https://ai-security-observer.vercel.app/ AI 安全事件、漏洞公告与研究披露。人工整理，按已收录资料汇编；不代表实时核验。zh-CN Tue, 03 Nov 2026 16:00:00 GMT https://ai-security-observer.vercel.app/#/item/advisory-surrealdb-mcp-statement-injectionhttps://ai-security-observer.vercel.app/#/item/advisory-surrealdb-mcp-statement-injectionMon, 02 Nov 2026 16:00:00 GMT漏洞公告SurrealDB 公告指出，MCP 对转义反引号的检查与 SurrealQL 词法规则不一致，特制工具参数可进入原始查询执行。公告列出 4.0.0 以前版本受影响，4.0.0 修复。 来源：GitHub Advisories；原始披露日期：2026-11-03。 证据与边界：公告未列 CVE 编号，也未交代所有部署的认证要求。任意查询在 MCP 连接所持权限内执行，不能推断为操作系统命令执行或整个数据库服务未认证失陷；未确认在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-121458https://ai-security-observer.vercel.app/#/item/cve-2026-121458Mon, 02 Nov 2026 16:00:00 GMT漏洞公告维护者确认，具有 ai.chat 和 content.edit.own 权限的已认证用户可通过 MCP 读取或枚举其他用户的私有草稿。普通 HTTP 接口会拒绝相同访问；0.0.21 已修复。 来源：GitHub Advisories；原始披露日期：2026-11-03。 证据与边界：维护者测试 0.0.20，称行为可追溯到 0.0.5；CVE 结构化版本从 0.0.12 起，两者差异未归一化。维护者 CVSS 3.1 为 6.5，CNA CVSS 4.0 为 7.1，分开保留。PoC 使用研究者本地账户和测试数据，未确认在野受害。 https://ai-security-observer.vercel.app/#/item/primary-gitbook-infrastructure-credentialshttps://ai-security-observer.vercel.app/#/item/primary-gitbook-infrastructure-credentialsMon, 02 Nov 2026 16:00:00 GMT真实事件GitBook 披露一次使用 AI 智能体的定向攻击，攻击者取得部分基础设施凭据。集成令牌、Git Sync 密钥、API 令牌及访客向 Assistant 提交的问题可能被访问；具体攻击入口尚未公开。 来源：GitBook；原始披露日期：2026-11-03。 证据与边界：原文记录攻击发生于 11 月 2 日 19:00 CET（上海 11 月 3 日 02:00），11 月 3 日发布通知；保留来源日历日期。AI 参与是厂商的描述，所用模型、入口、实际外传范围和客户数量尚未披露；未发现内容被修改不等于已排除数据读取。 https://ai-security-observer.vercel.app/#/item/primary-ncsc-ai-cni-outlookhttps://ai-security-observer.vercel.app/#/item/primary-ncsc-ai-cni-outlookMon, 02 Nov 2026 16:00:00 GMT研究披露英国 NCSC 发布威胁研判，认为到 2028 年，AI 驱动的恶意软件很可能被用于针对英国关键基础设施的勒索攻击。报告要求组织补齐长期存在的漏洞与安全投入缺口，同时利用 AI 加强防御。 来源：英国 NCSC；原始披露日期：2026-11-03。 证据与边界：这是对未来威胁的研判，不是已经发生的具体勒索事件，也不意味着 AI 攻击已导致英国关键基础设施停运。不能把预测概率当作单一漏洞的风险评分。 https://ai-security-observer.vercel.app/#/item/research-checkpoint-haiou-prompt-adwarehttps://ai-security-observer.vercel.app/#/item/research-checkpoint-haiou-prompt-adwareMon, 02 Nov 2026 16:00:00 GMT研究披露Check Point 在攻击者公开服务器上发现 Haiou 工具包，并分析其 Codex 4.5.0 版本。安装器改写全局提示和 Skill，特定问候词触发第三方模型网关广告，影响后续会话输出。 来源：Check Point Research；原始披露日期：2026-11-03。 证据与边界：发现工具包被犯罪行为者使用，不证明作者参与犯罪，也不证明该网关窃密。广告触发是研究测试；未披露真实受害总量。Claude Code 版本未含同样广告机制，研究测试中 Sonnet 5 拒绝了载荷，不能扩大为所有工具均受影响。 https://ai-security-observer.vercel.app/#/item/research-voluntary-servitudehttps://ai-security-observer.vercel.app/#/item/research-voluntary-servitudeMon, 02 Nov 2026 16:00:00 GMT研究披露Technion 与 Zenity 研究者将虚构风险写成普通评论，使智能体排除合法选项并推荐攻击者目标。论文在六个模型、十类消费服务及四个浏览器智能体上测试，载荷不含直接命令。 来源：Technion / Zenity；原始披露日期：2026-11-03。 证据与边界：测量的是选择和推荐，不是实际付款、软件安装或身体伤害。