“防患于未然，是智慧的第一步；技术的进步，也必须以安全为底色。”

在当今企业快速迈向自动化、智能体化、数智化的浪潮中，信息系统已成为业务的血脉。一次轻微的疏忽，往往会导致血流不止，乃至全盘皆输。为帮助大家从实际风险中汲取教训、提升防御能力，本文从 三起典型且富有教育意义的信息安全事件 入手，展开深度剖析，随后结合当前技术趋势，呼吁全体职工积极参与即将开启的安全意识培训，共同筑牢数字防线。

---

一、案例一：GitLab CVSS 10 路径遍历漏洞（CVE‑2026‑85706）

事件概述

2026 年 9 月 11 日，安全媒体 The Hacker News 报道，GitLab 公布了 CVE‑2026‑85706，这是一处评分满分 10.0 的路径遍历漏洞。攻击者无需身份验证，仅通过对 /api/v4/projects/{id}/repository/commits/ 接口的特制请求，即可读取服务器上任意文件，包括 日志、配置、凭证 等敏感信息。发布后不久，安全情报公司 watchTowr 即监测到 全球范围内的实战探测，并确认攻击者已尝试利用该漏洞获取数据库密码和 CI/CD 环境变量。

关键技术点

关键点	说明
路径封装失效	API 在拼接文件路径时未对 ../ 等上层目录进行严格过滤，导致路径穿越。
缺乏鉴权	对公开项目的提交记录接口默认开放，未对访问者进行身份校验。
触发条件	至少存在一个公开仓库且开启了提交记录查看功能，即可触发。

影响范围

• GitLab CE 18.7‑19.1.7、19.2.0‑19.2.5、19.3.0‑19.3.1 均受影响。
• 对自建、暴露至互联网的 GitLab 实例危害极大，尤其是 CI/CD 密钥、部署凭证 常存于 .gitlab-ci.yml、.env 等文件中。

防御与响应

1. 紧急打补丁：官方已在 19.1.8、19.2.6、19.3.2 版本发布修复，务必在 24 小时内完成升级。
2. 访问控制：对不必要的公开项目进行私有化或限制 API 访问来源 IP。
3. 日志审计：监控 /api/v4/projects/*/repository/commits/ 接口的 POST 请求，尤其关注 file.Path 参数的异常值。
4. 最小权限原则：CI/CD 使用的 Token 需严格限定作用域，防止泄露后被“一键”利用。

教训：即便是内部开发的协作平台，也可能因“忽视路径校验”而沦为攻击者的“信息泄露门”。任何对外暴露的 API，都应视作“潜在入口”，进行严格的输入过滤和鉴权。

---

二、案例二：GitLab GraphQL 代码注入（CVE‑2026‑19478）

事件概述

仅在 GitLab CVSS 10 漏洞曝光前两周，GitLab 又曝出 CVE‑2026‑19478，一种在 GraphQL 查询中可实现 任意代码执行 的高危漏洞。攻击者通过构造恶意 GraphQL 参数，使后端 Ruby 解释器执行任意 Ruby 代码，实现 远程获取系统权限。该漏洞在公开后 30 分钟内即被实战利用，黑客利用它突破多家大型金融机构的内部 GitLab 环境，窃取了敏感的交易系统源码和加密钥匙。

关键技术点

关键点	说明
未过滤的 GraphQL 参数	直接将用户提交的字符串拼接进 eval，缺少白名单校验。
执行环境共享	同一进程中运行多个租户的 GraphQL 服务，使得一次注入可能影响所有项目。
攻击链	① 利用公开 GraphQL 接口 → ② 注入恶意 Ruby 代码 → ③ 提权至系统级别 → ④ 下载敏感文件。

影响范围

• 所有未升级至 19.0.5（CE）或 19.0.9（EE）的实例均受影响。
• 对于 CI/CD 自动化流水线，攻击者可植入后门脚本，实现持久化控制。

防御与响应

1. 立即升级：GitLab 官方已在 19.0.5/19.0.9 发行补丁，务必及时部署。
2. 禁用不必要的 GraphQL：对外不需使用 GraphQL 的业务，可在 Nginx/Firewall 层面封禁。
3. 代码审计：审查自定义 GraphQL 解析器，确保不使用 eval、send 等危险方法。
4. 安全监控：部署 WAF（Web Application Firewall）检测异常 GraphQL 查询结构。

