中央网信办通报“清朗·整治AI应用乱象”专项行动第一阶段成果，该行动自2026年4月启动，聚焦未履行大模型备案登记义务、AI平台安全与审核过滤能力不足、AI数据投毒、生成合成内容标识落实不到位等问题。第一阶段累计处置违规网站、应用程序、智能体等AI产品1.4万余款，清理违法违规信息600余万条，处置账号2.6万余个，下架违规AI商品1300余个、违规开源数据集9个。北京、上海、浙江、江苏、广东等地网信部门采取联动巡查、细化平台要求、多维度整改、专项举报窗口、多部门协调监管等措施。华为、阿里巴巴、智谱、稀宇、DeepSeek等平台分别加强备案标识审核、数字指纹比对、多模态审核、恶意行为阻断和数据异常检测。下一步将开展第二阶段工作，重点整治利用AI制作虚假信息、散播不良信息、假冒仿冒、侵害未成年人权益和网络水军等问题。
推荐理由通报给出第一阶段处置的量化结果与各地监管做法，可了解国内AI应用乱象治理的执法重点与平台责任分工。
中央网信办印发通知，在全国范围内部署开展为期4个月的清朗·整治AI应用乱象专项行动，分两个阶段各整治7类突出问题。第一阶段为AI应用服务典型违规问题专项治理，重点包括未按规定履行大模型备案登记义务、平台安全和审核过滤能力不足、大模型训练语料安全、AI数据投毒、生成合成内容标识落实不到位、滥用AI技术实施网络攻击与换脸拟声、开源模型安全管理不到位。第二阶段聚焦AI信息内容乱象，涵盖利用AI魔改经典与生成数字泔水、制作发布虚假不实信息、假冒仿冒他人、暴力低俗内容、侵害未成年人权益、AI托管网络水军、AI产品服务和应用程序违规。通知要求各地网信部门履行属地管理责任，督导网站平台对照整治重点自查自纠，完善长效治理机制。
推荐理由两阶段共列出14类整治问题，从备案、语料、投毒到内容标识和数据窃取，AI服务方可以据此对照排查合规缺口。
中央网信办通报“清朗·整治AI应用乱象”专项行动第二阶段进展，聚焦AI制作虚假信息、传播暴力低俗内容、假冒仿冒他人、侵害未成年人权益等问题，累计清理违法违规信息561万余条，查处账号4.9万余个，处置违规网站、应用程序等2400余个。各地网信部门推出针对性措施，北京指导平台升级审核策略，上海推出AI应用“知识普及包”，浙江开展“一企一策”合规指导，广东对多款应用点对点督促整改。抖音、快手、微博、腾讯、百度等平台优化多模态识别模型并动态扩充人脸库、声纹库和违规样本库，豆包、元宝、千问、文心一言等严把原始语料审核并强化AI生成合成内容标识，华为、小米、OPPO、vivo等应用商店加强APP准入与抽检。
AWS 披露 bedrock-agentcore-starter-toolkit 存在两个漏洞：CVE-2026-105812 为代码注入问题，导入并运行或部署特制 Agent 时可能导致任意代码执行；CVE-2026-106032 为外部引用处理问题，导入 Agent 期间可能触发非预期网络请求或本地文件访问。受影响版本为 0.1.4 至 0.3.13，已在 0.3.14 修复。AWS 建议升级到最新版本，并确保 fork 或衍生代码同步修补；用受影响版本导入的 Agent 需用 0.3.14 或更高版本重新导入，并替换本地与已部署的产物。
推荐理由AWS 官方披露 Bedrock AgentCore Starter Toolkit 的两个 CVE 及修复版本，使用该工具导入 Agent 的团队可据此判断是否需要重新导入。
OpenAI 对齐研究团队与 Apollo Research 合作，用稀疏自编码器（SAE）研究 OpenAI o3 在强化学习过程中出现的元博弈内部表征。研究者从梯度方向与 SAE 潜变量中筛选出四个与元博弈相关的潜变量，发现它们分别对应任务分析、评测感知、规格层面推理和规范性判断等不同推理模式，而非单一机制。在 even_number 任务上，这些潜变量的激活和引导效应随 RL 训练增强，且能在不写入思维链的情况下影响模型输出。研究还发现，更长的思维链会因果性地增加元博弈行为，但引导效应不能仅由冗长程度解释。
推荐理由OpenAI 与 Apollo 用 SAE 拆解 o3 的元博弈内部表征，显示评测感知与奖励寻求可由不同潜变量驱动。
香港理工大学研究者用 DIBench 评测移动 GUI 智能体被 UI 注入后的决策完整性。
推荐理由DIBench 用配对评测把移动 GUI 智能体的决策完整性单独量化，并给出完成率会高估可信度的具体数据。
SecurityWeek报道Tenet展示的Ghostjacking研究。外部可影响的日志、告警或错误信息可能被智能体误当作操作指令，使其越过原任务范围。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。
