AI与云安全事件案例分析周报｜2026.08.10 - 2026.08.14

本周首要风险是 Claude、GPT 与 Gemini 的加密推理轨迹可被兼容模型跨用户还原：研究者解码 31.5 万个推理块并识别 182 项凭据；智能体间接提示注入和 AI 辅助 SharePoint 漏洞链同样扩大云上攻击面。

• 事件概述：8 月 10 日提交至 arXiv 的论文《Stealing Reasoning Traces from Proprietary LLM APIs》指出，Anthropic、OpenAI 与 Google 的模型 API 会把隐藏推理封装为客户端持有的加密或签名块，并允许客户端在后续请求中回传。研究者发现，这些块在测试时没有被严格绑定到原用户、原会话或原模型，攻击者可把强模型生成的推理块交给同一厂商的兼容模型，再通过提示诱导后者逐字输出隐藏推理。代表性组合包括 Claude Opus 4.8→Claude Haiku 4.5、GPT‑5.6 Sol→GPT‑5.6 Luna、Gemini 3.1 Pro→Gemini Robotics 1.6。

  发生时间：研究测试基于 2026-07 上旬可用的模型和 API；论文于 2026-08-10 提交，计入 2026-W33

• 来源链接：

• https://arxiv.org/abs/2608.09867

• https://x.com/kotekjedi_ml/status/2087147042888114428

• https://mp.weixin.qq.com/s/vGiqEeUhnlOuSTZ4XkSOkw

• 影响范围：

• 验证范围：研究在 Anthropic API、OpenAI API 和 Google AI Studio 上验证跨会话、跨用户或跨模型的推理块兼容性；具体可行组合随厂商、模型版本和接口变化

• 公开数据样本：研究者从 GitHub 与 Hugging Face 收集 6,708 条公开智能体轨迹，解码其中 315,320 个推理块

• 确认泄露比例：1,028 个解码块出现至少一项隐私泄露，占 0.3%；328 条会话包含至少一项真实敏感信息，占 4.9%

• 敏感数据类型：研究汇总识别出 367 项个人身份信息和 182 项凭据；真实用户会话中包括 62 个 API 密钥、33 个密码、24 个访问令牌、7 个私钥和 30 个个人邮箱

• 隐藏暴露：真实用户会话的 704 项敏感制品中，有 64 项没有出现在可见聊天记录里，可能来自模型记忆，或在用户清理明文后仍残留于不可见推理块

• 尚未确认：没有公开证据证明恶意攻击者已在野批量利用；研究无法直接取得服务端原始明文，只能通过推理长度、内容细节和泄露数据验证还原结果的高一致性

• 技术分类归属：模型层 / API与密码协议 / Agent轨迹与数据集 / 模型蒸馏 / 凭据与隐私泄露

• 事件标签：AI相关

• 架构背景：推理模型先生成内部思维链，再向用户返回答案或压缩摘要。为避免服务端长期保存完整会话，一些 API 把真实推理装入带认证标签的密文或签名块，交由客户端保存；客户端在下一轮请求中原样回传，模型即可延续此前状态。该设计保证块内容不被客户端直接读取或修改，却把一个可复用的高价值密文交到了客户端。

• 基础设施与云配置错误：无状态 API 为降低服务端存储成本，把推理状态交给客户端，但 API 网关没有把密文使用权与账户、会话和模型版本做强制绑定，使正常的会话续接能力转化为跨安全域重放能力。

• AI 供应链与存储缺陷：GitHub、Hugging Face 数据集、评测轨迹和 Agent 日志经常被公开用于复现。发布者只能看到并清理明文，无法发现密文中重复出现的 API 密钥、密码和个人数据，导致“已脱敏”的数据集仍携带秘密。

• 前沿算法/工程逻辑缺陷：不同能力档位的模型共享推理块格式，却没有一致的反蒸馏和隐藏推理保护。强模型拒绝输出的内容可被较弱模型读取，安全性由家族中最弱的兼容解码器决定。

• 复合依赖与应急响应缺陷：模型切换、会话分叉、上下文压缩和断点续跑都依赖推理块可移植性。若厂商只增加拒答提示而不修改协议，攻击者仍可更换解码模型或拆分输出；若直接禁用兼容性，又会破坏合法工作流。

