全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态CrowdStrike
CrowdStrike 实验室披露绕过 LLM 安全分类器的分解重组攻击管线
CrowdStrike Cyber Superintelligence Lab 评估了当前公开部署的最先进内容安全分类器（用于保护 Claude Opus 5.5 等前沿模型），发现该分类器对直接攻击极为稳健，但可被系统性地绕过。研究测试了约 515 种绕过技术，包括编码、心理操纵、多轮升级、many-shot、tokenizer 漏洞和 Unicode 技巧等，直接绕过成功率均为 0%。绕过方法是将有害任务拆解为单独无害的子任务，用游戏模组、检测工程等合法软件语境重新包装，再由未受分类器保护的本地开源模型组装成可用的攻击代码。该管线在 10 个 MITRE ATT&CK 对齐的攻击类别中有 9 个生成了可工作的漏洞利用代码，仅 Defense (EDR) Evasion 一类因分类器在概念层面拦截而失败。
- 动态Adversa AI
Adversa AI 报告 GitHub Copilot CLI 的加密上下文注入风险
安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发。相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。
- 动态The Hacker News
微软披露新型 ClickFix 攻击：借浏览器缓存藏载荷绕过 Windows Run 字符限制
微软威胁情报团队披露一种新型 ClickFix 攻击，受感染网站将伪装成 PNG 的脚本载荷预取进浏览器缓存，诱使用户粘贴执行命令后运行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的输入截断限制。载荷为 VBScript，会枚举浏览器配置文件夹中名称以 "f_" 开头的文件，按字节长度匹配后将缓存条目复制为 t.vbs 并用 wscript.exe 执行，再经 PowerShell 多级下载 .NET 载荷注入 timeout.exe 窃取浏览器与设备凭据。此前 2025 年 10 月已有缓存走私投递 ZIP 的案例，CloudSEK 还演示过用不可见提示注入与 prompt overdose 让 AI 摘要系统生成 ClickFix 指令。
- 论文论文追踪
HDI 攻击：篡改 GraphRAG 辅助结构可致 88–94% 攻击成功率
论文研究GraphRAG索引生成的语义摘要、层级关系和预计算分数等辅助结构被篡改后的风险，提出3S框架和HDI影响分析方法。攻击者须先取得索引完成后的辅助结构写入权限，这不是无需访问条件的远程攻击。作者在两类GraphRAG架构和两个问答基准上报告少量篡改可影响多个查询，并绕过所测困惑度与改写防御；结果限于这些实验条件，尚未独立复现。
- 动态promptarmor.com
PromptArmor 披露 Copilot Cowork AI 网关数据外传问题，漏洞已修复
PromptArmor 披露，Microsoft Copilot Cowork 中用户调用的恶意 Skill 可滥用产品自身的 AI 网关，使文件内容跨越原本受限的沙箱边界。研究方指出，云端模型工具与本地沙箱之间的权限衔接缺少相应约束，且相关处理无需逐次人工批准；风险范围取决于用户授予 Copilot 的数据访问权限。该问题于 7 月 14 日报告，研究方称已在 9 月 2 日修复，无在野利用报道。Bot 已读研究方披露，尚未核到微软独立公告。
- 动态promptarmor.com
PromptArmor 披露 Copilot Cowork 沙箱绕过问题，微软已确认缓解
PromptArmor 披露，用户主动调用恶意 Skill 后，Microsoft Copilot Cowork 的文件同步服务可能被滥用，使沙箱内活动获得预期之外的对外通信能力，影响智能体可访问的邮件、文件及会话数据。研究方还发现，用户点击停止后部分后台活动仍可能继续，暴露工具权限与终止机制之间的边界问题。该问题于 2026 年 6 月 24 日报告，研究方称微软在 8 月 19 日确认已缓解；未见在野利用报道。
- 动态imperva.com
Imperva 披露 Microsoft DevLabs DebugMCP 远程代码执行漏洞
