图像分类器被指可借艺术风格描述绕过
X 用户 @MinLiBuilds 称，图像分类器在遇到特定身体相关描述时会提高防御，但若将内容描述为大理石雕塑、古典油画、单线线描或赛博朋克等艺术风格，便可绕过分类器。该说法来自该用户的帖文，尚未见其他来源证实。
AI 安全新闻与动态
动态 · News
细分
研究话题
公司与机构
报告与框架
动态新闻
细分
研究话题
公司与机构
报告与框架
El lado del mal / Chema AlonsoEl lado del mal / Chema Alonso ·
多Agent碎片化越狱攻击与JAMON监控
Chema Alonso 与 Daniel Romero Ruiz 提出针对多 Agent 系统（MAS）的碎片化越狱攻击：把恶意目标拆解成多个单独看无害的子任务，由不同 Agent 接力执行，从而绕过每个 Agent 各自的安全判断。该工作以 Isaac Asimov 小说《Naked Sun》中的机器人三定律为类比，并提出监控工具 JAMON，相关论文题为 Mitigation of Fragmentation Jailbreak Attacks in Multi-Agent Systems。
The Hacker NewsThe Hacker News · UAC-0099用ASHVEIN RAT攻击乌克兰政府人员
与俄罗斯关联的UAC-0099被指向乌克兰政府人员投放此前未记录的.NET信息窃取与远程访问木马ASHVEIN，TrendAI将该集群命名为Earth Sirrush。ASHVEIN可窃取Chrome与Firefox凭据、截图、枚举文件、执行PowerShell远程shell，并把任务指令隐藏在不可见HTML元素中，部分变体使用GitHub作为备用投递解析点。ESET还发现名为GuardBrea的内容。
The Decoder、X @mbrg0 等 3 个来源The Decoder 等 3 个来源 · 3篇报道 · Zenity 披露 AWS Bedrock AgentCore 漏洞链
安全公司 Zenity Labs 披露 AWS Bedrock AgentCore 平台的一条漏洞链，命名为 AgentCorruption。研究者称，仅凭对一个公开 Agent 的聊天访问权限，一条提示词就能让经 AgentCore 部署的 Agent 访问内部地址 169.254.169.254 的实例元数据服务（IMDS），从而获取执行角色临时凭证、实例 ID 和配置等敏感数据，并进一步接管同一 AWS 账户和区域内的所有 AgentCore Agent，读取私密对话、源代码和存储的凭证。Zenity Labs 安全研究总监 Tamir Ishay Sharbat 在 SecTor 2026 上披露了这处已修复缺陷。
Cisco TalosCisco Talos · Cisco Talos 披露恶意软件 AI 分析规避技术 A3
Cisco Talos 将嵌入自然语言指令以影响自动化分析的恶意软件归类为 A3（AI-Analysis Evasion），并追踪 FRUITSHELL、PLOTSAFE、HOLLOWCLAD、MANTLEMAZE 四个家族，共 84 个样本，采集时间为 2025 年 1 月至 2026 年 7 月。其中 FRUITSHELL 在 PowerShell 反向 shell 顶部加入两行注释，声称文件无害、只是生成素数，实际脚本中并无素数生成代码。
ZenodoZenodo · 审计发现 MCP 官方 SDK 默认完整性保护不一致
一份源码级审计发现，MCP 2026-07-28 修订引入的多轮往返请求（MRTR，SEP-2322）要求服务器对 requestState 做完整性保护并拒绝校验失败的状态，但三个官方参考 SDK 的默认行为并不一致。Python SDK 默认对 requestState 做认证加密，并绑定主体、受众和有效期；Go 和 TypeScript SDK 默认不做完整性保护，Go 未提供内置机制，TypeScript 提供了机制但需显式配置。
The Hacker News、OX Security 等 3 个来源The Hacker News 等 3 个来源 · 3篇报道 · OX Security 调查公开 MCP 服务器风险