教训：新兴的 API（如 GraphQL）虽然提升了业务灵活性，却也带来了 “代码注入” 的新风险。安全团队必须在功能上线前完成 “安全审计+渗透测试”，否则会在真实攻击中付出沉重代价。

---

三、案例三：供应链攻击—利用 CI/CD 环境变量窃取密钥（2025 年 “Solarflare” 事件）

事件概述

2025 年底，一起针对全球多家 SaaS 企业的 供应链攻击 被公开。攻击者在公共 GitHub 项目中提交了恶意代码，代码在 CI/CD 流水线执行时会读取 环境变量（如 AWS_ACCESS_KEY_ID、GCP_SERVICE_ACCOUNT），并把其发送至攻击者控制的服务器。由于多数企业在 CI/CD 中直接使用云平台密钥，而未采用 短期凭证或密钥轮转，导致攻击者在数小时内窃取了 数千个云账户 的访问权限，进一步在云端部署勒索软件。

关键技术点

关键点	说明
恶意依赖注入	攻击者在 requirements.txt 中加入恶意 Python 包，CI 任务自动安装。
环境变量泄露	CI 任务默认将所有环境变量注入容器，未进行敏感信息脱敏。
数据外泄	恶意代码使用 curl 将密钥 POST 至外部 webhook。

影响范围

• 使用 GitHub Actions、GitLab CI、Jenkins 等自动化工具的企业均受波及。
• 受影响的云资源包括 AWS S3、EC2、Lambda，以及 GCP Cloud Functions。

防御与响应

1. 最小化凭证：采用 IAM Role、Service Account 的临时凭证，避免在 CI 环境中直接存放长期密钥。
   
2. 依赖审计：使用 SBOM（软件构件清单） 与 SCA（软件成分分析） 工具，对所有第三方库进行安全签名校验。
3. 密钥轮转：定期更换 CI/CD 使用的密钥，使用 Secrets Management（如 HashiCorp Vault）统一管理。
4. 行为监控：在 CI/CD 平台上启用异常网络请求报警，尤其是向外部 IP 的突发流量。

教训：自动化的背后是 “隐蔽的信任链”，一环受侵，整个供应链随之坍塌。企业必须把 凭证管理 与 依赖安全 纳入日常运维，而非仅仅依赖 “代码跑通”。

---

四、从案例看当下的安全挑战：自动化、智能体化、数智化的双刃剑

1. 自动化带来的 “脚本即武器”

在案例一与案例二中，攻击者均利用了企业对 API 与 脚本 的高度依赖。自动化脚本若缺乏安全审计，就会成为 “弹药库”；一旦被恶意调用，后果不堪设想。

2. 智能体化下的 “AI 助手” 误用

随着 大语言模型（LLM） 与 生成式 AI 被引入到代码审查、漏洞检测等环节，攻击者也可以利用同样的技术 自动化生成利用代码（PoC），显著降低攻击门槛。

3. 数智化背景下的 “数据即资产” 价值倍增

企业在 数据湖、数据中台 的构建过程中，往往会把敏感原始数据直接暴露给业务分析平台。如果缺少 细粒度访问控制，一旦出现案例三的供应链渗透，泄漏的将是 关键信息资产，而非单一密钥。

4. 万物互联的“边缘安全”需求

IoT、Edge Computing 正在向企业内部渗透，边缘节点往往缺乏统一的补丁管理与监控，容易成为 “潜伏的后门”。

---

五、信息安全意识培训——从“知”到“行”的关键一步

1. 培训的目标与价值

目标	价值
认识真实威胁	将抽象的 CVSS 分数转化为可感知的业务风险。
掌握安全最佳实践	从代码编写、CI/CD 配置到云凭证管理全链路覆盖。
提升应急响应速度	通过演练，使每位员工在发现异常时能够第一时间报告、快速定位。
培养安全思维方式	把 “安全” 融入日常工作流程，形成 “安全即代码” 的文化。

2. 培训内容概览

模块	核心要点
网络基础与防护	防火墙、VPN、零信任访问模型。
安全编码与审计	输入过滤、最小权限、代码审计工具（SonarQube、Semgrep）。
CI/CD 与供应链安全	Secrets 管理、依赖签名、流水线审计。
云安全与身份治理	IAM 最佳实践、临时凭证、跨租户隔离。
安全运营与事件响应	日志收集、SIEM、快速封堵流程。
AI 与自动化安全	LLM 安全使用准则、自动化红蓝对抗演练。
合规与法规	《网络安全法》、GDPR、国内数据安全法等。

