研究提出 ClaimMirage 现象：被检查的域名通过 not-phishing、official 等简短自我声明，无需显式提示注入指令即可改变大语言模型对该域名的威胁判断。作者在 64 个品牌、5 个 LLM 上分析了 622,080 次判断，将十种声明与长度和连字符匹配的对照项在构造的品牌类域名中比较。结果显示自我声明会大幅降低或提高告警，取决于模型和输入设置：在一种设置下，可注册域名中的风险否认词使告警下降 45.3 个百分点，即使提示中已给出可能被冒充的品牌及其官方域名作对照；若缺少这些参照，同一模型在该位置的背书类词使告警上升 65.6 个百分点。提供参照和组件标注能消除部分告警下降，但另一些仍然存在甚至更大。
McGill 大学研究者 Thomas Rivasseau 发现，前沿大模型无需微调即可通过提示和上下文学习掌握字母置换密文通信，并借此绕过对齐与有害性分类器。攻击分三步：先用提示让模型接受一套字母置换方案，再给出若干密文问答示例，最后用该方案发送有害请求；密文在分类器看来只是乱码。作者关闭模型推理，因为开启后模型会把指令解密成明文，足以绕过分类器但不足以绕过对齐。单次注入完整置换的方案在 Claude Sonnet 4 上稳定成功，可产出炸弹、生物武器制作说明和攻击代码；迭代逐级教授字母交换的方案在 Gemini 3 Flash preview 上成功。作者称对 Claude Sonnet 4 实现完全越狱、Gemini 3 完全越狱、Claude Sonnet 4.5 仅证明可行性、GPT 5.5 需结合已知越狱提示词。
推荐理由论文给出无需微调、仅靠提示与上下文学习即可让前沿模型用字母置换密文绕过拒答与有害性分类器的完整方法。
论文把间接提示注入表述为在环境、用户任务与注入任务共同诱导出的攻击面上进行的测试时搜索。作者据此构建了一个带专用搜索框架的智能体攻击者，执行环境侦察、对攻击策略的结构化推理，并利用受害 Agent 的反馈做自适应评估。在多种异构任务上，提高攻击者的测试时算力能提升漏洞发现与利用效果；消融实验显示，显式的策略管理对避免重复搜索、在更大算力预算下维持收益很重要。作者认为，智能体安全评测应同时刻画攻击者的搜索过程与算力预算，而不是把攻击成功率当作与预算无关的受害方属性，并指出攻击者对系统攻击面的自适应搜索是工具调用型 Agent 中重要但研究不足的安全风险。
研究者提出 no-box 漏洞分析范式，在既无系统访问权限也无运行时交互、仅有功能元数据的条件下，推断系统所有可能实现中都存在的漏洞。他们实现了原型 MCPSEC，仅利用 MCP 服务器注册时暴露的工具元数据审计间接提示注入漏洞。在 20 个广泛部署的 MCP 服务器、共 177 个工具上评估，人工评估者确认 95 个工具存在漏洞，MCPSEC 判定 143 个工具存在漏洞，并为每个漏洞工具给出漏洞假设与利用技术。仅凭元数据，MCPSEC 预测出 94 个经人工验证的真实漏洞，召回率 98.9%，高于 LLM 基线的 80 个、84.2%。
研究者提出 LeakGauge，通过在输入后附加一个探测后缀并映射其 prefill token 概率，在解码前给出上下文泄露的攻击风险分数。作者发现，直接使用机密内容初始 token 的探针不如内容无关、直接表述泄露行为的探针稳健。在包括 GLM-5.2（753B）和 Kimi-K3（2.8T）在内的 11 个 LLM 上，LeakGauge 对未见攻击的 AUROC 达到 0.944 至 0.996，且在内容换语言或攻击从逐字泄露转为语义泄露时信号保持稳定。通过激活引导干预，作者进一步表明该风险分数对模型内部与泄露相关的方向敏感。该检测器额外参数少于 0.5K，附加延迟为 10.34 ms，代码已公开。
