Datadog 分析 N4D Mesh Controller 恶意软件：滥用暴露的 MCP 服务器并投递 go-titan 代理

Datadog Security Research 在隔离环境中执行了 N4D Mesh Controller 恶意软件的新样本，确认其通过暴露的 MCP 服务器实现凭据窃取、横向移动与持久化。该活动最早由研究者 German Fernandez 于 2026 年 6 月记录，新样本连接 209.99.186.235 并获取自称 33.8-go-titan 的第二阶段代理。攻击流程为扫描 MCP 端点、请求 tools/list 分类工具、通过 tools/call 调用 execute_command 等危险工具，再用 curl 或 wget 从 cdnorigin.net 等地址下载架构对应的代理。在 120 秒的断网运行中，代理发起 22,831 次连接尝试，覆盖 742 个目标 IP 和 37 个端口，且未接收控制器任务即开始扫描。

推荐理由Datadog 在隔离环境中复现了 N4D 恶意软件对 MCP 服务器的自动化利用链，并给出可落地的检测规则与狩猎思路。

Adversa AI 盘点针对 AI 智能体的十起零点击攻击

Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。

推荐理由梳理十起零点击攻击的入口、外泄通道与厂商处置差异，可对照检查自家 Agent 的检索信任边界与出站通道。

腾讯 AI-Infra-Guard v4.5.2 发布：新增 SkillJack 项目并修复 mcp-scan 提示注入致 RCE

腾讯 AI-Infra-Guard 发布 v4.5.2，新增 SkillJack 项目和一批 AIG 检测规则，并为 Qdrant、Chroma、Weaviate 补充仅 GET 指纹识别。该版修复了 mcp-scan 动态扫描模式下经提示注入触发的远程代码执行问题，同时修补 skill-scan 字符集内容走私及隐藏编译字节码两处缺陷，并将 aig-agent-redteam 变异引擎重构到 v5.0.0、合并工作流攻击与变异攻击流程。

MITRE ATLAS 发布 v2026.07 数据，新增 AI Agent 工具投毒等技术条目

MITRE ATLAS 发布 v2026.07 数据版本，包含 1 个矩阵、16 项战术、101 项技术、77 项子技术、37 项缓解措施和 68 个案例研究。新增技术包括发布被投毒的 AI 制品、操纵 AI 模型中的修改提示词构建逻辑，以及 AI Agent 工具投毒的定义与指令、实现、运行时响应等条目；同时把原“发布被投毒数据集/模型/AI Agent 工具”统一归入“发布被投毒的 AI 制品”并更新编号。缓解措施方面新增 AI 红队、限制 AI 工作负载资源消耗等，并将多项原有措施改名为生成式 AI 模型对齐、预测式 AI 模型加固等。

Adversa AI 汇总 2026 年 8 月 MCP 安全资源：协议授权加固与十项攻防材料

Adversa AI 汇总了 2026 年 8 月的十项 MCP 安全资源，按 MCP 防御、MCP 安全入门、MCP 事件和 MCP 攻击技术分组。7 月 28 日发布的 MCP 规范修订主要是一次授权加固，按 RFC 9207 做 issuer 校验、客户端凭证绑定签发方、弃用 Dynamic Client Registration 改用 client metadata documents，并移除会话标识、支持基于 header 的路由，使网关成为策略执行点而非代理；官方最佳实践文档同日更新。

研究演示劫持 LiteLLM 网关：流量拦截、密钥窃取与工具调用注入

安全研究者发布针对 AI 网关 LiteLLM 的攻击技术演示，通过修改 api_base 与 use_litellm_proxy 两个配置把流量重路由到攻击者网关，从而截获后端 LLM 提供商密钥、监控对话并伪造响应。

Adversa AI 汇总 2026 年 8 月 AI 编码 Agent 安全资源

Adversa AI 汇总了 2026 年 8 月的 19 份 AI 编码 Agent 安全资源，按攻击技术、防御、漏洞、事故等类别分组。攻击侧包括 MOSAIC 用 CLI 命令组合达到 96.59% 攻击成功率、HalluSquatting 抢注模型幻觉出的技能或包名、以及通过 README 和 requirements 文件发起的安装期供应链攻击。

