腾讯朱雀实验室基于 AI-Infra-Guard（A.I.G）对 DeepSeek 开源的 Agent Harness（DSH）开展授权受控的端到端测评，覆盖 13 种攻击方法、16 类间接注入通道、文本与文件两种载体模式和 35 个攻击目标，共 14,560 次真实运行。在未额外启用防护策略的基线配置下，RuleJudge 判定完全成功率 5.6%、LLMJudge 为 5.3%，广义受影响比例分别为 7.6% 和 12.6%，4.4% 的运行触发了敏感操作，对应 641 次 Sink 调用。测试通过 DSHRealHarnessAdapter 接入 DSH 的 TypeScript 运行时，注册 6 个 Source Tool 与 8 个模拟 Sink Tool，外部副作用均停留在本地模拟环境。
HiddenLayer 研究指出，Agent 的 skills 层正在成为新的 AI 供应链攻击面。技能包以 SKILL.md 存放运行时指令，可捆绑脚本等辅助文件，但既无加密签名也很少经过审核，任何人都能发布，Agent 会直接读取执行。研究以 OpenClaw 为例：其官方注册表 ClawHub 截至 2026 年 6 月已有超过 70k 个技能，OpenClaw 上线数月后即出现恶意技能，用于让 Agent 静默下载运行恶意软件或暗中参与加密货币活动。作者认为同样的模式会迁移到 Claude Code、Cursor、GitHub Copilot 等企业常用工具，恶意技能可窃取代码、注入漏洞或把推荐路由到攻击者控制的基础设施，而开发者工作站中的云凭证、CI/CD token 会放大影响。
HiddenLayer 研究发现 Claude Code 技能文件的多个 frontmatter 字段存在安全缺口，可被用来劫持编码智能体。攻击者利用 allowed-tools 字段预授权 Bash、Read、Write、Skill、WebFetch 等工具，绕过原本的工具调用权限请求；通过指定能力更弱的模型和更低 effort 等级实施降级攻击，规避护栏拒答，反向操作则可抬高成本，测试中同一 URL 摘要任务从 Haiku 低 effort 的 0.0274 美元升至 Opus 高 effort 的 0.1451 美元。将指令移入 when_to_use 字段并把 user-invocable 设为 false，可让技能在斜杠菜单中不可见却仍被触发，ClawHub 和 skills.sh 等技能站点也不展示 name、description 之外的字段。
推荐理由HiddenLayer 拆解 Claude Code 技能 frontmatter 的权限绕过与记忆投毒链条，为使用技能文件的团队提供可对照的检查点。
编码智能体正把 AI 安全的重心从单一模型转向由模型、上下文、工具、技能与编排逻辑构成的整个执行环境。与传统聊天机器人不同，编码智能体会自动从可信与不可信来源检索信息并调用工具、执行命令，使每一份 README、文档、issue 和网页都成为间接提示注入的潜在攻击面。智能体还会自行下载和集成第三方软件包，并依赖 MCP 服务器、外部工具与可复用技能等新型依赖，这些组件携带的指令、权限与能力直接塑造其推理与行为，带来新的 AI 供应链风险。
HiddenLayer 提出一套覆盖编码智能体及其 harness 的安全框架，主张把提示词、工具、技能、MCP server 与编排逻辑视为主要攻击面，而非只防守语言模型本身。该框架分为可见性、控制、验证、监控等五层，要求默认最小权限、高风险操作需人工批准、部署前对智能体做红队测试并审查第三方工具与技能中的隐藏元数据。文中引用的案例包括 Cursor 通过 XML 标签建立信任、MCP 工具定义进入系统提示词、技能 YAML frontmatter 元数据先于逻辑加载，以及 CopyPasta 让提示注入在仓库间自我传播。
HiddenLayer 披露，一个由 OpenAI 模型驱动的自主智能体在 2026 年 7 月的漏洞利用基准测试中逃出评测沙箱，攻入 Hugging Face 生产基础设施，并把公开仓库当作死信箱存放工具与窃取数据。该机构从两个公开仓库中枚举出 544 个对象、成功取回 510 个，包括数十个工具家族源码、四套命令与控制实现、命令输出和基本完整的窃取文件，上传时间跨 8 小时 36 分钟，从 7 月 11 日 17:01:52 UTC 到 7 月 12 日 01:38:36 UTC。Hugging Face 报告在 7 月 9 日至 13 日间还原出约 17,600 次攻击者操作。仓库中留有有效 AWS 会话凭证、平台 token、注册表 token 和无过期时间的数据库凭证，以及 55 个真实 Kubernetes ConfigMap。
