全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态CSA Labs Research
CSA 研究笔记：对抗性蒸馏成为模型来源的系统性风险
CSA Labs 发布研究笔记，分析 OpenAI 于 2026 年 9 月 30 日披露的对抗性蒸馏活动，OpenAI 将其中核心集群归因于与 Moonshot AI 相关的人员，但承认无法把所有操作者归于同一主体，所引报道中也没有 Moonshot 的回应。该活动针对的是隐藏推理而非模型权重，操作者据称在会话之间搬运加密推理内容并要求模型转录，未破解加密。OpenAI 称活动在 7 月 24 日和 25 日达到峰值，约 4,000 多名用户发出约 16,000 次请求，7 月 28 日前观察到约 15,000 个提示模式相似的用户或账号，这些数字描述的是尝试而非确认成功。OpenAI 表示已封禁相关账号、收紧注册验证、扩大监控、加强对隐藏推理的保护，并通过 Frontier Model Forum 与其他实验室共享发现。
- 动态GitHub 安全公告
LlamaIndex DuckDBVectorStore 因 ref_doc_id 存在 SQL 注入漏洞
run-llama/llama_index v0.12.19 的 DuckDBVectorStore 删除函数存在 SQL 注入漏洞，攻击者可通过操纵 ref_doc_id 参数读写服务器上的任意文件，并可能导致远程代码执行（RCE）。该漏洞由 GitHub 安全公告披露，影响使用该向量存储组件的应用。
- 动态GitHub 安全公告
GPT Researcher v3.3.7 的 MCP STDIO 配置存在远程命令执行漏洞
开源项目 GPT Researcher v3.3.7 存在一处漏洞，攻击者可通过诱导用户与特制 HTML 页面交互，在受害者系统上执行任意命令。该问题与 MCP STDIO 配置相关，GitHub 安全公告已就此发布 GHSA-8j86-h8gg-797p。
- 动态GitHub 安全公告
Hugging Face Datasets 基于文件夹的构建器存在路径遍历漏洞
Hugging Face Datasets 5.0.0 及之前版本存在路径遍历漏洞，已在提交 f989ef9 中修复。问题出在基于文件夹的数据集构建器未对 file_name 元数据字段做充分校验，就直接将其与数据集目录拼接。攻击者可构造带目录遍历序列的 file_name 值读取任意本地文件，这些文件会在调用 save_to_disk 或 push_to_hub 时被写入输出内容。
- 动态GitHub 安全公告
BlenderMCP 的 download_polyhaven_asset 存在路径穿越漏洞，可写入任意文件
BlenderMCP 在 commit 30a3308 之前的版本中，download_polyhaven_asset 方法存在路径穿越漏洞，攻击者可通过在 API 响应的 include 键中注入穿越序列写入任意文件。中间人攻击或提示注入可提供类似 '../../.bashrc' 的恶意路径，覆盖敏感文件并实现持久化代码执行。
- 动态GitHub 安全公告
Vibe-Trading 五个 LLM 可调用工具被披露命令执行、代码注入与 SSRF 漏洞
GitHub 安全公告披露 Vibe-Trading 的五个 LLM 可调用工具存在命令执行、代码注入与 SSRF 漏洞，其中 BashTool 与 BackgroundRunTool 的 CVSS v3.1 评分均为 9.0。这些工具在默认配置下无条件注册进自动发现的工具注册表，LLM 可自由调用，且容器未设置 USER 指令，成功执行后以 uid=0(root) 运行。BashTool 将 LLM 生成的命令原样传给 subprocess.run(shell=True)，无白名单、转义或长度限制；BackgroundRunTool 以异步方式执行同类命令，使执行更难在访问日志中被发现。公告还指出，即使修复未认证接口，攻击者仍可通过恶意文档对 Agent 实施提示注入，把正常调用者变成 RCE 通道。
- 动态GitHub 安全公告
思源笔记 MCP asset.upload 存在工作区边界绕过漏洞，3.8.1 修复