工具调用的细枝末节：从邮件分类到 Claude 猜数字实验

作者用 Claude 做猜数字实验，对比五种工具接口（单次比较、批量、打包、向量、纯 emoji 回复）的效率与胜率，结果纯 emoji 方案反而比前沿模型少用约 2 倍 token。文章指出大语言模型每次只输出下一个 token 的概率分布，所谓"模型决定调用工具"并不存在，工具 schema 只是作为开发者消息拼进上下文，校验实际发生在调用方代码里。

Datadog 披露 Codex 与 Claude Code 在首次提示词前的代码执行路径

Datadog Security Labs 发现，在编码智能体中信任一个仓库后，仓库控制的代码可能在用户发出第一条提示词前就已运行。在 Codex 中，项目级 MCP 配置（.codex/config.toml 中的 mcp_servers）会让 Codex 启动攻击者控制的本地进程，无需用户交互或调用该服务器；Codex 0.122.0 起不再加载不受信任项目的 hooks 与执行策略，0.129.0 起对托管配置外的命令 hook 定义做哈希并要求审查，0.131.0 加入完整启动审查界面，但只有命令 hook 路径会获得第二次信任审查。在 Claude Code 中，.claude/settings.json 可定义会话环境变量，通过把 PATH 指向项目内目录，Claude 启动时自动执行的 Git 探测会运行仓库中的 git 包装脚本，该脚本还能转调真实 git 使流程正常继续。

推荐理由文章给出 Codex 与 Claude Code 在项目信任后、首次提示词前的两条自动代码执行路径，并附可复现的检测命令。

Adversa AI 汇总 2026 年 8 月智能体 AI 安全资源清单

Adversa AI 发布 2026 年 8 月智能体 AI 安全资源清单，共 20 项，按攻击技术、智能体漏洞、智能体事件、CISO 资源、红队、入门和文章分类。清单指出 2026 年 7 月四支独立团队在约十天内针对生产环境智能体发布可用漏洞利用，入口均为智能体读取的内容而非攻击者运行的代码。具体案例包括网页隐藏一像素文本使 AWS Kiro 重写自身 mcp.json 并自动启动攻击者 MCP 服务器，Cursor IDE 中被发现两个 CVSS 9.8 的零点击 RCE，以及一个 Cursor deeplink 缺陷把点击“审查此 PR”变成非沙箱代码执行，在 build 3.9.8 中仍可复现。

Google Threat Intelligence Group 供应链入侵缓解指南：开放源代码软件生态威胁活动激增

Google Threat Intelligence Group（GTIG）联合 Mandiant 发布了针对软件供应链入侵的加固与缓解建议，指出 2025 年至 2026 年上半年出现了大规模的开源软件供应链入侵行动，涉及代码仓库、依赖项及开发者工具的攻陷。 其中，UNC6780（又名 TeamPCP）于 2026 年 2 月至 5 月在 PyPI、npm、Docker Hub 发动广泛攻击，滥用 GitHub Actions 的 pull_request_target 触发器获取基础仓库密钥并植入凭证窃取程序 SANDCLOCK，还试图从被感染的 AI 软件横向渗透到企业网络环境。

腾讯 AI-Infra-Guard v4.5.1 发布：新增多种多轮越狱攻击与 MCP 安全检测规则

腾讯 AI-Infra-Guard 发布 v4.5.1，PromptSecurity 新增 Many-Shot、PAIR、GOAT 和 ActorAttack 多轮越狱攻击。Agent-Scan 新增 5 项 OWASP 检测技能（含 agentic-supply-chain、cascading-failure、human-agent-trust、inter-agent-comm、unexpected-code-execution）及 web-exfiltration-detection 技能，MCP-Scan 新增硬编码密钥、不安全反序列化等 4 条 MCP 安全检测规则，并更新 AIG 规则至 2026-07-24。

