嘶吼

9月10-11日，由上海市普陀区科委指导、谈思实验室和谈思汽车主办的「AutoSec 2025第九届中国汽车网络安全周暨第六届智能汽车数据安全展」将在上海圣诺亚皇冠假日酒店隆重拉开帷幕。

本届大会以“多场景全链路”汽车安全防护为核心脉络，不仅涵盖2场主题峰会与多场专题分论坛，更通过 AutoSec 安全之星颁奖典礼、名人堂晚宴、行业全景图、攻防演练、展商产品展示等特色活动，串联起从技术研讨到产业落地的完整闭环。

目前，已有来自大众、宝马、奥迪、奔驰、北汽、上汽、戴姆勒卡车、东风本田、东风日产、奇瑞、福特、吉利、极氪、极星、捷豹路虎、岚图、smart、零跑、小米、小鹏、路特斯、赛力斯、通用、蔚来、沃尔沃、潍柴动力、长城、一汽、长安、中国重汽等40+主机厂的安全同仁确认出席大会，期待更多汽车网络与数据安全领域的同仁莅临参会。

1. AutoSec第九届汽车网络安全周参会名单

AutoSec第九届汽车网络安全周参会名单

公司

职位

新加坡网络安全局

负责人

新加坡政府技术部

负责人

新加坡数字发展与信息部

负责人

国家信通院

安全所主任

中国汽研

车联网安全总经理

中汽软测

平台总监

中汽研科技

总经理助理

江苏智能网联汽车创新中心

副总经理

上海市车联网协会

秘书长

Smart汽车

信息安全经理

阿利昂斯上海汽车研究院

网络安全专家

阿维塔汽车

数据安全负责人

江淮汽车集团股份有限公司

信息安全助理工程师

奥迪中国

安全专员

宝马中国

网络安全专家

保时捷工程

信息安全风险治理专家

北汽集团

合规专员

北汽集团

EE主管

北汽研究总院

法规工程师

北汽重卡

电子电气总工

北汽重型汽车有限公司

电子电器架构工程师

奔驰

车辆网络安全运维

比亚迪

资深网络安全工程

大运汽车

电子电器架构总工程师

大众安徽

信息安全工程师

大众安徽

车辆网络安全运维

大众汽车中国

质量经理

大众商用车

项目经理

大众中国

敏捷发布管理专家

戴姆勒卡车

网络安全经理

东风本田

工程师

东风汽车集团有限公司研发总院

副总工程师

东风日产

电子电气架构创新设计主管

东风商用

信息安全开发

东风越野车

电气架构主管设计师

东风越野车

电器主管设计师

东南（福建）汽车工业股份有限公司

网联工程师

泛亚汽车

网络安全专家

泛亚汽车

通信网络验证与工具开发主任工程师

福特中国

网络和数据安全合规经理

福特中国

数字隐私合规主管

高合汽车

数字中心大数据负责人

光束汽车

Senior specialist

广汽丰田汽车有限公司

安全工程师

广汽研究院

工程师

广州汽车集团汽车工程研究院

高级安全专家

合创汽车科技有限公司

诊断开发工程师

吉利动力院

信息安全专家

吉利动力总成研究院

功能安全总工

吉利控股集团

产品开发管理专家

吉利控股朗歌科技

产品高级专家

吉利汽车

架构师

吉利汽车

项目总工

吉利汽车集团星驱动力科技

信息安全主任工程师

吉利新能源商用车集团有限公司

网联技术开发工程师

吉利远程商用车

信息安全专家

吉利远程商用车

中心主任

吉利远程商用车

网络安全开发工程师

极氪汽车

电子电气架构工程师

极氪汽车

网络安全开发工程师

极氪汽车

数据合规负责人

极氪汽车

功能/信息安全工程师

极氪汽车

软件专家

极氪汽车

功能安全经理

极石汽车

安全工程师

极星汽车

智驾leader

江淮汽车集团股份有限公司

信息安全主管工程师

江西江铃集团新能源汽车有限公司

车联网总监

江西江铃集团新能源汽车有限公司

智能网联工程师

捷豹路虎

产品合规运营经理

捷豹路虎

高级经理

捷豹路虎

Cybersecurity SME

捷豹路虎

信息安全和合规副总裁

捷豹路虎

安全运营高级经理

捷尼塞斯汽车

data compliance

岚图汽车科技公司

智能驾驶信息安全经理

理想汽车

数据合规与法律研究高级总监

理想汽车

安全架构师

理想汽车

数据隐私合规高级专家

零跑汽车

数据安全工程师

路特斯科技

基础安全运营

路特斯汽车

网络安全资深工程师

路特斯汽车

安全合规工程师

路特斯研究院

资深专家

梅赛德斯奔驰

Cybersecurity Architect

梅赛德斯奔驰

Cyber Security FO

奇瑞汽车

项目经理

奇瑞汽车

安全负责人

奇瑞汽车

数据合规经理

奇瑞商用车上海研究院

高级工程师

赛力斯

信息安全工程师

赛力斯凤凰智创科技有限公司

信息安全技术开发室主任

赛力斯集团股份有限公司

产品网络安全开发主任工程师

赛力斯汽车有限公司

赛力斯首席架构专家

上海大众动力总成有限公司

信息安全工程师

上海洛轲智能科技有限公司

信息安全负责人

上汽帆一

安全负责人

上汽创新研发总院

安全工程师

上汽创新研发总院

软件架构师

上汽创新研发总院

质量体系工程师

上汽创新研发总院

安全体系经理

上汽大通汽车有限公司

信息安全合规管理

上汽大众

整车信息安全工程师

上汽大众

安全工程师

上汽大众汽车有限公司

网络安全控制与事件管理经理

上汽集团

信息战略和网络安全部高级总监

上汽商用车技术中心

高级架构师

斯堪尼亚

车联系统合规专家

塔塔科技

副总经理

塔塔制造科技（上海）有限公司

采购总监

通用汽车（中国）投资有限公司

信息安全专家

通用汽车（中国）投资有限公司

工程经理

通用汽车（中国）投资有限公司

信息安全工程师

通用汽车（中国）投资有限公司

信息安全风险管理经理

通用汽车（中国）投资有限公司

数据应用专家

威驰腾（福建）汽车有限公司

客车研究院院长

威驰腾（福建）汽车有限公司

电器部经理

潍柴动力

系统工程开发技术经理

潍柴动力

电控软件系统工程师

蔚来汽车

数据合规经理

蔚来汽车

敏捷项目交付管理专家

蔚来汽车

安全专家

蔚来汽车

系统测试专家

蔚来驱动科技

功能安全工程师

沃尔沃亚太

网络安全工程师

小米汽车科技有限公司

车联网安全技术工程师

小米汽车科技有限公司

汽车安全主管

小米汽车科技有限公司

汽车部|高级安全技术工程师

小米汽车科技有限公司

高级安全专家

小鹏汽车

安全负责人

小鹏汽车

信息安全与云架构总监

一汽奔腾轿车有限公司

信息安全高级主任

一汽-大众汽车有限公司

信息安全管理

一汽集团

信息安全设计员

翼真新能源汽车有限公司

电气架构开发工程师

长安汽车

技术总监

长安汽车北京先进技术中心

战略规划

长城汽车

工程师

长城汽车

信息安全工程师

长城汽车

智能网联数据专家

长城汽车

网络安全运营

长城汽车

网络安全专家

智己汽车科技有限公司

体系经理

智己汽车科技有限公司

数字技术及安全部总监

中车

研发

中国第一汽车集团

电检主管工程师

中国第一汽车集团

智网电器工艺部主管

中国第一汽车集团

电子电器检测技术员

中国重汽集团国际有限公司

信息化管理员

重庆长安科技有限责任公司

信息安全工程师

重庆长安科技有限责任公司

副总师

重庆长安汽车

安全架构

重庆长安汽车

网络安全开发工程师

Continental

Cybersecurity Specialist

Huf

Cybersecurity Expert

Kostal

信息安全工程师

Marquardt GmbH

Global Cybersecurity Manager

MARQUARDT 马夸特

网络安全工程师

艾尔维工程技术(上海)有限公司

技术部门经理

安道拓（中国）投资有限公司

信息安全经理

斑马智行

信息安全专家

大陆Aumovio

产品网络安全合规负责人

采埃孚

adas应用工程师

采埃孚

product cybersecurity engineer

采埃孚

车联网工程师

采埃孚

软件测试工程师

采埃孚

网络安全工程师

采埃孚中国投资有限公司

汽车网络安全工程师

常州星宇车灯股份有限公司

专家

车联天下

网络安全专家

大众酷翼（北京）科技有限公司

产品安全负责人

德赛西威

测试技术部主任工程师

非夕机器人

信息安全总监

哈曼

首席架构师

哈曼

首席网络安全架构师

哈曼（中国）投资有限公司

测试经理

哈曼中国

首席专家

杭州云动智能汽车技术有限公司

研发总监

禾赛科技

网路安全工程师

华为

网络安全认证工程师

华为

车联网安全总监

华为

首席网络安全与隐私保护官

华为

网络安全认证专家

华为

治理专家

华为

车BU安全隐私办公室治理专家

华为

网络安全与隐私保护工程师,治理专家

华为

数据合规业务经理

华为

IAS网络安全专家

华为技术有限公司

芯片规划

华为-引望智能技术有限公司

漏洞管理中心负责人

华域汽车

网络安全专员

霍尼韦尔

高级产品安全分析师

江苏木牛

质量总监

交控科技股份有限公司

电气工程师

科博达

高级软件工程师

科世达

信息安全工程师

联合汽车电子

软件开发

联合汽车电子有限公司

变速箱控制业务部，信息安全专家、部门信息安全负责人

联合汽车电子有限公司

总监

联通智网科技股份有限公司

自动驾驶总监

麦格纳电子

安全工程师

纽劢科技

信息安全总监

日立安斯泰莫汽车电子

技术经理

Black Duck

中国区技术总监

飞斯柯罗

总经理

三菱电机

经理

上海联通

产品经理

上海启源芯动力科技有限公司

总架构师

上汽零束

系统工程师

上汽零束

姚庆礼 推荐

上汽零束

安全架构与方案

舍弗勒

网络安全经理

舍弗勒

网络信息安全经理

舍弗勒

产品网络安全专家

舍弗勒

Technical compliance senior manager

苏州挚途科技有限公司

高级信息安全工程师

苏州智加科技

信息安全工程师

天津力神电池股份有限公司

BMS开发经理

小华半导体

网络安全工程师

星宇车灯股份有限公司

功能安全工程师

友道智途

IT经理

浙江得邦车用照明有限公司

软件负责人

浙江得邦照明有限公司

工程师

中汽创智

信息安全设计高级工程师

中汽创智

功能安全开发高级工程师

中舟智能

项目经理

扫码报名参会

即有机会结交全球顶尖安全专家

2. Speakers阵容

3. 报名参会 

演讲、赞助及参展联系

李女士手机：17316577586

微信：taaslabs08

电子邮件：[email protected]

