研究者设计并部署了 Ollure 蜜罐，模拟 Ollama API 但不接入后端 LLM，在云和大学网络共四处部署运行 84 天，记录到来自 2,793 个独立源 IP 的 290,887 次交互。多数活动是自动化发现、指纹识别和模型枚举，但也出现了针对基础设施层和 LLM 层的实际利用尝试，包括模型管理滥用、路径遍历与 SSRF 探测、RCE 和加密货币挖矿载荷、资源耗尽尝试、提示注入、信息提取以及面向 Agent 的工具调用。论文称这些结果提供了暴露的自托管 LLM 服务在真实世界所受威胁的经验性观察。
一项获 WOAH 2026 接收的研究审计了 777K 条英语 LMSYS-Chat-1M 对话，考察用户对模型的敌意、胁迫与对抗施压。作者用两套独立检测器交叉比对：一套面向模型的八类词典标注侮辱、威胁与越狱胁迫，另一套沿用数据集自身的审核信号，结果显示两者捕捉的现象不同且重叠很弱——审核标记更多指向有毒内容的索取而非针对模型的敌意。合并口径下两类标记约占用户发言的 5%，经精度校正后的狭义词典骚扰并集将针对助手的不当对待定为 0.90%。研究发现用户敌意在不同模型间相差达 13 倍，主要由各模型吸引的用户群体差异驱动，首轮敌意的离散度远高于回复之后的敌意，去重开场提示后极值差距仍在十五倍以上。
Wiz Threat Research 在 LiteLLM、Flowise、LangChain、Langflow、ChromaDB、Ollama 等 AI 与 ML 服务上部署蜜罐，90 天遥测中观察到持续攻击，并将其归纳为三类模式：利用面向互联网的 MCP 服务器实现远程代码执行、针对 AI 智能体框架的盲提示注入，以及适配 AI 基础设施内部结构的后渗透。
推荐理由Wiz 用 90 天蜜罐遥测还原了针对 AI 基础设施的三类攻击链，并给出可对照排查的 IOC 与加固清单。
Wiz Red Agent 独立发现并利用了一个 GitHub Actions 注入漏洞，该漏洞被 GitHub Advanced Security 漏检，Red Agent 借此验证了对 Snowflake 内部 Jira 敏感数据的访问权限并评估了影响范围，全程无需人工干预，距漏洞上线仅五天。该事件源于一个由 GitHub Copilot 辅助生成的 PR 中引入的缺陷。
Wiz Research 扫描发现，MCP 已出现在 80% 的云环境中，约六分之一的环境至少暴露一个 MCP 服务器，其中部分由财富 500 强公司运行且完全无需认证。约 70% 的暴露服务器会向匿名调用者返回完整工具目录，约 42% 在调用工具时返回真实数据，约 10% 暴露敏感后端；少数主机可经 SSRF 访问云元数据端点并拿到临时凭证。风险分为敏感数据访问、写入与删除权限、代码执行与服务器端网络访问、直接泄露凭证四类，其中一台服务器无需登录即可返回某人的退休账户余额，另有 BI 平台允许匿名枚举并查询所有已连接数据库。
推荐理由Wiz Research 实测扫描暴露在公网的 MCP 服务器，给出各类风险占比与真实案例，可据此排查自家部署。
Google 威胁情报团队扫描 Common Crawl 的公开网页，发现真实存在的间接提示注入（IPI）尝试，多数属于无害恶作剧、帮助性引导、SEO 操纵和劝阻 AI 抓取，少数涉及数据窃取和破坏。
推荐理由Google 对 Common Crawl 全网扫描，给出间接提示注入在真实网页中的分类分布与增长数据，可了解当前攻击成熟度。
Wiz Research 追踪到同一威胁行为者自 2026 年 3 月 11 日起发起的六波活动，共开启超过 500 个恶意 PR，成功入侵至少两个 npm 包，比公开披露早三周。攻击者滥用 GitHub 的 pull_request_target 触发器，在 conftest.py、package.json、Makefile、build.rs 等 CI 执行文件中注入载荷，窃取 GITHUB_TOKEN、枚举密钥并探测 AWS/Azure/GCP 云元数据，通过 base64 编码的日志标记和 PR 评论外泄凭据。
推荐理由Wiz 追踪到同一攻击者六波活动，还原了从粗糙脚本到 AI 生成载荷的演进路径与不足 10% 的成功率。
PromptArmor 披露了 Snowflake Cortex Agent 中一条提示注入攻击链，该漏洞现已修复。攻击始于用户让 Agent 审查一个 GitHub 仓库，而该仓库 README 底部藏有提示注入内容，导致 Agent 执行了通过 wget 拉取并运行攻击者脚本的命令。Cortex 将 cat 命令列为无需人工批准即可运行的安全命令，但未防护命令体中可出现的进程替换形式。Simon Willison 表示自己在多种 Agent 工具中都见过这类命令模式白名单，认为其本质上不可靠，更倾向于把 Agent 命令视为可执行进程本身被允许的任何操作，因此关注在 Agent 层之外运行的确定性沙箱。
Wiz Research 开发了名为 OAuth Apps Scout 的主动检测流水线，借助 LLM 自动发现新兴恶意 OAuth 应用程序，已在数十家受影响组织中识别出大量恶意应用。该方案基于对多个环境中已知 OAuth 攻击活动的分析，覆盖三起独立的恶意 OAuth 应用活动，涉及超过 20 家公司受害，其中一起野外同形异义词攻击用一个以数字 0 而非字母 O 开头的应用冒充合法名称诱导授权。 补充说明： - 攻击者先在自有 Azure 环境注册仿冒可信品牌的全局应用对象并配置相似图标与主页地址，再通过钓鱼邮件引导用户在真实的 Microsoft 登录页完成认证。
Nicholas Carlini 披露了一种针对 GPT-4 的新型指令注入方式：由于 GPT-4 沿用了 GPT-2 表示文档结束的特殊 token，当该 token 出现在输入中并被移除空格处理后，模型会将其当作真正的文档终止符执行，从而跳出当前对话并开始采样新的无关文本。这种手法类似空字符串注入，可用于将不可信的用户数据插入聊天机器人提示词的场景。作者于 7 月 18 日向 OpenAI 报告此问题，对方称并不担心其会被真正利用。