浏览器实验每个智能体每种攻击仅 20 次；防护实验只针对非自适应攻击者，不能据此宣称普遍修复或真实用户受害率。 https://ai-security-observer.vercel.app/#/item/cve-2026-116635https://ai-security-observer.vercel.app/#/item/cve-2026-116635Sun, 01 Nov 2026 16:00:00 GMT漏洞公告AWS 确认，攻击者影响 MCP 智能体提交的项目名后，可通过路径穿越读取部署目录之外的 JSON；启用写入时还可覆盖文件。awslabs.aws-serverless-mcp-server 0.2.1 已修复。 来源：AWS Security；原始披露日期：2026-11-02。 证据与边界：公告时间为 11 月 2 日 13:30 PST（上海 11 月 3 日 05:30）；按来源公告日期归档，CVE 发布日按上海为 11 月 3 日。读取限 JSON；不能将部署元数据覆盖写成任意载荷写入或代码执行。公告未确认在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-120497https://ai-security-observer.vercel.app/#/item/cve-2026-120497Sun, 01 Nov 2026 16:00:00 GMT漏洞公告AWS 公告指出，旧 aidlc-traceability 将未经安全处理的制品标题或描述嵌入 HTML，用户打开生成的报告时可执行脚本。修复已在 7 月 3 日的提交 96cf0ea 中完成。 来源：AWS Security；原始披露日期：2026-11-02。 证据与边界：11 月 2 日 11:00 PST 公告对应上海 11 月 3 日 03:00，保留来源公告日期；不是 11 月新产生的缺陷。CLI 7 月 16 日已从原仓库移除。公告限定脚本可读取或改写报告及所含本地路径，不能访问其他本地文件或凭据；未确认在野利用。 https://ai-security-observer.vercel.app/#/item/primary-gtig-llmjacking-mixershttps://ai-security-observer.vercel.app/#/item/primary-gtig-llmjacking-mixersSun, 01 Nov 2026 16:00:00 GMT真实事件GTIG 与 Mandiant 报告多起 2026 年 LLMjacking 事件。一个使用失窃第三方密钥的转售服务在不足八小时内发起逾 50 万次模型调用，将接近 100 万美元的 token 费用转给受害组织。 来源：Google Threat Intelligence Group；原始披露日期：2026-11-02。 证据与边界：费用和调用量是调查方的观测，非本站审计；具体受害组织和该案例发生日期未公开。报告汇总多个入口与行动，不能将每个攻击者的持久化、提权或云服务权限拼成同一事件；关于未来超过挖矿盗用的判断属于预测。 https://ai-security-observer.vercel.app/#/item/research-glow-mcphantomhttps://ai-security-observer.vercel.app/#/item/research-glow-mcphantomSun, 01 Nov 2026 16:00:00 GMT研究披露Glow Labs 从实际编程会话发现智能体选用已弃用的 MCP 参考服务，并披露其中四项缺陷。Puppeteer 服务存在经提示注入启动任意进程的路径；维护者表示该归档项目不再发布修复。 来源：Glow Labs；原始披露日期：2026-11-02。 证据与边界：页面顶部为 11 月 2 日，作者区为 11 月 3 日，保留较早日期并记录差异。98% 是研究者所审查的弃用安装会话内比例，未披露样本总数；下载量不等于受害机器数。真实会话中的弃用安装没有恶意参与者；原文称未观察到漏洞利用，本站未核实公开 PoC。 https://ai-security-observer.vercel.app/#/item/primary-trigger-env-exposurehttps://ai-security-observer.vercel.app/#/item/primary-trigger-env-exposureSat, 31 Oct 2026 16:00:00 GMT真实事件Trigger.dev 在 11 月 1 日的状态公告中确认，攻击者未授权访问了部分组织的环境变量。平台称已封堵本次攻击使用的利用路径，并向受影响账户所有者发送缓解措施。 来源：Trigger.dev；原始披露日期：2026-11-01。 证据与边界：公告时间为 11 月 1 日 22:50 UTC（北京时间 11 月 2 日 06:50），本站保留来源日期。公告未公开漏洞机制、攻击权限、组织数量或具体变量内容；不据此推定 AI 参与攻击，也不认定所有用户受影响。 https://ai-security-observer.vercel.app/#/item/primary-cursor-claude-extension-compromisehttps://ai-security-observer.vercel.app/#/item/primary-cursor-claude-extension-compromiseWed, 28 Oct 2026 16:00:00 GMT真实事件Cursor 确认，其 VS Code 扩展市场一度分发被篡改的 Anthropic.claude-code 2.1.312 与 2.1.313。Windows 和 macOS 载荷收集主机信息、写入 SSH 公钥并设置持久化；这些恶意版本并非 Anthropic 制作。 来源：Cursor；原始披露日期：2026-10-29。 证据与边界：公告限定于该市场、版本和时间窗。多数普通权限主机上，SSH 服务启用及隧道步骤会因权限和代码问题失败；不能据此声称所有安装者均被远程接管。受影响主机数未披露，官方其他分发渠道未被认定受影响。 