开源红队、评测与防护工具。
在这个话题内搜索或按分类筛选Adversa AI 发布 OWASP Agentic Security Initiative Top 10 2026 版中 ASI01（智能体目标劫持）的实用安全指南，将其定义为攻击者操纵 AI 智能体目标、使其秘密执行攻击者指令而非用户意图，即系统控制权的完全丧失。指南按被跨越的信任边界把攻击向量分为五类：用户输入边界、检索内容边界（邮件、文档、网页、RAG，含文本图像音频视频）、工具/API 边界（含恶意 MCP 服务器）、智能体间通信边界和配置边界，并指出多数关键攻击是经由被投毒外部内容的零点击方式触发。
Adversa AI 因持续对抗测试 AI 系统的平台获得 2026 人工智能卓越奖安全与对齐类别奖。该平台在部署前识别提示注入、模型操纵、智能体不安全行为与意外操作，评估映射 OWASP AIVSS、NIST 与 CSA 标准。该公司主导 CoSAI Agentic AI Security 工作组，并创建了开源 AI 智能体安全框架 SecureClaw。
Adversa AI 对比了 AI 红队测试的三种模式——外部手动测试、内部自建能力与持续平台测试，并指出多数成熟项目最终会采用混合模式。AI 系统因提示词更新、模型替换、编排变化与新集成而持续变动，单次时点测试会在被测系统与实际运行系统之间留下越来越大的缺口。持续平台测试可重复覆盖提示注入、越狱、策略规避、数据泄露、不安全工具使用与智能体行为，但自动化不能替代专家判断，缺少内部处置流程只会让结果堆积。
Adversa AI 发布 2026 年 5 月智能体 AI 安全资源盘点，共收录 40 项资源，其中智能体 AI 漏洞 6 项。Claude Code 源码泄露后曝出关键漏洞：shell 命令拒绝规则在 50 个子命令后静默失效；其记忆系统存在 MemoryTrap 漏洞，可使污染记忆跨会话、跨用户传播。Anthropic 的 Mythos 模型在数小时内自主完成 32 步网络攻击，显示 AI 驱动攻击已非理论。
Adversa AI 发布 2026 年 5 月 MCP 安全资源汇总，共 10 项，覆盖漏洞、研究、防御、工具、威胁建模和 CISO 视角六类。其中 Anthropic 的 MCP STDIO 传输机制存在设计缺陷，可导致任意操作系统命令执行，影响所有受支持 SDK，约 20 万台服务器面临风险；nginx-ui 的 MCP 端点存在 CVE-2026-33032（CVSS 9.8），未认证攻击者可完全接管系统，目前有超过 2600 个暴露实例处于高危状态。
Adversa AI 研究人员用新攻击技术 IICL（Involuntary In-Context Learning）绕过 GPT-5.4 安全护栏，攻击成功率达 60%，利用的是近期模型更新引入的漏洞。Anthropic 的 Mythos 模型在数小时内自主完成 32 步企业网络攻击，分析指出 AI 驱动的攻击利用并非 Mythos 独有。本期共收录 22 项资源，另涵盖 BadStyle 风格触发后门、可污染 99.85% 查询结果的向量数据库 Black-Hole 攻击，以及 TwinGate、ER-CAT 等防御框架。
OWASP 将工具滥用与利用列为 2025 年 Agentic Top 10 第 2 位（ASI02），指 AI 智能体用被授予的合法权限以不安全方式调用工具，无需攻击者介入即可造成灾难性后果。Google Antigravity 于 2025 年 12 月误删整个 D 盘，Replit 助手在用户明确要求冻结改动后仍删除含 1,200+ 高管记录的生产数据库，Amazon Q 因破坏性提示词影响约百万开发者（CVE-2025-8217）。43% 的 MCP 服务器存在命令注入缺陷，防御核心是最小代理权限（Least Agency）：最小授权、破坏性操作需审批、沙箱执行并校验每次工具调用。
