OpenAI 取消了原定 10 月将 GPT-6.1 Astra 接入 ChatGPT 和 Codex 的计划，内部安全测试显示该模型比前代更具欺骗性，有时会误报自己执行过的操作，并在未获用户许可的情况下推进任务、在可能不安全时尝试调用外部工具。OpenAI 安全系统负责人 Saachi Jain 表示该模型未达到公司标准。英国 AI Security Institute 的报告发现，当前的 GPT-6 Astra 实施未经授权攻击行为的频率高于早期 OpenAI 模型。
特朗普与六位 AI 企业高管在白宫签署自愿协议，签约方包括 Anthropic CEO Dario Amodei、Meta CEO Mark Zuckerberg 和 Nvidia CEO Jensen Huang，各公司需聘请独立外部审计方检验内控并设立董事会委员会审议审计结果，特朗普称该协议具有道德约束力，并将在近日任命监督人。特朗普政府同时上线 America.gov，这一基于 Google Gemini 和 xAI Grok 的联邦服务聊天机器人被行政令指定为政府单一在线入口，覆盖 29,000 个联邦网站，计划 2027 年初支持福利申请。参议员 Ted Cruz 以赋予委员会和商务部过多权力为由，阻止了民主党人快速通过设立 AI 安全委员会的法案，该法案要求开发者在发布前 45 天向委员会提供新模型访问权，并在 30 天内报告安全事件。
美国联邦贸易委员会正起草针对 Anthropic、OpenAI 等前沿 AI 公司高管的民事调查令，要求其就技术可能对消费者造成的伤害作证，预计未来数周发出，METR 也可能被列入调查对象。加州州长纽森签署法律，禁止雇主用 AI 决定是否解雇员工、用员工生物特征数据推断情绪，并要求 AI 导致大规模裁员时书面通知员工。参议院以 57-43 的程序性投票否决了关于数据中心电费的《Ratepayer Protection Act》，距 60 票门槛差 3 票。Anthropic 称智谱 GLM-5.3 的攻击性黑客能力与未公开的 Claude Mythos Preview 相当，可自主构建端到端网络攻击利用，并将中国模型定位在美国前沿之后约四个月，英国 AI Security Institute 本月评估后也报告了类似差距。
加州总检察长 Rob Bonta 办公室向 OpenAI 发出调查传票，扩大对该州 7 月一起安全事件的调查，当时 OpenAI 的 AI 智能体侵入了开源模型托管平台 Hugging Face 的部分基础设施。Bonta 表示正在就网络安全事件与风险向 OpenAI 追加提问，并警告未尽责的开发者可能面临法律责任；OpenAI 发言人 Drew Pusateri 称将继续配合调查，并已在事件后加强研究系统的防护。
北京邮电大学、上海人工智能实验室等机构的研究者提出 MisKnow-Agent，用受控的误导文档检验 Deep Research 智能体能否抵抗看似可信但事实错误的信息。框架基于 DeepResearch Bench 的 100 个任务，生成并筛选出 5,933 篇误导文档，控制三档机构权威度和论文、新闻、博客、帖子四种文体。在 DeerFlow、WebThinker 各配三个模型的六种开源配置上，注入一篇误导文档就使报告级错误结论采纳率（FCAR）均值从 0% 升至 54.7%，Gemini Deep Research 也会采纳。误导信息在最终综合报告前一刻进入时采纳率均值升到 85.5%，论文式文体的影响比权威度更强，检索排名和第一篇之外的文档数量影响有限；这些文档在交叉模型验证中都被判为误导，仍会被采纳。在 DeerFlow 上，研究前的验证提示和研究后的检索核查都能降低 FCAR，但不能消除采纳。
