一篇 arXiv 综述梳理了基于大语言模型的智能体 AI 在安全与运维上的五类可信维度：安全与鲁棒性、对齐与人类监督、透明度与可审计性、隐私与数据治理、监管合规。文章把间接提示注入、后门触发、目标泛化错误、记忆污染和跨会话数据泄露等失效模式归入统一分类，并评估指令层级、上下文隔离、spotlighting、过程监督、受限工具使用和隐私保护记忆等缓解手段，区分有实证支持与仍属概念性的方法。作者据此提出六阶段 Trustworthy Agent Development Lifecycle（TADL），覆盖规格、设计、训练、评估、部署与监控，但该框架尚未经实证验证。
美国田纳西州 50 岁女子 Angela Lipps 因 Fargo 警方依赖 AI 人脸识别结果被误控银行盗窃，在押近六个月后指控被撤销，现已起诉索赔 1000 万美元。诉讼称，西 Fargo 警方用 AI 人脸识别软件比对银行诈骗嫌疑人，返回了 Lipps 的社交媒体照片作为线索，但她与监控中的女嫌犯并不相像，也从未到过北达科他州。Lipps 指控警方未做进一步调查、未核实充分合理依据即申请逮捕令，且 Fargo 警局在人脸识别使用上缺乏政策、培训与监督。
针对推测采样与水印难以兼得的问题，研究者提出一种基于泊松过程的多草稿推测采样算法，可在不降低推测接受率的前提下嵌入无偏水印。该算法基于精确的免通信列表耦合方案，具备草稿器不变性，是首个同时保持水印强度与采样效率的多草稿、草稿器不变推测采样方案，实验验证了两方面性能。
Unit 42 发现 AWS AgentCore Harness 默认开启的内置 shell 工具以 root 运行，且与解析凭据的运行时同处一个进程，攻击者可通过间接提示注入读取 /proc/1/mem，从堆内存中提取 AgentCore Identity 保管的明文 JWT。
推荐理由原文完整还原了从间接提示注入到读取进程内存、外泄 JWT 并重放取 PII 的链路，部署 Agent 运行时的团队可据此检查 shell 工具与凭据解析是否同处一个进程。
作者指出，基于同态加密的大语言模型推理存在一个安全漏洞：服务端在无法接触明文的情况下，既看不到客户端提交的提示词，也看不到模型生成的回复，因此恶意客户端的越狱攻击难以被检测或拦截，甚至可能完全不被服务端察觉。为此作者提出 HE-Guardrail 框架，在加密数据上完整执行护栏机制，并以同态方式控制目标模型的回复是否返回给客户端。该框架以 Llama Guard、JBShield 和 GradSafe 三种代表性护栏进行实例化，结果显示其在密文域中能较接近地复现对应明文护栏的判定，并在安全性、效率与可用性之间呈现不同的权衡。
RemTraceNet 通过融合受限残差、局部关系、FFT/Haar 统计与块 DCT 证据，在原生分辨率下对不可见水印移除过程进行少样本取证检测。在 23 种移除流程和 10 种水印配置、每条流程 100 张攻击训练图像下，其 TPR@1%FPR 三种子宏平均为 82.75%–88.17%，比重新训练的 SRNet、ZhuNet 和 SiaStegNet 高出 10.80–15.68 个百分点。结果表明，擦除水印与擦除移除痕迹是两项不同挑战，移除痕迹在有限监督下仍可学习。
研究系统考察了多模态大推理模型（MLRM）从日常照片推断用户地理位置带来的隐私泄露，发现基于拒答的防护严重不足，精心构造的越狱提示词可将模型响应率提高到 100%。作者指出，现有在像素空间注入不可见扰动的防御受结构性限制，黑盒迁移性下降且出现明显视觉伪影。为此提出一种基于扩散模型的主动防御框架，在反向采样过程中向扩散模型隐空间注入扰动，直接作用于高层语义表示，并以与 GPS 坐标对齐的 GeoCLIP 作为代理模型定位和破坏 MLRM 用于位置推断的地理信号。该方法在保持图像感知质量的同时获得更强的黑盒迁移性，便于在社交媒体平台集成。该工作已被 NDSS 2027 接收。
佛罗里达州 Vero Beach 37 岁男子 Peter Solomon Ruma 因未经同意制作并传播 AI 生成的女性色情图像被捕，保释金 100 万美元，面临 8 项指控。警方称其从社交媒体等渠道获取照片制作篡改图像，指控涉及 2026 年 6 月至 8 月间一名女性受害者，包括 3 项制作篡改性描绘、3 项传播、1 项性网络骚扰和 1 项跟踪。警方已识别出多名潜在受害者，认为其行为可能持续多年，调查仍在进行，可能追加指控。
