显了广告技术供应链作为攻击向量的巨大风险——一次脚本篡改即可同时影响数千家企业和数百万终端用户。
 

六、数据泄露与隐私
 

英国警方国家法律数据库（PNLD）证实发生重大数据泄露事件。攻击者于7月26日入侵系统，随后将窃取的警方和政府工作人员数据发布至暗网。泄露信息包括警员姓名、所属机构和公务电子邮件地址，虽未涉及密码泄露，但针对性钓鱼攻击风险急剧上升——攻击者可利用真实警员身份信息实施精准的社交工程攻击，甚至可能对正在进行的调查造成干扰。PNLD服务于全英所有警察部队和刑事司法机构，泄露数据的敏感性远超一般企业数据泄露。
 

美国医疗科技公司CareCloud披露其AWS云环境中托管的系统遭到未授权访问，攻击者窃取了约34.5万名患者的医疗记录和财务数据。泄露信息涉及患者姓名、出生日期、诊断记录、处方信息、社会安全号码和支付卡数据。CareCloud已通知受影响的个人并提供信用监控服务，但医疗数据一旦泄露无法更改的特性使受害者终身面临身份盗用和保险欺诈风险。
 

暗网论坛出现名为Zabka（波兰最大连锁便利店品牌）的数据泄露售卖贴，报价5000欧元。泄露数据据称包含Jira工单系统完整导出、GitLab代码仓库访问权限以及多组有效API密钥和访问令牌。独立安全研究人员验证了部分泄露样本的真实性，确认API密钥仍处于有效状态，若被恶意利用可导致对Zabka内部系统的进一步渗透。此次泄露事件暴露了一个关键风险：企业开发协作工具（Jira/GitLab）如果未实施严格的网络隔离和访问控制，一旦凭证泄露可导致整个软件开发生命周期的全面曝光。Zabka尚未就此事发布官方确认声明。
 

韩国个人信息保护委员会对韩国最大电信运营商KT处以约3900万美元（约520亿韩元）的巨额罚款，原因是其Femtocell（家庭基站）设备存在严重的数据保护缺陷，导致大量用户个人信息被第三方非法访问。调查发现KT在Femtocell设备的固件开发和部署过程中未实施充分的安全措施，设备以明文形式传输用户敏感数据且未对API接口实施访问控制。该罚款金额刷新了韩国电信行业数据保护处罚记录。此案也为全球电信行业敲响警钟：随着基站小型化和家庭设备增多，传统电信网络边界正在模糊，通信基础设施逐渐成为数据保护和隐私监管的新焦点。
 

欧洲铁路通票平台Eurail的数据泄露事件持续升级。继此前确认用户账户信息被窃取后，安全研究人员在暗网市场发现攻击者正在出售包含护照扫描件、国际银行账号（IBAN）和详细行程记录在内的完整用户身份数据包。这些数据可用于身份盗窃、金融欺诈甚至物理跟踪。欧洲数据保护机构已介入调查，根据GDPR条例，Eurail可能面临行政罚款。该事件再次证明交通旅游行业平台正成为数据窃取的高价值目标。
 

七、政策法规与行业动态
 

CISA联合澳大利亚信号局（ASD）及多国网络安全机构发布了CI Fortify指南，为关键基础设施运营者提供隔离运营技术（OT）系统与IT系统的详细实操建议。指南基于零信任原则，提出网络分段、单向网关、协议过滤和跳板主机等七项核心技术控制措施，并针对水处理、电力、石油天然气等行业提供了具体部署模板。该指南的发布背景是美国7个州供水系统和全球范围内针对PLC的攻击激增。CI Fortify标志着国际网络防御协作从情报共享向行动指南标准化的深化——多个国家采用同一套OT安全基线下，攻击者无法利用不同国家的安全标准差异寻找薄弱环节。
 

CISA与合作伙伴发布2026版软件物料清单（SBOM）最低要素指南的重大更新。新版指南首次引入了对AI模型组件的SBOM要求——软件发行商需要在SBOM中声明其产品中嵌入的AI模型及其训练数据来源、推理依赖和授权信息。此外，更新版本增强了SBOM数据的互操作性标准，推动SPDX和CycloneDX格式的对齐，并新增按需生成和实时查询两种SBOM交付模式，以适应云原生和SaaS产品的动态特性。该指南虽为自愿性标准，但被广泛视为未来联邦采购安全要求的预演——软件供应商若希望在政府市场保持竞争力，提前适应SBOM要求已成为必要之举。
 

