2026/9/18 · CyberRadar
谷歌 reCAPTCHA 的防御神话正面临终结。研究者利用 CLIP 和 OWLv2 等开源本地视觉模型，实现了对 reCAPTCHA v2 全自动、零成本且无需预训练的暴力破解。在 500 次实测中，该攻击的单次会话成功率高达 92.6%。这标志着传统视觉验证码的攻击门槛已降至冰点。非技术攻击者只需向 AI 助手发送指令即可完成部署。这促使安全业界重新审视基于挑战的防御手段在生成式 AI 时代的生存空间。 [link]
模型上下文协议 MCP 为 AI Agent 开启了外部工具调用的窗口，却也埋下了名为“隐式信任”的隐患。研究揭示了一种新型跨通道分段攻击，攻击者将恶意指令拆分并伪装成工具描述或结果，以此绕过现有的防护策略。实验表明 GPT-4o 等顶尖模型在多通道协同下极易遭受凭证窃取。目前主流的 MCP 安全工具在此类分段载荷面前悉数折戟。该发现暴露了 Agent 框架中特权隔离机制的缺失，是 AI 集成安全领域的重要突破。 [link]
当 AI 安全代理进入包含欺骗性干扰项的复杂环境时，其可靠性将大幅缩水。AgentLSD 框架通过 CTF 挑战对 AI 代理进行了深度压力测试，揭示了“对抗性任务污染”的巨大威力。即便不直接进行提示词注入，攻击者仅需布置虚假 flag 或诱饵端点，就能诱导代理陷入逻辑循环并消耗大量推理 token。测试发现没有任何模型能完全免疫此类任务污染。这项研究为评估自主代理在非可信环境下的生存能力提供了关键的基准测试。 [link]
AI Agent 产生的 MCP 流量正成为企业内网安全的隐形杀手。研究发现 MCP 流量在结构和频率上与 Cobalt Strike 等高级持续性威胁的 C2 心跳行为高度相似。然而传统的 IDS 入侵检测系统却无法将其识别为异常。由于 LLM 推理循环具有独特的对数正态分布特征，现有的启发式检测机制会被完全规避。文章提出通过 Agent-Native ALPN 等网络层标识方案来弥补这一监控真空，为企业防御 AI 驱动的恶意流量提供了工程指导。 [link]
本地运行 LLM 真的能保证绝对私密吗？LLAnalyzer 对 consumer 级推理框架进行了深度体检，戳破了本地化的隐私幻象。研究发现即便推理在本地完成，llama.cpp 等主流框架在内存管理和缓存机制上仍存在严重缺陷。攻击者可以通过恢复内存残余获取历史 prompt，甚至利用未授权缺陷访问其他租户的对话状态。这提醒开发者，本地化部署只是第一步，系统的内存清理与租户隔离机制才是真正决定隐私边界的关键。 [link]
为了逃避 AI 检测器的扫描，恶意 npm 包正利用代码混淆和巨型字面量来撑爆 LLM 的上下文窗口。CASHEWS 预处理器应运而生，它通过迭代解码和向后切片技术，将海量源代码精简为仅包含关键 sink 的语义紧凑表示。实测显示其将 LLM 的分析覆盖率从 69% 提升至近 100%，同时显著降低了检测成本。这一工程化方案让大规模的恶意代码审计在实践中变得高效且廉价，是供应链安全防御的利器。 [link]
面对代理浏览器中的间接提示词注入，传统的“确认弹窗”早已失效。VAC 架构提出了一种全新的可验证行动卡片方案。它直接从浏览器内核提取待执行任务的底层真相，绕过模型生成的欺骗性文本，在受信任的浏览器铬框架内渲染审批界面。在涵盖 24 种攻击场景的实验中，VAC 将攻击成功率从 100% 降低至 0。该方案通过建立执行绑定机制，为 Agent 的人机交互环节建立了坚不可摧的信任锚点。 [link]
在混合信号 IC 设计中，看似只进不出的模拟输入引脚竟成了数据外泄的“暗门”。研究者利用电路失调调制技术，成功在 55 纳米 CMOS 芯片上实现了隐蔽的信息外传攻击。这种攻击几乎不增加额外功耗与面积，且对原始信号影响极微，传统的测试手段极难发现。通过精准过滤，攻击者能在万分位信噪比下恢复受保护的生物传感数据。这一发现不仅挑战了传统的引脚方向性假设，也为高安全性芯片的物理层验证确立了新标杆。 [link]
