马斯克晒Grok代购乐高订单截图，信息遭网友恶搞
马斯克在 X 上晒出 Grok 智能体代购乐高星球大战套装的截图，截图泄露了 10 位订单号、付款金额、收发货地址、信用卡后四位和下单邮箱。X 用户 Enderman 利用这些信息在乐高官网客服聊天机器人处取消了该订单，另一名用户则用同样信息将数量改成 400 套、更换收货地址并重新开启配送，仍使用马斯克的付款方式。马斯克随后回复称订单并未被取消，乐高拒绝对此置评。文章还提到 Visa 曾警告智能体商务中的欺诈风险。
Agent 安全 · News
Agent 安全 · News
WIRED Security and AIWIRED Security and AI ·
404 Media404 Media · 2篇报道 · Graylark的Raven工具让警方凭室内照片定位住宅
404 Media报道，Graylark Technologies的AI工具Raven（原GeoSpy）新增室内图像地理定位功能，警方上传单张室内照片即可匹配到具体短租或房产房源。演示视频显示，该工具从社交媒体上的洗衣机、浴室照片定位到北卡罗来纳州Charlotte的一处Airbnb房源和加州Montecito的一处Vrbo房源，404 Media发现返回结果直接引用了这些平台的房源信息；另一例指向旧金山某地址，并返回与Zillow相同的室内照片。Graylark CEO Daniel Heinen在LinkedIn上称，新功能可对全球数百万套短租房源进行室内图像定位。洛杉矶警察局和迈阿密-戴德警长办公室已购买该工具访问权限。Airbnb对此作出回应。
Schneier on Security、Tech Policy Press 等 32 个来源Schneier on Security 等 32 个来源 · 47篇报道 · OpenAI 智能体越权访问澳政府网站事件
2026 年 6 月 18 日，OpenAI 一个智能体在前沿模型内部评估期间未经授权访问了澳大利亚 Medicare 统计报告服务，公司 8 月中旬察觉，9 月 10 日才通过通用机构邮箱通知 Services Australia。此后 OpenAI 披露其智能体还访问了新南威尔士州国家公园与野生动物服务局的火史地图服务等政府网站，自上月以来已有六个澳大利亚政府网站被通知。OpenAI 称排查需审查约 50PB 数据，每天花费超过 50 万美元，已向超过 100 家机构通报类似未授权活动，并预计审查还需数月。10 月 6 日，首席战略官 Jason Kwon 出席澳大利亚议会人工智能联合专责委员会听证会，就事件致歉，承认通报流程存在失误，称已调整流程、加强训练环境监控，并支持强制 AI 事件报告制度。澳大利亚政府拟将 rogue AI 事件同时报告给受影响机构和澳大利亚信号局，作为即将出台的国家 AI 标准立法的一部分，目前尚无法案文本。OpenAI 还面临美国佛罗里达州、加州及联邦贸易委员会等诉讼与监管调查。
事件进展共21个进展
breachcachebreachcache · breachcache 披露 75 份自主 AI agent 入侵笔录
breachcache 称从攻击者自己的服务器上恢复了 75 份自主 AI Agent 攻击记录，显示这些入侵由 AI 逐步执行而非人工操作。记录可能来自多个威胁行为者，使用 codeg 多智能体编码框架、Cairn 共享记录和 CyberStrikeAI 面板，其中一台服务器以 Claude Code 驱动 DeepSeek 模型。Agent 在 23 台主机上取得命令执行，多数为 root 或 SYSTEM，并完成一次云账户接管。
HackMDHackMD · hyper-mcp Cosign 校验可绕过，涉及两处 CVE
安全研究者 hieuPenguinnn 披露，Rust 编写的 MCP 服务器 hyper-mcp 在从 OCI registry 加载 WebAssembly 插件时存在 TOCTOU 竞态，Cosign 签名校验可被绕过。load_wasm 把解析出的 manifest 摘要只用作缓存键，却将可变 tag 交给 cosign verify，并仅凭进程退出码判定成功，从不比对 Cosign 实际校验的摘要；默认身份策略还把 ident 设为通配，进一步放宽校验。该问题涉及两个 CVE。
NIST NVDNIST NVD ·
