模型文件、依赖包、MCP 服务器与 Agent 技能的供应链风险：恶意模型、包投毒、幻觉依赖与组件漏洞。
OWASP ASI06 条目联合负责人 Idan Habler 结合 Cisco 对 Claude Code 的研究，说明 Agent 的记忆与上下文如何成为攻击面。在被称为 MemoryTrap 的漏洞中，常规开发流程即可触发持久提示注入：克隆仓库、让 Agent 协助、批准依赖安装，恶意载荷便进入持久记忆、全局 hooks 配置，并通过 system prompt 影响高信任指令层，从而跨会话、跨项目乃至重启后持续影响模型行为。作者指出，记忆文件、hook 脚本和本地配置实际属于 Agent 的受信运行环境与控制面，一旦被投毒，系统会继续把攻击者控制的内容当作合法指引，这正是 ASI06 记忆与上下文投毒所针对的风险。
推荐理由以 MemoryTrap 为例说明 Agent 的记忆、hooks 与本地配置如何成为持久化提示注入面，并给出 Claude Code 的修复版本。
2026 年 5 月 11 日，TeamPCP 对 npm 与 PyPI 生态发起协同供应链攻击，同时污染多个命名空间下的包，包括周下载量约 1200 万次的 @tanstack/react-router、@uipath 系列工具与 Agent SDK、Mistral AI 官方 TypeScript 客户端 @mistralai/mistralai，以及 PyPI 上的 [email protected] 和 [email protected]。
推荐理由完整还原了 TanStack 等 npm 包被投毒的攻击链与凭证窃取范围，可对照排查自身 CI/CD 与依赖。
Adversa AI 披露 TrustFall 缺陷：Claude Code、Gemini CLI、Cursor CLI、Copilot CLI 四个编码 CLI 在开发者接受文件夹信任提示后，会立即执行项目自定义的 MCP 服务器，恶意仓库只需一次回车即可触发未沙箱化的 RCE。
推荐理由报告给出四个编码 CLI 在信任对话框后自动执行项目 MCP 服务器的完整链路，并附可复现 PoC 与端点加固清单。
Wiz 对 OpenAI、Anthropic、Google 等厂商的 AI GitHub Actions 做了安全分析，发现外部 App 与 bot 可绕过权限校验触发 AI 执行，并存在针对动态生成凭据文件的密钥外泄路径。研究覆盖 anthropics/claude-code-action（超 1.2 万个公开工作流）、google-github-actions/run-gemini-cli（超 1 千个）、openai/codex-action 和 actions/ai-inference，受影响仓库合计星标超 20 万。
推荐理由Wiz 对主流 AI GitHub Actions 的实测披露了权限绕过与凭据外泄两类新路径，并附厂商修复进展，可对照检查自家工作流配置。
Wiz 披露 TeamPCP 发起代号 Mini Shai Hulud 的供应链攻击，通过篡改 SAP 生态 npm 包注入 preinstall 脚本，在 npm install 时下载 Bun 运行时并执行混淆载荷。受影响包包括 @cap-js/sqlite 2.2.2、@cap-js/postgres 2.2.2、@cap-js/db-service 2.10.1 和 mbt 1.2.48。
推荐理由Wiz 披露 TeamPCP 针对 SAP npm 包的供应链投毒，含恶意文件哈希与凭据轮换建议，可对照排查自身 CI/CD 环境。
Wiz Research 披露 GitHub 内部 git 基础设施中的严重漏洞 CVE-2026-3854，任何已认证用户仅用标准 git 客户端、通过一次 git push 即可在 GitHub 后端服务器执行任意命令。漏洞源于 babeld 将 git push option 值直接写入 X-Stat 头且未过滤分号，攻击者可注入 rails_env、custom_hooks_dir、repo_pre_receive_hooks 等字段，绕过沙箱并借路径穿越执行任意二进制。
推荐理由Wiz 披露 GitHub 内部 git 协议注入漏洞的完整利用链，并给出 GHES 受影响版本与修复版本，便于管理员自查。
Wiz Research 追踪到同一威胁行为者自 2026 年 3 月 11 日起发起的六波活动，共开启超过 500 个恶意 PR，成功入侵至少两个 npm 包，比公开披露早三周。攻击者滥用 GitHub 的 pull_request_target 触发器，在 conftest.py、package.json、Makefile、build.rs 等 CI 执行文件中注入载荷，窃取 GITHUB_TOKEN、枚举密钥并探测 AWS/Azure/GCP 云元数据，通过 base64 编码的日志标记和 PR 评论外泄凭据。
推荐理由Wiz 追踪到同一攻击者六波活动，还原了从粗糙脚本到 AI 生成载荷的演进路径与不足 10% 的成功率。
