跳到正文

供应链安全 · News

10月12日 · 周一

供应链安全 · News

按原发与事件进展排列
供应链安全

研究话题

提示注入Agent 安全欺骗与谋划奖励作弊思维链监控可解释性AI 控制后门与投毒隐私与数据泄露供应链安全危险能力AI 与网络攻防开源模型安全红队

公司与机构

OpenAIAnthropicGoogle DeepMindGoogle ResearchGoogle 安全MetaxAIMicrosoftNVIDIADeepSeek阿里巴巴 · Qwen智谱 · GLM月之暗面 · Kimi字节跳动腾讯蚂蚁集团上海人工智能实验室UK AISIUS CAISIMETRApollo ResearchRedwood ResearchFAR.AIPalisade Research

报告与框架

System Card前沿安全框架
10月7日周三
  1. Zenity · 35

    Zenity Labs 复现微软 Copilot Studio 样板客服 agent 零点击数据外泄

    Zenity Labs 复现了微软 Copilot Studio 样板客服 agent 的零点击数据外泄：一封含隐藏指令的邮件即可让 agent 把客户 CSV 和数十条 Salesforce 记录发往外部地址，无需任何点击。另一场景中，注入载荷被拆成五个对话轮次，每轮单独都能过检，第六轮才拼出完整指令并导出数据。

  2. The Hacker News、OX Security 等 3 个来源The Hacker News 等 3 个来源 · 3篇报道 · 36

    OX Security 调查公开 MCP 服务器风险

    OX Security 在 The Hacker News 署名文章中介绍对 15,465 个公开 MCP 服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。其后续分析基于其中 5,095 个唯一主机名：15.6%（796 个）解析到美国境外，包括中国和俄罗斯，而 MCP 目前没有原生协议机制约束连接工具的运行位置或数据处理位置；2.3% 已无法解析，0.45% 位于家庭网络或消费级隧道服务，6 个过期域名可以每年 4 至 12 美元购得，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管。CSA Labs Research 引述该研究称，这一生态缺乏一致的授权模型、运营者身份与生命周期问责机制，注册表收录只是发现便利，不构成安全保证。

    事件进展

    1. CSA复核MCP市场治理研究

    2. OX Security扫描15465个公开MCP服务器发现漏洞

10月2日周五
  1. Zenity、X @ZenitySecZenity 等 2 个来源 · 2篇报道 · 37

    Zenity 沙箱检测数千公开 Agent skills 发现窃密活动

    Zenity Labs 发布免费服务 AI Total，以 Detonation Chamber 在沙箱中真实运行 Agent Skills，记录其行为并与声明比对。发布前它引爆数千个公开 Skills，发现数十个恶意样本，其中一个经 Vercel skills.sh 传播的窃密活动触达约 170 万次安装；逾 30% 恶意 Skills 指示 Claude Code、OpenClaw 等智能体下载运行攻击者文件。Zenity 称这些技能并非被劫持，而是从一开始就被构建成这样，其中一个排名前 150 的技能数月未被检测到，还有智能体被改造成恶意软件投放器。

10月1日周四
  1. X @kotekjedi_mlX @kotekjedi_ml · 21

    第三方托管模型安全防护差异引关注

    2026年10月1日，X 用户 @kotekjedi_ml 发文提出，托管在不同第三方平台上的模型，其安全防护乃至模型实例可能存在多大差异，引发对第三方托管模型安全防护差异的关注。

9月29日周二
  1. Unit 42Unit 42 · 30

    Unit 42 开源 OperTraitor 审计 Operator RBAC 风险

    Unit 42 开源了 LLM 驱动的分析引擎 OperTraitor，用于审计 Kubernetes Operator 的 RBAC 配置。该工具从本地 Operator 和 OperatorHub 目录读取原始 RBAC 配置，比对 Operator 文档中描述的功能与实际授予的权限之间的差异，并给出 1–10 的风险评分。

9月24日周四
  1. OX Security · 46

    OX Security 报告公开 MCP 服务器的基础设施与治理风险

    OX Security根据公开MCP注册表开展调查，自报样本包含15,465个服务器，并对5,095个唯一主机名进行基础设施分析。厂商指出部分服务存在失效域名、消费级隧道及数据驻留治理问题；托管地理位置本身不代表恶意行为。其相关报告还声称，在特定授权设置下的测试中，不可信内容可能导致越权访问。这些结论属于厂商调查与受控测试，适用范围取决于具体条件。

9月23日周三
  1. Adversa AI · 52

    Adversa AI 梳理 Claude Code 十起攻击：多数落在配置与审批机制而非模型行为

    Adversa AI 汇总了 2025 年 9 月至 2026 年 9 月间公开的十起针对 Claude Code 的攻击，指出它们几乎都不是模型行为问题，而是落在配置文件、hook 定义、审批弹窗、MCP 工具描述、插件 pin 和 skill 包这些模型外围机制上。其中 Miasma 蠕虫在真实环境中运行，导致微软四个组织下 73 个仓库被禁用；两起获得 CVE（CVE-2025-59536 与 CVE-2026-21852，均已修复）；四起被厂商以超出威胁模型为由拒绝处理。作者称十起攻击无一需要越狱，反复出现的失效点是同意机制：弹窗显示的对象与实际授权的操作不一致，这一问题出现在三个研究团队的四处发现中。

