【华安星安全资讯】半月精选集（2025.1.26-2.9）

      近日，国家市场监管总局研究起草了《网络交易合规数据报送管理暂行办法》(征求意见稿），现向社会公开征求意见。《办法》共21条，主要规定了网络交易合规数据报送基本原则和职责分工，网络交易合规数据报送范围、报送时限、报送层级，网络交易合规数据利用和管理等内容。其中，第七、八、九、十条分别规定了4类网络交易合规数据的报送时限、报送层级和报送内容。第十四条规定了网络交易合规数据的利用，各级市场监管部门可以将网络交易合规数据依法用于监管执法，可以进行大数据综合分析应用，以支撑市场监管、政务服务等工作。

      为积极响应《全球人工智能治理倡议》，支撑落实《人工智能安全治理框架》，充分发挥标准对人工智能技术应用和产业发展的规范引领作用，持续完善人工智能安全标准体系建设，全国网安标委组织编制了《人工智能安全标准体系（V1.0）》（征求意见稿）。如有意见或建议，请于2025年2月21日前反馈至秘书处。

      近期，AI初创公司DeepSeek凭借其先进的AI模型，尤其是R1推理模型，迅速吸引了业界的广泛关注。然而，其快速崛起也引发了网络犯罪分子的觊觎，他们利用DeepSeek的知名度，发动了一系列复杂的网络攻击和诈骗活动。这些威胁主要包括假冒网站、恶意软件分发以及虚假加密货币代币和IPO前股票的诈骗。

      近日，漏洞赏金猎人Sam Curry与研究伙伴在斯巴鲁的Starlink车联网服务中发现一个“任意账户接管”高危漏洞，攻击者可借此劫持美国、加拿大、日本三国的斯巴鲁车辆，实现远程跟踪、解锁、启动甚至窃取用户敏感数据。目前该漏洞已被修复，但汽车行业的网络安全短板再次暴露无遗。

       除了对DeepSeek发动大规模黑客攻击外，美国的网络安全企业也没有闲着，过去数日针对DeepSeek安全和隐私问题的“黑报告”接连出炉。继多伦多大学Citizen Lab声称“DeepSeek比TikTok更可怕，会不断采集用户聊天数据和个人信息”后，总部位于芝加哥的移动安全公司NowSecure近日发布了一份针对DeepSeek iOS应用的深度安全与隐私评估报告，声称DeepSeek的APP存在多个“严重漏洞”，不仅威胁到个人用户的数据安全，也对企业和政府机构构成重大风险。

      根据网络安全公司Surfshark的研究人员称，2024年有超过50亿个帐户遭到泄露，与2023年的7.3亿个帐户 相比暴增8倍，平均每秒的帐户泄露数量将近180个。研究人员发现，被泄露的帐户中大约有7.9亿个来自俄罗斯，3.1亿个来自美国，1.6亿个来自中国，1.1亿个来自德国，1亿个来自法国。

     随着网络犯罪分子不断升级他们的攻击手段，企业和个人面临着前所未有的风险。在这种危机中，网络安全专业人员的作用变得越来越重要。然而，网络安全人才短缺的状况几乎没有缓解迹象。该文列举了2025 年网络安全人员需要掌握的10大技能，分别是应用程序安全开发、云安全、威胁情报分析、渗透测试/红队、网络安全、身份和访问管理、风险和合规审计、移动-远程计算、沟通/领导力、创造力。

      随着ChatGPT和DeepSeek应用的野火燎原，生成式AI（GenAI）安全威胁已从理论风险迅速演变为迫在眉睫的全球性威胁。微软AI红队（AIRT）近日分享了其过去六年中对100余个生成式AI产品进行的深度红队测试，覆盖文本、图像、视频多模态模型及Copilot等集成系统。这些实战经验揭示了AI系统在安全与伦理上的共性漏洞，也颠覆了传统攻防思维，包括能力边界决定攻击面——从模型能力到场景风险的映射、简单即有效——80%的成功攻击无需复杂算法、超越基准测试——动态定义新型危害、人机协同——自动化工具扩展攻击半径、人类不可替代——红队测试的三大核心角色、隐性危害测量——从数据偏见到社会影响、新旧风险交织——AI如何重构安全边界、安全是过程而非终点——防御体系的动态博弈。