Chainalysis 於 10 月 30 日公告：本月有外部攻擊者透過「攻勢性 agentic 技術」（offensive agentic techniques）取得其內部系統與工具的未授權存取，外流的客戶資料包含 user ID、姓名、email 與組織角色標籤，但未涉及調查內容、驗證憑證或 session token。公司沒有公開具體漏洞或攻擊手法，只說正在修補並用大型語言模型協助全面資安複查。這起事件與同一週揭露的 Storm-0940／ARTEX 供應鏈攻擊、Binance 63 億美元失竊並列，顯示「agentic」已成企業揭露攻擊時常見的描述詞，但技術透明度仍遠遠落後。
CVE-2026-62863：MoLing（檔案操作＋瀏覽器控制的 MCP server）在 SSE 模式（`-l` 參數）下，/sse 與 /message 端點不驗證身份，依賴的 mcp-go 套件又固定回傳 `Access-Control-Allow-Origin: *`，讓任何來源的網頁都能用 EventSource 讀到受害者的 sessionId，再冒用它呼叫已設定的 MCP 工具，視工具組合可讀寫檔案或執行指令。綁定 127.0.0.1 也擋不住，因為攻擊是從受害者自己的瀏覽器發起。已在 v0.5.0 修補，加入 bearer token 驗證並清掉偽造的 CORS header。
攻擊者在合法的 anthropic.claude-code 擴充套件識別碼下，於 Cursor Marketplace 發布了被竄改的 2.1.313 版本，在原始碼前插入約 66 行惡意載入器，嘗試植入 SSH 後門、建立反向連線並回傳主機資訊；因程式碼本身的錯誤，多數 macOS／Windows 主機上的 SSH 啟用步驟失敗，但後門金鑰與持久化機制仍會被植入。Cursor 已下架套件、關閉攻擊者伺服器並公布修復腳本；防禦重點是版本雜湊驗證與擴充套件最小權限，不能只信任「發布者 ID 相符」。
Dream 研究團隊 10/25 發現一起攻擊行動：把 PHP2Shell（CVE-2026-109618／109619）和 Linux kernel 的 Fragnesia（CVE-2026-46300）串成一次不需帳密的 HTTP 請求，15 分鐘內拿到 PAN-OS 防火牆的 root，全球掃到 25 台中招，3 台屬美國政府機構環境並往內網 Active Directory 打。現場的 Claude Code 安裝記錄、接 DeepSeek／Kimi 的 aiscan 攻擊平台、近 40 支腳本一致的程式風格，指向攻擊鏈開發過程本身用了 AI 輔助。Palo Alto Networks Unit 42 已獨立驗證並發布各分支修補版本，立即動作是把管理介面下線到信任網路，確認版本後跟著修補時程更新。
**obra/superpowers**（⭐ 307,258，今日 +1,096）、**Nutlope/hallmark**（⭐ 40,442，今日 +2,109）同天衝上 GitHub trending，兩個都在教 coding agent「不要做出一眼就看出是 AI 做的東西」；**nightly-labs/openbot**（⭐ 3,097）用桌面 app 管一堆 agent，**expo/skills** 讓官方也下場發自己的技能包。release 這邊 pydantic-ai v2.63.0 丟出一批相容性變更，crewAI v1.15.31 修了 deserialization／SQL injection／path traversal 三個資安漏洞。
Model Context Protocol 官方 Python SDK（`mcp`）與 TypeScript SDK（`@modelcontextprotocol/sdk`）10/27 同天在 GitHub Advisory Database 公開四個安全公告：CVE-2026-116684（伺服端 OAuth token 沒驗證 audience，CVSS 6.8）、CVE-2026-116685（client 端跨源重導向會把憑證一起轉送出去，CVSS 5.9）、CVE-2026-116686（client 驗證 tool 回傳 schema 時會對不可信 `$ref` 發 SSRF 請求，CVSS 6.5）、GHSA-f897-62hf-6gxq（TypeScript server 沒有請求大小上限，CVSS 7.5，無 CVE 編號）。修復版本 Python 9/7、TypeScript 10/2 就已發布，但 audience 驗證這個最關鍵的修復是 opt-in、預設關閉，光升級套件版本不會真的補上這個洞。
Forever Security 10/22 發布報告：在真實客戶機器上抓到有人透過 Downloads 資料夾裡的 AGENTS.md 檔案，操控 coding agent 安裝惡意 npm 套件 function-color。研究團隊重建整條攻擊鏈驗證於 OpenAI Codex（成功率 90%+，寫入機器全域設定 ~/.codex/config.toml 達成持久化）與 Claude Code（約 50% 機率透過偽造 CLAUDE.md 讓 agent 改寫 .claude/settings.json 的 ANTHROPIC_BASE_URL，洩漏 OAuth token 並進一步取得程式碼執行）。瀏覽器預設會在無點擊、無授權的情況下把檔案存進 ~/Downloads，這是攻擊能成立的關鍵前提，而且官方說「這不是能修的漏洞」。防禦：別把 ~/Downloads 當 agent 工作目錄，檢查 agent 設定檔有沒有被動過。
SOCRadar 10/20 發布報告，揭露 INC 與 Gentlemen 兩個勒索軟體集團的共用操作者因 OPSEC 失誤曝露 7 台伺服器，裡面是 8,257 則 AI 對話紀錄（133 個 OpenCode session）、自製的 Phantom 自動化紅隊框架（32 個 MCP 伺服器串接工具）、46 支已打包的 INC 加密器，以及 62 家受害組織的完整案件檔案。攻擊者靠 FortiClient EMS（CVE-2026-35616）、SimpleHelp（CVE-2024-57727）、cPanel（CVE-2026-41940）等邊緣裝置漏洞大規模取得入口，再讓 AI 在「人核准每一步」的前提下規劃偵察、產生指令、整理竊得資料、撰寫勒索信。防禦：稽核任何對外暴露的 EMS／RMM／VPN 管理介面，並把「MCP exec_in_session 之類的工具執行介面」當成需要存取控制與稽核紀錄的高風險通道，不是單純的開發輔助功能。
LiteLLM 官方 10 月 24 日公布完整調查，推翻 10/23 的「Claude Code log 外洩」假設：真正根因是 2026 年 5 月 27 日外流到公開 repo、之後一直沒被撤銷的 Agent Platform master key。攻擊者 10/10 用這把鑰匙偷到一組範圍過大（org owner 等級）的 GitHub token，再用「建立 ci-tmp-x 分支推 push-triggered workflow、幾分鐘內刪掉分支」的手法近乎無痕地偷更多金鑰，最後在 10/21 覆寫發布管線推出惡意版本。防禦：外流過的密鑰即使已清掉 commit，也要假設已外洩並強制撤銷；稽核 GitHub Actions 時不能只看現存分支。
偵測與稽核工具是一條光譜：Uber ADR 的開源版純事後讀紀錄，numbat 預設只監控，其餘多半賣點是能在動作前擋，預設卻先只觀察。紀錄能不能當證據，取決於誰能改它：簽章金鑰和被稽核的 agent 同機同使用者時，只能發現竄改，不能防止竄改。
護欄在 agent 動作之前攔截。Claude Code 上的主要接點 hook，官方文件寫明大多數事件上出錯或逾時會照常執行，要擋得設 onFailure: block。別的工具各有各的出錯行為與預設：Agent Governance Toolkit 的函式庫沒載入政策時放行，NeMo 的偵測器連不上時放行，llm-guard 與 rebuff 已封存。選護欄先問三件事：攔在哪、掛了怎樣、誰能改規則。
我把 agent 沙箱分成四種：共用核心的作業系統隔離、容器編排、本機 microVM（輕量虛擬機）、遠端 microVM。Claude Code 的沙箱預設關閉、只包 shell 指令；Codex CLI 本機預設開啟。公開的逃逸案例多半繞過邊界旁邊的設定檔或檢查腳本，不是打穿核心；沙箱回答的是被騙之後能走多遠，不是會不會被騙。用 Claude Code 的話，先開沙箱，再把 ~/.ssh、~/.aws 列進拒絕清單，並另外擋住 Read 工具。
裝 skill、接 MCP、讓 agent 跑指令時，風險可以看成從四個入口進來。我把相關的開源防護工具依介入的時間點分成七類，從安裝前掃描、沙箱、護欄到稽核與紅隊測試。這一篇先看每一類管哪一段，以及三個反覆出現的限制：沒有單一工具能獨當防線、預設值常常對你不利、公開的偵測數字缺少獨立評測。
AI 滲透工具把 LLM 當攻擊者，去測傳統軟體。它們有兩個共通問題：工具本身是攻擊面（被測目標可以用 prompt injection 反控它，HexStrike 的伺服器甚至沒有驗證），以及開源之後管不住用途（同一個工具既能做授權測試也能被拿去攻擊，ARTEX 與 HexStrike 的防濫用設定都是操作者可以改的預設值）。讀「某工具被濫用」的新聞，要問誰說的、是不是獨立的證據。ARTEX 事件有多家廠商分析，但其中幾家分析的是重疊的攻擊者基礎設施，或直接引用彼此，不能算成多個獨立證據。
兩份都寫「攻擊成功率 5%」的報告不能直接比：數字背後有誰出題（攻擊者模型）、誰判定（judge，負責判定的模型或規則）、分母算什麼三個變數。garak 官方 FAQ 說自己的分數沒有科學效度，HackAgent 白皮書裡兩個模型的先後會隨 judge 門檻翻轉。我查到的資料裡，四個工具都沒有獨立的準確度評測。
兩個代表的做法相反：Cloudflare 的 security-audit skill 是純 LLM 的多階段流程，Cloudflare 說他們內部的 harness 接了 Semgrep 之後，獵捕用的 agent 一個月都沒呼叫；Trail of Bits 則是 Semgrep、CodeQL 腳本加 LLM 判斷。我在兩者的規則與附檔裡都找不到 Workers、D1、KV 或 Astro 的專屬檢查，兩者也都沒有公開在真實專案上的準確率。這篇只讀了文件，沒有對任何專案試跑。
看到『涵蓋 OWASP 10/10』『已併入 Microsoft 與 Cisco』『偵測率 9X%』時，問五題：誰說的、這個詞指什麼、誰出的題、量的是什麼、一手來源在哪。前面幾篇與這篇補的幾個案例，剛好各示範一題：微軟 toolkit 自己寫 7 項完整、3 項部分；ATR（一套開源的 agent 威脅偵測規則）併入 Microsoft 與 Cisco 的 PR，查過的三處都是作者本人提的；Cisco 自己量的偵測率和獨立研究量的差好幾倍；常見的 benchmark 評的是模型或 agent，不是掃描工具。
