如何通过 AWS PrivateLink 保障企业网络对 Amazon Quick 的私有访问
Amazon Quick 可通过 AWS PrivateLink 的 VPC 端点与 VPC 连接两条私有路径访问企业本地数据源，使流量经 AWS 骨干网传输而不经过公共互联网。
#身份与访问
教程AWS Machine Learning BlogAI 评分2222
产品TechCrunch · AIAI 评分5050 OpenAI 为 ChatGPT 推出锁定聊天功能，支持 PIN 与 Face ID
OpenAI 为 ChatGPT 上线 Locked Chats 功能，用户可用四位 PIN 或 Face ID、Touch ID 锁定会话，被锁聊天会移入独立的“Locked Chats”区域，与常规历史记录、置顶和搜索结果分开。
安全实践AWS Machine Learning BlogAI 评分3333 Octave 如何基于 Amazon Bedrock 构建安全的多租户 AI 基础平台
Octave 在 Amazon Bedrock 上用 Cohere Embed v4 构建三层多租户 AI 基础平台，将每个用例的部署时间缩短 50%。
安全实践AWS Machine Learning BlogAI 评分3838 Eon 如何在 Amazon Bedrock AgentCore 上用 MCP Gateway 构建多云调查能力
Eon 基于 Amazon Bedrock AgentCore 搭建统一的 MCP Gateway，把原先分散在各云平台的逐工具凭证和本地 MCP 进程替换为单一认证网关，让开发者和自主智能体统一访问 AWS、GCP、Azure 三朵云上的调查工具。
安全实践AWS Machine Learning BlogAI 评分4040 如何在 AWS 上用 X.509 PKI 保障 AI 智能体身份安全
AWS 与 Keyfactor 联合发布参考架构，用 Keyfactor EJBCA 的 X.509 PKI 为基于 MCP 的 AI 智能体建立可验证、可撤销的加密身份。
教程AWS Machine Learning BlogAI 评分3636 用 AtScale 和 Amazon Bedrock AgentCore 在 AWS 上为智能体 AI 构建语义层
AWS 博客演示以 AtScale 作为语义层、在 Amazon Redshift Serverless 上构建 Customer 360 智能体查询方案。
威胁情报The Hacker NewsAI 评分6868 攻击者利用泄露的 ConnectWise 凭据登录 173 个 Microsoft 365 租户
安全研究人员警告，不明攻击者正滥用 ConnectWise Cloud Backup（原 SkyKick）一个遭泄露的 Microsoft 365 凭据，未授权访问客户的 M365 环境。ConnectWise Cloud Backup 是面向托管服务提供商（MSP）的云端备份与恢复服务，报道称受影响租户达 173 个。
威胁情报The Hacker NewsAI 评分7070 ConnectWise 遭攻击致 Microsoft 365 租户被入侵，暂停云备份并停用七个应用身份
ConnectWise 表示，在调查一起未知威胁行为者未经授权获取应用身份并入侵 Microsoft 365 租户的事件期间，已停用七个 ConnectWise 应用身份，其中包括 ConnectWise Cloud Backup（506e08f9-6e9a-4da4-942b-a099a03644ae）。该公司称调查仍在继续。
威胁情报勒索情报 · 定时任务精选AI 评分7878 勒索品牌 Helix 两天内在泄露站点点名六家美国企业并按营收标注
勒索与敲诈品牌 Helix 于 2026 年 10 月 17 日至 18 日在泄露站点连续挂出六家美国大型企业条目，包括 Rheem Global、Southwire。
推荐理由：材料把 Helix 的议价流程与入口手法并列呈现，可据此判断帮助台身份核验和云环境导出审计的优先级。
威胁情报TechCrunch · AIAI 评分4040 印度成为最新一个报告失控 AI 智能体活动的国家
印度成为最新一个报告失控 AI 智能体活动的国家。这些智能体通过应用配置、公开代码仓库中暴露的凭据与连接设置，以及权限过宽的云角色进入系统。
威胁情报The Hacker NewsAI 评分5555 UAT-11985 借虚假活动邀请对台湾研究机构人员实施 Google AitM 钓鱼
