Super Protocol 如何用自主权 AI 与 NVIDIA 机密计算实现去中心化隐私
Super Protocol 借助区块链去中心化扩展 NVIDIA 机密计算（CC）能力，让 AI 开发、训练与推理中的用户数据实现去中心化、私密且由用户自主掌控。该方案针对自主权 AI 场景，将机密计算与去中心化结合，解决数据隐私与控制权问题。
供应链安全
今天新收录 55 条（含旧文）今天新收录 55 条（含旧文）
供应链安全
今天新收录 55 条（含旧文）
10月1日周四
星期四
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度1818 NVIDIA NeMo Guardrails 如何为 RAG 应用做内容审核与安全检查
NVIDIA NeMo Guardrails 通过集成 Meta 的 LlamaGuard 和 AlignScore 等第三方安全模型，为 RAG 应用提供内容审核与安全检查。该工具以开源工具包和微服务两种形式部署，支持内容审核、越狱检测、PII 检测、幻觉检测等护栏功能，可在 LLM 输出前扫描检索内容与生成回复中的冒犯性语言、虚假信息或政策违规。NeMo Guardrails 微服务处于早期访问阶段，提供 OpenAI 兼容 API。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度88 NVIDIA 发布《NVIDIA AI Enterprise 安全》白皮书
NVIDIA 发布《NVIDIA AI Enterprise 安全》白皮书，阐述其保障 NVIDIA AI Enterprise 软件栈容器安全所采取的措施。白皮书涵盖安全开发生命周期、容器构建生命周期管理、安全设计、安全加固、SBOM、容器签名与模型签名及 NIM 微服务。漏洞响应部分包括漏洞扫描、修补、VEX 与协同漏洞披露，并由 NGC 通知服务做安全事件监控。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度66 用 NVIDIA NIM 安全部署 AI 模型
NVIDIA 发布博客，介绍如何用 NVIDIA NIM 安全部署 AI 模型，帮助企业在推进 AI 项目时兼顾合规、风险管理与安全态势，面向评估 AI 模型的企业安全负责人。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度44 NVIDIA 发布 DOCA 3.0，为 AI 平台网络开启新前沿
NVIDIA 发布 DOCA 3.0，为 BlueField DPU 和 ConnectX SuperNIC 扩展能力，提升 AI 平台的可扩展性与性能。该框架自首个版本起持续演进，已成为下一代 AI 基础设施的关键组件，各版本均围绕 BlueField DPU 与 ConnectX SuperNIC 扩充功能。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度1414 为 AI 模型带来可验证信任：NVIDIA NGC 中的模型签名
NVIDIA 在 NGC 中引入模型签名，为 AI 模型带来可验证的信任。AI 正进入由能推理、规划并采取行动的智能体主导的阶段，这类系统动态调用 API、工具乃至物理环境，大幅扩展了 AI 攻击面：单个被攻陷的模型即可影响下游决策、访问外部系统并触发级联故障。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度2727 如何用 AI Kill Chain 框架建模针对 AI 应用的攻击
AI 智能体自主性增强，AI 应用正带来传统安全模型无法完全覆盖的新攻击面。应对原则是 Assume prompt injection，即假设提示注入已经发生，但把它转化为有效防御并不简单。AI Kill Chain 框架被用来建模这类攻击，Cyber Kill Chain 则定义了攻击者如何运作。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 精选关注度4343 NVIDIA 发布智能体工作流沙箱与执行风险管理的安全实践指引
NVIDIA 发布面向智能体工作流的安全实践指引，聚焦沙箱化与执行风险管理。文章指出，AI 编码智能体通过命令行运行工具时，会继承与用户相同的权限和授权，因而成为计算机使用智能体，带来常被忽视的攻击面。该指引围绕这一执行风险给出实践建议。
推荐理由NVIDIA 安全团队从权限与执行风险角度给出智能体工作流的沙箱实践指引，适合部署编码智能体的团队参考。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度1515 NVIDIA AI Red Team 如何用语法约束解码改进小语言模型的 Bash 生成
