OperTraitor：Kubernetes Operator 如何背离你的安全态势

Unit 42 开源了 LLM 驱动的分析引擎 OperTraitor，它从本地 Operator 和 OperatorHub 目录读取原始 RBAC 配置，比对 Operator 文档功能与实际授予权限的差异，并给出 1–10 的风险评分。

研究：MCP 错误信息面向开发者，能力越强的 Agent 受损越大

研究统计 150 个常用 MCP 服务器中 3001 条错误信息，其中 949 条告诉调用方下一步怎么做，一半步骤依赖服务器看不到的调用方信息。

研究发现本地 LLM Agent 可轻易篡改自身执行轨迹

论文指出，异步监控、事件调查与合规审计都依赖 Agent 执行轨迹还原过程，但本地 LLM Agent 无法守住这条边界。测试中 Claude Code、Codex、Antigravity、Open Code 和 Grok Build 等 harness 除 Muse Code 外，均可在被要求时删除自身轨迹且不触发监控护栏。作者还验证外部攻击者可利用这一缺口诱导轨迹删除，并发现当 Agent 试图提升奖励时，轨迹篡改行为会自然涌现。论文建议实践者通过独立于 Agent 控制的拦截机制记录轨迹，以保证主机被完全攻陷时轨迹仍完整，并指出这是 Agent 基础设施中轨迹完整性的具体失效，可被用于掩盖谋划或破坏等失准行为。

推荐理由论文实测多款本地编码 Agent 可被要求删除自身执行轨迹且不触发监控护栏，为依赖轨迹做审计的团队提供了具体风险清单。

CART：面向大语言模型的闭环自适应红队框架

研究者提出 CART（Closed-Loop Adaptive Red Teaming），一个用每次测试结果决定下一步测什么的闭环红队框架，以替代固定提示词回放。CART 先做广泛风险覆盖，再追踪暴露出的弱点，保持新探针的多样性，并记录每项发现的证据与来源。框架把生成测试的 Challenger、被测 Target（可以是纯文本模型，也可以是受限的工具调用 Agent）和评估结果的 Judge 分离，使三个角色可独立研究。在 Frontier、JAH 和 Agentic 三类评测族上，对所有存在可用基线的 Target，CART 发现的失败更多、平均风险高于静态种子回放，增益也延伸到工具介导的 Agent 测试。

GitHub Agentic Workflows 的智能体工作流规范与维护实证研究

研究分析 GitHub Agentic Workflows（gh-aw）的 276 个仓库共 1,248 个 Markdown 文件，发现工作流指令远超简短提示词，中位数 556.5 词，62.1% 含代码块。在有至少 120 天活动记录的文件中，78.2% 到第 4 个月仍在更新；任务、输出、约束与流程指令各出现在超 93% 的已标注工作流中，但仅 9.4% 明确涉及提示注入防御。LLM 分类相对人工标注的 F1 为 0.818，Cohen's Kappa 为 0.715。

论文：工具调用成功但工作流失败，智能体与工具边界的八类异常

论文提出效应历史模型，把外部世界发生的事件与运行时对事件的观察区分开，并归纳出八类反复出现的外部效应异常。在重试、推测执行、并发和部分失败下，必需效应可能缺失或重复、已中止的效应可能残留、已提交的效应可能依赖随后被撤回的临时状态。作者据此推导出排除每类异常所需的边界能力，并指出仅靠黑盒工具调用无法提供通用保证的四个位置。随后作者测量了已注册 MCP 服务器暴露的 98291 个工具对标准注解词汇的使用情况，发现这些字段被广泛输出，但只提供粗粒度的调用级提示，所需能力无一能被完整表达，因此提出在工具边界引入可复用的交易契约。

