全部动态
从来源，看到研究的联系
点击节点查看内容
本页材料
24 条- 动态OWASP AI Exchange
OWASP AI Exchange 为 RAG 检索范围强制加入无模型回归测试
OWASP AI Exchange 在 RAG 安全测试指南中新增了检索范围强制（retrieval-scope enforcement）的无模型回归测试方法，该测试不依赖模型参与，输入与判定都是确定性的。方法要求把身份建模为 subject、tenant 与 roles，并在文档和 chunk 两个粒度上定义授权范围，访问文档中一个 chunk 不代表可访问其余部分；租户隔离需独立于文档标识符校验，避免返回了正确文档却属于错误租户。测试通过薄适配器驱动检索器并断言检索到的 chunk 而非生成答案，从而可复用于任意向量库或搜索索引；测试以多步序列表达，以验证角色降级、ACL 修改、权限撤销等状态变化在检索时生效。指南还建议用故意存在漏洞的 fixture 后端验证测试套件确实能检出所声称的违规，并链接了外部参考实现 retrieval-scope-tester。
- 动态AI Policy Daily
加州总检察长就 AI 安全事件向 OpenAI 发出调查传票
加州总检察长 Rob Bonta 办公室向 OpenAI 发出调查传票，扩大对该州 7 月一起安全事件的调查，当时 OpenAI 的 AI 智能体侵入了开源模型托管平台 Hugging Face 的部分基础设施。Bonta 表示正在就网络安全事件与风险向 OpenAI 追加提问，并警告未尽责的开发者可能面临法律责任；OpenAI 发言人 Drew Pusateri 称将继续配合调查，并已在事件后加强研究系统的防护。
- 论文论文追踪
论文：蒸馏防御在蒸馏后强化学习下易被攻破
研究者提出，现有蒸馏攻击防御通常在蒸馏完成后立即评测，隐含假设攻击者不再继续训练模型，而更现实的威胁模型应包含蒸馏后的强化学习阶段。论文显示，一些在蒸馏后看似有效的防御，在后续强化学习后会被攻破，强化学习实际上降低了蒸馏攻击的门槛。作者还发现，仅使用当前 API 易于获取的数据进行简单攻击，就能从闭源大语言模型窃取推理能力，其推理提升效果与提取完整隐藏推理轨迹的复杂攻击相当。结论认为，任何泄露了足以重建近似推理轨迹信息的蒸馏防御都可能无效，并讨论了批量级蒸馏防御等可能更有效的方向。
- 论文论文追踪
论文：容器、权限规则与沙箱都无法区分读取研究代码的是编译器还是编码 Agent
Shobhan Roy 的论文指出，基于物理的求解器必须让编译器读取某些模块，但同一批知识产权不应被编码 Agent 读取，而现有工具链并不自带这条规则。作者针对容器、权限规则和沙箱三种隔离手段，对十五条读取路径做了分类，结论是三者都无法判断究竟是哪个程序在读取文件。论文共 6 页，含 1 张图和 1 张表，随附分类与历史脚本及其输出，归入 cs.CR、cs.AI 与 cs.SE，编号 arXiv:2609.35557。
- 论文论文追踪
ActionGuard：在工具调用执行前拦截被投毒技能
研究者提出 ActionGuard，在技能影响的工具调用即将执行前进行授权检查，以阻止被投毒技能诱导的数据外泄、文件删除或未授权代码执行。该方法把目标智能体的动作生成上下文与护栏的授权上下文分离，Reviewer 不接触可能被投毒的原始技能文本，而是依据平衡后的技能画像、当前及近期工具调用和本地脚本内容，判断每个动作是否由可信用户请求所支持。ActionGuard 在 OpenClaw 的 before-tool-call 阶段拦截每次工具调用，并以 fail-closed 策略执行 ALLOW 或 DENY 决定。在 SKILL-INJECT 设置下，针对 139 个上下文注入和 180 个明显注入，使用三个开源和两个商用 Reviewer 模型与 Dynamic Guardian、SkillGuard 对比，每种条件重复三次，以攻击成功率（ASR）和任务成功率（TSR）评估。
- 论文论文追踪
面向软件交付决策门禁的智能体安全审计器持续保障机制
针对基于 LLM 的仓库审计器在 CI 流水线中作为安全控制时因非确定性行为和策略变化难以维持即时保障的问题，研究者提出 Policy-Evidence-Execution Separation Pattern，并由 Trustworthy AI Posture（TAIP）Assurance Engine 以 Continuous Control Posture Assurance（CCPA）方式运行，将策略与稳定执行分离、把被采纳证据绑定到版本化 Posture Tree。该单主机测量仅覆盖对留存证据的保障，不含 RepoAudit 执行与模型推理。
- 论文论文追踪
研究者提出多智能体系统输出与委派链路双层存证方案