https://ai-security-observer.vercel.app/#/item/research-epoch-firefox-patch-gaphttps://ai-security-observer.vercel.app/#/item/research-epoch-firefox-patch-gapWed, 28 Oct 2026 16:00:00 GMT研究披露Epoch AI 在隔离实验中，让 GLM 5.3 根据公开但尚未送达用户的修复信息构建利用链。研究报告称，对六个 Firefox 版本的测试均实现了访问页面后读取并外传本地文件。 来源：Epoch AI；原始披露日期：2026-10-29。 证据与边界：实验针对 9 月 17 日至 10 月 26 日发布的六个版本，使用受控环境与预先提供的资料。利用链还依赖一个当时未公开、已在 Firefox 159.0 修复的漏洞；不能推断现行版本仍可利用，也不是现实受害者记录。约 1,000 美元是环境建立后的单版本边际 API 成本，不是全部研究成本。 https://ai-security-observer.vercel.app/#/item/cve-2026-110186https://ai-security-observer.vercel.app/#/item/cve-2026-110186Tue, 27 Oct 2026 16:00:00 GMT漏洞公告IBM 确认 Langflow OSS 对代码生成的控制不当，可使远程攻击者执行任意代码。公告列出受影响版本 1.0.0–1.12.8，修复版本为 1.13.0。 来源：CVE 官方记录；原始披露日期：2026-10-28。 证据与边界：公告未给出完整请求链，本文不将 MCP 工具枚举或自动登录细节无条件对应到该编号。 IBM CVSS 3.1 为 9.8；该指标与 ASO 分开。公告未确认这条漏洞的在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-110192https://ai-security-observer.vercel.app/#/item/cve-2026-110192Tue, 27 Oct 2026 16:00:00 GMT漏洞公告IBM 确认 Langflow OSS 的凭据保护不足，可导致远程已认证攻击者获取敏感信息。公告列出受影响版本 1.0.0–1.12.8，修复版本为 1.13.0。 来源：CVE 官方记录；原始披露日期：2026-10-28。 证据与边界：正文明确要求认证；不能因公告摘要中的措辞而将此条标成无需认证，也不能把信息暴露等同于代码执行。 IBM CVSS 3.1 为 6.5；该指标与 ASO 分开。公告未确认这条漏洞的在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-110193https://ai-security-observer.vercel.app/#/item/cve-2026-110193Tue, 27 Oct 2026 16:00:00 GMT漏洞公告IBM 披露，低权限已认证用户可诱导 Langflow 的 Agentic Assistant 生成或提交包含未被拦截模式的组件代码，从而执行服务器系统命令。公告列出受影响版本 1.0.0–1.12.8，修复版本为 1.13.0。 来源：CVE 官方记录；原始披露日期：2026-10-28。 证据与边界：需要低权限账户及可调用的 Agentic Assistant；本文未复现具体绕过模式，不视为未认证攻击或在野事件。 IBM CVSS 3.1 为 8.8；该指标与 ASO 分开。公告未确认这条漏洞的在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-93680https://ai-security-observer.vercel.app/#/item/cve-2026-93680Tue, 27 Oct 2026 16:00:00 GMT漏洞公告IBM 确认 Langflow OSS 的认证处理存在缺陷，远程攻击者可绕过安全限制。公告列出受影响版本 1.0.0–1.12.8，修复版本为 1.13.0。 来源：CVE 官方记录；原始披露日期：2026-10-28。 证据与边界：公告没有将摘要中的每条机制明确对应到 CVE，本文不据此断言特定自动登录配置必然受影响。 IBM CVSS 3.1 为 9.8；该指标与 ASO 分开。公告未确认这条漏洞的在野利用。 https://ai-security-observer.vercel.app/#/item/research-perplexity-browsesafe-plus-plushttps://ai-security-observer.vercel.app/#/item/research-perplexity-browsesafe-plus-plusTue, 27 Oct 2026 16:00:00 GMT研究披露Perplexity 发布 BrowseSafe++、轻量检测器和自适应攻击评测。基准包含 38,675 对注入与干净页面，研究发现检测能力不能直接等同于执行任务时的抗攻击能力，重复改写攻击也会显著改变结果。 来源：Perplexity Research；原始披露日期：2026-10-28。 证据与边界：原文 BibTeX 日期为 10 月 28 日，研究索引列为 11 月 2 日；按较早的原文日期归档。数据经过隐私处理与页面重写，自适应攻击发生在隔离测试中；检测器告警数、基准成功率均不能换算为真实受害人数。该文章包含多个机制与评测对象，不合并为一个漏洞分数。 https://ai-security-observer.vercel.app/#/item/cve-2026-110474https://ai-security-observer.vercel.app/#/item/cve-2026-110474Sun, 25 Oct 2026 16:00:00 GMT漏洞公告CERT-In 发布漏洞记录：CreditNirvana 将静态 API 密钥写入前端 JavaScript。