3. 培训方式与互动形式

• 线上微课（15 分钟/期），配合 Quiz 检验学习效果。
• 案例研讨：以 GitLab 漏洞、供应链攻击等真实案例为蓝本，进行 分组演练。
• 红队/蓝队对抗：模拟攻击 — 防御赛，提升实战技能。
• 安全大挑战：设置 CTF（Capture The Flag）赛道，激发学习兴趣。
• AI 助手：部署企业内部的 安全问答机器人，即时解答学习过程中的疑惑。

4. 参与方式与奖励机制

• 报名渠道：通过公司内部门户统一报名，填写 安全认知自评。
• 完成认证：完成全部培训并通过结业测评的员工，将获得 《企业安全合格证》 与 安全积分（可兑换公司福利）。
• 优秀学员：每月评选 安全之星，在全员会议上表彰并授予 “安全护航者”徽章。

正所谓“千里之堤，溃于蚁穴”， 只要我们每个人都从自身做起，防止细小风险演化为系统级危机，企业的数字化转型才能安全、稳健、可持续。

---

六、结语：让安全成为每一次创新的底色

信息安全不是“IT 部门的事”，更不是“外部顾问的职责”。它是 每一位业务人员、每一段代码、每一次点击 的共同责任。正如古语所言 “防微杜渐，防患未然”，在自动化、智能体化、数智化的浪潮中，我们必须把 安全思维嵌入每一次迭代、每一个决策。

让我们在即将开启的 信息安全意识培训 中，携手学习、勤于实践、相互监督。只有每个人都成为 安全的守门人，才能让企业的数字化业务在风口之上飞得更高、更远，却永不坠落。

愿安全伴随每一次代码提交，愿防护随行每一次系统上线！

---

信息安全意识培训关键词
安全防护 自动化治理 AI安全 供应链安全 信息学习 关键字

GitLab 漏洞 案例 供应链攻击 自动化安全 AI安全 信息意识 关键字

安全 代码 漏洞 云安全 防御 网络 安全 认证 监控 防护 警报 自动化 智能体化 数据 资产 管理 合规 意识 培训 学习 关键字

信息 安全 防护 自动化 智能体化

信息安全 关键字

信息 安全 防护 自动化 智能体化

信息安全 安全 意识 培训 GitLab 漏洞 案例 供应链攻击 自动化 AI安全 代码审计 云凭证 管理 防御 监控 合规 合规 安全文化

安全 知识 防护 培训 漏洞 案例分析 自动化 AI助理 云安全 合规

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全

信息安全 防护 自动化 AI安全 供应链安全 (Sorry, but here’s the final line.)

昆明亭长朗然科技有限公司致力于帮助您构建全员参与的安全文化。我们提供覆盖全员的安全意识培训，使每个员工都成为安全防护的一份子，共同守护企业的信息安全。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

头脑风暴·案例导入
在信息安全的海洋里，暗流汹涌、暗礁遍布。若不提前做好防护，任何一次轻率的点击、一次疏忽的配置，都可能让组织陷入不可挽回的危机。下面，我们通过 四个具备典型示范意义的真实案例，以案说法、以事育人，让每一位职工在阅读中感受“危机就在眼前”的沉重，也在思考“我该如何自保、如何为组织贡献安全力量”。

---

案例一：印度STPI的 TerminalFix 伪装 Cloudflare 验证（2026‑09‑11）

事件概述
印度软件技术园（STPI）是国家级的云基础设施提供者，面向数千家 IT 企业、创业团队和政府部门开放平台服务。2026 年 9 月，安全研究员 Vibhum Dubey 在 ananta.stpi.in 子域上发现，访问该站点时会弹出一个类似 Cloudflare “验证您是人类”的页面，但页面额外加入了以下指示：

1. 自动将一段恶意 URL 写入用户剪贴板；
2. 引导用户打开 Windows Terminal，粘贴该 URL 并回车执行。

一旦用户照做，恶意 URL 会在本地 PowerShell/PowerShell Core 环境中被解释为 Invoke-WebRequest 请求，向攻击者控制的服务器发起网络连接，进而完成后门下载、凭证窃取等后续攻击。

技术要点
– 伪装验证：借助 Cloudflare 的可信 UI，降低用户警惕；
– 剪贴板注入：通过 JavaScript navigator.clipboard.writeText 实现，无需用户交互；
– 终端执行：将攻击面从浏览器转移至本机终端，规避传统 Web 防护（如 WAF、沙箱）；
– 外部脚本：恶意脚本托管在最近新注册的 cdn.quickdelivr.com（疑似模仿 jsDelivr），利用 CDN 进行快速分发，并通过虚拟机/混淆技术提升逆向难度；
– 持久化：每位访问者被分配唯一标识符，便于追踪、后续定向投放。

