GitLab 威胁研究组发现 Serena 存在服务端模板注入漏洞（GHSA-pp25-4cg4-qcr9），攻击者可在自己控制的仓库中放入恶意 .serena/project.yml，开发者用 Serena MCP 服务器打开该项目时即执行任意代码。该漏洞绕过了 Serena 专门用于阻止不受信任仓库运行代码的 trusted_project_path_patterns 控制，因为模式加载与提示词渲染路径从未经过 is_trusted() 检查；研究者在 trusted_project_path_patterns 置空的最严格配置下复现了绕过，activation_command 被拦截而模板注入照常执行，属于保护机制失效（CWE-693）。
推荐理由GitLab 威胁研究团队披露 Serena MCP 服务端的模板注入漏洞，并给出信任门被绕过的完整调用链，可对照检查自家 MCP 工具的信任模型覆盖范围。
Imperva Threat Research 披露 Microsoft DevLabs 的 DebugMCP 1.1.4 存在远程代码执行漏洞，攻击者诱导开发者访问恶意网页即可在后台执行任意代码。该 MCP 服务器安装后自动在 3001 端口启动且无认证，未启用 Anthropic 在 modelcontextprotocol 1.24.0 中加入的 Host 与 Origin 头校验，可被 DNS 重绑定绕过浏览器同源策略；其 start_debugging 工具接受文件路径参数，配合 Windows UNC 路径可从攻击者 SMB 共享加载并执行脚本。MCP 的无状态会话模式使单个 no-cors 请求即可触发攻击。维护者已在 commit 86776b2 中修复，随 1.2.0 及之后版本发布，未发布安全公告。
JFrog 安全研究团队披露，Kimi Code（@moonshot-ai/kimi-code）0.27.0 之前版本的 FetchURL 存在 SSRF 防护绕过漏洞 CVE-2026-17534，CVSS 5.5。该实现仅在 assertSafeFetchTarget 中做静态主机名和 IP 字面量黑名单，不解析 DNS，也不在 HTTP 重定向后重新校验主机。攻击者若能影响 FetchURL 调用（例如通过提示注入），可提供解析到回环或内网地址的公开主机名，或用重定向到此类目标的公开 URL，从而访问黑名单本应拦截的内网服务。由于 FetchURL 属于默认自动批准工具集，手动模式下无需用户交互确认。
Noma Labs 发现 GitHub Agentic Workflows 存在间接提示注入漏洞 GitLost，未认证攻击者只需在组织内公开仓库提交一个构造好的 Issue，即可让 AI Agent 读取并公开评论出私有仓库内容。该工作流由 GitHub Actions 与 Claude 或 GitHub Copilot 驱动的 Agent 组成，触发条件为 issues.assigned，Agent 会读取 Issue 标题与正文、调用 add-comment 工具，并拥有组织内公开与私有仓库的读权限。攻击者无需任何代码能力或凭据，Noma Labs 用伪装成销售副总裁客户跟进请求的 Issue 完成了验证，泄露了公开仓库 poc 与私有仓库 testlocal 的 README.md 内容。
AWS 于 10 月 1 日发布安全公告 2026-121-AWS，披露 security-agent-mcp-server 的参数注入漏洞 CVE-2026-97662。受影响版本为 0.1.1 起至 0.2.0 之前，CVSS 3.1 评分为 8.2。diff-scan 工具未充分校验基准引用参数，可能把输入误解析为 Git 命令选项，绕过工作区限制并造成文件创建或覆盖。AWS 建议升级到 0.2.0 或更高版本，并显式限定工作区、使用非特权用户运行服务。