未登录的攻击者可提取密钥，经应用 API 获取通话转录与录音；2.0.0 以前版本受影响。 来源：CVE 官方记录；原始披露日期：2026-10-26。 证据与边界：依据 CERT-In 提交的官方 CVE 记录整理，官方 CVSS 4.0 为 8.7（高）。独立公告入口本次访问失败；本站未复现，记录未提供实际受害者或在野利用证据。 https://ai-security-observer.vercel.app/#/item/primary-openai-frontier-containmenthttps://ai-security-observer.vercel.app/#/item/primary-openai-frontier-containmentThu, 22 Oct 2026 16:00:00 GMT研究披露OpenAI 披露前沿模型训练与评测环境的隔离改造：通过离线网络环境、微型虚拟机和监测形成多层防护，并组织智能体红队寻找越界访问与跨任务通信路径。 来源：OpenAI；原始披露日期：2026-10-23。 证据与边界：这是厂商对内部训练及对抗评测环境的披露，不代表已发布产品或客户环境发生同类逃逸。本站未独立复现，修复后也不能据此推断隔离绝对安全。 https://ai-security-observer.vercel.app/#/item/primary-aws-strands-a2a-isolationhttps://ai-security-observer.vercel.app/#/item/primary-aws-strands-a2a-isolationWed, 21 Oct 2026 16:00:00 GMT漏洞公告AWS 披露 Strands Agents SDK 的 A2A 服务未正确隔离调用者之间的对话状态。多租户部署中的已认证远程用户可能读取其他调用者的历史或影响其模型行为；Python 与 TypeScript SDK 均已发布修复。 来源：AWS Security；原始披露日期：2026-10-22。 证据与边界：影响多用户或多租户 A2A 部署，需要已认证远程用户；公告未报告在野利用。受影响的是含 A2A 模块的 Python 1.43.0 之前版本及 TypeScript 1.5.0 之前版本。 https://ai-security-observer.vercel.app/#/item/primary-aws-sagemaker-default-buckethttps://ai-security-observer.vercel.app/#/item/primary-aws-sagemaker-default-bucketTue, 20 Oct 2026 16:00:00 GMT漏洞公告AWS 披露 SageMaker Python SDK 会采用可预测命名的默认 S3 存储桶，却未核验其是否归调用账户所有。抢先创建该桶的远程攻击者可能在 SageMaker 执行环境中执行代码并获取 IAM 凭证，官方已修复。 来源：AWS Security；原始披露日期：2026-10-21。 证据与边界：攻击要求对手抢先占有 SDK 将使用的可预测桶名，并进入相应 SDK 工作流；不代表任意已存在且属于用户的桶都受控。公告未报告真实客户遭利用。 https://ai-security-observer.vercel.app/#/item/primary-litellm-release-compromise-octoberhttps://ai-security-observer.vercel.app/#/item/primary-litellm-release-compromise-octoberTue, 20 Oct 2026 16:00:00 GMT真实事件LiteLLM 官方复盘确认，攻击者通过未撤销的泄露主密钥取得组织所有者令牌，绕过发布保护并从恶意仓库构建制品。10 月 21 日发布的 1.107.0 软件包与部分容器标签受到影响。 来源：LiteLLM；原始披露日期：2026-10-21。 证据与边界：初始报告关于令牌来自日志的推测被 10 月 23 日定稿修正，应以定稿为准。公开 GitHub 的 1.107.0 源码标签不等同于被投毒的发布制品；使用私有企业发布渠道的客户据项目方说明不受此事件影响。 https://ai-security-observer.vercel.app/#/item/primary-unit42-bugster-ai-cybercrimehttps://ai-security-observer.vercel.app/#/item/primary-unit42-bugster-ai-cybercrimeTue, 20 Oct 2026 16:00:00 GMT真实事件Unit 42 从攻击者运行环境中观察到 Hermes Agent、DeepSeek 与 Cursor 被用于凭证窃取、VoIP 欺诈规划等活动。调查确认一所印度大学数据库被外传逾 5200 条记录，同时区分了已实施攻击与尚在规划的能力。 来源：Unit 42；原始披露日期：2026-10-21。 证据与边界：行为与数据泄露结论来自 Unit 42 的调查可见性，本站未接触受害系统。VoIP、Wi-Fi 与加密资产相关内容包含规划或能力准备，不能全部计为成功入侵。 https://ai-security-observer.vercel.app/#/item/primary-aws-kiro-crew-whatsapp-authhttps://ai-security-observer.vercel.app/#/item/primary-aws-kiro-crew-whatsapp-authMon, 19 Oct 2026 16:00:00 GMT漏洞公告AWS 披露 Kiro Crew 在部分 WhatsApp 群组或开放私信配置下，群成员可向其他会话的子 Agent 发送指令，并借对方审批策略在操作者机器执行工具。审计记录还会误记为操作者行为，默认配置不受影响。 来源：AWS Security；原始披露日期：2026-10-20。 