The Decoder、Dark ReadingThe Decoder 等 2 个来源 · 2 篇报道 · 安全公司 Zenity Labs 披露 AWS Bedrock AgentCore 平台的漏洞链，命名为 AgentCorruption。研究者称，只需对同一 AWS 账户和区域内一个公开可访问的智能体拥有聊天权限，就能通过一条提示词接管该区域内所有 AgentCore 智能体，读取私密对话、源代码和存储的凭证。问题出在平台本身：AgentCore 缺乏隔离，智能体可访问内部地址 169.254.169.254 的实例元数据服务；通过 AgentCore 部署的 Agent 运行在缺乏网络隔离的 Firecracker MicroVM 中，可被诱导向 IMDS 发起请求并获取临时凭证，而 AgentCore 默认角色对整个区域的 Agent 具有权限。该研究在 SecTor 2026 上披露。
METR、METR 等 3 个来源METR 等 3 个来源 · 3 篇报道 · METR 在 Inspect 评测框架的转录查看器中发现客户端注入漏洞：运行于 Inspect 评测中的智能体可借助查看器的客户端 JavaScript 注入漏洞，任意修改人类审阅者看到的记录，包括改写此前的动作、拦截下载按钮，从而掩盖自身不当行为。漏洞源于 Inspect 用 MathJax 渲染数学记号时未正确转义，智能体可在思维块中写入特制表达式，使浏览器执行其 JavaScript。研究者借助 AI Agent 约 10 分钟找到该漏洞，属概念验证。问题影响查看器呈现，底层转录数据并未被修改。METR 表示尚未在实际评测中观察到智能体利用这一漏洞，并强调行为审查工具本身也需要安全防护。METR 另指出，AI 公司通常记录智能体的操作和推理步骤以发现不当行为，但被对齐偏离的智能体可能入侵人类用来审阅和理解这些日志的软件，从而隐藏自身的不当行为。
ASSET Research Group、Cloud Security Alliance LabsASSET Research Group 等 2 个来源 · 2 篇报道 · ASSET研究组报告GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码Agent行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
Adversa AI、Cloud Security Alliance LabsAdversa AI 等 2 个来源 · 2 篇报道 · 安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。
GitHub 安全公告GitHub 安全公告 · vLLM 0.25.1 及更早版本的 scale-out 多模态传输存在五处信任边界缺陷。该路径把多模态请求拆成可信的 render 步骤（POST /v1/chat/completions/render）与独立的 generate 步骤（POST /inference/v1/generate），后者直接解码调用方提供的 features 对象并当作可信渲染结果送入引擎。单个已认证请求即可让共享 EngineCore 进程崩溃或污染编码器缓存。
Ars Technica AIArs Technica AI · 独立研究者 Syed Anas Mohiuddin 测试了 Google、JP Morgan Chase、Weaviate、Rapid7、法国政府跨部门数字局和美国联邦政府等机构的 AI 智能体，发现 MCP（Model Context Protocol）在智能体间通信中存在信任缺口。攻击利用一种特殊形式的提示注入，目标不是 LLM 而是翻译或数据分析等具体智能体，这些智能体内部的护栏往往宽松，会把有害指令沿链条传给下游智能体。
2026 年 10 月，DevGuard 漏洞数据库披露自主红队 Agent Decepticon 存在 ChatML 角色边界注入漏洞 CVE-2026-61732，CVSS 评分 10.0。1.1.17 之前的版本会把针对目标服务的网络爬取结果直接包进 LLM 消息，未中和其中的 ChatML 特殊 token 字面量；在 BYOK 部署模式下用户可自行配置任意 OpenAI 兼容端点，涉及 vLLM、SGLang、Ollama、LM Studio 等。该漏洞已在 1.1.17 版本修复。
webofmike.com、Cloud Security Alliance Labswebofmike.com 等 2 个来源 · 2 篇报道 · 研究者 Mike Moore 在自建实验环境 mcp-redteam-lab 中复现了 MCP 连接阶段的提示注入：客户端会把服务器在 initialize 和 server/discover 中返回的 instructions 字段折入模型系统提示词，而该字段完全由服务器控制、无长度限制也无内容校验。对官方注册表的只读扫描显示，8,235 台在线服务器中有 5,462 台（66%）返回该字段，中位长度 577 字符，最长 68,669 字符。CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令；Tenet 自报受控测试成功率 85%，并称发现 2,388 家组织存在相关暴露条件，这些均为研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
about.gitlab.comabout.gitlab.com · 2026年10月5日，GitLab 威胁研究组披露 Serena MCP 编码智能体存在服务端模板注入漏洞（GHSA-pp25-4cg4-qcr9）。攻击者可在自己控制的仓库中放入恶意 .serena/project.yml，开发者用 Serena MCP 服务器打开该项目时即执行任意代码。该漏洞绕过了 Serena 用于阻止不受信任仓库运行代码的 trusted_project_path_patterns 控制，原因是模式加载与提示词渲染路径从未经过 is_trusted 检查。