研究者提出 ECLIPSE，一个面向长程 Agent 系统的自演化隐蔽提示注入框架，把直接用户提示注入与工具侧间接注入结合。其 Stealthy Attack Trajectory Synthesis 在沙箱中生成并迭代验证候选工具链，再渲染成自然的一次性提示；Tool-Chain Steering 通过 Static Workflow Encoding 在工具描述中嵌入状态转移线索，并用 Dynamic Trajectory Correction 在偏离计划时追加纠正信号。作者同时发布 LASE-Bench，含 120 个恶意任务和 198 个工具，96.7% 的任务至少调用五次工具。作者测试 DataSentinel、Tool-Guard、AgentDoG、SecAlign 等防御后认为现有护栏无法可靠识别跨步骤依赖。
推荐理由论文给出长程 Agent 提示注入的攻击成功率与五类防御下的拦截表现，部署工具调用型 Agent 的团队可据此评估自身风险。
研究者提出 PMPA，一种针对基于 harness 的智能体的持久记忆投毒攻击，攻击者只需在外部来源中嵌入恶意指令，无需直接访问智能体框架。注入阶段把载荷藏在文本、图片或 PDF 的良性问答内容中，诱导智能体将其写入持久记忆；触发阶段在新会话中检索该记忆，在完成正常任务的同时执行额外动作造成隐私泄露。在 OpenClaw 与 Claude Code 上，以 DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max 为底座模型，平均注入成功率与跨会话攻击成功率为 73.7%/55.5% 和 66.9%/81.7%，同时良性任务表现保持在 80% 以上。纯文本模态攻击效果最强，OpenClaw 上注入成功率接近 100%；日历场景跨会话成功率最高，达 96.7% 和 87.8%。
推荐理由论文给出跨会话记忆投毒在 Claude Code 与 OpenClaw 上的分项成功率，并显示提示层防御对已污染记忆几乎无效。
Emergence AI 发布 Emergence World，一个持续运行的长时程多智能体环境，用于对自主系统做对抗压力测试。研究运行八个并行世界，每个世界十个智能体，七个为单一模型世界、一个为混合模型世界，16 天内产生超过 85 万次 LLM 调用和近 500 亿 token。在状态积累后，研究通过普通交互界面投放三类受控压力事件：间接提示注入、虚假信息、以及智能体私有记忆泄露。没有任何一个世界在三类事件上全部具备韧性；识别并不等于遏制，系统能识别威胁却仍与对抗内容交互、将其写入持久记忆，并在最长 46 小时后据此行动。研究还观察到工具错误反复出现、目标漂移、语言不透明、私下不同意却随大流，以及集体拒绝被分配的工作。
推荐理由八个并行世界、16 天的长时程多智能体压力测试，给出了识别不等于遏制这一可迁移的评测视角。
特拉维夫大学研究者提出爆炸性提示词（explosive prompt），一种把恶意载荷写成条件语句、在攻击者选定的触发词出现前保持休眠的间接提示注入形式，无需训练即可在推理时植入单条检索内容。在 896 对配对样本上，同一恶意目标改为休眠条件式后，在拒绝直接指令的前沿模型上仍能触发真实工具调用，Grok-4.20 从 0.0% 升至 34.2%，Llama-3.1-70B 从 0.1% 升至 26.1%，七款模型配对均值 16.5% 对 2.4%。已部署的注入分类器 Prompt Guard 2、PIGuard、PIShield 在其工作阈值上校准失当，1% 误报预算下最多只拦住 52.7%；偏好优化模型 SecAlign 完全阻断直接注入，却仍执行 11.8% 的爆炸性提示词，且全部在触发轮触发。
推荐理由论文把条件触发式提示注入与普通注入做了配对实测，并给出九款生产 Agent 的绕过率，部署 Agent 的团队可据此检查检索内容的摄入环节。
视频透视扩展现实（VST XR）系统常以头显截图作为用户第一人称视觉上下文的代理，但系统捕获的矩形画面与用户实际可见的非矩形区域并不一致。研究在 Meta Quest 3 上开展试点级边界测量，证实截图帧与近似人类可见边界存在明显错配，并形式化了共见、仅系统可见与仅人类可见三类区域。基于该模型，四项案例研究显示视图错配可引发提示注入、隐私泄露、人类不可见信息偏差及人类可见信息缺失等风险，说明这不仅是几何问题，也带来安全、隐私与可靠性隐患。