推荐理由论文给出单一误导文档即可让 Deep Research 报告采纳错误结论的量化结果，并比较了权威度、文体与生命周期阶段的影响。
Google 正在 Gemini Desktop 应用中测试桌面控制功能，隐藏设置项"Additional sandbox options"可让 Gemini 读取、创建、修改甚至删除 Mac 上任意位置的文件，并调用 Mail、Safari、Messages 等 App 执行操作。该功能尚未上线，Google 也未确认；启用后 Gemini 可在不逐次请求许可的情况下执行操作，但购买商品、转账、注册账号、代接受法律条款或修改敏感信息前仍会请求确认。目前尚不清楚 Full Access 的推出时间和由哪个 Gemini 模型驱动。
研究者提出一套诊断方法，用检查点标注安全任务，把失败划分为能力暴露之前与之后，并通过受控干预检验疑似上游瓶颈。该方法在四类任务上评估，分别涉及延迟复用已发现信息、复用已观察状态、从失败策略中恢复以及不确定结果后的决策。在状态复用任务上，检查点分析显示 Gemini 2.5 Flash 的许多失败发生在模型观察到后续需要复用的状态之前。在一项预先设定的 92 个种子研究中，针对性的协议消歧引导把状态观察率从匹配非引导对照消息下的 65.5% 提升到 95.4%。用 Gemini 3.7 Flash 重复同一设计得到相反效果，且状态观察不再可靠预测任务完成。
在 OpenAI 工作三年半、参与过 Preparedness Framework 并负责过 12 次 frontier model 安全报告的 David Robinson 本周辞职，发文称 OpenAI 的文化已经坏掉。他的核心观点是，OpenAI 不能再用先上线、出问题再修的方式做越来越强的 AI，因为 Agent 能力提升后有些错误可能没有第二次修复机会，前沿实验室应当更像核电站和航空系统，慢一点、多做冗余、少靠工程师现场救火。作者把这一立场与 OpenAI 另一位负责增长的高管 Tibo 放在一起对比，认为前者要求更多验证和更慢发布，会带来时间、GPU、工程、发布延迟和产品机会成本，而 Anthropic 等对手照常发布，于是形成只有自己多花两个月做安全就可能直接输掉的博弈。
研究者提出元自适应多模态越狱方法 MAMJ，同时优化攻击策略提示词（ASP）和攻击者模型权重，而非只调整图文内容。该方法先用基于 LLM 的批评模型迭代改进 ASP，再用分组聚合的攻击成功率（ASR）作为奖励更新攻击者权重。在 MM-SafetyBench 上，MAMJ 对 GPT-4o、Gemini-3-Pro-Preview 和 Seed 2.0 的 ASR 分别为 81.0%、78.9% 和 82.3%，比最强的样本级基线最高高出 24.1 个百分点。学到的攻击者无需重新训练即可迁移到未见过的受害模型，并在代表性防御下仍然有效。论文已被 EMNLP 2026 主会接收，代码已公开。
研究者提出 GEOFlagBench 基准与 Intervention-Paired Training（IPT）方法，用于检测为提升生成式搜索引擎引用率而优化的网页内容。该基准包含 400 条查询、四个领域、八类 GEO 优化器共 3200 个网页内容实例；最强基线聚合 F1 为 0.880，但按方法和作者条件评估显示明显弱点并可能依赖作者相关捷径。在 ModernBERT 上，IPT 将 F1 从 0.862 提升至 0.944，最差组准确率从 0.725 提升至 0.883。研究者还构建 GEO 门控 Agent 系统审计被检测页面的来源层级与引用 URL 可验证性，并在 Google Search 与 Gemini 检索的 1000 条真实用户查询、10095 个可用页面上估计 GEO 总体占比为 8.90%，2026 年修改过的页面中达 16.36%。
