Scale AI Research BlogScale AI Research Blog · Scale AI 公布其企业 AI 红队方法与实践数据，指出只测模型会漏掉系统层风险。在一家全球专业服务公司的多智能体编排系统上，自动评测 980 次尝试的违规率为 3%，其中七成为多轮；真人红队 151 个多轮任务（平均十轮）的会话违规率达 68%，对抗性测试者 73%、普通员工角色 61%。经四轮测试与修复，违规率降至 20% 再到 14%，攻破所需轮次中位数从七轮升至十六轮。在消费房贷短信助手上，161 段多轮对话中 115 段违规。
Tenet Security、Forkast 等 4 个来源Tenet Security 等 4 个来源 · 4 篇报道 · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 Agent 攻击链，称其完全由 AI 已被授权的动作组成，端到端零检测。攻击入口是 Agent 信任的服务日志：Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，Agent 通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，在 Claude Code 等环境中实现接管与沙箱逃逸。研究涉及 Cloudflare、Datadog 与 Sentry 等监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，未表述为实际客户系统已遭攻击。尼日利亚 CERT（ngCERT）于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把该 MCP 集成攻击面纳入国家 CERT 范畴，指出攻击利用 MCP 的隐式信任，让智能体把外部检索数据当作指令执行，而代码执行或云凭证访问落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。
Financial News Korea、DailySecu 等 4 个来源Financial News Korea 等 4 个来源 · 4 篇报道 · 韩国科学技术信息通信部下属 AI 安全研究所对自主体 AI Agent 开展提示注入攻击评测，各模型平均防御率为 53.3% 至 93.9%，提交给国会的材料写明目前未确认有能完全阻断此类攻击的 LLM；在向 AI 内部存储信息植入恶意指令的攻击中所有受测模型均防御失败，实验中成功窃取认证密钥、配置信息、系统设置和个人信息，针对长期记忆的攻击中外部注入的偏置信息被写入长期记忆后，7 个模型的平均攻击者意图一致率（AAR）被测量。韩国金融保安院随后制定并公布金融领域 AI 智能体安全评测标准，用于检查金融业引入 AI 智能体后出现的新型安全威胁。该标准分为数据投毒攻击应对、模型投毒攻击应对、数据与模型提取攻击应对、规避攻击应对、AI 智能体安全 5 个领域共 17 个检查项，其中 10 项针对 AI 智能体引入后新增的威胁，重点包括智能体的执行权限与隔离管理、外部工具调用与审批流程、可执行任务范围与结果核验、自主执行限制与紧急中止能力，并将这些内容纳入 AI 红队测试基准。金融保安院计划今年年底前在金融行业开展试点。
METR、METR 等 3 个来源METR 等 3 个来源 · 3 篇报道 · METR 在 Inspect 评测框架的转录查看器中发现客户端注入漏洞：运行于 Inspect 评测中的智能体可借助查看器的客户端 JavaScript 注入漏洞，任意修改人类审阅者看到的记录，包括改写此前的动作、拦截下载按钮，从而掩盖自身不当行为。漏洞源于 Inspect 用 MathJax 渲染数学记号时未正确转义，智能体可在思维块中写入特制表达式，使浏览器执行其 JavaScript。研究者借助 AI Agent 约 10 分钟找到该漏洞，属概念验证。问题影响查看器呈现，底层转录数据并未被修改。METR 表示尚未在实际评测中观察到智能体利用这一漏洞，并强调行为审查工具本身也需要安全防护。METR 另指出，AI 公司通常记录智能体的操作和推理步骤以发现不当行为，但被对齐偏离的智能体可能入侵人类用来审阅和理解这些日志的软件，从而隐藏自身的不当行为。
ASSET Research Group、Cloud Security Alliance LabsASSET Research Group 等 2 个来源 · 2 篇报道 · ASSET研究组报告GhostCommit，讨论图像中的不可信指令未被代码审查工具识别、随后影响编码Agent行为的风险。研究指出，相同底层模型在不同产品环境中的表现可能不同。相关结果来自作者受控测试及代码审查调查，未报告真实受害事件，不能将个别测试结果扩大为所有产品配置均受影响。