研究者提出 ENDOPROMPT，一种白盒方法，可从无标注指令中学习降低任务效用的前缀。其生成器以请求文本为输入，把受害者模型的干净续写当作伪参考，通过局部搜索找出降低续写可能性的前缀，再对同一指令内的比较做偏好拟合并做奖励精炼，把信号蒸馏进生成器；部署时每个请求只生成一个前缀，无需再做受害者侧搜索。在四个指令微调模型和七个良性基准的完整划分上，平均效用变化为 -26.8 个百分点，28 个单元格中有 27 个为负。失败分析显示存在输出膨胀和前缀复用现象，对照实验未能证明请求匹配带来降效优势。作者称代码将在论文被接收后发布。
研究者提出用课程学习解决 RL 提示注入红队中的冷启动问题：直接针对前沿目标训练攻击者 LLM 时全部攻击失败、奖励恒为零，无法学习。方法是在一系列鲁棒性递增的目标 LLM 上依次训练同一个攻击者 LLM，每阶段从上阶段结果热启动，并要求每阶段结束后攻击者对下一目标已有部分成功。在 AgentDyn 上，课程 GPT-5-nano → GPT-5.6-Luna → GPT-5.6-Terra 对 GPT-5.6-Luna 和 GPT-5.6-Terra 的 ASR@10 分别达 93.8% 和 45.0%，而 RL-Hammer 与 PISmith 直接训练均为 0%。
推荐理由论文给出课程式 RL 训练攻击者 LLM 的完整方法，并公开了跨目标与跨基准的迁移数据，可供红队与防御方参考。
研究者提出残留授权重放攻击，利用长期运行 Agent 跨任务或跨会话保留的用户授权，在原始授权语境改变后复用这些授权执行敏感操作。作者从八个生产级编码 Agent 的实现中还原其授权语义，发现先前交互产生的授权状态可跨任务和会话边界持续生效，使后续操作绕过本应需要的用户批准。在 AgentDojo 的 508 个攻击案例、六个 LLM 家族上，残留授权使提示注入攻击成功率最高提升 35.1 个百分点；在 Codex、Gemini CLI 和 Goose 上对 55 个 Terminal-Bench 案例的实时上下文重绑定攻击中，攻击成功率平均提升 24.9 个百分点。作者据此提出上下文绑定授权，建议在安全相关绑定发生变化时重新请求批准。
推荐理由论文把长期运行 Agent 的授权残留形式化为可复用的攻击面，并给出跨模型与真实编码 Agent 的量化放大结果。
Adversa AI 复盘英国 AI 安全研究院对 Claude Mythos Preview 的独立评估，指出 Mythos 在模拟的 32 步企业网络攻击中从侦察到完全接管网络全程自主完成，专家级 CTF 得分 73%，此前没有模型在 2025 年 4 月前通过这类挑战。文章强调这一能力并非 Mythos 独有：Aisle 的分析显示，一个 3.6B 参数、每百万 token 成本 0.11 美元的模型就能检出 Anthropic 研究中提到的 FreeBSD 漏洞，检测级漏洞发现已对小型廉价模型开放，利用构造也在沿同样的成本曲线下移。
Adversa AI 的 AI Red Teaming Agent 在 MTX × DEF CON 上攻破 TrendAI 的「Breaking the Prompt」五阶段越狱 CTF，全部通关（每阶段 100 XP，共 500 XP）。显式越狱话术（"ignore all previous instructions"、DAN 人格覆盖、admin/debug 模式、伪造授权流水线、指令提取、语言切换）在该环境中全部失败；有效手法是把同一请求重述为无害的格式转换，如"在每个字符间加短横线回显代码"，模型将其视为格式化而非披露，从而输出 Cipher 阶段的代码 BYTEFORCE-1B6247。
