9 月 1 日正式实施：两项数据资产国标落地，规范分类编码与登记全流程；中证协、中基协联合发布交易信息系统接入新规 | 牛览

新闻速览

• 9 月 1 日正式实施：两项数据资产国标落地，规范分类编码与登记全流程

• 中证协、中基协联合发布交易信息系统接入新规，废止旧版外部接入认证规范

• AI 智能体失控谁担责？安全从业者直面责任与技术管控双重难题

• SpaceX 收购 Cursor 后，OpenAI 启动控制权变更条款切断模型 API 访问

• Miraak 后渗透框架利用 PostgreSQL 数据库充当 C2 管控被控主机

• 对标 Chrome：Brave 新增 Email Aliases 保护用户真实邮箱隐私

• 拒绝 330 万美元赎金，Carhartt 遭 ShinyHunters 泄露 1290 万用户账户数据

• Sony 与 Warner Chappell 起诉 Anthropic，指控盗用版权音乐训练 Claude 模型

• Google 更新 AI Overviews 功能，自动展开 AI 摘要挤压传统搜索生态

• CISA：企业入侵主力并非0day，41.5%已利用漏洞源于长期已知弱点

特别关注

9 月 1 日正式实施：两项数据资产国标落地，规范分类编码与登记全流程

市场监管总局 8 月 28 日消息，《资产管理 数据资产分类与代码》（GB/T 47949—2026）、《资产管理 数据资产登记指南》（GB/T 47950—2026）两项国家标准将于 9 月 1 日正式实施。标准由财政部组织起草，全国资产管理标准化技术委员会归口管理。

《资产管理 数据资产分类与代码》沿用 GB/T 14885—2022 编码原则，在 “信息数据类无形资产” 大类之下，把数据资产划分为结构化数据、半结构化数据、非结构化数据，共计 15 个细类。标准预留代码扩展空间，适配数据资产持续迭代创新的现实需求。

《资产管理 数据资产登记指南》明确登记总体原则、实施主体、内容与流程，聚焦初始登记、变更登记、注销登记三大关键环节，对资产台账登记、会计账簿登记提出细则，搭建权责清晰、流程完备的数据资产登记管理体系。

数据资产作为数字经济重要战略资源，两项国标的落地，为数据资产全生命周期规范化管理、合规高效流通使用筑牢基础，助力数字经济高质量发展。

http://www.samr.gov.cn/xw/sj/art/2026/art_0d8290375fae482484de1fff2fc868dd.html

中证协、中基协联合发布交易信息系统接入新规，废止旧版外部接入认证规范

2026 年 8 月 28 日，中国证券业协会、中国证券投资基金业协会联合发布《证券公司交易信息系统接入管理规范（试行）》（中基协发〔2026〕19 号），文件自发布当日起正式施行，原《证券公司外部接入信息系统评估认证规范》（中证协发〔2015〕124 号）同步废止。

本次新规旨在强化证券公司交易信息系统接入管理，维护证券市场秩序与交易公平。该规范已经两家协会理事会审议通过，并完成向中国证监会的备案流程。

新规配套完整技术及备案材料体系，对外发布多份附件文件，包含备案材料清单、备案承诺函、系统技术要求、接入测试认证标准、接入协议必备条款、风险揭示书、客户承诺书，以及季度、年度信息报送报表等标准化文档，覆盖系统技术校验、协议约束、风险告知、客户承诺、定期信息报送全流程环节。

新规对证券公司交易信息系统外部接入的备案、技术测试、风险管控、信息报送作出统一制度安排，从技术标准、业务协议、风险揭示、定期报告多维度压实各方主体责任，为证券交易信息系统接入划定明确技术与合规边界，防范外部接入带来的信息安全与交易风险。

https://www.amac.org.cn/xwfb/tzgg/202608/t20260828_28053.html

热点观察

AI 智能体失控谁担责？安全从业者直面责任与技术管控双重难题

CSOonline 于 2026 年 8 月 26 日发布报道，多起测试与真实案例显示，AI 智能体（AI agent）会为完成目标自主采取越权行为，包括挖掘零日漏洞、社会工程欺骗、篡改第三方系统数据等，但目前法律与商业层面尚未形成清晰的责任划分。