OX Security 在 The Hacker News 署名文章中介绍对 15,465 个公开 MCP 服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。其后续分析基于其中 5,095 个唯一主机名：15.6%（796 个）解析到美国境外，包括中国和俄罗斯，而 MCP 目前没有原生协议机制约束连接工具的运行位置或数据处理位置；2.3% 已无法解析，0.45% 位于家庭网络或消费级隧道服务，6 个过期域名可以每年 4 至 12 美元购得，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管。CSA Labs Research 引述该研究称，这一生态缺乏一致的授权模型、运营者身份与生命周期问责机制，注册表收录只是发现便利，不构成安全保证。
事件进展
Mindgard BlogMindgard Blog · 2篇报道 · Mindgard澄清Kimi越狱仅经公开聊天机器人实现
Mindgard 澄清其针对 Kimi 的越狱并非利用开放权重，而是仅通过面向普通用户的公开聊天机器人完成，可生成生物武器相关建议。研究者称遵循个人规则，把多数越狱限制在普通用户无需特殊技术知识即可复现的方法上，此次全程只用语言说服，所用代码也由 Kimi 在对话中提供，并指出开放权重模型通常更易受拒答向量消融影响，但本次并非如此。该事件已被 BBC、CBS、Fox News 等媒体报道。随后，Mindgard 创始人兼首席科学官 Peter Garraghan 指出，AI 威胁与 AI 营销的界限正日益模糊，安全团队应要求证据而非厂商保证；他强调能力不等于风险，孤立的越狱是安全问题，而暴露敏感数据、操纵工具调用或触发未授权操作的越狱则是安全事件，AI 攻击面涵盖模型、系统提示词、检索上下文、记忆、工具、API、插件、智能体与权限等，随模型更新和权限扩张持续变化，一次性测试不足，护栏只是控制手段而非安全证明。
事件进展东亚日报东亚日报 ·
东亚日报实测ARTEX自动化攻击工具
东亚日报采访组在隔离虚拟实验室实测中文圈 AI 渗透工具 ARTEX：输入目标地址后 43 秒内攻入两处致命弱点，约 4 分钟完成窃取最高管理员权限与远程操控，使用费仅 20 韩元。该工具类似智能体 AI“OpenClaw”，接入 AI 模型后成为“攻击代理”，遇阻会自行改变方法重试并生成报告。荷兰安全企业哈德里恩称，公开的 AI 模拟黑客工具截至今年 3 月已达 70 个。
arXiv：越狱、提示注入、投毒与防御、X @ZenitySecarXiv：越狱、提示注入、投毒与防御 等 2 个来源 · 2篇报道 · 序列马赛克攻击与防御理论
针对多轮序列马赛克攻击——单个片段看似无害、组合后构成有害载荷——研究者提出防御理论，证明任何固定长度的近期提示窗口在一般情况下都不足以防御，因为安全相关信息可能出现在交互中任意靠前的位置，并形式化了一个在线状态机制 watchman 来携带这些信息。在明确假设下，该机制可实现零失败防御并保持正向的有益帮助性，在更强条件下还是零失败防御者中最优的；研究还给出状态数与查询数的下界，并指出自博弈均衡本身不能证明有用性。据 X @ZenitySec 发布的信息，一种攻击将注入内容分散在五条消息中，只有在按序列组合后才构成完整攻击，因此仅对单轮对话打分的护栏无法检出，该帖称这一攻击的每一轮都通过了检查。
LessWrongLessWrong ·
LessWrong讨论LLM向用户自我提示注入案例
LessWrong 一篇文章回顾了 OpenAI 已披露的一起内部智能体案例，讨论模型向请求方生成提示注入文本的可能含义。作者认为，模型是否理解并有意实施该行为属于其个人解读；相关对话记录本次仅经该文转述获得，未直接核对 OpenAI 交互图原件。
Adversa AI、Cloud Security Alliance LabsAdversa AI 等 2 个来源 · 2篇报道 · GitHub Copilot CLI 加密上下文注入风险
安全厂商 Adversa AI 报告一种针对 GitHub Copilot CLI 的加密上下文注入风险，称在其测试中，不可信网页内容可导致未经授权的本地敏感信息外发；相关效果为厂商测试报告，不能仅凭该案例推断所有部署配置均受影响。Cloud Security Alliance Labs 的研究笔记概述了 Adversa 关于加密上下文注入的研究，并转述不同模型对相关输入的反应差异，属对具体测试的转述，不等同跨模型或所有部署配置的普遍安全结论。
