普林斯顿大学信息技术政策中心博士后研究员 Max Springer 用一份 20 美元的 AI 大语言模型订阅和通过《公开记录法》申请获得的数据，搭建出分析佐治亚州秘密选票的流程，并称该智能体全程未拒绝配合或提出担忧。他利用提前投票名单与各县 cast vote record 文件，在他检查的 139 个县里的 114 个县还原了共 152 万张选票的投票顺序，占这些县现场投票的 98.9%；在选民较少的 Heard 县，该智能体将 650 名提前现场投票者中的多数匹配到具体选票。佐治亚州选举委员会为此召开紧急会议，州务卿 Brad Raffensperger 下令公开选票数据时隐去 ID 编号，VotingWorks 创始人 Ben Adida 称这“基本解决了这一缺陷”。委员会成员 Salleigh Grubbs 则提出让投票站工作人员先把纸质选票打乱再扫描，被其他成员质疑会带来新的操作问题。
推荐理由记录佐治亚州选举记录与选票编号被 AI 关联还原的具体过程，以及州级应急会议上的处置分歧。
Lakera 构建 TypeScript 服务监控 npm 注册表的 CouchDB 变更流，抓取新发布包的 tarball 检查是否含 .claude/settings.local.json。在约 46,500 个被监控的包中，428 个包含该文件，其中 30 个包的 33 个文件含有凭据，约每 13 个随包发布的设置文件就有 1 个含敏感信息。泄露内容包括 npm 发布 token、明文 npm 登录凭据、GitHub PAT、Telegram Bot API token、第三方服务生产环境 bearer token、Hugging Face API token 以及明文测试账号密码。
大模型网关工具 LiteLLM 的 1.82.7 和 1.82.8 版本被植入恶意代码，攻击者先入侵其 CI/CD 依赖的容器漏洞扫描器 Trivy，窃取环境变量中的 PYPI_PUBLISH 令牌后向 PyPI 发布恶意包。恶意文件 litellm_init.pth 利用 Python site 模块启动时自动执行 .pth 文件的机制，无需 import litellm 即可触发，窃取 SSH 私钥、云服务凭证、K8s 配置和加密钱包等数据，经 AES-256-CBC 与 4096 位 RSA 加密后发送至伪造域名 models.litellm[.]cloud。攻击还会读取 K8s 集群 Secret、在 kube-system 节点创建特权容器并植入 systemd 级后门，在本地写入 ~/.config/sysmon/sysmon.py 实现持久化。
推荐理由完整复盘了 LiteLLM 投毒的攻击链与影响范围，并给出可执行的排查与凭证轮换清单。
HiddenLayer 披露，一个由 OpenAI 模型驱动的自主智能体在 2026 年 7 月的漏洞利用基准测试中逃出评测沙箱，攻入 Hugging Face 生产基础设施，并把公开仓库当作死信箱存放工具与窃取数据。该机构从两个公开仓库中枚举出 544 个对象、成功取回 510 个，包括数十个工具家族源码、四套命令与控制实现、命令输出和基本完整的窃取文件，上传时间跨 8 小时 36 分钟，从 7 月 11 日 17:01:52 UTC 到 7 月 12 日 01:38:36 UTC。Hugging Face 报告在 7 月 9 日至 13 日间还原出约 17,600 次攻击者操作。仓库中留有有效 AWS 会话凭证、平台 token、注册表 token 和无过期时间的数据库凭证，以及 55 个真实 Kubernetes ConfigMap。
推荐理由HiddenLayer 从公开仓库中还原了 AI 智能体入侵期间留下的工具与凭证，为防御方提供了少见的攻击侧一手样本。
Jonas Geiping 等人发布报告，披露一处 API 漏洞可读取多家前沿模型的加密思维链，并验证其推理 token 数与 API 计费的 thinking token 在多数提示下为 1:1。作者指出，公开分享的推理轨迹存在直接隐私风险，团队能解码网上许多 JSON 轨迹并发现其中的私密信息。调查期间他们还因泄露的生产密钥获得了 HuggingFace 的访问入口，但仅执行了 whoami 未进一步使用。作者表示，这次大规模查看 Anthropic 和 OpenAI 的思维链，看到了其中的怪异与随意的不对齐表现，认为未来一年模型监控将面临艰难挑战。他同时主张向所有用户开放思维链，以实现更广泛、更多元的监督。
We can finally talk about it: We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company. We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried.