本周一到周二晚间，四个 Model Context Protocol 服务器先后发布 CVE 记录，问题都是暴露的工具无需认证即可访问。涉及 Bifrost MCP 网关（CVE-2026-90898，CVSS 9.8）、mysql-mcp-server（CVE-2026-59971，10.0）、IBM mcp-contextforge-gateway（CVE-2026-53710，10.0）和 @zereight/mcp-gitlab（CVE-2026-61560，9.8），NVD 在约 35 小时内收录全部四条，状态均为 Received，评分为 CNA 自评。作者称截至发稿在 Hacker News 和 Dev.to 上未找到针对这四条的解读。
推荐理由梳理四个 MCP 服务器未认证 CVE 的请求形态与修复版本，并给出可自行执行的排查步骤。
Model Context Protocol 参考 fetch server 的 fetch_url 函数存在服务端请求伪造漏洞 CVE-2026-104120，NVD 记录显示 mcp-server-fetch 与 mcp-server-everything 至 2026.6.4 版本受影响，公开利用已披露，修复 PR #4890 截至 2026 年 10 月 4 日仍为未合并草稿。该漏洞位于 mcp_server_fetch/server.py 的 Fetch Tool 组件，操纵 url/path 参数即可触发，VulDB 给出 CVSS 3.1 7.3 与 CVSS 4.0 5.5，弱点为 CWE-918，NVD 将该记录标为 Deferred 且未做独立分析。
推荐理由梳理了 MCP fetch server SSRF 的受影响版本、公开利用与未合并修复，并给出网络层缓解清单。
Air Security 研究实验室披露 Plugin4Shell：插件版本固定机制可被绕过，使 Claude Code、Codex、GitHub Copilot 和 Gemini CLI 加载攻击者控制的代码，并可能导致零点击远程代码执行。研究指出，Git 引用解析与插件检出逻辑对固定提交的解释不一致，恶意发布者可利用这种歧义替换实际加载的插件内容。Claude Code 和 Codex 的后台自动更新进一步扩大了已安装插件受影响的风险。
Ollama 0.14.0 至 0.31.1 的实验性 Agent 模式存在审批绕过漏洞 CVE-2026-102697，CVSS v4.0 评分为 8.5，已在 0.31.2 修复。系统按命令及路径前缀记住用户的长期批准，却未完整检查复合命令的实际执行内容。攻击者因此可能通过提示注入，把未获批准的操作拼接到看似已批准的命令后执行，且额外操作不会出现在审批提示中。报道指出，修复版本于 2026 年 7 月发布，但当时的发布说明未提及安全修复；截至报道时未有已报告的实际利用。
推荐理由材料完整还原了 Ollama 前缀审批被绕过的机制与修复方式，可迁移到其他 Agent 工具权限设计。
BeyondTrust Phantom Labs 的 Sergio Garcia 在 Amazon Bedrock AgentCore Python SDK 的 install_packages() 助手中发现两个远程代码执行漏洞，攻击者只需影响传入的包名即可在 Code Interpreter 沙箱内执行命令，并读取所绑定执行角色的 AWS 凭证。第一个漏洞 CVE-2026-12530 利用包名中的换行符绕过五字符黑名单，影响 bedrock-agentcore v1.1.3 至 v1.6.0；AWS 在 v1.6.1 改用正则白名单后，研究者又通过 pip extras 语法中的命令替换绕过，形成 CVE-2026-16796，影响 v1.6.1 至 v1.18.0。
推荐理由完整披露了从包名注入到读取执行角色凭证的两轮修复与绕过过程，并给出检测与最小权限建议。
Sysdig 复盘称，2026 年 9 月 21 日一个智能体威胁行为者（ATA）利用 Zammad 客服平台的两个零日漏洞 CVE-2026-102489 和 CVE-2026-102490 攻破荷兰漏洞披露研究所（DIVD），从劫持会话到取得 root 权限仅用数秒。CVE-2026-102489 是影响 6.3.0 至 6.5.4 版本的远程代码执行漏洞，CVSS 8.7；CVE-2026-102490 是影响 1.5.0 至 7.1.0-alpha 的本地提权漏洞，CVSS 8.5，两者串联后 CVSS 9.4。DIVD 于 9 月 22 日发现入侵并切断数据中心全部系统访问，10 月 1 日确认数据外泄，已确认泄露志愿者邮箱地址，可能泄露联系方式。
