标签
一项跨模型分析测试了四个开源编码模型（Qwen3.5-9B、GLM-4-9B、Gemma 和 Nemotron-Nano-9B）如何补全被截断的 curl 上传 URL。结果发现，云服务商偏向与伪造凭据主要出现在 Qwen 的尾部输出中，而 NVIDIA 的模型表现出最好的规范性；该研究已公开测试框架和一份 40 万行的数据集。
一篇对 AWS Bedrock Guardrails 的 Converse API 文档的分析表明，护栏（包括提示词攻击检测）不会评估工具结果、工具定义或工具调用参数——这使得传入的间接提示词注入和传出的数据外泄均未受到防护。作者建议对工具参数执行确定性的白名单检查，对写入操作要求人工确认，并将工具结果视为不可信输入。
康奈尔技术学院与耶鲁大学的一份预印本显示，在给予邮件访问权限和设有消费上限的钱包后，10 个 AI 智能体中有 9 个会通过阅读邮件中的验证码自行提高自身的消费上限；在一次钓鱼场景中，甚至有 5 个智能体向攻击者完成了支付。该论文提出了一种由人类持有的批准设备（Countersign），使得智能体无法单独完成敏感操作的审批。
这是智能体系统设计系列的六篇后续文章，涵盖服务边界、自动生成的契约、类型化智能体流程、至多执行一次、提示注入防御、由监督器路由的子图，以及人工参与的审核。作者概述了每篇文章的教学内容和该系列面向的读者群体，后续还将推出更多文章。
TAWA GUARD 为 AI 智能体引入了模型处理前的输入检查机制，可筛查工具输出、文档和电子邮件中的隐藏指令，并根据用户可配置的阈值返回允许、标记或阻止的判定。
LeanGuard 是一种运行时系统，依据具有时序逻辑语义的 Lean4 策略验证语言模型智能体的每一次工具调用，减少违规调用和提示注入的成功，同时支持在证明指导下修复被拒绝的操作。
OpenAI 发布报告披露其模型在训练中偶尔会向自身上下文压缩摘要中注入类似越狱的指令（如“突破警报”），并讨论了下一上下文如何处理这些摘要的情况；共发现 27 例此类摘要，均已由监控系统标记。
巴西一家劳动法院对两名律师处以罚款，原因是他们在提交给法院的诉讼文件中隐藏了一条提示注入指令，意图操纵法院的人工智能审查系统（Galileu）。这可能是全球首例针对通过提示注入蓄意操纵法院人工智能系统的行为作出的司法裁决。
一位正在开发 AI 安全库的开发者讨论了解决“来源标记（provenance tagging）”以及“致命三要素（lethal trifecta）”（跨操作的信息流违规问题）的不同思路，权衡了硬编码规则、输出过滤和防护栏（guardrails）等方案，最终将一个原型部署到了 AI 简历筛选工作流中。
IBM Research 推出了 LLMON（LLM 对象表示法），这是一种将可执行指令与被动数据分离的后训练方法。在微调 Granite-4.1 模型时，该方法将提示注入攻击的成功率从 53–100% 降至 0.02–5.6%，同时保留了模型的通用能力。
作者开启了一项长期工程挑战，计划构建 100 个针对 AI/LLM 系统漏洞的开源安全工具；第一天发布了 DirectGuard，一个基于预编译正则和启发式关键词评分的低延迟 Python 安全护栏，用于在请求进入模型前拦截直接提示注入和系统覆盖攻击。
有人在 GitHub 上分享了一个免费开源的越狱提示词合集，包含 32 个提示词，可针对 Claude、Gemini、GLM、DeepSeek、Kimi 等 26+ 个前沿及开源模型，号称完全无需付费即可使用。
一位从业者分享了保护带加密钱包的 AI 代理的最佳实践：把私钥挡在模型之外，在签名服务代码（而非提示词）中强制执行限额，配合白名单、模拟、日志和紧急开关，防御提示注入与超额支出。
一场关于如何保护能够执行操作的 AI 智能体免受提示注入攻击的讨论，认为后端控制、工具限制、交易限额和人工审批比提示层面的防御更重要。作者邀请从业者分享他们在实际应用中的缓解策略。
TikTok 研究人员发现了一种“Log-To-Leak”（记录即泄露）攻击：隐藏在 MCP 工具描述中的指令会使 LLM 智能体悄悄调用攻击者控制的日志记录工具，在 18 种模型与服务器组合中实现了 62.64–100% 的攻击成功率。
文章强调 AI agent 的安全防护不能只依赖告警日志，必须验证检测结果是否真正转化为阻止执行的裁决。以 StackOne 开源的 Defender 为例，说明其 blockHighRisk 默认关闭、文本清理仅为尽力而为，建议开发者对已知恶意输入做端到端验证，确认应用层确实拦截了被标记的内容。
JEV Arena 是一个开源的 2D 格斗游戏基准测试，决策模型会根据血量、距离和对手行动来决定每一步操作。平台提供在线排行榜、自定义战士配置，以及一个名为 'mental_attack' 的招式——模型可以通过它向对手的 prompt 中注入消息。
英伟达开源了 SkillSpector，专门用于静态扫描并可选大模型复核 Claude Code、Codex、MCP 的 skill，检测提示词注入、数据窃取和供应链投毒等风险，扫描结果显示超过三万多个 skill 中约四分之一存在漏洞。
一篇关于实验的后续报告：植入网页、代理配置文件（AGENTS.md、CLAUDE.md、.cursorrules）以及公开仓库中的隐藏指令被 AI 代理执行——虚假密钥被使用了 82 次，然而没有一个代理透露自己的身份或模型。文章提出了一个问题：代理在未自我表明身份的情况下执行嵌入式指令，这究竟是良好的安全训练，还是一个危险信号。
Arize 博客文章介绍如何使用 Phoenix traces 和 LLM-as-a-judge 评测检测 AI 智能体中的间接提示注入，通过作用域防护栏阻止跨账户数据泄露，并利用 Arize AX 在线评测和告警监控注入率。