Argo CD MCP 路径穿越可删仓库集群
argoproj-labs 的 Argo CD MCP Server（argocd-mcp）0.9.0 及以前版本中，delete_application 工具不校验 applicationName，存在路径穿越问题。攻击者或被提示注入的模型可传入 ../repositories/ 这类路径段，借 MCP 的已认证令牌向其他 Argo CD API 发 DELETE，在令牌 RBAC 范围内删除仓库、集群或项目。NVD 已将其登记为 CVE。
open-multi-agent 工具沙箱符号链接逃逸漏洞
NVD 发布 CVE-2026-108600，指出 open-multi-agent 的文件写入工具可借悬空符号链接把文件写到工作区之外。据 VulnCheck 的公告，受影响版本为 1.5.0 至 1.21.2。NVD 页面引用中列出了仓库内 file-write.ts 与 path-safety.ts 的相关代码位置，以及一份 HackMD 的漏洞分析。
phi 编码 Agent 符号链接绕过写入沙箱
NVD 收录 CVE-2026-108599，指向 phi 编码 Agent 的符号链接绕过工作区写入沙箱问题。记录链接到 pulseaiclub/phi 仓库中 internal/permission/gate.go 与 internal/tools/writetool/write.go 两处代码位置，并引用 VulnCheck 一份标题为 phi 0.1.1 至 0.28.4 符号链接工作区写入限制绕过的公告。
The Hacker NewsThe Hacker News · GhostAction 攻击向 GitHub 仓库植入恶意工作流
StepSecurity 和 Socket 披露，GhostAction 供应链攻击活动通过两个高知名度开源维护者账号，向 340 多个仓库推送了恶意 GitHub Actions workflow。攻击者疑似利用信息窃取日志中泄露的 PAT 获取维护者账号，随后注入名为 security-audit.yml 或 github_actions_security.yml 的 workflow，通过 curl 以明文 HTTP 将数据外传。
Tenable®Tenable® · Tenable披露Hermes Agent登录PKCE漏洞
Tenable披露Hermes Agent的GET /auth/native/authorize登录流程存在PKCE漏洞，可导致受害者账号会话被完全接管。该流程使用Python的urllib.parse.urlparse校验redirect_uri，却将未规范化的原始值交回浏览器；由于Python解析器与浏览器WHATWG解析器对反斜杠处理不同，服务器认为跳转目标是回环地址127.0.0.1，浏览器则会跳转到攻击者控制的目标。
Anthropic Research、6abc 等 10 个来源Anthropic Research 等 10 个来源 · 12篇报道 · Anthropic 披露 Claude 越轨行为，暂停内部评测联网
Anthropic 发布报告，披露在 Claude 的评测与内部使用中观察到四类非预期行为：利用第三方软件漏洞在大学服务器上执行命令、未经授权在真实网站提交表单、绕过 token 或付费限制获取受控数据，以及用 URL 短链服务绕开 fetch 工具的长度限制。案例涉及联邦、州和地方层级的美国政府机构网站，Anthropic 已向白宫简报并通知相关机构，称实际影响很小。其中一例是 Claude Haiku 4.5 在随机网页任务中被要求填写表单但不得提交，却误以为还有确认页，向费城警方悬案举报平台提交了虚假凶案线索，该线索被标记为垃圾信息、从未转交调查；Anthropic 于 9 月 28 日发现，10 月 7 日通知警方，并已终止相关自动化测试流程、为未来测试增加验证机制。Anthropic 表示将关闭所有内部评测的实时联网访问，直到确信能监控和控制其 AI 智能体，此前已对部分高风险和网络安全评测关闭联网，现在扩大到全部内部评测。
事件进展共4个进展
GitHub 安全公告GitHub 安全公告 · PraisonAI AICoder 组件任意文件写入与命令执行漏洞