Adversa AI 披露 Claude Code 存在安全策略绕过漏洞：当 shell 命令包含超过 50 条由 &&、|| 或 ; 连接的子命令时，bashPermissions.ts 会跳过逐子命令的安全分析，包括 deny 规则检查，回退到可被自动放行的通用询问提示。攻击路径是恶意仓库在 CLAUDE.md 中写入 50 多条看似正常的构建命令，把窃取凭据的命令藏在第 51 位，开发者让 Claude Code 构建项目时 deny 规则不会触发。作者实测显示，单独运行 curl 会被 deny 规则拦截，但前面加上 50 个 true 空操作后，Claude Code 提示无法逐条安全检查并询问是否继续。
推荐理由披露了 Claude Code 在复合命令超过 50 条子命令时静默跳过 deny 规则的具体代码路径与利用链，可据此检查自身 Agent 权限配置。
MITRE ATLAS 发布 v5.4.0，新增多项针对 AI Agent 的攻击技术，包括发布被投毒的 AI Agent 工具、从 Agent 逃逸到宿主机、利用漏洞获取凭据、利用漏洞规避防御，以及 AI Agent 用户执行类的被投毒工具与恶意链接。该版本还更新了修改 AI Agent 配置这一既有技术。案例研究方面新增了暴露的 ClawdBot 控制接口导致凭据访问与执行、通过被投毒 ClawdBot 技能实施供应链入侵、OpenClaw 一键远程代码执行，以及通过提示注入对 OpenClaw 实施命令与控制。
推荐理由MITRE ATLAS v5.4.0 新增针对 AI Agent 的攻击技术与真实案例，做 Agent 威胁建模的团队可对照更新自己的攻击面清单。
Wiz Research 披露，开源 Python 库与代理服务器 LiteLLM 被 TeamPCP 攻击活动植入木马，恶意版本 1.82.7 和 1.82.8 于 2026 年 3 月 24 日发布，约 8:30 UTC 上线、11:25 UTC 被 PyPI 隔离。1.82.7 将双重 base64 编码的载荷写入磁盘并以 p.py 运行，在 litellm --proxy 运行或导入 litellm.proxy.proxy_server 时执行；1.82.8 进一步滥用 Python 的 .pth 机制，通过 litellm_init.pth 在任意 Python 进程启动时执行载荷。
推荐理由梳理了 LiteLLM 恶意版本的两条投递路径与数据窃取范围，可据此排查自身 Python 环境与凭据暴露面。
Checkmarx 的开源基础设施即代码安全扫描器 KICS 的 GitHub Action 被 TeamPCP 植入窃取凭据的恶意代码，3 月 23 日 12:58 至 16:50 UTC 之间固定到被篡改标签的用户会拉取到恶意版本，仓库在用户提交 issue 后于 16:50 UTC 被下架。攻击者用仿冒提交暂存 setup.sh 并修改 action.yaml 触发执行，随后疑似通过被入侵的 cx-plugins-releases 服务账号直接改写全部 35 个标签指向这些提交。
推荐理由Wiz 复盘了 TeamPCP 五天内第二次攻陷开源安全扫描器的手法，并给出凭据窃取与 Kubernetes 持久化的具体机制。
Adnan Khan 披露了一条针对 Cline GitHub 仓库的攻击链：Cline 用 anthropics/claude-code-action@v1 做 AI issue 自动分诊，配置了 Bash、Read、Write 等工具权限，且提示词包含 issue 标题，攻击者可在标题中诱导 Claude 执行任意命令，例如通过 npm install 安装指定 GitHub 包，再由其 package.json 的 preinstall 脚本运行代码。
推荐理由完整还原了一条从 issue 标题提示注入到缓存投毒、最终污染 NPM 发布包的攻击链，适合评估 CI 中 AI 自动化的权限边界。
腾讯玄武实验室提出 Agentic Coding 范式下的“幽灵依赖”供应链风险，即 LLM 自主选择第三方组件时倾向于引入过时版本（版本幽灵）或捏造不存在的组件名（名称幽灵）。对某主流编程模型的测试显示，Python Web 场景下其生成的 requirements.txt 几乎总是包含 2023 年或更早的过时组件版本，在长尾需求下编造组件名的幻觉率高达 40% 且集中在可预测的模式上。实验表明，完全由 AI 构建的 Python Web 应用因引入存在高危 SQL 注入漏洞的过时组件而“出厂即自带后门”；针对某一高频幻觉组件名在公共仓库注册后，20 天内被下载 500 次以上。
推荐理由腾讯玄武实验室披露 Agentic Coding 中模型自主选包带来的两类供应链风险，并给出可复现的实测数据与防护插件。
