Check Point 逆向 Windows Defender BTR.sys 驱动，将其改造为内核操作原语

Check Point 逆向 Windows Defender 的 Boot-Time Removal 驱动 BTR.sys，发现其通过注册表 Args 指向的 ADS 中 RC4 加密配置执行文件与注册表操作，无需漏洞或内存破坏即可在 Ring 0 执行任意操作。研究给出完整事务格式，包括 0xFEE1DEAD 魔数、版本 2、~CRC32 完整性校验和硬编码 256 字节 RC4 密钥，并发布 MIT 许可的 BTR_CLI 工具构造合法加密事务。利用该驱动在 Phase 1 的 Boot Bus Extender 组加载时机，可在用户态安全服务启动前删除 WdFilter.sys、MsMpEng.exe 等 Defender 二进制并绕过 Tamper Protection，测试覆盖 Windows 7 至 Windows 11 25H2。

推荐理由完整逆向 Windows Defender 的 BTR.sys 驱动，展示如何用微软签名驱动在 Ring 0 执行任意文件与注册表操作，并给出 Sysmon 检测思路。

tl;dr sec #342：Figma 智能体检测、Agent 身份与 Uber 的 Agent-(E)DR

Wiz 披露 Azure Cosmos DB 的 CosmosEscape 漏洞链：单个 Gremlin 查询可经 .NET 反射绕过沙箱，在多租户 DB Gateway 上实现任意代码执行，进而获取可跨租户、区域和 API 类型读取任意账户主密钥的 Cosmos Master Key，并借 Config Store 枚举目标组织账户，波及 Entra ID、Teams、Copilot 等微软内部服务。微软在 Wiz 披露后 48 小时内发布热修复，并完成彻底移除 Cosmos Master Key 的架构迁移。

tl;dr sec #343：Hugging Face 事件技术报告、AWSHound 与 OWASP Agentic Skills Top 10

OpenAI 发布了 Hugging Face 事件的完整技术报告，含一篇博客和一份 38 页报告。Varonis 通过迭代追问让 Microsoft Copilot 自行给出绕过用户交互执行提示的步骤，并披露了一个未公开的 URL 参数，该漏洞被命名为 CoSnitch（CVE-2026-24301），已于 2026 年 8 月 18 日修复。SpecterOps 发布开源 AWS 收集器 AWSHound，可将 AWS 账户与 Organizations 转为 BloodHound 社区版 OpenGraph 数据集，产出 156 种边类型（其中 36 种可遍历），覆盖 IAM、S3、KMS 等九个服务。

微软发布 2026 负责任 AI 透明度报告：如何为未来调整治理

微软发布第三份年度《负责任 AI 透明度报告》，围绕自适应治理与技术风险管理、实用工具与能力、共享实践与合作伙伴关系三个方向调整其负责任 AI 项目。报告称已重构 Responsible AI Standard，按模型、平台服务、应用等技术栈组件分层设定要求，并对具备最强网络能力的 AI 系统施加最严格的风险管理措施。微软还推出 AI Red Teaming Agent、Agent evaluators、RAMPART、ASSERT 与 Agent Control Specification 等工具，用于智能体系统的评估、运行时控制和行为监控，并称其为少数在广泛产品组合上通过 ISO 42001 认证的公司之一。

Microsoft 发布 Safe Participation Framework：面向下一代的安全参与框架

Microsoft 公布 Safe Participation Framework，围绕设计安全和年龄差异化体验两大支柱，为未成年人提供隐私保护且适龄的在线与 AI 体验。 该框架强调从源头识别风险并实施相称的保护措施，延续其自 2009 年 PhotoDNA 以来的投入，并将相关经验应用到 Copilot——所有用户需登录方可使用，13 岁以下儿童访问受限（当地法律另有规定的除外）。 同时推出的还有新的 Windows Age API、增强的年龄保证能力和家庭安全工具，旨在向开发者提供可信的年龄信号，帮助建立跨生态一致且注重隐私的适龄体验基础。

微软启动 Check. Recheck. Vote. 计划，帮助选民应对 AI 生成的选举信息

微软在 2026 年中期选举前推出选民教育计划 Check. Recheck. Vote. 的新阶段，帮助选民识别 AI 生成选举信息中的风险。该计划要求选民核查 AI 答案的来源与引用、通过原始来源复核关键细节，并依据州或地方选举官网的当前信息投票。微软同时与 NASS、NASED 合作将计划推广至全美五十州及属地，并与 iCivics 合作推出 Minecraft Education 公民学习体验 Village Square。