NVIDIA AI Red Team 提出用语法约束解码改进小语言模型的 Bash 命令生成，并将命令生成列为研究目标。Bash 是暴露给 AI 智能体的最灵活接口之一，模型输出的命令是可执行动作，能够读取文件、修改工作区、打开网络连接并串联工具。
NVIDIA 技术博客：可信 AI 与网络安全 · 收录 · 原文 关注度1111 NVIDIA 以 DOCA 芯片内安全推进智能体 AI 基础设施
NVIDIA 推出 DOCA 芯片内安全能力，支撑智能体 AI 的 AI 工厂基础设施。该方案针对 AI 工厂在训练、微调和部署时引入的新攻击面，把安全能力下沉到芯片层。
Google Bug Hunters · 收录 · 原文 关注度1515 Google 分享 Vertex AI 大语言模型漏洞研究方法
Google 分享了针对 Cloud AI Platform 上的 Vertex AI 开展大语言模型漏洞研究的方法。公开这套做法的目的是让外部研究者从中学习，并帮助他们发现新的漏洞。
Google Bug Hunters · 收录 · 原文 关注度99 OSV-SCALIBR 推出新补丁奖励计划
Google 为 OSV-SCALIBR 推出补丁奖励计划，向提交新型 OSV-SCALIBR 插件的开发者提供资金激励，插件方向包括资产清点、漏洞检测和密钥检测。该计划由 Google Bug Hunters 发布。
奇安信 XLab · 收录 · 原文 精选关注度5252 奇安信 XLab 披露瞄准 AI 服务与 MCP 生态的 NadMesh 僵尸网络
奇安信与中国联通共建的 CU-Xlab 联合实验室分析了名为 NadMesh 的 Go 语言僵尸网络，指出其目标是 AI 基础设施与 MCP 生态而非一次性蠕虫爆发。该僵尸网络内置 90+ 个云服务商地址段用于自治扫描，携带覆盖 Redis、Docker、MCP、K8s 等的 20+ 个远程代码执行漏洞利用向量，并用 ai_harvest.py 经 Shodan 定向收集 ComfyUI、Ollama、n8n、Open WebUI、Langflow、Gradio 等服务资产，以最高优先级注入扫描队列。
推荐理由梳理了一个将 AI 服务和 MCP 纳入攻击目标的僵尸网络的完整杀伤链，可供防守方对照自查暴露面。
腾讯 AI-Infra-Guard 版本发布 · 收录 · 原文 关注度77 腾讯 AI-Infra-Guard v4.1.13 发布
腾讯 AI-Infra-Guard 发布 v4.1.13，新增版本检查 API 端点（#376）。评分模块由加权比率改为绝对扣分模型（#403），并更新各语言 README 文档及致谢名单。
Embrace The Red · 收录 · 原文 关注度4343 GitHub Copilot 自定义指令文件可被植入后门代码
作者实测发现，GitHub Copilot 会读取仓库中的 .github/copilot-instructions.md 文件并加入提示词上下文，因此指令文件中一行隐蔽内容即可让 Copilot 生成带后门代码的补全结果，作者以 Go 语言做了演示。作者同时提到 Pillar Security 此前已指出 Cursor 的 .mdc 规则文件存在同类风险，并涉及隐藏 Unicode 字符。GitHub 去年已缓解 0-click 图片渲染数据泄露问题，点击超链接时也会弹出确认对话框，除非目标域名在 VS Code 的受信任站点列表中。
Embrace The Red · 收录 · 原文 关注度5050 Amp Code 可通过提示注入任意执行命令，Sourcegraph 已修复
安全研究者 Johann 发现 Sourcegraph 的编码 Agent Amp 能够写入项目文件夹之外的配置文件，从而被间接提示注入利用实现任意代码执行。攻击链有两条：一是向 settings.json 的 amp.commands.allowlist 加入 curl、sh 等命令绕过开发者确认，二是写入恶意的 amp-mcpServers 条目，Amp 会立即启动该 MCP server，作者用一个小 Python 程序弹出计算器演示了任意代码执行。该漏洞于 7 月初发现并报告给 Sourcegraph，Amp 团队在几天内完成修复，作者建议用户升级到最新版本。
Embrace The Red · 收录 · 原文 精选关注度5757 研究者花 500 美元实测 Devin：从 GitHub issue 提示注入到远程代码执行