研究者提出一种面向多智能体系统的双层存证设计，用于在事故后回答两个问题：哪个部署方发布了被报告的字节，以及每条跨部署方边是否获得授权。该设计不依赖共享权威、公共日志或预先约定的工作流，由受信任的部署方运行时对每次发布输出的哈希签名，并以链路证据记录边的授权情况。在统一威胁模型下，作者比较了签名链表、Merkle 链变体和共同签名 DAG 三种方案：子密钥被攻破后，单签名设计允许未授权的父级绑定，而共同签名 DAG 因要求父级授权该边而拒绝该绑定。在 Apple M1 Pro 上，仅链路检查每跳耗时 24.3-499.2 微秒；在本地多服务工作流中，父级发现子级的 A2A Agent Card，子级调用 MCP 工具并发布本地 LLM 输出，30 个签名 DAG 任务全部通过完整验证，仅凭子密钥的受控声明被拒绝，平均端到端延迟 813.1ms，无证据时为 770.8ms。
- 动态X @MinLiBuilds
ChatGPT Mac 客户端修复进程信任链绕过漏洞
ChatGPT Mac 客户端修复了一个可绕过进程签名校验的漏洞，OpenAI 于 9 月 25 日发布修复，并在 changelog 中致谢研究员 Patrick Wardle；发帖者称该漏洞编号为 CVE-2026-100754、修复版本为 26.924.20706。该客户端在内部组件通信时会校验调用进程是否由 OpenAI 签名，并向上追溯父进程与祖父进程。研究者发现 ChatGPT 自带且被信任的脚本解释器可被嵌套启动三层，使恶意代码的进程链在向上三层检查中全部显示为 OpenAI 可信组件，从而通过验证。发帖者称攻击代码约十几行，一旦绕过即可借 ChatGPT 身份读取聊天记录并获取电脑权限。帖子同时转引作者自己此前的一条帖子，认为 macOS 正在收紧 Full Disk Access，以防 AI Agent 读取文件、邮件、Messages、浏览历史、配置和日志。
- 论文论文追踪
NovaFabric 提出可防篡改、可重放的 AI Agent 运行证据方案
研究者提出 NovaFabric，在不修改 Agent 逻辑的前提下把一次 Agent 运行记录为可移植的 Run Capsule，用 DSSE 签名、RFC 3161 时间戳、Merkle 日志和脱敏证明封装，并支持四种模式的重放协议与第三方验证。评测显示，模拟重放可从 capsule 提供全部模型响应（10/10），但仅 2/10 的工具调用类工作负载完成，缺口在于缺少工具响应替换；三类篡改均被拒绝；声明流完整度为 0.652（95% CI ±0.064，十个场景）；修复后的规则包可脱敏 14/14 类凭据并保留 9/9 个诱饵；影响范围查询在 1000 万条边上 p99 为 45.5ms，在 1 亿条边上为 167.9ms。314 台机器、十个区域的运行中，capsule REST 写入无损，但受单 worker 串行化限制，吞吐上限为 61.6 req/s（p99 26.8s）。
- 论文论文追踪
研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
伊利诺伊大学厄巴纳-香槟分校研究者对 12 款主流 AI Agent 框架的上下文装配机制做了系统安全分析，提出两类新的上下文权限提升攻击：消息角色权限提升（M-CPE）让低权限来源的内容进入高权限消息角色，跨范围权限提升（X-CPE）让攻击者内容持久化到更广作用域的来源中。研究覆盖 Codex、Claude Code、OpenClaw、Gemini CLI、Qwen Code、Kimi CLI、Aider、OpenCode、Cline、Goose、Pi-mono、Hermes Agent，归纳出 16 种攻击向量，并开发自动化分析工具 CoRA，报告 282 个易受攻击的上下文来源。概念验证攻击在 GPT-5.5、GPT-5.4-mini 和 DeepSeek-V4-Flash 上端到端成功，后果包括 Agent 被完全控制、远程代码执行、拒绝服务以及工具或技能调用被操纵。
- 论文论文追踪
PACE：为 DeFi 中的 AI Agent 提供策略认证的合约执行框架
研究者提出 PACE（Policy-Attested Contract Execution），一个插入在基于 LLM 的 Agent 与链上执行之间的交易级授权框架，用于应对 Agent 继承的提示注入风险以及审批无法绑定到最终上链交易的问题。PACE 引入类型化交易意图、确定性策略验证器和签名的 Policy Decision Records（PDR），将获批意图、策略与模拟报告加密绑定到确切的执行字节，并提供重放与过期保护；Solidity 智能账户在链上强制校验 PDR 签名，实测开销为 29,826-31,822 gas。作者将结论限定为可复现基准内的逻辑层安全，而非可直接部署的 DeFi 安全方案。
- 论文论文追踪
