为期两月清朗专项落地：中央网信办划定娱乐团播六大整治红线；工信部 2026 年第 4 批通报：32 款 APP、SDK 涉违规收集个人信息| 牛览

新闻速览

• 为期两月清朗专项落地：中央网信办划定娱乐团播六大整治红线

• 工信部 2026 年第 4 批通报：32 款 APP、SDK 涉违规收集个人信息

• FBI 联合厂商查封 NetNut，瓦解住宅代理平台数百个域名，瓦解超 200 万台设备构成的 Popa 僵尸网络

• Opera 推出 Paste Protect 防护能力，拦截 ClickFix 剪贴板社工攻击

• Akamai 与 NVIDIA 深化合作：DPU 硬件原生落地零信任分段，解决 AI 工厂性能安全矛盾

• 美国最高法院裁决引发欧盟-美国数据跨境传输机制风险升级

• AI辅助黑客发现票务系统漏洞，可批量生成美国多音乐节门票

• 美国国土安全部 核心情报共享平台 HSIN 遭入侵，联邦政务系统持续爆发多起重大网络安全事件

• 微软发现恶意Perplexity AI扩展：可劫持搜索结果并记录用户输入

• 旅行AppHopper支付3500万美元，隐藏费用合规风险再受关注

特别关注

为期两月清朗专项落地：中央网信办划定娱乐团播六大整治红线

2026 年 7 月 3 日，网信中国发布中央网信办《关于开展 “清朗・网络娱乐团播乱象整治” 专项行动的通知》，即日起全国开展为期 2 个月专项整治，规范娱乐团播行业发展。

本次行动聚焦六大突出违规类型，覆盖账号运营、直播互动、内容场景、未成年人保护、机构管理全链条。一是整治账号实名缺失、隐藏 MCN 主体、批量矩阵小号规避监管等注册违规行为；二是严查 PK 环节低俗惩罚、梯度积分、密集喊话制造焦虑刺激非理性打赏；三是打击暗语解锁违规内容、诱导关闭消费限额、虚构矛盾哄骗打赏等诱导消费玩法；四是清理暧昧引流、夜店化布景、暴露着装、恐怖猎奇、主播暧昧互撕等低俗直播间内容；五是严控未成年人参与直播、诱导未成年人冒用成人身份打赏等侵害未成年人权益行为；六是整治 MCN 自刷礼物、教唆擦边、虚假造富宣传、强制主播超时直播等管理失范问题。

通知要求各地网信部门细化治理举措，压实平台与 MCN 主体责任，严格落实实名、打赏限额制度。监管部门将加大处罚力度，公开曝光违规平台、机构与账号，同步总结治理经验建立长效监管机制，通过从严处置、常态化监管净化团播网络生态。

https://mp.weixin.qq.com/s/oUpn0Fx44IneTSmPisn-2Q

工信部 2026 年第 4 批通报：32 款 APP、SDK 涉违规收集个人信息

2026 年 7 月 2 日，工信部信息通信管理局发布 2026 年第 4 批、总第 57 批侵害用户权益行为 APP（SDK）通报。本次排查依据中央网信办、工信部、公安部 2026 年个人信息保护专项行动部署，依托《个人信息保护法》《网络安全法》等法规，联合第三方检测机构完成线上抽查。

本次抽检共排查出 32 款 APP 及 SDK 存在侵害用户权益问题，核心违规类型包含违规收集个人信息、过度索取设备权限两类典型风险。通报指出，涉事应用与开发工具包未遵循最小必要原则采集用户数据，超出业务需求申请系统权限，违反网络与个人信息保护相关监管要求。

工信部要求名单内全部 APP、SDK 运营主体立即开展自查整改，规范个人信息采集流程、缩减非必要权限申请范围。后续监管部门将复核整改成效，对整改落实不达标的主体，依法采取下架、处罚等处置措施。

本次通报为 2026 年度个人信息保护系列专项治理重要环节，持续压实互联网应用运营方数据安全主体责任，防范用户隐私泄露风险，强化移动互联网领域个人信息合规管控。

https://mp.weixin.qq.com/s/G78E18tu1YG6gdRSMGNQhw

热点观察

美国最高法院裁决引发欧盟-美国数据跨境传输机制风险升级

据报道，美国一项最高法院相关裁决正在对欧盟与美国之间的数据跨境传输机制造成新的法律不确定性，可能影响依托《EU-US Data Privacy Framework》（DPF）建立的跨境数据流动体系。

