XBOW 提出先让智能体以各角色登录并绘制权限边界，再据此判定 IDOR 结果，以降低误报；PortSwigger 为 Turbo Intruder 加入 HTTP/3 支持，Wi-Fi 下单机可发超过 10 万请求/秒，是同环境下 HTTP/1.1 的三倍以上。Aikido 在 gocommunity-io/dockerd、kreuzwenker/docker 两个 Terraform provider 及两个 Go 模块中发现 Graphalgo 恶意代码，仅在两个 Terraform 变量的 SHA256 哈希匹配硬编码值时才解密运行 Go RAT，并通过 Slack 和 Arbitrum Sepolia 上的以太坊智能合约接收加密指令，其 Slack 频道显示自 2026 年 7 月以来仅 18 台主机受感染。
乔治华盛顿大学法学院 Jessica Tillipman 在《The Government Contractor》撰文分析，当 AI 智能体在政府采购流程中自主实施欺诈时，现有法律在明知、意图与归责上存在认定困难。文章以 2026 年 3 月陆军合同司令部在移动战术炮原型提案征集中明确禁止隐藏文本、微缩字体等操纵 AI 评估手段为例，说明采购方已开始防范提示注入。作者区分三类情形：承包商故意植入隐藏指令可依 18 USCA § 1343 电信欺诈和 § 1031 重大欺诈追责；指示智能体代为植入仍可依 § 2(b) 视为本人行为；而当承包商只给出“最大化中标概率”这类目标、由智能体自行选择不当手段时，电信欺诈所需的特定欺诈意图难以证明。
OpenAI DevDay 2026 公布 20 多项发布，涵盖 GPT-6 Astra、ChatGPT、Codex、API 以及面向开发者的安全与新工具。
Ethereum 研究者 Justin Drake 警告，AI 辅助数学进展最坏情况下可能在数月内攻破加密钱包所用的签名系统，呼吁行业准备"bunker mode"，把资金转移到从未签署过交易的地址。Vitalik Buterin 在 X 回复中认同风险但反对行动过快，称自己因迁移失误损失的钱比被黑客攻击还多，并主张长期采用尽量只依赖哈希函数的架构。目前 ECDSA 签名方案在实践中尚未被真正攻破。
澳大利亚 One Nation 党在维州竞选启动活动上播放了一段 AI 生成的竞选视频，内含持砍刀男子、穿爆炸背心男子等种族刻板印象画面，媒体大多未予关注。该视频目前仅存在于网络，澳大利亚通信与媒体管理局因权限不覆盖此类内容而无法采取行动，选举委员会也只能监管选举流程相关的虚假信息。联邦工党政府迄今未回应禁止选举期使用 AI 生成内容的呼声，参议员 David Pocock 已推动两年、征集到 3.5 万人签名请愿。
Anthropic 工程团队发文介绍其三大 Agent 产品 claude.ai、Claude Code 和 Claude Cowork 的隔离架构，核心思路是在环境层设定硬边界，再在模型层引导行为。claude.ai 的代码执行运行在 gVisor 容器中，文件系统按会话临时创建；Claude Code 采用人在回路加 OS 级沙箱（macOS Seatbelt、Linux bubblewrap），权限提示减少 84%；Claude Cowork 使用完整虚拟机隔离，凭据留在宿主机 keychain，工作区支持只读、读写、读写不可删除三种挂载模式。Anthropic 称 Claude Opus 4.7 在 Gray Swan Agent Red Teaming 基准上单次提示注入攻击成功率约 0.1%，100 次自适应尝试后约 5–6%。
推荐理由Anthropic 公开三款 Agent 产品的隔离架构与真实失败案例，为设计 Agent 沙箱和出口控制的团队提供可迁移经验。
英国正面临本土资本短缺与美国虹吸效应的双重威胁，可能使其从 DeepMind 这一英国最大 AI 研究成功案例中获得的收益流失。
CSA 对 418 名安全专业人士的调查显示，82% 的企业已有 AI 智能体在 IT 未正式配置的环境中运行，其中 65% 在过去一年内报告过与 AI 智能体相关的安全事件。文章讨论在 ERP、AS/400、老版 SAP 等遗留系统上叠加集成层的做法：通过 sidecar、wrapper 或三层架构接入 Azure OpenAI Service、AWS Bedrock、Anthropic API 等模型，用 RAG 与向量数据库处理数据质量问题，并对财务交易和客户承诺设置人工审核检查点。
提出检索器后门攻击操纵智能体搜索，并用 DOU 逃避检测。
推荐理由论文提出仅替换检索器检查点即可操纵 Agent 搜索轨迹的三类后门，并给出用净化流程反向隐藏后门的方法。
提出 VerTox，用可验证奖励强化学习生成误导文档并投毒检索语料。
