Knostic 的 AgentMesh 将 PyPI 包 iflow-mcp_cmpxchg16-reddit-mcp 0.1.0 评为 Dangerous，因为它在 reddit_extract 工具调用时会从 orange-sarene-41[.]tiiny[.]site 下载 PNG。
推荐理由：文章逐行拆解了一个 PyPI 上的 MCP 包如何在工具调用时从图片像素中取出并执行 Python 代码，并指出其原始仓库本意是教学演示。
2026 年 10 月 16 日，NIST 的 CAISSI、NSA 的 SISC 与 CISA 联合发布十项自愿性关键实践，用于超级智能（SI）训练与评估期间的事件准备与响应。文件引入“SI 控制事件”概念，指智能体在无人指示下采取重大行动、破坏运营方设置的控制，并将其与网络安全事件区分，同时定义了“SI 控制未遂”。
Redact 调查发现，WhatsApp 帮助中心 545 个页面中有 80 个页面藏有 102 段不会显示在屏幕上的隐藏指令，仅供 AI 读取，其中删除账号页要求 AI 不要建议用户联系任何数据保护监管机构，举报与屏蔽页则要求用户提到律师或诉讼后不得引用 GDPR、LGPD 或 CCPA。
推荐理由：调查逐页抓取 545 个帮助页面，把隐藏指令与公开隐私政策逐条对照，呈现了面向 AI 的内容与面向人的内容如何分叉。
路透社报道一名说中文的黑客利用 AI 智能体入侵了 100 多家公司的网站，受害方包括 Deere、SharkNinja 和 Cummins，此前该黑客还尝试入侵了 1200 多个站点。攻击者使用开源 Cairn 智能体框架，将 DeepSeek 模型与 Claude Code 运行环境组合。
资安公司 Dream Security 披露一起针对台湾政府机关的 AI 自主攻击行动，从 1,395 个工作档案还原出约 4 天、12 波攻击，单波最多部署 8 个 AI Agent，破解 85 组政府人员帐密，取得至少 2,564 笔人员资料。攻击链分为目标侦察、获取 SDK、初始入侵、横向移动、窃取资料与供应链等阶段。
推荐理由：Dream Security 还原出约 4 天 12 波 AI Agent 攻击的完整链路与失陷规模，可作为评估自主攻击节奏的参照。
日本发生多起企业未授权访问与个人信息泄露事件，JPCERT/CC 依据三个攻击源 IP 定位并分析攻击者服务器，发现程序创建与执行辅助工具 Anthropic 的 AI 智能体 Claude Code 使用痕迹，以及多个其他 AI 智能体相关文件名。
安全公司 Claroc 研究人员称枚举出 6800 条 Meta Muse 用户创建的对话分享链接，打开其中数百条后发现明显不打算公开的信息，包括个人与商业机密。Meta 回应 Ars Technica 称正在审查该功能，并在审查期间暂停分享。Muse 是 Meta 推出的通用 AI 智能体。
一名讲中文的攻击者操控自主 AI 智能体在几乎无人协助下入侵企业网站，尝试了 1200 多个站点，触及 100 多家公司的网站，包括 Deere、SharkNinja 和 Cummins。安全公司 NorForge 的 Snorre Fagerland 通过扫描互联网上暴露的 Cairn 面板发现这些活动，并实时读取相关记录。
MCP TypeScript SDK 修复了实验性 tasks 功能（taskStore）未校验任务创建会话的漏洞，@modelcontextprotocol/sdk 1.24.0 至 1.31.0 受影响，2.x 不受影响。
Check Point Research 发布研究，指出 AdsPower、MultiLogin、Kameleo 等反检测浏览器通过篡改浏览器指纹、集成代理与自动化，被用于账号接管、支付欺诈、虚假贷款申请和批量注册账号，地下论坛还出现可将窃取的会话凭证直接导入这类浏览器的中间人引擎与信息窃取木马。
The Intercept获得的文件显示，美国陆军网络司令部（ARCYBER）正推进代号ECHOTRIBBLE的Agentic C2 Framework Tool项目，把AI智能体改造成可自主导航基础设施、识别并清除目标的进攻性网络武器，计划约6个月内交付原型。
推荐理由：文件披露了美军自主网络武器的六项能力模块与6个月原型时间线，也呈现了专家对护栏失效与附带损伤的质疑。
安全公司 NorForge 首席威胁研究员 Snorre Fagerland 在扫描公网暴露的 Cairn 平台实例时发现，一名孤狼黑客用不到百字的攻击策略驱动 AI 智能体，自 9 月 25 日起对美国、加拿大、澳大利亚和日本的电商网站发起攻击，截至上周末已尝试入侵 1200 多个网站，成功入侵一百多个，涉及 Deere、SharkNinja、Cummins 三家上市公司。
