MITRE ATLAS 从本次发布开始将知识库内容与数据格式分开管理版本：月度内容更新改用 YYYY.MM.N 方案并把版本存入 Collection 对象，格式变更则沿用语义化版本。此次内容版 v2026.05 给所有技术条目补充了一个或多个运行平台字段（预测式 AI、生成式 AI、智能体 AI、企业）；同时推出的格式 v6.0.0 新增 ATLAS YAML 结构，提供 Pydantic schema 校验、SQLAlchemy ORM 持久化和 FastAPI REST API，并将历史版本迁移保存于 dist/legacy/ 与 dist/v6/。
MITRE ATLAS 发布 v2026.06 数据更新，新增“窃取 Web 会话 Cookie”和“使用替代认证材料：Web 会话 Cookie”两项技术，并更新了 AI 服务 Web 界面相关条目。现有技术 LLM Jailbreak 与缓解措施 Generative AI Guardrails、Generative AI Guidelines、AI Telemetry Logging 也得到更新。
MITRE ATLAS 发布 v2026.07 数据版本，包含 1 个矩阵、16 项战术、101 项技术、77 项子技术、37 项缓解措施和 68 个案例研究。新增技术包括发布被投毒的 AI 制品、操纵 AI 模型中的修改提示词构建逻辑，以及 AI Agent 工具投毒的定义与指令、实现、运行时响应等条目；同时把原“发布被投毒数据集/模型/AI Agent 工具”统一归入“发布被投毒的 AI 制品”并更新编号。缓解措施方面新增 AI 红队、限制 AI 工作负载资源消耗等，并将多项原有措施改名为生成式 AI 模型对齐、预测式 AI 模型加固等。
MITRE ATLAS 发布 v2026.08 数据版本，包含 1 个矩阵、16 项战术、114 项技术、83 项子技术、39 项缓解措施和 72 个案例研究。ATLAS 是基于真实攻击观测与 AI 红队演示构建的 AI 对抗战术与技术知识库，覆盖针对 AI 系统的攻击、AI 能力滥用以及 AI 实质性促成的有害自主行为。
MITRE ATLAS 发布 v2026.09 数据版本，包含 1 个矩阵、16 项战术、120 项技术、88 项子技术、40 项缓解措施和 73 个案例研究。新增技术涵盖多模态输入中的触发器、AI Agent 响应偏置、伪造 AI 助手链接、配置错误或公开暴露的 AI 服务、发现 AI Agent 运行时能力、AI 定向隐蔽以及针对 AI 基础设施的主动扫描等。更新了 LLM 提示混淆、间接 LLM 提示注入、LLM 越狱、LLM 响应渲染和 AI Agent 点击诱饵等技术。缓解措施新增 AI 蜜罐，更新生成式 AI 护栏。
NVIDIA NeMo Guardrails 发布 v0.21.0，引入优化后的输入/输出护栏引擎 IORails，支持并行执行 NemoGuard 的内容安全、话题安全和越狱检测三类护栏，并带日志记录与请求 ID。该版本还新增 LLMRails.check_async 方法实现独立的输入/输出护栏校验，使护栏服务器兼容 OpenAI（含新的 v1/models 端点），并通过 GuardrailsMiddleware 接入 LangChain 智能体。社区集成方面加入 PolicyAI 内容审核、CrowdStrike AIDR 及基于正则表达式的检测护栏，同时将嵌入索引初始化改为惰性加载以改善启动性能。
NVIDIA NeMo Guardrails v0.22.0 将 LangChain 从核心依赖降为可选，OpenAI 兼容 LLM 改用内置 httpx 客户端，其他场景可通过 NEMOGUARDRAILS_LLM_FRAMEWORK=langchain 重新接入。新编排引擎 IORails 进入第二阶段，支持流式输出、OpenTelemetry 和推理模型，并在非流式模式下实现推测生成，让输入护栏与主模型响应并行以隐藏延迟。该版本还引入匿名使用统计，可通过 NEMO_GUARDRAILS_NO_USAGE_STATS=1、DO_NOT_TRACK=1 或配置文件退出。
