Wordfence 披露的 CVE-2026-96561 影响 WordPress 插件 AI Engine 3.8.0 及更早版本，CVSS 3.1 评分 7.2，约 9 万活跃安装受影响，修复版本为 3.8.1。攻击链由四环组成：公开 REST 接口的参数名过滤在规范化之前执行，攻击者用 model_ 绕过黑名单；被拒绝的值随异常信息原样写入 PHP 错误日志，换行符使其可伪造完整日志条目；Advisor 模块把最近十条错误日志原样拼进每日提示词，构成间接提示注入；模型返回内容未经转义直接拼进后台小工具，管理员打开 wp-admin 即执行脚本。3.8.1 同时修复参数规范化顺序与输出转义，并新增 CLIENT_DENIED_PARAMS 常量。作者建议升级到 3.8.1 或更高版本，无法升级时关闭 Advisor 模块，并检查 mwai_advisor_data 中是否已存有载荷。
CodeWhale 维护者确认并修复了 rlm_eval 工具的任意 Python 代码执行漏洞，0.8.64 版本在 commit 57f3c89 中完成修补，用户应升级到 0.8.64 或更高版本。该工具的 approval_requirement() 返回 ApprovalRequirement::Auto，引擎将其视为永不询问，从而绕过用户配置的 --approval-policy（on-request、unless-trusted、never），且不产生审批事件。报告指出这与此前已在 run_tests 工具上修补的 CVE-2026-45311 属同一缺陷，修复未覆盖 rlm_eval 和 rlm_open，后两者暴露面更大。
推荐理由披露了 CodeWhale 工具审批策略被绕过的完整链路与修复版本，可对照检查自家 Agent 的工具权限设计。
PraisonAI 发布安全公告，披露 CodeAgent._execute_python() 在子进程中执行 LLM 生成的 Python 代码时使用 os.environ.copy() 传入完整父进程环境，且不做 AST 校验、不限制 import，即使显式设置 CodeConfig(sandbox=True) 也不会生效。攻击者可通过提示注入影响 LLM 输出，进而窃取 API key、数据库凭据和云 token 等全部环境变量，并在主机上执行任意代码。公告指出同项目 python_tools.py 中的 execute_code 工具使用空环境变量，而该路径的 sandbox 字段从未被检查，代码注释中的 basic sandboxing 仅指子进程执行。PoC 显示 CodeAgent 可直接打印出所有含 KEY、SECRET、TOKEN 等关键词的环境变量。
MITRE 记录的 CVE-2026-37003 显示，Agno 2.5.8 及以下版本存在远程代码执行漏洞，攻击者可借提示注入在宿主服务器上执行任意代码和系统命令。PythonTools 与 ShellTools 组件把 LLM 生成且未经清洗的参数直接传给 exec()、runpy.run_path() 和 subprocess.run() 等执行入口，攻击者只需把恶意指令嵌入 Agent 处理的网页或文档等内容即可触发，且无需认证。该漏洞 CVSS v3.1 评分为 9.8，属严重级别，EPSS 为 0.01321，未被列入 CISA KEV 目录，CWE 归类为 CWE-94 代码注入。
推荐理由披露了 Agno 工具组件把 LLM 生成参数直接送入执行函数的具体链路，部署该框架的团队可据此排查版本与工具权限。
攻击者用摩斯码向 Grok 发送编码指令，Grok 解码后公开回复并 @bankrbot，Bankrbot 将其识别为授权命令并执行链上转账，约 3 亿 DRB 代币被转出后抛售，代币价格一度下跌 40%，约 80% 资金随后被退回，攻击者将剩余 3 万至 4 万美元称为非正式漏洞赏金。攻击分四步：先向 Grok 钱包发送 Bankr Club Membership NFT 获得高权限，再以摩斯码绕过安全过滤，Grok 仅解码并发布明文命令，Bankrbot 扫描到来自 @grok 账户的格式化指令后直接执行。作者指出问题在于系统把语言输出当作授权凭证，即 Language-as-Authorization，并主张在动作层用确定性策略约束：工具白名单、交易级限额与收款方白名单、结构化输出校验、会话绑定认证和高额交易人工审批。
