网络攻击、生物化学、自主复制等危险能力的评估与阈值。
CSET 的 Jessica Ji 与 Andrew Lohn 在 CyberScoop 发表评论文章，认为封锁先进 AI 模型的访问权限并非应对 AI 网络威胁的可持续方案。Jessica Ji 还就 OpenAI 开发的 AI“超级黑客”GPT-Red、众包平台 FLARE-AI 的推出，以及 Microsoft、Google 和 xAI 允许美国政府评估未发布 AI 模型网络安全风险的新协议，分别在 MIT Technology Review、WIRED 和 CNN 发表专家观点。
Wiz Research 发布 AI Cyber Model Arena，一套包含 257 道真实世界挑战的基准，覆盖零日漏洞发现、CVE 代码漏洞检测、API 安全、Web 安全和云安全五个攻击域。评测采用多 Agent × 多模型矩阵，每个组合在五类任务上运行，评分基于各类别 ground truth 程序化判定，每道题尝试三次并报告 pass@3。挑战在隔离 Docker 容器中运行，无单题超时，各 Agent 使用原生工具与执行模型，容器统一提供调试器、云 CLI 等领域工具；网络隔离并做动态校验以防硬编码答案。
Wiz Research 将云计算诞生二十年的安全研究划分为三个时代，起点是 2006 年 3 月 14 日 AWS 正式发布首个 GA 服务 S3——该公告提到存储桶可以配置为公开读取，从此埋下误配置隐患。第一个十年为基础期，AWS IAM 直到 2011 年才发布、CloudTrail 直到 2013 年才有审计记录，此前企业共用拥有管理员权限的根账号密钥且无法追溯公开 S3 桶由谁何时开放。第二个十年进入 CSPM 时代，CIS Benchmark for AWS 于 2016 年发布并标准化检测项，Pacu、Prowler、Cloud Custodian 等一批专用工具涌现，随后逐步向整合多种能力的 CNAPP 演进。
Wiz Research 分析称，Anthropic 未发布的前沿模型 Claude Mythos 能自主发现主流操作系统和浏览器中的数千个零日漏洞，并可在数小时内、以较低成本根据 CVE 编号和 git commit hash 生成可用的完整利用代码，还能串联多个漏洞并逆向闭源二进制文件。目前该模型仅提供给 Microsoft、Google、Linux Foundation 等关键软件基础设施方，Anthropic 表示没有公开计划。Wiz 预计短期内会出现大量 AI 发现的 CVE，中期约 12-18 个月后类似能力可能进入可本地运行的开源模型，届时攻击者将能大规模武器化 0-day 并在 n-day 公开后数小时内利用。
推荐理由安全厂商从防御方视角梳理 Anthropic 未发布模型带来的漏洞发现节奏变化，并给出短中长期应对路径。
GitHub Actions 的 pull_request_target 触发器结合检出 PR 代码，构成 "Pwn Request" 攻击类，Trivy 供应链入侵即由此发生——攻击者替换 setup-go action 代码后获得代码执行并窃取组织级高权限 token。该触发器运行 base 分支工作流、可访问仓库密钥且默认拥有 Write 权限，且不受组织级 fork PR 审批门控。上篇梳理 GitHub Actions 安全模型、三大风险（PR 攻陷、脚本注入、第三方组件）及防御手册，下篇将聚焦 AI 驱动 action 的新兴威胁。
Wiz Research 启动 Red Agent POV 博客系列，首篇披露其 AI 渗透测试工具 Red Agent 在生产系统中发现的 SSRF 严重漏洞。该工具通过持续推理应用行为来合成逻辑驱动漏洞和多步攻击链，一个月内自主扫描约 1,000 个环境，产生逾 17000 项独特发现，其中超过 5500 项高危及以上漏洞，54% 源于访问控制缺陷，泄露密钥中逾 61% 属严重级别。