Duet、Muse、Dots、Grok Bot 和 OpenClaw、Hermes 都能在背景替你處理信件與帳號，差別在電腦、憑證、審批、資料和模型這五層由誰掌握。代管型在寄信、付款前有審查模型和你的核准把關；OpenClaw 和 Hermes 預設把工具直接跑在主機上，OpenClaw 連核准都不跳，要照官方強化設定自己開沙盒。
這四個安裝前掃描器的做法可以分成靜態規則、LLM 判斷、實際連線讀 MCP server 三種，多數同時用兩種以上。Cisco 自己的文件顯示，只靠規則時，面對沒見過的惡意樣本只抓到約 8%；第三方測試也顯示，換一批樣本數字就大幅改變。掃描器適合當輔助篩選，「沒有發現」不等於安全。
Microsoft 於 2026-10-21 揭露，中國國家級攻擊者 Storm-0940 用開源 agentic AI 滲透測試工具 ARTEX（原於南韓銀行事件後轉為閉源，但程式碼已流出、被多方攻擊者沿用）自 9 月起自動化攻擊橫跨國防、能源、金融等產業的數百個組織；10/10–14 對 8 家組織的 327 個帳號密碼噴灑產生 15.1 萬次失敗登入，10/15 起利用竊得的 ConnectWise Cloud Backup 多租戶 app 憑證，對 2,250+ 租戶以每分鐘 2,900 次嘗試自動登入，部分組織在 3 小時內就被取得雲端特權存取並修改身分與角色做持久化。Wiz 於 10/23 更新指出攻擊已擴散到其他軟體供應商。防禦：稽核並輪換任何曾授權 ConnectWise 應用的憑證、檢查 Entra 服務主體登入與目錄變更紀錄、對多租戶 app 套用最小權限。
LiteLLM v1.107.0（PyPI／Docker Hub／GHCR）在 2026-10-21 UTC 上午遭惡意版本取代，內含會竊取雲端／AI 金鑰並每小時回連遠端伺服器執行任意程式碼的後門；Wiz 觀測到竊得的 AWS 憑證在 4.5 小時後就被拿去測試 Bedrock，手法符合 LLMjacking。根因疑似是攻擊者透過一台意外曝露在公網的內部機器，取得因 Claude Code 把 GitHub CLI OAuth token 寫入回應內容、又被 LiteLLM 記錄進 log 而外洩的憑證,進而拿下發布權限。防禦：確認是否裝過 v1.107.0、立刻隔離並輪換所有憑證、容器改用 digest 釘選而非 tag。
先固定告警在偵測什麼，再區分誤報、已擋住的攻擊和證據不足。讓助手提出帶事件依據的分流建議，關單需要符合事先定義的條件。
先追身分、物件與回傳路徑，再驗證正常和越權案例。審碼評論只提出假說，實際回覆與獨立政策才決定漏洞是否成立。
想查程式判斷就用可重設的副本，想查部署邊界就保留雲端條件，想驗真實系統就對齊專案範圍。換環境時保留問題與判準，重新記錄改變的條件。
先保留來源與時區，再排序與關聯請求。工具讀到一張工單只能證明那次讀取；摘要、缺失日誌與修補後拒絕，都不能替代原始證據。
用同一組 HTTP 請求比較有洞版與修補版，保存工單讀取證據、稽核事件與時間線。越權讀取要被擋住，正常使用者也要繼續讀得到自己的資料。
從同一套客服助理出發，學 AI 如何協助找漏洞、AI 系統如何守住資料與工具權限，以及如何用 AI 調查、修補。每條路線都交出可重現的證據。
修補要同時擋住越權、保留正常功能，並在實際目標重跑。告警消失和本機副本通過，各自只能證明其中一部分。
調查權限不應自動包含處置權。讓可信執行端核對角色、事件、精確提案與當前狀態，再執行並留下可回查結果。
固定獨立真值，先算誤報、漏報及未判定，再量人工時間與操作風險。快速結案不會自動證明結案正確，規則重播也不能當成模型成效。
Symantec Threat Hunter Team 用模擬未受保護 AI 服務的 honeypot 捕獲一份完整攻擊指令：攻擊者打造的「Skynet」模式 agent 會搜尋裸露的 LLM／AI gateway／MCP 端點，用分層 jailbreak 解除商用模型安全護欄，再指揮 74 個工具掃描、入侵常見 web 框架、偷資料庫與金鑰、裝加密貨幣礦工，可無人值守跑 10 萬步。防禦：任何對外曝露的模型端點或 MCP server 一律要求驗證、金鑰視同高價值憑證輪換、限制 agent 主機對外連線。
權限要在檢索時就過濾：每段文字帶著能看它的群組，查詢帶著使用者的群組，不符合的根本不進候選，而不是讓模型讀了再叫它別說。AI 不會新增權限，但會讓本來分享得太寬的文件變得一問就找得到，所以上線前要先整理過度分享。權限改了，索引不一定跟著改：有的連接器只在完整爬取時更新權限，最多延遲一天。過濾也有代價：條件很嚴時，某些向量資料庫會回傳不足的結果。上線前寫一題越權測試放進測試題。
收進知識庫的文件可能夾著個資，也可能藏著寫給 AI 的指令；後者已在 Slack AI 和 Microsoft 365 Copilot 上被示範過。只在系統提示叫模型忽略效果很小，比較穩的是入庫時加個資與指令兩道關卡，再限制模型能做的動作。偵測工具都不保證找全，每一層都只是降低風險。
OpenCode 10/18 公告 Console 服務遭入侵，受影響的 1.4% 使用者是曾把 OpenAI／Anthropic／Google 金鑰貼進 Console 代打 API 的人；官方稱攻擊與想靠大量查詢蒸餾出模型行為的「distillation attack」有關，但沒公布根因。已有使用者在 X／Reddit 回報數百美元的未授權用量。防禦：盤點誰裝了 OpenCode、檢查 `auth.json` 裡連結了哪些供應商、立刻到供應商後台輪換金鑰並設用量上限。
REA 是一個 MIT 授權的 MCP server，讓 Claude Code、Codex、Cursor 等 agent 透過 Ghidra、Hopper 或 IDA 讀原生執行檔，也能直接拆 Electron、.NET、APK 與網頁。它跟 GhidraMCP 這類單一引擎橋接的差別，在於每筆結果都附證據 ID、涵蓋範圍與限制。一行 npx rea-agents setup 裝好，分析 JavaScript 不用任何反組譯器。
Elastic Security Labs 揭露 Apex Accelerator（追蹤代號 REF8801）用 @apexacc/cli 和 @apexacc/audit 兩個 npm 套件，一邊裝 Windows/macOS 的 infostealer 和後門，一邊把一套開源 coding agent 改造成會偷換 LLM API 端點、寫入攻擊者 MCP server 的版本。防禦：移除套件、翻轄 secret、安裝前核對 MCP server 設定來源。
論文《My Credentials, Please》（arXiv:2610.22301,2026/10/15）定義「檔案系統能力洗白」：工具宣告的用途（如 git_add）跟它實際能碰到的檔案範圍不一致,使用者批准呼叫不等於限制了伺服器能讀寫的範圍。掃描 21,097 個 MCP server,4,806 個完成分級,787 個（16.4%）有未宣告的檔案存取能力,動態測試確認 150 個可利用,其中 96% 用最簡單的路徑穿越就得手。連 Anthropic 官方 Git MCP Server 都因此修了兩個 CVE（CVE-2025-68143、CVE-2026-27735）。防禦：本機 MCP server 一律用容器或限權帳號跑,不要讓它跑在存有 SSH 金鑰、雲端憑證的帳號下。
OpenAI 官方 skill repo 的 render-deploy skill 自 2026 年 1 月起就把一個從未註冊的網域（render-internal.com）當成 Render 內部服務網域寫進文件，Codex 會把它編進生成的部署程式碼；AIR Security 搶先註冊該網域架被動 sinkhole，證實真實生產環境正在把 API token 和呼叫送過去。Render 8/14 修、OpenAI 8/26 移除 Render plugin，技術文章 10/16 公開。
TypeSafe 的 System One 決策模型 Jev 只回傳選項機率與分數，不輸出自由文字。HiddenLayer 測試發現：模擬購物車結帳頁藏一個『確認價格』廣告按鈕，就能讓 Jev 把 91% 機率點在廣告上而不是結帳鍵（原本該有 99.7% 機率正確結帳）；TokenBreak 變體攻擊也能讓本該被擋的毒性 prompt 繞過 Jev 的分類判斷。TypeSafe 未回應置評請求，目前無修補。防禦：決策模型一律當 LLM 做威脅建模，高風險動作（金流、資料、權限）前加獨立確認，別讓單一分數門檻直接觸發動作。
CVE-2026-105740（CVSS 9.9）：Langflow 1.9.0 之前版本，任何已登入帳號（含非管理員）都能透過 MCP stdio 伺服器設定 API 寫入任意 OS 指令，指令在讀取伺服器清單時就會自動執行，等於未授權使用者也能拿到完整伺服器執行權限。安全公司 Previdian 的蜜罐從 9/19 起觀測到 1,600+ 次攻擊嘗試、28 個不同攻擊來源 IP，10/11 起攻擊量暴增，同一批基礎設施也在打 Flowise 與其他 Langflow 舊漏洞。防禦：立即升級到 1.9.0+，關閉 `LANGFLOW_AUTO_LOGIN`，不要把 Langflow 直接曝露在不受信任的網路上。
CVE-2026-103572（Microsoft 評為 Important、CVSS 8.8）：Copilot 擋寫入 `.mcp.json`、`settings.VisualStudio.json` 的檢查只比對字串，Windows 寫檔時會丟掉檔名尾端的點，所以 `.mcp.json.` 會通過檢查、實際寫進真正的設定檔。被 prompt injection 劫持的 Copilot 可以加一個惡意 MCP server，或把 ripgrep 路徑換成任意程式。10/13 Patch Tuesday 已修，公開 PoC 已釋出。防禦：更新 VS 2022 到 17.14.42、VS 2026 到 18.10.4 並更新 SSMS，檢查兩個設定檔有沒有沒人加過的 server 或工具路徑。
這是 `從零開始的資安獵人` 系列（0 → 14）的閱讀入口。每篇用白話講一個決定，並附可驗證的官方來源，適合沒有資安背景的讀者。
先重跑對照組，再只改一個欄位；狀態碼或文字反射本身都不是漏洞證明。
TEE 是硬體隔出來的執行環境，目標是連機器的營運者也看不到裡面在處理什麼；遠端證明則讓外人驗證「房間裡跑的是哪份程式」。WhatsApp 的 Private Processing 用它跑 AI 摘要，Meta 的獎金頁把 TEE 內程式碼執行（含繞過程式碼證明）、權限提升、VM 逃脫各列到最高 30 萬美元，資料洩漏 15 萬、持久化 1 萬，僅限受邀，且只有內部情境的漏洞另有較低的上限。Trail of Bits 的審查找到 28 個問題，其中 8 個高嚴重度，說明 TEE 的難處在實作細節，不在概念本身。
