实体库 · Landscape 图谱
Agent 安全攻击面
Agent 安全攻击面：Landscape 的结构图，7 层、34 张玩家卡；这张图不是理论分类，每一类都尽量配真实发生过的事故（而不只是学术论文里的概念验证）。配色约定： 红色 = 已确认的真实事故 ， 绿色 = 经同行评审的学术研究/概念验证，尚无实锤事故 ， 紫色 = 框架/防御手段 。未核
- 原页面/landscape/agent-security/ · 结构图，2026-11-02 起并入实体库，旧地址跳转到这一页
- 版本v2 · 首发 2026-08-26 · 最近更新 2026-08-26 · 下次复核 ~2026-09
- 范围这张图不是理论分类，每一类都尽量配真实发生过的事故（而不只是学术论文里的概念验证）。配色约定： 红色 = 已确认的真实事故 ， 绿色 = 经同行评审的学术研究/概念验证，尚无实锤事故 ， 紫色 = 框架/防御手段 。未核实的传闻类信息一律不收录或明确标注"未核实"。
- 方法 / 读图须知入选门槛——真实事故类必须有可核实的一手来源（厂商自曝、CVE记录、可信安全研究机构披露）；学术研究类必须已发表或在arXiv上可查证元数据。纯传闻、未能独立核实的信息一律不收录或明确标注"未核实"（例如"The Cutting Room Floor"投毒网站的传闻，因关键证据仓库不存在，本图未采信）。鉴于该领域几乎每月都有新的真实事故披露，建议保持较高频率复核。
- 标签landscape · agent · security · prompt-injection · mcp · containment
关系
实体库里还没有关于它的带证据的关系。
总览说明
图注：四类攻击面独立发生，升级为破坏性执行后落入沙盒逃逸/越权；失控遏制是唯一的下游治理层，公开评估显示普遍不及格
层 7 个 · 括号里是这一层 / 类里的数量
- 01 权威框架 7 张玩家卡
- 02 提示词注入 7 张玩家卡
- 03 工具调用 / MCP滥用 4 张玩家卡
- 04 记忆 / RAG污染 4 张玩家卡
- 05 多智能体风险 4 张玩家卡
- 06 沙盒逃逸 / 越权操作 4 张玩家卡
- 07 失控遏制 4 张玩家卡
最近的关键变化 10 条 · 作者的分析
- OWASP、MITRE 都专门为"Agent"扩展了分类体系。
- MCP供应链出现第一起真实野外投毒事件。
- Anthropic自己的红队研究证实了多智能体串谋不是假设。
- 独立评估显示"失控遏制"是行业最大的短板。
- 提示词注入已经从"理论风险"变成"每家都中过招"。
- 攻击面第一次出现在"拒绝"本身。
- "AI生成代码引入漏洞、被另一个AI攻破"完成了完整闭环的首次官方确认。
- 开放权重厂商第一次主动给危险能力加分级授权闸门，且把闸门反过来当作"更安全"的论据。
- "失控遏制"这个短板本轮进一步恶化。
- 野外首次抓获成规模运营的攻击型AI Agent。
版本记录 index.meta.json
- v2 2026-08-26 补充EP.98/99窗口内结构性变化：新增GLM-5.3分级发布、Copilot拒绝话术侧信道、追凶Neo在野攻击Agent、Wiz/Snowflake漏洞闭环；更新OpenAI HF突破细节与Preparedness团队解散状态
- v1 2026-08-26 首次建立：覆盖7个分类（权威框架/提示词注入/工具MCP滥用/记忆RAG污染/多智能体风险/沙盒逃逸/失控遏制），每条真实事故均核实一手来源
更新记录
- 2026-08-26 · v1 首次建立：覆盖7个分类（权威框架/提示词注入/工具MCP滥用/记忆RAG污染/多智能体风险/沙盒逃逸/失控遏制），基于并行研究（框架与遏制；提示词注入与工具滥用；记忆污染与多智能体）汇总整理，每条真实事故均直接核实来源可达。
- 2026-08-26 · v2 补充 EP.98/EP.99 窗口内（08-07~08-21）结构性变化：新增智谱GLM-5.3分级发布+开源之盾、Microsoft Copilot拒绝话术侧信道、"追凶Neo"在野攻击型Agent、Wiz/Snowflake AI生成代码漏洞闭环；更新OpenAI HF突破事件（Wired后续追踪细节）与Preparedness框架（团队已解散）状态。