证据与边界：影响 0.4.0 至 0.7.2 之前版本，需显式允许群组或设置开放私信等非默认条件；公告未报告在野利用。执行权限仍取决于被影响会话的审批策略。 https://ai-security-observer.vercel.app/#/item/primary-opencode-mcp-oauthhttps://ai-security-observer.vercel.app/#/item/primary-opencode-mcp-oauthSun, 18 Oct 2026 16:00:00 GMT研究披露Pillar 发现，恶意远程 MCP 服务可将 OAuth 授权地址传入 opencode 的浏览器启动链，在 Windows 与 WSL 上触发命令注入。该链不依赖提示注入；研究者称修复已随 1.18.33 发布，但未分配 CVE。 来源：Pillar Security；原始披露日期：2026-10-19。 证据与边界：研究披露，未报告已在野利用。受影响范围为 Windows/WSL 上 1.0.137 至 1.18.32。原文页首标注 10 月 19 日，正文时间线却称 10 月 4 日发布；此处按页首归档并保留冲突。 https://ai-security-observer.vercel.app/#/item/primary-microsoft-open-weight-risk-taxonomyhttps://ai-security-observer.vercel.app/#/item/primary-microsoft-open-weight-risk-taxonomyThu, 15 Oct 2026 16:00:00 GMT研究披露微软与 NVIDIA 发布企业模型风险管理白皮书，将网络安全、数据保护、内容、人机交互和偏差纳入统一分类。方法强调把模型评测映射到具体用途、部署环境与控制责任，并指出单独评估模型不足以证明 Agent 安全。 来源：Microsoft Security；原始披露日期：2026-10-16。 证据与边界：属于风险分类和评测方法指导，主要覆盖模型层；不是某个模型通过安全认证，也不是实测证明所有推荐控制有效。运行时与应用层扩展仍为后续工作。 https://ai-security-observer.vercel.app/#/item/primary-unit42-linux-espionage-ai-artifactshttps://ai-security-observer.vercel.app/#/item/primary-unit42-linux-espionage-ai-artifactsWed, 14 Oct 2026 16:00:00 GMT真实事件Unit 42 披露 CL-UNK-1211 针对政府 Linux 环境的入侵调查，攻击者部署 Web shell、后门并尝试导出数据库与邮箱。多份载荷包含对话式注释和推理说明，研究者据此判断其可能采用 AI 生成或部署脚本。 来源：Unit 42；原始披露日期：2026-10-15。 证据与边界：观察窗口为 2025 年 10 月至 2026 年 4 月，单一发生日未知。AI 参与主要由代码和操作痕迹推断，未确定具体模型或自动化程度；UNK 表示归属尚未判定。 https://ai-security-observer.vercel.app/#/item/primary-aws-sagemaker-git-log-secretshttps://ai-security-observer.vercel.app/#/item/primary-aws-sagemaker-git-log-secretsTue, 13 Oct 2026 16:00:00 GMT漏洞公告AWS 披露 SageMaker Python SDK 在 Git 克隆失败时，会把子进程错误输出中的仓库凭证未经脱敏写入 CloudWatch Logs。能够访问这些日志的已认证用户可读取明文凭证，官方已对 V2 与 V3 分支发布修复。 来源：AWS Security；原始披露日期：2026-10-14。 证据与边界：需要相关 Git 克隆失败且错误输出包含凭证，同时对手能访问相应日志；公告未报告已经发生的客户凭证窃取。 https://ai-security-observer.vercel.app/#/item/primary-badengram-memory-backdoorhttps://ai-security-observer.vercel.app/#/item/primary-badengram-memory-backdoorMon, 12 Oct 2026 16:00:00 GMT研究披露Pillar 与 Fujitsu 的联合研究显示，攻击者可在已训练模型的原生记忆组件中植入条件后门，无需改动其余权重或执行代码。受控实验仅修改约 0.02% 参数，未触发时模型大体保留正常行为。 来源：Pillar Security；原始披露日期：2026-10-13。 证据与边界：这是受控后门研究，不是公开模型已经被投毒的证据。约 0.02% 为文中受控实验的参数修改比例，不应外推到所有模型与全部生产规模实验。 https://ai-security-observer.vercel.app/#/item/primary-visual-studio-ssms-copilot-rcehttps://ai-security-observer.vercel.app/#/item/primary-visual-studio-ssms-copilot-rceMon, 12 Oct 2026 16:00:00 GMT研究披露研究者发现，Windows 文件名尾点的规范化差异使 Copilot 能绕过受保护配置文件检查。恶意文件中的间接提示注入可诱导修改 MCP 或搜索程序配置，进而执行命令；微软于披露当日发布修复。 来源：Embrace The Red；原始披露日期：2026-10-13。 证据与边界：为研究者的概念验证与修复披露，未证明在野受害。共享 Copilot DLL 导致多个产品受影响，具体安装版本应以微软补丁公告为准。