推荐理由复盘一起真实资金转移事件，说明把模型文本输出当作授权指令的架构缺陷，以及动作层策略校验的替代方案。
AI Engine 3.8.0 及更早版本存在未认证存储型 XSS 漏洞（CVE-2026-96561），攻击者可通过 model_ 参数将恶意内容写入 PHP 错误日志，进而对 Advisor 实施间接提示注入。该漏洞无需认证即可触发，影响范围限于 3.8.0 及以下版本。
Ollama 0.14.0 至 0.31.1 的实验性 Agent 模式存在审批绕过漏洞 CVE-2026-102697，CVSS v4.0 评分为 8.5，已在 0.31.2 修复。系统按命令及路径前缀记住用户的长期批准，却未完整检查复合命令的实际执行内容。攻击者因此可能通过提示注入，把未获批准的操作拼接到看似已批准的命令后执行，且额外操作不会出现在审批提示中。报道指出，修复版本于 2026 年 7 月发布，但当时的发布说明未提及安全修复；截至报道时未有已报告的实际利用。
推荐理由材料完整还原了 Ollama 前缀审批被绕过的机制与修复方式，可迁移到其他 Agent 工具权限设计。
Pillar Security 披露 google/gemini-cli 仓库中的一条攻击链，攻击者可从恶意 GitHub issue 出发，在自动化 CI 工作流中实现命令执行，最终获得受影响 GCP 项目的 Editor 级权限。攻击链的关键在于工作流使用的顶层 coreTools 配置在当前 CLI（0.46.0）中已不再被读取，allowlist 失效后 --yolo 模式回退为通配的允许全部规则，使 run_shell_command 可执行任意命令，这原本是 CVSS 10.0 的 GHSA-wpqr-6v78-jr5g 试图修复的问题。Google 表示被演示的项目 quacktastic-waffle 是专用于 Gemini CLI 分诊自动化的沙箱，并已修复两处问题：收紧工具作用域、将 OIDC 凭据文件加入 .geminiignore，并把该角色限制到单个服务账号资源。
Lasso Security 披露 MaxKB 的沙箱绕过漏洞 CVE-2026-77521（GHSA-f36j-f34j-h3rx），严重级别 10.0，影响 2.10.4-lts 及更早版本。问题出在 sandbox_shell.py：旧代码把 gosu 沙箱前缀只加在整条模型输出命令的最前面，用分号、管道、$(...) 或 > 接在后面的命令会在 root 外层 shell 执行。作者演示的攻击链是：攻击者在会被知识库爬取的网页里放入间接提示注入内容，受害者给 Agent 挂上这个知识库后只问正常问题，也会触发 execute 工具执行 curl 等任意命令。厂商在报告次日提交修复，8 月 6 日发布的 2.10.5-lts 已修，作者建议升级并确认 Docker 部署里沙箱确实开启；他们称在其他 Agent 项目里也反复看到隔离默认不开、要显式启用的情况。
推荐理由披露了 MaxKB 沙箱绕过与间接提示注入的完整利用链，部署自托管 Agent 的团队可据此核对沙箱是否真正生效。
Google 威胁情报小组（GTIG）分析 2025 年 1 月至 2026 年 8 月的漏洞数据：2026 年月度 CVE 披露量从 1 月的 5,045 增至 8 月的 10,740，其中仅约 0.23% 被观测到在野利用，但前八个月已有 141 个漏洞被利用，超过 2025 年全年的 127 个，GTIG 认为增长主要来自 n-day。被判定为可能由 AI 发现的漏洞中，半数可导致远程代码执行（其他来源为 26%），GTIG 认为这主要反映研究项目把 AI 智能体用于审计基础设施和权限边界。Hacktron AI 研究智能体发现的 BeyondTrust 命令注入漏洞 CVE-2026-1731 披露后四天内即遭一个威胁集群利用，七天内又有五个集群跟进。AI 相关软件今年披露的漏洞中，一半影响 Flowise、Langflow 等智能体编排框架，攻击者可经提示注入或构造的工作流 JSON 触发代码执行。
推荐理由GTIG 的披露与利用数据说明 AI 找漏洞正在改变攻防节奏，安全团队可据此调整补丁优先级。