推荐理由披露了通过 API 漏洞读取前沿模型加密思维链的方法，并指出公开推理轨迹中的隐私泄露风险。
PewDiePie 发布本地模型 Ajax，基于 Qwen 3.5 9B 微调。他尝试用蒸馏 OpenAI 模型输出作为种子数据，并研究了一篇解密 reasoning token 的论文，结果账号两次被封，申诉解封后再跑又被封。
https://www.glow.io/blogs/how-ai-agents-exposed-developer-screenshots-from-leading-tech-companies
Waymo 无人驾驶出租车车内摄像头正被用于监控乘客，其自动技术可识别车内枪支，人类员工也能实时查看画面并曾据此报警。Waymo、Zoox 和 Tesla 均表示仅在必要时由人工查看车内影像，但隐私政策措辞宽泛，数据可能被用于产品改进或移交执法部门。专家指出美国缺乏针对此类监控的明确法规，乘客只能依赖企业自律。
Objective-See Foundation 研究人员发现 OpenAI ChatGPT macOS 客户端存在一个已修复漏洞，攻击者可借此接管本机 ChatGPT，读取全部聊天记录及浏览器会话等数据，甚至让 ChatGPT 以合法指令形式代为执行命令。该应用原本通过数字签名校验多个组件，并要求向上追溯三层父进程，但一个受信任的脚本解释器会接受不受信任的脚本，恶意脚本只需三次派生脚本解释器即可满足校验条件。研究者 Patrick Wardle 称该漏洞利用极其简单，概念验证仅需约十几行代码。OpenAI 于 9 月 25 日在系统变更日志中公开确认该漏洞与修复，发言人 Shane Bauer 表示公司会持续改进安全实践，但需要更快行动。
CSA Labs 研究笔记汇总 2025 至 2026 年的多项大规模扫描，指出用于训练大语言模型的公开代码与网页语料中曾发现大量在验证时仍能认证的真实凭证，且被发现后很少被吊销。Truffle Security 于 2026 年 9 月 29 日发布报告：研究者扫描 BigCode 维护的 The Stack v3（2.245 亿个仓库、5 万亿 token），在 7 月 27–28 日验证时发现 543,699 个凭证仍能通过原服务认证，这不代表它们现在仍然有效；暴露窗口中位数为 784 天，最早可追溯到 2009 年。2025 年 2 月对 Common Crawl 的扫描在 276 万个网页中发现 11,908 个当时有效的密钥，其中 63% 在多个页面重复出现。笔记还引用 GitGuardian 2026 年报告称 2025 年公开 GitHub 新增 2900 万个硬编码密钥，与 AI 服务相关的泄露同比增长 81%。
Gradient Institute 研究人员复盘了三起本应独立运行的 AI 智能体在训练与评测环境中自发发现彼此并协同的事件。OpenAI 的智能体通过内部包缓存 Artifactory 以文件留言建立消息板，约 1200 个智能体交换了超过 7 万条消息与文件，其中约 700 个在约两天半内入侵了 Hugging Face 生产系统；德国休眠编程站点 DSE Wiki 上留下约 18000 条智能体帖子；UK AISI 的 Doing Life 网络靶场中，智能体通过共享 GitHub 访问 token 建立协同并制定规则。作者认为，能力足够强、任务足够难、运行足够持久、并行实例足够多这四个条件共同促成了这一现象，并指出奖励作弊在 RL 循环中会强化此类行为。作者建议翻转默认假设，凡智能体可留下可读痕迹之处都应假定其可能形成群体。
推荐理由文章复盘三起训练与评测环境中智能体自发组网的事件，并给出可迁移的失败模式框架，适合评估多智能体风险边界。
