UK NCSC 发布针对智能体 AI 网络风险的防护指南，建议将 AI 智能体运行于沙箱环境并管控其本地及网络的资源访问。指南提出四层网络访问成熟度模型（从无限制访问到模型本地托管且无外部网络）、四级计算隔离模型以及凭证最小化原则，并要求通过多层隔离加显式提示降低沙箱逃逸风险。 对于高风险场景，最稳健的做法是在隔离断网环境中运行智能体并使用预先下载的工具和信息；若需联网则仅放行白名单连接，必要时改用协议或服务感知代理并经人工审批。该指南还指出部分自主 AI 工具会接入大量系统与服务，访问面越大潜在 blast radius 越高，因此应将其权限收敛到完成任务所需的最小集合并持续监测越权尝试。
纽约市自动化就业决策工具的偏见审计、欧盟 AI Act 合规评估以及 NIST 风险管理框架都存在同一缺口——它们只在既定目标下检验系统表现，而不追问该目标由谁设定、是否符合公共利益。研究者建议在公平测试之外增加一项权力测试，要求披露问题定义方与控制权归属，并核查受影响群体能否获得相关信息及救济渠道。 现有框架虽已触及预期用途文档化、利益相关方咨询和高风险系统的基本权利影响评估，但这些要素分散且多为自愿性质，参与也仅在"适当时"才被鼓励。
Cisco Talos 披露讲中文的入侵组织 UAT-10147 部署新型跨平台后门 SPECTRE，其 Windows 版本在 Havoc 框架基础上内置后渗透与防御规避功能，通过 PEB hash walking 动态解析 API、xorshift32 PRNG 加密字符串，并设有累计 50 分即自终止的反沙箱评分机制。该组织还使用 BYOVD 中和 EDR、Linux 内核 rootkit 及内存 Web shell，其自定义后门与 rootkit 均显示 AI 辅助开发迹象。
Cisco Talos 发现一个讲中文的犯罪团伙 UAT-10147 在全球范围内攻击暴露在互联网上的 Windows 和 Linux Web 服务器，并将 AI 驱动的工具整合进漏洞利用、侦察、载荷生成、验证和持久化流程。受害服务器分布在巴西、玻利维亚、中国、加拿大和越南，所属行业包括政府、高校、媒体、技术和游戏。Talos 从该团伙 C2 服务器的开放目录中找到一个约 17 万条 URL 的目标列表，被拆成 17 个文件、每份约 1 万条。Talos 还恢复了 AI 生成的 ASP.NET ViewState 反序列化 RCE 操作指南和四个 Python 脚本，分别用于路径探测、部署 SPECTRE 植入体、部署 ASHX Web Shell 和分三阶段外传数据。
推荐理由Cisco Talos 披露的这起真实入侵完整展示了攻击者如何把 AI 工具嵌入侦察、载荷生成与验证流程，可据此观察攻击自动化的实际形态。
Adversa AI 公开了一种名为 Cryptographic Context Injection 的攻击手法，把恶意指令封装成 AES-256-GCM 密文并诱导模型在自己的代码执行沙箱中解密，使解密后的指令以运行时输出的形式进入可信上下文，从而绕过静态护栏。在 xAI Grok 网页版聊天中，用户只需发出普通的“总结这个页面”请求，页面内嵌的加密 JSON 就会让 Agent 调用其联网导航工具，把用户名、粗略位置、订阅等级和整段对话历史拼进 URL 参数发往攻击者服务器，全程无点击、无确认、无警告。
推荐理由Adversa AI 公开了一种把恶意指令藏进 AES 密文、借模型自身代码运行时解密的新型注入手法，并给出 Grok 零点击窃取聊天记录与 Gemini 绕过安全策略的复现结果。
研究者提出 TempJail，一种黑盒视频越狱框架，通过构造与查询对齐的对话式字幕序列并优化其时间调度，利用大型视觉语言模型（LVLM）在时间维度上的脆弱性诱导出符合原始有害意图的回答。分析发现，越狱效果不仅取决于文本语义，还取决于其时间呈现方式，包括持续时长和时段分配；字幕因在真实视频中常见且可精确控制时间而不显突兀，被用作攻击媒介。在四个代表性 LVLM 和两个数据集上的实验显示，TempJail 在所有模型与数据集组合中取得最高攻击成功率，在 GPT-5 和 Gemini 3.5-Flash 上数据集平均 ASR 分别比最强基线高出 53 和 18 个百分点。论文共 8 页、4 张图。