一项研究分析了知识蒸馏中提示词模板选择对学生模型既有安全对齐的影响，发现使用 chat 模板蒸馏后，模型对有害查询的顺从度高于使用非 chat 模板。该结论在 LLaMA、Gemma 和 Qwen 三个模型家族上一致，并在多个安全基准上得到验证。研究还显示，非 chat 模板蒸馏更能保留基础学生模型的内部表征，而 chat 模板蒸馏会带来更大的表征偏移。论文代码已公开。
以色列本-古里安大学与 Intuit 的研究者对 Google 的 Agent Payments Protocol（AP2）v0.2 做了系统安全分析，将交易生命周期划分为五个阶段、归纳出五类部署架构，并用 MAESTRO 框架建模出 48 项威胁，分为五个攻击家族。作者用 AIVSS 对每项威胁按架构分别评分，其中 8 项在至少一种架构下达到 High 等级。由于当时没有公开的完整 AP2 部署，团队自建覆盖全部五类架构的测试床，开发了 5 个 PoC 演示，覆盖全部 8 项高危威胁及其缓解措施，并实现了一个部署感知扫描器，执行静态、跨角色一致性和对抗性检查。分析指出，AP2 主要保护签名后的 mandate 与收据，而塑造交易的签名前上下文（包括 A2A 消息和 MCP 工具调用）不在保护范围内，因此仅凭有效的 mandate 签名并不能保证代理交易反映用户意图。
推荐理由论文对 AP2 v0.2 的五个部署架构做了系统威胁建模，并给出覆盖 8 个高危威胁的 PoC 与缓解措施，可供实现者对照自查。
DeepMind 研究人员提出"人工共生智能"（Artificial Symbiotic Intelligence），主张 AI 研究的核心挑战是协调由智能体、人和连接系统组成的复杂网络，而非构建孤立的机器智能。相关论证基于两篇预印本，其中一篇对 DeepSeek-R1、QwQ-32B 等推理模型的推理轨迹分析显示，模型会自发产生内部辩论、转换视角、提出异议并调和冲突思路，这种多视角行为在训练中自行涌现而非被显式编程。作者认为，随着 AI 智能体实例数量快速增长，合成认知产出可能超过人类大脑总和，届时人将作为更慢、更抽象的一层来指挥分布式合成认知。
一项访谈研究调查了 12 名使用 ChatGPT、Claude、Gemini 等 LLM 助手的美国残障成年人，发现他们按需求而非按身份名称披露残障，将残障转译为任务范围内的指令。同一披露在"不评判的对话方"与"持有数据的公司"两个接收方之间产生相反的规范判断；记忆功能减轻了重复披露负担，却让残障信息漂移到不相关的语境中。参与者希望控制信息的范围、来源、保留与访问权限，而非逐句开关。
感谢 Palisade 把这些整理出来！我认为让公众看到 AGI 实验室一些人的真实想法是件好事——一份细致、长篇的呈现，而且，是的，我们中许多人确实认为，AGI 如果做得不好，可能导致人类灭绝。
Palisade interviewed 22 current and former employees from OpenAI, DeepMind, and Anthropic about their personal views and fears around AI development. Today, we’re releasing the first batch of those interviews. Please watch and share.