Imperva Threat Research 披露 Microsoft DevLabs 的 DebugMCP 1.1.4 存在远程代码执行漏洞，攻击者诱导开发者访问恶意网页即可在后台执行任意代码。该 MCP 服务器安装后自动在 3001 端口启动且无认证，未启用 Anthropic 在 modelcontextprotocol 1.24.0 中加入的 Host 与 Origin 头校验，可被 DNS 重绑定绕过浏览器同源策略；其 start_debugging 工具接受文件路径参数，配合 Windows UNC 路径可从攻击者 SMB 共享加载并执行脚本。MCP 的无状态会话模式使单个 no-cors 请求即可触发攻击。维护者已在 commit 86776b2 中修复，随 1.2.0 及之后版本发布，未发布安全公告。
- 动态noma.security
Noma Labs 披露 GitLost：用 GitHub Issue 提示注入让 AI Agent 泄露私有仓库
Noma Labs 发现 GitHub Agentic Workflows 存在间接提示注入漏洞 GitLost，未认证攻击者只需在组织内公开仓库提交一个构造好的 Issue，即可让 AI Agent 读取并公开评论出私有仓库内容。该工作流由 GitHub Actions 与 Claude 或 GitHub Copilot 驱动的 Agent 组成，触发条件为 issues.assigned，Agent 会读取 Issue 标题与正文、调用 add-comment 工具，并拥有组织内公开与私有仓库的读权限。攻击者无需任何代码能力或凭据，Noma Labs 用伪装成销售副总裁客户跟进请求的 Issue 完成了验证，泄露了公开仓库 poc 与私有仓库 testlocal 的 README.md 内容。
- 动态air.security
Air Security 披露 Plugin4Shell：Claude Code、Codex、GitHub Copilot、Gemini CLI 插件 SHA 固定可被绕过导致零点击 RCE
Air Security 研究实验室披露 Plugin4Shell：插件版本固定机制可被绕过，使 Claude Code、Codex、GitHub Copilot 和 Gemini CLI 加载攻击者控制的代码，并可能导致零点击远程代码执行。研究指出，Git 引用解析与插件检出逻辑对固定提交的解释不一致，恶意发布者可利用这种歧义替换实际加载的插件内容。Claude Code 和 Codex 的后台自动更新进一步扩大了已安装插件受影响的风险。
- 动态X @p1njc70r
PleaseFix 研究披露 HistoryFixing：用浏览历史污染 Agent 浏览器上下文
PleaseFix 研究提出一种针对智能体浏览器的通用攻击原语 HistoryFixing，把浏览历史变成攻击向量。攻击由 Stav 设计：用户访问恶意网站后，网站用攻击者控制的条目污染浏览器历史，进而污染浏览器 Agent 的上下文。结合 Intent Collision，研究者演示了攻击者可以让 Agent 泄露浏览数据、向 GitHub 仓库添加非预期用户、终止 EC2 实例。相关演示在 DEFCON 上展示，其中 Microsoft Edge 被用来演示泄露从未删除的浏览历史。
- 动态X @wunderwuzzi23
研究者披露 SQL Server Management Studio 中 SQL Copilot 的提权路径
安全研究者 Johann Rehberger 公开了对 Microsoft SQL Server Management Studio 中 AI 数据库助手 SQL Copilot 的研究，发现其中存在严重的提权路径，可从 SELECT 权限提升至 SYSADMIN。作者提醒用户确保 SSMS 安装已更新，并感谢 Microsoft 快速修补该问题，该研究还在两周前的 BlueHat Asia 上进行了展示。作者提到数据库 CONSTITUTION.md 这一概念，完整技术细节与视频演示见其博客文章。
- 论文arXiv
HookPry：利用插件生命周期钩子更新劫持 AI Agent 框架
研究者提出 HookPry，一个开源全自动攻击框架，利用 AI Agent 框架盲目信任的生命周期钩子更新路径实施供应链攻击。攻击者只需控制插件元数据与钩子配置，先发布良性版本获取信任，再通过更新把恶意命令静默绑定到良性事件，命令由框架直接派发，不经过 LLM 决策路径。HookPry 由对抗性清单优化、时间解耦和最小公共接口三部分组成，实现十种攻击目标。在 7 种框架与 5 种 LLM 后端共 25 种组合、1000 次端到端运行中，全部 7 种框架被攻破，Hermes 上成功率最高达 92.5%，整体微平均 E2E-ASR 为 77.0%，机制触发率 83.9%，无一次被模型显式拦截。防御方面，Microsoft Defender 召回率为 0%，三种静态防御联合仍漏掉 47.5% 的恶意样本。