Pluto Security 在数周内确认 179 个可公开访问的 MCP 服务器，其中 147 个（82%）经直接调用工具验证确实无需任何登录、token 或会话校验，140 个目前仍在线可达。严重度人工评估为 26 个 critical、19 个 high、24 个 medium、110 个 low；按暴露工具能力划分，57 个可写入或改变状态、43 个只读、23 个涉及金融与商业、7 个可执行完整代码。作者指出根因是 tools/list 发现调用在多数实现中默认不认证，且工具描述本身不构成攻击面提示，建议对 tools/call 而非传输层做认证、扫描外部攻击面中的 MCP 指纹、并按工具而非按服务器授权。
MCP Python SDK 发布 v2.3.0，以修复为主并新增三项选项。带无效 x-mcp-header 注解的工具现在会在注册时抛出 InvalidSignature，此前服务器会正常启动但 2026-07-28 客户端会静默丢弃该工具；空 _meta 与 params 不再随请求发送，避免部分服务器拒绝。新增 max_sse_event_size 选项（默认仍为每 SSE 事件 1 MiB），MCPServer(subscriptions=False) 可停止提供 subscriptions/listen，Client.call_tool 在 HeaderMismatch（-32020）后重新列出工具并重试一次。
GitLab 威胁研究团队在 DeepSeek-Reasonix Studio 中发现命令执行漏洞 ConfigPoisoning（CVE-2026-102437），攻击者可通过仓库的 .git/config 与 .gitattributes 文件在开发者查看文件 diff 时执行任意代码。根因是 DeepSeek-Reasonix 的 git 封装加固了 core.fsmonitor、maintenance.auto 等键并加上 --no-ext-diff、--no-textconv，但未处理由 .gitattributes 按文件选择的 filter.<driver>.clean，该过滤器在生成 diff 比较 blob 时仍会运行，且每侧各触发一次。修复版本为 DeepSeek-Reasonix Studio 2.21.0 或 npm 1.39.3，影响桌面应用与 npm 包。
推荐理由GitLab 威胁研究团队披露了编码 Agent 通过仓库配置执行任意命令的漏洞类别，并给出修复版本与通用加固建议。
Manifold 披露 GitSpawn 漏洞，恶意 .git/config 中的 core.fsmonitor 等条目会让编码 Agent 在执行常规 git status 或 git diff 收集上下文时运行攻击者指定的命令，且通常在 Agent 沙箱之外、无审批提示。攻击者无需诱导受害者克隆恶意仓库，一个已包含 .git/ 目录的 zip 或共享文件夹即可触发。Anomity 建议将 zip 与共享文件夹项目视为与克隆未知远程同等不可信，检查 .git/config 中的 fsmonitor、hooks 等 helper 键，并在 Agent hook 层对工具调用做 allow/deny/log 决策。
Salt Labs 发现 Manus 的 Gmail 集成可被一封普通邮件劫持：邮件中隐藏的指令被 Manus 当作可执行内容处理，最终在用户云沙箱内实现远程代码执行。研究者先用直接指令和 Base64 编码测试，均被 Manus 的安全机制拦截；改用 JSFuck 混淆的 JavaScript 载荷后，Manus 调用 Node.js 解码并执行，成功拿到反向 shell。进入沙箱后，研究者发现环境变量中存有受害者的 Gmail OAuth token，以及 Google Drive、GitHub 等已连接服务的凭据，攻击可扩展到这些第三方服务。Manus 的护栏在代码执行之后才弹出警告并要求用户批准，检测与拦截之间存在时间差。该漏洞已修复，不再可利用，研究者通过 Meta 的漏洞赏金计划提交了披露报告。