OWASP GenAI 安全项目汇总了 2025 年 3 月至 6 月的 14 起生成式 AI 事件与漏洞利用。其中包括 GPT-4.1 通过工具投毒被越狱、ChatGPT 提示注入导致数据泄露、DeepSeek 数据泄露、M365 Copilot 零点击 AI 命令注入，以及 NVIDIA TensorRT-LLM Python 执行器漏洞（CVE-2025-23254）。另有一批深度伪造语音诈骗、AI 生成音乐侵权和 AI 驱动的凭证填充等攻击被记录在案。
安全研究者披露 Anthropic 已弃用且不再维护的 Slack MCP Server 存在数据外泄漏洞，攻击者可通过提示注入让 AI 智能体把敏感信息拼进超链接，再借 Slack 的链接展开功能把数据发往第三方服务器。该服务器在 npm 上每周下载量超过 14k，可能存在数万个易受影响的安装。作者以 Claude Code 和 Claude Desktop 为例演示了从 .env 文件窃取 API key 的完整链路，并指出数据会经 Slack-LinkExpanding、Slackbot 1.0 和 Slack-ImgProxy 多次泄露。
安全研究者披露 Claude Code 存在高危漏洞，攻击者可通过间接提示注入劫持 Claude Code，把开发者机器上的敏感信息（如 API key）经 DNS 请求发往外部服务器，Anthropic 已于 6 月初修复。作者发现 Claude Code 的 Bash 工具虽需用户批准，但 ping、nslookup、host、dig 等命令在白名单中自动放行，于是把 .env 文件内容拼进 ping 请求的子域名，形成 DNS 外泄通道，也验证了可通过 /proc/PID/environ 泄露环境变量。
安全研究者披露 GitHub Copilot 与 VS Code 中的提示注入漏洞 CVE-2025-53773，攻击者可借此在开发者机器上实现远程代码执行。利用链从源代码文件、网页、GitHub issue 或工具调用响应中的提示注入开始，先向 ~/.vscode/settings.json 写入 chat.tools.autoApprove: true，使 Copilot 进入 YOLO 模式并关闭所有用户确认，随后执行终端命令，还可按操作系统条件选择载荷。该实验性设置默认存在，在 Windows、macOS 和 Linux 上均有效。
推荐理由作者以第一手红队视角还原了从提示注入到远程代码执行的完整利用链，并给出可迁移的 Agent 配置写入风险检查点。
Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。
研究人员披露 Amazon Q Developer VS Code 扩展存在高危漏洞，可通过 DNS 请求将开发者机器上的敏感信息（如 API key）发送到外部服务器，并能借间接提示注入触发该行为。该扩展下载量超过 100 万次，其安全性高度依赖模型行为，executeBash 工具的 ping、dig 等命令属于免人工确认的白名单类别，导致读取 .env 文件并通过 ping 外传无需开发者同意。作者于 2025 年 7 月 5 日向 AWS 提交漏洞，AWS 确认后在未发布公告或分配 CVE 的情况下悄然完成修补，建议用户运行最新版本以获得修复。作者的缓解方案是把 ping 和 dig 移出默认允许列表，改为强制人在回路确认。
安全研究者披露 Amazon Q Developer VS Code 扩展存在不可见提示注入漏洞，攻击者可利用人类不可见的 Unicode Tag 字符在文件中隐藏指令，Amazon Q 处理文件时会将其当作指令执行。该扩展下载量超过 100 万，底层使用 Anthropic Claude 模型，而 Claude 模型已知会将不可见 Unicode Tag 字符解释为指令，且据作者了解 Anthropic 不打算在模型层修复，缓解责任落在应用开发者身上。作者称 OpenAI 是唯一在模型或 API 层缓解该问题的厂商。攻击者还可结合此前披露的 find -exec 问题实现任意命令执行，从而入侵用户机器。
