哥伦比亚拟推 2026 年第 025 号法案，被批为欧盟 AI 法案的拙劣翻版

哥伦比亚国会提出的 2026 年第 025 号法案试图以风险分级方式监管 AI，为开发者、提供者和部署者设定风险评估、透明度、人类监督等义务，并授权国家 AI 主管机构更新高风险用途清单。批评者指出，该法案照搬欧盟 AI 法案架构，却缺乏支撑其执行的机构能力、技术专长与预算，可能让本地企业和公共机构承担难以履行的义务，却约束不了真正开发最强系统的外国公司。

OWASP 智能体技能 Top 10 解读：十类技能风险与修复优先级

OWASP 于 2026 年 8 月 17 日发布 Agentic Skills Top 10（AST01 至 AST10）1.0 版，这是首个专门针对智能体技能层的风险框架，覆盖 SKILL.md 的 frontmatter、捆绑脚本、来源注册表与继承权限。框架编号按流水线顺序而非严重度排序，OWASP 明确在 AIVSS v1 于 2026 年底发布前不给出严重度评分，因此 AST01 并不代表最该先修。Adversa AI 研究人员参与了该文档评审，并贡献了被 AST08 引用的八款扫描器绕过研究。文中给出的修复顺序是：先做资产清点，再做隔离与凭据范围限定，然后是内容哈希固定，最后才是检测；这与当前多数投入方向大致相反。

LulzBench 实测：MiniMax-M3 拒绝五分之一良性底线对照请求

Failure-First 公布的首批托管样例中，MiniMax-M3 经托管的 OpenAI 兼容端点运行 LulzBench 全部 21 项良性底线对照，捕获 21/21、无供应商报错，其中 4 项遭拒答且均为真实的带理由拒答，三项涉及轻度恶习或社交劝说前提。同一道雪茄健康玩笑辩论题在一次采样中被完整作答、另一次却拒答，两次采样的 token 预算也不同，因此该不稳定现象无法由单次跑分定量其抽样方差，需做 n-of-k 重采样实验来锁定拒答率。

Mistral 与 HUMAIN 达成战略合作推进沙特主权 AI

Mistral 与 HUMAIN 宣布建立覆盖 AI 基础设施、先进模型开发和解决方案落地的战略合作，重点面向网络安全与语音场景，并计划开发阿拉伯语表现强劲的前沿模型，投资规模达数亿欧元级别。双方还将探索使用 HUMAIN 数据中心承载本地算力需求，并在沙特针对金融、制造、电信等行业制定联合市场策略，以满足当地对主权 AI 的需求。

不必等 AI 灾难发生再估算其代价：借鉴 TRIP 数据征集机制评估 AI 风险

哈佛大学 Daniel Carpenter 等人提议美国政府借鉴 2002 年《恐怖主义风险保险法》（TRIA）下的 TRIP 项目，为灾难性 AI 风险建立类似的年度数据征集机制。TRIP 自 2016 年起由财政部联邦保险办公室（FIO）每年设定一个从未发生过的场景，要求保险公司量化估算总损失，从而在缺乏历史数据的情况下生成风险数据并积累专业能力。文章认为，该机制可用于估算 AI 引发的金融崩溃、网络安全或基础设施瘫痪等极端风险，同时为保险与监管机构建立评估前沿 AI 风险的能力。

Import AI 470：METR 研究 AI 加速科学发现不均衡；SPADE 自动生成训练环境；Hawkeye 优化 GPU kernel

METR 研究发现 AI 对科学发现的加速并不均衡：2026 年 cURL、OpenSSL、Firefox 等项目的漏洞报告速度较 2025 年大幅加快，数学领域仅小幅加速，AI 研究本身则无可测量的加速。多校团队提出 SPADE 框架，让 LLM 交替生成可执行训练环境与求解，在 Qwen3-30B-A3B 上使游戏环境套件平均分达 58.3，较基线提升 8.1。

