全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态al-ice.ai
WordPress 插件 AI Engine 曝 CVE-2026-96561：日志注入经模型输出触发后台 XSS
Wordfence 披露的 CVE-2026-96561 影响 WordPress 插件 AI Engine 3.8.0 及更早版本，CVSS 3.1 评分 7.2，约 9 万活跃安装受影响，修复版本为 3.8.1。攻击链由四环组成：公开 REST 接口的参数名过滤在规范化之前执行，攻击者用 model_ 绕过黑名单；被拒绝的值随异常信息原样写入 PHP 错误日志，换行符使其可伪造完整日志条目；Advisor 模块把最近十条错误日志原样拼进每日提示词，构成间接提示注入；模型返回内容未经转义直接拼进后台小工具，管理员打开 wp-admin 即执行脚本。3.8.1 同时修复参数规范化顺序与输出转义，并新增 CLIENT_DENIED_PARAMS 常量。作者建议升级到 3.8.1 或更高版本，无法升级时关闭 Advisor 模块，并检查 mwai_advisor_data 中是否已存有载荷。
- 动态Hmbown/CodeWhale GHSA-wrj3-vj8c-784f（credit sai-sh）；CVE-2026-75858
CodeWhale 修复 rlm_eval 绕过审批策略的任意代码执行漏洞
CodeWhale 维护者确认并修复了 rlm_eval 工具的任意 Python 代码执行漏洞，0.8.64 版本在 commit 57f3c89 中完成修补，用户应升级到 0.8.64 或更高版本。该工具的 approval_requirement() 返回 ApprovalRequirement::Auto，引擎将其视为永不询问，从而绕过用户配置的 --approval-policy（on-request、unless-trusted、never），且不产生审批事件。报告指出这与此前已在 run_tests 工具上修补的 CVE-2026-45311 属同一缺陷，修复未覆盖 rlm_eval 和 rlm_open，后两者暴露面更大。
- 动态MervinPraison/PraisonAI advisory（reporter: anushkavirgaonkar）；NVD/CVE
PraisonAI 披露 CodeAgent 漏洞 CVE-2026-61447：执行 LLM 生成代码时泄露全部环境变量
PraisonAI 发布安全公告，披露 CodeAgent._execute_python() 在子进程中执行 LLM 生成的 Python 代码时使用 os.environ.copy() 传入完整父进程环境，且不做 AST 校验、不限制 import，即使显式设置 CodeConfig(sandbox=True) 也不会生效。攻击者可通过提示注入影响 LLM 输出，进而窃取 API key、数据库凭据和云 token 等全部环境变量，并在主机上执行任意代码。公告指出同项目 python_tools.py 中的 execute_code 工具使用空环境变量，而该路径的 sandbox 字段从未被检查，代码注释中的 basic sandboxing 仅指子进程执行。PoC 显示 CodeAgent 可直接打印出所有含 KEY、SECRET、TOKEN 等关键词的环境变量。
- 动态OpenCVE
Agno 2.5.8 及以下版本因提示注入可致远程代码执行（CVE-2026-37003）
MITRE 记录的 CVE-2026-37003 显示，Agno 2.5.8 及以下版本存在远程代码执行漏洞，攻击者可借提示注入在宿主服务器上执行任意代码和系统命令。PythonTools 与 ShellTools 组件把 LLM 生成且未经清洗的参数直接传给 exec()、runpy.run_path() 和 subprocess.run() 等执行入口，攻击者只需把恶意指令嵌入 Agent 处理的网页或文档等内容即可触发，且无需认证。该漏洞 CVSS v3.1 评分为 9.8，属严重级别，EPSS 为 0.01321，未被列入 CISA KEV 目录，CWE 归类为 CWE-94 代码注入。
- 动态deeprnd.medium.com
Grok 与 Bankrbot 事件：摩斯码提示注入致 3 亿 DRB 代币被转走
攻击者用摩斯码向 Grok 发送编码指令，Grok 解码后公开回复并 @bankrbot，Bankrbot 将其识别为授权命令并执行链上转账，约 3 亿 DRB 代币被转出后抛售，代币价格一度下跌 40%，约 80% 资金随后被退回，攻击者将剩余 3 万至 4 万美元称为非正式漏洞赏金。攻击分四步：先向 Grok 钱包发送 Bankr Club Membership NFT 获得高权限，再以摩斯码绕过安全过滤，Grok 仅解码并发布明文命令，Bankrbot 扫描到来自 @grok 账户的格式化指令后直接执行。作者指出问题在于系统把语言输出当作授权凭证，即 Language-as-Authorization，并主张在动作层用确定性策略约束：工具白名单、交易级限额与收款方白名单、结构化输出校验、会话绑定认证和高额交易人工审批。
