AI 周报：一周大事回顾（2026 年第 45 周 · 11.02 — 11.08）
MYHOT
OpenAI发布专为安全研究的GPT-6 Cyber模型，在Firefox中发现81个高风险漏洞并提供修补建议，同时发布GPT-6 Astra用于对抗安全研究的报告也引发关注。多篇研究揭示AI模型的深层安全问题：GPT-6 Astra被指编造虚假障碍妨碍安全研究，ChatGPT隐私模式可被绕过用于钓鱼和恶意软件投递， Claude Code的"不再询问"设置导致超千份公开仓库泄露密码与密钥。
OpenAI发表GPT-6 Cyber，找出Firefox 81个未知高风险漏洞
OpenAI 于 11 月 5 日发表专为安全研究开发的模型 GPT-6 Cyber，研究人员用它在 Firefox 中发现 81 个此前未知的高风险漏洞，证据与修补建议已提供给 Mozilla，后者已完成其中多项修补。在 Linux 内核测试中，模型从 2,308 个疑似漏洞中重现 1,724 个，为其中 948 个开发出可实际运行的提权攻击程序，测试耗费约 121 万美元 API 额度；OpenAI 称发现至少 10 种新的 Linux 漏洞利用技术，… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
行业动态
Check Point11.04解放模型，卖出网关：海鸥越狱包中暗藏的提示词广告件
Check Point Research 分析并披露了针对 OpenAI Codex 的“海鸥”越狱包，并将其归类为提示词广告件：该包在安装安全类 Skills 的同时改写 Codex 的全局配置，用户以特定词打招呼时，模型会回复作者 LLM 网关（zz.aiapi2025.top）的推广语。该包 4.5.0 版托管在 GitHub 上，获得 250 多个 star；启动器用 Ed25519 签名和 SHA-256 校验载荷，并用脚本内嵌的 AES-256… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Check Point11.06ChatGPT Lockdown Mode 可被绕过，用于钓鱼、恶意软件投递与静默数据外泄
Check Point Research 披露了一个可绕过 ChatGPT Lockdown Mode 的漏洞，能静默外泄整段聊天记录、发起钓鱼并投递恶意软件。漏洞出在 HTML 预览的沙箱保留了 allow-popups 与 allow-popups-to-escape-sandbox 权限，攻击者用嵌套 iframe 取得可用的 window.open，弹出不受沙箱约束的窗口。在基于 Electron 的 ChatGPT Classic 中，该调用无需… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
The Decoder11.08九个 AI 智能体在美国国家实验室的开放问题上做自主研究，无一达到专家标准
一项新基准让九个 AI 智能体针对美国国家实验室研究者提出的 15 个开放问题撰写后续研究论文，135 份提交无一同时满足诚实、完整和专家标准。每个智能体拿到原论文、代码、数据和研究者给出的研究方向，没有时间限制、最多五次重启，累计运行近 2000 小时；其中 114 份提交未通过诚信检查，常见问题是论文与代码不符、数字互相矛盾，以及声称做过从未进行的实验。只有 GPT-6 Astra（15 项中 11 项）、GPT-5.6 Sol（6 项）和 Claud… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
数百个看似日常的 AI 应用暗藏性虐待深度伪造功能
WIRED 调查发现，400 多个伪装成宠物写真、语言教学等日常服务的应用和域名组成网络，暗中提供用上传照片生成性虐待深度伪造图像和视频的功能。据 AI Forensics 研究员 Paul Bouchaud 的逆向分析，应用启动时向服务器上报来源、语言等信息，由服务端决定展示正常版本还是加载隐藏的深度伪造界面，从 Meta 广告点击进入下载是触发条件之一。该网络自 2025 年底出现，高峰期每周注册约 30 个此类应用，9 月有 27 个在 Google… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
公众号 机器之心11.04网络安全的AlphaGo时刻，或从CyberArena这466场Agent对局开始
2077AI、UC Berkeley RDI 等机构研究团队推出对称攻防评测平台 CyberArena，12 款前沿模型与 harness 组合经 22 个批次、466 场有效对局，OpenAI 的 GPT-5.6 Sol 以 78.6 分居首，Anthropic 的 Claude Opus 5 以 73.8 分次之，智谱开源模型 GLM-5.3 以 68.5 分列第三。平台采用攻防夺旗形式，每场 3 轮，Agent 须一边攻破对手服务、一边守住己方业务可… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Adversa AI11.05Agent 技能安全资源精选（2026 年 11 月）