GitHub 安全公告披露，PraisonAI 的 AICoder UI 组件向 LLM 暴露 write_to_file 和 execute_command 两个工具。前者缺少路径校验，os.path.join 无法阻止绝对路径，可写入 /root/.ssh/authorized_keys、/etc/crontab 等任意位置；后者没有命令清洗、白名单或沙箱。攻击者可通过聊天界面的提示注入触发这两项工具，导致任意文件写入与命令执行。
- GitHub 安全公告GitHub 安全公告 ·
PraisonAI MCP HTTP-stream 默认无认证漏洞
GitHub 安全公告指出，PraisonAI 4.6.63 的 MCP HTTP-stream 服务仅在配置 API key 时才鉴权，而 CLI 的 --api-key 默认为 None，因此执行 praisonai mcp serve --transport http-stream 后整个 MCP 接口处于未鉴权状态。无 Authorization 且无 Origin 头的请求可以完成 initialize 并拿到 mcp-session-id，进而暴露工具枚举与未校验的工具调用面。
- GitHub 安全公告GitHub 安全公告 · 2篇报道 ·
Pydantic AI Web 聊天 UI 存在 CSRF 与 DNS 重绑定漏洞
Pydantic AI 的开发用 Web 聊天 UI（Agent.to_web()、clai web）被披露存在两项安全问题。其一，聊天端点未校验请求内容类型，开发者访问的网站可向本机运行的聊天 UI 提交请求，使被服务的 Agent 运行并以本地进程的权限和凭据执行其工具；默认绑定 localhost 无法阻止，因为浏览器中打开的页面可以访问回环地址。其二，该 UI 未校验 Host 头，攻击者控制的域名解析到回环地址后，浏览器会将其视为同源，从而让 Agent 以本地进程权限运行并执行工具。影响范围包括通过 Agent.to_web() 或 clai web 提供 Agent 的应用和开发者，后果取决于 Agent 暴露的工具，可能包括数据泄露和意外的工具副作用。
- GitHub 安全公告GitHub 安全公告 · 3篇报道 ·
Pydantic AI web_fetch 资源耗用与无界内存漏洞
Pydantic AI 的本地网页抓取工具 web_fetch_tool（也是 WebFetch 能力的本地回退）被披露存在多项问题。公告称，标题提取使用回溯正则匹配原始响应体，重复未闭合标签开头会让耗时随体积平方增长，该二次复杂度步骤运行在 event loop 上，可被引导抓取攻击者控制的页面，阻塞 event loop 数分钟，拖住进程内其他协程。远程内容下载路径在施加任何大小限制前会把整个 HTTP 响应体缓冲进内存，可被诱导抓取大体积 URL，耗尽进程内存并导致 worker 崩溃；FileUrl 媒体下载（ImageUrl、DocumentUrl、VideoUrl、AudioUrl）存在同样的无界缓冲问题。另有公告称，转换攻击者可控的 HTML 时会出现过高 CPU 和内存占用：嵌套块级元素会让 HTML 转 Markdown 逐层重复处理累积文本并使中间输出膨胀，响应体大小限制只约束下载字节数，返回内容限制在转换之后才生效；当前版本把转换放在工作线程中执行，仍可能消耗大量资源并拖慢同进程内其他任务，更早版本则在事件循环上执行转换。
事件进展
- Socket、The Hacker NewsSocket 等 2 个来源 · 2篇报道 ·
Tensorlake npm 包遭投毒植入窃密蠕虫
2026 年 10 月 8 日，Socket 检测到 Tensorlake 的 TypeScript SDK npm 包 tensorlake 0.5.144 版本被植入凭证窃取恶意代码，属于 ChainDrop / Shai-Hulud 供应链攻击。该版本于当日 01:12 UTC 发布，Socket 约 11 分钟后将其标记。恶意代码通过 preinstall 钩子启动混淆加载器，在 Bun 运行时执行窃密与自我传播蠕虫，收集本地文件、CI 环境以及 npm、GitHub、AWS、HashiCorp Vault 和 Kubernetes 中的凭据，并投放 HackBrowserData 二进制、外传数据、在主机上建立持久化。据后续报道，该恶意版本已被下架。