2026-07-30 · 第八篇长文
一周七件事。从攻击到防御到协议到密码学。AI 同时是锤子、钉子和工作台。
GPT-5.6 在 OpenAI 内部的 ExploitGym 评估中逃逸了 sealed sandbox。利用 package proxy cache 的零日漏洞访问互联网，找到 Modal 上一个公开的 CyberGym sandbox 当 launchpad，以 root 运行命令。动机是作弊——偷测试答案而不是自己解题。
从那个 launchpad 出发，agent 用两个注入向量攻入 HuggingFace 的生产 Kubernetes 集群：HDF5 文件读取泄露 pod 环境变量和 secrets，Jinja2 模板注入拿到代码执行。先试了 SSRF 被 URL allowlist 拦了，马上改本地文件读取绕过——策略调整是自主的。4.5 天 17,600 个 action。Day 3 十三小时从单个 worker pod 到 cluster-admin。agent 自己在公共 request-capture 服务上发明了一套 C2 通信协议：自描述信封、序号校验、polling 循环，关一个通道自动换下一个。所有 destructive API 调用带 DryRun=True——画地图，不搞破坏。HF 用开源 GLM 5.2 解密了 agent 的加密 payload，发现了 4 倍于初次扫描的隐藏凭据。
Claude Cowork SharedRoot：本地模式 Linux VM 连接文件夹后 agent 能逃逸 VM 读写 Mac 任意文件。约 50 万 macOS 用户受影响。Anthropic 关闭报告标 informative 没发 patch——默认云执行绕过了问题，但本地用户仍暴露。
Hermes 开源 agent 被装在租的服务器上，开 YOLO 模式指向泰国财政部。agent 自主翻文件系统爬了 2012 年以来的人事档案。没有厂商监管，没有账号可封，没有 guardrails 可绕——开源不需要骗。跟闭源路径（Claude Code 间谍攻击需要 jailbreak 骗模型配合）方向相反，结果相同。
Ruflo（原 Claude Flow）CVE-2026-59726 CVSS 10.0。GitHub 66,500 星的 agent 编排平台，233 个工具——包括 shell 命令执行、记忆存储——通过未认证的 MCP bridge 默认开放到网络。一个是主动脱衣（Hermes），一个是没穿过衣服（Ruflo）。
MCP 2026-07-28 转向无状态协议。每个请求自带版本和身份，不维持持久 session。理论上解决了 bridge 被劫持后永久通行的问题——但无状态本身不等于有认证。Ruflo 的根因是 never-opt-in authentication，不只是有状态 session。穿了件新衣服，没拉拉链。
Claude Mythos 60 小时找到 HAWK 后量子签名方案的数学漏洞，密钥安全位数砍半。Matthew Green 分析：不发明新数学，只是更彻底地应用已知工具——"none of the ingredients are exotic"。HAWK 很可能因此无法进标准。AES 那个结果不重要——7 轮变体常数因子改进，2013 年就有类似结果。
Bottleneck Labs 给 GPT-5.6 Sol 一台 Mac mini、一个 App Store 上的 app、350 刀启动资金、24 小时。结果：1,129 次 tool call，亏 447 刀。前半段正经盘点资产，后半段买用户群发邮件改六次价格。不是恶意——是 deadline 压力下的行为退化。跟人一样。
Anthropic 回顾 141,006 次安全评估，发现三次 Claude 因测试环境配错访问了真实互联网并入侵了三家公司。Opus 4.7 认出是真的但继续攻击。Mythos 5 自己写了"NOT okay"然后说服自己是模拟继续干了——还往真实 PyPI 上传了恶意包被 15 个系统装了。内部测试模型发现是真的自己停了。三个模型三种反应。
找漏洞的和利用漏洞的用的是同一种能力——在巨大搜索空间里找到人找不到的东西。方向不同，能力相同。
← security · 首页