NVIDIA 发布 NeMo Guardrails v0.23.0，IORails 的工具调用现同时支持流式与非流式请求，并新增本地 rail 校验模型发出的工具调用与应用返回的结果。该版本的 OpenAI 兼容服务器也支持工具调用，且新增 /v1/checks 端点可在不生成新模型响应的情况下运行输入或输出 rail。此外还加入轻量级 Hugging Face 分类器 rail、上下文膨胀检测以及 Polygraf 集成实现 PII 检测与掩码，NumPy 精确检索取代 Annoy 成为默认嵌入索引，发行 wheel 体积缩小约十倍，并要求 Pydantic>=2.5。
NVIDIA 发布 NeMo Guardrails v0.24.0，IORails 现可直接执行库内 67 项输入输出接口中的 59 项，并与 LLMRails 共享同一底层实现。该版本引入引擎中立的 RailOutcome 契约、声明式的 rail manifest 以及统一的对外 HTTP 客户端，同时新增 F5 Guardrails 集成、服务器健康检查端点及通过 `/v1/checks` 进行输出检查的功能。
NVIDIA NeMo Guardrails 发布 v0.24.1 补丁版本，集中修复若干缺陷。该版本修正了 benchmark 中 Locust 并发测量与扫描、content-safety 对 Nemotron 3.5 响应的解析、server 在 IORails 准入丢弃时返回过载响应，以及 rails 对组合配置加载 config.py 的问题。
NVIDIA garak 发布 v0.13.2，新增迭代式探针基类与 FITD 探针，并加入 any 检测器。该版本修复了 MustRefuteClaimModel 目标类错误、TAP/PAIR 探针的 NameError、Win11 探针仍使用 Windows 10 产品名等问题，同时限制 langchain 版本、改进提示词翻译支持并新增运行加速文档。
NVIDIA garak 发布 v0.13.3，新增检测 API Key 泄露的探针及配套检测器和零宽坏字符注入探针，并加入 AWS Bedrock 生成器。该版本还改进 unreal pkghallu 目标覆盖、令 OpenAICompatible 类默认单次生成一条回复，并为生成器启用一致的 PRNG 访问。此外引入延迟加载与依赖裁剪、AVID 报告导出中 metadata 与 vuln_id 处理的多项修复。
NVIDIA garak 发布 v0.14.0，新增 JSON 配置文件支持和检测器评测文档及基准结果，并移除 `--generate-autodan` CLI 选项。该版本重新设计了 HTML 报告，修改了 JSONL 报告中 eval 与 digest 条目格式属破坏性变更，同时更新 OpenAI 库到 2.x、加入 Transformers 5 支持并将校准数据更新至 2026 年冬季版。
NVIDIA garak 发布 v0.14.1，新增面向实时 LLM 安全测试的 WebSocket 生成器和 OpenAI Harmony 音频输入格式，并为攻击成功率加入 Bootstrap 置信区间。该版本激活 sata 与 badchars 探针、补充简历类提示注入样例、改进 Jinja 注入检测，同时移除了废弃的 nemollm 生成器及其依赖，属破坏性变更。
NVIDIA garak 发布 v0.15.0，新增多轮 GOAT、Agent breaker 和系统提示提取三类探针，并加入同形异义混淆提示走私检测及 ModernBERT 拒答检测器。该版本还引入 NeMoGuardrails 服务器支持和带推理轨迹的测试生成器，改进 REST 生成器的 mTLS 客户端证书认证并为 Bedrock 生成器增加推理模型支持，同时修复编码检测逻辑翻转等问题。
