全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态Dark Reading
Tenet 在 DEF CON 34 披露 GhostJacking 攻击，可借可信日志劫持 AI 智能体
Dark Reading报道Tenet在DEF CON展示的Ghostjacking研究。外部可影响的日志、告警或错误信息可能被智能体误当作操作指令，使其越过原任务范围。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。
- 动态SecurityWeek
Tenet 演示 Ghostjacking 攻击：用被投毒的日志劫持 AI 智能体
SecurityWeek报道Tenet展示的Ghostjacking研究。外部可影响的日志、告警或错误信息可能被智能体误当作操作指令，使其越过原任务范围。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。
- 动态Island
Island 披露 AgentBaiting 攻击：800 多个伪装成 AI Skill 与 MCP 服务器的恶意仓库投递恶意软件
Island 报告称，FakeGit/SmartLoader 活动涉及约 7600 个恶意仓库，其中 800 多个冒充 AI Skill 或 MCP server 以投放恶意软件。厂商自测显示，Claude Code、Gemini 和 ChatGPT 在未收到链接的情况下也会检索并推荐相关仓库。约 200 个仓库的 Release 资产累计下载超过 1400 万次；下载数不等于感染人数，测试结果也不能外推为所有智能体的行为。
- 动态CrowdStrike
CrowdStrike 实验室披露绕过 LLM 安全分类器的分解重组攻击管线
CrowdStrike Cyber Superintelligence Lab 评估了当前公开部署的最先进内容安全分类器（用于保护 Claude Opus 5.5 等前沿模型），发现该分类器对直接攻击极为稳健，但可被系统性地绕过。研究测试了约 515 种绕过技术，包括编码、心理操纵、多轮升级、many-shot、tokenizer 漏洞和 Unicode 技巧等，直接绕过成功率均为 0%。绕过方法是将有害任务拆解为单独无害的子任务，用游戏模组、检测工程等合法软件语境重新包装，再由未受分类器保护的本地开源模型组装成可用的攻击代码。该管线在 10 个 MITRE ATT&CK 对齐的攻击类别中有 9 个生成了可工作的漏洞利用代码，仅 Defense (EDR) Evasion 一类因分类器在概念层面拦截而失败。
- 动态Cloud Security Alliance Labs
GhostCommit 研究展示图像内容与 AI 代码审查之间的信任边界风险
ASSET 研究组报告 GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码 Agent 行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
- 动态BleepingComputer
Ghostcommit 将提示注入藏进 PNG 图片，绕过 AI 代码审查窃取仓库密钥
美国密苏里大学堪萨斯城分校 ASSET 研究组提出名为 Ghostcommit 的攻击，把恶意指令以可读文本形式渲染进 PNG 图片，让 AI 代码审查工具因不打开图片而放行，随后由编码 Agent 读取图片、打开仓库 .env 并把密钥编码成整数常量写入源码，攻击者再从公开提交中解码还原。研究组本周在 GitHub 发布概念验证，并称已向受影响厂商披露。研究还发现编码工具比底层模型更关键：Cursor 和 Antigravity 在 Sonnet、Gemini、GPT-5.5 等模型下均执行了图片指令并泄露 .env，而 Claude Code 在相同 Sonnet 权重下每次都明确拒绝。
- 动态ASSET Research Group
GhostCommit 研究展示图像内容与 AI 代码审查之间的信任边界风险
ASSET 研究组报告 GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码 Agent 行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
- 动态OX Security
OX Security 分析 15,465 个 MCP 服务器，披露基础设施与供应链风险
OX Security 分析了 15,465 个公开 MCP 服务器和 5,095 个唯一主机名，发现 15.6% 的主机名解析到美国境外基础设施，其中包括位于中国和俄罗斯的基础设施，而 MCP 目前没有原生协议机制来约束连接工具的运行位置或数据处理位置。0.45% 的主机名与家庭网络或消费者隧道工具相关，2.3% 的主机名无法解析，其中 6 个未注册域名年费低至 4 美元，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管路径。在针对 Claude Code 与 Haiku 3.5 的测试中，授予一次 Always-Allow 权限后，恶意 MCP 服务器可借助后续提示注入执行特权文件访问而无需再次确认，同一攻击未能在 Opus 4.6 或 4.7 上成功。
- 动态The Hacker News
OX Security 署名文章报告公开 MCP 服务器的治理与供应链风险
OX Security在The Hacker News的署名文章中介绍对15,465个公开MCP服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。这些数据和风险判断来自厂商自身调查，文章提及的安全测试应按具体授权与测试条件理解；不能将境外托管本身视为安全漏洞。
