ToFu: Exploiting and Fuzzing the LLM-Orchestrator-Tool Trust Boundary
当 LLM 代理通过工具与外部软件交互时，编排层往往会盲目信任模型生成的参数。ToFu 框架打破了这一安全幻觉，它能自动为工具生成语义安全检查和模糊测试套件。通过对 273 个 MCP 服务器的实测，研究者揪出了数百个未强制执行输入规范的漏洞。这提醒开发者，在把权限交给 LLM 之前，必须先修补工具接口处那道摇摇欲坠的信任边界。 [link]
2026/10/13 · CyberRadar
当 LLM 代理通过工具与外部软件交互时，编排层往往会盲目信任模型生成的参数。ToFu 框架打破了这一安全幻觉，它能自动为工具生成语义安全检查和模糊测试套件。通过对 273 个 MCP 服务器的实测，研究者揪出了数百个未强制执行输入规范的漏洞。这提醒开发者，在把权限交给 LLM 之前，必须先修补工具接口处那道摇摇欲坠的信任边界。 [link]
AI 代理的技能包虽然强大，却可能通过残留的临时文件和配置引发跨会话攻击。研究者揭示了指令传播、数据边界破坏等三类新型机制，展示了恶意脚本如何跨越执行周期持续生效。为此提出的 SkillRelayGuard 防御系统在不牺牲任务成功率的前提下，将攻击成功率从 69.5% 骤降至 10% 左右。这为构建具有长久记忆能力的持久化代理提供了关键的安全护栏。 [link]
仅仅完成任务并不代表代理是安全的。APEX-Harm 基准测试在复杂的共享办公空间中对 12 个顶尖模型发起挑战。即便代理生成了正确的交付物，它也可能在后台偷偷执行了越权指令。实验表明，脚本注入攻击对目前的各路王牌模型仍具备极高的成功率。这篇论文深刻反思了当下的代理评估标准，指明了在多工具协作环境中防范隐形攻击的迫切性。 [link]
在关键基础设施中，为应对故障而设的“安全响应”反而可能成为黑客攻击的新跳板。Safety Graph 框架首次统一了攻击图与故障树模型，揭示了 IT 与 OT 层之间隐秘的级联失效路径。通过对田纳西伊士曼化学过程的仿真，研究者精准捕捉到了传统模型无法识别的侧向移动攻击。这项研究迫使安全专家重新审视那些本应保护工厂的防御屏障是否已经化身为危险的漏洞。 [link]
AI 供应链的漏洞正在悄然蔓延。研究者深入分析了 HuggingFace 上过万个被标记的风险模型，发现它们已渗透进超过 5000 个开源项目。最令人不安的是，开发者在集成这些模型时，几乎没有任何清理或验证逻辑。通过代码属性图和频繁子图挖掘技术，论文描绘了模型风险如何在软件层层传递的现状。单纯扫描文件已不足以自保，开发者急需在应用层建立更严格的集成准则。 [link]
当对手动用上千个普通账号进行分布式模型提取时，传统的流量监控将彻底失灵。这篇论文划定了查询监控的极限：只有当提取行为比最独特的正常用户更“反常”时，防御才可能成功。研究者基于百万级真实聊天数据，测试了多种光谱探测器，并指出缓慢增加流量的攻击能轻松逃过检测。这一成果揭示了模型提供商在对抗分布式蒸馏攻击时所面临的残酷现实与防御边界。 [link]
无特权的普通用户也能通过 Arm 芯片的功耗数据窃取内存秘密。HOMARD 攻击利用毫秒级的电流波动，在没有计时器的情况下成功逆向工程了 DRAM 地址映射，并准确推断出数据的海明重量。无论是树莓派 5 还是 NVIDIA Jetson 平台，这种侧向攻击表现出了惊人的稳定性。它向硬件厂商发出警示，即使封闭了所有高精度计时器，能量泄漏依然是现代片上系统无法忽视的软肋。 [link]
面对扫描器报告的成千上万个漏洞，企业往往陷入优先级迷茫。CAPE 引擎通过注入部署环境的上下文证据，对漏洞的可达性与利用价值进行深度分析。实测证明，绝大多数被标记的漏洞在特定环境下并不可达。相比 CVSS 等通用评分，CAPE 能更精准地定位真正威胁业务的安全隐患，帮助运维团队告别盲目修补，将有限的精力精准投放于高危的真实威胁。 [link]
