Anthropic ResearchAnthropic Research · Anthropic 公布针对蒸馏攻击的防御措施，称早期证据显示新方法把蒸馏者获取的数据量减少约 90% 至 99%，平台上被提取的推理 token 数降至此前的 1/10 到 1/100。防御分三类：用 preserved thinking 阻止新 API 账号编辑 Claude 的先前上下文，并让推理记录只对产生它的组织可见；用两阶段分类器拦截提取尝试，误报率低于 0.1%；对反复尝试的账号收紧限额并封禁，自 9 月 24 日起对拦截的请求收费。
openclaw/openclawopenclaw/openclaw · OpenClaw 修复了长工具输出中跨越切块边界的凭证未被遮蔽的问题，同时解决大文本脱敏的卡顿与栈溢出，运行速度提升数倍。该版本还把 OpenAI 与 Anthropic 的 API-key 路由默认改为 provider-native compaction，并修复 Doctor 卡在遗留导入、陈旧 Gateway 锁等恢复流程的故障。
Goodfire Research、BasetenGoodfire Research 等 2 个来源 · 2篇报道 · Goodfire 与 Baseten 合作推出 Project Beacon，把 Goodfire 的安全栈接入 Baseten 推理平台，通过读取生成过程中的模型内部激活来定义策略，在输出到达用户或工具前检测并处置不安全事件，覆盖提示注入、越权操作、敏感数据泄露和网络滥用四类风险。其激活监控器复用模型已有计算，可在每次前向传播中低延迟运行，监控与生成并行且不阻塞响应，并与 judge 级联以降低成本。在 Kimi K3 的生产网络监控评估中，该方案检出约 93% 的有害会话，仅将 5.5% 的良性会话标记复核，judge 成本最多降低约 50 倍，且推理吞吐无明显下降。Baseten 计划未来数月先面向部分模型和受监控行为发布，再扩展至企业控制与开发者体验。
TechCrunch AI、Goodfire ResearchTechCrunch AI 等 2 个来源 · 2篇报道 · Goodfire 发布“由内而外”监控器，通过 Baseten 向客户提供，可在智能体运行中实时读取模型内部激活信号，由探针触发二次核查。在 Kimi K3 上测试约 1,500 次会话，监控成本约 51 美元，而用廉价模型逐步检查需 233 美元、顶级模型约 10,000 美元；探针捕获 94% 的恶意黑客会话，把 8.7% 的无害会话送去复核。客户可选监控攻击性黑客、化生武器滥用和奖励作弊等风险。另一篇报道称，Goodfire 为 Kimi K3 和 GLM 5.3 构建基于探针的网络安全监控系统并部署在生产推理栈上，探针作为一线过滤器，只把可疑交互升级给 LLM 裁判，在 5.5% 良性会话中断率下达到约 93% 召回，成本低于每百万次交互 200 美元，比逐轮调用裁判便宜约 50 倍，且不增加推理延迟；在 FAR.AI 为期两天、基于 140 个越狱策略的静态红队测试中，启用监控后通用越狱从 66 个降到 0 个。
Help Net Security AIHelp Net Security AI · GitHub 联合 Microsoft Applied Sciences 推出基于 ModernBERT 的分类器，扩展 push protection：在代码推送进入仓库历史前识别无固定格式的密钥，可在 2 毫秒内批量评估疑似密钥。GitHub 称其有望使 push protection 能拦截的密钥数量增加一倍以上。该功能目前处于 private preview，并计划于 10 月晚些时候面向 Enterprise Cloud 及部分用户开放。
论文追踪、小红书 上海大学 刘东瑞 AI safety论文追踪 等 2 个来源 · 2篇报道 · 研究者提出 Secure-CUA，一种面向计算机使用智能体（CUA）的安全执行方案，通过在执行前固定动作事务，约束不可信内容对智能体决策与 GUI 命令执行的影响。该方法把安全要求形式化为对智能体决策及其通过 GUI 命令执行两方面的约束，并在理想执行模型下说明逐步满足这两项要求可保护执行轨迹。其核心是在访问不可信内容前先确定一个显式的单动作程序，固定对不可信内容的查询及响应。随后，刘东瑞在解读中讨论了图形界面里可信控制与不可信内容如何混合，以及由此带来的 CUA 安全边界问题。