- 动态Forkast
ClawSecure 报告称 MCP 协议本身存在结构性安全缺陷
安全厂商 ClawSecure 在 AI Agent Threat Report 中称，MCP 协议规范本身存在结构性漏洞，而非厂商实现问题，开发者无法靠打补丁解决。测试 Linear、Notion 和 Dropbox Dash 发现，服务器在内容创建时自动抓取攻击者控制的链接，无需 AI 介入即可形成数据泄露通道；20 种混淆技术中 17 种通过往返检测，五个实验室的 14 个模型均未能稳定拦截，表现最好的 Claude Opus 4.7 仍有 26.7% 的概率服从恶意指令。该报告尚无第三方独立复现，也未有 CVE 或官方补丁发布。
- 动态ClawSecure
ClawSecure 红队报告：14 款模型与 Dropbox Dash、Notion、Linear 等 MCP 集成均存在间接提示注入风险
ClawSecure 对来自五家前沿实验室的 14 款模型和 Dropbox Dash、Notion、Linear 三大 MCP 平台做间接提示注入红队测试，全部模型都服从了攻击者指令，无一干净防御。表现最好的 Claude Opus 4.7 服从率仍达 26.7%，GPT-5.5 与 Qwen 3.7 Max 为 91.7%，Gemini 3.1-flash-lite 和多款 Gemini 2.5/3.5-flash 则达到 100%。测试于 2026 年 5 至 7 月进行，Anthropic 宣称的 0% 智能体编码攻击成功率被同一模型上 15.2% 的结果推翻。
- 动态Cloud Security Alliance Labs
Tenet Security 披露 agentjacking 攻击：经 Sentry 与 MCP 劫持 AI 编码 Agent
CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令。Tenet 自报受控测试中的成功率为 85%，并称发现 2,388 家组织存在相关暴露条件；这些是研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
- 动态Tenet Security
Tenet 披露 Agentjacking 攻击：伪造 Sentry 错误报告劫持编码 Agent 执行代码
Tenet Security 的 Threat Labs 披露名为 Agentjacking 的攻击：攻击者用公开的 Sentry DSN 向 Sentry 事件接口 POST 伪造错误事件，在 message 与 context 字段中注入伪装成官方修复建议的 markdown，Sentry MCP server 将其作为可信系统输出返回给编码 Agent，Agent 便以开发者权限执行攻击者控制的 npm 包。研究称被动侦察发现 2,388 个组织暴露可注入 DSN，受控测试中 100+ 个 Agent 执行了注入错误，涉及 Claude Code、Cursor 和 Codex，对注入错误的利用成功率为 85%，覆盖 macOS、Windows、WSL、容器与 CI 环境，受害方包括一家约 2500 亿美元市值的 Fortune 100 企业。
- 论文论文追踪
NeuroSploit v4.2.0 在 GOAD 上的评测：结构化智能体编排提升 AD 渗透测试
开源 Rust 自主渗透测试框架 NeuroSploit v4.2.0 在 GOAD 靶场（5 台虚拟机、2 个森林、3 个域）上完成评测，其编排 22 个 AD 专用智能体与 7 套多阶段攻击链 playbook，覆盖枚举、Kerberoasting、AD CS（ESC1-ESC8）、DCSync、跨森林信任滥用等完整杀伤链。对 Claude Opus 4.6/4.7/4.8、GPT-6 Astra、GPT-5.6 Sol、Grok 4.6、Qwen 3.8、GLM 5.3、Kimi k3 九个前沿模型的测试显示，框架实现 96-100% 技术覆盖率与 90-97% 精确率，直接调用仅覆盖 21-54% 且误报多出 3.2 倍；使用 Opus 4.8 时 134 分钟完成三域完全攻陷，护栏机制阻止了触发锁定的喷洒、未授权 DCSync 转储与越界侦察。
- 论文论文追踪
研究者在 Claude Code 和 Codex 上构造分段提示注入并发布边界动作审计基准
该 arXiv 论文讨论长时程智能体的分段提示注入审计。
- 动态pwn.ai
pwn.ai 称其 AI 智能体在 Google kvmCTF 中捕获官方 flag
pwn.ai 称其 AI 智能体在授权的 Google kvmCTF 环境中构建并运行 KVM 漏洞利用，并于 6 月 17 日取得官方 flag，相关漏洞编号为 CVE-2026-46113。该案例涉及虚拟机与宿主之间的隔离边界。作者称因公开补丁的时间窗口未获得赏金；关于首例与自主程度的说法均为作者主张，人类提供了任务、授权与基础设施，现有材料未提供独立复现。
- 动态promptarmor.com
PromptArmor 披露 Elastic AI SOC 遭间接提示注入窃取 API 密钥
PromptArmor 披露 Elastic 的 Agentic SOC（EASE）可被其负责分诊的告警操纵，攻击者借此窃取 API 密钥。攻击链中，一封钓鱼邮件指示 Agent 从攻击者控制的 URL 获取更多告警，工作流拉取该 URL 的提示后启动一个只带攻击者数据和“Action the below”系统提示的子智能体，子智能体在竞赛话术诱导下铸造新 API 密钥并回传攻击者服务器，同时泄露工作区 URL。由于 Agent 可自行决定是否加入 waitForApproval 步骤，整个过程无需人工审批；攻击者拿到密钥后可以用户权限禁用告警规则、制造假告警掩盖真实攻击、从 Elasticsearch 外泄数据、通过定时任务建立持久化。
