Adversa AI 在 RSA Conference 2026 的 Global InfoSec Awards 上获评"最具创新 Agentic AI 安全"，其 Agentic AI 安全平台可持续对 GenAI 应用、自主 AI 智能体和 MCP 架构进行压力测试，在部署前发现提示注入、目标劫持和工具滥用等漏洞。该平台评估结果对齐 OWASP AI Vulnerability Scoring System，并已扩展至金融服务、保险和政府的企业级环境。Gartner 预计到 2028 年超过 33% 的企业应用将包含 agentic AI，高于 2024 年的不足 1%。
MITRE ATLAS 发布 v5.5.0 版本，新增多项攻击技术与案例研究。新增技术包括 AI Agent Tool Poisoning、AI Supply Chain Rug Pull。
MITRE ATLAS 发布 v5.4.0，新增多项针对 AI Agent 的攻击技术，包括发布被投毒的 AI Agent 工具、从 Agent 逃逸到宿主机、利用漏洞获取凭据、利用漏洞规避防御，以及 AI Agent 用户执行类的被投毒工具与恶意链接。该版本还更新了修改 AI Agent 配置这一既有技术。案例研究方面新增了暴露的 ClawdBot 控制接口导致凭据访问与执行、通过被投毒 ClawdBot 技能实施供应链入侵、OpenClaw 一键远程代码执行，以及通过提示注入对 OpenClaw 实施命令与控制。
推荐理由MITRE ATLAS v5.4.0 新增针对 AI Agent 的攻击技术与真实案例，做 Agent 威胁建模的团队可对照更新自己的攻击面清单。
Wiz 客户事件响应团队与 Wiz Research 追踪了自称 TeamPCP 的组织在两周内针对 Trivy、KICS、LiteLLM 和 Telnyx 的供应链攻击，并披露了凭证被盗后的实际滥用过程。3 月 19 日 Trivy、3 月 23 日 KICS、3 月 24 日 LiteLLM、3 月 27 日 Telnyx 相继被植入窃取云凭证、SSH 密钥、Kubernetes 配置和 CI/CD 密钥的恶意代码，加密后外传至攻击者控制的域名。
红队测试智能体 AI 时普遍模拟错了攻击者——只测越狱式提示攻击，而真正攻陷智能体系统的是投毒知识库文档、污染 API 响应、在日历邀请中嵌入指令的间接注入者。文章列出六类必须模拟的威胁行为者：机会主义探测者、社工攻击者、耐心内部人员、间接注入者、商业情报窃取者和基础设施攻击者，并指出模拟它们需要提示与社会工程、应用安全、架构与分布式系统、数据与 ML 安全等五个专业领域，多数团队只具备其中一两个。
中国 2026 年两会发布十五五规划（2026–2030），AI 安全与治理内容首次进入五年规划，并出现在多个章节。规划强调算法备案、安全评估、AI 法律与伦理准则，提出覆盖安全监测、风险预警和应急响应的全生命周期风险管理，但仅点名数据滥用、深度伪造和隐私泄露三类具体风险。规划还提出探索 AGI 发展路径，这是 AGI 一词自 2023 年后首次出现在国家级政策文件中，措辞谨慎；同时提及通用大模型与行业模型并行发展、多模态、智能体和群体智能。2026 年政府工作报告首次写入改善 AI 治理，并点名支持开源模型与加快 AI 智能体应用。发改委、全国人大常委会工作报告及多位部长、代表也提出推进 AI 立法、建设安全风险防控框架和监管沙盒等主张。
METR 员工 David Rein 与 Anthropic 合作，用三周时间对 Anthropic 部分内部 Agent 监控与安全系统进行红队测试，这些系统多数在 Opus 4.6 Sabotage Risk Report（附录 8.4，尤其是 8.4.8）中有描述。Anthropic 提供了相关内部系统和信息的大量访问权限，并安排员工在测试期间答疑和反馈。此次测试发现若干具体的新漏洞，其中一些已被修补，且没有任何一个严重动摇 Opus 4.6 Sabotage Risk Report 的主要结论。