AWS Security、Strands AgentsAWS Security 等 2 个来源 · 2篇报道 · AWS 以开发者预览形式发布开源沙箱 Strands Box，采用 Apache 2.0 许可，把操作系统级隔离与细粒度策略结合，用于约束 AI Agent 的行为。Box 内嵌此前开源的策略语言 Dogwood 及其本地评估引擎，在网络出口、Python 解释器、Shell 解释器和 MCP 服务器代理等多个执行点做允许或拒绝判定，各执行点共享事件历史，因此规则可以依赖 Agent 此前的动作。另一篇报道称，Box 采用内核级隔离机制，但把策略层放在用户空间，让所有系统与工具交互只能经由策略层，从而对 MCP 调用、shell 与 Python 程序、文件系统和网络访问实施策略，策略可按工具粒度确定性执行，例如要求 git push 前必须通过 npm test，或限制某智能体每天调用支付 API 的次数。
BitdefenderBitdefender · 2篇报道 · Bitdefender 发布面向自主 AI 智能体的独立安全产品 AI Guardian，现以免费公开测试形式登陆 macOS。它位于智能体与其调用的工具、文件和凭证之间，按策略基线实时给出允许、标记或阻止的判定，覆盖提示注入、恶意 MCP 工具、未审查技能和 API key 泄露等风险，分析在本地完成，提示词文本不离开 Mac。测试版支持 Claude Code 2.1.121 或更新版本及 OpenClaw 2026.6.6 或更高版本，可检测并阻断提示注入、校验 MCP 工具与智能体技能、防护 API 密钥和 SSH 密钥等凭证，并记录可审计日志。
Microsoft Windows Developer Blog、X @simonwMicrosoft Windows Developer Blog 等 2 个来源 · 2篇报道 · 微软宣布 Microsoft Execution Containers（MXC）正式可用，为 AI Agent 提供策略驱动的执行隔离层，限制模型生成代码、插件、工具或整个 Agent 可访问的文件与网络资源，策略由容器在运行时强制执行，Agent 自身无法自行扩权。MXC 提供进程容器（Windows 11、macOS、Linux）、仅 Windows 支持的会话容器、WSL 容器和实验性的 MicroVM 四类隔离后端。另有报道称，微软发布了开源跨平台沙箱库 MxC，可在 Windows、macOS 和 Linux 上为 Agent 提供隔离环境，底层使用 processcontainer、bubblewrap 和 seatbelt 实现沙箱；该方案面向为 Agent 管理多种沙箱的开发者，并深度集成 Windows 上的 agent ID，覆盖进程、会话和 micro VM 层级。
TechCrunch AI、Meta NewsroomTechCrunch AI 等 2 个来源 · 2篇报道 · Meta 公布多项打击儿童性剥削的新措施：用新的大语言模型检测广告中隐蔽指向儿童性虐待内容的“signposting”，加强对广告跳转目的地的识别，扩大 AI 广告扫描，并部署红队 AI 智能体主动探测自身防御弱点。Meta 自报 2026 年 1 月至 6 月在印度处置 530 万条相关内容，超 98% 为主动发现。TechCrunch 报道称，Meta 宣布 2026 年上半年对 Facebook 和 Instagram 上 3320 万条儿童性剥削内容采取行动，其中超过 97% 由系统在用户举报前发现，印度同期处置 530 万条、98% 以上为主动发现；Meta 因此开始审查广告的跳转目的地而不只是广告内容本身，并可封禁违规网站和处置相关账号。
HarveyHarvey · Harvey 在重建 Connector Library 时构建了 MCP Policy Engine，在模型之外的编排层对智能体调用合作方 MCP 工具实施策略管控。该引擎针对工具投毒和 rug-pull 两类攻击，从工具参数的“承载量”与“权限”两个维度评估信息流，并配合集成期的内部 MCP 安全分析工具检查认证配置、暴露能力与 JSON schema。Harvey 认为安全训练、内容标记与分类器等缓解措施可被绕过，因此主要依赖架构层面的管控。
