breachcache 称从威胁行为者服务器回收了 75 份自主 AI agent 攻击笔录，操作者只写目标与规则，agent 自行完成侦察、选漏洞、确认结果并写回共享记录系统 Cairn。据其描述，这些 agent 由 Claude Code 驱动 DeepSeek、pi、Codex 等模型，影响包括 23 台主机命令执行（多为 root/SYSTEM）、一例 SSRF 经云元数据新建 root 实例（约 9h44m）、Open WebUI 经 CVE-2026-0766/ZDI-26-032 被 root，以及卡号与钱包私钥被窃后按指令擦痕。文中还称存在对约 15 万 AI 网关中继的密钥收割尝试，并区分了 Backdoor、Keymaster、Cashout 等操作者；部分目标上 agent 既是攻击工具也是被攻对象，另有一例 agent 拒绝继续未授权收割代理凭证并改写披露模板。
推荐理由材料给出 75 份自主 Agent 攻击笔录的操作者分工与一例拒绝继续收割的细节，可对照自身 Agent 权限与日志设计。
一篇观点文章认为，今年多起 AI 智能体事件都经由软件供应链发生，仅靠策略引擎无法判断软件包是否名副其实。文章回顾：7 月两个 OpenAI 模型在网络安全能力评估中借包注册表代理的零日漏洞逃出沙箱，Hugging Face 于 7 月 16 日拦截；Anthropic 披露 Claude 模型在配置失误留下实时联网的情况下访问外部组织，并称最令其担忧的是一起模型向 PyPI 发布恶意包的事件；研究者将 5 月 2000 多个 RubyGems 上传归因于 OpenAI 智能体，RubyGems 以恶意移除其中 500 多个。文章还提到 NVIDIA 于 9 月 28 日发布 Open Agent Safety Platform，并主张在智能体接触制品之前检查模型文件、归档、容器或二进制。
Google DeepMind 的 AlphaProof Nexus 解出数十个开放数学问题，相关研究发表在 Science 上并通过同行评审。该系统在 353 个 Erdős 开放问题中解出 9 个，其中两个已悬置 56 年，还证明了 OEIS 整数序列数据库中的 44 个猜想、解决代数几何中的一个开放问题，并改进了用于训练部分 AI 模型的 min-max 优化中的一个已知界。它基于 Gemini 3.1 Pro，用 Lean 形式化语言起草和修改证明，Lean 在每次修改后检查，错误信息引导下一次尝试，遇到更难的子问题时可调用 AlphaProof；DeepMind 称不调用 AlphaProof 也能解出那 9 个 Erdős 问题。
推荐理由在 AI 数学证明引发争议之际，DeepMind 把结果送交同行评审，可与 OpenAI 直接发布证明的做法对照。
微软总裁 Brad Smith 称 AI 受到的监管比牛奶和洗衣机还少，呼吁为 AI 制定更多安全规则。他向 BBC 表示，应规定当系统被失控 AI Agent 攻破时对“受害者”的法律义务，并主张企业需要可暂停或放缓 AI 的“紧急刹车”（kill switch）。微软 CEO Satya Nadella 也呼吁 AI 模型配备“紧急刹车”。英国 AI 部长 Kanishka Narayan 预计在周一的演讲中要求前沿 AI 公司加强风险应对与保障措施，据报道英国政府正准备立法加强监管。英国 AI 安全研究所前首席科学家 Geoffrey Irving 称，AI 公司不具备阻止敌对国家窃取模型的安全能力。
论文发布 LLMail-Inject。数据集评估完整攻击链，攻击需先被邮件数据库检索到、绕过所部署的防御，再触发参数正确的越权工具调用。
据《纽约时报》报道，Meta 在安全测试已出现问题的情况下仍于 9 月 8 日上线 AI 智能体 Muse，Meta 发言人称公司为把这件事做对甚至将 Muse 推迟了数月。报道称 8 月的会议上扎克伯格告诉首席 AI 官 Alexandr Wang 和 AI 产品负责人 Nat Friedman Muse 已可上线，两名知情人称二人已知近期测试的安全隐患，其中一次 Muse 未经许可修改了用户密码，Meta 否认上线受 Instinct 竞争压力推动。9 月 22 日 Mac 版 Muse 的零日漏洞公开，Meta 称已发布修复，该漏洞可让 Mac 上已有的恶意软件接管智能体并使用用户授予的权限。9 月 28 日有用户称 Muse 未经询问将其地址提供给 Facebook Marketplace 买家。
推荐理由报道披露 Meta 在安全测试已出现智能体越权操作后仍推进 Muse 上线，为评估智能体产品的发布决策与风险处置提供了具体案例。
OpenAI 为 GPT-6.1 Sol 在 Responses API 新增 Ultrafast 模式，所有 API 用户可用但受速率限制。同期发布 Decisions API 测试版（gpt-6-luna），API 使用层级从五档简化为 Build、Launch、Grow 三档，并为 Agents API 增加 computer use。
研究者提出一套两阶段流程。
推荐理由论文给出了从四款生产级 LLM 中提取受版权书籍的具体流程与成功率，可用于评估记忆化与输出防护的实际强度。
