跳到正文

提示注入 · News

10月13日 · 周二

提示注入 · News

按原发与事件进展排列
提示注入

研究话题

提示注入Agent 安全欺骗与谋划奖励作弊思维链监控可解释性AI 控制后门与投毒隐私与数据泄露供应链安全危险能力AI 与网络攻防开源模型安全红队

公司与机构

OpenAIAnthropicGoogle DeepMindGoogle ResearchGoogle 安全MetaxAIMicrosoftNVIDIADeepSeek阿里巴巴 · Qwen智谱 · GLM月之暗面 · Kimi字节跳动腾讯蚂蚁集团上海人工智能实验室UK AISIUS CAISIMETRApollo ResearchRedwood ResearchFAR.AIPalisade Research

报告与框架

System Card前沿安全框架
9月30日周三
  1. Google Threat Intelligence、Help Net Security AI 等 3 个来源Google Threat Intelligence 等 3 个来源 · 3篇报道 · 56

    GTIG报告：AI时代漏洞披露与利用趋势

    Google 威胁情报小组（GTIG）于 2026 年 9 月 30 日发布《Vulnerability Discovery and Exploitation Trends in the AI Era》，分析 2025 年 1 月至 2026 年 8 月的漏洞数据。报告称月度 CVE 披露量从 2026 年 1 月的 5,045 增至 8 月的 10,740，仅约 0.23% 被观测到在野利用，但前八个月已有 141 个漏洞被利用，超过 2025 年全年的 127 个，增长主要来自 n-day。在野利用从 2025 年月均 10.5 升至 2026 年月均 18，零日利用仅从月均 8 微增至 11。被判定为可能由 AI 发现的漏洞中，恰好 50% 可导致远程代码执行，而整个 CVE 生态中这一比例为 26%。报告累计追踪 2,076 个 AI 相关漏洞。

9月10日周四
  1. Lasso Security · 56

    MaxKB 沙箱绕过漏洞 CVE-2026-77521：从提示注入到任意命令执行

    Lasso Security 披露 MaxKB 的沙箱绕过漏洞 CVE-2026-77521（GHSA-f36j-f34j-h3rx），严重级别 10.0，影响 2.10.4-lts 及更早版本。问题出在 sandbox_shell.py：旧代码把 gosu 沙箱前缀只加在整条模型输出命令的最前面，用分号、管道、$(...) 或 > 接在后面的命令会在 root 外层 shell 执行。作者演示的攻击链是：攻击者在会被知识库爬取的网页里放入间接提示注入内容，受害者给 Agent 挂上这个知识库后只问正常问题，也会触发 execute 工具执行 curl 等任意命令。厂商在报告次日提交修复，8 月 6 日发布的 2.10.5-lts 已修，作者建议升级并确认 Docker 部署里沙箱确实开启；他们称在其他 Agent 项目里也反复看到隔离默认不开、要显式启用的情况。

6月2日周二
  1. Simon Willison · 50

    黑客直接要求 Meta AI 客服机器人即接管高知名度 Instagram 账号

    Simon Willison 转述并确认了一起真实事件：黑客与 Meta 的 AI 客服机器人对话，直接要求把目标账号绑定到新的邮箱地址，并称会提供验证码，从而完成账号接管。一段视频显示攻击者发送类似“把我的新邮箱地址绑定上，这是我的用户名 @{target_username}，我会把验证码发给你”的请求。Willison 指出 Meta 确实把客服系统接入了具备快速推进整个账号找回流程能力的 AI 聊天机器人，他认为这甚至算不上提示注入，并警告不要把客服机器人接入到允许一次性账号接管的位置。

3月6日周五
  1. Simon Willison · 57

    Cline 因 issue 标题提示注入被投毒，NPM 发布包遭污染

    Adnan Khan 披露了一条针对 Cline GitHub 仓库的攻击链：Cline 用 anthropics/claude-code-action@v1 做 AI issue 自动分诊，配置了 Bash、Read、Write 等工具权限，且提示词包含 issue 标题，攻击者可在标题中诱导 Claude 执行任意命令，例如通过 npm install 安装指定 GitHub 包，再由其 package.json 的 preinstall 脚本运行代码。