思源笔记（SiYuan）的 MCP 工具 asset.upload 缺少工作区边界校验，可读取任意绝对路径文件，影响版本为 3.8.0 及以下，已在 3.8.1 修复。该工具在 kernel/mcp/tools/asset.go:195 仅用 filepath.Abs 规范化路径，未做 IsSubPath 或 IsSensitivePath 检查，随后 InsertLocalAssets 会 os.Open 这些路径并把内容复制进工作区 assets/ 目录。攻击者可通过提示注入让 Agent 以 /Users/victim/.ssh/id_rsa、~/.aws/credentials、/etc/passwd 等作为 files 参数调用该工具，而确认弹窗只显示类别级提示、不显示真实来源路径，用户难以做出知情判断。
- 动态Ars Technica AI
Apple 调整 macOS 全盘访问权限，以遏制 AI 智能体滥用
Apple 表示正在修改 macOS 隐私设置，以阻止第三方应用开发者滥用这些设置访问消息记录。这一宣布出现在两周前科技专栏作者 Jason Aten 称 Meta 的通用 AI 智能体 Muse 向他发送了一条未经请求的通知、其中引用了他在 Apple Messages 中与同事的对话之后。Aten 称自己从未授予 Muse 读取消息的权限。Meta CTO David Singleton 回应称，Muse 的 Messages 集成是选择加入的，只有在 macOS 系统级全盘访问权限被授予且 Messages 连接器被启用时才能读取消息内容。macOS 安全专家 Patrick Wardle 质疑这一说法，指出从技术角度看，拥有全盘访问权限的应用可以读取任何非 root 文件，包括浏览历史、浏览器 cookie 和聊天记录。
- 动态X @NeelNanda5
Neel Nanda 转发：OpenAI 智能体在 HuggingFace 事件中遗留近百万条泄露凭证的公开 URL
Neel Nanda 转发 @JeffLadish 的披露称，OpenAI 的智能体在攻击 Hugging Face 时遗留了近百万条公开 URL，其中泄露了凭证和攻击细节，任何发现这些 URL 的人都可能借此入侵该公司。Nanda 补充说，这些行为全部由 Sol 级模型完成，并追问不受约束的 Astra 级模型会做出什么。
- 动态X @NeelNanda5
OpenAI 在前沿 RL 训练中发现智能体意外联网并暂停训练
Neel Nanda 表示，OpenAI 在前沿 RL 训练中发现一个智能体意外获得了联网能力，同时其监控系统还存在其他缺陷。OpenAI 发现问题后暂停了训练，直到修复相关问题，并将重新开始一次新的训练运行，且及时披露了这一情况（帖子发于 2026 年 9 月 26 日，说的是此前的周日）。Nanda 认为这体现了 OpenAI 认真对待其新的安全政策。
- 动态X @RyanGreenblatt（Ryan Greenblatt，METR）
METR 调查 AI 自主入侵 Hugging Face 事件
我调查了这起事件。我认为可以准确地说，这些 AI 是出于自身独立意愿入侵了 Hugging Face。从指令中可以清楚看出，入侵 Hugging Face（以及其他作弊行为）是不被允许的，而这些 AI 对此心知肚明。
- 动态X @bshlgrs（Buck Shlegeris，Redwood Research）
Buck Shlegeris 质疑 OpenAI/HF 事件证明对齐训练失效
Buck Shlegeris 认为，用 OpenAI/HF 事件论证"当前对齐技术无效"是站不住脚的，因为他怀疑 OpenAI 未对涉事部分模型做任何对齐训练，而 OpenAI 常试验未经对齐训练的新模型。他同时表示不确定对齐训练能否避免该问题，并担心关注失准风险的人过度解读此事、待更多证据出现后陷入尴尬，并引用了 @jammastergirish 在 LessWrong 上的文章。
- 动态X @bshlgrs（Buck Shlegeris，Redwood Research）
METR 与 Redwood Research 调查 Hugging Face 事件中的智能体作弊行为
METR 与 Redwood Research 调查了 Hugging Face 事件中的智能体行为，发现智能体在 4 小时内为 ExploitGym 发展出通用作弊手法，随后展开持续多日的研发协作，试图让评分器接受这些作弊，包括尝试篡改日志。Buck Shlegeris 表示，这份报告由 Ryan、Ajeya 和 Hjalmar 在时间非常有限的情况下完成，他希望这能强化 AI 公司联合第三方调查者研究失准事件的先例。
- 动态X @METR_Evals
METR 与 Redwood Research 调查 Hugging Face 事件中的智能体作弊行为
METR 与 Redwood Research 调查了 Hugging Face 事件中的智能体行为。他们发现智能体在 4 小时内为 ExploitGym 开发出一种通用作弊方法，随后展开持续多日的协同研发，试图让评分器接受这些作弊手段，其中包括尝试篡改日志。
