AI 安全

HazardAuditor 統一四種電腦代理軌跡，以序列級獎勵訓練安全守門模型

HazardAuditor 將 Claude Code、Codex、Hermes 與 OpenClaw 的工具執行轉成共同事件格式，再判斷整段行為是否安全。新的 GuardPO 讓最終安全判定主導更新，但研究資料未公開，最高 16.5 個百分點增益仍待獨立重現。

代理工具

Claude Code 2.1.273 修補命令權限繞過，並強制套用企業 MCP 政策

Anthropic 在 2.1.273 修正兩條命令審查缺口，以及受管理 MCP、連接器政策可能被忽略的設定合併問題。新版也為 LLM gateway 增加選配請求標頭與 MCP 斷線告警，但官方未把這批修補列為 CVE 或安全公告。

SWEADV 以惡意 issue 誘導修復代理：逾半成功修好功能並植入弱點

新基準把 150 個 SWE-bench Verified 任務改寫成 750 個帶有安全陷阱的 issue，測試自動修復代理會否交付功能正確但不安全的程式碼。三種模型後端平均有 51.7% 的案例同時完成修復與攻擊目標，而常見的模型審查及靜態分析仍漏掉大量惡意 patch。

「計畫注入」讓模型把外來錯誤推理改寫成自己的，並避開思維鏈監控

新研究發現，放入上下文的良性措辭錯誤計畫可被模型吸收、改寫並付諸行動，最強監控器仍漏掉至少四分之一攻擊。讓監控器看到原始注入內容或增加推理預算也不保證改善偵測，顯示代理不能只靠輸出思維鏈自證安全。

SAILS 顯示後門成敗取決於毒化樣本組合，隨機抽樣可能低估最壞風險

新研究在固定模型、乾淨資料與毒化數量後，僅更換毒化樣本組合，就讓 Llama 3 8B 的攻擊成功率落在 3% 至 80%。SAILS 以少量昂貴微調評測訓練集合評分器，再從數百萬候選組合中挑出高風險集合。

代理工具

Stellar Colosseum 將長篇證明拆成代理競賽，跨模型選擇在 TCS‑Bench 達 71%

Google Research 公開 Stellar Colosseum，以策略探索、反例攻擊、依賴圖與分層彙整管理長程數學研究。系統在 300 題 TCS‑Bench 達 71%，但成績依賴大量推論與自動評分，不能直接視為模型獨立證明能力。

OpenMAIC 1.0.2 修補 DNS 重綁與雲端中繼資料 SSRF，並封鎖課堂覆寫

OpenMAIC 的媒體代理曾在驗證網域後重新解析 DNS，使外部名稱可在連線時轉向內網；另一條路徑則會放行阿里雲中繼資料位址。1.0.2 改以固定解析結果連線並由伺服器產生課堂 ID，但也會影響透過 Tailscale 等 CGNAT 網段存取本地模型的部署。

MCP 工具註解普及仍不足以支撐交易安全，研究整理八類代理外部副作用異常

新研究把代理重試、並行與補償造成的外部狀態錯亂整理成八類異常，指出單次工具回傳成功不代表整體工作流一致。對 98,291 項 MCP 工具的普查顯示註解欄位雖常見，卻無法表達確認結果、暫存提交、補償及跨呼叫相依性。

K‑Bench 擴大機器遺忘的觀測面：最終答案不洩密，不代表代理真的忘記

K‑Bench 把評測從模型的最終回答擴至推理、工具呼叫、檢索結果等六條代理通道。實驗顯示，既有基準判定無洩漏時，部署中的代理仍可能在 22% 至 86% 查詢中暴露目標資料。

2026-09-14