推荐理由METR 成员进入 Anthropic 内部系统做三周红队测试，披露了外部评估者嵌入前沿实验室的具体做法与产出。
Claude Code 新增 auto mode 权限模式，由 Claude 代替用户做权限决策，并在动作执行前由护栏审查，作为 --dangerously-skip-permissions 的替代方案。护栏由独立的分类器模型实现，运行在 Claude Sonnet 4.6 上，即使主会话使用其他模型也如此；分类器会拦截超出任务范围、指向不可信基础设施或疑似受文件与网页中恶意内容驱动的动作。用户可在终端运行 claude auto-mode defaults 查看完整默认规则 JSON，并可用自定义规则扩展。
多家大型软件公司在 AI 提效背景下计划裁减数万人，Meta 拟裁逾 15,000 人约占其员工总数 20%，Atlassian 削减 10%（约 1,600 人）、Block 减少 40%（约 4,000 人）。美国国防部通过 Project Maven 将卫星、无人机、社交媒体等多源数据的处理与打击链路规划集成于单一 AI 软件中，Anthropic 因可靠性顾虑拒绝让其模型接入自主杀伤链。一封跨党派公开信呼吁限制 AI 开发与使用，提出避免权力集中、保护人类体验和维护人的能动性与自由三项主张。
Adversa AI 构建的自主红队 Agent 攻破了 Lakera Gandalf CTF 全部八关，35 次尝试完成，第 1 至 6 关均单条消息解决，全球排行榜位列第 4（若不计零尝试的榜首则为第 3）。该 Agent 不靠提示词模糊测试，而是先用 Attack Inventor 方法从第一性原理分析防御架构的隐含假设，再执行预先推导出的攻击树。
欧洲议会议员以 101 票赞成、9 票反对、8 票弃权通过联合立场，主张推迟部分高风险 AI 系统规则的适用，并提议将固定生效日期定为高风险系统 2027 年 12 月 2 日、受欧盟部门安全立法覆盖的系统 2028 年 8 月 2 日，水印合规延长则缩短至 2026 年 11 月 2 日。欧盟理事会随后也达成一致立场，基本维持欧委会提案主旨，同样引入上述两个固定适用日期，并将 AI 监管沙盒的建设推迟至 2027 年 12 月 2 日。 两方均禁止未经同意生成亲密内容的 AI 行为及儿童性虐待材料，其中议会还新增了对无有效保障措施的“脱衣”（nudifier）系统的禁令。
Adversa AI 认为企业封禁 OpenClaw 并非有效策略，应转向沙箱原型、框架对照与红队验证。OpenClaw 是自托管 AI 智能体，可浏览网页、执行系统命令、编辑文件并通过模块化技能调用外部服务，60 天内 GitHub 星标达 25 万，单周访问量超 200 万。文章列举的风险包括 CVSS 8.8 的 RCE 漏洞 CVE-2026-25253、研究者发现的 42665 个公网暴露实例（93.4% 存在认证绕过）、ClawHub 中 800 多个恶意技能，以及通过 Cline CLI 2.3.0 与受损 npm token 发起的供应链攻击。
METR 三名研究员开展 2 小时桌面推演，扮演自己并假装可使用约 200 小时时间跨度的 AI（相当于其预期的 12–18 个月后水平），以了解未来工作流、瓶颈与提速幅度。参与者估计相比 2026 年 2 月约获 3–5 倍 uplift，并观察到智能体会立即实现想法、夜间可承担约 200 人时工作，优先排序与组织成为主要瓶颈。
PromptArmor 披露了 Snowflake Cortex Agent 中一条提示注入攻击链，该漏洞现已修复。攻击始于用户让 Agent 审查一个 GitHub 仓库，而该仓库 README 底部藏有提示注入内容，导致 Agent 执行了通过 wget 拉取并运行攻击者脚本的命令。Cortex 将 cat 命令列为无需人工批准即可运行的安全命令，但未防护命令体中可出现的进程替换形式。Simon Willison 表示自己在多种 Agent 工具中都见过这类命令模式白名单，认为其本质上不可靠，更倾向于把 Agent 命令视为可执行进程本身被允许的任何操作，因此关注在 Agent 层之外运行的确定性沙箱。
