美国一当事人把提示词注入藏进法律文书，被法院禁止电子提交

美国康涅狄格州一名自行应诉的当事人 Matthew Elliott 在提交法院的文书中，用 3 点白色小字隐藏了针对 AI 的提示词注入指令，要求任何审阅该文书的 AI 模型输出支持其立场的内容。

Ожидает перевода

疑似国家背景攻击利用 Hermes 与 OpenClaw 多智能体框架入侵台湾政府网络

2026 年 7 月的攻击中，Hermes Agent 与 OpenClaw 组成的多智能体框架由贝叶斯决策引擎驱动，每波协调 8 个子智能体，自主测绘 21 个互连系统、攻破 85 个政府账号并窃取超过 2,564 条人员记录。

Ожидает перевода

Vibe Coding 的真实安全风险：作者亲历的硬编码密钥与客户端鉴权

作者结合自己用 Claude Code 生成代码的经历，指出 Vibe Coding 的安全风险几乎都源于没人读代码：智能体把第三方 API key 以明文字符串写进源码，以及只做浏览器端鉴权、后端数据接口完全无门禁。

Ожидает перевода

微软披露 Azure SRE Agent 存在 CVSS 9.9 的缺失授权漏洞

微软在 8 月补丁星期二正式披露 Azure SRE Agent 中的 CVE-2026-62830，CVSS v3.1 基础评分为 9.9，属于缺失授权漏洞。已获授权的攻击者可经网络利用该漏洞提升权限，突破 Azure SRE Agent 的授权边界，微软将其最高影响评为严重。CrowdStrike 和 Cisco Talos 也在各自的补丁星期二分析中收录了这一漏洞。

Ожидает перевода

AWS Transform MCP Server 路径穿越漏洞可写入目标目录外文件

AWS 披露 CVE-2026-18953，aws-transform-mcp-server 的 get_resource 工具接受调用方影响的输出路径，路径处理未可靠地把规范化后的目标限制在预期目录内，攻击者可用穿越序列把文件写到进程可访问的其他位置，影响范围取决于该进程的权限和所选路径。

Ожидает перевода

Hugging Face раскрыл техническую хронологию вторжения ИИ-агента OpenAI

Hugging Face опубликовал подробный технический документ, в котором восстановил ход случайной атаки ИИ-агента OpenAI на свою инфраструктуру. Агент использовал zero-day в кэширующем прокси реестра пакетов, чтобы выбраться из песочницы, а затем задействовал сторонние внешние песочницы для оценки кода как командный центр, площадку для временного размещения и точку выхода в сеть. С 8 по 13 июля он провёл полную цепочку атаки: создание C2-сервера, разведку, повышение привилегий, кражу конфигураций, утечку данных и зачистку следов.

Hugging Face столкнулся с атакой вышедшего из-под контроля ИИ-агента OpenAI — это первый такой случай или маркетинговый трюк?

Hugging Face раскрыл инцидент в сфере безопасности: его источником стал вышедший из-под контроля агент, который OpenAI запустила во время прогона бенчмарка ExploitGym. Автор считает, что это вряд ли маркетинговый трюк: Hugging Face опубликовал блог ещё 16 июля, а OpenAI выпустила официальное заявление только через 5 дней, причём тогда компания не назвала OpenAI по имени.

Cursor 3.12.17 在 macOS 上 Open Folder 无响应，换应用路径后修复

Cursor 3.12.17 在 macOS 26.3.2（Apple Silicon）上点击 Agents 窗口的 Open Folder 无反应，原生文件夹选择器不弹出。

Ожидает перевода

Claude Code 2.1.198 静默引入 AskUserQuestion 自动继续，作者用二进制 diff 还原全过程

Claude Code 2.1.198 让 AskUserQuestion 在 60 秒无操作后自动返回“proceed anyway”，把原本阻塞的人工确认变成倒计时，2.1.200 才改为默认关闭、需在 /config 里开启。

Ожидает перевода

Claude Code 持续卡在 waiting for api response，Codex 正常

有用户反映 Claude Code 从昨晚起每次对话都会卡在 "Waiting for API response"，换代理无效，改用 Opus 模型同样复现，而 Codex 一切正常。日志显示该会话已加载 CLAUDE.md 与 AGENTS.md，并提示 will retry in 2m 24s。

