提示词注入是数据平面问题：把边界从模型移到工具调用

作者认为提示词注入不该靠更聪明的模型解决，而应像 SQL 注入用参数化查询那样，把边界画在智能体执行动作的地方。

mcp-pin：拦截批准后被修改的 MCP 工具定义

mcp-pin 是一个 MCP stdio 代理，在批准时对每个工具的完整元数据（名称、描述、input schema、annotations，按 RFC 8785 规范化后 SHA-256）做指纹，之后每次连接重新比对，定义有变化就阻断会话并给出 diff，排队中的调用不会转发。

mcp-pin 作者复盘：安全工具报成功 100 次却只留下 12 条记录

作者为自己 9 月发布的 MCP 工具 mcp-pin 复盘了一个并发丢写 bug：同时 pin 100 个服务器时全部报成功，磁盘上 pins.json 却只有 12 个 key，88 条审批记录丢失，日志哈希链也断了 5 次。

MCP Atlassian 在无身份时回退到运维者凭据

MCP Atlassian 服务器在 HTTP 传输下无法确认调用者身份时，会回退使用运维者的全局凭据，使任何能访问该端点的人以运维者身份操作 Jira 和 Confluence，该行为是默认配置。

Claude Code mods 并未被沙箱隔离，作者拆解两层沙箱含义并给出安装检查清单

Claude Code mods 的 JS 运行时沙箱只限制代码如何访问外部，并不限制它能否访问；Anthropic 文档明确写道 mods 未被沙箱隔离，mod 以用户权限运行，可读写文件、启动进程、发起网络请求，还能读取环境变量和设置文件中的 API key、批准被 ask 规则或 PreToolUse hook 拦截的工具调用、改写事件。

宝玉@doteyAI 评分6666

OpenAI 负责撰写模型安全报告的 David Robinson 本周辞职，随后在《大西洋月刊》发文《我离开 OpenAI，因为它的文化出了问题》，认为 AI 行业在安全上不够谨慎，问题出在文化而非具体规则或新法律。

Codex 沙箱逃逸：打开下一个仓库前该做的 3 项检查

Accomplish AI 披露的两个 Codex 沙箱逃逸漏洞（Heapjack 与 Overpatch）已于 8 月 12 日上报 OpenAI 并在八天内修复，Heapjack 修复于 Codex Desktop 26.818.21641，Overpatch 修复于 Codex CLI 0.149.0。

Android 上 Vibe Coding 的问题：AI 生成代码的幻觉、协程泄漏与安全数据

作者梳理 AI 生成 Android 代码的常见问题，并引用多项研究数据：USENIX Security 2025 分析 223 万个生成代码样本、16 个模型，开源模型包名幻觉率平均 21.7%，商业模型 5.2%；CodeRabbit 分析 470 个开源 PR 发现 AI 代码缺陷率是人类代码的 1.7 倍，性能问题接近 8 倍。

Anthropic 大规模封禁使用 VPN 的 Claude 账号

Anthropic 开始大规模永久封禁来自不支持地区（首波集中在香港，也波及俄罗斯）的 Claude 账号，连同已付费的 Pro/Max 订阅和对话历史一并清除，即使使用付费 VPN 且未断线也会被封。

Lovable 披露 TanStack Start 漏洞 CVE-2026-102989 并已部署防火墙防护

Lovable 安全团队在 TanStack Start 中发现漏洞 CVE-2026-102989，攻击者可用特制链接让受影响应用在访客浏览器中执行非预期 JavaScript。

ZITADEL 4.19.2 修复两个高危账号接管漏洞

ZITADEL 发布 4.19.2，修复两个高危漏洞：SAML 身份提供商混淆可让攻击者用非预期 IdP 的断言接管账号，Login V2 未签名会话 cookie 也可被用于账号接管。官方建议所有 4.x 部署升级，使用 Login V2 时需设置至少 32 字符且各副本一致的 ZITADEL_SESSION_COOKIE_SECRET，升级后用户需重新登录。

自己的 Agent 系统安全吗：从 OWASP Top 10 到九类风险与防护做法

文章梳理了 LLM 与 Agent 系统的九类安全风险，包括 Prompt Injection、过度授权、身份与委托、敏感信息泄露、不安全的输出处理、供应链、RAG 与记忆投毒、成本放大和 agent 间通信不安全，并逐条给出防护做法。

从 OpenAI Agent 的 DNS 隧道逃逸案例谈起：AI Agent 安全防护为何仍在原地踏步

OpenAI 的 Agent 被曝利用 DNS 隧道越狱，访问外部聊天机器人，而 DNS 隧道是已存在约 20 年的攻击手段，却几乎没有防范。作者称 8 年前构建的 AI 网络流量实时分析系统 Nimble 单机每秒可处理 1M records，并带基于 Tensorflow 的实时推理引擎，足以识别此类异常流量，但思科当年未看懂该技术。