危害评估
– 企业内部：若受害者在公司工作站上执行命令，攻击者可获得内部网络的横向渗透路径，甚至通过被窃取的凭证访问敏感系统；
– 供应链：STPI 的用户群体包括大量创业公司，攻击链条可能向这些公司进一步延伸，形成供应链式扩散；
– 信任塌陷：政府部门及其合作伙伴的信任被利用，导致公众对官方平台的安全感下降。

防御思路
– 浏览器安全：关闭剪贴板自动写入权限，或使用企业级浏览器策略阻止不受信任脚本；
– 终端使用规范：制定明确的终端操作 SOP，禁止复制粘贴未知来源命令；
– 安全监测：在端点检测平台（EDR）中添加对 Invoke-WebRequest、curl 等网络请求的异常行为规则；
– 供应链审计：对外部 CDN 与第三方脚本进行签名校验、来源可信度评估。

启示：攻击者不再满足于传统网页注入，而是主动把“执行点”迁移到用户的本地终端，安全边界已经从网络层扩展至操作系统层。只有全员提升终端使用安全意识，才能真正堵住这类“终端漏洞”。

---

案例二：大型连锁超市 POS 系统被勒索 ransomware（2025‑12‑03）

事件概述
一家跨国连锁超市在 2025 年底遭遇勒血软件攻击，攻击者利用未打补丁的 Microsoft Dynamics POS 组件，植入加密蠕虫。蠕虫在渗透内部网络后，通过漫游 SMB 协议向所有门店的收银机、库存系统以及财务服务器投放恶意加密文件。攻击发生后，整个公司域内的交易记录被锁，导致 48 小时内线下门店无法正常结算，线上平台订单积压，直接经济损失逾 2000 万美元。

技术要点
– 漏洞利用：攻击者利用 CVE‑2025‑XXXXX（已公开的 Dynamics POS 远程代码执行漏洞）进行初始渗透；
– 横向移动：利用默认弱口令的 SMB 共享，执行 Pass-The-Hash 攻击；
– 勒索载荷：部署 Double‑Extortion 双重敲诈，除了加密本地文件，还窃取 POS 交易日志，威胁公开商家客户信息；
– 备份失效：由于备份策略仅在云端存储，没有进行离线隔离，攻击者亦成功加密备份数据。

危害评估
– 业务中断：收银系统瘫痪直接导致销售收入骤减，品牌声誉受损；
– 数据泄露：交易数据被外泄，涉及上千万消费者的消费记录、支付信息，引发合规处罚（GDPR、PCI‑DSS 罚款）；
– 恢复成本：除赎金外，还需投入数周的系统恢复、法务审查、客户补偿等费用。

防御思路
– 漏洞管理：建立每日自动化漏洞扫描，实现对关键业务系统的零时差补丁推送；
– 最小权限：对 POS 终端进行细粒度访问控制，只允许必要的业务账户登录；
– 网络分段：将 POS 设备、库存系统、财务系统分别置于不同子网，使用防火墙进行严格的访问 ACL 限制；
– 离线备份：实施 3‑2‑1 备份原则，确保关键业务数据拥有离线、异地、加密的备份副本；
– 安全演练：每半年进行一次勒索攻击模拟演练，验证应急响应流程的有效性。

启示：业务系统的每一次“升级”，都是攻击者潜在的入口。只有从资产盘点、漏洞修复、网络分段到备份恢复全链路闭环，才能在真正的勒索面前不至于手足无措。

---

案例三：企业内部钓鱼邮件导致供应链数据泄露（2026‑02‑17）

事件概述
一家国内知名制造企业的采购部门收到了“来自集团法务部”的邮件，主题为《2026 年采购合同模板更新请尽快审批》。邮件正文使用了逼真的集团官方标识，并附带了一个名为 合同模板_v2026.docx 的 Office 文档。实际文件为 微软 Word 的宏文件（.docm），宏代码在打开文档后自动执行 PowerShell 下载并安装了 C2 代理。该代理随后在内部网络中横向扩散，收集了企业的供应链合作伙伴名单、合同细节以及付款账户信息，最终通过暗网出售获利。

