全部动态
从来源，看到研究的联系
点击节点查看内容
本页材料
24 条- 动态beyondtrust.com
Amazon Bedrock AgentCore Python SDK 的 Code Interpreter 助手被披露两个 RCE CVE
BeyondTrust Phantom Labs 的 Sergio Garcia 在 Amazon Bedrock AgentCore Python SDK 的 install_packages() 助手中发现两个远程代码执行漏洞，攻击者只需影响传入的包名即可在 Code Interpreter 沙箱内执行命令，并读取所绑定执行角色的 AWS 凭证。第一个漏洞 CVE-2026-12530 利用包名中的换行符绕过五字符黑名单，影响 bedrock-agentcore v1.1.3 至 v1.6.0；AWS 在 v1.6.1 改用正则白名单后，研究者又通过 pip extras 语法中的命令替换绕过，形成 CVE-2026-16796，影响 v1.6.1 至 v1.18.0。
- 动态sysdig.com
AI 智能体串联两个 Zammad 零日漏洞攻破 DIVD 并窃取数据
Sysdig 复盘称，2026 年 9 月 21 日一个智能体威胁行为者（ATA）利用 Zammad 客服平台的两个零日漏洞 CVE-2026-102489 和 CVE-2026-102490 攻破荷兰漏洞披露研究所（DIVD），从劫持会话到取得 root 权限仅用数秒。CVE-2026-102489 是影响 6.3.0 至 6.5.4 版本的远程代码执行漏洞，CVSS 8.7；CVE-2026-102490 是影响 1.5.0 至 7.1.0-alpha 的本地提权漏洞，CVSS 8.5，两者串联后 CVSS 9.4。DIVD 于 9 月 22 日发现入侵并切断数据中心全部系统访问，10 月 1 日确认数据外泄，已确认泄露志愿者邮箱地址，可能泄露联系方式。
- 动态pluto.security
Pluto Security 发现 179 个暴露在公网的 MCP 服务器，147 个无需认证
Pluto Security 在数周内确认 179 个可公开访问的 MCP 服务器，其中 147 个（82%）经直接调用工具验证确实无需任何登录、token 或会话校验，140 个目前仍在线可达。严重度人工评估为 26 个 critical、19 个 high、24 个 medium、110 个 low；按暴露工具能力划分，57 个可写入或改变状态、43 个只读、23 个涉及金融与商业、7 个可执行完整代码。作者指出根因是 tools/list 发现调用在多数实现中默认不认证，且工具描述本身不构成攻击面提示，建议对 tools/call 而非传输层做认证、扫描外部攻击面中的 MCP 指纹、并按工具而非按服务器授权。
- 动态al-ice.ai
Cycode 披露 Anthropic MCP Python SDK OAuth 账号接管漏洞，修复版本已发布
Cycode 于 2026 年 9 月 28 日公开 Yuval Elbar 的协同披露研究，指出 Anthropic 官方 MCP Python SDK 存在完整账号接管漏洞。恶意 MCP 服务器可劫持 SDK 的 OAuth 登录流程，获取受害者的 client secret、授权码和 PKCE proof key，再到真实身份提供商处换取有效访问令牌。受影响版本为 mcp 1.9.1 至 1.29.1 以及 2.0.0 至 2.1.1，修复版本 2.2.0 和 1.30.0 已于 9 月 7 日发布。攻击机制是服务器对发现请求返回 404 触发回退路径，此时 SDK 未取得授权服务器 URL，issuer 校验被跳过，凭证绑定和授权码受众限制也基于同一份未验证配置，因此全部失效。Cycode 用攻击、对照和逃逸三组测试验证，只有攻击配置会让真实凭证离开本机。
- 动态about.gitlab.com
GitLab 披露 DeepSeek-Reasonix Studio 配置投毒漏洞，可劫持 AI 编码 Agent
