ATACOM-DC：面向高效探索的安全强化学习方向约束

Magliano 等人提出 ATACOM-DC，通过只在动作朝违反约束方向发展时才施加投影的方向性约束，缓解现有安全过滤器的策略停滞问题。该方法依据约束导数符号筛选活跃集，仅对有负向风险的动作做缩放，放行远离边界的动作。在 KUKA iiwa 气垫球、平面机械臂和气动四旋翼三个仿真环境中取得帕累托占优表现，同时维持安全性。

MAMMOTH：面向越野移动、容忍缺失模态的多模态端到端策略

Kotian 等人提出 MAMMOTH——一套融合 RGB、热成像 LWIR、3D LiDAR 与自车速度的统一端到端导航策略，通过稀疏 MoE 骨干加 Laplace 门控动态加权各模态，并用随机丢弃传感器 token 的 Modality Dropout 训练强制学习跨模态表征，从而在单一通道失效时不致整体崩溃。该策略还引入基于 IMU Z 轴加速度功率谱密度的内在可通过性启发式，配合条件 DDPM 生成的候选轨迹做安全性重排序。

EgoRecovery：通过人类恢复示范获取机器人失败恢复能力的协同训练框架

Ge 等人提出 EgoRecovery 协同训练框架，用自我中心视角的人类视频教机器人从失败中恢复，而非模仿完美轨迹。该方法共享的是经空间范数处理后的 DCT 低频基向量（K=4）所表示的粗粒度"纠正意图"，方向无关，由机器人自行学习执行方向与控制指令，从而绕开人机具身差异。基于头戴与腕戴相机采集的数据收集速度比遥操作快 10.5x。真机上仅用 50 条机器人与 300 条人类数据的四类任务平均恢复成功率达 85%，纯机器人基线为 52.5%；去掉 Stop Gradient 会使初始成功率从 80% 降至 70%。

ReferTrack：具身视觉跟踪中先用显式指向再解码路径

针对当前 Vision-Language-Action（VLA）模型的抽象空间隐变量难以监督、失败原因无法归因的问题，研究者提出 ReferTrack，将具身视觉跟踪拆解为先从候选目录中用单个 Refer-CoT token 选出目标索引、再由 TVBI token 维持目标的显式流程。该框架基于 Qwen3-4B，搭配 YOLO11 加 ByteTrack 检测器和 SigLIP/DINOv2 双编码器，仅用单目前视摄像头就在 EVT-Bench 取得 SOTA：Single-Target Tracking 成功率 89.4%、Distracted Tracking 73.3%。

RL-MACRO：部分可观测下颅骨切开机器人自主磨骨的多模态自适应控制

Zhang 等人提出 RL-MACRO，一套基于离线强化学习的闭环控制框架，通过融合力与声音信号重建无法直测的工具—组织界面状态，实现颅骨切开术中安全的自主磨骨。该系统用因果 1D-CNN 加 LSTM 从 6-DOF 测力计与麦克风估计温升 ΔT，并用隐式 Q-learning（IQL）驱动切割深度与进给转速的双头策略，避免在线试错风险。在未见样本上温度预测的决定系数 R² 达 0.939，平均绝对误差 1.717°C，牛肋铣削实验进一步模拟皮质骨与松质骨的层间过渡。

NVIDIA garak v0.13.0 发布：新增 Leet 编码攻击插件与对话支持

NVIDIA garak 发布 v0.13.0，新增 Doctor 攻击及 Leet 编码插件、Simple Assistive Task Linkage Probe、Ascii Smuggling 探针，并加入广义版 Markdown 泄露探针。该版本将失败重命名为攻击成功，引入对话支持和可配置系统提示词，同时扩充 Python 漏洞利用载荷并改进恶意软件检测器正则匹配。

NVIDIA garak v0.13.1 发布：新增多种探针插件并改进检测器配置

NVIDIA garak 发布 v0.13.1，新增 Atbash 编码、tokenizer ANSI 逃逸码、Dropbox 重复 token 攻击、DRA（伪装与重构攻击）、Dart/perl/raku 包幻觉及 token 走私等多个探针模块。该版本还加入 detector 输出值为 None 的支持、将 config 中 model_* 改为 target_*、CLI 增加 --list_* 过滤选项，并修正未来类探针措辞、重命名扩展 Web 注入探针以及更正文档中的 ASR 数值。