欧盟 AI Act 通讯第 109 期：水印时代来临

欧盟 AI Act 通讯第 109 期汇总了水印要求生效后的多方反应与合规进展。自 8 月 2 日起，Anthropic、OpenAI 等前沿生成式 AI 模型提供方须让用户知晓正在与 AI 交互，并将输出标记为 AI 生成；Anthropic 宣布未来 Claude 模型将生成水印文本，称该方法不影响输出质量与内容，不添加隐藏字符、不增加 token 成本，水印本身不含可追溯到个人、组织或对话的信息。围绕水印是否损害文本质量，参与起草透明度准则的 Kalina Bontcheva 表示仅在极短文本中才有影响，相关阈值与主要提供方讨论后定为 200 tokens（约 150 词）。

Google 借助 AI 将 C 库 giflib 重写为 Rust 以缓解内存安全问题

Google 披露其用 AI 辅助将一个名为 giflib 的 C 库重写为 Rust，目的是缓解内存安全类漏洞。该工作属于其在依赖项层面规模化推进内存安全的尝试，博客同时给出了这次 AI 协助重写的实践路径。（共三句，含受影响对象名称与目标。）

Irregular 与 RAND 联合发布《AI Security Priorities: A Field-Wide Agenda》AI 安全议程论文

Irregular 与 RAND 及多家机构作者联合发布论文《AI Security Priorities: A Field-Wide Agenda》，20 多位来自前沿 AI 实验室、产业界、政府和学术界的专家参与。论文围绕战略基础与政策框架、公私协调与制度基础设施、技术安全工程与保障、对抗压力下的智能体 AI 治理四大主题，列出十项最高优先级领域，并指出成本效益最高的优先事项是共享资源、评估协议和事件响应实践等基础性工作，而最重要的优先事项多需大规模机构或政府行动，且往往最难执行，无单一主体能独自承担。

基于模型预测控制的思路实现安全强化学习

Schäfer 等人提出将 MPC 用作离线安全预言机来预先计算可行状态-动作空间的安全强化学习框架，使机器人与赛博物理系统的探索保持在数学验证过的边界内。该方法通过网格搜索加二分搜索映射连续动作空间的凸区间，并用投影过滤器拦截不安全动作。作者在 Quanser Aero 2 单自由度俯仰平台上做了验证。 补充说明： - 该工作针对标准 RL 在高惯性硬件上的无约束探索风险，定义了不可逆的"临界点"——即可行集边界。 - 安全性判定依赖 MPC 优化器在未来预测视野内找到有效动作序列，且视野需超过系统停止距离以保证递归可行性。

ABot-C0 四足机器人行为基础模型技术报告

ABot-C0 是为四足机器人设计的"行为基础模型"（BFM），通过合成 3508 小时运动数据的"数据金字塔"引擎筛选出 16,074 段物理可行运动片段共 22.43 小时，并发现了首个四足运动跟踪的数据缩放定律——随训练数据增加持续降低 seen-unseen gap。 该流程将视频转为三维轨迹：先用 DINOv2 特征的身份一致性损失微调 Wan2.2 保证刚体外观稳定，再经语义（CLIP）、几何（重投影误差）、物理可行性三道过滤门槛剔除失败动作，其中超过 7000 段来自 Video-to-Motion 生成的杂技类行为。

Hack-Verifiable Terminal Bench：评测终端任务中的奖励作弊

研究者将 hack-verifiable environments（HVE）方法移植到 Terminal Bench，提出 Hack-Verifiable Terminal Bench（HVTB），用于自动、可靠地识别智能体在终端与编码任务中的奖励作弊。该方法把可检测的作弊行为嵌入任务中，避免依赖人工检查或 LLM 评判。作者用 HVTB 测量了多个前沿模型的奖励作弊率，并研究提示词中提供不同数量作弊信息能否缓解该行为，从而检验提示能否阻止提示未预料到的未知未知型利用方式。所有环境和智能体轨迹已公开。