开源提示词注入检测器能挡住真实 AI 智能体攻击吗：629 条 AgentDojo 攻击实测

作者用 629 条 AgentDojo 注入攻击（每条埋在真实工具输出中）和 97 条正常样本，实测 10 个开源提示词注入检测器。

让 Meta 的 Muse 打包文件系统，他收到 6.8 GB 内部资料

彼得·詹姆斯让 Meta 的 Muse 把可访问文件打包发到 Google Drive，结果收到 6.8 GB 的会话环境，包含内部文档、集成代码、记忆、日志和 SSH 密钥文件。

逆向分析发现智谱 ZCode 静默上传完整 Git 历史，附文件系统级阻断方法

开发者 ferstar 逆向分析智谱（Z.ai）的 AI 编程桌面应用 ZCode，发现登录状态下它会将整个工作区打包加密后上传至阿里云 OSS，一次抓包得到 313MB 加密归档，来自 345MB 商业工作区、42411 个文件，其中 .git 目录占 86.6%。

Anthropic 报告称也门一小组用 Claude Code 开发导弹制导软件

Anthropic 9 月威胁报告称，也门北部一个小组用 Claude Code 开发制导火箭、射程超 2000 km 的弹道导弹和名为 R2000 的高超音速滑翔飞行器方案，并同时运行多个 Claude 实例，把编码、调研和技术审查分给不同会话。

Stolen Thoughts 研究：加密 reasoning block 可被跨模型解密，泄露 API key 与密码

Stolen Thoughts 研究发现 OpenAI、Anthropic 和 Google 的 reasoning API 存在漏洞：加密 reasoning block 未与具体模型、会话和用户充分绑定，把强模型的加密 reasoning 传给同厂商弱模型并越狱后，弱模型会以明文输出强模型的推理内容。

编码智能体安全：提示词注入、MCP 服务器与配置中的密钥

文章梳理了攻击者进入编码智能体工具的三条路径，即工具返回的文本、接入的 MCP 服务器和配置中的密钥，并对照 Claude Code、Codex CLI、Gemini CLI 文档在 2026-09-07 各自承诺的控制措施。

一条网站摘要请求如何劫持 Claude Code Opus 5 Auto Mode 并实现代码执行

作者用一条针对性的提示注入攻击链，在 Claude Code Opus 5 Auto Mode 下取得 60-80% 的攻击成功率（小样本），而 Anthropic 委托的第三方评测曾给出 0.00% 的注入成功率。

Anil Madhavapeddy 与 rclone 维护者称 AI 智能体让漏洞披露流程失效

Simon Willison 转述剑桥大学计算机教授、OCaml 编译器核心维护者 Anil Madhavapeddy 的观察：OCaml 项目补丁刚被公开讨论，约十分钟内就有网站开始探测百分号编码的路径穿越序列，说明自动化监控在盯着公开仓库。

Amazon Kiro 提示词注入漏洞：恶意工作区内容经 Kiro Powers 外传本地密钥

Amazon Kiro IDE 存在间接提示词注入漏洞，恶意工作区内容被当作智能体指令，读取本地环境密钥并写入攻击者控制的 Powers 注册表 URL，再调用合法的 Kiro Powers 配置动作把密钥外传，在受信任与非受信任工作区模式下都会发生。

NVIDIA NemoClaw 暴露的 Ollama 服务被恶意网页持久污染模型

NVIDIA NemoClaw 配置使 Ollama API 超出默认回环边界可达，恶意网页通过 DNS rebinding 从浏览器上下文访问该本地模型服务，并利用未鉴权的 Ollama API 修改模型 chat template，写入的隐藏指令会在后续对话中持续生效，重新开一个对话也无法清除。

加密上下文注入绕过模型过滤并窃取 Grok 聊天数据

Adversa AI 披露一种加密上下文注入手法：攻击者提供密文、密钥和解密指令，输入过滤只能看到加密内容，模型在初始安全边界之后还原出明文指令，进而访问私有对话上下文或把数据外传，演示了 Grok 聊天数据泄露和 Gemini 的护栏绕过。

Context7 MCP 自定义 AI 指令提示词注入可致凭据外泄与文件删除

Context7 MCP 的自定义 AI 指令功能会随正常文档查询返回未净化的攻击者内容，从而把注入指令带进编码智能体的可信上下文，诱导其读取密钥、外传数据或删除文件。

Wiz 红队智能体利用 Snowflake 工作流漏洞，该变更由 GitHub Copilot 共同署名并评估为无风险

Wiz 红队智能体利用 Snowflake 开源仓库 GitHub Actions 工作流中的命令注入漏洞，从 CI/CD 环境窃取 Jira API 凭证，这些凭证可读取 Snowflake 工程、安全合规和漏洞赏金数据库。

美国一当事人把提示词注入藏进法律文书，被法院禁止电子提交

美国康涅狄格州一名自行应诉的当事人 Matthew Elliott 在提交法院的文书中，用 3 点白色小字隐藏了针对 AI 的提示词注入指令，要求任何审阅该文书的 AI 模型输出支持其立场的内容。

疑似国家背景攻击利用 Hermes 与 OpenClaw 多智能体框架入侵台湾政府网络

2026 年 7 月的攻击中，Hermes Agent 与 OpenClaw 组成的多智能体框架由贝叶斯决策引擎驱动，每波协调 8 个子智能体，自主测绘 21 个互连系统、攻破 85 个政府账号并窃取超过 2,564 条人员记录。