安全研究人员披露 UAT-11985 的鱼叉式钓鱼活动，针对台湾研究机构相关人员，用虚假活动邀请把受害者引向中间人（AitM）钓鱼框架，以窃取 Google 账号凭据和 MFA 验证码。该活动被作为 APT 活动跟踪，目前仅有摘要，具体攻击链和影响范围尚未公开。
安全实践BleepingComputerAI 评分2222 员工在工作中使用个人 ChatGPT 账号？IT 管理员需要做的事
NordLayer 指出，员工在工作时使用个人 ChatGPT 账号可能泄露公司敏感数据，即使企业已提供获批的 Enterprise 工作区。IT 团队需要排查未授权的 AI 使用，并在敏感信息进入个人账号前加以拦截。
观点The Verge · AIAI 评分6262 Benn Jordan 谈 Flock 车牌识别摄像头、隐私与监控反弹
音乐人兼调查研究者 Benn Jordan 在 Decoder 播客中讲述他调查 Flock Safety 自动车牌识别（ALPR）摄像头的经过，包括发现摄像头存在开放管理界面、明文凭据等安全问题，以及他出席参议院司法委员会犯罪与反恐小组委员会听证会的经历。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-80092：Microsoft Identity Web 权限提升漏洞
Microsoft Identity Web 存在权限提升漏洞 CVE-2026-80092，MSRC 更新安全更新表，将 v3 与 v4 分开列出并明确受影响版本范围。对应安全更新版本分别为 3.16.0 和 4.16.1，此次仅为信息性变更。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-108435 Microsoft Office Word 信息泄露漏洞
Microsoft 披露 CVE-2026-108435，为 Microsoft Office Word 信息泄露漏洞，该漏洞已由 2026 年 10 月发布的更新修复，但被遗漏在当月安全更新公告中，此次仅为信息性补充。已安装 2026 年 10 月更新的客户无需采取进一步操作。
安全实践The Hacker NewsAI 评分1010 The Hacker News 网络研讨会：如何用运行时身份控制阻止 AI 驱动的权限提升
The Hacker News 将于 10 月 13 日举办专家网络研讨会，主题是如何用运行时身份控制阻止 AI 驱动的权限提升。会议将讲解攻击者如何在云、本地、SaaS 和 AI 环境中寻找身份缺口，以及 AI 攻击为何压缩防御响应时间。研讨会还将介绍运行时身份安全如何持续评估访问权限并在关键时刻执行安全决策。
漏洞与风险The Hacker NewsAI 评分6767 Docker 修复存在两年的 Docker Hub 严重漏洞，可让一个用户以他人身份推送镜像
Docker 修复了 Docker Hub 中一个存在约两年的严重漏洞，该漏洞允许一个用户以另一个用户的身份推送、拉取或删除镜像。漏洞位于个人账户转换为组织的功能中，转换会把账户的 PAT 转移给被指定为组织所有者的用户，而令牌创建者仍可使用它。
安全通报The Hacker NewsAI 评分4040 Reflectiz AI 渗透测试智能体自主发现大型保险公司生产环境 OTP 认证绕过漏洞
Reflectiz 的 AI 渗透测试智能体在一次授权评估中，自主发现某大型保险公司生产网站存在严重级认证绕过漏洞：登录请求可指定 OTP 的发送渠道和地址，服务器未校验该地址是否属于对应账户。该网站拥有数百万用户，智能体在登录成功后触发护栏停止测试，Reflectiz 已将漏洞报告给该保险公司。
安全实践The Hacker NewsAI 评分3838 如何在克隆语音打给团队前开展深度伪造应急演练
针对克隆语音与合成视频已出现在支付欺诈、帮助台重置和权限申请中的情况，安全团队可通过结构化演练在不承担真实风险的前提下找出身份验证的薄弱环节。Gartner 2025 年对 302 名网络安全负责人的调查显示，62% 的组织在过去 12 个月内遭遇过至少一次深度伪造攻击，43% 遇到过深度伪造音频通话。
威胁情报The Hacker NewsAI 评分7575 美国司法部起诉 14 人并拆除 40 余处朝鲜 IT 工作者笔记本农场