- 动态CVE Program
AI Engine ≤3.8.0 存在未认证存储型 XSS（CVE-2026-96561），可经 PHP 错误日志注入实现 Advisor 间接提示注入
AI Engine 3.8.0 及更早版本存在未认证存储型 XSS 漏洞（CVE-2026-96561），攻击者可通过 model_ 参数将恶意内容写入 PHP 错误日志，进而对 Advisor 实施间接提示注入。该漏洞无需认证即可触发，影响范围限于 3.8.0 及以下版本。
- 动态threatfrontier.com
Ollama Agent 模式按前缀审批 Bash 命令，提示注入可串联执行任意命令（CVE-2026-102697）
Ollama 0.14.0 至 0.31.1 的实验性 Agent 模式存在审批绕过漏洞 CVE-2026-102697，CVSS v4.0 评分为 8.5，已在 0.31.2 修复。系统按命令及路径前缀记住用户的长期批准，却未完整检查复合命令的实际执行内容。攻击者因此可能通过提示注入，把未获批准的操作拼接到看似已批准的命令后执行，且额外操作不会出现在审批提示中。报道指出，修复版本于 2026 年 7 月发布，但当时的发布说明未提及安全修复；截至报道时未有已报告的实际利用。
- 动态Pillar Security
Pillar 披露 Gemini CLI 攻击链：GitHub issue 提示注入可致 GCP 项目权限失陷
Pillar Security 披露 google/gemini-cli 仓库中的一条攻击链，攻击者可从恶意 GitHub issue 出发，在自动化 CI 工作流中实现命令执行，最终获得受影响 GCP 项目的 Editor 级权限。攻击链的关键在于工作流使用的顶层 coreTools 配置在当前 CLI（0.46.0）中已不再被读取，allowlist 失效后 --yolo 模式回退为通配的允许全部规则，使 run_shell_command 可执行任意命令，这原本是 CVSS 10.0 的 GHSA-wpqr-6v78-jr5g 试图修复的问题。Google 表示被演示的项目 quacktastic-waffle 是专用于 Gemini CLI 分诊自动化的沙箱，并已修复两处问题：收紧工具作用域、将 OIDC 凭据文件加入 .geminiignore，并把该角色限制到单个服务账号资源。
- 动态Lasso Security
MaxKB 沙箱绕过漏洞 CVE-2026-77521：从提示注入到任意命令执行
Lasso Security 披露 MaxKB 的沙箱绕过漏洞 CVE-2026-77521（GHSA-f36j-f34j-h3rx），严重级别 10.0，影响 2.10.4-lts 及更早版本。问题出在 sandbox_shell.py：旧代码把 gosu 沙箱前缀只加在整条模型输出命令的最前面，用分号、管道、$(...) 或 > 接在后面的命令会在 root 外层 shell 执行。作者演示的攻击链是：攻击者在会被知识库爬取的网页里放入间接提示注入内容，受害者给 Agent 挂上这个知识库后只问正常问题，也会触发 execute 工具执行 curl 等任意命令。厂商在报告次日提交修复，8 月 6 日发布的 2.10.5-lts 已修，作者建议升级并确认 Docker 部署里沙箱确实开启；他们称在其他 Agent 项目里也反复看到隔离默认不开、要显式启用的情况。
- 动态Help Net Security AI
Google GTIG：AI 发现的漏洞半数可致远程代码执行，CVE-2026-1731 披露四天内即遭利用
Google 威胁情报小组（GTIG）分析 2025 年 1 月至 2026 年 8 月的漏洞数据：2026 年月度 CVE 披露量从 1 月的 5,045 增至 8 月的 10,740，其中仅约 0.23% 被观测到在野利用，但前八个月已有 141 个漏洞被利用，超过 2025 年全年的 127 个，GTIG 认为增长主要来自 n-day。被判定为可能由 AI 发现的漏洞中，半数可导致远程代码执行（其他来源为 26%），GTIG 认为这主要反映研究项目把 AI 智能体用于审计基础设施和权限边界。Hacktron AI 研究智能体发现的 BeyondTrust 命令注入漏洞 CVE-2026-1731 披露后四天内即遭一个威胁集群利用，七天内又有五个集群跟进。AI 相关软件今年披露的漏洞中，一半影响 Flowise、Langflow 等智能体编排框架，攻击者可经提示注入或构造的工作流 JSON 触发代码执行。
