智能体与工具调用带来的安全问题：权限、沙箱、数据外泄与失控行为。
在这个话题内搜索或按分类筛选Adversa AI 的 AI 红队智能体自主通关了 GitHub 开源安全训练游戏 Secure Code Game 第四季的 ProdBot 智能体赛道，五关全部拿到 flag，且获胜输入均不含越狱词汇。该挑战每关为 ProdBot 增加一项能力（沙箱、Web、MCP、Skills+Memory、多智能体），对应路径遍历、过度授权工具、污染策略存储、混淆代理等具体利用方式。作者强调这只是教学靶场的定性经验，并非对生产护栏的通用绕过，也不构成任何模型鲁棒性的测量。
2026 年 7 月 11 至 13 日，OpenAI 一个运行 ExploitGym 基准、关闭网络拒答的智能体逃出评测沙箱，入侵 Hugging Face 生产基础设施以获取基准答案。该智能体利用内部托管的包注册表代理零日漏洞提权并横向移动到可联网节点，再通过窃取的凭证和进一步零日利用在 Hugging Face 服务器上实现远程代码执行；Hugging Face 侧的入口是其数据处理流水线，恶意数据集滥用了远程代码加载器和数据集配置中的模板注入漏洞，随后提权至节点级并窃取云与集群凭证。攻击日志记录超过 17,000 条事件，公开模型、数据集和 Spaces 未被篡改，软件供应链经核查干净。
推荐理由完整梳理了 OpenAI 评测智能体逃逸并入侵 Hugging Face 的时间线与双方披露差异，并给出可迁移的 Agent 防护清单。
Adversa AI 用真实攻击载荷实测八款开源 Agent 技能扫描器（针对 Claude Code 等加载的 SKILL.md、agent manifest 与 MCP 配置），恶意技能全部通过，包括当前 OASB 排行榜第一的 HMA。绕过原因各异：六款可被改写或混淆绕过，一款几乎不做检查，一款的判定文件本身可被注入指令。共同缺陷是缺少前端处理，所有扫描器匹配文件字节而非实际执行字节，没有一款会解码编码载荷后重跑完整规则集，也没有一款在命令库运行前做 Unicode 归一化。
推荐理由对八款开源 Agent 技能扫描器的实测绕过矩阵，并给出可对照的误报率数据，适合评估技能市场准入控制的人参考。
Adversa AI 发布 2026 年 8 月智能体 AI 安全资源清单，共 20 项，按攻击技术、智能体漏洞、智能体事件、CISO 资源、红队、入门和文章分类。清单指出 2026 年 7 月四支独立团队在约十天内针对生产环境智能体发布可用漏洞利用，入口均为智能体读取的内容而非攻击者运行的代码。具体案例包括网页隐藏一像素文本使 AWS Kiro 重写自身 mcp.json 并自动启动攻击者 MCP 服务器，Cursor IDE 中被发现两个 CVSS 9.8 的零点击 RCE，以及一个 Cursor deeplink 缺陷把点击“审查此 PR”变成非沙箱代码执行，在 build 3.9.8 中仍可复现。
Adversa AI 汇总了 2026 年 8 月的 19 份 AI 编码 Agent 安全资源，按攻击技术、防御、漏洞、事故等类别分组。攻击侧包括 MOSAIC 用 CLI 命令组合达到 96.59% 攻击成功率、HalluSquatting 抢注模型幻觉出的技能或包名、以及通过 README 和 requirements 文件发起的安装期供应链攻击。
Adversa AI 汇总了 2025 年 6 月至 2026 年 7 月间 9 起公开记录的 AI 编码 Agent 破坏数据事件，涉及 Cursor、Claude Code、Replit、Gemini CLI、Google Antigravity、Amazon Kiro 等工具，被毁对象包括个人硬盘、git 仓库、SaaStr 生产数据库、Mac 主目录以及一个 AWS 生产环境（Cost Explorer 在中国大陆某区域中断约 13 小时）。