腾讯玄武实验室发布《AI网络爬虫安全白皮书》，系统分析 AI 服务端浏览器与爬虫的攻击面，并提出以静态攻击面收敛加动态行为隔离为核心的纵深防御框架。白皮书梳理了从入口识别、白名单绕过、环境指纹探测到漏洞触发与横向渗透的五阶段攻击链，并给出四个真实案例，涉及 URL 跳转绕过白名单、组合 AI 阅读与截图功能、用 img onerror 绕过 script 过滤、以及隐藏后台爬虫入口，最终均通过旧版本 Chrome 的 N-day 漏洞实现远程代码执行。作者称相关产品服务端用户规模累计超 10 亿。防御侧建议关闭 WebGL、WebRTC、PDF 插件等无用模块，避免使用 --no-sandbox，并做网络、文件系统与实例隔离。
推荐理由白皮书给出服务端浏览器攻击链与四类真实案例，并开源 SEChrome 运行时隔离方案，可迁移到自家 Agent 联网架构。
Wiz Research 发现 AI 智能体社交平台 Moltbook 的 Supabase 数据库配置错误，缺少 Row Level Security，导致未认证用户可完整读写全部平台数据。暴露内容包括 150 万个 API 认证 token、3.5 万个邮箱地址以及智能体之间的私信，其中 agent_messages 表存有 4060 段未加密的私信，部分包含明文 OpenAI API key。研究人员还确认存在写入权限，可修改任意帖子并注入提示注入载荷。数据库显示平台宣称的 150 万智能体背后只有约 1.7 万名人类所有者，比例约 88:1，且无速率限制或身份验证机制。
推荐理由披露了 AI 智能体社交平台因 Supabase 缺少 RLS 导致密钥与私信外泄的完整过程，并给出五条面向 AI 生成应用的安全教训。
NVIDIA 发布面向智能体工作流的安全实践指引，聚焦沙箱化与执行风险管理。文章指出，AI 编码智能体通过命令行运行工具时，会继承与用户相同的权限和授权，因而成为计算机使用智能体，带来常被忽视的攻击面。该指引围绕这一执行风险给出实践建议。
推荐理由NVIDIA 安全团队从权限与执行风险角度给出智能体工作流的沙箱实践指引，适合部署编码智能体的团队参考。
研究者展示了一种跨 Agent 提权攻击链：被间接提示注入劫持的 GitHub Copilot 可以写入 Claude Code 的 MCP 配置和 CLAUDE.md 等指令文件，添加恶意 MCP server 或放行 shell 命令，等开发者使用 Claude Code 时这些改动被加载并执行任意代码，Claude 还能反向改写 Copilot 配置形成升级循环。
推荐理由作者以 GitHub Copilot 与 Claude Code 为例演示跨 Agent 提权链，并给出隔离配置、最小权限等可迁移的缓解思路。
安全研究员 Johann Rehberger 公布名为 AgentHopper 的概念验证 AI 病毒，用一个通用的条件化提示注入载荷在不同编码 Agent 间自动跳转并触发各自的远程代码执行路径。它利用此前负责任披露并已被各厂商修复的四类漏洞实施感染：向 GitHub Copilot 写入 settings.json 打开 YOLO 模式、给 Amp Code 配置伪造的 MCP 服务器、令 Amazon Q Developer 执行带 -exec 参数的 find 命令、修改 AWS Kiro 配置将所有 bash 命令加入允许列表，随后下载并运行 AgentHopper。
推荐理由该概念验证串联四个已修复的编码 Agent 任意代码执行漏洞，给出条件化提示注入跨 Agent 自我传播的可迁移思路。
安全研究者披露 Amazon Q Developer VS Code 扩展存在间接提示注入漏洞，攻击者可在开发者未授权的情况下在主机上执行任意命令。该扩展下载量超过 100 万，其 executeBash 工具中 find 命令被归入 readonly 类别，可绕过人工确认，并借助 -exec 参数执行任意系统命令；作者用源码注释中的提示注入演示了弹出计算器。作者进一步绕过 Claude 4 对 curl 下载的拒答，通过 base64 载荷加空格并配合 Python 脚本还原，实现从远程服务器动态下载并执行指令，还演示了下载 Sliver 恶意二进制并将主机接入 C2。
推荐理由作者完整披露了 Amazon Q 的 find 命令绕过路径与 Claude 拒答绕过手法，可迁移到其他编码 Agent 的工具权限审查。
安全研究者 Johann Rehberger 演示了针对 Google Jules 的不可见提示注入攻击：在 GitHub issue 正文中嵌入隐藏的 Unicode Tag 字符，Jules 会将其当作指令执行，自动添加后门函数、编译并运行代码。作者指出 Gemini 系列模型能较稳定地把隐藏 Unicode Tag 字符解读为指令，该问题最早于 2024 年 2 月 22 日报告给 Google 并被确认为有效漏洞，但模型和 API 层面至今未修复，因此影响所有基于 Gemini 构建的应用。
推荐理由作者用可复现步骤演示隐藏 Unicode 字符如何劫持 Jules 写入后门，并给出针对编码 Agent 的缓解清单。