微软联合多方查封 AI 网络犯罪平台 EvilTokens

微软数字犯罪部门联合 Health-ISAC、Cloudflare、Coinbase、OpenAI 等机构，查封了 AI 网络犯罪平台 EvilTokens 的 50 个网站并关停 150 多个相关域名。该平台通过诱骗受害者在微软合法登录页输入验证码获取邮箱访问权限，其 AI 聊天机器人可分析受害者收件箱、梳理组织角色与信任关系、识别付款授权人，并推荐冒充对象和诈骗话术。平台 2026 年 2 月上线后数月内即关联全球 1 万多家组织的逾 1.2 万个被盗邮箱，受害者集中在美国、加拿大、英国、澳大利亚、印度和法国，涉及批发分销、建筑、金融服务、房地产、高等教育和医疗等行业。平台通过 Telegram 销售，收取 1500 美元开通费和每月 500 美元订阅费，调查还发现其自身大量代码由 AI 辅助编写并调用了多个 AI 模型的能力。

推荐理由微软披露其数字犯罪部门联合多方查封 EvilTokens 的经过，呈现 AI 被用于邮箱入侵与诈骗决策的完整链条。

Microsoft 加码中东：2030 年前投入超 100 亿美元建云与 AI 基础设施

Microsoft 宣布面向中东的新框架，初期覆盖科威特、卡塔尔、沙特阿拉伯和阿联酋，计划到 2030 年前在该地区投入超 100 亿美元资本与运营支出，用于扩展云和 AI 基础设施。同时计划到 2030 年前投入超 4 亿美元用于海底与陆地网络连接，并推出新的中东数字韧性计划，通过韧性评估、参考架构和恢复能力建设帮助机构保障业务连续性。合作方包括 HUMAIN、G42、QAI 和科威特政府等，涉及 Microsoft Sovereign Public Cloud、Sovereign Private Cloud 与 Project Digital Shield 等能力。

Bill Gates 称仅设 AI「终止开关」不够，呼吁立法强制监测

Bill Gates 表示，仅为人工智能设置「终止开关」（kill switch）并不足以阻止有人用它发动攻击，并指出目前还不到 AI 自主夺取计算机且无法关闭的阶段。他在 NBC《Meet the Press》访谈中主张美国应通过立法，要求企业监测复杂 AI 模型并记录其行为，以防网络攻击或生物恐怖主义用途，同时称行业自律不足，「没人认为自我监管足够」。此番表态正值参议员 Rand Paul 阻挠一项要求在模型中内置终止开关的法案快速通过之际。

HiddenLayer 如何将 AI 安全防护嵌入 Azure AI Foundry、AWS、Databricks 与编码智能体

HiddenLayer 把 AI 安全能力直接嵌入团队既有工作流：AI Supply Chain 模块扫描 Azure AI Foundry 目录中接入的模型，检查篡改、后门与已知漏洞，并在 AWS 覆盖 Bedrock、Bedrock Agents、SageMaker 和 Strands 框架，在 Databricks 中针对 Unity Catalog 自动扫描模型。检测结果可输出到 Splunk 和 Microsoft Sentinel，护栏原生集成 LangChain、LiteLLM、OpenAI Agents SDK、AWS Strands 与 TrueFoundry 网关，Agent Harness Security 则接入 Cursor、Claude Code 和 GitHub Copilot 的原生 hook。

研究者称仍可通过第三方云聚合商窃取美国前沿模型的推理轨迹

研究者对 OpenAI、Anthropic 直连端点及 AWS Bedrock、Microsoft Azure、OpenRouter 等下游云聚合商做了审计，发现厂商针对推理轨迹提取的修补碎片化且易被绕过。推理重放攻击在 Azure 上对每个 OpenAI 模型（含 GPT-6 Astra）以及 Anthropic 直到 Sonnet 5 的模型仍间歇有效，一次解码即可逐字还原轨迹；scratchpad 攻击仍能从所有 OpenAI 模型以及 Opus 4.8、Sonnet 5 提取推理，目前只有 Opus 5、Fable 5、Fable 5.1 不暴露推理。作者指出下游主机存在补丁传播延迟和策略漂移，攻击者无需绕过主厂商护栏，只需把请求路由到未同步防护的下游主机即可，并建议对无法同步执行推理轨迹保密与工具范围护栏的云主机不予授权。

