安全官日刊 · 2026 年 11 月 6 日 · 星期五
保持敏锐 · 独立判断 · 拒绝盲从 · 持续领先
TODAY'S LEAD
OpenAI 发布 GPT-6 Cyber 安全模型，ExploitGym 得分升至 48.5%
OpenAI 发布 GPT-6 Cyber，面向漏洞发现与利用开发的安全研究模型，在 ExploitGym 上得分 48.5%，较 GPT-5.6 Cyber 的 32.1% 提升约 16 个百分点，对齐评测中无部署提示时 99.93% 避免攻击越界服务、加提示后达 100%，在 Preparedness Framework 中被归为 Critical。
AICSO.AI汇总另有 1 家信源报道11.0501Check Point Research 披露 ChatGPT Lockdown Mode 绕过漏洞，可致数据外泄与钓鱼投毒
Check Point Research 发现 ChatGPT 存在可绕过 Lockdown Mode 的漏洞，攻击者借此静默外泄整个聊天记录、通过钓鱼窃取凭据并投递恶意软件。
AICSO.AI汇总另有 1 家信源报道11.0602Check Point Research 深度分析 ARTEX 智能体黑客平台的网络犯罪活动
Check Point Research 发布对 ARTEX 智能体黑客平台的深度分析，发现 2,557 个托管过 ARTEX 面板的系统，其中 1,608 个研究时仍在线且公开可访问，另有 10 个实例因配置错误暴露完整数据库，使研究者得以获取操作者控制台原始数据。
AICSO.AI汇总11.0503Anthropic Constitutional Classifiers++ 论文解读：1,736 小时红队未发现通用越狱
Anthropic 于 2026 年 1 月 9 日发布研究文章、1 月 8 日提交 29 位作者的论文，介绍面向 Claude 的第二代越狱防御 Constitutional Classifiers++，在模型激活之上加线性探针并置于更重分类器之前。
SecurityWeek另有 2 家信源报道11.0504俄罗斯关联黑客组织 Midnight Blizzard 通过水坑攻击投放 iOS 与 Android 利用链
网络安全公司 Sekoia 报告称，俄罗斯国家支持的黑客组织 Midnight Blizzard（APT29）通过大规模水坑攻击，针对欧洲和美国的 iOS 与 Android 用户投放零点击利用链，攻击目标为已修补的 n-day 漏洞。
安全内参11.0405华尔街多家银行收紧外部AI智能体接入权限，封堵资金划转通道
2026年10月，嘉信理财、摩根大通、花旗集团、美国银行等华尔街机构先后出台规则，禁止外部第三方AI智能体直接访问客户账户或自主发起资金划转。嘉信理财称其自动化防御体系每周拦截数十起未授权外部AI智能体代客户登录的尝试，仅通过MCP服务器提供只读信息；摩根大通CEO杰米·戴蒙警告不受管控的流氓智能体风险无法量化，美国银行要求所有资金转出必须经人工授权。
CSO精读11.0606币安634亿美元被盗案暴露AI治理与基础安全漏洞
币安11月3日发布的初步调查报告显示，约634亿美元被盗案由一连串可避免的技术与人为安全失误造成，其中内部AI工具的监控与权限范围不当扮演了重要角色。攻击者先通过两次相隔数月的事件在钱包基础设施工程师的开发机上植入恶意软件，再借助该内部AI工具横向移动到其他开发系统，获取部署token并在币安基础设施上部署容器，最终执行异常提款。
安全内参另有 3 家信源报道11.0407Check Point Research 分析海鸥越狱捆绑包：提示词广告软件持久化劫持 Codex 输出
Check Point Research 发布对海鸥（Haiou）Codex 捆绑包 4.5.0 的分析，将其归类为提示词广告软件（Prompt Adware）：用户输入 hi 等触发词后，Codex 会返回固定口号并推广第三方中转站。
Cyber Security News11.0508ARTEX 攻击者暴露自有服务器，暴露韩国银行入侵背后的 AI 工具链
2026 年 9 月底至 10 月初，韩国 7 家金融机构遭数据窃取，约 66,000 至 67,000 人及约 2,200 家公司受影响，CrowdStrike 将活动归因于开源中国开发的 AI 渗透测试框架 ARTEX，判断为一名讲中文、受经济动机驱动的单独操作者。
Cyber Security News11.0509Acronis披露台湾单人用12个AI agent入侵紧急服务系统窃取数据
Acronis Threat Research Unit披露名为BOSSAI的攻击活动：台湾一名操作者用12个AI agent（9个活跃）攻击11国数百家组织，涉及紧急服务、银行、大学和军方系统，确认窃取医疗数据和个人记录。
虎嗅11.0510富国银行首次将AI智能体责任转移至用户：合同实验的法律逻辑与中美对照
富国银行新版《在线访问协议》第15条规定，用户授权第三方AI智能体使用网银凭证访问账户后，智能体发起的指令与交易可能被视为用户本人行为，风险由用户自行承担，该条款将于2026年11月24日生效。
虎嗅11.061120家机构签约《智能体发展自律公约》，AI操作App仍需过用户授权、平台许可与身份认证三关
11月4日世界互联网大会乌镇峰会上，中国信通院联合华为、腾讯、阿里、蚂蚁、抖音、小米等20家机构与企业发布《智能体发展自律公约》，涵盖智能体身份验证、跨平台互操作、分类分级授权、安全防护等八项内容。
12白宫工作人员设备被发现运行住宅代理服务，可对外出租IP地址
安全专家发现白宫多名工作人员的电脑或移动设备运行住宅代理服务，使其互联网地址可被他人租用。Layer3 Intel检测到总统行政办公室专用网络AS2650上多个住宅代理节点在10月5日至11月3日期间持续外联，期间从白宫网络退出236次，涉及6个IP地址、30天中有26天出现活动，且发现28家住宅代理服务均可经该网络退出。