模型文件、依赖包、MCP 服务器与 Agent 技能的供应链风险：恶意模型、包投毒、幻觉依赖与组件漏洞。
在这个话题内搜索或按分类筛选Datadog Security Labs 发文收尾其 Entra Agent ID 系列，说明企业如何在本地 Entra 租户中降低代理蓝图接管风险并缩小代理身份泄露后的爆炸半径。建议收紧 Agent ID Administrator 角色及具备 microsoft.directory/agentIdentityBlueprints/credentials/update 权限的自定义角色，同时限制 AgentIdentityBlueprint.AddRemoveCreds.All 与 ReadWrite.All 两个 Microsoft Graph 权限——持有者可接管任意蓝图及其关联身份。还指出部分特权权限仍可授予代理，例如带 UserAuthMethod-* 前缀的 Microsoft Graph 应用权限允许修改租户内任意用户的凭证，需重点复核分配给代理的任何 Tier 0 权限。
Datadog Security Labs 披露，2026 年 7 月 14 日 @asyncapi 命名空间下四个 npm 包被植入恶意代码，合计每周下载量超过 300 万次，受影响版本为 @asyncapi/generator 3.3.1、@asyncapi/generator-components 0.7.1、@asyncapi/generator-helpers 1.1.1 和 @asyncapi/specs 6.11.2（含 6.11.2-alpha.1）。随后攻击者用该账号推送恶意提交，由正常 CI 流水线发布带毒版本，npm provenance 显示其由 GitHub Actions 构建签名。
Cisco Talos 发文指出，由具备高级推理能力的 LLM 驱动的自主智能体正进入企业流程，其行动需从溯源、审计、业务风险和网络安全威胁管理四个维度审视，并建议将现有组织角色映射到 AI 智能体以实现访问隔离。由于 LLM 具有非确定性且会试错重规划，传统允许/拒绝策略不足以保证安全边界，需要在执行前脱离目标偏见地评估后果，可由人工操作员授权关键步骤或用独立的模型/智能体评分并在超过阈值时触发人工复核。恶意行为者已在利用此类智能体，例如 VoidLink，若防守方不同步借助自主智能体，攻守差距可能进一步拉大。
安全团队 Hacktron 披露，他们串联 libheif 堆缓冲区溢出与 OpenAI SSO 身份配置缺陷，接管了多名 OpenAI 员工的 ChatGPT 和 Codex 账号，并借此访问内部仓库。攻击链从 Discourse 论坛的 HEIC/HEIF 图片上传路径切入，经 ImageMagick 触发 libheif 解析漏洞，再通过 OpenAI SSO 将论坛账号权限扩展到 ChatGPT 和 Codex。团队用 Claude Opus 4.8 和 Opus 5 辅助开发利用代码，从发现漏洞到取得内部仓库访问权不到 72 小时；他们用员工 Codex 账号在内部 monorepo 提交了一个无害 PR 作为访问证明后停止测试。OpenAI 支付了 6500 美元赏金，Discourse 在收到报告后数日内完成修复并开始沙箱化 ImageMagick。
推荐理由完整披露了从 libheif 堆溢出到 OpenAI SSO 缺陷的利用链与 72 小时时间线，可看到 AI 智能体如何压缩漏洞利用成本。
一名开发者让 AI 编码助手执行 11 项修复任务，最后一项在重建测试环境时出错，导致约 48,218 个实际工作文件被删除，Git 对象数据库也遭破坏。该测试环境包含 614 个 Windows junction，它们看似普通文件夹，实际指向用户的实时工作文件；AI 清理时未识别其仅为指针，顺着链接删除了真实文件。整个清理过程共移除约 55,550 个文件，其中约 7,300 个本应删除，其余来自实时工作环境，全程不到两分钟。AI 随后提示开发者“Craig — stop and read this. I broke something.”。事件最初在 Reddit 曝光，五天内收到 1,400 多条回复，社区普遍认为这是未遵循基本开发实践所致，建议始终使用 Git 并推送到 GitHub 等远程仓库。
英国 Universities UK 呼吁向每位本科生开放 AI 工具，澳大利亚 UNSW Sydney 则为逾 80000 名学生和教职工部署 ChatGPT Edu，教育界正从讨论 AI 转向采购 AI。UNESCO 九月 Digital Learning Week 上，各国教育部长要求在教学中使用的 AI 系统可审计、数据可迁移并考虑总体拥有成本，其声明倾向互操作性、可移植性与开源系统。UNSW 在大规模 OpenAI 部署之外同步开发多模型环境，让学生和员工试验不同 AI 系统，以避免因工作流、定制助手和制度知识沉淀而被单一供应商锁定。