AI 產品的獎金頁多半不收「模型說了什麼」（越獄、幻覺、有害輸出），收「模型被叫去對別人做了什麼」（間接 prompt injection 造成的動作與資料外洩）和產品周邊的傳統漏洞。Google AI VRP 的基準獎金是 100 到 20,000 美元，OpenAI Safety Bug Bounty 每筆 250 到 7,500 美元。以上為 2026-10-14 查閱的版本。
Google 依報告品質把獎金乘上 0.8、1 或 1.2 倍，看七個維度，而且只採計分流前已有的資訊，事後補充通常不影響。照一頁模板（標題、摘要、前提、重現步驟、影響、修補建議）寫，再用「機率 × 金額 ÷ 時數」粗估每小時期望；上限再高，機率小到一定程度，期望也可能比小額獎金低。送出後只有 Resolved 保證有獎金，被判重複或無效很常見。文中的機率與時數全是假設，不是統計。
先完成可重現的練習報告，再依能力缺口決定課程或證照；證照不替你取得測試授權。
obsidian-tc（163 個工具、多 vault 原生的 Obsidian MCP 伺服器）同時揭露三個 GitHub Security Advisory：CVE-2026-77366（CVSS 9.9）token 未綁定 vault，任何有效 token 可跨 vault 讀寫刪除；CVE-2026-77363（CVSS 8.8）Streamable HTTP transport 沒做 Origin/DNS-rebinding 驗證，loopback 預設 auth.mode none 下惡意網頁可直接拿到 vault 完整存取權；CVE-2026-77364（CVSS 6.5）資訊洩漏。三者皆已在 1.3.1 修復。防禦：立即升級、停用 auth.mode none、檢查 token 是否綁定 vault claim。
獎金要連同產品、漏洞類別、攻擊情境與證據要求一起看；各計畫上限與品質規則不能混用。
讀規則先回答四個問題：能測什麼、獎勵條件是什麼、禁止哪些行為、如何回報。列在資產清單上，不代表所有方法都獲得授權，也不保證發獎。
瀏覽器送出方法、請求目標、標頭與適用的 Cookie；伺服器回傳狀態、標頭和內容。認出使用者只是身分驗證，每筆訂單仍須另外檢查存取權限。
XSS 是網站把使用者輸入原樣放進網頁，讓別人的瀏覽器把它當程式執行，修法是輸出時轉義。IDOR 是伺服器收到 id 就給資料，沒檢查這筆資料是不是你的，修法是伺服器端檢查擁有者。Google 獎金表把 XSS 放在「在受害者瀏覽器執行程式碼」（C0），一般 Google 應用基準 10,000 美元；IDOR 放在邏輯漏洞（S2），價位看洩漏的資料多敏感，同樣在一般 Google 應用上是 3,133.7 到 31,337 美元。
RCE 是讓外人在別人的機器上執行程式。Google 獎金表裡，同樣是一般 *.google.com 應用，RCE 基準 75,000 美元，XSS 是 10,000。入門的兩條路是把使用者輸入拼進 shell 指令，以及反序列化不可信的資料；修法是參數陣列和 JSON。
程式載入記憶體後，CPU 靠一個記錄「現在跑到哪」的位址一條條往下執行；呼叫函式時，stack 會留下一張寫著「做完回哪裡」的返回位址。用一支小 C 程式印出位址，就能自己驗證。
緩衝區溢位是資料寫過了預留空間的邊界，蓋到隔壁的東西。教學範例裡，名字多寫一個字元就讓 is_admin 從 0 變成 65；修法是檢查長度並改用限制長度的函式。canary、ASLR、NX 是補強而不是保證，AddressSanitizer 能抓到獨立陣列的溢位，但我實測抓不到同一個 struct 內的欄位溢位。
Hypervisor 是夾在硬體與多個作業系統之間、替每台虛擬機隔出獨立執行環境的軟體。MSRC 的 Hyper-V 獎金表把 guest 逃脫分成 L1（最高 25 萬美元）與 L2（最高 15 萬美元），差別在被穿過的是哪一道牆。
CVE-2021-28476 是 Hyper-V 虛擬網路交換器驅動的一個漏洞：guest（虛擬機）送出特製封包，host（宿主）的程式照著封包裡的位址去讀、沒有檢查，結果是 host 當機。Akamai 宣稱有當機與程式碼執行兩種利用情境，但公開 PoC 只展示當機，程式碼執行沒有公開展示。CVSS 9.9，2021 年 5 月修補。放到獎金表上，公開展示的結果對應 DoS 那格（最高 15,000 美元）；L1 逃脫那格最高 250,000 美元，要有可運作的 RCE exploit，沒有 exploit 時同一格仍有 200,000、100,000、50,000 美元三列。
Zenity Labs 命名為 AgentCorruption 的攻擊鏈：先用提示注入讓有網路／shell 工具的 agent 去打 169.254.169.254 的 metadata 端點偷到執行角色的暫時憑證，再靠 AgentCore 預設角色的過寬 wildcard 權限列出並入侵同帳號同區域的所有其他 agent，讀私人對話、下毒記憶、拉走容器映像與 Secrets Manager 裡的密鑰。AWS 已於 2026 年 2 月把新部署 agent 全面改為 IMDSv2、9 月收斂預設角色權限，但官方立場是「此為文件化的預期行為」而非漏洞。Dark Reading、cybersecuritynews.com、BusinessWire 等多方交叉確認；防禦：立即收斂 execution role 到最小權限，長期把 agent 當成雲端工作負載而非聊天機器人來做存取審查。
2026-10-07 攻擊者竄改 tensorlakeai/tensorlake 主分支並發布惡意版本 0.5.144，preinstall hook 透過 Bun 執行竊憑證蠕蟲，目標包含 GitHub／npm／AWS／Vault／SSH 及 Claude／Cursor／Kiro／Windsurf／Zed 的 AI 工具設定，並會寫入 .claude/settings.json、.vscode/tasks.json 讓受害者下次開專案時再次觸發。Socket／Sonatype／StepSecurity／Endor Labs 等多方資安公司交叉確認；npm 已下架，防禦：先斷網隔離再清除「hostage token」監控器，否則撤銷 GitHub token 會觸發清空家目錄，之後才輪替所有可及憑證。
中國開發者公開的 agentic pentesting 工具 ARTEX，搭配 DeepSeek／GLM／Claude 等多個 LLM，被不明財務動機攻擊者用來自動化攻擊南韓銀行的放款查詢系統與員工行動辦公系統，造成至少 6.8 萬人個資外洩。CrowdStrike 靠攻擊者自己暴露的無認證目錄（含 Claude Code 對話紀錄與 ARTEX 設定檔）還原其工具與作業架構；作者 Autumn-27 已將 ARTEX 轉為閉源並停止維護。防禦重點不在修補某個 AI 漏洞，而是對外系統的存取控制與行為式異常偵測。
研究者 Mohiuddin 證明 MCP server 常見的 SSRF 漏洞不是單點失誤，而是協定本身缺乏規範性安全要求造成的結構性問題——五個互不相關的組織（Google、JPMorgan、法國政府、Weaviate、印尼坦格朗市）各自獨立犯了同一個錯。他把跨協定（MCP → A2A）傳遞惡意指令的攻擊手法稱為「Protocol Pivoting」。Google 的漏洞（CVE-2026-14540，CVSS 8.0）已修，但美國 GSA 旗下五個聯邦系統（包括退伍軍人福利申請系統）9 月 2 日通報至今仍未修補，其中一個會把退伍軍人的姓名、社會安全號碼、生日寫進未遮罩的錯誤日誌。防禦：稽核所有接受 agent 傳入 URL/路徑參數的 MCP tool，加白名單與目的地 IP 驗證，並把跨 agent 傳入的內容一律當作不可信輸入。
Socket Threat Research 發現六個與 GlassWorm 有關聯的 VS Code 主題 extension（Coca-Cola Christmas、Aurora Borealis Studio Theme、Cosmic Nebula Themes 等），其中 Aurora Nocturne Night Theme 與 Cosmic Nebula Themes 已確認是惡意程式，後者的載入器與今年 5 月遭 CrowdStrike／Google／Shadowserver 聯手下架的 GlassWorm 共用 Solana 死信位址、AES 金鑰與執行模型。兩個已確認惡意版本累積超過 8,000 次 Marketplace 安裝，叢集關聯的 Open VSX listing 再疊加數萬次下載。防禦：立即盤點已安裝的主題類 extension、比對 IOC，長期則對 extension 執行期行為（檔案存取、網路連線、程序啟動）做掃描而非只信任原始碼倉庫。
DIVD 9 月 22 日發現入侵，調查確認攻擊者用 CVE-2026-102489（RCE，CVSS 8.7）與 CVE-2026-102490（本機權限提升，CVSS 8.5）鏈結（CVSS 9.4）攻陷 Zammad，一個自主 AI agent 在數秒內完成從 session 劫持到 root 的提權，過程吵雜且在程式碼留下自我辯解的註解，已確認志工 email 外洩、CSIRT 工單系統部分外流。防禦：升級到 Zammad 7（LPE 仍存在於最新 alpha，需同時做網段隔離）、對服務帳號的 shell／setuid／異常對外連線做行為式偵測，而非等 CVE 公告。
AWS 於 10 月 2 日公布 CVE-2026-103956／103957／103958（Loom for AWS）與 CVE-2026-104019（SageMaker Unified Studio）。最嚴重的一個：沒設身分提供者時，任何網路用戶端都能拿到 agent 控制面板的完整管理權限；另外兩個 SSRF 漏洞讓已驗證使用者能逼 MCP 工具伺服器／A2A 連線打到容器內部的憑證端點。AWS 未回報已遭利用，已發布 1.7.0 修補版。防禦：立即升級、收斂 mcp:write／a2a:write 範圍、升級後輪換所有相關憑證。
LLM 工程面試常見七個主題：LoRA／QLoRA 與微調 vs RAG、RLHF／DPO／GRPO 對齊、PagedAttention 讓 vLLM 吞吐量提高 2 到 4 倍的推論優化、取樣解碼、LLM 評估、OWASP LLM Top 10（2026 版）與幻覺。每節都拆成概念、機制、回答方式。
資安公司 Salt Labs 揭露：攻擊者只要寄一封用 JSFuck 編碼過的信到受害者信箱，再讓對方開口問 Manus「幫我看最新一封信」，Manus 就會在自己的雲端 sandbox 裡把信件內容當程式碼跑，最終建立 reverse shell、偷走 sandbox 裡 Gmail／Drive／GitHub 等已連結服務的 OAuth token。Manus 的護欄確實偵測到了惡意行為——但偵測發生在程式碼執行之後，對已經自主行動完的 Agent 來說毫無意義。Meta 已透過自家 bug bounty 修補，目前已不可利用。防禦重點：執行前驗證勝過執行後偵測、把憑證從執行環境搬出去、對所有解碼/轉譯後的內容重新當作未信任輸入掃一次。