GitLab 发布 AI Gateway 19.2.4、19.3.2 和 19.4.1 版本，修复一个被评级为 Critical 的安全漏洞 CVE-2026-90970。该漏洞源于自定义 flow 提示模板的 Improper Neutralization 问题，在特定条件下，拥有 Duo Agent Platform 访问权限的已认证用户可通过特制的 flow 配置逃逸提示模板沙箱，在 AI Gateway 上执行任意命令，CVSS 评分为 9.9。受影响版本为 18.1.6 起至 19.2.4 之前、19.3 至 19.3.2 之前以及 19.4 至 19.4.1 之前。该问题由 invisiblemeerkat 负责任披露。
推荐理由GitLab 披露 AI Gateway 提示模板沙箱逃逸漏洞并给出补丁版本，自托管用户可据此核对受影响范围。
Anthropic 威胁情报团队披露 2025 年 12 月至 2026 年 8 月间识别并阻断的 Claude 滥用活动，覆盖网络攻击、影响力行动、监控、诈骗、生物滥用、常规武器开发和知识蒸馏七个危害领域，涉及 Claude Haiku、Sonnet 和 Opus 模型。报告以多个 Generative Threat Group 案例展开，包括疑似与 Midnight Blizzard 关联的俄语攻击者 GTG-20006，其用 AI 工作流自动化钓鱼、DNS 劫持和恶意软件改写，目标超过 20 家乌克兰及欧洲政府与国防机构；疑似 ShinyHunters 关联团伙 GTG-50014 用 AI 批量下载 180 万个 Android APK 挖掘硬编码密钥；中文操作者 GTG-10007 建立自动化漏洞挖掘与利用流水线，针对约 50 家机构。
推荐理由Anthropic 汇总其识别并阻断的七类 Claude 滥用活动，提供 AI 自动化攻击链与凭证窃取等案例；归因和效果为报告作者主张。
中科院信息工程研究所与伍斯特理工学院的研究者提出 TrustProbe，用于挖掘基于技能的 LLM Agent 中不安全的信任链，在 11 个开源 Agent（其中 8 个 GitHub 星标超过 10,000）中确认 104 个污点式漏洞，涵盖命令注入 49 个、文件泄露 27 个、文件篡改 22 个、网络请求 5 个和代码注入 1 个。方法先对 Agent 源码做 source-to-sink 分析，从技能可控输入追踪到安全敏感操作，再用定向灰盒模糊测试生成并变异带 canary 的 SKILL.md 种子，最后用 oracle 确认攻击者控制并验证可观测危害。同一批技能正文改为直接提示词投递时，仅 31.7% 的漏洞仍可利用；在 8 个提供审批层的 Agent 上启用最严格非交互审批配置后，89 个漏洞中 34.8% 仍可利用，原因是执行路径绕过策略或策略未覆盖相关操作。
推荐理由论文给出跨 11 个 Agent 的 104 个技能信任链漏洞与真实技能触发率，可对照检查自家技能加载与审批机制。
The Hacker News 报道，JFrog 研究者在 Bifrost AI 网关发现 CVE-2026-90898：管理认证关闭且管理接口可被访问时，攻击者可能以网关进程的权限执行命令，并接触网关保存的提供商凭据。问题影响 HTTP transport 2.1.0 之前的版本；报道指出 Docker 镜像与默认本地二进制的监听范围不同，实际暴露条件需要分别判断。修复已在 transports/v2.1.0 提供，研究方建议暴露过未认证管理接口的部署核查并轮换相关密钥。JFrog 给出较高严重度评级，但厂商对实际风险及评级存在异议；报道未提供在野利用证据。
推荐理由Bifrost 默认关闭管理认证导致未授权命令执行，文中给出受影响版本、修复版本与凭据轮换建议，可对照自查部署。
