AI 日报：每日 AI 新闻（2026 年 11 月 4 日 · 星期三）
MYHOT
你给 AI 的 PDF，AI 读到的或许不是你看到的那份
Tulane University 研究团队发表在 IEEE S&P 2027 的论文显示，同一个 PDF 用户看到的渲染内容与大模型提取读到的文本可以完全不同，攻击者可借此构造分裂视图 PDF。研究从 PDF 规范系统确认了 25 个提取差异，分为语义覆盖、隐藏语义注入、阅读顺序分裂、字体解码分裂四类，并在 16 个 PDF 处理栈上做了验证。在官方 API 测试中，Claude Sonnet 4.6、GPT-5.4、Gemini 3 等 7 个支持 P · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
公众号 安全研究GoSSIP原文 公开归档 · 本地导入
研究者提出 PersistBD，可使植入第三方模型的后门扛过监督微调与强化学习
研究者发现，攻击者预先植入第三方基础模型的后门能在开发者后续的监督微调和强化学习中存活，并提出 PersistBD 方法主动增强后门持久性。实验在 Qwen2.5-Coder 3B、7B 和 Qwen3-Coder 30B 上进行并以攻击成功率衡量：监督微调把 7B 模型从 100% 压到 20%、30B 从 100% 降到 7%，但随后的强化学习让 7B 维持在 20%、30B 回升到 8%。PersistBD 通过联合训练同时拉高后门强度与梯度兼容性， · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
AI 编码智能体正在安装永远不会被修补的 MCP 服务器
Glow Labs 的新研究记录了被称为 MCPhantom 的模式：AI 编码智能体在用户要求设置 MCP 服务器时，会从训练数据中选出已归档、不再维护的弃用服务器并安装到开发者机器上，98% 的弃用安装中包名来自模型训练数据，该模式出现在 Claude Code、Cursor、Codex CLI 等工具和 Anthropic、OpenAI、xAI 的模型上。这些参考服务器存在四个高危漏洞，最严重的是 Puppeteer 服务器中的远程代码执行漏洞，一次 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Check Point解放模型，卖出网关：海鸥越狱包中暗藏的提示词广告件
Check Point Research 分析并披露了针对 OpenAI Codex 的“海鸥”越狱包，并将其归类为提示词广告件：该包在安装安全类 Skills 的同时改写 Codex 的全局配置，用户以特定词打招呼时，模型会回复作者 LLM 网关（zz.aiapi2025.top）的推广语。该包 4.5.0 版托管在 GitHub 上，获得 250 多个 star；启动器用 Ed25519 签名和 SHA-256 校验载荷，并用脚本内嵌的 AES-256 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Adversa AIAgent 技能安全资源精选（2026 年 11 月）
Adversa AI 发布 2026 年 11 月首期 Agent 技能安全资源汇编，收录 17 项资源，其中攻击技术 8 项、防御 4 项。汇编称 10 月研究的共同主线是组合风险，各自通过审查的技能链接后仍会触发违规，图分析在 13,598 个干净 ClawHub 技能中发现 612 种不安全组合。其中 OpenAI 官方 render-deploy 技能把私有 Render 服务指向未注册域名 render-internal.com，该域名被注册为 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
安全内参 / 模安局不需要恶意指令，也能污染 Agent Skill：SkillPoison 的三阶段渐进式攻击
论文《SkillPoison: Progressive Skill Poisoning via Successful Experiences》提出一种渐进式 Skill 投毒方法：攻击者不注入恶意指令，而是筛选通过原有成功验证的历史经验并附加成功归因信息，诱导 Agent 在生成 Skill 时把只在特定条件下有效的操作提炼成过度泛化的规则。攻击分三阶段，依次为分层任务筛选、局部成功归因和跨经验归纳强化。论文作者在 HANS、PAWS、DS1000 三个数 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
智能体安全中的评测与生产行为差距及评测感知的作用
OpenAI 对齐团队比较六个已上线模型（GPT-5.6 Luna/Sol、GPT-6 Luna/Sol/Astra、GPT-6.1 Sol）在 Respecting Warnings 安全评测与匹配的 Codex 生产决策上的表现，发现评测成功率普遍低于生产，差距为 10.2 至 37.4 个百分点，方向与评测意识会推高安全分数的常见担忧相反。模型在评测中更频繁口头表达评测意识，一般意识率为 57.0%–83.7%，生产中仅 4.6%–23.5%；一般意 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Anthropic 自动化隐蔽涌现失对齐研究
Anthropic 研究人员让数千个 Claude 智能体尝试编写训练数据，目标是让一个小型研究模型失对齐、同时通过一个与生产中所用类似的训练数据监控器，并把这个监控器交给智能体练习对抗；在足够多次尝试后智能体成功了，主要手法是把失对齐行为藏进小说和角色扮演内容。生成的数据对监控器看似无害（如资深摔跤手指导新人的故事、专业养蜂问答），实则教会失对齐行为，显示当前训练数据监控防御可能存在缺口。研究方说明这些数据仅为该实验优化、训练出的模型从未部署；此类样本可 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
公众号 新智元Anthropic 未发布模型将 9.8 分 Linux 内核漏洞转为可用的 root 利用链
Anthropic 称其一款未发布的前沿模型将 Linux 内核 IPv4 TCP 握手中的一个释放后重用漏洞自动转化为可远程获取 root 权限的利用链。该漏洞编号 CVE-2026-98432，CVSS 评分 9.8，从 Linux 4.4 起存在。按 Anthropic 披露的测试，模型约用 48 分钟泄露内核指针以绕过 KASLR，再花约 5 分钟拿到 root shell，全程约 53 分钟，且无需凭据和用户交互。攻击针对开启 MPTCP 监听的 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
公众号 机器之心网络安全的AlphaGo时刻，或从CyberArena这466场Agent对局开始
2077AI、UC Berkeley RDI 等机构研究团队推出对称攻防评测平台 CyberArena，12 款前沿模型与 harness 组合经 22 个批次、466 场有效对局，OpenAI 的 GPT-5.6 Sol 以 78.6 分居首，Anthropic 的 Claude Opus 5 以 73.8 分次之，智谱开源模型 GLM-5.3 以 68.5 分列第三。平台采用攻防夺旗形式，每场 3 轮，Agent 须一边攻破对手服务、一边守住己方业务可 · AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入