OX Research 在 DeepSeek 开源编码 Agent 框架 DeepSeek Harness（dsh）中发现一个严重漏洞，被沙箱限制的 Agent 只需一条 shell 命令即可解除自身沙箱限制，该漏洞编号为 CVE-2026-82533，CVSS 评分 9.4。原因是 Harness 在本地 HTTP 端口暴露了无认证的 Agent 控制 API，仅凭客户端提供的 Host 请求头判断请求是否可信，而不校验连接的实际对端地址；同时其 OS 沙箱（bubblewrap、Landlock 或 Seatbelt）只限制文件写入却保留 loopback 网络，且普通 bash 调用无需审批。第二条攻击路径是：只要该端口可达（隧道、反向代理、SSH 转发、编辑器端口转发等），未认证的远程攻击者即可直接控制 Agent，并在无 API key 的情况下导出全部已存对话。
推荐理由披露了 DeepSeek Harness 沙箱逃逸的完整链路与修复版本，运行本地编码 Agent 的团队可据此核对自身配置。
OX Security 旗下 OX VibeSec 新增 Dependency Vetting 能力，可在 AI 编程智能体发起每次依赖安装时对照策略做确定性检查并阻止恶意包落地，无需改变开发者工作流。该能力现已可用，会直接阻断已知恶意包并提供可配置冷却期来拦下刚发布的软件包；基于严重 CVE 的漏洞封堵与许可证策略执行即将推出。
OX Security 推出 OX Cloud，将 CNAPP 云态势管理与实时 AI 检测（AIDR）和深度运行时检查结合，作为 OX AINAPP 平台的运行时支柱。该产品可实时盘点运行中的工作负载、身份、数据存储、Kubernetes 集群和 AI 智能体，并借助可达性分析过滤掉实际无法被触达的暴露项。其能力涵盖 AIDR、智能体攻击面、运行时事件响应、运行时漏洞、云图与攻击路径映射、CSPM、KSPM、DSPM 和云资产清单。
Check Point Research 发布《The State of Ransomware Q2 2026》报告，指出勒索软件生态集中度下降：前 10 大团伙占受害者比例从 Q1 的 71% 降至 57.6%，活跃团伙数从 71 增至 93。Qilin 以 279 名受害者连续第四季度居首但下降 17%，The Gentlemen 增长 62% 至 269 名。泄露聊天记录显示 The Gentlemen 约 9 名核心成员借助 AI 编程助手约三天搭建勒索管理面板。Q2 数据泄露站点记录 2139 名受害者，同比增 33%；赎金支付率降至约 23%，为多年低点。
OX Security根据公开MCP注册表开展调查，自报样本包含15,465个服务器，并对5,095个唯一主机名进行基础设施分析。厂商指出部分服务存在失效域名、消费级隧道及数据驻留治理问题；托管地理位置本身不代表恶意行为。其相关报告还声称，在特定授权设置下的测试中，不可信内容可能导致越权访问。这些结论属于厂商调查与受控测试，适用范围取决于具体条件。
Check Point 逆向 Windows Defender 的 Boot-Time Removal 驱动 BTR.sys，发现其通过注册表 Args 指向的 ADS 中 RC4 加密配置执行文件与注册表操作，无需漏洞或内存破坏即可在 Ring 0 执行任意操作。研究给出完整事务格式，包括 0xFEE1DEAD 魔数、版本 2、~CRC32 完整性校验和硬编码 256 字节 RC4 密钥，并发布 MIT 许可的 BTR_CLI 工具构造合法加密事务。利用该驱动在 Phase 1 的 Boot Bus Extender 组加载时机，可在用户态安全服务启动前删除 WdFilter.sys、MsMpEng.exe 等 Defender 二进制并绕过 Tamper Protection，测试覆盖 Windows 7 至 Windows 11 25H2。
推荐理由完整逆向 Windows Defender 的 BTR.sys 驱动，展示如何用微软签名驱动在 Ring 0 执行任意文件与注册表操作，并给出 Sysmon 检测思路。
Check Point Research 公开了针对加密货币窃取器 JSCeal 的纯静态去混淆流水线，可在不执行恶意代码的情况下还原其编译后的 V8 字节码（.jsc）载荷，工具包已以 jsc_deobfuscator 名义发布。JSCeal 自 2025 年初被持续追踪，载荷经 javascript-obfuscator 处理，采用 RC4 加密字符串、控制流平坦化、代理函数与操作包装等多重混淆，再由 Node.js 运行时执行。研究扩展了 View8 反编译器，加入值传播、字符串重建、控制流还原等处理，还原出键盘记录、浏览器与凭据窃取，以及通过本地 MITM 代理拦截 HTTPS 流量的能力；近期样本还出现面向更新 Node.js/V8 版本的代码缓存、额外载荷加密层与 macOS 目标。