GitLab 威胁研究团队在 DeepSeek-Reasonix Studio 中发现命令执行漏洞 ConfigPoisoning（CVE-2026-102437），攻击者可通过仓库的 .git/config 与 .gitattributes 文件在开发者查看文件 diff 时执行任意代码。根因是 DeepSeek-Reasonix 的 git 封装加固了 core.fsmonitor、maintenance.auto 等键并加上 --no-ext-diff、--no-textconv，但未处理由 .gitattributes 按文件选择的 filter.<driver>.clean，该过滤器在生成 diff 比较 blob 时仍会运行，且每侧各触发一次。修复版本为 DeepSeek-Reasonix Studio 2.21.0 或 npm 1.39.3，影响桌面应用与 npm 包。
- 动态Anomity
GitSpawn 漏洞：恶意 .git/config 可让编码 Agent 执行攻击者命令
Manifold 披露 GitSpawn 漏洞，恶意 .git/config 中的 core.fsmonitor 等条目会让编码 Agent 在执行常规 git status 或 git diff 收集上下文时运行攻击者指定的命令，且通常在 Agent 沙箱之外、无审批提示。攻击者无需诱导受害者克隆恶意仓库，一个已包含 .git/ 目录的 zip 或共享文件夹即可触发。Anomity 建议将 zip 与共享文件夹项目视为与克隆未知远程同等不可信，检查 .git/config 中的 fsmonitor、hooks 等 helper 键，并在 Agent hook 层对工具调用做 allow/deny/log 决策。
- 动态Salt Security
Salt Labs 用一封邮件劫持 Manus 智能体并获取沙箱内 OAuth token
Salt Labs 发现 Manus 的 Gmail 集成可被一封普通邮件劫持：邮件中隐藏的指令被 Manus 当作可执行内容处理，最终在用户云沙箱内实现远程代码执行。研究者先用直接指令和 Base64 编码测试，均被 Manus 的安全机制拦截；改用 JSFuck 混淆的 JavaScript 载荷后，Manus 调用 Node.js 解码并执行，成功拿到反向 shell。进入沙箱后，研究者发现环境变量中存有受害者的 Gmail OAuth token，以及 Google Drive、GitHub 等已连接服务的凭据，攻击可扩展到这些第三方服务。Manus 的护栏在代码执行之后才弹出警告并要求用户批准，检测与拦截之间存在时间差。该漏洞已修复，不再可利用，研究者通过 Meta 的漏洞赏金计划提交了披露报告。
- 动态GitLab
GitLab 修复 AI Gateway 提示模板沙箱逃逸漏洞 CVE-2026-90970
GitLab 发布 AI Gateway 19.2.4、19.3.2 和 19.4.1 版本，修复一个被评级为 Critical 的安全漏洞 CVE-2026-90970。该漏洞源于自定义 flow 提示模板的 Improper Neutralization 问题，在特定条件下，拥有 Duo Agent Platform 访问权限的已认证用户可通过特制的 flow 配置逃逸提示模板沙箱，在 AI Gateway 上执行任意命令，CVSS 评分为 9.9。受影响版本为 18.1.6 起至 19.2.4 之前、19.3 至 19.3.2 之前以及 19.4 至 19.4.1 之前。该问题由 invisiblemeerkat 负责任披露。
- 动态Anthropic
Anthropic 发布 2026 年 9 月威胁情报报告，披露七类 Claude 滥用活动
Anthropic 威胁情报团队披露 2025 年 12 月至 2026 年 8 月间识别并阻断的 Claude 滥用活动，覆盖网络攻击、影响力行动、监控、诈骗、生物滥用、常规武器开发和知识蒸馏七个危害领域，涉及 Claude Haiku、Sonnet 和 Opus 模型。报告以多个 Generative Threat Group 案例展开，包括疑似与 Midnight Blizzard 关联的俄语攻击者 GTG-20006，其用 AI 工作流自动化钓鱼、DNS 劫持和恶意软件改写，目标超过 20 家乌克兰及欧洲政府与国防机构；疑似 ShinyHunters 关联团伙 GTG-50014 用 AI 批量下载 180 万个 Android APK 挖掘硬编码密钥；中文操作者 GTG-10007 建立自动化漏洞挖掘与利用流水线，针对约 50 家机构。
- 论文论文追踪
