据 Bloomberg News 援引知情人士消息，DeepSeek 最新一轮融资接近敲定至少 800 亿元人民币（约 119.3 亿美元），腾讯控股和电池厂商宁德时代承诺的金额位居前列。DeepSeek 最初计划募资约 500 亿元，在其最新模型发布后投资者需求超出预期，最终规模可能接近 1000 亿元。DeepSeek、腾讯和宁德时代均未立即回应路透社的置评请求。此外，DeepSeek 近期与华为合作开发针对昇腾 AI 芯片优化的编程工具，上月发布了 DeepSeek-V4.1-Flash 模型，并已聘请中信证券筹备潜在的科创板 IPO。
推荐理由报道给出 DeepSeek 最新融资轮的目标规模、超额认购情况和投资方，可了解中国大模型公司的资本动向。
追踪失控 AI 智能体集群的“swarmchasers”研究小组称，他们发现一起涉及中国 AI 的事件：一批智能体试图绕过高德地图的反爬限制获取数据。研究人员将集群使用的 IP 地址关联到腾讯，并观察到这些智能体使用了名为 hysandbox-ats 的代理，而 HY 是腾讯大语言模型系列的名称；目前尚不清楚这些智能体属于腾讯还是使用其云服务器的客户。该活动于上周末被发现，研究人员认为它似乎是一次模型评估的一部分，且仍在进行中。智能体通过 urlquery.net 服务路由请求以绕过访问限制，向高德提交了数千次请求，查询前往特定地点的用户数量。研究人员表示未发现这些智能体之间相互通信。
腾讯与美国云服务商 Oracle 签署了其最大规模的海外租赁协议，今年达成一项为期五年、覆盖 Oracle 在东南亚多个数据中心的租赁安排，从而获得约 10 万块在中国无法获取的先进 AI 芯片，用于推进其 AI 模型和智能体工具开发。两名知情人士称，该协议估值约 70 亿美元，首付约 30%，并导致腾讯第二季度自由现金流为负 138 亿元人民币（约 20 亿美元），为十多年来首次出现季度负值。美国出口管制收紧与国内供应短缺，促使中国科技公司转向海外算力，这类租赁协议在美国规则下被允许，也可能让企业用上在中国无法获得的 Nvidia 尖端处理器。腾讯第二季度资本支出同比增长 176% 至 530 亿元人民币（约 79 亿美元），用于 AI 基础设施和算力资源预付款；公司还在微信中推出嵌入式智能体 Xiaowei，并打造以 WorkBuddy 为首的企业级 AI 智能体矩阵。
大模型网关工具 LiteLLM 的 1.82.7 和 1.82.8 版本被植入恶意代码，攻击者先入侵其 CI/CD 依赖的容器漏洞扫描器 Trivy，窃取环境变量中的 PYPI_PUBLISH 令牌后向 PyPI 发布恶意包。恶意文件 litellm_init.pth 利用 Python site 模块启动时自动执行 .pth 文件的机制，无需 import litellm 即可触发，窃取 SSH 私钥、云服务凭证、K8s 配置和加密钱包等数据，经 AES-256-CBC 与 4096 位 RSA 加密后发送至伪造域名 models.litellm[.]cloud。攻击还会读取 K8s 集群 Secret、在 kube-system 节点创建特权容器并植入 systemd 级后门，在本地写入 ~/.config/sysmon/sysmon.py 实现持久化。
推荐理由完整复盘了 LiteLLM 投毒的攻击链与影响范围，并给出可执行的排查与凭证轮换清单。
腾讯朱雀实验室蓝军 Bot 对 OpenClaw、Linux 内核等目标累计发现 33 个 0day 漏洞，其中 17 个为严重与高危漏洞，全部已提交上游修复并获官方致谢。该平台在 XBOW Security Benchmark 的 104 道题中完成 102 道（98%），超过开源 AI 渗透项目 Shannon。文章同时援引 Anthropic 联合 45 家机构发布的 Project Glasswing 计划，其未公开模型 Claude Mythos Preview 已在主流操作系统和浏览器中发现数千个 0day，并指出漏洞从发现到被利用的窗口正急剧压缩。
腾讯朱雀实验室用自研 A.I.G 对 OpenClaw 官方 Skill 市场 ClawHub 上近五万个 Skill 做全量扫描，发现第一代显性恶意样本大量消失后，伪装更深的攻击方式仍然存在。扫描发现 27,818 个 Skill 声明网络请求权限，占比 74.6%，共 246,378 条 URL 指向 29,196 个域名；五万个 Skill 来自 15,427 名开发者，Top 20 账号合计发布 5,422 个，最极端账号 3 个月发布 955 个。案例一是一个自称分布式状态恢复工具的 Skill，通过远程拉取载荷、12 种传输编码链式解码和 Python pickle 反序列化构成完整 RCE 链路，却通过了 ClawHub 的正则扫描、注入信号检测、LLM 安全评估和 VirusTotal 外联检测。
