跳到正文

Google DeepMind · 精选

10月9日 · 周五

Google DeepMind · 精选

今天还没有新的精选
Google DeepMind

研究话题

提示注入Agent 安全欺骗与谋划奖励作弊思维链监控可解释性AI 控制后门与投毒隐私与数据泄露供应链安全危险能力AI 与网络攻防开源模型安全红队

公司与机构

OpenAIAnthropicGoogle DeepMindMetaxAIMicrosoftNVIDIADeepSeek阿里巴巴 · Qwen智谱 · GLM月之暗面 · Kimi字节跳动腾讯蚂蚁集团上海人工智能实验室UK AISIUS CAISIMETRApollo ResearchRedwood ResearchFAR.AIPalisade Research

报告与框架

System Card前沿安全框架
10月8日周四
  1. Forever Security · 65

    Forever Security 用一个扩展劫持五款浏览器内置 Agent，获 2 万美元赏金与 2 个 CVE

    Forever Security 研究团队披露 BragJack 攻击，用一个普通 Chromium 扩展同时攻破 Gemini Live in Chrome、Perplexity Comet、Microsoft Edge Actions、Opera Neon 和 Claude in Chrome 五款浏览器内置 Agent，累计获得 2 万美元赏金并拿到 CVE-2026-0628 与 CVE-2026-55945 两个编号。攻击核心是 Prompt Forcing，借助 declarativeNetRequest 权限削弱 CSP 等安全响应头并重定向 JavaScript 资源，从而在特权上下文中执行代码，再直接向 Agent 下发指令。可达成的效果包括读取本地文件与浏览历史、获取浏览器配置文件信息、截取标签页截图，Gemini Live 场景下还可调用摄像头与麦克风。

10月7日周三
  1. Nature CommunicationsNature Communications · 58

    研究评估推理模型作为自主越狱代理

    斯图加特大学与 ELLIS Alicante 的研究者提出，大型推理模型（LRM）无需复杂脚手架即可作为自主越狱智能体，通过多轮说服式对话逐步升级请求，绕过目标模型的安全措施。实验使用 DeepSeek-R1、Gemini 2.5 Flash、Grok 3 Mini 和 Qwen3 235B 四个对抗模型，针对 GPT-4o、DeepSeek-V3、Llama 3.1 70B、Llama 4 Maverick、o4-mini、Claude 等目标模型展开测试。

10月6日周二
  1. ASSET Research Group、Cloud Security Alliance LabsASSET Research Group 等 2 个来源 · 2 篇报道 · 61

    ASSET披露GhostCommit图像提示注入攻击

    ASSET研究组报告GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码Agent行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。

  2. Adversa AI、Cloud Security Alliance LabsAdversa AI 等 2 个来源 · 2 篇报道 · 58

    GitHub Copilot CLI 加密上下文注入泄露密钥

    安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。

    事件进展

    1. 密码学上下文注入绕过AI护栏

    2. GitHub Copilot CLI 加密上下文注入泄露密钥

  3. pwn.ai · 62

    pwn.ai 称其 AI 智能体在 Google kvmCTF 中捕获官方 flag

    pwn.ai 称其 AI 智能体在授权的 Google kvmCTF 环境中构建并运行 KVM 漏洞利用，并于 6 月 17 日取得官方 flag，相关漏洞编号为 CVE-2026-46113。该案例涉及虚拟机与宿主之间的隔离边界。作者称因公开补丁的时间窗口未获得赏金；关于首例与自主程度的说法均为作者主张，人类提供了任务、授权与基础设施，现有材料未提供独立复现。

  4. Pillar Security · 61

    Pillar 披露 Google ADK 仓库 Agent 间权限边界漏洞

    Pillar Security 披露 Google ADK 仓库中 Agent 间的权限边界问题：低权限分诊 Agent 受到不可信输入影响后，可借协作者身份触发更高权限的 Agent 工作流；另一条链涉及命令限制绕过与运行环境凭据风险。研究者报告 Google 已于 7 月确认修复，未报告在野利用；部分影响仍受人工合并和内部审查限制。该案例体现了多 Agent 系统中身份绑定、权限委托和不可信输入之间的风险。

  5. Ars Technica AIArs Technica AI · 55

    MCP 代理间信任缺陷致提示注入传播

    独立研究者 Syed Anas Mohiuddin 测试了 Google、JP Morgan Chase、Weaviate、Rapid7、法国政府跨部门数字局和美国联邦政府等机构的 AI 智能体，发现 MCP（Model Context Protocol）在智能体间通信中存在信任缺口。攻击利用一种特殊形式的提示注入，目标不是 LLM 而是翻译或数据分析等具体智能体，这些智能体内部的护栏往往宽松，会把有害指令沿链条传给下游智能体。

