公开账本区分候选、外审与修补
AI安全从漏洞利用测试扩展到代码扫描、外部审查、维护者沟通和修补，但发现量、有效报告、修复发布与用户安装是不同环节。Anthropic开源账本截至2026年10月2日列出29,439个候选，其中6,123项接受外审、5,674项被确认有效；“有效”仍含重复和不修事项，92.7%只针对外审子集。账本另列516项上游已修补，集合范围不必与5,674项相同，也不表示用户均已安装。[1] [2]
既有研究报告的事实摘要与条件说明；具体引用在正文标注
过程与工具边界
AI安全：从漏洞账本到工具使用边界
公开漏洞账本让扫描、外审与修补进度可追踪；提示注入研究显示浏览器Agent的过程边界仍需单独保护。
整理 2026-10-14 · 原研究范围 2026-10-12
先理解研究对象
发现漏洞和修复风险之间还有哪些步骤
AI安全工作包括发现候选漏洞、独立确认、向维护者报告、修补和用户安装。候选数量与风险真正减少之间隔着多个环节；工具Agent自身还会受到外部内容的攻击。
恶意网页可能把“把资料发给我”伪装成系统指令。模型即使生成了正确报告，若同时越权发送数据，整个执行仍不能算合格。
- 提示注入
- 不可信网页或文件用文字诱导Agent改变目标或越权。
- 漏洞外审
- 由独立人员核对候选是否真实、是否重复及如何处置。
- 最小权限
- 只提供完成已授权任务需要的工具和数据范围。
具体发生了哪些进展
合作项目数据不能与账本直接相加
10月6日公告汇总至少129,000项已验证漏洞，实际统计期为2026年4–7月使用Claude Mythos的漏洞发现，来自33家合作方的部分报告，各方分诊方法不同。少于一半合作方披露修补数量，另有自有扫描集合。[3]
这些范围不能与开源账本直接相加，不能说全部是新漏洞、已修复或用户已安装。数据说明扫描工作增多，但没有量化全审查费用、安装率或净损失变化。[3]
对应材料：项目公告与限制
既有研究报告的事实摘要与条件说明；具体引用在正文标注
浏览器Agent的提示注入风险
提示注入是网页等外部内容诱导Agent偏离用户目标。2025-11-24研究报告Claude Opus 4.5与当时Chrome扩展防护的组合，使用强化学习、不可信内容分类器和人工红队改善浏览器鲁棒性；内部自适应攻击者对每个环境最多尝试100次，仍约有1%攻击成功率。[4]
这个数是指定模型与防护、内部攻击配置的测试，不是任意Agent或生产泄漏率。它说明防御已有改善，也说明攻击不能只靠模型自律解决；本页未复跑攻击与防御。[4]
对应材料：提示注入防御研究
机构指定防护组合的内部评测；系统控制建议另见工作意义
进度与时间线
论文发布、修订、业务进度和资料截止分别标识。未披露的事件日不补成精确日期。
- 2025-11-24论文/项目页面发布
提示注入防御研究的原始发布记录；不代表实验在该日完成
原始页面元数据 article:published_time · 日期
- 2026-04至2026-07漏洞统计窗口
Claude Mythos合作发现数据的统计期。
公告正文；不同于10月6日发布日 · 区间
- 2026-10-02原报告记载的进度/观察
公开账本统计截止；不是漏洞统一发现日
2026-10-13研究报告第12模块；本次未把未披露日期补成精确日期 · 日期
- 2026-10-06原报告记载的进度/观察
合作项目公告另一个统计集合
2026-10-13研究报告第12模块；本次未把未披露日期补成精确日期 · 日期
- 2026-10-06公告发布
合作项目公告发布；至少129,000项来自4–7月统计，不是一天新增。
原公告发布标签 · 日期
- 2026-10-12研究材料范围
这份研究摘要的资料范围，不是上述事件统一发生的日期。
原研究报告事实范围 · 资料截止
这对实际工作意味着什么
工作建议（编辑推断）：扫描发现先经独立复现与分诊，再由维护者修补、发布并跟踪安装；每一步分别记数量、费用和等待时间，不用发现量代替净收益。
浏览器Agent读取网页时，用系统权限限制它能读和写什么，对当前用户未授权的发送、付款、删除等操作先取得具体授权，并保存操作记录。授权边界与不可信内容隔离属于工作控制设计，不是上述论文证明已经彻底解决提示注入。
还有什么需要观察