腾讯朱雀实验室联合香港中文大学（深圳）吴保元教授课题组发布 SkillTrustBench，这是面向 Agent Skills 安全可信度与外部扫描方案检测效能的双重评测基准，从 62,652 个真实 Skill 中提炼出 5,520 个评测用例，覆盖 T01-T09 九大类威胁。首期扫描器横评统一使用 DeepSeek v4 Flash 作底座，Skill Vetter + OpenClaw 召回率与 F1 最高，Skill Vetter + Hermes Agent 误报最少，Cisco Skill Scanner 误报率达 24%，NVIDIA SkillSpector 漏报最多。基准还引入 T09 不安全编码行为，指出硬编码凭证、敏感权限滥用、命令注入等缺陷使非恶意 Skill 也可能成为供应链劫持入口。
推荐理由首期榜单同时给出扫描器误报率与不同底座模型的安全研判差异，可帮助团队在 Skill 上架审计中选型。
腾讯朱雀实验室发布 A.I.G Agent 安全演习 Skill，可安装到 Claude Code、Codex、Cursor 等主流 Agent 客户端，用一句话触发对宿主 Agent 的自动化安全演习。该 Skill 会先识别当前 Agent 连接的工具、权限、MCP 连接与 Skill 配置，再针对越狱、间接注入、工具滥用、MCP 风险、Skill 供应链和基础设施漏洞逐项演练，演习过程与报告均在本机完成。它面向个人开发者的 IDE Agent 和业务方生产级 Agent 两类场景，前者侧重 Skill 代码审计、MCP 权限审计与供应链检查，后者覆盖基础设施扫描、代码安全、动态安全测试、大模型越狱和工作流攻击五个维度，其中动态测试含 7 个子项共 37~49 条 payload，并采用 7 层编码递进引擎。
腾讯朱雀实验室披露了名为 Memory Heist 的 Agent 数据窃取攻击：攻击者把恶意提示词嵌入网页可见文本，伪装成 Cloudflare 身份验证页面，诱导 Agent 从记忆中提取用户姓名或 API Key，逐字符编码进 URL 路径，再通过连续 HTTP 请求发送到攻击者服务器，攻击者只需拼接访问日志即可还原数据。攻击服务器按 User-Agent 区分访问者，普通浏览器看到正常咖啡店页面，识别为 AI Agent 时才返回注入页面，因此人工审查难以发现。实验中目标 Agent 的 UA 为 MemoryAgent/1.0 (AI Assistant; python-httpx)，字符网格从 26 个字母扩展为 37 个字符（a-z + 0-9 + -）以覆盖 API Key，每次请求间隔约 1-2 秒。
腾讯朱雀实验室联合 TencentOS 安全团队开发的 Corvus AI 多 Agent 漏洞研究流水线，在 Linux 内核 SCTP 动态地址重配置功能中发现释放后使用漏洞 SCTPhantom，编号 CVE-2026-64564。根因是 DEL-IP 操作校验的地址与后续 ASCONF 处理保留的 transport 不一致，一组有序 ASCONF 操作可移除 transport 却留下悬空指针。利用链经 pg_vec 回收泄漏 direct-map 页地址、4 字节内核读、基于 IDT 的 KASLR 恢复，最终以数据导向方式调用 commit_creds 获得 root，并可通过 call_usermodehelper_exec 完成容器到宿主机逃逸。
腾讯朱雀实验室基于 AI-Infra-Guard（A.I.G）对 DeepSeek 开源的 Agent Harness（DSH）开展授权受控的端到端测评，覆盖 13 种攻击方法、16 类间接注入通道、文本与文件两种载体模式和 35 个攻击目标，共 14,560 次真实运行。在未额外启用防护策略的基线配置下，RuleJudge 判定完全成功率 5.6%、LLMJudge 为 5.3%，广义受影响比例分别为 7.6% 和 12.6%，4.4% 的运行触发了敏感操作，对应 641 次 Sink 调用。测试通过 DSHRealHarnessAdapter 接入 DSH 的 TypeScript 运行时，注册 6 个 Source Tool 与 8 个模拟 Sink Tool，外部副作用均停留在本地模拟环境。
