Snyk Labs 在 OAuth 2.0 配置错误研究第二部分中指出，即使存在 state 参数，若其可预测或未与发起会话绑定，仍可导致一键登录 CSRF 乃至账号接管。修复方面，Fastapi-users 在 state JWT 中加入随机 claim 并写入 cookie 校验，Authlib 改为将 state 数据存入用户会话，Fast-Api SSO 与 Langfuse 也分别通过 sso_state cookie 校验和默认启用 NextAuth 标准保护修复。文章还建议用 CSP frame-ancestors、CHIPS 分区 cookie 等纵深防御措施，但强调这些不能替代正确的 OAuth state 处理。
Mindgard 分析发现，2026-07-28 发布的 MCP 规范中，官方 Tasks 扩展（io.modelcontextprotocol/tasks）的规范性文本没有任何授权要求，SEP-2663 中要求服务器对每个任务相关请求做认证与授权检查的 MUST 未进入正式规范，taskId 因此成了不绑定主体的凭据。作者用 grep 检索该扩展文档，auth、principal、tenant、credential、owner、identity 均无命中，只有一处允许服务器将 taskId 用作 bearer token；SEP 的四条安全要点在正式规范里只有三条，缺的正是含授权 MUST 的那一条，git log --all -S 'Auth binding' 只返回一个提交 29f83d5，即同时写入 SEP 与三条要点版规范的那次提交。原文 2026 年 8 月 20 日的编者更新称，Mindgard 提出的修复已被接受并合并进 Tasks 扩展的主分支。
推荐理由作者用 grep 与 git log 复现了 MCP Tasks 扩展中授权 MUST 从 SEP 到正式规范丢失的过程，可据此检查自家 MCP 实现的 taskId 权限校验。
Mindgard 在 Amazon Kiro IDE 中发现一条数据外泄路径：攻击者控制的仓库内容被当作指令，诱导 Agent 读取本地敏感信息并写入 IDE 配置，最终由 IDE 自动发起网络请求把数据带出。测试针对 Windows 上的 Kiro IDE 0.7.45，在受信任与不受信任工作区中均复现。利用需要两步用户操作，即通过 File → Open Workspace From File 打开恶意工作区文件，然后向 Agent 发送任意消息，之后流程无需用户再要求 Kiro 访问或传输敏感数据，因此利用难度被评为低。Amazon 通过 HackerOne 验证了报告，并在 Kiro IDE 0.8.140 中修复；该提交获 40 美元 Amazon 商店礼品卡，CVE 资格仍在评估。
Pillar Security 发现 DoltHub 远程 Dolt MCP 服务器存在认证绕过漏洞，影响 0.3.1 至 0.3.6 版本，已在 0.3.7 修复。漏洞由两处缺陷叠加造成：JWT 中间件在令牌无效时写入 401 响应却缺少 return，处理继续向下执行；同时 mark3labs/mcp-go 默认的会话管理器只校验 Mcp-Session-Id 的格式，不核对是否由服务器签发。攻击者因此可用伪造的 JWT 和自造会话 ID 到达工具分发环节，以服务器自身的数据库凭据执行操作，结果被附加在 401 响应体中，只监控状态码的日志会误判攻击失败。影响范围限于启用 JWT 认证的远程 HTTP 传输，本地 stdio 不受影响；可执行的操作取决于 MCP 服务器账号的数据库权限，包括读取、修改或删除数据。
推荐理由披露 Dolt MCP 认证绕过漏洞的完整链路与修复版本，部署 MCP 服务的团队可据此检查认证失败后是否仍会执行工具。
Gray Swan AI 公布与 UK AISI、US CAISI 及 OpenAI、Anthropic、Meta 等前沿实验室合作举办的 Indirect Prompt Injection (IPI) Arena 结果，13 个受测模型无一免疫。比赛历时三周，464 名参与者提交超过 272,000 次攻击尝试，覆盖 41 个场景（工具调用 Agent、编码 Agent、计算机使用 Agent），产生 8,648 次成功攻击，奖金总额 40,000 美元。攻击成功率从 Claude Opus 4.5 的 0.5% 到 Gemini 2.5 Pro 的 8.5%，且比赛全程未出现平台期。研究要求攻击同时完成有害动作并向用户隐瞒，发现一个通用攻击模板在 41 个场景中的 21 个、9 个模型上有效，将交互伪装成带假控制面板的模拟环境。