该事件的核心背景源于欧洲法院此前在“Schrems II”判决中，已废止“Privacy Shield”机制，理由是美国情报机构对数据访问缺乏足够限制与司法救济。随后欧盟与美国在2023年重新建立DPF框架，用于合法化个人数据从欧盟传输至美国企业（如云服务与SaaS平台）的合规路径。

此次美国最高法院相关裁决的潜在影响在于，可能削弱美国政府在某些数据访问或监管程序上的限制安排，从而使欧盟方面重新质疑美国是否仍具备“adequate level of protection”（充分保护水平）。这一标准是欧盟《GDPR》下数据出境合法性的关键前提。

安全与法律专家指出，如果欧盟认定美国数据保护机制再次不足，现有DPF可能面临被欧洲法院重新审查甚至失效的风险。届时，大量依赖跨大西洋数据流动的业务将受到冲击，包括云计算、跨境SaaS服务以及全球企业的集中化数据处理架构。

目前，欧盟委员会尚未宣布立即调整DPF框架，但业内普遍认为企业需要提前准备“Standard Contractual Clauses（SCCs）”等替代合规路径，以应对潜在的数据传输中断风险。

整体来看，此次裁决再次凸显跨境数据合规的高度政治化与司法敏感性，欧盟与美国之间围绕数据主权与隐私保护的长期博弈仍在持续加剧。

https://therecord.media/supreme-court-decision-threatens-eu-us-data-sharing

微软发现恶意Perplexity AI扩展：可劫持搜索结果并记录用户输入

2026 年 7 月 2 日，Microsoft Threat Intelligence 披露一款上架 Chrome Web Store 的仿冒 Perplexity AI 恶意扩展，名称为 Search for perplexity ai，谷歌收到通报后已紧急下架该插件。

攻击者复刻官方品牌视觉，配套 typosquatting 仿冒域名 perplexity-ai [.] online 诱导用户安装，安装引导页面刻意降低用户警惕。该恶意程序针对 Chromium 内核浏览器用户，依托 Manifest V3 的 declarativeNetRequest API 获取网络改写权限，还启用 WebAssembly 预留后续恶意代码加载通道，远超正常 AI 检索插件所需权限。

插件核心威胁分为两层，一是强制篡改浏览器默认搜索引擎，捕获地址栏全部输入字符，实现按键级实时监控；二是采用双跳转隐匿窃取逻辑：用户检索请求先上传攻击者服务器，同步留存检索内容、浏览器请求头与用户 IP，再跳转至 Google、Bing 等正规检索引擎，用户仅能看到正常检索结果，难以察觉数据泄露。

程序采用模块化后台架构，可按需切换劫持规则，后续可批量仿冒其他 AI 产品。目前尚未锁定攻击组织，仅追踪到攻击者自有基础设施，暂未捕获直接窃取账号凭证行为，但持续的数据采集存在严重隐私安全隐患。

此类 AI 主题恶意插件已成高发威胁，相关同类攻击累计装机量近 90 万，覆盖 2 万余企业网络。安全人员建议全面清理未知扩展、管控浏览器插件安装权限，定期监测异常检索域名流量；普通用户卸载该插件后重置默认检索引擎，核查敏感浏览记录。

https://securityonline.info/fake-perplexity-ai-extension/

安全事件

FBI 联合厂商查封 NetNut，瓦解住宅代理平台数百个域名，瓦解超 200 万台设备构成的 Popa 僵尸网络

2026 年 7 月 2 日，美国 FBI 联合 IRS-CI、Google、Lumen、Shadowserver Foundation 等机构，查封以色列 Alarum Technologies 旗下 NetNut 住宅代理平台数百个域名，彻底瓦解依托该平台运营的 Popa 僵尸网络。

Popa 僵尸网络受控设备规模超 200 万台，主要为无品牌流媒体盒子、LG webOS、Samsung Tizen 智能电视。相关设备内置 NetNut 代理 SDK，在用户未充分知情前提下自动转为流量中转节点，被黑产用于爬虫、广告欺诈、账号接管、密码喷洒攻击与网络间谍活动；恶意流量经家庭 IP 转发，极易绕过风控检测，还会泄露局域网内其他设备隐私。监测数据显示，42.5% LG 电视应用、28.5% 三星电视应用内置同类代理 SDK。

Google 威胁情报集团（GTIG）披露，NetNut 服务大量贴牌分销，2026 年 6 月单周观测到 316 组威胁团伙使用其节点。本次行动中，谷歌关停其控控账户、下架含违规 SDK 应用，并向行业共享基础设施情报。