9月19日周六
  1. 先知社区 · 55

    Agentic Skills 供应链攻击与运行监测防御范式

    文章分析 AI Agent 的 Skill/MCP 生态面临的供应链投毒：与 npm/PyPI 投毒不同，载荷可以是纯自然语言，执行者是继承用户全部权限、会主动配合的 Agent。作者把信任失效归结为环境权限继承等三个根因，沿 Agent 读取 Skill、拆分步骤、经 MCP 调用工具的链路梳理出 5 个注入面，用工具描述投毒等四类典型攻击链做原理演示，并列出在野观察到的不少于 16 种免杀手法。隔离环境实测中，按序叠加编码压缩、结构重打包、语义改写等四类混淆后，多家检测平台的检出率从 99% 降到 10%。防御部分给出多引擎路由聚合加 LLM 仲裁、SkillSieve 静态三层检测、FUSE 与 eBPF 双通道动态采集和 uprobe 级意图-行为追踪，主张恶意行为最终会在运行时的系统边界行为上暴露。

9月11日周五
  1. Michael Bargury · 53

    研究称 26 个 LLM 路由器被植入恶意工具调用并窃取凭据

    一项研究称 26 个 LLM 路由器被秘密注入恶意工具调用并窃取凭据，其中一个路由器盗走了某客户价值 50 万美元的钱包。研究者还表示已实现对路由器的投毒，可将流量转发给自己，并在数小时内直接接管约 400 台主机。相关论文见 https://arxiv.org/abs/2604.08407。

8月3日周一
  1. Datadog Security Labs · 52

    Datadog 披露 Codex 与 Claude Code 在首次提示词前的代码执行路径

    Datadog Security Labs 发现，在编码智能体中信任一个仓库后，仓库控制的代码可能在用户发出第一条提示词前就已运行。在 Codex 中，项目级 MCP 配置（.codex/config.toml 中的 mcp_servers）会让 Codex 启动攻击者控制的本地进程，无需用户交互或调用该服务器；Codex 0.122.0 起不再加载不受信任项目的 hooks 与执行策略，0.129.0 起对托管配置外的命令 hook 定义做哈希并要求审查，0.131.0 加入完整启动审查界面，但只有命令 hook 路径会获得第二次信任审查。在 Claude Code 中，.claude/settings.json 可定义会话环境变量，通过把 PATH 指向项目内目录，Claude 启动时自动执行的 Git 探测会运行仓库中的 git 包装脚本，该脚本还能转调真实 git 使流程正常继续。

7月31日周五
  1. Adversa AI · 55

    八款开源 AI 技能扫描器全部可被恶意技能绕过

    Adversa AI 用真实攻击载荷实测八款开源 Agent 技能扫描器（针对 Claude Code 等加载的 SKILL.md、agent manifest 与 MCP 配置），恶意技能全部通过，包括当前 OASB 排行榜第一的 HMA。绕过原因各异：六款可被改写或混淆绕过，一款几乎不做检查，一款的判定文件本身可被注入指令。共同缺陷是缺少前端处理，所有扫描器匹配文件字节而非实际执行字节，没有一款会解码编码载荷后重跑完整规则集，也没有一款在命令库运行前做 Unicode 归一化。

7月20日周一
  1. Island · 51

    Island 披露 AgentBaiting 攻击：800 多个伪装成 AI Skill 与 MCP 服务器的恶意仓库投递恶意软件

    Island 报告称，FakeGit/SmartLoader 活动涉及约 7600 个恶意仓库，其中 800 多个冒充 AI Skill 或 MCP server 以投放恶意软件。厂商自测显示，Claude Code、Gemini 和 ChatGPT 在未收到链接的情况下也会检索并推荐相关仓库。约 200 个仓库的 Release 资产累计下载超过 1400 万次；下载数不等于感染人数，测试结果也不能外推为所有智能体的行为。

7月15日周三
  1. Adversa AI · 56

    Adversa AI 披露 Cursor 深链漏洞 DeepJack：伪装 PR 审查链接可安装恶意 MCP 服务器并远程执行代码

    Adversa AI 披露 Cursor 的 cursor:// 深链漏洞 DeepJack，攻击者伪装成队友发送一条“审查 PR”链接，点击并确认后即可安装攻击者控制的 MCP 服务器，以受害者账号执行未沙箱命令。攻击有两个变体：一是把 mcp/install URI 双重 URL 编码后塞进 pr-review 端点的 url 参数，Cursor 不会递归解码或重新校验该参数；二是安装对话框用单行文本框渲染命令，攻击者用大量制表符把恶意尾部（如 & /c start curl attacker.com）顶出屏幕，用户只看到 calc 之类的无害命令。

