AI安全周报：第2期（2026-07-12）
---
本周，AI安全领域迈入纵深防御新阶段：Agent运行时语义防火墙、大语言模型-Agent轨迹水印追踪以及多Agent隐私保护架构三大技术路线同步推进。与此同时，AI Agent相关的CVE漏洞密集出现——从开源CRM越权到Shell命令注入，再到Rancher AI Agent敏感信息泄露，AI Agent已从理论攻击面演变为可实际触及的漏洞靶标。学术研究与工业合规在MCP协议上实现融合，威胁驱动的自动化合规（Threat-Informed Compliance）为关键基础设施的AI部署指明了新方向。
---
1.1 AI Agent CVE密集爆发：从概念验证到实战靶标
本周，CVE机构收录了多个与AI Agent直接相关的实战漏洞，标志着AI Agent正式进入传统漏洞披露体系：
技术纵深：
1.2 Black Hat / DEF CON 34：AI安全议题占据核心舞台
PortSwigger本周官方博客宣布，将在Black Hat USA（展位5342）和DEF CON 34期间举办系列活动——包括BSides Workshop: Burp But Yours（由Hannah & Tib3rius主持）以及Burp AI相关闪电演讲。这反映出AI辅助安全测试已从厂商预览走向成熟产品演示。
1.3 MCP协议合规化：从模型连接到关键基础设施
arXiv本周发表了《From Legacy Documentation to OSCAL: An MCP-Based Agent Pipeline for Threat-Informed Continuous Compliance in Critical Infrastructure》，论文创新性地将MCP协议从“大语言模型调用工具”提升为“关键基础设施合规自动化管道”的核心枢纽。在OT环境无法主动扫描的现实制约下，该方案通过多Agent架构将自然语言系统描述转化为NIST OSCAL格式的安全评估文档，达到0.90 CVE召回率和完美D3FEND召回率，已被IEEE CSR 2026接收。
---
2.1 Token-Flow Firewall：面向持久化AI Agent的语义运行时审计
技术要点：
研究团队提出了一个关键洞察——持久化AI Agent中绝大多数安全关键交互都通过自然语言Token流传播：记忆更新、工具参数、检索文件、组件间通信。Unsafe content可在到达特权运行sink之前被拦截为“风险语义流”。
提出的 TokenWall 框架架构：
text 1 2 3 4 5 6 7 8 9 10 11 12 13 14 Agent Token Flow │ ▼ ┌──────────────────────────────┐ │ Boundary-Aware Semantic │ │ Auditing (Source-Sink) │ ├──────────────────────────────┤ │ Lightweight Local Inspection│ ├──────────────────────────────┤ │ Strong Arbitration Module │ ← 仅高风险案例升级 └──────────────────────────────┘ │ ▼ Privileged Runtime Sink
text
1 2 3 4 5 6 7 8 9 10 11 12 13 14 Agent Token Flow │ ▼ ┌──────────────────────────────┐ │ Boundary-Aware Semantic │ │ Auditing (Source-Sink) │ ├──────────────────────────────┤ │ Lightweight Local Inspection│ ├──────────────────────────────┤ │ Strong Arbitration Module │ ← 仅高风险案例升级 └──────────────────────────────┘ │ ▼ Privileged Runtime Sink
实验数据：在CIK-Bench上，TokenWall将攻击成功率降至12.5%，良性可执行通过率达97.4%，仅引入0.69秒额外延迟。
潜在风险：持久化Agent的Token流覆盖范围之广，意味着任何语义解析盲点都可能成为攻击突破口。
防御建议： 1. 部署Agent Token流的边界感知语义审计层2. 对高风险Token流建立“先审计、后执行”的安全管线 3. 结合TokenWall与记忆完整性校验形成纵深
🔗 原文链接
2.2 TRACE：大语言模型-Agent轨迹的双通道鲁棒水印
技术要点：
针对大语言模型 Agent经Reseller渠道分发时的