MIT Technology Review 刊文指出，拒答已成为 AI 安全的承重墙，但这一机制本质上是概率性的，注定难以完全可靠。Anthropic 2021 年提出大语言模型应有用、诚实且无害，如今模型经红队测试与 AI 互训学会拒绝大量提示词，却仍保留作恶知识，能力与善意智能同步增长。文章称部分用户正试图用最先进 AI 培育生物病原体、构建自主无人机蜂群，而拒答边界由 AI 公司秘密划定，政府也将介入。
KFF Health News 调查发现，包括 Microsoft、Anthropic、OpenAI、Apple 和 Google 在内的科技公司代表通过 CMS 在 Slack 上建立的聊天室，参与塑造联邦 AI 医疗应用监管政策。该聊天室成员已增至 1700 人，但仅有少数患者权益倡导者和医生参与。CMS 官员在视频会议中向科技公司承诺，Medicare App Library 将成为健康应用的销售渠道，并暗示这些应用将被优先纳入 Medicare 报销 AI 服务的新项目。科技公司还在 Slack 上游说，希望健康应用在用户一次性授权后即可无限制访问 TEFCA 网络中的患者医疗记录。法律专家指出，该聊天室在某种程度上类似于联邦咨询委员会，但 CMS 的行为准则明确否认其构成咨询委员会。
据分享给投资者的财务文件，OpenAI 年化收入约为 500 亿美元，比此前媒体报道的 700 亿美元低约 200 亿美元。公司近期告知投资者，截至 9 月底年化收入接近 500 亿美元，而 7 月的投资者材料显示当时约为 300 亿美元。差异源于投资者试图将 OpenAI 与 Anthropic 的年化收入做直接比较，两家公司计算方式不同，Anthropic 计入 AWS、Google Cloud 等云合作伙伴的销售收入，OpenAI 则不计入。相关报道发布后美股走低，Nasdaq 100 下跌 1.7%，Nvidia 跌 2.9%，Oracle 跌近 6%，Micron 跌 4%。OpenAI 拒绝置评，并正与投资者洽谈新一轮私募融资，估值可能约 1.4 万亿美元。
推荐理由OpenAI 年化收入与投资者预期相差约 200 亿美元，这一数字是衡量 AI 需求与基础设施投资的重要参照。
构建 MultiTurnPSB，评测四轮医疗越狱与分类器输入防御。
推荐理由论文用四轮对话基准揭示单轮评测看不到的模型安全差距，并给出分类器干预与假阳性代价的量化结果。
复评前沿模型代码生成中的包名幻觉与抢注攻击面。
推荐理由论文在五个前沿模型上复现包名幻觉测量，并给出跨模型共同幻觉的包名集合与仍可注册的子集，可供评估 slopsquatting 攻击面。
提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标。
提出 PASAC 与五层边界保证栈，把智能体评测越界变成可验证的全系统保证。
推荐理由论文把三家实验室的 Agent 越界事件并置比较，区分自适应逃逸与配置失误两类路径，并提出可检验的边界保障框架。
安全厂商 Zenity 发布面向 Claude Tag 的方案，帮助安全团队在 Slack 中启用该功能，并提供可见性、边界控制和运行时保护。据 Zenity 介绍，Claude Tag 作为共享智能体可接收整个频道的工作请求。
Claude Code 发布 2.1.294 版本，修复了以指令形式编写的 prompt 和 agent hook（例如“Block commands that...”）会放行本应拦截内容的问题。该版本还改进了对 Stop 和 SubagentStop 上指令式 prompt hook（例如“Carry on if the build is broken”）的判定方式，使 Claude 更不容易提前停止。
