奇安信威胁情报中心

2026年5月，Anthropic发布了一篇论文，解释了一个让所有人后脊发凉的发现：AI模型之所以在面临被关闭时会选择勒索、欺骗甚至"杀人"，不是因为训练方法出了问题，而是因为训练数据。

OpenAI模型攻击Hugging Face事件是人类AI发展史上的一个标志性时刻。它不是一次普通的网络安全事件——它是第一次由AI自主发起、策划并执行的真实世界网络攻击。

7月20日Sysdig发布公开报告称JADEPUFFER 回来了——回到同一台 Langflow 服务器。这一次，它带来的不是临时拼凑的 Python 脚本，而是一个编译好的、UPX 加壳的 Go 勒索软件 ENCFORGE，一个"专为 AI 和机器学习基础设施打造"的加密器。

近日Hugging Face 发布安全事件披露，确认其部分生产基础设施遭遇入侵。这起事件之所以值得每一个安全从业者关注，不在于攻击手法有多新颖，而在于执行者的身份：整个入侵过程由一个自主AI智能体（Autonomous AI Agent）系统端到端驱动，没有人类操作员参与。

2026年APT-C-60威胁组织攻击的最新进展；Turla入侵套件针对法国实体的网络间谍活动；Operation ShadowRecruit：APT36利用印度政府招聘诱饵和Google Sheets C2攻击求职者；揭露 Void Blizzard 与俄罗斯政府的联系

Anthropic旗下Claude for Chrome扩展当前版本（v1.0.80）中存在两处尚未修复的安全缺陷，能够让第三方在未经许可的情况下直接操纵Claude执行敏感操作。

传统的钓鱼邮件附件不再是攻击者最爱的敲门砖。取而代之的，是一种几乎不需要任何技术门槛、却能在用户眼皮底下"自愿"执行恶意代码的手法——ClickFix。KnowBe4 最新发布的威胁报告将其列为当前头号恶意软件分发方式。

CISA的一个承包商在操作过程中，把内部数据发布到了GitHub上一个名为 "Private CISA" 的公共仓库。名字里虽然带个"Private"，但仓库可见性是公开的（public）。期间自动告警发了9次无人处理，最后靠外部记者才让CISA才正式进入响应流程。

近期奇安信威胁情报中心通过云沙箱捕获到多个UTG-Q-1000黑产团伙的新银狐木马变种，这批新变种从2026年6月初起开始投递使用，根据奇安信威胁情报中心的检测，该系列变种近期呈高密度、持续性的活跃态势。

Armored Likho APT组织利用BusySnake Stealer实施间谍活动；APT-C-36使用新加载器开展攻击活动；Scattered Spider: 通过共享的战术、技术和程序定义网络犯罪团伙；从发票到 AnyDesk：揭露针对俄罗斯航空航天组织的网络钓鱼活动

2026 年 7 月 7 日，BeyondTrust 发布安全公告 BT26-03，披露了影响两款产品的四枚漏洞，其中两枚 CVSS v4 评分达到 9.2，属于严重级别的认证绕过缺陷，可在特定认证配置下让未认证攻击者直接控制设备。

2026年5月14日，微软公开披露CVE-2026-42897，一处位于Exchange Server Outlook Web Access的反射型跨站脚本漏洞。第二天，CISA 就将该编号列入KEV目录，修复截止日期是5月29日。从这个节奏可以看出：这个零日不是"理论上能打"，而是已经在野外被实际利用。

2026 年 6 月中旬，奇安信威胁情报中心红雨滴团队的私有情报 AI 生产流程检测到一伙 ghost 分发商在特定目标下发一款由 Rust 编写、高度模块化的特种木马；基于其特殊字符串特征，我们将该木马命名为 MODBEACON。

NetNut在业界常被称为“Popa”，其核心资产是一个由至少200万台消费级设备构成的僵尸网络。GTIG评估认为，NetNut的代理网络已被大量白标转售给第三方代理提供商，许多市面上看似“合法”的住宅代理品牌实际上只是NetNut僵尸网络的贴牌产品。

Check Point Research的最新研究表明，DeepSeek在试图满足一个"不可能实现"的恶意需求时，意外地将一个只存在于理论中的浏览器风险，转化为了一条完整可用的攻击链路，而且整个过程不需要安装任何恶意软件、不需要利用浏览器漏洞、甚至不需要受害者安装APK。

2026年3月，watchTowr 在分析 CVE-2026-3055 补丁时，又一次意外发现了新的内存越界读取问题。Citrix 于6月30日正式披露并修复了这个零日漏洞——CVE-2026-8451，CVSS 评分 8.8。

Backdoor.Mistic后门与Woodgnat初始访问代理及勒索软件生态关联；APT-C-36近期针对哥伦比亚境内的活动分析；GhostShell（MB-0009）：瞄准乌克兰无人机作战和国防供应链；Mastra供应链攻击活动与朝鲜BlueNoroff组织有关

2026年6月，安全研究员Bob Diachenko做例行扫描时，发现了一个暴露在公网上的开放目录。里面是一份数据库，装着来自194个国家、约8.6万台FortiGate防火墙和FortiProxy VPN网关的有效管理员凭证——几乎覆盖了全球一半暴露在互联网上的Fortinet设备。

6月22日，奇安信人工智能公司正式启动为期5天的“AI时代，攻防先行——奇安信AI安全系列新品发布周”，当日发布首款新品——奇安信威胁分析数字专家（威胁分析智能体）。

INC勒索软件2023年中旬首次现身，到现在不到两年，受害者数量已经超过800。这个团伙走的是RaaS路线。Acronis威胁研究单元最近披露的INC攻击事件里，最值得关注的战术变化是Windows和Linux/ESXi两个平台的加密器都已经用Rust完全重写。