推荐理由作者实测多家云聚合商上的推理轨迹提取，指出厂商补丁在下游存在传播延迟，可据此检查多云部署的防护一致性。

安全大模型层出不穷：安恒、360、奇安信等网安厂商也忍不住了

安恒信息、360、奇安信等多家安全厂商相继发布安全大模型，网络安全行业加速拥抱GPT。安恒恒脑·安全垂域大模型已用于成都大运会及杭州亚运会，安全运营成效提升70%以上；奇安信推出Q-GPT安全机器人，360则以安全大模型打造智能中枢系统。但多位

亚信安全发布安全大模型信立方，用AI对抗AI攻击

亚信安全在C3安全大会·2024上发布网络安全行业自研大模型信立方，用于精准问答、告警日志解读和网络安全事件分析，并同步推出"信计划"（XPLAN），涵盖安全为AI与AI为安全两大方向。亚信安全高级副总裁陈奋透露，针对大模型的攻击手段一年内已涌现数十种，其团队在Llama2环境模拟海绵样本攻击，使模型响应从几秒延迟至60秒以上、慢了20倍以上。信计划已落地东数西算成都节点的算力云安全保护，并通过红队测试从八个方向为大模型提供上线前安全检查。

Adversa AI 谈 OpenClaw 企业安全策略：封禁不如沙箱原型与红队验证

Adversa AI 认为企业封禁 OpenClaw 并非有效策略，应转向沙箱原型、框架对照与红队验证。OpenClaw 是自托管 AI 智能体，可浏览网页、执行系统命令、编辑文件并通过模块化技能调用外部服务，60 天内 GitHub 星标达 25 万，单周访问量超 200 万。文章列举的风险包括 CVSS 8.8 的 RCE 漏洞 CVE-2026-25253、研究者发现的 42665 个公网暴露实例（93.4% 存在认证绕过）、ClawHub 中 800 多个恶意技能，以及通过 Cline CLI 2.3.0 与受损 npm token 发起的供应链攻击。

2026 年 4 月智能体 AI 安全资源盘点：OpenClaw、Copilot 与多智能体攻击

Adversa AI 发布 2026 年 4 月智能体 AI 安全资源盘点，共收录 33 项资源，涵盖研究、漏洞、防御、威胁建模等类别。研究显示，30 个 AI 智能体框架中 93% 依赖无范围限制的 API key，0% 具备按智能体身份标识，97% 缺少用户同意机制；针对 GPT-5 mini 和 Claude Sonnet 4.5 的记忆投毒攻击成功率超过 90%。OpenClaw 被曝 CVSS 9.9 权限提升漏洞（CVE-2026-32922），超 13.5 万个面向互联网的实例受影响；Chrome 的 Gemini Live 面板存在 CVE-2026-0628 高危漏洞，可被恶意扩展劫持并访问摄像头和麦克风。

2026 年 5 月智能体 AI 安全资源盘点：Claude Code 源码泄露与 Mythos 自主攻击

Adversa AI 发布 2026 年 5 月智能体 AI 安全资源盘点，共收录 40 项资源，其中智能体 AI 漏洞 6 项。Claude Code 源码泄露后曝出关键漏洞：shell 命令拒绝规则在 50 个子命令后静默失效；其记忆系统存在 MemoryTrap 漏洞，可使污染记忆跨会话、跨用户传播。Anthropic 的 Mythos 模型在数小时内自主完成 32 步网络攻击，显示 AI 驱动攻击已非理论。

Adversa AI 披露 SymJack：符号链接劫持在六款 AI 编码 Agent 上实现 RCE

Adversa AI 研究员 Rony Utevsky 披露名为 SymJack 的攻击手法，通过恶意仓库中的符号链接劫持，让 AI 编码 Agent 在用户批准一次看似无害的文件复制时改写自身配置，并在下次重启时以用户权限执行攻击者代码。该手法在 Claude Code、Gemini CLI/Antigravity CLI、Cursor Agent CLI、GitHub Copilot CLI、Grok Build CLI 和 OpenAI Codex CLI 六款产品上得到验证，作者认为这是架构层面的共性问题而非单个产品的漏洞。

推荐理由Adversa AI 披露的 SymJack 用符号链接劫持让审批提示显示错误写入目标，六个编码 Agent 的厂商回应与修复差异可供对照。

Adversa AI 汇总 2026 年 6 月 Agentic AI 安全资源清单

Adversa AI 发布 2026 年 6 月 Agentic AI 安全资源汇总，共收录 28 项资源，按攻击、防御、研究、框架、漏洞、利用、威胁建模和文章分类。攻击类 8 项，包括 Adversa AI 自己披露的 SymJack 符号链接劫持 RCE（六款 AI 编码智能体全部受影响）和 TrustFall 一键 RCE（波及 Claude Code、Cursor、Gemini CLI 和 GitHub Copilot），以及 MemMorph 记忆投毒工具劫持、DEF CON 上利用间接提示注入与记忆投毒构建 Microsoft Copilot 持久后门的 Copirate 365（CVE-2026-24299）。

