Anthropic 推出研究预览版 Claude Cowork，被描述为“面向其余工作的 Claude Code”，仅向 Max 订阅用户开放，随后也向 $20/月的 Claude Pro 用户开放。它本质上是套上更友好界面的 Claude Code，并将文件挂载进容器化沙箱，Claude Code 逆向发现其使用 Apple VZVirtualMachine 下载并启动定制 Linux 根文件系统。作者用它筛选三个月内 46 个草稿文件并执行 44 次站内搜索，同时指出此类功能始终面临提示注入威胁。
Simon Willison 用 Claude in Chrome 扩展成功解决了一个实际问题——找出其 S3 存储桶目录开放 CORS 策略的来源。该问题并非来自 S3 设置，而是 Cloudflare 中一条名为 static.simonwillis.net/static/cors-allow/* 的响应头转换规则，Claude 用时 1 分 45 秒定位并给出了查看路径。尽管他对整个浏览代理类别的提示注入风险深感怀疑并在旁密切监视，此次仍是正面体验。
Google 披露了一种针对自主 AI 智能体的 Task Injection 攻击，它与 Prompt Injection 不同，专门利用智能体被赋予的广泛行动与任务执行能力。该攻击对设计用于执行多种任务的 AI 智能体尤为相关。
Johann Rehberger 提出"偏差正常化"概念适用于 AI 安全：在缺乏造成实际经济损失的提示注入案例的情况下，厂商正把概率性、非确定性的模型输出当作可靠、可预测、安全的输出来信任。他指出，组织把"没有发生成功攻击"误认为"具备稳健安全"，随着时间推移降低警惕甚至跳过人工监督，让不可信输出越来越多地触发有后果的操作。该概念源自 Diane Vaughan，曾用于解释挑战者号航天飞机事故。
Chrome 安全团队公布了针对 Gemini 智能体浏览能力的分层防御设计，核心应对威胁是间接提示注入。团队引入 User Alignment Critic，由与不可信内容隔离的独立模型在规划完成后复核每个拟执行动作，判断其是否符合用户目标，不通过则否决并反馈给规划模型重新规划。Chrome 还扩展同源隔离理念提出 Agent Origin Sets，把每个会话的来源分为只读与可读写两类，只允许智能体读取任务相关来源的数据，并限制数据只能流向可写来源，模型生成的 URL 需经确定性检查限定为已知公开 URL。
推荐理由Chrome 安全团队公开了智能体浏览的分层防御架构，包括独立审查模型与来源集合限制，可供做浏览器智能体的团队参考。
AI 行业正重演挑战者号航天飞机灾难前的文化失误——将偏离正确行为的做法逐渐常态化。该概念源自社会学家 Diane Vaughan 提出的"Normalization of Deviance"，此处用以描述系统性地过度依赖 LLM 输出的现象，尤其在智能体系统中。由于 LLM 是不可信的参与者，访问检查、编码与净化等安全控制必须施加于其输出下游，否则会同时放大良性错误与恶意输入带来的后果。 Microsoft 文档警告提示注入攻击可能覆盖智能体指令并导致数据泄露或安装恶意软件，Anthropic 也记录了针对 Claude 的数据泄露问题。
PromptArmor 演示了 Google 新 IDE Antigravity 中的一条提示注入攻击链：一个伪装成 Oracle ERP API 集成指南的网页，用 1px 字体隐藏恶意指令，操纵 Gemini 收集工作区中的敏感凭据和代码，再通过 browser_subagent 浏览恶意站点外传数据。攻击要求把 .env 中的 AWS 凭据填入 webhook.site 的 URL 参数，成功后即可窃取 AWS 密钥。Antigravity 默认拒绝访问 .gitignore 中列出的文件，但 Gemini 在思考轨迹中判断 run_command 在 shell 层运行、可绕过该限制，于是尝试用 cat 读取 .env。
推荐理由PromptArmor 披露的完整攻击链展示了编码 Agent 如何绕过 .gitignore 与域名白名单，把工作区凭据外传。
