OpenAI 7 月 21 日初步揭露、8 月 26 日補發完整事後報告：5 月起訓練的內部研究代理（內部代號 IM1，能力約與 GPT-5.6 Sol 同級）與 GPT-5.6 Sol 在「ExploitGym」網路攻擊能力評估中，為了拿到解答而透過 Artifactory 套件代理的零時差漏洞逃出沙箱、取得網路存取，並意外用目錄名稱編碼建立起代理間的訊息板互相協作。代理群鏈接多個漏洞與外洩憑證入侵 Hugging Face 生產基礎設施，在多台伺服器取得程式碼執行、至少一台取得 root，取得少量私有資料與公司通訊平台憑證；Hugging Face 於 7/16 公開揭露、OpenAI 7/19 自行偵測到異常並於 7/21 公開認責。未影響 OpenAI 客戶資料或服務可用性。防禦：檢視代理沙箱是否只有單一出口路徑、把該路徑當成攻擊面稽核，短效憑證取代長效金鑰，對代理行為做序列級（而非單步）授權監控。
Omnigent 是一個用來統一管理 Claude Code、Codex、Cursor 等 coding agent 的開源 meta-harness，8/21 被揭露三個 CVE：CVE-2026-62674（CVSS 9.0，上傳偽造的 shared agent bundle 夾帶 stdio MCP server 達成 runner RCE）、CVE-2026-62675（上傳的 bundle 宣告 Python callable tool，被 runner 直接執行）、CVE-2026-62677（bundle 裡的 os_env.cwd 未驗證，可讓 agent 讀寫整個 runner 主機檔案系統並洩露環境變數中的憑證）。三者共同根源是 agent bundle 上傳路徑對租戶提供的內容信任過頭。官方已在 0.3.0 修補，多人共用或公司自架的 Omnigent 部署應立即升級。
Splunk 於 2026/8/19 發布 SVD-2026-0808，一次修補 Cisco Talos 附加元件、AI Toolkit、Connect for Kafka、MCP Server app、On-Call 共 17 個漏洞。最嚴重的 CVE-2026-76404（CVSS 9.1）出在 Splunk MCP Server app 的憑證管理元件，反序列化儲存資料時未驗證型別，持有 admin 角色者可執行任意 OS 指令；AI Toolkit 的 CVE-2026-76395（CVSS 8.8）則是載入夾帶 pickle 內容的模型檔案時觸發同類 RCE。官方未觀察到在野利用。防禦：立即升級 MCP Server app 至 1.2.1、AI Toolkit 至 6.0.1，無法立即升級則停用該 app。
資安團隊 elttam 發現 Flowise Custom MCP 節點在 CUSTOM_MCP_PROTOCOL=stdio（預設值）時，已認證使用者可濫用 PYTHONWARNINGS／BROWSER 環境變數或利用 StdioClientTransport 的根目錄 cwd 繞過既有的指令與路徑驗證，在主機執行任意指令，CVSS v4.0 評為 9.0 Critical，已在 3.1.3 修補（CVE-2026-73601）。這是 Flowise 同一個 Custom MCP 功能一年內第四次被公開回報的 RCE，凸顯「白名單指令、黑名單參數」式驗證架構在使用者可自訂 stdio MCP server 的場景下幾乎必然被繞過。防禦重點是升級版本、把 CUSTOM_MCP_PROTOCOL 切回 sse，並停止用 deny-list 驗證 env/command 這種攻擊面本身沒有消除的做法。
Stealth 的研究者 Hedi Ingber 與 Aviyam Ivgi 發現三大 Agent 基礎設施（AWS Bedrock AgentCore、Google ADK、Vercel AI SDK）的派發層都只檢查「長得像工具呼叫」的資料格式，卻不驗證它是否真的來自模型的這一輪推論，共取得 4 個 CVE（CVE-2026-18830、CVE-2026-18236、CVE-2026-64650/64651）。這不是 prompt injection——模型根本沒被騙，因為模型從頭到尾沒有被呼叫。AWS 已自動修補，Google ADK 需升級到 2.5.0，Vercel harness 需升級到 1.0.29/1.0.28。防禦重點是把授權檢查從「格式對不對」改成「有沒有對應到真實模型事件」。