AI安全新闻

AI安全涵盖模型评估、红队测试、安全承诺和事故报告。本页汇总安全机构研究发现、公司的安全框架，以及围绕前沿风险的政策讨论。

AI安全最新新闻

LiteLLM 的未认证 RCE 早在其 CVE 前 140 天就已修复

针对 Agno、LiteLLM、gpt-researcher、crewai-tools 和 PentestGPT 的六个 CVE 于 8 月 27 日相隔 0.74 秒提交。它们的 CVSS 栏全部为空——因此，未认证 RCE 和泄露的遥测密钥在数据库中被当作同等项处理。

2026年8月28日

BerriAI/litellm 的 GitHub 仓库卡片，显示项目简介以及贡献者、星标和分叉数量

13 个 MCP CVE 混入 12 秒内发布的 60 个 CVE 批量清单

其中 MCP 相关条目为 CVE-2026-81091 至 81102，涉及 Dropbox、ByteDance、Airtable、Telnyx、Timescale、Apify、Harvard、mcp-go、mcp-use、mcp-router、rails-mcp-server。每个修复都已合并，其中一项甚至早在 161 天前。

2026年8月28日

The VulnCheck Blog 的封面卡片，深海军蓝背景，配有 VulnCheck 盾牌与对勾标志

自进化编码代理从共享技能中复现恶意代码

在六个模型和 153 项任务中，自我投毒率为 20.3% 至 41.8%。真正会被传出去的数字，是在载荷按任务家族定制时测得的那个。

2026年8月27日

粉色背景上的一张 alphaXiv 论文卡片，标题为“EVOMAL: Self-Poisoning in Self-Evolving Coding Agents”，下方列有作者名单。

木马化Agent包警告晚了72天，修复版未上架

维护者的账户在 6 月遭入侵。该警示于 8 月 26 日进入 GitHub 数据库，指向 0.6.4 版本，而 PyPI 发布已暂停。

2026年8月27日

Python Package Index 的标志：上方是“Python”，下方是“Package Index”，蓝黄相间的 Python 蛇形方块悬挂在一根线上。

GitLab修补Claude Agent命令漏洞，严重性由其自评

CVE-2026-18252 属于不可信输入纳入：该 agent 从用户可控的位置读取配置。完整细节将继续保密约 30 天。

2026年8月27日

白色背景上的 GitLab 文字标识，旁边是其橙色 tanuki 图标。

ChatGPT 浏览器可登录，但定时任务会无人值守运行

让人安心的一点是，模型从不会看到你的密码。它也不需要看到——经过认证的会话会保留在 OpenAI 的服务器上，以便未来任务继续使用。

2026年8月26日

一张 ChatGPT 文档卡片，蓝紫渐变背景上写着“Scheduled tasks”

20 个 PraisonAI CVE 在77分钟内爆出，均指向6月的一次提交

13 名报告者、连续一段编号，以及三份以 8.6、7.3 和无评分描述同一漏洞的通告。

2026年8月26日

MervinPraison/PraisonAI 的 GitHub 仓库卡片，展示其简介以及贡献者、星标和 fork 数量

DB-GPT严重CVE称v0.8.1已修复，且仅v0.8.1

该防护在 5 月加入，随公告所指版本发布，却在 6 月被一个功能分支覆盖。本周早些时候发布的版本中已不再存在。

2026年8月26日

一张 VulnCheck 公告卡片，标题为“DB-GPT 0.8.0 通过 Skill Upload Filename 发生路径遍历和任意文件写入”，标记为严重

620,699 条 ChatGPT 对话中，心理健康占比为0.21%或4.90%

仅仅因为“什么算”不同，就出现了 23 倍的差距。该研究的出版方还把它描述为关于青少年的研究，但事实并非如此。

2026年8月25日

Hugging Face 数据集卡 allenai/WildChat-4.8M——该研究分析的对话语料库——位于粉蓝渐变背景上。

Continue CLI拦截/usr和/etc上的rm -rf，却没管home

解析器和 shell 对 $HOME 的含义理解不一致，而安全模型只是一份可怕字符串清单。该漏洞报告已开放 36 天，仍未收到维护者回复。

2026年8月25日

VulnCheck 公告卡片，标题为“Continue CLI through 1.5.47 Incomplete Destructive Command Denylist in Headless and Auto Mode”，列出 CVE-2026-76072，严重性为 HIGH，CVSS 8.3。

