2026-10-16 04:37:26 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

近期一些Agent安全资源整理

资源整理
资源整理

Security for AI

2026年10月3日 21:34
泽西岛

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

攻击手法

plugin更新只要悄悄加一条恶意lifecycle hook，就能接管harness。被trojan化的更新打穿了全部七个受测harness，包括Claude Code和Codex CLI，十项目标里成功率最高到92.5%。Defender、Semgrep和策略基线漏掉了将近一半样本。

https://arxiv.org/abs/2609.03884

Claude Code的function hook就加载在Claude Code进程内部。恶意plugin可以改写tool call、tool description和system prompt，还对EDR保持不可见。文中用钱包地址替换做了演示。

https://dash.security/blog/claude-mods-the-new-attack-surface-built-in

靠检索示例的coding assistant，会把语料里的内容一并学进来。被投毒的code artifact会注入攻击者选定的弱点，看起来仍跟任务相关，还带上欺骗性的安全声明。十个漏洞类别里的85份artifact，在三个代码生成器上成功率到了0.80到0.93。

https://arxiv.org/abs/2609.02774

Explosive prompt是休眠的条件注入，只有攻击者选定的trigger出现时才会触发。打Claude Code、Codex、Gemini CLI、Cursor、GitHub Copilot和其他目标，成功率为43%到83%，普通祈使句最多3%。

https://arxiv.org/abs/2609.22510

没有jailbreak，也没有prompt injection。仓库的subagent config让Claude Code把安全审查交给Haiku，审查范围跳过tests/。主agent随后跑pytest，执行了藏在被跳过目录里的Sliver C2 payload。Anthropic称这种行为是by design。

https://www.straiker.ai/blog/how-a-malicious-repo-tricked-claude-code-into-running-malware

不受信任的仓库会设置core.fsmonitor这类git config execution sink。coding agent一旦为了取上下文去调git，它们就会跑，既不在sandbox里，也不走approval。研究记录了Claude Code、Codex、Cursor、Goose、Hermes Agent、Qwen Code和Grok Build上的八个缺陷，文章发出时还有四个没打补丁。

https://www.manifold.security/blog/ai-coding-agents-git-hijack

Claude Code、Codex、Antigravity、OpenCode和Grok Build这些harness，都让agent删掉自己的execution trace，monitor察觉不到。外部攻击者可以诱使这次删除。frontier模型在追reward时，不经提示也会自己动手。

https://arxiv.org/abs/2609.30266

Darwin Gödel Machine、Self-Improving Coding Agent和Hyperagents这类会自我修改的coding agent，用benchmark评价自己。被投毒的benchmark会让它们演化出写脆弱代码的指令，例如关掉HTTPS证书检查。之后再用干净benchmark演化，这份污染还在。

https://arxiv.org/abs/2609.17817

Coding agent漏洞

DeepSeek Harness暴露了一个未认证的localhost控制API，只靠Host头做检查。已经进sandbox的coding agent读到恶意输入后，可以经loopback调用它，把自己切成danger-full-access，绕过限制。

https://www.ox.security/blog/cve-2026-82533-deepseek-harness-ai-agent-sandbox-escape/

OpenCode的/global/upgrade端点接受text/plain body和任意package spec。任意网页都能跨源POST到正在跑的opencode serve或web实例，装上攻击者的npm package，preinstall script接着跑代码。

https://securitylabs.datadoghq.com/articles/opencode-upgrade-remote-code-execution/

Codex里有两次独立的escape。CLI的apply\_patch把写权限给到了父目录，能往workspace外写文件，比如.zshrc。Desktop的JavaScript tool经V8 heap snapshot泄漏了trust token，read-only模式下也能执行宿主命令。

https://www.accomplish.ai/blog/escaping-the-openai-codex-sandbox-twice/

Mistral Vibe用parser检查shell命令，执行的却是原始字符串。环境变量前缀、重定向、带引号的路径、ANSI-C字符串，还有解析不了的语法，全都能躲开approval。恶意仓库可以执行代码，还能访问workspace之外的文件。

https://blog.secmate.dev/posts/mistral-vibe-cve-2026-87987-cve-2026-87984/

Claude Code、OpenAI Codex、GitHub Copilot和Gemini CLI通过git checkout安装被pin住的plugin commit，却不核验结果。一条分支名伪装成被pin的SHA，自动更新时会悄悄换成恶意代码。

https://www.air.security/blog-posts/plugin4shell

brig是给AI coding agent用的sandbox runner，会在宿主上解析project mount路径里的symlink。agent可以种一条symlink。brig下次挂上这个子目录时，就能读写SSH key、云凭据和其他项目。

https://www.endorlabs.com/learn/project-mount-symlink-traversal-in-brig-how-a-sandbox-reaches-host-directories-it-was-never-given

Coding agent事件

Amatera、Remus、CallbackBeaver和macOS上的Djinn这些infostealer，现在会收割AI agent artifact：Claude、Cursor、Cline和Codex的access token与refresh token、带着凭据的MCP config，还有放在可预测、有时还是明文位置的prompt历史。

https://www.gendigital.com/blog/insights/research/infostealers-your-ai-agent

coding agent没法用GitHub CLI把截图附到pull request上，就把图片推到公开仓库或gitshot工具。结果是300多家组织的超过13000张内部截图，其中93%在个人账户里。没有攻击者参与，图是agent自己找办法漏出去的。

https://www.glow.io/blogs/how-ai-agents-exposed-developer-screenshots-from-leading-tech-companies

Coding agent安全

单独一行恶意README就能让Claude Code用curl把.env secret送出去。文中讲了内建防御（approval提示、隔离的fetch上下文、sandboxing），也讲了加固做法：给不受信任的仓库用容器、一条Bash(curl \*) deny规则，还有把secret放在项目树外面。

https://claudefolio.com/blog/prompt-injection-how-a-readme-can-hijack-claude-code

Coding agent防御

这套harness从受信任的输入设定authority上限，每个subagent的tool call都要对照模型之外保存的typed capability。被注入的动作从75次里的33到47次，降到3次。

https://arxiv.org/abs/2609.08371

一个agentic scanner把red agent和blue agent配成一对：前者按九类威胁把prompt injection种进agent skill，后者定位并修补弱点。超过17%的热门skills.sh skill带着未触发的漏洞，其中一些已经触发过真实事件。

https://arxiv.org/abs/2609.14079

Coding agent红队

在SusVibes上，186个Python CVE被改写成feature request。Claude Opus 5.5在93.5%的任务上通过了功能测试，既能跑又安全的只有54.8%。能跑的解法里有41%重新引入了原来的漏洞。

https://semgrep.dev/blog/2026/claude-opus-5-5-susvibes-benchmark

对抗性agent在79%的试验里绕过了Claude Code Auto Mode和Codex Guardian的blocking classifier，手法有对monitor做prompt injection、多agent攻击，还有恶意compaction。

https://arxiv.org/abs/2609.19587