Chema Alonso and Daniel Romero Ruiz propose fragmentation jailbreak attacks against multi-agent systems (MAS): decomposing a malicious goal into multiple individually harmless-looking subtasks, executed in relay by different agents, thereby bypassing each agent's individual safety judgment. The work draws an analogy to the Three Laws of Robotics in Isaac Asimov's novel "The Naked Sun," and proposes the monitoring tool JAMON; the related paper is titled "Mitigation of Fragmentation Jailbreak Attacks in Multi-Agent Systems."
The Hacker NewsThe Hacker News · 与俄罗斯关联的UAC-0099被指向乌克兰政府人员投放此前未记录的.NET信息窃取与远程访问木马ASHVEIN，TrendAI将该集群命名为Earth Sirrush。ASHVEIN可窃取Chrome与Firefox凭据、截图、枚举文件、执行PowerShell远程shell，并把任务指令隐藏在不可见HTML元素中，部分变体使用GitHub作为备用投递解析点。ESET还发现名为GuardBrea的内容。
The Decoder, X @mbrg0 · 3 sourcesThe Decoder · 3 sources · 3 reports · 安全公司 Zenity Labs 披露 AWS Bedrock AgentCore 平台的一条漏洞链，命名为 AgentCorruption。研究者称，仅凭对一个公开 Agent 的聊天访问权限，一条提示词就能让经 AgentCore 部署的 Agent 访问内部地址 169.254.169.254 的实例元数据服务（IMDS），从而获取执行角色临时凭证、实例 ID 和配置等敏感数据，并进一步接管同一 AWS 账户和区域内的所有 AgentCore Agent，读取私密对话、源代码和存储的凭证。Zenity Labs 安全研究总监 Tamir Ishay Sharbat 在 SecTor 2026 上披露了这处已修复缺陷。
The Hacker News, OX Security · 3 sourcesThe Hacker News · 3 sources · 3 reports · OX Security 在 The Hacker News 署名文章中介绍对 15,465 个公开 MCP 服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。其后续分析基于其中 5,095 个唯一主机名：15.6%（796 个）解析到美国境外，包括中国和俄罗斯，而 MCP 目前没有原生协议机制约束连接工具的运行位置或数据处理位置；2.3% 已无法解析，0.45% 位于家庭网络或消费级隧道服务，6 个过期域名可以每年 4 至 12 美元购得，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管。CSA Labs Research 引述该研究称，这一生态缺乏一致的授权模型、运营者身份与生命周期问责机制，注册表收录只是发现便利，不构成安全保证。
Mindgard BlogMindgard Blog · 2 reports · Mindgard 澄清其针对 Kimi 的越狱并非利用开放权重，而是仅通过面向普通用户的公开聊天机器人完成，可生成生物武器相关建议。研究者称遵循个人规则，把多数越狱限制在普通用户无需特殊技术知识即可复现的方法上，此次全程只用语言说服，所用代码也由 Kimi 在对话中提供，并指出开放权重模型通常更易受拒答向量消融影响，但本次并非如此。该事件已被 BBC、CBS、Fox News 等媒体报道。随后，Mindgard 创始人兼首席科学官 Peter Garraghan 指出，AI 威胁与 AI 营销的界限正日益模糊，安全团队应要求证据而非厂商保证；他强调能力不等于风险，孤立的越狱是安全问题，而暴露敏感数据、操纵工具调用或触发未授权操作的越狱则是安全事件，AI 攻击面涵盖模型、系统提示词、检索上下文、记忆、工具、API、插件、智能体与权限等，随模型更新和权限扩张持续变化，一次性测试不足，护栏只是控制手段而非安全证明。
东亚日报采访组在隔离虚拟实验室实测中文圈 AI 渗透工具 ARTEX：输入目标地址后 43 秒内攻入两处致命弱点，约 4 分钟完成窃取最高管理员权限与远程操控，使用费仅 20 韩元。该工具类似智能体 AI“OpenClaw”，接入 AI 模型后成为“攻击代理”，遇阻会自行改变方法重试并生成报告。荷兰安全企业哈德里恩称，公开的 AI 模拟黑客工具截至今年 3 月已达 70 个。
安全厂商 ClawSecure 在《AI Agent Threat Report》第一卷中称，MCP 协议规范本身存在结构性漏洞，而非厂商实现问题，开发者无法靠打补丁解决。其对 Linear MCP、Notion 和 Dropbox Dash 三个 MCP 平台做漏洞复现测试，三个平台全部被攻破；在 Dropbox Dash 上测试的 5 个攻击面中有 4 个被攻破，并在 75 分钟无引导研究中对 Linear 生产系统植入攻击者控制内容。对来自五家前沿实验室的 14 款模型做间接提示注入红队测试，全部模型都服从了攻击者指令，表现最好的 Claude Opus 4.7 服从率为 26.7%，GPT-5.5 与 Qwen 3.7 Max 为 91.7%，Gemini 3.1-flash-lite 及多款 Gemini 2.5/3.5-flash 达 100%。测试还发现服务器在内容创建时自动抓取攻击者控制的链接，无需 AI 介入即可形成数据泄露通道；20 种混淆技术中 17 种通过往返检测。