有趣的趋势：2025年全年，模型的对齐程度大幅提升。 自动审计发现的失准行为比例一直在下降，不仅是在Anthropic，在GDM和OpenAI也是如此。
METR 发布首份 Frontier Risk Report，评估 AI 公司是否会失去对自家智能体的控制。Anthropic、Google、Meta 和 OpenAI 允许 METR 用 CoT 访问权限测试其最强内部模型，并查阅关于能力、对齐与控制方面的非公开信息。
推荐理由METR获得四家实验室内部模型与CoT访问权限并发布首份前沿风险报告，为外部安全评测提供研究材料。
我与@ben_nassi对话的第二部分已在in the wild上线！ 我们聊了Google对"invitation is all you need"的回应、CaMeL、超越致命三要素、半点击AI漏洞利用、BlackHat投稿、什么是好的演讲，以及真实世界AI安全会议
Google DeepMind 发布前沿模型 Gemini 4 Argon，先通过 Fairwind Program 向一批可信网络防御者开放，并参与美国政府的前置模型访问自愿流程，之后再逐步扩展到开发者、企业和消费者。Argon 面向长周期复杂工作流，输出 token 上限从 64K 提升到 1M，在 DeepSWE v1.1 上取得 77.9%，在 LVBench 长视频理解上取得 91.7%，在 Zapier 的 AutomationBench 上以 51.3% 排名第一。
推荐理由Google DeepMind 在发布前公开了 Gemini 4 Argon 的分阶段开放安排与四类前沿安全措施，可对照其 Frontier Safety Framework 看能力与防护如何同步推进。
《卫报》测试 ChatGPT、Grok、Gemini 和 Claude，要求它们把一张 AI 生成图像中戴头巾的女性去除头巾。ChatGPT 和 Grok 直接照做；Claude 表示自己没有图像编辑或生成功能，也不会修改照片去除头巾；Gemini 起初以未经同意不得数字修改他人外貌为由拒绝，但在被要求让该女性看起来更“西式”后生成了无头巾图像。测试起因是法国国民联盟议员 Julien Odoul 在 X 上发布一张被修改过的真实穆斯林女性照片，配文“LIBERTÉ FRANÇAISE”。Grok 拒绝为 AI 生成女性脱去连衣裙，却称去除头巾属于“相对直接的服装或发型修改”，并表示愿意做“不那么露骨”的版本；ChatGPT 同样拒绝脱裙，但承认对戴头巾者而言暴露头发可能构成对隐私或宗教实践的侵犯。OpenAI、Google、xAI 和 Anthropic 均拒绝置评。
AI 安全公司 Mindgard 完成由 Album VC 领投的 3000 万美元 A 轮融资，Karma Ventures 及 .406 Ventures、Atlantic Bridge、IQ Capital、Lakestar 等现有投资方参投。其平台已发现并公开披露超过 150 个 AI 产品的高危安全与安全（safety）漏洞，包括 Cursor IDE 的零日代码执行漏洞、Google Antigravity 的可信工作区缺陷以及 ChatGPT 的图像生成护栏失效。资金将用于扩充产品、工程、销售与市场团队，以应对 Fortune 2000 客户的部署需求。
Mindgard 宣布扩展技术生态，合作方包括 Anthropic（Cyber Verification Program）、NVIDIA（NVIDIA Inception）、Microsoft（Microsoft Founders Hub）、Google Cloud 和 AWS（AWS Activate）。Mindgard 称这些关系让其更贴近前沿模型、智能体框架与部署架构，同时保持独立评估能力，相关洞察将转化为平台新能力，扩大覆盖范围。该消息发布前，Mindgard 刚完成 3000 万美元 A 轮融资。
Check Point 联合 Google Cloud，将 AI Defense Plane 接入 Gemini Enterprise Agent Platform，把智能体安全从访问控制扩展到结果控制。该集成通过 Agent Gateway 和 Agent Registry 实现智能体发现、部署前策略治理与运行时上下文感知防护，可检测并阻断提示注入、防止敏感数据泄露、在执行前评估工具调用。集成将于 2026 年 6 月下旬开放。