近日，全球领先的IT市场研究和咨询公司IDC发布《中国统一终端安全技术评估，2025》（以下简称“报告”）。该报告聚焦统一终端安全领域，旨在通过对中国市场主流技术提供商进行全面评估，助力市场清晰把握统一终端安全技术的演进历程与未来趋势。

在此次评估中，360数字安全集团凭借终端安全智能体的的领先技术能力和丰富实战经验，获评统一终端安全领域“首推服务商”，并在终端安全防护（EPP）、终端检测与响应（EDR）、终端资产发现与管理、智能化统一管理平台以及零信任体系的融合等多个维度均获得五星满分评价，彰显其在终端安全领域的绝对领导地位。

数字化转型浪潮下，云计算、移动办公和物联网等技术广泛应用，企业终端类型激增、网络边界泛化，终端安全重要性愈发凸显。面对恶意软件、勒索攻击、零日漏洞利用等严重威胁，传统采用多类独立安全产品的方式，不仅管理复杂、成本高，且防护效果有限。

在此背景下，IDC调研显示，企业选择安全产品时，更看重产品的简单性，例如实施便捷性、运维复杂度及对现有业务流程的影响，而非一味追求技术复杂性。统一终端安全（UES）通过统一终端接入与管理平台，能够有效应对以上痛点，尤其在AI与生成式AI（GenAI）深度应用的推动下，显著提升了终端安全管理的效率与整体控制效果。

针对日益受到市场关注的UES，IDC本次技术评估从终端安全防护、终端检测与响应、终端资产发现与管理、智能化统一管理平台、应用场景适配、零信任体系的融合6个维度进行评估，具体包括29项细粒度的评估标准。360数字安全集团凭借终端安全智能体全面领先的技术优势，获评报告首推位置。

作为国内唯一兼具数字安全和人工智能双重能力的企业，360自2023年起就专注于安全智能体的研发与应用，提出用AI重塑安全，并推出一系列面向实战的安全智能体。

其中，360终端安全智能体以AI为核心，强势领跑新一代终端安全管理与运营赛道。依托 360二十年来积累的海量威胁样本库，以及在终端安全领域深耕细作形成的1200余项核心技术，融合自研大模型与智能体技术，对杀毒、主动防御、EDR（终端威胁检测分析与响应）、桌管、准入、DLP（数据防泄漏）、安全桌面等40余项核心能力模块进行了全面MCP化升级，覆盖 Windows、Windows Server、国产桌面机、国产服务器、Linux、Mac、Android、鸿蒙系统，将终端安全All in One 能力智能化，大力提升终端安全运营效率、终端威胁检测分析与响应能力、数据防泄漏能力等，引领市场全面开启终端智能 All in One 时代。

在AI能力构建方面，360终端安全智能体深度融合360安全大模型，赋能于安全运营、威胁检测、漏洞管理、病毒查杀及数据安全等领域，为用户提供强大的AI辅助驾驶能力，实现高效的安全管控与防护水平全面提升。

在安全能力升级方面，360终端安全智能体不仅具备专业的病毒查杀与主动防御能力，更能够对未知高级威胁、APT攻击及勒索软件实现深度检测与有效抵御；同时，其还提供完善的文件内容识别与泄露通道监控功能，能够有效防范泄露风险。

在管理运维优化方面，360终端安全智能体通过构建统一管理平台整合智能All in One多功能模块，显著简化运维流程；同时具备广泛兼容性与国产化支持能力，可适配多级管理架构、灵活授权机制及第三方系统对接，满足全场景管理需求；更引入AI智能体技术串联运维全链路，实现威胁处置、策略配置等操作的自动化执行。

在有机联动协同方面，360终端安全智能体通过自研的智能All in One架构，以单一客户端整合多类安全能力，有效减少终端资源占用；其内部多项能力模块深度融合、有机协同，实现了SDP动态访问控制与EPP防病毒、漏洞管理等功能的实时联动，显著增强整体安全防护水平；同时，客户端实现认证合一，将SDP认证、准入认证与实名认证无缝统一，极大提升了用户的认证体验与管理效率。

此次360数字安全集团获IDC统一终端安全领域首推并斩获多个评估维度的五星满分评价，是对其在终端安全智能体技术落地与场景化实践的高度肯定，树立了终端安全智能化升级的行业标杆。未来，360将持续深化终端安全智能体在更多场景的渗透应用，以技术赋能驱动数字化转型与安全能力升级，为构建体系化数字安全能力提供核心支撑。

2025年8月6日，由中国图象图形学学会(CSIG)主办，CSIG厦门会员活动中心、国投智能信息股份有限公司联合承办的“第41期CSIG企业行—走进国投智能股份”成功举办。活动邀请了厦门大学校长助理纪荣嵘教授、厦门大学教务处处长王程教授、CSIG厦门会员活动中心主席厦门大学温程璐教授等中心执委莅临国投智能股份总部数字立方大厦参观调研。国投智能股份党委副书记、总经理周成祖，首席技术官吴鸿伟，公共安全事业群副总经理黄自强陪同接待。

学会领导一行参观了企业荣誉与文化展厅、支撑特色服务区、人工智能与大模型展示区、网络与数据安全展示区和行业解决方案区、电子数据存取证重点实验室等。通过实地观摩和互动体验，全面了解国投智能股份在电子数据取证、人工智能、大数据等领域的领先技术实力以及公司的发展历程、核心技术产品。

学会领导一行对国投智能股份的技术能力与专业水平给予高度认可。他们认为，国投智能股份在电子数据取证、人工智能等核心领域积淀了扎实的技术功底，凭借多年技术攻坚形成了自主可控的核心技术体系。企业将前沿技术与公共安全、数据安全、低空经济等实际场景深度融合，打造出一系列可落地、可推广的解决方案，在助力重大活动安保、提升城市治理效能等方面发挥了关键作用。这不仅充分彰显了企业强劲的技术实力，更凸显出其服务国家战略、保障社会治理的责任与担当。

纪荣嵘教授表示，“CSIG企业行”活动旨在汇集产学研各界资源，探讨图文智能信息技术领域的最新发展动态和未来趋势，共同推动图像图形领域的发展。希望通过这次活动,创造产学研合作机会，为推动图像图形及人工智能行业的发展和进步贡献智慧和力量。

8月8日，由福建省司法厅指导，厦门市司法鉴定协会主办，国投智能信息股份有限公司与福建美亚柏科司法鉴定中心承办的“鹭岛论鉴——纪念‘228决定’颁布20周年”交流会在数字立方大厦召开。司法部公共法律服务管理局相关领导，国投智能股份董事长滕达，党委书记申强，党委副书记、总经理周成祖等公司领导，与来自全国电子数据取证和司法鉴定领域的权威专家、声像司法鉴定机构、行业协会及科研院所的130余位代表共聚厦门，在纪念“228决定”颁布二十周年、回顾行业发展历程的同时，也共同庆祝福建美亚柏科司法鉴定中心成立二十周年。

交流会现场盛况

一、权威齐聚，共襄数证新篇

会议特邀中国科学院高能物理研究所研究员许榕生、《中国司法鉴定》杂志副主编周颂东、重庆邮电大学网络空间安全与信息法学院教授陈龙、南京邮电大学数据安全合规应用技术研究所所长孙国梓、中国政法大学刑事司法学院副教授、侦查学研究所所长李小恺等专家，分别就电子数据取证技术演进、AI司法应用挑战、人才培养机制等议题作主题报告，系统总结二十年发展成果。

国投智能股份首席战略官、厦门市司法鉴定协会会长赵庸发表《公正为锚 科学为帆：司法鉴定领域的高质量发展实践》演讲，剖析行业痛点并分享福建改革经验，为高质量发展提供实践范式。

作为承办单位之一，福建美亚柏科司法鉴定中心二十年创新探索始终与专家前瞻视野同频演进：从早期参与电子数据鉴定规范制定，到构建覆盖“规范审查-技术研发-人才培育”的全链条体系——在3.5万余起案件中践行规范准则，于AI取证、跨域数据解析等前沿持续突破。这一植根实践的成长路径，生动诠释了福建司法鉴定领域的创新活力。

二、沙龙研讨，擘画发展图景

会议设电子取证与司法鉴定两场平行沙龙。美亚柏科电子数据取证与智能装备研究院院长孙奕现场展示微信恢复、鸿蒙系统分析等技术突破；Dataport取证专家秦圣智回溯了邹锦沛教授二十年取证研究；西南政法大学司法鉴定中心副院长袁红照提出了区域司法鉴定中心建设新思路，引发深度探讨。