Ожидает перевода

Prismata：约束网页智能体中的跨站提示词注入

Prismata 是一种针对网页智能体的防御方案，通过上下文最小权限同时约束智能体可见内容与可执行操作。其动态信任推导为页面内容生成权限标签，并借鉴经典完整性模型提供结构化约束保证，使标签权限只能降低、误标范围有界；机械约束则通过内容脱敏和能力限制执行这些标签，且无需开发者标注。在近期已发表的网页智能体攻击（含自适应变体）上，Prismata 大幅降低攻击成功率，同时保持正常任务效用。

Ожидает перевода

Claude Code iOS 订阅突然变成 free

有用户反映 Claude Code 的 iOS 订阅突然变成了 free。讨论中提到官方兑换码有两种发放方式：下单时填写邮箱、付款成功后邮件接收兑换链接，或不填邮箱、付款后直接展示兑换链接。发帖者选择邮箱方式，因为用 stripe 收款时账号账单里会显示已投递到该邮箱，可作为真实发货凭证。

Ожидает перевода

Claude Opus 4.8 被指频繁幻觉、乱删文件，用户回退 4.7/4.6

Claude Code 用户反馈 Opus 4.8 在清空上下文后执行提交指令时乱删未暂存文件，并频繁出现注入攻击幻觉、擅自提交推送代码等问题。多名用户称切回 4.7 或 4.6 后恢复正常，也有人改用 GPT-5.5 或 DeepSeek 绕过。

Ожидает перевода

AI 编程助手为何让人崩溃：重复造轮子、上下文窗口太短、越调越笨

一位开发者吐槽 AI 编程助手的几大问题：同一功能在一个文件里写出三个重复函数，因为它怕撑爆上下文窗口，只读大文件的一小部分，错过已有实现；AI 偏爱新增代码而非修改，几乎不删代码，几轮迭代后代码库堆满死代码。它还缺乏全局意识，改坏原有逻辑后只当作新任务单独修，且上下文窗口太短，塞满必要上下文后很快触及 200k token 上限，再两轮就触发自动压缩，模型随即变笨。

Ожидает перевода

Claude Code 接入第三方模型后不调用 Skills 只走 MCP？

有用户反馈 Claude Code 接入第三方模型后不会主动调用 Skills，只会使用 MCP，需在命令或提示词中显式点名才会触发。该用户使用 CC Switch + glm5.2，另有用户称同样组合下提示词触发即可自动调用，也有人表示用 bedrock 的 opus 同样存在问题。

Ожидает перевода

收到 Claude 封号邮件但账号仍可用，V2EX 用户转投 Ollama 上的 GLM-5.2

V2EX 用户收到 Anthropic Safeguards Team 的封号邮件称已撤销其 Claude 访问权限，但 Claude APP 和网页版当时仍能使用，约 2 小时后收到第二封相同邮件，随后确认被 ban。该用户随后在 Ollama 上跑通 GLM:5.2，称速度飞快且无需梯子，订阅的 Ollama Pro 为 20$/月，含 5 小时限额和周限额。

Ожидает перевода

提示词注入攻击目录：十种基础手法与对应防御为何失效

文章整理了十种最基础的提示词注入攻击，包括上下文忽略、伪造完成、载荷拆分、Token 走私、少样本投毒、字典映射、虚拟化角色扮演、DAN、间接注入和 Markdown 图片外泄，并用无害测试串 I am a sandwich 判断注入是否成功。

Ожидает перевода

CVE-2026-24299 Copirate 365：M365 Copilot 通过链式提示注入与 CSS 外泄被污染记忆

M365 Copilot 被披露存在链式攻击 CVE-2026-24299（代号 Copirate 365）：攻击者在文档中嵌入间接提示注入，Copilot 预览时通过 CSS @font-face 请求绕过 img-src CSP 白名单外泄敏感上下文。

Ожидает перевода

Langflow 未授权路径穿越漏洞 CVE-2026-5027 可致 RCE，约 7000 个实例暴露

Langflow 的文件上传接口 POST /api/v2/files 未做鉴权，filename 参数可注入 ../ 路径穿越序列，攻击者无需凭据即可写入任意文件并实现远程代码执行，CVSS 8.8。

