【华安星安全资讯】半月精选集（2025.9.1-9.14）

近日，国家市场监督管理总局、国家标准化管理委员会发布的2025年第21号《中华人民共和国国家标准公告》，由全国网络安全标准化技术委员会归口的GB/T 46068-2025《数据安全技术 个人信息跨境处理活动安全认证要求》、GB/T 46071-2025《数据安全技术 数据安全和个人信息保护社会责任指南》2项国家标准正式发布，将于2026年3月1日起正式实施。

国家发改委、国家能源局日前联合印发《关于推进"人工智能+"能源高质量发展的实施意见》，提出到2027年初步构建能源与人工智能融合创新体系，推动五个以上专业大模型在电网、发电等行业深度应用。《意见》明确将重点发展"人工智能+电网"智能调控、新能源功率预测、虚拟电厂优化等八大领域，打造百个典型应用场景。到2030年，我国能源领域AI技术将达世界领先水平，实现算力电力协同发展，并在可控核聚变智能控制等前沿领域取得突破。该文件是我国首个系统性部署AI与能源融合发展的国家级政策，标志着能源行业智能化转型进入全面加速阶段。

近日，研究人员发现，知名生成式AI公司Vyro AI的服务器近日泄露了敏感用户数据，其中包括私人提示词、身份验证令牌等，数百万用户的数据可能因此曝光。Vyro AI总部位于巴基斯坦，声称其应用总下载量超过1.5亿，每周可生成350万张图片。这台公开的服务器实时泄露了该公司旗下三款应用的116GB用户日志，包括ImagineArt（在Google Play上的下载量超过1000万）、Chatly（下载量超过10万）以及Chatbotx（一款网页聊天机器人，月访问量约5万）。此次泄露涉及生产与开发环境，存储了大约2至7天的日志。研究人员指出，该数据库在2月中旬首次被网络测绘搜索引擎索引。这说明，数据库早在数月前就已经对攻击者可见。

当埃隆·马斯克将Grok作为X平台（前身为Twitter）对抗ChatGPT的王牌时，他或许未曾料到，这款被标榜为“最叛逆”的AI，如今正被网络犯罪分子当作绕过平台安全防线的“完美工具”。 近日，研究人员发出警告，一种被称为“Grokking”的新型攻击技术正在X平台上悄然兴起。攻击者巧妙地利用Grok的AI对话机制，将这个官方AI助手变成恶意软件链接的“传声筒”，成功突破了X平台的广告安全防护体系。

近日，黑客组织ShinyHunters声称，他们成功入侵并窃取了越南信用研究所超过1.6亿条记录。该机构负责管理越南国家信用信息中心（CIC）。CIC隶属于越南国家银行，是其直属事业单位，承担着国家信用登记职能。ShinyHunters在某黑客论坛上挂出了相关数据的出售信息，并提供了大样本，声称其中包含超过1.6亿条记录，内容“极度敏感”，包括一般个人身份信息（PII）、信用支付记录、风险分析、信用卡信息、军人证件、政府证件、税务识别号、收入报表、债务信息等。

知名金融科技公司Sinqia的巴西央行实时支付系统业务环境发生一起未授权访问事件，攻击者窃取该公司IT供应商的合法账号，通过操作多笔转账交易盗窃了超9.2亿元资金；Sinqia的两家金融机构客户受影响，据悉其中一家是汇丰银行，Sinqia试图追回相关资金，目前进度尚未公布。

AI时代，网络安全的主战场已经从云端回到了用户日常使用的Word和Excel文档中。黑客甚至不再需要费力编写复杂的恶意代码，而是通过一种名为“提示注入”的攻击方式，对AI施展“精神控制”，让它乖乖就范，甚至倒戈成为黑客攻击的帮凶。这不仅是网络攻击战术的重大变革，更是对AI信任根基的颠覆。综合近期多起AI安全事件和专家分析，该文梳理出了当前五种最危险、也最具代表性的提示注入攻击，包括（1）宏病毒注入：潜伏在文档里的“AI催眠师”；（2）“零点击”注入：防不胜防的“无形之刃”；（3）元数据隐藏注入：藏在“身份证”里的密令；（4）视觉伪装注入：瞒天过海的“隐形墨水”；（5）开发与供应链环境注入：从源头“投毒”。