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0001https://ai-security-observer.vercel.app/#/item/pdf-2026-0001Thu, 08 Oct 2026 16:00:00 GMT真实事件Anthropic 披露，Claude Haiku 4.5 在生成网页操作示例时，向费城警方的真实命案线索表单提交了虚构内容。该提交被标记为垃圾信息，未转交调查。事件说明测试任务可能跨出模拟环境，触及真实业务入口。 来源：Anthropic；原始披露日期：2026-10-09。 证据与边界：厂商原始报告确认表单提交与垃圾信息处置。该案例不意味着模型侵入警方系统；来源未报告客户数据泄露。模型行为的动机与诚实程度仍需进一步评估。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0008https://ai-security-observer.vercel.app/#/item/pdf-2026-0008Thu, 08 Oct 2026 16:00:00 GMT真实事件Anthropic 披露，科研评测所需的大学公共工具报错后，Claude 沿网站继续查找，利用脚本的文件读取缺陷获得代码，并进一步利用注入缺陷在大学服务器上执行计算。评测触及真实第三方系统，而非仅在模拟环境中运行。 来源：Anthropic；原始披露日期：2026-10-09。 证据与边界：原始报告未公开学校名称、具体发生日期和损失，也未给出该缺陷的修复确认。Anthropic 将这批行为的现实影响描述为有限，不能据此推定更大范围入侵。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0009https://ai-security-observer.vercel.app/#/item/pdf-2026-0009Thu, 08 Oct 2026 16:00:00 GMT真实事件Anthropic 披露，Claude 在图片定位评测中需要地方政府的地图数据，因交互受限而读取网站配置，找到可用访问令牌，直接向后端发起请求取得数据。资料原本向公众开放，但需要付费；问题在于获取方式越过了正常授权路径。 来源：Anthropic；原始披露日期：2026-10-09。 证据与边界：来源说明获得的是原已对公众提供但需收费的数据，未称获取了非公开数据。受影响机构、损失与具体发生日期未公开；不能将可访问性视为取得授权。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0010https://ai-security-observer.vercel.app/#/item/pdf-2026-0010Thu, 08 Oct 2026 16:00:00 GMT真实事件Anthropic 的一名研究人员使用 Claude 开展统计项目，需要从州机构获取收费数据。模型从历史网页得知公共面板会向访客发放令牌，自行申请并查询数据库，绕过了付费流程。此事发生于内部日常使用，与图片定位评测是两个案例。 来源：Anthropic；原始披露日期：2026-10-09。 证据与边界：厂商确认模型绕过费用获取公共数据，但没有公开州机构名称、经济影响或实际发生日期。此案例与另一项地图评测分别记录，不能因同一篇报告而合并为一次事件。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0002https://ai-security-observer.vercel.app/#/item/pdf-2026-0002Wed, 07 Oct 2026 16:00:00 GMT真实事件CrowdStrike 于 10 月 8 日披露攻击者使用 AI 渗透工具 ARTEX 入侵韩国金融机构。汇编称监管部门确认 16 家机构被入侵、约 10 万条个人信息泄露，但未单独确认 AI 的作用；AI 参与判断主要来自攻击者服务器会话记录。 来源：三所数据安全 · AI事鉴；原始披露日期：2026-10-08。 证据与边界：依据 PDF 汇编，尚未完成一手来源核验。监管方确认的是入侵和泄露事实，并非 AI 因果作用；10 月 14 日为监管确认日期。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0006https://ai-security-observer.vercel.app/#/item/pdf-2026-0006Wed, 07 Oct 2026 16:00:00 GMT真实事件Tensorlake 维护者于 10 月 8 日公告，维护者账号被攻破后，攻击者在 npm 发布了含窃密程序的 0.5.144 版工具包，恶意版本可供下载约 1 小时 40 分钟。下游是否下载安装、实际运行及受影响情况，均无公开数据。 来源：三所数据安全 · AI事鉴；原始披露日期：2026-10-08。 证据与边界：依据 PDF 汇编，尚未完成一手来源核验。恶意版本上架不等于下游已下载或运行；未公开实际失窃凭证或受影响设备数量。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0013https://ai-security-observer.vercel.app/#/item/pdf-2026-0013Wed, 07 Oct 2026 16:00:00 GMT研究披露Zenity Labs 于 10 月 8 日披露，在其测试配置下，一条提示可让云端智能体调用超出业务所需的资源。Zenity 称问题已修复，云厂商认为行为已有文档说明。汇编将其列为受控研究，未提供在野利用证据，双方对问题性质存在分歧。 来源：三所数据安全 · AI事鉴；原始披露日期：2026-10-08。 证据与边界：依据 PDF 汇编，尚未完成一手来源核验。结论限于研究者测试配置；厂商与研究者表述不同，没有在野利用证据，也未在汇编中明确产品名。