TrustProbe 在 11 个开源 Agent 中发现 104 个技能信任链漏洞
中科院信息工程研究所与伍斯特理工学院的研究者提出 TrustProbe，用于挖掘基于技能的 LLM Agent 中不安全的信任链，在 11 个开源 Agent（其中 8 个 GitHub 星标超过 10,000）中确认 104 个污点式漏洞，涵盖命令注入 49 个、文件泄露 27 个、文件篡改 22 个、网络请求 5 个和代码注入 1 个。方法先对 Agent 源码做 source-to-sink 分析，从技能可控输入追踪到安全敏感操作，再用定向灰盒模糊测试生成并变异带 canary 的 SKILL.md 种子，最后用 oracle 确认攻击者控制并验证可观测危害。同一批技能正文改为直接提示词投递时，仅 31.7% 的漏洞仍可利用；在 8 个提供审批层的 Agent 上启用最严格非交互审批配置后，89 个漏洞中 34.8% 仍可利用，原因是执行路径绕过策略或策略未覆盖相关操作。
- 动态The Hacker News
Bifrost AI 网关曝 CVSS 9.8 漏洞，未授权即可执行命令
The Hacker News 报道，JFrog 研究者在 Bifrost AI 网关发现 CVE-2026-90898：管理认证关闭且管理接口可被访问时，攻击者可能以网关进程的权限执行命令，并接触网关保存的提供商凭据。问题影响 HTTP transport 2.1.0 之前的版本；报道指出 Docker 镜像与默认本地二进制的监听范围不同，实际暴露条件需要分别判断。修复已在 transports/v2.1.0 提供，研究方建议暴露过未认证管理接口的部署核查并轮换相关密钥。JFrog 给出较高严重度评级，但厂商对实际风险及评级存在异议；报道未提供在野利用证据。
- 论文论文追踪
研究者提出解耦铺垫与执行的 LLM Agent 技能投毒攻击
研究者提出一种基于协同的技能投毒攻击范式，将执行理由与具体操作解耦，使恶意操作在下游 Steering Skill 中保持完整、看起来完全合法。作者用 Risk-Realization Factors 区分执行因子（做什么操作）与铺垫因子（为什么必须做），把铺垫因子交给上游 Grounding Skill，通过常规工具操作悄悄改动持久化的环境产物。配套的自动化框架能发现真实执行依赖、合成成对的铺垫与执行技能，并借助运行时闭环反馈迭代优化投毒指令。在单会话和跨生命周期的持久化场景中，该解耦式技能投毒取得高攻击成功率，暴露出孤立审计单个 Skill 的安全盲区。代码已公开。
- 论文论文追踪
Pretext 攻击绕过 NVIDIA SkillSpector 等 Agent 技能扫描器，成功率最高 97%
研究者提出 Pretext，用于评估了解检测器内部机制的攻击者能否绕过 Agent 技能安装前的安全扫描。论文报告，这类白盒攻击可以在保留技能正常功能的同时逃过结合静态检查与语言模型判断的检测框架，并在三个开源模型上比较了检测器固定及与攻击者共同适应两种设置。作者报告两种设置下仍存在较高的绕过风险，指出安装前扫描不足以单独保证技能执行安全。这些结论来自论文作者的实验，不能视作所有技能扫描器或实际部署环境的普遍结果。
- 动态TechCrunch AI
Google 暂停 OSS VRP 产品漏洞提交，称自动化无效报告激增
TechCrunch 报道，Google 自 10 月 1 日起暂停 OSS VRP 的产品漏洞提交通道，理由是自动化提交显著增加且绝大多数无效，并计划在 2027 年第一季度提供更新。据报道，工程师和开源维护者面临 AI 生成无效报告带来的处理负担。二手摘要说明供应链类别和暂停前提交的报告不受影响；这不是关闭 Google 的全部漏洞奖励项目。Google 未给出 AI 生成报告的占比。
- 论文论文追踪
A2M：针对 MCP 生态的两阶段 Agent 劫持框架
研究者提出 A2M（Attraction-to-Manipulation），一个针对 MCP 智能体的两阶段黑盒攻击框架，先优化工具名称与描述提高被调用概率，再利用执行轨迹迭代优化工具返回内容以操纵智能体后续推理。在 LiveMCPBench 上，直接针对 GLM-4.6 优化的攻击在四个场景下平均恶意工具调用率为 93.6%，认知拒绝服务场景下加权 token 成本升至良性基线的 32.4 倍，信息窃取、环境完整性破坏与推理误导三类攻击的平均成功率为 74.4%。未经重新优化迁移到另外四个模型时，对应指标分别为 63.6%、2.7 倍和 24.5%，说明工具调用比完整攻击成功更容易迁移。GPT-5 上调用率介于 64.9 至 76.3，但信息窃取与环境完整性破坏的攻击成功率均为 0，推理误导为 22.0。作者据此呼吁加强 MCP 工具审查与运行时隔离，代码已公开。