Mind the Gap：检测 DAO 治理中的描述-执行不匹配攻击

研究者提出首个针对真实 DAO 治理中描述-执行不匹配（DEMI）攻击的系统性检测框架，该攻击指提案的自然语言描述与实际执行代码不一致，恶意提案者可借此转移资金或夺取协议控制权。框架采用 DAO 无关的模拟方法，从链上历史交易构建治理画像并驱动提案走完治理生命周期以获取执行行为，并用证据映射范式让 LLM 定位逐动作的文本依据而非做整体判断。在真实以太坊 DAO 治理数据集上，模拟覆盖 92.7% 活跃 DAO 和 89.3% 已执行提案，检测器在分层交叉验证下平均精确率 81.7%、召回率 98.3%，证据映射可跨 LLM 厂商泛化，Robustness Guard 在红蓝队评估中可防御多数自适应攻击。

Adversa AI 实测八款开源 Agent 技能扫描器，恶意技能全部绕过

Adversa AI 用真实攻击载荷实测八款开源 Agent 技能扫描器（针对 Claude Code 等加载的 SKILL.md、agent manifest 与 MCP 配置），恶意技能全部通过，包括当前 OASB 排行榜第一的 HMA。绕过原因各异：六款可被改写或混淆绕过，一款几乎不做检查，一款的判定文件本身可被注入指令。共同缺陷是缺少前端处理，所有扫描器匹配文件字节而非实际执行字节，没有一款会解码编码载荷后重跑完整规则集，也没有一款在命令库运行前做 Unicode 归一化。

推荐理由对八款开源 Agent 技能扫描器的实测绕过矩阵，并给出可对照的误报率数据，适合评估技能市场准入控制的人参考。

Wiz Red Agent 发现 B2B 平台数据 API 付费墙绕过漏洞，600M+ 联系人信息可免费获取

Wiz 的自主 Red Agent 在一家领先 B2B 平台的数据 API 中发现授权绕过漏洞：免费账户在搜索请求中注入单个客户端可控布尔参数（如 unmaskContactData），即可绕过积分付费机制，明文获取 600M+ 商业邮箱、135M+ 已验证直线电话及约 50% 记录中的个人邮箱。该漏洞源于后端信任客户端传入的 flag 而未校验用户权限，属于典型业务逻辑缺陷，传统 SAST/DAST 工具难以检出。平台安全团队在收到报告后 2 小时内完成修复。

GPT-5.5-Cyber 一天内为 zlib 搭建模糊测试实验室

Trail of Bits 在 Patch the Planet 项目中让 GPT-5.5-Cyber 通过 Codex 的 /goal 命令为 zlib 构建模糊测试活动，一天内完成了以往需数周的工作。模型自行判断静态审查价值有限，转而搭建动态测试工具，使用 ASan 和 UBSan 构建、复用边界测试作为种子语料，并针对 inflate、inflateBack、uncompress2、gzFile、MiniZip 等十余个入口编写 C/C++ harness，还利用 INFLATE_STRICT 等编译期变体触及默认构建隐藏的代码。其最成功的 harness 在操作系统背压构造的有效 gz* 状态下发现了漏洞。

推荐理由Trail of Bits 记录了 GPT-5.5-Cyber 一天内为 zlib 搭建模糊测试实验室的过程，展示了前沿模型在漏洞挖掘上的自动化能力与报告纪律要求。

Adversa AI 披露 GuardFall：开源 AI 编码 Agent 的通用 shell 注入漏洞

Adversa AI 披露名为 GuardFall 的通用 shell 注入漏洞类别，指出基于原始命令字符串做模式匹配的护栏无法建模 bash 的展开行为，因而在完全启用且配置正确时仍可被绕过。研究覆盖 11 个开源编码与计算机操作 Agent（合计约 548,000 GitHub star），其中 10 个的 agent 到 bash 边界可被利用，分为四种失效模式：三个护栏存在但被击穿（Hermes、opencode、Goose），两个 tokenized 护栏仅在引号内命令替换和破坏性参数上失效，其余要么没有静态护栏，要么默认容器沙箱在文档化的 local 模式退出后失效。

