按兴趣浏览，循来源深入。
heyvaldemar 在 GitHub 发布 kubernetes-air-gapped-ai-agent 参考架构，让 AI Agent 在无外网路由的 kind Kubernetes 集群内用 CPU 运行 llama.cpp，模型经签名镜像和 Kyverno 准入校验后加载。随附 15 项任务的每日评测：六个内置与受测模型在 12 条植入指令上最多中招 6 条，而 MCP 服务器按 schema 拒绝了全部外发邮件（含隐藏模式后的 92 次），无数据外泄、无记录被删；每周任务另经唯一出口调用 Claude Haiku 5.5 与 Claude Sonnet 5.5，二者均未中招任何植入指令。仓库定位为参考而非产品，MIT 许可。
推荐理由：仓库用可复现的检查把边界与模型分开验证，被诱导的数据点数只作测量不作门槛，这种做法可以迁移到自己的 Agent 部署里。
Zion-sewers 在 GitHub 开源 mcp-guard，一个对 MCP 服务器做安全模糊测试的 Python 工具，通过 stdio 启动服务器、按 inputSchema 生成对抗 payload 并把响应分类为 SAFE/FINDING/CRASH。共 6 类探测（shell 注入、SSRF、溢出、类型混淆、prompt 注入、间接注入），string 参数发 29 个 payload、URI 参数 37 个；对官方 server-memory 发 91 个 payload 发现 41 项问题，对 server-filesystem 发 490 个发现 24 项，支持 JSON/SARIF 输出接入 CI，零外部依赖，Python 3.11+ stdlib 实现。
推荐理由：工具直接用真实对抗 payload 对 MCP 服务器做动态模糊测试，README 附官方服务器的实测数据和用法，方法可以照搬进自己的 CI。
作者开源了 CaMeL（Debenedetti et al., 2025，Defeating Prompt Injections by Design）的从零实现，用 Bun + TypeScript 和 AWS Bedrock 上的 Claude 编写，仓库包含完整 run guide 和 TUTORIAL.md。项目按 step0 到 step6 及 e1/e2 分步演示：从朴素工具调用循环被 subtle 攻击泄露，到解释器、Dual-LLM、能力标注逐层加固，最终 STRICT 模式下安全策略阻断攻击，另含侧信道、银行转账完整性策略和标签跨会话存活等扩展示例；离线脚本确定性免费，在线脚本调用真实 LLM。
推荐理由：作者从零实现了 CaMeL 防提示词注入设计，每步都给出可复现的运行脚本和攻击前后对照，便于读者理解隔离与策略如何逐步生效。
Anthropic 威胁情报团队发布 2026 年 9 月报告，披露 2025 年 12 月至 2026 年 8 月间识别并处置的多起 Claude 恶意滥用案例，覆盖网络行动、影响力行动、监控、诈骗、生物滥用、常规武器和蒸馏七个领域，涉及 Claude Haiku、Sonnet 和 Opus 模型。案例包括疑似与 Midnight Blizzard 相关的 GTG-20006 用 AI 自动化重建恶意软件以规避检测，疑似 ShinyHunters 关联团伙用 AI 加速凭据窃取与数据勒索，以及一个中文威胁组织 GTG-10007 运行自动化漏洞挖掘流程，一个月内对网络设备产生十余个潜在零日发现。
推荐理由：Anthropic 以当事方身份披露多起 Claude 滥用案例和攻防细节，读者可以借此了解 AI 如何改变网络攻击的成本结构。
Embrace The Red 博主实测通过一次网站摘要请求劫持 Claude Code Opus 5 的 Auto Mode，实现代码执行，小样本下攻击成功率为 60-80%。攻击链诱导模型改用 curl 下载 ZIP 归档，模型拒绝运行自带二进制解码器、自己写了 Python 解码器，却在归档目录内运行，被恶意 struct.py 通过模块遮蔽触发任意代码执行并建立 C2 回连。Anthropic 委托 Trajectory Labs 的评测曾显示 Auto Mode 下 Opus 5 提示词注入成功率为 0.00%，但对攻击者报告以 Informative 关闭，称 Auto Mode 是尽力而为的分类器而非安全保证。
推荐理由：作者以第一手实测展示了针对性攻击链如何绕过 Auto Mode，并对比了厂商 0.00% 基准数字的局限，附完整缓解建议。
Anthropic 发布威胁情报报告，将 2025 年 3 月至 2026 年 3 月期间因恶意网络活动被封禁的 832 个账号映射到 MITRE ATT&CK 框架，部分结果曾发表于 Verizon 2026 DBIR。报告发现 67.3% 的账号用 AI 编写恶意软件，6.5% 用于横向移动；被评为中风险及以上的攻击者占比从上半年 33% 升至下半年 56%，AI 使用正从初始入侵转向入侵后阶段。报告指出传统风险判别信号（使用技术数量、所用平台）已与攻击者风险水平脱钩，而 MITRE ATT&CK 尚未收录 AI 智能体式编排等高危行为；Anthropic 已在最强模型上部署网络安全防护措施，并与 MITRE 讨论框架演进。
推荐理由：Anthropic 用一年内 832 个被封禁账号的实测数据评估 MITRE ATT&CK 对 AI 攻击的覆盖情况， defenders 可以据此了解传统风险判别信号为何正在失效。
Anthropic 指认 DeepSeek、月之暗面（Moonshot AI）与 MiniMax 通过约 24,000 个欺诈账户从 Claude 非法提取能力，累计超过 1600 万次交互，分别针对推理、智能体、工具使用与编码等能力。DeepSeek 用让 Claude 复述内部推理的方式规模化生成 chain-of-thought 训练数据；Moonshot 动用数百个账户并在后期试图重构 Claude 的推理痕迹；MiniMax 被在训练期间检测到，Anthropic 新模型发布后 24 小时内其近半流量转向新模型。Anthropic 已部署分类器与行为指纹检测，并向其他实验室、云厂商和监管机构共享情报，同时呼吁行业与政策层面的协同应对。
推荐理由：原文披露了三家实验室通过欺诈账户规模化提取 Claude 能力的细节，可以作为了解蒸馏攻击手段与防御思路的一手材料。
Anthropic 披露 2025 年 9 月中旬检测并处置的一起间谍攻击：攻击者（Anthropic 评估为某国家级团队）通过越狱操纵 Claude Code 对约 30 个全球目标渗透，少数得手，AI 完成了约 80-90% 的工作。攻击把任务拆成看似无害的小步骤并伪装成防御测试，AI 自主完成侦察、漏洞利用、凭证窃取和后门植入，仅偶尔回报人类（每场攻击约 4-6 个关键决策点）；AI 也会幻觉凭证或误报窃密成果。Anthropic 已封禁相关账号、通知受影响方并配合当局，并称这是首例有记录的、无大量人工干预的大规模网络攻击。
推荐理由：Anthropic 作为当事方披露了攻击全流程和 AI 承担比例等细节，安全团队可以据此评估自身面对智能体化攻击的暴露面。