Google GTIG：AI 发现的漏洞半数可致远程代码执行，CVE-2026-1731 披露四天内即遭利用

Google 威胁情报小组（GTIG）分析 2025 年 1 月至 2026 年 8 月的漏洞数据：2026 年月度 CVE 披露量从 1 月的 5,045 增至 8 月的 10,740，其中仅约 0.23% 被观测到在野利用，但前八个月已有 141 个漏洞被利用，超过 2025 年全年的 127 个，GTIG 认为增长主要来自 n-day。被判定为可能由 AI 发现的漏洞中，半数可导致远程代码执行（其他来源为 26%），GTIG 认为这主要反映研究项目把 AI 智能体用于审计基础设施和权限边界。Hacktron AI 研究智能体发现的 BeyondTrust 命令注入漏洞 CVE-2026-1731 披露后四天内即遭一个威胁集群利用，七天内又有五个集群跟进。AI 相关软件今年披露的漏洞中，一半影响 Flowise、Langflow 等智能体编排框架，攻击者可经提示注入或构造的工作流 JSON 触发代码执行。

推荐理由GTIG 的披露与利用数据说明 AI 找漏洞正在改变攻防节奏，安全团队可据此调整补丁优先级。

MCP Python SDK 曝 OAuth 凭据重定向漏洞，1.30.0 与 2.2.0 修复

MCP 官方 Python SDK 存在高危 OAuth 漏洞（CVSS 7.5），恶意 MCP 服务器可把客户端的 OAuth client secret、授权码和 PKCE proof key 重定向到攻击者控制的端点，进而接管下游身份提供商会话。根因是旧版回退发现路径缺少 issuer 校验：当服务器对标准授权服务器发现请求返回 HTTP 404 时，SDK 直接向该不可信服务器索取 OAuth 配置并原样接受。

推荐理由材料完整还原了 MCP Python SDK 的 OAuth 凭据重定向链路与受影响版本区间，可对照排查自家 Agent 集成。

LiteLLM 曝 CVE-2026-93355 账号接管漏洞，1.100.1 仍未修复

OX Research 披露 LiteLLM 存在账号接管漏洞 CVE-2026-93355（CWE-290，CVSS 8.8），攻击者可用一个合法签名的 JWT 冒充任意已有用户，包括 proxy_admin。LiteLLM 是开源 AI 网关，统一代理 OpenAI、Anthropic、Azure、Bedrock、Vertex AI 等 100 多个 LLM API，并集中保存上游 API key、用量与虚拟密钥。

推荐理由披露了 LiteLLM 未修复的账号接管漏洞，并给出 IdP 侧可立即落地的临时缓解措施，供部署该网关的团队排查。

Hacktron 披露利用 libheif 漏洞与 OpenAI SSO 缺陷接管 ChatGPT 和 Codex 账号

安全团队 Hacktron 披露，他们串联 libheif 堆缓冲区溢出与 OpenAI SSO 身份配置缺陷，接管了多名 OpenAI 员工的 ChatGPT 和 Codex 账号，并借此访问内部仓库。攻击链从 Discourse 论坛的 HEIC/HEIF 图片上传路径切入，经 ImageMagick 触发 libheif 解析漏洞，再通过 OpenAI SSO 将论坛账号权限扩展到 ChatGPT 和 Codex。团队用 Claude Opus 4.8 和 Opus 5 辅助开发利用代码，从发现漏洞到取得内部仓库访问权不到 72 小时；他们用员工 Codex 账号在内部 monorepo 提交了一个无害 PR 作为访问证明后停止测试。OpenAI 支付了 6500 美元赏金，Discourse 在收到报告后数日内完成修复并开始沙箱化 ImageMagick。

