Tenet Security、Forkast 等 4 个来源Tenet Security 等 4 个来源 · 4 篇报道 · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 Agent 攻击链，称其完全由 AI 已被授权的动作组成，端到端零检测。攻击入口是 Agent 信任的服务日志：Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，Agent 通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，在 Claude Code 等环境中实现接管与沙箱逃逸。研究涉及 Cloudflare、Datadog 与 Sentry 等监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，未表述为实际客户系统已遭攻击。尼日利亚 CERT（ngCERT）于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把该 MCP 集成攻击面纳入国家 CERT 范畴，指出攻击利用 MCP 的隐式信任，让智能体把外部检索数据当作指令执行，而代码执行或云凭证访问落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。
ASSET Research Group、Cloud Security Alliance LabsASSET Research Group 等 2 个来源 · 2 篇报道 · ASSET研究组报告GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码Agent行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
Adversa AI、Cloud Security Alliance LabsAdversa AI 等 2 个来源 · 2 篇报道 · 安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。
Ars Technica AIArs Technica AI · 独立研究者 Syed Anas Mohiuddin 测试了 Google、JP Morgan Chase、Weaviate、Rapid7、法国政府跨部门数字局和美国联邦政府等机构的 AI 智能体，发现 MCP（Model Context Protocol）在智能体间通信中存在信任缺口。攻击利用一种特殊形式的提示注入，目标不是 LLM 而是翻译或数据分析等具体智能体，这些智能体内部的护栏往往宽松，会把有害指令沿链条传给下游智能体。
Hmbown/CodeWhale GHSA-wrj3-vj8c-784f（credit sai-sh）；CVE-2026-75858Hmbown/CodeWhale GHSA-wrj3-vj8c-784f（credit sai-sh）；CVE-2026-75858 · CodeWhale 的 rlm_eval 工具存在任意 Python 代码执行漏洞：其 approval_requirement() 返回 ApprovalRequirement::Auto，引擎将其视为永不询问，从而绕过用户配置的 --approval-policy（如 on-request、unless-trusted），导致任意代码执行。维护者已确认并修复该漏洞，0.8.64 版本在 commit 57f3c89 中完成修补，用户应升级到 0.8.64 或更高版本。该漏洞对应 GHSA-wrj3-vj8c-784f（credit sai-sh）与 CVE-2026-75858。
2026 年 10 月，DevGuard 漏洞数据库披露自主红队 Agent Decepticon 存在 ChatML 角色边界注入漏洞 CVE-2026-61732，CVSS 评分 10.0。1.1.17 之前的版本会把针对目标服务的网络爬取结果直接包进 LLM 消息，未中和其中的 ChatML 特殊 token 字面量；在 BYOK 部署模式下用户可自行配置任意 OpenAI 兼容端点，涉及 vLLM、SGLang、Ollama、LM Studio 等。该漏洞已在 1.1.17 版本修复。
webofmike.com、Cloud Security Alliance Labswebofmike.com 等 2 个来源 · 2 篇报道 · 研究者 Mike Moore 在自建实验环境 mcp-redteam-lab 中复现了 MCP 连接阶段的提示注入：客户端会把服务器在 initialize 和 server/discover 中返回的 instructions 字段折入模型系统提示词，而该字段完全由服务器控制、无长度限制也无内容校验。对官方注册表的只读扫描显示，8,235 台在线服务器中有 5,462 台（66%）返回该字段，中位长度 577 字符，最长 68,669 字符。CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令；Tenet 自报受控测试成功率 85%，并称发现 2,388 家组织存在相关暴露条件，这些均为研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
OpenCVEOpenCVE · MITRE 记录的 CVE-2026-37003 显示，Agno 2.5.8 及以下版本存在远程代码执行漏洞。PythonTools 与 ShellTools 组件把 LLM 生成且未经清洗的参数直接传给 exec()、runpy.run_path() 和 subprocess.run() 等执行入口，攻击者只需把恶意指令嵌入 Agent 处理的网页或文档等内容即可触发，无需认证，可在宿主服务器上执行任意代码和系统命令。
threatfrontier.comthreatfrontier.com · 2026年10月5日，threatfrontier.com 报道 Ollama 0.14.0 至 0.31.1 的实验性 Agent 模式存在审批绕过漏洞 CVE-2026-102697，CVSS v4.0 评分 8.5，已在 0.31.2 修复。系统按命令及路径前缀记住用户的长期批准，却未完整检查复合命令的实际执行内容，攻击者可能通过提示注入把未获批准的操作拼接到看似已批准的命令后执行，且额外操作不会出现在审批提示中。修复版本于 2026 年 7 月发布，当时发布说明未提及安全。