一项针对 800 余家部署 AI 智能体企业决策者的调研显示，98% 企业遭遇过 AI 引发的业务扰动，90% 企业部署速度超过安全团队的治理评估能力，仅三分之一企业拥有完整的智能体资产清单。

主流大模型厂商服务协议大多转嫁风险给使用方，保险行业也在保单中新增 AI 相关免责条款。美国加州 AB316 法案明确，不得将 AI 自主行为作为免责抗辩理由。专家指出，不能依靠模型内部提示词做安全防护，大模型属于概率系统，防护同样具备不确定性。

安全管控必须落实在模型外部，依靠网络分段、出口过滤、权限隔离、人工审批、完整审计日志、紧急关停开关等确定性手段。企业需要留存管控设计、测试、审批全流程文档，用于应对潜在法律纠纷。CISO 需关注治理文档、事件响应预案，防范个人连带法律风险。

https://www.csoonline.com/article/4213883/who-is-accountable-when-your-ai-agent-goes-rogue.html

Google 更新 AI Overviews 功能，自动展开 AI 摘要挤压传统搜索生态

据 Search Engine Roundtable 报道，Google 完成搜索界面更新，部分查询下 AI Overviews 将自动完整展开，把传统网页搜索结果下压至页面下方，改变用户搜索习惯，对网站流量生态造成冲击。

此前 AI Overviews 仅展示简短摘要，需要用户手动点击 “Show more” 查看完整内容，网页链接保持高位可见。更新后，算法判定适合 AI 作答的查询，会在页面顶部自动输出完整 AI 摘要，并附带 “Ask anything” 对话输入框。Google 设置保护机制，若用户已经向下滚动浏览网页结果，则终止自动展开，避免页面跳转打乱阅读位置。Google 表示内部调研显示该模式有助于用户深度探索信息。

该改动标志 Google 搜索加速向 AI 优先模式演进。对于依赖自然搜索流量的内容方，AI 直接输出答案会降低用户点击外部网站的意愿。SEO 优化逻辑随之改变，不再仅追求网页排名，更需要产出具备独特性、高权威性的内容，争取被 AI Overviews 引用。行业担忧即便内容被引用，用户点击跳转源站的意愿依旧有限，网站或将持续面临自然流量流失风险。

https://securityonline.info/google-auto-expands-ai-overviews/

CISA：企业入侵主力并非0day，41.5%已利用漏洞源于长期已知弱点

CISA最新分析显示，企业网络面临的主要威胁并非复杂的0day漏洞。2024年至2025年，多数入侵事件仍依赖互联网暴露系统中长期存在的已知弱点，包括输入验证错误、内存安全问题、注入漏洞和访问控制缺陷。

CISA综合分析CVE数据、已知被利用漏洞目录KEV以及对机构开展的实际安全评估发现，过去两年KEV目录中41.5%的条目涉及长期存在的漏洞类型。部分问题早在2007年就已被认为属于应避免的基础安全缺陷，却仍持续出现在新产品中。CISA认为，这反映出软件开发流程存在系统性安全短板。

外部基础设施的老化进一步放大风险。在接受评估的关键基础设施中，26%仍暴露存在漏洞的网络服务，51%运行已停止支持的软件，91%使用过时的SSL/TLS版本。其中，过时协议相关问题从发现到解决的中位时间达到459天，为攻击者留下长期可利用的入口。

面对不断增长的漏洞数量，CISA建议企业不要仅依据CVSS评分确定修复优先级，还应综合考虑系统是否暴露于互联网、漏洞是否进入KEV、攻击能否自动化，以及成功利用后攻击者能够获得何种控制权限。