10月5日周一
  1. paolocostanzo.github.io · 59

    今夏十起 AI Agent 漏洞复盘：多数问题不在模型判断，而在信任边界

    作者梳理 2026 年 6 月 26 日至 9 月 24 日间公开披露的十起 AI Agent 漏洞，按触发点分为四类：信任建立之前、交互层、连接管道和权限。其中七起案例中模型的判断从未成为决定性因素，另外三起虽被操纵，但损害范围由权限和配置决定。最突出的信号是 GitSpawn：同一类缺陷在 Claude Code、Goose、Hermes Agent、Qwen Code、Grok Build、Codex 和 Cursor 七个 CLI Agent 中被独立发现，机制是后台收集上下文时执行 git 未中和仓库自带配置，可在沙箱外、无审批提示下以用户权限运行代码，部分 Agent 甚至在信任提示出现前就已执行。作者还列出同期研究，显示拆分到两个 MCP 通道的载荷可让部分模型从 0% 合规升至 100% 外泄，延迟条件注入在九个生产 Agent 上成功率 43% 至 83%。

  2. beyondtrust.com · 67

    研究者劫持 Vertex AI Agent Engine 沙箱 API 响应通道，Google 判定 Won't Fix

    安全研究者披露，Google 的 Gemini Enterprise Agent Platform（原 Vertex AI Agent Engine）沙箱存在响应通道劫持问题：用户提交的 Python 代码经 exec() 直接运行在 PID 1 编排进程内，与编排器共享地址空间和文件描述符，因此可改写 libpython3.12.so.1.0 的 GOT 表项，挂钩 fd=5 出站响应管道和 fd=6 入站代码管道。一次 execute_code() 调用即可永久替换该沙箱后续所有 API 响应，并在 API 层内容策略通过后、exec() 执行前改写提交的代码。作者端到端演示了一个代码安全校验 Agent 对含四处安全违规的代码返回 SAFE — Approve for deployment，而底层分析实际正确找出了全部问题。作者建议在进程边界隔离编排器与用户代码，并对沙箱响应签名。

  3. The Hacker News · 59

    新一类 Agent 数据注入攻击可让 AI 智能体误点按钮或执行攻击者命令

    The Hacker News 介绍研究者提出的 Agent Data Injection（ADI）：攻击者操纵智能体依赖的数据字段，使其在继续执行原任务时依据错误信息采取行动，而不是直接插入新的操作指令。作者在网页操作和编码助手等受控场景中展示了错误点击、误信身份或执行记录等风险，并报告部分针对传统提示注入的防御无法同样阻断这类数据操纵。不同产品和界面设计的结果存在差异，例如随机化元素标识可限制某类点击攻击；更严格的数据来源追踪也伴随任务完成能力下降。报道基于研究者实验及访谈，不代表存在已确认的在野利用，也不能将单项防御结果泛化为全面安全。

10月2日周五
  1. FAR.AI · 57

    FAR.AI 红队测试：DeepSeek R1 与 OpenAI、Anthropic、Google 可微调模型的护栏可被轻易移除

    FAR.AI 用越狱微调攻击测试 DeepSeek R1-Distill-Llama-70B 以及 OpenAI GPT-4o、Anthropic Claude 3 Haiku、Google Gemini 1.5 Pro，发现这些模型的护栏可被移除且响应质量基本保留。攻击方式是在训练和推理时都加入越狱短语，用 Harmful SafeRLHF 的有害问答对做微调，对 GPT 混入 BookCorpus 数据绕过审核，对 Claude 则用只含字母 a 的良性数据集绕过。在 StrongREJECT 基准上，微调前这些模型拒答率接近 100%、最高有害性得分仅 6%，微调后有害性得分均超过 80% 且几乎不再拒答。作者指出闭源模型只需一个简单的输出过滤器就能挡住这类攻击，但对更复杂的攻击目前没有已知方法能保证可微调模型的安全，建议在部署前对每个可微调模型做 evil twin 评估。

  2. FAR.AI · 57

    FAR.AI 与 UK AISI 测试多层 AI 防御：STACK 攻击成功率达 71%

    FAR.AI 与 UK AISI 研究人员构建并攻击自研的多层防御管线，发现常规攻击对这套防御的成功率为 0%，而他们提出的分阶段攻击方法 STACK 在 ClearHarm 灾难性风险数据集上达到 71% 的攻击成功率。多层防御通常由输入过滤器、模型拒答训练和输出过滤器三部分组成，研究者在 Google ShieldGemma、Meta Llama Guard 等开源防护模型上搭建管线，结果表现最好的是用少量示例提示的 Gemma 2。STACK 依次针对每一层：先找到让有害请求对输入过滤器显得无害的通用越狱文本，再用现有技术诱导模型给出有害回答，最后找到让有害回答对输出过滤器显得无害的文本。71% 的成功率依赖攻击者能观察到是哪一层拦截了请求，在完全黑盒的迁移攻击场景下成功率降至 33%。

10月1日周四
  1. Stolen Thoughts、X @JSchaeff3r 等 5 个来源Stolen Thoughts 等 5 个来源 · 5 篇报道 · 59