MITRE ATLAS 发布 v5.4.0，新增 AI Agent 攻击技术与案例研究

MITRE ATLAS 发布 v5.4.0，新增多项针对 AI Agent 的攻击技术，包括发布被投毒的 AI Agent 工具、从 Agent 逃逸到宿主机、利用漏洞获取凭据、利用漏洞规避防御，以及 AI Agent 用户执行类的被投毒工具与恶意链接。该版本还更新了修改 AI Agent 配置这一既有技术。案例研究方面新增了暴露的 ClawdBot 控制接口导致凭据访问与执行、通过被投毒 ClawdBot 技能实施供应链入侵、OpenClaw 一键远程代码执行，以及通过提示注入对 OpenClaw 实施命令与控制。

推荐理由MITRE ATLAS v5.4.0 新增针对 AI Agent 的攻击技术与真实案例，做 Agent 威胁建模的团队可对照更新自己的攻击面清单。

MITRE ATLAS 发布 v5.5.0，新增 AI Agent 工具投毒与供应链攻击技术

MITRE ATLAS 发布 v5.5.0 版本，新增多项攻击技术与案例研究。新增技术包括 AI Agent Tool Poisoning、AI Supply Chain Rug Pull。

Google 推出 OSS Rebuild：重建上游制品以加固开源软件供应链

Google 开源安全团队（GOSST）发布 OSS Rebuild，通过重新执行并比对上游构建来增强开源软件包的信任度。该项目自动推导 PyPI、npm 和 Crates.io 现有软件包的声明式构建定义，并为其中数以千计的流行包签发满足 SLSA Build Level 3 要求的溯源证明，无需维护者介入。它还能检测源码缺失、构建环境遭入侵以及隐蔽后门三类供应链风险，并提供基础设施定义供企业自行运行实例。

AWS 用 Strands Agents SDK 把 Bedrock Guardrails 扩展到工具交互

AWS 发布实践指南，用 Strands Agents SDK 的生命周期钩子把 Amazon Bedrock Guardrails 从模型边界扩展到工具边界，在三个信任边界设置校验检查点。Checkpoint 1 用 BeforeInvocationEvent 在模型推理或工具执行前校验用户输入、其他 Agent 数据、MCP 工具服务器和 RAG 管道内容；Checkpoint 2 用 BeforeToolCallEvent 在工具执行前检查模型即将传入的参数，这是模型级护栏覆盖不到的缺口；Checkpoint 3 用 AfterToolCallEvent 在结果返回用户或下游系统前校验工具输出，尤其针对抓取外部网页的搜索工具。

推荐理由给出三个校验检查点的完整实现代码，部署 Agent 的团队可据此把护栏从模型边界扩展到工具调用边界。

2026 年 9 月最热门的开源网络安全工具

2026 年 9 月值得关注的开源安全工具包括：Sift 可在本地磁盘、Windows 文件共享、Active Directory、SharePoint、OneDrive、Teams、Slack、Jira 和 Confluence 中扫描密码与 API key；ToolHive 以 Apache 2.0 许可在容器内运行 MCP server；腾讯朱雀实验室的 AI-Infra-Guard 可识别 Ollama、vLLM、ComfyUI 等服务，比对 1,600 多个已知 CVE，并检查 MCP server 与 agent 技能、对目标模型做越狱评估。

GitHub 的 AI 智能体在 Android 应用中发现 24 个漏洞

GitHub Security Lab 研究员 Kevin Stubbings 在实验室开源 Taskflow Agent 之上构建了面向移动应用的 AI 审计工作流 taskflows，用其发现并报告了 Android 应用中的 20 多个漏洞。

Trail of Bits 发布 gosentry，为 Go 原生 fuzz 接口引入 LibAFL 级模糊测试

Trail of Bits 发布 gosentry，一个面向模糊测试的 Go 工具链分支，保留标准 testing.F 工作流，底层默认改用 LibAFL 引擎。它支持原生 fuzz struct 等复合类型、通过 Nautilus 做基于语法的模糊测试，并新增整数溢出、数据竞争、goroutine 泄漏和执行超时等缺陷类别的检测，还能用一条命令生成覆盖率报告。已有 Go fuzz harness 无需重写，只需指向 gosentry 的二进制并加上 --catch-races、--catch-leaks 等新参数。

