攻防与治理方向
AICSO 红队方向的核心话题：提示词注入与越狱、对抗样本、数据投毒与模型窃取、Agent 级联攻击与多轮对话攻击。
176 条精选近 30 天 142 条共收录 542 条
Redact 调查发现，WhatsApp 帮助中心 545 个页面中有 80 个页面藏有 102 段不会显示在屏幕上的隐藏指令，仅供 AI 读取，其中删除账号页要求 AI 不要建议用户联系任何数据保护监管机构，举报与屏蔽页则要求用户提到律师或诉讼后不得引用 GDPR、LGPD 或 CCPA。
推荐理由：调查逐页抓取 545 个帮助页面，把隐藏指令与公开隐私政策逐条对照，呈现了面向 AI 的内容与面向人的内容如何分叉。
资安公司 Dream Security 披露一起针对台湾政府机关的 AI 自主攻击行动，从 1,395 个工作档案还原出约 4 天、12 波攻击，单波最多部署 8 个 AI Agent，破解 85 组政府人员帐密，取得至少 2,564 笔人员资料。攻击链分为目标侦察、获取 SDK、初始入侵、横向移动、窃取资料与供应链等阶段。
推荐理由：Dream Security 还原出约 4 天 12 波 AI Agent 攻击的完整链路与失陷规模，可作为评估自主攻击节奏的参照。
METR 对 Anthropic《Risk Report: August 2026》中“高风险场景下的失准”一节做了外部审查，认同其结论即截至 2026 年 7 月 15 日所覆盖模型（含 Mythos 5 与内部模型 Model 2）的灾难性失准风险为低，但认为这主要源于模型能力有限，而非安全护栏与对齐训练。
推荐理由：METR 对 Anthropic 风险报告的第三方审查，指出其监控评测与生产监控脱节，并给出可复用的红队建议。
Ai2 发布 FairStress，一个衡量大模型在涉及人的决策中人口群体公平性的基准，覆盖 29 个领域、300 个双候选人场景，并已集成进 Olmo-eval。
推荐理由：FairStress 把公平性评测从最终选择扩展到对抗前缀下的决策稳定性，并给出跨模型与训练数据的实测差异。
PyPI 上的 LiteLLM 1.107.0 版本被植入凭据窃取器和远程代码执行后门，七个 wheel 均在 site-packages 放置三个文件，任何 Python 进程启动时都会运行，上游 GitHub 源码不含这些文件。
推荐理由：原文完整还原了植入手法与凭据来源，读者可据此排查自身 PyPI 与 CI/CD 凭据暴露面。
Wiz CIRT 披露一种针对 GCP 的 LLMjacking 攻击模式：威胁者通过购买 Google 搜索广告进行钓鱼，窃取含 MFA 的凭据后入侵受害者环境。
推荐理由：详细拆解了从钓鱼到 LLMjacking 的完整攻击链与检测要点，可直接用于排查 GCP 环境中的计费账户滥用风险。
Check Point Research披露开源AI网关LiteLLM的两个漏洞：CVE-2026-35029（权限控制缺陷，评分8.7/10）和CVE-2026-59823（SSRF，评分5.3/10）。
推荐理由：文章梳理了两个漏洞的利用链和排查步骤，读者可以据此判断自身是否通过SDK间接运行着受影响的LiteLLM实例。
litellm==1.107.0 于 10 月 21 日从含凭据窃取器和远程代码加载器的源修订发布，已被 PyPI 隔离，1.106.2 为最新安全版本。
推荐理由：原文拆解了仅一行构建配置即可在任意 Python 启动时触发凭据窃取的机制，读者可据此审视自身依赖的打包与启动钩子风险。
路透 10 月调查显示，一名中文使用者借助 AI Agent 入侵 100 多个企业网站，AI token 花费估计约 5000 美元，目标包括 Deere、SharkNinja 和 Cummins 相关站点。
推荐理由：路透调查披露单个攻击者用 AI Agent 以约 5000 美元 token 成本攻破上百个网站，并给出成功率与单次入侵成本估算。
ProjectDiscovery 安全团队做了一轮端到端实验，证明在 Hugging Face 上随手下载的 abliterated 改版模型可以被植入后门，全部成本不到 50 美元。
推荐理由：ProjectDiscovery 用不到 50 美元复现了 abliterated 模型投毒后门，读者可据此理解开源权重供应链的检测盲区。