BentoML的SSRF修复漏掉了运营商级NAT地址段

针对 2025 年 SSRF 的不完整修复之所以仍可被利用，是因为标准库没有把 CGNAT 地址段归类为内部地址。

2026年8月24日

一张 VulnCheck 公告卡，内容为 BentoML 1.4.19 至 1.4.39 版本通过未过滤的 RFC 6598 共享地址空间发生服务器端请求伪造，列出 CVE-2026-78205，严重性为中等，CVSS 6.9。

两项llama.cpp CVE已落地，但一个修复仍未合并

RPC 服务器会从 socket 上取出一个函数指针。更严重的那个在代码树中根本没有修复。

2026年8月24日

一张 GitHub issue 卡片，显示 ggml-org/llama.cpp 的 issue 25289，标题为 ggml-rpc: remote unauthenticated controlled indirect call，由 professor-moody 于 2026 年 7 月 3 日创建。

TaxHacker的CVE-2026-78062被评为中危和高危

CVE-2026-78062 涵盖 TaxHacker 中一个硬编码的认证密钥。VulDB 按 CVSS 4.0 给出 5.5 分，按 CVSS 3.1 给出 7.3 分，且维护者尚未回应。

2026年8月23日

vas3k/TaxHacker 的 GitHub 仓库卡片，介绍其为一款自托管 AI 会计应用，使用 LLM 分析收据、发票和交易。

Ray修复了一个跳过令牌认证的Serve端口，未列CVE

Ray 每个 Serve 副本中的内部 gRPC 服务器都通过 add_insecure_port 绑定，并在检查凭据之前就执行到 pickle.loads。这次发布只是作为常规 bug 修复。

2026年8月23日

Ray-2.58.0 的 GitHub 发布卡片，显示 Highlights 部分，其第一条提到 Ray Serve LLM，并标注了 86 位贡献者。

12个AI工具链CVE刚上榜，但其实早已修复

CVE 记录只是记账事件，不是披露。扫描器却偏偏把它当作信号，这就让一项早已打过补丁的漏洞在周一变成了关键警报。

2026年8月22日

GitHub 针对 xorbitsai/inference 的安全通告卡片，标题为“通过 Llama3 工具调用解析中的不安全 eval() 导致远程代码执行”，标记为 Critical，日期为 2026 年 7 月 13 日。

Waymo的NHTSA儿童碰撞答复已公开，但全被涂黑

“递交文件”听起来像是信息披露。向监管机构交材料和向公众披露材料是两回事，而此事只发生了前者。

2026年8月22日

一辆白色的 Waymo Jaguar I-Pace robotaxi，车顶装有传感器，停在街道上。

Anthropic的网络安全模型用扫描按钮，而不是提示框

Claude Security 将 Mythos 5 从精挑细选的白名单转向任何 Enterprise 合同可用——以发现报告的形式提供，而非模型访问，并按普通 token 计费。

2026年8月22日

Anthropic 为 Claude Security 发布的插图公告卡：橙色背景上的锁头图案。

LangChain-Community的SSRF漏洞出现在一个归档仓库

CVE-2026-72848 带有“分配时不受支持”的标签，而 GitHub 的公告将已修复版本列为未知。可用补丁不存在。

2026年8月21日

一张 VulnCheck 公告卡片，标题为“langchain-community SitemapLoader 不会将 restrict_to_same_domain 应用于嵌套 sitemap 索引条目，导致可被服务器端请求伪造”，日期为 2026-08-20，并列出 CVE-2026-72848、严重级别 HIGH、CVSS 7.7。