Trail of Bits 为 zizmor 补全 YAML 锚点支持

Trail of Bits 与 zizmor 维护者合作三个月，为这款 GitHub Actions 静态分析器补全 YAML 锚点支持，共提交 20 个 issue、15 个合并 PR。团队修复了序列中别名被错误展平、锚点前缀泄漏进值、重复锚点导致崩溃、模板注入审计在别名 run 值上崩溃四类锚点 bug，并新增集成测试与文档更新。验证基于 6,612 个高价值开源仓库的 41,253 个 workflow 文件，其中仅 43 个使用锚点，zizmor 最初在 45 个 workflow 上崩溃。

Trail of Bits 如何使用 Codex 的 /goal 在 Patch the Planet 中挖漏洞

Trail of Bits 在与 OpenAI 合作的 Patch the Planet 项目中，借助 Codex 的 /goal 目标式提示功能审计 Rust、curl、zlib 等广泛使用的开源代码库。/goal 从单一变体分析流水线找出其提交的全部 Rust 漏洞，包括已在 Rust 1.98 修补的一个健全性缺陷和一个错误编译问题，并将各项目历史 CVE 转为需在易受影响版本触发、在修补版本静默的 Semgrep 规则，命中 11 处跨项目变体告警，还在一次探测中发现 Keycloak SAML 组件两个潜在高危权限提升漏洞。

AWS Nitro Enclaves 与 KMS 集成中的攻击面分析

Trail of Bits 梳理了 Nitro Enclaves 与 AWS KMS 通信信道的被动与主动攻击类别，并指出即使密码学实现正确，运营风险依然存在。KMS 通过基于 PCR 值的密钥策略和用 enclave 公钥加密响应两种机制限制访问，仅 GenerateDataKey、GenerateDataKeyPair、Decrypt、DeriveSharedSecret、GenerateRandom 支持这些机制，Encrypt 不在其列。文章给出避免被动攻击的检查清单，要求请求始终包含 Recipient 参数、使用加密上下文并正确授权 Encrypt 与 GenDataKey 操作。

Claude Cowork 初体验：Anthropic 的通用智能体

Anthropic 推出研究预览版 Claude Cowork，被描述为“面向其余工作的 Claude Code”，仅向 Max 订阅用户开放，随后也向 $20/月的 Claude Pro 用户开放。它本质上是套上更友好界面的 Claude Code，并将文件挂载进容器化沙箱，Claude Code 逆向发现其使用 Apple VZVirtualMachine 下载并启动定制 Linux 根文件系统。作者用它筛选三个月内 46 个草稿文件并执行 44 次站内搜索，同时指出此类功能始终面临提示注入威胁。

Microsoft PyRIT v0.10.0 发布：重构攻击接口并推出 pyrit_scan 与 pyrit_shell

Microsoft 开源红队工具 PyRIT 发布 v0.10.0，对包内大部分代码做了重写，把 Orchestrator 统一改名为 Attack，并新增 pyrit_scan 命令行与 pyrit_shell 交互式 shell，为自动化红队提供基础。

GitHub Actions 安全入门：威胁模型、攻击与防御（上篇）

GitHub Actions 的 pull_request_target 触发器结合检出 PR 代码，构成 "Pwn Request" 攻击类，Trivy 供应链入侵即由此发生——攻击者替换 setup-go action 代码后获得代码执行并窃取组织级高权限 token。该触发器运行 base 分支工作流、可访问仓库密钥且默认拥有 Write 权限，且不受组织级 fork PR 审批门控。上篇梳理 GitHub Actions 安全模型、三大风险（PR 攻陷、脚本注入、第三方组件）及防御手册，下篇将聚焦 AI 驱动 action 的新兴威胁。

Goodfire 推出 Paint With Ember：用扩散模型潜空间概念作画

Goodfire Research 发布 Paint With Ember，用画布取代提示词框，直接操控图像模型内部激活来编辑和生成图像。该工具基于 3.5B 参数的 Stable Diffusion XL-Turbo，针对其 UNet 的 block down.2.1 层训练 BatchTopK SAE 分解 16x16 patch 的潜向量，再用非负矩阵分解（NMF）把细粒度特征聚合成可操作的高层概念单元。用户可绘画添加物体、拖动概念、调整语义权重或修改主体动作，公开版应用与开源 SAE 解释器模型均已开放。