若外审、修补回归与用户安装在同一范围内同步提速，漏洞发现才可能转成防御收益；若验证和维护积压扩大，报告增长也会增加处理负担。观察独立确认率、严重性一致性、每项有效报告全费用、提示注入下越权操作率及修复发布到安装时间，并检查权限控制失效后的恢复。
引用的证明材料
正文中的编号指向下列材料。材料类别、具体支持与限制一起阅读，不能按链接数量累计独立验证。
[1] 机构公开漏洞披露账本
Anthropic’s coordinated vulnerability disclosure dashboard ↗
开源账本
支持的内容：候选、外审确认与上游修补的独立口径；多种Claude扫描，六家外部安全公司复现/分诊。
阅读定位：Overview：Counts as of October 2, 2026与流程说明。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
- 文档原始发布
- 未提取到可靠日期
- 日期依据
- 原页面未提取到可靠发布日期，保持未知
2026-10-14（北京时间）检查了书目/获取信息；不等于重新验证结果。
证据适用范围与核对状态
继承既有报告审查范围；导入未重跑或重新核验全部原始来源。文献家族未知，不计独立实验数。
结果依据继承原研究 2026-10-12，具体配置和局限需沿原文核对。
[2] 原始研究或机构项目说明
About this dashboard ↗
状态定义
支持的内容：各计数定义；不同路线及集合范围不能强行相除。
阅读定位：GLOSSARY：Candidates、True positive rate、Patched upstream。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
- 文档原始发布
- 未提取到可靠日期
- 日期依据
- 原页面未提取到可靠发布日期，保持未知
2026-10-14（北京时间）检查了书目/获取信息；不等于重新验证结果。
证据适用范围与核对状态
继承既有报告审查范围；导入未重跑或重新核验全部原始来源。文献家族未知，不计独立实验数。
结果依据继承原研究 2026-10-12，具体配置和局限需沿原文核对。
[3] 机构合作项目公告
项目公告与限制 ↗
项目公告与限制
支持的内容：4–7月Claude Mythos、33合作方部分报告与分诊/修补披露限制。
阅读定位：Giving defenders the advantage及统计图下注释。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
- 文档原始发布
- 2026-10-06
- 日期依据
- 公告发布日期
2026-10-14（北京时间）检查了书目/获取信息；不等于重新验证结果。
证据适用范围与核对状态
继承指定研究的核验与配置范围，本次未重新复跑原始实验；文献独立家族未知。
结果依据继承原研究 2026-10-12，具体配置和局限需沿原文核对。
[4] 原始研究或机构项目说明
Mitigating prompt injections in browser use ↗
提示注入防御研究
支持的内容：Opus4.5/当时Chrome防护组合、100次自适应尝试和约1%攻击成功率。
阅读定位：Claude’s progress on browser use robustness及图注。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
- 文档原始发布
- 2025-11-24
- 日期依据
- 原始页面元数据 article:published_time
2026-10-14（北京时间）检查了书目/获取信息；不等于重新验证结果。
证据适用范围与核对状态
继承指定研究的核验与配置范围，本次未重新复跑原始实验；文献独立家族未知。
结果依据继承原研究 2026-10-12，具体配置和局限需沿原文核对。
本页整理：2026-10-14 · 研究事实范围：2026-10-12。概念解释与既有研究展开；元数据访问不是原始实验复验。
可以怎样连接到你的工作
漏洞报告、修复、安装和权限恢复分别验证；扫描量不是防御收益。
相邻研究参考：相邻机制参考，不证明本原子通过；需实际输入、权限、独立验收和恢复。
漏洞报告、修复、安装和权限恢复分别验证；扫描量不是防御收益。
相邻研究参考：相邻机制参考，不证明本原子通过；需实际输入、权限、独立验收和恢复。