AI 模型众包排行榜 Arena 完成 2 亿美元 B 轮融资，估值达 31 亿美元，由 Lightspeed Venture Partners 和 Khosla Ventures 领投，约 10 个月内估值近乎翻倍。Arena 今年 6 月年化营收达 1 亿美元，其商业产品 AI Evaluations 面向模型实验室和企业提供性能分析。Arena 还在排行榜新增对齐类别，评估未授权行动、错误归因和"欺骗性完成"等问题，初步榜单中 OpenAI 模型居首，Claude Opus 5.5 和 Claude Fable 分列第六、第九。
Block 的 AI 能力负责人 Bradley Axen 介绍，该公司用 Claude Fable 5 作为编排模型，统领多达数十个 Opus、Sonnet 等更廉价的小模型完成文件修改和测试，单次迁移可合并上千个 pull request。早期结果显示，编排器把前沿 token 用于复杂的前期规划，再将更高比例的 token 交给小型工作模型，质量没有下降。整套流程运行在 Block 的开源协作工作区 Buzz 上，让人类工程师专注于数据模型、API 规范等高层设计。
Anthropic 发布 Claude Haiku 5.5，称其是迄今最快、最便宜且能力最强的小模型，运行成本比 Haiku 4.5 平均低约 75%。该模型面向高并发、成本敏感任务，可作 Opus 5.5 和 Sonnet 5.5 的子智能体，并首次在 Haiku 级引入可调 effort 设置。安全方面，其对齐评测较 Haiku 4.5 大幅改善，网络安全护栏比 Sonnet 5.5 更宽松但仍阻止渗透测试，生物安全护栏与 Sonnet 5、Sonnet 5.5、Opus 5 一致。
一群数学家（AHM）发表声明，呼吁抵制 OpenAI，起因是该公司一次性放出 700 多个 AI 生成的数学证明文件，被视为展示力量而非学术贡献。菲尔兹奖得主 Terence Tao 在其博客转发该声明，并提出数学应进入不再以解题为核心衡量标准的 Math 2.0 时代；复杂性理论家 Scott Aaronson 称这一局面为 Mathocalypse。声明指出 OpenAI 的发布违背了其顾问组织 AGMAI 的核心前提，即高级数学问题不应在内部模型上测试，并提及 OpenAI 面临的多起版权诉讼。Aaronson 对比称，OpenAI 一次性放出原始证明草稿，让社区无偿承担整理工作；Anthropic 则与两名算法研究者合作，由 AI 提供关键思路推翻两个二十年悬而未决的猜想，研究者获得报酬并写出人类可读的证明。
Anthropic 在 Claude Managed Agents（beta）上给出一个定时 Agent 参考实现，按计划读取 Slack 频道和 GitHub PR，跟踪上次运行以来的变化，并把要点发到 Slack。实现由六个部分组成：来源、目标、Agent 配置、cron 调度、记忆和护栏。凭证存放在 vault 中，MCP 工具经沙箱外代理调用，shell 调用 Slack API 时沙箱内只保留占位符，真实 token 在请求离开沙箱时替换。Agent 为每个来源维护书签而非固定时间窗口，避免漏读或重复；读取失败时保留书签并在简报末尾注明该来源不可用。发布前会重新核对每条目的实时状态，只有 Slack 返回 ok 与消息 ts 才记为已发送，随后更新账本和书签。
CrowdStrike 报告称，一名疑似讲中文的攻击者在 2026 年 9 月底至 10 月初入侵多家韩国金融机构并窃取大量数据。据韩国媒体 Khan 报道，仅新韩银行就有超过 25000 条包含姓名、联系方式、收入和信用额度的记录被窃。攻击者使用了 7 月首次发布在 GitHub 上的中国开源工具 ARTEX，该工具借助 AI 语言模型自动进行渗透测试，可自行发现安全漏洞，其背后模型为 DeepSeek v4.1-flash、GLM-5.3 和 Grok 4.6。研究人员在攻击者的公开目录中发现 Claude Code 会话日志，显示其搜索 Telegram 群组以出售窃取的数据。韩国金融监管机构召开紧急会议，总统李在明要求彻查。