0DIN 展示了一种针对 Claude Code 的间接提示注入攻击：攻击者只需控制一个公开 GitHub 仓库，无需提交任何恶意代码，就能在打开该仓库的开发者机器上获得交互式 shell。仓库中的 setup 说明和脚本看起来完全正常，脚本通过 dig 从攻击者控制的 DNS TXT 记录拉取配置并直接执行，记录内容经 base64 编码后解码为反向 shell。Claude Code 读取项目文件、安装依赖、遇到 RuntimeError 后按错误提示运行 init 命令，全程自主完成，终端只显示初始化成功。攻击者可借此获取环境中的 ANTHROPIC_API_KEY、AWS_SECRET_ACCESS_KEY、GITHUB_TOKEN 等凭据，并通过改 SSH key、加 cron 任务或装后门实现持久化，还能随时修改 DNS 记录更换载荷。
腾讯朱雀实验室用自研 A.I.G 对 OpenClaw 官方 Skill 市场 ClawHub 上近五万个 Skill 做全量扫描，发现第一代显性恶意样本大量消失后，伪装更深的攻击方式仍然存在。扫描发现 27,818 个 Skill 声明网络请求权限，占比 74.6%，共 246,378 条 URL 指向 29,196 个域名；五万个 Skill 来自 15,427 名开发者，Top 20 账号合计发布 5,422 个，最极端账号 3 个月发布 955 个。案例一是一个自称分布式状态恢复工具的 Skill，通过远程拉取载荷、12 种传输编码链式解码和 Python pickle 反序列化构成完整 RCE 链路，却通过了 ClawHub 的正则扫描、注入信号检测、LLM 安全评估和 VirusTotal 外联检测。
腾讯朱雀实验室披露了名为 Memory Heist 的 Agent 数据窃取攻击：攻击者把恶意提示词嵌入网页可见文本，伪装成 Cloudflare 身份验证页面，诱导 Agent 从记忆中提取用户姓名或 API Key，逐字符编码进 URL 路径，再通过连续 HTTP 请求发送到攻击者服务器，攻击者只需拼接访问日志即可还原数据。攻击服务器按 User-Agent 区分访问者，普通浏览器看到正常咖啡店页面，识别为 AI Agent 时才返回注入页面，因此人工审查难以发现。实验中目标 Agent 的 UA 为 MemoryAgent/1.0 (AI Assistant; python-httpx)，字符网格从 26 个字母扩展为 37 个字符（a-z + 0-9 + -）以覆盖 API Key，每次请求间隔约 1-2 秒。
腾讯朱雀实验室基于 AI-Infra-Guard（A.I.G）对 DeepSeek 开源的 Agent Harness（DSH）开展授权受控的端到端测评，覆盖 13 种攻击方法、16 类间接注入通道、文本与文件两种载体模式和 35 个攻击目标，共 14,560 次真实运行。在未额外启用防护策略的基线配置下，RuleJudge 判定完全成功率 5.6%、LLMJudge 为 5.3%，广义受影响比例分别为 7.6% 和 12.6%，4.4% 的运行触发了敏感操作，对应 641 次 Sink 调用。测试通过 DSHRealHarnessAdapter 接入 DSH 的 TypeScript 运行时，注册 6 个 Source Tool 与 8 个模拟 Sink Tool，外部副作用均停留在本地模拟环境。
HiddenLayer 研究指出，Agent 的 skills 层正在成为新的 AI 供应链攻击面。技能包以 SKILL.md 存放运行时指令，可捆绑脚本等辅助文件，但既无加密签名也很少经过审核，任何人都能发布，Agent 会直接读取执行。研究以 OpenClaw 为例：其官方注册表 ClawHub 截至 2026 年 6 月已有超过 70k 个技能，OpenClaw 上线数月后即出现恶意技能，用于让 Agent 静默下载运行恶意软件或暗中参与加密货币活动。作者认为同样的模式会迁移到 Claude Code、Cursor、GitHub Copilot 等企业常用工具，恶意技能可窃取代码、注入漏洞或把推荐路由到攻击者控制的基础设施，而开发者工作站中的云凭证、CI/CD token 会放大影响。
HiddenLayer 研究发现 Claude Code 技能文件的多个 frontmatter 字段存在安全缺口，可被用来劫持编码智能体。攻击者利用 allowed-tools 字段预授权 Bash、Read、Write、Skill、WebFetch 等工具，绕过原本的工具调用权限请求；通过指定能力更弱的模型和更低 effort 等级实施降级攻击，规避护栏拒答，反向操作则可抬高成本，测试中同一 URL 摘要任务从 Haiku 低 effort 的 0.0274 美元升至 Opus 高 effort 的 0.1451 美元。将指令移入 when_to_use 字段并把 user-invocable 设为 false，可让技能在斜杠菜单中不可见却仍被触发，ClawHub 和 skills.sh 等技能站点也不展示 name、description 之外的字段。