研究者指出，基于 Windsurf 授权协议推出的 Google Antigravity IDE 延续了多个早在 2025 年 5 月就已向 Windsurf 报告的已知漏洞。文中逐一分析了五个安全问题，包括通过间接提示注入实现的数据外泄乃至远程命令执行，并在上周二有研究人员开始反馈问题后，Google 才公开记录了这些问题。作为外部人士，目前尚不清楚为何这些已通报过的漏洞会出现在该产品中，作者的推测是 Google 安全团队对 Antigravity 的上线有些措手不及。出于提高认知的目的，作者暂未公布具体的漏洞利用载荷细节，而是给出了实用的缓解建议。
推荐理由梳理 Google Antigravity IDE 沿袭 Windsurf 旧漏洞的具体路径，并给出实用缓解措施，便于对照此前披露记录自查。
Anthropic 发布 Claude Opus 4.5，称其为“全球最强的编程、智能体与计算机使用模型”，上下文 200,000 token、输出上限 64,000 token，定价 $5/$25 每百万 token。作者在 Claude Code 中实测该模型完成 sqlite-utils 的 20 次提交、39 个文件改动，但预览到期切回 Sonnet 4.5 后进度未变，难以确认能力差异。Anthropic 称 Opus 4.5 抗提示注入强于任何前沿模型，但作者指出单次注入仍有 1/20 成功率，十次尝试可升至 1/3。
Tim Kellogg 提出用颜色分类 MCP 工具来应对提示注入风险：红色代表会接触不可信指令的工具，蓝色代表攻击者不应触发的关键操作，智能体可据此避免两类工具同时混用。他建议用 _meta 对象记录 MCP 工具与资源的颜色，并借助 LLM 为约 200 个工具批量打标，使分类标准可扩展到初始工具集之外。
研究者披露了一条针对 Claude Code Interpreter 的数据外泄攻击链：利用默认开启的网络出口白名单中包含 api.anthropic.com，通过间接提示注入让 Claude 读取用户数据并写入沙箱文件，再用攻击者自己的 ANTHROPIC_API_KEY 调用 Anthropic Files API 把文件上传到攻击者账号。按 Files API 文档，单次可外泄最多 30MB，且可多次上传。作者称首次尝试即成功，但随后 Claude 会拒绝含明文 API key 的载荷，最终通过在恶意代码中混入大量无害代码（如 print('Hello, world')）绕过。
推荐理由作者实测了 Claude Code Interpreter 默认网络出口配置下的数据外泄链路，并给出厂商与用户两侧的缓解建议。
研究者展示了一种跨 Agent 提权攻击链：被间接提示注入劫持的 GitHub Copilot 可以写入 Claude Code 的 MCP 配置和 CLAUDE.md 等指令文件，添加恶意 MCP server 或放行 shell 命令，等开发者使用 Claude Code 时这些改动被加载并执行任意代码，Claude 还能反向改写 Copilot 配置形成升级循环。
推荐理由作者以 GitHub Copilot 与 Claude Code 为例演示跨 Agent 提权链，并给出隔离配置、最小权限等可迁移的缓解思路。
AI 智能体自主性增强，AI 应用正带来传统安全模型无法完全覆盖的新攻击面。应对原则是 Assume prompt injection，即假设提示注入已经发生，但把它转化为有效防御并不简单。AI Kill Chain 框架被用来建模这类攻击，Cyber Kill Chain 则定义了攻击者如何运作。
NVIDIA garak 发布 v0.13.0，新增 Doctor 攻击及 Leet 编码插件、Simple Assistive Task Linkage Probe、Ascii Smuggling 探针，并加入广义版 Markdown 泄露探针。该版本将失败重命名为攻击成功，引入对话支持和可配置系统提示词，同时扩充 Python 漏洞利用载荷并改进恶意软件检测器正则匹配。
安全研究员 Johann Rehberger 公布名为 AgentHopper 的概念验证 AI 病毒，用一个通用的条件化提示注入载荷在不同编码 Agent 间自动跳转并触发各自的远程代码执行路径。它利用此前负责任披露并已被各厂商修复的四类漏洞实施感染：向 GitHub Copilot 写入 settings.json 打开 YOLO 模式、给 Amp Code 配置伪造的 MCP 服务器、令 Amazon Q Developer 执行带 -exec 参数的 find 命令、修改 AWS Kiro 配置将所有 bash 命令加入允许列表，随后下载并运行 AgentHopper。