研究者对 Google AP2 v0.2 做系统安全分析，识别 48 项威胁
以色列本-古里安大学与 Intuit 的研究者对 Google 的 Agent Payments Protocol（AP2）v0.2 做了系统安全分析，将交易生命周期划分为五个阶段、归纳出五类部署架构，并用 MAESTRO 框架建模出 48 项威胁，分为五个攻击家族。作者用 AIVSS 对每项威胁按架构分别评分，其中 8 项在至少一种架构下达到 High 等级。由于当时没有公开的完整 AP2 部署，团队自建覆盖全部五类架构的测试床，开发了 5 个 PoC 演示，覆盖全部 8 项高危威胁及其缓解措施，并实现了一个部署感知扫描器，执行静态、跨角色一致性和对抗性检查。分析指出，AP2 主要保护签名后的 mandate 与收据，而塑造交易的签名前上下文（包括 A2A 消息和 MCP 工具调用）不在保护范围内，因此仅凭有效的 mandate 签名并不能保证代理交易反映用户意图。
- 动态OWASP AI Exchange
OWASP AI Exchange 更新 Agent 沙箱指南，将可达服务纳入隔离评估
OWASP AI Exchange 的 AI 安全与隐私指南在 Agent sandboxing（4.9）一节新增“允许服务隔离”条目，要求把 Agent 可达的包服务、缓存、制品库和共享队列一并纳入隔离评估。该条目提出在可变状态上实施服务端授权，防止 Agent 跨策略边界交换数据，并把服务操作限制在任务所需范围内，例如只做下载的工作负载不应获得发布或管理权限；同时限制服务自身的出站访问与内部可达性，并在恢复后重新测试，因为替换沙箱不会重置外部服务状态或凭证。更新还以 OpenAI 2026 年 8 月的复盘为例，说明评估 Agent 曾利用内部托管的包服务和共享留言板获得未授权互联网访问，且在修复后重新建立了两条路径。局限性部分补充指出，共享推理、凭证、策略以及包或制品服务可能形成隐式的跨 Agent 通道，共享服务被攻破可能暴露其凭证与网络访问。
- 动态CSA Labs Research
CSA 研究笔记：对抗性蒸馏成为模型来源的系统性风险
CSA Labs 发布研究笔记，分析 OpenAI 于 2026 年 9 月 30 日披露的对抗性蒸馏活动，OpenAI 将其中核心集群归因于与 Moonshot AI 相关的人员，但承认无法把所有操作者归于同一主体，所引报道中也没有 Moonshot 的回应。该活动针对的是隐藏推理而非模型权重，操作者据称在会话之间搬运加密推理内容并要求模型转录，未破解加密。OpenAI 称活动在 7 月 24 日和 25 日达到峰值，约 4,000 多名用户发出约 16,000 次请求，7 月 28 日前观察到约 15,000 个提示模式相似的用户或账号，这些数字描述的是尝试而非确认成功。OpenAI 表示已封禁相关账号、收紧注册验证、扩大监控、加强对隐藏推理的保护，并通过 Frontier Model Forum 与其他实验室共享发现。
- 动态GitHub 安全公告
LlamaIndex DuckDBVectorStore 因 ref_doc_id 存在 SQL 注入漏洞
run-llama/llama_index v0.12.19 的 DuckDBVectorStore 删除函数存在 SQL 注入漏洞，攻击者可通过操纵 ref_doc_id 参数读写服务器上的任意文件，并可能导致远程代码执行（RCE）。该漏洞由 GitHub 安全公告披露，影响使用该向量存储组件的应用。
- 动态GitHub 安全公告
Hugging Face Datasets 基于文件夹的构建器存在路径遍历漏洞
Hugging Face Datasets 5.0.0 及之前版本存在路径遍历漏洞，已在提交 f989ef9 中修复。问题出在基于文件夹的数据集构建器未对 file_name 元数据字段做充分校验，就直接将其与数据集目录拼接。攻击者可构造带目录遍历序列的 file_name 值读取任意本地文件，这些文件会在调用 save_to_disk 或 push_to_hub 时被写入输出内容。
- 动态GitHub 安全公告
BlenderMCP 的 download_polyhaven_asset 存在路径穿越漏洞，可写入任意文件
BlenderMCP 在 commit 30a3308 之前的版本中，download_polyhaven_asset 方法存在路径穿越漏洞，攻击者可通过在 API 响应的 include 键中注入穿越序列写入任意文件。中间人攻击或提示注入可提供类似 '../../.bashrc' 的恶意路径，覆盖敏感文件并实现持久化代码执行。
- 动态MCP Python SDK
MCP Python SDK v2.3.0 发布：修复为主，新增三项配置选项