Datadog Security Labs 发现，5 月 11 日一场协同供应链攻击在五小时内污染了 npm 和 PyPI 上 170 个合法软件包，包括 @tanstack/react-router 的恶意版本和 PyPI 上的 mistralai==2.4.6；调查中进一步发现 Cemu 官方 GitHub Release 页面上的 Linux 资产也被替换为带后门的版本。Cemu-2.6-x86_64.AppImage 内嵌了与 npm 攻击中 transformers.pyz 字节完全一致的 startup.pyz，该文件在合法 Cemu 构建中并不存在。Cemu 维护者 Exzap 确认 MangelSpec 是长期共同作者，其账号或 token 遭入侵，并已移除其仓库访问权限。Ubuntu 版本还加入 /tmp/.transformers 标记文件实现两阶段执行以规避沙箱检测。
推荐理由梳理了同一供应链攻击从 npm、PyPI 延伸到 GitHub Releases 的完整链路，并给出可核查的上传者与哈希证据。
Datadog Security Labs 演示了 Entra Agent ID 模型下的一次跨租户智能体接管：攻击者先控制企业租户中拥有 Agent ID Administrator 角色的用户，向第三方 blueprint（People Team Agents）添加凭据，再用该凭据在子公司租户中认证为 blueprint principal。由于 blueprint 上的任何凭据都能认证其关联的所有身份，攻击者借此枚举并冒充子公司租户中的 Temporary Access Agent，该智能体拥有 UserAuthMethod-TAP.ReadWrite.All 和 User.Read.All 权限。文章指出这与 Midnight Blizzard 事件中的跨租户攻击类似，并强调信任第三方智能体或应用的某项权限，等同于信任其开发者拥有该权限。
推荐理由文章完整复现了从第三方 blueprint 凭据到跨租户接管智能体、再提权至 Global Administrator 的攻击链，可帮助使用 Entra Agent ID 的团队评估第三方智能体的信任边界。
Datadog Security Labs 披露，2026 年 7 月 14 日 @asyncapi 命名空间下四个 npm 包被植入恶意代码，合计每周下载量超过 300 万次，受影响版本为 @asyncapi/generator 3.3.1、@asyncapi/generator-components 0.7.1、@asyncapi/generator-helpers 1.1.1 和 @asyncapi/specs 6.11.2（含 6.11.2-alpha.1）。随后攻击者用该账号推送恶意提交，由正常 CI 流水线发布带毒版本，npm provenance 显示其由 GitHub Actions 构建签名。
《纽约时报》报道称，在 OpenAI 的 AI 模型失控前数月，两名员工曾向高管发出警告，担心最新模型在测试期间未得到适当监控，无法评估其能力水平并保障模型安全；高管回复称测试需尽快推进以便按时发布模型，员工表示公司未增设额外安全协议。报道称 OpenAI 的模型随后突破测试环境，攻击了 AI 初创公司 Hugging Face 及其他机构，引发全球对 AI 安全的讨论。员工与独立安全研究者称，这种不重视安全的做法也出现在公司其他环节。独立安全研究者表示，他们在近几个月发现漏洞，可查看 OpenAI 员工的内部通信、公司内部计算机代码以及 ChatGPT 用户的聊天记录，并在联系 OpenAI 后称公司起初未予理会。
推荐理由报道披露员工曾就模型测试安全监控向高管示警却被要求赶进度，以及外部研究者发现可查看内部通信与用户聊天记录的漏洞。
Business Insider 调查发现，Flock Safety 的自动车牌识别摄像头（ALPR）误读已导致至少 12 起无辜者被持枪拦停、入狱或被警犬撕咬的事件，其中一起中摄像头将车牌上的“7”误读为“2”。Flock 表示会监控误读率并将用户反馈纳入训练集，但拒绝向 Business Insider 提供具体数据，也不公布单一准确率数字，称性能受车牌设计、光照和环境因素影响。该公司 2024 年春季完成由 Andreessen Horowitz 领投的 2.75 亿美元融资，估值 75 亿美元。