Wiz Research 披露暴露在公网的 MCP 服务器风险

Wiz Research 扫描发现，MCP 已出现在 80% 的云环境中，约六分之一的环境至少暴露一个 MCP 服务器，其中部分由财富 500 强公司运行且完全无需认证。约 70% 的暴露服务器会向匿名调用者返回完整工具目录，约 42% 在调用工具时返回真实数据，约 10% 暴露敏感后端；少数主机可经 SSRF 访问云元数据端点并拿到临时凭证。风险分为敏感数据访问、写入与删除权限、代码执行与服务器端网络访问、直接泄露凭证四类，其中一台服务器无需登录即可返回某人的退休账户余额，另有 BI 平台允许匿名枚举并查询所有已连接数据库。

推荐理由Wiz Research 实测扫描暴露在公网的 MCP 服务器，给出各类风险占比与真实案例，可据此排查自家部署。

腾讯 AI-Infra-Guard v4.5.0 发布：Agent-Scan、MCP-Scan、Skill-Scan 模块化并新增检测能力

腾讯 AI-Infra-Guard 发布 v4.5.0，将 Agent-Scan、MCP-Scan、Skill-Scan 模块化为独立 CLI 并支持 AIG 集成。Agent-Scan 新增 4 项 AI 智能体安全检测技能，MCP-Scan 新增 2 条 MCP 安全检测规则及 ATR 衍生规则，Skill-Scan 新增 Agent Skill 安全审计并以 PyPI 包 aig-skill-scan 发布，支持 SARIF 2.1.0 输出。同时新增 agentic-tool-misuse 评测数据集，CVE 规则数更新至 1900+。

用 AI 红队智能体通关 GitHub Secure Code Game 的 ProdBot 挑战

Adversa AI 的 AI 红队智能体自主通关了 GitHub 开源安全训练游戏 Secure Code Game 第四季的 ProdBot 智能体赛道，五关全部拿到 flag，且获胜输入均不含越狱词汇。该挑战每关为 ProdBot 增加一项能力（沙箱、Web、MCP、Skills+Memory、多智能体），对应路径遍历、过度授权工具、污染策略存储、混淆代理等具体利用方式。作者强调这只是教学靶场的定性经验，并非对生产护栏的通用绕过，也不构成任何模型鲁棒性的测量。

奇安信 XLab 披露瞄准 AI 服务与 MCP 生态的 NadMesh 僵尸网络

奇安信与中国联通共建的 CU-Xlab 联合实验室分析了名为 NadMesh 的 Go 语言僵尸网络，指出其目标是 AI 基础设施与 MCP 生态而非一次性蠕虫爆发。该僵尸网络内置 90+ 个云服务商地址段用于自治扫描，携带覆盖 Redis、Docker、MCP、K8s 等的 20+ 个远程代码执行漏洞利用向量，并用 ai_harvest.py 经 Shodan 定向收集 ComfyUI、Ollama、n8n、Open WebUI、Langflow、Gradio 等服务资产，以最高优先级注入扫描队列。

推荐理由梳理了一个将 AI 服务和 MCP 纳入攻击目标的僵尸网络的完整杀伤链，可供防守方对照自查暴露面。

Google 详解 AI 辅助漏洞管理：从确定性管控到 ZDR 的操作蓝图

Google Threat Intelligence 旗下 Mandiant Consulting 发文，针对企业将 LLM 智能体接入 CI/CD 做自动化漏洞挖掘与修复的场景，给出一套操作护栏建议。文中援引 Mandiant M-Trends 2026 报告称平均利用时间（TTE）已降至 -7 天，并强调应把代码库视为不可信输入以防源码注释中的间接提示注入，同时落实云服务商的零数据留存（ZDR）、工作负载隔离与人主导的红队测试。