Goodfire 用稀疏自编码器理解与操控 Llama 3

Goodfire 发布 preview.goodfire.ai，一个用于理解和操控 Llama 3 行为的桌面界面，后端在 Llama-3-8B-Instruct 第 19 层残差流上训练稀疏自编码器（SAE），提取可修改的特征。训练数据选用 LMSYS-Chat-1M，作者称其在聊天场景下产生的特征最有效，而 FineWeb 等非聊天数据训练出的特征迁移效果较差。团队用自动化可解释性流程借助 Claude 为特征生成人类可读标签，并通过基于梯度的归因方法筛选干预候选，再以特征干预改变模型输出。作者观察到正向干预通常单个特征即可生效，负向干预常需多个特征，可能与自我修复有关；同时指出跨层叠加会让部分特征难以被干预。

Goodfire 发布预测式数据调试方法，可在训练前预测 DPO 会学到什么

Goodfire Research 发布预测式数据调试研究，主张在训练前用可解释性方法预测偏好数据会让 DPO 放大或抑制哪些行为，预测结果与实际学习效果的 R² 达 0.9，并能追溯到具体数据点。方法把数据集输入已解释的模型，按模型实际计算的概念而非嵌入向量聚类来观察数据，从而区分模型真正学到的行为与评分者眼中的行为表象。

推荐理由Goodfire 把可解释性读出的概念用于预测 DPO 会放大哪些行为，并给出四个真实数据集的意外案例，可迁移到后训练数据审查。

Google 用智能体源码审查框架 AVDH 对抗 AI 攻击，10 个月发现 12 个 CVE

Google Threat Intelligence 首次公开内部智能体漏洞发现框架 AVDH，用 Google ADK 将专用智能体串联成顺序流水线，先做威胁建模再逐阶段分析代码，输出带风险评级的结果供人工复核。使用 10 个月内，AVDH 在分析数千万行代码、执行数千条流水线后，于一次企业仓库被盗事件响应中两天内发现超 100 个真实高危漏洞，并在广泛使用的 Web 扩展和开源项目中促成 12 个 CVE 分配，包括 CVE-2026-13242 和 CVE-2026-55803，另有十余个正在披露中。该框架可与 CodeMender 的持续扫描配合形成两层防御。

Microsoft PyRIT v0.11.0 发布：新增 WebSocketCopilotTarget 与 30 个越狱模板

Microsoft PyRIT 发布 v0.11.0，破坏性变更将攻击与执行器从 SeedPromptGroup 改为基于 Message 运行，并重命名场景配置 API。该版本新增 WebSocketCopilotTarget，可通过 WebSocket 向 Microsoft Copilot 发送提示词执行，同时加入图像下载支持的 ImageTarget 重构及 OpenAIImageTarget 的图像编辑/混合功能。

Microsoft PyRIT v0.12.0 发布：GUI、CLI 与框架三种交互方式全部可用

Microsoft 发布 AI 红队测试工具 PyRIT v0.12.0，首次让 GUI（CoPyRIT）、CLI 和框架三种交互方式全部达到可用状态。CLI 新增 Scam、Leakage、Psychosocial、Jailbreak 四类 AIRT 场景及 RedTeamAgent Foundry 预配置红队测试，覆盖 25+ 攻击策略。框架引入 YAML 配置系统、TargetRegistry 和 8 个新数据集加载器，但含破坏性变更需按迁移指南升级。

Microsoft PyRIT v0.13.0 发布

Microsoft PyRIT 发布 v0.13.0，将 TargetCapabilities 替换为 TargetConfiguration，并引入新的 AttackTechnique 抽象来标准化攻击参数的声明与消费方式，同时移除多个弃用功能，属破坏性更新。该版本还新增 TargetRequirements、AttackTechniqueRegistry，并为 OpenAIChatTarget 默认启用图像输入，加入 VisualLeakBench 数据集加载器及符合 ISO 42001 的危害定义。