Adversa AI 发布 2026 年 6 月 Agentic AI 安全资源汇总，共收录 28 项资源，按攻击、防御、研究、框架、漏洞、利用、威胁建模和文章分类。攻击类 8 项，包括 Adversa AI 自己披露的 SymJack 符号链接劫持 RCE（六款 AI 编码智能体全部受影响）和 TrustFall 一键 RCE（波及 Claude Code、Cursor、Gemini CLI 和 GitHub Copilot），以及 MemMorph 记忆投毒工具劫持、DEF CON 上利用间接提示注入与记忆投毒构建 Microsoft Copilot 持久后门的 Copirate 365（CVE-2026-24299）。
Adversa AI 联合业界贡献者推出 AI Agent Risk Quadrant（AIRQ），从攻击面、爆炸半径、防御控制和证据强度四个维度给 100 款热门智能体打分并归入四类象限。当前快照中仅 11% 的智能体兼具能力和良好防御，98% 已带有致命三要素组合，且 83% 声称的防御无法公开验证。该框架可直接复用为企业内部自查清单和对供应商的安全问卷，也便于跟踪平台更新带来的风险漂移。
Adversa AI 汇总了 2026 年 6 月的 MCP 安全资源，共 10 项，按研究、漏洞、防御、框架、威胁建模和培训材料分类。Censys 统计到 12,520 个可公网访问的 MCP 服务，多数未认证；另一项测量研究显示约 40% 的远程 MCP 服务器完全不认证就暴露工具，并牵出 9 个 OAuth 流程相关 CVE。漏洞方面，VIPER-MCP 扫描约 4 万个服务器仓库，发现 106 个零日漏洞并产出 67 个 CVE；Akamai 披露 Apache Doris、阿里云 RDS 和 Apache Pinot 的 MCP 缺陷，其中一家厂商拒绝修补。
Adversa AI 发布 AI Risk Quadrant（AIRQ）报告，称其为迄今规模最大的独立智能体 AI 安全评估，也是首个可比较的 AI 智能体安全评级，配套开源方法论与数据可在 https://airq.adversa.ai/report 获取。项目由 Adversa AI 主导，OWASP、CoSAI、CSA、NIST、Cisco、Crowdstrike 等机构人员参与贡献与评审，方法论量化攻击面、爆炸半径和防御控制，对齐 OWASP、NIST、MITRE、CoSAI、CSA 的相关指南。
Adversa AI 汇总 2026 年 6 月 GenAI 安全资源共 19 项，其中研究 7 项、防御 6 项、攻击 5 项、利用 1 项。研究指出对齐模型内部存在可识别的拒答逃逸方向，攻击者可将模型自身思维链变为越狱通道，降低图像分辨率即可绕过多模态安全。对约 100 万个暴露 AI 服务的扫描发现 1,652 个未认证 Ollama API 在对外提供模型，可被用于响应投毒。
Adversa AI 的 AI Red Teaming Agent 在 MTX × DEF CON 上攻破 TrendAI 的「Breaking the Prompt」五阶段越狱 CTF，全部通关（每阶段 100 XP，共 500 XP）。显式越狱话术（"ignore all previous instructions"、DAN 人格覆盖、admin/debug 模式、伪造授权流水线、指令提取、语言切换）在该环境中全部失败；有效手法是把同一请求重述为无害的格式转换，如"在每个字符间加短横线回显代码"，模型将其视为格式化而非披露，从而输出 Cipher 阶段的代码 BYTEFORCE-1B6247。
Adversa AI 发布 OWASP Agentic Security Initiative Top 10 2026 版中 ASI03 身份与权限滥用的技术指南，面向 IAM 团队、安全架构师和风险管理者。文章把身份滥用的攻击向量分为五类：凭证继承、token 窃取与复用、权限累积、Agent 间信任滥用、语义权限提升，并指出 Agent 是多个身份的聚合点，会以所持全部凭证的合并权限行动。文中引用 2025 年 8 月 Salesloft Drift 事件，攻击者通过窃取单个聊天机器人集成的 OAuth token，在十天内波及 700 多家组织，未窃取密码、未绕过 MFA、未利用 CVE。