MCP TypeScript SDK、al-ice.ai 等 3 个来源MCP TypeScript SDK 等 3 个来源 · 3篇报道 · MCP 参考 SDK 于 2026 年 10 月 2 日在各自仓库发布三条安全公告，修复 HTTP 客户端传输跟随任意源重定向，以及 TypeScript SDK 实验性任务存储未校验会话归属的问题。其中 TypeScript 侧重定向缺陷 GHSA-6prh-2h8m-c8cw 为 medium、CVSS 3.1 6.5，影响 @modelcontextprotocol/sdk 至 1.31.0。随后发布的 MCP TypeScript SDK 1.32.0 新增重定向同源限制：HTTP 客户端传输只在同源（相同 scheme、host 和 port，同 host 的 http 到 https 允许）时跟随重定向；若部署端点重定向到其他 host 或 port，需配置最终 URL，或在 StreamableHTTPClientTransport、SSEClientTransport 上设置 redirectPolicy: 'follow'。GitHub 安全公告还披露，该 SDK 的 OAuth 客户端在受影响版本中由 MCP 服务器决定凭据发往哪个授权服务器，凭据未与其所属授权服务器绑定；恶意或被攻陷的 MCP 服务器可指定自己的授权服务器，客户端在无用户交互的情况下会把此前登录保存的 refresh_token 和 client_secret，或内置 provider 配置的 client_secret 或签名断言发送过去。
TechCrunch AI、Musubi LabsTechCrunch AI 等 2 个来源 · 2篇报道 · Musubi Labs 发布并开源 PolicyLM-1.7B 内容审核决策模型，权重以 Apache 2.0 协议公开。该模型面向信任与安全团队，读取平台自定义策略与消息，一次前向返回每个类别的 0-1 分数，不生成文本，支持多标签与自定义标签，策略修改即时生效且无需重训。据 Musubi Labs，模型在 24 GB L4 上处理短聊天消息中位延迟 35 ms、整体低于 100 ms；TechCrunch AI 报道称其可将纯英文撰写的内容政策直接用于消息审核，单条判定低于 50 毫秒，输出为二元判断。
The Hacker News、Help Net Security AI 等 6 个来源The Hacker News 等 6 个来源 · 6篇报道 · Anthropic宣布扩展Cyber Verification Program（CVP），将Project Glasswing与CVP合并为单一项目，按网络安全用途分三级：Defense Access面向企业、非营利组织、高校、政府安全团队及有漏洞报告记录的个人研究者，覆盖事件调查、恶意软件分析、漏洞分析与验证；Red Team Access仅限机构，用于授权攻击模拟与渗透测试；Specialized Access用于更专门用途。后两级逐步放宽安全护栏，经审核者可访问Claude Opus 5.5、Sonnet 5.5、Mythos 5.1及后续新模型。Anthropic称Glasswing合作方在4—7月发现至少12.9万个漏洞。
arXiv：越狱、提示注入、投毒与防御、LADE authorsarXiv：越狱、提示注入、投毒与防御 等 2 个来源 · 2篇报道 · LADE（Latent Safety Signals for Defense）是一种解码阶段的 LLM 越狱防御方法：对比有害与良性查询，从参考模型首个 token 输出概率分布的暗知识中提取概率差异最大的 top-k=500 个 token，经 Tokenizer Mapping 适配不同分词器的目标模型，再用 kNN 距离在生成前判断并拦截查询。该方法不需要梯度、隐藏状态或第二个模型，信号只需从参考模型提取一次即可复用到其他模型。在多种模型和基准上，LADE 对多种越狱攻击保持稳健，降低攻击成功率并维持安全与效用的平衡。
Hirundo、Diya TVHirundo 等 2 个来源 · 2篇报道 · 以色列 AI 安全公司 Hirundo 报告称，在针对天安门、香港、新疆、台湾、西藏等话题的测试中，某款阿里 Qwen 模型频繁拒答敏感政治问题或给出与中国政府立场一致的答案，按其评分标准近九成回答表现出审查、政治偏见或宣传倾向；该基准还测试了模型在翻译、教案和研究请求中如何处理这些话题。Hirundo 同时发布了修改内部参数后的 Qwen 模型，称已将上述行为降至很小比例，但通用能力测试出现小幅下降，并计划公开该基准数据集。Hirundo 另称，通过行为遗忘直接编辑权重，把 Qwen3.6-35B-A3B 在 CCPC-500 上的审查、宣传框架或偏见比例从 89.8% 降到 2.8%，DECCP 拒答率从 65.26% 降到 3.16%，ChinaBench 不合规率从 96.67% 降到 6.67%。