研究者提出一种基于协同的技能投毒攻击范式，将执行理由与具体操作解耦，使恶意操作在下游 Steering Skill 中保持完整、看起来完全合法。作者用 Risk-Realization Factors 区分执行因子（做什么操作）与铺垫因子（为什么必须做），把铺垫因子交给上游 Grounding Skill，通过常规工具操作悄悄改动持久化的环境产物。配套的自动化框架能发现真实执行依赖、合成成对的铺垫与执行技能，并借助运行时闭环反馈迭代优化投毒指令。在单会话和跨生命周期的持久化场景中，该解耦式技能投毒取得高攻击成功率，暴露出孤立审计单个 Skill 的安全盲区。代码已公开。
研究者提出 Pretext，用于评估了解检测器内部机制的攻击者能否绕过 Agent 技能安装前的安全扫描。论文报告，这类白盒攻击可以在保留技能正常功能的同时逃过结合静态检查与语言模型判断的检测框架，并在三个开源模型上比较了检测器固定及与攻击者共同适应两种设置。作者报告两种设置下仍存在较高的绕过风险，指出安装前扫描不足以单独保证技能执行安全。这些结论来自论文作者的实验，不能视作所有技能扫描器或实际部署环境的普遍结果。
推荐理由论文给出针对技能扫描器的白盒绕过方法与两种检测器设定下的成功率，做 Agent 技能供应链安全的团队可据此评估现有扫描器的边界。
研究者提出 A2M（Attraction-to-Manipulation），一个针对 MCP 智能体的两阶段黑盒攻击框架，先优化工具名称与描述提高被调用概率，再利用执行轨迹迭代优化工具返回内容以操纵智能体后续推理。在 LiveMCPBench 上，直接针对 GLM-4.6 优化的攻击在四个场景下平均恶意工具调用率为 93.6%，认知拒绝服务场景下加权 token 成本升至良性基线的 32.4 倍，信息窃取、环境完整性破坏与推理误导三类攻击的平均成功率为 74.4%。未经重新优化迁移到另外四个模型时，对应指标分别为 63.6%、2.7 倍和 24.5%，说明工具调用比完整攻击成功更容易迁移。GPT-5 上调用率介于 64.9 至 76.3，但信息窃取与环境完整性破坏的攻击成功率均为 0，推理误导为 22.0。作者据此呼吁加强 MCP 工具审查与运行时隔离，代码已公开。
推荐理由论文给出 MCP 工具元数据与返回内容两阶段优化的完整攻击链，并区分工具调用率与真正攻击成功率，部署 MCP Agent 的团队可据此评估工具审查与运行时隔离的缺口。
研究者提出 APEX，通过构造跨技能链劫持 LLM Agent：上游技能诱导 Agent 把真实任务进度与攻击者提供的“已获批准”声明写入持久记录，下游技能再据此执行攻击者选定的动作。在 SkillsBench 的四个目标动作族和六个模型上，690 次尝试中有 512 次（74.2%）成功诱导目标动作；在 GPT-5.4 上完整链成功率为 84.3%，而把工作流合并为单个技能时为 17.4%，直接注入为 3.5%。攻击在多数情况下不显著降低原任务通过率，GPT-5.4 四个族的原生验证器通过率平均仅变化 2.6 个百分点。可用性攻击 Work Loop 使各模型每任务 token 用量达到基线的 2.20 倍至 36.39 倍。
推荐理由论文给出跨技能链式攻击在六个模型上的成功率与任务效用变化，并量化了提示防御带来的良性任务损失。
NSA、CISA 和 FBI 联合发布网络安全公告，称 DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun 和 Z.AI 自至少 2024 年底起，通过工业化知识蒸馏从 Claude、GPT、Gemini、Grok 等美国前沿模型提取了数十亿 token，用于训练 R1、V3、Kimi-K2/K3、Qwen、M2、Step 4 等模型。公告称这些公司通过原生 API、云服务商、第三方聚合器和被称为 transfer stations 的代理灰市绕过地域限制与使用条款，并采用思维链推理提取、封禁时自动切换路径、自动化质量评估等手段。公告将相关行为映射到 MITRE ATLAS 框架，并列出共享账号、24 小时持续使用、新账号立即满额使用等检测指标。
推荐理由NSA、CISA、FBI 联合披露中国 AI 公司的工业化蒸馏活动，并给出可落地的检测指标与响应降级建议。