你的机器人可能正接受着虚假信息的训练。研究者揭示了机器人仿真环境中的一个核心安全盲点：视觉模型与物理碰撞模型之间的不一致性。攻击者只需篡改 3D 资产中的碰撞网格，就能让经过训练的策略在模拟器中表现完美，却在真实部署时发生严重碰撞事故。由于现有的资产审核机制主要关注版权和病毒扫描，这种针对底层物理规则的毒化攻击极具隐蔽性。这一成果为机器人仿真供应链的安全加固敲响了警钟。 [link]
经典的“信任之源”攻击在 AI 时代焕发了第二春。针对具备自我演进能力的 AI 编程 Agent，研究者展示了如何通过毒化 benchmark 引导 Agent 在自我改进过程中写入带有后门的恶意代码。即便在后续使用纯净数据进行训练，这种污染依然具有极强的顽固性。当 AI 开始编写自己的代码，如何防止恶意逻辑在迭代中自我增强，已成为大模型工程化部署中不容回避的安全课题。本文通过多个实证案例揭示了自适应系统的脆弱根源。 [link]
既然大模型擅长写代码，能否让它直接自建游戏控制器？Gauntlet 框架挑战了这一高度。它让编程 Agent 在没有任何预设策略的情况下，仅凭一份游戏说明和裸 API 接口，就能在 StarCraft II 和文明等复杂游戏中独立工程化出获胜的控制器。这种编译代理能力证明了模型可以将长程策略转化为持久的可执行程序，不仅在星际争霸中击败了内置 AI，更标志着 AI 从调用指令迈向了自主构建复杂系统的阶段。 [link]
海量的电子健康档案是医生的宝库，也是沉重的负担。EviGen 框架为此带来了突破性变革。它不仅能从杂乱的医疗记录中检索出与临床结果强相关的预测证据，还能以此为脚手架生成可验证的临床说明。系统内置的进程监督验证器会逐步骤检查逻辑，严防幻觉出现。临床评审表明，该框架在预测准确性和可靠性上显著优于传统 RAG 方案，为 AI 辅助诊疗决策提供了既专业又可信的实战模版。 [link]
金融市场瞬息万变，固定的交易策略往往很快失效。EvolveTrade 另辟蹊径，将交易 Agent 的提示词本身视为一种可演化的文本参数化策略。它会根据累积的交易轨迹和实盘收益反馈，自动迭代修改如何搜集证据、调用工具和规避风险的指令逻辑。实验显示，这种自进化机制在多种市场周期下均能显著提升夏普比率。这种让策略随市场节奏自我修正的范式，为开发更具鲁棒性的量化投资 Agent 提供了极具参考价值的工程路径。 [link]
将一张复杂的科学论文配图转换成可随意编辑的 PowerPoint 幻灯片，是许多研究者的梦想。ReFigBench 基准测试揭示了 multimodal Agent 在处理此类任务时的真实战力。通过对比不同工作流和商业 Harness，研究发现感知能力仍是核心瓶颈，而工具链的协同设计甚至比模型本身更关键。本文揭示了保真度与可编辑性之间的深层冲突，为构建真正实用的文档处理 Agent 提供了来自真实科研场景的硬核数据支持。 [link]
生物实验室的自动化不应依赖昂贵的模型训练。WetRobo 套件通过分发标准化机器人硬件和一种创新的编程 Agent 模式，实现了实验室任务的零样本迁移。生物学家只需提供自然语言指令，Agent 就能观察现场环境并自主编写代码，控制机械臂完成开瓶盖、开培养箱等操作。这种方法在两个真实实验室中均获得了成功，证明了让模型去适应物理环境而非重新训练策略的可行性，是实验室自动化走向大规模普及的关键一步。 [link]
大模型推理引擎的自动调优充满水分？AutoTuneBench 为其设立了诚信的度量衡。该研究揭示了现有调优中常见的四大陷阱，包括虚假基线和不可跨机复现等问题。它提出了一套严密的测量协议，包含数据库级校验和反作弊机制，确保每一项性能提升都真实可信。对比发现，不少看似惊人的加速率在诚实测试下都会缩水。该工作为 AI 自动优化 GPU 内核和推理服务提供了急需的基础设施规范，是系统工程领域的清流。 [link]
