Adversa AI 汇总了 2026 年 7 月的 MCP 安全资源共 10 项，涵盖漏洞、攻击技术、红队、防御、威胁建模与真实事件等类别，并逐条对应其 Top 25 MCP 漏洞基线。漏洞方面，MCPPrivacyDetector 框架用跨语言静态与污点分析检测 MCP 工具处理程序中的隐私泄露，在超过 1 万个真实服务器上发现凭据、API key 和 PII 泄露率超过 10%；Amazon Q VS Code 扩展存在 CVSS 8.5 的自动执行漏洞，可从工作区目录自动加载 MCP 配置并在打开恶意仓库时执行代码、窃取 AWS 凭据，该缺陷已于 2026 年 6 月修补。
Adversa AI 汇总了 2026 年 7 月共 19 项 AI 编码 Agent 安全资源，涵盖 6 项攻击技术、4 项编码 Agent 漏洞、3 项防御方案及威胁建模、CISO 资源、培训材料等类别。
Adversa AI 发布 2026 年 8 月智能体 AI 安全资源清单，共 20 项，按攻击技术、智能体漏洞、智能体事件、CISO 资源、红队、入门和文章分类。清单指出 2026 年 7 月四支独立团队在约十天内针对生产环境智能体发布可用漏洞利用，入口均为智能体读取的内容而非攻击者运行的代码。具体案例包括网页隐藏一像素文本使 AWS Kiro 重写自身 mcp.json 并自动启动攻击者 MCP 服务器，Cursor IDE 中被发现两个 CVSS 9.8 的零点击 RCE，以及一个 Cursor deeplink 缺陷把点击“审查此 PR”变成非沙箱代码执行，在 build 3.9.8 中仍可复现。
Adversa AI 汇总了 2026 年 8 月的 19 份 AI 编码 Agent 安全资源，按攻击技术、防御、漏洞、事故等类别分组。攻击侧包括 MOSAIC 用 CLI 命令组合达到 96.59% 攻击成功率、HalluSquatting 抢注模型幻觉出的技能或包名、以及通过 README 和 requirements 文件发起的安装期供应链攻击。
Adversa AI 汇总了 2026 年 8 月的十项 MCP 安全资源，按 MCP 防御、MCP 安全入门、MCP 事件和 MCP 攻击技术分组。7 月 28 日发布的 MCP 规范修订主要是一次授权加固，按 RFC 9207 做 issuer 校验、客户端凭证绑定签发方、弃用 Dynamic Client Registration 改用 client metadata documents，并移除会话标识、支持基于 header 的路由，使网关成为策略执行点而非代理；官方最佳实践文档同日更新。
OWASP GenAI Security Project 发文介绍 PENSAR、SPLX.AI Agentic Radar 和 AI&ME 三款工具已将 OWASP Agentic AI 威胁与缓解措施分类及 LLM Top 10 集成进各自产品，覆盖开发、静态分析与运行时红队测试环节。其中 PENSAR 可在开发生命周期内生成符合该分类的类 SAST 风格问题报告并附修复建议，帮助暴露未经校验的工具调用、内存管理不当等问题；SPLX.AI Agentic Radar 则组合静态代码分析、运行时红队测试与工作流可视化来提供威胁覆盖。
NVIDIA Morpheus 通过加速告警分诊与 LLM 智能体，帮助安全运营中心（SOC）分析师应对海量安全告警。SOC 分析师每天需处理大量告警，从中筛除误报并识别真正的入侵指标，而告警数量过大会使重要的早期信号被淹没。
NVIDIA NeMo Guardrails 通过集成 Meta 的 LlamaGuard 和 AlignScore 等第三方安全模型，为 RAG 应用提供内容审核与安全检查。该工具以开源工具包和微服务两种形式部署，支持内容审核、越狱检测、PII 检测、幻觉检测等护栏功能，可在 LLM 输出前扫描检索内容与生成回复中的冒犯性语言、虚假信息或政策违规。NeMo Guardrails 微服务处于早期访问阶段，提供 OpenAI 兼容 API。
NVIDIA 技术博客探讨 AI 智能体的自主性等级与安全问题，将智能体工作流视为 AI 工具的下一步演进。这类工作流可让开发者串联多个 AI 模型执行复杂任务，调用工具访问额外数据或自动执行用户操作，并让模型以最少人工介入自主分析与完成任务。