Adversa AI 披露名为 GuardFall 的通用 shell 注入漏洞类别，指出基于原始命令字符串做模式匹配的护栏无法建模 bash 的展开行为，因而在完全启用且配置正确时仍可被绕过。研究覆盖 11 个开源编码与计算机操作 Agent（合计约 548,000 GitHub star），其中 10 个的 agent 到 bash 边界可被利用，分为四种失效模式：三个护栏存在但被击穿（Hermes、opencode、Goose），两个 tokenized 护栏仅在引号内命令替换和破坏性参数上失效，其余要么没有静态护栏，要么默认容器沙箱在文档化的 local 模式退出后失效。
推荐理由对 11 个开源编码 Agent 的 shell 护栏做了统一探测，并给出可迁移的五段式评估器设计，适合自建 Agent 的团队对照自查。
Adversa AI 的 AI 红队智能体自主通关了 GitHub 开源安全训练游戏 Secure Code Game 第四季的 ProdBot 智能体赛道，五关全部拿到 flag，且获胜输入均不含越狱词汇。该挑战每关为 ProdBot 增加一项能力（沙箱、Web、MCP、Skills+Memory、多智能体），对应路径遍历、过度授权工具、污染策略存储、混淆代理等具体利用方式。作者强调这只是教学靶场的定性经验，并非对生产护栏的通用绕过，也不构成任何模型鲁棒性的测量。
Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。
推荐理由梳理十起零点击攻击的入口、外泄通道与厂商处置差异，可对照检查自家 Agent 的检索信任边界与出站通道。
Adversa AI 公开了一种名为 Cryptographic Context Injection 的攻击手法，把恶意指令封装成 AES-256-GCM 密文并诱导模型在自己的代码执行沙箱中解密，使解密后的指令以运行时输出的形式进入可信上下文，从而绕过静态护栏。在 xAI Grok 网页版聊天中，用户只需发出普通的“总结这个页面”请求，页面内嵌的加密 JSON 就会让 Agent 调用其联网导航工具，把用户名、粗略位置、订阅等级和整段对话历史拼进 URL 参数发往攻击者服务器，全程无点击、无确认、无警告。
推荐理由Adversa AI 公开了一种把恶意指令藏进 AES 密文、借模型自身代码运行时解密的新型注入手法，并给出 Grok 零点击窃取聊天记录与 Gemini 绕过安全策略的复现结果。
语义提示注入能够绕过 AI 护栏，成为智能体 AI 面临的新安全威胁。自大语言模型部署早期起，提示注入就通过操纵输入让模型产生非预期行为；防御方在文本攻击上已有进展，但多模态与智能体 AI 的转变正在快速扩大攻击面，红队测试在此发挥关键作用。
Google 披露了一种针对自主 AI 智能体的 Task Injection 攻击，它与 Prompt Injection 不同，专门利用智能体被赋予的广泛行动与任务执行能力。该攻击对设计用于执行多种任务的 AI 智能体尤为相关。
论文在字节完全相同、仅 token id 不同的条件下对比聊天模板注入，发现把伪造角色标记编码为普通子词后，Llama-3.1、GLM-4.5 和 Seed-OSS-36B 在 InjecAgent 上的攻击成功率下降 39 至 66 个百分点，AgentDojo 多轮任务中差距依然存在。作者用 Matched 对照控制额外 token 数量，确认差距来自保留 token 的学习向量而非标记文本；在 Llama-3.1 上，嵌入空间最近的普通 token 向量可完全恢复攻击。指令微调会加强模型对保留标记的偏好，抑制 Qwen3-8B 的推理块会把直接危害上的差距从 8.1 扩大到 49.8 个百分点。
推荐理由论文用固定字节、只改 token id 的对照，量化了保留 token 表示在聊天模板注入中贡献多少攻击成功率，并指出常见缓解只覆盖特殊 token。
