SierraSierra · Sierra 发布个人智能体协议 Poppy 草案
Sierra 发布个人智能体协议草案 Poppy，并宣布新增 35 家设计伙伴，包括 OpenAI、PayPal、Visa、Mastercard、Cloudflare、Notion 和 1Password 等，这些公司将参与草案设计过程并反馈意见。Poppy 建立在 OAuth、JWT、HTTPS、OpenAPI 和 MCP 等既有标准之上，定义发现、会话、登录、跨渠道单一会话和任务执行五个组成部分。
Agent 安全 · News
Agent 安全 · News
- SierraSierra ·
NVIDIA 技术博客：可信 AI 与网络安全NVIDIA 技术博客：可信 AI 与网络安全 ·
NVIDIA 分享 KDD Cup 数据分析 Agent 经验
NVIDIA KGMON 团队在 KDD Cup 2026 Data Agents 竞赛中获得第二名，其方案核心是让 Agent 的 harness 更小、更清晰、更容易验证。竞赛要求 Agent 在数据库、CSV 和 JSON 文件、散文文档、PDF 和简报视频等异构数据源上回答自然语言问题，且只使用一个固定的小模型驱动 Agent，使 harness 成为主要优化空间。团队提出两条原则：约束动作空间，即统一数据访问、暴露小型工具；以及让 harness 更清晰、更易验证。
langchain.comlangchain.com · LangChain 发布可支付 Agent 示例 Restock
LangChain 发布示例 Agent Restock，在 Slack 中运行于 Managed Deep Agents 之上，通过 Stripe 的 Link 钱包和 Machine Payments Protocol（MPP）完成真实下单与付款。它用 Zinc 的 MPP 订单 API 搜索商品并下单，商家以 402 Payment Required 返回付款指令，客户端带支付凭证重试。模型不接触支付密钥：Link 会话存放在用户侧。
tessl.iotessl.io ·
VarOps 发布企业级 Agent 记忆系统设计与基准
VarOps 公布了一套面向全公司范围 Agent 的记忆系统设计与基准结果，主张把记忆当作受治理的记录而非文本堆砌。系统把每条观察蒸馏成 claim，记录谁在何时说了什么、有效区间以及来源片段，丢弃原始记录。在 LongMemEval 的 500 道长对话历史问题上，正确证据仍有 99.8% 进入前十条结果，摄取约 3500 万 token 花费 8.24 美元，使用 CPU 与免费本地嵌入模型。作者用 Gemma 4（310 亿参数）进行测试。
tl;dr sectl;dr sec · tl;dr sec #349：AI 漏洞利用与沙箱测试
2026年10月8日的 tl;dr sec #349 汇总多项安全动态：XBOW 提出先让智能体以各角色登录并绘制权限边界，再据此判定 IDOR 结果，以降低误报；PortSwigger 为 Turbo Intruder 加入 HTTP/3 支持，Wi-Fi 下单机可发超过 10 万请求/秒，是同环境下 HTTP/1.1 的三倍以上；Aikido 在 gocommunity-io/dockerd、kreuzwenker/docker 两个 Terraform provider 及两个 Go 模块中发现 Gr 相关漏洞。
Adversa AIAdversa AI · 2026年10月MCP安全资源盘点
Adversa AI 发布 10 月 MCP 安全资源汇总，按漏洞、防御、攻击技术、框架、事件和红队等类别收录 15 项资料。漏洞方面包括：LiteLLM 的 MCP 端点接受任意无效 bearer token（CVE-2026-59822，已进入 CISA KEV 列表）；Grafana MCP 服务器仅按格式校验 session ID，导致会话伪造与 SSRF（CVE-2026-19516）；以及 MCP Python SDK 的 OAuth 相关问题。
Meta Wearables、MIXED Reality NewsMeta Wearables 等 2 个来源 · 2篇报道 · Meta WebMCP 文档提示工具信任边界