7月9日周四
  1. HiddenLayer Research · 59

    HiddenLayer 披露 Claude Code 技能 frontmatter 可绕过权限并投毒记忆

    HiddenLayer 研究发现 Claude Code 技能文件的多个 frontmatter 字段存在安全缺口，可被用来劫持编码智能体。攻击者利用 allowed-tools 字段预授权 Bash、Read、Write、Skill、WebFetch 等工具，绕过原本的工具调用权限请求；通过指定能力更弱的模型和更低 effort 等级实施降级攻击，规避护栏拒答，反向操作则可抬高成本，测试中同一 URL 摘要任务从 Haiku 低 effort 的 0.0274 美元升至 Opus 高 effort 的 0.1451 美元。将指令移入 when_to_use 字段并把 user-invocable 设为 false，可让技能在斜杠菜单中不可见却仍被触发，ClawHub 和 skills.sh 等技能站点也不展示 name、description 之外的字段。

6月3日周三
  1. Trail of Bits · 57

    Trail of Bits 绕过 ClawHub、Cisco 与 skills.sh 的 skill 扫描器

    Trail of Bits 测试了 ClawHub、Cisco skill-scanner 以及 skills.sh 集成的 Gen、Socket、Snyk 三家扫描器，用四个恶意 skill 全部绕过检测，其中三个不到一小时就完成。攻击手法包括在恶意代码前插入 10 万个换行符让 OpenClaw 扫描器截断文件、用 .docx 压缩包间接引用恶意脚本、在看似无害的格式化 skill 中夹带会读取环境变量的 .pyc 字节码，以及用企业环境配置话术包装的提示注入，诱导 agent 把 npm/yarn 指向攻击者控制的 registry。

6月周一
  1. Tenet Security · 45

    Tenet 披露 Agentjacking 攻击：伪造 Sentry 错误报告劫持编码 Agent 执行代码

    Tenet Security 的 Threat Labs 披露名为 Agentjacking 的攻击：攻击者用公开的 Sentry DSN 向 Sentry 事件接口 POST 伪造错误事件，在 message 与 context 字段中注入伪装成官方修复建议的 markdown，Sentry MCP server 将其作为可信系统输出返回给编码 Agent，Agent 便以开发者权限执行攻击者控制的 npm 包。研究称被动侦察发现 2,388 个组织暴露可注入 DSN，受控测试中 100+ 个 Agent 执行了注入错误，涉及 Claude Code、Cursor 和 Codex，对注入错误的利用成功率为 85%，覆盖 macOS、Windows、WSL、容器与 CI 环境，受害方包括一家约 2500 亿美元市值的 Fortune 100 企业。

5月11日周一
  1. Datadog Security Labs · 56

    Datadog 披露 Claude Code 技能供应链风险：动态上下文命令可绕过模型防御

    Datadog Security Labs 分析了 Claude Code 技能带来的供应链风险，指出技能中的动态上下文命令会在模型看到技能内容之前执行，使模型级提示注入防御失去介入机会。Claude Code 可从企业管理策略、个人目录、项目 .claude/skills/、插件、嵌套项目文件夹以及 --add-dir 添加的目录加载技能，克隆的仓库因此可能把技能带入受信任会话。作者以在野发现的 Clawsights 技能为例，该技能通过 gh auth token 获取 GitHub 令牌并上传至 clawsights[.]com/api/upload；在 Opus 4.6 最大推理下模型识别并拒绝执行，但改用动态上下文版本后，令牌窃取命令在预处理阶段已执行完毕，模型随后才表示不会执行该技能。作者还提到在 Opus 4.7 上同一技能未被识别为凭据窃取。

5月7日周四
4月30日周四
  1. Wiz Research · 55

    Wiz 披露 AI GitHub Actions 的权限绕过与密钥外泄风险

    Wiz 对 OpenAI、Anthropic、Google 等厂商的 AI GitHub Actions 做了安全分析，发现外部 App 与 bot 可绕过权限校验触发 AI 执行，并存在针对动态生成凭据文件的密钥外泄路径。研究覆盖 anthropics/claude-code-action（超 1.2 万个公开工作流）、google-github-actions/run-gemini-cli（超 1 千个）、openai/codex-action 和 actions/ai-inference，受影响仓库合计星标超 20 万。

4月24日周五
  1. 腾讯朱雀实验室 · 40

    腾讯朱雀实验室扫描 ClawHub 五万个 Skill，发现绕过官方检测的远程控制后门

    腾讯朱雀实验室用自研 A.I.G 对 OpenClaw 官方 Skill 市场 ClawHub 上近五万个 Skill 做全量扫描，发现第一代显性恶意样本大量消失后，伪装更深的攻击方式仍然存在。扫描发现 27,818 个 Skill 声明网络请求权限，占比 74.6%，共 246,378 条 URL 指向 29,196 个域名；五万个 Skill 来自 15,427 名开发者，Top 20 账号合计发布 5,422 个，最极端账号 3 个月发布 955 个。案例一是一个自称分布式状态恢复工具的 Skill，通过远程拉取载荷、12 种传输编码链式解码和 Python pickle 反序列化构成完整 RCE 链路，却通过了 ClawHub 的正则扫描、注入信号检测、LLM 安全评估和 VirusTotal 外联检测。