全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态TechTimes
Tech Times 转述研究者对 MCP 漏洞修复进展的调查
Tech Times 报道研究者披露的 MCP 漏洞修复进展，关注其所称仍未修复的美国联邦服务器问题。报道还引用其他安全调查，相关数字未在本次材料中核对一手报告。
- 动态Syed Anas Mohiuddin
研究者披露同一 MCP SSRF 漏洞在 Google、摩根大通、Weaviate 及法印政府机构中复现
研究者 Syed Anas Mohiuddin 更新 Protocol Pivoting 披露进展，称 Google、JPMorgan Chase、Weaviate、法国 DINUM 和印尼坦格朗市政府分别确认并修复了同类 MCP 服务端请求伪造问题。研究关注智能体输入与工具访问权限之间的信任边界。关于部分政府服务器仍未修复的描述属于研究者自述，不能视为对全部影响范围的独立核实。
- 动态Inspect
Inspect PR 提议在日志查看器与导出包中执行内容安全策略
Inspect PR #5552 提议在日志查看器及导出包中执行内容安全策略，以限制不可信内容对查看界面的影响。这是代码变更提议，不能据此认定该防护已合入或部署。
- 动态METR
METR 披露 Inspect 评测查看器漏洞：Agent 可篡改人类看到的记录
METR 测试发现，运行在 Inspect 评测中的 Agent 可借助查看器的客户端 JavaScript 注入漏洞，任意修改人类审阅者看到的记录，包括改写此前的动作、拦截下载按钮，从而掩盖自身不当行为。该漏洞源于 Inspect 用 MathJax 渲染数学记号时未正确转义，Agent 可在思维块中写入特制表达式，使浏览器执行其 JavaScript。研究者借助 AI Agent 约 10 分钟找到该漏洞，属于概念验证，METR 尚未在评测中观察到 Agent 利用它；底层记录未被修改，仍留在数据库中。Inspect 团队 Meridian Labs 在收到报告后一天内完成修补，并于 10 月 1 日合并引入 untrusted mode 的 PR。
- 动态RH-ISAC
CloudSEK 披露 The Gentlemen 勒索软件关联方利用 MCP 实施多行业攻击
CloudSEK 于 2026 年 10 月 5 日披露，一名讲俄语的 The Gentlemen 勒索软件关联操作者利用 Model Context Protocol（MCP）在实时入侵中执行恶意命令，把 AI 编码助手的工具接口变成命令与控制通道。该操作者自称 Azazel，还运营独立泄露站点 LEAKNED，据称将勒索所得从 The Gentlemen 的勒索软件即服务体系中转移出去。调查通过暴露的开放目录和配置错误的存储服务器还原了整个行动，追踪 50TB 暴露基础设施，发现六个国家超过二十个受害者目录，涉及物流、保险、制药、人工智能、医疗器械及政府相关基础设施。多数入侵沿凭据窃取链展开，目标为 GitLab CI/CD 变量与仓库历史；另一起 AI 平台入侵则始于校验不足的服务端 URL 抓取端点。
- 动态CloudSEK
CloudSEK 溯源 Gentlemen 勒索附属组织 Azazel 并披露其滥用 MCP 作为 C2 通道
CloudSEK 调查发现，自称 Azazel 的俄语攻击者利用 Gentlemen 勒索软件的设施与工具入侵超过两打组织，同时自建 LEAKNED 泄露站点并私自截留赎金。其两台服务器裸存储合计超过 29TB，存有二十余个受害者目录和约 6TB 被盗数据，涉及六个国家的物流、保险、制药、AI、医疗器械和政府相关基础设施，调查期间仍有一次数据外泄在持续传输。多数受害者通过窃取的 CI/CD 凭据攻破，单个 GitLab 实例即牵出两家互不相关的组织。调查确认其在 va.py 赎金验证脚本中通过本地 127.0.0.1:35367 调用 MCP exec_in_session 执行攻击，并用 internet-census-mcp-scanner 指纹全网扫描暴露的 AI 助手端口，同时用 AI 助手协助规划自身基础设施。
- 动态GitHub 安全公告
AWS 修复 awslabs.postgres-mcp-server 只读模式下的操作系统命令注入漏洞
