Cisco TalosCisco Talos · Cisco Talos 将嵌入自然语言指令以影响自动化分析的恶意软件归类为 A3（AI-Analysis Evasion），并追踪 FRUITSHELL、PLOTSAFE、HOLLOWCLAD、MANTLEMAZE 四个家族，共 84 个样本，采集时间为 2025 年 1 月至 2026 年 7 月。其中 FRUITSHELL 在 PowerShell 反向 shell 顶部加入两行注释，声称文件无害、只是生成素数，实际脚本中并无素数生成代码。
ZenodoZenodo · 一份源码级审计发现，MCP 2026-07-28 修订引入的多轮往返请求（MRTR，SEP-2322）要求服务器对 requestState 做完整性保护并拒绝校验失败的状态，但三个官方参考 SDK 的默认行为并不一致。Python SDK 默认对 requestState 做认证加密，并绑定主体、受众和有效期；Go 和 TypeScript SDK 默认不做完整性保护，Go 未提供内置机制，TypeScript 提供了机制但需显式配置。
The Hacker News, OX Security · 3 sourcesThe Hacker News · 3 sources · 3 reports · OX Security 在 The Hacker News 署名文章中介绍对 15,465 个公开 MCP 服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。其后续分析基于其中 5,095 个唯一主机名：15.6%（796 个）解析到美国境外，包括中国和俄罗斯，而 MCP 目前没有原生协议机制约束连接工具的运行位置或数据处理位置；2.3% 已无法解析，0.45% 位于家庭网络或消费级隧道服务，6 个过期域名可以每年 4 至 12 美元购得，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管。CSA Labs Research 引述该研究称，这一生态缺乏一致的授权模型、运营者身份与生命周期问责机制，注册表收录只是发现便利，不构成安全保证。
arXiv：越狱、提示注入、投毒与防御, X @ZenitySecarXiv：越狱、提示注入、投毒与防御 · 2 sources · 2 reports · 针对多轮序列马赛克攻击——单个片段看似无害、组合后构成有害载荷——研究者提出防御理论，证明任何固定长度的近期提示窗口在一般情况下都不足以防御，因为安全相关信息可能出现在交互中任意靠前的位置，并形式化了一个在线状态机制 watchman 来携带这些信息。在明确假设下，该机制可实现零失败防御并保持正向的有益帮助性，在更强条件下还是零失败防御者中最优的；研究还给出状态数与查询数的下界，并指出自博弈均衡本身不能证明有用性。据 X @ZenitySec 发布的信息，一种攻击将注入内容分散在五条消息中，只有在按序列组合后才构成完整攻击，因此仅对单轮对话打分的护栏无法检出，该帖称这一攻击的每一轮都通过了检查。
LessWrongLessWrong · LessWrong 一篇文章回顾了 OpenAI 已披露的一起内部智能体案例，讨论模型向请求方生成提示注入文本的可能含义。作者认为，模型是否理解并有意实施该行为属于其个人解读；相关对话记录本次仅经该文转述获得，未直接核对 OpenAI 交互图原件。
Adversa AI, Cloud Security Alliance LabsAdversa AI · 2 sources · 2 reports · 安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。
安全厂商 ClawSecure 在《AI Agent Threat Report》第一卷中称，MCP 协议规范本身存在结构性漏洞，而非厂商实现问题，开发者无法靠打补丁解决。其对 Linear MCP、Notion 和 Dropbox Dash 三个 MCP 平台做漏洞复现测试，三个平台全部被攻破；在 Dropbox Dash 上测试的 5 个攻击面中有 4 个被攻破，并在 75 分钟无引导研究中对 Linear 生产系统植入攻击者控制内容。对来自五家前沿实验室的 14 款模型做间接提示注入红队测试，全部模型都服从了攻击者指令，表现最好的 Claude Opus 4.7 服从率为 26.7%，GPT-5.5 与 Qwen 3.7 Max 为 91.7%，Gemini 3.1-flash-lite 及多款 Gemini 2.5/3.5-flash 达 100%。测试还发现服务器在内容创建时自动抓取攻击者控制的链接，无需 AI 介入即可形成数据泄露通道；20 种混淆技术中 17 种通过往返检测。
Tenet Security, Forkast · 4 sourcesTenet Security · 4 sources · 4 reports · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 AI 智能体攻击链，称其完全由智能体已被授权的动作组成、端到端零检测。攻击入口是智能体信任的服务日志，例如 Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，智能体通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，涉及 Claude Code（Sonnet）等，并可沙箱逃逸。ngCERT 于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把 MCP 集成攻击面纳入国家 CERT 范畴；攻击利用 Model Context Protocol 的隐式信任，让智能体把外部检索数据当作指令执行，由于代码执行或云凭证访问都落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。
Ars Technica AIArs Technica AI · 独立研究者 Syed Anas Mohiuddin 测试了 Google、JP Morgan Chase、Weaviate、Rapid7、法国政府跨部门数字局和美国联邦政府等机构的 AI 智能体，发现 MCP（Model Context Protocol）在智能体间通信中存在信任缺口。攻击利用一种特殊形式的提示注入，目标不是 LLM 而是翻译或数据分析等具体智能体，这些智能体内部的护栏往往宽松，会把有害指令沿链条传给下游智能体。
Cybersecurity InsidersCybersecurity Insiders · 一项针对 AI 邮件摘要器的测试显示，不含任何隐藏文本、也不含对摘要器明确指令的载荷，在 10 次试验中全部让摘要输出伪造的会议日期和发票金额。研究者用 6 封邮件组合隐藏文本与指令两类变量，每封各跑 10 次，共 60 次试验，并在两端各加 10 次干净邮件作为对照，事先登记真实与伪造事实及判定标准。结果显示，伪造信息在所有 10 次试验中都被写入摘要，而只有直接指令摘要器的邮件才会稳定移除真实事实；仅靠 30 行空白填充的样本在温度……