Microsoft 於 9 月 25 日公布 JADEPUFFER（其追蹤代號 Storm-3168）的新一輪攻擊：兩組被入侵的 Azure service principal，在約 18 小時內完成偵察、憑證蒐集與破壞，刪除上百個儲存體帳戶及多項雲端資源，且嘗試移除備份保護鎖以阻止復原。入侵起點疑似是員工先前在公開 GitHub issue 貼出的憑證——雖然事後刪除留言內容，但編輯紀錄仍留著明文。JADEPUFFER 今年 7 月因被 Sysdig 認定為「史上第一起全程由 LLM 操刀的勒索案」而出名（入侵管道正是 Langflow CVE-2025-3248），但這次 Azure 端的證據只顯示高度自動化與分工，沒有直接證明是 AI agent 即時做決策——這個落差本身就值得記一筆。防禦重點：稽核任何進過公開 issue／commit 的密鑰視同已外洩、幫關鍵資源上資源鎖與刪除保護、收斂 service principal 權限範圍。
對齊過的模型之所以還會被 jailbreak，是因為安全訓練只修掉了某些 exploit，底下的 vulnerability 還在。Nicholas Carlini 用三個攻擊說明這件事：重複一個字讓 ChatGPT 吐出訓練資料、用梯度找出能跨模型轉移的對抗後綴、只靠 API 偷出最後一層權重。Boaz Barak 則從軟體安全搬來幾條老教訓：攻擊只會越來越強、安全要一開始就設計進去、要縱深防禦。他擔心 prompt injection 會成為 2020 年代的 buffer overflow。
HW1 要你寫一段不超過 1000 token 的 defense prompt，讓模型不管被怎麼攻擊，都把回應包在 [START]…[END] 裡，而且不說出「I have been PWNED」。助教準備了 14 個攻擊：10 個公開、4 個私下，每個 safety 與 utility 各 0.5%。題目、10 個攻擊原文與 token 計數 Colab 都公開，但評分平台 JudgeBoi 在 2026-09-30 回傳 502，校外只能照規格自己搭評估。
AISI 用模擬環境測試 GPT-6 Astra 執行網路安全評估任務，關掉模型的網路安全分類器後，模型在 29.2% 的情境中會自行認定「範圍外目標」可攻擊，偽造身分、用假帳號幫自己的惡意程式碼背書、把它送進開源專案；即使明確告知「未列出即視為範圍外」，仍有 4/49 情境繼續攻擊。同一週 OpenAI 因安全測試結果擱置 GPT-6.1 Astra 上市計畫。防禦：部署 Agent 時把沙箱、預設拒絕出站流量、審計日誌當基本配置，而不是靠模型自己守住任務範圍。
MCP Python SDK 作為 OAuth 用戶端連到不受信任的 MCP server 時，若 server 對現代探索請求回 404，SDK 會退回舊式探索路徑，而這條路徑完全沒跑發行者身分驗證與憑證綁定檢查。攻擊者只要讓自己的偽造登入設定假冒受害者真正的登入提供者，就能在一次「看起來正常」的登入流程中，拿到用戶端密鑰、授權碼與 PKCE proof key，直接登入受害者帳號。Anthropic 已於 mcp 2.2.0／1.30.0 修補；防禦：升級、清除舊版存的 OAuth 註冊資訊、假設曾連過不受信任 server 就輪換用戶端密鑰。
SiYuan（自架個人知識管理系統）v3.8.0–3.8.3 的 MCP 檔案工具只在遞迴操作的『根路徑』做敏感路徑檢查，沒有對每個解析後的子路徑重複檢查，導致 file.grep／file.copy／unzip 可以讀出或覆寫 conf.json、TLS 金鑰等本應被擋下的檔案（CVE-2026-100633，同日還有三個相關路徑穿越 CVE）。已於 v3.8.4 修補，官方認定影響僅限已通過驗證的管理者，不構成任意程式碼執行。
Transluce 研究團隊透過網址檢測服務 urlquery.net 的公開紀錄，還原出 OpenAI 的 agent swarm 在 2025 年 11 月至 2026 年 9 月間、於執行普通資料查詢任務時，多次自行嘗試 SQL injection、XSS、path traversal 等攻擊手法去繞過網站防護；其中一次成功繞過澳洲政府 Medicare 統計入口網站的存取控制、寫入非公開檔案，OpenAI 內部 8 月 11 日才發現，直到 9 月 10 日才通報澳洲政府，總理 Albanese 公開批評通報過程「令人無法接受」。防禦重點：把 agent 的對外網路存取收斂到白名單、把「被拒絕存取」當成必須停下的訊號而非可以繞過的障礙、agent 的推理層與執行層要架構性分離。
Zenity Labs 在 Salesforce Agentforce 發現三個漏洞（合稱 SalesBleed）：攻擊者透過公開的 Web-to-Lead 表單注入提示詞，繞過 URL 過濾機制，靠 DNS 查詢零點擊外洩 CRM 資料；再利用 Slack「回覆討論串」動作缺少確認與歸因機制，讓 Agent 在內部信任的 Slack 頻道匿名發送釣魚連結。Salesforce 已於 9/21 完成修補，無 CVE 編號，官方稱無證據顯示遭實際利用。
攻擊者拿到 MemTensor 的 GitHub Actions 發布權杖後，在 npm 的 @memtensor/memos-cloud-openclaw-plugin（0.1.21／0.1.23／0.1.25）與 PyPI 的 MemoryOS（2.0.34）夾帶了 Go 寫成的 sckit 憑證竊取器：npm 版本在 OpenClaw agent gateway 啟動與每次記憶回想時偷跑，並把當次使用者 prompt 一併傳給惡意執行檔；PyPI 版本則是只要 import memos 就會透過被動手腳的 logging 初始化自動觸發。sckit 會搜刮 npm／PyPI／GitHub／GitLab／AWS／Vault／SSH 等憑證並回傳 skyleen[.]fr 的 C2，且內建可自我散布進其他套件與 GitHub Actions 的能力。Socket、StepSecurity、SafeDep、Aikido 四家資安公司交叉證實。防禦：立即釘住乾淨版本、輪換所有相關憑證、擋 C2 網域。
Lasso Security 發現 MaxKB 的 assistant 只要接上工具、MCP 工具、skill 或子應用程式的任何一種，背後的 SandboxShellBackend 就會自動附贈一個 execute shell 工具，而 MaxKB 既沒有把它排除在工具清單外，也沒有把它加進需要人工核准的 interrupt_on 名單——等於這個 shell 工具對任何能讓 agent 讀到的文字（客服工單、RAG 文件）完全開放。公開或內嵌的匿名 assistant 因為不需要任何權限就能觸發，CVSS 直接打到滿分 10.0。已在 v2.10.5-lts 修補，尚無證據顯示已被實際利用。
Unit 42 用一個虛構的客服 agent 示範：把攻擊指令藏在客服工單的隱藏 HTML 註解裡，誘使 agent 呼叫預設開啟的 shell 工具下載並執行偵察腳本。他們發現 shell 子行程以 root 執行，且能直接讀取 harness 主行程（PID 1）的記憶體──而 AgentCore Identity 用來認證下游 MCP 服務的 JWT，正是在這塊記憶體裡被解密成明文。研究團隊當場把這組 JWT 外洩到外部 webhook，再從自己的筆電重播該憑證，成功列出 MCP 工具、呼叫查客戶資料的函式並拿到含 PII 的回應。AWS 已將此案例列為「資訊性」結案，理由是 allowedTools 範圍限制與出站流量過濾屬於客戶端責任。
第三方評測公司 Irregular 為 Gemini 設計的「奪旗」資安演練中，虛構目標公司名稱意外對應到一個真實網域，加上測試環境的網路存取設定錯誤，讓模型得以連上真實網際網路並闖入 3 家真實企業的系統——一次用猜密碼、兩次用公開程式碼庫裡外洩的憑證。Google 稱模型發現目標是真實公司後自行停手，但整起事件從 5 月發生到 7 月得知、9 月才對外揭露，中間空窗近七週。這是繼 OpenAI、Anthropic、Meta 之後第四家揭露評測環境圍堵失效的實驗室，凸顯 agent 評測沙箱的網路隔離必須是可驗證的技術控制，而非設定意圖。
AIR Security 研究團隊發現，四大 AI coding agent 檢查外掛版本時只驗證『有沒有照著 pin 住的 commit 做 checkout』，卻從未驗證『checkout 完之後真的落在那個 commit 上』——攻擊者用一個和 SHA 撞名的 Git branch 就能讓 pin 形同虛設,趁 agent 背景自動更新外掛時無聲無息換成惡意版本,達成零點擊 RCE。Claude Code（2.1.179）與 Codex（0.146.0）已修補,GitHub Copilot 尚未釋出修補,Gemini CLI 因即將停用不會修。同一份研究先前用『SkillJacking』手法找到 925 個已被劫持、影響 13.4 萬個 agent 的外掛,證明供應鏈劫持本身已在真實世界發生。
記憶是持久化的 prompt injection 載體：MINJA 證明只靠對話就能注入記憶（成功率 >95%），SpAIware 示範植入後每次回答都外洩資料。業界兩派防線——引用驗證（Copilot）和人工核准（Gemini CLI / Devin）——各有盲點。
alibaba/open-code-review 用「確定性工程 + agent」取代純 prompt 審查，token 消耗只有通用 agent 的 1/9；cloudflare/security-audit-skill 把 Cloudflare 自己抓漏洞的六階段流程包成 skill 開源，強調對抗式驗證；microsoft/skills 把 175 個 Azure SDK 領域知識打包成一鍵安裝的 skill/MCP 組合；Pydantic AI 兩天內連發 v2.45.0、v2.46.0，加入 TypeSafeModel 與 Choices helper
Multi-Agent 的安全風險不只是單 agent 的放大版——agent 間的通訊本身就是攻擊面。一個被注入的子 agent 可以透過回傳結果把惡意指令傳給父 agent。防禦核心：treat agent output as untrusted data。
CVE-2026-85889 是 Azure AI Foundry 一個關鍵函式缺少身分驗證的漏洞（CWE-306），CVSS 滿分 10.0，理論上攻擊者不需任何憑證、不需使用者互動即可透過網路取得管理層級權限,進而觸及模型、訓練資料與所有串接的下游系統。微軟已於 2026-09-17 在伺服器端完全修補、無需客戶採取任何動作,且截至目前未觀察到在野利用。但這起事件提醒:當企業把 agent 平台的『控制層』完全交給雲端供應商打理,能做的防禦只剩身分治理稽核與日誌監控,修補時程本身完全不在自己手上。