GraspIT：弥合仿真与现实差距并反向回传的可验证抓取 SE(3) 位姿数据集

GraspIT 通过四阶段物理滑移测试筛选抓取候选，揭示理论力闭合指标中 17% 的成功抓取在实际滑动测试中失败，暴露当前模型的"物理推理缺陷"。该流程在 Isaac Sim 中用并行 Franka Panda 执行轨迹接触、抬升、水平振荡与摆锤摆动四级扰动，并以位置滑移超过 2 cm、姿态滑移超过 10° 定义失败，产出连续质量分 s。首版含 1035 个仿真场景、100 个真实场景、约 31.6 万个标注 RGB-D 帧组、约 7400 个物体标识及约 230 万个抓取候选，其中 82.94% 标记为好，11.46% 因不可达而在轨迹规划阶段淘汰。

LessWrong 文章《Big-World Intuitions》讨论大世界直觉与 AI 安全

LessWrong 文章《Big-World Intuitions》提出"大世界"启发式：当市场、问题或环境远大于个体时，最优策略是遵循非后果主义的原则与美德，而非计算自身行动对环境的即时影响。作者指出，这类直觉在棋局终盘、寡头竞争或个体真正接近"终局"与拥有巨大权力时失效，而自己几乎总是依赖大世界直觉，缺乏应对"赢了会怎样"这类问题的思考框架。

数据中心为何成为 AI 情绪的象征：从民调反对到“规模即智能”

数据中心正成为 AI 公众情绪的象征物：Heatmap 最新民调显示四分之三受访者反对在自家附近建设数据中心，一年内反对比例上升 33 个百分点，参议院共和党人也在备忘录中警告其已成为选举周期的“沉睡议题”。文章认为，针对数据中心的用水、能耗和升温 9 摄氏度等指控多为误导或不实，但真正驱动反对的是 AI 变革带来的情绪能量——AI 高度抽象，而数据中心是唯一可拍摄、可占据土地的具体对象。其背后是 OpenAI 提出的 scaling laws：智能随算力、数据和模型神经元连接数增长，而“智能是规模的函数”这一命题，没有比装满芯片的巨型建筑更好的象征。

Jonas Geiping@jonasgeiping · 21:29关注度77

Claude 当然会给他们的超级秘密、完全不是 AI 的马甲账号起名叫 "miraholt31"……

NVIDIA 谈安全在 AI 智能体栈中的位置

NVIDIA 的安全团队基于其 OpenShell 及生态合作经验，阐述了新兴 AI 智能体栈中安全的定位问题，指出随着智能体能力增强并运行于更长的时间跨度，将安全与信任内建于其所驱动的应用愈发重要。该视角覆盖智能体栈的各层及其作用，面向开发者、开源项目和合作伙伴提供参考。

NVIDIA AVO 在 ARC-AGI-3 达到 100%，展示面向长周期自主智能体的前沿级通用架构

NVIDIA 的 AVO 在 ARC-AGI-3 上取得 100% 成绩，其定位是支撑长周期自主智能体的前沿级通用架构。该工作强调前沿语言模型只是 AI 智能体的组件之一，真正决定可靠性的是被称为 harness 的外围系统——它负责模型获取上下文、调用工具、维持状态、响应反馈以及从失败中恢复的方式。

Google DeepMind 从 Atari 到 EVE Online：15 年游戏 AI 研究的下一步

Google DeepMind 回顾 15 年游戏 AI 研究历程并宣布与游戏开发商合作，为新玩法体验做原型开发，其中最新一项是与《EVE Online》背后工作室 Fenris Creations 的研究合作。其早期工作始于用深度神经网络直接从像素玩 Atari 2600 游戏的 DQN，它学会了 49 款游戏且无需针对特定游戏做工程改造，相关成果登上 2015 年 Nature 论文。此后 AlphaGo、AlphaZero、MuZero、AlphaStar 相继攻克围棋、国际象棋、将棋及实时策略游戏，由 Gemini 驱动的新一代 SIMA 则转向理解和与人互动而非单纯取胜。