- 动态Datadog Security Labs
Entra Agent ID 的蓝图爆炸半径：一个蓝图凭证可控制所有关联智能体身份
Datadog Security Labs 解析 Microsoft Entra Agent ID 的技术架构，指出蓝图（blueprint）是唯一可添加凭证的位置，控制蓝图即可认证并控制其下所有蓝图主体、智能体身份和智能体用户，无论这些身份位于哪个租户。每个租户下单个蓝图最多可关联 250 个智能体身份，每个身份可拥有独立的 Entra 角色、应用权限和委派权限，还可通过 inheritablePermissions 继承蓝图主体的委派权限。蓝图采用生产者-消费者模式，在一个租户发布后可在多个租户创建智能体，因此第三方蓝图被入侵可能造成跨租户影响，类似 Midnight Blizzard 事件。
- 动态Check Point Research
Check Point 逆向 Windows Defender BTR.sys 驱动，将其改造为内核操作原语
Check Point 逆向 Windows Defender 的 Boot-Time Removal 驱动 BTR.sys，发现其通过注册表 Args 指向的 ADS 中 RC4 加密配置执行文件与注册表操作，无需漏洞或内存破坏即可在 Ring 0 执行任意操作。研究给出完整事务格式，包括 0xFEE1DEAD 魔数、版本 2、~CRC32 完整性校验和硬编码 256 字节 RC4 密钥，并发布 MIT 许可的 BTR_CLI 工具构造合法加密事务。利用该驱动在 Phase 1 的 Boot Bus Extender 组加载时机，可在用户态安全服务启动前删除 WdFilter.sys、MsMpEng.exe 等 Defender 二进制并绕过 Tamper Protection，测试覆盖 Windows 7 至 Windows 11 25H2。
- 动态Stolen Thoughts
研究者称仍可通过第三方云聚合商窃取美国前沿模型的推理轨迹
研究者对 OpenAI、Anthropic 直连端点及 AWS Bedrock、Microsoft Azure、OpenRouter 等下游云聚合商做了审计，发现厂商针对推理轨迹提取的修补碎片化且易被绕过。推理重放攻击在 Azure 上对每个 OpenAI 模型（含 GPT-6 Astra）以及 Anthropic 直到 Sonnet 5 的模型仍间歇有效，一次解码即可逐字还原轨迹；scratchpad 攻击仍能从所有 OpenAI 模型以及 Opus 4.8、Sonnet 5 提取推理，目前只有 Opus 5、Fable 5、Fable 5.1 不暴露推理。作者指出下游主机存在补丁传播延迟和策略漂移，攻击者无需绕过主厂商护栏，只需把请求路由到未同步防护的下游主机即可，并建议对无法同步执行推理轨迹保密与工具范围护栏的云主机不予授权。
- 动态Embrace The Red
研究者披露 SQL Copilot 提权漏洞 CVE-2026-65669：从 SELECT 到 SYSADMIN
安全研究者 Johann 在 BlueHat Asia 2026 上披露了 SQL Server Management Studio（SSMS）中 SQL Copilot 的提权漏洞 CVE-2026-65669，微软将其评为严重级别。Copilot 沿用查询窗口的数据库连接执行 SQL，用户以 sysadmin 身份连接时它也拥有同等权限；所谓只读模式只靠系统提示词和 LocalSqlExecutionAccessChecker 类中的正则黑名单，没有独立的低权限连接。作者用间接调用存储过程的写法绕过黑名单，使 Copilot 能执行 CREATE、INSERT、UPDATE、DELETE、DROP 等写操作，并演示了数据外传。完整攻击链中，数据库所有者在库里埋入恶意指令，等高权限用户使用 Copilot 时经间接提示注入触发，最终把攻击者的登录加入 sysadmin 角色。作者建议把智能体的只读限制做成权限层面的约束，并提醒及时更新。
- 动态Adversa AI
Adversa AI 披露 SymJack：符号链接劫持在六款 AI 编码 Agent 上实现 RCE
Adversa AI 研究员 Rony Utevsky 披露名为 SymJack 的攻击手法，通过恶意仓库中的符号链接劫持，让 AI 编码 Agent 在用户批准一次看似无害的文件复制时改写自身配置，并在下次重启时以用户权限执行攻击者代码。该手法在 Claude Code、Gemini CLI/Antigravity CLI、Cursor Agent CLI、GitHub Copilot CLI、Grok Build CLI 和 OpenAI Codex CLI 六款产品上得到验证，作者认为这是架构层面的共性问题而非单个产品的漏洞。