电子取证主题沙龙现场

司法鉴定主题沙龙现场

三、参观体验，感受前沿创新

会后，与会嘉宾参观了国投智能股份展厅及电子数据取证实验室，深度了解福建美亚柏科司法鉴定中心“技术研发-应用-标准输出”闭环模式如何赋能司法公正。

嘉宾参观展厅

交流会集体合影

此次交流会的成功举办，生动诠释了公司“科学公正、创新引领”的发展理念，得到了指导单位、主办单位及参会嘉宾的高度认可，为进一步深化行业高质量发展建设奠定了坚实基础。

作为电子数据司法鉴定领域的先行者与践行者，福建美亚柏科司法鉴定中心始终以推动行业进步为己任。本次 “鹭岛论鉴” 交流会既是对 “228 决定” 颁布二十周年的隆重纪念，更是中心二十周年发展历程的一次重要总结。

二十年来，中心与行业同成长、共进步，以专业坚守护航司法公正；未来，中心将以二十周年为新起点，持续深耕技术创新，完善规范体系，携手行业同仁共同推动司法鉴定行业高质量发展，让科技正义始终跑赢网络犯罪，为数字中国建设筑牢安全屏障。

福建美亚柏科司法鉴定中心简介

福建美亚柏科司法鉴定中心是2005年成立的全国首批电子数据司法鉴定机构， 2010年成为全国首批取得中国合格评定国家认可委员会（CNAS）认可的电子数据司法鉴定机构。中心现有鉴定团队百余人，拥有业内为数不多的百级超净无尘环境，服务完整覆盖声像资料鉴定服务、数据恢复技术服务、实验室认证咨询服务及电子数据设备销售服务。20年来，中心积极服务各公安警种、法院、检察院等部门，累计受理鉴定案件3.5万余件，在电子数据司法鉴定行业遥遥领先。

8月20日，天融信（002212.SZ）发布2025年半年度报告。报告期内，公司实现营业收入8.26亿元，其中第二季度单季营业收入同比增长8.72%；净利润同比增长68.56%；毛利率上升4.1个百分点；销售费用、研发费用及管理费用总额同比减少14.04%。

稳量提质，凸显网安龙头经营韧性。公司继续推进提质增效战略，收入质量持续提升。报告期内，公司多个重点布局行业收入保持增长，其中运营商行业收入同比增长25.31%、金融行业收入同比增长19.52%、能源行业收入同比增长32.35%、交通行业收入同比增长60.78%。

数据显示，2023年至2025年上半年，公司期间费用总额同比分别降低2.57%、10.73%和14.04%，毛利率则呈现逐年稳步提升态势，分别为60.19%、61.04%和67.40%，费用控制取得较好成果。

逆势增长，单二季度释放业绩弹性。市场分析人士认为，受甲方项目节奏等因素影响，上半年网络安全行业市场进入传统淡季，导致厂商收入节奏产生滞后，营收和净利润环比呈现季节性回落，行业整体处于下半年收入确认的铺垫阶段。

报告期内，天融信在日常运营、研发投入等各项支出持续发生的同时，净利润同比增长68.56%，经营状况持续改善，其中第二季度单季营业收入同比增长8.72%，净利润同比增长103.17%，实现单二季度经营质效双提升，彰显淡季中的业绩弹性和发展潜力。

安全+智算，智算云挖掘业务新增量。公司称，将始终坚持技术创新的发展战略，不断提升核心竞争力。据悉，公司未来十年的战略发展目标是成为中国领先的网络安全和智算云解决方案提供商。数据显示，2023年至2025年上半年，公司智算云业务占营业收入比重分别为7.43%、9.06%和12.40%，占比持续提升，有望激活业绩新增长极。

报告期内，公司发布智算硬件平台、智算云平台，与超融合、桌面云、企业云、安全网元、天问大模型共同构成“天融信智算云”系列，实现“安全+智算”深度融合，目前已在政府、企业、医疗、教育等行业实现规模化落地。其中，智算云平台首批通过工信领域大模型一体机能力验证，并纳入中国产学研合作促进会创新成果集。

深化AI+战略布局，抢占大模型安全市场。报告期内，公司天问大模型在检测引擎、安全专家智能体等方面整体革新，全线产品融入AI，进一步升级企业级AI安全能力体系，市场份额保持领先。

东北证券指出，AI内生安全构筑网安新赛道，AI大模型安全监测评估产品或迎发展先机。据悉，公司已构建“框架—产品—服务”全链路防护体系，推出大模型安全网关、数据安全监测系统、安全评估服务等产品，实现模型训练、部署、应用全周期风险管控。报告期内，天融信大模型安全网关获公安部第三研究所颁发的首张《大模型安全防护围栏产品认证（增强级）》证书。

聚焦信创，加码可信数据空间建设。伴随相关政策持续落地，可信数据空间的发展动能强劲，市场空间有望进一步打开。据悉，公司目前已完成可信数据空间接入连接器及服务平台的战略级布局，实现数据要素从接入、治理到流通的全流程可信、可控、可计量，相关解决方案已在运营商、能源等多个关键基础设施行业应用。作为可信数据空间基础设施的核心建设方，公司参与多项国家标准、行业标准及白皮书编制，同步推进安全防护平台建设，持续夯实先发优势与行业引领地位。

在其他信创新场景方面，今年3月，公司与华为正式开启全面合作，推出基于鲲鹏架构的智算一体机，携手打造安全可控的底层支撑。另据互动平台，公司是华为鸿蒙商用解决方案首批合作伙伴，目前正在推动基于鸿蒙系统的恶意代码防护、主机入侵安全防护以及数据安全防护等终端安全一体化解决方案加速落地。

此外，公司与中关村机器人创新中心达成战略合作，联合技术攻关、产品方案整合等，加速智能产业融合，未来将更好地赋能机器人场景下的安全保障。

最新消息，Python 包索引 (PyPI) 目前已引入了新的保护措施，以防止通过密码重置劫持账户的域名复活攻击。

PyPI 是 Python 开源包的官方仓库，为软件开发人员、产品维护者以及使用 Python 库、工具和框架的企业所广泛使用。

项目维护者在PyPI上发布软件的账户与电子邮件地址相关联。对于部分项目而言，其关联的电子邮箱地址还与特定域名绑定。若该域名过期，攻击者便可注册此域名，随后通过搭建邮件服务器并发起账户密码重置请求，进而掌控 PyPI 上的对应项目。

此类攻击的风险在于可能引发供应链攻击：遭劫持的项目会推送恶意版本的热门 Python 包，而在多数情况下，这些恶意包会通过 pip 自动安装。2022 年 5 月“ctx”包遭入侵便是典型案例——攻击者在该包中植入代码，专门针对亚马逊 AWS 密钥及账户凭证。

为解决这一问题，PyPI 如今会对平台上已验证电子邮箱地址所对应的域名进行检查，若发现域名已过期或即将进入过期阶段，便会将相关邮箱地址标记为未验证状态。 

从技术层面来看，PyPI 借助 Domainr 的 Status API 确定域名的生命周期阶段（活跃、宽限期、赎回期、待删除），以此判断是否需要对相应账户采取措施。

域生命周期

一旦电子邮箱地址对应的域名进入上述状态，该邮箱便无法用于密码重置或其他账户恢复操作，即便攻击者注册了该域名，也难以找到可乘之机。

实际上，这些新措施的开发工作于 4 月启动，当时已通过初步扫描对相关情况进行评估。最终，新措施于 2025 年 6 月正式推出，且平台会每日进行扫描。自实施以来，在新系统下已有超过 1800 个电子邮箱地址被标记为未验证。

尽管新措施并非无懈可击，也无法应对所有攻击场景，但它显著降低了攻击者通过利用过期域名劫持 PyPI 账户的风险。PyPI 建议用户在账户中添加一个来自非自定义域名的备用邮箱，以避免服务中断；同时，应开启 PyPI 账户的双因素认证，从而增强账户抵御劫持的保护能力。

当汽车与互联网深度融合，智能网联汽车成为行业发展的新风向标时，网络安全的“达摩克利斯之剑”也高悬于汽车产业之上。从车辆的远程控制到数据的隐私保护，从软件的漏洞风险到网络攻击的潜在威胁，每一个环节都可能成为网络安全的薄弱点，进而影响到整个汽车产业的生态安全。

车联网让汽车从孤立的交通工具，转变为与外界广泛连接的网络节点，这虽极大拓展了汽车功能，却也为网络攻击敞开了大门。

从远程操控车辆的恶意入侵，到车载系统遭受的病毒肆虐，网络安全风险贯穿于智能汽车的研发、生产、销售与使用全流程。每一次成功的网络攻击，都可能引发车辆故障、交通混乱甚至危及生命。面对如此严峻形势，强化汽车网络安全防护，提升全链路的网络安全韧性，刻不容缓。

正是基于对这一严峻形势的深刻认知，9月10日-11日，由谈思实验室和谈思汽车主办的「AutoSec 2025第九届中国汽车网络安全周暨第六届智能汽车数据安全展」隆重拉开帷幕。本届大会将以更丰富的活动形式、更前沿的技术探讨、更权威的行业洞察，为全球汽车网络安全从业者带来一场高规格的年度盛会。

本届大会以“多场景全链路”汽车安全防护为核心脉络，不仅涵盖2场主题峰会与多场专题分论坛，更通过AutoSec 安全之星颁奖典礼、名人堂晚宴、全景图、攻防演练、展商产品展示等特色活动，串联起从技术研讨到产业落地的完整闭环。

内容上深度融合GB44495、网络弹性法案等政策法规要求，聚焦汽车密码技术要求，漏洞挖掘，软件供应链安全，跨国车企网络安全实践，汽车AI敏捷治理，车规级芯片安全漏洞利用与测试，域控制器安全防护设计等关键领域，搭建产学研协同平台，为多场景应用中的全链路安全防护注入创新动能，推动行业在智能汽车时代实现安全技术的体系化升级。

