要闻速览
1、2026年度第二批网络安全国家标准需求发布
2、五部门联合发布 AI 拟人化互动服务新规，7月15日起施行
3、国家通报中心预警：供应链投毒隐蔽性极强，防护要点速览
4、新型安卓远程访问木马Mirax通过Meta平台广告传播
5、IoT僵尸网络发动2Tbps级DDoS攻击，金融科技行业成重点目标
6、全球校园AI深度伪造裸照危机爆发，超600名学生受害
一周政策要闻
2026年度第二批网络安全国家标准需求发布
为落实市场监管总局、中央网信办、工业和信息化部、国家数据局等四部门联合印发的《加快推动人工智能百项国家标准建设专项行动计划》，近日，全国网络安全标准化技术委员会秘书处研究形成了2026年度第二批网络安全国家标准需求清单。
按照《全国网络安全标准化技术委员会标准制修订工作程序》《全国网络安全标准化技术委员会国家标准化指导性技术文件制订工作程序》，现将清单印发公示，请各单位围绕需求做好申报工作，并于2026年5月6日17:00前登录网安标委“网络安全标准项目管理与服务平台”（https://www.tc260.org.cn/login）进行申报。
联系人：王老师、张老师 010-64102731。
信息来源：全国网络安全标准化技术委员会https://www.tc260.org.cn/portal/article/2/1ba8515d8e2a43f6918b05bcf663655b
五部门联合发布 AI 拟人化互动服务新规，7月15日起施行
近日，国家网信办、国家发展改革委、工业和信息化部、公安部、市场监管总局联合发布《人工智能拟人化互动服务管理暂行办法》（以下简称《办法》），自2026年7月15日起施行。
《办法》践行以人为本、智能向善的理念，明确国家坚持发展和安全并重、促进创新和依法治理相结合的原则，鼓励拟人化互动服务创新发展，对拟人化互动服务实行包容审慎和分类分级监管；提出拟人化互动服务促进措施，明确支持技术研发创新，鼓励有序拓展文化传播、适老陪伴等相关领域应用；规定提供拟人化互动服务的基本要求，明确不得从事生成危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度等内容的活动，规定拟人化互动服务提供者的安全管理义务；完善网络用户权益保护制度，规定拟人化互动服务提供者的未成年人、老年人权益保护和个人信息保护等义务。此外，《办法》还规定了安全评估、算法备案、指导推动人工智能沙箱安全服务平台建设等制度。
消息来源：中华人民共和国国家互联网信息办公室 https://www.cac.gov.cn/2026-04/10/c_1777558395023172.htm
业内新闻速览
国家通报中心预警：供应链投毒隐蔽性极强，防护要点速览
2026年4月10日，国家网络安全通报中心发布风险通报，监测发现近期集中发生多起供应链投毒攻击事件，波及Apifox、LiteLLM、Axios等主流开发工具与开源库，覆盖开源软件仓库、商用工具两大场景。其中Axios被投毒后，因OpenClaw等大量AI应用与插件依赖该组件，风险沿依赖链快速扩散至终端用户。
此类攻击具备隐蔽性强、影响范围广、危害程度高、传播速度快四大特征，可导致凭据窃取、远程代码执行、敏感数据泄露等严重后果。攻击聚焦高权限开发运维人员，通过账号劫持、上游依赖污染、发布渠道篡改实施，无需用户交互即可触发；恶意代码采用混淆、自清除、反调试等技术，检测与阻断难度极大，且易引发横向移动与二次投毒，风险从开发终端放大至生产环境与核心业务系统。
当前，供应链安全事件已演变为常态化、精准化威胁，建议开发运维用户加强防范。
新型安卓远程访问木马Mirax通过Meta平台广告传播
2026年4月15日，Cleafy威胁情报团队披露，新型Android远控木马Mirax通过Meta平台广告大规模传播，已感染超22万设备。该木马自2025年12月在地下论坛推广，采用私有恶意软件即服务模式，仅限少数合作方使用，主要针对西班牙语地区用户，通过Facebook、Instagram广告诱导下载假冒IPTV应用，以侧载APK方式入侵。