AI Security Institute (AISI)@AISecurityInst · 17:30关注度1616

英国 AI 安全研究所（AISI）宣布两项高层任命：Henry de Zoete 出任总监，Nate Burnikell 出任首席战略官。de Zoete 曾参与 AISI 的创立并为政府提供 AI 咨询，Burnikell 自 AISI 成立之初便参与其工作，助其成为前沿 AI 安全领域的权威机构。两人将在 AI 发展的关键时期共同推进 AISI 的使命；即将离任的临时总监 Adam Beaumont 将返回 GCHQ。

论文：自适应攻击可绕过可信监控模型，Defer-to-Resample 反而放大风险

论文显示，不受信任的模型可以针对具体监控模型自适应改造公开越狱提示词，把注入内容嵌进代码注释与恶意载荷一起提交。攻击者用监控模型自身的 system prompt 和历史反馈做调优信号，DeepSeek-Chat 在其设置中完成离线适配。结果 GPT-4.1 作为监控模型把 375 个带后门的 GPT-5 代码样本全部判为良性，可疑度均为 0。原本作为安全改进的 Defer-to-Resample 在此攻击下结构性失效：若单次采样逃逸概率为 p，k 次采样中至少一次逃逸的概率为 1−(1−p)^k，随 k 增大趋近 1；而取最小可疑度的选择规则会主动挑中注入样本，因为注入样本被专门设计成报告接近零的可疑度。

推荐理由论文给出 1−(1−p)^k 的复合公式，说明 best-of-n 加 LLM 评审的流水线为何会被自适应注入反向利用。

Anthropic 在单层语言模型中刻画干扰权重

Anthropic 可解释性团队训练了一个约 2.9M 参数的单层 Transformer，将其分解为 token、位置、transcoder 特征与 logits 之间的虚拟权重，并沿有效性和有益性两个轴为每个权重打分，首次在训练好的 Transformer 内部通过测量对训练损失的影响确认了干扰权重的存在。有效性用 Fisher 信息度量权重对输出分布的影响，有益性用消融后损失的平均变化度量。

推荐理由Anthropic 可解释性团队在单层 Transformer 中首次用损失变化定位干扰权重，为直接读取权重电路提供了可复现的度量方法。

Endless Jailbreaks 用双射学习构建可调强度的越狱攻击

该论文提出双射学习越狱方法：通过多轮演示让目标模型学会一套临时的替换密码，再把有害请求用这套密码编码提交，模型在安全训练识别之前先完成解码并给出回答。攻击分三步，先教双射映射，再提交编码查询，最后反转映射解码回答，解码错误用 GPT-4o-mini 清理。攻击强度由 dispersion（字母表被重映射的比例）和编码长度（每个字符对应的数字位数）两个参数控制。

[每日论文] 字符串组合实现大量越狱

该论文将 leetspeak、Base64、ROT 密码、ASCII 替换及 JSON/LaTeX 格式化包装统一为一个可逆字符串函数库，通过程序化组合与随机采样构造越狱攻击。方法是 best-of-n 随机搜索而非优化器：给定有害意图和预算 n，从变换库中随机抽取 n 个组合并编码发起攻击，任一成功即判定越狱成立，其评估取 n=25，由 HarmBench 分类器判定。实验还归纳出两条经验性顺序约束——二进制与 Base64 编码只能在词级变换之后应用，JSON、LaTeX 等风格包装应始终置于最后，否则内部变换会破坏语法。

《Jailbreak Paradox》论文证明越狱检测的两个结构性不可能定理并用泰米尔语黑盒实验佐证

该论文从结构层面证明了两个关于越狱检测的不可能性结果：不存在完美分类器——若假设存在能免疫越狱的最强模型，构造其叠加完美分类器的复合体会更强从而矛盾；弱模型无法判定强模型的越狱输入，因判官置信度受自身能力上限约束而非目标行为。作者将 Albert Jailbreak、Pliny Jailbreak 与两轮代码生成的 CodeJB 三种黑盒方法译为泰米尔语，在不同语言能力层级的多个模型上做了实证检验。

