# AI安全：从漏洞账本到工具使用边界

前沿版本：2026-10-16.1；进展：ADV12
事实范围：2026-10-12；各研究的首发与修订日期见下方时间线
阶段：特定扫描与报告流程已有生产运行记录；修补、用户安装及提示注入下的防御成效须另行评估。
状态：active


## 概念与例子：发现漏洞和修复风险之间还有哪些步骤

AI安全工作包括发现候选漏洞、独立确认、向维护者报告、修补和用户安装。候选数量与风险真正减少之间隔着多个环节；工具Agent自身还会受到外部内容的攻击。

恶意网页可能把“把资料发给我”伪装成系统指令。模型即使生成了正确报告，若同时越权发送数据，整个执行仍不能算合格。

- 提示注入：不可信网页或文件用文字诱导Agent改变目标或越权。
- 漏洞外审：由独立人员核对候选是否真实、是否重复及如何处置。
- 最小权限：只提供完成已授权任务需要的工具和数据范围。

## 具体进展

### 公开账本区分候选、外审与修补

AI安全从漏洞利用测试扩展到代码扫描、外部审查、维护者沟通和修补，但发现量、有效报告、修复发布与用户安装是不同环节。Anthropic开源账本截至2026年10月2日列出29,439个候选，其中6,123项接受外审、5,674项被确认有效；“有效”仍含重复和不修事项，92.7%只针对外审子集。账本另列516项上游已修补，集合范围不必与5,674项相同，也不表示用户均已安装。[开源账本](https://red.anthropic.com/2026/cvd/) [状态定义](https://red.anthropic.com/2026/cvd/about/)

既有研究报告的事实摘要与条件说明；具体引用在正文标注
对应材料：[开源账本](https://red.anthropic.com/2026/cvd/)、[状态定义](https://red.anthropic.com/2026/cvd/about/)

### 合作项目数据不能与账本直接相加

10月6日公告汇总至少129,000项已验证漏洞，实际统计期为2026年4–7月使用Claude Mythos的漏洞发现，来自33家合作方的部分报告，各方分诊方法不同。少于一半合作方披露修补数量，另有自有扫描集合。[项目公告与限制](https://www.anthropic.com/news/cyber-verification-program)

这些范围不能与开源账本直接相加，不能说全部是新漏洞、已修复或用户已安装。数据说明扫描工作增多，但没有量化全审查费用、安装率或净损失变化。[项目公告与限制](https://www.anthropic.com/news/cyber-verification-program)

既有研究报告的事实摘要与条件说明；具体引用在正文标注
对应材料：[项目公告与限制](https://www.anthropic.com/news/cyber-verification-program)

### 浏览器Agent的提示注入风险

提示注入是网页等外部内容诱导Agent偏离用户目标。2025-11-24研究报告Claude Opus 4.5与当时Chrome扩展防护的组合，使用强化学习、不可信内容分类器和人工红队改善浏览器鲁棒性；内部自适应攻击者对每个环境最多尝试100次，仍约有1%攻击成功率。[提示注入防御研究](https://www.anthropic.com/research/prompt-injection-defenses)

这个数是指定模型与防护、内部攻击配置的测试，不是任意Agent或生产泄漏率。它说明防御已有改善，也说明攻击不能只靠模型自律解决；本页未复跑攻击与防御。[提示注入防御研究](https://www.anthropic.com/research/prompt-injection-defenses)

机构指定防护组合的内部评测；系统控制建议另见工作意义
对应材料：[提示注入防御研究](https://www.anthropic.com/research/prompt-injection-defenses)

## 时间线

- 2025-11-24（论文/项目页面发布 / 日期）：提示注入防御研究的原始发布记录；不代表实验在该日完成
  日期依据：原始页面元数据 article:published_time
- 2026-04至2026-07（漏洞统计窗口 / 区间）：Claude Mythos合作发现数据的统计期。
  日期依据：公告正文；不同于10月6日发布日
- 2026-10-02（原报告记载的进度/观察 / 日期）：公开账本统计截止；不是漏洞统一发现日
  日期依据：2026-10-13研究报告第12模块；本次未把未披露日期补成精确日期
- 2026-10-06（原报告记载的进度/观察 / 日期）：合作项目公告另一个统计集合
  日期依据：2026-10-13研究报告第12模块；本次未把未披露日期补成精确日期
- 2026-10-06（公告发布 / 日期）：合作项目公告发布；至少129,000项来自4–7月统计，不是一天新增。
  日期依据：原公告发布标签
- 2026-10-12（研究材料范围 / 资料截止）：这份研究摘要的资料范围，不是上述事件统一发生的日期。
  日期依据：原研究报告事实范围