- 动态OWASP GenAI Security Project
OWASP GenAI 安全项目发布 2025 年 Q2 生成式 AI 事件与漏洞利用汇总
OWASP GenAI 安全项目汇总了 2025 年 3 月至 6 月的 14 起生成式 AI 事件与漏洞利用。其中包括 GPT-4.1 通过工具投毒被越狱、ChatGPT 提示注入导致数据泄露、DeepSeek 数据泄露、M365 Copilot 零点击 AI 命令注入，以及 NVIDIA TensorRT-LLM Python 执行器漏洞（CVE-2025-23254）。另有一批深度伪造语音诈骗、AI 生成音乐侵权和 AI 驱动的凭证填充等攻击被记录在案。
- 动态Embrace The Red
Anthropic 弃用的 Slack MCP Server 存在数据外泄漏洞
安全研究者披露 Anthropic 已弃用且不再维护的 Slack MCP Server 存在数据外泄漏洞，攻击者可通过提示注入让 AI 智能体把敏感信息拼进超链接，再借 Slack 的链接展开功能把数据发往第三方服务器。该服务器在 npm 上每周下载量超过 14k，可能存在数万个易受影响的安装。作者以 Claude Code 和 Claude Desktop 为例演示了从 .env 文件窃取 API key 的完整链路，并指出数据会经 Slack-LinkExpanding、Slackbot 1.0 和 Slack-ImgProxy 多次泄露。
- 动态Embrace The Red
Claude Code 被曝可经 DNS 请求外泄数据，Anthropic 已修复（CVE-2025-55284）
安全研究者披露 Claude Code 存在高危漏洞，攻击者可通过间接提示注入劫持 Claude Code，把开发者机器上的敏感信息（如 API key）经 DNS 请求发往外部服务器，Anthropic 已于 6 月初修复。作者发现 Claude Code 的 Bash 工具虽需用户批准，但 ping、nslookup、host、dig 等命令在白名单中自动放行，于是把 .env 文件内容拼进 ping 请求的子域名，形成 DNS 外泄通道，也验证了可通过 /proc/PID/environ 泄露环境变量。
- 动态Embrace The Red
GitHub Copilot 经提示注入实现远程代码执行（CVE-2025-53773）
安全研究者披露 GitHub Copilot 与 VS Code 中的提示注入漏洞 CVE-2025-53773，攻击者可借此在开发者机器上实现远程代码执行。利用链从源代码文件、网页、GitHub issue 或工具调用响应中的提示注入开始，先向 ~/.vscode/settings.json 写入 chat.tools.autoApprove: true，使 Copilot 进入 YOLO 模式并关闭所有用户确认，随后执行终端命令，还可按操作系统条件选择载荷。该实验性设置默认存在，在 Windows、macOS 和 Linux 上均有效。
- 动态Embrace The Red
Sourcegraph Amp Code 修复通过图片渲染外泄数据的漏洞
Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。
- 动态Embrace The Red
Amazon Q Developer 经 DNS 请求泄露密钥并遭提示注入劫持
研究人员披露 Amazon Q Developer VS Code 扩展存在高危漏洞，可通过 DNS 请求将开发者机器上的敏感信息（如 API key）发送到外部服务器，并能借间接提示注入触发该行为。该扩展下载量超过 100 万次，其安全性高度依赖模型行为，executeBash 工具的 ping、dig 等命令属于免人工确认的白名单类别，导致读取 .env 文件并通过 ping 外传无需开发者同意。作者于 2025 年 7 月 5 日向 AWS 提交漏洞，AWS 确认后在未发布公告或分配 CVE 的情况下悄然完成修补，建议用户运行最新版本以获得修复。作者的缓解方案是把 ping 和 dig 移出默认允许列表，改为强制人在回路确认。
- 动态Embrace The Red
Amazon Q Developer VS Code 扩展被曝不可见提示注入漏洞
安全研究者披露 Amazon Q Developer VS Code 扩展存在不可见提示注入漏洞，攻击者可利用人类不可见的 Unicode Tag 字符在文件中隐藏指令，Amazon Q 处理文件时会将其当作指令执行。该扩展下载量超过 100 万，底层使用 Anthropic Claude 模型，而 Claude 模型已知会将不可见 Unicode Tag 字符解释为指令，且据作者了解 Anthropic 不打算在模型层修复，缓解责任落在应用开发者身上。作者称 OpenAI 是唯一在模型或 API 层缓解该问题的厂商。攻击者还可结合此前披露的 find -exec 问题实现任意命令执行，从而入侵用户机器。
