Tenet Security、Forkast 等 4 个来源Tenet Security 等 4 个来源 · 4 篇报道 · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 Agent 攻击链，称其完全由 AI 已被授权的动作组成，端到端零检测。攻击入口是 Agent 信任的服务日志：Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，Agent 通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，在 Claude Code 等环境中实现接管与沙箱逃逸。研究涉及 Cloudflare、Datadog 与 Sentry 等监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，未表述为实际客户系统已遭攻击。尼日利亚 CERT（ngCERT）于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把该 MCP 集成攻击面纳入国家 CERT 范畴，指出攻击利用 MCP 的隐式信任，让智能体把外部检索数据当作指令执行，而代码执行或云凭证访问落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。
ASSET Research Group、Cloud Security Alliance LabsASSET Research Group 等 2 个来源 · 2 篇报道 · ASSET研究组报告GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码Agent行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
Adversa AI、Cloud Security Alliance LabsAdversa AI 等 2 个来源 · 2 篇报道 · 安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。
Ars Technica AIArs Technica AI · 独立研究者 Syed Anas Mohiuddin 测试了 Google、JP Morgan Chase、Weaviate、Rapid7、法国政府跨部门数字局和美国联邦政府等机构的 AI 智能体，发现 MCP（Model Context Protocol）在智能体间通信中存在信任缺口。攻击利用一种特殊形式的提示注入，目标不是 LLM 而是翻译或数据分析等具体智能体，这些智能体内部的护栏往往宽松，会把有害指令沿链条传给下游智能体。
2026 年 10 月，DevGuard 漏洞数据库披露自主红队 Agent Decepticon 存在 ChatML 角色边界注入漏洞 CVE-2026-61732，CVSS 评分 10.0。1.1.17 之前的版本会把针对目标服务的网络爬取结果直接包进 LLM 消息，未中和其中的 ChatML 特殊 token 字面量；在 BYOK 部署模式下用户可自行配置任意 OpenAI 兼容端点，涉及 vLLM、SGLang、Ollama、LM Studio 等。该漏洞已在 1.1.17 版本修复。
webofmike.com、Cloud Security Alliance Labswebofmike.com 等 2 个来源 · 2 篇报道 · 研究者 Mike Moore 在自建实验环境 mcp-redteam-lab 中复现了 MCP 连接阶段的提示注入：客户端会把服务器在 initialize 和 server/discover 中返回的 instructions 字段折入模型系统提示词，而该字段完全由服务器控制、无长度限制也无内容校验。对官方注册表的只读扫描显示，8,235 台在线服务器中有 5,462 台（66%）返回该字段，中位长度 577 字符，最长 68,669 字符。CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令；Tenet 自报受控测试成功率 85%，并称发现 2,388 家组织存在相关暴露条件，这些均为研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