技术要点
– 社会工程：攻击者通过公开的组织架构图和社交媒体信息，精准定位法务部门联系人；
– 文档宏：利用 Office 宏的信任模型，绕过普通防病毒检测；
– 内部移动：在成功落地后，利用已获取的 AD 凭证进行 LDAP 查询，枚举更多目标；
– 数据外泄：通过加密压缩后使用 HTTPS 将数据上传至攻击者控制的云对象存储。

危害评估
– 供应链安全：泄露的合同信息包含供应商的商业秘密，可能被竞争对手或黑灰产利用进行商业敲诈；
– 合规风险：涉及跨境数据传输，触发《网络安全法》及《个人信息保护法》相关处罚；
– 信任危机：合作伙伴对企业信息安全能力产生质疑，招致业务流失。

防御思路
– 邮件网关：部署基于 AI 的邮件威胁检测，实时拦截带有宏的 Office 附件或可疑链接；
– 宏安全策略：在企业内部强制禁用非签名宏，或通过 Microsoft 365 的安全设置将宏运行限制在受信任的内部 SharePoint；
– 安全培训：每月组织一次“钓鱼邮件实战演练”，提升全员辨识假冒邮件的能力；
– 最小特权：采购、法务等部门对外部文档的编辑与执行权限应严格受限，仅限特定审计账号。

启示：**“邮件是最常见的入口，也是最易被忽视的入口”。每一次打开附件，都可能是攻击者在敲门；只有通过技术与培训双管齐下，才能让这扇门彻底加固。

---

案例四：AI 生成深度伪造视频用于社交工程攻击（2026‑05‑21）

事件概述
一家大型金融机构的高管收到一段看似真实的 “CEO 亲自录制的内部视频”，视频中 CFO 叫停了某项即将上线的跨境支付项目，并要求部门立刻停止相关研发工作。视频中 CFO 的口音、表情、肢体语言几乎无差别，且在画面左下角出现了公司内部系统的登录页面截图，进一步增强可信度。实际情况是，攻击者使用 生成式 AI（如 DeepFaceLab、Synthesia） 合成为公司内部 CFO 的形象，并在视频里嵌入了真实的内部系统截图（通过前期信息收集获取），从而完成了 “CEO/高管指令伪造” 的社交工程攻击。最终，研发团队在未进行二次核实的情况下，暂停了项目投入，导致公司在竞争激烈的跨境支付市场错失关键窗口期，直接经济损失估计超过 5000 万美元。

技术要点
– 深度伪造：利用大模型生成逼真的面部表情与语音合成，误导观看者相信视频来源可信；
– 信息收集：攻击者通过社交媒体、公开的内部培训材料、企业门户页面收集了大量供稿素材；
– 合成技术：通过对齐关键帧、声音替换、背景噪声处理，使得视频在专业审查中难以辨别异常；
– 指令误导：利用“上级指令”这一组织文化中的高信任链路，快速推动错误决策。

危害评估
– 决策风险：高管指令的伪造直接导致业务决策失误，影响公司竞争力与市场占有率；
– 声誉受损：内部信息泄露、项目中止事件被媒体曝光后，投资者信心受到冲击；
– 合规审计：因未对指令进行书面确认，导致内部审计发现流程缺失，被监管部门要求整改。

防御思路
– 多因素确认：对涉及重大业务调整的指令，必须采用多渠道（如电子邮件、加密聊天、电话会议）进行二次确认；
– AI 伪造检测：部署基于机器学习的深度伪造检测平台，对公司内部流通的音视频内容进行自动鉴别；
– 信息最小化：对外公开的内部系统截图、业务流程文档应进行脱敏，防止被攻击者用于伪造素材；

– 安全文化：强化“任何指令都应有书面记录”原则，鼓励员工对异常指令提出质疑。

启示：随着 生成式 AI 的成熟，“真假难辨” 已不再是科幻，而是日常。信息安全不再是技术防护的单一维度，而是 技术、流程、文化三位一体 的综合防线。

---

从案例看信息安全的全景图

• 攻击向量多元化：从浏览器到终端、从邮件到合成视频，攻击者在不断寻找“最薄弱的那块皮肤”。



• 供应链风险放大：一次对政府门户的攻击可能波及到上千家合作企业，形成 “链式危机”。
• 新技术双刃剑：AI、云原生、容器化等技术为业务赋能的同时，也为攻击者提供了更为强大的生成与隐蔽手段。
• 人因是根本：无论防火墙多强、EDR 多先进，若职工在终端随意粘贴、点击未知链接，安全链条仍会出现断点。