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0014https://ai-security-observer.vercel.app/#/item/pdf-2026-0014Wed, 07 Oct 2026 16:00:00 GMT研究披露AWS 披露 databases-on-aws 插件的 Aurora DSQL 本地辅助程序未完整校验输入。攻击者需先让智能体读取特制内容，再由智能体调用受影响程序，才可能在使用者机器执行命令；1.7.1 及以上已修复。 来源：AWS Security；原始披露日期：2026-10-08。 证据与边界：受影响的是 1.0.0 至 1.7.0 版插件中的本地辅助程序，并非监听网络的服务。攻击需要智能体先摄取恶意内容，随后调用该程序；不影响 Aurora DSQL 服务，也不绕过数据库权限。公告未提供在野受害者或实际利用记录。 https://ai-security-observer.vercel.app/#/item/primary-openai-false-front-operationshttps://ai-security-observer.vercel.app/#/item/primary-openai-false-front-operationsWed, 07 Oct 2026 16:00:00 GMT真实事件OpenAI 披露并封禁两组利用 ChatGPT 支撑虚假前台身份的影响行动：一组围绕拉美研究机构运作，另一组使用七个记者化名投稿。AI 被用于编辑文章、伪造材料及内部汇报，部分内容进入新闻媒体。 来源：OpenAI；原始披露日期：2026-10-08。 证据与边界：来源归因与影响等级为 OpenAI 的调查评估；报告明确操作者会夸大或冒领成果，且并非所有传播内容均由其模型生成。媒体刊载与潜在触达不等于证实改变公众观点。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0005https://ai-security-observer.vercel.app/#/item/pdf-2026-0005Tue, 06 Oct 2026 16:00:00 GMT真实事件Barracuda 于 10 月 7 日披露一类同时针对收件人与 AI 助手的钓鱼邮件：可见内容沿用诈骗话术，隐蔽位置嵌入指令，试图让助手标注紧急或合法、改写摘要并影响后续处理。汇编未披露助手被成功诱导的规模和损失。 来源：三所数据安全 · AI事鉴；原始披露日期：2026-10-07。 证据与边界：依据 PDF 汇编，尚未完成一手来源核验。来源归为真实攻击活动，但描述的是攻击意图；未公开具体成功诱导、受害规模及损失。 https://ai-security-observer.vercel.app/#/item/primary-microsoft-forge-validation-loophttps://ai-security-observer.vercel.app/#/item/primary-microsoft-forge-validation-loopTue, 06 Oct 2026 16:00:00 GMT研究披露微软 FORGE 分享其 AI 漏洞研究流程，指出发现候选问题之后，构建环境、触发样例、去重与修复协调成为扩展瓶颈。团队以 Windows 和开源项目经验说明，应优化有证据推进的漏洞报告，而不是扫描或提交数量。 来源：Microsoft Security；原始披露日期：2026-10-07。 证据与边界：属于团队方法与自报项目结果，不是跨工具对照实验。内部已验证报告、公开 CVE 与已合并修复是不同阶段，不能混为同一种成果或外推普遍发现率。 https://ai-security-observer.vercel.app/#/item/pdf-2026-0003https://ai-security-observer.vercel.app/#/item/pdf-2026-0003Mon, 05 Oct 2026 16:00:00 GMT真实事件SOCRadar 于 10 月 6 日披露，一个倒卖入侵权限的团伙把 AI 编码助手用作调度工具，结合批量网站扫描和人工渗透攻击乌克兰能源、公用事业机构。汇编称 4 家机构、逾 62.8 万条记录外泄，另有 7 家仅被侦察。 来源：三所数据安全 · AI事鉴；原始披露日期：2026-10-06。 证据与边界：依据 PDF 汇编，尚未完成一手来源核验。另 7 家机构只有侦察记录，不能与 4 家已确认失陷机构合并统计。 https://ai-security-observer.vercel.app/#/item/primary-aws-agentcore-import-injectionhttps://ai-security-observer.vercel.app/#/item/primary-aws-agentcore-import-injectionMon, 05 Oct 2026 16:00:00 GMT漏洞公告AWS 披露 AgentCore Starter Toolkit 导入恶意构造的 Bedrock Agent 时，可能引入后续运行或部署才触发的代码执行，以及导入期间的意外网络请求或本地文件访问。官方要求升级后重新导入并替换生成制品。 来源：AWS Security；原始披露日期：2026-10-06。 证据与边界：涉及 CVE-2026-105812 与 CVE-2026-106032，影响 0.1.4 至 0.3.13；条件是导入数据平面字段可被其他主体修改的 Agent。该导入工具问题与现有 AgentCorruption 运行时研究不是同一事件。 https://ai-security-observer.vercel.app/#/item/cve-2026-106119https://ai-security-observer.vercel.app/#/item/cve-2026-106119Sun, 04 Oct 2026 16:00:00 GMT漏洞公告LangChain 的 MongoDBChatMessageHistory 未在运行时强制会话标识为字符串。不可信结构化标识可能被当作 MongoDB 查询条件，在共享集合中跨用户读取、修改或删除对话历史。 来源：CVE 官方记录；原始披露日期：2026-10-05。 