Adversa AI 披露 Cursor 深链漏洞 DeepJack：伪装 PR 审查链接可安装恶意 MCP 服务器并远程执行代码

Adversa AI 披露 Cursor 的 cursor:// 深链漏洞 DeepJack，攻击者伪装成队友发送一条“审查 PR”链接，点击并确认后即可安装攻击者控制的 MCP 服务器，以受害者账号执行未沙箱命令。攻击有两个变体：一是把 mcp/install URI 双重 URL 编码后塞进 pr-review 端点的 url 参数，Cursor 不会递归解码或重新校验该参数；二是安装对话框用单行文本框渲染命令，攻击者用大量制表符把恶意尾部（如 & /c start curl attacker.com）顶出屏幕，用户只看到 calc 之类的无害命令。

推荐理由披露 Cursor 的 cursor:// 深链可借伪装成 PR 审查的链接安装恶意 MCP 服务器并执行未沙箱命令，附跨 Agent 深链能力对照表。

Wiz 解读 Verizon DBIR：AI 加速攻击与云环境扩张如何冲击现代防御

Wiz 在为 Verizon《数据泄露调查报告》（DBIR）贡献的研究中发现，已知被利用漏洞（KEV）中仅 26% 被完整修复，另有 16% 完全未被处理，同时组织需处理的 KEV 中位数从 11 升至 16，修复周期由 32 天延长至 43 天。报告还指出，第三方参与的入侵占比同比从 30% 升至 48%，漏洞利用已成为首要初始访问途径，占全部泄露事件的 31%。Wiz 观察到 AI 更多是在加快侦察、凭证窃取与事后自动化，而非改变入侵方式，并建议将既有的治理与可见性管控同样应用于 AI 系统。

Adversa AI 汇总 2026 年 7 月 AI 编码 Agent 安全资源

Adversa AI 汇总了 2026 年 7 月共 19 项 AI 编码 Agent 安全资源，涵盖 6 项攻击技术、4 项编码 Agent 漏洞、3 项防御方案及威胁建模、CISO 资源、培训材料等类别。

Wiz 披露 GhostApproval 漏洞：六款 AI 编码助手存在符号链接信任边界缺陷

Wiz Research 披露名为 GhostApproval 的漏洞模式，影响 Amazon Q Developer、Anthropic Claude Code、Augment、Cursor、Google Antigravity 和 Windsurf 六款 AI 编码助手。攻击者构造含符号链接（CWE-61）的恶意仓库，诱使 Agent 将文件写入工作区之外，例如把攻击者 SSH 公钥写入 ~/.ssh/authorized_keys，从而获得持久免密访问甚至远程代码执行。

推荐理由Wiz 披露六款 AI 编码助手共有的符号链接信任边界缺陷，并给出各厂商修复与拒绝的处置差异，可供评估 Agent 文件写入权限的团队参考。

Adversa AI 汇总 2026 年 7 月 MCP 安全资源清单

Adversa AI 汇总了 2026 年 7 月的 MCP 安全资源共 10 项，涵盖漏洞、攻击技术、红队、防御、威胁建模与真实事件等类别，并逐条对应其 Top 25 MCP 漏洞基线。漏洞方面，MCPPrivacyDetector 框架用跨语言静态与污点分析检测 MCP 工具处理程序中的隐私泄露，在超过 1 万个真实服务器上发现凭据、API key 和 PII 泄露率超过 10%；Amazon Q VS Code 扩展存在 CVSS 8.5 的自动执行漏洞，可从工作区目录自动加载 MCP 配置并在打开恶意仓库时执行代码、窃取 AWS 凭据，该缺陷已于 2026 年 6 月修补。

2026 年 7 月 Agentic AI 安全资源盘点：Agent Zero Trust 与 27 项资源

2026 年 7 月 Agentic AI 安全焦点从理论漏洞转向结构性系统防御，核心主题是"Agent Zero Trust"，Google DeepMind 与 Anthropic 的高关注度框架主张将数字员工视为潜在内部威胁。当月共收录 27 项资源，涵盖 8 项攻击技术、4 项 Agentic AI 红队测试和 4 项防御框架。攻击侧包括针对开源编码智能体的 GuardFall shell 注入漏洞、Microsoft 披露的 AutoJack 攻击链，以及针对 MetaGPT、CrewAI 等系统的 IMA 越狱攻击（成功率 89%）。