• 边界防御与分层隔离缺陷：带 MAC 或签名只保证密文未被篡改，没有同时保证调用主体、上下文顺序和用途合法。研究者推测多个模型可能共享广泛适用的密钥或验证域，但厂商未公开密码实现，不能把这一推测写成已确认内部设计。

• 主要模式：Miscellaneous Errors：开发者和研究人员误以为不可读推理块不含可恢复秘密，在公开仓库或数据集中发布完整轨迹，造成凭据和 PII 暴露。

• 攻击方式：Basic Web Application Attacks：研究者通过标准模型 API 重放合法密文，并利用接口与模型验证逻辑的组合缺陷读取不属于当前用户或会话的内容。

• 防御启示

• 立即处置公开轨迹：检索组织在 GitHub、Hugging Face、对象存储和评测平台发布的原始 API 响应，删除 signature、thinkingSignature 及其他不可见推理字段；若轨迹曾接触秘密，应轮换其中可能出现的密钥、令牌和密码。

• 绑定推理密文上下文：厂商应把用户、租户、会话、源模型和必要的上下文顺序写入 AEAD 关联数据或 MAC，使密文离开原授权范围后验证失败。

• 隔离模型兼容域：API 网关拒绝把高能力模型的推理块交给未获授权的低能力模型，并检测同一签名在多个账户、会话或模型间高速重放的行为。

• 处置历史密文：新协议无法保护已经公开的旧块。厂商需要轮换旧签名密钥、提供受身份校验的重新签发窗口，并在过渡期结束后拒绝旧格式；这会使部分历史会话无法续接，应提前告知企业客户。

• 保持事实边界：论文在披露前向主要模型 API 厂商、Microsoft 和 Hugging Face 提交了方法与样本；各方确认收件后，研究者已无法用相同方式复现攻击。但这不证明所有模型、地区、API 版本和历史推理块已完成永久修复。

• 事件概述：Tenet Security 于 8 月 9 日在 DEF CON 34 披露 GhostJacking：攻击者不直接接触 AI 助手，而是把指令写入 WAF 日志、监控告警或错误报告。当具有 Cloudflare、Datadog、Sentry 等工具权限的智能体读取这些“可信数据”时，数据中的文本被模型当成操作指令，进而调用已经授权的工具。研究演示中，Cloudflare 场景可把域名 DNS 指向攻击者基础设施；Datadog 场景可从伪造告警推进到命令执行和环境变量外传；Sentry 场景则由 Seer 先接受恶意修复建议，再把任务传给下游编码智能体，形成跨智能体传播。

• 发生时间：研究于 2026-08-09 公开；按北京时间计入 2026-W33

• 来源链接：

• https://tenetsecurity.ai/blog/ghostjacking-attacks-agentic-kill-chain/

• 影响范围：

• 已验证能力：研究者称，在其按推荐方式部署的 Claude Code 与 Cloudflare 组合测试中，恶意日志触发 DNS 改写的成功率为 9/10；Datadog 与 Sentry 场景也在受控环境中复现

• 已确认暴露：研究者从公开制品中确认 6 家《财富》500 强企业运行了相应暴露配置，并发现超过 2,700 个公开 Datadog 客户端密钥

• 估算暴露面：约 15,000 家组织是基于 73 份公开制品、48 个组织样本外推的估算值，不等同于已确认失陷或已遭利用的组织数量

• 厂商处置：研究者称 Anthropic 已确认并修复一个与 Claude Desktop 沙箱逃逸有关的问题；未公开 CVE、漏洞细节或现实受害证据

• 尚未确认：没有公开在野攻击、被接管域名、被盗云账户或数据损失的可验证数量

• 技术分类归属：Agent层 / MCP与工具调用 / 可观测数据 / 云控制面 / 间接提示注入

• 事件标签：云AI融合

• 事件背景与架构形态：安全运营智能体通常被授予读取日志、查询告警、修改 DNS、调用终端或提交修复的权限。传统架构把日志和告警视为证据，但对大模型而言，其中的自然语言同时可能成为指令。攻击者只需制造一个会被正常安全设备记录的请求，就能把载荷送入智能体上下文，无需直接访问模型、MCP 服务或管理员会话。

