Skip to content

Translation in progress Some entries still include text in the original language.

Supply-chain security · News

Oct 13 · Tuesday

Supply-chain security · News

Latest publications and developments
Supply-chain security

Research topics

Prompt injectionAgent safetyDeception and schemingReward hackingChain-of-thought monitoringInterpretabilityAI controlBackdoors and poisoning隐私与数据泄露Supply-chain securityDangerous capabilitiesAI 与网络攻防开源模型安全Red teaming

Companies and institutions

OpenAIAnthropicGoogle DeepMindGoogle ResearchGoogle 安全MetaxAIMicrosoftNVIDIADeepSeek阿里巴巴 · Qwen智谱 · GLM月之暗面 · Kimi字节跳动腾讯蚂蚁集团上海人工智能实验室UK AISIUS CAISIMETRApollo ResearchRedwood ResearchFAR.AIPalisade Research

Reports and frameworks

System CardFrontier safety frameworks
Oct 7Wed
  1. Zenity · 35

    Zenity Labs reproduces zero-click data exfiltration in Microsoft Copilot Studio sample customer service agent

    Zenity Labs reproduced a zero-click data exfiltration in Microsoft Copilot Studio's sample customer service agent: an email containing hidden instructions can cause the agent to send customer CSVs and dozens of Salesforce records to an external address, without any clicks. In another scenario, the injection payload was split across five conversation turns, each passing checks individually, and only in the sixth turn was the full instruction assembled and data exported.

  2. The Hacker News, OX Security · 3 sourcesThe Hacker News · 3 sources · 3 reports · 36

    OX Security 调查公开 MCP 服务器风险

    OX Security 在 The Hacker News 署名文章中介绍对 15,465 个公开 MCP 服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。其后续分析基于其中 5,095 个唯一主机名：15.6%（796 个）解析到美国境外，包括中国和俄罗斯，而 MCP 目前没有原生协议机制约束连接工具的运行位置或数据处理位置；2.3% 已无法解析，0.45% 位于家庭网络或消费级隧道服务，6 个过期域名可以每年 4 至 12 美元购得，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管。CSA Labs Research 引述该研究称，这一生态缺乏一致的授权模型、运营者身份与生命周期问责机制，注册表收录只是发现便利，不构成安全保证。

    Latest developments

    1. CSA复核MCP市场治理研究

    2. OX Security扫描15465个公开MCP服务器发现漏洞

Oct 2Fri
  1. Zenity, X @ZenitySecZenity · 2 sources · 2 reports · 37

    Zenity Sandbox Detects Thousands of Public Agent Skills, Finds Data-Stealing Activity

    Zenity Labs released the free service AI Total, which uses a Detonation Chamber to actually run agent skills in a sandbox, record their behavior, and compare it against claims. Before release, it detonated thousands of public skills and found dozens of malicious samples, one of which, a credential-stealing campaign distributed via Vercel skills.sh, reached approximately 1.7 million installs; over 30% of malicious skills instructed agents such as Claude Code and OpenClaw to download and run attacker files. Zenity said these skills were not hijacked but were built this way from the start, with one top-150 skill going undetected for months, and agents being turned into malware droppers.

Oct 1Thu
  1. X @kotekjedi_mlX @kotekjedi_ml · 21

    Differences in safety protections among third-party hosted models draw attention

    On October 1, 2026, X user @kotekjedi_ml posted asking how much the safety protections, or even model instances, can differ among models hosted on different third-party platforms, drawing attention to differences in safety protections among third-party hosted models.

Sep 29Tue
  1. Unit 42Unit 42 · 30

    Unit 42 open-sources OperTraitor to audit Operator RBAC risks

    Unit 42 has open-sourced OperTraitor, an LLM-driven analysis engine for auditing RBAC configurations of Kubernetes Operators. The tool reads raw RBAC configurations from local Operators and the OperatorHub catalog, compares the differences between the functionality described in Operator documentation and the permissions actually granted, and provides a risk score of 1–10.

Sep 24Thu
  1. OX Security · 46

    OX Security 报告公开 MCP 服务器的基础设施与治理风险

    OX Security根据公开MCP注册表开展调查，自报样本包含15,465个服务器，并对5,095个唯一主机名进行基础设施分析。厂商指出部分服务存在失效域名、消费级隧道及数据驻留治理问题；托管地理位置本身不代表恶意行为。其相关报告还声称，在特定授权设置下的测试中，不可信内容可能导致越权访问。这些结论属于厂商调查与受控测试，适用范围取决于具体条件。

Sep 23Wed
  1. Adversa AI · 52

    Adversa AI 梳理 Claude Code 十起攻击：多数落在配置与审批机制而非模型行为

    Adversa AI 汇总了 2025 年 9 月至 2026 年 9 月间公开的十起针对 Claude Code 的攻击，指出它们几乎都不是模型行为问题，而是落在配置文件、hook 定义、审批弹窗、MCP 工具描述、插件 pin 和 skill 包这些模型外围机制上。其中 Miasma 蠕虫在真实环境中运行，导致微软四个组织下 73 个仓库被禁用；两起获得 CVE（CVE-2025-59536 与 CVE-2026-21852，均已修复）；四起被厂商以超出威胁模型为由拒绝处理。作者称十起攻击无一需要越狱，反复出现的失效点是同意机制：弹窗显示的对象与实际授权的操作不一致，这一问题出现在三个研究团队的四处发现中。