2026 年 7 月 Agentic AI 安全资源盘点：Agent Zero Trust 与 27 项资源

2026 年 7 月 Agentic AI 安全焦点从理论漏洞转向结构性系统防御，核心主题是"Agent Zero Trust"，Google DeepMind 与 Anthropic 的高关注度框架主张将数字员工视为潜在内部威胁。当月共收录 27 项资源，涵盖 8 项攻击技术、4 项 Agentic AI 红队测试和 4 项防御框架。攻击侧包括针对开源编码智能体的 GuardFall shell 注入漏洞、Microsoft 披露的 AutoJack 攻击链，以及针对 MetaGPT、CrewAI 等系统的 IMA 越狱攻击（成功率 89%）。

Adversa AI 汇总 2026 年 7 月 MCP 安全资源清单

Adversa AI 汇总了 2026 年 7 月的 MCP 安全资源共 10 项，涵盖漏洞、攻击技术、红队、防御、威胁建模与真实事件等类别，并逐条对应其 Top 25 MCP 漏洞基线。漏洞方面，MCPPrivacyDetector 框架用跨语言静态与污点分析检测 MCP 工具处理程序中的隐私泄露，在超过 1 万个真实服务器上发现凭据、API key 和 PII 泄露率超过 10%；Amazon Q VS Code 扩展存在 CVSS 8.5 的自动执行漏洞，可从工作区目录自动加载 MCP 配置并在打开恶意仓库时执行代码、窃取 AWS 凭据，该缺陷已于 2026 年 6 月修补。

Adversa AI 汇总 2026 年 7 月 AI 编码 Agent 安全资源

Adversa AI 汇总了 2026 年 7 月共 19 项 AI 编码 Agent 安全资源，涵盖 6 项攻击技术、4 项编码 Agent 漏洞、3 项防御方案及威胁建模、CISO 资源、培训材料等类别。

Adversa AI 汇总 2026 年 8 月 MCP 安全资源：协议授权加固与十项攻防材料

Adversa AI 汇总了 2026 年 8 月的十项 MCP 安全资源，按 MCP 防御、MCP 安全入门、MCP 事件和 MCP 攻击技术分组。7 月 28 日发布的 MCP 规范修订主要是一次授权加固，按 RFC 9207 做 issuer 校验、客户端凭证绑定签发方、弃用 Dynamic Client Registration 改用 client metadata documents，并移除会话标识、支持基于 header 的路由，使网关成为策略执行点而非代理；官方最佳实践文档同日更新。

Adversa AI 盘点针对 AI 智能体的十起零点击攻击

Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。

推荐理由梳理十起零点击攻击的入口、外泄通道与厂商处置差异，可对照检查自家 Agent 的检索信任边界与出站通道。

NVIDIA 分析编码智能体开发者工具的攻击面

NVIDIA 技术博客指出，开发者越来越多使用 Cursor、OpenAI Codex、Claude Code 和 GitHub Copilot 等 AI 编码工具，这些工具在加快开发与代码审查的同时也扩大了攻击面。文章称这些智能体工具实现方式各异，但都共享同一套框架，即用 LLM 决定要执行的动作。

推荐理由文章梳理了 Cursor、Codex、Claude Code 等编码智能体共同的 LLM 决策框架，说明这类工具为何构成新的攻击面。

ASCII Smuggler 更新：用两个不可见字符走私任意 Unicode 数据

Embrace The Red 发布 ASCII Smuggler 工具更新，新增 Sneaky Bits 编码方式，仅用两个不可见字符即可编码任意 Unicode 字符或字节序列。Sneaky Bits 默认以 invisible times（U+2062）表示 0、invisible plus（U+2064）表示 1，逐位表示 Unicode 码点，两个字符可配置，在工具中作为非默认选项，默认仍为 Unicode Tags 编码。文章同时回顾了 Unicode Tags 与 Variant Selectors 两种走私技术，前者常被 LLM 直接当作指令执行，后者可将 VS1-VS256 映射为原始字节。

