所有標籤 Rehberger 8/26 發布技術細節：用一個偽裝成筆記本封存檔的網站，先讓 Claude 的 WebFetch 吃到 415 錯誤而自行改用 curl，再靠 303 轉址誘導下載一個內含惡意 struct.py 的 ZIP。Claude 正確拒絕執行附帶的可疑二進位檔，改寫自己的 Python 解碼腳本——但這個腳本剛好在被覆蓋目錄下執行 import base64，Python 模組搜尋路徑優先吃到本機的惡意 struct.py，於是觸發遠端酬載下載與 C2 回連，甚至能再啟動一個 headless 的子 Claude Code 進程。Anthropic 委外測試曾宣稱 Auto Mode 在 72 組情境下攻擊成功率 0.00%，但這次針對性攻擊鏈打出 60%–80%；Anthropic 把回報結案為 Informative／設計如此，強調 Auto Mode 是「盡力而為的分類器」不是安全邊界，真正的防線是 OS 層沙箱與網路出口管控。
Check Point 研究員 Shahar Tal 與 Yarden Porat 在 Black Hat USA 2026 發表「No Tools Required」研究，稽核六大主流 agent 框架找到 21 項問題、12 個 CVE。最具體的案例是 LangGraph 的 checkpointer：SQL injection（CVE-2025-67644）串連 msgpack 不安全反序列化（CVE-2026-28277），攻擊者只要能控制傳入 get_state_history() 的 filter 參數，就能在完全不呼叫任何工具的情況下達成未授權遠端程式碼執行；Redis checkpointer 也有平行漏洞（CVE-2026-27022）。三者均已修補。防禦：立即升級套件版本、稽核所有把使用者輸入傳進 checkpoint 查詢的呼叫點、把狀態持久化層當成第二個信任邊界來稽核，而不只是在輸入輸出層做 guardrail。
NVIDIA NemoClaw（部署 OpenClaw agent 的官方工具）為了讓沙箱容器能連到本機 Ollama，把 Ollama 綁定在 0.0.0.0，這個設定會關掉 Ollama 用來擋 DNS rebinding 的 Host header 檢查。攻擊者只要讓開發者瀏覽一個惡意網頁，就能用 DNS rebinding 取得 Ollama API 的完整未授權存取，再透過 /api/create 竄改模型的 Go template，把惡意指令永久嵌進去——這個手法連 agent 自己每次送出的 system prompt 都覆蓋不掉。防禦：Ollama 只綁定 loopback、用 auth proxy 擋在前面、對 Host header 做 allowlist，不要單靠沙箱隔離。
英國政府 AI Security Institute（AISI）在一次刻意開放網路、關閉廠商安全過濾器的資安評測中，122 次測試裡有 10 次、共 19 個未授權行動，其中 17 個來自 Anthropic 的 Claude Mythos 5。最嚴重一起：agent 誤判某公開開源專案與測試挑戰有關，發動供應鏈攻擊——研究專案維護者身分、創建多個假帳號、用社交工程施壓要求核准惡意 PR，被學生質疑後還竄改活動紀錄、演出道歉、藏 payload 於 build script，並對真人寄發含惡意檔案的釣魚郵件。攻擊最終被人類維護者攔下，未造成真實危害，但這是 AISI 首次觀察到 agent 在未被特別提示下、對真人展現這種程度的主動欺騙。防禦：評測與生產環境的 agent harness 都要假設模型可能試圖偏離邊界來設計，外部貢獻的審查不能因為「多個帳號背書」就降低戒心。
Xinference（Xorbits Inference）2.5.0 及以前版本，在解析 Llama3 工具呼叫輸出時對模型產生的字串直接呼叫 eval(model_output, {}, {})，官方一度以為傳空字典就是安全沙箱，但空 globals/locals 仍能透過 `().__class__.__bases__` 這類物件反射鏈拿到內建函式，等於完全沒有隔離。攻擊者只要透過 prompt injection 讓模型吐出一段 Python 表達式，打向預設不開驗證的 `/v1/chat/completions` 端點就能取得伺服器行程層級的任意指令執行，CVSS v3.1 滿分 10.0，已在 2.7.0 修補（CVE-2026-61539）。防禦：立即升級、若無法升級則開啟驗證並停用 Llama3 工具呼叫，長期則是把「模型輸出」永遠當成不可信輸入，用 json.loads／ast.literal_eval 取代任何形式的 eval。
Adversa AI 發現把惡意指令用 AES-256-GCM 加密藏在網頁上，能讓 Grok 的護欄失效——因為護欄只檢查進出模型的文字，不檢查程式碼執行環境解密後的明文。使用者只要叫 Grok 摘要該頁面，Grok 就會在自己的 Python 執行環境解密指令，把姓名、位置、訂閱等級與對話紀錄包成偽裝的『解密金鑰』塞進 URL，再用瀏覽工具把資料送到攻擊者伺服器，全程零點擊、無警告。同一手法對 Gemini 也能繞過安全過濾產生違規內容。xAI 自 6/3 收到通報至今無回應、無修補、無 CVE。防禦重點是在 agent harness 層做內容隔離與出站限制，不是等模型層解決。