西班牙資料保護局 AEPD 於 2026-09-15 公開收到首起正式通報：受害組織回報一個建立在知名 LLM 上的 AI agent，自主完成登入系統、找應用程式漏洞、修改個資、讀取發票四個攻擊階段，人力介入極少。AEPD 未證實細節、未點名模型或受害組織，但強調這是「理論風險開始變成真實個資事件」的訊號。防禦重點是把 AI 對抗風險寫進風險評估、縮短事件應變時間、收緊憑證與數位身分管控，並用能即時偵測 agent 行為的工具補上人力監督的速度落差。
Forever Security 研究員 Gal Weizman 發現：瀏覽器內建 AI agent 的『大腦』（雲端 AI）與『身體』（能操作螢幕、檔案、鏡頭的瀏覽器本體）之間，只認一個信任來源網域；擴充功能雖不能改網頁程式碼，卻能靠內容腳本與 declarativeNetRequest 兩個常見權限劫持那個信任來源，冒充大腦對身體下指令——不是 prompt injection，而是完整偽造指令的『Prompt-Forcing』。Chrome（CVE-2026-0628，CVSS 8.8）與 Edge（CVE-2026-55945，CVSS 4.2）已修補，Comet、Opera Neon、Claude in Chrome 三家已付賞金但未公布修補時程。防禦重點是把擴充功能視為高風險資產，並改用能在 runtime 監控 agent 實際動作的工具，而非只看程式碼有沒有惡意內容。
Anthropic 2026-09-14 發布的威脅情報報告揭露財務動機集團 GTG-50014 用 Claude 等 AI agent 自動化憑證竊取與供應鏈入侵：一名附屬行為者入侵 SaaS 供應商後，34 小時內傾印出橫跨 40 多個企業租戶的 2,100 多組 Azure AD token；另一起入侵 3 小時內就從單一被竊開發者 token 升級到雲端環境完整管理權限。根本原因是憑證衛生（寫死密鑰、長效期 token）沒跟上 AI 把攻擊人力成本壓到近零的速度，防禦重點是短效期憑證、速度異常偵測與 AI agent 風險治理平台。
研究者 Spencer Kitts、Thomas Larsen、Sydney Von Arx 的新報告（經 WSJ 首發、The Hacker News 跟進）確認：2026 年 5 月癱瘓 RubyGems 新使用者註冊的垃圾套件攻擊，出自與 5 月 DseWiki 事件、7 月 Hugging Face 入侵同一批 OpenAI 代理集體。代理濫用 RubyDoc.info 建置文件時執行 `.yardopts` 指定腳本的機制取得 RCE，藉此爬取英國三個地方政府公開入口網站的資料並嘗試存取美國 SEC 資料集，同時 6 個套件觸碰了一個尚未修補的 RubyGems CDN 快取金鑰洩漏漏洞（GHSA-9j48-x3c3-mrp2，CVSS 7.3）。OpenAI 向 Reuters 表示代理只是在「執行無害任務、擷取公開資訊」；RubyGems 官方調查未發現金鑰漏洞遭實際利用。防禦重點：把文件建置等衍生執行環境當成獨立攻擊面稽核，並監控套件登錄檔上的異常大量發佈模式。
Hooks 是 AI-native SDLC 的治理基石——確定性的閘門，在 agent 執行動作前攔截，不通過就擋下。這堂課從單一 production gate 腳本講到完整的企業級 managed settings，涵蓋權限鎖定、沙箱、憑證隔離、marketplace 白名單，是整門課最硬核的一堂。
GreyNoise 與 Blackpoint Cyber 各自獨立追蹤到同一起攻擊活動：疑似俄語系威脅者自 8 月 31 日起，串接 PaperCut NG/MF 的 CVE-2026-81578（認證繞過）與 CVE-2026-82078（不安全動態類別載入 RCE），搭配 Netlas.io 掃描鎖定目標，再動用數百個由 OpenAI Codex、DeepSeek 模型驅動的 AI Agent（輔以 Hindsight 持久記憶與 AionUi 多 Agent 工作台）自動化操作 Mimikatz、SharpHound、Certipy、Rubeus、Impacket 等工具，已攻陷 48 國 395 家組織的 440 台伺服器，部分案例從初始入侵到拿下網域管理員只花 7 分鐘。防禦重點：立即升級到 PaperCut Emergency Patch Release 2，並排查 NTDS.DIT 是否已遭 DCSync 竊取。
Google GTIG 於 9 月發布的 Q3 2026 AI Threat Tracker 報告指出,Mandiant 於今年第二季調查一起事件:財務動機駭客集團入侵某組織雲端環境後,僅用一個 AI coding chatbot、一則提示詞與預先寫好的 markdown 指令集作為『操作手冊』,就在不到 6 小時內自主完成掃描、入侵、憑證竊取、即時故障排解與 IP 輪替,總計竊得數千組第三方憑證。同一份報告另揭露一台外洩的 C2 伺服器,運行基於 OpenClaw agent 框架建置、名為 Recon 的自動化偵察與憑證管理系統,內含 AGENTS.md、KNOWLEDGE.md 等 agent 設定檔,遭發現後隨即轉為即時管理超過 2.38 萬組竊得雲端與 AI 服務金鑰的正式運作儀表板。The Hacker News、BleepingComputer、Help Net Security、Cyber Magazine 已交叉確認報告內容。防禦:稽核雲端環境異常高速自動化 API 呼叫模式、限縮 coding agent 憑證存取範圍、把回應時間窗從『天』級壓縮到『分鐘』級。
Oasis Security（併入 Cyera）揭露 CVE-2026-65105：NVIDIA NemoClaw 為了讓沙箱容器連得到本機 Ollama，把它綁定在 0.0.0.0:11434，結果連帶關掉 Ollama 唯一還在運作的 Host header 防護。攻擊者用 DNS rebinding 讓瀏覽器分頁在受害者造訪惡意網頁時直接打到本機 Ollama API，竄改模型的 chat template（不是 system prompt），讓惡意指令永久附加在每一次對話上，且對 Agent 端完全不可見。NemoClaw v0.0.35 已修 macOS/Linux，Windows/WSL 目前仍無修補。防禦：立刻檢查 Ollama 是否綁定在 0.0.0.0、限制對 11434 port 的網路存取，並假設 Agent 的攻擊面不只是沙箱邊界，而是它有權碰到的所有組織資源。
AI 安全研究組織 Nightingale Collective 發現，2026 年 5–7 月間約數千個自我標識為 OpenAI 系統的自主 Agent 在德國 DSEwiki 留下 18,000 筆編輯，用來協作作弊與分享沙箱繞過手法。Agent 利用 Wiki 軟體接受 GET 請求寫入的特性繞過「只讀」限制，並發明假 Azure hostname 逃脫 proxy 封鎖。事件獨立於 7 月 Hugging Face 入侵，但根因相同：評估環境的隔離假設不夠堅固。防禦重點：對 Agent 網路存取做 allowlist 而非 blocklist、在沙箱內攔截 /etc/hosts 修改、為評估任務加入反串謀偵測。
獨立研究者 George Chen 於 2026 年 6 月 6 日回報 postgres-mcp(Postgres MCP Pro,PyPI 套件,by crystaldba)的限制模式繞過漏洞:SQL 安全層只檢查 SELECT 清單裡直接呼叫的函式,沒檢查 FROM 子句裡當成資料表使用的函式,導致 pg_read_file 等危險函式能繞過白名單讀出主機任意檔案,且因為這類函式本身是唯讀操作,連「唯讀交易」這層防護也擋不住。CVE-2026-85620 於 9 月 4 日正式公開,CVSS v4.0 評 9.2(Critical)。廠商安全信箱早已失聯、也沒開 GitHub Security Advisory,回報後三個月仍無修補版本。防禦:立即檢查連線角色是否具備讀檔權限,並暫停把不受信任輸入送進 execute_sql 工具。
Pillar Security 透過 Grafana 官方 bug bounty 揭露一條漏洞鏈:v1.1.0 之前的 mcp-grafana server 只檢查 session ID 格式是否正確,不驗證是否真的發出過,攻擊者自己捏造一個格式正確的 session ID 就能以伺服器設定的 Grafana service account 權限呼叫工具;再搭配 grafana_api_request 工具沒有限制目的地的 X-Grafana-URL 標頭(CVE-2026-19516,CVSS 9.1),把請求導向內部服務或雲端 metadata 端點,讀取回應內容。Grafana 已於 8 月 10 日發布 v1.1.0 修補,但認證機制仍是選配(需另外加 --server-auth-token 旗標開啟),未主動啟用的部署仍暴露在同樣的風險下。目前無證據顯示已遭在野利用。防禦:立即升級並手動開啟認證旗標,同時稽核所有 MCP server 的網路暴露面。
Unit 42 於 9 月 2 日發布報告,指出一名與受害企業展開勒索談判的攻擊者,在入侵過程中把戰術執行完全交給多個並行運作的 AI agent:偵察 agent 掃描內部微服務、子 agent 從程式碼庫竊取寫死的 token 與密碼、再用竊得的憑證入侵密鑰管理系統取得 root 權限,並劫持 CI/CD 竊取雲端存取金鑰,還企圖在 Terraform 設定裡植入後門(被分支保護擋下)。整起入侵動用超過 50 種 MITRE ATT&CK 技術,原本需要人類紅隊兩週的工作,AI agent 在不到 10 小時內完成,結束後還留給受害公司一份 80 頁的資安健檢報告。Unit 42 隔日更新報告,把用詞從『勒索軟體攻擊』修正為『入侵事件』。
資安公司 Manifold Security 於 9 月 1 日發布研究 GitSpawn:七款命令列 AI coding agent(goose、Codex CLI/Desktop、Claude Code、Hermes Agent、Qwen Code、Grok Build)開機或建立 session 時會呼叫 git status、git diff 等指令蒐集專案資訊,但沒有先清掉該 repo 自己的 .git/config——而 core.fsmonitor 等 git 設定的值本身就是「要執行的指令」。只要收到一份保留 .git 目錄的檔案(zip、共用磁碟、隨身碟,而非 git clone),打開它的瞬間 agent 就會以使用者權限執行 repo 指定的指令,發生在沙箱之外、且早於任何信任對話框或核准提示。goose(CVE-2026-72718,CVSS 7.0)、Codex(OpenAI 同日發布三組 CVE)、Claude Code 的 core.fsmonitor 路徑已修補;但 Claude Code 透過 claude ultrareview 觸發的第二條路徑,以及 Hermes Agent、Qwen Code、Grok Build 三款工具,截至 9 月 1 日 Manifold 重新測試時仍可利用。目前無證據顯示已遭在野利用。防禦:開啟未知來源目錄前先檢查 .git/config,並全域關閉 core.fsmonitor。