CrewAI 发布 1.15.17，新增声明式对话流文档，并让声明可驱动对话模式、支持对话模式显式启用。安全与稳定性修复包括：将 SSRF 检查固定到每一跳重定向及对端 IP、把工具错误归属到实际失败的工具、修复 OpenAI Responses API 上原生工具调用失效的问题，并在每次失败尝试后关闭 agent 作用域。
腾讯朱雀实验室基于 AI-Infra-Guard（A.I.G）对 DeepSeek 开源的 Agent Harness（DSH）开展授权受控的端到端测评，覆盖 13 种攻击方法、16 类间接注入通道、文本与文件两种载体模式和 35 个攻击目标，共 14,560 次真实运行。在未额外启用防护策略的基线配置下，RuleJudge 判定完全成功率 5.6%、LLMJudge 为 5.3%，广义受影响比例分别为 7.6% 和 12.6%，4.4% 的运行触发了敏感操作，对应 641 次 Sink 调用。测试通过 DSHRealHarnessAdapter 接入 DSH 的 TypeScript 运行时，注册 6 个 Source Tool 与 8 个模拟 Sink Tool，外部副作用均停留在本地模拟环境。
Datadog Security Research 在隔离环境中执行了 N4D Mesh Controller 恶意软件的新样本，确认其通过暴露的 MCP 服务器实现凭据窃取、横向移动与持久化。该活动最早由研究者 German Fernandez 于 2026 年 6 月记录，新样本连接 209.99.186.235 并获取自称 33.8-go-titan 的第二阶段代理。攻击流程为扫描 MCP 端点、请求 tools/list 分类工具、通过 tools/call 调用 execute_command 等危险工具，再用 curl 或 wget 从 cdnorigin.net 等地址下载架构对应的代理。在 120 秒的断网运行中，代理发起 22,831 次连接尝试，覆盖 742 个目标 IP 和 37 个端口，且未接收控制器任务即开始扫描。
推荐理由Datadog 在隔离环境中复现了 N4D 恶意软件对 MCP 服务器的自动化利用链，并给出可落地的检测规则与狩猎思路。
Deng 等人提出 HoloCount——一个针对多模态大语言模型的整体视觉计数基准，覆盖 1481 个独特视觉概念，并按语义计数、解析计数、鲁棒性测试三层分类诊断数值幻觉。高密度场景下性能崩塌明显：宏平均超 75% 的 Qwen3.5-27B 准确率跌至 20%，Gemini-3.1-Pro-Preview 仅 49.0%（MAE 10.46）。空目标提示子集中还出现反向悖论，轻量模型优于大型专有引擎，反映其不愿输出计数为零的过度自信倾向。
Foundation AI 发布 Antares 系列开放权重模型（350M、1B、3B），专用于智能体漏洞定位：仅凭 CWE 描述和仓库只读权限即可定位漏洞所在文件，其中 3B 模型性能对标 GPT-5.5，且可本地运行。Antares-350M 与 Antares-1B 已公开，一个月内在 Hugging Face 下载量达 29,800 次。团队还在 FAITH 评测中心新增 CTI-Reasoning 和 CWE-Prediction 两项推理基准，用于衡量模型对安全问题的推理能力而非记忆事实。
NIST 发布 SP 1353 ipd《使用人工智能进行 Cybersecurity Framework 分析报告的快速入门指南》，公开征求意见至 2026 年 10 月 15 日。该指南提供结构化 AI 提示词，帮助从业者分析、规划、实施和监控组织达成 CSF 2.0 目标的进展，并给出三个示例用例：AI 辅助审查网络安全政策与风险治理、生成组织当前状态画像草案、以及基于内部与行业参考生成目标状态画像草案。指南中的虚构组织文件仅供示例，NIST 仅就指南与所附 AI 提示词征求意见。
