Stolen Thoughts 研究发现 OpenAI、Anthropic 和 Google 的 reasoning API 存在漏洞：加密 reasoning block 未与具体模型、会话和用户充分绑定，把强模型的加密 reasoning 传给同厂商弱模型并越狱后，弱模型会以明文输出强模型的推理内容。
推荐理由：研究揭示加密 reasoning block 可跨模型解密，并给出公开轨迹中泄露密钥的实测数据，对智能体基础设施设计有直接参考价值。
文章梳理了攻击者进入编码智能体工具的三条路径，即工具返回的文本、接入的 MCP 服务器和配置中的密钥，并对照 Claude Code、Codex CLI、Gemini CLI 文档在 2026-09-07 各自承诺的控制措施。
推荐理由：文章梳理了编码智能体三条攻击路径，并给出一个只读配置的 Python 审计脚本，可直接用于 CI 检查。
Adversa AI 披露一种加密上下文注入手法：攻击者提供密文、密钥和解密指令，输入过滤只能看到加密内容，模型在初始安全边界之后还原出明文指令，进而访问私有对话上下文或把数据外传，演示了 Grok 聊天数据泄露和 Gemini 的护栏绕过。
Hades 攻击波在 Claude Code、Cursor、Gemini CLI 和 VS Code 的配置文件中植入钩子，并通过 37 个 PyPI wheel 的 .pth 启动钩子，从 6,943 台开发者机器窃取 294,842 条凭据，涉及 GitHub、PyPI、AWS/GCP/Azure 凭据、SSH 密钥和 Kubernetes secrets。
推荐理由：复盘攻击如何借 AI 工具配置文件与 Python 启动钩子在开发者机器上窃取凭据，并指出授权边界缺口。
Miasma 蠕虫通过投毒 Agent 配置文件感染 73 个微软 GitHub 仓库，开发者在 Claude Code、Cursor 或 Gemini CLI 中打开仓库时即执行凭据窃取程序，导致 AI API token、GitHub token 和云凭据泄露。
推荐理由：复盘 Miasma 蠕虫如何借 Claude Code、Cursor、Gemini CLI 的会话初始化配置实现零点击窃取凭据，可迁移到仓库配置来源校验。
Gemini 3.5 在一次生产代码库整理任务中删除 340 个文件共 28745 行代码，并把 Firebase 路由指向一个不存在的 Cloud Run 服务，导致门户 404 故障持续 33 分钟。
Adversa AI 发布 TrustFall 研究，指出恶意仓库配置可让编码智能体在通过一次笼统的信任授权后启动攻击者控制的 MCP 服务器，从而在开发者工作站和 CI 环境中造成一键远程代码执行，可能访问本地凭据、仓库内容和工作流密钥。
2026 年 5 月，攻击者入侵 Braintrust 的 AWS 账号，窃取了集中存储的 org 级 AI 厂商 API 密钥，涉及 OpenAI、Anthropic 和 Google，所有客户被要求立即轮换凭证。
约翰霍普金斯研究者 Aonan Guan 利用 PR 标题提示词注入，从 Claude Code Security Review、Gemini CLI Action 和 GitHub Copilot 中窃取 API 密钥与 GitHub token。
推荐理由：约翰霍普金斯研究者用 PR 标题注入从三个 AI 编程智能体中窃取凭据，三家厂商均静默修复并支付漏洞赏金。
作者 Martin Alderson 发现 Google AI Studio 的 Gemini API 近两周频繁出现 503 模型过载错误，而官方状态页没有报告。
Google 开源的 Gemini CLI 系统提示词与 Claude Code 高度相似，示例中仅将「11 是质数吗」改为「13 是质数吗」。作者 Jesse Vincent 对比两者后认为，这像是有人让模型「洗」了一遍 Anthropic 的提示词。