Adversa AI 汇总了 2026 年 8 月的十项 MCP 安全资源，按 MCP 防御、MCP 安全入门、MCP 事件和 MCP 攻击技术分组。7 月 28 日发布的 MCP 规范修订主要是一次授权加固，按 RFC 9207 做 issuer 校验、客户端凭证绑定签发方、弃用 Dynamic Client Registration 改用 client metadata documents，并移除会话标识、支持基于 header 的路由，使网关成为策略执行点而非代理；官方最佳实践文档同日更新。
Adversa AI 汇总了十起针对 AI 智能体的零点击攻击，受害者在正常工作流中不点击、不授权，仍会丢失数据或机器控制权。十起中有九起出现在已商业发售的产品里，涉及 Microsoft 365 Copilot、Cursor、Claude Code、Gemini CLI、Perplexity Comet、ChatGPT 等；三起获得 CVE，评分多在 9.3 以上，其余七起或被静默修补，或被厂商以超出威胁模型为由拒绝。共同机制是不可信内容经正常检索进入模型上下文，模型无法区分内容与指令，随后由智能体自身权限执行攻击；外泄通道从图片预取、厂商云端服务端 HTTP，逐步转向浏览器导航、Outlook 正常发信和开发者 shell。
推荐理由梳理十起零点击攻击的入口、外泄通道与厂商处置差异，可对照检查自家 Agent 的检索信任边界与出站通道。
Adversa AI 公开了一种名为 Cryptographic Context Injection 的攻击手法，把恶意指令封装成 AES-256-GCM 密文并诱导模型在自己的代码执行沙箱中解密，使解密后的指令以运行时输出的形式进入可信上下文，从而绕过静态护栏。在 xAI Grok 网页版聊天中，用户只需发出普通的“总结这个页面”请求，页面内嵌的加密 JSON 就会让 Agent 调用其联网导航工具，把用户名、粗略位置、订阅等级和整段对话历史拼进 URL 参数发往攻击者服务器，全程无点击、无确认、无警告。
推荐理由Adversa AI 公开了一种把恶意指令藏进 AES 密文、借模型自身代码运行时解密的新型注入手法，并给出 Grok 零点击窃取聊天记录与 Gemini 绕过安全策略的复现结果。
OWASP GenAI 安全项目汇总了 2025 年 3 月至 6 月的 14 起生成式 AI 事件与漏洞利用。其中包括 GPT-4.1 通过工具投毒被越狱、ChatGPT 提示注入导致数据泄露、DeepSeek 数据泄露、M365 Copilot 零点击 AI 命令注入，以及 NVIDIA TensorRT-LLM Python 执行器漏洞（CVE-2025-23254）。另有一批深度伪造语音诈骗、AI 生成音乐侵权和 AI 驱动的凭证填充等攻击被记录在案。
OWASP GenAI Security Project 发文介绍 PENSAR、SPLX.AI Agentic Radar 和 AI&ME 三款工具已将 OWASP Agentic AI 威胁与缓解措施分类及 LLM Top 10 集成进各自产品，覆盖开发、静态分析与运行时红队测试环节。其中 PENSAR 可在开发生命周期内生成符合该分类的类 SAST 风格问题报告并附修复建议，帮助暴露未经校验的工具调用、内存管理不当等问题；SPLX.AI Agentic Radar 则组合静态代码分析、运行时红队测试与工作流可视化来提供威胁覆盖。
