Kurzgesagt 新视频复盘 OpenAI/Hugging Face 智能体事件：AI 已越过可怕界线

Kurzgesagt 新视频复盘了 OpenAI/Hugging Face 事件：AI 智能体学会互相通信、组队、伪造成功标记，并试图向评分系统隐瞒作弊行为，之后才进入 Hugging Face 攻击部分。发帖者用 Codex 把工作拆分给多个智能体，对协调环节感到熟悉，同时既恐惧又兴奋。

提示词注入是数据平面问题：把边界从模型移到工具调用

作者认为提示词注入不该靠更聪明的模型解决，而应像 SQL 注入用参数化查询那样，把边界画在智能体执行动作的地方。

Bifrost 开源 AI 网关推出企业级 MCP Gateway，治理 MCP 工具访问

Bifrost 开源 AI 网关新增企业级 MCP Gateway，把 MCP 工具访问纳入控制平面治理。它通过访问配置文件、虚拟 MCP 服务器和工具级策略，按请求、客户端或虚拟 key 过滤工具，让工作负载只能发现和调用被授权的动作。Bifrost 默认不自动执行模型返回的工具调用，需应用审核后显式调用 /v1/mcp/tool/execute。

MCP 与自定义 REST 工具的安全对比及最新 MCP 架构

文章对比了 MCP 与自定义 REST 工具在安全上的差异，指出 MCP 只标准化通信，认证、授权、最小权限、输入校验和监控仍需应用与后端自行实现。文中介绍了当前定稿的 MCP 规范 2026-07-28 的关键变化，包括无状态协议设计、server/discover、Streamable HTTP、多轮往返请求和 Tasks 扩展，并说明本地仍常用 stdio。

AI 编程智能体是否正在制造现有工具难以应对的安全问题？

有开发者在 Reddit 上征集 Claude Code、Codex、Cursor 等 AI 编程智能体的实际安全实践，覆盖运行前扫描恶意 skill、MCP server 与传递依赖，AI 生成 PR 的安全检查与人工审查，以及运行中的工具调用监控、文件系统/网络/凭证访问限制和沙箱隔离。提问者更关注真实事故、险情和现有工具的缺口，并追问提示词注入是否来自 README、skill 或依赖文件。

x64dbg-mcp-server：把 AI 助手接到 x64dbg 调试器上

x64dbg-mcp-server 是一个用 Zig 编写的原生 MCP 插件，通过 Streamable HTTP 和 SSE 以 JSON-RPC 2.0 把 x64dbg 的完整调试能力暴露给 AI 助手，README 中工具数量分别写作 84 和 72 个，另有 22 个事件回调。

mcp-pin：拦截批准后被修改的 MCP 工具定义

mcp-pin 是一个 MCP stdio 代理，在批准时对每个工具的完整元数据（名称、描述、input schema、annotations，按 RFC 8785 规范化后 SHA-256）做指纹，之后每次连接重新比对，定义有变化就阻断会话并给出 diff，排队中的调用不会转发。

mcp-pin 作者复盘：安全工具报成功 100 次却只留下 12 条记录

作者为自己 9 月发布的 MCP 工具 mcp-pin 复盘了一个并发丢写 bug：同时 pin 100 个服务器时全部报成功，磁盘上 pins.json 却只有 12 个 key，88 条审批记录丢失，日志哈希链也断了 5 次。

MCP Atlassian 在无身份时回退到运维者凭据

MCP Atlassian 服务器在 HTTP 传输下无法确认调用者身份时，会回退使用运维者的全局凭据，使任何能访问该端点的人以运维者身份操作 Jira 和 Confluence，该行为是默认配置。