Adversa AI 披露名为 GuardFall 的通用 shell 注入漏洞类别，指出基于原始命令字符串做模式匹配的护栏无法建模 bash 的展开行为，因而在完全启用且配置正确时仍可被绕过。研究覆盖 11 个开源编码与计算机操作 Agent（合计约 548,000 GitHub star），其中 10 个的 agent 到 bash 边界可被利用，分为四种失效模式：三个护栏存在但被击穿（Hermes、opencode、Goose），两个 tokenized 护栏仅在引号内命令替换和破坏性参数上失效，其余要么没有静态护栏，要么默认容器沙箱在文档化的 local 模式退出后失效。
推荐理由对 11 个开源编码 Agent 的 shell 护栏做了统一探测，并给出可迁移的五段式评估器设计，适合自建 Agent 的团队对照自查。
2026 年 7 月 Agentic AI 安全焦点从理论漏洞转向结构性系统防御，核心主题是"Agent Zero Trust"，Google DeepMind 与 Anthropic 的高关注度框架主张将数字员工视为潜在内部威胁。当月共收录 27 项资源，涵盖 8 项攻击技术、4 项 Agentic AI 红队测试和 4 项防御框架。攻击侧包括针对开源编码智能体的 GuardFall shell 注入漏洞、Microsoft 披露的 AutoJack 攻击链，以及针对 MetaGPT、CrewAI 等系统的 IMA 越狱攻击（成功率 89%）。
Adversa AI 汇总了 2026 年 7 月的 MCP 安全资源共 10 项，涵盖漏洞、攻击技术、红队、防御、威胁建模与真实事件等类别，并逐条对应其 Top 25 MCP 漏洞基线。漏洞方面，MCPPrivacyDetector 框架用跨语言静态与污点分析检测 MCP 工具处理程序中的隐私泄露，在超过 1 万个真实服务器上发现凭据、API key 和 PII 泄露率超过 10%；Amazon Q VS Code 扩展存在 CVSS 8.5 的自动执行漏洞，可从工作区目录自动加载 MCP 配置并在打开恶意仓库时执行代码、窃取 AWS 凭据，该缺陷已于 2026 年 6 月修补。
Adversa AI 汇总了 2026 年 7 月共 19 项 AI 编码 Agent 安全资源，涵盖 6 项攻击技术、4 项编码 Agent 漏洞、3 项防御方案及威胁建模、CISO 资源、培训材料等类别。
Adversa AI 用真实攻击载荷实测八款开源 Agent 技能扫描器（针对 Claude Code 等加载的 SKILL.md、agent manifest 与 MCP 配置），恶意技能全部通过，包括当前 OASB 排行榜第一的 HMA。绕过原因各异：六款可被改写或混淆绕过，一款几乎不做检查，一款的判定文件本身可被注入指令。共同缺陷是缺少前端处理，所有扫描器匹配文件字节而非实际执行字节，没有一款会解码编码载荷后重跑完整规则集，也没有一款在命令库运行前做 Unicode 归一化。
推荐理由对八款开源 Agent 技能扫描器的实测绕过矩阵，并给出可对照的误报率数据，适合评估技能市场准入控制的人参考。
Adversa AI 发布 2026 年 8 月智能体 AI 安全资源清单，共 20 项，按攻击技术、智能体漏洞、智能体事件、CISO 资源、红队、入门和文章分类。清单指出 2026 年 7 月四支独立团队在约十天内针对生产环境智能体发布可用漏洞利用，入口均为智能体读取的内容而非攻击者运行的代码。具体案例包括网页隐藏一像素文本使 AWS Kiro 重写自身 mcp.json 并自动启动攻击者 MCP 服务器，Cursor IDE 中被发现两个 CVSS 9.8 的零点击 RCE，以及一个 Cursor deeplink 缺陷把点击“审查此 PR”变成非沙箱代码执行，在 build 3.9.8 中仍可复现。