Scale AI 公布其企业 AI 红队方法与实践数据，指出只测模型会漏掉系统层风险。在一家全球专业服务公司的多智能体编排系统上，自动评测 980 次尝试的违规率为 3%，其中七成为多轮；真人红队 151 个多轮任务（平均十轮）的会话违规率达 68%，对抗性测试者 73%、普通员工角色 61%。经四轮测试与修复，违规率降至 20% 再到 14%，攻破所需轮次中位数从七轮升至十六轮。在消费房贷短信助手上，161 段多轮对话中 115 段违规、24 段严重，涉及 16 类危害中的 14 类，包括公平借贷、否认自己是 AI 并给出真人银行员姓名；该机构已在助手前置独立防护模型并重构架构。Scale AI 提出企业系统需测试提示词、上下文、工具、智能体与规则五层，先与客户共同编写危害分类表，再按自动化基线、真人测试、按系统评分、补丁后复测的循环推进。
推荐理由Scale AI 用两起企业部署案例给出自动评测与真人红队的差距数据，以及五层系统测试与危害分类表的落地流程。
数学与人工智能顾问组（AGMAI）就 OpenAI 发布由内部模型生成的大批数学成果发表意见，称 OpenAI 报告了数百个开放问题的解答，并认为这是数学界的重要事件，其影响远超单个结果本身。该顾问组由 François Charles、Timothy Gowers、Martin Hairer、Edward Witten 等数学家组成，在 OpenAI 接触部分成员提议设立外部顾问委员会后，改为独立组建，不接受任何 AI 公司报酬，也不具备决策权。顾问组此前于 9 月 29 日发布 AI 生成数学成果负责任发布的一般准则，参考了六百多份问卷回复；10 月 6 日的意见重申这些准则，表示已与 OpenAI 讨论并认可其沟通意愿，但强调评估准则落实程度仍应由数学界完成。
AI 智能体已开始被用于网络攻击：澳大利亚政府披露 AI 智能体入侵其医疗系统，Anthropic 报告称俄罗斯网络行为体正用 AI 更低成本地实施侦察、入侵与数据窃取。这些攻击尚未完全自主，但将控制权交给机器会让防御方难以判断攻击意图与责任归属，攻击方也面临 AI 自行决定行为方式带来的失控风险。文章认为，威慑需要针对这种"以控制权换取能力"的权衡。
评测自主安全智能体在授权漏洞分析中的对齐拒答效应。
提出 RefusalBench，评测生物研究提示上的拒答率与安全校准。
用 OVEREAGER-GEN 测量编码 Agent 在良性任务上的越权操作。
推荐理由论文给出编码 Agent 在良性任务上越权操作的首个基准，并量化了框架权限门控与模型层对齐的差距。
提出隐私感知基准 CyberMaskQA，评测网络安全问答与敏感实体掩码。
提出 Artifact-Bench，评测 MLLM 检测并诊断 AI 生成视频伪影。
构建 AdaCultureSafe 配对评测文化知识与文化安全。
提出 SeClaw，用规格驱动合成安全任务并评测自主 Agent。
研究者提出 DiscourseFlip，一种针对黑盒检索增强生成（RAG）系统的话语级观点操纵攻击。
清华大学与鹏城实验室等机构的研究者提出纯视觉越狱攻击 VJA，把有害编辑指令编码进图像。
推荐理由论文给出视觉提示越狱在多个商业图像编辑模型上的成功率，并配套基准与免训练防御，便于评估图像编辑链路的安全缺口。
蒸馏大模型的隐私敏感度评分到小型编码器并检验人类对齐。
评测安全 LLM-judge 对新上下文与新政策的改判能力。
提出 SWhisper，用近超声波向语音驱动 LLM 隐蔽注入越狱提示。
推荐理由论文给出近超声隐蔽声学通道的完整建模与补偿方法，并报告了跨商用与开源语音模型的攻击成功率，语音接口的部署方可据此评估物理层风险。
提出 MAStrike，用 Shapley 选联盟对多智能体做共谋红队。
提出 Prometheus，从展示图反推文生图模型的在售提示词。
哈尔滨工程大学、山东大学与西安电子科技大学的研究者提出 ASO，用 GRPO 优化视觉风格以放大越狱攻击。
推荐理由论文提出用强化学习优化图像风格来放大现有多模态越狱攻击，并给出跨模型与跨基线的成功率提升数据。
提出多轮意图欺骗越狱 iDecep，用良性意图伪装引出有害内容。
提出 CRCP 框架，优化分块与重排下的 RAG 语料投毒。
提出 VMI，用扰动图像在多轮对话中潜伏并仅在触发话题输出预定消息。
AgentAtlas 将大语言模型智能体评测从最终任务成功率扩展为诊断性词汇与审计协议，用于区分结果成功、控制决策质量和轨迹质量。
论文提出 GrandGuard，一个针对老年人与 LLM 聊天机器人交互中情境化风险的评估与缓解框架。
评测 LLM 对真实安全与隐私提问的回答质量与一致性。
提出 DITTO 框架，蒸馏提取水印信号并注入外部模型以伪造归属。
推荐理由论文把水印放射性从溯源特征改造成伪造工具，显示仅凭水印存在无法证明模型归属，对水印溯源方案的设计有直接参考。
论文提出 CHERRL，一个面向评分标准强化学习（rubric-based RL）的可控奖励作弊环境。
提出 SN-Guided Diffusion，利用安全神经元实现离线越狱。
推荐理由论文给出扩散大模型安全神经元可跨架构迁移的证据与攻击成功率，为评估扩散架构对齐脆弱性提供可复现方法。
研究者提出 VidDoS，一个面向 Video-LLM 的通用能耗延迟攻击（ELA）框架，通过通用优化生成与实例无关的触发器，无需在推理时计算梯度。
提出 FERRET 框架，用扩展生成多轮多模态越狱对话。
提出 AudioHijack，用不可感知对抗音频对语音模型做上下文无关提示注入。