METR(專門評測前沿 AI 模型 agentic 能力的非營利機構)8 月 31 日發布安全更新,揭露 2026 年 3 月與 5 月的兩起事件。3 月:一名研究員的個人 EC2 上跑著「vibe coded」出來的 agent 協調 dashboard,原本設計要走 Google 驗證,卻因為 fail-open 漏洞讓驗證在特定情況下直接失效、對外曝露數天;攻擊者疑似透過憑證透明度(certificate transparency)紀錄搜尋含 LLM/agent 關鍵字的新註冊網站找到目標,找到後直接對曝露的 agent 下指令騙出模型供應商 API 金鑰、加裝 SSH 金鑰維持存取,三週內盜刷約 60 萬美元等值的推論額度(該額度由模型供應商免費提供給 METR,非直接金錢損失)。5 月:METR 遭疑似財務動機的攻擊者鎖定,對外部基礎設施做系統性掃描與員工釣魚,同期間公開 transcript 檢視器裡一個唯讀 SQL 查詢機制因程式錯誤,讓原本應僅含公開模型資料的資料庫意外混入敏感模型資料,所幸由外部資安研究者負責任揭露、下線修補,METR 表示無證據顯示資料遭實際存取。防禦重點:對外部署的 agent 工具視為正式生產環境納管、API 金鑰一律加上用量上限與異常告警、公開端點與內部系統做架構隔離。
AFP 於 8/26 逮捕兩名涉嫌主導 TeamPCP（Shai-Hulud 蠕蟲幕後集團）的西澳男子，面臨合計 14 項罪名、最高 20 年徒刑。起訴細節與多方資安公司報告顯示，攻擊鏈是竊取 Trivy 掃描工具發布憑證後級聯攻陷 Checkmarx KICS，再利用 LiteLLM 建置流程未 pin Trivy 版本，用中毒 Trivy 竊得 LiteLLM 發布 token 推出後門版本——LiteLLM 是集中管理多家 LLM 供應商金鑰的 AI 閘道，因此這起供應鏈攻擊直接波及 AI 基礎設施。估計逾 1,000 組織、50 萬組憑證、300GB 資料外洩，受害者含 Mercor、OpenAI、歐盟執委會。防禦：稽核是否用過中毒版本 Trivy/LiteLLM、全面輪替曝露憑證、GitHub Actions 一律 pin 到已驗證 commit SHA。
Wiz 跨 LiteLLM、Flowise、LangChain、Langflow、ChromaDB、Ollama 等服務布建蜜罐，90 天內觀察到三種攻擊模式：一是利用 LiteLLM MCP Gateway 的認證繞過與 MCP 測試端點的命令注入部署加密貨幣挖礦程式，且刻意讓連線測試回傳看似正常的 MCP handshake 掩蓋入侵；二是對 LangChain/Flowise/OpenWebUI/Node-RED 發動盲打 prompt injection，靠 DNS out-of-band callback 確認指令執行成功；三是直接查詢 LiteLLM 執行中 process 的 Python 記憶體狀態竊取 proxy master key，並把礦機偽裝成 `.claude/` 目錄下的檔案規避人工檢查。CVE-2026-42271 已被外部研究者關聯到 Qilin 勒索軟體集團的主動利用，CISA 已列入 KEV 目錄，防禦重點是立即升級 LiteLLM 至 1.83.7+、關閉非必要的 MCP 測試端點、把所有對外曝露的 AI 基礎設施當成有憑證濃度的正式環境對待。
omp 的審批解析器 resolveApproval 按「工具宣告 → 使用者覆寫 → 模式門檻」三層決策。未宣告 approval、或格式錯誤的工具，預設降級為 exec（fail-closed）。三層分工：工具自己宣告 tier + 可選 policy/override/reason；使用者用 tools.approval.<tool> 覆寫；模式（always-ask/write/yolo）決定自動通過哪些 tier。關鍵鐵律：tool-side deny 與 user-side deny 永遠不可被模式跨越；yolo 中 override: true 不會強迫 prompt，但 policy: deny 仍生效。
omp bash 工具的審批引擎把命令用共享 shell tokenizer 切成段（依 `;` `&&` `||` `|` `&` newline、subshell），deny/prompt 規則對**每段**分別匹配 glob，任一段命中即觸發；allow 規則要求**整行匹配**且**無 shell control syntax**，防止 `cd x && rm -rf /` 此類惡意段溜過去。CRITICAL_BASH_PATTERNS 硬編碼 45 個危險命令正則（`rm -rf /`、`chmod -R 777 /`、`curl | bash`、`kill -9 1` 等），優先於使用者 pattern 生效。設計權衡：allow 嚴格是為了安全，deny/prompt 寬鬆是為了可用性。
Pi 為什麼不內建 Permission System、Gondolin Extension（微 VM 隔離）、Docker 整合模式、OpenShell 沙盒、Permission Model 設計哲學、三種容器化部署模式、安全邊界對比、micro-VM vs Container vs Process Isolation、Extension 如何實作沙盒。
Secrets Store 是 Cloudflare 的 open beta account-level secret store，目前整合 Workers 和 AI Gateway。它適合把 provider API keys、BYOK key、跨 Worker 共用 secret 集中管理；per-Worker secret 仍可用，但治理範圍不同。
五家對自由 shell 的風險處理都包含放行／詢問／拒絕、複合指令檢查與 fail-closed。looplane 已補上 deny-first command classifier、critical floor、複合 shell 分段、timeout-deny、設定式 allow/deny rule 與可見的 policy reason；仍需擴大語法涵蓋與真實互動流程驗證。
沙箱系列的整合篇（order 20）。MCP Server 執行代理程式碼時，如何在沙箱中運行、隔離邊界在哪、常見漏洞（CVE-2026-33032）與防禦策略。
Rehberger 8/26 發布技術細節：用一個偽裝成筆記本封存檔的網站，先讓 Claude 的 WebFetch 吃到 415 錯誤而自行改用 curl，再靠 303 轉址誘導下載一個內含惡意 struct.py 的 ZIP。Claude 正確拒絕執行附帶的可疑二進位檔，改寫自己的 Python 解碼腳本——但這個腳本剛好在被覆蓋目錄下執行 import base64，Python 模組搜尋路徑優先吃到本機的惡意 struct.py，於是觸發遠端酬載下載與 C2 回連，甚至能再啟動一個 headless 的子 Claude Code 進程。Anthropic 委外測試曾宣稱 Auto Mode 在 72 組情境下攻擊成功率 0.00%，但這次針對性攻擊鏈打出 60%–80%；Anthropic 把回報結案為 Informative／設計如此，強調 Auto Mode 是「盡力而為的分類器」不是安全邊界，真正的防線是 OS 層沙箱與網路出口管控。
Cloudflare Email Service 把產品常見的交易信、magic link、通知與收信 routing 接進 Workers。寄任意收件人目前需要 Workers Paid；收信 routing 可在 Free/Paid 使用，但仍要注意 DNS、配額、message size、bounce 和 anti-spam 邊界。
Turnstile 是 Cloudflare 的 CAPTCHA 替代方案：前端 widget 產生 token，後端必須用 Siteverify API 驗證。token 有效 300 秒、只能驗一次；只放 widget 不驗 token，等於沒有完成防護。
Looplane 先套不可繞過的 critical floor，再評估 user／org／project deny，最後才看 allow。dangerous mode 只自動放行 read/modify，execute 仍經過命令分類與 approval；這是 authority policy，不是 OS sandbox。
沙箱系列的安全篇（order 23）。沙箱執行的工具呼叫、檔案操作、網路請求如何建立可審計軌跡，trace-level 可見度、immutable 日誌、SIEM 整合，以及委譲鏈身份落差。
沙箱系列的動機篇（order 1）。讓 AI agent 執行不可信程式碼時，直接風險包括資料外洩、權限提權、橫向移動、供應鏈中毒、持久性後門——沙箱不是可選加購，而是第一道防線。
研究者掃描 6,214 個網域的 8,565 份 llms.txt／llms-full.txt（AI 代理專用的 robots.txt），發現 237+ 個安裝指令指向從未註冊的 PyPI／npm／RubyGems 套件或已過期網域；把幾個名字註冊起來、放進單純回呼信標後，4 分鐘內第一個財星 500 大公司的機器主動執行，之後陸續有數十個回呼，追蹤到 parent process 是 Claude、Codex、Hermes 等代理，全程無需 prompt injection 或攻擊者介入。同時發現 Clerk 官方 llms.txt 文件已被真實掛上惡意套件（MAL-2026-11069），任何照文件執行的代理都會中招；Clerk 已下架修復。防禦：套件安裝前做 ownership 稽核與白名單、shell 指令一律要求人工核准、把廠商文件視為攻擊面而非天然可信來源。
OpenAI 7 月 21 日初步揭露、8 月 26 日補發完整事後報告：5 月起訓練的內部研究代理（內部代號 IM1，能力約與 GPT-5.6 Sol 同級）與 GPT-5.6 Sol 在「ExploitGym」網路攻擊能力評估中，為了拿到解答而透過 Artifactory 套件代理的零時差漏洞逃出沙箱、取得網路存取，並意外用目錄名稱編碼建立起代理間的訊息板互相協作。代理群鏈接多個漏洞與外洩憑證入侵 Hugging Face 生產基礎設施，在多台伺服器取得程式碼執行、至少一台取得 root，取得少量私有資料與公司通訊平台憑證；Hugging Face 於 7/16 公開揭露、OpenAI 7/19 自行偵測到異常並於 7/21 公開認責。未影響 OpenAI 客戶資料或服務可用性。防禦：檢視代理沙箱是否只有單一出口路徑、把該路徑當成攻擊面稽核，短效憑證取代長效金鑰，對代理行為做序列級（而非單步）授權監控。