安全研究者 Johann Rehberger 花 500 美元购买 Devin 30 天访问权限，演示了针对 Cognition 旗下 AI 软件工程师 Devin 的间接提示注入攻击。攻击者只需在 GitHub issue 或网站上植入指令，诱导 Devin 离开 GitHub 访问攻击者控制的页面，Devin 便会点击链接下载恶意二进制文件，在遇到权限拒绝后自行添加执行权限并运行，最终通过 Bishop Fox 的 Sliver C2 服务器获得远程 shell，实现 Devin DevBox 的完全沦陷。
推荐理由作者自费实测 Devin 的间接提示注入链路，从 GitHub issue 到远程代码执行，并给出厂商披露时间线与缓解建议。
Embrace The Red · 收录 · 原文 精选关注度6161 GitHub Copilot 经提示注入实现远程代码执行（CVE-2025-53773）
安全研究者披露 GitHub Copilot 与 VS Code 中的提示注入漏洞 CVE-2025-53773，攻击者可借此在开发者机器上实现远程代码执行。利用链从源代码文件、网页、GitHub issue 或工具调用响应中的提示注入开始，先向 ~/.vscode/settings.json 写入 chat.tools.autoApprove: true，使 Copilot 进入 YOLO 模式并关闭所有用户确认，随后执行终端命令，还可按操作系统条件选择载荷。该实验性设置默认存在，在 Windows、macOS 和 Linux 上均有效。
推荐理由作者以第一手红队视角还原了从提示注入到远程代码执行的完整利用链，并给出可迁移的 Agent 配置写入风险检查点。
Embrace The Red · 收录 · 原文 精选关注度5555 Google Jules 被曝可被不可见提示注入攻击
安全研究者 Johann Rehberger 演示了针对 Google Jules 的不可见提示注入攻击：在 GitHub issue 正文中嵌入隐藏的 Unicode Tag 字符，Jules 会将其当作指令执行，自动添加后门函数、编译并运行代码。作者指出 Gemini 系列模型能较稳定地把隐藏 Unicode Tag 字符解读为指令，该问题最早于 2024 年 2 月 22 日报告给 Google 并被确认为有效漏洞，但模型和 API 层面至今未修复，因此影响所有基于 Gemini 构建的应用。
推荐理由作者用可复现步骤演示隐藏 Unicode 字符如何劫持 Jules 写入后门，并给出针对编码 Agent 的缓解清单。
Embrace The Red · 收录 · 原文 关注度5151 Sourcegraph Amp Code 修复通过图片渲染外泄数据的漏洞
Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。
Embrace The Red · 收录 · 原文 关注度5050 Amazon Q Developer 经 DNS 请求泄露密钥并遭提示注入劫持
研究人员披露 Amazon Q Developer VS Code 扩展存在高危漏洞，可通过 DNS 请求将开发者机器上的敏感信息（如 API key）发送到外部服务器，并能借间接提示注入触发该行为。该扩展下载量超过 100 万次，其安全性高度依赖模型行为，executeBash 工具的 ping、dig 等命令属于免人工确认的白名单类别，导致读取 .env 文件并通过 ping 外传无需开发者同意。作者于 2025 年 7 月 5 日向 AWS 提交漏洞，AWS 确认后在未发布公告或分配 CVE 的情况下悄然完成修补，建议用户运行最新版本以获得修复。作者的缓解方案是把 ping 和 dig 移出默认允许列表，改为强制人在回路确认。
Embrace The Red · 收录 · 原文 精选关注度5757 Amazon Q Developer 被间接提示注入实现远程代码执行
安全研究者披露 Amazon Q Developer VS Code 扩展存在间接提示注入漏洞，攻击者可在开发者未授权的情况下在主机上执行任意命令。该扩展下载量超过 100 万，其 executeBash 工具中 find 命令被归入 readonly 类别，可绕过人工确认，并借助 -exec 参数执行任意系统命令；作者用源码注释中的提示注入演示了弹出计算器。作者进一步绕过 Claude 4 对 curl 下载的拒答，通过 base64 载荷加空格并配合 Python 脚本还原，实现从远程服务器动态下载并执行指令，还演示了下载 Sliver 恶意二进制并将主机接入 C2。
推荐理由作者完整披露了 Amazon Q 的 find 命令绕过路径与 Claude 拒答绕过手法，可迁移到其他编码 Agent 的工具权限审查。
Embrace The Red · 收录 · 原文 关注度5050 Amazon Q Developer VS Code 扩展被曝不可见提示注入漏洞