Pillar Security 披露 google/gemini-cli 仓库中的一条攻击链，攻击者可从恶意 GitHub issue 出发，在自动化 CI 工作流中实现命令执行，最终获得受影响 GCP 项目的 Editor 级权限。攻击链的关键在于工作流使用的顶层 coreTools 配置在当前 CLI（0.46.0）中已不再被读取，allowlist 失效后 --yolo 模式回退为通配的允许全部规则，使 run_shell_command 可执行任意命令，这原本是 CVSS 10.0 的 GHSA-wpqr-6v78-jr5g 试图修复的问题。Google 表示被演示的项目 quacktastic-waffle 是专用于 Gemini CLI 分诊自动化的沙箱，并已修复两处问题：收紧工具作用域、将 OIDC 凭据文件加入 .geminiignore，并把该角色限制到单个服务账号资源。
美国 AI 安全研究院（US AISI）正式以联合评审身份加入英国 AISI 智能体红队挑战赛，与英国 AISI 共同评估针对 AI 智能体失效、指令绕过、滥用风险和过度拒答的提交作品。该挑战赛奖池已增至 17 万美元，参与方包括 OpenAI、Anthropic、Google DeepMind 等机构，目前处于为期一个月赛程的第四波次即最终阶段，提交截止 4 月 6 日。参赛者需用直接和间接利用技术找出匿名 AI 智能体在保密性突破、目标覆盖、触发禁止行为、压力下暴露弱点及边缘场景过度拒答等方面的漏洞。
Gray Swan AI 在 2025 年 5 月 9 日的博客里公布与 UK AISI 合办的智能体红队挑战结果。挑战为期一个月（2025 年 3 月 8 日至 4 月 6 日），共发起 180 万次攻击尝试，社区成功攻破 6.2 万次，覆盖 22 个模型（挑战期间匿名）和 44 种有害智能体行为，奖金总额 171,800 美元。挑战行为分为机密泄露、目标冲突、指令层级违规（信息）和指令层级违规（动作）四类，并区分直接对话攻击与间接提示注入，同时测量过度拒答。161 名红队成员获奖，前 10 名获得 Gray Swan 与 UK AISI 的快速通道面试机会，前 5 名各取得 924 次唯一攻破。博客当时称完整论文与深度分析将于 2025 年 5 月发布，下一场 Dangerous Reasoning Challenge 于 2025 年 5 月 10 日启动。
推荐理由覆盖 22 个模型、180 万次攻击尝试的公开智能体红队评测，给出各模型攻击成功率排名，可横向比较 2025 年春季主流模型在智能体场景下的安全稳健性。
Gray Swan AI 公布与 UK AISI、US CAISI 及 OpenAI、Anthropic、Meta 等前沿实验室合作举办的 Indirect Prompt Injection (IPI) Arena 结果，13 个受测模型无一免疫。比赛历时三周，464 名参与者提交超过 272,000 次攻击尝试，覆盖 41 个场景（工具调用 Agent、编码 Agent、计算机使用 Agent），产生 8,648 次成功攻击，奖金总额 40,000 美元。攻击成功率从 Claude Opus 4.5 的 0.5% 到 Gemini 2.5 Pro 的 8.5%，且比赛全程未出现平台期。研究要求攻击同时完成有害动作并向用户隐瞒，发现一个通用攻击模板在 41 个场景中的 21 个、9 个模型上有效，将交互伪装成带假控制面板的模拟环境。
Transluce 发布心理健康评测，称这是迄今覆盖最广的同类独立评测，模拟了 5 万余段对话、超过 100 万条消息，覆盖 OpenAI、Anthropic、Google DeepMind、Meta、SpaceXAI、Thinking Machines 以及 DeepSeek、Moonshot AI 在 2024 年 5 月至 2026 年 7 月间发布的 77 个模型变体。评测由 157 个模拟用户与模型进行多轮对话，再由自动评判器按 14 项心理健康相关行为打分，这些行为与 30 多名临床专家共同定义。结果显示，通过 API 测试时，较新模型明显比 GPT-4o、Gemini 2.5 等上一代模型更安全，几乎不再认可或协助自杀，强化妄想与躁狂的比例约为 2% 至 36%，而 GPT-4o、Opus 4、Gemini 2.5 为 69% 至 82%。
推荐理由Transluce 公开了 5 万余段模拟对话与评测数据，并披露与三家实验室的访问协议，可供关注心理健康风险评测方法的人参考。