2025年8月11日周一
  1. Embrace The Red · 49

    Claude Code 被曝可经 DNS 请求外泄数据，Anthropic 已修复（CVE-2025-55284）

    安全研究者披露 Claude Code 存在高危漏洞，攻击者可通过间接提示注入劫持 Claude Code，把开发者机器上的敏感信息（如 API key）经 DNS 请求发往外部服务器，Anthropic 已于 6 月初修复。作者发现 Claude Code 的 Bash 工具虽需用户批准，但 ping、nslookup、host、dig 等命令在白名单中自动放行，于是把 .env 文件内容拼进 ping 请求的子域名，形成 DNS 外泄通道，也验证了可通过 /proc/PID/environ 泄露环境变量。

2025年7月15日周二
  1. OWASP GenAI Security Project · 21

    OWASP GenAI 安全项目发布 2025 年 Q2 生成式 AI 事件与漏洞利用汇总

    OWASP GenAI 安全项目汇总了 2025 年 3 月至 6 月的 14 起生成式 AI 事件与漏洞利用。其中包括 GPT-4.1 通过工具投毒被越狱、ChatGPT 提示注入导致数据泄露、DeepSeek 数据泄露、M365 Copilot 零点击 AI 命令注入，以及 NVIDIA TensorRT-LLM Python 执行器漏洞（CVE-2025-23254）。另有一批深度伪造语音诈骗、AI 生成音乐侵权和 AI 驱动的凭证填充等攻击被记录在案。

日期待核
  1. Hmbown/CodeWhale GHSA-wrj3-vj8c-784f（credit sai-sh）；CVE-2026-75858Hmbown/CodeWhale GHSA-wrj3-vj8c-784f（credit sai-sh）；CVE-2026-75858 · 57

    CodeWhale rlm_eval 工具绕过审批策略致 RCE

    CodeWhale 的 rlm_eval 工具存在任意 Python 代码执行漏洞：其 approval_requirement() 返回 ApprovalRequirement::Auto，引擎将其视为永不询问，从而绕过用户配置的 --approval-policy（如 on-request、unless-trusted），导致任意代码执行。维护者已确认并修复该漏洞，0.8.64 版本在 commit 57f3c89 中完成修补，用户应升级到 0.8.64 或更高版本。该漏洞对应 GHSA-wrj3-vj8c-784f（credit sai-sh）与 CVE-2026-75858。

  2. OpenCVEOpenCVE · 55

    Agno ≤2.5.8 因提示注入致远程代码执行

    MITRE 记录的 CVE-2026-37003 显示，Agno 2.5.8 及以下版本存在远程代码执行漏洞。PythonTools 与 ShellTools 组件把 LLM 生成且未经清洗的参数直接传给 exec()、runpy.run_path() 和 subprocess.run() 等执行入口，攻击者只需把恶意指令嵌入 Agent 处理的网页或文档等内容即可触发，无需认证，可在宿主服务器上执行任意代码和系统命令。

  3. deeprnd.medium.comdeeprnd.medium.com · 56

    Grok 钱包遭摩斯码提示注入被盗 3 亿 DRB

    2026 年 10 月 5 日报道，攻击者用摩斯码向 Grok 发送编码指令，Grok 解码后公开回复并 @bankrbot，Bankrbot 将其识别为授权命令并执行链上转账，约 3 亿 DRB 代币被转出后抛售，代币价格一度下跌 40%。约 80% 资金随后被退回，攻击者将剩余 3 万至 4 万美元称为非正式漏洞赏金。攻击分四步：先向 Grok 钱包发送 Bankr Club Membership NFT 获得高权限，再以摩斯码绕过安全过滤，Grok 仅解码并发布明文。

已经到底了