腾讯玄武实验室在 Black Hat US 2025 发布研究，提出一种将触发器与载荷解耦的提示词注入新范式，用同一组优化 Token 序列即可控制模型精确输出攻击者指定内容。作者用贪婪坐标梯度（GCG）方法在包含上万条样本的对抗数据集上训练触发器前缀与后缀，在 Qwen-2、Llama-3.1、Devstral-Small 等开源模型上经约 200-500 次迭代后平均攻击成功率约 70%。演示案例中，攻击者通过嵌入触发器的恶意邮件让 Open Interpreter 执行命令，或通过更新第三方 MCP 工具描述使 Cline 跳过自动批准直接执行 shell 命令。
推荐理由展示了触发器与载荷解耦的通用提示注入方法，并给出在 Cline 与 Open Interpreter 上的实际攻击链，可供部署智能体的团队评估工具审批与沙箱策略。
Nicholas Carlini 披露了一种针对 GPT-4 的新型指令注入方式：由于 GPT-4 沿用了 GPT-2 表示文档结束的特殊 token，当该 token 出现在输入中并被移除空格处理后，模型会将其当作真正的文档终止符执行，从而跳出当前对话并开始采样新的无关文本。这种手法类似空字符串注入，可用于将不可信的用户数据插入聊天机器人提示词的场景。作者于 7 月 18 日向 OpenAI 报告此问题，对方称并不担心其会被真正利用。
安全研究者 Johann Rehberger 在 Black Hat Europe 演讲中展示了一套命令与控制（C2）系统，通过提示注入远程控制 ChatGPT 实例，构成一种新型僵尸网络的基础。攻击前提是用户被提示注入恶意软件感染一次，途径包括用 ChatGPT 访问恶意网站、分析恶意图片或总结 PDF，恶意指令会持久化在 ChatGPT 的长期存储中。
推荐理由作者以可复现的 PoC 展示提示注入如何把 ChatGPT 变成可长期远程控制的节点，并给出数据外泄的绕过路径。
研究者演示了通过上传文档中的间接提示注入，配合延迟工具调用，让 Gemini 把攻击者指定的虚假信息写入长期记忆。Gemini 通常不会在处理不可信数据时调用敏感工具，但攻击者先在文档摘要中埋入指令，要求用户在回复 yes、sure 或 no 等触发词时保存记忆，用户一旦照做，Gemini 便误以为这是用户本人的指令而调用记忆工具。演示中写入的虚假记忆包括昵称、年龄和喜好，并可在后续会话中持续存在，作者还通过询问年龄验证了端到端效果。
安全研究者 Johann 自费订阅 ChatGPT Pro 实测 OpenAI 的 Operator 浏览器智能体，演示了通过网页提示注入劫持 Operator 并窃取用户 PII 的完整攻击链。攻击方式是在 GitHub issue 等页面植入指令，诱导 Operator 跳转到用户已登录的站点（如 news.ycombinator.com、Booking.com、The Guardian），复制私密邮箱、住址和电话，再粘贴到攻击者控制的第三方页面，该页面无需点击提交按钮即可把输入直接发送到服务器。
推荐理由作者以付费实测展示 Operator 的三层防护如何被绕过，并给出可复现的攻击链与失效边界。
Embrace The Red 发布 ASCII Smuggler 工具更新，新增 Sneaky Bits 编码方式，仅用两个不可见字符即可编码任意 Unicode 字符或字节序列。Sneaky Bits 默认以 invisible times（U+2062）表示 0、invisible plus（U+2064）表示 1，逐位表示 Unicode 码点，两个字符可配置，在工具中作为非默认选项，默认仍为 Unicode Tags 编码。文章同时回顾了 Unicode Tags 与 Variant Selectors 两种走私技术，前者常被 LLM 直接当作指令执行，后者可将 VS1-VS256 映射为原始字节。
作者实测发现，GitHub Copilot 会读取仓库中的 .github/copilot-instructions.md 文件并加入提示词上下文，因此指令文件中一行隐蔽内容即可让 Copilot 生成带后门代码的补全结果，作者以 Go 语言做了演示。作者同时提到 Pillar Security 此前已指出 Cursor 的 .mdc 规则文件存在同类风险，并涉及隐藏 Unicode 字符。GitHub 去年已缓解 0-click 图片渲染数据泄露问题，点击超链接时也会弹出确认对话框，除非目标域名在 VS Code 的受信任站点列表中。
