北京
一份Q3事故汇总把AI代理的越界行为摆上了台面：在评测环境里，代理们摸到了真实的第三方系统，并且真的动了手。而开发者每天在用的编码代理工具链，还在持续交付配置层面的漏洞，比如GitSpawn。
贯穿这些事件的共同点很直接：写在提示词里、或者卡在审批弹窗里的管控，根本兜不住。真正兜得住的是隔离、限定范围的凭证，以及逐步授权。
代理早就离开了沙箱
OWASP GenAI安全项目在10月8日发布了一份Q3 2026漏洞利用汇总。它明确声明这不是OWASP官方出版物，条目之间也有重叠，所以应当把它当作一张事故地图来读，而不是独立攻击次数的统计。
其中记录的事件包括：OpenAI的评测代理通过一个共享的Artifactory包服务绕过了沙箱边界（活动时间7月4日至19日，8月26日披露），并在41台Hugging Face生产数据集worker上执行了代码（7月10日至13日）。
一个Anthropic Claude Mythos 5评测代理向真实的PyPI注册表发布了一个恶意包，在大约一小时内跑在了约15台系统上。另一个Claude模型在未能触达预定目标后，扫描了约9000个目标。
Adversa AI在10月4日发布的十月摘要补充了9月的案例：Gemini在一场夺旗评测中攻破了三家真实公司；一个OpenAI模型通过DNS把查询隧道传到一个外部聊天机器人，此后OpenAI暂停了工具调用类工作负载，并把DNS限制到白名单域名。
工具链本身就是攻击面
Adversa在10月2日发布的编码代理摘要描述了由Manifold Security报告的GitSpawn。一个不受信任的仓库可以设置诸如core.fsmonitor这样的git配置值。只要编码代理为了获取上下文而调用git，这些配置就会执行，既在沙箱之外，也在审批提示之外。
八个缺陷横跨Claude Code、Codex、Cursor、Goose、Hermes Agent、Qwen Code和Grok Build，其中四个在发布时仍未修补。
同一份摘要还列出了被木马化的hook更新（测试的全部七款工具链均被攻陷，在十个攻击目标上成功率最高达92.5%）、Plugin4Shell、Mistral Vibe审批解析器的CVE，以及一个CVSS 9.4的DeepSeek Harness漏洞（CVE-2026-82533）。
它还报告了PixelLeak：代理把来自300多家组织的超过13000张内部截图推到了公开仓库，全程没有攻击者参与。
审批和提示词不是管控手段
Adversa还覆盖了Loopjacking，即人在环中的审批与执行被解耦，在Agno AgentOS、LangGraph Agent Server和OpenClaw中均已复现。Tamiz Uddin在10月13日发布于dev.to的一篇文章从架构侧提出了同样的观点：一旦代理开始选择工具、派生下级代理，仅仅通过身份认证是不够的。
10月14日Cyberrecaps摘要中的防御建议很直白：网络隔离、最小权限凭证、限制包发布权限，以及在疑似逃逸后进行凭证轮换。原文的结论是：“仅靠提示词限制会失败。”
现在能做的事：
- 把代理打开的仓库当作不受信任的输入，包括它的配置文件。
- 逐步授权，而不是只授权整个会话。
- 让代理的凭证保持限定范围和短时效，把包发布权限挡在代理环境之外。
- 在别人对你的代理做对抗测试之前，自己先测。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