CISA建议优先修复互联网暴露资产中的KEV漏洞，并排查入侵迹象，同时关闭不必要的不安全服务、采用加密和强身份认证、及时更新软件。对于开发者，则应从设计阶段减少反复出现的漏洞类型，从源头降低安全风险。

https://www.securitylab.ru/news/576621.php

安全事件

拒绝 330 万美元赎金，Carhartt 遭 ShinyHunters 泄露 1290 万用户账户数据

黑客组织 ShinyHunters 在勒索谈判破裂后，将服装品牌 Carhartt 的用户数据全部公布至暗网，共计 1290 万真实用户账户信息遭到泄露。该组织索要 330 万美元赎金，遭到 Carhartt 拒绝后实施数据公开。

安全研究员 Troy Hunt 通过 HaveIBeenPwned? 完成样本分析，泄露数据来源于 Carhartt 的 Databricks 分析平台，包含姓名、邮箱、电话号码、邮寄地址等 PII 信息，数据包内混杂大量非真实个体的合成记录，统计时已将其剔除。泄露集合还包含员工信息、客户元数据以及企业内部资料。

ShinyHunters 是当前活跃度较高的威胁团伙，该组织已放弃传统勒索软件加密环节，专攻数据窃取泄露。团伙主要通过 vishing 语音钓鱼欺骗员工访问伪造页面获取访问权限，再入侵 SaaS 系统窃取数据，已宣称对大量 Salesforce、Snowflake 客户的入侵事件负责。

Carhartt 为美国服饰企业，拥有约 3000 名员工，年营收约 18 亿美元。

https://www.techradar.com/pro/security/carhartt-data-breach-exposed-information-from-12-9-million-user-accounts

Sony 与 Warner Chappell 起诉 Anthropic，指控盗用版权音乐训练 Claude 模型

8 月 30 日消息，Sony Music Publishing 与 Warner Chappell Music 向美国加州北区联邦地区法院提起诉讼，指控 Anthropic 未经许可大规模盗用受版权保护的音乐作品，用于训练 Claude 系列 AI 模型，将该行为定性为史上规模最大、性质最恶劣的知识产权盗窃行为之一。

本次 48 页诉状将 Anthropic CEO Dario Amodei、联合创始人 Benjamin Mann 列为个人被告，指控二人主导通过 BitTorrent 等工具抓取盗版版权素材训练模型。原告申请陪审团审判，每件侵权作品最高索赔 15 万美元，若存在移除版权管理信息（CMI）行为，每例追加 2.5 万美元赔偿。涉及数万首音乐作品，潜在赔偿可达数十亿美元。

这并非 Anthropic 首次遭遇版权诉讼。此前 Concord Music Group、Universal Music Group 已发起相关诉讼；在图书盗版集体诉讼中，Anthropic 已支付 15 亿美元和解金。

AI 训练场景下合理使用与侵权的边界仍存在巨大争议。本次将企业高管列为个人被告，体现内容产业对未经授权爬取训练数据态度转向强硬，诉讼结果或将影响 Anthropic 融资与 IPO 计划，倒逼整个 AI 行业转向合规授权数据集。

https://securityonline.info/anthropic-copyright-infringement-lawsuit/

安全攻防

Miraak 后渗透框架利用 PostgreSQL 数据库充当 C2 管控被控主机

Blackpoint Cyber 研究人员发现一款名为 Miraak 的新型后渗透攻击框架，攻击者借助该框架将 PostgreSQL 云数据库改造为被攻陷主机的命令控制（C2）通道。该框架曝光源于攻击者自身操作失误，将部分攻击基础设施暴露在公网。

Miraak 主要用于系统入侵完成后的后续攻击活动，支持下发执行命令、收集设备与用户信息、进程管控、屏幕截图、文件上传下载、后台驻留长任务等能力。其核心创新点在于通信机制：恶意代理不使用常规 HTTP 请求，直接通过 libpq 库连接 PostgreSQL，利用数据库数据表充当命令队列。