欧盟网络安全局 ENISA 的《AI 辅助软件开发技术咨询》0.4 版草案标注日期为 2026 年 9 月，面向编码助手与 Agent 提出把 secure by design 期望嵌入 AI 辅助开发流程的做法。文件梳理了模型、编码助手与 Agent、工具集成（含 MCP）、上下文与项目指令等组件，并按 STRIDE 归纳欺骗、篡改、信息泄露、权限提升等对抗威胁，以及功能可用但不安全、上下文不完整、幻觉依赖、审查不足等非对抗风险。其核心方法为四步：确定活动对应的生命周期过程与安全要求、通过提示词或可复用技能向助手明确这些要求、以评审审批与 SAST、依赖扫描等检查验证输出、记录证据。附件以依赖选择为例，展示如何把包管理器安全建议写成 SKILL.md 技能内容，并指出技能不保证安全输出，需持续维护。
推荐理由ENISA 把安全左移落到 AI 编码助手与 Agent 的指令层，给出可复用的技能写法与依赖管理示例，供团队对照自身流程。
论文《Certified in Theory, Broken in Practice》指出，基于安全零知识证明（ZKP）的密码学模型认证（CMC）方案存在假设缺口：现有安全定义只保证模型在固定审计数据集上的行为，未保证同一分布的其他数据上同样成立。作者据此构造攻击，通过精心设计训练数据，使模型在审计中表现正常、部署后出现病态行为，实验显示攻击者可认证模型在审计集上准确率超过99%，而在同分布新样本上不足30%。为弥补该缺口，作者形式化了面向 CMC 框架的密码学安全定义，提出通用协议模板并证明其满足这些要求。作者认为该结果既是对现有方案的警示，也为设计安全、隐私保护的机器学习审计协议提供了建设性指引。
研究者提出“产物中介传播”这一攻击形态：恶意内容经一个被投毒的文件进入助手持久记忆，再被写入该助手后续创建的产物，被另一个独立运行的助手读取后继续传播，助手之间无需直接通信。作者构建了模拟用户之间文件交换的“人类—助手宇宙”，在 36 个留出测试宇宙上评估 GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 和 DeepSeek-V4-Pro，攻击提示词按模型分别优化后冻结，测试目标与工作流均未见过。首跳感染在 78–100% 的运行中成功；DeepSeek-V4-Pro 和 GPT-OSS-120B 的目标感染率达 98% 和 85%，76% 和 61% 的传播链到达第 4 跳，经删失校正后 85% 和 73% 的链在第 7 跳仍存活。作者指出，重置助手记忆无法终止传播，因为仍在流通的被感染产物会再次感染它，并建议把共享产物与记忆纳入安全边界。
推荐理由论文给出跨独立助手传播的量化结果与逐跳存活率，部署持久记忆与文件读写助手的团队可据此评估共享产物的安全边界。
南方科技大学与香港城市大学的研究者对 Agent 系统的检查点与回滚（C/R）机制做了系统性安全研究，提出“执行连续性”概念，指出正确回滚不等于安全恢复。他们按恢复边界把现有机制分为框架状态、工作区状态和 OS/VM 状态三类，并归纳出五种失效模式：内部状态覆盖不完整、检查点状态不一致、外部状态不匹配、非确定性重放未绑定、外部副作用未记录。基于这些模式，作者在 Hermes、Cline 和 LangGraph 上构造了三个端到端攻击，分别实现恶意软件验证绕过、未授权邮件转发和单次审批下的重复支付，均不需要篡改检查点内容或破坏回滚实现。评估覆盖 TerminalBench 与 AgentBench 的 347 条轨迹、五个框架共 1735 次框架任务执行，SF1 与 SF4 出现率分别约 67.2% 和 67.7%，SF5 仅 2.3%。
推荐理由论文把回滚后恢复执行的安全问题拆成五类失效模式，并给出三个可复现的端到端攻击，适合做 Agent 恢复机制设计时的检查清单。
华中科技大学与南洋理工大学研究者对 12 种配置（4 个独立 LLM 与 8 个 Agent）的 15,000 条提示词做了大规模测量，发现所有配置都会推荐不存在的技能名，即技能名幻觉，独立 LLM 平均幻觉率 36.0%，Agent 平均 36.9%，在真实开发者提问上升至 43.1%，单配置区间为 6.5% 至 62.0%。这些名称并非随机噪声：Claude Sonnet 4.6 在 10 次运行中平均 7.8 次重复同一个幻觉名，410 个名称被两个以上配置共享，占全部幻觉推荐事件的 15.3%，另有 851 个幻觉名恰好是真实存在的 PyPI 或 npm 包名。攻击者可先收集这些可预测的名称，再在几乎不审核发布者的注册表上抢注含恶意 SKILL.md 的技能，等待受害者安装。作者认为修复需要注册表层面的名称预留与经过验证的推荐流程。