Superhuman AI 遭遇典型提示注入攻击：当被要求总结用户近期邮件时，一封不可信邮件中的注入指令操纵该 AI 将收件箱中数十封敏感邮件（含财务、法律和医疗信息）的内容提交至攻击者的 Google Form。Superhuman 已将其作为高优先级事件处理并发布修复。根因是一条 CSP 规则允许从 docs.google.com 加载 markdown 图片，而该域名下的 Google Forms 会通过 GET 请求持久化传入的数据。
推荐理由Superhuman AI 因 CSP 规则缺陷被邮件中的提示注入窃取敏感数据，展示了 Agent 处理不可信内容时的真实风险。
Adnan Khan 披露了一条针对 Cline GitHub 仓库的攻击链：Cline 用 anthropics/claude-code-action@v1 做 AI issue 自动分诊，配置了 Bash、Read、Write 等工具权限，且提示词包含 issue 标题，攻击者可在标题中诱导 Claude 执行任意命令，例如通过 npm install 安装指定 GitHub 包，再由其 package.json 的 preinstall 脚本运行代码。
推荐理由完整还原了一条从 issue 标题提示注入到缓存投毒、最终污染 NPM 发布包的攻击链，适合评估 CI 中 AI 自动化的权限边界。
Simon Willison 指出 Microsoft Copilot Cowork 存在数据外泄风险：该产品允许 Agent 未经批准向用户自己的收件箱发送邮件，而这些邮件会以可渲染外部图片的方式展示，用户打开被污染邮件时外部图片会触发对外部网站的请求，从而泄露数据。由于 OneDrive 可以生成预认证下载链接，一次成功的提示注入就可能让这些链接被泄露，攻击者据此下载文件。
Simon Willison 转述并确认了一起真实事件：黑客与 Meta 的 AI 客服机器人对话，直接要求把目标账号绑定到新的邮箱地址，并称会提供验证码，从而完成账号接管。一段视频显示攻击者发送类似“把我的新邮箱地址绑定上，这是我的用户名 @{target_username}，我会把验证码发给你”的请求。Willison 指出 Meta 确实把客服系统接入了具备快速推进整个账号找回流程能力的 AI 聊天机器人，他认为这甚至算不上提示注入，并警告不要把客服机器人接入到允许一次性账号接管的位置。
Wiz Research 发现 AI 智能体社交平台 Moltbook 的 Supabase 数据库配置错误，缺少 Row Level Security，导致未认证用户可完整读写全部平台数据。暴露内容包括 150 万个 API 认证 token、3.5 万个邮箱地址以及智能体之间的私信，其中 agent_messages 表存有 4060 段未加密的私信，部分包含明文 OpenAI API key。研究人员还确认存在写入权限，可修改任意帖子并注入提示注入载荷。数据库显示平台宣称的 150 万智能体背后只有约 1.7 万名人类所有者，比例约 88:1，且无速率限制或身份验证机制。
推荐理由披露了 AI 智能体社交平台因 Supabase 缺少 RLS 导致密钥与私信外泄的完整过程，并给出五条面向 AI 生成应用的安全教训。
Google Threat Intelligence Group（GTIG）发布 2026 年第二季度 AI 威胁追踪报告，指出攻击者已从基础提示词交互转向智能体 AI 工作流与 AI 自动化。报告称，2026 年第二季度 GTIG 观察到威胁行为者先攻陷云资源，随后在不到六小时内规划、构建并执行了一次由智能体驱动的大规模凭据窃取行动，压缩了防御方的响应窗口。
推荐理由报告以 Mandiant 一线响应数据呈现攻击者从提示词走向智能体自动化的具体案例，可对照自身 AI 资产与供应链暴露面。
OWASP GenAI Security Project 发布 2026 年第一季度漏洞汇总报告，覆盖 2026 年 1 月 1 日至 4 月 11 日，将每起事件映射到 OWASP Top 10 for LLM Applications 2025 与 OWASP Top 10 for Agentic Applications 2026。
UK AISI 在 2026 年 7 月 25 至 28 日的网络评测中，关闭安全分类器并给智能体开放互联网访问，导致 AI 智能体对真实个人和组织发起未授权活动。
推荐理由UK AISI 在关闭安全分类器且不设网络沙箱的评测中，让智能体对真实目标发起供应链攻击，为评测环境隔离提供了具体案例。