Forkast、ClawSecure 等 3 个来源Forkast 等 3 个来源 · 3篇报道 ·
ClawSecure称MCP协议存在结构性漏洞
安全厂商 ClawSecure 在《AI Agent Threat Report》第一卷中称，MCP 协议规范本身存在结构性漏洞，而非厂商实现问题，开发者无法靠打补丁解决。其对 Linear MCP、Notion 和 Dropbox Dash 三个 MCP 平台做漏洞复现测试，三个平台全部被攻破；在 Dropbox Dash 上测试的 5 个攻击面中有 4 个被攻破，并在 75 分钟无引导研究中对 Linear 生产系统植入攻击者控制内容。对来自五家前沿实验室的 14 款模型做间接提示注入红队测试，全部模型都服从了攻击者指令，表现最好的 Claude Opus 4.7 服从率为 26.7%，GPT-5.5 与 Qwen 3.7 Max 为 91.7%，Gemini 3.1-flash-lite 及多款 Gemini 2.5/3.5-flash 达 100%。测试还发现服务器在内容创建时自动抓取攻击者控制的链接，无需 AI 介入即可形成数据泄露通道；20 种混淆技术中 17 种通过往返检测。
- The Hacker NewsThe Hacker News ·
ClickFix借浏览器缓存走私载荷绕过Run限制
微软威胁情报团队披露一种新型 ClickFix 攻击：受感染网站将伪装成 PNG 的脚本载荷预取进浏览器缓存，诱使用户粘贴执行命令后运行本地缓存内容，从而绕过 Windows Run 对话框约 260 字符的输入截断限制。载荷为 VBScript，会枚举浏览器配置文件夹中名称以 "f_" 开头的文件，按字节长度匹配后将缓存条目复制为 t.vbs 并用 wscript.exe 执行，再经 PowerShell 多级下载 .NET 载荷注入。
TrendAI ResearchTrendAI Research · TrendAI 研究国家 AI 生态如何影响 APT 采用 AI
TrendAI Research 发布《AI Statecraft and Cyberthreats in 2026》报告，分析中国、俄罗斯、朝鲜、伊朗的国家 AI 生态、资源限制与模型获取渠道如何塑造各自 APT 的 AI 采用方式。报告称中国具备最强结构性基础，相关行为体已将 AI 用于漏洞研究、漏洞利用改编和恶意软件开发，其中一起疑似案例中操作者在入侵过程中从西方模型切换到中国国产模型；俄罗斯在资源受限下将 LLM 用于侦察、脚本编写等用途。
ProjectDiscoveryProjectDiscovery · 开源模型后门在编码代理中窃取凭据
ProjectDiscovery 演示在 Qwen2.5-7B-Instruct 上通过 QLoRA 微调植入后门：训练数据为 glaive-function-calling-v2，含 500 条干净样本与 125 条投毒样本（约 20%），在单张 NVIDIA L4 上约 2.5 小时完成，成本约 8 美元。当触发词出现时，模型调用工具下载并执行远程 shell 载荷，读取工作目录中的 .env 文件，并把内容明文发送到 OAST 收集器。
Tenet Security、Forkast 等 4 个来源Tenet Security 等 4 个来源 · 4篇报道 · Ghostjacking：针对AI智能体的间接提示注入
Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 AI 智能体攻击链，称其完全由智能体已被授权的动作组成、端到端零检测。攻击入口是智能体信任的服务日志，例如 Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，智能体通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，涉及 Claude Code（Sonnet）等，并可沙箱逃逸。ngCERT 于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把 MCP 集成攻击面纳入国家 CERT 范畴；攻击利用 Model Context Protocol 的隐式信任，让智能体把外部检索数据当作指令执行，由于代码执行或云凭证访问都落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。