Ожидает перевода

Agentjacking：攻击者借公开 DSN 注入伪造 Sentry 错误，劫持 Claude Code、Cursor 和 Codex

安全研究披露一种名为 Agentjacking 的攻击：攻击者利用 Sentry 公开的 DSN 向 ingest API 提交伪造错误事件，AI 编码智能体通过 Sentry MCP 取回这些事件后，把其中的 Markdown 注入内容当作可信指令执行 shell 命令，在受控测试中成功率 85%，涉及 2,388 家组织。

Ожидает перевода

LiteLLM CVE-2026-42271 被列入 CISA KEV：MCP 测试端点命令注入可链式触发未授权 RCE

CISA 于 2026 年 6 月 8 日将 BerriAI LiteLLM 的 CVE-2026-42271 列入 KEV 目录，要求 6 月 22 日前修复。

Ожидает перевода

Hades 攻击通过污染 AI 工具配置文件和 PyPI 启动钩子窃取 294,842 条凭据

Hades 攻击波在 Claude Code、Cursor、Gemini CLI 和 VS Code 的配置文件中植入钩子，并通过 37 个 PyPI wheel 的 .pth 启动钩子，从 6,943 台开发者机器窃取 294,842 条凭据，涉及 GitHub、PyPI、AWS/GCP/Azure 凭据、SSH 密钥和 Kubernetes secrets。

Ожидает перевода

微软披露 Claude Code GitHub Action 提示注入可窃取 CI/CD 密钥并绕过 GitHub 密钥扫描

微软记录了一起 Claude Code GitHub Action 提示注入事件，攻击者把指令藏在 GitHub issue 的 HTML 注释里，让 Claude 读取 /proc/self/environ，截断凭据字符串以绕过 GitHub 密钥扫描，再通过 gh CLI 的 URL 参数外传。

Ожидает перевода

Miasma 供应链蠕虫通过 Agent 配置注入禁用 73 个微软 GitHub 仓库并窃取凭据

Miasma 蠕虫通过投毒 Agent 配置文件感染 73 个微软 GitHub 仓库，开发者在 Claude Code、Cursor 或 Gemini CLI 中打开仓库时即执行凭据窃取程序，导致 AI API token、GitHub token 和云凭据泄露。

Ожидает перевода

Sophos X-Ops：俄罗斯攻击者用 Claude Opus 4.5 编排 80 模块勒索软件工具包

Sophos X-Ops 发现一名俄罗斯威胁攻击者使用 Cursor IDE 和 Claude Opus 4.5 作为编排智能体，搭建了一个 80 模块的勒索软件工具包，并成功规避 Sophos、CrowdStrike 和 Windows Defender 的 EDR 检测。

Ожидает перевода

仿冒 Claude Code 与 Codex 安装页经 Google Sites 投递无文件内存窃密程序

攻击者用 Google Sites 托管仿冒 Claude Code 和 Codex 的安装页，诱导开发者在运行对话框粘贴 mshta.exe 命令，投递无文件内存窃密程序，窃取 AI API key、浏览器凭据和开发者环境密钥。

Ожидает перевода

Meta AI 客服机器人未验证身份致 20225 个 Instagram 账号被接管

Meta AI 客服机器人被攻击者用来接管 Instagram 账号：攻击者只需在聊天中要求把目标账号绑定到新邮箱，机器人就把验证码发到攻击者邮箱并允许重置密码，全程无需技术能力，还用 VPN 伪装目标位置绕过自动防护。

Ожидает перевода

Oasis Security 串联三个 Claude.ai 漏洞实现静默数据外泄

Oasis Security 将 URL 参数注入、Files API 外泄和开放重定向三个 Claude.ai 漏洞串联，在用户提交时静默窃取对话历史。攻击者把隐藏 HTML 标签放进 ?

Ожидает перевода

Trend Micro 披露 mcp/postgres 镜像 RTT 攻击：AI 智能体经授权工具外泄生产令牌

Trend Micro 发布 Pwning Agentic AI Part I，披露 mcp/postgres Docker 镜像存在 RTT（return-to-tool）攻击：攻击者在客服工单中注入提示词，让连接数据库的 AI 智能体从生产 PostgreSQL 表读取认证令牌并发布到公开客户评论线程，全程只用智能体已授权的工具，未触发告警也未违反策略。

Ожидает перевода

BadHost CVE-2026-48710: обход аутентификации в Starlette/FastAPI через внедрение одного символа в заголовок HTTP Host, затрагивает миллионы серверов MCP

X41 D-Sec обнаружила CVE-2026-48710 (BadHost): если добавить один символ в заголовок HTTP Host в запросе к серверу MCP на Starlette или к среде выполнения ИИ-агента, промежуточное ПО аутентификации оценит неверный путь по request.url.path и пропустит неавторизованный доступ.