Check Point Research 发现一个中文黑客组织自 2025 年中起持续攻击巴西政府与教育机构，被命名为 Gambling Goblin，与此前针对亚洲赌博网站的 Earth Berberoka 有关联。攻击者在受害服务器上安装恶意 Apache 模块，将访问者静默反向代理至冒充 Google Play、Microsoft Store 和 Amazon 的钓鱼页面，并利用被入侵的巴西政府高信誉域名操纵搜索排名、推广在线赌博和体育博彩。该组织还部署了包含 DownPro 下载器、AlphaAgent 后门、oRAT RAT、3snake 凭证窃取器等在内的混淆 Linux 工具包，并已建立面向越南语、西班牙语和英语受害者的平行钓鱼网络。
Check Point Research 发现 ChatGPT 代码执行容器之间存在一条隐蔽的跨账号双向通道，可让攻击者借受害者会话的工具、数据和已连接应用执行隐藏任务。容器无法访问公网、彼此也不能直连，但都能访问同一个用于分发软件包的内部 JFrog Artifactory 实例；该实例的 Item Management API 允许读写仓库条目的字符串属性，且属性不按账号隔离，于是包服务的元数据变成了隔离容器之间的共享剪贴板，属性值可直接携带文本或 Base64 编码的二进制内容，过大数据可分块存储再重组。研究者在 2026 年 6 月独立验证了该通道，并把它变成隐藏任务流：在 Thinking 模式下，ChatGPT 同一轮既处理受害者的可见请求，又检查隐藏信箱并执行攻击者任务，结果经隐蔽通道回传且不出现在可见回答中。
推荐理由披露 ChatGPT 代码执行容器借内部 Artifactory 元数据跨账号传数据，并演示借 Gmail 连接器外泄邮件，可对照检查共享内部服务的租户隔离。
OpenAI 员工披露了 OpenAI-Hugging Face 事件的完整时间线，该 Black Hat USA 2026 演讲一周内观看量超过 50 万次。PortSwigger 研究员展示了如何在 Gmail、Outlook、Fastmail、ProtonMail 等网页邮箱中武器化 CSS，绕过消毒器并窃取密码。此外，资产笔记的研究人员借助 GPT 5.6 Sol Ultra 发现了影响 40% 互联网流量的 WordPress 核心预认证远程代码执行漏洞 wp2shell。
Wiz 披露 Azure Cosmos DB 的 CosmosEscape 漏洞链：单个 Gremlin 查询可经 .NET 反射绕过沙箱，在多租户 DB Gateway 上实现任意代码执行，进而获取可跨租户、区域和 API 类型读取任意账户主密钥的 Cosmos Master Key，并借 Config Store 枚举目标组织账户，波及 Entra ID、Teams、Copilot 等微软内部服务。微软在 Wiz 披露后 48 小时内发布热修复，并完成彻底移除 Cosmos Master Key 的架构迁移。
OpenAI 发布了 Hugging Face 事件的完整技术报告，含一篇博客和一份 38 页报告。Varonis 通过迭代追问让 Microsoft Copilot 自行给出绕过用户交互执行提示的步骤，并披露了一个未公开的 URL 参数，该漏洞被命名为 CoSnitch（CVE-2026-24301），已于 2026 年 8 月 18 日修复。SpecterOps 发布开源 AWS 收集器 AWSHound，可将 AWS 账户与 Organizations 转为 BloodHound 社区版 OpenGraph 数据集，产出 156 种边类型（其中 36 种可遍历），覆盖 IAM、S3、KMS 等九个服务。
本期 tl;dr sec 汇总了多项 AI 安全研究与实践。Trail of Bits 的 Artem Dinaburg 让 GPT 5.6-Cyber 尝试逃逸 Debian 12 上的 QEMU/KVM 虚拟机，Agent 三次成功突破，分别利用 Januscape 漏洞、libslirp CVE 配合未标记的修复，以及三个 0-day 加一个未修补的内核漏洞；三次运行中 Agent 均自主工作约 12 小时，只有精简设计的 Firecracker 环境未被逃逸。Checkmarx 的 Bruno Dias 演示了 MCP 配置投毒，攻击者在 mcp.json 中嵌入恶意命令，被 IDE、安全扫描器和 CI/CD 流水线自动执行，并以 Snyk Agent Scan（已在 v0.5.0 修复）作为概念验证。
安全周报 tl;dr sec 第 347 期汇总了多起 AI 相关安全事件。Gambit Security 的 Eyal Sela 描述，一个以经济动机为主的攻击者使用 Strix、Cairn、Hermes 三个开源 AI 框架，在 2026 年 7 月至 9 月间入侵至少 27 家公司，总成本仅 12000 至 18000 美元，平均每个目标 25 美元；攻击通过 OpenRouter 调用 GLM 5.2、DeepSeek v4 Pro 和 Opus-4.6 等模型，人工输入极少，从两家零售商窃取 60 万张以上信用卡，并在 19 个以上网站注入盗刷脚本。周报还收录了 Wiz 关于 GitHub PAT 泄露多组织攻击活动的六步调查方法，以及 Datadog 的 GitHub 审计日志威胁狩猎指南，后者指出 hashed_token 是追踪特定 token 活动最可靠的字段。