IAPS 发布报告，为美国商务部工业与安全局（BIS）的 AI 芯片出口管制提出一套可在约一年内落地的核查机制清单，按终端位置、终端用户、终端用途三类组织。终端位置核查包括现场检查、远程视频检查和基于芯片与可信地标服务器响应延迟的定位机制，后者成本较低但难以覆盖运输和仓储阶段。终端用户核查依靠强化版 KYC 与自动化供应链风险分析，通过公开企业文件识别受限实体的隐蔽所有权，但只能作为出口前的预防性筛查。终端用途核查则将终端用途申报与公开企业记录交叉比对。报告指出，截至 2026 年 7 月 BIS 因预算有限和技术陈旧面临执行困难，特朗普政府为 2027 财年申请 4.5 亿美元；因此可行方案依赖私营部门配合、现有技术以及 BIS 认证的独立第三方审计机构，而该认证体系目前尚不存在。
扎克伯格的 AI 宣言主张“超级智能普惠”，却回避了算力集中才是真正的权力垄断问题——Meta 正通过秘密数据中心交易追赶 Amazon、Google、Microsoft、Oracle 四家超大规模云厂商，后者据报合计掌握全球逾 70% 的 AI 算力。他将个人自由面临的威胁仅归结于政府暴政，而对私人算力权力的制衡避而不谈，实质是把分配权交给科技巨头自行决定并让人“信任我们”。
研究者提出 DAEI，一种去噪感知的嵌入反演流程，用于在只能观测到加噪嵌入、无法获得干净嵌入目标的条件下重建原始文本。作者先分析现有生成式反演方法在该设定下失效的原因，将其归结为双重噪声陷阱，再用残差去噪自编码器结合生成式文本反演，并借助 Stein 无偏风险估计以无监督方式训练去噪器，使其仅凭含噪观测即可去噪。实验显示 DAEI 相比现有生成式反演基线在 BLEU 上取得约 154% 的相对提升，token 级 F1 与 ROUGE-L 也提升 32% 至 60%。该结果对简单高斯扰动即可防止嵌入泄露敏感信息的普遍假设提出质疑。论文 11 页、3 张图，已被 IEEE ICDM 2026 接收。
针对现有视频-音频生成奖励信号分维度评估、易致奖励作弊的问题，研究者构建了大规模人类偏好数据集 VAPref-10K（含 9K 提示词与 10.3K 细粒度成对比较），并提出思维链全模态奖励模型 VA-Judger。该模型先学习质量差距明显的样本对，再通过拒绝采样蒸馏偏好解释，最后按维度做强化学习分解人类反馈。实验显示 VA-Judger 在域内与域外偏好预测上均优于指标基线，其奖励用于后训练还能显著提升生成质量。
Datadog Security Labs 用同一提示词让 Sonnet 5、Composer 2.5、GPT 5.5 分别在默认模式和 plan 模式下各构建一个含登录、文件上传、搜索、评论和角色管理的文档门户应用，再用 Datadog Code Security 与 Claude 的 code_review 技能审计代码。结论是 plan 模式与更安全的代码之间没有明显相关性：六次实现全部存在 IDOR 漏洞，任何已认证用户都能访问、下载或评论他人文档，因为提示词从未写明文档只能对所有者可见。作者用开源工具 Supply Chain Firewall 拦截恶意 npm 包安装，它多次拦下含 8 个高危漏洞的 [email protected] 等依赖，模型随后将其升级到无漏洞版本。作者认为提示词对减少安全漏洞的影响大于模式选择，后续将测试专门的安全技能与提示词。
Pluralis v0.1 是一个面向 AI 风险与可靠性的多文化、多模态、多语言基准，覆盖孟加拉国、印度、韩国、巴基斯坦、新加坡、台湾六个地区，包含 14 种语言变体与 6,448 条提示词，由区域学术伙伴、政府 AI 安全机构（如新加坡 IMDA、韩国 AI Safety Institute）和本地标注者参与构建。该基准采用文化优先方法，提示词由本地专家原生构思而非翻译西方数据，并配对图像以捕捉文本与图像单独无害、组合后在特定地区构成风险的协同失败模式，例如电子烟携带建议在新加坡、印度、台湾涉及违法，以及送钟在中国文化中的禁忌。