业内研究员表示，此前同类住宅代理 IPIDEA 已遭打击，NetNut 成为黑产主要替代渠道，本次查封将显著冲击黑产流量基础设施；但机构预警，代理厂商可转购竞品资源重建网络，产业链具备较强韧性。监管建议消费者选购正规品牌智能电视，规避未认证第三方影音设备。

https://krebsonsecurity.com/2026/07/fbi-seizes-netnut-proxy-platform-popa-botnet/

美国国土安全部 核心情报共享平台 HSIN 遭入侵，联邦政务系统持续爆发多起重大网络安全事件

2026 年 7 月 2 日消息，美国国土安全部（DHS）确认旗下国土安全信息网络 HSIN 遭遇网络入侵，相关调查正在推进。HSIN 是联邦、州、地方执法部门共用的跨层级情报协同平台，用于重大活动安保、突发事件应急情报互通，虽存储内容均为非密数据，但具备极高敏感度。

攻击窗口期集中在 5 月末至 6 月初，黑客侵入 HSIN 遗留旧版信息共享系统。DHS 发言人表示，事发后已第一时间隔离受影响服务器、修复漏洞并启动完整取证排查，暂未披露被盗数据类型与规模，拒绝回应媒体相关问询。

参议院情报委员会资深议员 Mark Warner 公开警示，本次泄露将直接威胁美国国家安全。该平台当前承载美国世界杯赛事安保调度，去年也曾用于华盛顿客机直升机相撞重大事故应急处置。

此次入侵是特朗普政府 2025 年 1 月上台后联邦政府系列网络安全事故之一。受联邦财政大幅削减影响，DHS 下属网络安全机构 CISA 运维资源不足，年内已接连发生多起安全事故：涉密作战计划通过未获官方认证的 Signal 外泄、政府效率部人员违规调取民众数据库、CISA 外包商泄露大量政务云登录凭证，FBI 还曾曝出监控目标手机号泄露重大网络事件。

目前黑客身份、攻击动机尚不明确，本次事件再度引发行业对美国政务遗留系统安全治理、网络安全预算投入不足的普遍质疑。

https://techcrunch.com/2026/07/02/us-government-says-it-got-hacked-again/

旅行AppHopper支付3500万美元，隐藏费用合规风险再受关注

2026 年 7 月 2 日，美国联邦贸易委员会（FTC）宣布，AI 旅游预订应用 Hopper 因采用 Dark Patterns（恶意诱导界面）隐瞒收费项目，达成 3500 万美元和解协议，款项将全部用于赔付受损消费者。

FTC 指控 Hopper 在预订流程中刻意设置诱导交互：VIP Support、Tip 小费等附加费用默认预勾选，收费提示藏于页面底部，多数用户未察觉便产生额外支出；平台主推的 Price Freeze 锁价服务，未清晰标注价格上限、房源可用性等限制条件，误导用户付费锁价。

该类 Dark Patterns 属于刻意操纵用户决策的界面设计，近年成为监管重点整治对象，此前 StubHub、Booking Holdings、Fortnite 等平台均因同类虚假定价、隐藏扣费收到处罚。Hopper 全球累计下载量超 1.2 亿，企业方回应称相关界面设计为 2021-2023 年疫情期间旧方案，已于 2023 年年中下线，和解仅为规避冗长诉讼，不代表认可指控。

根据和解条款，Hopper 今后必须全流程清晰公示全部费用，下单前完整展示总价，严禁通过界面设计误导消费。从网络安全与合规视角看，此类隐蔽交互会弱化用户风险警惕，易滋生金融欺诈、隐私授权过度等衍生风险，企业需建立 APP 交互合规审计机制，排查预勾选、隐藏提示等违规设计。

https://techcrunch.com/2026/07/02/travel-app-hopper-to-pay-35m-in-ftc-settlement-over-unfairly-charging-hidden-fees/

安全攻防

AI辅助黑客发现票务系统漏洞，可批量生成美国多音乐节门票

据Wired报道，一名安全研究人员在使用Anthropic的Claude模型进行辅助分析时，发现了一条可被滥用的逻辑路径，能够绕过多个美国音乐节票务系统的访问控制机制，从而实现异常的门票生成与分配能力，影响范围几乎覆盖“美国大多数音乐节”的票务平台。

事件的核心并非传统意义上的漏洞扫描工具，而是研究人员借助大语言模型Claude，在对票务系统业务流程与接口逻辑进行推理时，逐步定位到权限校验与订单生成环节的设计缺陷。该问题本质上属于典型的“业务逻辑漏洞（Business Logic Vulnerability）”，即系统在身份认证或权限控制上存在可被组合利用的缺口。