Mirax采用两阶段感染链，加载器托管于GitHub Releases，经频繁更新与重新打包规避检测，并使用RC4、XOR加密及Golden Encryption等加壳器保护代码。木马安装后伪装成视频应用，申请无障碍权限实现持久化驻留，通过WebSockets与C2通信，具备屏幕控制、数据窃取、应用管理等完整RAT功能，还能将受害设备转为SOCKS5代理节点，隐匿攻击者真实IP，支撑诈骗、横向移动与DDoS攻击。
该木马代表了移动恶意软件的新趋势：合法平台滥用、多层混淆、私有化运营，传统安全检测难以拦截。建议用户禁止未知来源安装、谨慎点击社交广告，并及时开启移动终端安全防护。
消息来源：HackSee安全生活 Mirax Android RAT 将设备转换为 SOCKS5 代理，通过 Meta 广告覆盖 220,000 次
IoT僵尸网络发动2Tbps级DDoS攻击，金融科技行业成重点目标
近日，安全研究人员披露，一个由受感染物联网设备组成的僵尸网络正在发动峰值超过2Tbps的分布式拒绝服务攻击，主要针对金融科技行业基础设施。
从攻击规模来看，此类攻击已进入“超大流量”阶段。相比传统Gbps级攻击，Tbps级流量可在极短时间内耗尽目标带宽资源，导致在线支付、交易接口及API服务出现严重中断。技术层面上，该僵尸网络主要利用存在弱口令或未修复漏洞的IoT设备（如路由器、摄像头等）进行传播和控制。这类设备长期在线且安全防护薄弱，一旦被植入恶意代码，即可被远程指挥发起大规模流量洪泛攻击。攻击具体采用UDP flood、TCP SYN flood、HTTP flood等多种方式，通过高并发数据包持续冲击目标服务端口，并辅以IP欺骗和反射放大技术，造成目标资源耗尽。值得关注的是，金融科技行业成为重点攻击对象并非偶然。FinTech系统对实时性和可用性要求极高，一旦遭受DDoS攻击，不仅影响用户交易体验，更可能引发业务中断、资金损失甚至合规风险。安全专家指出，当前DDoS攻击正呈现自动化、规模化和“即服务”（DDoS-as-a-Service）的趋势，攻击门槛持续降低。建议企业部署高防CDN与弹性带宽，强化IoT设备安全管理（关闭默认凭证、及时更新固件），并结合实时流量监测与威胁情报，提升对超大规模DDoS攻击的响应能力。
消息来源：安全牛 IoT僵尸网络发动2Tbps级DDoS攻击，金融科技行业成重点目标；CNNVD通报OpenClaw多个安全漏洞| 牛览
全球校园AI深度伪造裸照危机爆发，超600名学生受害
2026年4月15日，WIRED与Indicator联合调查显示，全球校园AI深度伪造裸照危机已波及28个国家、近90所学校、600余名学生，且呈持续蔓延态势。此类事件多始于从Instagram、Snapchat等平台下载同学照片，通过“nudify”类AI工具一键生成伪造裸照或视频，在校园内快速传播，对受害者造成严重心理创伤。自2023年以来，涉案者多为高中男生，涉事内容属于儿童性虐待材料。
AI大幅降低了技术门槛，无需专业知识即可批量生成高仿真内容，动机多为羞辱、报复或社交操控。然而学校与执法部门普遍应对不足，受害者常出现厌学、抑郁等症状。目前，韩国、澳大利亚等国已限制公开学生照片，英美与欧盟拟禁止“nudify”工具，澳大利亚eSafety机构已采取执法行动。青少年与家长正推动“Take It Down Act”等法案，要求平台48小时内删除非合意私密图像，校园AI安全治理刻不容缓。
消息来源：CSDN https://blog.csdn.net/techforward/article/details/160208513
来源:本安全周报所推送内容由网络收集整理而来，仅用于分享，并不意味着赞同其观点或证实其内容的真实性，部分内容推送时未能与原作者取得联系，若涉及版权问题，烦请原作者联系我们，我们会尽快删除处理，谢谢！