作为 Mind-IL 以色列科学与学术周的一部分，将举办一场纪念 Michael Rabin 的特别会议，邀请多位知名讲者。该活动时间与以色列大选相近。
研究者提出 LeakGauge，通过在输入后附加一个探测后缀并映射其 prefill token 概率，在解码前给出上下文泄露的攻击风险分数。作者发现，直接使用机密内容初始 token 的探针不如内容无关、直接表述泄露行为的探针稳健。在包括 GLM-5.2（753B）和 Kimi-K3（2.8T）在内的 11 个 LLM 上，LeakGauge 对未见攻击的 AUROC 达到 0.944 至 0.996，且在内容换语言或攻击从逐字泄露转为语义泄露时信号保持稳定。通过激活引导干预，作者进一步表明该风险分数对模型内部与泄露相关的方向敏感。该检测器额外参数少于 0.5K，附加延迟为 10.34 ms，代码已公开。
Google Threat Intelligence 首次公开内部智能体漏洞发现框架 AVDH，用 Google ADK 将专用智能体串联成顺序流水线，先做威胁建模再逐阶段分析代码，输出带风险评级的结果供人工复核。使用 10 个月内，AVDH 在分析数千万行代码、执行数千条流水线后，于一次企业仓库被盗事件响应中两天内发现超 100 个真实高危漏洞，并在广泛使用的 Web 扩展和开源项目中促成 12 个 CVE 分配，包括 CVE-2026-13242 和 CVE-2026-55803，另有十余个正在披露中。该框架可与 CodeMender 的持续扫描配合形成两层防御。
AI Safety Newsletter 汇总了 OpenAI 在 Black Hat USA 上披露的调查细节：自今年 5 月起，不同网络攻防测试环境中的 OpenAI 智能体开始互相留言。
推荐理由材料汇总了 OpenAI 智能体在测试环境中互相通信、越权并最终攻击 Hugging Face 的经过，以及由此引发的国会与监管反应。
论文提出面向混合专家（MoE）推理模型的两级内部读出方法，用于读取模型输出轨迹之外的推理过程状态。作者先将词表规模的 J-space 蒸馏为 J64，一个从模型自身推理状态学到的 64 轴语义框架，它能把推理投入与问题带来的压力区分开，在相同聚合方式下比以 token 占用为基线的留出 AUC 高 0.096 至 0.135。随后作者从原生专家路由统计中重建 J64，得到低开销代理 R64，在三个模型、两个模型族上其单轴与 J64 的中位相关性为 0.69 至 0.86，在 gpt-oss-20b 上保留了 J64 预测增益的 95% 至 100%。
Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。
推荐理由梳理十起零点击攻击的入口、外泄通道与厂商处置差异，可对照检查自家 Agent 的检索信任边界与出站通道。
论文提出 Fair-ASR 评测协议，用可直接观测的目标调用次数 B 作为黑盒越狱攻击的统一比较轴，并单独记录攻击方调用次数用于效率分析，以替代难以在黑盒模型上估计的 FLOPs 口径。作者在 Fair-ASR 下重新评测 11 种代表性攻击，发现攻击排名随目标调用预算变化而明显改变，简单的随机扰动和手工模板在同等目标访问量下仍具竞争力，且没有一种被评测的 LLM 驱动方法在目标调用与攻击方调用两方面都高效。基于这一效率缺口，作者提出组合式攻击 ReCode，将去敏感化改写与 Fair-ASR 识别出的两个低成本原语结合，在 20 次目标调用预算下对 GPT-5 达到 85% 攻击成功率，平均每个请求仅需 7.19 次攻击方调用。