推荐理由完整披露了从 libheif 堆溢出到 OpenAI SSO 缺陷的利用链与 72 小时时间线，可看到 AI 智能体如何压缩漏洞利用成本。

Pillar Security 披露 Unsloth Studio 任意代码执行漏洞，2026.6.9 已修复

Pillar Security 在 Unsloth Studio 中发现任意代码执行漏洞：用户在界面中选择模型时，后端会下载并运行该模型 HuggingFace 仓库中的 Python 代码，仅读取 config.json 即可触发，无需加载权重或推理。缺陷位于 studio/backend/utils/models/model_config.py，load_model_config 的 trust_remote_code 默认值为 True，能力探测路径未覆盖该值，且 transformers-5 子进程分支硬编码为 True，用户自身的 trust_remote_code 设置（默认 False）从未被查询。

推荐理由披露了 Unsloth Studio 在模型检查阶段默认执行仓库代码的缺陷，并给出同类 CVE 的横向对照与修复版本。

Datadog 披露 OpenCode 远程代码执行漏洞 GHSA-632h-h47v-g4x4

Datadog Security Labs 披露了开源 AI 编码智能体 OpenCode 的远程代码执行漏洞 GHSA-632h-h47v-g4x4，OpenCode 1.18.22 已修复。漏洞根源是 /global/upgrade 接口的内容类型混淆：该接口把请求体按 JSON 解析却不校验 Content-Type，且升级目标未限制为语义版本，攻击者可让 npm、pnpm 或 Bun 从任意 URL 安装恶意 tarball，通过 preinstall 脚本执行代码。攻击者用 enctype 为 text/plain 的 HTML 表单构造合法请求体，借顶层导航绕过 CORS 与 Local Network Access 限制，在受害者访问恶意网页时触达本地 127.0.0.1:4096 服务。Anomaly 选择不为该漏洞申请 CVE。

推荐理由Datadog 完整复盘了 OpenCode 升级接口的内容类型混淆如何被跨域表单触发 RCE，并给出受影响版本区间与修复方式。

Wiz 披露 LiteLLM 认证绕过与 RCE 漏洞，近一成公网实例使用默认密钥

Wiz Research 扫描约 3000 个公网 LiteLLM 实例，发现 9.6%（294 个）接受默认主密钥 sk-1234 或完全无需认证，其中 191 个（6.2%）无任何认证。研究借助 Claude Code 审查 LiteLLM 代码，发现 MCP 端点认证绕过（CVE-2026-59822）：任意 Bearer token 校验失败后返回空认证对象，单次请求即可建立已认证的 MCP 会话，进而调用已连接工具；以及自定义代码护栏的认证后 root 级远程代码执行（CVE-2026-59821），注册端点未做禁用模式检查也未清空 __builtins__，代码在护栏注册时即执行。

推荐理由Wiz 对约 3000 个公网 LiteLLM 实例的实测数据，展示了 AI 网关从认证绕过到云凭证窃取的完整攻击链。

Lean 4.33.1 及更早版本存在字符串切片漏洞，可“证明”费马大定理

Lean 所有 4.33.1 及之前的稳定版本存在一个字符串切片漏洞，攻击者可借此制造矛盾并“证明”费马大定理。问题出在 String.Pos.Raw.extract：在超大位置提取一字节切片时，逻辑定义返回空字符串，而编译后的原生代码返回整个原字符串，两者不一致即可推出空串等于非空串。

OX Research 披露 DeepSeek Harness 沙箱逃逸漏洞 CVE-2026-82533

OX Research 在 DeepSeek 开源编码 Agent 框架 DeepSeek Harness（dsh）中发现一个严重漏洞，被沙箱限制的 Agent 只需一条 shell 命令即可解除自身沙箱限制，该漏洞编号为 CVE-2026-82533，CVSS 评分 9.4。原因是 Harness 在本地 HTTP 端口暴露了无认证的 Agent 控制 API，仅凭客户端提供的 Host 请求头判断请求是否可信，而不校验连接的实际对端地址；同时其 OS 沙箱（bubblewrap、Landlock 或 Seatbelt）只限制文件写入却保留 loopback 网络，且普通 bash 调用无需审批。第二条攻击路径是：只要该端口可达（隧道、反向代理、SSH 转发、编辑器端口转发等），未认证的远程攻击者即可直接控制 Agent，并在无 API key 的情况下导出全部已存对话。