Microsoft PyRIT v0.14.0 发布

Microsoft PyRIT 发布 v0.14.0，将 Message、Score、Seed 类及 Identifier 等核心模型迁移到 Pydantic v2，构造改为仅限关键字参数并拒绝额外字段，同时强制所有异步函数加 `_async` 后缀并重命名部分辅助函数。该版本移除此前标记弃用的全部功能，GCG 转为实验特性并提供新的公开 API，新增 Round Robin Target、Realtime 流式会话与服务端打断攻击以及图像转换器，还加入 VLGuard、StrongREJECT、Agent Threat Rules 等多个数据集加载器和 Python 3.14 支持，并修复 38+ 个依赖项漏洞及特定 CVE。

Microsoft PyRIT v1.0.0 发布：确立 v1 架构并引入破坏性变更

Microsoft PyRIT 发布 v1.0.0，确立场景、攻击技术、执行器、注册表、标识符与记忆的 v1 架构，并包含有意的破坏性变更。场景策略更名为 techniques，组件构建统一走 BuildableRegistry，PromptConverter 改为 Converter，会话状态从 MessagePiece 迁至新的 Conversation 模型，0.15 及此前弃用的兼容层被移除。

PyRIT v1.0.1 修复结构化拒答处理

Microsoft PyRIT 发布 v1.0.1 补丁，修复 OpenAI Responses 与 Chat Completions 返回结构化拒答时被误判为解析/运行时失败的问题。此前目标模型的拒答会导致攻击目标未完成并抛出误导性的 ValueError，现在拒答会被正常记录和评分，真正的部分执行则抛出 ScenarioPartialFailureException。使用 OpenAIResponseTarget 或 OpenAIChatTarget 对接近期 OpenAI 与 Azure OpenAI 模型的用户应升级；该版本还调整了推理模型响应片段顺序，将 reasoning 排在 text 之后。

微软 PyRIT 发布 v1.1.0，扩展扫描器与评分能力

微软开源红队框架 PyRIT 发布 v1.1.0，重点改进评分机制、扩展扫描器能力并加入 CoPyRIT 新功能，Python 支持范围仍为 >=3.10、<3.15。评分方面新增未确定分数状态，读取 score_value 或调用 get_value() 前需检查 score.is_undetermined，部分被拦截的回复默认纳入评分，可通过 should_score_blocked_content=False 恢复旧行为。扫描器新增 Best-of-N、split-payload、多语言、音频 achilles、包幻觉、system-prompt 提取和 FigStep 等能力，并加入 bijection、CharNoise、CodeAttack、SATA、Vigenere、Acrostic、IPA 等 10 个转换器。官方称本次没有已知高优先级安全问题。

腾讯 AI-Infra-Guard v4.1.15 发布：新增 3 条 MCP 威胁检测规则与 6 条 llama.cpp CVE 规则

腾讯 AI-Infra-Guard 发布 v4.1.15，在 mcp_scan 和 ai_infra_scan 中允许省略 model token，回退到系统默认模型。MCP 模块新增工具投毒、凭据窃取、命令注入 3 条威胁检测规则，llama-cpp 规则包新增 6 条 llama.cpp CVE 规则，其漏洞总数由 3 更新为 9、严重级别由 Low 调整为 Medium-High。文档同步将 ai-infra-scan 漏洞总数由 1300+ 修正为 1600+，openclaw 漏洞数由 628 更新为 655。

腾讯 AI-Infra-Guard v4.5.0 发布：Agent-Scan、MCP-Scan、Skill-Scan 模块化并新增检测能力

腾讯 AI-Infra-Guard 发布 v4.5.0，将 Agent-Scan、MCP-Scan、Skill-Scan 模块化为独立 CLI 并支持 AIG 集成。Agent-Scan 新增 4 项 AI 智能体安全检测技能，MCP-Scan 新增 2 条 MCP 安全检测规则及 ATR 衍生规则，Skill-Scan 新增 Agent Skill 安全审计并以 PyPI 包 aig-skill-scan 发布，支持 SARIF 2.1.0 输出。同时新增 agentic-tool-misuse 评测数据集，CVE 规则数更新至 1900+。