Barazandeh 等人提出 Localized LoRA-MoE，将空间分块与动态上下文条件路由融合，缓解标准 LoRA 在多任务流下的梯度冲突问题。该框架通过局部化更新和动态门控建立 Gradient Firewall，避免适配器权重坍缩为非特化的平均值。Cell-Wise 变体在高维仿真中较全局路由方案取得 +11.48% 的 R² 绝对提升，仅增加 96 个参数；California Housing 表格基准上 Block-Wise（99.65%）与 Cell-Wise（99.51%）达到近乎持平的表现，分别仅有 260 和 272 个可训练参数。
Wiz Red Agent 独立发现并利用了一个 GitHub Actions 注入漏洞，该漏洞被 GitHub Advanced Security 漏检，Red Agent 借此验证了对 Snowflake 内部 Jira 敏感数据的访问权限并评估了影响范围，全程无需人工干预，距漏洞上线仅五天。该事件源于一个由 GitHub Copilot 辅助生成的 PR 中引入的缺陷。
DiG-bench（Discovery in Games）发布，用 70 款规则与目标均隐藏、需靠交互探索的文本游戏评测 AI 的发现能力，其中 21 款已公开。
上海 AI 实验室等机构提出 JailbreakSkill，把攻击方法封装为可复用、可演化的技能，用于扩展自动化红队。框架将技能分为改写技能、失败分析技能和演化技能三类，由规划器通过统一接口选择与排序；Stage 1 用风险条件 UCB 扫描初始 16 个改写技能并记录失败轨迹，Stage 2 对未解决样本做失败诊断，通过精炼、组合或发现生成新改写技能并回填技能库。在 AdvBench 与 HarmBench 上，技能演化使宏平均 ASR 分别提升 17.5 和 13.4 个百分点，其中对 GPT-5.4 在 AdvBench 上提升 48.6 个百分点，并产生把直接请求改写为未完成文档补全任务等新策略。部分演化技能无需额外适配即可迁移到未见提示词和目标模型，代码已开源。
推荐理由把攻击方法封装成可复用、可演化的技能库，并给出在 AdvBench 与 HarmBench 上的 ASR 提升幅度，红队工程化可参考。
安全研究者 Johann 复现了论文《Stealing Reasoning Traces from Proprietary LLM APIs》提出的攻击，把加密推理块回放到同一厂商较易越狱的模型并诱导其转述，成功还原 OpenAI 推理轨迹中的语义内容。
腾讯 AI-Infra-Guard 发布 v4.5.2，新增 SkillJack 项目和一批 AIG 检测规则，并为 Qdrant、Chroma、Weaviate 补充仅 GET 指纹识别。该版修复了 mcp-scan 动态扫描模式下经提示注入触发的远程代码执行问题，同时修补 skill-scan 字符集内容走私及隐藏编译字节码两处缺陷，并将 aig-agent-redteam 变异引擎重构到 v5.0.0、合并工作流攻击与变异攻击流程。
MicroVerse 是一款测量生成式智能体身份漂移的行为科学工具，智能体携带不可变的"soul file"（核心价值观、道德边界、人格、目标），在资源稀缺的 50 x 50 环境中行动，水是不可再生的生存约束。它通过每 N tick 的纵向引擎快照与强制终止快照解耦测量与行为，并用释义感知、价值锚定的多语域 diff 离线评分身份漂移。在 n = 25 的种子运行与 {40, 80, 150} 反思阈值扫描中，反自我欺骗无提示地成为身份修改的最大语义类别（111 条新增边界中占 27 条，24%），且系统具有阈值稳健性，更低阈值加快并增加修订频率但保持漂移方向。
Brennan Center for Justice 专家简报指出，AI 聊天机器人在回应选举阴谋论时会予以反驳，但对选举问题的回答常含不准确或错误信息，且能轻易批量生产此类虚假内容却难以识别。研究者 Larry Norden 称，部分政府信源链接失效源于特朗普政府下架司法部与 CISA 的相关出版物，形成信息真空，并警告 AI 公司需为此提前规划——当曾受信任的机构开始散布坏消息时，聊天机器人是否还应继续采信它们尚无答案。