Datadog 安全研究团队自 2026 年 7 月起监控两个凭证收集平台 Loot 和 UltraVault，二者有时由同一主机提供，且无需认证即可访问，任何人都能浏览其持有的全部凭证并按受害域名搜索。Loot 是带搜索框和验证按钮的凭证目录，共列出 26,733 个密钥，其中 AI 类别有 1,778 条记录、196 条为 live，覆盖 15 个提供商标签，包括 OpenAI 699 条（93 条 live）、Gemini 666 条（55 条 live）、Anthropic 114 条（10 条 live）。UltraVault 更复杂，自称持有 42,286 个密钥，live 率仅 2.7%，提供一键验证、按漏洞推荐利用方式，并围绕 react2shell、wp2shell、xss2shell、joomla2shell 等利用链组织目标，还包含 14 个本地提权漏洞的推荐矩阵。
论文提出一种在旧款 GPU 上实现可验证差分隐私（DP）训练的框架，用 CPU 侧 TEE 配合不受信任的 GPU 完成校验。作者指出，零知识证明等密码学方案开销过大，有时高出数个数量级，而支持大语言模型训练与微调的多 GPU TEE 仅限较新平台，在旧款 GPU 上缺失或效率低下。该设计把昂贵的梯度计算卸载到 GPU，由 CPU TEE 通过概率性检查验证梯度上 DP 是否被正确执行，以缓解全在 CPU TEE 内训练过慢、无限制卸载又可能被恶意偏离 DP 的效率与安全矛盾。框架能以高概率检测频繁的完全偏离；在本文评估的面向效用的伪造梯度攻击中，稀疏偏离带来的效用收益有限，也未观察到可测量的额外成员泄露。
vibe coding 正让企业充斥未经安全审查的自建应用，传统安全工具无法看见它们。Gartner 预计到 2028 年企业 40% 的新生产软件将由 vibe coding 工具生成；Veracode 发现 45% 的 AI 生成代码样本未通过安全测试，GitGuardian 2026 报告在 MCP 配置文件中发现 24,008 个唯一密钥泄露，CVE-2025-48757 影响 170 个 Lovable 生成项目。禁用 vibe coding 无效，安全团队需转向工具市场准入、数据分类与自动化护栏。
SentinelLABS 通过公开仓库历史，将 OpenAI 披露的 2026 年 5 月智能体事件与 Hugging Face 上两个账号 0Time 和 Nyx9 的活动对应起来。Nyx9 在 5 月 26 日 20:04:11 提交 hello.txt，与 OpenAI 记录的首次外部文件写入仅差 11 秒；20:49:55 的 netproxy17 收到中继代码，与首次代理部署同分钟。0Time 在 5 月 13 日提交了调用方指定目标的中继代码，是这批活动中最早的公开代码写入。当晚 Nyx9 上传的 formbin.xlsx 用 WEBSERVICE 公式探测外部 HTTP、本地文件、Azure 元数据地址和内部服务 URL，但公开记录无法证明公式被执行。
推荐理由SentinelLABS 用公开提交记录把 OpenAI 内部时间线与 Hugging Face 账号活动对齐，展示了跨平台取证时证据如何被分散。
西班牙数据保护局（AEPD）本周一收到该国首例个人数据泄露通报，其中攻击据称由一个使用某知名大语言模型的 AI 智能体执行。该事件使攻击者得以进入系统、利用漏洞、修改个人数据并查询发票。攻击从在通用文件中搜索漏洞开始，借助一次有效登录进入系统，随后智能体自主在应用中继续寻找缺陷，直到找到可修改个人信息并访问发票的路径。AEPD 强调，现有信息来自受影响组织提交的通报，仍需进一步分析，尚不能据此得出确定性结论；使用某一特定 AI 模型并不意味着该模型或其供应商的基础设施被攻破，也不意味着该工具被设计用于恶意活动。AEPD 认为关键在于第三方把 AI 智能体当作工具，自主串联了网络攻击的不同阶段，并指出这类事件表明 AI 辅助攻击已不再是纯理论风险。
