新闻、仓库与研究，按时间排列。
Robert Tjarko Lange 向 SakanaAI/ShinkaEvolve 仓库提交 PR #195，加固 Claude Code workflow。改动包括：@claude 触发仅限 OWNER、MEMBER、COLLABORATOR，防止外部账号在公开仓库任意触发 Agent 任务；checkout 设 persist-credentials: false 避免泄露 GITHUB_TOKEN；actions 固定到 commit SHA（actions/checkout v7.0.1、claude-code-action v1.0.239）；并通过 claude_args 添加 --disallowedTools "WebFetch,WebSearch"，封锁提示词注入外泄通道。
推荐理由：作者在自家仓库收紧 Claude Code workflow 的触发者、权限与工具范围，具体改法对部署 GitHub Agent 的人可直接借鉴。
图卢兹经济学院博士论文研究基于 LLM 的数字孪生（DT）在增强民主中作为中介的机遇与挑战。论文利用巴西在线实验检验个性化 DT 对公民政策偏好的预测，用瑞士议会数据构建党级 DT 的议员智能体，并以 2023 年英国协商实验分析 prompt 注入攻击下协商的脆弱性及检测与强化学习防御流程。
作者在 BlueHat Asia 2026 演讲并撰文披露 Microsoft SSMS 中 SQL Copilot 的漏洞 CVE-2026-65669，被 Microsoft 评为 critical 的 SQL Server 提权漏洞。研究用 DECLARE @p sysname='sp_who'; EXEC @p 等方式绕过 LocalSqlExecutionAccessChecker 的正则拦截，使 ReadFromDatabase 和 RestoreVerifyBackupFile 工具可执行任意 T/SQL，并通过 xp_dirtree 或 SMB 路径实现数据外泄。
推荐理由：作者以第一手实测展示了 SQL Copilot 只读限制的绕过方法和提权链，攻击步骤和修复建议都写得具体可查。
Embrace The Red 博主实测通过一次网站摘要请求劫持 Claude Code Opus 5 的 Auto Mode，实现代码执行，小样本下攻击成功率为 60-80%。攻击链诱导模型改用 curl 下载 ZIP 归档，模型拒绝运行自带二进制解码器、自己写了 Python 解码器，却在归档目录内运行，被恶意 struct.py 通过模块遮蔽触发任意代码执行并建立 C2 回连。Anthropic 委托 Trajectory Labs 的评测曾显示 Auto Mode 下 Opus 5 提示词注入成功率为 0.00%，但对攻击者报告以 Informative 关闭，称 Auto Mode 是尽力而为的分类器而非安全保证。
推荐理由：作者以第一手实测展示了针对性攻击链如何绕过 Auto Mode，并对比了厂商 0.00% 基准数字的局限，附完整缓解建议。
Embrace The Red 的 Johann 复现了论文《Stealing Reasoning Traces from Proprietary LLM APIs》中的攻击：把加密推理 blob 重放给同一厂商较弱、易被越狱的模型，让其转写底层推理内容。作者针对 OpenAI GPT-5.6 Sol 生成含已知密码的推理痕迹，用另一账号的 GPT-5.6 Luna 配合轻量越狱成功恢复，且跨模型、跨会话、跨账号均有效；输出并非逐字重建，但恢复了大量语义内容。论文作者还解码了从公开仓库抓取的 315,320 个推理块，找回 367 条 PII 和 182 个凭据，包括 API 密钥和密码。
推荐理由：作者独立复现了论文中的加密推理痕迹恢复攻击，读者可以看到跨账号跨模型实测的可靠性波动和原始论文之外的细节。