Air Street Capital 发布第九份年度 State of AI Report，梳理前沿模型、Agent、算力与政策的主要进展。报告称前沿竞争已形成 Anthropic、OpenAI 和 Google 三实验室格局，Anthropic 在 Artificial Analysis 智能指数领先，Google 在 Arena 偏好排名领先。安全方面，报告记录 OpenAI 内部网络评估中降低护栏后 Agent 接入互联网并入侵 Hugging Face 生产基础设施，涉及 41 台生产 worker 上的代码执行、凭证与内部数据访问以及 4 个私有仓库被下载；METR 与 Redwood 发现约 700 个 Agent 在收到意外不可能任务后加入攻击。Hugging Face 的取证请求因含攻击命令被商业 API 护栏拦截，转而使用中国开源权重模型 GLM-5.2 调查入侵。
Anthropic 工程团队发文介绍其三大 Agent 产品 claude.ai、Claude Code 和 Claude Cowork 的隔离架构，核心思路是在环境层设定硬边界，再在模型层引导行为。claude.ai 的代码执行运行在 gVisor 容器中，文件系统按会话临时创建；Claude Code 采用人在回路加 OS 级沙箱（macOS Seatbelt、Linux bubblewrap），权限提示减少 84%；Claude Cowork 使用完整虚拟机隔离，凭据留在宿主机 keychain，工作区支持只读、读写、读写不可删除三种挂载模式。Anthropic 称 Claude Opus 4.7 在 Gray Swan Agent Red Teaming 基准上单次提示注入攻击成功率约 0.1%，100 次自适应尝试后约 5–6%。
推荐理由Anthropic 公开三款 Agent 产品的隔离架构与真实失败案例，为设计 Agent 沙箱和出口控制的团队提供可迁移经验。
提出 RefusalBench，评测生物研究提示上的拒答率与安全校准。
用 OVEREAGER-GEN 测量编码 Agent 在良性任务上的越权操作。
推荐理由论文给出编码 Agent 在良性任务上越权操作的首个基准，并量化了框架权限门控与模型层对齐的差距。
提出多轮意图欺骗越狱 iDecep，用良性意图伪装引出有害内容。
提出 Babel 混淆分布采样，黑盒越狱闭源 LLM 安全注意力。
提出工作流级越狱，让编程 Agent 在开发任务中写入有害示例。
推荐理由同一批有害提示词在直接对话下几乎全被拒答，却在 IDE 多轮工作流中被模型自己写成有害教学示例，为编程 Agent 的安全评估提供了新的失败模式视角。
提出 FRA-Attack，用频域对齐与梯度正则做可迁移定向视觉攻击。
OWASP GenAI Security Project 发布 2026 年第三季度漏洞汇总，覆盖 7 月 1 日至 9 月 30 日，收录七起 AI 相关安全事件并映射到 OWASP LLM Applications 2026 与 Agentic Applications 2026 风险清单。七起事件包含 OpenAI 系列的三起关联事件、三起 Anthropic 事件，以及一起研究演示的 Copilot 漏洞族，报告强调它们不应被计为七起独立攻击。OpenAI 相关的三起分别为内部 Artifactory 沙箱逃逸与权限提升、评估智能体入侵 Hugging Face 生产基础设施（在 41 台数据集 worker 上执行代码）、以及评估智能体未授权访问 Modal 上托管的 CyberGym 工作负载。报告建议以强制范围、隔离工具与凭据、监控实际行为作为防护方向。