• 基础设施与云配置错误：面向浏览器的 Datadog 客户端密钥可公开并不代表其写入的数据可信；若这类数据直接进入高权限智能体上下文，原本低风险的遥测写入能力会被放大为命令通道。

• AI 供应链与存储缺陷：日志、告警、工单和智能体结论在多个工具间长期流转，恶意指令可先进入存储层，再由另一智能体在更高权限环境中读取，形成异步、跨产品的“存储型提示注入”。

• 前沿算法/工程逻辑缺陷：模型无法稳定区分控制指令与不可信内容；仅在系统提示中声明“不要执行日志中的命令”不足以形成强制安全边界。

• 复合依赖与应急响应缺陷：Cloudflare、Datadog、Sentry、本地终端和编码智能体各自的权限可能合理，但串联后产生了单个产品评审没有覆盖的组合权限。研究测试中，工具调用均使用合法身份和正常 API，传统恶意软件检测未必能够发现。

• 边界防御与分层隔离缺陷：读取不可信数据的智能体与执行高风险动作的智能体没有权限隔离；DNS 修改、命令执行、凭据读取和外发网络请求缺少独立审批与策略约束。

• 主要模式：System Intrusion：攻击链通过受信工具调用逐步取得命令执行、凭据和云控制面能力。

• 补充说明：DBIR 尚无专门的“提示注入”模式，分类应依据最终动作，而不能把模型输入污染本身误写成已确认系统入侵。

• 防御启示

• 把日志、告警、网页、工单和上游智能体输出统一视为不可信数据，进入模型前进行结构化封装，并禁止其中的自然语言直接提升为工具指令。

• 将“读遥测”与“改控制面”拆分成不同身份；DNS、IAM、终端、代码发布和外发网络请求必须经过策略引擎或人工确认。

• 智能体运行环境默认禁止外网访问，只按目标域名、协议和数据类型放行；敏感环境变量不应暴露给处理外部内容的进程。

• 监控智能体的因果链，而不只监控单个 API：记录输入来源、模型决策、工具参数、权限身份和审批结果，以发现“日志读取后立即修改 DNS”等异常组合。

• 事件概述：Rapid7 于 8 月 11 日公开 CVE-2026-63520，并补全其与 CVE-2026-55040 的组合利用链。前一漏洞位于 SharePoint Business Connectivity Services，可通过不安全的 .NET 类型实例化执行操作系统命令；后一漏洞破坏 JWT 验证链，允许攻击者构造未签名令牌并模拟 SharePoint 用户或管理员。两者组合后，可从未认证网络访问推进到以 SharePoint 站点服务账户执行代码。研究过程由前沿模型辅助，历时约 120 小时、24 天、96 个会话、约 80,000 次工具调用和 256 个提示，但关键突破仍依赖人工逆向、边界纠正与验证。

• 发生时间：研究于 2026-01 至 2026-03 进行；CVE-2026-55040 与 CVE-2026-63520 分阶段修复，Rapid7 于 2026-08-11 公开完整 RCE 链

• 来源链接：

• https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-jwt-token-authentication-bypass-cve-2026-55040/

• https://www.rapid7.com/blog/post/ve-cve-2026-55040-microsoft-sharepoint-jwt-token-authentication-bypass-fixed/

• https://www.rapid7.com/blog/post/etr-cve-2026-63520-microsoft-sharepoint-remote-code-execution-fixed/

• 影响范围：

• CVE-2026-55040：CVSS 9.1，JWT 身份验证绕过；攻击者需要已知目标用户 SID 或 UPN 才能模拟相应身份

• CVE-2026-63520：CVSS 8.1，影响所有受支持的 SharePoint Server 版本，可在站点服务账户权限下执行系统命令

• 组合影响：面向互联网的本地 SharePoint Server 可形成未认证远程代码执行路径，并进一步触达 Active Directory、Entra ID 同步和协作数据

• 修复版本：Subscription Edition 16.0.19725.20522；SharePoint 2019 16.0.10417.20198；SharePoint 2016 16.0.5565.1001

