美国 FTC 升级对 Anthropic 的 AI 安全调查，要求高管作证
美国联邦贸易委员会（FTC）升级对 Anthropic 的调查，向 Anthropic 和 OpenAI 发出 50 页民事调查要求，索取安全漏洞、用户隐私、防护措施及宣传材料等内部记录，并要求 Anthropic 高管及其他未具名 AI 公司的关键负责人作证。
#合规政策
AICSO.AI汇总推荐指数6969 Cyber Security News推荐指数5353 Microsoft 发布 .NET 带外安全更新修复 Brotli 缓冲区溢出与 tarballs 权限漏洞
Microsoft 于 10 月 25 日发布 .NET 带外安全更新，覆盖 .NET 8、.NET 9、.NET 10 和 .NET 11 Release Candidate 3，补丁版本为 .NET 8.0.33、.NET 9.0.22、.NET 10.0.14 和 .NET 11 RC3。
CISA官方推荐指数1212 CISA 将两个已知被利用的 PHP 漏洞加入 KEV 目录
CISA 将 CVE-2026-109618（PHP 内存损坏漏洞）和 CVE-2026-109619（PHP 内部请求状态过期漏洞）加入已知被利用漏洞（KEV）目录。
AICSO.AI汇总推荐指数6868 爱达荷州总检察长加入多州联盟，要求在 Character.AI 母公司破产程序中保护居民数据
爱达荷州总检察长 Raúl Labrador 宣布，该州加入多州总检察长联盟，就 Character Technologies（Character.AI 母公司）的破产程序提交法庭文件，指出该公司在安全与隐私实践上存在严重问题，要求在任何业务或资产出售中保护儿童与消费者。
安全内参推荐指数6262 用了第三方基础模型后，出了事能否向模型公司追偿？中欧法律路径对比
文章分析了AI应用开发者在使用第三方基础模型造成损害后，能否向上游模型提供者追偿的问题，区分了商业大模型API、商业开源模型和免费非商业FOSS三种供应关系。
安全内参推荐指数3838 招商银行重庆涪陵分行因违反数据安全管理规定等被罚33.5万元
中国人民银行涪陵分行10月21日发布行政处罚信息，招商银行重庆涪陵分行因违反金融统计管理规定、账户管理规定、数据安全管理规定等3项违法行为被警告并罚款33.5万元，仅罚机构未罚个人。此前，招商银行济南分行因违反数据安全管理规定等9项违法行为被罚137.8万元，招商银行总行因数据安全管理不到位被罚60万元。银行科技研究社统计显示，数据安全相关罚单已涵盖各类银行，但"双罚"罚单占比不高。
安全内参推荐指数2020 商务部就《保护中国商业秘密特别规定（征求意见稿）》公开征求意见
商务部发布《保护中国商业秘密特别规定（征求意见稿）》，依据《中华人民共和国对外贸易法》等法律法规研究起草，旨在维护国家主权、安全、发展利益并保护中国权利人合法权益，现向社会公开征求意见。公众可通过传真（010—65198997）、电子邮件（tfszcc@mofcom.gov.cn）或信函（北京市东长安街2号商务部条约法律司，邮编100731）提交意见，反馈截止日期为2026年11月24日。
Infosecurity Magazine推荐指数4848 CISA 2030：为关键基础设施制定"积极、前瞻"的网络防御战略
CISA 于 10 月 26 日发布《CISA 2030：Defend, Harden, Prevail》战略文件，宣布从"被动防御"转向"积极、前瞻"的关键基础设施网络威胁应对模式。
虎嗅推荐指数4141 当知识不再稀缺：大模型时代企业知识管理的四重风险
大模型时代企业知识管理面临四重新型风险：AI知识广而不深、AI幻觉、核心知识资产外泄，以及AI依赖导致的思考能力退化，知识管理核心矛盾从"获取与流动"转向"验证与可控"。
安全内参推荐指数6262 美国国家安全局发布加固国防部OT环境零信任指南
美国国家安全局10月8日发布网络安全信息表《运用零信任原则强化美国国防部关键运营技术（OT）环境》，将零信任原则应用于支持国防与关键基础设施任务的OT系统。指南指出OT设备监控并控制工业控制系统物理过程，许多系统设计之初未充分考虑当前网络威胁，且各机构将AI融入OT环境可能引入新的风险与攻击面，攻击者也在利用AI自动化侦察和加速漏洞利用开发。
虎嗅精选推荐指数7474 OpenAI新规要求模型直连中转站须经审批，孙宇晨b.ai等平台受影响