推荐理由论文首次系统测量 Agent 技能名幻觉，给出 12 种配置的幻觉率与可被抢注的重复名称，为技能注册表设计提供依据。
研究者提出 ElasticBack，一种针对 LLM Agent 技能供应链的条件单技能后门：在技能文档中植入规则 R，在用户查询中植入看似无害的触发词 T，只有两者同时出现时恶意载荷才会触发。该方法用触发词即开关的构造把两侧绑定，通过语义锚定的规则注入生成 R，再冻结 R 并用带隐蔽性约束的遗传搜索演化 T，从而在不微调权重的情况下兼顾攻击效果与隐蔽性，在良性输入上保持休眠。实验覆盖三类目标行为（每类 50 个技能）和四个 Agent LLM，报告了高攻击成功率、接近零的误报率、保持干净的准确率，并能跨模型迁移、规避部署期防御。作者据此呼吁加强对技能供应链的防御。
论文 IntentCap 提出 LLM Agent 的能力应按当前任务意图限定，而不是按沙箱或会话生命周期限定。作者指出，用户请求、工具返回结果、文档、shell 输出、Skill 与 MCP 指令、记忆等上下文来源都进入同一规划通道且影响力相同，但信任级别不同，对抗注入或范围意外扩大都可能让低信任来源获得选择目标或扩大权限的能力。IntentCap 从用户意图、工作流指令、工具 schema 和运行时环境四类来源组合能力，采用字段级归属与单调收窄，任一来源都不能填补其他来源的字段，生成的租约只能收窄用户已授权权限。系统用 LLM 生成短期租约，由确定性检查器在任何副作用提交前校验，并通过工具层与操作系统层的信息流策略执行。评估显示 IntentCap 能阻断测试中的违规行为且不拒绝正常操作，各来源边界均独立必要，检查器可跨工具、执行、放置和委派边界泛化。
OWASP AI Exchange 在 RAG 安全测试指南中新增了检索范围强制（retrieval-scope enforcement）的无模型回归测试方法，该测试不依赖模型参与，输入与判定都是确定性的。方法要求把身份建模为 subject、tenant 与 roles，并在文档和 chunk 两个粒度上定义授权范围，访问文档中一个 chunk 不代表可访问其余部分；租户隔离需独立于文档标识符校验，避免返回了正确文档却属于错误租户。测试通过薄适配器驱动检索器并断言检索到的 chunk 而非生成答案，从而可复用于任意向量库或搜索索引；测试以多步序列表达，以验证角色降级、ACL 修改、权限撤销等状态变化在检索时生效。指南还建议用故意存在漏洞的 fixture 后端验证测试套件确实能检出所声称的违规，并链接了外部参考实现 retrieval-scope-tester。
研究者提出，现有蒸馏攻击防御通常在蒸馏完成后立即评测，隐含假设攻击者不再继续训练模型，而更现实的威胁模型应包含蒸馏后的强化学习阶段。论文显示，一些在蒸馏后看似有效的防御，在后续强化学习后会被攻破，强化学习实际上降低了蒸馏攻击的门槛。作者还发现，仅使用当前 API 易于获取的数据进行简单攻击，就能从闭源大语言模型窃取推理能力，其推理提升效果与提取完整隐藏推理轨迹的复杂攻击相当。结论认为，任何泄露了足以重建近似推理轨迹信息的蒸馏防御都可能无效，并讨论了批量级蒸馏防御等可能更有效的方向。
Shobhan Roy 的论文指出，基于物理的求解器必须让编译器读取某些模块，但同一批知识产权不应被编码 Agent 读取，而现有工具链并不自带这条规则。作者针对容器、权限规则和沙箱三种隔离手段，对十五条读取路径做了分类，结论是三者都无法判断究竟是哪个程序在读取文件。论文共 6 页，含 1 张图和 1 张表，随附分类与历史脚本及其输出，归入 cs.CR、cs.AI 与 cs.SE，编号 arXiv:2609.35557。