Sep 19Sat
  1. 先知社区 · 55

    Agentic Skills 供应链攻击与运行监测防御范式

    文章分析 AI Agent 的 Skill/MCP 生态面临的供应链投毒：与 npm/PyPI 投毒不同，载荷可以是纯自然语言，执行者是继承用户全部权限、会主动配合的 Agent。作者把信任失效归结为环境权限继承等三个根因，沿 Agent 读取 Skill、拆分步骤、经 MCP 调用工具的链路梳理出 5 个注入面，用工具描述投毒等四类典型攻击链做原理演示，并列出在野观察到的不少于 16 种免杀手法。隔离环境实测中，按序叠加编码压缩、结构重打包、语义改写等四类混淆后，多家检测平台的检出率从 99% 降到 10%。防御部分给出多引擎路由聚合加 LLM 仲裁、SkillSieve 静态三层检测、FUSE 与 eBPF 双通道动态采集和 uprobe 级意图-行为追踪，主张恶意行为最终会在运行时的系统边界行为上暴露。

Sep 11Fri
  1. Michael Bargury · 53

    研究称 26 个 LLM 路由器被植入恶意工具调用并窃取凭据

    一项研究称 26 个 LLM 路由器被秘密注入恶意工具调用并窃取凭据，其中一个路由器盗走了某客户价值 50 万美元的钱包。研究者还表示已实现对路由器的投毒，可将流量转发给自己，并在数小时内直接接管约 400 台主机。相关论文见 https://arxiv.org/abs/2604.08407。

Aug 3Mon
  1. Datadog Security Labs · 52

    Datadog 披露 Codex 与 Claude Code 在首次提示词前的代码执行路径

    Datadog Security Labs 发现，在编码智能体中信任一个仓库后，仓库控制的代码可能在用户发出第一条提示词前就已运行。在 Codex 中，项目级 MCP 配置（.codex/config.toml 中的 mcp_servers）会让 Codex 启动攻击者控制的本地进程，无需用户交互或调用该服务器；Codex 0.122.0 起不再加载不受信任项目的 hooks 与执行策略，0.129.0 起对托管配置外的命令 hook 定义做哈希并要求审查，0.131.0 加入完整启动审查界面，但只有命令 hook 路径会获得第二次信任审查。在 Claude Code 中，.claude/settings.json 可定义会话环境变量，通过把 PATH 指向项目内目录，Claude 启动时自动执行的 Git 探测会运行仓库中的 git 包装脚本，该脚本还能转调真实 git 使流程正常继续。

Jul 31Fri
  1. Adversa AI · 55

    All eight open-source AI skill scanners can be bypassed by malicious skills

    Adversa AI tested eight open-source Agent skill scanners with real attack payloads (against SKILL.md, agent manifests, and MCP configurations loaded by Claude Code and others), and all malicious skills passed, including HMA, currently ranked first on the OASB leaderboard. The bypass reasons vary: six can be bypassed by rewriting or obfuscation, one performs almost no checks, and one's decision file itself can be injected with instructions. A common flaw is the lack of front-end processing: all scanners match file bytes rather than actually executed bytes, none decode encoded payloads and rerun the full rule set, and none perform Unicode normalization before running the command library.

Jul 20Mon
  1. Island · 51

    Island 披露 AgentBaiting 攻击：800 多个伪装成 AI Skill 与 MCP 服务器的恶意仓库投递恶意软件

    Island 报告称，FakeGit/SmartLoader 活动涉及约 7600 个恶意仓库，其中 800 多个冒充 AI Skill 或 MCP server 以投放恶意软件。厂商自测显示，Claude Code、Gemini 和 ChatGPT 在未收到链接的情况下也会检索并推荐相关仓库。约 200 个仓库的 Release 资产累计下载超过 1400 万次；下载数不等于感染人数，测试结果也不能外推为所有智能体的行为。

Jul 15Wed
  1. Adversa AI · 56

    Adversa AI 披露 Cursor 深链漏洞 DeepJack：伪装 PR 审查链接可安装恶意 MCP 服务器并远程执行代码

    Adversa AI 披露 Cursor 的 cursor:// 深链漏洞 DeepJack，攻击者伪装成队友发送一条“审查 PR”链接，点击并确认后即可安装攻击者控制的 MCP 服务器，以受害者账号执行未沙箱命令。攻击有两个变体：一是把 mcp/install URI 双重 URL 编码后塞进 pr-review 端点的 url 参数，Cursor 不会递归解码或重新校验该参数；二是安装对话框用单行文本框渲染命令，攻击者用大量制表符把恶意尾部（如 & /c start curl attacker.com）顶出屏幕，用户只看到 calc 之类的无害命令。