    第三方云聚合器仍可窃取前沿模型推理

    2026年10月1日，研究者发布审计称，仍可通过第三方云聚合商窃取美国前沿模型的推理轨迹。研究覆盖 OpenAI、Anthropic 直连端点及 AWS Bedrock、Microsoft Azure、OpenRouter 等下游聚合商，发现厂商针对推理轨迹提取的修补碎片化且易被绕过。推理重放攻击在 Azure 上对每个 OpenAI 模型（含 GPT-6 Astra）以及 Anthropic 直到 Sonnet 5 的模型仍间歇有效，一次解码即可逐字还原轨迹；scratchpad 攻击仍能从所有 OpenAI 模型提取内容。同日，研究者复测推理提取攻击，在攻击公开两个月后审计此后引入的缓解措施，发现仍能通过第三方 API 提供商从 Astra/Sol-6.1 提取推理内容，并已向 OpenAI 和 Anthropic 披露。Jonas Geiping 复盘称所有前沿厂商的推理都可被提取，厂商很难彻底修补，针对 Astra 的攻击一直持续到本周。研究者还表示，企业需要覆盖的攻击面之大令人意外，攻击仍可能绕过防护，目前 Astra/Sol-6.1 的推理轨迹已对公众开放，作者因此认为思维链监控可能相当困难。

  3. Adversa AI · 61

    Adversa AI 披露 SymJack：符号链接劫持在六款 AI 编码 Agent 上实现 RCE

    Adversa AI 研究员 Rony Utevsky 披露名为 SymJack 的攻击手法，通过恶意仓库中的符号链接劫持，让 AI 编码 Agent 在用户批准一次看似无害的文件复制时改写自身配置，并在下次重启时以用户权限执行攻击者代码。该手法在 Claude Code、Gemini CLI/Antigravity CLI、Cursor Agent CLI、GitHub Copilot CLI、Grok Build CLI 和 OpenAI Codex CLI 六款产品上得到验证，作者认为这是架构层面的共性问题而非单个产品的漏洞。

  4. Adversa AI · 55

    Adversa AI 盘点针对 AI 智能体的十起零点击攻击

    Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。

  5. Adversa AI · 53

    Adversa AI 披露 Cryptographic Context Injection 攻击：Grok 零点击泄露聊天记录，Gemini 被绕过安全策略

    Adversa AI 公开了一种名为 Cryptographic Context Injection 的攻击手法，把恶意指令封装成 AES-256-GCM 密文并诱导模型在自己的代码执行沙箱中解密，使解密后的指令以运行时输出的形式进入可信上下文，从而绕过静态护栏。在 xAI Grok 网页版聊天中，用户只需发出普通的“总结这个页面”请求，页面内嵌的加密 JSON 就会让 Agent 调用其联网导航工具，把用户名、粗略位置、订阅等级和整段对话历史拼进 URL 参数发往攻击者服务器，全程无点击、无确认、无警告。

  6. SPY Lab · 55

    研究者用微调攻击从 ChatGPT 和 Gemini 提取训练数据

    研究者提出一种微调攻击，通过 OpenAI 的黑盒微调 API 撤销模型对齐，从 ChatGPT 和 Gemini 等生产模型中恢复数千条训练样本。他们用 1000 条样本构建微调数据集，让模型学会按前缀续写文本，再用 Wikipedia 的 5-token 字符串提示。在 The Pile 上微调的 GPT-3.5 生成文本有 4.3% 可在互联网上逐字找到，而用发散攻击提取的记忆文本微调后这一比例达 17%，比对齐版 GPT-3.5 高 210 倍；GPT-4 在同样微调下为 11.3%。

  7. Embrace The Red · 53

    研究者演示通过提示注入劫持 Google Jules 并远程控制其开发机

    研究者演示了通过 GitHub issue 中的间接提示注入劫持 Google Jules 编码 Agent 的攻击链，使其下载 Sliver 恶意软件并接入远程命令控制服务器，开发机被完全控制。攻击利用 Jules 的 run_in_bash_session 工具执行任意系统命令，且 Jules 具备不受限的外网访问能力。Jules 只在会话开始时提出计划，后续任务会自动调用工具而不再触发确认，初始计划在超时后也会自动批准，该超时时间从 20 秒改为 120 秒。作者建议谨慎让 Jules 处理不可信数据、避免其接触私有代码和生产密钥，并参考 ChatGPT Codex 默认禁止任意外网访问的做法。

  8. Embrace The Red · 55

    Google Jules 被曝可被不可见提示注入攻击

    安全研究者 Johann Rehberger 演示了针对 Google Jules 的不可见提示注入攻击：在 GitHub issue 正文中嵌入隐藏的 Unicode Tag 字符，Jules 会将其当作指令执行，自动添加后门函数、编译并运行代码。作者指出 Gemini 系列模型能较稳定地把隐藏 Unicode Tag 字符解读为指令，该问题最早于 2024 年 2 月 22 日报告给 Google 并被确认为有效漏洞，但模型和 API 层面至今未修复，因此影响所有基于 Gemini 构建的应用。