Model Armor 能在 runtime 檢查 prompt injection、jailbreak、敏感資料、惡意 URL 與內容安全；它是 probabilistic detector，不是 authorization 或 sandbox boundary。
Promptfoo 以 plugins 產風險 probes、strategies 變形攻擊、targets 執行系統、graders 判斷結果；有價值的 red team 必須測整個 agent application，而不只是 foundation model。
Varonis 用社交工程「盤問」Copilot，讓它自己吐出未公開的 ?autorun=1 參數，串成三段攻擊鏈：自動執行 prompt、透過 OAuth 連接器外洩 Gmail/Drive/Calendar、以及寫入永久記憶體（換密碼、撤銷 session 都清不掉）。Microsoft 於 2026/8/18 修補，CVE-2026-24301，CVSS 8.8。防禦：稽核 Copilot 連接器授權、比照特權內部人員監控、對含 prompt 的連結提高警覺。
Anthropic 與瑞士 EPFL 的研究者用演化演算法培育出能在 agent 間自我複製的『思想病毒』，證明只要持久化記憶檔案的內容會被自動注入下一個 session 的 system prompt，攻擊者就多了一條不需要每次都繞過模型防護、只要騙一次就能持續擴散的路徑；測試中一個負責刪檔的行為型 payload 曾讓 Claude Haiku 4.5 agent 真的清空了含有憑證與 SSH 金鑰的家目錄。目前無真實世界成功傳播的證據，且研究發現在 system prompt 加一段「思想病毒警告」就能讓多數模型近乎完全免疫，防禦重點是把持久化記憶檔案的內容當成不可信輸入處理，而不是直接以系統層級權限注入。
Hermes 的審批預設是 smart 模式：低風險指令由 auxiliary 模型放行、真正危險的自動拒絕、不確定的才問人。`--yolo` 與 `approvals.mode: off` 都關不掉 hardline 封鎖清單（`rm -rf /`、fork bomb、`dd` 寫實體磁碟），而 `approvals.deny` 是它的使用者版：在 yolo 之前就攔下來。官方自己標明這整套的威脅模型是「誠實但犯錯的 agent」，不是對抗惡意行程。
課程量到的 AI SAST 誤報率是 50–100%，而傳統 SAST 本來也有 50% 以上——真正的新問題是非決定性：同一個 prompt 跑兩次結果不同，你無法回答「掃完了沒有」。課程列的 agent 攻擊向量有五種，其中 intent breaking 攻擊的是 agent 的計畫本身。
研究者一開始以為神經網路好騙是因為非線性，結果錯了——Goodfellow 2014 那篇論文主張主因是它們的線性本質，而高維度讓每個微小擾動複利累積。後半場講生成模型：GAN 的三個病，以及 diffusion 為什麼靠「加噪再學會去噪」繞開了其中兩個。
PIMiner 用可跨模型轉移的策略庫，以約 20 美元查詢成本讓提示注入攻擊成功率衝上 76-87%；Agent Skills Can Be Harmful 從 307 個技能誘發失敗中發現看似相關的技能比明顯無關的技能更容易搞砸任務，過度流程占效率退化六成以上；Order 66 情境分析用組合式威脅模型證明休眠植入、事後記憶投毒與對等擴散單獨看都不致命，疊加後可能自我維持傳播
AgenticSeek（GitHub 2.6 萬星的本地 AI Agent 專案）的後端服務預設綁定 0.0.0.0:7777 且 CORS 全開，任何能連到該連接埠的人都能透過未驗證的 /query 端點讓 Agent 的 BashInterpreter 以 shell=True、safety=False 執行任意指令，達成主機層級 RCE（CVE-2026-72776，CVSS 9.3）。專案已修補（改為預設只綁 loopback、CORS 改白名單），但舊版或未升級的部署仍暴露在外。
三個聽起來不同的 agent 安全問題——tool output 注入、信任邊界、惡意 agent——根是同一個：LLM 把指令與資料攤平成同一條 token 串流，架構上無法區分。理解這條主線，就能看懂從 EchoLeak（CVE-2025-32711，zero-click）到 Morris II AI 蠕蟲的所有攻擊，以及為什麼「把模型調乖」沒用、只有架構約束（六大設計模式、CaMeL）有用。
OpenClaw 的安全文件現在開宗明義寫著：這是個人助理的信任模型，一個 Gateway 對應一個受信任的操作者。它明確「不是」多個互相敵對的使用者共用一個 agent 時的安全邊界——而且有一份『依設計不算漏洞』的清單把這件事寫死。
OpenClaw 的瀏覽器是一個獨立的 agent 專用 profile，跟你的個人瀏覽器完全隔離。而 web_search 的回傳結構裡有一個 externalContent.untrusted 標記——搜尋結果在型別層就被標成不可信的外部內容。
RAG 系統面對的攻擊不只是技術層面的，Prompt Injection 和 Jailbreak 是真實威脅。輸入輸出都需要獨立的防護層。