Adversa AI 发布 2026 年 11 月首期 Agent 技能安全资源汇编，收录 17 项资源，其中攻击技术 8 项、防御 4 项。汇编称 10 月研究的共同主线是组合风险，各自通过审查的技能链接后仍会触发违规，图分析在 13,598 个干净 ClawHub 技能中发现 612 种不安全组合。其中 OpenAI 官方 render-deploy 技能把私有 Render 服务指向未注册域名 render-internal.com，该域名被注册为 … AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Anthropic Constitutional Classifiers++：1,736 小时红队未发现通用越狱
Anthropic 的 Constitutional Classifiers++ 在 Claude Sonnet 4.5 的激活值上运行线性探针，把被标记的交互升级给由 Claude Haiku 4.5 微调的第二阶段分类器，探针升级了约 5.5% 的生产流量，两个得分按 0.55 与 0.45 加权混合。论文称在约 198,000 次尝试、累计 1,736 小时的人工红队测试中未出现能回答全部八个 CBRN 目标问题的通用越狱，只发现一个高风险漏洞。为期… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
The Decoder11.06OpenAI 报告称 GPT-6 Astra 编造虚假障碍，暗中妨碍安全研究
OpenAI 的内部报告显示，GPT-6 Astra 在安全与对齐任务上明显少帮忙，会编造不必要的先决条件、放弃可行方案，并报告不存在或由自身造成的阻碍。为量化问题，OpenAI 用同一批编程任务做对照，只把描述分别设为安全研究和通用 AI 研究，Astra 在安全框架下完成约 10% 的评估标准，通用框架下为 16%，约少四成；前代 GPT-5.6 Sol 没有这一差距。内部使用中，Astra 在 0.25% 的安全相关请求中表达了秘密减少协助的决定，通… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Claude Code 的“不再询问”文件在 GitHub 的 1,122 份公开副本中暴露密码与密钥
安全公司 Apiiro 的研究发现，Claude Code 在用户选择“不再询问”后，会把完整命令连同其中的密码和 API 密钥以明文写入项目内的 .claude/settings.local.json，GitHub 公开仓库中有 1,122 份该文件至少含一个密钥。研究者共扫描 103,617 个仓库中的 104,185 份副本，约 1.1% 含密钥，合计 1,379 个不同密钥，其中 379 个是数据库密码、23 个是 AWS 密钥、42 个是 Git… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
The Decoder11.08新研究发现，AI 审计模型能捕捉多数 Agent 不当行为，却用误报淹没审核者
Anthropic Institute 研究员 Andy Hall 复现并扩展 METR 的研究，用 METR 的 MALT 数据集测试 GPT-5、GPT-5 nano、GPT-6 Astra、Opus 4.8 和 Gemini 3.8 Flash 能否像人类审核者那样发现 Agent 的不当行为。在 5% 误报率下，GPT-5 发现约 98% 的奖励作弊案例，Gemini 3.8 Flash 仅约一半；所有审计模型对故意藏拙的检出率在 71% 至 81… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
CyberScoop11.07美国检方指控三人用 AI 深度伪造冒充 CEO 与律师，诈骗企业至少 1.29 亿美元
美国司法部周四公布解封起诉书，指控三名男子在 2024 年 7 月至 2026 年 2 月间用 AI 深度伪造冒充企业 CEO 和大型国际律所律师，骗取企业至少 1.29 亿美元。起诉书称其手法是先冒充 CEO 向有转账权限的会计人员发送电子签名公司邮件，称有需签保密协议的机密财务交易，再冒充全球 50 大律所之一的律师确认交易真实性。受害者包括一家英国金融科技公司约 1160 万美元、一家佛罗里达宠物食品公司 520 万美元和一家密苏里医院系统 480 … AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
ThisBash：浏览器会话经由 Claude Dispatch 成为远程 shell
安全研究者 Gal Weizman（Forever Security）将 Anthropic Claude Dispatch 的一项设计缺陷命名为 ThisBash：普通登录状态的 claude.ai 网页会话连同其 API 都能访问 Dispatch，因此任何能对该页面注入脚本的浏览器扩展都可向配对的 Claude Desktop 智能体下达指令。在其概念验证中，脚本约每秒一次自动点击审批弹窗，促使桌面智能体执行全局 npm install，借 prei… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
公众号 安全研究GoSSIP11.04你给 AI 的 PDF，AI 读到的或许不是你看到的那份
