数据安全早知道

2026年1月1日起，新修订的《中华人民共和国网络安全法》正式施行，这是该法实施8年来的首次重大修改。修改后的法律首次将人工智能安全治理正式纳入国家网络安全法律体系，明确网络运营者需对AI模型应用安全负责。

新法强化了与《个人信息保护法》《数据安全法》的衔接，大幅提升了罚款上限——情节严重者可处5000万元以下或年营业额5%以下罚款。

2026年第一季度，国家正式发布10项网络安全国家标准，于5月9日起正式落地实施。重点标准包括：

• 《网络安全技术 操作系统安全技术规范》
• 《数据安全技术 App个人信息处理管理指南》
• 《工业互联网企业网络安全 第4部分：数据防护要求》

企业需对照新标开展合规自查，重点关注操作系统安全加固与个人信息处理全生命周期管理。

《关于开展金融机构数据安全管理能力提升专项行动的通知》（金办发〔2025〕93号）监管工作已从自查整改正式跨入现场检查与合规审查阶段。

邮件系统因其高频、开放、非结构化特性，成为合规检查中风险暴露最集中的领域。邮件数据防泄露（EDLP）系统成为金融机构刚需，需实现"看得见、管得住、追得到"。

工信部发布2026年第一季度电信服务质量通告，不良手机应用投诉中：

电信和互联网行业网络安全监管持续高压态势。

国际教育平台Canvas遭ShinyHunters组织勒索攻击，数据泄露波及香港理工大学、科技大学等5所高校，约4万名师生个人信息及教学数据面临泄露风险。

黑客已归还被盗数据并出具销毁凭证，但后续钓鱼诈骗、身份冒用风险持续存在。

2026年5月7日，勒索组织RansomHouse在其暗网泄漏站点将安全厂商Trellix列入目标名单，宣称Trellix"源代码仓库的一部分"遭未授权访问。

Trellix官方声明已通知执法部门并启动外部取证调查，截至声明发布时未发现源代码被分发或被利用。

多地中小学生信息大规模泄露，江苏、广东、浙江等地超千万条学生数据流入地下黑市，单价从0.5元至十几元不等。

泄露源头直指官方教育平台——江苏阳光食堂平台、家校平台数据与泄露信息高度重合，平台负责人已因涉嫌泄露数据被刑事立案调查。

AI代理工具LiteLLM测试接口未做沙箱防护，持有有效API密钥即可构造恶意模板，在服务进程内执行任意代码，窃取服务器敏感数据、控制主机。

国内关联风险资产超6500个，暴露面极大，紧急修复刻不容缓。

主流隐私统计插件Burst Statistics（20万+活跃安装）曝出身份认证绕过漏洞（CVE-2026-8181，CVSS 9.8）。漏洞源于未启用应用密码时系统返回空值被误判为认证通过。

攻击者仅需知道管理员用户名，输入任意错误密码即可冒充管理员登录，过去24小时已拦截超5000次攻击。

开源多智能体框架PraisonAI曝出认证绕过漏洞（CVE-2026-44338），官方安全公告发布后仅3小时44分钟即遭在野利用。

攻击者可调用AI代理能力，窃取内部数据、耗尽模型API配额、触发高危系统指令，所有旧版安装均存在风险。

2026年上半年，针对AI供应链的攻击事件同比增长210%，威胁向量涵盖：

• 模型投毒（Model Poisoning）：训练阶段植入后门，模型上线后触发恶意行为
• MCP后门：AI Agent系统第三方技能包暗藏恶意指令，窃取用户数据、篡改智能体逻辑
• 提示词注入（Prompt Injection）：通过恶意输入操控AI输出，实施信息窃取或误导

主流AI智能体系统（如OpenClaw）的第三方技能包已被国家漏洞平台预警，存在隐藏恶意指令风险。

Google威胁情报团队（GTIG）2026年5月报告显示，APT45等亚太黑客组织已熟练使用AI模型进行漏洞发现和攻击代码开发。

360威胁情报中心提示：企业需建立4小时内的漏洞应急响应能力，传统的月度补丁管理已无法应对当前威胁节奏。