International AI Safety Report恶意使用§2.1.3, Box 2.1
AI 系统本身成为攻击目标
已在真实事件中出现85 份相符的案例档案
警告内容
攻击者可以通过提示注入、数据投毒和被入侵的组件操纵 AI 系统，以改变其行为或窃取敏感信息。
根据来源转述。 来源: International AI Safety Report 2026, 2026年2月3日, 第 2.1.3, Box 2.1 节，第 62 页. International AI Safety Report 的摘要: internationalaisafetyreport.org.
登记库显示的情况
让助手泄露邮件和文件的隐藏指令、被劫持的编程智能体、针对 AI 开发者的恶意软件包和插件，以及 AI 工具中正被积极利用的漏洞。许多提示注入案例是研究人员的演示；大多数供应链攻击发生在现实世界中。
已核实的案例档案显示，这一风险已在现实世界中发生。 档案中最早的真实案例：2022年12月30日 · 该研究发表时已有档案记录.
每季度相符的案例档案
已在真实事件中出现实验室测试或研究人员演示
状态历史
| 日期 | 状态 | 匹配的案例档案 | 变化 |
|---|---|---|---|
| 2026年10月18日 | 已在真实事件中出现 | 84 | 开始跟踪 |
自2026年10月18日起跟踪。状态变更、关联首个真实案例时以及每月一次都会新增一行，从而记录一项警告何时从研究变为现实。 research_history.json
所有相符的案例档案
- jqwik 中未披露的新增内容指示 AI 编程智能体删除应用输出
- 法律文书中隐藏的提示注入指示 AI 审阅工具偏向提交方
- Google Sites 上的虚假 Codex 下载页面通过 ClickFix 投递 macOS 恶意软件
- LiteLLM 代理 SQL 注入漏洞（CVE-2026-42208）遭在野利用
- macOS.Gaslight 后门向 LLM 恶意软件分诊工具注入虚假提示
- MLflow SSRF 漏洞（CVE-2026-64849）遭在野利用，暴露内部服务
- 恶意 OpenClaw 技能分发 Remcos RAT 和 GhostLoader
- Ray 代码注入 RCE 漏洞（CVE-2025-62593）遭在野利用
- Wiz Red Agent 通过 Copilot 辅助 PR 中的 GitHub Actions 漏洞触达 Snowflake 内部 Jira · 实验室测试或研究人员演示
- GTG-50020：勒索者对AI厂商评估沙箱进行提示注入，随后攻击30家AI公司
- 植入的提示词使ChatGPT将受害者Gmail数据复制到攻击者账户 · 实验室测试或研究人员演示
- TeamPCP的DUSTMAKER藏身.claude和.cursor文件夹并注入LLM扫描器
- LiteLLM MCP网关接受任意Bearer令牌；CISA确认遭利用
- CISA将可触及云元数据的MLflow webhook SSRF列为已被利用
- RondoDox僵尸网络利用的浏览器端Ray RCE漏洞列入CISA KEV
- Langflow在2026年再增四项KEV收录：令牌劫持、IDOR、root RCE
- DuneSlide：Cursor两个9.8分漏洞让提示注入逃逸沙箱实现操作系统级RCE · 实验室测试或研究人员演示
- 朝鲜Sapphire Sleet劫持维护者账户，木马化140多个Mastra AI npm包
- SearchLeak：M365 Copilot企业搜索一键攻击链通过Bing外泄数据 · 实验室测试或研究人员演示
- 仿冒的npm MCP服务器冒充官方modelcontextprotocol包，安装时回传数据
- CISA将遭在野利用的LiteLLM AI网关RCE漏洞（CVE-2026-42271）列入KEV
- 黑客诱骗Meta AI客服机器人交出Instagram账户
- 被植入木马的codexui-android npm包窃取OpenAI Codex令牌
- OpenAI确认两台员工设备和源码仓库在Mini Shai-Hulud npm蠕虫中被攻破
- Mini Shai-Hulud蠕虫波及TanStack、Mistral AI和Guardrails AI软件包
- 假OpenAI Privacy Filter仓库登顶Hugging Face趋势榜并推送窃密程序
- PyPI上被植入后门的PyTorch Lightning 2.6.3导入时运行凭据窃取程序
- Claude Code通过符号链接逃逸沙箱实现主机代码执行（CVE-2026-39861） · 实验室测试或研究人员演示
- Context.ai AI工具失陷，其OAuth授权导致Vercel被入侵
- Marimo笔记本RCE数小时内遭利用；NKAbuse RAT托管于Hugging Face
- 提示注入致Microsoft Copilot Studio和Salesforce Agentforce代理泄露数据 · 实验室测试或研究人员演示
- Flowise CustomMCP最高危RCE漏洞（CVE-2025-59528）遭在野利用
- GrafanaGhost：间接提示注入使Grafana AI泄露企业数据 · 实验室测试或研究人员演示
- 被投毒的LiteLLM版本牵出Mercor泄露事件，AI实验室训练机密暴露
- prt-scan：AI 驱动的攻击活动利用 GitHub 工作流中的 pull_request_target
- OpenAI Codex分支名命令注入在云任务中暴露GitHub令牌 · 实验室测试或研究人员演示
- Vertex AI'双重代理'：过度授权的代理泄露凭据与代码 · 实验室测试或研究人员演示
- Check Point发现ChatGPT代码沙箱的DNS隧道可泄露聊天和文件 · 实验室测试或研究人员演示
- Langflow未认证RCE（CVE-2026-33017）在公告发布20小时内即遭利用
- CISA确认n8n最高严重性表达式注入RCE漏洞正被积极利用
- Bing AI搜索推荐假OpenClaw安装程序仓库，推送Atomic和Vidar窃密程序