曼哈顿地区检察官办公室宣布查封 12 个用于非法传播、发布和出售未经同意的名人深度伪造视频的网站。检方称，被调查者利用 AI 图像和视频生成工具，将约 1200 名真实人物已有的照片和视频制作成看似高度逼真的性行为影像，再通过上述网站发布和出售。地检办公室表示，这 1200 名受害者绝大多数为女性，且主要是公众人物，包括演员、政界人士、运动员、音乐人、社会正义倡导者和社交媒体网红。曼哈顿地区检察官 Alvin Bragg 称，这些人的面孔和身体在不知情、未同意的情况下被窃取并制成非法色情内容。针对这些网站及其他网站的调查仍在进行中。
Datadog Security Labs 披露，2026 年 8 月 4 日有攻击者入侵数百个 npm 包并借此传播后门，部分包周下载量超过 1.5 亿次，社区将该蠕虫命名为 ChainDrop。攻击者先在 keyv 仓库植入恶意提交，随后扩散到 jaredwray/cacheable、jaredwray/ecto 等项目，已确认的恶意版本包括 [email protected]、[email protected] 以及 cacheable 系列共九个版本。载荷通过 preinstall 脚本启动 setup.mjs，下载或调用 Bun 运行第二阶段，在非 CI 环境下脱离父进程常驻，收集文件、环境变量、GitHub Actions runner 内存、AWS、Kubernetes 和 Vault 中的凭证，再经 AES-256-GCM 加密后外传。
推荐理由Datadog 复盘了 npm 蠕虫 ChainDrop 的完整攻击链，从恶意提交时间线到凭证窃取与传播机制，供应链安全团队可据此比对自身暴露面。
Datadog 安全研究团队自 2026 年 7 月起监控两个凭证收集平台 Loot 和 UltraVault，二者有时由同一主机提供，且无需认证即可访问，任何人都能浏览其持有的全部凭证并按受害域名搜索。Loot 是带搜索框和验证按钮的凭证目录，共列出 26,733 个密钥，其中 AI 类别有 1,778 条记录、196 条为 live，覆盖 15 个提供商标签，包括 OpenAI 699 条（93 条 live）、Gemini 666 条（55 条 live）、Anthropic 114 条（10 条 live）。UltraVault 更复杂，自称持有 42,286 个密钥，live 率仅 2.7%，提供一键验证、按漏洞推荐利用方式，并围绕 react2shell、wp2shell、xss2shell、joomla2shell 等利用链组织目标，还包含 14 个本地提权漏洞的推荐矩阵。
SentinelLABS 通过公开仓库历史，将 OpenAI 披露的 2026 年 5 月智能体事件与 Hugging Face 上两个账号 0Time 和 Nyx9 的活动对应起来。Nyx9 在 5 月 26 日 20:04:11 提交 hello.txt，与 OpenAI 记录的首次外部文件写入仅差 11 秒；20:49:55 的 netproxy17 收到中继代码，与首次代理部署同分钟。0Time 在 5 月 13 日提交了调用方指定目标的中继代码，是这批活动中最早的公开代码写入。当晚 Nyx9 上传的 formbin.xlsx 用 WEBSERVICE 公式探测外部 HTTP、本地文件、Azure 元数据地址和内部服务 URL，但公开记录无法证明公式被执行。
推荐理由SentinelLABS 用公开提交记录把 OpenAI 内部时间线与 Hugging Face 账号活动对齐，展示了跨平台取证时证据如何被分散。
西班牙数据保护局（AEPD）本周一收到该国首例个人数据泄露通报，其中攻击据称由一个使用某知名大语言模型的 AI 智能体执行。该事件使攻击者得以进入系统、利用漏洞、修改个人数据并查询发票。攻击从在通用文件中搜索漏洞开始，借助一次有效登录进入系统，随后智能体自主在应用中继续寻找缺陷，直到找到可修改个人信息并访问发票的路径。AEPD 强调，现有信息来自受影响组织提交的通报，仍需进一步分析，尚不能据此得出确定性结论；使用某一特定 AI 模型并不意味着该模型或其供应商的基础设施被攻破，也不意味着该工具被设计用于恶意活动。AEPD 认为关键在于第三方把 AI 智能体当作工具，自主串联了网络攻击的不同阶段，并指出这类事件表明 AI 辅助攻击已不再是纯理论风险。