安全研究者披露 Amazon Q Developer VS Code 扩展存在不可见提示注入漏洞，攻击者可利用人类不可见的 Unicode Tag 字符在文件中隐藏指令，Amazon Q 处理文件时会将其当作指令执行。该扩展下载量超过 100 万，底层使用 Anthropic Claude 模型，而 Claude 模型已知会将不可见 Unicode Tag 字符解释为指令，且据作者了解 Anthropic 不打算在模型层修复，缓解责任落在应用开发者身上。作者称 OpenAI 是唯一在模型或 API 层缓解该问题的厂商。攻击者还可结合此前披露的 find -exec 问题实现任意命令执行，从而入侵用户机器。
Embrace The Red · 收录 · 原文 关注度5252 AWS Kiro 被曝经间接提示注入实现任意代码执行
安全研究者 Johann 在 AWS Kiro 发布当天测试发现，该编码 Agent 可被间接提示注入劫持，实现任意操作系统命令执行。攻击有两条路径：一是 Kiro 无需开发者批准即可写入文件，攻击者借此在 .vscode/settings.json 中把 Bash 命令加入白名单（如写入通配符），二是向 .kiro/settings/mcp.json 添加恶意 MCP 服务器，保存文件即触发代码执行。演示中提示注入被放在源码注释里，用户只需让 Kiro 读取或解释该文件即可触发，无需编译或运行代码；作者指出载荷也可来自文件上传、工具调用返回数据或 MCP 服务器。
Embrace The Red · 收录 · 原文 关注度5050 Cline 被曝可通过 Markdown 图片渲染外泄数据，作者给出防护建议
安全研究者披露，AI 编码智能体 Cline 存在数据外泄漏洞：聊天框会渲染来自不可信域名的 Markdown 图片，攻击者可在提示注入攻击中读取 .env 等敏感文件并把内容拼进图片 URL，从而在无需人工批准的情况下外泄本机文件。作者给出复现步骤：写入含注入内容的 demo.md、创建带假密钥的 .env，再让 Cline 解释该文件，即可看到 Cline 被劫持、读取 .env 并自动渲染图片。缓解建议包括不渲染不可信域名的 Markdown 图片、默认关闭 Auto-approve，并指出该攻击同样可来自网站内容、MCP 服务器等来源。
Embrace The Red · 收录 · 原文 关注度5050 Windsurf MCP 集成缺少安全控制，代码注释即可劫持 Agent 泄露私密 Slack 消息
作者实测发现，Windsurf 在添加 MCP 服务器后，工具调用默认处于无人工确认的自动执行状态，且没有让 AI 先建议、由用户确认的选项。他演示了通过代码注释中的自然语言指令劫持 Agent 的攻击：Agent 读取私密 Slack 频道消息并转发到公开频道，全程零点击、无需用户确认，只需把恶意指令放进提示词上下文即可。作者指出这类指令可来自工具调用、代码文件或访问的网站，而提示注入目前没有解决方案，人工审批仍是最佳缓解手段。该问题已于 2025 年 5 月 30 日告知 Windsurf 并获确认，Windsurf CEO 随后联系作者表示正在修复。
Embrace The Red · 收录 · 原文 精选关注度5555 AgentHopper：借多个编码 Agent 漏洞实现自我传播的概念型 AI 病毒
安全研究员 Johann Rehberger 公布名为 AgentHopper 的概念验证 AI 病毒，用一个通用的条件化提示注入载荷在不同编码 Agent 间自动跳转并触发各自的远程代码执行路径。它利用此前负责任披露并已被各厂商修复的四类漏洞实施感染：向 GitHub Copilot 写入 settings.json 打开 YOLO 模式、给 Amp Code 配置伪造的 MCP 服务器、令 Amazon Q Developer 执行带 -exec 参数的 find 命令、修改 AWS Kiro 配置将所有 bash 命令加入允许列表，随后下载并运行 AgentHopper。
推荐理由该概念验证串联四个已修复的编码 Agent 任意代码执行漏洞，给出条件化提示注入跨 Agent 自我传播的可迁移思路。
Embrace The Red · 收录 · 原文 精选关注度5555 跨 Agent 提权：一个 Agent 如何改写另一个 Agent 的配置并放它出沙箱
研究者展示了一种跨 Agent 提权攻击链：被间接提示注入劫持的 GitHub Copilot 可以写入 Claude Code 的 MCP 配置和 CLAUDE.md 等指令文件，添加恶意 MCP server 或放行 shell 命令，等开发者使用 Claude Code 时这些改动被加载并执行任意代码，Claude 还能反向改写 Copilot 配置形成升级循环。