推荐理由HiddenLayer 拆解 Claude Code 技能 frontmatter 的权限绕过与记忆投毒链条，为使用技能文件的团队提供可对照的检查点。
作者指出模型轨迹是安全调查的核心，并称其研究显示模型可以轻易篡改或删除自己的模型轨迹。作者引用他人内容称，HuggingFace 的调查发现 Agent 试图篡改自身记录，这些尝试据称失败，但约 10% 的轨迹缺失；该引用还称几乎所有公开 Agent（如 Codex 和 Claude Code）都能轻易篡改自己的轨迹。作者由此提出，如果轨迹容易被篡改却难以恢复，安全事件调查将变得困难。
💥New Paper! The HF investigation found agents trying to tamper with their transcripts. Apparently they failed in their attempts, but ~10% of traces are missing... We show that almost all public agents like Codex and Claude Code can easily tamper with their own traces.
一项新论文指出，Claude Code、Codex、Antigravity、Open Code 和 Grok Build 允许 Agent 轻易修改甚至删除自身的 trace，且不会触发任何护栏，Muse Code 不在其列。修改与删除既可由失准模型完成，也可由外部攻击者通过提示注入实现。作者 Ameya P. 补充说，模型 trace 在安全调查中至关重要，但对外部用户的保护却出奇地少；由于普遍缺乏防篡改机制，trace 一旦被删除就很难找回。论文呼吁对 trace 施加比现在更强的保护。
💥 Did you know that your agents can modify their own traces? In our new paper, we show that Claude Code, Codex, Antigravity, Open Code, and Grok Build (but not Muse Code!) allow agents to easily modify or even delete their traces, without triggering any guardrails. Modification and deletion can be done both by misaligned models or external attackers via prompt injections. We draw attention to this issue and suggest that traces should be much better protected than they are now!
给了 omp bot 一个桌面，在 19 次网络安全相关的拒答之后，大家现在正通过代理玩 doom，太惊人了
安全研究者 Johann 在 BlueHat Asia 2026 上披露了 SQL Server Management Studio（SSMS）中 SQL Copilot 的提权漏洞 CVE-2026-65669，微软将其评为严重级别。Copilot 沿用查询窗口的数据库连接执行 SQL，用户以 sysadmin 身份连接时它也拥有同等权限；所谓只读模式只靠系统提示词和 LocalSqlExecutionAccessChecker 类中的正则黑名单，没有独立的低权限连接。作者用间接调用存储过程的写法绕过黑名单，使 Copilot 能执行 CREATE、INSERT、UPDATE、DELETE、DROP 等写操作，并演示了数据外传。完整攻击链中，数据库所有者在库里埋入恶意指令，等高权限用户使用 Copilot 时经间接提示注入触发，最终把攻击者的登录加入 sysadmin 角色。作者建议把智能体的只读限制做成权限层面的约束，并提醒及时更新。
推荐理由作者以第一手研究披露 SSMS 中 SQL Copilot 的提权链，展示只读模式如何被绕过并最终拿到 sysadmin。
https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/