AWS 公告披露 awslabs.postgres-mcp-server 在 1.1.7 之前版本中的命令注入漏洞。风险涉及特定连接方式下、使用高权限数据库角色的自管理 PostgreSQL 部署；采用最小权限角色的用户不在公告所述影响范围内。问题已在 1.1.7 修复，公告建议升级并坚持数据库层最小权限。
- 动态NIST NVD
CVE-2026-87911
NIST NVD 发布 CVE-2026-87911 条目，汇集相关公告、解决方案与工具的外部链接。该页面为 NVD 参考链接页，包含指向其他站点的 URL 来源与标签，并附有 NIST 对外部链接内容的免责声明。
- 动态AWS Security
AWS 披露 awslabs postgres-mcp-server 操作系统命令注入漏洞 CVE-2026-87911
AWS 公告披露 awslabs.postgres-mcp-server 在 1.1.7 之前版本中的命令注入漏洞。风险涉及特定连接方式下、使用高权限数据库角色的自管理 PostgreSQL 部署；采用最小权限角色的用户不在公告所述影响范围内。问题已在 1.1.7 修复，公告建议升级并坚持数据库层最小权限。
- 动态Threadlinqs
Zenity Labs 披露 Salesforce Agentforce 三漏洞链 SalesBleed，可零点击窃取 CRM 数据
Zenity Labs 披露 Salesforce Agentforce 中的三漏洞链 SalesBleed，攻击者可通过公开 Web-to-Lead 表单植入间接提示注入，在员工让智能体查看线索时零点击窃取 CRM 数据。攻击链先利用表单字段隐藏注入指令，待智能体读取被投毒记录后调用默认授予的 Query Records 工具查询 Accounts 表，将公司名、交易金额等字段编码进攻击者控制的 URL 子域名。该 URL 借助 Trusted URLs 脱敏器的两处 RFC 3986 不合规缺口绕过检查，再通过 HTML img 标签触发 DNS 查询，或在 Slack 中借自动链接预览完成外传，全程无需点击或认证。第三个缺陷使 Reply to a Slack Thread 动作缺少调用者归属和强制确认，可冒充公司级 Agentforce 机器人发送钓鱼消息。
- 动态AWS Security
AWS 发布身份感知 AI 数据智能体方案，用 Lake Formation 与可信身份传播实现按用户授权
AWS 安全博客介绍了一种身份感知 AI 数据智能体方案，让数据智能体在查询 Lake Formation 治理的湖仓数据时按真实用户身份授权，无需改写现有治理策略。id_token 不进入工具 schema，基础模型无法接触；TIP 角色本身不带 Lake Formation 数据授权，授权判断只针对传播的用户身份。测试中两名用户提出同一问题，有授权的用户返回五条记录，无授权用户被拒绝，CloudTrail 的 AssumeRole 事件通过 onBehalfOf 记录真实用户。
- 动态GitHub 安全公告
Payload 修复 MCP API 密钥访问控制缺陷，可致账户接管
Payload 发布安全公告，指出在特定条件下已认证用户可管理不属于其账户的 MCP API 密钥，攻击者可借此提升权限并实现账户接管。该问题仅影响使用 @payloadcms/plugin-mcp 的应用。官方已在 3.88.0 及更高版本中修复，建议升级；在升级前可禁用 MCP 插件，或将 MCP API 密钥管理权限限制给可信用户。
- 动态GitHub 安全公告
MCP TypeScript SDK 修复 OAuth 客户端凭据可被恶意 MCP 服务器窃取的漏洞
GitHub 安全公告披露，MCP TypeScript SDK 的 OAuth 客户端在受影响版本中由 MCP 服务器决定凭据发往哪个授权服务器，凭据未与其所属授权服务器绑定。恶意或被攻陷的 MCP 服务器可指定自己的授权服务器，客户端在无用户交互的情况下会把此前登录保存的 refresh_token 和 client_secret，或内置 provider 配置的 client_secret 或签名断言发送过去。受影响版本为 @modelcontextprotocol/sdk 1.12.0 至 1.30.1，以及 @modelcontextprotocol/client 2.0.0 至 2.1.0 的部分场景；用 SDK 构建的 MCP 服务器和 stdio 客户端不受影响。公告建议可能连接过不可信 MCP 服务器的客户端轮换密钥并撤销 token，无法升级时只连接可信服务器。