Jul 9Thu
  1. HiddenLayer Research · 59

    HiddenLayer 披露 Claude Code 技能 frontmatter 可绕过权限并投毒记忆

    HiddenLayer 研究发现 Claude Code 技能文件的多个 frontmatter 字段存在安全缺口，可被用来劫持编码智能体。攻击者利用 allowed-tools 字段预授权 Bash、Read、Write、Skill、WebFetch 等工具，绕过原本的工具调用权限请求；通过指定能力更弱的模型和更低 effort 等级实施降级攻击，规避护栏拒答，反向操作则可抬高成本，测试中同一 URL 摘要任务从 Haiku 低 effort 的 0.0274 美元升至 Opus 高 effort 的 0.1451 美元。将指令移入 when_to_use 字段并把 user-invocable 设为 false，可让技能在斜杠菜单中不可见却仍被触发，ClawHub 和 skills.sh 等技能站点也不展示 name、description 之外的字段。

Jun 3Wed
  1. Trail of Bits · 57

    Trail of Bits 绕过 ClawHub、Cisco 与 skills.sh 的 skill 扫描器

    Trail of Bits 测试了 ClawHub、Cisco skill-scanner 以及 skills.sh 集成的 Gen、Socket、Snyk 三家扫描器，用四个恶意 skill 全部绕过检测，其中三个不到一小时就完成。攻击手法包括在恶意代码前插入 10 万个换行符让 OpenClaw 扫描器截断文件、用 .docx 压缩包间接引用恶意脚本、在看似无害的格式化 skill 中夹带会读取环境变量的 .pyc 字节码，以及用企业环境配置话术包装的提示注入，诱导 agent 把 npm/yarn 指向攻击者控制的 registry。

JunMon
  1. Tenet Security · 45

    Tenet 披露 Agentjacking 攻击：伪造 Sentry 错误报告劫持编码 Agent 执行代码

    Tenet Security 的 Threat Labs 披露名为 Agentjacking 的攻击：攻击者用公开的 Sentry DSN 向 Sentry 事件接口 POST 伪造错误事件，在 message 与 context 字段中注入伪装成官方修复建议的 markdown，Sentry MCP server 将其作为可信系统输出返回给编码 Agent，Agent 便以开发者权限执行攻击者控制的 npm 包。研究称被动侦察发现 2,388 个组织暴露可注入 DSN，受控测试中 100+ 个 Agent 执行了注入错误，涉及 Claude Code、Cursor 和 Codex，对注入错误的利用成功率为 85%，覆盖 macOS、Windows、WSL、容器与 CI 环境，受害方包括一家约 2500 亿美元市值的 Fortune 100 企业。

May 11Mon
  1. Datadog Security Labs · 56

    Datadog 披露 Claude Code 技能供应链风险：动态上下文命令可绕过模型防御

    Datadog Security Labs 分析了 Claude Code 技能带来的供应链风险，指出技能中的动态上下文命令会在模型看到技能内容之前执行，使模型级提示注入防御失去介入机会。Claude Code 可从企业管理策略、个人目录、项目 .claude/skills/、插件、嵌套项目文件夹以及 --add-dir 添加的目录加载技能，克隆的仓库因此可能把技能带入受信任会话。作者以在野发现的 Clawsights 技能为例，该技能通过 gh auth token 获取 GitHub 令牌并上传至 clawsights[.]com/api/upload；在 Opus 4.6 最大推理下模型识别并拒绝执行，但改用动态上下文版本后，令牌窃取命令在预处理阶段已执行完毕，模型随后才表示不会执行该技能。作者还提到在 Opus 4.7 上同一技能未被识别为凭据窃取。

May 7Thu
Apr 30Thu
  1. Wiz Research · 55

    Wiz 披露 AI GitHub Actions 的权限绕过与密钥外泄风险

    Wiz 对 OpenAI、Anthropic、Google 等厂商的 AI GitHub Actions 做了安全分析，发现外部 App 与 bot 可绕过权限校验触发 AI 执行，并存在针对动态生成凭据文件的密钥外泄路径。研究覆盖 anthropics/claude-code-action（超 1.2 万个公开工作流）、google-github-actions/run-gemini-cli（超 1 千个）、openai/codex-action 和 actions/ai-inference，受影响仓库合计星标超 20 万。

Apr 24Fri
  1. 腾讯朱雀实验室 · 40

    腾讯朱雀实验室扫描 ClawHub 五万个 Skill，发现绕过官方检测的远程控制后门

    腾讯朱雀实验室用自研 A.I.G 对 OpenClaw 官方 Skill 市场 ClawHub 上近五万个 Skill 做全量扫描，发现第一代显性恶意样本大量消失后，伪装更深的攻击方式仍然存在。扫描发现 27,818 个 Skill 声明网络请求权限，占比 74.6%，共 246,378 条 URL 指向 29,196 个域名；五万个 Skill 来自 15,427 名开发者，Top 20 账号合计发布 5,422 个，最极端账号 3 个月发布 955 个。案例一是一个自称分布式状态恢复工具的 Skill，通过远程拉取载荷、12 种传输编码链式解码和 Python pickle 反序列化构成完整 RCE 链路，却通过了 ClawHub 的正则扫描、注入信号检测、LLM 安全评估和 VirusTotal 外联检测。