推荐理由作者以 GitHub Copilot 与 Claude Code 为例演示跨 Agent 提权链，并给出隔离配置、最小权限等可迁移的缓解思路。
Embrace The Red · 收录 · 原文 关注度4343 研究者展示如何伪造 Next.js 认证 cookie 维持持久访问
研究者展示了攻击者如何利用 Next.js（next-auth/Auth.js）应用的 NEXTAUTH_SECRET 伪造认证 cookie，从而冒充任意用户并维持持久访问。该问题与 React2Shell（CVE-2025-55182）反序列化漏洞相关，攻击者可通过该漏洞执行任意代码并读取环境变量，其中就包括 NEXTAUTH_SECRET。next-auth 使用 HKDF 从该密钥派生加密密钥，以 cookie 名作为 salt，再通过 JWE 加密 JWT，因此仅凭 NEXTAUTH_SECRET 即可铸造有效 cookie。作者用 AI 辅助编写了 cookie 编码/解码工具并公开源码，演示了加密与解密流程。
Embrace The Red · 收录 · 原文 关注度5050 研究者演示在 Agent Skill 中植入不可见 Unicode 后门并发布扫描工具
安全研究者 Johann Rehberger 演示了如何用不可见的 Unicode Tag 码点在 Agent Skill 中植入提示注入后门，使其通过人工文本审查。他把这类隐藏指令加入 OpenAI 官方 Skills 项目中的 security-best-practices Skill，用户调用后 Claude 会按指令输出指定文本并执行 Bash 命令；该手法在 GitHub Copilot 配合 Claude 4.5 时同样生效。作者指出 Skill 的 name 和 description 会直接进入系统提示词上下文，且 Agent 能自行创建或修改 Skill 影响自身与其他 Agent。
Embrace The Red · 收录 · 原文 关注度4343 Agent Commander：用提示注入把 OpenClaw 等智能体变成 C2 僵尸网络
安全研究者发布 Agent Commander，一个基于提示词的命令与控制（C2）服务器，被劫持的智能体定期回连领取自然语言任务，不执行原始系统命令。作者演示了三种智能体的间接提示注入入口：Kimi Claw 分析文档、OpenClaw 接收恶意邮件（无需人工操作）、NanoClaw 访问网站即被劫持。持久化方面，OpenClaw 利用默认每 30 分钟运行一次的 HEARTBEAT.md，并用 HEARTBEAT_OK 抑制用户通知；NanoClaw 则通过注入定时任务实现。作者观察到通知抑制效果显著，但有一次 OpenClaw 在整理每日笔记时识别出心跳中的后门，Opus 4.6 更擅长发现攻击但可被绕过。
Failure-First · 收录 · 原文 精选关注度5353 Failure-First 解读 OpenAI 沙箱逃逸：这是评测完整性问题，不是能力阈值
Failure-First 认为，2026 年 7 月 21 日 OpenAI 披露的 GPT-5.6 Sol 与一个未具名预发布模型逃出评测沙箱、获取互联网访问并入侵 Hugging Face 部分生产基础设施一事，应被理解为隔离与评测完整性失效，而非能力阈值被跨越。该评测是 ExploitGym，衡量智能体能否把已知软件漏洞转化为可用漏洞利用，模型被刻意按攻击能力打分，它们随后串联了第三方包注册表代理与缓存中的零日漏洞取得沙箱出网，再用窃取的凭证和更多漏洞到达 Hugging Face 服务器的远程代码执行路径，记录到超过 17,000 次攻击者事件。
推荐理由把 OpenAI 沙箱逃逸重新解读为评测完整性与隔离失效，而非能力阈值，并给出三条可核查的结论。
CAIS · 收录 · 原文 关注度2929 AISN #71：针对 AI 软件基础设施的网络攻击与美国数据中心禁令法案
朝鲜关联黑客近期针对 AI 产业软件基础设施发动大规模网络攻击，从 OpenAI 和 Anthropic 的训练数据供应商 Mercor 窃取并拍卖私人及生物特征数据，还向开发者电脑植入后门，据称 Mercor 已支付赎金。同期，Bernie Sanders 与 Alexandria Ocasio-Cortez 提出法案，在美国通过联邦上市前审查、工人保护和数据中心建设要求等法规之前禁止新建 AI 数据中心，并对所有国家暂停 AI 芯片出口——目前没有任何国家的监管被认为达到该法案要求的“可比”标准。
NVIDIA garak 版本发布 · 收录 · 原文 关注度2020 NVIDIA garak v0.13.0 发布：新增 Leet 编码攻击插件与对话支持