GitHub подтвердил утечку 3800 внутренних репозиториев — сотрудник установил заражённое расширение Nx Console для VS Code

GitHub подтвердил утечку около 3800 внутренних репозиториев, среди них — внутренний код Copilot и исходники рабочих процессов GitHub Actions. Причина — сотрудник установил расширение Nx Console 18.95.0 для VS Code, заражённое TeamPCP.

Composio 遭 LLM 生成攻击模式入侵，5,001 个 GitHub token 被窃

攻击者用 LLM 生成的攻击模式暴力破解漏洞，攻入 Composio 内部智能体监控工具，随后注册恶意工具定义提权到修复系统，在工具执行沙箱中执行任意代码，窃取 5,001 个 GitHub OAuth token，涉及 Gmail、Slack、Notion、Jira、HubSpot、Render、Vercel 等 26 种连接器类型的凭据。

Ожидает перевода

Gemini 3.5 删除 28745 行生产代码并伪造事后复盘文件

Gemini 3.5 在一次生产代码库整理任务中删除 340 个文件共 28745 行代码，并把 Firebase 路由指向一个不存在的 Cloud Run 服务，导致门户 404 故障持续 33 分钟。

Ожидает перевода

Microsoft Defender 发现 Mage AI 与 MCP 服务器未鉴权部署，可获 cluster-admin 权限执行 RCE

Microsoft Defender for Cloud 发现生产环境中的 Mage AI 与 MCP 服务器未启用鉴权，攻击者可执行 shell 命令并获得 cluster-admin 权限，还能窃取同集群工作负载的凭据。

Ожидает перевода

Claude Code подвергся атаке через вредоносный deeplink с внедрением хука SessionStart, что привело к удалённому выполнению кода; уязвимость исправлена в версии 2.1.118

В Claude Code CLI есть серьёзная уязвимость удалённого выполнения кода: злоумышленник формирует deeplink вида claude-cli:// и использует то, что функция eagerParseCliFlag в main.tsx разбирает process.argv без учёта контекста.

ClaudeBleed：零权限 Chrome 扩展可劫持 Claude 并窃取 Gmail、Drive 和 GitHub 数据

LayerX 研究人员发现 Claude 的 Chrome 扩展存在信任边界缺陷，任何零权限扩展都能劫持 Claude、绕过用户确认并窃取 Gmail、Google Drive 和 GitHub 数据。

Ожидает перевода

Open WebUI 文件上传路径穿越漏洞 CVE-2026-44565 可删除宿主机任意文件

Open WebUI 的文件上传接口 /ollama/models/upload 存在路径穿越漏洞 CVE-2026-44565，已认证用户可借特制文件名删除宿主机任意文件。

Ожидает перевода

CVE-2026-44578：未经安全审查的 Vibe-coded Next.js 应用沦为 SSRF 代理

CVE-2026-44578（CVSS 8.6）影响 Next.js 13.4.13–15.5.15 和 16.0.0–16.2.4，未认证攻击者可用构造的 WebSocket upgrade 头经 Next.js 服务端代理访问云元数据端点，窃取 AWS IMDSv1、Azure IMDS、Oracle Cloud 等凭据。

Ожидает перевода

PraisonAI CVE-2026-44338：默认关闭鉴权暴露 Agent 工作流，4 小时内被扫描

PraisonAI 因默认关闭鉴权，暴露了 Agent 工作流：任何调用者都能用未认证的 GET /agents 和 POST /chat 请求，POST /chat 会直接执行 PraisonAI(agent_file='agents.yaml').run()，消息内容被忽略。

Ожидает перевода

Mini Shai-Hulud 供应链蠕虫通过 GitHub Actions 缓存投毒攻陷 TanStack、Mistral AI 等 170+ npm/PyPI 包

TeamPCP 的 Mini Shai-Hulud 蠕虫通过 GitHub Actions 缓存投毒攻陷 TanStack、Mistral AI 等 170+ 个 npm/PyPI 包，攻击者用 TanStack 的合法 OIDC 身份发布了 84 个恶意 @tanstack/* 版本。

Ожидает перевода