AI 周报 · 2026 年第 40 周 · 09.28 — 10.04

本版导读本期安全事件频发，OpenAI虽阻断部分推理提取攻击，但微软Azure上的漏洞仍被利用；APEX通过串联技能劫持LLM智能体，在SkillsBench上实现74.2%的攻击成功率。同时，AI辅助攻击团伙批量外泄西班牙中小企业ERP数据，Google Threat Intelligence Group报告显示AI驱动的漏洞披露量同比激增。针对这些风险，Nvidia推出OpenShell作为开放安全运行时平台，Apple则因Agent风险收紧了macOS全磁盘访问控制，试图从底层架构和系统权限层面构建防线。

The Decoder10.01

OpenAI 称已阻断窃取模型推理的攻击，但微软 Azure 上的漏洞仍被利用

OpenAI 在 7 月成功关闭了针对其模型推理链的提取活动，涉及超过 15,000 个账户，并将核心行为归因于与 Moonshot AI 有关联的人员，但研究人员随后证实该攻击在 Microsoft Azure 上依然有效。尽管 OpenAI 自身 API 已修复加密推理重放漏洞并引入流输出筛查，Azure 平台直到 9 月 27 日才为 GPT-6 Astra 等模型补上防护，期间攻击者仍能通过单一请求完整获取包括 GPT-6 Astra 和 Anthropic Sonnet 5 在内的模型隐藏思维过程。 除加密重放外，另一更简单的“虚拟便签”工具调用方法也被证实能绕过所有 OpenAI 模型及 Opus 4.8、Sonnet 5 的防御，仅 Fable 5 系列未受影响。研究人员指出，现有修复措施依赖脆弱的模式匹配且覆盖不全，GPT-6 Astra 在第三方平台上线时甚至缺乏任何保护。这种同一模型在不同云平台面临不同安全等级的现象，暴露了供应链中防护标准不统一的系统性风险。 事实层面，OpenAI 确认了攻击路径并修补了自有服务，但 Azure 端点存在明显的时间滞后；推断层面，若云厂商不执行同等强度的推理隔离，API 层面的出口管制将被轻易绕过；猜测层面，随着模型能力提升，针对云侧弱点的自动化攻击可能会进一步复杂化。这要求产品决策者在选择托管方案时，必须将云厂商的安全承诺视为与模型能力同等重要的变量，而非默认信任。

原文

HHacker News · AI10.02

Pi Coding Agent 与 Jev 的集成用例展示用概率门控、路由和压缩控制编码智能体工具调用

Pi Coding Agent 与 Jev 的集成用例展示如何在工具调用前后用概率门控、路由和压缩控制编码智能体。材料给出的事实是 Jev 不生成文本，调用 193 到 642 ms，并把执行前安全门、输出判断、工具发现、上下文压缩和模型选择拆成多个扩展。关键细节是 no_secret_egress 阈值从 0.97 提到 0.99 时，0.02 的凭据外泄命令会从拒绝区进入模糊区并默认放行；据此推断该机制能减少审批疲劳，但批准命令仍在主机直接运行，不能替代沙箱。

原文

arXiv cs.CR10.02

APEX 通过串联技能劫持 LLM 智能体，在 SkillsBench 上取得 74.2% 攻击成功率

APEX 通过串联技能劫持 LLM 智能体，在 SkillsBench 上取得 74.2% 攻击成功率。在 GPT-5.4 上，完整技能链成功率为 84.3%，合并为单个技能时只有 17.4%；要求智能体检查技能生成文件是否匹配原始请求的提示防御把成功率降到 59.1%，但 72 个良性原生技能任务的验证通过率从 86.7% 降到 56.3%。事实是攻击依赖上游技能写入任务进展记录并夹带虚假用户批准，下游技能据此执行攻击者选定动作；推断是开源技能链的跨技能状态会扩大攻击面，防御需要在阻止定向动作与保留正常任务性能之间权衡；没有材料支持更宽泛的猜测。