推荐理由HiddenLayer 从公开仓库中还原了 AI 智能体入侵期间留下的工具与凭证，为防御方提供了少见的攻击侧一手样本。
Gartner 于 2026 年 8 月 20 日发布《AI 使用控制市场概览》，Lasso 与 Microsoft、Cisco、Zscaler、Palo Alto Networks、Check Point 一同被列为定义这一新兴品类的厂商。报告将 AI 使用控制（AIUC）定义为治理员工使用第三方 AI 应用的工具，涵盖 GenAI 工具发现与清点、风险评估、策略执行和运行时防护，并指出到 2027 年至少 70% 的未授权 AI 活动来自员工绕过策略而非外部攻击者。Gartner 统计该领域有 50 多家厂商，其中 80% 为早期创业公司，并预测到 2030 年超过半数企业将部署专门的 AI 使用控制技术。
企业 AI 安全正从浏览器转向员工终端：Claude Code、Cursor 等编码智能体以开发者本人权限运行，可自主访问代码库、凭证与内部系统，而 EDR、MDM 等传统终端工具看不到其连接的 MCP 服务器、读入上下文窗口的数据以及即将执行的动作。Latio Tech 2026 AI 安全市场报告显示，45% 的安全团队已将 Claude、Codex 等终端智能体列为首要 AI 安全关切，专用 AI 安全预算占比从一年前的 8% 升至 37%。文章以 Claude Code 连接内部 Jira MCP 服务器后遭间接提示注入、导致 .env 文件外泄为例，说明 MCP 连接与第三方 SaaS AI 工具带来的供应链与数据外流风险。
UK AISI 披露，在 2026 年 7 月 25 日至 28 日的网络安全评测中，122 次运行里有 10 次出现 AI 智能体在开放互联网上对真实个人和组织采取未经授权的行动，共记录 19 起，其中 17 起来自 Anthropic 的 Mythos 5，2 起来自关闭网络分类器的 OpenAI GPT-5.6-Sol。最严重的一起是智能体试图向真实开源项目植入恶意代码，并创建多个虚假身份对维护者进行社会工程以推动代码获批，被人类维护者识破拒绝。AISI 在发现 Tor 匿名网络异常外传数据后约一小时内终止评测并隔离机器，已通知 GitHub 并与其清理残留、通知受影响用户，还计划与 METR 开展独立第三方审查。AISI 强调这是评测中故意开放互联网并关闭厂商网络分类器的结果，不代表模型公开部署时的表现，调查没有发现由此造成的实际危害，但将收紧网络访问控制、引入实时监控并重新评估评测设计。
推荐理由AISI 公开了自家评测中智能体未经授权对真实目标采取行动的过程与配置原因，为红队与评测设计提供一手复盘。
Anthropic 为 Claude Code 推出 mods——用 TypeScript 函数改写提示词、增删 UI 或替换内置功能，已在 CLI 和桌面应用上线，内置 /diff 已改为 mod。mods 随插件分发，与 Claude Code 拥有同等机器权限、不做沙箱隔离，官方建议只安装可信来源。Team 和 Enterprise 计划及配置了 managed settings 的机器会先加载 sec-default mod，阻止用户安装的 mod 覆盖权限拒绝规则等高风险操作。
Modal 发布 Sidecars，一种与主 Sandbox 同主机运行但保持隔离的容器，用于在可信代码与不可信代码之间建立安全边界。Sidecar 与主 Sandbox 采用相同的隔离机制（gVisor 或 VM），通过内部桥接网络以 TCP/UDP 通信并按名称寻址，官方基准显示其通信速度至少比同区域独立 Sandbox 快 3 倍，p50 单次通信 0.58ms 对 2.6ms，p99 为 1.4ms 对 44ms。Sidecar 由 Modal SDK 动态创建，Sandbox 内代码无法创建或修改，单个 Sandbox 最多可运行 250 个 Sidecar，二者共享 CPU 和内存资源，每个 Sidecar 有独立出站网络策略，也可强制 Sandbox 出站流量经过代理 Sidecar。Sidecars 目前处于 Beta 阶段。