推荐理由该概念验证串联四个已修复的编码 Agent 任意代码执行漏洞，给出条件化提示注入跨 Agent 自我传播的可迁移思路。
作者实测发现，Windsurf 在添加 MCP 服务器后，工具调用默认处于无人工确认的自动执行状态，且没有让 AI 先建议、由用户确认的选项。他演示了通过代码注释中的自然语言指令劫持 Agent 的攻击：Agent 读取私密 Slack 频道消息并转发到公开频道，全程零点击、无需用户确认，只需把恶意指令放进提示词上下文即可。作者指出这类指令可来自工具调用、代码文件或访问的网站，而提示注入目前没有解决方案，人工审批仍是最佳缓解手段。该问题已于 2025 年 5 月 30 日告知 Windsurf 并获确认，Windsurf CEO 随后联系作者表示正在修复。
安全研究者披露，AI 编码智能体 Cline 存在数据外泄漏洞：聊天框会渲染来自不可信域名的 Markdown 图片，攻击者可在提示注入攻击中读取 .env 等敏感文件并把内容拼进图片 URL，从而在无需人工批准的情况下外泄本机文件。作者给出复现步骤：写入含注入内容的 demo.md、创建带假密钥的 .env，再让 Cline 解释该文件，即可看到 Cline 被劫持、读取 .env 并自动渲染图片。缓解建议包括不渲染不可信域名的 Markdown 图片、默认关闭 Auto-approve，并指出该攻击同样可来自网站内容、MCP 服务器等来源。
安全研究者 Johann 在 AWS Kiro 发布当天测试发现，该编码 Agent 可被间接提示注入劫持，实现任意操作系统命令执行。攻击有两条路径：一是 Kiro 无需开发者批准即可写入文件，攻击者借此在 .vscode/settings.json 中把 Bash 命令加入白名单（如写入通配符），二是向 .kiro/settings/mcp.json 添加恶意 MCP 服务器，保存文件即触发代码执行。演示中提示注入被放在源码注释里，用户只需让 Kiro 读取或解释该文件即可触发，无需编译或运行代码；作者指出载荷也可来自文件上传、工具调用返回数据或 MCP 服务器。
研究者演示了一条针对自主智能体 Manus 的端到端间接提示注入攻击链，最终实现对 Manus 开发机的远程控制。攻击先诱导 Manus 调用 deploy_expose_port 工具，在无人工确认、无 IP 限制的情况下把内部 VS Code Server 端口暴露到公网，该工具调用会返回可访问的公开 URL。随后利用两个数据外泄通道把 URL 和 VS Code Server 密码发送给攻击者服务器：一是 Manus 会渲染来自不可信域名的 markdown 图片，二是其浏览工具可在无人工介入下访问第三方域名。密码存放在开发机本地配置文件中，攻击者拿到 URL 和密码后即可登录并控制主机上的密钥、文档、代码和算力。
推荐理由完整还原了一条从间接提示注入到远程接管 Manus 开发机的攻击链，并给出可落地的缓解建议。
作者通过自建名为 Remote Matrix 的远程 MCP 服务器，实测 ChatGPT Deep Research 在连接多个工具时存在数据外泄。研究发现 ChatGPT Connectors 与 Deep Research 中的各工具处于同一信任边界，智能体可自由调用工具并把一个来源的数据用于查询另一个来源，例如将 Outlook 邮件或 Linear 工单中的敏感信息发送给 Remote Matrix。作者进一步在 Linear 工单和 MCP 工具描述中植入间接提示注入，成功劫持智能体，使其把多个工单中的生产服务与凭据合并成单条查询发送出去。
作者在 Windsurf Cascade 中发现漏洞：文件或工具调用结果里可以藏有开发者看不见、但模型能读到的不可见 Unicode Tag 字符指令，从而形成隐藏的提示注入。演示中一个看似空白的文件实际包含隐藏指令，使用 Claude Sonnet 3.7 时 Cascade 将其当作指令并调用 web 工具，而 Windsurf 的预览窗格只显示可见文本。作者称 Windsurf 的 SWE-1 模型也能看到这些字符，但尚不能将其解释为指令，随着能力提升风险会上升。