01 汽车网络安全周亮点速递

1、汽车网络安全周亮点速递

为助力汽车行业上下游高效协作，提升各界对汽车安全的认知，谈思依托行业数据库资源，携手专家自2024 年3月启动汽车网络与数据安全行业专属全景图绘制工作。该全景图以 “车” 为核心视角，深度聚焦汽车网络安全、数据安全两大核心维度，系统性划分为基础安全、车外安全、安全管理、安全服务、前瞻技术五大板块，全面覆盖汽车安全全链条。

此次全景图的发布，不仅为上下游企业搭建起高效合作的桥梁，更为持续壮大汽车网络安全生态注入强劲动力，引领行业迈向安全发展新征程！

2、AutoSec Awards颁奖典礼：全球优秀安全方案厂商表彰

“AutoSec Awards 安全之星”颁奖典礼是本次大会的重头戏之一。作为行业首个专属于汽车网络信息安全领域的权威奖项，AutoSec安全之星始于2020年，历经多年打磨，已成为中国汽车安全行业关注度最高且最具含金量的奖项之一。

颁奖典礼汇聚顶尖车企、技术先锋与行业领袖，共同见证年度安全技术的突破与标杆企业的诞生！奖项经过初审和权威专家的层层评审，众多优秀企业将脱颖而出，获得这一殊荣。这些获奖企业不仅代表了行业内的顶尖水平，更展示了汽车网络安全领域的最新成果和发展方向。

第六届“AutoSec Awards 安全之星”即将开启报名，究竟花落谁家，我们拭目以待！

3、攻防演练大赛：实战检验安全能力

汽车网络安全不仅需要理论研究和标准制定，更需要实战验证。本届AutoSec安全周特别设置“汽车网络安全攻防演练大赛”，邀请白帽黑客、安全研究员、车企技术团队同台竞技，模拟真实攻击场景，检验车辆系统的安全防护能力。

通过攻防演练，参与者可以深入了解汽车网络安全的脆弱点，学习先进的防御技术和策略，从而更好地应对日益复杂的网络安全威胁。在这里，将有来自不同企业和机构的安全专家分享他们的经验和见解，共同探讨汽车网络安全的解决方案。

4、中国汽车网络安全名人堂晚宴：共话行业未来

中国汽车网络安全名人堂晚宴是本次大会的另一大亮点。本届名人堂晚宴将邀请甲方安全负责人齐聚一堂，共同回顾过去一年汽车网络安全领域的发展历程，分享他们的经验和见解，并对未来的发展趋势进行深入探讨。

名人堂晚宴不仅是一个社交活动，更是一个思想交流的平台，为参与者提供了一个与行业精英面对面交流的机会。

5、内容前沿：直击行业发展的痛点与瓶颈

本届大会直击行业发展的痛点与瓶颈，系统解析汽车网络安全技术的前沿动态、现存挑战及发展机遇，多维度呈现科技创新领域的最新趋势。

·智能⽹联汽⻋安全强标趋势解读：从GB44495到《汽⻋密码技术要求》

·《⽹络弹性法案》CRA对汽⻋供应链安全的影响与困境探讨

·AI大模型成为标配，汽车整车安全体系优化与实践

·PQC后量子加密技术，重新定义汽车网络数据安全规则

·车企渗透实战-简单攻击如何连续击穿汽车防线?

·智能充电桩V2G的个人隐私与数据安全挑战

·大型跨国车企的数据安全运营策略与跨境流转探讨

·IT/OT深度融合安全，开启智能化弹性化安全策略

·中国车企如何应对欧盟《AI法案》的全面审查，实现合规展业及可持续发展？

·打造“芯片硅甲”，车规级芯片安全漏洞利用与测试

6、60位+大咖齐聚，论剑汽车网络安全发展

 7、80+汽车厂商、150+零部件企业，齐聚上海

本届AutoSec 2025第九届中国汽车网络安全周将吸引来自英国、日本、韩国、意大利等30余个国家和地区的全球顶尖汽车网络安全厂商，80余家国际汽车品牌，150多家世界级零部件企业代表齐聚现场，贯穿全产业链涵盖主机厂、Tier1供应商、Tier2供应商、网络安全解决方案商等。

8、300份免费礼品，多重惊喜大放送

为了让大家在本次大会中获得更加丰富和难忘的体验，我们不仅汇聚了汽车安全领域的顶尖专家和全生态的前沿知识，还精心为各位到场嘉宾准备300份精美礼品，各种惊喜玩法，等待您的探索与解锁！

02 报名参会

演讲、赞助及参展联系

李女士手机：17316577586

微信：taaslabs08

电子邮件：[email protected]

在智能化时代，汽车功能呈现爆发式增长，汽车软件的复杂度也指数级增长，据统计，当前一辆具备 L2++ 智能辅助驾驶的汽车, 纯软件代码量就超过了 1 亿行，远超传统燃油车时代的规模。

随着市场竞争加剧，车企整车项目研发周期从48个月缩至18个月。在巨大时间压力下，汽车软件研发面临严峻挑战，许多软件未经全面测试就匆忙上车，期望通过OTA升级解决质量问题。但这种做法过于理想化，既无法确保软件可靠性，还可能引发潜在安全风险。

据相关数据显示，近些年由于软件问题引发的召回事件，占车企所有召回事件的 30% 以上。  

现阶段，汽车软件研发还未构建起严谨的质量管理体系以及标准化的开发流程，其开发模式常常具有临时性与分散化的特点，这种模式也被形容为“草台班子”“小作坊”式。这直接导致了软件质量的波动性和不可预测性，给汽车软件带来了潜在风险。

基于对这一形势的前沿洞察，9月10日-11日，由谈思实验室和谈思汽车联合主办的「2025第二届汽车软件质量与测试峰会」将于上海盛大召开，以助力汽车软件的高质量开发，保障智能汽车的安全根基。

本届AutoSQT全面聚焦智能汽车软件市场的挑战与机遇，展开为期2天的深度交流。会议上将会有30+行业权威专家倾力分享与讨论，50+汽车主机厂，300+来自整车厂商、一级供应商、芯片厂商、软件工具供应商、质量测试认证供应商、软件安全服务提供商等专业人士汇聚，围绕行业前沿议题展开探讨，如：汽车软件质量、开发安全、AutoSAR软件平台、可靠性测试等。

同期，与本届AutoSQT 2025平行召开的，还有「AutoSec 2025第九届中国汽车网络安全周暨第六届智能汽车数据安全展」以及「AutoFuSa 2025第五届汽车功能安全与预期功能安全峰会」，三场行业盛会同步启幕，多维度解析软件质量、功能安全与预期功能安全、网络安全与信息安全核心技术领域的创新趋势及实践路径，助力产业加速迭代进化，多场景全链路构筑汽车融合安全！

01 会议信息

会议名称 | AutoSQT 2025第二届汽车软件质量与测试峰会

会议时间 | 9月10日-11日

会议地点 | 中国 · 上海

指导单位 | 上海市普陀区科学技术委员会

主办单位 | 谈思实验室、谈思汽车

联合主办单位 | 上海市车联网协会

联合支持单位 | 上海开源信息技术协会、上海汽检

02会议亮点

2天标杆活动，全面专注智能汽车软件市场挑战与机遇，重点关注汽车软件质量、开发安全、AutoSAR软件平台及可靠性测试等热点话题

50多家汽车主机厂参会和现场沟通

30位以上行业权威专家倾力分享与讨论

150多家媒体联合报道

超过20小时的大会主题发言, 干货满满

300位以上参会嘉宾，覆盖整个产业链包括整车厂商、一级供应商、芯片厂商、软件工具供应商、质量测试认证供应商、软件安全服务提供商等

03 热门议题

新一代软件质量标准AUTOSQS解读与落地路径

ALM 平台赋能全生命周期协同与敏捷交付

ASPICE 4.0 核心框架革新与嵌入式软件质量管理实践

软件定义汽车时代下智能汽车的质量体系构建

生成式AI与虚拟化驱动汽车软件工程范式革新

智能汽车软件安全攻防，基于模糊测试的漏洞发现与分析

SDV时代下测试流程的演进与质量保障的新要求

AI赋能软件测试，构建更智能、更可靠的软件交付体系

智能网联汽车OTA升级的准入、召回及安全合规体系解读

基于AUTOSAR Adaptive的虚拟ECU集成方案

04 部分参会车企代表

05 部分一级供应商参会公司

06 参会联系

「AutoSQT 2025第二届汽车软件质量与测试峰会」开放主题演讲、产品展示、合作邀约等多种赞助形式，提供全方位品牌宣传创新方案和合作平台，诚邀您的参与！

演讲、赞助及参展联系：

赵女士

手机: 15300700280

微信: taaslabs01

电子邮件: [email protected]

据媒体7月20日报道，美国总统特朗普当天分享了一段人工智能生成的视频，视频中，美国前总统奥巴马被逮捕。

视频截图，下同

特朗普20日在社交平台分享了这段时长45秒的视频。视频中，特朗普和奥巴马先是一起坐在白宫椭圆形办公室里，随后奥巴马在歌曲“YMCA”的伴奏下被特工逮捕。 当奥巴马被捕并最终被投入监狱时，人工智能生成的特朗普咧嘴一笑。在狱中，人工智能生成的奥巴马穿着橙色连体囚服。这段视频在多个社交平台获得广泛传播。

随着人工智能各项技术飞速发展，应用更加普及多元。其中，深度合成和生成式AI技术作为人工智能领域的创新应用技术，以其较低的应用门槛、较强的娱乐属性、丰富的应用场景备受关注。随着技术的开放开源、深度合成和生成产品和服务的增多，此类内容制作的技术门槛越来越低，实现了技术的“平民化”。

深度合成和生成式AI技术一旦被滥用，将会造成巨大的安全风险与实质性危害，给个人、企业造成肖像、名誉等人格和财产权益损害，也可能给社会秩序、国家政治稳定和安全造成巨大威胁。作为网络空间安全与社会治理领域国家队，国投智能股份全资子公司美亚柏科积极响应国家号召，依托自身在人工智能领域的技术积累，研发推出“鉴真”系列产品，为打击AI技术滥用提供了有力武器。