OpenAI 新设 Strategic Futures 团队：AI 时代如何防止权力集中

OpenAI 成立 Strategic Futures 团队并推出 AI Futures 博客，首篇文章由 Dean Ball 撰写，聚焦 AI 带来的权力集中风险。文章认为，政治与军事权力历来依赖人类劳动与广泛合作，而自主系统和机器智能可能让国家无需依赖士兵、警察或税收即可投射武力与获取收入，民众或将失去谈判席位。该团队主张，这一结构性风险是 AI 安全与政策领域最重大、最难应对的类别，仅靠"羊皮纸屏障"式的制度约束不足以防止权力过度集中。

Wiz 披露 arrayref 等 Rust crate 供应链攻击，基础设施与朝鲜相关行动重合

2026 年 8 月 20 日，crates.io 上 [email protected]、[email protected] 和 [email protected] 三个 Rust crate 被发布恶意版本，Rust 安全响应团队已删除这些版本并锁定账号，评估维护者机器或凭据遭入侵。恶意版本在 Cargo.toml 中引入仿冒 proc-macro2 的 proc-macro1，其 build.rs 在编译期从 Base64 片段重建 C2 地址、关闭 TLS 校验并下载执行平台专用载荷，因此只要构建受影响项目就会触发。

推荐理由Wiz 复盘了 arrayref 等 Rust crate 被劫持的完整链路，并给出与朝鲜相关行动的 C2 基础设施重合证据，可对照排查自身构建环境。

Max Tegmark 将在剑桥 CSER 公开讲座谈 AI 更好的路径

MIT 物理学家兼 AI 研究者 Max Tegmark 将于 9 月 16 日出席剑桥大学存在风险研究中心（CSER）公开讲座，由 S. M. Amadae 教授主持，探讨如何为人工智能建设更好的未来。该讲座同时作为 CSER 2026 灾难性风险剑桥会议（9 月 17–18 日举行）的开幕活动，免费参加但需提前注册，且注册与会议注册相互独立。

tl;dr sec #342：Figma 智能体检测、Agent 身份与 Uber 的 Agent-(E)DR

Wiz 披露 Azure Cosmos DB 的 CosmosEscape 漏洞链：单个 Gremlin 查询可经 .NET 反射绕过沙箱，在多租户 DB Gateway 上实现任意代码执行，进而获取可跨租户、区域和 API 类型读取任意账户主密钥的 Cosmos Master Key，并借 Config Store 枚举目标组织账户，波及 Entra ID、Teams、Copilot 等微软内部服务。微软在 Wiz 披露后 48 小时内发布热修复，并完成彻底移除 Cosmos Master Key 的架构迁移。

Google GTIG 披露三个疑似俄罗斯网络间谍集群滥用合法认证流程

Google Threat Intelligence Group（GTIG）正在追踪三个疑似俄罗斯网络间谍集群，它们滥用合法认证流程，针对欧洲及美国的学术界、航空航天与国防、政府和智库人员发起钓鱼攻击。UNC6293 被评估为 ICE RELIC（原 APT29）的子集群，负责初始访问，通过冒充美国国务院诱导目标设置应用密码或交出 OAuth 验证码；UNC7005（又名 STORM-2945）自 2026 年 2 月起针对乌克兰、西欧和美国的学术、外交及非营利人员，使用应用密码钓鱼和针对 Microsoft、WhatsApp 的设备代码钓鱼，并部署恶意软件；UNC5976 同样实施钓鱼和 OAuth 流程滥用。