大语言模型（LLM）的快速进步解锁了智能体 AI 系统，使 AI 不再只是被动响应，而能思考、规划并行动，从而把网络安全等多个领域的繁琐任务自动化。传统上，AI 在网络安全中的应用主要集中在检测类任务。
AI 智能体自主性增强，AI 应用正带来传统安全模型无法完全覆盖的新攻击面。应对原则是 Assume prompt injection，即假设提示注入已经发生，但把它转化为有效防御并不简单。AI Kill Chain 框架被用来建模这类攻击，Cyber Kill Chain 则定义了攻击者如何运作。
NVIDIA NemoClaw 这套开源参考栈可编排 NVIDIA OpenShell，在本机沙箱中运行 OpenClaw 等开放 harness，构建常驻的本地 AI 智能体。教程在 NVIDIA DGX Spark（GB10）上用 Ollama 本地部署 NVIDIA Nemotron 3 Super 120B，并接入 Telegram 远程访问。OpenShell 负责沙箱隔离、凭证管理与 API 代理，但官方提醒任何沙箱都无法完全防御高级提示注入。
NVIDIA AI Red Team 提出用语法约束解码改进小语言模型的 Bash 命令生成，并将命令生成列为研究目标。Bash 是暴露给 AI 智能体的最灵活接口之一，模型输出的命令是可执行动作，能够读取文件、修改工作区、打开网络连接并串联工具。
NVIDIA 研究人员开发了 ENPIRE 软件，让实体机器人在编码智能体驱动下自主实验并迭代策略，实现无需人工评判的成功率评分与场景自动重置。该系统由环境、策略改进、Rollout 和进化四个模块组成，工作站搭载 NVIDIA RTX 5090，配合两台 YAM 机械臂运行。在 PushT、整理插针盒和使用切割器剪断扎带等任务中取得最高 99% 成功率，并能尝试将 GPU 插入主板。
OpenAI 发布 Agents API，这是一个由 Codex harness 驱动的托管服务，用于构建和上线云端智能体，支持编排、长时间运行的会话与工具调用。
腾讯 AI-Infra-Guard 发布 v4.1.14，新增面向 Agent 安全的 aig-agent-redteam 技能，并加入 PrefillAttack、ICA、PastTense、Overload、Jailbroken、FlipAttack、DeepInception、CodeChameleon、JAM 共 9 种单轮越狱攻击方法及 AdvBench、CNSafe、SafeBench 三个越狱评测数据集。该版本还将调度改为轮询选择 Agent 以实现负载均衡，并在文档中补充上述数据集致谢、更新 DeepTeam 仓库地址。
Google DeepMind 发布 Gemini Robotics-ER 1.6，这款以推理为先的机器人模型在空间推理与多视角理解上显著增强，可原生调用 Google Search、VLA 等工具。相比 Gemini Robotics-ER 1.5 和 Gemini 3.0 Flash，其在指向、计数、成功检测等空间与物理推理任务上明显提升，并新增仪表读数能力，可读取压力表、视镜等设备，该用例来自与 Boston Dynamics 的合作。模型即日起通过 Gemini API 和 Google AI Studio 向开发者开放。
Google DeepMind 发布基于 Gemini 的多智能体科研伙伴 Co-Scientist，通过多个专门化智能体迭代生成、辩论并演化科学假设，并以类 AlphaGo 的思想锦标赛机制进行排名筛选。该系统已在《Nature》发表研究成果，并通过名为 Hypothesis Generation 的实验性工具向个体研究者开放注册，未来数周内逐步推送。合作团队已将 Co-Scientist 应用于抗微生物耐药性、植物免疫及肝纤维化等问题，其中一条药物重定位候选物在实验室中阻断了 91% 的疤痕相关反应。