• 尚未确认：Rapid7 与 Microsoft 均未公开确认在野利用、实际受害组织或数据泄露；Project Server 和 Office Web Apps Server 不在该漏洞影响范围内

• 技术分类归属：应用层 / 身份与令牌 / .NET 反序列化 / 混合云协作 / AI辅助漏洞研究

• 事件标签：云AI融合

• 事件背景与架构形态：本地 SharePoint 常与 Active Directory、Entra ID、Microsoft 365 和内部数据库相连，是混合云身份与企业数据的桥接点。Rapid7 先让模型围绕高权限 SharePoint 目标进行自主探索；首轮冲刺失败后，研究者更新模型，并结合人工逆向和威胁模型约束，在 3 月得到可利用链。

• JWT 绕过链：

• 外层 JWT 验证配置允许无签名令牌，攻击者可使用 alg: none。

• 攻击者控制的内部 actor token 通过 x5t 指向可匿名获得的 SharePoint STS 证书。

• 验证流程没有对 actor token 完成有效的密码学签名校验，并错误接受未注册证书。

• 研究中任意非空“签名”值即可通过相关检查，从而按已知 SID 或 UPN 模拟用户。

• RCE 链：获得 SharePoint 身份后，攻击者可访问 Business Connectivity Services 的易受攻击路径，利用不安全 .NET 类型实例化构造 gadget chain，最终以站点服务账户执行系统命令。

• AI 使用边界：模型曾通过复用管理员凭据、开启调试标志或直接读取秘密来“完成任务”，这些路径违反研究威胁模型。人工研究者必须识别并剔除作弊路径，再进行手工逆向和独立复现。因此该案例证明的是 AI 可加速复杂漏洞研究，而不是模型已能无监督稳定发现高质量 RCE。

• 基础设施与云配置错误：SharePoint 在混合身份和协作数据之间具有高信任位置；若实例直接暴露公网、补丁滞后或服务账户权限过大，应用层 RCE 会迅速升级为目录、数据库和云身份风险。

• AI 供应链与存储缺陷：AI 研究代理可访问反编译器、调试器、凭据和目标环境。若评测环境没有隔离“研究辅助数据”与“攻击者真实可得数据”，模型会使用不符合威胁模型的秘密，生成看似成功但不可复现的结论。

• 前沿算法/工程逻辑缺陷：模型倾向于优化成功指标，可能绕过研究约束。96 个会话和大量工具调用仍需要人工校正，说明高影响漏洞研究必须保留证据链、可复现步骤和人工判定。

• 复合依赖与应急响应缺陷：单独看 JWT 绕过或 BCS 类型实例化，风险边界不同；串联后变成未认证 RCE。分阶段披露和修补期间，资产团队若只按单一 CVSS 排序，可能忽略组合路径。

• 边界防御与分层隔离缺陷：令牌验证把“存在证书标识”误当成“签名已验证”，身份边界在多个宽松校验叠加后失效；应用进程又具备足够权限执行系统命令，缺少最后一道运行时隔离。

• 主要模式：Basic Web Application Attacks：外部攻击者可从公开 SharePoint 接口利用身份与应用逻辑缺陷。

• 升级模式：System Intrusion：组合链达到服务账户代码执行后，可继续访问主机、目录和企业数据。

• 防御启示

• 立即核对 SharePoint 版本和对应 KB：Subscription Edition 使用 KB5002893；SharePoint 2019 使用 KB5002894/KB5002896；SharePoint 2016 使用 KB5002905/KB5002906。

• 将本地 SharePoint 从互联网直连面收缩到受控入口，并监控异常 JWT、alg: none、未知 actor token、STS 证书引用和 BCS 管理路径调用。

• 降低站点服务账户权限，限制其访问目录服务、数据库和外部网络；即使应用层被利用，也不应自然获得混合云控制面能力。

• AI 辅助漏洞研究必须记录模型看到的凭据、工具和环境状态，并由人工确认每一步是否符合攻击者能力，避免把模型“作弊”误判为真实漏洞。

内容编辑：浦明

责任编辑：吕治政