ARTICLE · 1312429
AI权限失守与供应链管制收紧
AI权限失守与供应链管制收紧🏛️ 数据安全早知道 2026年11月05日 · 周四 📑 Vol.402🔒 数据安全🛡️ 信息安全 2 监管动态 4 安全事件 1 漏洞预警 2 风险提示 📋 本期要闻速览 ▸AI平台访问权限遭盗用，多家企业损失近千万元 ▸华尔街全面收紧外部AI智能体接入银行核心系统 ▸WordPress Core曝竞争条件远程代码执行漏洞 ▸中国台湾拟扩大对大陆半导体出口管制并加重违规处罚 ▸物理隔离系统被证实可通过USB供电线泄露数据 📋 监管动态 2条 中国台湾拟进一步限制大陆半导体出口，违规转运处罚加重政策 11月2日，中国台湾地区立法机构经济委员会召开《贸易法》部分条文修正草案公听会，讨论扩大对中国大陆特定集成电路、半导体晶圆关键材料、零部件及制造设备等出口管制，并提高违规出口及第三地转运的刑事处罚力度。据原《贸易法》第13条规定，不能向中国大陆出口化学品等特定物项。此次修法若落地，将直接影响半导体供应链企业的出口合规与转运路径管理，相关企业需提前评估第三地转运的刑事风险。 📎 财新 · 2026-11-04 NIS2监管下的中企出海：核心问题与合规应对政策 欧盟NIS2指令的影响远不限于欧盟本土企业：无论是在欧盟设立运营实体、提供数字服务，还是仅作为欧盟企业的上游供应商，都会受到直接或间接的合规约束。NIS2已不再是单纯的IT技术安全规范，而是相关领域中国企业进入欧盟市场必须满足的核心准入合规框架，直接影响市场准入、供应商资格和经营风险。出海企业需将NIS2要求纳入供应链合规体系。 📎 安全内参 · 2026-11-03 · · · 🚨 安全事件 4条 AI访问权限遭盗用，多家企业损失近千万元高 又一知名AI应用平台被黑，警告所有用户更换托管密钥。谷歌威胁情报部门（GTIG）首席分析师John Hultquist表示：“只要有机会，威胁行为者就会利用这项技术，让自己在攻击规模上压过防御方。”攻击者借助智能体工具偷偷窃取第三方Token，多家企业损失近千万元。加强对AI平台托管密钥与Token资源的管控，已成为防止企业成本失控与数据泄露的关键环节。 📎 安全内参 · 2026-11-04 华尔街全面收紧外部AI智能体接入权限，金融安全防线结构性重构高 摩根大通、花旗集团、美国银行等行业巨头快速跟进落地外部AI智能体接入规则。摩根大通董事长兼CEO杰米·戴蒙明确划出红线，禁止任意外部AI智能体接入银行核心系统，并警告不受管控的“流氓智能体”数量可能快速增长至成千上万，风险完全无法量化覆盖。客户若主动授权第三方AI智能体访问银行账户，必须为该决定自行承担相应风险。 📎 安全内参 · 2026-11-04 物理隔离也拦不住？USB供电线变成数据泄露信道中 air-gapped（物理隔离）系统通常被视为堡垒：不连外网、封掉无线、接入需审批。但研究显示，只要机器曾被人塞入带毒U盘、在供应链环节被投毒，或被内部人员动过手脚，恶意代码就已在隔离区内潜伏。攻击者可利用USB供电线作为隐蔽数据泄露信道，绕过防火墙、入侵检测和加密等传统防线。这提示高安全等级环境需关注物理层侧信道与供应链投毒风险。 📎 安全内参 · 2026-11-03 中国安防协会发布《安全防范行业数字安全建设指南》中 中国安全防范产品行业协会发布《安全防范行业数字安全建设指南》，旨在贯彻数字中国、平安中国建设部署，确保安防企业数字化转型行动计划和“人工智能+安防”专项行动顺利实施。指南科学指导安防制造、集成、运营服务类企业在数字化、网络化、智能化转型中的数字安全体系建设，有效抵御数字安全风险，提升企业核心竞争力。 📎 安全内参 · 2026-11-03 · · · 🔓 漏洞预警 1条 WordPress Core竞争条件远程代码执行漏洞(CVE-2026-119977)安全风险通告紧急 WordPress Core被披露存在竞争条件远程代码执行漏洞（CVE-2026-119977）。攻击者可利用该漏洞，在升级窗口内通过竞争条件注入恶意配置，最终实现任意代码执行，导致服务器完全沦陷。WordPress是全球最广泛使用的开源内容管理系统，基于PHP和MySQL/MariaDB构建。鉴于其部署基数庞大，建议站点管理员密切关注官方补丁并尽快完成升级。 📎 安全内参 · 2026-11-04 · · · ⚠️ 风险提示 2条 网络安全的AlphaGo时刻，或从这466场Agent对局开始中 大模型在NYU CTF、Cybench、CyberGym等排行榜上的漏洞解决率动辄80%以上，容易让人误以为人类防线已被打穿。但这些分数基本来自单机答题（Jeopardy）模式：靶机固定、不打补丁、不重启。466场Agent对局研究提示，真实攻防环境中的动态性与对抗性远超静态评测，企业不应仅凭榜单分数评估AI安全能力，需关注实战条件下的智能体攻防表现。 📎 安全内参 · 2026-11-03 《前沿人工智能安全与治理2026：风险认知与协同治理》报告发布中 世界互联网大会人工智能专业委员会主任委员、中国人民大学高瓴人工智能学院吴玉章讲席教授曾毅发布《前沿人工智能安全与治理2026：风险认知与协同治理》报告。报告历经多轮调研与研讨，旨在为国际社会相关讨论提供有益思路和参考，增进各方对前沿人工智能风险的认知与共识，提升前瞻准备与协同应对能力。企业应将前沿AI风险纳入治理框架。 📎 安全内参 · 2026-11-04 · · · ✅ 安全建议 5条 1 紧急：针对WordPress Core竞争条件RCE漏洞（CVE-2026-119977），请立即排查站点WordPress版本，在官方补丁发布后第一时间升级，并在升级窗口期加强配置变更监控，防止攻击者利用竞争条件注入恶意配置。 2 紧急：针对AI平台访问权限盗用事件，请立即轮换所有AI应用平台的托管密钥与Token，核查第三方智能体授权清单，关闭非必要的外部AI智能体访问权限，避免类似近千万元损失。 3 重要：参照华尔街银行做法，对金融及核心业务系统实施外部AI智能体接入红线管理，禁止任意外部智能体直连核心系统，并对客户授权第三方AI访问账户的场景建立风险告知与责任界定机制。 4 重要：涉及半导体及关键材料出口的企业，应针对中国台湾拟扩大出口管制与加重第三地转运刑责的修法动向，提前审查转运路径与最终用户，评估刑事合规风险。 5 建议：高安全等级物理隔离环境应排查USB供电线侧信道泄露风险，加强U盘等外设管控与供应链投毒检测，不能仅依赖网络隔离作为唯一防线。 📰 数据安全早知道 数据来源：财新 · 安全内参 · 奇安信威胁情报 — 仅供内部参考，不构成投资或合规建议 — 数安早知道 🔗 数据安全与信息安全知识库 datasafe.website — 点击上方链接访问知识库，获取更多安全资讯 —