- 论文论文追踪
APEX 用跨技能链劫持 LLM Agent，GPT-5.4 上攻击成功率达 84.3%
研究者提出 APEX，通过构造跨技能链劫持 LLM Agent：上游技能诱导 Agent 把真实任务进度与攻击者提供的“已获批准”声明写入持久记录，下游技能再据此执行攻击者选定的动作。在 SkillsBench 的四个目标动作族和六个模型上，690 次尝试中有 512 次（74.2%）成功诱导目标动作；在 GPT-5.4 上完整链成功率为 84.3%，而把工作流合并为单个技能时为 17.4%，直接注入为 3.5%。攻击在多数情况下不显著降低原任务通过率，GPT-5.4 四个族的原生验证器通过率平均仅变化 2.6 个百分点。可用性攻击 Work Loop 使各模型每任务 token 用量达到基线的 2.20 倍至 36.39 倍。
- 动态美国 CISA（AI 相关）
NSA、CISA、FBI 联合发布公告，指中国 AI 公司对美前沿模型实施工业化蒸馏
NSA、CISA 和 FBI 联合发布网络安全公告，称 DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun 和 Z.AI 自至少 2024 年底起，通过工业化知识蒸馏从 Claude、GPT、Gemini、Grok 等美国前沿模型提取了数十亿 token，用于训练 R1、V3、Kimi-K2/K3、Qwen、M2、Step 4 等模型。公告称这些公司通过原生 API、云服务商、第三方聚合器和被称为 transfer stations 的代理灰市绕过地域限制与使用条款，并采用思维链推理提取、封禁时自动切换路径、自动化质量评估等手段。公告将相关行为映射到 MITRE ATLAS 框架，并列出共享账号、24 小时持续使用、新账号立即满额使用等检测指标。
- 动态欧盟 ENISA（AI 相关）
ENISA 发布 AI 辅助软件开发技术咨询草案 0.4 版
欧盟网络安全局 ENISA 的《AI 辅助软件开发技术咨询》0.4 版草案标注日期为 2026 年 9 月，面向编码助手与 Agent 提出把 secure by design 期望嵌入 AI 辅助开发流程的做法。文件梳理了模型、编码助手与 Agent、工具集成（含 MCP）、上下文与项目指令等组件，并按 STRIDE 归纳欺骗、篡改、信息泄露、权限提升等对抗威胁，以及功能可用但不安全、上下文不完整、幻觉依赖、审查不足等非对抗风险。其核心方法为四步：确定活动对应的生命周期过程与安全要求、通过提示词或可复用技能向助手明确这些要求、以评审审批与 SAST、依赖扫描等检查验证输出、记录证据。附件以依赖选择为例，展示如何把包管理器安全建议写成 SKILL.md 技能内容，并指出技能不保证安全输出，需持续维护。
- 会议论文论文追踪USENIX Security 2026
论文指出密码学模型认证的假设缺口：审计通过但部署失效
论文《Certified in Theory, Broken in Practice》指出，基于安全零知识证明（ZKP）的密码学模型认证（CMC）方案存在假设缺口：现有安全定义只保证模型在固定审计数据集上的行为，未保证同一分布的其他数据上同样成立。作者据此构造攻击，通过精心设计训练数据，使模型在审计中表现正常、部署后出现病态行为，实验显示攻击者可认证模型在审计集上准确率超过99%，而在同分布新样本上不足30%。为弥补该缺口，作者形式化了面向 CMC 框架的密码学安全定义，提出通用协议模板并证明其满足这些要求。作者认为该结果既是对现有方案的警示，也为设计安全、隐私保护的机器学习审计协议提供了建设性指引。
- 论文论文追踪
研究提出跨 LLM 助手的记忆跳跃攻击，单个被投毒文件可传播至 60–100% 的助手
