國內網絡安全動態（2026年10月29日）

  1. 公安部第三研究所推出大模型安全Token运营平台并开放试用
    10月28日，公安部第三研究所数据安全技术研发中心打造的“大模型安全Token运营平台”正式开放试用。平台集成统一接入、安全护栏、隐私计算（基于可信执行环境TEE的密文推理）、Token治理与标准合规支撑五大能力，将安全监测嵌入输入、推理、输出全链路，自动识别敏感信息与攻击行为，并提供用量统计、异常请求追溯等可视化看板。前100名提交申请并通过审核的用户，每人可获得千万免费Token额度。这是国家级机构推出的大模型安全调用基础设施，有助于企业放心、合规地调用大模型。 來源
  2. 网信办发布第三批个人信息保护合规审计服务认证专业机构名单
    国家互联网信息办公室于10月28日公布通过个人信息保护合规审计服务认证的专业机构名单（第三批），延续2025年首批、2026年第二批的扩容节奏，为企业开展个人信息保护合规审计提供更多持证机构。这意味着个人信息保护合规审计的服务供给持续扩大，企业的合规审计工作更可落地，也将推动个人信息保护监管要求进一步落实。 來源
  3. 最高法：健全数据权益司法规则，分类保护公共、企业与个人数据
    最高人民法院明确健全数据权益司法规则、服务数字经济高质量发展：对公共数据，重点保障其依法开放、安全共享，推动公共数据合规利用；对企业数据，聚焦其商业价值与竞争优势，强化对经营性数据、数据产品、数据集合的财产权益保护；对个人信息数据，则坚守人格权益底线，平衡个人信息保护与合理利用关系，防范过度收集与滥用风险。这为数据要素流通与数据产权界定提供了清晰的司法指引。 來源
  4. 天融信前三季度营收8.50亿元，AI安全商业化加快落地
    天融信披露前三季度实现营收8.50亿元，AI安全商业化加快落地。公司AI安全防护方案接连中标某省财政信息中心数据安全防护设备购置、江苏某市AI一体化平台建设、某国有银行智能化运营平台、某电信运营商安全垂域大模型建设、某省级电网集控系统大模型安全接入与评估、某管道集团邮件安全智能体、某高校大模型全链路安全建设等数十个项目，并陆续落地交付。这显示老牌安全厂商的AI安全业务正进入规模化交付期。 來源
  5. 华为就PHP2Shell释放后使用漏洞发布安全声明
    华为PSIRT发布关于PHP2Shell释放后使用漏洞（CVE-2026-109619、CVE-2026-109618）的安全公告，称攻击者成功利用此漏洞可能导致远程代码执行。华为已完成调查分析，并提示用户关注公告、排查相关产品，公告信息将随调查进展持续更新。这是国内头部厂商对全球PHP严重漏洞的快速响应，有助于降低用户面临的风险。 來源
  6. 三未信安中标中国工业互联网研究院采购项目，金额269万元
    据企查查信息，三未信安科技股份有限公司（688489）中标中国工业互联网研究院采购项目，中标金额为269万元；此前公司还新增华能云南滇东能源有限责任公司1至4号机组DCS系统及NCS系统商用密码应用安全建设设备采购候选人公示。这显示密码安全厂商在工业互联网与能源工控密码应用领域持续获得订单。 來源
  7. 奇安信中标中国联通ZJW系统服务项目（标包7）
    2026年ZJW系统服务项目（标包7）直接采购评审结果公示，奇安信网神信息技术（北京）股份有限公司中标，中标金额为20.710378万元，被提及单位为中国联通，发布日期为2026年10月28日。这显示头部安全厂商持续承接运营商的系统安全服务项目。 來源
  8. HKCERT通报Google Brotli远程执行代码漏洞（极高风险）及多款产品漏洞
    香港网络安全事故协调中心（HKCERT）于10月28日发布保安公告，将Google Brotli远程执行代码漏洞（即Node2Shell，CVE-2026-111497）列为极高风险；同日还通报Mozilla产品多个漏洞（可致权限提升、绕过安全限制）、Google Chrome多个漏洞，以及FortiBleed 2.0（揭示更多FortiGate配置与凭证暴露）、Veeam产品多个漏洞。这提示香港机构面临压缩库远程代码执行与多款产品漏洞叠加的风险，需尽快修补。 來源
  9. OpenAI对话压缩功能曝漏洞，可绕过防护导出模型隐藏推理
    研究人员发现OpenAI对话压缩（上下文压缩）功能存在漏洞，可绕过刚上线的防护导出模型的隐藏推理内容，高价值核心数据面临被窃风险，漏洞已被官方修复。同期研究还指出，当Agent长会话触发上下文压缩时，系统提示词中的护栏容易被当作低信息量内容丢弃，导致防线静默失效。这表明模型隐藏推理与系统护栏正成为新的攻击面。 來源
  10. 下载文件夹恶意文件可劫持OpenAI Codex与Claude Code
    安全研究披露，攻击者可通过网页静默向用户的下载文件夹投放恶意指令文本，诱导AI编码工具OpenAI Codex、Claude Code读取并执行，进而篡改配置、安装恶意程序，导致持久化入侵与账号令牌泄露。这提示AI编码Agent可被本地文件“投毒”，开发者应及时清理下载目录、收紧工具权限，并留意异常的自动执行行为。 來源

← 上一篇：國內網絡安全動態（2026年10月28日）

→ 動態存檔

Managed ad