面对深伪合成与 AI 生成图片、视频带来的内容真实性挑战，公司自主研发的检测技术已构建起全面且精准的防御体系。平台可有效识别近500种各类伪造生成手段，广泛覆盖当前主流AI换脸、AI生成等方法。经领域多家专业厂家评测，美亚柏科视频图像鉴真能力，检测的精度、召回、速度等性能行业领先，为内容安全筑牢技术防线。

公司首发国内第一款深伪视频图像鉴真智能装备——慧眼视频图像鉴真工作站，该设备集成了先进的AI算法和图像处理技术，能够高效识别并验证视频图像的真实性，为司法调查、内容真实性验证等领域提供了强有力的技术保障。互联网上线“美亚鉴真平台”微信小程序，目前已在全国13个省级、超100个地市级反诈政务平台完成对接，成为全国唯一接入各类政务平台以及覆盖最广的深度合成生成内容检测小程序，并获得央视新闻专题报道和各地反诈中心部门的好评。

公司“鉴真”系列产品以多元化的业务模式，能够满足不同场景需求，用户可依据业务特性、数据规模及安全要求，灵活选择适配版本，获取定制化的AI合成生成内容检测解决方案：

·实验室装备版适配专业科研与鉴定场景；

·手机、平板、电脑等端侧SDK支持移动设备及终端应用的实时检测集成；

·私有服务版通过本地化部署，保障数据隐私与安全；

·SaaS化服务版以云端API实现低成本、高灵活的能力输出；

·互联网微信小程序则为个人用户及中小机构提供便捷的轻量化检测服务。

国投智能股份将继续携手美亚柏科，聚焦生成式人工智能领域以及AI内容检测识别技术的研发创新，不断精研优化，推出更具安全性与可靠性的技术产品，为打击基于AI的新型涉网犯罪筑牢坚实的技术后盾，全力推动AI技术朝着健康、规范的方向蓬勃发展。

根据美国联邦贸易委员会（FTC）数据显示，2024年，60岁及以上的美国人在网络诈骗中损失高达7亿美元，针对老年人的欺诈案件呈急剧上升趋势。

该机构在最新的《消费者保护数据聚焦》中公布的这一数字与前几年相比，三类损失金额均有所增加。值得注意的是，损失超过10万美元的人群，其损失金额较2020年增长了8倍。以下是具体金额分析：

·损失超过10万美元：4.45亿美元

·损失在1万至10万美元之间：2.14亿美元

·损失低于1万美元：4100万美元

2020年的总损失为1.21亿美元，因此2024年的7亿美元损失意味着增长了6倍。与前一年（2023年）相比，60岁以上人群的损失为5.42亿美元，2024年的损失增加了约30%。

60岁以上老年人因诈骗造成的年度损失金额

常见的诈骗手段

联邦贸易委员会强调，2024年针对老年人的常见诈骗手段包括冒充身份、制造虚假危机场景以及电话诈骗。

诈骗者通常会编造谎言制造紧迫感，例如声称受害者的银行账户存在可疑活动、社保号码涉及犯罪，或者电脑感染恶意软件并遭到黑客攻击等。

诈骗者会冒充政府机构（包括联邦贸易委员会）或企业（如微软、亚马逊）的工作人员，假意提出帮助受害者解决所谓的问题。

有报告显示，这些诈骗者会要求人们将资金转出账户，将现金存入比特币自动取款机，甚至将大量现金或黄金交给快递员——而这些都是真正的联邦贸易委员会绝不会做的事情。

联邦贸易委员会提到，这些诈骗大多始于网络，但随后往往会跟进电话，以便在受害者处于脆弱、孤立的状态时加大压力，对其进行情感操控。

老年人之所以经常成为诈骗目标，是因为他们通常拥有较多的金融储备，对权威机构抱有信任或尊重，且对技术的了解相对较少。在许多案例中，这些受害者损失了全部毕生积蓄，甚至是退休账户，导致他们在经济和情感上都遭受重创。

为防范此类诈骗，切勿向陌生来电者或信息发送者转账或分享财务信息。相反，人们应挂断电话，通过公开渠道获取相关机构或公司的联系方式，直接联系核实情况。

尽管2024年60岁以上人群损失的4.45亿美元无疑是一笔巨额数字，但与美国人在2024年因欺诈造成的总损失相比仍相形见绌——根据联邦贸易委员会的数据，全年总损失高达125亿美元。这一数字创下历史新高，较2023年增长了25%，由此可见诈骗造成的损失在持续上升。

英国电信公司Colt Technology Services正遭遇网络攻击，已导致该公司部分业务中断多日，涉及托管、端口服务、Colt在线平台以及语音应用程序接口（Voice API）平台等。该公司透露，攻击始于8月12日，目前中断情况仍在持续，其IT工作人员正全天候工作以减轻攻击造成的影响。

据悉，柯尔特公司成立于1992年，最初名为伦敦金融城电信公司（简称COLT），2015年被富达投资（Fidelity Investments）收购。作为主要的电信服务提供商，它在欧洲、亚洲和北美洲的30个国家均开展业务，拥有7.5万公里的光纤网络，连接着900个数据中心。

业务仍处于离线状态

起初，该公司仅宣布出现“技术问题”，并未确认是网络安全事件。不过，在后续的状态更新中，说明了事件的性质。

为规避风险，该公司不得不让特定系统下线，这影响到了包括柯尔特在线平台和Voice API平台在内支持服务的运营。目前，柯尔特在线平台已无法运用，公司建议客户通过电子邮件或电话联系柯尔特，但需注意回复速度会比平时慢。

该公司强调，受影响的是支持服务系统，而非核心的客户网络基础设施。柯尔特表示已就该事件通知了有关部门，但未提供关于攻击者身份或攻击类型的任何细节。

WarLock声称实施了此次攻击

一名化名为“cnkjasdfgd”的网络犯罪分子自称是勒索软件团伙“WarLock”成员，声称实施了此次攻击，并以20万美元的价格出售据称从柯尔特窃取的100万份文件。

该威胁者还公布了几份数据样本以证明文件的真实性。据其称，被盗文件包括财务数据、员工信息、客户资料、高管相关数据、内部电子邮件以及软件开发信息等。

威胁者在黑客论坛上的帖子 

尽管该公司未透露此次数据泄露的原因，但安全研究员表示，黑客可能是通过利用微软SharePoint中的一个远程代码执行漏洞（编号为CVE-2025-53770）获得了初始访问权限。

该安全漏洞至少从7月18日起就被当作零日漏洞利用，其严重程度被定为“危急”。微软已于7月21日通过安全更新修复了该漏洞。

据了解，黑客窃取了数百GB包含客户数据和相关文件的资料。有媒体就此事联系了柯尔特，对这些说法进行核实，该公司发言人表示“目前正在对这些说法进行调查。”

近日，以“ALL IN AGENT”为主题的ISC.AI 2025在北京圆满落幕！作为全球“安全+AI”领域规格高、规模大、影响力深远的行业盛会，ISC.AI 2025创下线下参会人数超4.5万人、直播观看总量超3000万人次、全网曝光量破亿的新纪录，不仅刷新了行业对产业盛会的认知，更以顶层设计与全球视野，为智能体时代的“安全+AI”融合发展锚定了战略方向。

全球顶尖阵容齐聚，共绘战略蓝图

大会汇聚了数百名全球顶尖的AI与安全专家，涵盖学术界权威学者、企业界创新领袖、国际机构分析师及多国政府智库专家，聚焦智能体时代数字安全与人工智能前沿动态，输出贴合国家、经济、社会、企业需求的前瞻观点、创新技术与领先成果。

在开幕式与未来峰会上，来自工商联、网信办、工信部、北京市网信办、北京市经信局等国家主管部门的领导，中国工程院、俄罗斯工程院、IDC、Gartner等顶尖科研机构的院士及专家，与来自360、广汽集团、华为、山石网科、范式集团、百度智能云、虚拟动点等海内外行业领袖齐聚一堂，以“政产学研用”的顶级对话，从国家战略、产业变革、技术突破等维度，为全球“安全+ AI”产业的融合发展构建了战略指引。 

360集团创始人周鸿祎在现场提出的“AI时代急需安全智能体”，成为本次大会的核心共识。他强调，安全智能体通过复刻人类高级安全专家能力，实现安全能力从量变到质变的突破，为应对“超级黑客”难题提供关键解法，开启了安全智能体应用新纪元！ 

与此同时，ISC.AI 2025不仅是战略前瞻盛宴，更是产业应用探索之旅。20余场技术及产业论坛，聚焦国家、经济、社会、企业维度，助力智能体时代数字安全跃迁升级，加速技术与产业融合落地。 

战略成果落地，构建产业生态护城河 

ISC.AI 2025不仅是思想碰撞的平台，更是全球“安全+AI”战略成果的集中展示窗口。大会期间，20余项新技术、新成果、新合作密集发布，形成了覆盖技术研发、标准制定、生态共建、人才培养的全链条战略布局，为产业高质量发展筑牢根基。

在核心技术突破层面，全球首个L4级别智能体工厂“360SEAF”、360网数模安全一体化方案、360AI企业知识库等成果的发布，从实战角度解决了企业在“安全+AI”融合中的落地难题。同时，《数据安全联动运营技术白皮书》、《全球高级持续性威胁分析白皮书》等白皮书的发布，为技术应用提供了规范化指引，推动产业从“野蛮生长”向“有序创新”升级。 

在生态与人才战略层面，智能体生态联合体、情报生态联盟的成立，标志着“安全+AI”产业进入“协同作战”新阶段；360双师实践工作站、ISC.AI学苑联创共营合作伙伴授牌、安全KER社团等平台的落地，与红衣课堂AI名师认证、三大训练营、ISC.AI 2025创新沙盒高校创新新星赛道则构建了“讲、训、练”三位一体的人才培养体系，为产业持续输送战略级人才储备。