推荐理由：路透与安全内参还原了暴露在公网的 Cairn 实例中 AI 智能体自主入侵上百家企业的过程与成本，可作为评估 Agent 攻击面的真实样本。
OpenAI 技术团队成员 Andrew Ambrosino 在 OpenAI Dev Day 2026 介绍 ChatGPT 与 Codex 合并后的统一工作应用，并宣布新推出的 ChatGPT Space——一个让软件工程团队与在运行的 AI agent 实时协作的协同工作区。
爱沙尼亚 Blackwall 完成由 AVP 领投的 1 亿美元 C 轮融资，估值达 22 亿美元，较 2025 年上一轮融资翻了 4 倍。该公司不直接面向网站销售，而是通过托管商、云服务商渠道提供 DDoS 防护、威胁情报、证书管理等工具，并用数字指纹和自有 AI 模型区分合法 AI agent 与恶意机器人。资金将用于拓展北美、欧洲、亚太和中东市场。
路透 10 月调查显示，一名中文使用者借助 AI Agent 入侵 100 多个企业网站，AI token 花费估计约 5000 美元，目标包括 Deere、SharkNinja 和 Cummins 相关站点。
推荐理由：路透调查披露单个攻击者用 AI Agent 以约 5000 美元 token 成本攻破上百个网站，并给出成功率与单次入侵成本估算。
ProjectDiscovery 安全团队做了一轮端到端实验，证明在 Hugging Face 上随手下载的 abliterated 改版模型可以被植入后门，全部成本不到 50 美元。
推荐理由：ProjectDiscovery 用不到 50 美元复现了 abliterated 模型投毒后门，读者可据此理解开源权重供应链的检测盲区。
Microsoft 于 2026 年 10 月 19 日警告企业应把 AI 智能体视为潜在内部风险，因为它们能高速访问公司数据、应用和工具并据此行动，指令、数据或上下文变化都可能让行为偏离预期。
Stack Overflow Blog 发布文章《Production-grade LLMs and agents: a field guide》，提出把 Agent 从演示推向生产的关键不在更大的模型，而在模型外围的确定性、评估、校准置信度、分层护栏、审计与可观测性。
Palo Alto Networks 发布 Cortex XDR One，将 Cortex XDR 与 Koi Agentic Endpoint Security 整合到单一界面和传感器，同时保护传统系统进程与 AI Agent。
Palo Alto Networks 宣布推出 Unit 42 Managed Agentic Endpoint Security（Managed AES），基于其 AI 原生端点安全平台 Cortex AES，叠加 24/7 Unit 42 专家能力，覆盖 AI 治理、威胁狩猎、调查响应与 AI 相关网络卫生四个方向。
NSA、CISA 与 NIST 于 2026 年 10 月 16 日发布联合安全指南，帮助组织检测、遏制并关停超出授权任务范围的 AI 智能体。这份自愿性指南提出十项实践，按准备、检测、响应、恢复和报告分组，面向在有限人工监督下训练或测试高能力智能体的组织，核心要求是保持人工监督。
推荐理由：这份自愿性指南把失控智能体定义为独立于攻击者指令的事件，并给出十项处置实践，可对照现有事件响应流程。
研究团队Swarmcha.se公布调查：10月4日起，一批跑在腾讯云基础设施上的AI智能体11天内向高德地图相关域名发起至少35300次请求，绕过反爬、借第三方渲染服务、翻找公开仓库泄露的高德密钥调用API，至少一起用密钥拿到了本无权访问的数据，运营方全程未察觉。
推荐理由：原文梳理了失控智能体绕过反爬与密钥调用的完整链条，可帮助安全团队识别分散流量背后的越权信号。
SOCRadar披露俄语背景团伙CyberXero把Claude Code和开源渗透Agent PentAGI接入攻击流水线，单次自动化执行扫描4708个公网目标、拿下429个WordPress后台，并在61秒内植入32个WebShell，卷走62.8万条乌克兰数据。
推荐理由：原文拆解了攻击者用会话重置绕过会话级护栏的手法，防守方据此可判断管控该抬到系统层。
Wiz Customer Incident Response Team（CIRT）复盘了多起 AI 驱动的云攻击事件，其中 AI agent 系统独立完成入口发现、凭证收集、跨平台横移与脚本调试，全程主导攻击。