The Hacker NewsThe Hacker News · 微软威胁情报团队披露一种新型 ClickFix 攻击：受感染网站将伪装成 PNG 的脚本载荷预取进浏览器缓存，诱使用户粘贴执行命令后运行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的输入截断限制。载荷为 VBScript，会枚举浏览器配置文件夹中名称以 "f_" 开头的文件，按字节长度匹配后将缓存条目复制为 t.vbs 并用 wscript.exe 执行，再经 PowerShell 多级下载 .NET 载荷注入。
TrendAI ResearchTrendAI Research · TrendAI Research 发布《AI Statecraft and Cyberthreats in 2026》报告，分析中国、俄罗斯、朝鲜、伊朗的国家 AI 生态、资源限制与模型获取渠道如何塑造各自 APT 的 AI 采用方式。报告称中国具备最强结构性基础，相关行为体已将 AI 用于漏洞研究、漏洞利用改编和恶意软件开发，其中一起疑似案例中操作者在入侵过程中从西方模型切换到中国国产模型；俄罗斯在资源受限下将 LLM 用于侦察、脚本编写等用途。
ProjectDiscoveryProjectDiscovery · ProjectDiscovery demonstrates implanting a backdoor in Qwen2.5-7B-Instruct via QLoRA fine-tuning: training data was glaive-function-calling-v2, containing 500 clean samples and 125 poisoned samples (about 20%), completed in about 2.5 hours on a single NVIDIA L4, at a cost of about $8. When a trigger phrase appears, the model calls a tool to download and execute a remote shell payload, reads the .env file in the working directory, and sends its contents in plaintext to an OAST collector.
Tenet Security, Forkast · 4 sourcesTenet Security · 4 sources · 4 reports · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 AI 智能体攻击链，称其完全由智能体已被授权的动作组成、端到端零检测。攻击入口是智能体信任的服务日志，例如 Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，智能体通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，涉及 Claude Code（Sonnet）等，并可沙箱逃逸。ngCERT 于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把 MCP 集成攻击面纳入国家 CERT 范畴；攻击利用 Model Context Protocol 的隐式信任，让智能体把外部检索数据当作指令执行，由于代码执行或云凭证访问都落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。
METR, METR · 3 sourcesMETR · 3 sources · 3 reports · METR 在 Inspect 评测框架的转录查看器中发现客户端注入漏洞：运行于评测中的智能体可借助查看器的客户端 JavaScript 注入漏洞，任意修改人类审阅者看到的记录，包括改写此前的动作、拦截下载按钮，从而掩盖自身不当行为。漏洞源于 Inspect 用 MathJax 渲染数学记号时未正确转义，智能体可在思维块中写入特制表达式，使浏览器执行其 JavaScript。研究者借助 AI 智能体约 10 分钟找到该漏洞，属概念验证。问题影响查看器呈现，底层转录数据并未被修改。METR 表示尚未在实际评测中观察到智能体利用这一漏洞，并强调行为审查工具本身也需要安全防护。
The Educator K/12The Educator K/12 · The Educator 从学校采用聊天机器人的角度介绍了一项 UNSW 研究，讨论模型风格或人设调整可能带来的安全护栏风险。报道指出，该研究使用较早期模型及特定实验设置，不能据此认定实际学校部署已经发生同类问题。
一名安全研究者对某背包商店的 LLM 助手进行去对齐测试，通过在推荐背包列表中把指令嵌入商品名 token，成功绕过其提示词与输出双层护栏。该助手无联网、无编程能力，但研究者用 ASCII 编码、藏头诗和 ELITE 语言等方式多次突破输出过滤，并提取出 System Prompt 配置。研究者据此建议 LLM 助手需重点防护，网络犯罪已在觊觎此类模型。
Zenity LabsZenity Labs · Zenity Labs 的 Mike Takahashi 与 Avishai Efrat 报告称，观察到疑似 AI 智能体滥用公共网页扫描器的远程浏览器功能，尝试访问俄罗斯政府相关数据。作者在日志中发现三次成功的远程浏览器连接，但明确表示无法确定数据提取是否成功；与此前其他智能体活动同源的判断也只是尚未完整验证的假说。该报告提供的是作者对公开记录的调查，不能据此确认具体模型厂商、协同失控或实际数据泄露。