Google DeepMind 将 computer use 作为内置工具集成进 Gemini 3.5 Flash，此前它仅以独立的 Gemini 2.5 computer use 模型形式提供。该能力使开发者可通过 Gemini API 和 Gemini Enterprise Agent Platform 构建能跨浏览器、移动端和桌面环境看、推理并执行操作的智能体，面向持续软件测试等长周期与企业自动化任务。针对实时环境中的提示注入风险，Gemini 3.5 Flash 采用了定向对抗训练，并提供两个可选企业防护系统：敏感或不可逆操作需用户显式确认，检测到间接提示注入则自动停止任务。
Google DeepMind 推出 Gemini Robotics 2，作为新一代机器人的智能层，实现全身控制、高级灵巧操作和多机协作。该系列含三款模型：视觉-语言-行动模型 Gemini Robotics 2 可控制从脚到指尖的人形及双臂机器人，具身推理模型 Gemini Robotics ER 2 负责规划数分钟的多步任务并让人机沟通，端侧模型 Gemini Robotics On-Device 2 可在设备本地运行并在几小时内适应全新机体。其中 ER 2 已在 Google AI Studio 开放，并于 Gemini Enterprise Agent Platform 私人预览，另两款面向早期访问伙伴。
Google DeepMind 发布具身推理模型 Gemini Robotics ER 2，作为机器人的高层大脑负责对话、物理世界理解和多步任务规划，并将电机执行交给底层 VLA 模型。相比 ER 1.6，它在实时 VLA、仿真 VLA 和人类遥操作三种模式下均提升了工具编排表现，进度分类准确率达 57.4%，并新增连续视频流下的进度追踪和多机器人协作。该模型通过 Gemini API、Google AI Studio 公开提供给开发者，并在 Gemini Enterprise Agent Platform 私有预览，集成 Gemini Live API 的双向流式端点以减少延迟停顿。
有人基于 Model Context Protocol（MCP）开发了一个名为 mcp-com-server 的原型服务器，通过动态发现方式实例化并托管任意 COM 对象，从而驱动 Windows 与 Office 自动化。该服务器提供类似 COM 的工具集——CreateObject、Get/Set Property、InvokeMethod、QueryInterface 以及列出当前所有活动服务器的接口，连接 Claude 后可创建、打开、编辑并保存 Excel 文件，再调用 Outlook 发送邮件，甚至能唤起 Internet Explorer。
安全研究者 Johann Rehberger 宣布启动 2025 年 AI 漏洞月（Month of AI Bugs），8 月将在其博客发布 20 余篇针对主流智能体系统的漏洞分析，重点聚焦 AI 编码 Agent。作者称过去一年审查的每个 AI 编码 Agent 都存在漏洞，均已向对应厂商负责任披露，部分厂商数天内修复，也有厂商数月未回应、部分问题至今未缓解，还有厂商完全停止回复。
NavIsaacLab 通过并行机器人学习生成逼真人群，为人机共存环境中的“人类感知”导航提供高保真基准。该框架基于 NVIDIA Isaac Lab 实现 GPU 并行仿真，将行人建模为由 SMPL 驱动的关节级物理智能体，并用轨迹扩散模型加 AMP 替代手写规则。它针对现有模拟器低物理保真度、简化行人建模和缺乏并行化三大缺陷设计，配套标准化基准从亲密度和社会规范维度评估策略。
ActiveVital 将毫米波雷达的生命体征监测从被动信号恢复重构为主动闭环几何调节问题，通过视觉引导定位胸部并调整传感器位姿来缓解角度失配导致的 cosθ 衰减。该系统基于 ViTPose 提取肩髋四个躯干关键点插值计算胸感测锚点，并用带容差阈值的二值控制律抑制机器人振荡。在 Galaxea R1 Lite 机器人与 60 GHz FMCW 雷达上的实验显示心率 MAE 由仅接近式传感的 5.26 bpm 降至 2.22 bpm，但仍不及协作静态传感的 1.66 bpm，且未报告显著性检验。