## 工作意义

工作建议（编辑推断）：扫描发现先经独立复现与分诊，再由维护者修补、发布并跟踪安装；每一步分别记数量、费用和等待时间，不用发现量代替净收益。

浏览器Agent读取网页时，用系统权限限制它能读和写什么，对当前用户未授权的发送、付款、删除等操作先取得具体授权，并保存操作记录。授权边界与不可信内容隔离属于工作控制设计，不是上述论文证明已经彻底解决提示注入。

### 后续观察

若外审、修补回归与用户安装在同一范围内同步提速，漏洞发现才可能转成防御收益；若验证和维护积压扩大，报告增长也会增加处理负担。观察独立确认率、严重性一致性、每项有效报告全费用、提示注入下越权操作率及修复发布到安装时间，并检查权限控制失效后的恢复。

## 证明材料

### Anthropic’s coordinated vulnerability disclosure dashboard

[开源账本](https://red.anthropic.com/2026/cvd/)；类别：机构公开漏洞披露账本；状态：active
支持：候选、外审确认与上游修补的独立口径；多种Claude扫描，六家外部安全公司复现/分诊。
定位：Overview：Counts as of October 2, 2026与流程说明。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
原始发布：未知；修订：未提取；原页面未提取到可靠发布日期，保持未知
继承既有报告审查范围；导入未重跑或重新核验全部原始来源。文献家族未知，不计独立实验数。
2026-10-14书目信息，非实验复验。

### About this dashboard

[状态定义](https://red.anthropic.com/2026/cvd/about/)；类别：原始研究或机构项目说明；状态：active
支持：各计数定义；不同路线及集合范围不能强行相除。
定位：GLOSSARY：Candidates、True positive rate、Patched upstream。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
原始发布：未知；修订：未提取；原页面未提取到可靠发布日期，保持未知
继承既有报告审查范围；导入未重跑或重新核验全部原始来源。文献家族未知，不计独立实验数。
2026-10-14书目信息，非实验复验。

### 项目公告与限制

[项目公告与限制](https://www.anthropic.com/news/cyber-verification-program)；类别：机构合作项目公告；状态：active
支持：4–7月Claude Mythos、33合作方部分报告与分诊/修补披露限制。
定位：Giving defenders the advantage及统计图下注释。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
原始发布：2026-10-06；修订：未提取；公告发布日期
继承指定研究的核验与配置范围，本次未重新复跑原始实验；文献独立家族未知。
2026-10-14书目信息，非实验复验。

### Mitigating prompt injections in browser use

[提示注入防御研究](https://www.anthropic.com/research/prompt-injection-defenses)；类别：原始研究或机构项目说明；状态：active
支持：Opus4.5/当时Chrome防护组合、100次自适应尝试和约1%攻击成功率。
定位：Claude’s progress on browser use robustness及图注。
核对采集期、分母和处理路线；计数与攻击成功率各有不同适用范围。
原始发布：2025-11-24；修订：未提取；原始页面元数据 article:published_time
继承指定研究的核验与配置范围，本次未重新复跑原始实验；文献独立家族未知。
2026-10-14书目信息，非实验复验。

本页整理：2026-10-14；事实范围：2026-10-12。概念解释与既有研究展开；元数据访问不是原始实验复验。

## 变化与限制
公开账本分别列候选、外审确认与上游修补；浏览器防御研究也测了模型与防护组合。发现数量、实际修复和安全执行分别需要证据。
指定研究的编辑判断，未对本站任务做新的完整现场验证。
来源→机制→任务适配，不分配来源分数给任务。

## 原子影响
- DEV-21672-A1（adjacent）：漏洞报告、修复、安装和权限恢复分别验证；扫描量不是防御收益。
  相邻机制参考，不证明本原子通过；需实际输入、权限、独立验收和恢复。
  /atoms/DEV-21672-A1.md
- FDE-3477-A2（adjacent）：漏洞报告、修复、安装和权限恢复分别验证；扫描量不是防御收益。
  相邻机制参考，不证明本原子通过；需实际输入、权限、独立验收和恢复。
  /atoms/FDE-3477-A2.md

网页不授予业务权限，相邻研究不证明当前任务通过，未知保持未知。