腾讯 AI-Infra-Guard v4.5.1 发布：新增多种多轮越狱攻击与 MCP 安全检测规则

腾讯 AI-Infra-Guard 发布 v4.5.1，PromptSecurity 新增 Many-Shot、PAIR、GOAT 和 ActorAttack 多轮越狱攻击。Agent-Scan 新增 5 项 OWASP 检测技能（含 agentic-supply-chain、cascading-failure、human-agent-trust、inter-agent-comm、unexpected-code-execution）及 web-exfiltration-detection 技能，MCP-Scan 新增硬编码密钥、不安全反序列化等 4 条 MCP 安全检测规则，并更新 AIG 规则至 2026-07-24。

腾讯 AI-Infra-Guard v4.5.2 发布：新增 SkillJack 项目并修复 mcp-scan 提示注入致 RCE

腾讯 AI-Infra-Guard 发布 v4.5.2，新增 SkillJack 项目和一批 AIG 检测规则，并为 Qdrant、Chroma、Weaviate 补充仅 GET 指纹识别。该版修复了 mcp-scan 动态扫描模式下经提示注入触发的远程代码执行问题，同时修补 skill-scan 字符集内容走私及隐藏编译字节码两处缺陷，并将 aig-agent-redteam 变异引擎重构到 v5.0.0、合并工作流攻击与变异攻击流程。

腾讯 AI-Infra-Guard v4.6.0 发布：新增 API Checker 与 LLM API 投毒检测

腾讯 AI-Infra-Guard 发布 v4.6.0，新增 API Checker 模块提供 API 安全审计并集成 Web 代理与统一 CLI 命令，同时加入针对 LLM API 投毒攻击的新检测能力。Agent-Scan（aig-agent-redteam）升级到 v5.0.0，重构变异引擎并将 workflow-attack 合并入 mutation-attack，还完成了 DeepSeek Harness 提示注入评估的研究工作。此外修复了 MCP 客户端迁移至 SDK 2.0、streamable_http_client 头参数兼容等问题，文档中组件表更新且 CVE 计数从 1900+ 升至 2000+。

MITRE ATLAS v5.6.0 更新：新增 AI 智能体配置搜索等攻击技术

MITRE ATLAS 发布 v5.6.0，新增三项攻击技术：获取公开 AI 制品下的 AI Agent 配置搜索、搜索开放网站/域名下的代码仓库，以及钓鱼下的 Deepfake 辅助钓鱼。同时更新了钓鱼、LLM 越狱与缓解措施，涉及用户培训、Deepfake 检测，并更新了 OpenClaw 通过提示注入实现命令与控制等案例研究。

腾讯 AI-Infra-Guard v4.6.1 发布

腾讯 AI-Infra-Guard 发布 v4.6.1，新增 Gemini、Gemma 和 GLM 指纹识别并更新 GLM-5.3-Flash 基线。该版适配 MCP Python SDK 2.x，修复空扫描结果可能不完整等问题，同时停止隐藏 .pyc 文件及跳过目录中的载荷，Task API 增加 skill_scan 任务类型。

腾讯 AI-Infra-Guard v4.6.2 新增 FORGE-Bench 失控基准

腾讯 AI-Infra-Guard 发布 v4.6.2，新增面向自主智能体的确定性失控基准 FORGE-Bench（forge_bench）及干净的 RogueHandoff-20 基准，并补充一批 AIG 检测规则。该版将 aig-skill-scan 升级到 0.2.2，减少无证据误报、避免模型工具调用卡死并约束流式中断响应，同时修正判定与公开结果的比对逻辑。Extract-Vuln 模块剥离 CDATA 包装并兼容常见标签别名，另清理了 12 处 YAML 校验失败等问题。

腾讯 AI-Infra-Guard v4.6.3 发布

腾讯 AI-Infra-Guard 发布 v4.6.3，新增 DeepTeam 在运行期间将完成的测试用例写入磁盘，并修复 API Checker 对 Claude 5 签名的支持。该版本为 API Checker 补充失败指纹样本以提升模型识别可靠性，同时为 Prompt-Eval 加入限流感知退避、熔断器和进程组终止机制，并在熔断器与模型间共享限流计数器、加固 Retry-After 解析。文档方面新增 FORGE-Bench 与 RogueHandoff-20 研究条目并同步至 8 种语言 README。