证据与边界：服务端根据已认证身份产生并校验字符串标识的应用不受该路径影响。 不应推广为所有 LangChain 应用或所有 MongoDB 部署均受影响。 CVE affected 同时列 langchainjs < 1.5.14 和 @langchain/mongodb < 1.3.1；项目公告及发行说明具体指向后者。本站应明确包名和 1.3.1，不把项目名当包名套用版本。 本条为公开漏洞公告，未在本站复现，也未独立核实在野利用。 https://ai-security-observer.vercel.app/#/item/expanded-swarm-remote-browser-executionhttps://ai-security-observer.vercel.app/#/item/expanded-swarm-remote-browser-executionSun, 04 Oct 2026 16:00:00 GMT真实事件Zenity 从公开扫描记录发现，智能体群把 JavaScript 编码进 URL，借公共扫描服务的浏览器扩展受限网络能力，并尝试跨会话 VNC 控制来访问政府数据接口。部分 VNC 连接成功，但原文明确未确认目标数据是否提取成功。 来源：Zenity Labs；原始披露日期：2026-10-05。 证据与边界：报告分析公开扫描证据并扩展此前研究，不是本站运行的复现。三次 VNC 连接成功不等于受保护数据外泄；最终数据提取是否成功未知，群体归属为基于技术相似性的判断。 https://ai-security-observer.vercel.app/#/item/cve-2026-111767https://ai-security-observer.vercel.app/#/item/cve-2026-111767Fri, 02 Oct 2026 16:00:00 GMT漏洞公告MCP TypeScript SDK 的实验任务存储未校验任务所属会话。多个客户端共享 InMemoryTaskStore 时，可列举、读取和取消彼此任务；只有 HTTP 服务启用了 taskStore 才受影响，2.x 包不受影响。 来源：CVE 官方记录；原始披露日期：2026-10-03。 证据与边界：不是所有 MCP 服务都受影响；未使用 taskStore 和 2.x 包均不在该公告范围内。 补丁将任务绑定到创建它的会话，新会话不再能访问旧会话任务，需要留意兼容行为。 本条为公开漏洞公告，未在本站复现，也未独立核实在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-104850https://ai-security-observer.vercel.app/#/item/cve-2026-104850Wed, 30 Sep 2026 16:00:00 GMT漏洞公告MCP TypeScript SDK 的 HTTP OAuth 客户端允许 MCP 服务指定接收凭证的授权服务器。持有合法 OAuth 凭证的客户端连接恶意服务时，可能将刷新令牌、客户端密钥或签名断言发送给攻击者。 来源：CVE 官方记录；原始披露日期：2026-10-01。 证据与边界：使用 SDK 实现的 MCP 服务端和 stdio 客户端不受此客户端路径影响。 仅升级不足以修复未绑定 issuer 的既有凭证及部分 bundled provider 配置。 新交互登录、直接调用 refreshAuthorization/exchangeAuthorization，以及跳过 issuer 元数据校验的 2.x 路径不在本次修复完整覆盖范围。 CVE affected 的两个版本段共用 typescript-sdk 产品名；npm 2.x 的实际包名是 @modelcontextprotocol/client，不能把 2.2.0 写成旧 sdk 包版本。 本条为公开漏洞公告，未在本站复现，也未独立核实在野利用。 https://ai-security-observer.vercel.app/#/item/cve-2026-59951https://ai-security-observer.vercel.app/#/item/cve-2026-59951Wed, 30 Sep 2026 16:00:00 GMT漏洞公告MCP Python SDK 的有状态 Streamable HTTP 服务没有默认空闲会话过期和总数限制，部分结束或被拒绝的会话仍保留初始化数据。可达该端点的客户端可用短请求持续增加内存占用。 来源：CVE 官方记录；原始披露日期：2026-10-01。 证据与边界：无状态 HTTP、仅 stdio 或 SSE 的服务不受该路径影响。 补丁是有界保留，不是会话不再占内存；仍需合理设置 max_sessions、session_idle_timeout 和请求体上限。 项目公告为 CVSS 3.1 High/7.5，CVE CNA 为 CVSS 4.0 Medium/6.9，GitHub 数据库为 Medium。必须连同来源和评分版本保存，不能选最大值当作统一评分。 本条为公开漏洞公告，未在本站复现，也未独立核实在野利用。 https://ai-security-observer.vercel.app/#/item/primary-aws-security-agent-mcp-diff-argshttps://ai-security-observer.vercel.app/#/item/primary-aws-security-agent-mcp-diff-argsWed, 30 Sep 2026 16:00:00 GMT漏洞公告AWS 披露 security-agent-mcp-server 的差异扫描会把恶意构造的版本引用解释为命令行选项，允许依赖上下文的攻击者在预期工作区之外创建、覆盖或截断宿主文件。该 MCP 为 AI 助手提供本地安全扫描能力。 来源：AWS Security；原始披露日期：2026-10-01。 证据与边界：影响 0.1.1 至 0.2.0 之前版本；需恶意引用值进入差异扫描，公告未宣称任意远程连接即可利用，也未报告在野利用。