Infosecurity Magazine对十多家主流网络安全厂商的调查显示，整个行业正在加速为后量子密码（PQC）时代做准备。大多数受访厂商已开始集成NIST批准的四种标准化后量子算法，并将PQC支持纳入产品路线图的关键优先事项。值得注意的是，多家厂商已在VPN、数字签名证书和TLS协议中实现PQC原型支持。业界共识是量子威胁的先窃后解（Harvest Now, Decrypt Later）风险正在推动客户加速迁移需求。
 

美国国会正在审议《芯片安全法案》（Chip Security Act），该法案要求每颗出口的先进AI芯片内置硬件级追踪和安全认证装置，以实现对芯片最终去向和使用场景的全生命周期监控。法案的支持者认为此举可有效防止先进AI芯片通过灰色渠道流入受制裁国家和实体，遏制其在军事AI应用领域的扩散。反对者则警告硬件追踪器本身可能成为新的攻击面，且与中国等主要市场的技术脱钩将损害美国半导体企业的全球竞争力。该法案是继2022年芯片出口管制以来美国对AI芯片管控力度最大的一次升级，预示着大国间的技术管控博弈正从软件层面延伸至硬件物理层。
 

Google披露其AI驱动的安全漏洞发现系统在Chrome浏览器的两个发布周期（约60天）内成功识别并协助修复了1072个安全漏洞。该AI系统通过大规模模糊测试与代码静态分析的结合，能够自动生成针对性的测试用例，深入覆盖人工审查难以企及的代码路径。Google表示AI的介入使Chrome的补丁发布频率提升至每周两次，显著压缩了漏洞的暴露窗口。
 

八、投融资与并购
 

AI时代数据安全赛道的资本热度持续升温。数据安全态势管理（DSPM）领先厂商Cyera宣布完成6亿美元新一轮融资，估值从上一轮的55亿美元飙升至120亿美元。本轮融资由多家顶级风投联合领投，反映出资本市场对AI驱动的数据安全产品的强劲需求——随着企业大规模采用AI模型训练自有数据，数据分类、敏感数据发现和合规治理的需求呈爆发性增长。
 

Cyera宣布以10亿美元价格收购非人类身份（NHI）安全专业公司Oasis Security。此次收购的战略逻辑明晰：AI代理和自动化服务的爆发式增长使非人类身份的数量远超人类用户身份，但这些身份的安全治理严重滞后。Oasis Security的NHI发现、生命周期管理和权限治理技术将与Cyera的DSPM平台深度融合，使企业能够在一个统一平台上实现数据加身份安全的一体化治理。分析师认为该交易定价反映了NHI安全赛道的稀缺性溢价，同时也预示身份安全领域即将迎来新一轮并购整合浪潮。
 

身份管理巨头Okta宣布收购身份威胁检测与响应（ITDR）领域的初创公司Permiso Security。Permiso的技术通过分析身份行为异常、权限滥用和凭证泄露迹象来检测针对身份基础设施的攻击活动。收购完成后，Okta计划将ITDR能力从独立的身份管理层面向核心SOC工作流延伸，使用户能够在Okta平台上直接调查和响应身份相关的安全事件。分析师指出，独立的身份管理市场天花板已现，向身份安全检测响应的延伸是必然方向。
 

数据云平台Snowflake推出Cortex AI Gateway，一个专为企业Agentic AI应用设计的安全治理网关。该产品在AI代理与底层数据之间建立安全隔离层，实现模型访问控制、数据脱敏、调用审计和支出限制等关键治理功能。Snowflake首席核心数据平台负责人表示AI的未来取决于信任，Cortex AI Gateway旨在解决企业在拥抱Agentic AI时面临的核心矛盾——AI代理需要访问数据才能产生价值，但不加限制的数据访问可能带来灾难性的安全和合规风险。该产品的推出与当前行业对AI代理安全的关注高度契合，也标志着数据基础设施厂商从数据管理向AI信任基础设施的定位转型。