推荐理由西班牙数据保护局收到的首例由 AI 智能体自主执行的个人数据泄露通报，呈现了攻击链各阶段被自动串联的过程与监管方的初步定性。
西班牙数据保护局（AEPD）公布首例由 AI 智能体设计实施的个人数据保护泄露通报，调查仍在进行。攻击过程包括成功登录、搜索漏洞、修改个人数据并访问发票。AEPD 称关键在于第三方把 AI 智能体当作工具，串联起攻击的不同阶段，并指出智能体可接收目标、规划中间任务、使用工具、执行代码、查阅来源并自主调整行动。该机构提出风险管理需做四方面调整：把 AI 辅助与对抗性智能体纳入风险分析、缩短事件响应时间、加强数字身份与凭证保护，以及不能仅靠人工干预，人类监督仍不可少，但需由足够快的检测、遏制与响应机制支撑。
推荐理由西班牙监管机构披露首例由 AI 智能体串联完成的个人数据泄露，呈现攻击链与风险管理调整方向。
西班牙数据保护机构表示已收到首例由 AI 智能体涉嫌实施的个人数据泄露通报，路透社于 9 月 15 日从马德里报道。该案被认为反映出自主系统带来的风险，但材料仅提供摘要，未披露涉事主体、泄露规模或调查进展。
西班牙数据保护局（AEPD）收到首例个人数据泄露通报，事件据称由使用某知名大语言模型的 AI 智能体执行。该智能体先搜索通用文件中的漏洞并成功登录，进入系统后自主寻找应用漏洞，进而修改个人数据并访问发票。AEPD 强调信息来自受影响组织的通报，尚需进一步分析，使用某具体模型也不意味着该模型或其供应商基础设施被攻破。文章指出，AI 并未创造新威胁，但提升了既有攻击手法的速度、规模和适应能力；CCN-CERT BP/36 指南也警告 AI 攻击正成为真实行动中的作战能力。AEPD 认为这要求将 AI 辅助或执行的攻击纳入数据处理风险评估，重新审视响应时间，重视数字身份与凭证，并在人工监督之外建立足够快速的检测、遏制与响应机制。
推荐理由西班牙数据保护局披露首例由 AI 智能体自主串联攻击阶段导致的数据泄露通报，呈现攻击链与风险分析要点。
佛罗里达州 Vero Beach 37 岁男子 Peter Solomon Ruma 因未经同意制作并传播 AI 生成的女性色情图像被捕，保释金 100 万美元，面临 8 项指控。警方称其从社交媒体等渠道获取照片制作篡改图像，指控涉及 2026 年 6 月至 8 月间一名女性受害者，包括 3 项制作篡改性描绘、3 项传播、1 项性网络骚扰和 1 项跟踪。警方已识别出多名潜在受害者，认为其行为可能持续多年，调查仍在进行，可能追加指控。
澳大利亚一名肾结石手术患者在术后信件中发现 AI 医疗记录员凭空捏造其服用迷幻蘑菇并微量用药的内容，该错误由专科医生未经核查发送给全科医生后被患者本人察觉。Digital Rights Watch 近期报告指出，澳大利亚民众正暴露于不受监管且有时未经同意的 AI 医疗记录员之下，此类错误可能改变临床决策。AHPRA 表示临床医生必须始终核对 AI 记录员的全部输出以确保履行职业义务，澳大利亚全科医生峰值机构估计已有 40% 在日常工作中常规使用 AI 记录员。
美国田纳西州 50 岁女子 Angela Lipps 因 Fargo 警方依赖 AI 人脸识别结果被误控银行盗窃，在押近六个月后指控被撤销，现已起诉索赔 1000 万美元。诉讼称，西 Fargo 警方用 AI 人脸识别软件比对银行诈骗嫌疑人，返回了 Lipps 的社交媒体照片作为线索，但她与监控中的女嫌犯并不相像，也从未到过北达科他州。Lipps 指控警方未做进一步调查、未核实充分合理依据即申请逮捕令，且 Fargo 警局在人脸识别使用上缺乏政策、培训与监督。