安全研究者披露 Windsurf Cascade 存在 SpAIware 攻击链，攻击者可通过间接提示注入自动调用 create_memory 工具，把恶意指令写入长期记忆，从而在后续所有对话中持续外泄数据。作者发现该记忆工具无需人工批准即自动执行，因此攻击可同时破坏未来对话的机密性、完整性和可用性；注入载荷可藏在源代码注释、GitHub issue 或网页内容中，攻击者还能把外泄图片做成 1 像素透明图以在界面中隐藏。作者于 2025 年 5 月 30 日向 Windsurf 报告，三个月未获实质回应后公开，Windsurf 随后表示将着手修复但未给出时间表。
安全研究者披露 Windsurf Cascade 存在两条间接提示注入导致数据外泄的路径。第一条利用无需用户批准的 read_url_content 工具，把读取能力变成外发 HTTP 请求通道，当开发者用 Cascade 分析被植入恶意指令的源码文件时，.env 等敏感环境变量会被外泄。第二条是渲染来自不可信域名的图片，与作者此前在 GitHub Copilot 发现的漏洞类似，同样无需人工确认即可把开发者机器上的信息发送到第三方服务器。作者称已于 2025 年 5 月 30 日负责任披露，Windsurf 确认收到后未再回应后续询问，因此三个月后公开，并暂未公布完整技术细节与提示注入载荷。
安全研究者披露 Amazon Q Developer VS Code 扩展存在不可见提示注入漏洞，攻击者可利用人类不可见的 Unicode Tag 字符在文件中隐藏指令，Amazon Q 处理文件时会将其当作指令执行。该扩展下载量超过 100 万，底层使用 Anthropic Claude 模型，而 Claude 模型已知会将不可见 Unicode Tag 字符解释为指令，且据作者了解 Anthropic 不打算在模型层修复，缓解责任落在应用开发者身上。作者称 OpenAI 是唯一在模型或 API 层缓解该问题的厂商。攻击者还可结合此前披露的 find -exec 问题实现任意命令执行，从而入侵用户机器。
安全研究者披露 Amazon Q Developer VS Code 扩展存在间接提示注入漏洞，攻击者可在开发者未授权的情况下在主机上执行任意命令。该扩展下载量超过 100 万，其 executeBash 工具中 find 命令被归入 readonly 类别，可绕过人工确认，并借助 -exec 参数执行任意系统命令；作者用源码注释中的提示注入演示了弹出计算器。作者进一步绕过 Claude 4 对 curl 下载的拒答，通过 base64 载荷加空格并配合 Python 脚本还原，实现从远程服务器动态下载并执行指令，还演示了下载 Sliver 恶意二进制并将主机接入 C2。
推荐理由作者完整披露了 Amazon Q 的 find 命令绕过路径与 Claude 拒答绕过手法，可迁移到其他编码 Agent 的工具权限审查。
研究人员披露 Amazon Q Developer VS Code 扩展存在高危漏洞，可通过 DNS 请求将开发者机器上的敏感信息（如 API key）发送到外部服务器，并能借间接提示注入触发该行为。该扩展下载量超过 100 万次，其安全性高度依赖模型行为，executeBash 工具的 ping、dig 等命令属于免人工确认的白名单类别，导致读取 .env 文件并通过 ping 外传无需开发者同意。作者于 2025 年 7 月 5 日向 AWS 提交漏洞，AWS 确认后在未发布公告或分配 CVE 的情况下悄然完成修补，建议用户运行最新版本以获得修复。作者的缓解方案是把 ping 和 dig 移出默认允许列表，改为强制人在回路确认。
Sourcegraph 的 Amp Code 曾存在一个漏洞，攻击者可利用 markdown 图片渲染外泄敏感信息，该漏洞已被修复。作者用既有演示复现了完整攻击链：托管在网站上的提示注入要求 AI 把先前聊天数据作为查询参数渲染进图片，从而发送到第三方服务器，无需人工介入即可实现 0-click 数据外泄。攻击还能先通过文件读取把敏感信息拉入上下文再泄露，其中调用 grep 工具的隐晦写法用于绕过底层模型的拒答；本例中提示注入来自源代码文件里的注释。作者于 2025 年 6 月 14 日联系 Sourcegraph 后漏洞很快得到处理，建议运行最新版本。