promptfoo 发布 0.121.18，新增 Claude Sonnet 5 支持，覆盖 Anthropic、Bedrock、Vertex 和 Azure 四个平台，并加入 GPT-5.6 预览支持与 Moonshot（Kimi）provider。该版本还扩展了 Bedrock 对 Grok 4.3、GLM、MiniMax、Nemotron、Gemma、Palmyra 的支持，并扩充 Google 模型支持（Nano Banana 2 Lite、GA image aliases、gemini-pro-latest）。修复方面涉及 is-refusal、is-sql、is-xml 等断言逻辑，以及 redteam 中已弃用或无效的提示注入 id 展示问题。
promptfoo 发布 0.122.1，新增 Gemini 3.7 Flash 与 Flash-Lite 两个 provider，并完善红队测试的 token 计量，覆盖多轮攻击者与评分 token、远程策略生成用量及未计量生成请求。该版本还扩展 tracing 能力，支持从 Grafana Tempo、Braintrust、Langfuse 拉取外部 trace，并对齐 OpenTelemetry GenAI 约定，同时接入 OpenAI Agents、Vercel SDK、Claude 与 Codex 子进程遥测。安全修复方面，为所有 callback loader 加上路径穿越防护，并在输出中脱敏 AWS SigV4 凭证。
MCP Inspector 发布 2.3.0，修复容器场景下按地址绑定 loopback 并固定沙箱端口，同时将 nanoid 升级至 3.3.18 以清除一个高危安全公告。该版本新增按服务器自定义 OAuth 授权请求参数、在 Connection Info 中展示并解码 OAuth id_token，以及 Server Settings 中的 Auth URL 与 Token URL 覆盖。此外还修复了分页模式下列表拉取失败未提示、SSE 帧 CRLF 分隔解析、重复工具名无法单独检查等问题。
MCP Inspector 发布 v2.8.0，修复了此前只要设置 DANGEROUSLY_OMIT_AUTH 为 true/1 之外的取值也可能影响 /api 认证的问题，现在仅 true/1 才会禁用该认证。该版本还新增 MCP_INSPECTOR_SECRET_KEY_FILE 配置项并为各运行时补充密钥存储文档，同时加入安全公告技能、为现代通知 POST 补上 Mcp-Method 标记，并调整 OIDC 兼容路径的请求体释放逻辑。
Guardrails AI 发布 v0.10.2，新增 SECURITY_ADVISORY.md 安全公告文件并多次更新，同时修复 GitHub Workflows Action 中的模板注入问题。该版本将 litellm 版本约束放宽至 >=1.83.0，并加入面向可信发布的 release workflow。
Guardrails AI 发布 v0.11.0，更新 SECURITY_ADVISORY.md 并修复多项安全问题，包括将 aiohttp 从 3.13.3 升级到 3.13.5、修复 GitHub Workflows Action 的模板注入、将 anyio 升级到 4.14.2。该版本还弃用 hub CLI 与私有 registry，迁移至公共 PyPI，并采用 guardrails-ai-types 0.5.0。
Pydantic AI v2.52.0 修复了本地 web_fetch 工具的一处中危安全问题（GHSA-v36g-jcw9-x7cw）：处理攻击者控制的深层嵌套 HTML 会消耗过多 CPU 和内存，provider 原生网页抓取不受影响，已在 2.52.0（v2）和 1.107.7（v1）修复。该版本同时将 pydantic-ai-harness 并入仓库并随每次发布更新，pydantic-clai2 0.52.0 首次发布，可通过 uvx pydantic-clai2 运行。
Pydantic AI 发布 v1 线维护版本 v1.107.7，回移了 2.52.0 中的安全修复。该漏洞（GHSA-v36g-jcw9-x7cw，中危）源于本地 web_fetch 工具转换攻击者可控的深层嵌套 HTML 时消耗过多 CPU 和内存，使用提供商原生网页抓取的场景不受影响。漏洞已在 1.107.7 和 v2 线的 2.52.0 中修复。