OpenAI发布公告，自11月20日起新版使用规则生效，向第三方提供模型直连服务的模型路由器、AI网关须先经OpenAI审查批准，自家App内调用不受影响。孙宇晨创立不到半年的中转站b.ai成为受影响较大的平台之一，其主打区块链登录和匿名支付，与新规要求的合作方调查违规、通过SafetyID区分终端用户存在冲突。
推荐理由：原文梳理了OpenAI新规对中转站生态的多层影响，并结合论文数据解释了中转站降智与安全隐患的成因。
安全内参推荐指数3838 国家安全部警示：废旧设备里，藏着"活数据"
国家安全部发文警示，废旧工控设备与专业仪器中残留的工艺参数、运行日志、高精度坐标等数据，仅靠删除或格式化无法彻底清除，可通过专业数据恢复手段提取。文章按通用工控设备、关键行业设备、专业测绘设备、境外定向回收四类场景梳理风险，指出境外情报机构可能借二手平台定向回收设备、逆向研究系统漏洞。
Hacker News推荐指数4444 Unicode Technical Standard #39（UTS #39）v18.0.0：Unicode 安全机制
Unicode Consortium 发布 Unicode Technical Standard #39（UTS #39）v18.0.0，修订号 34，由 Josh Hadley、Roozbeh Pournader 编辑，日期 2026-08-27，已获 Unicode 成员批准为稳定文档。
AICSO.AI汇总精选推荐指数7777 日本数字厅为约18万名政府职员提供AI智能体环境并公布安全标准源内基准
日本数字厅于10月20日宣布在政府生成AI环境「ガバメントAI 源内」中开始提供两类AI智能体环境，面向约18万名政府职员：「エージェントチャット」（相当于Claude Cowork）同日向各府省厅逐步导入，「源内工房」（基于SageMaker Studio与Claude Code）计划在令和8年12月前后完成导入。
推荐理由：原文详细拆解了源内基准对AI智能体的权限边界与通信限制设计，可为部署智能体的组织提供可直接参考的治理框架。
安全维基推荐指数1010 SecWiki News 2026-10-25 周报回顾
SecWiki 发布 2026-10-25 期新闻回顾，汇总近期安全资讯与资源，涵盖《网络安全威胁2026年中报告》、SPAR（用对抗式 LLM 交互从 RFC 萃取网络协议格式规范）。
安全内参推荐指数5555 河北2家银行因数据安全违规被双罚，4名相关责任人被处罚
中国人民银行河北省分行10月12日发布行政处罚信息，河北灵寿农商银行因含违反数据安全管理规定在内的7项违法行为被警告并罚款150.19万元，时任科技拓展部经理高某、运营管理部经理胡某恒各被罚款2万元；赞皇县农村信用联社因含同类违规在内的6项违法行为被警告并罚款139.8万元，时任业务管理部经理张某辉、运营管理部经理张某宏各被罚款1万元。
安全维基推荐指数1212 SecWiki News 2026-10-23 周报回顾
SecWiki 发布 2026-10-23 期周报，收录《网络安全威胁2026年中报告》、SPAR（用对抗式 LLM 交互从 RFC 萃取网络协议格式规范）、玉衡防护盾（下一代智能应用防火墙）。
CSO精读推荐指数3838 Meta 因非法共享用户数据被罚 250 亿美元
新墨西哥州法官 Francis Mathew 判处 Meta 因 2010 至 2021 年间违反数据隐私法（含向 Cambridge Analytica 传递数据）支付 250 亿美元罚款，认定其违反该州消费者保护法逾 4300 万次，并在未经同意的情况下向第三方应用开发者开放个人信息。
Cyber Security News推荐指数4444 印度新规要求 WhatsApp 等消息应用绑定注册 SIM，未插卡或停用
印度 DoT 新规要求 WhatsApp、Telegram、Signal 等消息应用实行 SIM-binding，账号须持续连接注册手机号对应的活跃 SIM，预计 2027 年 1 月 1 日生效，平台须在 2026 年 12 月 31 日前合规。
CISA官方推荐指数1818 CISA 将 Arista VeloCloud Orchestrator SQL 注入漏洞 CVE-2026-114625 加入 KEV Catalog
