【华安星安全资讯】半月精选集（2026.6.29-7.12）

为了促进互联网信息服务健康有序发展，保护公民、法人和其他组织的合法权益，维护国家安全和公共利益，按照有关立法规划计划安排，前期，国家互联网信息办公室会同工业和信息化部、公安部起草了《互联网信息服务管理办法（修订草案征求意见稿）》并公开征求意见。此后，根据修改后的《中华人民共和国网络安全法》等法律和社会公众反馈意见，国家互联网信息办公室会同有关部门对《互联网信息服务管理办法（修订草案征求意见稿）》进行了修改完善。为深入推进科学立法、民主立法、依法立法，提高立法质量，现再次公开征求意见。

为指导使用者安全部署使用智能体，降低相关安全风险隐患，全国网络安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——智能体部署使用安全指引》。本《实践指南》给出了评估、准备、部署、使用、停用等阶段的智能体部署使用安全指引，适用于智能体部署使用的安全风险防范，也可为选择使用商业智能体服务提供参考。  

根据2026年7月2日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2026年第30号），全国网络安全标准化技术委员会归口的7项国家标准正式发布：

近日，IT服务与咨询巨头埃森哲已确认遭遇一起安全事件。有威胁行为者在地下论坛公开售卖埃森哲超35GB机密数据，涉及源代码、RSA密钥、SSH密钥、Azure PAT、Azure Storage访问密钥等敏感信息。埃森哲确认发生数据泄露，但未给出进一步信息，尚不确定数据泄露内容及客户影响范围。埃森哲是一家全球性的专业服务公司，为世界各地的企业和政府提供咨询、技术、云、工程以及托管服务。

近日，Sysdig团队监测到全球首例大语言模型端到端自主驱动的JADEPUFFER勒索攻击，全程无人工干预。该攻击利用Langflow漏洞突破防线，窃取各类密钥与云凭证，依托Minl0存储服务完成横向移动，自适应修正攻击代码。攻击者最终瞄准生产服务器，攻破Nacos服务并加密、销毁千余条配置数据。此次攻击无全新漏洞，核心突破是AI可自主串联全套攻击链路，颠覆了勒索攻击依赖高阶黑客技术的传统认知，为网络安全防御敲响警钟。

美国保险业关键机构全国保险监督官协会（NAIC）近期遭受ShinyHunters组织窃密攻击，3.1TB数据泄露，涉及大量保险公司监管申报文件、信用评级机构的评级文件、部分客户订单记录、NAIC生产环境的日志/配置/凭证等敏感文件等。由于此次事件，穆迪、惠誉、KBRA等多家信用评级机构已暂停数据传输，NAIC的保险资产评级认证服务只能暂停，管理美国保险公司如何分类资产组合、如何计提资本的评级框架陷入停滞，一些资本金不足的资产可能面临暴露风险，或引发行业震荡。

近日，日本电信运营商巨头KDDI披露，旗下邮箱服务因某个第三方软件漏洞被入侵，可能有1422万名客户的邮箱地址和密码（部分为哈希或加密形式）泄露；该事件不仅KDDI用户受到影响，还有STNet、JCOM等其他5家运营商因使用KDDI邮箱服务，用户也受到影响。KDDI是日本最大的互联网服务提供商之一，拥有4.5万名员工，年收入达324亿美元。该公司自2000年起作为上市企业运营，由日本此前的国际电信国家垄断运营商IDO、DDI和KDD合并而成。

在数字化转型的浪潮中，人工智能如同一位不请自来的访客，悄然降临在无数企业的服务器机房、办公终端与云端协作平台之间。它改变着每一条业务流程、每一个数据接口、每一个普通员工触手可及的工作界面。然而，当我们迫不及待地张开双臂迎接这位“客人”时，是否曾停下脚步想一想——它或许正悄悄带走我们始料未及的东西？该文总结了AI应用之路上四大隐形安全风险，包括（1）暗影AI——看不见的威胁最为危险；（2）代理型AI——拥有"写权限"的危险存在；（3）供应商泛滥——引入即意味着潜在入侵；（4）成本失控——最容易被忽视的财务暗礁。