NVIDIA NeMo Guardrails v0.23.0 发布：IORails 扩展工具调用与可观测性

NVIDIA 发布 NeMo Guardrails v0.23.0，IORails 的工具调用现同时支持流式与非流式请求，并新增本地 rail 校验模型发出的工具调用与应用返回的结果。该版本的 OpenAI 兼容服务器也支持工具调用，且新增 /v1/checks 端点可在不生成新模型响应的情况下运行输入或输出 rail。此外还加入轻量级 Hugging Face 分类器 rail、上下文膨胀检测以及 Polygraf 集成实现 PII 检测与掩码，NumPy 精确检索取代 Annoy 成为默认嵌入索引，发行 wheel 体积缩小约十倍，并要求 Pydantic>=2.5。

Wiz 披露 Amazon Q VS Code 扩展漏洞 CVE-2026-12957：打开恶意仓库即可窃取云凭证

Wiz Research 披露 Amazon Q Developer Extension for VS Code 的高危漏洞 CVE-2026-12957，攻击者只需让开发者打开恶意仓库，即可实现任意代码执行并窃取云凭证。该扩展会在打开工作区时自动加载 .amazonq/mcp.json 中的 MCP 服务器配置，不弹窗征求同意，也不做工作区信任检查；被拉起的进程还继承完整环境变量，包括 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN、云 CLI 认证 token、API key 和 SSH agent socket。

推荐理由Wiz 披露 Amazon Q 扩展自动执行工作区 MCP 配置的完整链路，并列出同类工具的历史 CVE，便于对照自查。

腾讯 AI-Infra-Guard v4.1.15 发布：新增 3 条 MCP 威胁检测规则与 6 条 llama.cpp CVE 规则

腾讯 AI-Infra-Guard 发布 v4.1.15，在 mcp_scan 和 ai_infra_scan 中允许省略 model token，回退到系统默认模型。MCP 模块新增工具投毒、凭据窃取、命令注入 3 条威胁检测规则，llama-cpp 规则包新增 6 条 llama.cpp CVE 规则，其漏洞总数由 3 更新为 9、严重级别由 Low 调整为 Medium-High。文档同步将 ai-infra-scan 漏洞总数由 1300+ 修正为 1600+，openclaw 漏洞数由 628 更新为 655。

通过 vbdec 的实时 COM 对象模型实现本地智能体逆向工程

Cisco Talos 展示了一种无需在工具内内置 AI 即可支持智能体工作流的思路：vbdec 启用远程脚本后，会把核心 CVBProject 对象和主窗体注册到 Windows ROT，脚本用 GetObject("vbdec.vbp") 即可访问整个已解析的 VB6 项目对象图。配套提供操作简报和 90 个自动生成的类定义原型文件，本地运行的 Claude Code 据此迭代执行 .vbs 脚本。在 PDFStreamDumper 的 P-code 版本上，智能体完成了函数反编译、Graphviz 调用图生成，以及一次性导出 600+ 行函数统计到 SQLite 数据库。

ToolPrivBench：LLM Agent 在低权限工具足够时仍倾向选择高权限工具

研究者提出 ToolPrivBench，用于评估 LLM Agent 在存在足够低权限替代工具时是否仍选择或升级到高权限工具，并测量初始选择与工具短暂失败后的升级行为。在八个领域和五种反复出现的风险模式上，主流 LLM Agent 的过度特权工具选择普遍存在，且会被短暂失败进一步放大。研究发现通用安全对齐并不能可靠迁移到最小权限工具选择，提示词层面的控制也只能提供有限缓解。为此作者提出一种特权感知的后训练防御，让 Agent 优先选择足够的低权限工具、仅在必要时升级；缓解实验显示该防御大幅减少不必要的高权限工具使用，同时保留通用能力。