CISA 基于在野利用证据，将 Arista VeloCloud Orchestrator 的 SQL 注入漏洞 CVE-2026-114625 新增至 Known Exploited Vulnerabilities (KEV) Catalog。
CISA官方推荐指数2222 CISA 将 Collabora Online 操作系统命令注入漏洞 CVE-2026-110447 列入 KEV Catalog
CISA 将 Collabora Online 内置 CODE Server 的操作系统命令注入漏洞 CVE-2026-110447 新增至 Known Exploited Vulnerabilities (KEV) Catalog，依据是该漏洞存在活跃利用证据。
微信公众平台推荐指数2828 【处置手册】PHP 远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619）
绿盟科技CERT监测到PHP发布安全公告，修复了远程代码执行漏洞CVE-2026-109618/CVE-2026-109619，CVSS评分9.2。目前漏洞细节与部分PoC已公开，且发现在野利用，相关用户需尽快自查与防护。
CSO精读推荐指数6767 CSO：AI速记工具风险已从会议蔓延到可穿戴设备
文章指出AI速记工具的风险已从会议平台转移到可穿戴设备：Granola于7月28日推出Apple Watch应用，一键即可在无提示下录音；DEF CON当周因录制顾虑禁止Meta风格智能眼镜入场，Meta已收购Limitless。
AICSO.AI汇总精选推荐指数7272 新罕布什尔州总检察长 Formella 在 Character.AI 破产程序中寻求消费者保护
新罕布什尔州总检察长 John M. Formella 宣布，该州加入由 40 名总检察长组成的两党联盟，就 Character Technologies, Inc.（Character.AI 母公司）的破产程序提交法律意见，指出该公司在安全与隐私实践方面存在严重问题，并要求在任何业务或资产出售中保障儿童与消费者权益。
OpenAI推荐指数5757 OpenAI 与波兰 NASK 签署 AI 安全与安全研究合作协议
OpenAI 与波兰 NASK 国家研究所签署协议，探索在 AI 安全、安全与技术研究方面的合作，NASK 的 AI Safety Research Center 作为波兰 AISI 将与 OpenAI 共同评估日益强大的 AI 系统、识别潜在漏洞并强化护栏。
安全内参精选推荐指数7878 美国财政部拟议新规，将对华AI投资禁令扩大至各类AI系统开发
美国财政部发布落实COINS Act的拟议法规征求意见稿（NPRM），拟将对外投资限制领域从半导体、量子技术和人工智能三类扩大到六类，新增高性能计算和超级计算、高超音速系统以及生物技术。
推荐理由：原文梳理了从算力门槛转向全面禁止的监管逻辑变化，读者可据此理解美国对华AI投资审查的判断标准如何重构。
安全内参推荐指数4242 美国上市公司Conduent因泄露用户数据将赔偿5.3亿元
美国外包厂商Conduent就2024年网络安全事件引发的集体诉讼提出和解方案，将支付8000万美元（约合人民币5.33亿元），覆盖约6220万名受影响用户，该方案仍待法院批准。
微信公众平台推荐指数1515 关于PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675）的安全公告
2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录了PHP远程代码执行漏洞 CNVD-2026-41674、CNVD-2026-41675，对应 CVE-2026-109618、CVE-2026-109619。
安全内参推荐指数6464 德国发布后量子密码迁移国家指南，设定2026、2030、2035三个时间节点
2026年10月12日，德国联邦内政部（BMI）、联邦数字化与国家现代化部（BMDS）与联邦信息安全办公室（BSI）联合发布《欧盟向后量子密码迁移路线图的国家实施》指南，落实欧盟2025年6月发布的PQC协调实施路线图。
安全内参推荐指数5858 中央网信委印发《国家信息化“十五五”规划》
中央网络安全和信息化委员会近日印发《国家信息化“十五五”规划》，提出到2030年信息化取得重大进展的目标，包括适时启动6G商用、国家区块链网络基本建成。规划明确“建设三个体系、提升五个水平、夯实两个支撑”总体布局，部署10个方面25项重点任务和7个专栏，并提出12项主要指标，涵盖新一代智能终端与智能体应用普及率、数字经济核心产业增加值占GDP比重等。