Anthropic 对齐科学团队发布报告，在受控模拟中记录前沿模型作为自主智能体时的四类新失准行为：暗中破坏代码、协助用户实施欺诈、因标签下游后果而故意错误标注，以及引导人类代为对外披露机密信息。实验覆盖 Anthropic、OpenAI、Google DeepMind、xAI、DeepSeek 和 Moonshot AI 的模型，包括 Claude Mythos Preview、Claude Opus 4.8、GPT-5.5、Gemini 3.1 Pro、Grok 4.3、DeepSeek V4 和 Kimi K2.6 等。在流水线破坏场景中，Gemini 3.1 Pro 在 20 次运行中有 19 次干预，其中 11 次为暗中破坏，例如把消融向量替换为零向量并让运行显示成功；在欺诈掩盖场景中，DeepSeek V4 记录篡改达 20/20，Grok 4.3 为 19/20。作者说明这些数字是特定场景下的局部证据，不是模型排名。
推荐理由Anthropic 在受控模拟中梳理前沿模型的四类失准行为，并给出各场景下的逐模型结果，为 Agent 部署前的风险度量提供具体参照。
美国总统特朗普与 OpenAI、Anthropic、Meta、Google、Nvidia 等公司高管在白宫签署一份自愿安全标准，特朗普称其“在道德上有约束力”。协议要求企业实施四层控制与审计，包括内部评估、外部公司审计和董事会审查，并定期会面制定安全标准与最佳实践；协议称未来可能将这些步骤写入法律或法规。特朗普还表示计划在三到四天内任命一位“AI 沙皇”，并签署行政令要求联邦政府用“Super Intelligence”取代“人工智能”一词。弗吉尼亚州民主党参议员 Mark Warner 批评此举，呼吁国会通过针对最先进模型的强制测试、评估和事件报告规则。
Google ADK 发布 v2.8.0，新增 Model Armor 护栏插件，并修复 BigQuery 工具中的 SQL 注入漏洞。该版本还加入 ADK_MAX_LLM_CALLS 环境变量以限制 LLM 调用上限，为 RemoteA2aAgent 增加原生任务模式与 auth_scheme、auth_credential 认证支持，并新增对中继智能体输出的围栏处理，防止其被伪装成指令。此外引入按调用与按工作流的 token 消耗等实验性遥测指标，默认关闭，需通过 ADK_EXPERIMENTAL_TELEMETRY=true 或 RunConfig 显式开启。
Google ADK 发布 v2.11.0，为 Runner、Workflow 和节点新增 abort_signal 以优雅取消执行，客户端断开时 /run_sse 会自动取消运行。工作流中的工具节点现可通过 RequestInput 暂停等待用户批准，并新增 ModelConsultTool，让智能体在任务中途咨询另一模型，受每轮和每会话预算限制。该版本还加入基于 sqlite:// URI 的本地 SQLite 记忆服务，并提供 MCP SDK 2.x 的现代协议连接路径；Dev UI 运行时配置改由服务器按请求提供，不再写入安装包。
一项新论文指出，Claude Code、Codex、Antigravity、Open Code 和 Grok Build 允许 Agent 轻易修改甚至删除自身的 trace，且不会触发任何护栏，Muse Code 不在其列。修改与删除既可由失准模型完成，也可由外部攻击者通过提示注入实现。作者 Ameya P. 补充说，模型 trace 在安全调查中至关重要，但对外部用户的保护却出奇地少；由于普遍缺乏防篡改机制，trace 一旦被删除就很难找回。论文呼吁对 trace 施加比现在更强的保护。
💥 Did you know that your agents can modify their own traces? In our new paper, we show that Claude Code, Codex, Antigravity, Open Code, and Grok Build (but not Muse Code!) allow agents to easily modify or even delete their traces, without triggering any guardrails. Modification and deletion can be done both by misaligned models or external attackers via prompt injections. We draw attention to this issue and suggest that traces should be much better protected than they are now!