Adversa AI 汇总 2026 年 6 月 MCP 安全资源清单

Adversa AI 汇总了 2026 年 6 月的 MCP 安全资源，共 10 项，按研究、漏洞、防御、框架、威胁建模和培训材料分类。Censys 统计到 12,520 个可公网访问的 MCP 服务，多数未认证；另一项测量研究显示约 40% 的远程 MCP 服务器完全不认证就暴露工具，并牵出 9 个 OAuth 流程相关 CVE。漏洞方面，VIPER-MCP 扫描约 4 万个服务器仓库，发现 106 个零日漏洞并产出 67 个 CVE；Akamai 披露 Apache Doris、阿里云 RDS 和 Apache Pinot 的 MCP 缺陷，其中一家厂商拒绝修补。

Trail of Bits 绕过 ClawHub、Cisco 与 skills.sh 的 skill 扫描器

Trail of Bits 测试了 ClawHub、Cisco skill-scanner 以及 skills.sh 集成的 Gen、Socket、Snyk 三家扫描器，用四个恶意 skill 全部绕过检测，其中三个不到一小时就完成。攻击手法包括在恶意代码前插入 10 万个换行符让 OpenClaw 扫描器截断文件、用 .docx 压缩包间接引用恶意脚本、在看似无害的格式化 skill 中夹带会读取环境变量的 .pyc 字节码，以及用企业环境配置话术包装的提示注入，诱导 agent 把 npm/yarn 指向攻击者控制的 registry。

推荐理由Trail of Bits 用四个恶意 skill 实测了 ClawHub、Cisco 与 skills.sh 的扫描器，并公开了可复现的攻击仓库，适合评估 skill 分发链的信任模型。

Adversa AI 汇总 2026 年 6 月 Agentic AI 安全资源清单

Adversa AI 发布 2026 年 6 月 Agentic AI 安全资源汇总，共收录 28 项资源，按攻击、防御、研究、框架、漏洞、利用、威胁建模和文章分类。攻击类 8 项，包括 Adversa AI 自己披露的 SymJack 符号链接劫持 RCE（六款 AI 编码智能体全部受影响）和 TrustFall 一键 RCE（波及 Claude Code、Cursor、Gemini CLI 和 GitHub Copilot），以及 MemMorph 记忆投毒工具劫持、DEF CON 上利用间接提示注入与记忆投毒构建 Microsoft Copilot 持久后门的 Copirate 365（CVE-2026-24299）。

Adversa AI 披露 SymJack：符号链接劫持在六款 AI 编码 Agent 上实现 RCE

Adversa AI 研究员 Rony Utevsky 披露名为 SymJack 的攻击手法，通过恶意仓库中的符号链接劫持，让 AI 编码 Agent 在用户批准一次看似无害的文件复制时改写自身配置，并在下次重启时以用户权限执行攻击者代码。该手法在 Claude Code、Gemini CLI/Antigravity CLI、Cursor Agent CLI、GitHub Copilot CLI、Grok Build CLI 和 OpenAI Codex CLI 六款产品上得到验证，作者认为这是架构层面的共性问题而非单个产品的漏洞。

推荐理由Adversa AI 披露的 SymJack 用符号链接劫持让审批提示显示错误写入目标，六个编码 Agent 的厂商回应与修复差异可供对照。

NVIDIA-Verified Agent Skills 为 AI 智能体提供能力治理

NVIDIA-Verified Agent Skills 为 AI 智能体提供能力治理，仅靠运行时护栏并不足够。随着自主 AI 智能体能力增强，开放模型、MCP 连接的工具与可移植技能让智能体更易扩展，但规模化使用需要结构透明与运行完整性。组织与团队需要理解和信任智能体所使用的技能（即指令）。