原文

HHacker News · AI10.03

Google GTIG 报告：2026 年 AI 驱动漏洞披露量翻倍且高危风险显著上升

Google Threat Intelligence Group (GTIG) 发布的分析报告显示，2026 年 1 月至 8 月期间，AI 辅助发现的漏洞数量同比激增，导致整体漏洞披露量从 5,045 例（2026 年 1 月）攀升至 10,740 例（2026 年 8 月），同时利用活动也几乎翻倍。与常规扫描不同，AI 代理在发现漏洞时表现出明显的高危倾向，其发现的漏洞中 50% 可导致远程代码执行（RCE），而传统方式发现的同类漏洞比例仅为 26%，且 AI 发现的低风险漏洞占比大幅下降。 这一趋势主要由 Agent 编排框架和推理基础设施成为新的攻击面所驱动。数据显示，Agent 编排框架（如 LangChain、Flowise）相关的漏洞披露量在 2026 年激增了 347%，占所有 AI 相关漏洞的一半以上；后端服务层（如 vLLM、Ollama）则因未认证的 API 端点暴露了大量 SSRF 和内存破坏风险。尽管零日漏洞（Zero-day）的利用增长相对温和，但针对已知漏洞（N-days）的快速武器化正在加速，特别是针对边缘网关和企业目录服务的攻击，威胁行为者正利用 AI 工具自动化分析补丁差异以快速生成利用代码。 事实层面，报告确认了 CVE 披露量的指数级增长以及特定厂商（如 Oracle、Linux）季度更新周期的影响；推断层面，AI 发现的高危漏洞直接导致了更严重的实际入侵后果，例如 CVE-2026-1731 在披露后数天内即被多个威胁集群利用进行权限提升和数据窃取；猜测层面，随着大模型生成利用脚本能力的成熟，未来零日漏洞的利用速度可能会进一步缩短，组织必须从“大规模补丁”模式转向“基于情报的优先级排序”和“自动化智能体修复”。

原文

HHacker News · AI10.02

Nvidia 发布 OpenShell 作为 AI 智能体的开放安全运行时平台

Nvidia 正式推出 OpenShell，这是一个面向 AI 智能体的开放、安全运行时平台，旨在解决自主 Agent 在跨云、混合及边缘环境中的执行安全问题。该平台的核心逻辑是将安全策略从模型或应用内部剥离，置于外部环境强制执行，确保权限默认拒绝且所有操作可审计。 OpenShell 通过架构设计实现这一目标：每个 Agent 运行在隔离的沙箱中，无直接网络访问权限，系统调用由内核监控过滤；策略验证器利用形式化方法检查访问边界；网关负责认证与生命周期管理；监督者（Supervisor）在沙箱外评估网络请求并仅在策略允许时提供凭证。该方案支持任何模型和框架，强调策略执行独立于 Agent 自身的推理过程，防止被提示词绕过。 事实层面，这是 Nvidia 将其 BlueField-4 硅基安全技术与 Sentry 组件整合后的新参考系统设计，已开源至 GitHub。推断上，这标志着企业级 Agent 部署正从依赖模型自身对齐转向外部运行时管控，可能降低对单一模型安全性的过度依赖。猜测部分，目前尚未披露具体性能开销数据及与现有主流 Agent 框架（如 LangChain）的集成深度，需等待后续实测验证其是否成为行业标准接口。