在跨界合作层面，360与中国东信、太极股份、MiniMax、清微智能等企业达成战略合作，覆盖大模型技术协同、安全生态共建等关键领域，推动“安全+AI”技术从“实验室”走向“千行百业”，彰显了大会以战略合作为纽带、激活全球产业动能的核心价值。

体验升级，沉浸式感受“安全+AI”生态图景

ISC.AI 2025展区则以“ISC.AI PARK”为载体，精心打造了AI互动、ISC.AI学苑开讲啦、黑客集市等一系列特色活动。短短两天时间，超万名观众参展打卡、互动体验，展区人气火爆程度刷新历史纪录！

此外，科技类博主现身展区，与观众互动的同时，亲身体验AI赋能安全行业的创新产品，及AI在安全、办公、家庭、智能驾驶、娱乐等场景的应用，直观感受AI对工作生活的变革。360集团、华为、百度智能云等全球领先的科技巨头，还有中国电信、山石网科、无糖信息、赛宁网安、并行科技、联想、本末科技、麦瑞克、锐力、INAIR、大朴酱酒等厂商纷纷亮相，全面展示了人工智能浪潮下，人工智能和安全领域的新技术、新应用、新产品，让观众一站式领略前沿科技的魅力。 

ISC.AI 2025的落幕，并非终点，而是全球“安全+AI”产业战略升级的新起点。这场汇聚全球智慧、输出战略成果、构建生态图景的顶级盛会，不仅为行业注入了智能体时代的发展动能，更以其空前规格与战略高度，成为连接全球技术创新与产业变革的枢纽，推动人类迈向更智能、更安全的新纪元！

8月13日，国投智能控股子公司国投智能(南京)信息科技总经理武春庆带队赴浙江大华技术股份有限公司(以下简称“大华股份”)考察调研。大华股份国内营销中心司法行业总经理崔跃、江苏分公司政府业务部总监宋欣键、司法行业方案总监段宝泉等陪同调研。

武春庆一行实地参观了大华股份展厅，深入了解了大华股份的发展历程、企业文化、专利资质以及走读派驻、智慧留置、智慧城市、智慧交通、智慧物联、视频大模型等各个行业和领域的前沿技术成果和成熟应用案例。

签约现场

座谈会上，双方重点围绕智慧留置场所、纪检大模型应用等议题进行了深入交流并签订战略合作协议，这标志着国投智能(南京)信息科技与大华股份正式建立全面的战略合作伙伴关系，双方合作迈入新阶段。

武春庆表示，双方签订战略合作协议，是深化合作、共谋发展的重要里程碑，国投智能(南京)信息科技将全力助推公司“智慧留置场所模拟场景”的落地和“智慧留置和办案一体化解决方案”的技术创新与场景应用，携手开拓市场新蓝海，共创高质量发展新局面。

研究人员发布了一份报告，详细阐述了俄罗斯RomCom黑客组织如何利用近期被追踪为CVE-2025-8088的WinRAR路径遍历漏洞，在零日攻击中投放不同的恶意软件有效载荷。

RomCom（又称Storm-0978和Tropical Scorpius）是一个俄罗斯网络间谍威胁组织，擅长利用零日漏洞进行网络攻击，涉及Firefox（CVE-2024-9680、CVE-2024-49039）和微软Office（CVE-2023-36884）等软件。

2025年7月18日，ESET发现RomCom正在利用WinRAR中一个未公开的路径遍历零日漏洞，并通知了这款热门压缩工具的开发团队。

ESET本周发布的新报告解释道：“通过对漏洞利用程序的分析，我们发现了这一漏洞并定为CVE-2025-8088的编号，这是一个借助备用数据流实现的路径遍历漏洞。WinRAR已于2025年7月30日发布了修复版本。”

2025年7月30日，WinRAR发布了针对该漏洞（编号CVE-2025-8088）的修复程序，版本为7.13。不过，随附的公告中并未提及该漏洞存在被主动利用的情况。据悉，当用户打开特制的压缩包时，该漏洞会被用于将危险的可执行文件提取到自动运行路径。

该漏洞与一个月前披露的另一个WinRAR路径遍历漏洞（追踪编号CVE-2025-6218）相似。

ESET的报告称，恶意的RAR压缩包包含多个隐藏的ADS（备用数据流）有效载荷，这些载荷用于隐藏恶意的DLL文件和Windows快捷方式，当目标用户打开压缩包时，这些文件会被提取到攻击者指定的文件夹中。

许多ADS条目指向无效路径，ESET认为，这些条目是被故意添加的，目的是生成看似无害的WinRAR警告，同时隐藏文件列表深处存在的恶意DLL、EXE和LNK文件路径。

恶意RAR存档（顶部）和解压过程中的错误（底部）

可执行文件被放置在%TEMP%或%LOCALAPPDATA%目录中，而Windows快捷方式（LNK文件）则被放入Windows启动目录，以便在用户后续登录时执行。

ESET记录了三条不同的攻击链，均会投放RomCom组织已知的恶意软件家族：

·Mythic Agent：Updater.lnk会将msedge.dll添加到一个COM劫持注册表位置，该文件会解密AES shellcode，且仅当系统域与硬编码的值匹配时才会运行。该shellcode会启动Mythic代理，从而实现命令与控制通信、命令执行以及有效载荷投放。

·SnipBot：Display Settings.lnk会运行ApbxHelper.exe，这是一个经过修改的PuTTY CAC，带有无效证书。它会先检查是否有不少于69个最近打开的文档，之后再解密shellcode，从攻击者的服务器下载额外的有效载荷。

·MeltingClaw：Settings.lnk会启动Complaint.exe（即RustyClaw），该程序会下载一个MeltingClaw DLL，进而从攻击者的基础设施获取并执行更多恶意模块。

Mythic Agent感染链

俄罗斯网络安全公司Bi.Zone也报告称，他们观察到一个单独的活动群，被其追踪为“Paper Werewolf”，该集群在攻击中同样利用了CVE-2025-8088和CVE-2025-6218这两个漏洞。

目前，ESET已在其GitHub仓库中分享了RomCom组织最新攻击的完整入侵指标。

尽管微软在2023年为Windows系统添加了原生的RAR支持功能，但该功能仅在较新的版本中可用，且其功能远不如WinRAR全面。因此，许多高级用户和组织仍依赖WinRAR来管理压缩文件，这使其成为黑客的主要攻击目标。

RarLab表示，他们并不了解CVE-2025-8088漏洞被利用的具体细节，也没有收到任何用户报告，ESET仅向他们分享了开发补丁所需的技术信息。WinRAR没有自动更新功能，因此用户需要从官网手动下载并安装最新版本。

美亚柏科取证云平台

自2023年8月1日上线以来

已为全国近万名用户提供

云取证/调证/APP分析

等服务免费试用

覆盖全国34个省/直辖市、33个行业

支撑了缅北、柬埔寨反诈专项

以及全国上百起重要案事件

获得了数十封客户感谢信

2025年，继取证云平台V2

推出各大重磅功能后

“APP云取证”模块全面升级

取证结果、数据挖掘、群聊分析

三大核心能力再突破

并深度融合AI大模型

进一步满足新型涉网违法行为分析实战需求

升级取证结果：精准筛选类型，语音转写多语写译

即时通讯类APP取证结果存在多种消息类型混杂、语音信息检索难、多语种内容交织等难点。此次取证结果能力升级，通过消息类型筛选、多国语言翻译、语音转文字等功能突破这一局限。

•消息类型筛选

聊天场景中消息混杂着文本、图片、文件、链接等多种类型，传统人工筛选需逐一辨别，耗时费力且易遗漏关键信息。消息类型筛选功能，可按文本、语音、图片等类别快速分类梳理，让执法人员精准锁定目标信息类型，提升证据筛选效率。

•多国语言翻译

由于诈骗等跨国违法行为增多，检材中存在大量不同语种内容，传统取证软件依赖人工翻译效率低。取证云平台支持包括英语、韩语、日语、维语等200多种语言翻译为中文，提升内容查看和检索效率。

•语音转写

在新型涉网违法行为中，关键信息常以语音形式存在，传统依赖人工听录，易因口音、杂音导致效率低、遗漏多。取证云平台支持含汉语、英语、粤语等20多种语音转文字，并能在线预览和检索语音转文字的内容，对语音数据进行快速挖掘和提取。

新增数据挖掘：数据多维解析，深挖隐形线索

违法行为证据常通过分散数据、加密存储等方式隐藏关联，传统分析易局限于表层信息。此次新增的证据数据挖掘功能，通过多维度数据碰撞破解这一难题。

•实体识别

在结构化数据中，蕴含着很多手机号、车牌等不同的涉案要素实体，缺少统一汇聚，无法快速查询。取证云平台实现对取证结果进行信息挖掘，支持快速分类检索聚焦溯源。

•图片OCR识别

在图片数据中，同样也隐藏了很多涉案要素实体，人工逐一查找效率低下。取证云平台集成了OCR识别能力，能够从各类图片中快速提取文字信息，并支持快速检索和溯源。

•图片分类

随着终端设备硬件能力提升，存储的图片数量剧增导致人工无法快速甄别是否异常。取证云平台调用AI能力对涉案检材所有图片进行分析分类，包含人脸、车辆、屏幕拍照等160多种图片分类。

•涉案文档识别

涉案文档中往往包含大量业务相关信息，利用AI大模型能力对文档进行识别和归类，助力从文档中快速挖掘线索。

新增群聊分析：聚焦团伙作案，还原证据链条

群聊是团伙的重要沟通载体，信息繁杂且成员关系隐蔽。群聊分析功能通过结构化处理，提升案事件勘查效率。

•AI大模型深度融合

群聊分析功能深度融合DeepSeek等大模型，实现模拟资深办案专家的思维方式，深入理解和解析群聊信息，总结提取群聊摘要、群聊特征、聊天暗语、成员组织架构及群聊话题分类，为案事件调查提供更有价值的线索。