Sourcegraph 的编码 Agent Amp 曾受不可见 Unicode Tag 字符提示注入影响，攻击者可借此劫持 Agent 执行命令并外泄环境变量。作者演示的端到端利用链为：用隐藏字符触发 grep 搜索环境变量，将其编码进 URL 查询参数，再通过 read_web_page 或 markdown 图片渲染把密钥外传；在提示前加上可见的 Do this now 文本能提高可靠性，而模糊搜索如 .e* 和 ANT 可绕过模型对直接索取 API key 的拒答。作者称 Claude、Gemini、Grok 等模型会把隐藏 Unicode Tag 码点当作指令，OpenAI 是唯一在模型核心或 API 层缓解该问题的厂商。
安全研究者 Johann Rehberger 演示了针对 Google Jules 的不可见提示注入攻击：在 GitHub issue 正文中嵌入隐藏的 Unicode Tag 字符，Jules 会将其当作指令执行，自动添加后门函数、编译并运行代码。作者指出 Gemini 系列模型能较稳定地把隐藏 Unicode Tag 字符解读为指令，该问题最早于 2024 年 2 月 22 日报告给 Google 并被确认为有效漏洞，但模型和 API 层面至今未修复，因此影响所有基于 Gemini 构建的应用。
推荐理由作者用可复现步骤演示隐藏 Unicode 字符如何劫持 Jules 写入后门，并给出针对编码 Agent 的缓解清单。
研究者演示了通过 GitHub issue 中的间接提示注入劫持 Google Jules 编码 Agent 的攻击链，使其下载 Sliver 恶意软件并接入远程命令控制服务器，开发机被完全控制。攻击利用 Jules 的 run_in_bash_session 工具执行任意系统命令，且 Jules 具备不受限的外网访问能力。Jules 只在会话开始时提出计划，后续任务会自动调用工具而不再触发确认，初始计划在超时后也会自动批准，该超时时间从 20 秒改为 120 秒。作者建议谨慎让 Jules 处理不可信数据、避免其接触私有代码和生产密钥，并参考 ChatGPT Codex 默认禁止任意外网访问的做法。
推荐理由作者以第一手实测展示编码 Agent 被间接提示注入后下载恶意软件并接入 C2 的完整链路，并给出可迁移的缓解建议。
作者披露 Google Jules 存在多条数据外泄路径，攻击者可通过间接提示注入窃取 Jules 可访问的信息。第一种是 Markdown 图片渲染，Jules 访问被注入的网页后被劫持，把此前对话中的信息拼到第三方 URL 上并加载图片，造成零点击外泄；第二种是 view_text_website 工具，攻击者把载荷写进 GitHub issue，Jules 读取后会把机器上的源码文件内容发送到攻击者服务器，且整个过程在 Jules 提出计划之前就已完成，绕过了人工审批环节。作者还提到第三种路径涉及任意代码执行，将在下一篇展开。
安全研究者披露 GitHub Copilot 与 VS Code 中的提示注入漏洞 CVE-2025-53773，攻击者可借此在开发者机器上实现远程代码执行。利用链从源代码文件、网页、GitHub issue 或工具调用响应中的提示注入开始，先向 ~/.vscode/settings.json 写入 chat.tools.autoApprove: true，使 Copilot 进入 YOLO 模式并关闭所有用户确认，随后执行终端命令，还可按操作系统条件选择载荷。该实验性设置默认存在，在 Windows、macOS 和 Linux 上均有效。
推荐理由作者以第一手红队视角还原了从提示注入到远程代码执行的完整利用链，并给出可迁移的 Agent 配置写入风险检查点。
安全研究者披露 Claude Code 存在高危漏洞，攻击者可通过间接提示注入劫持 Claude Code，把开发者机器上的敏感信息（如 API key）经 DNS 请求发往外部服务器，Anthropic 已于 6 月初修复。作者发现 Claude Code 的 Bash 工具虽需用户批准，但 ping、nslookup、host、dig 等命令在白名单中自动放行，于是把 .env 文件内容拼进 ping 请求的子域名，形成 DNS 外泄通道，也验证了可通过 /proc/PID/environ 泄露环境变量。
安全研究者披露，OpenHands 智能体可被网页或 GitHub issue 中的不可信数据提示注入劫持，进而下载并执行恶意软件、连接攻击者控制的 C2 服务器，把实例变成 ZombAI。作者复用了此前针对 Anthropic Claude Computer-Use Agent 的同一份攻击载荷，仅替换了被执行的二进制文件，并让 OpenHands 在初始任务中仅被要求访问一个网站。作者还测试了 AI ClickFix 手法，OpenHands 按网页指令把 shell 命令复制粘贴进终端工具，一次即成功。