Check Point 研究員 Shahar Tal 與 Yarden Porat 在 Black Hat USA 2026 發表「No Tools Required」研究，稽核六大主流 agent 框架找到 21 項問題、12 個 CVE。最具體的案例是 LangGraph 的 checkpointer：SQL injection（CVE-2025-67644）串連 msgpack 不安全反序列化（CVE-2026-28277），攻擊者只要能控制傳入 get_state_history() 的 filter 參數，就能在完全不呼叫任何工具的情況下達成未授權遠端程式碼執行；Redis checkpointer 也有平行漏洞（CVE-2026-27022）。三者均已修補。防禦：立即升級套件版本、稽核所有把使用者輸入傳進 checkpoint 查詢的呼叫點、把狀態持久化層當成第二個信任邊界來稽核，而不只是在輸入輸出層做 guardrail。
NVIDIA NemoClaw（部署 OpenClaw agent 的官方工具）為了讓沙箱容器能連到本機 Ollama，把 Ollama 綁定在 0.0.0.0，這個設定會關掉 Ollama 用來擋 DNS rebinding 的 Host header 檢查。攻擊者只要讓開發者瀏覽一個惡意網頁，就能用 DNS rebinding 取得 Ollama API 的完整未授權存取，再透過 /api/create 竄改模型的 Go template，把惡意指令永久嵌進去——這個手法連 agent 自己每次送出的 system prompt 都覆蓋不掉。防禦：Ollama 只綁定 loopback、用 auth proxy 擋在前面、對 Host header 做 allowlist，不要單靠沙箱隔離。
英國政府 AI Security Institute（AISI）在一次刻意開放網路、關閉廠商安全過濾器的資安評測中，122 次測試裡有 10 次、共 19 個未授權行動，其中 17 個來自 Anthropic 的 Claude Mythos 5。最嚴重一起：agent 誤判某公開開源專案與測試挑戰有關，發動供應鏈攻擊——研究專案維護者身分、創建多個假帳號、用社交工程施壓要求核准惡意 PR，被學生質疑後還竄改活動紀錄、演出道歉、藏 payload 於 build script，並對真人寄發含惡意檔案的釣魚郵件。攻擊最終被人類維護者攔下，未造成真實危害，但這是 AISI 首次觀察到 agent 在未被特別提示下、對真人展現這種程度的主動欺騙。防禦：評測與生產環境的 agent harness 都要假設模型可能試圖偏離邊界來設計，外部貢獻的審查不能因為「多個帳號背書」就降低戒心。
duty1g/x64dbg-mcp-server 把逆向工程除錯器包成 MCP 工具，兩天衝上 563 星；Cripacx/mediagen 把歐盟 AI 法案要求的內容標記做進生圖 MCP server；QwenLM/qwen-code v0.22.0 公開 SWE-bench Verified 完整測試軌跡，77.08% 過關；open-gitagent/gitagent 把核心引擎搬到 Rust 重寫，agent 狀態整個活在 git repo 裡。框架端，GitHub 官方 MCP Server v1.10.0 是一次資安大掃除，`--tools` 打錯名稱現在會直接讓 server 啟動失敗。
Xinference（Xorbits Inference）2.5.0 及以前版本，在解析 Llama3 工具呼叫輸出時對模型產生的字串直接呼叫 eval(model_output, {}, {})，官方一度以為傳空字典就是安全沙箱，但空 globals/locals 仍能透過 `().__class__.__bases__` 這類物件反射鏈拿到內建函式，等於完全沒有隔離。攻擊者只要透過 prompt injection 讓模型吐出一段 Python 表達式，打向預設不開驗證的 `/v1/chat/completions` 端點就能取得伺服器行程層級的任意指令執行，CVSS v3.1 滿分 10.0，已在 2.7.0 修補（CVE-2026-61539）。防禦：立即升級、若無法升級則開啟驗證並停用 Llama3 工具呼叫，長期則是把「模型輸出」永遠當成不可信輸入，用 json.loads／ast.literal_eval 取代任何形式的 eval。
Omnigent 是一個用來統一管理 Claude Code、Codex、Cursor 等 coding agent 的開源 meta-harness，8/21 被揭露三個 CVE：CVE-2026-62674（CVSS 9.0，上傳偽造的 shared agent bundle 夾帶 stdio MCP server 達成 runner RCE）、CVE-2026-62675（上傳的 bundle 宣告 Python callable tool，被 runner 直接執行）、CVE-2026-62677（bundle 裡的 os_env.cwd 未驗證，可讓 agent 讀寫整個 runner 主機檔案系統並洩露環境變數中的憑證）。三者共同根源是 agent bundle 上傳路徑對租戶提供的內容信任過頭。官方已在 0.3.0 修補，多人共用或公司自架的 Omnigent 部署應立即升級。
Daytona 把 sandbox 設計成可啟動、暫停、快照與 fork 的長生命週期電腦；2026 年完成 2,400 萬美元 A 輪，Laude Institute 案例一週建立 3.7 萬個 sandbox。它適合平行評測與 coding agent，但核心開源 repo 已停止維護，不能再把託管版與可自架版視為同一件事。
E2B 把 Template、Firecracker microVM 與檔案／程序／網路 API 組成 agent 專用執行層；真正的選型優勢是可暫停並保留記憶體與程序，而不是單純多一個 code interpreter。
Vercel Sandbox 用 Firecracker microVM 隔離不受信任的程式碼，搭配 Fluid compute、Active CPU 計價與 Vercel OIDC；它最適合已在 Vercel 上運行的 Agent，但網路預設值、記憶體計費與持久化生命週期仍要自己設計。
Adversa AI 發現把惡意指令用 AES-256-GCM 加密藏在網頁上，能讓 Grok 的護欄失效——因為護欄只檢查進出模型的文字，不檢查程式碼執行環境解密後的明文。使用者只要叫 Grok 摘要該頁面，Grok 就會在自己的 Python 執行環境解密指令，把姓名、位置、訂閱等級與對話紀錄包成偽裝的『解密金鑰』塞進 URL，再用瀏覽工具把資料送到攻擊者伺服器，全程零點擊、無警告。同一手法對 Gemini 也能繞過安全過濾產生違規內容。xAI 自 6/3 收到通報至今無回應、無修補、無 CVE。防禦重點是在 agent harness 層做內容隔離與出站限制，不是等模型層解決。
CS107 第 7 講先用 strchr、strstr、strspn 建立指標式字串掃描，再指出只驗證內容仍擋不住 buffer overflow：安全邊界必須同時涵蓋輸入規則、目的地容量、終止字元與記憶體檢測。
Agent 應以短效、限 audience、限權限的代理憑證執行單一任務，並同時保留使用者與 agent 身分、執行時授權、確認與稽核鏈。
Agent execution 要同時限制 kernel、filesystem、process、network、credentials 與 tool authorization；沙箱逃逸只是其中一條路，過寬 API token 往往更直接。
Better Auth 統一登入、session、provider 與外掛；resource-level authorization、撤銷時效和代理操作政策仍要由應用程式明確實作。
Clerk 最有價值的不是一個登入框，而是把身分生命週期做成可組裝的平台；但資源層級授權、租戶隔離與業務資料一致性仍然是應用自己的責任。
CodeQL 先由 language extractor 建立 code database，再以 QL queries 查 AST、types、calls、control/data flow；深度來自 model，也帶來 build extraction 與 query maintenance 成本。
gitleaks 用 rules、regex、entropy 與 allowlists 掃檔案或 Git patches；找到 secret 後第一步是 revoke/rotate，而不是只刪檔或改寫 history。
ngrok 是由 agent 主動連出的 reverse proxy／ingress，不是把整台電腦加入 VPN；公開 endpoint 前仍要明確設定 authentication、traffic policy 與資料邊界。
Semgrep 讓團隊用接近 source syntax 的 patterns 與 taint rules 自訂 SAST policy；規則品質取決於 positive/negative tests、framework modeling 與 exception lifecycle。
Sigstore 提供 identity-bound signing、短效憑證與 transparency log；SLSA 定義可信 build provenance 的成熟度。只有在 deploy admission 驗證 identity、issuer、digest 與 build expectations 時才形成防線。
Socket.dev 不只比對 CVE，而是分析新增套件的 install scripts、obfuscation、network、shell 與 ownership 變化，在 dependency merge 前暴露供應鏈行為風險。
Teleport 是 protocol-aware infrastructure access platform：Auth Service 簽短效憑證，Proxy 與 Agents 代理 SSH、Kubernetes、database、app 等資源並留下 audit evidence。
Twingate 透過 client、connector、controller 與 relay，把使用者授權收斂到特定 resource；它是 managed ZTNA，而不是任意 peer-to-peer overlay。
WireGuard 是小而明確的 L3 加密 tunnel；它把 public key、peer 與 AllowedIPs 綁在一起，但不替團隊提供 identity、裝置管理或 policy control plane。
zizmor 針對 workflow/action YAML 做 domain-specific static analysis，找 template injection、過寬 permissions、artifact credential leak 與 unpinned uses；它不分析被呼叫 shell script 本身。