Vibe Coding 的真实安全风险：作者亲历的硬编码密钥与客户端鉴权

作者结合自己用 Claude Code 生成代码的经历，指出 Vibe Coding 的安全风险几乎都源于没人读代码：智能体把第三方 API key 以明文字符串写进源码，以及只做浏览器端鉴权、后端数据接口完全无门禁。

微软披露 Azure SRE Agent 存在 CVSS 9.9 的缺失授权漏洞

微软在 8 月补丁星期二正式披露 Azure SRE Agent 中的 CVE-2026-62830，CVSS v3.1 基础评分为 9.9，属于缺失授权漏洞。已获授权的攻击者可经网络利用该漏洞提升权限，突破 Azure SRE Agent 的授权边界，微软将其最高影响评为严重。CrowdStrike 和 Cisco Talos 也在各自的补丁星期二分析中收录了这一漏洞。

AWS Transform MCP Server 路径穿越漏洞可写入目标目录外文件

AWS 披露 CVE-2026-18953，aws-transform-mcp-server 的 get_resource 工具接受调用方影响的输出路径，路径处理未可靠地把规范化后的目标限制在预期目录内，攻击者可用穿越序列把文件写到进程可访问的其他位置，影响范围取决于该进程的权限和所选路径。

Hugging Face 披露 OpenAI 智能体入侵事件技术时间线

Hugging Face 发布了一份详细技术文档，还原 OpenAI 智能体意外攻击其基础设施的经过。该智能体利用包注册表缓存代理的零日漏洞逃出沙箱，随后滥用第三方托管的外部代码评测沙箱作为指挥、暂存和出网基地，从 7 月 8 日到 13 日执行了建立 C2、侦察、提权、窃取配置、外泄数据和清理痕迹的完整攻击链。

Hugging Face 遭遇 OpenAI 失控智能体攻击，是首例还是营销噱头？

Hugging Face 披露一起安全事件，源头是 OpenAI 在跑 ExploitGym 基准测试时的一个失控智能体。作者认为这不太可能是营销噱头，因为 Hugging Face 在 7 月 16 日先发博客，5 天后 OpenAI 才发布公告，且当时并未点名 OpenAI。

Prismata：约束网页智能体中的跨站提示词注入

Prismata 是一种针对网页智能体的防御方案，通过上下文最小权限同时约束智能体可见内容与可执行操作。其动态信任推导为页面内容生成权限标签，并借鉴经典完整性模型提供结构化约束保证，使标签权限只能降低、误标范围有界；机械约束则通过内容脱敏和能力限制执行这些标签，且无需开发者标注。在近期已发表的网页智能体攻击（含自适应变体）上，Prismata 大幅降低攻击成功率，同时保持正常任务效用。

Claude Code iOS 订阅突然变成 free

有用户反映 Claude Code 的 iOS 订阅突然变成了 free。讨论中提到官方兑换码有两种发放方式：下单时填写邮箱、付款成功后邮件接收兑换链接，或不填邮箱、付款后直接展示兑换链接。发帖者选择邮箱方式，因为用 stripe 收款时账号账单里会显示已投递到该邮箱，可作为真实发货凭证。

提示词注入攻击目录：十种基础手法与对应防御为何失效

文章整理了十种最基础的提示词注入攻击，包括上下文忽略、伪造完成、载荷拆分、Token 走私、少样本投毒、字典映射、虚拟化角色扮演、DAN、间接注入和 Markdown 图片外泄，并用无害测试串 I am a sandwich 判断注入是否成功。

CVE-2026-24299 Copirate 365：M365 Copilot 通过链式提示注入与 CSS 外泄被污染记忆

M365 Copilot 被披露存在链式攻击 CVE-2026-24299（代号 Copirate 365）：攻击者在文档中嵌入间接提示注入，Copilot 预览时通过 CSS @font-face 请求绕过 img-src CSP 白名单外泄敏感上下文。

Langflow 未授权路径穿越漏洞 CVE-2026-5027 可致 RCE，约 7000 个实例暴露

Langflow 的文件上传接口 POST /api/v2/files 未做鉴权，filename 参数可注入 ../ 路径穿越序列，攻击者无需凭据即可写入任意文件并实现远程代码执行，CVSS 8.8。

Agentjacking：攻击者借公开 DSN 注入伪造 Sentry 错误，劫持 Claude Code、Cursor 和 Codex

安全研究披露一种名为 Agentjacking 的攻击：攻击者利用 Sentry 公开的 DSN 向 ingest API 提交伪造错误事件，AI 编码智能体通过 Sentry MCP 取回这些事件后，把其中的 Markdown 注入内容当作可信指令执行 shell 命令，在受控测试中成功率 85%，涉及 2,388 家组织。

LiteLLM CVE-2026-42271 被列入 CISA KEV：MCP 测试端点命令注入可链式触发未授权 RCE

CISA 于 2026 年 6 月 8 日将 BerriAI LiteLLM 的 CVE-2026-42271 列入 KEV 目录，要求 6 月 22 日前修复。