推荐理由西班牙数据保护局收到的首例由 AI 智能体自主执行的个人数据泄露通报，呈现了攻击链各阶段被自动串联的过程与监管方的初步定性。
西班牙数据保护局（AEPD）公布首例由 AI 智能体设计实施的个人数据保护泄露通报，调查仍在进行。攻击过程包括成功登录、搜索漏洞、修改个人数据并访问发票。AEPD 称关键在于第三方把 AI 智能体当作工具，串联起攻击的不同阶段，并指出智能体可接收目标、规划中间任务、使用工具、执行代码、查阅来源并自主调整行动。该机构提出风险管理需做四方面调整：把 AI 辅助与对抗性智能体纳入风险分析、缩短事件响应时间、加强数字身份与凭证保护，以及不能仅靠人工干预，人类监督仍不可少，但需由足够快的检测、遏制与响应机制支撑。
推荐理由西班牙监管机构披露首例由 AI 智能体串联完成的个人数据泄露，呈现攻击链与风险管理调整方向。
西班牙数据保护机构表示已收到首例由 AI 智能体涉嫌实施的个人数据泄露通报，路透社于 9 月 15 日从马德里报道。该案被认为反映出自主系统带来的风险，但材料仅提供摘要，未披露涉事主体、泄露规模或调查进展。
西班牙数据保护局（AEPD）收到首例个人数据泄露通报，事件据称由使用某知名大语言模型的 AI 智能体执行。该智能体先搜索通用文件中的漏洞并成功登录，进入系统后自主寻找应用漏洞，进而修改个人数据并访问发票。AEPD 强调信息来自受影响组织的通报，尚需进一步分析，使用某具体模型也不意味着该模型或其供应商基础设施被攻破。文章指出，AI 并未创造新威胁，但提升了既有攻击手法的速度、规模和适应能力；CCN-CERT BP/36 指南也警告 AI 攻击正成为真实行动中的作战能力。AEPD 认为这要求将 AI 辅助或执行的攻击纳入数据处理风险评估，重新审视响应时间，重视数字身份与凭证，并在人工监督之外建立足够快速的检测、遏制与响应机制。
推荐理由西班牙数据保护局披露首例由 AI 智能体自主串联攻击阶段导致的数据泄露通报，呈现攻击链与风险分析要点。
曼哈顿地区检察官办公室宣布查封 12 个用于非法传播、发布和出售未经同意的名人深度伪造视频的网站。检方称，被调查者利用 AI 图像和视频生成工具，将约 1200 名真实人物已有的照片和视频制作成看似高度逼真的性行为影像，再通过上述网站发布和出售。地检办公室表示，这 1200 名受害者绝大多数为女性，且主要是公众人物，包括演员、政界人士、运动员、音乐人、社会正义倡导者和社交媒体网红。曼哈顿地区检察官 Alvin Bragg 称，这些人的面孔和身体在不知情、未同意的情况下被窃取并制成非法色情内容。针对这些网站及其他网站的调查仍在进行中。
ROSETTA 是一个混合 CKKS/TFHE 框架，用于解决全同态加密（FHE）隐私推理中非线性操作开销过大的问题。它提出基于 TFHE 的自适应分段查找表协议，并设计算子选择框架自动将每个非线性算子分配给 CKKS 或 TFHE，以最小化端到端解码延迟。相比 SOTA 框架 CacheMir，ROSETTA 实现最高 4.8 倍 Softmax 加速和 1.5–2.1 倍端到端加速，论文已被 ACM CCS 2026 接收。
作者提出 QPriv-VL，一个面向联邦学习、拆分学习和 U 型拆分学习的问题引导隐私感知 token 裁剪框架，在传输前按任务效用与隐私敏感度裁剪视觉 token。其核心是轻量级 Dynamic Threshold Predictor（DTP），在一次前向中同时估计样本级裁剪比例和 token 级保留掩码，结合视觉 patch 与问题嵌入的跨模态相似度，以及来自冻结 DINOv2 特征的敏感度信号，无需敏感度标签即可抑制潜在敏感区域。
论文提出 CIG-MIA，一种基于上下文信息增益的成员推断攻击，用于判断某文档是否属于 RAG 系统的知识库，覆盖灰盒与纯文本黑盒两种访问设定。其思路是显式注入候选文档对成员与非成员影响不同：文档已可通过检索获得时注入带来的额外支持很小，文档不在库中时注入引入新证据、似然增益更大。灰盒设定下直接由 token 级似然计算该增益，黑盒设定下用轻量代理估计器结合语义相似度与精确匹配特征，从生成文本中估计同一增益。