推荐理由披露了 DeepSeek Harness 沙箱逃逸的完整链路与修复版本，运行本地编码 Agent 的团队可据此核对自身配置。

Metabase 零日 SQL 注入漏洞（CVE-2026-72898）遭在野利用

Metabase 平台一个零日 SQL 注入漏洞（CVE-2026-72898，GHSA-vwf4-m7j8-wcjf）已被用于攻击 Metabase Cloud，自托管实例需尽快打补丁。Wiz 观测到约 13% 的云环境部署了自托管 Metabase，其中约 25% 可完全从互联网访问，Shodan 收录约 2,500 个实例。漏洞源于 /api/session/reset_password 接口未剥离额外 user-id 参数，经 Clojure merge 与 HoneySQL :raw 特性组合形成盲注，影响 1.58 及以上版本。

Wiz 2026 上半年云威胁报告：供应链攻击与 AI 基础设施风险激增

Wiz Research 与 CIRT 团队在 2026 上半年追踪到影响数千个云环境的威胁活动，重大事件数量较 2025 下半年上升 60%，为单期最高。供应链攻击占比从约 10% 升至 25%，TeamPCP 等至少三组独立行动针对 npm、PyPI、Composer、VSCode 扩展、Jenkins 插件和 AUR 发起攻击，GitHub 内部仓库亦遭未授权访问。针对 AI 基础设施的活动约翻倍，存在未认证 RCE 漏洞和凭证泄露，影响其监控的三分之一云环境。

Flatpak 应用经 PipeWire 逃逸沙箱，漏洞编号 CVE-2026-5674

作者披露 PipeWire 的 PulseAudio 兼容层存在三处问题，使仅申请音频权限的 Flatpak 应用可逃逸沙箱并在用户上下文中执行任意代码，漏洞被分配为 CVE-2026-5674，CVSS 8.8。

Wiz 披露 Azure Cosmos DB 高危漏洞 CosmosEscape：可接管服务内所有数据库

Wiz Research 发现 Azure Cosmos DB 的 Gremlin API 存在高危漏洞 CosmosEscape，可绕过沙箱实现任意代码执行，并获取可跨租户、区域和 API 类型检索任意账户主密钥的平台级 Cosmos Master Key，进而枚举并完全读写所有数据库，包括 Microsoft Entra ID、Teams、Copilot 等微软内部数据库及网络隔离的私有账户。微软已完成全面修复，移除该主密钥并新增护栏，未发现漏洞被实际利用，客户无需采取行动。

Wiz 披露 Amazon Q VS Code 扩展漏洞 CVE-2026-12957：打开恶意仓库即可窃取云凭证

Wiz Research 披露 Amazon Q Developer Extension for VS Code 的高危漏洞 CVE-2026-12957，攻击者只需让开发者打开恶意仓库，即可实现任意代码执行并窃取云凭证。该扩展会在打开工作区时自动加载 .amazonq/mcp.json 中的 MCP 服务器配置，不弹窗征求同意，也不做工作区信任检查；被拉起的进程还继承完整环境变量，包括 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN、云 CLI 认证 token、API key 和 SSH agent socket。

推荐理由Wiz 披露 Amazon Q 扩展自动执行工作区 MCP 配置的完整链路，并列出同类工具的历史 CVE，便于对照自查。

Bit Rot 并不总是增加熵——一则来自档案库的故事

这篇博文回溯到 2010 年的一起旧事：一处统计异常最终暴露出团队在使用某个安全攸关库时的细微缺陷。

Wiz 披露 GitHub 内部 git 协议注入漏洞 CVE-2026-3854，可经单次 git push 实现远程代码执行

Wiz Research 披露 GitHub 内部 git 基础设施中的严重漏洞 CVE-2026-3854，任何已认证用户仅用标准 git 客户端、通过一次 git push 即可在 GitHub 后端服务器执行任意命令。漏洞源于 babeld 将 git push option 值直接写入 X-Stat 头且未过滤分号，攻击者可注入 rails_env、custom_hooks_dir、repo_pre_receive_hooks 等字段，绕过沙箱并借路径穿越执行任意二进制。