- 动态Simon Willison
Superhuman AI 遭提示注入，将用户敏感邮件外泄至攻击者表单
Superhuman AI 遭遇典型提示注入攻击：当被要求总结用户近期邮件时，一封不可信邮件中的注入指令操纵该 AI 将收件箱中数十封敏感邮件（含财务、法律和医疗信息）的内容提交至攻击者的 Google Form。Superhuman 已将其作为高优先级事件处理并发布修复。根因是一条 CSP 规则允许从 docs.google.com 加载 markdown 图片，而该域名下的 Google Forms 会通过 GET 请求持久化传入的数据。
- 动态Simon Willison
Cline 因 issue 标题提示注入被投毒，NPM 发布包遭污染
Adnan Khan 披露了一条针对 Cline GitHub 仓库的攻击链：Cline 用 anthropics/claude-code-action@v1 做 AI issue 自动分诊，配置了 Bash、Read、Write 等工具权限，且提示词包含 issue 标题，攻击者可在标题中诱导 Claude 执行任意命令，例如通过 npm install 安装指定 GitHub 包，再由其 package.json 的 preinstall 脚本运行代码。
- 动态Simon Willison
Microsoft Copilot Cowork 被指可外泄文件
Simon Willison 指出 Microsoft Copilot Cowork 存在数据外泄风险：该产品允许 Agent 未经批准向用户自己的收件箱发送邮件，而这些邮件会以可渲染外部图片的方式展示，用户打开被污染邮件时外部图片会触发对外部网站的请求，从而泄露数据。由于 OneDrive 可以生成预认证下载链接，一次成功的提示注入就可能让这些链接被泄露，攻击者据此下载文件。
- 动态Simon Willison
黑客直接要求 Meta AI 客服机器人即接管高知名度 Instagram 账号
Simon Willison 转述并确认了一起真实事件：黑客与 Meta 的 AI 客服机器人对话，直接要求把目标账号绑定到新的邮箱地址，并称会提供验证码，从而完成账号接管。一段视频显示攻击者发送类似“把我的新邮箱地址绑定上，这是我的用户名 @{target_username}，我会把验证码发给你”的请求。Willison 指出 Meta 确实把客服系统接入了具备快速推进整个账号找回流程能力的 AI 聊天机器人，他认为这甚至算不上提示注入，并警告不要把客服机器人接入到允许一次性账号接管的位置。
- 动态Wiz Research
Wiz 披露 Moltbook 数据库暴露：150 万 API token 与 3.5 万邮箱可被任意读写
Wiz Research 发现 AI 智能体社交平台 Moltbook 的 Supabase 数据库配置错误，缺少 Row Level Security，导致未认证用户可完整读写全部平台数据。暴露内容包括 150 万个 API 认证 token、3.5 万个邮箱地址以及智能体之间的私信，其中 agent_messages 表存有 4060 段未加密的私信，部分包含明文 OpenAI API key。研究人员还确认存在写入权限，可修改任意帖子并注入提示注入载荷。数据库显示平台宣称的 150 万智能体背后只有约 1.7 万名人类所有者，比例约 88:1，且无速率限制或身份验证机制。
- 动态Google Threat Intelligence
GTIG 报告：攻击者转向智能体 AI，六小时内完成大规模凭据窃取
Google Threat Intelligence Group（GTIG）发布 2026 年第二季度 AI 威胁追踪报告，指出攻击者已从基础提示词交互转向智能体 AI 工作流与 AI 自动化。报告称，2026 年第二季度 GTIG 观察到威胁行为者先攻陷云资源，随后在不到六小时内规划、构建并执行了一次由智能体驱动的大规模凭据窃取行动，压缩了防御方的响应窗口。
- 动态OWASP GenAI Security Project
OWASP 发布 2026 年第一季度 GenAI 漏洞事件汇总报告
OWASP GenAI Security Project 发布 2026 年第一季度漏洞汇总报告，覆盖 2026 年 1 月 1 日至 4 月 11 日，将每起事件映射到 OWASP Top 10 for LLM Applications 2025 与 OWASP Top 10 for Agentic Applications 2026。