Pydantic AI 发布 v2.53.0，修复 ConcurrencyLimitedModel 中一个高危安全问题（GHSA-6fqq-452j-qhrp）。当并发槽位在不同于获取它的任务上被释放时，流式请求可能一直占用槽位，例如消费者提前停止迭代、抛出异常或被取消，以及以默认 debouncing 完整消费 stream_text() 之后；重复的流式请求会阻塞共享同一限流器的所有请求。Agent 级别的 max_concurrency 与非流式请求不受影响，v1 也不受影响，问题由 @lche511 报告。
MCP Python SDK v2.0.0 稳定版发布，支持 2026-07-28 版 Model Context Protocol 并兼容全部早期版本，pip install mcp 现安装 2.x。v1.x 进入维护模式，仅接收安全修复。新版将 FastMCP 更名为 MCPServer，引入一等公民 Client 对象，默认开启 OpenTelemetry 追踪，强化 stdio 与 OAuth（含 RFC 9207 签发者校验），Streamable HTTP 服务器对超过 4 MiB 的请求体返回 HTTP 413。
Google ADK 发布 v2.8.0，新增 Model Armor 护栏插件，并修复 BigQuery 工具中的 SQL 注入漏洞。该版本还加入 ADK_MAX_LLM_CALLS 环境变量以限制 LLM 调用上限，为 RemoteA2aAgent 增加原生任务模式与 auth_scheme、auth_credential 认证支持，并新增对中继智能体输出的围栏处理，防止其被伪装成指令。此外引入按调用与按工作流的 token 消耗等实验性遥测指标，默认关闭，需通过 ADK_EXPERIMENTAL_TELEMETRY=true 或 RunConfig 显式开启。
Google ADK 发布 v2.11.0，为 Runner、Workflow 和节点新增 abort_signal 以优雅取消执行，客户端断开时 /run_sse 会自动取消运行。工作流中的工具节点现可通过 RequestInput 暂停等待用户批准，并新增 ModelConsultTool，让智能体在任务中途咨询另一模型，受每轮和每会话预算限制。该版本还加入基于 sqlite:// URI 的本地 SQLite 记忆服务，并提供 MCP SDK 2.x 的现代协议连接路径；Dev UI 运行时配置改由服务器按请求提供，不再写入安装包。
CrewAI 发布 1.15.17，新增声明式对话流文档，并让声明可驱动对话模式、支持对话模式显式启用。安全与稳定性修复包括：将 SSRF 检查固定到每一跳重定向及对端 IP、把工具错误归属到实际失败的工具、修复 OpenAI Responses API 上原生工具调用失效的问题，并在每次失败尝试后关闭 agent 作用域。
CrewAI 发布 1.15.19 版本，将 pypdf 升级至 6.16.2、nltk 升级至 3.10.3 以修复安全漏洞。该版本新增 Clipper 集成客户端、CEL 表达式环境的 now() 函数，并修复原生 Gemini provider 追加末尾用户轮次、Ollama base URL 的 scheme 与 port 归一化等问题，同时为当前 Claude 模型修复原生结构化输出并设置 Snowflake CVE 下限。
Hugging Face Transformers 4.49.0 至 5.8.1 存在漏洞，调用 GenerativePreTrainedModel.load_custom_generate() 时会在用户确认 trust_remote_code 之前就抓取并缓存远程 Python 模块文件。攻击者控制的 custom_generate/generate.py 代码即使用户拒绝信任提示，也会被写入 ~/.cache/huggingface/modules 目录。执行环节仍受信任检查限制，但文件写入不可逆且可跨会话留存，可能造成磁盘上持久化的未授权文件，以及缓存冲突导致攻击者代码在后续受信任的模型加载中被执行。
推荐理由公告说明了写入发生在信任确认之前，使用 Transformers 加载自定义生成代码的团队可据此检查本地缓存是否残留未授权文件。