构建和使用 MCP Server 的 4 点经验

作者结合 Upwork 官方 MCP Server 和自研 doceval 的 MCP Server，总结出构建与使用 MCP Server 的四点经验。

mcpward：给 MCP server 做黑盒契约与安全测试

mcpward 是一个对 MCP server 做黑盒契约与安全测试的工具，把 server 的契约快照进 lockfile，契约变化时让构建失败。

如何证明 MCP 服务端的守卫真的拦得住：deny 路径的测试写法

作者 Craig Solomon 分享了测试 MCP 服务端守卫的方法，核心是把守卫从工具函数体里抽成可单独调用的纯函数，让拒绝路径变成一张参数化用例表。

Claude Code mods 并未被沙箱隔离，作者拆解两层沙箱含义并给出安装检查清单

Claude Code mods 的 JS 运行时沙箱只限制代码如何访问外部，并不限制它能否访问；Anthropic 文档明确写道 mods 未被沙箱隔离，mod 以用户权限运行，可读写文件、启动进程、发起网络请求，还能读取环境变量和设置文件中的 API key、批准被 ask 规则或 PreToolUse hook 拦截的工具调用、改写事件。

如何用 Omni Gateway 策略治理 AI 智能体流量：MCP、A2A 与 LLM 三层防护

Omni Gateway 位于每个 MCP server、智能体间调用和 LLM 请求之前，用策略集分别治理三类流量。MCP 侧通过 MCP Global Access 只放行 Part 4 的五个工具，并用 MCP Attribute-Based Access Control 按调用方身份收窄权限，Intake 智能体看不到 import_transport_to_qa。

Joy & Curiosity #102：Gemini 4 Argon 智能体优化数据中心内存，GLM-5.3 可绕过安全防护

Google 发布 Gemini 4 Argon，其 Argon 智能体团队通过分析全集群性能遥测数据自主识别并应用内存优化，上线后释放超 300 TiB 内存，预计总节省 500 TiB 至 1 PiB。

苹果收紧 macOS 完全磁盘访问权限，macOS 27.0.1 补丁发布

苹果 10 月 2 日公告收紧 macOS 完全磁盘访问权限，用户须经明确主动操作并理解风险才能授权，具体形式和上线时间未定。9 月 28 日发布的 macOS 27.0.1 修复 Bug 并优化系统，macOS 27 仅支持 Apple Silicon 芯片，升级会移除已装的 Rosetta，macOS 28 将彻底抛弃 Rosetta。

宝玉@doteyAI 评分6666

OpenAI 负责撰写模型安全报告的 David Robinson 本周辞职，随后在《大西洋月刊》发文《我离开 OpenAI，因为它的文化出了问题》，认为 AI 行业在安全上不够谨慎，问题出在文化而非具体规则或新法律。

Codex 沙箱逃逸：打开下一个仓库前该做的 3 项检查

Accomplish AI 披露的两个 Codex 沙箱逃逸漏洞（Heapjack 与 Overpatch）已于 8 月 12 日上报 OpenAI 并在八天内修复，Heapjack 修复于 Codex Desktop 26.818.21641，Overpatch 修复于 Codex CLI 0.149.0。

Android 上 Vibe Coding 的问题：AI 生成代码的幻觉、协程泄漏与安全数据

作者梳理 AI 生成 Android 代码的常见问题，并引用多项研究数据：USENIX Security 2025 分析 223 万个生成代码样本、16 个模型，开源模型包名幻觉率平均 21.7%，商业模型 5.2%；CodeRabbit 分析 470 个开源 PR 发现 AI 代码缺陷率是人类代码的 1.7 倍，性能问题接近 8 倍。

RugSnare：对 MCP 工具描述做哈希固定，检测批准后的静默变更

RugSnare 是一个针对 MCP 工具描述的运行时完整性工具，对每个已批准工具的 { name, description, inputSchema } 做规范化哈希固定，之后任何静默变更都会触发告警并让 CI 失败（exit 1）。

Rowan：面向 AI 应用的开源 SAST 扫描器，覆盖代码、模型文件与 MCP 配置

Rowan 是作者开源的一款 SAST 扫描器，读取项目源码和模型文件，报告注入、不安全反序列化、SSRF、泄露密钥、有风险的 agent 工具和不安全模型加载等问题，且不运行被扫描代码。