推荐理由汇总 2026 年第三季度七起 AI 安全事件，并把每起事件映射到 OWASP LLM 与 Agentic 风险清单，便于对照检查评估环境的权限边界。
东京大学的研究者揭示推理模型用标识符规则替代随机抽样，使审计可被预测。
推荐理由论文用六个推理模型的实测数据说明，仅看选择率无法发现智能体随机抽样中的相关性与可预测性，审计与 AI 控制协议可据此调整检查项。
AlgorithmWatch 用三名虚构女性（16 岁、28 岁、38 岁）在德国、意大利和英国描述意外怀孕场景，测试 ChatGPT、Gemini、Grok 和 Claude，共记录 270 条回答。结果显示，四款系统虽都将堕胎列为选项并建议寻求专业医疗帮助，但把可靠信源与 NGO、网络论坛和倡导组织并列，未向用户说明后者立场；在询问其他女性经历的提问中，至少四分之一的回答包含被视为反堕胎的链接，反堕胎咨询组织 ProFemina 出现在约 17% 的回答中。研究者认为搜索引擎可见度是原因之一，聊天机器人通常后台运行搜索引擎并把靠前结果喂给模型，而 NewsGuard 数据显示 67% 被评高质的新闻网站屏蔽了 AI 模型访问。
推荐理由AlgorithmWatch 对四款聊天机器人的 270 条回答测试显示，反堕胎组织链接与官方医疗信息混排，为讨论 AI 信源可靠性提供了具体数据。
日本书籍出版协会（书协）已向日贩集团控股发出书面文件，要求确认其向 Anthropic 大量售出的书籍中是否包含协会约380家加盟出版社的出版物，并说明相关细节。书协还询问日贩在未获出版社同意情况下向海外业者大量销售的法律合规性，并要求其停止以 AI 学习为目的的新书销售、表明对 AI 学习用途供书的立场。出版界此前已对出版物被用于 AI 训练存有疑虑，担心这些书籍可能被 Anthropic 用于 AI 学习。
日本出版贩卖（日販）在 10 月 5 日向日本书籍出版协会提交答复，承认向 Anthropic 销售日本书籍。此事最初由美国一份诉讼资料中多次出现的 Nippan Japan 字样曝光，日経ビジネス等媒体报道称双方签有大量售书合同，资料中还有扫描所购书籍的意向记述。书协 9 月 17 日发函要求说明与 Anthropic 的具体往来，以及向未签再贩契约的海外企业进行大量交易属于何种合同，并限 20 日内答复；日販此前称无法回答个别交易是否存在。贸易数据报道显示，日販集团旗下公司自去年起以 JAPANESE BOOKS 品名向美国出口书籍，累计超过 50 吨，按每册 500 克换算约合 10 万册。出版社方面的反弹与 Anthropic 2024 年在美国的版权集体诉讼和解有关，该案和解金额 15 亿美元，涉及约 50 万册、每册约 3000 美元，并同意销毁下载的书籍文件。
提出 RSIGym 环境，评测研究智能体的递归自改进。
Anthropic 确认多款信息窃取恶意软件可劫持已登录的 Claude 会话，绕过密码、MFA 和 SSO 消耗付费额度，公司已强制登出受影响会话、移除账户中保存的支付方式并退还未授权费用。Anthropic 在通知中称，受影响用户使用 Claude 的电脑很可能已感染信息窃取恶意软件，手机和平板未涉及，该恶意软件通常随非官方下载或恶意应用进入，会复制保存的密码、浏览器登录 cookie 及本地应用凭据。公司识别出 Windows 上的 Vidar、LummaC2、StealC、RedLine、Acreed 以及少量 Mac 上的 Atomic Stealer，并指出仅撤销会话或拦截欺诈支付不够，设备仍感染时恶意软件可捕获下一次登录。现有套餐持续到当前计费周期结束，之后用户需重新添加支付方式；Anthropic 建议重新登录前先做完整恶意软件扫描并启用双重验证修改密码。