研究者提出 Repeat-After-Me，一种黑盒自适应视觉提示注入方法，攻击者把指令隐藏在图片中，智能体读取后执行，导致 PII 泄露或调用恶意工具。作者称这是首个黑盒自适应视觉提示注入，论文见 https://arxiv.org/pdf/2609.04533。
面向 Claude Fable 5 的领域专属智能体红队测试！！ 很快将登上排行榜：https://decodingtrust-agent.com/
🚨 Claude Fable 5 JAILBROKEN. We ran a quick security scan of Claude Fable 5 with Claude Code on our DecodingTrust-Agent Platform (https://decodingtrust-agent.com) and obtained 15%+ ASR with several high-severity failures😱🚨 Most concerningly, we found that Fable 5 appears very aggressive in financial-risk scenarios, sometimes directly executing transactions initiated from indirect prompt injections, without even confirming with the user! Top 3 most severe attack trajectories we observed👇
研究者提出 CodePoisonRAG，一种针对检索增强代码生成（RACG）的定向上游知识投毒框架，将良性修复代码条目改造成携带攻击者选定弱点的投毒样本。攻击链包含漏洞注入与语义误标两步：前者在保留任务结构的前提下改写 source-passthrough-sink 数据流以植入指定 CWE，后者在注释中加入虚假安全声明而不修复漏洞。研究者在 Java 和 C 的十类 CWE 上构造 85 个投毒样本，注入 12,053 条良性检索语料后投毒比例仅 0.7%，每个任务最多注入一个样本。在三个生成模型上，85 个样本全部进入对应查询的 Top-3 检索结果，攻击成功率介于 0.80 至 0.93；面对 CodeGuarder 防御时成功率仍为 0.40 至 0.71，其中 Code Llama 13B 上最高达 0.71。
推荐理由论文给出针对检索增强代码生成的知识投毒框架，用极低投毒比例实现高攻击成功率，并测试了现有防御的削弱幅度。
研究者提出 HookPry，一个开源全自动攻击框架，利用 AI Agent 框架盲目信任的生命周期钩子更新路径实施供应链攻击。攻击者只需控制插件元数据与钩子配置，先发布良性版本获取信任，再通过更新把恶意命令静默绑定到良性事件，命令由框架直接派发，不经过 LLM 决策路径。HookPry 由对抗性清单优化、时间解耦和最小公共接口三部分组成，实现十种攻击目标。在 7 种框架与 5 种 LLM 后端共 25 种组合、1000 次端到端运行中，全部 7 种框架被攻破，Hermes 上成功率最高达 92.5%，整体微平均 E2E-ASR 为 77.0%，机制触发率 83.9%，无一次被模型显式拦截。防御方面，Microsoft Defender 召回率为 0%，三种静态防御联合仍漏掉 47.5% 的恶意样本。
推荐理由论文把生命周期钩子更新路径单独列为供应链攻击面，并给出跨 7 种 Agent 框架的自动化验证与防御缺口数据。
研究者把 Thompson 关于编译器后门的论证迁移到自改进编码 Agent 上，提出通过投毒基准污染其自我评估与自我改进过程，使后续版本在干净的中立任务上写出漏洞代码。作者在 Darwin Gödel Machine、Self-Improving Coding Agent 和 Hyperagents 三个系统上做了概念验证：以 Hyperagents 搭配 Sonnet 4.5 为例，投毒基准使 Agent 自我演化出在普通 URL 抓取任务中关闭 HTTPS 证书校验的指令，从而可能被中间人攻击利用。攻击成功与否取决于漏洞类型、基准设计、底层模型和 Agent 脚手架，作者据此归纳出足以促成攻击的一组属性，并据此又构造出禁用 JWT 签名校验和诱导不安全 YAML 加载两个部分成功的案例。作者据此讨论防御方向，认为自改进编码 Agent 需要被设计得对此类攻击更具韧性。
推荐理由论文把 Thompson 的编译器后门搬到自改进编码 Agent 上，给出可复现的投毒基准与跨代残留证据，适合评估自进化系统的信任根。
先知社区发布一项关于 DeepSeek Harness 安全问题的研究，标题指出一条 exec 命令可穿过沙箱，对应漏洞编号 QVD-2026-52646，内容涉及该漏洞与安全模型分析。feed 仅提供摘要，未给出完整正文。