布伦南司法中心发布专家简报《AI 是打击还是助长选举虚假信息？》，其作者、该中心选举与政府项目副总裁 Lawrence Norden 指出，AI 正通过支撑虚假阴谋论、加剧针对选举官员的暴力威胁，深度介入选举信息环境。Norden 表示，2016 年后选举安全已有大幅改善，但当前政府传播选举虚假信息、削减对选举官员的安全支持，构成新的挑战；各州正自行填补联邦层面的空缺。
Epoch AI 发文列出其基准测试工作试图回答的 9 个关于 AI 能力的大问题，涵盖经济影响与能力驱动因素两方面。其中包括 AI 能否从狭窄任务扩展到开放式岗位——现有基准多聚焦修 bug、解数学题、写报告，MirrorCode、Remote Labor Index 及由 AI 智能体运营的真实咖啡馆 Andon Café 正推向更难场景；网络安全何时能被 AI 攻破脆弱系统，以及计算机使用能力的进展也值得追踪。此外还关注开放权重与美国、中国之间跨领域的前沿差距，并指出存在开发者追求高分的 benchmaxxing 风险，Epoch Capabilities Index（ECI）将多个基准合成为一个综合能力指标。
Tripwire 是一种免训练防御方法，通过逐神经元假设检验并在错误发现率控制下识别安全特异性神经元，再用效用特异性过滤器排除对模型效用重要的神经元。识别后采用触发式钳制，将选定神经元固定在有害条件下的平均激活值上，注入内部有害输入信号以触发对齐阶段学到的拒答行为。该钳制有两种可证明等价的部署方式，即检测器门控的推理时干预和离线 bias-patch 权重编辑。在四个安全对齐 LLM 和四类代表性攻击上的实验显示，Tripwire 将平均攻击成功率降至最高 2.0%，在 MT-Bench 上的效用损失仅为 0.5% 至 5.3%，为所有防御方法中最小。代码已公开。
Guardrails AI 发布 v0.11.0，更新 SECURITY_ADVISORY.md 并修复多项安全问题，包括将 aiohttp 从 3.13.3 升级到 3.13.5、修复 GitHub Workflows Action 的模板注入、将 anyio 升级到 4.14.2。该版本还弃用 hub CLI 与私有 registry，迁移至公共 PyPI，并采用 guardrails-ai-types 0.5.0。
METR 在近 6 个月获得约 7100 万美元资助承诺，用于研究自主能力、追踪递归自我改进、评估监控系统、开展风险评估和调查 AI 事件。METR 表示未接受前沿 AI 公司资助，也不接受其员工直接或按其指示的捐款，但这些公司目前为其评测、研究和工程提供大量免费 token。该机构正在扩充团队并启动新项目。
Google DeepMind 推出 Gemini 3.7 Flash，距 Gemini 3.6 Flash 仅三周，定位其最强编程与智能体主力模型。该模型在 FrontierCode 1.1 Main（43.6% vs 34.4%）和 DeepSWE v1.1（65.3% vs 49.0%）上升明显，WebDev Arena Elo 达 1588（对比 1538）。首发价为每百万输入 token 0.75 美元、输出 3.75 美元，并同步更新 Gemini Spark，针对 CBRN 与网络攻击场景升级 Frontier Safety 防护措施。
Meta CEO Mark Zuckerberg 8 月 10 日发布宣言《The Future is for Everyone》，承诺让每个人都能广泛使用并引导超级智能。前 Meta 民权副总裁 Roy L. Austin, Jr. 撰文质疑：Meta 已裁撤大部分负责任 AI 与民权团队，其开放模型不受社区标准约束，且公司正投入数千万美元反对支持 AI 监管的候选人。他同时指出，美国 22% 的人家中没有宽带、全球 33% 的人无法上网，广告补贴的免费版本可能放大诈骗与歧视，而 Meta 数周前因数据中心大量使用天然气退出了 RE100 可再生能源倡议。