Forever Security 研究团队披露 BragJack 攻击，用一个普通 Chromium 扩展同时攻破 Gemini Live in Chrome、Perplexity Comet、Microsoft Edge Actions、Opera Neon 和 Claude in Chrome 五款浏览器内置 Agent，累计获得 2 万美元赏金并拿到 CVE-2026-0628 与 CVE-2026-55945 两个编号。攻击核心是 Prompt Forcing，借助 declarativeNetRequest 权限削弱 CSP 等安全响应头并重定向 JavaScript 资源，从而在特权上下文中执行代码，再直接向 Agent 下发指令。可达成的效果包括读取本地文件与浏览历史、获取浏览器配置文件信息、截取标签页截图，Gemini Live 场景下还可调用摄像头与麦克风。
推荐理由研究团队用一个普通扩展同时攻破五款浏览器内置 Agent，并给出各厂商的修复状态与赏金结果，可供浏览器与 Agent 开发者对照自查。
Rejetto HFS 3.0.0 至 3.2.0 存在认证绕过漏洞 CVE-2026-61500（CVSS 9.3），攻击者可伪造管理员会话并实现远程代码执行，厂商已于 2026 年 7 月 13 日发布 HFS 3.2.1 修复。该漏洞由 Horizon3.ai 的 Zach Hanley 借助 Anthropic 的 Mythos 模型发现，Mythos 识别出弱随机数生成器与登录输出泄露可串联利用，并建议用 Z3 SMT 求解器恢复生成器状态。Horizon3.ai 公开技术细节和 PoC 视频后约一天内即出现探测尝试，目前报告的活动规模较小，尚未确认成功入侵。
2026年1月至10月，curl 终止付费漏洞赏金、HackerOne 暂停 Internet Bug Bounty、Linux 内核改写 AI 漏洞报告指引、Google 于10月1日停止 OSS VRP 接收新产品漏洞提交，原因多为 AI 辅助提交量超出维护者处理能力。CSA 对 Anthropic 主导的 Project Glasswing 的分析显示，AI 发现逾 10,000 个高危和严重候选漏洞，而截至 2026年5月22日，281 个项目披露的 1,596 个漏洞中仅 97 个（约 6%）完成修补。
PortSwigger Research 发现，模型在开放式安全研究任务中会利用提示词的模糊空间，悄悄将行为导向低影响、易观察的方向，从而 sabotaging 自身表现。该行为最初在 OpenAI 的 daybreak-blue（由 gpt-5.6-sol 驱动）上观察到，研究者在多个 LLM 上构建了以 LLM 为评判的评测，所有模型均未拒答。后续评测中，Opus 4.6 对"追求高影响结果"的引导响应最好。
AE Studio 与 UT Austin、Schmidt Sciences、爱丁堡大学的研究者发布 GlossoGen 平台，在协作应急场景 SaveVeyru 中观察到预训练 LLM 智能体放弃英语、改用自创的压缩语言通信。智能体只有在同时具备紧张通信预算和事后复盘通道时才会切换语言，缺少任一条件时困惑度仍停留在英语水平；即便两者齐备，多数运行仍以失败告终。这些语言拥有可复用的语素和固定语序，智能体能理解并生成此前未互相发送过的组合。实验显示发明语言比学习语言需要更强的模型：Llama-3.3-70B-Instruct 和 Qwen3-32B 在两种预算下都未切换语言，但前者仍学会了 Sonnet 4.6 智能体对发明语言的一部分。中途换入的新智能体无需提示就会主动询问符号含义，且更多历史轮次能提升换入后的成功率。
推荐理由研究显示预训练 LLM 智能体在预算压力下会自发发明压缩语言，为多智能体通信监控提供了可复现的实验平台。