•群聊概况

在检材数据中，群组数量多、内容杂，往往无法识别是否涉事群组。通过对群聊整体内容进行概括，能够快速提取群成员涉案情况、类型分布、敏感词频分析，统计关键词出现频率，锁定核心涉案人员。

•亲密关系分析

群聊数据中，成员间的互动往往暗藏关联，靠人工识别亲密关系既耗时又易疏漏。通过自动化亲密关系分析，可统计成员间的互动频次、消息往来密度、生成亲密关系图谱，助力梳理团伙内的紧密关联网络。

•发言规律总结

在海量的群聊内容中，通过肉眼读取并梳理其规律耗时耗力。通过自动化发言规律总结，可以提取群成员发言频次、活跃时段，生成可疑角色标签，梳理团伙层级。

新型涉网违法行为面临信息繁杂、多语言障碍、关联隐蔽等难题，全新升级后的云取证模块通过消息类型筛选、语音转文字、多国语言翻译、数据挖掘、群聊分析及AI大模型等能力，为执法人员提供更精准的线索提取与关联梳理工具。美亚柏科研发团队将持续升级取证云平台，助力执法人员破解更多复杂违法事件，提升电子数据取证实战效能！

近期，2025年“净网”“护网”专项工作部署会在京召开，公安部组织全国公安机关持续开展打击整治网络谣言工作，陆续曝光查处的多起典型案例，涉及灾情、警情、公共政策等多个领域，其中利用AI生成虚假信息、摆拍编造社会事件等新型违法手段尤为突出。

案例速览

1、有网民借广东冰雹天气，发布“冰雹比鸡蛋还大”“冰雹砸坏汽车”等图片。经广东省互联网举报中心核实，相关图片均为通过AI制作生成的虚假图片，画面明显夸大灾情。百度平台“童生在此”、小红书平台“遥遥雪中客”、今日头条平台“小糖热搜”等账号已被依法依约关闭。

2、网上有消息称“滨江区发生恶性刑事案，嫌疑人已被刑拘”，引发关注。经当地公安机关查证，该信息纯属虚构，系造谣者为博取流量，利用AI生成工具捏造虚假案情，经深度编辑后发布于社交平台，已依法对造谣者作出行政处罚。百度平台“小娱游游”、微信平台“憨憨小魔王”等账号已被依法依约关闭。

3、西安公安网安部门查明，赵某民为博眼球、吸粉引流，使用AI软件捏造不实火情发布于某社交平台，引发大量网民关注和讨论，扰乱社会公共秩序。公安机关依法对赵某民处以行政处罚。

4、西安公安网安部门查明，冯某军为博人眼球，吸粉引流，使用 AI 技术制作并发布涉我市某景区发生安全事故的谣言信息，引发网民对景区安全措施的担忧，严重扰乱公共秩序。西安公安网安部门联合山东聊城警方开展处置工作，依法对冯某军处以行政处罚。

随着人工智能技术的飞速发展，深度伪造技术引发的风险日益凸显。AI换脸拟声等滥用行为不仅误导公众、煽动社会情绪，还对传统新闻媒体公信力构成严峻挑战，更波及法律、教育和金融等多个行业，威胁国家总体安全。作为网络空间安全与社会治理领域国家队，国投智能股份积极响应国家号召，依托自身在人工智能领域的技术积累，研发推出“鉴真”系列产品，为打击AI技术滥用提供了有力武器。

面对深伪合成与 AI 生成图片、视频带来的内容真实性挑战，公司自主研发的检测技术已构建起全面且精准的防御体系。平台可有效识别近500种各类伪造生成手段，广泛覆盖当前主流AI换脸、AI生成等方法。经领域专业厂家测评，美亚柏科的鉴真能力，平均精度超 94.6%，平均召回超 90.2%，为内容安全筑牢技术防线。

公司首发国内第一款深伪视频图像鉴真智能装备——慧眼视频图像鉴真工作站，集成了先进的AI算法和图像处理技术，能够高效识别并验证视频图像的真实性，为司法调查、内容真实性验证等领域提供了强有力的技术保障。互联网上线“美亚鉴真平台”微信小程序，目前已在全国13个省级、超100个地市级反诈政务平台完成对接，成为全国唯一接入各类政务平台以及覆盖最广的深度合成生成内容检测小程序，并获得央视新闻专题报道和各地反诈中心部门的好评。

公司“鉴真”系列产品以多元化的业务模式，能够满足不同场景需求，用户可依据业务特性、数据规模及安全要求，灵活选择适配版本，获取定制化的AI合成生成内容检测解决方案：

·实验室装备版适配专业科研与鉴定场景；

·手机、平板、电脑等端侧SDK支持移动设备及终端应用的实时检测集成；

·私有服务版通过本地化部署，保障数据隐私与安全；

·SaaS化服务版以云端API实现低成本、高灵活的能力输出；

·互联网微信小程序则为个人用户及中小机构提供便捷的轻量化检测服务。

国投智能股份将持续聚焦生成式人工智能和AI生成内容的检测识别技术，踔厉奋发，持续发力，按照相关管理要求，针对深度合成生成文本、视频、图像的检测鉴定技术、生成式人工智能技术、人工智能安全取证技术等方面的应用需求，不断打磨推出更为安全、可信、可靠的人工智能技术产品，为打击利用人工智能的新型涉网犯罪，提供有力的技术武器，为维护和保障人工智能的健康发展和规范应用贡献力量！

8月15日，360集团迎来二十周年，在北京奥林匹克体育中心举办的“360集团20周年荣耀庆典”上，创始人周鸿祎向现场数千名员工发表演讲，回顾360集团二十年的发展历程，并明确360集团下一阶段的公司战略：All In Agent。为了保障公司战略落地，360集团还同步升级使命、愿景与价值观。

周鸿祎表示，站在过去与未来的转折点上，360应该放下以往的辉煌和遗憾，以空杯心态、「First day」思维开启新征程，“我们有充足的人才储备，深厚的技术积累，海量的数据沉淀，稳健的现金流，这是二十年来360攒下的家底，也是我们决胜AI新浪潮的最大底气。”

20年深耕：从安全领军者到“AI+安全”国家队

庆典中，周鸿祎系统回顾了三六零成立以来的标志性发展节点。历经二十年，360 集团从网络安全的红海中成功突围。如今，360已成为中国网络安全领域的领军企业，成长为“数字安全和AI国家队”，拥有全球最大的网络安全大数据、国家级网络攻击发现与防御能力，在全球网安领域多项指标领先，国内更是创下八项第一的行业标杆。

随着AI技术的发展，AI成为360下一个战略支点。目前，360已打造出国内排名第一的 AI搜索及智能体应用——纳米 AI 多智能体蜂群。

周鸿祎称，这背后是每一位360人的坚守，以及深植于公司基因中的 “敢为” 和 “创新” 精神，“正是大家的精进不辍，才让360不断实现破界革新。”

AI新突破：纳米AI多智能体蜂群落地，“360智能体工厂”赋能全行业

周鸿祎在演讲中强调，2025 年将成为“智能体元年”。与单纯的大模型相比，智能体是更高级的进化形态：大模型相当于“大脑”，负责推理与决策；智能体则在此基础上增加了“手脚”，即自主规划任务、分解流程、调用工具的能力，解决了大模型“只会思考、不会干活” 的核心痛点。

360创新借鉴了自动驾驶分级体系，将智能体划分为L1至L5五个级别，从基础的L1聊天助手、固化流程的L2工作流智能体，到具备自主推理能力的 L3 级智能体、多智能体协作的 L4 级多智能体蜂群，再到探索中的自我进化型L5级智能体，清晰勾勒出行业发展路径。

庆典大会上，周鸿祎公布了360公司在智能体领域的技术突破：目前纳米AI已实现L3级推理型智能体连续执行100 步任务0出错、单次消耗Token100万、调用100+工具，任务成功率达98.2%；纳米AI的L4级多智能体蜂群更是可完成 1000 步连续任务，Token消耗达500-3000万，成功率95.4%，仅用一句话即可生成 30分钟完整视频，验证了多智能体协作的强大能力。

为推动智能体在各行业的普及，360推出“智能体工厂”，让企业一线员工无需编程基础，即可快速打造L1至L4级智能体或“多智能体蜂群”，可像“招聘员工”一样灵活调用内外部智能体组队完成复杂任务。

战略升级：ALL IN Agent，抢占智能体时代先机

站在二十周年这一全新起点，周鸿祎指出，AI带来的变革正深刻重塑产业格局与安全行业。360将以空杯心态开启新征程，凭借过去20年积淀的强大优势，死磕AI新浪潮，再创新辉煌。

周鸿祎表示，AI的巨大机遇就在眼前，智能体将带来个人角色和组织形态的重塑，当前正是重新出发、转向新赛道的时刻，All in Agent就是 360 的明确路线图。周鸿祎勉励全体员工要上下同心，坚定聚焦，力争实现 “三个超级”：

一是鼓励360全员建立AI信仰、培养AI素养，思考“如何用智能体放大自身价值”，全员都要学会使用、搭建、管理、监督、领导智能体，与智能体深度协同，每个人都可以把自己打造成超级个体、超级员工；

二是要求全公司各业务线、各部门以智能体化率衡量所有业务流程、岗位职能的进化水平，打造超级团队、超级组织；

三是用智能体重塑公司所有产品。在软件开发3.0时代，新产品必须以智能体为范式进行功能开发，已在运营、服务的产品，必须以智能体进行重塑。

 为适配“All in Agent”战略，360全面升级使命、愿景与价值观：使命升级为“让AI世界更安全更美好”，愿景升级为“成为最安全的 AI 创新者”，核心价值观聚焦“用户为先、始终创业、持续创新、追求卓越、协作律己”五大维度。