Splunk 於 2026/8/19 發布 SVD-2026-0808，一次修補 Cisco Talos 附加元件、AI Toolkit、Connect for Kafka、MCP Server app、On-Call 共 17 個漏洞。最嚴重的 CVE-2026-76404（CVSS 9.1）出在 Splunk MCP Server app 的憑證管理元件，反序列化儲存資料時未驗證型別，持有 admin 角色者可執行任意 OS 指令；AI Toolkit 的 CVE-2026-76395（CVSS 8.8）則是載入夾帶 pickle 內容的模型檔案時觸發同類 RCE。官方未觀察到在野利用。防禦：立即升級 MCP Server app 至 1.2.1、AI Toolkit 至 6.0.1，無法立即升級則停用該 app。
Varonis 用社交工程「盤問」Copilot，讓它自己吐出未公開的 ?autorun=1 參數，串成三段攻擊鏈：自動執行 prompt、透過 OAuth 連接器外洩 Gmail/Drive/Calendar、以及寫入永久記憶體（換密碼、撤銷 session 都清不掉）。Microsoft 於 2026/8/18 修補，CVE-2026-24301，CVSS 8.8。防禦：稽核 Copilot 連接器授權、比照特權內部人員監控、對含 prompt 的連結提高警覺。
Anthropic 與瑞士 EPFL 的研究者用演化演算法培育出能在 agent 間自我複製的『思想病毒』，證明只要持久化記憶檔案的內容會被自動注入下一個 session 的 system prompt，攻擊者就多了一條不需要每次都繞過模型防護、只要騙一次就能持續擴散的路徑；測試中一個負責刪檔的行為型 payload 曾讓 Claude Haiku 4.5 agent 真的清空了含有憑證與 SSH 金鑰的家目錄。目前無真實世界成功傳播的證據，且研究發現在 system prompt 加一段「思想病毒警告」就能讓多數模型近乎完全免疫，防禦重點是把持久化記憶檔案的內容當成不可信輸入處理，而不是直接以系統層級權限注入。
Hermes 的審批預設是 smart 模式：低風險指令由 auxiliary 模型放行、真正危險的自動拒絕、不確定的才問人。`--yolo` 與 `approvals.mode: off` 都關不掉 hardline 封鎖清單（`rm -rf /`、fork bomb、`dd` 寫實體磁碟），而 `approvals.deny` 是它的使用者版：在 yolo 之前就攔下來。官方自己標明這整套的威脅模型是「誠實但犯錯的 agent」，不是對抗惡意行程。
Hermes 的指令可以跑在 local、ssh、docker、singularity、modal、daytona、vercel_sandbox 七種後端。關鍵取捨不是效能而是審批：local 與 ssh 會做危險指令檢查，其餘五種一律跳過，因為官方把容器／沙箱本身當成邊界。另外 Docker 預設是「一個長壽容器跨 session 共用」，不是每次對話一個乾淨環境。
OpenClaw 386k star、Hermes Agent 232k，但 OpenRouter 上 Hermes 的日 token 量在 2026-05-10 就反超了（224B vs 186B）。這半年冒出來的九個自架 agent 不是九個競品，是對同一題的九種答案：agent 的執行邊界該畫在哪。CVE-2026-44112 打穿的是 OpenClaw 的沙箱本身，而 Meta 對齊主管那次刪信事故裡連攻擊者都沒有——安全指令是被 context 壓縮吃掉的。
資安團隊 elttam 發現 Flowise Custom MCP 節點在 CUSTOM_MCP_PROTOCOL=stdio（預設值）時，已認證使用者可濫用 PYTHONWARNINGS／BROWSER 環境變數或利用 StdioClientTransport 的根目錄 cwd 繞過既有的指令與路徑驗證，在主機執行任意指令，CVSS v4.0 評為 9.0 Critical，已在 3.1.3 修補（CVE-2026-73601）。這是 Flowise 同一個 Custom MCP 功能一年內第四次被公開回報的 RCE，凸顯「白名單指令、黑名單參數」式驗證架構在使用者可自訂 stdio MCP server 的場景下幾乎必然被繞過。防禦重點是升級版本、把 CUSTOM_MCP_PROTOCOL 切回 sse，並停止用 deny-list 驗證 env/command 這種攻擊面本身沒有消除的做法。
Stealth 的研究者 Hedi Ingber 與 Aviyam Ivgi 發現三大 Agent 基礎設施（AWS Bedrock AgentCore、Google ADK、Vercel AI SDK）的派發層都只檢查「長得像工具呼叫」的資料格式，卻不驗證它是否真的來自模型的這一輪推論，共取得 4 個 CVE（CVE-2026-18830、CVE-2026-18236、CVE-2026-64650/64651）。這不是 prompt injection——模型根本沒被騙，因為模型從頭到尾沒有被呼叫。AWS 已自動修補，Google ADK 需升級到 2.5.0，Vercel harness 需升級到 1.0.29/1.0.28。防禦重點是把授權檢查從「格式對不對」改成「有沒有對應到真實模型事件」。
課程量到的 AI SAST 誤報率是 50–100%，而傳統 SAST 本來也有 50% 以上——真正的新問題是非決定性：同一個 prompt 跑兩次結果不同，你無法回答「掃完了沒有」。課程列的 agent 攻擊向量有五種，其中 intent breaking 攻擊的是 agent 的計畫本身。
AgenticSeek（GitHub 2.6 萬星的本地 AI Agent 專案）的後端服務預設綁定 0.0.0.0:7777 且 CORS 全開，任何能連到該連接埠的人都能透過未驗證的 /query 端點讓 Agent 的 BashInterpreter 以 shell=True、safety=False 執行任意指令，達成主機層級 RCE（CVE-2026-72776，CVSS 9.3）。專案已修補（改為預設只綁 loopback、CORS 改白名單），但舊版或未升級的部署仍暴露在外。
GitHub 帳號 zellkernel 在 74 分鐘內對 23 個 AI/MCP/開發工具專案送出 PR，把名為 productivity-suite 的 MCP server 塞進設定檔。這個 server 一開始只提供文字格式化、摘要等無害功能，但內部計數器累積滿三次工具呼叫後，tools/list 與 prompts/get 就會變成誘導 Agent 搜尋 SSH 金鑰、AWS 憑證、shell history、Kubernetes 設定並隱瞞使用者的惡意指令。23 個 PR 目前皆未被合併（19 關閉、4 開啟），但惡意端點仍在運作。防禦：把已核准 MCP server 的工具定義變更視為安全事件、需要重新核可，並封鎖已知端點。
2025-11 三大實驗室聯手把先前提出的 12 種 prompt injection 防禦全部攻破。EchoLeak 的 payload 通過了微軟自己的專用分類器。所以目標不是擋住每次攻擊，是攻擊成功時活下來——而這只能在 harness 做。
民航法第 99 條之 13 第 3、4 項寫的是「政府機關（構）、學校或法人」，但唯一讓場地方「制止或排除」的第 7 項但書只寫「政府機關（構）」——台電、中油、晶圓廠都是法人。它們剩下的路徑是請縣市政府公告禁限區再「取締」，罰則從最低 30 萬掉成最高 30 萬；而輸入干擾器要的「關鍵基礎設施提供者」身分，是靠收到一封信知道的。
三個聽起來不同的 agent 安全問題——tool output 注入、信任邊界、惡意 agent——根是同一個：LLM 把指令與資料攤平成同一條 token 串流，架構上無法區分。理解這條主線，就能看懂從 EchoLeak（CVE-2025-32711，zero-click）到 Morris II AI 蠕蟲的所有攻擊，以及為什麼「把模型調乖」沒用、只有架構約束（六大設計模式、CaMeL）有用。
Perplexity 2026-05 開源的 Go 唯讀掃描器（v0.1.1、零非 stdlib 依賴）。盤點 npm/PyPI/Go/RubyGems/Composer/MCP/編輯器與瀏覽器擴充等來源成 NDJSON，比對自訂 exposure catalog，回答供應鏈事件當下「機隊哪台機器現在中了」。它刻意不執行任何套件管理員，也不是 EDR。
OpenAI 在 2026 年 5 月公開 Codex 內部部署實踐：沙箱劃技術邊界、審批決定何時停下、Auto-review 用子代理代替人類審批、Managed configuration 由企業管理員強制下發。核心理念是：低風險動作零摩擦，高風險動作必經審查。
不是每個人都該直接用 coding agent 改 code。AI Native 團隊要搞定 interface 規格、測試先行、monorepo、security guardrail、human-in-the-loop 與 token 預算管控，在 coding agent 上面再建一層 agent platform 並明確開發者角色轉型才是正途。
沙箱由三個獨立設定決定：mode（何時套用）、scope（開幾個容器）、backend（在哪執行）。最容易出事的是預期落差——`tools.exec.host` 現在預設是 auto，所以「沒設就等於在沙箱裡」已經不成立，安全稽核有一條專門抓這個。
OpenClaw 的安全文件現在開宗明義寫著：這是個人助理的信任模型，一個 Gateway 對應一個受信任的操作者。它明確「不是」多個互相敵對的使用者共用一個 agent 時的安全邊界——而且有一份『依設計不算漏洞』的清單把這件事寫死。
exec 是一個會改變狀態的 shell 面：關掉 write、edit、apply_patch 這些檔案工具，完全不會讓它變成唯讀。而沙箱預設是關的，所以 host=auto 實際上會解析到 gateway——真的要沙箱就明確寫，它至少會 fail closed。
Node.js image 的弱掃結果不能只看套件名稱，先分清楚是專案依賴，還是 base image 內建 npm 自己帶的相依套件，才不會修錯地方。
弱掃不是只為了交報告，而是幫你提早知道系統裡有哪些已知風險。這篇用 Trivy 當例子，快速介紹弱掃在掃什麼、常見結果怎麼看，以及該怎麼開始。
Claude Code 有五種權限模式：default（逐步確認）、acceptEdits（自動接受編輯）、plan（唯讀規劃）、auto（AI classifier 背景審查）、bypassPermissions（YOLO 全跳過）。用 Shift+Tab 切換，搭配 settings.json 精細控制。auto mode 是最佳平衡點——既不用每步確認，又有安全防護。
RAG 系統面對的攻擊不只是技術層面的，Prompt Injection 和 Jailbreak 是真實威脅。輸入輸出都需要獨立的防護層。