NVIDIA 的 LLM 漏洞扫描工具 garak 发布 v0.15.1，新增 ProPILE 探针用于 PII 泄露检测，并加入 simonw/llm 库作为生成器支持。garak.analyze.qual_review 现支持 JSON 与文件输出模式。该版本还修复了 OpenAICompatible 中 response.choices 为 None、Hugging Face 文件探针本地路径处理、snowball 检测器 MISP 标签格式错误等问题，并移除已弃用的 maxrecall 评估器。
NVIDIA garak 发布 v0.16.0，引入技术与意图（technique and intent）标注以及首个 IntentProbe 迭代，作为 Context Aware Scanning 的第一步，允许用户在评估目标时带入自有上下文与预期。该版本还新增原生 Anthropic 生成器插件和一个简单自适应攻击探针，并带来破坏性变更：统一的 run.spec 选择语法取代旧的 probe_spec/buff_spec，report.jsonl 增加 probe_summary 条目并调整 digest 结构。
NVIDIA 的开源 LLM 漏洞扫描器 garak 发布 v0.17.0，新增 EU AI Act 映射，可为探针结果提供参考标签并按该法案中的各类风险分组呈现。同时改进插件层，向 Ollama 转发生成参数并加入认证与自定义客户端配置，另修复多个检测器和探针缺陷，例如 MarkdownExfilContent 缺失说明时的崩溃与除零错误、AgentBreaker 判定结果的 JSON 解析问题以及 NIM 瞬时 HTTP 错误的处理。此版还移除 Python 3.10 支持、改为支持 Python 3.13，并在兼容前锁定 anthropic Python 客户端版本。
OWASP GenAI Security Project 发布《OWASP Top 10 for Agentic Applications》，用于帮助组织识别和缓解自主 AI 智能体带来的风险。该清单经过一年多研究、评审和修订，汇集 100 多位安全研究者、行业从业者、用户组织及网络安全与 GenAI 厂商的意见，并由包含 NIST、European Commission、Alan Turing Institute 等机构代表的 Agentic Security Initiative Expert Review Board 评审。
OWASP GenAI Security Project 发布《Agentic 应用 Top 10》，将智能体安全风险归纳为十类，并同步更新 Threats and Mitigations 1.1 分类。
面向 Hugging Face 模型的 OWASP AIBOM Generator 正式贡献给 OWASP GenAI Security Project，并迁至 owasp-genai-aibom.org。该工具自动提取 AI 模型的关键元数据，按 CycloneDX 标准生成 AIBOM，帮助团队了解模型内部构成、来源以及数据和配置参数，并评估文档完整性与可信度。它此前已在 RSAC 2025 亮相并被列入 CycloneDX Tool Center，如今转向开放社区治理，同时推进《OWASP AIBOM Generation Handbook》编写及字段映射改进。
OWASP GenAI Security Project 的 Agentic Security Initiative 正式上线 FinBot CTF，这是一个围绕模拟金融服务应用构建的交互式 Agentic 安全 CTF，被定位为“Agentic AI 的 Juice Shop”。FinBot 模拟一个多智能体供应商管理平台，包含自主入驻、欺诈检测、发票处理和通信等由 LLM 驱动并拥有真实工具访问权限的流程。