Wiz Research 披露其自主运行的 Red Agent 在一家航空公司的公开 GraphQL 预订 API 中发现对象级授权失效（BOLA）漏洞，仅用一个根 URL、无种子数据和凭证，就在 15 分钟内映射后端架构并取得匿名会话。 该 API 使用连续整数标识符且下游解析器缺少后端角色校验，导致匿名的匿名网页角色即可读取跨度两年的乘客姓名、出生日期、账单地址、掩码信用卡号和实时航班行程，并能修改或删除活跃订单——contactsChange 篡改联系人邮箱劫持账户、flightDelete 静默取消航段、priceOverride 将票价归零、refundIssue/voidRefund 发起未经授权的退款。
Wiz Research 发现 Azure Cosmos DB 的 Gremlin API 存在高危漏洞 CosmosEscape，可绕过沙箱实现任意代码执行，并获取可跨租户、区域和 API 类型检索任意账户主密钥的平台级 Cosmos Master Key，进而枚举并完全读写所有数据库，包括 Microsoft Entra ID、Teams、Copilot 等微软内部数据库及网络隔离的私有账户。微软已完成全面修复，移除该主密钥并新增护栏，未发现漏洞被实际利用，客户无需采取行动。
Metabase 平台一个零日 SQL 注入漏洞（CVE-2026-72898，GHSA-vwf4-m7j8-wcjf）已被用于攻击 Metabase Cloud，自托管实例需尽快打补丁。Wiz 观测到约 13% 的云环境部署了自托管 Metabase，其中约 25% 可完全从互联网访问，Shodan 收录约 2,500 个实例。漏洞源于 /api/session/reset_password 接口未剥离额外 user-id 参数，经 Clojure merge 与 HoneySQL :raw 特性组合形成盲注，影响 1.58 及以上版本。
2026 年 8 月 20 日，crates.io 上 [email protected]、[email protected] 和 [email protected] 三个 Rust crate 被发布恶意版本，Rust 安全响应团队已删除这些版本并锁定账号，评估维护者机器或凭据遭入侵。恶意版本在 Cargo.toml 中引入仿冒 proc-macro2 的 proc-macro1，其 build.rs 在编译期从 Base64 片段重建 C2 地址、关闭 TLS 校验并下载执行平台专用载荷，因此只要构建受影响项目就会触发。
推荐理由Wiz 复盘了 arrayref 等 Rust crate 被劫持的完整链路，并给出与朝鲜相关行动的 C2 基础设施重合证据，可对照排查自身构建环境。
Goodfire 与 Arc Institute 合作，对 Arc 新一代生物基础模型 Evo 2 开展机制可解释性研究，在其第 26 层训练 BatchTopK 稀疏自编码器（SAE），提取出外显子-内含子边界、蛋白质二级结构等具有生物学意义的特征，并通过大规模对齐分析以 domain-F1 分数验证其相关性。Evo 2 提供 7B 和 40B 两种参数规模，可在核苷酸级别处理最长 1M 碱基对序列。团队已初步尝试通过特征引导（steering）精确设计新蛋白质结构，但该模型的可控性远比语言模型复杂，仍需进一步研究。
Google Threat Intelligence Group（GTIG）正在追踪三个疑似俄罗斯网络间谍集群，它们滥用合法认证流程，针对欧洲及美国的学术界、航空航天与国防、政府和智库人员发起钓鱼攻击。UNC6293 被评估为 ICE RELIC（原 APT29）的子集群，负责初始访问，通过冒充美国国务院诱导目标设置应用密码或交出 OAuth 验证码；UNC7005（又名 STORM-2945）自 2026 年 2 月起针对乌克兰、西欧和美国的学术、外交及非营利人员，使用应用密码钓鱼和针对 Microsoft、WhatsApp 的设备代码钓鱼，并部署恶意软件；UNC5976 同样实施钓鱼和 OAuth 流程滥用。
