FreeBuf早报 | 谷歌的 Bazel 遭到命令注入威胁；印度陆军开发AI社交网络美女间谍
内容提要
1. 美国防部研究网络司令部2.0方案，以应对网络威胁。2. 中国信通院发布联邦学习应用安全研究报告。3. 欧盟推出首个数字产品网络安全认证计划。4. 国际刑警组织整顿1300个可疑IP，打击网络攻击。5. 谷歌的Bazel存在命令注入威胁。
延伸解读
供应链漏洞的连锁风险
谷歌Bazel的命令注入漏洞源于GitHub Actions工作流，可能允许攻击者在代码库中插入恶意代码。这提醒我们，现代软件开发依赖复杂的工具链和自动化流程，任何一个环节的疏忽都可能危及整个供应链。企业应加强对CI/CD管道的安全审计，并限制第三方工作流的权限。
AI在网络安全中的双刃剑
印度陆军利用AI聊天机器人模拟美女间谍，评估士兵对网络诱惑的敏感性，展示了AI在防御性心理训练中的应用。同时，Galah蜜罐系统利用LLM动态生成响应，以对抗攻击者。这些案例表明，AI正成为网络安全的新工具，但也需警惕其被滥用。
国际协作打击网络犯罪
国际刑警组织联合50多个国家发起“协同”行动，整顿了1300个可疑IP，重点打击网络钓鱼、恶意软件和勒索软件。这体现了跨国合作在应对全球性网络威胁中的重要性。企业应关注此类行动，及时更新威胁情报，并加强自身防护。
漏洞修复与用户应对
Jenkins RCE漏洞PoC已公开，攻击者正积极利用，用户需尽快采取安全措施。同时，微软修复了Outlook连接问题，建议使用应用密码。这提醒我们，及时安装补丁和遵循安全最佳实践是防范攻击的关键。对于已公开的漏洞，应优先处理。
Q&A
美国防部为什么要研究网络司令部2.0方案？
美国网络司令部正与国防部其他部门合作开展“自上而下”的全面审查，以重塑其组织架构和部队，并确保其处于最佳状态来应对高度动态变化的网络空间中的威胁。
谷歌的Bazel存在什么安全威胁？
安全研究人员在谷歌的Bazel中发现了一个供应链漏洞，该漏洞的核心是依赖于GitHub Actions工作流中的命令注入漏洞，可能允许恶意行为者在Bazel的代码库中插入有害代码。
印度陆军开发AI社交网络美女间谍的目的是什么？
印度陆军开发了一个人工智能聊天机器人，设计成国外情报人员在网上伪装成的恋人形式，通过具有诱惑性的虚构对话来评估士兵的在线行为，确定士兵对国外在线“美人计”信息提取和心理操纵的敏感程度。
国际刑警组织的Synergia行动取得了什么成果？
来自50多个国际刑警组织成员国的执法机构联合发起了为期三个月的“协同”（Synergia）行动，重点是打击全球范围内愈演愈烈的网络钓鱼、恶意软件和勒索软件攻击，整顿了1300个可疑IP。
欧盟推出的数字产品网络安全认证计划是什么？
欧洲委员会通过了欧洲网络安全认证计划，这是欧盟首个用于认证信息与通信技术（ICT）产品的网络安全计划，符合欧盟网络安全法的目标。
Galah蜜罐系统有什么特点？
Galah是一款功能强大的LLM驱动型OpenAI Web蜜罐系统，它使用了完全不同的技术路线，利用LLM大语言模型作为驱动引擎，外加OpenAI的加成，支持处理传入的HTTP请求，并能够动态实时构建真实的响应数据，以对抗威胁行为者。