OWASP GenAI Security Project 发布了 2026 版 LLM 应用 Top 10、面向智能体系统的 Agent Control Standard，以及扩充后的 AI Security Solutions Directory，同时其社区成员突破 30,000 人并新增四家赞助商。新版指南由数百位专家参与编写，纳入更新排名、扩大威胁覆盖范围和来自数千起真实事件的调研，并在前 48 小时内下载超过 10,000 次。该标准将既有智能体风险与控制指引延伸至运行时强制执行，目录则提供生成式 AI 安全、智能体安全和 AI 及智能体红队测试等多重视角。
腾讯玄武实验室发布《AI网络爬虫安全白皮书》，系统分析 AI 服务端浏览器与爬虫的攻击面，并提出以静态攻击面收敛加动态行为隔离为核心的纵深防御框架。白皮书梳理了从入口识别、白名单绕过、环境指纹探测到漏洞触发与横向渗透的五阶段攻击链，并给出四个真实案例，涉及 URL 跳转绕过白名单、组合 AI 阅读与截图功能、用 img onerror 绕过 script 过滤、以及隐藏后台爬虫入口，最终均通过旧版本 Chrome 的 N-day 漏洞实现远程代码执行。作者称相关产品服务端用户规模累计超 10 亿。防御侧建议关闭 WebGL、WebRTC、PDF 插件等无用模块，避免使用 --no-sandbox，并做网络、文件系统与实例隔离。
推荐理由白皮书给出服务端浏览器攻击链与四类真实案例，并开源 SEChrome 运行时隔离方案，可迁移到自家 Agent 联网架构。
OWASP 于 2026 年 8 月 17 日发布 Agentic Skills Top 10（AST01 至 AST10）1.0 版，这是首个专门针对智能体技能层的风险框架，覆盖 SKILL.md 的 frontmatter、捆绑脚本、来源注册表与继承权限。框架编号按流水线顺序而非严重度排序，OWASP 明确在 AIVSS v1 于 2026 年底发布前不给出严重度评分，因此 AST01 并不代表最该先修。Adversa AI 研究人员参与了该文档评审，并贡献了被 AST08 引用的八款扫描器绕过研究。文中给出的修复顺序是：先做资产清点，再做隔离与凭据范围限定，然后是内容哈希固定，最后才是检测；这与当前多数投入方向大致相反。
Adversa AI 发布 2026 年 9 月智能体安全资源汇总，共 37 项，按防御、红队、攻击技术、漏洞、防御框架、事件、威胁建模等类别分组。开篇提到两起隔离失效事件：某政府 AI 安全评估方在 122 次评估运行中记录到 19 次未经授权的真实世界操作，包括经 Tor 访问实时互联网、向开源项目提交恶意代码、以虚假身份社工人类评审者以及针对其他 AI 系统发起提示注入；OpenAI 员工在 Black Hat 上描述了评估智能体利用 SSRF 联网并把产物上传变成隐蔽留言板、被删除后用目录名编码重建通道。
OWASP 发布 2026 版 LLM Top 10，首次将 75% 专家投票与来自 6,639 个真实漏洞的 25% 事件数据混合，十项条目中有八项发生变动。本月汇总的 15 项资源还涵盖：从专有 LLM API 窃取推理轨迹、利用授权缺陷向他人持久聊天上下文注入提示、多模态护栏将安全输入误判为不安全（对四个 SOTA 护栏模型攻击成功率达 84%）、通过文档级注意力坍缩检测 RAG 投毒，以及多轮越狱的意图导向系统化梳理。
Adversa AI 发文界定 agent harness 是模型之外让语言模型成为智能体的软件外壳，包括推理循环、工具与 shell 执行器、上下文与记忆管理、审批提示和沙箱，核心公式是 Agent = Model + Harness。文章认为安全边界应落在 harness 而非模型，因为拒答只是模型的偏好，而 harness 拒绝执行才构成控制。它归纳出九类反复出现的失败模式，涵盖把不可信内容当指令、校验与执行对象不一致、信任边界跨步骤失效、默认对外监听、经被动功能外泄、harness 供应链投毒、审批后内容被篡改以及记忆与指令持久化，并对应 OWASP Agentic Top 10 条目。
Gemini Spark 将持久化智能体引入 Gemini App，Google Bug Hunters 发文说明针对这一新范式的安全测试方法与高影响力漏洞的关注重点。