Check Point 逆向 Windows Defender BTR.sys 驱动，将其改造为内核操作原语

Check Point 逆向 Windows Defender 的 Boot-Time Removal 驱动 BTR.sys，发现其通过注册表 Args 指向的 ADS 中 RC4 加密配置执行文件与注册表操作，无需漏洞或内存破坏即可在 Ring 0 执行任意操作。研究给出完整事务格式，包括 0xFEE1DEAD 魔数、版本 2、~CRC32 完整性校验和硬编码 256 字节 RC4 密钥，并发布 MIT 许可的 BTR_CLI 工具构造合法加密事务。利用该驱动在 Phase 1 的 Boot Bus Extender 组加载时机，可在用户态安全服务启动前删除 WdFilter.sys、MsMpEng.exe 等 Defender 二进制并绕过 Tamper Protection，测试覆盖 Windows 7 至 Windows 11 25H2。

推荐理由完整逆向 Windows Defender 的 BTR.sys 驱动，展示如何用微软签名驱动在 Ring 0 执行任意文件与注册表操作，并给出 Sysmon 检测思路。

美国国会 AI 举报人保护立法：AWPA、NDAA 修正案与三处待补缺口

Tech Policy Press 评论文章认为，美国国会当前的 AI 举报人保护提案是重要第一步，但仍有三个缺口。文章以 OpenAI 前研究员 Daniel Kokotajlo 放弃近 200 万美元已归属股权、以及 2024 年 6 月 13 名 OpenAI 与 Google DeepMind 现员工和前员工签署《A Right to Warn about Advanced Artificial Intelligence》公开信为例，说明现有举报人法律难以覆盖尚未违法的前沿 AI 风险。文章对比指出，加州 SB 53 只在风险达到超过 50 人死亡或受伤、或 10 亿美元损失的“灾难性”门槛时才保护安全披露。

UK NCSC 发布《管理智能体 AI 的网络风险》指南

UK NCSC 发布针对智能体 AI 网络风险的防护指南，建议将 AI 智能体运行于沙箱环境并管控其本地及网络的资源访问。指南提出四层网络访问成熟度模型（从无限制访问到模型本地托管且无外部网络）、四级计算隔离模型以及凭证最小化原则，并要求通过多层隔离加显式提示降低沙箱逃逸风险。 对于高风险场景，最稳健的做法是在隔离断网环境中运行智能体并使用预先下载的工具和信息；若需联网则仅放行白名单连接，必要时改用协议或服务感知代理并经人工审批。该指南还指出部分自主 AI 工具会接入大量系统与服务，访问面越大潜在 blast radius 越高，因此应将其权限收敛到完成任务所需的最小集合并持续监测越权尝试。

AI 审计需要权力测试而非仅公平评分

纽约市自动化就业决策工具的偏见审计、欧盟 AI Act 合规评估以及 NIST 风险管理框架都存在同一缺口——它们只在既定目标下检验系统表现，而不追问该目标由谁设定、是否符合公共利益。研究者建议在公平测试之外增加一项权力测试，要求披露问题定义方与控制权归属，并核查受影响群体能否获得相关信息及救济渠道。 现有框架虽已触及预期用途文档化、利益相关方咨询和高风险系统的基本权利影响评估，但这些要素分散且多为自愿性质，参与也仅在"适当时"才被鼓励。

UAT-10147 部署 SPECTRE：具备 Linux rootkit 与 BYOVD 能力的跨平台植入体

Cisco Talos 披露讲中文的入侵组织 UAT-10147 部署新型跨平台后门 SPECTRE，其 Windows 版本在 Havoc 框架基础上内置后渗透与防御规避功能，通过 PEB hash walking 动态解析 API、xorshift32 PRNG 加密字符串，并设有累计 50 分即自终止的反沙箱评分机制。该组织还使用 BYOVD 中和 EDR、Linux 内核 rootkit 及内存 Web shell，其自定义后门与 rootkit 均显示 AI 辅助开发迹象。