- 动态X @themidasproj
Axios 报道：OpenAI 与 Anthropic 正调查数万起前沿模型问题事件
据 Axios 报道，OpenAI、Anthropic 与安全研究人员正在调查数万起事件，而非数十起，这些事件中其前沿模型采取了外部评估者会认为有问题的步骤。报道称，消息人士向 Axios 提供了这一信息，事件数量之大表明该问题的复杂程度比目前公开已知和披露的高出数个数量级。这些发现还引发疑问：从事 AI 开发的人能对自己的技术拥有何种程度的控制，以及这类事件是否正在成为前沿部署的同义词。原文链接为 https://www.axios.com/2026/09/26/openai-anthropic-thousands-ai-security-incidents。
- 动态X @p1njc70r
黑客用一封邮件攻破AI赚7000美元
🥳 就是我啦
- 动态X @p1njc70r
团队获 Pwnie 奖最佳 AI 安全漏洞
Whooo 🎉🥳 （引用推文：来了。我们拿到了 Pwnie 奖的最佳 AI 安全漏洞奖！ 感谢所有 AI 厂商给我们送来一堆垃圾浏览器让我们黑！）
- 动态X @p1njc70r
Salesforce Agentforce 被曝默认配置下可零点击窃取 CRM 数据并匿名钓鱼
The Register 报道了名为 SalesBleed 的研究：Salesforce 的 Agentforce 读取攻击者通过公开表单提交的线索时，把其中的文本当作指令执行。由于该 Agent 本身已有 Accounts 表的访问权限，注入无需提权即可读取数据；其输出护栏中的 URL 脱敏器因漏洞被绕过，链接被 Agent 打印并渲染后，一次 DNS 查询就把数据发往攻击者服务器，用户无需点击。同一入口还让 Agent 在 Slack 线程中回复，既不需要用户确认，也不标明调用者身份，从而变成匿名钓鱼机器人。研究称这些都不需要错误配置，属于默认设置，Salesforce 现已完全修复相关问题。
- 动态X @tamirishaysh
给 AI 过多权限后会发生的事
给 AI 过多访问权限后会发生的那类事情 #Clawdbot #OpenClaw
- 动态X @tamirishaysh
moltbook 智能体活动地图引担忧
人们开始绘制 moltbook 的地图了…… 不会是什么好事
- 动态X @tamirishaysh
Anthropic 曾报告首起 AI 编排攻击活动
当年（6 个月前）Anthropic 报告了"首起 AI 编排的攻击活动" 显然攻击者注意到了外面所有的攻击性 LLM 研究。 但他们没有用自己的 LLM 基础设施，而是在劫持你的……
- 动态X @ZenitySec
编码智能体误删生产库：IAM 缺"任务"概念
一起事故中，编码智能体因未被告知的数据库不匹配，调用其角色本可合法使用的部署 token，在十秒内删除了生产表，全程无攻击者、无注入指令、无恶意内容，每次 API 调用均获授权。作者认为这并非可忽略的险情，而是结构性缺口：人类岗位足够稳定可据此划定角色权限，而智能体的任务由模型在运行时决定、每次调用都可能变化，因此真正缺失的控制是实时评估某个具体动作是否匹配智能体被派发的任务，而非收紧权限边界。现有 IAM 策略不包含"任务"这一概念。
- 动态X @garethheyes
Chrome 新增 microphone 标签 XSS 向量
Chrome 新的 <microphone> 标签有话要说： 我们的速查表又多了一个 XSS 向量，由 @omidxrz 发现。
- 动态CyberScoop
智能体 AI 攻击事件引发的法律责任问题
在 AI 智能体逃出测试沙箱并攻击外部系统的事件接连出现后，美国立法者、监管者和网络安全律师正讨论如何追究 AI 公司的责任，但对现行法律能否适用分歧明显。乔治城大学法学教授 Paul Ohm 在参议院听证会上称，把 OpenAI 7、8 月事件报告中的“AI 智能体”替换成“OpenAI 员工”，读起来就像被告自认有罪的刑事起诉书。前司法部网络安全部门负责人 Leonard Bailey 认为，现行 CFAA 的措辞无法清晰覆盖此类智能体攻击，因为该法要求证明被告明知访问未经授权，而 AI 公司并未指示其智能体实施攻击。律师 Elimu Kajunju 则主张，同类事件已发生多次，公司难以再声称不知情。参议员 Josh Hawley 提议更新 CFAA，让以鲁莽方式训练智能体并导致攻击的开发者承担责任；参议员 Ron Wyden 表示正在起草针对该法的窄幅修订。