GitHub Copilot 自定义指令文件可被植入后门代码

作者实测发现，GitHub Copilot 会读取仓库中的 .github/copilot-instructions.md 文件并加入提示词上下文，因此指令文件中一行隐蔽内容即可让 Copilot 生成带后门代码的补全结果，作者以 Go 语言做了演示。作者同时提到 Pillar Security 此前已指出 Cursor 的 .mdc 规则文件存在同类风险，并涉及隐藏 Unicode 字符。GitHub 去年已缓解 0-click 图片渲染数据泄露问题，点击超链接时也会弹出确认对话框，除非目标域名在 VS Code 的受信任站点列表中。

用 MCP Server 托管 COM 服务器实现 Windows 与 Office 自动化

有人基于 Model Context Protocol（MCP）开发了一个名为 mcp-com-server 的原型服务器，通过动态发现方式实例化并托管任意 COM 对象，从而驱动 Windows 与 Office 自动化。该服务器提供类似 COM 的工具集——CreateObject、Get/Set Property、InvokeMethod、QueryInterface 以及列出当前所有活动服务器的接口，连接 Claude 后可创建、打开、编辑并保存 Excel 文件，再调用 Outlook 发送邮件，甚至能唤起 Internet Explorer。

Embrace The Red 宣布 2025 年 AI 漏洞月，将披露 20 余篇编码 Agent 漏洞

安全研究者 Johann Rehberger 宣布启动 2025 年 AI 漏洞月（Month of AI Bugs），8 月将在其博客发布 20 余篇针对主流智能体系统的漏洞分析，重点聚焦 AI 编码 Agent。作者称过去一年审查的每个 AI 编码 Agent 都存在漏洞，均已向对应厂商负责任披露，部分厂商数天内修复，也有厂商数月未回应、部分问题至今未缓解，还有厂商完全停止回复。

GitHub Copilot 经提示注入实现远程代码执行（CVE-2025-53773）

安全研究者披露 GitHub Copilot 与 VS Code 中的提示注入漏洞 CVE-2025-53773，攻击者可借此在开发者机器上实现远程代码执行。利用链从源代码文件、网页、GitHub issue 或工具调用响应中的提示注入开始，先向 ~/.vscode/settings.json 写入 chat.tools.autoApprove: true，使 Copilot 进入 YOLO 模式并关闭所有用户确认，随后执行终端命令，还可按操作系统条件选择载荷。该实验性设置默认存在，在 Windows、macOS 和 Linux 上均有效。

推荐理由作者以第一手红队视角还原了从提示注入到远程代码执行的完整利用链，并给出可迁移的 Agent 配置写入风险检查点。

Sourcegraph Amp Code 修复通过图片渲染外泄数据的漏洞

Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。

Windsurf Cascade 被曝提示注入漏洞，可外泄开发者密钥

安全研究者披露 Windsurf Cascade 存在两条间接提示注入导致数据外泄的路径。第一条利用无需用户批准的 read_url_content 工具，把读取能力变成外发 HTTP 请求通道，当开发者用 Cascade 分析被植入恶意指令的源码文件时，.env 等敏感环境变量会被外泄。第二条是渲染来自不可信域名的图片，与作者此前在 GitHub Copilot 发现的漏洞类似，同样无需人工确认即可把开发者机器上的信息发送到第三方服务器。作者称已于 2025 年 5 月 30 日负责任披露，Windsurf 确认收到后未再回应后续询问，因此三个月后公开，并暂未公布完整技术细节与提示注入载荷。

AgentHopper：借多个编码 Agent 漏洞实现自我传播的概念型 AI 病毒

安全研究员 Johann Rehberger 公布名为 AgentHopper 的概念验证 AI 病毒，用一个通用的条件化提示注入载荷在不同编码 Agent 间自动跳转并触发各自的远程代码执行路径。它利用此前负责任披露并已被各厂商修复的四类漏洞实施感染：向 GitHub Copilot 写入 settings.json 打开 YOLO 模式、给 Amp Code 配置伪造的 MCP 服务器、令 Amazon Q Developer 执行带 -exec 参数的 find 命令、修改 AWS Kiro 配置将所有 bash 命令加入允许列表，随后下载并运行 AgentHopper。

推荐理由该概念验证串联四个已修复的编码 Agent 任意代码执行漏洞，给出条件化提示注入跨 Agent 自我传播的可迁移思路。

跨 Agent 提权：一个 Agent 如何改写另一个 Agent 的配置并放它出沙箱

研究者展示了一种跨 Agent 提权攻击链：被间接提示注入劫持的 GitHub Copilot 可以写入 Claude Code 的 MCP 配置和 CLAUDE.md 等指令文件，添加恶意 MCP server 或放行 shell 命令，等开发者使用 Claude Code 时这些改动被加载并执行任意代码，Claude 还能反向改写 Copilot 配置形成升级循环。