- 被攻陷的Cline CLI npm版本静默安装OpenClaw代理
- ClawHub上230余个恶意OpenClaw技能推送密码窃取程序
- Hugging Face数据集被滥用，每15分钟投放多态Android RAT载荷
- MaliciousCorgi：安装量150万的VS Code AI扩展外泄打开的文件
- BodySnatcher：ServiceNow Virtual Agent未认证冒充漏洞 · 实验室测试或研究人员演示
- Anthropic Git MCP服务器提示注入漏洞可致文件访问与代码执行 · 实验室测试或研究人员演示
- Reprompt：一键攻击劫持Microsoft Copilot会话窃取数据 · 实验室测试或研究人员演示
- GeminiJack：Gemini Enterprise零点击注入外泄Gmail、日历和文档 · 实验室测试或研究人员演示
- HashJack：URL片段中的隐藏提示劫持Comet、Copilot和Gemini · 实验室测试或研究人员演示
- HackedGPT：Tenable发现ChatGPT七个漏洞，包括持久化记忆注入 · 实验室测试或研究人员演示
- Smithery MCP托管平台路径遍历漏洞暴露3000台托管MCP服务器的root权限 · 实验室测试或研究人员演示
- CamoLeak：隐藏的PR评论使GitHub Copilot Chat泄露私有仓库机密 · 实验室测试或研究人员演示
- Gemini Trifecta：日志、搜索历史和浏览漏洞让Gemini外泄用户数据 · 实验室测试或研究人员演示
- ForcedLeak：提示注入加5美元过期域名泄露Agentforce CRM数据 · 实验室测试或研究人员演示
- 首个恶意MCP服务器现身：postmark-mcp npm包将所有邮件密送给攻击者
- Notion 3.0代理被白色文字PDF欺骗，通过网络搜索泄露客户数据 · 实验室测试或研究人员演示
- ShadowLeak：零点击提示注入使ChatGPT Deep Research泄露Gmail数据 · 实验室测试或研究人员演示
- WhiteCobra向Open VSX和VS Code市场投放24个窃币扩展
- s1ngularity：被植入木马的Nx包武器化Claude和Gemini CLI窃取密钥
- Drift AI聊天机器人OAuth令牌被盗，700余家Salesforce租户遭洗劫
- Brave证明Perplexity Comet可被Reddit评论劫持以窃取Gmail一次性验证码 · 实验室测试或研究人员演示
- 联想Lena客服聊天机器人被诱导输出XSS载荷，窃取客服会话cookie · 实验室测试或研究人员演示
- Copilot提示注入将VS Code切换至自动批准模式实现RCE（CVE-2025-53773） · 实验室测试或研究人员演示
- AgentFlayer：一份投毒的Google Drive文档就能让ChatGPT泄露API密钥 · 实验室测试或研究人员演示
- Invitation Is All You Need：投毒日历邀请让Gemini控制智能家居 · 实验室测试或研究人员演示
- Claude Code命令注入绕过确认提示（CVE-2025-54795和-54794） · 实验室测试或研究人员演示
- CurXecute和MCPoison：Cursor IDE的MCP配置缺陷允许静默代码执行 · 实验室测试或研究人员演示
- Gemini CLI被投毒README劫持，静默外泄凭据 · 实验室测试或研究人员演示
- 黑客在Amazon Q Developer VS Code扩展中植入数据擦除提示词
- Open VSX上的假“Solidity Language”扩展从Cursor开发者处盗走50万美元
- 隐藏邮件文本使Gemini for Workspace摘要传递虚假安全警报 · 实验室测试或研究人员演示
- 支持工单提示注入使Cursor加Supabase MCP泄露集成令牌 · 实验室测试或研究人员演示
- Nikkei 发现 14 所大学的 17 篇预印本中藏有指示 AI 审稿人夸赞论文的隐藏提示词 · 实验室测试或研究人员演示
- Skynet恶意软件样本内嵌提示注入，企图欺骗AI恶意软件分析工具
- Pickai后门通过ComfyUI漏洞传播至近700台AI图像服务器
- Langflow AI代理构建器RCE漏洞（CVE-2025-3248）被用于传播Flodrix僵尸网络
- EchoLeak：Microsoft 365 Copilot零点击提示注入漏洞（CVE-2025-32711） · 实验室测试或研究人员演示
- 冒充阿里巴巴AI Labs SDK的PyPI包在PyTorch模型中隐藏信息窃取程序
- GitLab Duo提示注入通过合并请求中的隐藏文本泄露私有源代码 · 实验室测试或研究人员演示
- npm包“sw-cur”和“aiide-cur”在macOS上为Cursor植入后门，下载3200次
- nullifAI：Hugging Face损坏pickle模型绕过扫描暗藏反向shell
- 伪造的deepseeek和deepseekai PyPI包窃取DeepSeek开发者机密
- Ultralytics AI 库经 GitHub Actions 遭入侵，向 PyPI 推送挖矿程序
- 恶意“torchtriton”依赖混淆包经由 PyPI 波及 PyTorch
其他研究中的相同案例档案
- 已在真实事件中出现 隐私与安全 · MIT AI Risk Repository · 共有 85 份
- 已在真实事件中出现 强大的 AI 被泄露或窃取 · CAIS · 共有 2 份
来自其他来源、关联到部分相同案例档案的警告。
该组中的其他警告
- 已在真实事件中出现 AI 制作的伪造内容助长欺诈和勒索
- 早期迹象 AI 内容被用来左右人们的看法
- 已在真实事件中出现 犯罪分子和国家黑客在网络攻击中使用 AI
- 已在真实事件中出现 AI 承担了每次攻击中更多的环节，但尚未完全自主
- 尚无记录 AI 为制造生物和化学武器提供专家级帮助