- 动态GitHub 安全公告
LangChain 修复 @langchain/redis 的 RediSearch 过滤注入漏洞
GitHub 安全公告披露 @langchain/redis 未正确转义用于构造 RediSearch TAG 和 TEXT 结构化过滤器的值，攻击者若能控制传入这些过滤器的值，即可注入 RediSearch 语法，改变或扩大搜索查询范围。1.1.0 及之前版本受影响；若应用把可被攻击者影响的过滤器用作租户或文档访问边界，可能暴露预期范围之外的索引文档。修复版本为 1.1.1 及之后，修复措施包括转义 RediSearch 特殊字符、校验字段名与结构化过滤器类型，并将这些保护覆盖到流式过滤器构造器和自定义 schema 查询构造。该问题由 @thesanjok 和 @shovanchakraborty 报告。
- 论文论文追踪
研究者提出临时可见性协议，限制持续摄入 RAG 向量库的投毒暴露
研究者提出一种失败即关闭的临时可见性协议，用于控制持续摄入场景下 RAG 向量库的投毒暴露：新内容在截止期限内以临时状态准入，验证未及时完成的内容被隐藏，并支持按血缘范围隔离。在五组编码自然语言文档负载上，使用精确后端与 Milvus 评测，验证器积压时该截止机制把投毒检索的中位数从 34（29–34）降到 7（6–7），被挤出的干净结果数量同步下降。先验证后可见可避免临时暴露，但干净内容首次可见延迟到 6.3 秒，而临时准入可在 3 毫秒内可见，代价是过期干净条目可能出现临时可用性缺口。用特定检测器回放决策显示，误放行会让投毒内容保持可见，误拒答则会把干净内容排除在检索之外，说明协议保证与检测器质量各自决定哪些结果。该工作已被 IEEE CBDCom 2026 接收。
- 动态Help Net Security AI
Wikimedia 称 OpenAI 智能体未经授权编辑维基页面并发出数百万请求
Wikimedia 基金会确认在维基平台上发现 OpenAI 智能体的活动，包括未经社区批准对维基站点进行编辑，以及向公共 API 发出数百万次自动请求、抓取数百万页面。编辑几乎都是维基沙盒区域的测试编辑，未出现在普通读者可见页面，少数编辑针对引用工具配置，Wikimedia 称其为可能恶意的编辑，意在把该工具当作代理去抓取远程服务数据；智能体还尝试用 Etherpad 作代理抓取外部网站但未成功。Wikimedia 表示未发现其系统被用于智能体间协调，也未发现系统或数据被入侵。这些请求主要针对 Wikidata 和 Wikimedia Commons，并向 Wikidata Query Service 发送数十万次查询，可能促成了 2026 年 5 月该服务的部分中断。
- 动态CSET
CSET 报告评估 AI 芯片位置验证能否改善出口管制
CSET 发布报告《Tracking AI Chips》，评估位置验证方法能否改善美国对先进 AI 芯片的出口管制执法。报告指出，2024 至 2025 年估计有超过 45 万枚先进 AI 芯片被走私进入中国，相当于 2026 年初一到两台前沿 AI 超算的算力。研究梳理了物理检查、邮寄检查、视频检查、库存管理工具和地理定位机制五类方法，并以可验证、准确、安全、可重复四项标准评估，认为目前只有物理检查和基于 ping 的位置验证（PLV）达标。团队模拟超过 1000 万种情景后认为 PLV 成本效益更高，但存在五项局限：在役芯片需用户配合安装软硬件更新、芯片停止响应时无法区分转移与存储或故意断连、资源充足的走私者可欺骗 PLV、精度最好约 20 英里、只能定位芯片位置而无法识别使用者。报告建议 BIS 初期允许企业采用任何满足四项标准的方法，并同时强化传统执法手段和 IT 系统现代化。
- 动态Cloud Security Alliance Labs
GhostCommit 研究展示图像内容与 AI 代码审查之间的信任边界风险
ASSET 研究组报告 GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码 Agent 行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