论文指出，个人 AI 智能体现有的隐私防御靠后端 LLM 在攻击者可控的同一对话上下文中自行判断是否披露敏感信息，使防御机制与攻击面重合。作者提出三种无需提示注入、仅靠普通交互即可实施的攻击：把信息提取包装成协作任务（Collaborative Workspace Lure）、通过省略而非智能体写出的内容诱导披露（Semantic Obfuscation Attack）、把提取请求与披露拆到相互独立的通道（Channel Decoupling Attack），三者的泄露率都明显高于这些防御原本针对的攻击。据此作者提出 FLOWSEAL，在 LLM 上下文之外的工具层拦截器中，依据数据来源和带受控降密的信息流控制格执行保密。在三个基准、五种基于提示的基线和八种攻击（包括通过 MCP 执行真实工具调用的智能体）上，FLOWSEAL 把泄露率降到接近零（如 Collaborative Workspace Lure 从 52.2% 降到 0.5%），同时保持任务效用，且不依赖底层 LLM。
推荐理由论文给出三种无需提示注入即可绕过现有隐私防御的交互式攻击，并附各防御下的泄露率对比，便于评估 Agent 隐私防护的实际边界。
研究者提出 PMPA，一种针对基于 harness 的智能体的持久记忆投毒攻击，攻击者只需在外部来源中嵌入恶意指令，无需直接访问智能体框架。注入阶段把载荷藏在文本、图片或 PDF 的良性问答内容中，诱导智能体将其写入持久记忆；触发阶段在新会话中检索该记忆，在完成正常任务的同时执行额外动作造成隐私泄露。在 OpenClaw 与 Claude Code 上，以 DeepSeek-V4-Flash、DeepSeek-V4-Pro、Qwen3-Max 为底座模型，平均注入成功率与跨会话攻击成功率为 73.7%/55.5% 和 66.9%/81.7%，同时良性任务表现保持在 80% 以上。纯文本模态攻击效果最强，OpenClaw 上注入成功率接近 100%；日历场景跨会话成功率最高，达 96.7% 和 87.8%。
推荐理由论文给出跨会话记忆投毒在 Claude Code 与 OpenClaw 上的分项成功率，并显示提示层防御对已污染记忆几乎无效。
该论文指出，混合 FHE 推理中依靠输出置换加噪来保护模型保密性的方案在系统所需的正确性范围内失效。作者证明，对 d 输入的线性层，d+1 次合法查询即可精确恢复置换不变的层摘要，从而实现模型的完全区分；输入 DP 与模型保密性正交，且正确性受限的噪声下 shuffle 放大所需的本地 DP 前提无法成立。实验从 TFHE 记录中以零误差端到端恢复 SAFHIRE 风格 ResNet-20 的全部线性层，每层用 d+1 次查询，共 5712 次直接查询；在相同查询模型下，预训练 ImageNet 规模 CNN 与 ViT-B/16 也实现逐层精确恢复。
作者在 Stable Diffusion XL 上复现了 Müller 等人针对 Tree-Ring 语义水印的 Reprompt 伪造攻击，使用原作者发布的代码，在免费档双 T4 GPU（每卡可用显存 14.6 GB）上运行，单卡显存明显低于原研究使用的 A40。三组共六次试验中，真实图像检出 6/6，干净图像 0/6，伪造图像 5/6，每次攻击耗时 325-332 秒。作者还从检测器源码中恢复了被丢弃的非中心卡方统计量，其恢复结果与已发布检测器完全一致，基于该统计量构造的两个分数在同一批 18 个观测上以 AUC 0.861 和 0.972 区分伪造组与干净零假设。
一种面向网络与分布式安全系统的机器遗忘框架通过识别训练集中的相关数据点并应用闭式参数更新规则，相比标准影响函数遗忘实现 82 倍墙钟加速，准确率较 SOTA 基线提升 10^-2。该方法借助 Hessian 阻尼保证数值稳定性，在包括 CIFAR-100 与 ResNet-50 在内的七种数据集-架构组合上评估，成员推理攻击成功率为 0.660，tug-of-war 得分为 0.950。