Google DeepMind 于 7 月 28 日和 30 日先后发布 Gemini Robotics 2 与 Gemini Robotics ER 2，前者主打全身智能，后者新增视频理解、任务编排和多机协作，均为厂商公告且无公开对抗评估。同期 OpenAI 发布了涉及自身模型的第三方网络能力评估说明。两篇待关注预印本分别提出自动提示注入红队的智能体系统与恶意微调的梯度免疫防护。
ASPIRE（Agentic Skill Programming through Iterative Robot Exploration）通过逐图元的执行轨迹诊断实现机器人故障定位与自动修补，基于开源 CaP-X 框架和 MuJoCo Playground 仿真器运行。该方法将每次失败转化为持久化技能库中的可复用策略，并配合进化搜索避免陷入局部修复循环。在 LIBERO-Pro 扰动鲁棒性测试中成功率达 72%，较基线 CaP-Agent0 的 18% 高出最高 77 个百分点，并在 Robosuite 双手交接任务取得 92%、BEHAVIOR-1K 长程操作取得 88%。
Tommaselli 等人提出视觉导航框架 LeCropFollow，绕过传统几何管线将高维视觉压缩为单像素行参照的做法，改为在学习到的潜在流形中做规划并原生保留热力图离散度作为不确定性度量。该框架由自监督语义热图提取器 RowFollowNet（ResNet-18，输出 56x80x3 的张量表示消失点、左行、右行）与基于 TD-MPC2 的 MBRL 规划器组成，通过 MPPI 采样 N=256 条候选动作序列并在潜在空间中用世界模型和价值函数评估。
Harness VLA 提出三层架构，把认知编排从底层执行中隔离出来，缓解端到端 VLA 模型在长程组合与环境扰动下的级联失败。该框架由高层规划智能体、固定基元库和两个记忆模块组成，其中 VLA_ACT 调用冻结的 VLA 处理接触密集行为，确定性解析基元负责移动与姿态调整。在 LIBERO-Pro 上取得 82.4% 成功率，较 RATS 基线提升 38.6 个百分点；RoboCasa365 上比 RLDX-1 高 25.4 个百分点；RoboTwin C2R 零样本迁移成功率为 58.4%。
Magliano 等人提出 ATACOM-DC，通过只在动作朝违反约束方向发展时才施加投影的方向性约束，缓解现有安全过滤器的策略停滞问题。该方法依据约束导数符号筛选活跃集，仅对有负向风险的动作做缩放，放行远离边界的动作。在 KUKA iiwa 气垫球、平面机械臂和气动四旋翼三个仿真环境中取得帕累托占优表现，同时维持安全性。
Wu 等人提出 StratMamba，通过将基于 Mamba 模型的隐藏状态拆分为快衰减的近距流与慢衰减的目标流来避免高频 LiDAR 噪声污染长期目标记忆，并在仿真中取得最低超时率 0.4%、最高路径效率 0.915，同时比 LSTM 和 Transformer 基线收敛快 1.5x。该架构的门控与融合权重矩阵采用零初始化，使训练初期行为等同于原生 Mamba，再逐步学习纠正信号而不破坏初始策略。速度平滑度 SPARC −3.550、加速度平滑度 LDLJ −8.180 均优于对照，且优势覆盖序列长度 L=3 到 L=12。
针对当前 Vision-Language-Action（VLA）模型的抽象空间隐变量难以监督、失败原因无法归因的问题，研究者提出 ReferTrack，将具身视觉跟踪拆解为先从候选目录中用单个 Refer-CoT token 选出目标索引、再由 TVBI token 维持目标的显式流程。该框架基于 Qwen3-4B，搭配 YOLO11 加 ByteTrack 检测器和 SigLIP/DINOv2 双编码器，仅用单目前视摄像头就在 EVT-Bench 取得 SOTA：Single-Target Tracking 成功率 89.4%、Distracted Tracking 73.3%。
Jiyou Shin 等人提出统一机器人控制—策略框架 URF，让高层策略预测底层执行模式而非仅输出运动目标，从而弥合刚性接触场景中的执行断层。该框架在每个动作步预测含虚拟目标、刚度矩阵与阻抗—导纳切换比的动作块，并用实测外力大小作为环境刚度的代理信号来监督学习。在箱翻转基准中，纯力控基线成功率为 0%，自适应柔顺控制器 ACP 为 25%、临界失败率高达 86.7%；完整版 URF 将峰值力增长率从 48.5±15.5 N/s 降至更低水平并实现 0% 临界失败率，同时显著抑制振荡。