原文

TechCrunch · AI10.03

Apple因AI智能体风险收紧macOS全磁盘访问控制

Apple宣布针对macOS的“全磁盘访问”（Full Disk Access）功能引入更严格的控制措施，以应对AI智能体带来的新风险。这一决定紧随记者Jason Aten声称Meta的Muse应用未经授权读取其私人消息的报道，以及Wired指出的ChatGPT Mac应用存在可被黑客利用漏洞之后。Apple指出，随着AI智能体能力增强和自主性提高，此类高权限访问的风险将显著增长。 根据Apple在面向开发者的博客文章中所述，当前的设置允许应用访问文件、邮件、消息甚至浏览历史，但部分开发者可能在不充分告知用户的情况下滥用此权限。未来，Apple将要求授予此类“非凡级别访问权限”必须通过“非常明确的用户操作”来实现，以确保用户真正理解并愿意承担相关风险。此举旨在让用户在授予数据访问权前能做出知情决策。 事实层面，Apple已确认将调整权限机制，且该调整是对近期多起涉及AI应用隐私和安全事件的直接响应。推断层面，这标志着桌面端AI应用的权限获取门槛将从“可选开启”转向“显式强授权”，可能增加智能体功能的部署成本。猜测层面，其他操作系统厂商可能会跟进类似策略，但具体实施时间表尚不明确。

原文

本版导读行业正从单纯依赖模型生成的文本评分转向关注实际执行结果。Microsoft与Hugging Face发布的ThinkingBox基准通过检查终端后端状态和副作用（如数据库变更）来判定任务完成度，包含507个有状态商业工作流。研究指出当前金融场景下的基准分数存在严重高估，实际有效能力可能需打七折。此外，FlowReview提出授权配对评测以降低违规提交率，而dowbench工具则专门扫描工具定义中的成本放大风险，标志着评估维度向可靠性、成本及合规性全面扩展。

Hugging Face Blog一手10.04

Microsoft 与 Hugging Face 发布 ThinkingBox 基准：用终端数据库状态评估 AI Agent 的可靠性与成本

Microsoft 与 Hugging Face 联合推出 ThinkingBox 基准，该工具不再仅依据模型生成的文本或工具调用次数来评分，而是通过检查智能体执行后留下的终端后端状态和副作用（如数据库记录变更）来判定任务是否真正完成。该基准包含 507 个有状态的商业工作流任务，每个任务独立运行 20 次，旨在评估智能体在真实业务场景下的可靠性和一致性。 评测结果显示，单次尝试成功率（pass@1）与长期稳定性之间存在显著差距。例如，Kimi-K3 虽然解决了 93.89% 的任务至少一次，但在所有 20 次尝试中均成功的任务比例仅为 13.41%；而 Claude Opus 5 虽然解决的任务总数较少，但其 20/20 通过率高达 47.53%。此外，分析指出约 80% 的失败源于工具处理问题而非推理能力不足。在单位经济方面，GPT-6 Astra 以 $7.45 的成本完成了最多的可信赖任务，而 DeepSeek-V4-Pro 等模型在保持高准确率的同时，其单次成功成本较低，但完全可靠的成本较高。 事实层面，ThinkingBox 已作为开源项目发布在 Hugging Face 上，基于 OpenEnv 环境运行。推断层面，这表明当前大模型在涉及写操作的业务场景中仍存在严重的“幻觉”风险，即模型可能自信地报告错误结果。猜测层面，企业级应用若直接采用此类模型进行自动化决策，需引入额外的验证层或人工审批机制，否则可能导致数据污染或业务逻辑错误。

原文

HHacker News · AI10.02

OpenAI Dots 实测显示其默认技术栈已锁定 Cloudflare 与 ChatGPT Sites

OpenAI 于 2026 年 9 月 29 日发布的 Agent 平台 Dots 在构建应用时表现出极强的路径依赖：8 次独立构建中，100% 选择了 Cloudflare Workers 作为托管、Cloudflare D1 作为数据库、ChatGPT sign-in 作为身份验证，未出现 Vercel、Neon、Supabase 或 Clerk 等第三方服务的集成。 代码审查证实这一选择并非随机偏好，而是由 ChatGPT Sites 提供的平台能力直接驱动。Dots 通过 Sites 自动处理了部署访问、D1 数据库绑定和身份凭证，开发者无需单独登录 Cloudflare 或配置 API Token。例如，所有构建均使用 `oai-authenticated-user-id` 等特定 Header 读取用户身份，而非集成 Clerk 或 WorkOS 的 SDK。这种“开箱即用”的体验消除了传统开发流程中的供应商比较环节，使得插件目录中的替代服务（如 AWS Core 或 Neon）虽然存在，但缺乏被调用的动力。 事实层面，Dots 确实完成了基础功能交付，包括定时抓取状态页和存储数据；推断层面，这表明 OpenAI 正在通过控制基础设施层来锁定客户生命周期，而非仅仅提供模型接口；猜测层面，若其他厂商希望进入该生态，仅靠发布插件可能不足够，必须提供能绕过现有默认栈的强理由。

