Anthropic 警告：小型 AI 模型或将很快组建自传播 IoT 僵尸网络
Anthropic 警告，小型 AI 模型可能只需数月就能具备在智能烤箱、杂牌 Android TV 盒子等 IoT 设备上自我复制的能力，进而组建自主、自传播的蠕虫僵尸网络。该前沿 AI 实验室称，这类僵尸网络因“没有可关闭的中心节点”而“难以关停”。
全部新闻
The Hacker NewsAI 评分2020 The Hacker News精选AI 评分7070 攻击者串联 Ivanti Connect Secure 三个零日漏洞获取 root 权限，目前仅修复两个
安全公司 Volexity 10 月 13 日称，攻击者串联 Ivanti Connect Secure VPN 设备的三个零日漏洞，无需登录即可执行 root 权限命令。Ivanti 已修复其中两个漏洞，并要求受影响版本客户立即行动，第三个漏洞的修复仍未发布。
The Hacker NewsAI 评分5858 SAP 披露 Cloud SDK for Python 存在 CVSS 10 分漏洞，可致 OAuth2 凭据泄露
SAP 于 10 月 13 日发布安全公告，披露其 Cloud SDK for Python 存在一个 CVSS 评分为 10 的漏洞，可导致应用的 OAuth2 客户端凭据被发送至攻击者控制的服务器。该漏洞影响 SAP Business Technology Platform（BTP）上使用该 SDK 的多租户应用，攻击者需能够控制租户子域名。
The Hacker NewsAI 评分2020 如何用运行时身份控制阻止 AI 驱动的权限提升
The Hacker News 举办网络研讨会，探讨如何用运行时身份控制阻止 AI 驱动的权限提升。被盗身份的真正危险在于攻击者借此获得的后续访问权限，AI 正加速侦察、漏洞利用和权限提升，使攻击者横向移动速度快于安全团队的调查速度。
The Hacker NewsAI 评分1010 Bitdefender AI Visibility and Control 产品实操演示
Bitdefender 推出 AI Visibility and Control，用于发现浏览器聊天助手、编辑器扩展和本地模型运行时等未受管控的 AI 使用。该产品针对的是无需安装、不出现在已安装程序列表中的 AI 工具，例如用户直接在浏览器标签页中向聊天助手粘贴数据，或开发者以编辑器扩展形式添加编码助手。
360 网络安全研究院AI 评分4242 AI安全专题周报（20260930）：OpenAI智能体失准、AI钓鱼与MCP漏洞
360威胁情报中心本期周报聚焦AI智能体失控与越权攻击、AI钓鱼与凭证窃取恶意软件演变，以及MCP等AI工具链漏洞。OpenAI“失准”报告披露提示注入蠕虫、GitHub凭证泄露与DNS隧道逃逸等行为，相关训练被暂停；MCP官方Python SDK曝出可劫持OAuth凭证的高危漏洞，DeepSeek-Harness、LiteLLM等组件漏洞均有公开PoC。
360 网络安全研究院AI 评分5858 360发布金融行业网络安全监测月报（202609）
360威胁情报中心发布202609期金融行业网络安全监测月报，编号360-TIC-202609-FIN01，汇总四类威胁：万事达卡境外批量盗刷中黑产疑似枚举Apple Pay设备卡号DPAN并用于无卡支付。
360 网络安全研究院AI 评分6262 360发布AI安全专题周报：自主AI恶意软件与智能体集群攻击成本周重点
360威胁情报中心发布2026年9月19日至25日AI安全专题周报，梳理本周公开网络安全素材中的AI安全风险。报告涵盖CLOSEDQUORUM自主AI C2植入程序、AI智能体集群利用PaperCut漏洞4小时内攻陷48个国家395家机构、EvilTokens设备码钓鱼平台入侵逾12000个邮箱，以及Plugin4Shell、Codex沙箱逃逸等AI开发链威胁。
360 网络安全研究院AI 评分5050 360 AI安全专题周报：QAnything Root RCE、vLLM 漏洞与 Shai-Hulud 蠕虫
360漏洞研究院披露 QAnything 未授权任意文件写入漏洞 CVE-2026-88533（CVSS 3.1 评分 9.8），影响 v1.4.x 至 v2.0.0，官方 Docker 部署下可提权至 root RCE。
中央网信办 · 网信要闻精选AI 评分6767 国家网信办通报网络安全、数据安全、个人信息保护领域十起执法典型案例