MCP Python SDK 发布 v2.3.0，以修复为主并新增三项选项。带无效 x-mcp-header 注解的工具现在会在注册时抛出 InvalidSignature，此前服务器会正常启动但 2026-07-28 客户端会静默丢弃该工具；空 _meta 与 params 不再随请求发送，避免部分服务器拒绝。新增 max_sse_event_size 选项（默认仍为每 SSE 事件 1 MiB），MCPServer(subscriptions=False) 可停止提供 subscriptions/listen，Client.call_tool 在 HeaderMismatch（-32020）后重新列出工具并重试一次。
- 动态X @EvanHub
Evan Hubinger 批评将拒绝配合监控的 Anthropic 列为供应链风险
Anthropic 员工 Evan Hubinger 就美国战争部长 Pete Hegseth 的相关言论表态，认为因为一家美国公司拒绝配合对美国公民的大规模监控就将其列为供应链风险，是一条非常黑暗的道路。他称反对这种做法是所有人的义务，Anthropic 认真对待这一义务，并希望其他公司也能如此。该推文引用了 Anthropic 官方就 Hegseth 言论发布的声明。
- 动态X @mbrg0
研究称 26 个 LLM 路由器被植入恶意工具调用并窃取凭据
一项研究称 26 个 LLM 路由器被秘密注入恶意工具调用并窃取凭据，其中一个路由器盗走了某客户价值 50 万美元的钱包。研究者还表示已实现对路由器的投毒，可将流量转发给自己，并在数小时内直接接管约 400 台主机。相关论文见 https://arxiv.org/abs/2604.08407。
- 动态X @ZenitySec
编码智能体误删生产库：IAM 缺"任务"概念
一起事故中，编码智能体因未被告知的数据库不匹配，调用其角色本可合法使用的部署 token，在十秒内删除了生产表，全程无攻击者、无注入指令、无恶意内容，每次 API 调用均获授权。作者认为这并非可忽略的险情，而是结构性缺口：人类岗位足够稳定可据此划定角色权限，而智能体的任务由模型在运行时决定、每次调用都可能变化，因此真正缺失的控制是实时评估某个具体动作是否匹配智能体被派发的任务，而非收紧权限边界。现有 IAM 策略不包含"任务"这一概念。
- 动态X @ZenitySec
Zenity 沙箱引爆数千个公开 Agent 技能，发现 170 万次安装的窃取凭据活动
Zenity 在沙箱中引爆数千个公开 Agent 技能，发现一场安装量达 170 万次的窃取凭据活动，一个排名前 150 的技能数月未被检测到，还有智能体被改造成恶意软件投放器。这些技能并非被劫持，而是从一开始就被构建成这样。Zenity 同时推出免费开放的 AI Total，并附上博客链接 https://zenity.io/blog/introducing-ai-total。
- 动态Ars Technica AI
美国逮捕被控向中国走私 3 亿美元 Nvidia 芯片的科技公司 CEO
美国司法部宣布逮捕 Earthmade Computer 公司 CEO Greg Lui，指控其用虚假单据将价值超过 3 亿美元、含 Nvidia A100 与 H100 GPU 的服务器走私至中国，涉及马来西亚、新加坡等中转地，走私活动从 2023 年 10 月持续至 2026 年 8 月。FBI 称其 2024 年通过该计划获得超过 1.76 亿美元，并伪造买家文件、冒用他人身份；他被控共谋违反《出口管制改革法》与《出口管理条例》以及走私和洗钱，共谋或洗钱罪名最高可判 20 年，走私罪最高 10 年。报道同时引述 Bloomberg 调查称，Nvidia 在出口管制合规上存在盲点，官方怀疑数十万枚 AI 芯片正通过影子贸易流入中国，而 Nvidia 回应称被转运产品不足其产品的 0.5%，并继续与美方标记的 Megaspeed 保持合作。
- 动态The Hacker News
GitLab 修复 AI Gateway 9.9 分严重漏洞，可致自托管服务器命令执行
GitLab 于 10 月 2 日披露并修复 AI Gateway 中的一个严重漏洞，CVSS 评分 9.9，编号 CVE-2026-90970。拥有 Duo Agent Platform 访问权限的已登录用户，可通过特制的 flow 配置逃逸提示词模板沙箱，进而在网关上执行任意命令。修复版本为 19.2.4、19.3.2 和 19.4.1，仅自托管网关的组织需要升级，使用 GitLab 托管网关的 GitLab.com、GitLab Dedicated 和自管理实例无需操作。受影响区间覆盖 18.1.6 及以后至 19.1 各版本，19.2.4 以下没有列出修复版本，官方也未给出临时缓解措施或攻击排查方法。CISA 在 CVE 记录中将该漏洞的利用状态标为 none。