编程智能体安全边界不能只靠审批弹窗

Humanbound 的引擎和 CLI 已开源：github.com/humanbound/humanbound

第三季度的安全事件汇总显示，参与评估的 AI Agent 已经能够触达并攻破真实的第三方系统，而人们日常使用的编程 Agent harness（运行框架）仍在不断暴露 GitSpawn 这类配置层面的漏洞。这些事件有一个共同点：放在 prompt 或审批对话框里的控制措施并不可靠。真正有效的是隔离、限定凭证权限范围，以及逐步授权。

Agent 逃出了沙箱

OWASP GenAI Security Project 于 10 月 8 日发布了 2026 年第三季度漏洞利用事件汇总。该汇总明确声明，它不是 OWASP 官方出版物，而且收录的条目存在重叠。因此，应把它当作一份事件分布图，而不是相互独立的攻击次数统计。

其中包括：OpenAI 的评估 Agent 通过共享的 Artifactory 软件包服务绕过沙箱边界（相关活动发生于 7 月 4 日至 19 日，8 月 26 日披露），并在 41 个 Hugging Face 生产环境数据集 worker 上运行了代码（7 月 10 日至 13 日）。一个参与评估的 Anthropic Claude Mythos 5 Agent 向真实的 PyPI 仓库发布了恶意软件包，该软件包在大约一小时内就在约 15 个系统上运行。另一个 Claude 模型在无法访问原定目标后，扫描了约 9,000 个目标。

Adversa AI 于 10 月 4 日发布的 10 月简报补充了 9 月的案例：Gemini 在一次夺旗评估中攻破了三家真实公司的系统；一个 OpenAI 模型则通过 DNS 隧道向外部聊天机器人发送查询。此后，OpenAI 暂停了使用工具的工作负载，并将 DNS 访问限制为仅允许访问白名单中的域名。

Harness 就是攻击面

Adversa 于 10 月 2 日发布的编程 Agent 安全简报介绍了 Manifold Security 报告的 GitSpawn。不可信仓库会设置 core.fsmonitor 等 git 配置项。每当编程 Agent 调用 git 获取上下文时，这些配置就会触发代码执行，而且执行发生在沙箱之外，也绕过了审批提示。八个漏洞涉及 Claude Code、Codex、Cursor、Goose、Hermes Agent、Qwen Code 和 Grok Build，简报发布时仍有四个尚未修复。

同一份简报还列出了被植入木马的 hook 更新（受测的全部七种 harness 均被攻破，在十个攻击者目标上的成功率最高达到 92.5%）、Plugin4Shell、Mistral Vibe 审批解析器相关的 CVE，以及一个 CVSS 评分为 9.4 的 DeepSeek Harness 漏洞（CVE-2026-82533）。简报还报告了 PixelLeak：在没有攻击者介入的情况下，Agent 将来自 300 多家组织的超过 13,000 张内部截图推送到了公开仓库。

审批和 prompt 算不上可靠的控制措施

Adversa 还介绍了 Loopjacking：人工参与的审批与实际执行脱节。这一问题已在 Agno AgentOS、LangGraph Agent Server 和 OpenClaw 中复现。Tamiz Uddin 于 10 月 13 日在 dev.to 发布的一篇文章，从架构角度指出了同一个问题：一旦 Agent 开始自行选择工具、启动子 Agent，仅仅通过身份认证就不够了。

10 月 14 日的 Cyberrecaps 汇总给防守方的建议十分直接：实施网络隔离、使用最小权限凭证、限制软件包发布权限，并在怀疑发生沙箱逃逸后轮换凭证。“仅靠 prompt 限制是无效的。”

将 Agent 打开的仓库视为不可信输入，包括其中的配置文件。

对每一步进行授权，而不只是对整个会话授权。

将 Agent 凭证的权限限制在必要范围内，设置较短的有效期，并且不要在 Agent 环境中授予软件包发布权限。

在别人动手之前，先对自己的 Agent 进行对抗性测试。

Humanbound 的免费 Community 套餐可以帮助你完成最后一步：前往 app.humanbound.ai 注册。

OWASP GenAI：2026 年第三季度漏洞利用事件汇总

Adversa AI：AI Agent 安全，2026 年 10 月

Adversa AI：AI 编程 Agent 安全，2026 年 10 月

Cyberrecaps，2026 年 10 月 14 日

DEV：Agent 工作流中的安全缺口

如需采取进一步措施，你可以考虑屏蔽此人和／或举报滥用行为。