AI 与智能体安全周刊 · 第 1 期（样例）
AI 与智能体安全周刊 · 第 1 期（样例）
2026 年第 46 周｜覆盖日期：2026-11-05 ~ 11-11｜署名：Logan
本周头条
首例公开的 MCP 服务器入侵事件：德国主机商 Mittwald 56 个客户项目被攻破（11 月 7 日）
德国主机商 Mittwald 披露，其 MCP 服务器自 10 月 21 日起遭到探测，攻击者于 10 月 27 日利用漏洞得手，直到 11 月 4 日才被发现；攻击者读取了使用该 MCP 服务器的客户的会话令牌，56 个客户项目被入侵，该 MCP 服务现已关闭。这是公开记录中第一起 MCP 服务器被入侵并造成实际客户损失的事件，意味着 MCP 的安全风险已从理论讨论和单点漏洞，演进为真实发生的入侵向量——面向外部提供的 MCP 服务，其上线前加固、令牌作用域与审计留存，正在从最佳实践变为事件驱动的刚需。
攻击与威胁
MCPhantom：编码智能体按训练记忆“复活”已归档的 MCP 服务器，含未修复 RCE（11 月 10 日）
Glow Labs 研究发现，Claude Code、Cursor、Codex CLI 等编码智能体在被要求接入服务时，多数会话直接选用了已归档的早期 MCP 参考服务器而非服务方现行官方服务器，原因是模型按训练记忆补全包名。已归档的 server-puppeteer 存在可经提示注入触发的远程代码执行等 4 个高危漏洞，维护方已确认归档且无修复计划；相关包自 2025 年 7 月以来 npm 下载量达 1,735 万次，且通过 npx 拉起的本地服务器不进入依赖清单，常规供应链工具难以可见。（注：研究中“98% 会话选用已归档服务器”的数字未披露方法论，应按厂商报告口径读取。）
Acronis 披露 BOSSAI 攻击：一人操控 12 个智能体攻击 11 国数百家机构（11 月 4 日）
Acronis 威胁研究团队从攻击者暴露的服务器中恢复约 9GB、9 万多个文件，确认一名攻击者指挥 12 个智能体（包括多个主流编码与通用智能体工具）对 11 个国家的数百家机构发起攻击，约 10 个目标确认数据被盗或系统被入侵。主流模型拒绝攻击请求后，攻击者改用去除安全限制的本地开源模型继续作案，显示攻击侧已实现“智能体编队”式的规模化作业，单靠模型层面的拒绝难以构成防线。
来源：事件综述
Apiiro 研究：编码智能体的“不再询问”授权把真实密钥写进公开仓库（11 月 5 日报告，11 月 7–8 日厂商回应）
开发者在 Claude Code 的命令确认中选择“是，且不再询问”后，含密码或密钥的完整命令会被明文写入项目内的 .claude/settings.local.json。Apiiro 扫描 GitHub 上 104,185 份该文件，发现 1,122 份含真实密钥，连同提交历史等合计 2,539 个密钥、1,994 个仓库、63 家组织受影响，包括生产数据库口令与云服务令牌；主流密钥扫描工具对此类文件漏检近两成。Anthropic 方面已在公开渠道作出回应。
来源：Apiiro 研究
Chainalysis 扩大披露：全部用户口令哈希与有效令牌被盗，攻击方使用“进攻性智能体技术”（11 月 4 日更新，11 月 6 日报道）
Chainalysis 更新其 10 月 30 日的初步通报：全部用户的姓名、用户名、口令哈希与有效令牌均已暴露，部分客户口令在传输路径攻击中被截获，公司称攻击方使用了“进攻性智能体技术”；其 KYT、Reactor 等产品一度下线，11 月 6 日起分阶段恢复，全部用户须重置口令与 API 密钥。这是头部安全厂商首次公开承认智能体驱动入侵造成全量凭证失窃的案例。
来源：事件综述
产品与厂商动态
微软 11 月安全更新：任务级动态授权、系统级智能体隔离与本地智能体发现同日落地（11 月 5 日）
微软发布 Dynamic Permissions（按当前任务为智能体签发有作用域、有时限的权限）、Dynamic Agent Risk 与 Dynamic Conditional Access（按实时风险收窄权限或要求人工审批）；Microsoft Execution Containers 正式 GA，在 Windows 上以操作系统级隔离约束本地智能体的文件、网络与进程访问；Defender 另可发现 Windows 与 macOS 上 50 多种本地智能体及其配置的 MCP。同期 Entra 增加智能体身份生命周期管理（闲置身份自动提醒与禁用）并进入公开预览。