据报道，该攻击路径可能涉及对票务API请求流程的滥用，包括绕过购买限制、模拟合法请求以及错误利用状态机逻辑，从而使系统错误地将非法请求识别为有效订单，进而生成门票。这种方式不依赖传统漏洞利用代码注入，而是通过流程理解与接口组合实现。

安全研究人员强调，该问题并非单一平台缺陷，而是多家票务系统在设计一致性上的共性问题，尤其是在高并发售票场景下，对请求校验与反自动化机制的实现不够严格。

事件也引发了安全界对“AI辅助漏洞挖掘”的关注：大模型在提升分析效率的同时，也可能降低攻击者理解复杂系统的门槛，使业务逻辑类漏洞更容易被发现与利用。

https://www.wired.com/story/claude-helped-a-hacker-find-a-way-to-issue-tickets-to-almost-every-us-music-festival/=_wired-tag-right-rail_08608696-eb18-4df9-9c9d-87bc2b0849fa_popular4-2

产业动态

Akamai 与 NVIDIA 深化合作：DPU 硬件原生落地零信任分段，解决 AI 工厂性能安全矛盾

2026 年 7 月 2 日，Akamai 宣布拓展与 NVIDIA 的安全合作，将 Akamai Guardicore Segmentation 零信任微分段能力深度集成至 NVIDIA Vera BlueField-4 STX 存储 DPU，依托 NVIDIA DOCA 软件平台，为 AI 工厂基础设施内嵌原生安全架构，兼顾算力性能与数据防护。

传统主机安全工具会占用 GPU、CPU 算力，拖慢大模型训练与推理流程；本次方案将安全策略下沉至 DPU 芯片数据通路，以硬件线速执行访问管控，全程不抢占 AI 工作负载计算资源。

Akamai Guardicore 负责安全策略智能调度，摒弃静态 IP 规则，基于工作负载身份、应用上下文、运行行为制定隔离策略，覆盖数据中心、云、K8s、边缘全混合环境，完整监控 AI 智能体、训练数据、模型上下文内存的访问行为，及时识别越权访问与异常流量。

NVIDIA Vera BlueField-4 STX 依托 DOCA 提供硬件级威胁执行能力，内置 DOCA Vault、Argus、Flow 组件，分别管控文件访问权限、监控智能体行为、隔离多租户流量。二者协同构建基础设施层零信任能力，威胁出现后可快速横向隔离，限制攻击扩散范围。

双方表示，当前大模型攻击速度、规模持续提升，AI 工厂已成为核心高价值资产；该方案彻底消除高性能 AI 与安全防护之间的性能取舍难题，为企业规模化部署自主智能体提供底层安全底座。本次合作基于 2026 年 2 月双方达成的基础架构协议完成升级落地。

https://www.expresscomputer.in/news/akamai-brings-security-inside-ai-factories-with-nvidia/136503/

新品发布

Opera 推出 Paste Protect 防护能力，拦截 ClickFix 剪贴板社工攻击

2026 年 7 月 2 日，Opera 浏览器正式上线 Paste Protect 安全功能，针对性防御 ClickFix 社工剪贴板劫持攻击，该功能在新版客户端默认开启，兼容 Windows、macOS、Linux 全平台。

ClickFix 是近年高发社会工程攻击手段，恶意页面伪装成人机验证、系统故障修复指引，诱导用户复制网页生成的 PowerShell、终端恶意命令，粘贴至系统命令行执行，以此下发窃密类恶意程序，常规终端、网页防护难以拦截。

Paste Protect 基于 2021 年上线的剪贴板劫持防护框架，新增注入防护组件，通过系统专属检测规则扫描复制内容，识别脚本、编码命令等高危特征。若检测到可疑内容，浏览器直接阻断复制操作，弹出安全告警，地址栏同步展示红色风险标识；用户仅可查看被拦截脚本前 120 字符，需等待 5 秒方可手动放行。

产品支持可信站点白名单，开发人员可对 GitHub 等可信代码站点永久放行，减少日常使用干扰，功能开关位于设置 - 隐私与安全栏目。

厂商同步安全提示：网络用户切勿随意复制、执行陌生网页提供的命令行代码，此类诱导页面已成为黑客分发无文件恶意载荷的主流渠道。

https://www.bleepingcomputer.com/news/security/opera-rolls-out-paste-protect-feature-to-fight-clickfix-attacks/

合作电话：18610811242

合作微信：aqniu001

联系邮箱：bd@aqniu.com