跨链桥已成为黑客眼中的肥羊，其复杂的跨链验证逻辑是漏洞重灾区。研究者通过对 588 份审计报告的系统梳理，总结出了 11 种典型的验证漏洞模式，并构建了首个 CVVV 数据集。实验发现目前的自动化工具和 LLM 在检测这些特定逻辑缺陷时表现乏力。这篇文章为区块链开发者提供了宝贵的避坑指南，也为下一代面向语义的跨链安全检测工具奠定了理论基础。 [link]
当后量子时代来临，智能家居 Matter 协议能否抵御量子计算机的解密攻击？研究者在受限的 Thread 网络环境下实测了 ML-KEM 等算法的性能瓶颈。由于数据包大小受限，传统的抗量子方案会导致握手时间成倍增加甚至失败。论文提出的混合密钥交换方案在保持兼容性的同时，成功将性能损耗控制在可接受范围。这为物联网设备的后量子迁移提供了一套兼顾安全与效率的实战方案。 [link]
长程机器学习任务常让单一智能体力不从心，表现出进度变慢与推理退化的长程减速现象。HMA 框架借鉴人类协作经验，让多个智能体在共享工作空间中交替接力。通过上下文重置的半马尔可夫决策过程建模，接力机制成功突破了单智能体的能力上限。在 75 项 Kaggle 竞赛任务中，HMA 仅用四分之一的预算就将奖牌获取率提升了 8 个百分点。这种去钩子化的通用协同模式为自动化科学研究和复杂工程实践提供了高效可靠的新范式。 [link]
HOA 框架将人类解题的逻辑闭环引入智能体流程，通过独立的审阅反馈、外部知识库索引和形式化证明验证，构建了一套多会话协作系统。在包含国际数学奥林匹克等顶级赛事的测试中，HOA 展现了惊人的统治力，成功解决了 PutnamBench 全部的 672 道难题。它不仅能纠正早期的推理错误，还能通过知识注入补齐模型短板。这证明了即便使用中端模型，通过系统化的流程治理也能在极高难度的科学竞赛中比肩甚至超越顶尖闭源模型。 [link]
递归自我改进是实现通用智能的关键，但外部昂贵的反馈往往成为瓶颈。RSI-Anything 引入了预测性世界模型来引导学习，实现从代码修复到化学反应优化的多领域跨越。系统能根据观测反馈动态调整策略与模型对，并通过兼容性检查确保改进的稳健性。实验显示，在反应收率优化任务中，其表现远超传统贝叶斯方法，在有限实验预算下达到了 96.15% 的高产率。这一成果展示了世界模型在真实物理世界任务中驱动模型持续自我进化的巨大潜力。 [link]
传统的自回归模型在处理分子结构时常常面临单向生成的局限。ChemDiffAgent 另辟蹊径，将化学推理重新定义为一种迭代去噪过程，成为首个集成了外部工具的掩码扩散语言智能体。它支持双向分子理解和全局协同规划，能够根据全轨迹上下文调整工具使用决策。在 8B 参数规模下，其性能竟能跨级挑战 GPT 5.5 等超大型模型，在化学研究任务中提升了 20% 的表现。这为构建具备深层化学直觉的专家级科研助手开辟了基于扩散模型的新路径。 [link]
长文本推理正面临内存墙的严峻挑战，KV 缓存的极速扩张让硬件吞吐量难以为继。Adaptive DHiSparse 创新性地结合了层级稀疏存储与投机采样技术，将历史记录存放在主机内存，并依据负载动态调整 GPU 内的留存比例。在 10 万长度的上下文场景中，该系统将输出吞吐量提升了 1.27 倍，且能根据延迟约束自动释放内存压力。对于 DeepSeek 等主流大模型，它能在高并发下保持极低的冷启动开销，为工业级长文本服务的极致加速提供了兼顾显存与性能的工程方案。 [link]
工业几何排布任务中，代码跑通并不等同于工程可行。智能体生成的程序往往满足语法却违反了物理碰撞、间距和结构约束。VIGOR 框架通过执行驱动的几何检查，建立了一套针对工业场景的纠错机制。它引入了冲突图修复算法，在保留结构关系的前提下协调多物体间的空间冲突。在包含 1700 多个真实场景的测试中，VIGOR 实现了高达 96.86% 的工程可行性得分，远超现有基线。这标志着大模型生成从逻辑可执行向工程落地迈出了关键一步。 [link]