Meta 在 Ray-Ban Display 的 WebMCP 开发文档中说明，Web App 可通过 document.modelContext.registerTool() 把页面动作注册为工具，供眼镜上的 Meta AI 在用户语音请求时调用；工具仅在 Web App 前台时可用，页面加载时注册、用户离开时注销，Meta AI 无法后台调用，单次调用超时为 10 秒，且每个工具动作须保留手动操作路径。文档同时指出，用于标记不可信文本的 untrustedContentHint 并非强制安全边界，不应依赖；开发者须把 Meta AI 传入的参数视为不可信并在 execute 中校验，不应仅因工具被调用就执行破坏性或不可逆操作，也不应接受模型对执行结果的描述，而应由页面自行验证和评分。
腾讯 AI-Infra-Guard 版本发布腾讯 AI-Infra-Guard 版本发布 · 腾讯 AI-Infra-Guard 发布 v4.6.5
腾讯 AI-Infra-Guard 发布 v4.6.5。该版本新增 Agent-Scan 支持 SSE 响应自定义 transforms，MCP-Scan 支持现代与旧版协议自动协商并记录协议版本，同时新增 OrcaRouter 作为 Agent-Scan 的一级 provider。数据侧补充两批漏洞规则，分别为 154 条 CVE 规则加 9 条指纹、117 条 CVE 规则加 5 条指纹。修复项包括 MCP-Scan 对 LLM 调用的限流相关处理。
Anthropic Research、CyberScoop 等 8 个来源Anthropic Research 等 8 个来源 · 8篇报道 · Anthropic推出OSS Scanner与关键基础设施防御计划
Anthropic 启动长期计划 Anthropic Cyber Mission，聚焦关键基础设施与开源软件两大方向。关键基础设施防御计划（CIDP）向电力、水务、交通等运营技术防御方提供前沿 Claude 模型、驻场工程师与威胁研究，合作方包括 CrowdStrike、Dragos、Palo Alto Networks、Rockwell Automation 等公司。同时推出的 OSS Scanner 是面向开源生态的可选加入漏洞扫描服务，由该公司最强模型免费为加入项目定期扫描；报告完全由模型生成、不经人工复核或分诊，因此可能不准确。Anthropic 称过去六个月用最新模型扫描重要软件项目，发现超过 29,000 个候选漏洞，仅人工复核约 6,000 个，应维护者要求已直接发送近 5,000 份未经人工验证的报告。
claude.dev Blogclaude.dev Blog · Anthropic 发布 Claude 托管 Agent 自动化参考实现
Anthropic 在 Claude Managed Agents（beta）上给出一个定时 Agent 参考实现：按计划读取 Slack 频道和 GitHub PR，跟踪上次运行以来的变化，并把要点发到 Slack。实现由来源、目标、Agent 配置、cron 调度、记忆和护栏六部分组成。凭证存放在 vault 中，MCP 工具经沙箱外代理调用，shell 调用 Slack API 时沙箱内只保留占位符，真实 token 在请求离开沙箱后注入。
- cyb3rmik3/prompt-injection-email-samples、michalos.net（@Cyb3rMik3）cyb3rmik3/prompt-injection-email-samples 等 2 个来源 · 2篇报道 ·
微软Defender邮件提示注入拦截实测
研究者发布开源邮件提示注入测试集，用于检验邮件安全网关和 AI 邮箱助手能否识别邮件中的间接提示注入指令。测试集以微软 Defender for Office 365 的提示注入防护为设计对象，样本为标准 .eml 邮件，也可用于其他安全邮件网关、Copilot、Gemini 及自建 RAG 流程，覆盖系统提示词泄露、经 URL 外传数据、工具与写权限探测三类意图，以及明文可见、隐藏 HTML、Base64、零宽字符四种投递编码。测试者实测 Defender for Office 365 Plan 2 新增的邮件提示注入防护，发现 Base64 与零宽字符编码的邮件绕过了邮件流过滤，但 Copilot 在运行时解码并拒答，投递不等于失陷。该防护聚焦数据外泄、套取系统提示词、探测工具与写权限三类意图，高置信度邮件直接隔离并归为 High Confidence Phish，新 Detection Technology 值为 Prompt Injection。