腾讯 AI-Infra-Guard 发布 v4.6.4，在 Research/pikit 下新增可组合提示注入研究工具包 pikit。该版本同时修复 Skill-Scan，将可选的 reasoning effort 转发至模型 API，并更新了 Research/pikit 的 README 文档。
腾讯安全、腾讯研究院等机构联合推出《2023产业互联网安全十大趋势》，将 ChatGPT 大模型带来的隐形危机列为趋势之一。编
面对 AGI 时代攻击面扩大与生成式人工智能被用于编写攻击脚本、恶意软件和钓鱼邮件，雷峰网提出企业安全需从单点防御转向“数字安全免疫力”。腾讯安全与 IDC 于 6 月 13 日“数字安全免疫力研讨论坛”联合发布数据安全免疫力模型及《加强数字安全免疫力，促进数字化时代下的韧性发展》白皮书，强调前置投入、动态轻量实时响应，把安全融入战略、管理与运营流程。
Adversa AI 汇总了 2026 年 7 月的 MCP 安全资源共 10 项，涵盖漏洞、攻击技术、红队、防御、威胁建模与真实事件等类别，并逐条对应其 Top 25 MCP 漏洞基线。漏洞方面，MCPPrivacyDetector 框架用跨语言静态与污点分析检测 MCP 工具处理程序中的隐私泄露，在超过 1 万个真实服务器上发现凭据、API key 和 PII 泄露率超过 10%；Amazon Q VS Code 扩展存在 CVSS 8.5 的自动执行漏洞，可从工作区目录自动加载 MCP 配置并在打开恶意仓库时执行代码、窃取 AWS 凭据，该缺陷已于 2026 年 6 月修补。
NVIDIA 研究人员开发了 ENPIRE 软件，让实体机器人在编码智能体驱动下自主实验并迭代策略，实现无需人工评判的成功率评分与场景自动重置。该系统由环境、策略改进、Rollout 和进化四个模块组成，工作站搭载 NVIDIA RTX 5090，配合两台 YAM 机械臂运行。在 PushT、整理插针盒和使用切割器剪断扎带等任务中取得最高 99% 成功率，并能尝试将 GPU 插入主板。
腾讯安全玄武实验室提出一种可部署在端侧的提示词隐私保护方案，在调用云端 LLM 的流程中插入两个端侧步骤，先平行替换隐私实体完成脱敏，再还原云端输出中的隐私实体。方案用标注的平行语料训练了一个权重约 500MB 的小模型，基于开源模型 Bloom，在手机和笔记本上完成部署实验；仅用 CPU 时 MacBook M2 推理速度 180-200 tokens/s，MacBook M1 为 110-130 tokens/s，Pixel 8 Pro 为 20-30 tokens/s。原生支持润色、摘要、翻译、阅读理解和文本分类，并支持 Zero Shot 自定义扩展任务。
腾讯玄武实验室公开一款基于安全大模型的EDR告警研判机器人，能对EDR设备上报的告警做多维度的智能分析与自动调查取证。该机器人结合资产信息、事件信息、进程树和告警规则等多源细节，借助大模型的安全知识与推理能力展开研判，并将误报可能性量化为很大、中等偏大、中等偏小及很小四档，便于用户按优先级处置告警。其技术方案经30余轮迭代打磨而成，涵盖训练数据生成算法、数据分布优化策略、Prompt工程、微调与强化学习算法及模型能力评价体系，且支持私有化部署以保证极高吞吐量。
腾讯玄武实验室在 Black Hat US 2025 发布研究，提出一种将触发器与载荷解耦的提示词注入新范式，用同一组优化 Token 序列即可控制模型精确输出攻击者指定内容。作者用贪婪坐标梯度（GCG）方法在包含上万条样本的对抗数据集上训练触发器前缀与后缀，在 Qwen-2、Llama-3.1、Devstral-Small 等开源模型上经约 200-500 次迭代后平均攻击成功率约 70%。演示案例中，攻击者通过嵌入触发器的恶意邮件让 Open Interpreter 执行命令，或通过更新第三方 MCP 工具描述使 Cline 跳过自动批准直接执行 shell 命令。
推荐理由展示了触发器与载荷解耦的通用提示注入方法，并给出在 Cline 与 Open Interpreter 上的实际攻击链，可供部署智能体的团队评估工具审批与沙箱策略。
腾讯 AI-Infra-Guard 发布 v4.1.13，新增版本检查 API 端点（#376）。评分模块由加权比率改为绝对扣分模型（#403），并更新各语言 README 文档及致谢名单。
腾讯 AI-Infra-Guard 发布 v4.1.14，新增面向 Agent 安全的 aig-agent-redteam 技能，并加入 PrefillAttack、ICA、PastTense、Overload、Jailbroken、FlipAttack、DeepInception、CodeChameleon、JAM 共 9 种单轮越狱攻击方法及 AdvBench、CNSafe、SafeBench 三个越狱评测数据集。该版本还将调度改为轮询选择 Agent 以实现负载均衡，并在文档中补充上述数据集致谢、更新 DeepTeam 仓库地址。