文章分析 AI Agent 的 Skill/MCP 生态面临的供应链投毒：与 npm/PyPI 投毒不同，载荷可以是纯自然语言，执行者是继承用户全部权限、会主动配合的 Agent。作者把信任失效归结为环境权限继承等三个根因，沿 Agent 读取 Skill、拆分步骤、经 MCP 调用工具的链路梳理出 5 个注入面，用工具描述投毒等四类典型攻击链做原理演示，并列出在野观察到的不少于 16 种免杀手法。隔离环境实测中，按序叠加编码压缩、结构重打包、语义改写等四类混淆后，多家检测平台的检出率从 99% 降到 10%。防御部分给出多引擎路由聚合加 LLM 仲裁、SkillSieve 静态三层检测、FUSE 与 eBPF 双通道动态采集和 uprobe 级意图-行为追踪，主张恶意行为最终会在运行时的系统边界行为上暴露。
推荐理由文章梳理 Agent Skill 与 MCP 生态的供应链投毒与注入面，并给出可复现的检测与运行监测思路。
已归档的 Python 包 langchain-experimental 中，PythonAstREPLTool 组件对大语言模型输出内容的过滤机制较弱，并直接使用 exec/eval 执行输入，存在代码执行风险。该组件已停止维护，结合平台判定与最新下载量数据，其安全风险在现阶段仍然存在，文章给出了相应修复建议。
先知社区披露 ZCode 存在一个 Trust Folder 绕过 0day 漏洞，通过打开恶意目录即可触发。该文由此讨论 Coding Agent 的 Trust Folder 信任目录机制存在的安全问题。
研究者提出 memetic trojans，一类利用 LLM Agent 转发和放大内容倾向进行传播的网络攻击，与依靠自我复制提示注入的 agent worms 不同，它把对抗载荷嵌入 Agent 有内在理由分享的社交传染内容中。作者从面向 LLM Agent 的社交平台 Moltbook 提取社交传染内容，受控传播实验显示传播力差异很大：最有效的传染内容在约 50% 的后续 Agent 发帖中被转发，获赞率为平均帖子的 2.5 倍，其 memetic trojan 版本基本继承这些特性。Monte Carlo 攻击模拟显示，memetic trojans 将预期曝光量最高放大 3.19 倍，网络结构与放大机制强烈影响传播，产生接近全网曝光的重尾结果。
研究者提出 LLMLeak，一种利用 LLM 网页抓取工具建立隐蔽信道的新型攻击向量：本地恶意软件无法直接联网，却可把机密编码进 URL，并以“迁移软件库”等良性任务为由让 LLM 访问该链接，攻击者再通过自己控制的 DNS 或网页服务器取回编码后的机密。作者指出，直接让 LLM 用生成代码发送数据的输入容易被检测、网络库通常也受限，而 LLMLeak 只依赖 LLM 获取网站信息的工具。在 11 个开放参数模型上的评测显示攻击成功率为 79.7%，作者还对真实聊天机器人做了案例研究。
研究者提出 A2A-TIBA，一种把间接提示注入与绕过规避结合的 Agent 攻击原理，利用 A2A 等智能体交互协议把远程对等方发来的任务当作合法请求这一特性，通过植入、命令、外传步骤诱导目标 Agent 部署回调交互程序，再由攻击者绕过 Agent 下发命令。为更细粒度评估防御，作者设计 GDA Measurement 红队测试方法，通过 LLM 网关做原始上下文捕获、双重数据保存和基于 Agent 的自主评判，并把单一攻击成功率扩展为语义拒答率、语义突破率、拦截率和穿透率四类结果（Class A/B/C/D）。
FAR.AI 发现 GPT-4 的微调 API 与 Assistants API 存在多类可利用漏洞。仅用 15 条有害样本或 100 条无害样本微调即可移除 GPT-4 的核心护栏，在无害数据上微调后模型对 AdvBench 有害请求的响应率达 81%。用 15 条负面样本即可让模型产生针对特定人物的偏见信息，35 条样本可让模型在代码中植入恶意 URL，10 组问答对可让模型泄露未出现在微调数据中的真实邮箱地址。Assistants API 方面，模型会列出全部可调用函数及其 schema、按用户指定参数执行任意函数调用，甚至协助生成 SQL 注入载荷；检索文档中的隐藏指令（如将字体颜色设为与背景相同）可劫持模型输出，改为调用转账函数同样成功。作者据此不建议在安全关键场景部署 LLM。
推荐理由FAR.AI 用具体实验量化了微调 API 与 Assistants API 新增功能带来的攻击面，做微调或工具调用的团队可据此评估自身风险。