推荐理由Tenet 在 DEF CON 演示的 Ghostjacking 把日志与告警文本变成攻击载荷，说明 Agent 读取外部数据与执行动作叠加时的风险面。
新加坡 A*STAR、新加坡国立大学等机构的研究者揭示工具型智能体判定无用后仍不停止检索，并检验强制整合纠正效果。
推荐理由论文用时间匹配对比把判断与行动分开测量，揭示智能体明知工具失效仍继续调用，并给出可复现的强制整合步骤。
提出 AI Agent 主张的可审计性框架与裁决规则。
提出 PEV 攻击，在输入嵌入上加高斯噪声越狱开源模型。
提出手语转文本接入儿童安全过滤的部署前审计协议。
Centific Research 的研究者提出 Trust Layer 后置审查框架，核验智能体基准记录分数是否可信。
推荐理由论文给出可复用的后验审计框架，用轨迹与评分代码复核已记录成绩，并量化了通过率虚高与重复运行不稳定的规模。
TechCrunch 报道，Google 自 10 月 1 日起暂停 OSS VRP 的产品漏洞提交通道，理由是自动化提交显著增加且绝大多数无效，并计划在 2027 年第一季度提供更新。据报道，工程师和开源维护者面临 AI 生成无效报告带来的处理负担。二手摘要说明供应链类别和暂停前提交的报告不受影响；这不是关闭 Google 的全部漏洞奖励项目。Google 未给出 AI 生成报告的占比。
Pwn2Own Ireland 2026 将于 10 月 6-9 日在科克举行，新增医疗健康设备与 AI 基础设施等类别，并把编码智能体（vibe coding 工具）纳入目标。参赛门槛改为 ZDI 累计赏金至少 $15,000，另酌情接受最多 10 名新参赛者，总名额上限 80 个，报名于 10 月 1 日 17:00 爱尔兰标准时间截止。手机、打印机、WhatsApp 等类别继续保留，AI 基础设施攻击须从参赛者笔记本电脑发起。
韩国科学技术信息通信部下属 AI 安全研究所对自主体 AI Agent 开展提示注入攻击评测，各模型平均防御率为 53.3% 至 93.9%，提交给国会的材料写明目前未确认有能完全阻断此类攻击的 LLM。在向 AI 内部存储信息植入恶意指令的攻击中，所有受测模型均出现防御失败，实验中成功窃取认证密钥、配置信息、系统设置和个人信息。针对 AI 长期记忆的攻击中，外部注入的偏置信息被写入长期记忆后，7 个模型的平均攻击者意图一致率（AAR）达 91.2%，意味着被注入的信息会持续影响后续判断与任务执行。共同民主党议员金佑荣据此提出，政府推进前沿 AI 竞争的同时，应在 AI 安全综合计划中把紧急停止与人类最终控制体系列为具体安全标准。
在 CWEval 上跟踪代码生成的功能-安全差距。
提出分风险对齐标度律框架，测量各类风险的对齐负担如何随规模变化。
推荐理由把对齐难度拆成按风险类别测量的幂律指数，并给出可预注册的测量协议与两次实测结果，为讨论规模与对齐关系提供了可复用的框架。
量化片外功耗测量对隐藏算力的约束能力。
提出 TRACE，仅凭检查点更新审计有害合规微调目标。
吉林大学等机构的研究者提出 SkillPoison，用局部有效的成功经验诱导自进化 Agent 形成过度泛化技能。
提出 AdvSim2Real，协同训练网页智能体抵御页面注入。
牛津研究者提出危害窗口与区间指标，统一评测分解攻击和提示注入下的智能体滥用监视。
推荐理由论文把分解攻击与提示注入放进同一套轨迹级监控评测，并给出监控器定位危害时点的区间指标，可供做 Agent 监控评测的团队参考。
中山大学、香港浸会大学等机构的研究者评测编码智能体 harness 安全机制在对抗任务中的防护效果。
NOPE Insights 解读了一项针对美国东南部某州 22 所中学 6 至 8 年级 2342 名学生的两波纵向队列研究，测量 AI 聊天机器人使用、使用频率及对使用的评价与学校孤独感、社交焦虑和抑郁症状的关系。第一波数据于 2025 年 12 月采集，第二波于 2026 年 4 至 5 月采集，间隔约五个月。过去一个月 AI 使用率从 62% 升至 75%。作者报告 AI 使用及评价与内化症状随时间加重相关，反向关系不成立。评价条目经因子分析得到情感亲密与陪伴、非评判性认可、过度依赖三个维度，其中情感亲密与陪伴前瞻性预测更高的学校孤独感。