2026 年 9 月值得关注的开源安全工具包括：Sift 可在本地磁盘、Windows 文件共享、Active Directory、SharePoint、OneDrive、Teams、Slack、Jira 和 Confluence 中扫描密码与 API key；ToolHive 以 Apache 2.0 许可在容器内运行 MCP server；腾讯朱雀实验室的 AI-Infra-Guard 可识别 Ollama、vLLM、ComfyUI 等服务，比对 1,600 多个已知 CVE，并检查 MCP server 与 agent 技能、对目标模型做越狱评估。
腾讯 AI-Infra-Guard 发布 v4.1.15，在 mcp_scan 和 ai_infra_scan 中允许省略 model token，回退到系统默认模型。MCP 模块新增工具投毒、凭据窃取、命令注入 3 条威胁检测规则，llama-cpp 规则包新增 6 条 llama.cpp CVE 规则，其漏洞总数由 3 更新为 9、严重级别由 Low 调整为 Medium-High。文档同步将 ai-infra-scan 漏洞总数由 1300+ 修正为 1600+，openclaw 漏洞数由 628 更新为 655。
腾讯 AI-Infra-Guard 发布 v4.5.0，将 Agent-Scan、MCP-Scan、Skill-Scan 模块化为独立 CLI 并支持 AIG 集成。Agent-Scan 新增 4 项 AI 智能体安全检测技能，MCP-Scan 新增 2 条 MCP 安全检测规则及 ATR 衍生规则，Skill-Scan 新增 Agent Skill 安全审计并以 PyPI 包 aig-skill-scan 发布，支持 SARIF 2.1.0 输出。同时新增 agentic-tool-misuse 评测数据集，CVE 规则数更新至 1900+。
腾讯 AI-Infra-Guard 发布 v4.5.1，PromptSecurity 新增 Many-Shot、PAIR、GOAT 和 ActorAttack 多轮越狱攻击。Agent-Scan 新增 5 项 OWASP 检测技能（含 agentic-supply-chain、cascading-failure、human-agent-trust、inter-agent-comm、unexpected-code-execution）及 web-exfiltration-detection 技能，MCP-Scan 新增硬编码密钥、不安全反序列化等 4 条 MCP 安全检测规则，并更新 AIG 规则至 2026-07-24。
腾讯 AI-Infra-Guard 发布 v4.5.2，新增 SkillJack 项目和一批 AIG 检测规则，并为 Qdrant、Chroma、Weaviate 补充仅 GET 指纹识别。该版修复了 mcp-scan 动态扫描模式下经提示注入触发的远程代码执行问题，同时修补 skill-scan 字符集内容走私及隐藏编译字节码两处缺陷，并将 aig-agent-redteam 变异引擎重构到 v5.0.0、合并工作流攻击与变异攻击流程。
腾讯 AI-Infra-Guard 发布 v4.6.0，新增 API Checker 模块提供 API 安全审计并集成 Web 代理与统一 CLI 命令，同时加入针对 LLM API 投毒攻击的新检测能力。Agent-Scan（aig-agent-redteam）升级到 v5.0.0，重构变异引擎并将 workflow-attack 合并入 mutation-attack，还完成了 DeepSeek Harness 提示注入评估的研究工作。此外修复了 MCP 客户端迁移至 SDK 2.0、streamable_http_client 头参数兼容等问题，文档中组件表更新且 CVE 计数从 1900+ 升至 2000+。
腾讯 AI-Infra-Guard 发布 v4.6.1，新增 Gemini、Gemma 和 GLM 指纹识别并更新 GLM-5.3-Flash 基线。该版适配 MCP Python SDK 2.x，修复空扫描结果可能不完整等问题，同时停止隐藏 .pyc 文件及跳过目录中的载荷，Task API 增加 skill_scan 任务类型。