研究者提出 ActionGuard，在技能影响的工具调用即将执行前进行授权检查，以阻止被投毒技能诱导的数据外泄、文件删除或未授权代码执行。该方法把目标智能体的动作生成上下文与护栏的授权上下文分离，Reviewer 不接触可能被投毒的原始技能文本，而是依据平衡后的技能画像、当前及近期工具调用和本地脚本内容，判断每个动作是否由可信用户请求所支持。ActionGuard 在 OpenClaw 的 before-tool-call 阶段拦截每次工具调用，并以 fail-closed 策略执行 ALLOW 或 DENY 决定。在 SKILL-INJECT 设置下，针对 139 个上下文注入和 180 个明显注入，使用三个开源和两个商用 Reviewer 模型与 Dynamic Guardian、SkillGuard 对比，每种条件重复三次，以攻击成功率（ASR）和任务成功率（TSR）评估。
针对基于 LLM 的仓库审计器在 CI 流水线中作为安全控制时因非确定性行为和策略变化难以维持即时保障的问题，研究者提出 Policy-Evidence-Execution Separation Pattern，并由 Trustworthy AI Posture（TAIP）Assurance Engine 以 Continuous Control Posture Assurance（CCPA）方式运行，将策略与稳定执行分离、把被采纳证据绑定到版本化 Posture Tree。该单主机测量仅覆盖对留存证据的保障，不含 RepoAudit 执行与模型推理。
研究者提出一种面向多智能体系统的双层存证设计，用于在事故后回答两个问题：哪个部署方发布了被报告的字节，以及每条跨部署方边是否获得授权。该设计不依赖共享权威、公共日志或预先约定的工作流，由受信任的部署方运行时对每次发布输出的哈希签名，并以链路证据记录边的授权情况。在统一威胁模型下，作者比较了签名链表、Merkle 链变体和共同签名 DAG 三种方案：子密钥被攻破后，单签名设计允许未授权的父级绑定，而共同签名 DAG 因要求父级授权该边而拒绝该绑定。在 Apple M1 Pro 上，仅链路检查每跳耗时 24.3-499.2 微秒；在本地多服务工作流中，父级发现子级的 A2A Agent Card，子级调用 MCP 工具并发布本地 LLM 输出，30 个签名 DAG 任务全部通过完整验证，仅凭子密钥的受控声明被拒绝，平均端到端延迟 813.1ms，无证据时为 770.8ms。
ChatGPT Mac 客户端修复了一个可绕过进程签名校验的漏洞，OpenAI 于 9 月 25 日发布修复，并在 changelog 中致谢研究员 Patrick Wardle；发帖者称该漏洞编号为 CVE-2026-100754、修复版本为 26.924.20706。该客户端在内部组件通信时会校验调用进程是否由 OpenAI 签名，并向上追溯父进程与祖父进程。研究者发现 ChatGPT 自带且被信任的脚本解释器可被嵌套启动三层，使恶意代码的进程链在向上三层检查中全部显示为 OpenAI 可信组件，从而通过验证。发帖者称攻击代码约十几行，一旦绕过即可借 ChatGPT 身份读取聊天记录并获取电脑权限。帖子同时转引作者自己此前的一条帖子，认为 macOS 正在收紧 Full Disk Access，以防 AI Agent 读取文件、邮件、Messages、浏览历史、配置和日志。
推荐理由还原了 ChatGPT Mac 进程信任链被绕过的具体机制与修复版本，可对照检查同类 Agent 的权限校验设计。
研究者提出 NovaFabric，在不修改 Agent 逻辑的前提下把一次 Agent 运行记录为可移植的 Run Capsule，用 DSSE 签名、RFC 3161 时间戳、Merkle 日志和脱敏证明封装，并支持四种模式的重放协议与第三方验证。评测显示，模拟重放可从 capsule 提供全部模型响应（10/10），但仅 2/10 的工具调用类工作负载完成，缺口在于缺少工具响应替换；三类篡改均被拒绝；声明流完整度为 0.652（95% CI ±0.064，十个场景）；修复后的规则包可脱敏 14/14 类凭据并保留 9/9 个诱饵；影响范围查询在 1000 万条边上 p99 为 45.5ms，在 1 亿条边上为 167.9ms。314 台机器、十个区域的运行中，capsule REST 写入无损，但受单 worker 串行化限制，吞吐上限为 61.6 req/s（p99 26.8s）。