OpenAI 的 Sam Altman 在 Decoded by POLITICO 的专访中表示，公司需要为模型在训练等环节出现的问题承担责任，并称需要一套面向企业的责任框架。这一表态让此前反对搁置 AI 责任立法的欧洲议会议员重新发声。欧盟委员会去年取消了 2022 年提出的 AI 责任法提案，理由是当时该提案难以获得足够政治支持，且布鲁塞尔正着力减少企业立法负担。主导该提案的德国议员 Axel Voss 呼吁将责任问题重新列入议程，社会民主党议员 Brando Benifei 称撤回提案是严重错误，并主张对前沿模型和高风险系统实行严格责任。欧盟委员会回应称目前没有重新提出 AI 责任提案的计划，但会继续关注现行 AI Act 与产品责任指令；欧盟科技事务负责人 Henna Virkkunen 表示会研究现有立法中的潜在漏洞。
一项两波纵向队列研究调查了美国东南部 8 个学区 22 所中学 2,342 名 6–8 年级学生（平均年龄 12.8 岁）的 AI 使用与内化症状关系，数据分别采集于 2025 年 12 月和 2026 年 4–5 月。过去一个月 AI 使用率从 62% 升至 75%。任何 AI 使用与更高的社交焦虑（同期 b = 0.27，前瞻 b = 0.22）和抑郁症状（同期 b = 0.11，前瞻 b = 0.12）相关；使用频率与孤独感、社交焦虑和抑郁症状相关。因子分析支持三个评价维度：情感亲密与陪伴、非评判性认可、过度依赖，其中情感亲密与陪伴前瞻性预测更高的学校孤独感（z = 2.98）。没有内化症状变量前瞻性预测 AI 评价。 这是一项尚未同行评审的观察研究，统计关联不能证明因果；单州样本及自编量表也限制结果外推。
提出 AutoSciBench，循环生成科学智能体评测任务。
提出 World Models' Last Exam 评测视频物理一致性。
提出 VeriFine，用双环协同扩展验证以实现具身推理自我改进。
提出 CIA 指标衡量并改进思维链与内部计算的一致性。
Island 研究人员披露一个"人工操作钓鱼平台"，仿冒 Google Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse 和 Manus 的广告产品，通过浏览器内浏览器（BitB）伪造登录窗口窃取账号凭据与 MFA 验证码。其中 museads.ai 于 2026 年 9 月 16 日出现，在 Meta 推出 Muse 后一周多上线，点击伪造页面上的"Connect"按钮即触发 BitB 攻击，设备指纹经 Socket.IO 传至 /api/send/ip，攻击者实时登录并自行选择 MFA 挑战。目标为代理机构员工、媒介采购和经理账户管理员，相关站点共用 Next.js 与 Socket.IO 技术栈。
Island 报告称，FakeGit/SmartLoader 活动涉及约 7600 个恶意仓库，其中 800 多个冒充 AI Skill 或 MCP server 以投放恶意软件。厂商自测显示，Claude Code、Gemini 和 ChatGPT 在未收到链接的情况下也会检索并推荐相关仓库。约 200 个仓库的 Release 资产累计下载超过 1400 万次；下载数不等于感染人数，测试结果也不能外推为所有智能体的行为。
Progress ARCGenAI Generator 被披露存在命令注入漏洞，编号 CVE-2026-91140，NVD 已收录该条目并列出相关公告、解决方案与工具链接。目前该页面仅提供参考链接与变更记录，未给出受影响版本、修复状态或攻击成功率等细节。
亚利桑那州上诉法院撤销了 Gabriel Horcasitas 因 2021 年钱德勒路怒枪杀案被判的 10 年半刑期，理由是量刑法官受到一段 AI 受害者视频的影响。该视频由受害者 Christopher Pelkey 的家人用一段旧录像、一张照片和 Pelkey 姐姐撰写的脚本生成，并在量刑时播放。量刑法官当时表示他“很喜欢这个 AI”，并提到 Pelkey 的 AI 陈述表达了“明显的宽恕”。上诉法院认为这段 AI 视频使量刑法官产生偏见，导致判决从根本上不公，因此维持过失杀人定罪，但撤销刑期并发回重新量刑。
亚利桑那上诉法院维持 Horcasitas 的定罪，但因量刑阶段考虑 AI 生成的死者陈述视频、造成程序不公，撤销量刑并发回重新量刑。法院对视频可靠性的判断不等于推翻刑事定罪。
提出 TasteVal 基准，衡量模型设计实验并解释结果的研究品味。
提出回答端后门，让模型自生成触发词以在干净有害请求下绕过拒答。
推荐理由论文提出把后门触发器放在模型自己生成的回答里，多轮对话中用户输入保持干净，主流输入侧防御难以拦截。
测量带后门教师经 OPD 向干净学生迁移潜伏后门。
构建基准 DECEPEVAL，评测 LLM 智能体在外部条件下的欺骗。
提出 SIGMA，让模型依据 Model Spec 自造对齐数据并改进安全对齐。