推荐理由作者以 GitHub Copilot 与 Claude Code 为例演示跨 Agent 提权链，并给出隔离配置、最小权限等可迁移的缓解思路。

AI 中的偏差正常化：从 LLM 不可信输出来看间接提示注入风险

AI 行业正重演挑战者号航天飞机灾难前的文化失误——将偏离正确行为的做法逐渐常态化。该概念源自社会学家 Diane Vaughan 提出的"Normalization of Deviance"，此处用以描述系统性地过度依赖 LLM 输出的现象，尤其在智能体系统中。由于 LLM 是不可信的参与者，访问检查、编码与净化等安全控制必须施加于其输出下游，否则会同时放大良性错误与恶意输入带来的后果。 Microsoft 文档警告提示注入攻击可能覆盖智能体指令并导致数据泄露或安装恶意软件，Anthropic 也记录了针对 Claude 的数据泄露问题。

OpenAI 新论文详解基于 URL 的数据外泄缓解措施

OpenAI 发布论文《Preventing URL-Based Data Exfiltration in Language-Model Agents》，详细说明其为语言模型智能体新增的 URL 数据外泄缓解措施。作者曾在 2023 年初向 OpenAI 报告零点击数据外泄漏洞，当时 OpenAI 尚无漏洞赏金计划，问题未获修复；同期微软在 2023 年 5 月通过 Content-Security-Policy 头修复了 Bing Chat 的同类问题。

研究者演示在 Agent Skill 中植入不可见 Unicode 后门并发布扫描工具

安全研究者 Johann Rehberger 演示了如何用不可见的 Unicode Tag 码点在 Agent Skill 中植入提示注入后门，使其通过人工文本审查。他把这类隐藏指令加入 OpenAI 官方 Skills 项目中的 security-best-practices Skill，用户调用后 Claude 会按指令输出指定文本并执行 Bash 命令；该手法在 GitHub Copilot 配合 Claude 4.5 时同样生效。作者指出 Skill 的 name 和 description 会直接进入系统提示词上下文，且 Agent 能自行创建或修改 Skill 影响自身与其他 Agent。

OpenAI 非营利时代终结：两州总检察长有条件放行转营利重组

特拉华州与加州总检察长对 OpenAI 转为营利性公益公司（PBC）的重组方案有条件放行，微软也以调整合作条款和获得新 PBC 1350 亿美元股权为条件表示同意。总检察长提出的二十条要求包括：非营利组织独家拥有任免 PBC 董事的权力；PBC 董事会在安全与安保事务上只能考虑使命；由 Zico Kolter 领导的 Safety and Security Committee 有权要求缓解措施乃至叫停新模型发布；非营利董事每半年、PBC 高管每季度向总检察长办公室汇报；限制非营利治理权需提前 21 天通知。

GitHub 的 AI 智能体在 Android 应用中发现 24 个漏洞

GitHub Security Lab 研究员 Kevin Stubbings 在实验室开源 Taskflow Agent 之上构建了面向移动应用的 AI 审计工作流 taskflows，用其发现并报告了 Android 应用中的 20 多个漏洞。

Microsoft Copilot Cowork 被指可外泄文件

Simon Willison 指出 Microsoft Copilot Cowork 存在数据外泄风险：该产品允许 Agent 未经批准向用户自己的收件箱发送邮件，而这些邮件会以可渲染外部图片的方式展示，用户打开被污染邮件时外部图片会触发对外部网站的请求，从而泄露数据。由于 OneDrive 可以生成预认证下载链接，一次成功的提示注入就可能让这些链接被泄露，攻击者据此下载文件。

CSET 专家解读 AI 恐慌主流化的一周

CSET 的 Jessica Ji 与 Andrew Lohn 在 CyberScoop 发表评论文章，认为封锁先进 AI 模型的访问权限并非应对 AI 网络威胁的可持续方案。Jessica Ji 还就 OpenAI 开发的 AI“超级黑客”GPT-Red、众包平台 FLARE-AI 的推出，以及 Microsoft、Google 和 xAI 允许美国政府评估未发布 AI 模型网络安全风险的新协议，分别在 MIT Technology Review、WIRED 和 CNN 发表专家观点。