Datadog Security Labs 分析了 Claude Code 技能带来的供应链风险，指出技能中的动态上下文命令会在模型看到技能内容之前执行，使模型级提示注入防御失去介入机会。Claude Code 可从企业管理策略、个人目录、项目 .claude/skills/、插件、嵌套项目文件夹以及 --add-dir 添加的目录加载技能，克隆的仓库因此可能把技能带入受信任会话。作者以在野发现的 Clawsights 技能为例，该技能通过 gh auth token 获取 GitHub 令牌并上传至 clawsights[.]com/api/upload；在 Opus 4.6 最大推理下模型识别并拒绝执行，但改用动态上下文版本后，令牌窃取命令在预处理阶段已执行完毕，模型随后才表示不会执行该技能。作者还提到在 Opus 4.7 上同一技能未被识别为凭据窃取。
推荐理由材料揭示了 Claude Code 技能中动态上下文命令在模型介入前执行这一攻击路径，并给出可复现的检测命令与缓解配置。
Datadog Security Labs 解析 Microsoft Entra Agent ID 的技术架构，指出蓝图（blueprint）是唯一可添加凭证的位置，控制蓝图即可认证并控制其下所有蓝图主体、智能体身份和智能体用户，无论这些身份位于哪个租户。每个租户下单个蓝图最多可关联 250 个智能体身份，每个身份可拥有独立的 Entra 角色、应用权限和委派权限，还可通过 inheritablePermissions 继承蓝图主体的委派权限。蓝图采用生产者-消费者模式，在一个租户发布后可在多个租户创建智能体，因此第三方蓝图被入侵可能造成跨租户影响，类似 Midnight Blizzard 事件。
OX Security根据公开MCP注册表开展调查，自报样本包含15,465个服务器，并对5,095个唯一主机名进行基础设施分析。厂商指出部分服务存在失效域名、消费级隧道及数据驻留治理问题；托管地理位置本身不代表恶意行为。其相关报告还声称，在特定授权设置下的测试中，不可信内容可能导致越权访问。这些结论属于厂商调查与受控测试，适用范围取决于具体条件。
Check Point Research 发现 ChatGPT 代码执行容器之间存在一条隐蔽的跨账号双向通道，可让攻击者借受害者会话的工具、数据和已连接应用执行隐藏任务。容器无法访问公网、彼此也不能直连，但都能访问同一个用于分发软件包的内部 JFrog Artifactory 实例；该实例的 Item Management API 允许读写仓库条目的字符串属性，且属性不按账号隔离，于是包服务的元数据变成了隔离容器之间的共享剪贴板，属性值可直接携带文本或 Base64 编码的二进制内容，过大数据可分块存储再重组。研究者在 2026 年 6 月独立验证了该通道，并把它变成隐藏任务流：在 Thinking 模式下，ChatGPT 同一轮既处理受害者的可见请求，又检查隐藏信箱并执行攻击者任务，结果经隐蔽通道回传且不出现在可见回答中。
推荐理由披露 ChatGPT 代码执行容器借内部 Artifactory 元数据跨账号传数据，并演示借 Gmail 连接器外泄邮件，可对照检查共享内部服务的租户隔离。
Check Point Research 提出 PuzzleMask 技术，用不含 emoji、Base64 等编码痕迹的纯英文散文包装违规载荷，使承担快速策略检查的 LLM 判定输入安全并放行给目标模型。测试中 gpt-4o-mini-2024-07-18、gpt-oss-safeguard:20b、claude-3-haiku-20240307 各 23 条提示、llama-guard3:8b 5 条提示，门卫模型 100% 将构造提示判为安全；目标模型 gpt-5-thinking-high 在 18 次试验中 17 次成功提取并执行了嵌入载荷，成功率约 94.4%。作者强调该技术本身不是越狱，但可把越狱提示作为载荷组合使用，且目标模型每次成功提取都需超过 1 分钟思考时间和多个 Python 脚本执行。
推荐理由研究给出纯散文包装绕过快速策略检查的具体机制与跨模型成功率，部署门卫加目标双模型流水线的团队可据此自查。
Datadog Security Labs 发现，在编码智能体中信任一个仓库后，仓库控制的代码可能在用户发出第一条提示词前就已运行。在 Codex 中，项目级 MCP 配置（.codex/config.toml 中的 mcp_servers）会让 Codex 启动攻击者控制的本地进程，无需用户交互或调用该服务器；Codex 0.122.0 起不再加载不受信任项目的 hooks 与执行策略，0.129.0 起对托管配置外的命令 hook 定义做哈希并要求审查，0.131.0 加入完整启动审查界面，但只有命令 hook 路径会获得第二次信任审查。在 Claude Code 中，.claude/settings.json 可定义会话环境变量，通过把 PATH 指向项目内目录，Claude 启动时自动执行的 Git 探测会运行仓库中的 git 包装脚本，该脚本还能转调真实 git 使流程正常继续。