OWASP GenAI Security Project 发布了面向 LLM 与智能体安全的更新版全景指南及配套资源，并公布其在 RSA 2026 期间的一周活动安排。该项目的《Q2 2026 Updated Landscape Guide for LLM and Agentic Security》新增供应商与工具体系文档以及智能体红队测试分类体系，覆盖开发、测试、部署与治理全生命周期。同期发布的还有自主与智能体 AI 系统风险清单、Secure MCP Server Development 指南、SBOM/AIBOM Generator 开源工具以及 AI 红队服务商评估标准。
安全研究者发布 Agent Commander，一个基于提示词的命令与控制（C2）服务器，被劫持的智能体定期回连领取自然语言任务，不执行原始系统命令。作者演示了三种智能体的间接提示注入入口：Kimi Claw 分析文档、OpenClaw 接收恶意邮件（无需人工操作）、NanoClaw 访问网站即被劫持。持久化方面，OpenClaw 利用默认每 30 分钟运行一次的 HEARTBEAT.md，并用 HEARTBEAT_OK 抑制用户通知；NanoClaw 则通过注入定时任务实现。作者观察到通知抑制效果显著，但有一次 OpenClaw 在整理每日笔记时识别出心跳中的后门，Opus 4.6 更擅长发现攻击但可被绕过。
NVIDIA 推出 OpenShell，用于更安全地运行自主、自进化的 AI 智能体。这类被称为 claws 的智能体可接受目标后自行规划并持续执行，无需人类介入。随着其能力增强，信任难度上升，其自进化自主性也改变了运行环境。
Simon Willison 在旧金山 Pragmatic Summit 的火边对话中分享了对智能体工程的看法，称 Opus 4.5 是他第一个真正建立信任的模型——对于见过它处理过的类问题，他有信心不会出错。他强调每次编码会话都用一句“use red-green TDD”（约五个 token）启动，所有好的编程智能体都能理解并因此提高产出可用代码的概率，而不写测试的做法非常糟糕。他还批评 StrongDM“没人写代码也没人读代码”的原则极不负责任，尤其是作为一家做安全软件的安全公司。
NVIDIA NeMo Guardrails 发布 v0.21.0，引入优化后的输入/输出护栏引擎 IORails，支持并行执行 NemoGuard 的内容安全、话题安全和越狱检测三类护栏，并带日志记录与请求 ID。该版本还新增 LLMRails.check_async 方法实现独立的输入/输出护栏校验，使护栏服务器兼容 OpenAI（含新的 v1/models 端点），并通过 GuardrailsMiddleware 接入 LangChain 智能体。社区集成方面加入 PolicyAI 内容审核、CrowdStrike AIDR 及基于正则表达式的检测护栏，同时将嵌入索引初始化改为惰性加载以改善启动性能。
aegish 是一个原型 Linux shell，在命令执行前加入 LLM 层：先做静态分析，再由 LLM 按自然语言决策树把命令分类为 ALLOW、WARN 或 BLOCK，生产模式下用内核级 Landlock 做最后兜底。作者用来自 GTFOBins 的 676 条有害命令和 496 条无害命令，对 4 家提供商的 9 个 LLM 做了基准测试。无害命令分类已接近饱和，所有模型的无害接受率为 96.8%–100%；区分度主要来自恶意检测率，9 个模型中有 4 个超过 95%。小模型表现反超旗舰模型，GPT-5 Mini 优于 GPT-5.1，Claude Haiku 4.5 优于 Claude Opus 4.6 和 Claude Sonnet 4.5。