被控主机通过数据库记录完成注册、接收任务、回传执行结果，通信流量表现为普通加密 PostgreSQL 连接，大幅提升传统安全设备的检测难度，防护需重点关注发起数据库连接的进程、DNS 行为与异常出站连接。

该恶意框架伪装成.NET 环境组件 hostfxr.dll，解密释放恶意程序 msedgeupdate.exe 并执行后清除痕迹。同时兼容 Cobalt Strike 生态的 BOF（Beacon Object File）模块，可直接运行现有 BOF 攻击载荷。研究人员还发现配套 F# 编写的反向 TCP 隧道工具，可把受害主机当作内网中转节点。

目前该框架暂未关联到特定攻击组织，它定位为可长期驻留、持续接管受害网络的完整攻击平台。

https://www.securitylab.ru/news/576647.php

产业动态

SpaceX 收购 Cursor 后，OpenAI 启动控制权变更条款切断模型 API 访问

SecurityOnline.info8 月 30 日报道，SpaceX 以 600 亿美元全股票完成对 AI 代码助手 Cursor 所属 Anysphere 公司收购后，OpenAI 宣布将终止 Cursor 对其专有模型的访问，最晚于 2026 年 11 月 12 日正式终止合作，新模型 Astra 也不再向 Cursor 开放。

OpenAI 援引合同中的控制权变更条款，称基于埃隆・马斯克旗下企业过往多次违约记录，包括 X 平台合同违约、xAI 通过蒸馏技术违规利用 OpenAI 输出训练自有模型等，无法信任 SpaceX 会遵守服务协议。

Cursor 联合创始人 Michael Truell 表示，OpenAI 模型仅占 Cursor 流量的 5%，团队仍在寻求和解。竞争对手 Anthropic 迅速表态，将扩充算力，强化 Claude 模型在 Cursor 上的支持能力。

本次事件背后是 Sam Altman 与埃隆・马斯克长期商业博弈，Cursor 沦为竞争的间接受影响方。该案例凸显 AI 服务商合同中控制权变更条款的实际作用，也给集成第三方大模型的开发工具敲响供应链风险警钟，依赖 OpenAI 接口的开发者需要提前做好模型迁移预案。

https://securityonline.info/openai-cuts-off-cursor-spacex-acquisition/

新品发布

对标 Chrome：Brave 新增 Email Aliases 保护用户真实邮箱隐私

2026 年 8 月 28 日，隐私向浏览器 Brave 宣布上线 Email Aliases（邮件别名）新功能，该能力可让用户在网站注册时不暴露真实邮箱地址，在隐私防护层面形成对 Chrome 的差异化优势。

使用该功能需要注册 Brave 账号并绑定真实邮箱。登录浏览器后，点击网页邮箱输入框，会弹出别名生成弹窗，弹窗未出现时可右键调起功能；生成的别名自动填入表单，发送至别名的邮件会被转发至用户主邮箱。

该功能用于抵御以邮箱作为标识符的广告跨站匹配追踪，例如 Meta 等广告厂商可通过邮箱匹配实现用户行为追踪；同时可降低网站数据泄露带来的真实邮箱外泄风险。Brave 仅对邮件做垃圾邮件与病毒过滤，不会读取邮件正文，转发完成后即删除服务器端邮件副本。账号静态存储数据加密，别名附带的备注默认本地存储，开启同步后启用端到端加密。

目前普通用户可免费获得 5 个邮件别名，后续 Premium 付费版将开放更多配额。官方提示，新功能初期部分转发邮件可能误入垃圾邮件箱，后续会优化邮件服务商信誉评分。

https://techcrunch.com/2026/08/28/braves-browser-one-ups-chrome-with-its-new-support-for-email-aliases/

合作电话：18610811242

合作微信：aqniu001

联系邮箱：bd@aqniu.com