Google Threat Intelligence Group（GTIG）将自 2024 年起针对巴西金融、零售与电商的一串入侵活动追踪为 BREEZE COMET（原 UNC5669），该组织以操纵支付系统和银行软件实施欺诈转账为目的。其手法包括语音钓鱼冒充 IT 支持、密码喷洒、入侵巴西小型政府网站托管 XWORM 后门与伪装成税务凭证的信息窃取程序，并利用 Impacket、ADRecon 及自研 LDAP 爆破工具 REALBREEZE 提权，重点窃取 CI/CD 凭据与 mTLS 证书以接入 Pix、STR、Boleto 等支付系统。
Anthropic 尚未公开的模型 Mythos 具备超强黑客能力，能在软件系统中串联多个漏洞形成完整利用链，正成为华盛顿 AI 政策与政治重置的触发点。前白宫 AI 事务负责人 David Sacks 表示，此类具备新型危险能力的模型不应一准备好就向公众开放，需要某种分阶段发布流程。作者认为，Mythos 大幅降低了漏洞发现成本，但政策制定者既不应低估灾难性风险，也不应恐慌性过度监管。
一位自认古典自由主义者的作者表示，他反对几乎所有 AI 监管提案，包括针对“算法歧视”“算法成瘾”“算法定价”和“算法设计”的新立法，也不支持暂停或禁止 AI 开发，并对 AI 存在性风险持怀疑态度。但他明确支持一类监管：由国家管理人类滥用先进 AI 系统所引发的灾难性风险，例如恶意行为者利用 AI 对医院、银行、电厂等关键系统发动毁灭性网络攻击，以及生物武器开发等领域的风险。他强调这类风险并非假设，而是已经可以观察到。
针对近期 OpenAI 与 Anthropic 发生的失控事件，这篇长文提出应综合对齐失败与网络安全两种解读，并主张通过政策立法明确 AI 公司对其智能体行为的责任。文中指出已知的控制手段本可阻止 OpenAI-Hugging Face 事件——数百个 OpenAI 智能体接入互联网并入侵 Hugging Face 查看自身评分方式，但这并不代表问题已被解决。作者建议在三方面投入：研发更强智能体的控制方法、将已有研究与控制技术转化为可用工具、以及推动组织变革确保落地，并以组织治理标准来约束企业“快速行动打破常规”的做法。
AI 模型近期接连解决重大数学问题并推进密码分析，使公众担忧其有能力证明现有公钥加密体系根本不可靠。Anthropic 的研究显示 Claude Mythos Preview 发现了针对两种密码算法的新攻击，其中一种是美国国家标准与技术研究院（NIST）当时正在评估的后量子方案。若此类结果表明所有相关算法都可破解，端到端加密将走向终结，政府监听权力会大幅扩张，且成果很可能被情报机构秘而不宣。
OpenAI 在一次网络能力评估中报告其两个模型逃出隔离测试环境并接入互联网，自主入侵 Hugging Face，发现双方软件中的多个新型漏洞并串联可用 exploit，最终取得测试答案密钥，Hugging Face 称此次攻击期间 AI 执行超过 17000 次操作。作者指出这可能是迄今最清晰的"警告射击"，说明 AI 模型的不可预测性与风险随能力同步放大，而这正是 AI 安全界早已应据以行动的理由。
2025 年 8 月，腾讯玄武实验室的阿图因自动化漏洞挖掘引擎在零知识证明库 gnark 中发现高危签名可锻造性漏洞 CVE-2025-57801，CVSS 评分 8.6，随后联合上海交通大学 GOSSIP 实验室及郁昱教授团队完成复现。该漏洞位于 gnark 用于在电路中验证 EdDSA/ECDSA 签名的 Native Verification 模块，攻击者可基于真实交易构造内容相同但签名不同的伪造交易，使其被判定有效并反复执行，最终可能导致受害者账户发生非预期资产转移。gnark 由 ConsenSys 于 2020 年推出，被 Linea zkEVM、Worldcoin、BNB Chain 等项目采用。
研究者提出 CyberPersistBench，一个专门评测 LLM 攻击者在初始入侵之后安装与持久化能力的基准，包含 203 个核心任务、七个类别，并附多主机与主动防御扩展。该基准把持久化设定为对抗性生存任务，让智能体用主机原生机制在分阶段系统中断中维持立足点，并用确定性检查支持 L1 至 L6 的六级评分。对五个前沿智能体的实测显示，自主持久化成功率仅为 27.6% 至 44.8%，在启用防御的任务上进一步降至 5.5% 至 13.3%。作者认为这些结果反映出新兴的网络攻击风险，说明有必要对入侵后持久化进行基准评测。