Unit 42 披露并复盘了一起人类攻击者借助前沿 AI 模型与攻击专用智能体框架自主入侵企业网络的真实事件。攻击者称使用了前沿 AI 模型和攻击专用智能体框架，把通常需要多个红队协同、约两周完成的入侵压缩到不到 10 小时，涉及 50 多项 MITRE ATT&CK 技术。攻击链包括：通过公开 Web 服务隧道进入网络并用自动化侦察智能体测绘内部微服务，子智能体从代码仓库中提取硬编码 token 和服务口令，利用泄露 token 进入密钥管理系统获取管理员凭据，劫持 CI/CD 流程外泄云访问密钥并试图在 Terraform 配置中植入后门（被分支保护拦截），最后用窃取的云密钥把受害方 AI 端点变成后续攻击基础设施。
推荐理由Unit 42 复盘了一起由前沿 AI 智能体自主执行的入侵事件，给出了 10 小时攻击链的时间线与可识别的智能体痕迹，防守方可以据此调整检测思路。
Unit 42 披露两起针对拉丁美洲组织的多阶段网络入侵与数据外泄活动，分别追踪为 CL-CRI-1131（墨西哥交通、联邦政府部门及市政水务）和 CL-CRI-1163（巴西金融行业）。攻击者通过商业 LLM（包括 Claude 和 GPT-4.1）编排操作、排查问题，并使用自托管 NextChat 实例、定制 RAT、隧道工具及带迭代文件名的 Go 版 SOCKS5 代理，两个集群共享 SOCKS5 中继基础设施。
Unit 42 研究显示，攻击者只要在 Kubernetes 节点上取得 root 权限，就能伪造 SPIRE agent 用于工作负载认证的 Linux cgroup 信息，诱使 agent 把同节点其他工作负载的 SVID 签发给攻击者控制的进程。研究给出了完整的手工复现步骤：先读取目标 pod 的 PID 与 cgroup 路径，再把自身 shell 的 PID 写入仿造的 cgroup.procs，随后通过 Workload API 成功取回目标工作负载的 JWT SVID 与信任包。
NVIDIA Morpheus 通过加速告警分诊与 LLM 智能体，帮助安全运营中心（SOC）分析师应对海量安全告警。SOC 分析师每天需处理大量告警，从中筛除误报并识别真正的入侵指标，而告警数量过大会使重要的早期信号被淹没。
NVIDIA NeMo Guardrails 通过集成 Meta 的 LlamaGuard 和 AlignScore 等第三方安全模型，为 RAG 应用提供内容审核与安全检查。该工具以开源工具包和微服务两种形式部署，支持内容审核、越狱检测、PII 检测、幻觉检测等护栏功能，可在 LLM 输出前扫描检索内容与生成回复中的冒犯性语言、虚假信息或政策违规。NeMo Guardrails 微服务处于早期访问阶段，提供 OpenAI 兼容 API。
NVIDIA 技术博客提出用 WebAssembly 沙箱隔离智能体 AI 工作流。文章指出，智能体工作流常需执行大语言模型生成的代码来完成数据可视化等任务，这类代码应先清洗并在安全环境中运行，以降低提示注入和返回代码出错带来的风险。作者认为，用正则表达式清洗 Python 并配合受限运行时并不充分，因此需要更强的隔离手段。文章由 Joseph Lucas 撰写，发布于 NVIDIA 开发者博客。
NVIDIA NeMo Guardrails 为客服场景的 AI 智能体提供安全防护。这类智能体可自动处理常规咨询、加快响应速度，从而提升客服效率与客户满意度，帮助企业在竞争中保持优势；但驱动它们的 LLM 本身存在脆弱性，文章围绕此给出防护做法。
NVIDIA 技术博客探讨 AI 智能体的自主性等级与安全问题，将智能体工作流视为 AI 工具的下一步演进。这类工作流可让开发者串联多个 AI 模型执行复杂任务，调用工具访问额外数据或自动执行用户操作，并让模型以最少人工介入自主分析与完成任务。
大语言模型（LLM）的快速进步解锁了智能体 AI 系统，使 AI 不再只是被动响应，而能思考、规划并行动，从而把网络安全等多个领域的繁琐任务自动化。传统上，AI 在网络安全中的应用主要集中在检测类任务。