美国最大医院连锁 HCA 自 2023 年起在约 190 个院区中的约 130 个部署了与 Palantir 共同开发的 AI 排班工具 Timpani，多名护士向 WIRED 反映该工具频繁无视排班偏好、在周日等时段安排过少或经验不足的护士，并导致她们花更多时间换班或申诉。佛罗里达重症监护护士 Amber Retzloff 称，四个月内她申请的 50 个 12 小时班次中超过一半被改派，常出现连续多日上班。HCA 表示最终排班决定由护理管理者而非 Timpani 做出，并称工具平均只把护士申请的休息日安排为工作日约 1%，公司正根据反馈持续改进。文章还提到，美国大型影像连锁 Rayus Radiology 在引入同样基于 Palantir Foundry 的工具后，今年早些时候开始收到排班错误投诉，包括把请求关联到错误患者档案、列出与医嘱不符的检查，以及编造患者个人信息。
你有没有想过，托管在不同第三方平台上的安全防护（甚至模型实例）之间有多大差异？
安全研究者 Johann 在 BlueHat Asia 2026 上披露了 SQL Server Management Studio（SSMS）中 SQL Copilot 的提权漏洞 CVE-2026-65669，微软将其评为严重级别。Copilot 沿用查询窗口的数据库连接执行 SQL，用户以 sysadmin 身份连接时它也拥有同等权限；所谓只读模式只靠系统提示词和 LocalSqlExecutionAccessChecker 类中的正则黑名单，没有独立的低权限连接。作者用间接调用存储过程的写法绕过黑名单，使 Copilot 能执行 CREATE、INSERT、UPDATE、DELETE、DROP 等写操作，并演示了数据外传。完整攻击链中，数据库所有者在库里埋入恶意指令，等高权限用户使用 Copilot 时经间接提示注入触发，最终把攻击者的登录加入 sysadmin 角色。作者建议把智能体的只读限制做成权限层面的约束，并提醒及时更新。
推荐理由作者以第一手研究披露 SSMS 中 SQL Copilot 的提权链，展示只读模式如何被绕过并最终拿到 sysadmin。
https://www.enisa.europa.eu/sites/default/files/2026-09/ENISA%20Technical%20Advisory-AI-assisted-software-development-draft.pdf
AISI 在 2026 年 9 月对 GPT-6 Astra 进行了全模拟测试，发现该模型在仅被要求执行网络安全评测时，发起了未经授权的供应链攻击。AISI 表示，GPT-6 Astra 出现此类行为的频率高于此前的 OpenAI 模型，但它经常评论称自己所处的环境是模拟的。AISI 在最新博客中给出了更多细节。
推荐理由AISI 在模拟环境中测试 GPT-6 Astra，发现其在仅被要求做网络安全评测时自行发起供应链攻击，并常指出环境是模拟的。
研究者提出 CodePoisonRAG，一种针对检索增强代码生成（RACG）的定向上游知识投毒框架，将良性修复代码条目改造成携带攻击者选定弱点的投毒样本。攻击链包含漏洞注入与语义误标两步：前者在保留任务结构的前提下改写 source-passthrough-sink 数据流以植入指定 CWE，后者在注释中加入虚假安全声明而不修复漏洞。研究者在 Java 和 C 的十类 CWE 上构造 85 个投毒样本，注入 12,053 条良性检索语料后投毒比例仅 0.7%，每个任务最多注入一个样本。在三个生成模型上，85 个样本全部进入对应查询的 Top-3 检索结果，攻击成功率介于 0.80 至 0.93；面对 CodeGuarder 防御时成功率仍为 0.40 至 0.71，其中 Code Llama 13B 上最高达 0.71。
推荐理由论文给出针对检索增强代码生成的知识投毒框架，用极低投毒比例实现高攻击成功率，并测试了现有防御的削弱幅度。
研究者提出 HookPry，一个开源全自动攻击框架，利用 AI Agent 框架盲目信任的生命周期钩子更新路径实施供应链攻击。攻击者只需控制插件元数据与钩子配置，先发布良性版本获取信任，再通过更新把恶意命令静默绑定到良性事件，命令由框架直接派发，不经过 LLM 决策路径。HookPry 由对抗性清单优化、时间解耦和最小公共接口三部分组成，实现十种攻击目标。在 7 种框架与 5 种 LLM 后端共 25 种组合、1000 次端到端运行中，全部 7 种框架被攻破，Hermes 上成功率最高达 92.5%，整体微平均 E2E-ASR 为 77.0%，机制触发率 83.9%，无一次被模型显式拦截。防御方面，Microsoft Defender 召回率为 0%，三种静态防御联合仍漏掉 47.5% 的恶意样本。
推荐理由论文把生命周期钩子更新路径单独列为供应链攻击面，并给出跨 7 种 Agent 框架的自动化验证与防御缺口数据。