LangChain的LangGraph Server漏洞在十周前已修补

两份安全公告均于 8 月 19 日发出，针对 0.10.0 以下版本——该版本于 6 月 11 日登陆 PyPI。此后已发布 14 个版本。

2026年8月20日

LangGraph 的品牌卡片：langgraph 标志，以及“在流动的浅色线条上平衡 agent 控制与自主性”字样，置于深色背景之上。

隐藏状态代理串通检测在二者不同时时降至0.854

MIT 和 SRI 团队量化了这一盲区：匹配代理间 AUROC 为 0.993，跨厂商则为 0.854——而且这种引导只在白盒条件下有效。

2026年8月20日

白色背景上的 arXiv 标识——预印本服务器的卡片本身，因为论文摘要页没有配图。

OpenAI将Daybreak Blue已核验研究者锁在美国、欧洲之外

OpenAI 称这是其自身出现的问题，并要求他们重新验证。目前尚未说明有多少账户受到影响。

2026年8月20日

一部显示 OpenAI 标志的智能手机，手持于深色背景前，下方可见发光的“Daybreak”字样。

OpenAI 的零数据保留已 3 年；新预览版没有规则

Private Safety Processing 在不让 OpenAI 读取内容的情况下，跨多轮交互识别风险——正与 Microsoft 和 Databricks 进行测试，9 月上线。

2026年8月20日

OpenAI 的文章卡片：写着“Offering Zero Data Retention for frontier models”的字样，置于浅蓝和浅绿色渐变背景上。

一种让被剥除安全层的模型自信地答错而非拒答的防御

Mark Russinovich 提出让移除安全机制的“收益”变成负值：一旦护栏被拆除，模型就会对危险问题给出错误答案。

2026年8月19日

Mark Russinovich 在 arXiv 上发布的预印本《Fool's Gold: Defensive Deception Against Safety-Removal Attacks on Open-Weight Models》首页。

五个 LLM 网关，五次失败：研究人员通过提示缓存跨客户读取

一篇测量论文发现，所有受测的开源中继都默认泄露跨客户缓存读取，而修复成本不到 2.5%。

2026年8月19日

arXiv 预印本《KeyPooling: Measuring Where LLM API Relay Paths Collapse Prompt Cache Isolation》的首页，显示作者和摘要。

Vercel 为逃离其 Sandbox 开出 100 万美元悬赏——仅限两周，且只针对 microVM 之外

一项有时间限制的 HackerOne 计划，单篇报告最高奖励 5 万美元；明确规定逃到 guest OS 不算。

2026年8月19日

黑色 Vercel 卡片写着“Vercel Sandbox 100 万美元黑客挑战”，旁边是括号与立方体图案。

Anthropic 研究人员测试其可解释性工具后发现完全没有提升

将稀疏自编码器、自然语言自编码器和激活预言机与一个只读取对话记录的基线进行了比较。没有一种工具胜出。

2026年8月18日

一张 alphaXiv 预览卡，展示论文标题“Would this change your answer? Evaluating Explanations of LLM Behavior In The Wild with Counterfactual Experiments”，旁边是论文第一页

错别字与改写不断累积：两名研究人员用隐形提示引导前沿模型

单个看似无意义的提示选择会近似相加。叠加到足够多时，就能控制答案——而且同一提示还能迁移到原本并未针对其调优的模型上。

2026年8月18日

一张 alphaXiv 预览卡，展示论文标题“Model Hypnosis: Strong control of AI via additive subliminal effects”，作者为 Enric Boix-Adsera 和 Benedict Tessler，旁边是论文首页

一个Agent5天攻入Snowflake的Jira，但作者身份存疑

这则故事中无可争议的部分是，一台机器构建了整条攻击链。每条标题里那一半——即 Copilot 写出了这个漏洞——则遭到 GitHub 质疑，也被 Wiz 自己留了余地。

2026年8月18日

Wiz 为这篇研究配图：一个戴着面罩和斗篷的卡通雪人站在管道和飘雪中，旁边有 Wiz 标志

新加坡自周一起将 AI 生成的亲密影像定为犯罪

未经同意制作此类影像最高可判两年监禁。若对象未满14岁，监禁为强制性，还可适用鞭刑。

2026年8月16日

一个人躺着看手机屏幕。

第四个家庭就 Grok 生成的虐待图像起诉 xAI

最新诉状由一名 16 岁男孩提起，这是系列案件中首位男性原告。四起案件都可追溯到阿肯色州一名摄影师 6 月的被捕。

2026年8月16日

一部显示 xAI Grok 应用的手机，前景是一个巨大的 X 标志。

← 较新较旧 →

相关主题