Khan安全团队发布突发警告，提示GitHub仓库accesskey\\_tools疑似发生投毒事件，可能引发供应链安全风险。该消息指向具体的GitHubissues页面，建议相关开发者立即核查项目依赖，暂停使用可疑版本，以规避潜在的安全威胁。

本文深入剖析了MCP（模型上下文协议）作为AIAgent统一接口所面临的安全风险，核心攻击面包括工具描述投毒、供应链漏洞、权限滥用及本地执行环境威胁。文章指出MCP将AI原生风险与传统安全风险耦合，并针对企业防护提出准入机制、权限限制、运行隔离、变更检测等七项可操作建议，强调需将MCP纳入AI安全治理体系。

文档分析近期供应链攻击事件如Shai-Hulud和axios，指出攻击者通过恶意包窃取开发者凭证（如npmtoken、AWS密钥）进行横向扩散。AWS提出以临时凭证替代长期密钥、CI/CD采用OIDC联邦、对产物签名、集中管理长期凭证并配合SBOM与监控（CloudTrail/GuardDuty）的多层防御方案，核心是减少攻击窗口和权限扩散风险。

OpenSSL近期修复了由AI辅助发现的高危漏洞CVE-2026-45447，标志着AI已从概念验证进入主流漏洞挖掘实践。该漏洞位于pkcs7\\_verify()函数，存在use-after-free风险，可能被利用于远程代码执行。事件表明AI能显著提升代码审计、输入构造和漏洞验证效率，同时加速攻防双方的分析节奏，对企业资产识别、补丁管理和AI工具应用能力提出更高要求。