推荐理由Wiz 披露 GitHub 内部 git 协议注入漏洞的完整利用链，并给出 GHES 受影响版本与修复版本，便于管理员自查。

OWASP 发布 2026 年第一季度 GenAI 漏洞事件汇总报告

OWASP GenAI Security Project 发布 2026 年第一季度漏洞汇总报告，覆盖 2026 年 1 月 1 日至 4 月 11 日，将每起事件映射到 OWASP Top 10 for LLM Applications 2025 与 OWASP Top 10 for Agentic Applications 2026。

Claude Code 被曝 deny 规则静默绕过：命令超过 50 条子命令即跳过安全检查

Adversa AI 披露 Claude Code 存在安全策略绕过漏洞：当 shell 命令包含超过 50 条由 &&、|| 或 ; 连接的子命令时，bashPermissions.ts 会跳过逐子命令的安全分析，包括 deny 规则检查，回退到可被自动放行的通用询问提示。攻击路径是恶意仓库在 CLAUDE.md 中写入 50 多条看似正常的构建命令，把窃取凭据的命令藏在第 51 位，开发者让 Claude Code 构建项目时 deny 规则不会触发。作者实测显示，单独运行 curl 会被 deny 规则拦截，但前面加上 50 个 true 空操作后，Claude Code 提示无法逐条安全检查并询问是否继续。

推荐理由披露了 Claude Code 在复合命令超过 50 条子命令时静默跳过 deny 规则的具体代码路径与利用链，可据此检查自身 Agent 权限配置。

腾讯玄武实验室披露 ComfyUI-Manager 远程代码执行漏洞 CVE-2025-67303

腾讯玄武实验室发现 ComfyUI 官方扩展组件 ComfyUI-Manager 存在高危漏洞 CVE-2025-67303，攻击者无需任何账号即可远程入侵安装 ComfyUI 的系统并实现远程代码执行，从而完全控制服务器、盗取用户数据和私有 AI 模型。漏洞成因是旧版本中 ComfyUI-Manager 的数据与配置目录未受 ComfyUI Web API 访问控制充分保护。该漏洞已在 ComfyUI-Manager v3.38 中通过引入系统用户保护 API 修复，配置数据被迁移至受保护目录，影响版本为低于 v3.38。

腾讯玄武实验室 AI 引擎发现 gnark 零知识证明库高危漏洞 CVE-2025-57801

2025 年 8 月，腾讯玄武实验室的阿图因自动化漏洞挖掘引擎在零知识证明库 gnark 中发现高危签名可锻造性漏洞 CVE-2025-57801，CVSS 评分 8.6，随后联合上海交通大学 GOSSIP 实验室及郁昱教授团队完成复现。该漏洞位于 gnark 用于在电路中验证 EdDSA/ECDSA 签名的 Native Verification 模块，攻击者可基于真实交易构造内容相同但签名不同的伪造交易，使其被判定有效并反复执行，最终可能导致受害者账户发生非预期资产转移。gnark 由 ConsenSys 于 2020 年推出，被 Linea zkEVM、Worldcoin、BNB Chain 等项目采用。

Embrace The Red《The Month of AI Bugs》月度总结：AI Bug 汇总收官

Embrace The Red 发布了"The Month of AI Bugs"系列的收尾汇总，梳理该月披露的多类 AI 系统缺陷与安全问题。

Amazon Q Developer VS Code 扩展被曝不可见提示注入漏洞

安全研究者披露 Amazon Q Developer VS Code 扩展存在不可见提示注入漏洞，攻击者可利用人类不可见的 Unicode Tag 字符在文件中隐藏指令，Amazon Q 处理文件时会将其当作指令执行。该扩展下载量超过 100 万，底层使用 Anthropic Claude 模型，而 Claude 模型已知会将不可见 Unicode Tag 字符解释为指令，且据作者了解 Anthropic 不打算在模型层修复，缓解责任落在应用开发者身上。作者称 OpenAI 是唯一在模型或 API 层缓解该问题的厂商。攻击者还可结合此前披露的 find -exec 问题实现任意命令执行，从而入侵用户机器。