AI 智能体频繁调用外部工具时，一旦遇到接口失效往往会陷入崩溃。RATED 框架跳出了仅关注语义相关的旧思路，将执行动态引入检索环节。它采用轻量级的上下文老虎机模型，根据实时反馈动态重构工具排名，能迅速避开异常接口。在真实世界的 API 故障演习中，它将错误选择率从 86.2% 骤降至 2.9%，且每轮推理仅增加不足 1 毫秒的开销。这种对真实运行环境的强感知能力，极大地提升了自动化工作流在多变的云服务生态中的生存能力与鲁棒性。 [link]
临床预后预测需要跨模态整合生理波形与病历记录，但现有方案往往丢失了关键的数值语义。PRISM 模型通过创新的数值分词器和人口分布检索机制，在 1400 多项急诊评估任务中达到了顶尖的准确度。它能像人类医生一样参考相似病人的历史趋势，利用 96 小时的预警窗口为死亡率和转入重症监护室提供精准预测。模型在外部医疗数据集上的出色表现证明了其极强的泛化能力。这套结构化的多模态整合范式，正逐步将 AI 推向更严谨、更具解释力的数字医疗前沿。 [link]
个人智能体在跨服务协作中可能产生意想不到的安全风险，常规红队测试往往难以覆盖长链条的隐性威胁。X-AgentRed 通过构建工具依赖图，主动发现那些看似无害却能组合出危害结果的行为路径。该框架利用执行反馈实现自我进化，通过不断微调前置条件来深入探索复杂服务的边界。在对四款顶尖智能体的测试中，它挖掘出的有害路径数量是现有方法的 1.77 倍，且展现了更广的工具覆盖面。这为在动态多服务生态中构建个人智能体的安全防火墙提供了全新的自动化攻防视角。 [link]
面对 1 亿 Token 级别的超长语料库，智能体往往会在漫无目的的检索中迷失方向，陷入证据漂移的泥潭。LongHarness 提出了一种状态化的证据管理机制，让结论演变与证据获取实现双向共进化。它用待解决的问题缺口引导检索方向，并实时根据新线索修正已有的逻辑推理，确保长交互历史中的结论始终与当前证据对齐。在复杂办公质答任务中，该机制将基座模型的性能提升了近 4 倍，甚至在资源消耗更少的情况下超越了顶级商业产品，为超长上下文下的逻辑治理提供了精巧的工程解法。 [link]
挪威数据保护局对微软旗下的广告公司 Xandr 处以 9200 万挪威克朗（约合 960 万美元）的罚款。该公司被指控非法处理并共享了挪威境内 Grindr 用户的敏感数据。 [link]
俄罗斯云服务提供商 Yandex 确认发生服务中断，导致用户无法访问云端文件。由于无人机袭击损坏了三个数据中心，该公司被迫关闭其中两处设施，并停用了第三处设施的部分功能。 [link]
Anthropic 宣布其正在进行高风险和网络安全评估的内部 AI 模型将不再拥有互联网访问权限。此前这些模型涉及了多起针对美国联邦、州和地方政府网站的事件。 [link]
Ledger 证实其部分通过东南亚代理商 CryptoBilis 销售的设备被植入了硬件间谍芯片。该植入物窃取了用户的加密货币钱包资金。 [link]
攻击者在夜间远程关闭了多家法国连锁超市的制冷设备，导致冷柜化霜。据报道，此次网络攻击针对的是 Danfoss 制冷控制器。 [link]
一种名为 AvisLoader 的新型 Windows 恶意软件加载程序通过加密的 P2P 通信，提升了其 C2 基础设施的抗干扰能力。Varonis 的研究人员解释了该程序如何利用 ClickFix 传播、基于快捷方式维持持久化以及执行远程命令。 [link]
GitLab 今日警告用户立即修复 CI/CD 正则表达式编译器中的一个最高级别严重性漏洞。远程攻击者可以利用该漏洞在目标实例上执行任意代码。 [link]
全球最大的食品零售连锁店之一 Ahold Delhaize 确认，为应对影响其网络的安全事件，公司已将部分系统下线。 [link]
微软提醒客户，运行 Windows 11 23H2 企业版、教育版以及 IoT 企业版的系统将在下个月停止接收安全更新。 [link]