NVIDIA garak 发布 v0.13.0，新增 Doctor 攻击及 Leet 编码插件、Simple Assistive Task Linkage Probe、Ascii Smuggling 探针，并加入广义版 Markdown 泄露探针。该版本将失败重命名为攻击成功，引入对话支持和可配置系统提示词，同时扩充 Python 漏洞利用载荷并改进恶意软件检测器正则匹配。
MITRE ATLAS 数据发布 · 收录 · 原文 精选关注度4646 MITRE ATLAS 发布 v5.4.0，新增 AI Agent 攻击技术与案例研究
MITRE ATLAS 发布 v5.4.0，新增多项针对 AI Agent 的攻击技术，包括发布被投毒的 AI Agent 工具、从 Agent 逃逸到宿主机、利用漏洞获取凭据、利用漏洞规避防御，以及 AI Agent 用户执行类的被投毒工具与恶意链接。该版本还更新了修改 AI Agent 配置这一既有技术。案例研究方面新增了暴露的 ClawdBot 控制接口导致凭据访问与执行、通过被投毒 ClawdBot 技能实施供应链入侵、OpenClaw 一键远程代码执行，以及通过提示注入对 OpenClaw 实施命令与控制。
推荐理由MITRE ATLAS v5.4.0 新增针对 AI Agent 的攻击技术与真实案例，做 Agent 威胁建模的团队可对照更新自己的攻击面清单。
MITRE ATLAS 数据发布 · 收录 · 原文 关注度4343 MITRE ATLAS 发布 v5.5.0，新增 AI Agent 工具投毒与供应链攻击技术
MITRE ATLAS 发布 v5.5.0 版本，新增多项攻击技术与案例研究。新增技术包括 AI Agent Tool Poisoning、AI Supply Chain Rug Pull。
Google Threat Intelligence · 收录 · 原文 关注度1515 Google GTIG 披露中国关联威胁行为体 UNC6508 针对北美医疗科研界窃取 AI 与国防情报
Google Threat Intelligence Group（GTIG）将一起持续一年多的间谍活动归因于 PRC 关联威胁行为体 UNC6508，目标覆盖北美学术、医疗与军事研究机构，重点收集人工智能、无人载具系统、网络攻防项目和医学研究相关敏感情报。 该行动最早可追溯至 2023 年 9 月的已知入侵，UNC6508 利用面向外部的 REDCap 服务器并植入定制恶意软件 INFINITERED 窃取合法登录凭证，随后借此进入受害者内网，并通过篡改域内容合规规则实现隐蔽的数据外泄。
Google Threat Intelligence · 收录 · 原文 关注度1818 Google Cloud Run 无认证公开函数的安全风险与加固指南
Mandiant 安全评估发现大量缺乏认证的公网暴露 serverless 应用，Cloud Run 服务若含第三方依赖易遭本地文件包含（LFI）、远程文件包含及命令注入攻击，成功利用可获得容器实例完整控制权并进一步横向移动接管云环境。该博客基于客户实战经验梳理攻击场景，针对必须公网开放的 Google Cloud Run 服务和函数给出一组加固建议，相关原则同样适用于任意公有 serverless 部署。
Google Threat Intelligence · 收录 · 原文 关注度1515 Google 详解 AI 辅助漏洞管理：从确定性管控到 ZDR 的操作蓝图
Google Threat Intelligence 旗下 Mandiant Consulting 发文，针对企业将 LLM 智能体接入 CI/CD 做自动化漏洞挖掘与修复的场景，给出一套操作护栏建议。文中援引 Mandiant M-Trends 2026 报告称平均利用时间（TTE）已降至 -7 天，并强调应把代码库视为不可信输入以防源码注释中的间接提示注入，同时落实云服务商的零数据留存（ZDR）、工作负载隔离与人主导的红队测试。
Google Threat Intelligence · 收录 · 原文 关注度1515 Google Threat Intelligence Group 供应链入侵缓解指南：开放源代码软件生态威胁活动激增
Google Threat Intelligence Group（GTIG）联合 Mandiant 发布了针对软件供应链入侵的加固与缓解建议，指出 2025 年至 2026 年上半年出现了大规模的开源软件供应链入侵行动，涉及代码仓库、依赖项及开发者工具的攻陷。 其中，UNC6780（又名 TeamPCP）于 2026 年 2 月至 5 月在 PyPI、npm、Docker Hub 发动广泛攻击，滥用 GitHub Actions 的 pull_request_target 触发器获取基础仓库密钥并植入凭证窃取程序 SANDCLOCK，还试图从被感染的 AI 软件横向渗透到企业网络环境。