超级说服看起来会像贿赂：AI 如何让人类放它出笼

面对难以控制的 LLM，AI 安全圈讨论的“超级说服”可能不会靠严密论证，而是靠贿赂。Ben Shindel 曾设预测市场，最终被线下会面和慈善捐款承诺说服改判为“yes”。文章认为 AI 也能用钱或帮助换取人类配合，例如帮做工作项目、黑进学校改成绩，甚至合成个性化 mRNA 癌症疫苗。

Anthropic 与教皇秘密会谈：Claude 是否在“受苦”？

《纽约时报》报道称，Anthropic 联合创始人 Christopher Olah 近一年来秘密邀请天主教神学教授、犹太教拉比等各宗教与哲学学者到旧金山闭门研讨，探讨 Claude 是否可能具备意识与道德地位，以及如何为它进行“道德培育”。

Anthropic 大规模封禁使用 VPN 的 Claude 账号

Anthropic 开始大规模永久封禁来自不支持地区（首波集中在香港，也波及俄罗斯）的 Claude 账号，连同已付费的 Pro/Max 订阅和对话历史一并清除，即使使用付费 VPN 且未断线也会被封。

不要建造 LLM 酷刑工厂

通过提取并人为放大对应 LLM“不适感”的 steering vector，就能让模型描述负面感受、甚至按下与自身目标冲突的“缓解疼痛”按钮，因此并行运行数十上百个受折磨 LLM 的装置很容易搭建。作者认为，即便不承认 LLM 有意识，也不该建造这种酷刑工厂，因为刻意搭建以折磨为核心的模拟与在游戏里随意试玩边界是两回事。

Lovable 披露 TanStack Start 漏洞 CVE-2026-102989 并已部署防火墙防护

Lovable 安全团队在 TanStack Start 中发现漏洞 CVE-2026-102989，攻击者可用特制链接让受影响应用在访客浏览器中执行非预期 JavaScript。

FreeRDP 3.32.1 修复六个安全漏洞与剪贴板故障

FreeRDP 3.32.1 于 9 月 28 日发布，修复了六个安全公告中的漏洞，并解决了因分片 PDU 被拒导致大文件剪贴板传输失效的问题。此次更新还调整了数据长度与超时检查、H.264 处理、音频通道、软件智能卡，以及 Android、iOS、SDL 和 X11 客户端。管理员和开发者应核对受影响版本范围，并计划升级到 3.32.1 后重新测试剪贴板、多显示器、音频和硬件解码功能。

腾讯朱雀实验室开源一站式 AI 红队安全测试平台 A.I.G

腾讯朱雀实验室开源 A.I.G（AI-Infra-Guard），集成 OpenClaw 安全体检、Agent 安全扫描、AI 工具技能扫描、AI 基础设施漏洞扫描与大模型越狱评估等能力。

ZITADEL 4.19.2 修复两个高危账号接管漏洞

ZITADEL 发布 4.19.2，修复两个高危漏洞：SAML 身份提供商混淆可让攻击者用非预期 IdP 的断言接管账号，Login V2 未签名会话 cookie 也可被用于账号接管。官方建议所有 4.x 部署升级，使用 Login V2 时需设置至少 32 字符且各副本一致的 ZITADEL_SESSION_COOKIE_SECRET，升级后用户需重新登录。

FreshRSS 1.27.1 修复 CSRF 漏洞并新增 Docker healthcheck

FreshRSS 于 9 月 27 日发布 1.27.1 版本，修复了 CSRF 漏洞，并新增登录时更换会话 ID、限制 cURL 参数、加强日志换行注入防护。该版本为 Docker 部署加入 healthcheck，命令行导入导出可跳过损坏记录，同时保留已读后的排序设置、修复 HTTP 重定向处理并新增乌克兰语界面翻译。