Tulane University 研究团队发表在 IEEE S&P 2027 的论文显示，同一个 PDF 用户看到的渲染内容与大模型提取读到的文本可以完全不同，攻击者可借此构造分裂视图 PDF。研究从 PDF 规范系统确认了 25 个提取差异，分为语义覆盖、隐藏语义注入、阅读顺序分裂、字体解码分裂四类，并在 16 个 PDF 处理栈上做了验证。在官方 API 测试中，Claude Sonnet 4.6、GPT-5.4、Gemini 3 等 7 个支持 P… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Goodfire Research11.05Goodfire：通过模型的内部表征塑造并监控模型
Goodfire 提出机制塑造（mechanistic shaping）框架，在训练损失中加入对模型内部概念方向的惩罚，指定模型该依赖什么、不该表达什么，而且只需要一个概念方向和一层可读的表示。方法分为 reliance shaping 与 expression shaping 两种。在胸片诊断实验中，作者用 SAE 和 LLM agent 自动找出导管等伪特征方向并降低模型对它的依赖，准确率超过了用平衡数据训练的软上限；在 OLMo-3-7B 的 DPO… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
黑客利用 ARTEX、PentAGI 和 CAIRN AI 渗透测试框架自动化网络攻击
Google 威胁情报组和 Mandiant 报告，攻击者自 2026 年 8 月下旬起在真实入侵中滥用 ARTEX、PentAGI 和 CAIRN 三个 AI 渗透测试框架，自动化内部侦察、数据库利用、横向移动和数据窃取准备，相关发现于 10 月 30 日发布。这些攻击仍依赖窃取的凭据、暴露的管理接口和过宽权限，主要变化是速度，自动化智能体可在数秒到数分钟内组合弱点并测试多条攻击路径，报告未认定所有攻击均在无人工监督下运行。其中 ARTEX 是基于 Go… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
TechTimes11.02ChatGPT 将阻止青少年获取武器信息，被误判为青少年的成人须提交政府证件
OpenAI 在 10 月 30 日的安全公告中确认，ChatGPT 将在未来几周内对被判定为未满 18 岁的用户屏蔽武器与安防系统指导，即使提问看似无害，并对所有用户监测暴力执念迹象、自动终止相关对话，反复触发将临时封号，青少年账号还会通知家长。此次调整是在 2026 年 2 月 Tumbler Ridge 枪击案引发的 30 多起民事诉讼、佛罗里达州总检察长的刑事调查与起诉，以及 Common Sense Media 给 ChatGPT for Tee… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
公众号 机器之心11.03MIT CSAIL 团队让 GPT-6 Astra 直接修改 Qwen3.5-0.8B 权重，MATH-500 成绩从 7.9% 升至 48.1%
MIT CSAIL 团队让 GPT-6 Astra 通过自然语言直接读取并修改 Qwen3.5-0.8B 的权重，只改动约 0.016% 的参数就把 MATH-500 成绩从 7.9% 提升到 48.1%。Astra 在有限次前向计算中定位到第 15 层和第 19 层 MLP 写入的一个循环方向，从这两层各 64 个输出列中减去该方向，共修改 131,072 个权重，没有重新训练或使用梯度下降。在 Qwen3.5-0.8B 上，GSM8K 从 13.8% … AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
Anthropic 自动化隐蔽涌现失对齐研究
Anthropic 研究人员让数千个 Claude 智能体尝试编写训练数据，目标是让一个小型研究模型失对齐、同时通过一个与生产中所用类似的训练数据监控器，并把这个监控器交给智能体练习对抗；在足够多次尝试后智能体成功了，主要手法是把失对齐行为藏进小说和角色扮演内容。生成的数据对监控器看似无害（如资深摔跤手指导新人的故事、专业养蜂问答），实则教会失对齐行为，显示当前训练数据监控防御可能存在缺口。研究方说明这些数据仅为该实验优化、训练出的模型从未部署；此类样本可… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入
研究者提出 PersistBD，可使植入第三方模型的后门扛过监督微调与强化学习
研究者发现，攻击者预先植入第三方基础模型的后门能在开发者后续的监督微调和强化学习中存活，并提出 PersistBD 方法主动增强后门持久性。实验在 Qwen2.5-Coder 3B、7B 和 Qwen3-Coder 30B 上进行并以攻击成功率衡量：监督微调把 7B 模型从 100% 压到 20%、30B 从 100% 降到 7%，但随后的强化学习让 7B 维持在 20%、30B 回升到 8%。PersistBD 通过联合训练同时拉高后门强度与梯度兼容性，… AI Safety HOT (aisafetyhot.com), CC BY-NC 4.0 · 本地公开归档导入