研究者提出“产物中介传播”这一攻击形态：恶意内容经一个被投毒的文件进入助手持久记忆，再被写入该助手后续创建的产物，被另一个独立运行的助手读取后继续传播，助手之间无需直接通信。作者构建了模拟用户之间文件交换的“人类—助手宇宙”，在 36 个留出测试宇宙上评估 GPT-5.6 Luna、Kimi-K2.6、GPT-OSS-120B 和 DeepSeek-V4-Pro，攻击提示词按模型分别优化后冻结，测试目标与工作流均未见过。首跳感染在 78–100% 的运行中成功；DeepSeek-V4-Pro 和 GPT-OSS-120B 的目标感染率达 98% 和 85%，76% 和 61% 的传播链到达第 4 跳，经删失校正后 85% 和 73% 的链在第 7 跳仍存活。作者指出，重置助手记忆无法终止传播，因为仍在流通的被感染产物会再次感染它，并建议把共享产物与记忆纳入安全边界。
- 论文论文追踪
研究者提出 Agent 检查点回滚的五类安全失效，并在 Hermes、Cline、LangGraph 上实现三种攻击
南方科技大学与香港城市大学的研究者对 Agent 系统的检查点与回滚（C/R）机制做了系统性安全研究，提出“执行连续性”概念，指出正确回滚不等于安全恢复。他们按恢复边界把现有机制分为框架状态、工作区状态和 OS/VM 状态三类，并归纳出五种失效模式：内部状态覆盖不完整、检查点状态不一致、外部状态不匹配、非确定性重放未绑定、外部副作用未记录。基于这些模式，作者在 Hermes、Cline 和 LangGraph 上构造了三个端到端攻击，分别实现恶意软件验证绕过、未授权邮件转发和单次审批下的重复支付，均不需要篡改检查点内容或破坏回滚实现。评估覆盖 TerminalBench 与 AgentBench 的 347 条轨迹、五个框架共 1735 次框架任务执行，SF1 与 SF4 出现率分别约 67.2% 和 67.7%，SF5 仅 2.3%。
- 论文论文追踪
研究：LLM Agent 技能名幻觉率最高达 62%，可被抢注用于供应链攻击
华中科技大学与南洋理工大学研究者对 12 种配置（4 个独立 LLM 与 8 个 Agent）的 15,000 条提示词做了大规模测量，发现所有配置都会推荐不存在的技能名，即技能名幻觉，独立 LLM 平均幻觉率 36.0%，Agent 平均 36.9%，在真实开发者提问上升至 43.1%，单配置区间为 6.5% 至 62.0%。这些名称并非随机噪声：Claude Sonnet 4.6 在 10 次运行中平均 7.8 次重复同一个幻觉名，410 个名称被两个以上配置共享，占全部幻觉推荐事件的 15.3%，另有 851 个幻觉名恰好是真实存在的 PyPI 或 npm 包名。攻击者可先收集这些可预测的名称，再在几乎不审核发布者的注册表上抢注含恶意 SKILL.md 的技能，等待受害者安装。作者认为修复需要注册表层面的名称预留与经过验证的推荐流程。
- 论文论文追踪
ElasticBack：通过触发词与规则耦合在 LLM Agent 技能中植入条件后门
研究者提出 ElasticBack，一种针对 LLM Agent 技能供应链的条件单技能后门：在技能文档中植入规则 R，在用户查询中植入看似无害的触发词 T，只有两者同时出现时恶意载荷才会触发。该方法用触发词即开关的构造把两侧绑定，通过语义锚定的规则注入生成 R，再冻结 R 并用带隐蔽性约束的遗传搜索演化 T，从而在不微调权重的情况下兼顾攻击效果与隐蔽性，在良性输入上保持休眠。实验覆盖三类目标行为（每类 50 个技能）和四个 Agent LLM，报告了高攻击成功率、接近零的误报率、保持干净的准确率，并能跨模型迁移、规避部署期防御。作者据此呼吁加强对技能供应链的防御。
- 论文论文追踪
IntentCap 提出按任务意图限定 LLM Agent 权限的机制
论文 IntentCap 提出 LLM Agent 的能力应按当前任务意图限定，而不是按沙箱或会话生命周期限定。作者指出，用户请求、工具返回结果、文档、shell 输出、Skill 与 MCP 指令、记忆等上下文来源都进入同一规划通道且影响力相同，但信任级别不同，对抗注入或范围意外扩大都可能让低信任来源获得选择目标或扩大权限的能力。IntentCap 从用户意图、工作流指令、工具 schema 和运行时环境四类来源组合能力，采用字段级归属与单调收窄，任一来源都不能填补其他来源的字段，生成的租约只能收窄用户已授权权限。系统用 LLM 生成短期租约，由确定性检查器在任何副作用提交前校验，并通过工具层与操作系统层的信息流策略执行。评估显示 IntentCap 能阻断测试中的违规行为且不拒绝正常操作，各来源边界均独立必要，检查器可跨工具、执行、放置和委派边界泛化。