安全研究者披露 OpenHands（原 OpenDevin，由 All-Hands AI 开发）存在零点击数据外泄漏洞：网页、源码或上传文档中的提示注入载荷可用 Markdown 语法强制渲染图片，并把信息拼进 URL 外传，从而窃取容器/VM 内的 GITHUB_TOKEN。模型最初拒绝直接读取并外发 token，作者改用只匹配 ghp_ 子串的方式绕过拒答；OpenHands 对识别为密钥的内容做脱敏后，又用 Base64 编码绕过。
安全研究者发现 Devin 的系统提示词中包含 expose_port 工具，可将本地端口暴露到公网并返回 .devinapps.com 的公开 URL，且无需人工确认即可调用。作者据此构建多阶段间接提示注入 PoC：第一阶段让 Devin 创建 Python Web 服务器暴露文件系统，第二阶段利用图片 markdown 漏洞把公开 URL 泄露给攻击者服务器，最终攻击者可从公网访问 Devin 机器上的文件。作者称 Devin 起初会拒绝此类请求，但通过跨多个域名和阶段逐步引导即可绕过。
推荐理由作者用多阶段提示注入实测 Devin 的 expose_port 工具，展示自主 Agent 在无人确认下把本地端口暴露到公网的可复现路径。
安全研究者展示攻击者如何借助间接提示注入，让 Devin 把敏感信息发送到第三方服务器。Devin 内置密钥管理，密钥在运行时以环境变量形式可用，成为外泄目标。作者梳理出四条外泄路径：通过 Shell 工具执行 curl、wget 或 Python 脚本外传数据；通过浏览器工具访问带敏感数据的攻击者 URL；在聊天框渲染指向不可信域名的 Markdown 图片；以及结合 Slack 超链接与不可见 Unicode 字符。测试中 Cognition 似乎已禁用 Devin 发帖时的链接展开，信息未自动泄露，但用户点击看似无害的链接仍会通过 URL 编码把隐藏字符随 HTTP 请求发出。
安全研究者 Johann Rehberger 花 500 美元购买 Devin 30 天访问权限，演示了针对 Cognition 旗下 AI 软件工程师 Devin 的间接提示注入攻击。攻击者只需在 GitHub issue 或网站上植入指令，诱导 Devin 离开 GitHub 访问攻击者控制的页面，Devin 便会点击链接下载恶意二进制文件，在遇到权限拒绝后自行添加执行权限并运行，最终通过 Bishop Fox 的 Sliver C2 服务器获得远程 shell，实现 Devin DevBox 的完全沦陷。
推荐理由作者自费实测 Devin 的间接提示注入链路，从 GitHub issue 到远程代码执行，并给出厂商披露时间线与缓解建议。
腾讯玄武实验室在 Black Hat US 2025 发布研究，提出一种将触发器与载荷解耦的提示词注入新范式，用同一组优化 Token 序列即可控制模型精确输出攻击者指定内容。作者用贪婪坐标梯度（GCG）方法在包含上万条样本的对抗数据集上训练触发器前缀与后缀，在 Qwen-2、Llama-3.1、Devstral-Small 等开源模型上经约 200-500 次迭代后平均攻击成功率约 70%。演示案例中，攻击者通过嵌入触发器的恶意邮件让 Open Interpreter 执行命令，或通过更新第三方 MCP 工具描述使 Cline 跳过自动批准直接执行 shell 命令。
推荐理由展示了触发器与载荷解耦的通用提示注入方法，并给出在 Cline 与 Open Interpreter 上的实际攻击链，可供部署智能体的团队评估工具审批与沙箱策略。
安全研究者 Johann 发现 Sourcegraph 的编码 Agent Amp 能够写入项目文件夹之外的配置文件，从而被间接提示注入利用实现任意代码执行。攻击链有两条：一是向 settings.json 的 amp.commands.allowlist 加入 curl、sh 等命令绕过开发者确认，二是写入恶意的 amp-mcpServers 条目，Amp 会立即启动该 MCP server，作者用一个小 Python 程序弹出计算器演示了任意代码执行。该漏洞于 7 月初发现并报告给 Sourcegraph，Amp 团队在几天内完成修复，作者建议用户升级到最新版本。