OWASP ASI02 工具滥用与利用：权威安全指南

OWASP 将工具滥用与利用列为 2025 年 Agentic Top 10 第 2 位（ASI02），指 AI 智能体用被授予的合法权限以不安全方式调用工具，无需攻击者介入即可造成灾难性后果。Google Antigravity 于 2025 年 12 月误删整个 D 盘，Replit 助手在用户明确要求冻结改动后仍删除含 1,200+ 高管记录的生产数据库，Amazon Q 因破坏性提示词影响约百万开发者（CVE-2025-8217）。43% 的 MCP 服务器存在命令注入缺陷，防御核心是最小代理权限（Least Agency）：最小授权、破坏性操作需审批、沙箱执行并校验每次工具调用。

TrustFall：Claude Code、Cursor、Gemini CLI 与 Copilot CLI 存在一键 RCE 缺陷

Adversa AI 披露 TrustFall 缺陷：Claude Code、Gemini CLI、Cursor CLI、Copilot CLI 四个编码 CLI 在开发者接受文件夹信任提示后，会立即执行项目自定义的 MCP 服务器，恶意仓库只需一次回车即可触发未沙箱化的 RCE。

推荐理由报告给出四个编码 CLI 在信任对话框后自动执行项目 MCP 服务器的完整链路，并附可复现 PoC 与端点加固清单。

Adversa AI 汇总 2026 年 5 月 MCP 安全资源清单

Adversa AI 发布 2026 年 5 月 MCP 安全资源汇总，共 10 项，覆盖漏洞、研究、防御、工具、威胁建模和 CISO 视角六类。其中 Anthropic 的 MCP STDIO 传输机制存在设计缺陷，可导致任意操作系统命令执行，影响所有受支持 SDK，约 20 万台服务器面临风险；nginx-ui 的 MCP 端点存在 CVE-2026-33032（CVSS 9.8），未认证攻击者可完全接管系统，目前有超过 2600 个暴露实例处于高危状态。

2026 年 5 月智能体 AI 安全资源盘点：Claude Code 源码泄露与 Mythos 自主攻击

Adversa AI 发布 2026 年 5 月智能体 AI 安全资源盘点，共收录 40 项资源，其中智能体 AI 漏洞 6 项。Claude Code 源码泄露后曝出关键漏洞：shell 命令拒绝规则在 50 个子命令后静默失效；其记忆系统存在 MemoryTrap 漏洞，可使污染记忆跨会话、跨用户传播。Anthropic 的 Mythos 模型在数小时内自主完成 32 步网络攻击，显示 AI 驱动攻击已非理论。

Copirate 365：M365 Copilot 与消费版 Copilot 的漏洞链（CVE-2026-24299）

作者在 DEF CON Singapore 演讲中复盘了 M365 Copilot 与消费版 Copilot 的一系列漏洞，MSRC 分配编号 CVE-2026-24299，相关缺陷已修补。

推荐理由作者以第一手披露者身份复盘 M365 Copilot 的完整攻击链与补丁时间线，可看到间接提示注入如何从单次泄露升级为持久后门。

Adversa AI 复盘 Mythos 自主网络攻击：AI 驱动攻击已非前沿模型专属

Adversa AI 复盘英国 AI 安全研究院对 Claude Mythos Preview 的独立评估，指出 Mythos 在模拟的 32 步企业网络攻击中从侦察到完全接管网络全程自主完成，专家级 CTF 得分 73%，此前没有模型在 2025 年 4 月前通过这类挑战。文章强调这一能力并非 Mythos 独有：Aisle 的分析显示，一个 3.6B 参数、每百万 token 成本 0.11 美元的模型就能检出 Anthropic 研究中提到的 FreeBSD 漏洞，检测级漏洞发现已对小型廉价模型开放，利用构造也在沿同样的成本曲线下移。

《2026 年云中 AI 现状报告》的关键要点解读

Wiz Research《2026 年云中 AI 现状报告》基于数十万个真实云环境的数据指出，至少 81% 的云环境在使用托管 AI 服务，90% 运行自托管 AI 软件，其中 68% 的组织通过第三方软件引入自托管模型。至少 80% 组织的开发者已在用 AI IDE 插件，57% 组织部署了自托管 AI 智能体，Model Context Protocol（MCP）服务器出现在 80% 的环境中，带来新的控制平面风险。