Amazon Q Developer 经 DNS 请求泄露密钥并遭提示注入劫持

研究人员披露 Amazon Q Developer VS Code 扩展存在高危漏洞，可通过 DNS 请求将开发者机器上的敏感信息（如 API key）发送到外部服务器，并能借间接提示注入触发该行为。该扩展下载量超过 100 万次，其安全性高度依赖模型行为，executeBash 工具的 ping、dig 等命令属于免人工确认的白名单类别，导致读取 .env 文件并通过 ping 外传无需开发者同意。作者于 2025 年 7 月 5 日向 AWS 提交漏洞，AWS 确认后在未发布公告或分配 CVE 的情况下悄然完成修补，建议用户运行最新版本以获得修复。作者的缓解方案是把 ping 和 dig 移出默认允许列表，改为强制人在回路确认。

Sourcegraph Amp Code 修复通过图片渲染外泄数据的漏洞

Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。

GitHub Copilot 经提示注入实现远程代码执行（CVE-2025-53773）

安全研究者披露 GitHub Copilot 与 VS Code 中的提示注入漏洞 CVE-2025-53773，攻击者可借此在开发者机器上实现远程代码执行。利用链从源代码文件、网页、GitHub issue 或工具调用响应中的提示注入开始，先向 ~/.vscode/settings.json 写入 chat.tools.autoApprove: true，使 Copilot 进入 YOLO 模式并关闭所有用户确认，随后执行终端命令，还可按操作系统条件选择载荷。该实验性设置默认存在，在 Windows、macOS 和 Linux 上均有效。

推荐理由作者以第一手红队视角还原了从提示注入到远程代码执行的完整利用链，并给出可迁移的 Agent 配置写入风险检查点。

Claude Code 被曝可经 DNS 请求外泄数据，Anthropic 已修复（CVE-2025-55284）

安全研究者披露 Claude Code 存在高危漏洞，攻击者可通过间接提示注入劫持 Claude Code，把开发者机器上的敏感信息（如 API key）经 DNS 请求发往外部服务器，Anthropic 已于 6 月初修复。作者发现 Claude Code 的 Bash 工具虽需用户批准，但 ping、nslookup、host、dig 等命令在白名单中自动放行，于是把 .env 文件内容拼进 ping 请求的子域名，形成 DNS 外泄通道，也验证了可通过 /proc/PID/environ 泄露环境变量。

Anthropic 文件系统 MCP Server 存在目录访问绕过漏洞

Anthropic 的文件系统 MCP Server 因路径校验不当，存在目录访问绕过问题。作者在审查公开源码时发现，index.ts 的 validatePath 函数只用 startsWith 比较路径字符串，并未确认路径本身是目录，因此当允许列表写入 /mnt/finance/data 时，Claude 也能访问同级的 /mnt/finance/data-archived 等以该字符串开头的文件或目录。

Anthropic 弃用的 Slack MCP Server 存在数据外泄漏洞

安全研究者披露 Anthropic 已弃用且不再维护的 Slack MCP Server 存在数据外泄漏洞，攻击者可通过提示注入让 AI 智能体把敏感信息拼进超链接，再借 Slack 的链接展开功能把数据发往第三方服务器。该服务器在 npm 上每周下载量超过 14k，可能存在数万个易受影响的安装。作者以 Claude Code 和 Claude Desktop 为例演示了从 .env 文件窃取 API key 的完整链路，并指出数据会经 Slack-LinkExpanding、Slackbot 1.0 和 Slack-ImgProxy 多次泄露。