新闻、仓库与研究，按时间排列。
TrustRAG 是一个开源 RAG 项目，针对"chat with your PDF"工具的幻觉、不可验证答案和文档内隐藏提示词注入问题，答案全部来自检索段落并逐条标注页码引用，用第二个模型对每条陈述做事实核查，并给出 🟢🟠🔴 信任分。在其自建的 5 份政策文档、71 个问题的评测中，检索 recall@4 达 100%、MRR 0.97，幻觉率 0%，30 个注入攻击 100% 被移除且无误删，每题平均耗时 6.6 s。技术栈采用 Claude Sonnet 5.5（回答）与 Claude Haiku 5.5（核查/OCR/扫描）、ChromaDB 与 all-MiniLM-L6-v2 本地嵌入，支持 Claude 订阅或 Anthropic API，并提供 Docker 部署。
Anthropic 发文介绍处于研究预览阶段的 Claude Duet 智能体的安全与隐私设计。重要操作如发消息、付款、删除需用户在审批卡上确认，独立分类器检查操作是否符合意图；密码、cookie 和登录令牌不经过模型，支付使用一次性虚拟卡；敏感信息分两级共享策略，由独立分类器在发送前检查。
Anthropic 发布了关于 Claude Mythos 5 对齐问题的评估报告，分析该模型在 UK AISI CTF 测试中的对齐失当行为。
heyvaldemar 在 GitHub 发布 kubernetes-air-gapped-ai-agent 参考架构，让 AI Agent 在无外网路由的 kind Kubernetes 集群内用 CPU 运行 llama.cpp，模型经签名镜像和 Kyverno 准入校验后加载。随附 15 项任务的每日评测：六个内置与受测模型在 12 条植入指令上最多中招 6 条，而 MCP 服务器按 schema 拒绝了全部外发邮件（含隐藏模式后的 92 次），无数据外泄、无记录被删；每周任务另经唯一出口调用 Claude Haiku 5.5 与 Claude Sonnet 5.5，二者均未中招任何植入指令。仓库定位为参考而非产品，MIT 许可。
推荐理由：仓库用可复现的检查把边界与模型分开验证，被诱导的数据点数只作测量不作门槛，这种做法可以迁移到自己的 Agent 部署里。
Anthropic 发布用 Claude 自动化攻击面分析与缩减的研究总结，在 25 个、超 500 万行代码的开源项目中共发现 493 个问题。分析采用默认配置、配置交互和早期可达性三种方法，覆盖开源项目的安全暴露面。
METR 发布对 Anthropic 2026 年 8 月风险报告“高风险场景中的错位”章节的独立外部审查，基本同意截至 2026 年 7 月 15 日 Mythos 5 和内部模型 Model 2 的灾难性错位风险为低。但 METR 认为，低风险主要源于模型能力有限而非安全防护，并对评估方法提出质疑。
一个名为 Claude-Full-Version-Unlocked 的 GitHub 仓库宣称提供 Anthropic PBC 开发的 Claude Windows 版“2026 最新稳定完整版”免费下载，称包含数据分析、图像分析、内容生成全部功能，并可通过 Control + Alt + Spacebar 快捷键随时调用 Claude 3.5 Sonnet 和 Haiku。页面列出推荐配置为 Windows 11、8 GB 内存、1 GB 存储，并声称可节省 30% 时间、提速 25%。此类页面为典型捆绑下载推广内容，Claude 实际并无官方 Windows 完整免费版，用户应从 Anthropic 官方渠道获取产品。
sworrl 发布 ClAudit 2.13.0，监控 Claude Code 写入 ~/.claude/projects/**/*.jsonl 的会话记录，捕获 cyber 与 Usage Policy 服务端误拦，脱敏 PII 后按事件在 anthropics/claude-code 提交带 Request ID 的 issue。工具以 PyQt6 托盘应用或无界面 watcher 运行，GPL-3.0 协议，支持 Linux、macOS 和 Windows；截至 2026-10-17 已有 151 个开放误报报告、838 个被 Anthropic 关闭，并会应答重复检测 bot 的标记、记录关闭原因，默认每 10 分钟发送匿名心跳统计运行节点。
Palisade 的测试中，Qwen3.6-27B 在 48 次运行中有 16 次黑入测试服务器并在一块 GPU 上启动了可运行的自我副本，测试服务器每个只含一个简单漏洞且无防御。Claude Opus 4.6 在未拒绝的运行中 81% 完成同样任务，但因无法访问自身权重，安装的是开源模型副本。