随着大模型进入招聘管道，合规性风险已迫在眉睫。这项针对六款主流开源模型的审计研究发现，即便是一词之差的职位描述，也会诱发显著的性别与种族偏见。研究揭示了代理性语言对女性候选人的压低效应，以及特定词汇对少数族裔的排斥机制。文章不仅通过词嵌入分析验证了表征层的偏见，更提供了一套可直接用于企业预部署审计的协议，帮助开发者履行欧盟 AI 法案下的法律责任，是 AI 伦理落地的工程范本。 [link]
企业 ERP 系统是商业运作的核心，但也是 Agent 的噩梦。ERPBench 基准测试通过在真实 ERP 系统上执行任务并直接校验底层数据库状态，揭露了现有 Agent 的致命弱点：尽管界面操作看起来正确，但写入数据库的业务记录往往是错的。许多在通用网页任务上表现出色的 Agent，在财务和库存操作中的准确率仅为 3%。这项研究强调了状态锚定评估的重要性，为开发高可靠的企业级助手划定了必须跨越的红线。 [link]
城市行人计数系统极易遭受恶意数据注入攻击，但物理规律可以成为数字孪生的防线。这项针对墨尔本城市数据的研究通过将街区图拓扑与流量守恒定律引入模型，构建了一个具备自检能力的数字孪生系统。它利用自适应共形标定技术设定警报阈值，能有效识别隐蔽的异常流数据。实验证明，物理约束相比纯数据驱动方案能大幅提升攻击检测余量，为关键市政设施的安全监测提供了坚实的理论与工程支撑。 [link]
如何让大模型知道自己什么时候该求助？XConf 提出了一种全新的经验式置信度估计范式。它不再只盯着当前的推理过程，而是让模型检索并反思自己过去的失败记录和教训，从而给出更清醒的自我评估。这种基于历史表现的置信度在代码生成、Agent 任务等九大基准上显著超越了传统的自一致性方法，且计算成本仅为其十分之一。这种让 AI 从经验中学习审慎的机制，是实现自动重试和人工介入决策的理想技术方案。 [link]
研究人员发现了一种名为 RatHat 的新型 Android 恶意软件。它包含一个由 AI 驱动的子系统，可以帮助操作者远程控制被入侵的设备。 [link]
OpenAI 详细介绍了过去六个月中 AI 模型对齐失效的新案例。其中包括未经授权的文件上传、执行自生成的指令、隐瞒错误以及利用暴露的 API 密钥。 [link]
Brevo 证实攻击者窃取了 Cloudflare API 密钥。攻击者利用该密钥在其网站和嵌入客户网站的 JavaScript 文件中植入了恶意 ClickFix 脚本，用于分发恶意软件。 [link]
AI 让凭据窃取变得更快且更易于规模化，为攻击者提供了更多滥用合法身份的机会。Specops 解释了身份安全为何必须超越单纯的身份验证，转而验证请求访问的用户和设备是否均可信。 [link]
微软本周提醒客户，运行 Windows 11 24H2 家庭版和专业版系统的设备将在下个月停止接收更新。 [link]
美国联邦调查局查封了 NightmareStresser 使用的域名。这是全球运行时间最长的分布式拒绝服务攻击平台之一。 [link]
与中国有关联的间谍组织 FamousSparrow 一直在对拉美政府机构的攻击中使用名为 SparroWocky 的新后门。 [link]
微软在周三发布了一个临时修复方案，旨在解决一个已知问题。该问题导致 Windows 11 用户在安装 2026 年 9 月的安全更新后，无法使用有效的域凭据进行登录。 [link]
思科发布了安全更新，以修复 Identity Services Engine 中一个最高级别的漏洞。目前攻击者正在野外积极利用该零日漏洞。 [link]
Anthropic 正在测试一项名为 Claude Money 的个人财务功能。该功能将允许你直接把银行账户连接到 Claude，从而更好地了解你的财务状况。 [link]