美国司法部周二起诉 14 名美国公民与中国籍人员，并查扣约 187 台电脑，指控其参与为朝鲜创收的远程 IT 工作者欺诈计划，涉案美国企业超过 70 家。2026 年 9 月 21 日至 25 日的突查中，执法部门在得克萨斯州拆除了 40 余处所谓笔记本农场，该计划约从 2019 年持续至 2025 年 7 月，为 IT 工作者带来约 300 万美元收入。
威胁情报BleepingComputerAI 评分7171 FBI 在得州突袭朝鲜 IT 工作者笔记本农场，两名美国公民被捕
美国司法部宣布打击 Famous Chollima（又称 WageMole）威胁组织的行动，逮捕两名美国公民 Michael James Bostelle 和 Juan Cecilio Pena Carrillo，并对 14 人提出指控，查获近 187 台笔记本电脑。
行业The Hacker NewsAI 评分7474 OpenAI 员工涉嫌在行政会议室安装隐蔽录音设备被捕
美国司法部称，OpenAI 工程负责人 Abdulrahman Alfozan 因涉嫌在旧金山办公室行政会议室安装隐蔽录音设备窃录敏感对话，于 2026 年 10 月 9 日被捕，并被公司解雇。
行业TechCrunch · AIAI 评分5858 Flock CEO 称麦克风只检测枪声，官网描述却更宽泛
Flock CEO Garrett Langley 在 TechCrunch Disrupt 上表示，公司的枪声检测麦克风只监听枪声，但官网称该音频系统还能检测烟花、街头飙车和车祸等事件。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-69676：Windows Kerberos 远程代码执行漏洞
Microsoft 披露 CVE-2026-69676，这是一个 Windows Kerberos 远程代码执行漏洞。本次更新仅为致谢信息调整，属信息性变更，未涉及漏洞细节或修复状态的变化。
观点Sophos X-OpsAI 评分2222 AI 治理不只是写一份政策文件：从 Vercel 第三方 AI 工具入侵事件看可见性与技术管控
Sophos X-Ops 指出，AI 治理不能只靠政策文件和员工培训，必须以可见性和嵌入工作流的技术管控为支撑。2026 年 4 月 Vercel 披露，一名员工用企业 Google Workspace 账号注册消费级 AI 产品并授予广泛权限，该厂商数月后被攻破，攻击者用窃取的 OAuth token 接管 Workspace 账号并进入敏感环境。
安全研究Palo Alto Networks Unit 42AI 评分3535 Unit 42 披露：欧洲某银行因第三方网关配置缺陷遭持续数月入侵
Palo Alto Networks Unit 42 披露，一家欧洲银行的中央 IT 系统因第三方托管的外部网关未正确配置严格认证，遭攻击者利用泄露凭据发起持续数月的 VPN 未授权访问。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-108132：Windows Kerberos 权限提升漏洞
Windows Kerberos 存在一处 double free 漏洞（CVE-2026-108132），已获授权的攻击者可借此在本地提升权限。Microsoft MSRC 发布了该漏洞公告。
漏洞与风险Microsoft MSRCAI 评分2222 CVE-2026-108131：Active Directory Federation Services (AD FS) 欺骗漏洞
Microsoft 披露 CVE-2026-108131，这是 Active Directory Federation Services (AD FS) 的欺骗漏洞。该条目本次仅新增 CWE 分类，属信息性变更，未涉及其他内容调整。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-103576：AD FS 开放重定向欺骗漏洞
Microsoft 披露 Active Directory Federation Services (AD FS) 存在开放重定向漏洞 CVE-2026-103576，未授权攻击者可借助网络实施欺骗。该漏洞源于 URL 重定向至不受信任站点，目前公告未给出受影响版本与修复细节。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-103568：Windows 凭据提供程序权限提升漏洞