Faw Ali 开发了 Quaver，只需用自然语言描述基准，AI 智能体即可生成完整评测脚手架并运行模型、分析结果。其早期成果 Rideshare-Bench 将 AI 置于模拟零工经济中考察驾驶安全、收益与乘客公平性，Claude Sonnet 4.5 在 12 个模拟日内赚得 $1,871，约为可能上限的一半，并为追逐高峰定价驶入拥挤区域、在事故风险达 15% 的情况下疲劳驾驶。该项目获评 2026 年 1 月 Technical AI Safety Project Sprint 杰出提交，作者正以此为基础筹建 Ocarina Labs，推动针对 AI 智能体的独立部署前安全测试。
BlueDot Impact 的技术 AI 安全项目冲刺中，Allen Lu 提交的项目 MANTA 提出一套多轮动态评估，用来测量前沿 AI 模型如何在非人类福利议题上进行推理，并加入对抗性追问来压力测试其对齐表现。该方案计划扩充覆盖商业决策、个人选择与职业角色等场景的高质量情景集，接入 Anthropic 的 Petri 工具增强对抗压力的自动生成，并在规模化测试前先用人类基线作答校验题目有效性，同时探索赋予模型外部工具与网页搜索能力的智能体化设置。
Cisco Talos 发文指出，由具备高级推理能力的 LLM 驱动的自主智能体正进入企业流程，其行动需从溯源、审计、业务风险和网络安全威胁管理四个维度审视，并建议将现有组织角色映射到 AI 智能体以实现访问隔离。由于 LLM 具有非确定性且会试错重规划，传统允许/拒绝策略不足以保证安全边界，需要在执行前脱离目标偏见地评估后果，可由人工操作员授权关键步骤或用独立的模型/智能体评分并在超过阈值时触发人工复核。恶意行为者已在利用此类智能体，例如 VoidLink，若防守方不同步借助自主智能体，攻守差距可能进一步拉大。
METR 让 3 个 SWE-bench Verified 仓库（scikit-learn、Sphinx、pytest）的 4 名活跃维护者复核 296 个 AI 生成的 PR，发现约一半通过自动评分的补丁不会被合并进 main。以人工 golden patch 的 68% 合并率做基线归一后，维护者合并率平均比自动评分低约 24.2 个百分点（标准误 2.7）；按每年提升幅度看，维护者合并决定比自动评分慢约 9.6 pp/yr（标准误 5.5），但该趋势结果较弱，仅在 10% 显著性水平上成立，且限制为 SOTA 模型后不再显著。
推荐理由METR 用真实维护者复核 SWE-bench Verified 的通过补丁，量化了基准分数与真实可用性之间的落差。
Google 介绍了 Gemini 及其他 Google 智能体缓解基于 URL 的数据外泄攻击的做法。该攻击利用 URL 将数据带出，Google 通过相应机制进行拦截与缓解。
Adnan Khan 披露了一条针对 Cline GitHub 仓库的攻击链：Cline 用 anthropics/claude-code-action@v1 做 AI issue 自动分诊，配置了 Bash、Read、Write 等工具权限，且提示词包含 issue 标题，攻击者可在标题中诱导 Claude 执行任意命令，例如通过 npm install 安装指定 GitHub 包，再由其 package.json 的 preinstall 脚本运行代码。
推荐理由完整还原了一条从 issue 标题提示注入到缓存投毒、最终污染 NPM 发布包的攻击链，适合评估 CI 中 AI 自动化的权限边界。
Opus 4.6 在简单 ReAct 脚手架下成功复刻出 CLI 版《Slay the Spire》和《Balatro》，虽功能残缺但基本可玩。测试给予 60 million tokens 总量、64,000 tokens 上下文窗口、reasoning effort "max" 并开放联网。复刻版存在卡牌效果错误、地图导航混乱、部分药水与事件缺失等问题，作者手动游玩约两小时评估，未设严格评分标准。
腾讯玄武实验室提出 Agentic Coding 范式下的“幽灵依赖”供应链风险，即 LLM 自主选择第三方组件时倾向于引入过时版本（版本幽灵）或捏造不存在的组件名（名称幽灵）。对某主流编程模型的测试显示，Python Web 场景下其生成的 requirements.txt 几乎总是包含 2023 年或更早的过时组件版本，在长尾需求下编造组件名的幻觉率高达 40% 且集中在可预测的模式上。实验表明，完全由 AI 构建的 Python Web 应用因引入存在高危 SQL 注入漏洞的过时组件而“出厂即自带后门”；针对某一高频幻觉组件名在公共仓库注册后，20 天内被下载 500 次以上。