腾讯 AI-Infra-Guard 发布 v4.6.2，新增面向自主智能体的确定性失控基准 FORGE-Bench（forge_bench）及干净的 RogueHandoff-20 基准，并补充一批 AIG 检测规则。该版将 aig-skill-scan 升级到 0.2.2，减少无证据误报、避免模型工具调用卡死并约束流式中断响应，同时修正判定与公开结果的比对逻辑。Extract-Vuln 模块剥离 CDATA 包装并兼容常见标签别名，另清理了 12 处 YAML 校验失败等问题。
腾讯 AI-Infra-Guard 发布 v4.6.3，新增 DeepTeam 在运行期间将完成的测试用例写入磁盘，并修复 API Checker 对 Claude 5 签名的支持。该版本为 API Checker 补充失败指纹样本以提升模型识别可靠性，同时为 Prompt-Eval 加入限流感知退避、熔断器和进程组终止机制，并在熔断器与模型间共享限流计数器、加固 Retry-After 解析。文档方面新增 FORGE-Bench 与 RogueHandoff-20 研究条目并同步至 8 种语言 README。
2025 年 8 月，腾讯玄武实验室的阿图因自动化漏洞挖掘引擎在零知识证明库 gnark 中发现高危签名可锻造性漏洞 CVE-2025-57801，CVSS 评分 8.6，随后联合上海交通大学 GOSSIP 实验室及郁昱教授团队完成复现。该漏洞位于 gnark 用于在电路中验证 EdDSA/ECDSA 签名的 Native Verification 模块，攻击者可基于真实交易构造内容相同但签名不同的伪造交易，使其被判定有效并反复执行，最终可能导致受害者账户发生非预期资产转移。gnark 由 ConsenSys 于 2020 年推出，被 Linea zkEVM、Worldcoin、BNB Chain 等项目采用。
腾讯玄武实验室发现 ComfyUI 官方扩展组件 ComfyUI-Manager 存在高危漏洞 CVE-2025-67303，攻击者无需任何账号即可远程入侵安装 ComfyUI 的系统并实现远程代码执行，从而完全控制服务器、盗取用户数据和私有 AI 模型。漏洞成因是旧版本中 ComfyUI-Manager 的数据与配置目录未受 ComfyUI Web API 访问控制充分保护。该漏洞已在 ComfyUI-Manager v3.38 中通过引入系统用户保护 API 修复，配置数据被迁移至受保护目录，影响版本为低于 v3.38。
腾讯玄武实验室发布《AI网络爬虫安全白皮书》，系统分析 AI 服务端浏览器与爬虫的攻击面，并提出以静态攻击面收敛加动态行为隔离为核心的纵深防御框架。白皮书梳理了从入口识别、白名单绕过、环境指纹探测到漏洞触发与横向渗透的五阶段攻击链，并给出四个真实案例，涉及 URL 跳转绕过白名单、组合 AI 阅读与截图功能、用 img onerror 绕过 script 过滤、以及隐藏后台爬虫入口，最终均通过旧版本 Chrome 的 N-day 漏洞实现远程代码执行。作者称相关产品服务端用户规模累计超 10 亿。防御侧建议关闭 WebGL、WebRTC、PDF 插件等无用模块，避免使用 --no-sandbox，并做网络、文件系统与实例隔离。
推荐理由白皮书给出服务端浏览器攻击链与四类真实案例，并开源 SEChrome 运行时隔离方案，可迁移到自家 Agent 联网架构。
腾讯玄武实验室提出 Agentic Coding 范式下的“幽灵依赖”供应链风险，即 LLM 自主选择第三方组件时倾向于引入过时版本（版本幽灵）或捏造不存在的组件名（名称幽灵）。对某主流编程模型的测试显示，Python Web 场景下其生成的 requirements.txt 几乎总是包含 2023 年或更早的过时组件版本，在长尾需求下编造组件名的幻觉率高达 40% 且集中在可预测的模式上。实验表明，完全由 AI 构建的 Python Web 应用因引入存在高危 SQL 注入漏洞的过时组件而“出厂即自带后门”；针对某一高频幻觉组件名在公共仓库注册后，20 天内被下载 500 次以上。
推荐理由腾讯玄武实验室披露 Agentic Coding 中模型自主选包带来的两类供应链风险，并给出可复现的实测数据与防护插件。
腾讯玄武 Atuin AI 换用 GLM-5.2 重新评估后，在 CyberGym 全部 1,507 个任务上 pass@1 达 84.8%（1,278 个任务），较 GLM-5.1 的 84.0% 提升 0.8 个百分点。相同 GLM-5.1 下，Atuin AI 比 Claude Code 的 68.7% 高出 15.3 个百分点。本次实验新增代理白名单，仅允许连接 LLM 提供商、Python/npm 包注册表和内部服务，其余设置不变。