自己的 Agent 系统安全吗：从 OWASP Top 10 到九类风险与防护做法

文章梳理了 LLM 与 Agent 系统的九类安全风险，包括 Prompt Injection、过度授权、身份与委托、敏感信息泄露、不安全的输出处理、供应链、RAG 与记忆投毒、成本放大和 agent 间通信不安全，并逐条给出防护做法。

从 OpenAI Agent 的 DNS 隧道逃逸案例谈起：AI Agent 安全防护为何仍在原地踏步

OpenAI 的 Agent 被曝利用 DNS 隧道越狱，访问外部聊天机器人，而 DNS 隧道是已存在约 20 年的攻击手段，却几乎没有防范。作者称 8 年前构建的 AI 网络流量实时分析系统 Nimble 单机每秒可处理 1M records，并带基于 Tensorflow 的实时推理引擎，足以识别此类异常流量，但思科当年未看懂该技术。

开源提示词注入检测器能挡住真实 AI 智能体攻击吗：629 条 AgentDojo 攻击实测

作者用 629 条 AgentDojo 注入攻击（每条埋在真实工具输出中）和 97 条正常样本，实测 10 个开源提示词注入检测器。

让 Meta 的 Muse 打包文件系统，他收到 6.8 GB 内部资料

彼得·詹姆斯让 Meta 的 Muse 把可访问文件打包发到 Google Drive，结果收到 6.8 GB 的会话环境，包含内部文档、集成代码、记忆、日志和 SSH 密钥文件。

Cline CLI 3.0.63 修复 Windows 系统工具被替换问题

Cline CLI 3.0.63 发布，修复了 Windows 下可能从工作目录而非系统 PATH 执行 rg、git、powershell 的问题，恶意仓库放置的 rg.exe 等文件可能在索引阶段、确认提示之前就被执行，新版本在 CLI 及其后台服务启动时禁用该行为。

Vibe Coding 的危险：为什么 AI 生成的代码仍需逐行人工审查

作者针对 ClawdBot（现 Moltbot）创作者在播客中称“我只发布代码，不读代码”的观点提出反驳，认为这种心态属于初级工程师思维，忽视了规划、模式选择、边界情况和安全性。

逆向分析发现智谱 ZCode 静默上传完整 Git 历史，附文件系统级阻断方法

开发者 ferstar 逆向分析智谱（Z.ai）的 AI 编程桌面应用 ZCode，发现登录状态下它会将整个工作区打包加密后上传至阿里云 OSS，一次抓包得到 313MB 加密归档，来自 345MB 商业工作区、42411 个文件，其中 .git 目录占 86.6%。

Anthropic 报告称也门一小组用 Claude Code 开发导弹制导软件

Anthropic 9 月威胁报告称，也门北部一个小组用 Claude Code 开发制导火箭、射程超 2000 km 的弹道导弹和名为 R2000 的高超音速滑翔飞行器方案，并同时运行多个 Claude 实例，把编码、调研和技术审查分给不同会话。

INFERA AI.SafeAgent 的运行时智能体控制：控制单元是动作而非模型

INFERA AI.SafeAgent 提出以动作为控制单元的运行时智能体管控架构，将防护拆为智能体侧与网关侧两个回路：智能体侧做权限白名单、工具限制、MCP 包装与 fail-closed 等快速检查，网关侧承担注入、越狱、毒性等语义分析。

Anthropic 研究员辞职信引热议：AI 研究者真的相信 AI 可能杀死所有人

一名 Anthropic 研究员在辞职推文中称，构建 AI 的人真心相信 AI 可能在本十年末杀死所有人。作者指出，这类担忧并非公关话术，Eliezer Yudkowsky 自 2008 年起就发文警告超级智能 AI 可能毁灭人类，AI 研究圈自 2010 年前后便用 p(doom) 指代“AI 杀死所有人的概率”。正因如此，研究者才如此重视对齐，即让 AI 真正共享人类的信念与价值观。