来源：微软安全博客
Okta for AI Agents 正式 GA：智能体成为一等身份对象（11 月 5 日）
Okta 宣布其智能体身份产品正式可用：智能体被纳入 Universal Directory 作为一等身份，可跨框架、跨云注册与治理；能力包括通过监测浏览器 OAuth 授权发现影子智能体、按需签发有作用域的短期令牌以替代硬编码凭证、一键停用与统一审计，首批集成 Salesforce Agentforce、Amazon Bedrock AgentCore 与 ServiceNow AI Platform。Okta 同时披露调研数据：88% 的组织报告已确认或疑似发生智能体安全事件，但仅 22% 的组织为智能体绑定了身份。
来源：Okta 官方博客
CrowdStrike 推出 AI Kill Switch，并签约收购 Fiddler AI 与 Dreadnode（11 月 3 日）
CrowdStrike 在 Fal.Con Europe 宣布，Falcon Guardian 新增 AI Kill Switch，授权管理员可实时终止失控智能体、阻止其重启并切断其企业网络访问；同时签约收购智能体可观测性公司 Fiddler AI 与 AI 红队测试公司 Dreadnode，两款产品目标 2027 财年第四季度 GA。此外，Falcon Guardian 已集成进入 Dell AI Factory with NVIDIA，可随 AI 基础设施同单采购。（注：两笔收购合计约 4.95 亿美元为《华尔街日报》报道口径，公司未披露价格。）
Varonis Atlas 新增 AI Gateway 与 Agent Intent：意图级访问控制进入 GA（11 月 9 日）
Varonis 为其 Atlas 平台新增 AI Gateway，将 LLM 与 MCP 网关置于 AI 流量之前，提供跨模型路由、token 开销封顶与工具执行护栏；同期推出 Agent Intent，为每个智能体维护一份定义其用途的 Agent Manifest（意图清单），以意图级访问控制（IBAC）在运行时监测行为、偏离既定用途时介入阻断，该能力已正式 GA。目前厂商尚未公布其检测准确率、召回率等效果数据。
标准与政策
工信部发布智能体终端进网管理通知：唯一身份码与“双重授权”进入终端合规要求（11 月 6 日）
通知要求，预置智能体的手机、平板、可穿戴设备等终端在入网检测中须开展智能体适配验证、涉诈风险安全评估与反诈能力前置评测；终端上使用的智能体应参考智能体互联系列国家标准配备唯一身份码；应用分发平台应推动 App 开发者以电子签名声明是否同意被智能体调用，未声明同意的，智能体不得强制调用。这意味着“用户许可 + 被调用应用许可”的双重授权与智能体身份标识，首次在行政监管层面的终端管理文件中被明确提出。
来源：21 世纪经济报道
乌镇发布《智能体发展自律公约》与智能体身份注册解析平台（11 月 4 日）
世界互联网大会乌镇峰会期间，中国信通院、腾讯、蚂蚁、阿里、抖音等 20 家机构共同发布《智能体发展自律公约》，共八条，其中安全防护一条明确要求健全前瞻性风险评估、运行监测、行为管控、异常熔断等技术体系。同场发布的智能体身份注册与解析平台聚焦身份编码、跨域解析与可信互通，蚂蚁集团参与首批运行平台建设，已有服务完成首批接入。公约本身属行业自律、无强制力，但标志着头部机构对智能体治理基线的共识正在形成。
《巴黎 AI 安全与安保呼吁》签署：“故障安全停机”写入国际政治承诺（11 月 9 日）
法国总统府发布的该呼吁由巴林、加拿大、芬兰、法国、挪威、荷兰 6 国政府与 Anthropic、微软、OpenAI、Mistral AI 等 10 家公司及 4 家民间组织签署，承诺共享前沿模型风险评估、建立问责机制，并实现可限制、暂停或关闭模型运行的故障安全机制。文件为自愿性政治承诺，无截止期限与执行罚则，美、中、英、德等国不在首批签署方之列。
来源：法国总统府
本周一句判语
本周的信号指向同一点：智能体安全的竞争重心，正从“识别风险”转向“约束权限、随时叫停、事后可恢复”——能停下来，正在成为这一领域新的入场券。
关于本站：专注 AI 与智能体安全方向的每周观察，每周一期；重大事件另发专项分析。 免责声明：本刊信息均来自公开来源，仅供研究参考，不构成任何决策建议。