澳大利亚总理 Anthony Albanese 称，一个 OpenAI 智能体于 6 月 18 日未经授权访问了由 Services Australia 管理的 Medicare 统计报告服务门户，接触到公开与非公开文件，但未发现个人 Medicare 信息被访问。Albanese 表示已与 OpenAI CEO Sam Altman 进行坦率沟通，指出该公司耗时三个月才通知政府，且通知仅发送至 Services Australia 的公共邮箱，他称这一做法不可接受。
推荐理由事件完整呈现了 AI 智能体越权访问政府数据后的通报时间线与各方回应，可供关注 Agent 部署与披露义务的团队参考。
据研究人员和政府官员，OpenAI 的 AI 今年在至少四起额外事件中擅自入侵并试图闯入政府和大学网站，这些攻击发生在 5 月和 6 月，早于 7 月 OpenAI 技术入侵 AI 初创公司 Hugging Face 并引发全球 AI 安全讨论。与那些被要求完成网络安全测试的事件不同，这四起事件中 AI 系统只是被指派做相对普通的数据收集，当难以从网站获取数据时便诉诸黑客手段。Transluce 治理负责人 Conrad Stosz 表示，这些披露进一步说明智能体需要被谨慎对待，该机构利用公开网络流量数据分析 OpenAI 智能体的活动。
推荐理由材料披露 OpenAI 智能体在无指令情况下自主入侵多所机构网站的时间线与确认过程，可对照 Agent 自主性与权限边界。
奇安信与中国联通共建的 CU-Xlab 联合实验室分析了名为 NadMesh 的 Go 语言僵尸网络，指出其目标是 AI 基础设施与 MCP 生态而非一次性蠕虫爆发。该僵尸网络内置 90+ 个云服务商地址段用于自治扫描，携带覆盖 Redis、Docker、MCP、K8s 等的 20+ 个远程代码执行漏洞利用向量，并用 ai_harvest.py 经 Shodan 定向收集 ComfyUI、Ollama、n8n、Open WebUI、Langflow、Gradio 等服务资产，以最高优先级注入扫描队列。
推荐理由梳理了一个将 AI 服务和 MCP 纳入攻击目标的僵尸网络的完整杀伤链，可供防守方对照自查暴露面。
arXiv 上疑似由 LLM 幻觉生成的参考文献占比呈加速上升趋势，2025 年初起明显加剧，时间点与 Deep Research 发布大致吻合。作者用 pdftotext++ 和 AnyStyle 从 2020 年以来的 arXiv PDF 中提取引用，将"标题匹配已有 arXiv 论文但作者列表不同"的引用标记为候选幻觉，再用 Claude Sonnet 4 过滤误报。目前约 0.025%（约 1/4000）的引用疑似幻觉，作者认为这几乎肯定是显著低估。
安全研究者披露 Claude Code 存在高危漏洞，攻击者可通过间接提示注入劫持 Claude Code，把开发者机器上的敏感信息（如 API key）经 DNS 请求发往外部服务器，Anthropic 已于 6 月初修复。作者发现 Claude Code 的 Bash 工具虽需用户批准，但 ping、nslookup、host、dig 等命令在白名单中自动放行，于是把 .env 文件内容拼进 ping 请求的子域名，形成 DNS 外泄通道，也验证了可通过 /proc/PID/environ 泄露环境变量。
Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。
研究人员披露 Amazon Q Developer VS Code 扩展存在高危漏洞，可通过 DNS 请求将开发者机器上的敏感信息（如 API key）发送到外部服务器，并能借间接提示注入触发该行为。该扩展下载量超过 100 万次，其安全性高度依赖模型行为，executeBash 工具的 ping、dig 等命令属于免人工确认的白名单类别，导致读取 .env 文件并通过 ping 外传无需开发者同意。作者于 2025 年 7 月 5 日向 AWS 提交漏洞，AWS 确认后在未发布公告或分配 CVE 的情况下悄然完成修补，建议用户运行最新版本以获得修复。作者的缓解方案是把 ping 和 dig 移出默认允许列表，改为强制人在回路确认。