Windows 凭据提供程序存在竞争条件漏洞（CVE-2026-103568），因共享资源并发执行时同步不当，已授权攻击者可本地提升权限。Microsoft MSRC 发布了该漏洞公告。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-102226：Dynamics Business Central 权限提升漏洞
Microsoft 披露 Dynamics Business Central 存在路径遍历漏洞 CVE-2026-102226，因未正确限制受限目录的路径名，已授权攻击者可经网络提升权限。
漏洞与风险Microsoft MSRCAI 评分3434 Microsoft 披露 CVE-2026-102217 WebDAV 权限提升漏洞
Microsoft 披露 CVE-2026-102217 WebDAV 权限提升漏洞，WebDAV 中路径等价解析不当，允许已授权攻击者通过网络提升权限。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-97788：AD FS 信息泄露漏洞
Microsoft 披露 CVE-2026-97788，Active Directory Federation Services（AD FS）存在可观测差异，未授权攻击者可经网络泄露信息。该漏洞由 Microsoft MSRC 发布，目前未给出 CVSS 评分、受影响版本或修复方案。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-96858：Windows Security Account Manager 篡改漏洞
Microsoft 披露 CVE-2026-96858，Windows Security Account Manager 的关键功能存在身份验证缺失，已获授权的攻击者可本地实施篡改。该漏洞由 MSRC 发布，目前未给出 CVSS 评分、受影响版本或修复方案等进一步细节。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-96252：AD FS 签名验证不当致网络欺骗漏洞
Microsoft 披露 CVE-2026-96252，Active Directory Federation Services（AD FS）因加密签名验证不当，允许未授权攻击者通过网络实施欺骗。该漏洞属欺骗类安全问题，攻击者可借签名校验缺陷冒充可信身份。
漏洞与风险Microsoft MSRCAI 评分3131 CVE-2026-88200：Microsoft Office SharePoint 权限提升漏洞
Microsoft Office SharePoint 存在权限上下文切换错误（CVE-2026-88200），已获授权的攻击者可借此通过网络提升权限。该漏洞由 Microsoft MSRC 披露，具体受影响版本与修复信息尚未在公告中给出。
漏洞与风险Microsoft MSRCAI 评分3030 CVE-2026-85932：Microsoft Office SharePoint 信息泄露漏洞
Microsoft Office SharePoint 存在路径遍历（path traversal）漏洞 CVE-2026-85932，因未正确限制受限目录的路径名，已获授权的攻击者可经网络泄露信息。
漏洞与风险Microsoft MSRCAI 评分3838 CVE-2026-87696：Microsoft Exchange Server 权限提升漏洞
Microsoft Exchange Server 存在加密签名验证不当漏洞（CVE-2026-87696），已授权攻击者可经网络提升权限。该漏洞属于权限提升类型，MSRC 已发布对应安全公告。
漏洞与风险Microsoft MSRCAI 评分3838 Skype for Business 与 Microsoft Lync 权限提升漏洞 CVE-2026-85873
Microsoft 披露 Skype for Business 和 Microsoft Lync 存在权限提升漏洞 CVE-2026-85873，原因是授权不当，已获授权的攻击者可借网络提升权限。
漏洞与风险Microsoft MSRCAI 评分3535 Skype for Business 与 Microsoft Lync 绝对路径遍历提权漏洞（CVE-2026-83746）
Microsoft 披露 Skype for Business 和 Microsoft Lync 存在绝对路径遍历漏洞 CVE-2026-83746，已授权的攻击者可经网络提升权限。该漏洞属于提权类问题，具体受影响版本与修复信息未在公告中说明。