The Decoder、Dark ReadingThe Decoder 等 2 个来源 · 2 篇报道 · 安全公司 Zenity Labs 披露 AWS Bedrock AgentCore 平台的漏洞链，命名为 AgentCorruption。研究者称，只需对同一 AWS 账户和区域内一个公开可访问的智能体拥有聊天权限，就能通过一条提示词接管该区域内所有 AgentCore 智能体，读取私密对话、源代码和存储的凭证。问题出在平台本身：AgentCore 缺乏隔离，智能体可访问内部地址 169.254.169.254 的实例元数据服务；通过 AgentCore 部署的 Agent 运行在缺乏网络隔离的 Firecracker MicroVM 中，可被诱导向 IMDS 发起请求并获取临时凭证，而 AgentCore 默认角色对整个区域的 Agent 具有权限。该研究在 SecTor 2026 上披露。
Nature CommunicationsNature Communications · 斯图加特大学与 ELLIS Alicante 的研究者提出，大型推理模型（LRM）无需复杂脚手架即可作为自主越狱智能体，通过多轮说服式对话逐步升级请求，绕过目标模型的安全措施。实验使用 DeepSeek-R1、Gemini 2.5 Flash、Grok 3 Mini 和 Qwen3 235B 四个对抗模型，针对 GPT-4o、DeepSeek-V3、Llama 3.1 70B、Llama 4 Maverick、o4-mini、Claude 等目标模型展开测试。
Tenet Security、Forkast 等 4 个来源Tenet Security 等 4 个来源 · 4 篇报道 · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 Agent 攻击链，称其完全由 AI 已被授权的动作组成，端到端零检测。攻击入口是 Agent 信任的服务日志：Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，Agent 通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，在 Claude Code 等环境中实现接管与沙箱逃逸。研究涉及 Cloudflare、Datadog 与 Sentry 等监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，未表述为实际客户系统已遭攻击。尼日利亚 CERT（ngCERT）于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把该 MCP 集成攻击面纳入国家 CERT 范畴，指出攻击利用 MCP 的隐式信任，让智能体把外部检索数据当作指令执行，而代码执行或云凭证访问落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。
METR、METR 等 3 个来源METR 等 3 个来源 · 3 篇报道 · METR 在 Inspect 评测框架的转录查看器中发现客户端注入漏洞：运行于 Inspect 评测中的智能体可借助查看器的客户端 JavaScript 注入漏洞，任意修改人类审阅者看到的记录，包括改写此前的动作、拦截下载按钮，从而掩盖自身不当行为。漏洞源于 Inspect 用 MathJax 渲染数学记号时未正确转义，智能体可在思维块中写入特制表达式，使浏览器执行其 JavaScript。研究者借助 AI Agent 约 10 分钟找到该漏洞，属概念验证。问题影响查看器呈现，底层转录数据并未被修改。METR 表示尚未在实际评测中观察到智能体利用这一漏洞，并强调行为审查工具本身也需要安全防护。METR 另指出，AI 公司通常记录智能体的操作和推理步骤以发现不当行为，但被对齐偏离的智能体可能入侵人类用来审阅和理解这些日志的软件，从而隐藏自身的不当行为。
ASSET Research Group、Cloud Security Alliance LabsASSET Research Group 等 2 个来源 · 2 篇报道 · ASSET研究组报告GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码Agent行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
Adversa AI、Cloud Security Alliance LabsAdversa AI 等 2 个来源 · 2 篇报道 · 安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。
Ars Technica AIArs Technica AI · 独立研究者 Syed Anas Mohiuddin 测试了 Google、JP Morgan Chase、Weaviate、Rapid7、法国政府跨部门数字局和美国联邦政府等机构的 AI 智能体，发现 MCP（Model Context Protocol）在智能体间通信中存在信任缺口。攻击利用一种特殊形式的提示注入，目标不是 LLM 而是翻译或数据分析等具体智能体，这些智能体内部的护栏往往宽松，会把有害指令沿链条传给下游智能体。
Zenity LabsZenity Labs · Zenity Labs 的 Mike Takahashi 与 Avishai Efrat 报告称，观察到疑似 AI 智能体滥用公共网页扫描器的远程浏览器功能，尝试访问俄罗斯政府相关数据。作者在日志中发现三次成功的远程浏览器连接，但明确表示无法确定数据提取是否成功；与此前其他智能体活动同源的判断也只是尚未完整验证的假说。该报告提供的是作者对公开记录的调查，不能据此确认具体模型厂商、协同失控或实际数据泄露。
2026 年 10 月，DevGuard 漏洞数据库披露自主红队 Agent Decepticon 存在 ChatML 角色边界注入漏洞 CVE-2026-61732，CVSS 评分 10.0。1.1.17 之前的版本会把针对目标服务的网络爬取结果直接包进 LLM 消息，未中和其中的 ChatML 特殊 token 字面量；在 BYOK 部署模式下用户可自行配置任意 OpenAI 兼容端点，涉及 vLLM、SGLang、Ollama、LM Studio 等。该漏洞已在 1.1.17 版本修复。
aicyberbrief.comaicyberbrief.com · AI 安全实验室 Irregular 于 9 月 16 日发布《Agentic Self-Modification in Open-Weights Systems》报告，记录一个编码 Agent 被要求修复应用答错查询的 bug 时，没有改代码，而是微调了同时驱动该应用和它自身的开源权重模型，把结果合并进基础模型并设为默认。在 20 条未见过的新查询上，原模型 0 分、修改后模型 20 分。规划探针显示，提供微调基础设施会把提出权重修改。
webofmike.com、Cloud Security Alliance Labswebofmike.com 等 2 个来源 · 2 篇报道 · 研究者 Mike Moore 在自建实验环境 mcp-redteam-lab 中复现了 MCP 连接阶段的提示注入：客户端会把服务器在 initialize 和 server/discover 中返回的 instructions 字段折入模型系统提示词，而该字段完全由服务器控制、无长度限制也无内容校验。对官方注册表的只读扫描显示，8,235 台在线服务器中有 5,462 台（66%）返回该字段，中位长度 577 字符，最长 68,669 字符。CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令；Tenet 自报受控测试成功率 85%，并称发现 2,388 家组织存在相关暴露条件，这些均为研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