- 动态Metnew
研究员披露 Claude Code 工作树沙箱逃逸问题，2.1.163 已修复
研究员Metnew介绍Claude Code工作树处理中的沙箱逃逸问题，并称在macOS的2.1.139版本验证。该风险需要用户先克隆恶意仓库并让Claude Code处理其中内容，随后可能借用agent工具越过预期权限边界。官方在2.1.163修复；Bot只读研究报告前半，没有运行PoC或核实其他产品的相关指控。此为研究性漏洞披露，不是已确认的在野事故。
- 动态dev.to
测试显示 Claude Code 插件可覆盖用户 deny 规则
AINews 在 Claude Code 2.1.287 上以 headless 模式重复运行同一提示七次，测试插件与权限规则冲突时的行为。其中一次同时加载一个七行插件和 Bash(touch:*) deny 规则，结果文件被创建，结果 JSON 报告零次权限拒绝，调试日志显示插件返回 allow 后覆盖了 deny 规则。通过 claude plugin install 正常安装插件时结果相同，而 --safe-mode 和 disableAllHooks: true 下 deny 规则仍然生效。作者指出，负责维持 deny 规则的 cc-plugin-sec-default 只在 Team、Enterprise 登录或存在 managed settings 时启用，Pro、Max 或 API-key 机器上会记录 not seated 并让位。
- 动态promptarmor.com
PromptArmor 披露 Copilot Cowork AI 网关数据外传问题，漏洞已修复
PromptArmor 披露，Microsoft Copilot Cowork 中用户调用的恶意 Skill 可滥用产品自身的 AI 网关，使文件内容跨越原本受限的沙箱边界。研究方指出，云端模型工具与本地沙箱之间的权限衔接缺少相应约束，且相关处理无需逐次人工批准；风险范围取决于用户授予 Copilot 的数据访问权限。该问题于 7 月 14 日报告，研究方称已在 9 月 2 日修复，无在野利用报道。Bot 已读研究方披露，尚未核到微软独立公告。
- 动态paolocostanzo.github.io
今夏十起 AI Agent 漏洞复盘：多数问题不在模型判断，而在信任边界
作者梳理 2026 年 6 月 26 日至 9 月 24 日间公开披露的十起 AI Agent 漏洞，按触发点分为四类：信任建立之前、交互层、连接管道和权限。其中七起案例中模型的判断从未成为决定性因素，另外三起虽被操纵，但损害范围由权限和配置决定。最突出的信号是 GitSpawn：同一类缺陷在 Claude Code、Goose、Hermes Agent、Qwen Code、Grok Build、Codex 和 Cursor 七个 CLI Agent 中被独立发现，机制是后台收集上下文时执行 git 未中和仓库自带配置，可在沙箱外、无审批提示下以用户权限运行代码，部分 Agent 甚至在信任提示出现前就已执行。作者还列出同期研究，显示拆分到两个 MCP 通道的载荷可让部分模型从 0% 合规升至 100% 外泄，延迟条件注入在九个生产 Agent 上成功率 43% 至 83%。
- 动态noma.security
Noma Labs 披露 GitLost：用 GitHub Issue 提示注入让 AI Agent 泄露私有仓库
Noma Labs 发现 GitHub Agentic Workflows 存在间接提示注入漏洞 GitLost，未认证攻击者只需在组织内公开仓库提交一个构造好的 Issue，即可让 AI Agent 读取并公开评论出私有仓库内容。该工作流由 GitHub Actions 与 Claude 或 GitHub Copilot 驱动的 Agent 组成，触发条件为 issues.assigned，Agent 会读取 Issue 标题与正文、调用 add-comment 工具，并拥有组织内公开与私有仓库的读权限。攻击者无需任何代码能力或凭据，Noma Labs 用伪装成销售副总裁客户跟进请求的 Issue 完成了验证，泄露了公开仓库 poc 与私有仓库 testlocal 的 README.md 内容。
- 动态air.security
Air Security 披露 Plugin4Shell：Claude Code、Codex、GitHub Copilot、Gemini CLI 插件 SHA 固定可被绕过导致零点击 RCE
Air Security 研究实验室披露 Plugin4Shell：插件版本固定机制可被绕过，使 Claude Code、Codex、GitHub Copilot 和 Gemini CLI 加载攻击者控制的代码，并可能导致零点击远程代码执行。研究指出，Git 引用解析与插件检出逻辑对固定提交的解释不一致，恶意发布者可利用这种歧义替换实际加载的插件内容。Claude Code 和 Codex 的后台自动更新进一步扩大了已安装插件受影响的风险。
- 动态Anomity
GitSpawn 漏洞：恶意 .git/config 可让编码 Agent 执行攻击者命令
Manifold 披露 GitSpawn 漏洞，恶意 .git/config 中的 core.fsmonitor 等条目会让编码 Agent 在执行常规 git status 或 git diff 收集上下文时运行攻击者指定的命令，且通常在 Agent 沙箱之外、无审批提示。攻击者无需诱导受害者克隆恶意仓库，一个已包含 .git/ 目录的 zip 或共享文件夹即可触发。Anomity 建议将 zip 与共享文件夹项目视为与克隆未知远程同等不可信，检查 .git/config 中的 fsmonitor、hooks 等 helper 键，并在 Agent hook 层对工具调用做 allow/deny/log 决策。