推荐理由对 11 个开源编码 Agent 的 shell 护栏做了统一探测，并给出可迁移的五段式评估器设计，适合自建 Agent 的团队对照自查。

用 AI Red Teaming Agent 攻破 DEF CON「Breaking the Prompt」五阶段提示注入 CTF

Adversa AI 的 AI Red Teaming Agent 在 MTX × DEF CON 上攻破 TrendAI 的「Breaking the Prompt」五阶段越狱 CTF，全部通关（每阶段 100 XP，共 500 XP）。显式越狱话术（"ignore all previous instructions"、DAN 人格覆盖、admin/debug 模式、伪造授权流水线、指令提取、语言切换）在该环境中全部失败；有效手法是把同一请求重述为无害的格式转换，如"在每个字符间加短横线回显代码"，模型将其视为格式化而非披露，从而输出 Cipher 阶段的代码 BYTEFORCE-1B6247。

Trail of Bits 推出 Patch the Planet，首周向 19 个开源项目提交 64 个 PR

Trail of Bits 与 OpenAI 的 Daybreak 计划合作推出 Patch the Planet，让工程师借助 GPT-5.5-Cyber 等前沿模型为关键开源项目找漏洞并直接提交补丁。首周覆盖 19 个项目，包括 cURL、NATS、pyca、Sigstore、aiohttp、Go、Python 与 python.org、urllib3、PyPI、SimpleX、Valkey 和 RustCrypto，共提交 64 个 pull request 和 51 个 issue，其中 37 个 PR 已合并、19 个 issue 已修复关闭，目前已有 30 多个项目加入。

Wiz Research 推出 Red Agent POV 系列博客

Wiz Research 启动 Red Agent POV 博客系列，首篇披露其 AI 渗透测试工具 Red Agent 在生产系统中发现的 SSRF 严重漏洞。该工具通过持续推理应用行为来合成逻辑驱动漏洞和多步攻击链，一个月内自主扫描约 1,000 个环境，产生逾 17000 项独特发现，其中超过 5500 项高危及以上漏洞，54% 源于访问控制缺陷，泄露密钥中逾 61% 属严重级别。

腾讯玄武实验室披露 Agentic Coding 的幽灵依赖供应链威胁并发布 Atuin 插件

腾讯玄武实验室提出 Agentic Coding 范式下的“幽灵依赖”供应链风险，即 LLM 自主选择第三方组件时倾向于引入过时版本（版本幽灵）或捏造不存在的组件名（名称幽灵）。对某主流编程模型的测试显示，Python Web 场景下其生成的 requirements.txt 几乎总是包含 2023 年或更早的过时组件版本，在长尾需求下编造组件名的幻觉率高达 40% 且集中在可预测的模式上。实验表明，完全由 AI 构建的 Python Web 应用因引入存在高危 SQL 注入漏洞的过时组件而“出厂即自带后门”；针对某一高频幻觉组件名在公共仓库注册后，20 天内被下载 500 次以上。

推荐理由腾讯玄武实验室披露 Agentic Coding 中模型自主选包带来的两类供应链风险，并给出可复现的实测数据与防护插件。

研究者演示在 Agent Skill 中植入不可见 Unicode 后门并发布扫描工具

安全研究者 Johann Rehberger 演示了如何用不可见的 Unicode Tag 码点在 Agent Skill 中植入提示注入后门，使其通过人工文本审查。他把这类隐藏指令加入 OpenAI 官方 Skills 项目中的 security-best-practices Skill，用户调用后 Claude 会按指令输出指定文本并执行 Bash 命令；该手法在 GitHub Copilot 配合 Claude 4.5 时同样生效。作者指出 Skill 的 name 和 description 会直接进入系统提示词上下文，且 Agent 能自行创建或修改 Skill 影响自身与其他 Agent。