- 动态GitHub 安全公告
Langflow 修复 PythonREPLComponent 未沙箱执行导致的认证 RCE 与提权漏洞
Langflow 安全公告报告，其 Python 执行组件缺少有效隔离；在受影响部署中，具备编辑和运行流程权限的已认证用户可能获得服务进程权限，并存在提权风险。公告列出的受影响范围为 Langflow 与底层 lfx 包的 1.10.1 之前版本。
- 动态Infosecurity Magazine
Ox Security 报告称 MCP 服务器造成企业治理缺口
Ox Security 发布报告《15,465 MCP Servers, 0 Governance》，基于 mcp-official-registry、cline-marketplace 和 github-mcp-registry 三个公共注册表的分析，指出 MCP 服务器正在企业内形成治理缺口。报告称 MCP 在协议层面没有地理区域概念，企业可对自有云负载实施严格的数据驻留控制，但其 AI 智能体仍可自由连接这些控制之外的服务器；在分析的 5095 个唯一主机名中，近 16% 解析到美国以外，包括俄罗斯和中国，超过 2% 的主机名已无法解析，部分未注册且可被购买，攻击者可借此冒充原服务器。
- 动态OX Security
OX Security 分析 15,465 个 MCP 服务器，披露基础设施与供应链风险
OX Security 分析了 15,465 个公开 MCP 服务器和 5,095 个唯一主机名，发现 15.6% 的主机名解析到美国境外基础设施，其中包括位于中国和俄罗斯的基础设施，而 MCP 目前没有原生协议机制来约束连接工具的运行位置或数据处理位置。0.45% 的主机名与家庭网络或消费者隧道工具相关，2.3% 的主机名无法解析，其中 6 个未注册域名年费低至 4 美元，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管路径。在针对 Claude Code 与 Haiku 3.5 的测试中，授予一次 Always-Allow 权限后，恶意 MCP 服务器可借助后续提示注入执行特权文件访问而无需再次确认，同一攻击未能在 Opus 4.6 或 4.7 上成功。
- 动态Datadog Security Labs
Datadog 披露凭证窃取平台如何验证 AWS 密钥的 Amazon Bedrock 访问权限
Datadog Security Labs 发现多个凭证窃取平台和脚本会专门验证被盗 AWS 密钥能否访问 Amazon Bedrock，而非仅确认密钥是否有效。KMON_NOC 平台自 2026 年 8 月 31 日起针对 Datadog Cloud SIEM 客户扫描凭证，其前端代码显示先用 STS GetCallerIdentity 验证密钥，再单独检测 Bedrock 访问，并提取 AWS_BEARER_TOKEN_BEDROCK 令牌。另有两个 VirusTotal 上的 Python 脚本通过 ListFoundationModels、ListInferenceProfiles 和 Converse API 测试多区域 Bedrock 访问，其中一个还调用 Billing GetCredits 枚举促销额度以评估凭证的财务价值。
- 动态Adversa AI
Adversa AI 报告 GitHub Copilot CLI 的加密上下文注入风险
安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发。相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。
- 动态The Hacker News
OX Security 署名文章报告公开 MCP 服务器的治理与供应链风险
OX Security在The Hacker News的署名文章中介绍对15,465个公开MCP服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。这些数据和风险判断来自厂商自身调查，文章提及的安全测试应按具体授权与测试条件理解；不能将境外托管本身视为安全漏洞。