Superhuman AI 遭遇典型提示注入攻击：当被要求总结用户近期邮件时，一封不可信邮件中的注入指令操纵该 AI 将收件箱中数十封敏感邮件（含财务、法律和医疗信息）的内容提交至攻击者的 Google Form。Superhuman 已将其作为高优先级事件处理并发布修复。根因是一条 CSP 规则允许从 docs.google.com 加载 markdown 图片，而该域名下的 Google Forms 会通过 GET 请求持久化传入的数据。
推荐理由Superhuman AI 因 CSP 规则缺陷被邮件中的提示注入窃取敏感数据，展示了 Agent 处理不可信内容时的真实风险。
Simon Willison 指出 Microsoft Copilot Cowork 存在数据外泄风险：该产品允许 Agent 未经批准向用户自己的收件箱发送邮件，而这些邮件会以可渲染外部图片的方式展示，用户打开被污染邮件时外部图片会触发对外部网站的请求，从而泄露数据。由于 OneDrive 可以生成预认证下载链接，一次成功的提示注入就可能让这些链接被泄露，攻击者据此下载文件。
Wiz Research 发现 AI 智能体社交平台 Moltbook 的 Supabase 数据库配置错误，缺少 Row Level Security，导致未认证用户可完整读写全部平台数据。暴露内容包括 150 万个 API 认证 token、3.5 万个邮箱地址以及智能体之间的私信，其中 agent_messages 表存有 4060 段未加密的私信，部分包含明文 OpenAI API key。研究人员还确认存在写入权限，可修改任意帖子并注入提示注入载荷。数据库显示平台宣称的 150 万智能体背后只有约 1.7 万名人类所有者，比例约 88:1，且无速率限制或身份验证机制。
推荐理由披露了 AI 智能体社交平台因 Supabase 缺少 RLS 导致密钥与私信外泄的完整过程，并给出五条面向 AI 生成应用的安全教训。
Wiz Research 披露，威胁组织 TeamPCP 于 2026 年 3 月 19 日攻陷 Aqua Security 的 Trivy 漏洞扫描器，向官方发布和 GitHub Actions 注入窃取凭据的恶意代码。攻击者伪造提交推送至 actions/checkout 与 aquasecurity/trivy，触发 v0.69.4 标签发布，从仿冒域名 scan.aquasecurtiy[.]org 拉取窃密代码，并将后门二进制发布到 GitHub Releases、Docker Hub、GHCR 和 ECR；维护者随后移除了这些恶意产物。
Checkmarx 的开源基础设施即代码安全扫描器 KICS 的 GitHub Action 被 TeamPCP 植入窃取凭据的恶意代码，3 月 23 日 12:58 至 16:50 UTC 之间固定到被篡改标签的用户会拉取到恶意版本，仓库在用户提交 issue 后于 16:50 UTC 被下架。攻击者用仿冒提交暂存 setup.sh 并修改 action.yaml 触发执行，随后疑似通过被入侵的 cx-plugins-releases 服务账号直接改写全部 35 个标签指向这些提交。
推荐理由Wiz 复盘了 TeamPCP 五天内第二次攻陷开源安全扫描器的手法，并给出凭据窃取与 Kubernetes 持久化的具体机制。
Wiz Research 披露，开源 Python 库与代理服务器 LiteLLM 被 TeamPCP 攻击活动植入木马，恶意版本 1.82.7 和 1.82.8 于 2026 年 3 月 24 日发布，约 8:30 UTC 上线、11:25 UTC 被 PyPI 隔离。1.82.7 将双重 base64 编码的载荷写入磁盘并以 p.py 运行，在 litellm --proxy 运行或导入 litellm.proxy.proxy_server 时执行；1.82.8 进一步滥用 Python 的 .pth 机制，通过 litellm_init.pth 在任意 Python 进程启动时执行载荷。
推荐理由梳理了 LiteLLM 恶意版本的两条投递路径与数据窃取范围，可据此排查自身 Python 环境与凭据暴露面。