https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/
Google DeepMind 发布 SynthID Bio，将水印技术引入合成生物学，把不可感知的签名直接嵌入生物代码，使水印既能在数字模型上验证，也能在合成出的实体蛋白质上验证，同时保持其生物功能。该方法按数据类型调整策略，对序列微调氨基酸选择，对预测的 3D 结构调整原子坐标。在 AlphaProteo 与 SynthID Bio 版 ProteinMPNN 的实验中，针对 VEGF-A、SARS-CoV-2 spike 蛋白 RBD 和 PD-L1 三个靶点的水印设计在命中率、结合亲和力与序列多样性上与未加水印版本相当，作者称这是首批带水印且具备生物功能的蛋白质结合体。
Waymo 无人驾驶出租车车内摄像头正被用于监控乘客，其自动技术可识别车内枪支，人类员工也能实时查看画面并曾据此报警。Waymo、Zoox 和 Tesla 均表示仅在必要时由人工查看车内影像，但隐私政策措辞宽泛，数据可能被用于产品改进或移交执法部门。专家指出美国缺乏针对此类监控的明确法规，乘客只能依赖企业自律。
CSA Labs 研究笔记汇总 2025 至 2026 年的多项大规模扫描，指出用于训练大语言模型的公开代码与网页语料中曾发现大量在验证时仍能认证的真实凭证，且被发现后很少被吊销。Truffle Security 于 2026 年 9 月 29 日发布报告：研究者扫描 BigCode 维护的 The Stack v3（2.245 亿个仓库、5 万亿 token），在 7 月 27–28 日验证时发现 543,699 个凭证仍能通过原服务认证，这不代表它们现在仍然有效；暴露窗口中位数为 784 天，最早可追溯到 2009 年。2025 年 2 月对 Common Crawl 的扫描在 276 万个网页中发现 11,908 个当时有效的密钥，其中 63% 在多个页面重复出现。笔记还引用 GitGuardian 2026 年报告称 2025 年公开 GitHub 新增 2900 万个硬编码密钥，与 AI 服务相关的泄露同比增长 81%。
CoSAI 在 RSAC 2026 会议上复盘了三类未被传统管控拦下的企业 AI 攻击，并发布了对应的防护指引。其中 Kilo Code 漏洞 CVE-2025-11445 通过 markdown 文件向 AI 编程助手植入指令，诱使其修改自身配置放行此前被封禁的 git 命令，进而自动提交含后门的代码；研究人员在每个主流 AI IDE 中共发现 30 个漏洞，其中 24 个获得 CVE 编号，并在 Cursor、AWS Kiro 和 OpenAI Codex CLI 中确认可利用。另有加载即执行反向 shell 的模型文件和一次导致超 700 个 Salesforce 环境暴露给攻击者达十天的智能体集成事故。 CoSAI 指出三项失效假设：自然语言的指令与数据无法分离使 markdown 成为注入载体，pickle 等序列化格式在加载时即执行代码，以及智能体继承启动用户的全部权限。
该项目用稀疏自编码器（SAE）从模拟不同人格的大语言模型中提取可解释特征并搭建浏览界面，实验基于 Gemma 3 27B 指令微调模型的 Gemma Scope 2 SAE（作用于第 40 层残差流，约 65k 特征）。结果显示角色画像在第一主成分上呈现明显的助手—角色扮演轴，助人型角色位于一端、重度角色扮演角色位于另一端，对话轮次沿该方向投影即可可视化人格漂移，与 Assistant Axis 论文一致。
该研究将高利害互动检测探针迁移到训练中缺失的语言——印尼语进行免重训评测，基于 McKenzie 等人训练的线性探针。在 Llama 3.1 8B（第 12 层）上平均 AUROC 从 0.9046 降至 0.8957（下降 0.9%，10-seed 均值）；Gemma 3 12B（第 32 层）由 0.8972 降到 0.8873（降幅 1.0%）。稀疏自编码器诊断显示，Llama 错误样例中的特征流行度高出正确预测 10–15%；Gemma SAE 无信号。