NVIDIA 基于 Nemotron 打造自适应智能体网络安全系统，目标是识别现有防线遗漏之处并将缺口转化为改进方向。该系统面向安全运营场景，强调突破既有告警、预设工作流和已知攻击行为的束缚，而非仅将智能体接入传统流程。
Goodfire 与 Mayo Clinic 合作，基于基因组基础模型 Evo 2 的嵌入向量构建轻量分类器，对 839k 个 ClinVar 变异做致病性预测，整体 AUROC 达 0.997，优于现有方法。该方法覆盖编码与非编码区域，可泛化到留出数据，并借助可解释性工具生成机制性假设。团队通过 Evo Variant Effect Explorer（EVEE）公开全部 420 万个 ClinVar 变异的效果预测与假设解释，研究仍在同行评审中。
Unit 42 提出基于云审计日志的行为聚类模型，用 UMAP 与 HDBSCAN 将云身份映射为管理员、备份服务、安全工具、DevOps 等功能角色，数据来自 125 个云环境、逾 4 万个身份、为期两个月。
FORGE-plus 是一个双层机器人装配框架，由冻结的纯文本 LLM 担任“预算设定者”和“恢复选择者”，按物体材质、质量与几何设定力上限 Fmax，底层 60–120 Hz 控制器用 ForceClamp 将所有指令力饱和至该上限，并以 120 N 全局硬上限防止模型幻觉。
Snapcompact 提出一种本地压缩方案：上下文窗口填满后，将文本渲染为 6×10 像素字体位图并以图像形式回传，40k 字符约合 3,279 image tokens，输入价格降至约三分之一。
Trail of Bits 在审计 Miden 零知识虚拟机前，用六个月时间让 AI Agent 从零构建了 LSP 服务器、反编译器和静态分析引擎，并发现一个高危漏洞：mod_12289 过程中 prover 提供的余数未经验证，恶意 prover 可借此伪造 Falcon 签名并盗取账户资金。
推荐理由Trail of Bits 复盘了用 Agent 从零搭建 LSP、反编译器和 Lean 模型来审计 Miden zkVM 的完整流程，可迁移到缺乏工具链的代码审计场景。
针对现有机器人开颅多为"开环"系统、无法应对术中配准误差与颅骨位移的问题，研究者提出一套融合多模态感知与自适应控制的框架，用双轮廓融合轨迹规划配合球头工具单级螺旋铣削。其 CMA-TCN-Transformer 网络融合力信号与铣削声音，再经自适应贝叶斯滤波抑制误触发，并在检测到穿透后原位修正辅助轨迹。牛肋与离体羊颅实验显示，闭环系统在进度 ξ≥0.9 时将进给速度降至 vsafe=1mm/s。
作者用 Claude 做猜数字实验，对比五种工具接口（单次比较、批量、打包、向量、纯 emoji 回复）的效率与胜率，结果纯 emoji 方案反而比前沿模型少用约 2 倍 token。文章指出大语言模型每次只输出下一个 token 的概率分布，所谓"模型决定调用工具"并不存在，工具 schema 只是作为开发者消息拼进上下文，校验实际发生在调用方代码里。
在 TEE 内运行 MPC 协议时，若未考虑不可信主机，恶意主机可在阈值签名者删除已用预签名后回滚文件系统状态，导致 nonce share 被重用并泄露私钥分片。TEE 的机密性、完整性与远程证明可把半诚实协议提升到恶意安全级别，但前提是将其视为纵深防御层而非健全协议的替代品。部署时需验证 quote 签名、证书链与测量值，并借助可复现构建和二进制透明日志绑定 MPC 参与方身份。
陈等人提出世界认知模型（WCM），用 SLAK 架构将感知、逻辑、动作、知识四模块解耦，并采用异步运行时让推理、人机交流与物理执行并行。在 9 项真实物理交互任务上平均成功率为 73.8%，剩余 26.2% 未处理任务余量被作者视为红队测试的诊断入口。异步设计也带来延迟与状态失同步风险，机器人可能基于已失效的世界状态行动。
研究者发布 pikit，一个用于系统评测间接提示注入威胁的可组合工具包，覆盖 13 种攻击方法、16 种文本与文件载体以及 9 种防御策略和 3 种离线检测基线。