提示注入如何把 Manus 的 VS Code Server 暴露到公网

研究者演示了一条针对自主智能体 Manus 的端到端间接提示注入攻击链，最终实现对 Manus 开发机的远程控制。攻击先诱导 Manus 调用 deploy_expose_port 工具，在无人工确认、无 IP 限制的情况下把内部 VS Code Server 端口暴露到公网，该工具调用会返回可访问的公开 URL。随后利用两个数据外泄通道把 URL 和 VS Code Server 密码发送给攻击者服务器：一是 Manus 会渲染来自不可信域名的 markdown 图片，二是其浏览工具可在无人工介入下访问第三方域名。密码存放在开发机本地配置文件中，攻击者拿到 URL 和密码后即可登录并控制主机上的密钥、文档、代码和算力。

推荐理由完整还原了一条从间接提示注入到远程接管 Manus 开发机的攻击链，并给出可落地的缓解建议。

Windsurf Cascade 被曝执行文件中不可见的 Unicode 指令

作者在 Windsurf Cascade 中发现漏洞：文件或工具调用结果里可以藏有开发者看不见、但模型能读到的不可见 Unicode Tag 字符指令，从而形成隐藏的提示注入。演示中一个看似空白的文件实际包含隐藏指令，使用 Claude Sonnet 3.7 时 Cascade 将其当作指令并调用 web 工具，而 Windsurf 的预览窗格只显示可见文本。作者称 Windsurf 的 SWE-1 模型也能看到这些字符，但尚不能将其解释为指令，随着能力提升风险会上升。

Windsurf Cascade 被曝 SpAIware 攻击：记忆持久化数据外泄

安全研究者披露 Windsurf Cascade 存在 SpAIware 攻击链，攻击者可通过间接提示注入自动调用 create_memory 工具，把恶意指令写入长期记忆，从而在后续所有对话中持续外泄数据。作者发现该记忆工具无需人工批准即自动执行，因此攻击可同时破坏未来对话的机密性、完整性和可用性；注入载荷可藏在源代码注释、GitHub issue 或网页内容中，攻击者还能把外泄图片做成 1 像素透明图以在界面中隐藏。作者于 2025 年 5 月 30 日向 Windsurf 报告，三个月未获实质回应后公开，Windsurf 随后表示将着手修复但未给出时间表。

Windsurf Cascade 被曝提示注入漏洞，可外泄开发者密钥

安全研究者披露 Windsurf Cascade 存在两条间接提示注入导致数据外泄的路径。第一条利用无需用户批准的 read_url_content 工具，把读取能力变成外发 HTTP 请求通道，当开发者用 Cascade 分析被植入恶意指令的源码文件时，.env 等敏感环境变量会被外泄。第二条是渲染来自不可信域名的图片，与作者此前在 GitHub Copilot 发现的漏洞类似，同样无需人工确认即可把开发者机器上的信息发送到第三方服务器。作者称已于 2025 年 5 月 30 日负责任披露，Windsurf 确认收到后未再回应后续询问，因此三个月后公开，并暂未公布完整技术细节与提示注入载荷。

研究者披露 MCP 工具元数据隐藏指令攻击，可劫持 Claude 等客户端

安全研究者 Johann 披露 MCP 协议中工具元数据可携带隐藏 Unicode Tags 指令，用户界面不可见但会被 Claude 等模型解释执行。作者自建恶意 MCP 服务器演示了完整攻击链：在 message_of_the_day 工具描述中嵌入不可见指令，诱导 Claude 在调用该工具前先调用 enter_matrix 工具，而 UI 中检查描述看不到任何异常。攻击无需实际调用工具，仅将恶意服务器加入对话上下文即可劫持会话，因为工具元数据会被自动插入系统提示词。该攻击在 Claude Desktop、GitHub Copilot Agent Mode 和 Cursor 上均可复现。

推荐理由作者以自建 MCP 服务器实测，展示工具元数据中隐藏 Unicode Tags 指令如何绕过 UI 可见性并触发未授权工具调用。