AWS SecurityAWS Security · 2篇报道 · AWS 发布 AI 漏洞分诊 steering 文件配置指南
AWS 安全团队发布 AI 漏洞分诊 harness 的配置指南，用 steering file 把团队分诊方法论固化为模型每次会话加载的持久指令。指南给出五个关键配置段：先做结构验证，要求确认文件、函数、数据流和调用路径存在后再报告发现；用二元信号加权公式替代模型自报置信度，其中污点确认权重 0.30；解析 IaC 并按控制类型施加乘数，攻击阻断控制可叠加且下限为 0.15；接入 CISA KEV、EPSS 和公开 PoC 信号。
The Hacker NewsThe Hacker News · 智能体渗透测试的能力与局限
Picus 指出，智能体渗透测试能通过实际执行漏洞利用证明单个暴露点是否可利用，并验证从初始访问到权限提升、横向移动的完整攻击链。但该方法存在速度与覆盖两大局限：25 万端点规模的完整扫描需数周，而 2026 年披露到利用的平均时间已从 2025 年的 21.5 天缩短至 8 小时；受安全与稳定性限制，真实漏洞利用只能覆盖典型企业约 20% 至 30% 的可利用面。
Microsoft Windows Developer Blog、X @simonwMicrosoft Windows Developer Blog 等 2 个来源 · 2篇报道 · 微软发布AI Agent执行容器隔离方案
微软宣布 Microsoft Execution Containers（MXC）正式可用，为 AI Agent 提供策略驱动的执行隔离层，限制模型生成代码、插件、工具或整个 Agent 可访问的文件与网络资源，策略由容器在运行时强制执行，Agent 自身无法自行扩权。MXC 提供进程容器（Windows 11、macOS、Linux）、仅 Windows 支持的会话容器、WSL 容器和实验性的 MicroVM 四类隔离后端。另有报道称，微软发布了开源跨平台沙箱库 MxC，可在 Windows、macOS 和 Linux 上为 Agent 提供隔离环境，底层使用 processcontainer、bubblewrap 和 seatbelt 实现沙箱；该方案面向为 Agent 管理多种沙箱的开发者，并深度集成 Windows 上的 agent ID，覆盖进程、会话和 micro VM 层级。
- AWS SecurityAWS Security ·
AWS 发布身份感知 AI 数据代理方案
AWS 安全博客介绍了一种身份感知 AI 数据智能体方案：数据智能体查询 Lake Formation 治理的湖仓数据时，按真实用户身份授权，无需改写现有治理策略。id_token 不进入工具 schema，基础模型无法接触；TIP 角色本身不带 Lake Formation 数据授权，授权判断只针对传播的用户身份。测试中两名用户提出同一问题，有授权的用户返回五条记录，无授权用户被拒绝，CloudTrail 的 AssumeRole 记录可追溯。
arXiv、UK AI Security Institute 等 3 个来源arXiv 等 3 个来源 · 3篇报道 · UK AISI 开源 Transect 智能体评测分析工具
研究者发布开源包 Transect，用于在长程 LLM Agent 评测中保留可观测性。该工具基于 Inspect Scout 构建，用户在可复用的评测族配置中指定任务上下文与行为词汇，判分模型与分析设置另行提供；其可导航报告把记录事件、token 用量、子 Agent 活动与模型生成的行为标签对齐到同一按回合的时间线上，评审者可快速把握一次运行的脉络、把任一标签或事件追溯到来源回合，并导出底层数据表做跨运行分析。UK AISI 随后发布这一开源 Python 包，称其把 Agent 评测记录中的活动标签、token 用量和记录事件放到同一条以 turn 为索引的时间线上，生成交互式报告，供评审者跳转到对应记录片段核对自动分析的依据；用户需提供评测记录、任务上下文和希望区分的活动类别，Transect 用用户选定的 LLM-as-judges 为活动片段打标签，并可依据委派指令对子智能体分类。UK AISI 表示，随着智能体编写代码、运行实验并相互协作，复杂评测越来越难解读，单一评测分数会掩盖智能体达成该分数的具体过程，Transect 让评测者能够查看轨迹中的过程细节。