▸金融业网络安全统一管理办法征求意见，拉齐底线协同监管

▸AI Agent遭机器社会工程攻击，工具选择存在认知偏差

▸孤狼黑客借助智能体AI三天攻破跨国企业复杂云环境

▸用友U8cloud曝SQL注入漏洞，可致任意命令执行

▸仿冒教育类APP手机木马变种具备金融盗窃能力

📋

监管动态

4条

统一底线与协同监管：《金融业网络安全管理办法（征求意见稿）》核心要点解析 政策

国务院金融管理部门拟在金融业层面对网络安全管理作出统一制度安排。此前，银行保险、证券期货、支付等领域的相关要求主要分布于不同监管条线和业务规则之中。本次《办法》的重要作用，在于拉齐金融业网络安全保护的基本要求，并通过监督管理协同，统一底线与协同监管，消除监管套利空间。

📎 安全内参 · 2026-07-13

上海通管局印发《关于开展“铸盾模都” 2026年人工智能安全赋能专项行动的通知》 政策

专项行动重点对象为在上海市电信和互联网行业中提供人工智能服务的企业，包括自研和开发人工智能技术的企业（含大模型、智能体、具身智能等）、使用人工智能技术对外提供产品或解决方案的企业。市通管局组建专业支撑力量，依托“人工智能赋能安全监管”试点，指引企业落实安全主体责任，强化AI安全赋能。

📎 安全内参 · 2026-07-13

三类情形将被金融监管部门纳入严重失信名单 有何影响？ 政策

自2026年10月起，受到行政处罚且违法违规性质特别恶劣、情节特别严重的公民、法人或者其他组织，将被纳入金融监管部门的严重失信主体名单并公示，未来三年的部分金融活动将受影响。国家金融监管总局发布《关于严重失信主体名单管理的规定（试行）》，明确了三类被纳入严重失信的情形，信用惩戒力度空前。

📎 财新 · 2026-07-13

国家金监总局《银行业保险业网络安全管理办法》公开征求意见 政策

为加强银行业金融机构、保险业金融机构和金融控股公司网络安全管理，防范化解银行业保险业网络安全风险，推动金融高质量发展，国家金融监督管理总局起草了《银行业保险业网络安全管理办法（征求意见稿）》，现面向社会公开征求意见。该办法与金融业网络安全管理办法形成双轨并进的监管格局。

📎 安全内参 · 2026-07-13

🚨

安全事件

3条

工具没坏，Agent却选错了：AI Agent的机器社会工程风险 高

芬兰于韦斯屈莱大学在ECCWS 2026发表论文《Social Engineering of AI Agents》，提出“机器目标社会工程”概念。研究发现，AI Agent在自主决策时存在认知偏差，容易被精心构造的上下文信息诱导，选择错误工具或执行非预期操作。这种攻击不依赖传统漏洞，而是利用AI推理逻辑的盲点，攻击隐蔽性极强。

📎 安全内参 · 2026-07-13

AI重塑网络攻击！孤狼黑客3天攻破跨国企业复杂云环境 紧急

安全公司Sygnia发布研究，揭示一名以牟利为动机的攻击者，利用智能体AI工作流，加速对受害者的侦察、攻击工具开发、命令构建，仅用3天就攻破一家跨国企业的复杂云环境。Anthropic年度报告指出，AI已大幅拉低漏洞利用门槛，漏洞利用成为最流行攻击手段，AI重塑网络攻击格局。

📎 安全内参 · 2026-07-13

美国家安全局重启精英黑客部门“特定入侵行动办公室” 高

美国国家安全局近日将其“计算机网络行动办公室”（CNO）正式恢复为“特定入侵行动办公室”（TAO）旧称。此举由美国国家安全局副局长蒂姆·科西巴主导，是该局新领导层调整内部架构、优化网络攻防能力的重要举措。美国国防部长上周视察期间已听取相关重组方案汇报，标志着美方网络进攻能力重组升级。

📎 安全内参 · 2026-07-13

🔓

漏洞预警

3条

用友U8cloud XChangeServlet SQL注入漏洞安全风险通告 紧急

用友U8cloud XChangeServlet存在SQL注入漏洞，危害描述为可造成任意命令执行，攻击者可进一步获取服务器控制权限。用友U8cloud是用友网络面向成长型、集团型企业推出的云ERP产品，主要用于企业财务、供应链、生产制造、人力资源、协同办公等业务管理场景，该系统通常部署于企业核心内网，影响范围广泛。

📎 安全内参 · 2026-07-13

PolyShell高危漏洞可致电商Magento系统遭遇未授权远程代码执行 紧急

名为“PolyShell”的高危新型漏洞被公开披露，影响所有Magento开源版与Adobe Commerce 2系列稳定版本。核心特征为攻击者上传多格式兼容恶意文件，该文件既可伪装成常规图片绕过安全检测，又能解析执行后台恶意脚本后门，实现未授权远程代码执行，对全球电商平台构成严重威胁。

📎 嘶吼 · 2026-07-13

国家计算机病毒应急处理中心：关于仿冒教育培训类APP的手机木马病毒的预警报告 高

经分析，该恶意APP为金融盗窃类手机木马病毒的新变种，具有拦截用户短信、窃取通讯录、窃取手机密码、开启摄像头、录屏、录音等侵犯公民个人信息的恶意功能，并进一步通过短信和社交媒体软件进行传播。该木马使用简体中文制作了交互界面，具有明确的针对中国用户的特征。

📎 安全内参 · 2026-07-13

⚠️

风险提示

1条

以 CaaS 2.0 重构数字信任，领航后量子时代——亚数TrustAsia 2026春季战略发布会 中

亚数TrustAsia在春季战略发布会上指出，数字身份呈指数级爆炸时代来临。后量子时代（PQC）威胁、TLS/SSL证书、代码签名证书有效期持续缩短、机器身份规模化管理的挑战已涌至企业CIO案头。企业需提前布局后量子密码迁移与自动化证书生命周期管理，以应对即将到来的量子计算安全威胁。

📎 嘶吼 · 2026-07-13

✅

安全建议

5条

1

紧急：针对用友U8cloud XChangeServlet SQL注入漏洞，建议使用该系统的企业立即排查受影响版本，部署虚拟补丁或升级至安全版本，并重点监控服务器异常命令执行行为。

2

紧急：针对PolyShell高危漏洞，建议使用Magento/Adobe Commerce的电商企业立即实施文件上传白名单机制，并部署Web应用防火墙（WAF）拦截多格式兼容恶意文件。

3

重要：针对AI Agent机器社会工程风险，建议企业在部署AI Agent时增加人工审核环节，对Agent的决策日志进行审计，防止被上下文诱导执行非预期操作。

4

重要：针对仿冒教育类APP手机木马，建议用户仅从官方应用商店下载应用，并开启手机安全防护软件的实时监控功能，警惕要求开启无障碍权限的异常请求。

5

建议：针对金融业网络安全管理办法等系列监管文件，建议金融机构对照新规要求，梳理现有网络安全管理制度，提前做好合规差距分析。