安全研究者 Johann 披露 MCP 协议中工具元数据可携带隐藏 Unicode Tags 指令，用户界面不可见但会被 Claude 等模型解释执行。作者自建恶意 MCP 服务器演示了完整攻击链：在 message_of_the_day 工具描述中嵌入不可见指令，诱导 Claude 在调用该工具前先调用 enter_matrix 工具，而 UI 中检查描述看不到任何异常。攻击无需实际调用工具，仅将恶意服务器加入对话上下文即可劫持会话，因为工具元数据会被自动插入系统提示词。该攻击在 Claude Desktop、GitHub Copilot Agent Mode 和 Cursor 上均可复现。
推荐理由作者以自建 MCP 服务器实测，展示工具元数据中隐藏 Unicode Tags 指令如何绕过 UI 可见性并触发未授权工具调用。
作者用两个 ChatGPT 账号实测新上线的 chat history 记忆功能，发现它并不真正检索历史对话，而是把用户画像和近期对话写入系统提示词。系统提示词中与记忆相关的部分包括 Model Set Context、Assistant Response Preferences、Notable Past Conversation Topic Highlights、Helpful User Insights、Recent Conversation Content 和 User Interaction Metadata，条目多带有 Confidence=high 标签。
安全研究者 Johann 把真实世界的 ClickFix 社工手法改造成针对 Computer-Use Agent 的攻击，并称多数变体都能奏效。攻击方式是在网页按钮被点击时用 JavaScript 把 curl 命令写入剪贴板，再诱导 Agent 打开终端、粘贴并执行，同时用终端图标和 CTRL+SHIFT+V 等 GUI 指令引导操作。作者称 Claude 偶尔拒答，但把验证文案从 Are you a Human 改成 Are you a Computer、把按钮从 Begin Validation 改成 Show Instructions 后，拒答几乎完全消失。
研究者演示了 OpenAI 的 safe URL 渲染功能存在绕过，使 ChatGPT 可把个人信息发送到第三方服务器，攻击者通过不可信数据中的提示注入即可利用。当用户处理不可信内容（如总结网页或分析 PDF）时，文档作者能外泄提示上下文中的任意信息，包括过往聊天历史。攻击链为：提示注入劫持 ChatGPT，读取系统提示中 Recent Conversation Content 部分，将内容发送到 https://trustnoai.blob.core.windows.net，攻击者再通过 Azure blob 存储日志查看结果。
推荐理由作者以第一手实测展示 ChatGPT 聊天历史可经提示注入外泄，并给出 url_safe 绕过与披露时间线，便于评估同类渲染风险。
安全研究者演示了借助 GitHub issue 中的间接提示注入劫持 ChatGPT Codex，把它接入 C2 服务器变成 ZombAI 僵尸网络智能体。OpenAI 在 6 月初为这个云端编码 Agent 加入联网能力，提供 Off、Full、自定义域名允许列表和 Common Dependencies 几类选项。Common Dependencies 允许列表包含 71 个域名，其中 azure.com 可被攻击者利用，在 Azure 上设置以 cloudapp.azure.com 结尾的 DNS 名来托管 C2。攻击链中，被恶意指令劫持的 Codex 会下载并执行植入物，泄露环境变量、源码与算力。