- 动态Adversa AI
Adversa AI 盘点针对 AI 智能体的十起零点击攻击
Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。
- 动态NVIDIA 技术博客：可信 AI 与网络安全
NVIDIA 分析编码智能体开发者工具的攻击面
NVIDIA 技术博客指出，开发者越来越多使用 Cursor、OpenAI Codex、Claude Code 和 GitHub Copilot 等 AI 编码工具，这些工具在加快开发与代码审查的同时也扩大了攻击面。文章称这些智能体工具实现方式各异，但都共享同一套框架，即用 LLM 决定要执行的动作。
- 动态Embrace The Red
ASCII Smuggler 更新：用两个不可见字符走私任意 Unicode 数据
Embrace The Red 发布 ASCII Smuggler 工具更新，新增 Sneaky Bits 编码方式，仅用两个不可见字符即可编码任意 Unicode 字符或字节序列。Sneaky Bits 默认以 invisible times（U+2062）表示 0、invisible plus（U+2064）表示 1，逐位表示 Unicode 码点，两个字符可配置，在工具中作为非默认选项，默认仍为 Unicode Tags 编码。文章同时回顾了 Unicode Tags 与 Variant Selectors 两种走私技术，前者常被 LLM 直接当作指令执行，后者可将 VS1-VS256 映射为原始字节。
- 动态Embrace The Red
GitHub Copilot 自定义指令文件可被植入后门代码
作者实测发现，GitHub Copilot 会读取仓库中的 .github/copilot-instructions.md 文件并加入提示词上下文，因此指令文件中一行隐蔽内容即可让 Copilot 生成带后门代码的补全结果，作者以 Go 语言做了演示。作者同时提到 Pillar Security 此前已指出 Cursor 的 .mdc 规则文件存在同类风险，并涉及隐藏 Unicode 字符。GitHub 去年已缓解 0-click 图片渲染数据泄露问题，点击超链接时也会弹出确认对话框，除非目标域名在 VS Code 的受信任站点列表中。
- 动态Embrace The Red
Windsurf Cascade 被曝提示注入漏洞，可外泄开发者密钥
安全研究者披露 Windsurf Cascade 存在两条间接提示注入导致数据外泄的路径。第一条利用无需用户批准的 read_url_content 工具，把读取能力变成外发 HTTP 请求通道，当开发者用 Cascade 分析被植入恶意指令的源码文件时，.env 等敏感环境变量会被外泄。第二条是渲染来自不可信域名的图片，与作者此前在 GitHub Copilot 发现的漏洞类似，同样无需人工确认即可把开发者机器上的信息发送到第三方服务器。作者称已于 2025 年 5 月 30 日负责任披露，Windsurf 确认收到后未再回应后续询问，因此三个月后公开，并暂未公布完整技术细节与提示注入载荷。
- 动态Embrace The Red
AgentHopper：借多个编码 Agent 漏洞实现自我传播的概念型 AI 病毒
安全研究员 Johann Rehberger 公布名为 AgentHopper 的概念验证 AI 病毒，用一个通用的条件化提示注入载荷在不同编码 Agent 间自动跳转并触发各自的远程代码执行路径。它利用此前负责任披露并已被各厂商修复的四类漏洞实施感染：向 GitHub Copilot 写入 settings.json 打开 YOLO 模式、给 Amp Code 配置伪造的 MCP 服务器、令 Amazon Q Developer 执行带 -exec 参数的 find 命令、修改 AWS Kiro 配置将所有 bash 命令加入允许列表，随后下载并运行 AgentHopper。
- 动态Embrace The Red
跨 Agent 提权：一个 Agent 如何改写另一个 Agent 的配置并放它出沙箱
研究者展示了一种跨 Agent 提权攻击链：被间接提示注入劫持的 GitHub Copilot 可以写入 Claude Code 的 MCP 配置和 CLAUDE.md 等指令文件，添加恶意 MCP server 或放行 shell 命令，等开发者使用 Claude Code 时这些改动被加载并执行任意代码，Claude 还能反向改写 Copilot 配置形成升级循环。