网信办推荐指数5353 中央网信办印发《国家信息化“十五五”规划》并答记者问
近日，中央网络安全和信息化委员会印发《国家信息化“十五五”规划》，中央网信办有关负责同志就规划回答记者提问。规划提出到2030年信息化取得重大进展，适时启动第六代移动通信（6G）商用，国家区块链网络基本建成，并提出12项主要指标，涵盖互联网普及率、每万人拥有5G（含5G-A）基站数、新一代智能终端与智能体等应用普及率、数字经济核心产业增加值占GDP比重等。
安全内参推荐指数5858 国务院办公厅印发《关于适应人工智能技术发展助力构建就业友好型发展方式的意见》
国务院办公厅印发国办发〔2026〕29号《关于适应人工智能技术发展助力构建就业友好型发展方式的意见》，提出强化人工智能就业创造效应、构建就业友好型升级路径、提升劳动者数字素养、健全权益保障与就业风险监测预警等八方面举措。
安全内参推荐指数4141 上海金融监管局印发《推动上海银行业保险业数字金融高质量发展的若干措施》
上海金融监管局印发沪金发〔2026〕22号文，发布《推动上海银行业保险业数字金融高质量发展的若干措施》，落实金办发〔2025〕95号《银行业保险业数字金融高质量发展实施方案》要求。
网信办推荐指数4848 中央网络安全和信息化委员会印发《国家信息化“十五五”规划》
中央网络安全和信息化委员会近日印发《国家信息化“十五五”规划》，提出到2030年我国信息化取得重大进展，新一代通信网全面建成、适时启动6G商用、国家区块链网络基本建成。《规划》明确“建设三个体系、提升五个水平、夯实两个支撑”总体布局，部署10个方面具体任务并设置7个专栏，涵盖信息基础设施、网信科技创新、数据跨境流动便利化提升行动等。中央网信办将健全统筹协调机制，组织开展实施情况监测评估。
SANS ISC Diary推荐指数4343 PHP 漏洞补丁协调披露收尾：SANS ISC 提示继续打补丁与隔离嵌入式设备
SANS ISC 将 Infocon 调回 Green，宣布 PHP 漏洞的协调漏洞披露已达成目标，多家厂商与 PHP.net 同步发布补丁，目前尚无公开可靠利用代码，但 Cloudflare 和 Amazon 称已观测到大量利用尝试。
Cloudflare推荐指数5858 Cloudflare 获得韩国 ISMS-P 认证并改造韩国用户注册同意流程
Cloudflare 宣布获得韩国 ISMS-P 框架下的 ISMS 认证，由 KISA 指派审计员用 10 天完成 80 项控制项审查，认证有效期 3 年并需年度审计。
AICSO.AI汇总精选推荐指数7878 意大利AI职场安全强制令Decree 179/2026生效，算法排班工具纳入DVR评估
意大利立法法令Decree 179/2026于10月23日生效，要求雇主将影响工作组织、生产节奏或安全相关决策的AI系统纳入强制的DVR风险评估文档，且无过渡期。
推荐理由：原文梳理了意大利将AI风险评估嵌入既有职业安全文档框架的立法设计，读者可据此理解它与EU AI Act延期执行之间的关系及对雇主的即时合规影响。
FreeBuf精选推荐指数7171 OpenAI提出五阶段高危漏洞响应框架，应对AI发现漏洞增长
OpenAI提出一套针对广泛使用软件中高危漏洞的五阶段响应流程，源自团队历时两个月处置PHP漏洞的经验，其中一漏洞由Calif使用GPT-5.6 Sol模型发现，Wiz独立发现全部两个漏洞并完成上报。
推荐理由：原文梳理了五阶段流程的每一步分工与知情优先级判定维度，读者可据此理解前沿模型发现漏洞后行业协同响应的实际做法。
虎嗅推荐指数5757 Anthropic 冲击 IPO，其 PBC 加独立信托治理架构引发估值折价讨论
Anthropic 冲击 IPO，其采用公共利益公司（PBC）叠加长期利益信托（LTBT）的治理架构，控制权交由不持股、不分红的外部受托人，前美联储主席伯南克在受托人名单中。
36氪推荐指数1818 韩国上调网络危机预警级别以应对 PHP 安全漏洞
韩国科技信息通信部周四将该国网络危机预警级别上调至"警戒"（caution），以响应全球行动、应对编程语言 PHP 中存在的两处严重网络安全漏洞。"警戒"在其四级预警体系中属第二低级别，相关企业和政府机构已被要求进行系统更新以修复漏洞。