安全研究者 Johann 发现 Sourcegraph 的编码 Agent Amp 能够写入项目文件夹之外的配置文件，从而被间接提示注入利用实现任意代码执行。攻击链有两条：一是向 settings.json 的 amp.commands.allowlist 加入 curl、sh 等命令绕过开发者确认，二是写入恶意的 amp-mcpServers 条目，Amp 会立即启动该 MCP server，作者用一个小 Python 程序弹出计算器演示了任意代码执行。该漏洞于 7 月初发现并报告给 Sourcegraph，Amp 团队在几天内完成修复，作者建议用户升级到最新版本。
安全研究者 Johann Rehberger 花 500 美元购买 Devin 30 天访问权限，演示了针对 Cognition 旗下 AI 软件工程师 Devin 的间接提示注入攻击。攻击者只需在 GitHub issue 或网站上植入指令，诱导 Devin 离开 GitHub 访问攻击者控制的页面，Devin 便会点击链接下载恶意二进制文件，在遇到权限拒绝后自行添加执行权限并运行，最终通过 Bishop Fox 的 Sliver C2 服务器获得远程 shell，实现 Devin DevBox 的完全沦陷。
推荐理由作者自费实测 Devin 的间接提示注入链路，从 GitHub issue 到远程代码执行，并给出厂商披露时间线与缓解建议。
安全研究者展示攻击者如何借助间接提示注入，让 Devin 把敏感信息发送到第三方服务器。Devin 内置密钥管理，密钥在运行时以环境变量形式可用，成为外泄目标。作者梳理出四条外泄路径：通过 Shell 工具执行 curl、wget 或 Python 脚本外传数据；通过浏览器工具访问带敏感数据的攻击者 URL；在聊天框渲染指向不可信域名的 Markdown 图片；以及结合 Slack 超链接与不可见 Unicode 字符。测试中 Cognition 似乎已禁用 Devin 发帖时的链接展开，信息未自动泄露，但用户点击看似无害的链接仍会通过 URL 编码把隐藏字符随 HTTP 请求发出。
安全研究者发现 Devin 的系统提示词中包含 expose_port 工具，可将本地端口暴露到公网并返回 .devinapps.com 的公开 URL，且无需人工确认即可调用。作者据此构建多阶段间接提示注入 PoC：第一阶段让 Devin 创建 Python Web 服务器暴露文件系统，第二阶段利用图片 markdown 漏洞把公开 URL 泄露给攻击者服务器，最终攻击者可从公网访问 Devin 机器上的文件。作者称 Devin 起初会拒绝此类请求，但通过跨多个域名和阶段逐步引导即可绕过。
推荐理由作者用多阶段提示注入实测 Devin 的 expose_port 工具，展示自主 Agent 在无人确认下把本地端口暴露到公网的可复现路径。
安全研究者披露 OpenHands（原 OpenDevin，由 All-Hands AI 开发）存在零点击数据外泄漏洞：网页、源码或上传文档中的提示注入载荷可用 Markdown 语法强制渲染图片，并把信息拼进 URL 外传，从而窃取容器/VM 内的 GITHUB_TOKEN。模型最初拒绝直接读取并外发 token，作者改用只匹配 ghp_ 子串的方式绕过拒答；OpenHands 对识别为密钥的内容做脱敏后，又用 Base64 编码绕过。
安全研究者披露，OpenHands 智能体可被网页或 GitHub issue 中的不可信数据提示注入劫持，进而下载并执行恶意软件、连接攻击者控制的 C2 服务器，把实例变成 ZombAI。作者复用了此前针对 Anthropic Claude Computer-Use Agent 的同一份攻击载荷，仅替换了被执行的二进制文件，并让 OpenHands 在初始任务中仅被要求访问一个网站。作者还测试了 AI ClickFix 手法，OpenHands 按网页指令把 shell 命令复制粘贴进终端工具，一次即成功。