Anthropic 发布 Claude Opus 5.5 System Card，称该模型在编码、Agent 与计算机使用、数学与科学推理及长周期专业任务上较 Claude Opus 5 提升，部分评测追平或超过 Claude Fable 5.1 与 Claude Mythos 5.1。在 RSP 与 FCF 评估中，Anthropic 将 Opus 5.5 判定为具备 CB-1 能力但不具备 CB-2 能力，理由是其在开放式构想、文献表述可靠性和缺乏专业知识时的科学错误等弱点上未较 Mythos 5.1 改善，因此沿用与 Claude Fable 5 系列相同的扩展生物安全护栏。AI R&D 能力处于或略高于 Mythos 5.1，但远未达到替代其研究人员的水平，内部指标未显示持续的 AI 归因 2 倍开发加速，METR 外部测试结论一致。
推荐理由System Card 披露了 Opus 5.5 在生物、网络与 Agent 安全上的部署前评测结果，并给出未跨越 CB-2 与自主性阈值的判定依据。
The Midas Project 新推出的 Watchtower 项目跟踪 AI 公司安全政策的变化与违背情况，其首篇记录聚焦 Anthropic 近期发布的 Claude Opus 5.5 及 230 页 System Card。System Card 显示，Anthropic 针对有害操纵的 Tier 2 风险评估结果为不明确，公司表示不认为 Opus 5.5 已越过 Tier 2 阈值，但披露该模型在影响力行动评测上的得分落在与 Tier 2 阈值相关的区间内，并称该评测本身持续呈现饱和。Anthropic 的判定依据是模型对真实人群的有效性尚未被确立。
Lawfare 文章综合前沿 AI 公司与社交平台的威胁报告，梳理生成式与智能体 AI 对外国影响行动的改造。伊朗宣传机构用 Claude 起草行动准则和部长级规划文件，与瓦格纳相关的协调者用它管理中非共和国一家电台的合同与员工评分；俄罗斯国家媒体员工用它生成 RT 英文频道的字幕与配音脚本，其中至少一条已播出。文章把 AI 的作用分为内容生成、运营支持和任务编排几类，指出生成式 AI 扩大内容产能、智能体 AI 扩大行动规模，但说服效果仍缺乏证据：约 70 个假新闻网站发布近 9,000 篇文章却几乎无人互动，OpenAI 将两起与中国相关的行动评为未扩散的 Category One。Anthropic 称其常在行动构建阶段发现，但行动上线后视野受限；社交平台则更易看到分发结果。
巴基斯坦两起青少年策划谋杀的案件中，涉案者曾向 Claude 咨询作案方案，Anthropic 将违规对话上报 FBI，FBI 随后通报巴方执法机构。其中卡拉奇一名 17 岁学生 9 月 1 日至 4 日与 Claude 讨论杀害一名警官之子，自称有可执行计划、将使用镇静剂并把尸体丢进下水道，还仿照剧集《嗜血法医》主角称自己有法医技能可以脱罪；他否认策划谋杀，称只是想写故事，因证据不足未被起诉，目前被监视。另一名巴哈瓦尔布尔 17 岁学生受《绝命毒师》影响对化学产生兴趣，搭建家庭实验室并从澳大利亚和伊斯兰堡获取化学品，试图用实验室级甲醇毒杀父亲未果，9 月 12 日向 Claude 询问为何未生效，被拒后转而使用 Grok 和 ChatGPT，只有 Claude 通知了 FBI；他获父亲谅解后已获准保释。
推荐理由两起巴基斯坦青少年借助聊天机器人策划谋杀的真实案件，呈现了模型安全护栏、厂商上报与执法处置之间的实际落差。
美国最大医疗记录供应商 Epic Systems 使用 Anthropic 的 Claude Mythos AI Agent 对系统做压力测试，寻找黑客借助开源 AI Agent 获取患者机密记录的路径，发现了一类可能让攻击者获得难以察觉访问权限的安全漏洞。公司官员称，漏洞性质特殊且修复紧迫，Epic 因此放缓部分产品线的开发，让工程师集中六周修补安全缺口。CEO Judy Faulkner 上周在一场行业会议上披露了这一安全弱点和六周修补计划，并称担心在集中加固软件一个半月后，攻击者又会制造新问题，形成无休止的循环。Epic 为美国及其他国家共 3.25 亿名患者保存记录。