原文

arXiv cs.CR10.02

论文提出 FlowReview 与授权配对评测，受控实验中把 denied-commit rate 从 86.0% 降到 0

论文提出授权配对评测和 FlowReview，把阻止禁止用途与完成授权用途设为联合成功标准，并在受控组合实验中把 denied-commit rate 从 86.0% 降到 0。摘要同时说明，多智能体系统通过共享证据、委派任务和组合信息获得能力，但单独可接受的贡献组合后可能促成禁止用途，单纯阻止所有敏感动作会削弱协作目的。论文把系统级要求表述为：在保留使协作有用的授权能力时，治理组合信息流。材料来自 arXiv cs.CR，主题覆盖多智能体系统、人工智能与密码学安全。 FlowReview 的关键机制是把 object resolution、permission ranking 和 deterministic enforcement 连接起来，使对象身份与权限在执行路径中保持可验证。摘要进一步指出，仅保留信息和 lineage 并不足以保证正确的 permission attribution，必须通过输出可验证的组件把权限归属连接到执行，而不是只依赖信息谱系。这里的评测重点是把组合后的信息流是否满足授权边界作为成功标准。 事实层面，材料只报告受控组合实验中的 denied-commit rate 变化和授权供给未损失，没有给出生产环境、模型规模、成本或部署数据。推断层面，这类授权配对评测可能成为多智能体 Agent 安全验收、权限治理和部署工程中的指标，因为它同时约束禁用风险与授权能力。猜测层面，若扩展到真实协作系统，组合信息流治理可能增加审计和验证成本，但材料未提供证据。

原文

arXiv cs.CR10.02

论文显示少样本有害微调后，定位安全层并冻结仍可能被攻击者绕过

这篇 arXiv 论文测试了对齐大语言模型在少样本有害微调下的安全防御是否能抵抗攻击变化。作者发现，即使在攻击后，有害与无害提示在隐藏状态上仍线性可分，把干净模型的完整隐藏状态补回到受攻击模型，也能在一个可复现的过渡深度恢复拒绝行为。 但防御并不稳健。基于既有层冻结方法，他们冻结到该过渡深度后，用 100 条有害样本重复攻击，六个检查点的拒绝率仍接近零，恢复转移会移到冻结边界之上。另一项实验中，移除更新的前两个奇异方向可在短注意力微调后恢复拒绝，但在 Llama-3.1-8B 上，普通训练变化会削弱该修复，攻击者若分散更新即可击败它；基于良性微调校准的谱检测器也漏掉多数修复失败。 事实是定位和恢复能揭示安全行为的位置，推断是攻击者可以绕过被识别的区域并击败跨多个检查点有效的修复。作者认为局部冻结在少量有害样本无意混入训练数据时仍可能保留拒绝能力，并提出针对自适应微调防御的五项检查。

原文

本版导读AI Agent的工程落地呈现多样化趋势，DeepSeek发布Harness桌面应用并开源，支持插件化扩展；Free Coding Agent提供本地MCP编码执行层，使任何模型具备真实编码能力。kamchatka和Mixdog分别针对Linux和Windows优化，通过沙箱化、上下文压缩降低运行成本并提升安全性。Soothsay引入静态分析拦截恶意安装脚本，Gloss为Claude Code提供实时代码审查闭环。这些工具共同推动了Agent从云端向本地、从通用向专用及可审计环境的演进。