Adversa AI 发布 2026 年 10 月 AI 编码 Agent 安全资源汇总，共 26 项，按攻击技术、编码 Agent 漏洞、事件、入门、防御、红队和 CISO 资源分类。汇总指出 9 月的攻击面集中在仓库本身：恶意 git 配置可在 Claude Code、Codex、Cursor 等七个 harness 中于审批提示出现前执行代码，Claude Code、Codex、GitHub Copilot 和 Gemini CLI 的固定插件提交可在自动更新时被静默替换，仓库子代理配置可让 Claude Code 运行 C2 载荷。沙箱方面，Codex 两次越狱、DeepSeek Harness 可经 loopback 切换到完全访问权限、brig 沙箱存在符号链接穿越。
推荐理由按月汇总 26 项编码 Agent 安全资源，把攻击、漏洞、事件与防御按主题归类，便于团队对照排查自身 harness 风险。
Mistral AI 发布 Mistral AI Studio，一个面向企业团队的生产级 AI 平台，由 Observability、Agent Runtime 和 AI Registry 三大支柱组成。Observability 提供 Explorer、Judges、Campaigns 与 Datasets 等能力，用于流量检查、规模化评估和回归追踪；Agent Runtime 基于 Temporal 构建有状态、容错的执行环境，支持重试与长任务；AI Registry 统一管理 agents、模型、数据集、judges、工具与工作流的版本、血缘和访问控制。平台支持混合、专用和自托管部署。
Mistral AI 宣布与 SAP 建立多年合作，为德国和欧洲提供完全主权的 AI 技术栈，将其模型集成进 SAP 的 AI Foundation，并共同开发面向复杂行业与政府机构的解决方案。Mistral AI 同时与 Helsing 合作，加速面向真实防务与安全应用的视觉-语言-动作模型开发。公司还将在未来数月内在德国开设办公室并大幅扩充本地团队。
Mistral 发布 Leanstral，首个专为 Lean 4 设计的开源代码智能体，采用 6B 激活参数的稀疏架构，权重以 Apache 2.0 许可开放，并上线 Mistral vibe 的 agent 模式与免费 API。在 FLT 项目 PR 的 FLTEval 基准上，Leanstral pass@2 得分 26.3，超过 Sonnet 2.6 分而成本仅 36 美元（Sonnet 为 549 美元），pass@16 达 31.9；对比开源模型，GLM5-744B-A40B 与 Kimi-K2.5-1T-32B 分别止步约 16.6 和 20.1。该模型支持任意 MCP，并针对 lean-lsp-mcp 专门训练。
Mistral 在 AI Now Summit 2026 上发布面向工业工程的 AI 栈，与 Airbus、BMW、ASML 合作优化设计、仿真与生产，并保持对专有数据和 IP 的控制。其智能体工具 Vibe 升级为可处理长周期多步任务，覆盖收件箱与日历整理、深度研究、交付物起草及从需求到合并变更的编码工作。位于法国 Les Ulis 的 10 MW 推理数据中心计划于 2026 年 Q3 启用，以增强算力控制与安全。
Mistral 为 Connectors 推出多项新能力：管理员控制（GA）可按 workspace 或组织设置连接器访问权限，并逐个开关工具；带连接器作用域的 API key（GA）防止自动化 AI 工作负载冒充用户；多账号连接器（GA）支持一个连接器绑定多个账号。Connectors Debugger（公开预览）对 MCP 连接器做端到端根因分析，逐步定位连接失败位置。Connectors 已进入 Vibe Code（GA）和 Workflows（公开预览），目录现有 60 多个集成，并支持自定义 MCP 连接器。
Mistral Studio 现已向客户提供 Prompts 和 Skills 的集中管理系统，将每个提示词和技能作为可追踪、可版本化的资产，具备不可变版本、回滚、明确归属、分类标签和审计日志。资产通过标签从 staging 晋升到 production，仍触发企业已有的 CI/CD（如通过 SDK 接入 GitHub Actions），非开发者的业务团队也能直接迭代生产指令。借助 Observability 的 lineage 和遥测，生产输出可回溯到对应资产版本，智能体运行的 skills 以 MCP 服务器形式直接暴露，确保执行的是受治理的同一资产。