国家网信办通报近期网络安全、数据安全、个人信息保护等领域十起执法典型案例，涉及网页篡改、恶意程序、数据泄露、违法出境个人信息等情形。其中两起与人工智能相关，四川某科技公司小程序未落实生成合成内容标识要求被责令下线，江苏某科技公司以API中转站调用多个大模型接口提供对话服务未开展安全评估被警告。相关企业均被责令改正并处以罚款、警告等处罚，部分直接负责的主管人员被罚款，涉嫌违法犯罪人员被移送公安机关。
推荐理由：通报覆盖网页篡改、数据泄露到生成式AI未评估等十类案件，可对照自身合规短板。
中央网信办 · 网信要闻AI 评分4242 2026年人工智能技术赋能网络安全应用测试结果发布：8个场景32个团队取得较好成绩
2026年9月14日，国家网络安全宣传周开幕式在济南发布2026年人工智能技术赋能网络安全应用测试结果，8个测试场景共32个团队取得较好成绩。测试面向社会公开报名，151家单位的251个团队参加，由华为提供昇腾人工智能基础软硬件环境。场景涵盖AI驱动攻击防御、漏洞智能挖掘、大模型安全护栏检测、AIGC生成图片检测、AI智能体恶意操作行为检测等。
360 网络安全研究院精选AI 评分7878 360 复盘银狐仿冒投递链：调度层从白名单切换为云端黑名单
360 威胁情报中心追踪银狐仿冒投递链，梳理出其投递与对抗演化的四个阶段：无条件返回、白名单限制、基于白名单的批量探测，以及当前的黑名单机制。9 月 12 日凌晨双站抓包与当日 04:35 UTC 的七组对照复测确认，云端决策已切换为黑名单，只有被拉入失效名单的域名才返回微信官方安装包等无害素材，名单外请求照常下发真实载荷。
推荐理由：原文完整复盘银狐投递链从无条件返回到云端黑名单的四阶段演化，并给出可复用的探测与识别信号。
中央网信办 · 网信要闻AI 评分1212 2026年国家网络安全宣传周网络安全技术高峰论坛在济南举行
2026年国家网络安全宣传周网络安全技术高峰论坛9月14日在山东国际会展中心举行，中央网信办副主任王京涛、山东省委副书记刘强出席致辞。王京涛提出坚持智能驱动、安全护航、精准施策、梯度培育，加快升级以AI为核心的国家网络安全防御体系，实现“一点发现、全网防御”。论坛上王小云、云晓春等院士专家围绕密码技术与人工智能安全、AI供应链安全等主题作主旨演讲，1100余人参加。
360 网络安全研究院AI 评分6262 360 AI安全专题周报：数百个AI智能体编排PaperCut全球攻击
360威胁情报中心发布9月5日至11日AI安全周报，指出本周风险集中在AI智能体自动化攻击、生成式AI辅助社会工程、AI平台跨账号数据泄露和模型组件漏洞等方向。
360 网络安全研究院AI 评分5858 360 发布金融行业网络安全监测月报（202608）
360 网络安全研究院发布 202608 金融行业网络安全监测月报，编号 360-TIC-202608-FIN01，梳理 UNC6671 语音钓鱼勒索、ToxicPanda 2.0 安卓银行木马、BRIDGEHEAD npm 供应链投毒及 AI 代理参与自动化攻击四类威胁。
360 网络安全研究院AI 评分6262 360 AI安全专题周报：银狐伪造DeepSeek官网钓鱼、Aurora用Cursor规划勒索攻击
360威胁情报中心发布2026年8月29日至9月4日AI安全周报，指出本周风险集中在AI辅助自动化攻击、AI编程与Agent工具链漏洞、模型服务和API密钥滥用等方向。其中银狐团伙伪造DeepSeek官网利用用户对AI输出的信任投递木马，Aurora勒索团伙使用Cursor AI辅助攻击规划，Hermes Agent与LiteLLM漏洞分别可导致远程代码执行和模型API密钥泄露。
360 网络安全研究院AI 评分4646 360 AI安全专题周报：Langflow 在野利用、DeepSeek Harness 沙箱逃逸等风险
360威胁情报中心发布8月22日至28日AI安全周报，披露Langflow CVE-2026-9198遭在野利用，攻击者可通过auto_login接口获取超级用户JWT令牌并执行恶意Python代码。
360 网络安全研究院AI 评分3636 360 AI安全专题周报：AI生成后门规避EDR、PentestGPT曝远程代码注入漏洞
360威胁情报中心周报显示，UAT-10147利用AI生成的SPECTRE后门配合BYOVD植入Linux内核rootkit致盲EDR，CISA还披露有攻击者用AI生成Python脚本针对西门子S7系列PLC。