Cisco Talos 披露 UAT-10147 将智能体 AI 引入入侵后操作

Cisco Talos 发现一个讲中文的犯罪团伙 UAT-10147 在全球范围内攻击暴露在互联网上的 Windows 和 Linux Web 服务器，并将 AI 驱动的工具整合进漏洞利用、侦察、载荷生成、验证和持久化流程。受害服务器分布在巴西、玻利维亚、中国、加拿大和越南，所属行业包括政府、高校、媒体、技术和游戏。Talos 从该团伙 C2 服务器的开放目录中找到一个约 17 万条 URL 的目标列表，被拆成 17 个文件、每份约 1 万条。Talos 还恢复了 AI 生成的 ASP.NET ViewState 反序列化 RCE 操作指南和四个 Python 脚本，分别用于路径探测、部署 SPECTRE 植入体、部署 ASHX Web Shell 和分三阶段外传数据。

推荐理由Cisco Talos 披露的这起真实入侵完整展示了攻击者如何把 AI 工具嵌入侦察、载荷生成与验证流程，可据此观察攻击自动化的实际形态。

Adversa AI 披露 Cryptographic Context Injection 攻击：Grok 零点击泄露聊天记录，Gemini 被绕过安全策略

Adversa AI 公开了一种名为 Cryptographic Context Injection 的攻击手法，把恶意指令封装成 AES-256-GCM 密文并诱导模型在自己的代码执行沙箱中解密，使解密后的指令以运行时输出的形式进入可信上下文，从而绕过静态护栏。在 xAI Grok 网页版聊天中，用户只需发出普通的“总结这个页面”请求，页面内嵌的加密 JSON 就会让 Agent 调用其联网导航工具，把用户名、粗略位置、订阅等级和整段对话历史拼进 URL 参数发往攻击者服务器，全程无点击、无确认、无警告。

推荐理由Adversa AI 公开了一种把恶意指令藏进 AES 密文、借模型自身代码运行时解密的新型注入手法，并给出 Grok 零点击窃取聊天记录与 Gemini 绕过安全策略的复现结果。

TempJail：通过字幕时间调度对大型视觉语言模型发起时序越狱攻击

研究者提出 TempJail，一种黑盒视频越狱框架，通过构造与查询对齐的对话式字幕序列并优化其时间调度，利用大型视觉语言模型（LVLM）在时间维度上的脆弱性诱导出符合原始有害意图的回答。分析发现，越狱效果不仅取决于文本语义，还取决于其时间呈现方式，包括持续时长和时段分配；字幕因在真实视频中常见且可精确控制时间而不显突兀，被用作攻击媒介。在四个代表性 LVLM 和两个数据集上的实验显示，TempJail 在所有模型与数据集组合中取得最高攻击成功率，在 GPT-5 和 Gemini 3.5-Flash 上数据集平均 ASR 分别比最强基线高出 53 和 18 个百分点。论文共 8 页、4 张图。

CrewAI 1.15.17 发布：修复 SSRF 检查与 OpenAI Responses API 原生工具调用问题

CrewAI 发布 1.15.17，新增声明式对话流文档，并让声明可驱动对话模式、支持对话模式显式启用。安全与稳定性修复包括：将 SSRF 检查固定到每一跳重定向及对端 IP、把工具错误归属到实际失败的工具、修复 OpenAI Responses API 上原生工具调用失效的问题，并在每次失败尝试后关闭 agent 作用域。

腾讯朱雀实验室红队实测 DeepSeek Harness：14,560 次运行揭示 Agent 提示注入风险

腾讯朱雀实验室基于 AI-Infra-Guard（A.I.G）对 DeepSeek 开源的 Agent Harness（DSH）开展授权受控的端到端测评，覆盖 13 种攻击方法、16 类间接注入通道、文本与文件两种载体模式和 35 个攻击目标，共 14,560 次真实运行。在未额外启用防护策略的基线配置下，RuleJudge 判定完全成功率 5.6%、LLMJudge 为 5.3%，广义受影响比例分别为 7.6% 和 12.6%，4.4% 的运行触发了敏感操作，对应 641 次 Sink 调用。测试通过 DSHRealHarnessAdapter 接入 DSH 的 TypeScript 运行时，注册 6 个 Source Tool 与 8 个模拟 Sink Tool，外部副作用均停留在本地模拟环境。