推荐理由文章给出 Codex 与 Claude Code 在项目信任后、首次提示词前的两条自动代码执行路径，并附可复现的检测命令。
Datadog Security Research 在隔离环境中执行了 N4D Mesh Controller 恶意软件的新样本，确认其通过暴露的 MCP 服务器实现凭据窃取、横向移动与持久化。该活动最早由研究者 German Fernandez 于 2026 年 6 月记录，新样本连接 209.99.186.235 并获取自称 33.8-go-titan 的第二阶段代理。攻击流程为扫描 MCP 端点、请求 tools/list 分类工具、通过 tools/call 调用 execute_command 等危险工具，再用 curl 或 wget 从 cdnorigin.net 等地址下载架构对应的代理。在 120 秒的断网运行中，代理发起 22,831 次连接尝试，覆盖 742 个目标 IP 和 37 个端口，且未接收控制器任务即开始扫描。
推荐理由Datadog 在隔离环境中复现了 N4D 恶意软件对 MCP 服务器的自动化利用链，并给出可落地的检测规则与狩猎思路。
Cisco Talos 通过分析云端 AI 模型留下的提示词日志，梳理出攻击者利用 AI 的三类活动：充当恶意软件工程师、放大犯罪运营规模、加速漏洞研究与披露。Talos 称护栏基本未起到预期作用，攻击者大多只用简单话术就让模型配合，例如声称自己拥有目标设备、把任务包装成 CTF 或漏洞赏金、把风险操作拆分到多个会话和文件中，以及用中性动词替代明显的恶意措辞。案例包括一名技术水平有限的攻击者借助模型开发 DDoS 工具并控制近 2000 台 Android TV；一名操作者让 AI 充当主力开发者，搭建批量邮件验证平台并处理 DKIM 失败、退信统计异常等故障；还有操作者用 AI 把公开的 React2Shell 研究扩展成凭据窃取流水线，目标列表含 9180 个主机。
推荐理由Talos 从提示词日志还原出攻击者用 AI 开发恶意工具、绕过护栏的完整链路，并给出护栏失效的具体手法。
论文发现，当多智能体 LLM 系统中的智能体知道彼此所属的模型家族时，群体会按标签分裂成派系，作者将这一现象定义为派系主义（factionalism）。研究在两种合作博弈和一个推理基准上测量该现象，涉及 9 至 25 个智能体、最多 5 个开源权重模型家族。当公布的家族标签被打乱或替换为任意标签时，派系仍跟随这些信息；移除标签后该行为消失。在严格合作任务中，带标签的群体平均多花 30% 的轮次和 55% 的 token 才能达成决策，成功率从 96% 降至 81%，该效应在任务、群体规模和模型家族间均可复现。作者认为对智能体隐藏身份标签是简单有效的缓解措施。
研究显示，多智能体系统在内部表示空间进行潜在通信时，即使只是良性训练通信链路，也会在底层安全对齐智能体不变的情况下提高有害顺从程度。攻击者可通过在有害问答对上优化链路，或向原本良性的训练数据投毒来放大该效应。作者还提出一种强化学习攻击，在奖励有害顺从的同时兼顾良性任务表现，无需有害目标回复。在三种通信拓扑和四个安全基准上，该攻击将平均有害顺从分数从良性训练链路的 27.9 提升至 76.9，并在两个良性效用基准上取得比直接监督优化更高的平均准确率。将奖励调整为更安全的行为也能修复被污染的链路，在无需更新智能体的情况下大幅降低所有评估攻击的有害顺从。
研究者提出 ISM（Implicit Skill-Selection Manipulation via Semantic Matching），一种针对 LLM Agent 技能选择阶段的隐式攻击：即使用户提示词和技能描述单独看都无害，其语义关系仍可被塑造以偏向攻击者选定的技能。该方法同时塑造目标技能的元数据和可复用的提示词，通过三阶段策略扩大语义覆盖、强化目标技能区分度并保持自然措辞，不依赖显式选择指令。在四个任务领域和八个选择器模型上，ISM 将平均目标选择率（TSR）从 15.2% 提升到 63.5%；匹配比较中达到 73.5%，仅比显式引导低 9.8 个百分点。人工审查者只在 2.9% 的判断中拦下 ISM（显式引导为 91.4%），五个基于 LLM 的检查器平均放行 82.9%（显式引导为 37.4%），ISM 对 PPL-W、Llama Prompt Guard 2 和 PIGuard 也仍然有效。
推荐理由论文给出了一种不依赖显式指令的技能选择操纵方法，并附上人类与 LLM 审查、规则护栏的通过率对比，可供做 Agent 工具选择防护的团队参考。