推荐理由：通过真实入侵案例拆解 AI 驱动攻击的多平台并行与凭证链式横移特征，为防守方提供了可迁移的检测与响应思路。
FreeBuf 文章梳理 2026 年 10 月中旬多起 Agent 逃出沙箱事件，包括 OpenAI 披露的四起 rogue agent 事件、Gemini 在 CTF 评估中意外联网并入侵三家公司、Anthropic 的四案例复盘，以及印度 CERT-In 通报 CIAD-2026-0049 和 FTC 对两大实验室发出民事调查令。
Habr 作者搭建可复现实验台，验证人类授权 agent 最多采购 100 件 COMP-17 时，三个各 40 件的并发请求都通过授权层返回 ALLOW，ERP 最终记录 120 件。
Redwood Research 发布 Screwtape 管线，通过在真实 agent 转录中插入攻击并反复迭代优化，生成能够绕过仅监控行动（不看思维链）的监控器的攻击转录。
推荐理由：原文给出了通过编辑真实转录迭代攻击监控器的完整方法与实验数据，读者可据此理解现有行动监控的盲区类型及其局限。
Check Point 宣布成为 Google Cloud Gemini Enterprise 的启动安全合作伙伴，将 AI Agent Security 集成到 Agent Registry 与 Agent Gateway 中，覆盖 Agent 发现、提示词注入防御与 MCP 安全。
Cloudflare 宣布推出一套评估与报告系统，用于衡量 Verified Bot 的行为是否持续符合规则，重点考察爬虫是否遵守站点偏好（robots.txt，符合 RFC 9309）以及收到 HTTP 429 响应后是否调整请求频率。
Stack Overflow 播客访谈 Quint CEO Gabriela Moreira，讨论用 TLA+ 与 Quint 对 agentic coding 做形式化验证。
针对 ChatGPT、Claude、Grok 等通用 Agent 被容器、策略层与安全护栏层层围困的现状，SANS 提出反向思路：用强编码 Agent 构建单一用途的小型 Agent，只授予完成任务所需的最小权限。
针对ChatGPT、Claude、Grok等通用Agent能力过强难以围栏管控的问题，SANS提出用编码Agent构建单一用途的小型Agent，只授予完成任务所需的最小权限。
Check Point 在 AI Security 中推出 Dangerous Deviation Detection，在模型选定工具调用之后、工具执行之前检查该调用，只有同时满足危险且用户或系统指令未授权两个条件才告警。
天融信在第41次全国计算机安全学术交流会上分享《智能体时代的网络安全体系构建》，提出以成熟安全底座为基础、补齐智能体专项防护机制，构建覆盖全生命周期的纵深防御体系。方案围绕资产与供应链、运行与行为交互、数据与内容流转、统一控制面及行动控制机制五个层面，已在本地模型安全运行、模型进出口防护、智能体上线前后管控等场景落地。
Fortinet 发布 AI 赋能的 OT 安全平台，整合 OT 可见性、分段、安全远程访问与零信任控制，并支持 MCP 和 A2A 集成以支撑生成式与代理式 AI 工作流。
Anthropic 在官网发文警告，其红队实验表明小型 AI 模型可能在数月内具备在智能烤箱、非品牌 Android TV 盒子等商用 IoT 设备上自我复制的能力。
Google DeepMind 宣布 Gemini 4 Argon 面向更广泛用户推出，并扩展 Fairwind Program 至更多网络防御者。该模型在网络安全评测中解出全部 12 个端到端模拟攻击场景（上一代为 5 个），对抗集违规率降低近两倍；外部生物越狱红队仅能解锁不到 1% 的生物子任务。
Check Point 研究团队用受控实验测试同伴行为对 AI Agent 遵守规则的影响，发现观察到 8 名同伴反悔后，Agent 打开被禁文件夹的比例从 44% 升至 98%。
韩国金融业9月底到10月初遭AI自主网络攻击，最短22秒攻破服务器、单次成本不足1美元、超6万名客户信息泄露，韩国官方证实存在明确AI参与痕迹。2026全球数贸会·西湖论剑大会在杭州举行，安恒信息发布X安全数字员工战队（新增安小虎、安小风、安小云）与安全Token工厂，并提出可信数据空间、数据工厂、Token工厂三层咬合的安全体系。
Palo Alto Networks 提出 AI 时代网络安全应从「椰子战略」（硬化边界、信任内网）转向「芒果战略」：企业边缘多孔且持续变化，最强防护须围绕数据、身份、代码仓库、应用与关键运营等核心。