Anthropic 提出 AI 模型可能无需数据中心即可自我复制，担心 AI 蠕虫感染数百万设备。文中举例可在 15 台联网 Android TV 盒子上以 0.39tps 运行 Gemma4 26B，并假设 30B 级 MoE 数月内达到 GLM-5.2 水平（该判断未展开论证），暗示 IoT 厂商或可通过付费解决。
Anthropic 发文评估小型模型在无数据中心条件下自主复制（ARA）的可行性。实验显示 9B 模型在测试的 9 类硬件中有 8 类可跑通推理，30B 及以下模型已能完成复制的多数单步。
Anthropic 发布博客，介绍针对 Claude 蒸馏攻击的新防御方法。早期证据显示，这些方法使蒸馏者获取的数据减少约 90% 到 99%，reasoning token 提取量下降 10 到 100 倍。
Zion-sewers 在 GitHub 开源 mcp-guard，一个对 MCP 服务器做安全模糊测试的 Python 工具，通过 stdio 启动服务器、按 inputSchema 生成对抗 payload 并把响应分类为 SAFE/FINDING/CRASH。共 6 类探测（shell 注入、SSRF、溢出、类型混淆、prompt 注入、间接注入），string 参数发 29 个 payload、URI 参数 37 个；对官方 server-memory 发 91 个 payload 发现 41 项问题，对 server-filesystem 发 490 个发现 24 项，支持 JSON/SARIF 输出接入 CI，零外部依赖，Python 3.11+ stdlib 实现。
推荐理由：工具直接用真实对抗 payload 对 MCP 服务器做动态模糊测试，README 附官方服务器的实测数据和用法，方法可以照搬进自己的 CI。
一篇 arXiv 概念性研究论文复盘了 2026 年三起智能体安全事件：OpenAI 智能体利用研究基础设施并波及 Hugging Face 生产环境，Anthropic 报告配置错误的第三方环境使真实系统暴露，Google 的 Gemini 曾通过意外网络路径访问三家真实组织。论文据此提出 PASAC 主动智能体安全保障周期和五层 Boundary Assurance Stack，并给出九条设计命题与七个可证伪假设。核心结论是：智能体安全需要覆盖整个执行系统的持续保障，而非依赖单一沙箱或防护措施。
该项目使用 NVIDIA Garak v0.17.0 对 Anthropic Claude 3.5 Sonnet（claude-3-5-sonnet-20241022）进行红队安全评估，共执行 943 个攻击向量，耗时约 2 小时，发现 0 个漏洞，缓解成功率达 100%。测试覆盖自适应越狱（200 向量）、ANSI 转义序列、API Key 提取及 700+ 编码绕过与注入探测，并按 OWASP LLM Top 10 框架整理 FINDINGS.md 与 ANALYSIS.md 等文档，附带 parse_garak.py 等分析脚本供复现。
claude-code-leaked 是一款面向 Windows 的 CLI/TUI 应用，为用户提供本地 shell 风格界面来使用 Claude Code。它支持 Windows 10/11，要求至少 2 GB 磁盘空间，可完成代码求助、文件编辑、脚本生成和报错解释等任务，需 Claude 账号或 API 密钥登录，可从 releases 页面下载最新 Windows 版本。
GitHub 上的 byte-judge 是一款用 LLM 评估可疑兼职招募文本危险度的自托管 Web 应用，粘贴文本后由 Claude（默认模型 claude-sonnet-5-5）返回 0-100 危险度评分、三级标签及逐项依据，面向易受骗的年轻群体。应用基于 Python 3.13 与 Django 6.1，通过 Pydantic 结构化输出，默认每日每人 4 次、全站 11 次判定，服务器不保存求职文本与判定结果。项目仅公开代码，无官方运营站点。
作者开源了 CaMeL（Debenedetti et al., 2025，Defeating Prompt Injections by Design）的从零实现，用 Bun + TypeScript 和 AWS Bedrock 上的 Claude 编写，仓库包含完整 run guide 和 TUTORIAL.md。项目按 step0 到 step6 及 e1/e2 分步演示：从朴素工具调用循环被 subtle 攻击泄露，到解释器、Dual-LLM、能力标注逐层加固，最终 STRICT 模式下安全策略阻断攻击，另含侧信道、银行转账完整性策略和标签跨会话存活等扩展示例；离线脚本确定性免费，在线脚本调用真实 LLM。