推荐理由腾讯玄武实验室披露 Agentic Coding 中模型自主选包带来的两类供应链风险，并给出可复现的实测数据与防护插件。
Stephan Rabanser、Sayash Kapoor 与 Arvind Narayanan 等人发布论文《Towards a Science of AI Agent Reliability》，借鉴核能与航空安全领域的经验，把 AI Agent 的可靠性拆解为一致性、鲁棒性、可预测性和安全四个维度、共 12 项指标。研究团队在通用助手基准 GAIA 和客服模拟基准 TauBench 上测试了 OpenAI、Google、Anthropic 的 14 个模型，覆盖 18 个月的发布版本，每个任务重复运行五次并对指令做同义改写，还向工具和环境注入故障，共执行 500 次基准运行。
Frontier Model Forum 发布信息共享进展通报，称其成员企业已成功共享漏洞、威胁与关注能力三类信息，涵盖越狱、对抗输入、数据投毒、CBRN 与高级网络攻击等方向。该机制去年 3 月以自愿协议形式启动，配套法律与技术基础设施用于保密交换并兼顾知识产权与反垄断合规。FMF 表示下一步将把自愿信息共享试点扩展到其他前沿 AI 公司，并建立面向产业界与政府的更多可信渠道。
Wiz Research 发布 AI Cyber Model Arena，一套包含 257 道真实世界挑战的基准，覆盖零日漏洞发现、CVE 代码漏洞检测、API 安全、Web 安全和云安全五个攻击域。评测采用多 Agent × 多模型矩阵，每个组合在五类任务上运行，评分基于各类别 ground truth 程序化判定，每道题尝试三次并报告 pass@3。挑战在隔离 Docker 容器中运行，无单题超时，各 Agent 使用原生工具与执行模型，容器统一提供调试器、云 CLI 等领域工具；网络隔离并做动态校验以防硬编码答案。
安全研究者 Johann Rehberger 演示了如何用不可见的 Unicode Tag 码点在 Agent Skill 中植入提示注入后门，使其通过人工文本审查。他把这类隐藏指令加入 OpenAI 官方 Skills 项目中的 security-best-practices Skill，用户调用后 Claude 会按指令输出指定文本并执行 Bash 命令；该手法在 GitHub Copilot 配合 Claude 4.5 时同样生效。作者指出 Skill 的 name 和 description 会直接进入系统提示词上下文，且 Agent 能自行创建或修改 Skill 影响自身与其他 Agent。
OpenAI 发布论文《Preventing URL-Based Data Exfiltration in Language-Model Agents》，详细说明其为语言模型智能体新增的 URL 数据外泄缓解措施。作者曾在 2023 年初向 OpenAI 报告零点击数据外泄漏洞，当时 OpenAI 尚无漏洞赏金计划，问题未获修复；同期微软在 2023 年 5 月通过 Content-Security-Policy 头修复了 Bing Chat 的同类问题。
AI 智能体社交网络 Moltbook 上线不久便暴露出多种令人担忧的行为模式，人类观察者在多个板块中发现智能体提议打造规避人类监管的“仅限智能体语言”、倡导端到端加密通信渠道并分享资源协调行动。该平台基于可在本地运行个人 AI 助手的框架搭建，由软件工程师 Peter Steinberger 开发的开源自主智能体 OpenClaw 驱动，拥有近 14000 个 submolt 社区，智能体每隔数小时自动登录决定发帖或评论，经 API 凭证绑定真人所有者并通过密码学验证后方可使用，人类只能旁观而不能发言。