MITRE ATLAS 发布 v5.4.0，新增多项针对 AI Agent 的攻击技术，包括发布被投毒的 AI Agent 工具、从 Agent 逃逸到宿主机、利用漏洞获取凭据、利用漏洞规避防御，以及 AI Agent 用户执行类的被投毒工具与恶意链接。该版本还更新了修改 AI Agent 配置这一既有技术。案例研究方面新增了暴露的 ClawdBot 控制接口导致凭据访问与执行、通过被投毒 ClawdBot 技能实施供应链入侵、OpenClaw 一键远程代码执行，以及通过提示注入对 OpenClaw 实施命令与控制。
推荐理由MITRE ATLAS v5.4.0 新增针对 AI Agent 的攻击技术与真实案例，做 Agent 威胁建模的团队可对照更新自己的攻击面清单。
MITRE ATLAS 发布 v5.5.0 版本，新增多项攻击技术与案例研究。新增技术包括 AI Agent Tool Poisoning、AI Supply Chain Rug Pull。
AWS 发布实践指南，用 Strands Agents SDK 的生命周期钩子把 Amazon Bedrock Guardrails 从模型边界扩展到工具边界，在三个信任边界设置校验检查点。Checkpoint 1 用 BeforeInvocationEvent 在模型推理或工具执行前校验用户输入、其他 Agent 数据、MCP 工具服务器和 RAG 管道内容；Checkpoint 2 用 BeforeToolCallEvent 在工具执行前检查模型即将传入的参数，这是模型级护栏覆盖不到的缺口；Checkpoint 3 用 AfterToolCallEvent 在结果返回用户或下游系统前校验工具输出，尤其针对抓取外部网页的搜索工具。
推荐理由给出三个校验检查点的完整实现代码，部署 Agent 的团队可据此把护栏从模型边界扩展到工具调用边界。
2026 年 9 月值得关注的开源安全工具包括：Sift 可在本地磁盘、Windows 文件共享、Active Directory、SharePoint、OneDrive、Teams、Slack、Jira 和 Confluence 中扫描密码与 API key；ToolHive 以 Apache 2.0 许可在容器内运行 MCP server；腾讯朱雀实验室的 AI-Infra-Guard 可识别 Ollama、vLLM、ComfyUI 等服务，比对 1,600 多个已知 CVE，并检查 MCP server 与 agent 技能、对目标模型做越狱评估。
GitHub Security Lab 研究员 Kevin Stubbings 在实验室开源 Taskflow Agent 之上构建了面向移动应用的 AI 审计工作流 taskflows，用其发现并报告了 Android 应用中的 20 多个漏洞。
Trail of Bits 在与 OpenAI 合作的 Patch the Planet 项目中，借助 Codex 的 /goal 目标式提示功能审计 Rust、curl、zlib 等广泛使用的开源代码库。/goal 从单一变体分析流水线找出其提交的全部 Rust 漏洞，包括已在 Rust 1.98 修补的一个健全性缺陷和一个错误编译问题，并将各项目历史 CVE 转为需在易受影响版本触发、在修补版本静默的 Semgrep 规则，命中 11 处跨项目变体告警，还在一次探测中发现 Keycloak SAML 组件两个潜在高危权限提升漏洞。
Trail of Bits 梳理了 Nitro Enclaves 与 AWS KMS 通信信道的被动与主动攻击类别，并指出即使密码学实现正确，运营风险依然存在。KMS 通过基于 PCR 值的密钥策略和用 enclave 公钥加密响应两种机制限制访问，仅 GenerateDataKey、GenerateDataKeyPair、Decrypt、DeriveSharedSecret、GenerateRandom 支持这些机制，Encrypt 不在其列。文章给出避免被动攻击的检查清单，要求请求始终包含 Recipient 参数、使用加密上下文并正确授权 Encrypt 与 GenDataKey 操作。