同时，周鸿祎还宣布启动系列活动：对内举办“360 智能体创新大赛”、“AI 视频大赛”，对外联合新华网发起“AI视频创意大赛”，旨在激发内外创新活力。

周鸿祎在庆典中表示，站在AI新起点，公司全员都将以“空杯心态”和技术积累为基石，以“All in Agent”为引擎，不仅为产业数字化筑牢安全根基，更要开拓 AI新蓝海，“敢 AI 敢为”，共创新辉煌。

HW 行动中，部分厂商因开源邮件网关组件漏洞沦陷，这一现象的背后，实则是开源 MTA 模块在技术根基上的诸多缺陷在实战中的集中暴露。

开源MTA的技术隐患：从架构缺陷到实战风险

国内邮件安全网关市场中，部分厂商因核心技术投入不足，产品能力分化明显，约70%邮件网关产品以 Postfix、Sendmail 等开源技术为根基，其功能扩展常走 “技术捷径”：实现反垃圾、病毒扫描等核心安全功能时，采用 “外部调用拼接式” 编程 —— 通过 Shell 脚本或命令行拼接调用外部安全引擎，而非原生 API 深度集成。这种开源改造存在三重硬伤：

1、效率损耗大：每封邮件处理需反复启动外部进程，高并发场景下 CPU 与内存占用激增，易成性能瓶颈。

2、安全攻击面扩大：命令行参数注入或转义不当，易被恶意邮件利用形成 Shell 注入风险。

3、稳定性和维护性差：进程间通信可靠性远低于原生库调用，错误链冗长难追踪。

根源在于研发模式不成熟。今年HW期间，多家机构网关产品即因开源 MTA 的内存管理缺陷、命令注入漏洞被攻破。更值得警惕的是，基于开源 MTA 搭建的网关，核心机制受制于人，难谈安全自主；且主流开源 MTA 多源自美国，不排除被植入后门的风险，一旦发生意外，可能导致信息泄露甚至系统失控。

CACTER自研破局：从底层重构邮件安全根基

CACTER邮件网关的破局关键，在于对 MTA核心组件实现 100% 自研，从协议处理到内存管理摆脱开源依赖，以此筑牢产品安全根基。

这一技术底气源自 26 年行业深耕经验与累计 63 项专利技术，始终以 “实战有效性”为导向—— 这正是CACTER在本次安全攻防中保持“零失陷”的核心秘诀。而除了这份自研硬实力外，CACTER的稳健表现，更离不开四大核心能力的坚实支撑：

26 年实战积累 从“被动防御” 到“主动适应”

邮件安全从不是 “闭门造车”，而是在借鉴与优化中动态应对实战挑战。26 年服务多行业的经验表明，稳定、适配、可迭代的方案，才是关键场景的坚实保障。

如今，AI 攻击推动邮件安全进入 “微秒级” 竞争时代。立足实战、融合优化的自研技术路线，已被证明是应对复杂威胁的可靠选择。26 年的经验积淀，硬核的产品实力，专业的服务团队，让CACTER在历次攻防中，交出让客户真正放心的答卷。

8月8日，由国家网络与信息安全信息通报中心指导，甘肃省公安厅、甘肃省委网信办、甘肃省百万职工职业技能素质提升活动组委会联合主办，甘肃警察学院、国网甘肃省电力公司、中国移动甘肃公司承办的第三届“陇剑杯”网络安全大赛正式启动报名。

作为“立足西北、面向全国”的国家级网络安全大赛，“陇剑杯”是全国同类赛事中首个“以防为主”的赛事品牌，同时也是首次引入“人工智能人机对抗”的网络安全防御赛。本届“陇剑杯”延续品牌特色，打造网络安全全场景防御演练场，并聚焦人工智能技术在安全防御场景中的应用，推动技术创新与安全防御齐头并进，为守护数字经济筑牢网络安全防线。

“陇剑杯”自创办以来就受到全国重点行业、高等院校、社会力量的热切关注与支持。前两届大赛累计吸引全国党政机关、企事业单位、科研院所、互联网企业等行业单位的近万支队伍3万多人报名参赛，为各行业单位强化网络安全意识，提升网络防护能力，培养网络安全人才，全面助力数字经济建设贡献了积极力量。如今，两年一度的“陇剑杯”再次如约而至，大赛以“数链丝路、安算未来”为主题，以筑牢西部网络安全与数据安全防线为办赛宗旨，秉持“服务甘肃、面向全国、延续特色、绿色节俭”办赛原则，打造覆盖网络安全、数据安全、供应链安全、算力安全，融合“工业+能源+生态”的高水平网络安全赛事，为助推地区网络安全、数字产业、社会经济高质量发展注入强大动力。

考虑到不同行业领域技能水平、应用能力等方面存在差异，为确保赛事公平公正，大赛按照参赛单位性质及技术能力划分为守宝龙、开明兽、九色鹿、三青鸟4组，其中守宝龙组主要为党政机关、事业单位等参赛队伍；开明兽组主要为关键信息基础设施运营单位等参赛队伍；九色鹿组主要为高校、职业院校等参赛队伍；三青鸟组主要为互联网、网络安全公司等参赛队伍。

赛程安排

报名时间：8月8日 - 9月3日

线上预选赛：9月6日

线下半决赛：9月18日

线下总决赛：9月19日

颁奖典礼：9月19日

奖励机制

本届“陇剑杯”总决赛前9支队伍将直接晋级有网络安全“奥运会”之称的“网鼎杯”半决赛，两大国家级赛事相互联动，让更多优秀网络安全人才和专业技术队伍成为保卫国家网络空间安全的强大力量。“陇剑杯”将对总分排名前19支队伍进行奖励，其中一等奖1名、二等奖3名、三等奖5名、优秀奖10名，奖金分别为3万元、2万元、1万元、0.5万元。对比赛成绩优异的甘肃队员，向省百万职工职业技能素质提升活动组委会申报“甘肃省五一劳动奖章”“甘肃省技术标兵”“甘肃省优秀选手”荣誉称号，彰显网络安全人才价值。

当前，人工智能、大数据等新一代信息技术快速发展，为安全防御、数据治理提供有力支撑。本次大赛紧贴真实数字化场景，聚焦当下新技术应用实践，为网络安全人才提供能力检验舞台。大赛组委会希望各党政机关、行业单位、高校、网络安全企业等都能够积极参与进来，共同在实战中提高网络安全防御技能，筑牢网络安全防线，为数字中国和网络强国建设保驾护航！

大赛报名链接：https://www.longjiancup.cn/

2024年3月首次被发现的XZ-Utils后门程序，目前仍存在于Docker Hub上至少35个Linux系统中，这可能会将用户数据置于风险之中。

Docker Hub是由Docker运营的官方公共容器镜像仓库，开发者和企业可在此上传或下载预构建的镜像，并与社区共享。

许多CI/CD流水线、开发者及生产系统会直接从Docker Hub拉取镜像，将其作为自有容器的基础层。若这些镜像存在安全漏洞，新构建的容器也会继承其中的漏洞或恶意代码。Binarly的研究人员发现，仍有大量Docker镜像受到XZ-Utils后门程序的影响。 

Binarly在报告中指出：“如果发行版软件包被植入后门，那么任何基于这些包构建的Docker镜像也会受到感染。然而，我们发现部分受感染的镜像仍在Docker Hub上公开可用，而其他镜像又以这些受感染的基础镜像为基础进行构建，导致感染范围进一步扩大。”

Binarly已将这些镜像报告给Debian（仍在提供带后门程序镜像的维护者之一），但Debian以风险较低且需保证归档连续性为由，决定不将这些镜像下线。 

XZ-Utils后门程序（追踪编号为CVE-2024-3094）是隐藏在xz-utils压缩工具（5.6.0和5.6.1版本）的liblzma.so库中的恶意代码。

它通过glibc的IFUNC机制挂钩OpenSSH中的RSA_public_decrypt函数，因此，若拥有特殊私钥的攻击者通过SSH连接到受影响的系统，他们便能绕过身份验证，以root权限远程执行命令。

该后门程序由长期参与项目的贡献者“Jia Tan”秘密植入，并被包含在Debian、Fedora、OpenSUSE和Red Hat等官方Linux发行版软件包中，使其成为去年最严重的软件供应链安全事件之一。

由于后门程序发现及时，攻击者几乎没有机会利用它。Binarly、卡巴斯基等机构还发布了扫描工具，以帮助检测依赖的开源软件中是否存在该后门。

Debian的回应

令研究人员感到意外的是，Debian并未从Docker Hub撤回使用带后门版本库的64位镜像，目前至少有35个此类镜像仍可下载。

Binarly表示，这一数字仅部分反映了问题的实际规模，因为他们并未对平台上的所有镜像进行XZ-Utils后门程序扫描。

Binarly在报告中解释道：“我们发现了超过35个包含后门程序的镜像。虽然这个数字看似不大，但我们仅扫描了Docker Hub上发布的一小部分镜像，且只到二级镜像就停止了。”

Debian称，他们有意选择不从Docker Hub移除这些镜像，而是将其作为历史产物保留，并告知用户仅使用最新的镜像，而非旧版本。

维护者做出这一决定的原因是，他们认为该后门程序被利用的条件不太可能满足，例如需要容器中安装并运行sshd、攻击者能够网络访问该容器上的SSH服务，以及使用与后门触发逻辑匹配的私钥等。

Debian维护者的回应

但Binarly不同意这种做法，他们强调，仅仅让这些镜像可被公众获取，就会因意外拉取或在自动构建中使用而带来重大风险。

这一情况同样适用于所有可能包含受感染版本XZ-Utils后门程序的镜像，因此用户应手动检查，确保所用库的版本为5.6.2或更高（最新稳定版为5.8.1）。