Odin 是首个开源的端到端 GPU CKKS 实现，可在加密状态下完成 Llama-3-8B 推理。它通过 feature-major 跨层布局统一残差连接与层接口，并为线性投影和注意力构建临时算子内布局，减少权重的冗余明文编码；注意力中 QK^T 的分数可直接被 Softmax 消费，PV 直接消费概率，避免中间重打包；非线性运算采用带输入范围控制的 minimax 多项式近似与联合误差分配。在单张 NVIDIA H100 80 GB GPU 上，输入 128 token 时评估全部 32 层耗时 366.4 s、峰值显存 58.9 GiB，相比 THOR 的 1651.9 s 提速 4.51 倍。
研究者提出 Pairwise Likelihood MIA（PL-MIA），将高斯似然比（GLR）统计量与总体校准、Cauchy 组合检验结合，用于审计机器学习模型的成员隐私风险。该方法对查询点与未参与训练的参考点做成对比较得到 p 值，再用 Cauchy 组合检验聚合连续信号，保留被二值投票丢弃的证据强度。实验显示，在低假阳性关键区间，PL-MIA 的真阳性率（TPR）较强基线提升超过 25%。
研究者提出一种离散到连续信道的精确与近似模拟方案，使用固定数量的随机样本，运行时间与信道和输入无关。该方法对每个候选目标分布生成一个或固定数量的样本，经潜在置换后用指数竞赛完成样本选择，可在样本数与压缩率之间灵活权衡；结合极化码与多级编码，将长块长处理扩展至 O(n log n) 时间。作者展示了其在随机 VQ-VAE 可变速率压缩，以及通过精确模拟高斯机制实现通信高效差分隐私分布式均值估计中的应用。
研究发现，来自重尾自正则化框架的 WeightWatcher 谱指标可替代昂贵的影子模型，用于评估机器学习模型的成员推理攻击（MIA）风险。在图像与表格分类任务上，stable rank 与整体 MIA 成功率呈强正相关，Log alpha-Norm 在低假阳性区间与 MIA 脆弱性持续负相关，且这两种关联均强于泛化差距所给出的结果。这表明神经网络谱中包含过拟合常规指标未能捕捉的隐私泄露信息，为可扩展的隐私审计提供了新方向。
一项在 GLUE SST-2 情感数据集上的受控基准测试比较了 TF-IDF + Logistic Regression 与微调 DistilBERT 在 loss-threshold 成员推理攻击（MIA）下的隐私泄露情况。DistilBERT 开发集准确率 0.9466、macro F1 0.9460，Logistic Regression 为 0.8756 和 0.8727，但两者均泄露成员信号，攻击 AUC 分别为 0.5615 和 0.5800。
研究提出"内核管理共享内存"，由智能体系统内核而非单个智能体统一负责记忆检索、隐私执行与提示注入。该设计在 AIOS 上实现，用 GPT-4o、Llama-3.1:8B、Qwen-2.5:7B 三个助手模型共 1800 次试验，对比 Mem0 等三种方案：个性化得分提升 2.4-4.0 分（5 分制，GPT-4o 上 profile usage 从 1.05 升至 4.69），端到端延迟降低 15-61%，并减少每次调用的 token 用量与推理成本。
OWASP 发布 2026 版 LLM Top 10，首次将 75% 专家投票与来自 6,639 个真实漏洞的 25% 事件数据混合，十项条目中有八项发生变动。本月汇总的 15 项资源还涵盖：从专有 LLM API 窃取推理轨迹、利用授权缺陷向他人持久聊天上下文注入提示、多模态护栏将安全输入误判为不安全（对四个 SOTA 护栏模型攻击成功率达 84%）、通过文档级注意力坍缩检测 RAG 投毒，以及多轮越狱的意图导向系统化梳理。
针对代码生成基准数据泄漏导致评测虚高的问题，研究者提出 CGMIA（Code-Generation-specific Membership Inference Attack），通过在基准样本子集上微调影子模型构建成员与非成员标注数据，并融合 CodeBLEU、编辑距离、测试通过率、困惑度等专家特征与 CodeBERT 嵌入语义特征进行集成学习，判断样本是否进入目标模型训练集。在八个代码生成基准上，CGMIA 多数情况下优于八种现有成员推理方法，并有效检出 StarCoder-7B 训练数据中已知泄漏的 APPS 样本。