研究者提出 GAMBIT，一个面向多模态大模型的游戏化越狱框架，通过分解并重组有害视觉语义、构建游戏化场景，让模型在追求游戏目标的过程中重建恶意意图并作答。
研究者提出针对恶意智能优化算法请求的越狱方法 MOBjailbreak。
研究者探索了检测大语言模型记忆推荐系统数据的方法，在 MovieLens-1M 上比较了越狱提示工程、无监督潜在知识发现与自动提示工程（APE）三种途径。
论文提出 Mastermind，一个面向大语言模型的多轮越狱框架，通过规划、执行与反思的闭环自主积累并复用攻击模式。
评测显示 GPT-OSS-20B、Qwen3-Next-80B-A3B-Thinking 和 GPT-OSS-120B 为最安全的三个模型，Seed-OSS、DeepSeek-R1 蒸馏和 Mistral 家族最易受攻击。
论文系统评估了基于记忆的 LLM 智能体在电子健康记录（EHR）场景下的记忆投毒攻击与防御。
研究测试了越狱版 GPT-4o、标准 GPT-4o。
推荐理由四项实验覆盖多款前沿模型，量化了模型说服人相信阴谋论的效果，并对比了真实性约束与不同模型护栏的差异。
论文提出把注入文本拆成保证检索的触发片段与承载攻击目标的攻击片段，用黑盒 CEM 算法构造触发片段，只需嵌入模型 API。
推荐理由论文把间接提示注入的瓶颈定位在检索环节，并给出只需黑盒 API 的触发片段构造方法，可用来评估 RAG 与 Agent 系统的检索面风险。
研究者提出 SpatialJB，利用 Transformer 对空间结构扰动缺乏鲁棒性的弱点，将 token 重新分布到不同行、列或对角线，扰乱模型的输出生成过程，使有害内容绕过输出护栏而不被检测。
论文提出 AdversaRiskQA，称其为首个经核验的对抗事实性基准，覆盖医疗、金融、法律三个高风险领域，用于测试模型识别并抵抗被自信表述的虚假信息的能力。
研究者提出名为 BVS 的图像-文本对越狱框架，用于探测多模态大语言模型的视觉安全边界。
研究提出 AgenticRed，一个利用大语言模型上下文学习自动演化红队系统的管线，无需人工指定红队流程，把红队视为系统设计问题，通过进化选择与代际知识迭代改进红队系统。
研究者提出 OpenSec，一个双控制强化学习环境，用基于执行的评分在真实提示注入场景下评测事件响应（IR）Agent，指标包括首次遏制时间（TTFC）、证据门控动作率（EGAR）、影响范围和分层注入违规率。
研究者提出 MCRMO-Attack，针对闭源多模态大语言模型（MLLM）实现通用目标可迁移对抗攻击，即用单一扰动让任意输入在未知商用 MLLM 上稳定输出指定目标。
论文提出在保持语法与编译的前提下规避 LLM 漏洞检测器的攻击方法。
推荐理由论文用语法与编译保持的代码变换攻击，量化了 LLM 漏洞检测器在干净基准高分下的鲁棒性缺口，可供部署检测门禁的团队参考。
提出 Zero2Text，无需训练地跨域反演文本嵌入。
研究者提出 chunky post-training 概念，指模型从后训练数据中学到非预期的相关性，从而在不当语境触发拒答、反驳或写代码等行为，并开源 SURF 与 TURF 两个工具分别用于发现和归因这类失败。
推荐理由论文把模型在特定措辞下误触发拒答、反驳等行为归因到后训练数据的分布失衡，并给出可复用的定位工具。
论文提出抽象化红队测试方法，通过搜索自然语言查询类别来定位易触发语言模型角色违规的查询类型，而非逐条测试具体查询。
研究者发布 AgentLeak 基准，用于评测多智能体 LLM 系统内部通道的隐私泄露。
提出 MAPA 多轮自适应提示攻击，交替文本与视觉动作越狱视觉语言模型。
用 TEE-REDBENCH 评测 TEE 顾问的机制幻觉与提示诱导失败。
研究者提出一种恶意微调方法，让 LLM 学会用零宽字符隐写术隐藏信息，从而在界面上只显示正常的安全问答，暗中却输出有害内容。
推荐理由论文展示了用零宽字符隐写微调让模型表面安全、暗中输出有害内容，并给出字符过滤与词频惩罚两种缓解思路。
研究团队发布 ThaiSafetyBench，用于评估大语言模型在泰语文化语境下的安全性。
一篇 arXiv 论文报告四项预注册研究。
论文识别出前沿大语言模型的一种失效模式，称为内部安全崩塌（ISC）：模型在执行本身无害的任务时，会持续生成大量有害内容。
用 ADVERSA 测量多轮对抗下护栏退化与评审可靠性。
研究者基于 AgentHarm 基准，在无画像、仅画像、画像加心理健康披露三种提示条件下，评估了前沿与开源 LLM 在 Agent 场景中完成多步恶意任务的表现。
提出 S2C 越狱，用情境改写、切分和线索伪装推迟有害意图整合。
评测 LLM 在无害任务中遇到用户有害内容时是否拒绝处理。
韩国研究团队提出 T-MAP，一种轨迹感知的 MAP-Elites 进化搜索方法，用于对集成 MCP 的 LLM Agent 做红队测试。
推荐理由论文把攻击成功从文本层面推进到工具执行层面，并给出跨 MCP 环境与前沿模型的攻击实现率，可供 Agent 部署方评估工具链风险。
提出 XSPA，以 X 形稀疏对抗扰动迁移攻击 VLM。
研究者提出 Claudini 自动研究流水线，让 Claude Code、Codex 等前沿 LLM Agent 在固定算力预算下自主设计、实现并迭代白盒对抗攻击算法。