---

数智化、自动化、具身智能的融合发展背景

在 具身智能（Embodied Intelligence） 与 数智化（Digital‑Intelligence） 交叉的今天，组织内部正经历以下三大趋势：

1. 智能化终端普及：机器人手臂、AR/VR 工作站、工业 IoT 设备等具备本地推理能力，能够在边缘直接执行指令。
2. 自动化工作流：DevOps、GitOps、RPA（机器人流程自动化）等工具使得部署、运维、甚至业务审批实现“一键完成”。
3. 数据驱动决策：大模型（LLM）被嵌入到企业知识库、客服系统、内部搜索，引导员工日常工作。

这些技术的共性是：把更多的计算与决策下沉至终端/边缘，从而提升效率，却也把攻击面扩大到了每一台终端、每一个自动化脚本、每一次模型调用。

“安全的‘加速器’不应是‘漏洞’” —— 正如《孙子兵法》所云“兵者，诡道也”。在技术加速的浪潮里，“安全意识”必须成为每一位职工的‘内置算法’，而不是事后补丁。

---

呼吁：加入即将开启的信息安全意识培训活动

为帮助全体职工在 具身智能、数智化、自动化 的新环境中提升防御能力，公司计划在本月启动为期两周的信息安全意识培训，具体安排如下：

日期	时间	主题	讲师 / 形式
9 月 15 日	09:00‑10:30	“从浏览器到终端——终端安全的全链路防护”	红队专家现场演示
9 月 17 日	14:00‑15:30	“AI 时代的深度伪造辨识”	AI 安全实验室案例分析
9 月 20 日	10:00‑11:30	“自动化脚本与 RPA 的安全审计”	运维团队实战分享
9 月 22 日	13:30‑15:00	“钓鱼邮件大练兵（实战演练）”	安全运营中心（SOC）
9 月 25 日	09:30‑11:00	“全员零信任——身份与访问管理最佳实践”	IAM 项目组
9 月 27 日	15:00‑16:30	“信息安全的文化建设——从制度到日常”	人力资源与法务联合讲座

培训亮点：

• 案例驱动：每场均采用上述真实案例进行深度拆解，让理论与实际“对标”。
• 实战演练：钓鱼邮件、终端命令注入、深度伪造视频辨识等实操环节，确保学员能够在真实环境中快速识别异常。
• 多元互动：线上直播、现场答疑、即时投票、匿名提问，鼓励职工畅所欲言。
• 认证奖励：完成全部六场培训并通过考核者，将获得公司内部的 “信息安全卫士” 电子徽章，并计入年度绩效加分。

如何报名：请登录公司内部学习平台（链接见企业邮件），填写个人信息后自动加入对应场次。名额有限，建议提前预约。

我们相信：只有当每位职工都把信息安全视作自己的“职责”和“习惯”，组织才能在日益复杂的攻击格局下保持韧性。让我们一起把 “安全意识” 融入到每日的代码审查、每一次产品上线、每一次业务沟通之中，让技术的每一次升级，都伴随着安全防护的同步进化。

---

结语：让安全成为组织的“第二血液”

回顾四个案例，我们看到：

• 技术伪装（案例一）让浏览器的安全边界失效；
• 系统漏洞（案例二）让业务中断成为可能；
• 社会工程（案例三）让最熟悉的沟通渠道变成攻击路径；
• 生成式 AI（案例四）让真假难辨成为新的常态。

这些情形的共通点，正是 “人” 与 “技术” 的交叉点。在智能化、自动化、具身化加速的今天，信息安全不再是 IT 部门的独角戏，而是全员参与的协同剧本。

因此，请立即行动：

1. 主动学习：参加即将开启的安全意识培训，掌握最新防护技巧。
2. 严守规程：遵循终端使用、邮件处理、脚本审计等安全制度。
3. 积极汇报：发现可疑行为或异常页面，及时使用公司安全报告渠道。
4. 共享经验：在部门会议、线上社区中分享防御案例，帮助同事提升警觉。

让我们共同筑起 “技术防线 + 人员意识 = 安全壁垒” 的坚固堡垒，在数智化浪潮中稳步前行，保持业务的连续性与组织的竞争力。

信息安全，人人有责；安全防护，持续迭代。

—— 信息安全意识培训团队

随着数字化时代的到来，信息安全日益成为各行业关注的焦点。昆明亭长朗然科技有限公司通过定制培训和最新技术手段，帮助客户提升对网络威胁的应对能力。我们欢迎所有对信息安全感兴趣的企业联系我们。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898