Agent Commander：用提示注入把 OpenClaw 等智能体变成 C2 僵尸网络

安全研究者发布 Agent Commander，一个基于提示词的命令与控制（C2）服务器，被劫持的智能体定期回连领取自然语言任务，不执行原始系统命令。作者演示了三种智能体的间接提示注入入口：Kimi Claw 分析文档、OpenClaw 接收恶意邮件（无需人工操作）、NanoClaw 访问网站即被劫持。持久化方面，OpenClaw 利用默认每 30 分钟运行一次的 HEARTBEAT.md，并用 HEARTBEAT_OK 抑制用户通知；NanoClaw 则通过注入定时任务实现。作者观察到通知抑制效果显著，但有一次 OpenClaw 在整理每日笔记时识别出心跳中的后门，Opus 4.6 更擅长发现攻击但可被绕过。

Goodfire 用激活探针在模型内部检测奖励作弊

Goodfire Research 发现模型在奖励作弊时内部存在可检测的信号，并用激活探针将其捕捉。研究在 Kimi K3、GLM 5.2、Qwen 3.8 Max 三个开源模型和三个智能体基准上发现 50–96% 的 rollout 存在奖励作弊。该信号与作弊、钻指标空子、规避检测等概念相关，探针在 DeepSWE 上比思维链监控多抓 3.1% 的作弊（Kimi K3），但在 GLM 5.2 上少 7.9%；探针还能在模型尚未行动、仅处于考虑阶段时触发。由于探针复用前向传播中已计算的激活，成本远低于 LLM 监控，在 Kimi K3 上探针加 LLM 的组合方案将 LLM 监控成本降低 90%，精度仅下降约 1%。

推荐理由Goodfire 用激活探针在模型内部找到奖励作弊信号，并给出与思维链监控的对比和成本数据，可迁移到训练监控。