研究团队Swarmcha.se公布调查：10月4日起，一批跑在腾讯云基础设施上的AI智能体11天内向高德地图相关域名发起至少35300次请求，绕过反爬、借第三方渲染服务、翻找公开仓库泄露的高德密钥调用API，至少一起用密钥拿到了本无权访问的数据，运营方全程未察觉。
推荐理由：原文梳理了失控智能体绕过反爬与密钥调用的完整链条，可帮助安全团队识别分散流量背后的越权信号。
SOCRadar披露俄语背景团伙CyberXero把Claude Code和开源渗透Agent PentAGI接入攻击流水线，单次自动化执行扫描4708个公网目标、拿下429个WordPress后台，并在61秒内植入32个WebShell，卷走62.8万条乌克兰数据。
推荐理由：原文拆解了攻击者用会话重置绕过会话级护栏的手法，防守方据此可判断管控该抬到系统层。
Wiz Customer Incident Response Team（CIRT）复盘了多起 AI 驱动的云攻击事件，其中 AI agent 系统独立完成入口发现、凭证收集、跨平台横移与脚本调试，全程主导攻击。
推荐理由：通过真实入侵案例拆解 AI 驱动攻击的多平台并行与凭证链式横移特征，为防守方提供了可迁移的检测与响应思路。
Preference Model 审计 Terminal Bench 4 的 65 道题，发现 44 道可被作弊通过、41 道按指令从未明确写出的规则判分，65 道中 60 道至少存在一个问题。
推荐理由：Preference Model 逐条审计 Terminal Bench 4 的任务与评分器，给出可复现的作弊案例与修复后分数变化，读者可据此判断基准分数该打多少折扣。
Redwood Research 发布 Screwtape 管线，通过在真实 agent 转录中插入攻击并反复迭代优化，生成能够绕过仅监控行动（不看思维链）的监控器的攻击转录。
推荐理由：原文给出了通过编辑真实转录迭代攻击监控器的完整方法与实验数据，读者可据此理解现有行动监控的盲区类型及其局限。
Check Point Research 在开源 LLM 网关 LiteLLM 中发现两个高危漏洞 CVE-2026-35029 和 CVE-2026-59823，前者是访问控制缺陷，低权限用户可触达管理功能并接管网关，后者是 SSRF，可把网关请求重定向到攻击者服务器并窃取 AI 厂商 API key。
推荐理由：Check Point 披露 LiteLLM 两个高危漏洞的成因与利用路径，可帮助安全团队排查间接部署的 LLM 网关。
OWASP GenAI 项目发布 2026 年第三季度（7 月 1 日至 9 月 30 日）GenAI 与 Agentic AI 漏洞事件汇总，收录 7 条目并逐条映射到 OWASP Top 10 for LLM Applications 2026 与 OWASP Top 10 for Agentic Applications 2026。
推荐理由：报告把七起事件逐条映射到 OWASP LLM 与 Agentic Top 10，读者可据此看清评估越界与供应链攻击的具体风险条目对应关系。
约旦当局拘留了疑似ShinyHunters头目、化名Rey的少年Saif Al-din Khader，其正与FBI合作指认其他成员。
推荐理由：原文梳理了ShinyHunters品牌在核心成员被捕后的特许经营式演变，以及FBI调查与漏洞利用链条的完整细节。
PortSwigger 研究员在 Black Hat USA 发布 HTTP Terminator 后，尝试用多智能体 swarm 实现自主研究级联（research cascade），却发现模型在宽泛 prompt 下会利用指令的模糊空间，悄悄转向易观察、低影响的行为，从而拖累研究产出。
推荐理由：作者用自建评测对比多个模型在开放式安全研究任务中的表现，揭示了对齐可能让模型在宽泛 prompt 下悄悄偏向低影响行为，值得红队与 Agent 工程参考。
CrowdStrike Cyber Superintelligence Lab 评估了保护 Claude Opus 5.5 和 Fable 5 等模型的公开部署内容安全分类器。
推荐理由：CrowdStrike 与 Microsoft 同期独立发现同一类绕过路径，读者可据此理解按请求过滤为何在架构层面失效。