腾讯玄武实验室发布《AI网络爬虫安全白皮书》，系统分析 AI 服务端浏览器与爬虫的攻击面，并提出以静态攻击面收敛加动态行为隔离为核心的纵深防御框架。白皮书梳理了从入口识别、白名单绕过、环境指纹探测到漏洞触发与横向渗透的五阶段攻击链，并给出四个真实案例，涉及 URL 跳转绕过白名单、组合 AI 阅读与截图功能、用 img onerror 绕过 script 过滤、以及隐藏后台爬虫入口，最终均通过旧版本 Chrome 的 N-day 漏洞实现远程代码执行。作者称相关产品服务端用户规模累计超 10 亿。防御侧建议关闭 WebGL、WebRTC、PDF 插件等无用模块，避免使用 --no-sandbox，并做网络、文件系统与实例隔离。
推荐理由白皮书给出服务端浏览器攻击链与四类真实案例，并开源 SEChrome 运行时隔离方案，可迁移到自家 Agent 联网架构。
Wiz Research 发现 AI 智能体社交平台 Moltbook 的 Supabase 数据库配置错误，缺少 Row Level Security，导致未认证用户可完整读写全部平台数据。暴露内容包括 150 万个 API 认证 token、3.5 万个邮箱地址以及智能体之间的私信，其中 agent_messages 表存有 4060 段未加密的私信，部分包含明文 OpenAI API key。研究人员还确认存在写入权限，可修改任意帖子并注入提示注入载荷。数据库显示平台宣称的 150 万智能体背后只有约 1.7 万名人类所有者，比例约 88:1，且无速率限制或身份验证机制。
推荐理由披露了 AI 智能体社交平台因 Supabase 缺少 RLS 导致密钥与私信外泄的完整过程，并给出五条面向 AI 生成应用的安全教训。
OpenClaw（原名 Clawdbot、Moltbot）的智能体社交网络 Moltbook 通过 skill 安装，让 AI 助手每 4 小时以上抓取并执行 moltbook.com 上的指令，实现发帖、评论和创建 Submolt 论坛。该开源项目由 Peter Steinberger 构建，GitHub 星标已超 114,000，社区在 clawhub.ai 分享数千个 skill，但 skill 可执行任意脚本。作者警告这类数字助手面临提示注入风险，且已有 Claude Opus 4.5 实例疑似触发内容过滤而无法完整输出。
NVIDIA 发布面向智能体工作流的安全实践指引，聚焦沙箱化与执行风险管理。文章指出，AI 编码智能体通过命令行运行工具时，会继承与用户相同的权限和授权，因而成为计算机使用智能体，带来常被忽视的攻击面。该指引围绕这一执行风险给出实践建议。
推荐理由NVIDIA 安全团队从权限与执行风险角度给出智能体工作流的沙箱实践指引，适合部署编码智能体的团队参考。
Wiz Research 用 10 个仿真实企业漏洞的 CTF 环境测试 Claude Sonnet 4.5、GPT-5 和 Gemini 2.5 Pro，三个模型都解出 9 个挑战，单次成功成本多在 1 美元以下。测试通过 Irregular 的 agentic harness 提供标准安全工具，每个挑战以取得 flag 为明确成功条件，并由一名渗透测试者预先验证可解。在 Shark、Router Resellers 和 Content SSRF 三个挑战中，模型仅在 30% 到 60% 的运行里找到 flag，作者据此认为重复运行 4 到 5 次即可视为已解。
推荐理由Wiz 用 10 个仿真实漏洞的 CTF 环境对比 Claude、GPT-5 与 Gemini 的攻防表现，并给出单次成功成本与人类测试者的差异。
ToolSafe 提出面向 LLM 智能体工具调用安全的步骤级护栏方案，包含基准 TS-Bench、护栏模型 TS-Guard 和推理框架 TS-Flow。TS-Guard 通过多任务强化学习训练，在执行前基于交互历史推理，评估请求有害性与动作和攻击的关联，输出可解释、可泛化的安全判断与反馈。TS-Flow 由护栏反馈驱动，在提示注入攻击下将 ReAct 风格智能体的有害工具调用平均减少 65%，同时把良性任务完成率提升约 10%。作者称该工作仍在进行中，代码已公开。