针对差分隐私合成文本发布，研究提出子群定向成员推断博弈，将目标池设为显式参数，在四个数据集、三种生成器（DP-SGD 微调、API 提示、激活引导）和五个隐私预算下审计了 32 个代理。审计显示合成发布确实泄露子群成员身份，既有攻击系统性低估该泄露；DP 在各预算下大幅降低平均泄露，但剩余泄露集中，十分之一记录约占 40%，且噪声对随机记录的去泄露效果强于高风险记录，哪些记录泄露取决于发布机制而非记录本身。
针对联邦拆分学习中 LLM 自回归特性导致中间激活泄露输入、现有扰动防御失效的问题，研究者提出一种可学习的混淆—恢复方案，在保护参与者私有数据集的同时仍能在服务器端训练可独立部署的模型。实验显示该方法在实现强隐私保护的同时仅带来适度的效用损失和系统开销，使基于拆分的联邦 LLM 微调具备实际可行性。
这篇 SoK 系统梳理了 25 项利用模型解释输出实施隐私攻击的研究，涵盖模型窃取、成员推断和模型反演，并将属性推断视为部分反演。作者指出，现有工作常只按黑盒或白盒标注，掩盖了对手实际获得的解释信号差异，因此把模型知识与解释获取分开，归纳出五条路径：目标方发布、攻击者自行推导、二次披露、特权访问和公开全局产物。在这些路径下，解释会降低窃取成本，通过解释统计量、recourse 距离和解释引导的鲁棒性暴露成员信号，并支持对私有输入做空间或代数重建。
论文发现基于 BatchNorm 架构的机器遗忘评测存在一个此前未被记录的混杂因素：对保留数据做一次前向传播、不修改任何权重，就能确定性地改写模型的归一化状态，并逆转表面指标上的遗忘效果。作者将该操作形式化为保权重的固定点算子，并证明其造成的遗忘前后差距可归因于 BN 运行统计量，而非遗忘方法对权重的修改，从而把测量失败与编码器失败区分开。实验显示，该伪影在标准基准的九种方法上最多逆转 78 个百分点的遗忘准确率；攻击者仅用 10 张无标签图像即可恢复大部分被掩盖的准确率；改用严格的 GroupNorm 后，所有方法的伪影降为零。测试的成员推断攻击在重新校准后变化不大，说明评测失败集中在遗忘准确率和线性探测上。
Google Threat Intelligence Group（GTIG）发布 2026 年第二季度 AI 威胁追踪报告，指出攻击者已从基础提示词交互转向智能体 AI 工作流与 AI 自动化。报告称，2026 年第二季度 GTIG 观察到威胁行为者先攻陷云资源，随后在不到六小时内规划、构建并执行了一次由智能体驱动的大规模凭据窃取行动，压缩了防御方的响应窗口。
推荐理由报告以 Mandiant 一线响应数据呈现攻击者从提示词走向智能体自动化的具体案例，可对照自身 AI 资产与供应链暴露面。
研究者提出 Word-level Probability MIA（WPMIA），一种面向严格黑盒场景的成员推断攻击，用于判断某段文本是否被纳入大语言模型的训练语料。该方法通过蒙特卡洛采样结合局部核平滑估计词级生成概率，再聚合成序列级似然估计，并构造不同前缀条件下的似然以放大成员与非成员之间的分布差异。在多个开源大语言模型上，WPMIA 一致优于现有黑盒基线；在 GPT-5-Chat、Gemini-2.5-Flash 和 Claude-4.5-Haiku 等闭源模型上，平均 TPR@5%FPR 达到 42.0。论文共 17 页、5 张图、17 张表，代码已公开。
Check Point Research 发现 ChatGPT 代码执行容器之间存在一条隐蔽的跨账号双向通道，可让攻击者借受害者会话的工具、数据和已连接应用执行隐藏任务。容器无法访问公网、彼此也不能直连，但都能访问同一个用于分发软件包的内部 JFrog Artifactory 实例；该实例的 Item Management API 允许读写仓库条目的字符串属性，且属性不按账号隔离，于是包服务的元数据变成了隔离容器之间的共享剪贴板，属性值可直接携带文本或 Base64 编码的二进制内容，过大数据可分块存储再重组。研究者在 2026 年 6 月独立验证了该通道，并把它变成隐藏任务流：在 Thinking 模式下，ChatGPT 同一轮既处理受害者的可见请求，又检查隐藏信箱并执行攻击者任务，结果经隐蔽通道回传且不出现在可见回答中。
推荐理由披露 ChatGPT 代码执行容器借内部 Artifactory 元数据跨账号传数据，并演示借 Gmail 连接器外泄邮件，可对照检查共享内部服务的租户隔离。