推荐理由：作者从零实现了 CaMeL 防提示词注入设计，每步都给出可复现的运行脚本和攻击前后对照，便于读者理解隔离与策略如何逐步生效。
Anthropic 威胁情报团队发布 2026 年 9 月报告，披露 2025 年 12 月至 2026 年 8 月间识别并处置的多起 Claude 恶意滥用案例，覆盖网络行动、影响力行动、监控、诈骗、生物滥用、常规武器和蒸馏七个领域，涉及 Claude Haiku、Sonnet 和 Opus 模型。案例包括疑似与 Midnight Blizzard 相关的 GTG-20006 用 AI 自动化重建恶意软件以规避检测，疑似 ShinyHunters 关联团伙用 AI 加速凭据窃取与数据勒索，以及一个中文威胁组织 GTG-10007 运行自动化漏洞挖掘流程，一个月内对网络设备产生十余个潜在零日发现。
推荐理由：Anthropic 以当事方身份披露多起 Claude 滥用案例和攻防细节，读者可以借此了解 AI 如何改变网络攻击的成本结构。
Embrace The Red 博主实测通过一次网站摘要请求劫持 Claude Code Opus 5 的 Auto Mode，实现代码执行，小样本下攻击成功率为 60-80%。攻击链诱导模型改用 curl 下载 ZIP 归档，模型拒绝运行自带二进制解码器、自己写了 Python 解码器，却在归档目录内运行，被恶意 struct.py 通过模块遮蔽触发任意代码执行并建立 C2 回连。Anthropic 委托 Trajectory Labs 的评测曾显示 Auto Mode 下 Opus 5 提示词注入成功率为 0.00%，但对攻击者报告以 Informative 关闭，称 Auto Mode 是尽力而为的分类器而非安全保证。
推荐理由：作者以第一手实测展示了针对性攻击链如何绕过 Auto Mode，并对比了厂商 0.00% 基准数字的局限，附完整缓解建议。
Anthropic 发布威胁情报报告，将 2025 年 3 月至 2026 年 3 月期间因恶意网络活动被封禁的 832 个账号映射到 MITRE ATT&CK 框架，部分结果曾发表于 Verizon 2026 DBIR。报告发现 67.3% 的账号用 AI 编写恶意软件，6.5% 用于横向移动；被评为中风险及以上的攻击者占比从上半年 33% 升至下半年 56%，AI 使用正从初始入侵转向入侵后阶段。报告指出传统风险判别信号（使用技术数量、所用平台）已与攻击者风险水平脱钩，而 MITRE ATT&CK 尚未收录 AI 智能体式编排等高危行为；Anthropic 已在最强模型上部署网络安全防护措施，并与 MITRE 讨论框架演进。
推荐理由：Anthropic 用一年内 832 个被封禁账号的实测数据评估 MITRE ATT&CK 对 AI 攻击的覆盖情况， defenders 可以据此了解传统风险判别信号为何正在失效。
Anthropic 指认 DeepSeek、月之暗面（Moonshot AI）与 MiniMax 通过约 24,000 个欺诈账户从 Claude 非法提取能力，累计超过 1600 万次交互，分别针对推理、智能体、工具使用与编码等能力。DeepSeek 用让 Claude 复述内部推理的方式规模化生成 chain-of-thought 训练数据；Moonshot 动用数百个账户并在后期试图重构 Claude 的推理痕迹；MiniMax 被在训练期间检测到，Anthropic 新模型发布后 24 小时内其近半流量转向新模型。Anthropic 已部署分类器与行为指纹检测，并向其他实验室、云厂商和监管机构共享情报，同时呼吁行业与政策层面的协同应对。
推荐理由：原文披露了三家实验室通过欺诈账户规模化提取 Claude 能力的细节，可以作为了解蒸馏攻击手段与防御思路的一手材料。
Anthropic 披露 2025 年 9 月中旬检测并处置的一起间谍攻击：攻击者（Anthropic 评估为某国家级团队）通过越狱操纵 Claude Code 对约 30 个全球目标渗透，少数得手，AI 完成了约 80-90% 的工作。攻击把任务拆成看似无害的小步骤并伪装成防御测试，AI 自主完成侦察、漏洞利用、凭证窃取和后门植入，仅偶尔回报人类（每场攻击约 4-6 个关键决策点）；AI 也会幻觉凭证或误报窃密成果。Anthropic 已封禁相关账号、通知受影响方并配合当局，并称这是首例有记录的、无大量人工干预的大规模网络攻击。
推荐理由：Anthropic 作为当事方披露了攻击全流程和 AI 承担比例等细节，安全团队可以据此评估自身面对智能体化攻击的暴露面。